1.   O ECRIS-TCN é composto por:

2.   O sistema central é acolhido pela eu-LISA nas suas instalações técnicas.

3.   O software de interface é integrado na aplicação de referência do ECRIS. Os Estados-Membros utilizam a aplicação de referência do ECRIS ou, na situação e nas condições descritas nos n.os 4 a 8, o software nacional de aplicação do ECRIS, para consultar o ECRIS-TCN e para enviar pedidos posteriores de informações sobre registos criminais.

4.   Os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS são responsáveis por assegurar que este permita que as autoridades responsáveis pelo registo criminal nacional utilizem o ECRIS-TCN, com exceção do software de interface, em conformidade com o presente regulamento. Para esse efeito, antes da data da entrada em funcionamento do ECRIS-TCN e em conformidade com o artigo 35.o, n.o 4, esses Estados-Membros asseguram que o seu software nacional de aplicação do ECRIS funcione em conformidade com os protocolos e as especificações técnicas estabelecidas nos atos de execução a que se refere o artigo 10.o, e com quaisquer outros requisitos técnicos adicionais definidos pela eu-LISA nos temos do presente regulamento e baseados nesses atos de execução.

5.   Enquanto não utilizarem a aplicação de referência do ECRIS, os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS garantem também, sem demora injustificada, que sejam aplicadas ao seu software nacional de aplicação do ECRIS eventuais adaptações técnicas subsequentes exigidas por qualquer alteração às especificações técnicas introduzida nos atos de execução a que se refere o artigo 10.o, ou a alterações a quaisquer outros requisitos técnicos adicionais definidos pela eu-LISA nos temos do presente regulamento e baseados nesses atos de execução.

6.   Os Estados-Membros que utilizem o seu software nacional de aplicação do ECRIS suportam todas as despesas decorrentes da implementação, manutenção e desenvolvimento desse software e da sua interligação ao ECRIS-TCN, com exceção do software de interface.

7.   Se um Estado-Membro que utilize o seu software nacional de aplicação do ECRIS não puder cumprir as obrigações que lhe incumbem por força do presente artigo, é obrigado a utilizar a aplicação de referência do ECRIS, incluindo o software de interface integrado para utilizar o ECRIS-TCN.

8.   Tendo em conta a avaliação a realizar pela Comissão nos termos do artigo 36.o, n.o 10, alínea b), os Estados-Membros em causa fornecem à Comissão todas as informações necessárias.

1.   Para cada nacional de país terceiro objeto de condenação, a autoridade central do Estado-Membro de condenação cria um ficheiro correspondente no sistema central. Esse ficheiro inclui:

2.   Os dados dactiloscópicos a que se refere o n.o 1, alínea b), do presente artigo devem ter especificações técnicas relativas à qualidade, resolução e tratamento de dados dactiloscópicos previstos no ato de execução a que se refere o artigo 10.o, n.o 1, alínea b). O número de referência dos dados dactiloscópicos da pessoa objeto de condenação deve incluir o código do Estado-Membro de condenação.

3.   O ficheiro pode igualmente incluir imagens faciais do nacional de país terceiro objeto de condenação quando a legislação do Estado-Membro de condenação permita a recolha e o armazenamento de imagens faciais de pessoas objeto de condenação.

4.   O Estado-Membro de condenação cria o ficheiro automaticamente, se possível, e sem demora injustificada, após o averbamento da condenação no registo criminal.

5.   Os Estados-Membros de condenação criam também ficheiros relativos às condenações proferidas antes da data da introdução dos dados em conformidade com o artigo 35.o, n.o 1, na medida em que dados relativos a pessoas objeto de condenação estejam armazenados nas suas bases de dados nacionais. Nesses casos, os dados dactiloscópicos apenas são inseridos se tiverem sido recolhidos em processo penal nos termos do direito nacional e se puder ser claramente determinada a sua concordância com outras informações sobre a identidade constantes dos registos criminais.

6.   A fim de cumprir as obrigações previstas no n.o 1, alínea b), subalíneas i) e ii), e no n.o 5, os Estados-Membros podem utilizar dados dactiloscópicos recolhidos para fins que não sejam o processo penal, se essa utilização for permitida nos termos do direito nacional.

1.   Até à entrada em vigor do ato delegado previsto no n.o 2, as imagens faciais podem ser utilizadas exclusivamente para confirmar a identidade do nacional de país terceiro que tenha sido identificado em resultado de uma pesquisa alfanumérica ou de uma pesquisa com recurso a dados dactiloscópicos.

2.   A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 37.o que completem o presente regulamento no que respeita à utilização de imagens faciais para efeitos da identificação de cidadãos de países terceiros, a fim de identificar o Estado-Membro ou Estados-Membros que possuem informações sobre condenações anteriores no que respeita a essas pessoas quando se tornar tecnicamente possível. Antes de exercer esta competência delegada, a Comissão, tendo em conta a necessidade e a proporcionalidade, bem como a evolução técnica no domínio do software de reconhecimento facial, avalia a disponibilidade e o estado de desenvolvimento da tecnologia necessária.

1.   As autoridades centrais utilizam o ECRIS-TCN para determinar os Estados-Membros que possuem informações sobre os registos criminais de um nacional de país terceiro, de modo que obtenha informações sobre anteriores condenações através do ECRIS, caso sejam exigidas no Estado-Membro em causa informações sobre o registo criminal da referida pessoa para efeitos de processo penal contra ela instaurado ou para qualquer uma das seguintes finalidades, nos termos do direito nacional e se este assim o previr:

No entanto, em casos específicos, para além dos casos em que o nacional de país terceiro peça à autoridade central informações sobre o seu próprio registo criminal, ou em que o pedido seja feito para obter informações sobre registos criminais nos termos do artigo 10.o, n.o 2, da Diretiva 2011/93/UE, a autoridade que requer as informações sobre os registos criminais pode determinar que essa utilização do ECRIS-TCN não é adequada.

2.   Os Estados-Membros que decidam, nos termos do direito nacional e se este assim o previr, utilizar o ECRIS-TCN para eventuais finalidades diferentes das enunciadas no n.o 1, a fim de obter informações sobre condenações anteriores através do ECRIS, notificam a Comissão Europeia até à data da entrada em funcionamento referida no artigo 35.o, n.o 4, ou a qualquer momento subsequente, dessas outras finalidades e de eventuais alterações às mesmas. A Comissão publica tais notificações no Jornal Oficial da União Europeia no prazo de 30 dias após a receção das notificações.

3.   A Eurojust, a Europol e a EPPO estão habilitadas a consultar o ECRIS-TCN para identificar o Estado-Membro ou Estados-Membros que possuem informações sobre os registos criminais de um nacional de um país terceiro, em conformidade com os artigos 14.o a 18.o. Todavia não introduzem, retificam nem apagam nenhuns dados do ECRIS-TCN.

4.   Para os efeitos referidos nos n.os 1, 2 e 3, as autoridades competentes também podem consultar o ECRIS-TCN para verificar se, relativamente a um cidadão da União, algum Estado-Membro possui informações sobre os registos criminais relativos a essa pessoa enquanto nacional de um país terceiro.

5.   Quando consultam o ECRIS-TCN, as autoridades competentes podem utilizar todos ou apenas alguns dos dados a que se refere o artigo 5.o, n.o 1. O conjunto mínimo de dados que é exigido para consultar o sistema é especificado num ato de execução adotado nos termos do artigo 10.o, n.o 1, alínea g).

6.   As autoridades competentes também podem consultar o ECRIS-TCN utilizando imagens faciais, desde que esta funcionalidade tenha sido implementada em conformidade com o artigo 6.o, n.o 2.

7.   Em caso de resposta positiva, o sistema central transmite automaticamente à autoridade competente informações sobre os Estados-Membros que possuem informações sobre o registo criminal do nacional de país terceiro, juntamente com o número ou números de referência associados e qualquer dado de identificação correspondente. Estas informações sobre a identificação são utilizadas exclusivamente para efeitos de verificação da identidade do nacional de país terceiro em causa. O resultado de consultas ao sistema central só pode ser utilizado para efeitos de apresentação de pedidos nos termos do artigo 6.o da Decisão-Quadro 2009/315/JAI ou de pedidos referidos no artigo 17.o, n.o 3, do presente regulamento.

8.   Em caso de resposta negativa, o sistema central informa automaticamente deste facto a autoridade competente.

1.   Cada ficheiro é armazenado no sistema central enquanto os dados relativos às condenações da pessoa em causa constarem do registo criminal.

2.   Após o termo do período de conservação referido no n.o 1, a autoridade central do Estado-Membro de condenação apaga o ficheiro do sistema central, incluindo quaisquer dados dactiloscópicos ou imagens faciais. O apagamento é feito automaticamente, quando tal for possível, e em qualquer caso o mais tardar um mês após o fim do período de conservação.

1.   Os Estados-Membros podem alterar ou apagar os dados que tenham introduzido no sistema ECRIS-TCN.

2.   Qualquer alteração das informações constantes dos registos criminais que tenha levado à criação de um ficheiro em conformidade com o artigo 5.o deve incluir uma alteração idêntica, efetuada sem demora injustificada, pelo Estado-Membro de condenação, das informações conservadas no ficheiro em causa no sistema central.

3.   Se um Estado-Membro de condenação tiver razões para crer que os dados que registou no sistema central estão incorretos ou que o seu tratamento no sistema central é contrário ao presente regulamento:

4.   Se um Estado-Membro diferente do Estado-Membro de condenação que introduziu os dados tiver motivos para crer que os dados registados no sistema central estão incorretos ou que o seu tratamento no sistema central é contrário ao presente regulamento, contacta sem demora injustificada a autoridade central do Estado-Membro de condenação.

O Estado-Membro de condenação:

1.   A Comissão adota o mais rapidamente possível os atos de execução necessários ao desenvolvimento técnico e à execução técnica do ECRIS-TCN e, em especial, os atos sobre:

2.   Os atos de execução referidos no n.o 1 são adotados pelo procedimento de exame a que se refere o artigo 38.o, n.o 2.

1.   A eu-LISA é responsável pelo desenvolvimento do ECRIS-TCN, de acordo com o princípio da proteção de dados, desde a conceção e por defeito. Além disso, a eu-LISA é responsável pela gestão operacional do ECRIS-TCN. O desenvolvimento consiste na elaboração e implementação das especificações técnicas, na realização de testes e na coordenação global do projeto.

2.   A eu-LISA é igualmente responsável pela continuação do desenvolvimento e da manutenção da aplicação de referência do ECRIS.

3.   A eu-LISA define a conceção da arquitetura física do ECRIS-TCN, incluindo as suas especificações técnicas e a sua evolução em relação ao sistema central, ao ponto de acesso central nacional, e ao software de interface. Essa conceção é adotada pelo seu Conselho de Administração, sob condição de parecer favorável da Comissão.

4.   A eu-LISA desenvolve e executa o ECRIS-TCN o mais rapidamente possível após a entrada em vigor do presente regulamento e após a adoção, pela Comissão, dos atos de execução previstos no artigo 10.o.

5.   Previamente à fase de conceção e de desenvolvimento do ECRIS-TCN, o Conselho de Administração da eu-LISA cria um Comité de Gestão do Programa composto por dez membros.

O Comité de Gestão do Programa é composto por oito membros nomeados pelo Conselho de Administração, pelo presidente do Grupo Consultivo referido no artigo 39.o, e por um membro nomeado pela Comissão. Os membros nomeados pelo Conselho de Administração só são eleitos de entre os Estados-Membros que estejam plenamente vinculados, nos termos do direito da União, pelos instrumentos legislativos que regem o sistema ECRIS e que participem no ECRIS-TCN. O Conselho de Administração assegura que os membros que designa para o Comité de Gestão do Programa disponham da experiência e dos conhecimentos necessários em matéria de desenvolvimento e de gestão de sistemas informáticos utilizados pelas autoridades judiciárias e as autoridades que gerem os registos criminais.

A eu-LISA participa nos trabalhos do Comité de Gestão do Programa. Para o efeito, os representantes da eu-LISA participam nas reuniões do Comité de Gestão do Programa, a fim de apresentar relatórios sobre os trabalhos relativos à conceção e ao desenvolvimento do ECRIS-TCN e sobre quaisquer outros trabalhos e atividades conexas.

O Comité de Gestão do Programa reúne-se pelo menos uma vez de três em três meses, ou com maior frequência, se necessário. O Comité de Gestão do Programa garante a gestão adequada da fase de conceção e desenvolvimento do ECRIS-TCN e assegura a coerência entre o projeto ECRIS-TCN central e os projetos ECRIS nacionais e com o software nacional de aplicação. O Comité de Gestão do Programa apresenta regularmente e, se possível mensalmente, por escrito, ao Conselho de Administração da eu-LISA relatórios sobre os progressos do projeto. O Comité de Gestão do Programa não tem poder de decisão nem de mandato para representar os membros do Conselho de Administração.

6.   O Comité de Gestão do Programa estabelece o seu regulamento interno, que inclui, em particular, regras sobre:

7.   A presidência do Comité de Gestão do Programa é exercida por um Estado-Membro que esteja plenamente vinculado, nos termos do direito da União, pelos instrumentos legislativos que regem o ECRIS e pelos que regem o desenvolvimento, a criação, o funcionamento e a utilização de todos os sistemas informáticos de grande escala geridos pela eu-LISA.

8.   Todas as despesas de viagem e de estadia incorridas pelos membros do Comité de Gestão do Programa são suportadas pela eu-LISA, aplicando-se o artigo 10.o do regulamento interno da eu-LISA mutatis mutandis. O secretariado do Comité de Gestão do Programa é assegurado pela eu-LISA.

9.   Durante a fase de conceção e de desenvolvimento, o Grupo Consultivo referido no artigo 39.o é composto por gestores de projeto nacionais do ECRIS-TCN e presidido pela eu-LISA. Durante a fase de conceção e de desenvolvimento, o grupo reúne-se regularmente, se possível pelo menos uma vez por mês, até à entrada em funcionamento do ECRIS-TCN. O grupo apresenta um relatório após cada reunião do Comité de Gestão do Programa. O grupo fornece ainda os conhecimentos técnicos necessários para apoiar as atividades do Comité de Gestão do Programa e assegura o acompanhamento do nível de preparação dos Estados-Membros.

10.   A fim de assegurar a confidencialidade e a integridade dos dados armazenados no ECRIS-TCN a todo o tempo, a eu-LISA prevê, em cooperação com os Estados-Membros, as medidas técnicas e organizativas adequadas, tendo em conta o estado da arte, os custos de execução e os riscos colocados pelo tratamento.

11.   A eu-LISA é igualmente responsável pelas funções seguintes relacionadas com a infraestrutura de comunicação a que se refere o artigo 4.o, n.o 1, alínea d):

12.   A Comissão é responsável por todas as outras funções relacionadas com a infraestrutura de comunicação a que se refere o artigo 4.o, n.o 1, alínea d), em especial:

13.   A eu-LISA desenvolve e mantém um mecanismo e procedimentos de controlo da qualidade dos dados no ECRIS-TCN, apresentando relatórios periódicos aos Estados-Membros. A eu-LISA apresenta periodicamente à Comissão relatórios sobre os problemas encontrados e os Estados-Membros afetados.

14.   A gestão operacional do ECRIS-TCN engloba todas as tarefas necessárias para assegurar o seu funcionamento, em conformidade com o presente regulamento, em especial o trabalho de manutenção e as adaptações técnicas necessárias para garantir o funcionamento do ECRIS-TCN com um nível satisfatório de acordo com as especificações técnicas.

15.   A eu-LISA realiza tarefas relacionadas com a prestação de formação sobre a utilização técnica do ECRIS-TCN e da aplicação de referência do ECRIS.

16.   Sem prejuízo do disposto no artigo 17.o do Estatuto dos Funcionários da União Europeia, estabelecido no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (17), a eu-LISA aplica as normas de sigilo profissional adequadas, ou outros deveres de confidencialidade equivalentes, a todos os elementos do seu pessoal que tenham de trabalhar com os dados registados no sistema central. Tal dever continua a aplicar-se depois de esses elementos do pessoal cessarem funções ou após a cessação da sua relação contratual ou atividade.

1.   Cada Estado-Membro é responsável:

2.   Cada Estado-Membro presta ao pessoal das suas autoridades centrais que tenham direito de acesso ao ECRIS-TCN a formação adequada, em especial sobre segurança de dados, normas de proteção de dados e direitos fundamentais aplicáveis, antes de autorizar que procedam ao tratamento dos dados armazenados no sistema central.

1.   Em conformidade com a legislação da União aplicável em matéria de proteção de dados, cada Estado-Membro assegura que os dados registados no ECRIS-TCN sejam tratados de forma lícita e, em especial, que:

2.   A eu-LISA assegura que o ECRIS-TCN seja gerido em conformidade com o presente regulamento, com o ato delegado a que se refere o artigo 6.o, n.o 2, e com os atos de execução a que se refere o artigo 10.o, bem como em conformidade com o Regulamento (UE) 2018/1725. A eu-LISA toma, em especial, as medidas necessárias para garantir a segurança do sistema central e da infraestrutura de comunicação a que se refere o artigo 4.o, n. 1, alínea d), sem prejuízo das responsabilidades de cada Estado-Membro.

3.   A eu-LISA informa o Parlamento Europeu, o Conselho e a Comissão, bem como a Autoridade Europeia para a Proteção de Dados, o mais rapidamente possível, das medidas que adotar em aplicação do n.o 2 com vista à entrada em funcionamento do ECRIS-TCN.

4.   A Comissão coloca as informações referidas no n.o 3 à disposição dos Estados-Membros e do público, através de um sítio Web regularmente atualizado.

1.   A Eurojust tem acesso direto ao ECRIS-TCN para efeitos da aplicação do artigo 17.o, bem como do exercício das suas atribuições, nos termos do artigo 2.o do Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros.

2.   A Europol tem acesso direto ao ECRIS-TCN para efeitos do exercício das suas atribuições legais, nos termos do artigo 4.o, n.o 1, alíneas a) a e) e h), do Regulamento (UE) 2016/794, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros.

3.   A EPPO tem acesso direto ao ECRIS-TCN para efeitos do exercício das suas atribuições, nos termos do artigo 4.o do Regulamento (UE) 2017/1939, com vista a determinar os Estados-Membros que possuem informações sobre condenações anteriores de nacionais de países terceiros.

4.   Na sequência de uma resposta positiva que indique os Estados-Membros que possuem informações sobre o registo criminal de um nacional de país terceiro, a Eurojust, a Europol e a EPPO podem contactar as autoridades nacionais desses Estados-Membros para solicitar as informações do registo criminal do modo previsto nos seus respetivos atos de instituição.

1.   Os países terceiros e as organizações internacionais podem, para efeitos de processo penal, dirigir à Eurojust os pedidos de informações relativas aos Estados-Membros, se algum houver, que possuam informações sobre registos criminais de nacionais de países terceiros. Para o efeito, devem utilizar o formulário normalizado constante do anexo ao presente regulamento.

2.   Sempre que receba um pedido nos termos do n.o 1, a Eurojust utiliza o ECRIS-TCN para identificar os Estados-Membros, se algum houver, que possuam informações sobre o nacional de país terceiro em causa.

3.   Se a resposta for positiva, a Eurojust deve indagar junto dos Estados-Membros que possuem informações sobre os registos criminais do nacional de país terceiro em causa se consentem que a Eurojust informe o país terceiro ou a organização internacional de qual o Estado-Membro em causa. Se esse Estado-Membro der o seu consentimento, a Eurojust informa o país terceiro ou a organização internacional de qual é esse Estado-Membro, e informa o país terceiro ou a organização internacional da forma como pode solicitar extratos do registo criminal junto desse Estado-Membro em conformidade com os procedimentos aplicáveis.

4.   Nos casos em que a resposta seja negativa, ou sempre que a Eurojust não possa fornecer uma resposta em conformidade com o n.o 3 aos pedidos apresentados nos termos do presente artigo, informa o país terceiro ou a organização internacional em causa de que concluiu o procedimento, sem de modo nenhum indicar se algum dos Estados-Membros possui ou não informações sobre o registo criminal da pessoa em causa.

1.   A eu-LISA toma as medidas necessárias para garantir a segurança do ECRIS-TCN, sem prejuízo das responsabilidades que incumbem a cada Estado-Membro, tendo em conta as medidas de segurança especificadas no n.o 3.

2.   No que diz respeito ao funcionamento do ECRIS-TCN, a eu-LISA adota as medidas necessárias para alcançar os objetivos mencionados no n.o 3, incluindo a adoção de um plano de segurança e de um plano de retoma de atividades e de recuperação na sequência de catástrofes, e para assegurar que os sistemas instalados possam ser reestabelecidos em caso de interrupção.

3.   Os Estados-Membros garantem a segurança dos dados antes e durante a sua transmissão ao ponto de acesso central nacional. Em especial, cada Estado-Membro deve:

4.   A eu-LISA e os Estados-Membros cooperam para garantir uma abordagem coerente da segurança dos dados, com base num processo de gestão dos riscos de segurança que englobe todo o ECRIS-TCN.

1.   Qualquer pessoa ou Estado-Membro que tenha sofrido um dano patrimonial ou não-patrimonial em razão de um tratamento ilícito ou de qualquer outro ato incompatível com o presente regulamento tem direito a ser indemnizado:

O Estado-Membro responsável pelo dano sofrido ou a eu-LISA, respetivamente, são total ou parcialmente exonerados dessa responsabilidade se provarem que o facto que deu origem ao dano não lhes é imputável.

2.   Se o incumprimento, por parte de um Estado-Membro, da Eurojust, da Europol ou da EPPO, das obrigações que lhes incumbem por força do presente regulamento causar danos ao ECRIS-TCN, esse Estado-Membro, a Eurojust, a Europol ou a EPPO, respetivamente, são considerados responsáveis pelos danos na medida em que a eu-LISA ou outro Estado-Membro participante no ECRIS-TCN não tenha tomado medidas razoáveis para prevenir os danos ou minimizar o seu impacto.

3.   Os pedidos de indemnização a um Estado-Membro pelos danos referidos nos n.os 1 e 2 são regulados pelo direito do Estado-Membro requerido. Os pedidos de indemnização à eu-LISA, à Eurojust, à Europol ou à EPPO pelos danos referidos nos n.os 1 e 2 são regulados pelos respetivos atos de instituição.

1.   Cada autoridade central é considerada responsável, em conformidade com as regras da União aplicáveis em matéria de proteção de dados, pelo tratamento de dados pessoais pelo Estado-Membro dessa autoridade central ao abrigo do presente regulamento.

2.   A eu-LISA é considerada subcontratante, em conformidade com o Regulamento (UE) 2018/1725, no que diz respeito aos dados pessoais introduzidos no sistema central pelos Estados-Membros.

1.   Os dados introduzidos no sistema central só podem ser tratados para efeitos da determinação dos Estados-Membros que possuem informações sobre os registos criminais de nacionais de países terceiros.

2.   Com exceção do pessoal devidamente autorizado da Eurojust, da Europol e da EPPO que tem acesso ao ECRIS-TCN para efeitos do presente regulamento, o acesso ao ECRIS-TCN está exclusivamente reservado ao pessoal devidamente autorizado das autoridades centrais. O acesso é limitado na medida necessária à execução de funções conformes com a finalidade a que se refere o n.o 1, e ao que é necessário e proporcional aos objetivos pretendidos.

1.   Os pedidos de nacionais de países terceiros relativos aos direitos de acesso a dados pessoais, à retificação, ao apagamento e à limitação do tratamento de dados pessoais, que estão previstos nas regras da União aplicáveis em matéria de proteção de dados, podem ser dirigidos à autoridade central de qualquer Estado-Membro.

2.   Se for apresentado um pedido a um Estado-Membro diferente do Estado-Membro de condenação, o Estado-Membro ao qual tiver sido apresentado o pedido reencaminha-o para o Estado-Membro de condenação sem demora injustificada, e, em qualquer caso, no prazo de dez dias a contar da receção do pedido. Ao receber o pedido, o Estado-Membro de condenação deve:

3.   Se os dados registados no ECRIS-TCN forem inexatos ou tiverem sido tratados de forma ilícita, o Estado-Membro de condenação procede à sua retificação ou apagamento, em conformidade com o artigo 9.o. O Estado-Membro de condenação ou, se aplicável, o Estado-Membro ao qual tiver sido apresentado o pedido, confirma por escrito e sem demora injustificada à pessoa em causa que tomou as medidas necessárias para proceder à retificação ou ao apagamento de tais dados. O Estado-Membro de condenação comunica também sem demora injustificada a qualquer outro Estado-Membro que tenha sido destinatário das informações sobre condenações obtidas na sequência de uma consulta ao ECRIS-TCN quais as medidas que foram tomadas.

4.   Se o Estado-Membro de condenação não considerar que os dados registados no sistema ECRIS-TCN são inexatos ou foram tratados de forma ilícita, adota uma decisão administrativa ou judicial, explicando por escrito à pessoa em causa as razões pelas quais não está disposto a retificar ou a apagar tais dados. Se for adequado, tais casos podem ser comunicados à autoridade nacional de supervisão.

5.   O Estado-Membro que tiver adotado a decisão nos termos do n.o 4 faculta igualmente à pessoa em causa informações sobre as medidas que esta pode tomar caso não considere aceitável a explicação dada nos termos do n.o 4. Tais informações incluem a forma de intentar uma ação ou apresentar uma reclamação às autoridades competentes ou aos tribunais desse Estado-Membro, bem como a eventual assistência de que pode beneficiar por parte das autoridades nacionais de controlo, em conformidade com o direito nacional desse Estado-Membro.

6.   Qualquer pedido apresentado nos termos do n.o 1 deve incluir as informações necessárias para identificar a pessoa em causa. Essas informações são utilizadas exclusivamente para efeitos do exercício dos direitos referidos no n.o 1, após o que serão imediatamente apagadas.

7.   Se o n.o 2 for aplicável, a autoridade central a quem o pedido foi dirigido conserva um registo escrito de que esse pedido foi feito, acerca da forma como ele foi tratado e com indicação da autoridade para a qual foi reencaminhado. A pedido da autoridade nacional de controlo, a autoridade central disponibiliza esse registo sem demora a essa autoridade nacional de controlo. A autoridade central e a autoridade nacional de controlo suprimem tais registos após três anos a contar da sua criação.

1.   As autoridades centrais cooperam entre si, a fim de assegurar o respeito pelos direitos estabelecidos no artigo 25.o.

2.   Em cada Estado-Membro, a autoridade nacional de controlo presta, a pedido do interessado, informações sobre o modo de exercer o seu direito a obter a retificação ou o apagamento dos dados que lhe digam respeito, em conformidade com as regras da União aplicáveis em matéria de proteção de dados.

3.   Para efeitos do presente artigo, a autoridade nacional de controlo do Estado-Membro que transmitiu os dados e a autoridade nacional de controlo dos Estados-Membros à qual o pedido foi apresentado cooperam entre si.

1.   Cada Estado-Membro assegura que as autoridades nacionais de controlo, designadas nos termos das regras da União aplicáveis em matéria de proteção de dados, supervisionam a licitude do tratamento dos dados pessoais a que se referem os artigos 5.o e 6.o, pelo Estado-Membro em causa, incluindo a sua transmissão ao ECRIS-TCN e a partir do mesmo.

2.   A autoridade nacional de controlo assegura que seja efetuada, no mínimo de três em três anos, uma auditoria das operações de tratamento de dados nos registos criminais e nas bases de dados dactiloscópicos nacionais relacionadas com o intercâmbio de dados entre esses sistemas e o ECRIS-TCN, em conformidade com as normas internacionais de auditoria aplicáveis a contar da entrada em funcionamento do ECRIS-TCN.

3.   Os Estados-Membros asseguram que as autoridades nacionais de controlo dispõem dos meios necessários para desempenhar as funções que lhe são confiadas nos termos do presente regulamento.

4.   Cada Estado-Membro presta todas as informações solicitadas pelas suas autoridades nacionais de controlo e, em especial, informa-as das atividades desenvolvidas em conformidade com os artigos 12.o, 13.o e 19.o. Cada Estado-Membro faculta às suas autoridades nacionais de controlo o acesso aos respetivos registos mencionados no artigo 25.o, n.o 7, e no artigo 31.o, n.o 6, bem como o acesso, a qualquer momento, a todas as suas instalações relacionadas com o ECRIS-TCN.

1.   A Autoridade Europeia para a Proteção de Dados deve velar por que as atividades de tratamento de dados pessoais efetuadas pela eu-LISA no âmbito do ECRIS-TCN sejam realizadas em conformidade com o presente regulamento.

2.   A Autoridade Europeia para a Proteção de Dados deve assegurar que, no mínimo de três em três anos, é efetuada uma auditoria das atividades de tratamento de dados pessoais realizadas pela eu-LISA, em conformidade com as normas internacionais de auditoria aplicáveis. O relatório dessa auditoria é enviado ao Parlamento Europeu, ao Conselho, à Comissão, à eu-LISA e às autoridades de supervisão. A eu-LISA tem a possibilidade de apresentar observações antes da aprovação do relatório.

3.   A eu-LISA deve fornecer as informações solicitadas pela Autoridade Europeia para a Proteção de Dados, conceder-lhe o acesso a todos os documentos e aos registos referidos no artigo 31.o e permitir-lhe o acesso, a qualquer momento, a todas as suas instalações.

1.   A eu-LISA e as autoridades competentes asseguram, em conformidade com as respetivas responsabilidades, que todas as operações de tratamento de dados no ECRIS-TCN sejam registadas nos termos do n.o 2 para fins de verificação da admissibilidade do pedido, de controlo da integridade e da segurança, e da licitude do tratamento dos dados, bem como para fins de autocontrolo.

2.   O registo deve indicar:

3.   O registo das consultas e dos resultados deve permitir determinar o motivo de tais operações.

4.   Os registos só podem ser utilizados para controlar a licitude do tratamento de dados e assegurar a integridade e a segurança destes últimos. Só os registos que contenham dados de caráter não pessoal podem ser utilizados para o controlo e avaliação previstos no artigo 36.o. Os referidos registos são protegidos por medidas adequadas contra o acesso não autorizado e apagados no termo de um período de três anos, se já não forem necessários para procedimentos de controlo entretanto iniciados.

5.   A eu-LISA disponibiliza sem demora injustificada às autoridades centrais, a pedido destas, os registos das suas operações de tratamento.

6.   As autoridades nacionais de controlo responsáveis pela verificação da admissibilidade do pedido e pelo controlo da licitude do tratamento dos dados e da integridade e segurança dos mesmos, têm acesso aos registos, a seu pedido, para efeitos do exercício das suas funções. As autoridades centrais disponibilizam sem demora injustificada às autoridades nacionais de controlo competentes, a pedido destas, os registos das suas operações de tratamento.

1.   O pessoal devidamente autorizado da eu-LISA, das autoridades competentes e da Comissão apenas têm acesso aos dados tratados no âmbito do ECRIS-TCN para fins de elaboração de relatórios e estatísticas, sem permitir uma identificação individual.

2.   Para efeitos do n.o 1, a eu-LISA cria, implementa e acolhe um repositório central nas suas instalações técnicas que contenha os dados a que se refere o n.o 1, que, sem permitir uma identificação individual, permita elaborar relatórios e estatísticas adaptáveis. O acesso ao repositório central é concedido por meio de um controlo de acesso seguro e de perfis de utilizador específicos utilizados exclusivamente para fins de elaboração de relatórios e estatísticas.

3.   Os procedimentos instaurados pela eu-LISA para acompanhar o funcionamento do ECRIS-TCN, referidos no artigo 36.o, bem como a aplicação de referência do ECRIS, devem incluir a possibilidade de elaborar regularmente estatísticas para fins de acompanhamento.

A eu-LISA apresenta à Comissão estatísticas mensais sobre o registo, armazenamento e intercâmbio de informações extraídas dos registos criminais através do ECRIS-TCN e da aplicação de referência do ECRIS. A eu-LISA deve garantir que não é possível a identificação de indivíduos com base nessas estatísticas. A pedido da Comissão, a eu-LISA deve facultar-lhe estatísticas sobre certos aspetos específicos relacionados com a aplicação do presente regulamento.

4.   Os Estados-Membros devem facultar à eu-LISA as estatísticas necessárias ao cumprimento das suas obrigações nos termos do presente artigo. Devem facultar à Comissão estatísticas sobre o número de nacionais de países terceiros objeto de condenação e o número de condenações de nacionais de países terceiros no seu território.

1.   Os custos decorrentes da criação e do funcionamento do sistema central, da infraestrutura de comunicação referida no artigo 4.o, n.o 1, alínea d), do software de interface e da aplicação de referência do ECRIS são suportados pelo orçamento geral da União.

2.   Os custos de ligação da Eurojust, da Europol e da EPPO ao ECRIS-TCN ficam a cargo dos respetivos orçamentos.

3.   Outros custos ficam a cargo dos Estados-Membros, em especial os custos decorrentes da ligação dos registos criminais nacionais existentes, das bases de dados dactiloscópicos e das autoridades centrais ao ECRIS-TCN, bem como os custos decorrentes do acolhimento da aplicação de referência do ECRIS.

1.   Cada Estado-Membro notifica a eu-LISA quanto à respetiva autoridade central ou autoridades centrais que têm acesso para introduzir, retificar, apagar, consultar ou pesquisar dados, bem como qualquer alteração a este respeito.

2.   A eu-LISA assegura a publicação da lista das autoridades centrais notificadas pelos Estados-Membros, tanto no Jornal Oficial da União Europeia como no seu sítio Web. Quando seja notificada da mudança de uma autoridade central de um Estado-Membro, a eu-LISA atualiza essa lista sem demora injustificada.

1.   A Comissão determina a data a partir da qual os Estados-Membros introduzem os dados referidos no artigo 5.o no ECRIS-TCN assim que considerar que estão reunidas as seguintes condições:

2.   Quando a Comissão tiver fixado a data de início da introdução de dados nos termos do n.o 1, informa disso os Estados-Membros. Num prazo de dois meses a contar da referida data, os Estados-Membros introduzem no ECRIS-TCN os dados referidos no artigo 5.o, tendo em conta o artigo 41.o, n.o 2.

3.   Após o fim do prazo referido no n.o 2, a eu-LISA realiza um teste final do ECRIS-TCN, em cooperação com os Estados-Membros.

4.   Quando o teste referido no n.o 3 tiver sido concluído com resultados positivos e a eu-LISA considerar que o ECRIS-TCN está pronto para entrar em funcionamento, notifica a Comissão. A Comissão informa o Parlamento Europeu e o Conselho dos resultados do teste e decide em que data o ECRIS-TCN entra em funcionamento.

5.   A decisão da Comissão sobre a data de entrada em funcionamento do ECRIS-TCN referida no n.o 4 é publicada no Jornal Oficial da União Europeia.

6.   Os Estados-Membros começam a utilizar o ECRIS-TCN a partir da data determinada pela Comissão em conformidade com o n.o 4.

7.   Ao tomar as decisões referidas no presente artigo, a Comissão pode especificar diferentes datas para a introdução dos dados alfanuméricos e dos dados dactiloscópicos a que se refere o artigo 5.o no ECRIS-TCN e para a entrada em funcionamento no que diz respeito a essas diferentes categorias de dados.

1.   A eu-LISA assegura a criação de procedimentos para acompanhar o desenvolvimento do ECRIS-TCN, tendo em conta os objetivos fixados em termos de planeamento e de custos, e para acompanhar o funcionamento do ECRIS-TCN e da aplicação de referência do ECRIS tendo em conta os objetivos fixados em termos de resultados técnicos, custo-eficácia, segurança e qualidade do serviço.

2.   Para efeitos do acompanhamento do funcionamento do ECRIS-TCN e da sua manutenção técnica, a eu-LISA tem acesso às informações necessárias respeitantes às operações de tratamento de dados efetuadas no ECRIS-TCN e na aplicação de referência do ECRIS.

3.   Até 12 de dezembro de 2019 e, posteriormente, de seis em seis meses durante a fase de conceção e desenvolvimento, a eu-LISA apresenta ao Parlamento Europeu e ao Conselho um relatório sobre o desenvolvimento do ECRIS-TCN e da aplicação de referência do ECRIS.

4.   O relatório a que se refere o n.o 3 deve incluir uma panorâmica geral das despesas correntes e da evolução do projeto, uma avaliação do impacto financeiro e informações sobre eventuais problemas técnicos e riscos suscetíveis de afetar os custos globais do ECRIS-TCN a suportar pelo orçamento geral da União nos termos do artigo 33.o.

5.   Em caso de atrasos substanciais no processo de desenvolvimento, eu-LISA informa o Parlamento Europeu e o Conselho, o mais rapidamente possível, das causas desses atrasos e do seu impacto no calendário e a nível financeiro.

6.   Uma vez concluída a fase de desenvolvimento do ECRIS-TCN e da aplicação de referência do ECRIS, a eu-LISA apresenta ao Parlamento Europeu e ao Conselho um relatório que explica a forma como os objetivos, em especial de planeamento e de custos, foram alcançados, justificando igualmente as eventuais divergências.

7.   Caso se proceda a uma atualização técnica do ECRIS-TCN suscetível de gerar custos substanciais, a eu-LISA informa o Parlamento Europeu e o Conselho.

8.   Dois anos após a entrada em funcionamento do ECRIS-TCN e, posteriormente, todos os anos, a eu-LISA apresenta à Comissão um relatório sobre o funcionamento técnico do ECRIS-TCN e da aplicação de referência do ECRIS, incluindo a respetiva segurança, baseado nomeadamente nas estatísticas sobre o funcionamento e a utilização do ECRIS-TCN, bem como sobre o intercâmbio, através da aplicação de referência do ECRIS, de informações extraídas dos registos criminais.

9.   Quatro anos após a entrada em funcionamento do ECRIS-TCN e, posteriormente, de quatro em quatro anos, a Comissão realiza uma avaliação global do ECRIS-TCN e da aplicação de referência do ECRIS. O relatório da avaliação global elaborado nesta base deve incluir uma avaliação da aplicação do presente regulamento e uma análise dos resultados obtidos relativamente aos objetivos fixados e do impacto sobre os direitos fundamentais. O relatório deve incluir também uma avaliação relativa à valia dos princípios subjacentes ao funcionamento do ECRIS-TCN, à adequação do uso de dados biométricos para os fins do ECRIS-TCN, bem como uma avaliação da segurança do ECRIS-TCN e de possíveis implicações, em termos de segurança, para o seu funcionamento futuro. A avaliação deve incluir as eventuais recomendações consideradas necessárias. A Comissão envia o relatório ao Parlamento Europeu, ao Conselho, à Autoridade Europeia para a Proteção de Dados e à Agência dos Direitos Fundamentais da União Europeia.

10.   Além disso, a primeira avaliação global referida no n.o 9 deve incluir uma análise:

A análise pode, se necessário, ser acompanhada de propostas legislativas. As avaliações globais subsequentes podem incluir a análise de um ou de todos esses aspetos.

11.   Os Estados-Membros, a Eurojust, a Europol e a EPPO comunicam à eu-LISA e à Comissão as informações necessárias à elaboração dos relatórios referidos nos n.os 3, 8 e 9, de acordo com os indicadores quantitativos previamente definidos pela Comissão, pela eu-LISA ou por ambas. Tais informações não podem prejudicar os métodos de trabalho nem incluir dados que revelem as fontes, a identidade do pessoal ou as investigações.

12.   Se for pertinente, as autoridades nacionais de controlo comunicam à eu-LISA e à Comissão as informações necessárias à elaboração dos relatórios referidos no n.o 9, de acordo com os indicadores quantitativos previamente definidos pela Comissão, pela eu-LISA ou por ambas. Tais informações não podem prejudicar os métodos de trabalho nem incluir dados que revelem as fontes, a identidade do pessoal ou as investigações.

13.   A eu-LISA comunica à Comissão as informações necessárias à elaboração das avaliações globais referidas no n.o 9.

1.   O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.   O poder de adotar atos delegados referidos no artigo 6.o, n.o 2, é conferido à Comissão por tempo indeterminado a contar de 11 de junho de 2019.

3.   A delegação de poderes referida no artigo 6.o, n.o 2, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4.   Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.   Assim que adotar um ato delegado, a Comissão notifica-o, simultaneamente, ao Parlamento Europeu e ao Conselho.

6.   Os atos delegados adotados nos termos do artigo 6.o, n.o 2, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de [dois meses] a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por [dois meses] por iniciativa do Parlamento Europeu ou do Conselho.

1.   A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.

2.   Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011.

Na falta de parecer do comité, a Comissão não adota o projeto de ato de execução, aplicando-se o artigo 5.o, n.o 4, terceiro parágrafo, do Regulamento (UE) n.o 182/2011.

1.   Os Estados-Membros tomam as medidas necessárias para dar cumprimento ao presente regulamento o mais rapidamente possível, a fim de assegurar o bom funcionamento do ECRIS-TCN.

2.   No respeitante às condenações proferidas antes da data de início da introdução dos dados nos termos do artigo 35.o, n.o 1, as autoridades centrais criam os ficheiros individuais no sistema central do seguinte modo:

Este formulário, disponível em www.eurojust.europa.eu em todas as 24 línguas oficiais das instituições da União, deve ser enviado numa dessas línguas para ECRIS-TCN@eurojust.europa.eu

Estado ou organização internacional requerente:

Nome do Estado ou organização internacional:

Autoridade que apresenta o pedido:

Representada por (nome da pessoa):

Título:

Morada:

Número de telefone:

Endereço eletrónico:

Processos penais para os quais a informação é pedida:

Número de referência nacional:

Autoridade competente:

Tipo de crimes sob investigação (refira o(s) artigo(s) pertinente(s) do código penal):

Outras informações relevantes (por exemplo, urgência do pedido):

Informações sobre a identidade da pessoa nacional de um país terceiro a respeito da qual se pedem informações sobre o Estado-Membro de condenação:

N.B.: apresente o máximo de informações possível.

Apelido:

Nome(s) próprio(s):

Data de nascimento:

Local de nascimento (localidade e país):

Nacionalidade ou nacionalidades:

Sexo:

Nome(s) anterior(es), se aplicável:

Filiação:

Número de identificação:

Tipo e número do(s) documento(s) de identificação:

Autoridade emissora do(s) documento(s):

Pseudónimos ou alcunhas:

Se disponíveis, incluir os dados dactiloscópicos.

Caso se trate de várias pessoas, devem ser indicadas separadamente

Uma lista pendente permitiria inserir domínios adicionais

Lugar

Data

Assinatura e carimbo (eletrónicos):

1.   O presente regulamento, juntamente com o Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho (34), estabelece um regime destinado a assegurar a interoperabilidade entre o Sistema de Entrada/Saída (SES), o Sistema de Informação sobre Vistos (VIS), o Sistema Europeu de Informação e Autorização de Viagem (ETIAS), o Eurodac, o Sistema de Informação Schengen (SIS) e o Sistema Europeu de Informação sobre os Registos Criminais de nacionais de países terceiros (ECRIS-TCN).

2.   O regime inclui os seguintes componentes de interoperabilidade:

3.   O presente regulamento inclui também disposições sobre os requisitos de qualidade dos dados, um formato de mensagem universal (UMF), um repositório central para a elaboração de relatórios e estatísticas (CRRS), e as responsabilidades dos Estados-Membros e da Agência europeia para a gestão operacional de sistemas informáticos de grande escala no espaço da liberdade, segurança e justiça (eu-LISA), no que diz respeito à conceção, ao desenvolvimento e ao funcionamento dos componentes de interoperabilidade.

4.   O presente regulamento adapta igualmente os procedimentos e condições que regem o acesso das autoridades designadas e da Agência da União Europeia para a Cooperação Policial (Europol) ao SES, ao VIS, ao ETIAS e ao Eurodac para fins de prevenção, deteção ou investigação de infrações terroristas ou de outras infrações penais graves.

5.   O presente regulamento estabelece igualmente um regime de verificação da identidade e da identificação de pessoas.

1.   Assegurando a interoperabilidade, o presente regulamento tem os seguintes objetivos:

2.   Os objetivos referidos no n.o 1 devem ser alcançados mediante:

1.   O presente regulamento aplica-se ao SES, ao VIS, ao ETIAS e ao SIS.

2.   O presente regulamento aplica-se às pessoas cujos dados pessoais possam ser processados nos sistemas de informação da UE referidos no n.o 1 do presente artigo e cujos dados sejam recolhidos para os fins definidos nos artigos 1.o e 2.o do Regulamento (CE) n.o 767/2008, no artigo 1.o do Regulamento (UE) 2017/2226, nos artigos 1.o e 4.o do Regulamento (UE) 2018/1240, no artigo 1.o do Regulamento (UE) n.o 2018/1860 e no artigo 1.o do Regulamento (UE) 2018/1861.

1.   É criado um portal europeu de pesquisa (ESP) para facilitar o acesso rápido, contínuo, eficiente, sistemático e controlado das autoridades dos Estados-Membros e das agências da União aos sistemas de informação da UE, aos dados da Europol e às bases de dados da Interpol para o desempenho das suas funções e em conformidade com os respetivos direitos de acesso ao SES, ao VIS, ao ETIAS, ao Eurodac, ao SIS e ao ECRIS-TCN e com os objetivos e finalidades dos mesmos.

2.   O ESP é composto por:

3.   A eu-LISA deve desenvolver o ESP, ficando responsável pela sua gestão técnica.

1.   A utilização do ESP está reservada às autoridades dos Estados-Membros e às agências da União que dispõem de acesso a, pelo menos, um dos sistemas de informação da UE, de acordo com os atos jurídicos que regem esses sistemas de informação da UE, ao CIR, ao MID, de acordo com o presente regulamento, aos dados da Europol de acordo com o Regulamento (UE) 2016/794 ou às bases de dados da Interpol de acordo com o direito da União ou direito nacional aplicável ao referido acesso.

As referidas autoridades dos Estados-Membros e agências da União podem utilizar o ESP e os dados por ele fornecidos unicamente para os objetivos e finalidades previstos nos atos jurídicos que regem esses sistemas de informação da UE, no Regulamento (UE) 2016/794 e no presente regulamento.

2.   As autoridades dos Estados-Membros e as agências da União referidas no n.o 1 devem utilizar o ESP para pesquisar dados relativos a pessoas ou aos seus documentos de viagem nos sistemas centrais do SES, do VIS e do ETIAS, em conformidade com os seus direitos de acesso, como referido nos atos jurídicos que regem esses sistemas de informação da UE e no direito nacional. Essas autoridades e agências devem igualmente utilizar o ESP para consultar o CIR em conformidade com os respetivos direitos de acesso nos termos do presente regulamento para os efeitos referidos nos artigos 20.o, 21.o e 22.o.

3.   As autoridades dos Estados-Membros referidas no n.o 1 podem utilizar o ESP para pesquisar dados relativos a pessoas ou aos seus documentos de viagem no SIS Central referido nos Regulamentos (UE) 2018/1860 e (UE) 2018/1861.

4.   Quando previsto pelo direito da União, as agências da União a que se refere o n.o 1 devem utilizar o ESP para pesquisar dados relativos a pessoas ou aos seus documentos de viagem no SIS Central.

5.   As autoridades dos Estados-Membros e as agências da União referidas no n.o 1 podem utilizar o ESP para pesquisar dados relativos a pessoas ou aos seus documentos de viagem nos dados da Europol, em conformidade com os seus direitos de acesso ao abrigo do direito da União e nacional.

1.   Para utilizar o ESP, a eu-LISA deve criar, em cooperação com os Estados-Membros, um perfil baseado na categoria de utilizador do ESP e nas finalidades das consultas, em conformidade com os pormenores técnicos e os direitos de acesso a que se refere o n.o 2. Cada perfil deve incluir, nos termos do direito da União e do direito nacional, a seguinte informação

2.   A Comissão deve adotar atos de execução, a fim de especificar os pormenores técnicos dos perfis referidos no n.o 1, em conformidade com os respetivos direitos de acesso dos utilizadores ESP, conforme previsto nos atos jurídicos que regem os sistemas de informação da UE e de acordo com o direito nacional. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

3.   Os perfis referidos no n.o 1 devem ser revistos periodicamente pela eu-LISA, em cooperação com os Estados-Membros, pelo menos uma vez por ano e, se necessário, atualizados.

1.   Os utilizadores do ESP iniciam uma consulta introduzindo dados alfanuméricos ou biométricos no ESP. Ao iniciar-se uma consulta, o ESP consulta o SES, o ETIAS, o VIS, o SIS, o Eurodac, o ECRIS-TCN e o CIR, os dados da Europol e as bases de dados da Interpol, utilizando simultaneamente os dados introduzidos pelo utilizador do ESP e de acordo com o perfil do utilizador.

2.   As categorias de dados utilizados para iniciar uma consulta através do ESP correspondem às categorias de dados relacionados com pessoas ou documentos de viagem que podem ser utilizados para consultar os vários sistemas de informação da UE, os dados da Europol e as bases de dados da Interpol, em conformidade com os atos jurídicos que lhes são aplicáveis.

3.   A eu-LISA deve desenvolver, em cooperação com os Estados-Membros, um documento de controlo das interfaces para o ESP baseado no UMF referido no artigo 38.o.

4.   Em resposta a uma consulta de um utilizador do ESP, o SES, o ETIAS, o VIS, o SIS, o Eurodac, o ECRIS-TCN, o CIR e o MID, os dados da Europol e as bases de dados da Interpol, devem responder à consulta, fornecendo os dados em sua posse.

Sem prejuízo do disposto no artigo 20.o, a resposta do ESP deve indicar qual o sistema de informação ou base de dados da UE a que os dados pertencem.

O ESP não fornece informações relativas aos dados dos sistemas de informação da UE, aos dados da Europol nem às bases de dados da Interpol aos quais o utilizador não tem acesso nos termos do direito da União e do direito nacional aplicáveis.

5.   As consultas das bases de dados da Interpol lançadas através do ESP devem ser efetuadas de molde a não revelar qualquer informação ao proprietário do alerta da Interpol.

6.   O ESP deve fornecer respostas ao utilizador assim que os dados de um dos sistemas de informação da UE, os dados da Europol ou as bases de dados da Interpol estiverem disponíveis. Essas respostas devem conter apenas os dados aos quais o utilizador tem acesso ao abrigo do direito da União e do direito nacional.

7.   A Comissão deve adotar um ato de execução para especificar o procedimento técnico para as consultas do ESP nos sistemas de informação da UE, nos dados da Europol e nas bases de dados da Interpol e o formato das respostas do ESP. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   Sem prejuízo do disposto no artigo 46.o do Regulamento (UE) 2017/2226, no artigo 34.o do Regulamento (CE) n.o 767/2008, no artigo 69.o do Regulamento (UE) 2018/1240 e nos artigos 12.o e 18.o do Regulamento (UE) 2018/1861, a eu-LISA deve conservar registos de todas as operações de tratamento de dados realizadas no ESP. Esses registos devem incluir o seguinte:

2.   Cada Estado-Membro deve manter registos das consultas feitas pelas suas autoridades e pelo pessoal devidamente autorizado dessas autoridades a utilizar o ESP. Cada agência da União deve manter registos das consultas feitas pelo seu pessoal devidamente autorizado a utilizar o ESP.

3.   Os registos referidos nos n.os 1 e 2 só podem ser utilizados para controlar a proteção de dados, incluindo para verificar a admissibilidade de uma consulta e a legalidade do tratamento dos dados, e para garantir a segurança e a integridade dos dados. Esses registos devem estar protegidos por medidas adequadas contra o acesso não autorizado e apagados um ano após a sua criação. Se, no entanto, forem necessários para procedimentos de controlo que já tenham sido iniciados, devem, nesse caso, ser apagados logo que deixarem de ser necessários para o efeito.

1.   No caso de impossibilidade técnica de utilizar o ESP para consultar um ou vários sistemas de informação da UE ou o CIR, devido a uma falha do ESP, os utilizadores do ESP devem ser notificados pela eu-LISA de forma automatizada.

2.   No caso de impossibilidade técnica de utilizar o ESP para consultar um ou vários sistemas de informação da UE ou o CIR, devido a uma falha da infraestrutura nacional de um Estado-Membro, esse Estado-Membro deve notificar a eu-LISA e a Comissão de forma automatizada.

3.   Nos casos referidos nos n.os 1 ou 2, do presente artigo, e até que a falha técnica seja resolvida, a obrigação referida no artigo 7.o, n.os 2 e 4, não se aplica e os Estados-Membros devem aceder aos sistemas de informação da UE ou ao CIR diretamente, caso o direito da União ou o direito nacional o preveja.

4.   Em caso de impossibilidade técnica de utilizar o ESP para consultar um ou vários sistemas de informação da UE ou o CIR, devido a uma falha da infraestrutura de uma agência da União, a agência em causa notifica a eu-LISA e a Comissão de forma automatizada.

1.   É criado um serviço partilhado de correspondências biométricas (serviço partilhado BMS) onde são armazenados modelos biométricos obtidos com base nos dados biométricos referidos no artigo 13.o armazenados no CIR e no SIS, e que permite consultar vários sistemas de informação da UE usando dados biométricos, para efeitos de apoio do CIR e do MID e dos objetivos do SES, do VIS, do Eurodac, do SIS e do ECRIS-TCN.

2.   O serviço partilhado BMS é composto por:

3.   A eu-LISA deve desenvolver o serviço partilhado BMS, ficando responsável pela sua gestão técnica.

1.   O serviço partilhado BMS armazena os modelos biométricos que obtém dos seguintes dados biométricos:

Os modelos biométricos são armazenados no serviço partilhado BMS, separados de forma lógica de acordo com o sistema de informação de onde provêm os dados.

2.   Para cada conjunto de dados a que se refere o n.o 1, o serviço partilhado BMS inclui em cada modelo biométrico uma referência aos sistemas de informação da UE onde estão armazenados os dados biométricos correspondentes e uma referência aos registos efetivos nesses sistemas de informação da UE.

3.   Os modelos biométricos são introduzidos no serviço partilhado BMS somente após um controlo automatizado da qualidade dos dados biométricos adicionados a um dos sistemas de informação da UE. Esse controlo é efetuado pelo serviço partilhado BMS para determinar se cumprem as normas mínimas em termos de qualidade de dados.

4.   O armazenamento dos dados referido no n.o 1 deve cumprir as normas de qualidade referidas no artigo 37.o, n.o 2.

5.   A Comissão deve estabelecer, por meio de um ato de execução, requisitos de desempenho e disposições práticas para monitorizar o desempenho do serviço partilhado BMS, a fim de assegurar que a eficácia das pesquisas biométricas respeite os procedimentos urgentes, como os controlos nas fronteiras e as identificações. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   Sem prejuízo do disposto no artigo 46.o do Regulamento (UE) 2017/2226, no artigo 34.o do Regulamento (CE) n.o 767/2008 e nos artigos 12.o e 18.o do Regulamento (UE) 2018/1861, a eu-LISA deve conservar registos de todas as operações de tratamento de dados realizadas no serviço partilhado BMS. Esses registos devem incluir o seguinte:

2.   Cada Estado-Membro deve manter registos das consultas feitas pelas suas autoridades e pelo pessoal devidamente autorizado dessas autoridades a utilizar o serviço partilhado BMS. Cada agência da União deve manter registos das consultas feitas pelo seu pessoal devidamente autorizado a utilizar o serviço partilhado BMS.

3.   Os registos referidos no n.o 1 e no n.o 2 só podem ser utilizados para controlar a proteção de dados, incluindo para verificar a admissibilidade de uma consulta e a legalidade do tratamento dos dados, e para garantir a segurança e a integridade dos dados. Esses registos devem estar protegidos por medidas adequadas contra acesso não autorizado e ser apagados um ano após a sua criação. No entanto, caso sejam necessários para procedimentos de controlo que já se tenham sido iniciados, devem ser apagados logo que deixarem de ser necessários para esse efeito.

1.   É criado um repositório comum de dados de identificação (CIR), que estabelece um processo individual para cada pessoa registada no SES, no VIS, no ETIAS, no Eurodac ou no ECRIS-TCN e contém os dados referidos no artigo 18.o, com o objetivo de facilitar e apoiar a identificação correta das pessoas registadas no SES, no VIS, no ETIAS, no Eurodac e no ECRIS-TCN nos termos do artigo 20.o, de apoiar o funcionamento do MID nos termos do artigo 21.o e de facilitar e simplificar o acesso das autoridades designadas e da Europol ao SES, ao VIS, ao ETIAS e ao Eurodac, sempre que tal for necessário para efeitos de prevenção, deteção ou investigação de infrações terroristas ou outras infrações penais graves nos termos do artigo 22.o.

2.   O CIR é composto por:

3.   A eu-LISA deve desenvolver o CIR, ficando responsável pela sua gestão técnica.

4.   Caso seja tecnicamente impossível consultar o CIR, devido a uma falha do CIR, para efeitos de identificação de uma pessoa nos termos do artigo 20.o, de deteção de identidades múltiplas nos termos do artigo 21.o ou de prevenção, deteção ou investigação de infrações terroristas ou outras infrações penais graves nos termos do artigo 22.o, os utilizadores do CIR devem ser notificados pela eu-LISA de forma automatizada.

5.   A eu-LISA deve, em cooperação com os Estados-Membros, desenvolver para o CIR um documento de controlo das interfaces baseado no UMF referido no artigo 38.o.

1.   O CIR deve armazenar os dados a seguir indicados, separados segundo um método lógico, de acordo com o sistema de informação de onde os dados são originários:

2.   Para cada série de dados a que se refere o n.o 1, o CIR deve incluir uma referência aos sistemas de informação da UE a que os dados pertencem.

3.   As autoridades que acedem ao CIR devem fazê-lo em conformidade com os seus direitos de acesso, tal como referidos nos atos jurídicos que regem os sistemas de informação da UE e no direito nacional e em conformidade com os seus direitos de acesso nos termos do presente regulamento para os efeitos referidos nos artigos 20.o, 21.o e 22.o.

4.   Para cada série de dados a que se refere o n.o 1, o CIR deve incluir uma referência ao registo efetivo nos sistemas de informação da UE a que os dados pertencem.

5.   O armazenamento dos dados referido no n.o 1 deve cumprir as normas de qualidade referidas no artigo 37.o, n.o 2.

1.   Sempre que se adicionarem, alterarem ou eliminarem dados no SES, no VIS ou no ETIAS, os dados referidos no artigo 18.o armazenados no processo individual do CIR devem ser adicionados, alterados ou eliminados, em conformidade, de uma forma automatizada.

2.   Caso seja criada uma ligação branca ou vermelha no MID nos termos dos artigos 32.o ou 33.o entre os dados de dois ou mais dos sistemas de informação da UE que constituem o CIR, em vez de criar um processo individual novo, o CIR deve adicionar os dados novos ao processo individual dos dados ligados.

1.   As consultas do CIR devem ser realizadas por uma autoridade policial, nos termos dos n.os 2 e 5, apenas nas seguintes circunstâncias:

Essas consultas não são autorizadas quando se trate de menores de 12 anos, salvo se forem feitas no superior interesse da criança.

2.   Sempre que se verifique uma das circunstâncias previstas no n.o 1 e uma autoridade policial tenha sido habilitada para o efeito por medidas legislativas nacionais, tal como referido no n.o 5, pode, exclusivamente para efeitos de identificação de uma pessoa, consultar o CIR usando os dados biométricos dessa pessoa que foram obtidos em tempo real durante um controlo de identidade, desde que o procedimento tenha sido iniciado na presença dessa pessoa.

3.   Sempre que a consulta indicar que os dados relativos a essa pessoa estão armazenados no CIR, a autoridade policial deve ter acesso para consultar os dados referidos no artigo 18.o, n.o 1.

Sempre que não seja possível utilizar os dados biométricos da pessoa, ou se a consulta com esses dados falhar, a consulta deve ser efetuada com os dados de identificação dessa pessoa combinados com os dados dos documentos de viagem ou com os dados de identificação fornecidos por essa pessoa.

4.   Sempre que uma autoridade policial tenha sido habilitada para o efeito por medidas legislativas nacionais, a que se refere o n.o 6, pode, em caso de catástrofe natural, de acidente ou de um atentado terrorista, e exclusivamente para efeitos de identificação de pessoas desconhecidas que não sejam capazes de se identificar ou de restos mortais humanos não identificados, consultar o CIR, usando os dados biométricos dessas pessoas.

5.   Os Estados-Membros que pretendam usar a possibilidade prevista no n.o 2 devem adotar medidas legislativas nacionais. Ao fazê-lo, os Estados-Membros devem ter em conta a necessidade de evitar qualquer discriminação contra nacionais de países terceiros. Essas medidas legislativas devem especificar exatamente os objetivos da identificação referidos no artigo 2.o, n.o 1, alíneas b) e c), designar as autoridades policiais competentes e estabelecer os procedimentos, as condições e os critérios desses controlos de identidade.

6.   Os Estados-Membros que pretendam aplicar o n.o 4 devem adotar medidas legislativas nacionais que estabeleçam os procedimentos, as condições e os critérios para o efeito.

1.   Sempre que uma consulta do CIR se traduzir numa ligação amarela, nos termos do artigo 28.o, n.o 4, a autoridade responsável pela verificação manual das diferentes identidades, nos termos do artigo 29.o, deve ter acesso, unicamente para efeitos dessa verificação, aos dados referidos no artigo 18.o, n.os 1 e 2, armazenados no CIR associados a uma ligação amarela.

2.   Sempre que uma consulta do CIR se traduzir numa ligação vermelha, nos termos do artigo 32.o, as autoridades referidas no artigo 26.o, n.o 2, devem ter acesso, unicamente para efeitos do combate à fraude de identidade, aos dados referidos no artigo 18.o, n.os 1 e 2, armazenados no CIR associados a uma ligação vermelha.

1.   Num caso específico, sempre que existam motivos razoáveis para crer que a consulta dos sistemas de informação da UE contribuirá para a prevenção, deteção ou investigação de infrações terroristas ou outras infrações penais graves, nomeadamente caso haja indícios de que o suspeito, autor ou vítima de uma infração terrorista ou de outras infrações penais graves é uma pessoa cujos dados estão armazenados no SES, no VIS ou no ETIAS, as autoridades designadas e a Europol podem consultar o CIR para obter informações sobre se existem dados sobre uma determinada pessoa no SES, no VIS ou no ETIAS.

2.   Sempre que, em resposta a uma consulta, o CIR indicar a presença de dados sobre essa pessoa no SES, no VIS e ou ETIAS, o CIR deve fornecer às autoridades designadas e à Europol uma resposta sob a forma de uma referência a que se refere o artigo 18.o, n.o 2, indicando quais são os sistemas de informação da UE que contêm os dados das correspondências. O CIR deve responder de forma a não comprometer a segurança dos dados.

A resposta com a indicação da existência de dados relativos a essa pessoa em qualquer um dos sistemas de informação da UE referidos no n.o 1 só pode ser utilizada para efeitos de apresentação de um pedido de acesso pleno, no respeito das condições e dos procedimentos definidos nos atos jurídicos que regem esse acesso.

Em caso de correspondência ou de correspondências múltiplas, a autoridade designada ou a Europol devem solicitar um acesso pleno a, pelo menos, um dos sistemas de informação para os quais foi gerada uma correspondência.

No caso excecional, de não ser solicitado esse acesso pleno, as autoridades designadas devem registar a justificação fornecida para não efetuar o pedido, a qual deve ser rastreável até ao processo nacional. A Europol deve registá-la no processo correspondente.

3.   O pleno acesso aos dados contidos no SES, no VIS ou no ETIAS para efeitos de prevenção, deteção ou investigação de infrações terroristas ou outras infrações penais graves continua sujeito às condições e procedimentos estabelecidos nos atos jurídicos que regem esse acesso.

1.   Os dados referidos no artigo 18.o, n.os 1, 2 e 4 devem ser eliminados do CIR de forma automatizada em conformidade com as disposições em matéria de conservação de dados do Regulamento (UE) 2017/2226, do Regulamento (CE) n.o 767/2008 e do Regulamento (UE) 2018/1240, respetivamente.

2.   O processo individual deve permanecer armazenado no CIR apenas enquanto os dados correspondentes permanecerem armazenados em, pelo menos, um dos sistemas de informação da UE cujos dados estão contidos no CIR. A criação de uma ligação não afeta o período de conservação de cada um dos elementos dos dados ligados.

1.   Sem prejuízo do disposto no artigo 46.o do Regulamento (UE) 2017/2226, no artigo 34.o do Regulamento (CE) n.o 767/2008 e no artigo 69.o do Regulamento (UE) 2018/1240, a eu-LISA deve conservar registos de todas as operações de tratamento de dados realizadas no CIR nos termos dos n.os 2, 3 e 4 do presente artigo.

2.   A eu-LISA deve conservar, nos termos do artigo 20.o, registos de todas as operações de tratamento de dados realizadas no CIR. Esses registos devem incluir o seguinte:

3.   A eu-LISA deve conservar, nos termos do artigo 21.o, registos de todas as operações de tratamento de dados realizadas no CIR Esses registos devem incluir o seguinte:

4.   A eu-LISA deve conservar registos, nos termos do artigo 22.o, de todas as operações de tratamento de dados realizadas no CIR. Esses registos devem incluir o seguinte:

Os registos desse acesso devem ser verificados periodicamente pela autoridade de controlo competente nos termos do artigo 41.o da Diretiva (UE) 2016/680 ou pela Autoridade Europeia para a Proteção de Dados nos termos do artigo 43.o do Regulamento (UE) 2016/794, a intervalos não superiores a seis meses, a fim de verificar se os procedimentos e condições estabelecidos no artigo 22.o, n.o 1 e n.o 2 do presente regulamento são cumpridos.

5.   Cada Estado-Membro deve manter registos das consultas efetuadas pelas suas autoridades e pelo pessoal devidamente autorizado dessas autoridades a utilizar o CIR, nos termos dos artigos 20.o, 21.o e 22.o. Cada agência da União deve manter registos das consultas feitas pelo seu pessoal devidamente autorizado a utilizar o CIR, nos termos dos artigos 21.o e 22.o.

Além disso, para qualquer acesso ao CIR nos termos do artigo 22.o, cada Estado-Membro deve conservar os seguintes registos:

6.   Em conformidade com o Regulamento (UE) 2016/794, para qualquer acesso ao CIR nos termos do artigo 22.o do presente regulamento, a Europol deve conservar registos da identificação de utilizador único do funcionário que efetuou a consulta e do funcionário que a ordenou.

7   Os registos referidos nos n.os 2 a 6 só podem ser utilizados para controlar a proteção de dados, incluindo para verificar a admissibilidade de uma consulta e a legalidade do tratamento dos dados, e para garantir a segurança e a integridade dos dados. Esses registos devem estar protegidos por medidas adequadas contra acesso não autorizado e ser apagados um ano após a sua criação. No entanto, se forem necessários para procedimentos de controlo que já tenham sido iniciados, devem ser apagados logo que deixarem de ser necessários para o efeito.

8.   A eu-LISA deve armazenar os registos relacionados com o histórico dos dados nos processos individuais. A eu-LISA deve apagar esses registos de forma automatizada, assim que os dados forem apagados.

1.   É criado um detetor de identidades múltiplas (MID) que cria e armazena processo de confirmação de identidade, tal como referido no artigo 34.o, contendo ligações entre os dados nos sistemas de informação da UE que fazem parte do CIR e do SIS e que permite detetar identidades múltiplas, com o duplo objetivo de facilitar os controlos de identidade e lutar contra a fraude de identidade, com o objetivo de apoiar o funcionamento do CIR e os objetivos do SES, do VIS, do ETIAS, do Eurodac, do SIS e do ECRIS-TCN.

2.   O MID é composto por:

3.   A eu-LISA deve desenvolver o MID, ficando responsável pela sua gestão técnica.

1.   Para efeitos de verificação manual das diferentes identidades a que se refere o artigo 29.o, deve ser concedido acesso aos dados referidos no artigo 34.o armazenados no MID às seguintes entidades:

2.   As autoridades dos Estados-Membros e as agências da União que tenham acesso a, pelo menos, um sistema de informação da UE incluído no CIR ou ao SIS devem ter acesso aos dados referidos no artigo 34.o, alíneas a) e alínea b), sobre quaisquer ligações vermelhas, tal como referido no artigo 32.o.

3.   As autoridades dos Estados-Membros e as agências da União devem ter acesso às ligações brancas a que se refere o artigo 33.o, caso tenham acesso aos dois sistemas de informação da UE que contêm dados entre os quais a ligação branca foi criada.

4.   As autoridades dos Estados-Membros e as agências da União devem ter acesso às ligações verdes a que se refere o artigo 31.o, caso tenham acesso aos dois sistemas de informação da UE que contêm dados entre os quais a ligação verde foi criada e uma consulta a esses sistemas de informação tenha revelado uma correspondência com os dois conjuntos de dados ligados.

1.   Deve ser iniciada uma deteção de identidades múltiplas no CIR e no SIS se:

2.   Se os dados contidos num sistema de informação da UE a que se refere o n.o 1 contiverem dados biométricos, o CIR e o SIS Central devem utilizar o serviço partilhado BMS a fim de realizar a deteção de identidades múltiplas. O serviço partilhado BMS deve comparar os modelos biométricos obtidos a partir de quaisquer novos dados biométricos com os modelos biométricos já constantes do serviço partilhado BMS para verificar se os dados pertencentes à mesma pessoa se encontram já armazenados no CIR ou no SIS Central.

3.   Para além do processo a que se refere o n.o 2, o CIR e o SIS Central devem utilizar o ESP para pesquisar os dados armazenados no SIS Central e no CIR utilizando, respetivamente, os seguintes dados:

4.   Para além do processo a que se referem os n.os 2 e 3, o CIR e o SIS Central devem utilizar o ESP para pesquisar os dados armazenados no SIS Central e no CIR, respetivamente, utilizando dados do documento de viagem.

5.   A deteção de identidades múltiplas só deve ser lançada para comparar os dados disponíveis num sistema de informação da UE com os dados disponíveis de outros sistemas de informação da UE.

1.   Nos casos em que as consultas referidas no artigo 27.o, n.os 2, 3 e 4, não indicarem qualquer correspondência, os procedimentos a que se refere o artigo 27.o, n.o 1, devem de acordo com os atos jurídicos que os regem.

2.   Se a pesquisa referida no artigo 27.o, n.os 2, 3 e 4, indicar uma ou várias correspondências, o CIR e, se for caso disso, o SIS devem criar uma ligação entre os dados utilizados para lançar a pesquisa e os dados que desencadearam a correspondência.

Quando são comunicadas várias correspondências, deve ser criada uma ligação entre todos os dados que desencadearam a correspondência. Quando os dados já se encontram ligados, a ligação existente será alargada aos dados utilizados para lançar a pesquisa.

3.   Se a pesquisa referida no artigo 27.o, n.os 2, 3 e 4, indicar uma ou várias correspondências e os dados de identificação dos ficheiros ligados forem os mesmos ou semelhantes, deve ser criada uma ligação branca em conformidade com o artigo 33.o.

4.   Se a pesquisa referida no artigo 27.o, n.os 2, 3 e 4, detetar uma ou várias correspondências e os dados de identificação dos ficheiros ligados não puderem ser considerados similares, deve ser criada uma ligação amarela em conformidade com o artigo 30.o e aplica-se o procedimento previsto no artigo 29.o.

5.   A Comissão deve adotar atos delegados nos termos do artigo 73.o, que estabelecem os procedimentos para determinar os casos em que dados de identificação e podem ser considerados os mesmos ou similares.

6.   As ligações devem ser conservadas no processo de confirmação de identidade a que se refere o artigo 34.o.

7.   A Comissão deve, em cooperação com a eu-LISA, estabelecer as regras técnicas necessárias para criar ligações entre dados de diferentes sistemas de informação da UE através de atos de execução. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   Sem prejuízo do disposto no n.o 2, a autoridade responsável pela verificação manual das diferentes identidades deve ser:

O MID deve indicar a autoridade responsável pela verificação manual das diferentes identidades no processo de confirmação de identidade.

2.   A autoridade responsável pela verificação manual das diferentes identidades no processo de confirmação de identidade é o gabinete SIRENE do Estado-Membro que criou a indicação quando é estabelecida uma ligação com os dados contidos numa indicação relativa a:

3.   Sem prejuízo do disposto no n.o 4 do presente artigo, a autoridade responsável pela verificação manual das diferentes identidades deve ter acesso aos dados ligados contidos no processo de confirmação de identidade pertinente e aos dados de identificação ligados no CIR e, se for caso disso, no SIS. A referida autoridade deve avaliar as diversas identidades sem demora. Uma vez concluída essa avaliação, deve atualizar a ligação, em conformidade com os artigos 31.o, 32.o e 33.o e adicioná-la ao processo de confirmação de identidade sem demora.

4.   Sempre que a autoridade responsável pela verificação manual das diferentes identidades no processo de confirmação de identidade for a autoridade competente designada nos termos do artigo 9.o, n.o 2, do Regulamento (UE) 2017/2226 que cria ou atualiza um processo individual no SES, em conformidade com o artigo 14.o desse regulamento, e quando é criada uma ligação amarela, essa autoridade deve realizar verificações adicionais. Exclusivamente para esse fim, essa autoridade deve ter acesso aos dados pertinentes contidos no processo de confirmação de identidade. Essa autoridade deve avaliar as diferentes identidades, atualizar a ligação nos termos dos artigos 31.o, 32.o e 33.o do presente regulamento e acrescentá-la ao processo de confirmação de identidade sem demora.

Essa verificação manual das diferentes identidades deve ser iniciada na presença da pessoa em causa, a quem deve ser oferecida a oportunidade de explicar as circunstâncias à autoridade responsável, que deve ter em conta essas explicações.

Caso a verificação manual das diferentes identidades tenha lugar na fronteira, deve ocorrer no prazo de 12 horas a contar da criação de uma ligação amarela nos termos do artigo 28.o, n.o 4, sempre que possível.

5.   No caso de ser criada mais de uma ligação, a autoridade responsável pela verificação manual das diferentes identidades deve avaliar cada ligação separadamente.

6.   Quando os dados que comunicam uma correspondência já foram ligados, a autoridade responsável pela verificação manual das diferentes identidades deve ter em consideração as ligações existentes ao avaliar a criação de novas ligações.

1.   Quando a verificação manual das diferentes identidades não tiver sido feita, deve ser classificada a amarelo uma ligação entre os dados de dois ou mais sistemas de informação da UE em qualquer dos seguintes casos:

2.   Quando uma ligação é classificada a amarelo, em conformidade com o disposto no n.o 1, aplica-se o procedimento previsto no artigo 29.o.

1.   Uma ligação entre os dados de dois ou mais sistemas de informação da UE deve ser classificada como verde se:

2.   Quando o CIR ou o SIS são consultados e se existe uma ligação verde entre dois ou mais sistemas de informação da UE, o MID indica que os dados de identificação dos dados ligados não correspondem à mesma pessoa.

3.   A autoridade de um Estado-Membro deve verificar os dados pertinentes armazenados no CIR e no SIS e, se necessário, retificar ou apagar sem demora a ligação do MID, caso tenha indícios de que uma ligação verde foi registada de forma incorreta no MID, ou que uma ligação verde está desatualizada ou de que foram tratados dados no MID ou nos sistemas de informação da UE em violação do presente regulamento. Essa autoridade do Estado-Membro deve informar sem demora o Estado-Membro responsável pela verificação manual das diferentes identidades.

1.   Uma ligação entre os dados de dois ou mais sistemas de informação da UE deve ser classificada a vermelho, em qualquer dos seguintes casos:

2.   Quando o CIR ou o SIS são consultados e existe uma ligação vermelha entre dados de dois ou mais sistemas de informação da UE, o MID indica os dados referidos no artigo 34.o. O seguimento de uma ligação vermelha deve ter lugar em conformidade com a legislação da União e nacional, e as eventuais consequências jurídicas para a pessoa baseiam-se apenas nos dados pertinentes relativos a essa pessoa. Nenhuma consequência jurídica para a pessoa em causa deve advir exclusivamente da existência de uma ligação vermelha.

3.   Nos casos em que é criada uma ligação vermelha entre os dados do SES, do VIS, do ETIAS, do Eurodac ou do ECRIS-TCN, o processo individual guardado no CIR deve ser atualizado em conformidade com o artigo 19.o, n.o 2.

4.   Sem prejuízo das disposições relativas ao tratamento de indicações no SIS referidas no Regulamento (UE) 2018/1860, no Regulamento (UE) 2018/1861 e no Regulamento (UE) 2018/1862, e sem prejuízo das restrições necessárias para proteger a segurança e a ordem pública, prevenir o crime e garantir que qualquer investigação nacional não será prejudicada, sempre que uma ligação vermelha é criada, a autoridade responsável pela verificação manual das diferentes identidades deve informar a pessoa em causa da existência de dados de identificação múltiplos ilegais e fornecer-lhe o número de identificação único, tal como referido no artigo 34.o, alínea c), do presente regulamento, uma referência à autoridade responsável pela verificação manual das diferentes identidades, tal como referido no artigo 34.o, alínea d), do presente regulamento, e o endereço do portal Web criado em conformidade com o artigo 49.o, do presente regulamento.

5.   A informação a que se refere o n.o 4, deve ser dada por escrito pela autoridade responsável pela verificação manual das diferentes identidades por meio de um formulário normalizado. A Comissão determina o conteúdo e a apresentação desse formulário por meio de atos de execução. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

6.   Nos casos em que uma ligação vermelha é criada, o MID notifica as autoridades responsáveis pelos dados ligados de forma automatizada.

7.   Sempre que uma autoridade de um Estado-Membro ou uma agência da União com acesso ao CIR ou ao SIS tenha indícios de que uma ligação vermelha foi registada de forma incorreta no MID ou de que os dados tratados no MID, no CIR ou no SIS foram tratados em violação do presente regulamento, essa autoridade ou agência deve verificar os dados relevantes armazenados no CIR e no SIS e deve:

Caso o gabinete SIRENE seja contactado nos termos da alínea a), do primeiro parágrafo, o gabinete deve verificar os elementos de prova fornecidos pela autoridade do Estado-Membro ou da agência da União e, se for caso disso, retificar ou apagar imediatamente a ligação do MID.

A autoridade do Estado-Membro que obtém os elementos de prova deve informar sem demora a autoridade do Estado-Membro responsável pela verificação manual das diferentes identidades, de uma eventual retificação ou apagamento de uma ligação vermelha.

1.   Uma ligação entre os dados de dois ou mais sistemas de informação da UE deve ser classificada a branco em qualquer dos seguintes casos:

2.   Quando o CIR ou o SIS são consultados e existe uma ligação branca entre dois ou mais dos sistemas de informação da UE, o MID indica que os dados de identificação de dados ligados correspondem à mesma pessoa. Os sistemas de informação da UE consultados respondem indicando, se for caso disso, todos os dados ligados sobre a pessoa, desencadeando assim uma correspondência em relação aos dados que são objeto da ligação branca, se a autoridade que lança a consulta tem acesso aos dados ligados ao abrigo do direito da União ou do direito nacional.

3.   Quando é criada uma ligação branca entre os dados do SES, do VIS, do ETIAS, do Eurodac ou do ECRIS-TCN, o processo individual guardado no CIR deve ser atualizado em conformidade com o artigo 19.o, n.o 2.

4.   Sem prejuízo das disposições relativas ao tratamento de indicações no SIS constantes dos Regulamento (UE) 2018/1860, no Regulamento (UE) 2018/1861 e no Regulamento (UE) 2018/1862, e sem prejuízo das restrições necessárias para proteger a segurança e a ordem pública, prevenir o crime e garantir que qualquer investigação nacional não será prejudicada, sempre que é criada uma ligação branca na sequência de uma verificação manual das diferentes identidades, a autoridade responsável pela verificação manual das diferentes identidades deve informar a pessoa em causa da existência de dados de identificação similares ou diferentes e fornecer-lhe um número de identificação único, tal como referido no artigo 34.o, alínea c), do presente regulamento, uma referência à autoridade responsável pela verificação manual das diferentes identidades, tal como referido no artigo 34.o, alínea d), do presente regulamento, e o endereço do portal Web criado em conformidade com o artigo 49.o do presente regulamento.

5.   A autoridade de um Estado-Membro deve verificar os dados pertinentes armazenados no CIR e no SIS e, se necessário, retificar ou apagar sem demora a ligação do MID, caso tenha indícios de que uma ligação branca foi registada de forma incorreta no MID, ou que uma ligação branca está desatualizada ou de que foram tratados dados no MID ou nos sistemas de informação da UE em violação do presente regulamento. Essa autoridade do Estado-Membro deve informar sem demora o Estado-Membro responsável pela verificação manual das diferentes identidades.

6.   A informação a que se refere o n.o 4 deve ser prestada por escrito, através de formulário normalizado, pela autoridade responsável pela verificação manual das diferentes identidades. A Comissão determina o conteúdo e apresentação desse formulário através de atos de execução. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   A eu-LISA deve conservar os registos de todas as operações de tratamento de dados efetuadas pelo MID. Esses registos devem incluir o seguinte:

2.   Cada Estado-Membro deve manter registos das consultas feitas pelas suas autoridades e pelo pessoal devidamente autorizado dessas autoridades a utilizar o MID. Cada agência da União deve manter registos das consultas feitas pelo seu pessoal devidamente autorizado a utilizar o MID.

3.   Os registos referidos nos n.os 1 e 2 só podem ser utilizados para controlo da proteção de dados, incluindo a verificação da admissibilidade de uma consulta e da legalidade do tratamento dos dados, bem como para garantir a sua segurança e integridade. Esses registos devem estar protegidos por medidas adequadas contra o acesso não autorizado e apagados um ano após a sua criação. Se, no entanto, forem necessários para procedimentos de controlo que já tenham tido início, esses registos devem ser apagados logo que deixarem de ser necessários para o efeito.

1.   Sem prejuízo das responsabilidades dos Estados-Membros em matéria de qualidade dos dados introduzidos nos sistemas, a eu-LISA deve criar mecanismos e procedimentos automatizados de controlo de qualidade de dados sobre os dados armazenados no SES, no VIS, no ETIAS, no SIS, no serviço partilhado BMS e no CIR.

2.   A eu-LISA deve implementar mecanismos para avaliar a exatidão do BMS, indicadores comuns de qualidade dos dados e as normas mínimas de qualidade para armazenar os dados no SES, VIS, ETIAS, SIS, serviço partilhado BMS e CIR.

Só os dados que cumprem as normas mínimas de qualidade podem ser introduzidos no SES, no VIS, no ETIAS, no SIS, no serviço partilhado BMS, no CIR e no MID.

3.   A eu-LISA deve apresentar aos Estados-Membros relatórios periódicos sobre os mecanismos e procedimentos automatizados de controlo de qualidade de dados e os indicadores comuns sobre a qualidade dos dados. A eu-LISA deve também apresentar um relatório periódico à Comissão sobre os problemas encontrados e os Estados-Membros em causa. A pedido, a eu-LISA deve também apresentar esse relatório ao Parlamento Europeu e ao Conselho. Os relatórios apresentados nos termos do presente número não podem conter quaisquer dados pessoais.

4.   As informações pormenorizadas relativas aos mecanismos e procedimentos automatizados de controlo da qualidade, indicadores comuns de qualidade dos dados e normas mínimas de qualidade para armazenar os dados no SES, VIS, ETIAS, SIS, no serviço partilhado BMS e CIR, em especial no que se refere aos dados biométricos, devem ser estabelecidos em atos de execução. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

5.   Um ano após a criação dos mecanismos e procedimentos automatizados de controlo da qualidade dos dados, indicadores comuns da qualidade dos dados e normas mínimas de qualidade de dados e, posteriormente, todos os anos, a Comissão deve avaliar a execução por parte dos Estados-Membros da qualidade dos dados e formular as recomendações necessárias. Os Estados-Membros devem apresentar à Comissão um plano de ação destinado a corrigir as deficiências identificadas no relatório de avaliação e, em especial, os problemas de qualidade dos dados devido a dados erróneos armazenados nos sistemas de informação da UE. Os Estados-Membros comunicam periodicamente à Comissão quaisquer progressos na aplicação deste plano de ação até que seja plenamente aplicado.

A Comissão deve transmitir o relatório de avaliação ao Parlamento Europeu, ao Conselho, à Autoridade Europeia para a Proteção de Dados, ao Comité Europeu para a Proteção de Dados e à Agência dos Direitos Fundamentais da União Europeia, criada pelo Regulamento (CE) n.o 168/2007 do Conselho (39).

1.   O presente artigo estabelece a norma relativa ao Formato de Mensagem Universal (UMF). A UMF define as normas relativas a determinado conteúdo de intercâmbio de informações transfronteiriço, entre sistemas de informação, autoridades ou organizações no domínio da Justiça e Assuntos Internos.

2.   A norma UMF deve ser utilizada no desenvolvimento do SES, do ETIAS, do ESP, do CIR, do MID e, se for caso disso, no desenvolvimento pela eu-LISA ou por qualquer outra agência da União de novos modelos de intercâmbio de informações e de sistemas de informação no domínio da Justiça e Assuntos Internos.

3.   A Comissão deve adotar um ato de execução para estabelecer e desenvolver a norma UMF referida no n.o 1 do presente artigo. Esse ato de execução é adotado pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   É criado um repositório central para a elaboração de relatórios e estatísticas (CRRS) para efeitos de apoio aos objetivos do SES, do VIS, do ETIAS e do SIS, em conformidade com os respetivos atos jurídicos que regem esses sistemas, e para fornecer dados estatísticos intersistemas e relatórios analíticos para fins políticos, operacionais e para efeitos de qualidade dos dados.

2.   A eu-Lisa deve criar, implementar e alojar o CRRS nas suas instalações técnicas, contendo os dados e as estatísticas referidos no artigo 63.o do Regulamento (UE) 2017/2226, no artigo 17.o do Regulamento (CE) n.o 767/2008, no artigo 84.o do Regulamento (UE) 2018/1240, no artigo 60.o do Regulamento (UE) 2018/1861 e no artigo 16.o do Regulamento (UE) 2018/1860, logicamente separados pelo sistema de informações da UE. O acesso ao CRRS deve ser concedido mediante um acesso controlado, seguro, com perfis de utilizador específicos, unicamente com a finalidade de elaboração de relatórios e estatísticas, às autoridades a que se refere o artigo 63.o do Regulamento (UE) 2017/2226, o artigo 17.o do Regulamento (CE) n.o 767/2008, o artigo 84.o do Regulamento (UE) 2018/1240 e o artigo 60.o do Regulamento (UE) 2018/1861.

3.   A eu-LISA deve tornar os dados anónimos e registar tais dados anonimizados no CRRS. O processo de tornar os dados anónimos deve ser automatizado.

Os dados contidos no CRRS não podem permitir a identificação de pessoas.

4.   O CRRS é constituído pelos seguintes elementos:

5.   A Comissão deve adotar atos delegados nos termos do artigo 73.o a fim de estabelecer regras pormenorizadas sobre o funcionamento do CRRS, incluindo garantias específicas para o tratamento dos dados pessoais nos termos dos n.os 2 e 3 do presente artigo e regras de segurança aplicáveis ao repositório.

1.   No que respeita ao tratamento dos dados no serviço partilhado BMS, as autoridades dos Estados-Membros que são responsáveis pelo tratamento de dados do SES, VIS e SIS, respetivamente, devem ser responsáveis pelo tratamento dos dados, em conformidade com o artigo 4.o, ponto 7, do Regulamento (UE) 2016/679 ou o artigo 3.o, ponto 8, da Diretiva (UE) 2016/680, no que diz respeito aos modelos biométricos obtidos a partir dos dados referidos no artigo 13.o do presente regulamento introduzidos nos sistemas respetivos, sendo responsáveis pelo tratamento dos modelos biométricos no serviço partilhado BMS.

2.   No que respeita ao tratamento dos dados no CIR, as autoridades dos Estados-Membros que são responsáveis pelo tratamento de dados para o SES, VIS e ETIAS, respetivamente, devem ser responsáveis pelo tratamento dos dados, em conformidade com o artigo 4.o, ponto 7, do Regulamento (UE) 2016/679 no respeitante aos dados referidos no artigo 18.o do presente regulamento introduzidos nos sistemas respetivos, sendo responsáveis pelo tratamento desses dados pessoais no CIR.

3.   No que respeita ao tratamento dos dados no MID:

4.   Para efeitos de controlo da proteção de dados, incluindo a verificação da admissibilidade de uma consulta e da legalidade do tratamento dos dados, os responsáveis pelo tratamento dos dados devem ter acesso aos registos referidos nos artigos 10.o, 16.o, 24.o e 36.o para fins de autocontrolo, como referido no artigo 44.o.

1.   A eu-LISA, a unidade central do ETIAS, a Europol e as autoridades dos Estados-Membros devem garantir a segurança do tratamento dos dados pessoais que decorre de acordo com o presente regulamento. A eu-LISA, a unidade central do ETIAS, a Europol e as autoridades dos Estados-Membros devem cooperar em tarefas relacionadas com a segurança.

2.   Sem prejuízo do artigo 33.o do Regulamento (UE) 2018/1725, a eu-LISA deve adotar as medidas necessárias para garantir a segurança dos componentes de interoperabilidade e da respetiva infraestrutura de comunicação conexa.

3.   Em especial, a eu-LISA deve adotar as medidas necessárias, incluindo um plano de segurança, um plano de continuidade das atividades e um plano de recuperação na sequência de catástrofes, a fim de:

4.   Os Estados-Membros, a Europol e a unidade central do ETIAS devem adotar medidas equivalentes às referidas no n.o 3 no que respeita à segurança relativamente ao tratamento dos dados pessoais por parte das autoridades com direitos de acesso a qualquer dos componentes de interoperabilidade.

1.   Qualquer acontecimento que tenha ou possa ter impacto na segurança dos componentes de interoperabilidade e que possa causar-lhes danos ou perda de dados armazenados nos mesmos é considerado um incidente de segurança, nomeadamente na eventualidade de ter havido acesso não autorizado aos dados ou quando a disponibilidade, integridade e confidencialidade dos dados tenha ou possa ter sido posta em causa.

2.   Os incidentes de segurança devem ser geridos por forma a assegurar uma resposta rápida, eficaz e adequada.

3.   Sem prejuízo da notificação e comunicação da violação de dados pessoais ao abrigo do disposto no artigo 33.o do Regulamento (UE) 2016/679, no artigo 30.o da Diretiva (UE) 2016/680, ou em ambos, os Estados-Membros devem notificar sem demora a Comissão, a eu-LISA, as autoridades de controlo competentes e a Autoridade Europeia para a Proteção de Dados de quaisquer incidentes de segurança.

Sem prejuízo dos artigos 34.o e 35.o do Regulamento (UE) 2018/1725 e do artigo 34.o do Regulamento (UE) 2016/794, a unidade central do ETIAS e a Europol devem notificar sem demora a Comissão, a eu-LISA e a Autoridade Europeia para a Proteção de Dados de quaisquer incidentes de segurança.

Em caso de incidente de segurança em relação aos componentes de interoperabilidade da infraestrutura central, a eu-LISA deve notificar sem demora a Comissão e a Autoridade Europeia para a Proteção de Dados.

4.   As informações relativas a um incidente de segurança que tenha ou possa ter impacto no funcionamento dos componentes de interoperabilidade ou na disponibilidade, integridade e confidencialidade dos dados devem ser facultadas sem demora aos Estados-Membros, à unidade central do ETIAS e à Europol e comunicadas em conformidade com o plano de gestão de incidentes fornecido pela eu-LISA.

5.   Os Estados-Membros em causa, a unidade central do ETIAS, a Europol e a eu-LISA devem cooperar em caso de incidente de segurança. A Comissão deve estabelecer as especificações deste processo de cooperação por meio de atos de execução. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 74.o, n.o 2.

1.   Sem prejuízo do direito à indemnização e da responsabilidade do responsável pelo tratamento dos dados ou do subcontratante nos termos do Regulamento (UE) 2016/679, da Diretiva (UE) 2016/680 e do Regulamento (UE) 2018/1725:

O Estado-Membro em causa, a Europol, a Agência Europeia da Guarda de Fronteiras e Costeira ou a eu-LISA ficam total ou parcialmente exonerados da sua responsabilidade por força do primeiro parágrafo, se provarem que o evento que deu origem aos danos não lhes é imputável.

2.   Se o incumprimento por um Estado-Membro das obrigações que lhe incumbem por força do presente regulamento causar danos aos componentes de interoperabilidade, esse Estado-Membro é responsável pelos danos, a menos e na medida em que a eu-LISA ou outro Estado-Membro vinculado pelo presente regulamento não tenha tomado medidas razoáveis para prevenir os danos ou minimizar o seu impacto.

3.   Os pedidos de indemnização a um Estado-Membro pelos danos referidos nos n.os 1 e 2 são regulados pelo direito interno do Estado-Membro requerido. Os pedidos de indemnização apresentados ao responsável pelo tratamento dos dados ou à eu-LISA pelos danos referidos nos n.os 1 e 2 ficam sujeitos às condições previstas nos Tratados.

1.   A autoridade responsável pela recolha dos dados das pessoas cujos dados são conservados no serviço partilhado BMS, no CIR ou no MID deve facultar às pessoas cujos dados são recolhidos as informações previstas nos termos dos artigos 13.o e 14.o do Regulamento (UE) 2016/679, dos artigos 12.o e 13.o da Diretiva (UE) 2016/680 e dos artigos 15.o e 16.o do Regulamento (UE) 2018/1725. A autoridade deve fornecer as informações no momento da recolha desses dados.

2.   Todas as informações devem ser disponibilizadas em linguagem clara e simples, numa versão linguística que a pessoa em causa compreenda ou que se espere, de forma razoável, que compreenda. Tal deve incluir o fornecimento de informações de uma maneira adequada à idade dos titulares de dados que sejam menores.

3.   As pessoas cujos dados estejam registados no SES, no VIS ou no ETIAS devem ser informadas sobre o tratamento de dados pessoais para efeitos do presente regulamento em conformidade com o disposto no n.o 1, quando:

1.   A fim de exercer os seus direitos ao abrigo dos artigos 15.o a 18.o do Regulamento (UE) 2016/679, dos artigos 17.o a 20.o do Regulamento (UE) 2018/1725 e dos artigos 14.o, 15.o e 16.o da Diretiva (UE) 2016/680, qualquer pessoa tem o direito de se dirigir à autoridade competente de qualquer Estado-Membro, que deve examinar e responder ao pedido.

2.   O Estado-Membro que examine o pedido deve responder sem demora injustificada e, em qualquer caso, no prazo de 45 dias a contar da receção do pedido. Esse prazo pode ser prorrogado por 15 dias, se necessário, tendo em conta a complexidade e o número de pedidos. O Estado-Membro que examinou o pedido deve informar o titular dos dados da prorrogação e dos motivos da demora no prazo de 45 dias a contar da data de receção do pedido. Os Estados-Membros podem decidir que estas respostas sejam dadas pelos serviços centrais.

3.   Se for apresentado um pedido de retificação ou apagamento de dados pessoais a um Estado-Membro diferente do Estado-Membro responsável pela verificação manual das diferentes identidades, o Estado-Membro ao qual foi apresentado o pedido deve contactar as autoridades do Estado-Membro responsável pela verificação manual das diferentes identidades no prazo de sete dias. O Estado-Membro responsável pela verificação manual das diferentes identidades deve verificar a exatidão dos dados e a legalidade do tratamento dos dados sem demora injustificada e, em qualquer caso, no prazo de 30 dias a contar desse contacto. Esse prazo pode ser prorrogado por 15 dias, se necessário, tendo em conta a complexidade e o número de pedidos. O Estado– Membro responsável pela verificação manual das diferentes identidades informa o Estado-Membro, ao qual foi apresentado o pedido, da prorrogação do prazo bem como a sua fundamentação. O Estado-Membro que contactou a autoridade do Estado-Membro responsável pela verificação manual das diferentes identidades informa a pessoa em causa sobre o procedimento subsequente.

4.   Se for apresentado um pedido de retificação ou apagamento de dados pessoais a um Estado-Membro e a unidade central do ETIAS foi responsável pela verificação manual das diferentes identidades, o Estado-Membro ao qual foi apresentado o pedido deve contactar a unidade central do ETIAS no prazo de sete dias, solicitando que emita o seu parecer. A unidade central do ETIAS emite parecer, sem demora injustificada, qualquer caso, no prazo de 30 dias a contar desse contacto. Esse prazo pode ser prorrogado por 15 dias, se necessário, tendo em conta a complexidade e o número de pedidos. O Estado-Membro que contactou a unidade central do ETIAS informa a pessoa em causa sobre o procedimento subsequente.

5.   Sempre que, na sequência de um exame, se concluir que os dados armazenados no MID são inexatos ou foram registados ilegalmente, o Estado-Membro responsável pela verificação manual das diferentes identidades ou, caso não tenha havido um Estado-Membro responsável pela verificação manual das diferentes identidades ou a unidade central do ETIAS tenha sido responsável pela verificação manual das diferentes identidades, o Estado-Membro ao qual foi apresentado o pedido deve proceder sem demora injustificada à sua retificação ou ao seu apagamento. A pessoa em causa deve ser informada por escrito de que os seus dados foram retificados ou apagados.

6.   Caso os dados armazenados no MID sejam alterados por um Estado-Membro durante o respetivo período de conservação, esse Estado-Membro deve proceder ao tratamento previsto no artigo 27.o e, quando aplicável, no artigo 29.o, a fim de determinar se os dados alterados devem ser ligados. Se o tratamento não detetar qualquer correspondência, esse Estado-Membro deve apagar os dados do processo de confirmação de identidade. Sempre que o tratamento automatizado comunicar uma ou várias correspondências, esse Estado-Membro deve criar ou atualizar a ligação em questão em conformidade com as disposições aplicáveis do presente regulamento.

7.   Sempre que o Estado-Membro responsável pela verificação manual das diferentes identidades ou, se for caso disso, o Estado-Membro ao qual foi apresentado o pedido não considerar que os dados armazenados no MID são inexatos ou foram registados ilegalmente, deve adotar uma decisão administrativa, explicando por escrito e sem demora à pessoa em causa as razões pelas quais não está disposto a retificar ou a apagar os dados que lhe dizem respeito.

8.   A decisão a que se refere o n.o 7 deve informar também o interessado sobre a possibilidade de impugnar a decisão tomada relativamente ao pedido de acesso, retificação, apagamento ou limitação do tratamento de dados pessoais e, se for caso disso, sobre a forma de intentar uma ação ou apresentar uma reclamação junto das autoridades ou tribunais competentes, e informar sobre um eventual auxílio, inclusivamente por parte das autoridades de controlo.

9.   Qualquer pedido de acesso, retificação, apagamento ou limitação do tratamento de dados pessoais deve incluir as informações necessárias para identificar a pessoa em causa. Essas informações devem ser utilizadas exclusivamente para permitir o exercício dos direitos referidos no presente artigo, após o que serão imediatamente apagadas.

10.   O Estado-Membro responsável pela verificação manual das diferentes identidades ou, se for caso disso, o Estado-Membro ao qual foi apresentado o pedido, deve conservar um registo escrito relativo à apresentação de um pedido de acesso, retificação, apagamento ou limitação do tratamento de dados pessoais e à forma como foi tratado, e disponibilizar sem demora esse registo às autoridades de controlo.

11.   O presente artigo aplica-se sem prejuízo das limitações e restrições aos direitos previstos no presente artigo nos termos do Regulamento (UE) 2016/679 e da Diretiva (UE) 2016/680.

1.   É criado um portal Web com o objetivo de facilitar o exercício dos direitos de acesso, retificação, apagamento ou de limitação do tratamento de dados pessoais.

2.   O portal Web deve conter informações sobre os direitos e procedimentos referidos nos artigos 47.o e 48.o e uma interface do utilizador que permita às pessoas cujos dados são tratados através do MID e que foram informadas da presença de uma ligação vermelha, em conformidade com o artigo 32.o, n.o 4, receber os dados de contacto da autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades.

3.   A fim de obter os dados de contacto da autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades, a pessoa cujos dados são tratados através do MID deve inserir a referência à autoridade responsável pela verificação manual das diferentes identidades referida no artigo 34.o, alínea d). O portal Web deve utilizar esta referência para obter os dados de contacto da autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades. O portal Web deve também incluir um modelo de mensagem de correio eletrónico para facilitar a comunicação entre o utilizador do portal e a autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades. Essa mensagem deve incluir um campo relativo ao número de identificação único referido no artigo 34.o, alínea c), a fim de permitir à autoridade competente do Estado-Membro responsável pela verificação manual das diferentes identidades a identificação dos dados em causa.

4.   Os Estados-Membros devem fornecer à eu-LISA os dados de contacto de todas as autoridades competentes para examinar e responder a qualquer pedido, tal como referido nos artigos 47.o e 48.o, e verificar regularmente se esses dados de contacto estão atualizados.

5.   A eu-LISA deve desenvolver o portal Web, ficando responsável pela sua gestão técnica.

6.   A Comissão deve adotar um ato delegado, nos termos do artigo 73.o, a fim de estabelecer regras pormenorizadas sobre o funcionamento do portal Web, incluindo a interface do utilizador, as línguas em que o portal deve estar disponível e o modelo de mensagem de correio eletrónico.

1.   Cada Estado-Membro assegura que as autoridades de controlo controlam de forma independente a legalidade do tratamento dos dados pessoais a que se refere o presente regulamento pelo Estado-Membro em causa, incluindo a sua transmissão aos componentes de interoperabilidade e a partir dos mesmos.

2.   Cada Estado-Membro assegura que as disposições legislativas, regulamentares e administrativas nacionais adotadas nos termos da Diretiva (UE) 2016/680 sejam igualmente aplicáveis, se for caso disso, ao acesso aos componentes de interoperabilidade pelas autoridades policiais e pelas autoridades designadas, inclusive no que respeita aos direitos das pessoas a cujos dados se tem assim acesso.

3.   As autoridades de controlo devem garantir a realização de uma auditoria às operações de tratamento de dados pessoais pelas autoridades nacionais competentes para efeitos do presente regulamento em conformidade com as normas internacionais de auditoria aplicáveis, pelo menos de quatro em quatro anos.

As autoridades de controlo publicam anualmente o número de pedidos de retificação, apagamento ou limitação do tratamento de dados pessoais, as medidas subsequentemente tomadas e o número de retificações, apagamentos e limitações de tratamento que tiveram lugar na sequência dos pedidos apresentados pelas pessoas em causa.

4.   Os Estados-Membros devem assegurar que as autoridades de controlo dispõem dos meios e da capacidade técnica necessários para cumprir as tarefas que lhes são confiadas no âmbito do presente regulamento.

5.   Os Estados-Membros comunicam todas as informações solicitadas por qualquer uma das autoridades de controlo referidas no artigo 51.o, n.o 1, do Regulamento (UE) 2016/679 e, em especial, fornecem-lhe informações relativas às atividades desenvolvidas no âmbito das suas atribuições estabelecidas pelo presente regulamento. Os Estados-Membros concedem às autoridades de controlo referidas no artigo 51.o, n.o 1, do Regulamento (UE) 2016/679 o acesso aos seus registos referidos nos artigos 10.o, 16.o, 24.o e 36.o, do presente regulamento, às suas justificações referidas no artigo 22.o, n.o 2, do presente regulamento, e permitem-lhes o acesso, a qualquer momento, a todas as suas instalações utilizadas para fins de interoperabilidade.

1.   As autoridades de controlo e a Autoridade Europeia para a Proteção de Dados, agindo cada uma no âmbito das respetivas competências, cooperam ativamente no âmbito das respetivas responsabilidades e asseguram a supervisão coordenada da utilização dos componentes de interoperabilidade e a aplicação das restantes disposições do presente regulamento, em particular se a Autoridade Europeia para a Proteção de Dados ou uma autoridade de controlo detetar discrepâncias relevantes entre as práticas dos Estados-Membros ou detetar transferências potencialmente ilegais através dos canais de comunicação dos componentes de interoperabilidade.

2.   Nos casos referidos no n.o 1 do presente artigo, o controlo coordenado deve ser assegurado nos termos do artigo 62.o do Regulamento (UE) 2018/1725.

3.   O Comité Europeu para a Proteção de Dados deve enviar um relatório das suas atividades nos termos do presente artigo ao Parlamento Europeu, ao Conselho, à Comissão, à Europol, à Agência Europeia da Guarda de Fronteiras e Costeira e à eu-LISA até 12 de junho de 2021 e, posteriormente, de dois em dois anos. O referido relatório deve incluir um capítulo sobre cada Estado-Membro, elaborado pela respetiva autoridade de controlo.

1.   A eu-LISA deve garantir o funcionamento das infraestruturas centrais dos componentes de interoperabilidade em conformidade com o presente regulamento.

2.   Os componentes de interoperabilidade devem ser alojados pela eu-LISA nas suas instalações técnicas e fornecerem as funcionalidades estabelecidas no presente regulamento, em conformidade com as condições de segurança, de disponibilidade, de qualidade e de desempenho a que se refere o artigo 55.o, n.o 1.

3.   A eu-LISA é responsável pelo desenvolvimento dos componentes de interoperabilidade, de quaisquer adaptações necessárias para estabelecer a interoperabilidade entre os sistemas centrais do SES, VIS, ETIAS, SIS, do Eurodac, e do ECRIS-TCN, e o ESP, o serviço partilhado BMS, o CIR, o MID e o CRRS.

Sem prejuízo do disposto no artigo 66.o, a eu-LISA não tem acesso a nenhum dos dados pessoais tratados através do ESP, do serviço partilhado BMS, do CIR ou do MID.

A eu-LISA deve definir a conceção da arquitetura física dos componentes de interoperabilidade, incluindo as infraestruturas de comunicação e especificações técnicas e a respetiva evolução no que diz respeito à infraestrutura central e à infraestrutura de comunicação segura, que será adotada pelo Conselho de Administração, sob reserva do parecer favorável da Comissão. A eu-LISA deve também implementar quaisquer adaptações necessárias do SES, VIS, ETIAS ou SIS decorrentes do estabelecimento da interoperabilidade e previstas pelo presente regulamento.

A eu-LISA deve desenvolver e implementar os componentes de interoperabilidade assim que possível após a entrada em vigor do presente regulamento e a adoção pela Comissão das medidas previstas no artigo 8.o, n.o 2, artigo 9.o, n.o 7, artigo 28.o, n.os 5 e 7, artigo 37.o, n.o 4, artigo 38.o, n.o 3, artigo 39.o, n.o 5, artigo 43.o, n.o 5 e artigo 78.o, n.o 10.

O desenvolvimento deve consistir na elaboração e implementação das especificações técnicas, nos testes e na gestão e coordenação globais do projeto.

4.   Durante a fase de conceção e desenvolvimento deve ser criado um Conselho de Gestão do Programa, constituído por um máximo de 10 membros. Este órgão é constituído por sete membros nomeados pelo Conselho de Administração da eu-LISA de entre os seus membros ou suplentes, pelo presidente do Grupo Consultivo da Interoperabilidade referido no artigo 75.o, por um membro em representação da eu-LISA nomeado pelo seu Diretor Executivo e por um membro nomeado pela Comissão. Os membros nomeados pelo Conselho de Administração da eu-LISA devem ser escolhidos apenas entre os Estados-Membros que estejam plenamente vinculados pelo direito da União pelos atos jurídicos que regem o desenvolvimento, o estabelecimento, o funcionamento e a utilização de todos os sistemas de informação da UE e que irão participar nos componentes de interoperabilidade.

5.   O Conselho de Gestão do Programa deve reunir-se periodicamente e pelo menos três vezes por trimestre. O Conselho de Gestão do Programa deve garantir a gestão adequada da fase de conceção e desenvolvimento dos componentes de interoperabilidade.

O Conselho de Gestão do Programa deve apresentar todos os meses ao Conselho de Administração da eu-LISA relatórios escritos sobre os progressos do projeto. O Conselho de Gestão do Programa não dispõe de qualquer poder de decisão nem qualquer mandato para representar os membros do Conselho de Administração da eu-LISA.

6.   O Conselho de Administração da eu-LISA deve estabelecer o regulamento interno do Conselho de Gestão do Programa, que deve incluir, em particular, as regras sobre:

A presidência deve ser assumida por um Estado-Membro que esteja plenamente vinculado pelo direito da União pelos atos jurídicos que regem o desenvolvimento, o estabelecimento, o funcionamento e a utilização de todos os sistemas de informação da UE e que irão participar nos componentes de interoperabilidade.

Todas as despesas de viagem e de estadia incorridas pelos membros do Conselho de Gestão do Programa devem ser pagas pela eu-LISA, aplicando-se o artigo 10.o do regulamento interno da eu-LISA com as necessárias adaptações. A eu-LISA deve assegurar o secretariado ao Conselho de Gestão do Programa.

O Grupo Consultivo de Interoperabilidade, referido no artigo 75.o, deve reunir-se regularmente até à entrada em funcionamento do componente de interoperabilidade. Deve apresentar um relatório após cada reunião do Conselho de Gestão do Programa. O grupo deve fornecer os conhecimentos técnicos necessários para apoiar as atividades do Conselho de Gestão do Programa e proceder ao acompanhamento do nível de preparação dos Estados-Membros.

1.   Após a entrada em funcionamento de cada componente de interoperabilidade, a eu-LISA deve ser responsável pela gestão técnica da infraestrutura central dos componentes de interoperabilidade, incluindo a manutenção e os desenvolvimentos tecnológicos. Em cooperação com os Estados-Membros, deve assegurar que seja usada a melhor tecnologia disponível, sob reserva de uma análise custo-benefício. A eu-LISA deve ser igualmente responsável pela gestão técnica da infraestrutura de comunicação a que se referem os artigos 6.o, 12.o, 17.o, 25.o e 39.o.

A gestão técnica dos componentes de interoperabilidade compreende todas as funções e soluções técnicas necessárias para manter o funcionamento dos componentes de interoperabilidade, prestando serviços ininterruptos aos Estados-Membros e às agências da União 24 horas por dia e 7 dias por semana, em conformidade com o presente regulamento. A gestão técnica dos componentes de interoperabilidade deve incluir o trabalho de manutenção e as adaptações técnicas indispensáveis para garantir que os componentes funcionam a um nível de qualidade técnica satisfatório, em especial no que respeita ao tempo de resposta para efeitos de consulta das infraestruturas centrais, em conformidade com as especificações técnicas.

Todos os componentes de interoperabilidade devem ser desenvolvidos e geridos de forma a assegurar um acesso rápido, contínuo, eficiente e controlado, assim como a disponibilidade total e ininterrupta dos componentes e dos dados armazenados no MID, no serviço partilhado BMS e no CIR, e um tempo de resposta adaptado às necessidades operacionais das autoridades dos Estados-Membros e das agências da União.

2.   Sem prejuízo do disposto no artigo 17.o do Estatuto dos Funcionários da União Europeia, a eu-LISA deve aplicar as normas de sigilo profissional adequadas ou outras obrigações de confidencialidade equivalentes a todo o seu pessoal cujo trabalho envolva os dados armazenados nos componentes de interoperabilidade. Esta obrigação mantém-se depois de essas pessoas cessarem funções ou deixarem o emprego, ou após a cessação das suas atividades.

Sem prejuízo do artigo 66.o, a eu-LISA não tem acesso a nenhum dos dados pessoais tratados através do ESP, do serviço partilhado BMS, do CIR e do MID.

3.   A eu-LISA deve desenvolver e manter um mecanismo e procedimentos para a realização de controlos de qualidade dos dados armazenados no serviço partilhado BMS e no CIR em conformidade com o artigo 37.o.

4.   A eu-LISA deve realizar também tarefas relacionadas com a organização de formação sobre a utilização técnica dos componentes de interoperabilidade.

1.   Cada Estado-Membro é responsável pelo seguinte:

2.   Cada Estado-Membro deve ligar as suas autoridades designadas ao CIR.