CELEX ID: 32017R2226

--- ENGLISH ---

Document:
9.12.2017
EN
Official Journal of the European Union
L 327/20
REGULATION (EU) 2017/2226 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 30 November 2017
establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) No 767/2008 and (EU) No 1077/2011
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty of the Functioning of the European Union, and in particular, Article 77(2)(b) and (d) and Article 87(2)(a) thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
After consulting the Committee of the Regions,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
In its Communication of 13 February 2008 entitled ‘Preparing the next steps in border management in the European Union’, the Commission outlined the need, as part of the Union’s integrated border management strategy, to establish an Entry/Exit System (EES) which registers electronically the time and place of entry and exit of third-country nationals admitted for a short stay to the territory of the Member States and which calculates the duration of their authorised stay.
(2)
The European Council of 19 and 20 June 2008 underlined the importance of continuing to work on the development of the Union’s integrated border management strategy, including better use of modern technologies to improve the management of external borders.
(3)
In its Communication of 10 June 2009 entitled ‘An area of freedom, security and justice serving the citizens’, the Commission advocated for the establishment of an electronic system for recording entry to and exit from the territory of the Member States at external borders to ensure a more effective management of access to that territory.
(4)
The European Council of 23 and 24 of June 2011 called for work on ‘smart borders’ to be pushed forward rapidly. On 25 October 2011, the Commission published a Communication entitled ‘Smart borders – options and the way ahead’.
(5)
In its strategic guidelines adopted in June 2014, the European Council stressed that the Schengen area, allowing people to travel without internal border controls, and the increasing numbers of people travelling to the Union require efficient management of the Union’s common external borders to ensure strong protection. It also stressed that the Union must mobilise all the tools at its disposal to support the Member States in their task and that, to this end, integrated border management of external borders should be modernised in a cost efficient way to ensure smart border management, inter alia, with an entry-exit system and supported by the new agency for large-scale IT systems (eu-LISA).
(6)
In its Communication of 13 May 2015 entitled ‘A European agenda on migration’, the Commission noted that a new phase would come with the ‘Smart Borders’ initiative to increase the efficiency of border crossings, facilitating crossings for the large majority of ‘bona fide’ third country travellers, whilst at the same time strengthening the fight against irregular migration by creating a record of all cross-border movements by third-country nationals, fully respecting proportionality.
(7)
With a view to further improving the management of the external borders and, in particular, in order to verify compliance with the provisions on the authorised period of stay on the territory of the Member States, an EES should be established, which registers electronically the time and place of entry and exit of third-country nationals admitted for a short stay to the territory of the Member States and which calculates the duration of their authorised stay. It should replace the obligation to stamp the passports of third-country nationals which is applicable to all Member States.
(8)
It is necessary to specify the objectives of the EES, the categories of data to be entered into the EES, the purposes for which the data are to be used, the criteria for their entry, the authorities authorised to access the data, further rules on data processing and the protection of personal data, as well as the technical architecture of the EES, rules concerning its operation and use, and interoperability with other information systems. It is also necessary to define responsibilities for the EES.
(9)
The EES should apply to third-country nationals admitted for a short stay to the territory of the Member States. It should also apply to third-country nationals whose entry for a short stay has been refused.
(10)
The EES should be operated at the external borders of the Member States which apply the Schengen 
acquis
 in full. It is desirable that Member States not yet applying the Schengen 
acquis
 in full apply it fully by the start of operations of the EES. However, in the event that the lifting of controls at internal borders cannot be achieved by the start of operations of the EES, it is necessary to specify the conditions for the operation of the EES by those Member States which do not apply the Schengen 
acquis
 in full and lay down the provisions for the operation and use of the EES at internal borders where controls have not yet been lifted.
As regards the conditions for the operation of the EES, the EES should be operated at the external borders of the Member States which do not yet apply the Schengen 
acquis
 in full but for which the verification in accordance with the applicable Schengen evaluation procedure has already been successfully completed, to which passive access to the Visa Information System (VIS) established by Council Decision 2004/512/EC 
(
3
)
 has been granted for the purpose of operating the EES and for which the provisions of the Schengen 
acquis
 relating to the Schengen Information System (SIS), established by Regulation (EC) No 1987/2006 of the European Parliament and of the Council 
(
4
)
, have been put into effect in accordance with the relevant Act of Accession. As regards the provisions on the operation and use of the EES by the Member States fulfilling such conditions, the EES should be operated at all internal borders of those Member States where the controls have not yet been lifted. However, specific provisions on the operation and use of the EES at such borders should apply, in order to minimise the impact of the border check procedure at such borders, while not affecting the level of security and the proper functioning of the EES and without prejudice to the other border control obligations under Regulation (EU) 2016/399 of the European Parliament and of the Council 
(
5
)
.
(11)
The duration of the authorised stay of third-country nationals on the territory of the Member States for the purpose of this Regulation results from the applicable Schengen 
acquis
.
(12)
An automated calculator should be included in the EES. The automated calculator should take into account stays on the territory of the Member States which operate the EES for the calculation of the overall limit of 90 days in any 180-day period. Any extensions of authorised stay should be taken into account for the purpose of calculation of that overall limit on the subsequent entry of the third-country national to the territory of the Member States. Stays on the territory of Member States which do not yet operate the EES should be counted separately on the basis of stamps affixed in the travel documents of third-country nationals.
(13)
The automated calculator should only take into account stays on the territory of Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES for the purposes of verifying compliance with the overall limit of 90 days in any 180-day period and for the purposes of verifying the period of validity of a Schengen short-stay visa. The automated calculator should not calculate the duration of stay as authorised by a national short-stay visa issued by a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES. When calculating the duration of stay authorised by a Schengen short-stay visa, the automated calculator should not take into account stays on the territory of Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES.
(14)
Precise rules should be laid down as regards the responsibility for the development and operation of the EES and the responsibility of the Member States for their connection to the EES. The European agency for the operational management of large-scale information systems in the area of freedom, security and justice, established by Regulation (EU) No 1077/2011 of the European Parliament and of the Council 
(
6
)
, should be responsible for the development and operational management of a centralised EES in accordance with this Regulation. Regulation (EU) No 1077/2011 should therefore be amended accordingly.
(15)
The objectives of the EES should be to improve the management of external borders, to prevent irregular immigration and to facilitate the management of migration flows. The EES should, in particular and when relevant, contribute to the identification of any person who does not fulfil or no longer fulfils the conditions of duration of the authorised stay on the territory of the Member States. Additionally, the EES should contribute to the prevention, detection and investigation of terrorist offences and of other serious criminal offences.
(16)
The EES should consist of a Central System (EES Central System), which operates a computerised central database of biometric and alphanumeric data, a National Uniform Interface in each Member State, a Secure Communication Channel between the EES Central System and the central Visa Information System (VIS Central System) of the VIS, and a secure and encrypted Communication Infrastructure between the EES Central System and the National Uniform Interfaces. Each Member State should connect its national border infrastructures to the National Uniform Interface in a secure manner. In order to enable the generation of statistics and reporting, a data repository should be established at central level. In order to enable third–country nationals to verify at any moment the remaining authorised stay, a web service should be developed. The web service should also enable carriers to verify whether third-country nationals holding a Schengen short-stay visa issued for one or two entries have already used the number of entries authorised by their visa. Relevant stakeholders should be consulted in the development phase of that web service. In establishing the technical specifications for the access of carriers to the web service, the impact on passenger travel and carriers should be limited to the extent possible. For this purpose, appropriate integration with relevant systems should be considered.
(17)
Interoperability should be established between the EES and the VIS by way of a direct communication channel between the VIS Central System and the EES Central System to enable the border authorities using the EES to consult the VIS in order to retrieve visa-related data to create or update entry/exit records or refusal of entry records, to enable the border authorities to verify the validity of the visa and the identity of the visa holder by directly searching the VIS with fingerprints at the borders at which the EES is operated and to enable the border authorities to verify the identity of visa-exempt third–country nationals against the VIS by using fingerprints. Interoperability should also enable the border authorities and visa authorities using the VIS to directly consult the EES from the VIS for the purposes of examining visa applications and of taking decisions relating to those applications, and of enabling visa authorities to update the visa-related data in the EES in the event that a visa is annulled, revoked or extended. Regulation (EC) No 767/2008 of the European Parliament and of the Council 
(
7
)
 should therefore be amended accordingly. The retrieval of visa-related data from the VIS, their importation into the EES and the updating of data from the VIS in the EES should be an automated process once the operation in question is launched by the authority concerned. The purpose limitation principle should be respected when establishing interoperability between the EES and the VIS.
(18)
This Regulation should specify which authorities of the Member States may be authorised to have access to the EES in order to enter, amend, erase or consult data for the specific purposes of the EES and to the extent necessary for the performance of their tasks.
(19)
Any processing of EES data should be proportionate to the objectives pursued and necessary for the performance of the tasks of the competent authorities. When using the EES, the competent authorities should ensure that the human dignity and integrity of the person whose data are requested are respected and should not discriminate against persons on grounds of sex, race, colour, ethnic or social origin, genetic features, language, religion or belief, political or any other opinion, membership of a national minority, property, birth, disability, age or sexual orientation.
(20)
The EES should record and process alphanumeric data and biometric data primarily for the purposes of improving the management of external borders, preventing irregular immigration and facilitating the management of migration flows. Furthermore, it should also be possible to access personal EES data in order to contribute to the prevention, detection and investigation of terrorist offences and of other serious criminal offences only under the conditions laid down in this Regulation. The use of biometrics, despite its impact on the privacy of travellers, is justified for two reasons. First, biometrics are a reliable method of identifying third-country nationals who are present on the territory of the Member States but not in possession of travel documents or any other means of identification, a common situation for irregular migrants. Second, biometrics allow for a more reliable matching of entry and exit data of bona fide travellers. The use of facial images in combination with fingerprint data makes it possible to reduce the total number of fingerprints required to be registered, while enabling the same result in terms of accuracy of the identification.
(21)
Four fingerprints per visa-exempt third–country national should be registered in the EES, if physically possible, to allow for accurate verification and identification, thus ensuring that the third–country national is not already registered under another identity or with another travel document, and to guarantee that sufficient data are available in order to ensure that the objectives of the EES are achieved in every circumstance. The fingerprints of visa-holding third-country nationals should be checked against the VIS. The facial image of both visa-exempt and visa holding third-country nationals should be registered in the EES. Fingerprints or facial images should be used as a biometric identifier for verifying the identity of third–country nationals who have been previously registered in the EES, for as long as their individual files have not been deleted. In order to take into account the specificities of each border crossing point and the different kinds of borders, the national authorities should establish for each border crossing point whether the fingerprints or the facial image are to be used as the main biometric identifier for carrying out the required verification.
(22)
In the fight against terrorist offences and other serious criminal offences, it is necessary that designated authorities have the most up-to-date information if they are to perform their tasks. Access to VIS data for law enforcement purposes has already proven its usefulness in identifying people who died violently or in helping investigators to make substantial progress in cases related to trafficking in human beings, terrorism or illicit drug trafficking. Access to EES data is necessary to prevent, detect and investigate terrorist offences as referred to in Directive (EU) 2017/541 of the European Parliament and of the Council 
(
8
)
 or other serious criminal offences as referred to in Council Framework Decision 2002/584/JHA 
(
9
)
. It should be possible to use the EES data as an identity verification tool both in cases where the third–country national has destroyed his or her documents and where designated authorities are investigating a crime through the use of fingerprints or facial images and wish to establish an identity. It should also be possible to use such data as a tool to construct evidence by tracking the travel routes of a person suspected of having committed a crime or of a victim of crime. Therefore, the EES data should be available to the designated authorities of the Member States and the European Union Agency for Law Enforcement Cooperation established by Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
10
)
 (‘Europol’), subject to the conditions and limitations set out in this Regulation.
The conditions of access to the EES for the purposes of the prevention, detection or investigation of terrorist offences or of other serious criminal offences should be such as to allow the designated authorities of the Member States to tackle the cases of suspects using multiple identities. For this purpose, access to the EES should not be prevented where a hit is obtained during the consultation of a relevant database prior to accessing the EES. For law enforcement purposes and in order to prevent, detect and investigate terrorist offences or other serious criminal offences, a search of the database of the EES should be deemed proportionate if there is an overriding public security concern. Any search must be duly justified and proportionate in the light of the interest invoked.
(23)
Only designated authorities which are responsible for the prevention, detection or investigation of terrorist offences or of other serious criminal offences, for which Member States can guarantee that all the provisions of this Regulation, as well as those of Directive (EU) 2016/680 of the European Parliament and of the Council 
(
11
)
, apply and for which the correct application of those provisions can be verified by the competent authorities, including the supervisory authority established in accordance with Directive (EU) 2016/680, should be entitled to consult EES data.
(24)
Europol plays a key role with respect to cooperation between Member States’ authorities in the field of cross-border crime investigation through supporting Union-wide crime prevention, conducting analyses and carrying out investigations. Consequently, Europol should also have access to the EES within the framework of its tasks and in accordance with Regulation (EU) 2016/794. The European Data Protection Supervisor should monitor the processing of data by Europol and ensure full compliance with applicable data protection rules.
(25)
Access to the EES for the purpose of preventing, detecting or investigating terrorist offences or other serious criminal offences constitutes an interference with the fundamental rights to respect for the private life of individuals and to protection of personal data of persons whose personal data are processed in the EES. Any such interference must be in accordance with the law, which must be formulated with sufficient precision to allow individuals to adjust their conduct, protect individuals against arbitrariness and indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner in which they are to exercise that discretion. Furthermore, any interference with those fundamental rights must be limited to that which is necessary in a democratic society to protect a legitimate and proportionate interest, and must be proportionate to the legitimate objective to be achieved.
(26)
Comparisons of data on the basis of a dactyloscopic trace which may be found at a crime scene (‘latent fingerprint’) are fundamental in the field of police cooperation. The possibility to compare a latent fingerprint with the fingerprint data which are stored in the EES in cases where there are reasonable grounds for believing that the perpetrator or victim might be registered in the EES is necessary for the designated authorities of the Member States to prevent, detect or investigate terrorist offences or other serious criminal offences, where, for example, the only evidence at a crime scene consists of latent fingerprints.
(27)
It is necessary to designate the competent authorities of the Member States, as well as the central access points through which the requests for access to EES data are to be made, and to keep a list of the operating units within the designated authorities that are authorised to request such access for the specific purposes for the prevention, detection or investigation of terrorist offences or of other serious criminal offences.
(28)
Requests for access to EES data should be made by the operating units within the designated authorities to the central access point and should be duly justified. Operating units within the designated authorities that are authorised to request access to EES data should not act as a verifying authority. The central access point should be a body or entity entrusted by national law to exercise public authority and should be capable, by virtue of the quality and number of its staff, of effectively verifying whether the conditions to request access to the EES are fulfilled in each case. The central access points should act independently of the designated authorities and should be responsible for ensuring, in an independent manner, strict compliance with the conditions for access set out in this Regulation. In a case of urgency, where early access is necessary to respond to a specific and actual threat related to terrorist offences or other serious criminal offences, the central access point should be able to process the request immediately and carry out the verification afterwards.
(29)
To protect personal data and to exclude systematic searches, the processing of EES data should only take place in specific cases and when it is necessary for the purposes of preventing, detecting or investigating terrorist offences or other serious criminal offences. The designated authorities and Europol should only request access to the EES when they have reasonable grounds to believe that such access will provide information that will substantially assist them in preventing, detecting or investigating terrorist offences or other serious criminal offences.
(30)
In addition, access to the EES for the purposes of identifying unknown suspects, perpetrators or victims of terrorist offences or other serious criminal offences should be allowed only on the condition that searches in the national databases of the Member State have been carried out and the search with the automated fingerprinting identification systems of all other Member States under Council Decision 2008/615/JHA 
(
12
)
 has been fully conducted, or the search has not been fully conducted within two days of being launched.
(31)
For the purpose of efficient comparison and exchange of personal data, Member States should fully implement and make use of the existing international agreements as well as of Union law concerning the exchange of personal data already in force, in particular Decision 2008/615/JHA.
(32)
The personal data stored in the EES should be kept for no longer than strictly necessary for the purposes for which the data are processed. It is sufficient to keep the data related to third-country nationals who have respected the duration of authorised stay in the EES for a period of three years for border management purposes in order to avoid the need for third–country nationals to re-register in the EES before that period has lapsed. This three-year data retention period will reduce the need for frequent re-registrations and will be beneficial for all travellers as both the average border crossing time and the waiting time at border crossing points will decrease. Even for a traveller entering the territory of the Member States only once, the fact that other travellers already registered in the EES do not have to re-register before the expiry of this three-year data retention period will reduce the waiting time at the border crossing point. This three-year data retention period is also necessary to facilitate and expedite border crossings including by using automated and self-service systems. It is also appropriate to set a three-year data retention period for third-country nationals whose entry for a short stay has been refused. For third-country nationals who are members of the family of a Union citizen to whom Directive 2004/38/EC of the European Parliament and of the Council 
(
13
)
 applies or of a third-country national enjoying the right of free movement under Union law and who do not hold a residence card pursuant to Directive 2004/38/EC, it is appropriate to store each coupled entry/exit record for a maximum period of one year after the date of the exit from the territory of the Member States linked to that record. Following the expiry of the relevant data retention periods, the data should be automatically erased.
(33)
It is necessary to keep data related to third-country nationals who have not exited the territory of the Member States within the authorised period of stay for a period of five years, in order to support the identification and return process. Those data should be automatically erased after the five–year period, unless there are grounds for erasing them earlier.
(34)
It is necessary to keep the personal data of third-country nationals who have respected the duration of authorised stay and of third-country nationals whose entry for a short stay has been refused for a period of three years and to keep the personal data of third–country nationals who have not exited the territory of the Member States within the authorised period of stay for a period of five years, to allow the border guard to conduct the necessary risk analysis required by Regulation (EU) 2016/399 before authorising a traveller to enter the territory of the Member States. The processing of visa applications in consular posts also requires analysing the travel history of the applicant in order to assess the use of previous visas and whether the conditions of stay have been respected. The abandoning of passport stamping is to be compensated by a consultation of the EES. The travel history available in the EES should therefore cover a period of time which is sufficient for the purpose of visa issuance.
While conducting risk analyses at the border and while processing visa applications, the travel history of third-country nationals should be checked in order to determine whether they have exceeded the maximum duration of their authorised stay in the past. It is thus necessary to keep the personal data of third-country nationals who have not exited the territory of the Member States within the authorised period of stay for the longer period of five years compared to that for the personal data of third-country nationals who have respected the duration of authorised stay and of third-country nationals whose entry for a short stay has been refused.
(35)
Rules on the liability of the Member States for damage arising from any breach of this Regulation should be laid down.
(36)
Without prejudice to more specific rules laid down in this Regulation for the processing of personal data, Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
14
)
 should apply to the processing of personal data by the Member States in application of this Regulation unless such processing is carried out by the designated authorities or central access points of the Member States for the purposes of the prevention, investigation or detection of terrorist offences or of other serious criminal offences.
(37)
Without prejudice to more specific rules laid down in this Regulation for the processing of personal data, the national laws, regulations and administrative provisions adopted pursuant to Directive (EU) 2016/680 should apply to the processing of personal data by the competent authorities of the Member States for the purposes of the prevention, investigation or detection of terrorist offences or of other serious criminal offences pursuant to this Regulation.
(38)
Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
15
)
 should apply to the activities of the Union institutions or bodies when carrying out their tasks as responsible for the operational management of EES.
(39)
Personal data obtained by a Member State pursuant to this Regulation should not be transferred or made available to any third country, international organisation or private entity established in or outside the Union. As an exception to that rule, however, it should be possible to transfer such personal data to a third country or to an international organisation where such a transfer is subject to strict conditions and necessary in individual cases in order to assist with the identification of a third-country national in relation to his or her return. In the absence of an adequacy decision by means of implementing act pursuant to Regulation (EU) 2016/679 or of appropriate safeguards to which transfers are subject pursuant to that Regulation, it should be possible to exceptionally transfer, for the purposes of return, EES data to a third country or to an international organisation, only where it is necessary for important reasons of public interest as referred to in that Regulation.
(40)
It should also be possible to transfer personal data obtained by Member States pursuant to this Regulation to a third country in an exceptional case of urgency, where there is an imminent danger associated with a terrorist offence or where there is an imminent danger to the life of a person associated with a serious criminal offence. An imminent danger to the life of a person should be understood as covering a danger arising from a serious criminal offence committed against that person such as grievous bodily injury, illicit trade in human organs and tissue, kidnapping, illegal restraint and hostage-taking, sexual exploitation of children and child pornography, and rape. Such data should only be transferred to a third country if the reciprocal provision of any information on entry/exit records held by the requesting third country to the Member States operating the EES is ensured. It should be possible for the competent authorities of the Member States whose designated authorities have access to the EES pursuant to this Regulation to transfer the EES data to Member States not operating the EES and to Member States to which this Regulation does not apply. Such provision of information should be subject to a duly motivated request, and limited to where it is necessary for the prevention, detection or investigation of a terrorist offence or another serious criminal offence. It should be possible for a Member State that operates the EES to provide such information only if a reciprocal provision of any information on entry/exit records held by the requesting Member State to the Member States operating the EES is ensured. Directive (EU) 2016/680 applies to all the subsequent treatment of data obtained from the EES.
(41)
In each Member State, the supervisory authority established in accordance with Regulation (EU) 2016/679 should monitor the lawfulness of the processing of personal data by the Member States, whilst the European Data Protection Supervisor should monitor the activities of the Union institutions and bodies in relation to the processing of personal data. The European Data Protection Supervisor and the supervisory authorities should cooperate with each other in the monitoring of the EES.
(42)
In each Member State, the supervisory authority established in accordance with Directive (EU) 2016/680 should monitor the lawfulness of the processing by the Member States of personal data for law enforcement purposes.
(43)
In addition to the provisions on information to be provided in accordance with Regulation (EU) 2016/679, third–country nationals whose data are to be recorded in the EES should be provided with appropriate information in relation to the recording of those data. This information should be provided by Member States in writing by any appropriate means, including leaflets, posters or any other appropriate electronic means.
(44)
In order to ensure the effective monitoring of the application of this Regulation, this Regulation should be evaluated at regular intervals.
(45)
The Member States should lay down rules on penalties applicable to infringements of the provisions of this Regulation and ensure that they are implemented.
(46)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
16
)
.
(47)
Since the objectives of this Regulation, namely the establishment of the EES and the creation of common obligations, conditions and procedures for use of data cannot be sufficiently achieved by the Member States but can rather, by reason of the scale and impact of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(48)
Following the start of operations of the EES, the Convention implementing the Schengen Agreement of 14 June 1985 between the Governments of the States of the Benelux Economic Union, the Federal Republic of Germany and the French Republic on the gradual abolition of checks at their common borders 
(
17
)
 (‘the Convention implementing the Schengen Agreement’) should be amended with regard to bilateral agreements concluded by Member States and the authorised length of stay beyond 90 days in any 180-day period of visa-exempt third–country nationals. In its overall evaluation of the EES, the Commission should include an assessment of the use made of the bilateral agreements of Member States. It should be possible for the Commission to include options in the first evaluation report in view of phasing out such bilateral agreements and replacing them with a Union instrument.
(49)
The projected costs of the EES are lower than the budget earmarked for Smart Borders in Regulation (EU) No 515/2014 of the European Parliament and of the Council 
(
18
)
. Accordingly, following the adoption of this Regulation, the Commission should, by means of a delegated act provided for in Regulation (EU) No 515/2014, re-allocate the amount currently attributed for developing IT systems supporting the management of migration flows across the external borders.
(50)
This Regulation is without prejudice to the application of Directive 2004/38/EC.
(51)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the Treaty on the Functioning of the European Union, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application. Given that this Regulation builds upon the Schengen 
acquis
, Denmark shall, in accordance with Article 4 of that Protocol, decide within a period of six months after the Council has decided on this Regulation whether it will implement it in its national law.
(52)
This Regulation constitutes a development of the provisions of the Schengen 
acquis
 in which the United Kingdom does not take part, in accordance with Council Decision 2000/365/EC 
(
19
)
; the United Kingdom is therefore not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(53)
This Regulation constitutes a development of the provisions of the Schengen 
acquis
 in which Ireland does not take part, in accordance with Council Decision 2002/192/EC 
(
20
)
; Ireland is therefore not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(54)
As regards Iceland and Norway, this Regulation constitutes a development of the provisions of the Schengen 
acquis
 within the meaning of the Agreement concluded by the Council of the European Union and the Republic of Iceland and the Kingdom of Norway concerning the latters’ association with the implementation, application and development of the Schengen 
acquis
 
(
21
)
 which fall within the area referred to in Article 1, point A of Council Decision 1999/437/EC 
(
22
)
.
(55)
As regards Switzerland, this Regulation constitutes a development of the provisions of the Schengen 
acquis
 within the meaning of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
 
(
23
)
 which fall within the area referred to in Article 1, point A of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2008/146/EC 
(
24
)
 and with Article 3 of Council Decision 2008/149/JHA 
(
25
)
.
(56)
As regards Liechtenstein, this Regulation constitutes a development of the provisions of the Schengen 
acquis
 within the meaning of the Protocol between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
 
(
26
)
 which fall within the area referred to in Article 1, point A of Decision 1999/437/EC read in conjunction with Article 3 of Council Decision 2011/350/EU 
(
27
)
 and with Article 3 of Council Decision 2011/349/EU 
(
28
)
.
(57)
As regards Cyprus, Bulgaria, Romania and Croatia, the provisions of this Regulation relating to the SIS and the VIS constitute provisions building upon, or otherwise relating to, the Schengen 
acquis
 within, respectively, the meaning of Article 3(2) of the 2003 Act of Accession, Article 4(2) of the 2005 Act of Accession and Article 4(2) of the 2011 Act of Accession read in conjunction with Council Decisions 2010/365/EU 
(
29
)
, (EU) 2017/733 
(
30
)
 and (EU) 2017/1908 
(
31
)
.
In addition, the operation of the EES requires the granting of passive access to the VIS and the putting into effect of all the provisions of the Schengen 
acquis
 relating to the SIS in accordance with the relevant Council Decisions. Those conditions can only be met once the verification in accordance with the applicable Schengen evaluation procedure has been successfully completed. Therefore, the EES should be operated only by those Member States which fulfil those conditions by the start of operations of the EES. Member States not operating the EES from the initial start of operations should be connected to the EES in accordance with the procedure set out in this Regulation as soon as all of those conditions are met.
(58)
The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 and delivered an opinion on 21 September 2016.
(59)
This Regulation establishes strict rules concerning access to the EES, as well as the necessary safeguards for such access. It also sets out the individuals’ rights of access, rectification, completion, erasure and redress, in particular the right to a judicial remedy and the supervision of processing operations by public independent authorities. This Regulation therefore respects the fundamental rights and observes the principles recognised by the Charter of Fundamental Rights of the European Union, in particular the right to human dignity, the prohibition of slavery and forced labour, the right to liberty and security, respect for private and family life, the protection of personal data, the right to non-discrimination, the rights of the child, the rights of the elderly, the integration of persons with disabilities and the right to an effective remedy and to a fair trial.
(60)
This Regulation is without prejudice to the obligations deriving from the Geneva Convention Relating to the Status of Refugees of 28 July 1951, as supplemented by the New York Protocol of 31 January 1967,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter
1.   This Regulation establishes an ‘Entry/Exit System’ (EES) for:
(a)
the recording and storage of the date, time and place of entry and exit of third–country nationals crossing the borders of the Member States at which the EES is operated;
(b)
the calculation of the duration of the authorised stay of such third-country nationals;
(c)
the generation of alerts to Member States when the authorised stay has expired; and
(d)
the recording and storage of the date, time and place of refusal of entry of third-country nationals whose entry for a short stay has been refused, as well as the authority of the Member State which refused the entry and the reasons therefor.
2.   For the purposes of the prevention, detection and investigation of terrorist offences or of other serious criminal offences, this Regulation also lays down the conditions under which Member States’ designated authorities and Europol may obtain access to the EES for consultation.
Article 2
Scope
1.   This Regulation applies to:
(a)
third-country nationals admitted for a short stay to the territory of the Member States who are subject to border checks in accordance with Regulation (EU) 2016/399 when crossing the borders at which the EES is operated; and
(b)
third-country nationals, on entry to and exit from the territory of the Member States, who:
(i)
are members of the family of a Union citizen to whom Directive 2004/38/EC applies or of a national of a third country enjoying the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other; and
(ii)
do not hold a residence card pursuant to Directive 2004/38/EC or a residence permit pursuant to Council Regulation (EC) No 1030/2002 
(
32
)
.
2.   This Regulation also applies to third-country nationals whose entry for a short stay to the territory of the Member States is refused in accordance with Article 14 of Regulation (EU) 2016/399.
3.   This Regulation does not apply to:
(a)
third–country nationals who are members of the family of a Union citizen to whom Directive 2004/38/EC applies and who hold a residence card pursuant to that Directive, whether or not they accompany or join that Union citizen;
(b)
third-country nationals who are members of the family of a national of a third country, whether or not they accompany or join that national of a third country, where:
(i)
that national of a third country enjoys the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other; and
(ii)
those third-country nationals hold a residence card pursuant to Directive 2004/38/EC or a residence permit pursuant to Regulation (EC) No 1030/2002;
(c)
holders of residence permits referred to in point 16 of Article 2 of Regulation (EU) 2016/399 other than those covered by points (a) and (b) of this paragraph;
(d)
third-country nationals exercising their right to mobility in accordance with Directive 2014/66/EU of the European Parliament and of the Council 
(
33
)
 or Directive (EU) 2016/801 of the European Parliament and of the Council 
(
34
)
;
(e)
holders of long-stay visas;
(f)
nationals of Andorra, Monaco and San Marino and holders of a passport issued by the Vatican City State;
(g)
persons or categories of persons exempt from border checks or benefiting from specific rules in relation to border checks as referred to in point (g) of Article 6a(3) of Regulation (EU) 2016/399;
(h)
persons or categories of persons referred to in points (h), (i), (j) and (k) of Article 6a(3) of Regulation (EU) 2016/399.
4.   The provisions of this Regulation regarding the calculation of the duration of the authorised stay and the generation of alerts to Member States when the authorised stay has expired do not apply to third-country nationals who:
(a)
are members of the family of a Union citizen to whom Directive 2004/38/EC applies or of a national of a third country enjoying the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other; and
(b)
do not hold a residence card pursuant to Directive 2004/38/EC or a residence permit pursuant to Regulation (EC) No 1030/2002.
Article 3
Definitions
1.   For the purposes of this Regulation, the following definitions apply:
(1)
‘external borders’ means external borders as defined in point 2 of Article 2 of Regulation (EU) 2016/399;
(2)
‘internal borders’ means internal borders as defined in point 1 of Article 2 of Regulation (EU) 2016/399;
(3)
‘border authority’ means the border guard assigned in accordance with national law to carry out border checks as defined in point 11 of Article 2 of Regulation (EU) 2016/399;
(4)
‘immigration authority’ means the competent authority responsible, in accordance with national law, for one or more of the following:
(a)
checking within the territory of the Member States whether the conditions for entry to, or stay on, the territory of the Member States are fulfilled;
(b)
examining the conditions for, and taking decisions related to, the residence of third-country nationals on the territory of the Member States insofar as that authority does not constitute a ‘determining authority’ as defined in point (f) of Article 2 of Directive 2013/32/EU of the European Parliament and of the Council 
(
35
)
, and, where relevant, providing advice in accordance with Council Regulation (EC) No 377/2004 
(
36
)
;
(c)
the return of third-country nationals to a third country of origin or transit;
(5)
‘visa authority’ means the visa authority as defined in point 3 of Article 4 of Regulation (EC) No 767/2008;
(6)
‘third-country national’ means any person who is not a citizen of the Union within the meaning of Article 20(1) TFEU, with the exception of persons who enjoy the right of free movement equivalent to that of Union citizens under agreements between the Union and its Member States, on the one hand, and third countries, on the other;
(7)
‘travel document’ means a passport or other equivalent document entitling the holder to cross the external borders and to which a visa may be affixed;
(8)
‘short stay’ means stays on the territory of the Member States of a duration of no more than 90 days in any 180-day period as referred to in Article 6(1) of Regulation (EU) 2016/399;
(9)
‘short-stay visa’ means visa as defined in point (a) of point 2 of Article 2 of Regulation (EC) No 810/2009 of the European Parliament and of the Council 
(
37
)
;
(10)
‘national short-stay visa’ means an authorisation issued by a Member State which does not apply the Schengen 
acquis
 in full with a view to an intended stay on the territory of that Member State of a duration of no more than 90 days in any 180-day period;
(11)
‘authorised stay’ means the exact number of days during which a third-country national is permitted to legally stay on the territory of the Member States, counting from the date of the entry in accordance with the applicable provisions;
(12)
‘Member State responsible’ means the Member State which has entered data in the EES;
(13)
‘verification’ means the process of comparing sets of data to establish the validity of a claimed identity (one-to-one check);
(14)
‘identification’ means the process of determining a person’s identity through a database search against multiple sets of data (one-to-many check);
(15)
‘alphanumeric data’ means data represented by letters, digits, special characters, spaces and punctuation marks;
(16)
‘fingerprint data’ means the data relating to the four fingerprints of the index, middle finger, ring finger and little finger from the right hand where present, and otherwise from the left hand;
(17)
‘facial image’ means digital images of the face;
(18)
‘biometric data’ means fingerprint data and facial image;
(19)
‘overstayer’ means a third-country national who does not fulfil or no longer fulfils the conditions relating to the duration of his or her authorised short stay on the territory of the Member States;
(20)
‘eu-LISA’ means the European Agency for the operational management of large-scale information systems in the area of freedom, security and justice established by Regulation (EU) No 1077/2011;
(21)
‘supervisory authorities’ means the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 and the supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680;
(22)
‘EES data’ means all data stored in the EES Central System in accordance with Article 14 and Articles 16 to 20;
(23)
‘law enforcement’ means the prevention, detection or investigation of terrorist offences or other serious criminal offences;
(24)
‘terrorist offence’ means an offence under national law which corresponds or is equivalent to one of the offences referred to in Directive (EU) 2017/541;
(25)
‘serious criminal offence’ means an offence which corresponds or is equivalent to one of the offences referred to in Article 2(2) of Framework Decision 2002/584/JHA, if it is punishable under national law by a custodial sentence or a detention order for a maximum period of at least three years;
(26)
‘designated authority’ means an authority designated by a Member State pursuant to Article 29 as responsible for the prevention, detection or investigation of terrorist offences or of other serious criminal offences;
(27)
‘self-service system’ means a self-service system as defined in point 23 of Article 2 of Regulation (EU) 2016/399;
(28)
‘e-gate’ means an e-gate as defined in point 24 of Article 2 of Regulation (EU) 2016/399;
(29)
‘Failure To Enrol Rate’ (FTER) means the proportion of registrations with insufficient quality of the biometric enrolment;
(30)
‘False Positive Identification Rate’ (FPIR) means the proportion of returned matches during a biometric search which do not belong to the checked traveller;
(31)
‘False Negative Identification Rate’ (FNIR) means the proportion of missed matches during a biometric search even though the traveller’s biometric data were registered.
2.   The terms defined in Article 4 of Regulation (EU) 2016/679 shall have the same meaning in this Regulation in so far as personal data are processed by the authorities of Member States for the purposes laid down in Article 6(1) of this Regulation.
3.   The terms defined in Article 3 of Directive (EU) 2016/680 shall have the same meaning in this Regulation in so far as personal data are processed by the authorities of the Member States for the purposes laid down in Article 6(2) of this Regulation.
Article 4
Borders at which the EES is operated and use of the EES at those borders
1.   The EES shall be operated at the external borders.
2.   The Member States which apply the Schengen 
acquis
 in full shall introduce the EES at their internal borders with Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES.
3.   The Member States which apply the Schengen 
acquis
 in full and the Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES shall introduce the EES at their internal borders with the Member States which do not yet apply the Schengen 
acquis
 in full and do not operate the EES.
4.   Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES shall introduce the EES at their internal borders as defined under points (b) and (c) of Article 2(1) of Regulation (EU) 2016/399.
5.   By way of derogation from the third and fourth subparagraphs of Article 23(2) and from Article 27, a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES shall introduce the EES without biometric functionalities at its internal land borders with a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES. Where, at those internal borders, a third-country national has not yet been registered in the EES, that third-country national’s individual file shall be created without recording biometric data. Biometric data shall be added at the next border crossing point where the EES is operated with biometric functionalities.
Article 5
Set-up of the EES
eu-LISA shall develop the EES and ensure its operational management, including the functionalities for processing biometric data as referred to in point (d) of Article 16(1) and points (b) and (c) of Article 17(1), as well as the adequate security of the EES.
Article 6
Objectives of the EES
1.   By recording and storing data in the EES and by providing Member States with access to such data, the objectives of the EES shall be to:
(a)
enhance the efficiency of border checks by calculating and monitoring the duration of the authorised stay on the entry and exit of third-country nationals admitted for a short stay;
(b)
assist in the identification of third-country nationals who do not or no longer fulfil the conditions for entry to, or for short stay on, the territory of the Member States;
(c)
allow the identification and detection of overstayers and enable the competent national authorities of the Member States to take appropriate measures;
(d)
allow refusals of entry in the EES to be checked electronically;
(e)
enable automation of border checks on third-country nationals;
(f)
enable visa authorities to have access to information on the lawful use of previous visas;
(g)
inform third-country nationals of the duration of their authorised stay;
(h)
gather statistics on the entries and exits, refusals of entry and overstays of third-country nationals in order to improve the assessment of the risk of overstays and support evidence-based Union migration policy making;
(i)
combat identity fraud and the misuse of travel documents.
2.   By granting access to designated authorities in accordance with the conditions set out in this Regulation, the objectives of the EES shall be to:
(a)
contribute to the prevention, detection and investigation of terrorist offences or of other serious criminal offences;
(b)
enable the generation of information for investigations related to terrorist offences or other serious criminal offences, including the identification of perpetrators, suspects and victims of those offences who have crossed the external borders.
3.   The EES shall, where relevant, support Member States in operating their national facilitation programmes established in accordance with Article 8d of Regulation (EU) 2016/399, in order to facilitate border crossing for third-country nationals, by:
(a)
enabling the national competent authorities referred to in Article 8d of Regulation (EU) 2016/399 to have access to information on previous short stays or refusals of entry for the purposes of the examination of applications for access to national facilitation programmes and the adoption of decisions referred to in Article 25 of this Regulation;
(b)
notifying the border authorities that access is granted to a national facilitation programme.
Article 7
Technical architecture of the EES
1.   The EES shall be composed of:
(a)
a Central System (EES Central System);
(b)
a National Uniform Interface (NUI) in each Member State based on common technical specifications and identical for all Member States, enabling the connection of the EES Central System to the national border infrastructures in Member States in a secure manner;
(c)
a Secure Communication Channel between the EES Central System and the VIS Central System;
(d)
a Communication Infrastructure, which shall be secure and encrypted, between the EES Central System and the NUIs;
(e)
the web service referred to in Article 13;
(f)
the data repository, established at a central level, as referred to in Article 63(2).
2.   The EES Central System shall be hosted by eu-LISA in its technical sites. It shall provide the functionalities laid down in this Regulation in accordance with the conditions of availability, quality and speed pursuant to Article 37(3).
3.   Without prejudice to Commission Decision 2008/602/EC 
(
38
)
, certain hardware and software components of the Communication Infrastructure of the EES shall be shared with the communication infrastructure of the VIS referred to in Article 1(2) of Decision 2004/512/EC. Logical separation of VIS data and EES data shall be ensured.
Article 8
Interoperability with the VIS
1.   eu-LISA shall establish a Secure Communication Channel between the EES Central System and the VIS Central System to enable interoperability between the EES and the VIS. Direct consultation between the EES and the VIS shall only be possible where provided for by both this Regulation and Regulation (EC) No 767/2008. The retrieval of visa-related data from the VIS, their importation into the EES and the updating of data from the VIS in the EES shall be an automated process once the operation in question is launched by the authority concerned.
2.   Interoperability shall enable the border authorities using the EES to consult the VIS from the EES in order to:
(a)
retrieve the visa-related data directly from the VIS and import them into the EES in order to create or update the entry/exit record or the refusal of entry record of a visa holder in the EES in accordance with Articles 14, 16 and 18 of this Regulation and Article 18a of Regulation (EC) No 767/2008;
(b)
retrieve the visa-related data directly from the VIS and import them into the EES in order to update the entry/exit record in the event that a visa is annulled, revoked or extended in accordance with Article 19 of this Regulation and Articles 13, 14 and 18a of Regulation (EC) No 767/2008;
(c)
verify, pursuant to Article 23 of this Regulation and Article 18(2) of Regulation (EC) No 767/2008, the authenticity and validity of the relevant visa or whether the conditions for entry to the territory of the Member States in accordance with Article 6 of Regulation (EU) 2016/399 are fulfilled;
(d)
verify at the borders at which the EES is operated whether a visa-exempt third-country national has been previously registered in the VIS in accordance with Article 23 of this Regulation and Article 19a of Regulation (EC) No 767/2008; and
(e)
where the identity of a visa holder is verified using fingerprints, verify at the borders at which the EES is operated the identity of a visa holder by comparing the fingerprints of the visa holder with the fingerprints recorded in the VIS in accordance with Article 23 of this Regulation and Article 18(6) of Regulation (EC) No 767/2008.
3.   Interoperability shall enable the visa authorities using the VIS to consult the EES from the VIS in order to:
(a)
examine visa applications and adopt decisions relating to those applications in accordance with Article 24 of this Regulation and Article 15(4) of Regulation (EC) No 767/2008;
(b)
examine, for the Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES, applications for national short-stay visas and adopt decisions relating to those applications;
(c)
update the visa-related data in the entry/exit record in the event that a visa is annulled, revoked or extended in accordance with Article 19 of this Regulation and Articles 13 and 14 of Regulation (EC) No 767/2008.
4.   For the operation of the EES web service referred to in Article 13, the separate read-only database referred to in Article 13(5) shall be updated on a daily basis by the VIS via a one-way extraction of the minimum necessary subset of VIS data.
Article 9
Access to the EES for entering, amending, erasing and consulting data
1.   Access to the EES for entering, amending, erasing and consulting the data referred to in Article 14 and Articles 16 to 20 shall be reserved exclusively for the duly authorised staff of the national authorities of each Member State which are competent for the purposes laid down in Articles 23 to 35. That access shall be limited to the extent necessary for the performance of the tasks of those national authorities in accordance with those purposes and shall be proportionate to the objectives pursued.
2.   Each Member State shall designate the competent national authorities which shall be border authorities, visa authorities and immigration authorities for the purposes of this Regulation. The duly authorised staff of the competent national authorities shall have access to the EES to enter, amend, erase or consult data. Each Member State shall communicate a list of those competent national authorities to eu-LISA without delay. That list shall specify for which purpose each authority is to have access to the data stored in the EES.
3.   The authorities entitled to consult or access the EES data in order to prevent, detect and investigate terrorist offences or other serious criminal offences shall be designated in accordance with Chapter IV.
Article 10
General principles
1.   Each competent authority authorised to access the EES shall ensure that the use of the EES is necessary, appropriate and proportionate.
2.   Each competent authority shall ensure that the use of the EES, including the capturing of biometric data, is in accordance with the safeguards laid down in the Convention for the Protection of Human Rights and Fundamental Freedoms, in the Charter of Fundamental Rights of the European Union and in the United Nations Convention on the Rights of the Child. In particular, when capturing a child’s data, the best interests of the child shall be a primary consideration.
Article 11
Automated calculator and obligation to inform third-country nationals on the remaining authorised stay
1.   The EES shall include an automated calculator that indicates the maximum duration of authorised stay for third-country nationals registered in the EES.
The automated calculator shall not apply to third-country nationals:
(a)
who are members of the family of a Union citizen to whom Directive 2004/38/EC applies or of a national of a third country enjoying the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other; and
(b)
who do not hold a residence card pursuant to Directive 2004/38/EC or a residence permit pursuant to Regulation (EC) No 1030/2002.
2.   The automated calculator shall inform the competent authorities:
(a)
on entry, of the maximum duration of authorised stay of third-country nationals and whether the number of authorised entries of a short-stay visa issued for one or two entries has been exhausted;
(b)
during checks or verifications carried out within the territory of the Member States, of the remaining authorised stay or duration of overstay of the third-country nationals;
(c)
on exit, of any overstay of third-country nationals;
(d)
when examining and deciding on short-stay visa applications, of the maximum remaining duration of authorised stay based on intended entry dates.
3.   The border authorities shall inform the third-country national of the maximum duration of authorised stay, which shall take into account the number of entries and the length of stay authorised by the visa in accordance with Article 8(9) of Regulation (EU) 2016/399. That information shall be provided either by the border guard at the moment of the border checks or by means of equipment installed at the border crossing point enabling the third-country national to consult the web service as referred to in Article 13(1) and (2) of this Regulation.
4.   For third-country nationals subject to a visa requirement staying on the basis of a short-stay visa or a national short-stay visa in a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES, the automated calculator shall not indicate the authorised stay based on the short-stay visa or the national short-stay visa.
In the case referred to in the first subparagraph, the automated calculator shall only verify:
(a)
compliance with the overall limit of 90 days in any 180-day period; and
(b)
for short-stay visas, compliance with the period of validity of such visas.
5.   For the purpose of verifying whether third-country nationals holding a short-stay visa issued for one or two entries have already used the number of entries authorised by their short-stay visa, the automated calculator shall only take into account entries into the territory of Member States which apply the Schengen 
acquis
 in full. That verification shall not be carried out, however, at the entry into the territory of Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES.
6.   The automated calculator shall also apply to short stays based on a short-stay visa with limited territorial validity issued pursuant to point (b) of Article 25(1) of Regulation (EC) No 810/2009. In that case, the automated calculator shall take into account the authorised stay as defined by such a visa, irrespective of whether the cumulative stay of the third-country national concerned exceeds 90 days in any 180-day period.
Article 12
Information mechanism
1.   The EES shall include a mechanism that shall automatically identify which entry/exit records do not have exit data immediately following the date of expiry of an authorised stay and automatically identify records for which the maximum duration of authorised stay was exceeded.
2.   For third-country nationals who cross a border on the basis of a valid Facilitated Transit Document issued in accordance with Council Regulation (EC) No 693/2003 
(
39
)
 (FTD), the EES shall include a mechanism which shall automatically identify which entry/exit records do not have exit data immediately following the time of expiry of authorised stay and automatically identify records for which the maximum duration of authorised stay has been exceeded.
3.   A list generated by the EES containing the data referred to in Articles 16 and 17 of all persons identified as overstayers shall be available to the competent national authorities designated in accordance with Article 9(2) in order to enable those authorities to adopt appropriate measures.
Article 13
Web service
1.   In order to enable third-country nationals to verify at any moment the remaining authorised stay, a secure internet access to a web service hosted by eu-LISA in its technical sites shall allow third-country nationals to provide the data required pursuant to point (b) of Article 16(1) together with their intended date of entry or exit, or both. On that basis, the web service shall provide third-country nationals with an OK/NOT OK answer, as well as the information on the remaining authorised stay.
2.   By way of derogation from paragraph 1, for an intended stay in a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES, the web service shall not provide any information on the authorised stay based on a short-stay visa or a national short-stay visa.
In the case referred to in the first subparagraph, the web service shall enable third-country nationals to verify the compliance with the overall limit of 90 days in any 180-day period and to receive information on the remaining authorised stay under that limit. This information shall be provided for stays in the 180-day period preceding the consultation of the web service or their intended date of entry or exit, or both.
3.   In order to fulfil their obligation under point (b) of Article 26(1) of the Convention implementing the Schengen Agreement, carriers shall use the web service to verify whether third-country nationals holding a short-stay visa issued for one or two entries have already used the number of entries authorised by their visa. Carriers shall provide the data listed under points (a), (b) and (c) of Article 16(1) of this Regulation. On that basis, the web service shall provide carriers with an OK/NOT OK answer. Carriers may store the information sent and the answer received in accordance with the applicable law. Carriers shall establish an authentication scheme to ensure that only authorised staff may access the web service. It shall not be possible to regard the OK/NOT OK answer as a decision to authorise or refuse entry in accordance with Regulation (EU) 2016/399.
4.   For the purpose of implementing Article 26(2) of the Convention implementing the Schengen Agreement or for the purpose of resolving any potential dispute arising from Article 26 of the Convention implementing the Schengen Agreement, eu-LISA shall keep logs of all data processing operations carried out within the web service by carriers. Those logs shall show the date and time of each operation, the data used for interrogation, the data transmitted by the web service and the name of the carrier in question.
Logs shall be stored for a period of two years. Logs shall be protected by appropriate measures against unauthorised access.
5.   The web service shall make use of a separate read-only database updated on a daily basis via a one-way extraction of the minimum necessary subset of EES and VIS data. eu-LISA shall be responsible for the security of the web service, for the security of the personal data it contains and for the process of extracting the personal data into the separate read-only database.
6.   The web service shall not enable carriers to verify whether third-country nationals holding a national short-stay visa issued for one or two entries have already used the number of entries authorised by that visa.
7.   The Commission shall adopt implementing acts concerning the detailed rules on the conditions for the operation of the web service and the data protection and security rules applicable to the web service. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 68(2).
CHAPTER II
ENTRY AND USE OF DATA BY COMPETENT AUTHORITIES
Article 14
Procedures for entering data in the EES
1.   Border authorities shall verify, in accordance with Article 23, whether a previous individual file has been created in the EES for the third-country national as well as his or her identity. Where a third-country national uses a self-service system for the pre-enrolment of data or for the carrying out of border checks, the verification shall be carried out through the self-service system.
2.   Where a previous individual file has been created for the third-country national, the border authority shall, where necessary:
(a)
update that individual file, namely the data referred to in Articles 16, 17 and 18, as applicable, and
(b)
enter an entry record for each entry and an exit record for each exit in accordance with Articles 16 and 17 or, where applicable, a refusal of entry record in accordance with Article 18.
The records referred to in point (b) of the first subparagraph of this paragraph shall be linked to the individual file of the third-country national concerned.
Where applicable, the data referred to in Article 19(1), (2), (4) and (5) shall be added to the entry/exit record of the third-country national concerned. The travel documents and identities used legitimately by a third-country national shall be added to the third-country national’s individual file.
Where a previous individual file is recorded and the third-country national presents a valid travel document which differs from the one that was previously recorded, the data referred to in point (d) of Article 16(1) and point (b) of Article 17(1) shall also be updated in accordance with Article 15.
3.   Where it is necessary to enter or update the entry/exit record data of a visa holder, the border authorities may retrieve from the VIS and import into the EES the data provided for in points (c) to (f) of Article 16(2) of this Regulation in accordance with Article 8 of this Regulation and Article 18a of Regulation (EC) No 767/2008.
4.   In the absence of a previous registration of a third-country national in the EES, the border authority shall create an individual file of that third-country national by entering the data referred to in Articles 16(1) and (6), 17(1) and 18(1) as applicable.
5.   Where a third-country national uses a self-service system for the pre-enrolment of data, Article 8a of Regulation (EU) 2016/399 shall apply. In that case, the third-country national may pre-enrol the individual file data or, if applicable, the data in the entry/exit record that need to be updated. The data shall be confirmed by the border authorities when the decision to authorise or to refuse entry has been taken in accordance with Regulation (EU) 2016/399. The data listed in points (c) to (f) of Article 16(2) of this Regulation may be retrieved from the VIS and imported into the EES.
6.   Where a third-country national uses a self-service system for the carrying out of the border checks, Article 8b of Regulation (EU) 2016/399 shall apply. In that case, the verification referred to in paragraph 1 of this Article shall be carried out through the self-service system.
7.   Where a third-country national uses an e-gate for crossing the external borders or the internal borders where controls have not yet been lifted, Article 8b of Regulation (EU) 2016/399 shall apply. In that case, the corresponding registration of the entry/exit record and the linking of that record to the individual file concerned shall be carried out through the e-gate.
8.   Without prejudice to Article 20 of this Regulation and Article 12(3) of Regulation (EU) 2016/399, where the short stay of a third-country national who is present on the territory of a Member State starts directly after a stay based on a residence permit or a long-stay visa and no previous individual file has been created, that third-country national may request the competent authorities referred to in Article 9(2) of this Regulation to create an individual file and an entry/exit record by entering the data referred to in Articles 16(1), (2) and (6) and 17(1) of this Regulation. Instead of the data referred to in point (a) of Article 16(2) of this Regulation, those competent authorities shall insert the date of the start of the short stay and, instead of the data referred to in point (b) of Article 16(2) of this Regulation, they shall insert the name of the authority that inserted those data.
Article 15
Facial image of third-country nationals
1.   Where it is necessary to create an individual file or to update the facial image referred to in point (d) of Article 16(1) and point (b) of Article 17(1), the facial image shall be taken live.
2.   By way of derogation from paragraph 1, in exceptional cases where the quality and resolution specifications set for the enrolment of the live facial image in the EES cannot be met, the facial image may be extracted electronically from the chip of the electronic Machine Readable Travel Document (eMRTD). In such cases, the facial image shall only be inserted into the individual file after electronic verification that the facial image recorded in the chip of the eMRTD corresponds to the live facial image of the third-country national concerned.
3.   Each Member State shall transmit once a year a report on the application of paragraph 2 to the Commission. That report shall include the number of third-country nationals concerned, as well as an explanation of the exceptional cases faced.
4.   The facial image of third-country nationals shall have sufficient image resolution and quality to be used in automated biometric matching.
5.   Within a period of two years following the start of operations of the EES, the Commission shall produce a report on the quality standards of facial images stored in the VIS and on whether they are such that they enable biometric matching with a view to using facial images stored in the VIS at borders and within the territory of the Member States for the verification of the identity of third-country nationals subject to a visa requirement, without storing such facial images in the EES. The Commission shall transmit that report to the European Parliament and to the Council. That report shall be accompanied, where considered appropriate by the Commission, by legislative proposals, including proposals to amend this Regulation, Regulation (EC) No 767/2008, or both, as regards the use of the facial images of third-country nationals stored in the VIS for the purposes referred to in this paragraph.
Article 16
Personal data of third-country nationals subject to a visa requirement
1.   At the borders at which the EES is operated, the border authority shall create the individual file of a third-country national subject to a visa requirement by entering the following data:
(a)
surname (family name); first name or names (given names); date of birth; nationality or nationalities; sex;
(b)
the type and number of the travel document or documents and the three letter code of the issuing country of the travel document or documents;
(c)
the date of expiry of the validity of the travel document or documents;
(d)
the facial image as referred to in Article 15.
2.   On each entry of a third-country national subject to a visa requirement at a border at which the EES is operated, the following data shall be entered in an entry/exit record:
(a)
the date and time of the entry;
(b)
the border crossing point of the entry and the authority that authorised the entry;
(c)
where applicable, the status of that third-country national indicating that he or she is a third-country national who:
(i)
is a member of the family of a Union citizen to whom Directive 2004/38/EC applies or of a national of a third country enjoying the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other; and
(ii)
does not hold a residence card pursuant to Directive 2004/38/EC or a residence permit pursuant to Regulation (EC) No 1030/2002;
(d)
the short-stay visa sticker number, including the three letter code of the issuing Member State, the type of short-stay visa, the end date of the maximum duration of the stay as authorised by the short-stay visa, which shall be updated at each entry, and the date of expiry of the validity of the short-stay visa, where applicable;
(e)
on the first entry on the basis of a short-stay visa, the number of entries and the duration of stay authorised by the short-stay visa as indicated on the short-stay visa sticker;
(f)
where applicable, the information indicating that the short-stay visa has been issued with limited territorial validity pursuant to point (b) of Article 25(1) of Regulation (EC) No 810/2009;
(g)
for the Member States which do not yet apply the Schengen 
acquis
 in full but operate the EES, a notification, where applicable, indicating that the third-country national used a national short-stay visa for the entry.
The entry/exit record referred to in the first subparagraph shall be linked to the individual file of that third-country national using the individual reference number created by the EES upon creation of that individual file.
3.   On each exit of a third-country national subject to a visa requirement at a border at which the EES is operated, the following data shall be entered in the entry/exit record:
(a)
the date and time of the exit;
(b)
the border crossing point of the exit.
Where that third-country national uses a visa other than the visa recorded in the last entry record, the data of the entry/exit record listed in points (d) to (g) of paragraph 2 shall be updated accordingly.
The entry/exit record referred to in the first subparagraph shall be linked to the individual file of that third-country national.
4.   Where there is no exit data immediately following the date of expiry of the authorised stay, the entry/exit record shall be identified with a flag by the EES and the data of the third-country national subject to a visa requirement, who has been identified as an overstayer, shall be entered into the list referred to in Article 12.
5.   In order to enter or update the entry/exit record of a third-country national subject to a visa requirement, the data provided for in points (c) to (f) of paragraph 2 of this Article may be retrieved from the VIS and imported into the EES by the border authority in accordance with Article 18a of Regulation (EC) No 767/2008.
6.   Where a third-country national benefits from the national facilitation programme of a Member State in accordance with Article 8d of Regulation (EU) 2016/399, the Member State concerned shall insert a notification in the individual file of that third-country national specifying the national facilitation programme of the Member State concerned.
7.   The specific provisions set out in Annex II shall apply to third-country nationals who cross the border on the basis of a valid FTD.
Article 17
Personal data of visa-exempt third-country nationals
1.   The border authority shall create the individual file of visa-exempt third-country nationals by entering the following:
(a)
the data provided for in points (a), (b) and (c) of Article 16(1);
(b)
the facial image as referred to in Article 15;
(c)
fingerprint data from the right hand, where present, and otherwise the corresponding fingerprint data from the left hand; fingerprint data shall have sufficient resolution and quality to be used in automated biometric matching;
(d)
where relevant, the data provided for in Article 16(6).
2.   For visa-exempt third-country nationals, points (a), (b) and (c) of Article 16(2), points (a) and (b) of Article 16(3) and Article 16(4) shall apply 
mutatis mutandis
.
3.   Children under the age of 12 shall be exempt from the requirement to give fingerprints.
4.   Persons for whom fingerprinting is physically impossible shall be exempt from the requirement to give fingerprints.
However, where the physical impossibility is of a temporary nature, that fact shall be recorded in the EES and the person shall be required to give the fingerprints on exit or at the subsequent entry. This information shall be deleted from the EES once the fingerprints have been given. The border authorities shall be entitled to request further clarification on the grounds for the temporary impossibility to give fingerprints. Member States shall ensure that appropriate procedures guaranteeing the dignity of the person are in place in the event of difficulties encountered in the capturing of fingerprints.
5.   Where the person concerned is exempt from the requirement to give fingerprints pursuant to paragraphs 3 or 4, the specific data field shall be marked as ‘not applicable’.
Article 18
Personal data of third-country nationals who have been refused entry
1.   Where a decision has been taken by the border authority, in accordance with Article 14 of and Annex V to Regulation (EU) 2016/399, to refuse the entry of a third-country national for a short stay on the territory of the Member States and where no previous file is recorded in the EES for that third-country national, the border authority shall create an individual file in which it shall enter:
(a)
for third-country nationals subject to a visa requirement, the alphanumeric data required pursuant to Article 16(1) of this Regulation and, where relevant, the data referred to in Article 16(6) of this Regulation;
(b)
for visa-exempt third-country nationals, the alphanumeric data required pursuant to Article 17(1) of this Regulation.
2.   Where the third-country national is refused entry on the basis of a reason corresponding to point B, D or H of Part B of Annex V to Regulation (EU) 2016/399 and where no previous file with biometric data is recorded in the EES for that third-country national, the border authority shall create an individual file in which it shall enter the alphanumeric data required pursuant to Article 16(1) or Article 17(1) of this Regulation, as appropriate, as well as the following data:
(a)
for third-country nationals subject to a visa requirement, the facial image referred to in point (d) of Article 16(1) of this Regulation;
(b)
for visa-exempt third-country nationals, the biometric data required pursuant to points (b) and (c) of Article 17(1) of this Regulation;
(c)
for third-country nationals subject to a visa requirement who are not registered in the VIS, the facial image referred to in point (d) of Article 16(1) of this Regulation and the fingerprint data as referred to point (c) of Article 17(1) of this Regulation.
3.   By way of derogation from paragraph 2 of this Article, where the reason corresponding to point H of Part B of Annex V to Regulation (EU) 2016/399 applies and the biometric data of the third-country national are recorded in the SIS alert that results in the refusal of entry, the biometric data of the third-country national shall not be entered in the EES.
4.   Where the third-country national is refused entry on the basis of a reason corresponding to point I of Part B of Annex V to Regulation (EU) 2016/399 and where no previous file with biometric data is recorded in the EES for that third-country national, the biometric data shall only be entered in the EES where the entry is refused because the third-country national is considered to be a threat to internal security, including, where appropriate, elements of public policy.
5.   Where a third-country national is refused entry on the basis of a reason corresponding to point J of Part B of Annex V to Regulation (EU) 2016/399, the border authority shall create the individual file of that third-country national without adding biometric data. If the third-country national possesses an eMRTD, the facial image shall be extracted from that eMRTD.
6.   Where a decision has been taken by the border authority, in accordance with Article 14 of and Annex V to Regulation (EU) 2016/399, to refuse the entry of a third-country national for a short stay to the territory of the Member States, the following data shall be entered in a separate refusal of entry record:
(a)
the date and time of refusal of entry;
(b)
the border crossing point;
(c)
the authority that refused the entry;
(d)
the point or points corresponding to the reasons for refusing entry in accordance with Part B of Annex V to Regulation (EU) 2016/399.
In addition, for third-country nationals subject to a visa requirement, the data provided for in points (d) to (g) of Article 16(2) of this Regulation shall be entered in the refusal of entry record.
In order to create or update the refusal of entry record of third-country nationals subject to a visa requirement, the data provided for in points (d), (e) and (f) of Article 16(2) of this Regulation may be retrieved from the VIS and imported into the EES by the competent border authority in accordance with Article 18a of Regulation (EC) No 767/2008.
7.   The refusal of entry record provided for in paragraph 6 shall be linked to the individual file of the third-country national concerned.
Article 19
Data to be added where an authorisation for short stay is revoked, annulled or extended
1.   Where a decision has been taken to revoke or annul an authorisation for short stay or a visa or to extend the duration of an authorised stay or visa, the competent authority that has taken such a decision shall add the following data to the latest relevant entry/exit record:
(a)
the status information indicating that the authorisation for short stay or the visa has been revoked or annulled or that the duration of the authorised stay or the visa has been extended;
(b)
the identity of the authority that revoked or annulled the authorisation for short stay or the visa or extended the duration of the authorised stay or the visa;
(c)
the place and date of the decision to revoke or annul the authorisation for short stay or the visa or to extend the duration of the authorised stay or the visa;
(d)
where applicable, the new visa sticker number, including the three letter code of the issuing country;
(e)
where applicable, the period of the extension of the duration of authorised stay;
(f)
where applicable, the new expiry date of the authorised stay or the visa.
2.   Where the duration of authorised stay has been extended in accordance with Article 20(2) of the Convention implementing the Schengen Agreement, the competent authority that extended the authorised stay shall add the data regarding the period of extension of the authorised stay to the latest relevant entry/exit record and, where applicable, an indication that the authorised stay was extended in accordance with point (b) of Article 20(2) of the Convention implementing the Schengen Agreement.
3.   Where a decision has been taken to annul, revoke or extend a visa, the visa authority which has taken the decision shall immediately retrieve the data provided for in paragraph 1 of this Article from the VIS and import them directly into the EES in accordance with Articles 13 and 14 of Regulation (EC) No 767/2008.
4.   The entry/exit record shall indicate the grounds for revocation or annulment of the short stay, which shall be:
(a)
a return decision adopted pursuant to Directive 2008/115/EC of the European Parliament and of the Council 
(
40
)
;
(b)
any other decision taken by the competent authorities of the Member State, in accordance with national law, resulting in the return, removal or voluntary departure of a third-country national who does not fulfil or no longer fulfils the conditions for the entry into or for the stay on the territory of the Member States.
5.   The entry/exit record shall indicate the grounds for extending the duration of an authorised stay.
6.   When a person has departed or has been removed from the territory of the Member States pursuant to a decision as referred to in paragraph 4 of this Article, the competent authority shall enter the data in accordance with Article 14(2) in the related entry/exit record of that specific entry.
Article 20
Data to be added in case of rebuttal of the presumption that a third-country national does not fulfil the conditions of duration of authorised stay
Without prejudice to Article 22, where no individual file has been created in the EES for a third-country national present on the territory of a Member State or where there is no last relevant entry/exit record for such a third-country national, the competent authorities may presume that the third-country national does not fulfil or no longer fulfils the conditions relating to duration of authorised stay within the territory of the Member States.
In the case referred to in the first paragraph of this Article, Article 12 of Regulation (EU) 2016/399 shall apply and, if the presumption is rebutted in accordance with Article 12(3) of that Regulation, the competent authorities shall:
(a)
create an individual file for that third-country national in the EES, if necessary;
(b)
update the latest entry/exit record by entering the missing data in accordance with Articles 16 and 17 of this Regulation; or
(c)
erase an existing file where Article 35 of this Regulation provides for such erasure.
Article 21
Fall-back procedures where it is technically impossible to enter data or in the event of failure of the EES
1.   Where it is technically impossible to enter data in the EES Central System or in the event of a failure of the EES Central System, the data referred to in Articles 16 to 20 shall be temporarily stored in the NUI. Where that is not possible, the data shall be temporarily stored locally in an electronic format. In both cases, the data shall be entered in the EES Central System as soon as the technical impossibility or failure has been remedied. The Member States shall take the appropriate measures and deploy the required infrastructure, equipment and resources to ensure that such temporary local storage may be carried out at any time and for any of their border crossing points.
2.   Without prejudice to the obligation to carry out border checks under Regulation (EU) 2016/399, the border authority, in the exceptional situation where it is technically impossible to enter data in both the EES Central System and in the NUI and it is technically impossible to temporarily store the data locally in an electronic format, shall manually store the data referred to in Articles 16 to 20 of this Regulation, with the exception of biometric data, and shall affix an entry or exit stamp in the travel document of the third-country national. That data shall be entered in the EES Central System as soon as technically possible.
Member States shall inform the Commission of the stamping of travel documents in the event of the exceptional situations referred to in the first subparagraph of this paragraph. The Commission shall adopt implementing acts concerning the detailed rules on the information to be provided to the Commission. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 68(2).
3.   The EES shall indicate that data referred to in Articles 16 to 20 were entered as a result of a fall-back procedure and that the individual file created pursuant to paragraph 2 of this Article is missing biometric data. The biometric data shall be entered in the EES at the next border crossing.
Article 22
Transitional period and transitional measures
1.   For a period of 180 days after the EES has started operations, in order to verify, on entry and exit, that third-country nationals admitted for a short stay have not exceeded the maximum duration of authorised stay and, where relevant, to verify on entry that third-country nationals have not exceeded the number of entries authorised by the short-stay visa issued for one or two entries, the competent border authorities shall take into account the stays in the territory of the Member States during the 180 days preceding the entry or the exit by checking the stamps in the travel documents in addition to the entry/exit data recorded in the EES.
2.   Where a third-country national has entered the territory of the Member States before the EES has started operations and exits it after the EES has started operations, an individual file shall be created on exit and the date of entry as stamped in the passport shall be entered in the entry/exit record in accordance with Article 16(2). This rule shall not be limited to the 180 days after the EES has started operations as referred to in paragraph 1 of this Article. In case of a discrepancy between the entry stamp and the EES data, the stamp shall prevail.
Article 23
Use of data for verification at the borders at which the EES is operated
1.   Border authorities shall have access to the EES for verifying the identity and previous registration of the third-country national, for updating the EES data where necessary and for consulting the data to the extent required for the carrying out of border checks.
2.   While performing the tasks referred to in paragraph 1 of this Article, the border authorities shall have access to search with the data referred to in points (a), (b) and (c) of Article 16(1) and point (a) of Article 17(1).
In addition, for the purposes of consulting the VIS for verification in accordance with Article 18 of Regulation (EC) No 767/2008, for third-country nationals who are subject to a visa requirement, the border authorities shall launch a search in the VIS directly from the EES using the same alphanumeric data or, where applicable, consult the VIS in accordance with Article 18(2a) of Regulation (EC) No 767/2008.
If the search in the EES with the data set out in the first subparagraph of this paragraph indicates that data on the third-country national are recorded in the EES, the border authorities shall compare the live facial image of the third-country national with the facial image referred to in point (d) of Article 16(1) and point (b) of Article 17(1) of this Regulation or the border authorities shall, in the case of visa-exempt third-country nationals, proceed to a verification of fingerprints against the EES and, in the case of third-country nationals subject to a visa requirement, proceed to a verification of fingerprints directly against the VIS in accordance with Article 18 of Regulation (EC) No 767/2008. For the verification of fingerprints against the VIS for visa holders, the border authorities may launch the search in the VIS directly from the EES as provided in Article 18(6) of that Regulation.
If the verification of the facial image fails, the verification shall be carried out using fingerprints and vice versa.
3.   If the search with the data set out in paragraph 2 indicates that data on the third-country national are recorded in the EES, the border authority shall be given access to consult the data of the individual file of that third-country national and the entry/exit record or records or refusal of entry record or records linked to it.
4.   Where the search with the alphanumeric data set out in paragraph 2 of this Article indicates that data on the third-country national are not recorded in the EES, where a verification of the third-country national pursuant to paragraph 2 of this Article fails or where there are doubts as to the identity of the third-country national, the border authorities shall have access to data for identification in accordance with Article 27 of this Regulation.
In addition to the identification referred to in first subparagraph of this paragraph, the following provisions shall apply:
(a)
for third-country nationals who are subject to a visa requirement, if the search in the VIS with the data referred to in Article 18(1) of Regulation (EC) No 767/2008 indicates that data on the third-country national are recorded in the VIS, a verification of fingerprints against the VIS shall be carried out in accordance with Article 18(5) of Regulation (EC) No 767/2008. For this purpose, the border authority may launch a search from the EES to the VIS as provided for in Article 18(6) of Regulation (EC) No 767/2008. Where a verification of a third-country national pursuant to paragraph 2 of this Article failed, the border authorities shall access the VIS data for identification in accordance with Article 20 of Regulation (EC) No 767/2008.
(b)
for third-country nationals who are not subject to a visa requirement and for whom no data are found in the EES further to the identification run in accordance with Article 27 of this Regulation, the VIS shall be consulted in accordance with Article 19a of Regulation (EC) No 767/2008. The border authority may launch a search from the EES to the VIS as provided for in Article 19a of Regulation (EC) No 767/2008.
5.   For third-country nationals whose data are already recorded in the EES but whose individual file was created in the EES by a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES and whose data were entered in the EES on the basis of a national short-stay visa, the border authorities shall consult the VIS in accordance with point (a) of the second subparagraph of paragraph 4 when, for the first time after the creation of the individual file, the third-country national intends to cross the border of a Member State which applies the Schengen 
acquis
 in full and operates the EES.
CHAPTER III
USE OF THE EES BY OTHER AUTHORITIES
Article 24
Use of the EES for examining and deciding on visas
1.   Visa authorities shall consult the EES for examining visa applications and adopting decisions relating to those applications, including decisions to annul, revoke or extend the period of validity of an issued visa, in accordance with Regulation (EC) No 810/2009.
In addition, visa authorities of a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES shall consult the EES when examining national short-stay visa applications and adopting decisions relating to those applications, including decisions to annul, revoke or extend the period of validity of an issued national short-stay visa.
2.   Visa authorities shall be given access to search the EES directly from the VIS with one or several of the following data:
(a)
the data referred to in points (a), (b) and (c) of Article 16(1);
(b)
the short-stay visa sticker number, including the three letter code of the issuing Member State referred to in point (d) of Article 16(2);
(c)
the fingerprint data or the fingerprint data combined with the facial image.
3.   If the search with the data set out in paragraph 2 indicates that data on the third-country national are recorded in the EES, visa authorities shall be given access to consult the data of the individual file of that third-country national and the entry/exit records, as well as any refusal of entry records linked to that individual file. Visa authorities shall be given access to consult the automated calculator in order to check the maximum remaining duration of an authorised stay. Visa authorities shall also be given access to consult the EES and the automated calculator when examining and taking decisions on new visa applications, so as to automatically establish the maximum duration of authorised stay.
4.   Visa authorities of a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES shall be given access to search the EES with one or several of the data set out in paragraph 2. If the search indicates that data on the third-country national are recorded in the EES, they shall be given access to consult the data of the individual file of that third-country national and the entry/exit records, as well as any refusal of entry records linked to that individual file. Visa authorities of a Member State which does not yet apply the Schengen 
acquis
 in full but operates the EES shall be given access to consult the automated calculator in order to establish the maximum remaining duration of an authorised stay. Visa authorities shall also be given access to consult the EES and the automated calculator when examining and taking decisions on new visa applications, so as to establish the maximum duration of authorised stay.
Article 25
Use of the EES for examining applications for access to national facilitation programmes
1.   The competent authorities referred to in Article 8d of Regulation (EU) 2016/399 shall consult the EES for the purposes of the examination of applications for access to national facilitation programmes referred to in that Article and the adoption of decisions relating to those applications, including decisions to refuse, revoke or extend the period of validity of access to the national facilitation programmes in accordance with that Article.
2.   The competent authorities shall be given access to search with one or several of the following:
(a)
the data referred to in points (a), (b) and (c) of Article 16(1) or the data referred to in point (a) of Article 17(1);
(b)
the fingerprint data or the fingerprint data combined with the facial image.
3.   If the search with the data set out in paragraph 2 indicates that data on the third-country national are recorded in the EES, the competent authority shall be given access to consult the data of the individual file of that third-country national and the entry/exit records, as well as any refusal of entry records linked to that individual file.
Article 26
Access to data for verification within the territory of the Member States
1.   For the purpose of verifying the identity of the third-country national, or checking or verifying whether the conditions for entry to, or stay on, the territory of the Member States are fulfilled, or both, the immigration authorities of the Member States shall have access to search with the data referred to in points (a), (b) and (c) of Article 16(1) and point (a) of Article 17(1).
If the search indicates that data on the third-country national are recorded in the EES, the immigration authorities may:
(a)
compare the live facial image of the third-country national with the facial image referred to in point (d) of Article 16(1) and point (b) of Article 17(1) of this Regulation; or
(b)
verify the fingerprints of visa-exempt third-country nationals in the EES and of third-country nationals subject to a visa requirement in the VIS in accordance with Article 19 of Regulation (EC) No 767/2008.
2.   If the search with the data set out in paragraph 1 indicates that data on the third-country national are recorded in the EES, the immigration authorities shall be given access to consult the automated calculator, the data of the individual file of that third-country national, the entry/exit record or records and any refusal of entry record linked to that individual file.
3.   Where the search with the data set out in paragraph 1 of this Article indicates that data on the third-country national are not recorded in the EES, where verification of the third-country national fails or where there are doubts as to the identity of the third-country national, the immigration authorities shall have access to data for identification in accordance with Article 27.
Article 27
Access to data for identification
1.   The border authorities or immigration authorities shall have access to search with the fingerprint data or the fingerprint data combined with the facial image, for the sole purpose of identifying any third-country national who may have been registered previously in the EES under a different identity or who does not fulfil or no longer fulfils the conditions for entry to, or for stay on, the territory of the Member States.
Where the search with the fingerprint data or with the fingerprint data combined with the facial image indicates that data on that third-country national are not recorded in the EES, access to data for identification shall be carried out in the VIS in accordance with Article 20 of Regulation (EC) No 767/2008. At borders at which the EES is operated, prior to any identification against the VIS, the competent authorities shall first access the VIS in accordance with Articles 18 or 19a of Regulation (EC) No 767/2008.
Where the fingerprints of that third-country national cannot be used or the search with the fingerprint data or with the fingerprint data combined with the facial image has failed, the search shall be carried out with all or some of the data referred to in points (a), (b) and (c) of Article 16(1) and point (a) of Article 17(1).
2.   If the search with the data set out in paragraph 1 indicates that data on the third-country national are recorded in the EES, the competent authority shall be given access to consult the data of the individual file and the entry/exit records and refusal of entry records linked to it.
Article 28
Keeping of data retrieved from the EES
Data retrieved from the EES pursuant to this Chapter may be kept in national files only where necessary in an individual case, in accordance with the purpose for which they were retrieved and with relevant Union law, in particular on data protection, and for no longer than strictly necessary in that individual case.
CHAPTER IV
PROCEDURE AND CONDITIONS FOR ACCESS TO THE EES FOR LAW ENFORCEMENT PURPOSES
Article 29
Member States’ designated authorities
1.   Member States shall designate the authorities which are entitled to consult the EES data in order to prevent, detect and investigate terrorist offences or other serious criminal offences.
2.   Each Member State shall keep a list of the designated authorities. Each Member State shall notify eu-LISA and the Commission of its designated authorities and may at any time amend or replace its notification.
3.   Each Member State shall designate a central access point which shall have access to the EES. The central access point shall verify that the conditions to request access to the EES laid down in Article 32 are fulfilled.
The designated authority and the central access point may be part of the same organisation if permitted under national law, but the central access point shall act fully independently of the designated authorities when performing its tasks under this Regulation. The central access point shall be separate from the designated authorities and shall not receive instructions from them as regards the outcome of the verification which it shall carry out independently.
Member States may designate more than one central access point to reflect their organisational and administrative structures in the fulfilment of their constitutional or legal requirements.
4.   Member States shall notify eu-LISA and the Commission of their central access points and may at any time amend or replace their notifications.
5.   At national level, each Member State shall keep a list of the operating units within the designated authorities that are authorised to request access to EES data through the central access points.
6.   Only duly empowered staff of the central access points shall be authorised to access the EES in accordance with Articles 31 and 32.
Article 30
Europol
1.   Europol shall designate one of its operating units as the ‘Europol designated authority’ and shall authorise it to request access to the EES through the Europol central access point referred to in paragraph 2 in order to support and strengthen action by Member States in preventing, detecting and investigating terrorist offences or other serious criminal offences.
2.   Europol shall designate a specialised unit with duly empowered Europol officials as the Europol central access point. The Europol central access point shall verify that the conditions to request access to the EES laid down in Article 33 are fulfilled.
The Europol central access point shall act independently when performing its tasks under this Regulation and shall not receive instructions from the Europol designated authority as regards the outcome of the verification.
Article 31
Procedure for access to the EES for law enforcement purposes
1.   An operating unit as referred to in Article 29(5) shall submit a reasoned electronic or written request to a central access point as referred to in Article 29(3) for access to EES data. Upon receipt of a request for access, such a central access point shall verify whether the conditions for access referred to in Article 32 are fulfilled. If the conditions for access are fulfilled, such a central access point shall process the request. The EES data accessed shall be transmitted to an operating unit as referred to in Article 29(5) in such a way that the security of the data is not compromised.
2.   In a case of urgency, where there is a need to prevent an imminent danger to the life of a person associated with a terrorist offence or another serious criminal offence, a central access point as referred to in Article 29(3) shall process the request immediately and shall only verify 
ex post
 whether all the conditions referred to in Article 32 are fulfilled, including whether a case of urgency actually existed. The 
ex post
 verification shall take place without undue delay and in any event no later than seven working days after the processing of the request.
3.   Where an 
ex post
 verification determines that the access to EES data was not justified, all the authorities that accessed such data shall erase the information accessed from the EES and shall inform the relevant central access point of the Member State in which the request was made of the erasure.
Article 32
Conditions for access to EES data by designated authorities
1.   Designated authorities may access the EES for consultation where all of the following conditions are met:
(a)
access for consultation is necessary for the purpose of the prevention, detection or investigation of a terrorist offences or another serious criminal offence;
(b)
access for consultation is necessary and proportionate in a specific case;
(c)
evidence or reasonable grounds exist to consider that the consultation of the EES data will contribute to the prevention, detection or investigation of any of the criminal offences in question, in particular where there is a substantiated suspicion that the suspect, perpetrator or victim of a terrorist offence or other serious criminal offence falls under a category covered by this Regulation.
2.   Access to the EES as a tool for the purpose of identifying an unknown suspect, perpetrator or suspected victim of a terrorist offence or other serious criminal offence shall be allowed where, in addition to the conditions listed in paragraph 1, the following conditions are met:
(a)
a prior search has been conducted in national databases; and
(b)
in the case of searches with fingerprints, a prior search has been launched in the automated fingerprint identification system of the other Member States under Decision 2008/615/JHA where comparisons of fingerprints are technically available, and either that search has been fully carried out, or that search has not been fully carried out within two days of being launched.
However, the additional conditions in points (a) and (b) of the first subparagraph shall not apply where there are reasonable grounds to believe that a comparison with the systems of the other Member States would not lead to the verification of the identity of the data subject or in a case of urgency where there is a need to prevent an imminent danger to the life of a person associated with a terrorist offence or another serious criminal offence. Those reasonable grounds shall be included in the electronic or written request sent by the operating unit of the designated authority to the central access point.
A request for consultation of the VIS on the same data subject may be submitted in parallel to a request for consultation of the EES in accordance with the conditions laid down in Council Decision 2008/633/JHA 
(
41
)
.
3.   Access to the EES as a tool to consult the travel history or the periods of stay on the territory of the Member States of a known suspect, perpetrator or suspected victim of a terrorist offence or other serious criminal offence shall be allowed when the conditions listed in paragraph 1 are met.
4.   Consultation of the EES for the purpose of identification as referred to in paragraph 2 shall be limited to searching in the individual file with any of the following EES data:
(a)
fingerprints of visa-exempt third-country nationals or of holders of an FTD. In order to launch this consultation of the EES, latent fingerprints may be used and may therefore be compared with the fingerprints stored in the EES;
(b)
facial images.
Consultation of the EES, in the event of a hit, shall give access to any other data taken from the individual file as listed in Article 16(1) and (6), Article 17(1) and Article 18(1).
5.   Consultation of the EES for the travel history of the third-country national concerned shall be limited to searching with one or several of the following EES data in the individual file, in the entry/exit records or in the refusal of entry records:
(a)
surname (family name); first name or names (given names); date of birth; nationality or nationalities; sex;
(b)
type and number of travel document or documents, three letter code of the issuing country and date of expiry of the validity of the travel document;
(c)
visa sticker number and the date of expiry of the validity of the visa;
(d)
fingerprints, including latent fingerprints;
(e)
facial image;
(f)
date and time of entry, authority that authorised the entry and entry border crossing point;
(g)
date and time of exit and exit border crossing point.
Consultation of the EES shall, in the event of a hit, give access to the data listed in the first subparagraph as well as to any other data taken from the individual file, the entry/exit records and refusal of entry records, including data related to the revocation or extension of an authorisation for short stay in accordance with Article 19.
Article 33
Procedure and conditions for access to EES data by Europol
1.   Europol shall have access to consult the EES where all the following conditions are met:
(a)
the consultation is necessary to support and strengthen action by Member States in preventing, detecting or investigating terrorist offences or other serious criminal offences falling under Europol’s mandate;
(b)
the consultation is necessary and proportionate in a specific case;
(c)
evidence or reasonable grounds exist to consider that the consultation of the EES data will contribute to the prevention, detection or investigation of any of the criminal offences in question, in particular where there is a substantiated suspicion that the suspect, perpetrator or victim of a terrorist offence or other serious criminal offence falls under a category covered by this Regulation.
2.   Access to the EES as a tool for the purpose of identifying an unknown suspect, perpetrator or suspected victim of a terrorist offence or other serious criminal offence shall be allowed where the conditions listed in paragraph 1 are met and the consultation, as a matter of priority, of the data stored in the databases that are technically and legally accessible by Europol has not made it possible to identify the person in question.
A request for consultation of the VIS on the same data subject may be submitted in parallel to a request for consultation of the EES in accordance with the conditions laid down in Decision 2008/633/JHA.
3.   The conditions laid down in Article 32(3), (4) and (5) shall apply accordingly.
4.   The Europol designated authority may submit a reasoned electronic request for the consultation of all EES data or a specific set of EES data to the Europol central access point referred to in Article 30(2). Upon receipt of a request for access, the Europol central access point shall verify whether the conditions for access set out in paragraphs 1 and 2 of this Article are fulfilled. If all conditions for access are fulfilled, the duly authorised staff of the Europol central access point shall process the requests. The EES data accessed shall be transmitted to the Europol designated authority in such a way that the security of the data is not compromised.
5.   Europol shall only process information obtained from a consultation of EES data subject to the authorisation of the Member State of origin. That authorisation shall be obtained via the Europol national unit of that Member State.
CHAPTER V
RETENTION AND AMENDMENT OF THE DATA
Article 34
Data retention period
1.   Each entry/exit record or refusal of entry record linked to an individual file shall be stored in the EES Central System for three years following the date of the exit record or of the refusal of entry record, as applicable.
2.   Each individual file together with the linked entry/exit record or records or refusal of entry records shall be stored in the EES Central System for three years and one day following the date of the last exit record or of the refusal of entry record if there is no entry record within three years from the date of the last exit record or refusal of entry record.
3.   If there is no exit record following the date of expiry of the period of authorised stay, the data shall be stored for a period of five years following the date of expiry of the period of authorised stay. The EES shall automatically inform the Member States three months in advance of the scheduled erasure of data on overstayers in order to enable them to adopt the appropriate measures.
4.   By way of derogation from paragraph 1, each entry/exit record registered for third-country nationals who have the status referred to in point (b) of Article 2(1) shall be stored in the EES for a maximum of one year after the exit of such third-country nationals. If there is no exit record the data shall be stored for a period of five years from the date of the last entry record.
5.   Upon expiry of the retention period referred to in paragraphs 1 to 4, the data in question shall automatically be erased from the EES Central System.
Article 35
Amendment of data and advance data erasure
1.   The Member State responsible shall have the right to amend data which it has entered in the EES by rectifying, completing or erasing the data.
2.   If the Member State responsible has evidence to suggest that data recorded in the EES are factually inaccurate or incomplete or that data were processed in the EES in breach of this Regulation, it shall check the data concerned and shall, if necessary, rectify or complete them in, or erase them from, the EES without delay and, where applicable, from the list of identified persons referred to in Article 12(3). The data may also be checked and rectified, completed or erased at the request of the person concerned in accordance with Article 52.
3.   By way of derogation from paragraphs 1 and 2 of this Article, where a Member State other than the Member State responsible has evidence to suggest that data recorded in the EES are factually inaccurate or incomplete or that data were processed in the EES in breach of this Regulation, it shall check the data concerned, provided it is possible to do so without consulting the Member State responsible and shall, if necessary, rectify or complete them in, or erase them from, the EES without delay and, where applicable, from the list of identified persons referred to in Article 12(3). Where it is not possible to check the data without consulting the Member State responsible, it shall contact the authorities of the Member State responsible within seven days, following which the Member State responsible shall check the accuracy of the data and the lawfulness of their processing within one month. The data may also be checked and rectified, completed or erased at the request of the third-country national concerned in accordance with Article 52.
4.   Where a Member State has evidence to suggest that visa-related data recorded in the EES are factually inaccurate or incomplete or that such data were processed in the EES in breach of this Regulation, it shall first check the accuracy of those data against the VIS and shall, if necessary, rectify or complete them in, or erase them from, the EES. Where the data recorded in the VIS are the same as those recorded in the EES, it shall inform the Member State responsible for entering those data in the VIS immediately through the infrastructure of the VIS in accordance with Article 24(2) of Regulation (EC) No 767/2008. The Member State responsible for entering the data in the VIS shall check those data and shall, if necessary, immediately rectify or complete them in, or erase them from, the VIS and inform the Member State concerned which shall, if necessary, rectify or complete them in, or erase them from, the EES without delay and, where applicable, the list of identified persons referred to in Article 12(3).
5.   The data of identified persons referred to in Article 12 shall be erased without delay from the list referred to in that Article and shall be rectified or completed in the EES where the third-country national concerned provides evidence, in accordance with the national law of the Member State responsible or of the Member State to which the request has been made, that he or she was forced to exceed the duration of authorised stay due to unforeseeable and serious events, that he or she has acquired a legal right to stay or in case of errors. Without prejudice to any available administrative or non-judicial remedy, that third-country national shall have access to an effective judicial remedy to ensure the data are rectified, completed or erased.
6.   Where a third-country national has acquired the nationality of a Member State or has fallen under the scope of Article 2(3) before the expiry of the applicable period referred to in Article 34, the individual file and the entry/exit records linked to that individual file in accordance with Articles 16 and 17 and the refusal of entry records linked to that individual file in accordance with Article 18 shall, without delay, and in any event not later than five working days from the date on which that third-country national has acquired the nationality of a Member State or has fallen under the scope of Article 2(3) before the expiry of the period referred to in Article 34, be erased from the EES, as well as, where applicable, from the list of identified persons referred to in Article 12(3), by:
(a)
the Member State the nationality of which he or she has acquired; or
(b)
the Member State that issued the residence permit or card or long-stay visa.
Where a third-country national has acquired the nationality of Andorra, Monaco or San Marino or where a third-country national is in a possession of a passport issued by the Vatican City State, he or she shall inform the competent authorities of the Member State he or she next enters of that change. That Member State shall erase his or her data without delay from the EES. The third-country national in question shall have access to an effective judicial remedy to ensure that the data are erased.
7.   The EES Central System shall immediately inform all Member States of the erasure of EES data and where applicable from the list of identified persons referred to in Article 12(3).
8.   Where a Member State other than the Member State responsible has rectified, completed or erased data in accordance with this Regulation, that Member State shall become the Member State responsible for the rectification, completion or erasure. The EES shall record all rectifications, completions and erasures of data.
CHAPTER VI
DEVELOPMENT, OPERATION AND RESPONSIBILITIES
Article 36
Adoption of implementing acts by the Commission prior to development
The Commission shall adopt the implementing acts necessary for the development and technical implementation of the EES Central System, the NUIs, the Communication Infrastructure, the web service referred to in Article 13 and the data repository referred to in Article 63(2), in particular measures for:
(a)
the specifications for the quality, resolution and use of fingerprints for biometric verification and identification in the EES;
(b)
the specifications for the quality, resolution and use of the facial image for biometric verification and identification in the EES, including where taken live or extracted electronically from the eMRTD;
(c)
entering the data in accordance with Articles 16 to 20;
(d)
accessing the data in accordance with Articles 23 to 33;
(e)
amending, erasing and advance erasure of data in accordance with Article 35;
(f)
keeping and accessing the logs in accordance with Article 46;
(g)
performance requirements, including the minimum specifications for technical equipment and requirements regarding the biometric performance of the EES, in particular in terms of the required False Positive Identification Rate, False Negative Identification Rate and Failure To Enrol Rate;
(h)
the specifications and conditions for the web service referred to in Article 13, including specific provisions for the protection of the data where provided by or to carriers;
(i)
the establishment and the high level design of interoperability as referred to in Article 8;
(j)
the specifications and conditions for the data repository referred in Article 63(2);
(k)
the establishment of the list of identified persons referred to in Article 12(3) and the procedure to make that list available to Member States;
(l)
the specifications for technical solutions to connect central access points in accordance with Articles 31, 32 and 33 and for a technical solution to collect the statistical data required pursuant to Article 72(8).
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 68(2).
For the adoption of the implementing acts set out in point (i) of the first paragraph of this Article, the Committee set up by Article 68 of this Regulation shall consult the VIS Committee set up by Article 49 of Regulation (EC) No 767/2008.
Article 37
Development and operational management
1.   eu-LISA shall be responsible for the development of the EES Central System, the NUIs, the Communication Infrastructure and the Secure Communication Channel between the EES Central System and the VIS Central System. eu-LISA shall also be responsible for the development of the web service referred to in Article 13 and the data repository referred to in Article 63(2) in accordance with the detailed rules referred to in Articles 13(7) and 63(2) and the specifications and conditions adopted pursuant to points (h) and (j) of the first paragraph of Article 36.
eu-LISA shall define the design of the physical architecture of the EES including its Communication Infrastructure, as well as the technical specifications and their evolution regarding the EES Central System, the NUIs, the Communication Infrastructure, the Secure Communication Channel between the EES Central System and the VIS Central System, the web service referred to in Article 13 of this Regulation and the data repository referred to in Article 63(2) of this Regulation. Those technical specifications shall be adopted by eu-LISA’s Management Board, subject to a favourable opinion of the Commission. eu-LISA shall also implement any necessary adaptations to the VIS deriving from the establishment of interoperability with the EES as well as from the implementation of the amendments to Regulation (EC) No 767/2008 set out in Article 61 of this Regulation.
eu-LISA shall develop and implement the EES Central System, the NUIs, the Communication Infrastructure, the Secure Communication Channel between the EES Central System and the VIS Central System, the web service referred to in Article 13 and the data repository referred to Article 63(2) as soon as possible after the adoption by the Commission of the measures provided for in Article 36.
The development shall consist of the elaboration and implementation of the technical specifications, testing and overall project coordination.
When developing, and when implementing, the EES Central System, the NUIs, the Communication Infrastructure, the Secure Communication Channel between the EES Central System and the VIS Central System, the web service referred to in Article 13 and the data repository referred to in Article 63(2), the tasks of eu–LISA shall also be to:
(a)
perform a security risk assessment;
(b)
follow the principles of privacy by design and by default during the entire lifecycle of the development of the EES;
(c)
conduct a security risk assessment regarding the interoperability with the VIS referred to in Article 8 and assess the required security measures needed for the implementation of the interoperability with the VIS.
2.   During the designing and development phase, a Programme Management Board composed of a maximum of ten members shall be established. It shall be composed of seven members appointed by eu-LISA’s Management Board from among its members or alternate members, the Chair of the EES Advisory Group referred to in Article 69, a member representing eu-LISA appointed by its Executive Director and one member appointed by the Commission. The members appointed by eu-LISA’s Management Board shall be elected only from those Member States which are fully bound under Union law by the legislative instruments governing the development, establishment, operation and use of all the large-scale IT systems managed by eu-LISA and which comply with the conditions set out in Article 66(2).
The Programme Management Board shall meet regularly and at least three times per quarter. It shall ensure the adequate management of the design and development phase of the EES and ensure the consistency between central and national EES projects.
The Programme Management Board shall submit written reports every month to eu-LISA’s Management Board on the progress of the project. The Programme Management Board shall have no decision-making power nor any mandate to represent the members of eu-LISA’s Management Board.
eu-LISA’s Management Board shall establish the rules of procedure of the Programme Management Board which shall include in particular rules on:
(a)
its chairmanship;
(b)
meeting venues;
(c)
the preparation of meetings;
(d)
the admission of experts to meetings;
(e)
communication plans ensuring full information to non-participating members of eu-LISA’s Management Board.
The chairmanship of the Programme Management Board shall be held by a Member State which is fully bound under Union law by the legislative instruments governing the development, establishment, operation and use of all the large-scale IT systems managed by eu-LISA.
All travel and subsistence expenses incurred by the members of the Programme Management Board shall be paid by eu-LISA and Article 10 of the eu-LISA Rules of Procedure shall apply 
mutatis mutandis
. eu-LISA shall provide the Programme Management Board with a secretariat.
During the designing and development phase, the EES Advisory Group referred to in Article 69 shall be composed of national EES project managers and chaired by eu-LISA. It shall meet regularly and at least three times per quarter until the start of operations of the EES. It shall report after each meeting to the Programme Management Board. It shall provide the technical expertise to support the tasks of the Programme Management Board and shall follow-up on the state of preparation of the Member States.
3.   eu-LISA shall be responsible for the operational management of the EES Central System, the NUIs and the Secure Communication Channel between the EES Central System and the VIS Central System. It shall ensure, in cooperation with the Member States, that at all times the best available technology, subject to a cost-benefit analysis, is used for the EES Central System, the NUIs, the Communication Infrastructure, the Secure Communication Channel between the EES Central System and the VIS Central System, the web service referred to in Article 13 and the data repository referred to Article 63(2). eu-LISA shall also be responsible for the operational management of the Communication Infrastructure between the EES Central System and the NUIs, for the web-service referred to in Article 13 and the data repository referred to Article 63(2).
Operational management of the EES shall consist of all the tasks necessary to keep the EES functioning 24 hours a day, 7 days a week in accordance with this Regulation, in particular the maintenance work and technical developments necessary to ensure that the EES functions at a satisfactory level of operational quality, in particular as regards the response time for interrogation of the EES Central System by border authorities, in accordance with the technical specifications.
4.   Without prejudice to Article 17 of the Staff Regulations of Officials of the European Union and the Conditions of Employment of Other Servants of the Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
42
)
, eu-LISA shall ensure that those members of its staff who are required to work with EES data or with data stored in the EES apply appropriate rules of professional secrecy or other equivalent duties of confidentiality. That obligation shall also apply after such staff leave office or employment or after the termination of their activities.
Article 38
Responsibilities of Member States and Europol
1.   Each Member State shall be responsible for:
(a)
the integration of the existing national border infrastructure and its connection to the NUI;
(b)
the organisation, management, operation and maintenance of its existing national border infrastructure and of its connection to the EES for the purpose of Article 6 with the exception of Article 6(2);
(c)
the organisation of central access points and their connection to the NUI for the purpose of law enforcement;
(d)
the management of, and arrangements for, access by the duly authorised staff, and by the duly empowered staff, of the competent national authorities to the EES in accordance with this Regulation and the creation and regular update of a list of those staff and their profiles.
2.   Each Member State shall designate a national authority, which shall provide the competent authorities referred to in Article 9(2) with access to the EES. Each Member State shall connect that national authority to the NUI. Each Member State shall connect their respective central access points referred to in Article 29 to the NUI.
3.   Each Member State shall use automated procedures for processing EES data.
4.   Member States shall ensure that the technical performance of the border control infrastructure, its availability, the duration of the border checks and the data quality are closely monitored in order to ensure that they meet the overall requirements for the proper functioning of the EES and an efficient border check procedure.
5.   Before being authorised to process data stored in the EES, the staff of the authorities having a right to access the EES shall be given appropriate training on, in particular, data security and data protection rules, as well as on relevant fundamental rights.
6.   Member States shall not process the data in or from the EES for purposes other than those laid down in this Regulation.
7.   Europol shall assume the responsibilities provided for in point (d) of paragraph 1 and in paragraphs 3, 5 and 6. It shall connect, and be responsible for the connection of, the Europol central access point to the EES.
Article 39
Responsibility for data processing
1.   In relation to the processing of personal data in the EES, each Member State shall designate the authority which is to be considered as controller in accordance with point (7) of Article 4 of Regulation (EU) 2016/679 and which shall have central responsibility for the processing of data by that Member State. Each Member State shall communicate the details of that authority to the Commission.
Each Member State shall ensure that the data collected and recorded in the EES is processed lawfully and, in particular, that only duly authorised staff have access to the data for the performance of their tasks. The Member State responsible shall ensure, in particular, that the data are:
(a)
collected lawfully and in full respect of the human dignity of the third-country national concerned;
(b)
registered lawfully in the EES;
(c)
accurate and up-to-date when they are transmitted to the EES.
2.   eu-LISA shall ensure that the EES is operated in accordance with this Regulation and the implementing acts referred to in Article 36. In particular, eu-LISA shall:
(a)
take the necessary measures to ensure the security of the EES Central System and the Communication Infrastructure between the EES Central System and the NUI, without prejudice to the responsibilities of the Member States;
(b)
ensure that only duly authorised staff have access to data processed in the EES.
3.   eu-LISA shall inform the European Parliament, the Council and the Commission, as well as the European Data Protection Supervisor, of the measures it takes pursuant to paragraph 2 in view of the start of operations of the EES.
Article 40
Keeping of data in national files and national entry/exit systems
1.   A Member State may keep the alphanumeric data which that Member State entered in the EES, in accordance with the purposes of the EES, in its national entry/exit system or equivalent national files, in full respect of Union law.
2.   The data shall not be kept in the national entry/exit systems or equivalent national files for longer than they are kept in the EES.
3.   Any use of data which does not comply with paragraph 1 shall be considered a misuse under the national law of each Member State as well as under Union law.
4.   This Article shall not be construed as requiring any technical adaptation of the EES. Member States may keep data in accordance with this Article at their own cost and risk and using their own technical means.
Article 41
Communication of data to third countries, international organisations and private entities
1.   Data stored in the EES shall not be transferred or made available to any third country, to any international organisation or to any private entity.
2.   By way of derogation from paragraph 1 of this Article, the data referred to in Article 16(1) and points (a), (b) and (c) of Article 17(1) of this Regulation may be transferred by border authorities or immigration authorities to a third country or to an international organisation listed in the Annex I to this Regulation in individual cases, if necessary in order to prove the identity of third-country nationals for the sole purpose of return, only where one of the following conditions is satisfied:
(a)
the Commission has adopted a decision on the adequate protection of personal data in that third country in accordance with Article 45(3) of Regulation (EU) 2016/679;
(b)
appropriate safeguards as referred to in Article 46 of Regulation (EU) 2016/679 have been provided, such as through a readmission agreement which is in force between the Union or a Member State and the third country in question; or
(c)
point (d) of Article 49(1) of Regulation (EU) 2016/679, applies.
3.   The data referred to in Article 16(1) and points (a), (b) and (c) of Article 17(1) of this Regulation may be transferred in accordance with paragraph 2 of this Article only where all of the following conditions are satisfied:
(a)
the transfer of the data is carried out in accordance with the relevant provisions of Union law, in particular provisions on data protection, including Chapter V of Regulation (EU) 2016/679, and readmission agreements, and the national law of the Member State transferring the data;
(b)
the third country or international organisation has agreed to process the data only for the purposes for which they were provided; and
(c)
a return decision adopted pursuant to Directive 2008/115/EC has been issued in relation to the third-country national concerned, provided that the enforcement of such a return decision is not suspended and provided that no appeal has been lodged which may lead to the suspension of its enforcement.
4.   Transfers of personal data to third countries or to international organisations pursuant to paragraph 2 shall not prejudice the rights of applicants for and beneficiaries of international protection, in particular as regards 
non-refoulement
.
5.   Personal data obtained from the EES Central System by a Member State or by Europol for law enforcement purposes shall not be transferred or made available to any third country, international organisation or private entity established in or outside the Union. The prohibition shall also apply where those data are further processed at national level or between Member States pursuant to Directive (EU) 2016/680.
6.   By way of derogation from paragraph 5 of this Article, the data referred to in points (a), (b) and (c) of Article 16(1), points (a) and (b) of Article 16(2), points (a) and (b) of Article 16(3) and point (a) of Article 17(1) may be transferred by the designated authority to a third country in individual cases, only where all of the following conditions are met:
(a)
there is an exceptional case of urgency where there is:
(i)
an imminent danger associated with a terrorist offence; or
(ii)
an imminent danger to the life of a person and that danger is associated with a serious criminal offence;
(b)
the transfer of data is necessary for the prevention, detection or investigation in the territory of the Member States or in the third country concerned of such a terrorist offence or serious criminal offence;
(c)
the designated authority has access to such data in accordance with the procedure and the conditions set out in Articles 31 and 32;
(d)
the transfer is carried out in accordance with the applicable conditions set out in Directive (EU) 2016/680, in particular Chapter V thereof;
(e)
a duly motivated written or electronic request from the third country has been submitted; and
(f)
the reciprocal provision of any information on entry/exit records held by the requesting third country to the Member States operating the EES is ensured.
Where a transfer is made pursuant to the first subparagraph of this paragraph, such a transfer shall be documented and the documentation shall, on request, be made available to the supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680, including the date and time of the transfer, information about the receiving competent authority, the justification for the transfer and the personal data transferred.
Article 42
Conditions for communication of data to a Member State which does not yet operate the EES and to a Member State to which this Regulation does not apply
1.   The data referred to in points (a), (b) and (c) of Article 16(1), points (a) and (b) of Article 16(2), points (a) and (b) of Article 16(3) and point (a) of Article 17(1) may be transferred by a designated authority to a Member State which does not yet operate the EES and to a Member State to which this Regulation does not apply, in individual cases, only where all of the following conditions are met:
(a)
there is an exceptional case of urgency where there is:
(i)
an imminent danger associated with a terrorist offence; or
(ii)
a serious criminal offence;
(b)
the transfer of data is necessary for the prevention, detection or investigation of such a terrorist offence or serious criminal offence;
(c)
the designated authority has access to such data in accordance with the procedure and the conditions set out in Articles 31 and 32;
(d)
Directive (EU) 2016/680 applies;
(e)
a duly motivated written or electronic request has been submitted; and
(f)
the reciprocal provision of any information on entry/exit records held by the requesting Member State to the Member States operating the EES is ensured.
Where a transfer is made pursuant to the first subparagraph of this paragraph, such a transfer shall be documented and the documentation shall, on request, be made available to the supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680, including the date and time of the transfer, information about the receiving competent authority, the justification for the transfer and the personal data transferred.
2.   Where data is provided pursuant to this Article, the same conditions as provided for in Article 43(1), Article 45(1) and (3), Article 48 and Article 58(4) shall apply 
mutatis mutandis
.
Article 43
Data security
1.   The Member State responsible shall ensure the security of the data before and during the transmission to the NUI. Each Member State shall ensure the security of the data it receives from the EES.
2.   Each Member State shall, in relation to its national border infrastructure, adopt the necessary measures, including a security plan and a business continuity and disaster recovery plan, in order to:
(a)
physically protect data, including by making contingency plans for the protection of critical infrastructure;
(b)
deny unauthorised persons access to data-processing equipment and national installations in which the Member State carries out operations in accordance with the purposes of the EES;
(c)
prevent the unauthorised reading, copying, modification or removal of data media;
(d)
prevent the unauthorised entering of data and the unauthorised inspection, modification or erasure of stored personal data;
(e)
prevent the use of automated data-processing systems by unauthorised persons using data communication equipment;
(f)
prevent the unauthorised processing of data in the EES and any unauthorised modification or erasure of data processed in the EES;
(g)
ensure that persons authorised to access the EES have access only to the data covered by their access authorisation, by means of individual and unique user identities and confidential access modes only;
(h)
ensure that all authorities with a right of access to the EES create profiles describing the functions and responsibilities of persons who are authorised to enter, amend, erase, consult and search the data and make their profiles available to the supervisory authorities;
(i)
ensure that it is possible to verify and establish to which bodies personal data may be transmitted using data communication equipment;
(j)
ensure that it is possible to verify and establish which data have been processed in the EES, as well as when, by whom and for what purpose they have been processed;
(k)
prevent the unauthorised reading, copying, modification or erasure of personal data during the transmission of personal data to or from the EES or during the transport of data media, in particular by means of appropriate encryption techniques;
(l)
ensure that, in the event of an interruption, installed systems can be restored to normal operation;
(m)
ensure reliability by making sure that any faults in the functioning of the EES are properly reported;
(n)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to internal monitoring to ensure compliance with this Regulation.
3.   As regards the operation of the EES, eu-LISA shall take the necessary measures in order to achieve the objectives set out in paragraph 2, including the adoption of a security plan and a business continuity and disaster recovery plan. eu-LISA shall also ensure reliability by making sure that necessary technical measures are put in place to ensure that personal data can be restored in the event of corruption due to a malfunctioning of the EES.
4.   eu-LISA and the Member States shall cooperate in order to ensure a harmonised data security approach based on a security risk management process encompassing the entire EES.
Article 44
Security incidents
1.   Any event that has or may have an impact on the security of the EES and may cause damage or loss to data stored in the EES shall be considered to be a security incident, in particular where unauthorised access to data may have occurred or where the availability, integrity and confidentiality of data has or may have been compromised.
2.   Security incidents shall be managed so as to ensure a quick, effective and proper response.
3.   Without prejudice to the notification and communication of a personal data breach pursuant to Article 33 of Regulation (EU) 2016/679, Article 30 of Directive (EU) 2016/680, or both, Member States shall notify the Commission, eu-LISA and the European Data Protection Supervisor of security incidents. In the event of a security incident in relation to the EES Central System, eu-LISA shall notify the Commission and the European Data Protection Supervisor.
4.   Information regarding a security incident that has or may have an impact on the operation of the EES or on the availability, integrity and confidentiality of the data shall be provided to the Member States and reported in compliance with the incident management plan to be provided by eu-LISA.
5.   The Member States concerned and eu-LISA shall cooperate in the event of a security incident.
Article 45
Liability
1.   Any person or Member State that has suffered material or immaterial damage as a result of an unlawful processing operation or any act not compliant with this Regulation shall be entitled to receive compensation from the Member State which is responsible for the damage suffered. That Member State shall be exempted from liability, in whole or in part, if it proves that it is not in any way responsible for the event which gave rise to the damage.
2.   If any failure of a Member State to comply with its obligations under this Regulation causes damage to the EES, that Member State shall be held liable for such damage, unless and insofar as eu-LISA or another Member State participating in the EES failed to take reasonable measures to prevent the damage from occurring or to minimise its impact.
3.   Claims for compensation against a Member State for the damage referred to in paragraphs 1 and 2 shall be governed by the provisions of national law of the defendant Member State.
Article 46
Keeping of logs by eu-LISA and Member States
1.   eu-LISA shall keep logs of all data processing operations within the EES. Those logs shall include the following:
(a)
the purpose of access referred to in Article 9(2);
(b)
the date and time;
(c)
the data transmitted as referred to in Articles 16 to 19;
(d)
the data used for interrogation as referred to in Articles 23 to 27; and
(e)
the name of the authority entering or retrieving the data.
2.   For the consultations listed in Article 8, a log of each data processing operation carried out within the EES and the VIS shall be kept in accordance with this Article and Article 34 of Regulation (EC) No 767/2008. eu-LISA shall ensure, in particular, that the relevant log of the concerned data processing operations is kept when the competent authorities launch a data processing operation directly from one system to the other.
3.   In addition to paragraphs 1 and 2, each Member State shall keep logs of the staff duly authorised to process the EES data.
4.   Such logs may be used only for data protection monitoring, including checking the admissibility of a request and the lawfulness of data processing, and for ensuring data security pursuant to Article 43. Those logs shall be protected by appropriate measures against unauthorised access and erased one year after the retention period referred to in Article 34 has expired, unless they are required for monitoring procedures which have already begun.
Article 47
Self-monitoring
Member States shall ensure that each authority entitled to access EES data takes the measures necessary to comply with this Regulation and cooperates, where necessary, with the supervisory authorities.
Article 48
Penalties
Member States shall take the necessary measures to ensure that any use of data entered in the EES in a manner contrary to this Regulation is punishable by effective, proportionate and disuasive penalties in accordance with national law, Article 84 of Regulation (EU) 2016/679 and Article 57 of Directive (EU) 2016/680.
Article 49
Data Protection
1.   Regulation (EC) No 45/2001 shall apply to the processing of personal data by eu-LISA on the basis of this Regulation.
2.   Regulation (EU) 2016/679 shall apply to the processing of personal data by national authorities on the basis of this Regulation, with the exception of processing for the purposes referred to in Article 1(2) of this Regulation.
3.   Directive (EU) 2016/680 shall apply to the processing of personal data by Member States’ designated authorities on the basis of this Regulation for the purposes referred to in Article 1(2) of this Regulation.
4.   Regulation (EU) 2016/794 shall apply to the processing of personal data by Europol on the basis of this Regulation.
CHAPTER VII
RIGHTS AND SUPERVISION ON DATA PROTECTION
Article 50
Right of information
1.   Without prejudice to the right of information in Article 13 of Regulation (EU) 2016/679, third-country nationals whose data are to be recorded in the EES shall be informed by the Member State responsible of the following:
(a)
the fact that the EES may be accessed by the Member States and Europol for law enforcement purposes;
(b)
the obligation on visa-exempt third-country nationals and on holders of an FTD to have their fingerprints taken;
(c)
the obligation on all third-country nationals subject to registration in the EES to have their facial image recorded;
(d)
that the collection of the data is mandatory for the examination of entry conditions;
(e)
the fact that entry will be refused if a third-country national refuses to provide the requested biometric data for registration, verification or identification in the EES;
(f)
the right to receive information about the maximum remaining duration of their authorised stay in accordance with Article 11(3);
(g)
the fact that personal data stored in the EES may be transferred to a third country or an international organisation listed in Annex I for the purposes of return, to a third country in accordance with Article 41(6) and to Member States in accordance with Article 42;
(h)
the existence of the right to request from the controller access to data relating to them, the right to request that inaccurate data relating to them be rectified, that incomplete personal data relating to them be completed, that unlawfully processed personal data concerning them be erased or that the processing thereof be restricted, as well as the right to receive information on the procedures for exercising those rights, including the contact details of the controller and the supervisory authorities, or of the European Data Protection Supervisor if applicable, which shall hear complaints concerning the protection of personal data;
(i)
the fact that EES data will be accessed for border management and facilitation purposes and that overstays will automatically lead to the addition of their data to the list of identified persons referred to in Article 12(3), as well as the possible consequences of overstaying;
(j)
the data retention period set for entry and exit records, refusal of entry records, and for individual files pursuant to Article 34;
(k)
the right for overstayers to have their personal data erased from the list of identified persons referred to in Article 12(3) and rectified in the EES, where they provide evidence that they exceeded the authorised duration of stay due to unforeseeable and serious events;
(l)
the right to lodge a complaint to the supervisory authorities.
2.   The information provided in paragraph 1 of this Article shall be provided in writing, by any appropriate means, in a concise, transparent, intelligible and easily accessible form, and it shall be made available, using clear and plain language, in a linguistic version the person concerned understands or is reasonably expected to understand, in order to ensure that third-country nationals are informed of their rights, at the time when the individual file of the person concerned is being created in accordance with Article 16, 17 or 18.
3.   The Commission shall also set up a website containing the information referred to paragraph 1.
4.   The Commission shall adopt implementing acts drawing up the information referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 68(2).
5.   The Commission shall provide the information referred to in paragraph 1 of this Article in a template. The template shall be drawn up in such a manner as to enable Member States to complete it with additional Member State specific information. That Member State specific information shall include at least the rights of the data subject, the possibility of assistance by the supervisory authorities, as well as contact details of the office of the controller and of the data protection officer and the supervisory authorities. The Commission shall adopt implementing acts concerning the specifications and conditions for the website referred to in paragraph 3 of this Article. Those implementing acts shall be adopted prior to the start of operations of the EES in accordance with the examination procedure referred to in Article 68(2).
Article 51
Information campaign
The Commission shall, in cooperation with the supervisory authorities and the European Data Protection Supervisor, accompany the start of operations of the EES with an information campaign informing the public and, in particular, third-country nationals, about the objectives of the EES, the data stored in the EES, the authorities having access and the rights of persons concerned. Such information campaigns shall be conducted regularly.
Article 52
Right of access to, rectification, completion and erasure of personal data, and of restriction of the processing thereof
1.   The requests of third-country nationals in relation to the rights set out in Articles 15 to 18 of Regulation (EU) 2016/679 may be addressed to the competent authority of any Member State.
The Member State responsible or the Member State to which the request has been made shall reply to such requests within 45 days of receipt of the request.
2.   If a request for rectification, completion or erasure of personal data or restriction of the processing thereof is made to a Member State other than the Member State responsible, the authorities of the Member State to which the request has been made shall check the accuracy of the data and the lawfulness of the data processing in the EES within 30 days of the receipt of the request where that check can be done without consulting the Member State responsible. Otherwise, the Member State to which the request has been made shall contact the authorities of the Member State responsible within seven days and the Member State responsible shall check the accuracy of the data and the lawfulness of the data processing within 30 days of such contact.
3.   In the event that data recorded in the EES are factually inaccurate, incomplete or have been recorded unlawfully, the Member State responsible or, where applicable, the Member State to which the request has been made shall rectify, complete or erase the personal data or restrict the processing of personal data in accordance with Article 35. The Member State responsible or, where applicable, the Member State to which the request has been made shall confirm in writing to the person concerned without delay that it has taken action to rectify, complete or erase the personal data of that person or to restrict the processing of such personal data.
In the event that visa-related data recorded in the EES are factually incorrect, incomplete or have been recorded unlawfully, the Member State responsible or, where applicable, the Member State to which the request has been made shall first check the accuracy of these data against the VIS and shall, if necessary, amend them in the EES. Should the data recorded in the VIS be the same as in the EES, the Member State responsible or, where applicable, the Member State to which the request has been made, shall contact the authorities of the Member State which is responsible for entering these data in the VIS within seven days. The Member State which is responsible for entering the data in the VIS shall check the accuracy of the visa-related data and the lawfulness of their processing in the EES within 30 days of such contact and inform the Member State responsible or the Member State to which the request has been made which shall, if necessary, rectify or complete the personal data of the person concerned or restrict the processing of such data in, or erase such data from, the EES without delay and, where applicable, from the list of identified persons referred to in Article 12(3).
4.   If the Member State responsible or, where applicable, the Member State to which the request has been made does not agree that data recorded in the EES are factually inaccurate, incomplete or have been recorded unlawfully, that Member State shall adopt an administrative decision explaining in writing to the third-country national concerned without delay why it is not prepared to rectify, complete or erase the personal data relating to him or her or restrict the processing of such data.
5.   The Member State which has adopted the administrative decision pursuant to paragraph 4 of this Article shall also provide the third-country national concerned with information explaining the steps which he or she can take if he or she does not accept the explanation. This shall include information on how to bring an action or a complaint before the competent authorities or courts of that Member State and any assistance that is available in accordance with the laws, regulations and procedures of that Member State, including from the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679.
6.   Any request made pursuant to paragraphs 1 and 2 shall contain the minimum information necessary to identify the third-country national concerned. Fingerprints may be requested for this purpose only in duly justified cases and where there are substantive doubts as to the identity of the applicant. That information shall be used exclusively to enable that third-country national to exercise the rights referred to in paragraph 1 and shall be erased immediately afterwards.
7.   Whenever a person makes a request in accordance with paragraph 1 of this Article, the competent authority of the Member State responsible or of the Member State to whom the request has been made shall keep a record in the form of a written document that such a request was made. That document shall contain information on how that request was dealt with and by which authority. The competent authority shall make that document available to the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679, within seven days.
Article 53
Cooperation to enforce the rights on data protection
1.   The competent authorities of the Member States shall cooperate actively to enforce the rights laid down in Article 52.
2.   In each Member State, the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 shall, upon request, assist and advise the data subject in exercising his or her right to rectify, complete or erase personal data relating to him or her or to restrict the processing of such data in accordance with Regulation (EU) 2016/679.
In order to achieve the aims referred to in the first subparagraph, the supervisory authority of the Member State responsible which transmitted the data and the supervisory authority of the Member State to which the request has been made shall cooperate with each other.
Article 54
Remedies
1.   Without prejudice to Articles 77 and 79 of Regulation (EU) 2016/679, in each Member State any person shall have the right to bring an action or a complaint before the competent authorities or courts of that Member State which refused the right of access to, or right of rectification, completion or erasure of, data relating to him or her provided for in Article 52 and Article 53(2) of this Regulation. The right to bring such an action or complaint shall also apply in cases where requests for access, rectification, completion or erasure were not responded to within the deadlines provided for in Article 52 or were never dealt with by the data controller.
2.   The assistance of the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 shall remain available throughout the proceedings.
Article 55
Supervision by the supervisory authority
1.   Each Member State shall ensure that the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 independently monitors the lawfulness of the processing of personal data referred to in Chapters II, III, V and VI of this Regulation by the Member State concerned, including their transmission to and from the EES.
2.   The supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 shall ensure that an audit of the data processing operations in the national border infrastructure is carried out in accordance with relevant international auditing standards at least every three years from the start of operations of the EES. The results of the audit may be taken into account in the evaluations conducted under the mechanism established by Council Regulation (EU) No 1053/2013 
(
43
)
. The supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 shall publish annually the number of requests for rectification, completion or erasure, or restriction of processing of data, the action subsequently taken and the number of rectifications, completions, erasures and restrictions of processing made in response to requests by the persons concerned.
3.   Member States shall ensure that their supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 has sufficient resources to fulfil the tasks entrusted to it under this Regulation and has access to advice from persons with sufficient knowledge of biometric data.
4.   Member States shall supply any information requested by the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 and shall, in particular, provide it with information on the activities carried out in accordance with Article 38, Article 39(1) and Article 43. Member States shall grant the supervisory authority established in accordance with Article 51(1) of Regulation (EU) 2016/679 access to their logs pursuant to Article 46 and allow it access at all times to all their EES related premises.
Article 56
Supervision by the European Data Protection Supervisor
1.   The European Data Protection Supervisor shall be responsible for monitoring the personal data processing activities of eu-LISA concerning the EES and for ensuring that such activities are carried out in accordance with Regulation (EC) No 45/2001 and with this Regulation.
2.   The European Data Protection Supervisor shall ensure that an audit of eu-LISA’s personal data processing activities is carried out in accordance with relevant international auditing standards at least every three years. A report of that audit shall be sent to the European Parliament, to the Council, to the Commission, to eu-LISA and to the supervisory authorities. eu-LISA shall be given an opportunity to make comments before the report is adopted.
3.   eu-LISA shall supply information requested by the European Data Protection Supervisor, give him or her access to all documents and to its logs referred to in Article 46 and allow him or her access to all its premises at any time.
Article 57
Cooperation between supervisory authorities sssand the European Data Protection Supervisor
1.   The supervisory authorities and the European Data Protection Supervisor shall, each acting within the scope of their respective competences, cooperate actively within the framework of their respective responsibilities and shall ensure coordinated supervision of the EES and the national border infrastructures.
2.   The supervisory authorities and the European Data Protection Supervisor shall exchange relevant information, assist each other in carrying out audits and inspections, examine any difficulties concerning the interpretation or application of this Regulation, assess problems in the exercise of independent supervision or in the exercise of the rights of the data subject, draw up harmonised proposals for joint solutions to any problems and promote awareness of data protection rights, as necessary.
3.   For the purpose of paragraph 2, the supervisory authorities and the European Data Protection Supervisor shall meet at least twice a year within the framework of the European Data Protection Board established by Regulation (EU) 2016/679 (the ‘European Data Protection Board’). The costs of those meetings shall be borne and their organisation shall be undertaken by that Board. Rules of procedure shall be adopted at the first meeting. Further working methods shall be developed jointly as necessary.
4.   A joint report of activities shall be sent by the European Data Protection Board to the European Parliament, to the Council, to the Commission and to eu-LISA every two years. That report shall include a chapter on each Member State prepared by the supervisory authorities of that Member State.
Article 58
Protection of personal data accessed in accordance with Chapter IV
1.   Each Member State shall ensure that the national laws, regulations and administrative provisions adopted pursuant to Directive (EU) 2016/680 are also applicable to the access to the EES by its national authorities in line with Article 1(2) of this Regulation, including in relation to the rights of the persons whose data are so accessed.
2.   The supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680 shall monitor the lawfulness of the access to personal data by the Member States in accordance with Chapter IV of this Regulation, including their transmission to and from the EES. Article 55(3) and (4) of this Regulation shall apply accordingly.
3.   The processing of personal data by Europol pursuant to this Regulation shall be carried out in accordance with Regulation (EU) 2016/794 and shall be supervised by the European Data Protection Supervisor.
4.   Personal data accessed in the EES in accordance with Chapter IV shall only be processed for the purposes of the prevention, detection or investigation of the specific case for which the data have been requested by a Member State or by Europol.
5.   The EES Central System, the designated authorities, the central access points and Europol shall keep records of the searches for the purpose of enabling the supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680 and the European Data Protection Supervisor to monitor the compliance of data processing with Union and national data protection rules. With the exception of that purpose, personal data, as well as the records of searches, shall be erased from all national and Europol files after 30 days, unless those data and records are required for the purposes of the specific ongoing criminal investigation for which they were requested by a Member State or by Europol.
Article 59
Logging and documentation
1.   Each Member State and Europol shall ensure that all data processing operations resulting from requests to access to EES data in accordance with Chapter IV are logged or documented for the purposes of checking the admissibility of the request, monitoring the lawfulness of the data processing and data integrity and security, and self-monitoring.
2.   The log or documentation shall show, in all cases:
(a)
the exact purpose of the request for access to EES data, including the terrorist offence or other serious criminal offence concerned and, for Europol, the exact purpose of the request for access;
(b)
the reasonable grounds given for not making comparisons with other Member States under Decision 2008/615/JHA, in accordance with point (b) of Article 32(2) of this Regulation;
(c)
the national file reference;
(d)
the date and exact time of the request for access by the central access point to the EES Central System;
(e)
the name of the authority which requested access for consultation;
(f)
where applicable, the use of the urgency procedure referred to in Article 31(2) of this Regulation and the decision taken with regard to the 
ex-post
 verification;
(g)
the data used for consultation;
(h)
in accordance with national rules or with Regulation (EU) 2016/794, the unique user identity of the official who carried out the search and of the official who ordered the search.
3.   Logs and documentation shall be used only for monitoring the lawfulness of data processing and for ensuring data integrity and security. Only logs which do not contain personal data may be used for the monitoring and evaluation referred to in Article 72 of this Regulation. The supervisory authority established in accordance with Article 41(1) of Directive (EU) 2016/680, which is responsible for checking the admissibility of the request and monitoring the lawfulness of the data processing and data integrity and security, shall have access to these logs at its request for the purpose of fulfilling its duties.
CHAPTER VIII
AMENDMENTS TO OTHER UNION INSTRUMENTS
Article 60
Amendment to the Convention implementing the Schengen Agreement
Article 20 of the Convention implementing the Schengen Agreement is amended as follows:
(1)
paragraph 2 is replaced by the following:
‘2.   Paragraph 1 shall not affect each Contracting Party’s right to extend beyond 90 days in any 180-day period an alien’s stay on its territory:
(a)
in exceptional circumstances; or
(b)
in accordance with a bilateral agreement concluded before the entry into force of this Convention and notified to the Commission in accordance with paragraph 2d.’;
(2)
the following paragraphs are inserted:
‘2a.   The stay of an alien on the territory of a Contracting Party may be extended in accordance with a bilateral agreement pursuant to point (b) of paragraph 2, upon request of the alien, and lodged with the competent authorities of that Contracting Party on entry or during the stay of the alien at the latest on the last working day of his or her 90-day stay in any 180-day period.
Where the alien has not lodged a request during the 90-day stay in any 180-day period, his or her stay may be extended pursuant to a bilateral agreement concluded by a Contracting Party and his or her stay beyond the 90-day stay in any 180-day period preceding that extension may be presumed lawful by the competent authorities of that Contracting Party, provided that that alien presents credible evidence which proves that during that time he or she stayed only on the territory of that Contracting Party.
2b.   Where the stay is extended pursuant to paragraph 2 of this Article, the competent authorities of that Contracting Party shall enter the data related to the extension in the latest relevant entry/exit record linked to the alien’s individual file contained in the Entry/Exit System established by Regulation (EU) 2017/2226 of the European Parliament and of the Council
 (
*1
)
. Such data shall be entered in accordance with Article 19 of that Regulation.
2c.   Where the stay is extended pursuant to paragraph 2, the alien concerned shall be authorised to stay only on the territory of that Contracting Party and exit at the external borders of that Contracting Party.
The competent authority which extended the stay shall inform the alien concerned that the extension of stay authorises the alien concerned to stay only on the territory of that Contracting Party and that he or she is to exit at the external borders of that Contracting party.
2d.   By 30 March 2018, the Contracting Parties shall notify the text of their relevant applicable bilateral agreements as referred to in point (b) of paragraph 2 to the Commission. If a Contracting Party ceases to apply any of those bilateral agreements, it shall notify the Commission thereof. The Commission shall publish information about such bilateral agreements in the 
Official Journal of the European Union
, including at least the Member States and third countries concerned, the rights derived for aliens from those bilateral agreements, as well as any changes thereto.
(
*1
)
  Regulation (EU) 2017/2226 of the European Parliament and of the Council of establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) No 767/2008 and (EU) No 1077/2011 (
OJ L 327, 9.12.2017, p. 20
).’."
Article 61
Amendments to Regulation (EC) No 767/2008
Regulation (EC) No 767/2008 is amended as follows:
(1)
Article 10(1) is amended as follows:
(a)
the following point is inserted:
‘(da)
if applicable, the information indicating that the visa has been issued with limited territorial validity pursuant to Article 25(1)(b) of Regulation (EC) No 810/2009;’;
(b)
the following point is added:
‘(l)
if applicable, the status of the person indicating that the third-country national is a member of the family of a Union citizen to whom Directive 2004/38/EC of the European Parliament and of the Council
 (
*2
)
 applies or of a third-country national enjoying the right of free movement equivalent to that of Union citizens under an agreement between the Union and its Member States, on the one hand, and a third country, on the other.
(
*2
)
  Directive 2004/38/EC of the European Parliament and of the Council of 29 April 2004 on the right of citizens of the Union and their family members to move and reside freely within the territory of the Member States amending Regulation (EEC) No 1612/68 and repealing Directives 64/221/EEC, 68/360/EEC, 72/194/EEC, 73/148/EEC, 75/34/EEC, 75/35/EEC, 90/364/EEC, 90/365/EEC and 93/96/EEC (
OJ L 158, 30.4.2004, p. 77
).’;"
(2)
in Article 13, the following paragraph is added:
‘3.   Where a decision has been taken to annul or to revoke a visa, the visa authority that has taken the decision shall immediately retrieve and export from the VIS into the Entry/Exit System established by Regulation (EU) 2017/2226 of the European Parliament and of the Council
 (
*3
)
 (EES) the data listed under Article 19(1) of that Regulation.
(
*3
)
  Regulation (EU) 2017/2226 of the European Parliament and of the Council of 30 November 2017 establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) No 767/2008 and (EU) No 1077/2011 (
OJ L 327, 9.12.2017, p. 20
).’;"
(3)
in Article 14, the following paragraph is added:
‘3.   The visa authority that has taken a decision to extend the period of validity, the duration of stay of an issued visa, or both, shall immediately retrieve and export from the VIS into the EES the data listed under Article 19(1) of Regulation (EU) 2017/2226.’;
(4)
Article 15 is amended as follows:
(a)
in paragraph 2, points (b) and (c) are replaced by the following:
‘(b)
surname (family name), first name or names (given names); date of birth; nationality or nationalities; sex;
(c)
the type and number of the travel document; three letter code of the issuing country of the travel document; and the date of expiry of the validity of the travel document;’;
(b)
the following paragraphs are added:
‘4.   For the purposes of consulting the EES in order to examine and decide on visa applications in accordance with Article 24 of Regulation (EU) 2017/2226, the competent visa authority shall be given access to search the EES directly from the VIS with one or several of the data referred to in that Article.
5.   Where the search with the data referred to in paragraph 2 of this Article indicates that data on the third-country national are not recorded in the VIS or where there are doubts as to the identity of the third-country national, the competent visa authority shall have access to data for identification in accordance with Article 20.’;
(5)
in Chapter III, the following Article is inserted:
‘Article 17a
Interoperability with the EES
1.   From the start of operations of the EES, as provided for in Article 66(1) of Regulation (EU) 2017/2226, interoperability between the EES and the VIS shall be established to ensure greater efficiency and rapidity of border checks. To that end, eu-LISA shall establish a Secure Communication Channel between the central system of the EES and the central VIS. Direct consultation between the EES and the VIS shall only be possible if both this Regulation and Regulation 2017/2226 so provide. Retrieval of visa-related data from the VIS, their exportation into the EES and the updating of data from the VIS in the EES shall be an automated process once the operation in question is launched by the authority concerned.
2.   Interoperability shall enable the visa authorities using the VIS to consult the EES from the VIS:
(a)
when examining and deciding on visa applications as referred to in Article 24 of Regulation (EU) 2017/2226 and Article 15(4) of this Regulation;
(b)
in order to retrieve and export the visa-related data directly from the VIS into the EES in the event that a visa is annulled, revoked or extended in accordance with Article 19 of Regulation (EU) 2017/2226 and Articles 13 and 14 of this Regulation.
3.   Interoperability shall enable the border authorities using the EES to consult the VIS from the EES in order to:
(a)
retrieve the visa-related data directly from the VIS and import them into the EES so that an entry/exit record or refusal of entry record of a visa holder may be created or updated in the EES in accordance with Articles 14, 16 and 18 of Regulation (EU) 2017/2226 and Article 18a of this Regulation;
(b)
retrieve the visa-related data directly from the VIS and import them into the EES in the event that a visa is annulled, revoked or extended in accordance with Article 19 of Regulation (EU) 2017/2226 and Articles 13 and 14 of this Regulation;
(c)
verify the authenticity and validity of the visa, whether the conditions for entry to the territory of the Member States in accordance with Article 6 of Regulation (EU) 2016/399 of the European Parliament and of the Council
 (
*4
)
 are fulfilled, or both, as referred to in Article 18(2) of this Regulation;
(d)
check whether visa-exempt third-country nationals for whom an individual file is not recorded in the EES were previously registered in the VIS in accordance with Article 23 of Regulation (EU) 2017/2226 and Article 19a of this Regulation;
(e)
verify, where the identity of a visa holder is verified using fingerprints, the identity of a visa holder with fingerprints against the VIS in accordance with Articles 23(2) and 23(4) of Regulation (EU) 2017/2226 and Article 18(6) of this Regulation.
4.   For the operation of the EES web service referred to in Article 13 of Regulation (EU) 2017/2226, the VIS shall update on a daily basis the separate read-only database referred to in Article 13(5) of that Regulation via a one-way extraction of the minimum necessary subset of VIS data.
5.   In accordance with Article 36 of Regulation (EU) 2017/2226, the Commission shall adopt the measures necessary for the establishment and the high level design of the interoperability. In order to establish interoperability with the EES, the Management Authority shall develop the required evolutions and adaptations of the central VIS, the national interface in each Member State, and the communication infrastructure between the central VIS and the national interfaces. The Member States shall adapt and develop the national infrastructures.
(
*4
)
  Regulation (EU) 2016/399 of the European Parliament and of the Council of 9 March 2016 on a Union Code on the rules governing the movement of persons across borders (Schengen Borders Code) (
OJ L 77, 23.3.2016, p. 1
).’."
(6)
Article 18 is replaced by the following:
‘Article 18
Access to data for verification at borders at which the EES is operated
1.   For the sole purpose of verifying the identity of the visa holders, the authenticity, temporal and territorial validity and status of the visa or whether the conditions for entry to the territory of the Member States in accordance with Article 6 of Regulation (EU) 2016/399 are fulfilled, or both, the competent authorities for carrying out checks at borders at which the EES is operated shall have access to the VIS to search using the following data:
(a)
surname (family name), first name or names (given names); date of birth; nationality or nationalities; sex; type and number of the travel document or documents; three letter code of the issuing country of the travel document or documents; and the date of expiry of the validity of the travel document or documents; or
(b)
the number of the visa sticker.
2.   Solely for the purposes referred to in paragraph 1 of this Article, where a search is launched in the EES pursuant to Article 23(2) of Regulation (EU) 2017/2226, the competent border authority shall launch a search in the VIS directly from the EES using the data referred to in point (a) of paragraph 1 of this Article.
3.   By way of derogation from paragraph 2 of this Article, where a search is launched in the EES pursuant to Article 23(2) or (4) of Regulation (EU) 2017/2226, the competent border authority may search the VIS without making use of the interoperability with the EES, where specific circumstances so require, in particular, where it is more appropriate, due to the specific situation of a third-country national, to search using the data referred to in point (b) of paragraph 1 of this Article, or where it is technically impossible, on a temporary basis, to consult the EES data or in the event of a failure of the EES.
4.   If the search with the data listed in paragraph 1 indicates that data are stored in the VIS on one or more issued or extended visas which are within their validity period and are under their territorial validity for the border crossing, the competent authority for carrying out checks at borders at which the EES is operated shall be given access to consult the following data contained in the application file concerned as well as in an application file or files linked pursuant to Article 8(4), solely for the purposes referred to in paragraph 1 of this Article:
(a)
the status information and the data taken from the application form, referred to in Article 9(2) and (4);
(b)
photographs;
(c)
the data referred to in Articles 10, 13 and 14 and entered in respect of the visa(s) issued, annulled or revoked or of the visa or visas whose validity is extended.
In addition, for those visa holders for whom certain data are not required to be provided for legal reasons or factually cannot be provided, the competent authority for carrying out checks at borders at which the EES is operated shall receive a notification related to the specific data field or fields concerned which shall be marked as ‘not applicable’.
5.   If the search with the data listed in paragraph 1 of this Article indicates that data on the person are recorded in the VIS but no valid visa is recorded, the competent authority for carrying out checks at borders at which the EES is operated shall be given access to consult the following data contained in the application file or files as well as in an application file or files linked pursuant to Article 8(4), solely for the purposes referred to in paragraph 1 of this Article:
(a)
the status information and the data taken from the application form, referred to in Article 9(2) and (4);
(b)
photographs;
(c)
the data referred to in Articles 10, 13 and 14 and entered in respect of the visa(s) issued, annulled or revoked or of the visa or visas whose validity is extended.
6.   In addition to the consultation carried out under paragraph 1 of this Article, the competent authority for carrying out checks at borders at which the EES is operated shall verify the identity of a person against the VIS if the search with the data listed in paragraph 1 of this Article indicates that data on the person are recorded in the VIS and one of the following conditions is met:
(a)
the identity of the person cannot be verified against the EES in accordance with Article 23(2) of Regulation (EU) 2017/2226, because:
(i)
the visa holder is not yet registered into the EES;
(ii)
the identity is verified, at the border crossing point concerned, using fingerprints in accordance with Article 23(2) of Regulation (EU) 2017/2226;
(iii)
there are doubts as to the identity of the visa holder;
(iv)
of any other reason;
(b)
the identity of the person can be verified against the EES but Article 23(5) of Regulation (EU) 2017/2226 applies.
The competent authorities for carrying out checks at borders at which the EES is operated shall verify the fingerprints of the visa holder against the fingerprints recorded in the VIS. For visa holders whose fingerprints cannot be used, the search referred to in paragraph 1 shall be carried out only with the alphanumeric data provided for in paragraph 1.
7.   For the purpose of verifying the fingerprints against the VIS as provided for in paragraph 6, the competent authority may launch a search from the EES to the VIS.
8.   Where verification of the visa holder or of the visa fails or where there are doubts as to the identity of the visa holder or the authenticity of the visa or travel document, the duly authorised staff of the competent authorities for carrying out checks at borders at which the EES is operated shall have access to data in accordance with Article 20(1) and (2).’;
(7)
the following Article is inserted:
‘Article 18a
Retrieval of VIS data for creating or updating an entry/exit record or a refusal of entry record of a visa holder in the EES
Solely for the purpose of creating or updating an entry/exit record or a refusal of entry record of a visa holder in the EES in accordance with Article 14(2) and Articles 16 and 18 of Regulation (EU) 2017/2226, the competent authority for carrying out checks at borders at which the EES is operated shall be given access to retrieve from the VIS and import into the EES the data stored in the VIS and listed in points (c) to (f) of Article 16(2) of that Regulation.’;
(8)
the following Article is inserted:
‘Article 19a
Use of the VIS before creating in the EES the individual files of visa-exempt third-country nationals
1.   For the purpose of checking whether a person has been previously registered in the VIS, the competent authorities for carrying out checks at external border crossing points in accordance with Regulation (EU) 2016/399 shall consult the VIS before creating in the EES the individual file of 
visa-exempt
 third-country nationals as laid down in Article 17 of Regulation 2017/2226.
2.   For the purpose of paragraph 1 of this Article, where Article 23(4) of Regulation 2017/2226 applies and the search referred to in Article 27 of that Regulation indicates that data on a third-country national are not recorded in the EES, the competent authority for carrying out checks at borders at which the EES is operated shall have access to search in the VIS using the following data: surname (family name); first name or names (given names); date of birth; nationality or nationalities; sex; type and number of the travel document; three letter code of the issuing country of the travel document; and the date of expiry of the validity of the travel document.
3.   Solely for the purposes referred to in paragraph 1 of this Article, further to a search launched in the EES pursuant to Article 23(4) of Regulation (EU) 2017/2226, the competent authority for carrying out checks at borders at which the EES is operated may launch a search in the VIS directly from the EES using the alphanumeric data provided for in paragraph 2 of this Article.
4.   In addition, if the search with the data referred to in paragraph 2 indicates that data concerning the third-country national are recorded in the VIS, the competent authority for carrying out checks at borders at which the EES is operated shall verify the fingerprints of the third-country national against the fingerprints recorded in the VIS. That authority may launch the verification from the EES. For third-country nationals whose fingerprints cannot be used, the search shall be carried out only with the alphanumeric data provided for in paragraph 2.
5.   If the search with the data listed in paragraph 2 of this Article and the verification carried out under paragraph 4 of this Article indicate that data on the person are recorded in the VIS, the competent authority for carrying out checks at borders at which the EES is operated shall be given access to consult the following data contained in the application file concerned as well as in an application file or files linked pursuant to Article 8(4), solely for the purpose referred to in paragraph 1 of this Article:
(a)
the status information and the data taken from the application form, referred to in Article 9(2) and (4);
(b)
photographs;
(c)
the data referred to in Articles 10, 13 and 14 and entered in respect of the visa or visas issued, annulled or revoked or of the visa or visas whose validity is extended.
6.   Where the verification provided under paragraph 4 or 5 of this Article fails or where there are doubts as to the identity of the person or the authenticity of the travel document, the duly authorised staff of the competent authorities for carrying out checks at borders at which the EES is operated shall have access to data in accordance with Article 20(1) and (2). The competent authority for carrying out checks at borders at which the EES is operated may launch from the EES the identification referred to in Article 20.’;
(9)
in Article 20(1), the first subparagraph is replaced by the following:
‘1.   Solely for the purposes of the identification of any person who may have been registered previously in the VIS or who may not, or may no longer, fulfil the conditions for the entry to, or stay or residence on, the territory of the Member States, the authorities competent for carrying out checks at borders at which the EES is operated or within the territory of the Member States as to whether the conditions for entry to, or stay or residence on, the territory of the Member States are fulfilled, shall have access to search in the VIS with the fingerprints of that person.’;
(10)
in Article 26, the following paragraph is inserted:
‘3a.   From 30 June 2018, the Management Authority shall be responsible for the tasks referred to in paragraph 3.’;
(11)
Article 34 is amended as follows:
(a)
paragraph 1 is replaced by the following:
‘1.   Each Member State and the Management Authority shall keep records of all data processing operations within the VIS. Those records shall indicate:
(a)
the purpose of access referred to in Article 6(1) and in Articles 15 to 22;
(b)
the date and time;
(c)
the type of data transmitted as referred to in Articles 9 to 14;
(d)
the type of data used for interrogation as referred to in Article 15(2), Article 17 and Articles 18(1) and (6), 19(1), 19a(2) and (4), 20(1), 21(1) and 22(1); and
(e)
the name of the authority entering or retrieving the data.
In addition, each Member State shall keep records of the staff duly authorised to enter or retrieve the data.’;
(b)
the following paragraph is inserted:
‘1a.   For the operations listed in Article 17a, a record of each data processing operation carried out in the VIS and the EES shall be kept in accordance with this Article and Article 46 of Regulation (EU) 2017/2226.’.
Article 62
Amendments to Regulation (EU) No 1077/2011
Regulation (EU) No 1077/2011 is amended as follows:
(1)
in Article 1, paragraph 2 is replaced by the following:
‘2.   The Agency shall be responsible for the operational management of the second-generation Schengen Information System (SIS II), the Visa Information System (VIS), Eurodac and the Entry/Exit System established by Regulation (EU) 2017/2226 of the European Parliament and of the Council
 (
*5
)
 (EES).
(
*5
)
  Regulation (EU) 2017/2226 of the European Parliament and of the Council of 30 November 2017 establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) No 767/2008 and (EU) No 1077/2011 (
OJ L 327, 9.12.2017, p. 20
).’;"
(2)
the following Article is inserted:
‘Article 5a
Tasks relating to the EES
In relation to the EES, the Agency shall perform:
(a)
the tasks conferred on it by Regulation (EU) 2017/2226;
(b)
tasks relating to training on the technical use of the EES.’;
(3)
in Article 7, paragraphs 5 and 6 are replaced by the following:
‘5.   Tasks related to the operational management of the communication infrastructure may be entrusted to external private-sector entities or bodies in accordance with Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council
 (
*6
)
. In such a case, the network provider shall be bound by the security measures referred to in paragraph 4 of this Article and shall have no access to SIS II, VIS, Eurodac or EES operational data, or to the SIS II-related SIRENE exchange, by any means.
6.   Without prejudice to the existing contracts on the network of SIS II, VIS, Eurodac and EES, the management of encryption keys shall remain within the competence of the Agency and shall not be outsourced to any external private-sector entity.
(
*6
)
  Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council of 25 October 2012 on the financial rules applicable to the general budget of the Union and repealing Council Regulation (EC, Euratom) No 1605/2002 (
OJ L 298, 26.10.2012, p. 1
).’;"
(4)
in Article 8, paragraph 1 is replaced by the following:
‘1.   The Agency shall monitor the developments in research relevant for the operational management of SIS II, VIS, Eurodac, EES and other large-scale IT systems.’;
(5)
in Article 12, paragraph 1 is amended as follows:
(a)
the following point is inserted:
‘(sa)
adopt the reports on the development of the EES pursuant to Article 72(2) of Regulation (EU) 2017/2226;’;
(b)
point (t) is replaced by the following:
‘(t)
adopt the reports on the technical functioning of SIS II pursuant to Article 50(4) of Regulation (EC) No 1987/2006 and Article 66(4) of Decision 2007/533/JHA, of VIS pursuant to Article 50(3) of Regulation (EC) No 767/2008 and Article 17(3) of Decision 2008/633/JHA and of EES pursuant to Article 72(4) of Regulation (EU) 2017/2226;’;
(c)
point (v) is replaced by the following:
‘(v)
make comments on the European Data Protection Supervisor’s reports on the audits pursuant to Article 45(2) of Regulation (EC) No 1987/2006, Article 42(2) of Regulation (EC) No 767/2008, Article 31(2) of Regulation (EU) No 603/2013 and Article 56(2) of Regulation (EU) 2017/2226 and ensure appropriate follow-up to those audits;’;
(d)
the following point is inserted:
‘(xa)
publish statistics related to the EES pursuant to Article 63 of Regulation (EU) 2017/2226;’;
(e)
the following point is inserted:
‘(za)
ensure annual publication of the list of competent authorities pursuant to Article 65(2) of Regulation (EU) 2017/2226;’;
(6)
in Article 15, paragraph 4 is replaced by the following:
‘4.   Europol and Eurojust may attend the meetings of the Management Board as observers when a question concerning SIS II, in relation to the application of Decision 2007/533/JHA, is on the agenda. Europol may also attend the meetings of the Management Board as an observer when a question concerning VIS, in relation to the application of Decision 2008/633/JHA, a question concerning Eurodac, in relation to the application of Regulation (EU) No 603/2013, or a question concerning the EES, in relation to the application of Regulation (EU) 2017/2226, is on the agenda.’;
(7)
Article 17 is amended as follows:
(a)
in paragraph 5, point (g) is replaced by the following:
‘(g)
without prejudice to Article 17 of the Staff Regulations, establish confidentiality requirements in order to comply with Article 17 of Regulation (EC) No 1987/2006, Article 17 of Decision 2007/533/JHA, Article 26(9) of Regulation (EC) No 767/2008, Article 4(4) of Regulation (EU) No 603/2013 and Article 37(4) of Regulation (EU) 2017/2226;’;
(b)
in paragraph 6, the following point is added:
‘(k)
reports on the state of play of the development of the EES referred to in Article 72(2) of Regulation (EU) 2017/2226.’;
(8)
Article 19 is amended as follows:
(a)
in paragraph 1, the following point is inserted:
‘(da)
EES Advisory Group;’;
(b)
paragraph 3 is replaced by the following:
‘Europol and Eurojust may each appoint a representative to the SIS II Advisory Group. Europol may also appoint a representative to the VIS, Eurodac and EES Advisory Groups.’.
CHAPTER IX
FINAL PROVISIONS
Article 63
Use of data for reporting and statistics
1.   The duly authorised staff of the competent authorities of Member States, the Commission and eu-LISA shall have access to consult the following data, solely for the purposes of reporting and statistics without allowing for individual identification and in accordance with the safeguards related to non-discrimination referred to in Article 10(2):
(a)
status information;
(b)
nationality, sex and year of birth of the third-country national;
(c)
date and border crossing point of the entry to a Member State and date and border crossing point of the exit from a Member State;
(d)
the type of the travel document and the three letter code of the issuing country;
(e)
the number of persons identified as overstayers referred to in Article 12, the nationalities of persons identified as overstayers and the border crossing point of entry;
(f)
the data entered in respect of any stay revoked or any stay whose validity is extended;
(g)
the three letter code of the Member State that issued the visa, if applicable;
(h)
the number of persons exempt from the requirement to give fingerprints pursuant to Article 17(3) and (4);
(i)
the number of third-country nationals refused entry, the nationalities of third-country nationals refused entry, the type of border (land, air or sea) of the border crossing point at which entry was refused and the reasons for which entry has been refused as referred to in point (d) of Article 18(6).
The duly authorised staff of the European Border and Coast Guard Agency established by Regulation (EU) 2016/1624 of the European Parliament and of the Council 
(
44
)
 shall have access to consult the data referred to in the first subparagraph of this paragraph for the purpose of carrying out risk analyses and vulnerability assessments as referred to in Articles 11 and 13 of that Regulation.
2.   For the purpose of paragraph 1 of this Article, eu-LISA shall establish, implement and host a data repository at a central level in its technical sites containing the data referred to in paragraph 1 of this Article. That data repository shall not allow for the identification of individuals, but it shall allow the authorities listed in paragraph 1 of this Article to obtain customisable reports and statistics on the entries and exits, refusals of entry and overstays of third-country nationals, to enhance the efficiency of border checks, to help consulates processing the visa applications and to support evidence-based Union migration policymaking. That data repository shall also contain daily statistics on the data referred to in paragraph 4. Access to that data repository shall be granted by means of secured access through TESTA with control of access and specific user profiles solely for the purpose of reporting and statistics. Detailed rules on the operation of that data repository and the data protection and security rules applicable to it shall be adopted in accordance with the examination procedure referred to in Article 68(2).
3.   The procedures put in place by eu-LISA to monitor the development and the functioning of the EES referred to in Article 72(1) shall include the possibility to produce regular statistics for ensuring that monitoring.
4.   Every quarter, eu-LISA shall publish statistics on the EES showing in particular the number, nationality, age, sex, duration of stay and border crossing point of entry of overstayers, of third-country nationals who were refused entry, including the grounds for refusal, and of third-country nationals whose authorisation for stay was revoked or extended, as well as the number of third-country nationals exempt from the requirement to give fingerprints.
5.   At the end of each year, statistical data shall be compiled in an annual report for that year. The statistics shall contain a breakdown of data for each Member State. The report shall be published and transmitted to the European Parliament, to the Council, to the Commission, to the European Border and Coast Guard Agency, to the European Data Protection Supervisor and to the national supervisory authorities.
6.   At the request of the Commission, eu-LISA shall provide it with statistics on specific aspects related to the implementation of this Regulation as well as the statistics pursuant to paragraph 3.
Article 64
Costs
1.   The costs incurred in connection with the establishment and operation of the EES Central System, the Communication Infrastructure, the NUI, the web service and the data repository referred to in Article 63(2) shall be borne by the general budget of the Union.
2.   Costs incurred in connection with the integration of the existing national border infrastructure and its connection to the NUI as well as in connection with hosting the NUI shall be borne by the general budget of the Union.
The following costs shall be excluded:
(a)
Member States’ project management office (meetings, missions, offices);
(b)
hosting of national IT systems (space, implementation, electricity, cooling);
(c)
operation of national IT systems (operators and support contracts);
(d)
customisation of existing border checks and policing systems for national entry-exit systems;
(e)
project management of national entry-exit systems;
(f)
design, development, implementation, operation and maintenance of national communication networks;
(g)
automated border control systems, self-service systems and e-gates.
3.   The costs incurred by the central access points referred to in Articles 29 and 30 shall be borne, respectively, by each Member State and Europol. The costs for the connection of those central access points to the NUI and to the EES shall be borne by each Member State and Europol, respectively.
4.   Each Member State and Europol shall set up and maintain at their expense the technical infrastructure necessary to implement Chapter IV and shall be responsible for bearing the costs resulting from access to the EES for that purpose.
Article 65
Notifications
1.   Member States shall notify the Commission of the authority which is to be considered as controller as referred to in Article 39.
2.   Member States shall notify the Commission and eu-LISA of the competent authorities referred to in Article 9(2) which have access to enter, rectify, complete, erase, consult or search data. Three months after the EES has started operations in accordance with Article 66, eu-LISA shall publish a consolidated list of those authorities in the 
Official Journal of the European Union
. Member States shall also notify without delay any changes thereto. In the event of such changes, eu-LISA shall publish once a year an updated consolidated version of that information.
3.   Member States shall notify the Commission and eu-LISA of their designated authorities and of their central access points referred to in Article 29 and shall notify without delay any amendments thereto.
4.   Europol shall notify the Commission and eu-LISA of the authority it designates and its central access point referred to in Article 30 and shall notify without delay any amendments thereto.
5.   eu-LISA shall notify the Commission of the successful completion of the test referred to in point (b) of Article 66(1).
6.   The Commission shall publish the information referred to in paragraphs 1, 3 and 4 in the 
Official Journal of the European Union
. In the event of changes thereto, the Commission shall publish once a year an updated consolidated version of that information. The Commission shall maintain a continuously updated public website containing that information.
Article 66
Start of operations
1.   The Commission shall decide the date from which the EES is to start operations, after the following conditions are met:
(a)
the measures referred to in Article 36 and Article 50(4) and (5) have been adopted;
(b)
eu-LISA has declared the successful completion of a comprehensive test of the EES, which is to be conducted by eu-LISA in cooperation with the Member States;
(c)
the Member States have validated the technical and legal arrangements to collect and transmit the data referred to in Articles 16 to 20 to the EES and have notified them to the Commission;
(d)
the Member States have notified the Commission as referred to in Article 65(1), (2) and (3).
2.   The EES shall be operated by:
(a)
the Member States which apply the Schengen 
acquis
 in full; and
(b)
the Member States which do not yet apply the Schengen 
acquis
 in full but for which all the following conditions are met:
(i)
the verification in accordance with applicable Schengen evaluation procedures has been successfully completed;
(ii)
the provisions of the Schengen 
acquis
 relating to the SIS have been put into effect in accordance with the relevant Act of Accession; and
(iii)
the provisions of the Schengen 
acquis
 relating to the VIS which are necessary for the operation of the EES as defined in this Regulation have been put into effect in accordance with the relevant Act of Accession.
3.   A Member State which is not covered by paragraph 2 shall be connected to the EES as soon as the conditions referred to in points (b), (c) and (d) of paragraph 1 and point (b) of paragraph 2 are met. The Commission shall decide the date from which the EES is to start its operations in those Member States.
4.   The Commission shall inform the European Parliament and the Council of the results of the test carried out pursuant to point (b) of paragraph 1.
5.   The Commission decision referred to in paragraphs 1 and 3 shall be published in the 
Official Journal of the European Union
.
6.   The Member States and Europol shall start using the EES from the date determined by the Commission in accordance with paragraph 1 or, where applicable, with paragraph 3.
Article 67
Ceuta and Melilla
This Regulation shall not affect the special rules applying to the cities of Ceuta and Melilla, as defined in the Declaration of the Kingdom of Spain on the cities of Ceuta and Melilla in the Final Act to the Agreement on the Accession of the Kingdom of Spain to the Convention implementing the Schengen Agreement of 14 June 1985.
Article 68
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Article 69
Advisory Group
An Advisory Group shall be established by eu-LISA in order to provide it with the expertise related to the EES, in particular in the context of the preparation of its annual work programme and its annual activity report. During the design and development phase of the EES, Article 37(2) shall apply.
Article 70
Training
eu-LISA shall perform tasks related to provision of training on the technical use of the EES in accordance with Regulation (EU) No 1077/2011.
Article 71
Practical handbook
The Commission shall, in close cooperation with the Member States, eu-LISA and other relevant agencies, make available a practical handbook for the implementation and management of the EES. The practical handbook shall provide technical and operational guidelines, recommendations and best practices. The Commission shall adopt the practical handbook in the form of a recommendation.
Article 72
Monitoring and evaluation
1.   eu-LISA shall ensure that procedures are in place to monitor the development of the EES in light of objectives relating to planning and costs and to monitor the functioning of the EES in light of objectives relating to the technical output, cost-effectiveness, security and quality of service.
2.   By 30 June 2018, and every six months thereafter during the development phase of the EES, eu-LISA shall submit a report to the European Parliament and to the Council on the state of play of the development of the EES Central System, the Uniform Interfaces and the Communication Infrastructure between the EES Central System and the Uniform Interfaces. That report shall contain detailed information about the costs incurred and information as to any risks which may impact the overall costs of the EES to be borne by the general budget of the Union in accordance with Article 64(1) and the first subparagraph of Article 64(2). Following the development of the EES, eu-LISA shall submit a report to the European Parliament and to the Council explaining in detail how the objectives, in particular relating to planning and costs, were achieved, as well as justifying any divergences.
3.   For the purposes of technical maintenance, eu-LISA shall have access to the necessary information relating to the data processing operations performed in the EES.
4.   Two years after the start of operations of the EES and every two years thereafter, eu-LISA shall submit to the European Parliament, to the Council and to the Commission a report on the technical functioning of EES, including the security thereof.
5.   Three years after the start of operations of the EES and every four years thereafter, the Commission shall produce an overall evaluation of the EES. This overall evaluation shall include:
(a)
an assessment of the application of this Regulation;
(b)
an examination of the results achieved against objectives and the impact on fundamental rights;
(c)
an assessment of the continuing validity of the underlying rationale of the EES;
(d)
an assessment of the adequacy of the biometric data used for the proper functioning of the EES;
(e)
an assessment of the use of stamps in the exceptional circumstances referred to in Article 21(2);
(f)
an assessment of the security of the EES;
(g)
an assessment of any implications, including any disproportionate impact on the flow of traffic at border crossing points and those with a budgetary impact on the Union budget.
The evaluations shall include any necessary recommendations. The Commission shall transmit the evaluation report to the European Parliament, to the Council, to the European Data Protection Supervisor and to the European Union Agency for Fundamental Rights established by Council Regulation (EC) No 168/2007 
(
45
)
.
Those evaluations shall also include an assessment of the use made of the provisions referred to in Article 60 both in terms of frequency — number of third-country nationals making use of these provisions per Member State, their nationality and average duration of their stay — and practical implications, and shall take into account any related developments in the Union’s visa policy. The first evaluation report may include options in view of phasing out the provisions referred to in Article 60 and replacing them with a Union instrument. It shall be accompanied, where appropriate, by a legislative proposal amending the provisions referred to in Article 60.
6.   The Member States and Europol shall provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraphs 4 and 5 according to the quantitative indicators predefined by the Commission, eu-LISA, or both. This information shall not jeopardise working methods or include information that reveals sources, staff members or investigations of the designated authorities.
7.   eu-LISA shall provide the Commission with the information necessary to produce the overall evaluations referred to in paragraph 5.
8.   While respecting the provisions of national law on the publication of sensitive information, each Member State and Europol shall prepare annual reports on the effectiveness of access to EES data for law enforcement purposes containing information and statistics on:
(a)
whether the consultation was carried out for the purpose of identification or for entry/exit records, and the type of terrorist offence or serious criminal offence that led to the consultation;
(b)
the grounds given to substantiate the suspicion that the person concerned was covered by this Regulation;
(c)
the grounds given not to launch the consultation of other Member States’ automated fingerprint identification systems under Decision 2008/615/JHA in accordance with point (b) of Article 32(2) of this Regulation;
(d)
the number of requests for access to the EES for law enforcement purposes;
(e)
the number and type of cases in which access to the EES for law enforcement purposes led to successful identifications;
(f)
the number and type of cases in which the urgency procedures referred to in Article 31(2) and in the second subparagraph of Article 32(2) were used, including those cases where that urgency was not accepted by the 
ex post
 verification carried out by the central access point.
A technical solution shall be made available to Member States in order to facilitate the collection of the data listed in the first subparagraph of this paragraph for the purpose of generating statistics referred to in this paragraph. The Commission shall adopt implementing acts concerning the specifications of the technical solution. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 68(2).
Member States’ and Europol’s annual reports shall be transmitted to the Commission by 30 June of the subsequent year.
Article 73
Entry into force and applicability
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall apply from the date decided by the Commission in accordance with Article 66(1) thereof, with the exception of the following provisions, which shall apply from 29 December 2017: Articles 5, 36, 37, 38, 43, 51 of this Regulation; point (5) of Article 61 of this Regulation, as regards Article 17a(5) of Regulation (EC) No 767/2008; point (10) of Article 61 of this Regulation, as regards Article 26(3a) of Regulation (EC) No 767/2008; and Articles 62, 64, 65, 66, 68, 69 and 70 and Article 72(2) of this Regulation.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Brussels, 30 November 2017.
For the European Parliament
The President
A. TAJANI
For the Council
The President
M. MAASIKAS
(
1
)
  
            
OJ C 487, 28.12.2016, p. 66
.
(
2
)
  Position of the European Parliament of 25 October 2017 (not yet published in the Official Journal) and decision of the Council of 20 November 2017.
(
3
)
  Council Decision 2004/512/EC of 8 June 2004 establishing the Visa Information System (VIS) (
OJ L 213, 15.6.2004, p. 5
).
(
4
)
  Regulation (EC) No 1987/2006 of the European Parliament and of the Council of 20 December 2006 on the establishment, operation and use of the second generation Schengen Information System (SIS II) (
OJ L 381, 28.12.2006, p. 4
).
(
5
)
  Regulation (EU) 2016/399 of the European Parliament and of the Council of 9 March 2016 on a Union Code on the rules governing the movement of persons across borders (Schengen Borders Code) (
OJ L 77, 23.3.2016, p. 1
).
(
6
)
  Regulation (EU) No 1077/2011 of the European Parliament and of the Council of 25 October 2011 establishing a European Agency for the operational management of large-scale IT systems in the area of freedom, security and justice (
OJ L 286, 1.11.2011, p. 1
).
(
7
)
  Regulation (EC) No 767/2008 of the European Parliament and of the Council of 9 July 2008 concerning the Visa Information System (VIS) and the exchange of data between Member States on short-stay visas (VIS Regulation) (
OJ L 218, 13.8.2008, p. 60
).
(
8
)
  Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combatting terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (
OJ L 88, 31.3.2017, p. 6
).
(
9
)
  Council Framework Decision 2002/584/JHA of 13 June 2002 on the European arrest warrant and the surrender procedures between Member States (
OJ L 190, 18.7.2002, p. 1
).
(
10
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
11
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
12
)
  Council Decision 2008/615/JHA of 23 June 2008 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime (
OJ L 210, 6.8.2008, p. 1
).
(
13
)
  Directive 2004/38/EC of the European Parliament and of the Council of 29 April 2004 on the right of citizens of the Union and their family members to move and reside freely within the territory of the Member States amending Regulation (EEC) No 1612/68 and repealing Directives 64/221/EEC, 68/360/EEC, 72/194/EEC, 73/148/EEC, 75/34/EEC, 75/35/EEC, 90/364/EEC, 90/365/EEC and 93/96/EEC (
OJ L 158, 30.4.2004, p. 77
).
(
14
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
15
)
  Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
16
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
17
)
  
            
OJ L 239, 22.9.2000, p. 19
.
(
18
)
  Regulation (EU) No 515/2014 of the European Parliament and of the Council of 16 April 2014 establishing, as part of the Internal Security Fund, the instrument for financial support for external borders and visa and repealing Decision No 574/2007/EC (
OJ L 150, 20.5.2014, p. 143
).
(
19
)
  Council Decision 2000/365/EC of 29 May 2000 concerning the request of the United Kingdom of Great Britain and Northern Ireland to take part in some of the provisions of the Schengen 
acquis
 (
OJ L 131, 1.6.2000, p. 43
).
(
20
)
  Council Decision 2002/192/EC of 28 February 2002 concerning Ireland’s request to take part in some of the provisions of the Schengen 
acquis
 (
OJ L 64, 7.3.2002, p. 20
).
(
21
)
  
            
OJ L 176, 10.7.1999, p. 36
.
(
22
)
  Council Decision 1999/437/EC of 17 May 1999 on certain arrangements for the application of the Agreement concluded by the Council of the European Union and the Republic of Iceland and the Kingdom of Norway concerning the association of those two States with the implementation, application and development of the Schengen 
acquis
 (
OJ L 176, 10.7.1999, p. 31
).
(
23
)
  
            
OJ L 53, 27.2.2008, p. 52
.
(
24
)
  Council Decision 2008/146/EC of 28 January 2008 on the conclusion, on behalf of the European Community, of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
 (
OJ L 53, 27.2.2008, p. 1
).
(
25
)
  Council Decision 2008/149/JHA of 28 January 2008 on the conclusion on behalf of the European Union of the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
 (
OJ L 53, 27.2.2008, p. 50
).
(
26
)
  
            
OJ L 160, 18.6.2011, p. 21
.
(
27
)
  Council Decision 2011/350/EU of 7 March 2011 on the conclusion, on behalf of the European Union, of the Protocol between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
, relating to the abolition of checks at internal borders and movement of persons (
OJ L 160, 18.6.2011, p. 19
).
(
28
)
  Council Decision 2011/349/EU of 7 March 2011 on the conclusion on behalf of the European Union of the Protocol between the European Union, the European Community, the Swiss Confederation and the Principality of Liechtenstein on the accession of the Principality of Liechtenstein to the Agreement between the European Union, the European Community and the Swiss Confederation on the Swiss Confederation’s association with the implementation, application and development of the Schengen 
acquis
 relating in particular to judicial cooperation in criminal matters and police cooperation (
OJ L 160, 18.6.2011, p. 1
).
(
29
)
  Council Decision 2010/365/EU of 29 June 2010 on the application of the provisions of the Schengen 
acquis
 relating to the Schengen Information System in the Republic of Bulgaria and Romania (
OJ L 166, 1.7.2010, p. 17
).
(
30
)
  Council Decision (EU) 2017/733 of 25 April 2017 on the application of the provisions of the Schengen 
acquis
 relating to the Schengen Information System in the Republic of Croatia (
OJ L 108, 26.4.2017, p. 31
).
(
31
)
  Council Decision (EU) 2017/1908 of 12 October 2017 on the putting into effect of certain provisions of the Schengen 
acquis
 relating to the Visa Information System in the Republic of Bulgaria and Romania (
OJ L 269, 19.10.2017, p. 39
).
(
32
)
  Council Regulation (EC) No 1030/2002 of 13 June 2002 laying down a uniform format for residence permits for third-country nationals (
OJ L 157, 15.6.2002, p. 1
).
(
33
)
  Directive 2014/66/EU of the European Parliament and of the Council of 15 May 2014 on the conditions of entry and residence of third-country nationals in the framework of an intra- corporate transfer (
OJ L 157, 27.5.2014, p. 1
).
(
34
)
  Directive (EU) 2016/801 of the European Parliament and of the Council of 11 May 2016 on the conditions of entry and residence of third-country nationals for the purposes of research, studies, training, voluntary service, pupil exchange schemes or educational projects and au pairing (
OJ L 132, 21.5.2016, p. 21
).
(
35
)
  Directive 2013/32/EU of the European Parliament and of the Council of 26 June 2013 on common procedures for granting and withdrawing international protection (
OJ L 180, 29.6.2013, p. 60
).
(
36
)
  Council Regulation (EC) No 377/2004 of 19 February 2004 on the creation of an immigration liaison officers network (
OJ L 64, 2.3.2004, p. 1
).
(
37
)
  Regulation (EC) No 810/2009 of the European Parliament and of the Council of 13 July 2009 establishing a Community Code on Visas (Visa Code) (
OJ L 243, 15.9.2009, p. 1
).
(
38
)
  Commission Decision 2008/602/EC of 17 June 2008 laying down the physical architecture and requirements of the national interfaces and of the communication infrastructure between the central VIS and the national interfaces for the development phase (
OJ L 194, 23.7.2008, p. 3
).
(
39
)
  Council Regulation (EC) No 693/2003 of 14 April 2003 establishing a specific Facilitated Transit Document (FTD), a Facilitated Rail Transit Document (FRTD) and amending the Common Consular Instructions and the Common Manual (
OJ L 99, 17.4.2003, p. 8
).
(
40
)
  Directive 2008/115/EC of the European Parliament and of the Council of 16 December 2008 on common standards and procedures in Member States for returning illegally staying third-country nationals (
OJ L 348, 24.12.2008, p. 98
).
(
41
)
  Council Decision 2008/633/JHA of 23 June 2008 concerning access for consultation of the Visa Information System (VIS) by designated authorities of Member States and by Europol for the purposes of the prevention, detection and investigation of terrorist offences and of other serious criminal offences (
OJ L 218, 13.8.2008, p. 129
).
(
42
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
43
)
  Council Regulation (EU) No 1053/2013 of 7 October 2013 establishing an evaluation and monitoring mechanism to verify the application of the Schengen 
acquis
 and repealing the Decision of the Executive Committee of 16 September 1998 setting up a Standing Committee on the evaluation and implementation of Schengen (
OJ L 295, 6.11.2013, p. 27
).
(
44
)
  Regulation (EU) 2016/1624 of the European Parliament and of the Council of 14 September 2016 on the European Border and Coast Guard and amending Regulation (EU) 2016/399 of the European Parliament and of the Council and repealing Regulation (EC) No 863/2007 of the European Parliament and of the Council, Council Regulation (EC) No 2007/2004 and Council Decision 2005/267/EC (
OJ L 251, 16.9.2016, p. 1
).
(
45
)
  Council Regulation (EC) No 168/2007 of 15 February 2007 establishing a European Union Agency for Fundamental Rights (
OJ L 53, 22.2.2007, p. 1
).
ANNEX I
LIST OF INTERNATIONAL ORGANISATIONS REFERRED TO IN ARTICLE 41(2)
1.
UN organisations (such as the UNHCR);
2.
The International Organization for Migration (IOM);
3.
The International Committee of the Red Cross.
ANNEX II
SPECIFIC PROVISIONS FOR THIRD-COUNTRY NATIONALS WHO CROSS THE BORDER ON THE BASIS OF A VALID FTD
(1)
By way of derogation from Article 16(1) to (3) of this Regulation, for third-country nationals who cross a border on the basis of a valid FTD, the border authorities shall:
(a)
create or update their individual file containing the data referred to in points (a), (b) and (c) of Article 17(1) of this Regulation. In addition, their individual file shall indicate that the third-country national concerned holds an FTD. That indication shall automatically result in the addition of the multiple entry characteristic of the FTD to the entry/exit record,
(b)
enter in an entry/exit record for each of the entries performed on the basis of a valid FTD the data set out in points (a), (b) and (c) of Article 16(2) of this Regulation, as well as the indication that the entry was performed on the basis of an FTD.
In order to calculate the maximum duration of the transit, the date and time of entry shall be considered as the starting point of that duration. The date and time of expiry of the authorised transit shall be calculated automatically by the EES in accordance with Article 3(2) of Regulation (EC) No 693/2003.
(2)
In addition, at the first entry on the basis of an FTD, the date of expiry of the validity of the FTD shall be entered into the entry/exit record.
(3)
Article 16(3) and (4) shall apply 
mutatis mutandis
 to third-country nationals holding an FTD.
(4)
For verification at a border at which the EES is operated and within the territory of the Member States, third-country nationals who cross the border on the basis of a valid FTD shall be subject, 
mutatis mutandis
, to the verifications and identifications provided for under Articles 23 and 26 of this Regulation and Article 19a of Regulation (EC) No 767/2008 that are applicable to visa-exempt third-country nationals.
(5)
Points (1) to (4) shall not apply to third-country nationals who cross the border on the basis of a valid FTD, provided that all of the following conditions are met:
(a)
they transit by train; and
(b)
they do not disembark within the territory of a Member State.

Summary:
The European Union’s entry/exit system
SUMMARY OF:
Regulation (EU) 2017/2226 establishing an entry/exit system to register the data of non-EU nationals crossing the EU’s external borders
Regulation (EU) 2017/2225 amending the Schengen Borders Code as regards the use of the entry/exit system
WHAT IS THE AIM OF THE REGULATIONS?
Regulation (EU) 2017/2226
 aims to improve the effectiveness and efficiency of controls at the external borders of the 
Schengen area
 by creating a centralised entry/exit system (EES) for 
non-
European Union
 (EU) nationals
 crossing EU external borders for a short stay of up to 90 days within any 180-day period. This period is calculated as a single period for all the countries using the EES.
The EES will be an automated IT system for registering entries and exits of travellers from non-EU countries at the external borders. It will apply to those needing a short-stay visa and those who are from visa-exempt non-EU countries.
The EES will generally replace passport stamping, and will provide reliable data on border crossings and effectively detect overstayers. It will also help in the fight against terrorism and serious crime.
Regulation (EU) 2017/2226 amends several EU laws:
the 
Convention Implementing the Schengen Agreement
 (see 
summary
);
the regulations on the 
visa information system
 (VIS) and on the 
European Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice
 (eu-LISA);
the 
Schengen Borders Code
, setting out the conditions, criteria and detailed rules for the crossing of the EU’s external borders.
Regulation (EU) 2017/2225
, which amends the Schengen Borders Code as regards the 
use of the EES
, is a separate 
legislative act
.
KEY POINTS
Subject matter
Regulation (EU) 2017/2226 creates the 
EES
, a common electronic system that:
records and stores the date, time and place of entry and exit
 of non-EU nationals crossing the EU’s borders;
automatically 
calculates the duration of the authorised stay
 of such non-EU nationals and 
generates alerts
 to EU 
Member States
 when the authorised stay has expired.
The system 
replaces the requirement to stamp non-EU nationals’ passports
.
Scope
The EES:
applies to 
travellers
 who cross the external borders of the Schengen area and are subject to a visa requirement, including those exempted from it and admitted for a short stay of 
up to 90 days in a 180-day period
;
will also record data on non-EU nationals whose entry for a short stay has been 
refused
;
will operate at the external borders of Member States that apply the Schengen 
acquis
 in full and at the borders of Member States that – at the time the system starts its operations – do not yet apply the 
Schengen 
acquis
 in full, but have successfully gone through the 
Schengen evaluation procedure
 and obtained passive access to the VIS and full access to the 
Schengen information system
.
Data storage and accessibility
The EES will store data on 
identity and travel documents
 (full name, date of birth, etc.), 
along with biometric data
 (fingerprints and facial images) and the 
date and place of entry and exit
.
These data will be:
kept for 
3 years for those travellers who respect the short-stay rules
 and 
5 years
 for those who exceed their authorised period of stay;
accessible
 to border authorities, visa-issuing authorities and those responsible for monitoring whether a non-EU national fulfils the conditions of entry or residence.
To prevent, detect or investigate terrorist offences or other serious criminal offences, designated law enforcement authorities and the 
European Union Agency for Law Enforcement Cooperation
 (Europol) may make a request to consult EES data.
Technical architecture
The EES comprises:
a 
central system
 that will operate a computerised central database of biometric and alphanumeric data (a mix of letters and numbers);
a 
national uniform interface
 in each participating country;
a secure communication channel
 between the central systems of the EES and of the VIS;
a secure and encrypted communication infrastructure
 between the EES central system and the national uniform interfaces (identical interfaces for all Member States connect their border infrastructures to the EES central system);
a 
data repository
 to obtain customisable reports and statistics;
a 
web service
 to enable non-EU nationals to verify their remaining authorised stay.
eu-LISA, 
the EU Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice is 
responsible for developing and operating the system
, including adapting the VIS to ensure the 
interoperability
 between the EES and VIS central systems.
Amending Regulation (EU) 
2024/1356
 adapts Regulation (EU) 2017/2226 to the introduction of the screening of non-EU nationals at the EU’s external borders. Among other things, it grants the screening authorities access to the EES to verify whether individuals might pose a threat to internal security.
Amendment of the Schengen Borders Code
Regulation (EU) 2017/2225
 amends the Schengen Borders Code as regards the use of the EES at the EU’s external borders as follows:
the 
entry and exit
 of non-EU nationals are 
recorded directly
 in the EES;
where provided for expressly by its national law, a Member State may continue to stamp non-EU nationals’ travel documents if they hold a residence permit or long-stay visa issued by that Member State;
non-EU nationals must 
provide biometric data
 to create their individual EES file or for the carrying out of border checks;
the 
identity
 and 
nationality
 of non-EU nationals 
and the authenticity and validity
 of their 
travel document
 for crossing the border are 
verified
;
Member States may set up national 
entry facilitation programmes
 on a voluntary basis for pre-vetted non-EU nationals;
Member States may decide whether, and to what extent, to make use of technologies such as 
self-service systems for non-EU nationals to pre-enrol or update data in the EES, 
e-gates
 and automated border control systems
, as long as an appropriate level of security is ensured, their use is supervised and border guards have access to the results of such border checks.
Implementing acts
The 
European Commission
 has adopted a series of acts implementing Regulation (EU) 2017/2226:
Decision (EU) 
2018/1547
 – specifications for connecting the central access points to the EES and for a technical solution to facilitate the collection of data by Member States for generating statistics on the access to EES data for law enforcement purposes;
Decision (EU) 
2018/1548
 – rules for drawing up the list of persons identified as overstayers in the EES and the procedure to make that list available to Member States;
Decision (EU) 
2019/326
 – measures for entering the data into the EES;
Decision (EU) 
2019/327
 – measures for accessing the data in the EES;
Decision (EU) 
2019/328
 – measures for keeping and accessing the logs in the EES;
Decision (EU) 
2019/329
 – specifications for the quality, resolution and use of fingerprints and facial images for biometric verification and identification in the EES;
Decision (EU) 
2022/1337
 – template for the provision of information to non-EU nationals about the processing of personal data in the EES;
Regulation (EU) 
2022/1409
 – conditions for operating the web service provided for by Regulation (EU) 2017/2226 and its development and technical implementation;
Decision (EU) 
2023/2601
 – rules on managing the functionality for the centralised management of the lists of competent national authorities accessing the EES and the VIS.
FROM WHEN DO THE REGULATIONS APPLY?
Regulation (EU) 2017/2226 entered into force on 
29 December 2017
 and, with several exceptions, will apply from the date decided by the Commission on the start of operations.
Regulation (EU) 2017/2225 will apply from the date on which the EES is to start operations, as determined by the Commission.
The EES start of operations date is not yet determined.
BACKGROUND
The EES is a priority initiative to modernise the EU’s external border management and help combat terrorism and serious crime, alongside other important border management and security files.
At a later stage, an 
online tool
 will be made available, including on the EES website, allowing travellers to check 
how long they can stay in the European countries using the EES
. A 
smartphone app allowing travellers to pre-register several data before the border checks
 is also under development.
For further information, see:
Entry/exit system (EES)
 (European Union).
MAIN DOCUMENTS
Regulation (EU) 
2017/2226
 of the European Parliament and of the Council of 
30 November 2017
 establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) 
No 767/2008
 and (EU) 
No 1077/2011
 (OJ L 327, 
9.12.2017
, 
pp. 20–82
).
Successive amendments to Regulation (EU) 2017/2226 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2017/2225
 of the European Parliament and of the Council of 
30 November 2017
 amending Regulation (EU) 2016/399 as regards the use of the Entry/Exit System (OJ L 327, 
9.12.2017
, 
pp. 1–19
).
RELATED DOCUMENTS
Regulation (EU) 
2024/1356
 of the European Parliament and of the Council of 
14 May 2024
 introducing the screening of third-country nationals at the external borders and amending Regulations (EC) 
No 767/2008
, (EU) 2017/2226, (EU) 2018/1240 and (EU) 2019/817 (OJ L, 2024/1356, 
22.5.2024
).
Regulation (EU) 
2023/2667
 of the European Parliament and of the Council of 
22 November 2023
 amending Regulations (EC) 
No 767/2008
, (EC) 
No 810/2009
 and (EU) 2017/2226 of the European Parliament and of the Council, Council Regulations (EC) 
No 693/2003
 and (EC) 
No 694/2003
 and Convention implementing the Schengen Agreement, as regards the digitalisation of the visa procedure (OJ L, 2023/2667, 
7.12.2023
).
Commission Implementing Decision (EU) 
2023/2601
 of 
20 November 2023
 laying down detailed rules on the management of the functionality for the centralised management of the lists of competent national authorities accessing the Entry/Exit System and the Visa Information System (OJ L, 2023/2601, 
22.11.2023
).
Commission Implementing Regulation (EU) 
2022/1409
 of 
18 August 2022
 concerning the detailed rules on the conditions for the operation of the web service and data protection and security rules applicable to the web service, as well as measures for the development and technical implementation of the web service and repealing Implementing Regulation (EU) 2021/1224 (OJ L 216, 
19.8.2022
, 
pp. 3–19
).
Commission Implementing Decision (EU) 
2022/1337
 of 
28 July 2022
 setting out the template for the provision of information to third-country nationals about the processing of personal data in the Entry/Exit System (OJ L 201, 
1.8.2022
, 
pp. 48–53
).
Regulation (EU) 
2019/817
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of borders and visa and amending Regulations (EC) 
No 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 and (EU) 2018/1861 of the European Parliament and of the Council and Council Decisions 2004/512/EC and 2008/633/JHA (OJ L 135, 
22.5.2019
, 
pp. 27–84
).
See 
consolidated version
.
Commission Implementing Decision (EU) 
2019/326
 of 
25 February 2019
 laying down measures for entering the data in the Entry/Exit System (EES) (OJ L 57, 
26.2.2019
, 
pp. 5–9
).
Commission Implementing Decision (EU) 
2019/327
 of 
25 February 2019
 laying down measures for accessing the data in the Entry/Exit System (EES) (OJ L 57, 
26.2.2019
, 
pp. 10–13
).
Commission Implementing Decision (EU) 
2019/328
 of 
25 February 2019
 laying down measures for keeping and accessing the logs in the Entry/Exit System (EES) (OJ L 57, 
26.2.2019
, 
pp. 14–17
).
Commission Implementing Decision (EU) 
2019/329
 of 
25 February 2019
 laying down the specifications for the quality, resolution and use of fingerprints and facial image for biometric verification and identification in the Entry/Exit System (EES) (OJ L 57, 
26.2.2019
, 
pp. 18–28
).
Regulation (EU) 
2018/1726
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) 
No 1987/2006
 and Council Decision 2007/533/JHA and repealing Regulation (EU) 
No 1077/2011
 (OJ L 295, 
21.11.2018
, 
pp. 99–137
).
See 
consolidated version
.
Commission Implementing Decision (EU) 
2018/1547
 of 
15 October 2018
 laying down the specifications for the connection of the central access points to the Entry/Exit System (EES) and for a technical solution to facilitate the collection of data by Member States for the purpose of generating statistics on the access to the EES data for law enforcement purposes (OJ L 259, 
16.10.2018
, 
pp. 35–38
).
Commission Implementing Decision (EU) 
2018/1548
 of 
15 October 2018
 laying down measures for the establishment of the list of persons identified as overstayers in the Entry-Exit System (EES) and the procedure to make that list available to Member States (OJ L 259, 
16.10.2018
, 
pp. 39–42
).
Regulation (EU) 
2018/1240
 of the European Parliament and of the Council of 
12 September 2018
 establishing a European Travel Information and Authorisation System (ETIAS) and amending Regulations (EU) 
No 1077/2011
, (EU) 
No 515/2014
, (EU) 2016/399, (EU) 2016/1624 and (EU) 2017/2226 (OJ L 236, 
19.9.2018
, 
pp. 1–71
).
See 
consolidated version
.
Regulation (EU) 
2016/399
 of the European Parliament and of the Council of 
9 March 2016
 on a Union Code on the rules governing the movement of persons across borders (Schengen Borders Code) (codification) (OJ L 77, 
23.3.2016
, 
pp. 1–52
).
See 
consolidated version
.
Regulation (EC) 
No 
767/2008
 of the European Parliament and of the Council of 
9 July 2008
 concerning the Visa Information System (VIS) and the exchange of data between Member States on short-stay visas (VIS Regulation) (OJ L 218, 
13.8.2008
, 
pp. 60–81
).
See 
consolidated version
.
The Schengen acquis – Convention implementing the Schengen Agreement
 of 
14 June 1985
 between the Governments of the States of the Benelux Economic Union, the Federal Republic of Germany and the French Republic on the gradual abolition of checks at their common borders (OJ L 239, 
22.9.2000
, 
pp. 19–62
).
last update 
4.11.2024

--- DANISH ---

Document:
9.12.2017
DA
Den Europæiske Unions Tidende
L 327/20
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2017/2226
af 30. november 2017
om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) nr. 767/2008 og (EU) nr. 1077/2011
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 77, stk. 2, litra b) og d), og artikel 87, stk. 2, litra a),
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter høring af Regionsudvalget,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
I sin meddelelse af 13. februar 2008 med titlen »Forberedelse af de kommende faser af grænseforvaltningen i EU« redegjorde Kommissionen for behovet for som en del af Unionens strategi for integreret grænseforvaltning at oprette et ind- og udrejsesystem, som elektronisk registrerer, hvornår og hvor tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på et kortvarigt ophold på medlemsstaternes område, ind- og udrejser, og som beregner varigheden af deres tilladte ophold.
(2)
På Det Europæiske Råds møde den 19. og 20. juni 2008 blev vigtigheden af at fortsætte arbejdet med at udvikle Unionens strategi for integreret grænseforvaltning fremhævet, herunder bedre udnyttelse af moderne teknologi til at forbedre forvaltningen af de ydre grænser.
(3)
I sin meddelelse af 10. juni 2009 med titlen »Et område med frihed, sikkerhed og retfærdighed i borgernes tjeneste« slog Kommissionen til lyd for at oprette et elektronisk system til registrering af indrejser til og udrejser fra medlemsstaternes område ved de ydre grænser for at sikre en mere effektiv forvaltning af adgangen til dette område.
(4)
Det Europæiske Råd opfordrede på sit møde den 23. og 24. juni 2011 til, at arbejdet med »intelligente grænser« hurtigt blev fremmet. Kommissionen offentliggjorde den 25. oktober 2011 en meddelelse med titlen »Intelligente grænser — valgmuligheder og vejen videre frem«.
(5)
Det Europæiske Råd understregede i sine strategiske retningslinjer, der blev vedtaget i juni 2014, at Schengenområdet, som gør det muligt for folk at rejse uden kontrol ved de indre grænser, og det stigende antal personer, der rejser til Unionen, kræver en effektiv forvaltning af Unionens fælles ydre grænser for at sikre et højt beskyttelsesniveau. Det understregede også, at Unionen skal mobilisere alle de redskaber, den har til sin rådighed, for at støtte medlemsstaterne i deres opgave, og at den integrerede grænseforvaltning af de ydre grænser med henblik herpå bør moderniseres på en omkostningseffektiv måde for at sikre intelligent grænseforvaltning med bl.a. et ind- og udrejsesystem og støttes af det nye agentur for store IT-systemer (eu-LISA).
(6)
I sin meddelelse af 13. maj 2015 med titlen »En europæisk dagsorden for migration« anførte Kommissionen, at der med initiativet »intelligente grænser« indledes en ny fase, som sigter mod at øge effektiviteten ved grænsepassage ved at lette passagen for det store flertal af bona fide-rejsende fra tredjelande og samtidig styrke kampen mod irregulær migration ved at oprette et register over alle tredjelandsstatsborgeres grænsepassager under fuld hensyntagen til proportionalitetsprincippet.
(7)
Med henblik på yderligere at forbedre forvaltningen af de ydre grænser og navnlig for at kontrollere overholdelsen af bestemmelserne om det tilladte ophold på medlemsstaternes område bør der oprettes et ind- og udrejsesystem, der elektronisk registrerer, hvornår og hvor tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på et kortvarigt ophold på medlemsstaternes område, ind- og udrejser, og som beregner, hvor længe de har tilladelse til at blive. Det bør erstatte den forpligtelse til at stemple tredjelandsstatsborgeres pas, der gælder for alle medlemsstater.
(8)
Det er nødvendigt at specificere målene for ind- og udrejsesystemet, de kategorier af oplysninger, der skal registreres i ind- og udrejsesystemet, de formål, som oplysningerne skal bruges til, kriterierne for registrering af oplysningerne, hvilke myndigheder der skal have adgang til oplysningerne, yderligere regler for databehandling og beskyttelse af personoplysninger samt ind- og udrejsesystemets tekniske arkitektur, bestemmelser om dets drift og brug og dets interoperabilitet med andre informationssystemer. Det er også nødvendigt at fastlægge ansvarsområder for ind- og udrejsesystemet.
(9)
Ind- og udrejsesystemet bør finde anvendelse på tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på et kortvarigt ophold på medlemsstaternes område. Det bør også finde anvendelse på tredjelandsstatsborgere, der er nægtet indrejse med henblik på et kortvarigt ophold.
(10)
Ind- og udrejsesystemet bør anvendes ved de ydre grænser i de medlemsstater, der anvender Schengenreglerne fuldt ud. Det er ønskeligt, at medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, anvender det i dets helhed ved starten af anvendelsen af ind- og udrejsesystemet. Hvis det imidlertid ikke er muligt at ophæve kontrollen ved de indre grænser inden ind- og udrejsesystemets idriftsættelse, er det nødvendigt at præcisere betingelserne for anvendelse af ind- og udrejsesystemet for de medlemsstater, der ikke anvender Schengenreglerne fuldt ud, og fastsætte bestemmelser for anvendelse og brug af ind- og udrejsesystemet ved de indre grænser, hvor kontrollen endnu ikke er ophævet.
Hvad angår betingelserne for anvendelse af ind- og udrejsesystemet bør ind- og udrejsesystemet anvendes ved de ydre grænser i de medlemsstater, der endnu ikke anvender Schengenreglerne fuldt ud, men som allerede har fuldført verifikationen i overensstemmelse med den gældende Schengenevalueringsprocedure med positivt resultat, og som har fået passiv adgang til visuminformationssystemet (VIS), der blev oprettet ved Rådets beslutning 2004/512/EF 
(
3
)
, med henblik på anvendelse af ind- og udrejsesystemet, og for hvilke Schengenreglernes bestemmelser om Schengeninformationssystemet (SIS), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EF) nr. 1987/2006 
(
4
)
, er trådt i kraft i overensstemmelse med den relevante tiltrædelsesakt. For så vidt angår bestemmelserne om anvendelse og brug af ind- og udrejsesystemet i de medlemsstater, der opfylder disse betingelser, bør ind- og udrejsesystemet anvendes ved alle indre grænser i de medlemsstater, hvor kontrollen endnu ikke er blevet ophævet. Særlige bestemmelser om anvendelse og brug af ind- og udrejsesystemet ved disse grænser bør dog finde anvendelse for at mindske ind- og udrejsekontrolprocessens indvirkning ved sådanne grænser, uden at det påvirker sikkerhedsniveauet og at ind- og udrejsesystemets fungerer efter hensigten, og uden at det berører de øvrige forpligtelser med hensyn til ind- og udrejsekontrol i medfør af Europa-Parlamentets og Rådets forordning (EU) 2016/399 
(
5
)
.
(11)
Varigheden af tredjelandsstatsborgeres tilladte ophold på medlemsstaternes område med henblik på denne forordning følger af de gældende Schengenregler.
(12)
Ind- og udrejsesystemet bør indeholde en automatisk beregningsmekanisme. Den automatiske beregningsmekanisme bør tage hensyn til ophold på området for de medlemsstater, der anvender ind- og udrejsesystemet, med henblik på beregning af, om den samlede grænse på 90 dage inden for en periode på 180 dage er overskredet. Der bør tages hensyn til eventuelle forlængelser af tilladt ophold i forbindelse med beregning af denne samlede grænse ved tredjelandsstatsborgerens næste indrejse på medlemsstaternes område. Ophold på området for medlemsstater, der endnu ikke anvender ind- og udrejsesystemet, bør beregnes separat på grundlag af stempler i tredjelandsstatsborgeres rejsedokumenter.
(13)
Den automatiske beregningsmekanisme bør kun tage hensyn til ophold på området for medlemsstater, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet, med henblik på at verificere overholdelsen af den samlede grænse på 90 dage inden for enhver periode på 180 dage og med henblik på at verificere gyldighedsperioden for et Schengenvisum til kortvarigt ophold. Den automatiske beregningsmekanisme bør ikke beregne varigheden af et ophold som tilladt af et nationalt visum til kortvarigt ophold, der er udstedt af en medlemsstat, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet. Når varigheden af et ophold som tilladt af et Schengenvisum til kortvarigt ophold beregnes, bør den automatiske beregningsmekanisme ikke tage hensyn til ophold på området for medlemsstater, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet.
(14)
Der bør fastlægges præcise regler for ansvaret for udvikling og drift af ind- og udrejsesystemet og medlemsstaternes ansvar for deres tilslutning til ind- og udrejsesystemet. Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed, som blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 1077/2011 
(
6
)
, bør være ansvarligt for udvikling og operationel forvaltning af et centraliseret ind- og udrejsesystem i overensstemmelse med nærværende forordning. Forordning (EU) nr. 1077/2011 bør derfor ændres i overensstemmelse hermed.
(15)
Målene for ind- og udrejsesystemet bør være at forbedre forvaltningen af de ydre grænser, forhindre irregulær immigration og lette forvaltningen af migrationsstrømme. Ind- og udrejsesystemet bør navnlig, og når det er relevant, bidrage til identifikation af personer, der ikke opfylder eller ikke længere opfylder betingelserne for det tilladte opholds varighed på medlemsstaternes område. Desuden bør ind- og udrejsesystemet bidrage til forebyggelsen, afsløringen og efterforskningen af terrorhandlinger og andre alvorlige strafbare handlinger.
(16)
Ind- og udrejsesystemet bør bestå af et centralt system (ind- og udrejsesystemets centrale system), der omfatter en central digital database med biometriske og alfanumeriske oplysninger, en national ensartet grænseflade i hver medlemsstat, en sikker kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale visuminformationssystem (VIS' centrale system) samt en sikker og krypteret kommunikationsinfrastruktur mellem ind- og udrejsesystemets centrale system og de nationale ensartede grænseflader. Hver medlemsstat bør tilslutte sine nationale grænseinfrastrukturer til den nationale ensartede grænseflade på en sikker måde. Med henblik på generering af statistik og rapportering bør der etableres et dataregister på centralt plan. For at gøre det muligt for tredjelandsstatsborgere på ethvert tidspunkt at kontrollere det resterende tilladte ophold bør der udvikles en webtjeneste. Webtjenesten bør også gøre det muligt for transportvirksomheder at kontrollere om tredjelandsstatsborgere, der er indehavere af et visum til kortvarigt ophold til én eller to indrejser, allerede har brugt det antal indrejser, der er tilladt ifølge deres visum. Relevante interessenter bør høres under udviklingen af denne webtjeneste. Ved fastlæggelsen af de tekniske specifikationer for transportvirksomheders adgang til webtjenesten bør indvirkningen på rejsetrafikken og transportvirksomhederne så vidt muligt begrænses. Med henblik herpå bør passende integration med relevante systemer overvejes.
(17)
Der bør skabes interoperabilitet mellem ind- og udrejsesystemet og VIS i form af en direkte kommunikationskanal mellem VIS' centrale system og ind- og udrejsesystemets centrale system for at gøre det muligt for de grænsemyndigheder, der bruger ind- og udrejsesystemet, at søge i VIS for at hente visumrelaterede oplysninger med henblik på at oprette eller ajourføre ind- og udrejseregistreringer eller registreringer af nægtelse af indrejse, at gøre det muligt for grænsemyndighederne at kontrollere gyldigheden af visa og visumindehaverens identitet ved at søge på fingeraftryk direkte i VIS ved de grænser, hvor ind- og udrejsesystemet anvendes samt at gøre det muligt for grænsemyndighederne at verificere identiteten på tredjelandsstatsborgere, der er fritaget for visumpligten, i VIS ved hjælp af fingeraftryk. Interoperabilitet bør også gøre det muligt for de grænsemyndigheder og visummyndigheder, der bruger VIS, at søge direkte i ind- og udrejsesystemet fra VIS med henblik på at behandle visumansøgninger og at træffe afgørelser vedrørende disse ansøgninger og at gøre det muligt for myndighederne at ajourføre visumrelaterede oplysninger i ind- og udrejsesystemet, i tilfælde af at et visum bliver annulleret, inddraget eller forlænget. Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008 
(
7
)
 bør derfor ændres i overensstemmelse hermed. Indhentningen af visumrelaterede oplysninger fra VIS, import heraf til ind- og udrejsesystemet og opdateringen af oplysninger fra VIS i ind- og udrejsesystemet bør være en automatisk proces, så snart den pågældende operation iværksættes af den berørte myndighed. Princippet om formålsbegrænsning bør overholdes, når der skabes interoperabilitet mellem ind- og udrejsesystemet og VIS.
(18)
Denne forordning bør fastlægge, hvilke myndigheder i medlemsstaterne der kan få tilladelse til at få adgang til ind- og udrejsesystemet for at registrere, ændre, slette eller indhente oplysninger med henblik på ind- og udrejsesystemets specifikke formål og i det omfang, det er nødvendigt, for at de kan udføre deres opgaver.
(19)
Enhver behandling af oplysninger i ind- og udrejsesystemet bør stå i et rimeligt forhold til de forfulgte mål og være nødvendig for, at de kompetente myndigheder kan udføre deres opgaver. Ved anvendelsen af ind- og udrejsesystemet bør de kompetente myndigheder sikre, at den menneskelige værdighed og integritet for de personer, hvorom der anmodes om oplysninger, respekteres, og de bør ikke forskelsbehandle personer på grundlag af køn, race, farve, etnisk eller social oprindelse, genetiske anlæg, sprog, religion eller tro, politiske eller andre anskuelser, tilhørsforhold til et nationalt mindretal, formueforhold, fødsel, handicap, alder eller seksuel orientering.
(20)
Alfanumeriske oplysninger og biometriske oplysninger bør primært registreres og behandles i ind- og udrejsesystemet med henblik på at forbedre forvaltningen af de ydre grænser, forhindre irregulær immigration og lette forvaltningen af migrationsstrømme. Det bør endvidere kun i henhold til de betingelser, der er fastlagt i denne forordning, være muligt at få adgang til personoplysninger i ind- og udrejsesystemet for at bidrage til forebyggelsen, afsløringen og efterforskningen af terrorhandlinger og af andre alvorlige strafbare handlinger. Brug af biometri er trods indvirkningen heraf på privatlivets fred for rejsende berettiget af to grunde. For det første er biometri en pålidelig metode til identifikation af tredjelandsstatsborgere, som befinder sig på medlemsstaternes område, men som ikke er i besiddelse af rejsedokumenter eller nogen anden form for identifikation, en almindelig situation i forbindelse med irregulære migranter. For det andet muliggør biometri en mere pålidelig sammenligning af ind- og udrejseoplysninger for bona fide-rejsende. Anvendelsen af ansigtsbilleder i kombination med fingeraftryksoplysninger gør det muligt at reducere det samlede antal af fingeraftryk, som skal registreres, samtidig med at der opnås samme resultat med hensyn til nøjagtigheden af identifikationen.
(21)
Der bør registreres fire fingeraftryk pr. tredjelandsstatsborger, der er fritaget for visumpligt, i ind- og udrejsesystemet, hvis det er fysisk muligt, for at gøre det muligt at foretage præcis verifikation og identifikation, hvorved det sikres, at tredjelandsstatsborgeren ikke allerede er registreret under en anden identitet eller med et andet rejsedokument, og for at garantere, at der er tilstrækkelige oplysninger til rådighed for at sikre, at målene for ind- og udrejsesystemet opnås i alle tilfælde. Fingeraftryk for tredjelandsstatsborgere, der har visum, bør kontrolleres i VIS. Ansigtsbillede af både tredjelandsstatsborgere, der er fritaget for visumpligt, og tredjelandsstatsborgere, der har visum, bør registreres i ind- og udrejsesystemet. Fingeraftryk eller ansigtsbilleder bør bruges som en biometrisk identifikator til verifikation af identiteten af tredjelandsstatsborgere, som tidligere er registreret i ind- og udrejsesystemet, så længe deres individuelle sagsmapper ikke er blevet slettet. For at tage hensyn til de særlige karakteristika ved hvert grænseovergangssted og de forskellige slags grænser bør de nationale myndigheder for hvert grænseovergangssted fastlægge, om fingeraftryk eller ansigtsbillede skal anvendes som den væsentligste biometriske identifikator i forbindelse med foretagelse af den krævede verifikation.
(22)
I forbindelse med bekæmpelse af terrorhandlinger og andre alvorlige strafbare handlinger er de udpegede myndigheder nødt til at råde over helt aktuelle oplysninger, for at de kan udføre deres opgaver. Adgang til oplysninger fra VIS med henblik på retshåndhævelsesformål har allerede vist sig nyttig i forbindelse med identifikation af personer, der led en voldsom død, eller som hjælp for efterforskere til at gøre væsentlige fremskridt i sager om menneskehandel, terrorisme og ulovlig narkotikahandel. Adgang til oplysninger i ind- og udrejsesystemet er nødvendig med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger, jf. Europa-Parlamentets og Rådets direktiv (EU) 2017/541 
(
8
)
, eller andre alvorlige strafbare handlinger, jf. Rådets rammeafgørelse 2002/584/RIA 
(
9
)
. Det bør være muligt at anvende oplysninger i ind- og udrejsesystemet til verifikation af identitet både i tilfælde, hvor tredjelandsstatsborgeren har ødelagt sine dokumenter, og hvor de udpegede myndigheder efterforsker en forbrydelse gennem brug af fingeraftryk eller ansigtsbilleder og ønsker at fastslå en identitet. Det bør også være muligt at anvende sådanne oplysninger som et værktøj til at tilvejebringe beviser ved at spore rejseruter for en person, der mistænkes for at have begået en forbrydelse, eller for et offer for en forbrydelse. Oplysninger i ind- og udrejsesystemet bør derfor være til rådighed for de udpegede myndigheder i medlemsstaterne og for Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (»Europol«), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
10
)
, med forbehold af betingelserne og begrænsningerne i nærværende forordning.
Betingelserne for adgang til ind- og udrejsesystemet med henblik på at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger bør gøre det muligt for medlemsstaternes udpegede myndigheder at behandle sager, hvor mistænkte anvender flere identiteter. Med henblik herpå bør adgang til ind- og udrejsesystemet ikke forhindres, hvor et søgeresultat opnås i forbindelse med søgning i en relevant database, inden ind- og udrejsesystemet tilgås. Med henblik på retshåndhævelse og for at forebygge, afsløre og efterforske terrorhandlinger eller andre alvorlige strafbare handlinger bør en søgning i ind- og udrejsesystemets database anses for at være forholdsmæssig, hvis der foreligger et tungtvejende hensyn til den offentlige sikkerhed. Enhver søgning skal være behørigt begrundet og stå i forhold til formålet.
(23)
Kun de udpegede myndigheder, der har ansvaret for forebyggelse, afsløring eller efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger, for hvilke medlemsstaterne kan sikre, at alle bestemmelserne i denne forordning og i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
11
)
 finder anvendelse, og for hvilke de nævnte bestemmelsers korrekte anvendelse kan verificeres af de kompetente myndigheder, herunder den tilsynsmyndighed, der er oprettet i overensstemmelse med direktiv (EU) 2016/680, bør have ret til at søge i oplysninger i ind- og udrejsesystemet.
(24)
Europol spiller en central rolle med hensyn til samarbejdet mellem medlemsstaternes myndigheder på området efterforskning af kriminalitet på tværs af grænserne ved at støtte forebyggelse, udføre analyser og foretage efterforskning af kriminalitet på EU-plan. Europol bør derfor også have adgang til ind- og udrejsesystemet inden for rammerne af sine opgaver og i overensstemmelse med forordning (EU) 2016/794. Den Europæiske Tilsynsførende for Databeskyttelse bør føre tilsyn med Europols behandling af personoplysninger og sikre fuld overholdelse af gældende databeskyttelsesregler.
(25)
Adgang til ind- og udrejsesystemet med henblik på at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger udgør et indgreb i de grundlæggende rettigheder, hvad angår respekt for enkeltpersoners privatliv og beskyttelse af personoplysninger for personer, hvis personoplysninger behandles i ind- og udrejsesystemet. Et sådant indgreb skal ske i henhold til lovgivningen, som skal være formuleret tilstrækkelig præcist til, at enkeltpersoner kan indrette deres adfærd herefter, at enkeltpersoner beskyttes mod vilkårlighed og at omfanget af det skøn, der indrømmes de kompetente myndigheder, og hvordan de skal udøve dette skøn, angives med tilstrækkelig klarhed. Ethvert indgreb i disse grundlæggende rettigheder skal endvidere være begrænset til, hvad der i et demokratisk samfund er nødvendigt for at beskytte en legitim og forholdsmæssig interesse, og skal stå i et rimeligt forhold til det legitime mål, der forfølges.
(26)
Sammenligninger af oplysninger på grundlag af et fingeraftryksspor, der kan findes på et gerningssted (»latent fingeraftryk«), er af afgørende betydning inden for politisamarbejde. Muligheden for at sammenligne et latent fingeraftryk med de fingeraftryksoplysninger, der er lagret i ind- og udrejsesystemet, i de tilfælde, hvor der er rimelig grund til at antage, at gerningsmanden eller offeret kan være registreret i ind- og udrejsesystemet, er nødvendig, for at de udpegede myndigheder i medlemsstaterne kan forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger, hvor for eksempel det eneste bevis på et gerningssted udgøres af latente fingeraftryk.
(27)
Det er nødvendigt at udpege de kompetente myndigheder i medlemsstaterne samt de centrale adgangspunkter, hvorigennem anmodninger om adgang til oplysninger i ind- og udrejsesystemet skal indgives, og at føre en liste over operative enheder inden for de udpegede myndigheder, som er bemyndigede til at anmode om en sådan adgang til de specifikke formål forebyggelse, afsløring eller efterforskning af terrorhandlinger eller af andre alvorlige strafbare handlinger.
(28)
Anmodninger om adgang til oplysninger i ind- og udrejsesystemet bør fremsættes af de operative enheder inden for de udpegede myndigheder til det centrale adgangspunkt og bør være behørigt begrundede. Operative enheder inden for de udpegede myndigheder, der er bemyndiget til at anmode om adgang til ind- og udrejsesystemets oplysninger, bør ikke fungere som kontrolmyndighed. Det centrale adgangspunkt bør være et organ eller en enhed, som i henhold til national ret udøver offentlig myndighed, og bør gennem sit personales kvalitet og omfang være i stand til effektivt at kontrollere, om betingelserne for at anmode om adgang til ind- og udrejsesystemet er opfyldt i hvert tilfælde. De centrale adgangspunkter bør handle uafhængigt af de udpegede myndigheder og være ansvarlige for på uafhængig vis at sikre streng opfyldelse af adgangsbetingelserne i denne forordning. I et hastetilfælde, hvor det er nødvendigt hurtigt at få adgang til oplysninger for at kunne reagere på en specifik og reel trussel i forbindelse med terrorhandlinger eller andre alvorlige strafbare handlinger, bør det centrale adgangspunkt kunne behandle anmodninger omgående og foretage kontrol bagefter.
(29)
For at beskytte personoplysninger og udelukke systematiske søgninger bør behandling af oplysninger i ind- og udrejsesystemet kun finde sted i særlige tilfælde, og når det er nødvendigt med henblik på at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger. De udpegede myndigheder og Europol bør kun anmode om adgang til ind- og udrejsesystemet, når de har rimelig grund til at tro, at en sådan adgang vil tilvejebringe oplysninger, der i væsentlig grad vil kunne hjælpe dem med at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger.
(30)
Derudover bør adgang til ind- og udrejsesystemet med henblik på identifikation af ukendte mistænkte, gerningsmænd eller ofre for terrorhandlinger eller andre alvorlige lovovertrædelser kun tillades på den betingelse, at der er foretaget søgninger i medlemsstaternes nationale databaser, og at søgningen ved hjælp af de elektroniske fingeraftryksidentifikationssystemer i alle øvrige medlemsstater, jf. Rådets afgørelse 2008/615/RIA 
(
12
)
, er fuldt ud gennemført, eller at søgningen ikke er blevet fuldt ud gennemført senest to dage efter at være blevet iværksat.
(31)
Med henblik på effektiv sammenligning og udveksling af personoplysninger bør medlemsstaterne fuldt ud gennemføre og anvende de eksisterende internationale aftaler såvel som gældende EU-ret vedrørende udveksling af personoplysninger, navnlig afgørelse 2008/615/RIA.
(32)
De personoplysninger, der lagres i ind- og udrejsesystemet, bør ikke lagres længere, end hvad der er strengt nødvendigt i forhold til de formål, hvortil oplysningerne behandles. Det er tilstrækkeligt at lagre oplysninger vedrørende tredjelandsstatsborgere, der har overholdt den maksimale varighed af det tilladte ophold, i ind- og udrejsesystemet i tre år med henblik på grænseforvaltning for at undgå, at tredjelandsstatsborgere skal genregistreres i ind- og udrejsesystemet før udløbet af dette tidsrum. Denne treårige datalagringsperiode vil reducere behovet for hyppige genregistreringer og vil være til gavn for alle rejsende, idet både den gennemsnitlige tid, der medgår til grænsepassage, og ventetiden ved grænseovergangsstederne vil blive reduceret. Selv for en rejsende, der kun én gang rejser ind på medlemsstaternes område, vil det forhold, at andre rejsende, der allerede er registreret i ind- og udrejsesystemet, ikke skal genregistreres før udløbet af den treårige datalagringsperiode, reducere ventetiden ved grænseovergangsstedet. Denne treårige datalagringsperiode er også nødvendig for at lette og fremskynde grænsepassager, herunder ved brug af automatiske systemer og selvbetjeningssystemer. Det er også passende at fastsætte en treårig datalagringsperiode for tredjelandsstatsborgere, der er nægtet indrejse med henblik på kortvarigt ophold. For så vidt angår tredjelandsstatsborgere, der er familiemedlemmer til en unionsborger, på hvem Europa-Parlamentets og Rådets direktiv 2004/38/EF 
(
13
)
 finder anvendelse, eller til en tredjelandsstatsborger, der har ret til fri bevægelighed i henhold til EU-retten, og som ikke har et opholdskort, jf. direktiv 2004/38/EF, er det passende at lagre hver kombineret ind- og udrejseregistrering i højst et år efter datoen for den udrejse fra medlemsstaternes område, der er knyttet til den pågældende registrering. Ved udløbet af den relevante datalagringsperiode bør oplysningerne slettes automatisk.
(33)
Det er nødvendigt at lagre oplysninger vedrørende tredjelandsstatsborgere, der ikke er udrejst fra medlemsstatens område inden udløbet af det tilladte ophold, i fem år for at understøtte identifikations- og tilbagesendelsesproceduren. Disse oplysninger bør slettes automatisk efter perioden på fem år, medmindre der er grund til at slette dem tidligere.
(34)
Det er nødvendigt at lagre personoplysninger vedrørende tredjelandsstatsborgere, som har overholdt varigheden af det tilladte ophold, og vedrørende tredjelandsstatsborgere, der er blevet nægtet indrejse med henblik på et kortvarigt ophold, i tre år og at lagre personoplysninger vedrørende tredjelandsstatsborgere, der ikke er udrejst fra medlemsstatens område inden udløbet af det tilladte ophold, i fem år for, at grænsevagten har mulighed for at foretage den nødvendige risikoanalyse, der kræves ifølge forordning (EU) 2016/399, før den rejsende får lov til at rejse ind på medlemsstaternes område. Behandling af visumansøgninger i konsulære repræsentationer kræver også, at ansøgeres rejsehistorik analyseres for at vurdere brugen af tidligere visa og om betingelserne for ophold er blevet overholdt. Ophøret af passtempling skal erstattes af søgning i ind- og udrejsesystemet. Den rejsehistorik, der er til rådighed i ind- og udrejsesystemet, bør derfor dække et tidsrum, der er tilstrækkelig langt med henblik på visumudstedelse.
Under udførelse af risikoanalysen ved grænsen og under behandlingen af visumansøgninger bør rejsehistorikken for tredjelandsstatsborgere kontrolleres for at fastslå, om vedkommende tidligere har overskredet den maksimale varighed af et godkendt ophold. Det er derfor nødvendigt at sikre den længere datalagringsperiode på fem år for personoplysninger vedrørende tredjelandsstatsborgere, der ikke er udrejst fra medlemsstatens område inden udløbet af det tilladte ophold, end for personoplysninger vedrørende tredjelandsstatsborgere, som har brugt ind- og udrejsesystemet på lovlig vis, og vedrørende tredjelandsstatsborgere, der er nægtet indrejse med henblik på et kortvarigt ophold.
(35)
Der bør fastlægges regler for medlemsstaternes erstatningsansvar for tab, der opstår som følge af overtrædelse af denne forordning.
(36)
Uden at dette berører de mere specifikke regler i nærværende forordning, bør Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
14
)
 finde anvendelse på medlemsstaternes behandling af personoplysninger i medfør af nærværende forordning, medmindre sådan behandling foretages af medlemsstaternes udpegede myndigheder eller centrale adgangspunkter med henblik på at forebygge, efterforske eller afsløre terrorhandlinger eller andre alvorlige strafbare handlinger.
(37)
Uden at det berører de mere specifikke regler i nærværende forordning, bør de nationale love og administrative bestemmelser, der vedtages i henhold til direktiv (EU) 2016/680, finde anvendelse på behandling af personoplysninger hos de kompetente myndigheder i medlemsstaterne med henblik på at forebygge, efterforske eller afsløre terrorhandlinger eller andre alvorlige strafbare handlinger i henhold til denne forordning.
(38)
Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
15
)
 bør finde anvendelse på EU-institutionernes og -organernes aktiviteter, når de udfører deres opgaver som ansvarlige for den operationelle forvaltning af ind- og udrejsesystemet.
(39)
Personoplysninger, som en medlemsstat har modtaget i henhold til denne forordning, bør ikke overføres eller stilles til rådighed for noget tredjeland, nogen international organisation eller nogen privat enhed etableret i eller uden for Unionen. Som en undtagelse til denne regel bør det dog være muligt at overføre sådanne personoplysninger til et tredjeland eller til en international organisation, hvor en sådan overførsel er underlagt strenge betingelser og er nødvendig i konkrete tilfælde for at bidrage til identifikationen af en tredjelandsstatsborger i forbindelse med tilbagesendelse af den pågældende. I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet ved hjælp af en gennemførelsesretsakt i henhold til forordning (EU) 2016/679 eller af passende beskyttelsesforanstaltninger for overførsler i henhold til nævnte forordning bør det udelukkende, hvis det er nødvendigt af hensyn til vigtige samfundsinteresser, jf. nævnte forordning, være muligt med henblik på tilbagesendelse undtagelsesvis at overføre oplysninger i ind- og udrejsesystemet til et tredjeland eller en international organisation.
(40)
Det bør også være muligt at overføre personoplysninger, som medlemsstater har modtaget i henhold til denne forordning, til et tredjeland i et ekstraordinært hastetilfælde, hvor der er en overhængende fare i tilknytning til en terrorhandling, eller hvor der er en overhængende fare for en persons liv, og denne fare er knyttet til en alvorlig strafbar handling. En overhængende fare for en persons liv bør forstås som en fare knyttet til en alvorlig strafbar handling begået mod vedkommende, såsom grov legemsbeskadigelse, ulovlig handel med menneskeorganer og -væv, bortførelse, ulovlig frihedsberøvelse og gidseltagning, seksuel udnyttelse af børn og børnepornografi samt voldtægt. Sådanne oplysninger bør kun overføres til et tredjeland, hvis der sikres gensidig videregivelse af oplysninger om ind- og udrejseregistreringer, som det anmodende tredjeland er i besiddelse af, til de medlemsstater, der anvender ind- og udrejsesystemet. Det bør være muligt for de kompetente myndigheder i de medlemsstater, hvis udpegede myndigheder har adgang til ind- og udrejsesystemet i henhold til denne forordning, at overføre oplysninger i ind- og udrejsesystemet til medlemsstater, der ikke anvender ind- og udrejsesystemet, og til medlemsstater, på hvilke denne forordning ikke finder anvendelse. En sådan videregivelse af oplysninger bør være omfattet af en behørigt begrundet anmodning og begrænset til de tilfælde, hvor det er nødvendigt med henblik på at forebygge, afsløre eller efterforske en terrorhandling eller en anden alvorlig strafbar handling. Det bør være muligt for en medlemsstat, der anvender ind- og udrejsesystemet, kun at videregive sådanne oplysninger, hvis der sikres gensidig videregivelse af oplysninger om ind- og udrejseregistreringer, som den anmodende medlemsstat er i besiddelse af, til de medlemsstater, der anvender ind- og udrejsesystemet. Direktiv (EU) 2016/680 finder anvendelse på enhver efterfølgende behandling af oplysninger fra ind- og udrejsesystemet.
(41)
I hver medlemsstat bør de tilsynsmyndigheder, som er oprettet i henhold til forordning (EU) 2016/679, kontrollere, at medlemsstaternes behandling af personoplysninger er lovlig, mens Den Europæiske Tilsynsførende for Databeskyttelse bør kontrollere EU-institutionernes og -organernes aktiviteter i forbindelse med behandlingen af personoplysninger. Den Europæiske Tilsynsførende for Databeskyttelse og tilsynsmyndighederne bør samarbejde om tilsynet med ind- og udrejsesystemet.
(42)
I hvert medlemsstat bør de tilsynsmyndigheder, der er oprettet i overensstemmelse med direktiv (EU) 2016/680, overvåge lovligheden af medlemsstaternes behandling af personoplysninger med henblik på retshåndhævelse.
(43)
I tillæg til bestemmelserne om de oplysninger, der skal forelægges i overensstemmelse med forordning (EU) 2016/679, bør tredjelandsstatsborgere, hvis oplysninger skal registreres i ind- og udrejsesystemet, gives passende information i forbindelse med registrering af disse oplysninger. Denne information skal stilles til rådighed af medlemsstaterne skriftligt ved hjælp af relevante midler, herunder i form af foldere, plakater eller ethvert andet passende elektronisk middel.
(44)
For at sikre et effektivt tilsyn med anvendelsen af denne forordning bør denne forordning regelmæssigt evalueres.
(45)
Medlemsstaterne bør fastsætte regler om sanktioner for overtrædelse af denne forordnings bestemmelser og sikre, at de gennemføres.
(46)
For at sikre ensartede betingelser for gennemførelse af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
16
)
.
(47)
Målene for denne forordning, nemlig at oprette ind- og udrejsesystemet og indføre fælles forpligtelser, betingelser og procedurer for brug af oplysninger, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(48)
Efter idriftsættelsen af ind- og udrejsesystemet bør konventionen om gennemførelse af Schengenaftalen af 14. juni 1985 mellem regeringerne for staterne i Den Økonomiske Union Benelux, Forbundsrepublikken Tyskland og Den Franske Republik om gradvis ophævelse af kontrollen ved de fælles grænser 
(
17
)
 (»konventionen om gennemførelse af Schengenaftalen«) ændres for så vidt angår bilaterale aftaler, som er indgået af medlemsstaterne, og den tilladte varighed af ophold ud over 90 dage inden for en periode på 180 dage for tredjelandsstatsborgere, der er fritaget for visumpligt. Den generelle vurdering af ind- og udrejsesystemet, som Kommissionen foretager, bør omfatte en vurdering af anvendelsen af medlemsstaternes bilaterale aftaler. Det bør være muligt for Kommissionen i den første evalueringsrapport at fremlægge valgmuligheder med henblik på at udfase sådanne bilaterale aftaler og erstatte dem af et EU-instrument.
(49)
De forventede omkostninger ved ind- og udrejsesystemet er lavere end det budget, der er øremærket til intelligente grænser i Europa-Parlamentets og Rådets forordning (EU) nr. 515/2014 
(
18
)
. Efter vedtagelsen af nærværende forordning bør Kommissionen følgelig ved hjælp af en delegeret retsakt i medfør af forordning (EU) nr. 515/2014 omfordele det beløb, der for øjeblikket er afsat til udvikling af IT-systemer som støtte for forvaltningen af migrationsstrømme på tværs af de ydre grænser.
(50)
Denne forordning berører ikke anvendelsen af direktiv 2004/38/EF.
(51)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til traktaten om Den Europæiske Unions funktionsmåde, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark. Inden seks måneder efter, at Rådet har truffet foranstaltning om denne forordning til udbygning af Schengenreglerne, træffer Danmark afgørelse om, hvorvidt det vil gennemføre denne forordning i sin nationale lovgivning, jf. artikel 4 i protokollen.
(52)
Denne forordning udgør en udvikling af de bestemmelser i Schengenreglerne, som Det Forenede Kongerige ikke deltager i, jf. Rådets afgørelse 2000/365/EF 
(
19
)
; Det Forenede Kongerige deltager derfor ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Det Forenede Kongerige.
(53)
Denne forordning udgør en udvikling af de bestemmelser i Schengenreglerne, som Irland ikke deltager i, jf. Rådets afgørelse 2002/192/EF 
(
20
)
; Irland deltager derfor ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Irland.
(54)
For så vidt angår Island og Norge udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
21
)
, der henhører under området i artikel 1, litra A, i Rådets afgørelse 1999/437/EF 
(
22
)
.
(55)
For så vidt angår Schweiz udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
23
)
, der henhører under det område, som er nævnt i artikel 1, litra A, i afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2008/146/EF 
(
24
)
 og med artikel 3 i Rådets afgørelse 2008/149/RIA 
(
25
)
.
(56)
For så vidt angår Liechtenstein udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne 
(
26
)
, der henhører under det område, som er nævnt i artikel 1, litra A, i afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2011/350/EU 
(
27
)
 og med artikel 3 i Rådets afgørelse 2011/349/EU 
(
28
)
.
(57)
For så vidt angår Cypern, Bulgarien, Rumænien og Kroatien udgør de bestemmelser i denne forordning, der henviser til SIS og VIS, bestemmelser, der bygger på, eller som på anden måde har tilknytning til, Schengenreglerne, jf. henholdsvis artikel 3, stk. 2, i tiltrædelsesakten af 2003, artikel 4, stk. 2, i tiltrædelsesakten af 2005 og artikel 4, stk. 2, i tiltrædelsesakten af 2011 sammenholdt med Rådets afgørelse 2010/365/EU 
(
29
)
, (EU) 2017/733 
(
30
)
 og (EU) 2017/1908 
(
31
)
.
Desuden kræver driften af ind- og udrejsesystemet, at der er givet en passiv adgang til VIS, og iværksættelse af alle Schengenreglernes bestemmelser om SIS i overensstemmelse med de relevante rådsafgørelser. Disse betingelser kan først opfyldes, når verifikationen er fuldført i overensstemmelse med den gældende Schengenevalueringsprocedure. Ind- og udrejsesystemet bør derfor kun anvendes af de medlemsstater, der opfylder disse betingelser ved idriftsættelsen af ind- og udrejsesystemet. Medlemsstater, der ikke anvender ind- og udrejsesystemet fra den første idriftsættelse, bør tilkobles ind- og udrejsesystemet i overensstemmelse med proceduren i denne forordning, så snart alle de nævnte betingelser er opfyldt.
(58)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og har afgivet udtalelse den 21. september 2016.
(59)
Denne forordning fastsætter strenge regler for adgang til ind- og udrejsesystemet såvel som de nødvendige sikkerhedsforanstaltninger for sådan adgang. Det indeholder også regler om enkeltpersoners ret til indsigt, berigtigelse, supplering, sletning og klageadgang, navnlig retten til domstolsprøvelse og uafhængige offentlige myndigheders tilsyn med behandlingen af oplysningerne. Denne forordning overholder derfor de grundlæggende rettigheder og de principper, som anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder, navnlig retten til menneskelig værdighed, forbuddet mod slaveri og tvangsarbejde, retten til frihed og sikkerhed, respekten for privatliv og familieliv, beskyttelsen af personoplysninger, retten til ikkeforskelsbehandling, børns rettigheder, ældres rettigheder, integration af mennesker med handicap samt adgangen til effektive retsmidler og til en upartisk domstol.
(60)
Denne forordning berører ikke de forpligtelser, der følger af Genèvekonventionen af 28. juli 1951 om flygtninges retsstilling, som suppleret ved New York-protokollen af 31. januar 1967 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
GENERELLE BESTEMMELSER
Artikel 1
Genstand
1.   Ved denne forordning oprettes et ind- og udrejsesystem til:
a)
registrering og lagring af dato, tidspunkt og sted for tredjelandsstatsborgeres ind- og udrejse ved passage af de af medlemsstaternes grænser, hvor ind- og udrejsesystemet anvendes
b)
beregning af varigheden af sådanne tredjelandsstatsborgeres tilladte ophold
c)
generering af indberetninger til medlemsstater, når det tilladte ophold er udløbet, og
d)
registrering og lagring af dato, tid og sted for nægtelse af indrejse for tredjelandsstatsborgere, der er nægtet indrejse med henblik på et kortvarigt ophold, samt den myndighed i den pågældende medlemsstat, der har nægtet indrejse, og begrundelsen herfor.
2.   Med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger fastsætter denne forordning også de betingelser, hvorpå medlemsstaters udpegede myndigheder og Europol kan få adgang til at søge i ind- og udrejsesystemet.
Artikel 2
Anvendelsesområde
1.   Denne forordning finder anvendelse på:
a)
tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på et kortvarigt ophold på området for de medlemsstater, der er omfattet af ind- og udrejsekontrol i overensstemmelse med forordning (EU) 2016/399, når de passerer de grænser, hvor ind- og udrejsesystemet anvendes, og
b)
tredjelandsstatsborgere ved indrejse til og udrejse fra medlemsstaternes område, der:
i)
er familiemedlemmer til en unionsborger, på hvem direktiv 2004/38/EF finder anvendelse, eller til en tredjelandsstatsborger, der har samme ret til fri bevægelighed som unionsborgere i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side, og
ii)
ikke er indehaver af et opholdskort i henhold til direktiv 2004/38/EF eller en opholdstilladelse i henhold til Rådets forordning (EF) nr. 1030/2002 
(
32
)
.
2.   Denne forordning finder også anvendelse på tredjelandsstatsborgere, der er nægtet indrejse på medlemsstaternes område med henblik på et kortvarigt ophold i overensstemmelse med artikel 14 i forordning (EU) 2016/399.
3.   Denne forordning finder ikke anvendelse på:
a)
tredjelandsstatsborgere, der er familiemedlemmer til en unionsborger, på hvem direktiv 2004/38/EF finder anvendelse, og som er indehavere af et opholdskort i medfør af dette direktiv, uanset om de ledsager eller slutter sig til den pågældende unionsborger
b)
tredjelandsstatsborgere, der er familiemedlemmer til en tredjelandsstatsborger, uanset om de ledsager eller slutter sig til denne tredjelandsstatsborger, såfremt:
i)
denne tredjelandsstatsborger har samme ret til fri bevægelighed som unionsborgere i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side, og
ii)
disse tredjelandsstatsborgere er indehavere af et opholdskort i henhold til direktiv 2004/38/EF eller en opholdstilladelse i henhold til forordning (EF) nr. 1030/2002
c)
andre indehavere af opholdstilladelser, jf. artikel 2, nr. 16), i forordning (EU) 2016/399, end dem, der er omfattet af dette stykkes litra a) og b)
d)
tredjelandsstatsborgere, som udøver deres ret til mobilitet i henhold til Europa-Parlamentets og Rådets direktiv 2014/66/EU 
(
33
)
 eller Europa-Parlamentets og Rådets direktiv (EU) 2016/801 
(
34
)
e)
indehavere af visa til længerevarende ophold
f)
statsborgere i Andorra, Monaco og San Marino og indehavere af et pas, der er udstedt af Vatikanstaten
g)
personer eller kategorier af personer, der er fritaget for ind- og udrejsekontrol, eller som er omfattet af særlige regler hvad angår ind- og udrejsekontrol, jf. artikel 6a, stk. 3, litra g), i forordning (EU) 2016/399
h)
personer eller kategorier af personer, der er omhandlet i artikel 6a, stk. 3, litra h), i), j) og k), i forordning (EU) 2016/399.
4.   Bestemmelserne i denne forordning vedrørende beregning af varigheden af tilladt ophold og generering af indberetninger til medlemsstaterne, når et tilladt ophold er udløbet, finder ikke anvendelse for tredjelandsstatsborgere, der:
a)
er familiemedlemmer til en unionsborger, på hvem direktiv 2004/38/EF finder anvendelse, eller til en tredjelandsstatsborger, der har samme ret til fri bevægelighed som unionsborgere i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side, og
b)
ikke er indehaver af et opholdskort i henhold til direktiv 2004/38/EF eller en opholdstilladelse i henhold til forordning (EF) nr. 1030/2002.
Artikel 3
Definitioner
1.   I denne forordning forstås ved:
1)   
»ydre grænser«
: ydre grænser som defineret i artikel 2, nr. 2), i forordning (EU) 2016/399
2)   
»indre grænser«
: indre grænser som defineret i artikel 2, nr. 1), i forordning (EU) 2016/399
3)   
»grænsemyndighed«
: den grænsevagt, der i overensstemmelse med national ret er udpeget til at foretage ind- og udrejsekontrol som defineret i artikel 2, nr. 11), i forordning (EU) 2016/399
4)   
»indvandringsmyndighed«
: den kompetente myndighed, der i overensstemmelse med national ret er ansvarlig for en eller flere af følgende:
a)
på medlemsstaternes område at kontrollere, om betingelserne for indrejse til eller ophold på medlemsstaternes område er opfyldt
b)
at undersøge betingelserne for og træffe afgørelser vedrørende tredjelandsstatsborgeres ophold på medlemsstaternes område for så vidt som den pågældende myndighed ikke udgør en »besluttende myndighed« som defineret i artikel 2, litra f), i Europa-Parlamentets og Rådets direktiv 2013/32/EU 
(
35
)
 og, hvis det er relevant, yde rådgivning i overensstemmelse med Rådets forordning (EF) nr. 377/2004 
(
36
)
c)
tilbagesendelsen af tredjelandsstatsborgere til et oprindelsestredjeland eller et transittredjeland
5)   
»visummyndighed«
: visummyndighed som defineret i artikel 4, nr. 3), i forordning (EF) nr. 767/2008
6)   
»tredjelandsstatsborger«
: en person, der ikke er unionsborger, jf. artikel 20, stk. 1, i TEUF, med undtagelse af personer, som har ret til fri bevægelighed ligestillet med unionsborgeres ret i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side
7)   
»rejsedokument«
: et pas eller andet tilsvarende dokument, som giver indehaveren ret til at passere de ydre grænser, og som kan forsynes med visum
8)   
»kortvarigt ophold«
: ophold på medlemsstaternes område af højst 90 dages varighed inden for en periode af 180 dage, jf. artikel 6, stk. 1, i forordning (EU) 2016/399
9)   
»visum til kortvarigt ophold«
: et visum som defineret i artikel 2, nr. 2), litra a), i Europa-Parlamentets og Rådets forordning (EF) nr. 810/2009 
(
37
)
10)   
»nationalt visum til kortvarigt ophold«
: en tilladelse udstedt af en medlemsstat, der ikke anvender Schengenreglerne fuldt ud, med henblik på et planlagt ophold på denne medlemsstats område af højst 90 dages varighed inden for en periode på 180 dage
11)   
»tilladt ophold«
: det nøjagtige antal dage, som en tredjelandsstatsborger lovligt må opholde sig på medlemsstaternes område, regnet fra datoen for indrejse i overensstemmelse med de gældende bestemmelser
12)   
»ansvarlig medlemsstat«
: den medlemsstat, som har registreret oplysninger i ind- og udrejsesystemet
13)   
»verifikation«
: sammenligning af datasæt for at kontrollere, om en påstået identitet er ægte (kontrol ved sammenligning af to datasæt)
14)   
»identifikation«
: fastlæggelse af en persons identitet via en databasesøgning på grundlag af flere datasæt (kontrol ved sammenligning af mange datasæt)
15)   
»alfanumeriske oplysninger«
: oplysninger, der er angivet med bogstaver, tal, specialtegn, mellemrum og skilletegn
16)   
»fingeraftryksoplysninger«
: oplysninger om de fire fingeraftryk af pegefingeren, langfingeren, ringfingeren og lillefingeren fra højre hånd, hvis de findes, og ellers fra venstre hånd
17)   
»ansigtsbillede«
: digitale billeder af ansigtet
18)   
»biometriske oplysninger«
: fingeraftryksoplysninger og ansigtsbillede
19)   
»person, hvis tilladelse til ophold er udløbet«
: en tredjelandsstatsborger, der ikke eller ikke længere opfylder betingelserne vedrørende varigheden af dennes tilladte kortvarige ophold på medlemsstaternes område
20)   
»eu-LISA«
: Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed, som er oprettet ved forordning (EU) nr. 1077/2011
21)   
»tilsynsmyndigheder«
: den tilsynsmyndighed, der er oprettet i overensstemmelse med artikel 51, stk. 1, i forordning (EU) 2016/679, og den tilsynsmyndighed, der er oprettet i henhold til artikel 41, stk. 1, i direktiv (EU) 2016/680
22)   
»oplysninger i ind- og udrejsesystemet«
: alle oplysninger, der er lagret i ind- og udrejsesystemets centrale system i overensstemmelse med artikel 14 og 16-20
23)   
»retshåndhævelse«
: forebyggelse, afsløring eller efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger
24)   
»terrorhandling«
: en lovovertrædelse i henhold til national ret, der svarer til eller er ligestillet med en af de i direktiv (EU) 2017/541 omhandlede lovovertrædelser
25)   
»alvorlig strafbar handling«
: en lovovertrædelse, som svarer til eller er ligestillet med en af de i artikel 2, stk. 2, i rammeafgørelse 2002/584/RIA omhandlede lovovertrædelser, hvis de i henhold til national ret kan straffes med frihedsstraf eller en anden frihedsberøvende foranstaltning af en maksimal varighed på mindst tre år
26)   
»udpeget myndighed«
: en myndighed, der i henhold til artikel 29 er udpeget af en medlemsstat som ansvarlig for forebyggelse, afsløring eller efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger
27)   
»selvbetjeningssystem«
: et selvbetjeningssystem som defineret i artikel 2, nr. 23), i forordning (EU) 2016/399
28)   
»elektronisk paskontrol«
: en elektronisk paskontrol som defineret i artikel 2, nr. 24), i forordning (EU) 2016/399
29)   
»grad af manglende registrering«
: andelen af registreringer med utilstrækkelig kvalitet af den biometriske registrering
30)   
»falsk positiv identifikationsgrad«
: den andel af returnerede match under en biometrisk søgning, som ikke vedrører den pågældende kontrollerede rejsende
31)   
»falsk negativ identifikationsgrad«
: andelen af forpassede match under en biometrisk søgning, selv om den pågældende rejsendes biometriske oplysninger var registreret.
2.   De udtryk, der er defineret i artikel 4 i forordning (EU) 2016/679, anvendes i den samme betydning i nærværende forordning, i det omfang personoplysninger behandles af medlemsstaternes myndigheder med henblik på formålene i artikel 6, stk. 1, i nærværende forordning.
3.   De udtryk, der er defineret i artikel 3 i direktiv (EU) 2016/680, anvendes i den samme betydning i nærværende forordning, i det omfang personoplysninger behandles af medlemsstaternes myndigheder med henblik på formålene i artikel 6, stk. 2, i nærværende forordning.
Artikel 4
Grænser, hvor ind- og udrejsesystemet anvendes, og brugen af ind- og udrejsesystemet ved disse grænser
1.   Ind- og udrejsesystemet anvendes ved de ydre grænser.
2.   De medlemsstater, der anvender Schengenreglerne fuldt ud, indfører ind- og udrejsesystemet ved deres indre grænser med de medlemsstater, der endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet.
3.   De medlemsstater, der anvender Schengenreglerne fuldt ud, og de medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, indfører ind- og udrejsesystemet ved deres indre grænser med de medlemsstater, der endnu ikke anvender Schengenreglerne fuldt ud og ikke anvender ind- og udrejsesystemet.
4.   Medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, indfører ind- og udrejsesystemet ved deres indre grænser som defineret i artikel 2, nr. 1), litra b) og c), i forordning (EU) 2016/399.
5.   Uanset artikel 23, stk. 2, tredje og fjerde afsnit, og artikel 27 indfører en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet, ind- og udrejsesystemet uden biometriske funktioner ved dets indre grænser med en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet. Hvis en tredjelandsstatsborger endnu ikke er registreret i ind- og udrejsesystemet, oprettes den pågældende tredjelandsstatsborgers individuelle sagsmappe ved disse indre grænser uden registrering af biometriske oplysninger. Biometriske oplysninger tilføjes ved det næste grænseovergangssted, hvor ind- og udrejsesystemet anvendes med de biometriske funktioner.
Artikel 5
Ind- og udrejsesystemets opbygning
eu-LISA udvikler ind- og udrejsesystemet og sørger for systemets operationelle forvaltning, herunder funktionerne til behandling af biometriske oplysninger, jf. artikel 16, stk. 1, litra d), og artikel 17, stk. 1, litra b) og c), og for at ind- og udrejsesystemet er tilstrækkeligt sikkert.
Artikel 6
Målene med ind- og udrejsesystemet
1.   Ved at registrere og lagre oplysninger i ind- og udrejsesystemet og ved at give medlemsstater adgang til sådanne oplysninger, er målene med ind- og udrejsesystemet at:
a)
gøre ind- og udrejsekontrollen mere effektiv ved at beregne og overvåge varigheden af tilladt ophold ved ind- og udrejse for tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på et kortvarigt ophold
b)
bidrage til identifikation af tredjelandsstatsborgere, der ikke opfylder eller ikke længere opfylder betingelserne for indrejse til eller kortvarigt ophold på medlemsstaternes område
c)
gøre det muligt at identificere og afsløre personer, hvis tilladelse til ophold er udløbet, og gøre det muligt for medlemsstaternes kompetente nationale myndigheder at træffe passende foranstaltninger
d)
gøre det muligt elektronisk at kontrollere tilfælde af nægtelse af indrejse i ind- og udrejsesystemet
e)
muliggøre automatisering af ind- og udrejsekontrol af tredjelandsstatsborgere
f)
give visummyndighederne adgang til oplysninger om lovlig anvendelse af tidligere visa
g)
informere tredjelandsstatsborgere om varigheden af deres lovlige ophold
h)
samle statistiske oplysninger om tredjelandsstatsborgeres ind- og udrejse og nægtelse af indrejse samt tredjelandsstatsborgeres ophold ud over den tilladte varighed med henblik på at forbedre vurderingen af risikoen for, at de overskrider varigheden af tilladt ophold, og at understøtte evidensbaseret politisk EU-beslutningstagning vedrørende migration
i)
bekæmpe identitetssvig og misbrug af rejsedokumenter
2.   Ved at give de udpegede myndigheder adgang i overensstemmelse med betingelserne i denne forordning er målene med ind- og udrejsesystemet at:
a)
bidrage til forebyggelse, afsløring og efterforskning af terrorhandlinger eller andre alvorlige strafbare handlinger
b)
muliggøre generering af oplysninger til efterforskning vedrørende terrorhandlinger eller andre alvorlige strafbare handlinger, herunder identifikationen af gerningsmænd, mistænke og ofre for disse lovovertrædelser, der har passeret de ydre grænser.
3.   Ind- og udrejsesystemet støtter, hvor det er relevant, medlemsstaterne i forbindelse med gennemførelsen af deres nationale lempelsesprogrammer, der er oprettet i overensstemmelse med artikel 8d i forordning (EU) 2016/399 med henblik på at lempe grænsepassage for tredjelandsstatsborgere, ved at:
a)
give de nationale kompetente myndigheder, der er omhandlet i artikel 8d i forordning (EU) 2016/399, adgang til oplysninger om tidligere kortvarigt ophold eller nægtelse af indrejse med henblik på behandling af anmodninger om adgang til nationale lempelsesprogrammer og vedtagelsen af afgørelser som omhandlet i artikel 25 i nærværende forordning
b)
meddele grænsemyndighederne, at der er givet adgang til et nationalt lempelsesprogram.
Artikel 7
Ind- og udrejsesystemets tekniske opbygning
1.   Ind- og udrejsesystemet består af:
a)
et centralt system (ind- og udrejsesystemets centrale system)
b)
en national ensartet grænseflade i hver medlemsstat på grundlag af fælles tekniske specifikationer, ens for alle medlemsstater, og som muliggør tilslutning af ind- og udrejsesystemets centrale system til de nationale grænseinfrastrukturer i medlemsstaterne på en sikker måde
c)
en sikker kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system
d)
en kommunikationsinfrastruktur, som skal være sikker og krypteret, mellem ind- og udrejsesystemets centrale system og de nationale ensartede grænseflader
e)
den webtjeneste, der er omhandlet i artikel 13
f)
det dataregister oprettet på centralt plan, der er omhandlet i artikel 63, stk. 2.
2.   eu-LISA hoster ind- og udrejsesystemets centrale system på sine tekniske lokaliteter. Systemet skal have de funktioner, der er anført i denne forordning, i overensstemmelse med betingelserne vedrørende tilgængelighed, kvalitet og hastighed, jf. artikel 37, stk. 3.
3.   Uden at dette berører Kommissionens beslutning 2008/602/EF 
(
38
)
, skal visse hardware- og softwarekomponenter i ind- og udrejsesystemets kommunikationsinfrastruktur deles med kommunikationsinfrastrukturen for VIS, der er omhandlet i artikel 1, stk. 2, i beslutning 2004/512/EF. Der skal sikres logisk adskillelse af oplysninger i VIS og oplysninger i ind- og udrejsesystemet.
Artikel 8
Interoperabilitet med VIS
1.   eu-LISA etablerer en sikker kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system for at muliggøre interoperabilitet mellem ind- og udrejsesystemet og VIS. Direkte søgning mellem ind- og udrejsesystemet og VIS skal kun være mulig, hvis der er hjemmel til det i både denne forordning og forordning (EF) nr. 767/2008. Indhentningen af visumrelaterede oplysninger fra VIS, import heraf til ind- og udrejsesystemet og opdateringen af oplysninger fra VIS i ind- og udrejsesystemet skal være en automatisk proces, så snart den pågældende operation iværksættes af den berørte myndighed.
2.   Interoperabilitet skal gøre det muligt for de grænsemyndigheder, der bruger ind- og udrejsesystemet, at søge i VIS fra ind- og udrejsesystemet med henblik på:
a)
at hente visumrelaterede oplysninger direkte fra VIS og importere dem til ind- og udrejsesystemet med henblik på at oprette eller ajourføre ind- og udrejseregistreringen eller registreringen af nægtelse af indrejse for en visumindehaver i ind- og udrejsesystemet, jf. artikel 14, 16 og 18 i denne forordning og artikel 18a i forordning (EF) nr. 767/2008
b)
at hente visumrelaterede oplysninger direkte fra VIS og importere dem til ind- og udrejsesystemet med henblik på at ajourføre ind- og udrejseregistreringen i tilfælde af, at et visum er annulleret, inddraget eller forlænget, jf. artikel 19 i denne forordning og artikel 13, 14 og 18a i forordning (EF) nr. 767/2008
c)
at verificere, jf. artikel 23 i denne forordning og artikel 18, stk. 2, i forordning (EF) nr. 767/2008, ægtheden og gyldigheden af et visum, eller om betingelserne for indrejse til medlemsstaternes område i overensstemmelse med artikel 6 i forordning (EU) 2016/399 er opfyldt
d)
at verificere ved de grænser, hvor ind- og udrejsesystemet anvendes, om en tredjelandsstatsborger, der er fritaget for visumpligt, tidligere er blevet registreret i VIS, jf. artikel 23 i denne forordning og artikel 19a i forordning (EF) nr. 767/2008, og
e)
hvis en visumindehavers identitet verificeres ved hjælp af fingeraftryk, at verificere identiteten af en visumindehaver ved at sammenligne visumindehaverens fingeraftryk med de fingeraftryk, der er registreret i VIS, ved de grænser, hvor ind- og udrejsesystemet anvendes, i overensstemmelse med artikel 23 i denne forordning og artikel 18, stk. 6, i forordning (EF) nr. 767/2008.
3.   Interoperabilitet skal gøre det muligt for de visummyndigheder, der bruger VIS, at søge i ind- og udrejsesystemet fra VIS med henblik på:
a)
at behandle visumansøgninger og træffe afgørelse vedrørende de pågældende ansøgninger, jf. artikel 24 i denne forordning og artikel 15, stk. 4, i forordning (EF) nr. 767/2008
b)
at behandle ansøgninger om et nationalt visum til kortvarigt ophold og træffe afgørelse vedrørende de pågældende ansøgninger for de medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet
c)
at ajourføre visumrelaterede oplysninger i ind- og udrejseregistreringen i tilfælde af, at et visum er annulleret, inddraget eller forlænget, jf. artikel 19 i denne forordning og artikel 13 og 14 i forordning (EF) nr. 767/2008.
4.   Med henblik på driften af ind- og udrejsesystemets webtjeneste, der er omhandlet i artikel 13, ajourføres den separate skrivebeskyttede database, der er omhandlet i artikel 13, stk. 5, dagligt af VIS via envejsudtræk af den mindst nødvendige delmængde af VIS-oplysninger.
Artikel 9
Adgang til ind- og udrejsesystemet med henblik på at registrere, ændre, slette og søge oplysninger
1.   Adgang til ind- og udrejsesystemet med henblik på at registrere, ændre, slette og søge de i artikel 14 og 16-20 omhandlede oplysninger er udelukkende forbeholdt behørigt bemyndiget personale ved hver medlemsstats nationale myndigheder, som har kompetence med hensyn til de formål, der er fastsat i artikel 23-35. Denne adgang er begrænset til det omfang, der er nødvendigt for udførelsen af de pågældende nationale myndigheders opgaver i overensstemmelse med disse formål, og skal stå i et rimeligt forhold til de forfulgte mål.
2.   Hver medlemsstat udpeger med henblik på denne forordning de kompetente nationale myndigheder, som skal være grænsemyndigheder, visummyndigheder og indvandringsmyndigheder. De kompetente nationale myndigheders behørigt bemyndigede personale har adgang til ind- og udrejsesystemet for at registrere, ændre, slette eller søge oplysninger. Hver medlemsstat sender uden forsinkelse eu-LISA en liste over disse myndigheder. Listen skal præcisere, til hvilket formål hver myndighed skal have adgang til de oplysninger, der er lagret i ind- og udrejsesystemet.
3.   De myndigheder, der har ret til at søge i eller få adgang til oplysninger i ind- og udrejsesystemet, med henblik på at forebygge, afsløre og efterforske terrorhandlinger eller andre alvorlige strafbare handlinger, udpeges i overensstemmelse med kapitel IV.
Artikel 10
Generelle principper
1.   Hver kompetent myndighed, der er bemyndiget til at få adgang til ind- og udrejsesystemet, sikrer, at anvendelsen af ind- og udrejsesystemet er nødvendig, passende og står i et rimeligt forhold til formålet.
2.   Hver kompetent myndighed sikrer, at brugen af ind- og udrejsesystemet, herunder optagelse af biometriske oplysninger, er i overensstemmelse med de beskyttelsesforanstaltninger, der er fastlagt i konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, i Den Europæiske Unions charter om grundlæggende rettigheder og i De Forenede Nationers konvention om barnets rettigheder. Navnlig ved optagelse af børns oplysninger skal barnets tarv være et primært hensyn.
Artikel 11
Automatisk beregningsmekanisme og pligt til at informere tredjelandsstatsborgere om længden af resterende tilladt ophold
1.   Ind- og udrejsesystemet skal indeholde en automatisk beregningsmekanisme, der angiver den maksimale varighed af tilladt ophold for tredjelandsstatsborgere, der er registreret i ind- og udrejsesystemet.
Den automatiske beregningsmekanisme finder ikke anvendelse på tredjelandsstatsborgere, som:
a)
er familiemedlemmer til en unionsborger, på hvem direktiv 2004/38/EF finder anvendelse, eller til en tredjelandsstatsborger, der har samme ret til fri bevægelighed som unionsborgere i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side, og
b)
ikke er indehaver af et opholdskort i henhold til direktiv 2004/38/EF eller en opholdstilladelse i henhold til forordning (EF) nr. 1030/2002.
2.   Den automatiske beregningsmekanisme skal informere de kompetente myndigheder:
a)
i forbindelse med indrejse om den maksimale varighed af tilladt ophold for tredjelandsstatsborgere, og hvorvidt antallet af tilladte indrejser for visum til kortvarigt ophold udstedt til én eller to indrejser allerede er udtømt
b)
i forbindelse med kontrol eller verifikation, som foretages på medlemsstaternes område, om tredjelandsstatsborgeres resterende tilladte ophold eller varigheden af tredjelandsstatsborgeres ophold ud over den tilladte varighed
c)
i forbindelse med udrejse, om tilfælde af tredjelandsstatsborgeres ophold ud over den tilladte varighed
d)
i forbindelse med behandling af og afgørelse om ansøgninger om visum til kortvarigt ophold, om den maksimalt resterende varighed af tilladt ophold på grundlag af planlagte indrejsedatoer.
3.   Grænsemyndighederne underretter tredjelandsstatsborgeren om den maksimale varighed af tilladt ophold, idet der tages hensyn til antallet af indrejser og varigheden af det ophold, der er tilladt ifølge visummet, i overensstemmelse med artikel 8, stk. 9, i forordning (EU) 2016/399. Disse oplysninger skal gives enten af grænsevagten i forbindelse med ind- og udrejsekontrol eller ved hjælp af udstyr, der er installeret ved grænseovergangsstedet, der gør det muligt for tredjelandsstatsborgeren at anvende den webtjeneste, der er omhandlet i artikel 13, stk. 1 og 2, i nærværende forordning.
4.   For tredjelandsstatsborgere, som på grundlag af et visum til kortvarigt ophold eller et nationalt visum til kortvarigt ophold opholder sig i en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, skal den automatiske beregningsmekanisme ikke angive det tilladte ophold på grundlag af visummet til kortvarigt ophold eller det nationale visum til kortvarigt ophold.
I det i første afsnit omhandlede tilfælde verificerer den automatiske beregningsmekanisme kun:
a)
overholdelse af den samlede grænse på 90 dage inden for en periode på 180 dage, og
b)
for visa til kortvarigt ophold, overholdelse af sådanne visas gyldighedsperiode.
5.   Med henblik på at verificere om tredjelandsstatsborgere, der er indehavere af visum til kortvarigt ophold til én eller to indrejser, allerede har brugt det antal indrejser, som er tilladt ifølge visummet til kortvarigt ophold, tager den automatiske beregningsmekanisme kun højde for indrejser på området for medlemsstater, der anvender Schengenreglerne fuldt ud. Denne verifikation foretages dog ikke ved indrejse på området for medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet.
6.   Den automatiske beregningsmekanisme finder også anvendelse på kortvarige ophold på grundlag af et visum til kortvarigt ophold med begrænset territorial gyldighed, udstedt i henhold til artikel 25, stk. 1, litra b), i forordning (EF) nr. 810/2009. I dette tilfælde tager den automatiske beregningsmekanisme hensyn til det tilladte ophold som fastsat af dette visum, uanset om den pågældende tredjelandsstatsborgers samlede ophold overstiger 90 dage inden for en periode på 180 dage.
Artikel 12
Informationsmekanisme
1.   Ind- og udrejsesystemet skal indeholde en mekanisme, der automatisk finder frem til ind- og udrejseregistreringer, der ikke omfatter udrejseoplysninger umiddelbart efter den dato, hvor et tilladt ophold er udløbet, og automatisk finder frem til registreringer, hvor den maksimale varighed af tilladt ophold er overskredet.
2.   For tredjelandsstatsborgere, som passerer en grænse på grundlag af et gyldigt forenklet transitdokument, der er udstedt i overensstemmelse med Rådets forordning (EF) nr. 693/2003 
(
39
)
 (FTD), skal ind- og udrejsesystemet indeholde en mekanisme, som automatisk finder frem til ind- og udrejseregistreringer, der ikke omfatter udrejseoplysninger umiddelbart efter det tidspunkt, hvor tilladt ophold er udløbet, og automatisk finder frem til registreringer, hvor den maksimale varighed af tilladt ophold er overskredet.
3.   En liste, der genereres af ind- og udrejsesystemet, og som indeholder de i artikel 16 og 17 omhandlede oplysninger om alle personer, der er identificeret som personer, hvis tilladelse til ophold er udløbet, skal være til rådighed for de kompetente nationale myndigheder, der er udpeget i henhold til artikel 9, stk. 2, således at de disse myndigheder kan træffe passende foranstaltninger.
Artikel 13
Webtjeneste
1.   For at gøre det muligt for tredjelandsstatsborgere på ethvert tidspunkt at verificere den resterende varighed af et tilladt ophold skal en sikret internetadgang til en webtjeneste, der hostes af eu-LISA på dets tekniske lokaliteter, give tredjelandsstatsborgere mulighed for at angive de oplysninger, der kræves i henhold til artikel 16, stk. 1, litra b), sammen med deres påtænkte ind- eller udrejsedatoer eller begge. På grundlag heraf skal webtjenesten give tredjelandsstatsborgere et OK/NOT OK-svar såvel som oplysninger om den resterende varighed af det tilladte ophold.
2.   Uanset stk. 1 opgiver webtjenesten for et planlagt ophold i en medlemsstat, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, ikke oplysninger om det tilladte ophold på grundlag af et visum for kortvarigt ophold eller et nationalt visum for kortvarigt ophold.
I det i første afsnit omhandlede tilfælde skal webtjenesten gøre det muligt for tredjelandsstatsborgere at verificere overholdelsen af den samlede grænse på 90 dage inden for en periode på 180 dage og modtage oplysninger om den resterende varighed af det tilladte ophold i henhold til den grænse. Disse oplysninger skal gives for ophold inden for den periode på 180 dage, der ligger forud for anvendelsen af webtjenesten eller deres påtænkte ind- eller udrejsedato eller begge.
3.   Med henblik på at overholde forpligtelserne i artikel 26, stk. 1, litra b), i konventionen om gennemførelse af Schengenaftalen skal transportvirksomheder bruge webtjenesten til at kontrollere om tredjelandsstatsborgere, der er indehavere af et visum til kortvarigt ophold til én eller to indrejser, allerede har brugt det antal indrejser, der er tilladt ifølge visummet. Transportvirksomheder angiver de oplysninger, der er opført i denne forordnings artikel 16, stk. 1, litra a), b) og c). På grundlag heraf giver webtjenesten transportvirksomheder et OK/NOT OK-svar. Transportvirksomheder kan lagre de sendte oplysninger i overensstemmelse med gældende ret. Transportvirksomheder indfører en autentifikationsordning for at sikre, at kun autoriseret personale har adgang til webtjenesten. Det er ikke muligt at anse OK/NOT OK-svaret som en afgørelse om at tillade eller nægte indrejse i overensstemmelse med forordning (EU) 2016/399.
4.   Med henblik på at gennemføre artikel 26, stk. 2, i konventionen om gennemførelse af Schengenaftalen eller for at bilægge enhver tvist, der måtte opstå i forbindelse med artikel 26 i konventionen om gennemførelse af Schengenaftalen, fører eu-LISA logge over al databehandling udført på webtjenesten af transportvirksomheder. Disse logge skal vise datoen og tidspunktet for hver behandling, de oplysninger, der er anvendt til søgningen, de oplysninger, som webtjenesten har fremsendt, og navnet på den pågældende transportvirksomhed.
Logge skal lagres i to år. Logge skal beskyttes ved hjælp af passende foranstaltninger mod adgang uden bemyndigelse.
5.   Webtjenesten skal anvende en separat skrivebeskyttet database, der ajourføres dagligt via envejsudtræk af den mindste nødvendige delmængde af oplysningerne i ind- og udrejsesystemet og VIS. eu-LISA er ansvarlig for webtjenestens sikkerhed, for sikkerheden af de personoplysninger den indeholder, og for processen med at udtrække personoplysningerne ind i den separate skrivebeskyttede database.
6.   Webtjenesten skal ikke gøre det muligt for transportvirksomheder at verificere, om tredjelandsborgere, der er indehavere af et nationalt visum til kortvarigt ophold til én eller to indrejser, allerede har brugt det antal indrejser, der er tilladt ifølge deres visum.
7.   Kommissionen vedtager gennemførelsesretsakter vedrørende de nærmere regler om betingelserne for drift af webtjenesten og den databeskyttelse og de sikkerhedsregler, der skal gælde for webtjenesten. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
KAPITEL II
INDREJSE OG KOMPETENTE MYNDIGHEDERS BRUG AF OPLYSNINGER
Artikel 14
Procedurer for registrering af oplysninger i ind- og udrejsesystemet
1.   Grænsemyndigheder verificerer i overensstemmelse med artikel 23, om der tidligere er oprettet en individuel sagsmappe i ind- og udrejsesystemet for tredjelandsstatsborgeren såvel som for pågældendes identitet. Når tredjelandsstatsborgere benytter et selvbetjeningssystem til forudregistreringen af oplysninger eller med henblik på foretagelse af ind- og udrejsekontrol, foretages verifikationen ved hjælp af selvbetjeningssystemet.
2.   Hvis der tidligere er oprettet en individuel sagsmappe for tredjelandsstatsborgeren, skal grænsemyndigheden om nødvendigt:
a)
ajourføre den individuelle sagsmappe, navnlig de oplysninger, der er omhandlet i artikel 16, 17 og 18, alt efter tilfældet, og
b)
tilføje en indrejseregistrering for hver indrejse og en udrejseregistrering for hver udrejse, jf. artikel 16 og 17, eller i givet fald en registrering af nægtelse af indrejse, jf. artikel 18.
De i dette stykkes første afsnit, litra b), omhandlede registreringer knyttes til den pågældende tredjelandsstatsborgers individuelle sagsmappe.
Når det er relevant, føjes de oplysninger, der er omhandlet i artikel 19, stk. 1, 2, 4 og 5, til den pågældende tredjelandsstatsborgers ind- og udrejseregistrering. De rejsedokumenter og identiteter, der lovligt er brugt af en tredjelandsstatsborger, tilføjes i tredjelandsstatsborgerens individuelle sagsmappe.
Når en individuel sagsmappe tidligere er registreret, og tredjelandsstatsborgeren fremviser et gyldigt rejsedokument, der er forskelligt fra det, der tidligere er registreret, skal de oplysninger, der er omhandlet i artikel 16, stk. 1, litra d), og artikel 17, stk. 1, litra b), også ajourføres i overensstemmelse med artikel 15.
3.   Hvis det er nødvendigt at registrere eller ajourføre oplysningerne i ind- og udrejseregistreringen for en visumindehaver, kan grænsemyndighederne fra VIS hente og til ind- og udrejsesystemet importere de oplysninger, der er omhandlet i artikel 16, stk. 2, litra c)-f), i denne forordning, jf. artikel 8 i denne forordning og artikel 18a i forordning (EF) nr. 767/2008.
4.   Hvis en tredjelandsstatsborger ikke tidligere er blevet registreret i ind- og udrejsesystemet, opretter grænsemyndigheden en individuel sagsmappe for denne tredjelandsstatsborger ved at registrere de oplysninger, der er omhandlet i artikel 16, stk. 1 og 6, artikel 17, stk. 1, og artikel 18, stk. 1, alt efter tilfældet.
5.   Hvis en tredjelandsstatsborger bruger et selvbetjeningssystem til forudregistreringen af oplysninger, finder artikel 8a i forordning (EU) 2016/399 anvendelse. I så fald kan tredjelandsstatsborgeren forudregistrere oplysningerne i den individuelle sagsmappe eller i givet fald de oplysninger i ind- og udrejseregistreringen, der skal ajourføres. Oplysningerne skal bekræftes af grænsemyndighederne, når en afgørelse om at tillade eller nægte indrejse er blevet truffet i overensstemmelse med forordning (EU) 2016/399. De oplysninger, der er omhandlet i artikel 16, stk. 2, litra c)-f), i nærværende forordning, kan hentes fra VIS og importeres til ind- og udrejsesystemet.
6.   Hvis en tredjelandsstatsborger bruger et selvbetjeningssystem til foretagelse af ind- og udrejsekontrol, finder artikel 8b i forordning (EU) 2016/399 anvendelse. I så fald foretages den verifikation, der er omhandlet i stk. 1, gennem selvbetjeningssystemet.
7.   Hvis en tredjelandsstatsborger bruger elektronisk paskontrol ved passage af de ydre grænser eller de indre grænser, hvor kontrollen endnu ikke er blevet ophævet, finder artikel 8b i forordning (EU) 2016/399 anvendelse. I så fald foretages den tilhørende ind- og udrejseregistrering og sammenkædningen af denne registrering med den pågældende individuelle sagsmappe gennem den elektroniske paskontrol.
8.   Hvis det kortvarige ophold for en tredjelandsborger, som befinder sig på en medlemsstats område, begynder umiddelbart efter et ophold på grundlag af en opholdstilladelse eller et visum til længerevarende ophold, og der ikke tidligere er blevet oprettet en individuel sagsmappe, kan tredjelandsstatsborgeren anmode de kompetente myndigheder, jf. artikel 9, stk. 2, i denne forordning, om at oprette en individuel sagsmappe og ind- og udrejseregistreringen ved at indlæse de oplysninger, der er omhandlet i artikel 16, stk. 1, 2 og 6, og artikel 17, stk. 1, i denne forordning, jf. dog artikel 20 i denne forordning og artikel 12, stk. 3, i forordning (EU) 2016/399. I stedet for de i artikel 16, stk. 2, litra a), i denne forordning omhandlede oplysninger indsætter disse kompetente myndigheder datoen for det kortvarige opholds begyndelse, og i stedet for de oplysninger, der er omhandlet i artikel 16, stk. 2, litra b), i denne forordning, indsætter de navnet på den myndighed, som indførte disse oplysninger.
Artikel 15
Tredjelandsstatsborgeres ansigtsbillede
1.   Hvis det er nødvendigt at oprette en individuel sagsmappe eller ajourføre det ansigtsbillede, der er omhandlet i artikel 16, stk. 1, litra d), og artikel 17, stk. 1, litra b), skal ansigtsbilledet tages på stedet.
2.   Uanset stk. 1 kan ansigtsbilledet i ekstraordinære tilfælde, hvor de specifikationer for kvalitet og opløsning, der er fastsat med henblik på registrering af det ansigtsbillede, der tages på stedet, i ind- og udrejsesystemet, ikke kan overholdes, udtrækkes elektronisk fra chippen i de elektroniske maskinlæsbare rejsedokumenter (eMRTD). I sådanne tilfælde indsættes ansigtsbilledet først i den individuelle sagsmappe efter elektronisk verifikation af, at ansigtsbilledet på chippen i eMRTD svarer til det ansigtsbillede af den berørte tredjelandsstatsborger, der tages på stedet.
3.   Hver medlemsstat fremsender en gang om året en rapport om anvendelsen af stk. 2 til Kommissionen. Rapporten skal indeholde antallet af berørte tredjelandsstatsborgere såvel som en beskrivelse af de ekstraordinære tilfælde, der er opstået.
4.   Tredjelandsstatsborgeres ansigtsbillede skal have en billedopløsning og en kvalitet, der er så høj, at det kan anvendes til automatisk biometrisk sammenligning.
5.   Kommissionen forelægger inden for en periode på to år fra ind- og udrejsesystemets idriftsættelse en rapport om kvalitetsstandarderne for ansigtsbilleder, der er lagret i VIS, og om, hvorvidt de kan benyttes til biometrisk sammenligning med henblik på at anvende ansigtsbilleder, der er lagret i VIS, ved grænser og inden for medlemsstaternes område til verificering af identiteten af visumpligtige tredjelandsstatsborgere uden at lagre sådanne ansigtsbilleder i ind- og udrejsesystemet. Kommissionen sender rapporten til Europa-Parlamentet og Rådet. Rapporten ledsages, hvis Kommissionen finder det passende, af lovgivningsforslag, herunder forslag om at ændre denne forordning, forordning (EF) nr. 767/2008 eller begge, for så vidt angår anvendelsen af ansigtsbilledet af tredjelandsstatsborgere, der er lagret i VIS, til de i dette stykke omhandlede formål.
Artikel 16
Visumpligtige tredjelandsstatsborgeres personoplysninger
1.   Ved de grænser, hvor ind- og udrejsesystemet anvendes, opretter grænsemyndigheden en visumpligtig tredjelandsstatsborgers individuelle sagsmappe ved at registrere følgende oplysninger:
a)
efternavn, fornavn(e), fødselsdato, nationalitet(er), køn
b)
rejsedokumentets eller -dokumenternes type og nummer og koden bestående af tre bogstaver for det land, der har udstedt rejsedokumentet eller -dokumenterne
c)
datoen for rejsedokumentets eller -dokumenternes udløb
d)
det i artikel 15 omhandlede ansigtsbillede.
2.   Hver gang en visumpligtig tredjelandsborger indrejser ved en grænse, hvor ind- og udrejsesystemet anvendes, registreres følgende oplysninger i en ind- og udrejseregistrering:
a)
datoen og tidspunktet for indrejsen
b)
grænseovergangsstedet for indrejsen og den myndighed, der gav tilladelse til indrejse
c)
i givet fald tredjelandsstatsborgerens status med angivelse af, at vedkommende er en tredjelandsstatsborger, der:
i)
er et familiemedlem til en unionsborger, på hvem direktiv 2004/38/EF finder anvendelse, eller til en tredjelandsstatsborger, der har samme ret til fri bevægelighed som unionsborgere i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side, og
ii)
ikke er indehaver af et opholdskort i henhold til direktiv 2004/38/EF eller en opholdstilladelse i henhold til forordning (EF) nr. 1030/2002.
d)
nummeret på mærkaten for et visum til kortvarigt ophold, herunder koden på tre bogstaver for den udstedende medlemsstat, typen af visum til kortvarigt ophold, slutdatoen for opholdets maksimale varighed som tilladt ifølge visummet til kortvarigt ophold, som skal ajourføres ved hver indrejse, og i givet fald udløbsdatoen for gyldighed af visummet til kortvarigt ophold
e)
ved første indrejse på grundlag af et visum til kortvarigt ophold antallet af indrejser og opholdets varighed som tilladt ifølge visummet til kortvarigt ophold som anført på mærkaten for visummet til kortvarigt ophold
f)
i givet fald oplysning om, at det pågældende visum til kortvarigt ophold er blevet udstedt med begrænset territorial gyldighed i henhold til artikel 25, stk. 1, litra b), i forordning (EF) nr. 810/2009
g)
for medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, i givet fald en meddelelse om, at tredjelandsstatsborgeren anvendte et nationalt visum til kortvarigt ophold til indrejsen.
Den ind- og udrejseregistrering, der er omhandlet i første afsnit, knyttes til den pågældende tredjelandsstatsborgers individuelle sagsmappe ved brug af et individuelt referencenummer, som ind- og udrejsesystemet genererer ved oprettelsen af den nævnte individuelle sagsmappe.
3.   Ved hver udrejse for en visumpligtig tredjelandsstatsborger ved en grænse, hvor ind- og udrejsesystemet anvendes, registreres følgende oplysninger i den ind- og udrejseregistrering:
a)
datoen og tidspunktet for udrejsen
b)
grænseovergangsstedet for udrejsen.
Når den nævnte tredjelandsstatsborger anvender et andet visum end det visum, som blev registreret i den seneste indrejseregistrering, ajourføres oplysningerne i den i stk. 2, litra d)-g), omhandlede ind- og udrejseregistrering i overensstemmelse hermed.
Den ind- og udrejseregistrering, der er omhandlet i første afsnit, knyttes til den pågældende tredjelandsstatsborgers individuelle sagsmappe.
4.   Hvis der ikke er udrejseoplysninger umiddelbart efter datoen for udløb af det tilladte ophold, skal ind- og udrejsesystemet markere ind- og udrejseregistreringen med et flag, og oplysningerne om den pågældende visumpligtige tredjelandsstatsborger, som er blevet identificeret som en person, hvis tilladelse til ophold er udløbet, skal opføres på den liste, der er omhandlet i artikel 12.
5.   Med henblik på at registrere eller ajourføre ind- og udrejseregistrering for en visumpligtig tredjelandsstatsborger kan de oplysninger, som er omhandlet i denne artikels stk. 2, litra c)-f), hentes fra VIS og importeres til ind- og udrejsesystemet af grænsemyndigheden, jf. artikel 18a i forordning (EF) nr. 767/2008.
6.   Hvis en tredjelandsstatsborger er omfattet af en medlemsstats nationale lempelsesprogram, jf. artikel 8d i forordning (EU) 2016/399, indsætter den pågældende medlemsstat en meddelelse i den nævnte tredjelandsstatsborgers individuelle sagsmappe med angivelse af den pågældende medlemsstats nationale lempelsesprogram.
7.   De særlige bestemmelser i bilag II finder anvendelse på tredjelandsstatsborgere, som passerer grænsen på grundlag af et gyldigt FTD.
Artikel 17
Personoplysninger for tredjelandsstatsborgere, der er fritaget for visumpligt
1.   Grænsemyndigheden opretter den individuelle sagsmappe for tredjelandsstatsborgere, der er fritaget for visumpligt, ved at registrere følgende:
a)
de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c)
b)
det i artikel 15 omhandlede ansigtsbillede
c)
fingeraftryksoplysninger fra højre hånd, hvis de findes, og ellers de tilsvarende fingeraftryksoplysninger fra venstre hånd; opløsningen og kvaliteten af fingeraftryksoplysningerne skal være så høj, at de kan anvendes til automatisk biometrisk sammenligning.
d)
hvis det er relevant, de oplysninger, der er omhandlet i artikel 16, stk. 6.
2.   For så vidt angår tredjelandsstatsborgere, der er fritaget for visumpligt, finder artikel 16, stk. 2, litra a), b) og c), stk. 3, litra a) og b), og stk. 4, tilsvarende anvendelse.
3.   Børn under 12 år er fritaget for kravet om afgivelse af fingeraftryk.
4.   Personer, for hvem det er fysisk umuligt at afgive fingeraftryk, er fritaget for kravet om afgivelse af fingeraftryk.
Hvis årsagen til, at det er fysisk umuligt at afgive fingeraftryk, er af midlertidig karakter, registreres dette forhold dog i ind- og udrejsesystemet, og den pågældende person anmodes om at afgive fingeraftryk ved udrejsen eller den næste indrejse. Disse oplysninger slettes fra ind- og udrejsesystemet, når fingeraftrykkene er blevet afgivet. Grænsemyndighederne har ret til at anmode om yderligere oplysninger om, hvorfor det midlertidig er umuligt at afgive fingeraftryk. Medlemsstaterne sikrer, at der er indført hensigtsmæssige procedurer, der sikrer personers værdighed i tilfælde af vanskeligheder med at optagelsen af fingeraftryk.
5.   Hvis den pågældende person er fritaget for kravet om at afgive fingeraftryk i henhold til stk. 3 og 4, markeres det særlige datafelt med »ikke relevant«.
Artikel 18
Personoplysninger om tredjelandsstatsborgere, der er nægtet indrejse
1.   Hvis grænsemyndigheden i medfør af artikel 14 i og bilag V til forordning (EU) 2016/399 har truffet afgørelse om at nægte en tredjelandsstatsborger indrejse med henblik på et kortvarigt ophold på medlemsstaternes område, og hvis der ikke tidligere er registreret en sagsmappe for den pågældende tredjelandsstatsborger i ind- og udrejsesystemet, opretter myndigheden med ansvar for ind- og udrejsekontrol en individuel sagsmappe, hvori den registrerer:
a)
for visumpligtige tredjelandsstatsborgere, de alfanumeriske oplysninger, der kræves i henhold til artikel 16, stk. 1, i nærværende forordning og hvis det er relevant, de oplysninger, der er omhandlet i artikel 16, stk. 6, i nærværende forordning
b)
for tredjelandsstatsborgere, der er fritaget for visumpligt, de alfanumeriske oplysninger, der kræves i henhold til artikel 17, stk. 1, i nærværende forordning.
2.   Hvis en tredjelandsstatsborger nægtes indrejse med en begrundelse, der svarer til punkt B, D eller H i bilag V, del B, til forordning (EU) 2016/399, og hvis der ikke tidligere er registreret en sagsmappe med biometriske oplysninger for den pågældende tredjelandsstatsborger, opretter grænsemyndigheden en individuel sagsmappe, hvori den indlæser de alfanumeriske oplysninger, der kræves i henhold til nærværende forordnings artikel 16, stk. 1, eller artikel 17, stk. 1, alt efter tilfældet, sammen med følgende oplysninger:
a)
for visumpligtige tredjelandsstatsborgere, ansigtsbilledet, jf. artikel 16, stk. 1, litra d), i nærværende forordning
b)
for tredjelandsstatsborgere, der er fritaget for visumpligt, de biometriske oplysninger, der kræves i henhold til artikel 17, stk. 1, litra b) og c), i nærværende forordning
c)
for visumpligtige tredjelandsstatsborgere, der ikke er registreret i VIS, ansigtsbilledet, jf. artikel 16, stk. 1, litra d), i nærværende forordning, og de fingeraftryksoplysninger, der er omhandlet i artikel 17, stk. 1, litra c), i nærværende forordning.
3.   Hvis begrundelsen, der svarer til punkt H i bilag V, del B, til forordning (EU) 2016/399, finder anvendelse, og tredjelandsstatsborgerens biometriske oplysninger er registreret i den indberetning i SIS, der medfører nægtelse af indrejse, registreres tredjelandsstatsborgerens biometriske oplysninger uanset denne artikels stk. 2 ikke i ind- og udrejsesystemet.
4.   Hvis tredjelandsstatsborgeren nægtes indrejse med en begrundelse, der svarer til punkt I i bilag V, del B, til forordning (EU) 2016/399, og der ikke er registreret en tidligere sagsmappe med biometriske oplysninger for den pågældende tredjelandsstatsborger i ind- og udrejsesystemet, registreres de biometriske oplysninger kun i ind- og udrejsesystemet, hvis indrejsen nægtes, fordi tredjelandsstatsborgeren anses for at udgøre en trussel mod en medlemsstats indre sikkerhed, herunder, hvor det er relevant, elementer af den offentlige orden.
5.   Hvis en tredjelandsstatsborger nægtes indrejse med en begrundelse, der svarer til punkt J i bilag V, del B, til forordning (EU) 2016/399, opretter grænsemyndigheden tredjelandsstatsborgerens individuelle sagsmappe uden at tilføje biometriske oplysninger. Hvis tredjelandsstatsborgeren er i besiddelse af et eMRTD, udtrækkes ansigtsbilledet fra dette eMRTD.
6.   Hvis grænsemyndigheden i medfør af artikel 14 i og bilag V til forordning (EU) 2016/399 har truffet afgørelse om at nægte en tredjelandsstatsborger indrejse med henblik på et kortvarigt ophold på medlemsstaternes område, registreres følgende oplysninger i en særskilt registrering af nægtelse af indrejse:
a)
datoen og tidspunktet for nægtelse af indrejse
b)
grænseovergangsstedet
c)
den myndighed, der har nægtet indrejse
d)
det eller de punkter, der svarer til grundene til at nægte indrejse, jf. bilag V, del B, til forordning (EU) 2016/399.
For så vidt angår visumpligtige tredjelandsstatsborgere registreres endvidere de oplysninger, som er omhandlet i artikel 16, stk. 2, litra d)-g), i nærværende forordning, i registreringen af nægtelse af indrejse.
Med henblik på at registrere eller ajourføre registrering af nægtelse af indrejse for visumpligtige tredjelandsstatsborgere kan de oplysninger, som er omhandlet i artikel 16, stk. 2, litra d), e) og f), i nærværende forordning, hentes fra VIS og importeres til ind- og udrejsesystemet af den kompetente grænsemyndighed, jf. artikel 18a i forordning (EF) nr. 767/2008.
7.   Den registrering af nægtelse af indrejse, der er omhandlet i stk. 6, knyttes til den pågældende tredjelandsstatsborgers individuelle sagsmappe.
Artikel 19
Oplysninger, der skal tilføjes, hvis en tilladelse til kortvarigt ophold inddrages, annulleres eller forlænges
1.   Hvis der er truffet afgørelse om at inddrage eller annullere en tilladelse til kortvarigt ophold eller et visum eller at forlænge varigheden af et tilladt ophold eller af et visum, føjer den kompetente myndighed, der har truffet en sådan afgørelse, følgende oplysninger til den seneste relevante ind- og udrejseregistrering:
a)
statusoplysningerne, der viser, at tilladelsen til kortvarigt ophold eller visummet er blevet inddraget eller annulleret, eller at varigheden af det tilladte ophold eller visummet er blevet forlænget
b)
identiteten af den myndighed, der har inddraget eller annulleret tilladelsen til kortvarigt ophold eller visummet eller forlænget varigheden af det tilladte ophold eller visummet
c)
sted og dato for afgørelsen om at inddrage eller annullere tilladelsen til kortvarigt ophold eller visummet eller forlænge varigheden af det tilladte ophold eller visummet
d)
i givet fald det nye visummærkatnummer, herunder koden på tre bogstaver for det udstedende land
e)
i givet fald tidsrummet for forlængelse af varigheden af det tilladte ophold
f)
i givet fald den nye udløbsdato for det tilladte ophold eller visummet.
2.   Når varigheden af et tilladt ophold er blevet forlænget i overensstemmelse med artikel 20, stk. 2, i konventionen om gennemførelse af Schengenaftalen, føjer den kompetente myndighed, der har forlænget det tilladte ophold, oplysningerne om tidsrummet for forlængelse af det tilladte ophold til den seneste relevante ind- og udrejseregistrering og, hvor det er relevant, en angivelse af, at det tilladte ophold blev forlænget i overensstemmelse med artikel 20, stk. 2, litra b), i konventionen om gennemførelse af Schengenaftalen.
3.   Hvis der er truffet afgørelse om at annullere, inddrage eller forlænge et visum, henter den visummyndighed, der har truffet afgørelsen, straks de oplysninger, der er omhandlet i denne artikels stk. 1, fra VIS og importerer dem direkte til ind- og udrejsesystemet, jf. artikel 13 og 14 i forordning (EF) nr. 767/2008.
4.   I ind- og udrejseregistreringen angives grunden(e) til, at det kortvarige ophold inddrages eller annulleres, som skal være:
a)
en afgørelse om tilbagesendelse vedtaget i henhold til Europa-Parlamentets og Rådets direktiv 2008/115/EF 
(
40
)
b)
enhver anden afgørelse truffet af en medlemsstats kompetente myndigheder i overensstemmelse med national ret, som medfører, at en tredjelandsstatsborger, som ikke opfylder eller ikke længere opfylder betingelserne for indrejse i eller ophold på medlemsstaternes område, tilbagesendes, udsendes eller frivilligt skal udrejse.
5.   I ind- og udrejseregistreringen angives grundene til, at et tilladt ophold forlænges.
6.   Når en person er udrejst af eller er blevet udsendt fra medlemsstaternes område i medfør af en afgørelse som omhandlet i denne artikels stk. 4, registrerer den kompetente myndighed oplysningerne i henhold til artikel 14, stk. 2, i den ind- og udrejseregistrering, der er knyttet til den pågældende indrejse.
Artikel 20
Oplysninger, som skal tilføjes i tilfælde af afkræftelse af formodningen om, at en tredjelandsstatsborger ikke opfylder betingelserne for et tilladt opholds varighed
Hvis der ikke er oprettet en individuel sagsmappe i ind- og udrejsesystemet for en tredjelandsstatsborger, der befinder sig på en medlemsstats område, eller der ikke er en seneste relevant ind- og udrejseregistrering for en sådan tredjelandsstatsborger, kan de kompetente myndigheder formode, at tredjelandsstatsborgeren ikke opfylder eller ikke længere opfylder betingelserne for et tilladt opholds varighed på medlemsstaternes område, jf. dog artikel 22.
I det i nærværende artikels stk. 1 omhandlede tilfælde finder artikel 12 i forordning (EU) 2016/399 anvendelse, og hvis formodningen afkræftes i overensstemmelse med artikel 12, stk. 3, i nævnte forordning, skal de kompetente myndigheder:
a)
om nødvendigt oprette en individuel sagsmappe for den pågældende tredjelandsstatsborger i ind- og udrejsesystemet
b)
ajourføre den seneste ind- og udrejseregistrering ved at registrere de manglende oplysninger, jf. artikel 16 og 17 i nærværende forordning, eller
c)
slette en eksisterende sagsmappe, hvis en sådan sletning skal foretages i henhold til artikel 35 i nærværende forordning.
Artikel 21
Nødprocedurer, hvis det er teknisk umuligt at registrere oplysninger, eller i tilfælde af at ind- og udrejsesystemet svigter
1.   Hvis det er teknisk umuligt at registrere oplysninger i ind- og udrejsesystemets centrale system, eller i tilfælde af at ind- og udrejsesystemets centrale system svigter, skal de oplysninger, der er omhandlet i artikel 16-20, midlertidig lagres i den nationale ensartede grænseflade. Hvis dette ikke er muligt, skal oplysningerne midlertidig lagres lokalt i et elektronisk format. I begge tilfælde skal oplysningerne registreres i ind- og udrejsesystemets centrale system, så snart det er teknisk muligt, eller fejlen er udbedret. Medlemsstaterne træffer passende foranstaltninger og anvender den nødvendige infrastruktur, det nødvendige udstyr og de nødvendige ressourcer for at sikre, at sådan midlertidig lokal lagring kan foretages når som helst og for alle deres grænseovergangssteder.
2.   Uden at det berører forpligtelsen til at gennemføre ind- og udrejsekontrol i henhold til forordning (EU) 2016/399, lagrer grænsemyndigheden i den ekstraordinære situation, hvor det er teknisk umuligt at registrere oplysningerne i både ind- og udrejsesystemets centrale system og i den nationale ensartede grænseflade, og det er teknisk umuligt midlertidigt at lagre oplysningerne i et elektronisk format, manuelt de oplysninger, der er omhandlet i artikel 16-20 i nærværende forordning, med undtagelse af biometriske oplysninger og sætter desuden et ind- eller udrejsestempel i den pågældende tredjelandsborgers rejsedokument. Disse oplysninger registreres i ind- og udrejsesystemets centrale system så hurtigt som teknisk muligt.
Medlemsstaterne underretter Kommissionen om stempling af rejsedokumenter i tilfælde af de ekstraordinære situationer, der er omhandlet i dette stykkes første afsnit. Kommissionen vedtager gennemførelsesretsakter vedrørende de nærmere regler om de oplysninger, der skal meddeles til Kommissionen. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
3.   I ind- og udrejsesystemet angives det, at de oplysninger, der er omhandlet i artikel 16-20, blev registreret i forbindelse med en nødprocedure, og at den individuelle sagsmappe, som er oprettet i henhold til nærærende artikels stk. 2, mangler biometriske oplysninger. De biometriske oplysninger registreres i ind- og udrejsesystemet ved næste grænsepassage.
Artikel 22
Overgangsperiode og overgangsforanstaltninger
1.   For ved ind- og udrejse at kunne verificere, at tredjelandsstatsborgere, der er givet tilladelse til indrejse med henblik på kortvarigt ophold, ikke har overskredet den maksimale varighed af det tilladte ophold, og for, hvis relevant, ved indrejse at kunne verificere, at tredjelandsstatsborgere ikke har overskredet antallet af indrejser, der er tilladt ifølge visummet til én eller to indrejser til kortvarigt ophold, skal de kompetente grænsemyndigheder i en periode på 180 dage efter ind- og udrejsesystemets idriftsættelse tage hensyn til ophold på medlemsstaternes område i de foregående 180 dage før indrejsen eller udrejsen ved at kontrollere stemplerne i rejsedokumenterne i tillæg til de ind- og udrejseoplysninger, der er registreret i ind- og udrejsesystemet.
2.   Hvis en tredjelandsstatsborger er indrejst på medlemsstaternes område før ind- og udrejsesystemets idriftsættelse og udrejser efter ind- og udrejsesystemets idriftsættelse, oprettes en individuel sagsmappe ved udrejse, og datoen for indrejse som stemplet i passet angives i ind- og udrejseregistreringen, jf. artikel 16, stk. 2. Denne regel er ikke begrænset til 180 dage efter ind- og udrejsesystemets idriftsættelse, jf. nærværende artikels stk. 1. I tilfælde af uoverensstemmelse mellem indrejsestemplet og oplysninger i ind- og udrejsesystemet har stemplet forrang.
Artikel 23
Brug af oplysninger til verifikation ved de grænser, hvor ind- og udrejsesystemet anvendes
1.   Grænsemyndighederne skal have adgang til ind- og udrejsesystemet med henblik på at verificere identiteten og en tidligere registrering af tredjelandsstatsborgere, ajourføre oplysninger i ind- og udrejsesystemet, hvis det er nødvendigt, og søge i oplysningerne i det omfang, det er nødvendigt for at kunne udføre ind- og udrejsekontrol.
2.   Ved udførelse af de i denne artikels stk. 1 omhandlede opgaver skal grænsemyndighederne have adgang til at foretage søgninger ved brug af de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c), og artikel 17, stk. 1, litra a).
Herudover foretager grænsemyndighederne, med henblik på søgning i VIS for kontrol i overensstemmelse med artikel 18 i forordning (EF) nr. 767/2008, for så vidt angår visumpligtige tredjelandsstatsborgere en søgning i VIS direkte fra ind- og udrejsesystemet ved brug af de samme alfanumeriske oplysninger eller, hvis det er relevant, søger i VIS i overensstemmelse med artikel 18, stk. 2a, i forordning (EF) nr. 767/2008.
Hvis søgningen i ind- og udrejsesystemet ved brug af de i dette stykkes første afsnit anførte oplysninger viser, at der er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, sammenligner grænsemyndighederne det ansigtsbillede, der tages på stedet af tredjelandsstatsborgeren, med det ansigtsbillede, der er omhandlet i artikel 16, stk. 1, litra d), og artikel 17, stk. 1, litra b), i nærværende forordning, eller grænsemyndighederne foretager for så vidt angår tredjelandsstatsborgere, der er fritaget for visumpligt, verifikation af fingeraftryk i ind- og udrejsesystemet og for så vidt angår visumpligtige tredjelandsstatsborgere verifikation af fingeraftryk direkte i VIS i overensstemmelse med artikel 18 i forordning (EF) nr. 767/2008. Til brug for verifikationen af visumindehaveres fingeraftryk i VIS kan grænsemyndighederne foretage søgning i VIS direkte fra ind- og udrejsesystemet som fastsat i artikel 18, stk. 6, i nævnte forordning.
Hvis verifikation ved brug af ansigtsbillede ikke lykkes, skal den foretages ved brug af fingeraftryk og omvendt.
3.   Hvis søgning ved brug af de oplysninger, som er anført i stk. 2, viser, at der er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, gives grænsemyndigheden adgang til at søge i oplysningerne i den pågældende tredjelandsstatsborgers individuelle sagsmappe samt den eller de ind- og udrejseregistreringer eller den eller de registreringer af nægtelse af indrejse, der er knyttet til sagsmappen.
4.   Hvis søgning ved brug af de alfanumeriske oplysninger, der er anført i denne artikels stk. 2, viser, at der ikke er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, hvis verifikation af en tredjelandsstatsborger i henhold til stk. 2 ikke lykkes, eller hvis der er tvivl om en tredjelandsstatsborgers identitet, skal grænsemyndighederne have adgang til oplysninger med henblik på identifikation i overensstemmelse med denne forordnings artikel 27.
I tillæg til den i dette stykkes første afsnit omhandlede identifikation finder følgende bestemmelser anvendelse:
a)
Hvis søgningen i VIS ved brug af de oplysninger, der er omhandlet i artikel 18, stk. 1, i forordning (EF) nr. 767/2008, for så vidt angår visumpligtige tredjelandsstatsborgere viser, at oplysninger om den pågældende tredjelandsstatsborger er registreret i VIS, skal der foretages verifikation af fingeraftryk i VIS, jf. artikel 18, stk. 5, i forordning (EF) nr. 767/2008. Med henblik herpå kan grænsemyndigheden foretage en søgning fra ind- og udrejsesystemet i VIS som fastsat i artikel 18, stk. 6, i forordning (EF) nr. 767/2008. Hvor verifikation af en tredjelandsstatsborger i henhold til nærværende artikels stk. 2 mislykkedes, skal grænsemyndighederne tilgå VIS-oplysningerne med henblik på identifikation, jf. artikel 20 i forordning (EF) nr. 767/2008.
b)
For så vidt angår tredjelandsstatsborgere, som er fritaget for visumpligten, og om hvilke, der ikke findes oplysninger i ind- og udrejsesystemet efter den identifikation, der foretages i henhold til artikel 27 i nærværende forordning, foretages en søgning i VIS, jf. artikel 19a i forordning (EF) nr. 767/2008. Grænsemyndigheden kan foretage en søgning fra ind- og udrejsesystemet i VIS som fastsat i artikel 19a i forordning (EF) nr. 767/2008.
5.   For så vidt angår tredjelandsstatsborgere, hvis oplysninger allerede er registreret i ind- og udrejsesystemet, men hvis individuelle sagsmappe er oprettet i ind- og udrejsesystemet af en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet, og hvis oplysninger blev registreret i ind- og udrejsesystemet på grundlag af et nationalt visum til kortvarigt ophold, søger grænsemyndighederne i VIS i overensstemmelse med stk. 4, andet afsnit, litra a), når tredjelandsstatsborgeren for første gang siden oprettelsen af den individuelle sagsmappe har til hensigt at passere en grænse til en medlemsstat, der anvender Schengenreglerne fuldt ud, og som anvender ind- og udrejsesystemet.
KAPITEL III
Andre myndigheders brug af ind- og udrejsesystemet
Artikel 24
Brug af ind- og udrejsesystemet til at behandle og træffe afgørelse om visa
1.   Visummyndighederne søger i ind- og udrejsesystemet med henblik på at behandle visumansøgninger og træffe afgørelse i forbindelse med sådanne ansøgninger, herunder afgørelse om at annullere eller inddrage udstedte visa eller forlænge gyldighedsperioden herfor i henhold til forordning (EF) nr. 810/2009.
Desuden skal visummyndighederne i en medlemsstat, som endnu ikke anvender Schengenreglerne fuldt ud, men anvender ind- og udrejsesystemet, søge i ind- og udrejsesystemet, når de behandler ansøgninger om nationale visum til kortvarigt ophold og træffer afgørelse i forbindelse med sådanne ansøgninger, herunder afgørelse om at annullere eller inddrage udstedte nationale visa til kortvarigt ophold eller forlænge gyldighedsperioden herfor.
2.   Visummyndigheder skal gives adgang til at søge i ind- og udrejsesystemet direkte fra VIS ved brug af en eller flere af følgende oplysninger:
a)
de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c)
b)
nummeret på mærkaten for et visum til kortvarigt ophold, herunder koden bestående af tre bogstaver for udstedelsesmedlemsstaten, jf. artikel 16, stk. 2, litra d)
c)
fingeraftryksoplysningerne eller fingeraftryksoplysningerne kombineret med ansigtsbilledet.
3.   Hvis søgning med de oplysninger, som er anført i stk. 2, viser, at der er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, gives visummyndighederne adgang til at søge i oplysningerne i den pågældende tredjelandsstatsborgers individuelle sagsmappe samt de ind- og udrejseregistreringer og alle registreringer af nægtelse af indrejse, der er knyttet til denne individuelle sagsmappe. Visummyndighederne gives også adgang til at anvende den automatiske beregningsmekanisme med henblik på at kontrollere den maksimale resterende varighed af et tilladt ophold. Visummyndighederne skal også have adgang til at søge i ind- og udrejsesystemet og den automatiske beregningsmekanisme, når de behandler og træffer afgørelse om nye visumansøgninger, for automatisk at kunne fastsætte den maksimale varighed af tilladt ophold.
4.   Visummyndigheder i en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet, skal have adgang til at søge i ind- og udrejsesystemet med en eller flere af de oplysninger, der er anført i stk. 2. Hvis søgningen viser, at der er registreret oplysninger om tredjelandsstatsborgeren i ind- og udrejsesystemet, gives de adgang til at søge i oplysningerne i den pågældende tredjelandsstatsborgers individuelle sagsmappe samt de ind- og udrejseregistreringer og alle registreringer af nægtelse af indrejse, der er knyttet til denne individuelle sagsmappe. Visummyndigheder i en medlemsstat, der endnu ikke anvender Schengenreglerne fuldt ud, men som anvender ind- og udrejsesystemet, skal have adgang til at anvende den automatiske beregningsmekanisme med henblik på at fastslå den resterende varighed af et tilladt ophold. Visummyndigheder skal også have adgang til ind- og udrejsesystemet og den automatiske beregningsmekanisme, når de behandler og træffer afgørelse om nye visumansøgninger, for at kunne fastsætte den maksimale varighed af tilladt ophold.
Artikel 25
Brug af ind- og udrejsesystemet til behandling af anmodninger om adgang til nationale lempelsesprogrammer
1.   De kompetente myndigheder, der er omhandlet i artikel 8d i forordning (EU) 2016/399, søger i ind- og udrejsesystemet med henblik på behandling af anmodninger om adgang til de nationale lempelsesprogrammer, der er omhandlet i nævnte artikel, og vedtagelse af afgørelser om sådanne anmodninger, herunder afgørelser om afslag på, tilbagekaldelse af eller forlængelse af gyldighedsperioden for adgang til sådanne nationale lempelsesprogrammer i overensstemmelse med nævnte artikel.
2.   Den kompetente myndighed skal gives adgang til at søge ved brug af en eller flere af følgende:
a)
de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c), eller de oplysninger, der er omhandlet i artikel 17, stk. 1, litra a)
b)
fingeraftryksoplysningerne eller fingeraftryksoplysningerne sammen med ansigtsbilledet.
3.   Hvis søgning ved brug af de oplysninger, som er omhandlet i stk. 2, viser, at der er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, gives den kompetente myndighed adgang til at søge i oplysningerne i den pågældende tredjelandsstatsborgers individuelle sagsmappe samt de ind- og udrejseregistreringer og alle registreringer af nægtelse af indrejse, der er knyttet til denne individuelle sagsmappe.
Artikel 26
Adgang til oplysninger med henblik på verifikation på medlemsstaternes område
1.   Med henblik på at verificere en tredjelandsstatsborgers identitet eller at kontrollere eller verificere, om betingelserne for indrejse til eller ophold på medlemsstaternes område er opfyldt, eller begge, har medlemsstaternes indvandringsmyndigheder adgang til at foretage søgning ved brug af de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c), og artikel 17, stk. 1, litra a).
Hvis søgningen viser, at der er registreret oplysninger om tredjelandsstatsborgeren i ind- og udrejsesystemet, kan indvandringsmyndighederne
a)
sammenligne det ansigtsbillede, der tages på stedet af tredjelandsstatsborgeren, med det ansigtsbillede, der er omhandlet i artikel 16, stk. 1, litra d), og artikel 17, stk. 1, litra b), i denne forordning
b)
verificere fingeraftryk af tredjelandsstatsborgere, der er fritaget for visumpligt, i ind- og udrejsesystemet og af visumpligtige tredjelandsstatsborgere i VIS, jf. artikel 19 i forordning (EF) nr. 767/2008.
2.   Hvis søgning ved brug af de oplysninger, som er omhandlet i stk. 1, viser, at der er registreret oplysninger om tredjelandsstatsborgeren i ind- og udrejsesystemet, gives indvandringsmyndighederne adgang til at anvende den automatiske beregningsmekanisme og søge i oplysningerne i den pågældende tredjelandsstatsborgers individuelle sagsmappe, ind- og udrejseregistreringer og alle registreringer af nægtelse af indrejse, der er knyttet til denne individuelle sagsmappe.
3.   Hvis søgning ved brug af de oplysninger, der er anført i denne artikels stk. 1, viser, at der ikke er registreret oplysninger om tredjelandsstatsborgeren i ind- og udrejsesystemet, hvis verifikation af tredjelandsstatsborgeren mislykkes, eller hvis der er tvivl om tredjelandsstatsborgerens identitet, skal indvandringsmyndighederne have adgang til oplysninger med henblik på identifikation, jf. artikel 27.
Artikel 27
Adgang til oplysninger med henblik på identifikation
1.   Grænsemyndighederne eller indvandringsmyndighederne skal udelukkende have adgang til at foretage søgning ved brug af fingeraftryksoplysninger eller fingeraftryksoplysninger sammen med ansigtsbilledet med henblik på at identificere enhver tredjelandsstatsborger, som tidligere kan være registreret i ind- og udrejsesystemet under en anden identitet, eller som ikke opfylder eller ikke længere opfylder betingelserne for indrejse eller ophold på medlemsstaternes område.
Hvis søgningen ved brug af fingeraftryksoplysningerne eller fingeraftryksoplysningerne sammen med ansigtsbilledet viser, at der ikke er registreret oplysninger om den pågældende tredjelandsstatsborger i ind- og udrejsesystemet, skal der foretages en søgning efter oplysninger i VIS med henblik på identifikation, jf. artikel 20 i forordning (EF) nr. 767/2008. Ved grænser, hvor ind- og udrejsesystemet anvendes, søger de kompetente myndigheder forud for identifikation ved sammenligning med oplysninger i VIS først i VIS, jf. artikel 18 eller 19a i forordning (EF) nr. 767/2008.
Hvis den pågældende tredjelandsstatsborgers fingeraftryk ikke kan bruges, eller søgningen med fingeraftryksoplysningerne eller med fingeraftryksoplysningerne kombineret med ansigtsbilledet mislykkes, foretages en søgning med alle eller nogle af de oplysninger, der er omhandlet i artikel 16, stk. 1, litra a), b) og c), og artikel 17, stk. 1, litra a).
2.   Hvis søgning ved brug af de oplysninger, som er omhandlet i stk. 1, viser, at der er registreret oplysninger om tredjelandsstatsborgeren i ind- og udrejsesystemet, gives den kompetente myndighed adgang til at søge i oplysningerne i den individuelle sagsmappe samt de ind- og udrejseregistreringer og registreringer af nægtelse af indrejse, der er knyttet til denne individuelle sagsmappe.
Artikel 28
Lagring af oplysninger, der er hentet fra ind- og udrejsesystemet
Oplysninger, der er hentet fra ind- og udrejsesystemet i henhold til dette kapitel, må kun lagres i nationale registre, når det er nødvendigt i et konkret tilfælde, i overensstemmelse med det formål, hvortil de er hentet, og i overensstemmelse med den relevante EU-ret, navnlig om databeskyttelse, og ikke længere end, det er strengt nødvendigt i det konkrete tilfælde.
KAPITEL IV
Procedure og betingelser for adgang til ind- og udrejsesystemet med henblik på retshåndhævelse
Artikel 29
Medlemsstaternes udpegede myndigheder
1.   Medlemsstaterne udpeger de myndigheder, der har ret til at søge i oplysninger i ind- og udrejsesystemet, med henblik på at forebygge, afsløre og efterforske terrorhandlinger og andre alvorlige strafbare handlinger.
2.   Hver medlemsstat fører en liste over udpegede myndigheder. Hver medlemsstat meddeler eu-LISA og Kommissionen, hvilke myndigheder den har udpeget, og kan til enhver tid ændre eller erstatte sin meddelelse.
3.   Hver medlemsstat udpeger et centralt adgangspunkt, der skal have adgang til ind- og udrejsesystemet. Det centrale adgangspunkt kontrollerer, at de betingelser for at anmode om adgang til ind- og udrejsesystemet, der er fastsat i artikel 32, er opfyldt.
Den udpegede myndighed og det centrale adgangspunkt kan være en del af samme organisation, hvis det er tilladt i henhold til national ret, men det centrale adgangspunkt skal handle fuldstændig uafhængigt af de udpegede myndigheder, når det udfører sine opgaver i henhold til denne forordning. Det centrale adgangspunkt skal være adskilt fra de udpegede myndigheder og må ikke modtage instrukser fra dem med hensyn til resultaterne af kontrollen, som det gennemfører uafhængigt.
Medlemsstaterne kan udpege mere end ét centralt adgangspunkt for at afspejle deres organisatoriske og forvaltningsmæssige struktur i forbindelse med opfyldelse af deres forfatningsmæssige eller retlige krav.
4.   Medlemsstaterne meddeler eu-LISA og Kommissionen, hvem deres centrale adgangspunkter er, og kan til enhver tid ændre eller erstatte deres meddelelser.
5.   På nationalt plan fører hver medlemsstat en liste over operative enheder inden for de udpegede myndigheder, der er bemyndiget til at anmode om adgang til oplysninger i ind- og udrejsesystemet gennem de centrale adgangspunkter.
6.   Kun behørigt bemyndiget personale hos de centrale adgangspunkter har ret til at få adgang til ind- og udrejsesystemet i medfør af artikel 31 og 32.
Artikel 30
Europol
1.   Europol udpeger en af sine operative enheder som »Europols udpegede myndighed« og bemyndiger den til at anmode om adgang til ind- og udrejsesystemet gennem Europols centrale adgangspunkt, jf. stk. 2, med henblik på at støtte og styrke medlemsstaternes indsats for at forebygge, afsløre og efterforske terrorhandlinger og andre alvorlige strafbare handlinger.
2.   Europol udpeger en specialiseret enhed med behørigt bemyndigede Europolansatte som Europols centrale adgangspunkt. Europols centrale adgangspunkt kontrollerer, at de betingelser for at anmode om adgang til ind- og udrejsesystemet, der er fastsat i artikel 33, er opfyldt.
Europols centrale adgangspunkt handler uafhængigt, når det udfører sine opgaver i henhold til denne forordning, og må ikke modtage instrukser Europols udpegede myndighed med hensyn til resultatet af kontrollen.
Artikel 31
Procedure for adgang til ind- og udrejsesystemet med henblik på retshåndhævelse
1.   En i artikel 29, stk. 5, omhandlet operativ enhed indgiver en begrundet elektronisk eller skriftlig anmodning til et centralt adgangspunkt, jf. artikel 29, stk. 3, om adgang til oplysninger i ind- og udrejsesystemet. Efter modtagelse af en anmodning om adgang kontrollerer et sådant centralt adgangspunkt, om betingelserne for adgang i artikel 32 er opfyldt. Hvis betingelserne for adgang er opfyldt, behandler et sådant centralt adgangspunkt anmodningen. De oplysninger i ind- og udrejsesystemet, hvortil der er givet adgang, sendes til en operativ enhed, jf. artikel 29, stk. 5, på en sådan måde, at datasikkerheden ikke bringes i fare.
2.   I et hastetilfælde, hvor det er nødvendigt at forebygge en overhængende fare for en persons liv i tilknytning til en terrorhandling eller en anden alvorlig strafbar handling, behandler et centralt adgangspunkt, jf. artikel 29, stk. 3, anmodningen straks og kontrollerer først efterfølgende, om alle betingelserne i artikel 32 er opfyldt, herunder om der rent faktisk forelå et hastetilfælde. Den efterfølgende kontrol skal finde sted uden unødigt ophold og under alle omstændigheder senest syv arbejdsdage efter behandlingen af anmodningen.
3.   Hvis en efterfølgende kontrol fastslår, at adgangen til oplysninger i ind- og udrejsesystemet ikke var berettiget, sletter alle de myndigheder, der fik adgang til de pågældende oplysninger, de oplysninger fra ind- og udrejsesystemet, som de fik adgang til, og underretter de relevante centrale adgangspunkter i de medlemsstater, hvor anmodningen blev indgivet, om sletningen.
Artikel 32
Betingelser for udpegede myndigheders adgang til oplysninger i ind- og udrejsesystemet
1.   De udpegede myndigheder har adgang til at søge i ind- og udrejsesystemet, hvor samtlige følgende betingelser er opfyldt:
a)
Adgang til søgning er nødvendig med henblik på forebyggelse, afsløring eller efterforskning af en terrorhandling eller en anden alvorlig strafbar handling.
b)
Adgang til søgning er nødvendig og står i et rimeligt forhold til formålet i en bestemt sag.
c)
Der er bevis for eller rimelige grunde til at antage, at søgning i oplysninger i ind- og udrejsesystemet vil bidrage til at forebygge, afsløre eller efterforske en af de pågældende strafbare handlinger, navnlig når der er begrundet mistanke om, at den mistænkte, gerningsmanden eller offeret for en terrorhandling eller en anden alvorlig strafbar handling falder ind under en kategori, der er omfattet af denne forordning.
2.   Der kan gives adgang til ind- og udrejsesystemet som et værktøj med henblik på identifikation af en ukendt mistænkt, en ukendt gerningsmand eller et ukendt formodet offer for en terrorhandling eller en anden alvorlig strafbar handling når følgende yderligere betingelser er opfyldt i tillæg til betingelserne i stk. 1:
a)
der er foretaget en forudgående søgning i nationale databaser, og
b)
for så vidt angår søgninger med fingeraftryk, der er iværksat en forudgående søgning i de øvrige medlemsstaters elektroniske fingeraftryksidentifikationssystemer i henhold til afgørelse 2008/615/RIA, hvor det er teknisk muligt at foretage sammenligninger af fingeraftryk, og den pågældende søgning enten er fuldt ud gennemført eller den pågældende søgning ikke er fuldt ud gennemført senest to dage efter dens iværksættelse.
De yderligere betingelser i første afsnit, litra a) og b), finder dog ikke anvendelse, hvis der er rimelige grunde til at antage, at en sammenligning med de øvrige medlemsstaters systemer ikke ville føre til verifikation af den pågældende registreredes identitet, eller i hastetilfælde, hvor der er behov for at forebygge en overhængende fare for en persons liv i tilknytning til en terrorhandling eller en anden alvorlig strafbar handling. Disse rimelige grunde skal indgå i den elektroniske eller skriftlige anmodning, der sendes af den udpegede myndigheds operative enhed til det eller de centrale adgangspunkter.
En anmodning om søgning i VIS vedrørende den samme registrerede kan indgives sideløbende med en anmodning om søgning i ind- og udrejsesystemet i henhold til betingelserne i Rådets afgørelse 2008/633/RIA 
(
41
)
.
3.   Adgang til ind- og udrejsesystemet som et værktøj med henblik på søgning i rejsehistorikken eller oplysninger om opholdsperioder på medlemsstaternes område for en kendt mistænkt, en kendt gerningsmand eller et kendt formodet offer for en terrorhandling eller en anden alvorlig strafbar handling skal gives, når betingelserne i stk. 1 er opfyldt.
4.   Søgning i ind- og udrejsesystemet med henblik på identifikation, jf. stk. 2, er begrænset til søgning i den individuelle sagsmappe ved brug af følgende oplysninger i ind- og udrejsesystemet:
a)
fingeraftryk af tredjelandsstatsborgere, der er fritaget for visumpligt, eller af indehavere af et FTD. Med henblik på at foretage denne søgning i ind- og udrejsesystemet kan latente fingeraftryk anvendes, og de kan derfor sammenlignes med de fingeraftryk, der er lagret i ind- og udrejsesystemet
b)
ansigtsbilleder.
Søgning i ind- og udrejsesystemet skal i tilfælde af et positivt søgningsresultat give adgang til eventuelle andre oplysninger i den individuelle sagsmappe, jf. artikel 16, stk. 1 og 6, artikel 17, stk. 1, og artikel 18, stk. 1.
5.   Søgning i ind- og udrejsesystemet med henblik på en tredjelandsstatsborgers rejsehistorik er begrænset til søgning ved brug af en eller flere af følgende ind- og udrejseoplysninger i den individuelle sagsmappe, i ind- og udrejseregistreringerne eller i registreringerne af nægtelse af indrejse:
a)
efternavn(e), fornavn(e), fødselsdato, nationalitet(er), køn
b)
rejsedokumentets eller rejsedokumenternes type og nummer, kode bestående af tre bogstaver for det udstedende land samt dato for udløb af rejsedokumentets eller rejsedokumenternes gyldighed
c)
nummer på visummærkat og dato for udløb af visummets gyldighed
d)
fingeraftryk, herunder latente fingeraftryk
e)
ansigtsbillede
f)
dato og tidspunkt for indrejse, myndighed, der har tilladt indrejsen, og grænseovergangssted for indrejse
g)
dato og tidspunkt for udrejse og grænseovergangssted for udrejse.
Søgning i ind- og udrejsesystemet skal i tilfælde af et positivt søgeresultat give adgang til de oplysninger, der er anført i første afsnit, samt til eventuelle andre oplysninger i den individuelle sagsmappe, ind- og udrejseregistreringer og registreringer af nægtelse af indrejse, herunder oplysninger vedrørende inddragelse eller forlængelse af en tilladelse til kortvarigt ophold i overensstemmelse med artikel 19.
Artikel 33
Procedure og betingelser for Europols adgang til ind- og udrejsesystemet
1.   Europol skal have adgang til at søge i ind- og udrejsesystemet, hvis alle følgende betingelser er opfyldt:
a)
Søgningen er nødvendig med henblik på at støtte og styrke medlemsstaternes indsats for at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger, der er omfattet af Europols mandat.
b)
Søgningen er nødvendig og står i et rimeligt forhold til formålet i en bestemt sag.
c)
Der er bevis for eller rimelige grunde til at antage, at søgningen i oplysninger i ind- og udrejsesystemet vil bidrage til at forebygge, afsløre eller efterforske en af de pågældende strafbare handlinger, navnlig når der er begrundet mistanke om, at den mistænkte, gerningsmanden eller offeret for en terrorhandling eller en anden alvorlig strafbar handling falder ind under en kategori, der er omfattet af denne forordning.
2.   Adgang til ind- og udrejsesystemet som et værktøj med henblik på identifikation af en ukendt mistænkt, en ukendt gerningsmand eller et ukendt formodet offer for en terrorhandling eller en anden alvorlig strafbar handling er tilladt, hvis betingelserne i stk. 1 er opfyldt, og den prioriterede søgning i de oplysninger, som er lagret i de databaser, der er teknisk og retligt tilgængelige for Europol, ikke har gjort det muligt at identificere den pågældende person.
En anmodning om søgning i VIS vedrørende den samme registrerede kan indgives sideløbende med en anmodning om søgning i ind- og udrejsesystemet i henhold til betingelserne i afgørelse 2008/633/RIA.
3.   Betingelserne i artikel 32, stk. 3, 4 og 5, finder tilsvarende anvendelse.
4.   Europols udpegede myndighed kan indgive en begrundet elektronisk anmodning om søgning i alle oplysninger i ind- og udrejsesystemet eller et bestemt sæt oplysninger i ind- og udrejsesystemet til Europols centrale adgangspunkt, jf. artikel 30, stk. 2. Efter modtagelse af en anmodning om adgang kontrollerer Europols centrale adgangspunkt, om betingelserne for adgang i nærværende artikels stk. 1 og 2 er opfyldt. Hvis alle betingelserne for adgang er opfyldt, behandler det behørigt bemyndigede personale hos Europols centrale adgangspunkt anmodningen. De oplysninger i ind- og udrejsesystemet, hvortil der er givet adgang, sendes til Europols udpegede myndighed på en sådan måde, at datasikkerheden ikke bringes i fare.
5.   Europol behandler kun oplysninger modtaget ved søgning i ind- og udrejsesystemet efter tilladelse fra oprindelsesmedlemsstaten. Denne tilladelse indhentes via Europols nationale enhed i den pågældende medlemsstat.
KAPITEL V
LAGRING OG ÆNDRING AF OPLYSNINGER
Artikel 34
Datalagringsperiode
1.   Hver ind- eller udrejseregistrering eller registrering af nægtelse af indrejse, der er knyttet til en individuel sagsmappe, lagres i ind- og udrejsesystemets centrale system i tre år efter datoen for registrering af udrejse henholdsvis registrering af nægtelse af indrejse.
2.   Hver individuel sagsmappe lagres sammen med den eller de tilknyttede ind- og udrejseregistreringer eller registreringer af nægtelse af indrejse i ind- og udrejsesystemets centrale system i tre år og én dag efter datoen for den sidste udrejseregistrering eller registrering af nægtelse af indrejse, hvis der ikke er registreret indrejse inden for tre år fra datoen for den sidste udrejseregistrering eller registrering af nægtelse af indrejse.
3.   Hvis der ikke er registreret nogen udrejse efter datoen for udløb af det tilladte ophold, lagres oplysningerne i fem år efter udløbsdatoen for det tilladte ophold. Ind- og udrejsesystemet underretter automatisk medlemsstaterne tre måneder forud for planlagt sletning af oplysninger om personer, hvis tilladelse til ophold er udløbet, således at medlemsstaterne har mulighed for at træffe passende foranstaltninger.
4.   Uanset stk. 1 lagres hver ind- og udrejseregistrering, der er registreret for tredjelandsstatsborgere, som har den i artikel 2, stk. 1, litra b), omhandlede status, i ind- og udrejsesystemet i højst ét år efter sådanne tredjelandsstatsborgeres udrejse. Hvis der ikke findes en udrejseregistrering, lagres oplysningerne i en periode på fem år fra datoen for den sidste indrejseregistrering.
5.   Ved udløbet af lagringsperioden, jf. stk. 1-4, slettes de pågældende oplysninger automatisk fra ind- og udrejsesystemets centrale system.
Artikel 35
Ændring af oplysninger og sletning af oplysninger før tid
1.   Den ansvarlige medlemsstat har ret til at ændre oplysninger, som den har registreret i ind- og udrejsesystemet ved at berigtige, supplere eller slette oplysningerne.
2.   Hvis den ansvarlige medlemsstat har grund til at formode, at oplysninger, der er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige eller ufuldstændige, eller at oplysninger er blevet behandlet i ind- og udrejsesystemet i strid med denne forordning, skal den kontrollere de pågældende oplysninger og om nødvendigt straks berigtige eller supplere dem i eller slette dem fra ind- og udrejsesystemet og i givet fald fra den i artikel 12, stk. 3, omhandlede liste over identificerede personer. Oplysningerne kan også kontrolleres, berigtiges, suppleres eller slettes efter anmodning fra den berørte person, jf. artikel 52.
3.   Hvis en anden medlemsstat end den ansvarlige medlemsstat har grund til at formode, at oplysninger, der er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige eller ufuldstændige, eller at oplysninger er blevet behandlet i ind- og udrejsesystemet i strid med denne forordning, skal den uanset denne artikels stk. 1 og 2 kontrollere de pågældende oplysninger, hvis det er muligt at gøre dette uden at rette henvendelse til den ansvarlige medlemsstat, og om nødvendigt straks berigtige eller supplere dem i eller slette dem fra ind- og udrejsesystemet og i givet fald fra den i artikel 12, stk. 3, omhandlede liste over identificerede personer. Hvis det ikke er muligt at kontrollere de pågældende oplysninger uden at rette henvendelse til den ansvarlige medlemsstat, skal den kontakte myndighederne i den ansvarlige medlemsstat inden for syv dage, hvorefter den ansvarlige medlemsstat kontrollerer oplysningernes rigtighed og lovligheden af behandlingen af disse inden for en måned. Oplysningerne kan også kontrolleres, berigtiges, suppleres eller slettes efter anmodning fra den berørte tredjelandsstatsborger, jf. artikel 52.
4.   Hvis en medlemsstat har grund til at formode, at visumrelaterede oplysninger, der er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige eller ufuldstændige, eller at oplysningerne er blevet behandlet i ind- og udrejsesystemet i strid med denne forordning, skal den først kontrollere rigtigheden af disse oplysninger i VIS og, om nødvendigt, berigtige eller supplere dem i eller slette dem fra ind- og udrejsesystemet. Er de oplysninger, der er registreret i VIS, de samme som dem, der er registreret i ind- og udrejsesystemet, underretter den straks den medlemsstat, der er ansvarlig for registreringen af disse oplysninger i VIS, gennem VIS' infrastruktur, jf. artikel 24, stk. 2, i forordning (EF) nr. 767/2008. Den medlemsstat, der er ansvarlig for registrering af oplysningerne i VIS, skal kontrollere de pågældende oplysninger og om nødvendigt straks berigtige eller supplere dem i eller slette dem fra VIS og underrette den berørte medlemsstat, som om nødvendigt straks berigtiger eller supplerer dem i eller sletter dem fra ind- og udrejsesystemet og i givet fald fra den i artikel 12, stk. 3, omhandlede liste over identificerede personer.
5.   De oplysninger om identificerede personer, der er omhandlet i artikel 12, slettes straks på den i nævnte artikel omhandlede liste og berigtiges eller suppleres i ind- og udrejsesystemet, hvis den berørte tredjelandsstatsborger i overensstemmelse med national ret i den ansvarlige medlemsstat eller i den medlemsstat, som en anmodning er fremsat til, fremlægger dokumentation for, at vedkommende var tvunget til at overskride varigheden af det tilladte ophold som følge af uforudsete og alvorlige begivenheder, at vedkommende har opnået ret til ophold, eller i tilfælde af fejl. Uden at det berører en eventuel administrativ eller udenretslig klageadgang, skal denne tredjelandsstatsborger have adgang til et effektivt retsmiddel for at sikre, at oplysningerne berigtiges, suppleres eller slettes.
6.   Hvis en tredjelandsstatsborger har opnået statsborgerskab i en medlemsstat eller er blevet omfattet af anvendelsesområdet for artikel 2, stk. 3, inden udløbet af den relevante periode, der er omhandlet i artikel 34, slettes den individuelle sagsmappe og de ind- og udrejseregistreringer, der i henhold til artikel 16 og 17 er knyttet til denne individuelle sagsmappe, og de registreringer af nægtelse af indrejse, der i henhold til artikel 18 er knyttet denne individuelle sagsmappe, straks og under alle omstændigheder senest fem arbejdsdage fra den dato, hvor tredjelandsstatsborgeren har opnået statsborgerskab i en medlemsstat eller er blevet omfattet af anvendelsesområdet for artikel 2, stk. 3, inden udløbet af det tidsrum, der er omhandlet i artikel 34, fra ind- og udrejsesystemet og i givet fald også fra den i artikel 12, stk. 3 omhandlede liste over identificerede personer af:
a)
den medlemsstat, hvor den pågældende har opnået statsborgerskab, eller
b)
den medlemsstat, der har udstedt en opholdstilladelse eller et opholdskort eller visum til længerevarende ophold.
Hvis en tredjelandsstatsborger har opnået statsborgerskab i Andorra, Monaco eller San Marino, eller hvis en tredjelandsstatsborger er i besiddelse af et pas, der er udstedt af Vatikanstaten, skal den pågældende informere de kompetente myndigheder i den medlemsstat, som vedkommende dernæst indrejser i, om denne ændring. Denne medlemsstat sletter straks den pågældendes oplysninger fra ind- og udrejsesystemet. Den pågældende tredjelandsstatsborger skal have adgang til et effektivt retsmiddel for at sikre, at oplysningerne slettes.
7.   Ind- og udrejsesystemets centrale system skal straks informere alle medlemsstaterne om sletning af oplysninger i ind- og udrejsesystemet og i givet fald fra den i artikel 12, stk. 3, omhandlede liste over identificerede personer.
8.   Hvis en anden medlemsstat end den ansvarlige medlemsstat har berigtiget, suppleret eller slettet oplysninger i overensstemmelse med denne forordning, bliver denne medlemsstat den ansvarlige medlemsstat for berigtigelsen, suppleringen eller sletningen. Ind- og udrejsesystemet skal registrere alle berigtigelser, suppleringer og sletninger af oplysninger.
KAPITEL VI
UDVIKLING, DRIFT OG ANSVARSOMRÅDER
Artikel 36
Kommissionens vedtagelse af gennemførelsesretsakter forud for udvikling
Kommissionen vedtager følgende gennemførelsesretsakter, som er nødvendige for udviklingen og den tekniske iværksættelse af ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, kommunikationsinfrastrukturen, den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister, navnlig foranstaltninger vedrørende:
a)
specifikationer af kvaliteten, opløsningen af og brugen af fingeraftryk til biometrisk verifikation og identifikation i ind- og udrejsesystemet
b)
specifikationer af kvaliteten, opløsningen og brugen af ansigtsbillede til biometrisk verifikation og identifikation i ind- og udrejsesystemet, herunder når det er taget på stedet eller udtrukket elektronisk fra eMRTD
c)
registrering af oplysninger, jf. artikel 16-20
d)
adgang til oplysninger, jf. artikel 23-33
e)
ændring, sletning og sletning før tid af oplysninger, jf. artikel 35
f)
lagring og adgang til logge, jf. artikel 46
g)
krav til ydeevne, herunder mindstekravene til teknisk udstyr og krav vedrørende ind- og udrejsesystemets biometriske ydeevne, navnlig med hensyn til den krævede falske positive identifikationsgrad, falske negative identifikationsgrad og grad af manglende registrering
h)
specifikationerne og betingelserne for den webtjeneste, der er omhandlet i artikel 13, herunder specifikke bestemmelser til beskyttelse af oplysningerne, når de gives af eller til transportvirksomheder
i)
etableringen og udformningen på højt niveau af interoperabilitet, jf. artikel 8
j)
specifikationerne og betingelserne for dataregistret, jf. artikel 63, stk. 2
k)
etableringen af listen over identificerede personer, jf. artikel 12, stk. 3, og proceduren for at gøre listen tilgængelig for medlemsstaterne
l)
specifikationerne for tekniske løsninger til forbindelse af centrale adgangspunkter, jf. artikel 31, 32 og 33, og af en teknisk løsning til indsamling af de nødvendige statistiske data, jf. artikel 72, stk. 8.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
I forbindelse med vedtagelsen af gennemførelsesretsakterne i nærværende artikels stk. 1, litra i), hører det udvalg, der er nedsat ved artikel 68 i denne forordning, det VIS-udvalg, der er nedsat ved artikel 49 i forordning (EF) nr. 767/2008.
Artikel 37
Udvikling og operationel forvaltning
1.   eu-LISA er ansvarlig for udvikling af ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, kommunikationsinfrastrukturen og den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system. eu-LISA er også ansvarlig for udvikling af den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister i overensstemmelse med de nærmere bestemmelser, der er omhandlet i artikel 13, stk. 7, og artikel 63, stk. 2, og de specifikationer og betingelser, der er vedtaget i henhold til artikel 36, stk. 1, litra h) og j).
eu-LISA fastlægger udformningen af ind- og udrejsesystemets fysiske arkitektur, herunder dets kommunikationsinfrastruktur, samt de tekniske specifikationer for ind- og udrejsesystemets centrale system, de ensartede grænseflader, kommunikationsinfrastrukturen, den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system, den i artikel 13 i nærværende forordning omhandlede webtjeneste og det i artikel 63, stk. 2, i nærværende forordning omhandlede dataregister og udviklingen af disse tekniske specifikationer. Disse tekniske specifikationer vedtages af eu-LISA's bestyrelse, forudsat at Kommissionen afgiver positiv udtalelse herom. eu-LISA gennemfører også eventuelle nødvendige tilpasninger til VIS, der følger af etableringen af interoperabilitet med ind- og udrejsesystemet samt af gennemførelsen af de ændringer af forordning (EF) nr. 767/2008, der er indeholdt i artikel 61 i nærværende forordning.
eu-LISA udvikler og iværksætter ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, kommunikationsinfrastrukturen, den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system, den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister snarest muligt, efter at Kommissionen har vedtaget foranstaltningerne i artikel 36.
Udviklingsarbejdet omfatter udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og samlet projektkoordinering.
Ved udviklingen og ved gennemførelsen af ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, kommunikationsinfrastrukturen, den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system, den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister skal eu-LISA's opgaver også være at:
a)
foretage en sikkerhedsrisikovurdering
b)
følge principperne om indbygget privatlivsbeskyttelse og privatlivsbeskyttelse som standard i hele livscyklussen for ind- og udrejsesystemets udvikling
c)
foretage en sikkerhedsrisikovurdering vedrørende den i artikel 8 omhandlede interoperabilitet med VIS og vurdere de nødvendige sikkerhedsforanstaltninger for gennemførelsen af interoperabiliteten med VIS.
2.   I udformnings- og udviklingsfasen nedsættes et programstyringsråd bestående af højst ti medlemmer. Det skal bestå af syv medlemmer udpeget af eu-LISA's bestyrelse blandt sine medlemmer eller suppleanter, formanden for ind- og udrejsesystemets rådgivende udvalg, omhandlet i artikel 69, et medlem, der repræsenterer eu-LISA, udpeget af dets administrerende direktør, og et medlem udpeget af Kommissionen. De medlemmer, der udpeges af eu-LISA's bestyrelse, vælges alene fra de medlemsstater, der i henhold til EU-retten er fuldt ud bundet af retsakterne om udvikling, oprettelse, drift og brug af alle de store IT-systemer, der forvaltes af eu-LISA, og som opfylder betingelserne i artikel 66, stk. 2.
Programstyringsrådet mødes regelmæssigt og mindst tre gange pr. kvartal. Det sikrer den hensigtsmæssige forvaltning af ind- og udrejsesystemets udformnings- og udviklingsfase og sikrer sammenhængen mellem centrale og nationale projekter vedrørende ind- og udrejsesystemet.
Programstyringsrådet indsender hver måned skriftlige rapporter til eu-LISA's bestyrelse om projektets fremskridt. Programstyringsrådet har ingen beslutningskompetence eller noget mandat til at repræsentere medlemmerne af eu-LISA's bestyrelse.
eu-LISA's bestyrelse fastsætter programstyringsrådets forretningsorden, som navnlig skal indeholde regler om:
a)
dets formandskab
b)
mødesteder
c)
forberedelsen af møder
d)
eksperters adgang til møder
e)
kommunikationsplan, der sikrer fuld information til ikkedeltagende medlemmer af eu-LISA's bestyrelse.
Programstyringsrådets formandskab varetages af en medlemsstat, der i henhold til EU-retten er fuldt ud bundet af retsakterne om udvikling, oprettelse, drift og brug af alle de store IT-systemer, der forvaltes af eu-LISA.
Alle rejse- og opholdsudgifter afholdt af medlemmerne af programstyringsrådet betales af eu-LISA, og artikel 10 i eu-LISA's forretningsorden finder tilsvarende anvendelse. eu-LISA yder sekretariatsbistand til programstyringsrådet.
I udformnings- og udviklingsfasen består ind- og udrejsesystemets rådgivende gruppe, omhandlet i artikel 69, af de nationale projektledere for ind- og udrejsesystemet og ledes af eu-LISA. Det mødes regelmæssigt og mindst tre gange pr. kvartal, indtil ind- og udrejsesystemet sættes i drift. Det aflægger efter hvert møde rapport til programstyringsrådet. Det yder teknisk ekspertise til støtte for programstyringsrådets opgaver og følger op på, hvor langt medlemsstaterne er nået med deres forberedelser.
3.   eu-LISA er ansvarligt for operationel forvaltning af ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system. eu-LISA sikrer i samarbejde med medlemsstaterne, at den bedste tilgængelige teknologi på grundlag af en cost-benefit-analyse til enhver tid anvendes til ind- og udrejsesystemets centrale system, de nationale ensartede grænseflader, kommunikationsinfrastrukturen, den sikre kommunikationskanal mellem ind- og udrejsesystemets centrale system og VIS' centrale system, den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister. eu-LISA er også ansvarligt for operationel forvaltning af kommunikationsinfrastrukturen mellem ind- og udrejsesystemets centrale system og de nationale ensartede grænseflader, den i artikel 13 omhandlede webtjeneste og det i artikel 63, stk. 2, omhandlede dataregister.
Operationel forvaltning af ind- og udrejsesystemet omfatter alle de opgaver, der er nødvendige for, at ind- og udrejsesystemet kan fungere 24 timer i døgnet alle ugens syv dage i overensstemmelse med denne forordning, navnlig det vedligeholdelsesarbejde og den tekniske udvikling, der er påkrævet for at sikre, at ind- og udrejsesystemet operationelt fungerer på et tilfredsstillende niveau, navnlig med hensyn til svartid for grænsemyndigheders søgninger i ind- og udrejsesystemets centrale system, i overensstemmelse med de tekniske specifikationer.
4.   eu-LISA sikrer, at de af dets personale, som skal arbejde med oplysninger i ind- og udrejsesystemet eller med oplysninger, der er lagret i ind- og udrejsesystemet, anvender hensigtsmæssige regler for tavshedspligt eller andre tilsvarende fortrolighedskrav, jf. dog artikel 17 i vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for Unionens øvrige ansatte som fastlagt i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
42
)
. Denne pligt gælder fortsat, når det pågældende personale er fratrådt deres stilling, eller deres aktiviteter er ophørt.
Artikel 38
Medlemsstaternes og Europols ansvarsområder
1.   Hver medlemsstat er ansvarlig for:
a)
integrationen af den eksisterende nationale grænseinfrastruktur og tilslutningen heraf til den nationale ensartede grænseflade
b)
organiseringen, forvaltningen, driften og vedligeholdelsen af sin eksisterende nationale grænseinfrastruktur og tilslutningen heraf til ind- og udrejsesystemet med henblik på artikel 6, undtagen artikel 6, stk. 2
c)
organiseringen af centrale adgangspunkter og deres tilslutning til den nationale ensartede grænseflade med henblik på retshåndhævelse
d)
forvaltningen af og ordningerne for adgang for det behørigt bemyndigede personale ved de kompetente nationale myndigheder til ind- og udrejsesystemet i medfør af denne forordning samt opstilling og regelmæssig ajourføring af en liste over dette personale og deres profiler.
2.   Hver medlemsstat udpeger en national myndighed, der skal give de i artikel 9, stk. 2, omhandlede kompetente myndigheder adgang til ind- og udrejsesystemet. Hver medlemsstat tilslutter den pågældende nationale myndighed til den nationale ensartede grænseflade. Hver medlemsstat tilslutter sine i artikel 29 omhandlede centrale adgangspunkter, til den nationale ensartede grænseflade.
3.   Hver medlemsstat benytter automatiske procedurer til behandling af oplysninger i ind- og udrejsesystemet.
4.   Medlemsstaterne sikrer, at ind- og udrejsekontrolinfrastrukturens tekniske ydeevne, dens tilgængelighed, varigheden af ind- og udrejsekontrollen og datakvaliteten overvåges nøje for at sikre, at de generelle krav til, at ind- og udrejsesystemet er velfungerende, og en effektiv ind- og udrejsekontrolproces er opfyldt.
5.   Før personale hos de myndigheder, der har adgang til ind- og udrejsesystemet, får bemyndigelse til at behandle oplysninger lagret i ind- og udrejsesystemet, skal de modtage relevant uddannelse i navnlig datasikkerhed og databeskyttelsesregler samt relevante grundlæggende rettigheder.
6.   Medlemsstaterne må ikke behandle oplysninger i eller fra ind- og udrejsesystemet til andre formål end dem, der er fastlagt i denne forordning.
7.   Europol påtager sig de forpligtelser, der er fastsat i stk. 1, litra d), og stk. 3, 5 og 6. Europol tilslutter og er ansvarlig for tilslutningen af Europols centrale adgangspunkt til ind- og udrejsesystemet.
Artikel 39
Ansvar for databehandling
1.   Med hensyn til behandling af personoplysninger i ind- og udrejsesystemet udpeger hver medlemsstat en myndighed, der skal betragtes som dataansvarlig i overensstemmelse med artikel 4, nr. 7), i forordning (EU) 2016/679, og som har det centrale ansvar for denne medlemsstats databehandling. Hver medlemsstat meddeler Kommissionen nærmere oplysninger om denne myndighed.
Hver medlemsstat sikrer, at de oplysninger, der indsamles og registreres i ind- og udrejsesystemet, behandles på lovlig måde, og navnlig at kun behørigt bemyndiget personale har adgang til oplysningerne med henblik på udførelse af deres opgaver. Den ansvarlige medlemsstat sikrer navnlig, at oplysningerne:
a)
indsamles på lovlig måde og med fuld respekt for den berørte tredjelandsstatsborgers menneskelige værdighed
b)
registreres på lovlig måde i ind- og udrejsesystemet
c)
er nøjagtige og ajourførte ved overførslen til ind- og udrejsesystemet.
2.   eu-LISA sikrer, at ind- og udrejsesystemet anvendes i overensstemmelse med denne forordning og de i artikel 36 omhandlede gennemførelsesretsakter. eu-LISA skal navnlig:
a)
træffe de nødvendige foranstaltninger for at garantere sikkerheden i ind- og udrejsesystemets centrale system og kommunikationsinfrastrukturen mellem ind- og udrejsesystemets centrale system og de nationale ensartede grænseflader, uden at dette berører medlemsstaternes ansvar
b)
sikre, at kun behørigt bemyndiget personale har adgang til oplysninger, der er behandlet i ind- og udrejsesystemet.
3.   eu-LISA underretter Europa-Parlamentet, Rådet og Kommissionen samt Den Europæiske Tilsynsførende for Databeskyttelse om de foranstaltninger, som det træffer i medfør af stk. 2 med henblik på at indlede driften af ind- og udrejsesystemet.
Artikel 40
Lagring af oplysninger i nationale registre og nationale ind- og udrejsesystemer
1.   En medlemsstat kan i sit nationale ind- og udrejsesystem eller tilsvarende nationale registre lagre de alfanumeriske oplysninger, som den har registreret i ind- og udrejsesystemet, i overensstemmelse med formålene med ind- og udrejsesystemet og under fuld overholdelse af EU-retten.
2.   Oplysningerne må ikke lagres længere i de nationale ind- og udrejsesystemer eller tilsvarende nationale registre, end de lagres i ind- og udrejsesystemet.
3.   Enhver anvendelse af oplysninger, som ikke er i overensstemmelse med stk. 1, skal betragtes som misbrug i henhold til de enkelte medlemsstaters nationale ret og EU-retten.
4.   Denne artikel skal ikke fortolkes således, at den kræver teknisk tilpasning af ind- og udrejsesystemet. Medlemsstaterne kan lagre oplysninger i henhold til denne artikel for egen regning og risiko og under anvendelse af egne tekniske midler.
Artikel 41
Videregivelse af oplysninger til tredjelande, internationale organisationer og private enheder
1.   Oplysninger, der er lagret i ind- og udrejsesystemet, må ikke overføres til eller stilles til rådighed for noget tredjeland, nogen international organisation eller nogen privat enhed.
2.   Uanset denne artikels stk. 1 må grænsemyndighederne eller immigrationsmyndighederne overføre de i artikel 16, stk. 1, og artikel 17, stk. 1, litra a), b) og c), i nærværende forordning omhandlede oplysninger til et tredjeland eller en international organisation opført i bilag I til nærværende forordning, hvis det i konkrete tilfælde er nødvendigt for at bevise tredjelandsstatsborgeres identitet udelukkende med henblik på tilbagesendelse, alene såfremt en af følgende betingelser er opfyldt:
a)
Kommissionen har vedtaget en afgørelse om, at beskyttelsen af personoplysninger i det pågældende tredjeland er tilstrækkelig, jf. artikel 45, stk. 3, i forordning (EU) 2016/679
b)
der er indført passende beskyttelsesforanstaltninger, jf. artikel 46 i forordning (EU) 2016/679, f.eks. gennem en gældende tilbagetagelsesaftale mellem Unionen eller en medlemsstat og det pågældende tredjeland
c)
artikel 49, stk. 1, litra d), i forordning (EU) 2016/679 finder anvendelse.
3.   De i artikel 16, stk. 1, og artikel 17, stk. 1, litra a), b) og c), i nærværende forordning omhandlede oplysninger må overføres i overensstemmelse med nærværende artikels stk. 2, alene såfremt alle følgende betingelser er opfyldt:
a)
oplysningerne overføres i henhold til de relevante bestemmelser i EU-retten, navnlig bestemmelser om databeskyttelse, herunder kapitel V i forordning (EU) 2016/679, og tilbagetagelsesaftaler og national ret i den medlemsstat, der overfører oplysningerne
b)
tredjelandet eller den internationale organisation har accepteret kun at anvende oplysningerne til det formål, hvortil de blev givet, og
c)
der er truffet en afgørelse om tilbagesendelse i henhold til direktiv 2008/115/EF vedrørende den berørte tredjelandsstatsborger, forudsat at fuldbyrdelsen af en sådan afgørelse om tilbagesendelse ikke er blevet suspenderet, og at den ikke er genstand for en klage, som kan føre til, at dens fuldbyrdelse suspenderes.
4.   Overførsel af personoplysninger til tredjelande eller til internationale organisationer i medfør af stk. 2 berører ikke rettighederne for ansøgere om og personer med international beskyttelse, navnlig for så vidt angår nonrefoulement.
5.   Personoplysninger, som en medlemsstat eller Europol har modtaget fra ind- og udrejsesystemets centrale system til retshåndhævelsesformål, må ikke overføres til eller stilles til rådighed for et tredjeland, en international organisation eller en privat enhed, der er etableret i eller uden for Unionen. Dette forbud gælder også, hvor sådanne oplysninger viderebehandles på nationalt plan eller blandt medlemsstaterne i henhold til direktiv (EU) 2016/680.
6.   Uanset denne artikels stk. 5 må oplysningerne i artikel 16, stk. 1, litra a), b) og c), artikel 16, stk. 2, litra a) og b), artikel 16, stk. 3, litra a) og b), og artikel 17, stk. 1, litra a), overføres af den udpegede myndighed til et tredjeland i konkrete tilfælde, alene såfremt alle følgende betingelser er opfyldt:
a)
der foreligger et ekstraordinært hastetilfælde, hvor der er:
i)
en overhængende fare i tilknytning til en terrorhandling, eller
ii)
en overhængende fare for en persons liv, og denne fare er knyttet til en alvorlig strafbar handling
b)
overførslen af oplysninger er nødvendig med henblik på at forebygge, afsløre eller efterforske en sådan terrorhandling eller sådanne alvorlige forbrydelser på den berørte medlemsstats område eller i det berørte tredjeland
c)
den udpegede myndighed har adgang til sådanne oplysninger i henhold til proceduren og betingelserne i artikel 31 og 32
d)
overførslen sker i overensstemmelse med de gældende betingelser i direktiv (EU) 2016/680, navnlig direktivets kapitel V
e)
tredjelandet indgiver en behørigt begrundet skriftlig eller elektronisk anmodning, og
f)
der sikres gensidig videregivelse af oplysninger om ind- og udrejseregistreringer, som det anmodende tredjeland er i besiddelse af, til de medlemsstater, der anvender ind- og udrejsesystemet.
Hvis en overførsel foretages på grundlag af dette stykkes første afsnit, skal en sådan overførsel dokumenteres, og dokumentationen skal på anmodning stilles til rådighed for den tilsynsmyndighed, der er oprettet i medfør af artikel 41, stk. 1, i direktiv (EU) 2016/680, og omfatte dato og tidspunkt for overførslen, oplysninger om den modtagende kompetente myndighed, begrundelse for overførslen og angivelse af de overførte personoplysninger.
Artikel 42
Betingelser for videregivelse af oplysninger til en medlemsstat, der endnu ikke anvender ind- og udrejsesystemet, og til en medlemsstat, hvorpå denne forordning ikke finder anvendelse
1.   Oplysningerne i artikel 16, stk. 1, litra a), b) og c), artikel 16, stk. 2, litra a) og b), artikel 16, stk. 3, litra a) og b), og artikel 17, stk. 1, litra a), må overføres af en udpeget myndighed til en medlemsstat, der endnu ikke anvender ind- og udrejsesystemet, og til en medlemsstat, på hvilken denne forordning ikke finder anvendelse, i konkrete tilfælde, alene såfremt alle følgende betingelser er opfyldt:
a)
der foreligger et ekstraordinært hastetilfælde, hvor der er:
i)
en overhængende fare i tilknytning til en terrorhandling, eller
ii)
en alvorlig strafbar handling
b)
overførslen af oplysninger er nødvendig med henblik på at forebygge, afsløre eller efterforske en sådan terrorhandling eller alvorlig strafbar handling
c)
den udpegede myndighed har adgang til sådanne oplysninger i henhold til proceduren og betingelserne i artikel 31 og 32
d)
direktiv (EU) 2016/680 finder anvendelse
e)
en behørigt begrundet skriftlig eller elektronisk anmodning er blevet indgivet, og
f)
der sikres gensidig videregivelse af oplysninger om ind- og udrejseregistreringer, som den anmodende medlemsstat er i besiddelse af, til de medlemsstater, der anvender ind- og udrejsesystemet.
Hvis en overførsel foretages på grundlag af dette stykkes første afsnit, skal en sådan overførsel dokumenteres, og dokumentationen skal på anmodning stilles til rådighed for den tilsynsmyndighed, der er oprettet i medfør af artikel 41, stk. 1, i direktiv (EU) 2016/680, og omfatte dato og tidspunkt for overførslen, oplysninger om den modtagende kompetente myndighed, begrundelse for overførslen og angivelse af de overførte personoplysninger.
2.   Hvis der videregives oplysninger i medfør af denne artikel, finder de samme betingelser som fastsat i artikel 43, stk. 1, artikel 45, stk. 1 og 3, artikel 48 og artikel 58, stk. 4, tilsvarende anvendelse.
Artikel 43
Datasikkerhed
1.   Den ansvarlige medlemsstat sørger for oplysningernes sikkerhed før og under overførsel til den nationale ensartede grænseflade. Hver medlemsstat sørger for sikkerheden af oplysninger, som den modtager fra ind- og udrejsesystemet.
2.   Hver medlemsstat træffer de nødvendige foranstaltninger vedrørende sin nationale grænseinfrastruktur, herunder en sikkerhedsplan og forretningskontinuitets- og katastrofeberedskabsplan, med henblik på:
a)
fysisk at beskytte oplysninger, herunder ved at udarbejde beredskabsplaner for beskyttelse af vigtig infrastruktur
b)
at forhindre, at personer uden bemyndigelse får adgang til databehandlingsudstyr og nationale anlæg, hvor medlemsstaten udfører operationer i overensstemmelse med formålene med ind- og udrejsesystemet
c)
at forhindre, at personer uden bemyndigelse læser, kopierer, ændrer eller fjerner datamedier
d)
at forhindre registrering af oplysninger og adgang til, ændring af eller sletning af lagrede personoplysninger uden bemyndigelse
e)
at forhindre brugen af automatiserede databehandlingssystemer af personer uden bemyndigelse ved anvendelse af datakommunikationsudstyr
f)
at forhindre behandling af oplysninger i ind- og udrejsesystemet samt ændring eller sletning af oplysninger, som er behandlet i ind- og udrejsesystemet, uden bemyndigelse
g)
at sikre, at personer, der er bemyndiget til at få adgang til ind- og udrejsesystemet, kun har adgang til oplysninger, der er omfattet af deres bemyndigelse, ved hjælp af individuelle og entydige brugeridentiteter og fortrolige adgangsmetoder
h)
at sikre, at alle myndigheder med ret til adgang til ind- og udrejsesystemet opretter profiler, der beskriver opgaver og ansvarsområder for personer, der er bemyndiget til at registrere, ændre, slette, hente og søge oplysninger, og stiller deres profiler til rådighed for tilsynsmyndighederne
i)
at sikre, at det er muligt at undersøge og fastslå, til hvilke organer personoplysninger må videregives via datatransmissionsudstyr
j)
at sikre, at det er muligt at undersøge og fastslå, hvilke oplysninger der er blevet behandlet i ind- og udrejsesystemet, samt hvornår, af hvem og til hvilket formål, de er blevet behandlet
k)
at forhindre læsning, kopiering, ændring eller sletning af personoplysninger uden bemyndigelse under overførsel af personoplysninger til eller fra ind- og udrejsesystemet eller under transport af datamedier, navnlig ved hjælp af passende krypteringsteknikker
l)
at sikre, at de installerede systemer i tilfælde af afbrydelse kan genetableres til normal drift
m)
at sikre pålidelighed ved at sørge for, at eventuelle funktionsfejl i ind- og udrejsesystemet indberettes behørigt
n)
at kontrollere effektiviteten af sikkerhedsforanstaltningerne i dette stykke og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern kontrol for at sikre overholdelse af denne forordning.
3.   For så vidt angår driften af ind- og udrejsesystemet træffer eu-LISA de nødvendige foranstaltninger med henblik på at opfylde målene i stk. 2, herunder vedtagelse af en sikkerhedsplan og en forretningskontinuitets- og katastrofeberedskabsplan. eu-LISA sikrer også pålidelighed ved at sørge for, at de nødvendige tekniske foranstaltninger er truffet for at sikre, at personoplysninger kan genoprettes i tilfælde af forvanskning på grund af fejlfunktioner i ind- og udrejsesystemet.
4.   eu-LISA og medlemsstaterne samarbejder for at sikre en harmoniseret tilgang til datasikkerhed på grundlag af en sikkerhedsrisikostyringsproces, der omfatter hele ind- og udrejsesystemet.
Artikel 44
Sikkerhedshændelser
1.   Enhver hændelse, der har eller kan have indvirkning på sikkerheden i ind- og udrejsesystemet og forårsage skade på eller tab af oplysninger, der er lagret i ind- og udrejsesystemet, skal anses for at være en sikkerhedshændelse, navnlig når ikke-bemyndiget adgang til oplysninger kan have forekommet, eller hvor oplysningernes tilgængelighed, integritet og fortrolighed er eller kan være blevet kompromitteret.
2.   Sikkerhedshændelse skal håndteres således, at en hurtig, effektiv og passende reaktion sikres.
3.   Med forbehold af anmeldelsen og kommunikationen af et brud på persondatasikkerheden, jf. artikel 33 i forordning (EU) 2016/679, artikel 30 i direktiv (EU) 2016/680 eller begge, underretter medlemsstaterne Kommissionen, eu-LISA og Den Europæiske Tilsynsførende for Databeskyttelse om sikkerhedshændelser. I tilfælde af en sikkerhedshændelse vedrørende ind- og udrejsesystemets centrale system underretter eu-LISA Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse.
4.   Oplysninger vedrørende en sikkerhedshændelse, der har eller kan have indvirkning på driften af ind- og udrejsesystemet eller på oplysningernes tilgængelighed, integritet og fortrolighed, skal forelægges medlemsstaterne og indberettes i overensstemmelse med den hændelsesstyringsplan, der skal leveres af eu-LISA.
5.   De berørte medlemsstater og eu-LISA samarbejder i tilfælde af en sikkerhedshændelse.
Artikel 45
Ansvar
1.   Enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af en ulovlig behandling eller enhver anden handling, der er i strid med denne forordning, har ret til erstatning fra den medlemsstat, som er ansvarlig for den lidte skade. Den pågældende medlemsstat fritages helt eller delvis for erstatningsansvar, hvis den beviser, at den på ingen måde er ansvarlig for den hændelse, der førte til skaden.
2.   Hvis en medlemsstats manglende opfyldelse af sine forpligtelser i henhold til denne forordning forårsager skade på ind- og udrejsesystemet, holdes den pågældende medlemsstat ansvarlig for skaden, medmindre og for så vidt eu-LISA eller en anden medlemsstat, der deltager i ind- og udrejsesystemet, ikke har truffet rimelige foranstaltninger for at forhindre skaden i at opstå eller for at begrænse dens omfang.
3.   Erstatningskrav mod en medlemsstat for skade, jf. stk. 1 og 2, er underlagt bestemmelserne i den indklagede medlemsstats nationale ret.
Artikel 46
eu-LISA's og medlemsstaternes føring af logge
1.   eu-LISA fører logge over alle databehandlinger i ind- og udrejsesystemet. Disse logge skal indeholde følgende:
a)
formålet med adgang, jf. artikel 9, stk. 2
b)
dato og tidspunkt
c)
de oplysninger, der er overført, jf. artikel 16-19
d)
de oplysninger, der er anvendt til en søgning, jf. artikel 23-27, og
e)
navn på den myndighed, der har registreret eller hentet oplysninger.
2.   For så vidt angår de i artikel 8 nævnte søgninger skal der ske logning af enhver databehandling, der foretages i ind- og udrejsesystemet og VIS i henhold til denne artikel og artikel 34 i forordning (EF) nr. 767/2008. eu-LISA sikrer navnlig, at der sker logning af de pågældende databehandlinger, når de kompetente myndigheder foretager databehandling direkte fra det ene system i det andet.
3.   Ud over stk. 1 og 2 fører hver medlemsstat logge over personale, som er behørigt bemyndiget til at behandle oplysninger i ind- og udrejsesystemet.
4.   Sådanne logge må kun bruges til overvågning af databeskyttelse, herunder til at kontrollere grundlaget for en anmodning og lovligheden af databehandlingen, og til at garantere datasikkerheden i overensstemmelse med artikel 43. Loggene skal beskyttes ved hjælp af passende foranstaltninger mod uautoriseret adgang og slettes et år efter udløbet af lagringsperioden i artikel 34, medmindre de er nødvendige til kontrolprocedurer, som allerede er indledt.
Artikel 47
Egenkontrol
Medlemsstaterne sikrer, at hver myndighed, der har ret til adgang til oplysninger i ind- og udrejsesystemet, træffer de foranstaltninger, der er nødvendige for at overholde denne forordning, og samarbejder i nødvendigt omfang med tilsynsmyndighederne.
Artikel 48
Sanktioner
Medlemsstaterne træffer de nødvendige foranstaltninger for at sikre, at enhver brug af oplysninger registreret i ind- og udrejsesystemet på en måde, der er i strid med denne forordning, kan straffes med sanktioner, som er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, i overensstemmelse med national ret, artikel 84 i forordning (EU) 2016/679 og artikel 57 i direktiv (EU) 2016/680.
Artikel 49
Databeskyttelse
1.   Forordning (EF) nr. 45/2001 finder anvendelse på eu-LISA's behandling af personoplysninger på grundlag af nærværende forordning.
2.   Forordning (EU) 2016/679 finder anvendelse på de nationale myndigheders behandling af personoplysninger på grundlag af nærværende forordning, med undtagelse af behandling til formålene omhandlet i artikel 1, stk. 2, i nærværende forordning.
3.   Direktiv (EU) 2016/680 finder anvendelse på medlemsstaternes udpegede myndigheders behandling af personoplysninger på grundlag af nærværende forordning til formålene omhandlet i artikel 1, stk. 2, i nærværende forordning.
4.   Forordning (EU) 2016/794 finder anvendelse på Europols behandling af personoplysninger på grundlag af nærværende forordning.
KAPITEL VII
RETTIGHEDER OG TILSYN MED HENSYN TIL DATABESKYTTELSE
Artikel 50
Ret til oplysninger
1.   Uden at dette berører retten til oplysninger efter artikel 13 i forordning (EU) 2016/679 underrettes tredjelandsstatsborgere, hvorom oplysninger skal registreres i ind- og udrejsesystemet, af den ansvarlige medlemsstat om følgende:
a)
at medlemsstaterne og Europol kan få adgang til ind- og udrejsesystemet med henblik på retshåndhævelse
b)
pligten for tredjelandsstatsborgere, der er fritaget for visumpligt, og for indehavere af et FTD, til at få taget fingeraftryk
c)
pligten for alle tredjelandsstatsborgere, der skal registreres i ind- og udrejsesystemet, til at få taget et ansigtsbillede
d)
at indsamling af oplysninger er obligatorisk med henblik på undersøgelse af, om indrejsebetingelserne er opfyldt
e)
at indrejse vil blive nægtet, hvis en tredjelandsstatsborger nægter at stille de krævede biometriske oplysninger til rådighed med henblik på registrering, verifikation eller identifikation i ind- og udrejsesystemet
f)
retten til at få oplysninger om den maksimalt resterende varighed af deres tilladte ophold i overensstemmelse med artikel 11, stk. 3
g)
at personoplysninger, der lagres i ind- og udrejsesystemet, kan overføres til et tredjeland eller en international organisation opført i bilag I med henblik på tilbagesendelse, til et tredjeland i overensstemmelse med artikel 41, stk. 6, og til medlemsstaterne i overensstemmelse med artikel 42
h)
retten til at anmode den dataansvarlige om indsigt i oplysninger om dem, og retten til at anmode om at få unøjagtige oplysninger om dem berigtiget, ufuldstændige personoplysninger om dem suppleret, ulovligt behandlede personoplysninger om dem slettet eller behandlingen heraf begrænset samt retten til at få oplysninger om procedurerne for udøvelse af disse rettigheder, herunder kontaktoplysninger for den dataansvarlige og tilsynsmyndighederne eller Den Europæiske Tilsynsførende for Databeskyttelse, hvis det er relevant, som behandler klager vedrørende beskyttelse af personoplysninger
i)
at der vil blive givet adgang til oplysninger i ind- og udrejsesystemet med henblik på grænseforvaltnings- og lempelsesformål, og at ophold ud over den tilladte varighed automatisk vil medføre, at deres oplysninger tilføjes på den i artikel 12, stk. 3, omhandlede liste over identificerede personer, samt hvilke konsekvenser ophold ud over den tilladte varighed kan få
j)
datalagringsperioden for ind- og udrejseregistreringer, registreringer af nægtelse af indrejse og for individuelle sagsmapper i henhold til artikel 34
k)
retten for personer, hvis tilladelse til ophold er udløbet, til at få deres personoplysninger slettet fra den i artikel 12, stk. 3 omhandlede liste over identificerede personer og berigtiget i ind- og udrejsesystemet, hvis de godtgør, at de overskred varigheden af det tilladte ophold som følge af uforudsete og alvorlige begivenheder
l)
retten til at indgive en klage til tilsynsmyndighederne.
2.   De oplysninger, der gives i medfør af stk. 1, skal gives skriftligt på enhver passende måde i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form, og den skal stilles til rådighed ved anvendelse af klart og almindeligt sprog i en sprogudgave, som den berørte person forstår eller med rimelighed kan antages at forstå, således at tredjelandsstatsborgere oplyses om deres rettigheder på det tidspunkt, hvor den individuelle sagsmappe for den pågældende person oprettes i overensstemmelse med artikel 16, 17 eller 18.
3.   Kommissionen opretter også et websted, som indeholder de oplysninger, der er omhandlet i stk. 1.
4.   Kommissionen vedtager gennemførelsesretsakter vedrørende udformningen af de oplysninger, der er omhandlet i denne artikels stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
5.   Kommissionen giver de oplysninger, der er omhandlet i denne artikels stk. 1, i en skabelon. Skabelonen udformes på en sådan måde, at det er muligt for medlemsstaterne at supplere den med yderligere medlemsstatsspecifikke oplysninger. De medlemsstatsspecifikke oplysninger skal mindst omfatte registreredes rettigheder, muligheden for bistand fra tilsynsmyndighederne samt kontaktoplysninger for den dataansvarlige, den databeskyttelsesansvarlige og tilsynsmyndighederne. Kommissionen vedtager gennemførelsesretsakter vedrørende specifikationerne og betingelserne for det websted, der er omhandlet i denne artikels stk. 3. Disse gennemførelsesretsakter vedtages forud for ind- og udrejsesystemets idriftsættelse efter undersøgelsesproceduren i artikel 68, stk. 2.
Artikel 51
Oplysningskampagne
Kommissionen skal i samarbejde med tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse lade idriftsættelsen af ind- og udrejsesystemet ledsage af en oplysningskampagne, der oplyser offentligheden og navnlig tredjelandsstatsborgere om ind- og udrejsesystemets formål, de i ind- og udrejsesystemet lagrede oplysninger, de myndigheder, der har adgang, og de berørte personers rettigheder. Sådanne oplysningskampagner skal udføres regelmæssigt.
Artikel 52
Ret til indsigt i og berigtigelse, supplering og sletning af personoplysninger samt til begrænsning af behandlingen heraf
1.   Anmodninger fra tredjelandsstatsborgere vedrørende rettighederne i artikel 15-18 i forordning (EU) 2016/679 kan rettes til den kompetente myndighed i enhver medlemsstat.
Den ansvarlige medlemsstat eller den medlemsstat, som anmodningen er fremsat til, skal besvare sådanne anmodninger inden for en frist på 45 dage efter modtagelsen af anmodningen.
2.   Hvis en anmodning om berigtigelse, supplering eller sletning af personoplysninger eller om begrænsning af behandlingen heraf fremsættes til en anden medlemsstat end den ansvarlige medlemsstat, kontrollerer myndighederne i den medlemsstat, som anmodningen er fremsat til, oplysningernes rigtighed og lovligheden af databehandlingen i ind- og udrejsesystemet inden for 30 dage efter modtagelse af anmodningen, hvis denne kontrol kan foretages uden at høre den ansvarlige medlemsstat. I modsat fald kontakter den medlemsstat, som anmodningen er fremsat til, myndighederne i den ansvarlige medlemsstat inden for syv dage, og den ansvarlige medlemsstat kontrollerer oplysningernes rigtighed og lovligheden af databehandlingen inden for 30 dage efter en sådan henvendelse.
3.   I tilfælde af at oplysninger, der er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige, ufuldstændige eller er blevet registreret ulovligt, berigtiger, supplerer eller sletter den ansvarlige medlemsstat eller i givet fald den medlemsstat, til hvilken en anmodning er fremsat, personoplysningerne eller begrænser behandlingen af personoplysningerne i overensstemmelse med artikel 35. Den ansvarlige medlemsstat eller i givet fald den medlemsstat, til hvilken anmodningen er fremsat, bekræfter straks skriftligt over for den pågældende person, at den har taget skridt til at berigtige, supplere eller slette denne persons personoplysninger eller til at begrænse behandlingen af disse personoplysninger.
I tilfælde af at visumrelaterede oplysninger, der er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige, ufuldstændige eller er blevet registreret ulovligt, kontrollerer den ansvarlige medlemsstat eller i givet fald den medlemsstat, til hvilken en anmodning er fremsat, først rigtigheden af oplysningerne i VIS og ændrer dem om fornødent i ind- og udrejsesystemet. Er de oplysninger, der er registreret i VIS, de samme som i ind- og udrejsesystemet, kontakter den ansvarlige medlemsstat eller i givet fald den medlemsstat, til hvilken anmodningen er fremsat, myndighederne i den medlemsstat, der er ansvarlig for registreringen af disse oplysninger i VIS, inden for syv dage. Den medlemsstat, der er ansvarlig for registreringen af oplysningerne i VIS, kontrollerer rigtigheden af de visumrelaterede oplysninger og lovligheden af behandlingen heraf i ind- og udrejsesystemet inden for 30 dage efter en sådan henvendelse og underretter den ansvarlige medlemsstat eller den medlemsstat, til hvilken anmodningen er fremsat, som om nødvendigt straks berigtiger eller supplerer den berørte persons personoplysninger eller begrænser behandlingen af disse oplysninger i eller sletter disse oplysninger fra ind- og udrejsesystemet og i givet fald fra den i artikel 12, stk. 3, omhandlede liste over identificerede personer.
4.   Hvis den ansvarlige medlemsstat eller i givet fald den medlemsstat, til hvilken en anmodning er fremsat, ikke er enig i, at de oplysninger, som er registreret i ind- og udrejsesystemet, er faktuelt unøjagtige, ufuldstændige eller ulovligt registreret, træffer denne medlemsstat straks en administrativ afgørelse, hvori den skriftligt begrunder over for den berørte tredjelandsstatsborger, hvorfor den ikke er villig til at berigtige, supplere eller slette personoplysningerne om vedkommende eller begrænse behandlingen af disse oplysninger.
5.   Den medlemsstat, som har vedtaget en administrativ afgørelse i henhold til denne artikels stk. 4, underretter ligeledes den pågældende tredjelandsstatsborger om, hvilke skridt vedkommende kan tage, hvis vedkommende ikke accepterer begrundelsen. Denne underretning skal indeholde oplysninger om, hvordan der kan anlægges sag eller indgives klage til de kompetente myndigheder eller domstole i den pågældende medlemsstat, og hvilken bistand, der kan ydes i henhold til den pågældende medlemsstats love, administrative bestemmelser og procedurer, herunder fra den tilsynsmyndighed, der er oprettet i medfør af artikel 51, stk. 1, i direktiv (EU) 2016/679.
6.   En anmodning fremsat i henhold til stk. 1 og 2 skal indeholde det nødvendige minimum af oplysninger til at identificere den berørte tredjelandsstatsborger. Til dette formål kan der kun anmodes om fingeraftryk i behørigt begrundede tilfælde, hvor der er væsentlig tvivl om ansøgerens identitet. De pågældende oplysninger må udelukkende anvendes til at muliggøre, at denne tredjelandsstatsborger kan udøve de i stk. 1 omhandlede rettigheder, og skal slettes umiddelbart derefter.
7.   Når en person fremsætter en anmodning i overensstemmelse med denne artikels stk. 1, registrerer den kompetente myndighed i den ansvarlige medlemsstat eller i den medlemsstat, som anmodningen er rettet til, i form af et skriftligt dokument, at en sådan anmodning er fremsat. Dette dokument skal indeholde oplysninger om, hvordan denne anmodning blev behandlet, og af hvilken myndighed. Den kompetente myndighed stiller det pågældende dokument til rådighed for den tilsynsmyndighed, der er oprettet i medfør af artikel 51, stk. 1, i forordning (EU) 2016/679, inden for syv dage.
Artikel 53
Samarbejde med henblik på at håndhæve databeskyttelsesrettigheder
1.   Medlemsstaternes kompetente myndigheder samarbejder aktivt med henblik på at håndhæve rettighederne i artikel 52.
2.   I hver medlemsstat bistår og rådgiver den tilsynsmyndighed, der er oprettet i medfør af artikel 51, stk. 1, i forordning (EU) 2016/679, på anmodning den registrerede i forbindelse med udøvelsen af dennes ret til at få berigtiget, suppleret eller slettet personoplysninger om vedkommende eller begrænset behandlingen af sådanne oplysninger i henhold til forordning (EU) 2016/679.
Med henblik på at nå de i første afsnit omhandlede mål samarbejder tilsynsmyndigheden i den ansvarlige medlemsstat, som har overført oplysninger, og tilsynsmyndigheden i den medlemsstat, hvortil en anmodning er fremsat, med hinanden.
Artikel 54
Klageadgang
1.   Uanset artikel 77 og 79 i forordning (EU) 2016/679 har enhver person i hver medlemsstat ret til at anlægge sag eller indgive klage til de kompetente myndigheder eller domstole i den medlemsstat, som nægtede den pågældende person ret til indsigt i eller ret til at få berigtiget, suppleret eller slettet oplysninger om vedkommende, jf. artikel 52 og artikel 53, stk. 2, i nærværende forordning. Retten til at anlægge sag eller indgive klage gælder også i tilfælde, hvor anmodninger om indsigt, berigtigelse, supplering eller sletning ikke blev besvaret inden for de tidsfrister, der er fastsat i artikel 52, eller hvor den dataansvarlige aldrig har behandlet dem.
2.   Bistand fra den tilsynsmyndighed, der er oprettet i overensstemmelse med artikel 51, stk. 1, i forordning (EU) 2016/679, skal være til rådighed under hele denne proces.
Artikel 55
Tilsynsmyndighedens tilsyn
1.   Hver medlemsstat sikrer, at den tilsynsmyndighed, der er oprettet i overensstemmelse med artikel 51, stk. 1, i forordning (EU) 2016/679, uafhængigt overvåger lovligheden af den pågældende medlemsstats behandling af personoplysninger, jf. kapitel II, III, V og VI i denne forordning, herunder overførsel heraf til og fra ind- og udrejsesystemet.
2.   Den tilsynsmyndighed, der er etableret i henhold til artikel 51, stk. 1, i forordning (EU) 2016/679, sikrer, at der mindst hvert tredje år fra ind- og udrejsesystemets idriftsættelse foretages revision af databehandlingen i den nationale grænseinfrastruktur i overensstemmelse med relevante internationale revisionsstandarder. Der kan tages hensyn til resultaterne af denne revision i de evalueringer, der foretages i henhold til den mekanisme, der er blevet oprettet ved Rådets forordning (EU) nr. 1053/2013 
(
43
)
. Den tilsynsmyndighed, der er etableret i henhold til artikel 51, stk. 1, i forordning (EU) 2016/679 offentliggør årligt antallet af anmodninger om berigtigelse, supplering eller sletning eller begrænsning af behandling af oplysninger, tiltag, der er foranlediget heraf, samt antallet af berigtigelser, suppleringer, sletninger og begrænsninger af behandling, der er foretaget som følge af anmodninger fra berørte personer.
3.   Medlemsstaterne sikrer, at deres tilsynsmyndighed, der er etableret i henhold til artikel 51, stk. 1, i forordning (EU) 2016/679, har tilstrækkelige ressourcer til at udføre de opgaver, som den er tillagt i henhold til denne forordning, og at den har adgang til rådgivning fra personer med tilstrækkelig viden om biometriske oplysninger.
4.   Medlemsstaterne giver alle de oplysninger, som den tilsynsmyndighed, der er etableret i henhold til artikel 51, stk. 1, i forordning (EU) 2016/679, anmoder om, og giver den navnlig oplysninger om de aktiviteter, der udføres i henhold til artikel 38, artikel 39, stk. 1, og artikel 43. Medlemsstater giver den tilsynsmyndighed, der er etableret i henhold til artikel 51, stk. 1, i forordning (EU) 2016/679, adgang til deres logge, jf. artikel 46, og giver den til enhver tid adgang til alle deres lokaliteter, der har forbindelse til ind- og udrejsesystemet.
Artikel 56
Den Europæiske Tilsynsførende for Databeskyttelses tilsyn
1.   Den Europæiske Tilsynsførende for Databeskyttelse er ansvarlig for at føre tilsyn med eu-LISA's behandling af personoplysninger vedrørende ind- og udrejsesystemet og sikre, at denne behandling foretages i overensstemmelse med forordning (EF) nr. 45/2001 og nærværende forordning.
2.   Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at en revision af eu-LISA's behandling af personoplysninger i overensstemmelse med relevante internationale revisionsstandarder foretages mindst hvert tredje år. En rapport om denne revision sendes til Europa-Parlamentet, til Rådet, til Kommissionen, til eu-LISA og til tilsynsmyndighederne. eu-LISA skal have lejlighed til at fremsætte bemærkninger inden vedtagelse af rapporten.
3.   eu-LISA giver de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver denne adgang til alle dokumenter og til sine logge, jf. artikel 46, og giver til enhver tid denne adgang til alle sine lokaliteter.
Artikel 57
Samarbejde mellem tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse
1.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder aktivt inden for rammerne af deres respektive ansvarsområder og sikrer samordnet tilsyn med ind- og udrejsesystemet og de nationale grænseinfrastrukturer.
2.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse udveksler relevante oplysninger, bistår hinanden med at foretage audit og inspektion, undersøger enhver vanskelighed med fortolkning eller anvendelse af denne forordning, vurderer problemer med udøvelse af uafhængigt tilsyn eller med udøvelse af registreredes rettigheder, udarbejder harmoniserede forslag til fælles løsninger på eventuelle problemer og fremmer kendskabet til databeskyttelsesrettigheder, alt efter behov.
3.   Tilsynsmyndighederne og Den Europæiske Tilsynsførende for Databeskyttelse mødes med henblik på stk. 2 mindst to gange om året inden for rammerne af Det Europæiske Databeskyttelsesråd, der er oprettet ved forordning (EU) 2016/679 (»Det Europæiske Databeskyttelsesråd«). Det pågældende databeskyttelsesråd afholder udgifterne til disse møder og varetager organiseringen heraf. En forretningsorden vedtages på første møde. Øvrige arbejdsmetoder udvikles i fællesskab efter behov.
4.   Det Europæiske Databeskyttelsesråd sender hvert andet år en fælles aktivitetsrapport til Europa-Parlamentet, til Rådet, til Kommissionen og til eu-LISA. Den pågældende rapport skal indeholde et kapitel om hver medlemsstat, som udarbejdes af tilsynsmyndighederne i den pågældende medlemsstat.
Artikel 58
Beskyttelse af personoplysninger, hvortil der er givet adgang i overensstemmelse med kapitel IV
1.   Hver medlemsstat sikrer, at de nationale love og administrative bestemmelser, der er vedtaget i henhold direktiv (EU) 2016/680, også finder anvendelse på dens nationale myndigheders adgang til ind- og udrejsesystemet i overensstemmelse med denne forordnings artikel 1, stk. 2, herunder i forbindelse med rettighederne for de personer, hvis oplysninger der således gives adgang til.
2.   Den tilsynsmyndighed, der er oprettet i overensstemmelse med artikel 41, stk. 1, i direktiv (EU) 2016/680, skal foretage overvågning af lovligheden af medlemsstaternes adgang til personoplysninger i overensstemmelse med kapitel IV i denne forordning, herunder deres overførsel til og fra ind- og udrejsesystemet. Artikel 55, stk. 3 og 4, i denne forordning finder tilsvarende anvendelse.
3.   Europols behandling af personoplysninger i henhold til denne forordning foretages i overensstemmelse med forordning (EU) 2016/794 og overvåges af Den Europæiske Tilsynsførende for Databeskyttelse.
4.   Personoplysninger, der i overensstemmelse med kapitel IV gives adgang til i ind- og udrejsesystemet, må kun behandles med henblik på forebyggelse, afsløring eller efterforskning i en konkret sag, hvortil en medlemsstat eller Europol har anmodet om oplysningerne.
5.   Ind- og udrejsesystemets centrale system, de udpegede myndigheder, de centrale adgangspunkter og Europol fører registreringer over søgninger med henblik på at sætte den tilsynsmyndighed, der er etableret i henhold til artikel 41, stk. 1, i forordning (EU) 2016/680, og Den Europæiske Tilsynsførende for Databeskyttelse i stand til at føre tilsyn med, om databehandlingen overholder EU's og nationale databeskyttelsesregler. Med undtagelse af for dette formål skal personoplysninger såvel som registreringer af søgninger slettes fra alle nationale databaser og Europoldatabaser efter 30 dage, medmindre de pågældende oplysninger og registreringer er nødvendige i forbindelse med en konkret igangværende strafferetlig efterforskning, hvortil en medlemsstat eller Europol har anmodet om dem.
Artikel 59
Logning og dokumentation
1.   Hver medlemsstat og Europol sikrer, at alle databehandlinger som følge af anmodninger om adgang til oplysninger i ind- og udrejsesystemet i overensstemmelse med kapitel IV logges eller dokumenteres med henblik på at kontrollere grundlaget for den pågældende anmodning, overvåge lovligheden af databehandlingen og dataenes integritet og sikkerhed samt egenkontrol.
2.   Loggen eller dokumentationen skal i alle tilfælde vise:
a)
det nøjagtige formål med en anmodning om adgang til oplysninger i ind- og udrejsesystemet, herunder den pågældende terrorhandling eller de pågældende andre alvorlige strafbare handlinger, og hvad angår Europol, det nøjagtige formål med en anmodning om adgang
b)
de anførte rimelige grunde til ikke at foretage sammenligninger med andre medlemsstater i henhold til afgørelse 2008/615/RIA i overensstemmelse med artikel 32, stk. 2, litra b), i denne forordning
c)
henvisningen til den nationale sagsmappe
d)
dato og nøjagtigt tidspunkt for det centrale adgangspunkts anmodning om adgang til ind- og udrejsesystemets centrale system
e)
navnet på den myndighed, der har anmodet om adgang med henblik på søgning
f)
i givet fald anvendelse af hasteproceduren, jf. artikel 31, stk. 2, i denne forordning, og den afgørelse, der er truffet om efterfølgende kontrol
g)
de oplysninger, der er anvendt til søgning
h)
i overensstemmelse med nationale regler eller forordning (EU) 2016/794, den unikke brugerreference for den embedsmand, der har foretaget søgningen, og den embedsmand, der har givet ordre til søgningen.
3.   Logge og dokumentation må kun anvendes til at overvåge lovligheden af databehandling og for at sikre dataintegritet og -sikkerhed. Kun logge, der ikke indeholder personoplysninger, må anvendes til den i artikel 72 i denne forordning omhandlede overvågning og evaluering. Den tilsynsmyndighed, der er oprettet i overensstemmelse med artikel 41, stk. 1, i direktiv (EU) 2016/680, og som er ansvarlig for at kontrollere anmodningers grundlag og kontrollere lovligheden af databehandlingen og dataintegritet og -sikkerhed, skal på anmodning have adgang til disse logge med henblik på at kunne udføre sine opgaver.
KAPITEL VIII
ÆNDRINGER AF ANDRE EU-INSTRUMENTER
Artikel 60
Ændring af konventionen om gennemførelse af Schengenaftalen
I artikel 20 i konventionen om gennemførelse af Schengenaftalen foretages følgende ændringer:
1)
Stk. 2 affattes således:
»2.   Stk. 1 er ikke til hinder for, at den enkelte kontraherende part kan forlænge en udlændings ret til at opholde sig på denne parts område ud over 90 dage inden for en periode på 180 dage:
a)
under ekstraordinære omstændigheder, eller
b)
i medfør af en bilateral aftale, der er indgået inden denne konventions ikrafttræden, og meddelt til Kommissionen i overensstemmelse med stk. 2d.«
2)
Følgende stykker indsættes:
»2a.   En udlændings ophold på en kontraherende parts område kan forlænges i overensstemmelse med en bilateral aftale i medfør af stk. 2, litra b), på den pågældende udlændings anmodning, som skal indgives til den kontraherende parts kompetente myndigheder ved udlændingens indrejse eller i løbet af den pågældendes ophold senest den sidste arbejdsdag af vedkommendes ophold på 90 dage inden for en periode på 180 dage.
Hvis udlændingen ikke har indgivet en anmodning i løbet af opholdet på 90 dage inden for en periode på 180 dage, kan vedkommendes ophold forlænges på grundlag af en bilateral aftale indgået af en kontraherende part, og den pågældendes ophold ud over de 90 dage inden for en periode på 180 dage, der er gået forud for denne forlængelse, kan af den pågældende kontraherende parts kompetente myndigheder formodes at være lovligt, forudsat at udlændingen fremlægger troværdig dokumentation for kun at have opholdt sig på den pågældende kontraherende parts område i løbet af denne periode.
2b.   Hvis opholdet forlænges i medfør af denne artikels stk. 2, registrerer den kontraherende parts kompetente myndigheder oplysningerne vedrørende forlængelsen i den seneste relevante ind- og udrejseregistrering, der er knyttet til udlændingens individuelle sagsmappe i det ind- og udrejsesystem, der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2017/2226
 (
*1
)
. Sådanne oplysninger registreres i overensstemmelse med nævnte forordnings artikel 19.
2c.   Hvis opholdet forlænges i henhold til stk. 2, må den berørte udlænding kun opholde sig på den pågældende kontraherende parts område og skal udrejse ved den kontraherende parts ydre grænser.
Den kompetente myndighed, der har forlænget opholdet, underretter den berørte udlænding om, at forlængelsen af opholdet kun tillader, at den berørte udlænding opholder sig på den kontraherende parts område, og at vedkommende skal udrejse ved den kontraherende parts ydre grænser.
2d.   Senest den 30. marts 2018 meddeler de kontraherende parter Kommissionen teksten til deres relevante, gældende bilaterale aftaler, jf. stk. 2, litra b). Hvis en kontraherende part ophører med at anvende en af disse bilaterale aftaler, meddeler den dette til Kommissionen. Kommissionen offentliggør oplysninger om sådanne bilaterale aftaler i 
Den Europæiske Unions Tidende
, herunder som minimum de berørte medlemsstater og tredjelande, rettighederne for udlændinge som følge af disse bilaterale aftaler og eventuelle ændringer heraf.«
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/2226 af 30. november 2017 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) nr. 767/2008 og (EU) nr. 1077/2011 (
EUT L 327 af 9.12.2017, s. 20
).«
                                       "
Artikel 61
Ændring af forordning (EF) nr. 767/2008
I forordning (EF) nr. 767/2008 foretages følgende ændringer:
1)
Artikel 10, stk. 1, ændres således:
a)
følgende litra indsættes:
»da)
om fornødent, oplysninger om, at visummet er blevet udstedt med begrænset territorial gyldighed i henhold til artikel 25, stk. 1, litra b), i forordning (EF) nr. 810/2009«
b)
følgende litra tilføjes:
»l)
om fornødent, personens status med angivelse af, at tredjelandsstatsborgeren er familiemedlem til en unionsborger, på hvem Europa-Parlamentets og Rådets direktiv 2004/38/EF
 (
*2
)
 finder anvendelse, eller til en tredjelandsstatsborger, der har ret til fri bevægelighed ligestillet med unionsborgeres ret i henhold til en aftale mellem Unionen og dens medlemsstater på den ene side og et tredjeland på den anden side.
(
*2
)
  Europa-Parlamentets og Rådets direktiv 2004/38/EF af 29. april 2004 om unionsborgeres og deres familiemedlemmers ret til at færdes og opholde sig frit på medlemsstaternes område, om ændring af forordning (EØF) nr. 1612/68 og om ophævelse af direktiv 64/221/EØF, 68/360/EØF, 72/194/EØF, 73/148/EØF, 75/34/EØF, 75/35/EØF, 90/364/EØF, 90/365/EØF og 93/96/EØF (
EUT L 158 af 30.4.2004, s. 77
).«
                                                         "
2)
I artikel 13 tilføjes følgende stykke:
»3.   Når der er truffet afgørelse om at annullere eller inddrage et visum, henter og eksporterer den visummyndighed, der har truffet afgørelsen, straks de oplysninger, der er anført i artikel 19, stk. 1, i Europa-Parlamentets og Rådets forordning nr. (EU) 2017/2226
 (
*3
)
, fra VIS til det ind- og udrejsesystem, der er oprettet ved nævnte forordning (»ind- og udrejsesystemet«).
(
*3
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/2226 af 30. november 2017 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) nr. 767/2008 og (EU) nr. 1077/2011 (
EUT L 327 af 9.12.2017, s. 20
).«
                                       "
3)
I artikel 14 tilføjes følgende stykke:
»3.   En visummyndighed, der har truffet afgørelse om at forlænge gyldighedsperioden, opholdets varighed eller begge for et udstedt visum, henter og eksporterer straks de oplysninger, der er anført i artikel 19, stk. 1, i forordning (EU) 2017/2226, fra VIS til ind- og udrejsesystemet.«
4)
I artikel 15 foretages følgende ændringer:
a)
stk. 2, litra b) og c), affattes således:
»b)
efternavn, fornavn(e), fødselsdato, nationalitet(er), køn
c)
rejsedokumentets type og nummer, kode bestående af tre bogstaver for det land, der har udstedt rejsedokumentet, og dato for udløb af rejsedokuments gyldighed«
b)
følgende stykker tilføjes:
»4.   Med henblik på at foretage søgning i ind- og udrejsesystemet for at behandle og træffe afgørelse om visumansøgninger i henhold til artikel 24 i forordning (EU) 2017/2226 gives den kompetente visummyndighed adgang til at søge i ind- og udrejsesystemet direkte fra VIS med en eller flere af de oplysninger, der er anført i nævnte artikel.
5.   Hvor søgning ved brug af de oplysninger, der er omhandlet i denne artikels stk. 2, viser, at der ikke er registreret oplysninger om en tredjelandsstatsborger i VIS, eller hvor der er tvivl om en tredjelandsstatsborgers identitet, gives den kompetente visummyndighed adgang til oplysninger med henblik på identifikation i overensstemmelse med artikel 20.«
5)
I kapitel III indsættes følgende artikel:
»Artikel 17a
Interoperabilitet med ind- og udrejsesystemet
1.   Fra idriftsættelsen af ind- og udrejsesystemet, jf. artikel 66, stk. 1, i forordning (EU) 2017/2226, etableres der interoperabilitet mellem ind- og udrejsesystemet og VIS for at gøre ind- og udrejsekontrol mere effektiv og hurtigere. Med henblik herpå etablerer eu-LISA en sikker kommunikationskanal mellem ind- og udrejsesystemets centrale system og det centrale VIS. Direkte søgning mellem ind- og udrejsesystemet og VIS er kun muligt, hvis der er hjemmel til det i både nærværende forordning og forordning (EU) 2017/2226. Indhentning af visumrelaterede oplysninger fra VIS, eksport heraf til ind- og udrejsesystemet og ajourføring af oplysninger fra VIS i ind- og udrejsesystemet skal være en automatisk proces, når den pågældende operation er iværksat af den berørte myndighed.
2.   Interoperabilitet skal gøre det muligt for de visummyndigheder, der bruger VIS, at søge i ind- og udrejsesystemet fra VIS:
a)
når de behandler og træffer afgørelse om visumansøgninger, jf. artikel 24 i forordning (EU) 2017/2226 og artikel 15, stk. 4, i nærværende forordning
b)
for at hente visumrelaterede oplysninger direkte fra VIS og eksportere dem til ind- og udrejsesystemet, hvis et visum annulleres, inddrages eller forlænges i henhold til artikel 19 i forordning (EU) 2017/2226 og artikel 13 og 14 i nærværende forordning.
3.   Interoperabilitet skal gøre det muligt for de grænsemyndigheder, der bruger ind- og udrejsesystemet, at søge i VIS fra ind- og udrejsesystemet med henblik på at:
a)
hente visumrelaterede oplysninger direkte fra VIS og importere dem i ind- og udrejsesystemet, sådan at en ind- og udrejseregistrering eller en registrering af nægtelse af indrejse for en visumindehaver kan oprettes eller ajourføres i ind- og udrejsesystemet, jf. artikel 14, 16 og 18 i forordning (EU) 2017/2226 og artikel 18a i nærværende forordning
b)
hente visumrelaterede oplysninger direkte fra VIS og importere dem i ind- og udrejsesystemet, hvis et visum annulleres, inddrages eller forlænges, jf. artikel 19 i forordning (EU) 2017/2226 og artikel 13 og 14 i nærværende forordning
c)
verificere ægtheden og gyldigheden af et visum, om betingelserne for indrejse på medlemsstaternes område, jf. artikel 6 i Europa-Parlamentets og Rådets forordning (EU) 2016/399
 (
*4
)
, er opfyldt, eller begge, jf. artikel 18, stk. 2, i nærværende forordning
d)
kontrollere, om tredjelandsstatsborgere, der er fritaget for visumpligt, og for hvilke en individuel sagsmappe i ind- og udrejsesystemet ikke er blevet registreret, tidligere er registreret i VIS, jf. artikel 23 i forordning (EU) 2017/2226 og artikel 19a i nærværende forordning
e)
verificere en visumindehavers identitet i VIS ved hjælp af fingeraftryk, når den pågældendes identitet skal verificeres ved hjælp af fingeraftryk, jf. artikel 23, stk. 2 og 4, i forordning (EU) 2017/2226 og artikel 18, stk. 6, i nærværende forordning.
4.   For driften af ind- og udrejsesystemets webtjeneste, der er omhandlet i artikel 13 i forordning (EU) 2017/2226, skal VIS dagligt opdatere den separate skrivebeskyttede database, der er omhandlet i artikel 13, stk. 5, i nævnte forordning, via et envejsudtræk af den mindste nødvendige delmængde af VIS-oplysninger.
5.   I overensstemmelse med artikel 36 i forordning (EU) 2017/2226 vedtager Kommissionen de nødvendige foranstaltninger til etablering og udformning på højt niveau af interoperabilitet. For at etablere interoperabilitet med ind- og udrejsesystemet sikrer forvaltningsmyndigheden den påkrævede videreudvikling og/eller tilpasning af det centrale VIS, den nationale grænseflade i hver medlemsstat og kommunikationsinfrastrukturen mellem det centrale VIS og de nationale grænseflader. Medlemsstaterne tilpasser og udvikler de nationale infrastrukturer.
(
*4
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/399 af 9. marts 2016 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (
EUT L 77 af 23.3.2016, s. 1
).«
                                                      "
6)
Artikel 18 affattes således:
»Artikel 18
Adgang til oplysninger med henblik på kontrol ved grænser, hvor ind- og udrejsesystemet anvendes
1.   De myndigheder, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, har udelukkende med henblik på at verificere visumindehavernes identitet, visas ægthed, tidsmæssige og territoriale gyldighed og status, eller hvorvidt betingelserne for indrejse på medlemsstaternes område i henhold til artikel 6 i forordning (EU) 2016/399 er opfyldt, eller begge, adgang til VIS med henblik på at søge ved brug af følgende oplysninger:
a)
efternavn, fornavn(e), fødselsdato, nationalitet(er), køn, rejsedokumentets type og nummer eller rejsedokumenternes typer og numre, kode bestående af tre bogstaver for det land, der har udstedt rejsedokumentet eller rejsedokumenterne, og dato for udløb af rejsedokuments eller rejsedokumenternes gyldighed, eller
b)
visummærkatnummeret.
2.   Når en søgning foretages i ind- og udrejsesystemet i medfør af artikel 23, stk. 2, i forordning (EU) 2017/2226, foretager den kompetente grænsemyndighed udelukkende til de formål, der er omhandlet i nærværende artikels stk. 1, en søgning i VIS direkte fra ind- og udrejsesystemet ved brug af de oplysninger, der er omhandlet i nærværende artikels stk. 1, litra a).
3.   Når en søgning foretages i ind- og udrejsesystemet i medfør af artikel 23, stk. 2 eller 4, i forordning (EU) 2017/2226, kan den kompetente grænsemyndighed uanset nærværende artikels stk. 2 søge i VIS uden at gøre brug af interoperabiliteten med ind- og udrejsesystemet, hvis særlige omstændigheder gør det nødvendigt, navnlig hvis det på grund af en tredjelandsstatsborgers særlige situation er mere hensigtsmæssigt at søge ved brug af de oplysninger, der er omhandlet i nærværende artikels stk. 1, litra b), eller hvis det midlertidigt er teknisk umuligt at søge oplysninger i ind- og udrejsesystemets oplysninger, eller hvis ind- og udrejsesystemet svigter.
4.   Hvis søgning med de oplysninger, der er anført i stk. 1, viser, at oplysninger er lagret i VIS om et eller flere udstedte eller forlængede visa, som stadig er gyldige og har territorial gyldighed med henblik på grænsepassage, gives den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, udelukkende til de formål, der er omhandlet i nærværende artikels stk. 1, adgang til at søge i følgende oplysninger indeholdt i det pågældende ansøgningsdossier og i dermed forbundne ansøgningsdossierer, jf. artikel 8, stk. 4:
a)
statusoplysningerne og oplysningerne fra ansøgningsskemaet, jf. artikel 9, nr. 2) og 4)
b)
fotografier
c)
de i artikel 10, 13 og 14 omhandlede oplysninger, indlæst vedrørende et visum eller visa, der er udstedt, annulleret eller inddraget, eller om et visum eller visa hvis gyldighed er forlænget.
Herudover skal den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, for så vidt angår visumindehavere, for hvem visse oplysninger ikke er påkrævet af retlige grunde eller rent faktisk ikke kan tilvejebringes, modtage en meddelelse vedrørende det eller de pågældende specifikke datafelter, som skal markeres som »ikke relevant«.
5.   Hvis søgning med de oplysninger, der er omhandlet i denne artikels stk. 1, viser, at der er registreret oplysninger om en person i VIS, men at intet gyldigt visum er registreret, gives den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, udelukkende til de formål, der er omhandlet i stk. 1, adgang til at søge i følgende oplysninger indeholdt i det eller de pågældende ansøgningsdossierer og i dermed forbundne ansøgningsdossierer, jf. artikel 8, stk. 4:
a)
statusoplysningerne og oplysningerne fra ansøgningsskemaet, jf. artikel 9, nr. 2) og 4)
b)
fotografier
c)
de i artikel 10, 13 og 14 indlæste oplysninger om et visum eller visa, der er udstedt, annulleret eller inddraget, eller om et visum eller visa hvis gyldighed er forlænget.
6.   Ud over de søgninger, der foretages i henhold til denne artikels stk. 1, verificerer den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, en persons identitet i VIS, hvis søgning med de oplysninger, der er omhandlet i denne artikels stk. 1, viser, at der er registreret oplysninger om personen i VIS, og en af følgende betingelser er opfyldt:
a)
Personens identitet kan ikke verificeres i ind- og udrejsesystemet i henhold til artikel 23, stk. 2, i forordning (EU) 2017/2226 på grund af følgende:
i)
visumindehaveren er endnu ikke registreret i ind- og udrejsesystemet
ii)
identiteten er ved det pågældende grænseovergangssted verificeret ved hjælp af fingeraftryk, jf. artikel 23, stk. 2, i forordning (EU) 2017/2226
iii)
der er tvivl om visumindehaverens identitet
iv)
andre grunde.
b)
Personens identitet kan verificeres i ind- og udrejsesystemet, men artikel 23, stk. 5, i forordning (EU) 2017/2226 finder anvendelse.
De myndigheder, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, verificerer en visumindehavers fingeraftryk ved at sammenligne dem med de fingeraftryk, der er registreret i VIS. For så vidt angår visumindehavere, hvis fingeraftryk ikke kan bruges, foretages den søgning, der er omhandlet i stk. 1, alene med de alfanumeriske oplysninger, der er fastsat i stk. 1.
7.   Med henblik på at verificere fingeraftryk i VIS som fastsat i stk. 6 kan den kompetente myndighed iværksætte en søgning fra ind- og udrejsesystemet i VIS.
8.   Hvor verifikation af en visumindehaver eller et visum mislykkes, eller der er tvivl om en visumindehavers identitet eller et visums eller et rejsedokuments ægthed, har de behørigt bemyndigede medarbejdere hos de myndigheder, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, adgang til oplysninger i overensstemmelse med artikel 20, stk. 1 og 2.«
7)
Følgende artikel indsættes:
»Artikel 18a
Indhentning af VIS-oplysninger med henblik på oprettelse eller opdatering af en visumindehavers ind- og udrejseregistrering eller registrering af nægtelse af indrejse i ind- og udrejsesystemet
Den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, gives udelukkende med henblik på at oprette eller ajourføre en visumindehavers ind- og udrejseregistrering eller registrering af nægtelse af indrejse i ind- og udrejsesystemet i medfør af artikel 14, stk. 2, og artikel 16 og 18 i forordning (EU) 2017/2226 adgang til fra VIS at hente og i ind- og udrejsesystemet at importere de oplysninger, der er lagret i VIS og anført i artikel 16, stk. 2, litra c)-f), i nævnte forordningen.«
8)
Følgende artikel indsættes:
»Artikel 19a
Anvendelse af VIS inden oprettelse i ind- og udrejsesystemet af de individuelle sagsmapper for tredjelandsstatsborgere, der er fritaget for visumpligt
1.   Med henblik på at kontrollere, om en person tidligere er blevet registreret i VIS, foretager de myndigheder, der har kompetence til at foretage kontrol ved grænseovergangssteder ved de ydre grænser i medfør af forordning (EU) 2016/399, søgning i VIS inden oprettelse i ind- og udrejsesystemet af en individuel sagsmappe for tredjelandsstatsborgere, der er fritaget for visumpligt, jf. artikel 17 i forordning (EU) 2017/2226.
2.   Når artikel 23, stk. 4, i forordning (EU) 2017/2226 finder anvendelse, og den søgning, der er omhandlet i artikel 27 i nævnte forordning, viser, at der ikke er registreret oplysninger om en tredjelandsstatsborger i ind- og udrejsesystemet, har den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, adgang til med henblik på nærværende artikels stk. 1 at søge i VIS ved brug af følgende oplysninger: efternavn, fornavn(e), fødselsdato, nationalitet(er), køn, rejsedokumentets type og nummer, kode bestående af tre bogstaver for det land, der har udstedt rejsedokumentet, og dato for udløb af rejsedokuments gyldighed.
3.   I forlængelse af en søgning i ind- og udrejsesystemet i medfør af artikel 23, stk. 4, i forordning (EU) 2017/2226 kan den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, udelukkende med henblik på nærværende artikels stk. 1 foretage en søgning i VIS direkte fra ind- og udrejsesystemet ved brug af de alfanumeriske oplysninger, der er anført i nærværende artikels stk. 2.
4.   Hvis en søgning ved brug af de oplysninger, der er anført i stk. 2, viser, at oplysningerne om tredjelandsstatsborgeren er registreret i VIS, verificerer den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, desuden tredjelandsstatsborgerens fingeraftryk ved at sammenligne dem med de fingeraftryk, der er registreret i VIS. Den pågældende myndighed kan foretage en sådan verifikation fra ind- og udrejsesystemet. For så vidt angår tredjelandsstatsborgere, hvis fingeraftryk ikke kan bruges, foretages søgningen alene med de alfanumeriske oplysninger, der er anført i stk. 2.
5.   Hvis søgning ved brug af de oplysninger, der er anført i denne artikels stk. 2, og den verifikation, der er udført i medfør af denne artikels stk. 4, viser, at der er registreret oplysninger om en person i VIS, gives den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, udelukkende til de formål, der er omhandlet i denne artikels stk. 1, adgang til at søge i følgende oplysninger i det eller de pågældende ansøgningsdossierer og i dermed forbundne ansøgningsdossierer, jf. artikel 8, stk. 4:
a)
statusoplysningerne og oplysningerne fra ansøgningsskemaet, jf. artikel 9, nr. 2) og 4)
b)
fotografier
c)
de i artikel 10, 13 og 14 omhandlede indlæste oplysninger om et visum eller visa, der er udstedt, annulleret eller inddraget, eller et visum eller visa hvis gyldighed er forlænget.
6.   Såfremt den verifikation, der er fastsat i denne artikels stk. 4 eller 5, mislykkes, eller der er tvivl om en persons identitet eller et rejsedokuments ægthed, har de behørigt bemyndigede medarbejdere hos de myndigheder, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, adgang til oplysninger i medfør af artikel 20, stk. 1 og 2. Den myndighed, som har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, kan fra ind- og udrejsesystemet iværksætte den identifikation, der er omhandlet i artikel 20.«
9)
Artikel 20, stk. 1, første afsnit, affattes således:
»1.   Udelukkende med henblik på at identificere enhver person, der tidligere kan være blevet registreret i VIS, eller som måske ikke eller ikke længere opfylder betingelserne for indrejse til eller ophold eller bopæl på medlemsstaternes område, har de myndigheder, der har kompetence til at foretage kontrol ved grænser, hvor ind- og udrejsesystemet anvendes, eller på medlemsstaternes område, adgang til at søge i VIS ved brug af den pågældende persons fingeraftryk for at fastslå, om betingelserne for indrejse til eller ophold eller bopæl på medlemsstaternes område er opfyldt.«
10)
I artikel 26 indsættes følgende stykke:
»3a.   Fra den 30. juni 2018 bliver forvaltningsmyndigheden ansvarlig for de opgaver, der er omhandlet i stk. 3.«
11)
I artikel 34 foretages følgende ændringer:
a)
stk. 1 affattes således:
»1.   Hver medlemsstat og forvaltningsmyndigheden fører registre over alle behandlinger af oplysninger i VIS. Disse registre skal vise
a)
formålet med adgangen, jf. artikel 6, stk. 1, og artikel 15-22
b)
datoen og tidspunktet
c)
den type oplysninger, der er fremsendt, jf. artikel 9-14
d)
den type oplysninger, der er anvendt til søgningen, jf. artikel 15, stk. 2, artikel 17, artikel 18, stk. 1 og 6, artikel 19, stk. 1, artikel 19a, stk. 2 og 4, artikel 20, stk. 1, artikel 21, stk. 1, og artikel 22, stk. 1, og
e)
navnet på den myndighed, der har indlæst eller hentet oplysningerne.
Endvidere fører hver medlemsstat registre over medarbejdere, som er behørigt bemyndiget til at indlæse eller hente oplysninger.«
b)
følgende stykke indsættes:
»1a.   For så vidt angår de behandlinger, der er anført i artikel 17a, skal der ske registrering af enhver databehandling, der foretages i VIS og ind- og udrejsesystemet i henhold til nærværende artikel og artikel 46 i forordning (EU) 2017/2226.«
Artikel 62
Ændring af forordning (EU) nr. 1077/2011
I forordning (EU) nr. 1077/2011 foretages følgende ændringer:
1)
Artikel 1, stk. 2, affattes således:
»2.   Agenturet er ansvarligt for den operationelle forvaltning af anden generation af Schengeninformationssystemet (SIS II), visuminformationssystemet (VIS), Eurodac og det ind- og udrejsesystem, der er oprettet ved Europa-Parlamentets og Rådets (EU) 2017/2226
 (
*5
)
 (»ind- og udrejsesystemet«).
(
*5
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/2226 af 30. november 2017 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) nr. 767/2008 og (EU) nr. 1077/2011 (
EUT L 327 af 9.12.2017, s. 20
).«
                                       "
2)
Følgende artikel indsættes:
»Artikel 5a
Opgaver vedrørende ind- og udrejsesystemet
I forbindelse med ind- og udrejsesystemet udfører agenturet:
a)
de opgaver, som det er pålagt ved Europa-Parlamentets og Rådets forordning (EU) 2017/2226
b)
opgaver vedrørende uddannelse i teknisk anvendelse af ind- og udrejsesystemet.«
3)
Artikel 7, stk. 5 og 6, affattes således:
»5.   Opgaver vedrørende den operationelle forvaltning af kommunikationsinfrastrukturen kan overdrages til eksterne private enheder eller organer i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012.
 (
*6
)
 Netværksudbyderen er i så fald omfattet af sikkerhedsforanstaltningerne i denne artikels stk. 4 og må på ingen måde have adgang til operationelle oplysninger i SIS II, VIS, Eurodac eller ind- og udrejsesystemet eller den til SIS II knyttede SIRENE-informationsudveksling.
6.   Med forbehold af gældende kontrakter vedrørende SIS II-, VIS-, Eurodac- og ind- og udrejsesystemnettet skal forvaltning af krypteringsnøgler forblive agenturets kompetence og må ikke udliciteres til eksterne private enheder.
(
*6
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 af 25. oktober 2012 om de finansielle regler vedrørende Unionens almindelige budget og om ophævelse af Rådets forordning (EF, Euratom) nr. 1605/2002 (
EUT L 298 af 26.10.2012, s. 1
).«
                                       "
4)
Artikel 8, stk. 1, affattes således:
»1.   Agenturet overvåger udviklingen inden for forskning, som er relevant for den operationelle forvaltning af SIS II, VIS, Eurodac, ind- og udrejsesystemet og andre store IT-systemer.«
5)
I artikel 12, stk. 1, foretages følgende ændringer:
a)
følgende litra indsættes:
»sa)
vedtage rapporter om udviklingen af ind- og udrejsesystemet i henhold til artikel 72, stk. 2, i forordning (EU) 2017/2226«
b)
litra t) affattes således:
»t)
vedtage rapporterne om den tekniske funktion af SIS II, jf. artikel 50, stk. 4, i forordning (EF) nr. 1987/2006 og artikel 66, stk. 4, i afgørelse 2007/533/RIA, af VIS, jf. artikel 50, stk. 3, i forordning (EF) nr. 767/2008 og artikel 17, stk. 3, i afgørelse 2008/633/RIA, og af ind- og udrejsesystemet, jf. artikel 72, stk. 4, i forordning (EU) 2017/2226«
c)
litra v) affattes således:
»v)
fremsætte bemærkninger til Den Europæiske Tilsynsførende for Databeskyttelses rapporter om audit, jf. artikel 45, stk. 2, i forordning (EF) nr. 1987/2006, artikel 42, stk. 2, i forordning (EF) nr. 767/2008, artikel 31, stk. 2, i forordning (EU) nr. 603/2013 og artikel 56, stk. 2, i forordning (EU) 2017/2226, og sikre passende opfølgning af disse audit«
d)
følgende litra indsættes:
»xa)
offentliggøre statistikker vedrørende ind- og udrejsesystemet, jf. artikel 63 i forordning (EU) 2017/2226«
e)
følgende litra indsættes:
»za)
sikre, at listen over kompetente myndigheder, jf. artikel 65, stk. 2, i forordning (EU) 2017/2226, offentliggøres hvert år«.
6)
Artikel 15, stk. 4, affattes således:
»4.   Europol og Eurojust kan deltage i bestyrelsens møder som observatører, når et spørgsmål vedrørende SIS II i forbindelse med anvendelsen af afgørelse 2007/533/RIA er på dagsordenen. Europol kan desuden deltage i bestyrelsens møder som observatør, når et spørgsmål vedrørende VIS i forbindelse med anvendelsen af afgørelse 2008/633/RIA, et spørgsmål vedrørende Eurodac i forbindelse med anvendelsen af forordning (EU) nr. 603/2013 eller et spørgsmål vedrørende ind- og udrejsesystemet i forbindelse med anvendelsen af forordning (EU) 2017/2226 er på dagsordenen.«
7)
I artikel 17 foretages følgende ændringer:
a)
stk. 5, litra g), affattes således:
»g)
fastlægge fortrolighedskrav for at efterkomme henholdsvis artikel 17 i forordning (EF) nr. 1987/2006, artikel 17 i afgørelse 2007/533/RIA, artikel 26, stk. 9, i forordning (EF) nr. 767/2008, artikel 4, stk. 4, i forordning (EU) nr. 603/2013 og artikel 37, stk. 4, i forordning (EU) 2017/2226, jf. dog artikel 17 i tjenestemandsvedtægten«
b)
i stk. 6 tilføjes følgende litra:
»k)
rapporter om status over udviklingen af ind- og udrejsesystemet, jf. artikel 72, stk. 2, i forordning (EU) (EU) 2017/2226.«
8)
I artikel 19 foretages følgende ændringer:
a)
i stk. 1 indsættes følgende litra:
»da)
Den Rådgivende Gruppe for Ind- og Udrejsesystemet«
b)
stk. 3 affattes således:
»3. Europol og Eurojust kan hver udpege en repræsentant til Den Rådgivende Gruppe for SIS II. Europol kan også udpege en repræsentant til Den Rådgivende Gruppe for VIS, Den Rådgivende Gruppe for Eurodac og Den Rådgivende Gruppe for Ind- og Udrejsesystemet.«
KAPITEL IX
AFSLUTTENDE BESTEMMELSER
Artikel 63
Anvendelse af oplysninger til rapportering og statistikker
1.   Det behørigt bemyndigede personale i medlemsstaternes kompetente myndigheder, Kommissionen og eu-LISA har udelukkende med henblik på rapportering og statistik uden mulighed for individuel identifikation og i overensstemmelse med de i artikel 10, stk. 2, omhandlede beskyttelsesforanstaltninger vedrørende ikkeforskelsbehandling adgang til at søge i følgende oplysninger:
a)
statusoplysninger
b)
tredjelandsstatsborgerens nationalitet, køn og fødselsår
c)
dato og grænseovergangssted for indrejse i en medlemsstat og dato og grænseovergangssted for udrejse fra en medlemsstat
d)
rejsedokumenttypen og koden på tre bogstaver for det udstedende land
e)
antallet af personer, der er identificeret som personer, hvis tilladelse til ophold er udløbet, jf. artikel 12, nationalitet for personer, der er identificeret som personer, hvis tilladelse til ophold er udløbet, og grænseovergangsstedet for indrejse
f)
registrerede oplysninger vedrørende alle ophold, hvortil tilladelsen er blevet inddraget eller forlænget
g)
i givet fald koden på tre bogstaver for den medlemsstat, der har udstedt visummet
h)
antal personer, der er fritaget for kravet om at afgive fingeraftryk i medfør af artikel 17, stk. 3 og 4
i)
antallet af tredjelandsstatsborgere, der er nægtet indrejse, nationaliteten af de tredjelandsstatsborgere, der er nægtet indrejse, grænsetype (land-, luft- eller søgrænse) for det grænseovergangssted, på hvilket indrejse blev nægtet og begrundelsen for at indrejse blev nægtet, jf. artikel 18, stk. 6, litra d).
Det behørigt bemyndigede personale i Det Europæiske Agentur for Grænse- og Kystbevogtning, der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/1624 
(
44
)
, har adgang til at søge i de i dette stykkes første afsnit omhandlede oplysninger med henblik på at foretage risikoanalyser og sårbarhedsvurderinger som omhandlet i artikel 11 og 13 i nævnte forordning.
2.   Med henblik på stk. 1 opretter og iværksætter eu-LISA og hoster et register på centralt plan i sine tekniske lokaliteter, som indeholder de i denne artikels stk. 1 omhandlede oplysninger. Dette register må ikke give mulighed for identifikation af enkeltpersoner, men skal give de myndigheder, der er omhandlet i denne artikels stk. 1, mulighed for at indhente tilpassede rapporter og statistikker om tredjelandsstatsborgeres ind- og udrejse og nægtelse af indrejse samt tilfælde af tredjelandsstatsborgeres ophold ud over den tilladte varighed, med henblik på at øge effektiviteten af ind- og udrejsekontrol, at bistå konsulater med at behandle visumansøgninger samt at understøtte evidensbaseret politisk EU-beslutningstagning vedrørende migration. Dette register skal også indeholde daglige statistikker om de oplysninger, der er omhandlet i stk. 4. Adgang til registret skal gives via en sikret adgang gennem TESTA med adgangskontrol og specifikke brugerprofiler udelukkende med rapportering og statistik som formål. Nærmere regler om driften af registret og den databeskyttelse og de sikkerhedsregler, der skal gælde for det, vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
3.   De procedurer, der er indført af eu-LISA med henblik på at følge udviklingen af ind- og udrejsesystemet og dets funktion, jf. artikel 72, stk. 1, skal omfatte mulighed for at udarbejde regelmæssige statistikker for at sikre en sådan overvågning.
4.   Hvert kvartal offentliggør eu-LISA statistikker vedrørende ind- og udrejsesystemet, der navnlig viser antal, nationalitet, alder, køn, opholdets varighed og grænseovergangssted ved indrejse for personer, hvis tilladelse til ophold er udløbet, tredjelandsstatsborgere, der er nægtet indrejse, herunder begrundelsen herfor, og tredjelandsstatsborgere, hvis tilladelse til ophold er blevet inddraget eller forlænget, samt antal tredjelandsstatsborgere, der er fritaget for kravet om at afgive fingeraftryk.
5.   Ved udgangen af hvert år udarbejdes der statistiske data i en årsrapport for det pågældende år. Statistikkerne skal indeholde en opdeling af data på hver medlemsstat. Rapporten offentliggøres og sendes til Europa-Parlamentet, til Rådet, til Kommissionen, til Det Europæiske Agentur for Grænse- og Kystbevogtning, til Den Europæiske Tilsynsførende for Databeskyttelse og til de nationale tilsynsmyndigheder.
6.   Efter anmodning fra Kommissionen skal eu-LISA forsyne denne med statistikker om særlige aspekter i forbindelse med gennemførelsen af denne forordning samt statistikker i medfør af stk. 3.
Artikel 64
Omkostninger
1.   Omkostningerne i forbindelse med oprettelsen og driften af ind- og udrejsesystemets centrale system, kommunikationsinfrastrukturen, den nationale ensartede grænseflade, webtjenesten og det i artikel 63, stk. 2, omhandlede register på centralt plan afholdes over Unionens almindelige budget.
2.   Omkostningerne ved integration af den eksisterende nationale grænseinfrastruktur og forbindelsen til den nationale ensartede grænseflade samt ved at hoste den nationale ensartede grænseflade afholdes over Unionens almindelige budget.
Følgende omkostninger dækkes ikke:
a)
medlemsstaternes projektforvaltningskontorer (møder, tjenesterejser og kontorer)
b)
hosting af nationale IT-systemer (lokaler, implementering, el, køling)
c)
drift af nationale IT-systemer (operatører og supportaftaler)
d)
tilpasning af eksisterende ind- og udrejsekontrolsystemer og politisystemer til nationale ind- og udrejsesystemer
e)
projektforvaltning af nationale ind- og udrejsesystemer
f)
udformning, udvikling, iværksættelse, drift og vedligeholdelse af nationale kommunikationsnet
g)
automatiske grænsekontrolsystemer, selvbetjeningssystemer og elektroniske paskontroller.
3.   Omkostningerne ved de centrale adgangspunkter, der er omhandlet i artikel 29 og 30, afholdes af henholdsvis den enkelte medlemsstat og Europol. Omkostningerne ved disse centrale adgangspunkters tilslutning til den nationale ensartede grænseflade og til ind- og udrejsesystemet afholdes af henholdsvis den enkelte medlemsstat og Europol.
4.   Hver medlemsstat og Europol opretter og vedligeholder for egen regning den tekniske infrastruktur, der er nødvendig for at gennemføre kapitel IV, og det påhviler dem at afholde de omkostninger, der er en følge af adgang til ind- og udrejsesystemet med henblik herpå.
Artikel 65
Underretninger
1.   Medlemsstaterne underretter Kommissionen om, hvilken myndighed der skal betragtes som dataansvarlig, jf. artikel 39.
2.   Medlemsstaterne underretter Kommissionen og eu-LISA om, hvilke kompetente myndigheder, jf. artikel 9, stk. 2, der har adgang til at registrere, berigtige, supplere, slette, indhente eller søge oplysninger. Tre måneder efter ind- og udrejsesystemets idriftsættelse i overensstemmelse med artikel 66 offentliggør eu-LISA en konsolideret liste over de pågældende myndigheder i 
Den Europæiske Unions Tidende
. Medlemsstaterne skal også straks underrette om alle ændringer heraf. I tilfælde af sådanne ændringer offentliggør eu-LISA én gang om året en ajourført konsolideret udgave af disse oplysninger.
3.   Medlemsstaterne underretter Kommissionen og eu-LISA om de myndigheder, som de har udpeget, og om deres centrale adgangspunkter, jf. artikel 29, og underretter straks om alle ændringer heraf.
4.   Europol underretter Kommissionen og eu-LISA om den myndighed, som det har udpeget, og sit centrale adgangspunkt, jf. artikel 30, og underretter straks om alle ændringer heraf.
5.   eu-LISA underretter Kommissionen, når den afprøvning, der er omhandlet i artikel 66, stk. 1, litra b), er afsluttet på tilfredsstillende vis.
6.   Kommissionen offentliggør hvert år de oplysninger, der er omhandlet i stk. 1, 3 og 4, i 
Den Europæiske Unions Tidende
. I tilfælde af ændringer heraf offentliggør Kommissionen en gang om året en ajourført konsolideret udgave af disse oplysninger. Kommissionen driver et løbende ajourført offentligt websted med disse oplysninger.
Artikel 66
Idriftsættelse
1.   Kommissionen fastsætter den dato, hvor ind- og udrejsesystemet sættes i drift, efter at følgende betingelser er opfyldt:
a)
De i artikel 36 og artikel 50, stk. 4 og 5, omhandlede foranstaltninger er vedtaget.
b)
eu-LISA har meddelt, at den omfattende afprøvning af ind- og udrejsesystemet, der skal gennemføres af eu-LISA sammen med medlemsstaterne, er afsluttet på tilfredsstillende vis.
c)
Medlemsstaterne har valideret de tekniske og retlige ordninger for indsamling og overførsel af de i artikel 16-20 omhandlede oplysninger til ind- og udrejsesystemet og har underrettet Kommissionen herom.
d)
Medlemsstaterne har foretaget de underretninger til Kommissionen, der er omhandlet i artikel 65, stk. 1, 2 og 3.
2.   Ind- og udrejsesystemet anvendes af:
a)
de medlemsstater, som anvender Schengenreglerne fuldt ud, og
b)
de medlemsstater, som endnu ikke anvender Schengenreglerne fuldt ud, men som opfylder alle følgende betingelser:
i)
verifikationen i overensstemmelse med de gældende Schengenevalueringsprocedurer er fuldført med et positivt resultat
ii)
Schengenreglernes bestemmelser om SIS er trådt i kraft i overensstemmelse med den relevante tiltrædelsesakt, og
iii)
Schengenreglernes bestemmelser om VIS, der er nødvendige for anvendelsen af ind- og udrejsesystemet som fastsat i denne forordning, er trådt i kraft i overensstemmelse med den relevante tiltrædelsesakt.
3.   En medlemsstat, der ikke er omfattet af stk. 2, tilsluttes ind- og udrejsesystemet, så snart betingelserne i stk. 1, litra b), c) og d), og stk. 2, litra b), er opfyldt. Kommissionen fastsætter den dato, hvor ind- og udrejsesystemet sættes i drift i den pågældende medlemsstat.
4.   Kommissionen underretter Europa-Parlamentet og Rådet om resultaterne af den afprøvning, der er gennemført i medfør af stk. 1, litra b).
5.   Kommissionens beslutning i medfør af stk. 1 og 3 offentliggøres i 
Den Europæiske Unions Tidende
.
6.   Medlemsstaterne og Europol påbegynder brug af ind- og udrejsesystemet fra den dato, som Kommissionen fastsætter i overensstemmelse med stk. 1 eller, hvor det er relevant, stk. 3.
Artikel 67
Ceuta and Melilla
Denne forordning berører ikke de særlige regler for byerne Ceuta og Melilla, som fastsat i erklæringen fra Kongeriget Spanien om byerne Ceuta og Melilla i slutakten til aftalen om Kongeriget Spaniens tiltrædelse af konventionen om gennemførelse af Schengenaftalen af 14. juni 1985.
Artikel 68
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
Artikel 69
Rådgivende gruppe
eu-LISA nedsætter en rådgivende gruppe og stiller ekspertise til rådighed for den vedrørende ind- og udrejsesystemet, navnlig i forbindelse med udarbejdelsen af dets årlige arbejdsprogram og dets årlige aktivitetsrapport. Under ind- og udrejsesystemets udformnings- og udviklingsfase finder artikel 37, stk. 2, anvendelse.
Artikel 70
Uddannelse
eu-LISA udfører opgaver vedrørende uddannelse i teknisk anvendelse af ind- og udrejsesystemet i overensstemmelse med forordning (EU) nr. 1077/2011.
Artikel 71
Praktisk vejledning
Kommissionen stiller i tæt samarbejde med medlemsstaterne, eu-LISA og andre relevante agenturer en praktisk vejledning i iværksættelse og forvaltning af ind- og udrejsesystemet til rådighed. Den praktiske vejledning skal indeholde tekniske og operationelle retningslinjer, anbefalinger og bedste praksis. Kommissionen vedtager vejledningen i form af en henstilling.
Artikel 72
Overvågning og evaluering
1.   eu-LISA sikrer, at der er indført procedurer til at overvåge udviklingen af ind- og udrejsesystemet i lyset af planlægnings- og omkostningsmålene og at overvåge ind- og udrejsesystemets funktion i lyset af målene for tekniske resultater, omkostningseffektivitet, sikkerhed og tjenestekvalitet.
2.   Senest den 30. juni 2018 og derefter hver sjette måned i udviklingsfasen af ind- og udrejsesystemet forelægger eu-LISA Europa-Parlamentet og Rådet en rapport om status over udviklingen af ind- og udrejsesystemets centrale system, de ensartede grænseflader og kommunikationsinfrastrukturen mellem ind- og udrejsesystemets centrale system og de ensartede grænseflader. Denne rapport skal indeholde detaljerede oplysninger om de afholdte udgifter og oplysninger om eventuelle risici, der kan have indvirkning på ind- og udrejsesystemets samlede omkostninger, som skal dækkes af Unionens almindelige budget i overensstemmelse med artikel 64, stk. 1, og stk. 2, første afsnit. Efter udviklingen af ind- og udrejsesystemet, forelægger eu-LISA Europa-Parlamentet og Rådet en rapport, som i detaljer forklarer, hvordan målene, navnlig vedrørende planlægning og omkostninger, er nået, og begrunder eventuelle afvigelser.
3.   Med henblik på den tekniske vedligeholdelse skal eu-LISA have adgang til de nødvendige oplysninger om databehandlingsprocesser i ind- og udrejsesystemet.
4.   To år efter idriftsættelsen af ind- og udrejsesystemet og derefter hvert andet år forelægger eu-LISA Europa-Parlamentet, Rådet og Kommissionen en rapport om, hvordan ind- og udrejsesystemet teknisk fungerer, herunder dets sikkerhed.
5.   Tre år efter idriftsættelsen af ind- og udrejsesystemet og derefter hvert fjerde år udarbejder Kommissionen en samlet evaluering af ind- og udrejsesystemet. Denne samlede evaluering skal omfatte:
a)
en vurdering af denne forordnings anvendelse
b)
en gennemgang af de opnåede resultater set i forhold til målene og indvirkningen på grundlæggende rettigheder
c)
en vurdering af, om de tilgrundliggende principper for ind- og udrejsesystemet fortsat er gyldige
d)
en vurdering af tilstrækkeligheden af de biometriske oplysninger, der anvendes for den korrekte funktion af ind- og udrejsesystemet
e)
en vurdering af brugen af stempler under de i artikel 21, stk. 2, omhandlede ekstraordinære omstændigheder
f)
en vurdering af ind- og udrejsesystemets sikkerhed
g)
en vurdering af eventuelle konsekvenser, herunder eventuelle uforholdsmæssigt store virkninger for trafikstrømmen ved grænseovergangssteder, og konsekvenser med budgetmæssige virkninger for EU's budget.
Evalueringen skal omfatte eventuelle nødvendige henstillinger. Kommissionen sender evalueringsrapporten til Europa-Parlamentet, til Rådet, til Den Europæiske Tilsynsførende for Databeskyttelse og til Den Europæiske Unions Agentur for Grundlæggende Rettigheder, der er oprettet ved Rådets forordning (EF) nr. 168/2007 
(
45
)
.
Disse evalueringer skal også indeholde en vurdering af brugen af de i artikel 60 omhandlede bestemmelser, både med hensyn til hyppighed — antal tredjelandsstatsborgere, der gør brug af disse bestemmelser pr. medlemsstat, deres nationalitet og gennemsnitlig varighed af deres ophold — og praktiske konsekvenser og skal tage hensyn til enhver relateret udvikling i Unionens visumpolitik. Den første evalueringsrapport kan omfatte valgmuligheder med henblik på at udfase de i artikel 60 omhandlede bestemmelser og erstatte dem med et EU-instrument. Den skal i givet fald ledsages af et lovgivningsforslag om ændring af de i artikel 60 omhandlede bestemmelser.
6.   Medlemsstaterne og Europol giver eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 4 og 5 omhandlede rapporter i henhold til de kvantitative indikatorer, som Kommissionen, eu-LISA eller begge på forhånd har fastlagt. Disse oplysninger må ikke skade arbejdsmetoder eller omfatte oplysninger, som afslører kilder, medarbejdere eller undersøgelser hos de udpegede myndigheder.
7.   eu-LISA giver Kommissionen de oplysninger, der er nødvendige for at foretage de samlede evalueringer, omhandlet i stk. 5.
8.   Under overholdelse af bestemmelser i national ret om offentliggørelse af følsomme oplysninger udarbejder hver medlemsstat og Europol årlige rapporter om nyttevirkningen af adgang til oplysninger i ind- og udrejsesystemet til retshåndhævelsesformål, som skal indeholde oplysninger og statistik om:
a)
hvorvidt søgningen blev foretaget med henblik på identifikation eller ind- og udrejseregistreringer, og typen af terrorhandlinger eller alvorlige strafbare handlinger, der gav anledning til søgningen
b)
begrundelsen for begrundet mistanke om, at den pågældende person var omfattet af denne forordning
c)
begrundelsen for ikke at foretage søgningen i andre medlemsstaters elektroniske fingeraftryksidentifikationssystemer i henhold til afgørelse 2008/615/RIA, jf. artikel 32, stk. 2, litra b), i denne forordning
d)
antal anmodninger om adgang til ind- og udrejsesystemet til retshåndhævelsesformål
e)
antal og type tilfælde, hvor adgang til ind- og udrejsesystemet til retshåndhævelsesformål førte til, at identifikationen lykkedes
f)
antal og type tilfælde, hvor den i artikel 31, stk. 2, og artikel 32, stk. 2, andet afsnit, omhandlede hasteprocedure blev anvendt, herunder tilfælde, hvor den hastende karakter ikke blev accepteret ved den efterfølgende kontrol foretaget af det centrale adgangspunkt.
Der stilles en teknisk løsning til rådighed for medlemsstaterne for at lette indsamlingen af de oplysninger, der er anført i dette stykkes første afsnit, med henblik på at generere de statistikker, der er omhandlet i dette stykke. Kommissionen vedtager gennemførelsesretsakter vedrørende specifikationerne for de tekniske løsninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 68, stk. 2.
Medlemsstaternes og Europols årlige rapporter sendes til Kommissionen senest den 30. juni i det efterfølgende år.
Artikel 73
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning finder anvendelse fra den dato, der fastsættes af Kommissionen i overensstemmelse med denne forordnings artikel 66, stk. 1, med undtagelse af følgende bestemmelser, som finder anvendelse fra den 29. december 2017: denne forordnings artikel 5, 36, 37, 38, 43 og 51, denne forordnings artikel 61, nr. 5), for så vidt angår artikel 17a, stk. 5, i forordning (EF) nr. 767/2008, nærværende forordnings artikel 61, nr. 10), for så vidt angår artikel 26, stk. 3a, i forordning (EF) nr. 767/2008, nærværende forordnings artikel 62, 64, 65, 66, 68, 69 og 70 og nærværende forordnings artikel 72, stk. 2.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Bruxelles, den 30. november 2017.
På Europa-Parlamentets vegne
A. TAJANI
Formand
På Rådets vegne
M. MAASIKAS
Formand
(
1
)
  
            
EUT C 487 af 28.12.2016, s. 66
.
(
2
)
  Europa-Parlamentets holdning af 25.10.2017 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 20.11.2017.
(
3
)
  Rådets beslutning 2004/512/EF af 8. juni 2004 om indførelse af visuminformationssystemet (VIS) (
EUT L 213 af 15.6.2004, s. 5
).
(
4
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1987/2006 af 20. december 2006 om oprettelse, drift og brug af anden generation af Schengen-informationssystemet (SIS II) (
EUT L 381 af 28.12.2006, s. 4
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/399 af 9. marts 2016 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (
EUT L 77 af 23.3.2016, s. 1
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1077/2011 af 25. oktober 2011 om oprettelse af et europæisk agentur for den operationelle forvaltning af store it-systemer inden for området med frihed, sikkerhed og retfærdighed (
EUT L 286 af 1.11.2011, s. 1
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008 af 9. juli 2008 om visuminformationssystemet (VIS) og udveksling af oplysninger mellem medlemsstaterne om visa til kortvarigt ophold (VIS-forordningen) (
EUT L 218 af 13.8.2008, s. 60
).
(
8
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (
EUT L 88 af 31.3.2017, s. 6
).
(
9
)
  Rådets rammeafgørelse 2002/584/RIA af 13. juni 2002 om den europæiske arrestordre og om procedurerne for overgivelse mellem medlemsstaterne (
EFT L 190 af 18.7.2002, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
11
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
12
)
  Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (
EUT L 210 af 6.8.2008, s. 1
).
(
13
)
  Europa-Parlamentets og Rådets direktiv 2004/38/EF af 29. april 2004 om unionsborgeres og deres familiemedlemmers ret til at færdes og opholde sig frit på medlemsstaternes område, om ændring af forordning (EØF) nr. 1612/68 og om ophævelse af direktiv 64/221/EØF, 68/360/EØF, 72/194/EØF, 73/148/EØF, 75/34/EØF, 75/35/EØF, 90/364/EØF, 90/365/EØF og 93/96/EØF (
EUT L 158 af 30.4.2004, s. 77
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
16
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
17
)
  
            
EFT L 239 af 22.9.2000, s. 19
.
(
18
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 515/2014 af 16. april 2014 om oprettelse af et instrument for finansiel støtte til forvaltning af de ydre grænser og den fælles visumpolitik som en del af Fonden for Intern Sikkerhed og om ophævelse af beslutning nr. 574/2007/EF (
EUT L 150 af 20.5.2014, s. 143
).
(
19
)
  Rådets afgørelse 2000/365/EF af 29. maj 2000 om anmodningen fra Det Forenede Kongerige Storbritannien og Nordirland om at deltage i visse bestemmelser i Schengen-reglerne (
EFT L 131 af 1.6.2000, s. 43
).
(
20
)
  Rådets afgørelse 2002/192/EF af 28. februar 2002 om anmodningen fra Irland om at deltage i visse bestemmelser i Schengen-reglerne (
EFT L 64 af 7.3.2002, s. 20
).
(
21
)
  
            
EFT L 176 af 10.7.1999, s. 36
.
(
22
)
  Rådets afgørelse 1999/437/EF af 17. maj 1999 om visse gennemførelsesbestemmelser til den aftale, som Rådet for Den Europæiske Union har indgået med Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og den videre udvikling af Schengen-reglerne (
EFT L 176 af 10.7.1999, s. 31
).
(
23
)
  
            
EUT L 53 af 27.2.2008, s. 52
.
(
24
)
  Rådets afgørelse 2008/146/EF af 28. januar 2008 om indgåelse, på Det Europæiske Fællesskabs vegne, af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (
EUT L 53 af 27.2.2008, s. 1
).
(
25
)
  Rådets afgørelse 2008/149/RIA af 28. januar 2008 om indgåelse, på Den Europæiske Unions vegne, af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (
EUT L 53 af 27.2.2008, s. 50
).
(
26
)
  
            
EUT L 160 af 18.6.2011, s. 21
.
(
27
)
  Rådets afgørelse 2011/350/EU af 7. marts 2011 om indgåelse, på Den Europæiske Unions vegne, af protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, navnlig for så vidt angår afskaffelsen af kontrollen ved de indre grænser og personbevægelser (
EUT L 160 af 18.6.2011, s. 19
).
(
28
)
  Rådets afgørelse 2011/349/EU af 7. marts 2011 om indgåelse, på Den Europæiske Unions vegne, af protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, navnlig for så vidt angår retligt samarbejde i straffesager og politisamarbejde (
EUT L 160 af 18.6.2011, s. 1
).
(
29
)
  Rådets afgørelse 2010/365/EU af 29. juni 2010 om anvendelse af Schengenreglernes bestemmelser om Schengeninformationssystemet i Republikken Bulgarien og Rumænien (
EUT L 166 af 1.7.2010, s. 17
).
(
30
)
  Rådets afgørelse (EU) 2017/733 af 25. april 2017 om anvendelsen af bestemmelserne i Schengenreglerne om Schengeninformationssystemet i Kroatien (
EUT L 108 af 26.4.2017, s. 31
).
(
31
)
  Rådets afgørelse (EU) 2017/1908 af 12. oktober 2017 om anvendelse af visse bestemmelser i Schengenreglerne om visuminformationssystemet i Republikken Bulgarien og Rumænien (
EUT L 269 af 19.10.2017, s. 39
).
(
32
)
  Rådets forordning (EF) nr. 1030/2002 af 13. juni 2002 om ensartet udformning af opholdstilladelser til tredjelandsstatsborgere (
EFT L 157 af 15.6.2002, s. 1
).
(
33
)
  Europa-Parlamentets og Rådets direktiv 2014/66/EU af 15. maj 2014 om indrejse- og opholdsbetingelser for virksomhedsinternt udstationerede tredjelandsstatsborgere (
EUT L 157 af 27.5.2014, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/801 af 11. maj 2016 om betingelserne for tredjelandsstatsborgeres indrejse og ophold med henblik på forskning, studier, praktik, volontørtjeneste, elevudvekslingsprogrammer eller uddannelsesprojekter, og au pair-ansættelse (
EUT L 132 af 21.5.2016, s. 21
).
(
35
)
  Europa-Parlamentets og Rådets direktiv 2013/32/EU af 26. juni 2013 om fælles procedurer for tildeling og fratagelse af international beskyttelse (
EUT L 180 af 29.6.2013, s. 60
).
(
36
)
  Rådets forordning (EF) nr. 377/2004 af 19. februar 2004 om oprettelse af et netværk af indvandringsforbindelsesofficerer (
EUT L 64 af 2.3.2004, s. 1
).
(
37
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 810/2009 af 13. juli 2009 om en fællesskabskodeks for visa (visumkodeks) (
EUT L 243 af 15.9.2009, s. 1
).
(
38
)
  Kommissionens beslutning 2008/602/EF af 17. juni 2008 om fastlæggelse af den fysiske arkitektur for og kravene til de nationale grænseflader og kommunikationsinfrastrukturen mellem det centrale VIS og de nationale grænseflader i udviklingsfasen (
EUT L 194 af 23.7.2008, s. 3
).
(
39
)
  Rådets forordning (EF) nr. 693/2003 af 14. april 2003 om indførelse af et særligt, forenklet transitdokument (FTD) og et forenklet jernbanetransitdokument (FRTD) samt om ændring af de fælles konsulære instrukser og Den Fælles Håndbog (
EUT L 99 af 17.4.2003, s. 8
).
(
40
)
  Europa-Parlamentets og Rådets direktiv 2008/115/EF af 16. december 2008 om fælles standarder og procedurer i medlemsstaterne for tilbagesendelse af tredjelandsstatsborgere med ulovligt ophold (
EUT L 348 af 24.12.2008, s. 98
).
(
41
)
  Rådets afgørelse 2008/633/RIA af 23. juni 2008 om adgang til søgning i visuminformationssystemet (VIS) for de udpegede myndigheder i medlemsstaterne og for Europol med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger og andre alvorlige strafbare handlinger (
EUT L 218 af 13.8.2008, s. 129
).
(
42
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
43
)
  Rådets forordning (EU) nr. 1053/2013 af 7. oktober 2013 om indførelse af en evaluerings- og overvågningsmekanisme til kontrol af anvendelsen af Schengenreglerne og om ophævelse af Eksekutivkomitéens afgørelse af 16. september 1998 om nedsættelse af et stående udvalg for evaluering og anvendelse af Schengenreglerne (
EUT L 295 af 6.11.2013, s. 27
).
(
44
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/1624 af 14. september 2016 om den europæiske grænse- og kystvagt og om ændring af Europa-Parlamentets og Rådets forordning (EU) 2016/399 og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 863/2007 Rådets forordning (EF) nr. 2007/2004, og Rådets beslutning 2005/267/EF (
EUT L 251 af 16.9.2016, s. 1
).
(
45
)
  Rådets forordning (EF) nr. 168/2007 af 15. februar 2007 om oprettelse af Den Europæiske Unions Agentur for Grundlæggende Rettigheder (
EUT L 53 af 22.2.2007, s. 1
).
BILAG I
LISTE OVER INTERNATIONALE ORGANISATIONER, DER ER OMHANDLET I ARTIKEL 41, STK. 2
1.
FN-organisationer (f.eks. UNHCR)
2.
Den Internationale Organisation for Migration (IOM)
3.
Den Internationale Røde Kors Komité.
BILAG II
SÆRLIGE BESTEMMELSER FOR TREDJELANDSSTATSBORGERE, SOM PASSERER GRÆNSEN PÅ GRUNDLAG AF ET GYLDIGT FTD
1)
Uanset denne forordnings artikel 16, stk. 1-3, skal grænsemyndighederne for så vidt angår tredjelandsstatsborgere, som passerer en grænse på grundlag af et gyldigt FTD:
a)
oprette eller ajourføre deres individuelle sagsmappe, som indeholder de oplysninger, der er omhandlet i denne forordnings artikel 17, stk. 1, litra a, b) og c). Deres individuelle sagsmappe skal desuden angive, at den pågældende tredjelandsstatsborger er indehaver af et FTD. Denne angivelse skal automatisk føre til, at den egenskab ved FTD'et, at det er gyldigt til flere indrejser, føjes til ind- og udrejseregistreringen
b)
for hver indrejse, som foregår på grundlag af et gyldigt FTD, i en ind- og udrejseregistrering registrere de oplysninger, der er omhandlet i denne forordnings artikel 16, stk. 2, litra a), b) og c), og angivelsen af, at indrejsen er foregået på grundlag af et FTD.
Med henblik på beregning af transittens maksimale varighed anses datoen og tidspunktet for indrejse som denne varigheds begyndelsestidspunkt. Datoen og tidspunktet for udløb af den tilladte transit beregnes automatisk af ind- og udrejsesystemet i overensstemmelse med artikel 3, stk. 2, i forordning (EF) nr. 693/2003.
2)
Ved første indrejse på grundlag af et FTD skal datoen for udløb af gyldigheden af FTD'et desuden registreres i ind- og udrejseregistreringen.
3)
Artikel 16, stk. 3 og 4, finder tilsvarende anvendelse på tredjelandsstatsborgere, der er indehaver af et FTD.
4)
Med henblik på kontrol ved en grænse, hvor ind- og udrejsesystemet anvendes, og på medlemsstaternes område, er tredjelandsstatsborgere, som passerer grænsen på grundlag af et gyldigt FTD, tilsvarende underkastet den verifikation og identifikation, der er omhandlet i artikel 23 og 26 i denne forordning og artikel 19a i forordning (EF) nr. 767/2008, som finder anvendelse på tredjelandsstatsborgere, der er fritaget for visumpligten.
5)
Nr. 1)-4) finder ikke anvendelse på tredjelandsstatsborgere, som passerer grænsen på grundlag af et gyldigt FTD, forudsat at alle følgende betingelser er opfyldt:
a)
de foretager transitten med tog, og
b)
de stiger ikke af på en medlemsstats område.

Summary:
Den Europæiske Unions ind- og udrejsesystem
RESUMÉ AF:
Forordning (EU) 2017/2226 om oprettelse af et ind- og udrejsesystem til registrering af oplysninger om ikke-EU-borgere, der passerer EU’s ydre grænser
Forordning (EU) 2017/2225 om ændring af Schengengrænsekodeksen for så vidt angår brugen af ind- og udrejsesystemet
HVAD ER FORMÅLET MED FORORDNINGERNE?
Forordning (EU) 2017/2226
 har til formål at forbedre effektiviteten af kontrollen ved 
Schengenområdets
 ydre grænser ved at oprette et centraliseret ind- og udrejsesystem for 
statsborgere, der kommer fra lande uden for 
Den Europæiske Union
 (EU)
 og passerer EU’s ydre grænser, med et kort ophold på op til 90 dage inden for en periode på 180 dage. Denne periode beregnes som en enkelt periode for alle lande, der bruger ind- og udrejsesystemet.
Ind- og udrejsesystemet bliver et automatiseret IT-system til registrering af ind- og udrejse af rejsende fra ikke-EU-lande ved de ydre grænser. Det kommer til at gælde for personer, som har brug for et visum til kortvarigt ophold, og personer, som er fra ikke-EU-lande, der er fritaget for visumpligt.
Ind- og udrejsesystemet vil generelt erstatte stempling af pas og levere pålidelige oplysninger om grænsepassager og effektivt opdage personer, hvis tilladelse til ophold er udløbet. Det vil desuden være en hjælp i bekæmpelsen af terrorisme og alvorlig kriminalitet.
Forordning (EU) 2017/2226 ændrer flere EU-retsakter:
Konventionen om gennemførelse af Schengenaftalen
 (se 
resumé
)
forordningerne om 
visuminformationssystemet
 (VIS) og om 
Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed
 (eu-LISA)
Schengengrænsekodeksen
, der fastsætter betingelser, kriterier og detaljerede regler for passage af EU’s ydre grænser.
Forordning (EU) 2017/2225
, der ændrer Schengengrænsekodeksen for så vidt angår 
brugen af ind- og udrejsesystemet
, er en særskilt 
lovgivningsmæssig retsakt
.
HOVEDPUNKTER
Genstand
Forordning (EU) 2017/2226 opretter 
ind- og udrejsesystemet
, et fælles elektronisk system, som:
registrerer og lagrer dato, tidspunkt og sted for ikke-EU-borgeres ind- og udrejse
 ved passage af EU’s grænser
automatisk 
beregner varigheden af sådanne ikke-EU-borgeres tilladte ophold
 og 
genererer indberetninger
 til EU’s 
medlemsstater
, når det tilladte ophold er udløbet.
Systemet 
erstatter kravet om at stemple ikke-EU-borgeres pas
.
Anvendelsesområde
Ind- og udrejsesystemet:
gælder for 
rejsende
, der passerer Schengenområdets ydre grænser, og som er underlagt visumpligt, herunder dem, der er fritaget for dette krav, og som har fået tilladelse til et kort ophold på 
op til 90 dage inden for en periode på 180 dage
registrerer også oplysninger om ikke-EU-borgere, hvis indrejse med henblik på kortvarigt ophold er blevet 
nægtet
fungerer ved de ydre grænser i medlemsstater, der anvender Schengen
reglerne
 fuldt ud og ved grænserne i medlemsstater, der — på det tidspunkt, hvor systemet idriftsættes — endnu ikke anvender 
Schengen
reglerne
 fuldt ud, men som har gennemført 
Schengenevalueringsproceduren
 og fået passiv adgang til VIS og fuld adgang til 
Schengeninformationssystemet
.
Datalagring og -tilgængelighed
Ind- og udrejsesystemet opbevarer oplysninger om 
identitets- og rejsedokumenter
 (fulde navn, fødselsdato osv.) 
sammen med biometriske oplysninger
 (fingeraftryk og ansigtsbilleder) samt 
dato og sted for ind- og udrejse
.
Disse oplysninger:
opbevares i 
tre år for de rejsende, der overholder reglerne
 om korte ophold, og i 
fem år
 for de, der overskrider den tilladte opholdsperiode
er 
tilgængelige
 for grænsemyndigheder, visumudstedende myndigheder og myndigheder med ansvar for at føre tilsyn med, om en ikke-EU-borger opfylder betingelserne for indrejse og ophold.
For at forebygge, afsløre eller efterforske terrorhandlinger eller andre alvorlige strafbare handlinger kan udpegede retshåndhævende myndigheder og 
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 (Europol) søge i ind- og udrejsesystemets oplysninger.
Teknisk opbygning
Ind- og udrejsesystemet består af:
et 
centralt system
, der omfatter en central digital database med biometriske og alfanumeriske oplysninger (en blanding af bogstaver og tal)
en 
national ensartet grænseflade
 i hvert deltagende land
en 
sikker kommunikationskanal
 mellem de centrale systemer i ind- og udrejsesystemet og i VIS
en sikker og krypteret kommunikationsinfrastruktur
 mellem det centrale system i ind- og udrejsesystemet og de nationale ensartede grænseflader (identiske grænseflader for alle medlemsstaterne forbinder deres grænseinfrastrukturer med det centrale system i ind- og udrejsesystemet)
et 
dataregister
 til at indhente tilpassede rapporter og statistikker
en 
webtjeneste
, hvor ikke-EU-borgere kan bekræfte deres resterende tilladte ophold.
eu-LISA, 
EU’s Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed, er 
ansvarlig for udvikling og drift af systemet
, herunder tilpasning af VIS for at sikre 
interoperabilitet
 mellem ind- og udrejsesystemet og VIS’ centrale systemer.
Ændringsforordning (EU) 
2024/1356
 tilpasser forordning (EU) 2017/2226 til indførelsen af screening af ikke-EU-borgere ved EU’s ydre grænser. Den giver blandt andet screeningsmyndighederne adgang til ind- og udrejsesystemet for at kontrollere, om enkeltpersoner kan udgøre en trussel mod den indre sikkerhed.
Ændring af Schengengrænsekodeksen
Forordning (EU) 2017/2225
 ændrer Schengengrænsekodeksen for så vidt angår brugen af ind- og udrejsesystemet ved EU’s ydre grænser som følger:
ikke-EU-borgeres 
ind- og udrejse
 
registreres direkte
 i ind- og udrejsesystemet
hvor der er udtrykkelig hjemmel hertil i national ret, kan en medlemsstat fortsat stemple en ikke-EU-borgers rejsedokumenter, hvis de har opholdstilladelse eller visum til længerevarende ophold udstedt af den pågældende medlemsstat
ikke-EU-borgere skal 
stille biometriske oplysninger til rådighed
 for at oprette deres individuelle sagsakter i ind- og udrejsesystemet eller til grænsekontrol
identitet
 og 
nationalitet
 af ikke-EU-borgere samt 
ægthed og gyldighed
 af deres 
rejsedokument
 til grænsepassage skal 
verificeres
medlemsstaterne kan frivilligt oprette nationale 
lempelsesprogrammer
 til ikke-EU-borgere, som på forhånd er sikkerhedstjekket
medlemsstaterne kan afgøre, om og i hvilket omfang de vil gøre brug af teknologier som for eksempel 
selvbetjeningssystemer til ikke-EU-borgere til forudregistrering eller opdatering af oplysninger i ind- og udrejsesystemet, 
elektroniske paskontroller
 og automatiske grænsekontrolsystemer
, såfremt et tilstrækkeligt sikkerhedsniveau sikres, at brugen af dem overvåges og at grænsevagter har adgang til resultaterne af grænsekontroller.
Gennemførelsesretsakter
Europa-Kommissionen
 har vedtaget en række retsakter, der gennemfører forordning (EU) 2017/2226:
Afgørelse (EU) 
2018/1547
 — specifikationerne for de centrale adgangspunkters tilslutning til ind- og udrejsesystemet og for en teknisk løsning til at lette medlemsstaternes indsamling af oplysninger med henblik på at generere statistikker om adgangen til oplysninger i ind- og udrejsesystemet til retshåndhævelsesformål
Afgørelse 
2018/1548
 — reglerne for udarbejdelse af listen over personer, der er identificeret som personer, hvis tilladelse til ophold er udløbet, i ind- og udrejsesystemet og proceduren for at gøre listen tilgængelig for medlemsstaterne
Afgørelse (EU) 
2019/326
 — foranstaltningerne med henblik på registrering af oplysninger i ind- og udrejsesystemet
Afgørelse (EU) 
2019/327
 — foranstaltningerne vedrørende adgangen til oplysningerne i ind- og udrejsesystemet
Afgørelse (EU) 
2019/328
 — foranstaltningerne vedrørende føring af og adgang til loggene i ind- og udrejsesystemet
Afgørelse (EU) 
2019/329
 — specifikationerne af kvaliteten, opløsningen og brugen af fingeraftryk og ansigtsbilleder til biometrisk verifikation og identifikation i ind- og udrejsesystemet
Afgørelse (EU) 
2022/1337
 — skabelonen for oplysninger til ikke-EU-borgere om behandlingen af personoplysninger i ind- og udrejsesystemet
Forordning (EU) 
2022/1409
 — betingelserne for drift af den webtjeneste, der er omhandlet i forordning (EU) 2017/2226, og dens udvikling og tekniske gennemførelse
Afgørelse (EU) 
2023/2601
 — reglerne for forvaltning af funktionaliteten til central forvaltning af listerne over kompetente nationale myndigheder med adgang til ind- og udrejsesystemet og VIS.
HVORNÅR GÆLDER FORORDNINGERNE FRA?
Forordning (EU) 2017/2226 trådte i kraft den 
29. december
 2017
 og vil med flere undtagelser gælde fra den dato, som Kommissionen fastsætter ved idriftsættelsen.
Forordning (EU) 2017/2225 gælder fra den dato, hvor ind- og udrejsesystemet skal sættes i drift, som fastsat af Kommissionen.
Datoen for start af ind- og udrejsesystemets idriftsættelse er endnu ikke fastlagt.
BAGGRUND
Ind- og udrejsesystemet er et prioriteret initiativ til at modernisere forvaltningen af EU’s ydre grænser og hjælpe med at bekæmpe terrorisme og alvorlig kriminalitet samt andre vigtige aspekter vedrørende grænseforvaltning og sikkerhed.
På et senere tidspunkt vil et 
onlineværktøj
 blive gjort tilgængeligt, herunder på ind- og udrejsesystemets websted, så rejsende kan kontrollere, 
hvor længe de kan opholde sig i de europæiske lande ved hjælp af ind- og udrejsesystemet
. En 
smartphone-app, der giver rejsende mulighed for at forudregistrere flere oplysninger før grænsekontrollerne
, er også under udvikling.
For yderligere oplysninger henvises til:
Ind- og udrejsesystem
 (Den Europæiske Union).
HOVEDDOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2017/2226
 af 
30. november
 2017
 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) 
nr. 767/2008
 og (EU) 
nr. 1077/2011
 (EUT 
L 327
) af 
9.12.2017
, 
s. 20-82
).
Efterfølgende ændringer til forordning (EU) 2017/2226 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2017/2225
 af 
30. november
 2017
 om ændring af forordning (EU) 2016/399, for så vidt angår brugen af ind- og udrejsesystemet (EUT 
L 327
 af 
9.12.2017
, 
s. 1-19
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2024/1356
 af 
14. maj
 2024
 om indførelse af screening af tredjelandsstatsborgere ved de ydre grænser og om ændring af forordning (EF) 
nr. 767/2008
, (EU) 2017/2226, (EU) 2018/1240 og (EU) 2019/817 (EUT 
L, 2024/1356
, 
22.5.2024
).
Europa-Parlamentets og Rådets forordning (EU) 
2023/2667
 af 
22. november
 2023
 om ændring af Europa-Parlamentets og Rådets forordning (EF) 
nr. 767/2008
, (EF) 
nr. 810/2009
 og (EU) 2017/2226, Rådets forordning (EF) 
nr. 693/2003
 og (EF) 
nr. 694/2003
 og konventionen om gennemførelse af Schengenaftalen for så vidt angår digitalisering af visumproceduren (EUT 
L, 2023/2667
, 
7.12.2023
).
Kommissionens gennemførelsesafgørelse (EU) 
2023/2601
 af 
20. november
 2023
 om detaljerede regler for forvaltning af funktionaliteten til central forvaltning af listerne over kompetente nationale myndigheder med adgang til ind- og udrejsesystemet og visuminformationssystemet (EUT 
L, 2023/2601
, 
22.11.2023
).
Kommissionens gennemførelsesforordning (EU) 
2022/1409
 af 
18. august
 2022
 om de nærmere bestemmelser og betingelser for driften af webtjenesten og de databeskyttelses- og sikkerhedsregler der gælder for webtjenesten, samt foranstaltninger til udvikling og teknisk gennemførelse af webtjenesten og om ophævelse af gennemførelsesforordning (EU) 2021/1224 (EUT 
L 216
 af 
19.8.2022
, 
s. 3
).
Kommissionens gennemførelsesafgørelse (EU) 
2022/1337
 af 
28. juli
 2022
 om skabelonen for oplysninger til tredjelandsstatsborgere om behandlingen af personoplysninger i ind- og udrejsesystemet (EUT 
L 201
 af 
1.8.2022
, 
s. 48
).
Europa-Parlamentets og Rådets forordning (EU) 
2019/817
 af 
20. maj
 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende grænser og visum og om ændring af Europa-Parlamentets og Rådets forordning (EF) 
nr. 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 og (EU) 2018/1861, Rådets beslutning 2004/512/EF og Rådets afgørelse 2008/633/RIA (EUT 
L 135
 af 
22.5.2019
, 
s. 27
).
Se den 
konsoliderede udgave
.
Kommissionens gennemførelsesafgørelse (EU) 
2019/326
 af 
25. februar
 2019
 om foranstaltninger med henblik på registrering af oplysninger i ind- og udrejsesystemet (EES) (EUT 
L 57
 af 
26.2.2019
, 
s. 5
).
Kommissionens gennemførelsesafgørelse (EU) 
2019/327
 af 
25. februar
 2019
 om fastlæggelse af foranstaltninger vedrørende adgangen til oplysningerne i ind- og udrejsesystemet (EES) (EUT 
L 57
 af 
26.2.2019
, 
s. 10
).
Kommissionens gennemførelsesafgørelse (EU) 
2019/328
 af 
25. februar
 2019
 om fastlæggelse af foranstaltninger vedrørende føring af og adgang til loggene i ind- og udrejsesystemet (EES) (EUT 
L 57
 af 
26.2.2019
, 
s. 14
).
Kommissionens gennemførelsesafgørelse (EU) 
2019/329
 af 
25. februar
 2019
 om fastlæggelse af specifikationerne af kvaliteten, opløsningen og brugen af fingeraftryk og ansigtsbilleder til biometrisk verifikation og identifikation i ind- og udrejsesystemet (EES) (EUT 
L 57
 af 
26.2.2019
, 
s. 18
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1726
 af 
14. november
 2018
 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) 
nr. 1987/2006
 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) 
nr. 1077/2011
 (EUT 
L 295
 af 
21.11.2018
, 
s. 99
).
Se den 
konsoliderede udgave
.
Kommissionens gennemførelsesafgørelse (EU) 
2018/1547
 af 
15. oktober
 2018
 om fastlæggelse af specifikationerne for de centrale adgangspunkters tilslutning til ind- og udrejsesystemet og for en teknisk løsning til at lette medlemsstaternes indsamling af oplysninger med henblik på at generere statistikker om adgangen til oplysninger i ind- og udrejsesystemet til retshåndhævelsesformål (EUT 
L 259
 af 
16.10.2018
, 
s. 35
).
Kommissionens gennemførelsesafgørelse (EU) 
2018/1548
 af 
15. oktober
 2018
 om fastlæggelse af foranstaltninger til etablering af listen over personer, der i ind- og udrejsesystemet er identificeret som personer, hvis tilladelse til ophold er udløbet, og proceduren for at gøre listen tilgængelig for medlemsstaterne (EUT 
L 259
 af 
16.10.2018
, 
s. 39
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1240
 af 
12. september
 2018
 om oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) og om ændring af forordning (EU) 
nr. 1077/2011
, (EU) 
nr. 515/2014
, (EU) 2016/399 (EU) 2016/1624 og (EU) 2017/2226 (EUT 
L 236
 af 
19.9.2018
, 
s. 1
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/399
 af 
9. marts
 2016
 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (kodifikation) (EUT 
L 77
 af 
23.3.2016
, 
s. 1
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EF) 
nr. 
767/2008
 af 
9. juli
 2008
 om visuminformationssystemet (VIS) og udveksling af oplysninger mellem medlemsstaterne om visa til kortvarigt ophold (VIS-forordningen) (EUT 
L 218
 af 
13.8.2008
, 
s. 60
).
Se den 
konsoliderede udgave
.
Schengen-reglerne — Konvention om gennemførelse af Schengen-aftalen
 af 
14. juni
 1985
 mellem regeringerne for staterne i Den Økonomiske Union Benelux, Forbundsrepublikken Tyskland og Den Franske Republik om gradvis ophævelse af kontrollen ved de fælles grænser (EFT 
L 239
 af 
22.9.2000
, 
s. 19
).
seneste ajourføring 
4.11.2024