CELEX ID: 32019R0816

--- ENGLISH ---

Document:
22.5.2019
EN
Official Journal of the European Union
L 135/1
REGULATION (EU) 2019/816 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 17 April 2019
establishing a centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) to supplement the European Criminal Records Information System and amending Regulation (EU) 2018/1726
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty of the Functioning of the European Union, and in particular Article 82(1), second subparagraph, point (d) thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Acting in accordance with the ordinary legislative procedure 
(
1
)
,
Whereas:
(1)
The Union has set itself the objective of offering its citizens an area of freedom, security and justice without internal frontiers, in which the free movement of persons is ensured. That objective should be achieved by means of, among others, appropriate measures to prevent and combat crime, including organised crime and terrorism.
(2)
That objective requires that information on convictions handed down in the Member States be taken into account outside the convicting Member State in the course of new criminal proceedings, as laid down in Council Framework Decision 2008/675/JHA 
(
2
)
, as well as in order to prevent new offences.
(3)
That objective presupposes the exchange of information extracted from criminal records between the competent authorities of the Member States. Such an exchange of information is organised and facilitated by the rules set out in Council Framework Decision 2009/315/JHA 
(
3
)
 and by the European Criminal Records Information System (ECRIS), established by Council Decision 2009/316/JHA 
(
4
)
.
(4)
The existing ECRIS legal framework, however, does not sufficiently address the particularities of requests concerning third-country nationals. Although it is already possible to exchange information on third-country nationals through ECRIS, there is no common Union procedure or mechanism in place to do so efficiently, rapidly and accurately.
(5)
Within the Union, information on third-country nationals is not gathered as it is for nationals of Member States — in the Member States of nationality — but only stored in the Member States where the convictions have been handed down. A complete overview of the criminal history of a third-country national can therefore be ascertained only if such information is requested from all Member States.
(6)
Such ‘blanket requests’ impose a disproportionate administrative burden on all Member States, including those not holding information on the particular third-country national. In practice, that burden deters Member States from requesting information on third-country nationals from other Member States, which seriously hinders the exchange of information between them, limiting their access to criminal records information to information stored in their national register. As a consequence, the risk of information exchange between Member States being inefficient and incomplete is increased, which in turn affects the level of security and safety provided to citizens and persons residing within the Union.
(7)
To improve the situation, a system should be established by which the central authority of a Member State can find out promptly and efficiently which other Member States hold criminal records information on a third-country national (‘ECRIS-TCN’). The existing ECRIS framework could then be used to request the criminal records information from those Member States in accordance with Framework Decision 2009/315/JHA.
(8)
This Regulation should therefore lay down rules establishing a centralised system at the Union level containing personal data, and rules on the division of responsibilities between the Member State and the organisation responsible for the development and maintenance of the centralised system, as well as any specific data protection provisions needed to supplement the existing data protection arrangements and to provide for an adequate overall level of data protection, data security and protection of the fundamental rights of the persons concerned.
(9)
The objective of offering to citizens of the Union an area of freedom, security and justice without internal frontiers, in which the free movement of persons is ensured, also requires complete information to be held on convictions of citizens of the Union who also hold the nationality of a third country. Given the possibility that those persons could present themselves as holding one or several nationalities, and that different convictions could be stored in the convicting Member State or in the Member State of nationality, it is necessary to include citizens of the Union who also hold the nationality of a third country within the scope of this Regulation. The exclusion of such persons would result in the information stored in ECRIS-TCN being incomplete. That would jeopardise the reliability of the system. However, since such persons hold Union citizenship, the conditions under which fingerprint data can be included in ECRIS-TCN in respect of those persons should be comparable to the conditions under which the fingerprint data of Union citizens are exchanged between Member States through ECRIS, which was established by Framework Decision 2009/315/JHA and Decision 2009/316/JHA. Therefore, in respect of citizens of the Union who also hold the nationality of a third country, fingerprint data should only be included in ECRIS-TCN where they have been collected in accordance with national law during criminal proceedings, it being understood that for such inclusion Member States should be able to use fingerprint data collected for purposes other than criminal proceedings, where such use is permitted under national law.
(10)
ECRIS-TCN should allow for processing of fingerprint data for the purpose of identifying the Member States in possession of criminal records information on a third-country national. It should also allow for processing of facial images in order to confirm his or her identity. It is essential that the entry and use of fingerprint data and facial images not exceed what is strictly necessary to achieve the aim, respect fundamental rights, as well as the best interests of children, and be in conformity with applicable Union data protection rules.
(11)
The European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA) established by Regulation (EU) 2018/1726 of the European Parliament and of the Council 
(
5
)
 should be entrusted with the task of developing and operating ECRIS-TCN, given its experience with managing other large scale systems in the area of justice and home affairs. Its mandate should be amended to reflect those new tasks.
(12)
eu-LISA should be equipped with the appropriate funding and staffing to meet its responsibilities under this Regulation.
(13)
Given the need to create close technical links between ECRIS-TCN and ECRIS, eu-LISA should also be entrusted with the task of further developing and maintaining the ECRIS reference implementation, and its mandate should be amended to reflect this.
(14)
Four Member States have developed their own national ECRIS implementation software in accordance with Decision 2009/316/JHA, and have been using it instead of the ECRIS reference implementation to exchange criminal records information. Given the particular features that those Member States have introduced in their systems for national use and the investments that they have made, they should be allowed to use their national ECRIS implementation software for the purposes of ECRIS-TCN as well, provided that the conditions set out in this Regulation are met.
(15)
ECRIS-TCN should contain only the identity information of third-country nationals convicted by a criminal court within the Union. Such identity information should include alphanumeric and fingerprint data. It should also be possible for facial images to be included in as far as the law of the Member State where a conviction is handed down allows for the collection and storage of facial images of a convicted person.
(16)
The alphanumeric data to be entered by the Member States into the central system should include the surname (family name) and the first names (given names) of the convicted person, as well as, where such information is available to the central authority, any pseudonyms or aliases of that person. If differing personal data, such as a different spelling of a name in another alphabet, are known to the Member State concerned, it should be possible to enter such data into the central system as additional information.
(17)
The alphanumeric data should also include, as additional information, the identity number, or the type and number of the person's identification documents, as well as the name of the authority issuing those documents, where such information is available to the central authority. The Member State should seek to verify the authenticity of identification documents before entering the relevant information in the central system. In any case, given that such information could be unreliable, it should be used cautiously.
(18)
The central authorities should use ECRIS-TCN to identify the Member States holding criminal records information on a third-country national when criminal records information on that person is requested in the Member State concerned for the purposes of criminal proceedings against that person, or for the purposes referred to in this Regulation. While ECRIS-TCN should in principle be used in all such cases, the authority responsible for conducting the criminal proceedings should be able to decide that ECRIS-TCN should not be used when it would not be appropriate in the circumstances of the case, e.g. in certain types of urgent criminal proceedings, in cases of transit, when criminal records information has recently been obtained via ECRIS, or in respect of minor offences, in particular minor traffic offences, minor offences in relation to general municipal regulations and minor public order offences.
(19)
Member States should also be able to use ECRIS-TCN for purposes other than those set out in this Regulation, if provided for under and in accordance with national law. However, in order to enhance the transparency of the use of ECRIS-TCN, Member States should notify such other purposes to the Commission, which should ensure publication of all the notifications in the 
Official Journal of the European Union
.
(20)
It should also be possible for other authorities requesting criminal records information to decide that ECRIS-TCN should not be used when this would not be appropriate in the circumstances of the case, e.g. when certain standard administrative checks need to be carried out regarding the professional qualifications of a person, especially if it is known that criminal records information will not be requested from other Member States, irrespective of the result of the search in ECRIS-TCN. However, ECRIS-TCN should always be used when the request for criminal records information has been initiated by a person who asks for information on his or her own criminal record in accordance with Framework Decision 2009/315/JHA, or when it is made in order to obtain criminal records information in accordance with Directive 2011/93/EU of the European Parliament and of the Council 
(
6
)
.
(21)
Third-country nationals should have the right to obtain information in writing concerning their own criminal record in accordance with the law of the Member State where they request such information to be provided and in accordance with Framework Decision 2009/315/JHA. Before providing such information to a third-country national, the Member State concerned should query ECRIS-TCN.
(22)
Citizens of the Union who also hold the nationality of a third country will only be included in ECRIS-TCN if the competent authorities are aware that such persons hold the nationality of a third country. Where the competent authorities are not aware that citizens of the Union also hold the nationality of a third country, it is nevertheless possible that such persons have prior convictions as third-country nationals. In order to ensure that the competent authorities have a complete overview of criminal records, it should be possible to query ECRIS-TCN to verify whether, in respect of a citizen of the Union, any Member State holds criminal record information concerning this person as a third-country national.
(23)
In the event that there is a match between data recorded in the central system and those used for search by a Member State (hit), the identity information against which a hit was recorded should be provided together with the hit. The result of a search should be used by the central authorities only for the purpose of making a request through ECRIS or by the European Union Agency for Criminal Justice Cooperation (Eurojust) established by Regulation (EU) 2018/1727 of the European Parliament and of the Council 
(
7
)
, the European Union Agency for Law Enforcement Cooperation (Europol) established by Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
8
)
, and the European Public Prosecutor's Office (the ‘EPPO’) established by Council Regulation (EU) 2017/1939 
(
9
)
, only for the purpose of making a request for conviction information as referred to in this Regulation.
(24)
In the first instance, facial images included in ECRIS-TCN should only be used for the purpose of confirming the identity of a third-country national in order to identify the Member States holding information on previous convictions of that third-country national. In the future, it should be possible for facial images to be used for automated biometric matching, provided that the technical and policy requirements to do so have been met. The Commission, taking into account necessity and proportionality, as well as the technical developments in the field of facial recognition software, should assess the availability and readiness of the required technology before adopting a delegated act concerning the use of facial images for the purpose of identifying third-country nationals in order to identify the Member States holding information on previous convictions concerning those persons.
(25)
The use of biometrics is necessary as it is the most reliable method of identifying third-country nationals within the territory of the Member States, who are often not in possession of documents or any other means of identification, as well as for more reliable matching of third-country nationals' data.
(26)
Member States should enter in the central system fingerprint data of convicted third-country nationals that have been collected in accordance with national law during criminal proceedings. In order to have as complete identity information as possible available in the central system, Member States should also be able to enter into the central system fingerprint data that have been collected for other purposes than criminal proceedings, where those fingerprint data are available for use in criminal proceedings in compliance with national law.
(27)
This Regulation should establish minimum criteria as regards the fingerprint data that Member States should include in the central system. Member States should be given the choice either to enter the fingerprint data of third-country nationals who have received a custodial sentence of at least 6 months, or to enter the fingerprint data of third-country nationals who have been convicted of a criminal offence which is punishable under the law of the Member State concerned by a custodial sentence of a maximum period of at least 12 months.
(28)
Member States should create records in ECRIS-TCN regarding convicted third-country nationals. This should, where possible, be done automatically and without undue delay after their conviction was entered into the national criminal records. Member States should, in accordance with this Regulation, enter into the central system alphanumeric and fingerprint data relating to convictions handed down after the date of the start of entry of data into the ECRIS-TCN. As from the same date, and any time thereafter, Member States should be able to enter facial images in the central system.
(29)
Member States should also, in accordance with this Regulation, create records in ECRIS-TCN regarding third-country nationals convicted prior to the date of start of entry of data, in order to ensure the maximum effectiveness of the system. However, for that purpose Member States should not be obliged to collect information which is not already in their criminal records prior to the date of start of entry of data. The fingerprint data of third-country nationals collected in connection with such prior convictions should be included only where they have been collected during criminal proceedings, and where the Member State concerned considers that they can be clearly matched with other identity information in criminal records.
(30)
Improving the exchange of information on convictions should assist Member States in their implementation of Framework Decision 2008/675/JHA, which obliges the Member States to take account of previous convictions in other Member States in the course of new criminal proceedings to the extent that previous national convictions are taken into account under national law.
(31)
A hit indicated by ECRIS-TCN should not of itself be taken to mean that the third-country national concerned has been convicted in the Member States that are indicated. The existence of previous convictions should only be confirmed based on information received from the criminal records of the Member States concerned.
(32)
Notwithstanding the possibility of using the Union's financial programmes in accordance with the applicable rules, each Member State should bear its own costs arising from the implementation, administration, use and maintenance of its criminal records database and national fingerprints databases, and from the implementation, administration, use and maintenance of the technical alterations necessary to be able to use ECRIS-TCN, including their connections to the national central access point.
(33)
Eurojust, Europol and the EPPO should have access to ECRIS-TCN for the purpose of identifying the Member States holding criminal records information on a third-country national in order to support their statutory tasks. Eurojust should also have direct access to ECRIS-TCN for the purpose of carrying out its task under this Regulation of acting as a contact point for third countries and international organisations, without prejudice to the application of principles of judicial cooperation in criminal matters, including rules on mutual legal assistance. While the position of Member States who are not part of the enhanced cooperation on the establishment of the EPPO should be taken into account, the EPPO should not be refused access to conviction information on the sole ground that the Member State concerned is not part of that enhanced cooperation.
(34)
This Regulation establishes strict rules on access to ECRIS-TCN and the necessary safeguards, including the responsibility of the Member States in collecting and using the data. It also sets out how individuals may exercise their rights to compensation, access, rectification, erasure and redress, in particular the right to an effective remedy and the supervision of processing operations by public independent authorities. It therefore respects fundamental rights and freedoms enshrined, in particular, in the Charter of Fundamental Rights of the European Union, including the right to protection of personal data, the principle of equality before the law and the general prohibition of discrimination. In this regard, it also takes into account the European Convention for the Protection of Human Rights and Fundamental Freedoms, the International Covenant on Civil and Political Rights, and other human rights obligations under international law.
(35)
Directive (EU) 2016/680 of the European Parliament and of the Council 
(
10
)
 should apply to the processing of personal data by competent national authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security. Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
11
)
 should apply to the processing of personal data by national authorities when such processing does not fall within the scope of Directive (EU) 2016/680. Coordinated supervision should be ensured in accordance with Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
12
)
, which should also apply to the processing of personal data by eu-LISA.
(36)
In respect of prior convictions, the central authorities should enter alphanumeric data by the end of the period for entry of data under this Regulation, and fingerprint data within two years after the date of the start of operations of ECRIS-TCN. Member States should be able to enter all data at the same time, provided those time limits are met.
(37)
Rules should be laid down on the liability of the Member States, Eurojust, Europol, the EPPO and eu-LISA in respect of damage arising from any breach of this Regulation.
(38)
In order to improve identification of the Member States holding information on previous convictions of third-country nationals, the power to adopt acts in accordance with Article 290 of the Treaty on the Functioning of the European Union (TFEU) should be delegated to the Commission in respect of supplementing this Regulation by providing for the use of facial images for the purpose of identifying third-country nationals in order to identify the Member States holding information on previous convictions. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
13
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States' experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(39)
In order to ensure uniform conditions for the establishment and operational management of ECRIS-TCN, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and the Council 
(
14
)
.
(40)
Member States should take the necessary measures to comply with this Regulation as soon as possible so as to ensure the proper functioning of ECRIS-TCN, taking into account the time that eu-LISA needs to develop and implement ECRIS-TCN. However, Member States should have at least 36 months after the entry into force of this Regulation to take measures to comply with this Regulation.
(41)
Since the objective of this Regulation, namely to enable the rapid and efficient exchange of accurate criminal records information on third-country nationals, cannot be sufficiently achieved by the Member States, but can rather, by putting in place common rules, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary to achieve that objective.
(42)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(43)
In accordance with Articles 1 and 2 and Article 4a(1) of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the area of freedom, security and justice, annexed to the TEU and to the TFEU, and without prejudice to Article 4 of that Protocol, Ireland is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(44)
In accordance with Article 3 and Article 4a(1) of Protocol No 21, the United Kingdom has notified its wish to take part in the adoption and application of this Regulation.
(45)
The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
15
)
 and delivered an opinion on 12 December 2017 
(
16
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
General provisions
Article 1
Subject matter
This Regulation establishes:
(a)
a system to identify the Member States holding information on previous convictions of third-country nationals (‘ECRIS-TCN’);
(b)
the conditions under which ECRIS-TCN shall be used by the central authorities in order to obtain information on such previous convictions through the European Criminal Records Information System (ECRIS) established by Decision 2009/316/JHA, as well as the conditions under which Eurojust, Europol and the EPPO shall use ECRIS-TCN.
Article 2
Scope
This Regulation applies to the processing of identity information of third-country nationals who have been subject to convictions in the Member States for the purpose of identifying the Member States where such convictions were handed down. With the exception of point (b)(ii) of Article 5(1), the provisions of this Regulation that apply to third-country nationals also apply to citizens of the Union who also hold the nationality of a third country and who have been subject to convictions in the Member States.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘conviction’ means any final decision of a criminal court against a natural person in respect of a criminal offence, to the extent that the decision is entered in the criminal records of the convicting Member State;
(2)
‘criminal proceedings’ means the pre-trial stage, the trial stage and the execution of the conviction;
(3)
‘criminal record’ means the national register or registers recording convictions in accordance with national law;
(4)
‘convicting Member State’ means the Member State in which a conviction is handed down;
(5)
‘central authority’ means an authority designated in accordance with Article 3(1) of Framework Decision 2009/315/JHA;
(6)
‘competent authorities’ means the central authorities and Eurojust, Europol and the EPPO, which are competent to access or query ECRIS-TCN in accordance with this Regulation;
(7)
‘third-country national’ means a person who is not a citizen of the Union within the meaning of Article 20(1) TFEU, or who is a stateless person or a person whose nationality is unknown;
(8)
‘central system’ means the database or databases developed and maintained by eu-LISA which hold identity information on third-country nationals who have been subject to convictions in the Member States;
(9)
‘interface software’ means the software hosted by the competent authorities allowing them to access the central system through the communication infrastructure referred to in point (d) of Article 4(1);
(10)
‘identity information’ means alphanumeric data, fingerprint data and facial images that are used to establish a connection between these data and a natural person;
(11)
‘alphanumeric data’ means data represented by letters, digits, special characters, spaces and punctuation marks;
(12)
‘fingerprint data’ means the data relating to plain and rolled impressions of the fingerprints of each of a person's fingers;
(13)
‘facial image’ means a digital image of a person's face;
(14)
‘hit’ means a match or matches established by comparison between identity information recorded in the central system and the identity information used for a search;
(15)
‘national central access point’ means the national connection point to the communication infrastructure referred to in point (d) of Article 4(1);
(16)
‘ECRIS reference implementation’ means the software developed by the Commission and made available to the Member States for the exchange of criminal records information through ECRIS;
(17)
‘national supervisory authority’ means an independent public authority which is established by a Member State pursuant to applicable Union data protection rules;
(18)
‘supervisory authorities’ means the European Data Protection Supervisor and the national supervisory authorities.
Article 4
Technical architecture of ECRIS-TCN
1.   ECRIS-TCN shall be composed of:
(a)
a central system in which identity information on convicted third-country nationals is stored;
(b)
a national central access point in each Member State;
(c)
interface software enabling the connection of the competent authorities to the central system via the national central access points and the communication infrastructure referred to in point (d);
(d)
a communication infrastructure between the central system and the national central access points.
2.   The central system shall be hosted by eu-LISA at its technical sites.
3.   The interface software shall be integrated with the ECRIS reference implementation. The Member States shall use the ECRIS reference implementation or, in the situation and under the conditions set out in paragraphs 4 to 8, the national ECRIS implementation software to query ECRIS-TCN and to send subsequent requests for criminal records information.
4.   The Member States which use their national ECRIS implementation software shall be responsible for ensuring that their national ECRIS implementation software allows their national criminal records authorities to use ECRIS-TCN, with the exception of the Interface Software, in accordance with this Regulation. For that purpose, they shall, before the date of start of operations of ECRIS-TCN in accordance with Article 35(4), ensure that their national ECRIS implementation software functions in accordance with the protocols and technical specifications established in the implementing acts referred to in Article 10, and with any further technical requirements established by eu-LISA pursuant to this Regulation based on those implementing acts.
5.   For as long as they do not use the ECRIS reference implementation, Member States which use their national ECRIS implementation software shall also ensure the implementation of any subsequent technical adaptations to their national ECRIS implementation software required by any changes to the technical specifications established in the implementing acts referred to in Article 10, or changes to any further technical requirements established by eu-LISA pursuant to this Regulation based on those implementing acts, without undue delay.
6.   The Member States which use their national ECRIS implementation software shall bear all the costs associated with the implementation, maintenance and further development of their national ECRIS implementation software and its interconnection with ECRIS-TCN, with the exception of the interface software.
7.   If a Member State which uses its national ECRIS implementation software is unable to comply with its obligations under this Article, it shall be obliged to use the ECRIS reference implementation, including the integrated interface software, to make use of ECRIS-TCN.
8.   In view of the assessment to be carried out by the Commission pursuant to point (b) of Article 36(10), the Member States concerned shall provide the Commission with all necessary information.
CHAPTER II
Entry and use of data by central authorities
Article 5
Data entry in ECRIS-TCN
1.   For each convicted third-country national, the central authority of the convicting Member State shall create a data record in the central system. The data record shall include:
(a)
as concerns alphanumeric data:
(i)
information to be included unless, in individual cases, such information is not known to the central authority (obligatory information):
—
surname (family name),
—
first names (given names),
—
date of birth,
—
place of birth (town and country),
—
nationality or nationalities,
—
gender,
—
previous names, if applicable,
—
the code of the convicting Member State,
(ii)
information to be included if it has been entered in the criminal record (optional information):
—
parents' names,
(iii)
information to be included if it is available to the central authority (additional information):
—
identity number, or the type and number of the person's identification documents, as well as the name of the issuing authority,
—
pseudonyms or aliases;
(b)
as concerns fingerprint data:
(i)
fingerprint data that have been collected in accordance with national law during criminal proceedings;
(ii)
as a minimum, fingerprint data collected on the basis of either of the following criteria:
—
where the third-country national has received a custodial sentence of at least 6 months;
or
—
where the third-country national has been convicted of a criminal offence which is punishable under the law of the Member State by a custodial sentence of a maximum period of at least 12 months.
2.   The fingerprint data referred to in point (b) of paragraph 1 of this Article shall have the technical specifications for the quality, resolution and processing of fingerprint data provided for in the implementing act referred to in point (b) of Article 10(1). The reference number of the fingerprint data of the convicted person shall include the code of the convicting Member State.
3.   The data record may also contain facial images of the convicted third-country national, if the law of the convicting Member State allows for the collection and storage of facial images of convicted persons.
4.   The convicting Member State shall create the data record automatically, where possible, and without undue delay after the conviction has been entered into the criminal records.
5.   The convicting Member States shall also create data records for convictions handed down prior to the date of start of entry of data in accordance with Article 35(1) to the extent that data related to convicted persons are stored in their national databases. In those cases, fingerprint data shall be included only where they have been collected during criminal proceedings in accordance with national law, and where they can be clearly matched with other identity information in criminal records.
6.   In order to comply with the obligations set out in points (b)(i) and (ii) of paragraph 1, and in paragraph 5, Member States may use fingerprint data collected for purposes other than criminal proceedings, where such use is permitted under national law.
Article 6
Facial images
1.   Until the entry into force of the delegated act provided for in paragraph 2, facial images may be used only to confirm the identity of a third-country national who has been identified as a result of an alphanumeric search or a search using fingerprint data.
2.   The Commission is empowered to adopt delegated acts in accordance with Article 37 supplementing this Regulation concerning the use of facial images for the purpose of identifying third-country nationals in order to identify the Member States holding information on previous convictions concerning such persons, when it becomes technically possible. Before exercising this empowerment, the Commission, taking into account necessity and proportionality, as well as technical developments in the field of facial recognition software, shall assess the availability and readiness of the required technology.
Article 7
Use of ECRIS-TCN for identifying the Member States holding criminal records information
1.   The central authorities shall use ECRIS-TCN to identify the Member States holding criminal records information on a third-country national in order to obtain information on previous convictions through ECRIS, when criminal records information on that person is requested in the Member State concerned for the purposes of criminal proceedings against that person, or for any of the following purposes, if provided for under and in accordance with national law:
—
checking a person's own criminal record at his or her request,
—
security clearance,
—
obtaining a licence or permit,
—
employment vetting,
—
vetting for voluntary activities involving direct and regular contacts with children or vulnerable persons,
—
visa, acquisition of citizenship and migration procedures, including asylum procedures, and
—
checks in relation with public contracts and public examinations.
However, in specific cases other than those in which a third-country national asks the central authority for information on his or her own criminal record, or where the request is made in order to obtain criminal records information pursuant to Article 10(2) of Directive 2011/93/EU, the authority requesting criminal records information may decide that such use of ECRIS-TCN is not appropriate.
2.   Any Member State which decides, if provided for under and in accordance with national law, to use ECRIS-TCN for purposes other than those set out in paragraph 1 in order to obtain information on previous convictions through ECRIS, shall, by the date of start of operations as referred to in Article 35(4), or any time thereafter, notify the Commission of such other purposes and any changes to such purposes. The Commission shall publish such notifications in the 
Official Journal of the European Union
 within 30 days of receipt of the notifications.
3.   Eurojust, Europol and the EPPO are entitled to query ECRIS-TCN to identify the Member States holding criminal records information on a third-country national in accordance with Articles 14 to 18. However, they shall not enter, rectify or erase any data in ECRIS-TCN.
4.   For the purposes referred to in paragraphs 1, 2 and 3, the competent authorities may also query ECRIS-TCN to verify whether, in respect of a citizen of the Union, any Member State holds criminal records information concerning this person as a third-country national.
5.   When querying ECRIS-TCN, the competent authorities may use all or only some of the data referred to in Article 5(1). The minimum set of data that is required to query the system shall be specified in an implementing act adopted in accordance with point (g) of Article 10(1).
6.   The competent authorities may also query ECRIS-TCN using facial images, provided that such functionality has been implemented in accordance with Article 6(2).
7.   In the event of a hit, the central system shall automatically provide the competent authority with information on the Member States holding criminal records information on the third-country national, along with the associated reference numbers and any corresponding identity information. Such identity information shall only be used for the purpose of verifying the identity of the third-country national concerned. The result of a search in the central system may only be used for the purpose of making a request according to Article 6 of Framework Decision 2009/315/JHA or a request referred to in Article 17(3) of this Regulation.
8.   In the event that there is no hit, the central system shall automatically inform the competent authority.
CHAPTER III
Retention and modification of the data
Article 8
Retention period for data storage
1.   Each data record shall be stored in the central system for as long as the data related to the convictions of the person concerned are stored in the criminal records.
2.   Upon expiry of the retention period referred to in paragraph 1, the central authority of the convicting Member State shall erase the data record, including any fingerprint data or facial images, from the central system. The erasure shall be done automatically, where possible, and in any event no later than one month after the expiry of the retention period.
Article 9
Modification and erasure of data
1.   The Member States may modify or erase the data which they have entered into ECRIS-TCN.
2.   Any modification of the information in the criminal records which led to the creation of a data record in accordance with Article 5 shall include identical modification of the information stored in that data record in the central system by the convicting Member State without undue delay.
3.   If a convicting Member State has reason to believe that the data it has recorded in the central system are inaccurate or that data were processed in the central system in contravention of this Regulation, it shall:
(a)
immediately launch a procedure for checking the accuracy of the data concerned or the lawfulness of its processing, as appropriate;
(b)
if necessary, rectify the data or erase them from the central system without undue delay.
4.   If a Member State other than the convicting Member State which entered the data has reason to believe that data recorded in the central system are inaccurate or that data were processed in the central system in contravention of this Regulation, it shall contact the central authority of the convicting Member State without undue delay.
The convicting Member State shall:
(a)
immediately launch a procedure for checking the accuracy of the data concerned or the lawfulness of its processing, as appropriate;
(b)
if necessary, rectify the data or erase them from the central system without undue delay;
(c)
inform the other Member State that the data have been rectified or erased, or of the reasons why the data have not been rectified or erased, without undue delay.
CHAPTER IV
Development, operation and responsibilities
Article 10
Adoption of implementing acts by the Commission
1.   The Commission shall adopt the implementing acts necessary for the technical development and implementation of ECRIS-TCN as soon as possible, and in particular acts concerning:
(a)
the technical specifications for the processing of the alphanumeric data;
(b)
the technical specifications for the quality, resolution and processing of fingerprint data;
(c)
the technical specifications of the interface software;
(d)
the technical specifications for the quality, resolution and processing of facial images for the purposes of and under the conditions set out in Article 6;
(e)
data quality, including a mechanism for and procedures to carry out data quality checks;
(f)
entering the data in accordance with Article 5;
(g)
accessing and querying ECRIS-TCN in accordance with Article 7;
(h)
modifying and erasing the data in accordance with Articles 8 and 9;
(i)
keeping and accessing logs in accordance with Article 31;
(j)
operation of the central repository and the data security and data protection rules applicable to the repository, in accordance with Article 32;
(k)
providing statistics in accordance with Article 32;
(l)
performance and availability requirements of ECRIS-TCN, including minimal specifications and requirements on the biometric performance of ECRIS-TCN in particular in terms of the required false positive identification rate and false negative identification rate.
2.   The implementing acts referred to in paragraph 1 shall be adopted in accordance with the examination procedure referred to in Article 38(2).
Article 11
Development and operational management of ECRIS — TCN
1.   eu-LISA shall be responsible for the development of ECRIS-TCN in accordance with the principle of data protection by design and by default. In addition, eu-LISA shall be responsible for the operational management of ECRIS-TCN. The development shall consist of the elaboration and implementation of the technical specifications, testing and overall project coordination.
2.   eu-LISA shall also be responsible for the further development and maintenance of the ECRIS reference implementation.
3.   eu-LISA shall define the design of the physical architecture of ECRIS-TCN including its technical specifications and evolution as regards the central system, the national central access point and the interface software. That design shall be adopted by its Management Board, subject to a favourable opinion of the Commission.
4.   eu-LISA shall develop and implement ECRIS-TCN as soon as possible after the entry into force of this Regulation and following the adoption by the Commission of the implementing acts provided for in Article 10.
5.   Prior to the design and development phase of ECRIS-TCN, the Management Board of eu-LISA shall establish a Programme Management Board composed of ten members.
The Programme Management Board shall be composed of eight members appointed by the Management Board, the Chair of the Advisory Group referred to in Article 39 and one member appointed by the Commission. The members appointed by the Management Board shall be elected only from those Member States which are fully bound under Union law by the legislative instruments governing ECRIS and which will participate in ECRIS-TCN. The Management Board shall ensure that the members it appoints to the Programme Management Board have the necessary experience and expertise in the development and management of IT systems supporting judicial and criminal records authorities.
eu-LISA shall participate in the work of the Programme Management Board. To that end, representatives of eu-LISA shall attend the meetings of the Programme Management Board in order to report on work regarding the design and development of ECRIS-TCN and on any other related work and activities.
The Programme Management Board shall meet at least once every three months, and more often when necessary. It shall ensure the adequate management of the design and development phase of ECRIS-TCN and shall ensure consistency between central and national ECRIS-TCN projects, and national ECRIS implementation software. The Programme Management Board shall submit written reports regularly and if possible every month to the Management Board of eu-LISA on the progress of the project. The Programme Management Board shall have no decision-making power nor any mandate to represent the members of the Management Board.
6.   The Programme Management Board shall establish its rules of procedure which shall include in particular rules on:
(a)
chairmanship;
(b)
meeting venues;
(c)
preparation of meetings;
(d)
admission of experts to the meetings;
(e)
communication plans ensuring that non-participating Members of the Management Board are kept fully informed.
7.   The chairmanship of the Programme Management Board shall be held by a Member State which is fully bound under Union law by the legislative instruments governing ECRIS and the legislative instruments governing the development, establishment, operation and use of all the large-scale IT systems managed by eu-LISA.
8.   All travel and subsistence expenses incurred by the members of the Programme Management Board shall be paid by eu-LISA. Article 10 of the eu-LISA Rules of Procedure shall apply 
mutatis mutandis
. The Programme Management Board's secretariat shall be ensured by eu-LISA.
9.   During the design and development phase, the Advisory Group referred to in Article 39 shall be composed of the national ECRIS-TCN project managers and chaired by eu-LISA. During the design and development phase it shall meet regularly, if possible at least once a month, until the start of operations of ECRIS-TCN. It shall report after each meeting to the Programme Management Board. It shall provide the technical expertise to support the tasks of the Programme Management Board and shall follow up on the state of preparation of the Member States.
10.   In order to ensure the confidentiality and integrity of data stored in ECRIS-TCN at all times, eu-LISA shall, in cooperation with the Member States, provide for appropriate technical and organisational measures, taking into account the state of the art, the cost of implementation and the risks posed by the processing.
11.   eu-LISA shall be responsible for the following tasks related to the communication infrastructure referred to in point (d) of Article 4(1):
(a)
supervision;
(b)
security;
(c)
the coordination of relations between the Member States and the provider of the communication infrastructure.
12.   The Commission shall be responsible for all other tasks relating to the communication infrastructure referred to in point (d) of Article 4(1), in particular:
(a)
tasks relating to the implementation of the budget;
(b)
acquisition and renewal;
(c)
contractual matters.
13.   eu-LISA shall develop and maintain a mechanism and procedures for carrying out quality checks on the data stored in ECRIS-TCN and shall provide regular reports to the Member States. eu-LISA shall provide regular reports to the Commission covering the issues encountered and the Member States concerned.
14.   The operational management of ECRIS-TCN shall consist of all the tasks necessary to keep ECRIS-TCN operational in accordance with this Regulation, and in particular the maintenance work and technical developments necessary to ensure that ECRIS-TCN functions at a satisfactory level in accordance with the technical specifications.
15.   eu-LISA shall perform tasks related to providing training on the technical use of ECRIS-TCN and the ECRIS reference implementation.
16.   Without prejudice to Article 17 of the Staff Regulations of Officials of the European Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
17
)
, eu-LISA shall apply appropriate rules of professional secrecy or other equivalent duties of confidentiality to its entire staff required to work with data registered in the central system. That obligation shall also apply after such staff leave office or employment or after the termination of their activities.
Article 12
Responsibilities of the Member States
1.   Each Member State shall be responsible for:
(a)
ensuring a secure connection between its national criminal records and fingerprints databases and the national central access point;
(b)
the development, operation and maintenance of the connection referred to in point (a);
(c)
ensuring a connection between its national systems and the ECRIS reference implementation;
(d)
the management of and arrangements for access of duly authorised staff of the central authorities to ECRIS-TCN in accordance with this Regulation and for establishing and regularly updating a list of such staff and the profiles referred to in point (g) of Article 19(3).
2.   Each Member State shall give the staff of its central authority who have a right to access ECRIS-TCN appropriate training covering, in particular, data security and data protection rules and applicable fundamental rights, before authorising them to process data stored in the central system.
Article 13
Responsibility for the use of data
1.   In accordance with applicable Union data protection rules, each Member State shall ensure that the data recorded in ECRIS-TCN are processed lawfully, and in particular that:
(a)
only duly authorised staff have access to the data for the performance of their tasks;
(b)
the data are collected lawfully in a manner that fully respects the human dignity and fundamental rights of the third-country national;
(c)
the data are entered into ECRIS-TCN lawfully;
(d)
the data are accurate and up-to-date when they are entered into ECRIS-TCN.
2.   eu-LISA shall ensure that ECRIS-TCN is operated in accordance with this Regulation, with the delegated act referred to in Article 6(2) and with the implementing acts referred to in Article 10, as well as in accordance with Regulation (EU) 2018/1725. In particular, eu-LISA shall take the necessary measures to ensure the security of the central system and the communication infrastructure referred to in point (d) of Article 4(1), without prejudice to the responsibilities of each Member State.
3.   eu-LISA shall inform the European Parliament, the Council and the Commission as well as the European Data Protection Supervisor as soon as possible of the measures it takes pursuant to paragraph 2 in view of the start of operations of ECRIS-TCN.
4.   The Commission shall make the information referred to in paragraph 3 available to the Member States and to the public through a regularly updated public website.
Article 14
Access for Eurojust, Europol, and the EPPO
1.   Eurojust shall have direct access to ECRIS-TCN for the purpose of the implementation of Article 17, as well as for fulfilling its tasks under Article 2 of Regulation (EU) 2018/1727, in order to identify the Member States holding information on previous convictions of third-country nationals.
2.   Europol shall have direct access to ECRIS-TCN for the purpose of fulfilling its tasks under points (a) to (e) and (h) of Article 4(1) of Regulation (EU) 2016/794, in order to identify the Member States holding information on previous convictions of third-country nationals.
3.   The EPPO shall have direct access to ECRIS-TCN for the purpose of fulfilling its tasks under Article 4 of Regulation (EU) 2017/1939, in order to identify the Member States holding information on previous convictions of third-country nationals.
4.   Following a hit indicating the Member States holding criminal records information on a third-country national, Eurojust, Europol, and the EPPO may use their respective contacts with the national authorities of those Member States to request the criminal records information in the manner provided for in their respective founding acts.
Article 15
Access by authorised staff of Eurojust, Europol and the EPPO
Eurojust, Europol and the EPPO shall be responsible for the management of and arrangements for access of duly authorised staff to ECRIS-TCN in accordance with this Regulation and for establishing and regularly updating a list of such staff and their profiles.
Article 16
Responsibilities of Eurojust, Europol and the EPPO
Eurojust, Europol and the EPPO shall:
(a)
establish the technical means to connect to ECRIS-TCN and be responsible for maintaining that connection;
(b)
provide appropriate training covering, in particular, data security and data protection rules and applicable fundamental rights to those members of their staff who have a right to access ECRIS-TCN before authorising them to process data stored in the central system;
(c)
ensure that the personal data processed by them under this Regulation is protected in accordance with the applicable data protection rules.
Article 17
Contact point for third countries and international organisations
1.   Third countries and international organisations may, for the purposes of criminal proceedings, address requests for information on which Member States, if any, hold criminal records information on a third-country national to Eurojust. To that end, they shall use the standard form set out in the Annex to this Regulation.
2.   When Eurojust receives a request under paragraph 1, it shall use ECRIS-TCN to identify which Member States, if any, hold criminal records information on the third-country national concerned.
3.   If there is a hit, Eurojust shall ask the Member State that holds criminal records information on the third-country national concerned whether it consents to Eurojust informing the third country or the international organisation of the name of the Member State concerned. Where that Member State gives its consent, Eurojust shall inform the third country or the international organisation of the name of that Member State, and of how it can introduce a request for extracts from the criminal records with that Member State in accordance with the applicable procedures.
4.   In cases where there is no hit or where Eurojust cannot provide an answer in accordance with paragraph 3 to requests made under this Article, it shall inform the third country or international organisation concerned that it has completed the procedure, without providing any indication of whether criminal records information on the person concerned is held by one of the Member States.
Article 18
Providing information to a third country, international organisation or private party
Neither Eurojust, Europol, the EPPO nor any central authority shall transfer or make available to a third country, an international organisation or a private party information obtained from ECRIS-TCN concerning a third-country national. This Article shall be without prejudice to Article 17(3).
Article 19
Data Security
1.   eu-LISA shall take the necessary measures to ensure the security of ECRIS-TCN, without prejudice to the responsibilities of each Member State, taking the security measures specified in paragraph 3 into consideration.
2.   As regards the operation of ECRIS-TCN, eu-LISA shall take the necessary measures in order to achieve the objectives set out in paragraph 3, including the adoption of a security plan and a business continuity and disaster recovery plan, and to ensure that installed systems may, in case of interruption, be restored.
3.   The Member States shall ensure the security of the data before and during the transmission to and receipt from the national central access point. In particular, each Member State shall:
(a)
physically protect data, including by making contingency plans for the protection of infrastructure;
(b)
deny unauthorised persons access to national installations in which the Member State carries out operations related to ECRIS-TCN;
(c)
prevent the unauthorised reading, copying, modification or removal of data media;
(d)
prevent the unauthorised input of data and the unauthorised inspection, modification or erasure of stored personal data;
(e)
prevent the unauthorised processing of data in ECRIS-TCN and any unauthorised modification or erasure of data processed in ECRIS-TCN;
(f)
ensure that persons authorised to access ECRIS-TCN have access only to the data covered by their access authorisation, by means of individual user identities and confidential access modes only;
(g)
ensure that all authorities with a right of access to ECRIS-TCN create profiles describing the functions and responsibilities of persons who are authorised to enter, rectify, erase, consult and search the data and make their profiles available to the national supervisory authorities without undue delay at their request;
(h)
ensure that it is possible to verify and establish to which Union bodies, offices and agencies personal data may be transmitted using data communication equipment;
(i)
ensure that it is possible to verify and establish what data have been processed in ECRIS-TCN, when, by whom and for what purpose;
(j)
prevent the unauthorised reading, copying, modification or erasure of personal data during the transmission of personal data to or from ECRIS-TCN or during the transport of data media, in particular by means of appropriate encryption techniques;
(k)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to self-monitoring and supervision to ensure compliance with this Regulation.
4.   eu-LISA and the Member States shall cooperate in order to ensure a coherent data security approach based on a security risk management process encompassing the entire ECRIS-TCN.
Article 20
Liability
1.   Any person who, or any Member State which, has suffered material or non-material damage as a result of an unlawful processing operation or any other act incompatible with this Regulation shall be entitled to receive compensation from:
(a)
the Member State which is responsible for the damage suffered; or
(b)
eu-LISA, where eu-LISA has not complied with its obligations set out in this Regulation or in Regulation (EU) 2018/1725.
The Member State which is responsible for the damage suffered or eu-LISA, respectively, shall be exempted from liability, in whole or in part, if it proves that it is not responsible for the event which gave rise to the damage.
2.   If any failure of a Member State, Eurojust, Europol, or the EPPO to comply with its obligations under this Regulation causes damage to ECRIS-TCN, that Member State, Eurojust, Europol, or the EPPO, respectively, shall be held liable for such damage, unless and insofar as eu-LISA or another Member State participating in ECRIS-TCN failed to take reasonable measures to prevent the damage from occurring or to minimise its impact.
3.   Claims for compensation against a Member State for the damage referred to in paragraphs 1 and 2 shall be governed by the law of the defendant Member State. Claims for compensation against eu-LISA, Eurojust, Europol and the EPPO for the damage referred to in paragraphs 1 and 2 shall be governed by their respective founding acts.
Article 21
Self-monitoring
Member States shall ensure that each central authority takes the measures necessary to comply with this Regulation and cooperates, where necessary, with the supervisory authorities.
Article 22
Penalties
Any misuse of data entered in ECRIS-TCN shall be subject to penalties or disciplinary measures, in accordance with national or Union law, that are effective, proportionate and dissuasive.
CHAPTER V
Data protection rights and supervision
Article 23
Data controller and data processor
1.   Each central authority is to be considered as data controller in accordance with applicable Union data protection rules for the processing of the personal data by that central authority's Member State under this Regulation.
2.   eu-LISA shall be considered as data processor in accordance with Regulation (EU) 2018/1725 as regards the personal data entered into the central system by the Member States.
Article 24
Purpose of the processing of personal data
1.   The data entered into the central system shall only be processed for the purpose of the identification of the Member States holding the criminal records information on third-country nationals.
2.   With the exception of duly authorised staff of Eurojust, Europol and the EPPO who have access to ECRIS-TCN for the purposes of this Regulation, access to ECRIS-TCN shall be reserved exclusively to duly authorised staff of the central authorities. Access shall be limited to the extent needed for the performance of the tasks in accordance with the purpose referred to in paragraph 1, and to what is necessary and proportionate to the objectives pursued.
Article 25
Right of access, rectification, erasure and restriction of processing
1.   The requests of third-country nationals concerning the rights of access to personal data, to rectification and erasure and to restriction of processing of personal data which are set out in the applicable Union data protection rules may be addressed to the central authority of any Member State.
2.   Where a request is made to a Member State other than the convicting Member State, the Member State to which the request has been made shall forward it to the convicting Member State without undue delay and in any event within 10 working days of receiving the request. Upon receipt of the request, the convicting Member State shall:
(a)
immediately launch a procedure for checking the accuracy of the data concerned and the lawfulness of its processing in ECRIS-TCN; and
(b)
respond to the Member State that forwarded the request without undue delay.
3.   In the event that data recorded in ECRIS-TCN are inaccurate or have been processed unlawfully, the convicting Member State shall rectify or erase the data in accordance with Article 9. The convicting Member State or, where applicable, the Member State to which the request has been made shall confirm in writing to the person concerned without undue delay that action has been taken to rectify or erase data relating to that person. The convicting Member State shall also without undue delay inform any other Member State which has been a recipient of conviction information obtained as a result of a query of ECRIS-TCN of what action has been taken.
4.   If the convicting Member State does not agree that data recorded in ECRIS-TCN are inaccurate or have been processed unlawfully, that Member State shall adopt an administrative or judicial decision explaining in writing to the person concerned why it is not prepared to rectify or erase data relating to him or her. Such cases may, where appropriate, be communicated to the national supervisory authority.
5.   The Member State which has adopted the decision pursuant to paragraph 4 shall also provide the person concerned with information explaining the steps which that person can take if the explanation given pursuant to paragraph 4 is not acceptable to him or her. This shall include information on how to bring an action or a complaint before the competent authorities or courts of that Member State and any assistance, including from the national supervisory authorities, that is available in accordance with the national law of that Member State.
6.   Any request made pursuant to paragraph 1 shall contain the information necessary to identify the person concerned. That information shall be used exclusively to enable the exercise of the rights referred to in paragraph 1 and shall be erased immediately afterwards.
7.   Where paragraph 2 applies, the central authority to whom the request was addressed shall keep a written record that such a request was made and of how it was addressed and to which authority it was forwarded. Upon request from the national supervisory authority, the central authority shall make that record available to that national supervisory authority without delay. The central authority and the national supervisory authority shall erase such records three years after their creation.
Article 26
Cooperation to ensure respect for data protection rights
1.   The central authorities shall cooperate with each other in order to ensure respect for the rights laid down in Article 25.
2.   In each Member State, the national supervisory authority shall, upon request, provide information to the person concerned on how to exercise his or her right to rectify or erase data relating to him or to her, in accordance with the applicable Union data protection rules.
3.   For the purposes of this Article, the national supervisory authority of the Member State which transmitted the data and the national supervisory authority of the Member State to which the request has been made shall cooperate with each other.
Article 27
Remedies
Any person shall have the right to lodge a complaint and the right to a legal remedy in the convicting Member State which refused the right of access to or the right of rectification or erasure of data relating to him or to her, referred to in Article 25 in accordance with national or Union law.
Article 28
Supervision by the national supervisory authorities
1.   Each Member State shall ensure that the national supervisory authorities designated pursuant to applicable Union data protection rules shall monitor the lawfulness of the processing of personal data referred to in Articles 5 and 6 by the Member State concerned, including their transmission to and from ECRIS-TCN.
2.   The national supervisory authority shall ensure that an audit of the data processing operations in the national criminal records and fingerprints databases related to the data exchange between those systems and ECRIS-TCN is carried out in accordance with relevant international auditing standards at least every three years from the date of the start of operations of ECRIS-TCN.
3.   Member States shall ensure that their national supervisory authorities have sufficient resources to fulfil the tasks entrusted to them under this Regulation.
4.   Each Member State shall supply any information requested by its national supervisory authorities and shall, in particular, provide them with information on the activities carried out in accordance with Articles 12, 13 and 19. Each Member State shall grant its national supervisory authorities access to its records pursuant to Article 25(7) and to its logs pursuant to Article 31(6) and allow them access at all times to all its ECRIS-TCN related premises.
Article 29
Supervision by the European Data Protection Supervisor
1.   The European Data Protection Supervisor shall monitor that the personal data processing activities of eu-LISA concerning ECRIS-TCN are carried out in accordance with this Regulation.
2.   The European Data Protection Supervisor shall ensure that an audit of eu-LISA's personal data processing activities is carried out in accordance with relevant international auditing standards at least every three years. A report of that audit shall be sent to the European Parliament, the Council, the Commission, eu-LISA and the supervisory authorities. eu-LISA shall be given an opportunity to make comments before the report is adopted.
3.   eu-LISA shall supply information requested by the European Data Protection Supervisor, give him or her access to all documents and to its logs referred to in Article 31 and allow him or her access to all of its premises at any time.
Article 30
Cooperation among national supervisory authorities and the European Data Protection Supervisor
Coordinated supervision of ECRIS-TCN shall be ensured in accordance with Article 62 of Regulation (EU) 2018/1725.
Article 31
Keeping of logs
1.   eu-LISA and the competent authorities shall ensure, in accordance with their respective responsibilities, that all data processing operations in ECRIS-TCN are logged in accordance with paragraph 2 for the purposes of checking the admissibility of requests, monitoring data integrity and security and the lawfulness of the data processing as well as for the purposes of self-monitoring.
2.   The log shall show:
(a)
the purpose of the request for access to ECRIS-TCN data;
(b)
the data transmitted as referred to in Article 5;
(c)
the national file reference;
(d)
the date and exact time of the operation;
(e)
the data used for a query;
(f)
the identifying mark of the official who carried out the search.
3.   The log of consultations and disclosures shall make it possible to establish the justification of such operations.
4.   Logs shall be used only for monitoring the lawfulness of data processing and for ensuring data integrity and security. Only logs containing non-personal data may be used for the monitoring and evaluation referred to in Article 36. Those logs shall be protected by appropriate measures against unauthorised access and erased after three years, if they are no longer required for monitoring procedures which have already begun.
5.   On request, eu-LISA shall make the logs of its processing operations available to the central authorities without undue delay.
6.   The competent national supervisory authorities responsible for checking the admissibility of the requests and monitoring the lawfulness of the data processing and data integrity and security shall have access to logs at their request for the purpose of fulfilling their duties. On request, the central authorities shall make the logs of their processing operations available to the competent national supervisory authorities without undue delay.
CHAPTER VI
Final provisions
Article 32
Use of data for reporting and statistics
1.   The duly authorised staff of eu-LISA, of the competent authorities and of the Commission shall have access to the data processed within ECRIS-TCN solely for the purposes of reporting and providing statistics, without allowing for individual identification.
2.   For the purpose of paragraph 1, eu-LISA shall establish, implement and host a central repository at its technical sites containing the data referred to in paragraph 1 which, without allowing for individual identification, enables customisable reports and statistics to be obtained. Access to the central repository shall be granted by means of secured access with control of access and specific user profiles, solely for the purpose of reporting and statistics.
3.   The procedures put in place by eu-LISA to monitor the functioning of ECRIS-TCN referred to in Article 36 as well as the ECRIS reference implementation shall include the possibility to produce regular statistics for monitoring purposes.
Every month eu-LISA shall submit to the Commission statistics relating to the recording, storage and exchange of information extracted from criminal records through ECRIS-TCN and the ECRIS reference implementation. eu-LISA shall ensure that it is not possible to identify individuals on the basis of those statistics. At the request of the Commission, eu-LISA shall provide it with statistics on specific aspects related to the implementation of this Regulation.
4.   The Member States shall provide eu-LISA with the statistics necessary to fulfil its obligations referred to in this Article. They shall provide the Commission with statistics on the number of convicted third-country nationals, as well as the number of convictions of third-country nationals on their territory.
Article 33
Costs
1.   The costs incurred in connection with the establishment and operation of the central system, the communication infrastructure referred to in point (d) of Article 4(1), the interface software and the ECRIS reference implementation shall be borne by the general budget of the Union.
2.   The costs of connection of Eurojust, Europol and the EPPO to ECRIS-TCN shall be borne by their respective budgets.
3.   Other costs shall be borne by the Member States, specifically the costs incurred by the connection of the existing national criminal records registers, fingerprints databases and the central authorities to ECRIS-TCN, as well as the costs of hosting the ECRIS reference implementation.
Article 34
Notifications
1.   Each Member State shall notify eu-LISA of its central authority, or authorities, that has access to enter, rectify, erase, consult or search data, as well as of any change in this respect.
2.   eu-LISA shall ensure publication of the list of central authorities notified by the Member States, both in the 
Official Journal of the European Union
 and on its website. When eu-LISA receives notification of a change to a Member State's central authority, it shall update the list without undue delay.
Article 35
Entry of data and start of operations
1.   Once the Commission is satisfied that the following conditions are met, it shall determine the date from which the Member States shall start entering the data referred to in Article 5 into ECRIS-TCN:
(a)
the relevant implementing acts referred to in Article 10 have been adopted;
(b)
the Member States have validated the technical and legal arrangements to collect and transmit the data referred to in Article 5 to ECRIS-TCN and have notified them to the Commission;
(c)
eu-LISA has carried out a comprehensive test of ECRIS-TCN, in cooperation with the Member States, using anonymous test data.
2.   When the Commission has determined the date of start of entry of data in accordance with paragraph 1, it shall communicate that date to the Member States. Within a period of two months following that date, the Member States shall enter the data referred to in Article 5 into ECRIS-TCN, taking account of Article 41(2).
3.   After the end of the period referred to in paragraph 2, eu-LISA shall carry out a final test of ECRIS-TCN, in cooperation with the Member States.
4.   When the test referred to in paragraph 3 has been successfully completed and eu-LISA considers that ECRIS-TCN is ready to start operations, it shall notify the Commission. The Commission shall inform the European Parliament and the Council of the results of the test and shall decide on the date on which ECRIS-TCN is to start operations.
5.   The decision of the Commission on the date of the start of operations of ECRIS-TCN, as referred to in paragraph 4, shall be published in the 
Official Journal of the European Union
.
6.   The Member States shall start using ECRIS-TCN from the date determined by the Commission in accordance with paragraph 4.
7.   When taking the decisions referred to in this Article, the Commission may specify different dates for the entry into ECRIS-TCN of alphanumeric data and fingerprint data as referred to in Article 5, as well as for the start of operations with respect to those different categories of data.
Article 36
Monitoring and evaluation
1.   eu-LISA shall ensure that procedures are in place to monitor the development of ECRIS-TCN in light of objectives relating to planning and costs and to monitor the functioning of ECRIS-TCN and the ECRIS reference implementation in light of objectives relating to the technical output, cost-effectiveness, security and quality of service.
2.   For the purposes of monitoring the functioning of ECRIS-TCN and its technical maintenance, eu-LISA shall have access to the necessary information relating to the data processing operations performed in ECRIS-TCN and in the ECRIS reference implementation.
3.   By 12 December 2019 and every six months thereafter during the design and development phase, eu-LISA shall submit a report to the European Parliament and the Council on the state of play of the development of ECRIS-TCN and of the ECRIS reference implementation.
4.   The report referred to in paragraph 3 shall include an overview of the current costs and the progress of the project, a financial impact assessment, and information on any technical problems and risks that may impact the overall costs of ECRIS-TCN to be borne by the general budget of the Union in accordance with Article 33.
5.   In the event of substantial delays in the development process, eu-LISA shall inform the European Parliament and the Council as soon as possible of the reasons for these delays and of their impact in terms of time and finances.
6.   Once the development of ECRIS-TCN and of the ECRIS reference implementation is finalised, eu-LISA shall submit a report to the European Parliament and to the Council explaining how the objectives, in particular relating to planning and costs, were achieved and justifying any divergences.
7.   In the event of a technical upgrade of ECRIS-TCN which could result in substantial costs, eu-LISA shall inform the European Parliament and the Council.
8.   Two years after the start of operations of ECRIS-TCN and every year thereafter, eu-LISA shall submit to the Commission a report on the technical functioning of ECRIS-TCN and of the ECRIS reference implementation, including their security, based in particular on the statistics on the functioning and use of ECRIS-TCN and on the exchange, through the ECRIS reference implementation, of information extracted from the criminal records.
9.   Four years after the start of operations of ECRIS-TCN and every four years thereafter, the Commission shall conduct an overall evaluation of ECRIS-TCN and of the ECRIS reference implementation. The overall evaluation report established on this basis shall include an assessment of the application of this Regulation and an examination of results that have been achieved relative to the objectives that were set and of the impact on fundamental rights. The report shall also include an assessment of whether the underlying rationale for operating ECRIS-TCN continues to hold, of the appropriateness of the use of biometric data for the purposes of ECRIS-TCN, of the security of ECRIS-TCN and of any security implications for future operations. The evaluation shall include any necessary recommendations. The Commission shall transmit the report to the European Parliament, the Council, the European Data Protection Supervisor and the European Union Agency for Fundamental Rights.
10.   In addition, the first overall evaluation as referred to in paragraph 9 shall include an assessment of:
(a)
the extent to which, on the basis of relevant statistical data and further information from the Member States, the inclusion in ECRIS-TCN of identity information of citizens of the Union who also hold the nationality of a third country has contributed to the achievement of the objectives of this Regulation;
(b)
the possibility, for some Member States, to continue the use of national ECRIS implementation software, as referred to in Article 4;
(c)
the entry of fingerprint data into ECRIS-TCN, in particular the application of the minimum criteria as referred to in point (b)(ii) of Article 5(1);
(d)
the impact of ECRIS and of ECRIS-TCN on the protection of personal data.
The assessment may be accompanied, if necessary, by legislative proposals. Subsequent overall evaluations may include an assessment of any or all of those aspects.
11.   The Member States, Eurojust, Europol and the EPPO shall provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraphs 3, 8 and 9 according to the quantitative indicators predefined by the Commission or eu-LISA or both. That information shall not jeopardise working methods or include information that reveals sources, staff members or investigations.
12.   Where relevant, the supervisory authorities shall provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraph 9 according to the quantitative indicators predefined by the Commission or eu-LISA or both. That information shall not jeopardise working methods or include information that reveals sources, staff members or investigations.
13.   eu-LISA shall provide the Commission with the information necessary to produce the overall evaluations referred to in paragraph 9.
Article 37
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 6(2) shall be conferred on the Commission for an indeterminate period of time from 11 June 2019.
3.   The delegation of power referred to in Article 6(2) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 6(2) shall enter into force only if no objection has been expressed either by the European Parliament or the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
Article 38
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Where the committee delivers no opinion, the Commission shall not adopt the draft implementing act and the third subparagraph of Article 5(4) of Regulation (EU) No 182/2011 shall apply.
Article 39
Advisory Group
eu-LISA shall establish an Advisory Group in order to obtain expertise related to ECRIS-TCN and the ECRIS reference implementation, in particular in the context of preparation of its annual work programme and its annual activity report. During the design and development phase, Article 11(9) shall apply.
Article 40
Amendments to Regulation (EU) 2018/1726
Regulation (EU) 2018/1726 is amended as follows:
(1)
In Article 1, paragraph 4 is replaced by the following:
‘4.   The Agency shall be responsible for the preparation, development or operational management of the Entry/Exit System (EES), DubliNet, the European Travel Information and Authorisation System (ETIAS), ECRIS-TCN and the ECRIS reference implementation.’;
(2)
The following Article is inserted:
‘Article 8a
Tasks related to ECRIS-TCN and the ECRIS reference implementation
In relation to ECRIS-TCN and the ECRIS reference implementation, the Agency shall perform:
(a)
the tasks conferred on it by Regulation (EU) 2019/816 of the European Parliament and of the Council
 (
*1
)
;
(b)
tasks relating to training on the technical use of ECRIS-TCN and the ECRIS reference implementation.
(
*1
)
  Regulation (EU) 2019/816 of the European Parliament and of the Council of 17 April 2019 establishing a centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) to supplement the European Criminal Records Information System) and amending Regulation (EU) 2018/1726 (
OJ L 135, 22.5.2019, p. 1
).’;"
(3)
In Article 14, paragraph 1 is replaced by the following:
‘1.   The Agency shall monitor developments in research relevant for the operational management of SIS II, VIS, Eurodac, the EES, ETIAS, DubliNet, ECRIS-TCN and other large-scale IT systems as referred to in Article 1(5).’;
(4)
In Article 19, paragraph 1 is amended as follows:
(a)
point (ee) is replaced by the following:
‘(ee)
adopt the reports on the development of the EES pursuant to Article 72(2) of Regulation (EU) 2017/2226, the reports on the development of ETIAS pursuant to Article 92(2) of Regulation (EU) 2018/1240 and the reports on the development of ECRIS-TCN and of the ECRIS reference implementation pursuant to Article 36(3) of Regulation (EU) 2019/816;’;
(b)
point (ff) is replaced by the following:
‘(ff)
adopt the reports on the technical functioning of SIS II pursuant to Article 50(4) of Regulation (EC) No 1987/2006 and Article 66(4) of Decision 2007/533/JHA respectively, of VIS pursuant to Article 50(3) of Regulation (EC) No 767/2008 and Article 17(3) of Decision 2008/633/JHA, of the EES pursuant to Article 72(4) of Regulation (EU) 2017/2226, of ETIAS pursuant to Article 92(4) of Regulation (EU) 2018/1240, and of ECRIS-TCN and of the ECRIS reference implementation pursuant to Article 36(8) of Regulation (EU) 2019/816;’;
(c)
point (hh) is replaced by the following:
‘(hh)
adopt formal comments on the European Data Protection Supervisor's reports on the audits carried out pursuant to Article 45(2) of Regulation (EC) No 1987/2006, Article 42(2) of Regulation (EC) No 767/2008 and Article 31(2) of Regulation (EU) No 603/2013, Article 56(2) of Regulation (EU) 2017/2226, Article 67 of Regulation (EU) 2018/1240 and to Article 29(2) of Regulation (EU) 2019/816 and ensure appropriate follow-up of those audits;’;
(d)
the following point is inserted:
‘(lla)
submit to the Commission statistics related to ECRIS-TCN and to the ECRIS reference implementation pursuant to the second subparagraph of Article 32(3) of Regulation (EU) 2019/816;’;
(e)
point (mm) is replaced by the following:
‘(mm)
ensure annual publication of the list of competent authorities authorised to search directly the data contained in SIS II pursuant to Article 31(8) of Regulation (EC) No 1987/2006 and Article 46(8) of Decision 2007/533/JHA, together with the list of Offices of the national systems of SIS II (N.SIS II Offices) and SIRENE Bureaux pursuant to Article 7(3) of Regulation (EC) No 1987/2006 and Article 7(3) of Decision 2007/533/JHA respectively as well as the list of competent authorities pursuant to Article 65(2) of Regulation (EU) 2017/2226, the list of competent authorities pursuant to Article 87(2) of Regulation (EU) 2018/1240 and the list of central authorities pursuant to Article 34(2) of Regulation (EU) 2019/816;’;
(5)
In Article 22(4), the following subparagraph is inserted after the third subparagraph:
‘Eurojust, Europol and the EPPO may attend the meetings of the Management Board as observers when a question concerning ECRIS-TCN in relation to the application of Regulation (EU) 2019/816 is on the agenda.’;
(6)
In Article 24(3), point (p) is replaced by the following:
‘(p)
establishing, without prejudice to Article 17 of the Staff Regulations of Officials, confidentiality requirements in order to comply with Article 17 of Regulation (EC) No 1987/2006, Article 17 of Decision 2007/533/JHA, Article 26(9) of Regulation (EC) No 767/2008, Article 4(4) of Regulation (EU) No 603/2013, Article 37(4) of Regulation (EU) 2017/2226, Article 74(2) of Regulation (EU) No 2018/1240 and Article 11(16) of Regulation (EU) 2019/816;’;
(7)
In Article 27(1), the following point is inserted:
‘(da)
ECRIS-TCN Advisory Group;’.
Article 41
Implementation and transitional provisions
1.   Member States shall take the necessary measures to comply with this Regulation as soon as possible so as to ensure the proper functioning of ECRIS-TCN.
2.   For convictions handed down prior to the date of start of entry of data in accordance with Article 35(1), the central authorities shall create the individual data records in the central system as follows:
(a)
alphanumeric data to be entered into the central system by the end of the period referred to in Article 35(2);
(b)
fingerprint data to be entered into the central system within two years after the start of operations in accordance with Article 35(4).
Article 42
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Strasbourg, 17 April 2019.
For the European Parliament
The President
A. TAJANI
For the Council
The President
G. CIAMBA
(
1
)
  Position of the European Parliament of 12 March 2019 (not yet published in the Official Journal) and decision of the Council of 9 April 2019.
(
2
)
  Council Framework Decision 2008/675/JHA of 24 July 2008 on taking account of convictions in the Member States of the European Union in the course of new criminal proceedings (
OJ L 220, 15.8.2008, p. 32
).
(
3
)
  Council Framework Decision 2009/315/JHA of 26 February 2009 on the organisation and content of the exchange of information extracted from the criminal record between Member States (
OJ L 93, 7.4.2009, p. 23
).
(
4
)
  Council Decision 2009/316/JHA of 6 April 2009 on the establishment of the European Criminal Records Information System (ECRIS) in application of Article 11 of Framework Decision 2009/315/JHA (
OJ L 93, 7.4.2009, p. 33
).
(
5
)
  Regulation (EU) 2018/1726 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) No 1987/2006 and Council Decision 2007/533/JHA and repealing Regulation (EU) No 1077/2011 (
OJ L 295, 21.11.2018, p. 99
).
(
6
)
  Directive 2011/93/EU of the European Parliament and of the Council of 13 December 2011 on combating the sexual abuse and sexual exploitation of children and child pornography, and replacing Council Framework Decision 2004/68/JHA (
OJ L 335, 17.12.2011, p. 1
).
(
7
)
  Regulation (EU) 2018/1727 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for Criminal Justice Cooperation (Eurojust), and replacing and repealing Council Decision 2002/187/JHA (
OJ L 295, 21.11.2018, p. 138
).
(
8
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
9
)
  Council Regulation (EU) 2017/1939 of 12 October 2017 implementing enhanced cooperation on the establishment of the European Public Prosecutor's Office (‘the EPPO’) (
OJ L 283, 31.10.2017, p. 1
).
(
10
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
11
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
12
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
13
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
14
)
  Regulation (EU) No 182/2011 of the European Parliament and the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission's exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
15
)
  Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
16
)
  
            
OJ C 55, 14.2.2018, p. 4
.
(
17
)
  
            
OJ L 56, 4.3.1968, p. 1
.
ANNEX
STANDARD INFORMATION REQUEST FORM AS REFERRED TO IN ARTICLE 17(1) OF REGULATION (EU) 2019/816 IN ORDER TO OBTAIN INFORMATION ON WHICH MEMBER STATE, IF ANY, HOLDS CRIMINAL RECORDS INFORMATION OF A THIRD-COUNTRY NATIONAL
Text of image
This form, which is available at www.eurojust.europa.eu in all 24 official languages of the institutions of the Union, should be addressed in one of those languages to ECRIS-TCN@eurojust.europa.eu
Requesting state or international organisation:
Name of state or international organisation:
Authority submitting the request:
Represented by (name of person):
Title:
Address:
Telephone number:
Email address:
Criminal proceedings for which the information is sought:
Domestic reference number:
Competent authority:
Type of crimes under investigation (please mention relevant article(s) of criminal code):
Other relevant information (e.g. urgency of the request):
Identity information of the person having the nationality of a third country in respect of whom information regarding the convicting Member State is sought:
NB: please provide as much available information as possible.
Surname (family name):
First name(s) (given names):
Date of birth:
Place of birth (town and country):
Nationality or nationalities:
Gender:
Previous name(s), if applicable:
Parents’ names:
Identity number:
Type and number of the person’s identification document(s):
Issuing authority of document(s):
Pseudonyms or aliases:
If fingerprint data are available, please provide these.
In case of multiple persons, please indicate them separately
A drop down panel would allow the insertion of additional subjects
Place
Date
(Electronic) signature and stamp:

Summary:
European criminal records information system – conviction information on third-country nationals (ECRIS-TCN)
SUMMARY OF:
Regulation (EU) 2019/816 setting up a centralised system for the identification of Member States holding conviction information on non-EU nationals and stateless persons (ECRIS-TCN)
WHAT IS THE AIM OF THE REGULATION?
It establishes: 
ECRIS-TCN
 (European criminal records information system – third country nationals) – a system to identify the 
European Union
 (EU) 
Member States
 that hold information on previous convictions of ‘third-country’ (non-EU) nationals and stateless persons;
the conditions under which national authorities may access ECRIS-TCN in order to obtain 
information on previous convictions
 through the 
European criminal records information system
 (ECRIS) (Framework Decision 
2009/315/JHA
 – see 
summary
), and the conditions under which the 
European Public Prosecutor’s Office
 (EPPO), the 
European Union Agency for Criminal Justice Cooperation
 (Eurojust) and the 
European Union Agency for Law Enforcement Cooperation
 (Europol) may use the system;
the terms under which ECRIS-TCN helps to facilitate and assist in the 
correct identification of people registered in ECRIS-TCN
 (under amending Regulation (EU) 
2019/818
, which sets up a framework for interoperability between EU information systems in the fields of police and judicial cooperation, asylum and migration – see 
summary
);
the conditions under which data in ECRIS-TCN may be used by the 
visa information system
 (VIS) designated authorities under Regulation (EC) 
No 
767/2008
 (see 
summary
) to assess whether an applicant for a visa, a long-stay visa or a residence permit could pose a threat to public policy or internal security (amending Regulation (EU) 
2021/1133
);
the conditions under which data in ECRIS-TCN may be used by the 
European Travel Information and Authorisation System
 (ETIAS) Central Unit, set up within the European Border and Coast Guard Agency under Regulation (EU) 
2018/1240
 to support the ETIAS objective of contributing to a high level of security by providing for a thorough security risk assessment of applicants, prior to their arrival at external border crossing points, in order to determine whether there are factual indications, or reasonable grounds based on factual indications, to conclude that the presence of the person on the territory of the Member States poses a security risk (amending Regulation (EU) 
2021/1151
).
KEY POINTS
The legislation applies to the processing of identity information of non-EU nationals with previous 
convictions
1
 in one of the Member States, in order to determine which Member State handed down the sentence. It applies equally to EU citizens who also hold non-EU nationality. Information on the conviction itself can only be obtained from the convicting Member State.
The 
technical architecture
 of ECRIS-TCN consists of:
a 
central system
 which is hosted by the 
European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice
 (eu-LISA);
the common identity repository;
a national central access point in each Member State;
interface software enabling authorities to connect to the central system;
a communication infrastructure between the central system and national central access points.
An 
implementing act
, Commission Implementing Decision (EU) 
2022/2470
, lays down measures necessary for the technical development and implementation of ECRIS-TCN. It sets out the specifications for processing alphanumeric and fingerprint data, data quality, entering the data, accessing and querying ECRIS-TCN, keeping and accessing logs and providing statistics, along with performance and availability requirements of ECRIS-TCN.
National 
central authorities
2
 must create a 
data record
 in ECRIS-TCN as quickly as possible for each non-EU national they convict. This contains:
family and first names, date and place of birth, nationality (or nationalities), gender, previous names if applicable and the code of the convicting Member State;
if available, parents’ names, details of the individual’s identity documents and pseudonyms or aliases;
fingerprint data collected according to national law and satisfying certain technical specifications;
facial images, if allowed under the national law of the convicting Member State;
a flag indicating that the non-EU national concerned has been convicted in the previous 25 years of a terrorist offence, or in the previous 15 years of any other criminal offence listed in the Annex to Regulation (EU) 2018/1240 if it is punishable by a custodial sentence or a detention order for a maximum period of at least 3 years under national law, including the code of the convicting Member State.
National central authorities
 can use ECRIS-TCN to identify the Member State holding criminal record information on a non-EU national, in order to subsequently obtain information on an individual’s previous convictions via ECRIS, when this is required for the purposes of criminal proceedings against that individual or for:
checking a person’s own criminal record at their request;
obtaining a security clearance;
obtaining a licence or permit;
employment vetting;
voluntary activities involving direct and regular contact with children or vulnerable people;
visa, citizenship, migration and asylum procedures;
checks linked to public contracts and public examinations.
The EPPO, Eurojust and Europol:
may access ECRIS-TCN directly to identify the Member State holding criminal record information on a non-EU national;
may not enter, correct or erase any data in ECRIS-TCN;
may request criminal records information from the Member State concerned when a 
hit
3
 occurs via their own channels;
are responsible for their technical connections to ECRIS-TCN;
must provide staff with appropriate training, especially on data security, data protection and 
fundamental rights
.
Non-EU countries and international organisations
 may ask Eurojust for information as to which Member States may hold criminal records of a non-EU national concerned, only for the purposes of criminal proceedings. If there is a hit, and the Member State concerned consents, Eurojust informs the non-EU country or international organisation which Member State is concerned, so that they may ask that Member State for the relevant extracts from the criminal records.
Data
:
are stored in the central system for as long as they are kept in the national criminal records;
are erased by national authorities when the national retention period expires;
may be modified or erased by the Member States that entered them in the central system or common identity repository;
may only be processed to identify the Member States holding criminal record information of non-EU nationals.
eu-LISA
 is responsible for:
developing ECRIS-TCN, its operational management and maintaining the 
ECRIS reference implementation
4
;
supervising the communication infrastructure, including its security;
maintaining procedures for carrying out quality checks on data stored in ECRIS-TCN and monitoring its functioning and technical maintenance;
submitting regular reports to the 
European Parliament
, the 
Council of the European Union
 and the 
European Commission
;
providing the necessary technical training;
applying appropriate rules on professional secrecy and confidentiality;
taking the necessary measures to ensure ECRIS-TCN’s security;
logging all data processing operations in ECRIS-TCN;
providing the Commission with monthly statistics on the recording, storage and exchange of information extracted from criminal records through ECRIS-TCN and the ECRIS reference implementation.
Member States
 are responsible for:
a secure connection between their national criminal records, fingerprint databases and national central access point;
management of duly authorised staff of the central authorities and their training;
lawful processing of data recorded in ECRIS-TCN and, in particular, making sure that: 
only authorised staff have access to the data,
the data are collected and entered into ECRIS-TCN lawfully, respecting non-EU nationals’ human dignity and fundamental rights, and
the information is accurate and up to date when entered into ECRIS-TCN;
each central authority taking the necessary measures to comply with the legislation;
national supervisory authorities monitoring the legality of the processing of personal data.
An individual or a Member State suffering damage from behaviour incompatible with the regulation may receive 
compensation
 from:
the Member State responsible for the damage;
eu-LISA if the agency has not complied with its obligations.
Non-EU nationals may contact a Member State’s central authority to request access to their personal data, its correction, erasure or restriction on its use.
Penalties or 
disciplinary measures
 apply with respect to any misuse of data entered in ECRIS-TCN.
The 
European Data Protection Supervisor
 monitors eu-LISA’s personal data-processing activities and produces an audit at least every 3 years for the Parliament, the Council and the Commission.
FROM WHEN DOES THE REGULATION APPLY?
Regulation (EU) 2019/816 has applied since 
11 June 2019
.
Amending Regulation (EU) 2021/1151 has applied since 
3 August 2021
.
Amending Regulation (EU) 2021/1133 will apply from the date of the start of operation of VIS pursuant to Article 11 of Regulation (EU) 2021/1134. This article states that no later than 
31 December 2023
, the Commission will adopt a decision by means of an implementing act setting the date on which VIS operations start.
Member States have to take the necessary measures to comply as soon as possible so as to ensure the proper functioning of ECRIS-TCN.
The Commission must be satisfied that certain conditions are met before determining the date from which Member States may start entering data into the ECRIS-TCN. After the final technical tests have been conducted by eu-LISA, the Commission will decide when the system is to start operation.
BACKGROUND
For further information, see:
European Criminal Records Information System (ECRIS)
 (European Commission).
KEY TERMS
Conviction.
 Any final decision by a criminal court against an individual and entered in the criminal records.
Central authority.
 A national criminal records authority designated in accordance with Article 3(1) of Framework Decision 2009/315/JHA.
Hit.
 A match between the identity information recorded in the central system and that used for a search.
ECRIS reference implementation.
 Software developed by the Commission and made available to Member States for the exchange of criminal records data through ECRIS.
MAIN DOCUMENT
Regulation (EU) 
2019/816
 of the European Parliament and of the Council of 
17 April 2019
 establishing a centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) to supplement the European Criminal Records Information System and amending Regulation (EU) 2018/1726 (OJ L 135, 
22.5.2019
, 
pp. 1–26
).
Successive amendments to Regulation (EU) 2019/816 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Commission Implementing Decision (EU) 
2022/2470
 of 
14 December 2022
 laying down measures necessary for the technical development and implementation of the centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) (OJ L 322, 
16.12.2022
, 
pp. 107–121
).
Regulation (EU) 
2021/1133
 of the European Parliament and of the Council of 
7 July 2021
 amending Regulations (EU) 
No 603/2013
, (EU) 2016/794, (EU) 2018/1862, (EU) 2019/816 and (EU) 2019/818 as regards the establishment of the conditions for accessing other EU information systems for the purposes of the Visa Information System (OJ L 248, 
13.7.2021
, 
pp. 1–10
).
Regulation (EU) 
2019/818
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of police and judicial cooperation, asylum and migration and amending Regulations (EU) 2018/1726, (EU) 2018/1862 and (EU) 2019/816 (OJ L 135, 
22.5.2019
, 
pp. 85–135
).
See 
consolidated version
.
Regulation (EU) 
2018/1727
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for Criminal Justice Cooperation (Eurojust), and replacing and repealing Council Decision 2002/187/JHA (OJ L 295, 
21.11.2018
, 
pp. 138–183
).
See 
consolidated version
.
Regulation (EU) 
2018/1726
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) 
No 1987/2006
 and Council Decision 2007/533/JHA and repealing Regulation (EU) 
No 1077/2011
 (OJ L 295, 
21.11.2018
, 
pp. 99–137
).
See 
consolidated version
.
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39–98
).
Regulation (EU) 
2018/1240
 of the European Parliament and of the Council of 
12 September 2018
 establishing a European Travel Information and Authorisation System (ETIAS) and amending Regulations (EU) 
No 1077/2011
, (EU) 
No 515/2014
, (EU) 2016/399, (EU) 2016/1624 and (EU) 2017/2226 (OJ L 236, 
19.9.2018
, 
pp. 1–71
).
See 
consolidated version
.
Council Regulation (EU) 
2017/1939
 of 
12 October 2017
 implementing enhanced cooperation on the establishment of the European Public Prosecutor’s Office (‘the EPPO’) (OJ L 283, 
31.10.2017
, 
pp. 1–71
).
See 
consolidated version
.
Regulation (EU) 
2016/794
 of the European Parliament and of the Council of 
11 May 2016
 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (OJ L 135, 
24.5.2016
, 
pp. 53–114
).
See 
consolidated version
.
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
See 
consolidated version
.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89–131
).
See 
consolidated version
.
Council Framework Decision 
2009/315/JHA
 of 
26 February 2009
 on the organisation and content of the exchange of information extracted from the criminal record between Member States (OJ L 93, 
7.4.2009
, 
pp. 23–32
).
See 
consolidated version
.
Regulation (EC) 
No 
767/2008
 of the European Parliament and of the Council of 
9 July 2008
 concerning the Visa Information System (VIS) and the exchange of data between Member States on short-stay visas (VIS Regulation) (OJ L 218, 
13.8.2008
, 
pp. 60–81
).
See 
consolidated version
.
last update 
10.5.2023

--- DANISH ---

Document:
22.5.2019
DA
Den Europæiske Unions Tidende
L 135/1
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2019/816
af 17. april 2019
om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) for at supplere det europæiske informationssystem vedrørende strafferegistre, og om ændring af forordning (EU) 2018/1726
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 82, stk. 1, andet afsnit, litra d),
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
efter den almindelige lovgivningsprocedure 
(
1
)
, og
ud fra følgende betragtninger:
(1)
Unionen har sat sig som mål at sikre borgerne et område med frihed, sikkerhed og retfærdighed uden indre grænser, hvor der er fri bevægelighed for personer. Dette mål bør nås ved hjælp af blandt andet passende foranstaltninger med henblik på at forebygge og bekæmpe kriminalitet, herunder organiseret kriminalitet og terrorisme.
(2)
Dette mål kræver, at der uden for domsstaten tages hensyn til oplysninger om straffedomme afsagt i medlemsstaterne i forbindelse med en ny straffesag, som fastsat i Rådets rammeafgørelse 2008/675/RIA 
(
2
)
, samt for at forebygge nye lovovertrædelser.
(3)
Dette mål forudsætter udveksling af oplysninger fra strafferegistre mellem medlemsstaternes kompetente myndigheder. En sådan udveksling af oplysninger reguleres og fremmes af reglerne i Rådets rammeafgørelse 2009/315/RIA 
(
3
)
 og af det europæiske informationssystem vedrørende strafferegistre (ECRIS), som er indført ved Rådets afgørelse 2009/316/RIA 
(
4
)
.
(4)
Den eksisterende retlige ramme for ECRIS tager imidlertid ikke i tilstrækkelig grad højde for alle forhold i forbindelse med anmodninger vedrørende tredjelandsstatsborgere. Selv om det allerede er muligt at udveksle oplysninger om tredjelandsstatsborgere gennem ECRIS, findes der ingen fælles EU-procedure eller -mekanisme, der sikrer, at dette kan ske effektivt, hurtigt og korrekt.
(5)
I Unionen indsamles oplysninger om tredjelandsstatsborgere ikke, som det er tilfældet for medlemsstaternes statsborgere, men lagres udelukkende i de medlemsstater, hvor straffedommene er afsagt. Et fuldstændigt overblik over en tredjelandsstatsborgers tidligere lovovertrædelser kan derfor kun sikres, hvis der anmodes om sådanne oplysninger fra alle medlemsstater.
(6)
Sådanne »generelle anmodninger« pålægger alle medlemsstater en uforholdsmæssig tung administrativ byrde, herunder også de medlemsstater, der ikke ligger inde med oplysninger om den pågældende tredjelandsstatsborger. I praksis får denne byrde medlemsstaterne til at afholde sig fra at anmode om oplysninger om tredjelandsstatsborgere fra andre medlemsstater, hvilket i alvorlig grad hæmmer udvekslingen af oplysninger mellem dem og dermed begrænser adgangen til strafferegisteroplysninger til oplysninger, der er lagret i deres nationale register. Som følge heraf øges risikoen for, at udvekslingen af oplysninger mellem medlemsstaterne er ineffektiv og ufuldstændig, hvilket igen indvirker på sikkerhedsniveauet for borgere og personer, der er bosiddende i Unionen.
(7)
For at forbedre situationen bør der indføres et system, hvor en medlemsstats centrale myndighed omgående og effektivt kan finde ud af, hvilke af de øvrige medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger (»ECRIS-TCN«). Den eksisterende ECRIS-ramme vil så kunne anvendes til at anmode om strafferegisteroplysninger fra de pågældende medlemsstater i overensstemmelse med rammeafgørelse 2009/315/RIA.
(8)
Der bør derfor ved denne forordning fastsættes regler om oprettelse af et centralt system på EU-plan, der indeholder personoplysninger, og regler om fordelingen af ansvarsområder mellem medlemsstaten og den organisation, der har ansvaret for udviklingen og vedligeholdelsen af det centrale system, samt specifikke databeskyttelsesbestemmelser, der måtte være nødvendige for at supplere de eksisterende databeskyttelsesordninger og sikre et passende samlet databeskyttelses- og datasikkerhedsniveau samt beskyttelse af de berørte personers grundlæggende rettigheder.
(9)
Målet om at give unionsborgere et område med frihed, sikkerhed og retfærdighed uden indre grænser, hvor der er fri bevægelighed for personer, kræver også, at der opbevares fuldstændige oplysninger om straffedomme for unionsborgere, som også er statsborgere i et tredjeland. Henset til muligheden for, at disse personer kan optræde med en eller flere nationaliteter, og at forskellige straffedomme kan være lagret i domsstaten eller i den medlemsstat, hvori den pågældende er statsborger, er det nødvendigt at medtage unionsborgere, som også er statsborgere i et tredjeland, i denne forordnings anvendelsesområde. Udelukkelsen af sådanne personer ville resultere i, at oplysningerne lagret i ECRIS-TCN var ufuldstændige. Dette ville bringe systemets pålidelighed i fare. Eftersom de pågældende personer er unionsborgere, bør de betingelser, hvorunder fingeraftryksoplysninger kan medtages i ECRIS-TCN for så vidt angår disse personer, dog være sammenlignelige med de betingelser, hvorunder fingeraftryksoplysninger udveksles mellem medlemsstaterne for så vidt angår unionsborgere gennem ECRIS, der blev indført ved rammeafgørelse 2009/315/RIA og afgørelse 2009/316/RIA. For så vidt angår unionsborgere, som også er statsborgere i et tredjeland, bør fingeraftryksoplysninger derfor kun medtages i ECRIS-TCN, hvor de er indsamlet i overensstemmelse med national ret under en straffesag, idet det underforstås, at medlemsstaterne med henblik på en sådan medtagelse bør kunne anvende fingeraftryksoplysninger, der er indsamlet til andre formål end straffesager, hvis en sådan anvendelse er tilladt i henhold til national ret.
(10)
ECRIS-TCN bør muliggøre behandling af fingeraftryksoplysninger med henblik på at bestemme, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger. Det bør også muliggøre behandling af ansigtsbilleder for at kunne bekræfte vedkommendes identitet. Det er afgørende, at indlæsningen og anvendelsen af fingeraftryksoplysninger og ansigtsbilleder ikke går videre, end hvad der er strengt nødvendigt for at nå målet, respekterer de grundlæggende rettigheder samt børns tarv og er i overensstemmelse med gældende EU-databeskyttelsesregler.
(11)
Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726 
(
5
)
, bør have til opgave at udvikle og drive ECRIS-TCN, i betragtning af agenturets erfaring med forvaltning af andre store systemer på området for retlige og indre anliggender. Dets mandat bør ændres for at afspejle disse nye opgaver.
(12)
eu-LISA bør tildeles passende midler og personale til at opfylde dets forpligtelser i henhold til denne forordning.
(13)
I lyset af behovet for at skabe tætte tekniske forbindelser mellem ECRIS-TCN og ECRIS bør eu-LISA også have til opgave at videreudvikle og vedligeholde ECRIS-referencegennemførelsen, og dets mandat bør ændres således, at det afspejler dette.
(14)
Fire medlemsstater har udviklet deres egen nationale ECRIS-gennemførelsessoftware i overensstemmelse med afgørelse 2009/316/RIA og anvendt den i stedet for ECRIS-referencegennemførelsen til udveksling af strafferegisteroplysninger. Under hensyn til de særlige elementer, som disse medlemsstater har indført i deres systemer til national brug, og de investeringer, som de har foretaget, bør de have mulighed for at anvende deres nationale ECRIS-gennemførelsessoftware, også for så vidt angår ECRIS-TCN, forudsat at betingelserne i denne forordning er opfyldt.
(15)
ECRIS-TCN bør kun indeholde identitetsoplysninger om tredjelandsstatsborgere, der er dømt ved en straffedomstol i Unionen. Sådanne identitetsoplysninger bør omfatte alfanumeriske oplysninger og fingeraftryksoplysninger. Det bør også være muligt at medtage ansigtsbilleder, for så vidt som retten i den medlemsstat, hvori der afsiges en straffedom, giver mulighed for indsamling og lagring af ansigtsbilleder af en domfældt.
(16)
De alfanumeriske oplysninger, som medlemsstaterne skal indlæse i det centrale system, bør omfatte den domfældtes efternavn og fornavne samt, hvor den centrale myndighed har adgang til sådanne oplysninger, den domfældtes pseudonymer eller kaldenavne. Hvis den berørte medlemsstat har kendskab til afvigende personoplysninger, såsom en anderledes stavemåde af et navn i et andet alfabet, bør sådanne oplysninger kunne indlæses i det centrale system som supplerende oplysninger.
(17)
De alfanumeriske oplysninger bør også som supplerende oplysninger omfatte identitetsnummeret eller typen af og nummeret på den pågældende persons identifikationsdokumenter samt navnet på den myndighed, der har udstedt disse dokumenter, hvis den centrale myndighed har adgang til sådanne oplysninger. Medlemsstaten bør søge at efterprøve identifikationsdokumenternes ægthed, inden den indlæser de relevante oplysninger i det centrale system. Under alle omstændigheder bør sådanne oplysninger anvendes med forsigtighed, da de kan være upålidelige.
(18)
De centrale myndigheder bør anvende ECRIS-TCN til at bestemme, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger, når der anmodes om strafferegisteroplysninger om den pågældende person i den berørte medlemsstat med henblik på en straffesag mod den pågældende person, eller til de formål, der er omhandlet i denne forordning. ECRIS-TCN bør i princippet anvendes i alle sådanne sager, men myndigheden med ansvar for at føre straffesager bør kunne beslutte, at ECRIS-TCN ikke skal anvendes, når det ikke vil være hensigtsmæssigt som følge af sagens omstændigheder, f.eks. i visse typer af hastende straffesager, i tilfælde af transit, når strafferegisteroplysninger for nylig er blevet indhentet via ECRIS eller i forbindelse med mindre lovovertrædelser, navnlig mindre færdselslovovertrædelser, mindre lovovertrædelser i forbindelse med generelle kommunale bestemmelser og mindre forstyrrelser af den offentlige orden.
(19)
Medlemsstaterne bør også være i stand til at anvende ECRIS-TCN til andre formål end dem, der er omhandlet i denne forordning, hvis det er fastsat i henhold til og i overensstemmelse med national ret. For at øge gennemsigtigheden i forbindelse med anvendelsen af ECRIS-TCN bør medlemsstaterne dog meddele sådanne andre formål til Kommissionen, som bør sørge for, at alle meddelelserne offentliggøres i 
Den Europæiske Unions Tidende
.
(20)
Det bør også være muligt for andre myndigheder, som anmoder om strafferegisteroplysninger, at beslutte ikke at anvende ECRIS-TCN, når det som følge af sagens omstændigheder ikke vil være hensigtsmæssigt, f.eks. hvis der skal foretages visse administrative standardkontroller vedrørende en persons faglige kvalifikationer, navnlig hvis det er kendt, at der ikke vil blive anmodet om strafferegisteroplysninger fra andre medlemsstater, uanset resultatet af søgningen i ECRIS-TCN. ECRIS-TCN bør dog altid anvendes, når anmodningen om strafferegisteroplysninger er indgivet af en person, der anmoder om oplysninger om sit eget strafferegister i overensstemmelse med rammeafgørelse 2009/315/RIA, eller når den indgives for at opnå strafferegisteroplysninger i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2011/93/EU 
(
6
)
.
(21)
Tredjelandsstatsborgere bør have ret til at indhente skriftlige oplysninger om deres eget strafferegister i overensstemmelse med lovgivningen i den medlemsstat, hvor de anmoder om sådanne oplysninger, og i overensstemmelse med rammeafgørelse 2009/315/RIA. Før den berørte medlemsstat giver sådanne oplysninger til en tredjelandsstatsborger, bør den søge i ECRIS-TCN.
(22)
Unionsborgere, som også er statsborgere i et tredjeland, vil kun blive medtaget i ECRIS-TCN, hvis de kompetente myndigheder er klar over, at de pågældende personer er statsborgere i et tredjeland. Hvis de kompetente myndigheder ikke er klar over, at unionsborgere også er statsborgere i et tredjeland, kan det ikke desto mindre være muligt, at de pågældende personer har tidligere domme som tredjelandsstatsborgere. For at sikre at de kompetente myndigheder har et fuldstændigt overblik over strafferegistre, bør det for så vidt angår en unionsborger være muligt at søge i ECRIS-TCN for at efterprøve, om nogen medlemsstater ligger inde med strafferegisteroplysninger om den person som tredjelandsstatsborger.
(23)
I tilfælde af overensstemmelse mellem de oplysninger, der er registreret i det centrale system, og dem, en medlemsstat benytter til søgning (hit), bør de identitetsoplysninger, som gav anledning til hittet, meddeleles sammen med hittet. Resultatet af en søgning bør af de centrale myndigheder kun anvendes med henblik på at indgive en anmodning gennem ECRIS eller af Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1727 
(
7
)
, Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
8
)
, og Den Europæiske Anklagemyndighed (»EPPO«), der blev oprettet ved Rådets forordning (EU) 2017/1939 
(
9
)
, kun med henblik på at indgive en anmodning om oplysninger om straffedomme som omhandlet i nærværende forordning.
(24)
I første omgang bør ansigtsbilleder i ECRIS-TCN kun anvendes til at bekræfte tredjelandsstatsborgeres identitet for at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over den pågældende tredjelandsstatsborger. I fremtiden bør det være muligt, at anvende ansigtsbilleder til automatisk biometrisk sammenligning, forudsat at de tekniske krav og politikkravene hertil er opfyldt. Kommissionen bør under hensyntagen til nødvendighed og proportionalitet samt den tekniske udvikling inden for software til ansigtsgenkendelse vurdere den krævede teknologis tilgængelighed og umiddelbare anvendelighed, inden den vedtager en delegeret retsakt vedrørende anvendelsen af ansigtsbilleder til identifikation af tredjelandsstatsborgere med henblik på at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme vedrørende disse personer.
(25)
Anvendelsen af biometri er nødvendig, da det er den mest pålidelige metode til identifikation af tredjelandsstatsborgere, som befinder sig på medlemsstaternes område, men som ofte ikke er i besiddelse af dokumenter eller andre midler til identifikation, samt til en mere pålidelig sammenligning af oplysninger om tredjelandsstatsborgere.
(26)
Medlemsstaterne bør i det centrale system indlæse domfældte tredjelandsstatsborgeres fingeraftryksoplysninger, der er indsamlet i overensstemmelse med national ret under en straffesag. For at have så fuldstændige identitetsoplysninger som muligt tilgængelige i det centrale system bør medlemsstaterne også i det centrale system kunne indlæse fingeraftryksoplysninger, der er indsamlet til andre formål end straffesager, hvor disse fingeraftryksoplysninger er tilgængelige til brug i straffesager i overensstemmelse med national ret.
(27)
Denne forordning bør fastsætte minimumskriterier for så vidt angår de fingeraftryksoplysninger, som medlemsstaterne bør inkludere i det centrale system. Medlemsstaterne bør kunne vælge enten at indlæse fingeraftryksoplysningerne fra tredjelandsstatsborgere, der er blevet idømt en frihedsstraf på mindst seks måneder, eller at indlæse fingeraftryksoplysningerne fra tredjelandsstatsborgere, der er blevet dømt for en strafbar handling, som kan straffes i henhold til retten i den berørte medlemsstat med en frihedsstraf af en maksimal varighed på mindst 12 måneder.
(28)
Medlemsstaterne bør i ECRIS-TCN oprette en datapost for domfældte tredjelandsstatsborgere. Dette bør, hvor det er muligt, ske automatisk og uden unødig forsinkelse efter indlæsningen af deres straffedom i det nationale strafferegister. Medlemsstaterne bør i overensstemmelse med denne forordning indlæse alfanumeriske oplysninger og fingeraftryksoplysninger i det centrale system vedrørende straffedomme afsagt efter datoen for påbegyndelsen af indlæsning af oplysninger i ECRIS-TCN. Fra samme dato og på et hvilket som helst tidspunkt derefter bør medlemsstaterne kunne indlæse ansigtsbilleder i det centrale system.
(29)
Medlemsstaterne bør også i overensstemmelse med denne forordning oprette dataposter i ECRIS-TCN for tredjelandsstatsborgere, over hvilke der er afsagt straffedomme forud for datoen for påbegyndelsen af indlæsning af oplysninger for at sikre systemets maksimale effektivitet. For dette formål bør medlemsstaterne dog ikke være forpligtet til at indsamle oplysninger, som ikke allerede er i deres strafferegister forud for datoen for påbegyndelsen af indlæsning af oplysninger. Fingeraftryksoplysningerne fra tredjelandsstatsborgere, der er indsamlet i forbindelse med sådanne tidligere straffedomme, bør kun medtages, hvis de er indsamlet under en straffesag, og hvis de berørte medlemsstater finder, at de klart kan knyttes sammen med andre identitetsoplysninger i strafferegistrene.
(30)
En forbedret udveksling af oplysninger om straffedomme bør hjælpe medlemsstaterne i deres gennemførelse af rammeafgørelse 2008/675/RIA, der forpligter medlemsstaterne til at tage hensyn til tidligere straffedomme i andre medlemsstater i forbindelse med en ny straffesag i det omfang der tages hensyn til tidligere nationale straffedomme tages i betragtning i henhold til national ret.
(31)
Et hit i ECRIS-TCN bør ikke i sig selv tages til indtægt for, at den berørte tredjelandsstatsborger er blevet dømt i de medlemsstater, der er angivet. Tidligere straffedomme bør kun bekræftes på grundlag af strafferegisteroplysninger fra de berørte medlemsstater.
(32)
Uanset muligheden for at bruge Unionens finansielle programmer i overensstemmelse med gældende regler bør hver medlemsstat afholde sine egne udgifter til gennemførelse, administration, brug og vedligeholdelse af sin strafferegisterdatabase og nationale fingeraftryksdatabaser og til gennemførelse, administration, brug og vedligeholdelse af de tekniske tilpasninger, der er nødvendige for at bruge ECRIS-TCN, herunder deres tilslutninger til det nationale centrale adgangspunkt.
(33)
Eurojust, Europol, og EPPO bør have adgang til ECRIS-TCN med henblik på at kunne bestemme, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger, for at støtte dem i udførelsen af deres lovbestemte opgaver. Eurojust bør også have direkte adgang til ECRIS-TCN med henblik på at varetage dets opgave i henhold til denne forordning med at fungere som kontaktpunkt for tredjelande og internationale organisationer, uden at dette berører anvendelsen af principperne om retligt samarbejde i straffesager, herunder reglerne for gensidig retshjælp. Selv om holdningen hos de medlemsstater, der ikke deltager i det forstærkede samarbejde om oprettelsen af EPPO, bør tages i betragtning, bør EPPO ikke nægtes adgang til oplysninger om straffedomme udelukkende af den grund, at den berørte medlemsstat ikke deltager i dette forstærkede samarbejde.
(34)
Denne forordning fastsætter strenge bestemmelser for adgang til ECRIS-TCN og de nødvendige garantier, herunder medlemsstaternes ansvar for indsamling og brug af oplysningerne. Den indeholder også regler om, hvordan individer kan udøve deres ret til erstatning, adgang, berigtigelse, sletning og klageadgang, navnlig retten til effektive retsmidler og uafhængige offentlige myndigheders tilsyn med behandlingsaktiviteter. Den overholder derfor de grundlæggende rettigheder og frihedsrettigheder forankret navnlig i Den Europæiske Unions charter om grundlæggende rettigheder, herunder retten til beskyttelse af personoplysninger, princippet om lighed for loven og det generelle forbud mod forskelsbehandling. I denne forbindelse tager forordningen også hensyn til den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, den internationale konvention om borgerlige og politiske rettigheder samt andre menneskerettighedsforpligtelser i henhold til folkeretten.
(35)
Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
10
)
 bør finde anvendelse på kompetente nationale myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
11
)
 bør finde anvendelse på nationale myndigheders behandling af personoplysninger, når en sådan behandling ikke hører ind under direktiv (EU) 2016/680. Der bør sikres koordineret tilsyn i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
12
)
, der også bør finde anvendelse på eu-LISA's behandling af personoplysninger.
(36)
Med hensyn til tidligere straffedomme bør de centrale myndigheder indlæse alfanumeriske oplysninger senest ved udgangen af perioden for indlæsning af oplysninger i henhold til denne forordning og fingeraftryksoplysninger senest to år efter datoen for ECRIS-TCN's idriftsættelse. Medlemsstaterne bør kunne indlæse alle oplysninger på samme tid, forudsat at disse tidsfrister overholdes.
(37)
Der bør fastsættes regler om erstatningsansvar for medlemsstaterne, Eurojust, Europol, EPPO og eu-LISA for skader, der opstår som følge af enhver overtrædelse af denne forordning.
(38)
For bedre at kunne bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over tredjelandsstatsborgere, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) for så vidt angår supplering af denne forordning ved at fastsætte anvendelse af ansigtsbilleder til identifikation af tredjelandsstatsborgere for at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
13
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(39)
For at sikre ensartede betingelser for indførelsen og den operationelle forvaltning af ECRIS-TCN bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
14
)
.
(40)
Medlemsstaterne bør træffe de nødvendige foranstaltninger for at efterkomme denne forordning snarest muligt for at sikre, at ECRIS-TCN fungerer korrekt, under hensyntagen til, hvor lang tid eu-LISA har brug for for at udvikle og gennemføre ECRIS-TCN. Medlemsstaterne bør dog have mindst 36 måneder efter denne forordnings ikrafttræden til at træffe foranstaltninger for at efterkomme denne forordning.
(41)
Målet for denne forordning, nemlig at sikre en hurtig og effektiv udveksling af korrekte strafferegisteroplysninger om tredjelandsstatsborgere, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan ved at indføre fælles regler bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.
(42)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark.
(43)
I medfør af artikel 1 og 2 og artikel 4a, stk. 1, i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TFEU, og med forbehold af artikel 4 i samme protokol, deltager Irland ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Irland.
(44)
I medfør af artikel 3 og artikel 4a, stk. 1, i protokol nr. 21 har Det Forenede Kongerige meddelt, at det ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.
(45)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
15
)
 og afgav en udtalelse den 12. december 2017 
(
16
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
Generelle bestemmelser
Artikel 1
Genstand
Ved denne forordning fastlægges:
a)
et system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over tredjelandsstatsborgere (»ECRIS-TCN«)
b)
de betingelser, hvorunder ECRIS-TCN anvendes af de centrale myndigheder for at indhente oplysninger om sådanne tidligere straffedomme gennem det europæiske informationssystem vedrørende strafferegistre (ECRIS), der blev oprettet ved afgørelse 2009/316/RIA, samt de betingelser, i henhold til hvilke Eurojust, Europol og EPPO anvender ECRIS-TCN.
Artikel 2
Anvendelsesområde
Denne forordning finder anvendelse på behandling af identitetsoplysninger om tredjelandsstatsborgere, der har været genstand for straffedomme i medlemsstaterne, med henblik på bestemmelse af, i hvilke medlemsstater sådanne straffedomme blev afsagt. Med undtagelse af artikel 5, stk. 1, litra b), nr. ii), finder de bestemmelser i denne forordning, der finder anvendelse på tredjelandsstatsborgere, også anvendelse på unionsborgere, som også er statsborgere i et tredjeland, og som har været genstand for straffedomme i medlemsstaterne.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)   
»straffedom«
: enhver endelig afgørelse truffet af en straffedomstol over for en fysisk person i forbindelse med en strafbar handling, for så vidt afgørelsen indlæses i domsstatens strafferegister
2)   
»straffesag«
: fasen før retssagen, retssagen og fuldbyrdelsen af straffedommen
3)   
»strafferegister«
: det nationale register eller de nationale registre, der indeholder oplysninger om afsagte straffedomme i henhold til national ret
4)   
»domsstat«
: den medlemsstat, hvori en straffedom afsiges
5)   
»central myndighed«
: en myndighed, der er udpeget i henhold til artikel 3, stk. 1, i rammeafgørelse 2009/315/RIA
6)   
»kompetente myndigheder«
: de centrale myndigheder og Eurojust, Europol og EPPO, der har beføjelse til at opnå adgang til eller søge i ECRIS-TCN i overensstemmelse med denne forordning
7)   
»tredjelandsstatsborger«
: en person, der ikke er unionsborger som defineret i artikel 20, stk. 1, i TEUF, eller der er en statsløs person eller en person, hvis nationalitet er ukendt
8)   
»centralt system«
: den database eller de databaser, som udvikles og vedligeholdes af eu-LISA, og hvori der findes identitetsoplysninger om tredjelandsstatsborgere, som har været genstand for straffedomme i medlemsstaterne
9)   
»grænsefladesoftware«
: software, som hostes af de kompetente myndigheder, og som giver dem adgang til det centrale system via den i artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur
10)   
»identitetsoplysninger«
: alfanumeriske oplysninger, fingeraftryksoplysninger og ansigtsbilleder, der anvendes til at påvise en forbindelse mellem disse oplysninger og en fysisk person
11)   
»alfanumeriske oplysninger«
: oplysninger, der er angivet med bogstaver, tal, specialtegn, mellemrum og sætningstegn
12)   
»fingeraftryksoplysninger«
: oplysninger om aftryk af flade og rullede fingre af alle en persons fingre
13)   
»ansigtsbillede«
: et digitalt billede af en persons ansigt
14)   
»hit«
: overensstemmelse på et eller flere punkter konstateret ved sammenligning af de identitetsoplysninger, der er registreret i det centrale system, og de identitetsoplysninger, som anvendes til at foretage en søgning
15)   
»nationalt centralt adgangspunkt«
: det nationale tilslutningspunkt til den i artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur
16)   
»ECRIS-referencegennemførelse«
: den software, der er udviklet af Kommissionen og stillet til rådighed for medlemsstaterne med henblik på udveksling af strafferegisteroplysninger gennem ECRIS
17)   
»nationale tilsynsmyndighed«
: en uafhængig offentlig myndighed, der er etableret i en medlemsstat i henhold til gældende EU-databeskyttelsesregler
18)   
»tilsynsmyndigheder«
: Den Europæiske Tilsynsførende for Databeskyttelse og de nationale tilsynsmyndighed.
Artikel 4
ECRIS-TCN's tekniske struktur
1.   ECRIS-TCN består af:
a)
et centralt system, hvori domfældte tredjelandsstatsborgeres identitetsoplysninger lagres
b)
et nationalt centralt adgangspunkt i hver medlemsstat
c)
grænsefladesoftware, der muliggør tilslutning af de kompetente myndigheder til det centrale system via det nationale centrale adgangspunkt og den i litra d) omhandlede kommunikationsinfrastruktur
d)
kommunikationsinfrastruktur mellem det centrale system og de nationale centrale adgangspunkter.
2.   Det centrale system hostes af eu-LISA på dets tekniske lokaliteter.
3.   Grænsefladesoftwaren integreres i ECRIS-referencegennemførelsen. Medlemsstaterne benytter ECRIS-referencegennemførelsen eller i den situation og under de betingelser, der er fastsat i stk. 4-8, den nationale ECRIS-gennemførelsessoftware til at søge i ECRIS-TCN og til at sende efterfølgende anmodninger om strafferegisteroplysninger.
4.   De medlemsstater, der anvender deres nationale ECRIS-gennemførelsessoftware, har ansvaret for at sikre, at deres nationale ECRIS-gennemførelsessoftware giver de nationale strafferegistermyndigheder mulighed for at benytte ECRIS-TCN, med undtagelse af grænsefladesoftwaren, i overensstemmelse med denne forordning. Med henblik herpå sikrer de inden datoen for idriftsættelsen af ECRIS-TCN i overensstemmelse med artikel 35, stk. 4, at deres nationale ECRIS-gennemførelsessoftware fungerer i overensstemmelse med de protokoller og tekniske specifikationer, der er fastlagt i de i artikel 10 omhandlede gennemførelsesretsakter, og med eventuelle yderligere tekniske krav, som eu-LISA har fastlagt i henhold til denne forordning, baseret på disse gennemførelsesretsakter.
5.   Så længe de ikke benytter ECRIS-referencegennemførelsen, sikrer medlemsstater, der benytter deres nationale ECRIS-gennemførelsessoftware, desuden, at eventuelle efterfølgende tekniske tilpasninger af deres nationale ECRIS-gennemførelsessoftware, som nødvendiggøres af eventuelle ændringer af de tekniske specifikationer, der er fastlagt i de i artikel 10 omhandlede gennemførelsesretsakter, eller ændringer af eventuelle yderligere tekniske krav, som eu-LISA har fastlagt i henhold til denne forordning, baseret på disse gennemførelsesretsakter, gennemføres uden unødig forsinkelse.
6.   De medlemsstater, der benytter deres nationale ECRIS-gennemførelsessoftware, afholder alle de omkostninger, der er forbundet med gennemførelse, vedligeholdelse og videreudvikling af deres nationale ECRIS-gennemførelsessoftware og dets sammenkobling med ECRIS-TCN, med undtagelse af grænsefladesoftwaren.
7.   Hvis en medlemsstat, der benytter sit nationale ECRIS-gennemførelsessoftware, ikke kan opfylde sine forpligtelser i henhold til denne artikel, er den forpligtet til at anvende ECRIS-referencegennemførelsen, herunder den integrerede grænsefladesoftware, for at kunne benytte ECRIS-TCN.
8.   Med henblik på den vurdering, der i henhold til artikel 36, stk. 10, litra b), skal foretages af Kommissionen, giver de berørte medlemsstater alle de nødvendige oplysninger til Kommissionen.
KAPITEL II
De centrale myndigheders indlæsning og brug af oplysninger
Artikel 5
Indlæsning af oplysninger i ECRIS-TCN
1.   For hver domfældt tredjelandsstatsborger opretter domsstatens centrale myndighed en datapost i det centrale system. Dataposten skal indeholde:
a)
for så vidt angår alfanumeriske oplysninger:
i)
oplysninger, der skal medtages, medmindre den centrale myndighed i individuelle tilfælde ikke har kendskab til sådanne oplysninger (obligatoriske oplysninger):
—
efternavn
—
fornavne
—
fødselsdato
—
fødested (by og land)
—
nationalitet eller nationaliteter
—
køn
—
eventuelle tidligere navne
—
domsstatens kode
ii)
oplysninger, der skal medtages, hvis de er indlæst i strafferegistret (valgfrie oplysninger):
—
forældrenes navne
iii)
oplysninger, der skal medtages, hvis den centrale myndighed har adgang hertil (supplerende oplysninger):
—
identitetsnummer, eller typen af og nummeret på den pågældende persons identifikationsdokumenter samt navnet på den udstedende myndighed
—
pseudonymer eller kaldenavne
b)
for så vidt angår fingeraftryksoplysninger:
i)
fingeraftryksoplysninger, der er indsamlet i overensstemmelse med national ret under en straffesag
ii)
som et minimum fingeraftryksoplysninger indsamlet på grundlag af en af følgende kriterier:
—
hvis tredjelandsstatsborgeren har modtaget en frihedsstraf på mindst seks måneder
eller
—
hvis tredjelandsstatsborgeren er blevet dømt for en strafbar handling, som i henhold til medlemsstatens ret kan straffes med en frihedsstraf af en maksimal varighed på mindst 12 måneder.
2.   De i denne artikels stk. 1, litra b), omhandlede fingeraftryksoplysninger skal opfylde de tekniske specifikationer for kvaliteten, opløsningen og behandlingen af fingeraftryksoplysninger som fastlagt i den i artikel 10, stk. 1, litra b, omhandlede gennemførelsesretsakt. Referencenummeret for den domfældtes fingeraftryksoplysninger skal omfatte domsstatens kode.
3.   Dataposten kan også indeholde ansigtsbilleder af den domfældte tredjelandsstatsborger, hvis domsstatens ret giver mulighed for indsamling og lagring af ansigtsbilleder af domfældte.
4.   Domsstaten opretter dataposten automatisk, hvor det er muligt, og uden unødig forsinkelse, efter at straffedommen er blevet indlæst i strafferegisteret.
5.   Domsstater opretter også dataposter for straffedomme afsagt inden datoen for indlæsning af oplysninger i overensstemmelse med artikel 35, stk. 1, for så vidt oplysninger om domfældte er lagret i deres nationale databaser. I disse tilfælde indlæses fingeraftryksoplysninger kun, hvis de er indsamlet under en straffesag i henhold til national ret, og hvis de klart kan knyttes sammen med andre identitetsoplysninger i strafferegistre.
6.   Med henblik på at opfylde forpligtelserne i stk. 1, litra b), nr. i) og ii), og stk. 5, kan medlemsstaterne anvende fingeraftryksoplysninger, der er indsamlet til andre formål end straffesager, hvis en sådan anvendelse er tilladt i henhold til national ret.
Artikel 6
Ansigtsbilleder
1.   Indtil ikrafttrædelsen af den delegerede retsakt, der er fastsat i stk. 2, må ansigtsbilleder kun anvendes til at bekræfte identiteten af tredjelandsstatsborgere, der er blevet identificeret ved en alfanumerisk søgning eller en søgning ved hjælp af fingeraftryksoplysninger.
2.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 for at supplere denne forordning vedrørende anvendelsen af ansigtsbilleder til identifikation af tredjelandsstatsborgere med henblik på at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme vedrørende sådanne personer, når det bliver teknisk muligt. Inden den udøver denne beføjelse, vurderer Kommissionen den nødvendige teknologis tilgængelighed og umiddelbare anvendelighed under hensyntagen til nødvendighed og proportionalitet samt den tekniske udvikling inden for software til ansigtsgenkendelse.
Artikel 7
Brug af ECRIS-TCN til bestemmelse af, hvilke medlemsstater der ligger inde med strafferegisteroplysninger
1.   De centrale myndigheder anvender ECRIS-TCN til bestemmelse af, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger med henblik på at indhente oplysninger om tidligere straffedomme via ECRIS, når der anmodes om strafferegisteroplysninger om den pågældende person i den berørte medlemsstat med henblik på en straffesag mod den pågældende person eller til følgende formål, hvis det er fastsat i henhold til og i overensstemmelse med national ret:
—
kontrol af en persons eget strafferegister på dennes anmodning
—
sikkerhedsgodkendelse
—
indhentelse af en licens eller tilladelse
—
baggrundskontrol med henblik på ansættelse
—
baggrundskontrol for frivillige aktiviteter, der involverer direkte og regelmæssig kontakt med børn eller sårbare personer
—
visum, erhvervelse af statsborgerskab og migrationsprocedurer, herunder asylprocedurer, og
—
kontroller i forbindelse med offentlige kontrakter og offentlige test.
I særlige tilfælde, bortset fra sådanne, hvor en tredjelandsstatsborger anmoder den centrale myndighed om oplysninger om sit eget strafferegister, eller når anmodningen foretages for at indhente strafferegisteroplysninger i henhold til artikel 10, stk. 2, i direktiv 2011/93/EU, kan den myndighed, der anmoder om strafferegisteroplysninger, imidlertid beslutte, at en sådan anvendelse af ECRIS-TCN ikke er passende.
2.   Enhver medlemsstat, som, hvis det er fastsat i henhold til og i overensstemmelse med national ret, beslutter at anvende ECRIS-TCN til andre formål end dem, der er nævnt i stk. 1, med henblik på at indhente oplysninger om tidligere straffedomme via ECRIS, meddeler senest på datoen for idriftsættelse som omhandlet i artikel 35, stk. 4, eller på et hvilket som helst tidspunkt derefter sådanne andre formål og alle ændringer af sådanne formål til Kommissionen. Kommissionen offentliggør sådanne meddelelser i 
Den Europæiske Unions Tidende
 inden for 30 dage efter modtagelsen af meddelelsen.
3.   Eurojust, Europol, og EPPO har ret til at søge i ECRIS-TCN med henblik på bestemmelse af, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger i overensstemmelse med artikel 14-18. De må dog ikke indlæse, berigtige eller slette oplysninger i ECRIS-TCN.
4.   Med henblik på de i stk. 1, 2 og 3 omhandlede formål kan de kompetente myndigheder for så vidt angår en unionsborger, også søge i ECRIS-TCN for at efterprøve, om nogen medlemsstater ligger inde med strafferegisteroplysninger om denne person som tredjelandsstatsborger.
5.   Når de søger i ECRIS-TCN, må de kompetente myndigheder anvende alle eller kun nogle af de i artikel 5, stk. 1 omhandlede oplysninger. De minimumsdatasæt, der er nødvendige for at søge i systemet, fastsættes i en gennemførelsesretsakt, der vedtages i overensstemmelse med artikel 10, stk. 1, litra g).
6.   De kompetente myndigheder må også søge i ECRIS-TCN ved hjælp af ansigtsbilleder, forudsat at en sådan funktionalitet er implementeret i overensstemmelse med artikel 6, stk. 2.
7.   I tilfælde af et hit oplyser det centrale system automatisk den kompetente myndighed om, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om tredjelandsstatsborgeren, sammen med det eller de dertil knyttede referencenumre og eventuelle dertil hørende identitetsoplysninger. Disse identitetsoplysninger må kun anvendes til det formål at efterprøve den pågældende tredjelandsstatsborgers identitet. Resultatet af en søgning i det centrale system må kun anvendes til det formål at indgive en anmodning i henhold til artikel 6 i rammeafgørelse 2009/315/RIA eller en anmodning som omhandlet i artikel 17, stk. 3, i denne forordning.
8.   Hvis der ikke er noget hit, underretter det centrale system automatisk den kompetente myndighed.
KAPITEL III
Lagring og ændring af oplysninger
Artikel 8
Lagringsperiode for oplysninger
1.   Hver enkelt datapost lagres i det centrale system, lige så længe som oplysningerne vedrørende den berørte persons straffedomme lagres i strafferegisteret.
2.   Ved udløbet af den i stk. 1 omhandlede lagringsperiode sletter domsstatens centrale myndighed dataposten, herunder fingeraftryksoplysninger eller ansigtsbilleder, fra det centrale system. Sletningen sker automatisk, hvor det er muligt, og under alle omstændigheder senest én måned efter udløbet af lagringsperioden.
Artikel 9
Ændring og sletning af oplysninger
1.   Medlemsstaterne kan ændre eller slette de oplysninger, som de har indlæst i ECRIS-TCN.
2.   Alle ændringer i oplysningerne i strafferegisteret, der førte til oprettelsen af en datapost i overensstemmelse med artikel 5, skal medføre, at domsstaten uden unødig forsinkelse foretager samme ændring af de oplysninger, der er lagret i den pågældende datapost i det centrale system.
3.   Hvis en domsstat har grund til at antage, at de oplysninger, den har registreret i det centrale system, er ukorrekt, eller at oplysninger i det centrale system er blevet behandlet i strid med denne forordning, skal den:
a)
straks indlede en procedure for kontrol af, at de pågældende oplysninger er korrekte, eller at behandlingen heraf var lovlig, alt efter hvad der er relevant
b)
om nødvendigt og uden unødig forsinkelse berigtige oplysningerne eller slette dem fra det centrale system.
4.   Hvis en anden medlemsstat end den domsstat, der har indlæst oplysningerne, har grund til at antage, at oplysninger i det centrale system er ukorrekte, eller at oplysninger i det centrale system er blevet behandlet i strid med denne forordning, kontakter den uden unødig forsinkelse domsstatens centrale myndighed.
Domsstaten skal:
a)
straks indlede en procedure for kontrol af, at de pågældende oplysninger er korrekte, eller at behandlingen heraf var lovlig, alt efter hvad der er relevant
b)
om nødvendigt og uden unødig forsinkelse berigtige oplysningerne eller slette dem fra det centrale system
c)
uden unødig forsinkelse underrette den anden medlemsstat om, at oplysningerne er blevet berigtiget eller slettet, eller om begrundelsen for, at oplysningerne ikke er blevet berigtiget eller slettet.
KAPITEL IV
Udvikling og drift af systemet og ansvaret herfor
Artikel 10
Kommissionens vedtagelse af gennemførelsesretsakter
1.   Kommissionen vedtager de gennemførelsesretsakter, der er nødvendige for den tekniske udvikling og gennemførelse af ECRIS-TCN, så hurtigt som muligt, og navnlig retsakter om:
a)
de tekniske specifikationer for behandlingen af alfanumeriske oplysninger
b)
de tekniske specifikationer for kvaliteten, opløsningen og behandlingen af fingeraftryksoplysninger
c)
de tekniske specifikationer for grænsefladesoftwaren
d)
de tekniske specifikationer for kvaliteten, opløsningen og behandlingen af ansigtsbilleder til de formål og på de betingelser, der er fastsat i artikel 6
e)
datakvalitet, herunder en mekanisme til og procedurer for foretagelse af kvalitetskontrol af oplysningerne
f)
indlæsning af oplysninger i overensstemmelse med artikel 5
g)
adgang til og søgning i oplysninger i ECRIS-TCN i overensstemmelse med artikel 7
h)
ændring og sletning af oplysninger i overensstemmelse med artikel 8 og 9
i)
lagring og adgang til logfiler i overensstemmelse med artikel 31
j)
drift af centralregistret og de databeskyttelses- og sikkerhedsregler, der skal gælde for centralregistret, i overensstemmelse med artikel 32
k)
udarbejdelse af statistik i overensstemmelse med artikel 32
l)
krav til ECRIS-TCN's ydeevne og tilgængelighed, herunder minimumsspecifikationer og -krav til ECRIS-TCN's biometriske ydeevne, navnlig med hensyn til den krævede falske positive identifikationsgrad og falske negative identifikationsgrad.
2.   De i stk. 1 omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 38, stk. 2.
Artikel 11
Udvikling og operationel forvaltning af ECRIS-TCN
1.   eu-LISA er ansvarlig for udviklingen af ECRIS-TCN i overensstemmelse med princippet om databeskyttelse gennem design og standardindstillinger. eu-LISA er desuden ansvarlig for den operationelle forvaltning af ECRIS-TCN. Udviklingsarbejdet omfatter udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og samlet projektkoordinering.
2.   eu-LISA er også ansvarlig for videreudviklingen og vedligeholdelsen af ECRIS-referencegennemførelsen.
3.   eu-LISA fastlægger udformningen af ECRIS-TCN's fysiske arkitektur, herunder dets tekniske specifikationer og udvikling med hensyn til det centrale system, det nationale centrale adgangspunkt, og grænsefladesoftwaren. Udformningen vedtages af eu-LISA's bestyrelse, forudsat at Kommissionen afgiver positiv udtalelse herom.
4.   eu-LISA udvikler og gennemfører ECRIS-TCN så hurtigt som muligt efter denne forordnings ikrafttræden og efter Kommissionens vedtagelse af de gennemførelsesretsakter, der er fastsat i artikel 10.
5.   Forud for ECRIS-TCN's udformnings- og udviklingsfase nedsætter eu-LISA's bestyrelse et programstyringsråd bestående af ti medlemmer.
Programstyringsrådet består af otte medlemmer udpeget af bestyrelsen, formanden for det i artikel 39 omhandlede rådgivende udvalg og ét medlem udpeget af Kommissionen. De medlemmer, der udpeges af bestyrelsen, vælges alene blandt de medlemsstater, som i henhold til EU-retten er fuldt ud bundet af retsakterne vedrørende ECRIS, og som deltager i ECRIS-TCN. Bestyrelsen sikrer, at de medlemmer, den udpeger til programstyringsrådet, har den nødvendige erfaring og ekspertise i udvikling og forvaltning af IT-systemer, der støtter retlige myndigheder og strafferegistermyndigheder.
eu-LISA deltager i programstyringsrådets arbejde. Med henblik herpå deltager repræsentanter for eu-LISA i programstyringsrådets møder for at aflægge rapport om arbejdet med udformning og udvikling af ECRIS-TCN og om andet tilknyttet arbejde og andre tilknyttede aktiviteter.
Programstyringsrådet mødes mindst én gang i kvartalet og oftere, når det er nødvendigt. Det sikrer en hensigtsmæssig forvaltning af ECRIS-TCN's udformnings- og udviklingsfase og sikrer sammenhæng mellem centrale og nationale ECRIS-TCN-projekter og med national ECRIS-gennemførelsessoftware. Programstyringsrådet forelægger regelmæssigt og om muligt én gang om måneden skriftlige rapporter for eu-LISA's bestyrelse om, hvordan projektet skrider frem. Programstyringsrådet har ingen beslutningskompetence eller noget mandat til at repræsentere medlemmerne af bestyrelsen.
6.   Programstyringsrådet fastsætter sin forretningsorden, som navnlig indeholder regler om:
a)
formandskab
b)
mødesteder
c)
forberedelse af møder
d)
eksperters adgang til møderne
e)
kommunikationsplaner, der sikrer at ikkedeltagende medlemmer af bestyrelsen holdes fuldt orienteret.
7.   Formandskabet for programstyringsrådet varetages af en medlemsstat, der i henhold til EU-retten er fuldt ud bundet af retsakterne vedrørende ECRIS og retsakterne om udvikling, oprettelse, drift og brug af alle de store IT-systemer, som eu-LISA forvalter.
8.   Alle rejse- og opholdsudgifter afholdt af medlemmerne af programstyringsrådet dækkes af eu-LISA. Artikel 10 i eu-LISA's forretningsorden finder tilsvarende anvendelse. Programstyringsrådets sekretariat forestås af eu-LISA.
9.   I udformnings- og udviklingsfasen består det i artikel 39 omhandlede rådgivende udvalg af de nationale systemprojektledere for ECRIS-TCN under ledelse af eu-LISA. I udformnings- og udviklingsfasen mødes det regelmæssigt, om muligt mindst én gang om måneden, indtil idriftsættelsen af ECRIS-TCN. Det aflægger efter hvert møde rapport til programstyringsrådet. Det yder teknisk ekspertise til støtte for programstyringsrådets opgaver og følger op på, hvor langt medlemsstaterne er nået med deres forberedelser.
10.   For til enhver tid at sikre fortroligheden og integriteten af de oplysninger, der er lagret i ECRIS-TCN, sørger eu-LISA i samarbejde med medlemsstaterne for passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, omkostningerne ved gennemførelse og risiciene ved behandlingen.
11.   eu-LISA har ansvaret for følgende opgaver vedrørende den i artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur:
a)
tilsyn
b)
sikkerhed
c)
koordinering af forbindelser mellem medlemsstaterne og udbyderen af kommunikationsinfrastrukturen.
12.   Kommissionen har ansvaret for alle andre opgaver i forbindelse med den i artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur, navnlig:
a)
opgaver i forbindelse med budgetgennemførelsen
b)
anskaffelse og fornyelse
c)
kontraktforhold.
13.   eu-LISA udvikler og vedligeholder en mekanisme og procedurer for udførelse af kvalitetskontrol af oplysningerne lagret i ECRIS-TCN og forelægger regelmæssigt rapporter for medlemsstaterne. eu-LISA forelægger regelmæssigt rapporter for Kommissionen vedrørende de konstaterede problemer og de berørte medlemsstater.
14.   Den operationelle forvaltning af ECRIS-TCN omfatter alle de opgaver, der er nødvendige for, at ECRIS-TCN kan forblive operationelt i overensstemmelse med denne forordning, og navnlig det vedligeholdelsesarbejde og den tekniske udvikling, der er nødvendig for at sikre, at ECRIS-TCN fungerer på et tilfredsstillende niveau i overensstemmelse med de tekniske specifikationer.
15.   eu-LISA varetager opgaver vedrørende uddannelse i den tekniske anvendelse af ECRIS-TCN og ECRIS-referencegennemførelsen.
16.   eu-LISA anvender passende regler for tavshedspligt eller andre tilsvarende fortrolighedskrav i for alt personale, der skal arbejde med oplysninger registreret i det centrale system, jf. dog artikel 17 i vedtægten for tjenestemænd i Den Europæiske Union, der er fastsat ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
17
)
. Denne pligt består fortsat, når de pågældende medarbejdere er fratrådt deres stilling, eller deres aktiviteter er ophørt.
Artikel 12
Medlemsstaternes ansvarsområder
1.   Hver medlemsstat er ansvarlig for:
a)
at sørge for en sikker forbindelse mellem sit nationale strafferegister og fingeraftryksdatabaser og det nationale centrale adgangspunkt
b)
udvikling, drift og vedligeholdelse af den i litra a) omhandlede forbindelse
c)
at sørge for en forbindelse mellem sit nationale systemer og ECRIS- referencegennemførelsen
d)
forvaltningen af og ordningerne for adgang til ECRIS-TCN for behørigt bemyndiget personale hos de centrale myndigheder i overensstemmelse med denne forordning og for udarbejdelse og regelmæssig ajourføring af en liste over dette personale og de i artikel 19, stk. 3, litra g), omhandlede profiler.
2.   Hver medlemsstat giver sine centrale myndigheders personale, der har adgangsret til ECRIS-TCN, passende uddannelse, omfattende navnlig i datasikkerheds- og databeskyttelsesregler og gældende grundlæggende rettigheder, inden sådan personale gives tilladelse til at behandle oplysninger, der er lagret i det centrale system.
Artikel 13
Ansvar for anvendelsen af oplysninger
1.   I overensstemmelse med gældende EU-databeskyttelsesregler sikrer hver medlemsstat, at de oplysninger, der er registreret i ECRIS-TCN, behandles på lovlig vis, og navnlig, at:
a)
kun behørigt bemyndiget personale har adgang til oplysningerne med henblik på udførelsen af deres opgaver
b)
oplysningerne indsamles på lovlig vis og på en måde, der fuldt ud respekterer tredjelandsstatsborgerens menneskelige værdighed og grundlæggende rettigheder
c)
oplysningerne indlæses lovligt i ECRIS-TCN
d)
oplysningerne er korrekte og ajourførte, når de indlæses i ECRIS-TCN.
2.   eu-LISA sørger for, at ECRIS-TCN forvaltes i overensstemmelse med denne forordning, de i artikel 6, stk. 2, omhandlede delegerede retsakter og de i artikel 10 omhandlede gennemførelsesretsakter, samt i overensstemmelse med forordning (EU) 2018/1725. Navnlig træffer eu-Lisa de nødvendige foranstaltninger for at garantere sikkerheden i det centrale system og den artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur, uden at dette dog berører de enkelte medlemsstaters ansvarsområder.
3.   eu-LISA informerer Europa-Parlamentet, Rådet og Kommissionen samt Den Europæiske Tilsynsførende for Databeskyttelse så hurtigt som muligt om de foranstaltninger, det træffer i henhold til stk. 2 for så vidt angår idriftsættelsen af ECRIS-TCN.
4.   Kommissionen stiller de i stk. 3 omhandlede oplysninger til rådighed for medlemsstaterne og offentligheden via et regelmæssigt ajourført offentligt websted.
Artikel 14
Eurojusts, Europols og EPPO's adgang
1.   Eurojust har direkte adgang til ECRIS-TCN med henblik på gennemførelsen af artikel 17 og varetagelsen af sine opgaver i henhold til artikel 2 i forordning (EU) 2018/1727, for at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over tredjelandsstatsborgere.
2.   Europol har direkte adgang til ECRIS-TCN med henblik på varetagelsen af sine opgaver i henhold til artikel 4, stk. 1, litra a)-e) og h), i forordning (EU) 2016/794, for at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over tredjelandsstatsborgere.
3.   EPPO har direkte adgang til ECRIS-TCN med henblik på varetagelsen af sine opgaver i henhold til artikel 4 i forordning (EU) 2017/1939, for at bestemme, hvilke medlemsstater der ligger inde med oplysninger om tidligere straffedomme afsagt over tredjelandsstatsborgere.
4.   Når en søgning har givet et hit med angivelse af, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger, kan Eurojust, Europol og EPPO bruge deres respektive kontakter hos de nationale myndigheder i disse medlemsstater for at anmode om strafferegisteroplysningerne på den måde, som er fastsat i deres respektive konstituerende retsakter.
Artikel 15
Adgang for Eurojusts, Europols og EPPO's bemyndigede personale
Eurojust, Europol and the EPPO er ansvarlige for forvaltning af og ordninger for behørigt bemyndiget personales adgang til ECRIS-TCN i overensstemmelse med denne forordning og for udarbejdelse og regelmæssig ajourføring af en liste over sådan personale og sådan personales profiler.
Artikel 16
Eurojusts, Europols og EPPO's ansvarsområder
Eurojust, Europol og EPPO:
a)
etablerer den tekniske tilslutning til ECRIS-TCN og er ansvarlige for at vedligeholde denne tilslutning
b)
sørger for passende uddannelse omfattende navnlig datasikkerheds- og databeskyttelsesregler og gældende grundlæggende rettigheder af de medlemmer af deres personale, der har ret til adgang til ECRIS-TCN, inden de får tilladelse til at behandle oplysninger, der er lagret i det centrale system
c)
sikrer, at de personoplysninger, de behandler i henhold til denne forordning, beskyttes i overensstemmelse med gældende databeskyttelsesregler.
Artikel 17
Kontaktpunkter for tredjelande og internationale organisationer
1.   Tredjelande og internationale organisationer kan med henblik på en straffesag indgive anmodninger om oplysninger om hvilke medlemsstater, om nogen, der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger, til Eurojust. Med henblik herpå anvender de standardformularen i bilaget til denne forordning.
2.   Når Eurojust modtager en anmodning i henhold til stk. 1, anvender det ECRIS-TCN til at bestemme, hvilke medlemsstater, om nogen, der ligger inde med strafferegisteroplysninger om den berørte tredjelandsstatsborger.
3.   Hvis der er et hit, spørger Eurojust medlemsstaten, der ligger inde med strafferegisteroplysninger om den berørte tredjelandsstatsborger, hvorvidt den samtykker til, at Eurojust underretter tredjelandet eller den internationale organisation om navnet på den berørte medlemsstat. Hvis nævnte medlemsstat giver sit samtykke, informerer Eurojust tredjelandet eller den internationale organisation om navnet på nævnte medlemsstat, og om hvordan det eller den kan indgive en anmodning om udskrifter fra strafferegistre i nævnte medlemsstat i overensstemmelse med gældende procedurer.
4.   Hvis der ikke er noget hit, eller hvis Eurojust ikke kan give et svar i overensstemmelse med stk. 3 på anmodninger, der er indgivet i henhold til denne artikel, informerer Eurojust det berørte tredjeland eller den berørte internationale organisation om, at det har færdiggjort proceduren uden at angive, om en af medlemsstaterne ligger inde med strafferegisteroplysninger om den berørte person.
Artikel 18
Videregivelse af oplysninger til et tredjeland, en international organisation eller en privat part
Hverken Eurojust, Europol, EPPO eller nogen central myndighed må til et tredjeland, en international organisation eller en privat part overføre eller tilgængeliggøre oplysninger fra ECRIS-TCN om en tredjelandsstatsborger. Denne artikel berører ikke artikel 17, stk. 3.
Artikel 19
Datasikkerhed
1.   eu-LISA træffer de nødvendige foranstaltninger med henblik på at garantere ECRIS-TCN's sikkerhed, uden at dette berører de enkelte medlemsstaters ansvar, under hensyntagen til de sikkerhedsforanstaltninger, der er fastsat i stk. 3.
2.   Hvad angår driften af ECRIS-TCN træffer eu-LISA de nødvendige foranstaltninger med henblik på at opfylde målsætningerne i stk. 3, herunder vedtagelsen af en sikkerhedsplan og en forretningskontinuitets- og katastrofeberedskabsplan, og sikre, at de installerede systemer i tilfælde af afbrydelse kan genetableres.
3.   De ansvarlige medlemsstater sørger for oplysningernes sikkerhed før og under overførslen til og modtagelsen fra det nationale centrale adgangspunkt. Navnlig skal den enkelte medlemsstat:
a)
fysisk beskytte oplysningerne, herunder ved at udarbejde beredskabsplaner for beskyttelse af infrastruktur
b)
forhindre, at personer uden bemyndigelse får adgang til nationale anlæg, hvori medlemsstaten udfører operationer med relation til ECRIS-TCN
c)
forhindre, at personer uden bemyndigelse læser, kopierer, ændrer eller fjerner datamedier
d)
forhindre uautoriseret indlæsning af oplysninger samt uautoriseret læsning, ændring eller sletning af de lagrede personoplysninger
e)
forhindre uautoriseret behandling af oplysninger i ECRIS-TCN og enhver uautoriseret ændring eller sletning af oplysninger, som er blevet behandlet i ECRIS-TCN
f)
sikre, at personer med tilladelse til at tilgå ECRIS-TCN kun har adgang til de oplysninger, der er omfattet af deres adgangstilladelse, ved hjælp af individuelle brugeridentiteter og fortrolige passwords
g)
sikre, at alle myndigheder med ret til adgang til ECRIS-TCN opretter profiler, der beskriver funktionerne og ansvarsområderne for de personer, som er bemyndiget til at indlæse, berigtige, slette, konsultere og søge i oplysningerne, og på anmodning og uden unødig forsinkelse stiller deres profiler til rådighed for de nationale tilsynsmyndigheder
h)
sikre, at det er muligt at efterprøve og fastslå, til hvilke EU-organer, -kontorer og -agenturer der kan overføres personoplysninger via datatransmissionsudstyr
i)
sikre, at det er muligt at efterprøve og fastslå, hvilke oplysninger der er blevet behandlet i ECRIS-TCN, hvornår det er sket, hvem der har gjort det, og til hvilket formål
j)
forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger under overførelsen af personoplysninger til eller fra ECRIS-TCN eller under transport af datamedier, navnlig ved hjælp af passende krypteringsteknikker
k)
overvåge effektiviteten af de i dette stykke omhandlede sikkerhedsforanstaltninger og træffe de nødvendige organisatoriske foranstaltninger vedrørende egenkontrol og tilsyn for at sikre overholdelse af denne forordning.
4.   eu-LISA og medlemsstaterne samarbejder for at sikre en sammenhængende tilgang til datasikkerhed på grundlag af en sikkerhedsrisikostyringsproces, der omfatter hele ECRIS-TCN.
Artikel 20
Erstatningsansvar
1.   Enhver person eller medlemsstat, der har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden handling, der er i strid med denne forordning, har ret til erstatning fra:
a)
den medlemsstat, som er ansvarlig for den lidte skade eller
b)
eu-LISA, hvis eu-LISA ikke har opfyldt sine forpligtelser i denne forordning eller i forordning (EU)2018/1725.
Henholdsvis den medlemsstat, der er ansvarlig for den lidte skade, eller eu-LISA fritages helt eller delvis for erstatningsansvar, hvis medlemsstaten eller eu-LISA beviser, at medlemsstaten eller eu-LISA ikke er skyld i den begivenhed, der gav anledning til skaden.
2.   Hvis en medlemsstat, Eurojust, Europol eller EPPO ikke overholder deres forpligtelser i henhold til denne forordning og derved volder skade på ECRIS-TCN, holdes henholdsvis den pågældende medlemsstat, Eurojust, Europol, eller EPPO ansvarlig for skaden, medmindre og i det omfang eu-LISA eller en anden medlemsstat, der deltager i ECRIS-TCN, undlod at træffe rimelige foranstaltninger til at forhindre skaden i at ske eller til at begrænse dens omfang.
3.   Erstatningskrav mod en medlemsstat for den i stk. 1 og 2 omhandlede skade behandles efter den sagsøgte medlemsstats ret. Erstatningskrav mod eu-LISA, Eurojust, Europol og EPPO for den i stk. 1 og 2 omhandlede skade er underlagt deres respektive konstituerende retsakter.
Artikel 21
Egenkontrol
Medlemsstaterne sikrer, at hver central myndighed træffer de foranstaltninger, der er nødvendige for at sikre overholdelsen af denne forordning, og i nødvendigt omfang samarbejder med tilsynsmyndighederne.
Artikel 22
Sanktioner
Ethvert misbrug af oplysninger, der er indlæst i ECRIS-TCN, er underlagt sanktioner eller disciplinære foranstaltninger i overensstemmelse med national ret eller EU-ret, som er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning.
KAPITEL V
Databeskyttelsesrettigheder og -tilsyn
Artikel 23
Dataansvarlig og databehandler
1.   I overensstemmelse med gældende EU-databeskyttelsesregler betragtes hver central myndighed som dataansvarlig for den pågældende centrale myndigheds medlemsstats behandling af personoplysninger i henhold til denne forordning.
2.   I overensstemmelse med forordning (EU) 2018/1725 betragtes eu-LISA som databehandler for så vidt angår de personoplysninger, som medlemsstaterne indlæser i det centrale system.
Artikel 24
Formålet med behandlingen af personoplysninger
1.   De oplysninger, der er indlæst i det centrale system, må kun behandles med henblik på bestemmelse af, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om tredjelandsstatsborgere.
2.   Med undtagelse af Eurojusts, Europols og EPPO's behørigt bemyndigede personale, som har adgang til ECRIS-TCN med henblik på formålene i denne forordning, forbeholdes adgang til ECRIS-TCN udelukkende de centrale myndigheders behørigt bemyndigede personale. Adgang skal begrænses til det omfang, der er nødvendigt for at udføre opgaverne i overensstemmelse med det i stk. 1 omhandlede formål, og til hvad der er nødvendigt og står i et rimeligt forhold til de forfulgte mål.
Artikel 25
Ret til adgang, berigtigelse, sletning og begrænsning af behandling
1.   Anmodninger fra tredjelandsstatsborgere vedrørende retten til adgang til personoplysninger, til berigtigelse og sletning og til begrænsning af behandling af personoplysninger, som er fastsat i de gældende EU-databeskyttelsesregler, kan rettes til den centrale myndighed i enhver medlemsstat.
2.   Når en anmodning indgives til en anden medlemsstat end domsstaten, videresender den medlemsstat, til hvilken anmodningen er indgivet, den til domsstaten uden unødig forsinkelse og under alle omstændigheder inden for ti arbejdsdage efter modtagelsen af anmodningen. Efter modtagelse af anmodningen skal domsstaten:
a)
straks indlede en procedure for kontrol af, at de pågældende oplysninger er korrekte, eller at behandlingen af disse i ECRIS-TCN var lovlig, og
b)
uden unødig forsinkelse svare den medlemsstat, der har videresendt anmodningen.
3.   Hvis det viser sig, at oplysninger, der er registreret i ECRIS-TCN, er ukorrekte eller ulovligt behandlet, berigtiger eller sletter domsstaten oplysningerne i overensstemmelse med artikel 9. Domsstaten eller efter omstændighederne den medlemsstat, til hvilken anmodningen er indgivet, bekræfter uden unødig forsinkelse skriftligt over for den berørte person, at den har taget skridt til at berigtige eller slette oplysningerne om vedkommende. Domsstaten informerer også uden unødig forsinkelse enhver anden medlemsstat, som har modtaget domsoplysninger, der er indhentet som et resultat af en søgning i ECRIS-TCN, om hvilke skridt, der er taget.
4.   Hvis domsstaten ikke er enig i, at de oplysninger, som er registreret i ECRIS-TCN, er ukorrekte eller er blevet behandlet ulovligt, træffer denne medlemsstat en administrativ eller retslig afgørelse, hvori den over for den berørte person skriftligt forklarer, hvorfor den ikke er indstillet på at berigtige eller slette oplysningerne om vedkommende. Sådanne tilfælde kan, hvis det er hensigtsmæssigt, meddeles den nationale tilsynsmyndighed.
5.   Den medlemsstat, som har truffet afgørelsen i henhold til stk. 4, orienterer ligeledes den berørte person om, hvilke skridt vedkommende kan tage, hvis begrundelsen givet i henhold til stk. 4 ikke kan godtages af vedkommende. Denne orientering skal indeholde oplysninger om, hvordan der kan anlægges sag ved eller indgives klage til den pågældende medlemsstatskompetente myndigheder eller domstole, og hvilken bistand, herunder fra de nationale tilsynsmyndigheder, der er til rådighede i henhold til den pågældende medlemsstats nationale ret.
6.   En anmodning indgivet i henhold til stk. 1 skal indeholde de oplysninger, der er nødvendige for at identificere den berørte person. Disse oplysninger må udelukkende anvendes til at muliggøre udøvelsen af de i stk. 1 omhandlede rettigheder og skal slettes umiddelbart efter.
7.   Hvor stk. 2 finder anvendelse, registrerer den centrale myndighed, til hvilken anmodningen var rettet, i skriftlig form, at en sådan anmodning er fremsat, hvordan den blev behandlet og til hvilken myndighed, den blev videresendt. På anmodning fra den nationale tilsynsmyndighed gør den centrale myndighed straks det pågældende dokument tilgængeligt for nævnte nationale tilsynsmyndighed. Den centrale myndighed og den nationale tilsynsmyndighed sletter de pågældende dataposter tre år efter oprettelsen heraf.
Artikel 26
Samarbejde med henblik på sikring af overholdelse for databeskyttelsesrettigheder
1.   De centrale myndigheder samarbejder indbyrdes om at sikre overholdelse af de rettigheder, der er fastsat i artikel 25.
2.   I hver medlemsstat giver den nationale tilsynsmyndighed på anmodning oplysninger til den berørte person om, hvordan vedkommende kan udøve sin ret til at få berigtiget eller slettet oplysninger om sig selv i overensstemmelse med de gældende EU-databeskyttelsesregler.
3.   Med henblik på denne artikel samarbejder den nationale tilsynsmyndighed i den medlemsstat, som overførte oplysningerne, og den nationale tilsynsmyndighed i den medlemsstat, hvortil anmodningen er indgivet, med hinanden.
Artikel 27
Retsmidler
Enhver person har ret til at indgive en klage og til et retsmiddel i den domsstat, der nægtede den pågældende ret til adgang til eller ret til at få berigtiget eller slettet oplysninger om sig selv, som omhandlet i artikel 25, i overensstemmelse med national ret eller EU-retten.
Artikel 28
De nationale tilsynsmyndigheders tilsyn
1.   Hver medlemsstat sikrer, at de nationale tilsynsmyndigheder, der er udpeget i medfør af gældende EU-databeskyttelsesregler, overvåger lovligheden af den berørte medlemsstats behandling af personoplysninger som omhandlet i artikel 5 og 6, herunder overførslen af dem til og fra ECRIS-TCN.
2.   Den nationale tilsynsmyndighed sikrer, at der foretages en audit af databehandlingsaktiviteterne i de nationale strafferegistre og fingeraftryksdatabaser vedrørende dataudvekslingen mellem disse systemer og ECRIS-TCN i overensstemmelse med relevante internationale revisionsstandarder mindst hvert tredje år fra datoen for ECRIS-TCN's idriftsættelse.
3.   Medlemsstaterne sikrer, at deres nationale tilsynsmyndigheder har tilstrækkelige ressourcer til at udføre de opgaver, som er tillagt dem i henhold til denne forordning.
4.   Hver medlemsstat fremkommer med alle de oplysninger, som den nationale tilsynsmyndighed anmoder om, herunder navnlig oplysninger om de aktiviteter, der gennemføres i henhold til artikel 12, 13 og 19. Hver medlemsstat giver de nationale tilsynsmyndigheder adgang til sine registre i henhold til artikel 25, stk. 7, og til sine logfiler i henhold til artikel 31, stk. 6, og giver dem til enhver tid adgang til alle de af deres lokaliteter, der har forbindelse til ECRIS-TCN.
Artikel 29
Tilsyn foretaget af Den Europæiske Tilsynsførende for Databeskyttelse
1.   Den Europæiske Tilsynsførende for Databeskyttelse overvåger, at eu-LISA's aktiviteter i forbindelse med behandling af personoplysninger, der vedrører ECRIS-TCN, udføres i overensstemmelse med denne forordning.
2.   Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at der mindst hvert tredje år foretages en audit af eu-LISA's aktiviteter i forbindelse med behandling af personoplysninger i overensstemmelse med relevante internationale standarder for audit. En rapport om denne audit sendes til Europa-Parlamentet, Rådet, Kommissionen, eu-LISA og tilsynsmyndighederne. eu-LISA skal have lejlighed til at fremsætte bemærkninger, inden rapporten vedtages.
3.   eu-LISA giver de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver vedkommende adgang til alle dokumenter og til sine i artikel 31 omhandlede logfiler og giver til enhver tid vedkommende adgang til alle sine lokaler.
Artikel 30
Samarbejde mellem nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse
Der sikres koordineret tilsyn af ECRIS-TCN i overensstemmelse med artikel 62 i forordning (EU) 2018/1725.
Artikel 31
Opbevaring af logfiler
1.   eu-LISA og de kompetente myndigheder sikrer inden for deres respektive ansvarsområder, at alle databehandlingsaktiviteter i ECRIS-TCN bliver logget i overensstemmelse med stk. 2 med henblik på at kontrollere anmodningers antagelighed, overvåge dataintegritet, -sikkerhed og lovligheden af databehandlingen samt egenkontrol.
2.   Logfilen skal vise følgende:
a)
formålet med anmodningen om adgang til oplysninger i ECRIS-TCN
b)
de i artikel 5 omhandlede overførte oplysninger
c)
det national sagsnummer
d)
datoen og det nøjagtige tidspunkt for aktiviteten
e)
de oplysninger, der er anvendt til en søgning
f)
referenceangivelsen på den embedsmand, der foretog søgningen.
3.   Logfilen over søgninger og videregivelser skal gøre det muligt at fastlægge begrundelsen for sådanne aktiviteter.
4.   Logfiler må kun bruges til at overvåge lovligheden af databehandling og til at sikre dataintegritet og -sikkerhed. Kun logfiler, der indeholder ikkepersonlige oplysninger, må anvendes til den i artikel 36 omhandlede overvågning og evaluering. Disse logfiler beskyttes med passende foranstaltninger mod uautoriseret adgang og slettes efter tre år, hvis de ikke længere er nødvendige i forbindelse med overvågningsprocedurer, som allerede er indledt.
5.   eu-LISA stiller efter anmodning og uden unødig forsinkelse logfiler for sine databehandlingsaktiviteter til rådighed for de centrale myndigheder.
6.   De kompetente nationale tilsynsmyndigheder, der er ansvarlige for at kontrollere anmodningens antagelighed og overvåge lovligheden af databehandlingen og dataintegriteten og -sikkerheden, har på anmodning adgang til logfilerne med henblik på at udføre deres opgaver. De centrale myndigheder stiller efter anmodning og uden unødig forsinkelse logge over deres databehandlingsaktiviteter til rådighed for de kompetente nationale tilsynsmyndigheder.
KAPITEL VI
Afsluttende bestemmelser
Artikel 32
Anvendelse af oplysninger til rapportering og statistik
1.   eu-LISA's, de kompetente myndigheders og Kommissionens behørigt bemyndigede personale har udelukkende adgang til de oplysninger, der behandles i ECRIS-TCN, med henblik på rapportering og statistik uden mulighed for individuel identifikation.
2.   Med henblik på stk. 1 etablerer, implementerer og hoster eu-LISA på sine tekniske lokaliteter et centralregister, som indeholder de i stk. 1 omhandlede oplysninger, og som uden at muliggøre individuel identifikation gøre det muligt at indhente rapporter og statistikker, der kan tilpasses brugerne. Adgang til centralregistret opnås via en sikret adgang med adgangskontrol og specifikke brugerprofiler udelukkende med henblik på rapportering og statistik.
3.   De procedurer, der er indført af eu-LISA med henblik på at overvåge, hvordan ECRIS-TCN, jf. artikel 36, og ECRIS-referencegennemførelsen fungerer, skal give mulighed for at udarbejde regelmæssige statistikker med henblik på overvågning.
Hver måned forelægger eu-LISA Kommissionen statistikker vedrørende registrering, lagring og udveksling af strafferegisteroplysninger gennem ECRIS-TCN og ECRIS-referencegennemførelsen. eu-LISA sikrer, at det ikke er muligt at identificere enkeltpersoner på grundlag af disse statistikker. eu-LISA giver Kommissionen efter dennes anmodning statistikker om særlige aspekter i forbindelse med gennemførelsen af denne forordning.
4.   Medlemsstaterne giver eu-LISA de statistikker, der er nødvendige for at opfylde de i denne artikel omhandlede forpligtelser. De giver Kommissionen statistikker over antallet af domfældte tredjelandsstatsborgere og antallet af straffedomme afsagt over tredjelandsstatsborgere på deres område.
Artikel 33
Omkostninger
1.   Omkostningerne i forbindelse med oprettelsen og driften af det centrale system, den i artikel 4, stk. 1, litra d), omhandlede kommunikationsinfrastruktur, grænsefladesoftwaren og ECRIS-referencegennemførelsen afholdes over Unionens almindelige budget.
2.   Eurojusts, Europols og EPPO's omkostninger i forbindelse med tilslutning til ECRIS-TCN afholdes over deres respektive budgetter.
3.   Andre omkostninger afholdes af medlemsstaterne, navnlig omkostningerne i forbindelse med de eksisterende nationale strafferegistres, fingeraftryksdatabasers og de centrale myndigheders tilslutning til ECRIS-TCN, samt omkostningerne ved at hoste ECRIS-referencegennemførelsen.
Artikel 34
Underretninger
1.   Hver medlemsstat underretter eu-LISA om sin centrale myndighed eller sine centrale myndigheder, som har adgang til at indlæse, berigtige, slette, indhente eller søge i oplysningerne, samt om enhver ændring i denne henseende.
2.   eu-LISA sikrer offentliggørelse af listen over de centrale myndigheder, som medlemsstaterne har underrettet om, både i Den Europæiske Unions Tidende og på sit websted. Når eu-LISA modtager underretning om en ændring med hensyn til en medlemsstats centrale myndighed, ajourfører det listen uden unødig forsinkelse.
Artikel 35
Indlæsning af oplysninger og idriftsættelse
1.   Når Kommissionen har konstateret, at følgende betingelser er opfyldt, fastsætter den datoen for, hvornår medlemsstaterne skal begynde at indlæse de i artikel 5 omhandlede oplysninger i ECRIS-TCN:
a)
de i artikel 10 omhandlede relevante gennemførelsesretsakter er vedtaget
b)
medlemsstaterne har valideret de tekniske og retlige ordninger for indsamling og overførsel af de i artikel 5 omhandlede oplysninger til ECRIS-TCN og har givet Kommissionen meddelelse herom
c)
eu-LISA har gennemført en omfattende test af ECRIS-TCN i samarbejde med medlemsstaterne ved hjælp af anonyme testdata.
2.   Når Kommissionen har fastsat datoen for påbegyndelsen af indlæsning af oplysninger i overensstemmelse med stk. 1, meddeler den denne dato til medlemsstaterne. Inden for en frist på to måneder efter denne dato indlæser medlemsstaterne de i artikel 5 omhandlede oplysninger i ECRIS-TCN under hensyntagen til artikel 41, stk. 2.
3.   Efter udløbet af den i stk. 2 omhandlede frist foretager eu-LISA en afsluttende afprøvning af ECRIS-TCN i samarbejde med medlemsstaterne.
4.   Når den i stk. 3 omhandlede test er blevet afsluttet med et positivt resultat, og eu-LISA vurderer, at ECRIS-TCN er klart til idriftsættelse, underretter det Kommissionen herom. Kommissionen underretter Europa-Parlamentet og Rådet om resultaterne af testen og træffer afgørelse om datoen for ECRIS-TCN's idriftsættelse.
5.   Kommissionens afgørelse om datoen for idriftsættelse af ECRIS-TCN, som omhandlet i stk. 4, offentliggøres i Den Europæiske Unions Tidende.
6.   Medlemsstaterne påbegynder anvendelsen af ECRIS-TCN fra den dato, Kommissionen fastsætter i medfør af stk. 4.
7.   Kommissionen kan, når den træffer de i denne artikel omhandlede afgørelser, fastsætte forskellige datoer for indlæsningen i ECRIS-TCN af alfanumeriske data og fingeraftryksoplysninger som omhandlet i artikel 5 og for idriftsættelsen med hensyn til disse forskellige kategorier af data.
Artikel 36
Overvågning og evaluering
1.   eu-LISA sikrer, at der er etableret procedurer med henblik på at overvåge udviklingen af ECRIS-TCN i lyset af planlægnings- og omkostningsmålene og på at overvåge ECRIS-TCN og ECRIS- referencegennemførelsen i lyset af målene for tekniske resultater, omkostningseffektivitet, sikkerhed og tjenestens kvalitet.
2.   Med henblik på overvågning af, hvordan ECRIS-TCN fungerer, og dets tekniske vedligeholdelse har eu-LISA adgang til de nødvendige oplysninger om de databehandlingsprocesser, der udføres i ECRIS-TCN og i ECRIS-referencegennemførelsen.
3.   Senest den 12. december 2019 og derefter hver sjette måned i udformnings- og udviklingsfasen forelægger eu-LISA en rapport for Europa-Parlamentet og Rådet, hvori der gøres status over udviklingen af ECRIS-TCN og af ECRIS-referencegennemførelsen.
4.   Den i stk. 3 omhandlede rapport indeholder en oversigt over de aktuelle omkostninger og projektets fremskridt, en økonomisk konsekvensanalyse og oplysninger om eventuelle tekniske problemer og risici, som kan påvirke de samlede omkostninger ved ECRIS-TCN, der afholdes over Unionens almindelige budget i overensstemmelse med artikel 33.
5.   I tilfælde af betydelige forsinkelser i udviklingsprocessen underretter eu-LISA Europa-Parlamentet og Rådet snarest muligt om årsagerne til disse forsinkelser og om de tidsmæssige og finansielle virkninger heraf.
6.   Når udviklingen af ECRIS-TCN og af ECRIS-referencegennemførelsen er afsluttet, forelægger eu-LISA en rapport for Europa-Parlamentet og Rådet, som forklarer, hvordan målene, navnlig vedrørende planlægning og omkostninger, blev opfyldt, og angiver grundene til eventuelle afvigelser.
7.   I tilfælde af en teknisk opgradering af ECRIS-TCN, som vil kunne medføre betydelige omkostninger, underretter eu-LISA Europa-Parlamentet og Rådet.
8.   To år efter idriftsættelsen af ECRIS-TCN og derefter en gang om året forelægger eu-LISA Kommissionen en rapport om, hvordan ECRIS-TCN og ECRIS-referencegennemførelsen fungerer rent teknisk, herunder sikkerhedsmæssigt, navnlig baseret på statistikker over, hvordan ECRIS-TCN fungerer og anvendes, og over udveksling af strafferegisteroplysninger gennem ECRIS-referencegennemførelsen.
9.   Fire år efter idriftsættelsen af ECRIS-TCN og derefter hvert fjerde år gennemfører Kommissionen en samlet evaluering af ECRIS-TCN og ECRIS-referencegennemførelsen. Den samlede evalueringsrapport, der er udarbejdet på dette grundlag, indeholder en vurdering af anvendelsen af denne forordning og en gennemgang af de opnåede resultater set i forhold til de fastsatte mål og af indvirkningen på de grundlæggende rettigheder. Rapporten indeholder også en evaluering af, om det underliggende rationale for driften af ECRIS-TCN fortsat er gældende, af hensigtsmæssigheden af brugen af de biometriske oplysninger for ECRIS-TCN, af ECRIS-TCN's sikkerhed og af eventuelle sikkerhedsmæssige konsekvenser for den fremtidige drift. Evalueringen skal indeholde eventuelle nødvendige henstillinger. Kommissionen fremsender rapporten til Europa-Parlamentet, Rådet, Den Europæiske Tilsynsførende for Databeskyttelse og Den Europæiske Unions Agentur for Grundlæggende Rettigheder.
10.   Den første samlede evaluering som omhandlet i stk. 9 indeholder desuden en vurdering af:
a)
i hvilket omfang på grundlag af de relevante statistiske oplysninger og yderligere oplysninger fra medlemsstaterne medtagelsen af identitetsoplysninger for unionsborgere, som også er statsborgere i et tredjeland, i ECRIS-TCN har bidraget til opfyldelsen af målene for denne forordning
b)
muligheden for, at nogle medlemsstater fortsat kan anvende national ECRIS-gennemførelsessoftware som omhandlet i artikel 4
c)
indlæsningen af fingeraftryksoplysninger i ECRIS-TCN, navnlig anvendelsen af de minimumskriterier, der er omhandlet i artikel 5, stk. 1, litra b), nr. ii)
d)
ECRIS' og ECRIS-TCN's indvirkning på beskyttelsen af personoplysninger.
Vurderingen kan om nødvendigt ledsages af lovgivningsforslag. Efterfølgende samlede evalueringer kan omfatte en vurdering af nogen eller alle af disse aspekter.
11.   Medlemsstaterne, Eurojust, Europol og EPPO giver eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 3, 8 og 9 omhandlede rapporter i henhold til de kvantitative indikatorer, som Kommissionen eller eu-LISA har fastsat på forhånd. Disse oplysninger må ikke skade arbejdsmetoder eller omfatte oplysninger, som afslører kilder, medarbejdere eller undersøgelser.
12.   De nationale tilsynsmyndigheder giver, hvor det er relevant, eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 9 omhandlede rapporter i henhold til de kvantitative indikatorer, som Kommissionen eller eu-LISA har fastsat på forhånd. Disse oplysninger må ikke skade arbejdsmetoderne eller omfatte oplysninger, som afslører kilder, medarbejdere eller undersøgelser.
13.   eu-LISA giver Kommissionen de oplysninger, der er nødvendige for at foretage de i stk. 9 omhandlede samlede evalueringer.
Artikel 37
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 6, stk. 2, tillægges Kommissionen for en ubegrænset periode fra den 11. juni 2019.
3.   Den i artikel 6, stk. 2, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 6, stk. 2, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 38
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
Afgiver udvalget ikke nogen udtalelse, vedtager Kommissionen ikke udkastet til gennemførelsesretsakt, og artikel 5, stk. 4, tredje afsnit, i forordning (EU) nr. 182/2011 finder anvendelse.
Artikel 39
Rådgivende udvalg
eu-LISA nedsætter et rådgivende udvalg, der indhenter ekspertise vedrørende ECRIS-TCN og ECRIS-referencegennemførelsen, navnlig i forbindelse med eu-LISA's udarbejdelse af det årlige arbejdsprogram og den årlige aktivitetsrapport. Under udformnings- og udviklingsfasen finder artikel 11, stk. 9, anvendelse.
Artikel 40
Ændringer til forordning (EU) 2018/1726
I forordning (EU) 2018/1726 foretages følgende ændringer:
1)
Artikel 1, stk. 4, affattes således:
»4.   Agenturet er ansvarligt for forberedelsen, udviklingen eller den operationelle forvaltning af ind- og udrejsesystemet, DubliNet, det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS), ECRIS-TCN og ECRIS-referencegennemførelsen.«
2)
Følgende artikel indsættes:
»Artikel 8a
Opgaver vedrørende ECRIS-TCN og ECRIS-referencegennemførelsen
I forbindelse med ECRIS-TCN og ECRIS-referencegennemførelsen udfører agenturet:
a)
de opgaver, som det er pålagt ved Europa-Parlamentets og Rådets forordning (EU) 2019/816
 (
*1
)
b)
opgaver vedrørende uddannelse i den tekniske anvendelse af ECRIS-TCN og ECRIS-referencegennemførelsen.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/816 af 17. april 2019 om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) for at supplere det europæiske informationssystem vedrørende strafferegistre, og om ændring af forordning (EU) 2018/1726 (
EUT L 135 af 22.5.2019, s. 1
).«
                                                   "
3)
Artikel 14, stk. 1, affattes således:
»1.   Agenturet overvåger udviklingen i den forskning, der er relevant for den operationelle forvaltning af SIS II, VIS, Eurodac, ind- og udrejsesystemet, ETIAS, DubliNet, ECRIS-TCN og andre store IT-systemer som omhandlet i artikel 1, stk. 5.«
4)
I artikel 19, stk. 1, foretages følgende ændringer:
a)
Litra ee) affattes således:
»ee)
vedtage rapporterne om udviklingen af ind- og udrejsesystemet i henhold til artikel 72, stk. 2, i forordning (EU) 2017/2226, rapporterne om udviklingen af ETIAS i henhold til artikel 92, stk. 2, i forordning (EU) 2018/1240 og rapporterne om udvikling af ECRIS-TCN og ECRIS-referencegennemførelsen i henhold til artikel 36, stk. 3, i forordning (EU) 2019/816.«
b)
Litra ff) affattes således:
»ff)
vedtage rapporterne om den tekniske funktion af SIS II i henhold til henholdsvis artikel 50, stk. 4, i forordning (EF) nr. 1987/2006 og artikel 66, stk. 4, i afgørelse 2007/533/RIA, af VIS i henhold til artikel 50, stk. 3, i forordning (EF) nr. 767/2008 og artikel 17, stk. 3, i afgørelse 2008/633/RIA, af ind- og udrejsesystemet i henhold til artikel 72, stk. 4, i forordning (EU) 2017/2226, af ETIAS i henhold til artikel 92, stk. 4, i forordning (EU) 2018/1240 og af ECRIS-TCN og ECRIS-referencegennemførelsen i henhold til artikel 36, stk. 8, i forordning (EU) 2019/816.«
c)
Litra hh) affattes således:
»hh)
vedtage de formelle bemærkninger til auditrapporterne fra Den Europæiske Tilsynsførende for Databeskyttelse udført i henhold til artikel 45, stk. 2, i forordning (EF) nr. 1987/2006, artikel 42, stk. 2, i forordning (EF) nr. 767/2008 og artikel 31, stk. 2, i forordning (EU) nr. 603/2013, artikel 56, stk. 2, i forordning (EU) 2017/2226, artikel 67 i forordning (EU) 2018/1240 og artikel 29, stk. 2, i forordning (EU) 2019/816 og sikre passende opfølgning af disse audits«.
d)
Følgende litra indsættes:
»lla)
forelægge Kommissionen statistikker vedrørende ECRIS-TCN og ECRIS-referencegennemførelsen i henhold til artikel 32, stk. 3, andet afsnit, i forordning (EU) 2019/816.«
e)
Litra mm) affattes således:
»mm)
sikre den årlige offentliggørelse af listen over de kompetente myndigheder, der har tilladelse til direkte søgning i oplysningerne i SIS II, jf. artikel 31, stk. 8, i forordning (EF) nr. 1987/2006 og artikel 46, stk. 8, i afgørelse 2007/533/RIA, sammen med listen over kontorer for de nationale systemer af SIS II (N.SIS II-kontorer) og SIRENE-kontorer, jf. artikel 7, stk. 3, i forordning (EF) nr. 1987/2006 og artikel 7, stk. 3, i afgørelse 2007/533/RIA, samt listen over kompetente myndigheder, jf. artikel 65, stk. 2, i forordning (EU) 2017/2226, listen over kompetente myndigheder, jf. artikel 87, stk. 2, i forordning (EU) 2018/1240, og listen over centrale myndigheder, jf. artikel 34, stk. 2, i forordning (EU) 2019/816.«
5)
Efter det tredje afsnit i artikel 22, stk. 4, indsættes følgende afsnit:
»Eurojust, Europol og EPPO kan deltage i bestyrelsens møder som observatører, når et spørgsmål vedrørende ECRIS-TCN i forbindelse med anvendelsen af forordning (EU) 2019/816 er på dagsordenen.«
6)
Artikel 24, stk. 3, litra p), affattes således:
»p)
fastlæggelse af fortrolighedskrav uden at dette berører tjenestemandsvedtægtens artikel 17, for at efterkomme henholdsvis artikel 17 i forordning (EF) nr. 1987/2006, artikel 17 i afgørelse 2007/533/RIA, artikel 26, stk. 9, i forordning (EF) nr. 767/2008, artikel 4, stk. 4, i forordning (EU) nr. 603/2013, artikel 37, stk. 4, i forordning (EU) 2017/2226, artikel 74, stk. 2, i forordning (EU) 2018/1240 og artikel 11, stk. 16, i forordning (EU) 2019/816.«
7)
I artikel 27, stk. 1, indsættes følgende litra:
»da)
Den Rådgivende Gruppe for ECRIS-TCN.«
Artikel 41
Gennemførelses- og overgangsbestemmelser
1.   Medlemsstaterne træffer de nødvendige foranstaltninger til at efterkomme denne forordning snarest muligt for at sikre, at ECRIS-TCN fungerer korrekt.
2.   Med hensyn til straffedomme afsagt inden datoen for påbegyndelsen af indlæsning af oplysninger i overensstemmelse med artikel 35, stk. 1, opretter de centrale myndigheder de enkelte dataposter i det centrale system som følger:
a)
Alfanumeriske oplysninger, som skal indlæses i det centrale system ved udgangen af den i artikel 35, stk. 2 omhandlede periode.
b)
Fingeraftryksoplysninger, som skal indlæses i det centrale system inden to år efter idriftsættelsen i overensstemmelse med artikel 35, stk. 4.
Artikel 42
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Strasbourg, den 17. april 2019.
På Europa-Parlamentets vegne
A. TAJANI
Formand
På Rådets vegne
G. CIAMBA
Formand
(
1
)
  Europa-Parlamentets holdning af 12.3.2019 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 9.4.2019.
(
2
)
  Rådets rammeafgørelse 2008/675/RIA af 24. juli 2008 om hensyntagen til domme afsagt i medlemsstaterne i Den Europæiske Union i forbindelse med en ny straffesag (
EUT L 220 af 15.8.2008, s. 32
).
(
3
)
  Rådets rammeafgørelse 2009/315/RIA af 26. februar 2009 om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (
EUT L 93 af 7.4.2009, s. 23
).
(
4
)
  Rådets afgørelse 2009/316/RIA af 6. april 2009 om indførelse af det europæiske informationssystem vedrørende strafferegistre (ECRIS) i henhold til artikel 11 i rammeafgørelse 2009/315/RIA (
EUT L 93 af 7.4.2009, s. 33
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1726 af 14. november 2018 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) nr. 1987/2006 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) nr. 1077/2011 (
EUT L 295 af 21.11.2018, s. 99
).
(
6
)
  Europa-Parlamentets og Rådets direktiv 2011/93/EU af 13. december 2011 om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi og om erstatning af Rådets rammeafgørelse 2004/68/RIA (
EUT L 335 af 17.12.2011, s. 1
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1727 af 14. november 2018 om Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA (
EUT L 295 af 21.11.2018, s. 138
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
9
)
  Rådets forordning (EU) 2017/1939 af 12. oktober 2017 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (
EUT L 283 af 31.10.2017, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
)
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
13
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
16
)
  
            
EUT C 55 af 14.2.2018, s. 4
.
(
17
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
BILAG
STANDARDFORMULAR TIL ANMODNING OM OPLYSNINGER SOM OMHANDLET I ARTIKEL 17, STK. 1, I FORORDNING (EU) 2019/816 MED HENBLIK PÅ AT INDHENTE OPLYSNINGER OM HVILKEN MEDLEMSSTAT, OM NOGEN, DER LIGGER INDE MED STRAFFEREGISTEROPLYSNINGER OM EN TREDJELANDSSTATSBORGER
Tekst af billedet
Denne formular, som findes på www.eurojust.europa.eu på alle EU-institutionernes 24 officielle sprog, bør stiles til ECRIS-TCN@eurojust.europa.eu på et af disse sprog.
Anmodende stat eller international organisation:
Statens eller den internationale organisations navn:
Myndighed, der indgiver anmodningen:
Repræsenteret af (personens navn):
Titel:
Adresse:
Tlf.
E-mail:
Straffesager, for hvilke oplysningerne søges:
Nationalt referencenummer:
Kompetent myndighed:
Efterforskede typer forbrydelser (angiv den eller de relevante artikler i straffeloven):
Andre relevante oplysninger (f.eks. om anmodningen haster):
Identitetsoplysninger på tredjelandsstatsborgeren, for hvem der ønskes oplysninger om domsstaten:
Bemærk: Angiv så mange oplysninger som muligt.
Efternavn:
Fornavn(e):
Fødselsdato:
Fødested (by og land):
Nationalitet(er):
Køn:
Eventuelt tidligere navn(e):
Forældrenes navne:
Personnummer:
Typen af og nummeret på personens identifikationsdokument(er):
Udstedende myndighed:
Pseudonymer eller kaldenavne:
Hvis fingeraftryksoplysningerne er tilgængelige, gives disse.
Hvis der er flere personer, anføres de hver for sig.
En drop down-menu vil give mulighed for at tilføje yderligere emner
Sted
Dato
(Elektronisk) underskrift og stempel:

Summary:
Det europæiske informationssystem vedrørende strafferegistre — oplysninger om straffedomme afsagt over tredjelandsstatsborgere (ECRIS-TCN)
RESUMÉ AF:
Forordning (EU) 2019/816 om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN)
HVAD ER FORMÅLET MED FORORDNINGEN?
Den opretter:
ECRIS-TCN
 (det europæiske informationssystem vedrørende strafferegistre — tredjelandsstatsborgere) — et system til at identificere 
Den Europæiske Unions
 (EU) 
medlemsstater
, der ligger inde med oplysninger om tidligere »tredjelandesstatsborgere« og statsløse personer
de betingelser, hvorunder nationale myndigheder kan få adgang til ECRIS-TCN med henblik på at indhente 
oplysninger om tidligere straffedomme
 via det 
europæiske informationssystem vedrørende strafferegistre
 (ECRIS) (rammeafgørelse
 2009/315/RIA
 — se 
resumé
), og de betingelser, hvorunder 
Den Europæiske Anklagemyndighed
 (EPPO), D
en Europæiske Unions Agentur for Strafferetligt Samarbejde
 (Eurojust) og 
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 (Europol) må benytte systemet
de betingelser, hvorunder ECRIS-TCN hjælper med at fremme og bistå med 
korrekt identificering af personer, der er registreret i ECRIS-TCN
 (i henhold til ændringsforordning (EU) 
2019/818
, som fastlægger en ramme for interoperabilitet mellem EU-informationssystemer inden for politisamarbejde og retligt samarbejde, asyl og migration — se 
resumé
)
betingelserne for anvendelse af oplysninger i ECRIS-TCN i 
visuminformationssystemet
 (VIS) i henhold til forordning (EF) 
nr. 
767/2008
 (se 
resumé
) for at vurdere, om en ansøger om visum, et visum til længerevarende ophold eller en opholdstilladelse kan udgøre en trussel mod den offentlige orden eller indre sikkerhed (ændringsforordning (EU) 
2021/1133
)
de betingelser, hvorunder data i ECRIS-TCN kan 
anvendes af det 
europæiske system vedrørende rejseinformation og rejsetilladelse
, (ETIAS) der er oprettet under Det Europæiske Agentur for Grænse- og Kystbevogtning i henhold til forordning (EU) 
2018/1240
 til at støtte ETIAS-målet om at bidrage til et højt sikkerhedsniveau ved at tilvejebringe en grundig sikkerhedsrisikovurdering af ansøgere, før de ankommer til grænseovergangssteder ved de ydre grænser, med henblik på at afgøre, om der er faktuelle angivelser eller rimelig begrundelse sikkerhedsrisiko (ændring af forordning (EU) 
2021/1151
).
HOVEDPUNKTER
Lovgivningen finder anvendelse på behandlingen af identitetsoplysninger om tredjelandsstatsborgere med tidligere 
straffedomme
1
 i en af medlemsstaterne for at bestemme, hvilken medlemsstat der har afsagt dommen. Den finder ligeledes anvendelse på EU-borgere, der også er tredjelandsstatsborgere. Oplysninger om selve straffedommen kan kun indhentes fra den medlemsstat, der har afsagt dommen.
ECRIS-TCN’s 
tekniske struktur
 består af:
et 
centralt system
, der hostes af 
Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA)
det fælles identitetsregister
et nationalt centralt adgangspunkt i hver medlemsstat
grænsefladesoftware, der giver myndighederne adgang til det centrale system
en kommunikationsinfrastruktur mellem det centrale system og nationale centrale adgangspunkter.
En 
gennemførelsesretsakt
, Kommissionens gennemførelsesafgørelse (EU) 
2022/2470
, fastsætter de foranstaltninger, der er nødvendige for den tekniske udvikling og gennemførelsen af ECRIS-TCN. Den fastsætter specifikationerne for behandling af alfanumeriske data og fingeraftryksdata, datakvalitet, indtastning af data, adgang til og anmodning om ECRIS-TCN, lagring og adgang til logfiler og levering af statistikker samt krav til ECRIS-TCN’s resultater og tilgængelighed.
Nationale 
centrale myndigheder
2
 skal hurtigst oprette muligt en 
datapost
 i ECRIS-TCN for hver tredjelandsstatsborger, som de afsiger dom over. Den indeholder:
efternavn og fornavne, fødselsdato og fødested, nationalitet(er), køn, eventuelle tidligere navne og koden for den medlemsstat, der har afsagt dommen
eventuelt forældrenes navne, oplysninger om den pågældendes identitetsdokumenter samt pseudonymer eller kaldenavne
fingeraftryksoplysninger, der er indsamlet i overensstemmelse med national ret, og som opfylder visse tekniske specifikationer
ansigtsbilleder, hvis det er tilladt i medfør af national ret i den medlemsstat, der har afsagt dommen
markere, at den pågældende ikke-EU-borger er dømt i de foregående 25 år for en terrorhandling eller i de foregående 15 år for en anden strafbar handling, der fremgår af bilaget til forordning (EU) 2018/1240, hvis den kan straffes med frihedsstraf eller en anden frihedsberøvende foranstaltning i en periode på højst tre år i henhold til national ret, herunder koden for den medlemsstat, der har afsagt dommen.
Nationale centrale myndigheder
 kan anvende ECRIS-TCN til at identificere den medlemsstat, der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger med henblik på efterfølgende indhentning af oplysninger om vedkommendes tidligere straffedomme, når dette er nødvendigt af hensyn til straffesager mod den pågældende eller med henblik på:
kontrol af en persons eget strafferegister på dennes anmodning
indhentning af en sikkerhedsgodkendelse
indhentning af en licens eller tilladelse
baggrundskontrol med henblik på ansættelse
frivillige aktiviteter, der involverer direkte og regelmæssig kontakt med børn eller sårbare personer
visum, erhvervelse af statsborgerskab og migrationsprocedurer, herunder asylprocedurer
kontroller i forbindelse med offentlige kontrakter og offentlige test.
EPPO, Eurojust og Europol:
har direkte adgang til ECRIS-TCN for at bestemme, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om en tredjelandsstatsborger
kan ikke indlæse, rette eller slette oplysninger i ECRIS-TCN
kan anmode om strafferegisteroplysninger fra den pågældende medlemsstaterne, når et 
hit
3
 sker via deres egne kanaler
er ansvarlige for deres tekniske forbindelser til ECRIS-TCN
skal sørge for passende uddannelse omfattende navnlig datasikkerheds- og databeskyttelsesregler og 
grundlæggende rettigheder
.
Ikke-EU-lande og internationale organisationer
 kan kun bede Eurojust om oplysninger om, hvilke medlemsstater der ligger inde med oplysninger om en bestemt tredjelandsstatsborger med henblik på straffesager. Hvis der er et hit, og den pågældende medlemsstat giver sit samtykke, informerer Eurojust Ikke-EU-landet eller den internationale organisation om, hvilken medlemsstat det vedrører, så de kan anmode den pågældende medlemsstat om de relevante udskrifter fra strafferegistret.
Oplysninger
:
lagres i det centrale system, lige så længe som oplysningerne lagres i strafferegisteret
slettes af de nationale myndigheder, når den nationale lagringsperiode udløber
kan ændres eller slettes af de medlemsstater, der har indlæst dem i det centrale system eller det fælles identitetsregister
må kun behandles til at bestemme, hvilke medlemsstater der ligger inde med strafferegisteroplysninger om tredjelandsstatsborgere.
eu-LISA
 har ansvaret for at:
udvikle ECRIS-TCN, den operationelle forvaltning og vedligeholde 
ECRIS-referencegennemførelsen
4
.
føre tilsyn med kommunikationsinfrastrukturen, herunder sikkerheden
vedligeholde procedurer for udførelse af kvalitetskontrol af de oplysninger, der er lagret i ECRIS-TCN, og kontrollere, hvordan systemet fungerer samt den tekniske vedligeholdelse
forelægge rapporter regelmæssigt for 
Europa-Parlamentet
, 
Rådet for Den Europæiske Union
 og 
Europa-Kommissionen
sørge for den nødvendige tekniske uddannelse
anvende passende regler for tavshedspligt og tilsvarende fortrolighedskrav.
træffe de nødvendige foranstaltninger for at garantere ECRIS-TCN’s sikkerhed
logge alle databehandlingsprocesser i ECRIS-TCN
forelægge Kommissionen statistikker vedrørende registrering, lagring og udveksling af strafferegisteroplysninger gennem ECRIS-TCN og ECRIS-referencegennemførelsen.
Medlemsstaterne
 har ansvaret for:
en sikker forbindelse mellem deres nationale strafferegister og fingeraftryksdatabaser og det nationale centrale adgangspunkt
forvaltning af behørigt bemyndiget personale hos de centrale myndigheder og deres uddannelse
lovlig behandling af oplysninger, der er registreret i ECRIS-TCN, og navnlig sikre, at:
kun bemyndiget personale har adgang til oplysningerne
oplysningerne indsamles og indlæses på lovlig vis i ECRIS-TCN med respekt for tredjelandsstatsborgerens menneskelige værdighed og grundlæggende rettigheder og
oplysningerne er korrekte og ajourførte, når de indlæses i ECRIS-TCN
hver central myndighed og træffer de nødvendige foranstaltninger for at efterkomme lovgivningen
nationale tilsynsmyndigheder og kontrollerer legaliteten af behandlingen af personoplysninger.
Et individ eller en medlemsstat, der lider skade som følge af adfærd, der er i strid med forordningen, har ret til 
erstatning
 fra:
den medlemsstat, der er ansvarlig for skaden
eu-LISA, hvis agenturet ikke har opfyldt sine forpligtelser.
Tredjelandsstatsborgere kan kontakte en medlemsstats centrale myndighed for at anmode om adgang til deres personoplysninger, få dem rettet, slettet eller begrænset deres brug.
Ethvert misbrug af oplysninger, der er indlæst i ECRIS-TCN, er underlagt sanktioner eller 
disciplinære foranstaltninger
.
Den Europæiske Tilsynsførende for Databeskyttelse
 overvåger eu-LISA’s aktiviteter i forbindelse med behandling af personoplysninger og foretager mindst hvert tredje år en revision for Parlamentet, Rådet og Kommissionen.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordning (EU) 2019/816 trådte i kraft den 
11. juni 2019
.
Ændringsforordning (EU) 2021/1151 trådte i kraft den 
3. august 2021
.
Ændringsforordning (EU) 2021/1133 træder i kraft på ikrafttrædelsesdatoen for VIS i henhold til artikel 11 i forordning (EU) 2021/1134. Denne artikel angiver, at Kommissionen senest den 
31. december 2023
 vedtager en afgørelse ved en gennemførelsesretsakt, der fastsætter den dato, hvor VIS-operationer starter.
Medlemsstaterne skal træffe de nødvendige foranstaltninger for hurtigst muligt at efterkomme forordningen med henblik på at sikre, at ECRIS-TCN fungerer korrekt.
Kommissionen skal sikre, at visse betingelser er opfyldt, før der træffes beslutning om datoen for, hvornår medlemsstaterne kan begynde at indlæse oplysninger i ECRIS TCN. Når de endelige tekniske test er udført af eu-LISA, vil Kommissionen beslutte, hvornår systemet skal sættes i drift.
BAGGRUND
For yderligere oplysninger henvises til:
Det europæiske informationssystem vedrørende strafferegistre
 (ECRIS) (Europa-Kommissionen).
VIGTIGE BEGREBER
Dom.
 Enhver endelig afgørelse truffet af en straffedomstol over for en fysisk person og indlæst i strafferegisteret.
Central myndigheder.
 En central myndighed: en national strafferegistermyndighed, som er udpeget i overensstemmelse med artikel 3, stk. 1, i rammeafgørelse 2009/315/RIA.
Hit.
 En overensstemmelse mellem de identitetsoplysninger, der er registreret i det centrale system, og dem, der bruges til en søgning.
ECRIS-referencegennemførelsen.
 Software udviklet af Kommissionen og gjort tilgængelig for medlemsstaterne med henblik på udveksling af strafferegisterdata gennem ECRIS.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2019/816
 af 
17. april 2019
 om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) for at supplere det europæiske informationssystem vedrørende strafferegistre, og om ændring af forordning (EU) 2018/1726 (EUT L 135 af 
22.5.2019
, 
s. 1-26
).
Efterfølgende ændringer til forordning (EU) 2019/816 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Kommissionens gennemførelsesafgørelse (EU) 
2022/2470
 af 
14. december 2022
 om fastsættelse af de foranstaltninger, der er nødvendige for den tekniske udvikling og gennemførelse af det centrale system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) (EUT L 322 af 
16.12.2022
, 
s. 107-121
).
Europa-Parlamentets og Rådets forordning (EU) 
2021/1133
 af 
7. juli 2021
 om ændring af forordning (EU) 
nr. 603/2013
, (EU) 2016/794, (EU) 2018/1862, (EU) 2019/816 og (EU) 2019/818 for så vidt angår fastsættelse af betingelserne for adgang til andre EU-informationssystemer med henblik på visuminformationssystemet (EUT L 248 af 
13.7.2021
, 
s. 1-10
).
Europa-Parlamentets og Rådets forordning (EU) 
2019/818
 af 
20. maj 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (EUT L 135 af 
22.5.2019
, 
s. 85-135
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1727
 af 
14. november 2018
 om Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA (EUT L 295 af 
21.11.2018
, 
s. 138-183
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1726
 af 
14. november 2018
 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) 
nr. 1987/2006
 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) 
nr. 1077/2011
 (EUT L 295 af 
21.11.2018
, 
s. 99-137
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39-98
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1240
 af 
12. september 2018
 om oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) og om ændring af forordning (EU) 
nr. 1077/2011
, (EU) 
nr. 515/2014
, (EU) 2016/399 (EU) 2016/1624 og (EU) 2017/2226 (EUT L 236 af 
19.9.2018
, 
s. 1-71
).
Se den 
konsoliderede udgave
.
Rådets forordning (EU) 
2017/1939
 af 
12. oktober 2017
 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (EUT L 283 af 
31.10.2017
, 
s. 1-71
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/794
 af 
11. maj 2016
 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT L 135 af 
24.5.2016
, 
s. 53-114
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se den 
konsoliderede udgave
.
Rådets rammeafgørelse 
2009/315/RIA
 af 
26. februar 2009
 om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (EUT L 93 af 
7.4.2009
, 
s. 23-32
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EF) 
nr. 
767/2008
 af 
9. juli 2008
 om visuminformationssystemet (VIS) og udveksling af oplysninger mellem medlemsstaterne om visa til kortvarigt ophold (VIS-forordningen) (EUT L 218 af 
13.8.2008
, 
s. 60-81
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
10.5.2023