32006R1987
L 381/4
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕГЛАМЕНТ (ЕО) № 1987/2006 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 20 декември 2006 година
за създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II)
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за създаване на Европейската общност, и по-специално член 62, параграф 2, буква а); член 63, параграф 3, буква б) и член 66 от него,
като взеха предвид предложението на Комисията,
в съответствие с процедурата, предвидена в член 251 от Договора (1),
като имат предвид, че:
(1)
Шенгенската информационна система (ШИС), създадена по силата на разпоредбите на дял IV от Конвенцията от 19 юни 1990 г. за прилагане на Шенгенското споразумение от 14 юни 1985 г. между правителствата на държавите от Икономическия съюз Бенелюкс, Федерална република Германия и Френската република относно постепенното премахване на контрола по техните общи граници (2) и нейните подобрения ШИС 1+ („Шенгенската конвенция“), съставлява основно средство за прилагане на разпоредбите на достиженията на правото от Шенген, интегрирано в рамката на Европейския съюз.
(2)
Разработването на ШИС от второ поколение (ШИС II) беше поверено на Комисията по силата на Регламент (ЕО) № 2424/2001 (3) и на Решение 2001/886/ПВР на Съвета (4) от 6 декември 2001 г. за разработване на второ поколение Шенгенска информационна система (ШИС II). ШИС II ще замести ШИС, създадена по силата на Шенгенската конвенция.
(3)
Настоящият регламент съставлява необходимото правно основание за регулиране на ШИС II по отношение на въпросите, които попадат в обхвата на Договора за създаване на Европейската общност („Договора“). Решение 2006/000/ПВР на Съвета от… за създаването, функционирането и използването на второ поколение Шенгенска информационна система (ШИС II) (5) съставлява необходимото правно основание за регулиране на ШИС II по отношение на въпросите, които попадат в обхвата на Договора за Европейския съюз.
(4)
Фактът, че правното основание, необходимо за регулиране, се състои от отделни инструменти, не засяга принципа, че ШИС II представлява единна информационна система, която следва да функционира като такава. Следователно някои разпоредби на тези инструменти следва да бъдат идентични.
(5)
ШИС II следва да представлява компенсационна мярка, която да допринася за поддържането на високо равнище на сигурност в рамките на пространството на свобода, сигурност и справедливост на Европейския съюз чрез поддържане прилагането на политиките, свързани с движението на хора, които са част от достиженията на правото от Шенген, интегрирани в дял IV, част трета от Договора.
(6)
Необходимо е да се посочат целите на ШИС II, нейната техническа архитектура и финансиране, да се определят правилата относно нейното функциониране, категориите данни, които ще бъдат въвеждани в системата, целите, за които данните се въвеждат, органите, които имат право на достъп до данните, взаимното свързване на сигнали и допълнителните правила за обработка на данните и за защита на личните данни.
(7)
ШИС II трябва да включва централна система (централна ШИС II) и национални приложения. Разходите по функционирането на централната ШИС II и на свързаната с нея комуникационна инфраструктура следва да бъдат включени в общия бюджет на Европейския съюз.
(8)
Необходимо е да се създаде наръчник, определящ подробните правила за обмен на дадена допълнителна информация относно действията, които трябва да бъдат предприети вследствие сигналите. Националните органи във всяка държава-членка следва да осигурят обмена на тази информация.
(9)
По време на преходния период Комисията следва да отговаря за оперативното управление на централната ШИС II и за частите от комуникационната инфраструктура. Независимо от това с цел осигуряване на безпроблемното преминаване към ШИС II тя може да възложи тези отговорности на два национални органа от обществения сектор. В дългосрочен план и след оценка на въздействието, съдържаща анализ по същество на алтернативите от финансова, функционална и организационна перспектива и след законодателните предложения на Комисията, следва да бъде създаден управителен орган, който да отговаря за тези задачи. Преходният период следва да продължи не повече от пет години от датата на прилагане на настоящия регламент.
(10)
ШИС II трябва да съдържа сигнали с цел отказ от влизане или пребиваване. Необходимо е да бъде допълнително обмислено хармонизирането на разпоредбите относно основанията за издаване на сигнали по отношение на граждани на трети страни с цел отказ от влизане или пребиваване и уточняване на тяхното използване в рамките на политиките в областта на убежището, имиграцията и завръщането. Следователно Комисията следва да прегледа, три години след датата на прилагане на настоящия регламент, разпоредбите относно целите и условията за издаване на сигнали с цел отказ за влизане или пребиваване.
(11)
Сигналите с цел отказ от влизане или пребиваване не следва да бъдат поддържани в ШИС II по-дълго от времето, необходимо за изпълнение на целите, за които те са били въведени. Като общо правило те следва да се изтриват автоматично от ШИС II след тригодишен срок. Всяко решение за запазване на сигнал за по-дълъг срок следва да се основава на цялостна индивидуална оценка. Държавите-членки следва да преглеждат тези сигнали в рамките на този тригодишен срок и да водят статистика относно броя на сигналите, чийто срок на запазване е бил удължен.
(12)
ШИС II следва да позволи обработката на биометрични данни с цел подпомагане на надеждна идентификация на засегнатите физически лица. От същата гледна точка ШИС II следва също така да позволи обработка на данни относно физически лица, с чиято самоличност е било злоупотребено, с цел избягване на неудобствата, причинени от тяхното погрешно идентифициране, при спазване на подходящи гаранции, по-специално съгласието на засегнатото физическо лице и строго ограничаване на целите, за които такива данни могат да бъдат законно обработвани.
(13)
Държавите-членки следва да разполагат с възможността да установяват връзки между сигнали в ШИС II. Установяването от държава-членка на връзки между два или повече сигнала следва да не се отрази на действията, които следва да бъдат предприети, техния срок на запазване или на правото на достъп до сигналите.
(14)
Данните, обработени в ШИС II, при прилагане на настоящия регламент не следва да бъдат изпращани до трети страни или до международни организации, или на тях да им се предоставя достъп до тези данни.
(15)
Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (6) се прилага към обработката на лични данни, извършвана при прилагането на настоящия регламент. Това включва определянето на контрольор и възможността държавите-членки да предвидят освобождавания и ограничения на някои права и задължения, предвидени в посочената директива, включително правото на достъп и правото на информация на засегнатото физическо лице. Принципите, изложени в Директива 95/46/ЕО, следва да бъдат допълнени или прецизирани в настоящия регламент при необходимост.
(16)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (7), и по-специално разпоредбите от него, свързани с поверителността и сигурността на обработката, се прилагат към обработката на лични данни от страна на институциите на Общността при изпълнение на отговорностите им по отношение на оперативното управление на ШИС II. Принципите, изложени в Регламент (ЕО) № 45/2001, следва да бъдат допълнени или прецизирани в настоящия регламент, при необходимост.
(17)
Доколкото става дума за поверителността, съответните разпоредби на Правилника за длъжностните лица на Европейските общности и Условията за работа на другите служители на тези Общности следва да се прилагат към длъжностните лица или другите служители, които са наети и работят във връзка с ШИС II.
(18)
Необходимо е националните надзорни органи да наблюдават законността на обработката на лични данни от страна на държавите-членки, като същевременно Европейският надзорен орган по защита на данните, назначен по силата на Решение 2004/55/ЕО на Европейския парламент и на Съвета от 22 декември 2003 г. за назначаване на независим надзорен орган, предвиден в Договора за ЕО (8), следва да наблюдава дейностите на институциите на Общността и органите по отношение на самите данни.
(19)
Както държавите-членки, така и Комисията следва да съставят план за сигурност с оглед улесняването прилагането на изискванията за сигурност и следва да сътрудничат помежду си с цел адресиране на въпроси, свързани със сигурността от обща гледна точка.
(20)
С цел осигуряване на прозрачност Комисията или управителният орган след създаването му следва да изготвя на всеки две години доклад за техническото функциониране на централната ШИС II и на комуникационната инфраструктура, включително нейната сигурност. Комисията следва да издава цялостна оценка на всеки четири години.
(21)
Някои аспекти на ШИС II като например техническите правила за въвеждането на данни, включително данните, необходими за въвеждане на сигнал, актуализирането, заличаването и търсенето на данни, правилата относно съпоставимостта и приоритетността на сигналите, връзките между сигналите и обмена на допълнителна информация, не могат с оглед на техния технически характер, степен на подробност и необходимост от редовно актуализиране да бъдат обхванати изчерпателно от разпоредбите на настоящия регламент. Следователно изпълнителните правомощия в това отношение следва да бъдат делегирани на Комисията. Техническите правила за търсене на сигнали следва да отчитат нормалното функциониране на националните приложения. След извършване на оценка на въздействието от страна на Комисията, следва да бъде взето решение до каква степен прилагащите мерки биха могли да бъдат възложени на управителния орган след неговото създаване.
(22)
Мерките, необходими за прилагането на настоящия регламент, следва да бъдат приети в съответствие с Решение 1999/468/ЕО от 28 юни 1999 г. относно установяването на процедурите за упражняване на изпълнителните правомощия предоставени на Комисията (9).
(23)
Необходимо е да бъдат предвидени преходни разпоредби по отношение на сигнали, издадени в ШИС 1+, които ще бъдат прехвърлени в ШИС II. Някои разпоредби на достиженията на правото на Шенген следва да продължат да се прилагат за ограничен период, докато държавите-членки проверят съвместимостта на тези сигнали с новата правна рамка. Съпоставимостта на сигнали за лица следва да бъде проверена приоритетно. В допълнение към това всяко изменение, добавяне, поправка или актуализиране на сигнал, прехвърлен от ШИС 1 + към ШИС II, както и всяко намерено съответствие на такъв сигнал, следва да задейства незабавна проверка на неговата съпоставимост с разпоредбите на настоящия регламент.
(24)
Необходимо е да бъдат предвидени специфични разпоредби относно частта от бюджета, определена за операциите на ШИС, които не съставляват част от общия бюджет на Европейския съюз.
(25)
Тъй като целта на настоящия регламент, а именно създаването и регулирането на съвместна информационна система, не може да бъде постигната в достатъчна степен от държавите-членки и може следователно с оглед на обхвата и последиците на регламента да бъде осъществена по-успешно на общностно равнище, Общността може да приеме мерки в съответствие с принципа на субсидиарността, посочен в член 5 от Договора. В съответствие с принципа на пропорционалността, изложен в същия член, настоящият регламент не надхвърля необходимото за постигането на тази цел.
(26)
Настоящият регламент спазва основните права и принципите, признати, по-специално в Хартата на Европейския съюз за основните права.
(27)
В съответствие с членове 1 и 2 от Протокола относно положението на Дания, приложен към Договора за Европейския съюз и Договора за създаване на Европейската общност, Дания не участва в приемането на настоящия регламент и той не е задължителен за нея и тя не е включена в неговото прилагане. С оглед на това, че настоящият регламент представлява развитие на достиженията на правото от Шенген съгласно разпоредбите на дял IV, трета част от Договора за създаване на Европейската общност Дания в съответствие с член 5 от същия протокол трябва да вземе решение в шестмесечен срок от датата на приемане на настоящия регламент дали тя ще го прилага в националното си законодателство.
(28)
Настоящият регламент представлява развитие на достиженията на правото от Шенген, в които Обединеното кралство не участва в съответствие с Решение 2000/365/ЕО на Съвета от 29 май 2000 г. относно искането на Обединеното кралство Великобритания и Северна Ирландия да участва в някои разпоредби от достиженията на правото от Шенген (10). Следователно Обединеното кралство не участва в приемането му и той не е задължителен за него и не подлежи на прилагане от него.
(29)
Настоящият регламент представлява развитие на достиженията на правото от Шенген, в които Ирландия не участва в съответствие с Решение 2002/192/ЕО от 28 февруари 2002 г. относно искането на Ирландия да участва в някои разпоредби от достиженията на правото от Шенген (11). Следователно Ирландия не участва в приемането му и той не е задължителен за нея и не подлежи на прилагане от нея.
(30)
Настоящият регламент не засяга договореностите за частичното участие на Обединеното кралство и на Ирландия в достиженията на правото от Шенген съгласно определеното съответно в Решение 2000/365/ЕО и в Решение 2002/192/ЕО.
(31)
По отношение на Исландия и Норвегия настоящият регламент представлява развитие на разпоредбите на достиженията на правото от Шенген по смисъла на Споразумението между Съвета на Европейския съюз и Република Исландия и Кралство Норвегия за асоцииране на тези две държави при изпълнението, прилагането и развитието на достиженията на правото от Шенген (12), които попадат в областта, посочена в член 1, буква Ж) от Решение 1999/437/ЕО на Съвета от 17 май 1999 г. (13) относно определени условия по прилагането на посоченото споразумение.
(32)
Следва да бъде постигната договореност, която да позволи представители на Исландия и Норвегия да участват в работата на комитетите, подпомагащи Комисията при упражняване на нейните изпълнители правомощия. Такава договореност е постигната с размяната на писма между Съвета на Европейския съюз и Република Исландия и Кралство Норвегия относно комитетите, които подпомагат Европейската комисия при упражняването на нейните изпълнителни правомощия (14), приложена към гореспоменатото споразумение.
(33)
По отношение на Швейцария настоящият регламент представлява развитие на разпоредбите на правото на Общността по смисъла на споразумението, подписано между Европейския съюз, Европейската общност и Конфедерация Швейцария относно асоциирането на Конфедерация Швейцария при прилагането, изпълнението и развитието на достиженията на правото от Шенген, които попадат в обхвата на член 1, буква Ж) от Решение 1999/437/ЕО във връзка с член 4, параграф 1 от Решение 2004/849/ЕО (15) и член 4, параграф 1 от Решение 2004/860/ЕО (16).
(34)
Следва да бъде постигната договореност, която да позволи представители на Швейцария да участват в работата на комитетите, подпомагащи Комисията при упражняване на нейните изпълнители правомощия. Такава договореност е постигната с размяната на писма между Общността и Швейцария, приложена към гореспоменатото споразумение.
(35)
Настоящият регламент представлява акт, който развива достиженията на правото от Шенген или свързани по друг начин с него по смисъла на член 3, параграф 2 от Акта за присъединяване от 2003 г.
(36)
Настоящият акт следва да се прилага към Обединеното кралство и към Ирландия на датите, определени в съответствие с процедурите, изложени в съответните инструменти, свързани с прилагането на достиженията на правото от Шенген към тези държави,
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Създаване и обща цел на ШИС II
1. Създава се второ поколение Шенгенска информационна система (ШИС II).
2. Целта на ШИС II е в съответствие с настоящия регламент гарантиране на висока степен на сигурност в пространство на свобода, сигурност и справедливост в Европейския съюз, включително поддържането на обществената сигурност и обществения ред и опазването на сигурността на териториите на държавите-членки и прилагане на разпоредбите на дял IV, част трета от Договора, свързани с движението на хора на техните територии, като се използва информацията, съобщавана чрез тази система.
Член 2
Обхват
1. Настоящият регламент създава условията и въвежда процедурите за въвеждане и обработка в ШИС II на сигнали във връзка с граждани на трети страни за обмен на допълнителна информация и допълнителни данни с цел отказ влизане на територията на държава-членка или престой там.
2. Настоящият регламент предвижда също така разпоредби относно техническата архитектура на ШИС II, отговорностите на държавите-членки и на управителния орган по член 15, обработката на общи данни, правата на засегнатите лица и отговорностите.
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
а)
„сигнал“ означава набор от данни, въведени в ШИС II, който позволява на компетентните органи да идентифицират лице с цел предприемане на конкретни действия;
б)
„допълнителна информация“ означава информация, която не се съхранява в ШИС II, но е свързана със сигнали в ШИС II, която се обменя:
i)
за да позволи на държавите-членки взаимно да се консултират или уведомяват при въвеждане на сигнал;
ii)
след намиране на съответствие, за да могат да бъдат предприети необходимите действия;
iii)
когато исканото действие не може да бъде предприето;
iv)
във връзка с качеството на данните в ШИС II;
v)
във връзка със съвместимостта и приоритетността на сигналите;
vi)
във връзка с правата на достъп;
в)
„допълнителни данни“ означава данните, съхранявани в ШИС II, които са свързани със сигнали в ШИС II и до които трябва да има незабавен достъп за компетентните органи, когато в резултат на търсене в ШИС II е установено местонахождението на лице, по отношение на което са въведени данни в ШИС II;
г)
„гражданин на трета страна“ означава всяко физическо лице, което не е нито:
i)
гражданин на Европейския съюз по смисъла на член 17, параграф 1 от Договора;
нито
ii)
гражданин на трета страна, който по силата на споразумения между Общността и нейните държави-членки, от една страна, и същите страни, от друга, се ползва с правата на свободно движение, равностойни на тези на гражданите на Европейския съюз;
д)
„лични данни“ означава всяка информация, свързана с определено или определяемо физическо лице („обект на данните“); определяемо лице е такова лице, което може да бъде идентифицирано, пряко или косвено;
е)
„обработка на лични данни“ („обработка“) означава всяка операция или набор от операции, които се изпълняват по отношение на лични данни, независимо дали това става с автоматични средства като например събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, използване, разкриване чрез изпращане, разпространяване или осигуряване на друг достъп до тях, хармонизиране или комбиниране, блокиране, изтриване или унищожаване.
Член 4
Техническа архитектура и начини на функциониране на ШИС II
1. ШИС II се състои от:
а)
централна система („Централна ШИС II“), съставена от:
-
функция за техническа поддръжка („ЦС ШИС“), съдържаща база данни, „ШИС II база данни“;
-
единен национален интерфейс („НИ ШИС“);
б)
национална база данни („Н.ШИС II“) във всяка от държавите-членки, която се състои от национални системи за данни, които осъществяват свръзка с централната ШИС II. Н.ШИС II може да съдържа картотека с данни („национално копие“), съдържащо пълно или частично копие на базата данни ШИС II;
в)
комуникационна инфраструктура между ЦС ШИС и НИ ШИС („комуникационна инфраструктура“), която осигурява криптирана виртуална мрежа, предвидена за данни на ШИС II и за обмен на данни между бюрата Sirene по член 7, параграф 2.
2. Данните по линия на ШИС II се въвеждат, актуализират, заличават и търсят чрез отделните Н.ШИС II системи. Осигурява се достъп до национално копие с цел извършване на автоматично търсене на територията на всяка държава-членка, която използва такова копие. Не трябва да бъде възможно да се търсят картотеки с данни на други Н.ШИС II на другите държави-членки.
3. ЦС ШИС, която извършва технически надзор и административни функции, е със седалище в Страсбург (Франция), а резервната ЦС ШИС, която е в състояние да осигури цялата функционалност на главната ЦС ШИС в случай на срив на тази система, е със седалище в Sankt Johann im Pongau (Австрия).
4. ЦС ШИС предоставя услугите, необходими за въвеждане на данните и обработването на данните в ШИС II, включително търсенето в базата данни ШИС II. За държавите-членки, които използват национално копие, ЦС ШИС:
а)
осигурява онлайн актуализиране на националните копия;
б)
осигурява синхронизацията и съответствието между националните копия и базата данни ШИС II;
в)
осигурява операциите за стартиране и възстановяване на националните копия.
Член 5
Разходи
1. Разходите по изграждането, функционирането и поддържането на централната ШИС II и на комуникационната инфраструктура се поемат от общия бюджет на Европейския съюз.
2. Тези разходи включват работата, извършена по отношение на ЦС ШИС, която осигурява предоставянето на услугите по член 4, параграф 4.
3. Разходите по изграждането, функционирането и поддържането на всяка Н.ШИС II се поемат от съответната държава-членка.
ГЛАВА II
ОТГОВОРНОСТИ НА ДЪРЖАВИТЕ-ЧЛЕНКИ
Член 6
Национални системи
Всяка държава-членка отговаря за изграждането, функционирането и поддържането на своята Н.ШИС II и за свързването на своята Н.ШИС II с НИ ШИС.
Член 7
Служба Н.ШИС II и бюро Sirene
1. Всяка държава-членка определя орган („Служба Н.ШИС II“), който носи централната отговорност за нейната Н.ШИС II. Този орган отговаря за нормалното функциониране и за сигурността на Н.ШИС II, осигурява достъп на компетентните органи до ШИС II и предприема необходимите мерки за осигуряване спазването на разпоредбите на настоящия регламент. Всяка държава-членка изпраща своите сигнали чрез своята служба Н.ШИС.
2. Всяка държава-членка определя орган, който осигурява обмена на цялата допълнителна информация („бюрото Sirene“) в съответствие с разпоредбите на наръчника Sirene по член 8.
Тези бюра също така координират проверката на качеството на информацията, въвеждана в ШИС II. За тази цел те разполагат с достъп до данните, обработвани в ШИС II.
3. Държавите-членки уведомяват управителния орган за своята служба Н.ШИС и за своето бюро SIRENE. Управителния орган публикува техния списък заедно със списъка по член 31, параграф 8.
Член 8
Обмен на допълнителна информация
1. Допълнителната информация се обменя в съответствие с разпоредбите на наръчника Sirene, като се използва комуникационната инфраструктура. В случай че комуникационната инфраструктура не е достъпна, държавите-членки могат да използват други технически средства с надлежно равнище на сигурност за обмен на допълнителна информация.
2. Допълнителната информация се използва само за целите, за които тя е изпратена.
3. На искания за предоставяне на допълнителна информация от страна на държава-членка се отговаря възможно най-бързо.
4. Подробните правила за обмена на допълнителна информация се приема в съответствие с процедурата, предвидена в член 51, параграф 2 под формата на наръчник Sirene, без да се засягат разпоредбите на инструмента за създаване на управителен орган.
Член 9
Техническо съответствие
1. За осигуряването на бързо и ефективно изпращане на данните при изграждането на своята Н.ШИС II всяка държава-членка спазва протоколите и техническите процедури, установени с цел осигуряване на съвместимост на нейната Н.ШИС II с ЦС ШИС. Тези протоколи и технически процедури се установяват в съответствие с процедурата, предвидена в член 51, параграф 2, без да се засягат разпоредбите на инструмента за създаване на управителен орган.
2. Ако държава-членка използва национално копие, тя осигурява чрез услугите, предоставяни от ЦС-ШИС, данните, съхранявани в националното копие, да бъдат идентични и в съответствие с базата данни ШИС II чрез използване на автоматично актуализиране и търсенето в нейното национално копие да генерира резултат, равностоен на този при търсене в базата данни ШИС II.
Член 10
Сигурност - държави-членки
1. Всяка държава-членка приема във връзка със своята Н.ШИС II необходимите мерки, включително план за сигурността, с цел:
а)
физическа защита на данните, включително чрез изготвянето на планове за действие в извънредни ситуации за защита на критичната инфраструктура;
б)
отказ за достъп на лица без разрешение до устройствата за обработка на данни, които се използват за обработка на лични данни (контрол на достъпа до устройствата);
в)
предотвратяване на четене, копиране, изменение или премахване на носители на данни без разрешение (контрол на носителите на данни);
г)
предотвратяване на въвеждане на данни и на проверка, изменение или заличаване на лични данни без разрешение (контрол на съхраняването);
д)
предотвратяване използването на автоматизираните системи за обработка на данни от лица, използващи комуникационно оборудване без разрешение (контрол на потребителите);
е)
гарантиране, че лицата, които имат разрешение за ползване на автоматизирана система за обработка на данни, имат достъп само до данните, които са обхванати от тяхното разрешение за достъп чрез индивидуални и уникални потребителски самоличности и само режим на поверителен достъп (контрол на достъпа до данни);
ж)
гарантиране, че всички органи, които имат право на достъп до ШИС II или до устройствата за обработка на данни, създават профили, описващи функциите и отговорностите на лицата, които имат разрешение за достъп, въвеждане, актуализиране, заличаване и търсене на данни, и предоставяне на достъп до тези профили на националните надзорни органи по член 44, параграф 1 незабавно при тяхно поискване (профили на персонала);
з)
гарантиране на възможността за проверка и установяване на това до кои органи могат да бъдат изпращани лични данни чрез използване на комуникационно оборудване (комуникационен контрол);
и)
гарантиране на възможността за последваща проверка и установяване на това какви лични данни са били въведени в автоматизираните системи за обработка на данни; кога, от кого и с каква цел са били въведени данните (контрол на въвеждането);
й)
предотвратяване на четене, копиране, изменение или заличаване на лични данни без разрешение по време на прехвърляне на лични данни или по време на транспортиране на носители на данни, по-специално чрез подходящи техники за криптиране (контрол на транспортирането);
к)
наблюдение на ефективността на мерките за сигурност, предвидени в настоящия параграф, и предприемане на необходимите организационни мерки, свързани с вътрешното наблюдение за осигуряване спазването на настоящия регламент (вътрешен одит).
2. Държавите-членки предприемат мерки, равностойни на мерките по параграф 1, във връзка със сигурността по отношение обмена на допълнителна информация.
Член 11
Поверителност - държави-членки
Всяка държава-членка прилага своите правила на професионална тайна или други равностойни задължения за поверителност по отношение на всички лица и органи, които са длъжни да работят с данни от ШИС II и с допълнителна информация в съответствие с националното си законодателство. Това задължение се прилага също така, когато тези лица напуснат работа или след прекратяването на дейностите на тези органи.
Член 12
Водене на записи на национално равнище
1. Държавите-членки, които не използват национални копия, гарантират, че всеки достъп до и всеки обмен на лични данни в рамките на ЦС ШИС се регистрира в техните Н.ШИС II за целите на проверка дали търсенето е законно; наблюдение на законността на обработката на данни; самонаблюдение и осигуряване на нормално функциониране на Н.ШИС II, цялост на данните и сигурност.
2. Държавите-членки, които използват национални копия, гарантират, че всеки достъп до и всеки обмен на данни по ШИС II се регистрира за целите, посочени в параграф 1. Това не се прилага към процесите по член 4, параграф 4.
3. Записите съдържат по-специално историята на сигналите, датата и времето на излъчване на данните, използваните данни за извършване на търсене, позоваване на изпратените данни и наименованието на компетентния орган и името на лицето, което отговаря за обработка на данните.
4. Записите могат да бъдат използвани само за целите, посочени в параграфи 1 и 2, и се заличават най-рано една година и най-късно три години след тяхното създаване. Записите, които съдържат историята на сигналите, се заличават, от една до три години след заличаването на сигналите.
5. Записите могат да се съхраняват по-дълго, ако те са необходими за наблюдение на процедури, които са в ход на осъществяване.
6. Компетентните национални органи, които отговарят за проверка на това дали търсенето е законно, наблюдават законността на обработката на данни; осъществяват самонаблюдението и осигуряват нормалното функциониране на Н.ШИС II, целостта на данните и сигурността, разполагат с достъп, в рамките на своите компетентности и по тяхно искане, до тези записи с цел изпълнение на своите задължения.
Член 13
Самонаблюдение
Държавите-членки гарантират, че всеки орган, който има право на достъп до данни по линия на ШИС II, предприема необходимите мерки за спазване на настоящия регламент и оказва съдействие при необходимост на националния надзорен орган.
Член 14
Обучение на персонала
Преди да получат разрешение за обработка на данни, съхранявани в ШИС II, членовете на персонала на органите, които имат право на достъп до ШИС II, получават подходящо обучение по отношение на правилата за сигурност на данните и защита на данните и биват уведомени за съответните престъпления и наказания.
ГЛАВА III
ОТГОВОРНОСТИ НА УПРАВИТЕЛНИЯ ОРГАН
Член 15
Оперативно управление
1. След преходен период управителен орган („управителният орган“), финансиран от централния бюджет на Европейския съюз, отговаря за оперативното управление на централната ШИС II. Управителният орган осигурява в сътрудничество с държавите-членки използването по всяко време на най-добрата налична технология с оглед анализ на разходите и ползите за централната ШИС II.
2. Управителният орган отговаря също така за следните задачи, свързани с комуникационната инфраструктура:
а)
надзор;
б)
сигурност;
в)
координиране на отношенията между държавите-членки и доставчика.
3. Комисията отговаря за всички останали задачи, свързани с комуникационната инфраструктура, по-специално:
а)
задачи, свързани с изпълнението на бюджета;
б)
придобиване и обновяване;
в)
договорни въпроси.
4. По време на преходния период, преди управителния орган да поеме своите задължения, Комисията отговаря за оперативното управление на централната ШИС II. Комисията може да делегира тази задача и задачите, свързани с изпълнението на бюджета в съответствие с Регламент (ЕО, Евратом) № 1605/2002 на Съвета от 25 юни 2002 г. относно Финансовия регламент, приложим за общия бюджет на Европейските общности (17), на националните публичноправни органи, в две различни страни.
5. Всеки национален публичноправен орган по параграф 4 отговаря на следните критерии за подбор:
а)
той трябва да докаже, че има продължителен опит за опериране на голяма информационна система, която притежава функционалностите по член 4, параграф 4;
б)
той трябва да разполага със значителен опит по отношение на служебните изисквания и изискванията, свързани със сигурността на информационна система, която притежава функционалности, съпоставими с тези по член 4, параграф 4;
в)
той трябва да разполага с достатъчен и опитен персонал с подходящ професионален опит и езикови умения за работа в среда на международно сътрудничество като тази, изисквана по ШИС II;
г)
той трябва да разполага с надеждна и адаптирана към неговите потребности инфраструктура, която е в състояние, по-специално да поддържа и гарантира непрекъснатото функциониране на големи ИТ системи;
и
д)
неговата административна среда трябва да позволява точното изпълнение на задачите и избягване на всеки конфликт на интереси.
6. Преди евентуално делегиране по параграф 4 и на редовни интервали след това Комисията уведомява Европейския парламент и Съвета за условията на делегиране, техния точен обхват и органите, на които тези задачи са делегирани.
7. Когато Комисията делегира своята отговорност по време на преходния период по силата на параграф 4, тя гарантира, че това делегиране напълно спазва границите, установени от институционалната система, предвидена в Договора. По-специално, тя гарантира, че това делегиране не засяга неблагоприятно ефективните механизми за контрол по правото на Общността от страна на Съда на Европейските общности, Сметната палата или Европейския надзорен орган по защита на данните.
8. Оперативното управление на централната ШИС II се състои от всички задачи, необходими за поддържането на функционирането на централната ШИС II денонощно и без почивен ден в съответствие с настоящия регламент, по-специално работата по поддържането и техническото развитие, необходими за нормалното функциониране на системата.
Член 16
Сигурност
1. Централният орган по отношение на централната ШИС II и Комисията по отношение на комуникационната инфраструктура приемат необходимите мерки, включително план по сигурността, с цел:
а)
физическа защита на данните, включително чрез изготвянето на планове за действие в извънредни ситуации за защита на критичната инфраструктура;
б)
отказ за достъп на лица без разрешение до устройствата за обработка на данни, които се използват за обработка на лични данни (контрол на достъпа до устройствата);
в)
предотвратяване на четене, копиране, изменение или премахване на носители на данни без разрешение (контрол на носителите на данни);
г)
предотвратяване на въвеждане на данни и на проверка, изменение или заличаване на лични данни без разрешение (контрол на съхраняването);
д)
предотвратяване използването на автоматизираните системи за обработка на данни от лица, използващи комуникационно оборудване без разрешение (контрол на потребителите);
е)
гарантиране, че лицата, които имат разрешение за ползване на автоматизирана система за обработка на данни, имат достъп само до данните, които са обхванати от тяхното разрешение за достъп, чрез индивидуални и уникални потребителски самоличности и само режим на поверителен достъп (контрол на достъпа до данни);
ж)
създаване на профили, описващи функциите и отговорностите на лицата, които имат разрешение за достъп до данни или до устройства за обработка на данни, и предоставяне на достъп до тези профили на Европейския надзорен орган по защита на данните по член 45 незабавно при поискване от негова страна (профили на персонала);
з)
гарантиране на възможността за проверка и установяване на това до кои органи могат да бъдат изпращани лични данни чрез използване на комуникационно оборудване (комуникационен контрол);
и)
гарантиране на възможността за последваща проверка и установяване на това какви лични данни са били въведени в автоматизираните системи за обработка на данни; кога и от кого са били въведени данните (контрол на въвеждането);
й)
предотвратяване на четене, копиране, изменение или заличаване на лични данни без разрешение по време на прехвърляне на лични данни или по време на транспортиране на носители на данни, по-специално чрез подходящи техники за криптиране (контрол на транспортирането);
к)
наблюдение на ефективността на мерките за сигурност, предвидени в настоящия параграф, и предприемане на необходимите организационни мерки, свързани с вътрешното наблюдение за осигуряване спазването на настоящия регламент (вътрешен одит).
2. Управителният орган предприема мерки, равностойни на мерките по параграф 1 по отношение на обмена на допълнителна информация чрез комуникационната инфраструктура.
Член 17
Поверителност - управителен орган
1. Без да се засяга член 17 от Правилника за длъжностните лица на Европейските общности, управителният орган прилага подходящи правила за професионалната тайна или други равностойни задължения за поверителност със съизмерим стандарт на правилата, предвидени в член 11 от настоящия регламент, по отношение на целия си персонал, който е длъжен да работи с данни по линия на ШИС II. Задължението се прилага също така и след като тези лица напуснат работа или след прекратяването на техните дейности.
2. Управителният орган предприема мерки, равностойни на тези по параграф 1, във връзка с поверителността по отношение на допълнителната информация чрез комуникационната инфраструктура.
Член 18
Водене на записи на централно равнище
1. Управителният орган гарантира, че всеки достъп до и целият обмен на лични данни в рамките на ЦС ШИС се регистрира за целите, посочени в член 12, параграфи 1 и 2.
2. Записите съдържат, по-специално, история на сигналите, датата и времето на изпратените данни, използваните данни за извършване на търсене, позоваване на изпратените данни и наименованието на компетентния орган, отговарящ за обработката на данните.
3. Записите могат да бъдат използвани само за целите, посочени в параграф 1, и се заличават най-рано една година и най-късно три години след тяхното създаване. Записи, които съдържат историята на сигналите, се заличават една година след заличаването на сигналите.
4. Записи могат да бъдат съхранявани и за по-дълъг срок, ако са необходими за процедури за наблюдение, които вече са в процес на осъществяване.
5. Компетентните органи, които отговарят за проверката на това дали дадено търсене е законно, за наблюдението на законността на обработката на данните, за самонаблюдението и за осигуряването на нормалното функциониране на ЦС ШИС, целостта на данните и безопасността, разполагат с достъп, в рамките на техните компетентности и при искане от тяхна страна, до тези записи с цел изпълнение на задълженията си.
Член 19
Информационна кампания
Комисията в сътрудничество с националните надзорни органи и Европейския надзорен орган по защита на данните придружава началото на функционирането на ШИС II с информационна кампания, която да информира обществеността за целите, съхраняваните данни, органите, които имат достъп, и правата на лицата. След създаването си управителният орган в сътрудничество с националните надзорни органи и с Европейския надзорен орган по защита на данните провежда редовно такива кампании. Държавите-членки в сътрудничество със своите надзорни органи разработват и изпълняват необходимите политики за общо информиране на гражданите си за ШИС II.
ГЛАВА IV
СИГНАЛИ, ИЗДАДЕНИ ПО ОТНОШЕНИЕ НА ГРАЖДАНИ НА ТРЕТИ СТРАНИ С ЦЕЛ ОТКАЗ ОТ ВЛИЗАНЕ И ПРЕБИВАВАНЕ
Член 20
Категории данни
1. Без да се засяга член 8, параграф 1 или разпоредбите на настоящия регламент, предвиждащи съхраняване на допълнителни данни, ШИС II съдържа само тези категории данни, които са предоставени от всяка държава-членка съгласно изискванията, предвидени в член 24.
2. Информацията за лицата, по отношение на които е бил издаден сигнал, съдържа нищо извън следното:
а)
фамилия(и) и собствено(и) име(на), име(на) при раждане и използвано(и) преди това име(на) и евентуални псевдоними, които могат да бъдат въведени отделно;
б)
всички особени, обективни, физически, характеристики, които не подлежат на изменение;
в)
място и дата на раждане;
г)
пол;
д)
снимки;
е)
пръстови отпечатъци;
ж)
националност(и);
з)
дали засегнатото лице е въоръжено, раздразнително или е избягало;
и)
основания за сигнала;
й)
орган, издаващ сигнала;
к)
позоваване на решение, което дава основание за издаване на сигнала;
л)
действия, които трябва да бъдат предприети;
м)
връзка(и) с други сигнали, издадени по линия на ШИС II, в съответствие с член 37.
3. Техническите правила, необходими за въвеждането, актуализирането, заличаването и търсенето на данните по параграф 2 се въвеждат в съответствие с процедурата по параграф 51, параграф 2, без да се засягат разпоредбите на инструмента за създаване на управителния орган.
4. Техническите правила, необходими за търсенето на данни по параграф 2, са подобни на тези за търсенето в ЦС ШИС, в националните копия и в техническите копия по член 31, параграф 2.
Член 21
Пропорционалност
Преди да издадат сигнал, държавите-членки определят дали случаят е достатъчно подходящ, съотносим и важен, за да обоснове вписването на сигнал в ШИС II.
Член 22
Специфични правила за снимки и пръстови отпечатъци
Използването на снимки и пръстови отпечатъци съгласно предвиденото в член 20, параграф 2, букви д) и е) е предмет на следните разпоредби:
а)
снимки и пръстови отпечатъци се въвеждат след специална проверка на качеството с цел уверяване, че е спазен минималният стандарт за качеството на данните. Спецификацията на специалната проверка на качеството се установява в съответствие с процедурата по член 51, параграф 2, без да се засягат разпоредбите на инструмента за създаване на управителния орган;
б)
снимки и пръстови отпечатъци се използват единствено за потвърждение на идентичността на гражданин на трета страна, чието местонахождение е било установено в резултат на алфанумерично търсене в ШИС II;
в)
в момента, в който това стане технически осъществимо, пръстови отпечатъци могат да бъдат използвани за идентифициране на гражданин на трета страна на основата на неговия биометричен идентификатор. Преди тази функционалност да бъде приложена в ШИС II, Комисията представя доклад за наличието и готовността на необходимата технология, като по този въпрос се провеждат консултации с Европейския парламент.
Член 23
Изискване към сигнала, подлежащ на въвеждане
1. Сигнал не може да бъде въведен без данните по член 20, параграф 2, букви а), г), к) и л).
2. Когато са налице, всички други данни, посочени в член 20, параграф 2, също така се въвеждат.
Член 24
Условия за издаване на сигнали за отказ за влизане или пребиваване
1. Данните за граждани на трети страни, по отношение на които е бил издаден сигнал с цел отказ за влизане или пребиваване, се въвеждат на основата на национален сигнал след решение, взето от компетентните административни органи или съдилища, в съответствие с правилата на процедурата, предвидена в националното законодателство и което е взето въз основа на индивидуална оценка. Обжалванията на такива решения се извършват в съответствие с националното законодателство.
2. Сигнал може да бъде въведен, когато решението по параграф 1 се основава на заплаха за обществения ред или обществената сигурност, или за националната сигурност, която може да бъде причинена от присъствието на въпросния гражданин на трета страна на територията на държава-членка. Такова положение може да възникне по-специално в случай на:
а)
гражданин на трета страна, който е бил осъден в държава-членка за престъпление, наказуемо с лишаване от свобода за срок от поне една година;
б)
гражданин на трета страна, по отношение на когото има сериозни основания да се счита, че е извършил сериозно престъпление или по отношение на когото има ясни сведения, указващи за намерения от негова страна да извърши престъпление на територията на държава-членка.
3. Сигнал може да бъде въведен също така, когато решението по параграф 1 се основава на факта, че спрямо гражданина на трета страна е била прилагана мярка, свързана с експулсиране, отказ за влизане или принудително отвеждане, която не е била отменена или спряна и която включва или е придружена със забрана за влизане или, където това е приложимо, забрана за пребиваване въз основа на неспазване на националите разпоредби за влизане или пребиваване на граждани на трети страни.
4. Настоящият член не се прилага по отношение на лицата по член 26.
5. Комисията преглежда прилагането на настоящия член три години след датата, посочена в член 55, параграф 2. Въз основа на този преглед Комисията, като използва правото си на инициатива в съответствие с Договора, прави необходимите предложения за изменение на разпоредбите на настоящия член за постигане на по-голяма степен на хармонизация на критериите за въвеждане на сигнали.
Член 25
Условия за въвеждане на сигнали за граждани на трети страни, които се ползват с право на свободно движение в Общността
1. Сигнал относно гражданин на трета страна, който се ползва с право на свободно движение в Общността по смисъла на Директива 2004/38/ЕО на Европейския парламент и на Съвета от 29 април 2004 г. относно правото на граждани на Съюза и на членове на техните семейства да се движат и да пребивават свободно на територията на държавите-членки (18), е в съответствие с нормите, приети с цел прилагане на същата директива.
2. Когато има намерено съответствие на сигнал по член 24 по отношение на гражданин на трета страна, който се ползва с правото на свободно движение в Общността, държавата-членка, която изпълнява сигнала, се консултира незабавно с издаващата държава чрез своето бюро Sirene и в съответствие с разпоредбите на наръчника Sirene, за да бъде взето незабавно решение за мерките, които трябва да бъдат предприети.
Член 26
Условия за издаване на сигнали за граждани на трети страни, по отношение на които е била предприета ограничителна мярка в съответствие с член 15 от Договора за Европейския съюз
1. Без да се засяга член 25, сигнали за граждани на трети страни, по отношение на които е предприета ограничителна мярка с цел недопускане на влизане или транзитно преминаване през територията на държавите-членки в съответствие с член 15 от Договора за Европейския съюз, включително мерки за прилагане на забрана за пътуване, издадена от Съвета за сигурност на Организацията на обединените нации, доколкото са спазени изискванията за качество на данните, се въвеждат в ШИС II с цел отказ за влизане или пребиваване.
2. Член 23 не се прилага по отношение на сигнали, въведени на основание параграф 1 от настоящия член.
3. Държавата-членка, която отговаря за въвеждането, актуализирането и заличаването на тези сигнали от името на всички държави-членки, се определя в момента на приемане на съответната мярка, предприета в съответствие с член 15 от Договора за Европейския съюз.
Член 27
Органи, които имат право да въвеждат сигнали
1. Достъпът до данните, въведени в ШИС II, и правото на търсене на такива данни пряко или в копие на данни по линия на ШИС II, се запазват изключително за органите, които отговарят за идентифицирането на граждани на трети страни с цел:
а)
граничен контрол в съответствие с Регламент (ЕО) № 562/2006 на Европейския парламент и на Съвета от 15 март 2006 г. за създаване на Кодекс на Общността за режима на движение на лица през границите (Кодекс на шенгенските граници) (19);
б)
други полицейски и митнически проверки, извършвани на територията на съответната държава-членка, и координация на такива проверки от страна на органи, определени за тази цел.
2. Независимо от това правото на достъп до данни, въведени в ШИС II, и правото на пряко търсене на такива данни могат също така да бъдат упражнявани от националните съдебни органи, включително тези, които отговарят за образуването на наказателно преследване и за съдебно разследване преди повдигане на обвинение, при изпълнение на техните задължения съгласно предвиденото в националното законодателство, както и от техните координиращи органи.
3. В допълнение към това правото на достъп до данни, въведени в ШИС II, и до данни относно документи, свързани с лица, които са въведени в съответствие с член 38, параграф 2, букви г) и д) от Решение 2006/000/ПВР и правото на пряко търсене на такива данни могат да бъдат упражнявани от органите, които отговарят за издаването на визи, от централните органи, които отговарят за проверка на молбите за издаване на виза, и от органите, които отговарят за издаването на разрешения за пребиваване и за администрирането на законодателството по отношение на гражданите на трети страни в контекста на прилагането на достиженията на правото на Общността, свързани с движението на хора. Достъпът до данните на тези органи се регулира от законодателството на всяка държава-членка.
4. Органите, посочени в настоящия член, се включват в списъка по член 31, параграф 8.
Член 28
Обхват на достъпа
Потребителите могат да имат достъп само до данни, които са им необходими за изпълнение на техните задължения.
Член 29
Срок на запазване на сигналите
1. Сигналите, въведени в ШИС II по силата на настоящия регламент, се съхраняват само за времето, необходимо за постигането на целите, за които те са били въведени.
2. Държава-членка, която въвежда сигнал, преглежда в тригодишен срок от неговото въвеждане в ШИС II необходимостта от запазването му.
3. Всяка държава-членка при необходимост определя по-къси срокове за преглед в съответствие с националното си законодателство.
4. В рамките на срока за преглед държавата-членка, която издава сигнал, взема решение след цялостна индивидуална оценка, която се записва, дали да запази сигнала за по-дълъг срок, ако това е необходимо за целите, за които сигналът е бил издаден. В такъв случай параграф 2 се прилага също така и по отношение на удължаването. Всяко удължаване на сигнал се съобщава на ЦС ШИС.
5. Сигналите се изтриват автоматично след изтичане на срока за преглед по параграф 2, с изключение на случаите, когато държавата-членка, която е издала сигнала, е съобщила за удължаване на сигнала на ЦС ШИС по параграф 4. ЦС ШИС автоматично уведомява държавите-членки за насрочено заличаване на данните от системата четири месеца преди заличаването.
6. Държавите-членки водят статистика за броя на сигналите, чийто срок на запазване е бил удължен в съответствие с параграф 4.
Член 30
Придобиване на гражданство и сигнали
Сигнали, издадени по отношение на лице, което е придобило гражданство на всяка държава, чиито граждани се ползват с право на свободно движение в Общността, се заличава веднага щом държавата-членка, която е издала сигнала, узнае или бъде уведомена по член 34 за това, че въпросното лице е придобило такова гражданство.
ГЛАВА V
ОБЩИ ПРАВИЛА ЗА ОБРАБОТКА НА ДАННИ
Член 31
Обработка на данни по линия на ШИС II
1. Държавите-членки могат да обработват данни по член 20 с цел отказ от влизане или пребиваване на тяхната територия.
2. Данни могат да бъдат копирани само с техническа цел, при условие че такова копиране е необходимо, за да могат органите по член 27 да извършват пряко търсене. Разпоредбите на настоящия регламент се прилагат към такива копия. Сигнали, издадени от една държава-членка, не могат да бъдат копирани от нейната Н.ШИС II в други национални картотеки.
3. Технически копия по параграф 2, които водят до офлайн бази данни, могат да бъдат запазени за срок, не по-дълъг от 48 часа. Този срок може да бъде удължен в извънредни случаи до прекратяването на извънредния случай.
Независимо от алинея 1, технически копия, които водят до офлайн бази данни, които ще бъдат използвани от органи, издаващи визи, не се разрешават една година след успешното свързване на въпросния орган с комуникационната инфраструктура на визовата информационна система, която ще бъде регламентирана в бъдещ регламент относно визовата информационна система (ВИС) и обмена на данни между държавите-членки относно краткосрочни визи, с изключение на копията, направени за използване само в извънредни случаи след липса на мрежа в продължение на повече от 24 часа.
Държавите-членки водят актуализиран инвентар на такива копия, като предоставят достъп до този инвентар на своя национален надзорен орган и осигуряват прилагането на разпоредбите на настоящия регламент, по-специално разпоредбите на член 10, по отношение на такива копия.
4. Достъпът до данни се разрешава само в границите на компетентността на националните органи по член 27 и само на надлежно оторизиран персонал.
5. Данните не могат да бъдат използвани за административни цели. Чрез дерогация данни, въведени в съответствие с настоящия регламент, могат да бъдат използвани в съответствие със законодателството на всяка държава-членка от органите по член 27, параграф 3 при изпълнение на техните задължения.
6. Данни, въведени в съответствие с член 24 от настоящия регламент, и данни относно документи, свързани с лица и въведени по член 38, параграф 2, букви г) и д) от Решение 2006/000/ПВР могат да бъдат използвани в съответствие със законодателството на всяка държава-членка за целите, посочени в член 27, параграф 3 от настоящия регламент.
7. Всяко използване на данни, което не е в съответствие с параграфи 1-6, се счита за злоупотреба по националното законодателство на всяка държава-членка.
8. Всяка държава-членка изпраща на управителния орган списък на своите компетентни органи, които са оторизирани да търсят пряко в данните, съдържащи се в ШИС II по силата на настоящия регламент, както и всяко изменение на списъка. В този списък се посочва по отношение на всеки орган какви данни той може да търси и с каква цел. Управителният орган осигурява годишно публикуването на списъка в Официален вестник на Европейския съюз.
9. Доколкото правото на Общността не съдържа специфични разпоредби, към данните, въведени в Н.ШИС II на държавите-членки, се прилага националното им законодателство.
Член 32
Данни по линия на ШИС II и национални картотеки
1. Член 31, параграф 2 не засяга правото на държава-членка да поддържа в националните си картотеки данни по линия на ШИС II, във връзка с които са предприети мерки на нейна територия. Такива данни се съхраняват в националните картотеки за максимален срок от три години, освен ако специфични разпоредби на националното законодателство предвиждат по-дълъг срок на запазване.
2. Член 31, параграф 2 не засяга правото на държава-членка да поддържа в националните си картотеки данни, съдържащи се в конкретен сигнал, издаден в ШИС II от същата държава-членка.
Член 33
Информация в случай на непривеждане в изпълнение на сигнал
Ако поисканото действие не може да бъде извършено, държавата-членка, до която е отправено искането, незабавно уведомява държавата-членка, издала сигнала.
Член 34
Качество на данните, обработвани в ШИС II
1. Държава-членка, която издава сигнал, отговаря за гарантиране, че данните са точни, актуални и законно въведени в ШИС II.
2. Единствено държавата-членка, която издава сигнал, има право да изменя, добавя, поправя, актуализира или заличава данните, които тя е въвела.
3. Ако държава-членка, различна от държавата-членка, която е издала сигнал, разполага с доказателства, които указват на това, че дадени данни са фактически неточни или се съхраняват незаконно, тя уведомява за това държавата-членка, която е издала сигнала, при първа възможност и не по-късно от десет дни след получаване на доказателството, използва обмена на допълнителна информация. Държавата-членка, която е издала сигнала, проверява съобщението и при необходимост незабавно поправя или заличава въпросните данни.
4. Ако държавите-членки не успеят да постигнат споразумение в двумесечен срок, държавата-членка, която не е издала сигнала, отнася въпроса до Европейския надзорен орган по защита на данните, който съвместно със съответните националните надзорни органи действа като посредник.
5. Държавите-членки обменят допълнителна информация, ако дадено лице се жалва, че то не е лицето, което се търси със сигнала. Ако в резултат от проверката се установи, че действително съществуват две лица, жалбоподателят се уведомява за разпоредбите на член 36.
6. Когато лице вече е обект на сигнал в ШИС II, държава-членка, която въвежда нов сигнал, се договаря за въвеждането на сигнала с държавата-членка, която е въвела първия сигнал. Споразумението се постига на основата на обмен на допълнителна информация.
Член 35
Разграничаване между лица със сходни характеристики
Когато стане ясно при въвеждането на нов сигнал, че в ШИС II вече съществува сигнал със същия елемент на описание на самоличността, се прилага следната процедура:
а)
бюрото Sirene се свързва с органа, отправил искането, за изясняване дали сигналът е за същото лице;
б)
ако при повторната проверка се установи, че обектът на новия сигнал и лицето, което вече фигурира в ШИС II, действително представляват едно и също лице, бюрото Sirene прилага процедурата за въвеждане на множествени сигнали по член 34, параграф 6. Ако в резултат на проверката се установи, че в действителност това са две различни лица, бюрото Sirene одобрява искането за въвеждане на втория сигнал, като добавя необходимите елементи за предотвратяване на евентуално погрешно идентифициране.
Член 36
Допълнителни данни в случаи на злоупотреба със самоличност
1. Когато може да възникне объркване между лице, за което действително се предвижда издаване на сигнал, и лице, с чиято личност е злоупотребено, държавата-членка, която е въвела сигнала, с изричното съгласие на същото лице, добавя в сигнала данни, свързани с последното лице, с цел предотвратяване на неблагоприятните последици от погрешно идентифициране.
2. Данните, свързани с лице, с чиято самоличност е било злоупотребено, се използват само за следните цели:
а)
да се позволи на компетентния орган да направи разграничение между лицето, с чиято самоличност е злоупотребено, и лицето, за което действително се предвижда издаване на сигнал;
б)
да се позволи на лицето, с чиято самоличност е злоупотребено, да докаже своята самоличност и да установи, че с неговата самоличност е злоупотребено.
3. За целите на настоящия член лични данни извън посочените по-долу не могат да бъдат въвеждани и обработвани в ШИС II:
а)
фамилията(ите) и собственото(ите) име(на) при раждане и използвани по-рано имена и евентуални псевдоними, които могат да бъдат въведени отделно;
б)
всяка особена обективна и физична характеристика, която не може да бъде променена;
в)
място и дата на раждане;
г)
пол;
д)
снимки;
е)
пръстови отпечатъци;
ж)
националност(и);
з)
номер(а) на документа(ите) за самоличност и дата на издаване.
4. Техническите правила, необходими за въвеждането и последващата обработка на данните по параграф 3, се установяват в съответствие с процедурата по член 51, параграф 2, без да се засягат разпоредбите на инструмента за създаване на управителния орган.
5. Данните по параграф 3 се заличават едновременно със съответния сигнал или по-рано, ако лицето пожелае това.
6. Само органите, които имат право на достъп до съответния сигнал, могат да получат достъп до данните по параграф 3. Те могат да правят това само с цел предотвратяване на погрешно идентифициране.
Член 37
Връзки между сигнали
1. Държава-членка може да създаде връзка между сигнали, които тя въвежда в ШИС II. Ефектът от такава връзка е установяване на свързаност между два или повече сигнала.
2. Създаването на връзка не засяга специфичните мерки, които трябва да бъдат предприети въз основа на всеки свързан сигнал или срока на запазване на всеки един от свързаните сигнали.
3. Създаването на връзка не засяга правата на достъп, предвидени в настоящия регламент. Органите, които нямат право на достъп до определени категории сигнали, не могат да виждат връзка със сигнал, до който те нямат достъп.
4. Държава-членка може да създаде връзка между сигнали само при ясна оперативна потребност.
5. Връзки могат да бъдат създавани от държава-членка в съответствие с националното ѝ законодателство, при условие че са спазени принципите, изложени в настоящия член.
6. Когато държава-членка счита, че създаването от друга държава-членка на връзка между сигнали е несъвместимо с националното ѝ законодателство или с международните задължения, тя може да предприеме необходимите мерки да гарантира, че до връзката няма достъп от националната ѝ територия или от страна на нейните органи, разположени извън нейната територия.
7. Техническите правила за свързване на сигнали се приемат в съответствие с процедурата по член 51, параграф 2, без да се засягат разпоредбите на инструмента за създаване на управителния орган.
Член 38
Цел и срок на запазване на допълнителна информация
1. Държавите-членки водят регистър на решенията в бюрото Sirene с цел улесняване на обмена на допълнителна информация.
2. Личните данни, съхранявани в досиета от бюрото Sirene в резултат на обменената информация, се съхраняват само за времето, което може да бъде необходимо за постигане на целите, за които те са били предоставени. Във всеки случай те се заличават най-късно една година след заличаването на свързания с тях сигнал от ШИС II.
3. Параграф 2 не засяга правото на държава-членка да поддържа в националните картотеки данни, свързани с конкретен сигнал, който същата държава-членка е издала, или със сигнал, във връзка с който на нейна територия са били предприети действия. Срокът на съхраняване на такива данни в такива картотеки се регулира от националното законодателство.
Член 39
Прехвърляне на лични данни на трети страни
Данни, обработени в ШИС II по силата на настоящия регламент, не се прехвърлят на трети страни или на международни организации и на тези страни и организации не се предоставя достъп до тях.
ГЛАВА VI
ЗАЩИТА НА ДАННИТЕ
Член 40
Обработка на чувствителни категории данни
Обработката на категориите данни, изложени в член 8, параграф 1 от Директива 95/46/ЕО, се забранява.
Член 41
Право на достъп, поправка на неточни данни и заличаване на незаконно съхранявани данни
1. Правото на лицата да имат достъп до данни, свързани с тях, които са въведени в ШИС II в съответствие с настоящия регламент, се упражнява в съответствие със законодателството на държавата-членка, пред която те се позовават на това право.
2. Ако националното законодателство предвижда това, националният надзорен орган решава дали информацията да бъде съобщена и чрез какви процедури.
3. Държава-членка, различна от държавата-членка, която е издала сигнал, може да съобщи информация, свързана с такива данни, само ако преди това тя предостави на държавата-членка, издала сигнала, възможност да изложи своята позиция. Това се извършва чрез обмена на допълнителна информация.
4. Информацията не се съобщава на обекта на данните, ако това е неизбежно за изпълнението на законна задача във връзка със сигнал или за защита на правата и свободите на трети страни.
5. Всяко лице има право на поправка на фактически неточните данни, свързани с него, или на заличаване на незаконно съхраняваните данни, свързани с него.
6. Засегнатото лице се уведомява възможно най-рано и във всеки случай не по-късно от 60 дни от датата на подаване на молба за достъп или по-рано, ако така е предвидено в националното законодателство.
7. Лицето се уведомява за последващите мерки, които то може да предприеме за упражняване на своите права на поправка и заличаване, възможно най-рано и във всеки случай не по-късно от три месеца от датата на подаване на молба за поправка или заличаване или по-рано, ако така е предвидено в националното законодателство.
Член 42
Право на информация
1. Граждани на трети страни, които са обекти на сигнал, издаден в съответствие с настоящия регламент, се уведомяват в съответствие с членове 10 и 11 от Директива 95/46/EC. Тази информация се предоставя в писмен вид заедно с копие на националното решение по член 24, параграф 1, довело до сигнала или с позоваване на това решение.
2. Тази информация не се предоставя:
а)
когато
i)
личните данни не са били получени от въпросния гражданин на трета страна;
и
ii)
предоставянето на информацията е невъзможно или би довело до непропорционални усилия;
б)
когато въпросният гражданин на трета страна вече разполага с информацията;
в)
когато националното законодателство позволява ограничаване правото на информация, по-специално с цел опазване на националната сигурност, отбраната, обществената сигурност и с цел предотвратяване, разследване, откриване и наказателно преследване на престъпления.
Член 43
Средства за правна защита
1. Всяко лице може да заведе иск пред съдилищата или пред компетентния орган по законодателството на всяка държава-членка за получаване на достъп, поправка, заличаване или получаване на информация, или за получаване на компенсация във връзка със сигнал, свързан с него.
2. Държавите-членки се задължават взаимно да привеждат в изпълнение окончателните решения, постановени от съдилищата или органите по параграф 1, без да се засягат разпоредбите на член 48.
3. Правилата относно средствата за правна защита, предвидени в настоящия член, се оценяват от Комисията преди 17 януари 2009 г.
Член 44
Надзор на Н.ШИС II
1. Органът или органите, определени във всяка държава-членка, на които са поверени правомощията по член 28 от Директива 95/46/ЕО („националният надзорен орган“), извършва/т независимо наблюдение на законността на обработката на личните данни по линия на ШИС II на тяхна територия и на изпращането на тези данни от същата територия, както и обмена и последващата обработка на допълнителна информация.
2. Националният надзорен орган осигурява извършването на одит на операциите по обработка на данните в неговата Н.ШИС II в съответствие с международните одиторски стандарти поне веднъж на всеки четири години.
3. Държавите-членки гарантират, че техният национален надзорен орган разполага с достатъчно средства за изпълнение на задачите, които са му поверени с настоящия регламент.
Член 45
Надзор на управителния орган
1. Европейският надзорен орган по защита на данните проверява това дейностите на управителния орган по обработка на лични данни да се извършват в съответствие с настоящия регламент. Задълженията и правомощията по членове 46 и 47 от Регламент (ЕО) № 45/2001 се прилагат съответно.
2. Европейският надзорен орган по защита на данните осигурява извършването на одит на дейностите на управителния орган по обработка на личните данни в съответствие с международните одиторски стандарти. Докладът за такъв одит се изпраща на Европейския парламент, Съвета, управителния орган, Комисията и националните надзорни органи. На управителния орган се предоставя възможност да направи коментари преди приемането на доклада.
Член 46
Сътрудничество между националните надзорни органи и Европейския надзорен орган по защита на данните
1. Националните надзорни органи и Европейският надзорен орган по защита на данните в обхвата на своите правомощия си сътрудничат активно в рамките на своите отговорности и осигуряват координиран надзор на ШИС II.
2. Те, в обхвата на своите правомощия, обменят съотносима информация, взаимно си оказват съдействие при изпълнението на одити и проверки, разглеждат трудностите при тълкуването на настоящия регламент, проучват проблемите при упражняването на независим надзор или при упражняването на правата на обектите на данни, съставят хармонизирани предложения за съвместни решения на всеки проблем и насърчават информираността по отношение на правата, свързани със защитата на данни, при необходимост.
3. За тази цел националните надзорни органи и Европейският надзорен орган по защита на данните заседават поне два пъти годишно. Разходите и обслужването на тези заседания са за сметка на Европейския надзорен орган по защита на данните. Процедурните правила се приемат на първото заседание. При необходимост допълнителни работни методи се разработват съвместно. Съвместен доклад за дейностите се изпраща на Европейския парламент, Съвета, Комисията и управителния орган веднъж на всеки две години.
Член 47
Защита на данните по време на преходния период
Когато Комисията делегира своите отговорности по време на преходния период на друг орган или органи по силата на член 15, параграф 4, тя гарантира, че Европейският надзорен орган по защита на данните има правото и може да изпълнява изцяло своите задължения, включително извършването на проверки по места, и да упражнява другите си правомощия, които са му възложени с член 47 от Регламент (ЕО) № 45/2001.
ГЛАВА VII
ОТГОВОРНОСТ И САНКЦИИ
Член 48
Отговорност
1. Всяка държава-членка носи отговорност в съответствие с националното си законодателство за всяка вреда, причинена на лице, при използването на Н.ШИС II. Това се прилага също така към вреда, причинена от държавата-членка, която е издала сигнала, когато последната е въвела фактически неточни данни или незаконно е съхранявала данни.
2. Ако държавата-членка, срещу която е заведен иск, не е държавата-членка, която е издала сигнала, последната е длъжна да възстанови, при поискване, сумите, платени като компенсация, освен ако използването на данните от държавата-членка, поискала възстановяването на сумата, е в нарушение на настоящия регламент.
3. Ако неспазване от страна на държава-членка на нейните задължения по настоящия регламент причини вреда на ШИС II, държавата-членка носи отговорност за такава вреда, ако и доколкото управителният орган или друга държава-членка не са предприели разумни стъпки за предотвратяване на вредата или за свеждане на нейните последици до минимум.
Член 49
Санкции
Държавите-членки гарантират, че всяка злоупотреба с данни, въведени в ШИС II, или всеки обмен на допълнителна информация в нарушение на настоящия регламент, подлежи на ефективни, съразмерни и възпиращи санкции в съответствие с националното законодателство.
ГЛАВА VIII
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 50
Наблюдение и статистика
1. Управителният орган осигурява наличието на процедури за наблюдение на функционирането на ШИС II по отношение на целите, свързани с резултата, икономическата ефективност, сигурността и качеството на обслужването.
2. Управителният орган разполага с достъп до необходимата информация, свързана с операциите по обработка на данни, извършвани в централната ШИС II с цел техническа поддръжка, докладване и статистика.
3. Управителният орган публикува ежегодно статистика, показваща броя на записите по категории сигнали, броя на намерените съответствия по категории сигнали и брой на влизания в ШИС II, общо и за всяка държава-членка.
4. Две години след въвеждане в действие на ШИС II и на всеки две години след това, управителният орган внася в Европейския парламент и в Съвета доклад за техническото функциониране на централната ШИС II и на комуникационната инфраструктура, включително нейната сигурност и двустранния и многостранния обмен на допълнителна информация между държавите-членки.
5. Три години след въвеждане в действие на ШИС II и на всеки четири години след това Комисията изготвя цялостна оценка на централната ШИС II и на двустранния и многостранния обмен на допълнителна информация между държавите-членки. Тази цялостна оценка включва анализ на постигнатите резултати по отношение на продължаващата валидност на обосноваващата я логика, прилагането на настоящия регламент по отношение на централната ШИС II, сигурността на централната ШИС II и всички последици за бъдещите операции. Комисията изпраща оценката на Европейския парламент и на Съвета.
6. Държавите-членки предоставят на управителния орган и на Комисията необходимата информация за изготвянето на докладите по параграфи 3, 4 и 5.
7. Управителният орган предоставя на Комисията необходимата информация за изготвянето на цялостните оценки по параграф 5.
8. По време на преходния период, преди управителният орган да поеме своите отговорности, Комисията отговаря за изготвянето и внасянето на докладите по параграфи 3 и 4.
Член 51
Комитет
1. Комисията се подпомага от комитет.
2. Когато се прави позоваване на настоящия параграф, се прилагат членове 5 и 7 от Решение 1999/468/ЕО, като се вземат предвид разпоредбите на член 8 от него.
Срокът, посочен в член 5, параграф 6 от Решение 1999/468/ЕО се определя на три месеца.
3. Комитетът упражнява своите функции от датата на влизане в сила на настоящия регламент.
Член 52
Изменение на разпоредбите на достиженията на правото от Шенген
1. За целите на въпросите, които попадат в обхвата на Договора, настоящият регламент замества, считано от датата, посочена в член 55, параграф 2, разпоредбите на членове 92-119 от Шенгенската конвенция, с изключение на член 102а от нея.
2. Той също така замества, считано от датата, посочена в член 55, параграф 2, следните разпоредби на достиженията на правото от Шенген за прилагане на посочените членове (20):
а)
Решение на Изпълнителния комитет от 14 декември 1993 г. относно финансовия регламент за разходите по инсталиране и функциониране на Шенгенската информационна система (Ц.ШИС) (SCH/Com-ex (93) 16);
б)
Решение на Изпълнителния комитет от 7 октомври 1997 г. относно разработването на ШИС (SCH/Com-ex (97) 24);
в)
Решение на Изпълнителния комитет от 15 декември 1997 г. за изменение на Финансовия регламент за Ц.ШИС (SCH/Com-ex (97) 35);
г)
Решение на Изпълнителния комитет от 21 април 1998 г. относно Ц.ШИС с 15/18 връзки (SCH/Com-ex (98) 11);
д)
Решение на Изпълнителния комитет от 28 април 1999 г. относно инсталационните разходи на Ц.ШИС (SCH/Com-ex (99) 4);
е)
Решение на Изпълнителния комитет от 28 април 1999 г. за актуализиране на наръчника Sirene (SCH/Com-ex (99) 5);
ж)
Декларация на Изпълнителния комитет от 18 април 1996 г. за определяне на понятието „чужденец“ (SCH/Com-ex (96) decl. 5);
з)
Декларация на Изпълнителния комитет 28 април 1999 г. относно структурата на ШИС (SCH/Com-ex (99) decl. 2 rev.);
и)
Решение на Изпълнителния комитет от 7 октомври 1997 г. относно участието на Норвегия и Исландия в разходите по инсталирането и функционирането на Ц.ШИС (SCH/Com-ex (97) 18).
3. За целите на въпросите, които попадат в обхвата на Договора, позоваването на заменените разпоредби на Шенгенската конвенция и съответните разпоредби на достиженията на правото от Шенген за прилагане на тези членове се счита за позоваване на настоящия регламент.
Член 53
Отмяна
Регламент (ЕО) № 378/2004, Регламент (ЕО) № 871/2004, Решение 2005/451/ПВР, Решение 2005/728/ПВР и Решение 2006/628/ЕО се отменят, считано от датата, посочена в член 55, параграф 2.
Член 54
Преходен период и бюджет
1. Сигналите се прехвърлят от ШИС 1 + към ШИС II. Държавите-членки гарантират, като дават приоритет на сигнали за лица, че съдържанието на сигналите, които се прехвърлят от ШИС 1 + към ШИС II, отговарят на изискванията на настоящия регламент възможно най-рано и най-късно в тригодишен срок от датата, посочена в член 55, параграф 2. По време на преходния период държавите-членки могат да продължат да прилагат разпоредбите на членове 94 и 96 от Шенгенската конвенция към съдържанието на сигналите, които се прехвърлят от ШИС 1 + към ШИС II, при спазване на следните правила:
а)
в случай на изменение на, добавяне към или поправка, или актуализиране на съдържанието на сигнал, който се прехвърля от ШИС 1 + към ШИС II, държавите-членки гарантират, че сигналът отговаря на изискванията на настоящия регламент от момента на това изменение, добавяне, поправка или актуализиране;
б)
в случай на намерено съответствие на сигнал, който се прехвърля от ШИС 1 + към ШИС II, държавите-членки проверяват съвместимостта на такъв сигнал с изискванията на настоящия регламент незабавно, но без да забавят предприемането на мерки въз основа на този сигнал.
2. Остатъкът от бюджета към датата, определена в съответствие с член 55, параграф 2, който е бил одобрен в съответствие с разпоредбите на член 119 от Шенгенската конвенция се възстановява на държавите-членки. Размерът на сумите, които се възстановяват, се изчислява на основата на вноските на държавите-членки съгласно определеното в решението на изпълнителния комитет от 14 декември 1993 г. относно финансовия регламент на разходите по инсталирането и функционирането на Шенгенската информационна система.
3. По време на преходния период по член 15, параграф 3 позоваванията в настоящия регламент на управителния орган се считат за позоваване на Комисията.
Член 55
Влизане в сила, приложимост и миграция
1. Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
2. Той се прилага към държавите-членки, участващи в ШИС 1 + от датите, които ще бъдат определени от Съвета с единодушие на неговите членове, представляващи правителствата на държавите-членки, участващи в ШИС 1+.
3. Датите по параграф 2 се определят след:
а)
приемането на необходимите мерки за прилагане;
б)
като всички държави-членки, участващи напълно в ШИС 1 +, са уведомили Комисията, че са предприели необходимите технически и правни мерки за обработка на данни по линия на ШИС II и за обмен на допълнителна информация;
в)
като Комисията е обявила успешното приключване на цялостното изпитание на ШИС II, което ще се извърши от Комисията заедно с държавите-членки и подготвителните органи на Съвета са потвърдили, че равнището на изпълнението на ШИС II е поне равностойно на това, постигнато от ШИС 1 +;
г)
Комисията е предприела необходимите технически мерки, които да позволят свързването на централната ШИС II с Н.ШИС II на съответните държави-членки.
4. Комисията уведомява Европейския парламент за резултатите от изпитванията, проведени в съответствие с параграф 3, буква в).
5. Решенията на Съвета, приети в съответствие с параграф 2, се публикуват в Официален вестник на Европейския съюз.
Настоящият регламент е задължителен в своята цялост и се прилага пряко в държавите-членки в съответствие с Договора за създаване на Европейската общност.
Съставено в Брюксел на 20 декември 2006 година.
RÈGLEMENT (CE) N o 1987/2006 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 20 décembre 2006
sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II)
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,
vu le traité instituant la Communauté européenne, et notamment son article 62, paragraphe 2, point a), son article 63, paragraphe 3, point b), et son article 66,
vu la proposition de la Commission,
statuant conformément à la procédure visée à l'article 251 du traité (1),
considérant ce qui suit:
(1)
Le système d'information Schengen (le «SIS»), créé conformément aux dispositions du titre IV de la convention d'application de l'accord de Schengen du 14 juin 1985 entre les gouvernements des États de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, signée le 19 juin 1990 (2)«convention de Schengen») et son développement, le SIS 1+, constituent un outil essentiel pour l'application des dispositions de l'acquis de Schengen, intégré dans le cadre de l'Union européenne.
(2)
La Commission a été chargée du développement du SIS de deuxième génération (le «SIS II») par le règlement (CE) no 2424/2001 du Conseil (3) et la décision 2001/886/JAI du Conseil (4) du 6 décembre 2001 relatifs au développement du système d'information de Schengen de deuxième génération (SIS II). Le SIS II remplacera le SIS tel que créé par la convention de Schengen.
(3)
Le présent règlement constitue la base législative requise pour régir le SIS II dans les domaines relevant du traité instituant la Communauté européenne (le «traité»). La décision 2006/…/JAI du Conseil du… sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II) (5)constitue la base législative requise pour régir le SIS II dans les domaines relevant du traité sur l'Union européenne.
(4)
Le fait que la base législative requise pour régir le SIS II comporte deux instruments séparés n'affecte pas le principe selon lequel le SIS II constitue un système d'information unique qui devrait fonctionner en tant que tel. Certaines dispositions de ces instruments devraient par conséquent être identiques.
(5)
Le SIS II devrait constituer une mesure compensatoire qui contribue au maintien d'un niveau élevé de sécurité dans un espace de liberté, de sécurité et de justice de l'UE par le soutien qu'il apporte à la mise en œuvre des politiques qui sont rattachées à la libre circulation des personnes et font partie de l'acquis de Schengen, tel qu'intégré au titre IV, chapitre 3, du traité.
(6)
Il est nécessaire de préciser les objectifs du SIS II, son architecture technique et de financement, de fixer des règles concernant son fonctionnement, son utilisation et de définir les responsabilités y afférentes, ainsi que les catégories de données à introduire dans le système, les finalités et les critères de leur introduction, les autorités qui sont autorisées à y avoir accès, la mise en relation des signalements, de même que des règles complémentaires concernant le traitement des données et la protection des données à caractère personnel.
(7)
Le SIS II comprendra un système central (SIS II central) et des applications nationales. Les dépenses liées au fonctionnement du SIS II central et de l'infrastructure de communication devraient être inscrites au budget général de l'Union européenne.
(8)
Il est nécessaire de rédiger un manuel qui contiendrait des règles détaillées sur l'échange d'informations supplémentaires concernant la conduite à observer à la suite de signalements. Les autorités nationales de chaque État membre devraient assurer cet échange d'informations.
(9)
Pendant une période transitoire, la Commission devrait être chargée de la gestion opérationnelle du SIS II central et de différentes parties de l'infrastructure de communication. Elle peut néanmoins, afin d'assurer une transition en douceur vers le SIS II, déléguer ces responsabilités ou certaines d'entre elles à deux organismes publics nationaux. À long terme, à la suite d'une analyse d'impact comprenant une analyse approfondie des solutions de remplacement d'un point de vue financier, opérationnel et organisationnel et de propositions législatives de la Commission, il conviendrait de mettre en place une instance gestionnaire qui sera chargée de ces tâches. La période transitoire ne devrait pas dépasser cinq ans à compter de la date à partir de laquelle le présent règlement s'appliquera.
(10)
Le SIS contiendra des signalements aux fins de non-admission ou d'interdiction de séjour. Il y a nécessité de continuer à envisager une harmonisation des dispositions relatives aux motifs justifiant l'introduction de signalements de ressortissants de pays tiers à des fins de non-admission ou d'interdiction de séjour et de préciser leur utilisation dans le cadre des politiques en matière d'asile, d'immigration et de retour. En conséquence, la Commission devrait réexaminer, trois ans à compter de la date à partir de laquelle le présent règlement s'appliquera, les dispositions relatives aux objectifs des signalements introduits aux fins de nonadmission ou d'interdiction de séjour et aux conditions auxquelles ils sont soumis.
(11)
Les signalements aux fins de non-admission ou d'interdiction de séjour ne devraient pas être conservés dans le SIS II pour une durée plus longue que le temps nécessaire à la réalisation des objectifs pour lesquels ils ont été fournis. En principe, ils devraient être automatiquement effacés du SIS II après trois ans. Toute décision de conserver un signalement pour une plus longue période devrait se fonder sur une évaluation individuelle complète. Les États membres devraient réexaminer ces signalements dans ce délai de trois ans et tenir des statistiques concernant le nombre de signalements dont la durée de conservation a été prolongée.
(12)
Le SIS II devrait permettre le traitement des données biométriques afin d'aider à l'identification correcte des personnes concernées. À cet égard, le SIS II devrait également permettre le traitement de données relatives à des personnes dont l'identité a été usurpée, de manière à éviter les problèmes que pourraient causer des erreurs d'identification, sous réserve de garanties adaptées, en particulier le consentement des personnes concernées et une stricte limitation des fins auxquelles ces données peuvent être licitement traitées.
(13)
Il devrait être possible pour les États membres de mettre en relation les signalements dans le SIS II. Cette mise en relation par un État membre de deux signalements ou plus ne devrait avoir aucun effet sur la conduite à tenir, la durée de conservation ou les droits d'accès aux signalements.
(14)
Les données traitées dans le SIS II en application du présent règlement ne devraient pas être transférées à des pays tiers ou à des organisations internationales ni mises à leur disposition.
(15)
La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (6) s'applique au traitement des données à caractère personnel effectué en application du présent règlement. Cela inclut la désignation du contrôleur et la possibilité pour les États membres de prévoir des exceptions et limitations à certains des droits et obligations prévus par ladite directive, notamment pour ce qui est des droits d'accès et d'information de la personne concernée. Les principes énoncés dans la directive 95/46/CE devraient, le cas échéant, être complétés ou précisés dans le présent règlement.
(16)
Le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (7), et notamment ses dispositions relatives à la confidentialité et à la sécurité des traitements, s'applique au traitement des données à caractère personnel par des institutions ou organes communautaires lorsqu'ils agissent en tant que responsables dans l'exercice de leurs missions en tant que responsables de la gestion opérationnelle du SIS II. Les principes consacrés par le règlement (CE) no 45/2001 devraient, le cas échéant, être complétés ou précisés dans le présent règlement.
(17)
En ce qui concerne la confidentialité, les dispositions pertinentes du statut des fonctionnaires des Communautés européennes et du régime applicable aux autres agents des Communautés européennes devraient s'appliquer aux fonctionnaires et autres agents employés et travaillant en liaison avec le SIS II.
(18)
Il convient que les autorités de contrôle nationales vérifient la licéité du traitement, par les États membres, des données à caractère personnel, tandis que le contrôleur européen de la protection des données, nommé en vertu de la décision 2004/55/CE du Parlement européen et du Conseil du 22 décembre 2003 portant nomination de l'autorité de contrôle indépendante prévue à l'article 286 du traité CE (8), devrait contrôler les activités des institutions et organes communautaires en rapport avec le traitement de données à caractère personnel, à la lumière des tâches limitées des institutions et organes communautaires en ce qui concerne les données elles-mêmes.
(19)
Tant les États membres que la Commission devraient élaborer un plan de sécurité visant à faciliter une mise en œuvre des obligations en matière de sécurité, ainsi que coopérer de manière à traiter les questions de sécurité dans une perspective commune.
(20)
Pour assurer la transparence, la Commission ou, lorsqu'elle a été instituée, l'instance gestionnaire, devrait présenter tous les deux ans un rapport sur le fonctionnement technique du SIS II central et de l'infrastructure de communication, y compris la sécurité qu'elle offre, et sur les échanges d'informations supplémentaires. La Commission devrait procéder à une évaluation globale tous les quatre ans.
(21)
De par leur nature technique, leur niveau de précision et la nécessité d'effectuer des mises à jour à intervalles réguliers, certains aspects du SIS II, notamment les règles techniques concernant l'introduction de données, y compris de données nécessaires à l'introduction de signalements, les mises à jour, les suppressions et les consultations, les règles de compatibilité et de priorité entre les signalements, la mise en relation des signalements et l'échange d'informations supplémentaires, ne peuvent être couverts de manière exhaustive par les dispositions du présent règlement. Les compétences d'exécution relatives à ces aspects devraient par conséquent être déléguées à la Commission. Les règles techniques concernant les consultations de signalements devraient tenir compte du bon fonctionnement des applications nationales. Sous réserve d'une analyse d'impact lancée par la Commission, on décidera de la mesure dans laquelle les mesures d'application pourraient relever de la responsabilité de l'instance gestionnaire, dès sa mise en place.
(22)
Il y a lieu d'arrêter les mesures nécessaires pour la mise en œuvre du présent règlement en conformité avec la décision 1999/468/CE du Conseil du 28 juin 1999 fixant les modalités de l'exercice des compétences d'exécution conférées à la Commission (9).
(23)
Il convient d'arrêter des dispositions transitoires pour ce qui est des signalements effectués dans le SIS 1+ qui doivent être transférés au SIS II. Certaines dispositions de l'acquis de Schengen devraient continuer à s'appliquer pendant une période limitée, jusqu'à ce que les États membres aient examiné la compatibilité des signalements avec le nouveau cadre juridique. La compatibilité des signalements relatifs aux personnes devrait être examinée en priorité. De plus, toute modification, tout ajout, toute correction ou toute mise à jour d'un signalement transféré du SIS 1+ au SIS II, ainsi que toute réponse positive à un tel signalement, devrait déclencher un examen immédiat de sa compatibilité avec les dispositions du présent règlement.
(24)
Il est nécessaire de prévoir des dispositions spécifiques concernant le reliquat du budget assigné aux activités du SIS qui ne fait pas partie du budget général de l'Union européenne.
(25)
Étant donné que les objectifs de l'action envisagée, à savoir l'établissement d'un système d'information commun et la fixation de règles applicables à ce dernier, ne peuvent pas être réalisés de manière suffisante par les États membres et peuvent donc, en raison des dimensions ou des effets de cette action, être mieux réalisés au niveau communautaire, la Communauté peut arrêter des mesures, conformément au principe de subsidiarité tel qu'énoncé à l'article 5 du traité. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre ces objectifs.
(26)
Le présent règlement respecte les droits fondamentaux et observe les principes reconnus, notamment, par la Charte des droits fondamentaux de l'Union européenne.
(27)
Conformément aux articles 1er et 2 du protocole sur la position du Danemark annexé au traité sur l'Union européenne et au traité instituant la Communauté européenne, le Danemark ne participe pas à l'adoption du présent règlement, et n'est pas lié par celui-ci ni soumis à son application. Le présent règlement visant à développer l'acquis de Schengen en application des dispositions du titre IV de la troisième partie du traité, le Danemark décidera, conformément à l'article 5 dudit protocole, dans un délai de six mois après l'adoption du présent règlement, s'il le transpose dans son droit national.
(28)
Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles le Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil du 29 mai 2000 relative à la demande du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de participer à certaines dispositions de l'acquis de Schengen (10); le Royaume-Uni ne participe donc pas à l'adoption de cet acte et n'est pas lié par celui-ci ni soumis à son application.
(29)
Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne participe pas, conformément à la décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l'Irlande de participer à certaines dispositions de l'acquis de Schengen (11); l'Irlande ne participe donc pas à l'adoption de cet acte et n'est pas liée par celui-ci ni soumise à son application.
(30)
Le présent règlement est sans préjudice des modalités de participation partielle du Royaume-Uni et de l'Irlande à l'acquis de Schengen, telles qu'elles sont définies respectivement dans les décisions 2000/365/CE et 2002/192/CE.
(31)
En ce qui concerne l'Islande et la Norvège, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord conclu par le Conseil de l'Union européenne, la République d'Islande et le Royaume de Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen (12), qui relève du domaine visé à l'article 1er, point G, de la décision 1999/437/CE du Conseil du 17 mai 1999 relative à certaines modalités d'application de cet accord (13).
(32)
Il y a lieu de conclure un arrangement pour permettre à des représentants de l'Islande et de la Norvège d'être associés aux travaux des comités assistant la Commission dans l'exercice de ses compétences d'exécution. Un tel arrangement a été envisagé dans l'échange de lettres entre le Conseil de l'Union européenne et la République d'Islande et le Royaume de Norvège concernant les comités qui assistent la Commission européenne dans l'exercice de ses pouvoirs exécutifs (14), qui est annexé à l'accord susvisé.
(33)
En ce qui concerne la Suisse, le présent règlement constitue un développement des dispositions de l'acquis de Schengen au sens de l'accord signé entre l'Union européenne, la Communauté européenne et la Confédération suisse sur l'association de la Confédération suisse à la mise en œuvre, à l'application et au développement de l'acquis de Schengen, qui relèvent des domaines visés à l'article 1er, point G, de la décision 1999/437/CE, lu en liaison avec l'article 4, paragraphe 1, des décisions 2004/849/CE (15) et 2004/860/CE (16).
(34)
Il y a lieu de conclure un arrangement pour permettre à des représentants de la Suisse d'être associés aux travaux des comités assistant la Commission dans l'exercice de ses compétences d'exécution. Un tel arrangement a été envisagé dans l'échange de lettres entre la Communauté et la Suisse, qui est annexé à l'accord susvisé.
(35)
Le présent règlement constitue un acte fondé sur l'acquis de Schengen ou qui s'y rapporte, au sens de l'article 3, paragraphe 2, de l'acte d'adhésion de 2003.
(36)
Le présent règlement devrait s'appliquer au Royaume-Uni et à l'Irlande à des dates fixées conformément aux procédures prévues dans les instruments pertinents concernant l'application de l'acquis de Schengen aux États précités,
ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
CHAPITRE I
DISPOSITIONS GÉNÉRALES
Article premier
Établissement et objectif général du SIS II
1. Il est institué un Système d'information Schengen de deuxième génération (le «SIS II»).
2. L'objet du SIS II, conformément aux dispositions du présent règlement, est d'assurer un niveau élevé de sécurité dans l'espace de liberté, de sécurité et de justice de l'Union européenne, y compris la préservation de la sécurité publique et de l'ordre public et la sauvegarde de la sécurité sur les territoires des États membres, ainsi que d'appliquer les dispositions du titre IV, chapitre 3, du traité relatives à la libre circulation des personnes sur les territoires des États membres, à l'aide des informations transmises par ce système.
Article 2
Champ d'application
1. Le présent règlement établit les conditions et les procédures relatives à l'introduction et au traitement dans le SIS II des signalements de ressortissants de pays tiers, ainsi qu'à l'échange d'informations supplémentaires et de données complémentaires aux fins de non-admission ou d'interdiction de séjour dans les États membres.
2. Le présent règlement contient également des dispositions concernant l'architecture technique du SIS II et les responsabilités incombant aux États membres et à l'instance gestionnaire visée à l'article 15, des règles générales sur le traitement des données, ainsi que des dispositions sur les droits des personnes concernées et sur la responsabilité.
Article 3
Définitions
Aux fins du présent règlement, on entend par:
a)
«signalement», un ensemble de données introduites dans le SIS II permettant aux autorités compétentes d'identifier une personne en vue de tenir une conduite particulière à son égard;
b)
«informations supplémentaires», les informations non stockées dans le SIS II, mais en rapport avec des signalements introduits dans le SIS II, qui doivent être échangées:
i)
afin de permettre aux États membres de se consulter ou de s'informer mutuellement lors de l'introduction d'un signalement;
ii)
à la suite d'une réponse positive afin que la conduite à tenir demandée puisse être exécutée;
iii)
en cas d'impossibilité d'exécuter la conduite à tenir demandée;
iv)
en ce qui concerne la qualité des données du SIS II;
v)
en ce qui concerne la compatibilité et la priorité des signalements;
vi)
en ce qui concerne l'exercice du droit d'accès.
c)
«données complémentaires», les données stockées dans le SIS II et en rapport avec des signalements introduits dans le SIS II, qui doivent être immédiatement accessibles aux autorités compétentes lorsque les personnes au sujet desquelles des données ont été introduites dans le SIS II sont localisées à la suite de consultations effectuées dans ce système;
d)
«ressortissant d'un pays tiers», toute personne qui n'est ni:
i)
citoyen de l'Union européenne au sens de l'article 17, paragraphe 1, du traité, ni
ii)
ressortissant d'un pays tiers jouissant, en vertu d'accords entre la Communauté et ses États membres, d'une part, et le pays en question, d'autre part, de droits de libre circulation équivalents à ceux des citoyens de l'Union européenne;
e)
«données à caractère personnel», toute information concernant une personne physique identifiée ou identifiable («personne concernée»); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement;
f)
«traitement de données à caractère personnel» («traitement»), toute opération ou ensemble d'opérations, effectuées ou non à l'aide de procédés automatisés, et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.
Article 4
Architecture technique et mode de fonctionnement du SIS II
1. Le SIS II se compose:
a)
d'un système central (le «SIS II central») comprenant:
-
une fonction de support technique (le «CS-CIS») contenant la base de données du SIS II;
-
une interface nationale uniforme (le «NI-SIS»);
b)
d'un système national (le «N. SIS II») dans chaque État membre, constituée des systèmes de données nationaux reliés au SIS II central. Un N. SIS II peut contenir un fichier de données (une «copie nationale») comprenant une copie complète ou partielle de la base de données du SIS II;
c)
d'une infrastructure de communication entre le CS-SIS et la NI-SIS (l'«infrastructure de communication»), fournissant un réseau virtuel crypté consacré aux données du SIS II et à l'échange de données entre les bureaux SIRENE visés à l'article 7, paragraphe 2.
2. Les données du SIS II sont introduites, mises à jour, supprimées et consultées par le biais des différents systèmes N. SIS II. Une copie nationale est disponible pour effectuer des interrogations automatisées sur le territoire de chacun des États membres utilisant une telle copie. Il n'est pas possible de consulter les fichiers de données des N. SIS II des autres États membres.
3. Le CS-SIS, qui assure le contrôle et la gestion techniques, est installé à Strasbourg (France) et un CS-SIS de secours, capable d'assurer l'ensemble des fonctionnalités du CS-SIS principal en cas de défaillance de celui-ci, est installé à Sankt Johann im Pongau (Autriche).
4. Le CS-SIS assure les services nécessaires à l'introduction et au traitement des données du SIS II, y compris les consultations dans la base de données du SIS II. Pour les États membres qui utilisent une copie nationale, le CS-SIS assure:
a)
la mise à jour en ligne de la copie nationale;
b)
la synchronisation et la cohérence entre la copie nationale et la base de données du SIS II;
c)
les opérations d'initialisation et de restauration de la copie nationale.
Article 5
Coûts
1. Les coûts de mise en place, d'exploitation et de maintenance du SIS II central et de l'infrastructure de communication sont à la charge du budget général de l'Union européenne.
2. Ces coûts comprennent les travaux effectués concernant le CS-SIS afin d'assurer la fourniture des services visés à l'article 4, paragraphe 4.
3. Les coûts de mise en place, d'exploitation et de maintenance de chaque N. SIS II sont à la charge de l'État membre concerné.
CHAPITRE II
RESPONSABILITÉS INCOMBANT AUX ÉTATS MEMBRES
Article 6
Systèmes nationaux
Chaque État membre est chargé de mettre en place et d'exploiter son N. SIS II et d'en assurer la maintenance et de connecter son N. SIS II à la NI-SIS.
Article 7
Office N. SIS II et bureau SIRENE
1. Chaque État membre désigne une instance (l'«office N. SIS II») qui assume la responsabilité centrale du N. SIS II. Cette instance est responsable du bon fonctionnement et de la sécurité du N. SIS II, fait en sorte que les autorités compétentes aient accès au SIS II et prend les mesures nécessaires pour assurer le respect des dispositions du présent règlement. Chaque État membre transmet ses signalements par l'intermédiaire de son office N. SIS II.
2. Chaque État membre désigne l'instance chargée de l'échange de toutes les informations supplémentaires (le «bureau SIRENE»), conformément aux dispositions du manuel SIRENE, tel que visé à l'article 8.
Ces bureaux coordonnent également la vérification de la qualité des informations introduites dans le SIS II. À ces fins, ils ont accès aux données traitées dans le SIS II.
3. Les États membres communiquent à l'instance gestionnaire les coordonnées de leur office N. SIS II et de leur bureau SIRENE. L'instance gestionnaire publie la liste de ces coordonnées ainsi que celle visée à l'article 31, paragraphe 8.
Article 8
Échange d'informations supplémentaires
1. Les informations supplémentaires sont échangées conformément aux dispositions d'un manuel appelé «le Manuel SIRENE» et au moyen de l'infrastructure de communication. Au cas où l'infrastructure de communication ne serait pas accessible, les États membres peuvent utiliser d'autres moyens techniques correctement sécurisés pour échanger des informations supplémentaires.
2. Ces informations sont utilisées uniquement aux fins auxquelles elles ont été transmises.
3. Les États membres répondent dans les meilleurs délais aux demandes d'informations supplémentaires adressées par les autres États membres.
4. Les modalités relatives à l'échange d'informations supplémentaires sont adoptées conformément à la procédure visée à l'article 51, paragraphe 2, sous la forme du«Manuel SIRENE», sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire.
Article 9
Conformité technique
1. Afin de permettre une transmission rapide et efficace des données, chaque État membre applique, lors de la création de son N. SIS II, les protocoles et les procédures techniques établis afin de permettre la compatibilité de son N. SIS II avec le CS-SIS. Ces protocoles et ces procédures techniques sont établis conformément à la procédure visée à l'article 51, paragraphe 2, sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire.
2. Si un État membre utilise une copie nationale, il veille, au moyen des services fournis par le CS-SIS, à ce que les données stockées dans la copie nationale soient identiques et compatibles avec la base de données du SIS II au moyen des mises à jour automatiques visées à l'article 4, paragraphe 4 et à ce qu'une consultation de cette copie produise un résultat équivalent à celui d'une consultation dans la base de données du SIS II.
Article 10
Sécurité - États membres
1. Chaque État membre adopte, pour son N. SIS II, les mesures, y compris un plan de sécurité, propres à:
a)
protéger physiquement les données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;
b)
empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations);
c)
empêcher que des supports de données puissent être lus, copiés, modifiés ou éloignés par une personne non autorisée (contrôle des supports de données);
d)
empêcher l'introduction non autorisée dans le fichier, ainsi que toute consultation, toute modification ou tout effacement non autorisés de données à caractère personnel intégrées (contrôle du stockage);
e)
empêcher que des systèmes de traitement automatisé de données puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs);
f)
garantir que, pour l'utilisation d'un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu'aux données pour lesquelles elles ont une autorisation d'accès et uniquement grâce à des identités d'utilisateur individuelles et uniques ainsi qu'à des modes d'accès confidentiels (contrôle de l'accès aux données);
g)
garantir que toutes les autorités ayant un droit d'accès au SIS II ou aux installations de traitement de données créent des profils décrivant les tâches et responsabilités qui incombent aux personnes habilités en matière d'accès, d'introduction, de mise à jour, de suppression et de consultation des données et mettent sans tarder et à leur demande ces profils à la disposition des autorités de contrôle nationales visées à l'article 44, paragraphe 1 (profils des membres du personnel);
h)
garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel peuvent être transmises par des installations de transmission de données (contrôle de la transmission);
i)
garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment, par qui et à quelle fin (contrôle de l'introduction);
j)
empêcher, en particulier par des techniques de cryptage adaptées, que, lors de la transmission de données à caractère personnel ou du transport de support de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée (contrôle du transport);
k)
contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures d'organisation en matière de contrôle interne qui sont nécessaires au respect du présent règlement (autocontrôle).
2. Les États membres prennent des mesures équivalentes à celles visées au paragraphe 1, en matière de sécurité des échanges d'informations supplémentaires.
Article 11
Confidentialité - États membres
Chaque État membre applique à l'égard de toutes les personnes et instances appelées à travailler avec des données du SIS II et des informations supplémentaires ses règles relatives au secret professionnel ou à toute obligation de confidentialité équivalente, conformément à sa législation nationale. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après que ces instances ont cessé leur activité.
Article 12
Conservation des enregistrements au niveau national
1. Les États membres qui n'utilisent pas de copies nationales veillent à ce que tout accès aux données à caractère personnel et tout échange de ces données dans le CS-SIS soient enregistrés dans leur N. SIS II afin de pouvoir contrôler la licéité de la consultation et la licéité du traitement des données, d'assurer un autocontrôle et le bon fonctionnement du N. SIS II, ainsi que l'intégrité et la sécurité des données.
2. Les États membres qui utilisent des copies nationales veillent à ce que tout accès aux données du SIS II et tout échange de ces données soient enregistrés aux fins mentionnées au paragraphe 1. Ceci n'est pas applicable aux traitements visés à l'article 4, paragraphe 4.
3. Les enregistrements indiquent, en particulier, l'historique des signalements, la date et l'heure de la transmission des données, les données utilisées pour effectuer une consultation, la référence des données transmises et le nom de l'autorité compétente et de la personne responsable du traitement des données.
4. Les enregistrements ne peuvent être utilisés qu'aux fins prévues aux paragraphes 1 et 2 et sont effacés au plus tôt après une période d'un an et au plus tard après une période de trois ans suivant leur création. Les enregistrements contenant l'historique des signalements sont effacés après une période d'un à trois ans suivant la suppression des signalements.
5. Les enregistrements peuvent être conservés plus longtemps s'ils sont nécessaires à une procédure de contrôle déjà engagée.
6. Les autorités nationales compétentes chargées de contrôler la licéité ou non des consultations, d'assurer un autocontrôle et le bon fonctionnement du N. SIS II, ainsi que l'intégrité et la sécurité des données, ont accès, dans les limites de leurs compétences et sur demande, à ces enregistrements afin de pouvoir s'acquitter de leurs tâches.
Article 13
Autocontrôle
Les États membres veillent à ce que chaque autorité autorisée à avoir accès aux données du SIS II prenne les mesures nécessaires pour se conformer au présent règlement et coopère, le cas échéant, avec l'autorité de contrôle nationale.
Article 14
Formation du personnel
Avant d'être autorisé à traiter des données stockées dans le SIS II, le personnel des autorités ayant un droit d'accès au SIS II reçoit une formation appropriée concernant les règles en matière de sécurité et de protection des données et est informé des infractions et des sanctions pénales éventuelles en la matière.
CHAPITRE III
RESPONSABILITÉS INCOMBANT À L'INSTANCE GESTIONNAIRE
Article 15
Gestion opérationnelle
1. Après une période transitoire, une instance gestionnaire, dont le financement est assuré par le budget général de l'Union européenne, est chargée de la gestion opérationnelle du SIS II central. L'instance gestionnaire veille, en collaboration avec les États membres, à ce que le SIS II central utilise en permanence la meilleure technologie disponible, sous réserve d'une analyse coûts-avantages.
2. Il incombe aussi à l'instance gestionnaire d'assurer les tâches ci-après, liées à l'infrastructure de communication:
a)
supervision,
b)
sécurité,
c)
coordination des relations entre les États membres et le fournisseur.
3. La Commission est chargée de toutes les autres tâches liées à l'infrastructure de communication, en particulier les tâches suivantes:
a)
tâches relatives à la mise en œuvre du budget,
b)
acquisition et renouvellement,
c)
questions contractuelles.
4. Au cours d'une période transitoire avant que l'instance gestionnaire n'assume ses responsabilités, la Commission est chargée de la gestion opérationnelle du SIS II central. Conformément au règlement (CE, Euratom) no 1605/2002 du Conseil du 25 juin 2002 portant règlement financier applicable au budget général des Communautés européennes (17), la Commission peut déléguer cette tâche et les tâches de mise en œuvre du budget à des organismes publics nationaux, dans deux pays différents.
5. Chacun des organismes publics nationaux visés au paragraphe 4 doit satisfaire en particulier aux critères de sélection suivants:
a)
justifier d'une expérience de longue date acquise dans la gestion d'un système d'information à grande échelle ayant les fonctionnalités visées à l'article 4, paragraphe 4;
b)
posséder un savoir-faire remarquable en ce qui concerne les exigences de fonctionnement et de sécurité d'un système d'information ayant des fonctionnalités comparables à celles visées à l'article 4, paragraphe 4;
c)
disposer d'un personnel suffisant et expérimenté ayant les qualifications professionnelles et linguistiques requises pour travailler dans un environnement de coopération internationale tel que celui qui est requis par le SIS II;
d)
disposer d'infrastructures sécurisées et adaptées à ses besoins, qui soient notamment en mesure de prendre le relais de systèmes TI à grande échelle et d'en assurer le fonctionnement continu;
et
e)
œuvrer dans un contexte administratif qui lui permette de s'acquitter adéquatement de ses tâches et d'éviter tout conflit d'intérêts.
6. Avant toute délégation telle que visée au paragraphe 4, et à intervalles réguliers par la suite, la Commission informe le Parlement européen et le Conseil des conditions de la délégation, de son champ d'application et des organismes auxquels des tâches sont déléguées.
7. Dans le cas où, conformément au paragraphe 4, la Commission délègue sa responsabilité au cours de la période transitoire, elle veille à ce que cette délégation respecte pleinement les limites fixées par le système institutionnel énoncé dans le traité. Elle veille, en particulier, à ce que cette délégation ne porte pas préjudice à tout mécanisme permettant un contrôle effectif exercé, en vertu du droit communautaire, par la Cour de justice, la Cour des comptes ou le contrôleur européen de la protection des données.
8. La gestion opérationnelle du SIS II central comprend toutes les tâches nécessaires pour que SIS II central puisse fonctionner 24 heures sur 24, 7 jours sur 7, conformément au présent règlement, en particulier les travaux de maintenance et les développements techniques indispensables au bon fonctionnement du système.
Article 16
Sécurité
1. L'instance gestionnaire et la Commission adoptent, respectivement pour le SIS II central et l'infrastructure de communication, les mesures, y compris un plan de sécurité, propres à:
a)
assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;
b)
empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations);
c)
empêcher la lecture, la reproduction, la modification ou l'extraction des supports de données par une personne non autorisée (contrôle des supports de données);
d)
empêcher l'introduction non autorisée de données dans le fichier ainsi que toute inspection, modification ou effacement non autorisés de données à caractère personnel enregistrées (contrôle du stockage);
e)
empêcher que des systèmes de traitement automatisé de données puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs);
f)
garantir que, pour l'utilisation d'un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu'aux données relevant de leur compétence et uniquement grâce à des identités d'utilisateur individuelles et uniques ainsi qu'à des modes d'accès confidentiels (contrôle de l'accès aux données);
g)
créer des profils décrivant les tâches et responsabilités qui incombent aux personnes habilités en matière d'accès aux données ou aux installations de traitement de données et à mettre sans tarder et à sa demande ces profils à la disposition du contrôleur européen de la protection des données, mentionné à l'article 45 (profils des membres du personnel);
h)
garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel peuvent être transmises par des installations de transmission de données (contrôle de la transmission);
i)
garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment et par qui (contrôle de l'introduction);
j)
empêcher, en particulier par des techniques de cryptage adaptées, que, lors de la transmission de données à caractère personnel ou du transport de supports de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée (contrôle du transport);
k)
contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures d'organisation en matière de contrôle interne qui sont nécessaires au respect du présent règlement (autocontrôle).
2. L'instance gestionnaire prend des mesures équivalentes à celles visées au paragraphe 1 concernant la sécurité de l'échange d'informations supplémentaires par le biais de l'infrastructure de communication.
Article 17
Confidentialité - Instance gestionnaire
1. Sans préjudice de l'article 17 du statut des fonctionnaires des Communautés européennes, l'instance gestionnaire applique des règles appropriées en matière de secret professionnel, ou impose des obligations de confidentialité équivalentes, qui s'appliquent à tous les membres de son personnel appelés à travailler avec des données du SIS II et répondent à des normes comparables à celles visées à l'article 11 du présent règlement. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la fin de leurs activités.
2. L'instance gestionnaire prend des mesures équivalentes à celles visées au paragraphe 1 concernant la confidentialité de l'échange d'informations supplémentaires par le biais de l'infrastructure de communication.
Article 18
Tenue d'enregistrements au niveau central
1. L'instance gestionnaire veille à ce que tous les accès aux données à caractère personnel et tous les échanges de telles données tenues au sein du CS-SIS soient enregistrées aux fins mentionnées à l'article 12, paragraphes 1 et 2.
2. Les enregistrements indiquent, en particulier, l'historique des signalements, la date et l'heure de la transmission des données, les données utilisées pour effectuer des consultations, la référence des données transmises et l'identification de l'autorité compétente responsable du traitement des données.
3. Les enregistrements ne peuvent être utilisés qu'aux fins mentionnées au paragraphe 1, et sont effacés au plus tôt après un an et au plus tard après trois ans suivant leur création. Les enregistrements contenant l'historique des signalements sont effacés après trois ans suivant la suppression des signalements.
4. Les enregistrements peuvent être conservés plus longtemps s'ils sont nécessaires à une procédure de contrôle déjà engagée.
5. Les autorités nationales compétentes chargées de contrôler la licéité de la consultation, de vérifier la licéité du traitement des données et de permettre un autocontrôle, et d'assurer le bon fonctionnement du CS-SIS, ainsi que l'intégrité et la sécurité des données, ont accès, dans les limites de leurs compétences et à leur demande, à ces enregistrements afin de pouvoir s'acquitter de leurs tâches.
Article 19
Campagne d'information
La Commission, en coopération avec les autorités de contrôle nationales et le contrôleur européen de la protection des données, accompagne la mise en service du SIS II d'une campagne d'information visant à faire connaître au public les objectifs, les données stockées, les autorités disposant d'un droit d'accès aux signalements et les droits des personnes. Après sa mise en place, l'instance gestionnaire, en coopération avec les autorités de contrôle nationales et le contrôleur européen de la protection des données, mène régulièrement des campagnes de ce type. Les États membres, en coopération avec leurs autorités de contrôle nationales, élaborent et mettent en œuvre les politiques nécessaires pour informer de manière générale leurs citoyens sur le SIS II.
CHAPITRE IV
SIGNALEMENTS DE RESSORTISSANTS DE PAYS TIERS AUX FINS DE NON-ADMISSION OU D'INTERDICTION DE SÉJOUR
Article 20
Catégories de données
1. Sans préjudice des dispositions de l'article 8, paragraphe 1, ou des dispositions du présent règlement prévoyant le stockage de données complémentaires, le SIS II contient exclusivement les catégories de données qui sont fournies par chacun des États membres et qui sont nécessaires aux fins prévues à l'article 24.
2. Les renseignements concernant les personnes signalées comprennent au maximum les éléments suivants:
a)
les nom(s) et prénom(s), nom(s) à la naissance, noms utilisés antérieurement et pseudonymes, éventuellement enregistrés séparément;
b)
les signes physiques particuliers, objectifs et inaltérables;
c)
le lieu et la date de naissance;
d)
le sexe;
e)
les photographies;
f)
les empreintes digitales;
g)
la ou les nationalités;
h)
l'indication que la personne concernée est armée, violente ou en fuite;
i)
le motif du signalement;
j)
l'autorité signalante;
k)
une référence à la décision qui est à l'origine du signalement;
l)
la conduite à tenir;
m)
le(s) lien(s) vers d'autres signalements introduits dans le SIS II, conformément à l'article 37.
3. Les règles techniques nécessaires pour l'introduction, la mise à jour, la suppression et la consultation des données visées au paragraphe 2 sont établies conformément à la procédure visée à l'article 51, paragraphe 2, sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire.
4. Les règles techniques nécessaires pour la consultation des données visées au paragraphe 2 sont analogues à celles des consultations dans le CS-SIS, dans les copies nationales et dans les copies techniques, conformément à l'article 31, paragraphe 2.
Article 21
Proportionnalité
Avant d'introduire un signalement, l'État membre signalant vérifie si le cas est suffisamment approprié, pertinent et important pour justifier l'introduction du signalement dans le SIS II.
Article 22
Règles particulières concernant les photographies et les empreintes digitales
L'utilisation des photographies et des empreintes digitales visées à l'article 20, paragraphe 2, points e) et f), est soumise aux dispositions suivantes:
a)
les photographies et les empreintes digitales ne sont introduites qu'après avoir été soumises à un contrôle de qualité spécifique visant à garantir le respect de normes minimales en matière de qualité. Les caractéristiques de ce contrôle de qualité spécifique sont fixées conformément à la procédure visée à l'article 51, paragraphe 2, sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire;
b)
les photographies et les empreintes digitales ne sont utilisées que pour confirmer l'identité d'un ressortissant d'un pays tiers localisé à la suite d'une consultation alphanumérique effectuée dans le SIS II;
c)
dès que cela est possible d'un point de vue technique, les empreintes digitales peuvent aussi être utilisées pour identifier un ressortissant d'un pays tiers sur la base de ses identificateurs biométriques. Avant que cette fonctionnalité soit introduite dans le SIS II, la Commission présente un rapport précisant si la technique requise est disponible et prête à être employée; le Parlement européen est consulté.
Article 23
Exigence à remplir pour l'introduction d'un signalement
1. Un signalement ne peut être introduit sans les données visées à l'article 20, paragraphe 2, points a), d), k) et l).
2. En outre, lorsqu'elles sont disponibles, toutes les autres données énumérées à l'article 20, paragraphe 2, sont introduites.
Article 24
Conditions auxquelles sont soumis les signalements introduits aux fins de nonadmission ou d'interdiction de séjour
1. Les données relatives aux ressortissants de pays tiers faisant l'objet d'un signalement aux fins de non-admission ou d'interdiction de séjour sont introduites sur la base d'un signalement national résultant d'une décision prise par les autorités administratives ou juridictions compétentes dans le respect des règles de procédure prévues par la législation nationale, sur la base d'une évaluation individuelle. Les recours contre cette décision sont formés conformément à la législation nationale.
2. Un signalement est introduit lorsque la décision visée au paragraphe 1 est fondée sur la menace pour l'ordre public ou la sécurité publique ou pour la sécurité nationale que peut constituer la présence d'un ressortissant d'un pays tiers sur le territoire d'un État membre. Tel peut être notamment le cas:
a)
d'un ressortissant d'un pays tiers qui a été condamné dans un État membre pour une infraction passible d'une peine privative de liberté d'au moins un an;
b)
d'un ressortissant d'un pays tiers à l'égard duquel il existe des raisons sérieuses de croire qu'il a commis un fait punissable grave, ou à l'égard duquel il existe des indices réels qu'il envisage de commettre un tel fait sur le territoire d'un État membre.
3. Un signalement peut également être introduit lorsque la décision visée au paragraphe 1 est fondée sur le fait que le ressortissant d'un pays tiers a fait l'objet d'une mesure d'éloignement, de renvoi ou d'expulsion qui n'a pas été abrogée ni suspendue, et qui comporte ou est assortie d'une interdiction d'entrée, ou, le cas échéant, de séjour, fondée sur le non-respect des réglementations nationales relatives à l'entrée ou au séjour des ressortissants de pays tiers.
4. Le présent article ne s'applique pas aux personnes visées à l'article 26.
5. La Commission réexamine l'application du présent article est trois ans après la date visée à l'article 55, paragraphe 2. Sur la base de ce réexamen, la Commission, utilisant le droit d'initiative que lui confère le traité, fait les propositions nécessaires pour modifier les dispositions du présent article afin de parvenir à un degré plus élevé d'harmonisation des critères de signalement.
Article 25
Conditions auxquelles sont soumis les signalements de ressortissants de pays tiers jouissant du droit de libre circulation dans la Communauté
1. Un signalement concernant un ressortissant de pays tiers qui jouit du droit de libre circulation dans la Communauté au sens de la directive 2004/38/CE du Parlement européen et du Conseil du 29 avril 2004 relative au droit des citoyens de l'Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres (18), est conforme aux règles adoptées dans le cadre de la mise en œuvre de ladite directive.
2. En cas de réponse positive à un signalement introduit en vertu de l'article 24 qui vise un ressortissant d'un État tiers bénéficiant du droit de libre circulation dans la Communauté, l'État membre d'exécution du signalement consulte immédiatement l'État membre signalant par l'intermédiaire du bureau SIRENE en suivant les dispositions du manuel SIRENE, afin de décider sans délai des mesures à prendre.
Article 26
Conditions auxquelles sont soumis les signalements de ressortissants de pays tiers qui font l'objet d'une mesure restrictive adoptée conformément à l'article 15 du traité sur l'Union européenne
1. Sans préjudice de l'article 25, les signalements relatifs à des ressortissants de pays tiers qui font l'objet d'une mesure restrictive destinée à empêcher qu'ils entrent sur le territoire des États membres ou qu'ils transitent par leur territoire, adoptée conformément à l'article 15 du traité sur l'UE, y compris les mesures mettant en œuvre une interdiction de voyage décrétée par le Conseil de sécurité des Nations unies, font, dans la mesure où il peut être satisfait aux exigences en matière de qualité des données, l'objet d'une introduction dans le SIS II aux fins de non-admission ou d'interdiction de séjour.
2. L'article 23 ne s'applique pas aux signalements introduits en vertu du paragraphe 1 du présent article.
3. L'État membre responsable de l'introduction, de la mise à jour et de la suppression de ces signalements au nom de tous les États membres est désigné lors de l'adoption de la mesure en question prise au titre de l'article 15 du traité sur l'Union européenne.
Article 27
Autorités disposant d'un droit d'accès aux signalements
1. L'accès aux données introduites dans le SIS II ainsi que le droit de les consulter directement ou de consulter une copie des données du SIS II sont réservés exclusivement aux autorités qui, en matière d'identification de ressortissants de pays tiers, sont compétentes pour:
a)
les contrôles aux frontières, conformément au règlement (CE) no 562/2006 du Parlement européen et du Conseil du 15 mars 2006 établissant un code communautaire relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) (19);
b)
les autres vérifications de police et de douanes effectuées à l'intérieur de l'État membre concerné et la coordination de celles-ci par les autorités désignées.
2. Toutefois, le droit d'accès aux données introduites dans le SIS II et le droit de les consulter directement peuvent également être exercés par les autorités judiciaires nationales, y compris celles qui sont compétentes pour engager des poursuites judiciaires dans le cadre de procédures pénales et des enquêtes judiciaires avant l'inculpation, dans l'exercice de leurs fonctions telles que prévues dans la législation nationale, et par leurs autorités de coordination.
3. En outre, l'accès aux données introduites conformément à l'article 24 et aux données concernant les documents relatifs aux personnes introduites conformément à l'article 38, paragraphe 2, points d) et e), de la décision 2006/…/JAI du Conseil, ainsi que le droit de les consulter directement, peuvent être exercés par les autorités qui sont compétentes pour la délivrance des visas, les autorités centrales qui sont compétentes pour l'examen des demandes de visa ainsi que les autorités qui sont compétentes pour la délivrance des titres de séjour et pour la mise en œuvre de la législation sur les ressortissants de pays tiers dans le cadre de l'application des dispositions de l'acquis communautaire relatif à la circulation des personnes. L'accès de ces autorités aux données est régi par le droit national de chaque État membre.
4. Les autorités visées au présent article sont incluses dans la liste prévue à l'article 31, paragraphe 8.
Article 28
Limites d'accès
Les utilisateurs ne peuvent accéder qu'aux données qui sont nécessaires à l'accomplissement de leurs missions.
Article 29
Durée de conservation des signalements
1. Les signalements introduits dans le SIS II aux fins du présent règlement ne sont conservés que pendant le temps nécessaire à la réalisation des objectifs pour lesquels ils ont été introduits.
2. Dans les trois ans à compter de l'introduction d'un tel signalement dans le SIS II, l'État membre signalant examine la nécessité de le maintenir.
3. Chaque État membre fixe, le cas échéant, des délais d'examen plus courts, conformément à son droit national.
4. L'État membre signalant peut, dans le délai d'examen, décider, au terme d'une évaluation individuelle globale, qui est enregistrée, de maintenir le signalement si ce maintien est nécessaire aux fins qui sont à la base du signalement. Dans ce cas, le paragraphe 2 s'applique également à la prolongation. Toute prolongation du signalement doit être communiquée au CS-SIS.
5. Les signalements sont automatiquement effacés à l'expiration du délai d'examen visé au paragraphe 2, sauf dans le cas où l'État membre signalant a communiqué la prolongation du signalement au CS-SIS conformément au paragraphe 4. Le CS-SIS signale automatiquement aux États membres l'effacement programmé dans le système avec un préavis de quatre mois.
6. Les États membres tiennent des statistiques concernant le nombre de signalements dont la durée de conservation a été prolongée conformément au paragraphe 4.
Article 30
Acquisition de la citoyenneté et signalements
Les signalements concernant une personne ayant acquis la citoyenneté d'un État dont les ressortissants jouissent du droit de libre circulation dans la Communauté sont effacés dès que l'État membre signalant apprend ou est informé, en application de l'article 34, ou a connaissance, que la personne concernée a acquis cette citoyenneté.
CHAPITRE V
RÈGLES GÉNÉRALES RELATIVES AU TRAITEMENT DES DONNÉES
Article 31
Traitement des données du SIS II
1. Les États membres peuvent traiter les données visées à l'article 20 aux fins de non-admission ou d'interdiction de séjour sur leur territoire.
2. Les données ne peuvent être copiées qu'à des fins techniques, pour autant que cette copie soit nécessaire aux autorités visées à l'article 27 pour effectuer une consultation directe. Les dispositions du présent règlement s'appliquent à ces copies. Les signalements émis par un autre État membre ne peuvent être copiés de leur N. SIS II dans d'autres fichiers nationaux de données.
3. Les copies techniques visées au paragraphe 2 alimentant des bases de données hors ligne ne peuvent être conservées que pour une durée inférieure à 48 heures. Cette durée peut être prolongée dans une situation d'urgence jusqu'à ce que cette situation d'urgence prenne fin.
Nonobstant l'alinéa 1er, les copies techniques alimentant des bases de données hors ligne destinées aux autorités chargées de délivrer les visas ne seront plus autorisées un an après que l'autorité concernée s'est connectée avec succès à l'infrastructure de communication du Système d'information sur les visas, système à établir dans un règlement à venir, concernant le système d'information sur les visas et l'échange de données entre les États membres sur les visas de court séjour, à l'exception des copies faites pour n'être utilisées que dans des situations d'urgence résultant d'une indisponibilité du réseau de plus de vingt-quatre heures.
Les États membres tiennent à jour un inventaire de ces copies, le mettent à la disposition de leurs autorités de contrôle nationales visées à l'article 44, paragraphe 1, et veillent à ce que ces copies soient conformes aux dispositions du présent règlement, et notamment celles de l'article 10.
4. L'accès aux données est autorisé uniquement dans les limites des compétences des autorités nationales visées à l'article 27 et réservé au personnel dûment autorisé.
5. Les données ne peuvent être utilisées à des fins administratives. Par dérogation, les données introduites en conformité avec le présent règlement peuvent être utilisées conformément à la législation nationale de chaque État membre par les autorités visées à l'article 27, paragraphe 3, pour l'accomplissement de leurs missions.
6. Les données qui sont enregistrées conformément à l'article 24 du présent règlement et les données concernant des documents relatifs à des personnes qui sont enregistrées en vertu de l'article 38, paragraphe 2, points d) et e), de la décision 2006/…/JAI peuvent être utilisées en conformité avec le droit national de chaque État membre aux fins visées à l'article 27, paragraphe 3, du présent règlement.
7. Toute utilisation de données non conforme aux paragraphes 1 à 6 sera considérée comme détournement de finalité au regard du droit national de chaque État membre.
8. Chaque État membre communique à l'instance gestionnaire la liste de ses autorités compétentes autorisées à consulter directement les données introduites dans SIS II en application du présent règlement ainsi que tout changement à cette liste. Cette liste indique, pour chaque autorité, les données qu'elle peut consulter et à quelles fins. L'instance gestionnaire veille à ce que la liste soit publiée chaque année au Journal officiel de l'Union européenne.
9. Pour autant que le droit communautaire ne prévoie pas de dispositions particulières, le droit de chaque État membre est applicable aux données intégrées dans son N-SIS II.
Article 32
Données du SIS II et fichiers nationaux
1. L'article 31, paragraphe 2, n'affecte pas le droit qu'a un État membre de conserver dans ses fichiers nationaux des données du SIS II sur la base desquelles la conduite à tenir a été exécutée sur son territoire. Ces données sont conservées dans les fichiers nationaux pour une durée de trois ans au maximum, sauf si des dispositions particulières en droit national prévoient une durée de conservation plus longue.
2. L'article 31, paragraphe 2, n'affecte pas le droit qu'un État membre a de conserver dans ses fichiers nationaux des données contenues dans un signalement particulier qu'il a lui-même introduit dans le SIS II.
Article 33
Information en cas d'inexécution d'un signalement
Si une conduite à tenir demandée ne peut être exécutée, l'État membre requis en informe directement l'État membre signalant.
Article 34
Qualité des données traitées dans le SIS II
1. Un État membre signalant est responsable de l'exactitude et de l'actualité des données, ainsi que de la licéité de leur introduction dans le SIS II.
2. Seul l'État membre signalant est autorisé à modifier, compléter, rectifier, mettre à jour ou effacer les données qu'il a introduites.
3. Si un État membre autre que l'État membre signalant dispose d'éléments indiquant qu'une donnée est entachée d'erreur de droit ou de fait, il en informe ce dernier par voie d'échange d'informations supplémentaires, dans les meilleurs délais et au plus tard dix jours après avoir relevé ces éléments. L'État membre signalant vérifie ce qui lui est communiqué et, le cas échéant, corrige ou efface la donnée sans délai.
4. Si les États membres ne peuvent parvenir à un accord dans un délai de deux mois, l'État membre qui n'est pas à l'origine du signalement soumet la question au contrôleur européen de la protection des données qui, en coopération avec les autorités de contrôle nationales concernées, agit en tant que médiateur.
5. Les États membres échangent des informations supplémentaires lorsqu'une personne se plaint de ne pas être celle visée par un signalement. Lorsqu'il ressort des vérifications qu'il existe effectivement deux personnes différentes, la personne qui s'est plainte est informée des dispositions de l'article 36.
6. Lorsqu'une personne fait déjà l'objet d'un signalement dans le SIS II, l'État membre qui introduit un nouveau signalement se met d'accord à cette fin avec l'État membre qui a introduit le premier signalement. L'accord est réalisé sur la base d'un échange d'informations supplémentaires.
Article 35
Différenciation des personnes présentant des caractéristiques similaires
Si, lors de l'introduction d'un nouveau signalement, il apparaît qu'il existe déjà dans le SIS II une personne correspondant à la même description, la procédure ci-après est appliquée:
a)
le bureau SIRENE prend contact avec l'autorité pour vérifier s'il s'agit ou non de la même personne;
b)
si la vérification fait apparaître que la personne faisant l'objet du nouveau signalement et la personne déjà signalée dans le SIS II sont bien une seule et même personne, le bureau SIRENE met en œuvre la procédure concernant les signalements multiples visée à l'article 34, paragraphe 6. Si la vérification révèle qu'il s'agit en réalité de deux personnes différentes, le bureau SIRENE valide la demande du deuxième signalement, en ajoutant les éléments nécessaires pour éviter toute erreur d'identification.
Article 36
Données complémentaires pour traiter les cas d'usurpation d'identité
1. Lorsqu'il est possible de confondre la personne effectivement visée par un signalement et une personne dont l'identité a été usurpée, l'État membre à l'origine du signalement ajoute dans le signalement, avec le consentement explicite de la personne dont l'identité a été usurpée, des données concernant cette dernière afin d'éviter les effets négatifs résultant d'une erreur d'identification.
2. Les données concernant une personne dont l'identité a été usurpée sont exclusivement utilisées pour:
a)
permettre aux autorités compétentes de distinguer la personne dont l'identité a été usurpée de la personne effectivement visée par le signalement;
b)
permettre à la personne dont l'identité a été usurpée de prouver son identité et d'établir que celle-ci a été usurpée.
3. Aux fins du présent article, seules les données à caractère personnel ci-après peuvent être introduites dans le SIS II et faire l'objet d'un traitement ultérieur:
a)
les nom(s) et prénom(s), le(s) nom(s) à la naissance et les noms utilisés antérieurement ainsi que les pseudonymes éventuellement enregistrés séparément;
b)
les signes physiques particuliers, objectifs et inaltérables;
c)
le lieu et la date de naissance;
d)
le sexe;
e)
les photographies;
f)
les empreintes digitales;
g)
la ou les nationalités;
h)
le numéro du ou des documents d'identité et leur date de délivrance.
4. Les règles techniques nécessaires pour l'introduction et le traitement ultérieur des données visées au paragraphe 3 sont établies conformément à la procédure visée à l'article 51, paragraphe 2, sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire.
5. Les données visées au paragraphe 3 sont effacées en même temps que le signalement correspondant, ou plus tôt si la personne concernée le demande.
6. Seules les autorités disposant d'un droit d'accès au signalement correspondant peuvent accéder aux données visées au paragraphe 3, et ce dans l'unique but d'éviter une erreur d'identification.
Article 37
Mise en relation de signalements
1. Un État membre peut mettre en relation des signalements qu'il introduit dans le SIS II. Cette mise en relation a pour effet d'établir un lien entre deux ou plusieurs signalements.
2. La mise en relation est sans effet sur la conduite particulière à tenir qui est demandée dans chacun des signalements mis en relation, ou sur leur durée de conservation.
3. La mise en relation ne porte pas atteinte aux droits d'accès prévus par le présent règlement. Les autorités ne disposant pas d'un droit d'accès à certaines catégories de signalements ne doivent pas pouvoir prendre connaissance du lien vers un signalement auquel elles n'ont pas accès.
4. Un État membre met en relation des signalements uniquement lorsque cela répond à un besoin opérationnel manifeste.
5. Un État membre peut créer des liens conformément à son droit national pour autant que les principes énoncés dans le présent article soient respectés.
6. Lorsqu'un État membre estime que la mise en relation de signalements par un autre État membre n'est pas compatible avec son droit national ou ses obligations internationales, il peut prendre les mesures nécessaires pour faire en sorte que le lien établi soit inaccessible à partir de son territoire national ou pour les autorités relevant de sa juridiction établies en dehors de son territoire.
7. Les règles techniques relatives à la mise en relation de signalements sont adoptées conformément à la procédure visée à l'article 51, paragraphe 2, sans préjudice des dispositions de l'instrument établissant l'instance gestionnaire.
Article 38
Objet et durée de conservation des informations supplémentaires
1. Les États membres conservent au sein du bureau SIRENE une trace des décisions ayant donné lieu à un signalement, afin de faciliter l'échange d'informations supplémentaires.
2. Les données à caractère personnel conservées au sein du bureau SIRENE à la suite d'informations échangées ne sont conservées que pendant le temps nécessaire à la réalisation des objectifs pour lesquels elles ont été fournies. Elles sont, en tout état de cause, effacées au plus tard un an après que le signalement concernant la personne en question a été supprimé du SIS II.
3. Le paragraphe 2 n'affecte pas le droit qu'a un État membre de conserver dans des fichiers nationaux des données relatives à un signalement particulier que cet État membre a émis ou à un signalement sur la base duquel la conduite à tenir demandée a été exécutée sur son territoire. Le délai pendant lequel les données peuvent être conservées dans ces fichiers est régi par la législation nationale.
Article 39
Transfert de données à caractère personnel à des tiers
Les données traitées dans le SIS II conformément au présent règlement ne sont pas transférées à des pays tiers ou à des organisations internationales ni mises à leur disposition.
CHAPITRE VI
PROTECTION DES DONNÉES
Article 40
Traitement des catégories de données sensibles
Le traitement des catégories de données visées à l'article 8, paragraphe 1, de la directive 95/46/CE est interdit.
Article 41
Droit d'accès, de rectification des données inexactes et d'effacement de données stockées illégalement
1. Le droit de toute personne d'accéder aux données la concernant qui sont introduites dans le SIS II en vertu du présent règlement s'exerce dans le respect du droit de l'État membre auprès duquel elle le fait valoir.
2. Si le droit national le prévoit, l'autorité de contrôle nationale décide si des informations doivent être communiquées et selon quelles modalités.
3. Un État membre autre que celui qui a effectué le signalement ne peut communiquer des informations concernant ces données que s'il a donné d'abord à l'État membre signalant la possibilité de prendre position. Cela se fait par le biais de l'échange d'informations supplémentaires.
4. La communication des informations à la personne concernée est refusée si cette non-communication est indispensable à l'exécution d'une tâche légale en liaison avec le signalement ou à la protection des droits et libertés des tiers.
5. Toute personne a le droit de faire rectifier des données la concernant inexactes dans les faits ou de faire effacer des données la concernant stockées illégalement.
6. La personne concernée est informée dans les meilleurs délais et en tout cas au plus tard 60 jours après la date à laquelle elle a demandé à y avoir accès, ou plus tôt si la législation nationale prévoit un délai plus court.
7. La personne concernée est informée du suivi donné à l'exercice de son droit de rectification et d'effacement dans les meilleurs délais et en tout cas au plus tard trois mois après la date à laquelle elle a demandé la rectification ou l'effacement, ou plus tôt si la législation nationale prévoit un délai plus court.
Article 42
Droit à l'information
1. Les ressortissants de pays tiers qui font l'objet d'un signalement introduit en vertu du présent règlement sont informés conformément aux articles 10 et 11 de la directive 95/46/CE. Cette information est fournie par écrit, avec une copie de la décision nationale, visée à l'article 24, paragraphe 1, qui est à l'origine du signalement, ou une référence à ladite décision.
2. Cette information n'est pas fournie:
a)
lorsque
i)
les données à caractère personnel n'ont pas été collectées auprès du ressortissant de pays tiers concerné;
et
ii)
la communication de l'information se révèle impossible ou implique des efforts disproportionnés;
b)
lorsque le ressortissant de pays tiers concerné a déjà l'information;
c)
lorsque la législation nationale permet de déroger au droit d'information, en particulier pour sauvegarder la sécurité nationale, la défense et la sécurité publique, ou à des fins de prévention et de détection des infractions pénales et d'enquêtes et de poursuites en la matière.
Article 43
Voies de recours
1. Toute personne peut intenter une action devant les juridictions ou l'autorité compétentes en vertu du droit national de tout État membre, pour accéder, faire rectifier ou effacer des données ou pour obtenir des informations ou une indemnisation en raison d'un signalement la concernant.
2. Les États membres s'engagent mutuellement à exécuter les décisions définitives prises par les juridictions ou autorités visées au paragraphe 1, sans préjudice des dispositions de l'article 48.
3. Les modalités de recours prévues dans le présent article sont évaluées par la Commission ……
Article 44
Contrôle du N. SIS II
1 La ou les autorités désignées dans chaque État membre et investies des pouvoirs visés à l'article 28 de la directive 95/46/CE (les «autorités de contrôle nationales») contrôlent en toute indépendance la licéité du traitement des données à caractère personnel dans le cadre du SIS II sur leur territoire et leur transmission à partir de celui-ci, y compris pour ce qui concerne l'échange et le traitement ultérieur d'informations supplémentaires.
2. L'autorité de contrôle nationale veille à ce que soit réalisé, tous les quatre ans au minimum, un audit des activités de traitement des données dans le cadre de son N. SIS II, répondant aux normes internationales en matière d'audit.
3. Les États membres veillent à ce que l'autorité de contrôle nationale dispose des ressources nécessaires pour s'acquitter des tâches qui leur sont confiées par le présent règlement.
Article 45
Contrôle de l'instance gestionnaire
1. Le contrôleur européen de la protection des données vérifie que les activités de traitement des données à caractère personnel menées par l'instance gestionnaire sont effectuées conformément au présent règlement. Les fonctions et compétences visées aux articles 46 et 47 du règlement (CE) no 45/2001 s'appliquent en conséquence.
2. Le contrôleur européen de la protection des données veille à ce que soit réalisé, tous les quatre ans au minimum, un audit des activités de traitement des données à caractère personnel menées par l'instance gestionnaire conformément aux normes internationales en matière d'audit. Un rapport de cet audit est communiqué au Parlement européen, au Conseil, à l'instance gestionnaire, à la Commission et aux autorités de contrôle nationales. L'instance gestionnaire a la possibilité de formuler des observations avant l'adoption du rapport.
Article 46
Coopération entre les autorités de contrôle nationales et le contrôleur européen de la protection des données
1. Les autorités de contrôle nationales et le contrôleur européen de la protection des données, agissant chacun dans le cadre de ses compétences respectives, coopèrent activement dans le cadre de leurs responsabilités et assurent la surveillance conjointe du SIS II.
2. Agissant chacun dans le cadre de leurs compétences respectives, ils échangent les informations utiles, s'assistent mutuellement pour mener les audits et inspections, examinent les difficultés d'interprétation ou d'application du présent règlement, étudient les problèmes pouvant se poser lors de l'exercice du contrôle indépendant ou dans l'exercice des droits de la personne concernée, formulent des propositions harmonisées en vue de trouver des solutions communes aux éventuels problèmes et assurent, si nécessaire, la sensibilisation aux droits en matière de protection des données.
3. Les autorités de contrôle nationales et le contrôleur européen de la protection des données se réunissent aux fins visées au paragraphe 2, au minimum deux fois par an. Le coût et l'organisation de ces réunions sont à la charge du contrôleur européen de la protection des données. Le règlement intérieur est adopté lors de la première réunion. D'autres méthodes de travail sont mises au point d'un commun accord, si nécessaire. Un rapport d'activités conjoint est transmis tous les deux ans au Parlement européen, au Conseil, à la Commission et à l'instance gestionnaire.
Article 47
Protection des données durant la période transitoire
Au cas où, pendant la période transitoire, la Commission délègue ses responsabilités à une autre instance ou à d'autres instances, conformément à l'article 15, paragraphe 4, elle veille à ce que le contrôleur européen de la protection des données ait le droit et la possibilité de s'acquitter pleinement de sa mission, y compris de procéder à des vérifications sur place ou d'exercer tout autre pouvoir dont il est investi en vertu de l'article 47 du règlement (CE) no 45/2001.
CHAPITRE VII
RESPONSABILITÉ ET SANCTIONS
Article 48
Responsabilité
1. Tout État membre est responsable, conformément à son droit national, de tout dommage causé à une personne du fait de l'exploitation du N. SIS II. Il en est également ainsi lorsque les dommages ont été causés par l'État membre signalant, lorsque celui-ci a introduit des données inexactes dans les faits ou a stocké des données illégalement.
2. Si l'État membre contre lequel une action est intentée n'est pas l'État membre signalant, ce dernier est tenu de rembourser, sur demande, les sommes versées à titre d'indemnisation, à moins que l'utilisation des données par l'État membre demandant le remboursement soit contraire au présent règlement.
3. Si le non-respect, par un État membre, des obligations qui lui incombent en vertu du présent règlement entraîne un dommage pour SIS II, cet État membre en est tenu responsable, sauf si l'instance gestionnaire ou un autre État membre participant au SIS II n'a pas pris de mesures raisonnables pour prévenir le dommage ou pour en atténuer les effets.
Article 49
Sanctions
Les États membres veillent à ce que toute utilisation abusive de données introduites dans le SIS II ou tout échange d'informations supplémentaires contraire au présent règlement fasse l'objet de sanctions effectives, proportionnées et dissuasives conformément à leur droit national.
CHAPITRE VIII
DISPOSITIONS FINALES
Article 50
Contrôle et statistiques
1. L'instance gestionnaire veille à ce que des procédures soient mises en place pour contrôler le fonctionnement du SIS II par rapport aux objectifs fixés, tant en termes de résultats que de rapport coût-efficacité, de sécurité et de qualité de service.
2. Aux fins de la maintenance technique et de l'établissement de rapports et de statistiques, l'instance gestionnaire a accès aux informations nécessaires concernant les opérations de traitement effectuées dans le SIS II central.
3. Chaque année, l'instance gestionnaire publie des statistiques présentant le nombre d'enregistrements par catégorie de signalement, le nombre de résultats positifs par catégorie de signalement et le nombre d'accès au SIS II, sous forme de totaux et ventilées par État membre.
4. Deux ans après la mise en service du SIS II puis tous les deux ans, l'instance gestionnaire présente au Parlement européen et au Conseil un rapport sur le fonctionnement technique du SIS II central et de l'infrastructure de communication, y compris la sécurité qu'elle offre, et sur les échanges bilatéraux et multilatéraux d'informations supplémentaires entre les États membres.
5. Trois ans après la mise en service du SIS II puis tous les quatre ans, la Commission présente un rapport d'évaluation globale du SIS II central et des échanges bilatéraux et multilatéraux d'informations supplémentaires entre les États membres. Cette évaluation globale comprend un examen des résultats obtenus au regard des objectifs fixés, détermine si les principes de base restent valables, fait le point sur l'application du présent règlement en ce qui concerne le SIS II central et sur la sécurité offerte par SIS II central et en tire toutes les conséquences pour le fonctionnement futur. La Commission transmet le rapport d'évaluation au Parlement européen et au Conseil.
6. Les États membres communiquent à l'instance gestionnaire et à la Commission les informations nécessaires pour établir les rapports visés aux paragraphes 3, 4 et 5.
7. L'instance gestionnaire fournit à la Commission les informations nécessaires pour élaborer les évaluations globales visées au paragraphe 5.
8. Au cours d'une période transitoire avant que l'instance gestionnaire n'assume ses responsabilités, la Commission est chargée d'élaborer et de présenter les rapports visés aux paragraphes 3 et 4.
Article 51
Comité
1. La Commission est assistée par un comité.
2. Dans le cas où il est fait référence au présent paragraphe, les articles 5 et 7 de la décision 1999/468/CE s'appliquent, dans le respect des dispositions de l'article 8 de celle-ci.
Le délai prévu à l'article 5, paragraphe 6, de la décision 1999/468/CE est fixé à trois mois.
3. Le comité exerce ses fonctions à partir de la date d'entrée en vigueur du présent règlement.
Article 52
Modification des dispositions de l'acquis de Schengen
1. Dans les domaines relevant du traité, le présent règlement remplace, à la date visée à l'article 55, paragraphe 2, les dispositions des articles 92 à 119 de la convention de Schengen, à l'exception de son article 102 bis.
2. Il remplace aussi, à la date visée à l'article 55, paragraphe 2, les dispositions ci-après de l'acquis de Schengen mettant en œuvre lesdits articles (20):
a)
décision du Comité exécutif du 14 décembre 1993 concernant le règlement financier relatif aux frais d'installation et de fonctionnement du Système d'information Schengen (C. SIS) (SCH/Com-ex (93) 16);
b)
décision du Comité exécutif du 7 octobre 1997 concernant le développement du SIS (SCH/Com-ex (97) 24);
c)
décision du Comité exécutif du 15 décembre 1997 concernant la modification du règlement financier relatif au C. SIS (SCH/Com-ex (97) 35);
d)
décision du Comité exécutif du 21 avril 1998 concernant le C. SIS avec 15/18 connexions (SCH/Com-ex (98) 11);
e)
décision du Comité exécutif du 28 avril 1999 concernant les dépenses d'installation du C. SIS (SCH/Com-ex (99) 4);
f)
décision du Comité exécutif du 28 avril 1999 concernant la mise à jour du Manuel SIRENE (SCH/Com-ex (99) 5);
g)
déclaration du Comité exécutif du 18 avril 1996 concernant la définition de la notion d'étranger (SCH/Com-ex (96) décl. 5);
h)
déclaration du Comité exécutif du 28 avril 1999 concernant la structure du SIS (SCH/Com-ex (99) décl. 2, rév.);
i)
décision du Comité exécutif du 7 octobre 1997 concernant la participation de la Norvège et de l'Islande aux frais d'installation et de fonctionnement du C. SIS (SCH/Com-ex (97) 18).
3. Dans les domaines relevant du traité, les références aux articles de la convention de Schengen et aux dispositions pertinentes de l'acquis de Schengen mettant en œuvre ces articles qui sont ainsi remplacés s'entendent comme faites au présent règlement.
Article 53
Abrogation
Le règlement (CE) no 378/2004, le règlement (CE) no 871/2004, la décision 2005/451/JAI, la décision 2005/728/JAI et la décision 2006/628/CE sont abrogés à la date visée à l'article 55, paragraphe 2.
Article 54
Période transitoire et budget
1. Les signalements sont transférés du SIS 1+ au SIS II. Les États membres veillent, en donnant la priorité aux signalements relatifs aux personnes, à ce que le contenu des signalements qui sont transférés du SIS 1+ au SIS II respecte, dès que possible et dans un délai de trois ans à compter de la date visée à l'article 55, paragraphe 2, les dispositions du présent règlement. Au cours de cette période transitoire, les États membres peuvent continuer à appliquer les dispositions des articles 94 et 96 de la convention de Schengen au contenu des signalements qui sont transférés du SIS 1+ au SIS II, à condition de respecter les règles suivantes:
a)
au cas où le contenu d'un signalement transféré du SIS 1+ au SIS II ferait l'objet d'une modification, d'un ajout, d'une correction ou d'une mise à jour, les États membres veillent à ce que le signalement respecte les dispositions du présent règlement à compter de la modification, de l'ajout, de la correction ou de la mise à jour en question;
b)
en cas de réponse positive à un signalement transféré du SIS 1+ au SIS II, les États membres examinent immédiatement la compatibilité de ce signalement avec les dispositions du présent règlement, sans retarder les actions à mener sur la base dudit signalement.
2. À la date fixée conformément à l'article 55, paragraphe 2, le reliquat du budget approuvé conformément à l'article 119 de la convention de Schengen est remboursé aux États membres. Les montants à restituer sont calculés sur la base des quotes-parts des États membres conformément à la décision du Comité exécutif du 14 décembre 1993 concernant le règlement financier relatif aux frais d'installation et de fonctionnement du système d'information Schengen.
3. Durant la période transitoire prévue à l'article 15, paragraphe 4, dans le présent règlement, par instance gestionnaire, on entend la Commission.
Article 55
Entrée en vigueur, applicabilité et passage d'un système à l'autre
1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.
2. Il s'applique aux États membres participant au SIS 1+ à compter des dates à arrêter par le Conseil, statuant à l'unanimité de ses membres représentant les gouvernements des États membres participant au SIS 1+.
3. Les dates visées au paragraphe 2 sont arrêtées après que:
a)
les mesures d'application nécessaires ont été adoptées;
b)
tous les États membres participant pleinement au SIS 1+ ont informé la Commission qu'ils avaient pris les dispositions techniques et juridiques nécessaires pour traiter les données du SIS II et échanger des informations supplémentaires;
c)
la Commission a déclaré qu'un test complet du SIS II a été effectué de manière concluante, test effectué par la Commission avec les États membres, et lorsque les instances préparatoires du Conseil ont validé les résultats du test proposé et confirmé que le niveau de performance du SIS II est au moins équivalent à celui atteint par le SIS 1+;
d)
la Commission a pris les dispositions techniques nécessaires pour permettre la connexion du SIS II central au N. SIS II des États membres concernés.
4. La Commission informe le Parlement européen des résultats des tests effectués conformément au paragraphe 3, point c).
5. Toute décision du Conseil prise conformément au paragraphe 2 est publiée au Journal officiel de l'Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans les État membres, conformément au traité instituant la Communauté européenne.
Fait à Bruxelles, le 20 décembre 2006