NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) č. 603/2013
ze dne 26. června 2013
o zřízení systému „Eurodac“ pro porovnávání otisků prstů za účelem účinného uplatňování nařízení (EU) č. 604/2013 kterým se stanoví kritéria a postupy pro určení členského státu příslušného k posuzování žádosti o mezinárodní ochranu podané státním příslušníkem třetí země nebo osobou bez státní příslušnosti v některém z členských států, a pro podávání žádostí orgánů pro vymáhání práva členských států a Europolu o porovnání údajů s údaji systému Eurodac pro účely vymáhání práva a o změně nařízení (EU) č. 1077/2011, kterým se zřizuje Evropská agentura pro provozní řízení rozsáhlých informačních systémů v prostoru svobody, bezpečnosti a práva (přepracované znění)
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 78 odst. 2 písm. e), čl. 87 odst. 2 písm. a) a čl. 88 odst. 2 písm. a) této smlouvy,
s ohledem na návrh Komise,
s ohledem na stanovisko evropského inspektora ochrany údajů (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
V nařízení Rady (ES) č. 2725/2000 ze dne 11. prosince 2000 o zřízení systému „Eurodac“ pro porovnávání otisků prstů za účelem účinného uplatňování Dublinské úmluvy (3) a v nařízení Rady (ES) č. 407/2002 ze dne 28. února 2002, kterým se stanoví některá prováděcí pravidla k nařízení (ES) č. 2725/2000 o zřízení systému „Eurodac“ pro porovnávání otisků prstů za účelem účinného uplatňování Dublinské úmluvy (4), by mělo být provedeno několik podstatných změn. Z důvodu jasnosti by uvedená nařízení měla být přepracována.
(2)
Společná azylová politika včetně společného evropského azylového systému je nedílnou součástí cíle Evropské unie spočívajícího v postupném vytváření prostoru svobody, bezpečnosti a práva otevřeného těm, kteří, donuceni okolnostmi, hledají mezinárodní ochranu v Unii.
(3)
Evropská rada na svém zasedání dne 4. listopadu 2004 přijala Haagský program, jenž stanovuje cíle, které mají být provedeny v oblasti svobody, bezpečnosti a práva v období let 2005-2010. V Evropském paktu o přistěhovalectví a azylu, který schválila ve dnech 15. a 16. října 2008, vyzvala k dokončení zavedení společného evropského azylového systému vytvořením jediného řízení se společnými zárukami a jednotným právním postavením uprchlíků a osob, které mají nárok na doplňkovou ochranu.
(4)
Pro účely použití nařízení Evropského Parlamentu a Rady (EU) č. 604/2013 ze dne 26. června 2013 kterým se stanoví kritéria a postupy pro určení členského státu příslušného k posuzování žádosti o mezinárodní ochranu podané státním příslušníkem třetí země nebo osobou bez státní příslušnosti v některém z členských států (5) je nezbytné zjistit totožnost žadatelů o mezinárodní ochranu a osob zadržených v souvislosti s neoprávněným překročením vnějších hranic Unie. Pro účinné použití nařízení (EU) č. 604/2013, zejména čl. 18 odst. 1 písm. b) a d) uvedeného nařízení, je rovněž žádoucí umožnit každému členskému státu ověřit, zda státní příslušník třetí země nebo osoba bez státní příslušnosti zdržující se neoprávněně na jeho území již požádali o mezinárodní ochranu v jiném členském státě.
(5)
Otisky prstů představují důležitý prvek při zjišťování přesné totožnosti takových osob. Je nezbytné vytvořit systém pro porovnávání údajů o jejich otiscích prstů.
(6)
K dosažení tohoto cíle je nezbytné vytvořit systém zvaný „Eurodac“, který se skládá z ústředního systému, který bude pracovat s počítačovou ústřední databází údajů o otiscích prstů, a z elektronických prostředků předávání údajů mezi členskými státy a ústředním systémem (dále jen „komunikační infrastruktura“).
(7)
V Haagském programu se vyzývá ke zlepšení přístupu do stávajících systémů evidence údajů v Unii. Stockholmský program pak vyzývá k cílenému shromažďování údajů a rozvoji výměny informací a jejích nástrojů, který vychází z potřeb souvisejících s vymáháním práva.
(8)
V boji proti teroristickým trestným činům a jiným závažným trestným činům je nezbytné, aby orgány pro vymáhání práva měly při plnění svých úkolů co nejúplnější a nejaktuálnější informace. Informace obsažené v systému Eurodac jsou nezbytné pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů ve smyslu rámcového rozhodnutí Rady 2002/475/SVV ze dne 13. června 2002 o boji proti terorismu (6) či jiných závažných trestných činů ve smyslu rámcového rozhodnutí Rady 2002/584/SVV ze dne 13. června 2002 o evropském zatýkacím rozkazu a postupech předávání mezi členskými státy (7). Proto by měly být údaje v systému Eurodac na základě podmínek stanovených v tomto nařízení dostupné určeným orgánům členských států a Europolu pro účely porovnávání.
(9)
Pravomocemi k přístupu do systému Eurodac udělenými orgánům pro vymáhání práva by nemělo být dotčeno právo žadatelů o mezinárodní ochranu na řádné vyřízení jejich žádosti v souladu s příslušnými právními předpisy. Toto právo by nemělo být dotčeno ani jakýmikoli opatřeními učiněnými poté, co se zjistí shoda s údaji systému Eurodac.
(10)
Ve svém sdělení Radě a Evropskému parlamentu týkajícím se zlepšení účinnosti a posílení interoperability a synergie mezi evropskými databázemi v oblasti spravedlnosti a vnitřních věcí ze dne 24. listopadu 2005 Komise uvedla, že orgány odpovědné za zajišťování vnitřní bezpečnosti by mohly mít v přesně vymezených případech přístup do systému Eurodac, existuje-li důvodné podezření, že pachatel teroristického trestného činu nebo jiného závažného trestného činu požádal o mezinárodní ochranu. V tomto sdělení Komise také konstatovala, že zásada proporcionality vyžaduje, aby do systému Eurodac byly zasílány dotazy pro takové účely pouze v případě převažujícího zájmu zachovat veřejnou bezpečnost, tj. jestliže čin spáchaný pachatelem nebo teroristou, jehož totožnost je třeba zjistit, je tak trestuhodný, že zakládá důvod pro zaslání dotazu do databáze evidující osoby s nulovým záznamem v rejstříku trestů, a došla k závěru, že limit pro orgány odpovědné za zajišťování vnitřní bezpečnosti stanovený pro zasílání dotazů do systému Eurodac proto musí být vždy podstatně vyšší než limit stanovený pro dotazy zasílané do trestních databází.
(11)
Klíčovou úlohu s ohledem na spolupráci mezi orgány členských států v oblasti vyšetřování přeshraniční trestné činnosti při podpoře prevence, analýz a vyšetřování trestné činnosti v celé Unii hraje Evropský policejní úřad (Europol). V důsledku toho by měl mít přístup do systému Eurodac i Europol v rámci svých úkolů a v souladu s rozhodnutím Rady 2009/371/SVV ze dne 6. dubna 2009 o zřízení Evropského policejního úřadu (Europol) (8).
(12)
Europolu by mělo být povoleno žádat o porovnání údajů s údaji systému Eurodac pouze v určitých případech, za určitých okolností a za přísných podmínek.
(13)
Vzhledem k tomu, že systém Eurodac byl původně zřízen k usnadňování uplatňování Dublinské úmluvy, přístup do systému Eurodac pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů představuje změnu původního účelu systému Eurodac, která zasahuje do práva na soukromí fyzických osob, jejichž osobní údaje jsou zpracovány v systému Eurodac. Každý takový zásah musí být v souladu s právem, které musí být formulováno s dostatečnou přesností, aby dovolilo fyzickým osobám přizpůsobit své chování, a musí chránit fyzické osoby proti svévoli a uvádět dostatečně srozumitelným způsobem rozsah prostoru pro uvážení příslušných orgánů a způsob jejího výkonu. V demokratické společnosti musí být jakýkoli zásah nutný k ochraně oprávněného a přiměřeného zájmu a musí být přiměřený oprávněnému cíli, o který usiluje.
(14)
Ačkoliv původní účel zřízení systému Eurodac nevyžadoval možnost žádat o porovnávání údajů s databází na základě latentního otisku prstu, který je daktyloskopickou stopou, jež může být nalezena na místě trestného činu, je taková možnost v oblasti policejní spolupráce zásadní. V případech, kdy existuje důvodné podezření, že pachatel nebo oběť mohou patřit do jedné z kategorií osob, kterých se týká toto nařízení, poskytne možnost porovnat latentní otisk prstu s údaji o otiscích prstů, které jsou uloženy v systému Eurodac, určeným orgánům členských států velmi cenný nástroj při prevenci, odhalování a vyšetřování teroristických trestných činů či jiných závažných trestných činů, například když jsou latentní otisky prstů jediným důkazem dostupným na místě trestného činu.
(15)
Toto nařízení stanoví rovněž podmínky, za nichž by měly být povoleny žádosti o porovnání údajů o otiscích prstů s údaji systému Eurodac pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů, a nezbytné záruky pro zajištění ochrany práva na soukromí fyzických osob, jejichž osobní údaje jsou zpracovány v systému Eurodac. Přísnost těchto podmínek je odrazem skutečnosti, že databáze Eurodac eviduje údaje o otiscích prstů osob, u nichž se nepředpokládá, že spáchaly teroristický trestný čin či jiný závažný trestný čin.
(16)
Je vhodné rozšířit působnost tohoto nařízení tak, aby se vztahovalo i na žadatele o doplňkovou ochranu a na osoby, které mají na tuto ochranu nárok, s cílem zajistit stejné zacházení pro všechny žadatele o mezinárodní ochranu a osoby požívající této ochrany, jakož i s cílem zajistit soulad se stávajícím acquis EU v oblasti azylu, zejména se směrnicí Evropského parlamentu a Rady 2011/95/EU ze dne 13. prosince 2011 o normách, které musí splňovat státní příslušníci třetích zemí nebo osoby bez státní příslušnosti, aby mohli požívat mezinárodní ochrany, o jednotném statusu pro uprchlíky nebo osoby, které mají nárok na doplňkovou ochranu, a o obsahu poskytnuté ochrany (9) a s nařízením (EU) č. 604/2013.
(17)
Rovněž je nezbytné, aby členské státy okamžitě sejmuly otisky prstů každého žadatele o mezinárodní ochranu a každého státního příslušníka třetí země nebo osoby bez státní příslušnosti zadržených v souvislosti s neoprávněným překročením vnější hranice členského státu starších 14 let a údaje o otiscích prstů předaly.
(18)
Je nezbytné stanovit přesná pravidla předávání těchto údajů o otiscích prstů do ústředního systému, zaznamenávání takových údajů o otiscích prstů a dalších příslušných údajů v ústředním systému, o jejich ukládání a porovnávání s jinými údaji o otiscích prstů, o předávání výsledků těchto porovnání a označování a vymazávání zaznamenaných údajů. Tato pravidla mohou být rozdílná podle situace různých kategorií státních příslušníků třetích zemí nebo osob bez státní příslušnosti a měla by být této situaci zvlášť přizpůsobena.
(19)
Členské státy by měly zajistit předávání údajů o otiscích prstů v kvalitě dostatečné pro účely porovnávání prostřednictvím počítačového systému rozpoznávání otisků prstů. Všechny orgány s právem přístupu systému Eurodac by měly investovat do odpovídající odborné přípravy a nezbytného technického vybavení. Orgány s právem přístupu do systému Eurodac by měly informovat Evropskou agenturu pro provozní řízení rozsáhlých informačních systémů v prostoru svobody, bezpečnosti a práva, zřízenou nařízením Evropského parlamentu a Rady (EU) č. 1077/2011 (10) (dála jen „agentura“) o specifických potížích, s nimiž se v souvislosti s kvalitou údajů setkají, v zájmu jejich vyřešení.
(20)
Posuzování žádosti o mezinárodní ochranu ani rozhodnutí o ní by nemělo být nepříznivě ovlivněno skutečností, že je dočasně nebo trvale nemožné sejmout otisky subjektu údajů či předat údaje o nich z důvodů, jako jsou například nedostatečná kvalita údajů pro jejich náležité porovnání, technické problémy, důvody související s ochranou zdraví či se skutečností, že subjekt údajů, není v dobrém zdravotním stavu nebo že není možno kvůli okolnostem, na něž subjekt údajů nemá vliv, jeho otisky sejmout.
(21)
Shody nalezené v systému Eurodac by měl ověřovat vyškolený odborník na daktyloskopii s cílem zajistit správné určení příslušnosti podle nařízení (ES) č. 604/2013, a přesné zjištění totožnosti osoby podezřelé ze spáchání trestného činu nebo totožnosti oběti trestného činu, jejichž údaje mohou být v systému Eurodac uloženy.
(22)
Státní příslušníci třetích zemí nebo osoby bez státní příslušnosti, kteří žádali o mezinárodní ochranu v jednom z členských států, mohou během mnoha následujících let požádat o mezinárodní ochranu v jiném členském státě. Proto by maximální doba, po kterou by měly být údaje o otiscích prstů uloženy v ústředním systému, měla být značně dlouhá. Vzhledem k tomu, že většina státních příslušníků třetích zemí nebo osob bez státní příslušnosti, kteří zůstanou v Unii několik let, získá po uplynutí této doby povolení k trvalému pobytu nebo dokonce občanství členského státu, měla by být za přiměřenou pro uchovávání údajů o otiscích prstů považována doba deseti let.
(23)
Doba pro uchovávání by měla být kratší v určitých zvláštních případech, kdy není třeba údaje o otiscích prstů uchovávat tak dlouho. Údaje o otiscích prstů by měly být vymazány, jakmile státní příslušník třetí země nebo osoba bez státní příslušnosti získá občanství členského státu.
(24)
Je vhodné ukládat v systému Eurodac údaje o těch subjektech údajů, jejichž otisky prstů byly zaznamenány v tomto systému při podání žádosti o mezinárodní ochranu a jimž byla poskytnuta mezinárodní ochrana v členském státě, aby bylo možno je porovnat s údaji zaznamenanými při podání žádosti o mezinárodní ochranu.
(25)
Agentura byla pověřena převzít od Komise v souladu s tímto nařízením její úkoly související s provozním řízením systému Eurodac a některé úkoly související s komunikační infrastrukturou, a to ode dne, kdy agentura zahájila činnost, tj. od 1. prosince 2012. Agentura by měla vykonávat úkoly, které jí jsou svěřeny tímto nařízením, a příslušná ustanovení nařízení (EU) č. 1077/2011 by měla být odpovídajícím způsobem změněna. Dále by měl mít Europol status pozorovatele na zasedáních správní rady agentury v případech, kdy je na pořadu jednání otázka související s uplatňováním tohoto nařízení o konzultačním přístupu určených orgánů členských států a Europolu do systému Eurodac pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů. Europol by měl mít možnost jmenovat svého zástupce do poradní skupiny agentury pro systém Eurodac.
(26)
Na všechny zaměstnance agentury by se měl v záležitostech týkajících se tohoto nařízení vztahovat služební řád úředníků Evropské unie (služební řád úředníků) a pracovní řád ostatních zaměstnanců Evropské unie (pracovní řád), stanovené nařízením Rady (EHS, Euratom, ESUO) č. 259/68 (11) (společně dále jen „služební řád“).
(27)
Je nezbytné jasně stanovit odpovědnost Komise a agentury ve vztahu k ústřednímu systému a komunikační infrastruktuře a odpovědnost členských států ohledně zpracování údajů, zabezpečení údajů, přístupu k údajům a oprav zaznamenaných údajů.
(28)
Je nezbytné určit příslušné orgány členských států i národní přístupový bod, jehož prostřednictvím jsou podávány žádosti o porovnání s údaji systému Eurodac, a vést seznam provozních jednotek v rámci určených orgánů, které jsou oprávněny požádat o takové porovnání pro konkrétní účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů.
(29)
Žádosti o porovnání s údaji uloženými v ústředním systému by měly podávat provozní jednotky v rámci určených orgánů národnímu přístupovému bodu prostřednictvím orgánu provádějícího ověření a tyto žádosti by měly být odůvodněné. Provozní jednotky v rámci určených orgánů, které jsou oprávněny požadovat porovnání s údaji systému Eurodac, by neměly jednat jako orgány provádějící ověření. Orgány provádějící ověření by měly jednat nezávisle na určených orgánech a měly by odpovídat za nezávislé zajištění přísného dodržování podmínek přístupu stanovených v tomto nařízení. Orgány provádějící ověření by pak měly po ověření, že jsou splněny všechny podmínky pro přístup, zaslat žádost o porovnání prostřednictvím národního přístupového bodu bez uvedení důvodů,. Ve výjimečně naléhavých případech, kdy je nezbytný včasný přístup v zájmu reakce na konkrétní a aktuální hrozbu související s teroristickými trestnými činy či jinými závažnými trestnými činy, by měly orgány provádějící ověření zpracovat žádost okamžitě a až následně provést ověření.
(30)
Pokud to umožňují vnitrostátní právní předpisy, mohou být určený orgán a orgán provádějící ověření součástí stejné organizace, ovšem orgán provádějící ověření musí při provádění svých úkolů v rámci tohoto nařízení jednat nezávisle.
(31)
Pro účely ochrany osobních údajů a s cílem vyloučit systematická porovnávání, která by měla být zakázána, by měly být údaje systému Eurodac zpracovávány pouze ve specifických případech a tehdy, je-li to nezbytné pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů. Ke specifickému případu dochází zejména tehdy, když je žádost o porovnání spojena se specifickou a konkrétní situací nebo se specifickým a konkrétním nebezpečím souvisejícím s teroristickým či jiným závažným trestným činem nebo s určitými osobami, u nichž se lze ze závažných důvodů domnívat, že spáchají nebo spáchaly teroristické trestné činy nebo jiné závažné trestné činy. Ke specifickému případu také dochází, když je žádost o porovnání spojena s osobou, která je obětí teroristického či jiného závažného trestného činu. Určené orgány a Europol by tak měly žádat o porovnání s údaji systému Eurodac pouze tehdy, mají-li dostatečné důvody se domnívat, že takové porovnání poskytne informace, které jim významně pomohou při prevenci, odhalování nebo vyšetřování teroristického či jiného závažného trestného činu.
(32)
Přístup by měl být navíc povolen pouze pod podmínkou, že porovnávání s vnitrostátními databázemi otisků prstů členského státu a automatizovanými databázemi otisků prstů všech ostatních členských států podle rozhodnutí Rady 2008/615/SVV ze dne 23. června 2008 o posílení přeshraniční spolupráce, zejména v boji proti terorismu a přeshraniční trestné činnosti (12), nevede ke zjištění totožnosti subjektu údajů. Uvedenou podmínkou se od žádajícího členského státu vyžaduje, aby prováděl porovnávání údajů s údaji ze všech technicky dostupných automatizovaných databází otisků prstů ostatních členských států podle rozhodnutí 2008/615/SVV, s výjimkou případů, kdy členský stát doloží, že se lze důvodně domnívat, že by takové porovnávání ke zjištění totožnosti subjektu údajů nevedlo. Tato domněnka je odůvodněná, zejména tehdy, pokud konkrétní případ nemá žádnou operační ani vyšetřovací souvislost s daným členským státem. Uvedená podmínka vyžaduje aby žádající členský stát nejprve provedl právní i technickou implementaci, Rozhodnutí 2008/615/SVV, pokud jde o údaje o otiscích prstů, jelikož porovnávání údajů s údaji systému Eurodac pro účely vymáhání práva by nemělo být povoleno, pokud nebyly nejprve podniknuty výše uvedené kroky.
(33)
Dříve, než přikročí k vyhledávání údajů v systému Eurodac, by určené orgány v případě splnění podmínek pro provedení příslušného porovnání měly rovněž konzultovat Vízový informační systém v souladu s rozhodnutím Rady 2008/633/SVV ze dne 23. června 2008 o konzultačním přístupu určených orgánů členských států a Europolu do Vízového informačního systému (VIS) pro účely prevence, odhalování a vyšetřování teroristických trestných činů a jiných závažných trestných činů (13).
(34)
Aby mohly být osobní údaje účinně porovnávány a sdíleny, měly by členské státy důsledně provést a uplatňovat platné mezinárodní dohody a právní předpisy Unie v oblasti výměny osobních údajů, obzvláště pak rozhodnutí 2008/615/SVV.
(35)
Při uplatňování tohoto nařízení by se členské státy měly řídit především nejlepšími zájmy dítěte. Pokud žádající členský stát zjistí, že údaje systému Eurodac se týkají nezletilé osoby, smí tyto údaje použít výhradně pro účely vymáhání práva v souladu se svými právními předpisy týkajícími se nezletilých osob a v souladu s povinností řídit se především zásadou nejlepšího zájmu dítěte.
(36)
Zatímco se mimosmluvní odpovědnost Unie ve vztahu k provozu systému Eurodac se řídí odpovídajícími ustanoveními Smlouvy o fungování Evropské unie (dále jen „Smlouvy o fungování EU“), je nezbytné stanovit zvláštní pravidla mimosmluvní odpovědnosti členských států ve vztahu k provozu systému.
(37)
Jelikož cíle tohoto nařízení, totiž vytvoření systému pro porovnávání údajů o otiscích prstů na pomoc při provádění azylové politiky Unie, nemůže být z podstaty uspokojivě dosaženo na úrovni členských států, a proto ho může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity, stanovenou v článku 5 Smlouvy o Evropské unii (dále jen „Smlouva o EU"). V souladu se zásadou proporcionality stanovenou v uvedeném článku, nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení tohoto cíle.
(38)
Na zpracování osobních údajů při uplatňování tohoto nařízení prováděné členskými státy se vztahuje směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (14) s výjimkou případů, kdy toto zpracování provádějí určené orgány členských států nebo jejich orgány provádějící ověření pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů.
(39)
Zpracování osobních údajů prováděné orgány členských států pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů by mělo podléhat normám o ochraně osobních údajů podle vnitrostátního práva, které jsou v souladu s rámcovým rozhodnutím Rady 2008/977/SVV ze dne 27. listopadu 2008 o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech (15).
(40)
Zásady stanovené ve směrnici 95/46/ES o ochraně práv a svobod fyzických osob, především jejich práva na soukromí vzhledem ke zpracování osobních údajů, by měly být doplněny a objasněny, zejména v některých oblastech.
(41)
Předávání osobních údajů získaných členským státem nebo Europolem podle tohoto nařízení z ústředního systému jakékoli třetí zemi, mezinárodní organizaci nebo soukromým subjektům se sídlem v Unii nebo mimo ni, by mělo být zakázáno, aby se zajistilo právo na azyl a aby se zaručilo, že údaje žadatelů o mezinárodní ochranu nebudou poskytnuty žádné třetí zemi. To znamená, že členské státy by neměly předávat informace získané z ústředního systému ohledně: členského státu / členských států původu; místa a data podání žádosti o mezinárodní ochranu; referenčního čísla použitého členským státem původu; data, kdy byly sejmuty otisky prstů, a data, kdy členský stát předal tyto údaje do systému Eurodac; uživatelského jména operátora, ani jakékoli informace o jakémkoli přemístění subjektu údajů podle nařízení (EU) č. 604/2013. Tímto zákazem by nemělo být dotčeno právo členských států na předávání těchto údajů do třetích zemí, na které se vztahuje nařízení (EU) č. 604/2013, aby se zajistilo, že členské státy mají možnost spolupracovat s těmito třetími zeměmi pro účely tohoto nařízení.
(42)
Příslušné vnitrostátní orgány dozoru by měly sledovat zákonnost zpracování údajů členskými státy a zákonnost činností zpracování údajů vykonávaných úřadem Europol by měl sledovat kontrolní orgán zřízený rozhodnutím 2009/371/SVV.
(43)
Na zpracovávání osobních údajů orgány, institucemi, úřady a jinými subjekty Unie se podle tohoto nařízení se použije nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (16), zejména články 21 a 22 tohoto nařízení týkající se důvěrné povahy a bezpečnosti zpracování. Je však třeba objasnit určité body, které se týkají odpovědnosti za zpracování údajů a dozoru nad ochranou údajů vzhledem k tomu, že ochrana údajů je klíčovým faktorem pro úspěšné fungování systému Eurodac a že zabezpečení údajů, vysoká technická kvalita a zákonnost porovnávání údajů s údaji systému Eurodac mají zásadní význam pro to, aby se zajistilo hladké a řádné fungování tohoto systému a usnadnilo uplatňování nařízení (EU) č. 604/2013.
(44)
Subjekt údajů by měl být informován o tom, pro jaké účely budou jeho údaje v rámci systému Eurodac zpracovávány, včetně popisu cílů nařízení (EU) č. 604/2013 a způsobu, jímž mohou orgány pro vymáhání práva jeho údaje využít.
(45)
Je vhodné, aby zákonnost zpracovávání osobních údajů členskými státy sledovaly vnitrostátní orgány dozoru, zatímco evropský inspektor ochrany údajů by měl podle nařízení (ES) č. 45/2001 sledovat činnosti orgánů, institucí, úřadů a jiných subjektů Unie v souvislosti se zpracováváním osobních údajů při uplatňování tohoto nařízení.
(46)
Členské státy, Evropský parlament, Rada a Komise by měly zajistit, že vnitrostátní a evropské orgány dozoru budou schopny vykonávat přiměřený dohled nad používáním údajů ze systému Eurodac a nad přístupem k nim.
(47)
Je vhodné pravidelně sledovat a hodnotit provoz systému Eurodac a mimo jiné také to, zda přístup k údajům pro účely vymáhání práva nevedl k nepřímé diskriminaci žadatelů o mezinárodní ochranu, na což Komise upozornila ve svém hodnocení souladu tohoto nařízení s Listinou základních práv Evropské unie (dále jen „listinou“). Agentura by měla Evropskému parlamentu a Radě předkládat výroční zprávu o činnostech ústředního systému.
(48)
Členské státy by měly vytvořit systém účinných, přiměřených a odrazujících sankcí k trestání zpracování údajů vložených do ústředního systému v rozporu s účelem systému Eurodac.
(49)
Je nezbytné, aby členské státy byly informovány o stavu konkrétních azylových řízení s cílem umožnit řádné uplatňování nařízení (EU) č. 604/2013.
(50)
Toto nařízení respektuje základní práva a ctí zásady uznané zejména Listinou. Cílem tohoto nařízení je především zajistit plné dodržování ochrany osobních údajů a práva žádat o mezinárodní ochranu a podporovat uplatňování článků 8 a 18 Listiny. Toto nařízení by proto mělo být uplatňováno odpovídajícím způsobem.
(51)
V souladu s články 1 a 2 Protokolu č. 22 o postavení Dánska připojeného ke Smlouvě o EU a ke Smlouvě o fungování EU se Dánsko neúčastní přijímání tohoto nařízení a toto nařízení pro ně není závazné ani použitelné.
(52)
V souladu s článkem 3 Protokolu č. 21 o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o EU a ke Smlouvě o fungování EU, Spojené království oznámilo své přání účastnit se přijímání a používání tohoto nařízení.
(53)
V souladu s článkem 1 a 2 Protokolu č. 21 o postavení Spojeného království a Irska s ohledem na prostor svobody, bezpečnosti a práva, připojeného ke Smlouvě o EU a ke Smlouvě o fungování EU, a aniž je dotčen článek 4 uvedeného protokolu, se Irsko neúčastní přijímání tohoto nařízení a toto nařízení pro ně není závazné ani použitelné.
(54)
Je vhodné omezit územní působnost tohoto nařízení, aby odpovídala územní působnosti nařízení (ES) č. 604/2013,
PŘIJALY TOTO NAŘÍZENÍ:
KAPITOLA I
OBECNÁ USTANOVENÍ
Článek 1
Účel systému „Eurodac“
1. Zřizuje se systém zvaný „Eurodac“, jehož účelem je pomoci při určování členského státu, který je na základě nařízení (EU) č. 604/2013, příslušný pro posouzení žádosti o mezinárodní ochranu podané v členském státě státním příslušníkem třetí země nebo osobou bez státní příslušnosti, a jinak usnadňovat uplatňování nařízení (EU) č. 604/2013 za podmínek stanovených v tomto nařízení.
2. Toto nařízení rovněž stanoví podmínky, za nichž mohou určené orgány členských států a Evropský policejní úřad (Europol) požádat o porovnání údajů o otiscích prstů s údaji uloženými v ústředním systému pro účely vymáhání práva.
3. Aniž je dotčeno zpracování údajů určených pro systém Eurodac členským státem původu v databázích zřízených podle jeho vnitrostátních právních předpisů, mohou být údaje o otiscích prstů a další osobní údaje zpracovávány v systému Eurodac pouze pro účely stanovené v tomto nařízení a v čl. 34 odst. 1 nařízení.(EU) č. 604/2013.
Článek 2
Definice
1. Pro účely tohoto nařízení se rozumí:
a)
„žadatelem o mezinárodní ochranu“ státní příslušník třetí země nebo osoba bez státní příslušnosti, kteří učinili žádost o mezinárodní ochranu, jak je vymezena v čl. 2 písm. h) směrnice 2011/95/EU a o níž nebylo dosud pravomocně rozhodnuto;
b)
„členským státem původu“:
i)
ve vztahu k osobě uvedené v čl. 9 odst. 1 členský stát, který předává osobní údaje ústřednímu systému a přijímá výsledky porovnávání;
ii)
ve vztahu k osobě uvedené v čl. 14 odst. 1 členský stát, který předává osobní údaje ústřednímu systému;
iii)
ve vztahu k osobě uvedené v čl. 17 odst. 1 členský stát, který předává osobní údaje ústřednímu systému a přijímá výsledky porovnávání;
c)
„osobou požívající mezinárodní ochrany“ státní příslušník třetí země nebo osoba bez státní příslušnosti, jíž byla poskytnuta mezinárodní ochrana ve smyslu čl. 2 písm. a) směrnice 2011/95/EU;
d)
„shodou“ existence shody nebo shod zjištěných ústředním systémem při porovnávání údajů o otiscích prstů zaznamenaných v ústřední počítačové databázi s údaji předanými členským státem ohledně určité osoby, aniž je dotčen požadavek toho, aby členské státy ihned kontrolovaly výsledky porovnávání na základě čl. 25 odst. 4;
e)
„národním přístupovým bodem“ vnitrostátní systém určený pro komunikaci s ústředním systémem;
f)
„agenturou“ agentura zřízená nařízením (EU) č. 1077/2011;
g)
„Europolem“ Evropský policejní úřad zřízený rozhodnutím 2009/371/SVV;
h)
„údaji systému Eurodac“ všechny údaje uložené v ústředním systému v souladu s článkem 11 a čl. 14 odst. 2;
i)
„vymáháním práva“ prevence, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů;
j)
„teroristickými trestnými činy“ trestné činy podle vnitrostátního práva, které odpovídají nebo jsou rovnocenné trestným činům podle článků 1 až 4 rámcového rozhodnutí Rady 2002/475/SVV;
k)
„závažnými trestnými činy“ druhy trestných činů, které odpovídají nebo jsou rovnocenné trestným činům podle čl. 2 odst. 2 rámcového rozhodnutí 2002/584/SVV, které lze podle vnitrostátního práva potrestat odnětím svobody s horní hranicí sazby v délce nejméně tři roky nebo ochranným opatřením spojeným s omezením svobody ve stejné délce;
l)
„údaji o otiscích prstů“ údaje o otiscích všech prstů nebo alespoň ukazováčků, a jestliže tyto chybí, o otiscích všech ostatních prstů osoby nebo o latentním otisku.
2. Pojmy definované v článku 2 směrnice 95/46/ES mají v tomto nařízení stejný význam, ledaže zpracování osobních údajů provádějí orgány členských států pro účely uvedené v čl. 1 odst. 1 tohoto nařízení.
3. Není-li uvedeno jinak, mají pojmy definované v článku 2 nařízení (EU) č. 604/2013 v tomto nařízení stejný význam.
4. Pojmy definované v článku 2 rámcového rozhodnutí 2008/977/SVV mají v tomto nařízení stejný význam, pokud zpracování osobních údajů provádějí orgány členských států pro účely uvedené v čl. 1 odst. 2 tohoto nařízení.
Článek 3
Architektura systému a základní zásady
1. Eurodac se skládá z:
a)
počítačové ústřední databáze údajů o otiscích prstů (dále jen „ústřední systém“) složené z
i)
ústřední jednotky,
ii)
záložního plánu a systému.
b)
komunikační infrastruktury mezi ústředním systémem a členskými státy, která poskytuje šifrovanou virtuální síť vyhrazenou pro údaje systému Eurodac (dále jen „komunikační infrastruktura“).
2. Každý členský stát určí jeden národní přístupový bod.
3. Údaje o osobách uvedených v čl. 9 odst. 1, čl. 14 odst. 1 a čl. 17 odst. 1, které zpracovává ústřední systém, jsou zpracovávány jménem členského státu původu za podmínek stanovených v tomto nařízení a oddělovány vhodnými technickými prostředky.
4. Pravidla platná pro systém Eurodac platí rovněž pro činnosti prováděné členskými státy od předávání údajů ústřednímu systému až po využití výsledků porovnávání.
5. Postup snímání otisků prstů se určí a uplatňuje v souladu s vnitrostátními zvyklostmi daného členského státu a v souladu se zárukami stanovenými Listinou základních práv Evropské unie, Úmluvou o ochraně lidských práv a základních svobod a Úmluvou Organizace spojených národů o právech dítěte.
Článek 4
Provozní řízení
1. Za provozní řízení systému Eurodac odpovídá agentura.
Provozní řízení systému Eurodac sestává ze všech úkolů nezbytných pro zachování jeho nepřetržité funkčnosti v souladu s tímto nařízením, zejména z údržby a technického vývoje nezbytných k zajištění toho, aby systém fungoval na uspokojivé úrovni provozní kvality, zejména co se týče doby potřebné pro vyhledávání v ústředním systému. Při vypracovávání záložního plánu a systému se zohlední potřeby údržby i neočekávaný výpadek systému, včetně dopadu opatření k zajištění kontinuity provozu na zabezpečení a ochranu údajů.
Agentura ve spolupráci s členskými státy zajistí, aby se pro ústřední systém vždy využívaly nejlepší dostupné a nejbezpečnější technologie a techniky určené na základě analýzy nákladů a přínosů.
2. Agentura je odpovědná rovněž za následující úkoly týkající se komunikační infrastruktury:
a)
dozor;
b)
zabezpečení;
c)
koordinaci vztahů mezi členskými státy a poskytovatelem.
3. Komise je odpovědná za všechny úkoly související s komunikační infrastrukturou, které nejsou uvedeny v odstavci 2, zejména za:
a)
plnění rozpočtu;
b)
nákup a obnovu;
c)
smluvní záležitosti.
4. Aniž je dotčen článek 17 služebního řádu, agentura použije na všechny své zaměstnance, kteří pracují s údaji systému Eurodac, odpovídající pravidla služebního tajemství nebo jiné srovnatelné povinnosti zachování důvěrnosti. Tato povinnost je zachována i poté, co dotyčné osoby opustí svou funkci nebo zaměstnanecký poměr, nebo poté, co ukončí své služební povinnosti.
Článek 5
Orgány členských států určené pro přístup k údajům pro účely vymáhání práva
1. Pro účely uvedené v čl. 1 odst. 2 určí členské státy orgány, které jsou oprávněny žádat o porovnání s údaji ze systému Eurodac podle tohoto nařízení. Určenými orgány jsou orgány členských států, které jsou odpovědné za prevenci, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů. Mezi určené orgány nepatří služby či útvary, které jsou odpovědné výhradně za zpravodajskou činnost související s bezpečností státu.
2. Každý členský stát vede seznam určených orgánů.
3. Každý členský stát vede seznam provozních jednotek v rámci určených orgánů, které jsou oprávněny žádat o porovnání s údaji systému Eurodac prostřednictvím národního přístupového bodu.
Článek 6
Orgány členských států provádějící ověření pro účely vymáhání práva
1. Pro účely uvedené v čl. 1 odst. 2 určí každý členský stát jeden vnitrostátní orgán nebo útvar takového orgánu, který jedná jako jeho orgán provádějící ověření. Orgánem provádějícím ověření je orgán členského státu, který je odpovědný za prevenci, odhalování nebo vyšetřování teroristických trestných činů či jiných závažných trestných činů.
Pokud to umožňují vnitrostátní právní předpisy, mohou být určený orgán a orgán provádějící ověření součástí stejné organizace, ovšem orgán provádějící ověření jedná při provádění svých úkolů podle tohoto nařízení nezávisle. Orgán provádějící ověření je oddělen od provozních jednotek uvedených v čl. 5odst. 3 a nepřijímá od nich pokyny týkající se výsledku ověřování.
Členské státy mohou určit více orgánů provádějících ověření, aby zohlednily svou organizační a administrativní strukturu v souladu se svými ústavními a právními předpisy.
2. Orgán provádějící ověření zajistí, že jsou splněny podmínky žádosti o porovnání údajů o otiscích prstů s údaji systému Eurodac.
Právo přijmout a předat žádost o přístup do systému Eurodac mají v souladu s článkem 19 pouze řádně zmocnění pracovníci orgánu provádějícího ověření.
Pouze orgán provádějící ověření je oprávněn zasílat žádosti o porovnání otisků prstů národnímu přístupovému bodu.
Článek 7
Europol
1. Pro účely uvedené v čl. 1 odst. 2 určí Europol specializovanou jednotku s řádně zmocněnými zástupci Europolu, která jedná jako jeho orgán provádějící ověření a která při provádění svých úkolů v rámci tohoto nařízení jedná nezávisle na určeném orgánu uvedeném v odstavci 2 tohoto článku a nepřijímá od určeného orgánu pokyny týkající se výsledku ověřování. Tato specializovaná jednotka zajišťuje, že jsou splněny podmínky žádosti o porovnání údajů o otiscích prstů s údaji systému Eurodac. Europol určí po dohodě s každým členským státem národní přístupový bod tohoto členského státu, jenž jeho žádosti o porovnání údajů o otiscích prstů postupuje ústřednímu systému.
2. Pro účely uvedené v čl. 1 odst. 2 určí Europol provozní jednotku, která je oprávněna požadovat porovnání s údaji systému Eurodac prostřednictvím určeného národního přístupového bodu. Určený orgán je operační jednotkou Europolu, která je oprávněna shromažďovat, uchovávat, zpracovávat, analyzovat a vyměňovat údaje s cílem podpořit a posílit činnost členských států v rámci prevence, odhalování nebo vyšetřování teroristických či jiných závažných trestných činů spadajících do pravomocí Europolu.
Článek 8
Statistika
1. Agentura každé čtvrtletí vypracuje statistický přehled činnosti ústředního systému uvádějící především:
a)
počet předaných souborů údajů o osobách uvedených v čl. 9 odst. 1, čl. 14 odst. 1 a čl. 17 odst. 1;
b)
počet shod u žadatelů o mezinárodní ochranu, kteří podali žádost o mezinárodní ochranu v jiném členském státě;
c)
počet shod u osob uvedených v čl. 14 odst. 1, které následně podaly žádost o mezinárodní ochranu;
d)
počet shod u osob uvedených v čl. 17 odst. 1, které již dříve podaly žádost o mezinárodní ochranu v jiném členském státě;
e)
počet údajů o otiscích prstů, které si ústřední systém musel více než jednou vyžádat od členských států původu, protože původně předané údaje nebyly vhodné k porovnávání za použití počítačového systému rozpoznávání otisků prstů;
f)
počet souborů údajů, které byly označeny, jejichž označení bylo zrušeno, a které byly zablokovány a odblokovány v souladu s čl. 18 odst. 1 a 3;
g)
počet shod u osob uvedených v čl. 18 odst. 1, u kterých byly zaznamenány shody podle písmen b) a d) tohoto článku;
h)
počet žádostí a shod uvedených v čl. 20 odst. 1;
i)
počet žádostí a shod uvedených v čl. 21 odst. 1;
2. Na konci každého roku se sestaví statistický přehled složený z čtvrtletních statistických přehledů za daný rok, včetně údajů o počtu osob, u kterých byly zaznamenány shody podle odstavce 1 písm. b), c) a d). Statistický přehled obsahuje rozčlenění údajů pro každý členský stát. Výsledky jsou zveřejňovány.
KAPITOLA II
ŽADATELÉ O MEZINÁRODNÍ OCHRANU
Článek 9
Shromažďování, předávání a porovnávání otisků prstů
1. Každý členský stát neprodleně sejme otisky všech prstů každého žadatele o mezinárodní ochranu staršího 14 let a co nejrychleji, nejpozději však do 72 hodin od podání žádosti o mezinárodní ochranu podle čl. 20 odst. 2 nařízení (EU) č. 604/2013, předá tyto otisky spolu s údaji uvedenými v čl. 11 písm. b) až g) tohoto nařízení ústřednímu systému.
Nedodržení lhůty 72 hodin nezbavuje členské státy povinnosti sejmout otisky prstů a předat je ústřednímu systému. Pokud stav konečků prstů neumožňuje sejmout otisky prstů v takové kvalitě, která by umožnila řádné porovnání podle článku 25, členský stát původu opětovně sejme otisky prstů žadatele a znovu je odešle co nejrychleji, nejpozději však do 48 hodin poté, co byly úspěšně sejmuty.
2. Odchylně od odstavce 1, není-li možné sejmout otisky prstů žadatele o mezinárodní ochranu z důvodu opatření přijatých k zajištění zdraví žadatele nebo k ochraně veřejného zdraví, členský stát sejme a odešle otisky prstů tohoto žadatele co nejdříve to bude možné, nejpozději však do 48 hodin poté, co tyto zdravotní důvody pominou.
V případě vážných technických problémů mohou členské státy za účelem provedení vnitrostátních záložních plánů prodloužit lhůtu 72 hodin uvedenou v odstavci 1 nejvýše o dalších 48 hodin.
3. Údaje o otiscích prstů ve smyslu čl. 11 písm. a) předané některým členským státem, s výjimkou údajů předaných podle čl. 10 písm. b), jsou automaticky porovnávány ústřední jednotkou s údaji o otiscích prstů, které předaly jiné členské státy a které již byly uloženy v ústředním systému.
4. Ústřední systém na žádost členského státu zajistí, aby porovnávání podle odstavce 3 zahrnulo kromě údajů od jiných členských států i údaje o otiscích prstů již dříve předané tímto členským státem.
5. Ústřední systém automaticky předá shodu nebo negativní výsledek porovnávání členskému státu původu. Dojde-li ke shodě, předá pro všechny soubory údajů odpovídající shodě údaje uvedené v čl. 11 písm. a) až k), v případě potřeby spolu s označením uvedeným v čl. 18 odst. 1.
Článek 10
Informace o postavení subjektu údajů
Do ústředního systému se zasílají následující informace, které se v něm uloží v souladu s článkem 12 za účelem předání podle čl. 9 odst. 5:
a)
Po příjezdu žadatele o mezinárodní ochranu nebo jiné osoby podle čl. 18 odst. 1 písm. d) nařízení (EU) č. 604/2013 do příslušného členského státu, kam byli přemístěni na základě rozhodnutí vyhovět žádosti o přijetí zpět, v souladu s článkem 25 uvedeného nařízení, doplní příslušný členský stát svůj soubor údajů o dotčených osobách, které byly zaznamenány v souladu s článkem 11 tohoto nařízení, o datum jejich příjezdu.
b)
Když žadatel o mezinárodní ochranu přicestuje do příslušného členského státu, kam byl přemístěn na základě rozhodnutí vyhovět žádosti o jeho převzetí v souladu s článkem 22 nařízení (EU) č. 604/2013, odešle příslušný členský stát soubor údajů o dotčené osobě, které byly zaznamenány v souladu s článkem 11 tohoto nařízení, přičemž doplní datum jejího příjezdu.
c)
Jakmile členský stát původu zjistí, že dotčená osoba, jejíž údaje byly zaznamenány v systému Eurodac v souladu s článkem 11 tohoto nařízení, opustila území členských států, doplní s cílem usnadnit uplatňování čl. 19 odst. 2 a čl. 20 odst. 5 nařízení (EU) č. 604/2013 svůj soubor údajů o dotčené osobě, které byly zaznamenány v souladu s článkem 11 tohoto nařízení, o datum, kdy uvedená osoba opustila území.
d)
Jakmile členský stát původu zajistí, že dotčená osoba, jejíž údaje byly zaznamenány v systému Eurodac v souladu s článkem 11 tohoto nařízení, opustila území členských států v souladu s rozhodnutím o navrácení nebo rozhodnutím o vyhoštění, který členský stát původu vydal po zpětvzetí či zamítnutí žádosti o mezinárodní ochranu podle čl. 19 odst. 3 nařízení (EU) č. 604/2013, doplní svůj soubor údajů o dotčené osobě, které jsou zaznamenány v souladu s článkem 11 tohoto nařízení, o datum o jejího vyhoštění nebo o datum, kdy tato osoba opustila území.
e)
Členský stát, který se stane příslušným podle čl. 17 odst. 1 nařízení (EU) č. 604/2013, doplní svůj soubor údajů o žadateli o mezinárodní ochranu, které byly zaznamenány podle článku 11 tohoto nařízení, o datum přijetí rozhodnutí o posouzení žádosti.
Článek 11
Zaznamenávání údajů
V ústředním systému se zaznamenávají pouze tyto údaje:
a)
údaje o otiscích prstů;
b)
členský stát původu, místo a datum podání žádosti o mezinárodní ochranu; v případech uvedených v čl. 10 písm. b) je datem podání žádosti datum vložené členským státem, který žadatele přemístil;
c)
pohlaví;
d)
referenční číslo použité členským státem původu;
e)
datum sejmutí otisků prstů;
f)
datum předání údajů ústřednímu systému;
g)
uživatelské jméno operátora;
h)
je-li to třeba podle čl. 10 písm. a) nebo písm. b), datum příjezdu dotčené osoby po úspěšném přemístění;
i)
je-li to třeba podle čl. 10 písm. c), datum, kdy dotčená osoba opustila území členských států;
j)
je-li to třeba podle čl. 10 písm. d), datum, kdy dotčená osoba opustila území členských států nebo kdy z něj byla vyhoštěna;
k)
je-li to třeba podle čl. 10 písm. e), datum, kdy bylo přijato rozhodnutí o posouzení žádosti.
Článek 12
Uložení údajů
1. Každý soubor údajů podle článku 11 se uloží v ústředním systému na dobu deseti let ode dne, kdy byly sejmuty otisky prstů.
2. Po uplynutí doby uvedené odstavci 1 ústřední systém automaticky vymaže tyto údaje z ústředního systému.
Článek 13
Předčasné vymazání údajů
1. Údaje o osobě, která získá občanství některého členského státu před uplynutím doby uvedené v čl. 12 odst. 1, se vymažou z ústředního systému v souladu s čl. 27 odst. 4, jakmile se členský stát původu dozví, že dotyčná osoba získala toto občanství.
2. Ústřední systém co nejrychleji, nejpozději však do 72 hodin od vymazání, oznámí všem členským státům původu vymazání údajů podle odstavce 1 provedené jiným členským státem původu, jenž nalezl shodu s údaji, které tyto státy předaly o osobách uvedených v čl. 9 odst. 1 nebo v čl. 14 odst. 1.
KAPITOLA III
STÁTNÍ PŘÍSLUŠNÍCI TŘETÍCH ZEMÍ NEBO OSOBY BEZ STÁTNÍ PŘÍSLUŠNOSTI ZADRŽENÍ V SOUVISLOSTI S NEOPRÁVNĚNÝM PŘEKROČENÍM VNĚJŠÍ HRANICE
Článek 14
Shromažďování a předávání údajů o otiscích prstů
1. Každý členský stát neprodleně sejme otisky všech prstů každého státního příslušníka třetí země nebo osoby bez státní příslušnosti starších 14 let, zadržených příslušnými kontrolními orgány v souvislosti s neoprávněným překročením hranice daného členského státu po zemi, po moři nebo vzduchem, ze třetí země, kteří nebyli vráceni zpět nebo kteří fyzicky zůstali na území členských států a nebyli vzati do vazby, zajištěni ani zadrženi po celou dobu mezi zadržením a vyhoštěním provedeným na základě rozhodnutí o jejich vrácení zpět.
2. Daný členský stát co nejrychleji, nejpozději však do 72 hodin od zadržení předá ústřednímu systému o každém státním příslušníkovi třetí země nebo osobě bez státní příslušnosti uvedených v odstavci 1, kteří nebyli vráceni zpět, následující údaje:
a)
údaje o otiscích prstů;
b)
členský stát původu, místo a datum zadržení;
c)
pohlaví;
d)
referenční číslo použité členským státem původu;
e)
datum sejmutí otisků prstů;
f)
datum předání údajů ústřednímu systému;
g)
uživatelské jméno operátora.
3. Odchylně od odstavce 2, údaje uvedené v odstavci 2 o osobách zadržených podle odstavce 1, které fyzicky zůstávají na území členských států, ale jsou drženy ve vazbě, zajištěny nebo zadrženy déle než 72 hodin, se předají před jejich propuštěním z vazby, ze zajištění nebo zadržení.
4. Nedodržení lhůty 72 hodin uvedené v odstavci 2 tohoto článku nezbavuje členské státy povinnosti sejmout otisky prstů a předat je ústřednímu systému. Pokud stav konečků prstů neumožňuje sejmout otisky prstů v takové kvalitě, která by umožnila řádné porovnání podle článku 25, členský stát původu opětovně sejme otisky prstů zadržené osobě podle odstavce 1 tohoto článku a znovu je odešle co nejrychleji, nejpozději však do 48 hodin poté, co byly úspěšně sejmuty.
5. Odchylně od odstavce 1, není-li možné sejmout otisky prstů zadržené osoby z důvodu opatření přijatých k zajištění jeho zdraví nebo k ochraně veřejného zdraví, sejme a odešle členský stát tyto otisky prstů, co nejdříve to bude možné, nejpozději však do 48 hodin poté, co tyto zdravotní důvody pominou.
V případě vážných technických problémů mohou členské státy za účelem provedení vnitrostátních záložních plánů prodloužit lhůtu 72 hodin uvedenou v odstavci 2 nejvýše o dalších 48 hodin.
Článek 15
Zaznamenávání údajů
1. Údaje uvedené v čl. 14 odst. 2 se zaznamenávají do ústředního systému.
Aniž je dotčen článek 8, zaznamenávají se údaje předané ústřednímu systému na základě čl. 14 odst. 2 pouze pro účely porovnání s údaji o žadatelích o mezinárodní ochranu předanými následně ústřednímu systému a pro účely uvedené v čl. 1 odst. 2.
Ústřední systém neporovnává údaje předané na základě čl. 14 odst. 2 s žádnými údaji zaznamenanými dříve v ústředním systému ani s údaji předanými ústřednímu systému následně na základě čl. 14 odst. 2.
2. Pokud jde o porovnávání údajů o žadatelích o mezinárodní ochranu předaných ústřednímu systému následně s údaji uvedenými v odstavci 1, použijí se postupy stanovené v čl. 9 odst. 3 a 5 a v čl. 25 odst. 4.
Článek 16
Uložení údajů
1. Každý soubor údajů o státním příslušníkovi třetí země nebo osobě bez státní příslušnosti uvedených v čl. 14 odst. 1 se uloží do ústředního systému na dobu 18 měsíců ode dne, kdy byly sejmuty otisky prstů státního příslušníka třetí země nebo osoby bez státní příslušnosti. Po uplynutí této doby ústřední systém automaticky vymaže tyto údaje.
2. Údaje o státním příslušníkovi třetí země nebo osobě bez státní příslušnosti uvedených v čl. 14 odst. 1 se v souladu s čl. 28 odst. 3 vymažou z ústředního systému, jakmile členský stát původu zjistí před uplynutím 18 měsíční lhůty uvedené v odstavci 1 tohoto článku jednu z následujících skutečností:
a)
státnímu příslušníkovi třetí země nebo osobě bez státní příslušnosti bylo vydáno povolení k pobytu;
b)
státní příslušník třetí země nebo osoba bez státní příslušnosti opustili území členských států;
c)
státní příslušník třetí země nebo osoba bez státní příslušnosti získali občanství některého členského státu.
3. Ústřední systém co nejrychleji, nejpozději však do 72 hodin, oznámí všem členským státům původu vymazání údajů z důvodů uvedených v odst. 2 písm. a) nebo b) tohoto článku provedené jiným členským státem původu, jenž nalezl shodu s údaji, které tyto státy předaly o osobách uvedených v čl. 14 odst. 1.
4. Ústřední systém co nejrychleji, nejpozději však do 72 hodin, oznámí všem členským státům původu vymazání údajů z důvodů uvedených v odst. 2 písm. c) tohoto článku provedené jiným členským státem původu, jenž nalezl shodu s údaji, které tyto státy předaly o osobách uvedených v čl. 9 odst. 1 nebo v čl. 14 odst. 1.
KAPITOLA IV
STÁTNÍ PŘÍSLUŠNÍCI TŘETÍCH ZEMÍ NEBO OSOBY BEZ STÁTNÍ PŘÍSLUŠNOSTI, KTEŘÍ SE NEOPRÁVNĚNĚ ZDRŽUJÍ V ČLENSKÉM STÁTĚ
Článek 17
Porovnávání údajů o otiscích prstů
1. Každý členský stát může za účelem ověření, zda státní příslušník třetí země nebo osoba bez státní příslušnosti, kteří se ne oprávněně zdržují na jeho území, podali již dříve žádost o mezinárodní ochranu v jiném členském státě, předat ústřednímu systému jakékoli údaje o otiscích prstů, které byly sejmuty tomuto státnímu příslušníkovi třetí země nebo osobě bez státní příslušnosti starším 14 let, společně s referenčním číslem, které tento členský stát přidělil.
Obecně platí, že existují důvody pro ověření, zda státní příslušník třetí země nebo osoba bez státní příslušnosti již dříve podali žádost o mezinárodní ochranu v jiném členském státě, pokud:
a)
státní příslušník třetí země nebo osoba bez státní příslušnosti prohlašují, že již podali žádost o mezinárodní ochranu, aniž by však označili členský stát, ve kterém žádost podali;
b)
státní příslušník třetí země nebo osoba bez státní příslušnosti nežádají o mezinárodní ochranu, ale namítají, že návratem do země původu by byli vystaveni nebezpečí, nebo
c)
státní příslušník třetí země nebo osoba bez státní příslušnosti se snaží jinak zabránit svému vyhoštění odmítáním spolupráce při zjišťování jejich totožnosti, zejména tím, že nepředloží žádné nebo předloží padělané doklady totožnosti.
2. Pokud se členské státy účastní postupu uvedeného v odstavci 1, předají ústřednímu systému údaje o otiscích všech prstů nebo alespoň ukazováčků, a pokud tyto chybí, otisky všech ostatních prstů státních příslušníků třetích zemí nebo osob bez státní příslušnosti uvedených v odstavci 1.
3. Údaje o otiscích prstů státního příslušníka třetí země nebo osoby bez státní příslušnosti uvedených v odstavci 1 jsou předány ústřednímu systému pouze za účelem porovnávání s údaji o otiscích prstů žadatelů o mezinárodní ochranu předanými jinými členskými státy a již zaznamenanými v ústředním systému.
Údaje o otiscích prstů takového státního příslušníka třetí země nebo osoby bez státní příslušnosti se nezaznamenávají do ústředního systému, ani se neporovnávají s údaji předanými ústřednímu systému na základě čl. 14 odst. 2.
4. Poté, co jsou výsledky porovnávání údajů o otiscích prstů předány členskému státu původu, se záznam o vyhledávání uchovává v ústředním systému pouze pro účely uvedené v článku 28. Členské státy ani ústřední systém nesmí pro jiné než uvedené účely uchovávat žádné jiné záznamy o příslušném vyhledávání.
5. Pokud jde o porovnávání údajů o otiscích prstů předaných podle tohoto článku s údaji o otiscích prstů žadatelů o mezinárodní ochranu předanými jinými členskými státy a již uloženými v ústředním systému, použijí se postupy stanovené v čl. 9 odst. 3 a 5 a ustanovení čl. 25 odst. 4.
KAPITOLA V
OSOBY POŽÍVAJÍCÍ MEZINÁRODNÍ OCHRANY
Článek 18
Označování údajů
1. Pro účely stanovené v čl. 1 odst. 1 označí členský stát původu, který poskytl mezinárodní ochranu žadateli o mezinárodní ochranu, jehož údaje byly již zaznamenány na základě článku 11 v ústředním systému, příslušné údaje v souladu s požadavky na elektronickou komunikaci s ústředním systémem stanovenými agenturou. Toto označení se uloží v ústředním systému v souladu s článkem 12 za účelem předání podle čl. 9 odst. 5. Ústřední systém oznámí všem členským státům původu označení údajů provedené jiným členským státem původu, jenž nalezl shodu s údaji, které tyto státy předaly o osobách uvedených v článku 9 odst. 1 nebo v článku 14 odst. 1. Členské státy původu rovněž označí odpovídající soubory údajů.
2. Údaje o osobách požívajících mezinárodní ochrany, uložené v ústředním systému a označené podle odstavce 1 tohoto článku se poskytují pro porovnání pro účely uvedené v čl. 1 odst. 2 na dobu tří let ode dne, k němuž byla subjektu údajů poskytnuta mezinárodní ochrana.
Dojde-li ke shodě, ústřední systém předá údaje uvedené v čl. 11 písm. a) až k) pro všechny soubory údajů odpovídající shodě. Ústřední systém nepředá označení uvedené v odstavci 1 tohoto článku. Po uplynutí období tří let ústřední systém automaticky zablokuje předání těchto údajů v případě žádosti o porovnání pro účely stanovené v čl. 1 odst. 1, ovšem ponechá tyto údaje přístupné pro porovnání pro účely uvedené v čl. 1 odst. 1 do okamžiku, kdy budou vymazány. Blokované údaje se nepředávají a ústřední systém oznámí žádajícímu státu v případě nalezení shody negativní výsledek.
3 Členský stát původu zruší označení nebo zablokování údajů týkajících se státního příslušníka třetí země nebo osoby bez státní příslušnosti, jejichž údaje byly již dříve označeny nebo blokovány podle odstavců 1 nebo 2 tohoto článku, pokud je těmto osobám odňato postavení uprchlíka nebo status doplňkové ochrany, je ukončena jeho platnost nebo je zamítnuto prodloužení jeho platnosti, a to podle článků 14 nebo 19 směrnice 2011/95/EU.
KAPITOLA VI
POSTUP POROVNÁNÍ A PŘEDÁVÁNÍ ÚDAJŮ PRO ÚČELY VYMÁHÁNÍ PRÁVA
Článek 19
Postup porovnání údajů o otiscích prstů s údaji systému Eurodac
1. Pro účely stanovené v čl. 1 odst. 2 mohou určené orgány uvedené v čl. 5 odst. 1 a čl. 7 odst. 2 podat orgánu provádějícímu ověření odůvodněnou elektronickou žádost v souladu s čl. 20 odst. 1, spolu s referenčním číslem, které jí tyto orgány přidělily, o předání údajů o otiscích prstů pro porovnání s ústředním systémem prostřednictvím národního přístupového bodu. Orgán provádějící ověření po obdržení takové žádosti ověří, zda jsou splněny všechny podmínky žádosti o porovnání uvedené v článku 20, případně článku 21.
2. Jsou-li splněny všechny podmínky žádosti o porovnání údajů o otiscích prstů uvedené v článku 20 nebo 21, orgán provádějící ověření postoupí žádost o porovnání národnímu přístupovému bodu, který ji zpracuje v ústředním systému v souladu s postupy stanovenými v čl. 9 odst. 3 a 5 pro účely porovnání s údaji předanými ústřednímu systému podle čl. 9 odst. 1 a čl. 14 odst. 2.
3. Ve výjimečně naléhavých případech, kdy je nutné zabránit bezprostředně hrozícímu nebezpečí souvisejícímu s teroristickým či jiným závažným trestným činem, může úřad provádějící ověření postoupit údaje o otiscích prstů národnímu přístupovému bodu pro porovnání okamžitě po obdržení žádosti od určeného orgánu a až následně ověřit, zda jsou splněny všechny podmínky žádosti o porovnání údajů o otiscích prstů uvedené v článku 20 nebo článku 21, včetně toho, zda skutečně nastal výjimečně naléhavý případ. Následné ověření se provádí bez zbytečného prodlení po vyřízení žádosti.
4. Pokud se následným ověřením zjistí, že přístup k údajům systému Eurodac nebyl odůvodněný, všechny orgány, které měly přístup k těmto údajům, tyto informace získané ze systému Eurodac vymažou a sdělí tuto skutečnost orgánu provádějícímu ověření.
Článek 20
Podmínky přístupu určených orgánů k údajům systému Eurodac
1. Pro účely stanovené v čl. 1 odst. 2 mohou určené orgány podat odůvodněnou elektronickou žádost o porovnání údajů o otiscích prstů s údaji uloženými v ústředním systému v rámci svých pravomocí pouze tehdy, nevedlo-li ke zjištění totožnosti subjektu údajů porovnání s těmito databázemi:
-
vnitrostátní databáze otisků prstů,
-
automatizované databáze otisků prstů všech ostatních členských států podle rozhodnutí 2008/615/SVV, jsou-li porovnání technicky možná, s výjimkou případů, kdy se lze odůvodněně domnívat, že by takové porovnávání ke zjištění totožnosti subjektu údajů nevedlo. Tyto důvody se zahrnou do odůvodněné elektronické žádosti o porovnání s údaji systému Eurodac, již určený orgán zašle orgánu provádějícímu ověření, a
-
Vízový informační systém v případě splnění podmínek pro provedení příslušného porovnání stanovených v rozhodnutí Rady 2008/633/SVV;
a pokud jsou splněny všechny tyto podmínky:
a)
porovnání je nezbytné pro účely prevence, odhalování nebo vyšetřování teroristických trestných činů nebo jiných závažných trestných činů, což znamená, že existuje převažující zájem zachovat veřejnou bezpečnost, jenž prohledávání databáze opravňuje z hlediska proporcionality;
b)
porovnání je nezbytné ve specifickém případě (tzn. systematická porovnávání se neprovádějí); a
c)
existují oprávněné důvody předpokládat, že toto porovnání podstatně přispěje k prevenci, odhalování nebo vyšetřování jakýchkoli z daných trestných činů. Tyto oprávněné důvody existují zejména v případech, kdy existuje důvodné podezření, že podezřelá osoba, pachatel nebo oběť teroristického či jiného závažného trestného činu patří do jedné z kategorií, na něž se vztahuje toto nařízení.
2. Žádosti o porovnání s údaji systému Eurodac se omezují na vyhledávání na základě údajů o otiscích prstů.
Článek 21
Podmínky přístupu Europolu k údajům systému Eurodac
1. Pro účely stanovené v čl. 1 odst. 2 může určený orgán Europolu předložit odůvodněnou elektronickou žádost o porovnání údajů o otiscích prstů s údaji uloženými v ústředním systému v rámci mezí zmocnění Europolu a v případě, kdy je to nutné pro výkon jeho úkolů, a pouze tehdy, nevedlo-li ke zjištění totožnosti subjektu údajů porovnání údajů o otiscích prstů s údaji uloženými v některém ze systémů zpracování informací, které jsou z technického i právního hlediska Europolu přístupné, a v případě, že jsou splněny všechny tyto podmínky:
a)
porovnání je nezbytné s cílem podpořit a posílit činnost členských států v rámci prevence, odhalování nebo vyšetřování teroristických či jiných závažných trestných činů spadajících do pravomocí Europolu, což znamená, že existuje převažující zájem zachovat veřejnou bezpečnost, jenž prohledávání databáze opravňuje z hlediska proporcionality;
b)
porovnání je nezbytné ve specifickém případě (tzn. systematická porovnávání se neprovádějí); a
c)
existují oprávněné důvody předpokládat, že toto porovnání podstatně přispěje k prevenci, odhalování nebo vyšetřování jakýchkoli z daných trestných činů. Tyto oprávněné důvody existují zejména v případech, kdy existuje důvodné podezření, že podezřelá osoba, pachatel nebo oběť teroristického či jiného závažného trestného činu patří do jedné z kategorií, na něž se vztahuje toto nařízení.
2. Žádosti o porovnání s údaji systému Eurodac se omezují na porovnávání údajů o otiscích prstů.
3. Zpracování informací získaných Europolem z porovnání s údaji ze systému Eurodac podléhá povolení členského státu původu. Takové povolení lze získat prostřednictvím národní jednotky Europolu daného členského státu.
Článek 22
Komunikace mezi určenými orgány, orgány provádějícími ověření a národními přístupovými body
1. Aniž je dotčen článek 26, musí být veškerá komunikace mezi určenými orgány, orgány provádějícími ověření a národními přístupovými body zabezpečena a musí probíhat elektronicky.
2. Pro účely stanovené v čl. 1 odst. 2 zpracovává členský stát otisky prstů digitálně a předává je v datovém formátu uvedeném v příloze I, aby se zajistilo, že porovnání lze provést prostřednictvím počítačového systému rozpoznávání otisků prstů.
KAPITOLA VII
ZPRACOVÁNÍ ÚDAJŮ, OCHRANA ÚDAJŮ A ODPOVĚDNOST
Článek 23
Odpovědnost za zpracování údajů
1. Členský stát původu je odpovědný za
a)
snímání otisků prstů v souladu s právem;
b)
předávání údajů o otiscích prstů a dalších údajů uvedených v článku 11, čl. 14 odst. 2 a čl. 17 odst. 2 ústřednímu systému v souladu s právem;
c)
přesnost a aktuálnost údajů v době předání ústřednímu systému;
d)
zaznamenávání, ukládání, opravy a vymazávání údajů v ústředním systému v souladu s právem, aniž jsou dotčeny povinnosti agentury;
e)
zpracování výsledků porovnávání údajů o otiscích prstů předaných ústředním systémem v souladu s právem.
2. V souladu s článkem 34 zajistí členský stát původu zabezpečení údajů uvedených v odstavci 1 před předáváním ústřednímu systému a během něho, jakož i zabezpečení údajů, které od ústředního systému obdrží.
3. Členský stát původu je odpovědný za konečné určení totožnosti údajů podle čl. 25 odst. 4.
4. Agentura zajistí, aby byl ústřední systém provozován v souladu s tímto nařízením. Agentura zejména:
a)
přijímá opatření k zajištění toho, aby osoby pracující s ústředním systémem zpracovávaly údaje zaznamenané v tomto systému pouze v souladu s účelem systému Eurodac vymezeným v čl. 1 odst. 1;
b)
přijímá nezbytná opatření k zajištění zabezpečení ústředního systému v souladu s článkem 34;
c)
zajišťuje, aby přístup k ústřednímu systému měly pouze osoby oprávněné s ním pracovat, aniž je dotčena pravomoc evropského inspektora ochrany údajů.
Agentura uvědomí o opatřeních, která přijme k provedení prvního pododstavce, Evropský parlament, Radu a evropského inspektora ochrany údajů.
Článek 24
Předání
1. Otisky prstů se digitálně zpracují a předají v datovém formátu uvedeném v příloze I. V míře nezbytné pro účinný provoz ústředního systému stanoví agentura technické požadavky na předávání datového formátu členskými státy ústřednímu systému a naopak. Agentura zajistí že údaje o otiscích prstů předané členskými státy lze porovnávat počítačovým systémem rozpoznávání otisků prstů.
2. Členské státy předávají údaje uvedené v článku 11, čl. 14 odst. 2 a čl. 17 odst. 2 elektronicky. Údaje uvedené v článku 11 a čl. 14 odst. 2 se automaticky zaznamenávají v ústředním systému. V míře nezbytné pro účinný provoz ústředního systému stanoví agentura technické požadavky pro zajištění toho, aby údaje mohly být řádně elektronicky předávány z členských států do ústředního systému a naopak.
3. Referenční číslo uvedené v čl. 11 písm. d), čl. 14 odst. 2 písm. d), v čl. 17 odst. 1 a v čl. 19 odst. 1 umožňuje údaje jednoznačně přiřadit k jedné konkrétní osobě a členskému státu, který údaje předává. Dále umožňuje zjistit, zda se tyto údaje vztahují k osobě uvedené v čl. 9 odst. 1, čl. 14 odst. 1 nebo čl. 17 odst. 1.
4. Referenční číslo začíná identifikačním písmenem nebo písmeny, kterými je v souladu s normou uvedenou v příloze I identifikován členský stát předávající údaje. Za identifikačním písmenem nebo písmeny následuje identifikace kategorie osob nebo žádostí. Číslice „1“ označuje údaje vztahující se k osobám uvedeným v čl. 9 odst. 1, číslice „2“ k osobám podle čl. 14 odst. 1, číslice „3“ k osobám podle čl. 17 odst. 1, číslice „4“ k žádostem podle článku 20, číslice „5“ k žádostem podle článku 21 a číslice „9“ k žádostem podle článku 29.
5. Agentura stanoví pro členské státy nezbytné technické postupy zaručující, že údaje, které obdrží ústřední systém, budou jednoznačné.
6 Ústřední systém potvrdí přijetí předaných údajů co nejdříve. Za tímto účelem stanoví agentura nezbytné technické požadavky k zajištění toho, aby členské státy na požádání obdržely potvrzení o přijetí.
Článek 25
Provádění porovnávání a předávání výsledků
1. Členské státy zajistí předávání údajů o otiscích prstů v kvalitě dostatečné pro účely porovnávání prostřednictvím počítačového systému rozpoznávání otisků prstů. V míře nezbytné pro zajištění velmi vysoké úrovně přesnosti výsledků porovnávání prováděného ústředním systémem stanoví agentura přiměřenou kvalitu předávaných údajů o otiscích prstů. Ústřední systém zkontroluje kvalitu předaných údajů o otiscích prstů co nejdříve. Pokud údaje o otiscích prstů neumožňují porovnávání za použití počítačového systému rozpoznávání otisků prstů, ústřední systém informuje daný členský stát. Uvedený členský stát potom předá údaje o otiscích prstů přiměřené kvality s použitím stejného referenčního čísla, jaké měl předchozí soubor údajů.
2. Ústřední systém provádí porovnávání v pořadí, v jakém žádosti přicházejí. Každá žádost musí být vyřízena do 24 hodin. Členský stát může z důvodů souvisejících s vnitrostátními právními předpisy požadovat, aby zvláště naléhavá porovnání byla provedena do jedné hodiny. Pokud nelze tyto lhůty dodržet kvůli okolnostem, za které neodpovídá agentura, zpracuje ústřední systém žádost přednostně, jakmile tyto okolnosti pominou. V takových případech stanoví agentura v míře nezbytné pro účinný provoz ústředního systému kritéria pro zajištění přednostního vyřizování žádostí.
3. V míře nezbytné pro účinný provoz ústředního systému stanoví agentura provozní postupy pro zpracování přijatých údajů a pro předávání výsledků porovnávání.
4. Výsledky porovnávání jsou ihned kontrolovány v přijímajícím členském státě odborníkem na daktyloskopii, jak je vymezen v souladu s vnitrostátními pravidly, který je speciálně vyškolen v různých metodách porovnávání otisků prstů, jež toto nařízení upravuje. Pro účely stanovené v čl. 1 odst. 1 tohoto nařízení provádí konečné určení totožnosti členský stát původu ve spolupráci s dotčenými členskými státy na základě článku 34 nařízení(EU) č. 604/2013
Informace obdržené z ústředního systému o ostatních údajích, které se projevily jako nespolehlivé, jsou vymazány, jakmile se nespolehlivost těchto údajů prokáže.
5. Pokud z konečného určení totožnosti podle odstavce 4 vyplyne, že výsledek porovnávání obdržený z ústředního systému neodpovídá údajům o otiscích prstů zaslaným k porovnání, členské státy okamžitě vymaží výsledek porovnání a sdělí co nejrychleji, nejpozději však do tří pracovních dnů, tuto skutečnost Komisi a agentuře.
Článek 26
Komunikace mezi členskými státy a ústředním systémem
Údaje předávané členskými státy ústřednímu systému a naopak využívají komunikační infrastrukturu. V míře nezbytné pro účinný provoz ústředního systému stanoví agentura technické postupy nezbytné pro používání komunikační infrastruktury.
Článek 27
Přístup k údajům zaznamenaným v systému Eurodac, opravy nebo vymazání těchto údajů
1. Členský stát původu má přístup k údajům, které předal a které jsou zaznamenány v ústředním systému v souladu s tímto nařízením.
Žádný členský stát nemůže vyhledávat v údajích předaných jiným členským státem, ani takové údaje obdržet, kromě údajů pocházejících z porovnávání podle čl. 9 odst. 5.
2. Orgány členských států, které mají na základě odstavce 1 tohoto článku přístup k údajům zaznamenaným v ústředním systému, jsou orgány určené jednotlivými členskými státy pro účely stanovené v čl. 1 odst. 1. Při tomto určení každý členský stát přesně uvede jednotku odpovědnou za provádění úkolů souvisejících s uplatňováním tohoto nařízení. Každý členský stát neprodleně sdělí Komisi a agentuře seznam těchto jednotek a všechny změny v tomto seznamu. Agentura zveřejní souhrnný seznam v Úředním věstníku Evropské unie. V případě změn v tomto seznamu zveřejňuje agentura aktualizovaný souhrnný seznam jednou ročně na internetu.
3. Pouze členský stát původu má právo změnit údaje, které předal ústřednímu systému, opravami nebo doplněním těchto údajů, nebo je vymazat, aniž je dotčeno vymazávání prováděné na základě čl. 12 odst. 2 nebo čl. 16 odst. 1.
4. Jestliže má členský stát nebo agentura informace nasvědčující tomu, že údaje zaznamenané v ústředním systému jsou věcně nesprávné, upozorní na to co nejdříve členský stát původu.
Jestliže má členský stát informace nasvědčující tomu, že údaje byly zaznamenány do ústředního systému v rozporu s tímto nařízením, upozorní na to co nejdříve agenturu, Komisi a členský stát původu. Členský stát původu dané údaje zkontroluje a v případě nutnosti je bez odkladu změní nebo vymaže.
5. Agentura nepředá ani nezpřístupní údaje zaznamenané v ústředním systému orgánům žádné třetí země. Tento zákaz se nepoužije na předávání těchto údajů do třetích zemí, na které se vztahuje nařízení (EU) č. 604/2013.
Článek 28
Uchovávání záznamů
1. Agentura uchovává záznamy o všech úkonech zpracování údajů v rámci ústředního systému. Tyto záznamy vypovídají o účelu přístupu, o datu a čase, o předaných údajích, o údajích použitých pro dotazování, o názvu jednotky, která údaje vložila nebo vyhledávala, a o jménech odpovědných osob.
2. Záznamy podle odstavce 1 tohoto článku lze použít pouze pro sledování přípustnosti zpracovávání údajů z hlediska ochrany údajů a pro zajištění zabezpečení údajů v souladu s článkem 34. Záznamy musí být chráněny vhodnými opatřeními proti neoprávněnému přístupu a smazány po uplynutí jednoho roku od uplynutí doby uložení údajů podle čl. 12 odst. 1 a čl. 16 odst. 1, pokud nejsou nezbytné pro již zahájené kontrolní postupy.
3. Pro účely stanovené v čl. 1 odst. 1 přijme každý členský stát v souvislosti se svým vnitrostátním systémem opatření nezbytná k dosažení cílů stanovených v odstavci 1 a 2 tohoto článku. Každý členský stát navíc vede záznamy o pracovnících řádně zmocněných k vkládání nebo vyhledávání údajů.
Článek 29
Práva subjektu údajů
1. Každou osobu, na kterou se vztahuje čl. 9 odst. 1, čl. 14 odst. 1 nebo čl. 17 odst. 1, informuje členský stát původu písemně a v případě nutnosti i ústně, v jazyce, jemuž rozumí nebo o němž se lze důvodně domnívat, že mu rozumí, o
a)
totožnosti správce ve smyslu čl. 2 písm. d) směrnice 95/46/ES a případně jeho zástupce;
b)
účelu, pro který budou údaje o této osobě zpracovány systémem Eurodac, včetně popisu cílů nařízení (EU) č. 604/2013, v souladu s článkem 4 uvedeného nařízení, a srozumitelně a za použití jasného a jednoduchého jazyka jí vysvětlí, že členským státům a Europolu lze pro účely vymáhání práva poskytnout přístup k systému Eurodac;
c)
příjemcích údajů;
d)
povinnosti nechat si sejmout otisky prstů, pokud jde o osoby uvedené v čl.9 odst. 1 nebo čl. 14 odst. 1;
e)
právu na přístup k údajům o ní a jejím právu požadovat opravu nesprávných údajů o ní nebo vymazání údajů o ní, a které byly zpracovány v rozporu se zákonem, jakož i o právu obdržet informace o postupech při uplatňování těchto práv, včetně kontaktních údajů správce a vnitrostátních orgánů dozoru podle čl. 30 odst. 1.
2. Pokud jde o osobu, na kterou se vztahuje čl. 9 odst. 1 nebo čl. 14 odst. 1, jsou jí informace uvedené v odstavci 1 tohoto článku poskytnuty při snímání otisků prstů.
Pokud jde o osobu, na kterou se vztahuje čl. 17 odst. 1, jsou jí informace uvedené v odstavci 1 tohoto článku poskytnuty nejpozději při předání údajů o ní ústřednímu systému. Tato povinnost neplatí, pokud se poskytnutí těchto informací ukáže jako nemožné nebo pokud by vyžadovalo nepřiměřené úsilí.
Je-li osoba, které se týká čl.9 odst. 1, čl. 14 odst. 1 a čl. 17 odst. 1, nezletilá, poskytne jí členský stát informace způsobem přiměřeným jejímu věku.
3. Postupem podle čl. 44 odst. 2 nařízení(EU) č. 604/2013 se vypracuje společný leták obsahující alespoň informace podle odstavce 1 tohoto článku a informace podle čl. 4 odst. 1 uvedeného nařízení.
Leták musí být jasný, jednoduchý a sepsaný v jazyce, jemuž daná osoba rozumí nebo o němž se lze důvodně domnívat, že mu rozumí.
Leták musí být vypracován takovým způsobem, aby měly členské státy možnost doplnit do něho další informace týkající se konkrétního členského státu. Tyto specifické informace zahrnují alespoň práav subjektu údajů a možnost pomoci ze strany vnitrostátních orgánů dozoru a i kontaktní údaje kanceláře správce a vnitrostátních orgánů dozoru.
4. Pro účely stanovené v čl. 1 odst. 1 tohoto nařízení může v každém členském státě každý subjekt údajů v souladu s právními předpisy a postupy daného státu vykonávat práva stanovená článkem 12 směrnice 95/46/ES.
Aniž je dotčena povinnost poskytnout další informace v souladu s čl. 12 písm. a) směrnice 95/46/ES, má subjekt údajů právo získat sdělení o údajích, které se ho týkají a které jsou zaznamenány v ústředním systému, a o členském státě, který je předal ústřednímu systému. Tento přístup k údajům může poskytnout pouze některý členský stát.
5. Pro účely stanovené v čl. 1 odst. 1 může v každém členském státě každá osoba požadovat opravu údajů, které jsou věcně nesprávné, nebo o vymazání údajů zaznamenaných v rozporu se zákonem. Opravu a vymazání provede bez zbytečného odkladu členský stát, který údaje předal, v souladu s vnitrostátními právními předpisy a postupy.
6. Pokud je právo na opravu a vymazání pro účely stanovené v čl. 1 odst. 1 vykonáváno v jiném členském státě, než který předal údaje, spojí se orgány tohoto členského státu s orgány členského státu nebo států, které tyto údaje předaly, aby mohly zkontrolovat správnost údajů a zákonnost jejich předání a zaznamenání v ústředním systému.
7. Pokud vyjde najevo, že údaje zaznamenané v ústředním systému jsou věcně nesprávné nebo byly zaznamenány v rozporu se zákonem, členský stát, který je předal, tyto údaje pro účely stanovené v čl. 1 odst. 1 opraví nebo vymaže v souladu s čl. 27 odst. 3. Tento členský stát subjektu údajů bez zbytečného odkladu písemně potvrdí, že provedl opravu nebo vymazání údajů o něm.
8. Jestliže členský stát, který předal údaje, nesouhlasí s tím, že údaje zaznamenané v ústředním systému jsou věcně nesprávné nebo byly zaznamenány v rozporu se zákonem, sdělí pro účely stanovené v čl. 1 odst. 1 bez zbytečného odkladu písemně subjektu údajů důvody, proč nehodlá tyto údaje opravit nebo vymazat.
Tento členský stát také subjektu údajů poskytne poučení o krocích, které může učinit, nepřijme-li poskytnuté vysvětlení. To zahrnuje informace, jak podat žalobu nebo případně stížnost příslušným orgánům nebo soudům daného členského státu, a o veškeré finanční nebo jiné pomoci dostupné v souladu s právními předpisy a postupy daného členského státu.
9. Každá žádost podle odstavců 4 a 5 musí obsahovat všechny podrobnosti nutné k určení totožnosti subjektu údajů, včetně otisků prstů. Tyto údaje se použijí výhradně k umožnění výkonu práv uvedených v odstavcích 4 a 5 a jsou vymazány ihned poté.
10. Příslušné orgány členských států aktivně spolupracují na bezodkladném uplatnění práv stanovených v odstavcích 5, 6 a 7.
11. Požádá-li subjekt údajů o poskytnutí údajů, které se ho týkají, v souladu s odstavcem 4, příslušný orgán uchová písemný záznam o podání této žádosti a způsobu jejího řešení a neprodleně jej zpřístupní vnitrostátním orgánům dozoru.
12. Pro účely stanovené v čl. 1 odst. 1 tohoto nařízení pomáhá v každém členském státě jeho orgán dozoru v souladu s čl. 28 odst. 4 směrnice 95/46/ES subjektu údajů na základě její žádosti při výkonu jejích práv.
13. Pro účely stanovené v čl. 1 odst. 1 tohoto nařízení orgán členského státu, který předal údaje, a orgán dozoru členského státu, ve kterém se nachází subjekt údajů, tomuto subjektu pomáhají, a pokud o to požádá, radí mu při výkonu jeho práv na opravu nebo vymazání údajů. Oba tyto orgány dozoru za tímto účelem spolupracují. Žádosti o takovouto pomoc mohou být podány orgánu dozoru členského státu, ve kterém se nachází subjekt údajů, a ten je předá orgánu členského státu, který předal údaje.
14. V každém členském státě může každá osoba v souladu s právními předpisy a postupy daného státu podat žalobu nebo případně stížnost příslušným orgánům nebo soudům daného státu, pokud je jí odepřeno právo přístupu stanovené v odstavci 4.
15. Každá osoba může v souladu s právními předpisy a postupy členského státu, který předal údaje, podat žalobu nebo, je-li to vhodné, stížnost příslušným orgánům nebo soudům daného státu ohledně údajů, které se k ní vztahují a jsou zaznamenány v ústředním systému, za účelem výkonu svých práv podle odstavce 5. Povinnost orgánů dozoru členských států pomáhat subjektu údajů, a pokud o to požádá, radit mu v souladu s odstavcem 13 trvá během celého řízení.
Článek 30
Dozor vykonávaný orgány dozoru členských států
1. Pro účely stanovené v čl. 1 odst. 1 tohoto nařízení každý členský stát zajistí, aby jeho orgán nebo orgány dozoru určené podle čl. 28 odst. 1 směrnice 95/46/ES dohlížely nezávisle a v souladu s jeho vnitrostátními právními předpisy na zákonnost zpracování osobních údajů daným členským státem v souladu s tímto nařízením, včetně jejich předání ústřednímu systému.
2. Každý členský stát zajistí, aby jeho orgán dozoru měl možnost poradit se s osobami s dostatečnými znalostmi v oboru daktyloskopie.
Článek 31
Dozor vykonávaný evropským inspektorem ochrany údajů
1. Evropský inspektor ochrany údajů zajišťuje, aby bylo veškeré zpracovávání osobních údajů v systému Eurodac, zejména činnosti prováděné agenturou, prováděno v souladu s nařízením (ES) č. 45/2001 a tímto nařízením.
2. Evropský inspektor ochrany údajů zajišťuje, aby byl alespoň každým třetím rokem v souladu s mezinárodními auditorskými standardy proveden audit činností agentury souvisejících se zpracováváním osobních údajů. Zpráva o tomto auditu se zasílá Evropskému parlamentu, Radě, Komisi, agentuře a vnitrostátním orgánům dozoru. Agentura má možnost se k zprávě před jejím přijetím vyjádřit.
Článek 32
Spolupráce orgánů dozoru členských států s evropským inspektorem ochrany údajů
1. Vnitrostátní orgány dozoru a evropský inspektor ochrany údajů v rozsahu svých pravomocí aktivně spolupracují v rámci svých povinností a zajišťují koordinovaný dozor nad systémem Eurodac.
2. Členské státy zajistí, aby nezávislý orgán každoročně provedl v souladu s čl. 33 odst. 2 audit zpracování osobních údajů pro účely uvedené v čl. 1 odst. 2, jehož součástí je i analýza vzorku odůvodněných elektronických žádostí.
Zpráva o auditu se připojí k výroční zprávě členských států uvedené v čl. 40 odst. 7.
3. Vnitrostátní orgány dozoru a evropský inspektor ochrany údajů si v rozsahu svých pravomocí vyměňují důležité informace, vzájemně si pomáhají při provádění auditů a inspekcí, posuzují potíže vznikající při výkladu a uplatňování tohoto nařízení, zkoumají obtíže s výkonem nezávislého dozoru nebo při výkonu práv subjektů údajů, vypracovávají harmonizované návrhy společných řešení všech obtíží a podle potřeby zvyšují informovanost o právech na ochranu údajů.
4. Pro účely odstavce 3 se vnitrostátní orgány dozoru a evropský inspektor ochrany údajů setkávají nejméně dvakrát ročně. Náklady na tato setkání nese a jejich organizaci zajišťuje evropský inspektor ochrany údajů. Na prvním setkání se přijme jednací řád. Podle potřeby se společně vypracovávají další pracovní metody. Jednou za dva roky se zasílá Evropskému parlamentu, Radě, Komisi a agentuře společná zpráva o činnostech.
Článek 33
Ochrana osobních údajů pro účely vymáhání práva
1. Každý členský stát zajistí, aby ustanovení přijatá v rámci vnitrostátních právních předpisů, kterými se provádí rámcové rozhodnutí 2008/977/SVV, byla rovněž použitelná na zpracování osobních údajů jejich vnitrostátními orgány pro účely stanovené v čl. 1 odst. 2 tohoto nařízení.
2. Sledování zákonnosti zpracování osobních údajů podle tohoto nařízení členským státem pro účely stanovené v čl. 1 odst. 2 tohoto nařízení, včetně předávání těchto údajů do systému Eurodac a z něho, provádějí vnitrostátní orgány dozoru určené podle rámcového rozhodnutí 2008/977/SVV.
3. Zpracovávání osobních údajů Europolem podle tohoto nařízení probíhá v souladu s rozhodnutím 2009/371/SVV a dohlíží na ně nezávislý externí inspektor ochrany údajů. Na zpracování osobních údajů Europolem podle tohoto nařízení se tudíž použijí ustanovení článku 30, 31 a 32 uvedeného rozhodnutí. Nezávislý externí inspektor ochrany údajů zajistí, aby práva fyzických osob nebyla porušována.
4. Osobní údaje získané podle tohoto nařízení ze systému Eurodac pro účely stanovené v čl. 1 odst. 2 se zpracovávají pouze pro účely prevence, odhalování nebo vyšetřování konkrétního případu, pro nějž daný členský stát nebo Europol podal žádost o příslušné údaje.
5. Ústřední systém, určené orgány a orgány provádějící ověření a Europol uchovávají záznam o vyhledávání údajů, aby vnitrostátním orgánům pro ochranu údajů a evropskému inspektorovi ochrany údajů umožnily kontrolovat, zda jsou údaje zpracovávány v souladu s předpisy Unie pro ochranu údajů, a to i pro účely vedení záznamů pro účely vypracovávání výročních zpráv uvedených v čl. 40 odst. 7. Osobní údaje získané za jiným než výše uvedeným účelem a rovněž záznamy o jejich vyhledávání se vymažou ze všech vnitrostátních souborů a souborů Europolu po uplynutí jednoho měsíce, jestliže údaje nejsou potřebné pro účely specifického probíhajícího vyšetřování trestné činnosti, jež bylo důvodem žádosti daného členského státu nebo Europolu o příslušné údaje.
Článek 34
Zabezpečení údajů
1. Členský stát původu zajistí zabezpečení údajů před jejich předáváním ústřednímu systému a během něho.
2. Každý členský stát přijme pro všechny údaje zpracované jeho příslušnými orgány podle tohoto nařízení nezbytná opatření, včetně přijetí bezpečnostního plánu, aby:
a)
údaje fyzicky chránil, mimo jiné vypracováním plánů pro mimořádné situace na ochranu kritické infrastruktury;
b)
zabránil neoprávněným osobám v přístupu do vnitrostátních zařízení, ve kterých členský stát provádí činnosti v souladu s cíli systému Eurodac (kontroly při vstupu do zařízení);
c)
zabránil neoprávněnému čtení, kopírování, úpravám a vymazání nosičů údajů (kontrola nosičů údajů);
d)
zabránil neoprávněnému vkládání údajů a neoprávněnému prohlížení, změnám nebo vymazávání uložených osobních údajů (kontrola uložení);
e)
zabránil neoprávněnému zpracování údajů v systému Eurodac a jakékoli neoprávněné úpravě nebo vymazání údajů zpracovávaných v systému Eurodac (kontrola vstupu údajů);
f)
zajistil, aby osoby oprávněné k přístupu do systému Eurodac měly přístup pouze k údajům, na které se vztahuje jejich oprávnění k přístupu, a pouze s pomocí individuálních a jednoznačných totožností uživatele a chráněných režimů přístupu k informacím (kontrola přístupu k údajům);
g)
zajistil, aby všechny orgány s právem přístupu do systému Eurodac vytvořily profily popisující funkce a povinnosti osob, jež jsou oprávněny k údajům přistupovat a údaje vkládat, aktualizovat, vymazávat nebo vyhledávat, a aby tyto profily a veškeré další související informace, jež mohou orgány potřebovat pro účely dozoru, na žádost neprodleně zpřístupnily vnitrostátním orgánům dozoru uvedeným v článku 28 směrnice 95/46/ES a článku 25 rámcového rozhodnutí 2008/977/SVV (profily pracovníků);
h)
zajistil, aby bylo možné ověřit a zjistit, kterým orgánům se mohou osobní údaje předávat prostřednictvím zařízení pro předávání údajů (kontrola předávání údajů);
i)
zajistil možnost ověření a zjištění, které údaje byly v systému Eurodac zpracovány, kdy, kým a za jakým účelem (kontrola zaznamenávání údajů);
j)
zabránil neoprávněnému čtení, kopírování, úpravám a vymazávání osobních údajů během jejich předávání ze systému Eurodac a do něho nebo během přepravy nosičů údajů, zejména prostřednictvím vhodných technik šifrování (kontrola přepravy);
k)
sledoval účinnost bezpečnostních opatření uvedených v tomto odstavci a přijal nezbytná organizační opatření související s interním sledováním, aby zajistil dodržování tohoto nařízení (interní kontrola) a do 24 hodin automatické odhalování jakýchkoli událostí, které vznikly v důsledku uplatňování opatření uvedených v písmenech b) až j) a mohou poukazovat na bezpečnostní incident.
3. Členské státy informují agenturu o bezpečnostních incidentech, které ve svém systému odhalily. Agentura informuje o bezpečnostních incidentech členské státy, Europol a evropského inspektora ochrany údajů. Dotčené členské státy, agentura a Europol během bezpečnostního incidentu vzájemně spolupracují.
4. Agentura přijme opatření nezbytná k dosažení cílů stanovených v odstavci 2, pokud jde o provoz systému Eurodac, včetně přijetí bezpečnostního plánu.
Článek 35
Zákaz předávání údajů třetím zemím, mezinárodním organizacím a soukromým subjektům
1. Osobní údaje získané členským státem nebo Europolem podle tohoto nařízení z ústředního systému nesmí být předávány nebo zpřístupňovány žádné třetí zemi, mezinárodní organizaci ani soukromému subjektu usazenému v Unii nebo mimo ni. Tento zákaz se uplatní i v případě, že jsou tyto údaje dále zpracovávány na vnitrostátní úrovni nebo mezi členskými státy ve smyslu čl. 2 písm. b) rámcového rozhodnutí 2008/977/SVV.
2. Osobní údaje, které pocházejí z některého členského státu a jsou pro účely stanovené v čl. 1 odst. 2 vyměňovány mezi členskými státy na základě zjištěné shody, nesmí být předávány třetím zemím, hrozí-li vážné nebezpečí, že subjekty údajů mohou být v důsledku předání těchto informací vystaveny mučení, nelidskému a ponižujícímu zacházení nebo trestům nebo mohou čelit jakémukoli jinému porušování základních práv.
3. Zákazem uvedeným v odstavcích 1 a 2 není dotčeno právo členských států předávat tyto údaje třetím zemím, na které se vztahuje nařízení (EU) č. 604/2013.
Článek 36
Vedení protokolů a dokumentace
1. Každý členský stát a Europol zajistí, aby všechny úkony zpracování údajů pro účely stanovené v čl. 1 odst. 2 plynoucí z žádostí o porovnání s údaji systému Eurodac byly zaprotokolovány nebo zdokumentovány pro účely kontroly přípustnosti žádosti, sledování zákonnosti zpracování údajů a neporušenosti a zabezpečení údajů a pro účely vlastní kontroly.
2. Protokol nebo dokumentace musí v každém případě obsahovat:
a)
přesný účel žádosti o porovnání, včetně příslušné podoby teroristického trestného činu nebo jiného závažného trestného činu, a v případě Europolu přesný účel žádosti o porovnání;
b)
rozumné důvody pro to, aby nebylo provedeno porovnání s jinými členskými státy podle rozhodnutí 2008/615/SVV v souladu s čl. 20 odst. 1 tohoto nařízení;
c)
odkaz na vnitrostátní spis;
d)
datum a přesný čas zaslání žádosti národního přístupového bodu o porovnání do ústředního systému;
e)
název orgánu, který požádal o přístup za účelem porovnání, a jméno odpovědné osoby, která podala žádost a zpracovala údaje;
f)
případně využití postupu v naléhavém případě uvedeného v čl. 19 odst. 3 a rozhodnutí přijaté s ohledem na následné ověření;
g)
údaje použité pro porovnání;
h)
podle vnitrostátních pravidel nebo rozhodnutí 2009/371/SVV identifikační značku úředníka, který provedl vyhledání, a úředníka, který vyhledání nebo poskytnutí údajů nařídil.
3. Protokoly a dokumentace se použijí pouze pro sledování zákonnosti zpracování údajů z hlediska ochrany údajů a pro zajištění zabezpečení údajů. Pro sledování a hodnocení uvedené v článku 40 smějí být použity pouze protokoly obsahující jiné než osobní údaje. Příslušné vnitrostátní orgány dozoru odpovědné za kontrolu přípustnosti žádosti a sledování zákonnosti zpracování údajů a neporušenosti a zabezpečení údajů mají na požádání přístup k těmto protokolům za účelem plnění svých povinností.
Článek 37
Odpovědnost
1. Každá osoba nebo členský stát poškozený následkem protiprávního zpracování nebo jakéhokoli jednání neslučitelného s tímto nařízením je oprávněn obdržet náhradu škody od členského státu odpovědného za způsobenou škodu. Tento stát je zcela nebo částečně zproštěn své odpovědnosti, pokud prokáže, že neodpovídá za událost vedoucí ke vzniku škody.
2. Pokud nesplnění povinností plynoucích z tohoto nařízení členským státem způsobí škodu ústřednímu systému, je tento členský stát za takovou škodu odpovědný, kromě případu, kdy agentura nebo jiný členský stát neučinily přiměřené kroky s cílem předejít této škodě nebo zmírnit její následky.
3. Uplatnění nároku na náhradu za škodu uvedenou v odstavcích 1 a 2 vůči členskému státu se řídí vnitrostátními právními předpisy žalovaného členského státu.
KAPITOLA VIII
ZMĚNY NAŘÍZENÍ (EU) č. 1077/2011
Článek 38
Změny nařízení (EU) č. 1077/2011
Nařízení (EU) č. 1077/2011 se mění takto:
1)
Článek 5 se nahrazuje tímto:
„Článek 5
Úkoly související se systémem Eurodac”
V souvislosti se systémem Eurodac plní agentura:
a)
úkoly, kterými ji pověřuje nařízení Evropského parlamentu a Rady (EU) č. 603/2013 o zřízení 26. června 2013 systému „Eurodac“ pro porovnávání otisků prstů za účelem účinného uplatňování nařízení (EU) č. 604/2013, kterým se stanoví kritéria a postupy pro určení členského státu příslušného k posuzování žádosti mezinárodní ochranu podané státním příslušníkem třetí země nebo osobou bez státní příslušnosti v některém z členských států,]a pro podávání žádostí orgánů pro vymáhání práva členských států a Europolu o porovnání údajů s údaji systému Eurodac pro účely vymáhání práva (17); a
b)
úkoly související s odbornou přípravou zaměřenou na technické aspekty používání systému Eurodac.
2)
Ustanovení čl. 12 odst. 1 se mění takto:
a)
písmena u) a v) se nahrazují tímto:
„u)
přijímá výroční zprávu o činnosti ústředního systému Eurodac podle čl. 40 odst. 1 nařízení Evropského parlamentu a Rady (EU) č. 603/2013;
v)
vyjadřuje se ke zprávám evropského inspektora ochrany údajů o auditech podle čl. 45 odst. 2 nařízení (ES) č. 1987/2006, čl. 42 odst. 2 nařízení (ES) č. 767/2008 a čl. 31 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 603/2013 a zajišťuje patřičná opatření v návaznosti na audit;“
b)
písmeno x) se nahrazuje tímto:
„x)
vypracovává statistiky o činnosti ústředního systému Eurodac podle čl. 8 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 603/2013“;
c)
písmeno z) se nahrazuje tímto:
„z)
zajišťuje každoroční zveřejnění seznamu určených útvarů podle čl. 27 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 603/2013“;
3)
V článku 15 se odstavec 4 nahrazuje tímto:
„4. Europol a Eurojust se mohou účastnit zasedání správní rady jako pozorovatelé, jsou-li na pořadu jednání otázky týkající se SIS II v souvislosti s uplatňováním rozhodnutí 2007/533/SVV. Europol se také může účastnit zasedání správní rady jako pozorovatel, jsou-li na pořadu jednání otázky týkající se VIS v souvislosti s uplatňováním rozhodnutí 2008/633/SVV nebo otázky týkající se systému Eurodac a související s nařízením Evropského parlamentu a Rady (EU) č. 603/2013.“
4)
Článek 17 se mění takto:
a)
V odstavci 5 se písmeno g) nahrazuje tímto:
„g)
aniž je dotčen článek 17 služebního řádu, stanoví požadavky na důvěrnost údajů k zajištění souladu s článkem 17 nařízení (ES) č. 1987/2006, článkem 17 rozhodnutí 2007/533/SVV, čl. 26 odst. 9 nařízení (ES) č. 767/2008 a čl. 4 odst. 4 nařízení (EU) Evropského parlamentu a Rady č. 603/2013;“
b)
V odstavci 6 se písmeno i) nahrazuje tímto:
„i)
zpráv o technickém fungování jednotlivých rozsáhlých informačních systémů uvedených v čl. 12 odst. 1 písm. t) a výroční zprávy o činnosti ústředního systému Eurodac uvedené v čl. 12 odst. 1 písm. u), na základě výsledků sledování a hodnocení.“
5)
V článku 19 se odstavec 3 nahrazuje tímto:
„3. Europol a Eurojust mohou každý jmenovat svého zástupce do poradní skupiny pro SIS II. Europol může také jmenovat svého zástupce do poradní skupiny pro VIS a do poradní skupiny pro systém Eurodac.“.
KAPITOLA IX
ZÁVĚREČNÁ USTANOVENÍ
Článek 39
Náklady
1. Náklady spojené se zřízením a provozem ústředního systému a komunikační infrastruktury jsou hrazeny ze souhrnného rozpočtu Evropské unie.
2. Náklady na národní přístupové body a náklady na jejich připojení k ústřednímu systému jsou hrazeny jednotlivými členskými státy.
3. Každý členský stát a Europol vytvoří a udržují na vlastní náklady technickou infrastrukturu nezbytnou k provádění tohoto nařízení a jsou odpovědné za úhradu svých nákladů plynoucích ze žádostí o porovnání s údaji systému Eurodac pro účely uvedené v čl 1 odst. 2.
Článek 40
Výroční zpráva: sledování a hodnocení
1. Agentura předkládá Evropskému parlamentu, Radě, Komisi a evropskému inspektorovi ochrany údajů výroční zprávu o činnostech ústředního systému, včetně jeho technického fungování a zabezpečení. Výroční zpráva obsahuje informace o řízení a výkonu systému Eurodac vzhledem k předem určeným kvantitativním ukazatelům úkolů uvedených v odstavci 2.
2. Agentura zajistí zavedení postupů ke sledování fungování ústředního systému vzhledem k cílům týkajícím se výsledků, efektivity nákladů a kvality služeb.
3. Pro účely technické údržby, vypracovávání zpráv a statistik má agentura přístup k nezbytným informacím, které se týkají zpracovávání údajů v ústředním systému.
4. Do 20. července 2018 a poté každé čtyři roky předloží Komise celkové hodnocení systému Eurodac posuzující dosažené výsledky vzhledem k cílům a dopad na základní práva, mimo jiné to, zda přístup do systému pro účely vymáhání práva nevedl k nepřímé diskriminaci osob, kterých se toto nařízení týká, a hodnotící trvalou platnost základních zásad a důsledky pro budoucí provoz a vypracuje nezbytná doporučení. Komise předá tato hodnocení Evropskému parlamentu a Radě.
5. Členské státy poskytují agentuře a Komisi informace nezbytné k vypracování zpráv podle odstavce 1.
6. Agentura, členské státy a Europol poskytují Komisi informace nezbytné pro přípravu hodnotících zpráv uvedených v odstavci 4. Tyto informace nesmějí ohrozit pracovní metody ani obsahovat informace, které prozrazují zdroje, pracovníky nebo vyšetřování určených orgánů.
7. Každý členský stát a Europol vypracují při dodržení vnitrostátních právních předpisů o zveřejňování citlivých informací výroční zprávu o účinnosti porovnávání údajů o otiscích prstů s údaji systému Eurodac pro účely vymáhání práva, která obsahuje informace a statistické údaje o:
-
přesném účelu porovnání, včetně druhu teroristického trestného činu nebo závažného trestného činu,
-
skutečnostech zakládajících důvodné podezření,
-
opodstatněných důvodech pro to, aby nebylo provedeno porovnání s jinými členskými státy podle rozhodnutí 2008/615/SVV v souladu s čl. 20 odst. 1 tohoto nařízení,
-
počtu žádostí o porovnání,
-
počtu a druhu případů, které byly završeny úspěšným určením totožnosti,
-
potřebě a využití postupu pro výjimečně naléhavé případy včetně případů, kdy orgán provádějící ověření při následném ověření výjimečnou naléhavost neuznal.
Výroční zprávy členských států a Europolu se předají Komisi do 30. června následujícího roku.
8. Na základě výročních zpráv členských států a Europolu uvedených v odstavci 7 a celkového hodnocení uvedeného v odstavci 4, zpracuje Komise výroční zprávu o přístupu do systému Eurodac pro účely vymáhání práva a předá ji Evropskému parlamentu, Radě a evropskému inspektorovi ochrany údajů.
Článek 41
Sankce
Členské státy přijmou nezbytná opatření k zajištění toho, aby se na jakékoli zpracování údajů vložených do ústředního systému v rozporu s účelem systému Eurodac stanoveným v článku 1 vztahovaly v souladu s vnitrostátním právem účinné, přiměřené a odrazující sankce, včetně správních nebo trestních sankcí.
Článek 42
Místní působnost
Toto nařízení se nevztahuje na území, na která se nevztahuje nařízení (EU) č. 604/2013.
Článek 43
Oznámení určených orgánů a orgánů provádějících ověření
1. Nejpozději 20. října 2013 každý členský stát oznámí Komisi své určené orgány a provozní jednotky uvedené v čl. 5 odst. 3 a svůj orgán provádějící ověření a bezodkladně oznámí jakoukoli jejich změnu.
2. Nejpozději 20. října 2013 Europol oznámí Komisi svůj určený orgán, svůj orgán provádějící ověření a národní přístupový bod, který určil, a bezodkladně oznámí jakoukoli jejich změnu.
3. Komise každoročně zveřejní informace uvedené v odstavcích 1 a 2 v Úředním věstníku Evropské unie a.formou elektronické publikace, kterou zpřístupní na internetu a kterou stále aktualizuje.
Článek 44
Přechodná ustanovení
Údaje blokované v ústředním systému podle článku 12 nařízení (ES) č. 2725/2000 se odblokují a označí v souladu s čl. 18 odst. 1 tohoto nařízení dne 20. července 2015.
Článek 45
Zrušení
Nařízení (ES) č. 2725/2000 a nařízení Rady (ES) č. 407/2002 se zrušují s účinkem ode dne 20. července 2015.
Odkazy na zrušená nařízení se považují za odkazy na toto nařízení v souladu se srovnávací tabulkou obsaženou v příloze III.
Článek 46
Vstup v platnost a použitelnost
Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
Toto nařízení se použije od 20. července 2015.
Členské státy oznámí Komisi a agentuře, že přijaly technická opatření nezbytná k předávání údajů ústřednímu systému, co nejdříve, nejpozději však 20. července 2015.
Toto nařízení je závazné v celém rozsahu a přímo použitelné v členských státech v souladu se Smlouvami.
V Bruselu dne 26. června 2013.
RÈGLEMENT (UE) N o 603/2013 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 26 juin 2013
relatif à la création d'Eurodac pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (UE) no 604/2013 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale introduite dans l'un des États membres par un ressortissant de pays tiers ou un apatride et relatif aux demandes de comparaison avec les données d'Eurodac présentées par les autorités répressives des États membres et Europol à des fins répressives, et modifiant le règlement (UE) no 1077/2011 portant création d'une agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice (refonte)
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 78, paragraphe 2, point e), son article 87, paragraphe 2, point a), et son article 88, paragraphe 2, point a),
vu la proposition de la Commission européenne,
vu l'avis du Contrôleur européen de la protection des données (1),
statuant conformément à la procédure législative ordinaire (2),
considérant ce qui suit:
(1)
Le règlement (CE) no 2725/2000 du Conseil concernant la création du système "Eurodac" pour la comparaison des empreintes digitales aux fins de l'application efficace de la convention de Dublin (3), ainsi que le règlement (CE) no 407/2002 du Conseil du 28 février 2002 fixant certaines modalités d'application du règlement (CE) no 2725/2000 concernant la création du système "Eurodac" pour la comparaison des empreintes digitales aux fins de l'application efficace de la convention de Dublin (4) doivent faire l'objet de plusieurs modifications substantielles. Dans un souci de clarté, il convient de procéder à la refonte desdits règlements.
(2)
Une politique commune dans le domaine de l'asile, comprenant un régime d'asile européen commun, est un élément constitutif de l'objectif de l'Union européenne visant à mettre en place progressivement un espace de liberté, de sécurité et de justice ouvert à ceux qui, poussés par les circonstances, recherchent une protection internationale dans l'Union.
(3)
Le Conseil européen du 4 novembre 2004 a adopté le programme de La Haye, qui fixe les objectifs à mettre en œuvre dans le domaine de la liberté, de la sécurité et de la justice pendant la période 2005-2010. Le pacte européen sur l'immigration et l'asile approuvé par le Conseil européen des 15 et 16 octobre 2008 a appelé à achever la mise en place du régime d'asile européen commun, par la création d'une procédure unique prévoyant des garanties communes et un statut uniforme pour les réfugiés et les personnes pouvant bénéficier de la protection subsidiaire.
(4)
Il est nécessaire, aux fins de l'application du règlement (UE) no 604/2013 du Parlement européen et du Conseil du 26 juin 2013 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale introduite dans l'un des États membres par un ressortissant de pays tiers ou un apatride (5) d'établir l'identité des demandeurs d'une protection internationale et des personnes interpellées à l'occasion du franchissement illégal d'une frontière extérieure de l'Union. Aux fins de l'application efficace du règlement (UE) no 604/2013, et en particulier de son article 18, paragraphe 1, points b) et d), il est également souhaitable que tout État membre puisse vérifier si un ressortissant de pays tiers ou un apatride se trouvant illégalement sur son territoire a demandé une protection internationale dans un autre État membre.
(5)
Les empreintes digitales constituent un élément important aux fins de l'établissement de l'identité exacte de ces personnes. Il est nécessaire de créer un système de comparaison de leurs données dactyloscopiques.
(6)
À cette fin, il est nécessaire de créer un système dénommé "Eurodac", composé d'un système central, qui gérera une base de données dactyloscopiques centrale et informatisée, ainsi que des moyens électroniques de transmission entre les États membres et le système central, ci-après dénommé "infrastructure de communication".
(7)
Le programme de La Haye a appelé à l'amélioration de l'accès aux fichiers de données existant au niveau de l'Union. En outre, le programme de Stockholm a demandé un mode de collecte de données bien ciblé et un développement de l'échange d'informations et de ses outils qui réponde aux besoins en matière répressive.
(8)
En matière de lutte contre les infractions terroristes et les autres infractions pénales graves, il est essentiel que les autorités répressives disposent des informations les plus complètes et les plus récentes pour pouvoir exécuter leurs tâches. Les informations contenues dans Eurodac sont nécessaires aux fins de la prévention ou de la détection d'infractions terroristes visées dans la décision-cadre 2002/475/JAI du Conseil du 13 juin 2002 relative à la lutte contre le terrorisme (6) ou d'autres infractions pénales graves visées dans la décision-cadre 2002/584/JAI du Conseil du 13 juin 2002 relative au mandat d'arrêt européen et aux procédures de remise entre États membres (7), ou aux fins des enquêtes en la matière. Par conséquent, les autorités désignées des États membres et de l'Office européen de police (Europol) devraient avoir accès aux données d'Eurodac à des fins de comparaison sous réserve des conditions énoncées dans le présent règlement.
(9)
Les pouvoirs conférés aux autorités répressives concernant l'accès à Eurodac devraient s'entendre sans préjudice du droit du demandeur d'une protection internationale de voir sa demande traitée en temps utile, conformément au droit pertinent. En outre, toute mesure de suivi après l'obtention d'un résultat positif dans Eurodac devrait également s'entendre sans préjudice de ce droit.
(10)
Dans sa communication au Conseil et au Parlement européen du 24 novembre 2005 sur le renforcement de l'efficacité et de l'interopérabilité des bases de données européennes dans le domaine de la justice et des affaires intérieures et sur la création de synergies entre ces bases, la Commission indiquait que les autorités chargées de la sécurité intérieure pourraient avoir accès à Eurodac dans des cas bien définis, lorsqu'il existe de bonnes raisons de croire que l'auteur d'une infraction terroriste ou d'une autre infraction pénale grave a demandé une protection internationale. Dans cette communication, la Commission précisait également qu'en vertu du principe de proportionnalité, Eurodac ne pouvait être interrogé à cette fin que si l'intérêt supérieur de la sécurité publique le commandait, c'est-à-dire si l'acte commis par le criminel ou le terroriste à identifier est si répréhensible qu'il justifie des recherches dans une base de données où sont enregistrées des personnes ayant un casier judiciaire vierge, et concluait que le seuil que devaient respecter les autorités chargées de la sécurité intérieure pour pouvoir interroger Eurodac devait donc toujours être sensiblement plus élevé que le seuil à respecter pour pouvoir interroger des bases de données criminelles.
(11)
En outre, dans le cadre de la coopération entre les autorités des États membres lors d'enquêtes sur des activités criminelles transfrontalières, Europol joue un rôle clé de soutien dans la prévention de la criminalité, ainsi que pour l'analyse et les enquêtes criminelles à l'échelle de l'Union. Dès lors, Europol devrait également avoir accès à Eurodac dans le cadre de sa mission et conformément à la décision 2009/371/JAI du Conseil du 6 avril 2009 portant création de l'Office européen de police (Europol) (8).
(12)
Les demandes d'Europol de comparaison avec les données d'Eurodac ne devraient être autorisées que dans des cas spécifiques et selon des conditions strictes.
(13)
Eurodac ayant été créé pour faciliter l'application de la convention de Dublin, l'accès à Eurodac aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, et des enquêtes en la matière constitue un changement de la finalité initiale d'Eurodac, qui constitue une ingérence dans l'exercice du droit fondamental au respect de la vie privée des personnes dont les données à caractère personnel sont traitées dans Eurodac. Toute ingérence de ce type doit être conforme à la loi, qui doit être formulée avec une précision suffisante pour permettre à toute personne d'adapter son comportement et doit protéger les personnes contre tout traitement arbitraire et indiquer de façon suffisamment explicite le pouvoir d'appréciation conféré aux autorités compétentes et la manière dont ce pouvoir doit s'exercer. Toute ingérence doit être nécessaire dans une société démocratique pour protéger un intérêt légitime et proportionné et doit revêtir un caractère proportionné par rapport à l'objectif légitime qu'elle vise à atteindre.
(14)
Même si la finalité initiale de la création d'Eurodac ne nécessitait pas la possibilité de demander la comparaison de données sur la base d'une empreinte latente, c'est-à-dire d'une trace dactyloscopique pouvant être décelée sur le lieu d'un crime, avec les données d'Eurodac, cette possibilité est fondamentale dans le domaine de la coopération policière. La possibilité de comparer une empreinte latente avec les données dactyloscopiques qui sont conservées dans Eurodac, dans des cas où il existe des motifs raisonnables de croire que l'auteur de l'infraction ou la victime peuvent relever de l'une des catégories couvertes par le présent règlement, fournira aux autorités désignées des États membres un outil très précieux pour la prévention ou la détection des infractions terroristes ou d'autres infractions pénales graves, ainsi que pour les enquêtes en la matière, notamment lorsque les seules preuves disponibles sur le lieu d'un crime sont des empreintes latentes.
(15)
Le présent règlement fixe également les conditions dans lesquelles les demandes de comparaison de données dactyloscopiques avec les données d'Eurodac aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière devraient être autorisées, ainsi que les garanties nécessaires pour assurer la protection du droit fondamental au respect de la vie privée des personnes dont les données à caractère personnel sont traitées dans Eurodac. La rigueur de ces conditions est le reflet du fait que la base de données Eurodac conserve les données dactyloscopiques de personnes qui sont présumées n'avoir commis aucune infraction terroriste ni aucune autre infraction pénale grave.
(16)
Pour garantir l'égalité de traitement de tous les demandeurs et bénéficiaires d'une protection internationale et pour assurer la cohérence avec l'actuel acquis de l'Union en matière d'asile, et notamment avec la directive 2011/95/UE du Parlement européen et du Conseil du 13 décembre 2011 concernant les normes relatives aux conditions que doivent remplir les ressortissants des pays tiers ou les apatrides pour pouvoir bénéficier d'une protection internationale, à un statut uniforme pour les réfugiés ou les personnes pouvant bénéficier de la protection subsidiaire, et au contenu de cette protection (9), ainsi qu'avec le règlement (UE) no 604/2013, il convient d'élargir le champ d'application du présent règlement afin d'y inclure les demandeurs de protection subsidiaire et les personnes pouvant bénéficier de la protection subsidiaire.
(17)
Il est également nécessaire d'exiger des États membres qu'ils relèvent et transmettent sans tarder les données dactyloscopiques de chaque demandeur d'une protection internationale et de chaque ressortissant de pays tiers ou apatride interpellé à l'occasion du franchissement irrégulier d'une frontière extérieure d'un État membre, dans la mesure où il a au moins 14 ans.
(18)
Il est nécessaire de fixer des règles précises pour la transmission de ces données dactyloscopiques au système central, l'enregistrement de ces données dactyloscopiques et d'autres données pertinentes dans le système central, leur conservation, leur comparaison avec d'autres données dactyloscopiques, la transmission des résultats de cette comparaison et le marquage et l'effacement des données enregistrées. Ces règles peuvent varier en fonction de la situation de différentes catégories de ressortissants de pays tiers ou d'apatrides et devraient être spécifiquement adaptées à cette situation.
(19)
Les États membres devraient veiller à transmettre des données dactyloscopiques d'une qualité appropriée aux fins d'une comparaison par le système informatisé de reconnaissance des empreintes digitales. Toutes les autorités ayant un droit d'accès à Eurodac devraient investir dans une formation appropriée ainsi que dans l'équipement technologique nécessaire. Les autorités ayant un droit d'accès à Eurodac devraient informer l'agence européenne pour la gestion opérationnelle des systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice, créée par le règlement (UE) no 1077/2011 du Parlement européen et du Conseil (10) (ci-après dénommée "agence"), des difficultés spécifiques rencontrées en ce qui concerne la qualité des données, afin d'y remédier.
(20)
L'impossibilité temporaire ou permanente de recueillir et/ou de transmettre des données dactyloscopiques, soit pour des raisons telles qu'une qualité insuffisante des données pour effectuer une comparaison appropriée, des problèmes techniques ou des motifs de protection de la santé, soit du fait que la personne concernée est mise dans l'impossibilité ou dans l'incapacité de fournir des empreintes digitales en raison de circonstances hors de son contrôle, ne devrait pas avoir d'incidence négative sur l'examen de la demande de protection internationale que cette personne a introduite, ni sur la décision en l'espèce.
(21)
Il convient que les résultats positifs obtenus dans Eurodac soient vérifiés par un expert en empreintes digitales, qui ait reçu une formation, de manière à garantir la détermination exacte de la responsabilité au titre du règlement (UE) no 604/2013, ainsi que l'identification précise du suspect ou de la victime de l'infraction pénale dont les données sont peut-être conservées dans Eurodac.
(22)
Il se peut que des ressortissants de pays tiers ou des apatrides qui ont demandé une protection internationale dans un État membre aient la possibilité de demander cette même protection dans un autre État membre pendant de nombreuses années encore. Par conséquent, la période maximale pendant laquelle les données dactyloscopiques devraient être conservées par le système central devrait être très longue. Étant donné que la plupart des ressortissants de pays tiers ou des apatrides qui sont installés dans l'Union depuis plusieurs années auront obtenu un statut de résident permanent, voire la nationalité d'un État membre à la fin de cette période, une période de dix ans devrait être considérée comme raisonnable pour la conservation de données dactyloscopiques.
(23)
La période de conservation devrait être écourtée dans certaines situations particulières, dans lesquelles il n'est pas nécessaire de conserver des données dactyloscopiques aussi longtemps. Les données dactyloscopiques devraient être effacées dès qu'un ressortissant de pays tiers ou un apatride obtient la nationalité d'un État membre.
(24)
Il convient de conserver les données des personnes dont les empreintes digitales ont été enregistrées initialement dans Eurodac lorsqu'elles ont introduit leur demande de protection internationale, et qui se sont vu accorder une protection internationale dans un État membre, afin de permettre la comparaison de ces données avec celles qui sont enregistrées au moment de l'introduction d'une demande de protection internationale.
(25)
L'agence a été chargée des tâches de la Commission concernant la gestion opérationnelle d'Eurodac conformément au présent règlement, ainsi que de certaines tâches liées à l'infrastructure de communication depuis l'entrée en fonction de l'agence au 1er décembre 2012. Il convient que l'agence exerce les tâches qui lui sont confiées en vertu du présent règlement et que les dispositions pertinentes du règlement (UE) no 1077/2011 soient modifiées en conséquence. Par ailleurs, Europol devrait avoir le statut d'observateur aux réunions du conseil d'administration de l'agence lorsqu'une question liée à l'application du présent règlement concernant l'accès en consultation à Eurodac par les autorités désignées des États membres et Europol aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ainsi qu'aux fins des enquêtes en la matière, figure à l'ordre du jour. Il convient qu'Europol puisse désigner un représentant au sein du groupe consultatif sur Eurodac relevant de l'agence.
(26)
Le statut des fonctionnaires de l'Union européenne (ci-après dénommé "statut des fonctionnaires") et le régime applicable aux autres agents de l'Union européenne (ci-après dénommé "régime"), fixés par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (11) (ci-après dénommés conjointement "statut") devraient s'appliquer à l'ensemble du personnel de l'agence travaillant sur des questions relatives au présent règlement.
(27)
Il est nécessaire de fixer clairement les responsabilités respectives de la Commission et de l'agence, en ce qui concerne le système central et l'infrastructure de communication, et des États membres, en ce qui concerne le traitement des données, la sécurité des données, l'accès aux données enregistrées et leur correction.
(28)
Il convient de désigner les autorités compétentes des États membres ainsi que le point d'accès national par l'intermédiaire desquels les demandes de comparaison avec les données d'Eurodac sont présentées et de dresser une liste des unités opérationnelles, au sein des autorités désignées, qui sont autorisées à demander ces comparaisons aux fins spécifiques de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ainsi que des enquêtes en la matière.
(29)
Les demandes de comparaison avec les données conservées dans le système central devraient être présentées par les unités opérationnelles au sein des autorités désignées auprès du point d'accès national, par l'intermédiaire de l'autorité chargée de la vérification, et devraient être motivées. Les unités opérationnelles au sein des autorités désignées qui sont autorisées à demander des comparaisons avec les données d'Eurodac ne devraient pas exercer les fonctions d'autorité chargée de la vérification. Les autorités chargées de la vérification devraient agir indépendamment des autorités désignées et devraient veiller, de manière indépendante, au respect strict des conditions d'accès fixées dans le présent règlement. Les autorités chargées de la vérification devraient ensuite, sans en indiquer les motifs, transférer la demande de comparaison par l'intermédiaire du point d'accès national au système central après avoir vérifié que toutes les conditions d'accès sont remplies. Dans des cas d'urgence exceptionnels, lorsqu'un accès rapide est nécessaire pour réagir à une menace spécifique et réelle liée à des infractions terroristes ou à d'autres infractions pénales graves, l'autorité chargée de la vérification devrait traiter immédiatement la demande et ne procéder aux vérifications qu'ultérieurement.
(30)
L'autorité désignée et l'autorité chargée de la vérification peuvent appartenir à la même organisation si le droit national le permet, mais l'autorité chargée de la vérification devrait agir en toute indépendance quand elle exerce ses fonctions au titre du présent règlement.
(31)
Aux fins de la protection des données à caractère personnel, et dans le but d'exclure les comparaisons systématiques, qui devraient être interdites, le traitement des données d'Eurodac ne devrait avoir lieu que dans des cas particuliers et pour autant que cela est nécessaire aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière. Constitue notamment un cas particulier le fait que la demande de comparaison soit liée à une situation spécifique et concrète ou à un danger spécifique et concret en rapport avec une infraction terroriste ou une autre infraction pénale grave, ou à des personnes spécifiques à l'égard desquelles il existe des raisons sérieuses de croire qu'elles ont commis ou commettront de telles infractions. Constitue également un cas particulier le fait que la demande de comparaison est liée à une personne victime d'une infraction terroriste ou d'une autre infraction pénale grave. Les autorités désignées et Europol ne devraient dès lors demander une comparaison avec Eurodac que lorsqu'ils ont des motifs raisonnables de penser que cette comparaison fournira des informations qui faciliteront de manière significative la prévention ou la détection d'une infraction terroriste ou d'autres infractions pénales graves, ou des enquêtes en la matière.
(32)
En outre, l'accès ne devrait être autorisé que lorsque les comparaisons avec les bases nationales de données dactyloscopiques de l'État membre et avec les systèmes automatisés d'identification dactyloscopique de tous les autres États membres au titre de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière (12), n'ont pas permis de déterminer l'identité de la personne concernée. Cette condition impose à l'État membre demandeur d'effectuer des comparaisons avec les systèmes automatisés d'identification dactyloscopique de tous les autres États membres au titre de la décision 2008/615/JAI, qui sont disponibles techniquement, à moins que cet État membre puisse prouver qu'il a des motifs raisonnables de croire que ces comparaisons ne permettraient pas de déterminer l'identité de la personne concernée. Il existe notamment de tels motifs raisonnables quand le cas particulier ne comporte aucun lien de nature opérationnelle ou d'enquête avec un quelconque État membre. Cette condition impose à l'État membre demandeur de procéder à la mise en œuvre préalable d'un point de vue juridique et technique de la décision 2008/615/JAI dans le domaine des données dactyloscopiques, dès lors qu'il ne devrait pas être permis de procéder à une vérification dans Eurodac à des fins répressives lorsque les dispositions susmentionnées n'ont pas d'abord été prises.
(33)
Avant de consulter Eurodac, les autorités désignées devraient également consulter, pour autant que les conditions d'une comparaison soient réunies, le système d'information sur les visas au titre de la décision 2008/633/JAI du Conseil du 23 juin 2008 concernant l'accès en consultation au système d'information sur les visas (VIS) par les autorités désignées des États membres et par l'Office européen de police (Europol) aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves, ainsi qu'aux fins des enquêtes en la matière (13).
(34)
Aux fins d'une comparaison et d'un échange de données à caractère personnel efficaces, les États membres devraient mettre en œuvre et utiliser pleinement les accords internationaux existants ainsi que le droit de l'Union en matière d'échange de données à caractère personnel déjà en vigueur, en particulier la décision 2008/615/JAI.
(35)
L'intérêt supérieur de l'enfant devrait être une considération primordiale pour les États membres lors de l'application du présent règlement. Lorsque l'État membre demandeur établit que les données d'Eurodac concernent un mineur, il n'utilise celles-ci à des fins répressives que dans le respect de sa législation sur les mineurs et conformément à l'obligation selon laquelle l'intérêt supérieur de l'enfant doit être une considération primordiale.
(36)
Tandis que la responsabilité non contractuelle de l'Union en ce qui concerne le fonctionnement du système Eurodac sera régie par les dispositions pertinentes du traité sur le fonctionnement de l'Union européenne, il est nécessaire de fixer des règles spécifiques pour la responsabilité non contractuelle des États membres liée au fonctionnement du système.
(37)
Étant donné que l'objectif du présent règlement, à savoir la création d'un système de comparaison des données dactyloscopiques pour aider à la mise en œuvre de la politique de l'Union en matière d'asile, ne peut pas, de par sa nature même, être atteint de manière suffisante par les États membres et peut donc être mieux atteint au niveau de l'Union, l'Union peut prendre des mesures conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.
(38)
La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (14) s'applique au traitement de données à caractère personnel effectué en application du présent règlement par les États membres, sauf si ce traitement est effectué par les autorités désignées ou les autorités chargées de la vérification des États membres aux fins de la prévention ou de la détection d'infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière.
(39)
Les traitements de données à caractère personnel par les autorités des États membres, aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, en vertu du présent règlement devraient être soumis à des normes de protection des données à caractère personnel au titre de leur droit national qui respectent la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (15).
(40)
Les principes énoncés dans la directive 95/46/CE en matière de protection des droits et des libertés des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, devraient être complétés ou clarifiés, notamment en ce qui concerne certains secteurs.
(41)
Les transferts des données à caractère personnel obtenues en vertu du présent règlement par un État membre ou par Europol, à partir du système central, vers quelque pays tiers, organisation internationale ou entité de droit privé, qui a son siège dans ou hors de l'Union, devraient être interdits afin de garantir le droit d'asile et de protéger les demandeurs d'une protection internationale contre toute divulgation de leurs données à un pays tiers. Il en résulte que les États membres ne devraient pas transférer des informations obtenues à partir du système central qui concernent: l'État membre ou les États membres d'origine; la date et le lieu de la demande de protection internationale; le numéro de référence attribué par l'État membre d'origine; la date de relevé des empreintes digitales, ainsi que la date à laquelle l'État membre ou les États membres ont transmis les données à Eurodac; le code d'identification de l'opérateur; et toute information relative à tout transfert de la personne concernée au titre du règlement (UE) no 604/2013. Cette interdiction ne devrait pas porter atteinte au droit des États membres de transférer ces données à des pays tiers auxquels s'applique le règlement (UE) no 604/2013, de sorte que les États membres puissent coopérer avec ces pays tiers aux fins du présent règlement.
(42)
Les autorités nationales de contrôle devraient contrôler la licéité du traitement des données à caractère personnel réalisé par les États membres, et l'autorité de contrôle commune créée par la décision 2009/371/JAI devrait faire de même pour les activités de traitement de données réalisées par Europol.
(43)
Le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (16), et notamment ses articles 21 et 22 relatifs à la confidentialité et à la sécurité des traitements, s'applique aux opérations de traitement des données à caractère personnel effectuées par les institutions, organes et organismes de l'Union en vertu du présent règlement. Certains points devraient toutefois être clarifiés en ce qui concerne la responsabilité du traitement des données et la surveillance de la protection des données, tout en gardant à l'esprit que la protection des données constitue un facteur-clé du bon fonctionnement d'Eurodac et que la sécurité des données, un niveau élevé de qualité technique et la légalité de la consultation sont essentiels pour assurer le bon fonctionnement d'Eurodac, ainsi que pour faciliter l'application du règlement (UE) no 604/2013.
(44)
La personne concernée devrait être informée de la fin pour laquelle ses données seront traitées dans Eurodac, ce qui comprend une description des objectifs du règlement (UE) no 604/2013, ainsi que de l'utilisation qui pourra être faite de ses données par les autorités répressives.
(45)
Il convient que les autorités nationales de contrôle contrôlent la licéité du traitement des données à caractère personnel par les États membres, tandis que le Contrôleur européen de la protection des données, visé au règlement (CE) no 45/2001, devrait contrôler les activités des institutions, organes et organismes de l'Union en rapport avec le traitement des données à caractère personnel effectué en application du présent règlement.
(46)
Les États membres, le Parlement européen, le Conseil et la Commission devraient veiller à ce que les autorités nationales et européenne de contrôle soient en mesure de contrôler l'accès aux données d'Eurodac et l'usage qui en est fait.
(47)
Il convient de suivre et d'évaluer les résultats d'Eurodac à intervalles réguliers, notamment en examinant si l'accès des autorités répressives n'a pas conduit à des discriminations indirectes à l'égard de demandeurs d'une protection internationale, ainsi que la Commission s'en inquiétait dans son évaluation du respect par le présent règlement de la charte des droits fondamentaux de l'Union européenne (ci-après dénommée "charte"). L'agence devrait soumettre au Parlement européen et au Conseil un rapport annuel sur les activités du système central.
(48)
Les États membres devraient prévoir un régime de sanctions efficaces, proportionnées et dissuasives à appliquer en cas de traitement des données saisies dans le système central contraire à l'objet d'Eurodac.
(49)
Il est nécessaire que les États membres soient informés du statut des procédures d'asile particulières, afin de faciliter une application correcte du règlement (UE) no 604/2013.
(50)
Le présent règlement respecte les droits fondamentaux et observe les principes consacrés notamment par la charte. En particulier, il vise à garantir le plein respect de la protection des données à caractère personnel et du droit de demander une protection internationale ainsi qu'à encourager l'application des articles 8 et 18 de la charte. Le présent règlement devrait donc être appliqué en conséquence.
(51)
Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.
(52)
Conformément à l'article 3 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Royaume-Uni a notifié son souhait de participer à l'adoption et à l'application du présent règlement.
(53)
Conformément aux articles 1er et 2 du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, l'Irlande ne participe pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.
(54)
Il convient de restreindre le champ d'application territorial du présent règlement afin de le faire correspondre à celui du règlement (UE) no 604/2013,
ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
CHAPITRE I
DISPOSITIONS GÉNÉRALES
Article premier
Objet d'"Eurodac"
1. Il est créé un système, appelé "Eurodac", dont l'objet est de contribuer à déterminer l'État membre qui, en vertu du règlement (UE) no 604/2013, est responsable de l'examen d'une demande de protection internationale introduite dans un État membre par un ressortissant de pays tiers ou un apatride et de faciliter à d'autres égards l'application du règlement (UE) no 604/2013 dans les conditions prévues par le présent règlement.
2. Le présent règlement définit également les conditions dans lesquelles les autorités désignées des États membres et l'Office européen de police (Europol) peuvent demander la comparaison de données dactyloscopiques avec celles conservées dans le système central à des fins répressives.
3. Sans préjudice du traitement des données destinées à Eurodac par l'État membre d'origine dans des fichiers institués en vertu de son droit national, les données dactyloscopiques et les autres données à caractère personnel ne peuvent être traitées dans Eurodac qu'aux fins prévues dans le présent règlement et à l'article 34, paragraphe 1, du règlement (UE) no 604/2013.
Article 2
Définitions
1. Aux fins du présent règlement, on entend par:
a) "demandeur d'une protection internationale": un ressortissant de pays tiers ou un apatride qui a présenté une demande de protection internationale au sens de l'article 2, point h), de la directive 2011/95/UE, sur laquelle il n'a pas encore été statué définitivement;
b) "État membre d'origine":
i)
dans le cas d'une personne relevant de l'article 9, paragraphe 1, l'État membre qui transmet les données à caractère personnel au système central et reçoit les résultats de la comparaison;
ii)
dans le cas d'une personne relevant de l'article 14, paragraphe 1, l'État membre qui transmet les données à caractère personnel au système central;
iii)
dans le cas d'une personne relevant de l'article 17, paragraphe 1, l'État membre qui transmet les données à caractère personnel au système central et reçoit les résultats de la comparaison;
c) "bénéficiaire d'une protection internationale": un ressortissant de pays tiers ou un apatride à qui une protection internationale a été accordée au sens de l'article 2, point a), de la directive 2011/95/UE;
d) "résultat positif": la ou les concordances constatées par le système central à la suite d'une comparaison entre les données dactyloscopiques enregistrées dans la base de données centrale informatisée et celles qui ont été transmises par un État membre concernant une personne, sans préjudice de l'obligation qui incombe aux États membres de vérifier immédiatement les résultats de la comparaison conformément à l'article 25, paragraphe 4;
e) "point d'accès national": le système national désigné pour communiquer avec le système central;
f) "agence": l'agence créée par le règlement (UE) no 1077/2011;
g) "Europol": l'Office européen de police créé par la décision 2009/371/JAI;
h) "données d'Eurodac": toutes les données conservées dans le système central conformément à l'article 11 et à l'article 14, paragraphe 2;
i) "à des fins répressives": la prévention ou la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière;
j) "infractions terroristes": les infractions au titre du droit national qui correspondent ou sont équivalentes à celles visées aux articles 1er à 4 de la décision-cadre 2002/475/JAI;
k) "infractions pénales graves": les formes de criminalité qui correspondent ou sont équivalentes à celles visées à l'article 2, paragraphe 2, de la décision-cadre 2002/584/JAI, si elles sont passibles, en droit national, d'une peine privative de liberté ou d'une mesure de sûreté d'une durée maximale d'au moins trois ans;
l) "données dactyloscopiques": les données relatives aux empreintes digitales de tous les doigts ou au moins des index et si ces derniers sont manquants, aux empreintes de tous les autres doigts d'une personne, ou à une empreinte digitale latente.
2. Les termes définis à l'article 2 de la directive 95/46/CE ont la même signification dans le présent règlement pour autant que le traitement de données à caractère personnel soit effectué par les autorités des États membres aux fins prévues à l'article 1er, paragraphe 1, du présent règlement.
3. Sauf disposition contraire, les termes définis à l'article 2 du règlement (UE) no 604/2013 ont la même signification dans le présent règlement.
4. Les termes définis à l'article 2 de la décision-cadre 2008/977/JAI ont la même signification dans le présent règlement pour autant que le traitement de données à caractère personnel soit effectué par les autorités des États membres aux fins prévues à l'article 1er, paragraphe 2, du présent règlement.
Article 3
Architecture du système et principes de base
1. Eurodac se compose:
a)
d'une base de données dactyloscopiques centrale et informatisée (ci-après dénommée "système central") comprenant:
i)
une unité centrale;
ii)
un plan et un système de maintien des activités;
b)
d'une infrastructure de communication entre le système central et les États membres, qui fournit un réseau virtuel crypté affecté aux données d'Eurodac (ci-après dénommée "infrastructure de communication").
2. Chaque État membre dispose d'un seul point d'accès national.
3. Les données relatives aux personnes relevant de l'article 9, paragraphe 1, de l'article 14, paragraphe 1, et de l'article 17, paragraphe 1, qui sont traitées par le système central le sont pour le compte de l'État membre d'origine dans les conditions prévues dans le présent règlement et sont séparées par des moyens techniques appropriés.
4. Les règles régissant Eurodac s'appliquent également aux opérations effectuées par les États membres depuis la transmission des données au système central jusqu'à l'utilisation des résultats de la comparaison.
5. La procédure de relevé des empreintes digitales est déterminée et appliquée conformément à la pratique nationale de l'État membre concerné et dans le respect des dispositions de sauvegarde établies dans la charte des droits fondamentaux de l'Union européenne, la convention pour la protection des droits de l'homme et des libertés fondamentales et la convention des Nations unies relative aux droits de l'enfant.
Article 4
Gestion opérationnelle
1. L'agence est chargée de la gestion opérationnelle d'Eurodac.
La gestion opérationnelle d'Eurodac comprend toutes les tâches nécessaires pour qu'Eurodac puisse fonctionner 24 heures sur 24, 7 jours sur 7, conformément au présent règlement, notamment les travaux de maintenance et les perfectionnements techniques indispensables pour que le système fonctionne à un niveau satisfaisant de qualité opérationnelle, notamment pour ce qui est du temps nécessaire à l'interrogation du système central. Un plan et un système de maintien des activités sont développés en tenant compte des besoins en entretien et des temps d'arrêt imprévus du système, y compris de l'impact des mesures de maintien des activités sur la protection des données et sur la sécurité.
L'agence veille, en coopération avec les États membres, à ce que le système central bénéficie à tout moment des meilleures et des plus sûres techniques et technologie disponibles, sous réserve d'une analyse coût-bénéfice.
2. L'agence est responsable des tâches suivantes en ce qui concerne l'infrastructure de communication:
a)
la supervision;
b)
la sécurité;
c)
la coordination des relations entre les États membres et le prestataire.
3. Toutes les tâches relatives à l'infrastructure de communication autres que celles visées au paragraphe 2 incombent à la Commission, en particulier:
a)
l'exécution du budget;
b)
l'acquisition et le renouvellement;
c)
les questions contractuelles.
4. Sans préjudice de l'article 17 du statut, l'agence applique des règles appropriées en matière de secret professionnel, ou impose des obligations de confidentialité équivalentes, à tous les membres de son personnel appelés à travailler avec les données d'Eurodac. Cette obligation continue de s'appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leurs activités.
Article 5
Autorités désignées des États membres à des fins répressives
1. Aux fins prévues à l'article 1er, paragraphe 2, les États membres désignent les autorités qui sont autorisées à demander des comparaisons avec les données d'Eurodac en vertu du présent règlement. Les autorités désignées sont les autorités des États membres qui sont chargées de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière. Les autorités désignées ne comprennent pas les agences ou les unités exclusivement responsables du renseignement en matière de sécurité intérieure.
2. Chaque État membre tient une liste des autorités désignées.
3. Chaque État membre tient une liste des unités opérationnelles qui, au sein des autorités désignées, sont autorisées à demander des comparaisons avec les données d'Eurodac par l'intermédiaire du point d'accès national.
Article 6
Autorités des États membres chargées de la vérification à des fins répressives
1. Aux fins prévues à l'article 1er, paragraphe 2, chaque État membre désigne une autorité nationale unique ou une unité de cette autorité qui exerce les fonctions d'autorité chargée de la vérification. L'autorité chargée de la vérification est une autorité de l'État membre chargée de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière.
L'autorité désignée et l'autorité chargée de la vérification peuvent appartenir à la même organisation si le droit national le permet, mais l'autorité chargée de la vérification agit en toute indépendance quand elle exécute ses tâches au titre du présent règlement. L'autorité chargée de la vérification est distincte des unités opérationnelles visées à l'article 5, paragraphe 3, et ne reçoit d'elles aucune instruction concernant le résultat de ses vérifications.
Les États membres peuvent, afin de refléter leur structure organisationnelle et administrative, désigner plus d'une autorité chargée de la vérification, conformément à leurs exigences constitutionnelles ou légales.
2. L'autorité chargée de la vérification veille à ce que les conditions requises pour demander la comparaison d'empreintes digitales avec les données d'Eurodac soient remplies.
Seul le personnel dûment habilité de l'autorité chargée de la vérification est autorisé à recevoir et transmettre une demande d'accès à Eurodac, conformément à l'article 19.
L'autorité chargée de la vérification est seule autorisée à transmettre les demandes de comparaison d'empreintes digitales au point d'accès national.
Article 7
Europol
1. Aux fins prévues à l'article 1er, paragraphe 2, Europol désigne en tant qu'autorité chargée de la vérification une unité spécialisée composée d'agents d'Europol dûment habilités, qui, par rapport à l'autorité désignée, visée au paragraphe 2 du présent article, agit en toute indépendance quand elle exerce ses fonctions au titre du présent règlement et ne reçoit de l'autorité désignée aucune instruction concernant le résultat de ses vérifications. L'unité veille à ce que les conditions requises pour demander la comparaison d'empreintes digitales avec les données d'Eurodac soient remplies. Europol choisit, en accord avec chaque État membre, le point d'accès national de ce dernier qui communique au système central ses demandes de comparaison de données dactyloscopiques.
2. Aux fins prévues à l'article 1er, paragraphe 2, Europol désigne une unité opérationnelle autorisée à demander des comparaisons avec les données d'Eurodac par l'intermédiaire de son point d'accès national. L'autorité désignée est une unité opérationnelle d'Europol compétente pour collecter, conserver, traiter, analyser et échanger des informations afin de soutenir et renforcer l'action des États membres en matière de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière, qui relèvent du mandat d'Europol.
Article 8
Statistiques
1. L'agence établit des statistiques trimestrielles sur les travaux du système central, faisant apparaître notamment:
a)
le nombre de données qui ont été transmises concernant les personnes visées à l'article 9, paragraphe 1, à l'article 14, paragraphe 1, et à l'article 17, paragraphe 1;
b)
le nombre de résultats positifs relatifs à des demandeurs d'une protection internationale qui ont introduit une demande de protection internationale dans un autre État membre;
c)
le nombre de résultats positifs relatifs aux personnes visées à l'article 14, paragraphe 1, qui ont introduit une demande de protection internationale à une date ultérieure;
d)
le nombre de résultats positifs relatifs aux personnes visées à l'article 17, paragraphe 1, qui ont introduit une demande de protection internationale dans un autre État membre;
e)
le nombre de données dactyloscopiques que le système central a dû demander plus d'une fois aux États membres d'origine parce que les données dactyloscopiques transmises la première fois ne se prêtaient pas à la comparaison effectuée avec le système informatisé de reconnaissance des empreintes digitales;
f)
le nombre d'ensembles de données marqués, de ceux dont la marque distinctive a été retirée et de ceux verrouillés et déverrouillés conformément à l'article 18, paragraphes 1 et 3;
g)
le nombre de résultats positifs relatifs à des personnes visées à l'article 18, paragraphe 1, pour lesquelles des résultats positifs ont été enregistrés au titre des points b) et d) du présent article;
h)
le nombre des demandes et des résultats positifs visés à l'article 20, paragraphe 1;
i)
le nombre des demandes et des résultats positifs visés à l'article 21, paragraphe 1.
2. Des statistiques sont établies à la fin de chaque année, sous forme de compilation des statistiques trimestrielles de l'année écoulée, qui indiquent le nombre de personnes pour lesquelles des résultats positifs ont été enregistrés au titre des points b), c), et d) du paragraphe 1. Les statistiques présentent une ventilation des données par État membre. Les résultats sont rendus publics.
CHAPITRE II
DEMANDEURS D'UNE PROTECTION INTERNATIONALE
Article 9
Collecte, transmission et comparaison des empreintes digitales
1. Chaque État membre relève sans tarder l'empreinte digitale de tous les doigts de chaque demandeur d'une protection internationale âgé de 14 ans au moins et la transmet au système central dès que possible et au plus tard 72 heures suivant l'introduction de la demande de protection internationale telle que définie à l'article 20, paragraphe 2, du règlement (UE) no 604/2013, accompagnée des données visées à l'article 11, points b) à g) du présent règlement.
Le non-respect du délai de 72 heures n'exonère pas les États membres de l'obligation de relever et de transmettre les empreintes digitales au système central. Lorsque l'état des doigts ne permet pas de relever des empreintes digitales d'une qualité suffisante pour une comparaison appropriée au titre de l'article 25, l'État membre d'origine procède à un nouveau relevé des empreintes digitales du demandeur et le retransmet dès que possible et au plus tard 48 heures suivant ledit relevé de bonne qualité.
2. Par dérogation au paragraphe 1, lorsqu'il n'est pas possible de relever les empreintes digitales d'un demandeur d'une protection internationale en raison de mesures arrêtées pour sauvegarder sa santé ou de mesures de santé publique, les États membres relèvent et transmettent celles-ci dès que possible et au plus tard 48 heures après la disparition desdits motifs de santé.
En cas de difficultés techniques graves, les États membres peuvent prolonger le délai de 72 heures, visé au paragraphe 1, d'une durée maximale de 48 heures afin d'exécuter leur plan national de maintenance.
3. Les données dactyloscopiques au sens de l'article 11, point a), qui sont transmises par un État membre, à l'exception des données transmises conformément à l'article 10, point b), sont comparées automatiquement avec les données dactyloscopiques transmises par d'autres États membres qui sont déjà conservées dans le système central.
4. Le système central garantit, si un État membre le demande, que la comparaison visée au paragraphe 3 couvre les données dactyloscopiques transmises précédemment par cet État membre, en plus des données provenant d'autres États membres.
5. Le système central transmet automatiquement le résultat positif ou négatif de la comparaison à l'État membre d'origine. En cas de résultat positif, il transmet, pour tous les ensembles de données correspondant au résultat positif, les données visées à l'article 11, points a) à k), en même temps que la marque visée à l'article 18, paragraphe 1, le cas échéant.
Article 10
Informations sur le statut de la personne concernée
Les informations suivantes sont transmises au système central pour être conservées conformément à l'article 12 aux fins de la transmission au titre de l'article 9, paragraphe 5.
a)
Lorsqu'un demandeur d'une protection internationale ou une autre personne visée à l'article 18, paragraphe 1, point d), du règlement (UE) no 604/2013 arrive dans l'État membre responsable à la suite d'un transfert effectué en vertu d'une décision faisant droit à une requête aux fins de reprise en charge telle que visée à l'article 25 dudit règlement, l'État membre responsable actualise l'ensemble de données enregistré conformément à l'article 11 du présent règlement, au sujet de la personne concernée, en y ajoutant sa date d'arrivée.
b)
Lorsqu'un demandeur d'une protection internationale arrive dans l'État membre responsable à la suite d'un transfert effectué en vertu d'une décision faisant droit à une requête aux fins de prise en charge conformément à l'article 22 du règlement (UE) no 604/2013, l'État membre responsable transmet un ensemble de données enregistré conformément à l'article 11 du présent règlement, au sujet de la personne concernée, en y incluant sa date d'arrivée.
c)
Dès qu'il peut établir que la personne concernée dont les données ont été enregistrées dans Eurodac conformément à l'article 11 du présent règlement a quitté le territoire des États membres, l'État membre d'origine actualise l'ensemble de données enregistré conformément à l'article 11 du présent règlement, au sujet de la personne concernée, en y ajoutant la date à laquelle celle-ci a quitté le territoire, afin de faciliter l'application de l'article 19, paragraphe 2, et de l'article 20, paragraphe 5, du règlement (UE) no 604/2013.
d)
Dès qu'il est assuré que la personne concernée dont les données ont été enregistrées dans Eurodac conformément à l'article 11 du présent règlement a quitté le territoire des États membres en exécution d'une décision de retour ou d'une mesure d'éloignement qu'il a arrêtée à la suite du retrait ou du rejet de la demande de protection internationale tel que prévu à l'article 19, paragraphe 3, du règlement (UE) no 604/2013, l'État membre d'origine actualise l'ensemble de données enregistré conformément à l'article 11 du présent règlement, au sujet de la personne concernée, en y ajoutant la date de son éloignement ou la date à laquelle elle a quitté le territoire.
(e)
L'État membre qui devient responsable conformément à l'article 17, paragraphe 1, du règlement (UE) no 604/2013 actualise l'ensemble de données enregistré conformément à l'article 11 du présent règlement au sujet du demandeur d'une protection internationale en y ajoutant la date à laquelle la décision d'examiner sa demande a été arrêtée.
Article 11
Enregistrement des données
Seules sont enregistrées dans le système central les données suivantes:
a)
données dactyloscopiques;
b)
État membre d'origine, lieu et date de la demande de protection internationale; dans les cas visés à l'article 10, point b), la date de la demande est la date saisie par l'État membre qui a procédé au transfert du demandeur;
c)
sexe;
d)
numéro de référence attribué par l'État membre d'origine;
e)
date à laquelle les empreintes ont été relevées;
f)
date à laquelle les données ont été transmises au système central;
g)
code d'identification de l'opérateur;
h)
le cas échéant, conformément à l'article 10, point a) ou b), la date d'arrivée de la personne concernée à la suite d'un transfert réussi;
i)
le cas échéant, conformément à l'article 10, point c), la date à laquelle la personne concernée a quitté le territoire des États membres;
j)
le cas échéant, conformément à l'article 10, point d), la date à laquelle la personne concernée a quitté le territoire des États membres ou en a été éloignée;
k)
le cas échéant, conformément à l'article 10, point e), la date à laquelle la décision d'examiner la demande a été prise.
Article 12
Conservation des données
1. Chaque ensemble de données visé à l'article 11 est conservé dans le système central pendant dix ans à compter de la date du relevé des empreintes.
2. Passé le délai visé au paragraphe 1, les données sont automatiquement effacées du système central par celui-ci.
Article 13
Effacement anticipé des données
1. Les données concernant une personne qui a acquis la nationalité d'un État membre, quel qu'il soit, avant l'expiration de la période visée à l'article 12, paragraphe 1, sont effacées du système central, conformément à l'article 27, paragraphe 4, dès que l'État membre d'origine apprend que la personne concernée a acquis ladite nationalité.
2. Le système central informe, dès que possible et au plus tard après 72 heures, tous les États membres d'origine de l'effacement de données effectué conformément au paragraphe 1 par un autre État membre d'origine ayant généré un résultat positif avec des données qu'ils avaient transmises concernant des personnes visées à l'article 9, paragraphe 1, ou à l'article 14, paragraphe 1.
CHAPITRE III
RESSORTISSANTS DE PAYS TIERS OU APATRIDES INTERPELLÉS À L'OCCASION DU FRANCHISSEMENT IRRÉGULIER D'UNE FRONTIÈRE EXTÉRIEURE
Article 14
Collecte et transmission des données dactyloscopiques
1. Chaque État membre relève sans tarder l'empreinte digitale de tous les doigts de chaque ressortissant de pays tiers ou apatride, âgé de 14 ans au moins, qui, à l'occasion du franchissement irrégulier de sa frontière terrestre, maritime ou aérienne en provenance d'un pays tiers, a été interpellé par les autorités de contrôle compétentes et qui n'a pas été refoulé ou qui demeure physiquement sur le territoire des États membres et ne fait pas l'objet d'une mesure de confinement, de rétention ou de détention durant toute la période comprise entre son interpellation et son éloignement sur le fondement de la décision de refoulement.
2. L'État membre concerné transmet, dès que possible et au plus tard 72 heures après son interpellation, au système central les données suivantes relatives à tout ressortissant de pays tiers ou apatride se trouvant dans la situation décrite au paragraphe 1 et qui n'a pas été refoulé:
a)
données dactyloscopiques;
b)
État membre d'origine, lieu où l'intéressé a été interpellé et date;
c)
sexe;
d)
numéro de référence attribué par l'État membre d'origine;
e)
date à laquelle les empreintes ont été relevées;
f)
date à laquelle les données ont été transmises au système central;
g)
code d'identification de l'opérateur.
3. Par dérogation au paragraphe 2, la transmission des données visées au paragraphe 2 concernant les personnes interpellées comme décrit au paragraphe 1 qui demeurent physiquement sur le territoire des États membres, mais font l'objet d'une mesure de confinement, de rétention ou de détention à compter de leur interpellation et pour une période de plus de 72 heures a lieu avant leur libération de ce confinement, de cette rétention ou de cette détention.
4. Le non-respect du délai de 72 heures visé au paragraphe 2 du présent article n'exonère pas les États membres de l'obligation de relever et de transmettre les empreintes digitales au système central. Lorsque l'état des doigts desdites personnes ne permet pas de relever des empreintes digitales d'une qualité suffisante pour une comparaison appropriée au titre de l'article 25, l'État membre d'origine procède à un nouveau relevé des empreintes digitales des personnes interpellées comme décrit au paragraphe 1 du présent article et le retransmet dès que possible et au plus tard 48 heures suivant ce relevé de bonne qualité.
5. Par dérogation au paragraphe 1, lorsqu'il n'est pas possible de relever les empreintes digitales de la personne interpellée en raison de mesures arrêtées pour sauvegarder sa santé ou de mesures de santé publique, l'État membre concerné relève et transmet ces empreintes digitales dès que possible et au plus tard 48 heures après la disparition desdits motifs de santé.
En cas de difficultés techniques graves, les États membres peuvent prolonger le délai de 72 heures visé au paragraphe 2 d'une durée maximale de 48 heures afin d'exécuter leur plan national de maintenance.
Article 15
Enregistrement des données
1. Les données visées à l'article 14, paragraphe 2, sont enregistrées dans le système central.
Sans préjudice de l'article 8, les données transmises au système central en vertu de l'article 14, paragraphe 2, sont enregistrées uniquement aux fins de leur comparaison avec les données relatives à des demandeurs d'une protection internationale transmises ultérieurement au système central et aux fins prévues à l'article 1er, paragraphe 2.
Le système central ne compare pas les données qui lui sont transmises en vertu de l'article 14, paragraphe 2, avec des données qui y ont été enregistrées antérieurement ni avec des données qui lui sont transmises ultérieurement en vertu de l'article 14, paragraphe 2.
2. En ce qui concerne la comparaison des données relatives à des demandeurs d'une protection internationale transmises ultérieurement au système central avec les données visées au paragraphe 1, les procédures prévues à l'article 9, paragraphes 3 et 5, et à l'article 25, paragraphe 4, s'appliquent.
Article 16
Conservation des données
1. Chaque ensemble de données relatives à un ressortissant de pays tiers ou à un apatride visé à l'article 14, paragraphe 1, est conservé dans le système central pendant dix-huit mois à compter de la date à laquelle ses empreintes digitales ont été relevées. Passé ce délai, le système central efface automatiquement ces données.
2. Les données relatives à un ressortissant de pays tiers ou à un apatride visé à l'article 14, paragraphe 1, sont effacées du système central conformément à l'article 28, paragraphe 3, dès que l'État membre d'origine a connaissance, avant l'expiration du délai de dix-huit mois visé au paragraphe 1 du présent article, de l'un des faits suivants:
a)
le ressortissant de pays tiers ou l'apatride s'est vu délivrer un document de séjour;
b)
le ressortissant de pays tiers ou l'apatride a quitté le territoire des États membres;
c)
le ressortissant de pays tiers ou l'apatride a acquis la nationalité d'un État membre, quel qu'il soit.
3. Le système central informe, dès que possible et au plus tard après 72 heures, tous les États membres d'origine de l'effacement de données effectué pour la raison mentionnée au paragraphe 2, point a) ou b), du présent article par un autre État membre d'origine ayant généré un résultat positif avec des données qu'ils avaient transmises concernant des personnes visées à l'article 14, paragraphe 1.
4. Le système central informe, dès que possible et au plus tard après 72 heures, tous les États membres d'origine de l'effacement de données effectué pour la raison mentionnée au paragraphe 2, point c), du présent article par un autre État membre d'origine ayant généré un résultat positif avec des données qu'ils avaient transmises concernant des personnes visées à l'article 9, paragraphe 1, ou à l'article 14, paragraphe 1.
CHAPITRE IV
RESSORTISSANTS DE PAYS TIERS OU APATRIDES SÉJOURNANT ILLÉGALEMENT SUR LE TERRITOIRE D'UN ÉTAT MEMBRE
Article 17
Comparaison des données dactyloscopiques
1. En vue de vérifier si un ressortissant de pays tiers ou un apatride séjournant illégalement sur son territoire n'a pas auparavant introduit une demande de protection internationale dans un autre État membre, un État membre peut transmettre au système central les données dactyloscopiques relatives aux empreintes digitales qu'il peut avoir relevées sur un tel ressortissant de pays tiers ou apatride, âgé de 14 ans au moins, ainsi que le numéro de référence attribué par cet État membre.
En règle générale, il y a lieu de vérifier si un ressortissant de pays tiers ou un apatride n'a pas auparavant introduit une demande de protection internationale dans un autre État membre lorsque:
a)
le ressortissant de pays tiers ou l'apatride déclare qu'il a introduit une demande de protection internationale mais n'indique pas l'État membre dans lequel il l'a introduite;
b)
le ressortissant de pays tiers ou l'apatride ne demande pas de protection internationale mais s'oppose à son renvoi dans son pays d'origine en faisant valoir qu'il s'y trouverait en danger; ou
c)
le ressortissant de pays tiers ou l'apatride fait en sorte d'empêcher d'une autre manière son éloignement en refusant de coopérer à l'établissement de son identité, notamment en ne présentant aucun document d'identité ou en présentant de faux documents d'identité.
2. Lorsque les États membres prennent part à la procédure visée au paragraphe 1, ils transmettent au système central les données dactyloscopiques concernant tous les doigts ou au moins les index des ressortissants de pays tiers ou apatrides visés au paragraphe 1, et, si les index sont manquants, ils communiquent les empreintes de tous les autres doigts.
3. Les données dactyloscopiques d'un ressortissant de pays tiers ou d'un apatride visé au paragraphe 1 sont transmises au système central aux seules fins de leur comparaison avec les données dactyloscopiques concernant des demandeurs d'une protection internationale transmises par d'autres États membres et déjà enregistrées dans le système central.
Les données dactyloscopiques d'un tel ressortissant de pays tiers ou apatride ne sont pas enregistrées dans le système central; elles ne sont pas non plus comparées avec les données transmises au système central en vertu de l'article 14, paragraphe 2.
4. Une fois les résultats de la comparaison des données dactyloscopiques transmis à l'État membre d'origine, le système central ne conserve un enregistrement de la recherche qu'aux seules fins prévues à l'article 28. Les États membres ou le système central ne peuvent conserver aucun autre enregistrement de la recherche à d'autres fins.
5. En ce qui concerne la comparaison des données dactyloscopiques transmises au titre du présent article avec les données dactyloscopiques de demandeurs d'une protection internationale transmises par d'autres États membres qui ont déjà été enregistrées dans le système central, les procédures prévues à l'article 9, paragraphes 3 et 5, ainsi qu'à l'article 25, paragraphe 4, s'appliquent.
CHAPITRE V
BÉNÉFICIAIRES D'UNE PROTECTION INTERNATIONALE
Article 18
Marquage des données
1. Aux fins prévues à l'article 1er, paragraphe 1, l'État membre d'origine ayant accordé une protection internationale à un demandeur d'une protection internationale dont les données ont été précédemment enregistrées dans le système central en vertu de l'article 11 marque les données pertinentes conformément aux exigences de la communication électronique avec le système central fixées par l'agence. Ce marquage est conservé dans le système central conformément à l'article 12 aux fins de la transmission au titre de l'article 9, paragraphe 5. Le système central informe tous les États membres d'origine du marquage par un autre État membre d'origine de données ayant généré un résultat positif avec des données qu'ils avaient transmises au sujet de personnes visées à l'article 9, paragraphe 1, ou à l'article 14, paragraphe 1. Ces États membres d'origine marquent également les ensembles de données correspondants.
2. Les données des bénéficiaires d'une protection internationale qui sont conservées dans le système central et qui sont marquées en vertu du paragraphe 1 du présent article sont disponibles pour une comparaison aux fins prévues à l'article 1er, paragraphe 2, pendant trois ans après la date à laquelle la protection internationale a été accordée à la personne concernée.
En cas de résultat positif, le système central transmet, pour tous les ensembles de données correspondant audit résultat, les données visées à l'article 11, points a) à k). Il ne transmet pas la marque visée au paragraphe 1 du présent article. Passé le délai de trois ans, le système central verrouille automatiquement la transmission de ces données dans le cas d'une demande de comparaison aux fins prévues à l'article 1er, paragraphe 2, tout en laissant ces données disponibles pour une comparaison aux fins prévues à l'article 1er, paragraphe 1, jusqu'à leur effacement. Les données verrouillées ne sont pas transmises et le système central renvoie un résultat négatif à l'État membre demandeur en cas de résultat positif.
3. L'État membre d'origine retire la marque distinctive ou le verrouillage appliqué aux données d'un ressortissant de pays tiers ou d'un apatride dont les données étaient précédemment marquées ou verrouillées conformément aux paragraphes 1 ou 2 du présent article si le statut de cette personne est révoqué ou s'il y est mis fin ou si son renouvellement est refusé en vertu de l'article 14 ou de l'article 19 de la directive 2011/95/UE.
CHAPITRE VI
PROCÉDURE DE COMPARAISON ET TRANSMISSION DES DONNÉES À DES FINS RÉPRESSIVES
Article 19
Procédure de comparaison des données dactyloscopiques avec les données d'Eurodac
1. Aux fins prévues à l'article 1er, paragraphe 2, les autorités désignées visées à l'article 5, paragraphe 1, et à l'article 7, paragraphe 2, peuvent présenter à l'autorité chargée de la vérification une demande électronique motivée de comparaison de données dactyloscopiques, comme prévu à l'article 20, paragraphe 1, avec le numéro de référence qu'elles lui ont attribué, qui sera transmise au système central par l'intermédiaire du point d'accès national. Lorsqu'elle reçoit une telle demande, l'autorité chargée de la vérification vérifie si toutes les conditions requises pour demander une comparaison, définies, selon le cas, à l'article 20 ou à l'article 21, sont remplies.
2. Si toutes les conditions requises pour demander une comparaison visée à l'article 20 ou à l'article 21 sont remplies, l'autorité chargée de la vérification transmet la demande de comparaison au point d'accès national, qui la communique au système central conformément à l'article 9, paragraphes 3 et 5, aux fins de la comparaison avec les données transmises au système central en vertu de l'article 9, paragraphe 1, et de l'article 14, paragraphe 2.
3. Dans des cas d'urgence exceptionnels qui nécessitent de prévenir un danger imminent lié à une infraction terroriste ou à toute autre infraction pénale grave, l'autorité chargée de la vérification peut transmettre les données dactyloscopiques au point d'accès national pour comparaison immédiate dès réception d'une demande adressée par une autorité désignée et ne vérifier qu'a posteriori si toutes les conditions requises pour demander une comparaison visée à l'article 20 ou à l'article 21 sont remplies, et notamment s'il s'agit effectivement d'un cas d'urgence exceptionnel. Cette vérification a posteriori est effectuée sans retard indu après le traitement de la demande.
4. S'il est établi, lors d'une vérification a posteriori, que l'accès aux données d'Eurodac était injustifié, toutes les autorités qui ont eu accès à ces données effacent les informations provenant d'Eurodac et elles informent l'autorité chargée de la vérification de cet effacement.
Article 20
Conditions d'accès à Eurodac par les autorités désignées
1. Aux fins prévues à l'article 1er, paragraphe 2, les autorités désignées ne peuvent présenter une demande électronique motivée de comparaison de données dactyloscopiques avec les données conservées dans le système central dans les limites de leurs compétences que si la comparaison dans les bases de données suivantes n'a pas permis de déterminer l'identité de la personne concernée:
-
les bases de données dactyloscopiques nationales,
-
les systèmes automatisés d'identification dactyloscopique de tous les autres États membres au titre de la décision 2008/615/JAI, si les comparaisons sont disponibles techniquement, à moins qu'il n'existe des motifs raisonnables de croire qu'une comparaison avec ces systèmes ne permettrait pas de déterminer l'identité de la personne concernée. Ces motifs raisonnables figurent dans la demande électronique motivée de comparaison avec les données d'Eurodac adressée par l'autorité désignée à l'autorité de vérification, et
-
le système d'information sur les visas, pour autant que les conditions d'une telle comparaison prévues dans la décision 2008/633/JAI soient réunies;
et aux conditions cumulatives suivantes:
a)
la comparaison est nécessaire aux fins de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, et des enquêtes en la matière, en ce sens qu'il existe un intérêt supérieur de sécurité publique qui rend la consultation de la base de données proportionnée;
b)
la comparaison est nécessaire dans un cas précis (c'est-à-dire des comparaisons systématiques ne peuvent être effectuées); et
c)
il existe des motifs raisonnables de penser que la comparaison contribuera de manière significative à la prévention ou à la détection de l'une des infractions pénales en question ou aux enquêtes en la matière. De tels motifs raisonnables existent en particulier lorsqu'il existe des motifs de soupçonner que le suspect, l'auteur ou la victime d'une infraction terroriste ou d'une autre infraction pénale grave relève d'une catégorie couverte par le présent règlement.
2. Les demandes de comparaison avec les données d'Eurodac se limitent à la consultation des données dactyloscopiques.
Article 21
Conditions d'accès à Eurodac par Europol
1. Aux fins prévues à l'article 1er, paragraphe 2, l'autorité désignée d'Europol ne peut présenter une demande électronique motivée de comparaison de données dactyloscopiques avec les données conservées dans le système central, dans les limites du mandat d'Europol et si la comparaison est nécessaire pour l'accomplissement des tâches d'Europol, que si les comparaisons avec les données dactyloscopiques conservées dans tous les systèmes de traitement d'informations qui sont, techniquement et légalement, accessibles à Europol, n'ont pas permis de déterminer l'identité de la personne concernée et aux conditions cumulatives suivantes:
a)
la comparaison est nécessaire afin de soutenir et renforcer l'action des États membres en vue de la prévention ou de la détection des infractions terroristes ou d'autres infractions pénales graves, ou des enquêtes en la matière qui relèvent du mandat d'Europol, en ce sens qu'il existe un intérêt supérieur de sécurité publique qui rend la consultation de la base de données proportionnée;
b)
la comparaison est nécessaire dans un cas précis (c'est-à-dire des comparaisons systématiques ne peuvent être effectuées); et
c)
il existe des motifs raisonnables de penser que la comparaison contribuera de manière significative à la prévention ou à la détection de l'une des infractions pénales en question et aux enquêtes en la matière. De tels motifs raisonnables existent en particulier lorsqu'il y a des motifs de soupçonner que le suspect, l'auteur ou la victime d'une infraction terroriste ou d'une autre infraction pénale grave relève d'une catégorie couverte par le présent règlement.
2. Les demandes de comparaison avec les données d'Eurodac se limitent à des comparaisons avec des données dactyloscopiques.
3. Les informations obtenues par Europol à la suite de la comparaison avec les données d'Eurodac ne peuvent être traitées qu'avec l'autorisation de l'État membre d'origine. Cette autorisation est obtenue par l'intermédiaire de l'unité nationale d'Europol dans cet État membre.
Article 22
Communication entre les autorités désignées, les autorités chargées de la vérification et les points d'accès nationaux
1. Sans préjudice de l'article 26, toutes les communications entre les autorités désignées, les autorités chargées de la vérification et les points d'accès nationaux sont sécurisées et ont lieu par voie électronique.
2. Aux fins prévues à l'article 1er, paragraphe 2, les empreintes digitales sont numérisées par les États membres et transmises dans le format de données visé à l'annexe I afin que la comparaison puisse être effectuée au moyen du système informatisé de reconnaissance des empreintes digitales.
CHAPITRE VII
TRAITEMENT DES DONNÉES, PROTECTION DES DONNÉES ET RESPONSABILITÉ
Article 23
Responsabilité en matière de traitement des données
1. Il incombe à l'État membre d'origine d'assurer:
a)
que les empreintes digitales sont relevées dans le respect de la légalité;
b)
que les données dactyloscopiques de même que les autres données visées à l'article 11, à l'article 14, paragraphe 2, et à l'article 17, paragraphe 2, sont transmises au système central dans le respect de la légalité;
c)
que les données sont exactes et à jour lors de leur transmission au système central;
d)
sans préjudice des responsabilités de l'agence, que les données sont enregistrées, conservées, rectifiées et effacées dans le système central dans le respect de la légalité;
e)
que les résultats de la comparaison des données dactyloscopiques transmis par le système central sont traités dans le respect de la légalité.
2. Conformément à l'article 34, l'État membre d'origine assure la sécurité des données visées au paragraphe 1 avant et pendant leur transmission au système central ainsi que la sécurité des données qu'il reçoit du système central.
3. L'État membre d'origine répond de l'identification définitive des données, en vertu de l'article 25, paragraphe 4.
4. L'agence veille à ce que le système central soit géré conformément aux dispositions du présent règlement. En particulier, l'agence:
a)
adopte des mesures propres à garantir que les personnes travaillant avec le système central ne traitent les données qui y sont enregistrées qu'à des fins conformes à l'objet d'Eurodac, tel que défini à l'article 1er;
b)
prend les mesures nécessaires pour assurer la sécurité du système central conformément à l'article 34;
c)
veille à ce que seules les personnes autorisées à travailler avec le système central y aient accès, sans préjudice des compétences du Contrôleur européen de la protection des données.
L'agence informe le Parlement européen et le Conseil ainsi que le Contrôleur européen de la protection des données des mesures qu'elle prend en vertu du premier alinéa.
Article 24
Transmission
1. La numérisation des empreintes digitales et leur transmission s'effectuent dans le format pour les données visé à l'annexe I. Dans la mesure où cela est nécessaire au bon fonctionnement du système central, l'agence fixe les exigences techniques pour la transmission du format pour les données par les États membres au système central et inversement. L'agence s'assure que les données dactyloscopiques transmises par les États membres se prêtent à une comparaison dans le système informatisé de reconnaissance des empreintes digitales.
2. Les États membres transmettent les données visées à l'article 11, à l'article 14, paragraphe 2, et à l'article 17, paragraphe 2, par voie électronique. Les données visées à l'article 11 et à l'article 14, paragraphe 2, sont enregistrées automatiquement dans le système central. Dans la mesure où cela est nécessaire au bon fonctionnement du système central, l'agence fixe les exigences techniques nécessaires pour que les données puissent être correctement transmises par voie électronique des États membres au système central et inversement.
3. Le numéro de référence visé à l'article 11, point d), à l'article 14, paragraphe 2, point d), à l'article 17, paragraphe 1, et à l'article 19, paragraphe 1, permet de rattacher sans équivoque des données à une personne spécifique et à l'État membre qui transmet les données. Il doit, en outre, permettre de savoir si les données concernent une personne visée à l'article 9, à l'article 14, paragraphe 1 ou à l'article 17, paragraphe 1.
4. Le numéro de référence commence par la lettre ou les lettres d'identification prévues dans la norme visée à l'annexe I, qui désigne l'État membre qui a transmis les données. La lettre ou les lettres d'identification sont suivies du code indiquant la catégorie de personnes ou de demandes. "1" renvoie aux données concernant les personnes visées à l'article 9, paragraphe 1, "2" aux personnes visées à l'article 14, paragraphe 1, "3" aux personnes visées à l'article 17, paragraphe 1, "4" aux demandes visées à l'article 20, "5" aux demandes visées à l'article 21 et "9" aux demandes visées à l'article 29.
5. L'agence établit les procédures techniques nécessaires pour permettre aux États membres de faire en sorte que les données reçues par le système central ne comportent aucune ambiguïté.
6 Le système central confirme dès que possible la réception des données transmises. À cette fin, l'agence fixe les exigences techniques nécessaires pour faire en sorte que les États membres reçoivent un récépissé s'ils en ont fait la demande.
Article 25
Exécution de la comparaison et transmission des résultats
1. Les États membres assurent la transmission de données dactyloscopiques d'une qualité appropriée aux fins d'une comparaison par le système informatisé de reconnaissance des empreintes digitales. Dans la mesure où cela est nécessaire pour garantir un degré d'exactitude très élevé des résultats de la comparaison effectuée par le système central, l'agence définit ce qui, pour les données dactyloscopiques transmises, constitue le niveau de qualité approprié. Le système central vérifie dès que possible la qualité des données dactyloscopiques transmises. Si les données dactyloscopiques ne se prêtent pas à des comparaisons au moyen du système informatisé de reconnaissance des empreintes digitales, le système central en informe l'État membre concerné. Ledit État membre transmet alors des données dactyloscopiques d'une qualité appropriée en utilisant le même numéro de référence que pour le précédent ensemble de données dactyloscopiques.
2. Le système central procède aux comparaisons en suivant l'ordre dans lequel les demandes lui parviennent. Chaque demande est traitée dans les 24 heures. Un État membre peut demander, pour des motifs relevant de son droit national, que des comparaisons particulièrement urgentes soient effectuées dans l'heure. Si ces délais ne peuvent être respectés pour des raisons qui échappent à la responsabilité de l'agence, le système central traite en priorité les demandes dès que ces raisons ont disparu. En pareil cas, dans la mesure où cela est nécessaire pour le bon fonctionnement du système central, l'agence établit des critères en vue de garantir le traitement prioritaire des demandes.
3. Dans la mesure où cela est nécessaire pour le bon fonctionnement du système central, l'agence établit les procédures opérationnelles en ce qui concerne le traitement des données reçues et la transmission du résultat de la comparaison.
4. Le résultat de la comparaison est immédiatement vérifié dans l'État membre de réception par un expert en empreintes digitales au sens de ses règles nationales, qui est spécialement formé pour effectuer les types de comparaison d'empreintes digitales prévus dans le présent règlement. Aux fins prévues à l'article 1er, paragraphe 1, du présent règlement, l'identification définitive est effectuée par l'État membre d'origine en coopération avec les autres États membres concernés, en vertu de l'article 34 du règlement (UE) no 604/2013.
Les informations reçues du système central relatives aux autres données qui se sont révélées non fiables sont effacées, dès que l'absence de fiabilité des données est établie.
5. Lorsque l'identification définitive conformément au paragraphe 4 révèle que le résultat de la comparaison reçu du système central ne correspond pas aux données dactyloscopiques envoyées pour comparaison, les États membres effacent immédiatement le résultat de la comparaison et en informent la Commission et l'agence dès que possible et au plus tard après trois jours ouvrables.
Article 26
Communication entre les États membres et le système central
Les données transmises des États membres vers le système central et inversement utilisent l'infrastructure de communication. Dans la mesure où cela est nécessaire pour le bon fonctionnement du système central, l'agence établit les procédures techniques nécessaires à l'utilisation de l'infrastructure de communication.
Article 27
Accès aux données enregistrées dans Eurodac, rectification ou effacement de ces données
1. L'État membre d'origine a accès aux données qu'il a transmises et qui sont enregistrées dans le système central conformément au présent règlement.
Aucun État membre ne peut effectuer des recherches dans les données transmises par un autre État membre, ni recevoir de telles données, excepté celles qui résultent de la comparaison visée à l'article 9, paragraphe 5.
2. Les autorités des États membres ayant accès, en vertu du paragraphe 1 du présent article, aux données enregistrées dans le système central sont celles qui ont été désignées par chaque État membre aux fins prévues à l'article 1er, paragraphe 1. Cette désignation précise l'unité chargée d'accomplir les fonctions liées à l'application du présent règlement. Chaque État membre communique sans tarder, à la Commission et à l'agence, la liste de ces unités ainsi que toute modification apportée à celle-ci. L'agence publie la liste consolidée au Journal officiel de l'Union européenne. Si des modifications sont apportées à celle-ci, l'agence publie une fois par an une liste en ligne, consolidée et actualisée.
3. L'État membre d'origine est seul habilité à modifier, en les rectifiant ou en les complétant, les données qu'il a transmises au système central, ou à les effacer, sans préjudice de l'effacement opéré en vertu de l'article 12, paragraphe 2, ou de l'article 16, paragraphe 1.
4. Si un État membre ou l'agence dispose d'indices suggérant que des données enregistrées dans le système central sont matériellement erronées, il/elle en avise dès que possible l'État membre d'origine.
Si un État membre dispose d'indices suggérant que des données ont été enregistrées dans le système central en violation du présent règlement, il en avise, dès que possible, l'agence, la Commission et l'État membre d'origine. L'État membre d'origine vérifie les données en question et, au besoin, les modifie ou les efface sans tarder.
5. L'agence ne transfère pas aux autorités d'un pays tiers, ni ne met à leur disposition des données enregistrées dans le système central. Cette interdiction ne s'applique pas aux transferts de données vers des pays tiers pour lesquels le règlement (UE) no 604/2013 s'applique.
Article 28
Conservation des enregistrements
1. L'agence établit des relevés de toutes les opérations de traitement des données effectuées au sein du système central. Ces relevés indiquent l'objet, le jour et l'heure de l'accès, les données transmises, les données utilisées à des fins d'interrogation et la dénomination du service qui a saisi ou extrait les données ainsi que le nom des personnes responsables.
2. Les relevés visés au paragraphe 1 du présent article ne peuvent être utilisés que pour le contrôle de la licéité du traitement des données au regard de la protection des données, ainsi que pour garantir la sécurité des données conformément à l'article 34. Ils doivent être protégés par des mesures appropriées contre tout accès non autorisé et effacés au bout d'un an après l'expiration de la durée de conservation visée à l'article 12, paragraphe 1, et à l'article 16, paragraphe 1, à moins qu'ils soient nécessaires à des procédures de contrôle déjà engagées.
3. Aux fins prévues à l'article 1er, paragraphe 1, chaque État membre prend les mesures nécessaires à la réalisation des objectifs fixés aux paragraphes 1 et 2 du présent article en ce qui concerne son système national. En outre, chaque État membre consigne l'identité des membres du personnel dûment autorisés à saisir ou à extraire les données.
Article 29
Droits des personnes concernées
1. Toute personne relevant de l'article 9, paragraphe 1, de l'article 14, paragraphe 1, ou de l'article 17, paragraphe 1, est informée par l'État membre d'origine par écrit et, si nécessaire, oralement, dans une langue qu'elle comprend ou dont on peut raisonnablement supposer qu'elle la comprend:
a)
de l'identité du responsable du traitement au sens de l'article 2, point d), de la directive 95/46/CE, et de son représentant, le cas échéant;
b)
de la raison pour laquelle ses données vont être traitées par Eurodac, y compris une description des objectifs du règlement (UE) no 604/2013, conformément à l'article 4 dudit règlement, et des explications, sous une forme intelligible, dans un langage clair et simple, quant au fait que les États membres et Europol peuvent avoir accès à Eurodac à des fins répressives;
c)
des destinataires des données;
d)
dans le cas des personnes relevant de l'article 9, paragraphe 1, ou de l'article 14, paragraphe 1, de l'obligation d'accepter que ses empreintes digitales soient relevées;
e)
de son droit d'accéder aux données la concernant et de demander que des données inexactes la concernant soient rectifiées ou que des données la concernant qui ont fait l'objet d'un traitement illicite soient effacées, ainsi que du droit d'être informée des procédures à suivre pour exercer ces droits, y compris les coordonnées du responsable du traitement et des autorités nationales de contrôle visées à l'article 30, paragraphe 1.
2. Dans le cas de personnes relevant de l'article 9, paragraphe 1, ou de l'article 14, paragraphe 1, les informations visées au paragraphe 1 du présent article sont fournies au moment où les empreintes digitales de la personne concernée sont relevées.
Dans le cas de personnes relevant de l'article 17, paragraphe 1, les informations visées au paragraphe 1 du présent article sont fournies au plus tard au moment où les données concernant cette personne sont transmises au système central. Cette obligation ne s'applique pas lorsqu'il s'avère impossible de fournir ces informations ou que cela nécessite des efforts disproportionnés.
Lorsqu'une personne qui relève de l'article 9, paragraphe 1, de l'article 14, paragraphe 1, et de l'article 17, paragraphe 1, est mineure, les États membres lui communiquent ces informations d'une manière adaptée à son âge.
3. Une brochure commune, dans laquelle figurent au moins les informations visées au paragraphe 1 du présent article et celles visées à l'article 4, paragraphe 1, du règlement (UE) no 604/2013 est réalisée conformément à la procédure visée à l'article 44, paragraphe 2, dudit règlement.
La brochure est rédigée d'une manière claire et simple, et dans une langue que la personne concernée comprend ou dont on peut raisonnablement supposer qu'elle la comprend.
La brochure commune est réalisée de telle manière que les États membres peuvent y ajouter des informations spécifiques aux États membres. Ces informations spécifiques aux États membres portent au moins sur les droits de la personne concernée, sur la possibilité d'une assistance de la part des autorités nationales de contrôle, ainsi que sur les coordonnées des services du responsable du traitement et des autorités nationales de contrôle.
4. Aux fins prévues à l'article 1er, paragraphe 1, du présent règlement, dans chaque État membre, toute personne concernée peut, conformément aux lois, réglementations et procédures de cet État, exercer les droits prévus à l'article 12 de la directive 95/46/CE.
Sans préjudice de l'obligation de fournir d'autres informations conformément à l'article 12, point a), de la directive 95/46/CE, la personne concernée a le droit d'obtenir communication des données la concernant qui sont enregistrées dans le système central ainsi que de l'identité de l'État membre qui les a transmises au système central. Cet accès aux données ne peut être accordé que par un État membre.
5. Aux fins prévues à l'article 1er, paragraphe 1, dans chaque État membre, toute personne peut demander que les données qui sont matériellement erronées soient rectifiées ou que les données enregistrées de façon illicite soient effacées. La rectification et l'effacement sont effectués sans retard excessif par l'État membre qui a transmis les données, conformément à ses lois, réglementations et procédures.
6. Aux fins prévues à l'article 1er, paragraphe 1, si les droits de rectification et d'effacement sont exercés dans un autre État membre que celui ou ceux qui ont transmis les données, les autorités de cet État membre prennent contact avec les autorités de l'État membre ou des États membres qui ont transmis les données afin que celles-ci vérifient l'exactitude des données et la licéité de leur transmission et de leur enregistrement dans le système central.
7. Aux fins prévues à l'article 1er, paragraphe 1, s'il apparaît que des données enregistrées dans le système central sont matériellement erronées ou y ont été enregistrées de façon illicite, l'État membre qui les a transmises les rectifie ou les efface conformément à l'article 27, paragraphe 3. Cet État membre confirme par écrit et sans délai excessif à la personne concernée qu'il a procédé à la rectification ou à l'effacement de données la concernant.
8. Aux fins prévues à l'article 1er, paragraphe 1, si l'État membre qui a transmis les données n'estime pas que les données enregistrées dans le système central sont matériellement erronées ou y ont été enregistrées de façon illicite, il indique par écrit et sans délai excessif à la personne concernée les raisons pour lesquelles il n'est pas disposé à rectifier ou effacer les données.
Cet État membre fournit également à la personne concernée des précisions quant aux mesures qu'elle peut prendre si elle n'accepte pas l'explication proposée. Cela comprend des informations sur la manière de former un recours ou, s'il y a lieu, de déposer une plainte devant les autorités compétentes ou les juridictions de cet État membre, ainsi que sur toute aide, financière ou autre, dont la personne concernée peut disposer en vertu des lois, réglementations et procédures de cet État membre.
9. Toute demande présentée au titre des paragraphes 4 et 5 comporte tous les éléments nécessaires à l'identification de la personne concernée, y compris les empreintes digitales. Ces données ne sont utilisées que pour permettre l'exercice des droits visés aux paragraphes 4 et 5 et sont ensuite immédiatement effacées.
10. Les autorités compétentes des États membres collaborent activement afin que les droits prévus aux paragraphes 5, 6 et 7 soient exécutés sans tarder.
11. Lorsqu'une personne demande la communication de données la concernant en vertu du paragraphe 4, l'autorité compétente consigne la présentation de cette demande et son traitement dans un document écrit et transmet ce document sans tarder aux autorités nationales de contrôle.
12. Aux fins prévues à l'article 1er, paragraphe 1, du présent règlement, dans chaque État membre, l'autorité nationale de contrôle assiste la personne concernée dans l'exercice de ses droits, sur la base de la demande présentée par celle-ci, conformément à l'article 28, paragraphe 4, de la directive 95/46/CE.
13. Aux fins prévues à l'article 1er, paragraphe 1, du présent règlement, l'autorité nationale de contrôle de l'État membre qui a transmis les données et l'autorité nationale de contrôle de l'État membre dans lequel se trouve la personne concernée assistent cette dernière et, si elle le demande, la conseillent dans l'exercice de son droit à faire rectifier ou effacer les données. Les deux autorités nationales de contrôle coopèrent à cette fin. Les demandes d'assistance peuvent être adressées à l'autorité nationale de contrôle de l'État membre dans lequel se trouve la personne concernée, qui les communique à l'autorité de l'État membre qui a transmis les données.
14. Dans chaque État membre, toute personne peut, conformément aux lois, réglementations et procédures de cet État, former un recours ou, s'il y a lieu, déposer une plainte devant les autorités compétentes ou les juridictions de cet État si le droit d'accès prévu au paragraphe 4 lui est refusé.
15. Toute personne peut, conformément aux lois, réglementations et procédures de l'État membre qui a transmis les données, former un recours ou, s'il y a lieu, déposer une plainte devant les autorités compétentes ou les juridictions de cet État, au sujet des données la concernant qui sont enregistrées dans le système central, afin d'exercer ses droits conformément au paragraphe 5. L'obligation, pour les autorités nationales de contrôle, d'assister et, si elle le demande, de conseiller la personne concernée conformément au paragraphe 13, subsiste pendant toute la durée de cette procédure.
Article 30
Contrôle par l'autorité nationale de contrôle
1. Aux fins prévues à l'article 1er, paragraphe 1, du présent règlement, chaque État membre veille à ce que l'autorité ou les autorités nationales de contrôle, désignées en vertu de l'article 28, paragraphe 1, de la directive 95/46/CE, contrôlent, en toute indépendance et dans le respect de leurs législations nationales respectives, la licéité du traitement des données à caractère personnel, y compris de leur transmission au système central, effectué par l'État membre en question, conformément au présent règlement.
2. Chaque État membre s'assure que son autorité nationale de contrôle peut bénéficier des conseils de personnes ayant une connaissance suffisante des données dactyloscopiques.
Article 31
Contrôle par le Contrôleur européen de la protection des données
1. Le Contrôleur européen de la protection des données veille à ce que toutes les activités de traitement des données à caractère personnel dans le cadre d'Eurodac, notamment par l'agence, soient exercées conformément au règlement (CE) no 45/2001 et au présent règlement.
2. Le Contrôleur européen de la protection des données veille à ce que soit réalisé, tous les trois ans au minimum, un audit des activités de traitement des données à caractère personnel exercées par l'agence, répondant aux normes internationales d'audit. Un rapport d'audit est communiqué au Parlement européen, au Conseil, à la Commission, à l'agence et aux autorités nationales de contrôle. L'agence a la possibilité de formuler des observations avant l'adoption du rapport.
Article 32
Coopération entre les autorités nationales de contrôle et le Contrôleur européen de la protection des données
1. Les autorités nationales de contrôle et le Contrôleur européen de la protection des données, agissant chacun dans les limites de leurs compétences respectives, coopèrent activement dans le cadre de leurs responsabilités et assurent le contrôle conjoint d'Eurodac.
2. Les États membres veillent à ce que, conformément à l'article 33, paragraphe 2, un organisme indépendant réalise chaque année un audit du traitement des données à caractère personnel aux fins prévues à l'article 1er, paragraphe 2, y compris une analyse d'un échantillon des demandes électroniques motivées.
Cet audit est joint au rapport annuel des États membres visé à l'article 40, paragraphe 7.
3. Les autorités nationales de contrôle et le Contrôleur européen de la protection des données, agissant chacun dans les limites de leurs compétences respectives, échangent les informations utiles, s'assistent mutuellement dans la conduite d'audits et d'inspections, examinent les difficultés d'interprétation ou d'application du présent règlement, étudient les problèmes pouvant se poser lors de l'exercice du contrôle indépendant ou dans l'exercice des droits des personnes concernées, formulent des propositions harmonisées de solutions communes aux éventuels problèmes et assurent une sensibilisation aux droits en matière de protection des données, si nécessaire.
4. Aux fins prévues au paragraphe 3, les autorités nationales de contrôle et le Contrôleur européen de la protection des données se réunissent au minimum deux fois par an. Le coût et l'organisation de ces réunions sont à la charge du Contrôleur européen de la protection des données. Le règlement intérieur est adopté lors de la première réunion. D'autres méthodes de travail sont mises au point d'un commun accord, selon les besoins. Un rapport d'activités conjoint est transmis tous les deux ans au Parlement européen, au Conseil, à la Commission et à l'agence.
Article 33
Protection des données à caractère personnel à des fins répressives
1. Chaque État membre veille à ce que les dispositions qu'il a adoptées en droit national pour mettre en œuvre la décision-cadre 2008/977/JAI s'appliquent aussi au traitement par les autorités nationales de données à caractère personnel aux fins prévues à l'article 1er, paragraphe 2, du présent règlement.
2. Les autorités nationales de contrôle désignées en vertu de la décision-cadre 2008/977/JAI contrôlent la licéité du traitement de données à caractère personnel effectué par les États membres au titre du présent règlement, aux fins prévues à l'article 1er, paragraphe 2, du présent règlement, y compris leur transmission en provenance et à destination d'Eurodac.
3. Les traitements de données à caractère personnel réalisés par Europol en vertu du présent règlement sont conformes à la décision 2009/371/JAI et sont contrôlés par un contrôleur de la protection des données, indépendant et externe. Les articles 30, 31 et 32 de ladite décision s'appliquent au traitement de données à caractère personnel par Europol en vertu du présent règlement. Le contrôleur de la protection des données, indépendant et externe, garantit qu'il n'est pas porté atteinte aux droits des personnes.
4. Les données à caractère personnel obtenues d'Eurodac en vertu du présent règlement aux fins prévues à l'article 1er, paragraphe 2, ne sont traitées qu'aux fins de la prévention, ou de la détection du cas spécifique pour lequel les données ont été demandées par un État membre ou par Europol, ou aux fins de l'enquête sur ce cas.
5. Le système central, les autorités désignées et les autorités chargées de la vérification, ainsi qu'Europol établissent des relevés des recherches effectuées afin de permettre aux autorités nationales chargées de la protection des données et au Contrôleur européen de la protection des données de contrôler que le traitement des données respecte les règles de l'Union en matière de protection des données, y compris dans le but de conserver des dossiers permettant de rédiger les rapports annuels visés à l'article 40, paragraphe 7. Si les fins poursuivies sont autres que ces objectifs, les données à caractère personnel ainsi que les relevés des recherches sont effacés de tous les dossiers nationaux et de ceux d'Europol après un mois, à moins que ces données ne soient nécessaires aux fins de l'enquête pénale en cours sur le cas d'espèce, pour laquelle elles avaient été demandées par un État membre ou par Europol.
Article 34
Sécurité des données
1. L'État membre d'origine assure la sécurité des données avant et pendant leur transmission au système central.
2. Chaque État membre adopte, pour toutes les données traitées par ses autorités compétentes en vertu du présent règlement, les mesures nécessaires, y compris un plan de sécurité, pour:
a)
assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;
b)
empêcher l'accès de toute personne non autorisée aux installations nationales dans lesquelles l'État membre mène des opérations conformément à l'objet d'Eurodac (contrôle à l'entrée de l'installation);
c)
empêcher toute lecture, copie ou modification ou tout retrait non autorisé de supports de données (contrôle des supports de données);
d)
empêcher la saisie non autorisée de données, ainsi que tout examen, toute modification ou tout effacement non autorisé de données à caractère personnel conservées dans Eurodac (contrôle de la conservation);
e)
empêcher le traitement non autorisé de données dans Eurodac ainsi que toute modification ou tout effacement non autorisé de données traitées dans Eurodac (contrôle de la saisie des données);
f)
veiller à ce que les personnes autorisées à avoir accès à Eurodac n'aient accès qu'aux données pour lesquelles l'autorisation a été accordée, l'accès n'étant possible qu'avec un code d'identification individuel et unique et par un mode d'accès confidentiel (contrôle de l'accès aux données);
g)
veiller à ce que toutes les autorités ayant un droit d'accès à Eurodac créent des profils précisant les fonctions et responsabilités des personnes autorisées à avoir accès aux données, à les saisir, à les actualiser, à les effacer et à effectuer des recherches dans les données, et à ce que ces profils, ainsi que toute autre information utile que ces autorités peuvent demander à des fins de contrôle, soient mises sans tarder à la disposition des autorités nationales de contrôle visées à l'article 28 de la directive 95/46/CE et à l'article 25 de la décision-cadre 2008/977/JAI, à la demande de celles-ci (profils personnels);
h)
garantir qu'il soit possible de vérifier et de déterminer à quelles autorités les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission);
i)
garantir qu'il soit possible de vérifier et de déterminer quelles données ont été traitées dans Eurodac, à quel moment, par qui et dans quel but (contrôle de l'enregistrement des données);
j)
empêcher toute lecture, copie ou modification ou tout effacement non autorisé de données à caractère personnel pendant la transmission de ces données en provenance ou à destination d'Eurodac ou pendant le transport de supports de données, en particulier grâce à des techniques de cryptage adaptées (contrôle du transport);
k)
contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures d'organisation en matière de contrôle interne qui sont nécessaires pour garantir le respect du présent règlement (autocontrôle) et pour détecter automatiquement, dans un délai de 24 heures, tous les événements significatifs survenant dans l'application des mesures énumérées aux points b) à j) qui peuvent signaler un incident de sécurité.
3. Les États membres informent l'agence des incidents de sécurité détectés dans leurs systèmes. L'agence informe les États membres, Europol et le Contrôleur européen de la protection des données en cas d'incidents de sécurité. Les États membres concernés, l'agence et Europol collaborent en cas d'incident de sécurité.
4. L'agence prend les mesures nécessaires à la réalisation des objectifs fixés au paragraphe 2 en ce qui concerne le fonctionnement d'Eurodac, y compris l'adoption d'un plan de sécurité.
Article 35
Interdiction de transférer des données à des pays tiers, à des organisations internationales ou à des entités de droit privé
1. Les données à caractère personnel provenant du système central et transmises à un État membre ou à Europol en vertu du présent règlement ne peuvent être communiquées à un pays tiers, à une organisation internationale ou à une entité de droit privé établie ou non dans l'Union ni mises à leur disposition. Cette interdiction s'applique aussi si ces données font l'objet d'un traitement ultérieur à l'échelon national, ou entre États membres, au sens de l'article 2, point b), de la décision-cadre 2008/977/JAI.
2. Les données à caractère personnel qui ont leur origine dans un État membre et sont communiquées entre États membres à la suite d'un résultat positif obtenu aux fins prévues à l'article 1er, paragraphe 2, ne sont pas transmises à des pays tiers s'il existe un risque grave qu'en raison d'un tel transfert, la personne concernée puisse être soumise à la torture ou à un autre traitement inhumain et dégradant, à un châtiment ou à toute autre violation de ses droits fondamentaux.
3. Les interdictions visées aux paragraphes 1 et 2 ne portent pas atteinte au droit des États membres de transférer ces données à des pays tiers auxquels le règlement (UE) no 604/2013 s'applique.
Article 36
Registre et traces documentaires
1. Chaque État membre et Europol veillent à ce que toutes les opérations de traitement de données résultant de demandes de comparaison avec les données d'Eurodac aux fins prévues à l'article 1er, paragraphe 2, soient consignées dans un registre ou attestées par des documents, de manière à pouvoir contrôler la recevabilité de la demande, la licéité du traitement des données et l'intégrité et la sécurité des données, et l'autocontrôle.
2. Le registre ou les traces documentaires mentionnent systématiquement:
a)
l'objet précis de la demande de comparaison, notamment la nature de l'infraction terroriste ou de l'autre infraction pénale grave en question et, dans le cas d'Europol, l'objet précis de la demande de comparaison;
b)
les motifs raisonnables, conformément à l'article 20, paragraphe 1, du présent règlement, pour ne pas effectuer de comparaisons avec d'autres États membres au titre de la décision 2008/615/JAI;
c)
la référence du fichier national;
d)
la date et l'heure exacte de la demande de comparaison adressée au système central par le point d'accès national;
e)
le nom de l'autorité qui a demandé l'accès en vue d'une comparaison et la personne responsable qui a présenté la demande et traité les données;
f)
le cas échéant, le recours à la procédure d'urgence visée à l'article 19, paragraphe 3, et la décision prise en ce qui concerne la vérification a posteriori;
g)
les données utilisées pour la comparaison;
h)
conformément aux dispositions nationales ou à la décision 2009/371/JAI, les données d'identification de l'agent qui a effectué la recherche et celles de l'agent qui a ordonné la recherche ou la transmission.
3. Les registres et les traces documentaires ne sont utilisés que pour contrôler la licéité du traitement des données et pour garantir l'intégrité et la sécurité de celles-ci. Seuls les registres contenant des données à caractère non personnel peuvent être utilisés aux fins du suivi et de l'évaluation visés à l'article 40. Les autorités nationales de contrôle compétentes chargées de vérifier la recevabilité de la demande et de contrôler la licéité du traitement des données ainsi que l'intégrité et la sécurité des données se voient octroyer l'accès à ces registres à leur demande aux fins de l'accomplissement des tâches qui leur incombent.
Article 37
Responsabilité
1. Toute personne ou tout État membre ayant subi un dommage du fait d'un traitement illicite ou de toute action incompatible avec le présent règlement a le droit d'obtenir de l'État membre responsable réparation du préjudice subi. Cet État est exonéré partiellement ou totalement de cette responsabilité s'il prouve que le fait dommageable ne lui est pas imputable.
2. Si le non-respect, par un État membre, des obligations qui lui incombent au titre du présent règlement entraîne un dommage pour le système central, cet État membre en est tenu responsable, sauf si et dans la mesure où l'agence ou un autre État membre n'a pas pris de mesures raisonnables pour empêcher le dommage de survenir ou pour en atténuer l'effet.
3. Les actions en réparation intentées contre un État membre pour les dommages visés aux paragraphes 1 et 2 sont régies par les dispositions du droit national de l'État membre défendeur.
CHAPITRE VIII
MODIFICATIONS DU RÈGLEMENT (UE) No 1077/2011
Article 38
Modifications du règlement (UE) no 1077/2011
Le règlement (UE) no 1077/2011 est modifié comme suit:
1)
L'article 5 est remplacé par le texte suivant:
"Article 5
Tâches liées à Eurodac
En ce qui concerne Eurodac, l'agence s'acquitte:
a)
des tâches qui lui sont confiées par le règlement (UE) no 603/2013 du Parlement européen et du Conseil du 26 juin 2013 relatif à la création d'"Eurodac" pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (UE) no 604/2013 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale introduite dans l'un des États membres par un ressortissant de pays tiers ou un apatride et relatif aux demandes de comparaison avec les données d'Eurodac présentées par les autorités répressives des États membres et Europol à des fins répressives (17); et
b)
des tâches liées à la formation relative à l'utilisation technique d'Eurodac.
2)
L'article 12, paragraphe 1, est modifié comme suit:
a)
les points u) et v) sont remplacés par le texte suivant:
"u)
adopte le rapport annuel sur les activités du système central d'Eurodac, au titre de l'article 40, paragraphe 1, du règlement (UE) no 603/2013;
v)
formule des observations sur les rapports établis par le Contrôleur européen de la protection des données concernant les audits réalisés au titre de l'article 45, paragraphe 2, du règlement (CE) no 1987/2006, de l'article 42, paragraphe 2, du règlement (CE) no 767/2008 et de l'article 31, paragraphe 2, du règlement (UE) no 603/2013 et veille à ce qu'il soit donné dûment suite à ces audits;";
b)
le point x) est remplacé par le texte suivant:
"x)
établit des statistiques sur les travaux du système central d'Eurodac, au titre de l'article 8, paragraphe 2, du règlement (UE) no 603/2013;";
c)
le point z) est remplacé par le texte suivant:
"z)
veille à la publication annuelle de la liste des unités au titre de l'article 27, paragraphe 2, du règlement (UE) no 603/2013;".
3)
À l'article 15, le paragraphe 4 est remplacé par le texte suivant:
"4. Europol et Eurojust peuvent assister aux réunions du conseil d'administration en tant qu'observateurs lorsqu'une question concernant le SIS II, liée à l'application de la décision 2007/533/JAI, figure à l'ordre du jour. Europol peut également assister aux réunions du conseil d'administration en tant qu'observateur lorsqu'une question concernant le VIS, liée à l'application de la décision 2008/633/JAI, ou lorsqu'une question concernant Eurodac, liée à l'application du règlement (UE) no 603/2013, est à l'ordre du jour.".
4)
L'article 17 est modifié comme suit:
a)
au paragraphe 5, le point g) est remplacé par le texte suivant:
"g)
sans préjudice de l'article 17 du statut, fixe les exigences de confidentialité à respecter pour se conformer à l'article 17 du règlement (CE) no 1987/2006, à l'article 17 de la décision 2007/533/JAI, à l'article 26, paragraphe 9, du règlement (CE) no 767/2008, ainsi qu'à l'article 4, paragraphe 4, du règlement (UE) no603/2013;";
b)
au paragraphe 6, le point i) est remplacé par le texte suivant:
"i)
les rapports sur le fonctionnement technique de chaque système d'information à grande échelle visés à l'article 12, paragraphe 1, point t), et le rapport annuel sur les activités du système central d'Eurodac visé à l'article 12, paragraphe 1, point u), sur la base des résultats du contrôle et de l'évaluation.".
5)
À l'article 19, le paragraphe 3 est remplacé par le texte suivant:
"3. Europol et Eurojust peuvent chacun désigner un représentant au sein du groupe consultatif sur le SIS II. Europol peut également désigner un représentant au sein des groupes consultatifs sur le VIS et sur Eurodac.".
CHAPITRE IX
DISPOSITIONS FINALES
Article 39
Coûts
1. Les coûts afférents à la création et au fonctionnement du système central et de l'infrastructure de communication sont à la charge du budget général de l'Union européenne.
2. Les coûts afférents aux points d'accès nationaux et les coûts afférents à leur connexion avec le système central sont à la charge de chaque État membre.
3. Chaque État membre de même qu'Europol mettent en place et gèrent, à leurs propres frais, l'infrastructure technique nécessaire à la mise en œuvre du présent règlement, et prennent en charge les coûts résultant des demandes de comparaison avec les données d'Eurodac aux fins prévues à l'article 1er, paragraphe 2.
Article 40
Rapport annuel: suivi et évaluation
1. L'agence soumet au Parlement européen, au Conseil, à la Commission et au Contrôleur européen de la protection des données un rapport annuel sur les activités du système central, y compris sur son fonctionnement technique et sa sécurité. Ce rapport comporte des informations sur la gestion et les performances d'Eurodac par rapport à des indicateurs quantitatifs définis au préalable pour les objectifs visés au paragraphe 2.
2. L'agence veille à ce que des procédures soient mises en place pour suivre le fonctionnement du système central par rapport aux objectifs en matière de résultats, de coût-efficacité et de qualité du service.
3. Aux fins de la maintenance technique et de l'établissement de rapports et de statistiques, l'agence a accès aux informations nécessaires concernant les opérations de traitement effectuées dans le système central.
4. Le 20 juillet 2018 au plus tard, et ensuite tous les quatre ans, la Commission rédige un rapport global d'évaluation d'Eurodac qui examine les résultats obtenus par rapport aux objectifs fixés, ainsi que l'impact sur les droits fondamentaux, y compris la question de savoir si l'accès à des fins répressives a conduit à des discriminations indirectes à l'encontre des personnes relevant du présent règlement, et qui détermine si les principes de base restent valables, en tire toutes les conséquences pour les opérations futures et formule toute recommandation utile. La Commission transmet cette évaluation au Parlement européen et au Conseil.
5. Les États membres communiquent à l'agence et à la Commission les informations nécessaires pour rédiger le rapport annuel visé au paragraphe 1.
6. L'agence, les États membres et Europol communiquent à la Commission les informations nécessaires pour rédiger le rapport global d'évaluation visé au paragraphe 4. Ces informations ne peuvent porter préjudice aux méthodes de travail ni comprendre des indications sur les sources, les membres du personnel ou les enquêtes des autorités désignées.
7. Tout en respectant les dispositions du droit national relatives à la publication d'informations sensibles, chaque État membre de même qu'Europol rédigent des rapports annuels sur l'efficacité de la comparaison des données dactyloscopiques avec les données d'Eurodac à des fins répressives; ces rapports contiennent des informations et des statistiques sur:
-
l'objet précis de la comparaison, notamment la nature de l'infraction terroriste ou de l'infraction pénale grave,
-
les motifs invoqués pour avoir des doutes raisonnables,
-
les motifs raisonnables, conformément à l'article 20, paragraphe 1 du présent règlement, pour ne pas effectuer de comparaison avec d'autres États membres au titre de la décision 2008/615/JAI,
-
le nombre de demandes de comparaison,
-
le nombre et le type de cas qui ont permis une identification, et
-
la nécessité de traiter les cas exceptionnels d'urgence, les cas d'urgence effectivement traités, y compris ceux qui n'ont pas été approuvés par l'autorité chargée de la vérification lors de la vérification a posteriori.
Les rapports annuels des États membres et d'Europol sont transmis à la Commission au plus tard le 30 juin de l'année suivante.
8. Sur la base des rapports annuels des États membres et d'Europol prévus au paragraphe 7 et outre le rapport global d'évaluation prévu au paragraphe 4, la Commission compile un rapport annuel sur l'accès des autorités répressives à Eurodac et transmet ce rapport au Parlement européen, au Conseil et au Contrôleur européen de la protection des données.
Article 41
Sanctions
Les États membres prennent les mesures nécessaires pour que tout traitement des données saisies dans le système central non conforme à l'objet d'Eurodac, tel que défini à l'article 1er, soit passible de sanctions, y compris administratives et/ou pénales conformément au droit national, qui soient effectives, proportionnées et dissuasives.
Article 42
Champ d'application territorial
Les dispositions du présent règlement ne sont applicables à aucun territoire auquel le règlement (UE) no 604/2013 ne s'applique pas.
Article 43
Notification des autorités désignées et des autorités chargées de la vérification
1. Le 20 octobre 2013 au plus tard, chaque État membre notifie à la Commission ses autorités désignées, les unités opérationnelles visées à l'article 5, paragraphe 3, et son autorité chargée de la vérification, et notifie toute modification à cet égard sans tarder.
2. Le 20 octobre 2013 au plus tard, Europol notifie à la Commission son autorité désignée, son autorité chargée de la vérification et le point d'accès national qu'il a désigné, et notifie toute modification à cet égard sans tarder.
3. La Commission publie chaque année les informations visées aux paragraphes 1 et 2 au Journal officiel de l'Union européenne et par voie électronique sur un site disponible en ligne et mis à jour sans tarder.
Article 44
Disposition transitoire
Les données verrouillées dans le système central en application de l'article 12 du règlement (CE) no 2725/2000 sont déverrouillées et reçoivent une marque distinctive conformément à l'article 18, paragraphe 1, du présent règlement, le 20 juillet 2015.
Article 45
Abrogation
Le règlement (CE) no 2725/2000 et le règlement (CE) no 407/2002 sont abrogés avec effet au 20 juillet 2015.
Les références faites aux règlements abrogés s'entendent comme faites au présent règlement et sont à lire selon le tableau de correspondance figurant à l'annexe III.
Article 46
Entrée en vigueur et conditions d'application
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.
Le présent règlement est applicable à partir du 20 juillet 2015.
Les États membres informent la Commission et l'agence dès qu'ils ont procédé aux aménagements techniques nécessaires pour transmettre des données au système central et, en tout état de cause, au plus tard le 20 juillet 2015.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans les États membres conformément aux traités.
Fait à Bruxelles, 26 juin 2013.