«Apêndice 3

Procedimento de aprovação e autorização dos operadores independentes para aceder aos elementos de segurança dos veículos (*5)

1.   Âmbito de aplicação

O presente apêndice contém os requisitos de aprovação e autorização dos operadores independentes que solicitem o acesso às informações relativas à reparação e manutenção de veículos relacionadas com a segurança (IRM).

Especifica em pormenor os processos e os organismos necessários para a aprovação e autorização dos operadores independentes e dos seus empregados, para que lhes seja concedido acesso às informações relativas à reparação e manutenção de veículos relacionadas com a segurança no que diz respeito aos veículos ligeiros de passageiros e comerciais e aos veículos pesados.

2.   Definições e abreviaturas

2.1.   Definições

Para efeitos do presente apêndice, entende-se por:

2.1.1.   «Acreditação»

«acreditação», a acreditação na aceção do artigo 2.o, ponto 10, do Regulamento (CE) n.o 765/2008

2.1.2.   «empregado do OI»

«empregado do OI», o empregado de um operador independente (OI) aprovado que, mediante autorização do seu organismo de avaliação da conformidade (CAB), terá acesso às IRM relacionadas com a segurança.

2.1.3.   «Informações relativas à reparação e manutenção relacionadas com a segurança» ou «IRM relacionadas com a segurança»

«informações relativas à reparação e manutenção relacionadas com a segurança» ou «IRM relacionadas com a segurança», as informações, o software, as funções e os serviços necessários para reparar e manter as características incluídas no veículo pelo fabricante, a fim de impedir que o veículo seja roubado ou desviado e permitir que o veículo seja rastreado e recuperado.

2.1.4.   «Certificado de inspeção de aprovação»

«certificado de inspeção de aprovação», o certificado emitido pelo CAB aos OI que cumpram os critérios de aprovação estabelecidos no presente apêndice e que confirma que esses OI estão aprovados e que os empregados dos OI podem solicitar autorização para aceder às IRM relacionadas com a segurança.

2.1.5.   «Certificado de inspeção de autorização»

«certificado de inspeção de autorização», o certificado emitido pelo CAB aos empregados do OI que cumpram os critérios de autorização estabelecidos no presente apêndice e que confirma que esses empregados estão autorizados a aceder às IRM relacionadas com a segurança no sítio Web de um fabricante de veículos.

2.1.6.   «Centro de confiança» ou «CC»

«centro de confiança» ou «CC», o organismo designado pelo SERMI e aprovado pela Comissão, responsável por:

a)	gerir os certificados digitais e o estatuto de autorização dos empregados do OI e fornecer ao CAB as fichas de segurança e os certificados digitais necessários para os empregados autorizados do OI;

b)	fornecer a um fabricante de veículos informações sobre o estatuto de autorização de um empregado do OI.

2.1.7.   «Ficha de segurança»

«ficha de segurança», um dispositivo que permite a autenticação segura de um OI.

2.1.8.   «Certificado digital»

«certificado digital», um certificado digital que exige uma assinatura digital do centro de confiança emitente para vincular uma chave pública à identidade do empregado do OI, em conformidade com a norma ISO 9594.

2.1.9.   «Base de dados de autorização»

«base de dados de autorização», uma base de dados mantida pelo centro de confiança e que contém os dados de autorização dos empregados do OI autorizados e anonimizados, bem como o registo dos OI aprovados.

2.1.10.   «Base de dados de certificação»

«base de dados de certificação», uma base de dados mantida pelo centro de confiança para gerir a validade dos certificados digitais e os identificadores dos empregados autorizados do OI.

2.1.11.   «Cooperação Europeia para a Acreditação» ou «EA»

«Cooperação Europeia para a Acreditação» ou «EA», o organismo reconhecido pela Comissão nos termos do artigo 14.o do Regulamento (CE) n.o 765/2008 e responsável pelo desenvolvimento, manutenção e implementação da acreditação na União.

2.1.12.   «Forum for Access to Security-Related Vehicle RMI» ou «SERMI»

«Forum for Access to Security-Related Vehicle RMI» (Fórum para o acesso às IRM de veículos relacionadas com a segurança) ou «SERMI», a entidade responsável pela coordenação e aconselhamento da Comissão sobre a implementação dos procedimentos de acreditação, aprovação e autorização para efeitos de acesso às IRM relacionadas com a segurança.

2.1.13.   «Autoridades competentes»

«autoridades competentes», as autoridades públicas com um mandato legal para agir no domínio da proteção, investigação e ação penal em matéria de segurança dos veículos.

3.   Acreditação dos organismos de avaliação da conformidade (CAB), aprovação dos OI e autorização dos empregados dos OI

Apenas os CAB acreditados pelo organismo nacional de acreditação (ONA), tal como definido no artigo 2.o, n.o 11, do Regulamento (CE) n.o 765/2008, do Estado-Membro em que estão estabelecidos podem emitir certificados de inspeção que atestem que um OI foi aprovado e certificados de inspeção de autorização que atestem que um empregado do OI tem direito a aceder às IRM relacionadas com a segurança.

A aprovação do OI e a autorização do empregado do OI são concedidas por um período de 60 meses a contar da data de emissão dos respetivos certificados de inspeção.

Os OI que pretendam receber IRM relacionadas com a segurança devem obter um certificado de inspeção de aprovação de um CAB acreditado pelo ONA do Estado-Membro em que o OI está estabelecido.

Os empregados do OI responsáveis pela gestão das IRM relacionadas com a segurança devem obter um certificado de inspeção de autorização junto de um CAB acreditado pelo ONA do Estado-Membro de residência do empregado do OI.

Os CAB devem informar os CC de quaisquer certificados de inspeção de aprovação ou certificados de inspeção de autorização emitidos, mediante os quais os CC devem criar um registo de autorização e emitir uma ficha de segurança e um certificado digital contendo informações que permitam a identificação inequívoca dos empregados do OI no sítio de IRM do fabricante dos veículos. Os CAB devem facultar aos empregados do OI uma ficha de segurança e o certificado digital.

Os fabricantes de veículos podem exigir uma taxa pelo registo dos empregados do OI nos sítios Web de IRM desses fabricantes de veículos e pelo acesso às IRM relacionadas com a segurança. Essa taxa deve ser proporcional ao custo desse registo e do acesso. As taxas devidas devem ser especificadas nos sítios Web de IRM dos fabricantes de veículos. Todas as transferências de dados digitais entre OI, CC e CAB devem ser efetuadas através de transações entre empresas (B2B), utilizando protocolos seguros e em tempo útil.

O OI que solicita uma autorização ao CAB deve assinar uma declaração que certifique que exerce uma atividade empresarial legítima, tal como referido no ponto 6.3 do presente anexo. Um OI só será aprovado após uma inspeção do CAB, que verificará se esta declaração foi assinada e avaliará se o OI e os seus empregados cumprem os requisitos estabelecidos no presente apêndice.

Cada um dos empregados do OI só será autorizado após uma inspeção por um organismo de avaliação da conformidade. Os CAB devem verificar os documentos apresentados e verificar se o empregado do OI em causa apresentou um pedido de autorização anterior que tenha sido rejeitado pelo respetivo CAB ou por qualquer outro organismo de avaliação da conformidade a nível da União.

Os organismos de avaliação da conformidade devem enviar ao CC todos os dados necessários para que este emita o certificado digital e a ficha de segurança que o CAB deve enviar aos empregados do OI.

Os empregados do OI que tenham sido autorizados devem receber dos seus CAB o PIN associado ao certificado digital.

3.1.   Síntese do acesso às IRM relacionadas com a segurança

Os fabricantes de veículos devem facultar o acesso às IRM relacionadas com a segurança através do seu sítio Web, desde que os empregados do OI estejam autorizados e possam apresentar o certificado de inspeção de autorização e que o OI em cujo nome os empregados trabalham disponha de um certificado de inspeção de aprovação.

Os fabricantes podem oferecer aos empregados de OI autorizados que trabalhem para OI aprovados o acesso a um sistema de encomenda em linha de peças relacionadas com a segurança, através de uma aplicação especializada ligada ao sítio de IRM.

Após a receção de um pedido de acesso a um sítio de IRM, os sítios Web dos fabricantes de veículos devem ser identificados pelo identificador único do empregado do OI e solicitar a autenticação. A autenticação dos empregados do OI deve ser efetuada exclusivamente através de certificados digitais. Após a receção de um certificado digital, os sítios de IRM do fabricante de veículos devem verificar o identificador único do empregado do OI e o estatuto atual do certificado digital e da autorização, comunicando com o CC identificado no certificado digital.

Todas as transferências de dados digitais entre OI, fabricantes de veículos, CC e CAB devem ser efetuadas através de transações entre empresas (B2B), utilizando protocolos seguros e em tempo útil. Após a verificação do identificador único e do estatuto de autorização do empregado do OI, o fabricante do veículo deve facultar o acesso no seu sítio Web às necessárias IRM relacionadas com a segurança.

4.   Regras pormenorizadas para o acesso às IRM relacionadas com a segurança

4.1.   O papel do SERMI

4.1.1.   Responsabilidades e obrigações

O SERMI monitoriza a execução do processo de acreditação em todos os Estados-Membros e informa a Comissão em conformidade. O SERMI aconselha a Comissão sobre os pedidos de alteração do processo de acreditação.

a)	o SERMI aconselha a Comissão sobre os pedidos de alteração do processo de acreditação. O SERMI monitoriza a execução do processo de acreditação em todos os Estados-Membros e informa a Comissão em conformidade;

b)	o SERMI deve consultar a Comissão sobre a criação dos critérios de seleção dos CC;

c)	o SERMI aconselha a Comissão sobre a introdução de orientações de execução técnica para a interação entre as entidades envolvidas no processo;

d)	o SERMI deve respeitar as regras da EA em matéria de propriedade do regime;

e)	os membros do SERMI são representados pelas partes interessadas envolvidas no processo de acreditação, aprovação e autorização para efeitos de acesso às IRM relacionadas com a segurança.

4.1.2.   Seleção dos centros de confiança

O CC é selecionado pelo SERMI e notificado à Comissão para aprovação.

O CC selecionado deve cumprir a norma ETSI TS 319 411-3 e satisfazer os requisitos em matéria de assinaturas eletrónicas estabelecidos no Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (*6), assim como os requisitos estabelecidos no ponto 4.6 do presente apêndice.

Além disso, o centro de confiança deve:

—	dispor das competências técnicas e de gestão, bem como da viabilidade financeira e experiência pertinentes para o processo de acreditação;

—	dispor de pessoal-chave com as competências, a experiência e a disponibilidade necessárias para o processo de acreditação;

—	ter capacidade para operar em todos os Estados-Membros;

—	dispor de um processo de garantia da qualidade a nível operacional.

4.2.   O papel dos ONA

O ONA é responsável pela acreditação dos organismos de avaliação da conformidade para efeitos de aprovação dos OI e de autorização de acesso dos empregados dos OI às IRM relacionadas com a segurança.

4.2.1.   Responsabilidades e requisitos

As responsabilidades e os requisitos dos ONA estão estabelecidos nos artigos 8.o a 12.o do Regulamento (CE) n.o 765/2008.

4.2.2.   Critérios para a acreditação dos organismos de avaliação da conformidade

Os CAB devem ser acreditados como organismos de inspeção de tipo A, em conformidade com a norma ISO/IEC 17020:2012. Os CAB devem cumprir os requisitos relativos ao mais elevado nível de independência.

Além disso, o ONA deve avaliar a capacidade dos CAB para cumprirem os requisitos estabelecidos nos pontos 4.3.1 a 4.3.4.

O pessoal responsável pelas inspeções dos OI deve possuir um nível de conhecimentos do setor da reparação e manutenção de veículos automóveis e das especificidades do mercado pós-venda de automóveis que seja adequado às tarefas que desempenha.

4.3.   O papel dos CAB

O CAB é responsável pela inspeção dos OI e dos respetivos empregados, bem como pela emissão dos certificados de inspeção de aprovação e autorização em conformidade com o presente apêndice, bem como pela revogação desses certificados.

4.3.1.   Responsabilidades e requisitos

a)	os CAB devem conservar os dados apresentados para aprovação de um OI;

b)	os CAB devem estabelecer um canal de comunicação seguro com o CC e transmitir os resultados da inspeção ao CC, com vista à emissão da ficha de segurança com um certificado digital;

c)	os CAB devem notificar os empregados dos OI seis meses antes do termo da sua autorização;

d)	os CAB devem manter uma base de dados com os dados apresentados para a autorização dos empregados dos OI;

e)	os CAB que recusem a aprovação de um OI ou a autorização de um empregado de um OI devem comunicar ao CC os resultados das inspeções relativas a esse OI ou a esse empregado;

f)	os CAB devem recolher e utilizar apenas os dados necessários para o processo de aprovação ou de autorização;

g)	os CAB devem manter a confidencialidade de todos os dados relativos ao OI e aos seus empregados e garantir que apenas os empregados autorizados tenham acesso a esses dados;

h)	uma vez por ano os CAB devem fornecer ao SERMI e à Comissão estatísticas sobre o número de aprovações e autorizações emitidas, bem como sobre o número de recusas;

i)	os CAB devem conservar registos seguros das inspeções de aprovação e autorização durante um período de cinco anos;

j)	os CAB devem informar todos os outros CAB do Estado-Membro em que se encontram estabelecidos sobre os resultados negativos das inspeções a um OI;

k)

os OI e os empregados de OI que tenham recebido um resultado de inspeção negativo podem fornecer ao CAB, no prazo de 15 dias úteis a contar da receção do resultado negativo da inspeção, informações adicionais para corrigir deficiências menores. Os CAB devem, por conseguinte, determinar se o resultado da inspeção deve ser alterado;

l)	os CAB devem notificar os OI seis meses antes do termo da sua aprovação;

m)	os CAB devem realizar inspeções no local aleatórias e sem aviso prévio aos OI, no prazo de 60 meses de validade da aprovação, e submeter cada OI aprovado a pelo menos uma inspeção aleatória no local, durante o período de validade da aprovação de 60 meses;

n)

com base numa queixa contra um OI aprovado ou um empregado de OI autorizado, os CAB devem verificar se o OI ou o empregado em causa cumprem os critérios com base nos quais foram aprovados ou autorizados, respetivamente. Durante a sua investigação, o CAB deve determinar se é necessária uma inspeção no local;

o)	para efeitos de inspeções no local, os CAB podem solicitar a assistência das autoridades de fiscalização do mercado no Estado-Membro em que se encontram estabelecidos;

p)

os CAB devem revogar as aprovações dos OI e as autorizações dos empregados de OI, caso estes deixem de cumprir os critérios com base nos quais foram aprovados ou autorizados, respetivamente. Os CAB devem, por conseguinte, solicitar ao CC que suspenda e revogue o certificado digital dos empregados do OI em questão.

4.3.2.   Renovação da aprovação

Os CAB devem, a pedido de um OI ou seis meses antes do termo da validade da aprovação, proceder a uma inspeção no local e, no caso de um resultado da inspeção positivo, renovar a aprovação.

Os organismos de avaliação da conformidade devem emitir um novo certificado de inspeção de aprovação para um OI que cumpra os critérios de aprovação.

Os organismos de avaliação da conformidade devem avaliar os pedidos de renovação das autorizações e emitir um certificado de inspeção de autorização aos empregados do OI que cumpram os critérios de autorização.

4.3.3.   Critérios para a aprovação dos OI pelo CAB

Antes de aprovarem um OI e aquando de qualquer inspeção no local durante o período de validade da certificação, os CAB devem verificar os seguintes elementos:

a)	propriedade documentada do OI e nome do diretor executivo;

b)	a lista dos empregados a autorizar fornecida pelo OI;

c)	informações sobre a responsabilidade e a função dos empregados a que se refere a alínea a);

d)	se o OI tem um seguro de responsabilidade civil com um montante mínimo de cobertura de um milhão de euros para danos corporais e 0,5 milhões de euros para danos materiais;

e)	se a aprovação do OI foi revogada por motivos de abuso;

f)	se o OI apresentou provas de atividade no setor automóvel;

g)	se a declaração que certifica que o OI exerce uma atividade empresarial legítima, tal como referido no ponto 6.3, foi assinada pelo OI e, durante uma inspeção no local, se o OI realiza efetivamente uma atividade empresarial legítima;

h)	se o OI ou os seus empregados têm um registo criminal limpo;

i)	se existe uma declaração assinada pelo representante legal do OI de que o cumprimento dos requisitos processuais estabelecidos no ponto 4.3.4 é assegurado para todas as operações relacionadas com a segurança dos veículos.

4.3.4.   Critérios para a autorização dos empregados do OI pelo CAB

Antes de autorizarem um empregado como empregado do OI e aquando de qualquer inspeção no local durante o período de validade da aprovação, os CAB devem verificar os seguintes elementos:

a)	que o empregado em causa não dispunha de uma autorização anterior que tenha sido revogada devido a uma utilização abusiva dessa autorização;

b)	que o empregado tem um registo criminal limpo;

c)	que existe um contrato de trabalho entre o empregado em causa e um OI aprovado;

d)	que o empregado em causa é titular de um bilhete de identidade válido específico do país ou de um documento equivalente.

4.4.   Papel dos OI

4.4.1.   Responsabilidades e requisitos

a)	os OI devem solicitar uma inspeção ao respetivo CAB para obterem a aprovação;

b)	os OI devem informar o respetivo CAB das alterações dos seus dados de contacto;

c)	os OI devem informar os respetivos CAB quando a sua empresa for dissolvida;

d)	os OI devem registar todas as transações e operações de IRM relacionadas com a segurança;

e)	os OI devem informar os respetivos CAB da cessação de funções de qualquer dos seus empregados autorizados;

f)	os OI devem comunicar às autoridades competentes qualquer infração ou falta cometida pelos seus empregados autorizados e que diga respeito às IRM relacionadas com a segurança;

g)	os OI devem assegurar que os seus empregados autorizados apenas utilizem os seus próprios certificados de inspeção de autorização;

h)	os OI devem assegurar que todos os pagamentos relacionados com a autorização dos seus empregados foram efetuados;

i)	os OI devem assegurar que os seus empregados recebem formação para atividades de reparação relativas à manutenção, reprogramação e funções de segurança automóvel;

j)	os OI devem solicitar aos respetivos CAB uma inspeção no local nos seis meses que antecedem o termo do seu certificado de inspeção de aprovação.

4.5.   Papel dos empregados dos OI

4.5.1.   Responsabilidades e requisitos

a)	os empregados do OI devem solicitar uma autorização ao respetivo CAB;

b)	os empregados do OI devem registar-se no sistema IRM do fabricante de veículos;

c)	os empregados do OI devem aceder às IRM relacionadas com a segurança, em conformidade com a norma EN ISO 18541-2014;

d)	os empregados do OI devem garantir que todos os registos de IRM relacionadas com a segurança descarregados do sistema IRM do fabricante do veículo não são armazenados mais tempo do que o necessário para realizar a operação para a qual a informação é necessária;

e)	se for caso disso, os empregados do OI devem notificar o seu empregador de que o seu certificado digital deixou de ser necessário;

f)	o empregado do OI não deve partilhar com terceiros a ficha de segurança, o certificado digital ou o PIN;

g)	os empregados do OI são responsáveis pela utilização correta da ficha de segurança e do PIN pessoais;

h)	os empregados do OI devem informar os respetivos OI e CC de qualquer perda ou utilização indevida da sua ficha de segurança no prazo de 24 horas após a perda ou utilização indevida;

i)	os empregados do OI devem comunicar às autoridades competentes qualquer pedido ou ato de outros empregados do OI respeitantes às IRM relacionadas com a segurança que não constitua uma atividade comercial legítima, tal como referido no ponto 6.3 do presente anexo.

4.6.   Papel do centro de confiança

Os centros de confiança (CC) devem criar e enviar os certificados digitais aos OI e aos seus empregados através dos respetivos CAB. Os CC devem manter uma base de dados dos certificados de inspeção de autorização emitidos. Os CC devem facultar aos fabricantes de veículos o acesso a uma interface para verificar o estatuto dos certificados digitais e dos certificados de inspeção de autorização.

Os CC devem conservar as informações relativas aos empregados do OI na base de dados de autorizações por um período adicional máximo de 60 meses. Esse período não pode ser superior ao período remanescente de validade da aprovação concedida ao OI onde o empregado exerce a sua atividade.

4.6.1.   Responsabilidades e requisitos

a)	os CC podem suspender e revogar certificados digitais a pedido do CAB;

b)	os CC devem fornecer aos empregados do OI e ao OI o software para a utilização dos certificados digitais;

c)	os CC devem funcionar 24 horas por dia, sete dias por semana;

4.7.   Papel dos fabricantes de veículos

Os fabricantes de veículos devem facultar a todos os OI aprovados e aos empregados de OI autorizados o acesso às informações relativas à reparação e manutenção relacionadas com a segurança. Os fabricantes de veículos devem comunicar com os CC para verificar o estatuto de autorização e autenticação dos empregados do OI que pretendam aceder a essas informações.

4.7.1.   Responsabilidades e requisitos

a)	os fabricantes de veículos devem assegurar que os seus sítios Web são adaptados para possibilitar o acesso dos OI às IRM relacionadas com a segurança;

b)	os fabricantes de veículos devem assegurar-se de que descarregam as especificações técnicas disponibilizadas no sítio SERMI.

4.7.2.   Requisitos processuais aplicáveis aos fabricantes de veículos

Os fabricantes de veículos não devem conceder acesso às IRM relacionadas com a segurança, a menos que tenham sido cumpridos todos os seguintes requisitos processuais:

1)

Requisitos processuais aplicáveis aos veículos roubados Os fabricantes de veículos devem manter um registo de todos os veículos da sua marca declarados pelas autoridades como roubados. Os fabricantes de veículos devem pôr em prática um processo que assegure claramente a rastreabilidade e a responsabilização e permita às autoridades competentes fazer a ligação dos dados fornecidos pelo fabricante do veículo com o empregado do OI a quem foi concedido acesso às informações relacionadas com o veículo roubado.

2)

Requisitos processuais aplicáveis ao armazenamento de informações Os fabricantes de veículos devem armazenar as seguintes informações de cada acesso concedido a informações relativas à reparação e manutenção relacionadas com a segurança: a) o número de identificação do veículo (NIV) para o qual a informação foi solicitada; b) a data de apresentação do pedido; c) o número de matrícula do veículo para o qual a informação foi solicitada, se disponível; d) variante do modelo do veículo para o qual a informação foi solicitada e a versão desse veículo, se disponível. Os fabricantes de veículos devem conservar esses dados durante cinco anos.