KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/627,

annettu 15 päivänä huhtikuuta 2021,

Euroopan matkustustieto- ja -lupajärjestelmään (ETIAS) liittyvien tietojenkäsittelytoimenpiteiden kirjaamista lokeihin ja niihin pääsyä koskevien sääntöjen vahvistamisesta Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1240 mukaisesti

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon Euroopan matkustustieto- ja -lupajärjestelmän (ETIAS) perustamisesta ja asetusten (EU) N:o 1077/2011, (EU) N:o 515/2014, (EU) 2016/399, (EU) 2016/1624 ja (EU) 2017/2226 muuttamisesta 12 päivänä syyskuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1240 (1) ja erityisesti sen 73 artiklan 3 kohdan kolmannen alakohdan b alakohdan iii alakohdan,

sekä katsoo seuraavaa:

(1)	Asetuksella (EU) 2018/1240 perustetaan Euroopan matkustustieto- ja -lupajärjestelmä (ETIAS) niitä kolmansien maiden kansalaisia varten, jotka on vapautettu vaatimuksesta, jonka mukaan heillä on oltava viisumi jäsenvaltioiden alueelle tuloa ja siellä oleskelua varten.

(2)	Euroopan matkustustieto- ja -lupajärjestelmän toiminta edellyttää ETIAS-tietojärjestelmän kehittämistä ja teknistä täytäntöönpanoa. Järjestelmän on tarkoitus sisältää lokitiedot kaikista toteutetuista tietojenkäsittelytoimenpiteistä.

(3)	On tarpeen vahvistaa säännöt, jotka koskevat toimenpiteiden kirjaamista lokeihin ja niihin pääsyä. Lokitietoja olisi käytettävä ainoastaan tietojenkäsittelyvelvoitteiden noudattamisen todentamiseen ja operatiivisten henkilötietojen eheyden ja turvallisuuden varmistamiseen.

(4)

Toimenpiteiden lokeihin kirjaamisen osalta on tarpeen täsmentää paikka, jossa lokitietoja on tarkoitus säilyttää, tietojen tekninen kirjaustapa, myös silloin kun tiedot ovat peräisin Euroopan matkustustieto- ja -lupajärjestelmän eri osista, sekä säännöt, joita sovelletaan lokitietojen poistamiseen säilyttämisaikojen päättyessä.

(5)

Lokitietoihin pääsyn osalta on tarpeen täsmentää toimivaltaiset viranomaiset ja tapauksen mukaan näissä viranomaisissa olevat henkilöt, joille olisi myönnettävä pääsy lokitietoihin, sekä ne tarkoitukset, joita varten lokitietoihin voidaan myöntää pääsy. Sen varmistamiseksi, että toimivaltaiset viranomaiset voivat hoitaa tehtäviään, joiden tarkoituksena on valvoa tietojenkäsittelyn luvallisuutta ja varmistaa tietotuvallisuus ja tietojen eheys, lokitietojen tunnistamista olisi helpotettava tehokkaan hakutoiminnon avulla.

(6)

Lokitiedot, jotka koskevat kunkin jäsenvaltion kansallisten viranomaisten asianmukaisesti valtuutetun henkilöstön ja unionin virastojen asianmukaisesti valtuutetun henkilöstön pääsyä järjestelmän tietoihin asetuksen (EU) 2018/1240 13 artiklan 4 a kohdassa mainittuja tarkoituksia varten, olisi kirjattava asetuksen (EU) 2019/817 24 artiklan 2 ja 3 kohdassa vahvistettujen vaatimusten mukaisesti.

(7)

Vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava Euroopan unionin virasto (eu-LISA) vastaa ETIAS-tietojärjestelmän suunnittelu- ja kehittämisvaiheesta. Vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavan Euroopan unionin viraston olisi tässä päätöksessä vahvistettujen toimenpiteiden avulla voitava määrittää Euroopan matkustustieto- ja -lupajärjestelmän fyysinen arkkitehtuuri, johon kuuluu myös järjestelmän viestintäinfrastruktuuri, ja järjestelmän tekniset eritelmät sekä kehittää Euroopan matkustustieto- ja -lupajärjestelmää. Vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavan Euroopan unionin viraston olisi täydennettävä näitä toimenpiteitä Euroopan matkustustieto- ja -lupajärjestelmän teknisillä eritelmillä ja rajapinnan määrittelyasiakirjalla.

(8)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistunut asetuksen (EU) 2018/1240 hyväksymiseen, asetus ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska asetuksella (EU) 2018/1240 kehitetään Schengenin säännöstöä, Tanska ilmoitti kuitenkin mainitun pöytäkirjan 4 artiklan mukaisesti 21 päivänä joulukuuta 2018 päätöksestään saattaa asetus (EU) 2018/1240 osaksi kansallista lainsäädäntöään.

(9)	Tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joihin Irlanti ei osallistu neuvoston päätöksen 2002/192/EY (2) mukaisesti; Irlanti ei sen vuoksi osallistu tämän päätöksen hyväksymiseen, päätös ei sido Irlantia eikä sitä sovelleta Irlantiin.

(10)

Islannin ja Norjan osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa näiden kahden valtion osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (3) ja jotka kuuluvat neuvoston päätöksen 1999/437/EY (4) 1 artiklan A kohdassa tarkoitettuun alaan.

(11)

Sveitsin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (5) ja jotka kuuluvat neuvoston päätöksen 1999/437/EY 1 artiklan A kohdassa, luettuna yhdessä neuvoston päätöksen 2008/146/EY (6) 3 artiklan kanssa, tarkoitettuun alaan.

(12)

Liechtensteinin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (7) ja jotka kuuluvat neuvoston päätöksen 1999/437/EY 1 artiklan A kohdassa, luettuna yhdessä neuvoston päätöksen 2011/350/EU (8) 3 artiklan kanssa, tarkoitettuun alaan.

(13)

Kyproksen, Bulgarian ja Romanian sekä Kroatian osalta tämä päätös on vuoden 2003 liittymisasiakirjan 3 artiklan 1 kohdassa, vuoden 2005 liittymisasiakirjan 4 artiklan 1 kohdassa ja vuoden 2011 liittymisasiakirjan 4 artiklan 1 kohdassa tarkoitettu Schengenin säännöstöön perustuva tai muuten siihen liittyvä säädös.

(14)	Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (9) 42 artiklan 1 kohdan mukaisesti, ja tämä on antanut lausunnon 4 päivänä syyskuuta 2020.

(15)	Tässä päätöksessä säädetyt toimenpiteet ovat älykkäitä rajoja käsittelevän komitean (ETIAS) lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Tietojenkäsittelytoimenpiteiden kirjaaminen lokiin

1. Kaikkia ETIAS-tietojärjestelmässä toteutettuja tietojenkäsittelytoimenpiteitä koskevat lokitiedot, jotka on säilytettävä asetuksen (EU) 2018/1240 69 artiklan 1 kohdan mukaisesti ja joihin sisältyvät asetuksen 45 artiklan 7 kohdassa tarkoitettua liikenteenharjoittajien pääsyä, asetuksen (EU) 2018/1240 69 artiklan 3 kohdassa tarkoitettua raja- ja maahanmuuttoviranomaisten pääsyä ja asetuksen (EU) 2018/1240 70 artiklan 1 kohdassa tarkoitettua keskusyhteyspisteiden pääsyä koskevat lokitiedot, kirjaa ja tallentaa ETIAS-keskusjärjestelmään vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava Euroopan unionin virasto.

2. Kukin tietojenkäsittelytoimenpide ETIAS-tietojärjestelmässä kirjataan lokiin erikseen.

Lokitiedossa on erillinen kenttä, jonka avulla voidaan tunnistaa suoritettuun toimenpiteeseen liittyvät tiedot.

3. Lokitietoon kirjataan kunkin tietojenkäsittelyntoimenpiteen kellonaika ja päivämäärä (aikaleima).

4. Kukin lokitieto sisältää sekä viranomaisen että sen virkamiehen tai henkilöstön jäsenen yksilöllisen tunnisteen, joka tutustuu ETIAS-keskusjärjestelmään tallennettuihin tietoihin tai muuttaa tai poistaa niitä.

5. ETIAS-keskusjärjestelmä poistaa lokitiedot päivittäin noudattaen asetuksen (EU) 2018/1240 45 artiklan 7 kohdassa, 69 artiklan 4 kohdassa ja 70 artiklan 4 kohdassa tarkoitettuja säilyttämisaikoja.

Aikaleiman avulla tunnistetaan ne lokitiedot, jotka on poistettava kunkin lokityypin säilyttämisajan päättyessä.

2 artikla

Pääsy tietojenkäsittelytoimenpiteitä koskeviin lokitietoihin

1. Pääsy lokitietoihin, joita vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava Euroopan unionin virasto säilyttää asetuksen (EU) 2018/1240 nojalla, on ainoastaan seuraavilla:

vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavan Euroopan unionin viraston asianmukaisesti valtuutetut ETIAS-järjestelmän hallinnoijat sekä tietosuojavastaava asetuksen (EU) 2018/1240 58 artiklan 2 kohdassa mainittuja tarkoituksia ja erityisesti kyseisen asetuksen 69 artiklan 4 kohdan noudattamisen varmistamista varten;

Euroopan raja- ja merivartioviraston asianmukaisesti valtuutettu henkilöstö ja tietosuojavastaava asetuksen (EU) 2018/1240 7 artiklan 2 kohdan e alakohdassa ja 61 artiklassa mainittuja tarkoituksia sekä tietojenkäsittelyn lainmukaisuuden, tietojen eheyden ja tietoturvallisuuden varmistamista varten;

c)	kansallisten ETIAS-yksiköiden asianmukaisesti valtuutettu henkilöstö ja tietosuojavastaavat 57 artiklan 2 kohdassa mainittuja tarkoituksia varten.

2. Euroopan tietosuojavaltuutettu ja asetuksen (EU) 2018/1240 66 ja 67 artiklassa tarkoitettuja valvontatehtäviä hoitavat toimivaltaiset kansalliset valvontaviranomaiset voivat tutustua lokitietoihin esittämällä asiaa koskevan pyynnön joko vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavalle Euroopan unionin virastolle tai kansalliselle ETIAS-yksikölle (kansallisille ETIAS-yksiköille).

3. ETIAS-keskusjärjestelmään 1 artiklan mukaisesti kirjattuihin lokitietoihin ja erillisiin kenttiin voidaan tehdä hakuja ainakin kirjaajan, tietoihin tutustumisen päivämäärän ja käsittelytoimenpiteen tyypin perusteella.

4. Asetuksen (EU) 2018/1240 45 artiklan 5 ja 7 kohdan soveltamiseksi vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava Euroopan unionin virasto voi siirtää lokitietoja kansallisille ETIAS-yksiköille silloin kun se on tarpeen kyseisen artiklan soveltamisesta johtuvan riidan ratkaisemiseksi edellyttäen, että seuraavat edellytykset täyttyvät:

a)	asianomainen kansallinen ETIAS-yksikkö on esittänyt kyseisiä lokitietoja koskevan perustellun pyynnön asetuksen 57 artiklan 1 kohdan ensimmäisessä virkkeessä rekisterinpitäjäksi katsotulle Euroopan raja- ja merivartiovirastolle;

b)	Euroopan raja- ja merivartiovirasto on tarkistanut ja hyväksynyt pyynnön.

5. Edellä olevan 1 kohdan mukaisesti tapahtuvaa lokitietoihin pääsyä koskevat lokitiedot voidaan jäljittää ainakin kirjaajan tai tietoihin tutustumisen päivämäärän mukaan.

6. Edellä olevan 1 kohdan mukaisesti tapahtuvaa lokitietoihin pääsyä koskeviin lokitietoihin voidaan tehdä hakuja ainakin kirjaajan, tietoihin tutustumisen päivämäärän ja käsittelytoimenpiteen tyypin perusteella.

3 artikla

Voimaantulo

Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 15 päivänä huhtikuuta 2021.

Komission puolesta

Puheenjohtaja

Ursula VON DER LEYEN

(1) EUVL L 236, 19.9.2018, s. 1.

(2) Neuvoston päätös 2002/192/EY, tehty 28 päivänä helmikuuta 2002, Irlannin pyynnöstä saada osallistua joihinkin Schengenin säännöstön määräyksiin (EYVL L 64, 7.3.2002, s. 20).

(3) EYVL L 176, 10.7.1999, s. 36.

(4) Neuvoston päätös 1999/437/EY, tehty 17 päivänä toukokuuta 1999, tietyistä Euroopan unionin neuvoston, Islannin tasavallan ja Norjan kuningaskunnan välillä näiden kahden valtion osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyn sopimuksen yksityiskohtaisista soveltamissäännöistä (EYVL L 176, 10.7.1999, s. 31).

(5) EUVL L 53, 27.2.2008, s. 52.

(6) Neuvoston päätös 2008/146/EY, tehty 28 päivänä tammikuuta 2008, Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisen, Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen koskevan sopimuksen tekemisestä Euroopan yhteisön puolesta (EUVL L 53, 27.2.2008, s. 1).

(7) EUVL L 160, 18.6.2011, s. 21.

(8) Neuvoston päätös 2011/350/EU, annettu 7 päivänä maaliskuuta 2011, Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen, joka koskee Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen, Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välillä tehtävän pöytäkirjan tekemisestä Euroopan unionin puolesta, siltä osin kuin kyse on tarkastusten poistamisesta sisärajoilta ja henkilöiden liikkumisesta rajojen yli (EUVL L 160, 18.6.2011, s. 19).

(9) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).