CELEX ID: 32013R0603

--- ENGLISH ---

Document:
29.6.2013
EN
Official Journal of the European Union
L 180/1
REGULATION (EU) No 603/2013 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 26 June 2013
on the establishment of ‧Eurodac‧ for the comparison of fingerprints for the effective application of Regulation (EU) No 604/2013 establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person and on requests for the comparison with Eurodac data by Member States' law enforcement authorities and Europol for law enforcement purposes, and amending Regulation (EU) No 1077/2011 establishing a European Agency for the operational management of large-scale IT systems in the area of freedom, security and justice (recast)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Articles 78 (2)(e), 87(2)(a) and 88(2)(a) thereof,
Having regard to the proposal from the European Commission
Having regard to the opinion of the European Data Protection Supervisor 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
A number of substantive changes are to be made to Council Regulation (EC) No 2725/2000 of 11 December 2000 concerning the establishment of ‧Eurodac‧ for the comparison of fingerprints for the effective application of the Dublin Convention 
(
3
)
 and to Council Regulation (EC) No 407/2002 of 28 February 2002 laying down certain rules to implement Regulation (EC) No 2725/2000 concerning the establishment of "Eurodac" for the comparison of fingerprints for the effective application of the Dublin Convention 
(
4
)
. In the interest of clarity, those Regulations should be recast.
(2)
A common policy on asylum, including a Common European Asylum System, is a constituent part of the European Union's objective of progressively establishing an area of freedom, security and justice open to those who, forced by circumstances, seek international protection in the Union.
(3)
The European Council of 4 November 2004 adopted The Hague Programme which set the objectives to be implemented in the area of freedom, security and justice in the period 2005-2010. The European Pact on Immigration and Asylum endorsed by the European Council of 15-16 October 2008 called for the completion of the establishment of a Common European Asylum System by creating a single procedure comprising common guarantees and a uniform status for refugees and for persons eligible for subsidiary protection.
(4)
For the purposes of applying Regulation (EU) No 604/2013 of the European Parliament and of the Council of 26 June 2013 establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person 
(
5
)
, it is necessary to establish the identity of applicants for international protection and of persons apprehended in connection with the unlawful crossing of the external borders of the Union. It is also desirable, in order effectively to apply Regulation (EU) No 604/2013, and in particular Article 18(1)(b) and (d) thereof, to allow each Member State to check whether a third-country national or stateless person found illegally staying on its territory has applied for international protection in another Member State.
(5)
Fingerprints constitute an important element in establishing the exact identity of such persons. It is necessary to set up a system for the comparison of their fingerprint data.
(6)
To that end, it is necessary to set up a system known as ‧Eurodac‧, consisting of a Central System, which will operate a computerised central database of fingerprint data, as well as of the electronic means of transmission between the Member States and the Central System, hereinafter the "Communication Infrastructure".
(7)
The Hague Programme called for the improvement of access to existing data filing systems in the Union. In addition, The Stockholm Programme called for well targeted data collection and a development of information exchange and its tools that is driven by law enforcement needs.
(8)
It is essential in the fight against terrorist offences and other serious criminal offences for the law enforcement authorities to have the fullest and most up-to-date information if they are to perform their tasks. The information contained in Eurodac is necessary for the purposes of the prevention, detection or investigation of terrorist offences as referred to in Council Framework Decision 2002/475/JHA of 13 June 2002 on combating terrorism 
(
6
)
 or of other serious criminal offences as referred to in Council Framework Decision 2002/584/JHA of 13 June 2002 on the European arrest warrant and the surrender procedures between Member States 
(
7
)
. Therefore, the data in Eurodac should be available, subject to the conditions set out in this Regulation, for comparison by the designated authorities of Member States and the European Police Office (Europol).
(9)
The powers granted to law enforcement authorities to access Eurodac should be without prejudice to the right of an applicant for international protection to have his or her application processed in due course in accordance with the relevant law. Furthermore, any subsequent follow-up after obtaining a ‧hit‧ from Eurodac should also be without prejudice to that right.
(10)
The Commission outlines in its Communication to the Council and the European Parliament of 24 November 2005 on improved effectiveness, enhanced interoperability and synergies among European databases in the area of Justice and Home Affairs that authorities responsible for internal security could have access to Eurodac in well defined cases, when there is a substantiated suspicion that the perpetrator of a terrorist or other serious criminal offence has applied for international protection. In that Communication the Commission also found that the proportionality principle requires that Eurodac be queried for such purposes only if there is an overriding public security concern, that is, if the act committed by the criminal or terrorist to be identified is so reprehensible that it justifies querying a database that registers persons with a clean criminal record, and it concluded that the threshold for authorities responsible for internal security to query Eurodac must therefore always be significantly higher than the threshold for querying criminal databases.
(11)
Moreover, Europol plays a key role with respect to cooperation between Member States' authorities in the field of cross-border crime investigation in supporting Union-wide crime prevention, analyses and investigation. Consequently, Europol should also have access to Eurodac within the framework of its tasks and in accordance with Council Decision 2009/371/JHA of 6 April 2009 establishing the European Police Office (Europol) 
(
8
)
.
(12)
Requests for comparison of Eurodac data by Europol should be allowed only in specific cases, under specific circumstances and under strict conditions.
(13)
Since Eurodac was originally established to facilitate the application of the Dublin Convention, access to Eurodac for the purposes of preventing, detecting or investigating terrorist offences or other serious criminal offences constitutes a change of the original purpose of Eurodac, which interferes with the fundamental right to respect for the private life of individuals whose personal data are processed in Eurodac. Any such interference must be in accordance with the law, which must be formulated with sufficient precision to allow individuals to adjust their conduct and it must protect individuals against arbitrariness and indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise. Any interference must be necessary in a democratic society to protect a legitimate and proportionate interest and proportionate to the legitimate objective it aims to achieve.
(14)
Even though the original purpose of the establishment of Eurodac did not require the facility of requesting comparisons of data with the database on the basis of a latent fingerprint, which is the dactyloscopic trace which may be found at a crime scene, such a facility is fundamental in the field of police cooperation. The possibility to compare a latent fingerprint with the fingerprint data which is stored in Eurodac in cases where there are reasonable grounds for believing that the perpetrator or victim may fall under one of the categories covered by this Regulation will provide the designated authorities of the Member States with a very valuable tool in preventing, detecting or investigating terrorist offences or other serious criminal offences, when for example the only evidence available at a crime scene are latent fingerprints.
(15)
This Regulation also lays down the conditions under which requests for comparison of fingerprint data with Eurodac data for the purposes of preventing, detecting or investigating terrorist offences or other serious criminal offences should be allowed and the necessary safeguards to ensure the protection of the fundamental right to respect for the private life of individuals whose personal data are processed in Eurodac. The strictness of those conditions reflects the fact that the Eurodac database registers fingerprint data of persons who are not presumed to have committed a terrorist offence or other serious criminal offence.
(16)
With a view to ensuring equal treatment for all applicants and beneficiaries of international protection, as well as in order to ensure consistency with the current Union asylum acquis, in particular with Directive 2011/95/EU of the European Parliament and of the Council of 13 December 2011 on standards for the qualification of third-country nationals or stateless persons as beneficiaries of international protection, for a uniform status for refugees or for persons eligible for subsidiary protection, and for the content of the protection granted 
(
9
)
 and Regulation (EU) No 604/2013, it is appropriate to extend the scope of this Regulation in order to include applicants for subsidiary protection and persons eligible for subsidiary protection.
(17)
It is also necessary to require the Member States promptly to take and transmit the fingerprint data of every applicant for international protection and of every third-country national or stateless person who is apprehended in connection with the irregular crossing of an external border of a Member State, if they are at least 14 years of age.
(18)
It is necessary to lay down precise rules for the transmission of such fingerprint data to the Central System, the recording of such fingerprint data and of other relevant data in the Central System, their storage, their comparison with other fingerprint data, the transmission of the results of such comparison and the marking and erasure of the recorded data. Such rules may be different for, and should be specifically adapted to, the situation of different categories of third-country nationals or stateless persons.
(19)
Member States should ensure the transmission of fingerprint data of an appropriate quality for the purpose of comparison by means of the computerised fingerprint recognition system. All authorities with a right of access to Eurodac should invest in adequate training and in the necessary technological equipment. The authorities with a right of access to Eurodac should inform the European Agency for the operational management of large-scale IT systems in the area of freedom, security and justice established by Regulation (EU) No 1077/2011 of the European Parliament and of the Council 
(
10
)
 (the "Agency") of specific difficulties encountered with regard to the quality of data, in order to resolve them.
(20)
The fact that it is temporarily or permanently impossible to take and/or to transmit fingerprint data, due to reasons such as insufficient quality of the data for appropriate comparison, technical problems, reasons linked to the protection of health or due to the data subject being unfit or unable to have his or her fingerprints taken owing to circumstances beyond his or her control, should not adversely affect the examination of or the decision on the application for international protection lodged by that person.
(21)
Hits obtained from Eurodac should be verified by a trained fingerprint expert in order to ensure the accurate determination of responsibility under Regulation (EU) No 604/2013 and the exact identification of the criminal suspect or victim of crime whose data might be stored in Eurodac.
(22)
Third-country nationals or stateless persons who have requested international protection in one Member State may have the option of requesting international protection in another Member State for many years to come. Therefore, the maximum period during which fingerprint data should be kept by the Central System should be of considerable length. Given that most third-country nationals or stateless persons who have stayed in the Union for several years will have obtained a settled status or even citizenship of a Member State after that period, a period of ten years should be considered a reasonable period for the storage of fingerprint data.
(23)
The storage period should be shorter in certain special situations where there is no need to keep fingerprint data for that length of time. Fingerprint data should be erased immediately once third-country nationals or stateless persons obtain citizenship of a Member State.
(24)
It is appropriate to store data relating to those data subjects whose fingerprints were initially recorded in Eurodac upon lodging their applications for international protection and who have been granted international protection in a Member State in order to allow data recorded upon lodging an application for international protection to be compared against them.
(25)
The Agency has been entrusted with the Commission's tasks relating to the operational management of Eurodac in accordance with this Regulation and with certain tasks relating to the Communication Infrastructure as from the date on which the Agency took up its responsibilities on 1 December 2012. The Agency should take up the tasks entrusted to it under this Regulation, and the relevant provisions of Regulation (EU) No 1077/2011 should be amended accordingly. In addition, Europol should have observer status at the meetings of the Management Board of the Agency when a question in relation to the application of this Regulation concerning access for consultation of Eurodac by designated authorities of Member States and by Europol for the purposes of the prevention, detection or investigation of terrorist offences or of other serious criminal offences is on the agenda. Europol should be able to appoint a representative to the Eurodac Advisory Group of the Agency.
(26)
The Staff Regulations of Officials of the European Union (Staff Regulations of Officials) and the Conditions of Employment of Other Servants of the European Union (‧Conditions of Employment‧), laid down in Regulation (EEC, Euratom, ECSC) No 259/68 of the Council 
(
11
)
 (together referred to as the ‧Staff Regulations‧) should apply to all staff working in the Agency on matters pertaining to this Regulation.
(27)
It is necessary to lay down clearly the respective responsibilities of the Commission and the Agency, in respect of the Central System and the Communication Infrastructure, and of the Member States, as regards data processing, data security, access to, and correction of, recorded data.
(28)
It is necessary to designate the competent authorities of the Member States as well as the National Access Point through which the requests for comparison with Eurodac data are made and to keep a list of the operating units within the designated authorities that are authorised to request such comparison for the specific purposes of the prevention, detection or investigation of terrorist offences or of other serious criminal offences.
(29)
Requests for comparison with data stored in the Central System should be made by the operating units within the designated authorities to the National Access Point, through the verifying authority and should be reasoned. The operating units within the designated authorities that are authorised to request comparisons with Eurodac data should not act as a verifying authority. The verifying authorities should act independently of the designated authorities and should be responsible for ensuring, in an independent manner, strict compliance with the conditions for access as established in this Regulation. The verifying authorities should then forward the request, without forwarding the reasons for it, for comparison through the National Access Point to the Central System following verification that all conditions for access are fulfilled. In exceptional cases of urgency where early access is necessary to respond to a specific and actual threat related to terrorist offences or other serious criminal offences, the verifying authority should process the request immediately and only carry out the verification afterwards.
(30)
The designated authority and the verifying authority may be part of the same organisation, if permitted under national law, but the verifying authority should act independently when performing its tasks under this Regulation.
(31)
For the purposes of protection of personal data, and to exclude systematic comparisons which should be forbidden, the processing of Eurodac data should only take place in specific cases and when it is necessary for the purposes of preventing, detecting or investigating terrorist offences or other serious criminal offences. A specific case exists in particular when the request for comparison is connected to a specific and concrete situation or to a specific and concrete danger associated with a terrorist offence or other serious criminal offence, or to specific persons in respect of whom there are serious grounds for believing that they will commit or have committed any such offence. A specific case also exists when the request for comparison is connected to a person who is the victim of a terrorist offence or other serious criminal offence. The designated authorities and Europol should thus only request a comparison with Eurodac when they have reasonable grounds to believe that such a comparison will provide information that will substantially assist them in preventing, detecting or investigating a terrorist offence or other serious criminal offence.
(32)
In addition, access should be allowed only on condition that comparisons with the national fingerprint databases of the Member State and with the automated fingerprinting identification systems of all other Member States under Council Decision 2008/615/JHA of 23 June 2008 on the stepping up of cross-border cooperation, particularly in combating terrorism and cross-border crime 
(
12
)
 did not lead to the establishment of the identity of the data subject. That condition requires the requesting Member State to conduct comparisons with the automated fingerprinting identification systems of all other Member States under Decision 2008/615/JHA which are technically available, unless that Member State can justify that there are reasonable grounds to believe that it would not lead to the establishment of the identity of the data subject. Such reasonable grounds exist in particular where the specific case does not present any operational or investigative link to a given Member State. That condition requires prior legal and technical implementation of Decision 2008/615/JHA by the requesting Member State in the area of fingerprint data, as it should not be permitted to conduct a Eurodac check for law enforcement purposes where those above steps have not been first taken.
(33)
Prior to searching Eurodac, designated authorities should also, provided that the conditions for a comparison are met, consult the Visa Information System under Council Decision 2008/633/JHA of 23 June 2008 concerning access for consultation of the Visa Information System (VIS) by designated authorities of Member States and by Europol for the purposes of the prevention, detection and investigation of terrorist offences and of other serious criminal offences 
(
13
)
.
(34)
For the purpose of efficient comparison and exchange of personal data, Member States should fully implement and make use of the existing international agreements as well as of Union law concerning the exchange of personal data already in force, in particular of Decision 2008/615/JHA.
(35)
The best interests of the child should be a primary consideration for Member States when applying this Regulation. Where the requesting Member State establishes that Eurodac data pertain to a minor, these data may only be used for law enforcement purposes by the requesting Member State in accordance with that State's laws applicable to minors and in accordance with the obligation to give primary consideration to the best interests of the child.
(36)
While the non-contractual liability of the Union in connection with the operation of the Eurodac system will be governed by the relevant provisions of the Treaty on the Functioning of the European Union (TFEU), it is necessary to lay down specific rules for the non-contractual liability of the Member States in connection with the operation of the system.
(37)
Since the objective of this Regulation, namely the creation of a system for the comparison of fingerprint data to assist the implementation of Union asylum policy, cannot, by its very nature, be sufficiently achieved by the Member States and can therefore be better achieved at Union level, the Union may adopt measures in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective.
(38)
Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 
(
14
)
 applies to the processing of personal data by the Member States carried out in application of this Regulation unless such processing is carried out by the designated or verifying authorities of the Member States for the purposes of the prevention, detection or investigation of terrorist offences or of other serious criminal offences.
(39)
The processing of personal data by the authorities of the Member States for the purposes of the prevention, detection or investigation of terrorist offences or of other serious criminal offences pursuant to this Regulation should be subject to a standard of protection of personal data under their national law which complies with Council Framework Decision 2008/977/JHA of 27 November 2008 on the protection of personal data processed in the framework of police and judicial co-operation in criminal matters 
(
15
)
.
(40)
The principles set out in Directive 95/46/EC regarding the protection of the rights and freedoms of individuals, notably their right to privacy, with regard to the processing of personal data should be supplemented or clarified, in particular as far as certain sectors are concerned.
(41)
Transfers of personal data obtained by a Member State or Europol pursuant to this Regulation from the Central System to any third country or international organisation or private entity established in or outside the Union should be prohibited, in order to ensure the right to asylum and to safeguard applicants for international protection from having their data disclosed to a third country. This implies that Member States should not transfer information obtained from the Central System concerning: the Member State(s) of origin; the place and date of application for international protection; the reference number used by the Member State of origin; the date on which the fingerprints were taken as well as the date on which the Member State(s) transmitted the data to Eurodac; the operator user ID; and any information relating to any transfer of the data subject under Regulation (EU) No 604/2013. That prohibition should be without prejudice to the right of Member States to transfer such data to third countries to which Regulation (EU) No 604/2013 applies, in order to ensure that Member States have the possibility of cooperating with such third countries for the purposes of this Regulation.
(42)
National supervisory authorities should monitor the lawfulness of the processing of personal data by the Member States, and the supervisory authority set up by Decision 2009/371/JHA should monitor the lawfulness of data processing activities performed by Europol.
(43)
Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data 
(
16
)
, and in particular Articles 21 and 22 thereof concerning confidentiality and security of processing, applies to the processing of personal data by Union institutions, bodies, offices and agencies carried out in application of this Regulation. However, certain points should be clarified in respect of the responsibility for the processing of data and of the supervision of data protection, bearing in mind that data protection is a key factor in the successful operation of Eurodac and that data security, high technical quality and lawfulness of consultations are essential to ensure the smooth and proper functioning of Eurodac as well as to facilitate the application of Regulation (EU) No 604/2013.
(44)
The data subject should be informed of the purpose for which his or her data will be processed within Eurodac, including a description of the aims of Regulation (EU) No 604/2013, and of the use to which law enforcement authorities may put his or her data.
(45)
It is appropriate that national supervisory authorities monitor the lawfulness of the processing of personal data by the Member States, whilst the European Data Protection Supervisor, as referred to in Regulation (EC) No 45/2001, should monitor the activities of the Union institutions, bodies, offices and agencies in relation to the processing of personal data carried out in application of this Regulation.
(46)
Member States, the European Parliament, the Council and the Commission should ensure that the national and European supervisory authorities are able to supervise the use of and access to Eurodac data adequately.
(47)
It is appropriate to monitor and evaluate the performance of Eurodac at regular intervals, including in terms of whether law enforcement access has led to indirect discrimination against applicants for international protection, as raised in the Commission's evaluation of the compliance of this Regulation with the Charter of Fundamental Rights of the European Union (‧the Charter‧). The Agency should submit an annual report on the activities of the Central System to the European Parliament and to the Council.
(48)
Member States should provide for a system of effective, proportionate and dissuasive penalties to sanction the processing of data entered in the Central System contrary to the purpose of Eurodac.
(49)
It is necessary that Member States be informed of the status of particular asylum procedures, with a view to facilitating the adequate application of Regulation (EU) No 604/2013.
(50)
This Regulation respects the fundamental rights and observes the principles recognised in particular by the Charter. In particular, this Regulation seeks to ensure full respect for the protection of personal data and for the right to seek international protection, and to promote the application of Articles 8 and 18 of the Charter. This Regulation should therefore be applied accordingly.
(51)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(52)
In accordance with Article 3 of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the Area of Freedom, Security and Justice, annexed to the TEU and to the TFEU, the United Kingdom has notified its wish to take part in the adoption and application of this Regulation.
(53)
In accordance with Article 1 and 2 of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the Area of Freedom, Security and Justice, annexed to the TEU and to the TFEU, and without prejudice to Article 4 of that Protocol, Ireland is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(54)
It is appropriate to restrict the territorial scope of this Regulation so as to align it on the territorial scope of Regulation (EU) No 604/2013,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Purpose of "Eurodac"
1.   A system known as "Eurodac" is hereby established, the purpose of which shall be to assist in determining which Member State is to be responsible pursuant to Regulation (EU) No 604/2013 for examining an application for international protection lodged in a Member State by a third-country national or a stateless person, and otherwise to facilitate the application of Regulation (EU) No 604/2013 under the conditions set out in this Regulation.
2.   This Regulation also lays down the conditions under which Member States' designated authorities and the European Police Office (Europol) may request the comparison of fingerprint data with those stored in the Central System for law enforcement purposes.
3.   Without prejudice to the processing of data intended for Eurodac by the Member State of origin in databases set up under the latter's national law, fingerprint data and other personal data may be processed in Eurodac only for the purposes set out in this Regulation and Article 34(1) of Regulation (EU) No 604/2013.
Article 2
Definitions
1.   For the purposes of this Regulation:
(a)
‧applicant for international protection‧ means a third-country national or a stateless person who has made an application for international protection as defined in Article 2(h) of Directive 2011/95/EU in respect of which a final decision has not yet been taken;
(b)
‧Member State of origin‧ means:
(i)
in relation to a person covered by Article 9(1), the Member State which transmits the personal data to the Central System and receives the results of the comparison;
(ii)
in relation to a person covered by Article 14(1), the Member State which transmits the personal data to the Central System;
(iii)
in relation to a person covered by Article 17(1), the Member State which transmits the personal data to the Central System and receives the results of the comparison;
(c)
‧beneficiary of international protection‧ means a third-country national or a stateless person who has been granted international protection as defined in Article 2(a) of Directive 2011/95/EU;
(d)
‧hit‧ means the existence of a match or matches established by the Central System by comparison between fingerprint data recorded in the computerised central database and those transmitted by a Member State with regard to a person, without prejudice to the requirement that Member States shall immediately check the results of the comparison pursuant to Article 25(4);
(e)
‧National Access Point‧ means the designated national system which communicates with the Central System;
(f)
‧Agency‧ means the Agency established by Regulation (EU) No 1077/2011;
(g)
‧Europol‧ means the European Police Office established by Decision 2009/371/JHA;
(h)
‧Eurodac data‧ means all data stored in the Central System in accordance with Article 11 and Article 14(2);
(i)
‧law enforcement‧ means the prevention, detection or investigation of terrorist offences or of other serious criminal offences;
(j)
‧terrorist offences‧ means the offences under national law which correspond or are equivalent to those referred to in Articles 1 to 4 of Framework Decision 2002/475/JHA;
(k)
‧serious criminal offences‧ means the forms of crime which correspond or are equivalent to those referred to in Article 2(2) of Framework Decision 2002/584/JHA, if they are punishable under national law by a custodial sentence or a detention order for a maximum period of at least three years;
(l)
‧fingerprint data‧ means the data relating to fingerprints of all or at least the index fingers, and if those are missing, the prints of all other fingers of a person, or a latent fingerprint.
2.   The terms defined in Article 2 of Directive 95/46/EC shall have the same meaning in this Regulation in so far as personal data are processed by the authorities of the Member States for the purposes laid down in Article 1(1) of this Regulation.
3.   Unless stated otherwise, the terms defined in Article 2 of Regulation (EU) No 604/2013 shall have the same meaning in this Regulation.
4.   The terms defined in Article 2 of Framework Decision 2008/977/JHA shall have the same meaning in this Regulation in so far as personal data are processed by the authorities of the Member States for the purposes laid down in Article 1(2) of this Regulation.
Article 3
System architecture and basic principles
1.   Eurodac shall consist of:
(a)
a computerised central fingerprint database ("Central System") composed of:
(i)
a Central Unit,
(ii)
a Business Continuity Plan and System;
(b)
a communication infrastructure between the Central System and Member States that provides an encrypted virtual network dedicated to Eurodac data ("Communication Infrastructure").
2.   Each Member State shall have a single National Access Point.
3.   Data on persons covered by Articles 9(1), 14(1) and 17(1) which are processed in the Central System shall be processed on behalf of the Member State of origin under the conditions set out in this Regulation and separated by appropriate technical means.
4.   The rules governing Eurodac shall also apply to operations carried out by the Member States as from the transmission of data to the Central System until use is made of the results of the comparison.
5.   The procedure for taking fingerprints shall be determined and applied in accordance with the national practice of the Member State concerned and in accordance with the safeguards laid down in the Charter of Fundamental Rights of the European Union, in the Convention for the Protection of Human Rights and Fundamental Freedoms and in the United Nations Convention on the Rights of the Child.
Article 4
Operational management
1.   The Agency shall be responsible for the operational management of Eurodac.
The operational management of Eurodac shall consist of all the tasks necessary to keep Eurodac functioning 24 hours a day, 7 days a week in accordance with this Regulation, in particular the maintenance work and technical developments necessary to ensure that the system functions at a satisfactory level of operational quality, in particular as regards the time required for interrogation of the Central System. A Business Continuity Plan and System shall be developed taking into account maintenance needs and unforeseen downtime of the system, including the impact of business continuity measures on data protection and security.
The Agency shall ensure, in cooperation with the Member States, that at all times the best available and most secure technology and techniques, subject to a cost-benefit analysis, are used for the Central System.
2.   The Agency shall be responsible for the following tasks relating to the Communication Infrastructure:
(a)
supervision;
(b)
security;
(c)
the coordination of relations between the Member States and the provider.
3.   The Commission shall be responsible for all tasks relating to the Communication Infrastructure other than those referred to in paragraph 2, in particular:
(a)
the implementation of the budget;
(b)
acquisition and renewal;
(c)
contractual matters.
4.   Without prejudice to Article 17 of the Staff Regulations, the Agency shall apply appropriate rules of professional secrecy or other equivalent duties of confidentiality to all its staff required to work with Eurodac data. This obligation shall also apply after such staff leave office or employment or after the termination of their duties.
Article 5
Member States' designated authorities for law enforcement purposes
1.   For the purposes laid down in Article 1(2), Member States shall designate the authorities that are authorised to request comparisons with Eurodac data pursuant to this Regulation. Designated authorities shall be authorities of the Member States which are responsible for the prevention, detection or investigation of terrorist offences or of other serious criminal offences. Designated authorities shall not include agencies or units exclusively responsible for intelligence relating to national security.
2.   Each Member State shall keep a list of the designated authorities.
3.   Each Member State shall keep a list of the operating units within the designated authorities that are authorised to request comparisons with Eurodac data through the National Access Point.
Article 6
Member States' verifying authorities for law enforcement purposes
1.   For the purposes laid down in Article 1(2), each Member State shall designate a single national authority or a unit of such an authority to act as its verifying authority. The verifying authority shall be an authority of the Member State which is responsible for the prevention, detection or investigation of terrorist offences or of other serious criminal offences.
The designated authority and the verifying authority may be part of the same organisation, if permitted under national law, but the verifying authority shall act independently when performing its tasks under this Regulation. The verifying authority shall be separate from the operating units referred to in Article 5(3) and shall not receive instructions from them as regards the outcome of the verification.
Member States may designate more than one verifying authority to reflect their organisational and administrative structures, in accordance with their constitutional or legal requirements.
2.   The verifying authority shall ensure that the conditions for requesting comparisons of fingerprints with Eurodac data are fulfilled.
Only duly empowered staff of the verifying authority shall be authorised to receive and transmit a request for access to Eurodac in accordance with Article 19.
Only the verifying authority shall be authorised to forward requests for comparison of fingerprints to the National Access Point.
Article 7
Europol
1.   For the purposes laid down in Article 1(2), Europol shall designate a specialised unit with duly empowered Europol officials to act as its verifying authority, which shall act independently of the designated authority referred to in paragraph 2 of this Article when performing its tasks under this Regulation and shall not receive instructions from the designated authority as regards the outcome of the verification. The unit shall ensure that the conditions for requesting comparisons of fingerprints with Eurodac data are fulfilled. Europol shall designate in agreement with any Member State the National Access Point of that Member State which shall communicate its requests for comparison of fingerprint data to the Central System.
2.   For the purposes laid down in Article 1(2), Europol shall designate an operating unit that is authorised to request comparisons with Eurodac data through its designated National Access Point. The designated authority shall be an operating unit of Europol which is competent to collect, store, process, analyse and exchange information to support and strengthen action by Member States in preventing, detecting or investigating terrorist offences or other serious criminal offences falling within Europol's mandate.
Article 8
Statistics
1.   The Agency shall draw up statistics on the work of the Central System every quarter, indicating in particular:
(a)
the number of data sets transmitted on persons referred to in Articles 9(1), 14(1) and 17(1);
(b)
the number of hits for applicants for international protection who have lodged an application for international protection in another Member State;
(c)
the number of hits for persons referred to in Article 14(1) who have subsequently lodged an application for international protection;
(d)
the number of hits for persons referred to in Article 17(1) who had previously lodged an application for international protection in another Member State;
(e)
the number of fingerprint data which the Central System had to request more than once from the Member States of origin because the fingerprint data originally transmitted did not lend themselves to comparison using the computerised fingerprint recognition system;
(f)
the number of data sets marked, unmarked, blocked and unblocked in accordance with Article 18(1) and (3);
(g)
the number of hits for persons referred to in Article 18(1) for whom hits have been recorded under points (b) and (d) of this Article;
(h)
the number of requests and hits referred to in Article 20(1);
(i)
the number of requests and hits referred to in Article 21(1).
2.   At the end of each year, statistical data shall be established in the form of a compilation of the quarterly statistics for that year, including an indication of the number of persons for whom hits have been recorded under paragraph 1(b), (c) and (d). The statistics shall contain a breakdown of data for each Member State. The results shall be made public.
CHAPTER II
APPLICANTS FOR INTERNATIONAL PROTECTION
Article 9
Collection, transmission and comparison of fingerprints
1.   Each Member State shall promptly take the fingerprints of all fingers of every applicant for international protection of at least 14 years of age and shall, as soon as possible and no later than 72 hours after the lodging of his or her application for international protection, as defined by Article 20(2) of Regulation (EU) No 604/2013, transmit them together with the data referred to in Article 11(b) to (g) of this Regulation to the Central System.
Non-compliance with the 72-hour time-limit shall not relieve Member States of the obligation to take and transmit the fingerprints to the Central System. Where the condition of the fingertips does not allow the taking of the fingerprints of a quality ensuring appropriate comparison under Article 25, the Member State of origin shall retake the fingerprints of the applicant and resend them as soon as possible and no later than 48 hours after they have been successfully retaken.
2.   By way of derogation from paragraph 1, where it is not possible to take the fingerprints of an applicant for international protection on account of measures taken to ensure his or her health or the protection of public health, Member States shall take and send such fingerprints as soon as possible and no later than 48 hours after those health grounds no longer prevail.
In the event of serious technical problems, Member States may extend the 72-hour time-limit in paragraph 1 by a maximum of a further 48 hours in order to carry out their national continuity plans.
3.   Fingerprint data within the meaning of Article 11(a) transmitted by any Member State, with the exception of those transmitted in accordance with Article 10(b), shall be compared automatically with the fingerprint data transmitted by other Member States and already stored in the Central System.
4.   The Central System shall ensure, at the request of a Member State, that the comparison referred to in paragraph 3 covers the fingerprint data previously transmitted by that Member State, in addition to the data from other Member States.
5.   The Central System shall automatically transmit the hit or the negative result of the comparison to the Member State of origin. Where there is a hit, it shall transmit for all data sets corresponding to the hit the data referred to in Article 11(a) to (k) along with, where appropriate, the mark referred to in Article 18(1).
Article 10
Information on the status of the data subject
The following information shall be sent to the Central System in order to be stored in accordance with Article 12 for the purpose of transmission under Article 9(5):
(a)
when an applicant for international protection or another person as referred to in Article 18(1)(d) of Regulation (EU) No 604/2013 arrives in the Member State responsible following a transfer pursuant to a decision acceding to a take back request as referred to in Article 25 thereof, the Member State responsible shall update its data set recorded in conformity with Article 11 of this Regulation relating to the person concerned by adding his or her date of arrival;
(b)
when an applicant for international protection arrives in the Member State responsible following a transfer pursuant to a decision acceding to a take charge request according to Article 22 of Regulation (EU) No 604/2013, the Member State responsible shall send a data set recorded in conformity with Article 11 of this Regulation relating to the person concerned and shall include his or her date of arrival;
(c)
as soon as the Member State of origin establishes that the person concerned whose data was recorded in Eurodac in accordance with Article 11 of this Regulation has left the territory of the Member States, it shall update its data set recorded in conformity with Article 11 of this Regulation relating to the person concerned by adding the date when that person left the territory, in order to facilitate the application of Articles 19(2) and 20(5) of Regulation (EU) No 604/2013;
(d)
as soon as the Member State of origin ensures that the person concerned whose data was recorded in Eurodac in accordance with Article 11 of this Regulation has left the territory of the Member States in compliance with a return decision or removal order issued following the withdrawal or rejection of the application for international protection as provided for in Article 19(3) of Regulation (EU) No 604/2013, it shall update its data set recorded in conformity with Article 11 of this Regulation relating to the person concerned by adding the date of his or her removal or when he or she left the territory;
(e)
the Member State which becomes responsible in accordance with Article 17(1) of Regulation (EU) No 604/2013 shall update its data set recorded in conformity with Article 11 of this Regulation relating to the applicant for international protection by adding the date when the decision to examine the application was taken.
Article 11
Recording of data
Only the following data shall be recorded in the Central System:
(a)
fingerprint data;
(b)
Member State of origin, place and date of the application for international protection; in the cases referred to in Article 10(b), the date of application shall be the one entered by the Member State who transferred the applicant;
(c)
sex;
(d)
reference number used by the Member State of origin;
(e)
date on which the fingerprints were taken;
(f)
date on which the data were transmitted to the Central System;
(g)
operator user ID;
(h)
where applicable in accordance with Article 10(a) or (b), the date of the arrival of the person concerned after a successful transfer;
(i)
where applicable in accordance with Article 10(c), the date when the person concerned left the territory of the Member States;
(j)
where applicable in accordance with Article 10(d), the date when the person concerned left or was removed from the territory of the Member States;
(k)
where applicable in accordance with Article 10(e), the date when the decision to examine the application was taken.
Article 12
Data storage
1.   Each set of data, as referred to in Article 11, shall be stored in the Central System for ten years from the date on which the fingerprints were taken.
2.   Upon expiry of the period referred to in paragraph 1, the Central System shall automatically erase the data from the Central System.
Article 13
Advance data erasure
1.   Data relating to a person who has acquired citizenship of any Member State before expiry of the period referred to in Article 12(1) shall be erased from the Central System in accordance with Article 27(4) as soon as the Member State of origin becomes aware that the person concerned has acquired such citizenship.
2.   The Central System shall, as soon as possible and no later than after 72 hours, inform all Member States of origin of the erasure of data in accordance with paragraph 1 by another Member State of origin having produced a hit with data which they transmitted relating to persons referred to in Article 9(1) or 14(1).
CHAPTER III
THIRD-COUNTRY NATIONALS OR STATELESS PERSONS APPREHENDED IN CONNECTION WITH THE IRREGULAR CROSSING OF AN EXTERNAL BORDER
Article 14
Collection and transmission of fingerprint data
1.   Each Member State shall promptly take the fingerprints of all fingers of every third-country national or stateless person of at least 14 years of age who is apprehended by the competent control authorities in connection with the irregular crossing by land, sea or air of the border of that Member State having come from a third country and who is not turned back or who remains physically on the territory of the Member States and who is not kept in custody, confinement or detention during the entirety of the period between apprehension and removal on the basis of the decision to turn him or her back.
2.   The Member State concerned shall, as soon as possible and no later than 72 hours after the date of apprehension, transmit to the Central System the following data in relation to any third-country national or stateless person, as referred to in paragraph 1, who is not turned back:
(a)
fingerprint data;
(b)
Member State of origin, place and date of the apprehension;
(c)
sex;
(d)
reference number used by the Member State of origin;
(e)
date on which the fingerprints were taken;
(f)
date on which the data were transmitted to the Central System;
(g)
operator user ID.
3.   By way of derogation from paragraph 2, the data specified in paragraph 2 relating to persons apprehended as described in paragraph 1 who remain physically on the territory of the Member States but are kept in custody, confinement or detention upon their apprehension for a period exceeding 72 hours shall be transmitted before their release from custody, confinement or detention.
4.   Non-compliance with the 72-hour time-limit referred to in paragraph 2 of this Article shall not relieve Member States of the obligation to take and transmit the fingerprints to the Central System. Where the condition of the fingertips does not allow the taking of fingerprints of a quality ensuring appropriate comparison under Article 25, the Member State of origin shall retake the fingerprints of persons apprehended as described in paragraph 1 of this Article, and resend them as soon as possible and no later than 48 hours after they have been successfully retaken.
5.   By way of derogation from paragraph 1, where it is not possible to take the fingerprints of the apprehended person on account of measures taken to ensure his or her health or the protection of public health, the Member State concerned shall take and send such fingerprints as soon as possible and no later than 48 hours after those health grounds no longer prevail.
In the event of serious technical problems, Member States may extend the 72-hour time-limit in paragraph 2 by a maximum of a further 48 hours in order to carry out their national continuity plans.
Article 15
Recording of data
1.   The data referred to in Article 14(2) shall be recorded in the Central System.
Without prejudice to Article 8, data transmitted to the Central System pursuant to Article 14(2) shall be recorded solely for the purposes of comparison with data on applicants for international protection subsequently transmitted to the Central System and for the purposes laid down in Article 1(2).
The Central System shall not compare data transmitted to it pursuant to Article 14(2) with any data previously recorded in the Central System, or with data subsequently transmitted to the Central System pursuant to Article 14(2).
2.   As regards the comparison of data on applicants for international protection subsequently transmitted to the Central System with the data referred to in paragraph 1, the procedures provided for in Article 9(3) and (5) and in Article 25(4) shall apply.
Article 16
Storage of data
1.   Each set of data relating to a third-country national or stateless person as referred to in Article 14(1) shall be stored in the Central System for 18 months from the date on which his or her fingerprints were taken. Upon expiry of that period, the Central System shall automatically erase such data.
2.   The data relating to a third-country national or stateless person as referred to in Article 14(1) shall be erased from the Central System in accordance with Article 28(3) as soon as the Member State of origin becomes aware of one of the following circumstances before the 18 month period referred to in paragraph 1 of this Article has expired:
(a)
the third-country national or stateless person has been issued with a residence document;
(b)
the third-country national or stateless person has left the territory of the Member States;
(c)
the third-country national or stateless person has acquired the citizenship of any Member State.
3.   The Central System shall, as soon as possible and no later than after 72 hours, inform all Member States of origin of the erasure of data for the reason specified in paragraph 2(a) or (b) of this Article by another Member State of origin having produced a hit with data which they transmitted relating to persons referred to in Article 14(1).
4.   The Central System shall, as soon as possible and no later than after 72 hours, inform all Member States of origin of the erasure of data for the reason specified in paragraph 2(c) of this Article by another Member State of origin having produced a hit with data which they transmitted relating to persons referred to in Article 9(1) or 14(1).
CHAPTER IV
THIRD-COUNTRY NATIONALS OR STATELESS PERSONS FOUND ILLEGALLY STAYING IN A MEMBER STATE
Article 17
Comparison of fingerprint data
1.   With a view to checking whether a third-country national or a stateless person found illegally staying within its territory has previously lodged an application for international protection in another Member State, a Member State may transmit to the Central System any fingerprint data relating to fingerprints which it may have taken of any such third-country national or stateless person of at least 14 years of age together with the reference number used by that Member State.
As a general rule there are grounds for checking whether the third-country national or stateless person has previously lodged an application for international protection in another Member State where:
(a)
the third-country national or stateless person declares that he or she has lodged an application for international protection but without indicating the Member State in which he or she lodged the application;
(b)
the third-country national or stateless person does not request international protection but objects to being returned to his or her country of origin by claiming that he or she would be in danger, or
(c)
the third-country national or stateless person otherwise seeks to prevent his or her removal by refusing to cooperate in establishing his or her identity, in particular by showing no, or false, identity papers.
2.   Where Member States take part in the procedure referred to in paragraph 1, they shall transmit to the Central System the fingerprint data relating to all or at least the index fingers and, if those are missing, the prints of all the other fingers, of third-country nationals or stateless persons referred to in paragraph 1.
3.   The fingerprint data of a third-country national or a stateless person as referred to in paragraph 1 shall be transmitted to the Central System solely for the purpose of comparison with the fingerprint data of applicants for international protection transmitted by other Member States and already recorded in the Central System.
The fingerprint data of such a third-country national or a stateless person shall not be recorded in the Central System, nor shall they be compared with the data transmitted to the Central System pursuant to Article 14(2).
4.   Once the results of the comparison of fingerprint data have been transmitted to the Member State of origin, the record of the search shall be kept by the Central System only for the purposes of Article 28. Other than for those purposes, no other record of the search may be stored either by Member States or by the Central System.
5.   As regards the comparison of fingerprint data transmitted under this Article with the fingerprint data of applicants for international protection transmitted by other Member States which have already been stored in the Central System, the procedures provided for in Article 9(3) and (5) and in Article 25(4) shall apply.
CHAPTER V
BENEFICIARIES OF INTERNATIONAL PROTECTION
Article 18
Marking of data
1.   For the purposes laid down in Article 1(1), the Member State of origin which granted international protection to an applicant for international protection whose data were previously recorded in the Central System pursuant to Article 11 shall mark the relevant data in conformity with the requirements for electronic communication with the Central System established by the Agency. That mark shall be stored in the Central System in accordance with Article 12 for the purpose of transmission under Article 9(5). The Central System shall inform all Member States of origin of the marking of data by another Member State of origin having produced a hit with data which they transmitted relating to persons referred to in Article 9(1) or 14(1). Those Member States of origin shall also mark the corresponding data sets.
2.   The data of beneficiaries of international protection stored in the Central System and marked pursuant to paragraph 1 of this Article shall be made available for comparison for the purposes laid down in Article 1(2) for a period of three years after the date on which the data subject was granted international protection.
Where there is a hit, the Central System shall transmit the data referred to in Article 11(a) to (k) for all the data sets corresponding to the hit. The Central System shall not transmit the mark referred to in paragraph 1 of this Article. Upon the expiry of the period of three years, the Central System shall automatically block such data from being transmitted in the event of a request for comparison for the purposes laid down in Article 1(2), whilst leaving those data available for comparison for the purposes laid down in Article 1(1) until the point of their erasure. Blocked data shall not be transmitted, and the Central System shall return a negative result to the requesting Member State in the event of a hit.
3.   The Member State of origin shall unmark or unblock data concerning a third-country national or stateless person whose data were previously marked or blocked in accordance with paragraphs 1 or 2 of this Article if his or her status is revoked or ended or the renewal of his or her status is refused under Articles 14 or 19 of Directive 2011/95/EU.
CHAPTER VI
PROCEDURE FOR COMPARISON AND DATA TRANSMISSION FOR LAW ENFORCEMENT PURPOSES
Article 19
Procedure for comparison of fingerprint data with Eurodac data
1.   For the purposes laid down in Article 1(2), the designated authorities referred to in Articles 5(1) and 7(2) may submit a reasoned electronic request as provided for in Article 20(1) together with the reference number used by them, to the verifying authority for the transmission for comparison of fingerprint data to the Central System via the National Access Point. Upon receipt of such a request, the verifying authority shall verify whether all the conditions for requesting a comparison referred to in Articles 20 or 21, as appropriate, are fulfilled.
2.   Where all the conditions for requesting a comparison referred to in Articles 20 or 21 are fulfilled, the verifying authority shall transmit the request for comparison to the National Access Point which will process it to the Central System in accordance with Article 9(3) and (5) for the purpose of comparison with the data transmitted to the Central System pursuant to Articles 9(1) and 14(2).
3.   In exceptional cases of urgency where there is a need to prevent an imminent danger associated with a terrorist offence or other serious criminal offence, the verifying authority may transmit the fingerprint data to the National Access Point for comparison immediately upon receipt of a request by a designated authority and only verify ex-post whether all the conditions for requesting a comparison referred to in Article 20 or Article 21 are fulfilled, including whether an exceptional case of urgency actually existed. The ex-post verification shall take place without undue delay after the processing of the request.
4.   Where an ex-post verification determines that the access to Eurodac data was not justified, all the authorities that have accessed such data shall erase the information communicated from Eurodac and shall inform the verifying authority of such erasure.
Article 20
Conditions for access to Eurodac by designated authorities
1.   For the purposes laid down in Article 1(2), designated authorities may submit a reasoned electronic request for the comparison of fingerprint data with the data stored in the Central System within the scope of their powers only if comparisons with the following databases did not lead to the establishment of the identity of the data subject:
—
national fingerprint databases;
—
the automated fingerprinting identification systems of all other Member States under Decision 2008/615/JHA where comparisons are technically available, unless there are reasonable grounds to believe that a comparison with such systems would not lead to the establishment of the identity of the data subject. Such reasonable grounds shall be included in the reasoned electronic request for comparison with Eurodac data sent by the designated authority to the verifying authority; and
—
the Visa Information System provided that the conditions for such a comparison laid down in Decision 2008/633/JHA are met;
and where the following cumulative conditions are met:
(a)
the comparison is necessary for the purpose of the prevention, detection or investigation of terrorist offences or of other serious criminal offences, which means that there is an overriding public security concern which makes the searching of the database proportionate;
(b)
the comparison is necessary in a specific case (i.e. systematic comparisons shall not be carried out); and
(c)
there are reasonable grounds to consider that the comparison will substantially contribute to the prevention, detection or investigation of any of the criminal offences in question. Such reasonable grounds exist in particular where there is a substantiated suspicion that the suspect, perpetrator or victim of a terrorist offence or other serious criminal offence falls in a category covered by this Regulation.
2.   Requests for comparison with Eurodac data shall be limited to searching with fingerprint data.
Article 21
Conditions for access to Eurodac by Europol
1.   For the purposes laid down in Article 1(2), Europol's designated authority may submit a reasoned electronic request for the comparison of fingerprint data with the data stored in the Central System within the limits of Europol's mandate and where necessary for the performance of Europol's tasks only if comparisons with fingerprint data stored in any information processing systems that are technically and legally accessible by Europol did not lead to the establishment of the identity of the data subject and where the following cumulative conditions are met:
(a)
the comparison is necessary to support and strengthen action by Member States in preventing, detecting or investigating terrorist offences or other serious criminal offences falling under Europol's mandate, which means that there is an overriding public security concern which makes the searching of the database proportionate;
(b)
the comparison is necessary in a specific case (i.e. systematic comparisons shall not be carried out); and
(c)
there are reasonable grounds to consider that the comparison will substantially contribute to the prevention, detection or investigation of any of the criminal offences in question. Such reasonable grounds exist in particular where there is a substantiated suspicion that the suspect, perpetrator or victim of a terrorist offence or other serious criminal offence falls in a category covered by this Regulation.
2.   Requests for comparison with Eurodac data shall be limited to comparisons of fingerprint data.
3.   Processing of information obtained by Europol from comparison with Eurodac data shall be subject to the authorisation of the Member State of origin. Such authorisation shall be obtained via the Europol national unit of that Member State.
Article 22
Communication between the designated authorities, the verifying authorities and the National Access Points
1.   Without prejudice to Article 26, all communication between the designated authorities, the verifying authorities and the National Access Points shall be secure and take place electronically.
2.   For the purposes laid down in Article 1(2), fingerprints shall be digitally processed by the Member States and transmitted in the data format referred to in Annex I, in order to ensure that the comparison can be carried out by means of the computerised fingerprint recognition system.
CHAPTER VII
DATA PROCESSING, DATA PROTECTION AND LIABILITY
Article 23
Responsibility for data processing
1.   The Member State of origin shall be responsible for ensuring that:
(a)
fingerprints are taken lawfully;
(b)
fingerprint data and the other data referred to in Article 11, Article 14(2) and Article 17(2) are lawfully transmitted to the Central System;
(c)
data are accurate and up-to-date when they are transmitted to the Central System;
(d)
without prejudice to the responsibilities of the Agency, data in the Central System are lawfully recorded, stored, corrected and erased;
(e)
the results of fingerprint data comparisons transmitted by the Central System are lawfully processed.
2.   In accordance with Article 34, the Member State of origin shall ensure the security of the data referred to in paragraph 1 before and during transmission to the Central System as well as the security of the data it receives from the Central System.
3.   The Member State of origin shall be responsible for the final identification of the data pursuant to Article 25(4).
4.   The Agency shall ensure that the Central System is operated in accordance with the provisions of this Regulation. In particular, the Agency shall:
(a)
adopt measures ensuring that persons working with the Central System process the data recorded therein only in accordance with the purposes of Eurodac as laid down in Article 1;
(b)
take the necessary measures to ensure the security of the Central System in accordance with Article 34;
(c)
ensure that only persons authorised to work with the Central System have access thereto, without prejudice to the competences of the European Data Protection Supervisor.
The Agency shall inform the European Parliament and the Council as well as the European Data Protection Supervisor of the measures it takes pursuant to the first subparagraph.
Article 24
Transmission
1.   Fingerprints shall be digitally processed and transmitted in the data format referred to in Annex I. As far as necessary for the efficient operation of the Central System, the Agency shall establish the technical requirements for transmission of the data format by Member States to the Central System and vice versa. The Agency shall ensure that the fingerprint data transmitted by the Member States can be compared by the computerised fingerprint recognition system.
2.   Member States shall transmit the data referred to in Article 11, Article 14(2) and Article 17(2) electronically. The data referred to in Article 11 and Article 14(2) shall be automatically recorded in the Central System. As far as necessary for the efficient operation of the Central System, the Agency shall establish the technical requirements to ensure that data can be properly electronically transmitted from the Member States to the Central System and vice versa.
3.   The reference number referred to in Articles 11(d), 14(2)(d), 17(1) and 19(1) shall make it possible to relate data unambiguously to one particular person and to the Member State which is transmitting the data. In addition, it shall make it possible to tell whether such data relate to a person referred to in Article 9(1), 14(1) or 17(1).
4.   The reference number shall begin with the identification letter or letters by which, in accordance with the norm referred to in Annex I, the Member State transmitting the data is identified. The identification letter or letters shall be followed by the identification of the category of person or request. "1" refers to data relating to persons referred to in Article 9(1), "2" to persons referred to in Article 14(1), "3" to persons referred to in Article 17(1), "4" to requests referred to in Article 20, "5" to requests referred to in Article 21 and "9" to requests referred to in Article 29.
5.   The Agency shall establish the technical procedures necessary for Member States to ensure receipt of unambiguous data by the Central System.
6   The Central System shall confirm receipt of the transmitted data as soon as possible. To that end, the Agency shall establish the necessary technical requirements to ensure that Member States receive the confirmation receipt if requested.
Article 25
Carrying out comparisons and transmitting results
1.   Member States shall ensure the transmission of fingerprint data of an appropriate quality for the purpose of comparison by means of the computerised fingerprint recognition system. As far as necessary to ensure that the results of the comparison by the Central System reach a very high level of accuracy, the Agency shall define the appropriate quality of transmitted fingerprint data. The Central System shall, as soon as possible, check the quality of the fingerprint data transmitted. If fingerprint data do not lend themselves to comparison using the computerised fingerprint recognition system, the Central System shall inform the Member State concerned. That Member State shall then transmit fingerprint data of the appropriate quality using the same reference number as the previous set of fingerprint data.
2.   The Central System shall carry out comparisons in the order of arrival of requests. Each request shall be dealt with within 24 hours. A Member State may for reasons connected with national law require particularly urgent comparisons to be carried out within one hour. Where such time-limits cannot be respected owing to circumstances which are outside the Agency's responsibility, the Central System shall process the request as a matter of priority as soon as those circumstances no longer prevail. In such cases, as far as is necessary for the efficient operation of the Central System, the Agency shall establish criteria to ensure the priority handling of requests.
3.   As far as necessary for the efficient operation of the Central System, the Agency shall establish the operational procedures for the processing of the data received and for transmitting the result of the comparison.
4.   The result of the comparison shall be immediately checked in the receiving Member State by a fingerprint expert as defined in accordance with its national rules, specifically trained in the types of fingerprint comparisons provided for in this Regulation. For the purposes laid down in Article 1(1) of this Regulation, final identification shall be made by the Member State of origin in cooperation with the other Member States concerned, pursuant to Article 34 of Regulation (EU) No 604/2013.
Information received from the Central System relating to other data found to be unreliable shall be erased as soon as the unreliability of the data is established.
5.   Where final identification in accordance with paragraph 4 reveals that the result of the comparison received from the Central System does not correspond to the fingerprint data sent for comparison, Member States shall immediately erase the result of the comparison and communicate this fact as soon as possible and no later than after three working days to the Commission and to the Agency.
Article 26
Communication between Member States and the Central System
Data transmitted from the Member States to the Central System and vice versa shall use the Communication Infrastructure. As far as is necessary for the efficient operation of the Central System, the Agency shall establish the technical procedures necessary for the use of the Communication Infrastructure.
Article 27
Access to, and correction or erasure of, data recorded in Eurodac
1.   The Member State of origin shall have access to data which it has transmitted and which are recorded in the Central System in accordance with this Regulation.
No Member State may conduct searches of the data transmitted by another Member State, nor may it receive such data apart from data resulting from the comparison referred to in Article 9(5).
2.   The authorities of Member States which, pursuant to paragraph 1 of this Article, have access to data recorded in the Central System shall be those designated by each Member State for the purposes laid down in Article 1(1). That designation shall specify the exact unit responsible for carrying out tasks related to the application of this Regulation. Each Member State shall without delay communicate to the Commission and the Agency a list of those units and any amendments thereto. The Agency shall publish the consolidated list in the 
Official Journal of the European Union
. Where there are amendments thereto, the Agency shall publish once a year an updated consolidated list online.
3.   Only the Member State of origin shall have the right to amend the data which it has transmitted to the Central System by correcting or supplementing such data, or to erase them, without prejudice to erasure carried out in pursuance of Article 12(2) or 16(1).
4.   If a Member State or the Agency has evidence to suggest that data recorded in the Central System are factually inaccurate, it shall advise the Member State of origin as soon as possible.
If a Member State has evidence to suggest that data were recorded in the Central System in breach of this Regulation, it shall advise the Agency, the Commission and the Member State of origin as soon as possible. The Member State of origin shall check the data concerned and, if necessary, amend or erase them without delay.
5.   The Agency shall not transfer or make available to the authorities of any third country data recorded in the Central System. This prohibition shall not apply to transfers of such data to third countries to which Regulation (EU) No 604/2013 applies.
Article 28
Keeping of records
1.   The Agency shall keep records of all data processing operations within the Central System. These records shall show the purpose, date and time of access, the data transmitted, the data used for interrogation and the name of both the unit entering or retrieving the data and the persons responsible.
2.   The records referred to in paragraph 1 of this Article may be used only for the data protection monitoring of the admissibility of data processing as well as to ensure data security pursuant to Article 34. The records must be protected by appropriate measures against unauthorised access and erased after a period of one year after the storage period referred to in Article 12(1) and in Article 16(1) has expired, unless they are required for monitoring procedures which have already begun.
3.   For the purposes laid down in Article 1(1), each Member State shall take the necessary measures in order to achieve the objectives set out in paragraphs 1 and 2 of this Article in relation to its national system. In addition, each Member State shall keep records of the staff duly authorised to enter or retrieve the data.
Article 29
Rights of the data subject
1.   A person covered by Article 9(1), Article 14(1) or Article 17(1) shall be informed by the Member State of origin in writing, and where necessary, orally, in a language that he or she understands or is reasonably supposed to understand, of the following:
(a)
the identity of the controller within the meaning of Article 2(d) of Directive 95/46/EC and of his or her representative, if any;
(b)
the purpose for which his or her data will be processed in Eurodac, including a description of the aims of Regulation (EU) No 604/2013, in accordance with Article 4 thereof and an explanation in intelligible form, using clear and plain language, of the fact that Eurodac may be accessed by the Member States and Europol for law enforcement purposes;
(c)
the recipients of the data;
(d)
in relation to a person covered by Article 9(1) or 14(1), the obligation to have his or her fingerprints taken;
(e)
the right of access to data relating to him or her, and the right to request that inaccurate data relating to him or her be corrected or that unlawfully processed data relating to him or her be erased, as well as the right to receive information on the procedures for exercising those rights including the contact details of the controller and the national supervisory authorities referred to in Article 30(1).
2.   In relation to a person covered by Article 9(1) or 14(1), the information referred to in paragraph 1 of this Article shall be provided at the time when his or her fingerprints are taken.
In relation to a person covered by Article 17(1), the information referred to in paragraph 1 of this Article shall be provided no later than at the time when the data relating to that person are transmitted to the Central System. That obligation shall not apply where the provision of such information proves impossible or would involve a disproportionate effort.
Where a person covered by Article 9(1), Article 14(1) and Article 17(1) is a minor, Member States shall provide the information in an age-appropriate manner.
3.   A common leaflet, containing at least the information referred to in paragraph 1 of this Article and the information referred to in Article 4(1) of Regulation (EU) No 604/2013 shall be drawn up in accordance with the procedure referred to in Article 44(2) of that Regulation.
The leaflet shall be clear and simple, drafted in a language that the person concerned understands or is reasonably supposed to understand.
The leaflet shall be established in such a manner as to enable Member States to complete it with additional Member State-specific information. This Member State-specific information shall include at least the rights of the data subject, the possibility of assistance by the national supervisory authorities, as well as the contact details of the office of the controller and the national supervisory authorities.
4.   For the purposes laid down in Article 1(1) of this Regulation, in each Member State any data subject may, in accordance with the laws, regulations and procedures of that State, exercise the rights provided for in Article 12 of Directive 95/46/EC.
Without prejudice to the obligation to provide other information in accordance with Article 12(a) of Directive 95/46/EC, the data subject shall have the right to obtain communication of the data relating to him or her recorded in the Central System and of the Member State which transmitted them to the Central System. Such access to data may be granted only by a Member State.
5.   For the purposes laid down in Article 1(1), in each Member State, any person may request that data which are factually inaccurate be corrected or that data recorded unlawfully be erased. The correction and erasure shall be carried out without excessive delay by the Member State which transmitted the data, in accordance with its laws, regulations and procedures.
6.   For the purposes laid down in Article 1(1), if the rights of correction and erasure are exercised in a Member State other than that, or those, which transmitted the data, the authorities of that Member State shall contact the authorities of the Member State or States which transmitted the data so that the latter may check the accuracy of the data and the lawfulness of their transmission and recording in the Central System.
7.   For the purposes laid down in Article 1(1), if it emerges that data recorded in the Central System are factually inaccurate or have been recorded unlawfully, the Member State which transmitted them shall correct or erase the data in accordance with Article 27(3). That Member State shall confirm in writing to the data subject without excessive delay that it has taken action to correct or erase data relating to him or her.
8.   For the purposes laid down in Article 1(1), if the Member State which transmitted the data does not agree that data recorded in the Central System are factually inaccurate or have been recorded unlawfully, it shall explain in writing to the data subject without excessive delay why it is not prepared to correct or erase the data.
That Member State shall also provide the data subject with information explaining the steps which he or she can take if he or she does not accept the explanation provided. This shall include information on how to bring an action or, if appropriate, a complaint before the competent authorities or courts of that Member State and any financial or other assistance that is available in accordance with the laws, regulations and procedures of that Member State.
9.   Any request under paragraphs 4 and 5 shall contain all the necessary particulars to identify the data subject, including fingerprints. Such data shall be used exclusively to permit the exercise of the rights referred to in paragraphs 4 and 5 and shall be erased immediately afterwards.
10.   The competent authorities of the Member States shall cooperate actively to enforce promptly the rights laid down in paragraphs 5, 6 and 7.
11.   Whenever a person requests data relating to him or her in accordance with paragraph 4, the competent authority shall keep a record in the form of a written document that such a request was made and how it was addressed, and shall make that document available to the national supervisory authorities without delay.
12.   For the purposes laid down in Article 1(1) of this Regulation, in each Member State, the national supervisory authority shall, on the basis of his or her request, assist the data subject in accordance with Article 28(4) of Directive 95/46/EC in exercising his or her rights.
13.   For the purposes laid down in Article 1(1) of this Regulation, the national supervisory authority of the Member State which transmitted the data and the national supervisory authority of the Member State in which the data subject is present shall assist and, where requested, advise him or her in exercising his or her right to correct or erase data. Both national supervisory authorities shall cooperate to this end. Requests for such assistance may be made to the national supervisory authority of the Member State in which the data subject is present, which shall transmit the requests to the authority of the Member State which transmitted the data.
14.   In each Member State any person may, in accordance with the laws, regulations and procedures of that State, bring an action or, if appropriate, a complaint before the competent authorities or courts of the State if he or she is refused the right of access provided for in paragraph 4.
15.   Any person may, in accordance with the laws, regulations and procedures of the Member State which transmitted the data, bring an action or, if appropriate, a complaint before the competent authorities or courts of that State concerning the data relating to him or her recorded in the Central System, in order to exercise his or her rights under paragraph 5. The obligation of the national supervisory authorities to assist and, where requested, advise the data subject in accordance with paragraph 13 shall subsist throughout the proceedings.
Article 30
Supervision by the national supervisory authorities
1.   For the purposes laid down in Article 1(1) of this Regulation, each Member State shall provide that the national supervisory authority or authorities designated pursuant to Article 28(1) of Directive 95/46/EC shall monitor independently, in accordance with its respective national law, the lawfulness of the processing, in accordance with this Regulation, of personal data by the Member State in question, including their transmission to the Central System.
2.   Each Member State shall ensure that its national supervisory authority has access to advice from persons with sufficient knowledge of fingerprint data.
Article 31
Supervision by the European Data Protection Supervisor
1.   The European Data Protection Supervisor shall ensure that all the personal data processing activities concerning Eurodac, in particular by the Agency, are carried out in accordance with Regulation (EC) No 45/2001 and with this Regulation.
2.   The European Data Protection Supervisor shall ensure that an audit of the Agency's personal data processing activities is carried out in accordance with international auditing standards at least every three years. A report of such audit shall be sent to the European Parliament, the Council, the Commission, the Agency, and the national supervisory authorities. The Agency shall be given an opportunity to make comments before the report is adopted.
Article 32
Cooperation between national supervisory authorities and the European Data Protection Supervisor
1.   The national supervisory authorities and the European Data Protection Supervisor shall, each acting within the scope of their respective competences, cooperate actively in the framework of their responsibilities and shall ensure coordinated supervision of Eurodac.
2.   Member States shall ensure that every year an audit of the processing of personal data for the purposes laid down in Article 1(2) is carried out by an independent body, in accordance with Article 33(2), including an analysis of a sample of reasoned electronic requests.
The audit shall be attached to the annual report of the Member States referred to in Article 40(7).
3.   The national supervisory authorities and the European Data Protection Supervisor shall, each acting within the scope of their respective competences, exchange relevant information, assist each other in carrying out audits and inspections, examine difficulties of interpretation or application of this Regulation, study problems with the exercise of independent supervision or in the exercise of the rights of data subjects, draw up harmonised proposals for joint solutions to any problems and promote awareness of data protection rights, as necessary.
4.   For the purpose laid down in paragraph 3, the national supervisory authorities and the European Data Protection Supervisor shall meet at least twice a year. The costs and servicing of these meetings shall be for the account of the European Data Protection Supervisor. Rules of procedure shall be adopted at the first meeting. Further working methods shall be developed jointly as necessary. A joint report of activities shall be sent to the European Parliament, the Council, the Commission and the Agency every two years.
Article 33
Protection of personal data for law enforcement purposes
1.   Each Member State shall provide that the provisions adopted under national law implementing Framework Decision 2008/977/JHA are also applicable to the processing of personal data by its national authorities for the purposes laid down in Article 1(2) of this Regulation.
2.   The monitoring of the lawfulness of the processing of personal data under this Regulation by the Member States for the purposes laid down in Article 1(2) of this Regulation, including their transmission to and from Eurodac, shall be carried out by the national supervisory authorities designated pursuant to Framework Decision 2008/977/JHA.
3.   The processing of personal data by Europol pursuant to this Regulation shall be in accordance with Decision 2009/371/JHA and shall be supervised by an independent external data protection supervisor. Articles 30, 31 and 32 of that Decision shall be applicable to the processing of personal data by Europol pursuant to this Regulation. The independent external data protection supervisor shall ensure that the rights of the individual are not violated.
4.   Personal data obtained pursuant to this Regulation from Eurodac for the purposes laid down in Article 1(2) shall only be processed for the purposes of the prevention, detection or investigation of the specific case for which the data have been requested by a Member State or by Europol.
5.   The Central System, the designated and verifying authorities and Europol shall keep records of the searches for the purpose of permitting the national data protection authorities and the European Data Protection Supervisor to monitor the compliance of data processing with Union data protection rules, including for the purpose of maintaining records in order to prepare the annual reports referred to in Article 40(7). Other than for such purposes, personal data, as well as the records of the searches, shall be erased in all national and Europol files after a period of one month, unless the data are required for the purposes of the specific ongoing criminal investigation for which they were requested by a Member State or by Europol.
Article 34
Data security
1.   The Member State of origin shall ensure the security of the data before and during transmission to the Central System.
2.   Each Member State shall, in relation to all data processed by its competent authorities pursuant to this Regulation, adopt the necessary measures, including a security plan, in order to:
(a)
physically protect the data, including by making contingency plans for the protection of critical infrastructure;
(b)
deny unauthorised persons access to national installations in which the Member State carries out operations in accordance with the purposes of Eurodac (checks at entrance to the installation);
(c)
prevent the unauthorised reading, copying, modification or removal of data media (data media control);
(d)
prevent the unauthorised input of data and the unauthorised inspection, modification or erasure of stored personal data (storage control);
(e)
prevent the unauthorised processing of data in Eurodac and any unauthorised modification or erasure of data processed in Eurodac (control of data entry);
(f)
ensure that persons authorised to access Eurodac have access only to the data covered by their access authorisation, by means of individual and unique user IDs and confidential access modes only (data access control);
(g)
ensure that all authorities with a right of access to Eurodac create profiles describing the functions and responsibilities of persons who are authorised to access, enter, update, erase and search the data, and make those profiles and any other relevant information which those authorities may require for supervisory purposes available to the national supervisory authorities referred to in Article 28 of Directive 95/46/EC and in Article 25 of Framework Decision 2008/977/JHA without delay at their request (personnel profiles);
(h)
ensure that it is possible to verify and establish to which bodies personal data may be transmitted using data communication equipment (communication control);
(i)
ensure that it is possible to verify and establish what data have been processed in Eurodac, when, by whom and for what purpose (control of data recording);
(j)
prevent the unauthorised reading, copying, modification or erasure of personal data during the transmission of personal data to or from Eurodac or during the transport of data media, in particular by means of appropriate encryption techniques (transport control);
(k)
monitor the effectiveness of the security measures referred to in this paragraph and take the necessary organisational measures related to internal monitoring in order to ensure compliance with this Regulation (self-auditing) and to automatically detect within 24 hours any relevant events arising from the application of measures listed in points (b) to (j) that might indicate the occurrence of a security incident.
3.   Member States shall inform the Agency of security incidents detected on their systems. The Agency shall inform the Member States, Europol and the European Data Protection Supervisor in case of security incidents. The Member States concerned, the Agency and Europol shall collaborate during a security incident.
4.   The Agency shall take the necessary measures in order to achieve the objectives set out in paragraph 2 as regards the operation of Eurodac, including the adoption of a security plan.
Article 35
Prohibition of transfers of data to third countries, international organisations or private entities
1.   Personal data obtained by a Member State or Europol pursuant to this Regulation from the Central System shall not be transferred or made available to any third country, international organisation or private entity established in or outside the Union. This prohibition shall also apply if those data are further processed at national level or between Member States within the meaning of Article 2(b) of Framework Decision 2008/977/JHA.
2.   Personal data which originated in a Member State and are exchanged between Member States following a hit obtained for the purposes laid down in Article 1(2) shall not be transferred to third countries if there is a serious risk that as a result of such transfer the data subject may be subjected to torture, inhuman and degrading treatment or punishment or any other violation of his or her fundamental rights.
3.   The prohibitions referred to in paragraphs 1 and 2 shall be without prejudice to the right of Member States to transfer such data to third countries to which Regulation (EU) No 604/2013 applies.
Article 36
Logging and documentation
1.   Each Member State and Europol shall ensure that all data processing operations resulting from requests for comparison with Eurodac data for the purposes laid down in Article 1(2) are logged or documented for the purposes of checking the admissibility of the request, monitoring the lawfulness of the data processing and data integrity and security, and self-monitoring.
2.   The log or documentation shall show in all cases:
(a)
the exact purpose of the request for comparison, including the concerned form of a terrorist offence or other serious criminal offence and, for Europol, the exact purpose of the request for comparison;
(b)
the reasonable grounds given not to conduct comparisons with other Member States under Decision 2008/615/JHA, in accordance with Article 20(1) of this Regulation;
(c)
the national file reference;
(d)
the date and exact time of the request for comparison by the National Access Point to the Central System;
(e)
the name of the authority having requested access for comparison, and the person responsible who made the request and processed the data;
(f)
where applicable, the use of the urgent procedure referred to in Article 19(3) and the decision taken with regard to the ex-post verification;
(g)
the data used for comparison;
(h)
in accordance with national rules or with Decision 2009/371/JHA, the identifying mark of the official who carried out the search and of the official who ordered the search or supply.
3.   Logs and documentation shall be used only for monitoring the lawfulness of data processing and for ensuring data integrity and security. Only logs containing non-personal data may be used for the monitoring and evaluation referred to in Article 40. The competent national supervisory authorities responsible for checking the admissibility of the request and monitoring the lawfulness of the data processing and data integrity and security shall have access to these logs at their request for the purpose of fulfilling their duties.
Article 37
Liability
1.   Any person who, or Member State which, has suffered damage as a result of an unlawful processing operation or any act incompatible with this Regulation shall be entitled to receive compensation from the Member State responsible for the damage suffered. That State shall be exempted from its liability, in whole or in part, if it proves that it is not responsible for the event giving rise to the damage.
2.   If the failure of a Member State to comply with its obligations under this Regulation causes damage to the Central System, that Member State shall be liable for such damage, unless and insofar as the Agency or another Member State failed to take reasonable steps to prevent the damage from occurring or to minimise its impact.
3.   Claims for compensation against a Member State for the damage referred to in paragraphs 1 and 2 shall be governed by the provisions of national law of the defendant Member State.
CHAPTER VIII
AMENDMENTS TO REGULATION (EU) NO 1077/2011
Article 38
Amendments to Regulation (EU) No 1077/2011
Regulation (EU) No 1077/2011 is amended as follows:
(1)
Article 5 is replaced by the following:
"Article 5
Tasks relating to Eurodac
In relation to Eurodac, the Agency shall perform:
(a)
the tasks conferred on it by Regulation (EU) No 603/2013 of the European Parliament and of the Council of 26 June 2013 on the establishment of ‧Eurodac‧ for the comparison of fingerprints for the effective application of Regulation (EU) No 604/2013 establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person), and on requests for the comparison with Eurodac data by Member States' law enforcement authorities and Europol for law enforcement purposes
 (
*1
)
; and
(b)
tasks relating to training on the technical use of Eurodac.
(
*1
)
  
                                                      
OJ L 180, 29.6.2013, p. 1
.";"
(2)
Article 12(1) is amended as follows:
(a)
points (u) and (v) are replaced by the following:
"(u)
adopt the annual report on the activities of the Central System of Eurodac pursuant to Article 40(1) of Regulation (EU) No 603/2013;
(v)
make comments on the European Data Protection Supervisor's reports on the audits pursuant to Article 45(2) of Regulation (EC) No 1987/2006, Article 42(2) of Regulation (EC) No 767/2008 and Article 31(2) of Regulation (EU) No 603/2013 and ensure appropriate follow-up of those audits;";
(b)
point (x) is replaced by the following:
"(x)
compile statistics on the work of the Central System of Eurodac pursuant to Article 8(2) of Regulation (EU) No 603/2013;";
(c)
point (z) is replaced by the following:
"(z)
ensure annual publication of the list of units pursuant to Article 27(2) of Regulation (EU) No 603/2013;";
(3)
Article 15(4) is replaced by the following:
"4.   Europol and Eurojust may attend the meetings of the Management Board as observers when a question concerning SIS II, in relation to the application of Decision 2007/533/JHA, is on the agenda. Europol may also attend the meetings of the Management Board as observer when a question concerning VIS, in relation to the application of Decision 2008/633/JHA, or a question concerning Eurodac, in relation to the application of Regulation (EU) No 603/2013, is on the agenda.";
(4)
Article 17 is amended as follows:
(a)
in paragraph 5, point (g) is replaced by the following:
"(g)
without prejudice to Article 17 of the Staff Regulations, establish confidentiality requirements in order to comply with Article 17 of Regulation (EC) No 1987/2006, Article 17 of Decision 2007/533/JHA, Article 26(9) of Regulation (EC) No 767/2008 and Article 4(4) of Regulation (EU) No 603/2013;";
(b)
in paragraph 6, point (i) is replaced by the following:
"(i)
reports on the technical functioning of each large-scale IT system referred to in Article 12(1)(t) and the annual report on the activities of the Central System of Eurodac referred to in Article 12(1)(u), on the basis of the results of monitoring and evaluation.";
(5)
Article 19(3) is replaced by the following:
"3.   Europol and Eurojust may each appoint a representative to the SIS II Advisory Group. Europol may also appoint a representative to the VIS and Eurodac Advisory Groups.".
CHAPTER IX
FINAL PROVISIONS
Article 39
Costs
1.   The costs incurred in connection with the establishment and operation of the Central System and the Communication Infrastructure shall be borne by the general budget of the European Union.
2.   The costs incurred by national access points and the costs for connection to the Central System shall be borne by each Member State.
3.   Each Member State and Europol shall set up and maintain at their expense the technical infrastructure necessary to implement this Regulation, and shall be responsible for bearing its costs resulting from requests for comparison with Eurodac data for the purposes laid down in Article 1(2)
Article 40
Annual report: monitoring and evaluation
1.   The Agency shall submit to the European Parliament, the Council, the Commission and the European Data Protection Supervisor an annual report on the activities of the Central System, including on its technical functioning and security. The annual report shall include information on the management and performance of Eurodac against pre-defined quantitative indicators for the objectives referred to in paragraph 2.
2.   The Agency shall ensure that procedures are in place to monitor the functioning of the Central System against objectives relating to output, cost-effectiveness and quality of service.
3.   For the purposes of technical maintenance, reporting and statistics, the Agency shall have access to the necessary information relating to the processing operations performed in the Central System.
4.   By 20 July 2018 and every four years thereafter, the Commission shall produce an overall evaluation of Eurodac, examining the results achieved against objectives and the impact on fundamental rights, including whether law enforcement access has led to indirect discrimination against persons covered by this Regulation, and assessing the continuing validity of the underlying rationale and any implications for future operations, and shall make any necessary recommendations. The Commission shall transmit the evaluation to the European Parliament and the Council.
5.   Member States shall provide the Agency and the Commission with the information necessary to draft the annual report referred to in paragraph 1.
6.   The Agency, Member States and Europol shall provide the Commission with the information necessary to draft the overall evaluation provided for in paragraph 4. This information shall not jeopardise working methods or include information that reveals sources, staff members or investigations of the designated authorities.
7.   While respecting the provisions of national law on the publication of sensitive information, each Member State and Europol shall prepare annual reports on the effectiveness of the comparison of fingerprint data with Eurodac data for law enforcement purposes, containing information and statistics on:
—
the exact purpose of the comparison, including the type of terrorist offence or serious criminal offence,
—
grounds given for reasonable suspicion,
—
the reasonable grounds given not to conduct comparison with other Member States under Decision 2008/615/JHA, in accordance with Article 20(1) of this Regulation,
—
number of requests for comparison,
—
the number and type of cases which have ended in successful identifications, and
—
the need and use made of the exceptional case of urgency, including those cases where that urgency was not accepted by the ex post verification carried out by the verifying authority.
Member States' and Europol annual reports shall be transmitted to the Commission by 30 June of the subsequent year.
8.   On the basis of Member States and Europol annual reports provided for in paragraph 7 and in addition to the overall evaluation provided for in paragraph 4, the Commission shall compile an annual report on law enforcement access to Eurodac and shall transmit it to the European Parliament, the Council and the European Data Protection Supervisor.
Article 41
Penalties
Member States shall take the necessary measures to ensure that any processing of data entered in the Central System contrary to the purposes of Eurodac as laid down in Article 1 is punishable by penalties, including administrative and/or criminal penalties in accordance with national law, that are effective, proportionate and dissuasive.
Article 42
Territorial scope
The provisions of this Regulation shall not be applicable to any territory to which Regulation (EU) No 604/2013 does not apply.
Article 43
Notification of designated authorities and verifying authorities
1.   By 20 October 2013, each Member State shall notify the Commission of its designated authorities, of the operating units referred to in Article 5(3) and of its verifying authority, and shall notify without delay any amendment thereto.
2.   By 20 October 2013, Europol shall notify the Commission of its designated authority, of its verifying authority and of the National Access Point which it has designated, and shall notify without delay any amendment thereto.
3.   The Commission shall publish the information referred to in paragraphs 1 and 2 in the 
Official Journal of the European Union
 on an annual basis and via an electronic publication that shall be available online and updated without delay.
Article 44
Transitional provision
Data blocked in the Central System in accordance with Article 12 of Regulation (EC) No 2725/2000 shall be unblocked and marked in accordance with Article 18(1) of this Regulation on 20 July 2015.
Article 45
Repeal
Regulation (EC) No 2725/2000 and Regulation (EC) No 407/2002 are repealed with effect from 20 July 2015.
References to the repealed Regulations shall be construed as references to this Regulation and shall be read in accordance with the correlation table in Annex III.
Article 46
Entry into force and applicability
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall apply from 20 July 2015.
Member States shall notify the Commission and the Agency as soon as they have made the technical arrangements to transmit data to the Central System, and in any event no later than 20 July 2015.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Brussels, 26 June 2013.
For the European Parliament
The President
M. SCHULZ
For the Council
The President
A. SHATTER
(
1
)
  
            
OJ C 92 10.4.2010, p. 1
.
(
2
)
  Position of the European Parliament of 12 June 2013 (not yet published in the Official Journal) and decision of the Council of 20 June 2013.
(
3
)
  
            
OJ L 316, 15.12.2000, p. 1
.
(
4
)
  
            
OJ L 62, 5.3.2002, p. 1
.
(
5
)
  See page 31 of this Official Journal.
(
6
)
  
            
OJ L 164, 22.6.2002, p. 3
.
(
7
)
  
            
OJ L 190, 18.7.2002, p. 1
.
(
8
)
  
            
OJ L 121, 15.5.2009, p. 37
.
(
9
)
  
            
OJ L 337, 20.12.2011, p. 9
.
(
10
)
  
            
OJ L 286, 1.11.2011, p. 1
.
(
11
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
12
)
  
            
OJ L 210, 6.8.2008, p. 1
.
(
13
)
  
            
OJ L 218, 13.8.2008, p. 129
.
(
14
)
  
            
OJ L 281, 23.11.1995, p. 31
.
(
15
)
  
            
OJ L 350, 30.12.2008, p. 60
.
(
16
)
  
            
OJ L 8, 12.1.2001, p. 1
.
ANNEX I
Data format and fingerprint form
Data format for the exchange of fingerprint data
The following format is prescribed for the exchange of fingerprint data:
ANSI/NIST-ITL 1a-1997, Ver.3, June 2001 (INT-1) and any future further developments of this standard.
Norm for Member State identification letters
The following ISO norm will apply: ISO 3166 - 2 letters code.
ANNEX II
Repealed Regulations (referred to in Article 45)
Council Regulation (EC) No 2725/2000
(
OJ L 316, 15.12.2000, p. 1
.)
Council Regulation (EC) No 407/2002
(
OJ L 62, 5.3.2002 p. 1
.)
ANNEX III
Correlation table
Regulation (EC) No 2725/2000
This Regulation
Article 1(1)
Article 1(1)
Article 1(2), first subparagraph, points (a) and (b)
Article 3(1)(a)
Article 1(2), first subparagraph, point (c)
—
Article 1(2), second subparagraph
Article 3(4)
Article 1(3)
Article 1(3)
Article 2(1)(a)
—
Article 2(1)(b) to (e)
Article 2(1)(a) to (d)
—
Article 2(1)(e) to (j)
Article 3(1)
—
Article 3(2)
Article 3(3)
Article 3(3)(a) to (e)
Article 8(1)(a) to (e)
—
Article 8(1)(f) to (i)
Article 3(4)
—
Article 4(1)
Article 9(1) and Article 3(5)
Article 4(2)
—
Article 4(3)
Article 9(3)
Article 4(4)
Article 9(4)
Article 4(5)
Article 9(5)
Article 4(6)
Article 25(4)
Article 5(1), points (a) to (f)
Article 11, points (a) to (f)
—
Article 11, points (g) to (k)
Article 5(1), points (g) and (h)
—
Article 6
Article 12
Article 7
Article 13
Article 8
Article 14
Article 9
Article 15
Article 10
Article 16
Article 11(1) to (3)
Article 17(1) to (3)
Article 11(4)
Article 17(5)
Article 11(5)
Article 17(4)
Article 12
Article 18
Article 13
Article 23
Article 14
—
Article 15
Article 27
Article 16
Article 28(1) and (2)
—
Article 28(3)
Article 17
Article 37
Article 18
Article 29(1), (2), (4) to (10) and (12) to (15)
—
Article 29(3) and (11)
Article 19
Article 30
—
Articles 31 to 36
Article 20
—
Article 21
Article 39(1) and (2)
Article 22
—
Article 23
—
Article 24(1) and (2)
Article 40(1) and (2)
—
Article 40(3) to (8)
Article 25
Article 41
Article 26
Article 42
—
Articles 43 to 45
Article 27
Article 46
Regulation 407/2002/EC
This Regulation
Article 2
Article 24
Article 3
Article 25(1) to (3)
—
Article 25(4) and (5)
Article 4
Article 26
Article 5(1)
Article 3(3)
Annex I
Annex I
Annex II
—

Summary:
Eurodac: European system for the comparison of fingerprints of asylum applicants (until 2026)
SUMMARY OF:
Regulation (EU) 
No 603/2013
 on Eurodac, the EU asylum fingerprint database for comparing asylum applicants’ fingerprints
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 
No 603/2013
 expands Eurodac, which is a 
European Union
 (EU)-wide biometric database containing fingerprints of asylum applicants and non-EU / 
European Economic Area
 (EEA) nationals for comparison between EU 
Member States
.
The 
regulation
 aims to: 
make it easier for Member States to determine responsibility for examining an asylum application by comparing the fingerprints of asylum applicants and non-EU/EEA nationals against a central database; and
enable law-enforcement authorities, subject to strict conditions, to consult Eurodac for the investigation, detection and prevention of terrorist or serious criminal offences.
KEY POINTS
Each Member State must take the fingerprints of all asylum applicants and those apprehended while trying to cross a border irregularly (e.g. non-EU/EEA nationals or stateless persons entering without valid documents) over the age of 14 and, within 72 hours, transmit the data to Eurodac.
When an asylum applicant or non-EU/EEA national has been found to be present illegally in a Member State, then that Member State can consult Eurodac to determine whether the individual has previously applied for asylum in a Member State or has previously been apprehended when trying to unlawfully enter the EU.
Fingerprint data should be erased once asylum applicants, non-EU/EEA nationals or stateless persons obtain citizenship of a Member State.
This regulation helps apply the 
Dublin III regulation
 (Regulation (EU) 
No 
604/2013
), which lays down rules for determining which Member State is responsible for examining an asylum application.
The original Eurodac legislation (Regulation (EC) 
No 
2725/2000
) did not offer a means for law enforcement authorities to request data comparisons. This regulation, however, allows police forces and the 
European Union Agency for Law Enforcement Cooperation
 to compare fingerprints linked to criminal investigations with those contained in Eurodac. However, due to the fundamental right to privacy, law-enforcement agencies are only allowed to use Eurodac for comparisons: 
where there are reasonable grounds to believe that doing so will substantially assist them in preventing, detecting or investigating a terrorist offence or other serious criminal offence; and
only as a last resort after several other checks have been carried out first.
No Eurodac data may be shared with non-EU countries (other than Iceland and Norway).
Some asylum applicants and non-EU/EEA nationals or stateless persons have refused to cooperate with Member States’ attempts to fingerprint them for the Eurodac database. This led the 
European Commission
 to issue a 
document
 on possible best practice relating to fingerprinting.
The 
protocol between the EU, Iceland and Norway
, as well the 
protocol with Liechtenstein and Switzerland
, both signed in 2020, extend the application of Regulation (EU) 
No 603/2013
 concerning the criteria and mechanisms for establishing the state responsible for examining a request for asylum regarding access to Eurodac for law enforcement purposes to Iceland, Liechtenstein, Norway and Switzerland.
Repeal
Regulation (EU) 
No 603/2013
 is repealed and replaced by Regulation (EU) 
2024/1358
 (see 
summary
) as of 
12 June 2026
.
FROM WHEN DOES THE REGULATION APPLY?
It has applied since 
20 July 2015
.
The protocol with Liechtenstein and Switzerland entered into force on 
1 May 2022
. The protocol with Iceland and Norway entered into force on 
1 September 2022
.
BACKGROUND
Eurodac was originally created in 2000 (Regulation (EC) 
No 2725/2000
) and has been operating since 2003. The Commission considers it to be a very successful information technology tool.
For further information, see:
Eurodac
 (European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice).
MAIN DOCUMENT
Regulation (EU) 
No 
603/2013
 of the European Parliament and of the Council of 
26 June 2013
 on the establishment of ‘Eurodac’ for the comparison of fingerprints for the effective application of Regulation (EU) 
No 604/2013
 establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person and on requests for the comparison with Eurodac data by Member States’ law enforcement authorities and Europol for law enforcement purposes, and amending Regulation (EU) 
No 1077/2011
 establishing a European Agency for the Operational Management of large-scale IT Systems in the area of freedom, security and justice (recast) (OJ L 180, 
29.6.2013
, 
pp. 1–30
).
RELATED DOCUMENTS
Information
 relating to the entry into force of the Protocol between the European Union, the Swiss Confederation and the Principality of Liechtenstein to the Agreement between the European Community and the Swiss Confederation concerning the criteria and mechanisms for establishing the State responsible for examining a request for asylum lodged in a Member State or in Switzerland regarding access to Eurodac for law enforcement purposes (OJ L 240, 
16.9.2022
, 
p. 1
).
Information
 relating to the entry into force of the Protocol between the European Union, Iceland and the Kingdom of Norway to the Agreement between the European Community and the Republic of Iceland and the Kingdom of Norway concerning the criteria and mechanisms for establishing the State responsible for examining a request for asylum lodged in a Member State or in Iceland or Norway regarding access to Eurodac for law enforcement purposes (OJ L 240, 
16.9.2022
, 
p. 2
).
Protocol
 between the European Union, Iceland and the Kingdom of Norway to the Agreement between the European Community and the Republic of Iceland and the Kingdom of Norway concerning the criteria and mechanisms for establishing the State responsible for examining a request for asylum lodged in a Member State or in Iceland or Norway regarding access to Eurodac for law enforcement purposes (OJ L 64, 
3.3.2020
, 
pp. 3–7
).
Protocol
 Between the European Union, the Swiss Confederation and the Principality of Liechtenstein to the Agreement Between the European Community and the Swiss Confederation Concerning the Criteria and Mechanisms for Establishing the State Responsible for Examining a Request for Asylum Lodged in a Member State or in Switzerland Regarding Access to Eurodac for law Enforcement Purposes (OJ L 32, 
4.2.2020
, 
pp. 3–7
).
Regulation (EU) 
No 
604/2013
 of the European Parliament and of the Council of 
26 June 2013
 establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person (recast) (OJ L 180, 
29.6.2013
, 
pp. 31–59
).
Successive amendments to Regulation (EU) 
No 604/2013
 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
last update 
9.8.2024

--- DANISH ---

Document:
29.6.2013
DA
Den Europæiske Unions Tidende
L 180/1
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) Nr. 603/2013
af 26. juni 2013
om oprettelse af »Eurodac« til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af forordning (EU) nr. 604/2013 om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet i en af medlemsstaterne af en tredjelandsstatsborger eller en statsløs og om medlemsstaternes retshåndhævende myndigheders og Europols adgang til at indgive anmodning om sammenligning med Eurodacoplysninger med henblik på retshåndhævelse og om ændring af forordning (EU) nr. 1077/2011 om oprettelse af et europæisk agentur for den operationelle forvaltning af store it-systemer inden for området med frihed, sikkerhed og retfærdighed (omarbejdning)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 78, stk. 2, litra e), artikel 87, stk. 2, litra a), og artikel 88, stk. 2, litra a),
under henvisning til forslag fra Europa-Kommissionen,
under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Der bør foretages en række væsentlige ændringer af Rådets forordning (EF) nr. 2725/2000 af 11. december 2000 om oprettelse af "Eurodac" til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af Dublinkonventionen 
(
3
)
 og af Rådets forordning (EF) nr. 407/2002 af 28. februar 2002 om visse gennemførelsesbestemmelser til forordning (EF) nr. 2725/2000 om oprettelse af "Eurodac" til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af Dublinkonventionen 
(
4
)
. Forordningerne bør af klarhedshensyn omarbejdes.
(2)
En fælles asylpolitik, herunder et fælles europæisk asylsystem, er en grundlæggende del af Den Europæiske Unions målsætning om gradvis at indføre et område med frihed, sikkerhed og retfærdighed, der er åbent for personer, der på grund af omstændighederne søger international beskyttelse i Unionen.
(3)
Det Europæiske Råd vedtog på sit møde den 4. november 2004 Haagprogrammet, som fastsætter de mål, der skal realiseres på området frihed, sikkerhed og retfærdighed i perioden 2005-2010. Den europæiske pagt om indvandring og asyl vedtaget af Det Europæiske Råd på dets møde den 15. og 16. oktober 2008 opfordrede til at fuldføre gennemførelsen af det fælles europæiske asylsystem ved at indføre en ensartet asylprocedure med fælles garantier og vedtage en ensartet status både for flygtninge og for personer, der er berettiget til subsidiær beskyttelse.
(4)
Med henblik på anvendelsen af Europa-Parlamentets og Rådets forordning (EU) nr. 604/2013 af 26. juni 2013 om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet i en af medlemsstaterne af en tredjelandsstatsborger eller en statsløs 
(
5
)
, er det nødvendigt at fastslå identiteten af personer, der søger om international beskyttelse, og identiteten af personer, der pågribes i forbindelse med ulovlig passage af Unionens ydre grænser. Med henblik på en effektiv anvendelse af forordning (EU) nr. 604/2013, særlig artikel 18, stk. 1, litra b) og d), er det ligeledes ønskeligt, at hver medlemsstat kan kontrollere, om en tredjelandsstatsborger eller statsløs, der opholder sig ulovligt på dens område, har søgt om international beskyttelse i en anden medlemsstat.
(5)
Fingeraftryk er et vigtigt element, når de pågældendes nøjagtige identitet skal fastslås. Det er nødvendigt at oprette et system til sammenligning af deres fingeraftryksoplysninger.
(6)
Til det formål er det nødvendigt at oprette et system benævnt "Eurodac", som består af et centralt system, som skal drive en central elektronisk database med fingeraftryksoplysninger, samt de elektroniske midler til videregivelse mellem medlemsstaterne og det centrale system, herefter benævnt "kommunikationsinfrastrukturen".
(7)
I Haagprogrammet blev der opfordret til, at adgangen til eksisterende registreringssystemer i Unionen forbedres. Herudover blev der i Stockholmprogrammet opfordret til, at der iværksættes en målrettet dataindsamling og udvikling af informationsudvekslingen og redskaberne hertil, som skal styres af behovene for retshåndhævelse.
(8)
I forbindelse med bekæmpelsen af terrorhandlinger og andre alvorlige lovovertrædelser er det af afgørende betydning, at de retshåndhævende myndigheder råder over så fuldstændige og ajourførte oplysninger som muligt, for at de kan udføre deres arbejde. Oplysningerne i Eurodac er nødvendige for at kunne forebygge, opdage eller efterforske terrorhandlinger som omhandlet i Rådets rammeafgørelse 2002/475/RIA af 13. juni 2002 om bekæmpelse af terrorisme 
(
6
)
 eller andre alvorlige lovovertrædelser som omhandlet i Rådets rammeafgørelse 2002/584/RIA af 13. juni 2002 om den europæiske arrestordre og om procedurerne for overgivelse mellem medlemsstaterne 
(
7
)
. Oplysningerne i Eurodac bør derfor på de betingelser, der er fastsat i denne forordning, være til rådighed for medlemsstaternes udpegede myndigheder og Den Europæiske Politienhed (Europol) med henblik på sammenligninger.
(9)
De beføjelser, der gives retshåndhævende myndigheder adgang til Eurodac, bør ikke berøre den ret, som en ansøger om international beskyttelse har til at få sin ansøgning behandlet rettidigt i overensstemmelse med den relevante lovgivning. Endvidere bør enhver efterfølgende opfølgning efter et ”hit” i Eurodac heller ikke berøre denne ret.
(10)
Kommissionen anførte i sin meddelelse til Rådet og Europa-Parlamentet af 24. november 2005 om øget effektivitet, kompatibilitet og synergi blandt europæiske databaser inden for retlige og indre anliggender, at myndigheder, der er ansvarlige for national sikkerhed, kunne få adgang til Eurodac i nærmere afgrænsede tilfælde, hvor der er begrundet mistanke om, at gerningsmanden til en terrorhandling eller en anden alvorlig lovovertrædelse har søgt international beskyttelse. I meddelelsen fastslog Kommissionen også, at det af hensyn til proportionalitetsprincippet kræves, at der med henblik på sådanne formål kun kan søges i Eurodac, når der foreligger et tungtvejende hensyn til den offentlige sikkerhed, dvs. hvis den forbryder eller terrorist, der skal identificeres, har begået en så forkastelig handling, at det kan retfærdiggøres at søge i en database, hvor der registreres personer med ren straffeattest, og den konkluderede, at tærsklen for, hvornår myndigheder med ansvar for intern sikkerhed kan foretage søgninger i Eurodac, derfor altid skal være væsentligt højere end tærsklen for søgning i kriminalregistre over forbrydere.
(11)
Desuden spiller Europol en nøglerolle i samarbejdet mellem medlemsstaternes myndigheder vedrørende efterforskning af kriminalitet på tværs af grænserne til støtte for kriminalitetsforebyggelse, analyser og efterforskning på EU-plan. Europol bør derfor også have adgang til Eurodac inden for rammerne af sine opgaver i overensstemmelse med Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af den europæiske politienhed (Europol) 
(
8
)
.
(12)
Europol bør kun kunne fremsætte anmodninger om sammenligning med Eurodacoplysninger i særlige tilfælde, under særlige omstændigheder og på strenge betingelser.
(13)
Eftersom Eurodac oprindeligt blev oprettet for at lette anvendelsen af Dublin-konventionen, vil det, hvis der gives adgang til Eurodac med henblik på at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser, udgøre en ændring i forhold til det oprindelige formål med Eurodac, og en sådan ændring griber ind i den grundlæggende ret til privatlivets fred, for så vidt angår de personer, hvis personoplysninger behandles i Eurodac. Et sådant indgreb skal ske i henhold til loven, og loven skal være formuleret tilstrækkeligt præcist til, at borgerne kan indrette deres adfærd herefter, og skal beskytte den enkelte mod vilkårlighed og med tilstrækkelig klarhed angive omfanget af det skøn, der indrømmes de kompetente myndigheder, og bestemme, hvordan skønnet skal udøves. Ethvert indgreb skal i et demokratisk samfund anses for nødvendigt for at beskytte en lovlig og forholdsmæssig interesse, og indgrebet skal stå i et rimeligt forhold til det lovlige formål, der forfølges med det.
(14)
Det oprindelige formål med oprettelsen af Eurodac omfattede ikke muligheden for at anmode om sammenligning af oplysninger med databasen på grundlag af et latent fingeraftryk, som er det spor af fingeraftryk, der kan findes på et gerningssted, men muligheden herfor er dog af afgørende betydning inden for politisamarbejde. Muligheden for at sammenligne et latent fingeraftryk med de fingeraftryksoplysninger, der er lagret i Eurodac, vil i tilfælde, hvor der er rimelige grunde til at tro, at gerningsmanden eller offeret falder ind under en af de af denne forordning omfattede kategorier, give de myndigheder, medlemsstaterne har udpeget, et særdeles værdifuldt redskab til at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser, for eksempel når de eneste beviser, der findes på et gerningssted, er latente fingeraftryk.
(15)
I denne forordning fastsættes desuden betingelserne for, hvilke anmodninger om sammenligning af fingeraftryksoplysninger med Eurodacoplysninger med henblik på at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser der bør tillades, og de nødvendige garantier, der skal sikre beskyttelsen af den grundlæggende ret til privatlivets fred, for så vidt angår de personer, hvis personoplysninger behandles i Eurodac. Disse strenge betingelser afspejler det forhold, at der i Eurodacs database registreres fingeraftryksoplysninger om personer, der ikke formodes at have begået en terrorhandling eller en anden alvorlig lovovertrædelse.
(16)
For at sikre lige behandling af alle ansøgere og personer, der nyder international beskyttelse, samt sikre sammenhæng med gældende EU-ret vedrørende asyl, navnlig Europa-Parlamentets og Rådets direktiv 2011/95/EU af 13. december 2011 om fastsættelse af standarder for anerkendelse af tredjelandsstatsborgere eller statsløse som personer med international beskyttelse, for en ensartet status for flygtninge eller for personer, der er berettiget til subsidiær beskyttelse, og for indholdet af en sådan beskyttelse 
(
9
)
 og for forordning (EU) nr. 604/2013, er det hensigtsmæssigt at udvide anvendelsesområdet for nærværende forordning til også at omfatte ansøgere om subsidiær beskyttelse og personer, der er berettiget til subsidiær beskyttelse.
(17)
Det er også nødvendigt at pålægge medlemsstaterne straks at tage og videregive fingeraftryksoplysninger om alle ansøgere om international beskyttelse samt af alle tredjelandsstatsborgere eller statsløse, der pågribes i forbindelse med ulovlig passage af en medlemsstats ydre grænse, hvis de er fyldt 14 år.
(18)
Det er nødvendigt at fastsætte præcise regler for videregivelsen af disse fingeraftryksoplysninger til det centrale system, registreringen af disse fingeraftryksoplysninger og andre relevante oplysninger i det centrale system, opbevaring af oplysningerne, sammenligning af oplysningerne med andre fingeraftryksoplysninger, videregivelse af resultaterne af sammenligningen og mærkning og sletning af de registrerede oplysninger. Disse regler kan være forskellige for, og bør være specielt tilpasset til, de enkelte kategorier af tredjelandsstatsborgere eller statsløse.
(19)
Medlemsstaterne bør sikre, at fingeraftryksoplysninger videregives i en kvalitet, der er egnet til sammenligning i det elektroniske fingeraftryksgenkendelsessystem. Alle myndigheder med adgangsret til Eurodac bør investere i tilstrækkelig uddannelse og i det nødvendige teknologiske udstyr. Myndigheder med adgangsret til Eurodac bør informere Det Europæiske Agentur for den operationelle forvaltning af store it-systemer inden for området med frihed, sikkerhed og retfærdighed, oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 1077/2011 
(
10
)
 ("agenturet") om særlige vanskeligheder, som de støder på med hensyn til oplysningernes kvalitet, således at disse vanskeligheder kan blive løst.
(20)
Det forhold, at det midlertidigt eller permanent er umuligt at tage og/eller videregive fingeraftryksoplysninger, f.eks. fordi oplysningernes kvalitet er utilstrækkelig til en hensigtsmæssig sammenligning, på grund af tekniske problemer eller årsager knyttet til beskyttelse af sundheden, eller fordi den registrerede er uegnet eller ude af stand til at få taget fingeraftryk på grund af omstændigheder, som den pågældende ikke selv er herre over, bør dette ikke få negative følger for undersøgelsen eller afgørelsen om den pågældende persons ansøgning om international beskyttelse.
(21)
Når der opnås hit i Eurodac, bør de kontrolleres af en uddannet fingeraftryksekspert for at sikre en præcis ansvarsfastsættelse i henhold til forordning (EU) nr. 604/2013 og en nøjagtig identifikation af den mistænkte for en forbrydelse eller offeret for en forbrydelse, hvis oplysninger kan være lagret i Eurodac.
(22)
Tredjelandsstatsborgere eller statsløse, der har søgt om international beskyttelse i én medlemsstat, kan i mange år have mulighed for at søge om international beskyttelse i en anden medlemsstat. Den periode, som det centrale system højst bør opbevare fingeraftryksoplysningerne i, bør derfor være af betydelig varighed. Da de fleste tredjelandsstatsborgere og statsløse, som har opholdt sig i Unionen i adskillige år, vil have opnået fast status eller endog statsborgerskab i en medlemsstat inden for denne periode, bør en periode på ti år for lagring af fingeraftryksoplysninger anses for rimelig.
(23)
Lagringsperioden bør være kortere i visse situationer, hvor der ikke er behov for at opbevare fingeraftryksoplysningerne så længe. Fingeraftryksoplysningerne bør slettes øjeblikkeligt, når en tredjelandsstatsborger eller statsløs opnår statsborgerskab i en medlemsstat.
(24)
Det er hensigtsmæssigt at lagre oplysningerne vedrørende de personer, der oprindeligt fik registreret deres fingeraftryk i Eurodac ved indgivelse af deres ansøgning om international beskyttelse, og som har opnået international beskyttelse i en medlemsstat, så oplysninger, der registreres ved indgivelse af en ansøgning om international beskyttelse, kan sammenlignes med dem.
(25)
Agenturet har fået pålagt Kommissionens opgaver vedrørende den operationelle drift af Eurodac i henhold til nærværende forordning og visse opgaver vedrørende kommunikationsinfrastrukturen fra det tidspunkt, hvor agenturet indledte sin virksomhed den 1. december 2012. Agenturet bør påtage sig de opgaver, det får pålagt i henhold til nærværende forordning, og de relevante bestemmelser i forordning (EU) nr. 1077/2011 bør følgelig ændres. Desuden bør Europol have observatørstatus på agenturets bestyrelsesmøder, når et spørgsmål vedrørende anvendelsen af nærværende forordning om adgang til søgning i Eurodac for de udpegede myndigheder i medlemsstaterne og for Europol med henblik på forebyggelse, opdagelse eller efterforskning af terrorhandlinger eller andre alvorlige lovovertrædelser er på dagsordenen. Europol bør kunne udpege en repræsentant til agenturets rådgivende gruppe vedrørende Eurodac.
(26)
Vedtægten for tjenestemænd i Den Europæiske Union (vedtægten for tjenestemænd) og ansættelsesvilkårene for de øvrige ansatte i Unionen ("ansættelsesvilkårene") fastsat ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
11
)
 (samlet benævnt "vedtægten"), bør finde anvendelse på alt personale i agenturet, som arbejder med forhold, der vedrører nærværende forordning.
(27)
Det er nødvendigt helt klart at fastlægge det ansvar, der påhviler henholdsvis Kommissionen og agenturet for så vidt angår det centrale system og kommunikationsinfrastrukturen og medlemsstaterne for så vidt angår databehandling og datasikkerhed samt adgang til og berigtigelse af de registrerede oplysninger.
(28)
Det er nødvendigt at udpege de kompetente myndigheder i medlemsstaterne samt det nationale adgangspunkt, hvorigennem anmodninger om sammenligning med Eurodacoplysninger indgives, og at føre en liste over de operative enheder inden for de udpegede myndigheder, som er bemyndigede til at anmode om en sådan sammenligning særligt med henblik på forebyggelse, opdagelse eller efterforskning af terrorhandlinger eller andre alvorlige lovovertrædelser.
(29)
Anmodninger om sammenligning med data, der er lagret i det centrale system, bør indgives af de operative enheder inden for de udpegede myndigheder til de nationale adgangspunkter via kontrolmyndigheden og bør være begrundede. De operative enheder inden for de udpegede myndigheder, som er bemyndigede til at anmode om sammenligninger med Eurodacoplysninger, bør ikke fungere som kontrolmyndighed. Kontrolmyndighederne bør handle uafhængigt af de udpegede myndigheder og bør have ansvar for, på en uafhængig måde, at sikre, at de betingelser for at få adgang, der er fastsat i denne forordning, fuldt ud er opfyldt. Kontrolmyndighederne bør derefter videresende anmodningen om sammenligning, uden at fremsende grundene hertil, via det nationale adgangspunkt til det centrale system, efter at de har kontrolleret, at alle betingelser for at få adgang er opfyldt. I ekstraordinære tilfælde af hastende karakter, hvor det er nødvendigt tidligt at få adgang til oplysninger for at reagere på en specifik og reel trussel i forbindelse med terrorhandlinger eller andre alvorlige lovovertrædelser, bør kontrolmyndigheden behandle anmodningen omgående og først foretage kontrollen bagefter.
(30)
Den udpegede myndighed og kontrolmyndigheden kan tilhøre samme organisation, hvis dette er tilladt i henhold til national lovgivning, men kontrolmyndigheden bør handle uafhængigt, når den udfører sine opgaver i henhold til denne forordning.
(31)
For at beskytte personoplysninger og udelukke systematiske sammenligninger, som bør være forbudt, bør behandlingen af Eurodacoplysninger kun finde sted i særlige tilfælde, og når det er nødvendigt med henblik på at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser. Et sådant særligt tilfælde foreligger navnlig, når anmodningen om sammenligning angår en nærmere bestemt konkret situation eller en nærmere bestemt konkret fare, som har forbindelse til en terrorhandling eller en anden alvorlig lovovertrædelse, eller angår nærmere angivne personer, som, der er vægtige grunde til at antage, vil begå eller har begået en sådan lovovertrædelse. Et sådant særligt tilfælde foreligger også, når anmodningen om sammenligning angår en person, der har været offer for en terrorhandling eller en anden alvorlig lovovertrædelse. De udpegede myndigheder og Europol bør således kun anmode om at foretage sammenligninger med Eurodac, når de har rimelig grund til at tro, at en sådan sammenligning vil kunne tilvejebringe oplysninger, der i væsentlig grad vil kunne hjælpe dem med at forebygge, opdage eller efterforske en terrorhandling eller en anden alvorlig lovovertrædelse.
(32)
Endvidere bør der kun gives adgang på betingelse af, at sammenligning med medlemsstatens fingeraftryksdatabaser og de elektroniske fingeraftryksidentifikationssystemer i alle øvrige medlemsstater, jf. Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet 
(
12
)
, har givet negative resultater. Den betingelse forudsætter, at den anmodende medlemsstat foretager sammenligninger med alle øvrige medlemsstaters elektroniske fingeraftryksidentifikationssystemer, jf. afgørelse 2008/615/RIA, som er teknisk tilgængelige, medmindre den pågældende medlemsstat kan godtgøre, at der er rimelige grunde til at antage, at det ikke vil føre til identifikation af den registrerede. Der foreligger navnlig sådanne rimelige grunde, når den konkrete sag ikke har nogen operationel eller efterforskningsmæssig forbindelse til en given medlemsstat. Den betingelse forudsætter forudgående retlig og teknisk gennemførelse af afgørelse 2008/615/RIA af den anmodende medlemsstat for så vidt angår fingeraftryksoplysninger, da det ikke bør være tilladt at foretage checks i Eurodac med henblik på retshåndhævelse, hvis de ovennævnte foranstaltninger ikke først er truffet.
(33)
Forud for søgningen i Eurodac, bør de udpegede myndigheder også, hvis betingelserne for en sammenligning er opfyldt, konsultere visuminformationssystemet, jf. Rådets afgørelse 2008/633/RIA af 23. juni 2008 om adgang til søgning i visuminformationssystemet (VIS) for de udpegede myndigheder i medlemsstaterne og for Europol med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger og andre alvorlige strafbare handlinger 
(
13
)
.
(34)
Med henblik på at opnå en effektiv sammenligning og udveksling af personoplysninger bør medlemsstaterne fuldt ud gennemføre og anvende de eksisterende internationale aftaler og den allerede gældende EU-lovgivning vedrørende udveksling af personoplysninger, navnlig afgørelse 2008/615/RIA.
(35)
Medlemsstaterne bør først og fremmest tage hensyn til barnets tarv ved anvendelsen af denne forordning. Hvis den anmodende medlemsstat fastslår, at Eurodacoplysninger vedrører en mindreårig, kan den anmodende medlemsstat kun anvende disse oplysninger i henhold til landets lovgivning vedrørende mindreårige og pligten til først og fremmest at tage hensyn til, hvad der er i barnets tarv.
(36)
Unionens ansvar uden for kontraktforhold i forbindelse med anvendelsen af Eurodacsystemet vil være underlagt de relevante bestemmelser i traktaten om Den Europæiske Unions funktionsmåde (TEUF). Det er dog nødvendigt at fastsætte specifikke regler for medlemsstaternes ansvar uden for kontraktforhold i forbindelse med anvendelsen af systemet.
(37)
Målet for denne forordning, nemlig at der oprettes et system til sammenligning af fingeraftryksoplysninger til støtte for gennemførelsen af Unionens asylpolitik kan ifølge sagens natur ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.
(38)
Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger 
(
14
)
 bør finde anvendelse på medlemsstaternes behandling af personoplysninger i medfør af nærværende forordning, medmindre denne behandling foretages af medlemsstaternes udpegede myndigheder eller kontrolmyndigheder med henblik på at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser.
(39)
Behandling af personoplysninger foretaget af medlemsstaternes myndigheder med henblik på at forebygge, opdage og efterforske terrorhandlinger og andre alvorlige lovovertrædelser i medfør af nærværende forordning bør være omfattet af databeskyttelsesstandarder i henhold til national lovgivning, som er i overensstemmelse med Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager 
(
15
)
.
(40)
Principperne i direktiv 95/46/EF med hensyn til beskyttelse af fysiske personers rettigheder og frihedsrettigheder, særlig retten til privatlivets fred, i forbindelse med behandling af personoplysninger bør suppleres eller præciseres, navnlig for så vidt angår visse sektorer.
(41)
Videregivelse af personoplysninger, som en medlemsstat eller Europol i henhold til nærværende forordning får fra det centrale system, til tredjelande, internationale organisationer og private enheder i eller uden for Unionen bør forbydes for at sikre retten til asyl og for at beskytte ansøgere om international beskyttelse mod at få deres oplysninger videregivet til et tredjeland. Dette indebærer, at medlemsstaterne ikke bør videregive oplysninger fra det centrale system vedrørende: oprindelsesmedlemsstaten/ oprindelsesmedlemsstaterne, stedet og datoen for ansøgningen om international beskyttelse, det referencenummer, som oprindelsesmedlemsstaten bruger, datoen for optagelse af fingeraftrykkene og den dato, hvor medlemsstaten/ medlemsstaterne videregav oplysningerne til Eurodac, operatørens brugernavn og alle oplysninger vedrørende enhver overførsel oplysninger i henhold til forordning (EU) nr. 604/2013. Dette forbud bør ikke berøre medlemsstaternes ret til at videregive sådanne oplysninger til tredjelande, som forordning (EU) nr. 604/2013 finder anvendelse på, for derved at sikre, at medlemsstaterne har mulighed for at samarbejde med disse tredjelande med henblik på nærværende forordning.
(42)
Nationale tilsynsmyndigheder bør kontrollere lovligheden af medlemsstaternes behandling af personoplysninger, og den fælles kontrolinstans, der er oprettet ved afgørelse 2009/371/RIA, bør kontrollere lovligheden af Europols databehandling.
(43)
Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger 
(
16
)
, særlig artikel 21 og 22 vedrørende fortrolighed og behandlingssikkerhed, finder anvendelse på den behandling af personoplysninger, som Unionens institutioner, organer, kontorer og agenturer foretager i medfør af nærværende forordning. Visse punkter bør dog præciseres, hvad angår ansvaret for behandlingen af oplysninger og tilsynet med databeskyttelsen i betragtning af, at databeskyttelse er af central betydning for, at Eurodac kan fungere hensigtsmæssigt, og at datasikkerhed, høj teknisk kvalitet og lovligheden af søgninger er af afgørende betydning for at sikre, at Eurodac fungerer problemfrit og korrekt, og for at lette anvendelsen af forordning (EU) nr. 604/2013.
(44)
Den registrerede bør underrettes om formålet med at behandle vedkommendes oplysninger inden for Eurodac, herunder en beskrivelse af målene i forordning (EU) nr. 604/2013 og om den brug, som retshåndhævende myndigheder kan gøre af vedkommendes oplysninger.
(45)
Det er hensigtsmæssigt, at de nationale tilsynsmyndigheder kontrollerer, at medlemsstaternes behandling af personoplysninger er lovlig, mens Den Europæiske Tilsynsførende for Databeskyttelse, jf. forordning (EF) nr. 45/2001, bør kontrollere Unionens institutioners, organers, kontorers og agenturers aktiviteter, hvad angår behandlingen af personoplysninger i medfør af nærværende forordning.
(46)
Medlemsstaterne, Europa-Parlamentet, Rådet og Kommissionen bør sikre, at de nationale og europæiske tilsynsmyndigheder kan overvåge brugen af og adgangen til Eurodacoplysningerne i tilstrækkelig grad.
(47)
Eurodacs virke bør overvåges og evalueres med jævne mellemrum, og det bør, som anført i Kommissionens vurdering af denne forordnings overensstemmelse med Den Europæiske Unions chartret om grundlæggende rettigheder ("charteret"), bl.a. vurderes, hvorvidt adgang med henblik på retshåndhævelse har medført en indirekte forskelsbehandling af ansøgere om international beskyttelse. Agenturet bør en gang om året forelægge Europa-Parlamentet og Rådet en rapport om det centrale systems virksomhed.
(48)
Medlemsstaterne bør indføre en sanktionsordning, der er effektiv, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, for at sanktionere behandling af oplysninger, der er registreret i det centrale system, i modstrid med Eurodacs formål.
(49)
Det er nødvendigt, at medlemsstaterne oplyses om situationen med hensyn til særlige asylprocedurer for at lette en hensigtsmæssig anvendelse af forordning (EU) nr. 604/2013.
(50)
Denne forordning overholder de grundlæggende rettigheder og de principper, som bl.a. charteret anerkender. Denne forordning søger således især at sikre, at beskyttelsen af personoplysninger og retten til at søge international beskyttelse og til at fremme anvendelsen af charterets artikel 8 og 18. Denne forordning bør derfor anvendes i overensstemmelse hermed.
(51)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som derfor ikke er bindende for og ikke finder anvendelse i Danmark.
(52)
I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, har Det Forenede Kongerige meddelt, at landet ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.
(53)
I medfør af artikel 1 og 2 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, og med forbehold af artikel 4 i samme protokol, deltager Irland ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Irland.
(54)
Denne forordnings geografiske anvendelsesområde bør begrænses, således at det svarer til det geografiske anvendelsesområde for forordning (EU) nr. 604/2013 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Formålet med "Eurodac"
1.   Der oprettes et system, benævnt "Eurodac", hvis formål er at lette fastsættelsen af, hvilken medlemsstat der i henhold til forordning (EU) nr. 604/2013 er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der indgives af en tredjelandsstatsborger eller en statsløs i en medlemsstat, samt på anden måde lette anvendelsen af forordning (EU) nr. 604/2013 på de betingelser, der er fastsat i nærværende forordning.
2.   I denne forordning fastsættes endvidere betingelserne for, at medlemsstaternes udpegede myndigheder og Den Europæiske Politienhed (Europol) kan anmode om at sammenligne fingeraftryksoplysninger med de oplysninger, der er lagret i det centrale system med henblik på retshåndhævelse.
3.   Uden at det i øvrigt berører oprindelsesmedlemsstatens behandling af oplysninger, som er bestemt til Eurodac, i databaser oprettet i henhold til denne medlemsstats nationale ret, må fingeraftryksoplysninger og andre personoplysninger kun behandles i Eurodac til de formål, der er omhandlet i nærværende forordning og i artikel 34, stk. 1, i forordning (EU) nr. 604/2013.
Artikel 2
Definitioner
1.   I denne forordning forstås ved:
a)   
"ansøger om international beskyttelse"
: en tredjelandsstatsborger eller en statsløs, der har indgivet en ansøgning om international beskyttelse som defineret i artikel 2, litra h), i direktiv 2011/95/EU, og som der endnu ikke er truffet endelig afgørelse om
b)   
"oprindelsesmedlemsstat"
:
i)
med hensyn til en person, som er omfattet af artikel 9, stk. 1, den medlemsstat, der videregiver personoplysningerne til det centrale system og modtager resultaterne af sammenligningen
ii)
med hensyn til en person, som er omfattet af artikel 14, stk. 1, den medlemsstat, der videregiver personoplysningerne til det centrale system
iii)
med hensyn til en person, som er omfattet af artikel 17, stk. 1, den medlemsstat, der videregiver personoplysningerne til det centrale system og modtager resultaterne af sammenligningen
c)   
"en person, der har fået international beskyttelse"
: en tredjelandsstatsborger eller statsløs, der er anerkendt som berettiget til international beskyttelse som defineret i artikel 2, litra a), i direktiv 2011/95/EU
d)   
"hit"
: det centrale systems konstatering af, at der ved sammenligning på et eller flere punkter er overensstemmelse mellem de fingeraftryksoplysninger, der er registreret i den centrale elektroniske database, og de fingeraftryk, som en medlemsstat har videregivet vedrørende en person, idet medlemsstaterne dog er forpligtet til i medfør af artikel 25, stk. 4, omgående at kontrollere resultaterne af sammenligningen.
e)   
"det nationale adgangspunkt"
: det udpegede nationale system, der kommunikerer med det centrale system
f)   
"agentur"
: det agentur, der blev oprettet ved forordning (EU) nr. 1077/2011
g)   
"Europol"
: Den Europæiske Politienhed, der blev oprettet ved afgørelse 2009/371/RIA
h)   
"Eurodacoplysninger"
: alle oplysninger, der er lagret i det centrale system i overensstemmelse med artikel 11 og artikel 14, stk. 2
i)   
"retshåndhævelse"
: forebyggelse, opdagelse eller efterforskning af terrorhandlinger eller af andre alvorlige lovovertrædelser
j)   
"terrorhandlinger"
: lovovertrædelser i henhold til national ret, der svarer til eller må ligestilles med de, der er nævnt i artikel 1-4 i rammeafgørelse 2002/475/RIA
k)   
"alvorlige lovovertrædelser"
: de former for kriminalitet, der svarer til eller må ligestilles med de lovovertrædelser, der nævnes i artikel 2, stk. 2, i rammeafgørelse 2002/584/RIA, hvis de i henhold til national ret kan straffes med frihedsstraf eller en anden frihedsberøvende foranstaltning af en maksimal varighed på mindst tre år
l)   
"fingeraftryksoplysninger"
: fingeraftryksoplysninger om samtlige fingre eller i det mindste af pegefingeren, og hvis denne mangler, aftryk af samtlige andre fingre, eller latente fingeraftryk.
2.   De udtryk, der er defineret i artikel 2 i direktiv 95/46/EF, anvendes i den samme betydning i nærværende forordning, i det omfang personoplysninger behandles af medlemsstaternes myndigheder med henblik på de i nærværende forordnings artikel 1, stk. 1 omhandlede formål.
3.   Medmindre andet er fastsat, anvendes de udtryk, der er defineret i artikel 2 i forordning (EU) nr. 604/2013, i den samme betydning i nærværende forordning.
4.   De udtryk, der er defineret i artikel 2 i rammeafgørelse 2008/977/RIA, anvendes i den samme betydning i nærværende forordning, i den udstrækning personoplysninger behandles af medlemsstaternes myndigheder med henblik på de i nærværende forordnings artikel 1, stk. 2 omhandlede formål.
Artikel 3
Systemarkitektur og grundlæggende principper
1.   Eurodac omfatter:
a)
en central elektronisk database ("det centrale system") med fingeraftryksoplysninger, der omfatter
i)
en central enhed
ii)
en beredskabsplan og et beredskabssystem
b)
en kommunikationsinfrastruktur mellem det centrale system og medlemsstaterne, der sikrer et krypteret virtuelt netværk forbeholdt Eurodacoplysninger ("kommunikationsinfrastrukturen")
2.   Hver medlemsstat har ét nationalt adgangspunkt.
3.   Det centrale systems behandling af oplysninger om personer, der er omfattet af artikel 9, stk. 1, artikel 14, stk. 1, og artikel 17, stk. 1, sker på oprindelsesmedlemsstatens vegne og på de betingelser, der er fastsat i denne forordning, og adskilles ved brug af hensigtsmæssige tekniske midler.
4.   De regler, der gælder for Eurodac, finder ligeledes anvendelse på de operationer, som medlemsstaterne foretager fra videregivelsen af oplysninger til det centrale system, indtil der gøres brug af resultaterne af sammenligningen.
5.   Proceduren for optagelse af fingeraftryk fastlægges og anvendes efter den pågældende medlemsstats nationale praksis og i overensstemmelse med de beskyttelsesforanstaltninger, der er fastlagt i charteret, i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og i De Forenede Nationers konvention om barnets rettigheder.
Artikel 4
Operationel forvaltning
1.   Agenturet er ansvarligt for den operationelle forvaltning af Eurodac.
Den operationelle forvaltning af Eurodac omfatter alle de opgaver, der er nødvendige for, at Eurodac kan fungere 24 timer i døgnet alle ugens syv dage i henhold til denne forordning, herunder den vedligeholdelse og tekniske udvikling, der er nødvendig for at sikre, at systemet fungerer på et driftsmæssigt tilfredsstillende niveau, særlig hvad angår den tid, der kræves til søgninger i det centrale system. Der udarbejdes en beredskabsplan og et beredskabssystem, som tager højde for systemets vedligeholdelsesbehov og uforudsete driftsudfald, herunder beredskabsforanstaltningers indvirkning på databeskyttelse og datasikkerhed.
Agenturet sikrer i samarbejde med medlemsstaterne, at de bedste disponible og sikreste teknologier og teknikker, på grundlag af en cost-benefit-analyse, til enhver tid anvendes til det centrale system.
2.   Agenturet er ansvarligt for følgende opgaver i forbindelse med kommunikationsinfrastrukturen:
a)
tilsyn
b)
sikkerhed
c)
koordinering af forbindelserne mellem medlemsstaterne og udbyderen.
3.   Kommissionen er ud over de i stk. 2 nævnte ansvarlig for alle opgaver i forbindelse med kommunikationsinfrastrukturen, særlig:
a)
budgetgennemførelsen
b)
anskaffelse og fornyelse
c)
kontraktforhold.
4.   Agenturet anvender relevante regler for tavshedspligt eller tilsvarende fortrolighedskrav i forbindelse med alt personale, der skal arbejde med Eurodacoplysninger, jf. dog artikel 17 i vedtægten. Denne pligt består fortsat, når de pågældende medarbejdere er fratrådt deres stilling, eller deres aktiviteter er ophørt.
Artikel 5
Myndigheder udpeget af medlemsstaterne med henblik på retshåndhævelse
1.   Til de i artikel 1, stk. 2, fastsatte formål udpeger medlemsstaterne de myndigheder, der har tilladelse til at anmode om sammenligning med Eurodacoplysninger i henhold til denne forordning. De udpegede myndigheder er de myndigheder i medlemsstaterne, der er ansvarlige for at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser. Udpegede myndigheder omfatter ikke agenturer eller enheder, der udelukkende er ansvarlige for efterretningsvirksomhed vedrørende national sikkerhed.
2.   Hver medlemsstat fører en liste over de udpegede myndigheder.
3.   Hver medlemsstat fører en liste over de operative enheder inden for de udpegede myndigheder, der har tilladelse til at anmode om sammenligninger med Eurodacoplysninger gennem det nationale adgangspunkt.
Artikel 6
Medlemsstaternes kontrolmyndigheder med henblik på retshåndhævelse
1.   Til de i artikel 1, stk. 2, fastsatte formål udpeger hver medlemsstat én national myndighed eller en enhed under en sådan myndighed til kontrolmyndighed. Kontrolmyndighederne er de myndigheder i medlemsstaterne, der er ansvarlige for at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser.
Den udpegede myndighed og kontrolmyndigheden kan tilhøre samme organisation, hvis dette er tilladt i henhold til national lovgivning, men kontrolmyndigheden handler uafhængigt, når den udfører sine opgaver i henhold til denne forordning. Kontrolmyndigheden er adskilt fra de i artikel 5, stk. 3, omhandlede operative enheder og modtager ikke instrukser fra dem med hensyn til udfaldet af kontrollen.
Medlemsstaterne kan udpege mere end én kontrolmyndighed for at tilgodese deres organisatoriske og administrative strukturer i overensstemmelse med deres forfatningsmæssige eller retlige krav.
2.   Kontrolmyndighederne sikrer, at betingelserne for at anmode om sammenligninger af fingeraftryk med Eurodacoplysninger er opfyldt.
Kun hertil bemyndiget personale i kontrolmyndigheden har tilladelse til at modtage og videresende en anmodning om adgang til Eurodac i overensstemmelse med artikel 19.
Det er kun kontrolmyndigheden, der har tilladelse til at videresende anmodninger om sammenligninger af fingeraftryk til det nationale kontaktpunkt.
Artikel 7
Europol
1.   Til de i artikel 1, stk. 2, fastsatte formål udpeger Europol en specialiseret enhed med hertil bemyndigede Europolembedsmænd, der skal fungere som dens kontrolmyndighed, som handler uafhængigt af den i nærværende artikel stk. 2 nævnte udpegede myndighed, når den udfører sine opgaver i henhold til denne forordning, og som ikke modtager instrukser fra den udpegede myndighed med hensyn til udfaldet af kontrollen. Enheden sikrer, at betingelserne for at anmode om sammenligninger af fingeraftryk med Eurodacoplysninger er opfyldt. Europol udpeger i samråd med en medlemsstat det nationale adgangspunkt i den pågældende medlemsstat til at indsende Europols anmodninger om sammenligning af fingeraftryksoplysninger til det centrale system.
2.   Til de i artikel 1, stk. 2, fastsatte formål udpeger Europol en operativ enhed, der har tilladelse til at anmode om sammenligninger med Eurodacoplysninger gennem dets udpegede nationale adgangspunkt. Den udpegede myndighed er en operativ enhed under Europol, som er kompetent til at indsamle, lagre, behandle, analysere og udveksle oplysninger for at støtte og styrke medlemsstaternes indsats for at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser, der ligger inden for Europols mandat.
Artikel 8
Statistiske oplysninger
1.   Agenturet udarbejder hvert kvartal en statistik over det centrale systems arbejde med angivelse af navnlig:
a)
antallet af videregivne datasæt om personer, der er omfattet af artikel 9, stk. 1, artikel 14, stk. 1 og artikel 17, stk. 1
b)
antallet af hits med hensyn til ansøgere om international beskyttelse, der har indgivet en ansøgning om international beskyttelse i en anden medlemsstat
c)
antallet af hits med hensyn til personer, der er omfattet af artikel 14, stk. 1, og som på et senere tidspunkt har indgivet en ansøgning om international beskyttelse
d)
antallet af hits med hensyn til personer, der er omfattet af artikel 17, stk. 1, og som på et tidligere tidspunkt har indgivet en ansøgning om international beskyttelse i en anden medlemsstat
e)
antallet af fingeraftryksoplysninger, som det centrale system mere end en gang har måttet anmode om at få udleveret fra oprindelsesmedlemsstaten, fordi de fingeraftryksoplysninger, der oprindeligt blev videregivet, ikke egnede sig til en sammenligning i det elektroniske fingeraftryksgenkendelsessystem
f)
antallet af mærkede, umærkede, blokerede og ublokerede datasæt i overensstemmelse med artikel 18, stk. 1 og 3
g)
antallet af hits, der har været for de i artikel 18, stk. 1, omhandlede personer i henhold til denne artikels litra b) og d).
h)
antallet af anmodninger og hits, der er omfattet af artikel 20, stk. 1
i)
antallet af anmodninger og hits, der er omfattet af artikel 21, stk. 1.
2.   Ved udgangen af hvert år opstilles der en statistik, der sammenfatter de kvartalsvise statistikker for det pågældende år med angivelse af, hvor mange hits der har været for de personer, der er nævnt i henholdsvis litra b), c) og d) i stk. 1. Statistikken skal indeholde særskilte angivelser for hver enkelt medlemsstat. Resultaterne offentliggøres.
KAPITEL II
ANSØGERE OM INTERNATIONAL BESKYTTELSE
Artikel 9
Indsamling, videregivelse og sammenligning af fingeraftryk
1.   Medlemsstaterne optager omgående fingeraftryk af samtlige fingre af alle ansøgere om international beskyttelse, der er fyldt 14 år, og videregiver snarest muligt og senest 72 timer efter, at vedkommendes ansøgning om international beskyttelse som defineret i artikel 20, stk. 2, i forordning (EU) nr. 604/2013, er indgivet, disse sammen med de i artikel 11, litra b)-g), i nærværende forordning omhandlede oplysninger til det centrale system.
Manglende overholdelse af tidsfristen på 72 timer fritager ikke medlemsstaterne for deres pligt til at optage og videresende fingeraftrykkene til det centrale system. Når fingerspidsernes tilstand ikke gør det muligt at optage fingeraftryk af en kvalitet, der kan bruges til hensigtsmæssig sammenligning i medfør af artikel 25, optager oprindelsesmedlemsstaten på ny ansøgerens fingeraftryk og sender dem igen snarest muligt og senest 48 timer efter vellykket fingeraftryksoptagelse.
2.   Når det ikke er muligt at optage fingeraftryk for en ansøger om international beskyttelse på grund af foranstaltninger truffet af hensyn til ansøgerens helbred eller til beskyttelsen af folkesundheden, optager og videresender medlemsstaterne som en undtagelse fra stk. 1 disse fingeraftryk snarest muligt og senest 48 timer efter, at disse sundhedsmæssige hensyn ikke længere er nødvendige.
I tilfælde af alvorlige tekniske problemer kan medlemsstaterne forlænge tidsfristen på 72 timer i stk. 1 med op til 48 timer med henblik på at gennemføre deres nationale beredskabsplaner.
3.   De i artikel 11, litra a), omhandlede fingeraftryksoplysninger, som videregives af en medlemsstat, med undtagelse af dem, der videregives i henhold til artikel 10, litra b), sammenlignes i det centrale system automatisk med de fingeraftryksoplysninger, der er videregivet af andre medlemsstater, og som allerede er lagret i det centrale system.
4.   Det centrale system sørger på anmodning af en medlemsstat for, at den i stk. 3 omhandlede sammenligning ud over fingeraftryksoplysninger fra andre medlemsstater også omfatter oplysninger, som den pågældende medlemsstat selv tidligere har videregivet.
5.   Det centrale system videregiver automatisk hittet eller det negative resultat af sammenligningen til oprindelsesmedlemsstaten. Hvis der er tale om et hit, skal det centrale system for alle datasæt, der svarer til hittet, videregive de oplysninger, der er omhandlet i artikel 11, litra a)-k), sammen med den mærkning, der er omhandlet i artikel 18, stk. 1, hvis det er relevant.
Artikel 10
Oplysninger om den registreredes status
Følgende oplysninger sendes til det centrale system med henblik på opbevaring, jf. artikel 12, med henblik på videregivelse i medfør af artikel 9, stk. 5:
a)
Når en ansøger om international beskyttelse eller en anden person, der er omhandlet i artikel 18, stk. 1, litra d), i forordning (EU) nr. 604/2013, ankommer til den ansvarlige medlemsstat som følge af en overførsel i medfør af en afgørelse efter anmodning om tilbagetagelse som omhandlet i artikel 25 i den nævnte forordning, ajourfører den ansvarlige medlemsstat sit datasæt, som er registreret i overensstemmelse med nærværende forordnings artikel 11, for den pågældende ved at tilføje vedkommendes ankomstdato.
b)
Når en ansøger om international beskyttelse ankommer til den ansvarlige medlemsstat som følge af en overførsel i medfør af en afgørelse efter anmodning om tilbagetagelse som omhandlet i artikel 22 i forordning (EU) nr. 604/2013, sender den ansvarlige medlemsstat et datasæt, der er registreret i henhold til nærværende forordnings artikel 11, vedrørende den pågældende person med angivelse af ankomstdato.
c)
Så snart oprindelsesmedlemsstaten kan fastslå, at den pågældende person, hvis data er registreret i Eurodac i henhold til nærværende forordnings artikel 11, har forladt medlemsstaternes område, opdaterer den sit datasæt, som er registreret i henhold til nærværende forordnings artikel 11, for den pågældende ved at tilføje det tidspunkt, hvor den pågældende forlod medlemsstaternes område for derved at gøre det lettere at anvende artikel 19, stk. 2, og artikel 20, stk. 5, i forordning (EU) nr. 604/2013.
d)
Så snart oprindelsesmedlemsstaten sikrer, at den pågældende person, hvis data er registreret i Eurodac i henhold til nærværende forordnings artikel 11, har forladt medlemsstaternes område, i overensstemmelse med den afgørelse om tilbagesendelse eller afgørelse om udsendelse, den traf efter tilbagetrækningen eller afvisningen af ansøgningen om international beskyttelse, jf. artikel 19, stk. 3, i forordning (EU) nr. 604/2013, opdaterer den sit datasæt, som er registreret i henhold til nærværende forordnings artikel 11, for den pågældende ved at tilføje det tidspunkt, hvor den pågældende blev udsendt af eller forlod medlemsstaternes område.
e)
Den medlemsstat, der bliver ansvarlig i henhold til artikel 17, stk. 1, i forordning (EU) nr. 604/2013, opdaterer sit datasæt, som er registreret i henhold til nærværende forordnings artikel 11, for den pågældende ansøger om international beskyttelse ved at tilføje det tidspunkt, hvor afgørelsen om at behandle ansøgningen blev truffet.
Artikel 11
Registrering af oplysninger
I det centrale system registreres kun følgende oplysninger:
a)
fingeraftryksoplysninger
b)
oprindelsesmedlemsstat, samt sted og dato for indgivelse af ansøgningen om international beskyttelse; i de tilfælde, der er omhandlet i artikel 10, litra b), er ansøgningsdatoen den dato, der er indlæst af den medlemsstat, der har overført ansøgeren
c)
køn
d)
det referencenummer, oprindelsesmedlemsstaten bruger
e)
dato for optagelse af fingeraftrykkene
f)
dato for videregivelse af oplysningerne til det centrale system
g)
operatørens brugernavn
h)
når det i henhold til artikel 10, litra a) eller b), er relevant, datoen for den pågældendes ankomst efter en vellykket overførsel
i)
når det i henhold til artikel 10, litra c), er relevant, datoen, hvor den pågældende forlod medlemsstaternes område
j)
når det i henhold til artikel 10, litra d), er relevant, datoen, hvor den pågældende forlod eller blev udsendt fra medlemsstaternes område
k)
når det i henhold til artikel 10, litra e), er relevant, datoen, hvor der blev truffet beslutning om at behandle ansøgningen.
Artikel 12
Lagring af oplysninger
1.   Alle datasæt som omhandlet i artikel 11 lagres i det centrale system i ti år fra den dato, hvor de pågældende fingeraftryk blev optaget.
2.   Efter udløbet af den i stk. 1 omhandlede periode sletter det centrale system automatisk de pågældende oplysninger fra det centrale system.
Artikel 13
Sletning af oplysninger før tiden
1.   Oplysninger om en person, som har opnået statsborgerskab i en af medlemsstaterne inden udløbet af den i artikel 12, stk. 1, omhandlede periode, slettes fra det centrale system i overensstemmelse med artikel 27, stk. 4, så snart oprindelsesmedlemsstaten bliver klar over, at den pågældende har opnået et sådant statsborgerskab.
2.   Det centrale system underretter snarest muligt og senest efter 72 timer samtlige oprindelsesmedlemsstater herom, når en anden oprindelsesmedlemsstat, der har registreret et hit med oplysninger, som de videregav vedrørende de personer omhandlet i artikel 9, stk. 1, eller artikel 14, stk. 1, har slettet oplysninger i overensstemmelse med stk. 1.
KAPITEL III
TREDJELANDSSTATSBORGERE ELLER STATSLØSE, DER PÅGRIBES I FORBINDELSE MED ULOVLIG PASSAGE AF EN YDRE GRÆNSE
Artikel 14
Indsamling og videregivelse af fingeraftryksoplysninger
1.   Medlemsstaterne optager omgående fingeraftryk af samtlige fingre af alle tredjelandsstatsborgere eller statsløse, der er fyldt 14 år, og som pågribes af de kompetente kontrolmyndigheder i forbindelse med ulovlig passage af grænsen til den pågældende medlemsstat ad land-, sø- eller luftvejen efter at være kommet fra et tredjeland, og som ikke afvises, eller som fysisk forbliver på medlemsstaternes område uden at være varetægtsfængslet, indespærret eller på anden vis frihedsberøvet i hele tidsrummet mellem pågribelsen og udsendelsen på grundlag af afgørelsen om afvisning.
2.   Den pågældende medlemsstat videregiver snarest muligt og senest 72 timer efter datoen for pågribelsen til det centrale system følgende oplysninger vedrørende de i stk. 1 omhandlede tredjelandsstatsborgere eller statsløse, som ikke afvises:
a)
fingeraftryksoplysninger
b)
oprindelsesmedlemsstat, sted og dato for pågribelsen
c)
køn
d)
det referencenummer, oprindelsesmedlemsstaten bruger
e)
dato for optagelse af fingeraftrykkene
f)
dato for videregivelse af oplysningerne til det centrale system
g)
operatørens brugernavn.
3.   Som en undtagelse fra stk. 2 foretages videregivelsen af de oplysninger, der er nærmere angivet i stk. 2 for så vidt angår personer, der pågribes som beskrevet i stk. 1, og som fysisk forbliver på medlemsstaternes område, men er varetægtsfængslet, indespærret eller frihedsberøvet efter deres pågribelse længere end 72 timer, inden deres løsladelse fra varetægtsfængsling, indespærring eller anden frihedsberøvelse.
4.   Manglende overholdelse af den i stk. 2 i denne artikel omhandlede tidsfrist på 72 timer fritager ikke medlemsstaterne for deres pligt til at optage og videresende fingeraftrykkene til det centrale system. Når fingerspidsernes tilstand ikke gør det muligt at optage fingeraftryk af en kvalitet, der kan bruges til hensigtsmæssig sammenligning i medfør af artikel 25, optager oprindelsesmedlemsstaten på ny fingeraftryk af de personer, der pågribes som beskrevet i nærværende artikels stk. 1, og sender dem igen snarest muligt og senest 48 timer efter vellykket fingeraftryksoptagelse.
5.   Når det ikke er muligt at optage fingeraftryk for en pågreben person på grund af foranstaltninger truffet af hensyn til den pågældendes helbred eller til beskyttelsen af folkesundheden, optager og videresender den berørte medlemsstat som en undtagelse fra stk. 1 sådanne fingeraftryk snarest muligt og senest 48 timer efter, at disse hensyn ikke længere er nødvendige.
I tilfælde af alvorlige tekniske problemer kan medlemsstaterne forlænge tidsfristen på 72 timer i stk. 2 med op til 48 timer med henblik på at gennemføre deres nationale beredskabsplaner.
Artikel 15
Registrering af oplysninger
1.   De i artikel 14, stk. 2, omhandlede oplysninger registreres i det centrale system.
Med forbehold af artikel 8 registreres oplysninger, der videregives til det centrale system i henhold til artikel 14, stk. 2, udelukkende med henblik på sammenligning med oplysninger om ansøgere om international beskyttelse og med henblik på de i artikel 1, stk. 2 omhandlede formål.
Det centrale system sammenligner ikke oplysninger, der videregives til det i henhold til artikel 14, stk. 2, med oplysninger, der tidligere er registreret i det centrale system, eller med oplysninger, der efterfølgende videregives til det centrale system i henhold til artikel 14, stk. 2.
2.   For så vidt angår sammenligning af de oplysninger om ansøgere om international beskyttelse, som efterfølgende videregives til det centrale system, med de i stk. 1 omhandlede oplysninger, finder procedurerne i artikel 9, stk. 3 og 5, og artikel 25, stk. 4, anvendelse.
Artikel 16
Lagring af oplysninger
1.   Alle datasæt vedrørende en tredjelandsstatsborger eller statsløs som omhandlet i artikel 14, stk. 1, lagres i det centrale system i 18 måneder fra den dato, hvor den pågældendes fingeraftryk blev optaget. Efter udløbet af denne periode sletter det centrale system automatisk sådanne oplysninger.
2.   Oplysninger om en tredjelandsstatsborger eller statsløs som omhandlet i artikel 14, stk. 1, slettes i overensstemmelse med artikel 28, stk. 3, fra det centrale system, så snart oprindelsesmedlemsstaten inden udløbet af den i nærværende artikels stk. 1 omhandlede periode på 18 måneder får kendskab til et af følgende forhold:
a)
tredjelandsstatsborgeren eller den statsløse har fået opholdstilladelse
b)
tredjelandsstatsborgeren eller den statsløse har forladt medlemsstaternes område
c)
tredjelandsstatsborgeren eller den statsløse har opnået statsborgerskab i en af medlemsstaterne.
3.   Det centrale system oplyser snarest muligt og senest efter 72 timer samtlige oprindelsesmedlemsstater om sletning af oplysninger af de årsager, der er angivet i nærværende artikels stk. 2, litra a) eller b), foretaget af en anden oprindelsesmedlemsstat, der har registreret et hit med oplysninger, de har videregivet vedrørende de personer, der er omhandlet i artikel 14, stk. 1.
4.   Det centrale system oplyser snarest muligt og senest efter 72 timer samtlige oprindelsesmedlemsstater om sletning af oplysninger af de årsager, der er angivet i nærværende artikels stk. 2, litra c), foretaget af en anden oprindelsesmedlemsstat, der har registreret et hit med oplysninger, de har videregivet vedrørende personer omhandlet i artikel 9, stk. 1, eller artikel 14, stk. 1.
KAPITEL IV
TREDJELANDSSTATSBORGERE ELLER STATSLØSE, DER OPHOLDER SIG ULOVLIGT I EN MEDLEMSSTAT
Artikel 17
Sammenligning af fingeraftryksoplysninger
1.   For at kontrollere, om en tredjelandsstatsborger eller statsløs, der opholder sig ulovligt på dens område, tidligere har indgivet en ansøgning om international beskyttelse i en anden medlemsstat, kan en medlemsstat videregive fingeraftryksoplysninger om fingeraftryk, som den har optaget af en sådan tredjelandsstatsborger eller statsløs, der er fyldt 14 år, til det centrale system sammen med det referencenummer, som den pågældende medlemsstat bruger.
Som hovedregel er der grund til at kontrollere, om tredjelandsstatsborgeren eller den statsløse tidligere har indgivet en ansøgning om international beskyttelse i en anden medlemsstat, når:
a)
tredjelandsstatsborgeren eller den statsløse erklærer, at vedkommende har indgivet en ansøgning om international beskyttelse, men ikke oplyser, i hvilken medlemsstat ansøgningen er indgivet
b)
tredjelandsstatsborgeren eller den statsløse ikke anmoder om international beskyttelse, men nægter at lade sig sende tilbage til sit oprindelsesland med den begrundelse, at det ville bringe vedkommende i fare, eller
c)
tredjelandsstatsborgeren eller den statsløse på anden måde forsøger at forhindre udsendelse ved at nægte at medvirke til fastlæggelsen af sin identitet, navnlig ved ikke at vise identitetspapirer eller ved at vise falske identitetspapirer.
2.   De medlemsstater, der deltager i den i stk. 1 omhandlede procedure, videregiver til det centrale system fingeraftryksoplysninger om samtlige fingre eller i det mindste af pegefingeren, og hvis denne mangler, aftryk af samtlige andre fingre, af tredjelandsstatsborgere eller statsløse som omhandlet i stk. 1.
3.   Fingeraftryksoplysningerne om en tredjelandsstatsborger eller statsløs som omhandlet i stk. 1 må udelukkende videregives til det centrale system med henblik på sammenligning med fingeraftryksoplysninger om ansøgere om international beskyttelse, som indgives af andre medlemsstater, og som allerede er registreret i det centrale system.
Fingeraftryksoplysningerne om sådanne tredjelandsstatsborgere eller statsløse må ikke registreres i det centrale system og må heller ikke sammenlignes med de oplysninger, der er videregivet til det centrale system i henhold til artikel 14, stk. 2.
4.   Så snart resultaterne af sammenligningen af fingeraftryksoplysninger er videregivet til oprindelsesmedlemsstaten, opbevarer det centrale system kun registreringen af søgningen til de i artikel 28 nævnte formål. Medlemsstaterne eller det centrale system må ikke opbevare nogen anden registrering af søgningen til andre formål end disse.
5.   For så vidt angår sammenligningen af fingeraftryksoplysninger, der er videregivet ifølge denne artikel, med fingeraftryksoplysninger om ansøgere om international beskyttelse, som er videregivet af andre medlemsstater, og som allerede er registreret i det centrale system, finder procedurerne i artikel 9, stk. 3 og 5, og i artikel 25, stk. 4, anvendelse.
KAPITEL V
PERSONER UNDER INTERNATIONAL BESKYTTELSE
Artikel 18
Mærkning af oplysninger
1.   Den oprindelsesmedlemsstat, der har indrømmet international beskyttelse til en ansøger om international beskyttelse, hvis oplysninger tidligere var registreret i det centrale system i medfør af artikel 11, mærker med henblik på de i artikel 1, stk. 1, omhandlede formål de pågældende oplysninger i overensstemmelse med de krav til elektronisk kommunikation med det centrale system, som agenturet fastlægger. Mærkningen lagres i det centrale system i henhold til artikel 12 med henblik på videregivelse i henhold til artikel 9, stk. 5. Det centrale system oplyser samtlige oprindelsesmedlemsstater om mærkning af oplysninger fra en anden oprindelsesmedlemsstats side, når der er tale om et hit med oplysninger, som den videregav vedrørende personer omhandlet i artikel 9, stk. 1, eller i artikel 14, stk. 1. De pågældende oprindelsesmedlemsstater mærker også de tilsvarende datasæt.
2.   Oplysninger om personer under international beskyttelse, der opbevares i det centrale system og er mærket i henhold til nærværende artikels stk. 1, stilles til rådighed til sammenligninger med henblik på de i artikel 1, stk. 2, omhandlede formål i en periode på tre år efter den dato, hvor den registrerede fik international beskyttelse.
Hvis der er tale om et hit, videregiver det centrale system de oplysninger, der er omhandlet i artikel 11, litra a)- k), for alle datasæt, der svarer til hittet. Det centrale system videregiver ikke den i nærværende artikels stk. 1 omhandlede mærkning. Efter udløbet af perioden på tre år blokerer det centrale system automatisk sådanne oplysninger for videregivelse i tilfælde af en anmodning om sammenligning med henblik på de i artikel 1, stk. 2, omhandlede formål, hvorimod oplysningerne fortsat stilles til rådighed til sammenligning til de i artikel 1, stk. 1, fastsatte formål, indtil de bliver slettet. Blokerede oplysninger videregives ikke, og det centrale system sender et negativt resultat tilbage til den begærende medlemsstat i tilfælde af et hit.
3.   Oprindelsesmedlemsstaten fjerner mærkningen eller blokeringen af oplysningerne vedrørende en tredjelandsstatsborger eller statsløs, hvis oplysninger tidligere var mærket eller blokeret i overensstemmelse med nærværende artikels stk. 1 eller 2, i tilfælde af tilbagekaldelse eller afslutning af vedkommendes status eller afslag på forlængelse af vedkommendes status i medfør af artikel 14 eller 19 i direktiv 2011/95/EU.
KAPITEL VI
PROCEDURE FOR SAMMENLIGNING OG VIDEREGIVELSE AF OPLYSNINGER MED HENBLIK PÅ RETSHÅNDHÆVELSE
Artikel 19
Procedure for sammenligning af fingeraftryksoplysninger med Eurodacoplysninger
1.   Til de i artikel 1, stk. 2, fastsatte formål kan de udpegede myndigheder, der er omhandlet i artikel 5, stk. 1, og artikel 7, stk. 2, indgive en begrundet elektronisk anmodning som omhandlet i artikel 20, stk. 1, sammen med det referencenummer, de bruger, til kontrolmyndigheden om overførsel af fingeraftryksoplysninger med henblik på sammenligning til det centrale system via det nationale kontaktpunkt. Ved modtagelsen af en sådan anmodning kontrollerer kontrolmyndigheden, om alle betingelserne for at anmode om en sammenligning i henhold til enten artikel 20 eller 21 er opfyldt.
2.   Hvis alle betingelser omhandlet i enten artikel 20 eller 21 for anmodning om en sammenligning er opfyldt, overfører kontrolmyndigheden anmodningen om sammenligning til det nationale adgangspunkt, der videreformidler den til det centrale system efter procedurerne i artikel 9, stk. 3 og 5, med henblik på sammenligning med de oplysninger, der er videregivet til det centrale system i henhold til artikel 9, stk. 1, og artikel 14, stk. 2.
3.   I ekstraordinære hastende situationer, hvor der er et behov for at forhindre en overhængende fare, som har forbindelse med en terrorhandling eller en anden alvorlig lovovertrædelse, kan kontrolmyndigheden videresende fingeraftryksoplysningerne til det nationale adgangspunkt med henblik på øjeblikkelig sammenligning, når den udpegede myndighed modtager anmodningen, og først bagefter kontrollere, om alle betingelser for at anmode om en sammenligning i henhold til enten artikel 20 eller 21 er opfyldt, bl.a. om der reelt var en ekstraordinær hastende situation. Den efterfølgende kontrol finder sted uden unødigt ophold efter behandlingen af anmodningen.
4.   Hvis det ved den efterfølgende kontrol fastslås, at adgangen til Eurodacoplysninger ikke var begrundet, skal alle myndigheder, der har fået adgang til sådanne oplysninger, slette oplysningerne fra Eurodac, og de skal informere kontrolmyndigheden om sletningen.
Artikel 20
Betingelser for de udpegede myndigheders adgang til Eurodac
1.   Til de i artikel 1, stk. 2, fastsatte formål kan de udpegede myndigheder kun indgive en begrundet elektronisk anmodning om en sammenligning af fingeraftryksoplysninger med de oplysninger, der er lagret i det centrale system inden for rammerne af deres egne beføjelser, hvis sammenligninger med følgende databaser ikke har ført til identifikation af den registrerede:
—
nationale fingeraftryksdatabaser
—
alle øvrige medlemsstaters elektroniske fingeraftryksidentifikationssystem, jf. Rådets afgørelse 2008/615/RIA, hvis sammenligninger er teknisk tilgængelige, medmindre der er rimelige grunde til at antage, at en sammenligning med sådanne systemer ikke vil medføre, at den registrerede bliver identificeret; sådanne rimelige grunde skal anføres i den begrundede elektroniske anmodning om sammenligning med Eurodacoplysninger, der sendes af den udpegede myndighed til kontrolmyndigheden, og
—
visuminformationssystemet, forudsat at de i afgørelse 2008/615/RIA fastsatte betingelser for en sådan sammenligning er opfyldt,
og hvis følgende kumulative betingelser er opfyldt:
a)
sammenligningen er nødvendig med henblik på forebyggelse, opdagelse eller efterforskning af terrorhandlinger eller af andre alvorlige lovovertrædelser, hvilket betyder, at der foreligger et tungtvejende hensyn til den offentlige sikkerhed, der gør det forholdsmæssigt at søge i databasen
b)
sammenligningen er nødvendig i et specifikt tilfælde (dvs. der må ikke gennemføres systematiske sammenligninger), og
c)
der er rimelig grund til at overveje, om sammenligningen vil bidrage væsentligt til at forebygge, opdage eller efterforske nogen af de pågældende lovovertrædelser. Sådanne rimelige grunde foreligger navnlig, når der er en begrundet mistanke om, at den person, der mistænkes for, har begået eller er offer for en sådan terrorhandling eller en anden alvorlig lovovertrædelse, falder ind under en kategori, der er omfattet af denne forordning.
2.   Anmodninger om sammenligning med Eurodacoplysninger skal begrænses til søgninger med fingeraftryksoplysninger.
Artikel 21
Betingelser for Europols adgang til Eurodac
1.   Til de i artikel 1, stk. 2, fastsatte formål kan Europols udpegede myndighed kun indgive en begrundet elektronisk anmodning om en sammenligning af fingeraftryksoplysninger med de oplysninger, der er lagret i centrale system, inden for rammerne af Europols mandat og om nødvendigt med henblik på udførelsen af Europols opgaver, hvis sammenligninger med fingeraftryksoplysninger lagret i informationsbehandlingssystemer, der er teknisk og retligt tilgængelige for Europol, ikke har ført til identifikation af den registrerede, og hvis følgende kumulative betingelser er opfyldt:
a)
sammenligningen er nødvendig for at støtte og styrke medlemsstaternes indsats for at forebygge, opdage eller efterforske terrorhandlinger eller andre alvorlige lovovertrædelser, der henhører under Europols mandat, hvilket betyder, at der foreligger et tungtvejende hensyn til den offentlige sikkerhed, der gør det forholdsmæssigt at søge i databasen
b)
sammenligningen er nødvendig i et specifikt tilfælde (dvs. der ikke må gennemføres systematiske sammenligninger), og
c)
der er rimelig grund til at antage, at sammenligningen vil bidrage væsentligt til at forebygge, opdage eller efterforske de pågældende lovovertrædelser. Sådanne rimelige grunde foreligger navnlig, når der er en begrundet mistanke om, at den person, der mistænkes for, har begået eller er offer for en sådan terrorhandling eller anden alvorlig lovovertrædelse, falder ind under en kategori, der er omfattet af denne forordning.
2.   Anmodninger om sammenligning med Eurodacoplysninger skal begrænses til sammenligninger med fingeraftryksoplysninger.
3.   Behandling af oplysninger, som Europol får ved sammenligning med Eurodacoplysninger, kan kun ske med tilladelse fra oprindelsesmedlemsstaten. En sådan tilladelse indhentes via Europols nationale enhed i den pågældende medlemsstat.
Artikel 22
Kommunikation mellem de udpegede myndigheder, kontrolmyndighederne og de nationale adgangspunkter
1.   Al kommunikation mellem de udpegede myndigheder, kontrolmyndighederne og de nationale adgangspunkter skal være sikker og finde sted elektronisk, jf. dog artikel 26.
2.   Til de i artikel 1, stk. 2, fastsatte formål behandles fingeraftryk digitalt af medlemsstaterne og videregives i det dataformat, der er omhandlet i bilag I, for derved at sikre, at der kan foretages en sammenligning ved hjælp af det elektroniske fingeraftryksgenkendelsessystem.
KAPITEL VII
DATABEHANDLING, DATABESKYTTELSE OG ANSVAR
Artikel 23
Ansvar i forbindelse med databehandling
1.   Oprindelsesmedlemsstaten er ansvarlig for:
a)
at optagelsen af fingeraftryk foregår på lovlig vis
b)
at videregivelsen af fingeraftryksoplysninger og andre oplysninger, der er omhandlet i artikel 11, artikel 14, stk. 2, og artikel 17, stk. 2, til det centrale system foregår på lovlig vis
c)
at oplysningerne er korrekte og ajourførte ved videregivelsen til det centrale system
d)
at registreringen, lagringen, berigtigelsen og sletningen af oplysninger i det centrale system foregår på lovlig vis, uden at dette i øvrigt berører det ansvar, der påhviler agenturet
e)
at de resultater af sammenligningen af fingeraftryksoplysninger, der er videregivet af det centrale system, behandles på lovlig vis.
2.   Oprindelsesmedlemsstaten er ansvarlig for de i stk. 1 nævnte oplysningers sikkerhed før og under videregivelsen til det centrale system samt for sikkerheden af de oplysninger, den modtager fra det centrale system, jf. artikel 34.
3.   Oprindelsesmedlemsstaten er ansvarlig for den endelige identifikation af oplysningerne, jf. artikel 25, stk. 4.
4.   Agenturet sikrer, at det centrale system drives i overensstemmelse med denne forordnings bestemmelser. Agenturet skal især:
a)
træffe foranstaltninger, der sikrer, at personer, som arbejder med det centrale system, kun behandler de oplysninger, der er registreret heri, i overensstemmelse med formålet med Eurodac, jf. artikel 1
b)
træffe de nødvendige foranstaltninger med henblik på at garantere det centrale systems sikkerhed, jf. artikel 34
c)
sikre, at kun personer, der er autoriseret til at arbejde med det centrale system, har adgang hertil, uden at dette i øvrigt berører de beføjelser, Den Europæiske Tilsynsførende for Databeskyttelse har.
Agenturet underretter Europa-Parlamentet og Rådet samt Den Europæiske Tilsynsførende for Databeskyttelse om de foranstaltninger, som det træffer i henhold til første afsnit.
Artikel 24
Videregivelse
1.   Digitaliseringen af fingeraftrykkene samt videregivelsen heraf sker i det dataformat, der er omhandlet i bilag I. Det centrale system opstiller i det omfang, det er nødvendigt for at sikre en effektiv arbejdsgang i det centrale system, de tekniske krav for videregivelsen af medlemsstaternes dataformat til det centrale system og omvendt. Agenturet sikrer, at de fingeraftryksoplysninger, medlemsstaterne videregiver, kan sammenlignes i det elektroniske fingeraftryksgenkendelsessystem.
2.   Medlemsstaterne videregiver oplysningerne som omhandlet i artikel 11, artikel 14, stk. 2, og artikel 17, stk. 2, ad elektronisk vej. De i artikel 11 og artikel 14, stk. 2, omhandlede oplysninger registreres automatisk i det centrale system. Agenturet opstiller i det omfang, det er nødvendigt for at sikre en effektiv arbejdsgang i det centrale system, de tekniske krav for videregivelsen af medlemsstaternes dataformat til det centrale system og omvendt.
3.   Det referencenummer, der er omhandlet i artikel 11, litra d), artikel 14, stk. 2, litra d), artikel 17, stk. 1, og artikel 19, stk. 1, skal gøre det muligt entydigt at henføre oplysningerne til én bestemt person og til den videregivende medlemsstat. Endvidere skal det gøre det muligt at angive, om der er tale om en person, der er omhandlet i artikel 9, stk. 1, artikel 14, stk. 1, eller artikel 17, stk. 1.
4.   Referencenummeret begynder med det eller de kendingsbogstaver, som anvendes til at angive den videregivende medlemsstat i overensstemmelse med den i bilag I omhandlede standard. Efter kendingsbogstavet eller kendingsbogstaverne følger identifikationen af person- eller anmodningskategorien. Således angives oplysninger om de personer, der er omhandlet i artikel 9, stk. 1, med "1", personer, der er omhandlet i artikel 14, stk. 1, med "2", personer, der er omhandlet i artikel 17, stk. 1, med "3", anmodninger, der er omhandlet i artikel 20, med "4", anmodninger, der er omhandlet i artikel 21, med "5" og anmodninger, der er omhandlet i artikel 29, med "9".
5.   Agenturet udarbejder de tekniske procedurer, der er nødvendige for at sikre, at medlemsstaterne modtager entydige data fra det centrale system.
6   Det centrale system bekræfter snarest muligt modtagelsen af de videregivne oplysninger. Til det formål opstiller det centrale system de tekniske krav, der er nødvendige for at sikre, at medlemsstaterne efter anmodning modtager bekræftelse af modtagelsen.
Artikel 25
Gennemførelse af sammenligninger og videregivelse af resultater
1.   Medlemsstaterne sikrer, at fingeraftryksoplysninger videregives i en kvalitet, der er egnet til sammenligning i det elektroniske fingeraftryksgenkendelsessystem. I det omfang, det er nødvendigt for at sikre, at resultaterne af det centrale systems sammenligning når en meget høj grad af nøjagtighed, fastlægger agenturet en passende kvalitet for de videregivne fingeraftryksoplysninger. Det centrale system kontrollerer snarest muligt de videregivne fingeraftryks kvalitet. Hvis fingeraftryksoplysningerne ikke egner sig til sammenligning i det elektroniske fingeraftryksgenkendelsessystem, underretter det centrale system den berørte medlemsstat herom. Denne medlemsstat videregiver herefter fingeraftryk af passende kvalitet ved brug af samme referencenummer som for det tidligere sæt fingeraftryksoplysninger.
2.   Det centrale system udfører sammenligningerne i den rækkefølge, anmodningerne kommer ind. Enhver anmodning skal færdigbehandles inden 24 timer. En medlemsstat kan ved anmodninger om sammenligninger af hensyn til national ret kræve, at sammenligningen gennemføres som hastesag i løbet af en time. Hvis disse tidsfrister ikke kan overholdes som følge af omstændigheder, agenturet ikke er herre over, behandler det centrale system straks anmodningen, når disse omstændigheder ikke længere består. I disse tilfælde opstiller agenturet i det omfang, det er nødvendigt for at sikre en effektiv arbejdsgang i det centrale system, kriterier for prioriteret behandling af anmodninger.
3.   I det omfang, det er nødvendigt for at sikre en effektiv arbejdsgang i det centrale system, opstiller agenturet procedurer for arbejdsgangen for behandling af modtagne oplysninger og videregivelse af resultatet af sammenligningen.
4.   Resultatet af sammenligningen kontrolleres omgående i modtagermedlemsstaten af en fingeraftryksekspert som defineret i overensstemmelse med nationale regler, som er særligt uddannet i de former for sammenligninger af fingeraftryk, der omhandles i nærværende forordning. Til de i nærværende forordnings artikel 1, stk. 1, fastsatte formål foretages den endelige identifikation af oprindelsesmedlemsstaten i samarbejde med de berørte medlemsstater i overensstemmelse med artikel 34 i forordning (EU) nr. 604/2013.
Oplysninger fra det centrale system vedrørende andre oplysninger, der har vist sig at være upålidelige, slettes, så snart det er fastslået, at de er upålidelige.
5.   Når den endelige identifikation i overensstemmelse med stk. 4 viser, at resultatet af den sammenligning, der er modtaget fra det centrale system, ikke er i overensstemmelse med de fingeraftryksoplysninger, der er sendt til sammenligning, sletter medlemsstaterne straks resultatet af sammenligningen og meddeler snarest muligt og senest efter tre arbejdsdage dette forhold til Kommissionen og til agenturet.
Artikel 26
Kommunikation mellem medlemsstaterne og det centrale system
Oplysninger, der videregives fra medlemsstaterne til det centrale system og omvendt, benytter kommunikationsinfrastrukturen. I det omfang, det er nødvendigt for at sikre en effektiv arbejdsgang i det centrale system, opstiller agenturet de tekniske procedurer, der er nødvendige for brugen af kommunikationsinfrastrukturen.
Artikel 27
Adgang til og berigtigelse eller sletning af de oplysninger, der er registreret i Eurodac
1.   Oprindelsesmedlemsstaten har adgang til de oplysninger, som den har videregivet, og som er registreret i det centrale system i overensstemmelse med denne forordning.
Ingen medlemsstat kan søge i oplysninger, der er videregivet af en anden medlemsstat, eller modtage sådanne oplysninger, bortset fra oplysninger, der er resultatet af den sammenligning, der er omhandlet i artikel 9, stk. 5.
2.   Hver medlemsstat udpeger de myndigheder, der i henhold til nærværende artikels stk. 1 har adgang til oplysninger, der er registreret i det centrale system med henblik på de i artikel 1, stk. 1, fastsatte formål. Ved udpegningen angives det nøjagtigt, hvilken enhed der er ansvarlig for udførelsen af opgaver i forbindelse med anvendelsen af denne forordning. Hver medlemsstat sender uden ophold Kommissionen og agenturet en liste over disse myndigheder og alle ændringer heraf. Agenturet offentliggør en konsolideret liste i 
Den Europæiske Unions Tidende
. Hvis der er sket ændringer heraf, offentliggør agenturet en gang om året en ajourført konsolideret liste online.
3.   Kun oprindelsesmedlemsstaten har ret til at ændre de oplysninger, som den har videregivet til det centrale system, ved at berigtige, supplere eller slette dem, bortset fra sletning i henhold til artikel 12, stk. 2, eller artikel 16, stk. 1.
4.   Hvis en medlemsstat eller agenturet har grund til at formode, at oplysninger, som er registreret i det centrale system, er ukorrekte, meddeler den snarest muligt dette til oprindelsesmedlemsstaten.
Hvis en medlemsstat har grund til at formode, at oplysninger er registreret i det centrale system i strid med denne forordning, meddeler den snarest muligt dette til agenturet, Kommissionen og oprindelsesmedlemsstaten. Oprindelsesmedlemsstaten kontrollerer de pågældende oplysninger og ændrer eller sletter dem omgående, om nødvendigt.
5.   Agenturet må ikke videregive oplysninger, der er registreret i det centrale system, eller stille dem til rådighed for myndighederne i et tredjeland. Dette forbud gælder ikke for videregivelse af sådanne oplysninger til tredjelande, som forordning (EU) nr. 604/2013 finder anvendelse på.
Artikel 28
Registre
1.   Agenturet fører registre over alle behandlinger af oplysninger i det centrale system. Disse registre skal vise formålet med samt datoen og tidspunktet for adgangen, de oplysninger, der er videregivet, de oplysninger, der er anvendt til søgningen, og navnet på både den enhed, der har indlæst eller indhentet oplysningerne, og de ansvarlige personer.
2.   De i nærværende artikels stk. 1 omhandlede registre må kun bruges til kontrol med lovligheden af behandlingen af oplysningerne i databeskyttelsesøjemed samt til at garantere oplysningernes sikkerhed i overensstemmelse med artikel 34. Registrene skal med de nødvendige foranstaltninger beskyttes mod uautoriseret adgang og skal slettes efter en periode på et år efter udløbet af den lagringsperiode, der er omhandlet i artikel 12, stk. 1, og artikel 16, stk. 1, medmindre de er nødvendige for kontrolprocedurer, som allerede er indledt.
3.   Til de i artikel 1, stk. 1, fastsatte formål træffer hver medlemsstat de nødvendige foranstaltninger for at nå de mål, der er fastsat i nærværende artikels stk. 1 og 2, i for så vidt angår deres nationale system. Hver medlemsstat fører desuden registre over det personale, der er behørigt autoriseret til at indlæse eller indhente oplysninger.
Artikel 29
Den registreredes rettigheder
1.   En person omfattet af artikel 9, stk. 1, artikel 14, stk. 1, eller artikel 17, stk. 1, skal af oprindelsesmedlemsstaten underrettes skriftligt og om nødvendigt mundtligt på et sprog, vedkommende forstår eller med rimelighed kan formodes at forstå, om følgende:
a)
identiteten af den registeransvarlige i den i artikel 2, litra d), i direktiv 95/46/EF anvendte betydning, og i givet fald af dennes repræsentants identitet
b)
formålet med at behandle oplysningerne i Eurodac, herunder en beskrivelse af målene i forordning (EU) nr. 604/2013, jf. dennes artikel 4, og en redegørelse i en letforståelig form og i et klart og forståeligt sprog for den adgang til Eurodac, der kan gives medlemsstaterne og Europol med henblik på retshåndhævelse
c)
modtagerne af oplysningerne
d)
i forbindelse med en person, der er omfattet af artikel 9, stk. 1, eller artikel 14, stk. 1, pligten til at lade sine fingeraftryk optage
e)
retten til at få indsigt i oplysninger, der vedrører den registrerede, og retten til at anmode om at få ukorrekte oplysninger vedrørende den registrerede berigtiget eller at få ulovligt lagrede oplysninger om vedkommende slettet, samt retten til at få oplysninger om procedurerne for udøvelse af disse rettigheder, herunder kontaktoplysninger for den registeransvarlige og de nationale tilsynsmyndigheder som omhandlet i artikel 30, stk. 1.
2.   I forbindelse med en person, der er omfattet af artikel 9, stk. 1, eller artikel 14, stk. 1, gives de oplysninger, der er nævnt i nærværende artikels stk. 1, på det tidspunkt hvor dennes fingeraftryk optages.
I forbindelse med en person, der er omfattet af artikel 17, stk. 1, gives de oplysninger, der er omhandlet i nærværende artikels stk. 1, senest på det tidspunkt, hvor oplysningerne om denne person videregives til det centrale system. Denne pligt gælder ikke, hvis det viser sig umuligt at tilvejebringe oplysningerne, eller det vil indebære en uforholdsmæssig stor indsats.
Når en person omfattet af artikel 9, stk. 1, artikel 14, stk. 1, og artikel 17, stk. 1, er mindreårig, giver medlemsstaterne disse oplysninger på en måde, der tager hensyn til ansøgerens alder.
3.   Der udarbejdes efter proceduren i artikel 44, stk. 2, i forordning (EU) nr. 604/2013 en fælles folder, som mindst indeholder de oplysninger, der er omhandlet i nærværende artikels stk. 1, og de oplysninger, der er omhandlet i artikel 4, stk. 1, i den forordning.
Folderen skal være klar og enkel og udformet på et sprog, den pågældende person forstår eller med rimelighed kan formodes at forstå.
Folderen udarbejdes på en sådan måde, at den sætter medlemsstaterne i stand til at supplere den med yderligere oplysninger, som er specifikke for den enkelte medlemsstat. Disse oplysninger, som er specifikke for den enkelte medlemsstat, skal som minimum omfatte den registreredes rettigheder, muligheden for bistand fra de nationale tilsynsmyndigheder og kontaktoplysninger for den registeransvarlige og de nationale tilsynsmyndigheder.
4.   Til de i denne forordnings artikel 1, stk. 1, fastsatte formål kan en registreret i alle medlemsstater udøve de rettigheder, der er omhandlet i artikel 12 i direktiv 95/46/EF, i overensstemmelse med den pågældende medlemsstats love, administrative bestemmelser og procedurer.
Den registrerede vil ud over de øvrige oplysninger, som vedkommende i henhold til artikel 12, litra a), i direktiv 95/46/EF skal have udleveret, få meddelelse om, hvilke oplysninger der er registreret i det centrale system om vedkommende selv, og om, hvilken medlemsstat der har videregivet oplysningerne til det centrale system. En sådan indsigt i oplysningerne kan kun gives af en medlemsstat.
5.   Til de i artikel 1, stk. 1, fastsatte formål kan enhver person i alle medlemsstater anmode om, at ukorrekte oplysninger berigtiges, eller at oplysninger, der er registreret ulovligt, slettes. Berigtigelsen og sletningen foretages inden for en rimelig frist af den medlemsstat, der har videregivet oplysningerne, i overensstemmelse med medlemsstatens love, administrative bestemmelser og procedurer.
6.   Hvis retten til berigtigelse og sletning udøves i en anden medlemsstat end den eller dem, der har videregivet oplysningerne, kontakter denne medlemsstats myndigheder med henblik på de i artikel 1, stk. 1, fastsatte formål myndighederne i den eller de pågældende medlemsstater, der har videregivet oplysningerne, så de kan kontrollere, at oplysningerne er korrekte, samt at videregivelsen og registreringen af dem i det centrale system er lovlig.
7.   Hvis det viser sig, at oplysninger, der er registreret i det centrale system, er ukorrekte eller ulovligt registreret, berigtiger eller sletter den medlemsstat, der har videregivet dem, oplysningerne i overensstemmelse med artikel 27, stk. 3, med henblik på de i artikel 1, stk. 1, fastsatte formål. Den pågældende medlemsstat skal inden for en rimelig frist skriftligt bekræfte over for den registrerede, at den har taget skridt til at berigtige eller slette oplysningerne om vedkommende.
8.   Hvis den medlemsstat, der har videregivet oplysningerne, ikke anerkender, at oplysninger, der er registreret i det centrale system, er ukorrekte eller ulovligt registreret, skal den med henblik på de i artikel 1, stk. 1, fastsatte formål inden for en rimelig frist skriftligt forklare over for den registrerede, hvorfor den ikke er villig til at berigtige eller slette oplysningerne.
Den pågældende medlemsstat skal også underrette den registrerede om, hvilke skridt han eller hun kan tage, hvis han eller hun ikke kan acceptere den forklaring, der er givet, herunder oplysninger om, hvordan den registrerede kan anlægge sag ved eller i givet fald indgive klage til den pågældende medlemsstats kompetente myndigheder eller domstole, og hvilken økonomisk eller anden bistand der kan ydes i henhold til den pågældende medlemsstats love, administrative bestemmelser og procedurer.
9.   Anmodninger efter stk. 4 og 5 skal indeholde alle de nødvendige oplysninger til identifikation af den registrerede, herunder fingeraftryk. Oplysningerne anvendes udelukkende, når en registreret gør rettigheder efter stk. 4 og 5 gældende, og slettes straks derefter.
10.   De kompetente myndigheder i medlemsstaterne skal samarbejde aktivt med henblik på straks at imødekomme de i stk. 5, 6 og 7 omhandlede rettigheder.
11.   Når en person i henhold til stk. 4 anmoder om oplysninger vedrørende sig selv, fører den kompetente myndighed et register i form af et skriftligt dokument over, at der er fremsat en sådan anmodning, og hvordan den håndteres, og stiller uden ophold dette dokument til rådighed for de nationale tilsynsmyndigheder.
12.   Med henblik på de i denne forordnings artikel 1, stk. 1, fastsatte formål skal den nationale tilsynsmyndighed i hver medlemsstat i overensstemmelse med artikel 28, stk. 4, i direktiv 95/46/EF på den registreredes anmodning bistå den pågældende med at udøve sine rettigheder.
13.   Med henblik på de i denne forordnings artikel 1, stk. 1, fastsatte formål skal den nationale tilsynsmyndighed i den medlemsstat, der har videregivet oplysningerne, og den nationale tilsynsmyndighed i den medlemsstat, hvor den registrerede opholder sig, bistå og på anmodning rådgive den pågældende, når vedkommende gør sin ret til at få berigtiget eller slettet oplysninger gældende. Begge de nationale tilsynsmyndigheder skal samarbejde herom. Anmodninger om bistand kan rettes til den nationale tilsynsmyndighed i den opholdsmedlemsstaten, som sender anmodningen videre til myndigheden i den medlemsstat, der har videregivet oplysningerne.
14.   I hver medlemsstat kan enhver i overensstemmelse med den pågældende medlemsstats love, administrative bestemmelser og procedurer anlægge sag ved eller i givet fald indgive klage til den pågældende medlemsstats kompetente myndigheder eller domstole, hvis vedkommende nægtes den ret til indsigt, der er omhandlet i stk. 4.
15.   Enhver kan i overensstemmelse med de love, administrative bestemmelser og procedurer, der gælder i den medlemsstat, der har videregivet oplysningerne, anlægge sag ved eller i givet fald indgive klage til den pågældende medlemsstats kompetente myndigheder eller domstole vedrørende de oplysninger om vedkommende, der er registreret i det centrale system, med henblik på at udøve sine rettigheder i henhold til stk. 5. De nationale tilsynsmyndigheders pligt til at bistå og på anmodning rådgive den registrerede i overensstemmelse med stk. 13 gælder under hele denne proces.
Artikel 30
Den nationale tilsynsmyndigheds tilsyn
1.   Med henblik på de i denne forordnings artikel 1, stk. 1, fastsatte formål drager hver medlemsstat omsorg for, at den eller de nationale tilsynsmyndigheder, der udpeges i henhold til artikel 28, stk. 1, i direktiv 95/46/EF, i fuld uafhængighed og i overensstemmelse med det pågældende medlemsstats nationale ret overvåger, at den pågældende medlemsstats behandling af personoplysninger i overensstemmelse med nærværende forordning, herunder videregivelsen af oplysninger til det centrale system, foregår på lovlig vis.
2.   Hver medlemsstat sørger for, at den nationale tilsynsmyndighed har adgang til rådgivning fra personer med tilstrækkeligt kendskab til fingeraftryksoplysninger.
Artikel 31
Tilsyn foretaget af Den Europæiske Tilsynsførende for Databeskyttelse
1.   Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at al behandling, særlig agenturets behandling, af personoplysninger i tilknytning til Eurodac udføres i overensstemmelse med forordning (EF) nr. 45/2001 og med nærværende forordning.
2.   Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at auditten af agenturets behandling af personoplysninger gennemføres i henhold til internationale standarder for audit mindst hvert tredje år. Der skal sendes en rapport om denne audit til Europa-Parlamentet, Rådet, Kommissionen, agenturet, og de nationale tilsynsmyndigheder. Agenturet skal have mulighed for at fremkomme med sine bemærkninger, inden rapporten vedtages.
Artikel 32
Samarbejde mellem de nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse
1.   De nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive beføjelser, samarbejder aktivt inden for rammerne af deres ansvarsområder og sikrer samordnet tilsyn med Eurodac.
2.   Medlemsstaterne sikrer, at der hvert år foretages en audit af behandlingen af personoplysninger med henblik på de i artikel 1, stk. 2, fastsatte formål af et uafhængigt organ i overensstemmelse med artikel 33, stk. 2, herunder en analyse af et udvalg af de begrundede elektroniske anmodninger.
Auditten vedføjes medlemsstaternes årsrapport som omhandlet i artikel 40, stk. 7.
3.   De nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse udveksler inden for deres respektive beføjelser relevante oplysninger, bistår hinanden med at gennemføre audit og inspektioner, undersøger vanskeligheder med fortolkningen eller anvendelsen af denne forordning, undersøger problemer med udøvelsen af uafhængigt tilsyn eller i forbindelse med udøvelsen af den registreredes rettigheder, udarbejder harmoniserede forslag til fælles løsninger på eventuelle problemer og fremmer bevidstheden om databeskyttelsesrettigheder alt efter behov.
4.   De nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse mødes med henblik på de i stk. 3 fastsatte formål mindst to gange om året. Udgifter og service i forbindelse med disse møder påhviler Den Europæiske Tilsynsførende for Databeskyttelse. Forretningsordenen vedtages på det første møde. De øvrige arbejdsmetoder udvikles i fællesskab efter behov. Der sendes hvert andet år en fælles aktivitetsrapport til Europa-Parlamentet, Rådet, Kommissionen og agenturet.
Artikel 33
Beskyttelse af personoplysninger med henblik retshåndhævelse
1.   Hver medlemsstat fastsætter, at bestemmelser vedtaget i henhold til national lovgivning til gennemførelse af rammeafgørelse 2008/977/RIA også finder anvendelse på dens nationale myndigheders behandling af personoplysninger med henblik på de i nærværende forordnings artikel 1, stk. 2, fastsatte formål.
2.   De nationale tilsynsmyndigheder, der er udpeget i medfør af rammeafgørelse 2008/977/RIA, fører tilsyn med lovligheden af medlemsstaternes behandling af personoplysninger i henhold til nærværende forordning med henblik på de i nærværende forordnings artikel 1, stk. 2, fastsatte formål, herunder af fremsendelsen af sådanne oplysninger til og fra Eurodac.
3.   Europols behandling af personoplysninger i henhold til nærværende forordning skal ske i overensstemmelse med afgørelse 2009/371/RIA og under tilsyn af en uafhængig ekstern tilsynsførende for databeskyttelse. Artikel 30, 31 og 32 i nævnte afgørelse finder derfor anvendelse på Europols behandling af personoplysninger i henhold til nærværende forordning. Den uafhængige eksterne tilsynsførende for databeskyttelse sikrer, at individuelle rettigheder ikke krænkes.
4.   Personoplysninger, der er indhentet med henblik på de i artikel 1, stk. 2, fastsatte formål, må kun behandles med henblik på at forebygge, opdage eller efterforske den specifikke sag, som en medlemsstat eller Europol har anmodet om oplysningerne i.
5.   Det centrale system, de udpegede myndigheder, kontrolmyndighederne og Europol opbevarer registreringer af søgninger, således at de nationale databeskyttelsesmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse kan overvåge, at behandlingen af personoplysninger sker i overensstemmelse med Unionens databeskyttelsesregler, herunder for at vedligeholde registreringerne med henblik på at udarbejde de i artikel 40, stk. 7, omhandlede årlige rapporter. Med undtagelse af sådanne formål skal personoplysninger og registreringerne af søgningerne slettes af alle nationale registre og af alle Europols registre efter en måned, medmindre oplysningerne skal bruges med henblik den konkrete igangværende efterforskning, i forbindelse med hvilken den pågældende medlemsstat eller Europol har anmodet om oplysningerne.
Artikel 34
Datasikkerhed
1.   Oprindelsesmedlemsstaten er ansvarlig for oplysningernes sikkerhed før og under videregivelsen til det centrale system.
2.   Hver medlemsstat træffer med hensyn til alle oplysninger, der behandles af dens kompetente myndigheder i henhold til denne forordning, de nødvendige foranstaltninger, herunder i form af en sikkerhedsplan, med henblik på:
a)
fysisk at beskytte oplysningerne, bl.a. ved at udarbejde beredskabsplaner for beskyttelse af kritisk infrastruktur
b)
at nægte uautoriserede personer adgang til de nationale anlæg, hvor medlemsstaten udfører operationer i overensstemmelse med Eurodacs formål (kontrol ved indgangen til anlægget)
c)
at forhindre, at databærerne kan læses, kopieres, ændres eller fjernes af uautoriserede personer (kontrol med databærere)
d)
at forhindre uautoriseret indlæsning af oplysninger samt uautoriseret læsning, ændring eller sletning af indlæste personoplysninger (kontrol med datalagring)
e)
at forhindre uautoriseret behandling af Eurodacoplysninger samt uautoriseret ændring eller sletning af oplysninger, der er registreret i Eurodac (kontrol med dataindlæsning)
f)
at sikre, at personer, der har tilladelse til at få adgang til Eurodac, kun får adgang til de oplysninger, som hører ind under deres bemyndigelse, og kun ved hjælp af individuelle og entydige brugernavne og fortrolige adgangsmetoder (kontrol med dataadgang)
g)
at sikre, at alle myndigheder med adgangsret til Eurodac opretter profiler, der beskriver funktioner og ansvarsområder for de personer, som er bemyndiget til at få adgang til, indlæse, ajourføre, slette og søge i oplysningerne, og på anmodning uden ophold stiller disse profiler og alle andre relevante oplysninger, som disse myndigheder måtte finde nødvendige for at gennemføre tilsyn, til rådighed for de nationale tilsynsmyndigheder, der er omhandlet i artikel 28 i direktiv 95/46/EF og i artikel 25 i rammeafgørelse 2008/977/RIA (personaleprofiler)
h)
at sikre, at det er muligt at kontrollere og fastslå, til hvilke myndigheder der kan videregives eller er blevet videregivet personoplysninger via datatransmissionsudstyr (kontrol med videregivelse)
i)
at sikre, at det er muligt at kontrollere og fastslå, hvilke oplysninger der er behandlet i Eurodac, hvornår, af hvem og med hvilket formål (kontrol med registrering af oplysninger)
j)
at forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af personoplysninger til eller fra Eurodac eller under transport af databærere, navnlig ved hjælp af hensigtsmæssige krypteringsteknikker (kontrol med overførsler)
k)
at kontrollere effektiviteten af de sikkerhedsforanstaltninger, der er omhandlet i dette stykke, og træffe de nødvendige organisatoriske foranstaltninger vedrørende intern kontrol med henblik på at sikre overholdelse af nærværende forordning (egenkontrol) og automatisk inden for 24 timer opdage alle relevante begivenheder, der opstår i forbindelse med foranstaltninger som anført i litra b)- j), der kunne pege i retning af forekomsten af en sikkerhedshændelse.
3.   Medlemsstaterne underretter agenturet om sikkerhedshændelser, de har opdaget i deres systemer. Agenturet underretter medlemsstaterne, Europol og Den Europæiske Tilsynsførende for Databeskyttelse i tilfælde af sikkerhedshændelser. De berørte medlemsstater, agenturet og Europol samarbejder i løbet af en sikkerhedshændelse.
4.   Agenturet træffer de nødvendige foranstaltninger med henblik på at opfylde målsætningerne i stk. 2 for så vidt angår driften af Eurodac, herunder vedtagelsen af en sikkerhedsplan.
Artikel 35
Forbud mod videregivelse af oplysninger til tredjelande, internationale organisationer eller private enheder
1.   Personoplysninger, som en medlemsstat eller Europol får fra det centrale system i henhold til nærværende forordning, må ikke videregives eller stilles til rådighed for tredjelande, internationale organisationer eller private enheder, der er etableret i eller uden for Unionen. Dette forbud gælder også, hvis disse oplysninger behandles yderligere på nationalt plan eller mellem medlemsstaterne som omhandlet i artikel 2, litra b), i rammeafgørelse 2008/977/RIA.
2.   Personoplysninger, som stammer fra en medlemsstat og udveksles mellem medlemsstater efter et hit opnået med henblik på de i nærværende forordnings artikel 1, stk. 2, fastsatte formål, må ikke videregives til tredjelande, hvis der er en alvorlig fare for, at den registrerede som følge af videregivelsen kan blive udsat for tortur, umenneskelig og nedværdigende behandling eller afstraffelse eller andre former for krænkelser af den pågældendes grundlæggende rettigheder.
3.   Forbuddene i stk. 1 og 2 berører ikke medlemsstaternes ret til at videregive sådanne oplysninger til de tredjelande, som forordning (EU) nr. 604/2013 finder anvendelse på.
Artikel 36
Registrering og dokumentation
1.   Medlemsstaterne og Europol sikrer, at enhver behandling af oplysninger på foranledning af anmodninger om sammenligning med Eurodacoplysninger med henblik på de i artikel 1, stk. 2, fastsatte formål registreres eller dokumenteres, så det kan kontrolleres, om anmodningen opfylder betingelserne, og prøves, om behandlingen af oplysninger og dataintegriteten og -sikkerheden er i overensstemmelse med reglerne, og så der kan foretages egenkontrol.
2.   Registret eller dokumentationen skal i alle tilfælde vise:
a)
det nøjagtige formål med anmodningen om sammenligning, herunder om der er tale om en terrorhandling eller en anden alvorlig lovovertrædelse, og for Europol, det nøjagtige formål med anmodningen om sammenligning
b)
de rimelige grunde, der er anført for ikke at foretage en sammenligning med andre medlemsstater i henhold til afgørelse 2008/615/RIA, jf. artikel 20, stk. 1, i nærværende forordning
c)
henvisningen til den nationale fil
d)
datoen og det nøjagtige tidspunkt, hvor det nationale adgangspunkt anmodede det centrale system om sammenligning
e)
navnet på den myndighed, der har anmodet om adgang til sammenligning, og på den ansvarlige person, der har fremsat anmodningen og behandlet oplysningerne
f)
hvor dette er relevant, brug af hasteproceduren i artikel 19, stk. 3, og den beslutning, der er truffet med hensyn til den efterfølgende kontrol
g)
de oplysninger, der er anvendt til sammenligningen
h)
referenceangivelsen på den embedsmand, der har foretaget søgningen, og den embedsmand, der har givet ordre til søgningen eller videregivelsen, i overensstemmelse med de nationale bestemmelser eller bestemmelserne i afgørelse 2009/371/RIA.
3.   Registre og dokumentation kan kun bruges til kontrol med lovligheden af behandlingen af oplysningerne i databeskyttelsesøjemed samt til at garantere dataintegriteten og -sikkerheden. Kun registre, som indeholder oplysninger, der ikke er personoplysninger, må bruges til den overvågning og evaluering, som er omhandlet i artikel 40. De kompetente nationale tilsynsmyndigheder, der har ansvar for at kontrollere, at anmodningen opfylder betingelserne, og at kontrollere, om behandlingen af oplysninger og dataintegriteten og -sikkerheden er i overensstemmelse med reglerne, skal have adgang til disse registre efter anmodning med henblik på opfyldelse af deres forpligtelser.
Artikel 37
Erstatningsansvar
1.   Enhver person eller medlemsstat, der har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der er i strid med denne forordning, har ret til erstatning fra den medlemsstat, der er ansvarlig for skaden. Den pågældende medlemsstat fritages helt eller delvis for erstatningsansvar, hvis den kan bevise, at den ikke er skyld i den begivenhed, der medførte skaden.
2.   Hvis en medlemsstats manglende overholdelse af sine forpligtelser i henhold til denne forordning volder skade på det centrale system, holdes den pågældende medlemsstat ansvarlig for skaden, medmindre og i det omfang agenturet eller en anden medlemsstat ikke har truffet rimelige foranstaltninger til at forhindre skaden i at ske eller til at begrænse dens omfang.
3.   Skadeserstatningskrav mod en medlemsstat, der fremsættes efter stk. 1 og 2, behandles efter den sagsøgte medlemsstats nationale ret.
KAPITEL VIII
ÆNDRING AF FORORDNING (EU) NR. 1077/2011
Artikel 38
Ændringer af forordning (EU) nr. 1077/2011
I forordning (EU) nr. 1077/2011 foretages følgende ændringer:
1)
Artikel 5 affattes således:
"Artikel 5
Opgaver vedrørende Eurodac
Vedrørende Eurodac udfører agenturet:
a)
de opgaver, som er pålagt det i henhold til Europa-Parlamentets og Rådets forordning (EU) nr. 603/2013 af 26. juni 2013 om oprettelse af "Eurodac" til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af forordning (EU) nr. 604/2013 om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet i en af medlemsstaterne af en tredjelandsstatsborger eller en statsløs og om medlemsstaternes retshåndhævende myndigheders og Europols adgang til at indgive anmodning om sammenligning med Eurodacoplysninger med henblik på retshåndhævelse
 (
*1
)
, og
b)
opgaver vedrørende uddannelse i den tekniske anvendelse af Eurodac.
(
*1
)
  
                                                      
EUT L 180 af 29.6.2013, s. 1
."."
2)
Artikel 12, stk. 1, ændres således:
a)
Litra u) og v) affattes således:
"u)
vedtage den årlige rapport om det centrale Eurodacsystems virksomhed, jf. artikel 40, stk. 1, i forordning (EU) nr. 603/2013
v)
fremsætte bemærkninger til rapporterne fra Den Europæiske Tilsynsførende for Databeskyttelse om audit, jf. artikel 45, stk. 2, i forordning (EF) nr. 1987/2006, artikel 42, stk. 2, i forordning (EF) nr. 767/2008 og artikel 31, stk. 2, i forordning (EU) nr. 603/2013, og sikre en hensigtsmæssig opfølgning af disse auditter"
b)
Litra x) affattes således:
"x)
udarbejde statistikker over det centrale Eurodacsystems virksomhed, jf. artikel 8, stk. 2, i forordning (EU) nr. 603/2013"
c)
Litra z) affattes således:
"z)
sikre, at listen over enheder i henhold til artikel 27, stk. 2, i forordning (EU) nr. 603/2013 offentliggøres årligt"
3)
Artikel 15, stk. 4, affattes således:
"4.   Europol og Eurojust kan deltage i bestyrelsens møder som observatører, når et spørgsmål vedrørende SIS II i forbindelse med anvendelsen af afgørelse 2007/533/RIA er på dagsordenen. Europol kan desuden deltage i bestyrelsens møder som observatør, når et spørgsmål vedrørende VIS i forbindelse med anvendelsen af afgørelse 2008/633/RIA, eller et spørgsmål vedrørende Eurodac i forbindelse med anvendelsen af forordning (EU) nr. 603/2013 er på dagsordenen."
4)
Artikel 17 ændres således:
a)
Stk. 5, litra g), affattes således:
"g)
fastlægge fortrolighedskrav for at efterkomme henholdsvis artikel 17 i forordning (EF) nr. 1987/2006, artikel 17 i afgørelse 2007/533/RIA, artikel 26, stk. 9, i forordning (EF) nr. 767/2008 samt artikel 4, stk. 4, i forordning (EU) nr. 603/2013, jf. dog artikel 17 i tjenestemandsvedtægten"
b)
Stk. 6, litra i), affattes således:
"i)
rapporter om den tekniske funktion af hvert af de store it-systemer, som er nævnt i artikel 12, stk. 1, litra t), og den årlige rapport om det centrale Eurodacsystems virksomhed, som er nævnt i artikel 12, stk. 1, litra u), på grundlag af resultaterne af overvågningen og evalueringen."
5)
Artikel 19, stk. 3, affattes således:
"3.   Europol og Eurojust kan hver udpege en repræsentant til Den Rådgivende Gruppe for SIS II. Europol kan også udpege en repræsentant til Den Rådgivende Gruppe for VIS og Den Rådgivende Gruppe for Eurodac.".
KAPITEL IX
AFSLUTTENDE BESTEMMELSER
Artikel 39
Udgifter
1.   Udgifterne i forbindelse med oprettelse og drift af det centrale system og kommunikationsinfrastrukturen afholdes over Den Europæiske Unions almindelige budget.
2.   Udgifterne til de nationale adgangspunkter og udgifterne til deres tilslutning til det centrale system afholdes af hver medlemsstat.
3.   Hver medlemsstat og Europol opretter og vedligeholder for egen regning den tekniske infrastruktur, som er nødvendig for at gennemføre denne forordning, og bærer omkostningerne i forbindelse med anmodninger om sammenligning med Eurodacoplysninger med henblik på de i artikel 1, stk. 2, fastsatte formål.
Artikel 40
Årsrapport: kontrol og evaluering
1.   Agenturet forelægger en gang om året Europa-Parlamentet, Rådet, Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse en rapport om det centrale systems virksomhed, herunder om dets tekniske funktion og sikkerhed. Årsrapporten skal omfatte oplysninger om forvaltningen af Eurodac og dets resultater sammenholdt med på forhånd fastlagte kvantitative indikatorer for de i stk. 2 omhandlede mål.
2.   Agenturet sikrer, at der indføres procedurer til overvågning af, hvorledes det centrale system fungerer set i forhold til de mål, der er fastlagt for resultater, omkostningseffektivitet og tjenesternes kvalitet.
3.   Med henblik på den tekniske vedligeholdelse, rapportering og statistik har agenturet adgang til de nødvendige oplysninger vedrørende behandlingsprocesserne i det centrale system.
4.   Senest den 20. juli 2018 og hvert fjerde år derefter forelægger Kommissionen en samlet evaluering af Eurodac, hvori den gennemgår de opnåede resultater set i forhold til målene og indvirkningen på de grundlæggende rettigheder, herunder om adgang med henblik på retshåndhævelse har ført til en indirekte forskelsbehandling af personer, som er omfattet af denne forordning, og vurderer, om de grundlæggende principper fortsat skal anvendes, samt tager stilling til eventuelle konsekvenser for den fremtidige virksomhed samt fremsætter de nødvendige henstillinger. Kommissionen sender evalueringen til Europa-Parlamentet og Rådet.
5.   Medlemsstaterne sender agenturet og Kommissionen de oplysninger, der er nødvendige for at udarbejde den årlige rapport, der er omhandlet i stk. 1.
6.   Agenturet, medlemsstaterne og Kommissionen sender de oplysninger, der er nødvendige for at udarbejde de i stk. 4 nævnte evalueringsrapporter. Disse oplysninger må aldrig bringe arbejdsmetoderne i fare eller omfatte oplysninger, som afslører kilder, medarbejdere eller efterforskninger hos de udpegede myndigheder.
7.   Medlemsstaterne og Europol aflægger under overholdelse af national lovgivning om offentliggørelse af følsomme oplysninger hver deres årsrapport om, hvor effektiv sammenligningen af fingeraftryksoplysninger med Eurodacoplysninger har været med henblik på retshåndhævelse, idet rapporterne skal indeholde oplysninger og statistisk materiale om:
—
det nøjagtige formål med sammenligningerne, herunder om, hvilke typer terrorhandlinger eller alvorlige lovovertrædelser der var tale om
—
begrundelserne for rimelig mistanke
—
de rimelige grunde, der er anført for ikke at foretage en sammenligning med andre medlemsstater i henhold til afgørelse 2008/615/RIA, jf. nærværende forordnings artikel 20, stk. 1,
—
antallet af anmodninger om sammenligning
—
antal og type af sager, der har ført til korrekt identifikation, og
—
hvorvidt der var behov for de særlige hastetilfælde, om brugen heraf, herunder om, i hvilke sager det under kontrolmyndighedens efterfølgende kontrol ikke blev anerkendt, at der var tale om et særligt hastetilfælde.
Medlemsstaternes og Europols årsrapporter sendes til Kommissionen senest den 30. juni det følgende år.
8.   På grundlag af medlemsstaternes og Europols årsrapporter som omhandlet i stk. 7 og i tillæg til den samlede evaluering som omhandlet i stk. 4 udarbejder Kommissionen en årlig rapport om adgang til Eurodac med henblik på retshåndhævelse og sender denne til Europa-Parlamentet, Rådet og Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 41
Sanktioner
Medlemsstaterne træffer de nødvendige foranstaltninger for at sikre, at al behandling af oplysninger, der er registreret i det centrale system, og som strider mod formålene med Eurodac, jf. artikel 1, pålægges sanktioner, herunder administrative eller strafferetlige sanktioner i overensstemmelse med national lovgivning, der er effektive, forholdsmæssige og har afskrækkende virkning.
Artikel 42
Geografisk anvendelsesområde
Denne forordning finder ikke anvendelse på de områder, hvor forordning (EU) nr. 604/2013 ikke anvendes.
Artikel 43
Meddelelse om udpegede myndigheder og kontrolmyndigheder
1.   Senest den 20. oktober 2013 giver hver medlemsstat Kommissionen meddelelse om sine udpegede myndigheder, og de i artikel 5, stk. 3, omhandlede operative enheder og om sin kontrolmyndighed og meddeler uden ophold alle ændringer heraf.
2.   Senest den 20. oktober 2013 giver Europol Kommissionen meddelelse om sin udpegede myndighed, om sin kontrolmyndighed og om det nationale adgangspunkt, som det har udpeget, og meddeler uden ophold alle ændringer heraf.
3.   Kommissionen offentliggør hvert år de oplysninger, der er omhandlet i stk. 1 og 2, i 
Den Europæiske Unions Tidende
 og via en elektronisk publikation, der er tilgængelig online og straks opdateres.
Artikel 44
Overgangsbestemmelse
For oplysninger, der er blokeret i det centrale system i medfør af artikel 12 i forordning (EF) nr. 2725/2000, ophæves blokeringen, og oplysningerne mærkes i henhold til nærværende forordnings artikel 18, stk. 1, den 20. juli 2015.
Artikel 45
Ophævelse
Forordning (EF) nr. 2725/2000 og forordning (EF) nr. 407/2002 ophæves med virkning fra den 20. juli 2015.
Henvisninger til de ophævede forordninger forstås som henvisninger til nærværende forordning og læses i overensstemmelse med sammenligningstabellen i bilag III.
Artikel 46
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning finder anvendelse fra 20. juli 2015.
Medlemsstaterne giver Kommissionen og agenturet meddelelse, så snart de har truffet de tekniske foranstaltninger for at videregive oplysninger til det centrale system og under ingen omstændigheder senere end 20. juli 2015.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Bruxelles, den 26. juni 2013.
På Europa-Parlamentets vegne
M. SCHULZ
Formand
På Rådets vegne
A. SHATTER
Formand
(
1
)
  
            
EUT C 92 af 10.4.2010, s. 1
.
(
2
)
  Europa-Parlamentets holdning af 12.6.2013 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 20.6.2013.
(
3
)
  
            
EFT L 316 af 15.12.2000, s. 1
.
(
4
)
  
            
EFT L 62 af 5.3.2002, s. 1
.
(
5
)
  Se side 31 i denne EUT.
(
6
)
  
            
EUT L 164 af 22.6.2002, s. 3
.
(
7
)
  
            
EUT L 190 af 18.7.2002, s. 1
.
(
8
)
  
            
EUT L 121 af 15.5.2009, s. 37
.
(
9
)
  
            
EUT L 337 af 20.12.2011, s. 9
.
(
10
)
  
            
EUT L 286 af 1.11.2011, s. 1
.
(
11
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
12
)
  
            
EUT L 210 af 6.8.2008, s. 1
.
(
13
)
  
            
EUT L 218 af 13.8.2008, s. 129
.
(
14
)
  
            
EFT L 281 af 23.11.1995, s. 31
.
(
15
)
  
            
EUT L 350 af 30.12.2008, s. 60
.
(
16
)
  
            
EFT L 8 af 12.1.2001, s. 1
.
BILAG I
Dataformat og fingeraftryksblanket
Dataformat for udveksling af fingeraftryksoplysninger
Der fastlægges følgende standard for udvekslingen af fingeraftryksoplysninger:
ANSI/NIST-ITL 1a-1997, Ver.3, juni 2001 (INT-1) og eventuelle senere udgaver af denne standard
Standard for medlemsstaternes kendingsbogstaver
Der anvendes følgende ISO-standard: ISO 3166 - kode med to bogstaver.
BILAG II
Ophævede forordninger (henvisning hertil i artikel 45)
Rådets forordning (EF) nr. 2725/2000
(
EFT L 316 af 15.12.2000, s. 1
).
Rådets forordning (EF) nr. 407/2002
(
EFT L 62 af 5.3.2002, s. 1
).
BILAG III
Sammenligningstabel
Forordning (EF) nr. 2725/2000
Denne forordning
Artikel 1, stk. 1
Artikel 1, stk. 1
Artikel 1, stk. 2, første afsnit, litra a) og b)
Artikel 3, stk. 1, litra a)
Artikel 1, stk. 2, første afsnit, litra c)
—
Artikel 1, stk. 2, andet afsnit
Artikel 3, stk. 4
Artikel 1, stk. 3
Artikel 1, stk. 3
Artikel 2, stk. 1, litra a)
—
Artikel 2, stk. 1, litra b)-e)
Artikel 2, stk. 1, litra a)-d)
—
Artikel 2, stk. 1, litra e)-j)
Artikel 3, stk. 1
—
Artikel 3, stk. 2
Artikel 3, stk. 3
Artikel 3, stk. 3, litra a)-e)
Artikel 8, stk. 1, litra a)-e)
—
Artikel 8, stk. 1, litra f)-i)
Artikel 3, stk. 4
—
Artikel 4, stk. 1
Artikel 9, stk. 1, og artikel 3, stk. 5
Artikel 4, stk. 2
—
Artikel 4, stk. 3
Artikel 9, stk. 3
Artikel 4, stk. 4
Artikel 9, stk. 4
Artikel 4, stk. 5
Artikel 9, stk. 5
Artikel 4, stk. 6
Artikel 25, stk. 4
Artikel 5, stk. 1, litra a)-f)
Artikel 11, litra a)-f)
—
Artikel 11, litra g)-k)
Artikel 5, stk. 1, litra g)-h)
Artikel 6
Artikel 12
Artikel 7
Artikel 13
Artikel 8
Artikel 14
Artikel 9
Artikel 15
Artikel 10
Artikel 16
Artikel 11, stk. 1-3
Artikel 17, stk. 1-3
Artikel 11, stk. 4
Artikel 17, stk. 5
Artikel 11, stk. 5
Artikel 17, stk. 4
Artikel 12
Artikel 18
Artikel 13
Artikel 23
Artikel 14
—
Artikel 15
Artikel 27
Artikel 16
Artikel 28, stk. 1 og 2
—
Artikel 28, stk. 3
Artikel 17
Artikel 37
Artikel 18
Artikel 29, stk. 1, 2, 4-10 og 12-15
—
Artikel 29, stk. 3 og 11
Artikel 19
Artikel 30
—
Artikel 31-36
Artikel 20
—
Artikel 21
Artikel 39, stk. 1 og 2
Artikel 22
—
Artikel 23
—
Artikel 24, stk. 1 og 2
Artikel 40, stk. 1 og 2
—
Artikel 40, stk. 3-8
Artikel 25
Artikel 41
Artikel 26
Artikel 42
—
Artikel 43-45
Artikel 27
Artikel 46
Forordning (EF) nr. 407/2002
Denne forordning
Artikel 2
Artikel 24
Artikel 3
Artikel 25, stk. 1-3
—
Artikel 25, stk. 4 og 5
Artikel 4
Artikel 26
Artikel 5, stk. 1
Artikel 3, stk. 3
Bilag I
Bilag I
Bilag II
—

Summary:
Eurodac: Et europæisk system til sammenligning af asylansøgeres fingeraftryk (indtil 2026)
RESUMÉ AF:
Forordning (EU) 
nr. 603/2013
 om Eurodac, EU’s database over asylansøgeres fingeraftryk til sammenligning af deres fingeraftryk
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordning (EU) 
nr. 603/2013
 udvider Eurodac, som er en biometrisk database for hele 
Den Europæiske Union
 (EU), der indeholder fingeraftryk af asylansøgere og statsborgere fra lande, der ikke er en del af EU eller det 
Europæiske Økonomiske Samarbejdsområde
 (EØS), til sammenligning mellem 
EU-medlemsstaterne
.
Forordningen
 har til formål at:
gøre det nemmere for medlemsstaterne at afgøre, hvem der har ansvaret for at undersøge en asylansøgning ved at sammenligne fingertryk af asylansøgere og statsborgere fra ikke-EU/EØS-lande med en central database og
give retshåndhævende myndigheder mulighed for under strenge betingelser at konsultere Eurodac i forbindelse med efterforskning, opdagelse eller forebyggelse af terrorhandlinger eller andre alvorlige lovovertrædelser.
HOVEDPUNKTER
Hver medlemsstat skal tage fingeraftryk af alle asylansøgere og dem, der pågribes i forbindelse med forsøg på ulovlig passage af en grænse (f.eks. statsborgere fra ikke-EU/EØS-lande eller statsløse personer, der kommer ind i EU uden gyldige dokumenter), og som er over 14 år. Landene skal desuden inden for 72 timer videregive dataene til Eurodac.
Når en asylansøger eller statsborger fra et ikke-EU/EØS-land opholder sig ulovligt i en medlemsstat, kan den pågældende medlemsstat konsultere Eurodac for at afgøre, om personen tidligere har ansøgt om asyl i en medlemsstat, eller om vedkommende tidligere er blevet pågrebet i forbindelse med forsøg på ulovligt at komme ind i EU.
Fingeraftryksoplysninger skal slettes, når asylansøgere eller statsborgere fra ikke-EU/EØS-lande eller statsløse personer opnår statsborgerskab i en medlemsstat.
Forordningen hjælper med at anvende 
Dublin III-forordningen
 (forordning (EU) 
nr. 
604/2013
), der fastlægger reglerne for, hvordan det afgøres, hvilken medlemsstat der har ansvaret for at undersøge en asylansøgning.
I den oprindelige Eurodac-lovgivning (forordning (EF) 
nr. 
2725/2000
) var der ikke mulighed for, at retshåndhævende myndigheder kunne anmode om sammenligning af oplysninger. Denne forordning giver politistyrker og Den 
Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 mulighed for at sammenligne fingeraftryk, der er knyttet til efterforskninger, med dem i Eurodac. På grund af den grundlæggende ret til privatlivets fred må retshåndhævende myndigheder dog kun benytte Eurodac med henblik på sammenligninger:
hvor der er rimelig grund til at tro, at en sammenligning vil bidrage væsentligt til at forebygge, opdage eller efterforske en terrorhandling eller andre alvorlige lovovertrædelser
som sidste udvej, efter at der forinden er gennemført flere andre kontroller.
Ingen data fra Eurodac må deles med ikke-EU-lande (bortset fra Island og Norge).
Nogle asylansøgere og statsborgere fra ikke-EU/EØS-lande eller statsløse personer har nægtet at samarbejde med medlemsstaternes forsøg på at tage deres fingeraftryk til Eurodac-databasen. Dette foranledigede 
Europa-Kommissionen
 til at udarbejde et 
dokument
 om mulig bedste praksis, hvad angår registrering af fingeraftryk.
Protokollen mellem EU, Island og Norge
 samt 
protokollen med Liechtenstein og Schweiz
, der begge blev undertegnet i 2020, udvider anvendelsen af forordning (EU) 
nr. 603/2013
 om kriterier og mekanismer til afgørelse af, hvilken stat der er ansvarlig for behandlingen af en asylansøgning vedrørende adgang til Eurodac med henblik på retshåndhævelse til Island, Liechtenstein, Norge og Schweiz.
Ophævelse
Forordning (EU) 
nr. 603/2013
 ophæves og erstattes af forordning (EU) 
2024/1358
 (se 
resumé
) fra den 
12. juni 2026
.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den trådte i kraft den 
20. juli 2015
.
Protokollen med Liechtenstein og Schweiz trådte i kraft den 
1. maj 2022
. Protokollen med Island og Norge trådte i kraft den 
1. september 2022
.
BAGGRUND
Eurodac blev oprindeligt oprettet i 2000 (forordning (EF) 
nr. 2725/2000
) og har været operativ siden 2003. Kommissionen anser den for et meget vellykket informationsteknologisk værktøj.
For yderligere oplysninger henvises til:
Eurodac
 (Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed).
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
nr. 
603/2013
 af 
26. juni 2013
 om oprettelse af »Eurodac« til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af forordning (EU) 
nr. 604/2013
 om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet i en af medlemsstaterne af en tredjelandsstatsborger eller en statsløs og om medlemsstaternes retshåndhævende myndigheders og Europols adgang til at indgive anmodning om sammenligning med Eurodacoplysninger med henblik på retshåndhævelse og om ændring af forordning (EU) 
nr. 1077/2011
 om oprettelse af et europæisk agentur for den operationelle forvaltning af store it-systemer inden for området med frihed, sikkerhed og retfærdighed (EUT L 180 af 
29.6.2013
, 
s. 1-30
).
TILHØRENDE DOKUMENTER
Meddelelse
 om ikrafttrædelse af protokollen mellem Den Europæiske Union, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein til aftalen mellem Det Europæiske Fællesskab og Det Schweiziske Forbund om kriterier og procedurer for fastsættelse af, hvilken stat der er ansvarlig for behandlingen af en asylansøgning indgivet i en medlemsstat eller i Schweiz, vedrørende adgang til Eurodac med henblik på retshåndhævelse (EUT L 240 af 
16.9.2022
, 
s. 1
).
Meddelelse
 om ikrafttrædelse af protokollen mellem Den Europæiske Union, Island og Kongeriget Norge til aftalen mellem Det Europæiske Fællesskab og Republikken Island og Kongeriget Norge om kriterier og procedurer for fastsættelse af, hvilken stat der er ansvarlig for behandlingen af en asylansøgning indgivet i en medlemsstat eller i Island eller Norge, vedrørende adgang til Eurodac med henblik på retshåndhævelse (EUT L 240 af 
16.9.2022
, 
s. 2
).
Protokol
 mellem Den Europæiske Union, Island og Kongeriget Norge til aftalen mellem Det Europæiske Fællesskab og Republikken Island og Kongeriget Norge om kriterier og procedurer for fastsættelse af, hvilken stat der er ansvarlig for behandlingen af en asylansøgning indgivet i en medlemsstat eller i Island eller Norge, vedrørende adgang til Eurodac med henblik på retshåndhævelse (EUT L 64 af 
3.3.2020
, 
s. 3-7
).
Protokol
 mellem Den Europæiske Union, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein til aftalen mellem Det Europæiske Fællesskab og Det Schweiziske Forbund om kriterier og procedurer for fastsættelse af, hvilken stat der er ansvarlig for behandlingen af en asylansøgning indgivet i en medlemsstat eller i Schweiz, vedrørende adgang til eurodac med henblik på retshåndhævelse (EUT L 32 af 
4.2.2020
, 
s. 3-7
).
Europa-Parlamentets og Rådets forordning (EU) 
nr. 
604/2013
 af 
26. juni 2013
 om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet af en tredjelandsstatsborger eller en statsløs i en af medlemsstaterne (EUT L 180 af 
29.6.2013
, 
s. 31-59
).
Efterfølgende ændringer til forordning (EU) 
nr. 604/2013
 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
seneste ajourføring 
9.8.2024