ISSN 1977-0685 |
||
Diario Oficial de la Unión Europea |
L 135 |
|
![]() |
||
Edición en lengua española |
Legislación |
62.° año |
Sumario |
|
I Actos legislativos |
Página |
|
|
REGLAMENTOS |
|
|
* |
||
|
* |
||
|
* |
ES |
Los actos cuyos títulos van impresos en caracteres finos son actos de gestión corriente, adoptados en el marco de la política agraria, y que tienen generalmente un período de validez limitado. Los actos cuyos títulos van impresos en caracteres gruesos y precedidos de un asterisco son todos los demás actos. |
I Actos legislativos
REGLAMENTOS
22.5.2019 |
ES |
Diario Oficial de la Unión Europea |
L 135/1 |
REGLAMENTO (UE) 2019/816 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 17 de abril de 2019
por el que se establece un sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas (ECRIS-TCN) a fin de complementar el Sistema Europeo de Información de Antecedentes Penales, y por el que se modifica el Reglamento (UE) 2018/1726
EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 82, apartado 1, párrafo segundo, letra d),
Vista la propuesta de la Comisión Europea,
Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,
De conformidad con el procedimiento legislativo ordinario (1),
Considerando lo siguiente:
(1) |
La Unión se ha fijado el objetivo de ofrecer a sus ciudadanos un espacio de libertad, seguridad y justicia sin fronteras interiores en el que esté garantizada la libre circulación de personas. Ese objetivo debe alcanzarse mediante, entre otras vías, medidas adecuadas para prevenir y combatir la delincuencia, con inclusión de la delincuencia organizada y el terrorismo. |
(2) |
Dicho objetivo exige que la información sobre condenas pronunciadas en los Estados miembros se tenga en cuenta fuera del Estado miembro de condena tanto en el curso de un nuevo proceso penal, según lo previsto en la Decisión Marco 2008/675/JAI del Consejo (2), así como para prevenir nuevas infracciones. |
(3) |
Dicho objetivo presupone el intercambio entre las autoridades competentes de los Estados miembros de información extraída de los registros de antecedentes penales. Dicho intercambio de información está organizado y facilitado por las normas recogidas en la Decisión Marco 2009/315/JAI del Consejo (3) y por el Sistema Europeo de Información de Antecedentes Penales (ECRIS), establecido por la Decisión 2009/316/JAI del Consejo (4). |
(4) |
El marco legal vigente del ECRIS, sin embargo, no aborda suficientemente las particularidades de las solicitudes relacionadas con nacionales de terceros países. Aunque ya es posible intercambiar información sobre nacionales de terceros países a través del ECRIS, no existe ningún procedimiento o mecanismo común de la Unión para hacerlo con eficacia, rapidez y precisión. |
(5) |
Dentro de la Unión, la información sobre nacionales de terceros países no se recoge como se hace con la de los nacionales de los Estados miembros, sino que únicamente se conserva en los Estados miembros en los que se han impuesto condenas. Por lo tanto, solo se puede tener una visión completa del historial de antecedentes penales de un nacional de un tercer país si se solicita dicha información a todos los Estados miembros. |
(6) |
Estas solicitudes generales imponen una carga administrativa desproporcionada a todos los Estados miembros, incluidos aquellos que no poseen información sobre ese nacional concreto de un tercer país. En la práctica, dicha carga disuade a los Estados miembros de solicitar a otros Estados miembros información sobre nacionales de terceros países, lo que obstaculiza gravemente el intercambio de información entre ellos y limita su acceso a la información sobre antecedentes penales a la información que se conserva en su propio registro nacional. Como consecuencia de ello, aumenta el riesgo de que el intercambio de información entre Estados miembros sea ineficaz y fragmentario, lo que a su vez repercute en el nivel de seguridad y protección que se ofrece a los ciudadanos de la Unión y a las personas que residen en ella. |
(7) |
A fin de mejorar la situación, debe establecerse un sistema que permita a las autoridades centrales de un Estado miembro averiguar de forma inmediata y eficaz que Estados miembros disponen de información sobre antecedentes penales de un nacional de un tercer país (en lo sucesivo, «ECRIS-TCN»). El marco actual del ECRIS podría, pues, utilizarse para solicitar información sobre antecedentes penales a esos Estados miembros de conformidad con la Decisión Marco 2009/315/JAI. |
(8) |
Por consiguiente, el presente Reglamento debe establecer normas para crear un sistema centralizado a escala de la Unión que contenga los datos personales y las normas sobre el reparto de responsabilidades entre el Estado miembro y la organización responsable del desarrollo y mantenimiento del sistema centralizado, así como cualesquiera otras disposiciones específicas sobre protección de datos que sean necesarias para completar las medidas existentes en esa materia y garantizar un nivel general adecuado de protección y de seguridad de los datos, y la protección de los derechos fundamentales de las personas interesadas. |
(9) |
El objetivo de ofrecer a sus ciudadanos un espacio de libertad, seguridad y justicia sin fronteras interiores, dentro del cual esté garantizada la libre circulación de personas, exige igualmente que la información sobre las condenas sea completa, incluso en lo que se refiere a los ciudadanos de la Unión que tengan también la nacionalidad de un tercer país. Dada la posibilidad de que estas personas puedan ostentar una o varias nacionalidades y de que pueda haber varias condenas inscritas en los registros de los Estado miembro en los que se hayan dictado las condenas o en el Estado miembro de nacionalidad, es necesario incluir en el ámbito de aplicación del presente Reglamento a los ciudadanos de la Unión que tengan también la nacionalidad de un tercer país. La exclusión de dichas personas haría que la información que se conserva en el ECRIS-TCN estuviera incompleta. Ello pondría en peligro la fiabilidad del sistema. No obstante, puesto que dichas personas ostentan la ciudadanía de la Unión, las condiciones en las que se pueden incluir en el ECRIS-TCN los datos dactiloscópicos de dichas personas deben ser equiparables a aquellas en las que se intercambian entre Estados miembros los datos dactiloscópicos de los ciudadanos de la Unión a través del ECRIS, establecido mediante la Decisión Marco 2009/315/JAI y la Decisión 2009/316/JAI. Por lo tanto, solo se incluirían en el ECRIS-TCN las impresiones dactilares de aquellos ciudadanos de la Unión que también posean la nacionalidad de un tercer país cuando estas se hayan recogido conforme al Derecho nacional durante el proceso penal, entendiéndose que para tal inclusión los Estados miembros deben estar facultados para utilizar los datos dactiloscópicos recogidos a efectos distintos de los del proceso penal, cuando dicha utilización esté permitida por el Derecho nacional. |
(10) |
El ECRIS-TCN debe permitir el tratamiento de datos dactiloscópicos con el fin de identificar los Estados miembros poseedores de información sobre los antecedentes penales de un nacional de un tercer país. También debe permitir el tratamiento de imágenes faciales para confirmar su identidad. Es esencial que la introducción y utilización de los datos dactiloscópicos e imágenes faciales no excedan de lo estrictamente necesario para alcanzar el fin perseguido, respeten los derechos fundamentales, al igual que el interés superior de los menores, y sean conformes con las normas de la Unión aplicables en materia de protección de datos. |
(11) |
La Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), creada mediante el Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo (5), debe encargarse de la tarea de desarrollar y poner en funcionamiento el ECRIS-TCN, dada su experiencia en la gestión de otros sistemas de gran magnitud en el ámbito de la justicia y los asuntos de interior. Su mandato debe modificarse para reflejar esas nuevas tareas. |
(12) |
La agencia eu-LISA debe contar con la financiación y el personal apropiados para hacer frente a sus responsabilidades en virtud del presente Reglamento. |
(13) |
Habida cuenta de la necesidad de crear vínculos técnicos estrechos entre el ECRIS-TCN y el ECRIS, también debe confiarse a eu-LISA la tarea de continuar el desarrollo de la aplicación de referencia ECRIS y su mantenimiento, y su mandato debe modificarse en consecuencia. |
(14) |
Cuatro Estados miembros han elaborado sus propias aplicaciones nacionales ECRIS de conformidad con lo dispuesto en la Decisión 2009/316/JAI, y las han estado utilizando en lugar de la aplicación de referencia ECRIS para intercambiar información sobre antecedentes penales. Habida cuenta de las características particulares que dichos Estados miembros han introducido en sus sistemas de uso nacional y de las inversiones que han realizado, debe permitírseles utilizar sus propias aplicaciones nacionales ECRIS también a los efectos del ECRIS-TCN, siempre que respeten las condiciones previstas en el presente Reglamento. |
(15) |
El ECRIS-TCN debe contener únicamente la información de identidad de los nacionales de terceros países condenados por un tribunal penal dentro de la Unión. Dichos datos de identidad deben incluir datos alfanuméricos y datos dactiloscópicos. También debe ser posible incluir imágenes faciales, siempre que el Derecho del Estado miembro en el que se dicte la condena permita la recogida y la conservación de las imágenes faciales de una persona condenada. |
(16) |
Entre los datos alfanuméricos que los Estados miembros deben introducir en el sistema central, se deben incluir los apellidos y el nombre de la persona condenada, así como su seudónimo o alias, cuando la autoridad central disponga de tal información. Si el Estado miembro de que se trate tiene conocimiento de datos personales que difieren, como una ortografía distinta para un nombre en otro alfabeto, debe ser posible introducir tales datos en el sistema central como información adicional. |
(17) |
Los datos alfanuméricos también deben incluir, como información adicional, el número de identidad, o el tipo y el número del documento o documentos de identidad de la persona, así como el nombre de la autoridad que los expide, cuando la autoridad central disponga de tal información. El Estado miembro debe procurar comprobar la autenticidad de los documentos de identidad antes de introducir la información correspondiente en el sistema central. En cualquier caso, puesto que la información puede ser poco fiable, se debe usar con precaución. |
(18) |
Las autoridades centrales de los Estados miembros deben utilizar el ECRIS-TCN para identificar a los Estados miembros que posean información sobre antecedentes penales con respecto a un nacional de un tercer país cuando dicha información sobre antecedente penales se solicite en el Estado miembro de que se trate a efectos de un proceso penal contra dicha persona, o para los fines a que se refiere el presente Reglamento. Si bien el ECRIS-TCN debe utilizarse en principio en todos esos casos, la autoridad responsable de dirigir los procesos penales debe poder decidir que no se utilice cuando no sea conveniente dadas las circunstancias del asunto, por ejemplo en ciertos tipos de procesos penales por la vía de urgencia, en casos de tránsito, cuando la información sobre antecedentes penales se haya obtenido recientemente a través del ECRIS-TCN, o respecto de infracciones leves, en particular, infracciones de tráfico leves, infracciones leves de ordenanzas municipales o infracciones leves del orden público. |
(19) |
Los Estados miembros también deben poder utilizar el ECRIS-TCN para fines distintos de los establecidos en el presente Reglamento, si así lo dispone el Derecho nacional y de conformidad con el mismo. No obstante, para aumentar la transparencia del uso del ECRIS-TCN, los Estados miembros deben notificar estos otros fines a la Comisión, que debe garantizar la publicación de las notificaciones en el Diario Oficial de la Unión Europea. |
(20) |
También otras autoridades que soliciten información sobre antecedentes penales deben poder decidir que no se utilice el ECRIS-TCN cuando no sea conveniente dadas las circunstancias del asunto, por ejemplo cuando sea necesario realizar determinadas comprobaciones administrativas ordinarias relativas a las cualificaciones profesionales de una persona, especialmente si se sabe que no se pedirá a otros Estados miembros información sobre antecedentes penales, con independencia del resultado de la consulta al ECRIS-TCN. No obstante, debe utilizarse el ECRIS-TCN siempre que la solicitud de antecedentes penales haya sido presentada por una persona que pide información sobre sus propios antecedentes penales, de conformidad con la Decisión Marco 2009/315/JAI, o cuando se haga con el fin de obtener información sobre antecedentes penales de conformidad con la Directiva 2011/93/UE del Parlamento Europeo y del Consejo (6). |
(21) |
Los nacionales de terceros países deben tener derecho a obtener información por escrito sobre su propio registro de antecedentes penales de conformidad con el Derecho del Estado miembro en el que soliciten que se les facilite dicha información y de conformidad con la Decisión Marco 2009/315/JAI. Antes de facilitar dicha información a un nacional de un tercer país, el Estado miembro de que se trate debe consultar el ECRIS-TCN. |
(22) |
Los ciudadanos de la Unión que posean también la nacionalidad de un tercer país solo se incluirán en el ECRIS-TCN si las autoridades competentes tienen conocimiento de que dichas personas tienen la nacionalidad de un tercer país. Cuando las autoridades competentes no tengan conocimiento de que determinados ciudadanos de la Unión poseen también la nacionalidad de un tercer país, puede ocurrir sin embargo que dichas personas tengan condenas previas como nacionales de un tercer país. A fin de garantizar que las autoridades competentes dispongan de una visión completa del registro de antecedentes penales, debe ser posible consultar el ECRIS-TCN para comprobar si, respecto de un ciudadano de la Unión, algún Estado miembro posee información de antecedentes penales relativa a dicha persona como nacional de un tercer país. |
(23) |
En el caso de que exista una coincidencia entre los datos registrados en el sistema central y los utilizados por un Estado miembro para la búsqueda (respuesta positiva), los datos de identidad con respecto a los que se produjo una «respuesta positiva» deben facilitarse junto con esta. El resultado de una búsqueda únicamente debe utilizarse por las autoridades centrales para formular una solicitud a través del ECRIS o, por la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) creada por el Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo (7), la Agencia de la Unión Europea para la Cooperación Policial (Europol), creada por el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (8), y la Fiscalía Europea, creada por el Reglamento (UE) 2017/1939 del Consejo (9), a efectos de presentar una solicitud de información sobre condenas en virtud del presente Reglamento. |
(24) |
Inicialmente, las imágenes faciales incluidas en el ECRIS-TCN solo deben utilizarse para confirmar la identidad de un nacional de un tercer país a fin de identificar a los Estados miembros que poseen información sobre condenas anteriores de dicho nacional de un tercer país. En el futuro, debe ser posible utilizar las imágenes faciales para el sistema automatizado de correspondencias biométricas, siempre que se hayan alcanzado las condiciones técnicas y políticas para ello. La Comisión, teniendo en cuenta la necesidad y la proporcionalidad, así como los avances técnicos en el ámbito de los programas informáticos de reconocimiento facial, debe evaluar la disponibilidad y la preparación de la tecnología requerida antes de adoptar el acto delegado relativo a la utilización de imágenes faciales para identificar a los nacionales de terceros países, a fin de identificar a los Estados miembros que poseen información sobre condenas anteriores relativas a dichas personas. |
(25) |
La utilización de datos biométricos es necesaria, ya que es el método más fiable tanto para la identificación de nacionales de terceros países en el territorio de los Estados miembros, que con frecuencia no están en posesión de documentos o cualquier otro medio de identificación, como para una correspondencia más fiable de los datos de los nacionales de terceros países. |
(26) |
Los Estados miembros deben introducir en el sistema central los datos dactiloscópicos de condenados de terceros países que se hayan recogido de conformidad con la legislación nacional correspondiente durante los procesos penales. Para poder tener datos de identidad lo más completos posible en el sistema central, los Estados miembros deben también poder introducir en el sistema central datos dactiloscópicos que se hayan recogido a efectos distintos de los procesos penales, cuando se disponga de dichos datos dactiloscópicos para su utilización en procesos penales de conformidad con el Derecho nacional. |
(27) |
El presente Reglamento debe establecer criterios mínimos respecto a los datos dactiloscópicos que los Estados miembros deben incluir en el sistema central. Los Estados miembros deben tener la opción de introducir o bien los datos dactiloscópicos de nacionales de terceros países que hayan sido condenados a una pena privativa de libertad de al menos seis meses, o bien los datos dactiloscópicos de nacionales de terceros países que hayan sido condenados por una infracción penal castigada, en virtud del Derecho del Estado miembro de que se trate, con una pena privativa de libertad de una duración máxima de al menos doce meses. |
(28) |
Los Estados miembros deben crear en el ECRIS-TCN registros relativos a los nacionales de terceros países condenados. Esto debe hacerse, siempre que sea posible, de forma automática, y sin demoras indebidas desde que la condena haya sido inscrita en el registro nacional de antecedentes penales. Los Estados miembros, de conformidad con lo dispuesto en el presente Reglamento, deben consignar en el sistema central los datos alfanuméricos y dactiloscópicos relativos a condenas pronunciadas después de la fecha en que se comiencen a introducir datos en el ECRIS-TCN. A partir de esa misma fecha, o en cualquier momento posterior, los Estados miembros deben poder introducir imágenes faciales en el sistema central. |
(29) |
De conformidad con lo dispuesto en el presente Reglamento, los Estados miembros también deben crear en el ECRIS-TCN registros relativos a los nacionales de terceros países condenados con anterioridad a la fecha de comienzo de la introducción de los datos, a fin de garantizar la máxima eficacia del sistema. Sin embargo, los Estados miembros no deben estar obligados a recopilar para ello información que no obre ya en sus registros de antecedentes penales a la fecha de comienzo de la introducción de los datos. Los datos dactiloscópicos de nacionales de terceros países recogidos en relación con dichas condenas anteriores deben incluirse solo cuando hayan sido recogidas en el transcurso de procesos penales y cuando el Estado miembro de que se trate considere que existe una correspondencia clara con otros datos de identidad consignados en los registros de antecedentes penales. |
(30) |
La mejora del intercambio de información sobre las condenas penales debe ayudar a los Estados miembros en su aplicación de la Decisión Marco 2008/675/JAI, que les obliga a tener en cuenta condenas anteriores en otros Estados miembros con motivo de nuevos procesos penales, en la medida en que se tengan en cuenta condenas nacionales anteriores de conformidad con el Derecho nacional. |
(31) |
Una respuesta positiva indicada por el ECRIS-TCN no debe implicar automáticamente que el nacional de un tercer país de que se trate haya sido condenado en los Estados miembros indicados. La existencia de condenas anteriores solo debe confirmarse a partir de la información recibida de los registros de antecedentes penales de los Estados miembros de que se trate. |
(32) |
Con independencia de la posibilidad de usar los programas financieros de la Unión con arreglo a las normas aplicables, cada Estado miembro correrá con sus propios costes derivados de la aplicación, la administración, el uso y el mantenimiento de sus bases de datos nacionales de antecedentes penales y de datos dactiloscópicos, y asimismo de la aplicación, la administración, el uso y el mantenimiento de las adaptaciones técnicas necesarias para usar el ECRIS-TCN, incluidas las conexiones de dichas bases de datos con el punto central de acceso nacional. |
(33) |
Eurojust, Europol y la Fiscalía Europea, deben tener acceso al ECRIS-TCN para identificar a los Estados miembros que posean información sobre antecedentes penales de un nacional de un tercer país, con el fin de poder desempeñar las funciones que le han sido encomendadas. Eurojust también debe tener acceso directo al ECRIS-TCN al efecto de llevar a cabo sus funciones, en virtud de lo dispuesto en el presente Reglamento, de actuar como punto de contacto para terceros países y organizaciones internacionales, sin perjuicio de la aplicación de los principios de la cooperación judicial en materia penal, incluidas las normas en materia de asistencia judicial. Si bien debe tenerse en cuenta la posición de los Estados miembros que no forman parte de la cooperación reforzada por la que se establece la Fiscalía Europea, no debe denegarse a esta el acceso a la información sobre condenas solo porque el Estado miembro de que se trate no forme parte de dicha cooperación reforzada. |
(34) |
El presente Reglamento establece estrictas normas de acceso al ECRIS-TCN y las salvaguardias necesarias, incluida la responsabilidad de los Estados miembros a la hora de recopilar y utilizar los datos. Asimismo, establece la forma en que las personas pueden ejercer sus derechos de compensación, acceso, rectificación, supresión y recurso, en particular el derecho a la tutela efectiva y el control de las operaciones de tratamiento llevadas a cabo por autoridades públicas independientes. El presente Reglamento respeta los derechos y libertades fundamentales consagrados, en particular, en la Carta de los Derechos Fundamentales de la Unión Europea, incluido el derecho a la protección de los datos de carácter personal, el principio de igualdad ante la ley y la prohibición general de discriminación. En este contexto, también tiene en cuenta el Convenio Europeo para la Protección de los Derechos Humanos y las Libertades Fundamentales, el Pacto Internacional de Derechos Civiles y Políticos y otras obligaciones de Derecho internacional en materia de derechos humanos. |
(35) |
La Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (10) ha de aplicarse al tratamiento de los datos personales por parte de las autoridades nacionales competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (11) ha de aplicarse al tratamiento de datos personales por parte de las autoridades nacionales, siempre que dicho tratamiento no entre en el ámbito de aplicación de la Directiva (UE) 2016/680. Es preciso garantizar una supervisión coordinada de acuerdo con lo dispuesto en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (12), que también debe aplicarse al tratamiento de datos personales por eu-LISA. |
(36) |
Respecto a condenas anteriores, las autoridades centrales deben introducir los datos alfanuméricos antes del final del período de introducción de datos de conformidad con lo dispuesto en el presente Reglamento, y los datos dactiloscópicos en el plazo de dos años después de la fecha del comienzo de las actividades del ECRIS-TCN. Los Estados miembros deben poder introducir todos los datos al mismo tiempo, siempre que se respeten dichos plazos. |
(37) |
Deben establecerse normas sobre la responsabilidad de los Estados miembros, Eurojust, Europol, la Fiscalía Europea y eu-LISA por los daños que se causen en caso de infracción del presente Reglamento. |
(38) |
A fin de mejorar la identificación de los Estados miembros que posean información sobre condenas anteriores de nacionales de terceros países, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea (TFUE) por lo que respecta a la complementación del presente Reglamento, previendo el uso de imágenes faciales para identificar a los nacionales de terceros países con el fin de identificar a los Estados miembros que posean información sobre condenas anteriores. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (13). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados. |
(39) |
Con el fin de garantizar condiciones uniformes para la creación y la gestión operativa del ECRIS-TCN, deben conferirse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con lo dispuesto en el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (14). |
(40) |
Los Estados miembros deben adoptar las medidas necesarias para cumplir el presente Reglamento lo antes posible, a fin de velar por el correcto funcionamiento del ECRIS-TCN, teniendo en cuenta el tiempo que necesita eu-LISA para desarrollar e implantar el ECRIS-TCN. No obstante, los Estados miembros deben disponer de un mínimo de 36 meses tras la entrada en vigor del presente Reglamento para tomar las medidas para cumplir el presente Reglamento. |
(41) |
Dado que el objetivo del presente Reglamento, a saber, posibilitar el intercambio rápido y eficiente de información exacta sobre antecedentes penales de nacionales de terceros países, no puede ser alcanzado de manera suficiente por los Estados miembros sino que, mediante el establecimiento de normas comunes, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo. |
(42) |
De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por el mismo ni sujeta a su aplicación. |
(43) |
De conformidad con los artículos 1 y 2 y el artículo 4 bis, apartado 1, del Protocolo n.o 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al TUE y al TFUE, y sin perjuicio del artículo 4 de dicho Protocolo, Irlanda no participa en la adopción del presente Reglamento y no queda vinculada por el mismo ni sujeta a su aplicación. |
(44) |
De conformidad con el artículo 3 y el artículo 4 bis, apartado 1, del Protocolo n.o 21, el Reino Unido ha notificado su deseo de participar en la adopción y aplicación del presente Reglamento. |
(45) |
El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (15), emitió un dictamen el 12 de diciembre de 2017 (16). |
HAN ADOPTADO EL PRESENTE REGLAMENTO:
CAPÍTULO I
Disposiciones generales
Artículo 1
Objeto
El presente Reglamento establece:
a) |
un sistema para identificar a los Estados miembros que poseen información sobre condenas anteriores de nacionales de terceros países (en lo sucesivo, «ECRIS-TCN»); |
b) |
las condiciones con arreglo a las cuales el ECRIS-TCN debe ser utilizado por las autoridades centrales para obtener información sobre dichas condenas anteriores a través del Sistema Europeo de Información de Antecedentes Penales (ECRIS), creado por la Decisión 2009/316/JAI, así como las condiciones con arreglo a las cuales Eurojust, Europol y la Fiscalía Europea utilizarán el ECRIS-TCN. |
Artículo 2
Ámbito de aplicación
El presente Reglamento se aplica al tratamiento de los datos de identidad de los nacionales de terceros países que han sido objeto de una condena en los Estados miembros, con el fin de determinar los Estados miembros en que se dictaron tales condenas. A excepción de lo dispuesto en el artículo 5, apartado 1, letra b), inciso ii), las disposiciones del presente Reglamento que se apliquen a los nacionales de terceros países se aplicarán también a los ciudadanos de la Unión que posean también la nacionalidad de un tercer país y que hayan sido objeto de una condena en los Estados miembros.
Artículo 3
Definiciones
A los efectos del presente Reglamento, se entenderá por:
1) «condena»: toda resolución firme de un órgano jurisdiccional penal por la que se condene a una persona física por una infracción penal, en la medida en que dicha resolución se inscriba en el registro de antecedentes penales del Estado miembro de condena;
2) «proceso penal»: la fase anterior al juicio, la fase del juicio y la ejecución de la condena;
3) «registro de antecedentes penales»: el registro o registros nacionales en los que se inscriben las condenas, con arreglo al Derecho nacional;
4) «Estado miembro de condena»: el Estado miembro en el que se dicta una condena;
5) «autoridad central»: una autoridad designada de conformidad con el artículo 3, apartado 1, de la Decisión Marco 2009/315/JAI;
6) «autoridades competentes»: las autoridades centrales y Eurojust, Europol y la Fiscalía Europea, que son competentes para acceder o hacer consultas en el ECRIS-TCN de conformidad con lo dispuesto en el presente Reglamento;
7) «nacional de un tercer país»: una persona que no sea ciudadano de la Unión en el sentido del artículo 20, apartado 1, del TFUE, o una persona que sea apátrida o de nacionalidad desconocida;
8) «sistema central»: la base o bases de datos creadas y mantenidas por eu-LISA que contienen datos de identidad de nacionales de terceros países que hayan sido objeto de una condena en los Estados miembros;
9) «programa de interfaz»: el programa informático albergado por las autoridades competentes que les permite acceder al sistema central a través de la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d);
10) «datos de identidad»: los datos alfanuméricos, los datos dactiloscópicos y las imágenes faciales utilizadas para establecer una conexión entre tales datos y una persona física;
11) «datos alfanuméricos»: datos representados por letra s), dígitos, caracteres especiales, espacios y signos de puntuación;
12) «datos dactiloscópicos»: los datos relativos a las impresiones dactilares simples y roladas de cada uno de los dedos de una persona;
13) «imagen facial»: una imagen digital del rostro de una persona;
14) «respuesta positiva»: la coincidencia o coincidencias establecidas al compararse los datos de identidad registrados en el sistema central con los datos de identidad utilizados para una búsqueda;
15) «punto central de acceso nacional»: el punto nacional de conexión a la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d);
16) «aplicación de referencia ECRIS»: los programas elaborados por la Comisión y puestos a disposición de los Estados miembros para el intercambio de información sobre los registros de antecedentes penales a través del ECRIS.
17) «autoridad de control nacional»: una autoridad pública independiente establecida por un Estado miembro con arreglo a las normas de la Unión aplicables en materia de protección de datos;
18) «autoridades de control»: el Supervisor Europeo de Protección de Datos y las autoridades nacionales de control
Artículo 4
Arquitectura técnica del ECRIS-TCN
1. El ECRIS-TCN se compondrá de:
a) |
un sistema central que conserve los datos de identidad de los nacionales de terceros países que hayan sido condenados; |
b) |
un punto central de acceso nacional en cada Estado miembro; |
c) |
un programa de interfaz que permita la conexión de las autoridades competentes al sistema central a través del punto central de acceso nacional y de la infraestructura de comunicación a que se refiere la letra d); |
d) |
una infraestructura de comunicación entre el sistema central y el punto central de acceso nacional. |
2. El sistema central será alojado por eu-LISA en sus centros técnicos.
3. El programa de interfaz se integrará con la aplicación de referencia ECRIS. Los Estados miembros deberán utilizar la aplicación de referencia o, en la situación y condiciones fijadas en los apartados 4 a 8, las aplicaciones nacionales ECRIS, para consultar el ECRIS-TCN, y para enviar ulteriores peticiones de información sobre antecedentes penales.
4. Los Estados miembros que utilicen sus propias aplicaciones nacionales ECRIS se responsabilizarán de garantizar que dicha aplicación permita a las autoridades nacionales competentes en materia de antecedentes penales utilizar el ECRIS-TCN, a excepción del programa de interfaz, con arreglo a lo dispuesto en el presente Reglamento. A tal efecto, deberán garantizar, antes de la fecha de puesta en funcionamiento del ECRIS-TCN con arreglo a lo dispuesto en el artículo 35, apartado 4, que su aplicación nacional ECRIS funciona de acuerdo con los protocolos y especificaciones técnicas previstos en los actos de ejecución a los que se refiere el artículo 10 y con cualesquiera requisitos técnicos adicionales que establezca eu-LISA en virtud de lo dispuesto en el presente Reglamento. basados en aquellos actos de ejecución.
5. Mientras no utilicen la aplicación de referencia ECRIS, los Estados miembros que utilicen sus propias aplicaciones nacionales ECRIS garantizarán la introducción en sus aplicaciones nacionales ECRIS, sin demora injustificada, de cualesquiera adaptaciones técnicas posteriores que vengan impuestas por cualesquiera cambios de las especificaciones técnicas establecidas mediante los actos de ejecución a que se refiere el artículo 10, o por cualesquiera otros requisitos técnico que establezca eu-LISA en virtud de lo dispuesto en el presente Reglamento, basados en aquellos actos de ejecución.
6. Los Estados miembros que utilicen sus propias aplicaciones nacionales ECRIS deberán sufragar todos los costes relacionados con la aplicación, el mantenimiento y el desarrollo de las mismas y su interconexión con el ECRIS-TCN, a excepción del programa de interfaz.
7. Si un Estado miembro que utiliza su propia aplicación nacional ECRIS no puede cumplir sus obligaciones en virtud de lo dispuesto en el presente artículo, estará obligado a usar la aplicación de referencia ECRIS, incluido el programa de interfaz integrado, para utilizar el ECRIS-TCN.
8. Con vistas a la evaluación que deberá llevar a cabo la Comisión en virtud del artículo 36, apartado 10, letra b), los Estados miembros en cuestión deberán proporcionar a la Comisión toda la información necesaria.
CAPÍTULO II
Introducción y utilización de los datos por las autoridades centrales
Artículo 5
Introducción de datos en el ECRIS-TCN
1. Para cada nacional de un tercer país condenado, la autoridad central del Estado miembro de condena deberá crear un registro de datos en el sistema central. El registro de datos deberá incluir:
a) |
en lo que se refiere a los datos alfanuméricos:
|
b) |
en lo que se refiere a los datos dactiloscópicos:
|
2. Los datos dactiloscópicos a que hace referencia el apartado 1, letra b), del presente artículo tendrán las especificaciones técnicas de calidad, resolución y tratamiento de los datos dactiloscópicos que se establezcan en el acto de ejecución a que se refiere el artículo 10, apartado 1, letra b). El número de referencia de los datos dactiloscópicos de la persona condenada deberá incluir el código del Estado miembro de condena.
3. El registro de datos también puede contener imágenes faciales de los nacionales de terceros países condenados cuando el Derecho del Estado miembro de condena permita la recogida y la conservación de las imágenes faciales de la persona condenada.
4. El Estado miembro de condena deberá crear el registro de datos de forma automática, siempre que sea posible, y sin demora injustificada después de que la condena se introduzca en el registro nacional de antecedentes penales.
5. Los Estados miembros de condena también crearán registros de datos para las condenas dictadas antes del … [la fecha de introducción de datos en virtud de lo dispuesto en el artículo 35, apartado 1], en la medida en que se conserven datos relativos a personas condenadas en sus bases de datos nacionales. En dichos casos, los datos dactiloscópicos deberán incluirse únicamente cuando hayan sido recogidos en el transcurso de procesos penales seguidos de conformidad con el Derecho nacional, y cuando exista una correspondencia clara con otros datos de identidad consignados en los registros de antecedentes penales.
6. Para cumplir la obligación estipulada en el apartado 1, letra b), incisos i) y ii), y en el apartado 5, los Estados miembros podrán utilizar datos dactiloscópicos recogidos a efectos distintos de los procesos penales, cuando el Derecho nacional así lo permita.
Artículo 6
Imágenes faciales
1. Hasta la entrada en vigor del acto delegado previsto en el apartado 2, las imágenes faciales solo podrán utilizarse para confirmar la identidad de un nacional de un tercer país que haya sido identificado como consecuencia de una consulta alfanumérica o de una búsqueda con datos dactiloscópicos.
2. La Comisión está facultada para adoptar actos delegados de conformidad con lo dispuesto en el artículo 37, que complementen el presente Reglamento, relativos al uso de imágenes faciales para identificar a los nacionales de terceros países, con el fin de identificar a los Estados miembros que posean información sobre condenas anteriores relativas a dichas personas, cuando sea técnicamente posible. Antes de ejercer dicha facultad, la Comisión, teniendo en cuenta la necesidad y proporcionalidad así como la evolución técnica en materia de instrumentos informáticos de reconocimiento facial, evaluará la disponibilidad y grado de preparación de la tecnología requerida.
Artículo 7
Uso del ECRIS-TCN para identificar al Estado miembro o Estados miembros que poseen información sobre antecedentes penales
1. Las autoridades centrales utilizarán el ECRIS-TCN para identificar al Estado o Estados miembros que posean información sobre antecedentes penales sobre un nacional de un tercer país, con el fin de obtener información sobre condenas anteriores a través de ECRIS, cuando se solicite información sobre antecedentes penales de esa persona en el Estado miembro de que se trate a efectos de un proceso penal contra la misma, o para cualquiera de los siguientes fines, si así lo dispone el Derecho nacional y de conformidad con este:
— |
comprobación de los antecedentes penales de una persona, a petición de esta, |
— |
habilitación de seguridad, |
— |
obtención de una licencia o permiso, |
— |
investigaciones a efectos laborales, |
— |
investigaciones para actividades de voluntariado que impliquen contactos directos y regulares con niños o personas vulnerables, |
— |
procedimientos de visado, de adquisición de la ciudadanía y de migración, incluidos los procedimientos de asilo, y |
— |
comprobaciones en relación con contratos públicos y concursos públicos. |
No obstante, en determinados casos, siempre que no se trate de una solicitud presentada ante la autoridad central por un nacional de un tercer país que pide información sobre sus propios antecedentes penales y siempre que la solicitud no se realice a efectos de obtener información sobre antecedentes penales en virtud de lo dispuesto en el artículo 10, apartado 2, de la Directiva 2011/93/UE, la autoridad que solicita la información sobre antecedentes penales podrá decidir que no resulta conveniente utilizar el ECRIS-TCN.
2. Todo Estado miembro que decida, si así lo dispone el Derecho nacional y de conformidad con el, utilizar el ECRIS-TCN para fines distintos de los establecidos en el apartado 1, para obtener información sobre condenas anteriores a través de ECRIS, notificará a la Comisión, a más tardar en la fecha de inicio de las operaciones a que se refiere el artículo 35, apartado 4, o en cualquier momento posterior, dichos otros fines, así como cualquier modificación de los mismos. La Comisión publicará dichas notificaciones en el Diario Oficial de la Unión Europea en un plazo de treinta días a partir de la recepción de las notificaciones.
3. Eurojust, Europol, y la Fiscalía Europea podrán consultar el ECRIS-TCN para identificar a los Estados miembros que posean información sobre antecedentes penales de un nacional de un tercer país, de conformidad con lo dispuesto en los artículos 14 a 18. Sin embargo, no introducirán, rectificarán ni suprimirán datos en el ECRIS-TCN.
4. A los efectos estipulados en los apartados 1, 2 y 3, las autoridades competentes también podrán consultar el ECRIS-TCN para comprobar si, respecto de un ciudadano de la Unión, algún Estado miembro posee información de antecedentes penales relativa a dicha persona como nacional de un tercer país.
5. A la hora de consultar el ECRIS-TCN, las autoridades competentes podrán utilizar todos o solo algunos de los datos contemplados en el artículo 5, apartado 1. El conjunto mínimo de datos necesario para consultar el sistema se especificará en un acto de ejecución adoptado de conformidad con el artículo 10, apartado 1, letra g).
6. Las autoridades competentes también podrán consultar el ECRIS-TCN utilizando imágenes faciales, siempre que se haya implantado dicha funcionalidad conforme a lo dispuesto en el artículo 6, apartado 2.
7. En caso de respuesta positiva, el sistema central transmitirá automáticamente a la autoridad competente información sobre los Estados miembros que posean información sobre antecedentes penales de los nacionales de terceros países, junto con el correspondiente número o números de referencia asociados y cualquier otra información de identidad que corresponda. Esta información de identidad solo se utilizará a efectos de la comprobación de la identidad del nacional de un tercer país de que se trate. El resultado de una búsqueda en el sistema central podrá utilizarse únicamente para formular una solicitud de conformidad con el artículo 6 de la Decisión Marco 2009/315/JAI o una solicitud contemplada en el artículo 17, apartado 3, del presente Reglamento.
8. En ausencia de respuesta positiva, el sistema central informará automáticamente a la autoridad competente.
CAPÍTULO III
Retención y modificación de los datos
Artículo 8
Período de retención de los datos conservados
1. Los registros se conservarán en el sistema central durante el tiempo en que los datos relativos a las condenas de la persona en cuestión estén consignados en el registro nacional de antecedentes penales.
2. Cuando finalice el período de retención a que se refiere el apartado 1, la autoridad central del Estado miembro de condena suprimirá los datos registrados, incluidos datos dactiloscópicos e imágenes faciales, del sistema central. La supresión se hará automáticamente, en la medida de lo posible y, en cualquier caso, a más tardar un mes después de la expiración del período de conservación.
Artículo 9
Modificación y supresión de datos.
1. Los Estados miembros podrán modificar o suprimir los datos que hayan introducido en el ECRIS-TCN.
2. Cualquier modificación de la información que figura en los registros de antecedentes penales que dio lugar a la creación de un registro de datos de conformidad con lo dispuesto en el artículo 5, irá seguida, sin demora injustificada, de una modificación idéntica de la información conservada en dicho registro de datos en el sistema central por parte del Estado miembro de condena.
3. Si un Estado miembro de condena tiene motivos para creer que los datos registrados en el sistema central son inexactos o han sido tratados en el sistema central en contravención del presente Reglamento, deberá:
a) |
iniciar inmediatamente un procedimiento para comprobar la exactitud de los datos de que se trate o la legalidad de su tratamiento, según proceda; |
b) |
en caso necesario, rectificarlos o suprimirlos del sistema central sin demora injustificada. |
4. Si un Estado miembro distinto del Estado miembro de condena que haya introducido los datos tiene motivos para creer que los datos registrados en el sistema central son inexactos o que su tratamiento en el sistema central contraviene el presente Reglamento, se pondrá en contacto, sin demora injustificada, con la autoridad central del Estado miembro de condena.
El Estado miembro de condena deberá:
a) |
iniciar inmediatamente un procedimiento para comprobar la exactitud de los datos de que se trate o la legalidad de su tratamiento, según proceda; |
b) |
en caso necesario, rectificarlos o suprimirlos del sistema central sin demora injustificada; |
c) |
informar al otro Estado miembro de que los datos se han rectificado o suprimido, o, en caso contrario, los motivos que lo justifiquen, sin demora indebida. |
CAPÍTULO IV
Desarrollo, funcionamiento y responsabilidades
Artículo 10
Adopción de actos de ejecución por la Comisión
1. La Comisión adoptará los actos de ejecución necesarios para el desarrollo técnico y la aplicación del ECRIS-TCN lo antes posible, y en particular actos relativos a:
a) |
las especificaciones técnicas para el tratamiento de los datos alfanuméricos; |
b) |
las especificaciones técnicas sobre la calidad, la resolución y el tratamiento de las impresiones dactilares; |
c) |
las especificaciones técnicas del programa de interfaz; |
d) |
las especificaciones técnicas sobre la calidad, la resolución y el tratamiento de la imagen facial a los efectos y en las condiciones establecidas en el artículo 6; |
e) |
la calidad de los datos, incluidos un mecanismo de control de la calidad de los datos y los procedimientos correspondientes; |
f) |
la introducción de los datos, de conformidad con lo dispuesto en el artículo 5; |
g) |
el acceso y la consulta al ECRIS-TCN de conformidad con lo dispuesto en el artículo 7; |
h) |
la modificación y supresión de los datos, de conformidad con lo dispuesto en los artículos 8 y 9; |
i) |
la conservación de los registros y el acceso a ellos, de conformidad con lo dispuesto en el artículo 31; |
j) |
el funcionamiento del depósito central y las normas de protección de los datos y de seguridad aplicables al depósito, de conformidad con lo dispuesto en el artículo 32; |
k) |
la facilitación de estadísticas, de conformidad con lo dispuesto en el artículo 32; |
l) |
los requisitos de resultados y disponibilidad del ECRIS-TCN, incluidas las características mínimas y los requisitos sobre el rendimiento biométrico del ECRIS-TCN, en particular en cuanto a los índices requeridos de falsas identificaciones positivas y de falsas identificaciones negativas. |
2. Los actos de ejecución a que se refiere el apartado 1 se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 38, apartado 2.
Artículo 11
Desarrollo y gestión operativa del ECRIS-TCN
1. La agencia eu-LISA será responsable del desarrollo del ECRIS-TCN de conformidad con el principio de protección de datos desde el diseño y por defecto. Además, eu-LISA será responsable de la gestión operativa del ECRIS-TCN. El desarrollo consistirá en la elaboración y aplicación de las especificaciones técnicas, los ensayos y la coordinación global del proyecto.
2. La agencia eu-LISA será asimismo responsable de profundizar en el desarrollo de la aplicación de referencia del ECRIS y de su mantenimiento.
3. La agencia eu-LISA definirá el diseño de la arquitectura física del ECRIS-TCN, incluidas las especificaciones técnicas y su evolución en lo relativo al sistema central, el punto central de acceso nacional, y el programa de interfaz. Dicho diseño deberá ser aprobado por su Consejo de Administración, previo dictamen favorable de la Comisión.
4. La agencia eu-LISA desarrollará y aplicará el ECRIS-TCN lo antes posible después de la entrada en vigor del presente Reglamento, y tras la adopción por la Comisión de los actos de ejecución previstos en el artículo 10.
5. Antes de la fase de diseño y desarrollo del ECRIS-TCN, el Consejo de Administración de eu-LISA establecerá un Consejo de Administración del Programa compuesto por diez miembros.
El Consejo de Administración del Programa estará compuesto por ocho miembros designados por el Consejo de Administración, el presidente del comité asesor que se menciona en el artículo 39 y un miembro designado por la Comisión. Los miembros designados por el Consejo de Administración serán elegidos únicamente de entre los Estados miembros que estén plenamente obligados, con arreglo al Derecho de la Unión, por los instrumentos legislativos que regulan el ECRIS y que vayan a participar en el ECRIS-TCN. El Consejo de Administración deberá velar por que los miembros que designe para el Consejo de Administración del Programa tengan la experiencia y el conocimiento especializado necesarios en la creación y la gestión de sistemas informáticos que apoyan la labor de las autoridades que gestionan los expedientes judiciales y los registros de antecedentes penales.
La agencia eu-LISA participará en los trabajos del Consejo de Gestión del Programa. A tal fin, representantes de eu-LISA asistirán a las reuniones del Consejo de Gestión del Programa para informar sobre los trabajos relativos a la concepción y el desarrollo del ECRIS-TCN y sobre cualesquiera otros trabajos y actividades conexos.
El Consejo de Administración del Programa se reunirá al menos una vez cada tres meses, y con más frecuencia cuando sea necesario. Garantizará la correcta gestión de la fase de diseño y desarrollo del ECRIS-TCN y la coherencia entre el proyecto central y los proyectos nacionales del ECRIS-TCN, así como con las aplicaciones nacionales del ECRIS. El Consejo de Administración del Programa presentará informes escritos periódicos, a ser posible mensuales, al Consejo de Administración de eu-LISA sobre los avances del proyecto. No tendrá competencias para tomar decisiones ni mandato alguno para representar a los miembros del Consejo de Administración.
6. El Consejo de Administración del Programa establecerá su propio reglamento interno, que incluirá, en particular, normas relativas a:
a) |
la presidencia; |
b) |
los lugares de reunión; |
c) |
la preparación de las reuniones; |
d) |
la admisión de expertos a las reuniones; |
e) |
planes de comunicación que garanticen una información completa a los miembros del Consejo de Administración no participantes. |
7. La presidencia del Consejo de Administración del Programa la ejercerá un Estado miembro que esté plenamente obligado con arreglo al Derecho de la Unión por los instrumentos legislativos que rigen ECRIS y los instrumentos legislativos que rigen el desarrollo, establecimiento, funcionamiento y uso de todos los sistemas informáticos de gran magnitud gestionados por eu-LISA.
8. Todos los gastos de viaje y estancia en que incurran los miembros del Consejo de Administración del Programa serán reembolsados por eu-LISA. Se aplicará, mutatis mutandis, el artículo 10 del reglamento interno de eu-LISA. La secretaría del Consejo de Administración del Programa será asumida por eu-LISA.
9. Durante la fase de diseño y desarrollo, el comité asesor mencionado en el artículo 39 estará compuesto por los gestores de proyectos nacionales del ECRIS-TCN y presidido por eu-LISA. Durante la fase de diseño y desarrollo y hasta el comienzo de las operaciones del ECRIS-TCN, el comité asesor se reunirá periódicamente, a ser posible al menos una vez al mes. Después de cada reunión presentará un informe al Consejo de Administración del Programa. Asimismo, aportará los conocimientos técnicos para apoyar al Consejo de Administración del Programa en sus tareas y realizará un seguimiento del estado de preparación de los Estados miembros.
10. Con objeto de garantizar en todo momento la confidencialidad y la integridad de los datos que se conservan en el ECRIS-TCN, eu-LISA establecerá, en cooperación con los Estados miembros, las medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, el coste del funcionamiento y los riesgos planteados por el tratamiento.
11. La agencia eu-LISA será responsable de las siguientes tareas relacionadas con la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d):
a) |
supervisión; |
b) |
seguridad; |
c) |
coordinación de las relaciones entre los Estados miembros y el proveedor de las infraestructuras de comunicación. |
12. La Comisión será responsable de todas las demás tareas relacionadas con la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d), en particular:
a) |
tareas relacionadas con la ejecución del presupuesto; |
b) |
adquisición y renovación; |
c) |
cuestiones contractuales. |
13. La agencia eu-LISA establecerá y mantendrá mecanismos y procedimientos para llevar a cabo controles de calidad de los datos que se conservan en el ECRIS-TCN y presentará informes periódicos a los Estados miembros. La agencia eu-LISA presentará un informe periódico a la Comisión que exponga los problemas detectados e indique los Estados miembros afectados.
14. La gestión operativa del ECRIS-TCN consistirá en todas las tareas necesarias para mantener el ECRIS-TCN en funcionamiento de conformidad con lo dispuesto en el presente Reglamento y, en particular, en el trabajo de mantenimiento y los desarrollos técnicos necesarios para garantizar que el ECRIS-TCN funciona a un nivel satisfactorio, de acuerdo con las especificaciones técnicas.
15. La agencia eu-LISA desempeñará las tareas relacionadas con la impartición de formación sobre la utilización técnica del ECRIS-TCN y la aplicación de referencia ECRIS.
16. Sin perjuicio de lo dispuesto en el artículo 17 del Estatuto de los funcionarios de la Unión Europea establecido en el Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo (17), eu-LISA aplicará las normas adecuadas sobre secreto profesional u otras obligaciones de confidencialidad equivalentes a todo miembro de su personal que deba trabajar con los datos que se conservan en el sistema central. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.
Artículo 12
Responsabilidades de los Estados miembros
1. Cada Estado miembro será responsable de:
a) |
garantizar una conexión segura entre sus registros nacionales de antecedentes penales y bases de datos dactiloscópicos y el punto central de acceso nacional; |
b) |
el desarrollo, funcionamiento y mantenimiento de la conexión a la red a que se refiere la letra a); |
c) |
garantizar una conexión entre sus sistemas nacionales y la aplicación de referencia ECRIS; |
d) |
la gestión y las disposiciones oportunas para el acceso al ECRIS-TCN del personal de las autoridades centrales competentes debidamente autorizado, de conformidad con lo dispuesto en el presente Reglamento, así como de la creación y actualización periódica de la lista de dicho personal y sus perfiles mencionados en el artículo 19, apartado 3, letra g). |
2. Cada Estado miembro impartirá una formación adecuada al personal de sus autoridades centrales que tengan acceso al ECRIS-TCN, en particular sobre seguridad de los datos y normas de protección de datos, así como sobre los derechos fundamentales aplicables, antes de autorizarlo a tratar los datos que se conservan en el sistema central.
Artículo 13
Responsabilidades en cuanto a la utilización de los datos
1. De conformidad con las normas de la Unión aplicables en materia de protección de datos, cada Estado miembro velará por que los datos consignados en el ECRIS-TCN se traten legalmente y, en particular, por que:
a) |
solo el personal debidamente autorizado tenga acceso a los datos para el desempeño de sus tareas; |
b) |
los datos sean recogidos legalmente y con pleno respeto de la dignidad humana y de los derechos fundamentales de los nacionales de terceros países afectados; |
c) |
los datos estén introducidos legalmente en el ECRIS-TCN; |
d) |
los datos sean exactos y estén actualizados en el momento de su introducción en el ECRIS-TCN. |
2. La agencia eu-LISA garantizará que el ECRIS-TCN funciona de conformidad con lo dispuesto en el presente Reglamento, con el acto delegado a que se refiere el artículo 6, apartado 2, y con los actos de ejecución a que se refiere el artículo 10, así como con el Reglamento (UE) 2018/1725. En particular, eu-LISA adoptará las medidas necesarias para garantizar la seguridad del sistema central y la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d), sin perjuicio de las responsabilidades de cada Estado miembro.
3. La agencia eu-LISA informará lo antes posible al Parlamento Europeo, al Consejo y a la Comisión, así como al Supervisor Europeo de Protección de Datos, de las medidas que adopte en virtud del apartado 2 para la entrada en funcionamiento del ECRIS-TCN.
4. La Comisión pondrá a disposición de los Estados miembros y de la ciudadanía, la información prevista en el apartado 3, a través de una página web actualizada periódicamente.
Artículo 14
Acceso de Eurojust, Europol y la Fiscalía Europea
1. Eurojust tendrá acceso directo al ECRIS-TCN a efectos de la aplicación del artículo 17, así como del desempeño de sus funciones previstas en el artículo 2 del Reglamento (UE) 2018/1727, para identificar a los Estados miembros que poseen información sobre antecedentes penales de nacionales de terceros países.
2. Europol tendrá acceso directo al ECRIS-TCN a efectos del desempeño de sus funciones previstas en el artículo 4, apartado 1, letras a) a e) y h), del Reglamento (UE) 2016/794, para identificar a los Estados miembros que poseen información sobre antecedentes penales de nacionales de terceros países.
3. La Fiscalía Europea tendrá acceso directo al ECRIS-TCN a efectos del desempeño de sus funciones previstas en el artículo 4 del Reglamento (UE) 2017/1939, para identificar a los Estados miembros que poseen información sobre antecedentes penales de nacionales de terceros países.
4. A raíz de una respuesta positiva que indique los Estados miembros que poseen información sobre antecedentes penales de un nacional de un tercer país, Eurojust, Europol y la Fiscalía Europea podrán utilizar sus respectivos contactos con las autoridades nacionales de esos Estados miembros para solicitar información sobre antecedentes penales en la forma prevista en sus respectivos actos constitutivos.
Artículo 15
Acceso del personal autorizado de Eurojust, Europol y la Fiscalía Europea
Eurojust, Europol y la Fiscalía Europea serán responsables de la gestión y las modalidades de acceso del personal debidamente autorizado al ECRIS-TCN de conformidad con el presente Reglamento; y del establecimiento y la actualización periódica de una lista de dichos miembros del personal y de sus perfiles.
Artículo 16
Responsabilidades de Eurojust, Europol y la Fiscalía Europea
Eurojust, Europol y la Fiscalía Europea:
a) |
establecerán los medios técnicos para conectarse al ECRIS-TCN y serán responsables de mantener dicha conexión; |
b) |
impartirán a los miembros de su personal que tengan un derecho de acceso al ECRIS-TCN antes de autorizarlos a tratar los datos conservados en el sistema central, una formación adecuada que versará, en particular, sobre seguridad de los datos, normas de protección de datos y derechos fundamentales aplicables.; |
c) |
velarán por que los datos personales que traten en el marco del presente Reglamento estén protegidos de conformidad con las normas aplicables en materia de protección de datos. |
Artículo 17
Punto de contacto para terceros países y organizaciones internacionales
1. A los efectos de procesos penales, los terceros países y las organizaciones internacionales podrán dirigir sus solicitudes de información, en su caso, sobre el Estado miembro que posea información sobre antecedentes penales de nacionales de terceros países a Eurojust. Para ello deberán usar el formulario normalizado que figura en el anexo del presente Reglamento.
2. Cuando Eurojust reciba una solicitud en virtud de lo dispuesto en el apartado 1, utilizará el ECRIS-TCN para identificar qué Estado o Estados miembros, en su caso, poseen información sobre antecedentes penales del nacional de un tercer país de que se trate.
3. Cuando haya una respuesta positiva, Eurojust preguntará al Estado miembro que posea información sobre antecedentes penales del nacional del tercer país de que se trate si permite que Eurojust comunique al tercer país u organización internacional el nombre de dicho Estado miembro. Cuando el Estado miembro dé su consentimiento, Eurojust comunicará al tercer país u organización internacional el nombre de dicho Estado miembro, e informará al tercer país u organización internacional del modo en que pueden solicitar extractos de los antecedentes penales a dicho Estado miembro, conforme a los procedimientos aplicables.
4. En caso de ausencia de respuesta positiva o en caso de que Eurojust no pueda responder, de conformidad con lo dispuesto en el apartado 3, a las solicitudes formuladas en virtud del presente artículo, informará al tercer país o a la organización internacional de que se trate de que ha concluido el procedimiento, sin indicar si uno de los Estados miembros posee información sobre los antecedentes penales de la persona de que se trate.
Artículo 18
Transmisión de información a un tercer país, organización internacional o entidad privada
Ni Eurojust, ni Europol, ni la Fiscalía Europea, ni autoridad central alguna podrán transferir a un tercer país, organización internacional o entidad privada o poner a su disposición la información obtenida del ECRIS-TCN relativa a un nacional de un tercer país. El presente artículo se entiende sin perjuicio de lo dispuesto en el artículo 17, apartado 3.
Artículo 19
Seguridad de los datos
1. La agencia eu-LISA adoptará las medidas necesarias para garantizar la seguridad del ECRIS-TCN, sin perjuicio de los deberes de cada Estado miembro, tomando en consideración las medidas de seguridad mencionadas en el apartado 3.
2. En relación con el funcionamiento del ECRIS-TCN, eu-LISA adoptará las medidas necesarias para alcanzar los objetivos enunciados en el apartado 3, incluidos un plan de seguridad y un plan de continuidad de la actividad y de recuperación en caso de catástrofe, y para garantizar que, en caso de interrupción, se restablezcan los sistemas instalados.
3. Los Estados miembros garantizarán la seguridad de los datos antes de su transmisión al punto central de acceso nacional y su recepción por parte de este y durante ellas. En particular, cada Estado miembro deberá:
a) |
proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras; |
b) |
denegar a las personas no autorizadas el acceso a las instalaciones nacionales en las que el Estado miembro lleve a cabo operaciones relacionadas con el ECRIS-TCN; |
c) |
impedir la lectura, copia, modificación o cancelación no autorizadas de los soportes de datos; |
d) |
impedir la introducción no autorizada de datos y la inspección, la modificación o la supresión no autorizadas de datos personales conservados; |
e) |
impedir el tratamiento no autorizado de datos en el ECRIS-TCN y cualquier modificación o supresión no autorizadas de datos tratados en él; |
f) |
garantizar que las personas autorizadas para acceder al ECRIS-TCN tengan acceso únicamente a los datos cubiertos por su autorización de acceso, exclusivamente mediante identidades de usuario individuales y modos de acceso confidenciales; |
g) |
garantizar que todas las autoridades con derecho de acceso al ECRIS-TCN crean perfiles que describan las funciones y responsabilidades de las personas autorizadas a introducir, rectificar, suprimir, consultar y buscar datos y ponen, sin demora injustificada, esos perfiles a disposición de las autoridades nacionales de control que así lo soliciten; |
h) |
garantizar la posibilidad de comprobar y determinar a qué órganos, organismos y agencias de la Unión pueden transmitirse datos personales mediante equipos de transmisión de datos; |
i) |
garantizar la posibilidad de comprobar y determinar qué datos han sido tratados en el ECRIS-TCN, en qué momento, por quién y con qué fin; |
j) |
impedir la lectura, la copia, la modificación o la supresión no autorizadas de datos personales durante la transmisión de estos hacia o desde el ECRIS-TCN o durante el transporte de soportes de datos, en particular mediante técnicas adecuadas de cifrado; |
k) |
controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas de organización del control y la supervisión internos necesarias para garantizar el cumplimiento del presente Reglamento. |
4. La agencia eu-LISA y los Estados miembros cooperarán para lograr una concepción coherente de la seguridad de los datos basada en un proceso de gestión del riesgo de seguridad que englobe la totalidad del ECRIS-TCN.
Artículo 20
Responsabilidad
1. Cualquier persona o Estado miembro que haya sufrido un perjuicio material o inmaterial como consecuencia de una operación ilegal de tratamiento de datos o de cualquier otro acto incompatible con el presente Reglamento tendrá derecho a recibir una indemnización:
a) |
del Estado miembro responsable del perjuicio sufrido, o |
b) |
de eu-LISA, cuando eu-LISA no haya cumplido sus obligaciones previstas en el presente Reglamento o en el Reglamento (UE) 2018/1725. |
El Estado miembro que sea responsable del daño sufrido o eu-LISA, respectivamente, quedarán exentos de su responsabilidad, total o parcialmente, si demuestran que no son responsables del hecho que originó el perjuicio.
2. Si el incumplimiento por un Estado miembro, Eurojust, Europol o la Fiscalía Europea de las obligaciones que les impone el presente Reglamento causara un perjuicio al ECRIS-TCN, dicho Estado miembro, Eurojust, Europol o la Fiscalía Europea será considerado responsable de dicho perjuicio, salvo y en la medida en que eu-LISA u otro Estado miembro participante en el ECRIS-TCN no hubiese adoptado las medidas adecuadas para impedir que se produjera el perjuicio o para atenuar sus efectos.
3. Las reclamaciones de indemnización contra un Estado miembro por el perjuicio al que se refieren los apartados 1 y 2 estarán sujetas al Derecho nacional del Estado miembro demandado. Las reclamaciones de indemnización contra eu-LISA, Eurojust, Europol y la Fiscalía Europea por el perjuicio al que se refieren los apartados 1 y 2 estarán reguladas por sus respectivos actos constitutivos.
Artículo 21
Autocontrol
Los Estados miembros velarán por que toda autoridad central tome las medidas necesarias para cumplir el presente Reglamento y coopere, en caso necesario, con las autoridades de control.
Artículo 22
Sanciones
Cualquier uso indebido de los datos introducidos en el ECRIS-TCN estará sujeto a sanciones o medidas disciplinarias, de conformidad con el Derecho nacional o de la Unión, que serán efectivas, proporcionadas y disuasorias.
CAPÍTULO V
Derechos y supervisión en materia de protección de datos
Artículo 23
Responsable del tratamiento de los datos y encargado del tratamiento de los datos
1. Cada autoridad central debe considerarse como responsable del tratamiento de los datos de conformidad con las normas de la Unión aplicables en materia de protección de datos para el tratamiento de los datos personales que realice dicho Estado miembro en virtud de lo dispuesto en el presente Reglamento.
2. La agencia eu-LISA será considerada como encargada del tratamiento de los datos de conformidad con lo dispuesto en el Reglamento (UE) 2018/1725, por lo que se refiere a los datos de carácter personal introducidos en el sistema central por parte de los Estados miembros.
Artículo 24
Fines del tratamiento de datos personales
1. Los datos incluidos en el sistema central serán tratados únicamente con fines de identificación de los Estados miembros que poseen información sobre antecedentes penales de nacionales de terceros países.
2. A excepción del personal debidamente autorizado de Eurojust, Europol y la Fiscalía Europea, que tendrá acceso al ECRIS-TCN a los efectos del presente Reglamento, el acceso al ECRIS-TCN estará reservado exclusivamente al personal debidamente autorizado de las autoridades centrales. El acceso se limitará a lo que sea necesario para el desempeño de las tareas de conformidad con los fines mencionados en el apartado 1, y a lo que resulte necesario y proporcionado a los objetivos perseguidos.
Artículo 25
Derecho de acceso, rectificación supresión y restricción del tratamiento
1. Las solicitudes de los nacionales de terceros países relativas a los derechos de acceso a los datos personales y a la rectificación y supresión y a la restricción del tratamiento de datos personales, establecidos en las normas de la Unión aplicables en materia de protección de datos, podrán dirigirse a la autoridad central de cualquier Estado miembro.
2. Cuando la solicitud se presente a un Estado miembro distinto del de condena, el Estado miembro al que se ha presentado la solicitud la remitirá al de condena sin demora injustificada y, en cualquier caso, en el plazo de los diez días hábiles siguientes a la recepción de la solicitud. Una vez recibida la solicitud, el Estado miembro de condena deberá:
a) |
iniciar inmediatamente un procedimiento para comprobar la exactitud de los datos de que se trate o la legalidad de su tratamiento en el ECRIS-TCN; y |
b) |
responder sin demora injustificada al Estado miembro que haya transmitido la solicitud. |
3. Si se advirtiese que los datos registrados en el ECRIS-TCN son inexactos o se han tratado ilegalmente, el Estado miembro de condena rectificará o suprimirá los datos de conformidad con lo dispuesto en el artículo 9. El Estado miembro de condena o, cuando proceda, el Estado miembro al que se haya presentado la solicitud confirmará a la persona interesada, por escrito y sin demora injustificada, que ha tomado medidas para rectificar o suprimir los datos que le conciernen. El Estado miembro de condena también informará sin demora injustificada a cualquier otro Estado miembro que haya recibido información sobre condenas, obtenida como resultado de una consulta del ECRIS-TCN, sobre el curso dado a la misma.
4. Si el Estado miembro de condena no admite que los datos registrados en el ECRIS-TCN son materialmente inexactos o han sido introducidos ilegalmente, dicho Estado miembro adoptará una decisión administrativa o judicial exponiendo a la persona interesada, por escrito, los motivos para no rectificar o suprimir los datos que le conciernen. Estos casos podrán, si procede, comunicarse a la autoridad nacional de control.
5. El Estado miembro que haya adoptado la decisión en virtud del apartado 4 informará también a la persona interesada de las medidas que dicha persona puede tomar en el caso de que no considere satisfactoria la motivación facilitada conforme al apartado 4. Esta comunicación incluirá información sobre cómo ejercitar una acción judicial o presentar una reclamación ante las autoridades u órganos jurisdiccionales competentes de dicho Estado miembro y sobre la asistencia, incluso de las autoridades nacionales de control, disponible de conformidad con el Derecho nacional de dicho Estado miembro.
6. Cualquier solicitud realizada de conformidad con lo dispuesto en el apartado 1 deberá contener la información necesaria para identificar a la persona en cuestión. Dicha información solo se utilizará para posibilitar el ejercicio de los derechos a que se refiere el apartado 1, tras lo cual se procederá inmediatamente a su supresión.
7. Cuando se aplique el apartado 2, la autoridad central a quien se ha dirigido la solicitud guardará constancia, mediante documento escrito, de que dicha solicitud se ha presentado y de qué manera se ha tramitado y por qué autoridad. A petición de una autoridad nacional de control, la autoridad central pondrá sin demora ese documento a disposición de dicha autoridad nacional de control. La autoridad central y la autoridad nacional de control suprimirán dichos registros a los tres años de su creación.
Artículo 26
Cooperación para garantizar el respeto de los derechos en materia de protección de datos
1. Las autoridades centrales cooperarán entre sí con el fin de garantizar el respeto de los derechos establecidos en el artículo 25.
2. En cada Estado miembro, la autoridad nacional de control, previa solicitud, facilitará información a la persona interesada sobre el modo de ejercer su derecho a rectificar o suprimir los datos que le conciernen, de conformidad con las normas de la Unión aplicables en materia de protección de datos.
3. A efectos del presente artículo, la autoridad nacional de control del Estado miembro que haya transmitido los datos y la autoridad nacional de control de los Estados miembros a los que se haya presentado la solicitud cooperarán entre sí.
Artículo 27
Vías de recurso
Toda persona tendrá derecho a presentar una reclamación y a interponer un recurso en el Estado miembro de condena que haya denegado el derecho de acceso, rectificación o supresión de los datos que le conciernan, a que se refiere el artículo 25, de conformidad con la legislación nacional o de la Unión.
Artículo 28
Supervisión por parte de las autoridades nacionales de control
1. Cada Estado miembro garantizará que las autoridades nacionales de control designadas con arreglo a las normas de la Unión aplicables en materia de protección de datos controlen la legalidad del tratamiento de los datos personales a que se refieren los artículos 5 y 6 por el Estado miembro en cuestión, incluida su transmisión al y desde el ECRIS-TCN.
2. La autoridad nacional de control garantizará que se lleve a cabo una auditoría de las operaciones de tratamiento de datos en las bases nacionales de datos de antecedentes penales y dactiloscópicos relacionadas con el intercambio de datos entre dichos sistemas y el ECRIS-TCN, conforme a las normas internacionales de auditoría pertinentes, al menos cada tres años desde la fecha en que el ECRIS-TCN empiece a estar operativo.
3. Los Estados miembros garantizarán que sus autoridades nacionales de control dispongan de medios suficientes para desempeñar las tareas que les encomiendan el presente Reglamento.
4. Cada Estado miembro proporcionará cualquier información que le soliciten las autoridades nacionales de control y, en particular, les facilitará información relativa a las actividades realizadas de conformidad con lo dispuesto en los artículos 12, 13 y 19. Cada Estado miembro concederá a las autoridades nacionales de control el acceso a sus registros de conformidad con lo dispuesto en el artículo 25, apartado 7, y a sus registros de conformidad con lo dispuesto en el artículo 31, apartado 6, y les permitirá acceder en todo momento a todas sus instalaciones relacionadas con el ECRIS-TCN.
Artículo 29
Supervisión por parte del Supervisor Europeo de Protección de Datos
1. El Supervisor Europeo de Protección de Datos controlará que las actividades de tratamiento de datos personales de eu-LISA en relación con el ECRIS-TCN se lleven a cabo de conformidad con lo dispuesto en el presente Reglamento.
2. El Supervisor Europeo de Protección de Datos velará por que, al menos cada tres años, se lleve a cabo una auditoría de las actividades de tratamiento de datos personales de eu-LISA con arreglo a las normas internacionales de auditoría pertinentes. Se enviará un informe de la auditoría al Parlamento Europeo, el Consejo, la Comisión, eu-LISA y las autoridades de control. Se brindará a eu-LISA la oportunidad de formular comentarios antes de que el informe sea adoptado.
3. La agencia eu-LISA facilitará la información solicitada por el Supervisor Europeo de Protección de Datos, a quien dará acceso a todos los documentos y a los registros mencionados en el artículo 31 y a quien permitirá acceder a todas sus instalaciones en todo momento.
Artículo 30
Cooperación entre las autoridades nacionales de control y el Supervisor Europeo de Protección de Datos
Se garantizará la coordinación de la supervisión del ECRIS-TCN, de conformidad con lo dispuesto en el artículo 62 del Reglamento (UE) 2018/1725.
Artículo 31
Mantenimiento de registros
1. La agencia eu-LISA y las autoridades competentes garantizarán, de acuerdo con sus atribuciones respectivas, que todas las operaciones de tratamiento de datos efectuadas en el ECRIS-TCN se registren de conformidad con lo dispuesto en el apartado 2, a fin de comprobar la admisibilidad de las solicitudes, controlar la integridad y seguridad de los datos y la legalidad de su tratamiento, así como con fines de autocontrol.
2. En el registro se indicarán:
a) |
la finalidad de la solicitud de acceso a los datos del ECRIS-TCN; |
b) |
los datos transmitidos a que se refiere el artículo 5; |
c) |
el número de referencia del expediente nacional; |
d) |
la fecha y hora exacta de la operación; |
e) |
los datos utilizados para una consulta; |
f) |
la marca identificadora del funcionario que haya realizado la búsqueda. |
3. El registro de las consultas y de las divulgaciones permitirá determinar la justificación de tales operaciones.
4. Los registros solo se utilizarán para el control de la legalidad del tratamiento de datos y para garantizar la integridad y la seguridad de los mismos. Solo los registros que contengan datos de carácter no personal podrán utilizarse para el control y la evaluación a que se refiere el artículo 36. Estos registros deberán estar adecuadamente protegidos contra el acceso no autorizado y ser suprimidos transcurrido el plazo de tres años, siempre que no se necesiten para procedimientos de control ya iniciados.
5. La agencia eu-LISA, previa solicitud, pondrá los registros de sus operaciones de tratamiento a disposición de las autoridades centrales, sin demora injustificada.
6. Las autoridades nacionales de control competentes, responsables de controlar la admisibilidad de la solicitud y la legalidad del tratamiento de datos y la integridad y seguridad de estos, tendrán acceso a dichos registros previa solicitud, a fin de poder desempeñar sus funciones. Las autoridades centrales, previa solicitud, pondrán los registros de sus operaciones de tratamiento a disposición de las autoridades nacional de control competentes, sin demora injustificada.
CAPÍTULO VI
Disposiciones finales
Artículo 32
Uso de datos para la presentación de informes y estadísticas
1. El personal debidamente autorizado de eu-LISA, de las autoridades competentes y de la Comisión tendrán acceso a los datos tratados en el ECRIS-TCN únicamente a efectos de la elaboración de informes y estadísticas, sin que les esté permitida la identificación individual.
2. A los efectos del apartado 1, eu-LISA creará, mantendrá y albergará, en su centro o centros técnicos, un depósito central con los datos a que se refiere el apartado 1 y que, sin permitir la identificación individual, permita obtener informes y estadísticas personalizables. El acceso al depósito central se concederá por medio de un acceso seguro con control de acceso y perfiles de usuario específicos, únicamente a efectos de la elaboración de informes y estadísticas.
3. Los procedimientos para supervisar el funcionamiento del ECRIS-TCN establecidos por eu-LISA y mencionados en el artículo 36, así como la aplicación de referencia ECRIS, incluirán la posibilidad de elaborar estadísticas periódicas con fines de supervisión.
Mensualmente, eu-LISA transmitirá a la Comisión estadísticas relativas a la recogida, la conservación y el intercambio de información extraída de los registros de antecedentes penales a través del ECRIS-TCN y la aplicación de referencia ECRIS. eu-LISA garantizará que no sea posible la identificación individual con base en dichas estadísticas. A petición de la Comisión, eu-LISA le proporcionará estadísticas sobre aspectos específicos relacionados con la aplicación del presente Reglamento.
4. Los Estados miembros facilitarán a eu-LISA las estadísticas necesarias para el cumplimiento de las obligaciones a que se refiere el presente artículo. Asimismo, facilitarán a la Comisión estadísticas sobre el número de nacionales de terceros países condenados, así como el número de condenas de nacionales de terceros países dictadas en su territorio.
Artículo 33
Costes
1. Los costes aparejados a la creación y el funcionamiento del sistema central, la infraestructura de comunicación a que se refiere el artículo 4, apartado 1, letra d), el programa de interfaz y la aplicación de referencia ECRIS serán sufragados por el presupuesto general de la Unión.
2. Los costes de la conexión de Eurojust, Europol y la Fiscalía Europea al ECRIS-TCN serán sufragados por sus presupuestos respectivos.
3. Los demás costes serán sufragados por los Estados miembros, en particular los derivados de la conexión de los registros nacionales de antecedentes penales existentes, las bases de datos dactiloscópicos y las autoridades centrales al ECRIS-TCN, así como los costes derivados de albergar la aplicación de referencia ECRIS.
Artículo 34
Notificaciones
1. Cada Estado miembro notificará a eu-LISA su autoridad central, o autoridades, que tenga acceso para introducir, rectificar, suprimir, consultar o buscar datos, así como cualquier cambio a este respecto.
2. La agencia eu-LISA garantizará la publicación de la lista de autoridades centrales notificadas por los Estados miembros tanto en el Diario Oficial de la Unión Europea como en su sitio internet. Cuando eu-LISA reciba una notificación de un cambio de la autoridad central de un Estado miembro, actualizará la lista sin demora injustificada.
Artículo 35
Introducción de los datos y entrada en funcionamiento
1. Cuando la Comisión se haya asegurado de que se cumplen las condiciones siguientes, determinará la fecha a partir de la cual los Estados miembros deberán empezar a introducir los datos mencionados en el artículo 5 en el ECRIS-TCN:
a) |
se han adoptado los actos de ejecución correspondientes a que se refiere el artículo 10; |
b) |
los Estados miembros han validado las disposiciones legales y técnicas necesarias para recopilar y transmitir al ECRIS-TCN los datos a que se refiere el artículo 5 y las han notificado a la Comisión; |
c) |
la agencia eu-LISA ha llevado a cabo una prueba exhaustiva del ECRIS-TCN, en cooperación con los Estados miembros, empleando datos de prueba anónimos. |
2. Cuando la Comisión haya determinado la fecha de comienzo de la introducción de datos de conformidad con lo dispuesto en el apartado 1, comunicará dicha fecha a los Estados miembros. En un plazo de dos meses a partir de dicha fecha, los Estados miembros introducirán en el ECRIS-TCN los datos a que se refiere el artículo 5, teniendo en cuenta lo dispuesto en el artículo 41, apartado 2.
3. Tras el fin del período mencionado en el apartado 2, eu-LISA realizará una última prueba del ECRIS-TCN, en cooperación con los Estados miembros.
4. Cuando se haya realizado con éxito la prueba mencionada en el apartado 3 y eu-LISA considere que el ECRIS-TCN está listo para entrar en funcionamiento, informará de ello a la Comisión. La Comisión informará al Parlamento Europeo y al Consejo de los resultados de la prueba y decidirá la fecha en la que el ECRIS-TCN entrará en funcionamiento.
5. La decisión de la Comisión relativa a la fecha de entrada en funcionamiento del ECRIS-TCN a que se refiere el apartado 4 se publicará en el Diario Oficial de la Unión Europea.
6. Los Estados miembros empezarán a utilizar el ECRIS-TCN a partir de la fecha determinada por la Comisión de conformidad con lo dispuesto en el apartado 4.
7. Cuando adopte las decisiones mencionadas en el presente artículo, la Comisión podrá especificar fechas diferentes para la introducción en el ECRIS-TCN de datos alfanuméricos y dactiloscópicos mencionados en el artículo 5, así como para la entrada en funcionamiento en lo que respecta a las distintas categorías de datos.
Artículo 36
Seguimiento y evaluación
1. La agencia eu-LISA velará por que se establezcan procedimientos para supervisar el desarrollo del ECRIS-TCN a la luz de los objetivos en materia de planificación y costes, y el funcionamiento del ECRIS-TCN y de la aplicación de referencia ECRIS a la luz de los objetivos en materia de resultados técnicos, rentabilidad, seguridad y calidad del servicio.
2. Con el fin de controlar el funcionamiento del ECRIS-TCN y su mantenimiento técnico, eu-LISA tendrá acceso a la información necesaria relacionada con las operaciones de tratamiento de datos realizadas en el ECRIS-TCN y en la aplicación de referencia ECRIS.
3. A más tardar el 12 de diciembre de 2019, y posteriormente cada seis meses durante la fase de concepción y de desarrollo, eu-LISA presentará un informe al Parlamento Europeo y al Consejo sobre el estado de desarrollo del ECRIS-TCN y la aplicación de referencia ECRIS.
4. El informe a que se refiere el apartado 3 incluirá una visión general de los costes actuales y de la evolución del proyecto, una evaluación de las repercusiones financieras, así como información sobre todo problema técnico o riesgo que pueda incidir en los costes totales del ECRIS-TCN sufragados por el presupuesto general de la Unión de conformidad con lo dispuesto en el artículo 33.
5. En caso de retrasos importantes en el proceso de desarrollo, eu-LISA informará al Parlamento Europeo y al Consejo lo antes posible de los motivos de dichos retrasos y de las implicaciones financieras y la incidencia en el calendario.
6. Una vez finalizado el desarrollo del ECRIS-TCN y la aplicación de referencia ECRIS, eu-LISA presentará un informe al Parlamento Europeo y al Consejo en el que se explique cómo se han conseguido los objetivos, en particular en lo relativo a la planificación y los costes, y se justifique toda divergencia.
7. En caso de que se lleve a cabo una actualización técnica del ECRIS-TCN que pueda generar costes sustanciales, eu-LISA informará al Parlamento Europeo y al Consejo.
8. Dos años después de la entrada en funcionamiento del ECRIS-TCN y cada año a partir de esa fecha, eu-LISA presentará a la Comisión un informe sobre el funcionamiento técnico, incluida la seguridad, del ECRIS-TCN y la aplicación de referencia ECRIS, basado en particular en las estadísticas sobre el funcionamiento y la utilización del ECRIS-TCN y en el intercambio, a través de la aplicación de referencia ECRIS, de información extraída de los registros de antecedentes penales.
9. Cuatro años después de la entrada en funcionamiento del ECRIS-TCN y cada cuatro años a partir de esa fecha, la Comisión llevará a cabo una evaluación global del ECRIS-TCN y la aplicación de referencia ECRIS. El informe de evaluación global elaborado sobre esta base incluirá una evaluación de la aplicación del presente Reglamento y un análisis de los resultados obtenidos en relación con los objetivos establecidos y de las repercusiones en los derechos fundamentales. El informe incluirá también una evaluación de si la justificación subyacente del funcionamiento del ECRIS-TCN sigue siendo válida, de la idoneidad de los datos biométricos utilizados para los fines del ECRIS-TCN y de la seguridad del ECRIS-TCN, así como de cualquier implicación en materia de seguridad para operaciones futuras. La evaluación incluirá las eventuales recomendaciones necesarias. La Comisión transmitirá el informe al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea.
10. Además, la primera evaluación global a que se refiere el apartado 9 incluirá un estudio de:
a) |
la medida en que, a partir de los datos estadísticos pertinentes y de la información adicional proporcionada por los Estados miembros, la inclusión en el ECRIS-TCN de datos de identidad de ciudadanos de la Unión que tengan también la nacionalidad de un tercer país ha contribuido a la consecución de los objetivos del presente Reglamento; |
b) |
la posibilidad de que algunos Estados miembros sigan utilizando sus aplicaciones nacionales ECRIS, mencionada en el artículo 4; |
c) |
la inclusión de datos dactiloscópicos en el ECRIS-TCN, en particular la aplicación de los criterios mínimos contemplados en el artículo 5, apartado 1, letra b), inciso ii); |
d) |
el impacto del ECRIS y del ECRIS-TCN en materia de protección de los datos de carácter personal. |
El informe podrá ir acompañado, en caso necesario, de propuestas legislativas. Las evaluaciones globales posteriores podrán incluir un análisis de cualquiera o de la totalidad de aspectos señalados.
11. Los Estados miembros, Eurojust, Europol y la Fiscalía Europea proporcionarán a eu-LISA y a la Comisión la información necesaria para elaborar los informes a que se refieren los apartados 3, 8 y 9 con arreglo a los indicadores cuantitativos previamente definidos por la Comisión, eu-LISA o ambos. Esa información no deberá poner en peligro los métodos de trabajo ni incluir información sobre fuentes, miembros del personal o investigaciones.
12. Cuando proceda, las autoridades nacionales de control proporcionarán a eu-LISA y a la Comisión la información necesaria para elaborar los informes a que se refiere el apartado 9 con arreglo a los indicadores cuantitativos previamente definidos por la Comisión, eu-LISA o ambos. Esa información no deberá poner en peligro los métodos de trabajo ni incluir información sobre fuentes, miembros del personal o investigaciones.
13. La agencia eu-LISA facilitará a la Comisión la información necesaria para realizar la evaluación global a que se refiere el apartado 9.
Artículo 37
Ejercicio de la delegación
1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.
2. Los poderes para adoptar actos delegados mencionados en el artículo 6, apartado 2, se otorgan a la Comisión por un período de tiempo indefinido a partir del 11 de junio de 2019.
3. La delegación de poderes mencionada en el artículo 6, apartado 2, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto al día siguiente de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en la misma. No afectará a la validez de los actos delegados que ya estén en vigor.
4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.
5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.
6. Los actos delegados adoptados en virtud del artículo 6, apartado 2, entrarán en vigor únicamente si, en un plazo de [dos meses] desde su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará [dos meses] a iniciativa del Parlamento Europeo o del Consejo.
Artículo 38
Procedimiento de comité
1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.o 182/2011.
2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.o 182/2011.
En caso de que el comité no emita un dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.o 182/2011.
Artículo 39
Comité asesor
La agencia eu-LISA creará un comité asesor con objeto de adquirir conocimientos técnicos relacionados con el ECRIS-TCN y la aplicación de referencia ECRIS, en particular en el contexto de la preparación de su programa de trabajo anual y de su informe de actividad anual. Durante la fase de diseño y desarrollo, se aplicará el artículo 11, apartado 9.
Artículo 40
Modificaciones del Reglamento (UE) 2018/1726
El Reglamento (UE) 2018/1726 se modifica como sigue:
1) |
En el artículo 1, el apartado 4 se sustituye por el texto siguiente: «4. La Agencia se encargará de la preparación, el desarrollo o la gestión operativa del Sistema de Entradas y Salidas (SES), DubliNet, el Sistema Europeo de Información y Autorización de Viajes (SEIAV), el ECRIS-TCN y la aplicación de referencia ECRIS.». |
2) |
Se inserta el artículo siguiente: «Artículo 8 bis Funciones relacionadas con el ECRIS-TCN y la aplicación de referencia ECRIS En relación con el ECRIS-TCN y la aplicación de referencia ECRIS, la Agencia desempeñará:
(*1) Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, por el que se establece un sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas a fin de complementar el Sistema Europeo de Información de Antecedentes Penales (ECRIS-TCN) y por el que se modifica el Reglamento (UE) 2018/1726 (DO L 135 de 22.5.2019, p. 1).»." |
3) |
En el artículo 14, el apartado 1 se sustituye por el texto siguiente: «1. La Agencia seguirá la evolución en investigación que sea pertinente para la gestión operativa del SIS II, el VIS, Eurodac, el SES, el SEIAV, DubliNet, el ECRIS-TCN y de otros sistemas informáticos de gran magnitud mencionados en el artículo 1, apartado 5.». |
4) |
En el artículo 19, el apartado 1 se modifica como sigue:
|
5) |
En el artículo 22, apartado 4, se añade el siguiente párrafo tras el párrafo tercero: «Eurojust, Europol y la Fiscalía Europea podrán asistir a las reuniones del Consejo de Administración en calidad de observadores siempre que en el orden del día figure una cuestión relativa al ECRIS-TCN en relación con la aplicación del Reglamento (UE) 2019/816.». |
6) |
El artículo 24, apartado 3, la letra p) se sustituye por el texto siguiente:
|
7) |
En el artículo 27, apartado 1, se añade la siguiente letra:
|
Artículo 41
Aplicación y disposiciones transitorias
1. Los Estados miembros adoptarán las medidas necesarias para cumplir el presente Reglamento lo antes posible, a fin de velar por el correcto funcionamiento del ECRIS-TCN.
2. Para las condenas dictadas antes de la fecha de inicio de la introducción de los datos de conformidad con lo dispuesto en el artículo 35, apartado 1, las autoridades centrales deberán crear los registros individuales de datos en el sistema central de la siguiente manera:
a) |
los datos alfanuméricos deberán haberse introducido en el sistema central al final del plazo establecido en el artículo 35, apartado 2; |
b) |
los datos dactiloscópicos deberán haberse introducido en el sistema central dos años después de la entrada en funcionamiento de conformidad con el artículo 35, apartado 4. |
Artículo 42
Entrada en vigor
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.
Hecho en Estrasburgo, el 17 de abril de 2019.
Por el Parlamento Europeo
El Presidente
A. TAJANI
Por el Consejo
El Presidente
G. CIAMBA
(1) Posición del Parlamento Europeo de 12 de marzo de 2019 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 9 de abril de 2019.
(2) Decisión Marco 2008/675/JAI del Consejo, de 24 de julio de 2008, relativa a la consideración de las resoluciones condenatorias entre los Estados miembros de la Unión Europea con motivo de un nuevo proceso penal (DO L 220 de 15.8.2008, p. 32).
(3) Decisión Marco 2009/315/JAI del Consejo, de 26 de febrero de 2009, relativa a la organización y al contenido del intercambio de información de los registros de antecedentes penales entre los Estados miembros (DO L 93 de 7.4.2009, p. 23).
(4) Decisión 2009/316/JAI del Consejo, de 6 de abril de 2009, por la que se establece el Sistema Europeo de Información de Antecedentes Penales (ECRIS) en aplicación del artículo 11 de la Decisión Marco 2009/315/JAI (DO L 93 de 7.4.2009, p. 33).
(5) Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), y por el que se modifican el Reglamento (CE) n.o 1987/2006 y la Decisión 2007/533/JAI del Consejo y se deroga el Reglamento (UE) n.o 1077/2011 (DO L 295 de 21.11.2018, p. 99).
(6) Directiva 2011/93/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión marco 2004/68/JAI del Consejo (DO L 335 de 17.12.2011, p. 1).
(7) Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y por la que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DO L 295 de 21.11.2018, p. 138).
(8) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).
(9) Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea (DO L 283 de 31.10.2017, p. 1).
(10) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).
(11) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).
(12) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
(13) DO L 123 de 12.5.2016, p. 1.
(14) Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).
(15) Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).
ANEXO
FORMULARIO NORMALIZADO DE SOLICITUD DE INFORMACIÓN A QUE SE REFIERE EL ARTÍCULO 17, APARTADO 1, DEL REGLAMENTO (UE) 2019/816 A EFECTOS DE OBTENER INFORMACIÓN SOBRE EL ESTADO MIEMBRO QUE PUEDA DISPONER DE INFORMACIÓN DE ANTECEDENTES PENALES DE UN NACIONAL DE UN TERCER PAÍS
22.5.2019 |
ES |
Diario Oficial de la Unión Europea |
L 135/27 |
REGLAMENTO (UE) 2019/817 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 20 de mayo de 2019
relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de las fronteras y los visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo
EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16, apartado 2, su artículo 74 y su artículo 77, apartado 2, letras a), b), d) y e),
Vista la propuesta de la Comisión Europea,
Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,
Visto el dictamen del Comité Económico y Social Europeo (1),
Previa consulta al Comité de las Regiones
De conformidad con el procedimiento legislativo ordinario (2),
Considerando lo siguiente:
(1) |
En su Comunicación de 6 de abril de 2016 titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», la Comisión subrayó la necesidad de mejorar la arquitectura de gestión de datos de la Unión para la gestión de las fronteras y la seguridad. La Comunicación puso en marcha un proceso destinado a lograr la interoperabilidad de los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración, con el objetivo de solucionar las deficiencias estructurales relacionadas con estos sistemas que obstaculizan la labor de las autoridades nacionales y garantizar que los guardias de fronteras, las autoridades aduaneras, los agentes de policía y las autoridades judiciales tengan a su disposición la información necesaria. |
(2) |
En su Hoja de ruta para mejorar el intercambio y la gestión de la información, con inclusión de soluciones de interoperabilidad en el ámbito de la Justicia y los Asuntos de Interior, de 6 de junio de 2016, el Consejo identificó varios retos jurídicos, técnicos y operativos para la interoperabilidad de los sistemas de información de la UE e instó a la búsqueda de soluciones. |
(3) |
En su Resolución de 6 de julio de 2016 sobre las prioridades estratégicas para el programa de trabajo de la Comisión para 2017 (3), el Parlamento Europeo pidió que se presentaran propuestas para mejorar y desarrollar los sistemas de información de la UE existentes, colmar las lagunas de información y avanzar hacia la interoperabilidad, así como sus propuestas sobre la obligación de intercambiar información a nivel de la UE, junto con las salvaguardias necesarias en materia de protección de datos. |
(4) |
En sus conclusiones de 15 de diciembre de 2016, el Consejo Europeo pidió continuidad en la obtención de resultados en materia de interoperabilidad de los sistemas de información y bases de datos de la UE. |
(5) |
En su informe final de 11 de mayo de 2017, el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad llegó a la conclusión de que es necesario y técnicamente viable trabajar para poner en marcha soluciones prácticas en materia de interoperabilidad y que la interoperabilidad podría, en principio, producir beneficios operativos y establecerse cumpliendo los requisitos sobre protección de datos. |
(6) |
En su Comunicación de 16 de mayo de 2017 titulada «Séptimo informe de situación relativo a una Unión de la Seguridad genuina y efectiva», la Comisión diseñó, en consonancia con su Comunicación de 6 de abril de 2016 y las conclusiones y recomendaciones del Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad, un nuevo planteamiento para la gestión de los datos relativos a las fronteras, la seguridad y la migración, en virtud del cual todos los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración serían interoperables sin menoscabo alguno de los derechos fundamentales. |
(7) |
En sus Conclusiones de 9 de junio de 2017 sobre los siguientes pasos para mejorar el intercambio de información y garantizar la interoperabilidad de los sistemas de información de la UE, el Consejo invitó a la Comisión a buscar soluciones de interoperabilidad según lo propuesto por el Grupo de Expertos de Alto Nivel. |
(8) |
En sus Conclusiones de 23 de junio de 2017, el Consejo Europeo puso de relieve la necesidad de mejorar la interoperabilidad de las bases de datos e invitó a la Comisión a preparar, lo antes posible, proyectos legislativos basados en las propuestas formuladas por el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad. |
(9) |
Con objeto de mejorar la efectividad y la eficiencia de las inspecciones en las fronteras exteriores, contribuir a prevenir y combatir la inmigración ilegal y alcanzar un elevado nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros, mejorar la aplicación de la política común de visados y prestar asistencia en el examen de las solicitudes de protección internacional y en la prevención, detección e investigación de los delitos de terrorismo u otros delitos graves, ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas, con el fin de mantener la confianza de los ciudadanos en la política de migración y el sistema de asilo de la Unión, en las medidas de seguridad de la Unión y en las capacidades de la Unión en materia de gestión de las fronteras exteriores, debe establecerse la interoperabilidad de los sistemas de información de la UE, es decir el Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS), y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN), para que estos sistemas de información y sus datos se complementen mutuamente, respetando al mismo tiempo los derechos fundamentales de los individuos, especialmente el derecho a la protección de los datos personales. Para ello, deben crearse, como componentes de interoperabilidad, un portal europeo de búsqueda (PEB), un servicio de correspondencia biométrica compartido (SCB compartido), un registro común de datos de identidad (RCDI) y un detector de identidades múltiples (DIM). |
(10) |
La interoperabilidad de los sistemas de información de la UE debe permitirles complementarse a fin de facilitar la identificación correcta de las personas, incluidas las personas desconocidas que no puedan identificarse o los restos humanos sin identificar, contribuir a luchar contra la usurpación de identidad, mejorar y armonizar los requisitos de calidad de los datos de los respectivos sistemas de información de la UE, facilitar la aplicación técnica y operativa por los Estados miembros de los sistemas de información de la UE, reforzar las garantías de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, racionalizar el acceso con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves al SES, el VIS, el SEIAV y Eurodac, y apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. |
(11) |
Los componentes de interoperabilidad deben abarcar el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Asimismo, deben incluir los datos de Europol, pero solo en la medida necesaria para que los datos de Europol puedan ser consultados al mismo tiempo que esos sistemas de información de la UE. |
(12) |
Los componentes de interoperabilidad deben tratar los datos personales de personas cuyos datos personales sean tratados por los sistemas de información subyacentes de la UE y por Europol. |
(13) |
Debe crearse un PEB con el fin de facilitar técnicamente a las autoridades de los Estados miembros y las agencias de la Unión Europea un acceso rápido, ininterrumpido, eficiente, sistemático y controlado los sistemas de información de la UE, los datos de Europol y las bases de datos de la Organización Internacional de Policía Criminal (Interpol)en la medida en que sea necesario para llevar a cabo sus tareas, de conformidad con sus derechos de acceso, así como para apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS, el ECRIS-TCN y los datos de Europol. Al permitir la consulta simultánea de todos los sistemas de información de la UE relevantes en paralelo, así como de los datos de Europol y de las bases de datos de Interpol, el PEB debe actuar como una ventanilla única o «intermediario de mensajes» a distintos sistemas centrales de búsqueda y recabar la información necesaria de forma ininterrumpida y en el pleno respeto de las normas de control de acceso y los requisitos de protección de datos de los sistemas subyacentes. |
(14) |
El diseño del PEB debe garantizar que, al iniciar una consulta de las bases de datos de Interpol, los datos utilizados por un usuario del PEB para iniciar una consulta de las bases de datos de Interpol no se compartan con los propietarios de los datos de Interpol. El diseño del PEB debe garantizar asimismo que las bases de datos de Interpol se consulten únicamente de conformidad con el Derecho nacional y de la Unión aplicable. |
(15) |
La base de datos de documentos de viaje robados y perdidos (base de datos DVRP) de la Interpol permite a las entidades autorizadas responsables de la prevención, detección o investigación de delitos de terrorismo u otros delitos graves en los Estados miembros, incluidas las autoridades de inmigración y de control de las fronteras, determinar la validez de un documento de viaje. El SEIAV consulta la base de datos DVRP y la base de datos de Interpol de documentos de viaje asociados a notificaciones (base de datos TDAWN) para valorar la probabilidad de que una persona que solicite una autorización de viaje esté migrando de manera irregular o pueda suponer una amenaza a la seguridad. El PEB debe permitir las consultas de los datos de identidad o los datos del documento de viaje de una persona física en las bases de datos DVRP y TDAWN. Cuando se transmitan datos personales desde la Unión a Interpol a través del PEB, deben aplicarse las disposiciones sobre transmisiones internacionales que contempla el capítulo V del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4) o las disposiciones nacionales de transposición del capítulo V de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (5), sin perjuicio de las normas específicas establecidas en la Posición Común 2005/69/JAI del Consejo (6) y en la Decisión 2007/533/JAI del Consejo (7). |
(16) |
El PEB debe desarrollarse y configurarse de tal forma que solo permita la realización de esas consultas utilizando datos que no sean relativos a personas o documentos de viaje que obren en un sistema de información de la UE, en los datos de Europol o en la base de datos de Interpol. |
(17) |
Para garantizar el uso sistemático de los sistemas de información de la UE pertinentes, el PEB debe utilizarse para consultar el RCDI, el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Sin embargo, debe mantenerse la conexión nacional a los diferentes sistemas de información de la UE, a fin de proporcionar una alternativa técnica. Las agencias de la Unión deben también utilizar el PEB para consultar el SIS Central de conformidad con sus derechos de acceso, en el ejercicio de sus funciones. El PEB debe ser un medio suplementario para consultar el SIS Central, los datos de Europol y las bases de datos de Interpol, como complemento de las interfaces específicas existentes. |
(18) |
Los datos biométricos, como las impresiones dactilares y las imágenes faciales, son únicos y, por tanto, mucho más fiables para la identificación de una persona que los datos alfanuméricos. El SCB compartido debe ser un instrumento técnico para reforzar y facilitar la labor de los sistemas de información de la UE relevantes y los demás componentes de interoperabilidad. El objetivo principal del SCB compartido debe ser facilitar la identificación de una persona que esté registrada en varias bases de datos, utilizando un único componente tecnológico para cotejar los datos biométricos de dicha persona entre diferentes sistemas, en lugar de varios componentes diferentes en cada uno de los sistemas subyacentes. El SCB compartido debe contribuir a la seguridad, así como aportar beneficios desde el punto de vista financiero, operativo y de mantenimiento. Todos los sistemas automáticos de identificación mediante impresiones dactilares, incluidos los utilizados actualmente para Eurodac, el VIS y el SIS, utilizan plantillas biométricas compuestas por los datos obtenidos mediante una extracción de características de muestras biométricas reales. El SCB compartido debe agrupar y almacenar todas estas plantillas biométricas —separadas de un modo lógico, según el sistema de información del que provengan los datos— en un único lugar, facilitando así el cotejo entre sistemas por medio de plantillas biométricas y permitir economías de escala en el desarrollo y el mantenimiento de los sistemas centrales de la UE. |
(19) |
Las plantillas biométricas almacenadas en el SCB compartido deben estar formadas por datos procedentes de la extracción de características de las muestras biométricas reales y obtenerse de forma que no sea posible revertir el proceso de extracción. Las plantillas biométricas deben obtenerse a partir de datos biométricos, pero no debe ser posible obtener estos mismos datos biométricos a partir de las plantillas biométricas. Dado que los datos de las impresiones palmares y los perfiles de ADN solo se almacenan en el SIS, y no pueden utilizarse para cotejarlos con los datos existentes en otros sistemas de información, en consonancia con los principios de necesidad y proporcionalidad, el SCB compartido no debe almacenar perfiles de ADN ni plantillas biométricas obtenidas a partir de datos de las impresiones palmares. |
(20) |
Los datos biométricos constituyen datos personales sensibles. El presente Reglamento debe establecer las bases y las salvaguardias para el tratamiento de dichos datos a los únicos efectos de la identificación inequívoca de las personas afectadas. |
(21) |
El SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN necesitan una identificación exacta de las personas cuyos datos personales están almacenados en ellos. El RCDI debe, por consiguiente, facilitar la identificación correcta de las personas registradas en dichos sistemas. |
(22) |
Los datos personales almacenados en los citados sistemas de información de la UE pueden referirse a las mismas personas, pero con identidades distintas o incompletas. Los Estados miembros disponen de métodos eficaces para identificar a sus ciudadanos o a los residentes permanentes registrados en su territorio. La interoperabilidad de los sistemas de información de la UE debe contribuir a la identificación correcta de las personas que figuran en esos sistemas. El RCDI debe almacenar aquellos datos personales que sean necesarios para permitir una identificación más precisa de las personas cuyos datos están almacenados en aquellos sistemas, incluidos sus datos de identidad, los datos de su documento de viaje y sus datos biométricos, independientemente del sistema en el que hubiesen sido recogidos originalmente los datos. Solamente deben almacenarse en el RCDI los datos personales estrictamente necesarios para llevar a cabo un control de identidad adecuado. Los datos personales registrados en el RCDI no deben conservarse durante más tiempo del estrictamente necesario para los fines de los sistemas subyacentes y deben eliminarse automáticamente cuando se eliminen los datos en los sistemas subyacentes, con arreglo a su separación lógica. |
(23) |
Una nueva operación de tratamiento consistente en el almacenamiento de dichos datos en el RCDI, en lugar de su almacenamiento en cada uno de los diferentes sistemas, es necesaria para mejorar la exactitud de la identificación, que se hace posible mediante la comparación automatizada y las correspondencias entre dichos datos. El hecho de que los datos de identidad, los datos del documento de viaje y los datos biométricos se almacenen en el RCDI no debe obstaculizar en modo alguno el tratamiento de datos para los fines del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, ya que el RCDI debe ser un nuevo componente compartido de dichos sistemas subyacentes. |
(24) |
Es por tanto necesario crear un expediente individual en el RCDI para cada persona que se registre en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN para alcanzar el objetivo de una identificación correcta de las personas en el espacio Schengen y para apoyar al detector de identidades múltiples con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y luchar contra la usurpación de identidad. El expediente individual debe almacenar en un único lugar toda la información de identidad vinculada a una persona y dar acceso a ella a los usuarios finales debidamente autorizados. |
(25) |
El RCDI debe, por lo tanto, facilitar y racionalizar el acceso de las autoridades responsables de la prevención, detección o investigación de delitos de terrorismo u otros delitos graves a los sistemas de información de la UE que no se hayan creado exclusivamente con fines de prevención, detección o investigación de delitos graves. |
(26) |
El RCDI debe proporcionar un repositorio común de los datos de identidad, del documento de viaje y biométricos de las personas registradas en el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Debe ser parte de la arquitectura técnica de dichos sistemas y servir como componente compartido entre ellos para el almacenamiento de los datos de identidad, del documento de viaje y biométricos y para permitir su consulta |
(27) |
Todas las anotaciones presentes en el RCDI deben tener una separación lógica consistente en etiquetar automáticamente cada anotación con el nombre del sistema subyacente que lo contenga. El control de acceso del RCDI debe utilizar estas etiquetas para determinar si permite o no el acceso a la anotación en cuestión. |
(28) |
Cuando las autoridades policiales de un Estado miembro no hayan podido identificar a una persona debido a la inexistencia de un documento de viaje u otro documento fiable que demuestre la identidad de esa persona, o cuando existan dudas sobre los datos de identidad proporcionados por esa persona o sobre la autenticidad del documento de viaje o la identidad de su titular, o cuando esa persona sea incapaz de cooperar o se niegue a hacerlo, dichas autoridades policiales deben poder consultar el RCDI al objeto de identificar a la persona. A tal fin, las autoridades policiales deben tomar las impresiones dactilares mediante técnicas de toma de impresiones dactilares en vivo siempre que el procedimiento se haya iniciado en presencia de dicha persona. Dichas consultas al RCDI no deben estar permitidas en los casos de identificación de menores de doce años, salvo que sea en el interés superior del menor. |
(29) |
Cuando no puedan utilizarse los datos biométricos de la persona, o si la consulta de esos datos es infructuosa, la consulta debe llevarse a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje. Cuando la consulta indique que los datos sobre la persona están almacenados en el RCDI, las autoridades de los Estados miembros deben tener acceso al RCDI para consultar los datos de identidad y los datos del documento de viaje de esa persona, sin que el RCDI proporcione ninguna indicación con respecto a qué sistema de información de la UE pertenecen los datos. |
(30) |
Los Estados miembros deben adoptar medidas legislativas nacionales que designen a las autoridades competentes para llevar a cabo controles de identidad mediante el uso del RCDI y establezcan los procedimientos, las condiciones y los criterios de dichos controles acordes con el principio de proporcionalidad. En particular, debe preverse en el Derecho nacional la facultad de recoger datos biométricos durante el control de identidad de una persona presente ante un miembro del personal de dichas autoridades. |
(31) |
El presente Reglamento debe introducir también una nueva posibilidad de racionalizar el acceso a datos diferentes de los datos de identidad o de los datos del documento de viaje registrados en el SES, el VIS, el SEIAV y Eurodac por parte de las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas de los Estados miembros y de Europol. Estos datos pueden ser necesarios para la prevención, la detección o la investigación de delitos de terrorismo u otros delitos graves en un caso concreto en el que existan motivos razonables para creer que su consulta va a contribuir a la prevención, detección o investigación de delitos de terrorismo u otros delitos graves, en particular si existe una sospecha fundada de que el sospechoso, el autor o la víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos están almacenados en el SES, el VIS, el SEIAV o Eurodac. |
(32) |
El pleno acceso a los datos contenidos en el SES, el VIS, el SEIAV o Eurodac necesario para los fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, más allá del acceso a los datos de identidad o a los datos del documento de viaje guardados en el RCDI debe seguir rigiéndose por los instrumentos jurídicos aplicables. Las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas y Europol no saben de antemano cuáles de los sistemas de información de la UE contienen datos de las personas respecto de las cuales necesitan investigar. Esto da lugar a retrasos e ineficiencias. El usuario final autorizado por la autoridad designada debe, por lo tanto, estar autorizado a ver en cuál de esos sistemas de información de la UE están registrados los datos que corresponden al resultado de su consulta. El sistema correspondiente, por tanto, se señalaría con una indicación tras la verificación automatizada de la presencia de una correspondencia en el sistema (la denominada funcionalidad de aviso de correspondencia). |
(33) |
En este contexto, una respuesta del RCDI no debe interpretarse ni utilizarse como fundamento o razón para extraer conclusiones con respecto a una persona o tomar medidas contra ella, sino que solo debe utilizarse para presentar una solicitud de acceso a los sistemas de información subyacentes de la Unión, con arreglo a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos por los que se rige dicho acceso. Cualquier solicitud de acceso de este tipo debe estar sometida al capítulo VII del presente Reglamento y, en su caso, al Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 o el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (8). |
(34) |
Como norma general, cuando un aviso de correspondencia indique que los datos están registrados en el SES, el VIS, el SEIAV o Eurodac, las autoridades designadas o Europol deben solicitar el pleno acceso al menos a uno de los sistemas de información de la UE de que se trate. En los casos en que, con carácter excepcional, no se solicite este pleno acceso, por ejemplo, porque las autoridades designadas o Europol ya han obtenido los datos por otros medios o porque la obtención de los datos ya no está permitida con arreglo al Derecho nacional, debe registrarse la justificación de la falta de solicitud de acceso. |
(35) |
Los registros de las consultas del RCDI deben indicar la finalidad de la consulta. Cuando dicha consulta se haya llevado a cabo utilizando el planteamiento de consulta de datos en dos fases, los registros deben incluir una referencia al expediente nacional de la investigación o del caso, indicando de esta forma que dicha consulta ha sido iniciada con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves. |
(36) |
La consulta del RCDI por parte de las autoridades designadas y de Europol para obtener una respuesta en forma de aviso de correspondencia que indique que los datos están contenidos en el SES, el VIS, el SEIAV o Eurodac exige el tratamiento automatizado de datos personales. Un aviso de correspondencia no debe revelar datos personales de la persona de que se trate, aparte de la indicación de que algunos de sus datos están almacenados en uno de los sistemas. El usuario final autorizado no debe tomar ninguna decisión perjudicial para la persona de que se trate basándose únicamente en la presencia de un solo aviso de correspondencia. El acceso del usuario final a un aviso de correspondencia supondrá, por lo tanto, una interferencia muy limitada con el derecho a la protección de los datos personales de la persona de que se trate, al tiempo que permite a las autoridades designadas y a Europol solicitar el acceso a datos personales de forma más eficaz. |
(37) |
Debe crearse un DIM a fin de respaldar el funcionamiento del RCDI y de apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Para ser eficaces en el cumplimiento de sus respectivos objetivos, todos los sistemas de información de la UE exigen la identificación exacta de las personas cuyos datos personales almacenan. |
(38) |
Para mejorar la consecución de los objetivos de los sistemas de información de la UE, las autoridades que utilizan estos sistemas deben poder llevar a cabo verificaciones suficientemente fiables de las identidades de las personas cuyos datos estén almacenados en sistemas diferentes. El conjunto de datos de identidad o del documento de viaje almacenados en un sistema individual concreto puede ser incorrecto, incompleto o fraudulento, y actualmente no existe ninguna posibilidad de detectar datos de identidad o del documento de viaje incorrectos, incompletos o fraudulentos por medio de una comparación con los datos almacenados en otro sistema. Para resolver esta situación, es necesario disponer de un instrumento técnico a escala de la Unión que permita la identificación correcta de las personas a esos efectos. |
(39) |
El DIM debe crear y almacenar vínculos entre los datos de los distintos sistemas de información de la UE para detectar las identidades múltiples, con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y de luchar contra la usurpación de identidad. Solamente debe contener los vínculos los datos de personas que figuran en más de un sistema de información de la UE. Los datos vinculados deben estar estrictamente limitados a aquellos datos que sean necesarios para verificar si una persona está registrada, ya sea de forma justificada o injustificada, con diferentes identidades biográficas en diferentes sistemas, o para aclarar que dos personas con similares datos de identidad pueden no ser la misma persona. El tratamiento de datos a través del PEB y del SCB compartido, destinado a vincular expedientes individuales entre diferentes sistemas, debe quedar limitado a un mínimo absoluto y, por lo tanto, limitarse a la detección de identidades múltiples, que debe realizarse en el momento en que se añadan nuevos datos a uno de los sistemas que tengan datos almacenados en el RCDI o añadidos al SIS. El DIM debe incluir salvaguardias frente a una posible discriminación y decisiones desfavorables contra las personas con múltiples identidades legales. |
(40) |
El presente Reglamento establece nuevas operaciones de tratamiento de datos destinadas a identificar correctamente a las personas de que se trate. Esto constituye una injerencia en los derechos fundamentales reconocidos en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Dado que la aplicación eficaz de los sistemas de información de la UE depende de la identificación correcta de las personas afectadas, tal injerencia está justificada por los mismos objetivos para los que se ha creado cada uno de estos sistemas: la gestión eficaz de las fronteras de la Unión, la seguridad interna de la Unión y la aplicación efectiva de las políticas de la Unión en materia de visados y asilo. |
(41) |
El PEB y el SCB compartido deben comparar los datos sobre personas contenidos en el RCDI y en el SIS cuando una autoridad nacional o una agencia de la Unión creen o carguen nuevas anotaciones. Dicha comparación debe estar automatizada. El RCDI y el SIS deben utilizar el SCB compartido para detectar posibles vínculos basados en datos biométricos. El RCDI y el SIS deben utilizar el PEB para detectar posibles vínculos basados en datos alfanuméricos. El RCDI y el SIS deben poder identificar los mismos datos o datos similares relativos a una persona almacenados en varios sistemas. Cuando ese sea el caso, debe establecerse un vínculo que indique que se trata de la misma persona. El RCDI y el SIS deben configurarse de manera que detecten los pequeños errores de transliteración o de deletreo, a fin de que no sean fuentes de inconvenientes injustificados para la persona de que se trate. |
(42) |
La autoridad nacional o la agencia de la Unión que haya registrado los datos en el sistema de información de la UE respectivo debe confirmar o modificar esos vínculos. Esa autoridad nacional o agencia de la Unión deben tener acceso a los datos almacenados en el RCDI o el SIS y en el DIM, a efectos de la verificación manual de las diferentes identidades. |
(43) |
Una verificación manual de diferentes identidades debe ser garantizada por la autoridad que haya creado o actualizado los datos que hayan generado la correspondencia expresada mediante un vínculo con datos ya almacenados en otro sistema de información de la UE. La autoridad responsable de la verificación manual de diferentes identidades debe evaluar si existen múltiples identidades que se refieran a la misma persona de forma justificada o injustificada. Dicha evaluación debe llevarse a cabo, cuando sea posible, en presencia de la persona de que se trate y, en caso necesario, solicitando aclaraciones o información adicionales. Dicha evaluación debe realizarse sin demora, de conformidad con los requisitos legales para la exactitud de la información que contemplen el Derecho nacional y de la Unión. Especialmente en las fronteras, se restringirán los movimientos de las personas implicadas mientras durase la verificación que, por ese motivo, no debe prolongarse por tiempo indefinido. La existencia de un vínculo amarillo en el DIM no debe constituir por sí misma un motivo de denegación de entrada y cualquier decisión sobre la autorización o la denegación de entrada debe tomarse exclusivamente sobre la base de las disposiciones aplicables del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo (9). |
(44) |
Para los vínculos obtenidos en relación con el SIS y relacionados con las descripciones de personas buscadas para su detención, su entrega voluntaria o su extradición; personas desaparecidas o vulnerables; personas buscadas para que presten asistencia en un procedimiento judicial o personas buscadas a efectos de controles discretos, de controles de investigación o de controles específicos, la autoridad responsable de la verificación manual de las diferentes identidades debe ser la oficina SIRENE del Estado miembro que haya creado la descripción. Dichas categorías de descripciones del SIS son sensibles y no deben necesariamente ser compartidas con las autoridades que hayan creado o actualizado los datos vinculados a las mismas en uno de los otros sistemas de información de la UE. La creación de un vínculo con datos del SIS debe realizarse sin perjuicio de las medidas que deban adoptarse en virtud de los Reglamentos (UE) 2018/1860 (10), (UE) 2018/1861 (11) y (UE) 2018/1862 del Parlamento Europeo y del Consejo (12). |
(45) |
La creación de dichos vínculos requiere transparencia en cuanto a las personas afectadas. Con el fin de facilitar la aplicación de las salvaguardias necesarias de conformidad con las normas aplicables de la Unión en materia de protección de datos, las personas que estén sujetas a un vínculo rojo o a un vínculo blanco a raíz de una verificación manual de las diferentes identidades deben ser informadas por escrito, sin perjuicio de las limitaciones para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que no se pongan en peligro las investigaciones nacionales. Estas personas deben recibir un número de identificación único que les permita identificar a la autoridad a la que deben dirigirse para ejercer sus derechos. |
(46) |
Cuando exista un vínculo amarillo, la autoridad responsable de la verificación manual de las diferentes identidades debe tener acceso al RCD. Cuando exista un vínculo rojo, las autoridades de los Estados miembros y las agencias de la Unión que ya tengan acceso al menos a un sistema de información de la UE incluido en el RCDI o en el SIS deben tener acceso al DIM. Un vínculo rojo indica que una persona está utilizando diferentes identidades de manera injustificada, o que una persona está utilizando la identidad de otra persona. |
(47) |
Cuando exista un vínculo blanco o verde entre datos procedentes de dos sistemas de información de la UE, las autoridades de los Estados miembros y las agencias de la Unión también deben tener acceso al DIM, en caso de que dichas autoridades o agencias tengan acceso a ambos sistemas de información. Dicho acceso debe concederse con el único fin de permitir que la autoridad o la agencia detecten casos en los que los datos puedan haber sido vinculados incorrectamente o tratados en el DIM, el RCDI y el SIS incumpliendo el presente Reglamento, así como para que adopten las medidas necesarias para corregir la situación y actualizar o suprimir el vínculo. |
(48) |
La Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA) debe establecer mecanismos automatizados de control de calidad de los datos e indicadores comunes de calidad de los datos. Debe ser responsable de desarrollar de una capacidad central de supervisión de la calidad de los datos y de la elaboración de informes periódicos de análisis de datos para mejorar el control de la implementación y la aplicación por los Estados miembros de los sistemas de información de la UE. Los indicadores comunes de calidad de los datos deben incluir las normas mínimas de calidad aplicables al almacenamiento de datos en los sistemas de información de la UE o en los componentes de interoperabilidad. El objetivo de dichas normas de calidad de los datos debe ser que los sistemas de información de la UE y los componentes de interoperabilidad identifiquen de forma automática presentaciones de datos aparentemente incorrectas o incoherentes, de modo que el Estado miembro que haya generado los datos pueda verificarlos y tomar las medidas correctoras que sean necesarias. |
(49) |
La Comisión debe evaluar los informes de calidad de eu-LISA y formular recomendaciones a los Estados miembros cuando proceda. Los Estados miembros deben ser responsables de la preparación de un plan de acción que describa las medidas destinadas a corregir cualquier deficiencia en la calidad de los datos y deben informar periódicamente sobre sus progresos. |
(50) |
El formato universal de mensajes (UMF) debe servir como norma para el intercambio de información, estructurado y transfronterizo, entre sistemas de información, autoridades y organizaciones en el ámbito de la justicia y los asuntos de interior. El UMF debe definir un vocabulario común y estructuras lógicas para la información intercambiada habitualmente con el objetivo de facilitar la interoperabilidad y permitir la creación y la lectura del contenido del intercambio de forma coherente y equivalente desde el punto de vista semántico. |
(51) |
Puede tomarse en consideración la aplicación de la norma UMF en el VIS, el SIS y cualquier otro modelo existente o nuevo de intercambio transfronterizo de información o sistema de información en el ámbito de la justicia y los asuntos de interior desarrollado por los Estados miembros. |
(52) |
Debe crearse un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de generar datos estadísticos entre sistemas e informes de análisis relativos a la formulación de políticas, la operatividad y la calidad de los datos, de conformidad con los instrumentos jurídicos respectivos. eu-LISA debe crear e implementar el RCIE y alojarlo en sus sitios técnicos que contengan datos estadísticos anonimizados procedentes de los sistemas mencionados anteriormente, el RCDI, el DIM y el SCB compartido. Los datos contenidos en el RCIE no deben permitir la identificación de personas. eu-LISA debe anonimizar de forma automatizada los datos y registrar los datos anonimizados en el RCIE. El proceso para anonimizar los datos debe ser automatizado y no debe concederse al personal de eu-LISA acceso a ninguno de los datos personales almacenados en los sistemas de información de la UE o en los componentes de interoperabilidad. |
(53) |
El Reglamento (UE) 2016/679 se aplica al tratamiento de datos personales con fines de interoperabilidad por parte de las autoridades nacionales en virtud del presente Reglamento, a menos que sean las autoridades designadas o los puntos de acceso central de los Estados miembros quienes lleven a cabo dicho tratamiento por razones de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves. |
(54) |
Cuando el tratamiento de los datos personales por parte de los Estados miembros con fines de interoperabilidad en virtud del presente Reglamento lo realicen las autoridades competentes a efectos de prevención, detección o investigación de los delitos de terrorismo o de otros delitos graves, debe ser de aplicación la Directiva (UE) 2016/680. |
(55) |
El Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o, en su caso, la Directiva (UE) 2016/680 se aplican también a las transferencias de datos personales a terceros países u organizaciones internacionales realizadas de conformidad con el presente Reglamento. Sin perjuicio de los motivos de la transferencia con arreglo al capítulo V del Reglamento (UE) 2016/679 o, en su caso, de la Directiva (UE) 2016/680, toda resolución de un órgano jurisdiccional y toda decisión de una autoridad administrativa de un tercer país que exija a un responsable o encargado transferir o divulgar datos personales solo debe ser reconocida o ejecutable de alguna forma si se basa en un acuerdo internacional vigente entre el tercer país solicitante y la Unión o un Estado miembro. |
(56) |
Las disposiciones específicas sobre protección de datos de los Reglamentos (UE) 2017/2226 (13), (CE) n.o 767/2008 (14), (UE) 2018/1240 (15) del Parlamento Europeo y del Consejo y el Reglamento (UE) 2018/1861 son aplicables al tratamiento de datos personales en los sistemas regulados por esos Reglamentos. |
(57) |
El Reglamento (UE) 2018/1725 es aplicable al tratamiento de los datos personales por eu-LISA y otras instituciones y organismos de la Unión en el ejercicio de sus responsabilidades con arreglo al presente Reglamento, sin perjuicio del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (16), aplicable al tratamiento de datos personales por parte de Europol. |
(58) |
Las autoridades de control a que se refiere el Reglamento (UE) 2016/679 o la Directiva (UE) 2016/680 deben supervisar la legalidad del tratamiento de los datos personales por los Estados miembros. El Supervisor Europeo de Protección de Datos debe supervisar las actividades que llevan a cabo las instituciones y organismos de la Unión en relación con el tratamiento de datos personales. El Supervisor Europeo de Protección de Datos y las autoridades de control deben cooperar en la supervisión del tratamiento de los datos personales que se realice mediante los componentes de interoperabilidad. Para que el Supervisor Europeo de Protección de Datos cumpla las tareas que le encomienda el presente Reglamento, se requieren recursos suficientes, tanto humanos como financieros. |
(59) |
De conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (17), se consultó al Supervisor Europeo de Protección de Datos, que emitió su dictamen el 16 de abril de 2018 (18). |
(60) |
El Grupo de Trabajo del Artículo 29 emitió un dictamen el 11 de abril de 2018. |
(61) |
Los Estados miembros y eu-LISA deben disponer de planes de seguridad para facilitar el cumplimiento de las obligaciones en materia de seguridad y deben cooperar entre sí para solucionar los problemas de seguridad. eu-LISA también debe asegurarse de que se haga un uso continuo de los avances tecnológicos más recientes a fin de garantizar la integridad de los datos en el contexto del desarrollo, el diseño y la gestión de los componentes de interoperabilidad. Las obligaciones de eu-LISA a este respecto deben incluir la adopción de las medidas necesarias para impedir el acceso de personas no autorizadas, como el personal de proveedores de servicios externos, a datos personales tratados mediante los componentes de interoperabilidad. Al adjudicar contratos para la prestación de servicios, los Estados miembros y eu-LISA deben considerar todas las medidas necesarias para garantizar el cumplimiento de las disposiciones legislativas o reglamentarias relativas a la protección de los datos personales y a la privacidad de las personas o salvaguardar intereses esenciales en materia de seguridad, de conformidad con el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (19) y los convenios internacionales aplicables. eu-LISA debe aplicar los principios de protección de la intimidad desde el diseño y por defecto durante el desarrollo de los componentes de interoperabilidad. |
(62) |
La aplicación de los componentes de interoperabilidad previstos en el presente Reglamento tendrá repercusiones sobre la manera en que se llevan a cabo las inspecciones en los pasos fronterizos. Estas repercusiones serán el resultado de la aplicación combinada de las disposiciones vigentes del Reglamento (UE) 2016/399 y de las normas sobre interoperabilidad establecidas en el presente Reglamento. |
(63) |
Como consecuencia de esta aplicación combinada de las normas, el PEB debe constituir el principal punto de acceso para la consulta sistemática obligatoria de las bases de datos sobre personas en los pasos fronterizos, prevista por el Reglamento (UE) 2016/399. Además, los guardias de fronteras deben tener en cuenta los datos de identidad o del documento de viaje que hayan dado lugar a la clasificación como vínculo rojo de un vínculo en el DIM, para evaluar si el interesado cumple o no las condiciones de entrada definidas en el Reglamento (UE) 2016/399. Sin embargo, la presencia de un vínculo rojo no constituye en sí misma un motivo de denegación de entrada y, por lo tanto, los motivos de denegación de entrada que actualmente se enumeran en el Reglamento (UE) 2016/399 no deben modificarse. |
(64) |
Resulta oportuno actualizar el Manual práctico para guardias de fronteras a fin de formular de forma explícita estas aclaraciones. |
(65) |
En caso de que la consulta del DIM a través del PEB dé lugar a un vínculo amarillo o detecte un vínculo rojo, el guardia de fronteras debe consultar el RCDI, el Sistema de Información de Schengen o ambos, a fin de evaluar la información relativa a la persona objeto de la inspección, verificar manualmente su identidad diferente y, si procede, adaptar el color del vínculo. |
(66) |
Para apoyar los objetivos en materia de estadísticas e informes, es necesario conceder al personal autorizado de las autoridades, las instituciones y las agencias de la Unión competentes a que se refiere el presente Reglamento acceso para consultar determinados datos relativos a determinados componentes de interoperabilidad sin permitir la identificación de las personas. |
(67) |
A fin de permitir a las autoridades de los Estados miembros y a las agencias de la Unión adaptarse a los nuevos requisitos sobre el uso del PEB, es necesario prever un periodo transitorio. Del mismo modo, a fin de garantizar la coherencia y el funcionamiento óptimo del DIM, deben adoptarse medidas transitorias para su entrada en funcionamiento. |
(68) |
Dado que el objetivo del presente Reglamento, a saber, el establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE, no puede ser alcanzado de manera suficiente por los Estados miembros sino que, debido a las dimensiones y a los efectos de la acción, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo. |
(69) |
El saldo en el presupuesto asignado a las fronteras inteligentes con arreglo al Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo (20) debe reasignarse al presente Reglamento, de conformidad con el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014 al objeto de cubrir los costes del desarrollo de los componentes de interoperabilidad. |
(70) |
A fin de complementar ciertos aspectos técnicos concretos del presente Reglamento, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea (TFUE), por lo que respecta a:
Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (21). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados. |
(71) |
A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para fijar las fechas a partir de las cuales deben comenzar a funcionar el PEB, el SCB compartido, el RCDI, el DIM y el RCIE. |
(72) |
También deben conferirse a la Comisión competencias de ejecución para adoptar normas detalladas relativas a: los detalles técnicos de los perfiles de los usuarios del PEB; las especificaciones de la solución técnica para facilitar la consulta de los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol por el PEB y el formato de las respuestas del PEB; las normas técnicas para la generación de vínculos entre datos de los distintos sistemas de información de la UE; el contenido y la presentación del formulario que se debe utilizar para informar al titular de los datos cuando se genere un vínculo rojo; los requisitos y la supervisión del rendimiento del SCB compartido; los mecanismos, procedimientos e indicadores del control automatizado de la calidad de los datos; el desarrollo de la norma UMF; el procedimiento de cooperación que se debe utilizar en caso de incidentes de seguridad y las especificaciones de la solución técnica para que los Estados miembros gestionen las solicitudes de acceso de los usuarios. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (22). |
(73) |
Ya que los componentes de interoperabilidad conllevarán el tratamiento de cantidades significativas de datos personales sensibles, es importante que las personas cuyos datos se traten a través de dichos componentes puedan ejercer de forma eficaz sus derechos como titulares de los datos, tal y como exigen el Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. Los titulares de los datos deben disponer de un portal web que les facilite el ejercicio de sus derechos de acceso a sus datos personales y de rectificación, supresión y limitación del tratamiento de dichos datos. eu-LISA debe crear y gestionar dicho portal web. |
(74) |
Uno de los principios fundamentales de la protección de datos es la minimización de datos: de conformidad con el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679, que establece que el tratamiento de datos personales será adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados. Por esta razón, los componentes de interoperabilidad no deben prever el almacenamiento de nuevos datos personales, con excepción de los vínculos que se almacenarán en el DIM y que son el mínimo necesario a los efectos del presente Reglamento. |
(75) |
El presente Reglamento debe contener disposiciones claras sobre responsabilidad civil y el derecho a una indemnización por daños y perjuicios causados por el tratamiento ilegal de datos personales y por cualquier otro acto incompatible con él. Las referidas disposiciones se entienden sin perjuicio del derecho a una indemnización y de la responsabilidad civil del responsable o del encargado del tratamiento en virtud del Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. eu-LISA debe ser responsable, como encargada del tratamiento de datos, de cualesquiera daños y perjuicios que cause cuando no cumpla las obligaciones que el presente Reglamento le impone específicamente, o cuando haya actuado al margen o en contra de las instrucciones legales del Estado miembro que sea responsable del tratamiento de los datos. |
(76) |
El presente Reglamento se entiende sin perjuicio de la aplicación de la Directiva 2004/38/CE del Parlamento Europeo y del Consejo (23). |
(77) |
De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por este ni sujeta a su aplicación. Dado que el presente Reglamento desarrolla el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, en un plazo de seis meses a partir de que el Consejo haya tomado una medida sobre el presente Reglamento, si lo incorpora o no a su Derecho nacional. |
(78) |
El presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en las que el Reino Unido no participa, de conformidad con la Decisión 2000/365/CE del Consejo (24); por lo tanto, el Reino Unido no participa en su adopción y no queda vinculado por él ni sujeto a su aplicación. |
(79) |
El presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en las que Irlanda no participa de conformidad con la Decisión 2002/192/CE del Consejo (25); por lo tanto, Irlanda no participa en su adopción y no queda vinculada por él ni sujeta a su aplicación. |
(80) |
En lo que respecta a Islandia y Noruega, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del acuerdo celebrado por el Consejo de la Unión Europea con la República de Islandia y el Reino de Noruega sobre la asociación de esos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen (26), que entran en el ámbito mencionado en el artículo 1, puntos A, B y G, de la Decisión 1999/437/CE del Consejo (27). |
(81) |
Por lo que respecta a Suiza, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen, en el sentido del Acuerdo firmado entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (28), que entran en el ámbito mencionado en el artículo 1, puntos A, B, C y G, de la Decisión 1999/437/CE, en relación con el artículo 3 de la Decisión 2008/146/CE del Consejo (29). |
(82) |
Por lo que respecta a Liechtenstein, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, la aplicación y el desarrollo del acervo de Schengen (30), que entran en el ámbito mencionado en el artículo 1, puntos A, B, C y G, de la Decisión 1999/437/CE del Consejo, en relación con el artículo 3 de la Decisión 2011/350/UE del Consejo (31). |
(83) |
El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, en la Carta de los Derechos Fundamentales de la Unión Europea, por lo que debe aplicarse de conformidad con tales derechos y principios. |
(84) |
A fin de que el presente Reglamento encaje en el marco jurídico vigente, los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861, y las Decisiones 2004/512/CE (32) y 2008/633/JAI (33) del Consejo deben modificarse en consecuencia. |
HAN ADOPTADO EL PRESENTE REGLAMENTO:
CAPÍTULO I
Disposiciones generales
Artículo 1
Objeto
1. El presente Reglamento, junto con el Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo (34) establece un marco para garantizar la interoperabilidad del Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS) y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN).
2. El marco incluirá los siguientes componentes de interoperabilidad:
a) |
un portal europeo de búsqueda (PEB); |
b) |
un servicio de correspondencia biométrica compartido (SCB compartido); |
c) |
un registro común de datos de identidad (RCDI); |
d) |
un detector de identidades múltiples (DIM). |
3. El presente Reglamento establece también disposiciones sobre los requisitos de calidad de los datos, sobre un formato universal de mensajes (UMF) y sobre un repositorio central de presentación de informes y estadísticas (RCIE), así como las responsabilidades de los Estados miembros y de la Agencia Europea para la Gestión Operativa de Sistemas Informáticos de gran magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), en lo que respecta al diseño, el desarrollo y el funcionamiento de los componentes de interoperabilidad.
4. El presente Reglamento también adapta los procedimientos y las condiciones para el acceso de las autoridades designadas y de la Agencia de la Unión Europea para la Cooperación Policial (Europol) al SES, al VIS, al SEIAV y a Eurodac con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves.
5. El presente Reglamento establece asimismo un marco para la verificación de la identidad de las personas y para la identificación de las personas.
Artículo 2
Objetivos
1. Mediante la garantía de la interoperabilidad, el presente Reglamento tiene los siguientes objetivos:
a) |
mejorar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores; |
b) |
contribuir a la prevención de la inmigración ilegal y a la lucha contra ella; |
c) |
contribuir a un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros; |
d) |
mejorar la aplicación de la política común de visados; |
e) |
ayudar a examinar las solicitudes de protección internacional; |
f) |
contribuir a la prevención, detección e investigación de los delitos de terrorismo o de otros delitos penales graves; |
g) |
ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas. |
2. Los objetivos contemplados en el apartado 1 se alcanzarán:
a) |
garantizando la identificación correcta de las personas; |
b) |
contribuyendo a luchar contra la usurpación de identidad; |
c) |
mejorando la calidad de los datos y armonizando los requisitos de calidad de los datos almacenados en los sistemas de información de la UE, respetando al mismo tiempo los requisitos de tratamiento de datos de los instrumentos jurídicos que rigen los diferentes sistemas y las normas y principios en materia de protección de datos; |
d) |
facilitando y apoyando la aplicación técnica y operativa por parte de los Estados miembros de los sistemas de información de la UE; |
e) |
reforzando, simplificando y uniformizando las condiciones de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, sin perjuicio de la protección y las salvaguardias especiales otorgadas a ciertas categorías de datos; |
f) |
racionalizando las condiciones de acceso de las autoridades designadas al SES, al VIS, al SEIAV y a Eurodac, garantizando al mismo tiempo las condiciones necesarias y proporcionadas para dicho acceso; |
g) |
apoyando los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. |
Artículo 3
Ámbito de aplicación
1. El presente Reglamento es aplicable al SES, el VIS, el SEIAV y el SIS.
2. El presente Reglamento es aplicable a las personas cuyos datos personales puedan ser objeto de tratamiento en los sistemas de información de la UE a que se refiere el apartado 1 del presente artículo y cuyos datos se recojan para los fines definidos en los artículos 1 y 2 del Reglamento (CE) n.o 767/2008, el artículo 1 del Reglamento (UE) 2017/2226, los artículos 1 y 4 del Reglamento (UE) 2018/1240, el artículo 1 del Reglamento (UE) 2018/1860 y el artículo 1 del Reglamento (UE) 2018/1861.
Artículo 4
Definiciones
A los efectos del presente Reglamento, se entenderá por:
1) «fronteras exteriores»: las fronteras exteriores tal como se definen en el artículo 2, punto 2, del Reglamento (UE) 2016/399;
2) «inspecciones fronterizas»: las inspecciones fronterizas tal como se definen en el artículo 2, punto 11, del Reglamento (UE) 2016/399;
3) «autoridad fronteriza»: la guardia de fronteras encargada de llevar a cabo las inspecciones fronterizas de conformidad con la normativa nacional;
4) «autoridades de control»: las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 y las autoridades de control a que se refiere el artículo 41, apartado 1, punto 1, de la Directiva (UE) 2016/680;
5) «verificación»: el proceso de comparación de conjuntos de datos para establecer la validez de una identidad declarada (control simple);
6) «identificación»: el proceso de determinación de la identidad de una persona por comparación con múltiples conjuntos de datos de una base de datos (control múltiple);
7) «datos alfanuméricos»: datos representados por letras, dígitos, caracteres especiales, espacios y signos de puntuación;
8) «datos de identidad»: los datos a que se refiere el artículo 27, apartado 3, letras a) a h);
9) «datos dactiloscópicos»: imágenes de las impresiones dactilares e imágenes de huellas dactilares latentes que, debido a su carácter único y a los puntos de referencia que contienen, permiten comparaciones concluyentes y precisas sobre la identidad de una persona;
10) «imagen facial»: las imágenes digitales del rostro de una persona;
11) «datos biométricos»: los datos dactiloscópicos o las imágenes faciales;
12) «plantilla biométrica»: una representación matemática obtenida por extracción de características de los datos biométricos, limitada a las características necesarias para llevar a cabo identificaciones y verificaciones;
13) «documento de viaje»: el pasaporte o cualquier otro documento equivalente que permita a su titular cruzar las fronteras exteriores y en el que pueda insertarse el visado;
14) «datos del documento de viaje»: el tipo, el número y el país de expedición del documento de viaje, la fecha de expiración de su validez y el código de tres letras del país de expedición;
15) «sistemas de información de la UE»: el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN;
16) «datos de Europol»: los datos personales tratados por Europol a efectos del artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2016/794;
17) «bases de datos de Interpol»: la base de datos sobre documentos de viaje robados y perdidos (base de datos DVRP) y la base de datos de documentos de viaje asociados a notificaciones de Interpol (base de datos TDAWN);
18) «correspondencia»: la existencia de una coincidencia como resultado de la comparación automatizada de datos personales que hayan sido o estén siendo registrados en un sistema de información o una base de datos;
19) «autoridades policiales»: las «autoridades competentes» tal como se definen en el artículo 3, punto 7, de la Directiva (UE) 2016/680;
20) «autoridades designadas»: las autoridades designadas por el Estado miembro como se definen en el artículo 3, apartado 1, punto 26, del Reglamento (UE) 2017/2226, el artículo 2, apartado 1, letra e), de la Decisión 2008/633/JAI y el artículo 3, apartado 1, punto 21, del Reglamento (UE) 2018/1240;
21) «delito de terrorismo»: un delito con arreglo al Derecho nacional que corresponda o sea equivalente a alguno de los delitos a que se refiere la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (35);
22) «delito grave»: un delito que corresponda o sea equivalente a alguno de los delitos a los que se refiere el artículo 2, apartado 2, de la Decisión Marco 2002/584/JAI del Consejo (36), si está penado en el Derecho nacional con una pena privativa de libertad o de internamiento con una duración máxima no inferior a tres años;
23) «Sistema de Entradas y Salidas o “SES”»: el Sistema de Entradas y Salidas establecido por el Reglamento (UE) 2017/2226;
24) «Sistema de Información de Visados (“VIS”)»: el Sistema de Información de Visados establecido por el Reglamento (CE) n.o 767/2008;
25) «Sistema Europeo de Información y Autorización de Viajes (“SEIAV”)»: el Sistema Europeo de Información y Autorización de Viajes establecido por el Reglamento (UE) 2018/1240;
26) «Eurodac»: Eurodac establecido por el Reglamento (UE) n.o 603/2013 del Parlamento Europeo y del Consejo (37);
27) «Sistema de Información de Schengen o “SIS”»: el Sistema de Información de Schengen establecido por los Reglamentos (UE) 2018/1860, (UE) 2018/1861 y (UE) 2018/1862 del Parlamento Europeo y del Consejo;
28) «ECRIS-TCN»: el sistema centralizado para la identificación de los Estados miembros que contiene información sobre las condenas de nacionales de terceros países y apátridas establecido por el Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo (38).
Artículo 5
No discriminación y derechos fundamentales
El tratamiento de datos personales a los efectos del presente Reglamento no dará lugar a discriminación contra las personas por motivos tales como el género, la raza, el color, el origen étnico o social, las características genéticas, el idioma, la religión o las creencias, las opiniones políticas o de cualquier otro tipo, la pertenencia a una minoría nacional, el patrimonio, el nacimiento, la discapacidad, la edad o la orientación sexual. Deberá respetar plenamente la dignidad y la integridad humanas, así como los derechos fundamentales, incluido el derecho a la intimidad y a la protección de los datos personales. Se prestará especial atención a los niños, las personas mayores, las personas con discapacidad y las personas que necesitan protección internacional. El interés superior del menor constituirá una consideración primordial.
CAPÍTULO II
Portal europeo de búsqueda
Artículo 6
Portal europeo de búsqueda
1. Se crea un Portal europeo de búsqueda (PEB) con objeto de facilitar el acceso rápido, ininterrumpido, eficiente, sistemático y controlado de las autoridades de los Estados miembros y de las agencias de la Unión a los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol para el desempeño de sus tareas y de conformidad con sus derechos de acceso, así como con los objetivos y fines del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN.
2. El PEB se compondrá de:
a) |
una infraestructura central, incluido un portal de búsqueda que permita la consulta simultánea del SES, el VIS, el SEIAV, el SIS, Eurodac y el ECRIS-TCN, así como de los datos de Europol y las bases de datos de Interpol; |
b) |
un canal de comunicación seguro entre el PEB, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el PEB; |
c) |
una infraestructura de comunicación segura entre el PEB y el SES, el VIS, el SEIAV Eurodac, el SIS Central, el ECRIS-TCN, los datos de Europol y las bases de datos de Interpol, así como entre el PEB y las infraestructuras centrales del RCDI y el DIM. |
3. eu-LISA desarrollará el PEB y garantizará su gestión técnica.
Artículo 7
Utilización del portal europeo de búsqueda
1. La utilización del PEB se reservará a las autoridades de los Estados miembros y a las agencias de la Unión que tengan acceso como mínimo a uno de los sistemas de información de la UE, de conformidad con los instrumentos jurídicos que rijan esos sistemas, al RCDI y al DIM de conformidad con el presente Reglamento, a los datos de Europol de conformidad con el Reglamento (UE) 2016/794 o a las bases de datos de Interpol de conformidad con el Derecho nacional o de la Unión que regule dicho acceso.
Dichas autoridades de los Estados miembros y agencias de la Unión podrán utilizar el PEB y los datos que este facilite únicamente para los objetivos y fines establecidos en los instrumentos jurídicos que rigen dichos sistemas de información de la UE, en el Reglamento (UE) 2016/794 y en el presente Reglamento.
2. Las autoridades de los Estados miembros y agencias de la Unión a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en los sistemas centrales del SES, el VIS y SEIAV de conformidad con sus derechos de acceso a que se refieren los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Asimismo, utilizarán el PEB para consultar el RCDI, de conformidad con sus derechos de acceso con arreglo al presente Reglamento, para los fines mencionados en los artículos 20, 21 y 22.
3. Las autoridades de los Estados miembros a que se refiere el apartado 1 pueden utilizar el PEB para buscar datos relativos a las personas o sus documentos de viaje en el SIS Central a que se refieren los Reglamentos (UE) 2018/1860 y (UE) 2018/1861.
4. Cuando así se estipule en el Derecho de la Unión, las agencias de la Unión mencionadas en el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en el SIS Central.
5. Las autoridades de los Estados miembros y agencias de la Unión a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a documentos de viaje en las bases de datos de Europol, de conformidad con los derechos de acceso que les otorguen el Derecho nacional y la de la Unión.
Artículo 8
Perfiles de los usuarios del portal europeo de búsqueda
1. A los efectos de permitir el uso del PEB, eu-LISA creará, en colaboración con los Estados miembros, un perfil basado en la categoría de usuarios del PEB y en el objeto de sus consultas, de conformidad con los detalles técnicos y derechos de acceso a que se refiere el apartado 2. Cada perfil incluirá, de conformidad con el Derecho de la Unión y nacional, la información siguiente:
a) |
los campos de datos que tienen que utilizarse para llevar a cabo una consulta; |
b) |
los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol que tienen que consultarse, cuáles pueden consultarse y cuales tienen que dar una respuesta al usuario, |
c) |
los datos específicos en los sistemas de información de la UE, datos de Europol y las bases de datos de Interpol que pueden consultarse; |
d) |
las categorías de datos que pueden facilitarse en cada respuesta. |
2. La Comisión adoptará actos de ejecución para especificar los detalles técnicos de los perfiles a que se refiere el apartado 1, de conformidad con los derechos de acceso de los usuarios del PEB, conforme se regulan en los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
3. Los perfiles a que se refiere el apartado 1 serán revisados periódicamente por eu-LISA en colaboración con los Estados miembros, al menos una vez al año, y, cuando proceda, se actualizarán.
Artículo 9
Consultas
1. Los usuarios del PEB iniciarán una consulta mediante la presentación de datos alfanuméricos o biométricos al PEB. Cuando se haya iniciado una consulta, el PEB consultará el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI, los datos de Europol y las bases de datos de Interpol al mismo tiempo que los datos presentados por el usuario y de conformidad con el perfil de este.
2. Las categorías de datos utilizados para iniciar una consulta a través del PEB corresponderán a las categorías de datos relativos a personas o documentos de viaje que puedan utilizarse para consultar los distintos sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol, de conformidad con los instrumentos jurídicos que los rijan.
3. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el PEB.
4. Cuando se lance una consulta por un usuario del PEB, el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI, el DIM, los datos de Europol y las bases de datos de Interpol, proporcionarán como respuesta a la consulta los datos oportunos contenidos en ellas.
Sin perjuicio del artículo 20, la respuesta facilitada por el PEB indicará a qué sistema de información de la UE o base de datos pertenecen los datos.
El PEB no facilitará información relativa a los datos almacenados en sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol a los que el usuario no tenga acceso con arreglo al Derecho de la Unión y nacional aplicable.
5. Toda consulta de las bases de datos de Interpol iniciada a través del PEB se realizará de tal manera que no se revele ningún elemento de dicha información al propietario de la descripción Interpol.
6. El PEB dará respuestas al usuario tan pronto como se disponga de datos procedentes de uno de los sistemas de información de la UE, datos de Europol o las bases de datos de Interpol. Dichas respuestas contendrán únicamente los datos a que tenga acceso el usuario de conformidad con el Derecho de la Unión y nacional.
7. La Comisión adoptará un acto de ejecución para especificar el procedimiento técnico para que el PEB consulte los sistemas informativos de la UE, los datos de Europol y las bases de datos de Interpol, así como el formato de las respuestas del PEB. Dicho acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 10
Conservación de registros
1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008, el artículo 69 del Reglamento (UE) 2018/1240 y los artículos 12 y 18 del Reglamento (UE) 2018/1861, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del PEB. Dichos registros incluirán, en particular, lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicia la consulta y el perfil de usuario del PEB utilizado; |
b) |
la fecha y hora de la consulta; |
c) |
los sistemas de información de la UE y las bases de datos de Interpol consultados; |
2. Cada Estado miembro llevará un registro de las consultas que hacen sus autoridades y el personal de dichas autoridades debidamente autorizado para utilizar el PEB. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado.
3. Los registros a que se refieren los apartados 1 y 2 únicamente se podrán utilizar para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán cuando dejen de ser necesarios para dichos procedimientos de supervisión.
Artículo 11
Procedimientos alternativos en caso de imposibilidad técnica de utilizar el portal europeo de búsqueda
1. Cuando por un fallo del PEB resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, eu-LISA lo notificará a los usuarios del PEB de forma automatizada.
2. Cuando por un fallo de la infraestructura nacional de un Estado miembro resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, ese Estado miembro lo notificará a eu-LISA y a la Comisión de forma automatizada.
3. En los casos recogidos en los apartados 1 y 2 del presente artículo, y hasta que el fallo técnico quede resuelto, no será de aplicación la obligación a que se refiere el artículo 7, apartados 2 y 4, y los Estados miembros accederán a los sistemas de información de la UE o al RCDI cuando así deban de hacerlo con arreglo al Derecho de la Unión o nacional.
4. Cuando debido a un fallo de la infraestructura de una agencia de la Unión resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, dicha agencia lo notificará a eu-LISA y a la Comisión de forma automatizada.
CAPÍTULO III
Servicio de correspondencia biométrica compartido
Artículo 12
Servicio de correspondencia biométrica compartido
1. Se crea un servicio de correspondencia biométrica compartido (SCB compartido), que almacenará plantillas biométricas obtenidas a partir de los datos a que se refiere el artículo 13, almacenados en el RCDI y el SIS, y permitirá consultar datos biométricos a través de varios sistemas de información de la UE, a efectos de apoyar al RCDI y al DIM y los objetivos del SES, el VIS, Eurodac, el SIS y el ECRIS-TCN.
2. El SCB compartido se compondrá de:
a) |
una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar plantillas biométricas y permitir búsquedas con datos biométricos; |
b) |
una infraestructura de comunicación segura entre el SCB compartido, el SIS Central y el RCDI. |
3. eu-LISA desarrollará el SCB compartido y garantizará su gestión técnica.
Artículo 13
Almacenamiento de plantillas biométricas en el servicio de correspondencia biométrica compartido
1. El SCB compartido almacenará las plantillas biométricas, que obtendrá de los siguientes datos biométricos:
a) |
los datos a que se refieren el artículo 16, apartado 1, letra d), el artículo 17, apartado 1, letras b) y c), y el artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2017/2226; |
b) |
los datos a que se refiere el artículo 9, punto 6, del Reglamento (CE) n.o 767/2008; |
c) |
los datos a que se refiere el artículo 20, apartado 2, letras w) y x), con exclusión de las impresiones palmares, del Reglamento (UE) 2018/1861; |
d) |
los datos a que se refiere el artículo 4, apartado 1, letras u) y v), excluidas las impresiones palmares del Reglamento (UE) n.o 2018/1860. |
Las plantillas biométricas se almacenarán en el SCB compartido separadas de un modo lógico, según el sistema de información de la UE del que provengan los datos.
2. Para cada conjunto de datos a que se refiere el apartado 1, el SCB compartido incluirá en cada plantilla biométrica una referencia a los sistemas de información de la UE en que están almacenados los datos biométricos correspondientes y una referencia a los registros reales de dichos sistemas de información de la UE.
3. Las plantillas biométricas solo podrán introducirse en el SCB compartido tras un control de calidad automatizado de los datos biométricos añadidos a uno de los sistemas de información de la UE con que cuenta el SCB compartido para cerciorarse de que se alcanza un estándar mínimo de calidad de los datos.
4. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2.
5. La Comisión establecerá mediante un acto de ejecución los requisitos de rendimiento y las disposiciones prácticas para supervisar el funcionamiento del SCB compartido a fin de garantizar que la eficacia de las búsquedas biométricas respete procedimientos en los que el tiempo es un factor crítico, como los controles y las identificaciones en las fronteras. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 14
Búsqueda de datos biométricos con el SCB compartido
A fin de buscar los datos biométricos almacenados en el RCDI y el SIS, estos utilizarán las plantillas biométricas almacenadas en el SCB compartido. Las consultas con datos biométricos tendrán lugar de conformidad con los fines previstos en el presente Reglamento y en los Reglamentos (CE) n.o 767/2008, (UE) 2017/2226, (UE) 2018/1860, (UE) 2018/1861, (UE) 2018/1862 y (UE) 2019/816.
Artículo 15
Conservación de datos en el servicio de correspondencia biométrica compartido
Los datos a que se refiere el artículo 13, apartados 1 y 2, solo estarán almacenados en el SCB compartido mientras los datos biométricos correspondientes estén almacenados en el RCDI o en el SIS. Los datos se suprimirán del SCB compartido de forma automatizada.
Artículo 16
Conservación de registros
1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008, y los artículos 12 y 18 del Reglamento (UE) 2018/1861, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del SCB compartido. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
el historial de creación y almacenamiento de las plantillas biométricas; |
c) |
los sistemas de información de la UE consultados con las plantillas biométricas almacenadas en el SCB compartido; |
d) |
la fecha y hora de la consulta; |
e) |
el tipo de datos biométricos utilizados para iniciar la consulta; |
f) |
los resultados de la consulta y la fecha y hora de los resultados. |
2. Cada Estado miembro llevará un registro de las consultas de la autoridad y del personal debidamente autorizado para utilizar el PEB compartido. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado.
3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que dichos procedimientos de supervisión ya no exijan dichos registros.
CAPÍTULO IV
Registro común de datos de identidad
Artículo 17
Registro común de datos de identidad
1. Se establece un registro común de datos de identidad (RCDI), que creará un expediente individual para cada persona registrada en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, y contendrá los datos a que se refiere el artículo 18, con el fin de facilitar y apoyar la identificación correcta de las personas registradas en el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, de conformidad con el artículo 20, de apoyar el funcionamiento del DIM, de conformidad con el artículo 21, y de facilitar y racionalizar el acceso por parte de las autoridades designadas y de Europol al SES, al VIS, al SEIAV y a Eurodac, cuando sea necesario con fines de prevención, detección o investigación de delitos terroristas u otros delitos graves de conformidad con el artículo 22.
2. El RCDI se compondrá de:
a) |
una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar los datos a que se refiere el artículo 18; |
b) |
un canal de comunicación seguro entre el RCDI, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el RCDI de conformidad con el Derecho de la Unión y nacional; |
c) |
una infraestructura de comunicación segura entre el RCDI y el SES, el SEIAV el VIS, Eurodac y el ECRIS-TCN, así como las infraestructuras centrales del PEB, el SCB compartido y el DIM. |
3. eu-LISA desarrollará el RCDI y garantizará su gestión técnica.
4. Cuando, a causa de un fallo del RCDI, resulte técnicamente imposible consultarlo para identificar a una persona de conformidad con el artículo 20, detectar identidades múltiples de conformidad con el artículo 21, o a efectos de prevención, detección o investigación de delitos de terrorismo u otros delitos graves de conformidad con el artículo 22, eu-LISA informará a los usuarios del RCDI de forma automatizada.
5. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el RCDI.
Artículo 18
Datos del registro común de datos de identidad
1. El RCDI almacenará los siguientes datos, separados de un modo lógico según el sistema de información del que provengan:
a) |
los datos a que se refieren el artículo 16, apartado 1, letras a) a d), el artículo 17, apartado 1, letras a), b) y c), y el artículo 18, apartados 1 y 2, del Reglamento (UE) 2017/2226; |
b) |
los datos a que se refiere el artículo 9, apartados 4, letras a) a c), 5 y 6, del artículo 9 del Reglamento (CE) n.o 767/2008; |
c) |
los datos a que se refiere el artículo 17, apartado 2, letras a), a e), del Reglamento (UE) n.o 2018/1240; |
2. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia a los sistemas de información de la UE a los que los datos pertenecen.
3. Las autoridades que accedan al RCDI deberán hacerlo de conformidad con sus derechos de acceso en virtud de los instrumentos jurídicos que rigen los sistemas de información de la UE y del Derecho nacional, y de conformidad con sus derechos de acceso en virtud del presente Reglamento, para los fines contemplados en los artículos 20, 21 y 22.
4. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia al registro efectivo en los sistemas de información de la UE a los que pertenecen los datos.
5. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2.
Artículo 19
Adición, modificación y eliminación de datos en el RCDI
1. Cuando se añadan, modifiquen o eliminen datos en el SES, el VIS y el SEIAV, los datos contemplados en el artículo 18 almacenados en el expediente individual del RCDI se añadirán, modificarán o eliminarán en consecuencia, de forma automatizada.
2. Cuando se cree un vínculo blanco o rojo en el DIM, de conformidad con lo dispuesto en los artículos 32 o 33, entre los datos de dos o más de los sistemas de información de la UE que constituyen el RCDI, el RCDI añadirá los nuevos datos al expediente individual de los datos vinculados, en lugar de crear un nuevo expediente individual.
Artículo 20
Acceso al registro común de datos de identidad a efectos de identificación
1. La consulta del RCDI será efectuada por una autoridad policial, de conformidad con los apartados 2 y 5, exclusivamente en las circunstancias siguientes:
a) |
cuando una autoridad policial no sea capaz de identificar a una persona debido a la falta de un documento de viaje o de otro documento fiable que demuestre su identidad; |
b) |
cuando existan dudas sobre los datos de identidad facilitados por una persona; |
c) |
cuando existan dudas en cuanto a la autenticidad del documento de viaje u otro documento fiable facilitado por una persona; |
d) |
cuando existan dudas en cuanto a la identidad del titular de un documento de viaje o de otro documento fiable; o |
e) |
cuando la persona no pueda o se niegue a cooperar. |
Dicha consulta no estará permitida en el caso de menores de doce años, de no ser en el interés superior del menor.
2. Cuando se dé alguna de las circunstancias previstas en el apartado 1, y las medidas legislativas nacionales a que se refiere el apartado 5 las faculten para ello, las autoridades policiales podrán, únicamente con fines de identificación de una persona, consultar el RCDI con los datos biométricos de dicha persona tomados en vivo durante un control de identidad, siempre que el procedimiento se haya iniciado en presencia de esta.
3. Cuando la búsqueda indique que los datos de esa persona están almacenados en el RCDI, las autoridades policiales tendrán acceso para consultar los datos a que se refiere el artículo 18, apartado 1.
Cuando no puedan utilizarse los datos biométricos de la persona o cuando la consulta de esos datos sea infructuosa, la consulta se llevará a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje, o con los datos de identidad facilitados por esa persona.
4. Cuando hayan sido habilitadas para ello en virtud de las medidas legislativas nacionales a que se refiere el apartado 6, las autoridades policiales de un Estado miembro podrán consultar el RCDI con los datos biométricos de dichas personas, en caso de catástrofe natural, accidente o ataque terrorista, y únicamente con el fin de identificar a personas desconocidas que no puedan identificarse o restos humanos no identificados.
5. Los Estados miembros que deseen acogerse a la posibilidad prevista en el apartado 2 adoptarán medidas legislativas nacionales al efecto. Al hacerlo, los Estados miembros tendrán en cuenta la necesidad de evitar cualquier discriminación de los nacionales de terceros países. Esas medidas legislativas especificarán los objetivos precisos de la identificación dentro de los fines mencionados en el artículo 2, apartado 1, letras b) y c). Designarán a las autoridades policiales competentes y establecerán los procedimientos, condiciones y criterios de dichos controles.
6. Los Estados miembros que deseen hacer uso de la posibilidad prevista en el apartado 4 adoptarán medidas legislativas nacionales que establezcan los procedimientos, las condiciones y los criterios.
Artículo 21
Acceso al registro común de datos de identidad para la detección de identidades múltiples
1. Cuando una consulta del RCDI dé lugar a un vínculo amarillo de conformidad con el artículo 28, apartado 4, la autoridad responsable de la verificación manual de identidades diferentes de conformidad con el artículo 29, podrá acceder, únicamente a efectos de dicha verificación, a los datos a que se refiere el artículo 18, apartados 1 y 2, almacenados en el RCDI conectados por un vínculo amarillo.
2. Cuando una consulta del RCDI resulte en un vínculo rojo de conformidad con el artículo 32, las autoridades a que se refiere el artículo 26, apartado 2, podrán acceder, únicamente a efectos de combatir la usurpación de identidad, a los datos a que se refiere el artículo 18, apartados 1 y 2, almacenados en el RCDI pertenecientes a los distintos sistemas de información de la UE conectados por un vínculo rojo.
Artículo 22
Consulta del registro común de datos de identidad con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves
1. En un caso específico, las autoridades designadas y Europol podrán consultar el RCDI cuando existan motivos razonables para creer que la consulta de los sistemas de información de la UE contribuirá a la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, en particular cuando exista una sospecha fundada de que el sospechoso, autor o víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos se almacenan en el SES, el VIS y el SEIAV, para obtener información sobre si en el SES, el VIS o el SEIAV se encuentran datos sobre una persona específica.
2. Cuando, en respuesta a una consulta, el RCDI indique que existen datos sobre esa persona en el SES, el VIS o el SEIAV, el RCDI proporcionará a las autoridades designadas y a Europol una respuesta en forma de referencia al amparo del artículo 18, apartado 2, que indique cuál de los sistemas de información contiene los datos objeto de correspondencia. El RCDI responderá de manera que la seguridad de los datos no se vea comprometida.
La respuesta en la que se indique si los datos sobre esa persona se encuentran en alguno de los sistemas de información de la UE a que se refiere el apartado 1 se utilizará únicamente a los efectos de la presentación de una solicitud de pleno acceso con arreglo a las condiciones y procedimientos establecidos en los instrumentos jurídicos respectivos que rigen dicho acceso.
En caso de una correspondencia o de múltiples correspondencias, la autoridad designada o Europol presentará una solicitud de pleno acceso al menos a uno de los sistemas de información con los que se haya generado una correspondencia.
Cuando, con carácter excepcional, no se solicite el pleno acceso, las autoridades designadas deberán consignar, de forma localizable en el fichero nacional, la justificación para no hacerlo y Europol registrará la justificación en el expediente correspondiente.
3. El pleno acceso a los datos contenidos en el SES, el VIS o el SEIAV para los fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves seguirá estando sujeto a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos que rijan dicho acceso.
Artículo 23
Conservación de los datos en el registro común de datos de identidad
1. Los datos a que se refiere el artículo 18, apartados 1, 2 y 4, se eliminarán del RCDI de forma automatizada de conformidad con las disposiciones de conservación de los datos de los Reglamentos (UE) 2017/2226, (CE) n.o 767/2008 y (UE) 2018/1240 respectivamente.
2. El expediente individual se almacenará en el RCDI sólo durante el mismo tiempo que los datos correspondientes permanezcan almacenados en al menos uno de los sistemas de información de la UE cuyos datos estén contenidos en el RCDI. La creación de un vínculo no afectará al periodo de conservación de cada uno de los datos vinculados.
Artículo 24
Conservación de registros
1. Sin perjuicio del artículo 46 del Reglamento (UE) 2017/2226, el artículo 34 del Reglamento (CE) n.o 767/2008 y el artículo 69 del Reglamento (UE) 2018/1240, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del RCDI de conformidad con los apartados 2, 3 y 4 del presente artículo.
2. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 20 en el RCDI. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
la finalidad del acceso del usuario que realice la consulta a través del RCDI; |
c) |
la fecha y hora de la consulta; |
d) |
el tipo de datos utilizados para iniciar la consulta; |
e) |
los resultados de la consulta; |
3. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 21 en el RCDI. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
la finalidad del acceso del usuario que realice la consulta a través del RCDI; |
c) |
la fecha y hora de la consulta; |
d) |
cuando se genere un vínculo, el tipo de datos utilizados para iniciar la consulta y los resultados de la consulta indicando el sistema de información de la UE del que se recibieron los datos; |
4. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos con arreglo al artículo 22 en el RCDI. Dichos registros incluirán lo siguiente:
a) |
la fecha y hora de la consulta; |
b) |
los datos utilizados para iniciar la consulta; |
c) |
los resultados de la consulta; |
d) |
el Estado miembro o la agencia de la Unión que consulte el RCDI. |
La autoridad de control competente de conformidad con el artículo 41 de la Directiva (UE) 2016/680, o el Supervisor Europeo de Protección de Datos de conformidad con el artículo 43 del Reglamento (UE) 2016/794, verificará periódicamente los registros de dichos accesos, a intervalos no superiores a seis meses, con el fin de cerciorarse del cumplimiento de los procedimientos y condiciones establecidos en el artículo 22, apartados 1 y 2 del presente Reglamento.
5. Cada Estado miembro conservará los registros de las consultas que efectúen sus autoridades y el personal de esas autoridades debidamente autorizadas para utilizar el RCDI en virtud de los artículos 20, 21 y 22. Cada agencia de la Unión llevará registros de las consultas que efectúe su personal debidamente autorizado en virtud de los artículos 21 y 22.
Además, para cualquier acceso al RCDI con arreglo al artículo 22, cada Estado miembro conservará los registros siguientes:
a) |
el número de referencia del expediente nacional; |
b) |
el motivo del acceso; |
c) |
de conformidad con las normas nacionales, el nombre único de usuario del funcionario que haya efectuado la búsqueda y el del funcionario que haya pedido la búsqueda. |
6. Con arreglo al Reglamento (UE) 2016/794, para cualquier acceso al RCDI con arreglo al artículo 22 del presente Reglamento, Europol conservará registros de la identidad del usuario único del funcionario que haya realizado la consulta y del funcionario que haya encargado la consulta.
7. Los registros contemplados en los apartados 2, a 6 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de las condiciones de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.
8. eu-LISA conservará los registros relativos al historial de los datos en expedientes individuales. eu-LISA suprimirá esos registros de forma automatizada, una vez que se hayan suprimido esos datos.
CAPÍTULO V
Detector de identidades múltiples
Artículo 25
Detector de identidades múltiples
1. A fin de apoyar el funcionamiento del RCDI y la consecución de los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN, se establece un detector de identidades múltiples (DIM), para crear y almacenar los expedientes de confirmación de identidad a que se refiere el artículo 34, que contenga vínculos entre los datos de los sistemas de información de la UE incluidos en el RCDI y en el SIS y permita la detección de identidades múltiples, con el doble objetivo de facilitar los controles de identidad y combatir la usurpación de identidad
2. El DIM se compondrá de:
a) |
una infraestructura central, que almacenará los vínculos y las referencias a los sistemas de información de la UE; |
b) |
una infraestructura de comunicación segura que conecte el DIM con el SIS y las infraestructuras centrales del PEB y el RCDI. |
3. eu-LISA desarrollará el DIM y garantizará su gestión técnica.
Artículo 26
Acceso al detector de identidades múltiples
1. A los efectos de la verificación manual de las identidades diferentes a que se refiere el artículo 29, se concederá el acceso a los datos contemplados en el artículo 34 almacenados en el DIM a:
a) |
las autoridades competentes designadas de acuerdo con el artículo 9, apartado 2, del Reglamento (UE) n.o 2017/2226 cuando creen o actualicen un expediente individual en el VIS de conformidad con el artículo 14 de dicho Reglamento; |
b) |
las autoridades de visados a que se refiere el artículo 6, apartado 1, del Reglamento (CE) n.o 767/2008 cuando creen o actualicen un expediente individual en el VIS de conformidad con dicho Reglamento; |
c) |
la unidad central SEIAV y las unidades nacionales SEIAV, cuando lleven a cabo el tratamiento a que se refieren los artículos 22 y 26 de dicho Reglamento; |
d) |
la oficina SIRENE del Estado miembro que cree o actualice una descripción en el SIS de conformidad con los Reglamentos (UE) 2018/1861 y (UE) 2018/1861; |
2. Las autoridades de los Estados miembros y las agencias de la Unión que tengan acceso a, como mínimo, un sistema de información de la UE incluido en el RDCI o al SIS tendrán acceso a los datos a que se refiere el artículo 34, letras a) y b), en lo relativo a los vínculos rojos según lo dispuesto en el artículo 32.
3. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos blancos mencionados en el artículo 33 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo blanco.
4. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos verdes a que se refiere el artículo 31 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo verde y una consulta de dichos sistemas de información haya revelado una correspondencia con los dos conjuntos de datos relacionados.
Artículo 27
Detector de identidades múltiples
1. Se iniciará una detección de identidades múltiples en el RCDI y el SIS cuando:
a) |
se cree o actualice un expediente individual en el SES de conformidad con el artículo 14 del Reglamento (UE) 2017/2226; |
b) |
se cree o actualice un expediente individual en el VIS de conformidad con el Reglamento (CE) n.o 767/2008; |
c) |
se cree o actualice un expediente individual en el VIS de conformidad con el artículo 19 del Reglamento (UE) 2018/1240; |
d) |
se cree o actualice una descripción sobre una persona en el SIS de conformidad con el artículo 3 del Reglamento (UE) 2018/1860 y el capítulo V del Reglamento (UE) 2018/1861; |
2. Cuando los datos contenidos en un sistema de información de la UE mencionado en el apartado 1 contengan datos biométricos, el RCDI y el SIS Central utilizarán el SCB compartido para realizar la detección de identidades múltiples. El SCB compartido comparará las plantillas biométricas obtenidas a partir de cualquier nuevo dato biométrico con las plantillas biométricas ya contenidas en el SCB compartido, con el fin de verificar si los datos pertenecientes a una misma persona están ya almacenados en el RCDI o en el SIS Central.
3. Además del proceso mencionado en el apartado 2, el RDCI y el SIS Central utilizarán el PEB para buscar los datos almacenados en el SIS Central y el RDCI, respectivamente, utilizando los datos siguientes:
a) |
apellido o apellidos, nombre o nombres (de pila), fecha de nacimiento, nacionalidades y sexo, tal como se definen en el artículo 16, apartado 1, letra a), el artículo 17, apartado 1, y el artículo 18, apartado 1, del Reglamento (UE) 2017/2226; |
b) |
apellido o apellidos, nombre o nombres (de pila), fecha de nacimiento, sexo, lugar y país de nacimiento y nacionalidades tal como se definen en el artículo 9, apartado 4, letras a) y a bis), del Reglamento (CE) n.o 767/2008; |
c) |
apellido o apellidos, nombre o nombres (de pila), apellido o apellidos de nacimiento, alias, fecha de nacimiento, lugar de nacimiento, sexo y nacionalidad actual, tal como se definen en el artículo 17, apartado 2, letra a), del Reglamento (UE) 2018/1240; |
d) |
apellido o apellidos, nombre o nombres; apellido o apellidos de nacimiento, nombres usados con anterioridad y alias; lugar de nacimiento, fecha de nacimiento, sexo y cualesquiera nacionalidades que ostente, tal como se definen en el artículo 20, apartado 2, del Reglamento (UE) 2018/1861; |
e) |
apellido o apellidos, nombre o nombres; apellido o apellidos de nacimiento, nombres usados con anterioridad y alias; lugar de nacimiento, fecha de nacimiento, sexo y cualesquiera nacionalidades que ostente, tal como se definen en el artículo 4 del Reglamento (UE) 2018/1860. |
4. Además del proceso mencionado en los apartados 2 y 3, el RDCI y el SIS Central utilizarán el PEB para buscar los datos almacenados en el SIS Central y en el RDCI, respectivamente, utilizando los datos del documento de viaje.
5. La detección de identidades múltiples únicamente se iniciará con el fin de comparar los datos disponibles en un sistema de información de la UE con los datos disponibles en otros sistemas de información de la UE.
Artículo 28
Resultados de la detección de identidades múltiples
1. Si las consultas a que se refiere el artículo 27, apartados 2, 3 y 4, no dan lugar a ninguna correspondencia, los procedimientos a que se refiere el artículo 27, apartado 1, continuarán de conformidad con los instrumentos jurídicos por los que se rigen.
2. Cuando la consulta establecida en el artículo 27, apartados 2, 3 y 4, dé lugar a una o más correspondencias, el RCDI y, cuando proceda, el SIS crearán un vínculo entre los datos utilizados para iniciar la consulta y los datos que hayan dado lugar a la correspondencia positiva.
Cuando se registren varias correspondencias, se creará un vínculo entre todos los datos que hayan dado lugar a una correspondencia. Cuando los datos ya se hubiesen vinculado previamente, el vínculo existente se extenderá a los datos utilizados para iniciar la consulta.
3. Cuando la consulta a que se refiere el artículo 27, apartados 2, 3 y 4, dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados sean los mismos o similares, se creará un vínculo blanco de conformidad con el artículo 33.
4. Cuando la consulta a que se refiere el artículo 27, apartados 2, 3 y 4, dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados no puedan considerarse similares, se creará un vínculo amarillo de conformidad con el artículo 30 y será de aplicación el procedimiento a que se refiere el artículo 29.
5. La Comisión adoptará actos delegados de conformidad con el artículo 73 por los que se establezcan los procedimientos para determinar los casos en que pueda considerarse que los datos de identidad son los mismos o similares.
6. Los vínculos se almacenarán en el expediente de confirmación de identidad a que se refiere el artículo 34.
7. La Comisión, en cooperación con eu-LISA, establecerá mediante actos de ejecución las normas técnicas para crear vínculos entre los datos de los distintos sistemas de información de la UE. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 29
Verificación manual de identidades diferentes y autoridades responsables
1. Sin perjuicio del apartado 2, la autoridad responsable de la verificación manual de las diferentes identidades será:
a) |
la autoridad competente designada de conformidad con el artículo 9, apartado 2, del Reglamento (UE) n.o 2017/2226, en caso de correspondencias que se produzcan al crear o actualizar un expediente individual en el VIS de conformidad con dicho Reglamento; |
b) |
las autoridades en materia de visados a que se refiere el artículo 6, apartado 1 del Reglamento (CE) n.o 767/2008, en caso de correspondencias que se produzcan al crear o actualizar un expediente de solicitud en el VIS, de conformidad con el Reglamento (CE) n.o 767/2008; |
c) |
la unidad central SEIAV y las unidades nacionales SEIAV, en caso de correspondencias que se produzcan al crear o actualizar un expediente de solicitud con arreglo al Reglamento (UE) 2018/1240; |
d) |
la oficina SIRENE del Estado miembro, en caso de correspondencias que se produzcan al crear o actualizar una descripción en el SIS con arreglo a los Reglamentos (UE) 2018/1861 y (UE) 2018/1861; |
El DIM indicará a la autoridad responsable de la verificación manual de identidades diferentes que figuren en el expediente de confirmación de identidad.
2. La autoridad responsable de la verificación manual de identidades diferentes en el expediente de confirmación de identidad será la oficina SIRENE del Estado miembro que haya creado la descripción, cuando se cree un vínculo a los datos contenidos en una descripción:
a) |
respecto de personas buscadas para su detención o a efectos de su entrega o extradición, según lo dispuesto en el artículo 26 del Reglamento (UE) 2018/1862; |
b) |
respecto de personas desaparecidas o vulnerables, según lo dispuesto en el artículo 32 del Reglamento (UE) 2018/1862; |
c) |
respecto de personas buscadas para que comparezcan en un proceso judicial, según lo dispuesto en el artículo 34 del Reglamento (UE) 2018/1862; |
d) |
respecto de personas para controles discretos, controles de investigación o controles específicos, según lo dispuesto en el artículo 36 del Reglamento (UE) 2018/1862. |
3. Sin perjuicio del apartado 4 del presente artículo, la autoridad responsable de la verificación manual de las identidades diferentes tendrá acceso a los datos vinculados contenidos en el expediente de confirmación de identidad de que se trate y a los datos de identidad vinculados en el RCDI, así como, cuando proceda, en el SIS. Evaluará las diferentes identidades sin demora. Una vez finalizada dicha evaluación, actualizará el vínculo en consonancia con los artículos 31, 32 y 33 y lo añadirá sin demora al expediente de confirmación de identidad.
4. Cuando la autoridad responsable de la verificación manual de las diferentes identidades en el expediente de confirmación de identidad sea la autoridad competente, designada de acuerdo con el artículo 9, apartado 2, del Reglamento (UE) 2017/2226, quien cree o actualice un expediente individual en el SES de conformidad con el artículo 14 de dicho Reglamento, y cuando se cree un vínculo amarillo, dicha autoridad llevará a cabo verificaciones adicionales. Solo a estos efectos tendrá dicha autoridad acceso a los datos relevantes contenidos en el expediente de confirmación de identidad de que se trate. Actualizará el vínculo de conformidad con los artículos 31, 32 y 33 del presente Reglamento y lo añadirá sin demora al expediente de confirmación de identidad.
Dicha verificación manual de las diferentes identidades se efectuará en presencia de la persona interesada, quien deberá tener la oportunidad de explicar las circunstancias a la autoridad responsable, la cual tendrá en cuenta dichas explicaciones.
En los casos en que la verificación manual de diferentes identidades se efectúe en la frontera, se efectuará, a ser posible, en un plazo de doce horas a partir de la creación de un vínculo amarillo con arreglo al artículo 28, apartado 4.
5. Cuando se cree más de un vínculo, la autoridad responsable de la verificación manual de las diferentes identidades evaluará cada uno por separado.
6. Cuando los datos que den lugar a una correspondencia estén previamente vinculados, la autoridad responsable de la verificación manual de las diferentes identidades tendrá en cuenta los vínculos existentes al evaluar la creación de nuevos vínculos.
Artículo 30
Vínculo amarillo
1. Cuando todavía no haya tenido lugar una verificación manual de las identidades diferentes, un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como amarillo en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos, pero tengan datos de identidad similares o distintos; |
b) |
cuando los datos vinculados contengan distintos datos de identidad, pero compartan los mismos datos del documento de viaje y al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate; |
c) |
cuando los datos vinculados compartan los mismos datos de identidad, pero tengan distintos datos biométricos; |
d) |
cuando los datos vinculados contengan datos de identidad similares o distintos, y compartan los mismos datos del documento de viaje, pero tengan distintos datos biométricos. |
2. Cuando un vínculo se clasifique como amarillo con arreglo a lo dispuesto en el apartado 1, será de aplicación el procedimiento previsto en el artículo 29.
Artículo 31
Vínculo verde
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como verde cuando:
a) |
los datos vinculados contengan datos biométricos diferentes, pero compartan los mismos datos de identidad y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas; |
b) |
los datos vinculados contengan diferentes datos biométricos, contengan datos de identidad similares o distintos, compartan los mismos datos del documento de viaje y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas; |
c) |
los datos vinculados contengan distintos datos de identidad, pero compartan los mismos datos del documento de viaje, al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas. |
2. Cuando se consulten el RCDI o el SIS y exista un vínculo verde entre datos de dos o más de los sistemas de información de la UE, el DIM indicará que los datos de identidad de los datos vinculados no corresponden a la misma persona.
3. Si una autoridad de un Estado miembro tiene pruebas que sugieran que un vínculo verde ha sido registrado incorrectamente en el DIM, que no está actualizado o que se han tratado datos en el DIM o en los sistemas de información de la UE incumpliendo el presente Reglamento, comprobará los datos pertinentes almacenados en el RCDI y el SIS y, en caso necesario, rectificará o suprimirá sin demora el vínculo en el DIM. Dicha autoridad del Estado miembro informará sin demora al Estado miembro responsable de la verificación manual de las identidades diferentes.
Artículo 32
Vínculo rojo
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como rojo en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos, pero contengan datos de identidad similares o distintos y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a la misma persona de manera injustificada; |
b) |
cuando los datos vinculados contengan los mismos datos de identidad o datos de identidad similares o distintos y los mismos datos del documento de viaje, pero distintos datos biométricos y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas diferentes, al menos una de las cuales está utilizando el mismo documento de viaje de manera injustificada; |
c) |
cuando los datos vinculados compartan los mismos datos de identidad, pero tengan datos biométricos y datos del documento de viaje distintos, o no tengan documento de viaje, y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas de manera injustificada; |
d) |
cuando los datos vinculados contengan datos de identidad distintos, pero compartan los mismos datos de documento de viaje, al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a la misma persona de manera injustificada. |
2. Cuando se consulten el registro común de datos de identidad (RCDI) o el SIS y exista un vínculo rojo entre dos o más de los sistemas de información de la UE, el DIM responderá indicando los datos a que se refiere el artículo 34. Las actuaciones subsiguientes a un vínculo rojo se realizarán de conformidad con el Derecho de la Unión y nacional, y cualquier consecuencia jurídica para la persona de que se trate se basará únicamente en los datos relevantes sobre ella. La mera existencia de un vínculo rojo no tendrá consecuencias jurídicas para la persona afectada.
3. Cuando se cree un vínculo rojo entre datos del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, se actualizará el expediente individual almacenado en el RCDI de conformidad con el artículo 19, apartado 2.
4. Sin perjuicio de las disposiciones relativas al tratamiento de las descripciones en el SIS contenidas en los Reglamentos (UE)2018/1860, (UE) 2018/1861 y (UE) 2018/1862, y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que ninguna investigación nacional corra peligro, cuando se cree un vínculo rojo, la autoridad encargada de la verificación manual de las identidades diferentes informará a la persona de que se trate de la existencia ilegal de datos de identidades diferentes y facilitará a la persona el número de identificación único que se contempla en el artículo 34, letra c, del presente Reglamento, una referencia a la autoridad responsable de la verificación manual de las identidades diferentes a que se refiere el artículo 34, letra d) del presente Reglamento y la dirección de internet del portal web creado de conformidad con el artículo 49 del presente Reglamento.
5. La autoridad responsable de la verificación manual de las identidades diferentes facilitará por escrito la información a que se refiere el apartado 4 por medio de un formulario normalizado. La Comisión determinará el contenido y la presentación de dicho formulario mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
6. Cuando se genere un vínculo rojo, el DIM notificará de forma automatizada a las autoridades responsables de los datos vinculados.
7. Cuando una autoridad de un Estado miembro o una agencia de la Unión que tenga acceso al RCDI o al SIS obtenga pruebas que sugieran que un vínculo rojo ha sido registrado incorrectamente en el DIM, o que los datos tratados en el DIM, el RCDI o el SIS han sido tratados de manera contraria al presente Reglamento, dicha autoridad comprobará los datos almacenados en el RCDI y en el SIS y, en caso necesario:
a) |
cuando el vínculo se refiera a una de las descripciones en el SIS a que hace referencia el artículo 29, apartado 2, informará inmediatamente a la oficina SIRENE competente del Estado miembro que creó la descripción en el SIS; |
b) |
en todos los demás casos, o rectificará o suprimirá inmediatamente el enlace del DIM. |
Si una oficina SIRENE es contactada de conformidad con la letra a) del párrafo primero, verificará las pruebas facilitadas por la autoridad del Estado miembro y, si procede, rectificará o suprimirá el vínculo en el DIM inmediatamente.
La autoridad del Estado miembro que obtenga las pruebas informará sin demora al Estado miembro responsable de la verificación manual de las identidades diferentes, indicando, en su caso, cualquier rectificación o supresión de un vínculo rojo.
Artículo 33
Vínculo blanco
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como blanco en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos y datos de identidad iguales o similares; |
b) |
cuando los datos vinculados compartan datos de identidad iguales o similares, los mismos datos del documento de viaje y al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate; |
c) |
cuando los datos vinculados compartan los mismos datos biométricos, los mismos datos del documento de viaje y datos de identidad similares; |
d) |
cuando los datos vinculados compartan los mismos datos biométricos, pero contengan datos de identidad similares o distintos, y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados se refieren a la misma persona de manera justificada. |
2. Cuando se consulten el RCDI o el SIS y exista un vínculo blanco entre datos de dos o más de los sistemas de información de la UE, el DIM indicará que los datos de identidad de los datos vinculados corresponden a la misma persona. Los sistemas de información de la UE consultados responderán indicando, en su caso, todos los datos vinculados relativos a la persona, dando lugar así a una correspondencia en relación con los datos sujetos al vínculo blanco, cuando la autoridad que inicie la consulta tenga acceso a los datos vinculados con arreglo al Derecho de la Unión o nacional.
3. Cuando se cree un vínculo blanco entre datos del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, se actualizará el expediente individual almacenado en el RCDI de conformidad con el artículo 19, apartado 2.
4. Sin perjuicio de las disposiciones relativas al tratamiento de las descripciones en el SIS contenidas en los Reglamentos (UE)2018/1860, (UE) 2018/1861 y (UE) 2018/1862, y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que no se ponga en peligro ninguna investigación nacional, cuando se genere un vínculo blanco a raíz de una verificación manual de diferentes identidades, la autoridad responsable de la verificación manual de las identidades diferentes informará a la persona de que se trate de la existencia de datos de identidad similares o diferentes, y facilitará a dicha persona el número de identificación único a que se refiere el artículo 34, letra c), del presente Reglamento, una referencia a la autoridad responsable de la verificación manual de las identidades diferentes como se contempla en el artículo 34, letra d), del presente Reglamento y la dirección del portal web creado de conformidad con el artículo 49 del presente Reglamento.
5. Si una autoridad de un Estado miembro tiene pruebas que sugieran que un vínculo blanco ha sido registrado incorrectamente en el DIM o no está actualizado o que el tratamiento de datos en el DIM o en los sistemas de información de la UE es contrario al presente Reglamento, comprobará los datos pertinentes almacenados en el RCDI y el SIS y, en caso necesario, rectificará o suprimirá sin demora el vínculo en el DIM. Dicha autoridad del Estado miembro informará sin demora al Estado miembro responsable de la verificación manual de las identidades diferentes.
6. La autoridad responsable de la verificación manual de las identidades diferentes facilitará por escrito la información a que se refiere el apartado 4 por medio de un formulario normalizado. La Comisión determinará el contenido y presentación de dicho formulario mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 34
Expediente de confirmación de identidad
El expediente de confirmación de identidad contendrá los datos siguientes:
a) |
los vínculos, según lo dispuesto en los artículos 30 a 33; |
b) |
una referencia a los sistemas de información de la UE cuyos datos estén vinculados; |
c) |
un número de identificación único que permita recuperar los datos vinculados de los sistemas de información de la UE correspondientes; |
d) |
la autoridad responsable de la verificación manual de las identidades diferentes; |
e) |
la fecha de creación del vínculo o de toda actualización del mismo. |
Artículo 35
Conservación de los datos en el detector de identidades múltiples
Los expedientes de confirmación de identidad y los datos en ellos contenidos, incluidos los vínculos, se almacenarán en el DIM únicamente durante el tiempo en que los datos vinculados permanezcan almacenados en dos o más sistemas de información de la UE. Serán suprimidos del DIM de forma automatizada.
Artículo 36
Conservación de registros
1. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el DIM. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro que inicie la consulta; |
b) |
el motivo del acceso por parte del usuario; |
c) |
la fecha y hora de la consulta; |
d) |
el tipo de datos utilizados para iniciar la consulta; |
e) |
la referencia a los datos vinculados; |
f) |
el historial del expediente de confirmación de identidad; |
2. Cada Estado miembro mantendrá un registro de las consultas que hagan sus autoridades y el personal debidamente autorizado de dichas autoridades autorizado para utilizar el DIM. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado.
3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.
CAPÍTULO VI
Medidas de apoyo a la interoperabilidad
Artículo 37
Calidad de los datos
1. Sin perjuicio de las responsabilidades de los Estados miembros respecto de los datos introducidos en los sistemas, eu-LISA establecerá mecanismos y procedimientos automatizados de control de la calidad de los datos almacenados en el SES, el VIS, el SEIAV, el SIS, el SCB compartido y el RCDI.
2. eu-LISA implantará mecanismos para evaluación la precisión del SCB compartido y establecerá indicadores comunes de calidad de los datos y los estándares mínimos de calidad para el almacenamiento de datos en el SES, el VIS, el SEIAV, el SIS, el SCB compartido y el RCDI.
Solo podrán introducirse en el SES, el VIS, el SEIAV, el SIS, el SCB compartido, el RCDI y el DIM los datos que cumplan los estándares mínimos de calidad.
3. eu-LISA presentará a los Estados miembros informes periódicos sobre los mecanismos y procedimientos automatizados de control de la calidad de los datos. eu-LISA también presentará un informe periódico a la Comisión acerca de los problemas detectados y los Estados miembros a los que estos conciernan. eu-LISA presentará dicho informe también al Parlamento Europeo y al Consejo, si estos lo solicitan. Ningún informe presentado en virtud del presente apartado contendrá datos personales.
4. Los pormenores de los mecanismos y procedimientos automatizados de control de la calidad de los datos, los indicadores comunes de la calidad de los datos y los estándares mínimos de calidad para el almacenamiento de datos en el SES, el VIS, el SEIAV, el SIS, el SCB compartido y el DIM, en particular en lo relativo a los datos biométricos, se establecerán mediante actos de ejecución. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
5. Un año después de la creación de los mecanismos y procedimientos automatizados de control de la calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos, y cada año en lo sucesivo, la Comisión valorará la implementación por los Estados miembros de la calidad de los datos y formulará las recomendaciones necesarias. Los Estados miembros presentarán a la Comisión un plan de acción para subsanar las deficiencias detectadas en el informe de valoración y, en particular, los problemas de calidad de los datos derivados de datos erróneos en los sistemas de información de la UE. Los Estados miembros informarán periódicamente a la Comisión sobre cualquier progreso relativo a dicho plan de acción hasta que este se aplique plenamente.
La Comisión remitirá el informe de valoración al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos, al Comité Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea, establecida por el Reglamento (CE) n.o 168/2007 del Consejo (39).
Artículo 38
Formato universal de mensajes
1. Se establece la norma de formato universal de mensajes (UMF). El UMF define una norma para ciertos elementos del contenido del intercambio transfronterizo de información entre sistemas de información, autoridades u organizaciones en el ámbito de la justicia y los asuntos de interior.
2. La norma UMF se utilizará, cuando sea factible, en el desarrollo del SES, el SEIAV, el PEB, el RCDI, el DIM y, si procede, en el desarrollo por parte de eu-LISA o de cualquier otra agencia de la Unión de nuevos modelos de intercambio de información y sistemas de información en el ámbito de la justicia y los asuntos de interior.
3. La Comisión adoptará un acto de ejecución para establecer y desarrollar la norma UMF a que se refiere el apartado 1 del presente artículo. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 39
Repositorio central para la presentación de informes y estadísticas
1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SES, el VIS, el SEIA y el SIS, de conformidad con los respectivos instrumentos jurídicos que rigen dichos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos.
2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y estadísticas a que se hace referencia en el artículo 63 del Reglamento (UE) 2017/2226, el artículo 17 del Reglamento (CE) n.o 767/2008, el artículo 84 del Reglamento (UE) 2018/1240, el artículo 60 del Reglamento (UE) 2018/1861 y el artículo 16 del Reglamento (UE) 2018/1860, separados de forma lógica por el sistema de información de la UE. -Se permitirá acceder al RCIE mediante un acceso controlado y seguro y unos perfiles de usuario específicos, únicamente a efectos de la presentación de informes y estadísticas, a las autoridades a las que se refieren el artículo 63 del Reglamento (UE) 2017/2226, el artículo 17 del Reglamento (CE) n.o 767/2008, el artículo 84 del Reglamento (UE) 2018/1240 y el artículo 60 del Reglamento (UE) 2018/1861.
3. eu-LISA anonimizará los datos y registrará los datos anonimizados en el RCIE. El proceso por el que se anonimizarán los datos será automatizado.
Los datos contenidos en el RCIE no permitirán la identificación de personas.
4. El RCIE se compondrá de:
a) |
las herramientas necesarias para anonimizar los datos; |
b) |
una infraestructura central, consistente en un repositorio de datos de los datos anonimizados; |
c) |
una infraestructura de comunicación segura entre el RCIE y el SES, el VIS, el SEIAV y el SIS, así como con las infraestructuras centrales del SCB compartido, el RCDI y el DIM. |
5. La Comisión adoptará actos delegados de conformidad con el artículo 73 que establezcan normas detalladas sobre el funcionamiento del RCIE, incluidas salvaguardias específicas para el tratamiento de los datos personales a que se refieren los apartados 2 y 3 y del presente artículo, y normas de seguridad aplicables al repositorio.
CAPÍTULO VII
Protección de datos
Artículo 40
Responsable del tratamiento
1. En relación con el tratamiento de datos en el SCB compartido, las autoridades de los Estados miembros que sean responsables del tratamiento en el SES, el VIS y el SIS, respectivamente, también serán responsables del tratamiento, de conformidad con el artículo 4, apartado 7, del Reglamento (UE) 2016/679 o el artículo 3, apartado 8, de la Directiva (UE) 2016/680, en lo que respecta a las plantillas biométricas obtenidas a partir de los datos a que se refiere el artículo 13 del presente Reglamento que introduzcan en los sistemas subyacentes y tendrán responsabilidad en el tratamiento de las plantillas biométricas en el SCB compartido.
2. En relación con el tratamiento de datos en el RCDI, las autoridades de los Estados miembros que sean responsables del tratamiento, en el SES, el VIS y el SEIAV, respectivamente, también serán responsables del tratamiento de conformidad con el artículo 4, apartado 7, del Reglamento (UE) 2016/679, en lo que respecta a los datos a que se refiere el artículo 18 del presente Reglamento que introduzcan en los sistemas subyacentes y serán responsables del tratamiento de esos datos personales en el RCDI.
3. En relación con el tratamiento de datos en el DIM:
a) |
la Agencia Europea de la Guardia de Fronteras y Costas será responsable del tratamiento en el sentido del artículo 3, apartado 8, del Reglamento (UE) 2018/1725 en relación con el tratamiento de los datos personales en la unidad central SEIAV. |
b) |
las autoridades de los Estados miembros que añadan o modifiquen datos en el expediente de confirmación de identidad también serán responsables del tratamiento de acuerdo con el artículo 4, apartado 7 del Reglamento (UE) 2016/679 o el artículo 3, punto 8 de la Directiva (UE) 2016/680 y tendrán responsabilidad en el tratamiento de los datos personales en el DIM. |
4. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de las condiciones de la consulta y de la legalidad del tratamiento de datos, los controladores de datos tendrán acceso a los registros contemplados en los artículos 10, 16, 24 y 36 para el autocontrol al que se refiere en artículo 44.
Artículo 41
Encargado del tratamiento
En relación con el tratamiento de los datos personales en el SCB compartido, el RCDI y el DIM, eu-LISA se encargará del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725.
Artículo 42
Seguridad del tratamiento
1. eu-LISA, la unidad central SEIAV, Europol y las autoridades de los Estados miembros garantizarán la seguridad del tratamiento de los datos personales que tenga lugar en virtud del presente Reglamento. eu-LISA, la unidad central SEIAV, Europol y las autoridades de los Estados miembros cooperarán en las tareas relacionadas con la seguridad.
2. Sin perjuicio del artículo 33 del Reglamento (UE) 2018/1725, eu-LISA adoptará las medidas necesarias para garantizar la seguridad de los componentes de interoperabilidad y de su infraestructura de comunicación conexa.
3. En particular, eu-LISA adoptará las medidas necesarias, incluidos un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:
a) |
proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas; |
b) |
denegar a toda persona no autorizada el acceso a los equipos e instalaciones de tratamiento de datos; |
c) |
impedir la lectura, copia, modificación o retirada no autorizadas de los soportes de datos; |
d) |
impedir la introducción no autorizada de datos y la inspección, modificación o eliminación no autorizadas de datos personales registrados; |
e) |
impedir el tratamiento no autorizado de datos y la copia, modificación o eliminación no autorizadas de datos; |
f) |
impedir que los sistemas de tratamiento automatizado de datos sean utilizados por personas no autorizadas mediante equipos de transmisión de datos; |
g) |
garantizar que las personas autorizadas para acceder a los componentes de interoperabilidad tengan únicamente acceso a los datos cubiertos por su autorización de acceso, exclusivamente mediante identidades de usuario individuales y modos de acceso confidenciales; |
h) |
garantizar la posibilidad de verificar y determinar a qué organismos pueden transmitirse datos personales mediante equipos de transmisión de datos; |
i) |
garantizar la posibilidad de verificar y determinar qué datos han sido tratados en los componentes de interoperabilidad, en qué momento, por quién y con qué fin; |
j) |
impedir la lectura, copia, modificación o eliminación no autorizadas de datos personales durante su transmisión hacia o desde los componentes de interoperabilidad o durante el transporte de soportes de datos, en particular mediante técnicas adecuadas de cifrado; |
k) |
garantizar que, en caso de interrupción, los sistemas instalados puedan volver a funcionar normalmente; |
l) |
garantizar la fiabilidad velando por que se informe adecuadamente de cualquier error de funcionamiento de los componentes de interoperabilidad; |
m) |
controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas de organización del control interno necesarias para garantizar el cumplimiento del presente Reglamento y evaluar dichas medidas de seguridad en vista de los últimos avances tecnológicos. |
4. Los Estados miembros, Europol y la unidad central SEIAV adoptarán medidas equivalentes a las mencionadas en el apartado 3 en lo que respecta a la seguridad en relación con el tratamiento de datos personales por parte de las autoridades con derecho de acceso a cualquiera de los componentes de interoperabilidad.
Artículo 43
Incidentes de seguridad
1. Cualquier acontecimiento que repercuta o pueda repercutir en la seguridad de los componentes de interoperabilidad y pueda causar daños a los datos almacenados en ellos o la pérdida de dichos datos, se considerará un incidente de seguridad, especialmente cuando pueda haber tenido lugar un acceso no autorizado a los datos o cuando la disponibilidad, integridad y confidencialidad de los datos se haya visto o pueda verse comprometida.
2. Los incidentes de seguridad se gestionarán de forma que se garantice una respuesta rápida, eficaz y adecuada.
3. Sin perjuicio de la notificación y comunicación de una violación de la seguridad de un dato personal de conformidad con el artículo 33 del Reglamento (UE) 2016/679, con el artículo 30 de la Directiva (UE) 2016/680 o con ambos, los Estados miembros notificarán sin demora a la Comisión, a eu-LISA, a las autoridades de control competentes y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad.
Sin perjuicio de los artículos 34 y 35 del Reglamento (UE) 20186/1725 y en el artículo 34 de la Directiva (UE) 2016/794, la unidad central SEIAV y Europol notificarán sin demora a la Comisión, a eu-LISA y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad.
En el caso de un incidente de seguridad relacionado con la infraestructura central de los componentes de interoperabilidad, eu-LISA lo notificará sin demora a la Comisión y al Supervisor Europeo de Protección de Datos.
4. eu-LISA transmitirá sin demora a los Estados miembros, a la unidad central SEIAV y a Europol la información concerniente a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento de los componentes de interoperabilidad o en la disponibilidad, integridad y confidencialidad de los datos, y presentará un informe en cumplimiento del plan de gestión de incidentes.
5. Los Estados miembros afectados, la unidad central SEIAV, Europol y eu-LISA cooperarán cuando se produzca un incidente de seguridad. La Comisión especificará los detalles de este procedimiento de cooperación mediante actos de ejecución. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 44
Autocontrol
Los Estados miembros y las agencias pertinentes de la UE velarán por que toda autoridad facultada para acceder a los componentes de interoperabilidad adopte las medidas necesarias para controlar su cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.
Los responsables del tratamiento de datos a que se refiere el artículo 40 adoptarán las medidas necesarias para controlar la conformidad del tratamiento de datos con el presente Reglamento, incluida la frecuencia de verificación de los registros a los que se hace referencia en los artículos 10, 16, 24 y 36, y cooperarán, cuando proceda, con las autoridades de control y con el Supervisor Europeo de Protección de datos.
Artículo 45
Sanciones
Los Estados miembros garantizarán que cualquier uso indebido de datos, tratamiento de datos o intercambio de datos contrario a lo dispuesto en el presente Reglamento sean sancionables con arreglo al Derecho nacional. Las sanciones así establecidas serán efectivas, proporcionadas y disuasorias.
Artículo 46
Responsabilidad
1. Sin perjuicio del derecho a compensación y de la responsabilidad del responsable o el encargado en virtud del Reglamento (EU) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725:
a) |
cualquier persona o Estado miembro que haya sufrido perjuicios materiales o no materiales como resultado de una operación ilegal de tratamiento de datos personales o cualquier otro acto incompatible con el presente Reglamento por parte de un Estado miembro tendrá derecho a ser indemnizado por dicho Estado miembro; |
b) |
cualquier persona o Estado miembro que haya sufrido perjuicios materiales o no materiales como resultado de un acto de Europol, la Agencia Europea de la Guardia de Fronteras y Costas o eu-LISA incompatible con el presente Reglamento tendrá derecho a recibir una indemnización de la agencia en cuestión. |
El Estado miembro en cuestión, Europol, la Agencia Europea de la Guardia de Fronteras y Costas o eu-LISA quedarán exentos, total o parcialmente, de su responsabilidad en virtud del primer párrafo si demuestran que no son responsables del hecho que originó el perjuicio.
2. Si el incumplimiento por un Estado miembro de las obligaciones que le impone el presente Reglamento causa un perjuicio a los componentes de interoperabilidad, dicho Estado miembro será considerado responsable de dicho perjuicio, a no ser que eu-LISA u otro Estado miembro sujeto al presente Reglamento no hayan adoptado las medidas adecuadas para impedir que se produjera el perjuicio o para atenuar sus efectos.
3. Las reclamaciones de indemnización contra un Estado miembro por los perjuicios a los que se refieren los apartados 1 y 2 estarán sujetas al Derecho nacional del Estado miembro demandado. Las reclamaciones de indemnización contra el responsable o contra eu-LISA por los perjuicios a los que se refieren los apartados 1 y 2 estarán sujetas a las condiciones previstas en los Tratados.
Artículo 47
Derecho a la información
1. La autoridad que recoja los datos personales para almacenarlos en el SCB compartido, el RCDI o el DIM, facilitará a las personas cuyos datos se almacenen la información requerida en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679, los artículos 12 y 13 de la Directiva (UE) 2016/680 y los artículos 15 y 16 del Reglamento (UE) 2018/1725. La autoridad facilitará la información en el momento en el que se recojan dichos datos.
2. Toda la información estará disponible en un lenguaje claro y sencillo y en un idioma que la persona interesada entienda o quepa suponer razonablemente que entiende. Esto incluirá la facilitación de información de un modo apropiado a la edad de los titulares de los datos que sean menores.
3. Las personas cuyos datos estén registrados en el SES, el VIS o el SEIAV serán informadas sobre el tratamiento de los datos personales transmitidos a efectos del presente Reglamento de conformidad con el apartado 1, cuando:
a) |
se cree o actualice un expediente individual en el VIS de conformidad con el artículo 14 del Reglamento (UE) 2017/2226; |
b) |
se cree o actualice un expediente individual en el VIS de conformidad con el artículo 8 del Reglamento (CE) n.o 767/2008; |
c) |
se cree o actualice un expediente individual en el VIS de conformidad con el artículo 19 del Reglamento (UE) 2018/1240; |
Artículo 48
Derecho de acceso, rectificación y supresión de los datos personales almacenados en el DIM, y limitación de su tratamiento
1. Con el fin de ejercer sus derechos en virtud de los artículos 15 a 18 del Reglamento (UE) n.o 2016/679, los artículos 17 a 20 del Reglamento (UE) 2018/1725 y los artículos 14, 15 y 16 de la Directiva (UE) 2016/680, cualquier persona tendrá derecho a dirigirse personalmente a la autoridad competente de cualquier Estado miembro, que deberá examinar la solicitud y darle respuesta.
2. El Estado miembro que hubiere examinado dicha solicitud dará respuesta sin demora injustificada y en cualquier caso en un plazo de cuarenta y cinco días a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El Estado miembro que hubiere examinado la solicitud informará al interesado de cualquiera de dichas prórrogas en el plazo de cuarenta y cinco días a partir de la recepción de la solicitud, indicando los motivos de la dilación. Los Estados miembros podrán decidir que las respuestas las faciliten las oficinas centrales.
3. Si se realiza una solicitud de rectificación o supresión de datos personales a un Estado miembro distinto del Estado miembro responsable de la verificación manual de identidades diferentes, el Estado miembro al que se haya realizado la solicitud contactará con las autoridades del Estado miembro responsable de la verificación manual de identidades diferentes en el plazo de siete días. El Estado miembro responsable de la verificación manual de identidades diferentes comprobará la exactitud de los datos y la legalidad de su tratamiento sin demora injustificada y en cualquier caso en el plazo de treinta días desde que se establezca el contacto. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El Estado miembro responsable de la verificación manual de las identidades diferentes informará al Estado miembro que se haya puesto en contacto con él de cualquier prórroga, así como de las razones que la han motivado. La persona interesada será informada por el Estado miembro que contactó a la autoridad del Estado miembro responsable de la verificación manual de las identidades diferentes acerca del procedimiento ulterior.
4. Si se realiza una solicitud de rectificación o supresión de datos personales a un Estado miembro en el que la unidad central SEIAV fue la responsable de la verificación manual de identidades diferentes, el Estado miembro al que se haya realizado la solicitud contactará por escrito en el plazo de siete días con la unidad central SEIAV para pedirle que se pronuncie sin demora injustificada y, en cualquier caso, en el plazo de treinta días desde que se establezca el contacto. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. La persona interesada será informada por el Estado miembro que contactó a la unidad central SEIAV acerca del procedimiento ulterior.
5. Cuando, previo examen, se compruebe que los datos almacenados en el DIM son inexactos o han sido registrados ilegalmente, el Estado miembro responsable de la verificación manual de identidades diferentes o, cuando ningún Estado miembro sea responsable de la verificación manual de identidades diferentes o cuando la unidad central SEIAV sea responsable de la verificación manual de identidades diferentes, el Estado miembro al que se haya presentado la solicitud corregirá o eliminará esos datos sin demora injustificada.
6. Cuando un Estado miembro modifique los datos almacenados en el DIM durante su periodo de retención, dicho Estado miembro llevará a cabo el tratamiento establecido en el artículo 27 y, en su caso, el artículo 29, a fin de determinar si se vincularán los datos modificados. Cuando el tratamiento no dé lugar a ninguna correspondencia, dicho Estado miembro eliminará los datos del expediente de confirmación de identidad. Cuando el tratamiento automatizado dé lugar a una o varias correspondencias, dicho Estado miembro generará o actualizará el vínculo correspondiente de conformidad con las disposiciones pertinentes del presente Reglamento.
7. Cuando el Estado miembro responsable de la verificación manual de identidades diferentes o, cuando proceda, el Estado miembro al que se haya presentado la solicitud no admita que los datos registrados en el DIM son inexactos o han sido ilegalmente registrados, dicho Estado miembro adoptará una decisión administrativa, en la que expondrá por escrito a la persona interesada, sin demora, los motivos para no corregir o rectificar o suprimir los datos sobre ella.
8. La decisión a que se refiere el apartado 7 también se informará a la persona interesada de la posibilidad de impugnar la decisión adoptada respecto de la solicitud de acceso, rectificación, supresión o limitación del tratamiento de datos personales, y en su caso se informará sobre cómo interponer una acción judicial o presentar una reclamación ante las autoridades u órganos jurisdiccionales competentes y sobre cualquier tipo de asistencia, en particular de las autoridades nacionales de control.
9. Cualquier solicitud de acceso, rectificación, supresión o limitación del tratamiento de datos personales deberá contener la información necesaria para identificar a la persona en cuestión. Dicha información solo se utilizará para el ejercicio de los derechos recogidos en el presente artículo, tras lo cual se suprimirá inmediatamente.
10. El Estado miembro responsable de la verificación manual de identidades diferentes o, en su caso, el Estado miembro al que se haya realizado la solicitud dejará constancia por escrito de la presentación de una solicitud de acceso, rectificación, supresión o limitación del tratamiento de datos personales y del curso dado a la misma, y pondrá este registro a disposición de las autoridades nacionales de control sin demora.
11. El presente artículo se entiende sin perjuicio de cualesquiera limitaciones y restricciones a los derechos en él recogidos en virtud del Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680.
Artículo 49
Portal web
1. Se crea un portal web con el fin de facilitar el ejercicio de los derechos de acceso, rectificación, supresión o limitación de tratamiento de datos personales.
2. El portal web contendrá información sobre los derechos y procedimientos a que se refieren los artículos 47 y 48 y una interfaz de usuario que permita a las personas cuyos datos se tratan en el DIM y que hayan sido informadas de la presencia de un enlace rojo con arreglo al artículo 32, apartado 4, recibir los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes.
3. Para obtener los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes, la persona cuyos datos se traten en el DIM debe introducir la referencia a la autoridad responsable de la verificación manual de las identidades diferentes a que se refiere el artículo 34, letra d). El portal web utilizará esta referencia para recuperar los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes. El portal web incluirá asimismo un modelo de correo electrónico para facilitar la comunicación entre el usuario del portal y la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes. Dicho correo electrónico incluirá un campo para el número de identificación único a que se refiere el artículo 34, letra c), con el fin de que la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes pueda identificar los datos de que se trate.
4. Los Estados miembros proporcionarán a eu-LISA los datos de contacto de todas las autoridades competentes para examinar y responder a cualquier solicitud contemplada en los artículos 47 y 48 y revisarán periódicamente si estos datos de contacto están actualizados.
5. eu-LISA desarrollará el portal web y garantizará su gestión técnica.
6. La Comisión adoptará un acto delegado con arreglo al artículo 73 para establecer normas detalladas sobre el funcionamiento del portal web, en particular la interfaz de usuario, las lenguas en las que estará disponible el portal web y el modelo de correo electrónico.
Artículo 50
Comunicación de datos personales a terceros países, organizaciones internacionales y particulares
Sin perjuicio del artículo 65 del Reglamento (UE) 2018/1240, los artículos 25 y 26 del Reglamento (UE) 2016/794, el artículo 41 del Reglamento (UE) 2017/2226, el artículo 31 del Reglamento (CE) n.o 767/2008 y la consulta de bases de datos de Interpol a través del PEB de conformidad con el artículo 9, apartado 5, del presente Reglamento que sean conformes a lo dispuesto en el capítulo V del Reglamento (UE) 2018/1725 y el capítulo V del Reglamento (UE) 2016/679, los datos personales almacenados en los componentes de interoperabilidad o tratados por ellos o a los que se acceda a través de ellos no se transmitirán a ningún tercer país, organización internacional o particular ni se pondrán a su disposición.
Artículo 51
Control por parte de las autoridades de control
1. Cada Estado miembro velará por que las autoridades de control supervisen con independencia la legalidad del tratamiento de los datos personales en virtud del presente Reglamento por el Estado miembro de que se trate, incluida su transmisión a y desde los componentes de interoperabilidad.
2. Los distintos Estados miembros velarán por que las disposiciones nacionales legislativas, reglamentarias y administrativas adoptadas en virtud de la Directiva (UE) 2016/680 se apliquen también, cuando proceda, al acceso a los componentes de interoperabilidad por parte de las autoridades policiales y de las autoridades designadas, también en relación con los derechos de las personas a cuyos datos se acceda de este modo.
3. Las autoridades de control velarán por que se lleve a cabo una auditoría de las operaciones de tratamiento de datos personales realizadas por las autoridades nacionales responsables para los fines del presente Reglamento, de conformidad con las normas internacionales de auditoría pertinentes, al menos cada cuatro años.
Las autoridades de control publicarán anualmente el número de solicitudes de rectificación, supresión o limitación del tratamiento de datos personales, las acciones emprendidas posteriormente y el número de rectificaciones, supresiones y limitaciones del tratamiento realizadas en respuesta a solicitudes de las personas afectadas.
4. Los Estados miembros velarán por que sus autoridades de control dispongan de medios y conocimientos técnicos suficientes para desempeñar las tareas que les encomienda el presente Reglamento.
5. Los Estados miembros proporcionarán la información que les solicite cualquiera de las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 y, en particular, la información relativa a las actividades realizadas de conformidad con sus responsabilidades en virtud del presente Reglamento. Los Estados miembros concederán a las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 acceso a sus registros contemplados en los artículos 10, 16, 24 y 36 del presente Reglamento, así como a la justificación a que se refiere el artículo 22, apartado 2, del presente Reglamento, y les permitirán acceder en todo momento a todos sus locales utilizados con fines de interoperabilidad.
Artículo 52
Auditoría por parte del Supervisor Europeo de Protección de Datos
El Supervisor Europeo de Protección de Datos velará por que se lleve a cabo una auditoría de las operaciones de tratamiento de datos personales realizadas por eu-LISA, la unidad central SEIAV y Europol a efectos del presente Reglamento de conformidad con las normas internacionales de auditoría pertinentes, al menos cada cuatro años. Se enviará un informe de la auditoría al Parlamento Europeo, el Consejo, eu-LISA, la Comisión, los Estados miembros y la agencia de la Unión de que se trate. Se brindará a eu-LISA, a la unidad central SEIAV y a Europol la oportunidad de formular observaciones antes de la adopción de los informes.
eu-LISA, la unidad central SEIAV y Europol proporcionarán al Supervisor Europeo de Protección de Datos la información que le solicite, le dará acceso a todos los documentos que le solicite y a sus registros contemplados en los artículos 10, 16, 24 y 36 y le permitirán acceder a sus locales en todo momento.
Artículo 53
Cooperación entre las autoridades de control y el Supervisor Europeo de Protección de Datos
1. Las autoridades de control y el Supervisor Europeo de Protección de Datos, cada uno dentro del ámbito de sus competencias respectivas, cooperarán activamente en el marco de sus responsabilidades respectivas y garantizarán una supervisión coordinada del uso de los componentes de interoperabilidad y de la aplicación de otras disposiciones del presente Reglamento, en particular si el Supervisor Europeo de Protección de Datos o una autoridad de control detectan discrepancias importantes entre las prácticas de los Estados miembros o transferencias potencialmente ilegales en la utilización de los canales de comunicación de los componentes de interoperabilidad.
2. En los casos contemplados en el apartado 1 del presente artículo, se establecerá un control coordinado de conformidad con el artículo 62 del Reglamento (UE) 2018/1725.
3. El Comité Europeo de Protección de Datos remitirá un informe conjunto de sus actividades en virtud del presente artículo al Parlamento Europeo, al Consejo, a la Comisión, a Europol, a la Agencia Europea de la Guardia de Fronteras y Costas y a eu-LISA el 12 de junio de 2021 y cada dos años en lo sucesivo. Dicho informe incluirá un capítulo sobre cada Estado miembro, redactado por la autoridad de control del Estado miembro de que se trate.
CAPÍTULO VIII
Responsabilidades
Artículo 54
Responsabilidades de eu-LISA durante la fase de diseño y desarrollo
1. eu-LISA velará por que las infraestructuras centrales de los componentes de interoperabilidad funcionen de conformidad con el presente Reglamento.
2. Los componentes de interoperabilidad estarán alojados por eu-LISA en sus sitios técnicos y dispondrán de las funcionalidades establecidas en el presente Reglamento de conformidad con las condiciones de seguridad, disponibilidad, calidad y velocidad establecidas en el artículo 55, apartado 1.
3. eu-LISA será responsable del desarrollo de los componentes de interoperabilidad para todas las adaptaciones que exija la interoperabilidad de los sistemas centrales del SES, el VIS, el SEIAV, el SIS, Eurodac, ECRIS-TCN, el PEB, el SCB compartido, el RCDI, el DIM y el RCIE.
Sin perjuicio del artículo 66, eu-LISA no tendrá acceso a ninguno de los datos personales tratados a través del PEB, el SCB compartido, el RCDI o el DIM.
eu-LISA establecerá el diseño de la arquitectura física de los componentes de interoperabilidad, incluida su infraestructura de comunicación y las especificaciones técnicas y su evolución por lo que se refiere a la infraestructura central y a la infraestructura de comunicación segura, elementos que serán adoptados por el Consejo de Administración, previo dictamen favorable de la Comisión. eu-LISA realizará también cualquier adaptación necesaria del SES, el VIS el SEIAV o el SIS derivada del establecimiento de la interoperatividad y prevista por el presente Reglamento.
eu-LISA desarrollará e implementará los componentes de interoperabilidad lo antes posible después de la entrada en vigor del presente Reglamento y la adopción por la Comisión de las medidas previstas en el artículo 8, apartado 2, el artículo 9, apartado 7, el artículo 28, apartados 5 y 7, el artículo 37, apartado 4, el artículo 38, apartado 3, el artículo 39, apartado 5, y el artículo 43, apartado 5 y el artículo 78, apartado 10.
El desarrollo consistirá en la elaboración y aplicación de las especificaciones técnicas, los ensayos y la gestión y la coordinación global del proyecto.
4. Durante la fase de diseño y desarrollo, se establecerá un comité de gestión del programa compuesto por un máximo de diez miembros. El comité estará compuesto por siete miembros designados por el Consejo de Administración de eu-LISA de entre sus miembros o sus suplentes, el presidente del grupo consultivo de interoperabilidad a que se refiere el artículo 75, un miembro representante de eu-LISA nombrado por su director ejecutivo y un miembro nombrado por la Comisión. Los miembros nombrados por el Consejo de Administración de eu-LISA solo podrán ser elegidos de entre los Estados miembros que estén plenamente obligados con arreglo el Derecho de la Unión por los instrumentos jurídicos reguladores del desarrollo, establecimiento, funcionamiento y uso de todos los sistemas i de información de la Unión que vayan a participar en los componentes de interoperabilidad.
5. El comité de gestión del programa se reunirá periódicamente y al menos tres veces por trimestre. Garantizará la gestión adecuada de la fase de diseño y desarrollo de los componentes de interoperabilidad.
El comité de gestión del programa presentará mensualmente al Consejo de Administración de eu-LISA informes por escrito sobre el progreso del proyecto. El comité de gestión del programa no tendrá facultades decisorias ni mandato alguno de representación de los miembros del Consejo de Administración de eu-LISA.
6. El Consejo de Administración de eu-LISA establecerá el reglamento interno del comité de gestión del programa, que incluirá, en particular, normas relativas a:
a) |
la presidencia; |
b) |
los lugares de reunión; |
c) |
la preparación de las reuniones; |
d) |
la admisión de expertos a las reuniones; |
e) |
planes de comunicación que garanticen una información completa a los miembros del Consejo de Administración no participantes. |
La presidencia la ostentará un Estado miembro que esté plenamente obligado con arreglo al Derecho de la Unión por los instrumentos jurídicos que regulan el desarrollo, establecimiento, funcionamiento y uso de todos los sistemas de información de la Unión y que participará en los componentes de interoperabilidad.
Todos los gastos de viaje y dietas de los miembros del comité de gestión del programa serán abonados por eu-LISA, y el artículo 10 del Reglamento Interno de eu-LISA se aplicará mutatis mutandis. eu-LISA realizará las labores de secretaría del comité de gestión del programa.
El grupo consultivo de interoperabilidad a que se refiere el artículo 75 se reunirá periódicamente hasta que los componentes de interoperabilidad entren en funcionamiento. Presentará un informe al comité de gestión del programa después de cada una de sus reuniones. Asimismo, aportará los conocimientos técnicos para llevar a cabo las tareas del comité de gestión del programa y realizará un seguimiento del estado de preparación de los Estados miembros.
Artículo 55
Responsabilidades de eu-LISA tras la entrada en funcionamiento
1. Tras la entrada en funcionamiento de cada componente de interoperabilidad, eu-LISA será responsable de la gestión técnica de la infraestructura central de los componentes de interoperabilidad, incluidos su mantenimiento y los avances tecnológicos. En cooperación con los Estados miembros, garantizará que se utilice la mejor tecnología disponible sobre la base de un análisis coste-beneficio. eu-LISA también será responsable de la gestión técnica y la seguridad de la infraestructura de comunicación a que se refieren los artículos6, 12, 17, 25 y 39.
La gestión técnica de los componentes de interoperabilidad consistirá en todas las tareas y las soluciones técnicas necesarias para mantenerlos en funcionamiento y prestando un servicio ininterrumpido a los Estados miembros y a las agencias de la Unión durante las veinticuatro horas del día, siete días a la semana, de conformidad con el presente Reglamento. Incluirá el trabajo de mantenimiento y los desarrollos técnicos necesarios para garantizar que los componentes funcionen con una calidad técnica de un nivel satisfactorio, en particular en lo que se refiere al tiempo de respuesta para la consulta de las infraestructuras centrales, de acuerdo con las características técnicas.
Todos los componentes de interoperabilidad se desarrollarán y gestionarán de modo que se garanticen un acceso rápido, ininterrumpido, eficiente y controlado y la plena disponibilidad ininterrumpida de los componentes y de los datos almacenados en el DIM, en el SCB compartido y en el RCDI, así como un tiempo de respuesta acorde con las necesidades operativas de las autoridades de los Estados miembros y las agencias de la Unión.
2. Sin perjuicio del artículo 17 del Estatuto de los funcionarios de la Unión Europea, eu-LISA aplicará las normas adecuadas sobre secreto profesional u otras obligaciones de confidencialidad equivalentes a los miembros de su personal que deban trabajar con los datos almacenados en los componentes de interoperabilidad. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.
Sin perjuicio del artículo 66, eu-LISA no tendrá acceso a ninguno de los datos personales tratados a través del PEB, el SCB compartido, el RCDI y el DIM.
3. eu-LISA desarrollará y mantendrá un mecanismo y procedimientos para realizar controles de calidad de los datos almacenados en el SCB compartido y el RCDI de conformidad con el artículo 37.
4. eu-LISA desempeñará las funciones relativas a la formación sobre la utilización técnica de los componentes de interoperabilidad.
Artículo 56
Responsabilidades de los Estados miembros
1. Cada Estado miembro será responsable de:
a) |
la conexión con la infraestructura de comunicación del PEB y el RCDI; |
b) |
la integración de los sistemas e infraestructuras nacionales existentes con el PEB, el RCDI y el DIM; |
c) |
la organización, la gestión, el funcionamiento y el mantenimiento de su infraestructura nacional existente y su conexión con los componentes de interoperabilidad; |
d) |
la gestión y las condiciones de acceso del personal debidamente autorizado de las autoridades nacionales competentes al PEB, el RCDI y el DIM, de conformidad con el presente Reglamento, y el establecimiento y la actualización periódica de la lista de dicho personal y sus perfiles; |
e) |
la adopción de las medidas legislativas a que se refiere el artículo 20, apartados 5 y 6, para acceder al RCDI a efectos de identificación; |
f) |
la verificación manual de identidades diferentes contemplada en el artículo 29; |
g) |
el cumplimiento de los requisitos de calidad de los datos determinados con arreglo al Derecho de la Unión; |
h) |
el pleno respeto de las normas de cada sistema de información de la UE relativas a la seguridad e integridad de los datos personales; |
i) |
la corrección de las deficiencias detectadas en el informe de valoración de la Comisión sobre la calidad de los datos a que se refiere el artículo 37, apartado 5. |
2. Cada Estado miembro conectará a sus autoridades designadas con el RCDI.
Artículo 57
Responsabilidades de la unidad central SEIAV
La unidad central SEIAV será responsable de:
a) |
la verificación manual de identidades diferentes de conformidad con en el artículo 29; |
b) |
la detección de identidades múltiples entre los datos almacenados en el SES, el VIS, Eurodac y el SIS contemplada en el artículo 69. |
CAPÍTULO IX
Modificaciones de otros instrumentos de la Unión
Artículo 58
Modificación del Reglamento (CE) n.o 767/2008
El Reglamento (CE) 767/2008 se modifica como sigue:
1) |
En el artículo 1, se añade el apartado siguiente: «Mediante el almacenamiento de datos de identidades, datos de documentos de viaje y datos biométricos en el registro común de datos de identidad (RCDI) creado por el artículo 17, apartado 1 del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*1), el SES contribuye a facilitar la identificación correcta de las personas registradas en el SES y a ayudar a ella, en las condiciones y para los fines a que se refiere el artículo 20 de dicho Reglamento. (*1) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo (DO L 135 de 22.5.2019, p. 27).»" |
2) |
En el artículo 4, se añaden los puntos siguientes:
|
3) |
En el artículo 5, se inserta el apartado siguiente: «1 bis. El RCDI contendrá los datos a que se refieren el artículo 9, apartado 4, letras a) a c); apartado 5, y apartado 6, y el resto de los datos del VIS se almacenarán en el VIS central.». |
4) |
En el artículo 6, el apartado 2 se sustituye por el texto siguiente: «2. El acceso al VIS con el fin de consultar los datos estará reservado exclusivamente al personal debidamente autorizado de las autoridades nacionales de cada Estado miembro que sean competentes para los fines establecidos en los artículos 15 a 22 y al personal debidamente autorizado de las autoridades de cada Estado miembro y de las agencias de la Unión que sean competentes para los fines establecidos en los artículos 20 y 21 del Reglamento (UE) 2019/817. Dicho acceso será limitado, en la medida necesaria en que lo sean los datos para el cumplimiento de sus funciones para dichos fines, y proporcionados con respecto a los objetivos perseguidos.». |
5) |
En el artículo 9, punto 4, las letras a) a c) se sustituyen por el texto siguiente:
|
Artículo 59
Modificaciones del Reglamento (UE) 2016/399
En el artículo 8, se inserta el apartado siguiente:
«4 bis. Cuando, a la entrada o salida, la consulta de las bases de datos correspondientes, incluido el DIM, a través del portal europeo de búsqueda establecido en virtud del artículo 25, apartado 1, y del artículo 6, apartado 1, del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*2) respectivamente, dé como resultado un vínculo amarillo o detecte un vínculo rojo, el guardia de fronteras consultará el registro común de datos de identidad establecido en el artículo 17, apartado 1 de dicho Reglamento o el IS o ambos, para evaluar las diferencias en los datos de identidad o los datos del documento de viaje vinculados. El guardia de fronteras llevará a cabo cualquier verificación adicional necesaria para adoptar una decisión sobre el carácter y el color del vínculo.
De conformidad con el artículo 69, apartado 1, del Reglamento (UE) 2019/817, el presente apartado será de aplicación a partir de la entrada en funcionamiento del detector de identidades múltiples en virtud del artículo 72, apartado 4 de dicho Reglamento.
Artículo 60
Modificaciones del Reglamento (UE) 2017/2226
El Reglamento (UE) 2017/2226 se modifica como sigue:
1) |
En el artículo 1, se añade el apartado siguiente: «3. Mediante el almacenamiento de datos de identidades, datos de documentos de viaje y datos biométricos en el registro común de datos de identidad (RCDI) creado por el artículo 17, apartado 1 del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*3), el SES contribuye a facilitar la identificación correcta de las personas registradas en el SES y a ayudar a ella, en las condiciones y a efectos del artículo 20 de dicho Reglamento. (*3) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo(DO L 135 de 22.5.2019, p. 27).»" |
2) |
En el artículo 3, el apartado 1 se modifica como sigue:
|
3) |
En el artículo 6, apartado 1, se añade la letra siguiente:
|
4) |
En el artículo 7 se modifica como sigue:
|
5) |
En el artículo 9, se añade el apartado siguiente: «4. El acceso para consultar los datos del SES almacenados en el RCDI estará reservado exclusivamente al personal debidamente autorizado de las autoridades nacionales de cada Estado miembro y al personal debidamente autorizado de las agencias de la Unión que sean competentes para los fines establecidos en el artículo 20 y el artículo 21 del Reglamento (UE) 2019/817. Dicho acceso será limitado, en la medida necesaria en que lo sean los datos para el cumplimiento de sus funciones para dichos fines, y proporcionados con respecto a los objetivos perseguidos.» |
6) |
El artículo 21 se modifica como sigue:
|
7) |
El artículo 23 se modifica como sigue:
|
8) |
En el artículo 32, se inserta el apartado siguiente: «1 bis. En los casos en que las autoridades designadas hayan iniciado una consulta al RCDI de conformidad con el artículo 22 del Reglamento (UE) 2019/817, podrán acceder al SES para consultarlo cuando se cumplan las condiciones establecidas en el presente artículo y cuando la respuesta recibida a que se refiere el artículo 22, apartado 2, del Reglamento (UE) 2019/817 ponga de manifiesto que los datos están almacenados en el SES.». |
9) |
En el artículo 33, se inserta el apartado siguiente: «1 bis. En los casos en que Europol haya iniciado una consulta al RCDI de conformidad con el artículo 22 del Reglamento (UE) 2019/817, podrá acceder al SES para consultarlo cuando se cumplan las condiciones establecidas en el presente artículo y cuando la respuesta recibida a que se refiere el artículo 22, apartado 2, del Reglamento (UE) 2019/817 ponga de manifiesto que los datos están almacenados en el SES.». |
10) |
El artículo 34 se modifica como sigue:
|
11) |
En el artículo 35, el apartado 7 se sustituye por el texto siguiente: «7. El sistema central del SES y el RCDI informarán inmediatamente a todos los Estados miembros de la supresión de datos del SES o el RCDI y, cuando proceda, de la lista de las personas a que se refiere el artículo 12, apartado 3.». |
12) |
En el artículo 36, las palabras «del sistema central del SES» se sustituyen por las palabras «del sistema central del SES y el RCDI». |
13) |
El artículo 37 se modifica como sigue:
|
14) |
En el artículo 46, apartado 1, se añade la letra siguiente:
|
15) |
En el artículo 63 se modifica como sigue
|
Artículo 61
Modificaciones del Reglamento (UE) 2018/1240
El Reglamento (UE) 2018/1240 se modifica como sigue:
1) |
En el artículo 1, se añade el apartado siguiente: «3. Mediante el almacenamiento de identidades y datos sobre documentos de viaje en el registro común de datos de identidad (RCDI) creado por el artículo 17, apartado 1, del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*4), el SEIAV contribuye a facilitar y agilizar la identificación correcta de las personas registradas en este sistema en las condiciones y para los objetivos finales a que se refiere el artículo 20 de dicho Reglamento.». (*4) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y la Decisión 2004/512/CE y 2008/633/JAI del Consejo(DO L 135 de 22.5.2019, p. 27).»" |
2) |
En el artículo 3, apartado 1, se añaden los puntos siguientes: «23) “RCDI”: el registro común de datos de identidad establecido por el artículo 17, apartado 1, del Reglamento (UE) 2019/817; 24) “PEB”: el portal europeo de búsqueda establecido por el artículo 6, apartado 1, del Reglamento (UE) 2019/817 25) “sistema central SEIAV”: el Sistema Central a que se refiere el artículo 6, apartado 2, letra a), junto con el RCDI, en la medida en que este contiene los datos a que se refiere el artículo 6, apartado 2 bis; 26) “datos de identidad”: los datos a que se refiere el artículo 17, apartado 2, letras a), b) y c); 27) “documentos de viaje”: los datos a que se refiere el artículo 17, apartado 2, letras d) y e), y el código de tres letras del país expedidor del documento de viaje a que se refiere el artículo 19, apartado 3, letra c).»; |
3) |
En el artículo 4, se añade la letra siguiente:
|
4) |
El artículo 6 se modifica como sigue:
|
5) |
El artículo 13 se modifica como sigue:
|
6) |
El artículo 17, apartado 2, queda modificado como sigue:
|
7) |
En el artículo 19, apartado 4, las palabras «artículo 17, apartado 2, letra a)» se sustituyen por las palabras «artículo 17, apartado 2, letras a) y a bis)». |
8) |
El artículo 20 se modifica como sigue:
|
9) |
En el artículo 23, el apartado 1 se sustituye por el texto siguiente: «1. El sistema central SEIAV deberá lanzar una búsqueda utilizando el PEB para comparar los datos pertinentes a que se refiere el artículo 17, apartado 2, letras a), a bis), b) y d), con los datos contenidos en el SIS, a fin de determinar si el solicitante es objeto de una de las siguientes descripciones:
|
10) |
En el artículo 52 se inserta el apartado siguiente: «1 bis. Cuando las autoridades designadas lancen una consulta de RCDI de conformidad con el artículo 22 del Reglamento (UE) 2019/817, podrán acceder a los expedientes de solicitud contenidos en el sistema central SEIAV, de conformidad con el presente artículo, para su consulta cuando la respuesta a que se refiere el artículo 22, apartado 2 del Reglamento (UE) 2019/817 ponga de manifiesto que los datos han sido almacenados en los expedientes de solicitud contenidos en el sistema central SEIAV.» |
11) |
En el artículo 53 se inserta el apartado siguiente: «1 bis. Cuando Europol lance una consulta de RCDI de conformidad con el artículo 22 del Reglamento (UE) 2019/817, podrá acceder a los expedientes de solicitud contenidos en el sistema central SEIAV, de conformidad con el presente artículo, para su consulta cuando la respuesta a que se refiere el artículo 22, apartado 2 del Reglamento (UE) 2019/817 ponga de manifiesto que los datos han sido almacenados en los expedientes de solicitud contenidos en el sistema central SEIAV.» |
12) |
En el artículo 65, apartado 3, párrafo quinto, las palabras «artículo 17, apartado 2, letras a), b), d), e) y f)» se sustituyen por las palabras «artículo 17, apartado 2, letras a), a bis), a), b), d), e) y f)». |
13) |
En el artículo 69, apartado 1, se inserta la letra siguiente:
|
14) |
En el artículo 73, apartado 2, las palabras «el repositorio central de datos» se sustituyen por las palabras «el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/817, en la medida en que incluya los datos procedentes del sistema central SEIAV de conformidad con el artículo 84 del presente Reglamento». |
15) |
En el artículo 74, apartado 1, el párrafo primero se sustituye por el texto siguiente: «1. A raíz de la entrada en funcionamiento del SEIAV, eu-LISA será responsable de la gestión técnica del sistema central del SEIAV y de las INU. También será responsable de cualquier prueba técnica necesaria para establecer y actualizar las normas de detección sistemática del SEIAV. Garantizará en todo momento, en cooperación con los Estados miembros, que se utilice la mejor tecnología disponible en función de un análisis de costes y beneficios. También será responsable de la gestión técnica de la infraestructura de comunicación entre el sistema central del SEIAV y las INU, así como del sitio web público, la aplicación para dispositivos móviles, el servicio de correo electrónico, el servicio de cuenta segura, la herramienta de verificación para solicitantes, la herramienta de consentimiento para solicitantes, la herramienta de evaluación para la lista de alerta rápida del SEIAV, la pasarela para los transportistas, el servicio web, los programas informáticos para tramitar las solicitudes.» |
16) |
En el artículo 84, apartado 2, el párrafo primero se sustituye por el texto siguiente: «2. A los efectos del apartado 1 del presente artículo, eu-LISA almacenará los datos a los que se refiere el apartado 1 en el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/817 De conformidad con el artículo 39, apartado 1, de dicho Reglamento, los datos estadísticos transversales y los informes analíticos permitirán a las autoridades enumeradas en el apartado 1 del presente artículo obtener informes y estadísticas personalizables, en apoyo de la aplicación de las normas de detección sistemática SEIAV a que se refiere el artículo 33, con el fin de mejorar la evaluación de la seguridad, la inmigración irregular y los riesgos elevados de epidemia, potenciar la eficiencia de los controles fronterizos y ayudar a la unidad central SEIAV y a las unidades nacionales SEIAV a tramitar las solicitudes de autorización de viaje.»; |
17) |
En el artículo 84, apartado 4, se añade el párrafo siguiente: «Las estadísticas cotidianas se almacenarán en el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/817». |
Artículo 62
Modificaciones del Reglamento (UE) 2018/1726
El Reglamento (UE) 2018/1726 se modifica como sigue:
1) |
El artículo 12 se sustituye por el texto siguiente: «Artículo 12 Calidad de los datos 1. Sin perjuicio de la responsabilidad de los Estados miembros en relación con los datos introducidos en los sistemas cuyo funcionamiento es responsabilidad de la Agencia, quien, en estrecha colaboración con sus grupos consultivos, establecerá, para todos los sistemas cuyo funcionamiento es responsabilidad de la Agencia, mecanismos y procedimientos automatizados de control de la calidad de los datos, indicadores comunes de calidad de los datos y normas de calidad mínimas relativas al almacenamiento de los datos, de conformidad con las disposiciones pertinentes de los instrumentos jurídicos de los sistemas del artículo 37 de los Reglamentos (UE) 2019/817 (*5) y (UE) 2019/818 (*6) del Parlamento Europeo y del Consejo. 2. La Agencia establecerá un repositorio central, que contenga únicamente datos anonimizados, de informes y estadísticas de conformidad con el artículo 39 de los Reglamentos (UE) 2019/817 y (UE) 2019/818, a reserva de disposiciones específicas en los instrumentos jurídicos reguladores del desarrollo, establecimiento, funcionamiento y uso de los sistemas Informáticos de gran magnitud gestionados por la Agencia (*5) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamento (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo (DO L 135 de 22.5.2019, p. 27)." (*6) Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, el asilo y la migración) y por el que se modifica los Reglamentos (UE) 2018/1726, (UE) 2018/1862 y (UE) 2019/816 (DO L 135 de 22.5.2019, p. 85).»" |
2) |
El artículo 19, apartado 1, se modifica como sigue:
|
3) |
En el artículo 22, el apartado 4 se sustituye por el texto siguiente: «4. Europol y Eurojust podrán asistir a las reuniones del Consejo de Administración en calidad de observadores siempre que figure en el orden del día una cuestión relativa al SIS II relacionada con la aplicación de la Decisión 2007/533/JAI. La Agencia Europea de la Guardia de Fronteras y Costas podrá asistir a las reuniones del Consejo de Administración en calidad de observadora siempre que figure en el orden del día una cuestión relativa al SIS en relación con la aplicación del Reglamento (UE) 2016/1624. Europol podrá asistir a las reuniones del Consejo de Administración en calidad de observador siempre que en el orden del día figure una cuestión relativa al VIS relacionada con la aplicación de la Decisión 2008/633/JAI o una cuestión relativa a Eurodac relacionada con la aplicación del Reglamento (UE) n.o 603/2013. Europol podrá asistir a las reuniones del Consejo de Administración en calidad de observador siempre que en el orden del día figure una cuestión relativa al SES en relación con la aplicación del Reglamento (UE) 2017/2226 o una cuestión relativa al SEIAV en relación con la aplicación del Reglamento (UE) 2018/1240. La Agencia Europea de la Guardia de Fronteras y Costas podrá asistir a las reuniones del Consejo de Administración en calidad de observadora cuando en el orden del día figure una cuestión relativa al SEIAV en relación con la aplicación del Reglamento (UE) 2018/1240. Eurojust, Europol y la Fiscalía Europea también podrán asistir a las reuniones del Consejo de Administración en calidad de observadores siempre que en el orden del día figure una cuestión relativa al Reglamento (UE) 2019/816 Europol, Eurojust y la Agencia Europea de la Guardia de Fronteras y Costas también podrán asistir a las reuniones del Consejo de Administración siempre que en el orden del día figure una cuestión relativa a los Reglamentos (UE) 2019/817 y (UE) 2019/818. El Consejo de Administración podrá invitar a cualquier otra persona, cuya opinión pueda ser de interés, a asistir a las reuniones en calidad de observador.». |
4) |
En el artículo 24, apartado 3, la letra p) se sustituye por el texto siguiente:
|
5) |
El artículo 27 se modifica como sigue:
|
Artículo 63
Modificaciones del Reglamento (UE) 2018/1861
El Reglamento (UE) 2018/1861 se modifica como sigue:
1) |
En el artículo 3, se añaden los puntos siguientes: «22) “PEB”: el portal europeo de búsqueda establecido por el artículo 6, apartado 1, del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*10). 23) «SCB compartido»: el servicio de correspondencia biométrica compartido establecido por el artículo 12, apartado 1, del Reglamento (UE) 2019/817; 24) «RCDI»: el registro común de datos de identidad establecido por el artículo 17, apartado 1, del Reglamento (UE) 2019/817; 25) «DIM»: el detector de identidades múltiples establecido por el artículo 25, apartado 1, del Reglamento (UE) 2019/817.». (*10) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861, y las Decisiones 2004/512/CE y l2008/633/JAI del Consejo (DO L 135 de 22.5.2019, p. 27).»" |
2) |
El artículo 4 se modifica como sigue:
|
3) |
En el artículo 7, se inserta el apartado siguiente: «2 bis. Las oficinas SIRENE garantizarán asimismo la verificación manual de identidades diferentes, de conformidad con el artículo 29 del Reglamento (UE) 2019/817 En la medida en que sea necesario para llevar a cabo esta tarea, las oficinas SIRENE tendrán acceso a los datos almacenados en el RCDI y el DIM para los fines establecidos en los artículos 21 y 26 del Reglamento (UE) 2019/817». |
4) |
En el artículo 12, el apartado 1 se sustituye por el texto siguiente: «1. Los Estados miembros garantizarán que todos los accesos a datos personales y todos los intercambios de estos datos en la CS-SIS queden registrados en su N.SIS, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y garantizando el correcto funcionamiento del N.SIS, así como la integridad y seguridad de los datos. Esto no será de aplicación a los procesos automáticos contemplados en el artículo 4, apartado 6, letras a), b) y c). Los Estados miembros velarán por que todo acceso a datos personales a través del PEB también quede registrado, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y la integridad y seguridad de los datos.» |
5) |
En el artículo 34, apartado 1, se añade la letra siguiente:
|
6) |
En el artículo 60, el apartado 6 se sustituye por el texto siguiente: «6. A efectos del artículo 15, apartado 4 y de los apartados 3, 4 y 5 del presente artículo, eu-LISA almacenará los datos a que se refiere el artículo 15, apartado 4 y el apartado 3 del presente artículo, que no permitirán la identificación de los individuos en el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/817. eu-LISA autorizará a la Comisión y a los organismos a que se refiere el apartado 5 del presente artículo a obtener informes y estadísticas personalizadas. Previa solicitud, eu-LISA dará acceso al repositorio central de informes y estadísticas, de conformidad con el artículo 39 del Reglamento (UE) 2019/817 a los Estados miembros, la Comisión, Europol y la Agencia Europea de la Guardia de Fronteras y Costas.». |
Artículo 64
Modificaciones de la Decisión 2004/512/CE del Consejo
En el artículo 1 de la Decisión 2004/512/CE, el apartado 2 se sustituye por el texto siguiente:
«2. El Sistema de Información de Visados se basará en una arquitectura centralizada y consistirá en:
a) |
la infraestructura central del registro común de datos de identidad, tal como se define en el artículo 17, punto 2, letra a), del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*11); |
b) |
un sistema central de información, denominado en lo sucesivo «Sistema Central de Información de Visados» (CS-VIS); |
c) |
una interfaz en cada Estado miembro, denominada en lo sucesivo «interfaz nacional» (NI-VIS), que proporcionará la conexión a la autoridad nacional central pertinente del respectivo Estado miembro; |
d) |
la infraestructura de comunicación entre el Sistema Central de Información de Visados y las interfaces nacionales; |
e) |
un canal seguro de comunicación entre el sistema central del SES y el CS-VIS; |
f) |
una infraestructura de comunicación segura entre el sistema central del SES y las infraestructuras centrales del portal europeo de búsqueda creado por el artículo 6, apartado 1, del Reglamento (UE) 2019/817, y el registro común de datos de identidad creado por el artículo 17, apartado 1, del Reglamento (UE) 2019/817. |
Artículo 65
Modificaciones de la Decisión 2008/633/JAI
La Decisión 2008/633/JAI se modifica como sigue:
1) |
En el artículo 5, se inserta el apartado siguiente: «1 bis. En los casos en que las autoridades designadas hayan iniciado una consulta al VIS de conformidad con el artículo 22 del Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (*12) y se cumplan las condiciones de acceso establecidas en el presente artículo, podrán acceder al VIS para consultarlo cuando la respuesta recibida a que se refiere el apartado 2 del artículo 22 de dicho Reglamento ponga de manifiesto que los datos están almacenados en el VIS. (*12) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo (DO L 135 de 22.5.2019, p. 27).»" |
2) |
En el artículo 7, se inserta el apartado siguiente: «1 bis. En los casos en que Europol haya iniciado una consulta al VIS de conformidad con el artículo 22 del Reglamento (UE) 2019/817 y se cumplan las condiciones de acceso establecidas en el presente artículo, Europol podrá acceder al VIS para consultarlo cuando la respuesta recibida a que se refiere el apartado 3 del artículo 22, apartado 2, de dicho Reglamento ponga de manifiesto que los datos están almacenados en el VIS.». |
CAPÍTULO X
Disposiciones finales
Artículo 66
Presentación de informes y estadísticas
1. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrá acceso a la consulta de los datos siguientes relativos al PEB, únicamente a efectos de la presentación de informes y estadísticas:
a) |
número de consultas por usuario del perfil del PEB; |
b) |
número de consultas de cada base de datos de Interpol. |
No será posible identificar individuos a partir de los datos.
2. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrá acceso a la consulta de los datos siguientes relativos al RCDI, únicamente a efectos de la presentación de informes y estadísticas:
a) |
número de consultas a los efectos de los artículos 20, 21 y 22; |
b) |
nacionalidad, género y año de nacimiento de la persona; |
c) |
tipo de documento de viaje y código de tres letras del país de expedición; |
d) |
número de búsquedas realizadas con y sin datos biométricos. |
No será posible identificar individuos a partir de los datos.
3. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrá acceso a la consulta de los datos siguientes en relación con el DIM, únicamente a efectos de la presentación de informes y estadísticas:
a) |
número de búsquedas realizadas con y sin datos biométricos; |
b) |
número de cada tipo de vínculo y los sistemas de información de la UE que contienen datos vinculados; |
c) |
periodo durante el que se ha mantenido un vínculo amarillo o rojo en el sistema. |
No será posible identificar individuos a partir de los datos.
4. El personal debidamente autorizado de la Agencia Europea de la Guardia de Fronteras y Costas tendrá acceso a la consulta de los datos a que se refieren los apartados 1, 2 y 3 del presente artículo con el fin de llevar a cabo los análisis de riesgos y la evaluación de la vulnerabilidad a que se hace referencia en los artículos 11 y 13 del Reglamento (UE) 2016/1624 del Parlamento Europeo y del Consejo (40).
5. El personal debidamente autorizado de Europol tendrá acceso a la consulta de los datos a que se refieren los apartados 2 y 3 del presente artículo con el fin de llevar a cabo los análisis estratégicos, temáticos y operativos a que se hace referencia en el artículo 18, apartado 2, letras b) y c), del Reglamento (UE) 2016/794.
6. A los efectos de los apartados 1, 2 y 3, eu-LISA almacenará los datos que se refieren a dichos apartados en el RCIE. No será posible identificar individuos a partir de los datos contenidos en el RCIE, pero los datos permitirán a las autoridades enumeradas en los apartados 1, 2 y 3 la elaboración de informes y estadísticas personalizados para mejorar la eficiencia de los controles fronterizos, para ayudar a las autoridades a tramitar las solicitudes de visado y para respaldar la elaboración de políticas basadas en pruebas en el ámbito de la migración y la seguridad en la Unión.
7. Previa solicitud, la Comisión pondrá a disposición de la Agencia de los Derechos Fundamentales de la Unión Europea la información pertinente a fin de evaluar las repercusiones del presente Reglamento en los derechos fundamentales.
Artículo 67
Periodo transitorio para la utilización del portal europeo de búsqueda
1. Durante un periodo de dos años a partir de la fecha en que el PEB entre en funcionamiento, no serán de aplicación las obligaciones a que se refiere el artículo 7, apartados 2 y 4, y la utilización del PEB será facultativa.
2. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 73 a fin de modificar el presente Reglamento prorrogando una vez el periodo a que se hace referencia en el apartado 1 del presente artículo por un periodo no superior a un año si una evaluación de la aplicación práctica del PEB muestra que es necesaria tal prórroga especialmente debido a las repercusiones de la introducción del PEB en la organización y la duración de los controles fronterizos.
Artículo 68
Periodo transitorio aplicable a las disposiciones sobre el acceso al registro común de datos de identidad con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves
El artículo 22, el artículo 60, puntos 8 y 9, el artículo 61, puntos 10 y 11 y el artículo 65 serán de aplicación a partir de la fecha de entrada en funcionamiento a que se refiere el artículo 72, apartado 3.
Artículo 69
Periodo transitorio para el detector de identidades múltiples
1. Durante un periodo de un año tras la notificación por parte de eu-LISA de la realización del ensayo al que se hace referencia en el artículo 72, apartado 4, letra b), relativo al DIM y antes de la entrada en funcionamiento del DIM, la unidad central SEIAV se encargará de efectuar una detección de identidades múltiples entre los datos almacenados en el SES, el VIS, Eurodac y el SIS. Las detecciones de identidades múltiples se llevarán a cabo utilizando solamente datos biométricos.
2. Cuando la consulta dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados sean iguales o similares, se creará un vínculo blanco de conformidad con el artículo 33.
Cuando la consulta dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados no puedan considerarse similares, se creará un vínculo amarillo de conformidad con el artículo 30 y será de aplicación el procedimiento a que se refiere el artículo 29.
Cuando se registren varias correspondencias, se creará un vínculo con cada uno de los datos que hayan dado lugar a una correspondencia.
3. Cuando se cree un vínculo amarillo, el DIM concederá a la unidad central SEIAV acceso a los datos de identidad presentes en los distintos sistemas de información.
4. Cuando se cree un vínculo a una descripción en el SIS, distinta de una descripción creada en virtud del artículo 3 del Reglamento (UE) 2018/1860, los artículos 24 y 25 del Reglamento (UE) 2018/1861 o el artículo 38 del Reglamento (UE) 2018/1862, el DIM concederá a la oficina SIRENE del Estado miembro que haya creado la descripción acceso a los datos de identidad presentes en los distintos sistemas de información.
5. La unidad central SEIAV o, en el caso a que se refiere el apartado 4 del presente artículo la oficina SIRENE del Estado miembro que haya creado la descripción tendrán acceso a los datos contenidos en el expediente de confirmación de identidad, evaluarán las diferentes identidades y actualizarán el vínculo con arreglo a los artículos 31, 32 y 33 y lo añadirán al expediente de confirmación de identidad.
6. La unidad central SEIAV notificará a la Comisión de conformidad con el artículo 71, apartado 3, únicamente una vez que se hayan verificado manualmente todos los vínculos amarillos y se haya actualizado su carácter como vínculos verdes, blancos o rojos.
7. Los Estados miembros prestarán asistencia, cuando sea necesario, a la unidad central SEIAV en la detección de identidades múltiples a que se refiere el presente artículo.
8. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 73 a fin de modificar el presente Reglamento para prorrogar el plazo a que se refiere el apartado 1 del presente artículo por un plazo de seis meses, renovable dos veces de seis meses cada una. Esta prórroga se concederá únicamente si una evaluación del tiempo estimado para la finalización de la detección de identidades múltiples en virtud del presente artículo, que se lleve a cabo no más de tres meses antes del vencimiento de la fecha límite a que se hace referencia en el apartado 1 o de la fecha de las dos primeras prórrogas, demuestra que la detección de identidades múltiples no puede cumplirse antes de la finalización del plazo restante por razones ajenas a la unidad central SEIAV y que no pueden aplicarse medidas de corrección. La evaluación se llevará a cabo a más tardar tres meses antes de que expire dicho plazo o la prórroga vigente del mismo.
Artículo 70
Costes
1. Los costes en que se incurra en relación con la creación y funcionamiento del PEB, el SCB compartido, el RCDI y el DIM correrán a cargo del presupuesto general de la Unión.
2. Los costes en que se incurra en relación con la integración de las infraestructuras nacionales existentes y su conexión a las interfaces nacionales uniformes, así como en relación con el alojamiento de las interfaces nacionales uniformes, correrán a cargo del presupuesto general de la Unión.
Quedan excluidos los costes siguientes:
a) |
la oficina de gestión del proyecto de los Estados miembros (reuniones, misiones, despachos); |
b) |
el alojamiento de los sistemas informáticos nacionales (espacio, ejecución, electricidad, refrigeración); |
c) |
el funcionamiento de los sistemas informáticos nacionales (operadores y contratos de apoyo); |
d) |
el diseño, el desarrollo, la implementación, la explotación y el mantenimiento de las redes de comunicación nacionales. |
3. Sin perjuicio de que se destinen más fondos a este propósito a partir de otras fuentes del presupuesto general de la Unión, se movilizará un importe de 32 077 000 EUR de la partida de 791 000 000 EUR prevista en el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo para cubrir los costes de aplicación del presente Reglamento, según lo previsto en los apartados 1 y 2 del presente artículo.
4. De la partida mencionada en el apartado 3, 22 861 000 EUR se asignarán a eu-LISA, 9 072 000 se asignarán a Europol y 144 000 EUR a la Agencia de la Unión Europea para la Formación Policial (CEPOL), con miras a brindar apoyo a estas agencias en la ejecución de sus tareas respectivas en virtud del presente Reglamento. Tal financiación se ejecutará en régimen de gestión indirecta.
5. Los costes en que incurran las autoridades designadas a que se refiere el artículo 4, apartado 24, correrán a cargo del Estado miembro que las designe y de Europol, respectivamente. Los costes generados por la conexión de las autoridades designadas al RCDI correrán a cargo de cada Estado miembro, respectivamente.
Los costes en que incurra Europol, incluida la conexión al RCDI, correrán a cargo de Europol.
Artículo 71
Notificaciones
1. Los Estados miembros notificarán a eu-LISA las autoridades a que se refieren los artículos 7, 20, 21 y 26 que podrán utilizar el PEB, el RCDI y el DIM o tener acceso a ellos, respectivamente.
La lista consolidada de dichas autoridades se publicará en el Diario Oficial de la Unión Europea en un plazo de tres meses a partir de la fecha en que cada componente de interoperabilidad entre en funcionamiento, de conformidad con el artículo 72. Cuando se modifique dicha lista, eu-LISA publicará una lista consolidada actualizada una vez al año.
2. eu-LISA notificará a la Comisión la realización satisfactoria del ensayo mencionado en el artículo 72, apartados 1, letra b), 2, letra b), 3, letra b), 4, letra b), 5, letra b), y 6, letra b).
3. La unidad central SEIAV notificará a la Comisión la realización satisfactoria del periodo transitorio establecido en el artículo 69.
4. La Comisión pondrá a disposición de los Estados miembros y del público, mediante un sitio web público constantemente actualizado, la información notificada de conformidad con el apartado 1.
Artículo 72
Entrada en funcionamiento
1. La Comisión determinará la fecha a partir de la que el PEB debe entrar en funcionamiento, mediante un acto de ejecución, una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 8, apartado 2; el artículo 9, apartado 7, y el artículo 43, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del PEB que ha llevado a cabo en cooperación con las autoridades de los Estados miembros y las agencias de la Unión que pueden utilizar el PEB; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 8, apartado 1, y las haya notificado a la Comisión; |
El PEB solo podrá consultar las bases de datos de Interpol cuando las disposiciones técnicas permitan cumplir con el artículo 9, apartado 5. La imposibilidad de cumplir con el artículo 9, apartado 5 tendrá como resultado que el PEB no consulte las bases de datos de Interpol, pero no retrasará la entrada en funcionamiento del PEB.
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
2. La Comisión determinará la fecha a partir de la que el SCB compartido debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas contempladas en el artículo 13, apartado 5, y en el artículo 43, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del SCB compartido, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refieren el artículo 13 y las haya notificado a la Comisión; |
d) |
que eu-LISA haya declarado la realización satisfactoria del ensayo mencionado en el apartado 5, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
3. La Comisión determinará la fecha a partir de la que el RCDI debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se hayan cumplido las condiciones siguientes:
a) |
que se hayan adoptado las medidas contempladas en el artículo 43, apartado 5, y en el artículo 78, apartado 10; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del RDCI, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 18 y las haya notificado a la Comisión; |
d) |
que eu-LISA haya declarado la realización satisfactoria del ensayo mencionado en el apartado 5, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
4. La Comisión determinará la fecha a partir de la que el DIM debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 28, apartados 5 y 7, el artículo 32, apartado 5, el artículo 33, apartado 6, el artículo 43, apartado 5, y el artículo 49, apartado 6; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del DIM, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros y la unidad central SEIAV; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 34 y las haya notificado a la Comisión; |
d) |
que la unidad central SEIAV haya notificado a la Comisión de acuerdo con el artículo 71, apartado 3; |
e) |
que eu-LISA haya declarado la realización satisfactoria de los ensayos mencionados en los apartados 1, letra b), 2, letra b), 3, letra b), y 5, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
5. La Comisión establecerá mediante un acto de ejecución la fecha a partir de la que deben utilizarse los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos, una vez que se hayan cumplido las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refiere el artículo 37, apartado 4; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global de los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos, que eu-LISA ha llevado a cabo en cooperación con las autoridades de los Estados miembros. |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
6. La Comisión determinará la fecha a partir de la que el RCIE debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se hayan cumplido las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 39, apartado 5, y el artículo 43, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del RCIE, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 39 y las haya notificado a la Comisión. |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
7. La Comisión informará al Parlamento Europeo y al Consejo de los resultados de los ensayos realizados de conformidad con las letras b) de los apartados 1 a 6.
8. Los Estados miembros, la unidad central SEIAV y Europol comenzarán a utilizar cada uno de los componentes de interoperabilidad a partir de la fecha determinada por la Comisión de conformidad con los apartados 1, 2, 3 y 4 respectivamente.
Artículo 73
Ejercicio de la delegación
1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.
2. Los poderes para adoptar los actos delegados mencionados en los artículos 28, apartado 5, 39, apartado 5, 49, apartado 6, 67, apartado 2, y 69, apartado 8, se otorgan a la Comisión por un período de cinco años a partir del 11 de junio de 2019. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará tácitamente por periodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada periodo.
3. La delegación de poderes mencionada en los artículos 28, apartado 5, 39, apartado 5, 49, apartado 6, 67, apartado 2, y 69, apartado 8, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada ella. No afectará a la validez de los actos delegados que ya estén en vigor.
4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.
5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.
6. Los actos delegados adoptados en virtud de los artículos 28, apartado 5, 39, apartado 5, 49, apartado 6, 67, apartado 2, y 69, apartado 8, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.
Artículo 74
Procedimiento de comité
1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.o 182/2011.
2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.o 182/2011.
Si el comité no emite un dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.o 182/2011.
Artículo 75
Grupo consultivo
eu-LISA creará un grupo consultivo de interoperabilidad. Durante la fase de diseño y desarrollo de los componentes de interoperabilidad, se aplicará el artículo 54, apartados 4, 5 y 6.
Artículo 76
Formación
eu-LISA desempeñará las funciones relativas a la formación sobre el uso técnico de los componentes de interoperabilidad, de conformidad con el Reglamento (UE) n.o 2018/1726.
Las autoridades de los Estados miembros y las agencias de la Unión proporcionarán a su personal autorizado a usar los componentes de interoperabilidad programas de formación adecuados sobre seguridad de datos, calidad de datos, normas de protección de datos, procedimientos aplicables al tratamiento de datos y la obligación de informar con arreglo a los artículos 32, apartado 4, 33, apartado 4, y 47.
Cuando proceda, se organizarán cursos de formación conjuntos sobre estos temas a escala de la Unión, para reforzar la cooperación y el intercambio de las mejores prácticas entre el personal de las autoridades de los Estados miembros y las agencias de la Unión que están autorizadas a tratar datos usando los componentes de interoperabilidad. Debe prestarse especial atención al proceso de detección de identidades múltiples, incluida la verificación manual de identidades diferentes y la necesidad concomitante de mantener salvaguardias apropiadas de los derechos fundamentales.
Artículo 77
Manual práctico
La Comisión, en estrecha cooperación con los Estados miembros, eu-LISA y otras agencias pertinentes de la Unión, publicará un manual práctico de aplicación y gestión de los componentes de interoperabilidad. El manual práctico proporcionará orientaciones técnicas y operativas, recomendaciones y mejores prácticas. La Comisión adoptará el manual práctico en forma de recomendación.
Artículo 78
Supervisión y valoración
1. eu-LISA se asegurará de que se establezcan procedimientos para llevar a cabo la supervisión del desarrollo de los componentes de interoperabilidad y de su conexión a la interfaz nacional uniforme a la luz de los objetivos en materia de planificación y costes, y de su funcionamiento a la luz de los objetivos en materia de resultados técnicos, rentabilidad, seguridad y calidad del servicio.
2. A más tardar el 12 de diciembre de 2019, y posteriormente cada seis meses durante la fase de desarrollo de los componentes de interoperabilidad, eu-LISA presentará un informe al Parlamento Europeo y al Consejo sobre el estado de desarrollo de los componentes de interoperabilidad y de su conexión a la interfaz nacional uniforme. Una vez finalizado el desarrollo, se presentará un informe al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han conseguido los objetivos, en particular en lo relativo a la planificación y los costes, y se justifique toda divergencia.
3. Cuatro años después de la entrada en funcionamiento de cada componente de interoperabilidad de conformidad con el artículo 72 y, posteriormente, cada cuatro años, eu-LISA presentará al Parlamento Europeo, al Consejo y a la Comisión un informe sobre el funcionamiento técnico de los componentes de interoperabilidad, incluida su seguridad.
4. Además, un año después de cada informe de eu-LISA, la Comisión realizará una valoración global de los componentes de interoperabilidad, que incluirá:
a) |
una evaluación de la aplicación del presente Reglamento; |
b) |
un examen de los resultados alcanzados en comparación con los objetivos del presente Reglamento y de su repercusión sobre los derechos fundamentales, en particular sobre los efectos de los componentes de interoperabilidad para el derecho a la no discriminación; |
c) |
una evaluación del funcionamiento del portal web, incluidas las cifras relativas al uso del portal web y el número de solicitudes resueltas; |
d) |
una evaluación de la vigencia de los motivos que fundamentan los componentes de interoperabilidad; |
e) |
una evaluación de la seguridad de los componentes de interoperabilidad; |
f) |
una evaluación del uso del RCDI con fines de identificación; |
g) |
una evaluación del uso del RCDI con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves; |
h) |
una evaluación de las posibles consecuencias, incluida cualquier repercusión desproporcionada, en el flujo de tráfico en los pasos fronterizos y de aquellas consecuencias que tengan incidencia en el presupuesto de la Unión; |
i) |
una evaluación de la búsqueda en bases de datos de Interpol a través del PEB, con información sobre el número de correspondencias obtenidas con las bases de datos de Interpol y sobre los problemas detectados; |
Las valoraciones globales incluirán todas las recomendaciones necesarias. La Comisión remitirá el informe de valoración al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea.
5. A más tardar el 12 de junio de 2020, y posteriormente cada año hasta que se adopten los actos de ejecución de la Comisión a que se refiere el artículo 72, la Comisión presentará un informe al Parlamento Europeo y al Consejo sobre el estado de los preparativos para la plena aplicación del presente Reglamento. Dicho informe contendrá también información pormenorizada sobre los costes soportados y sobre los riesgos que puedan afectar a los costes globales.
6. Dos años después de que entre en funcionamiento el DIM de conformidad con el artículo 72, apartado 4, la Comisión llevará a cabo un examen de los efectos del DIM sobre el derecho a la no discriminación. Tras este primer informe, el examen de los efectos del DIM sobre el derecho a la no discriminación formará parte del examen a que se hace referencia en el apartado 4, letra b) del presente artículo.
7. Los Estados miembros y Europol proporcionarán a eu-LISA y a la Comisión la información necesaria para elaborar los informes a que se refieren los apartados 3 a 6. Esta información no deberá nunca poner en riesgo los métodos de trabajo ni incluir datos que revelen fuentes, miembros del personal o investigaciones de las autoridades designadas.
8. eu-LISA facilitará a la Comisión la información necesaria para realizar las valoraciones globales a que se refiere el apartado 4.
9. Con pleno respeto de las disposiciones del Derecho nacional en materia de publicación de información sensible y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que ninguna investigación nacional corra peligro, cada Estado miembro y Europol prepararán informes anuales sobre la eficacia del acceso a los datos almacenados en el RCDI con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, que comprenderán información y estadísticas sobre:
a) |
la finalidad exacta de la consulta, incluido el tipo de delito de terrorismo u otros delitos graves; |
b) |
los motivos razonables alegados para la sospecha fundada de que el sospechoso, el autor o la víctima están cubiertos por el Reglamento (UE) 2017/2226, el Reglamento (CE) n.o 767/2008 o el Reglamento (UE) 2018/1240; |
c) |
el número de solicitudes de acceso al RCDI con fines de prevención, detección o investigación de delitos de terrorismo o de otros delitos graves; |
d) |
el número y tipo de casos que hayan arrojado identificaciones positivas; |
e) |
la necesidad y la utilización del recurso excepcional de urgencia, incluyendo aquellos casos en los que la urgencia no fue aceptada por la verificación efectuada a posteriori por el punto de acceso central. |
Los informes anuales de los Estados miembros y de Europol se remitirán a la Comisión antes del 30 de junio del año siguiente.
10. Se pondrá a disposición de los Estados miembros una solución técnica con el fin de gestionar las solicitudes de acceso de los usuarios a que se hace referencia en el artículo 22 y de facilitar la recopilación de información con arreglo a los apartados 7 y 9 del presente artículo a efectos de la generación de informes y estadísticas contempladas en dichos apartados. La Comisión adoptará actos de ejecución para establecer las especificaciones de las soluciones técnicas. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 74, apartado 2.
Artículo 79
Entrada en vigor y aplicación
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Las disposiciones del presente Reglamento en relación con el PEB se aplicarán a partir de la fecha que determine la Comisión de conformidad con el artículo 72, apartado 1.
Las disposiciones del presente Reglamento en relación con el SCB compartido se aplicarán a partir de la fecha que determine la Comisión de conformidad con el artículo 72, apartado 2.
Las disposiciones del presente Reglamento en relación con el RCDI se aplicarán a partir de la fecha que determine la Comisión de conformidad con el artículo 72, apartado 3.
Las disposiciones del presente Reglamento en relación con el DIM se aplicarán a partir de la fecha que determine la Comisión de conformidad con el artículo 72, apartado 4.
Las disposiciones del presente Reglamento relativas a los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos se aplicarán, respectivamente, a partir de las fechas que determine la Comisión de conformidad con el artículo 72, apartado 1.
Las disposiciones del presente Reglamento relativas al RCIE se aplicarán a partir de la fecha que determine la Comisión de conformidad con el artículo 72, apartados 6.
Los artículos 6, 12, 17, 25, 38, 42, 54, 56, 57, 70, 71, 73, 74, 75, 77 y 78, apartado 1, se aplicarán a partir del 11 de junio de 2019.
El presente Reglamento se aplicará respecto de Eurodac a partir de la fecha en que sea aplicable el texto refundido del Reglamento (UE) n.o 603/2013.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.
Hecho en Bruselas, el 20 de mayo de 2019.
Por el Parlamento Europeo
El Presidente
A. TAJANI
Por el Consejo
El Presidente
G. CIAMBA
(1) DO C 283 de, 10.8.2018, p. 48.
(2) Posición del Parlamento Europeo de 16 de abril de 2019 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 14 de mayo de 2019.
(3) DO C 101 de 16.3.2018, p. 116.
(4) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).
(5) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).
(6) Posición Común 2005/69/JAI del Consejo, de 24 de enero de 2005, relativa al intercambio de determinados datos con Interpol (DO L 27 de 29.1.2005, p. 61).
(7) Decisión 2007/533/JAI del Consejo, de 12 de junio de 2007, relativa al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) (DO L 205 de 7.8.2007, p. 63).
(8) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
(9) Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, sobre un código de normas de la Unión para el cruce de personas por las fronteras (Código de fronteras Schengen (DO L 77 de 23.3.2016, p. 1).
(10) Reglamento (UE) 2018/1860 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, sobre la utilización del Sistema de Información de Schengen para el retorno de nacionales de terceros países en situación irregular (DO L 312 de 7.12.2018, p. 1).
(11) Reglamento (UE) 2018/1861 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de las inspecciones fronterizas, por el que se modifica el Convenio de aplicación del Acuerdo de Schengen y se modifica y deroga el Reglamento (CE) n.o 1987/2006 (DO L 312 de 7.12.2018, p. 14).
(12) Reglamento (UE) 2018/1862 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de la cooperación policial y de la cooperación judicial en materia penal, por el que se modifica y deroga la Decisión 2007/533/JAI del Consejo, y se derogan el Reglamento (CE) n.o 1986/2006 del Parlamento Europeo y del Consejo y la Decisión 2010/261/UE de la Comisión (DO L 312 de 7.12.2018, p. 56).
(13) Reglamento (UE) 2017/2226 del Parlamento Europeo y del Consejo, de 30 de noviembre de 2017, por el que se establece un Sistema de Entradas y Salidas (SES) para registrar los datos de entrada y salida y de denegación de entrada relativos a nacionales de terceros países que crucen las fronteras exteriores de los Estados miembros, se determinan las condiciones de acceso al SES con fines policiales y se modifican el Convenio de aplicación del Acuerdo de Schengen y los Reglamentos (CE) n.o 767/2008 y (UE) n.o 1077/2011 (Reglamento SES) (DO L 327 de 9.12.2017, p. 20).
(14) Reglamento (CE) n.o 767/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, sobre el Sistema de Información de Visados (VIS) y el intercambio de datos sobre visados de corta duración entre los Estados miembros (Reglamento VIS) (DO L 218 de 13.8.2008, p. 60).
(15) Reglamento (UE) 2018/1240 del Parlamento Europeo y del Consejo, de 12 de septiembre de 2018, por el que se crea un Sistema Europeo de Información y Autorización de Viajes (SEIAV) y por el que se modifican los Reglamentos (UE) n.o 1077/2011, (UE) n.o 515/2014, (UE) 2016/399, (UE) 2016/1624 y (UE) 2017/2226 (DO L 236 de 19.9.2018, p. 1).
(16) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del (DO L 135 de 24.5.2016, p. 53).
(17) Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).
(18) DO C 233 de 4.7.2018, p. 12.
(19) Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 y (UE) n.o 283/2014 y la Decisión n.o 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.o 966/2012 (DO L 193 de 30.7.2018, p. 1).
(20) Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014, por el que se establece, como parte del Fondo de Seguridad Interior, el instrumento de apoyo financiero a las fronteras exteriores y los visados y por el que se deroga la Decisión n.o 574/2007/CE (DO L 150 de 20.5.2014, p. 143).
(21) DO L 123 de 12.5.2016, p. 1.
(22) Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).
(23) Directiva 2004/38/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004, relativa al derecho de los ciudadanos de la Unión y de los miembros de sus familias a circular y residir libremente en el territorio de los Estados miembros, por la que se modifica el Reglamento (CEE) n.o 1612/68 y se derogan las Directivas 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE y 93/96/CEE (DO L 158 de 30.4.2004, p. 77).
(24) Decisión 2000/365/CE del Consejo, de 29 de mayo de 2000, sobre la solicitud del Reino Unido de Gran Bretaña e Irlanda del Norte de participar en algunas de las disposiciones del acervo de Schengen (DO L 131 de 1.6.2000, p. 43).
(25) Decisión 2002/192/CE del Consejo, de 28 de febrero de 2002, sobre la solicitud de Irlanda de participar en algunas de las disposiciones del acervo de Schengen (DO L 64 de 7.3.2002, p. 20).
(26) DO L 176 de 10.7.1999, p. 36.
(27) Decisión 1999/437/CE del Consejo, de 17 de mayo de 1999, relativa a determinadas normas de desarrollo del Acuerdo celebrado por el Consejo de la Unión Europea con la República de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del Acervo de Schengen (DO L 176 de 10.7.1999, p. 31).
(28) DO L 53 de 27.2.2008, p. 52.
(29) Decisión 2008/146/CE del Consejo, de 28 de enero de 2008, relativa a la celebración, en nombre de la Comunidad Europea, del Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (DO L 53 de 27.2.2008, p. 1).
(30) DO L 160 de 18.6.2011, p. 21.
(31) Decisión del Consejo, de 7 de marzo de 2011, relativa a la celebración, en nombre de la Unión Europea, del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen, sobre la supresión de controles en las fronteras internas y la circulación de personas (DO L 160 de 18.6.2011, p. 19).
(32) Decisión 2004/512/CE del Consejo, de 8 de junio de 2004, por la que se establece el Sistema de Información de Visados (VIS) (DO L 213 de 15.6.2004, p. 5).
(33) Decisión 2008/633/JAI del Consejo, de 23 de junio de 2008, sobre el acceso para consultar el Sistema de Información de Visados (VIS) por las autoridades designadas de los Estados miembros y por Europol, con fines de prevención, detección e investigación de delitos de terrorismo y otros delitos (DO L 218 de 13.8.2008, p. 129).
(34) Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo de 20 de mayo de 2019 relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, el asilo y la migración) y por el que se modifican los Reglamentos (UE) 2018/1726, (UE) 2018/1862 y (UE) 2019/816 (véase la página 85 del presente Diario Oficial).
(35) Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo y por la que se sustituye la Decisión Marco 2002/475/JAI del Consejo y se modifica la Decisión 2005/671/JAI del Consejo (DO L 88 de 31.3.2017, p. 6).
(36) Decisión Marco 2002/584/JAI del Consejo, de 13 de junio de 2002, relativa a la orden de detención europea y a los procedimientos de entrega entre Estados miembros (DO L 190 de 18.7.2002, p. 1).
(37) Reglamento (UE) n.o 603/2013 del Parlamento Europeo y del Consejo, de 26 de junio de 2013, relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (UE) n.o 604/2013, por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida, y a las solicitudes de comparación con los datos de Eurodac presentadas por los servicios de seguridad de los Estados miembros y Europol a efectos de aplicación de la ley, y por el que se modifica el Reglamento (UE) n.o 1077/2011, por el que se crea una Agencia europea para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (DO L 180 de 29.6.2013, p. 1).
(38) Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, por el que se establece un sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas (NTP) a fin de complementar y apoyar el Sistema Europeo de Información de Antecedentes Penales (sistema ECRIS-TCN) y por el que se modifica el Reglamento (UE) 2018/1726 (véase la página 1 del presente Diario Oficial).
(39) Reglamento (CE) n.o 168/2007 del Consejo, de 15 de febrero de 2007, por el que se crea una Agencia de los Derechos Fundamentales de la Unión Europea (DO L 53 de 22.2.2007, p. 1).
(40) Reglamento (UE) 2016/1624 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2016, sobre la Guardia Europea de Fronteras y Costas, por el que se modifica el Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo y por el que se derogan el Reglamento (CE) n.o 863/2007 del Parlamento Europeo y del Consejo, el Reglamento (CE) n.o 2007/2004 del Consejo y la Decisión 2005/267/CE del Consejo (DO L 251 de 16.9.2016, p. 1).
22.5.2019 |
ES |
Diario Oficial de la Unión Europea |
L 135/85 |
REGLAMENTO (UE) 2019/818 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 20 de mayo de 2019
relativo al establecimiento de un marco para la interoperabilidad entre los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, el asilo y la migración y por el que se modifican los Reglamentos (UE) 2018/1726, (UE) 2018/1862 y (UE) 2019/816
EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular, sus artículos 16, apartado 2; 74; 78, apartado 2, letra e); 79, apartado 2, letra c); 82, apartado 1, letra d); 85, apartado 1; 87, apartado 2, letra a), y 88, apartado 2,
Vista la propuesta de la Comisión Europea,
Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,
Visto el dictamen del Comité Económico y Social Europeo (1),
Previa consulta al Comité de las Regiones,
De conformidad con el procedimiento legislativo ordinario (2),
Considerando lo siguiente:
(1) |
En su Comunicación de 6 de abril de 2016 titulada «Sistemas de información más sólidos e inteligentes para la gestión de las fronteras y la seguridad», la Comisión subrayó la necesidad de mejorar la arquitectura de gestión de datos de la Unión para la gestión de las fronteras y la seguridad. La Comunicación puso en marcha un proceso destinado a lograr la interoperabilidad de los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración, con el objetivo de solucionar las deficiencias estructurales relacionadas con estos sistemas que obstaculizan la labor de las autoridades nacionales y garantizar que los guardias de fronteras, las autoridades aduaneras, los agentes de policía y las autoridades judiciales tengan a su disposición la información necesaria. |
(2) |
En su Hoja de ruta para mejorar el intercambio y la gestión de la información, con inclusión de soluciones de interoperabilidad en el ámbito de la Justicia y los Asuntos de Interior, de 6 de junio de 2016, el Consejo identificó varios retos jurídicos, técnicos y operativos para la interoperabilidad de los sistemas de información de la UE e instó a la búsqueda de soluciones. |
(3) |
En su Resolución de 6 de julio de 2016 sobre las prioridades estratégicas para el programa de trabajo de la Comisión para 2017 (3), el Parlamento Europeo pidió que se presentaran propuestas para mejorar y desarrollar los sistemas de información de la UE existentes, colmar las lagunas de información y avanzar hacia su interoperabilidad, así como sus propuestas sobre la obligación de intercambiar información a nivel de la UE, junto con las salvaguardias necesarias en materia de protección de datos. |
(4) |
En sus conclusiones de 15 de diciembre de 2016, el Consejo Europeo pidió continuidad en la obtención de resultados en materia de interoperabilidad de los sistemas de información y bases de datos de la UE. |
(5) |
En su informe final de 11 de mayo de 2017, el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad llegó a la conclusión de que es necesario y técnicamente viable trabajar para poner en marcha soluciones prácticas en materia de interoperabilidad y que la interoperabilidad podría, en principio, producir beneficios operativos y establecerse cumpliendo los requisitos sobre protección de datos. |
(6) |
En su Comunicación de 16 de mayo de 2017 titulada «Séptimo informe de situación relativo a una Unión de la Seguridad genuina y efectiva», la Comisión diseñó, en consonancia con su Comunicación de 6 de abril de 2016 y las conclusiones y recomendaciones del Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad, un nuevo planteamiento para la gestión de los datos relativos a las fronteras, la seguridad y la migración, en virtud del cual todos los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración serían interoperables sin menoscabo alguno de los derechos fundamentales. |
(7) |
En sus Conclusiones de 9 de junio de 2017 sobre los siguientes pasos para mejorar el intercambio de información y garantizar la interoperabilidad de los sistemas de información de la UE, el Consejo invitó a la Comisión a buscar soluciones de interoperabilidad según lo propuesto por el Grupo de Expertos de Alto Nivel. |
(8) |
En sus conclusiones de 23 de junio de 2017, el Consejo Europeo puso de relieve la necesidad de mejorar la interoperabilidad de las bases de datos e invitó a la Comisión a preparar lo antes posible proyectos legislativos basados en las propuestas formuladas por el Grupo de Expertos de Alto Nivel sobre Sistemas de Información e Interoperabilidad. |
(9) |
Con objeto de mejorar la efectividad y la eficiencia de los controles en las fronteras exteriores, contribuir a prevenir y combatir la inmigración ilegal y de alcanzar un elevado nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros, de mejorar la aplicación de la política común de visados y prestar asistencia en el examen de las solicitudes de protección internacional y en la prevención, detección e investigación de los delitos de terrorismo u otros delitos graves, ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas, con el fin de mantener la confianza de los ciudadanos en la política de migración y el sistema de asilo de la Unión, en las medidas de seguridad de la Unión y en las capacidades de la Unión en materia de gestión de las fronteras exteriores, debe establecerse la interoperabilidad de los sistemas de información de la UE, es decir el Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS), y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN), para que estos sistemas de información y sus datos se complementen mutuamente, respetando al mismo tiempo los derechos fundamentales de los individuos, especialmente el derecho a la protección de los datos personales. Para ello, deben crearse, como componentes de interoperabilidad, un portal europeo de búsqueda (PEB), un servicio de correspondencia biométrica compartido (SCB compartido), un registro común de datos de identidad (RCDI) y un detector de identidades múltiples (DIM). |
(10) |
La interoperabilidad de los sistemas de información de la UE debe permitirles complementarse a fin de facilitar la identificación correcta de las personas, incluidas las personas desconocidas que no puedan identificarse o los restos humanos sin identificar, contribuir a luchar contra la usurpación de identidad, mejorar y armonizar los requisitos de calidad de los datos de los respectivos sistemas de información de la UE, facilitar la aplicación técnica y operativa por los Estados miembros de los sistemas de información de la UE, reforzar las garantías de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, racionalizar el acceso con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves al SES, el VIS, el SEIAV y Eurodac, y apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. |
(11) |
Los componentes de interoperabilidad deben abarcar el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Asimismo deben incluir los datos de Europol, pero solo en la medida necesaria para que los datos de Europol puedan ser consultados al mismo tiempo que esos sistemas de información de la UE. |
(12) |
Los componentes de interoperabilidad deben tratar los datos personales de personas cuyos datos personales sean tratados por los sistemas de información subyacentes de la UE y por Europol. |
(13) |
Debe crearse un PEB con el fin de facilitar técnicamente a las autoridades de los Estados miembros y las agencias de la Unión Europea un acceso rápido, eficiente, sistemático y controlado los sistemas de información de la UE, los datos de Europol y las bases de datos de la Organización Internacional de Policía Criminal (Interpol) en la medida en que sea necesario para llevar a cabo sus tareas, de conformidad con sus derechos de acceso, así como para apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS, el ECRIS-TCN y los datos de Europol. Al permitir la consulta simultánea de todos los sistemas de información de la UE relevantes, en paralelo, así como de los datos de Europol y de las bases de datos de Interpol, el PEB debe actuar como una ventanilla única o «intermediario de mensajes» a distintos sistemas centrales de búsqueda y recabar la información necesaria de forma ininterrumpida y en el pleno respeto de las normas de control de acceso y los requisitos de protección de datos de los sistemas subyacentes. |
(14) |
El diseño del PEB debe garantizar que, al iniciar una consulta de las bases de datos de Interpol, los datos utilizados por un usuario del PEB para iniciar una consulta de las bases de datos de Interpol no se compartan con los propietarios de los datos de Interpol. El diseño del PEB debe garantizar asimismo que las bases de datos de Interpol se consulten únicamente de conformidad con el Derecho nacional y de la Unión aplicable. |
(15) |
Los usuarios del PEB que tengan derecho de acceso a los datos de Europol con arreglo al Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (4) deben poder consultar simultáneamente los datos de Europol y los sistemas de información de la UE a los que tengan acceso. Cualquier otro tratamiento de datos que se derive de esa consulta debe tener lugar de conformidad con el Reglamento (UE) 2016/794, incluidas las limitaciones de acceso o de uso que imponga quien facilite los datos. |
(16) |
El PEB debe desarrollarse y configurarse de tal forma que solo permita la utilización para las consultas utilizando datos que no sean relativos a personas o documentos de viaje que obren en un sistema de información de la UE, en los datos de Europol o en las bases de datos de Interpol. |
(17) |
Para garantizar el uso sistemático de los sistemas de información de la UE pertinentes, el PEB debe utilizarse para consultar el RCDI, el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Sin embargo, debe mantenerse la conexión nacional a los diferentes sistemas de información de la UE, a fin de proporcionar una alternativa técnica. Las agencias de la Unión también deben utilizar el PEB para consultar el SIS Central de conformidad con sus derechos de acceso, en el ejercicio de sus funciones. El PEB debe ser un medio suplementario para consultar el SIS Central, los datos de Europol y las bases de datos de Interpol, como complemento de las interfaces específicas existentes. |
(18) |
Los datos biométricos, como las impresiones dactilares y las imágenes faciales, son únicos y, por tanto, mucho más fiables para la identificación de una persona que los datos alfanuméricos. El SCB compartido debe ser un instrumento técnico para reforzar y facilitar la labor de los sistemas de información de la UE relevantes y los demás componentes de interoperabilidad. El objetivo principal del SCB compartido debe ser facilitar la identificación de una persona que esté registrada en varias bases de datos, utilizando un único componente tecnológico para cotejar los datos biométricos de dicha persona entre diferentes sistemas, en lugar de varios componentes. El SCB compartido debe contribuir a la seguridad, así como aportar beneficios desde el punto de vista financiero, operativo y de mantenimiento. Todos los sistemas automáticos de identificación mediante impresiones dactilares, incluidos los utilizados actualmente para Eurodac, el VIS y el SIS, utilizan plantillas biométricas compuestas por los datos obtenidos mediante una extracción de características de muestras biométricas reales. El SCB compartido debe agrupar y almacenar todas estas plantillas biométricas —separadas de un modo lógico, según el sistema de información del que provengan los datos— en un único lugar, facilitando así el cotejo entre sistemas por medio de plantillas biométricas y permitir economías de escala en el desarrollo y el mantenimiento de los sistemas centrales de la UE. |
(19) |
Las plantillas biométricas almacenadas en el SCB compartido deben estar formadas por datos procedentes de la extracción de características de las muestras biométricas reales y obtenerse de forma que no sea posible revertir el proceso de extracción. Las plantillas biométricas deben obtenerse a partir de datos biométricos, pero no debe ser posible obtener estos mismos datos biométricos a partir de las plantillas biométricas. Dado que los datos de las impresiones palmares y los perfiles de ADN solo se almacenan en el SIS y no pueden utilizarse para cotejarlos con los datos existentes en otros sistemas de información, en consonancia con los principios de necesidad y proporcionalidad, el SCB compartido no debe almacenar perfiles de ADN ni plantillas biométricas obtenidas a partir de datos de las impresiones palmares. deben estar formadas por datos procedentes de una extracción de características de las muestras biométricas reales y obtenerse de forma que no sea posible revertir el proceso de extracción. Las plantillas biométricas deben obtenerse a partir de datos biométricos, pero no debe ser posible obtener estos mismos datos biométricos a partir las plantillas biométricas. Dado que los datos de las impresiones palmares y los perfiles de ADN simplemente se almacenan en el SIS y no pueden utilizarse para cotejarlos con los datos existentes en otros sistemas de información, en consonancia con los principios de necesidad y proporcionalidad, el SCB compartido no debe almacenar perfiles de ADN ni plantillas biométricas obtenidas a partir de datos de las impresiones palmares. |
(20) |
Los datos biométricos constituyen datos personales sensibles. El presente Reglamento debe establecer las bases y las salvaguardias para el tratamiento de dichos datos a los únicos efectos de la identificación inequívoca de las personas afectadas. |
(21) |
El SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN necesitan una identificación exacta de las personas cuyos datos personales están almacenados en ellos. El RCDI debe, por consiguiente, facilitar la identificación correcta de las personas registradas en dichos sistemas. |
(22) |
Los datos personales almacenados en los citados sistemas de información de la UE pueden referirse a las mismas personas, pero con identidades distintas o incompletas. Los Estados miembros disponen de métodos eficaces para identificar a sus ciudadanos o a los residentes permanentes registrados en su territorio. La interoperabilidad de los sistemas de información de la UE debe contribuir a la identificación correcta de las personas que figuran en esos sistemas. El RCDI debe almacenar aquellos datos personales que sean necesarios para permitir la identificación más precisa de las personas cuyos datos están almacenados en aquellos sistemas, incluida su identidad, los datos de su documento de viaje y sus datos biométricos, independientemente del sistema en el que se recogieran originalmente los datos. Solamente deben almacenarse en el RCDI los datos personales estrictamente necesarios para llevar a cabo un control de identidad adecuado. Los datos personales registrados en el RCDI no deben conservarse durante más tiempo del estrictamente necesario para los fines de los sistemas subyacentes y deben eliminarse automáticamente cuando se eliminen los datos en los sistemas subyacentes, con arreglo a su separación lógica. |
(23) |
Es necesaria una nueva operación de tratamiento consistente en el almacenamiento de dichos datos en el RCDI, en lugar de su almacenamiento en cada uno de los diferentes sistemas, para mejorar la exactitud de la identificación mediante la comparación automatizada y las correspondencias entre dichos datos. El hecho de que los datos de identidad, del documento de viaje y los biométricos se almacenen en el RCDI no debe obstaculizar en modo alguno el tratamiento de datos para los fines de los Reglamentos del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, ya que el RCDI debe ser un nuevo componente compartido de dichos sistemas subyacentes. |
(24) |
Es, por tanto, necesario crear un expediente individual en el RCDI para cada persona registrada en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN para alcanzar el objetivo de una identificación correcta de las personas dentro del espacio Schengen y para apoyar al MID, con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y luchar contra la usurpación de identidad. El expediente individual debe almacenar en un único lugar toda la información de identidad vinculada a una persona, y dar acceso a ella a los usuarios finales debidamente autorizados. |
(25) |
El RCDI debe, por lo tanto, facilitar y racionalizar el acceso de las autoridades responsables de la prevención, detección o investigación de delitos de terrorismo u otros delitos graves a los sistemas de información de la UE que no se hayan creado exclusivamente con fines de prevención, detección o investigación de delitos graves. |
(26) |
El RCDI debe proporcionar un repositorio común de los datos de identidad, del documento de viaje y los biométricos de las personas registradas en el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN. Debe ser parte de la arquitectura técnica de dichos sistemas y servir como componente compartido entre ellos para almacenar y consultar los datos de identidad, del documento de viaje y los biométricos que tratan. |
(27) |
Todas las anotaciones del RCDI deben tener una separación lógica consistente en etiquetar automáticamente cada anotación con el nombre del sistema subyacente que lo contenga. El control de acceso del RCDI debe utilizar estas etiquetas para determinar si permite el acceso a la anotación en cuestión. |
(28) |
Cuando las autoridades policiales de un Estado miembro no hayan podido identificar a una persona debido a la inexistencia de un documento de viaje u otro documento fiable que demuestre la identidad de esa persona, o cuando existan dudas sobre los datos de identidad proporcionados por esa persona o sobre la autenticidad del documento de viaje o la identidad de su titular, o cuando esa persona sea incapaz de cooperar o se niegue a hacerlo, dichas autoridades policiales deben poder consultar el RCDI al objeto de identificar a la persona. A tal fin, las autoridades policiales deben tomar las impresiones dactilares mediante técnicas de toma de impresiones dactilares en vivo y el procedimiento debe ser iniciado en presencia de dicha persona. Dichas consultas al RCDI no deben estar permitidas en los casos de identificación de menores de doce años, salvo que sea en el interés superior del menor. |
(29) |
Cuando no puedan utilizarse los datos biométricos de la persona o si la consulta de esos datos es infructuosa, la consulta debe llevarse a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje. Cuando la consulta indique que los datos sobre la persona están almacenados en el RCDI, las autoridades de los Estados miembros deben tener acceso al RCDI para consultar los datos de identidad y los datos del documento de viaje de esa persona, sin que el RCDI proporcione ninguna indicación con respecto a qué sistema de información de la UE pertenecen los datos. |
(30) |
Los Estados miembros deben adoptar medidas legislativas nacionales que designen a las autoridades competentes para llevar a cabo controles de identidad mediante el RCDI y establezcan los procedimientos, las condiciones y los criterios de dichos controles acordes con el principio de proporcionalidad. En particular, debe preverse en el Derecho nacional la facultad de recoger datos biométricos durante el control de identidad de una persona presente ante un miembro del personal de dichas autoridades. |
(31) |
El presente Reglamento debe introducir también una nueva posibilidad de acceso racional a datos diferentes de los datos de identidad o los datos del documento de viaje registrados en el SES, el VIS, el SEIAV y Eurodac por parte de las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas de los Estados miembros y de Europol. Estos datos pueden ser necesarios para la prevención, la detección o la investigación de delitos de terrorismo u otros delitos graves en un caso concreto, si existen motivos razonables para creer que su consulta contribuirá a la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves en cuestión, en particular si existe una sospecha fundada de que el sospechoso, el autor o la víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos están almacenados en el SES, el VIS, el SEIAV o Eurodac. |
(32) |
El pleno acceso a los datos contenidos en los sistemas de información de la UE necesario para fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, más allá del acceso a los datos de identidad o a los datos del documento de viaje guardados en el RCDI debe seguir rigiéndose por los instrumentos jurídicos aplicables. Las autoridades responsables de la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves designadas y Europol no saben de antemano cuáles de los sistemas de información de la UE contienen datos de las personas respecto de las cuales necesitan investigar. Esto da lugar a ineficiencias y retrasos. El usuario final autorizado por la autoridad designada debe, por lo tanto, estar autorizado a ver en cuál de los sistemas de información de la UE están registrados los datos que corresponden al resultado de su consulta. El sistema correspondiente, por tanto, se señalaría con una indicación tras la verificación automatizada de la presencia de una correspondencia en el sistema (la denominada funcionalidad de aviso de correspondencia). |
(33) |
En este contexto, una respuesta del RCDI no debe interpretarse ni utilizarse como fundamento o razón para extraer conclusiones con respecto a una persona o tomar medidas contra ella, sino que solo debe utilizarse para presentar una solicitud de acceso a los sistemas de información subyacentes de la Unión, con arreglo a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos por los que se rige dicho acceso. Cualquier solicitud de acceso de este tipo debe estar sometida a las medidas previstas en el capítulo VII y, en su caso, a las medidas contempladas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5), en la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (6) o en el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (7). |
(34) |
Como norma general, cuando un aviso de correspondencia indique que los datos están registrados en Eurodac, las autoridades designadas o Europol deben solicitar el pleno acceso al menos a uno de los sistemas de información de la UE de que se trate. En los casos en que, con carácter excepcional, no se solicite este pleno acceso, por ejemplo, porque las autoridades designadas o Europol ya han obtenido los datos por otros medios o porque la obtención de los datos ya no está permitida con arreglo al Derecho nacional, debe registrarse la justificación de la falta de solicitud de acceso. |
(35) |
Los registros de las consultas del RCDI deben indicar la finalidad de la consulta. Cuando dicha consulta se haya llevado a cabo utilizando el planteamiento de consulta de datos en dos fases, los registros deben incluir una referencia al expediente nacional de la investigación o del caso, indicando de esta forma que dicha consulta ha sido iniciada con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves. |
(36) |
La consulta del RCDI por parte de las autoridades designadas y Europol para obtener un aviso de correspondencia que muestre que los datos están contenidos en el SES, el VIS, el SEIAV o Eurodac exige el tratamiento automatizado de datos personales. Un aviso de correspondencia no debe revelar datos personales de la persona de que se trate, aparte de la indicación de que algunos de sus datos están almacenados en uno de los sistemas. El usuario final autorizado no debe tomar ninguna decisión perjudicial para la persona de que se trate basándose únicamente en la presencia de un aviso de correspondencia. El acceso del usuario final a un aviso de correspondencia supondrá, por lo tanto, una interferencia muy limitada con el derecho a la protección de los datos personales de la persona de que se trate, al tiempo que permite a las autoridades designadas y a Europol solicitar el acceso a datos personales de forma más eficaz. |
(37) |
Debe crearse un DIM para apoyar el funcionamiento del RCDI y de apoyar los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. Para ser eficaces en el cumplimiento de sus respectivos objetivos, todos los sistemas de información de la UE exigen la identificación exacta de las personas cuyos datos personales almacenan. |
(38) |
Para mejorar la consecución de los objetivos de los sistemas de información de la UE, las autoridades que utilizan estos sistemas deben poder llevar a cabo verificaciones suficientemente fiables de las identidades de las personas cuyos datos estén almacenados en sistemas diferentes. El conjunto de datos de identidad o del documento de viaje almacenados en un sistema individual concreto puede ser incorrecto, incompleto o fraudulento, y actualmente no existe ninguna posibilidad de detectar datos de identidad o del documento de viaje incorrectos, incompletos o fraudulentos por medio de una comparación con los datos almacenados en otro sistema. Para resolver esta situación, es necesario disponer de un instrumento técnico a escala de la Unión que permita la identificación correcta de las personas a esos efectos. |
(39) |
El DIM debe crear y almacenar vínculos entre los datos de los distintos sistemas de información de la UE para detectar las identidades diferentes, con la doble finalidad de facilitar los controles de identidad de los viajeros de buena fe y de luchar contra la usurpación de identidad. Solamente debe contener los vínculos entre los datos de personas que figuran en más de un sistema de información de la UE. Los datos vinculados deben estar estrictamente limitados a aquellos datos que sean necesarios para verificar si una persona está registrada, ya sea de forma justificada o injustificada, con diferentes identidades biográficas en diferentes sistemas, o para aclarar que dos personas con similares datos biográficos pueden no ser la misma persona. El tratamiento de datos a través del PEB y del SCB compartido, destinado a vincular expedientes individuales entre diferentes sistemas individuales, debe quedar restringido a un mínimo absoluto y, por lo tanto, limitarse a la detección de identidades múltiples, que debe realizarse en el momento en que se añadan nuevos datos a uno de los sistemas que tengan datos almacenados en el RCDI o añadidos al SIS. El DIM debe incluir salvaguardias frente a una posible discriminación y decisiones desfavorables contra las personas con múltiples identidades legales. |
(40) |
El presente Reglamento establece nuevas operaciones de tratamiento de datos destinadas a identificar correctamente a las personas de que se trate. Esto constituye una injerencia en los derechos fundamentales reconocidos en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Dado que la aplicación eficaz de los sistemas de información de la UE depende de la identificación correcta de las personas afectadas, tal injerencia está justificada por los mismos objetivos para los que se ha creado cada uno de estos sistemas: la gestión eficaz de las fronteras de la Unión, la seguridad interna de la Unión y la aplicación efectiva de las políticas de la Unión en materia de visados y asilo. |
(41) |
El PEB y el SCB compartido deben comparar los datos sobre personas contenidos en el RCDI y en el SIS cuando una autoridad nacional o una agencia de la UE creen o carguen nuevas anotaciones. Dicha comparación debe estar automatizada. El RCDI y el SIS deben utilizar el SCB compartido para detectar posibles vínculos basados en datos biométricos. El RCDI y el SIS deben utilizar el PEB para detectar posibles vínculos basados en datos alfanuméricos. El RCDI y el SIS deben poder identificar los mismos datos o datos similares relativos a una persona almacenados en varios sistemas. Cuando ese sea el caso, debe establecerse un vínculo que indique que se trata de la misma persona. El RCDI y el SIS deben configurarse de manera que detecten los pequeños errores de transliteración o de deletreo, a fin de que no sean fuentes de inconvenientes injustificados para la persona de que se trate. |
(42) |
La autoridad nacional o la agencia de la UE que haya registrado los datos en el sistema de información de la UE respectivo debe confirmar o modificar esos vínculos. Esta autoridad nacional o agencia de la Unión debe tener acceso a los datos almacenados en el RCDI o el SIS y en el DIM, a efectos de la verificación manual de las diferentes identidades. |
(43) |
La verificación manual de diferentes identidades debe ser garantizada por la autoridad que haya creado o actualizado los datos que hayan generado la correspondencia expresada mediante un vínculo con datos ya almacenados en otro sistema de información de la UE. La autoridad responsable de la verificación manual de identidades diferentes debe evaluar si existen múltiples identidades que se refieran a la misma persona de forma justificada o injustificada. Dicha evaluación debe llevarse a cabo, cuando sea posible, en presencia de la persona de que se trate y, en caso necesario, solicitando aclaraciones o información adicionales. La evaluación debe realizarse sin demora, de conformidad con los requisitos legales para la exactitud de la información que contemplen el Derecho nacional y de la Unión. |
(44) |
Para los vínculos obtenidos en relación con las descripciones de personas buscadas para su detención, su entrega voluntaria o su extradición; personas desaparecidas o vulnerables; personas buscadas para que presten asistencia en un procedimiento judicial o personas buscadas a efectos de controles discretos, de controles de investigación o de controles específicos, la autoridad responsable de la verificación manual de las identidades diferentes debe ser la oficina Sirene del Estado miembro que haya creado la descripción. Dichas categorías de descripciones del SIS son sensibles y no deben necesariamente ser compartidas con las autoridades que hayan creado o actualizado los datos vinculados a las mismas en uno de los otros sistemas de información de la UE. La creación de un vínculo con datos del SIS debe realizarse sin perjuicio de las medidas que deban adoptarse en virtud de los Reglamentos (UE) 2018/1860 (8), (UE) 2018/1861 (9) y (UE) 2018/1862 (10) del Parlamento Europeo y del Consejo. |
(45) |
La creación de estos vínculos requiere transparencia en cuanto a las personas afectadas. Con el fin de facilitar la aplicación de las salvaguardias necesarias de conformidad con las normas de la Unión aplicables en materia de protección de datos, las personas que estén sujetas a un vínculo rojo o a un vínculo blanco a raíz de una verificación manual de identidades diferentes, deben ser informadas por escrito, sin perjuicio de las limitaciones para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que no se pongan en peligro las investigaciones nacionales. Estas personas deben recibir un número de identificación único que les permita identificar a la autoridad a la que deben dirigirse para ejercer sus derechos. |
(46) |
Cuando exista un vínculo amarillo, la autoridad responsable de la verificación manual de las identidades diferentes debe tener acceso al RCD., Cuando exista un vínculo rojo, las autoridades de los Estados miembros y las agencias de la Unión que ya tengan acceso al menos a un sistema de información de la UE incluido en el RCDI o en el SIS deben tener acceso al DIM. Un vínculo rojo indica que una persona está utilizando diferentes identidades de manera injustificada, o que una persona está utilizando la identidad de otra persona. |
(47) |
Cuando exista un vínculo blanco o verde entre datos procedentes de dos sistemas de información de la UE, las autoridades de los Estados miembros y las agencias de la Unión también deben tener acceso al DIM, si dichas autoridades o agencias tengan acceso a ambos sistemas de información. Dicho acceso debe concederse con el único fin de permitir que la autoridad o la agencia detecten casos en los que los datos puedan haber sido incorrectamente vinculados o tratados en el DIM, el RCDI y el SIS incumpliendo el presente Reglamento, así como para adoptar las medidas necesarias para corregir la situación y actualizar o suprimir el vínculo. |
(48) |
La Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA) debe establecer mecanismos automatizados de control de calidad de los datos e indicadores comunes de calidad de los datos. Debe ser responsable de desarrollar una capacidad central de supervisión de la calidad de los datos y de elaborar informes periódicos de análisis de datos para mejorar el control de la implementación por los Estados miembros de los sistemas de información de la UE. Los indicadores comunes de calidad de los datos deben incluir las normas mínimas de calidad aplicables al almacenamiento de datos en los sistemas de información de la UE o en los componentes de interoperabilidad. El objetivo de dichas normas de calidad de los datos debe ser que los sistemas de información de la UE y los componentes de interoperabilidad identifiquen de forma automática presentaciones de datos aparentemente incorrectas o incoherentes, de modo que el Estado miembro que haya generado los datos pueda verificarlos y tomar las medidas correctoras que sean necesarias. |
(49) |
La Comisión debe evaluar los informes de calidad de eu-LISA y formular recomendaciones a los Estados miembros cuando proceda. Los Estados miembros deben ser responsables de la preparación de un plan de acción que describa las medidas destinadas a corregir cualquier deficiencia en la calidad de los datos y deben informar periódicamente sobre sus progresos. |
(50) |
El formato universal de mensajes (UMF) debe servir como norma para el intercambio de información, estructurado y transfronterizo, entre sistemas de información, autoridades u organizaciones en el ámbito de la justicia y los asuntos de interior. El UMF debe definir un vocabulario común y estructuras lógicas para la información intercambiada habitualmente con el objetivo de facilitar la interoperabilidad y permitir la creación y la lectura del contenido del intercambio de forma coherente y equivalente desde el punto de vista semántico. |
(51) |
Puede tomarse en consideración la aplicación de la norma UMF en el VIS, el SIS y cualquier otro modelo existente o nuevo de intercambio transfronterizo de información o sistema de información en el ámbito de la justicia y los asuntos de interior desarrollado por los Estados miembros. |
(52) |
Debe crearse un repositorio central para la presentación de informes y estadísticas (RCIE), con el fin de generar datos estadísticos entre sistemas e informes de análisis relativos a la formulación de políticas, la operatividad y la calidad de los datos, de conformidad con los instrumentos jurídicos. eu-LISA debe crear e implementar el RCIE y alojarlo en sus sitios técnicos que contengan datos estadísticos anonimizados procedentes de los sistemas mencionados anteriormente, el RCDI, el DIM y el SCB compartido. Los datos contenidos en el RCIE no deben permitir la identificación de personas. eu-LISA debe anonimizar de forma automatizada los datos y registrar los datos anonimizados en el RCIE. El proceso para anonimizar los datos debe ser automatizado y no debe concederse al personal de eu-LISA acceso a ninguno de los datos personales almacenados en los sistemas de información de la UE o en los componentes de interoperabilidad. |
(53) |
El Reglamento (UE) 2016/679 se aplica al tratamiento de datos personales con fines de interoperabilidad por parte de las autoridades nacionales en virtud del presente Reglamento, a menos que sean las autoridades designadas o los puntos de acceso central de los Estados miembros quienes lleven a cabo dicho tratamiento por razones de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves. |
(54) |
Cuando el tratamiento de los datos personales por parte de los Estados miembros con fines de interoperabilidad en virtud del presente Reglamento lo realicen las autoridades competentes a efectos de prevención, detección o investigación de los delitos de terrorismo o de otros delitos graves, debe ser de aplicación la Directiva (UE) 2016/680. |
(55) |
El Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o, en su caso, la Directiva (UE) 2016/680, son aplicables a las transferencias de datos personales a terceros países u organizaciones internacionales realizadas de conformidad con el presente Reglamento. Sin perjuicio de los motivos de la transferencia con arreglo al capítulo V del Reglamento (UE) 2016/679 o, en su caso, de la Directiva (UE) 2016/680, toda resolución de un órgano jurisdiccional y toda decisión de una autoridad administrativa de un tercer país que exija a un responsable o encargado transferir o divulgar datos personales solo debe ser reconocida o ejecutable de alguna forma si se basa en un acuerdo internacional vigente entre el tercer país solicitante y la Unión o un Estado miembro. |
(56) |
Las disposiciones específicas sobre protección de datos del Reglamento (UE) 2018/1862 y del Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo (11) son aplicables al tratamiento de datos personales en los sistemas regulados por esos Reglamentos. |
(57) |
El Reglamento (UE) 2018/1725 es aplicable al tratamiento de los datos personales por eu-LISA y otras instituciones y organismos de la Unión en el ejercicio de sus responsabilidades con arreglo al presente Reglamento, sin perjuicio del Reglamento (UE) 2016/794, aplicable al tratamiento de datos personales por parte de Europol. |
(58) |
Las autoridades de control a que se refiere el Reglamento (UE) 2016/679 o la Directiva (UE) 2016/680 deben supervisar la legalidad del tratamiento de los datos personales por los Estados miembros. El Supervisor Europeo de Protección de Datos debe supervisar las actividades que llevan a cabo las instituciones y organismos de la Unión en relación con el tratamiento de datos personales. El Supervisor Europeo de Protección de Datos y las autoridades de control deben cooperar en la supervisión del tratamiento de los datos personales que se realice mediante los componentes de interoperabilidad. Para que el Supervisor Europeo de Protección de Datos cumpla las tareas que le encomienda el presente Reglamento, se requieren recursos suficientes, tanto humanos como financieros. |
(59) |
De conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (12), se consultó al Supervisor Europeo de Protección de Datos, que emitió su dictamen el 16 de abril de 2018 (13). |
(60) |
El Grupo de Trabajo del Artículo 29 emitió un dictamen el 11 de abril de 2018. |
(61) |
Los Estados miembros y eu-LISA deben disponer de planes de seguridad para facilitar el cumplimiento de las obligaciones en materia de seguridad y deben cooperar entre sí para solucionar los problemas de seguridad. eu-LISA también debe asegurarse de que se haga un uso continuo de los avances tecnológicos más recientes a fin de garantizar la integridad de los datos en el contexto del desarrollo, el diseño y la gestión de los componentes de interoperabilidad. Las obligaciones de eu-LISA a este respecto deben incluir la adopción de las medidas necesarias para impedir el acceso de personas no autorizadas, como el personal de proveedores de servicios externos, a datos personales tratados mediante los componentes de interoperabilidad. Al adjudicar contratos para la prestación de servicios, los Estados miembros y eu-LISA deben considerar todas las medidas necesarias para garantizar el cumplimiento de las disposiciones legislativas o reglamentarias relativas a la protección de los datos personales y la privacidad de las personas o salvaguardar intereses esenciales en materia de seguridad, de conformidad con el Reglamento (UE) 2018/1046 del Parlamento Europeo y del Consejo (14) y con los convenios internacionales aplicables. eu-LISA debe aplicar los principios de protección de la intimidad desde el diseño y por defecto durante el desarrollo de los componentes de interoperabilidad. |
(62) |
Para apoyar los objetivos en materia de estadísticas e informes, es necesario conceder al personal autorizado de las autoridades, instituciones y agencias de la Unión competentes a que se refiere el presente Reglamento, acceso para consultar determinados datos relativos a determinados componentes de interoperabilidad sin permitir la identificación de las personas. |
(63) |
A fin de permitir a las autoridades de los Estados miembros y las agencias de la Unión adaptarse a los nuevos requisitos sobre el uso del PEB, es necesario prever un periodo transitorio. Del mismo modo, a fin de garantizar la coherencia y el funcionamiento óptimo del DIM, deben adoptarse medidas transitorias para su entrada en funcionamiento. |
(64) |
Dado que el objetivo del presente Reglamento, a saber, el establecimiento de un marco para la interoperabilidad entre los sistemas de información de la UE, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a las dimensiones y a los efectos de la acción, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea (TUE). De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo. |
(65) |
El saldo asignado en el presupuesto a las fronteras inteligentes con arreglo al Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo (15) debe reasignarse al presente Reglamento, de conformidad con el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014 al objeto de cubrir los costes del desarrollo de los componentes de interoperabilidad. |
(66) |
A fin de complementar ciertos aspectos técnicos concretos del presente Reglamento, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea (TFUE), por lo que respecta a:
Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (16). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo deben recibir toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos deben tener acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados. |
(67) |
A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para para fijar las fechas a partir de las cuales deben comenzar a funcionar el PEB, el SCB compartido, el RCDI, el DIM y el RCIE. |
(68) |
También deben conferirse a la Comisión competencias de ejecución para adoptar normas detalladas relativas a: los detalles técnicos de los perfiles de los usuarios del PEB; las especificaciones de la solución técnica para facilitar la consulta de los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol por el PEB y el formato de las respuestas del PEB; las normas técnicas para la generación de vínculos entre datos de los distintos sistemas de información de la UE; el contenido y la presentación del formulario que se debe utilizar para informar al titular de los datos cuando se genere un vínculo rojo; los requisitos y la supervisión del rendimiento del SCB compartido; los mecanismos, procedimientos e indicadores del control automatizado de la calidad de los datos; el desarrollo de la norma UMF; el procedimiento de cooperación que se debe utilizar en caso de incidente de seguridad; y las especificaciones de la solución técnica para que los Estados miembros gestionen las solicitudes de acceso de los usuarios. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo (17). |
(69) |
Ya que los componentes de interoperabilidad conllevarán el tratamiento de cantidades significativas de datos personales sensibles, es importante que las personas cuyos datos se traten a través de dichos componentes puedan ejercer de forma eficaz sus derechos como titulares de los datos, tal y como se dispone en el Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. Los titulares de los datos deben disponer de un portal web que les facilite el ejercicio de sus derechos de acceso a sus datos personales y de rectificación, supresión y limitación del tratamiento de dichos datos. eu-LISA debe crear y gestionar dicho portal web. |
(70) |
Uno de los principios fundamentales de la protección de datos es la minimización de datos: de conformidad con el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679, que establece que el tratamiento de datos personales será adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados. Por esta razón, los componentes de interoperabilidad no deben prever el almacenamiento de nuevos datos personales, con excepción de los vínculos que se almacenarán en el DIM y que son el mínimo necesario a los efectos del presente Reglamento. |
(71) |
El presente Reglamento debe contener disposiciones claras sobre responsabilidad civil y el derecho a una indemnización por daños y perjuicios causados por el tratamiento ilegal de datos personales y por cualquier otro acto incompatible con él. Las referidas disposiciones se entienden sin perjuicio del derecho a una indemnización y de la responsabilidad civil del responsable o del encargado del tratamiento en virtud del Reglamento (UE) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725. eu-LISA debe ser responsable, como encargada del tratamiento de datos, de los daños y perjuicios que cause cuando no cumpla las obligaciones que el presente Reglamento le impone específicamente, o cuando haya actuado al margen o en contra de las instrucciones legales del Estado miembro que sea responsable del tratamiento de los datos. |
(72) |
El presente Reglamento se entiende sin perjuicio de la aplicación de la Directiva 2004/38/CE del Parlamento Europeo y del Consejo (18). |
(73) |
De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por este ni sujeta a su aplicación. Dado que el presente Reglamento, en la medida en que sus disposiciones se refieren al SIS según lo regulado por el Reglamento (UE) 2018/1862, desarrolla el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, decidirá dentro de un período de seis meses a partir de que el Consejo haya tomado una medida sobre el presente Reglamento, si lo incorpora a su legislación nacional. |
(74) |
En la medida en que sus disposiciones se refieren al SIS de conformidad con el Reglamento 2018/1862, el Reino Unido participa en este Reglamento, de conformidad con el artículo 5, apartado 1, del Protocolo n.o 19 sobre el acervo de Schengen integrado en el marco de la Unión Europea. anexo al TUE y al TFEU, y con el artículo 8, apartado 2, de la Decisión 2000/365/CE del Consejo (19). Además, en la medida en que sus disposiciones se relacionan con Eurodac y ECRIS-TCN, de conformidad con el artículo 3 del Protocolo n.o 21 sobre la posición del Reino Unido e Irlanda con respecto al espacio de libertad, seguridad y justicia, anexo al TUE y Al TFUE, el Reino Unido ha notificado, mediante carta de 18 de mayo de 2018, su deseo de participar en la adopción y aplicación del presente Reglamento. |
(75) |
En la medida en que las disposiciones del presente Reglamento se refieren al SIS según lo regulado por el Reglamento (UE) 2018/1862, Irlanda podría, en principio, participar en el presente Reglamento, de conformidad con el artículo 5, apartado 1, del Protocolo n.o19 del acervo Schengen integrado en el marco de la Unión Europea, anejo al TUE y al TFUE, y al artículo 6, apartado 2, de la Decisión 2002/192/ CE del Consejo (20). Además, en la medida en las disposiciones del presente Reglamento se refieren a Eurodac y el ECRIS-TCN, de conformidad con los artículos 1 y 2 y del Protocolo n.o 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, adjunto al TUE y al TFUE, y sin perjuicio del artículo 4 de dicho Protocolo, Irlanda no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación. Dado que no es posible, en estas circunstancias, garantizar que el presente Reglamento sea aplicable en su totalidad a Irlanda, como lo exige el artículo 288 del TFUE, Irlanda no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación, sin perjuicio de sus derechos en virtud de los Protocolos n.o 19 y n.o 21. |
(76) |
. Por lo que respecta a Islandia y Noruega, el presente Reglamento constituye, en la medida en que se refiere al SIS según lo regulado por el Reglamento 2018/1862, un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo celebrado por el Consejo de la Unión Europea y la República. de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen, (21) que se entran dentro del ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE del Consejo (22). |
(77) |
. Por lo que respecta a Suiza, el presente Reglamento constituye, en la medida en que se refiere al SIS según lo regulado por el Reglamento (UE) 2018/1862, un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo celebrado entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (23) que entran dentro del ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE del Consejo en relación con el artículo 3 de la Decisión 2008/149/JAI del Consejo (24). |
(78) |
Por lo que respecta a Liechtenstein, el presente Reglamento constituye, en la medida en que se refiere al SIS según lo regulado por el Reglamento (UE) 2018/1862, un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo celebrado entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein referente a la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza a la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (25) que entran en el ámbito mencionado en el artículo 1, punto G, de la Decisión 1999/437/CE, en relación con el artículo 3 de la Decisión 2011/350/UE del Consejo (26). |
(79) |
El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, en la Carta de los Derechos Fundamentales de la Unión Europea, por lo que debe aplicarse de conformidad con tales derechos y principios. |
(80) |
A fin de que el presente Reglamento encaje en el marco jurídico vigente, el Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo (27) y los Reglamentos (UE) 2018/1862 y (UE) 2019/816 deben modificarse en consecuencia. |
HAN ADOPTADO EL PRESENTE REGLAMENTO:
CAPÍTULO I
Disposiciones generales
Artículo 1
Objeto
1. El presente Reglamento, junto con el Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo (28), establece un marco para garantizar la interoperabilidad del Sistema de Entradas y Salidas (SES), el Sistema de Información de Visados (VIS), el Sistema Europeo de Información y Autorización de Viajes (SEIAV), Eurodac, el Sistema de Información de Schengen (SIS) y el Sistema Europeo de Información de Antecedentes Penales de nacionales de terceros países (ECRIS-TCN).
2. El marco incluirá los siguientes componentes de interoperabilidad:
a) |
un portal europeo de búsqueda (PEB); |
b) |
un servicio de correspondencia biométrica compartido (SCB compartido); |
c) |
un registro común de datos de identidad (RCDI); |
d) |
un detector de identidades múltiples (DIM). |
3. El presente Reglamento establece también disposiciones sobre los requisitos de calidad de los datos, sobre un formato universal de mensajes (UMF) y sobre un repositorio central de presentación de informes y estadísticas (RCIE), además de las responsabilidades de los Estados miembros y de la Agencia Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), en lo que respecta al diseño, el desarrollo y el funcionamiento de los componentes de interoperabilidad.
4. El presente Reglamento también adapta los procedimientos y condiciones para el acceso de las autoridades designadas y de la Agencia de la Unión Europea para la Cooperación Policial (Europol) al SES, al VIS, al SEIAV y a Eurodac con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves.
5. El presente Reglamento establece asimismo un marco para la verificación manual de la identidad de las personas y para la identificación de las personas.
Artículo 2
Objetivos
1. Mediante la garantía de la interoperabilidad, el presente Reglamento tiene los siguientes objetivos:
a) |
mejorar la efectividad y la eficiencia de las inspecciones fronterizas en las fronteras exteriores; |
b) |
contribuir a la prevención de la inmigración ilegal y a la lucha contra ella; |
c) |
contribuir a un alto nivel de seguridad en el espacio de libertad, seguridad y justicia de la Unión, lo que incluye el mantenimiento de la seguridad pública y del orden público y la salvaguardia de la seguridad en el territorio de los Estados miembros; |
d) |
mejorar la aplicación de la política común de visados; |
e) |
ayudar a examinar las solicitudes de protección internacional; |
f) |
contribuir a la prevención, detección e investigación de los delitos de terrorismo o de otros delitos penales graves; |
g) |
ayudar a identificar a las personas desconocidas que no puedan identificarse o los restos humanos sin identificar en caso de catástrofes naturales, accidentes o atentados terroristas. |
2. Los objetivos contemplados en el apartado 1 se alcanzarán:
a) |
garantizando la identificación correcta de las personas; |
b) |
contribuyendo a luchar contra la usurpación de identidad; |
c) |
mejorando la calidad de los datos y armonizando los requisitos de calidad de los datos almacenados en los sistemas de información de la UE, respetando al mismo tiempo los requisitos de tratamiento de datos de los instrumentos jurídicos que rigen los diferentes sistemas y las normas y principios en materia de protección de datos; |
d) |
facilitando y apoyando la aplicación técnica y operativa por parte de los Estados miembros de los sistemas de información de la UE; |
e) |
reforzando, simplificando y uniformizando las condiciones de seguridad de los datos y de protección de datos que rigen en los respectivos sistemas de información de la UE, sin perjuicio de la protección y las salvaguardias especiales otorgadas a ciertas categorías de datos; |
f) |
racionalizando las condiciones de acceso de las autoridades designadas al SES, al VIS, al SEIAV y a Eurodac, garantizando al mismo tiempo las condiciones necesarias y proporcionadas para dicho acceso; |
g) |
apoyando los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN. |
Artículo 3
Ámbito de aplicación
1. El presente Reglamento es aplicable a Eurodac, al SIS y al ECRIS-TCN.
2. El presente Reglamento también es aplicable a los datos de Europol, en la medida de permitir consultarlos de manera simultánea con los sistemas de información de la UE a que se refiere el apartado 1.
3. El presente Reglamento es aplicable a las personas cuyos datos personales puedan ser objeto de tratamiento en los sistemas de información de la UE a que se refiere el apartado 1 y en los datos de Europol a que se refiere el apartado 2.
Artículo 4
Definiciones
A los efectos del presente Reglamento, se entenderá por:
1) «fronteras exteriores»: las fronteras exteriores tal como se definen en el artículo 2, punto 2), del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo (29);
2) «inspecciones fronterizas»: las inspecciones fronterizas tal como se definen en el artículo 2, punto 11, del Reglamento (UE) 2016/399;
3) «autoridad fronteriza»: la guardia de fronteras encargada de llevar a cabo las inspecciones fronterizas de conformidad con la normativa nacional;
4) «autoridades de control»: las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 y las autoridades de control a que se refiere el artículo 41, apartado 1, punto 1, de la Directiva (UE) 2016/680;
5) «verificación»: el proceso de comparación de conjuntos de datos para establecer la validez de una identidad declarada (control simple);
6) «identificación»: el proceso de determinación de la identidad de una persona por comparación con múltiples conjuntos de datos de una base de datos (control múltiple);
7) «datos alfanuméricos»: datos representados por letras, dígitos, caracteres especiales, espacios y signos de puntuación;
8) «datos de identidad»: los datos a que se refiere el artículo 27, apartado 3, letras a) a e);
9) «datos dactiloscópicos»: imágenes de las impresiones dactilares e imágenes de impresiones dactilares latentes que, debido a su carácter único y a los puntos de referencia que contienen, permiten comparaciones concluyentes y precisas sobre la identidad de una persona;
10) «imagen facial»: las imágenes digitales del rostro de una persona;
11) «datos biométricos»: los datos dactiloscópicos las imágenes faciales;
12) «plantilla biométrica»: una representación matemática obtenida por extracción de características de los datos biométricos, limitada a las características necesarias para llevar a cabo identificaciones y verificaciones;
13) «documento de viaje»: el pasaporte o cualquier otro documento equivalente que permita a su titular cruzar las fronteras exteriores y en el que pueda insertarse el visado;
14) «datos del documento de viaje»: el tipo, el número y el país de expedición del documento de viaje, la fecha de expiración de su validez y el código de tres letras del país de expedición;
15) «sistemas de información de la UE»: el SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN;
16) «datos de Europol»: los datos personales tratados por Europol a efectos del artículo 18, apartado 2, letras a), b) y c), del Reglamento (UE) 2016/794;
17) «bases de datos de Interpol»: la base de datos sobre documentos de viaje robados y perdidos (base de datos DVRP) de Interpol y la base de datos de documentos de viaje asociados a notificaciones de Interpol (base de datos TDAWN);
18) «correspondencia»: la existencia de una coincidencia como resultado de una comparación automatizada entre datos personales que hayan sido o estén siendo registrados en un sistema de información o una base de datos;
19) «autoridades policiales»: las «autoridades competentes» tal como se definen en el artículo 3, punto 7), de la Directiva (UE) 2016/680;
20) «autoridades designadas»: las autoridades designadas por el Estado miembro tal como se definen en el artículo 3, apartado 1, punto 26, del Reglamento (UE) 2017/2226 del Parlamento Europeo y del Consejo (30), el artículo 2, apartado 1, letra e), de la Decisión 2008/633/JAI del Consejo (31), y el artículo 3, apartado 1, punto 21, del Reglamento (UE) 2018/1240 del Parlamento Europeo y el Consejo (32);
21) «delito de terrorismo»: un delito con arreglo a al Derecho nacional que corresponda o sea equivalente a alguno de los delitos a que se refiere la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (33);
22) «delito grave»: un delito que corresponda o sea equivalente a alguno de los delitos a los que se refiere el artículo 2, apartado 2, de la Decisión Marco 2002/584/JAI del Consejo (34), si está penado en el Derecho nacional con una pena privativa de libertad o de internamiento con una duración máxima no inferior a tres años;
23) «Sistema de Entradas y Salidas (“SES”)»: el Sistema de Entradas y Salidas establecido en el Reglamento (UE) 2017/2226;
24) «Sistema de Información de Visados (“VIS”)»: el Sistema de Información de Visados a que se refiere el Reglamento (CE) n.o 767/2008 del Parlamento Europeo y del Consejo (35);
25) «Sistema Europeo de Información y Autorización de Viajes (“SEIAV”)»: el Sistema Europeo de Información y Autorización de Viajes establecido en el Reglamento (UE) 2018/1240;
26) «Eurodac»: Eurodac establecido por el Reglamento (UE) n.o 603/2013 del Parlamento Europeo y del Consejo (36);
27) «Sistema de Información de Schengen (“SIS”)»: el Sistema de Información de Schengen a que se refieren los Reglamentos (UE) 2018/1860, (UE) 2018/1861, y (UE) 2018/1862;
28) «ECRIS-TCN»: el sistema centralizado para la identificación de los Estados miembros que contiene información sobre las condenas de nacionales de terceros países y apátridas establecido en el Reglamento (UE) 2019/816.
Artículo 5
No discriminación y derechos fundamentales
El tratamiento de datos personales a los efectos del presente Reglamento no dará lugar a discriminación contra las personas por motivos tales como el género, la raza, el color, el origen étnico o social, las características genéticas, el idioma, la religión o las creencias, las opiniones políticas o de cualquier otro tipo, la pertenencia a una minoría nacional, el patrimonio, el nacimiento, la discapacidad, la edad o la orientación sexual. Deberá respetar plenamente la dignidad y la integridad humanas, así como los derechos fundamentales, incluido el derecho a la intimidad y a la protección de los datos personales. Se prestará especial atención a los niños, las personas mayores, las personas con discapacidad y las personas que necesitan protección internacional. El interés superior del menor constituirá una consideración primordial.
CAPÍTULO II
Portal europeo de búsqueda
Artículo 6
Portal europeo de búsqueda
1. Se crea un Portal europeo de búsqueda (PEB) con objeto de facilitar el acceso en casos rápido, ininterrumpido, sistemático y controlado de las autoridades de los Estados miembros y de las agencias de la Unión a los sistemas de información de la UE, a los datos de Europol y las bases de datos de Interpol para el desempeño de sus tareas y de conformidad con sus derechos de acceso, así como con los objetivos y fines del SES, VIS, SEIAV, Eurodac, el SIS y ECRIS-TCN.
2. El PEB se compondrá de:
a) |
una infraestructura central, incluido un portal de búsqueda que permita la consulta simultánea del SES, el VIS, el SEIAV, el SIS, Eurodac y el ECRIS-TCN, así como de los datos de Europol y las bases de datos de Interpol; |
b) |
un canal de comunicación seguro entre el PEB, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el PEB; |
c) |
una infraestructura de comunicación segura entre el PEB y el SES, el VIS, el SEIAV Eurodac, el SIS Central, el ECRIS-TCN, los datos de Europol y las bases de datos de Interpol, así como entre el PEB y las infraestructuras centrales del RCDI y el DIM. |
3. eu-LISA desarrollará el PEB y garantizará su gestión técnica.
Artículo 7
Utilización del portal europeo de búsqueda
1. La utilización del PEB se reservará a las autoridades de los Estados miembros y a las agencias de la Unión que tengan acceso como mínimo a uno de los sistemas de información de la UE, de conformidad con los instrumentos jurídicos que rijan esos sistemas, al RCDI y al DIM de conformidad con el presente Reglamento, a los datos de Europol de conformidad con el Reglamento (UE) 2016/794 o a las bases de datos de Interpol de conformidad con el Derecho nacional o de la Unión que regule dicho acceso.
Dichas autoridades de los Estados miembros y agencias de la Unión podrán utilizar el PEB y los datos que este facilite únicamente para los objetivos y fines establecidos en los instrumentos jurídicos que rigen dichos sistemas de información de la UE, en el Reglamento (UE) 2016/794 y en el presente Reglamento.
2. Las autoridades de los Estados miembros y de las agencias de la Unión a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en los sistemas centrales de Eurodac y el ECRIS-TCN de conformidad con sus derechos de acceso a que se refieren los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Asimismo, utilizarán el PEB para consultar el RCDI, de conformidad con sus derechos de acceso con arreglo al presente Reglamento, para los fines mencionados en los artículos 20, 21 y 22.
3. Las autoridades de los Estados miembros a que se refiere el apartado 1 pueden utilizar el PEB para buscar datos relativos a las personas o sus documentos de viaje en el SIS Central a que se refieren los Reglamentos (UE) 2018/1860 y (UE) 2018/1861.
4. Cuando así se estipule en el Derecho de la Unión, las agencias de la Unión mencionadas en el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en el SIS Central.
5. Las autoridades a que se refiere el apartado 1 utilizarán el PEB para consultar datos relativos a personas o sus documentos de viaje en los datos de Europol, de conformidad con los derechos de acceso que les otorguen el Derecho de la Unión y nacional.
Artículo 8
Perfiles de los usuarios del portal europeo de búsqueda
1. A los efectos de permitir el uso del PEB, eu-LISA creará, en colaboración con los Estados miembros, un perfil basado en la categoría de usuarios del PEB y en el objeto de sus consultas, de conformidad con los detalles técnicos y derechos de acceso a que se refiere el apartado 2. Cada perfil incluirá, de conformidad con el Derecho de la Unión y nacional, la información siguiente:
a) |
los campos de datos que tienen que utilizarse para llevar a cabo una consulta; |
b) |
los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol que tienen que consultarse, cuáles pueden consultarse y cuales tienen que dar una respuesta al usuario; |
c) |
los datos específicos en los sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol que pueden consultarse; |
d) |
las categorías de datos que pueden facilitarse en cada respuesta. |
2. La Comisión adoptará actos de ejecución para especificar los detalles técnicos de los perfiles a que se refiere el apartado 1, de conformidad con los derechos de acceso de los usuarios del PEB, en virtud de los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
3. Los perfiles a que se refiere el apartado 1 serán revisados periódicamente por eu-LISA en colaboración con los Estados miembros, al menos una vez al año, y, cuando proceda, se actualizarán.
Artículo 9
Consultas
1. Los usuarios del PEB iniciarán una consulta mediante la presentación de datos alfanuméricos y/o biométricos al PEB. Cuando se haya iniciado una consulta, el PEB consultará el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI, los datos de Europol y las bases de datos de Interpol al mismo tiempo que los datos presentados por el usuario y de conformidad con el perfil de este.
2. Las categorías de datos utilizados para iniciar una consulta a través del PEB corresponderán a las categorías de datos relacionados con personas o documentos de viaje que puedan utilizarse para consultar los distintos sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol, de conformidad con los instrumentos jurídicos que los rijan.
3. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el PEB.
4. Cuando se lance una consulta por un usuario del PEB, el SES, el SEIAV, el VIS, el SIS, Eurodac, el ECRIS-TCN, el RCDI y el DIM, así como los datos de Europol y las bases de datos de Interpol, proporcionarán como respuesta a la consulta los datos oportunos contenidos en ellas.
Sin perjuicio de el artículo 20, la respuesta facilitada por el PEB indicará a qué sistema de información de la UE o base de datos pertenecen los datos.
El PEB no facilitará información relativa a los datos almacenados en sistemas de información de la UE, los datos de Europol y las bases de datos de Interpol a los que el usuario no tenga acceso con arreglo a el Derecho de la Unión y nacional aplicable.
5. Toda consulta de las bases de datos de Interpol, iniciada a través del PEB se realizará de tal manera que no se revele ningún elemento de dicha información al propietario de la descripción Interpol.
6. El PEB dará respuestas al usuario tan pronto como se disponga de datos procedentes de uno de los sistemas de información de la UE, los datos de Europol o las bases de datos de Interpol. Dichas respuestas contendrán únicamente los datos a que tenga acceso el usuario de conformidad con el Derecho de la Unión y nacional.
7. La Comisión adoptará un acto de ejecución para especificar el procedimiento técnico para que el PEB consulte los sistemas informativos de la UE, los datos de Europol y las bases de datos de Interpol, así como el formato de las respuestas del PEB. Dicho acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 10
Conservación de registros
1. Sin perjuicio de los artículos 12 y 18 del Reglamento (UE) 2016/1862, el artículo 29 del Reglamento (UE) 2019/816 y el artículo 40 del Reglamento (UE) 2016/794, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el RCDI. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicia la consulta y el perfil de usuario del PEB utilizado, conforme al artículo 8; |
b) |
la fecha y hora de la consulta; |
c) |
los sistemas de información de la UE y los datos de Europol consultados. |
2. Cada Estado miembro llevará un registro de las consultas que hacen sus autoridades y el personal de dichas autoridades debidamente autorizado para utilizar el PEB. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado.
3. Los registros a que se refieren los apartados 1 y 2 únicamente se podrán utilizar para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán cuando dejen de ser necesarios para dichos procedimientos de supervisión.
Artículo 11
Procedimientos alternativos en caso de imposibilidad técnica de utilizar el portal europeo de búsqueda
1. Cuando por un fallo del PEB resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE, o el RCDI, eu-LISA lo notificará a los usuarios del PEB de forma automatizada.
2. Cuando por un fallo de la infraestructura nacional de un Estado miembro resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, ese Estado miembro lo notificará a eu-LISA y a la Comisión de forma automatizada.
3. En los casos recogidos en los apartados 1 y 2 del presente artículo y hasta que el fallo técnico quede resuelto, no será de aplicación la obligación a que se refiere el artículo 7, apartados 2 y 4, y los Estados miembros accederán a los sistemas de información de la UE, o al RCDI cuando así deban de hacerlo con arreglo al Derecho de la Unión o nacional.
4. Cuando debido a un fallo de la infraestructura de una agencia de la Unión resulte técnicamente imposible utilizar el PEB para consultar uno o varios de los sistemas de información de la UE o el RCDI, dicha agencia lo notificará a eu-LISA y a la Comisión de forma automatizada.
CAPÍTULO III
Servicio de correspondencia biométrica compartido
Artículo 12
Servicio de correspondencia biométrica compartido
1. Se crea un servicio de correspondencia biométrica compartido (SCB compartido), que almacenará plantillas biométricas obtenidas a partir de los datos a que se refiere el artículo 13, almacenados en el RCDI y el SIS, y permitirá consultar datos biométricos a través de varios sistemas de información de la UE, a efectos de apoyar al RCDI y al DIM y los objetivos del SES, el VIS, Eurodac, el SIS y el ECRIS-TCN.
2. El SCB compartido se compondrá de:
a) |
una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar plantillas biométricas y permitir la búsqueda con datos biométricos; |
b) |
una infraestructura de comunicación segura entre el SCB compartido, el SIS Central y el RCDI. |
3. eu-LISA desarrollará el SCB compartido y garantizará su gestión técnica.
Artículo 13
Almacenamiento de plantillas biométricas en el servicio de correspondencia biométrica compartido
1. El SCB compartido almacenará las plantillas biométricas que obtendrá de los siguientes datos biométricos:
a) |
los datos a que se refiere el artículo 20, apartado 3, letras w) e y), excluidos los datos de impresiones palmares del Reglamento (UE) 2018/1862; |
b) |
los datos a que se refieren el artículo 5, apartados 1, letra b), y 2 del Reglamento (UE) 2019/816. |
Las plantillas biométricas se almacenarán en el SCB compartido separadas de un modo lógico, según el sistema de información de la UE del que provengan los datos.
2. Para cada conjunto de datos a que se refiere el apartado 1, el SCB compartido incluirá en cada plantilla biométrica una referencia a los sistemas de información de la UE en que están almacenados los datos biométricos correspondientes y una referencia a los registros reales de dichos sistemas de información de la UE.
3. Las plantillas biométricas solo podrán introducirse en el SCB compartido tras un control de calidad automatizado de los datos biométricos añadidos a uno de los sistemas de información de la UE con que cuenta el SCB compartido para cerciorarse de que se alcanza un estándar mínimo de calidad de los datos.
4. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2.
5. La Comisión establecerá mediante un acto de ejecución los requisitos de rendimiento y las disposiciones prácticas para supervisar el funcionamiento del SCB compartido, a fin de garantizar que la eficacia de las búsquedas biométricas respete procedimientos en los que el tiempo es un factor crítico, como los controles y las identificaciones en las fronteras. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 14
Búsqueda de datos biométricos con el servicio de correspondencia biométrica compartido
A fin de buscar los datos biométricos almacenados en el RCDI y el SIS, estos utilizarán las plantillas biométricas almacenadas en el SCB compartido. Las consultas con datos biométricos tendrán lugar de conformidad con los fines previstos en el presente Reglamento y en los Reglamentos (CE) n.o 767/2008, (UE) 2017/2226, (UE) 2018/1860, (UE) 2018/1861, (UE) 2018/1862 y (UE) 2019/816.
Artículo 15
Conservación de datos en el servicio de correspondencia biométrica compartido
Los datos a que se refiere el artículo 13, apartados 1 y 2 solo estarán almacenados en el SCB compartido mientras los datos biométricos correspondientes estén almacenados en el RCDI o en el SIS. Los datos se suprimirán del SCB compartido de forma automatizada.
Artículo 16
Conservación de registros
1. Sin perjuicio de los artículos 12 y 18 del Reglamento (UE) 2018/1862 y el artículo 29 del Reglamento (UE) 2019/816, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del el SCB compartido. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
el historial de creación y almacenamiento de las plantillas biométricas; |
c) |
una referencia a los sistemas de información de la UE consultados con las plantillas biométricas almacenadas en el SCB compartido; |
d) |
la fecha y hora de la consulta; |
e) |
el tipo de datos biométricos utilizados para iniciar la consulta; |
f) |
los resultados de la consulta y la fecha y hora de los resultados. |
2. Cada Estado miembro y agencia de la Unión llevará un registro de las consultas de la autoridad y del personal debidamente autorizado para utilizar el PEB compartido. Cada agencia de la Unión llevará un registro de las consultas que efectúe su personal debidamente autorizado.
3. Los registros a que se refieren los apartados 1 y 1 bis únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán cuando dejen de ser necesarios para dichos, salvo que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, en cuyo caso se suprimirán una vez que los procedimientos de supervisión ya no exijan dichos registros.
CAPÍTULO IV
Registro común de datos de identidad
Artículo 17
Registro común de datos de identidad
1. Se crea un registro común de datos de identidad (RCDI), que creará un expediente individual para cada persona registrada en el SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN y contendrá los datos a que se refiere el artículo 18, con el fin de facilitar la identificación correcta de las personas registradas en el SES, el VIS, el SEIAV] Eurodac y el ECRIS-TCN y ayudar a ella, de conformidad con el artículo 20, de apoyar el funcionamiento del DIM, de conformidad con el artículo 21, y de facilitar y racionalizar el acceso por parte de las autoridades designadas y de Europol al SES, al VIS, al SEIAV y a Eurodac, cuando sea necesario con fines de prevención, detección o investigación de delitos terroristas u otros delitos graves de conformidad con el artículo 22.
2. El RCDI se compondrá de:
a) |
una infraestructura central que sustituirá a los sistemas centrales del SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, respectivamente, en la medida en que deberá almacenar los datos a que se refiere el artículo 18; |
b) |
un canal de comunicación seguro entre el RCDI, los Estados miembros y las agencias de la Unión que tengan derecho a utilizar el RCDI de conformidad con el Derecho de la Unión y nacional; |
c) |
una infraestructura de comunicación segura entre el RCDI y el SES, el VIS, el SEIAV, Eurodac y el ECRIS-TCN, así como las infraestructuras centrales del PEB, el SCB compartido y el DIM. |
3. eu-LISA desarrollará el RCDI y garantizará su gestión técnica.
4. Cuando, a causa de un fallo del RCDI resulte técnicamente imposible consultar el RCDI para identificar a una persona de conformidad con el artículo 20, detectar identidades múltiples de conformidad con el artículo 21, o a efectos de prevención, detección o investigación de delitos de terrorismo u otros delitos graves de conformidad con el artículo 22, eu-LISA informará a los usuarios del RCDI de manera automatizada.
5. eu-LISA, en colaboración con los Estados miembros, desarrollará un documento de control de interfaces sobre la base del UMF a que se refiere el artículo 38 para el RCDI.
Artículo 18
Datos del registro común de datos de identidad
1. El RCDI almacenará, separados de un modo lógico, los siguientes datos, según el sistema de información del que provengan: los datos a que se refiere el artículo 5, apartados 1, letra b), y 2, y los siguientes datos enumerados en el artículo 5, apartado 1, letra a) del Reglamento (UE) 2019/816: apellido(s); nombre(s) (de pila), fecha de nacimiento; lugar de nacimiento (localidad y país); nacionalidad o nacionalidades; género y, cuando proceda, nombre(s) anterior(es), seudónimo(s) y/o alias, e información sobre los documentos de viaje, si está disponible.
2. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia a los sistemas de información de la UE a los que pertenecen los datos.
3. Las autoridades que accedan al RCDI deberán hacerlo de conformidad con sus derechos de acceso, tal como se contempla en los instrumentos jurídicos que rigen los sistemas de información de la UE y en el Derecho nacional y de conformidad con sus derechos de acceso con arreglo al presente Reglamento para los fines contemplados en los artículos 20, 21 y 22.
4. Para cada conjunto de datos contemplado en el apartado 1, el RCDI incluirá una referencia al registro efectivo en los sistemas de información de la UE a los que pertenecen los datos.
5. El almacenamiento de los datos mencionados en el apartado 1 cumplirá los estándares de calidad a que se refiere el artículo 37, apartado 2.
Artículo 19
Adición, modificación y eliminación de datos en el registro común de datos de identidad
1. Cuando se añadan, modifiquen o eliminen datos en Eurodac o en el ECRIS-TCN, los datos contemplados en el artículo 18 almacenados en el expediente individual del RCDI se añadirán, modificarán o eliminarán en consecuencia, de forma automatizada.
2. Cuando se cree un vínculo blanco o rojo en el DIM, de conformidad con los artículos 32 o 33, entre los datos de dos o más de los sistemas de información de la UE que constituyen el RCDI, el RCDI añadirá los nuevos datos al expediente individual de los datos vinculados, en lugar de crear un nuevo expediente individual.
Artículo 20
Acceso al registro común de datos de identidad a efectos de identificación
1. La consulta del RCDI será efectuada por una autoridad policial de conformidad con los apartados 2 y 5 exclusivamente en una de las circunstancias siguientes:
a) |
cuando una autoridad policial no sea capaz de identificar a una persona debido a la falta de un documento de viaje o de otro documento fiable que demuestre su identidad; |
b) |
cuando existan dudas sobre los datos de identidad facilitados por dicha persona; |
c) |
cuando existan dudas en cuanto a la autenticidad del documento de viaje u otro documento fiable facilitado por dicha persona; |
d) |
cuando existan dudas en cuanto a la identidad del titular del documento de viaje u otro documento fiable, o |
e) |
cuando la persona no pueda o se niegue a cooperar. |
Dicha consulta no estará permitida en el caso de menores de doce años, de no ser en el interés superior del menor.
2. Cuando se dé alguna de las circunstancias previstas y las medidas legislativas nacionales a que se refiere el apartado 2 las faculten para ello, las autoridades policiales podrán, únicamente con fines de identificación de una persona, consultar el RCDI con los datos biométricos de dicha persona tomados en vivo durante un control de identidad, siempre que el procedimiento se haya iniciado en presencia de esta.
3. Cuando la búsqueda ponga de manifiesto que los datos de esa persona están almacenados en el RCDI, las autoridades policiales tendrán acceso para consultar los datos a que se refiere el artículo 18, apartado 1.
Cuando no puedan utilizarse los datos biométricos de la persona o cuando la consulta de esos datos sea infructuosa, la consulta se llevará a cabo con los datos de identidad de dicha persona en combinación con los datos del documento de viaje, o con los datos de identidad facilitados por esa persona.
4. Cuando las autoridades policiales de un Estado miembro hayan sido habilitadas para ello por medidas legislativas nacionales conforme al apartado 6, podrán consultar el RCDI con los datos biométricos de dichas personas, en caso de catástrofe natural, accidente o ataque terrorista y únicamente con el fin de identificar a personas desconocidas que no puedan identificarse o restos humanos no identificados.
5. Los Estados miembros que deseen acogerse a la posibilidad prevista en el apartado 1 adoptarán medidas legislativas nacionales al efecto. Al hacerlo, los Estados miembros tendrán en cuenta la necesidad de evitar cualquier discriminación de los nacionales de terceros países. Esas medidas legislativas especificarán los objetivos precisos de la identificación dentro de los fines mencionados en el artículo 2, apartado 1, letras b) y c). Designarán a las autoridades policiales competentes y establecerán los procedimientos, condiciones y criterios de dichos controles.
6. Los Estados miembros que deseen hacer uso de la posibilidad prevista en el apartado 1 ter adoptarán medidas legislativas nacionales que establezcan los procedimientos, las condiciones y los criterios.
Artículo 21
Acceso al registro común de datos de identidad para la detección de identidades múltiples
1. Cuando una consulta del RCDI resulte en un vínculo amarillo de conformidad con el artículo 28, apartado 4, la autoridad responsable de la verificación manual de manual de identidades diferentes, determinada de conformidad con el artículo 29, podrá acceder, únicamente a efectos de dicha verificación, a los datos a que se refiere el artículo 18, apartados 1 y 2 almacenados en el RCDI pertenecientes a los distintos sistemas de información de la UE conectados a un vínculo amarillo.
2. Cuando una consulta del RCDI resulte en un vínculo rojo de conformidad con el artículo 32, las autoridades a que se refiere el artículo 26, apartado 2, podrán acceder, únicamente a efectos de combatir la usurpación de identidad, a los datos a que se refiere el artículo 18, apartado 1 y 2, almacenados en el RCDI pertenecientes a los distintos sistemas de información de la UE conectados por un vínculo rojo.
Artículo 22
Consulta del registro común de datos de identidad con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves
1. En un caso específico, las autoridades designadas y Europol podrán consultar el RCDI cuando existan motivos razonables para creer que la consulta de los sistemas de información de la UE contribuirá a la prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, en particular cuando exista una sospecha fundada de que el sospechoso, autor o víctima de un delito de terrorismo u otro delito grave es una persona cuyos datos se almacenan en Eurodac, para obtener información sobre si en Eurodac se encuentran datos sobre una persona específica.
2. Cuando, en respuesta a una consulta, el RCDI indique que existen datos sobre esa persona en Eurodac, el RCDI proporcionará a las autoridades designadas y a Europol una respuesta en forma de una referencia, de las mencionadas en el artículo 18, apartado 2, que indique que Eurodac contiene los datos objeto de correspondencia. El RCDI responderá de manera que la seguridad de los datos no se vea comprometida.
La respuesta en la que se indique que los datos sobre esa persona se encuentran en Eurodac se utilizará únicamente a efectos de la presentación de una solicitud de pleno acceso con arreglo a las condiciones y procedimientos establecidos en los instrumentos jurídicos respectivos que rigen dicho acceso.
En caso de una correspondencia o de múltiples correspondencias, la autoridad designada o Europol presentará una solicitud de pleno acceso al menos a uno de los sistemas de información con los que se haya generado una correspondencia.
Cuando, con carácter excepcional, no se solicite el pleno acceso, las autoridades designadas deberán consignar la justificación para no hacerlo, en el fichero nacional, y Europol registrará la justificación en el expediente correspondiente.
3. El pleno acceso a los datos contenidos en Eurodac para los fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves seguirá estando sujeto a las condiciones y los procedimientos establecidos en los respectivos instrumentos jurídicos que regulen dicho acceso.
Artículo 23
Conservación de los datos en el registro común de datos de identidad
1. Los datos a que se refiere el artículo 18, apartados 1, 2 y 4, se eliminarán del registro común de datos de identidad (RCDI) de forma automatizada de conformidad con las disposiciones de conservación de los datos del Reglamento (UE) 2019/816.
2. El expediente individual se almacenará en el RCDI sólo durante el mismo tiempo que los datos correspondientes permanezcan almacenados en al menos uno de los sistemas de información de la UE cuyos datos estén contenidos en el RCDI. La creación de un vínculo no afectará al periodo de conservación de cada uno de los datos vinculados.
Artículo 24
Conservación de registros
1. Sin perjuicio del artículo 29 del Reglamento (UE) 2019/816, eu-LISA conservará los registros de todas las operaciones de tratamiento de datos dentro del RCDI de conformidad con los apartados 2, 3 y 4 del presente artículo.
2. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el RCDI con arreglo al artículo 20. Dichos registros incluirán lo siguiente:
-a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
la finalidad del acceso del usuario que realice la consulta a través del RCDI; |
c) |
la fecha y hora de la consulta; |
d) |
el tipo de datos utilizados para iniciar la consulta; |
e) |
los resultados de la consulta. |
3. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el RCDI con arreglo al artículo 21. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro o la agencia de la Unión que inicie la consulta; |
b) |
la finalidad del acceso del usuario que realice la consulta a través del RCDI; |
c) |
la fecha y hora de la consulta; |
d) |
cuando se genere un vínculo, el tipo de datos utilizados para iniciar la consulta y los resultados de la consulta indicando el sistema de información de la UE del que se recibieron los datos. |
4. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el RCDI con arreglo al artículo 22. Dichos registros incluirán lo siguiente:
a) |
la fecha y hora de la consulta; |
b) |
los datos utilizados para iniciar la consulta; |
c) |
los resultados de la consulta; |
d) |
el Estado miembro o la agencia de la Unión que consulte el RCDI. |
La autoridad de control competente de conformidad con el artículo 41 de la Directiva (UE)2016/680, o el Supervisor Europeo de Protección de Datos de conformidad con el artículo 43 del Reglamento (UE) 2016/794, verificará periódicamente los registros de dichos accesos, a intervalos no superiores a seis meses, con el fin de cerciorarse del cumplimiento de los procedimientos y condiciones establecidos en el artículo 22, apartados 1 y 2 del presente Reglamento.
5. Cada Estado miembro conservará los registros de las consultas que efectúen sus autoridades y el personal de esas autoridades debidamente autorizadas para utilizar el RCDI en virtud de los artículos 20, 21 y 22. Cada agencia de la Unión llevará registros de las consultas que efectúe su personal debidamente autorizado en virtud de los artículos 21 y 22.
Además, para cualquier acceso al RCDI con arreglo al artículo 22, cada Estado miembro conservará los registros siguientes:
a) |
el número de referencia del expediente nacional; |
b) |
el motivo del acceso; |
c) |
de conformidad con las normas nacionales, el nombre único de usuario del funcionario que haya efectuado la búsqueda y el del funcionario que haya pedido la búsqueda. |
6. Con arreglo al Reglamento (UE) 2016/794, para cualquier acceso al RCDI con arreglo al artículo 22 del presente Reglamento, Europol conservará registros de la identidad del usuario único del funcionario que haya realizado la consulta y del funcionario que haya encargado la consulta.
7. Los registros contemplados en los apartados 2 a 6 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de las condiciones de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Esos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación, salvo que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, en cuyo caso se suprimirán cuando dejen de ser necesarios para dichos procedimientos de supervisión.
8. eu-LISA conservará los registros relativos al historial de los datos en expedientes individuales. eu-LISA suprimirá esos registros de manera automatizada, una vez que se hayan suprimido esos datos.
CAPÍTULO V
Detector de identidades múltiples
Artículo 25
Detector de identidades múltiples
1. A fin de apoyar el funcionamiento del RCDI y la consecución de los objetivos del SES, el VIS, el SEIAV, Eurodac, el SIS y el ECRIS-TCN, se establece un detector de identidades múltiples (DIM), para crear y almacenar los expedientes de confirmación de identidad a que se refiere el artículo 34, que contenga vínculos entre los datos de los sistemas de información de la UE incluidos en el RCDI y el SIS y, permita la detección de identidades múltiples con el doble objetivo de facilitar los controles de identidad y combatir la usurpación de identidad.
2. El DIM se compondrá de:
a) |
una infraestructura central, que almacenará los vínculos y las referencias a los sistemas de información de la UE; |
b) |
una infraestructura de comunicación segura que conecte el DIM con el SIS y las infraestructuras centrales del PEB y el RCDI. |
3. eu-LISA desarrollará el DIM y garantizará su gestión técnica.
Artículo 26
Acceso al detector de identidades múltiples
1. A los efectos de la verificación manual de diferentes identidades a que se refiere el artículo 29, se concederá el acceso a los datos contemplados en el artículo 34 almacenados en el DIM a:
a) |
las oficinas Sirene del Estado miembro que cree o actualice una descripción con arreglo al Reglamento (UE) 2018/1862; |
b) |
las autoridades centrales del Estado miembro que ha dictado la condena, al anotar o modificar datos en el ECRIS-TCN de conformidad con los artículos 5 o 9 del Reglamento E(UE) 2019/816. |
2. Las autoridades de los Estados miembros y las agencias de la Unión que tengan acceso a, como mínimo, un sistema de información de la UE incluido en el RDCI o al SIS tendrán acceso a los datos a que se refiere el artículo 34, letras a) y b), en lo relativo a los vínculos rojos según el artículo 32.
3. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos blancos mencionados en el artículo 33 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo blanco.
4. Las autoridades de los Estados miembros y las agencias de la Unión tendrán acceso a los vínculos verdes a que se refiere el artículo 31 cuando tengan acceso a los dos sistemas de información de la UE que contengan los datos entre los que se haya establecido el vínculo verde y una consulta de dichos sistemas de información haya revelado una correspondencia con los dos conjuntos de datos relacionados.
Artículo 27
Detector de identidades múltiples
1. Se iniciará una detección de identidades múltiples en el RCDI y el SIS cuando:
a) |
se cree o actualice una descripción sobre una persona en el SIS de conformidad con los capítulos VI a IX del Reglamento (UE) 2018/1862; |
b) |
se cree o modifique un registro de datos en el ECRIS-TCN de conformidad con los artículos 5 o 9 del Reglamento (UE) 2019/ 816. |
2. Cuando los datos contenidos en un sistema de información de la UE mencionado en el apartado 1 contengan datos biométricos, el RCDI y el SIS Central utilizarán el SCB compartido para realizar la detección de identidades múltiples. El SCB compartido comparará las plantillas biométricas obtenidas a partir de cualquier nuevo dato biométrico con las plantillas biométricas ya contenidas en el SCB compartido, con el fin de verificar si los datos pertenecientes a una misma persona están ya almacenados en el RCDI o en el SIS Central.
3. Además del proceso mencionado en el apartado 2, el RDCI y el SIS Central utilizarán el PEB para buscar los datos almacenados en el SIS Central y el RDCI, respectivamente, utilizando los datos siguientes:
a) |
apellido(s); nombre (s); apellido(s) de soltero, nombres usados con anterioridad y alias; fecha de nacimiento, lugar de nacimiento, género y cualquier nacionalidad(es) tal como se definen en el artículo 20, apartado 3, letra a), del Reglamento (UE) 2018/1862; |
b) |
apellido(s); nombre(s) (de pila), fecha de nacimiento, lugar de nacimiento (localidad y país), nacionalidad(es) y género tal como se definen en el artículo 5, apartado 1, letra a), del Reglamento (UE) 2019/816. |
4. Además del proceso mencionado en los apartados 2 y 3, el RDCI y el SIS Central utilizarán el PEB para buscar los datos almacenados en el RDCI y en el SIS Central, respectivamente, utilizando los datos del documento de viaje.
5. La detección de identidades múltiples únicamente se iniciará con el fin de comparar los datos disponibles en un sistema de información de la UE con los datos disponibles en otros sistemas de información de la UE.
Artículo 28
Resultados de la detección de identidades múltiples
1. Si las consultas a que se refiere el artículo 27, apartados 2, 3 y 4, no dan lugar a ninguna correspondencia, los procedimientos a que se refiere el artículo 27, apartado 1, continuarán de conformidad con los instrumentos jurídicos por los que se rigen.
2. Cuando la consulta establecida en el artículo 27, apartados 2, 3 y 4, dé lugar a una o más correspondencias, el RCDI y, cuando proceda, el SIS crearán un vínculo entre los datos utilizados para iniciar la consulta y los datos que hayan dado lugar a la correspondencia.
Cuando se registren varias correspondencias, se creará un vínculo entre todos los datos que hayan dado lugar a una correspondencia. Cuando los datos ya se hubiesen vinculado establece previamente, el vínculo existente se extenderá a los datos utilizados para iniciar la consulta.
3. Cuando la consulta a que se refiere el artículo 27, apartados 2, 3 y 4, dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados sean los mismos o similares, se creará un vínculo blanco de conformidad con el artículo 33.
4. Cuando la consulta a que se refiere el artículo 27, apartados 2, 3 y 4, dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados no puedan considerarse similares, se creará un vínculo amarillo de conformidad con el artículo 30 y será de aplicación el procedimiento a que se refiere el artículo 29.
5. La Comisión adoptará actos delegados de conformidad con el artículo 69 por los que se establezcan los procedimientos para determinar los casos en que pueda considerarse que los datos de identidad son los mismos o similares.
6. Los vínculos se almacenarán en el expediente de confirmación de identidad a que se refiere el artículo 34.
7. La Comisión, en cooperación con eu-LISA, establecerá mediante actos de ejecución las normas técnicas para crear vínculos entre los datos de los distintos sistemas de información de la UE. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 29
Verificación manual de identidades diferentes y autoridades responsables
1. Sin perjuicio del apartado 2, la autoridad responsable de la verificación manual de verificación de identidades diferentes será:
a) |
la oficina Sirene del Estado miembro, en caso de correspondencias que se produzcan al crear o actualizar una descripción en el SIS con arreglo al Reglamento (UE) 2018/1862; |
b) |
las autoridades centrales del Estado miembro que ha dictado la condena, en caso de correspondencias que se produzcan al registrar o modificar datos en el ECRIS-TCN de conformidad con los artículos 5 o 9 del Reglamento (UE) 2019/816. |
El DIM indicará la autoridad responsable de la verificación manual de las identidades diferentes que figuren en el expediente de confirmación de identidad.
2. La autoridad responsable de la verificación manual de las diferentes identidades en el expediente de confirmación de identidad será la oficina Sirene del Estado miembro que haya creado la descripción, cuando se cree un vínculo a los datos contenidos en una descripción:
a) |
respecto de personas buscadas para su detención o a efectos de su entrega o extradición, según el artículo 26 del Reglamento (UE) 2018/1862; |
b) |
respecto de personas desaparecidas o vulnerables, según el artículo 32 del Reglamento (UE) 2018/1862; |
c) |
respecto de personas buscadas para su participación en un proceso judicial, según el artículo 34 del Reglamento (UE) 2018/1862; |
d) |
respecto de personas para controles discretos, controles de investigación o controles específicos, según el artículo 36 del Reglamento (UE) 2018/1862. |
3. La autoridad responsable de la verificación manual de las diferentes identidades tendrá acceso a los datos vinculados contenidos en el expediente de confirmación de identidad pertinente y a los datos de identidad vinculados en los sistemas de información pertinentes, así como, cuando proceda, en el SIS. Evaluará las diferentes identidades sin demora. Una vez finalizada dicha evaluación, actualizará el vínculo en consonancia con los artículos 31, 32 y 33 y lo añadirá sin demora al expediente de confirmación de identidad.
4. Cuando se cree más de un vínculo, la autoridad responsable de la verificación manual de las diferentes identidades evaluará cada uno por separado.
5. Cuando los datos que den lugar a una correspondencia estén previamente vinculados, la autoridad responsable de la verificación manual de las diferentes identidades tendrá en cuenta los vínculos existentes al evaluar la creación de nuevos vínculos.
Artículo 30
Vínculo amarillo
1. Cuando no haya tenido lugar una verificación manual de identidades diferentes, un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como amarillo en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos, pero tengan datos de identidad similares o distintos; |
b) |
cuando los datos vinculados contengan distintos datos de identidad, pero compartan los mismos datos del documento de viaje y al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate; |
c) |
cuando los datos vinculados contengan los mismos datos de identidad, pero tengan distintos datos biométricos; |
d) |
cuando los datos vinculados contengan datos de identidad similares o distintos, los mismos datos del documento de viaje, pero tengan distintos datos biométricos. |
2. Cuando un vínculo se clasifique como amarillo con arreglo a el apartado 1, será de aplicación el procedimiento previsto en el artículo 29.
Artículo 31
Vínculo verde
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como verde cuando:
a) |
los datos vinculados contengan datos biométricos diferentes, pero compartan los mismos datos de identidad y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas; |
b) |
los datos vinculados contengan diferentes datos biométricos, contengan datos de identidad similares o distintos, compartan los mismos datos del documento de viaje y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas; |
c) |
los datos vinculados contengan distintos datos de identidad, pero compartan los mismos datos del documento de viaje, al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas. |
2. Cuando se consulten el RCDI o el SIS y exista un vínculo verde entre dos o más de los sistemas de información de la UE que constituyen el RCDI o con el SIS, el DIM indicará que los datos de identidad de los datos vinculados no corresponden a la misma persona.
3. Si una autoridad de un Estado miembro tiene pruebas que sugieran que un vínculo verde ha sido registrado incorrectamente en el DIM, no está actualizado o el tratamiento de datos en el DIM o en los sistemas de información de la UE es contrario al presente Reglamento, comprobará los datos pertinentes almacenados en el RCDI y el SIS y, en caso necesario, rectificará o suprimirá sin demora el vínculo en el DIM. Dicha autoridad del Estado miembro informará sin demora al Estado miembro responsable de la verificación manual de las identidades diferentes.
Artículo 32
Vínculo rojo
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como rojo en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos, pero contengan datos de identidad similares o distintos, y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a la misma persona de manera injustificada; |
b) |
cuando los datos vinculados contengan los mismos datos de identidad o datos de identidad similares o distintos y los mismos datos del documento de viaje, pero distintos datos biométricos y la autoridad responsable de la verificación manual de las diferentes identidades haya concluido que los datos vinculados hacen referencia a dos personas diferentes, al menos una de las cuales está utilizando el mismo documento de viaje de manera injustificada; |
c) |
cuando los datos vinculados compartan los mismos datos de identidad, pero contengan distintos datos biométricos y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados hacen referencia a dos personas distintas de manera injustificada; |
d) |
cuando los datos vinculados contengan distintos datos de identidad, pero compartan los mismos datos del mismo documento de viaje, al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona de que se trate y la autoridad responsable de la verificación manual de las diferentes identidades haya concluido que los datos vinculados hacen referencia a la misma persona de manera injustificada. |
2. Cuando se consulten el registro común de datos de identidad (RCDI) o el SIS y exista un vínculo rojo entre dos o más de los sistemas de información que constituyen el RCDI o con el SIS, el DIM responderá indicando los datos a que se refiere el artículo 34. Las actuaciones subsiguientes a un vínculo rojo se realizarán de conformidad con el Derecho nacional y de la Unión, y cualquier consecuencia jurídica para la persona de que se trate se basará únicamente en los datos pertinentes sobre ella. La mera existencia de un vínculo rojo no tendrá consecuencias jurídicas para la persona afectada.
3. Cuando se cree un vínculo rojo entre datos del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, se actualizará el expediente individual almacenado en el RCDI de conformidad con el artículo 19, apartado 2.
4. Sin perjuicio de las disposiciones relativas al tratamiento de las descripciones en el SIS a que se hace referencia en los Reglamentos (UE) 2018/1860, (UE) 2018/1861 y (UE) 2018/1862, y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que ninguna investigación nacional corra peligro, cuando se cree un vínculo rojo, la autoridad encargada de la verificación manual de las diferentes identidades informará a la persona concernida de la existencia ilegal de datos de múltiples identidades y facilitará por escrito a la persona un número de identificación único como se contempla en el artículo 34, letra c), una referencia a la autoridad responsable de la verificación manual de las identidades diferentes como se contempla en el artículo 34, letra d) del presente Reglamento, y la dirección del portal web creado de conformidad con el artículo 49 del presente Reglamento.
5. La autoridad responsable de la verificación manual de las diferentes identidades facilitará por escrito la información a que se refiere el apartado 4 por medio de un formulario normalizado. La Comisión determinará el contenido y la presentación de dicho formulario y las modalidades de la información mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
6. Cuando se genere un vínculo rojo, el DIM notificará de forma automatizada a las autoridades responsables de los datos vinculados.
7. Cuando una autoridad de un Estado miembro o una agencia de la Unión que tenga acceso al RCDI o al SIS obtenga pruebas que sugieran que un vínculo rojo ha sido registrado incorrectamente en el DIM es incorrecto o que los datos tratados en el DIM, el RCDI o el SIS han sido tratados de manera contraria al presente Reglamento, dicha autoridad comprobará los datos almacenados en el RCDI y en el SIS y, en caso necesario:
a) |
cuando el vínculo se refiera a una de las descripciones en el SIS a que hace referencia el artículo 29, apartado 2, informará inmediatamente a la oficina Sirene correspondiente del Estado miembro que creó la descripción en el SIS; |
b) |
en todos los demás casos, o rectificará o suprimirá inmediatamente el enlace del DIM. |
Si una oficina Sirene es contactada de conformidad con la letra a) del primer párrafo, verificará las pruebas facilitadas por la autoridad del Estado miembro o la Agencia de la Unión y, si procede, rectificará o suprimirá el vínculo en el DIM inmediatamente.
La autoridad del Estado miembro que obtenga las pruebas informará sin demora a la autoridad del Estado miembro responsable de la verificación manual de las identidades diferentes, indicando, en su caso, cualquier rectificación o supresión de un vínculo rojo.
Artículo 33
Vínculo blanco
1. Un vínculo entre datos procedentes de dos o más sistemas de información de la UE se clasificará como blanco en cualquiera de los siguientes casos:
a) |
cuando los datos vinculados compartan los mismos datos biométricos y datos de identidad iguales o similares; |
b) |
cuando los datos vinculados compartan datos de identidad iguales o similares, los mismos datos del documento de viaje y al menos uno de los sistemas de información de la UE no contenga datos biométricos de la persona; |
c) |
cuando los datos vinculados compartan los mismos datos biométricos y los mismos datos del documento de viaje, pero datos de identidad similares; |
d) |
cuando los datos vinculados compartan los mismos datos biométricos, pero contengan datos de identidad similares o distintos, y la autoridad responsable de la verificación manual de las identidades diferentes haya concluido que los datos vinculados se refieren a la misma persona de manera justificada. |
2. Cuando se consulten el RCDI o el SIS y exista un vínculo blanco entre datos de dos o más de los sistemas de información de la UE, el DIM indicará que los datos de identidad de los datos vinculados corresponden a la misma persona. Los sistemas de información de la UE consultados responderán indicando, en su caso, todos los datos vinculados relativos a la persona, dando lugar así a una correspondencia en relación con los datos sujetos al vínculo blanco, cuando la autoridad que inicie la consulta tenga acceso a los datos vinculados con arreglo al Derecho de la Unión o nacional.
3. Cuando se cree un vínculo blanco entre datos del SES, el VIS, el SEIAV, Eurodac o el ECRIS-TCN, se actualizará el expediente individual almacenado en el RCDI de conformidad con el artículo 19, apartado 2.
4. Sin perjuicio de las disposiciones relativas al tratamiento de las descripciones en el SIS a que se hace referencia en los Reglamentos (UE) 2018/1860, (UE) 2018/1861 y (UE) 2018/1862, y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que no se ponga en peligro ninguna investigación nacional, cuando se genere un vínculo blanco, a raíz de una verificación manual de identidades diferentes, la autoridad responsable de la verificación manual de las diferentes identidades informará a la persona de que se trate de la existencia de identidades similares y facilitará por escrito a la persona un número de identificación único como se contempla en el artículo 34, letra c) del presente Reglamento, una referencia a la autoridad responsable de la verificación manual de las diferentes identidades como se contempla en el artículo 34, letra d), y la dirección del portal web creado de conformidad con el artículo 49 del presente Reglamento.
5. Si una autoridad de un Estado miembro tiene pruebas que sugieren que un vínculo blanco ha sido registrado incorrectamente, es materialmente inexacto o no está actualizado o que el tratamiento de datos en el DIM o en los sistemas de información de la UE es contrario al presente Reglamento, comprobará los datos pertinentes almacenados en el RCDI y el SIS y, en caso necesario, rectificará o suprimirá sin demora el vínculo en el DIM. Dicha autoridad del Estado miembro informará sin demora al Estado miembro responsable de la verificación manual de las identidades diferentes.
6. La autoridad responsable de la verificación manual de las identidades diferentes facilitará por escrito la información a que se refiere el apartado 4, por medio de un formulario normalizado. La Comisión determinará el contenido y presentación de dicho formulario y las modalidades de la información mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 34
Expediente de confirmación de identidad
El expediente de confirmación de identidad contendrá los datos siguientes:
a) |
los vínculos, según los artículos 30 a 33; |
b) |
una referencia a los sistemas de información de la UE cuyos datos estén vinculados; |
c) |
un número de identificación único que permita recuperar de los sistemas de información de la UE los datos de los expedientes vinculados correspondientes; |
d) |
la autoridad responsable de la verificación manual de las identidades diferentes; |
e) |
la fecha de creación del vínculo o de cualquier actualización del mismo. |
Artículo 35
Conservación de los datos en el detector de identidades múltiples
Los expedientes de confirmación de identidad y los datos en ellos contenidos, incluidos los vínculos, se almacenarán en el DIM únicamente durante el tiempo en que los datos vinculados permanezcan almacenados en dos o más sistemas de información de la UE. Serán suprimidos del DIM de forma automatizada.
Artículo 36
Conservación de registros
1. eu-LISA conservará los registros de todas las operaciones de tratamiento de datos en el DIM. Dichos registros incluirán lo siguiente:
a) |
el Estado miembro que inicie la consulta; |
b) |
el motivo del acceso del usuario; |
c) |
la fecha y hora de la consulta; |
d) |
el tipo de datos utilizados para iniciar la consulta o consultas; |
e) |
la referencia a los datos vinculados; |
f) |
el historial del expediente de confirmación de identidad. |
2. Cada Estado miembro y agencia de la Unión mantendrá un registro de las consultas de la autoridad y del personal debidamente autorizado para utilizar el DIM.
3. Los registros a que se refieren los apartados 1 y 2 únicamente podrán utilizarse para la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de los requisitos de la consulta y de la legalidad del tratamiento de datos, y para la garantía de la seguridad y la integridad de los datos. Dichos registros estarán protegidos por medidas adecuadas contra el acceso no autorizado y serán suprimidos un año después de su creación. No obstante, en caso de que sean necesarios para procedimientos de supervisión que ya hayan dado comienzo, se suprimirán una vez que los procedimientos de supervisión ya no exijan ichos registros.
CAPÍTULO VI
Medidas de apoyo a la interoperabilidad
Artículo 37
Calidad de los datos
1. Además de las responsabilidades de los Estados miembros respecto de los datos introducidos en los sistemas, eu-LISA establecerá mecanismos y procedimientos automatizados de control de la calidad de los datos almacenados en el SIS, Eurodac, el ECRIS-TCN, el SCB compartido y el RCDI.
2. eu-LISA aplicará mecanismos para evaluar la exactitud del SCB compartido, indicadores comunes de calidad de los datos y los estándares mínimos de calidad para el almacenamiento de datos en el SIS, Eurodac, el ECRIS-TCN, el SCB compartido y el RCDI.
Solo los datos que respeten las normas mínimas de calidad podrán introducirse en el SIS, Eurodac, el ECRIS-TCN, el SCB compartido, el RCDI y el DIM.
3. eu-LISA presentará a los Estados miembros informes periódicos sobre los mecanismos y procedimientos automatizados de control de la calidad de los datos. eu-LISA también presentará un informe periódico a la Comisión acerca de los problemas detectados y los Estados miembros a los que estos conciernan. eu-Lisa también presentará ese informe al Parlamento Europeo y al Consejo, previa petición. Los informes presentados en virtud del presente apartado no contendrán datos personales.
4. Los pormenores de los mecanismos y procedimientos automatizados de control de la calidad de los datos, los indicadores comunes de la calidad de los datos y los estándares mínimos de calidad para el almacenamiento de datos en el SIS, Eurodac, el ECRIS-TCN, el SCB compartido y el RCDI, en particular en lo relativo a los datos biométricos, se establecerán mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
5. Un año después de la creación de los mecanismos y procedimientos automatizados de control de la calidad de los datos, los indicadores comunes de calidad de los datos y los estándares mínimos de calidad de los datos, y cada año en lo sucesivo, la Comisión valorará la implementación por los Estados miembros de la calidad de los datos y formulará las recomendaciones necesarias. Los Estados miembros presentarán a la Comisión un plan de acción para subsanar las deficiencias detectadas en el informe de valoración y, en particular, los problemas de calidad de los datos derivados de datos erróneos en los sistemas de información de la UE. Los Estados miembros e informarán periódicamente a la Comisión sobre cualquier progreso relativo a dicho plan de acción hasta que este se aplique plenamente.
La Comisión remitirá el informe de valoración al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos, al Comité Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea, establecida por el Reglamento (CE) n.o 168/2007 del Consejo (37).
Artículo 38
Formato universal de mensajes
1. Se establece la norma de formato universal de mensajes (UMF). El UMF define una norma para ciertos elementos del contenido del intercambio transfronterizo de información entre sistemas de información, autoridades u organizaciones en el ámbito de la justicia y los asuntos de interior.
2. La norma UMF se utilizará en el desarrollo de Eurodac, el ECRIS-TCN, el PEB, el RCDI, el DIM y, si procede, en el desarrollo por parte de eu-LISA o de cualquier otra agencia de la Unión de nuevos modelos de intercambio de información y sistemas de información en el ámbito de la justicia y los asuntos de interior.
3. La Comisión adoptará un acto de ejecución para establecer y desarrollar la norma UMF a que se refiere el apartado 1 del presente artículo. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 39
Repositorio central para la presentación de informes y estadísticas
1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SIS y el ECRIS-TCN, de conformidad con los respectivos instrumentos jurídicos que rigen esos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos.
2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y las estadísticas a que se hace referencia en el artículo 74 del Reglamento (UE) 2018/1862 y el artículo 32 del Reglamento (UE) 2019/816, separados de forma lógica. Los datos contenidos en el RCIE no permitirán la identificación de personas. El acceso al RCIE se concederá por medio de un acceso seguro, con un control de acceso y unos perfiles de usuario específicos, únicamente a efectos de la presentación de informes y estadísticas, a las autoridades a las que se refieren el artículo 74 del Reglamento (UE) 2018/1862 y el artículo 32 del Reglamento (UE) 2019/816.
3. eu-LISA anonimizará los datos y registrará los datos anonimizados en el RCIE. El proceso por el que se anonimizarán los datos será automatizado.
Los datos contenidos en el RCIE no permitirán la identificación de personas.
4. El RCIE se compondrá de:
-a) |
las herramientas necesarias para anominizar los datos; |
a) |
una infraestructura central, consistente en un repositorio de datos anonimizados; |
b) |
una infraestructura de comunicación segura entre el RCIE y el SIS, Eurodac y el ECRIS-TCN, así como con las infraestructuras centrales del SCB compartido, el RCDI y el DIM. |
5. La Comisión adoptará actos delegados de conformidad con el artículo 69 que establezcan normas detalladas sobre el funcionamiento del RCIE, incluidas salvaguardias específicas para el tratamiento de los datos personales a que se refieren los apartados 2 y 3 del presente artículo y las normas de seguridad aplicables al repositorio.
CAPÍTULO VII
Protección de datos
Artículo 40
Responsable del tratamiento
1. En relación con el tratamiento de datos en el SCB compartido, las autoridades de los Estados miembros que sean responsables del tratamiento en Eurodac, el SIS y el ECRIS-TCN, respectivamente, también se considerarán responsables del tratamiento, de conformidad con el artículo 4, apartado 7, del Reglamento (UE) 2016/679, o con el artículo 3, apartado 8, de la Directiva (UE) 2016/680, en lo que respecta a las plantillas biométricas obtenidas a partir de los datos a que se refiere el artículo 13 del presente Reglamento que introduzcan en sus respectivos sistemas y tendrán responsabilidad en el tratamiento de las plantillas biométricas en el SCB compartido.
2. En relación con el tratamiento de datos en el RCDI, las autoridades de los Estados miembros que sean responsables del tratamiento en Eurodac y el ECRIS-TCN, respectivamente, también serán responsables del tratamiento de conformidad con el artículo 4, apartado 7, del Reglamento (UE) 2016/679 o el artículo 3, apartado 8, de la Directiva 2016/680, en lo que respecta a los datos a que se refiere el artículo 18 del presente Reglamento que introduzcan en sus respectivos sistemas y tendrán responsabilidad en el tratamiento de esos datos personales en el RCDI.
3. En relación con el tratamiento de datos en el DIM:
a) |
la Agencia Europea de la Guardia de Fronteras y Costas será responsable del tratamiento con arreglo al artículo 3, apartado 8, del Reglamento (UE) 2018/1725 en relación con el tratamiento de los datos personales en la unidad central SEIAV; |
b) |
las autoridades de los Estados miembros que añadan o modifiquen datos en el expediente de confirmación de identidad serán responsables del tratamiento de acuerdo con el artículo 4, apartado 7, del Reglamento (UE) 2016/680 o con el artículo 3, apartado 8, de la Directiva (UE) 2016/680, y tendrán responsabilidad en el tratamiento de los datos personales en el DIM. |
4. A efectos de la supervisión de la protección de datos, lo que incluye la comprobación del cumplimiento de las condiciones de una consulta y de la legalidad del tratamiento de datos, los controladores de datos tendrán acceso a los registros contemplados en los artículos 10, 16, 24 y 36 para el autocontrol a que se refiere el artículo 45.
Artículo 41
Encargado del tratamiento
En relación con el tratamiento de los datos personales en el SCB compartido, el RCDI y el DIM, eu-LISA será la encargada del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725.
Artículo 42
Seguridad del tratamiento
1. eu-LISA, la unidad central SEIAV, Europol y las autoridades de los Estados miembros garantizarán la seguridad del tratamiento de los datos personales que tenga lugar en virtud de la aplicación del presente Reglamento. eu-LISA, la unidad central SEIAV, Europol y las autoridades de los Estados miembros cooperarán en las tareas relacionadas con la seguridad.
2. Sin perjuicio del artículo 33 del Reglamento (UE) 2018/1725, eu-LISA adoptará las medidas necesarias para garantizar la seguridad de los componentes de interoperabilidad y de su infraestructura de comunicación conexa.
3. En particular, eu-LISA adoptará las medidas necesarias, incluidos un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:
a) |
proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas; |
b) |
denegar a toda persona no autorizada el acceso a los equipos e instalaciones de tratamiento de datos; |
c) |
impedir la lectura, copia, modificación o retirada no autorizadas de los soportes de datos; |
d) |
impedir la introducción no autorizada de datos y la inspección, modificación o eliminación no autorizadas de datos personales registrados; |
e) |
impedir el tratamiento no autorizado de datos y la copia, modificación o eliminación no autorizadas de datos; |
f) |
impedir que los sistemas de tratamiento automatizado de datos sean utilizados por personas no autorizadas por medio de equipos de transmisión de datos; |
g) |
garantizar que las personas autorizadas para acceder a los componentes de interoperabilidad tengan únicamente acceso a los datos cubiertos por su autorización de acceso, exclusivamente mediante identidades de usuario individuales y modos de acceso confidenciales; |
h) |
garantizar la posibilidad de verificar y determinar a qué organismos pueden transmitirse datos personales mediante equipos de transmisión de datos; |
i) |
garantizar la posibilidad de verificar y determinar qué datos han sido tratados en los componentes de interoperabilidad, en qué momento, por quién y con qué fin; |
j) |
impedir la lectura, copia, modificación o eliminación no autorizadas de datos personales durante su transmisión hacia o desde los componentes de interoperabilidad o durante el transporte de soportes de datos, en particular mediante técnicas adecuadas de cifrado; |
k) |
garantizar que, en caso de interrupción, los sistemas instalados puedan volver a funcionar normalmente; |
l) |
garantizar la fiabilidad velando por que se informe adecuadamente de cualquier error de funcionamiento de los componentes de interoperabilidad; |
m) |
controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas de organización del control interno necesarias para garantizar el cumplimiento del presente Reglamento y evaluar dichas medidas de seguridad a la luz de los nuevos avances tecnológicos. |
4. Los Estados miembros, Europol y la unidad central SEIAV adoptarán medidas equivalentes a las mencionadas en el apartado 3 en lo que respecta a la seguridad en relación con el tratamiento de datos personales por parte de las autoridades con derecho de acceso a cualquiera de los componentes de interoperabilidad.
Artículo 43
Incidentes de seguridad
1. Cualquier acontecimiento que repercuta o pueda repercutir en la seguridad de los componentes de interoperabilidad y pueda causar daños a los datos almacenados en ellos o la pérdida de dichos datos se considerará un incidente de seguridad, especialmente cuando pueda haber tenido lugar un acceso no autorizado a los datos o cuando la disponibilidad, integridad y confidencialidad de los datos haya sido o pueda haber sido comprometida.
2. Los incidentes de seguridad se gestionarán de forma que se garantice una respuesta rápida, eficaz y adecuada.
3. Sin perjuicio de la notificación y comunicación de una violación de la seguridad de un dato personal de conformidad con el artículo 33 del Reglamento (UE) 2016/679, con el artículo 30 de la Directiva (UE) 2016/680 o con ambos, los Estados miembros notificarán sin demora a la Comisión, a eu-LISA, a las autoridades de control competentes y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad.
Sin perjuicio de los artículos 34 y 35 del Reglamento (UE) 2018/1725 y en el artículo 34 del Reglamento (UE) 2016/794, el sistema central SEIAV y Europol notificarán sin demora a la Comisión, eu-LISA y el Supervisor Europeo de Protección de Datos cualquier incidente de seguridad.
En el caso de un incidente de seguridad relacionado con la infraestructura central de los componentes de interoperabilidad, eu-LISA lo notificará a la Comisión y al Supervisor Europeo de Protección de Datos.
4. eu-LISA transmitirá sin demora a los Estados miembros, a la unidad central SEIAV y a Europol la información concerniente a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento de los componentes de interoperabilidad o en la disponibilidad, integridad y confidencialidad de los datos, y presentará un informe en cumplimiento del plan de gestión de incidentes.
5. Los Estados miembros afectados, la unidad central SEIAV, Europol y eu-LISA cooperarán cuando se produzca un incidente de seguridad. La Comisión especificará los detalles de este procedimiento de cooperación mediante actos de ejecución. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 44
Autocontrol
Los Estados miembros y las agencias pertinentes de la Unión velarán por que toda autoridad facultada para acceder a los componentes de interoperabilidad adopte las medidas necesarias para controlar su cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.
Los responsables del tratamiento de datos a que se refiere el artículo 40 adoptarán las medidas necesarias para controlar la conformidad del tratamiento de datos con el presente Reglamento, incluida la frecuencia de verificación manual de los registros a que se refieren los artículos 10, 16, 24 y 36, y cooperarán, cuando proceda, con las autoridades de control a que se refiere el artículo 49 y con el Supervisor Europeo de Protección de datos a que se refiere el artículo 50.
Artículo 45
Sanciones
Los Estados miembros garantizarán que cualquier uso indebido de datos, tratamiento de datos o intercambio de datos contrario a el presente Reglamento sea sancionable con arreglo al Derecho nacional. Tales sanciones serán efectivas, proporcionadas y disuasorias.
Artículo 46
Responsabilidad
1. Sin perjuicio del derecho a compensación y de la responsabilidad del responsable o el encargado en virtud del Reglamento (EU) 2016/679, la Directiva (UE) 2016/680 y el Reglamento (UE) 2018/1725:
a) |
cualquier persona o Estado miembro que haya sufrido perjuicios materiales o no materiales como resultado de una operación ilegal de tratamiento de datos personales o cualquier otro acto incompatible con el presente Reglamento por parte de un Estado miembro tendrá derecho a ser indemnizado por dicho Estado miembro; |
b) |
cualquier persona o Estado miembro que haya sufrido perjuicios materiales o no materiales como resultado de un acto de Europol, la Agencia Europea de la Guardia de Fronteras y Costas o eu-LISA incompatible con el presente Reglamento tendrá derecho a recibir una indemnización de la agencia en cuestión. |
El Estado miembro en cuestión, Europol, la Agencia Europea de la Guardia de Fronteras y Costas o eu-LISA quedarán exentos, total o parcialmente, de su responsabilidad en virtud del primer párrafo si demuestran que no son responsables del hecho que originó el perjuicio.
2. Si el incumplimiento por un Estado miembro de las obligaciones que le impone el presente Reglamento causa un perjuicio a los componentes de interoperabilidad, dicho Estado miembro será considerado responsable de dicho perjuicio, a no ser que eu-LISA u otro Estado miembro sujeto al presente Reglamento no hayan adoptado las medidas adecuadas para impedir que se produjera el perjuicio o para atenuar sus efectos.
3. Las reclamaciones de indemnización contra un Estado miembro por los perjuicios a los que se refieren los apartados 1 y 2 estarán sujetas al Derecho nacional del Estado miembro demandado. Las reclamaciones de indemnización contra el responsable o contra eu-LISA por los perjuicios a los que se refieren los apartados 1 y 2 estarán sujetas a las condiciones previstas en los Tratados.
Artículo 47
Derecho a la información
1. La autoridad que recoja los datos personales para almacenarlos en el SCB compartido, el RCDI o el DIM, facilitará a las personas cuyos datos se almacenen la información requerida en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679, los artículos 12 y 13 de la Directiva (UE) 2016/680 y los artículos 15 y 16 del Reglamento (UE) 2018/1725. La autoridad facilitará la información en el momento en el que se recojan dichos datos.
2. Toda la información estará disponible en un lenguaje claro y sencillo y en un idioma que la persona interesada entienda o quepa suponer razonablemente que entiende. Esto incluirá la facilitación de información de un modo apropiado a la edad de los titulares de los datos que sean menores.
3. Las normas sobre el derecho a la información contenidas en las normas aplicables de la Unión en materia de protección de datos se aplicarán a los datos personales registrados en el ECRIS-TCN y tratados a efectos del presente Reglamento.
Artículo 48
Derechos de acceso, rectificación y supresión de datos personales almacenados en el DIM y restricción de su tratamiento
1. Con el fin de ejercer sus derechos en virtud de los artículos 15, 16, 17 y 18 del Reglamento (UE) 2016/679, los artículos 17, 18, 19 y 20 del Reglamento (UE) 2018/1725 y los artículos 14, 15 y 16 de la Directiva (UE) 2016/680, cualquier persona tendrá derecho a dirigirse personalmente a la autoridad competente de cualquier Estado miembro, que deberá examinar la solicitud y darle respuesta.
2. El Estado miembro que hubiere examinado dicha solicitud dará respuesta sin demora injustificada y en cualquier caso en un plazo de cuarenta y cinco días a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El Estado miembro que hubiere examinado dicha solicitud informará al interesado de cualquiera de dichas prórrogas en el plazo de cuarenta y cinco días a partir de la recepción de la solicitud, indicando los motivos de la dilación. Los Estados miembros podrán decidir que las respuestas sean facilitadas por las oficinas centrales.
3. Si se realiza una solicitud de rectificación o supresión de datos personales a un Estado miembro distinto del Estado miembro responsable de la verificación manual de identidades diferentes, el Estado miembro al que se haya realizado la solicitud contactará con las autoridades del Estado miembro responsable de la verificación manual de diferentes identidades en el plazo de siete días. El Estado miembro responsable de la verificación manual de diferentes identidades comprobará la exactitud de los datos y la legalidad de su tratamiento sin demora injustificada y en cualquier caso en el plazo de treinta días desde que se establezca el contacto. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El Estado miembro responsable de la verificación manual de las identidades diferentes informará al Estado miembro que se haya puesto en contacto con él de cualquier prórroga, así como de las razones que la han motivado. La persona interesada será informada por el Estado miembro que contactó a la autoridad del Estado miembro responsable de la verificación manual de las identidades diferentes acerca del procedimiento ulterior.
4. Si se realiza una solicitud de rectificación o supresión de datos personales a un Estado miembro en el que la unidad central SEIAV fue la responsable de la verificación manual de identidades diferentes, el Estado miembro al que se haya realizado la solicitud contactará por escrito en el plazo de siete días con la unidad central SEIAV y le pedirá que se pronuncie sin demora injustificada y en cualquier caso en el plazo de treinta días desde que se establezca el contacto. Dicho plazo podrá prorrogarse otros quince días en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. La persona interesada será informada por el Estado miembro que contactó a la unidad central SEIAV acerca del procedimiento ulterior.
5. Cuando, previo examen, se compruebe que los datos almacenados en el DIM son inexactos o han sido registrados ilegalmente, el Estado miembro responsable de la verificación manual de las diferentes identidades o, cuando ningún Estado miembro sea responsable de la verificación manual o cuando la unidad central SEIAV sea responsable de la verificación manual de las diferentes identidades, el Estado miembro al que se haya presentado la solicitud corregirá o eliminará esos datos sin demora injustificada. Se informará por escrito al interesado de que sus datos han sido rectificados o suprimidos.
6. Cuando un Estado miembro modifique los datos almacenados en el DIM durante su periodo de validez, dicho Estado miembro llevará a cabo el tratamiento establecido en el artículo 27 y, en su caso, el artículo 29, a fin de determinar si se vincularán los datos modificados. Cuando el tratamiento no dé lugar a ninguna correspondencia, dicho Estado miembro eliminará los datos del expediente de confirmación de identidad. Cuando el tratamiento automatizado dé lugar a una o varias correspondencias, dicho Estado miembro generará o actualizará el vínculo correspondiente de conformidad con las disposiciones pertinentes del presente Reglamento.
7. Cuando el Estado miembro responsable de la verificación manual de diferentes identidades o, cuando proceda, el Estado miembro al que se haya presentado la solicitud no admita que los datos registrados en el DIM son inexactos o han sido ilegalmente registrados, dicho Estado miembro adoptará una decisión administrativa, en la que expondrá por escrito a la persona interesada, sin demora, los motivos para no corregir o eliminar los datos sobre ella.
8. En tal decisión también se informará a la persona interesada de la posibilidad de impugnar la decisión adoptada respecto de la solicitud de acceso, rectificación, restricción de tratamiento o supresión de datos personales, y en su caso se informará sobre cómo interponer una acción judicial o presentar una reclamación ante las autoridades u órganos jurisdiccionales competentes y sobre cualquier tipo de asistencia, en particular de las autoridades nacionales de control.
9. Cualquier solicitud de acceso, rectificación, restricción de tratamiento o supresión de datos personales deberá contener la información necesaria para identificar a la persona en cuestión. Dicha información solo se utilizará para el ejercicio de los derechos recogidos en el presente artículo, tras lo cual se suprimirá inmediatamente.
10. El Estado miembro responsable de la verificación manual de diferentes identidades o, en su caso, el Estado miembro al que se haya realizado la solicitud dejará constancia por escrito de la presentación de una solicitud de acceso, rectificación, restricción de tratamiento o supresión de datos personales y del curso dado a la misma, y pondrá este documento sin demora a disposición de las autoridades nacionales de control.
11. El presente artículo se entiende sin perjuicio de las limitaciones y restricciones a los derechos en él recogidos que establecen el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680.
Artículo 49
Portal web
1. Se crea un portal web con el fin de facilitar el ejercicio de los derechos de acceso, rectificación, restricción de tratamiento o supresión de datos personales.
2. El portal web contendrá información sobre los derechos y procedimientos a que se refieren los artículos 46 y 47 y una interfaz de usuario que permita a las personas cuyos datos se tratan en el DIM y que han sido informadas de la presencia de un vínculo rojo con arreglo al artículo 32, apartado 4, recibir los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes.
3. Para obtener los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes, la persona cuyos datos se traten en el DIM debe introducir la referencia a la autoridad responsable de la verificación manual de las identidades diferentes a que se refiere el artículo 34, letra d). El portal web utilizará esta referencia para recuperar los datos de contacto de la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes. El portal web incluirá asimismo un modelo de correo electrónico para facilitar la comunicación entre el usuario del portal y la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes. Dicho correo electrónico incluirá un campo para el número de identificación único a que se refiere el artículo 34, letra c), con el fin de que la autoridad competente del Estado miembro responsable de la verificación manual de las identidades diferentes pueda identificar los datos de que se trate.
4. Los Estados miembros proporcionarán a eu-LISA los datos de contacto de todas las autoridades competentes para examinar y responder a cualquier solicitud contemplada en los artículos 46 y 47 y revisarán periódicamente si estos datos están actualizados.
5. eu-LISA desarrollará el portal web y garantizará su gestión técnica.
6. La Comisión adoptará un acto delegado con arreglo al artículo 69 para adoptar normas detalladas sobre el funcionamiento del portal web, en particular la interfaz de usuario, las lenguas en las que estará disponible el portal y el modelo de correo electrónico.
Artículo 50
Comunicación de datos personales a terceros países, organizaciones internacionales y particulares
Sin perjuicio del artículo 31 del Reglamento (CE) n.o 767/2008, los artículos 25 y 26 del Reglamento (UE) 2016/794, el artículo 41 del Reglamento (UE) 2017/2226 y el artículo 65 del Reglamento (UE) 2018/1240 y de la consulta de bases de datos de Interpol a través del PEB de conformidad con el artículo 9, apartado 5, del presente Reglamento que sean conformes a el capítulo V del Reglamento (UE) 2018/1725 y el capítulo V del Reglamento (UE) 2016/679, los datos personales almacenados en los componentes de interoperabilidad o tratados por ellos o a los que se acceda a través de esos componentes no se transmitirán ni se pondrán a disposición de terceros países, organizaciones internacionales ni entidades privadas.
Artículo 51
Control por parte de las autoridades de control
1. Cada Estado miembro velará por que las autoridades de control supervisen con independencia la legalidad del tratamiento de los datos personales en virtud del presente Reglamento por parte del Estado miembro de que se trate, incluida su transmisión a los componentes de interoperabilidad y desde ellos.
2. Los distintos Estados miembros velarán por que las disposiciones nacionales legislativas, reglamentarias y administrativas adoptadas en virtud de la Directiva (UE) 2016/680 se apliquen también, cuando proceda, al acceso a los componentes de interoperabilidad por parte de las autoridades policiales y de las autoridades designadas, también en relación con los derechos de las personas a cuyos datos se acceda de este modo.
3. Las autoridades de control velarán por que se lleve a cabo una auditoría de las operaciones de tratamiento de datos personales realizadas por las autoridades nacionales responsables para los fines del presente Reglamento, de conformidad con las normas internacionales de auditoría pertinentes, al menos cada cuatro años.
Las autoridades de control publicarán anualmente el número de solicitudes de rectificación o supresión de datos o de limitación del tratamiento de datos personales, las acciones emprendidas posteriormente y el número de rectificaciones, supresiones y limitaciones del tratamiento realizadas en respuesta a solicitudes de las personas afectadas.
4. Los Estados miembros garantizarán que sus autoridades de control dispongan de medios y conocimientos técnicos suficientes para desempeñar las tareas que les encomienda el presente Reglamento.
5. Los Estados miembros proporcionarán la información que les solicite cualquiera de las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 y, en particular, la información relativa a las actividades realizadas de conformidad con sus responsabilidades establecidas en el presente Reglamento. Los Estados miembros concederán a las autoridades de control a que se refiere el artículo 51, apartado 1, del Reglamento (UE) 2016/679 acceso a sus registros contemplados en los artículos 10, 16, 24 y 36 del presente Reglamento, así como a la justificación a que se refiere el artículo 22, apartado 2 del presente Reglamento, y les permitirán acceder en todo momento a todos sus locales utilizados con fines de interoperabilidad.
Artículo 52
Auditorías por parte del Supervisor Europeo de Protección de Datos
El Supervisor Europeo de Protección de Datos velará por que se lleve a cabo una auditoría de las operaciones de tratamiento de datos realizadas por eu-LISA, la unidad central SEIAV y Europol a efectos del presente Reglamento con arreglo a las normas internacionales de auditoría pertinentes, al menos cada cuatro años. Se enviará un informe de la auditoría al Parlamento Europeo, el Consejo, eu-LISA, la Comisión, los Estados miembros y la agencia de la Unión de que se trate. Se brindará a eu-LISA, a la unidad central SEIAV y a Europol la oportunidad de formular observaciones antes de la adopción de los informes.
eu-LISA, la unidad central SEIAV y Europol proporcionarán al Supervisor Europeo de Protección de Datos la información que les solicite, le dará acceso a todos los documentos y a los registros contemplados en los artículos 10, 16, 24 y 36 y le permitirán acceder a sus locales en todo momento.
Artículo 53
Cooperación entre las autoridades de control y el Supervisor Europeo de Protección de Datos
1. Las autoridades de control y el Supervisor Europeo de Protección de Datos, cada uno dentro del ámbito de sus competencias respectivas, cooperarán activamente en el marco de sus responsabilidades respectivas y garantizarán una supervisión coordinada del uso de los componentes de interoperabilidad y de la aplicación de otras disposiciones del presente Reglamento, en particular si el Supervisor Europeo de Protección de Datos o una autoridad nacional de control detectan discrepancias importantes entre las prácticas de los Estados miembros o transferencias potencialmente ilegales en la utilización de los canales de comunicación de los componentes de interoperabilidad.
2. En los casos contemplados en el apartado 1 del presente artículo, se velará por el control coordinado de conformidad con el artículo 62 del Reglamento (UE) 2018/1725.
3. El Comité Europeo de Protección de Datos remitirá un informe conjunto de sus actividades en virtud del presente artículo al Parlamento Europeo, el Consejo, la Comisión, Europol, la Agencia Europea de la Guardia de Fronteras y Costas y eu-LISA el 12 de junio de 2021 y cada dos años en lo sucesivo. Dicho informe incluirá un capítulo sobre cada Estado miembro, redactado por la autoridad de control del Estado miembro de que se trate.
CAPÍTULO VIII
Responsabilidades
Artículo 54
Responsabilidades de eu-LISA durante la fase de diseño y desarrollo
1. eu-LISA velará por que las infraestructuras centrales de los componentes de interoperabilidad funcionen de conformidad con el presente Reglamento.
2. Los componentes de interoperabilidad estarán alojados por eu-LISA en sus sitios técnicos y dispondrán de las funcionalidades establecidas en el presente Reglamento de conformidad con las condiciones de seguridad, disponibilidad, calidad y desempeño establecidas en el artículo 53, apartado 1.
3. eu-LISA será responsable del desarrollo de los componentes de interoperabilidad para todas las adaptaciones que exija la interoperabilidad de los sistemas centrales del SES, el VIS, el SEIAV, el SIS, Eurodac, el ECRIS-TCN, el PEB, el SCB compartido, el RCDI, el DIM y el RCIE.
Sin perjuicio del artículo 62, eu-LISA no tendrá acceso a ninguno de los datos personales tratados a través del PEB, el SCB compartido, el RCDI o el DIM.
eu-LISA definirá el diseño de la arquitectura física de los componentes de interoperabilidad, incluidas sus infraestructuras de comunicación y sus especificaciones técnicas, y su evolución en lo relativo a la infraestructura central y la infraestructura de comunicación segura, que será adoptado por el Consejo de Administración, previo dictamen favorable de la Comisión. eu-LISA realizará también cualquier adaptación necesaria del SIS, Eurodac o el ECRIS-TCN que se derive del establecimiento de la interoperatividad y que disponga el presente Reglamento.
eu-LISA desarrollará e implementará los componentes de interoperabilidad lo antes posible después de la entrada en vigor del presente Reglamento y la adopción por la Comisión de las medidas previstas en el artículo 8, apartado 2, el artículo 9, apartado 7, el artículo 28, apartados 5 y 6, el artículo 37, apartado 4, el artículo 38, apartado 4, el artículo 39, apartado 5, el artículo 43, apartado 5 y el artículo 74, apartado 10.
El desarrollo consistirá en la elaboración y aplicación de las especificaciones técnicas, los ensayos y la gestión y coordinación global del proyecto.
4. Durante la fase de diseño y desarrollo, se establecerá un comité de gestión del programa compuesto por un máximo de diez miembros. El comité estará compuesto por siete miembros designados por el Consejo de Administración de eu-LISA de entre sus miembros o sus suplentes, el presidente del grupo consultivo de interoperabilidad a que se refiere el artículo 71, un miembro representante de eu-LISA nombrado por su director ejecutivo y un miembro nombrado por la Comisión. Los miembros nombrados por el Consejo de Administración de eu-LISA solo podrán ser elegidos de entre los Estados miembros que estén plenamente obligados con arreglo al Derecho de la Unión por los instrumentos jurídicos reguladores del desarrollo, establecimiento, funcionamiento y uso de todos los sistemas de información de la Unión y que vayan a participar en los componentes de interoperabilidad.
5. El comité de gestión del programa se reunirá periódicamente y al menos tres veces por trimestre. Garantizará la gestión adecuada de la fase de diseño y desarrollo de los componentes de interoperabilidad.
El comité de gestión del programa presentará mensualmente al Consejo de Administración de eu-LISA informes por escrito sobre los progresos del proyecto. El comité de gestión del programa no tendrá competencias para adoptar decisiones ni mandato alguno de representación de los miembros del Consejo de Administración de eu-LISA.
6. El Consejo de Administración de eu-LISA establecerá el reglamento interno del comité de gestión del programa, que incluirá, en particular, normas relativas a:
a) |
la presidencia; |
b) |
los lugares de reunión; |
c) |
la preparación de las reuniones; |
d) |
la admisión de expertos a las reuniones; |
e) |
planes de comunicación que garanticen una información completa a los miembros del Consejo de Administración no participantes. |
La presidencia la ostentará un Estado miembro que esté plenamente obligado con arreglo a el Derecho de la Unión por los instrumentos jurídicos reguladores del desarrollo, establecimiento, funcionamiento y uso de todos los sistemas de información de la UE y que vaya a participar en los componentes de interoperabilidad.
Todos los gastos de viaje y dietas de los miembros del comité de gestión del programa serán abonados por la agencia, y el artículo 10 del Reglamento interno de eu-LISA se aplicará mutatis mutandis. eu-LISA realizará las labores de secretaría del comité de gestión del programa.
El grupo consultivo de interoperabilidad a que se refiere el artículo 71 se reunirá periódicamente hasta que los componentes de interoperabilidad entren en funcionamiento. Presentará un informe al comité de gestión del programa después de cada una de sus reuniones. Asimismo, aportará los conocimientos técnicos para llevar a cabo las tareas del comité de gestión del programa y realizará un seguimiento del estado de preparación de los Estados miembros.
Artículo 55
Responsabilidades de eu-LISA tras la entrada en funcionamiento
1. Tras la entrada en funcionamiento de cada componente de interoperabilidad, eu-LISA será responsable de la gestión técnica de la infraestructura central de los componentes de interoperabilidad, incluidos el mantenimiento y los avances tecnológicos. En cooperación con los Estados miembros, garantizará que se utilice la mejor tecnología disponible sobre la base de un análisis coste-beneficio. eu-LISA también será responsable de la gestión técnica y la seguridad de la infraestructura de comunicación a que se refieren los artículos 6, 12, 17, 25 y 39.
La gestión técnica de los componentes de interoperabilidad consistirá en todas las tareas y soluciones técnicas necesarias para mantenerlos en funcionamiento y prestando servicio ininterrumpidamente a los Estados miembros y a las agencias de la Unión durante las veinticuatro horas del día, siete días a la semana, de conformidad con el presente Reglamento y, en particular, en el trabajo de mantenimiento y los desarrollos técnicos necesarios para garantizar que los componentes funcionen con una calidad técnica de un nivel satisfactorio, en particular en lo que se refiere al tiempo de respuesta para la consulta de las infraestructuras centrales, de acuerdo con las características técnicas.
Todos los componentes de interoperabilidad se desarrollarán y gestionarán de modo que se garanticen un acceso rápido, ininterrumpido, eficiente y controlado y la plena disponibilidad ininterrumpida de los componentes y de los datos almacenados en el DIM, en el SCB compartido y en el RCDI, así como un tiempo de respuesta acorde con las necesidades operativas de las autoridades de los Estados miembros y las agencias de la Unión.
2. Sin perjuicio del artículo 17 del Estatuto de los funcionarios de la Unión Europea, eu-LISA aplicará las normas adecuadas sobre secreto profesional u otras obligaciones de confidencialidad equivalentes a todos los miembros de su personal que deban trabajar con los datos almacenados en los componentes de interoperabilidad. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.
Sin perjuicio del artículo 62, la agencia no tendrá acceso a ninguno de los datos personales tratados a través del PEB, el SCB compartido, el RCDI y el DIM.
3. eu-LISA desarrollará y mantendrá un mecanismo y procedimientos para realizar controles de calidad de los datos almacenados en el SCB compartido y el RCDI de conformidad con el artículo 37.
4. eu-LISA desempeñará las funciones relativas a la formación sobre la utilización técnica de los componentes de interoperabilidad.
Artículo 56
Responsabilidades de los Estados miembros
1. Cada Estado miembro será responsable de:
a) |
la conexión con la infraestructura de comunicación del PEB y el RCDI; |
b) |
la integración de los sistemas e infraestructuras nacionales existentes con el PEB, el RCDI y el DIM; |
c) |
la organización, la gestión, el funcionamiento y el mantenimiento de su infraestructura nacional existente y su conexión con los componentes de interoperabilidad; |
d) |
la gestión y las condiciones de acceso del personal debidamente autorizado de las autoridades nacionales competentes al PEB, el RCDI y el DIM, de conformidad con el presente Reglamento, y el establecimiento y la actualización periódica de la lista de dicho personal y sus perfiles; |
e) |
la adopción de las medidas legislativas a que se refiere el artículo 20, apartados 5 y 6, para acceder al RCDI a efectos de identificación; |
f) |
la verificación manual de diferentes identidades contemplada en el artículo 29; |
g) |
el cumplimiento de los requisitos de calidad de los datos determinados con arreglo al Derecho de la Unión; |
h) |
el pleno respeto de las normas de cada sistema de información de la UE, relativas a la seguridad e integridad de los datos personales; |
i) |
la corrección de las deficiencias detectadas en el informe de valoración de la Comisión sobre la calidad de los datos a que se refiere el artículo 37, apartado 5. |
2. Cada Estado miembro conectará a sus autoridades designadas con el RCDI.
Artículo 57
Responsabilidades de Europol
1. Europol garantizará el procesamiento de las consultas que se realicen por medio del PEB a los datos de Europol y adaptará en consecuencia su interfaz «Querying Europol Systems» (QUEST; consulta de los sistemas de Europol) para el nivel de protección básico (NPB) de datos.
2. Europol será responsable de la gestión de su personal debidamente autorizado y de la organización del uso y acceso de ese personal al PEB y el RCDI, de conformidad con el presente Reglamento, así como de la creación y actualización periódica de un listado de dicho personal y de sus perfiles.
Artículo 58
Responsabilidades de la unidad central SEIAV
La unidad central SEIAV será responsable de:
a) |
la verificación manual de identidades diferentes contemplada en el artículo 29; |
b) |
la detección de identidades múltiples entre los datos almacenados en el SES, el VIS, Eurodac y el SIS, contemplada en el artículo 65. |
CAPÍTULO IX
Modificaciones de otros instrumentos de la Unión
Artículo 59
Modificaciones del Reglamento (UE) 2018/1726
El Reglamento (UE) 2018/1726 se modifica como sigue:
1) |
El artículo 12 se sustituye por el texto siguiente: «Artículo 12 Calidad de los datos 1. Sin perjuicio de la responsabilidad de los Estados miembros en relación con los datos introducidos en los sistemas cuyo funcionamiento es responsabilidad de eu-LISA, eu-LISA, en estrecha colaboración con sus grupos consultivos, establecerá, para todos los sistemas cuyo funcionamiento es responsabilidad de la Agencia, mecanismos y procedimientos automatizados de control de la calidad de los datos, indicadores comunes de calidad de los datos y normas de calidad mínimas relativas al almacenamiento de los datos, de conformidad con las disposiciones pertinentes de los instrumentos jurídicos de los sistemas del artículo 37 del Reglamento (UE) 2019/817 (*1) y (UE) 2019/818 (*2) del Parlamento Europeo y del Consejo. 2. eu-LISA establecerá un repositorio central, que contenga únicamente datos anonimizados, de informes y estadísticas de conformidad con el artículo 39 del Reglamento (UE) 2019/817 y (UE) 2019/818 sujeto a las disposiciones específicas de los instrumentos jurídicos que rigen el desarrollo, establecimiento, funcionamiento y uso de todos los sistemas informáticos de gran magnitud gestionados por la Agencia. (*1) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de fronteras y visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo (DO L 135 de 22.5.2019, p. 27)." (*2) Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad entre los sistemas de información de la UE en el ámbito de cooperación policial y judicial, asilo y migración y por el que se modifica el Reglamento (UE) n.o 603/2013, el Reglamento (UE) 2018/1862, el Reglamento (UE) 2019/816 y el Reglamento (UE) 2018/1726 (DO L 135 de 22.5.2019, p. 85).»." |
2) |
El artículo 19, apartado 1, se modifica como sigue:
|
3) |
En el artículo 22, el apartado 4 se sustituye por el texto siguiente: «4. Europol y Eurojust podrán asistir a las reuniones del Consejo de Administración en calidad de observadores siempre que figure en el orden del día una cuestión relativa al SIS II relacionada con la aplicación de la Decisión 2007/533/JAI. La Agencia Europea de la Guardia de Fronteras y Costas podrá asistir a las reuniones del Consejo de Administración en calidad de observadora siempre que figure en el orden del día una cuestión relativa al SIS en relación con la aplicación del Reglamento (UE) 2016/1624. Europol también podrá asistir a las reuniones del Consejo de Administración en calidad de observador siempre que en el orden del día figure una cuestión relativa al VIS relacionada con la aplicación de la Decisión 2008/633/JAI o una cuestión relativa a Eurodac relacionada con la aplicación del Reglamento (UE) n.o 603/2013. Europol también podrá asistir a las reuniones del Consejo de Administración en calidad de observador siempre que en el orden del día figure una cuestión relativa al SES en relación con la aplicación del Reglamento (UE) 2017/2226 o una cuestión relativa al SEIAV en relación con la aplicación del Reglamento (UE) 2018/1240. La Agencia Europea de la Guardia de Fronteras y Costas también podrá asistir a las reuniones del Consejo de Administración en calidad de observadora cuando en el orden del día figure una cuestión relativa al SEIAV en relación con la aplicación del Reglamento (UE) 2018/1240. Eurojust, Europol y la Fiscalía Europea también podrán asistir a las reuniones del Consejo de Administración en calidad de observadores siempre que en el orden del día figure una cuestión relativa al Reglamento (UE) 2019/816. Europol, Eurojust y la Agencia Europea de la Guardia de Fronteras y Costas también podrán asistir a las reuniones del Consejo de Administración siempre que en el orden del día figure una cuestión relativa a los Reglamento (UE) 2019/817 y (UE) 2019/818. El Consejo de Administración podrá invitar a cualquier otra persona, cuya opinión pueda ser de interés, a asistir a las reuniones en calidad de observador.». |
4) |
En el artículo 24, apartado 3, la letra p) se sustituye por el texto siguiente:
|
5) |
En el artículo 23, el apartado 3 se modifica como sigue:
|
Artículo 60
Modificaciones del Reglamento (UE) 2018/1862
El Reglamento (UE) 2018/1862 queda modificado como sigue:
1) |
En el artículo 3, se añaden los puntos siguientes: «18) “PEB”: el portal europeo de búsqueda creado mediante el artículo 6, apartado 1, del Reglamento (UE) 2019/818 (*6); 19) «SCB compartido»: el servicio de correspondencia biométrica compartido creado mediante el artículo 12, apartado 1, del Reglamento (UE) 2019/818; 20) «RCDI»: el registro común de datos de identidad creado mediante el artículo 17, apartado 1, del Reglamento (UE) 2019/818; 21) «DIM»: el detector de identidades múltiples creado mediante el artículo 25, apartado 1, del Reglamento (UE) 2019/818. (*6) Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad entre los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, asilo y migración y por el que se modifican los Reglamentos (UE) 2018/1726, (UE) 2018/1862 y (UE) 2019/816 (DO L 135 de 22.5.2019, p. 85).»." |
2) |
El artículo 4 se modifica como sigue:
|
3) |
En el artículo 7, se inserta el apartado siguiente: «2 bis. Las oficinas Sirene garantizarán asimismo la verificación manual de identidades diferentes, de conformidad con el artículo 29 del Reglamento (UE) 2019/818. En la medida en que sea necesario para llevar a cabo esta tarea, las oficinas Sirene tendrán acceso a la consulta de los datos almacenados en el RCDI y el DIM para los fines establecidos en los artículos 21 y 26 del Reglamento (UE) 2019/818.». |
4) |
En el artículo 12, apartado 1, se inserta el párrafo siguiente: «Los Estados miembros velarán por que todo acceso a datos personales a través del PEB también quede registrado, con el fin de que se pueda controlar la legalidad de la consulta, supervisar la legalidad del tratamiento de datos, proceder a un control interno y garantizar la integridad y seguridad de los datos.». |
5) |
En el artículo 44, apartado 1, se añade la letra siguiente:
|
6) |
En el artículo 74, el apartado 7 se sustituye por el texto siguiente: «7. A efectos del artículo 15, apartado 4, y de los apartados 3, 4 y 6 del presente artículo la Agencia almacenará los datos a que se refiere el artículo 15, apartado 4 y el apartado 3 del presente artículo, que no permitirán la identificación de los individuos en el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/818. eu-LISA autorizará a la Comisión y a los organismos a que se refiere el apartado 6 del presente artículo a obtener informes y estadísticas personalizadas. Previa solicitud, eu-LISA dará acceso al repositorio central para informes y estadísticas, de conformidad con el artículo 39 del Reglamento (UE) 2019/818, a los Estados miembros, la Comisión, Europol y la Agencia Europea de la Guardia de Fronteras y Costas.». |
Artículo 61
Modificaciones del Reglamento (UE) 2019/816
El Reglamento (UE) 2019/816 queda modificado como sigue:
1) |
En el artículo 1, se añade la letra siguiente:
(*7) Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, asilo y migración y por el que se modifican los Reglamentos (UE) 2018/1726, (UE) 2018/1862 y (UE) 2019/816 (DO L 135 de 22.5.2019, p. 85).»." |
2) |
El artículo 2 se sustituye por el texto siguiente: «Artículo 2 Ámbito de aplicación El presente Reglamento se aplica al tratamiento de datos de identidad de los nacionales de terceros países que hayan sido objeto de condenas en los Estados miembros con el fin de identificar a los Estados miembros en los que se hayan pronunciado las condenas. A excepción del artículo 5, apartado 1, letra b) inciso ii), las disposiciones del presente Reglamento que se aplican a los nacionales de terceros países se aplican también a los ciudadanos de la Unión que tienen también la nacionalidad de un tercer país y que hayan sido objeto de condenas en los Estados miembros. El presente Reglamento también contribuye a facilitar y ayudar a la correcta identificación de las personas con arreglo al presente Reglamento y al Reglamento (UE) 2019/818.». |
3) |
El artículo 3 se modifica como sigue:
|
4) |
El artículo 4, apartado 1, se modifica como sigue:
|
5) |
El artículo 5 se modifica como sigue:
|
6) |
En el artículo 8 se modifica como sigue:
|
7) |
El artículo 9, apartado 9 se modifica como sigue:
|
8) |
En el artículo 10, apartado 1, se suprime la letra j). |
9) |
En el artículo 12, apartado 2, las palabras «el Sistema Central» se sustituyen por las palabras «el Sistema Central y el RCDI». |
10) |
En el artículo 13, apartado 2, las palabras «el Sistema Central» se sustituyen por las palabras «el Sistema Central y el RCDI». |
11) |
En el artículo 23, apartado 2, las palabras «el Sistema Central» se sustituyen por las palabras «el Sistema Central y el RCDI». |
12) |
El artículo 24 se modifica como sigue:
|
13) |
En el artículo 32, el apartado 2 se sustituye por el texto siguiente: «2. A los efectos del apartado 1 del presente artículo, eu-LISA almacenará los datos a los que se refiere el apartado 1 en el repositorio central de informes y estadísticas a que se refiere el artículo 39 del Reglamento (UE) 2019/818.». |
14) |
En el artículo 33, apartado 1, las palabras «el Sistema Central» se sustituyen por las palabras «el Sistema Central, el RCDI y». |
15) |
En el artículo 41, el apartado 2 se sustituye por el texto siguiente: «2. Para condenas pronunciadas antes de la fecha de introducción de los datos de acuerdo con el artículo 35, apartado 1, las autoridades centrales crearán los registros de datos individuales en el sistema central y en el RCDI de la siguiente forma:
|
CAPÍTULO X
Disposiciones finales
Artículo 62
Presentación de informes y estadísticas
1. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrán acceso a consultar, únicamente a efectos de la presentación de informes y estadísticas, el número de consultas por usuario del perfil del PEB.
No será posible identificar individuos a partir de los datos.
2. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrá acceso a la consulta de los datos siguientes en relación con el RCDI, únicamente a efectos de la presentación de informes y estadísticas:
a) |
número de consultas a los efectos de los artículos 20, 21 y 22; |
b) |
nacionalidad, género y año de nacimiento de la persona; |
c) |
tipo de documento de viaje y código de tres letras del país de expedición; |
d) |
número de búsquedas realizadas con y sin datos biométricos. |
No será posible identificar individuos a partir de los datos.
3. El personal debidamente autorizado de las autoridades competentes de los Estados miembros, la Comisión y eu-LISA tendrá acceso a la consulta de los datos siguientes en relación con el DIM, únicamente a efectos de la presentación de informes y estadísticas y sin que ello le otorgue competencias para la identificación individual:
a) |
número de búsquedas realizadas con y sin datos biométricos; |
b) |
número de cada tipo de vínculo y los sistemas de información de la UE que contienen datos vinculados; |
c) |
periodo durante el que se ha mantenido un vínculo amarillo o rojo en el sistema. |
No será posible identificar individuos a partir de los datos.
4. El personal debidamente autorizado de la Agencia Europea de la Guardia de Fronteras y Costas tendrá acceso a la consulta de los datos a que se refieren los apartados 1, 2 y 3 del presente artículo con el fin de llevar a cabo los análisis de riesgos y la evaluación de la vulnerabilidad a que se hace referencia en los artículos 11 y 13 del Reglamento (UE) 2016/1624 del Parlamento Europeo y del Consejo (38).
5. El personal debidamente autorizado de Europol tendrá acceso a la consulta de los datos a que se refieren los apartados 2 y 3 del presente artículo con el fin de llevar a cabo los análisis estratégicos, temáticos y operativos a que se hace referencia en el artículo 18, apartado 2, letras b) y c), del Reglamento (UE) 2016/794.
6. A los efectos de los apartados 1, 2 y 3 del presente artículo, eu-LISA almacenará los datos a los que se refieren dichos apartados en el RCIE. No será posible identificar individuos a partir de los datos contenidos en el RCIE, pero los datos permitirán a las autoridades enumeradas en los apartados 1, 2 y 3 la elaboración de informes y estadísticas personalizados para mejorar la eficiencia de los controles fronterizos, para ayudar a las autoridades a tramitar las solicitudes de visado y para respaldar la elaboración de políticas basadas en pruebas en el ámbito de la migración y la seguridad en la Unión.
7. Previa solicitud, la Comisión pondrá a disposición de la Agencia de los Derechos Fundamentales de la Unión Europea la información pertinente a fin de evaluar las repercusiones del presente Reglamento en los derechos fundamentales.
Artículo 63
Periodo transitorio para la utilización del portal europeo de búsqueda
1. Durante un periodo de dos años a partir de la fecha en que el PEB entre en funcionamiento, no serán de aplicación las obligaciones a que se refiere el artículo 7, apartados 2 y 4, y la utilización del PEB será facultativa.
2. La Comisión estará facultada para adoptar actos delegados, con arreglo al artículo 69 a fin de modificar el presente Reglamento prorrogando una vez el periodo a que se hace referencia en el apartado 1 del presente artículo por un periodo no superior a un año si una evaluación de la aplicación práctica del PEB muestra que es necesaria tal prórroga especialmente debido a las repercusiones de la introducción del PEB en la organización y la duración de los controles fronterizos.
Artículo 64
Periodo transitorio aplicable a las disposiciones sobre el acceso al registro común de datos de identidad con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves
El artículo 22 será de aplicación a partir de la fecha de entrada en funcionamiento del RCDI a que se refiere el artículo 68, apartado 3.
Artículo 65
Periodo transitorio para el detector de identidades múltiples
1. Durante un periodo de un año tras la notificación por parte de eu-LISA de la realización del ensayo al que se hace referencia en el artículo 68, apartado 4, letra b), relativo al DIM y antes de la entrada en funcionamiento del DIM, la unidad central SEIAV a que se refiere el artículo 33, letra a), del Reglamento (UE) 2016/1624 se encargará de efectuar una detección de identidades múltiples entre los datos almacenados en el SES, el VIS, Eurodac y el SIS. Las detecciones de identidades múltiples se llevarán a cabo utilizando solamente datos biométricos, de conformidad con el artículo 27, apartado 2, del presente Reglamento.
2. Cuando la consulta dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados sean los mismos o similares, se creará un vínculo blanco de conformidad con el artículo 33.
Cuando la consulta dé lugar a una o varias correspondencias y los datos de identidad de los expedientes vinculados no puedan considerarse similares, se creará un vínculo amarillo de conformidad con el artículo 30 y será de aplicación el procedimiento a que se refiere el artículo 29.
Cuando se registren varias correspondencias, se creará un vínculo a cada uno de los datos que hayan dado lugar a una correspondencia.
3. Cuando se cree un vínculo amarillo, el DIM concederá a la unidad central SEIAV acceso a los datos de identidad presentes en los distintos sistemas de información.
4. Cuando se cree un vínculo a una descripción en el SIS, distinta de una descripción de denegación de entrada o retorno o una descripción relativa a un documento de viaje declarado perdido, robado o invalidado de conformidad con el artículo 3 del Reglamento (UE) 2018/1860, los artículos 24 y 25 del Reglamento (UE) 2018/1861 y el artículo 38 del Reglamento (UE) 2018/1862 respectivamente, el DIM concederá a la oficina Sirene del Estado miembro que haya creado la descripción acceso a los datos de identidad presentes en los distintos sistemas de información.
5. La unidad central SEIAV o la oficina Sirene del Estado miembro que haya creado la descripción tendrán acceso a los datos contenidos en el expediente de confirmación de identidad, evaluarán las diferentes identidades y actualizarán el vínculo con arreglo a los artículos 31, 32 y 33 y lo añadirán al expediente de confirmación de identidad.
6. La unidad central SEIAV notificará a la Comisión de conformidad con el artículo 67, apartado 3, únicamente una vez que se hayan verificado todos los vínculos amarillos y se hayan actualizado como vínculos verdes, blancos o rojos.
7. Los Estados miembros prestarán asistencia, cuando sea necesario, a la unidad central SEIAV en la detección de identidades múltiples a que se refiere el presente artículo.
8. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 69 a fin de prorrogar el periodo a que se refiere el apartado 1 por seis meses, renovables dos veces por seis meses cada vez. Esta prórroga se concederá únicamente si una evaluación del tiempo estimado para la finalización de la detección de identidades múltiples a que se hace referencia en el presente artículo, que demuestre que la detección de identidades múltiples no se puede llevar a cabo antes del vencimiento de la fecha límite a que se hace referencia en el apartado 1 del presente artículo o de la fecha de las dos primeras prórrogas, por razones ajenas a la unidad central SEIAV y que no pueden aplicarse medidas de corrección. La evaluación se llevará a cabo a más tardar tres meses antes de la expiración de dicho período o la prórroga vigente del mismo.
Artículo 66
Costes
1. Los costes en que se incurra en relación con la creación y funcionamiento del PEB, el SCB compartido, el RCDI y el DIM correrán a cargo del presupuesto general de la Unión.
2. Los costes en que se incurra en relación con la integración de las infraestructuras nacionales existentes y su conexión a las interfaces nacionales uniformes, así como en relación con el alojamiento de las interfaces nacionales uniformes, correrán a cargo del presupuesto general de la Unión.
Quedan excluidos los costes siguientes:
a) |
la oficina de gestión del proyecto de los Estados miembros (reuniones, misiones, despachos); |
b) |
el alojamiento de los sistemas informáticos nacionales (espacio, ejecución, electricidad, refrigeración); |
c) |
el funcionamiento de los sistemas informáticos nacionales (operadores y contratos de apoyo); |
d) |
el diseño, el desarrollo, la implementación, la explotación y el mantenimiento de las redes de comunicación nacionales. |
3. Sin perjuicio de que se destinen más fondos a este propósito a partir de otras fuentes del presupuesto general de la Unión, se movilizará un importe de 32 077 000 EUR de la partida de 791 000 000 EUR prevista en el artículo 5, apartado 5, letra b), del Reglamento (UE) n.o 515/2014 para cubrir los costes de aplicación del presente Reglamento, según lo previsto en los apartados 1 y 2 del presente artículo.
4. De la partida mencionada en el apartado 3, 22 861 000 EUR se asignarán a eu-LISA, 9 072 000 se asignarán a Europol y 144 000 EUR, a la Agencia de la Unión Europea para la Formación Policial (CEPOL) con miras a brindar apoyo a estas agencias en la ejecución de sus tareas respectivas en consonancia con los requisitos del presente Reglamento. Tal financiación se ejecutará en régimen de gestión indirecta.
5. Los costes en que incurran las autoridades designadas correrán a cargo del Estado miembro que las designe, respectivamente. Los costes generados por la conexión de las autoridades designadas al RCDI correrán a cargo de cada Estado miembro.
Los costes en que incurra Europol, incluida la conexión al RCDI, correrán a cargo de Europol.
Artículo 67
Notificaciones
1. Los Estados miembros notificarán a eu-LISA las autoridades a que se refieren los artículos 7, 20, 21 y 26 que podrán utilizar el PEB, el RCDI y el DIM o tener acceso a ellos, respectivamente.
La lista consolidada de dichas autoridades se publicará en el Diario Oficial de la Unión Europea en un plazo de tres meses a partir de la fecha en que cada componente de interoperabilidad entre en funcionamiento, de conformidad con el artículo 68. Cuando se modifique dicha lista, eu-LISA publicará una lista consolidada actualizada una vez al año.
2. eu-LISA notificará a la Comisión la realización satisfactoria de los ensayos mencionados en el artículo 68, letras b), de los apartados 1 a 6.
3. eu-LISA notificará a la Comisión la realización satisfactoria de la medida transitoria establecida en el artículo 65.
4. La Comisión pondrá a disposición de los Estados miembros y del público, mediante un sitio web público constantemente actualizado, la información notificada de conformidad con el apartado 1.
Artículo 68
Entrada en funcionamiento
1. La Comisión determinará la fecha a partir de la que el PEB debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 8, apartado 2; el artículo 9, apartado 7, y el artículo 43, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del PEB, que eu-LISA debe llevar a cabo en cooperación con los Estados miembros y las agencias de la Unión que pueden utilizar el PEB; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 8, apartado 1, y las haya notificado a la Comisión. |
El PEB solo podrá consultar las bases de datos de Interpol cuando las disposiciones técnicas permitan cumplir con el artículo 9, apartado 5. La imposibilidad de cumplir con el artículo 9, apartado 5 tendrá como resultado que el PEB no consulte las bases de datos de Interpol, pero no retrasará la entrada en funcionamiento del PEB.
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
2. La Comisión determinará la fecha a partir de la que el SCB compartido debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas contempladas en el artículo 13, apartado 5, y en el artículo 43, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del SCB compartido, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refieren el artículo 13 y las haya notificado a la Comisión; |
d) |
que eu-LISA haya declarado la realización satisfactoria del ensayo mencionado en el apartado 1 quinquies, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
3. La Comisión determinará la fecha a partir de la que el RCDI debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas contempladas en el artículo 43, apartado 5, y en el artículo 74, apartado 10; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del RCDI, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 18 y las haya notificado a la Comisión; |
d) |
que eu-LISA haya declarado la realización satisfactoria del ensayo mencionado en el apartado 1 quinquies, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
4. La Comisión determinará la fecha a partir de la que el DIM debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se cumplan las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 28, apartados 5 y 7, el artículo 32, apartado 5, el artículo 33, apartado 6, el artículo 43, apartado 5, y el artículo 49, apartado 6; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del DIM, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros y la unidad central SEIAV; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 34 y las haya notificado a la Comisión; |
d) |
que la unidad central SEIAV haya notificado a la Comisión de acuerdo con el artículo 67, apartado 3, a la Comisión; |
e) |
que eu-LISA haya declarado la realización satisfactoria de los ensayos mencionados en los apartados 1, letra b), 2, letra b), 3, letra b), y 5, letra b). |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
5. La Comisión establecerá mediante un acto de ejecución la fecha a partir de la que deben utilizarse los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos, una vez que se hayan cumplido las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refiere el artículo 37, apartado 4; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global de los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad de los datos, que eu-LISA ha llevado a cabo en cooperación con las autoridades de los Estados miembros. |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
6. La Comisión determinará la fecha a partir de la que el RCIE debe entrar en funcionamiento, mediante un acto de ejecución y una vez que se hayan cumplido las condiciones siguientes:
a) |
que se hayan adoptado las medidas a que se refieren el artículo 39, apartado 5, y el artículo 44, apartado 5; |
b) |
que eu-LISA haya declarado la realización satisfactoria de un ensayo global del RCIE, que ha llevado a cabo en cooperación con las autoridades de los Estados miembros; |
c) |
que eu-LISA haya validado las disposiciones legales y técnicas necesarias para recoger y transmitir los datos a que se refiere el artículo 39 y las haya notificado a la Comisión. |
La Comisión establecerá que la fecha a que se refiere el párrafo primero sea en un plazo de treinta días a partir de la adopción del acto de ejecución.
7. La Comisión informará al Parlamento Europeo y al Consejo de los resultados del ensayo realizado de conformidad con las letras b) de los apartados 1 a 6.
8. Los Estados miembros, la unidad central SEIAV y Europol comenzarán a utilizar cada uno de los componentes de interoperabilidad a partir de la fecha determinada por la Comisión de conformidad con los apartados 1, 2, 3 y 4 respectivamente.
Artículo 69
Ejercicio de la delegación
1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.
2. Los poderes para adoptar los actos delegados mencionados en el artículo 28, apartado 5, en el artículo 39, apartado 5, en el artículo 49, apartado 6, en el artículo 63, apartado 2, y en el artículo 65, apartado 8, se otorgan a la Comisión por un periodo de cinco años a partir del 11 de junio de 2019. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el periodo de cinco años. La delegación de poderes se prorrogará tácitamente por periodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada periodo.
3. La delegación de poderes mencionada en el artículo 28, apartado 5, en el artículo 39, apartado 5, en el artículo 49, apartado 6, en el artículo 63, apartado 2, y en el artículo 65, apartado 8, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto al día siguiente de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en la misma. No afectará a la validez de los actos delegados que ya estén en vigor.
4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional sobre la mejora de la legislación de 13 de abril de 2016.
5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.
6. Los actos delegados adoptados en virtud de los artículos 28, apartado 5, 39, apartado 5, 49, apartado 6, 63, apartado 2, y 65, apartado 8, entrarán en vigor únicamente si, en un plazo de dos meses desde su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.
Artículo 70
Procedimiento de comité
1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.o 182/2011.
2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.o 182/2011.
Si el comité no emite un dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.o 182/2011.
Artículo 71
Grupo consultivo
eu-LISA creará un grupo consultivo de interoperabilidad. Durante la fase de diseño y desarrollo de los componentes de interoperabilidad, se aplicará el artículo 54, apartados 4, 5 y 6.
Artículo 72
Formación
eu-LISA desempeñará las funciones relacionadas con la formación sobre el uso técnico de los componentes de interoperabilidad, de conformidad con el Reglamento (UE) n.o 1077/2011.
Las autoridades de los Estados miembros y las agencias de la Unión proporcionarán a su personal autorizado a usar los datos de los componentes de interoperabilidad programas de formación adecuados sobre seguridad de datos, calidad de datos, normas de protección de datos, procedimientos aplicables al tratamiento de datos y la obligación de informar con arreglo a los artículos 32, apartado 4, 33, apartado 4 y 47.
Cuando proceda, se organizarán cursos de formación comunes sobre estos temas a escala de la Unión para reforzar la cooperación y el intercambio de las mejores prácticas entre el personal de los Estados miembros y las agencias de la Unión autorizadas a tratar datos de los componentes de interoperabilidad. Debe prestarse especial atención al proceso de detección de identidades múltiples, incluida la verificación manual de identidades diferentes y la necesidad concomitante de mantener salvaguardias apropiadas de los derechos fundamentales.
Artículo 73
Manual práctico
La Comisión, en estrecha cooperación con los Estados miembros, eu-LISA y otras agencias pertinentes de la Unión, publicará un manual práctico de aplicación y gestión de los componentes de interoperabilidad. El manual práctico proporcionará orientaciones técnicas y operativas, recomendaciones y mejores prácticas. La Comisión adoptará el manual práctico en forma de recomendación.
Artículo 74
Supervisión y valoración
1. eu-LISA se asegurará de que se establezcan procedimientos para llevar a cabo la supervisión del desarrollo de los componentes de interoperabilidad y de su conexión a la interfaz nacional uniforme a la luz de los objetivos en materia de planificación y costes, y de su funcionamiento a la luz de los objetivos en materia de resultados técnicos, rentabilidad, seguridad y calidad del servicio.
2. A más tardar el 12 de diciembre de 2019, y posteriormente cada seis meses durante la fase de desarrollo de los componentes de interoperabilidad, eu-LISA presentará un informe al Parlamento Europeo y al Consejo sobre el estado de desarrollo de los componentes de interoperabilidad y de su conexión a la interfaz nacional uniforme. Una vez finalizado el desarrollo, se presentará un informe al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han conseguido los objetivos, en particular en lo relativo a la planificación y los costes, y se justifique toda divergencia.
3. Cuatro años después de la entrada en funcionamiento de cada componente de interoperabilidad de conformidad con el artículo 68 y, posteriormente, cada cuatro años, eu-LISA presentará al Parlamento Europeo, al Consejo y a la Comisión un informe sobre el funcionamiento técnico de los componentes de interoperabilidad, incluida su seguridad.
4. Además, un año después de cada informe de eu-LISA, la Comisión realizará una valoración global de los componentes de interoperabilidad, que incluirá:
a) |
una evaluación de la aplicación del presente Reglamento; |
b) |
un examen de los resultados alcanzados en comparación con los objetivos del presente Reglamento y de su repercusión sobre los derechos fundamentales, en particular sobre los efectos de los componentes de interoperabilidad para el derecho a la no discriminación; |
c) |
una evaluación del funcionamiento del portal web, incluidas las cifras relativas al uso del portal web y el número de solicitudes resueltas; |
d) |
una evaluación de la vigencia de los motivos que fundamentan los componentes de interoperabilidad; |
e) |
una evaluación de la seguridad de los componentes de interoperabilidad; |
f) |
una evaluación del uso del RCDI con fines de identificación; |
g) |
una evaluación del uso del RCDI con fines de prevención, detección o investigación de delitos de terrorismo u otros delitos graves; |
h) |
una evaluación de las consecuencias, incluida cualquier repercusión desproporcionada, en el flujo de tráfico en los pasos fronterizos y de aquellas consecuencias que tengan incidencia en el presupuesto de la Unión; |
i) |
una evaluación de la búsqueda en bases de datos de Interpol a través del PEB, con información sobre el número de correspondencias obtenidas con las bases de datos de Interpol y sobre los problemas detectados. |
Las valoraciones globales incluirán todas las recomendaciones necesarias. La Comisión remitirá el informe de valoración al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea.
5. A más tardar el 12 de junio de 2020 y posteriormente cada año hasta que se adopten los actos de ejecución de la Comisión a que se refiere el artículo 68, la Comisión presentará un informe al Parlamento Europeo y al Consejo sobre el estado de los preparativos para la plena aplicación del presente Reglamento. Dicho informe contendrá también información pormenorizada sobre los costes soportados y sobre los riesgos que puedan afectar a los costes globales.
6. Dos años después de que entre en funcionamiento el DIM de conformidad con el artículo 68, apartado 4, la Comisión llevará a cabo un examen de los efectos del DIM sobre el derecho a la no discriminación dos años después de que el DIM entre en funcionamiento. Tras este primer informe, el examen de los efectos del DIM sobre el derecho a la no discriminación formará parte del examen a que se hace referencia en el apartado 4, letra b) del presente artículo.
7. Los Estados miembros y Europol proporcionarán a eu-LISA y a la Comisión la información necesaria para elaborar los informes a que se refieren los apartados 3 a 6. Esta información no deberá nunca poner en riesgo los métodos de trabajo ni incluir datos que revelen fuentes, miembros del personal o investigaciones de las autoridades designadas.
8. eu-LISA facilitará a la Comisión la información necesaria para realizar las valoraciones a que se refiere el apartado 4.
9. Con pleno respeto de las disposiciones del Derecho nacional en materia de publicación de información sensible y sin perjuicio de las limitaciones necesarias para proteger la seguridad y el orden público, prevenir la delincuencia y garantizar que ninguna investigación nacional corra peligro, cada Estado miembro y Europol prepararán informes anuales sobre la eficacia del acceso a los datos almacenados en el RCDI con fines de prevención, detección o investigación de los delitos de terrorismo u otros delitos graves, que comprenderán información y estadísticas sobre:
a) |
la finalidad exacta de la consulta, incluido el tipo de delito de terrorismo u otros delitos graves; |
b) |
los motivos razonables alegados para la sospecha fundada de que el sospechoso, el autor o la víctima están cubiertos por el Reglamento (UE) n.o 603/2013; |
c) |
el número de solicitudes de acceso al RCDI con fines de prevención, detección o investigación de delitos de terrorismo o de otros delitos graves; |
d) |
el número y tipo de casos que hayan arrojado identificaciones positivas; |
e) |
la necesidad y la utilización del recurso excepcional de urgencia, incluyendo aquellos casos en los que la urgencia no fue aceptada por la verificación efectuada a posteriori por el punto de acceso central. |
Los informes anuales de los Estados miembros y de Europol se remitirán a la Comisión antes del 30 de junio del año siguiente.
10. Se pondrá a disposición de los Estados miembros una solución técnica con el fin de gestionar las solicitudes de acceso de los usuarios a que se hace referencia en el artículo 22 y de facilitar la recopilación de información con arreglo a los apartados 7 y 9 del presente artículo a efectos de la generación de informes y estadísticas contemplados en dichos apartados. La Comisión adoptará actos de ejecución para establecer las especificaciones de las soluciones técnicas. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 70, apartado 2.
Artículo 75
Entrada en vigor y aplicación
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Las disposiciones del presente Reglamento en relación con el PEB, se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 1.
Las disposiciones del presente Reglamento en relación con el SCB compartido se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 2.
Las disposiciones del presente Reglamento en relación con el RCDI se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 3.
Las disposiciones del presente Reglamento en relación con el DIM se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 4.
Las disposiciones del presente Reglamento relativas a los mecanismos y procedimientos automatizados de control de calidad de los datos, los indicadores comunes de calidad de los datos y las normas mínimas de calidad se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 5.
Las disposiciones del presente Reglamento relativas al RCIE se aplicarán a partir de la fecha determinada por la Comisión de conformidad con el artículo 68, apartado 6.
Los artículos 6, 12, 17, 25, 38, 42, 54, 56, 58, 66, 67, 69, 70, 71, 73 y 74, apartado 1, se aplicarán a partir del 11 de junio de 2019.
El presente Reglamento se aplicará respecto de Eurodac a partir de la fecha en que sea aplicable el texto refundido del Reglamento (UE) n.o 603/2013.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.
Hecho en Bruselas, el 20 de mayo de 2019.
Por el Parlamento Europeo
El Presidente
A. TAJANI
Por el Consejo
El Presidente
G. CIAMBA
(1) DO C 283 de, 10.8.2018, p. 48.
(2) Posición del Parlamento Europeo de 16 de abril de 2019 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 14 de mayo de 2019.
(3) DO C 101 de 16.3.2018, p. 116.
(4) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).
(5) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).
(6) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).
(7) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
(8) Reglamento (UE) 2018/1860 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, sobre la utilización del Sistema de Información de Schengen para el retorno de nacionales de terceros países en situación irregular (DO L 312 de 7.12.2018, p. 1).
(9) Reglamento (UE) 2018/1861 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de las inspecciones fronterizas, por el que se modifica el Convenio de aplicación del Acuerdo de Schengen y se modifica y deroga el Reglamento (CE) n.o 1987/2006 (DO L 312 de 7.12.2018, p. 14).
(10) Reglamento (UE) 2018/1862 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de la cooperación policial y de la cooperación judicial en materia penal, por el que se modifica y deroga la Decisión 2007/533/JAI del Consejo, y se derogan el Reglamento (CE) n.o 1986/2006 del Parlamento Europeo y del Consejo y la Decisión 2010/261/UE de la Comisión (DO L 312 de 7.12.2018, p. 56).
(11) Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, por el que se establece un sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas Penales (ECRIS-TCN) a fin de complementar el Sistema Europeo de Información de Antecedentes Penales, y por el que se modifica el Reglamento (UE) 2018/1726 (véase la página 1 del presente Diario Oficial).
(12) Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).
(13) DO C 233 de 4.7.2018, p. 12.
(14) Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 y (UE) n.o 283/2014 y la Decisión n.o 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.o 966/2012 (DO L 193 de 30.7.2018, p. 1).
(15) Reglamento (UE) n.o 515/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014, por el que se establece, como parte del Fondo de Seguridad Interior, el instrumento de apoyo financiero a las fronteras exteriores y los visados y por el que se deroga la Decisión 574/2007/CE (DO L 150 de 20.5.2014, p. 143).
(16) DO L 123, de 12.5.2016, p. 1.
(17) Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).
(18) Directiva 2004/38/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004, relativa al derecho de los ciudadanos de la Unión y de los miembros de sus familias a circular y residir libremente en el territorio de los Estados miembros, por la que se modifica el Reglamento (CEE) n.o 1612/68 y se derogan las Directivas 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE y 93/96/CEE (DO L 158 de 30.4.2004, p. 77).
(19) Decisión 2000/365/CE del Consejo de 29 de mayo de 2000 sobre la solicitud del Reino Unido de Gran Bretaña e Irlanda del Norte de participar en algunas de las disposiciones del acervo de Schengen (DO L 131 de 1.6.2000, p. 43).
(20) Decisión 2002/192/CE del Consejo, de 28 de febrero de 2002, sobre la solicitud de Irlanda de participar en algunas de las disposiciones del acervo de Schengen (DO L 64 de 7.3.2002, p. 20).
(21) DO L 176 de 10.7.1999, p. 36.
(22) Decisión 1999/437/CE del Consejo, de 17 de mayo de 1999, relativa a determinadas normas de desarrollo del Acuerdo celebrado por el Consejo de la Unión Europea con la República de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del Acervo de Schengen (DO L 176 de 10.7.1999, p. 31).
(23) DO L 53 de 27.2.2008, p. 52.
(24) Decisión 2008/149/JAI del Consejo, de 28 de enero de 2008, relativa a la celebración, en nombre de la Unión Europea, del Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen (DO L 53 de 27.2.2008, p. 50).
(25) DO L 160, de 18.6.2011, p. 21.
(26) Decisión 2011/350/UE del Consejo, de 7 de marzo de 2011, relativa a la celebración, en nombre de la Unión Europea, del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen, sobre la supresión de controles en las fronteras internas y la circulación de personas (DO L 160 de 18.6.2011, p. 19).
(27) Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), y por el que se modifican el Reglamento (CE) n.o 1987/2006 y la Decisión 2007/533/JAI del Consejo y se deroga el Reglamento (UE) n.o 1077/2011 (DO L 295 de 21.11.2018, p. 99).
(28) Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de las fronteras y los visados y por el que se modifican los Reglamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 y (UE) 2018/1861 del Parlamento Europeo y del Consejo, y las Decisiones 2004/512/CE y 2008/633/JAI del Consejo (véase la página 27 del presente Diario Oficial).
(29) Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, por el que se establece un Código de normas de la Unión para el cruce de personas por las fronteras (Código de fronteras Schengen) (DO L 77 de 23.3.2016, p. 1).
(30) Reglamento (UE) 2017/2226 del Parlamento Europeo y el Consejo, de 30 de noviembre de 2017, por el que se establece un Sistema de Entradas y Salidas (SES) para registrar los datos de entrada y salida y de denegación de entrada relativos a nacionales de terceros países que crucen las fronteras exteriores de los Estados miembros, se determinan las condiciones de acceso al SES con fines policiales y se modifican el Convenio de aplicación del Acuerdo de Schengen y los Reglamentos (CE) n.o 767/2008 y (UE) n.o 1077/2011 (Reglamento SES) (DO L 327 de 9.12.2017, p. 20).
(31) Decisión 2008/633/JAI del Consejo, de 23 de junio de 2008, sobre el acceso para consultar el Sistema de Información de Visados (VIS) por las autoridades designadas de los Estados miembros y por Europol, con fines de prevención, detección e investigación de delitos de terrorismo y otros delitos graves (Decisión 2008/633/JAI del Consejo, de 23 de junio de 2008, sobre el acceso para consultar el Sistema de Información de Visados (VIS) por las autoridades designadas de los Estados miembros y por Europol, con fines de prevención, detección e investigación de delitos de terrorismo y otros delitos graves (DO L 218 de 13.8.2008, p. 129).
(32) Reglamento (UE) 2018/1240 del Parlamento Europeo y del Consejo, de 12 de septiembre de 2018, por el que se establece un Sistema Europeo de Información y Autorización de Viajes (SEIAV) y por el que se modifican los Reglamentos (UE) n.o 1077/2011, (UE) n.o 515/2014, (UE) 2016/399, (UE) 2016/1624 y (UE) 2017/2226 (DO L 236 de 19.9.2018, p. 1).
(33) Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo y por la que se sustituye la Decisión Marco 2002/475/JAI del Consejo y se modifica la Decisión 2005/671/JAI del Consejo (DO L 88 de 31.3.2017, p. 6).
(34) Decisión Marco 2002/584/JAI del Consejo, de 13 de junio de 2002, relativa a la orden de detención europea y a los procedimientos de entrega entre Estados miembros (DO L 190 de 18.7.2002, p. 1).
(35) Reglamento CE n.o 767/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, sobre el Sistema de Información de Visados (VIS) y el intercambio de datos sobre visados de corta duración entre los Estados miembros (Reglamento VIS) (DO L 218 de 13.8.2008, p. 60).
(36) Reglamento (UE) n.o 603/2013 del Parlamento Europeo y del Consejo, de 26 de junio de 2013, relativo a la creación del sistema «Eurodac» para la comparación de las impresiones dactilares para la aplicación efectiva del Reglamento (UE) n.o 604/2013, por el que se establecen los criterios y mecanismos de determinación del Estado miembro responsable del examen de una solicitud de protección internacional presentada en uno de los Estados miembros por un nacional de un tercer país o un apátrida, y a las solicitudes de comparación con los datos de Eurodac presentadas por los servicios de seguridad de los Estados miembros y Europol a efectos de aplicación de la ley, y por el que se modifica el Reglamento (UE) n.o1 1077/2011, por el que se crea una Agencia europea para la gestión operativa de sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia (DO L 180 de 29.6.2013, p. 1).
(37) Reglamento (CE) n.o 168/2007 del Consejo, de 15 de febrero de 2007, por el que se crea una Agencia de los Derechos Fundamentales de la Unión Europea (DO L 53 de 22.2.2007, p. 1).
(38) Reglamento (UE) 2016/1624 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2016, sobre la Guardia Europea de Fronteras y Costas, por el que se modifica el Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo y por el que se derogan el Reglamento (CE) n.o 863/2007 del Parlamento Europeo y del Consejo, el Reglamento (CE) n.o 2007/2004 del Consejo y la Decisión 2005/267/CE del Consejo (DO L 251 de 16.9.2016, p. 1).