COMISIÓN EUROPEA

Bruselas, 8.12.2021

COM(2021) 784 final

2021/0410(COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

relativo al intercambio automatizado de datos para la cooperación policial («Prüm II»), por el que se modifican las Decisiones 2008/615/JAI y 2008/616/JAI del Consejo y los Reglamentos (UE) 2018/1726, 2019/817 y 2019/818 del Parlamento Europeo y del Consejo

{SEC(2021) 421 final} - {SWD(2021) 378 final} - {SWD(2021) 379 final}

EXPOSICIÓN DE MOTIVOS

CONTEXTO DE LA PROPUESTA

•Razones de la propuesta

•Objetivos de la propuesta

El objetivo general de la presente iniciativa se deriva del objetivo, basado en el Tratado, de contribuir a la seguridad interior de la Unión Europea. Entre las medidas previstas, figuran la recogida, el almacenamiento, el tratamiento, el análisis y el intercambio de información pertinente 9 . El objetivo general del presente instrumento es, por tanto, mejorar, racionalizar y facilitar el intercambio de información a efectos de prevención, detección e investigación de infracciones penales y, en particular, delitos de terrorismo entre las autoridades policiales de los Estados miembros, pero también con Europol, como eje para el intercambio de información de la UE en materia de delincuencia.

Los objetivos estratégicos específicos de la presente propuesta son:

a)proporcionar una solución técnica para posibilitar un intercambio automatizado y eficiente de datos entre las autoridades policiales, con el fin de permitirles conocer los datos pertinentes disponibles en la base de datos nacional de otro Estado miembro;

b)garantizar que todas las autoridades policiales competentes dispongan de datos más pertinentes (en términos de categorías de datos) de las bases de datos nacionales de otros Estados miembros;

c)garantizar que las autoridades policiales dispongan de los datos pertinentes (en términos de fuentes de datos) de las bases de datos de Europol;

d)proporcionar a las autoridades policiales un acceso eficiente a los datos reales correspondientes a una «respuesta positiva» disponible en la base de datos nacional de otro Estado miembro.

•Coherencia con las disposiciones existentes en la misma política sectorial

2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica

•Subsidiariedad

La mejora del intercambio de información entre la policía y las autoridades policiales en la UE no puede ser alcanzada de manera suficiente por los Estados miembros de forma aislada, debido al carácter transfronterizo de la lucha contra la delincuencia y las cuestiones de seguridad. Los Estados miembros están obligados a depender unos de otros en estas cuestiones.

A través de varios proyectos de ejecución a escala de la UE 14 , los Estados miembros han intentado tomar medidas para subsanar las deficiencias del actual marco de Prüm 15 . A pesar de todas estas acciones, muchas de las deficiencias seguían siendo las mismas que las descritas en el informe de 2012 sobre la aplicación de la Decisión Prüm 16 . Esto demuestra la necesidad de una acción a nivel de la UE, ya que las medidas aplicadas por los Estados miembros por sí solas no han resultado suficientes para abordar las limitaciones del marco de Prüm actual.

Además, las reglas, normas y requisitos comunes a nivel de la UE facilitan el intercambio de información, al tiempo que garantizan la compatibilidad entre los diferentes sistemas nacionales. Se alcanzará de este modo un cierto nivel de automatización en los flujos de trabajo de intercambio de información que liberará a los agentes policiales de algunas actividades manuales intensivas en mano de obra.

•Proporcionalidad

Como se explica en detalle en la evaluación de impacto que acompaña a la presente propuesta de Reglamento, las opciones presentadas se consideran proporcionadas. No van más allá de lo necesario para alcanzar los objetivos acordados.

•Elección del instrumento

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

•Evaluación ex post de la legislación vigente

• Consultas con las partes interesadas

•Evaluación de impacto

1)Para alcanzar el objetivo de proporcionar una solución técnica que permita un intercambio automatizado de datos eficiente, debe aplicarse una solución híbrida entre un enfoque descentralizado y un enfoque centralizado sin almacenamiento de datos a nivel central.

2)Para alcanzar el objetivo de garantizar que las autoridades policiales dispongan de datos más pertinentes (en términos de categorías de datos), debe introducirse el intercambio de imágenes faciales y ficheros policiales.

3)Para alcanzar el objetivo de garantizar que los datos pertinentes de las bases de datos de Europol estén a disposición de las autoridades policiales, los Estados miembros deben poder comprobar automáticamente los datos biométricos en posesión de Europol procedentes de terceros países, en el ámbito del marco de Prüm. Europol también debe poder comprobar los datos procedentes de terceros países incluidos en las bases de datos nacionales de los Estados miembros.

4)Para alcanzar el objetivo de facilitar un acceso eficiente a los datos reales correspondientes a una «respuesta positiva» en la base de datos nacional de otro Estado miembro o en Europol, el proceso de seguimiento debe regularse a nivel de la UE de modo que se produzca un intercambio semiautomatizado de los datos reales correspondientes a una «respuesta positiva».

•Derechos fundamentales

•Protección de los datos personales

1)debe ser establecida por la ley;

2)debe respetar el contenido esencial de los derechos;

3)debe responder efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás;

4)debe ser necesaria; y

5)debe ser proporcional.

La presente propuesta integra todas estas normas de protección de datos, como se expone en detalle en la evaluación de impacto que acompaña a la presente propuesta de Reglamento. La propuesta se basa en los principios de protección de datos desde el diseño y por defecto. Incluye todas las disposiciones apropiadas que limitan el tratamiento de datos a lo necesario para el propósito específico y conceden acceso a los datos únicamente a aquellas entidades que «necesitan saber». El acceso a los datos está reservado exclusivamente al personal debidamente autorizado de las administraciones de los Estados miembros o de los organismos de la UE competentes para los fines específicos de cada sistema de información, y se limita a la medida en que los datos sean necesarios para el desempeño de las tareas conforme a dichos fines.

En el momento de publicar el informe de evaluación de los efectos de la aplicación de la [Recomendación del Consejo sobre la cooperación policial operativa] por los Estados miembros a que se refiere el punto 9, letra d), de dicha Recomendación, la Comisión decidirá si se precisa legislación de la UE en materia de cooperación policial transfronteriza operativa. En caso de que se precise esta legislación, la Comisión presentará una propuesta legislativa en materia de cooperación policial transfronteriza operativa, que también garantizará la adaptación de las disposiciones de la Decisión 2008/615/JAI y de la Decisión 2008/616/JAI que no estuviesen amparadas por la presente propuesta a la Directiva 2016/680, en consonancia con los resultados de la evaluación realizada con arreglo al artículo 62, apartado 6, de la Directiva 2016/680. En caso de que no se precise legislación de la UE en materia de cooperación policial transfronteriza operativa, la Comisión presentará una propuesta legislativa para garantizar esta misma armonización, en consonancia con los resultados de la evaluación realizada con arreglo al artículo 62, apartado 6, de la Directiva 2016/680.

4.REPERCUSIONES PRESUPUESTARIAS

La presente iniciativa legislativa repercutiría en el presupuesto y las necesidades de personal de eu-LISA y de Europol.

Con respecto a eu-LISA, se estima que se necesitaría un presupuesto adicional de unos 16 millones EUR y unos 10 puestos adicionales para todo el período de vigencia del MFP, a fin de garantizar que esta agencia disponga de los recursos necesarios para desempeñar las funciones que se le atribuyen en la presente propuesta de Reglamento. El presupuesto asignado a eu-LISA se compensará con el Instrumento de Gestión de Fronteras y Política de Visados (BMVI).

Con respecto a Europol, se estima que se necesitaría un presupuesto adicional de unos 7 millones EUR y unos 5 puestos adicionales para todo el período de vigencia del MFP, a fin de garantizar que esta agencia disponga de los recursos necesarios para desempeñar las funciones que se le atribuyen en la presente propuesta de Reglamento. El presupuesto asignado a Europol se compensará con el Fondo de Seguridad Interior (FSI).

5.OTROS ELEMENTOS

•Planes de ejecución y modalidades de seguimiento, evaluación e información

•Explicación detallada de las disposiciones específicas de la propuesta

El capítulo 1 establece las disposiciones generales del presente Reglamento, con su objeto, objetivo y ámbito de aplicación. Proporciona una lista de definiciones y recuerda que el tratamiento de datos personales a efectos del presente Reglamento respetará el principio de no discriminación y otros derechos fundamentales.

El capítulo 2 establece las disposiciones que regulan el intercambio de las categorías de datos a que se refiere el presente Reglamento, a saber, el intercambio de perfiles de ADN, datos dactiloscópicos, datos de matriculación de vehículos, imágenes faciales y ficheros policiales. Los principios aplicables al intercambio, la búsqueda automatizada de datos y las normas aplicables a las solicitudes y a las respuestas se detallan en una sección ad hoc correspondiente, respectivamente, a cada categoría de datos. El capítulo 2 contiene asimismo disposiciones comunes para el intercambio de datos, la creación de puntos de contacto nacionales y medidas de ejecución.

En el capítulo 3 se exponen los detalles de la nueva arquitectura (técnica) para el intercambio de datos. La primera sección de este capítulo incluye disposiciones que describen el encaminador central, el uso del encaminador y la realización de consultas. Serán necesarios actos de ejecución para especificar los procedimientos técnicos que deben seguirse en estas consultas. Esta sección también incluye disposiciones sobre la interoperabilidad entre el encaminador y el registro común de datos de identidad a efectos del acceso de las autoridades policiales, la conservación de registros de todas las operaciones de tratamiento de datos efectuadas en el encaminador, el control de calidad y los procedimientos de notificación en caso de imposibilidad técnica de utilizar el encaminador. En una segunda sección se ofrece información detallada sobre el uso del Sistema Europeo de Índice de Ficheros Policiales (EPRIS, por sus siglas en inglés) para el intercambio de ficheros policiales. Esta sección también incluye disposiciones sobre la conservación de registros de todas las operaciones de tratamiento de datos en el EPRIS y los procedimientos de notificación en caso de imposibilidad técnica de utilizar el EPRIS.

El capítulo 4 establece los procesos para el intercambio de datos tras una concordancia. Incluye una disposición sobre el intercambio automatizado de datos básicos, limitado a lo necesario para permitir la identificación de la persona en cuestión, y una disposición sobre el intercambio de datos en cualquier fase del proceso a que se refiere el presente Reglamento que no esté explícitamente descrita en el mismo.

El capítulo 5 contiene disposiciones sobre el acceso de los Estados miembros a los datos biométricos procedentes de terceros países almacenados por Europol y sobre el acceso de Europol a los datos almacenados en las bases de datos de los Estados miembros.

El capítulo 6, sobre la protección de datos, contiene disposiciones que garantizan que el tratamiento de datos realizado de conformidad con el presente Reglamento sea conforme con la ley y adecuado, en consonancia con la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo 27 . Explica quién será el encargado del tratamiento de datos con arreglo al presente Reglamento. Establece las medidas reclamadas por eu-LISA y las autoridades de los Estados miembros para garantizar la seguridad del tratamiento de datos, el tratamiento adecuado de los incidentes de seguridad y el seguimiento del cumplimiento de las medidas del presente Reglamento. Por último, contiene las disposiciones relativas a la supervisión y la auditoría en relación con la protección de datos. Subraya el principio de que los datos tratados con arreglo al presente Reglamento no se transferirán ni se pondrán a disposición de terceros países u organizaciones internacionales de forma automatizada.

En el capítulo 7 se detallan las responsabilidades de los Estados miembros, Europol y eu-LISA, respectivamente, en la aplicación de las medidas del presente Reglamento.

El capítulo 8 se refiere a las modificaciones de otros instrumentos en vigor, a saber, las Decisiones 2008/615/JAI y 2008/616/JAI, el Reglamento (UE) 2018/1726, el Reglamento (UE) 2019/817 y el Reglamento (UE) 2019/818.

El capítulo 9, sobre las disposiciones finales, establece los detalles relativos a la presentación de informes y estadísticas, los costes, las notificaciones, las disposiciones transitorias y las excepciones. Establece asimismo los requisitos para la entrada en funcionamiento de las medidas propuestas en el presente Reglamento. El capítulo también dispone la creación de un comité y la adopción de un manual práctico que respalden la aplicación y la gestión de los aspectos prácticos del presente Reglamento. Incluye asimismo una disposición sobre el seguimiento y la evaluación y una disposición sobre la entrada en vigor y la aplicabilidad del presente Reglamento. En particular, el presente Reglamento sustituye los artículos 2 a 6 y las secciones 2 y 3 del capítulo 2 de la Decisión 2008/615/JAI del Consejo y los capítulos 2 a 5 y los artículos 18, 20 y 21 de la Decisión 2008/616/JAI del Consejo, que, en consecuencia, se suprimirán de dichas Decisiones del Consejo a partir de la fecha de aplicación del presente Reglamento. El efecto de estas modificaciones será que las disposiciones sustituidas y suprimidas ya no se aplicarán a ningún Estado miembro.

2021/0410 (COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

relativo al intercambio automatizado de datos para la cooperación policial («Prüm II»), por el que se modifican las Decisiones 2008/615/JAI y 2008/616/JAI del Consejo y los Reglamentos (UE) 2018/1726, 2019/817 y 2019/818 del Parlamento Europeo y del Consejo

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16, apartado 2, su artículo 87, apartado 2, letra a), y su artículo 88, apartado 2,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo 28 ,

Visto el dictamen del Comité de las Regiones 29 ,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)La Unión se ha fijado el objetivo de ofrecer a sus ciudadanos un espacio de libertad, seguridad y justicia sin fronteras interiores, en el que esté garantizada la libre circulación de las personas. Este objetivo debe alcanzarse mediante, entre otras vías, medidas adecuadas para prevenir y combatir la delincuencia, incluida la delincuencia organizada y el terrorismo.

(2)Este objetivo exige que las autoridades policiales intercambien datos de manera eficiente y oportuna, a fin de luchar eficazmente contra la delincuencia.

(3)El objetivo del presente Reglamento es, por tanto, mejorar, racionalizar y facilitar el intercambio de información penal entre las autoridades policiales de los Estados miembros, pero también con la Agencia de la Unión Europea para la Cooperación Policial (Europol), creada por el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo 30 como eje para el intercambio de información de la UE en materia de delincuencia.

(4)Las Decisiones 2008/615/JAI 31 y 2008/616/JAI 32 del Consejo, por las que se establecen normas para el intercambio de información entre las autoridades responsables de la prevención e investigación de infracciones penales, mediante la transferencia automatizada de perfiles de ADN, datos dactiloscópicos y determinados datos sobre matriculación de vehículos, han demostrado ser importantes para luchar contra el terrorismo y la delincuencia transfronteriza.

(5)El presente Reglamento debe establecer las condiciones y procedimientos para la transferencia automatizada de perfiles de ADN, datos dactiloscópicos, datos de matriculación de vehículos, imágenes faciales y ficheros policiales. Tales condiciones y procedimientos deben entenderse sin perjuicio del tratamiento de cualquiera de estos datos en el Sistema de Información de Schengen (SIS) o del intercambio de información complementaria relacionada con ellos a través de las oficinas Sirene, o de los derechos de las personas cuyos datos se tratan en dicho sistema.

(6)Ni el tratamiento de datos personales ni el intercambio de datos personales a efectos del presente Reglamento deben dar lugar a discriminación alguna contra las personas. Dicho tratamiento deberá respetar plenamente la dignidad y la integridad humanas, así como los derechos fundamentales, especialmente el derecho al respeto de la vida privada y a la protección de los datos de carácter personal, de conformidad con la Carta de los Derechos Fundamentales de la Unión Europea.

(7)Al definir los procedimientos de búsqueda o comparación automatizadas de perfiles de ADN, datos dactiloscópicos, datos de matriculación de vehículos, imágenes faciales y ficheros policiales, el presente Reglamento también permitirá la búsqueda de personas desaparecidas y restos humanos no identificados. Esta posibilidad debe entenderse sin perjuicio de la introducción de descripciones SIS sobre personas desaparecidas y del intercambio de información complementaria sobre tales descripciones con arreglo al Reglamento (UE) 2018/1862 del Parlamento Europeo y del Consejo 33 .

(8)La Directiva (UE) .../... [relativa al intercambio de información entre las autoridades policiales de los Estados miembros] facilita un marco jurídico coherente de la Unión para garantizar que las autoridades policiales tienen acceso equivalente a la información de que disponen otros Estados miembros cuando resulte necesario para la lucha contra la delincuencia y el terrorismo. A fin de mejorar el intercambio de información, dicha Directiva formaliza y aclara los procedimientos de intercambio de información entre los Estados miembros, en particular con fines de investigación, incluido el papel que desempeña la ventanilla única en dichos intercambios, y consagra el uso en su máxima expresión de SIENA, el canal de Europol para el intercambio de información. Todo intercambio de información no amparado por el presente Reglamento debe regirse por la Directiva (UE) .../... [relativa al intercambio de información entre las autoridades policiales de los Estados miembros].

(9)Para la búsqueda automatizada de datos de matriculación de vehículos, los Estados miembros deben utilizar el sistema europeo de información sobre vehículos y permisos de conducción (Eucaris), creado por el Tratado relativo a un sistema europeo de información sobre vehículos y permisos de conducción (Tratado Eucaris), diseñado para este fin. Eucaris debe conectar a todos los Estados miembros participantes a través de una red. No se necesita un componente central, ya que cada Estado miembro se comunica directamente con los demás Estados miembros conectados.

(10)La búsqueda de los delincuentes es esencial para que la investigación y el enjuiciamiento penales tengan éxito. La búsqueda automatizada de imágenes faciales de sospechosos y delincuentes condenados debería proporcionar información adicional para dar con los delincuentes y luchar contra la delincuencia.

(11)La búsqueda o comparación automatizada de datos biométricos (perfiles de ADN, datos dactiloscópicos e imágenes faciales) entre las autoridades responsables de la prevención, detección e investigación de infracciones penales con arreglo al presente Reglamento solo debe referirse a los datos contenidos en las bases de datos creadas para la prevención, detección e investigación de infracciones penales.

(12)La participación en el intercambio de ficheros policiales debe seguir siendo voluntaria. En aplicación del principio de reciprocidad, los Estados miembros que decidan participar no deben poder consultar las bases de datos de otros Estados miembros si no ponen sus propios datos a disposición de otros Estados miembros a efectos de consulta.

(13)En los últimos años, Europol ha recibido una gran cantidad de datos biométricos de sospechosos y condenados por delitos de terrorismo y de otro tipo procedentes de varios terceros países. Incluir los datos procedentes de terceros países en poder de Europol en el marco de Prüm para, de este modo, ponerlos a disposición de las autoridades policiales es un paso necesario para mejorar la prevención e investigación de infracciones penales. También contribuye a crear sinergias entre los diferentes instrumentos policiales.

(14)Europol debe poder contrastar los datos recibidos de terceros países con las bases de datos de los Estados miembros en el marco de Prüm, a fin de establecer vínculos transfronterizos entre causas penales. La posibilidad de utilizar los datos Prüm como complemento a las otras bases de datos de que dispone Europol debería permitir realizar análisis más completos y fundamentados en las investigaciones penales, y permitir a Europol prestar un mejor apoyo a las autoridades policiales de los Estados miembros. En caso de concordancia entre los datos utilizados para la búsqueda y los datos conservados en las bases de datos de los Estados miembros, estos podrán facilitar a Europol la información necesaria para el desempeño de sus funciones.

(15)Las Decisiones 2008/615/JAI y 2008/616/JAI establecen una red de conexiones bilaterales entre las bases de datos nacionales de los Estados miembros. Como consecuencia de esta arquitectura técnica, cada Estado miembro debe establecer al menos 26 conexiones, es decir, una conexión con cada Estado miembro, por categoría de datos. El encaminador y el Sistema Europeo de Índice de Ficheros Policiales (EPRIS) establecidos por el presente Reglamento deben simplificar la arquitectura técnica del marco de Prüm y servir de puntos de conexión entre todos los Estados miembros. El encaminador debe exigir una conexión única por Estado miembro en relación con los datos biométricos y el EPRIS debe exigir una conexión única por Estado miembro en relación con los ficheros policiales.

(16)El encaminador debe estar conectado al Portal europeo de búsqueda (PEB) establecido por el artículo 6 del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo 34 y el artículo 6 del Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo 35 para permitir a las autoridades de los Estados miembros y a Europol iniciar consultas en las bases de datos nacionales con arreglo al presente Reglamento simultáneamente a las consultas al registro común de datos de identidad creado por el artículo 17 del Reglamento (UE) 2019/817 y el artículo 17 del Reglamento (UE) 2019/818 con fines policiales.

(17)En caso de concordancia entre los datos utilizados para la búsqueda o comparación y los datos conservados en la base de datos nacional del Estado o Estados miembros requeridos, y tras la confirmación de dicha concordancia por el Estado miembro requirente, el Estado miembro requerido debe remitir un conjunto limitado de datos básicos a través del encaminador en un plazo de 24 horas. Este plazo garantizaría una comunicación rápida entre las autoridades de los Estados miembros. Los Estados miembros deben mantener el control sobre la comunicación de este conjunto limitado de datos básicos. Debe mantenerse un cierto grado de intervención humana en las fases clave del proceso, incluida la decisión de comunicar datos personales al Estado miembro requirente a fin de garantizar que no se produzca un intercambio automatizado de datos básicos.

(18)Todo intercambio entre las autoridades de los Estados miembros o con Europol en cualquier fase de alguno de los procesos descritos en el presente Reglamento que no aparezca descrito explícitamente en este debe realizarse a través de SIENA para garantizar que todos los Estados miembros utilizan un canal de comunicación común, seguro y fiable.

(19)En el desarrollo del encaminador y del EPRIS, debe utilizarse el Formato Universal de Mensajes (UMF, por sus siglas en inglés). Todo intercambio automatizado de datos realizado de conformidad con el presente Reglamento debe utilizar la norma UMF. Se anima a las autoridades de los Estados miembros y a Europol a utilizar también la norma UMF en relación con cualquier otro intercambio de datos entre ellos en el contexto del marco de Prüm II. La norma UMF debe servir como norma para el intercambio de información, estructurado y transfronterizo, entre sistemas de información, autoridades y organizaciones en el ámbito de la justicia y los asuntos de interior. 

(20)Solo la información no clasificada debe intercambiarse a través del marco de Prüm II.

(21)Debido a su naturaleza técnica, su alto nivel de detalle y su carácter a menudo variable, determinados aspectos del marco de Prüm II no pueden ser regulados exhaustivamente por el presente Reglamento. Estos aspectos incluyen, por ejemplo, disposiciones técnicas y especificaciones para los procedimientos de búsqueda automatizada, las normas aplicables al intercambio de datos y los elementos de datos que deben intercambiarse. A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo 36 .

(22)Dado que el presente Reglamento dispone la creación del nuevo marco de Prüm, deben suprimirse las disposiciones pertinentes de las Decisiones 2008/615/JAI y 2008/616/JAI. Procede, por tanto, modificar dichas Decisiones en consecuencia.

(23)Dado que el encaminador debe ser desarrollado y gestionado por la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), creada por el Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo 37 , es necesario modificar el Reglamento (UE) 2018/1726 añadiendo esta tarea a las funciones de eu-LISA. Con el fin de permitir que el encaminador esté conectado al Portal europeo de búsqueda para realizar búsquedas simultáneas en el encaminador y en el registro común de datos de identidad, es necesario modificar el Reglamento (UE) 2019/817. Con el fin de permitir que el encaminador esté conectado al Portal europeo de búsqueda para realizar búsquedas simultáneas en el encaminador y en el registro común de datos de identidad, y con el fin de almacenar informes y estadísticas del encaminador en el repositorio común de informes y estadísticas, es necesario modificar el Reglamento (UE) 2019/818. Procede, por tanto, modificar ambos Reglamentos en consecuencia.

(24)De conformidad con los artículos 1 y 2 del Protocolo n.º 22 sobre la posición de Dinamarca, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por este ni sujeta a su aplicación.

(25)[De conformidad con el artículo 3 del Protocolo (n.º 21) sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Irlanda ha notificado su deseo de participar en la adopción y aplicación del presente Reglamento.] O [De conformidad con los artículos 1 y 2 del Protocolo (n.º 21) sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, y sin perjuicio del artículo 4 del citado Protocolo, Irlanda no participa en la adopción del presente Reglamento y no queda vinculada por el mismo ni sujeta a su aplicación.]

(26)El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo 38 , emitió su dictamen el [XX] 39 .

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO 1

DISPOSICIONES GENERALES

Artículo 1

Objeto

El presente Reglamento establece un marco para el intercambio de información entre las autoridades responsables de la prevención, detección e investigación de infracciones penales (Prüm II).

El presente Reglamento establece las condiciones y procedimientos para la búsqueda automatizada de perfiles de ADN, datos dactiloscópicos, imágenes faciales, ficheros policiales y determinados datos de matriculación de vehículos, así como las normas relativas al intercambio de datos básicos tras una concordancia.

Artículo 2

Objetivo

El objetivo de Prüm II será intensificar la cooperación transfronteriza en los asuntos a que se refiere la parte III, título V, capítulo 5, del Tratado de Funcionamiento de la Unión Europea, en particular el intercambio de información entre las autoridades responsables de la prevención, detección e investigación de infracciones penales.

Otro objetivo de Prüm II será permitir la búsqueda de personas desaparecidas y restos humanos no identificados por las autoridades responsables de la prevención, detección e investigación de infracciones penales.

Artículo 3

Ámbito de aplicación

El presente Reglamento se aplica a las bases de datos nacionales utilizadas para la transferencia automatizada de las categorías de perfiles de ADN, datos dactiloscópicos, imágenes faciales, ficheros policiales y determinados datos de matriculación de vehículos.

Artículo 4

Definiciones

A los efectos del presente Reglamento, se entenderá por:

1)«loci»: la estructura molecular específica en las diversas posiciones de ADN;

2)«perfil de ADN»: un código alfabético o numérico que representa un conjunto de características identificativas de la parte no codificante de una muestra de ADN humano analizada, es decir, la estructura molecular específica en las diversas posiciones de ADN;

3)«parte no codificante del ADN»: las regiones cromosómicas sin expresión genética, es decir, aquellas de cuya capacidad para determinar alguna propiedad funcional del organismo no se tiene constancia;

4)«índice de referencia de ADN»: el perfil de ADN y el número de referencia mencionado en el artículo 9;

5)«perfil de ADN de referencia»: el perfil de ADN de una persona identificada;

6)«perfil de ADN no identificado»: el perfil de ADN obtenido a partir de vestigios obtenidos en el curso de la investigación de una infracción penal y perteneciente a una persona aún no identificada;

7)«datos dactiloscópicos»: las impresiones dactilares o las impresiones dactilares latentes, las impresiones palmares o las impresiones palmares latentes, y las plantillas de tales imágenes (codificación de las minucias), cuando están almacenadas y organizadas en una base de datos automatizada;

8)«índices de referencia dactiloscópicos»: los datos dactiloscópicos y el número de referencia mencionado en el artículo 14;

9)«caso individual»: un único expediente de investigación;

10)«imagen facial»: la imagen digital del rostro;

11)«datos biométricos»: los perfiles de ADN, los datos dactiloscópicos o las imágenes faciales;

12)«concordancia»: la existencia de una correspondencia como resultado de la comparación automatizada de datos personales que hayan sido o estén siendo registrados en un sistema de información o una base de datos;

13)«candidato»: datos con los que se ha producido una concordancia;

14)«Estado miembro requirente»: el Estado miembro que realiza una búsqueda a través de Prüm II;

15)«Estado miembro requerido»: el Estado miembro en cuyas bases de datos el Estado miembro requirente realiza la búsqueda a través de Prüm II;

16)«ficheros policiales»: toda información disponible en el registro o registros nacionales que contengan datos de las autoridades competentes, para la prevención, detección e investigación de infracciones penales;

17)«seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado específico sin utilizar información adicional, siempre que dicha información adicional se mantenga por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable;

18)«datos de Europol»: cualquier dato personal tratado por Europol de conformidad con el Reglamento (UE) 2016/794;

19)«autoridad de control»: una autoridad pública independiente establecida por un Estado miembro con arreglo al artículo 41 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo 40 ;

20)«SIENA»: la Aplicación de la Red de Intercambio Seguro de Información, gestionada por Europol y destinada a facilitar el intercambio de información entre los Estados miembros y Europol;

21)«incidente significativo»: cualquier incidente, a menos que tenga un impacto limitado y sea probable que ya sea bien conocido en términos de método o tecnología;

22)«amenaza cibernética significativa»: una amenaza cibernética con la intención, la oportunidad y la capacidad de causar un incidente significativo;

23)«vulnerabilidad significativa»: vulnerabilidad que puede dar lugar a un incidente significativo si se aprovecha;

24)«incidente»: un incidente en el sentido del artículo 4, apartado 5, de la Directiva (UE) .../... del Parlamento Europeo y del Consejo 41 [propuesta SRI 2].

CAPÍTULO 2

INTERCAMBIO DE DATOS

SECCIÓN 1

Perfiles de ADN

Artículo 5

Creación de ficheros nacionales de análisis del ADN

1. Los Estados miembros crearán y mantendrán ficheros nacionales de análisis del ADN para la investigación de infracciones penales.

El tratamiento de los datos conservados en tales ficheros en virtud del presente Reglamento se llevará a cabo de conformidad con las disposiciones de este y con arreglo al Derecho interno de los Estados miembros aplicable al tratamiento de dichos datos.

2. Los Estados miembros garantizarán la disponibilidad de índices de referencia de ADN en los ficheros nacionales de análisis del ADN a que se refiere el apartado 1.

Los índices de referencia de ADN no contendrán datos que permitan identificar directamente al interesado.

Los índices de referencia de ADN que no se atribuyan a ninguna persona (perfiles de ADN no identificados) deberán poder reconocerse como tales.

Artículo 6

Búsqueda automatizada de los perfiles de ADN

1. Los Estados miembros permitirán que los puntos de contacto nacionales a que se refiere el artículo 29 y Europol tengan acceso a los índices de referencia de ADN contenidos en sus ficheros de análisis del ADN para realizar búsquedas automatizadas comparando perfiles de ADN en el marco de la investigación de infracciones penales.

Las búsquedas solo podrán realizarse para casos concretos y con arreglo al Derecho interno del Estado miembro requirente.

2. Si en el curso de una búsqueda automatizada se comprueba que un perfil de ADN transmitido coincide con perfiles de ADN almacenados en el fichero consultado del Estado miembro requerido, el punto de contacto nacional del Estado miembro que efectúa la consulta recibirá de forma automatizada el índice de referencia de ADN con el que se haya producido la concordancia.

En caso de que no haya concordancia, se informará de ello al Estado miembro requirente de forma automatizada.

3. El punto de contacto nacional del Estado miembro requirente confirmará la eventual concordancia de los datos sobre los perfiles de ADN con los índices de referencia de ADN en poder del Estado miembro requerido tras la transmisión automatizada de los índices de referencia de ADN necesarios para confirmar una concordancia.

Artículo 7

Comparación automatizada de perfiles de ADN no identificados

1. Los Estados miembros podrán, a través de sus puntos de contacto nacionales, comparar los perfiles de ADN de sus perfiles de ADN no identificados con todos los perfiles de ADN contenidos en otros ficheros nacionales de análisis del ADN para la investigación de infracciones penales. La transmisión y la comparación de perfiles se efectuarán de forma automatizada.

2. Si, en el marco de la comparación efectuada con arreglo al apartado 1, un Estado miembro requerido comprueba que algún perfil de ADN transmitido coincide con alguno de los existentes en sus ficheros de análisis del ADN, comunicará sin demora al punto de contacto nacional del Estado miembro requirente cuáles son los índices de referencia de ADN respecto de los cuales se ha encontrado la concordancia.

3. La confirmación de una concordancia de perfiles de ADN con índices de referencia de ADN en poder del Estado miembro requerido será efectuada por el punto de contacto nacional del Estado miembro requirente tras la transmisión automatizada de los índices de referencia de ADN que sean necesarios para confirmar la concordancia.

Artículo 8

Informes sobre ficheros de análisis del ADN

Cada Estado miembro informará a la Comisión y a eu-LISA sobre los ficheros nacionales de análisis del ADN a los que se aplican los artículos 5 a 7, de conformidad con el artículo 73.

Artículo 9

Números de referencia de los perfiles de ADN

Los números de referencia de los perfiles de ADN serán una combinación de los siguientes elementos:

a)un número de referencia que permita a los Estados miembros, en caso de concordancia, obtener más datos e información adicional de las bases de datos mencionadas en el artículo 5, con el fin de facilitarlos a uno, a varios o a todos los demás Estados miembros de conformidad con los artículos 47 y 48;

b)un código que indique el Estado miembro que posee el perfil de ADN;

c)un código que indique el tipo de perfil de ADN (perfiles de ADN de referencia o perfiles de ADN no identificados).

Artículo 10

Principios aplicables al intercambio de índices de referencia de ADN

1. Se adoptarán las medidas adecuadas para garantizar la confidencialidad e integridad de los índices de referencia de ADN que se envíen a otros Estados miembros, incluido su cifrado.

2. Los Estados miembros adoptarán las medidas necesarias para garantizar la integridad de los perfiles de ADN que se envíen o se pongan a disposición de los demás Estados miembros a efectos de comparación y velarán por que dichas medidas se atengan a normas internacionales pertinentes aplicables al intercambio de datos de ADN.

3. La Comisión adoptará actos de ejecución para especificar las normas internacionales pertinentes que deben respetar los Estados miembros para el intercambio de índices de referencia de ADN. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 11

Normas aplicables a las solicitudes y a las respuestas relativas a los perfiles de ADN

1. La solicitud de búsqueda o comparación automatizada incluirá únicamente la siguiente información:

a)el código del Estado miembro requirente;

b)la fecha, la hora y el número de la solicitud;

c)los perfiles de ADN y los números de referencia a que se refiere el artículo 9;

d)los tipos de perfiles de ADN transmitidos (perfiles de ADN no identificados o perfiles de ADN de referencia).

2. Las respuestas a las solicitudes contempladas en el apartado 1 contendrán únicamente la siguiente información:

a)una indicación de si se ha producido una, varias o ninguna concordancia;

b)la fecha, la hora y el número de la solicitud;

c)la fecha, la hora y el número de la respuesta;

d)los códigos del Estado miembro requirente y del Estado miembro requerido;

e)los números de referencia de los perfiles de ADN del Estado miembro requirente y del Estado miembro requerido;

f)el tipo de perfiles de ADN transmitidos (perfiles no identificados o perfiles de referencia);

g)los perfiles de ADN coincidentes.

3. Solo se enviará notificación automatizada de una concordancia si la búsqueda o comparación automatizada ha dado lugar a una concordancia en un número mínimo de loci. La Comisión adoptará actos de ejecución para especificar este número mínimo de loci, de conformidad con el procedimiento contemplado en el artículo 76, apartado 2.

4. Cuando una búsqueda o comparación con perfiles de ADN no identificados dé lugar a una concordancia, cada Estado miembro requerido que obtenga datos coincidentes podrá insertar una marca en su base de datos nacional que indique que ha habido una concordancia para ese perfil de ADN tras la búsqueda o comparación por parte de otro Estado miembro.

5. Los Estados miembros velarán por que las solicitudes sean coherentes con las declaraciones enviadas con arreglo al artículo 8. Estas declaraciones figurarán en el manual práctico a que se refiere el artículo 78.

SECCIÓN 2

Datos dactiloscópicos

Artículo 12

Índices de referencia dactiloscópicos

1. Los Estados miembros garantizarán que se disponga de índices de referencia dactiloscópicos relativos a los datos contenidos en los sistemas automatizados nacionales de identificación dactilar creados para los fines de la prevención, detección e investigación de infracciones penales.

2. Los índices de referencia dactiloscópicos no contendrán datos que permitan identificar directamente al interesado.

3. Los índices de referencia dactiloscópicos que no se atribuyan a ninguna persona (perfiles de ADN no identificados) deberán poder reconocerse como tales.

Artículo 13

Búsqueda automatizada de datos dactiloscópicos

1. Los Estados miembros permitirán que los puntos de contacto nacionales de los demás Estados miembros y Europol tengan acceso, para los fines de la prevención, detección e investigación de infracciones penales, a los índices de referencia dactiloscópicos de sus sistemas automatizados de identificación dactilar creados para estos fines, y puedan hacer búsquedas automatizadas mediante la comparación de datos dactiloscópicos.

Las búsquedas solo podrán realizarse para casos concretos y con arreglo al Derecho interno del Estado miembro requirente.

2. La confirmación de una concordancia de los datos dactiloscópicos con los índices de referencia dactiloscópicos en poder del Estado miembro requerido será efectuada por el punto de contacto nacional del Estado miembro requirente tras la transmisión automatizada de los índices de referencia dactiloscópicos que sean necesarios para confirmar la concordancia.

Artículo 14

Números de referencia de los datos dactiloscópicos

Los números de referencia de los datos dactiloscópicos serán una combinación de los siguientes elementos:

a)un número de referencia que, en caso de concordancia, permita a los Estados miembros obtener datos adicionales e información complementaria de las bases de datos nacionales mencionadas en el artículo 12 con el fin de facilitarlos a otro, otros o todos los demás Estados miembros, con arreglo a los artículos 47 y 48;

b)un código que indique el Estado miembro que posee los datos dactiloscópicos.

Artículo 15

Principios aplicables al intercambio de datos dactiloscópicos

1. La digitalización de los datos dactiloscópicos y su transmisión a los demás Estados miembros se efectuarán utilizando un formato de datos uniforme. La Comisión adoptará actos de ejecución para especificar el formato de datos uniforme de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

2. Cada Estado miembro se asegurará de que la calidad de los datos dactiloscópicos que transmite sea suficiente para realizar una comparación con los sistemas automáticos de identificación dactilar.

3. Los Estados miembros adoptarán las medidas apropiadas para garantizar la confidencialidad e integridad de los datos dactiloscópicos que se envíen a otros Estados miembros, incluido su cifrado.

4. La Comisión adoptará actos de ejecución para especificar las normas existentes pertinentes para el intercambio de datos dactiloscópicos que deben utilizar los Estados miembros. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 16

Capacidades de búsqueda de datos dactiloscópicos

1. Cada Estado miembro velará por que sus solicitudes de búsqueda no excedan de las capacidades de búsqueda especificadas por el Estado miembro requerido.

Los Estados miembros informarán a la Comisión y a eu-LISA de conformidad con el artículo 79, apartados 8 y 10, sobre sus capacidades máximas diarias de búsqueda de datos dactiloscópicos de personas identificadas y de datos dactiloscópicos de personas aún no identificadas.

2. La Comisión adoptará actos de ejecución para especificar los números máximos de candidatos aceptados a efectos de comparación por transmisión de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 17

Normas aplicables a las solicitudes y a las respuestas relativas a los datos dactiloscópicos

1. Las solicitudes de búsqueda automatizada incluirán únicamente la siguiente información:

a)el código del Estado miembro requirente;

b)la fecha, la hora y el número de la solicitud;

c)los datos dactiloscópicos y los números de referencia a que se refiere el artículo 14.

2. Las respuestas a las solicitudes contempladas en el apartado 1 contendrán únicamente la siguiente información:

a)una indicación de si se ha producido una, varias o ninguna concordancia;

b)la fecha, la hora y el número de la solicitud;

c)la fecha, la hora y el número de la respuesta;

d)los códigos del Estado miembro requirente y del Estado miembro requerido;

e)los números de referencia de los datos dactiloscópicos del Estado miembro requirente y del Estado miembro requerido;

f)los datos dactiloscópicos coincidentes.

SECCIÓN 3

Datos de matriculación de vehículos

Artículo 18

Búsqueda automatizada de datos de matriculación de vehículos

1. Para la prevención, detección e investigación de infracciones penales, los Estados miembros permitirán que los puntos de contacto nacionales de otros Estados miembros y Europol tengan acceso a los siguientes datos nacionales de matriculación de vehículos, para realizar búsquedas automatizadas en casos individuales:

a)datos de los propietarios o usuarios;

b)datos de los vehículos.

2. Las búsquedas solo podrán efectuarse utilizando un número de bastidor completo o un número de matrícula completo.

3. Las búsquedas solo podrán efectuarse de acuerdo con el Derecho nacional del Estado miembro requirente.

Artículo 19

Principios aplicables a la búsqueda automatizada de datos de matriculación de vehículos

1. Para la búsqueda automatizada de datos de matriculación de vehículos, los Estados miembros utilizarán el sistema europeo de información sobre vehículos y permisos de conducción (Eucaris).

2. La información que se intercambie a través de Eucaris se transmitirá en forma cifrada.

3. La Comisión adoptará actos de ejecución para especificar los elementos de datos de los datos de matriculación de vehículos que deben intercambiarse. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 20

Conservación de registros

1. Cada Estado miembro llevará un registro de las consultas que efectúe el personal de sus autoridades debidamente autorizado para intercambiar datos de matriculación de vehículos, así como un registro de las consultas solicitadas por otros Estados miembros. Europol llevará un registro de las consultas que efectúe su personal debidamente autorizado.

Cada Estado miembro y Europol llevarán un registro de todas las operaciones de tratamiento de datos relativas a los datos de matriculación de vehículos. Dichos registros incluirán los siguientes datos:

a)el Estado miembro o la agencia de la Unión que haya transmitido la solicitud de consulta;

b)la fecha y la hora de la solicitud;

c)la fecha y la hora de la respuesta;

d)las bases de datos nacionales a las que se haya enviado una solicitud de consulta;

e)las bases de datos nacionales que hayan proporcionado una respuesta positiva.

2. Los registros a que se refiere el apartado 1 únicamente podrán ser utilizados para la recogida de estadísticas y la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, y a efectos de garantizar la seguridad e integridad de los datos.

Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.

3. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, los responsables del tratamiento de datos tendrán acceso a los registros para el autocontrol a que se refiere el artículo 56.

SECCIÓN 4

Imágenes faciales

Artículo 21

Imágenes faciales

1. Los Estados miembros garantizarán la disponibilidad de las imágenes faciales contenidas en las bases de datos nacionales establecidas para la prevención, detección e investigación de infracciones penales. Estos datos solo incluirán imágenes faciales y el número de referencia a que se refiere el artículo 23, e indicarán si las imágenes faciales se atribuyen o no a una persona.

Los Estados miembros no darán a conocer en este contexto ningún dato que permita identificar directamente a una persona.

2. Las imágenes faciales que no se atribuyan a ninguna persona (imágenes faciales no identificadas) deberán poder reconocerse como tales.

Artículo 22

Búsqueda automatizada de imágenes faciales

1. Para la prevención, detección e investigación de infracciones penales, los Estados miembros permitirán que los puntos de contacto nacionales de otros Estados miembros y Europol tengan acceso a imágenes faciales almacenadas en sus bases de datos nacionales para realizar búsquedas automatizadas.

Las consultas solo podrán realizarse para casos concretos y con arreglo al Derecho interno del Estado miembro requirente.

2. El Estado miembro requirente recibirá una lista compuesta por concordancias relativas a candidatos probables. Dicho Estado miembro revisará la lista para determinar la existencia de una concordancia confirmada.

3. Se establecerá una norma de calidad mínima que permita la búsqueda y comparación de imágenes faciales. La Comisión adoptará actos de ejecución para especificar esa norma de calidad mínima. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 23

Números de referencia de las imágenes faciales

Los números de referencia de las imágenes faciales serán una combinación de los siguientes elementos:

a)un número de referencia que permita a los Estados miembros, en caso de concordancia, obtener más datos e información adicional de las bases de datos mencionadas en el artículo 21, con el fin de facilitarlos a uno, a varios o a todos los demás Estados miembros de conformidad con los artículos 47 y 48;

b)un código que indique el Estado miembro que posee las imágenes faciales.

Artículo 24

Normas aplicables a las solicitudes y a las respuestas relativas a las imágenes faciales

1. Las solicitudes de búsqueda automatizada incluirán únicamente la siguiente información:

a)el código del Estado miembro requirente;

b)la fecha, la hora y el número de la solicitud;

c)las imágenes faciales y los números de referencia a que se refiere el artículo 23.

2. Las respuestas a las solicitudes contempladas en el apartado 1 contendrán únicamente la siguiente información:

a)una indicación de si se ha producido una, varias o ninguna concordancia;

b)la fecha, la hora y el número de la solicitud;

c)la fecha, la hora y el número de la respuesta;

d)los códigos del Estado miembro requirente y del Estado miembro requerido;

e)los números de referencia de las imágenes faciales del Estado miembro requirente y del Estado miembro requerido;

f)las imágenes faciales coincidentes.

SECCIÓN 5

Ficheros policiales

Artículo 25

Ficheros policiales

1. Los Estados miembros podrán decidir participar en el intercambio automatizado de ficheros policiales. Los Estados miembros que participen en el intercambio automatizado de ficheros policiales garantizarán la disponibilidad de datos biográficos de sospechosos y delincuentes a partir de sus índices nacionales de ficheros policiales establecidos para la investigación de infracciones penales. Este conjunto de datos, si está disponible, contendrá los siguientes datos:

a)nombre(s);

b)apellido(s);

c)alias;

d)fecha de nacimiento;

e)nacionalidad o nacionalidades;

f)lugar y país de nacimiento;

g)sexo.

2. Los datos a que se refiere el apartado 1, letras a), b), c), e) y f), se seudonimizarán.

Artículo 26

Búsqueda automatizada de ficheros policiales

1. Para la investigación de infracciones penales, los Estados miembros permitirán a los puntos de contacto nacionales de otros Estados miembros y a Europol acceder a los datos de sus índices nacionales de ficheros policiales para realizar búsquedas automatizadas.

Las consultas solo podrán realizarse para casos concretos y con arreglo al Derecho interno del Estado miembro requirente.

2. El Estado miembro requirente recibirá la lista de concordancias con una indicación de la calidad de las mismas.

También se informará al Estado miembro requirente del Estado miembro cuya base de datos contenga datos que hayan dado lugar a la concordancia.

Artículo 27

Números de referencia de los ficheros policiales

Los números de referencia de los ficheros policiales serán una combinación de los siguientes elementos:

a)un número de referencia que, en caso de concordancia, permita a los Estados miembros obtener datos personales y de otro tipo de los índices a que se refiere el artículo 25 con el fin de facilitarlos a otro, otros o todos los Estados miembros, con arreglo a los artículos 47 y 48;

b)un código que indique el Estado miembro que posee los ficheros policiales.

Artículo 28

Normas aplicables a las solicitudes y a las respuestas relativas a los ficheros policiales

1. Las solicitudes de búsqueda automatizada incluirán únicamente la siguiente información:

a)el código del Estado miembro requirente;

b)la fecha, la hora y el número de la solicitud;

c)los ficheros policiales y los números de referencia a que se refiere el artículo 27.

2. Las respuestas a las solicitudes contempladas en el apartado 1 contendrán únicamente la siguiente información:

a)una indicación de si se ha producido una, varias o ninguna concordancia;

b)la fecha, la hora y el número de la solicitud;

c)la fecha, la hora y el número de la respuesta;

d)los códigos del Estado miembro requirente y del Estado miembro requerido;

e)los números de referencia de los ficheros policiales del Estado miembro requerido.

SECCIÓN 6

Disposiciones comunes

Artículo 29

Puntos de contacto nacionales

Cada Estado miembro designará un punto de contacto nacional.

Los puntos de contacto nacionales serán responsables de comunicar los datos a que se refieren los artículos 6, 7, 13, 18, 22 y 26.

Artículo 30

Medidas de ejecución

La Comisión adoptará actos de ejecución para especificar las disposiciones técnicas de los procedimientos establecidos en los artículos 6, 7, 13, 18, 22 y 26. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 31

Especificaciones técnicas

Los Estados miembros y Europol observarán las especificaciones técnicas comunes pertinentes para todas las solicitudes y respuestas relativas a consultas y comparaciones de perfiles de ADN, datos dactiloscópicos, datos de matriculación de vehículos, imágenes faciales y ficheros policiales. La Comisión adoptará actos de ejecución para precisar dichas especificaciones técnicas de conformidad con el procedimiento contemplado en el artículo 76, apartado 2.

Artículo 32

Disponibilidad del intercambio automatizado de datos a nivel nacional

1. Los Estados miembros adoptarán cuantas medidas sean necesarias para garantizar que puedan efectuarse consultas o comparaciones automatizadas de perfiles de ADN, datos dactiloscópicos, datos de matriculación de vehículos y ficheros policiales todos los días del año durante las 24 horas del día.

2. Los puntos de contacto nacionales informarán de forma inmediata a la Comisión, a Europol y a eu-LISA, así como a los demás puntos de contacto nacionales, del fallo técnico que ha causado la indisponibilidad del intercambio automatizado de datos.

Los puntos de contacto nacionales convendrán en un sistema alternativo temporal de intercambio de información de conformidad con el Derecho de la Unión aplicable y la legislación nacional.

3. Los puntos de contacto nacionales restablecerán sin demora el intercambio automatizado de datos.

Artículo 33

Justificación del tratamiento de datos

1. Cada Estado miembro conservará la justificación de las consultas que sus autoridades competentes realicen.

Europol conservará la justificación de las consultas que realice.

2. La justificación mencionada en el apartado 1 incluirá:

a)la finalidad de la consulta, incluida una referencia al caso o investigación específicos;

b)una indicación sobre si la consulta se refiere a un sospechoso o al autor de un delito;

c)una indicación sobre si la consulta tiene por objeto identificar a una persona desconocida u obtener más datos sobre una persona conocida.

3. Las justificaciones contempladas en el apartado 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, y a efectos de garantizar la seguridad y la integridad de los datos.

Tales justificaciones estarán protegidas por medidas adecuadas contra el acceso no autorizado y serán suprimidas un año después de su creación. No obstante, en caso de que sean necesarias para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan la justificación.

4. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, los responsables del tratamiento de datos tendrán acceso a tales justificaciones para el autocontrol a que se refiere el artículo 56.

Artículo 34

Uso del Formato Universal de Mensajes

1. La norma de Formato Universal de Mensajes (UMF) se utilizará en el desarrollo del encaminador a que se refieren el artículo 35 y el EPRIS.

2. Todo intercambio automatizado de datos de conformidad con el presente Reglamento utilizará la norma UMF.

CAPÍTULO 3

ARQUITECTURA

SECCIÓN 1

Encaminador

Artículo 35

El encaminador

1. Se crea un encaminador con el fin de facilitar el establecimiento de conexiones entre los Estados miembros y con Europol para consultar, obtener y puntuar datos biométricos de conformidad con el presente Reglamento.

2. El encaminador estará compuesto por:

a)una infraestructura central que cuente, en particular, con una herramienta de búsqueda que permita consultar simultáneamente las bases de datos de los Estados miembros a que se refieren los artículos 5, 12 y 21, así como los datos de Europol;

b)un canal de comunicación seguro entre la infraestructura central, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el encaminador;

c)una infraestructura de comunicación segura entre la infraestructura central y el Portal europeo de búsqueda a efectos del artículo 39.

Artículo 36

Uso del encaminador

El uso del encaminador se reservará a las autoridades de los Estados miembros que tengan acceso al intercambio de perfiles de ADN, datos dactiloscópicos e imágenes faciales, así como a Europol, de conformidad con el presente Reglamento y el Reglamento (UE) 2016/794.

Artículo 37

Consultas

1. Los usuarios del encaminador a que se refiere el artículo 36 solicitarán una consulta mediante la transmisión de datos biométricos al encaminador. El encaminador enviará la solicitud de consulta a las bases de datos de los Estados miembros y a los datos de Europol junto con los datos presentados por el usuario y de conformidad con sus derechos de acceso.

2. Al recibir la solicitud de consulta del encaminador, cada Estado miembro requerido y Europol efectuarán una consulta de sus bases de datos de forma automatizada e inmediata.

3. Cualquier concordancia resultante de la consulta en las bases de datos de cada Estado miembro y en los datos de Europol se enviará al encaminador de forma automatizada.

4. El encaminador clasificará las respuestas de acuerdo con la puntuación de la correspondencia entre los datos biométricos utilizados para la consulta y los datos biométricos almacenados en las bases de datos de los Estados miembros y en los datos de Europol.

5. El encaminador enviará al usuario a través del encaminador la lista de datos biométricos coincidentes y sus puntuaciones.

6. La Comisión adoptará actos de ejecución para especificar el procedimiento técnico por el que el encaminador debe consultar las bases de datos de los Estados miembros y los datos de Europol, el formato de las respuestas del encaminador y las normas técnicas de puntuación de la correspondencia entre los datos biométricos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 38

Control de calidad

El Estado miembro requerido comprobará la calidad de los datos transmitidos utilizando un procedimiento plenamente automatizado.

En caso de que los datos no se presten a una comparación automatizada, el Estado miembro requerido informará de ello sin tardanza al Estado miembro requirente a través del encaminador.

Artículo 39

Interoperabilidad entre el encaminador y el registro común de datos de identidad a efectos del acceso de las autoridades policiales

1. Los usuarios del encaminador a que se refiere el artículo 36 podrán iniciar una consulta en las bases de datos de los Estados miembros y en los datos de Europol al mismo tiempo que una consulta del registro común de datos de identidad cuando se cumplan las condiciones aplicables del Derecho de la Unión y de conformidad con sus derechos de acceso. A tal fin, el encaminador consultará el registro común de datos de identidad a través del Portal europeo de búsqueda.

2. Las consultas del registro común de datos de identidad con fines policiales se llevarán a cabo de conformidad con el artículo 22 del Reglamento (UE) 2019/817 y el artículo 22 del Reglamento (UE) 2019/818. Cualquier resultado de las consultas se transmitirá a través del Portal europeo de búsqueda.

Solo las autoridades designadas definidas en el artículo 4, punto 20, del Reglamento (UE) 2019/817 y en el artículo 4, punto 20, del Reglamento (UE) 2019/818 podrán iniciar estas consultas simultáneas.

Las consultas simultáneas de las bases de datos de los Estados miembros y de los datos de Europol y del registro común de datos de identidad solo podrán iniciarse en los casos en que sea probable que los datos sobre un sospechoso, autor o víctima de un delito de terrorismo u otras infracciones penales graves definidas, respectivamente, en el artículo 4, puntos 21 y 22, del Reglamento (UE) 2019/817 y en el artículo 4, puntos 21 y 22, del Reglamento (UE) 2019/818 estén almacenados en el registro común de datos de identidad.

Artículo 40

Conservación de registros

1. eu-LISA llevará un registro de todas las operaciones de tratamiento de datos efectuadas a través del encaminador. Dichos registros incluirán los siguientes datos:

a)el Estado miembro o la agencia de la Unión que haya iniciado la solicitud de consulta;

b)la fecha y la hora de la solicitud;

c)la fecha y la hora de la respuesta;

d)las bases de datos nacionales o los datos de Europol a los que se haya enviado una solicitud de consulta;

e)las bases de datos nacionales o los datos de Europol que hayan proporcionado una respuesta;

f)en su caso, el hecho de que se haya realizado una consulta simultánea al registro común de datos de identidad.

2. Cada Estado miembro llevará un registro de las consultas que efectúen sus autoridades competentes y el personal de esas autoridades debidamente autorizado para utilizar el encaminador, así como un registro de las consultas solicitadas por otros Estados miembros.

Europol llevará un registro de las consultas que efectúe su personal debidamente autorizado.

3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la recogida de estadísticas y la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, y a efectos de garantizar la seguridad y la integridad de los datos.

Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.

4. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, los responsables del tratamiento de datos tendrán acceso a los registros para el autocontrol a que se refiere el artículo 56.

Artículo 41

Procedimientos de notificación en caso de imposibilidad técnica de utilizar el encaminador

1. Cuando debido a un fallo del encaminador resulte técnicamente imposible utilizar el encaminador para consultar una o varias de las bases de datos nacionales o los datos de Europol, eu-LISA lo notificará a los usuarios del encaminador de forma automatizada. eu-LISA adoptará sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el encaminador.

2. Cuando por un fallo de la infraestructura nacional de un Estado miembro resulte técnicamente imposible utilizar el encaminador para consultar una o varias de las bases de datos nacionales o los datos de Europol, ese Estado miembro lo notificará a los demás Estados miembros, a eu-LISA y a la Comisión de forma automatizada. Los Estados miembros adoptarán sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el encaminador.

3. Cuando por un fallo de la infraestructura de Europol resulte técnicamente imposible utilizar el encaminador para consultar una o varias de las bases de datos nacionales o los datos de Europol, Europol lo notificará a los Estados miembros, a eu-LISA y a la Comisión de forma automatizada. Europol adoptará sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el encaminador.

SECCIÓN 2

EPRIS

Artículo 42

EPRIS

1. Para la búsqueda automatizada de los ficheros policiales a que se refiere el artículo 26, los Estados miembros y Europol utilizarán el Sistema Europeo de Índice de Ficheros Policiales (EPRIS).

2. El EPRIS estará compuesto por:

a)una infraestructura central que cuente, en particular, con una herramienta de búsqueda que permita consultar simultáneamente las bases de datos de los Estados miembros;

b)un canal de comunicación seguro entre la infraestructura central del EPRIS, los Estados miembros y Europol.

Artículo 43

Uso del EPRIS

1. A efectos de la búsqueda de ficheros policiales a través del EPRIS, se utilizarán los siguientes conjuntos de datos:

a)nombre(s);

b)apellido(s);

c)fecha de nacimiento.

2. Cuando se disponga de ellos, también podrán utilizarse los siguientes conjuntos de datos:

a)alias;

b)nacionalidad o nacionalidades;

c)lugar y país de nacimiento;

d)sexo.

3. Los datos mencionados en el apartado 1, letras a) y b), y en el apartado 2, letras a), b) y c), utilizados para las consultas se seudonimizarán.

Artículo 44

Consultas

1. Los Estados miembros y Europol solicitarán una consulta mediante la presentación de los datos a que se refiere el artículo 43.

El EPRIS enviará la solicitud de consulta a las bases de datos de los Estados miembros con los datos presentados por el Estado miembro requirente y de conformidad con el presente Reglamento.

2. Al recibir la solicitud de consulta del EPRIS, cada Estado miembro destinatario de dicha solicitud iniciará una consulta de su índice nacional de ficheros policiales de forma automatizada y sin demora.

3. Cualquier concordancia resultante de la consulta en la base de datos de cada Estado miembro se enviará de forma automatizada al EPRIS.

4. El EPRIS enviará la lista de concordancias al Estado miembro requirente. La lista de concordancias indicará la calidad de la concordancia, así como el Estado miembro cuya base de datos contenga los datos que hayan dado lugar a la concordancia.

5. Una vez recibida la lista de concordancias, el Estado miembro requirente decidirá qué concordancias requieren un seguimiento y enviará una solicitud de seguimiento motivada que contenga cualquier información adicional pertinente al Estado o Estados miembros requeridos a través de SIENA.

6. El Estado o Estados miembros requeridos tramitarán sin demora estas solicitudes para decidir si comparten los datos almacenados en su base de datos.

Previa confirmación, el Estado o Estados miembros requeridos compartirán los datos a que se refiere el artículo 43 en la medida en que estén disponibles. Este intercambio de información se efectuará a través de SIENA.

7. La Comisión adoptará actos de ejecución para especificar el procedimiento técnico por el que el EPRIS consultará las bases de datos de Interpol y el formato de las respuestas. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

Artículo 45

Conservación de registros

1. Europol llevará un registro de todas las operaciones de tratamiento de datos efectuadas en el EPRIS. Dichos registros incluirán los siguientes datos:

a)el Estado miembro o la agencia de la Unión que haya iniciado la solicitud de consulta;

b)la fecha y la hora de la solicitud;

c)la fecha y la hora de la respuesta;

d)las bases de datos nacionales a las que se haya enviado una solicitud de consulta;

e)las bases de datos nacionales que hayan proporcionado una respuesta.

2. Cada Estado miembro llevará un registro de las solicitudes de consulta que efectúen sus autoridades competentes y el personal de dichas autoridades debidamente autorizado para utilizar el EPRIS. Europol llevará un registro de las solicitudes de consulta que efectúe su personal debidamente autorizado.

3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos.

Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación.

No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.

4. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación de la admisibilidad de una consulta y de la legalidad del tratamiento de datos, los responsables del tratamiento de datos tendrán acceso a los registros para el autocontrol a que se refiere el artículo 56.

Artículo 46

Procedimientos de notificación en caso de imposibilidad técnica de utilizar el EPRIS

1. Cuando por un fallo de la infraestructura de Europol resulte técnicamente imposible utilizar el EPRIS para consultar una o varias de las bases de datos nacionales, Europol lo notificará a los Estados miembros de forma automatizada. Europol adoptará sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el EPRIS.

2. Cuando por un fallo de la infraestructura nacional de un Estado miembro resulte técnicamente imposible utilizar el EPRIS para consultar una o varias de las bases de datos nacionales, ese Estado miembro lo notificará a Europol y a la Comisión de forma automatizada. Los Estados miembros adoptarán sin demora las medidas necesarias para subsanar la imposibilidad técnica de utilizar el EPRIS.

CAPÍTULO 4

INTERCAMBIO DE DATOS TRAS UNA CONCORDANCIA

Artículo 47

Intercambio de datos básicos

Cuando los procedimientos a que se refieren los artículos 6, 7, 13 o 22 den lugar a una concordancia entre los datos utilizados para la búsqueda o comparación y los datos conservados en la base de datos del Estado o Estados miembros requeridos, y tras la confirmación de dicha concordancia por el Estado miembro requirente, el Estado miembro requerido enviará un conjunto de datos básicos a través del encaminador en un plazo de 24 horas. Este conjunto de datos básicos, si está disponible, contendrá los siguientes datos:

a)nombre(s);

b)apellido(s);

c)fecha de nacimiento;

d)nacionalidad o nacionalidades;

e)lugar y país de nacimiento;

f)sexo.

Artículo 48

Uso de SIENA

Todo intercambio que no esté expresamente contemplado en el presente Reglamento entre las autoridades competentes de los Estados miembros o con Europol, en cualquier fase de uno de los procedimientos regulados en el presente Reglamento, tendrá lugar a través de SIENA.

CAPÍTULO 5

EUROPOL

Artículo 49

Acceso de los Estados miembros a datos biométricos procedentes de terceros países almacenados por Europol

1. De conformidad con el Reglamento (UE) 2016/794, los Estados miembros tendrán acceso a los datos biométricos facilitados a Europol por terceros países a los efectos del artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2016/794, y podrán consultarlos a través del encaminador.

2. Cuando este procedimiento dé lugar a una concordancia entre los datos utilizados para la búsqueda y los datos de Europol, el seguimiento se llevará a cabo de conformidad con el Reglamento (UE) 2016/794.

Artículo 50

Acceso de Europol a los datos almacenados en las bases de datos de los Estados miembros

1. Europol tendrá acceso, de conformidad con el Reglamento (UE) 2016/794, a los datos almacenados por los Estados miembros en sus bases de datos nacionales de conformidad con el presente Reglamento.

2. Las consultas de Europol realizadas con datos biométricos como criterio de búsqueda se llevarán a cabo utilizando el encaminador.

3. Las consultas de Europol realizadas con datos de matriculación de vehículos como criterio de búsqueda se llevarán a cabo utilizando Eucaris.

4. Las consultas de Europol realizadas con ficheros policiales como criterio de búsqueda se llevarán a cabo utilizando el EPRIS.

5. Europol llevará a cabo las búsquedas de conformidad con el apartado 1 únicamente cuando desempeñe las funciones a que se refiere el Reglamento (UE) 2016/794.

6. Cuando los procedimientos a que se refieren los artículos 6, 7, 13 o 22 arrojen una concordancia entre los datos utilizados para la búsqueda o comparación y los datos conservados en la base de datos nacional del Estado o Estados miembros requeridos, y tras la confirmación de dicha concordancia por Europol, el Estado miembro requerido decidirá si envía un conjunto de datos básicos a través del encaminador en un plazo de 24 horas. Este conjunto de datos básicos, si está disponible, contendrá los siguientes datos:

a)nombre(s);

b)apellido(s);

c)fecha de nacimiento;

d)nacionalidad o nacionalidades;

e)lugar y país de nacimiento;

f)sexo.

7. El uso por Europol de la información obtenida a partir de una búsqueda realizada de conformidad con el apartado 1 y del intercambio de datos básicos de conformidad con el apartado 6 estará supeditado al consentimiento del Estado miembro en cuya base de datos se haya producido la concordancia. Si el Estado miembro permite el uso de dicha información, su tratamiento por parte de Europol se regirá por el Reglamento (UE) 2016/794.

CAPÍTULO 6

PROTECCIÓN DE DATOS

Artículo 51

Finalidad de los datos

1. El Estado miembro requirente o Europol únicamente podrán tratar los datos personales para los fines para los que el Estado miembro requerido se los haya transmitido con arreglo al presente Reglamento. El tratamiento para otros fines se permitirá únicamente con la autorización previa del Estado miembro requerido.

2. El tratamiento de los datos transmitidos con arreglo a los artículos 6, 7, 13, 18 o 22 por el Estado miembro que realice la búsqueda o la comparación se permitirá únicamente en relación con:

a)la comprobación de si los perfiles de ADN, los datos dactiloscópicos, los datos de matriculación de vehículos, las imágenes faciales y los ficheros policiales comparados coinciden;

b)la preparación y presentación de una solicitud policial de asistencia judicial, en el caso de que los datos coincidan;

c)el registro en el sentido de los artículos 40 y 45.

3. El Estado miembro requirente podrá tratar los datos que le hayan sido facilitados de conformidad con los artículos 6, 7, 13 o 22 únicamente cuando sea necesario para los fines del presente Reglamento. Una vez finalizada la comparación de datos u obtenida la respuesta automatizada a la búsqueda, los datos transmitidos se suprimirán inmediatamente, salvo que se requiera su ulterior tratamiento para los fines de prevención, detección e investigación de infracciones penales.

4. Los datos transmitidos de conformidad con el artículo 18 únicamente podrán ser utilizados por el Estado miembro requirente cuando ello sea necesario a efectos del presente Reglamento. Una vez obtenida la respuesta automatizada a la búsqueda, los datos transmitidos se suprimirán inmediatamente, salvo que se requiera su ulterior tratamiento para el registro previsto en el artículo 20. El Estado miembro requirente únicamente podrá utilizar los datos recibidos en respuesta a su búsqueda para el procedimiento que dio lugar a la búsqueda en cuestión.

Artículo 52

Exactitud, pertinencia y conservación de datos

1. Los Estados miembros velarán por la exactitud y actualidad de los datos personales. Si un Estado miembro constata que se han transmitido datos inexactos o datos que no deberían haberse transmitido, este hecho se comunicará inmediatamente al Estado o Estados miembros requirentes. Dichos Estados requirentes estarán obligados a rectificar o suprimir esos datos, según corresponda. Además, deberán rectificarse los datos personales transmitidos cuando se descubra su inexactitud. Cuando el Estado miembro requirente tenga motivos para creer que los datos transmitidos son inexactos o deben suprimirse, informará inmediatamente de ello al Estado requerido.

2. Cuando un interesado impugne la exactitud de los datos en poder de un Estado miembro, o el Estado miembro de que se trate no pueda garantizar la exactitud, se marcarán los datos en cuestión si así lo exige el interesado. Cuando se produzca este marcado, los Estados miembros solo podrán eliminarlo con el consentimiento del interesado o sobre la base de una resolución del órgano jurisdiccional o la autoridad independiente de protección de datos competentes.

3. Se suprimirán los datos personales transmitidos que no hubieran debido transmitirse o recibirse. Los datos lícitamente transmitidos y recibidos se suprimirán:

a)cuando no sean necesarios o hayan dejado de ser necesarios para el fin para el que se transmitieron;

b)una vez transcurrido el plazo máximo de conservación de los datos previsto en el Derecho nacional del Estado miembro requerido, siempre y cuando este haya informado de dicho plazo máximo al Estado miembro requirente en el momento de transmitir los datos.

Cuando existan motivos para creer que la supresión podría perjudicar los intereses del interesado, se procederá al bloqueo de los datos en lugar de a su supresión. Los datos bloqueados únicamente podrán transmitirse o utilizarse para el fin por el que se decidió no suprimirlos.

Artículo 53

Encargado del tratamiento

1. eu-LISA será la encargada del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725 para el tratamiento de datos personales a través del encaminador.

2. Europol será la encargada del tratamiento de datos personales a través del EPRIS.

Artículo 54

Seguridad del tratamiento

1. Europol, eu-LISA y las autoridades de los Estados miembros garantizarán la seguridad del tratamiento de los datos personales que tenga lugar en virtud del presente Reglamento. Europol, eu-LISA y las autoridades de los Estados miembros cooperarán en las tareas relacionadas con la seguridad.

2. Sin perjuicio del artículo 33 del Reglamento (UE) 2018/1725 y del artículo 32 del Reglamento (UE) 2016/794, eu-LISA y Europol adoptarán las medidas necesarias para garantizar la seguridad del encaminador y del EPRIS, respectivamente, y de su infraestructura de comunicación conexa.

3. En particular, eu-LISA y Europol adoptarán las medidas necesarias con respecto al encaminador y el EPRIS, respectivamente, incluidos un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:

a)proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas;

b)denegar a toda persona no autorizada el acceso a los equipos e instalaciones de tratamiento de datos;

c)impedir la lectura, copia, modificación o retirada no autorizadas de los soportes de datos;

d)impedir la introducción no autorizada de datos y la inspección, modificación o supresión no autorizadas de datos personales registrados;

e)impedir el tratamiento no autorizado de datos y la copia, modificación o eliminación no autorizadas de datos;

f)impedir que los sistemas de tratamiento automatizado de datos sean utilizados por personas no autorizadas mediante equipos de comunicación de datos;

g)garantizar que las personas autorizadas a acceder al encaminador y al EPRIS tengan únicamente acceso a los datos a que se refiere su autorización de acceso, exclusivamente mediante identidades de usuario individuales y modos de acceso confidenciales;

h)garantizar la posibilidad de verificar y determinar a qué organismos pueden transmitirse datos personales mediante equipos de transmisión de datos;

i)garantizar la posibilidad de verificar y determinar qué datos han sido tratados en el encaminador y el EPRIS, en qué momento, por quién y con qué fin;

j)impedir la lectura, copia, modificación o supresión no autorizadas de datos personales durante la transmisión de estos datos hacia o desde el encaminador y el EPRIS o durante el transporte de soportes de datos, en particular mediante técnicas adecuadas de cifrado;

k)garantizar que, en caso de interrupción, los sistemas instalados puedan volver a funcionar normalmente;

l)garantizar la fiabilidad asegurando que se informe adecuadamente de cualquier error de funcionamiento del encaminador y del EPRIS;

m)controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas de organización del control interno necesarias para garantizar el cumplimiento del presente Reglamento y evaluar dichas medidas de seguridad en vista de los últimos avances tecnológicos.

Artículo 55

Incidentes de seguridad

1. Cualquier acontecimiento que repercuta o pueda repercutir en la seguridad del encaminador o el EPRIS y pueda causar daños a los datos almacenados en ellos o la pérdida de dichos datos se considerará un incidente de seguridad, especialmente cuando pueda haber tenido lugar un acceso no autorizado a los datos o cuando la disponibilidad, integridad y confidencialidad de los datos haya sido o pueda haber sido comprometida.

2. Los incidentes de seguridad se gestionarán de forma que se garantice una respuesta rápida, eficaz y adecuada.

3. Los Estados miembros notificarán sin demora injustificada a sus autoridades de supervisión competentes cualquier incidente de seguridad.

Sin perjuicio de lo dispuesto en el artículo 34 del Reglamento (UE) 2016/794, Europol notificará al Equipo de respuesta a emergencias informáticas de las instituciones, órganos y organismos de la Unión Europea (CERT-UE) cualesquiera amenazas cibernéticas, vulnerabilidades o incidentes significativos sin demora injustificada y, en cualquier caso, a más tardar 24 horas después de haber tenido conocimiento de ellos. Se comunicarán al CERT-UE sin demora injustificada los detalles técnicos adecuados y prácticos de las ciberamenazas, vulnerabilidades e incidentes que permitan la detección proactiva, la respuesta a incidentes o la adopción de medidas de mitigación.

En caso de que se produzca un incidente de seguridad en relación con la infraestructura central del encaminador, eu-LISA notificará al CERT-UE cualesquiera amenazas cibernéticas, vulnerabilidades o incidentes significativos sin demora injustificada y, en cualquier caso, a más tardar 24 horas después de haber tenido conocimiento de ellos. Se comunicarán al CERT-UE sin demora injustificada los detalles técnicos adecuados y viables de las ciberamenazas, vulnerabilidades e incidentes que permitan la detección proactiva, la respuesta a incidentes o la adopción de medidas de mitigación.

4. Los Estados miembros y las agencias de la Unión interesados transmitirán sin demora a los demás Estados miembros y a Europol la información concerniente a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento del encaminador o en la disponibilidad, integridad y confidencialidad de los datos, y se notificará en cumplimiento del plan de gestión de incidentes que elabore eu-LISA.

5. Los Estados miembros y las agencias de la Unión interesados transmitirán sin demora a los demás Estados miembros la información concerniente a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento del EPRIS o en la disponibilidad, integridad y confidencialidad de los datos, y se notificará en cumplimiento del plan de gestión de incidentes que elabore Europol.

Artículo 56

Autocontrol

1. Los Estados miembros y las agencias pertinentes de la Unión velarán por que toda autoridad facultada para utilizar Prüm II adopte las medidas necesarias para controlar su cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.

2. Los responsables del tratamiento de datos adoptarán las medidas necesarias para controlar la conformidad del tratamiento de datos con el presente Reglamento, incluida la frecuencia de verificación de los registros a que se refieren los artículos 40 y 45, y cooperarán, cuando proceda, con las autoridades de control y con el Supervisor Europeo de Protección de datos.

Artículo 57

Sanciones

Los Estados miembros garantizarán que cualquier uso indebido de datos, tratamiento de datos o intercambio de datos contrario a lo dispuesto en el presente Reglamento sean sancionables con arreglo al Derecho nacional. Las sanciones así establecidas serán efectivas, proporcionadas y disuasorias.

Artículo 58

Carga de la prueba

1. Los Estados miembros adoptarán las medidas necesarias para garantizar que las personas que se consideren discriminadas debido al tratamiento o al intercambio de sus datos personales no deban asumir la carga de la prueba. En los casos en que una persona considere que ha sido supuestamente discriminada en el contexto de una comparación automatizada realizada en virtud del presente Reglamento ante un órgano jurisdiccional competente, serán las autoridades del Estado miembro que hayan tratado los datos quienes demostrarán que no ha habido discriminación.

2. Lo dispuesto en el apartado 1 no se aplicará a los procedimientos penales.

3. Los Estados miembros no adoptarán medidas específicas en el sentido del apartado 1 en relación con los procedimientos en los que corresponde al órgano jurisdiccional competente investigar los hechos del caso.

Artículo 59

Responsabilidad

Si el incumplimiento por un Estado miembro de las obligaciones que le impone el presente Reglamento causa un perjuicio al encaminador o al EPRIS, dicho Estado miembro será considerado responsable de dicho perjuicio, a no ser que eu-LISA, Europol u otro Estado miembro sujeto al presente Reglamento no hayan adoptado las medidas adecuadas para impedir que se produjera el perjuicio o para atenuar sus efectos.

Artículo 60

Auditoría a cargo del Supervisor Europeo de Protección de Datos

1. El Supervisor Europeo de Protección de Datos velará por que, al menos cada cuatro años, se lleve a cabo una auditoría de las operaciones de tratamiento de datos realizadas por eu-LISA y Europol a efectos del presente Reglamento con arreglo a las normas internacionales de auditoría pertinentes. Se enviará un informe de dicha auditoría al Parlamento Europeo, al Consejo, a la Comisión, a los Estados miembros y a la agencia de la Unión interesada. Deberá darse a Europol y a eu-LISA la oportunidad de formular comentarios antes de que se aprueben los informes.

2. eu-LISA y Europol proporcionarán al Supervisor Europeo de Protección de Datos la información que este les solicite, le otorgarán acceso a todos los documentos que pida y a los registros contemplados en los artículos 40 y 45, y le permitirán acceder a sus locales en todo momento.

Artículo 61

Cooperación entre las autoridades de control y el Supervisor Europeo de Protección de Datos

1. Las autoridades de control y el Supervisor Europeo de Protección de Datos, cada uno dentro del ámbito de sus competencias respectivas, cooperarán activamente en el marco de sus responsabilidades respectivas y garantizarán una supervisión coordinada de la aplicación del presente Reglamento, en particular si el Supervisor Europeo de Protección de Datos o una autoridad de control detectan discrepancias importantes entre las prácticas de los Estados miembros o transferencias potencialmente ilegales en la utilización de los canales de comunicación de Prüm II.

2. En los casos contemplados en el apartado 1 del presente artículo, se establecerá un control coordinado de conformidad con el artículo 62 del Reglamento (UE) 2018/1725.

3. El Comité Europeo de Protección de Datos remitirá un informe conjunto de las actividades que realice en virtud del presente artículo al Parlamento Europeo, el Consejo, la Comisión, Europol y eu-LISA como muy tarde [dos años después de que el encaminador y el EPRIS hayan entrado en funcionamiento], y posteriormente cada dos años. Dicho informe incluirá un capítulo sobre cada Estado miembro, redactado por la autoridad de control del Estado miembro de que se trate.

Artículo 62

Comunicación de datos personales a terceros países y organizaciones internacionales

Los datos tratados de conformidad con el presente Reglamento no se transferirán ni se pondrán a disposición de terceros países ni de organizaciones internacionales de forma automatizada.

CAPÍTULO 7

RESPONSABILIDADES

Artículo 63

Responsabilidades de los Estados miembros

1. Cada Estado miembro será responsable de:

a)la conexión a la infraestructura del encaminador;

b)la integración de los sistemas e infraestructuras nacionales existentes con el encaminador;

c)la organización, la gestión, el funcionamiento y el mantenimiento de su infraestructura nacional existente y su conexión al encaminador;

d)la conexión a la infraestructura del EPRIS;

e)la integración de los sistemas e infraestructuras nacionales existentes con el EPRIS;

f)la organización, la gestión, el funcionamiento y el mantenimiento de su infraestructura nacional existente y su conexión con el EPRIS;

g)la gestión y las condiciones de acceso del personal debidamente autorizado de las autoridades nacionales competentes al encaminador, de conformidad con el presente Reglamento, y el establecimiento y la actualización periódica de la lista de este personal y sus perfiles;

h)la gestión y las condiciones de acceso del personal debidamente autorizado de las autoridades nacionales competentes al EPRIS, de conformidad con el presente Reglamento, y el establecimiento y la actualización periódica de la lista de este personal y sus perfiles;

i)la gestión y las condiciones de acceso del personal debidamente autorizado de las autoridades nacionales competentes a Eucaris, de conformidad con el presente Reglamento, y el establecimiento y la actualización periódica de la lista de este personal y sus perfiles;

j)la confirmación manual de una concordancia a que se refieren el artículo 6, apartado 3, el artículo 7, apartado 3, el artículo 13, apartado 2, el artículo 22, apartado 2, y el artículo 26, apartado 2;

k)el aseguramiento de la disponibilidad de los datos necesarios para el intercambio de datos de conformidad con los artículos 6, 7, 13, 18, 22 y 26;

l)el intercambio de información de conformidad con los artículos 6, 7, 13, 18, 22 y 26;

m)la supresión de cualquier dato recibido de un Estado miembro requerido dentro de las 48 horas siguientes a la notificación de este Estado miembro requerido de que los datos personales presentados eran incorrectos, ya no estaban actualizados o habían sido transmitidos ilegalmente;

n)el cumplimiento de los requisitos de calidad de los datos establecidos en el presente Reglamento.

2. Cada Estado miembro será responsable de que sus autoridades nacionales competentes estén conectadas al encaminador, el EPRIS y Eucaris.

Artículo 64

Responsabilidades de Europol

1. Europol será responsable de la gestión y las condiciones de acceso de su personal debidamente autorizado al encaminador, el EPRIS y Eucaris de conformidad con el presente Reglamento.

2. Europol también será responsable del tratamiento de las consultas de datos de Europol por parte del encaminador. Europol adaptará sus sistemas de información en consecuencia.

3. Europol será responsable de cualquier adaptación técnica en la infraestructura de Europol necesaria para establecer la conexión al encaminador y a Eucaris.

4. Europol será responsable del desarrollo del EPRIS en cooperación con los Estados miembros. El EPRIS ofrecerá las funciones establecidas en los artículos 42 a 46.

Europol se encargará de la gestión técnica del EPRIS. La gestión técnica del EPRIS consistirá en todas las tareas y las soluciones técnicas necesarias para mantener su infraestructura central en funcionamiento y prestar un servicio ininterrumpido a los Estados miembros todos los días del año durante las 24 horas del día, de conformidad con el presente Reglamento. Incluirá las labores de mantenimiento y los desarrollos técnicos necesarios para garantizar que el EPRIS funcione con una calidad técnica de un nivel satisfactorio, en particular en lo que se refiere al tiempo de respuesta para la consulta de las bases de datos nacionales, de acuerdo con las especificaciones técnicas.

5. Europol se encargará de impartir formación sobre el uso técnico del EPRIS.

6. Europol será responsable de los procedimientos a que se refieren los artículos 49 y 50.

Artículo 65

Responsabilidades de eu-LISA durante la fase de diseño y desarrollo del encaminador

1. eu-LISA velará por que la infraestructura central del encaminador funcione de conformidad con el presente Reglamento.

2. El encaminador estará alojado por eu-LISA en sus sitios técnicos y ofrecerá las funciones establecidas en el presente Reglamento de acuerdo con las condiciones de seguridad, disponibilidad, calidad y velocidad a que se refiere el artículo 66, apartado 1.

3. eu-LISA será responsable del desarrollo del encaminador y de las adaptaciones técnicas necesarias para su funcionamiento.

eu-LISA no tendrá acceso a ninguno de los datos personales tratados a través del encaminador.

eu-LISA definirá el diseño de la arquitectura física del encaminador, incluidas sus infraestructuras de comunicación y las especificaciones técnicas, así como su evolución en lo que respecta a la infraestructura central y la infraestructura de comunicación segura. Este diseño será adoptado por el Consejo de Administración, previo dictamen favorable de la Comisión. eu-LISA también llevará a cabo las adaptaciones necesarias de los componentes de interoperabilidad que se deriven del establecimiento del encaminador conforme a lo dispuesto en el presente Reglamento.

eu-LISA desarrollará y pondrá en marcha el encaminador lo antes posible tras la adopción por la Comisión de las medidas previstas en el artículo 37, apartado 6.

El desarrollo consistirá en la elaboración y aplicación de las especificaciones técnicas, la realización de pruebas y la gestión y la coordinación globales del proyecto.

4. Durante la fase de diseño y desarrollo, el Consejo de Administración del Programa de Interoperabilidad a que se refieren el artículo 54 del Reglamento (UE) 2019/817 y el artículo 54 del Reglamento (UE) 2019/818 se reunirá periódicamente. Una de sus misiones será velar por la correcta gestión de la fase de diseño y desarrollo del encaminador.

El Consejo de Administración del Programa de Interoperabilidad presentará mensualmente al Consejo de Administración de eu-LISA informes escritos sobre los avances del proyecto. El Consejo de Administración del Programa de Interoperabilidad no tendrá competencia para adoptar decisiones, ni mandato alguno para representar a los miembros del Consejo de Administración de eu-LISA.

El grupo consultivo a que se refiere el artículo 77 se reunirá periódicamente hasta que el encaminador entre en funcionamiento. Presentará un informe al Consejo de Administración del Programa de Interoperabilidad después de cada una de sus reuniones. Asimismo, aportará los conocimientos técnicos necesarios para apoyar al Consejo de Administración del Programa de Interoperabilidad en sus tareas y realizará un seguimiento del estado de preparación de los Estados miembros.

Artículo 66

Responsabilidades de eu-LISA tras la entrada en funcionamiento del encaminador

1. Tras la entrada en funcionamiento del encaminador, eu-LISA será responsable de la gestión técnica de la infraestructura central del encaminador, incluidos su mantenimiento y avances tecnológicos. En cooperación con los Estados miembros, garantizará que se utilice la mejor tecnología disponible sobre la base de un análisis coste-beneficio. eu-LISA también será responsable de la gestión técnica de la infraestructura de comunicación necesaria.

La gestión técnica del encaminador consistirá en todas las tareas y soluciones técnicas necesarias para mantenerlo en funcionamiento y prestar un servicio ininterrumpido a los Estados miembros y a Europol todos los días del año durante las 24 horas del día, de conformidad con el presente Reglamento. Incluirá las labores de mantenimiento y los desarrollos técnicos necesarios para garantizar que el encaminador funcione con una calidad técnica de un nivel satisfactorio, en particular en lo que se refiere a la disponibilidad y el tiempo de respuesta para la consulta de las bases de datos nacionales y los datos de Europol, de acuerdo con las especificaciones técnicas.

El encaminador se desarrollará y gestionará de manera que se garantice un acceso rápido, eficiente y controlado, una disponibilidad plena e ininterrumpida y un tiempo de respuesta acorde con las necesidades operativas de las autoridades competentes de los Estados miembros y Europol.

2. Sin perjuicio de lo dispuesto en el artículo 17 del Estatuto de los funcionarios de la Unión Europea, establecido por el Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo 42 , eu-LISA aplicará, a todo miembro de su personal que deba trabajar con datos almacenados en los componentes de interoperabilidad, normas adecuadas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.

eu-LISA no tendrá acceso a ninguno de los datos personales tratados a través del encaminador.

3. eu-LISA desempeñará asimismo las funciones relativas a la formación sobre la utilización técnica del encaminador.

CAPÍTULO 8

MODIFICACIÓN DE OTROS INSTRUMENTOS EN VIGOR

Artículo 67

Modificaciones de las Decisiones 2008/615/JAI y 2008/616/JAI

1.En la Decisión 2008/615/JAI, los artículos 2 a 6 y las secciones 2 y 3 del capítulo 2 se sustituyen por lo que respecta a los Estados miembros vinculados por el presente Reglamento a partir de la fecha de aplicación de las disposiciones del presente Reglamento relativas al encaminador, tal como se establece en el artículo 74.

Por consiguiente, los artículos 2 a 6 y las secciones 2 y 3 del capítulo 2 de la Decisión 2008/615/JAI se suprimen a partir de la fecha de aplicación de las disposiciones del presente Reglamento relativas al encaminador, tal como se establece en el artículo 74.

2.En la Decisión 2008/616/JAI, los capítulos 2 a 5 y los artículos 18, 20 y 21 se sustituyen por lo que respecta a los Estados miembros vinculados por el presente Reglamento a partir de la fecha de aplicación de las disposiciones del presente Reglamento relativas al encaminador, tal como se establece en el artículo 74.

Por consiguiente, los capítulos 2 a 5 y los artículos 18, 20 y 21 de la Decisión 2008/616/JAI se suprimen a partir de la fecha de aplicación de las disposiciones del presente Reglamento relativas al encaminador, tal como se establece en el artículo 74.

Artículo 68

Modificaciones del Reglamento (UE) 2018/1726

El Reglamento (UE) 2018/1726 se modifica como sigue:

1)Se inserta el artículo 13 bis siguiente:

«Artículo 13 bis

Funciones relacionadas con el encaminador 

En relación con el Reglamento (UE) .../... del Parlamento Europeo y del Consejo* [el presente Reglamento], la Agencia desempeñará las funciones relacionadas con el encaminador que le confiere dicho Reglamento.

___________

*    Reglamento (UE) [número] del Parlamento Europeo y del Consejo, de xy, relativo a [título adoptado oficialmente] (DO L...).».

En el artículo 17, el apartado 3 se sustituye por el texto siguiente:

«3. La sede de la Agencia será Tallin (Estonia).

Las funciones relacionadas con el desarrollo y la gestión operativa mencionados en el artículo 1, apartados 4 y 5, en los artículos 3 a 8 y en los artículos 9, 11 y 13 bis se realizarán en el emplazamiento técnico de Estrasburgo (Francia).

Un emplazamiento de reserva de continuidad capaz de garantizar el funcionamiento de un sistema informático de gran magnitud en caso de que ese tipo de sistema falle se instalará en Sankt Johann im Pongau (Austria).».

Artículo 69

Modificaciones del Reglamento (UE) 2019/817

En el artículo 6, apartado 2, del Reglamento (UE) 2019/817, se añade la letra d) siguiente:

«d) una infraestructura de comunicación segura entre el PEB y el encaminador establecido por el Reglamento (UE) .../... del Parlamento Europeo y del Consejo* [el presente Reglamento].

___________

*    Reglamento (UE) [número] del Parlamento Europeo y del Consejo, de xy, relativo a [título adoptado oficialmente] (DO L...).».

Artículo 70

Modificaciones del Reglamento (UE) 2019/818

El Reglamento (UE) 2019/818 se modifica como sigue:

1)En el artículo 6, apartado 2, se añade la letra d) siguiente:

«d) una infraestructura de comunicación segura entre el PEB y el encaminador establecido por el Reglamento (UE) .../... del Parlamento Europeo y del Consejo* [el presente Reglamento].

___________

*    Reglamento (UE) [número] del Parlamento Europeo y del Consejo, de xy, relativo a [título adoptado oficialmente] (DO L...).».

2)En el artículo 39, los apartados 1 y 2 se sustituyen por el texto siguiente:

«1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SIS, Eurodac y el ECRIS-TCN, de conformidad con los respectivos instrumentos jurídicos que rigen esos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos. El RCIE también apoyará los objetivos de Prüm II.

2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y las estadísticas a que se hace referencia en el artículo 74 del Reglamento (UE) 2018/1862 y el artículo 32 del Reglamento (UE) 2019/816, separados de forma lógica por el sistema de información de la UE. eu-LISA también recopilará los datos y las estadísticas del encaminador a que se refiere el artículo 65, apartado 1, del Reglamento (UE) .../... * [el presente Reglamento]. Se permitirá acceder al RCIE mediante un acceso controlado y seguro y unos perfiles de usuario específicos, únicamente a efectos de la presentación de informes y estadísticas, a las autoridades a las que se refieren el artículo 74 del Reglamento (UE) 2018/1862, el artículo 32 del Reglamento (UE) 2019/816 y el artículo 65, apartado 1, del Reglamento (UE) …/… * [el presente Reglamento].».

CAPÍTULO 9

DISPOSICIONES FINALES

Artículo 71

Presentación de informes y estadísticas

1. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión, Europol y eu-LISA tendrá acceso a la consulta de los datos siguientes relativos al encaminador únicamente a efectos de la presentación de informes y estadísticas:

a)número de consultas efectuadas por Estado miembro y por Europol;

b)número de consultas por categoría de datos;

c)número de consultas de cada una de las bases conectadas;

d)número de concordancias con la base de datos de cada Estado miembro por categoría de datos;

e)número de concordancias con los datos de Europol por categoría de datos;

f)número de concordancias confirmadas cuando se hayan intercambiado datos básicos; y

g)número de consultas al registro común de datos de identidad a través del encaminador.

No será posible identificar individuos a partir de los datos.

2. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, Europol y la Comisión podrá consultar los datos siguientes en relación con Eucaris únicamente a efectos de la presentación de informes y estadísticas:

a)número de consultas efectuadas por Estado miembro y por Europol;

b)número de consultas de cada una de las bases conectadas; y

c)número de concordancias con la base de datos de cada Estado miembro.

No será posible identificar individuos a partir de los datos.

3. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, Europol y la Comisión podrá consultar los datos siguientes en relación con el EPRIS únicamente a efectos de la presentación de informes y estadísticas:

a)número de consultas efectuadas por Estado miembro y por Europol;

b)número de consultas efectuadas a cada uno de los índices conectados; y

c)número de concordancias con la base de datos de cada Estado miembro.

No será posible identificar individuos a partir de los datos.

4. eu-LISA almacenará los datos a que se refieren dichos apartados.

Los datos permitirán a las autoridades a que se refiere el apartado 1 obtener informes y estadísticas personalizables para mejorar la eficiencia de la cooperación policial.

Artículo 72

Costes

1. Los costes derivados de la creación y el funcionamiento del encaminador y el EPRIS correrán a cargo del presupuesto general de la Unión.

2. Los costes derivados de la integración de las infraestructuras nacionales existentes y sus conexiones al encaminador y al EPRIS, así como los costes derivados de la creación de bases de datos nacionales de imágenes faciales e índices policiales nacionales para la prevención, detección e investigación de infracciones penales, correrán a cargo del presupuesto general de la Unión.

Quedan excluidos los costes vinculados a:

a)la oficina de gestión del proyecto de los Estados miembros (reuniones, misiones, despachos);

b)el alojamiento de los sistemas informáticos nacionales (espacio, ejecución, electricidad, refrigeración);

c)el funcionamiento de los sistemas informáticos nacionales (operadores y contratos de apoyo);

d)el diseño, el desarrollo, la implementación, la explotación y el mantenimiento de las redes de comunicación nacionales.

3. Cada Estado miembro sufragará los costes que se deriven de la administración, utilización y mantenimiento de la aplicación informática Eucaris, mencionada en el artículo 19, apartado 1.

4. Cada Estado miembro asumirá los costes derivados de la administración, utilización y mantenimiento de sus conexiones al encaminador y al EPRIS.

Artículo 73

Notificaciones

1. Los Estados miembros notificarán a eu-LISA las autoridades mencionadas en el artículo 36, es decir, que pueden usar o tener acceso al encaminador.

2. eu-LISA notificará a la Comisión la realización satisfactoria de la prueba mencionada en el artículo 74, apartado 1, letra b).

3. Los Estados miembros notificarán a la Comisión, Europol y eu-LISA los puntos de contacto nacionales.

Artículo 74

Entrada en funcionamiento

1. La Comisión fijará, mediante un acto de ejecución, la fecha a partir de la cual los Estados miembros y las agencias de la Unión podrán empezar a utilizar el encaminador, una vez que se cumplan las condiciones siguientes:

a)se hayan adoptado las medidas mencionadas en el artículo 37, apartado 6;

b)eu-LISA haya declarado la realización satisfactoria de una prueba exhaustiva del encaminador, llevada a cabo por esta agencia en cooperación con las autoridades de los Estados miembros y Europol.

En este acto de ejecución, la Comisión fijará también la fecha a partir de la cual los Estados miembros y las agencias de la Unión deberán empezar a utilizar el encaminador. Dicha fecha corresponderá a un año después de la fecha fijada de conformidad con el párrafo primero.

La Comisión podrá aplazar un año como máximo la fecha a partir de la cual los Estados miembros y las agencias de la Unión deberán comenzar a utilizar el encaminador cuando una evaluación de la implantación del encaminador haya demostrado que tal aplazamiento es necesario. El citado acto de ejecución se adoptará de conformidad con el procedimiento a que se refiere el artículo 76, apartado 2.

2. La Comisión fijará, mediante un acto de ejecución, la fecha a partir de la cual los Estados miembros y las agencias de la Unión deberán empezar a utilizar el EPRIS, una vez que se cumplan las condiciones siguientes:

a)se hayan adoptado las medidas mencionadas en el artículo 44, apartado 7;

b)Europol haya declarado la realización satisfactoria de una prueba exhaustiva del EPRIS, llevada a cabo por esta agencia en cooperación con las autoridades de los Estados miembros.

3. La Comisión fijará, mediante un acto de ejecución, la fecha a partir de la cual Europol pondrá a disposición de los Estados miembros datos biométricos procedentes de terceros países, de conformidad con el artículo 49, una vez que se cumplan las condiciones siguientes:

a)el encaminador esté en funcionamiento;

b)Europol haya declarado la realización satisfactoria de una prueba exhaustiva de la conexión, llevada a cabo por esta agencia en cooperación con las autoridades de los Estados miembros y eu-LISA.

4. La Comisión fijará, mediante un acto de ejecución, la fecha a partir de la cual Europol tendrá acceso a los datos almacenados en las bases de datos de los Estados miembros, de conformidad con el artículo 50, una vez que se cumplan las condiciones siguientes:

a)el encaminador esté en funcionamiento;

b)Europol haya declarado la realización satisfactoria de una prueba exhaustiva de la conexión, llevada a cabo por esta agencia en cooperación con las autoridades de los Estados miembros y eu-LISA.

Artículo 75

Disposiciones transitorias y excepciones

1. Los Estados miembros y las agencias de la Unión comenzarán a aplicar los artículos 21 a 24, el artículo 47 y el artículo 50, apartado 6, a partir de la fecha fijada de conformidad con el artículo 74, apartado 1, párrafo primero, con excepción de los Estados miembros que no hayan empezado a utilizar el encaminador.

2. Los Estados miembros y las agencias de la Unión comenzarán a aplicar los artículos 25 a 28 y el artículo 50, apartado 4, a partir de la fecha fijada de conformidad con el artículo 74, apartado 2.

3. Los Estados miembros y las agencias de la Unión comenzarán a aplicar el artículo 49 a partir de la fecha fijada de conformidad con el artículo 74, apartado 3.

4. Los Estados miembros y las agencias de la Unión comenzarán a aplicar el artículo 50, apartados 1, 2, 3, 5 y 7, a partir de la fecha fijada de conformidad con el artículo 74, apartado 4.

Artículo 76

Procedimiento de comité

1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.º 182/2011. Si el comité no emite un dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.º 182/2011.

Artículo 77

Grupo consultivo

Las responsabilidades del grupo consultivo de interoperabilidad de eu-LISA se ampliarán para abarcar al encaminador. Este grupo consultivo de interoperabilidad aportará a eu-LISA conocimientos técnicos relacionados con el encaminador, en particular en el contexto de la preparación de su programa de trabajo anual y de su informe de actividad anual.

Artículo 78

Manual práctico

La Comisión, en estrecha cooperación con los Estados miembros, Europol y eu-LISA, publicará un manual práctico que facilite la aplicación y gestión de los aspectos prácticos del presente Reglamento. El manual práctico proporcionará orientaciones técnicas y operativas, recomendaciones y mejores prácticas. La Comisión adoptará el manual práctico en forma de recomendación.

Artículo 79

Seguimiento y evaluación

1. eu-LISA y Europol se asegurarán, respectivamente, de que se establezcan procedimientos para supervisar el desarrollo del encaminador y el EPRIS a la luz de los objetivos en materia de planificación y costes, y su respectivo funcionamiento a la luz de los objetivos en materia de rendimiento técnico, rentabilidad, seguridad y calidad del servicio.

2. Como muy tarde [un año después de la entrada en vigor del presente Reglamento], y posteriormente cada año durante la fase de desarrollo del encaminador, eu-LISA presentará respectivamente un informe al Parlamento Europeo y al Consejo sobre el estado de desarrollo del encaminador. Dicho informe contendrá información detallada sobre los costes sufragados e información relativa a cualesquiera riesgos que puedan afectar a los costes globales que deban sufragarse con cargo al presupuesto general de la Unión de conformidad con el artículo 72.

Una vez finalizado el desarrollo del encaminador, eu-LISA presentará un informe al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han alcanzado los objetivos, en particular en lo relativo a la planificación y los costes, y se justifique toda divergencia.

3. A más tardar [un año después de la entrada en vigor del presente Reglamento], y posteriormente cada año durante la fase de desarrollo del EPRIS, Europol presentará un informe al Parlamento Europeo y al Consejo sobre el estado de preparación para la aplicación del presente Reglamento y sobre el estado de desarrollo del EPRIS, que incluirá información detallada sobre los costes sufragados e información relativa a cualesquiera riesgos que puedan afectar a los costes globales que deban sufragarse con cargo al presupuesto general de la Unión de conformidad con el artículo 72.

Una vez finalizado el desarrollo del EPRIS, Europol presentará un informe al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han alcanzado los objetivos, en particular en lo relativo a la planificación y los costes, y se justifique toda divergencia.

4. A efectos de mantenimiento técnico, eu-LISA y Europol tendrán acceso a la información necesaria relacionada con las operaciones de tratamiento de datos realizadas en el encaminador y el EPRIS, respectivamente.

5. Dos años después de que el encaminador haya entrado en funcionamiento, y posteriormente cada dos años, eu-LISA presentará al Parlamento Europeo, al Consejo y a la Comisión un informe sobre el funcionamiento técnico del encaminador, con especial referencia a su seguridad.

6. Dos años después de que el EPRIS haya entrado en funcionamiento, y posteriormente cada dos años, Europol presentará al Parlamento Europeo, al Consejo y a la Comisión un informe sobre el funcionamiento técnico del EPRIS, con especial referencia a su seguridad.

7. Tres años después de la entrada en funcionamiento del encaminador y el EPRIS a que se hace referencia en el artículo 74, y posteriormente cada cuatro años, la Comisión realizará una evaluación global de Prüm II que incluirá, en particular:

a)una evaluación de la aplicación del presente Reglamento;

b)un examen de los resultados alcanzados en comparación con los objetivos del presente Reglamento y de su repercusión en los derechos fundamentales;

c)una evaluación del impacto, la eficacia y la eficiencia de la aplicación de Prüm II y de sus prácticas de trabajo a la luz de sus objetivos, mandato y funciones;

d)una evaluación de la seguridad de Prüm II.

La Comisión remitirá el informe de evaluación al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea.

8. Los Estados miembros y Europol proporcionarán a eu-LISA y a la Comisión la información necesaria para elaborar los informes a que se refieren los apartados 2 y 5. Esta información no deberá poner en peligro los métodos de trabajo ni incluir datos que revelen fuentes, miembros del personal o investigaciones de las autoridades designadas.

9. Los Estados miembros facilitarán a Europol y a la Comisión la información necesaria para elaborar los informes a que se refieren los apartados 3 y 6. Esta información no deberá poner en peligro los métodos de trabajo ni incluir datos que revelen fuentes, miembros del personal o investigaciones de las autoridades designadas.

10. Los Estados miembros, eu-LISA y Europol facilitarán a la Comisión la información necesaria para realizar las evaluaciones a las que se refiere el apartado 7. Los Estados miembros facilitarán asimismo a la Comisión el número de concordancias confirmadas con la base de datos de cada Estado miembro por categoría de datos.

Artículo 80

Entrada en vigor y aplicabilidad

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.

Hecho en Bruselas, el

FICHA DE FINANCIACIÓN LEGISLATIVA

1.    MARCO DE LA INICIATIVA LEGISLATIVA

1.1.    Denominación de la iniciativa legislativa

1.2.    Política(s) afectada(s)

1.3.    La propuesta se refiere a

◻ una acción nueva

◻ una acción nueva a raíz de un proyecto piloto / una acción preparatoria 43  

⌧ la prolongación de una acción existente 

◻ una fusión o reorientación de una o más acciones hacia otra / una nueva acción 

1.4.    Objetivo(s)

1.4.1.    Objetivo(s) general(es)

1.4.2.    Objetivo(s) específico(s)

1.4.3.    Resultado(s) e incidencia esperados

Especifíquense los efectos que la iniciativa legislativa debería tener sobre los beneficiarios / la población destinataria.

1.4.4.    Indicadores de rendimiento

Precisar los indicadores para hacer un seguimiento de los avances y logros.

1.5.    Justificación de la iniciativa legislativa

1.5.1.    Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la aplicación de la iniciativa legislativa

1.5.2.    Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.

1.5.3.    Principales conclusiones extraídas de experiencias similares anteriores

1.5.4.    Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

1.5.5.    Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación

Los créditos necesarios para financiar el desarrollo del marco de Prüm II no se han planificado en el marco de las asignaciones del MFP para Europol y eu-LISA, ya que se trata de una nueva propuesta cuyos importes no se conocían en el momento de la propuesta. Se propone aumentar las asignaciones para Europol y eu-LISA en los años 2024, 2025, 2026 y 2027 mediante las reducciones correspondientes del Fondo de Seguridad Interior (FSI) y del Instrumento de Gestión de Fronteras y Política de Visados (BMVI), respectivamente. 

1.6.    Duración e incidencia financiera de la iniciativa legislativa

◻ duración limitada

◻    Propuesta/Iniciativa en vigor desde [el] [DD.MM.]AAAA hasta [el] [DD.MM.]AAAA

◻    Incidencia financiera desde AAAA hasta AAAA

⌧ duración ilimitada

Ejecución: fase de puesta en marcha desde 2024 hasta 2026

y pleno funcionamiento a partir de la última fecha.

1.7.    Modo(s) de gestión previsto(s) 45  

⌧ Gestión directa por la Comisión

–X por sus servicios, incluido su personal en las Delegaciones de la Unión;

–◻ por las agencias ejecutivas

⌧ Gestión compartida con los Estados miembros

⌧ Gestión indirecta mediante delegación de tareas de ejecución presupuestaria en:

◻ organizaciones internacionales y sus agencias (especificar);

◻ el BEI y el Fondo Europeo de Inversiones;

⌧ organismos contemplados en los artículos 70 y 71;

◻ organismos de Derecho público;

◻ organismos de Derecho privado investidos de una misión de servicio público, en la medida en que presenten garantías financieras suficientes;

◻ organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que presenten garantías financieras suficientes;

◻ personas a quienes se haya encomendado la ejecución de acciones específicas en el marco de la PESC, de conformidad con el título V del TUE, y que estén identificadas en el acto de base correspondiente.

Observaciones

2.    MEDIDAS DE GESTIÓN

2.1.    Normas en materia de seguimiento e informes

Especifíquense la frecuencia y las condiciones.

2.2.    Sistema(s) de gestión y de control

2.2.1.    Información relativa a los riesgos detectados y al sistema o sistemas de control interno establecidos para atenuarlos

2.2.2.    Estimación y justificación de la relación coste/beneficio de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados»), y evaluación del nivel esperado de riesgo de error (al pago y al cierre)

2.3.    Medidas de prevención del fraude y de las irregularidades

Especificar las medidas de prevención y protección existentes o previstas, por ejemplo, en la estrategia de lucha contra el fraude.

3.    INCIDENCIA FINANCIERA ESTIMADA DE LA INICIATIVA LEGISLATIVA

3.1.    Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)

Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

3.2.    Incidencia estimada en los gastos

3.2.1.    Resumen de la incidencia estimada en los gastos

En millones EUR (al tercer decimal)

 
Observación: Los créditos adicionales solicitados en el contexto de la presente propuesta para Europol se financiarán con cargo al Fondo de Seguridad Interior (FSI) en la rúbrica 5.

En millones EUR (al tercer decimal)

Observación: Los créditos adicionales solicitados en el contexto de la presente propuesta para eu-LISA se cubrirán con cargo al Instrumento de Gestión de Fronteras y Política de Visados (BMVI) en la rúbrica 4.

Observación: Los créditos solicitados en el contexto de la presente propuesta se financiarán con créditos ya previstos en la ficha de financiación legislativa subyacente al Reglamento FSI. No son necesarios recursos financieros o humanos adicionales en el contexto de la presente propuesta legislativa.

Los costes por Estado miembro incluyen los destinados a:

·modernizar su infraestructura para apoyar el intercambio de servicios web y establecer la conexión con el encaminador central, lo que implica esfuerzos de análisis y de definición del nuevo paisaje arquitectónico;

·modernizar su infraestructura para apoyar el intercambio de servicios web y establecer la conexión con el encaminador central;

·configurar un sistema de intercambio de servicios web y la configuración de la conexión con el encaminador central;

·diseñar una nueva arquitectura nacional y las especificaciones necesarias para garantizar el acceso a los datos nacionales a través de las soluciones desarrolladas (el encaminador y el EPRIS);

·crear un nuevo índice o habilitar un índice ya existente para el intercambio de ficheros policiales;

·crear una nueva base de datos de imágenes faciales o habilitar una base de datos ya existente para el intercambio de imágenes faciales;

·integrar la solución nacional;

·vincular los costes genéricos a la gestión de proyectos.

En el cuadro siguiente se indican los costes por categoría:

*Número estimado de Estados miembros sin una base de datos de imágenes faciales

En millones EUR (al tercer decimal)

En millones EUR (al tercer decimal)

3.2.2.    Incidencia estimada en los créditos de Europol

◻    La propuesta/iniciativa no exige la utilización de créditos de operaciones.

⌧    La propuesta/iniciativa exige la utilización de créditos de operaciones, tal como se explica a continuación:

Créditos de compromiso en millones EUR (al tercer decimal)

3.2.3.    Incidencia estimada en los créditos de eu-LISA

◻    La propuesta/iniciativa no exige la utilización de créditos de operaciones.

⌧    La propuesta/iniciativa exige la utilización de créditos de operaciones, tal como se explica a continuación:

Créditos de compromiso en millones EUR (al tercer decimal)

3.2.4.    Incidencia estimada en los recursos humanos de Europol

3.2.4.1.    Resumen

◻    La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo

⌧    La propuesta/iniciativa exige la utilización de créditos de carácter administrativo, tal como se explica a continuación:

En millones EUR (al tercer decimal)

Necesidades de personal (ETC):

Los recursos humanos necesarios para alcanzar los objetivos de la presente propuesta se han calculado en cooperación con Europol. Las estimaciones tienen en cuenta el aumento previsto de la carga de trabajo, ya que las partes interesadas hacen un mayor uso de los servicios de Europol a lo largo del tiempo, así como el tiempo necesario para que Europol absorba recursos con el fin de evitar una situación en la que la agencia no pueda realizar plenamente su contribución a la UE y comprometer los créditos a su debido tiempo.

Los recursos humanos necesarios para alcanzar los objetivos de la presente propuesta estarán cubiertos en parte por el personal existente de Europol (base de referencia) y en parte por recursos adicionales (personal adicional en comparación con el escenario de referencia).

En la ficha de financiación legislativa no se prevé ningún aumento de agentes contractuales.

A efectos de la aplicación de Prüm II, los recursos necesarios para Europol pueden dividirse en tres categorías:

1) los costes informáticos para conectarse al encaminador biométrico de eu-LISA, trabajos de desarrollo necesarios en los sistemas de información de Europol para exponer los datos procedentes de terceros para consultas de los Estados miembros e integrar las búsquedas en Prüm con datos de terceros en la interfaz de búsqueda única de Europol USE-UI,

2) los costes del personal de la Dirección de Operaciones de Europol, a fin de realizar las búsquedas con datos procedentes de terceros y expertos en biometría para llevar a cabo la verificación de las respuestas positivas,

3) el alojamiento de un encaminador central para los ficheros policiales. Estos costes incluirán costes de hardware únicos (incluidos diferentes entornos de producción y prueba para los Estados miembros), personal informático para garantizar el desarrollo y la gestión del cambio del software ADEP.EPRIS, pruebas con los Estados miembros y servicio de asistencia 24/7 para apoyar a los Estados miembros en caso de problemas. Para garantizar el pleno apoyo a los Estados miembros, se requiere la disponibilidad de diferentes perfiles de personal informático, por ejemplo, encargados de la coordinación general, ingenieros de requisitos, desarrolladores, probadores y administradores de sistemas. Se prevé que durante el primer año después de la entrada en funcionamiento se necesitará aún una cantidad ligeramente superior de personal informático.

Debido a las limitaciones de seguridad y al límite máximo acordado de agentes contractuales, la mayoría de las tareas relacionadas con Prüm deben ser desempeñadas por el personal de Europol. Se prevé que determinadas actividades menos sensibles se externalicen a contratistas (las pruebas y algunas tareas de desarrollo).                    

3.2.5.    Incidencia estimada en los recursos humanos de eu-LISA

3.2.5.1.    Resumen

◻    La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo

⌧    La propuesta/iniciativa exige la utilización de créditos de carácter administrativo, tal como se explica a continuación:

En millones EUR (al tercer decimal)

Necesidades de personal (ETC):

Los recursos humanos necesarios para alcanzar los objetivos del nuevo mandato se han calculado en cooperación con eu-LISA. Las estimaciones tienen en cuenta el previsible aumento de la carga de trabajo cuando, con el paso del tiempo, los interesados hagan un mayor uso de los servicios de eu-LISA, así como el tiempo necesario para que Europol absorba recursos con el fin de evitar una situación en la que la agencia no pueda íntegramente la contribución de la UE y comprometer los créditos a su debido tiempo.

Estas estimaciones se basan en los niveles de dotación de personal siguientes:

3.2.5.2.    Necesidades estimadas de recursos humanos para la DG asociada

◻    La propuesta/iniciativa no exige la utilización de recursos humanos.

⌧    La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación:

Estimación que debe expresarse en valores enteros (o, a lo sumo, con un decimal)