European flag

Jornal Oficial
da União Europeia

PT

Série L


2024/982

5.4.2024

REGULAMENTO (UE) 2024/982 DO PARLAMENTO EUROPEU E DO CONSELHO

de 13 de março de 2024

relativo à consulta e ao intercâmbio automatizados de dados para efeitos de cooperação policial e que altera as Decisões 2008/615/JAI e 2008/616/JAI do Conselho e os Regulamentos (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 do Parlamento Europeu e do Conselho (Regulamento «Prüm II»)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o, n.o 2, o artigo 87.o, n.o 2, alínea a), e o artigo 88.o, n.o 2,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu (1),

Deliberando de acordo com o processo legislativo ordinário (2),

Considerando o seguinte:

(1)

A União Europeia fixou a si própria o objetivo de proporcionar aos seus cidadãos um espaço de liberdade, segurança e justiça sem fronteiras internas, em que esteja assegurada a livre circulação de pessoas. Esse objetivo deve ser alcançado por via, nomeadamente, de medidas apropriadas para prevenir e combater o crime e outras ameaças à segurança pública, incluindo o crime organizado e o terrorismo, em consonância com a Comunicação da Comissão, de 24 de julho de 2020, sobre a Estratégia da UE para a União da Segurança. Esse objetivo exige que as autoridades de aplicação da lei procedam ao intercâmbio de dados de forma eficiente e atempada a fim de prevenir, detetar e investigar eficazmente infrações penais.

(2)

O objetivo do presente regulamento consiste em melhorar, agilizar e facilitar o intercâmbio de informações criminais e de dados relativos ao registo de veículos, para efeitos de prevenção, deteção ou investigação de infrações penais, entre as autoridades competentes dos Estados-Membros e entre os Estados-Membros e a Agência da União Europeia para a Cooperação Policial (Europol), criada pelo Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (3), em pleno respeito das regras em matéria de direitos fundamentais e proteção dos dados.

(3)

As Decisões 2008/615/JAI (4) e 2008/616/JAI (5) do Conselho, que estabelecem regras para o intercâmbio de informações entre as autoridades responsáveis pela prevenção e investigação de infrações penais através da transferência automatizada de perfis de ADN, dados dactiloscópicos e determinados dados de registo de veículos, revelaram-se importantes para combater o terrorismo e a criminalidade transfronteiriça, protegendo assim a segurança interna da União e dos seus cidadãos.

(4)

Com base nos procedimentos existentes para a consulta automatizada de dados, o presente regulamento estabelece as condições e os procedimentos para a consulta e o intercâmbio automatizados de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais. Tal não deverá prejudicar o tratamento desses dados no Sistema de Informação de Schengen (SIS), o intercâmbio de informações suplementares que digam respeito a esses dados através dos Gabinetes SIRENE nos termos do Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho (6), ou os direitos das pessoas cujos dados são tratados nesse sistema.

(5)

O presente regulamento estabelece um regime para o intercâmbio de informações entre as autoridades responsáveis pela prevenção, deteção ou investigação de infrações penais (regime de Prüm II). Nos termos do artigo 87.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia (TFUE), abrange todas as autoridades competentes dos Estados-Membros, incluindo, de forma não exaustiva, os serviços policiais, aduaneiros e outros serviços responsáveis pela aplicação da lei especializados nos domínios da prevenção ou deteção de infrações penais e das investigações nessa matéria. Por conseguinte, no contexto do presente regulamento, qualquer autoridade judiciária responsável pela gestão de uma base de dados nacional abrangida pelo presente regulamento ou que conceda uma autorização judicial para a divulgação de quaisquer dados deverá ser considerada abrangida pelo âmbito de aplicação do presente regulamento, desde que o intercâmbio de informações se destine, por si só, à prevenção, deteção e investigação de infrações penais.

(6)

Qualquer tratamento ou intercâmbio de dados pessoais para efeitos do presente regulamento não deverá resultar na discriminação de pessoas, por nenhum motivo. Deverá respeitar plenamente a dignidade e integridade humanas e outros direitos fundamentais, incluindo o direito ao respeito pela vida privada e à proteção dos dados pessoais, nos termos da Carta dos Direitos Fundamentais da União Europeia.

(7)

Qualquer tratamento ou intercâmbio de dados pessoais deverá estar sujeito às disposições sobre a proteção de dados constantes do capítulo 6 do presente regulamento e, consoante o caso, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (7) ou dos Regulamentos (UE) 2018/1725 (8), (UE) 2016/794 ou (UE) 2016/679 (9) do Parlamento Europeu e do Conselho. A Diretiva (UE) 2016/680 aplica-se à utilização do regime de Prüm II no que diz respeito às buscas de pessoas desaparecidas e à identificação de restos mortais humanos não identificados para efeitos de prevenção, deteção e investigação de infrações penais. O Regulamento (UE) 2016/679 aplica-se à utilização do regime de Prüm II no que diz respeito às buscas de pessoas desaparecidas e à identificação de restos mortais humanos não identificados para outros fins.

(8)

Ao prever a consulta automatizada de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais, o presente regulamento tem igualmente por objetivo permitir a busca de pessoas desaparecidas e a identificação de restos mortais humanos não identificados. Essas consultas automatizadas deverão respeitar as regras e os procedimentos estabelecidos no presente regulamento. Tal não deve prejudicar a introdução de indicações sobre pessoas desaparecidas no SIS e o intercâmbio de informações suplementares sobre essas indicações ao abrigo do Regulamento (UE) 2018/1862.

(9)

Sempre que os Estados-Membros pretendam utilizar o regime de Prüm II para procurar pessoas desaparecidas e identificar restos mortais humanos, deverão adotar medidas legislativas nacionais que designem as autoridades nacionais competentes para o efeito e estabeleçam os procedimentos, condições e critérios específicos para o fazer. Para as buscas de pessoas desaparecidas fora do domínio das investigações criminais, as medidas legislativas nacionais deverão indicar de forma clara os motivos humanitários pelos quais pode ser efetuada uma busca de pessoas desaparecidas. Essas buscas deverão respeitar o princípio da proporcionalidade. Os motivos humanitários deverão incluir catástrofes naturais ou provocadas pelo homem, bem como outros motivos igualmente justificados, como suspeitas de suicídio.

(10)

O presente regulamento estabelece as condições e os procedimentos para a consulta automatizada de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais, bem como as regras relativas ao intercâmbio de dados de base na sequência de uma correspondência confirmada de dados biométricos. O presente regulamento não se aplica ao intercâmbio de informações suplementares para além do previsto no presente regulamento, que é regulado pela Diretiva (UE) 2023/977 do Parlamento Europeu e do Conselho (10).

(11)

A Diretiva (UE) 2023/977 proporciona um regime jurídico coerente da União para garantir que as autoridades competentes dos Estados-Membros tenham um acesso equivalente às informações detidas por outros Estados-Membros quando delas necessitem para combater a criminalidade e o terrorismo. A fim de reforçar o intercâmbio de informações, a referida diretiva formaliza e clarifica as regras e os procedimentos de partilha de informações entre as autoridades competentes dos Estados-Membros, em especial para efeitos de investigação, incluindo o papel do «ponto de contacto único» de cada Estado-Membro para esses intercâmbios.

(12)

Os objetivos do intercâmbio de perfis de ADN ao abrigo do presente regulamento não prejudicam a competência exclusiva dos Estados-Membros para decidir da finalidade das suas bases de dados nacionais de ADN, incluindo a prevenção ou a deteção de infrações penais.

(13)

Os Estados-Membros deverão, aquando da ligação inicial ao encaminhador previsto pelo presente regulamento, efetuar consultas automatizadas de perfis de ADN comparando todos os perfis de ADN armazenados nas suas bases de dados com todos os perfis de ADN armazenados nas bases de dados de todos os outros Estados-Membros e nos dados da Europol. O objetivo dessa consulta automatizada inicial é evitar quaisquer lacunas na identificação de correspondências entre os perfis de ADN armazenados na base de dados de um Estado-Membro e os perfis de ADN armazenados nas bases de dados de todos os outros Estados-Membros e nos dados da Europol. A consulta automatizada inicial deverá ser realizada bilateralmente, e não necessariamente em simultâneo com as bases de dados de todos os Estados-Membros e os dados da Europol. As modalidades de realização dessas consultas, incluindo o calendário e a quantidade por lote, deverão ser decididas bilateralmente e em conformidade com as regras e os procedimentos previstos no presente regulamento.

(14)

Após a consulta automatizada inicial de perfis de ADN, os Estados-Membros deverão efetuar regularmente consultas automatizadas, comparando todos os novos perfis de ADN aditados às suas bases de dados com todos os perfis de ADN armazenados nas bases de dados de outros Estados-Membros e nos dados da Europol. Essa consulta automatizada de novos perfis de ADN deverá ser efetuada regularmente. Se tais consultas não puderem ser efetuadas, os Estados-Membros em causa deverão poder realizá-las numa fase posterior a fim de garantir que não sejam perdidas correspondências. As modalidades de realização dessas consultas posteriores, incluindo o calendário e a quantidade por lote, deverão ser decididas bilateralmente e em conformidade com as regras e dos procedimentos previstos no presente regulamento.

(15)

Para a consulta automatizada de dados de registo de veículos, os Estados-Membros e a Europol deverão utilizar o Sistema Europeu de Informação sobre Veículos e Cartas de Condução (EUCARIS), criado pelo Tratado relativo a um Sistema Europeu de Informação sobre Veículos e Cartas de Condução (EUCARIS), concebido para o efeito, que liga todos os Estados-Membros participantes numa rede. Não é necessário um componente central para estabelecer a comunicação, uma vez que cada Estado-Membro comunica diretamente aos outros Estados-Membros ligados e a Europol comunica diretamente com as bases de dados ligadas.

(16)

A identificação de um criminoso é essencial para o êxito da investigação criminal e da ação penal. A consulta automatizada de imagens faciais de pessoas condenadas por uma infração penal ou suspeitas de a terem cometido ou, se permitido ao abrigo do direito nacional do Estado-Membro requerido, das vítimas, recolhidas nos termos do direito nacional, poderá facultar informações adicionais para o êxito da identificação de criminosos e da luta contra a criminalidade. Dada a sensibilidade dos dados em causa, apenas deverá ser possível efetuar consultas automatizadas para efeitos de prevenção, deteção ou investigação de uma infração penal punível com uma pena máxima de prisão não inferior a um ano nos termos do direito do Estado-Membro requerente.

(17)

A consulta automatizada de dados biométricos pelas autoridades competentes dos Estados-Membros responsáveis pela prevenção ou a deteção de infrações penais e as investigações nessa matéria ao abrigo do presente regulamento apenas deverá dizer respeito aos dados contidos nas bases de dados criadas para a prevenção ou deteção de infrações penais e as investigações nessa matéria.

(18)

A participação na consulta automatizada e no intercâmbio de ficheiros policiais deverá continuar a ser voluntária. Caso os Estados-Membros decidam participar apenas poderão, num espírito de reciprocidade, consultar as bases de dados de outros Estados-Membros, se disponibilizarem as suas próprias bases de dados para consulta por outros Estados-Membros. Os Estados-Membros participantes deverão estabelecer índices de ficheiros policiais nacionais. Deverá caber aos Estados-Membros decidir quais das bases de dados nacionais criadas para fins de prevenção, deteção e investigação de infrações penais a utilizar para criar os seus índices de ficheiros policiais nacionais. Esses índices incluem dados provenientes de bases de dados nacionais que a polícia verifica normalmente quando recebe pedidos de informação de outras autoridades de aplicação da lei. O presente regulamento cria o sistema europeu de indexação de ficheiros policiais (EPRIS, do inglês «European Police Record Index System») de acordo com o princípio da privacidade desde a conceção. As salvaguardas em matéria de proteção de dados incluem a pseudonimização, uma vez que os índices e as consultas não contêm dados pessoais claros, mas sim cadeias alfanuméricas. É importante que o EPRIS impeça os Estados-Membros ou a Europol de reverter a pseudonimização e de revelar os dados de identificação que resultaram na correspondência. Dada a sensibilidade dos dados em causa, o intercâmbio de índices de registos policiais nacionais ao abrigo do presente regulamento deverá abranger apenas os dados de pessoas condenadas por uma infração penal ou suspeitas de a terem cometido. Além disso, apenas deverá ser possível efetuar consultas automatizadas de índices de registos policiais nacionais para efeitos de prevenção, deteção e investigação de uma infração penal punível com uma pena máxima de prisão não inferior a um ano nos termos do direito do Estado-Membro requerente.

(19)

O intercâmbio de ficheiros policiais ao abrigo do presente regulamento não prejudica o intercâmbio de registos criminais através do regime do Sistema Europeu de Informação sobre Registos Criminais (ECRIS, do inglês «European Criminal Records Information System») existente criado pela Decisão-Quadro 2009/315/JAI do Conselho (11).

(20)

Nos últimos anos, a Europol recebeu uma grande quantidade de dados biométricos sobre suspeitos e pessoas condenadas por terrorismo e infrações penais provenientes de autoridades de países terceiros nos termos do Regulamento (UE) 2016/794, incluindo informações provenientes do campo de batalha de zonas de guerra. Em muitos casos, não é possível fazer pleno uso desses dados porque nem sempre estão disponíveis para as autoridades competentes dos Estados-Membros. É necessário incluir no regime de Prüm II os dados fornecidos por países terceiros e conservados na Europol e disponibilizá-los às autoridades competentes dos Estados-Membros, em consonância com o papel da Europol enquanto plataforma central de informações criminais da União, a fim de melhorar a prevenção, a deteção e a investigação de infrações penais graves. Este processo contribui igualmente para a criação de sinergias entre os diferentes instrumentos de aplicação da lei e assegura que os dados sejam utilizados da forma mais eficiente.

(21)

A Europol deverá poder consultar as bases de dados dos Estados-Membros no âmbito do regime de Prüm II com base nos dados recebidos de autoridades de países terceiros, no pleno respeito das regras e condições previstas no Regulamento (UE) 2016/794, a fim de estabelecer relações transfronteiriças entre processos penais no âmbito das competências da Europol. A possibilidade de utilizar os dados do Prüm, juntamente com outras bases de dados à disposição da Europol, permitiria realizar uma análise mais completa e informada, permitindo assim que a Europol prestasse um melhor apoio às autoridades competentes dos Estados-Membros para efeitos de prevenção, deteção e investigação de infrações penais.

(22)

A Europol deverá assegurar que os seus pedidos de consulta não excedam as capacidades de consulta no tocante a dados dactiloscópicos e imagens faciais estabelecidas pelos Estados-Membros. Em caso de correspondência entre os dados utilizados para a consulta e os dados armazenados nas bases de dados dos Estados-Membros, deverá caber aos Estados-Membros decidir se transmitem à Europol as informações necessárias para o desempenho das suas funções.

(23)

O Regulamento (UE) 2016/794 aplica-se em todos os seus elementos à participação da Europol no regime de Prüm II. A utilização pela Europol de dados recebidos de países terceiros rege-se pelo artigo 19.o do Regulamento (UE) 2016/794. A utilização pela Europol de dados obtidos a partir de consultas automatizadas ao abrigo do regime de Prüm II deverá estar sujeita ao consentimento do Estado-Membro que facultou os dados e reger-se pelo artigo 25.o do Regulamento (UE) 2016/794, caso os dados sejam transferidos para países terceiros.

(24)

As Decisões 2008/615/JAI e 2008/616/JAI preveem uma rede de ligações bilaterais entre as bases de dados nacionais dos Estados-Membros. Em consequência dessa arquitetura técnica, cada Estado-Membro teve de criar uma ligação a cada Estado-Membro que participa nos intercâmbios, o que significou pelo menos 26 ligações por Estado-Membro, por categoria de dados. O encaminhador e o EPRIS simplificarão a arquitetura técnica do regime de Prüm e servirão de pontos de ligação entre todos os Estados-Membros. O encaminhador deverá exigir uma única ligação por Estado-Membro em relação aos dados biométricos e o EPRIS deverá exigir uma única ligação por Estado-Membro participante em relação aos ficheiros policiais.

(25)

O encaminhador deverá estar ligado ao portal europeu de pesquisa criado pelos Regulamentos (UE) 2019/817 (12) e (UE) 2019/818 (13) do Parlamento Europeu e do Conselho, a fim de permitir que as autoridades competentes dos Estados-Membros e a Europol iniciem consultas às bases de dados nacionais ao abrigo do presente regulamento ao mesmo tempo das consultas ao repositório comum de dados de identificação criado pelos Regulamentos (UE) 2019/817 e (UE) 2019/818 para efeitos de aplicação da lei, nos termos desses regulamentos. Por conseguinte, esses regulamentos deverão ser alterados em conformidade. Ademais, o Regulamento (UE) 2019/818 deverá ser alterado com vista a permitir a conservação de relatórios e estatísticas do encaminhador no repositório central para a elaboração de relatórios e estatísticas.

(26)

Deverá ser possível que um número de referência dos dados biométricos possa ser um número de referência provisório ou um número de controlo da transação.

(27)

Os sistemas automáticos de identificação dactiloscópica e os sistemas de reconhecimento da imagem facial utilizam modelos biométricos compostos por dados derivados de uma extração de características de amostras biométricas reais. Os modelos biométricos deverão ser obtidos a partir de dados biométricos, mas não deverá ser possível obter os mesmos dados biométricos a partir dos modelos biométricos.

(28)

Caso assim seja decidido pelo Estado-Membro requerente, e se aplicável em função do tipo de dados biométricos, o encaminhador deverá classificar as respostas do ou dos Estados-Membros requeridos ou da Europol, comparando os dados biométricos utilizados na consulta com os dados biométricos transmitidos nas respostas pelo ou pelos Estados-Membros requeridos ou pela Europol.

(29)

Caso haja uma correspondência entre os dados utilizados para a consulta e os dados conservados na base de dados nacional do ou dos Estados-Membros requeridos, após confirmação manual da correspondência por um funcionário qualificado do Estado-Membro requerente e após a transmissão de uma descrição dos factos e uma indicação da infração subjacente utilizando a tabela comum de tipos de infrações previstos num ato de execução a adotar nos termos da Decisão-Quadro 2009/315/JAI do Conselho, o Estado-Membro requerido deverá enviar um conjunto limitado de dados de base, na medida em que tais dados existam. O conjunto limitado de dados de base deverá ser enviado através do encaminhador e, exceto se for exigida uma autorização judicial ao abrigo do direito nacional, no prazo de 48 horas após terem sido preenchidas as condições pertinentes. Esse prazo garantirá um rápido intercâmbio de comunicação entre as autoridades competentes dos Estados-Membros. Os Estados-Membros deverão manter o controlo da divulgação do conjunto limitado de dados de base. A intervenção humana deverá ser conservada em pontos fundamentais do processo, inclusive no atinente à decisão de lançar um pedido, de confirmar uma correspondência, de lançar um pedido de receção do conjunto de dados de base após uma correspondência confirmada e da decisão de divulgar dados pessoais ao Estado-Membro requerente, a fim de garantir que não haja um intercâmbio automatizado de dados de base.

(30)

No caso específico do ADN, o Estado-Membro requerido deverá poder igualmente confirmar a correspondência entre dois perfis de ADN, se tal for pertinente para fins de investigação de infrações penais. No seguimento da confirmação dessa correspondência pelo Estado-Membro requerido e da transmissão de uma descrição dos factos e uma indicação da infração subjacente utilizando a tabela comum de tipos de infrações previstos num ato de execução a adotar nos termos da Decisão-Quadro 2009/315/JAI, o Estado-Membro requerente deverá enviar um conjunto limitado de dados de base através do encaminhador no prazo de 48 horas após terem sido preenchidas as condições pertinentes, exceto se for exigida uma autorização judicial ao abrigo do direito nacional.

(31)

Os dados legalmente fornecidos e recebidos ao abrigo do presente regulamento estão sujeitos a prazos para a conservação e avaliação previstos na Diretiva (UE) 2016/680.

(32)

Deverá utilizar-se a norma do formato de mensagem universal (UMF, do inglês universal message format) no desenvolvimento do encaminhador e do EPRIS, na medida do possível. Qualquer intercâmbio automatizado de dados ao abrigo do presente regulamento deverá utilizar a norma UMF, na medida do possível. As autoridades competentes dos Estados-Membros e a Europol são incentivadas a utilizar a norma UMF em relação a qualquer outro intercâmbio de dados entre si, no contexto do regime de Prüm II. A norma UMF deverá constituir a norma para o intercâmbio transfronteiriço de informações estruturado entre os sistemas de informação, as autoridades ou as organizações no domínio da Justiça e Assuntos Internos.

(33)

Apenas as informações não classificadas poderão ser objeto de intercâmbio através do regime de Prüm II.

(34)

Cada Estado-Membro deverá notificar aos outros Estados-Membros, à Comissão, à Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), criada pelo Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho (14), e à Europol o conteúdo das suas bases de dados nacionais disponibilizadas através do regime de Prüm II e das condições relativas às consultas automáticas.

(35)

O presente regulamento não pode cobrir exaustivamente determinados aspetos do regime de Prüm II em razão da natureza técnica, altamente pormenorizada e frequentemente mutável destes últimos. Esses aspetos incluem, por exemplo, especificações e disposições técnicas para os procedimentos de consulta automatizada, as normas para o intercâmbio de dados, incluindo normas mínimas de qualidade, e os elementos de dados a partilhar. A fim de assegurar condições uniformes para a execução do presente regulamento, deverão ser atribuídas competências de execução à Comissão. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (15).

(36)

A qualidade dos dados é da maior importância enquanto salvaguarda e condição prévia essencial para assegurar a eficiência do presente regulamento. No contexto das consultas automatizadas de dados biométricos, e a fim de assegurar que os dados transmitidos tenham qualidade suficiente e reduzam o risco de falsas correspondências, deve ser estabelecida uma norma de qualidade mínima, revista periodicamente.

(37)

Dada a dimensão e a sensibilidade dos dados pessoais trocados para efeitos do presente regulamento, bem como a existência de regras nacionais diferentes para o armazenamento de informações sobre pessoas singulares nas bases de dados nacionais, é importante assegurar que as bases de dados utilizadas para a consulta automatizada ao abrigo do presente regulamento sejam estabelecidas em conformidade com o direito nacional e a Diretiva (UE) 2016/680. Por conseguinte, antes de ligarem as suas bases de dados nacionais ao encaminhador ou ao EPRIS, os Estados-Membros deverão efetuar uma avaliação de impacto sobre a proteção de dados a que se refere a Diretiva (UE) 2016/680 e, quando adequado, consultar a autoridade de controlo conforme previsto na mesma diretiva.

(38)

Os Estados-Membros e a Europol deverão velar pela exatidão e relevância dos dados pessoais tratados ao abrigo do presente regulamento. Se o Estado-Membro ou a Europol tomarem conhecimento de que foram transmitidos dados inexatos ou dados que deixaram de estar atualizados ou que não deveriam ter sido transmitidos, tal facto deverá ser comunicado ao Estado-Membro que recebeu os dados ou à Europol, se for caso disso, sem demora injustificada. Todos os Estados-Membros em causa ou a Europol, consoante o caso, deverão retificar ou apagar os dados, em conformidade, sem demora injustificada. Se o Estado-Membro que recebeu os dados ou a Europol tiverem motivos para crer que os dados transmitidos são inexatos ou devem ser apagados, deverão informar do facto o Estado-Membro que transmitiu os dados, sem demora injustificada.

(39)

É da maior importância um acompanhamento rigoroso da execução do presente regulamento. Em especial, o cumprimento das regras relativas ao tratamento de dados pessoais deverá estar sujeito a salvaguardas eficazes e deverão ser assegurados controlos e auditorias regulares por parte dos responsáveis pelo tratamento de dados, das autoridades de supervisão e da Autoridade Europeia para a Proteção de Dados, consoante o caso. Deverão também ser previstas disposições que permitam uma verificação regular da admissibilidade das consultas e da licitude do tratamento de dados.

(40)

As autoridades de controlo e a Autoridade Europeia para a Proteção de Dados deverão assegurar uma supervisão coordenada da aplicação do presente regulamento no âmbito das suas responsabilidades, em especial nos casos em que detetem discrepâncias importantes entre as práticas dos Estados-Membros ou práticas potencialmente ilícitas.

(41)

Ao executar o presente regulamento, é fundamental que os Estados-Membros e a Europol tenham em conta a jurisprudência do Tribunal de Justiça da União Europeia relativa ao intercâmbio de dados biométricas.

(42)

Três anos após a entrada em funcionamento do encaminhador e do EPRIS e, posteriormente, de quatro em quatro anos, a Comissão deverá elaborar um relatório de avaliação que inclua uma avaliação da aplicação do presente regulamento pelos Estados-Membros e pela Europol, em especial da sua conformidade com as garantias pertinentes em matéria de proteção de dados. Os relatórios de avaliação deverão também incluir uma análise dos resultados alcançados relativamente aos objetivos do presente regulamento e do seu impacto nos direitos fundamentais. Os relatórios de avaliação deverão avaliar igualmente os seus impacto, desempenho, eficácia, eficiência, segurança e práticas de trabalho do regime de Prüm II.

(43)

Uma vez que o presente regulamento prevê a criação de um novo regime de Prüm, deverão ser suprimidas as disposições das Decisões 2008/615/JAI e 2008/616/JAI que já não são pertinentes. As referidas decisões deverão ser alteradas em conformidade.

(44)

Uma vez que o encaminhador deve ser desenvolvido e gerido pela eu-LISA, o Regulamento (UE) 2018/1726 deverá ser alterado, acrescentando essa atribuição às funções da eu-LISA.

(45)

Atendendo a que os objetivos do presente regulamento, a saber, reforçar a cooperação policial transfronteiriça e permitir que as autoridades competentes dos Estados-Membros efetuem buscas de pessoas desaparecidas e identifiquem restos mortais humanos não identificados, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à dimensão e efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia (TUE). Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos.

(46)

Nos termos dos artigos 1.o e 2.° do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao TUE e ao TFUE, a Dinamarca não participa na adoção do presente regulamento e não fica a ele vinculada nem sujeita à sua aplicação.

(47)

Nos termos do artigo 3.o do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, a Irlanda notificou a sua intenção de participar na adoção e na aplicação do presente regulamento.

(48)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 2 de março de 2022 (16),

ADOTARAM O PRESENTE REGULAMENTO:

CAPÍTULO 1

Disposições gerais

Artigo 1.o

Objeto

O presente regulamento cria um regime para a consulta e o intercâmbio de informações entre as autoridades competentes dos Estados-Membros (regime de Prüm II), ao estabelecer:

a)

As condições e os procedimentos para a consulta automatizada de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais; e

b)

As regras relativas ao intercâmbio de dados de base na sequência de uma correspondência confirmada de dados biométricos.

Artigo 2.o

Objetivo

O objetivo do regime de Prüm II consiste em reforçar a cooperação transfronteiriça nas matérias abrangidas pela parte III, título V, capítulos 4 e 5, do Tratado sobre o Funcionamento da União Europeia, em especial ao facilitar o intercâmbio de informações entre as autoridades competentes dos Estados-Membros, no pleno respeito dos direitos fundamentais das pessoas singulares, incluindo o direito ao respeito pela vida privada e o direito à proteção dos dados pessoais, em conformidade com a Carta dos Direitos Fundamentais da União Europeia.

O objetivo do regime de Prüm II consiste igualmente em permitir que as autoridades competentes dos Estados-Membros efetuem buscas de pessoas desaparecidas no contexto de investigações penais ou por motivos humanitários e identifiquem restos mortais humanos, nos termos do artigo 29.o, desde que essas autoridades estejam habilitadas a efetuar tais buscas e proceder a essas identificações ao abrigo do direito nacional.

Artigo 3.o

Âmbito

O presente regulamento é aplicável às bases de dados criadas nos termos do direito nacional e utilizadas para a transferência automatizada de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais, em conformidade, consoante o caso, com a Diretiva (UE) 2016/680 ou com os Regulamentos (UE) 2018/1725, (UE) 2016/794 ou (UE) 2016/679.

Artigo 4.o

Definições

Para efeitos do presente regulamento, entende-se por:

1)

«Loci» (singular: «locus»), localizações de ADN que contêm características de identificação de uma amostra de ADN humano analisada;

2)

«Perfil de ADN», um código alfanumérico que representa um conjunto de loci ou a estrutura molecular específica presente nos diversos loci;

3)

«Dados de referência do ADN», um perfil de ADN e o número de referência a que se refere o artigo 7.o;

4)

«Perfil de ADN identificado», o perfil de ADN de uma pessoa identificada;

5)

«Perfil de ADN não identificado», o perfil de ADN recolhido durante a investigação de infrações penais e pertencente a uma pessoa ainda não identificada, incluindo um perfil de ADN que é obtido a partir de vestígios;

6)

«Dados dactiloscópicos», imagens de impressões digitais, imagens de impressões digitais latentes, imagens de impressões palmares, imagens de impressões palmares latentes e modelos dessas impressões (codificação de pormenores), que são armazenados e tratados numa base de dados automatizada;

7)

«Dados dactiloscópicos de referência», dados dactiloscópicos e o número de referência a que se refere o artigo 12.o;

8)

«Dados dactiloscópicos não identificados», dados dactiloscópicos recolhidos durante a investigação de uma infração penal e pertencentes a uma pessoa ainda não identificada, incluindo dados dactiloscópicos que são obtidos a partir de vestígios;

9)

«Dados dactiloscópicos identificados», dados dactiloscópicos de uma pessoa identificada;

10)

«Caso concreto», um processo individual relacionado com a prevenção, deteção ou investigação de uma infração penal, com a busca de uma pessoa desaparecida ou com a identificação de restos mortais humanos não identificados;

11)

«Imagem facial», uma imagem digitalizada da face;

12)

«Dados de referência da imagem facial», uma imagem facial e o número de referência a que se refere o artigo 21.o;

13)

«Imagem facial não identificada», uma imagem facial recolhida durante a investigação de uma infração penal e que pertence a uma pessoa ainda não identificada, incluindo a imagem facial obtida a partir de vestígios;

14)

«Imagem facial identificada», a imagem facial de uma pessoa identificada;

15)

«Dados biométricos», perfis de ADN, dados dactiloscópicos ou imagens faciais;

16)

«Dados alfanuméricos», dados representados por letras, dígitos, carateres especiais, espaços e sinais de pontuação;

17)

«Correspondência», a existência de uma correspondência em resultado de uma comparação automatizada de dados pessoais conservados numa base de dados;

18)

«Dados candidatos», dados com os quais ocorreu uma correspondência;

19)

«Estado-Membro requerente», um Estado-Membro que efetua uma consulta através do regime de Prüm II;

20)

«Estado-Membro requerido», um Estado-Membro em cujas bases de dados o Estado-Membro requerente efetua a consulta através do regime de Prüm II;

21)

«Ficheiros policiais», os dados biográficos de suspeitos e pessoas condenadas disponíveis em bases de dados nacionais criadas para fins de prevenção, deteção e investigação de infrações penais;

22)

«Pseudonimização», pseudonimização na aceção do artigo 3.o, ponto 5, da Diretiva (UE) 2016/680;

23)

«Suspeito», uma pessoa a que se refere o artigo 6.o, alínea a), da Diretiva (UE) 2016/680;

24)

«Dados pessoais», os dados pessoais na aceção do artigo 3.o, ponto 1, da Diretiva (UE) 2016/680;

25)

«Dados da Europol», quaisquer dados pessoais de caráter operacional tratados pela Europol nos termos do Regulamento (UE) 2016/794;

26)

«Autoridade competente», qualquer autoridade pública competente em matéria de prevenção, deteção ou investigação de infrações penais, ou qualquer outro organismo ou entidade incumbido pelo direito de um Estado-Membros de exercer autoridade pública e poderes públicos para fins de prevenção, deteção ou investigação de infrações penais;

27)

«Autoridade de controlo», uma autoridade pública independente criada por um Estado-Membro nos termos do artigo 41.o da Diretiva (UE) 2016/680;

28)

«SIENA», a aplicação de intercâmbio seguro de informações gerida e desenvolvida pela Europol nos termos do Regulamento (UE) 2016/794;

29)

«Incidente», um incidente na aceção do artigo 6.o, ponto 6, da Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (17);

30)

«Incidente significativo», um incidente, a menos que esse incidente tenha um impacto limitado e seja suscetível de já ser bem compreendido em termos de método ou de tecnologia;

31)

«Ciberameaça significativa», uma ciberameaça com a oportunidade, a capacidade e o objetivo de causar um incidente significativo;

32)

«Vulnerabilidade significativa», uma vulnerabilidade suscetível de resultar num incidente significativo, se for explorada.

CAPÍTULO 2

Intercâmbio de dados

Secção 1

Perfis de ADN

Artigo 5.o

Dados de referência do ADN

1.   Os Estados-Membros asseguram a disponibilidade de dados de referência do ADN a partir das suas bases de dados nacionais de ADN para efeitos de consultas automatizadas por outros Estados-Membros e pela Europol, nos termos do presente regulamento.

Os dados de referência do ADN não podem conter dados adicionais que permitam a identificação direta da pessoa.

Os perfis de ADN não identificados devem ser reconhecíveis como tal.

2.   Os dados de referência do ADN são tratados nos termos do presente regulamento e em conformidade com o direito nacional aplicável ao tratamento desses dados.

3.   A Comissão adota atos de execução para especificar as características de identificação dos perfis de ADN a partilhar. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 6.o

Consulta automatizada de perfis de ADN

1.   Para efeitos de investigação de infrações penais, os Estados-Membros realizam, aquando da ligação inicial ao encaminhador através dos seus pontos de contacto nacionais, uma consulta automatizada comparando todos os perfis de ADN armazenados nas suas bases de dados de ADN com todos os perfis de ADN armazenados nas bases de dados de ADN de todos os outros Estados-Membros e nos dados da Europol. Cada Estado-Membro acorda bilateralmente com cada um dos outros Estados-Membros e com a Europol as modalidades das referidas consultas automatizadas, nos termos das regras e dos procedimentos estabelecidos no presente regulamento.

2.   Para efeitos de investigação de infrações penais, os Estados-Membros efetuam, através dos seus pontos de contacto nacionais, consultas automatizadas comparando todos os novos perfis de ADN aditados às suas bases de dados de ADN com todos os perfis de ADN armazenados nas bases de dados de todos os outros Estados-Membros e nos dados da Europol.

3.   Caso não seja possível efetuar consultas referidas no n.o 2, o Estado-Membro em causa pode acordar bilateralmente com cada um dos outros Estados-Membros e com a Europol em efetuá-las numa fase posterior, comparando os perfis de ADN com todos os perfis de ADN armazenados nas bases de dados de todos os outros Estados-Membros e nos dados da Europol. O Estado-Membro em causa acorda bilateralmente com cada um dos outros Estados-Membros e com a Europol as modalidades dessas consultas automatizadas, nos termos das regras e dos procedimentos estabelecidos no presente regulamento.

4.   As consultas referidas nos n.os 1, 2 e 3 apenas podem ser feitas no âmbito de casos concretos e nos termos do direito nacional do Estado-Membro requerente.

5.   Caso uma consulta automatizada revele que o perfil de ADN transmitido corresponde a um perfil de ADN armazenado na(s) base(s) de dados consultada(s) do Estado-Membro requerido, o ponto de contacto nacional do Estado-Membro requerente recebe de forma automática os dados de referência do ADN com os quais se verificou a correspondência.

6.   O ponto de contacto nacional do Estado-Membro requerente pode decidir confirmar uma correspondência entre dois perfis de ADN. Se decidir confirmar uma correspondência entre dois perfis de ADN, informa o Estado-Membro requerente e assegura que pelo menos um funcionário qualificado efetua uma verificação manual a fim de confirmar essa correspondência com os dados de referência do ADN recebidos do Estado-Membro requerente.

7.   Se tal for pertinente para a investigação de infrações penais, o ponto de contacto nacional do Estado-Membro requerido pode decidir confirmar uma correspondência entre dois perfis de ADN. Se decidir confirmar uma correspondência entre dois perfis de ADN, informa o Estado-Membro requerente e assegura que pelo menos um funcionário qualificado efetue uma verificação manual a fim de confirmar essa correspondência com os dados de referência do ADN recebidos do Estado-Membro requerente.

Artigo 7.o

Números de referência de perfis de ADN

Os números de referência dos perfis de ADN são a combinação dos seguintes elementos:

a)

Um número de referência que permita aos Estados-Membros, em caso de correspondência, retirar mais dados e outras informações da sua base de dados de ADN nacional a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do artigo 47.o, ou à Europol, nos termos do artigo 49.o, n.o 6;

b)

Um número de referência que permita à Europol, em caso de correspondência, retirar mais dados e outras informações para efeitos do artigo 48.o, n.o 1, do presente regulamento, a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do Regulamento (UE) 2016/794;

c)

Um código que indique o Estado-Membro na posse do perfil de ADN;

d)

Um código que indique se o perfil de ADN é um perfil de ADN identificado ou um perfil de ADN não identificado.

Artigo 8.o

Princípios que regem o intercâmbio de perfis de ADN

1.   Os Estados-Membros tomam as medidas adequadas para assegurar a confidencialidade e a integridade dos dados de referência do ADN transmitidos a outros Estados-Membros ou à Europol, incluindo a sua cifragem. A Europol toma as medidas adequadas para assegurar a confidencialidade e a integridade dos dados de referência do ADN transmitidos aos Estados-Membros, incluindo a sua cifragem.

2.   Cada Estado-Membro e a Europol asseguram que os perfis de ADN que transmitem tenham qualidade suficiente para permitir a comparação automatizada. A Comissão estabelece, por meio de atos de execução, uma norma de qualidade mínima para permitir a comparação de perfis de ADN.

3.   A Comissão adota atos de execução que especifiquem as normas europeias ou internacionais pertinentes a utilizar pelos Estados-Membros e pela Europol para o intercâmbio de dados de referência do ADN.

4.   Os atos de execução referidos nos n.os 2 e 3 do presente artigo são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 9.o

Regras aplicáveis aos pedidos e respostas relativos aos perfis de ADN

1.   Um pedido de consulta automatizada de perfis de ADN apenas pode incluir as seguintes informações:

a)

O código do Estado-Membro requerente;

b)

A data, a hora e o número do pedido;

c)

Os dados de referência do ADN;

d)

Se os perfis de ADN transmitidos são perfis de ADN não identificados ou perfis de ADN identificados).

2.   A resposta ao pedido a que se refere o n.o 1 apenas pode incluir as seguintes informações:

a)

Uma indicação que especifique a existência ou não de uma ou várias correspondências;

b)

A data, a hora e o número do pedido;

c)

A data, a hora e o número da resposta;

d)

Os códigos do Estado-Membro requerente e do Estado-Membro requerido;

e)

Os números de referência dos perfis de ADN do Estado-Membro requerente e do Estado-Membro requerido;

f)

Se os perfis de ADN transmitidos são perfis de ADN não identificados ou perfis de ADN identificados;

g)

Os perfis de ADN correspondentes.

3.   Uma correspondência apenas pode ser automaticamente notificada se a consulta automatizada tiver resultado numa correspondência de um número mínimo de loci. A Comissão adota atos de execução que especifiquem o número mínimo de loci para esse efeito, pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

4.   Caso uma consulta com perfis de ADN não identificados resulte numa correspondência, cada Estado-Membro requerido com dados correspondentes pode introduzir na sua base de dados nacional uma marcação, indicando que houve uma correspondência para esse perfil de ADN na sequência da consulta de outro Estado-Membro. A marcação inclui o número de referência do perfil do ADN utilizado pelo Estado-Membro requerente.

5.   Os Estados-Membros asseguram que os pedidos referidos no n.o 1 do presente artigo são coerentes com as notificações enviadas nos termos do artigo 74.o. Essas notificações constam do manual prático a que se refere o artigo 79.o.

Secção 2

Dados dactiloscópicos

Artigo 10.o

Dados dactiloscópicos de referência

1.   Os Estados-Membros asseguram a disponibilidade de dados dactiloscópicos de referência provenientes das suas bases de dados nacionais criadas para fins de prevenção, deteção e investigação de infrações penais.

2.   Os dados dactiloscópicos de referência não podem conter dados adicionais que permitam a identificação direta da pessoa.

3.   Os dados dactiloscópicos não identificados devem ser reconhecíveis como tal.

Artigo 11.o

Consulta automatizada dos dados dactiloscópicos

1.   Para efeitos de prevenção, deteção e investigação de infrações penais, os Estados-Membros permitem que os pontos de contacto nacionais de outros Estados-Membros e a Europol tenham acesso aos dados dactiloscópicos de referência das suas bases de dados nacionais criadas para esse fim para efetuar consultas automatizadas mediante comparação de dados dactiloscópicos de referência.

As consultas referidas no primeiro parágrafo apenas podem ser feitas no âmbito de casos concretos e nos termos do direito nacional do Estado-Membro requerente.

2.   O ponto de contacto nacional do Estado-Membro requerente pode decidir confirmar uma correspondência entre dois conjuntos de dados dactiloscópicos. Se decidir confirmar uma correspondência entre dois conjuntos de dados dactiloscópicos, informa o Estado-Membro requerido e assegura que pelo menos um funcionário qualificado efetue uma verificação manual a fim de confirmar essa correspondência com os dados dactiloscópicos de referência recebidos do Estado-Membro requerido.

Artigo 12.o

Números de referência de dados dactiloscópicos

Os números de referência de dados dactiloscópicos são a combinação dos seguintes elementos:

a)

Um número de referência que permita aos Estados-Membros, em caso de correspondência, retirar mais dados e outras informações das suas bases de dados, a que se refere o artigo 10.o, a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do artigo 47.o, ou à Europol, nos termos do artigo 49.o, n.o 6;

b)

Um número de referência que permita à Europol, em caso de correspondência, retirar mais dados e outras informações para efeitos do artigo 48.o, n.o 1, do presente regulamento, a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do Regulamento (UE) 2016/794;

c)

Um código que indique o Estado-Membro na posse dos dados dactiloscópicos.

Artigo 13.o

Princípios que regem o intercâmbio de dados dactiloscópicos

1.   Os Estados-Membros tomam as medidas adequadas para assegurar a confidencialidade e a integridade dos dados dactiloscópicos enviados aos outros Estados-Membros ou à Europol, incluindo a sua cifragem. A Europol toma as medidas adequadas para assegurar a confidencialidade e a integridade dos dados dactiloscópicos enviados aos Estados-Membros, incluindo a sua cifragem.

2.   Cada Estado-Membro e a Europol asseguram que os dados dactiloscópicos que transmitem tenham qualidade suficiente para permitir a comparação automatizada. A Comissão estabelece, por meio de atos de execução, uma norma de qualidade mínima para permitir a comparação de dados dactiloscópicos.

3.   Os dados dactiloscópicos são digitalizados e transmitidos aos restantes Estados-Membros ou à Europol em conformidade com as normas europeias ou internacionais. A Comissão adota atos de execução que especifiquem as normas europeias ou internacionais pertinentes a utilizar pelos Estados-Membros e pela Europol para o intercâmbio de dados dactiloscópicos.

4.   Os atos de execução referidos nos n.os 2 e 3 do presente artigo são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 14.o

Capacidades de consulta de dados dactiloscópicos

1.   Cada Estado-Membro assegura que os respetivos pedidos de consulta não excedam as capacidades de consulta especificadas pelo Estado-Membro requerido ou pela Europol a fim de garantir a prontidão do sistema e evitar sobrecarregá-lo. Para o mesmo efeito, a Europol assegura que os seus pedidos de consulta não excedam as capacidades de consulta especificadas pelo Estado Membro requerido.

Os Estados-Membros informam os outros Estados-Membros, a Comissão, a eu-LISA e a Europol das suas capacidades máximas de consulta por dia de dados dactiloscópicos identificados e não identificados. A Europol informa os Estados-Membros, a Comissão e a eu-LISA das suas capacidades máximas de consulta por dia de dados dactiloscópicos identificados e não identificados. Os Estados-Membros ou a Europol podem temporária ou permanentemente aumentar essas capacidades de consulta a qualquer momento, nomeadamente em caso de urgência. Sempre que um Estado-Membro aumente essas capacidades máximas de consulta, notifica os outros Estados-Membros, a Comissão, a eu-LISA e a Europol das novas capacidades máximas de consulta. Sempre que a Europol aumente essas capacidades máximas de consulta, notifica os Estados-Membros, a Comissão e a eu-LISA das novas capacidades máximas de consulta.

2.   A Comissão adota atos de execução que especifiquem os números máximos de dados candidatos aceites para comparação por transmissão e a distribuição das capacidades de consulta não utilizadas entre os Estados-Membros, pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 15.o

Regras aplicáveis aos pedidos e respostas relativos aos dados dactiloscópicos

1.   Um pedido de consulta automatizada de dados dactiloscópicos apenas pode incluir as seguintes informações:

a)

O código do Estado-Membro requerente;

b)

A data, a hora e o número do pedido;

c)

Os dados dactiloscópicos de referência.

2.   A resposta ao pedido a que se refere o n.o 1 apenas pode incluir as seguintes informações:

a)

Uma indicação que especifique a existência ou não de uma ou várias correspondências;

b)

A data, a hora e o número do pedido;

c)

A data, a hora e o número da resposta;

d)

Os códigos do Estado-Membro requerente e do Estado-Membro requerido;

e)

Os números de referência dos dados dactiloscópicos do Estado-Membro requerente e do Estado-Membro requerido;

f)

Os dados dactiloscópicos correspondentes.

3.   Os Estados-Membros asseguram que os pedidos referidos no n.o 1 do presente artigo sejam coerentes com as notificações enviadas nos termos do artigo 74.o. Essas notificações constam do manual prático a que se refere o artigo 79.o.

Secção 3

Dados de registo de veículos

Artigo 16.o

Consulta automatizada dos dados de registo de veículos

1.   Para efeitos de prevenção, deteção e investigação de infrações penais, os Estados-Membros permitem que os pontos de contacto nacionais de outros Estados-Membros e a Europol tenham acesso aos seguintes dados nacionais de registo de veículos, a fim de efetuarem consultas automatizadas em casos concretos:

a)

Dados relativos aos proprietários ou detentores do veículo;

b)

Dados relativos ao veículo.

2.   As consultas a que se refere o n.o 1 são feitas utilizando apenas os seguintes elementos:

a)

Um número completo do quadro do veículo;

b)

Um número completo de matrícula; ou

c)

Se autorizado pelo direito nacional do Estado-Membro requerido, os dados relativos ao proprietário ou detentor do veículo.

3.   As consultas a que se refere o n.o 1 com dados relativos ao proprietário ou detentor do veículo apenas podem ser efetuadas em caso de suspeitos ou pessoas condenadas. Para efeitos das referidas consultas, são utilizados todos os seguintes dados de identificação:

a)

Se o proprietário ou detentor do veículo for uma pessoa singular:

i)

o nome próprio ou os nomes próprios da pessoa singular,

ii)

o apelido ou os apelidos da pessoa singular, e

iii)

a data de nascimento da pessoa singular;

b)

Se o proprietário ou detentor do veículo for uma pessoa coletiva, o nome dessa pessoa coletiva.

4.   As consultas referidas no n.o 1 apenas podem ser feitas nos termos do direito nacional do Estado-Membro requerente.

Artigo 17.o

Princípios que regem a consulta automatizada dos dados de registo de veículos

1.   Para a consulta automatizada dos dados de registo de veículos, os Estados-Membros utilizam o Sistema Europeu de Informação sobre Veículos e Cartas de Condução (EUCARIS).

2.   As informações partilhadas através do EUCARIS devem ser transmitidas sob forma cifrada.

3.   A Comissão adota atos de execução que especifiquem os elementos de dados dos dados de registo de veículos que podem ser partilhados e o procedimento técnico para que o EUCARIS consulte as bases de dados dos Estados-Membros. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 18.o

Manutenção de registos

1.   Cada Estado-Membro mantém registos das consultas efetuadas pelo pessoal das suas autoridades competentes devidamente autorizado a partilhar dados de registo de veículos e registos das consultas requeridas por outros Estados-Membros. A Europol mantém registos das consultas feitas pelo seu pessoal devidamente autorizado.

Cada Estado-Membro e a Europol mantêm registos de todas as operações de tratamento de dados no que respeita aos dados de registo de veículos. Esses registos incluem o seguinte:

a)

Se foi um Estado-Membro ou a Europol que iniciou o pedido de consulta; se tiver sido um Estado-Membro que iniciou o pedido de consulta, o Estado-Membro em causa;

b)

A data e a hora do pedido;

c)

A data e a hora da resposta;

d)

As bases de dados nacionais às quais foi enviado um pedido de consulta;

e)

As bases de dados nacionais que facultaram uma resposta positiva.

2.   Os registos referidos no n.o 1 apenas podem ser utilizados para recolher estatísticas e controlar a proteção de dados, incluindo a verificação da admissibilidade de uma consulta e da licitude do tratamento de dados, bem como para garantir a segurança e a integridade dos dados. Esses registos estão protegidos por medidas adequadas contra o acesso não autorizado e são apagados três anos após a sua criação. Se, no entanto, forem necessários para procedimentos de controlo que já tenham tido início, esses registos são apagados logo que deixarem de ser necessários para o efeito.

3.   Para efeitos de controlo da proteção de dados, nomeadamente para verificação da admissibilidade de uma consulta e da licitude do tratamento dos dados, os responsáveis pelo tratamento têm acesso aos registos para fins do controlo exercido por uma autoridade sobre si mesma, como referido no artigo 55.o.

Secção 4

Imagens faciais

Artigo 19.o

Dados de referência das imagens faciais

1.   Os Estados-Membros asseguram a disponibilidade dos dados de referência das imagens faciais de suspeitos, de pessoas condenadas e, se permitido ao abrigo do direito nacional, de vítimas, das suas bases de dados nacionais criadas para fins de prevenção, deteção e investigação de infrações penais.

2.   Os dados de referência das imagens faciais não podem conter dados adicionais que permitam a identificação direta da pessoa.

3.   As imagens faciais não identificadas devem ser reconhecíveis como tal.

Artigo 20.o

Consulta automatizada de imagens faciais

1.   Para efeitos de prevenção, deteção e investigação de infrações penais puníveis com uma pena máxima de prisão não inferior a um ano nos termos do direito do Estado-Membro requerente, os Estados-Membros permitem que os pontos de contacto nacionais de outros Estados-Membros, bem como a Europol, tenham acesso aos dados de referência das imagens faciais nas suas bases de dados nacionais, a fim de efetuarem consultas automatizadas.

As consultas a que se refere o primeiro parágrafo apenas podem ser feitas no âmbito de casos concretos e em conformidade com o direito nacional do Estado-Membro requerente.

É proibida a definição de perfis a que se refere o artigo 11.o, n.o 3, da Diretiva (UE) 2016/680.

2.   O ponto de contacto nacional do Estado-Membro requerente pode decidir confirmar uma correspondência entre duas imagens faciais. Se decidir confirmar a correspondência entre duas imagens faciais, informa o Estado-Membro requerido e assegura que pelo menos um funcionário qualificado efetue uma verificação manual da lista para confirmar essa correspondência com os dados de referência das imagens faciais recebidos do Estado-Membro requerido.

Artigo 21.o

Números de referência de imagens faciais

Os números de referência de imagens faciais são a combinação dos seguintes elementos:

a)

Um número de referência que permita aos Estados-Membros, em caso de correspondência, retirar mais dados e outras informações da sua base de dados a que se refere o artigo 19.o, a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do artigo 47.o, ou à Europol, nos termos do artigo 49.o, n.o 6;

b)

Um número de referência que permita à Europol, em caso de correspondência, retirar mais dados e outras informações para efeitos do artigo 48.o, n.o 1, do presente regulamento a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros, nos termos do Regulamento (UE) 2016/794;

c)

Um código que indique o Estado-Membro na posse das imagens faciais.

Artigo 22.o

Princípios que regem o intercâmbio de imagens faciais

1.   Os Estados-Membros tomam as medidas adequadas a fim de assegurar a confidencialidade e a integridade das imagens faciais transmitidas aos outros Estados-Membros ou à Europol, incluindo a sua cifragem. A Europol toma as medidas adequadas a fim de assegurar a confidencialidade e a integridade das imagens faciais transmitidas aos Estados-Membros, incluindo a sua cifragem.

2.   Cada Estado-Membro e a Europol asseguram que as imagens faciais que transmitem tenham qualidade suficiente para permitir a comparação automatizada. A Comissão estabelece, por meio de atos de execução, uma norma de qualidade mínima para permitir a comparação de imagens faciais. Se o relatório a que se refere o artigo 80.o, n.o 7, revelar um risco elevado de falsas correspondências, a Comissão revê os referidos atos de execução.

3.   A Comissão adota atos de execução que especifiquem as normas europeias ou internacionais pertinentes para o intercâmbio de imagens faciais a utilizar pelos Estados-Membros e pela Europol para o intercâmbio de imagens faciais.

4.   Os atos de execução referidos nos n.os 2 e 3 do presente artigo são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 23.o

Capacidades de consulta de imagens faciais

1.   Cada Estado-Membro assegura que os seus pedidos de consulta não excedam as capacidades de consulta especificadas pelo Estado-Membro requerido ou pela Europol para garantir a prontidão do sistema e evitar sobrecarregá-lo. Para o mesmo efeito, a Europol assegura que os seus pedidos de consulta não excedam as capacidades de consulta especificadas pelo Estado Membro requerido.

Os Estados-Membros informam os outros Estados-Membros, a Comissão, a eu-LISA e a Europol das suas capacidades máximas de consulta por dia de imagens faciais identificadas e não identificadas. A Europol informa os Estados-Membros, a Comissão e a eu-LISA das suas capacidades máximas de consulta por dia de imagens faciais identificadas e não identificadas. Os Estados-Membros ou a Europol podem aumentar temporária ou permanentemente essas capacidades de consulta a qualquer momento, nomeadamente em caso de urgência. Sempre que um Estado-Membro aumente essas capacidades máximas de consulta, notifica os outros Estados-Membros, a Comissão, a eu-LISA e a Europol das novas capacidades máximas de consulta. Sempre que a Europol aumente essas capacidades máximas de consulta, notifica os Estados-Membros, a Comissão e a eu-LISA das novas capacidades máximas de consulta.

2.   A Comissão adota atos de execução que especifiquem os números máximos de dados candidatos aceites para comparação por cada transmissão e a distribuição das capacidades de consulta não utilizadas entre os Estados-Membros, pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 24.o

Regras aplicáveis aos pedidos e respostas relativos às imagens faciais

1.   Um pedido de consulta automatizada de imagens faciais apenas pode incluir as seguintes informações:

a)

O código do Estado-Membro requerente;

b)

A data, a hora e o número do pedido;

c)

Os dados de referência das imagens faciais.

2.   Uma resposta a um pedido a que se refere o n.o 1 apenas pode incluir as seguintes informações:

a)

Uma indicação que especifique a existência ou não de uma ou várias correspondências;

b)

A data, a hora e o número do pedido;

c)

A data, a hora e o número da resposta;

d)

Os códigos do Estado-Membro requerente e do Estado-Membro requerido;

e)

Os números de referência das imagens faciais do Estado-Membro requerente e do Estado-Membro requerido;

f)

As imagens faciais correspondentes.

3.   Os Estados-Membros asseguram que os pedidos referidos no n.o 1 do presente artigo sejam coerentes com as notificações enviadas nos termos do artigo 74.o. Essas notificações constam do manual prático a que se refere o artigo 79.o.

Secção 5

Ficheiros policiais

Artigo 25.o

Ficheiros policiais

1.   Os Estados-Membros podem decidir participar no intercâmbio automatizado de ficheiros policiais. Para efeitos desses intercâmbios, os Estados-Membros participantes asseguram a disponibilidade de índices de ficheiros policiais nacionais que contenham conjuntos de dados biográficos de suspeitos e pessoas condenadas provenientes das respetivas bases de dados nacionais criadas para a prevenção, deteção e investigação de infrações penais. Esses conjuntos de dados apenas podem conter os seguintes dados, na medida em que estejam disponíveis:

a)

Nome próprio ou nomes próprios;

b)

Apelido ou apelidos;

c)

Pseudónimo ou pseudónimos e nome ou nomes utilizados anteriormente;

d)

Data de nascimento;

e)

Nacionalidade ou nacionalidades;

f)

País de nascimento;

g)

Género.

2.   Os dados a que se refere o n.o 1, alíneas a), b) e c) devem ser pseudonimizados.

Artigo 26.o

Consulta automatizada de índices de ficheiros policiais nacionais

Para efeitos de prevenção, deteção e investigação de infrações penais puníveis com uma pena máxima de prisão não inferior a um ano nos termos da legislação do Estado-Membro requerente, os Estados-Membros que participam no intercâmbio automatizado de ficheiros policiais permitem que os pontos de contacto nacionais de outros Estados-Membros participantes, bem como a Europol, tenham acesso a dados dos seus índices de ficheiros policiais nacionais, a fim de efetuarem consultas automatizadas.

As consultas referidas no primeiro parágrafo apenas podem ser feitas no âmbito de casos concretos e nos termos do direito nacional do Estado-Membro requerente.

Artigo 27.o

Números de referência de ficheiros policiais

Os números de referência de ficheiros policiais são a combinação dos seguintes elementos:

a)

Um número de referência que permita aos Estados-Membros, em caso de correspondência, retirar dados biográficos e outras informações dos seus índices de ficheiros policiais nacionais a que se refere o artigo 25.o a fim de os transmitir a um, a vários ou a todos os outros Estados-Membros nos termos do artigo 44.o;

b)

Um código que indique o Estado-Membro que detém os ficheiros policiais.

Artigo 28.o

Regras aplicáveis aos pedidos e respostas relativos a ficheiros policiais

1.   Um pedido de consulta automatizada de índices de ficheiros policiais nacionais apenas pode incluir as seguintes informações:

a)

O código do Estado-Membro requerente;

b)

A data, a hora e o número do pedido;

c)

Os dados a que se refere o artigo 25.o, na medida em que estejam disponíveis.

2.   Uma resposta a um pedido a que se refere o n.o 1 apenas pode incluir as seguintes informações:

a)

Uma indicação que especifique o número de correspondências;

b)

A data, a hora e o número do pedido;

c)

A data, a hora e o número da resposta;

d)

Os códigos do Estado-Membro requerente e do Estado-Membro requerido;

e)

Os números de referência dos ficheiros policiais dos Estados-Membros requeridos.

3.   Os Estados-Membros asseguram que os pedidos referidos no n.o 1 do presente artigo sejam coerentes com as notificações enviadas nos termos do artigo 74.o. Essas notificações constam do manual prático a que se refere o artigo 79.o.

Secção 6

Disposições comuns

Artigo 29.o

Pessoas desaparecidas e restos mortais humanos não identificados

1.   Sempre que uma autoridade nacional tenha para tal sido habilitada por medidas legislativas nacionais conforme referido no n.o 2, pode efetuar consultas automatizadas através do regime de Prüm II apenas para as seguintes finalidades:

a)

Buscas de pessoas desaparecidas no contexto de investigações criminais ou por motivos humanitários;

b)

Identificação de restos mortais humanos.

2.   Os Estados-Membros que pretendam fazer uso da possibilidade prevista no n.o 1designam, através de medidas legislativas nacionais, as autoridades nacionais competentes para as finalidades aí previstas e definem os procedimentos, as condições e os critérios, incluindo os motivos humanitários, com base nos quais é permitido efetuar consultas automatizadas de pessoas desaparecidas tal como referido no n.o 1, alínea a).

Artigo 30.o

Pontos de contacto nacionais

Cada Estado-Membro designa um ou mais pontos de contacto nacionais para efeitos dos artigos 6.o, 11.°, 16.°, 20.° e 26.°.

Artigo 31.o

Medidas de execução

A Comissão adota atos de execução que especifiquem as disposições técnicas a adotar pelos Estados-Membros relativamente aos procedimentos previstos nos artigos 6.o„ 11.°, 16.°, 20.° e 26.°. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 32.o

Disponibilidade do intercâmbio automatizado de dados a nível nacional

1.   Os Estados-Membros tomam todas as medidas necessárias para garantir que a consulta automatizada de perfis de ADN, dados dactiloscópicos, determinados dados de registo de veículos, imagens faciais e ficheiros policiais seja possível 24 horas por dia, 7 dias por semana.

2.   Os pontos de contacto nacionais informam-se mutuamente de imediato, bem como a Comissão, a eu-LISA e a Europol sempre que o intercâmbio automatizado de dados esteja indisponível, inclusive, se for o caso, de eventuais problemas técnicos que causem a indisponibilidade.

Os pontos de contacto nacionais acordam entre si, nos termos do direito da União e do direito nacional aplicáveis, os mecanismos alternativos temporários para o intercâmbio de informações a utilizar nos casos em que o intercâmbio automatizado de dados esteja indisponível.

3.   Caso o intercâmbio automático de dados esteja indisponível, os pontos de contacto nacionais asseguram que o mesmo seja restabelecido por todos os meios necessários e sem demora.

Artigo 33.o

Justificação para o tratamento de dados

1.   Cada Estado-Membro mantém um registo das justificações das consultas realizadas pelas suas autoridades competentes.

A Europol mantém um registo das justificações das consultas que realiza.

2.   As justificações a que se refere o n.o 1 incluem:

a)

A finalidade da consulta, incluindo uma referência à investigação ou ao processo específico, e, se aplicável, à infração penal específica;

b)

Uma indicação sobre se a consulta diz respeito a um suspeito ou a uma pessoa condenada por uma infração penal, a uma vítima de uma infração penal, a uma pessoa desaparecida ou a restos mortais humanos não identificados;

c)

Uma indicação sobre se a consulta visa identificar uma pessoa ou obter mais dados sobre uma pessoa conhecida.

3.   As justificações a que se refere o n.o 1 do presente artigo devem ser rastreáveis nos registos referidos nos artigos 18.o, 40.° e 45.°. Essas justificações apenas podem ser utilizadas para avaliar se as consultas são proporcionadas e necessárias para efeitos de prevenção, deteção e investigação de uma infração penal e para o controlo da proteção de dados, inclusive para verificar a admissibilidade de uma consulta e a licitude do tratamento dos dados, e para garantir a segurança e a integridade dos dados. Essas justificações estão protegidas por medidas adequadas contra o acesso não autorizado e são apagadas três anos após a sua criação. Se, no entanto, forem necessárias para procedimentos de controlo que já tenham tido início, essas justificações são apagadas logo que deixarem de ser necessárias para o efeito.

4.   A fim de avaliar a proporcionalidade e a necessidade das consultas para efeitos de prevenção, deteção e investigação de uma infração penal ou para o controlo da proteção de dados, nomeadamente para verificação da admissibilidade de uma consulta e da licitude do tratamento dos dados, os responsáveis pelo tratamento têm acesso às justificações para fins do controlo exercido por uma autoridade sobre si mesma, como referido no artigo 55.o.

Artigo 34.o

Utilização do formato de mensagem universal

1.   A norma do formato de mensagem universal (UMF) prevista no artigo 38.o do Regulamento (UE) 2019/818 é utilizada no desenvolvimento do encaminhador a que se refere o artigo 35.o do presente regulamento e do sistema europeu de indexação de ficheiros policiais (EPRIS), na medida do possível.

2.   Qualquer intercâmbio automatizado de dados nos termos do presente regulamento utiliza a norma UMF, na medida do possível.

CAPÍTULO 3

Arquitetura

Secção 1

Encaminhador

Artigo 35.o

Encaminhador

1.   É criado um encaminhador com o objetivo de facilitar o estabelecimento de ligações entre os Estados-Membros, assim como entre os Estados-Membros e a Europol, para a consulta, a recuperação e a classificação de dados biométricos e para a recuperação de dados alfanuméricos nos termos do presente regulamento.

2.   O encaminhador é composto por:

a)

Uma infraestrutura central, incluindo uma ferramenta de pesquisa que permita a consulta simultânea das bases de dados nacionais a que se referem os artigos 5.o, 10.° e 19.°, e dos dados da Europol;

b)

Um canal de comunicação seguro entre a infraestrutura central e as autoridades competentes autorizadas a utilizar o encaminhador, nos termos do artigo 36.o, e a Europol;

c)

Uma infraestrutura de comunicação segura entre a infraestrutura central e o portal europeu de pesquisa, criado pelo artigo 6.o do Regulamento (UE) 2019/817 e pelo artigo 6.o do Regulamento (UE) 2019/818, para efeitos do artigo 39.o.

Artigo 36.o

Utilização do encaminhador

A utilização do encaminhador é reservada às autoridades competentes dos Estados-Membros autorizadas a aceder a perfis de ADN, dados dactiloscópicos e imagens faciais e a trocar esses dados nos termos do presente regulamento, assim como à Europol, nos termos do presente regulamento e do Regulamento (UE) 2016/794.

Artigo 37.o

Processos

1.   As autoridades competentes autorizadas a utilizar o encaminhador nos termos do artigo 36.o ou a Europol solicitam uma consulta mediante a apresentação de dados biométricos ao encaminhador. O encaminhador envia o pedido de consulta às bases de dados de todos os Estados-Membros ou de Estados-Membros específicos e aos dados da Europol em simultâneo com os dados apresentados pelo utilizador em conformidade com os seus direitos de acesso.

2.   Após a receção de um pedido de consulta do encaminhador, cada Estado-Membro requerido lança uma consulta das suas bases de dados de forma automatizada e sem demora. Após a receção de um pedido de consulta do encaminhador, a Europol lança uma consulta das suas bases de dados de forma automatizada e sem demora.

3.   Todas as correspondências resultantes das consultas a que se refere o n.o 2 são enviadas de forma automatizada ao encaminhador. O Estado-Membro requerente é notificado de forma automatizada se não houver correspondência.

4.   O encaminhador, se o Estado-Membro requerente assim o decidir e se aplicável, classifica as respostas comparando os dados biométricos utilizados na consulta com os dados biométricos fornecidos nas respostas do ou dos Estados-Membros requeridos ou da Europol.

5.   O encaminhador envia a lista dos dados biométricos correspondentes e as respetivas classificações ao utilizador do encaminhador.

6.   A Comissão adota atos de execução que especifiquem o procedimento técnico para a consulta, pelo encaminhador, das bases de dados dos Estados-Membros e dos dados da Europol, o formato das respostas do encaminhador e as regras técnicas para a comparação e classificação da correspondência entre dados biométricos. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 38.o

Controlo da qualidade

O Estado-Membro requerido controla a qualidade dos dados transmitidos por meio de um processo automatizado.

O Estado-Membro requerido informa sem demora o Estado-Membro requerente, através do encaminhador, caso os dados não se adequem a uma comparação automatizada.

Artigo 39.o

Interoperabilidade entre o encaminhador e o repositório comum de dados de identificação para efeitos de acesso das autoridades responsáveis pela aplicação da lei

1.   Caso as autoridades designadas, na aceção do artigo 4.o, ponto 20, do Regulamento (UE) 2019/817 e do artigo 4.o, ponto 20, do Regulamento (UE) 2019/818, estejam autorizadas a utilizar o encaminhador ao abrigo do artigo 36.o do presente regulamento, podem lançar uma consulta às bases de dados dos Estados-Membros e aos dados da Europol em simultâneo com uma consulta ao repositório comum de dados de identificação, criado pelo artigo 17.o do Regulamento (UE) 2019/817 e pelo artigo 17.o do Regulamento (UE) 2019/818, desde que sejam cumpridas as condições pertinentes ao abrigo do direito da União e que a consulta seja lançada em conformidade com os seus direitos de acesso. Para o efeito, o encaminhador consulta o repositório comum de dados de identificação através do portal europeu de pesquisa.

2.   As consultas ao repositório comum de dados de identificação para efeitos de aplicação da lei são efetuadas nos termos do artigo 22.o do Regulamento (UE) 2019/817 e do artigo 22.o do Regulamento (UE) 2019/818. O resultado dessas consultas é transmitido através do portal europeu de pesquisa.

Apenas podem ser lançadas consultas simultâneas das bases de dados dos Estados-Membros, dos dados da Europol e do repositório comum de dados de identificação caso existam motivos razoáveis para crer que os dados sobre um suspeito, um autor ou uma vítima de uma infração terrorista ou de outras infrações penais graves, na aceção do artigo 4.o, pontos 21 e 22, respetivamente, do Regulamento (UE) 2019/817 e do artigo 4.o, pontos 21 e 22, respetivamente, do Regulamento (UE) 2019/818 sejam conservados no repositório comum de dados de identificação.

Artigo 40.o

Manutenção de registos

1.   A eu-LISA mantém registos de todas as operações de tratamento de dados efetuadas pelo encaminhador. Esses registos incluem o seguinte:

a)

Se foi um Estado-Membro ou a Europol que iniciou o pedido de consulta; se tiver sido um Estado-Membro que iniciou o pedido de consulta, o Estado-Membro em causa;

b)

A data e a hora do pedido;

c)

A data e a hora da resposta;

d)

As bases de dados nacionais ou os dados da Europol aos quais foi enviado um pedido de consulta;

e)

As bases de dados nacionais ou dados da Europol que facultaram uma resposta;

f)

Se aplicável, o facto de ter havido uma consulta simultânea ao repositório comum de dados de identificação.

2.   Cada Estado-Membro mantém registos das consultas efetuadas pelo pessoal das suas autoridades competentes devidamente autorizado a utilizar o encaminhador, bem como registos das consultas requeridas por outros Estados-Membros.

A Europol mantém registos das consultas feitas pelo seu pessoal devidamente autorizado.

3.   Os registos referidos nos n.os 1 e 2 apenas podem ser utilizados para recolher estatísticas e controlar a proteção de dados, incluindo a verificação da admissibilidade de uma consulta e da licitude do tratamento dos dados, bem como para garantir a segurança e a integridade dos dados. Esses registos estão protegidos por medidas adequadas contra o acesso não autorizado e são apagados três anos após a sua criação. Se, no entanto, forem necessários para procedimentos de controlo que já tenham tido início, esses registos são apagados logo que deixarem de ser necessários para o efeito.

4.   Para efeitos de controlo da proteção de dados, nomeadamente para verificação da admissibilidade de uma consulta e da licitude do tratamento dos dados, os responsáveis pelo tratamento têm acesso aos registos para fins do controlo exercido por uma autoridade sobre si mesma, como referido no artigo 55.o.

Artigo 41.o

Procedimentos de notificação em caso de impossibilidade técnica de utilizar o encaminhador

1.   Caso seja tecnicamente impossível utilizar o encaminhador para consultar uma ou várias bases de dados nacionais ou os dados da Europol devido a uma falha do encaminhador, a eu-LISA notifica de forma automatizada os utilizadores do encaminhador referidos no artigo 36.o. A eu-LISA toma sem demora medidas adequadas para resolver a impossibilidade técnica de utilizar o encaminhador.

2.   Em caso de impossibilidade técnica de utilizar o encaminhador para consultar uma ou várias bases de dados nacionais devido a uma falha da infraestrutura nacional de um Estado-Membro, esse Estado-Membro notifica os restantes Estados-Membros, a Comissão, a eu-LISA e a Europol de forma automatizada. O Estado-Membro em causa toma sem demora medidas adequadas para resolver a impossibilidade técnica de utilizar o encaminhador.

3.   Em caso de impossibilidade técnica de utilizar o encaminhador para consultar os dados da Europol devido a uma falha da infraestrutura da Europol, a Europol notifica os Estados-Membros, a Comissão e a eu-LISA de forma automatizada. A Europol toma sem demora medidas adequadas para resolver a impossibilidade técnica de utilizar o encaminhador.

Secção 2

EPRIS

Artigo 42.o

EPRIS

1.   É criado o sistema europeu de indexação de ficheiros policiais (EPRIS, do inglês «European Police Record Index System»). Para a consulta automatizada dos índices de ficheiros policiais nacionais a que se refere o artigo 26.o, os Estados-Membros e a Europol utilizam o EPRIS.

2.   O EPRIS é composto por:

a)

Uma infraestrutura descentralizada nos Estados-Membros, incluindo uma ferramenta de pesquisa que permita a consulta simultânea dos índices de ficheiros policiais nacionais, assente nas bases de dados nacionais;

b)

Uma infraestrutura central de apoio à ferramenta de pesquisa que permita a consulta simultânea dos índices de ficheiros policiais nacionais;

c)

Um canal de comunicação seguro entre a infraestrutura central, os Estados-Membros e a Europol.

Artigo 43.o

Utilização do EPRIS

1.   Para efeitos de consulta dos índices de ficheiros policiais nacionais através do EPRIS, são utilizados pelo menos dois dos seguintes conjuntos de dados:

a)

Nome próprio ou nomes próprios;

b)

Apelido ou apelidos;

c)

Data de nascimento.

2.   É igualmente possível utilizar os seguintes conjuntos de dados, se disponíveis:

a)

Pseudónimo ou pseudónimos e nome ou nomes utilizados anteriormente;

b)

Nacionalidade ou nacionalidades;

c)

País de nascimento;

d)

Género.

3.   Os dados referidos no n.o 1, alíneas a) e b), e no n.o 2, alínea a), devem ser pseudonimizados.

Artigo 44.o

Processos

1.   Se os Estados-Membros ou a Europol solicitarem uma consulta, devem apresentar os dados referidos no artigo 43.o.

O EPRIS envia o pedido de consulta aos índices de ficheiros policiais nacionais dos Estados-Membros com os dados apresentados pelo Estado-Membro requerente ou pela Europol e em conformidade com o presente regulamento.

2.   Após a receção de um pedido de consulta do EPRIS, cada Estado-Membro requerido lança uma consulta do respetivo índice de ficheiro policial nacional de forma automatizada e sem demora.

3.   As correspondências resultantes das consultas a que se refere o n.o 1 nos índices de ficheiros policiais de cada Estado-Membro requerido são enviadas de forma automatizada ao EPRIS.

4.   A lista de correspondências é enviada ao Estado-Membro requerente ou à Europol pelo EPRIS, de forma automatizada. A lista de correspondências indica a qualidade da correspondência e o Estado-Membro ou os Estados-Membros cujos índices de ficheiros policiais contêm os dados que resultaram nas correspondências ou nas correspondências.

5.   Após a receção da lista de correspondências, o Estado-Membro requerente decide as correspondências relativamente às quais é necessário dar seguimento e envia um pedido de seguimento fundamentado com os dados a que se referem os artigos 25.o e 27.° e as eventuais informações adicionais pertinentes ao Estado-Membro ou aos Estados-Membros requeridos através da SIENA. O Estado-Membro ou os Estados-Membros requeridos tratam esses pedidos sem demora, a fim de decidir se partilham ou não os dados conservados na sua base de dados.

6.   A Comissão adota atos de execução que especifiquem o procedimento técnico para que o EPRIS consulte os índices de ficheiros policiais dos Estados-Membros, e o formato e número máximo das respostas. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 45.o

Manutenção de registos

1.   Cada Estado-Membro participante e a Europol mantêm registos de todas as operações de tratamento de dados efetuadas no EPRIS. Esses registos incluem o seguinte:

a)

Se foi um Estado-Membro ou a Europol que iniciou o pedido de consulta; se tiver sido um Estado-Membro que iniciou o pedido de consulta, o Estado-Membro em causa;

b)

A data e a hora do pedido;

c)

A data e a hora da resposta;

d)

As bases de dados nacionais às quais foi enviado um pedido de consulta;

e)

As bases de dados nacionais que facultaram uma resposta.

2.   Cada Estado-Membro participante mantém registos dos pedidos de consultas feitos pelo pessoal das suas autoridades competentes devidamente autorizado a utilizar o EPRIS. A Europol mantém registos dos pedidos de consultas feitos pelo seu pessoal devidamente autorizado.

3.   Os registos referidos nos n.os 1 e 2 apenas podem ser utilizados para recolher estatísticas, controlar a proteção de dados, incluindo a verificação da admissibilidade de uma consulta e da licitude do tratamento de dados, bem como para garantir a segurança e a integridade dos dados. Esses registos estão protegidos por medidas adequadas contra o acesso não autorizado e são apagados três anos após a sua criação. Se, no entanto, forem necessários para procedimentos de controlo que já tenham tido início, esses registos são apagados logo que deixarem de ser necessários para o efeito.

4.   Para efeitos de controlo da proteção de dados, nomeadamente para verificação da admissibilidade de uma consulta e da licitude do tratamento dos dados, os responsáveis pelo tratamento têm acesso aos registos para fins do controlo exercido por uma autoridade sobre si mesma, como referido no artigo 55.o.

Artigo 46.o

Procedimentos de notificação em caso de impossibilidade técnica de utilizar o EPRIS

1.   Em caso de impossibilidade técnica de utilizar o EPRIS para consultar um ou vários índices de ficheiros policiais nacionais devido a uma falha da infraestrutura da Europol, a Europol notifica os Estados-Membros de forma automatizada. A Europol toma sem demora medidas para resolver a impossibilidade técnica de utilizar o EPRIS.

2.   Em caso de impossibilidade técnica de utilizar o EPRIS para consultar um ou vários índices de ficheiros policiais nacionais, devido a uma falha da infraestrutura nacional de um Estado-Membro, esse Estado-Membro notifica os outros Estados-Membros, a Comissão e a Europol de forma automatizada. Os Estados-Membros tomam sem demora medidas para resolver a impossibilidade técnica de utilizar o EPRIS.

CAPÍTULO 4

Intercâmbio de dados na sequência de uma correspondência

Artigo 47.o

Intercâmbio de dados de base

1.   É enviado um conjunto de dados de base através do encaminhador no prazo de 48 horas após terem sido preenchidas as seguintes condições:

a)

Os procedimentos a que se referem os artigos 6.o, 11.° ou 20.° revelam uma correspondência entre os dados utilizados para a consulta e os dados armazenados na base de dados do Estado-Membro ou dos Estados-Membros requeridos;

b)

A correspondência referida na alínea a) do presente número foi confirmada manualmente por um membro qualificado do pessoal do Estado-Membro requerente conforme referido no artigo 6.o, n.o 6, no artigo 11.o, n.o 2 e no artigo 20.o, n.o 2, ou, no caso de perfis de ADN referidos no artigo 6.o, n.o 7, do Estado-Membro requerido;

c)

Foi transmitida uma descrição dos factos e uma indicação da infração subjacente, utilizando a tabela comum de tipos de infração constante de um ato de execução a adotar nos termos do artigo 11.o-B, n.o 1, alínea a), da Decisão-Quadro 2009/315/JAI, pelo Estado-Membro requerente ou, no caso específico de perfis de ADN referidos no artigo 6.o, n.o 7, pelo Estado-Membro requerido, a fim de avaliar a proporcionalidade do pedido, incluindo a gravidade da infração que motivou a realização da consulta, nos termos do direito nacional do Estado-Membro que fornece o conjunto de dados de base.

2.   Se, ao abrigo do seu direito nacional, um Estado-Membro apenas puder fornecer um determinado conjunto de dados de base após a obtenção de uma autorização judicial, esse Estado-Membro pode não respeitar o prazo estabelecido no n.o 1 na medida do necessário para obter essa autorização.

3.   O conjunto de dados de base referido no n.o 1 do presente artigo é enviado pelo Estado-Membro requerido ou, no caso de perfis de ADN referidos no artigo 6.o, n.o 7, pelo Estado-Membro requerente.

4.   Se a correspondência confirmada disser respeito a dados identificados de uma pessoa, o conjunto de dados de base a que se refere o n.o 1 contém, na medida em que estejam disponíveis, os seguintes dados:

a)

Nome próprio ou nomes próprios;

b)

Apelido ou apelido;

c)

Pseudónimo ou pseudónimos e nome ou nomes utilizados anteriormente;

d)

Data de nascimento;

e)

Nacionalidade ou nacionalidades;

f)

Local e país de nascimento;

g)

Género;

h)

Data e local de aquisição dos dados biométricos;

i)

Infração penal para a qual os dados biométricos foram adquiridos;

j)

Número do processo penal;

k)

Autoridade competente responsável pelo processo penal.

5.   Se a correspondência confirmada disser respeito a dados ou vestígios não identificados, o conjunto de dados de base a que se refere o n.o 1 contém, na medida em que estejam disponíveis, os seguintes dados:

a)

Data e local de aquisição dos dados biométricos;

b)

Infração penal para a qual os dados biométricos foram adquiridos;

c)

Número do processo penal;

d)

Autoridade competente responsável pelo processo penal.

6.   O envio de dados de base pelo Estado-Membro requerido ou, no caso de perfis de ADN referidos no artigo 6.o, n.o 7, pelo Estado-Membro requerente está sujeita a decisão por um ser humano.

CAPÍTULO 5

Europol

Artigo 48.o

Acesso dos Estados-Membros a dados biométricos facultados por países terceiros e armazenados pela Europol

1.   Nos termos do Regulamento (UE) 2016/794, os Estados-Membros têm acesso aos dados biométricos facultados à Europol por países terceiros, para efeitos do artigo 18.o, n.o 2, alíneas a), b) e c), do Regulamento (UE) 2016/794, e podem consultá-los através do encaminhador.

2.   Se a consulta a que se refere o n.o 1 resultar numa correspondência entre os dados utilizados para a consulta e dados facultados por um país terceiro e armazenados pela Europol, o acompanhamento é efetuado nos termos do Regulamento (UE) 2016/794.

Artigo 49.o

Acesso da Europol aos dados armazenados nas bases de dados dos Estados-Membros, utilizando dados facultados por países terceiros

1.   Sempre que necessário para alcançar os objetivos previstos no artigo 3.o do Regulamento (UE) 2016/794, a Europol tem acesso, nos termos desse regulamento e do presente regulamento, aos dados conservados pelos Estados-Membros nas suas bases de dados e índices de ficheiros policiais nacionais.

2.   As consultas da Europol realizadas tendo por critério os dados biométricos são efetuadas com recurso ao encaminhador.

3.   As consultas da Europol realizadas tendo por critério os dados de registo de veículos são efetuadas com recurso ao EUCARIS.

4.   As consultas da Europol realizadas tendo por critério os dados biográficos de suspeitos e pessoas condenadas, tal como referidos no artigo 25.o, são efetuadas com recurso ao EPRIS.

5.   A Europol efetua as consultas a partir de dados facultados por países terceiros nos termos dos n.os 1 a 4 do presente artigo apenas quando tal for necessário para o exercício das suas funções para efeitos do artigo 18.o, n.o 2, alíneas a) e c), do Regulamento (UE) 2016/794.

6.   Caso os procedimentos a que se referem os artigos 6.o, 11.° ou 20.° revelem uma correspondência entre os dados utilizados para a consulta e os dados conservados na base de dados nacional do Estado-Membro ou dos Estados-Membros requeridos, a Europol apenas informa o Estado-Membro ou os Estados-Membros envolvidos.

O Estado-Membro requerido decide se deve enviar um conjunto de dados de base através do encaminhador no prazo de 48 horas após terem sido preenchidas as seguintes condições:

a)

A correspondência referida no primeiro parágrafo foi confirmada manualmente por um membro qualificado do pessoal da Europol;

b)

Foi transmitida uma descrição dos factos e uma indicação da infração subjacente, utilizando a tabela comum de tipos de infração previstos num ato de execução a adotar nos termos do artigo 11.o-B, n.o 1, alínea a), da Decisão-Quadro 2009/315/JAI, pela Europol, a fim de avaliar a proporcionalidade do pedido, incluindo a gravidade da infração que motivou a realização da consulta, nos termos do direito nacional do Estado-Membro que fornece o conjunto de dados de base;

c)

Foi transmitido o nome do país terceiro que facultou os dados.

Se, ao abrigo do seu direito nacional, um Estado-Membro apenas puder fornecer um determinado conjunto de dados de base após a obtenção de uma autorização judicial, esse Estado-Membro pode não respeitar o prazo estabelecido no segundo parágrafo na medida do necessário para obter essa autorização.

Se a correspondência confirmada disser respeito a dados identificados de uma pessoa, o conjunto de dados de base a que se refere o segundo parágrafo contém, na medida em que estejam disponíveis, os seguintes dados:

a)

Nome próprio ou nomes próprios;

b)

Apelido(s);

c)

Pseudónimo ou pseudónimos e nome ou nomes utilizados anteriormente;

d)

Data de nascimento;

e)

Nacionalidade ou nacionalidades;

f)

Local e país de nascimento;

g)

Género;

h)

Data e local de aquisição dos dados biométricos;

i)

Infração penal para a qual os dados biométricos foram adquiridos;

j)

Número do processo penal;

k)

Autoridade competente responsável pelo processo penal.

Se a correspondência confirmada disser respeito a dados ou vestígios não identificados, o conjunto de dados de base a que se refere o segundo parágrafo contém, na medida em que estejam disponíveis, os seguintes dados:

a)

Data e local de aquisição dos dados biométricos;

b)

Infração penal para a qual os dados biométricos foram adquiridos;

c)

Número do processo penal;

d)

Autoridade competente responsável pelo processo penal.

O envio de dados de base pelo Estado-Membro requerido fica sujeita a decisão por um ser humano.

7.   A utilização pela Europol das informações obtidas a partir de uma consulta efetuada nos termos do presente artigo, e do intercâmbio de um conjunto de dados de base nos termos do n.o 6, está sujeita ao consentimento do Estado-Membro em cuja base de dados a correspondência ocorreu. Se este autorizar a utilização de tais informações, o seu tratamento pela Europol rege-se pelo disposto no Regulamento (UE) 2016/794.

CAPÍTULO 6

Proteção de dados

Artigo 50.o

Finalidade do tratamento dos dados

1.   O tratamento de dados pessoais recebidos por um Estado-Membro ou pela Europol é permitido unicamente para os fins para os quais esses dados foram transmitidos pelo Estado-Membro que transmitiu os dados nos termos do presente regulamento. O tratamento para outros fins só é permitido com a autorização prévia do Estado-Membro que transmitiu os dados.

2.   O tratamento dos dados transmitidos por um Estado-Membro e pela Europol ao abrigo dos artigos 6.o, 11.°, 16.°, 20.° ou 26.° só é permitido quando tal for necessário para:

a)

Determinar se os perfis de ADN, os dados dactiloscópicos, os dados de registo de veículos, as imagens faciais ou os ficheiros policiais comparados correspondem;

b)

Proceder ao intercâmbio de um conjunto de dados de base, nos termos do artigo 47.o;

c)

Elaborar e apresentar um pedido de cooperação policial ou de auxílio judiciário caso se verifique uma correspondência entre esses dados;

d)

Manter os registos conforme previsto nos artigos 18.o, 40.° e 45.°.

3.   Uma vez terminada a resposta automatizada à consulta, os dados recebidos por um Estado-Membro ou pela Europol são imediatamente apagados, a menos que o seu ulterior tratamento seja necessário para os fins referidos no n.o 2 ou autorizado nos termos do n.o 1.

4.   Antes de ligarem as suas bases de dados nacionais ao encaminhador ou ao EPRIS, os Estados-Membros efetuam a avaliação de impacto sobre a proteção de dados a que se refere o artigo 27.o da Diretiva (UE) 2016/680 e, quando adequado, consultam a autoridade de controlo a que se refere o artigo 28.o da mesma diretiva. A autoridade de controlo pode exercer qualquer um dos poderes ao abrigo do artigo 47.o da diretiva acima referida, nos termos do seu artigo 28.o, n.o 5.

Artigo 51.o

Exatidão, pertinência e conservação de dados

1.   Os Estados-Membros e a Europol velam pela exatidão e atualidade dos dados pessoais tratados nos termos do presente regulamento. Se um Estado-Membro ou a Europol tomarem conhecimento de que foram transmitidos dados inexatos, dados que deixaram de estar atualizados ou dados que não deveriam ter sido transmitidos, notifica o Estado-Membro que recebeu os dados ou à Europol de tal facto, sem demora injustificada. Todos os Estados-Membros em causa ou a Europol retificam ou apagam os dados em conformidade, sem demora injustificada. Se o Estado-Membro que recebeu os dados ou a Europol tiverem motivos para crer que os dados transmitidos são inexatos ou devem ser apagados, o Estado-Membro que transmitiu os dados é do facto informado sem demora injustificada.

2.   Os Estados-Membros e a Europol adotam medidas adequadas para atualizar os dados pertinentes para efeitos do presente regulamento.

3.   Caso o titular dos dados conteste a exatidão dos dados na posse de um Estado-Membro ou da Europol, quando não for possível comprovar a sua exatidão de forma fiável pelo Estado-Membro em causa ou pela Europol e sempre que solicitado pelo titular dos dados, os dados em causa são marcados. Caso essa marcação exista, os Estados-Membros ou a Europol apenas podem removê-la com o consentimento do titular dos dados ou com base numa decisão do tribunal competente, da autoridade de controlo ou da Autoridade Europeia para a Proteção de Dados, conforme adequado.

4.   São apagados os dados que não deveriam ter sido transmitidos ou recebidos. Os dados licitamente transmitidos e recebidos são apagados:

a)

Quando não forem necessários ou deixarem de ser necessários para o fim para que foram transmitidos;

b)

No termo do prazo máximo de conservação de dados previsto no direito nacional do Estado-Membro que transmitiu os dados, caso esse Estado-Membro tenha assinalado esse prazo máximo ao Estado-Membro que recebeu os dados ou à Europol aquando da transmissão dos dados; ou

c)

Após o termo do prazo máximo de conservação de dados nos termos do Regulamento (UE) 2016/794.

Quando houver motivos para crer que o apagamento dos dados pode lesar os interesses do titular dos dados, o tratamento desses dados é limitado em vez de serem apagados. Se o tratamento dos dados tiver sido limitado, só podem ser tratados para o fim que obstou ao seu apagamento.

Artigo 52.o

Subcontratante de dados

1.   A eu-LISA é o subcontratante na aceção do artigo 3.o, ponto 12, do Regulamento (UE) 2018/1725, para o tratamento de dados pessoais através do encaminhador.

2.   A Europol é o subcontratante na aceção do artigo 3.o, ponto 12, do Regulamento (UE) 2018/1725, para o tratamento de dados pessoais através do EPRIS.

Artigo 53.o

Segurança do tratamento

1.   As autoridades competentes dos Estados-Membros, a eu-LISA e a Europol garantem a segurança do tratamento dos dados pessoais ao abrigo do presente regulamento. As autoridades competentes dos Estados-Membros, a eu-LISA e a Europol cooperam em tarefas relacionadas com a segurança.

2.   Sem prejuízo do artigo 33.o do Regulamento (UE) 2018/1725 e do artigo 32.o do Regulamento (UE) 2016/794, a eu-LISA e a Europol adotam as medidas necessárias para garantir a segurança do encaminhador e do EPRIS, respetivamente, e da sua infraestrutura de comunicação conexa.

3.   A eu-LISA adota as medidas necessárias relativas ao encaminhador e a Europol adota as medidas necessárias relativas ao EPRIS, a fim de:

a)

Proteger fisicamente os dados, nomeadamente através da elaboração de planos de emergência para a proteção da infraestrutura crítica;

b)

Recusar o acesso de pessoas não autorizadas ao equipamento e às instalações de tratamento de dados;

c)

Impedir que os suportes de dados possam ser lidos, copiados, alterados ou retirados sem autorização;

d)

Impedir a introdução não autorizada de dados, bem como a inspeção, a alteração ou o apagamento não autorizados de dados pessoais armazenados;

e)

Impedir o tratamento não autorizado de dados, bem como a cópia, alteração ou eliminação não autorizadas de dados;

f)

Impedir a utilização dos sistemas de tratamento automatizado de dados por pessoas não autorizadas que utilizam equipamentos de comunicação de dados;

g)

Assegurar, apenas através de identidades de utilizador individuais e de modos de acesso confidenciais, que as pessoas autorizadas a aceder ao encaminhador ou ao EPRIS, consoante aplicável, tenham acesso apenas aos dados abrangidos pela sua autorização de acesso;

h)

Assegurar a possibilidade de verificação e determinação das entidades às quais podem ser transmitidos os dados pessoais através de equipamentos de comunicação de dados;

i)

Assegurar a possibilidade de verificação e determinação dos dados que foram tratados no encaminhador ou no EPRIS, consoante aplicável, e quando, por quem e com que finalidade foram tratados;

j)

Impedir a leitura, a cópia, a alteração ou o apagamento não autorizados de dados pessoais durante a sua transmissão para o encaminhador ou para o EPRIS, se aplicável, ou a partir destes, ou durante o transporte dos suportes de dados, designadamente através de técnicas de cifragem adequadas;

k)

Assegurar que, em caso de interrupção, seja possível restaurar o funcionamento normal dos sistemas instalados;

l)

Assegurar a fiabilidade, garantindo que as eventuais falhas no funcionamento do encaminhador ou do EPRIS, consoante aplicável, sejam devidamente comunicadas;

m)

Controlar a eficácia das medidas de segurança referidas no presente número e tomar as medidas necessárias a nível organizacional relacionadas com o controlo interno de forma a assegurar a conformidade com o presente regulamento, e avaliar essas medidas de segurança à luz dos novos desenvolvimentos tecnológicos.

As medidas necessárias a que se refere o primeiro parágrafo incluem um plano de segurança, um plano de continuidade das atividades e um plano de recuperação em caso de catástrofe.

Artigo 54.o

Incidentes de segurança

1.   É considerado incidente de segurança qualquer acontecimento que tenha ou possa ter impacto na segurança do encaminhador ou do EPRIS e que possa causar-lhes danos ou perda de dados armazenados no encaminhador ou no EPRIS, em especial sempre que possa ter ocorrido um acesso não autorizado aos dados ou que a disponibilidade, integridade ou confidencialidade dos dados tenha sido ou possa ter sido posta em causa.

2.   Caso ocorra um incidente de segurança que diga respeito ao encaminhador, à eu-LISA e aos Estados-Membros em causa ou, se aplicável, à Europol cooperam entre si por forma a assegurar uma resposta rápida, eficaz e adequada.

3.   Caso ocorra um incidente de segurança que diga respeito ao EPRIS, os Estados-Membros em causa e a Europol cooperam entre si por forma a assegurar uma resposta rápida, eficaz e adequada.

4.   Os Estados-Membros notificam as respetivas autoridades competentes de quaisquer incidentes de segurança sem demora injustificada.

Sem prejuízo do artigo 92.o do Regulamento (UE) 2018/1725, caso ocorra um incidente de segurança relacionado com a infraestrutura central do encaminhador, a eu-LISA notifica os Serviços de Cibersegurança para as instituições, órgãos e organismos da União (CERT-UE) de ciberameaças significativas, vulnerabilidades significativas e incidentes significativos sem demora injustificada e, em todo o caso, o mais tardar 24 horas após tomar conhecimento dos mesmos. Os pormenores técnicos acionáveis e adequados sobre ciberameaças, vulnerabilidades e incidentes que permitam uma deteção, resposta a incidentes ou medidas de atenuação proativas são divulgados à CERT-UE sem demora injustificada.

Sem prejuízo do artigo 34.o do Regulamento (UE) 2016/794 e do artigo 92.o do Regulamento (UE) 2018/1725, caso ocorra um incidente de segurança relacionado com a infraestrutura central do EPRIS, a Europol notifica a CERT-UE das ciberameaças significativas, vulnerabilidades significativas e incidentes significativos sem demora injustificada e, em todo o caso, o mais tardar 24 horas após tomar conhecimento dos mesmos. Os pormenores técnicos acionáveis e adequados sobre ciberameaças, vulnerabilidades e incidentes que permitam uma deteção, resposta a incidentes ou medidas de atenuação proativas são divulgados à CERT-UE sem demora injustificada.

5.   As informações relativas a um incidente de segurança que tenha ou possa ter impacto no funcionamento do encaminhador ou na disponibilidade, integridade ou confidencialidade dos dados são facultadas sem demora pelos Estados-Membros e pelas agências da União em causa aos Estados-Membros e à Europol, e comunicadas em conformidade com o plano de gestão de incidentes fornecido pela eu-LISA.

6.   As informações relativas a um incidente de segurança que tenha ou possa ter impacto no funcionamento do EPRIS ou na disponibilidade, integridade ou confidencialidade dos dados são facultadas sem demora pelos Estados-Membros e pelas agências da União em causa aos Estados-Membros, e comunicadas em conformidade com o plano de gestão de incidentes fornecido pela Europol.

Artigo 55.o

Controlo exercido pela autoridade sobre si mesma

1.   Os Estados-Membros asseguram que cada autoridade com direito de utilização do regime de Prüm II toma as medidas necessárias para controlar o seu próprio cumprimento do presente regulamento e coopera, sempre que necessário, com a autoridade de controlo. A Europol toma as medidas necessárias para controlar o seu próprio cumprimento do presente regulamento e coopera, sempre que necessário, com a Autoridade Europeia para a Proteção de Dados.

2.   Os responsáveis pelo tratamento dos dados aplicam as medidas necessárias para verificar eficazmente a conformidade do tratamento de dados com o presente regulamento, inclusive através da verificação frequente dos registos referidos nos artigos 18.o, 40.° e 45.°. Cooperam, se necessário e conforme adequado, com as autoridades de controlo ou com a Autoridade Europeia para a Proteção de Dados.

Artigo 56.o

Sanções

Os Estados-Membros asseguram que qualquer utilização abusiva de dados, tratamento de dados ou intercâmbio de dados que viole o disposto no presente regulamento é punível nos termos do direito nacional. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.

Artigo 57.o

Responsabilidade

Se o incumprimento, por um Estado-Membro ou, ao realizar consultas nos termos do artigo 49.o, pela Europol, das obrigações que lhe incumbem por força do presente regulamento causar danos ao encaminhador ou ao EPRIS, esse Estado-Membro ou a Europol é responsável pelos danos, a menos e na medida em que a eu-LISA, a Europol ou outro Estado-Membro vinculado pelo presente regulamento não tenha tomado medidas razoáveis para prevenir os danos ou minimizar o seu impacto.

Artigo 58.o

Auditorias pela Autoridade Europeia para a Proteção de Dados

1.   A Autoridade Europeia para a Proteção de Dados garante a realização de uma auditoria às operações de tratamento de dados pessoais pela eu-LISA e pela Europol para efeitos do presente regulamento, em conformidade com as normas internacionais de auditoria aplicáveis, no mínimo de quatro em quatro anos. É enviado um relatório dessa auditoria ao Parlamento Europeu, ao Conselho, à Comissão, aos Estados-Membros e à agência da União em causa. A eu-LISA e a Europol têm a oportunidade de efetuar comentários antes da adoção dos relatórios.

2.   A eu-LISA e a Europol transmitem as informações solicitadas pela Autoridade Europeia para a Proteção de Dados, concedem à Autoridade Europeia para a Proteção de Dados o acesso a todos os documentos solicitados e aos seus registos referidos nos artigos 40.o e 45.°, e permitem à Autoridade Europeia para a Proteção de Dados o acesso permanente a todas as suas instalações. O presente número não prejudica os poderes da Autoridade Europeia para a Proteção de Dados nos termos do artigo 58.o do Regulamento (UE) 2018/1725, nem prejudica o disposto no artigo 43.o, n.o 3, do Regulamento (UE) 2016/794 no que diz respeito à Europol.

Artigo 59.o

Cooperação entre as autoridades de controlo e a Autoridade Europeia para a Proteção de Dados

1.   As autoridades de controlo e a Autoridade Europeia para a Proteção de Dados, agindo cada uma no âmbito das respetivas competências, cooperam ativamente no âmbito das respetivas responsabilidades para assegurar a supervisão coordenada da aplicação do presente regulamento, em particular se a Autoridade Europeia para a Proteção de Dados ou uma autoridade de controlo detetar discrepâncias relevantes entre as práticas dos Estados-Membros ou detetar transferências potencialmente ilegais através dos canais de comunicação do regime de Prüm II.

2.   Nos casos referidos no n.o 1 do presente artigo, a supervisão coordenada é assegurada nos termos do artigo 62.o do Regulamento (UE) 2018/1725.

3.   Dois anos após a entrada em funcionamento do encaminhador e do EPRIS e, posteriormente, de dois em dois anos, o Comité Europeu para a Proteção de Dados envia um relatório das suas atividades nos termos do presente artigo ao Parlamento Europeu, ao Conselho, à Comissão, à eu-LISA e à Europol. Esse relatório inclui um capítulo relativo a cada Estado-Membro, elaborado pela respetiva autoridade de controlo.

Artigo 60.o

Transferência de dados pessoais para países terceiros e organizações internacionais

Um Estado-Membro apenas pode transferir dados pessoais obtidos ao abrigo do presente regulamento para um país terceiro ou uma organização internacional se o fizer em conformidade com o capítulo V da Diretiva (UE) 2016/680 e se o Estado-Membro requerido tiver concedido a sua autorização antes da transferência.

A Europol apenas pode transferir dados pessoais obtidos nos termos do presente regulamento para um país terceiro ou uma organização internacional se tiverem sido preenchidas as condições estabelecidas no artigo 25.o do Regulamento (UE) 2016/794 e se o Estado-Membro requerido tiver concedido a sua autorização antes da transferência.

Artigo 61.o

Relação com outros atos jurídicos em matéria de proteção de dados

O tratamento de dados pessoais para efeitos do presente regulamento é efetuado nos termos do presente capítulo e da Diretiva (UE) 2016/680 ou dos Regulamentos (UE) 2018/1725, (UE) 2016/794 ou (UE) 2016/679, consoante o caso.

CAPÍTULO 7

Responsabilidades

Artigo 62.o

Dever de diligência

Os Estados-Membros e a Europol exercem a devida diligência ao avaliar se o intercâmbio automatizado de dados se inscreve no objetivo do regime de Prüm II estabelecido no artigo 2.o e se cumpre as condições nele estabelecidas, em particular no que diz respeito aos direitos fundamentais.

Artigo 63.o

Formação

São facultados ao pessoal autorizado das autoridades competentes do Estados-Membros, das autoridades de controlo e da Europol, consoante o caso, os recursos e a formação adequados, nomeadamente em matéria de proteção dos dados e verificação rigorosa das correspondências, para o desempenho das funções previstas no presente regulamento.

Artigo 64.o

Responsabilidades dos Estados-Membros

1.   Os Estados-Membros são responsáveis pelo seguinte:

a)

Ligação à infraestrutura do encaminhador;

b)

Integração dos respetivos sistemas e infraestruturas nacionais existentes com o encaminhador;

c)

Organização, gestão, funcionamento e manutenção da respetiva infraestrutura nacional existente e da sua ligação ao encaminhador;

d)

Ligação à infraestrutura do EPRIS;

e)

Integração dos respetivos sistemas e infraestruturas nacionais existentes com o EPRIS;

f)

Organização, gestão, funcionamento e manutenção da respetiva infraestrutura nacional existente e da sua ligação ao EPRIS;

g)

Gestão e modalidades de acesso por parte do pessoal devidamente autorizado das respetivas autoridades competentes ao encaminhador nos termos do presente regulamento, e criação e atualização periódica de uma lista dos membros do pessoal e respetivos perfis;

h)

Gestão e modalidades de acesso por parte do pessoal devidamente autorizado das respetivas autoridades competentes ao EPRIS nos termos do presente regulamento, e criação e atualização periódica de uma lista dos membros do pessoal e respetivos perfis;

i)

Gestão e modalidades de acesso por parte do pessoal devidamente autorizado das respetivas autoridades competentes ao EUCARIS nos termos do presente regulamento, e criação e atualização periódica de uma lista dos membros do pessoal e respetivos perfis;

j)

Confirmação manual, por pessoal qualificado, das correspondências a que se referem o artigo 6.o, n.os 6 e 7, o artigo 11.o, n.o 2, e o artigo 20.o, n.o 2;

k)

Garantia da disponibilidade dos dados necessários para o intercâmbio de dados nos termos dos artigos 5.o, 10.°, 16.°, 19.° e 25.°;

l)

Intercâmbio de informações nos termos dos artigos 6.o, 11.°, 16.°, 20.° e 26.°;

m)

Retificação, atualização ou apagamento de quaisquer dados recebidos de um Estado-Membro requerido no prazo de 48 horas a contar da notificação do Estado-Membro requerido de que os dados apresentados eram inexatos, deixaram de estar atualizados ou foram transmitidos ilicitamente;

n)

Cumprimento dos requisitos de qualidade dos dados previstos no presente regulamento.

2.   Cada Estado-Membro é responsável pela ligação das suas autoridades competentes ao encaminhador, ao EPRIS e ao EUCARIS.

Artigo 65.o

Responsabilidades da Europol

1.   A Europol é responsável pela gestão e pelas modalidades de acesso do seu pessoal devidamente autorizado ao encaminhador, ao EPRIS e ao EUCARIS, nos termos do presente regulamento.

2.   A Europol é responsável pelo tratamento das consultas dos dados da Europol pelo encaminhador. A Europol adapta os seus sistemas informáticos em conformidade.

3.   A Europol é responsável por quaisquer adaptações técnicas da sua infraestrutura que sejam necessárias para estabelecer a ligação ao encaminhador e ao EUCARIS.

4.   Sem prejuízo das consultas efetuadas pela Europol nos termos do artigo 49.o, a Europol não tem acesso a nenhum dos dados pessoais tratados através do EPRIS.

5.   A Europol é responsável pelo desenvolvimento do EPRIS em cooperação com os Estados-Membros. O EPRIS disponibiliza as funcionalidades previstas nos artigos 42.o a 46.°.

A Europol é responsável pela gestão técnica do EPRIS. A gestão técnica do EPRIS compreende todas as funções e soluções técnicas necessárias para manter o funcionamento da infraestrutura central do EPRIS e prestar serviços ininterruptos aos Estados-Membros 24 horas por dia e sete dias por semana, nos termos do presente regulamento. Inclui o trabalho de manutenção e as adaptações técnicas necessárias para garantir que as funções do EPRIS se encontram num nível de qualidade técnica satisfatório, em especial no que respeita ao tempo de resposta para efeitos de envio de pedidos às bases de dados nacionais, em conformidade com as especificações técnicas.

6.   A Europol proporciona formação sobre a utilização técnica do EPRIS.

7.   A Europol é responsável pelos procedimentos previstos nos artigos 48.o e 49.°.

Artigo 66.o

Responsabilidades da eu-LISA durante a fase de conceção e desenvolvimento do encaminhador

1.   A eu-LISA garante que a infraestrutura central do encaminhador funciona em conformidade com o presente regulamento.

2.   O encaminhador é alojado pela eu-LISA nas suas instalações técnicas e fornece as funcionalidades estabelecidas no presente regulamento, nos termos das condições de segurança, de disponibilidade, de qualidade e de desempenho a que se refere o artigo 67.o, n.o 1.

3.   A eu-LISA é responsável pelo desenvolvimento do encaminhador e pelas adaptações técnicas necessárias às operações do encaminhador.

4.   A eu-LISA não tem acesso a nenhum dos dados pessoais tratados através do encaminhador.

5.   A eu-LISA define a conceção da arquitetura física do encaminhador, incluindo a respetiva infraestrutura de comunicação segura e especificações técnicas, e a sua evolução no que respeita à infraestrutura central e à infraestrutura de comunicação segura. O Conselho de Administração da eu-LISA adota a conceção, sujeita a parecer favorável da Comissão. A eu-LISA aplica igualmente as adaptações necessárias aos componentes de interoperabilidade decorrentes da criação do encaminhador, conforme previsto no presente regulamento.

6.   A eu-LISA desenvolve e aplica o encaminhador o mais rapidamente possível após a adoção pela Comissão das medidas previstas no artigo 37.o, n.o 6. O desenvolvimento consiste na elaboração e aplicação das especificações técnicas, na realização de testes e na gestão e coordenação globais do projeto.

7.   Durante a fase de conceção e desenvolvimento, o Conselho de Gestão do Programa a que se refere o artigo 54.o do Regulamento (UE) 2019/817 e o artigo 54.o do Regulamento (UE) 2019/818 reúne-se periodicamente. Garante a gestão adequada da fase de conceção e desenvolvimento do encaminhador.

O Conselho de Gestão do Programa apresenta todos os meses ao Conselho de Administração da eu-LISA relatórios escritos sobre os progressos do projeto. Não tem poder de decisão nem mandato para representar os membros do Conselho de Administração da eu-LISA.

O Grupo Consultivo de Interoperabilidade referido no artigo 78.o reúne-se regularmente até à entrada em funcionamento do encaminhador. Apresenta um relatório após cada reunião do Conselho de Gestão do Programa. Fornece os conhecimentos técnicos necessários para apoiar as atividades do Conselho de Gestão do Programa e acompanha o estado de preparação dos Estados-Membros.

Artigo 67.o

Responsabilidades da eu-LISA após a entrada em funcionamento do encaminhador

1.   Após a entrada em funcionamento do encaminhador, a eu-LISA é responsável pela gestão técnica da infraestrutura central do encaminhador, incluindo a sua manutenção e os desenvolvimentos tecnológicos. Em cooperação com os Estados-Membros, assegura que é utilizada a melhor tecnologia disponível, sob reserva de uma análise custo-benefício. A eu-LISA é igualmente responsável pela gestão técnica da infraestrutura de comunicação necessária.

A gestão técnica do encaminhador compreende todas as funções e soluções técnicas necessárias para manter o funcionamento do encaminhador e prestar serviços ininterruptos aos Estados-Membros e à Europol 24 horas por dia e sete dias por semana, nos termos do presente regulamento. A gestão técnica do encaminhador inclui o trabalho de manutenção e as adaptações técnicas necessárias para garantir que o encaminhador funciona a um nível de qualidade técnica satisfatório, em especial no que respeita à disponibilidade e ao tempo de resposta para efeitos de envio de pedidos às bases de dados nacionais e aos dados da Europol, em conformidade com as especificações técnicas.

O encaminhador é desenvolvido e gerido de modo a garantir um acesso rápido, eficiente e controlado, a sua disponibilidade plena e ininterrupta e um prazo de resposta consentâneo com as necessidades operacionais das autoridades competentes dos Estados-Membros e da Europol.

2.   Sem prejuízo do disposto no artigo 17.o do Estatuto dos Funcionários da União Europeia, estabelecido no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (18), a eu-LISA aplica as normas de sigilo profissional adequadas, ou outros deveres de confidencialidade equivalentes, aos elementos do seu pessoal que tenham de trabalhar com os dados conservados no encaminhador. Essa obrigação mantém-se depois de essas pessoas cessarem funções ou deixarem o emprego, ou após a cessação das suas atividades.

A eu-LISA não tem acesso a nenhum dos dados pessoais tratados através do encaminhador.

3.   A eu-LISA realiza tarefas relacionadas com a organização de formação sobre a utilização técnica do encaminhador.

CAPÍTULO 8

Alterações de outros instrumentos existentes

Artigo 68.o

Alteração das Decisões 2008/615/JAI e 2008/616/JAI

1.   Na Decisão 2008/615/JAI, são substituídos o artigo 1.o, alínea a), os artigos 2.o a 6.° e o capítulo 2, secções 2 e 3, no que diz respeito aos Estados-Membros vinculados pelo presente regulamento, a partir da data de aplicação das disposições do presente regulamento relativas ao encaminhador prevista no artigo 75.o, n.o 1. Por conseguinte, são suprimidos o artigo 1.o, alínea a), os artigos 2.o a 6.° e o capítulo 2, secções 2 e 3, da Decisão 2008/615/JAI, a partir da data de aplicação das disposições do presente regulamento relativas ao encaminhador prevista no artigo 75.o, n.o 1.

2.   Na Decisão 2008/616/JAI, são substituídos os capítulos 2 a 5 e os artigos 18.o, 20.° e 21.°, no que diz respeito aos Estados-Membros vinculados pelo presente regulamento, a partir da data de aplicação das disposições do presente regulamento relativas ao encaminhador prevista no artigo 75.o, n.o 1. Por conseguinte, são suprimidos os capítulos 2 a 5 e os artigos 18.o, 20.° e 21.° da Decisão 2008/616/JAI a partir da data de aplicação das disposições do presente regulamento relativas ao encaminhador prevista no artigo 75.o, n.o 1.

Artigo 69.o

Alteração do Regulamento (UE) 2018/1726

O Regulamento (UE) 2018/1726 é alterado do seguinte modo:

1)

É inserido o seguinte artigo:

«Artigo 8.o-D

Funções relativas ao encaminhador de Prüm II

Em relação ao encaminhador de Prüm II, a Agência desempenha as atribuições que lhe são conferidas pelo Regulamento (UE) 2024/982 do Parlamento Europeu e do Conselho (*1).

(*1)  Regulamento (UE) 2024/982 do Parlamento Europeu e do Conselho, de 13 de março de 2024, relativo à consulta e intercâmbio automatizados de dados para efeitos de cooperação policial e que altera as Decisões 2008/615/JAI e 2008/616/JAI e os Regulamentos (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 do Parlamento Europeu e do Conselho (Regulamento “Prüm II”) (JO L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj).»;"

2)

No artigo 17.o, n.o 3, o segundo parágrafo passa a ter a seguinte redação:

«As atribuições relativas ao desenvolvimento e à gestão operacional referidas no artigo 1.o, n.os 4 e 5, nos artigos 3.o a 8.° e nos artigos 8.o-D, 9.° e 11.° são desempenhadas nas instalações técnicas em Estrasburgo, França.»;

3)

No artigo 19.o, o n.o 1 é alterado do seguinte modo:

a)

É inserida a seguinte alínea:

«ee-b)

Adota relatórios sobre o ponto da situação do desenvolvimento do encaminhador de Prüm II, nos termos do artigo 80.o, n.o 2, do Regulamento (UE) 2024/982»;

b)

A alínea ff) passa a ter a seguinte redação:

«ff)

Adota relatórios sobre o funcionamento técnico do seguinte:

i)

SIS, nos termos do artigo 60.o, n.o 7, do Regulamento (UE) 2018/1861 do Parlamento Europeu e do Conselho (*2) e do artigo 74.o, n.o 8, do Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho (*3),

ii)

VIS, nos termos do artigo 50.o, n.o 3, do Regulamento (CE) n.o 767/2008 e do artigo 17.o, n.o 3, da Decisão 2008/633/JAI,

iii)

SES, nos termos do artigo 72.o, n.o 4, do Regulamento (UE) 2017/2226,

iv)

ETIAS, nos termos do artigo 92.o, n.o 4, do Regulamento (UE) 2018/1240,

v)

ECRIS-TCN e da aplicação de referência do ECRIS, nos termos do artigo 36.o, n.o 8, do Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho,

vi)

componentes de interoperabilidade, nos termos do artigo 78.o, n.o 3, do Regulamento (UE) 2019/817 e do artigo 74.o, n.o 3, do Regulamento (UE) 2019/818,

vii)

sistema e-CODEX, nos termos do artigo 16.o, n.o 1, do Regulamento (UE) 2022/850,

viii)

equipas de investigação conjuntas, nos termos do artigo 26.o, n.o 6, do Regulamento (UE) 2023/969,

ix)

encaminhador de Prüm II, nos termos do artigo 80.o, n.o 5, do Regulamento (UE) 2024/982;

(*2)  Regulamento (UE) 2018/1861 do Parlamento Europeu e do Conselho, de 28 de novembro de 2018, relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen (SIS) no domínio dos controlos de fronteira, e que altera a Convenção de Aplicação do Acordo de Schengen e altera e revoga o Regulamento (CE) n.o 1987/2006 (JO L 312 de 7.12.2018, p. 14)."

(*3)  Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho, de 28 de novembro de 2018, relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen (SIS) no domínio da cooperação policial e da cooperação judiciária em matéria penal, e que altera e revoga a Decisão 2007/533/JAI do Conselho e revoga o Regulamento (CE) n.o 1986/2006 do Parlamento Europeu e do Conselho e a Decisão 2010/261/UE da Comissão (JO L 312 de 7.12.2018, p. 56).»."

c)

A alínea hh) passa a ter a seguinte redação:

«hh)

Adota observações formais sobre os relatórios da Autoridade Europeia para a Proteção de Dados em matéria de auditoria, nos termos do artigo 56.o, n.o 2, do Regulamento (UE) 2018/1861, do artigo 42.o, n.o 2, do Regulamento (CE) n.o 767/2008, do artigo 31.o, n.o 2, do Regulamento (UE) n.o 603/2013, do artigo 56.o, n.o 2, do Regulamento (UE) 2017/2226, do artigo 67.o do Regulamento (UE) 2018/1240, do artigo 29.o, n.o 2, do Regulamento (UE) 2019/816, do artigo 52.o dos Regulamentos (UE) 2019/817 e (UE) 2019/818 e do artigo 58.o, n.o 1, do Regulamento (UE) 2024/982, e assegura que seja dado o adequado seguimento a essas auditorias;».

Artigo 70.o

Alteração do Regulamento (UE) 2019/817

Ao artigo 6.o, n.o 2, do Regulamento (UE) 2019/817 é aditada a seguinte alínea:

«d)

Uma infraestrutura de comunicação segura entre o ESP e o encaminhador criado pelo Regulamento (UE) 2024/982 do Parlamento Europeu e do Conselho (*4).

Artigo 71.o

Alteração do Regulamento (UE) 2019/818

O Regulamento (UE) 2019/818 é alterado do seguinte modo:

1)

Ao artigo 6.o, n.o 2, é aditada a seguinte alínea:

«d)

Uma infraestrutura de comunicação segura entre o ESP e o encaminhador criado pelo Regulamento (UE) 2024/982 do Parlamento Europeu e do Conselho (*5).

(*5)  Regulamento (UE) 2024/982 do Parlamento Europeu e do Conselho, de 13 de março de 2024, relativo à consulta e intercâmbio automatizados de dados para efeitos de cooperação policial e que altera as Decisões 2008/615/JAI e 2008/616/JAI do Conselho e os Regulamentos (UE) 2018/1726, (UE) 2019/817 e (UE) 2019/818 do Parlamento Europeu e do Conselho (Regulamento “Prüm II”) (JO L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj).»;"

2)

No artigo 39.o, os n.os 1 e 2 passam a ter a seguinte redação:

«1.   É criado um repositório central para a elaboração de relatórios e estatísticas (CRRS) para efeitos de apoio aos objetivos do SIS, do Eurodac e do ECRIS-TCN, nos termos dos respetivos atos jurídicos que regem esses sistemas, e para fornecer dados estatísticos intersistemas e relatórios analíticos para fins políticos, operacionais e para efeitos de qualidade dos dados. O CRRS apoia igualmente os objetivos do Regulamento (UE) 2024/982.

2.   A eu-LISA estabelece, implementa e aloja o CRRS nas suas instalações técnicas, contendo os dados e as estatísticas referidos no artigo 74.o do Regulamento (UE) 2018/1862 e no artigo 32.o do Regulamento (UE) 2019/816, logicamente separados por sistema de informação da UE. A eu-LISA também recolhe os dados e as estatísticas do encaminhador referidos no artigo 72.o, n.o 1, do Regulamento (UE) 2024/982. O acesso ao CRRS é concedido mediante um acesso seguro com controlo do acesso e perfis de utilizador específicos, unicamente com a finalidade de elaboração de relatórios e estatísticas, às autoridades a que se referem o artigo 74.o do Regulamento (UE) 2018/1862, o artigo 32.o do Regulamento (UE) 2019/816 e o artigo 72.o, n.o 1, do Regulamento (UE) 2024/982.»

.

CAPÍTULO 9

Disposições finais

Artigo 72.o

Elaboração de relatórios e estatísticas

1.   Se necessário, o pessoal devidamente autorizado das autoridades competentes dos Estados-Membros, da Comissão, da eu-LISA e da Europol tem acesso aos seguintes dados relativos ao encaminhador unicamente para efeitos da elaboração de relatórios e estatísticas:

a)

O número de consultas efetuadas por cada Estado-Membro e o número de consultas efetuadas pela Europol por categoria de dados;

b)

O número de consultas efetuadas a cada uma das bases de dados associadas;

c)

O número de correspondências com a base de dados de cada Estado-Membro por categoria de dados;

d)

O número de correspondências com os dados da Europol por categoria de dados;

e)

O número de correspondências confirmadas em que se verificaram intercâmbios de dados de base;

f)

O número de correspondências confirmadas em que não se verificaram intercâmbios de dados de base;

g)

O número de consultas ao repositório comum de dados de identificação através do encaminhador; e

h)

O número de correspondências por tipo, nos seguintes termos:

i)

dados identificados (pessoa) – dados não identificados (vestígio),

ii)

dados não identificados (vestígio) – dados identificados (pessoa),

iii)

dados não identificados (vestígio) – dados não identificados (vestígio),

iv)

dados identificados (pessoa) – dados identificados (pessoa).

Os dados previstos no primeiro parágrafo não podem permitir a identificação de pessoas.

2.   O pessoal devidamente autorizado das autoridades competentes dos Estados-Membros, da Comissão e da Europol tem acesso aos seguintes dados relacionados com o EUCARIS, unicamente para efeitos da elaboração de relatórios e estatísticas:

a)

O número de consultas efetuadas por cada Estado-Membro e o número de consultas efetuadas pela Europol;

b)

O número de consultas efetuadas a cada uma das bases de dados associadas; e

c)

O número de correspondências com a base de dados de cada Estado-Membro.

Os dados previstos no primeiro parágrafo não podem permitir a identificação de pessoas.

3.   O pessoal devidamente autorizado das autoridades competentes dos Estados-Membros, da Comissão e da Europol tem acesso aos seguintes dados relacionados com o EPRIS, unicamente para efeitos da elaboração de relatórios e estatísticas:

a)

O número de consultas efetuadas por cada Estado-Membro e número de consultas efetuadas pela Europol;

b)

O número de consultas efetuadas a cada um dos índices associados; e

c)

O número de correspondências com a base de dados de cada Estado-Membro.

Os dados previstos no primeiro parágrafo não podem permitir a identificação de pessoas.

4.   A eu-LISA armazena os dados previstos no n.o 1 do presente artigo no repositório central para a elaboração de relatórios e estatísticas criado nos termos do artigo 39.o do Regulamento (UE) 2019/818. A Europol armazena os dados previstos no n.o 3. Esses dados devem permitir às autoridades competentes dos Estados-Membros, à Europol, à Comissão, à eu-LISA e à Europol obter relatórios e dados estatísticos adaptáveis para melhorar a eficiência da cooperação policial.

Artigo 73.o

Custos

1.   Os custos decorrentes da criação e funcionamento do encaminhador e do EPRIS ficam a cargo do orçamento geral da União.

2.   Os custos incorridos com a integração de infraestruturas nacionais existentes e a sua ligação ao encaminhador e ao EPRIS e os custos decorrentes da criação de bases de dados nacionais de imagens faciais e de índices de ficheiros policiais nacionais para a prevenção, deteção e investigação de infrações penais, são suportados pelo orçamento geral da União.

Estão excluídos os seguintes custos:

a)

Gabinete de gestão de projetos dos Estados-Membros (reuniões, missões, gabinetes);

b)

Alojamento dos sistemas informáticos nacionais (espaço, implementação, eletricidade, refrigeração);

c)

Funcionamento dos sistemas informáticos nacionais (operadores e contratos de assistência);

d)

Conceção, desenvolvimento, implementação, funcionamento e manutenção de redes de comunicação nacionais.

3.   Cada Estado-Membro suporta os custos relativos à administração, à utilização e à manutenção da EUCARIS.

4.   Cada Estado-Membro suporta os custos relativos à administração, à utilização e à manutenção das suas ligações ao encaminhador e ao EPRIS.

Artigo 74.o

Notificações

1.   Os Estados-Membros notificam a eu-LISA das autoridades competentes referidas no artigo 36.o. Essas autoridades podem utilizar ou ter acesso ao encaminhador.

2.   A eu-LISA notifica a Comissão da conclusão com êxito do teste referidos no artigo 75.o, n.o 1, alínea b).

3.   A Europol notifica a Comissão da conclusão com êxito do teste referido no artigo 75.o, n.o 3, alínea b).

4.   Cada Estado-Membro notifica os outros Estados-Membros, a Comissão, a eu-LISA e a Europol do conteúdo das suas bases de dados nacionais de ADN e das condições para as consultas automatizadas às quais se aplicam os artigos 5.o e 6.°.

5.   Cada Estado-Membro informa os outros Estados-Membros, a Comissão, a eu-LISA e a Europol do conteúdo das suas bases de dados dactiloscópicas nacionais e das condições para as consultas automatizadas às quais se aplicam os artigos 10.o e 11.°.

6.   Cada Estado-Membro informa os outros Estados-Membros, a Comissão, a eu-LISA e a Europol do conteúdo das suas bases de dados nacionais de imagem facial e das condições para as consultas automatizadas às quais se aplicam os artigos 19.o e 20.°.

7.   Os Estados-Membros que participam no intercâmbio automatizado de ficheiros policiais nos termos dos artigos 25.o e 26.° informam os outros Estados-Membros, a Comissão e a Europol do conteúdo dos seus índices de ficheiros policiais nacionais e das bases de dados nacionais utilizadas para a criação desses índices e das condições de consulta automatizada.

8.   Os Estados-Membros notificam a Comissão, a eu-LISA e a Europol do seu ponto de contacto nacional designado nos termos do artigo 30.o. A Comissão elabora uma lista dos pontos de contacto nacionais de que foi notificada e disponibiliza-a a todos os Estados-Membros.

Artigo 75.o

Entrada em funcionamento

1.   A Comissão fixa, através de um ato de execução, a data a partir da qual os Estados-Membros e a Europol podem começar a utilizar o encaminhador logo que estejam preenchidas as seguintes condições:

a)

Foram adotadas as medidas a que se referem o artigo 5.o, n.o 3, o artigo 8.o, n.os 2 e 3, o artigo 13.o, n.os 2 e 3, o artigo 17.o, n.o 3, o artigo 22.o, n.os 2 e 3, o artigo 31.o e o artigo 37.o, n.o 6;

b)

A eu-LISA declarou a conclusão com êxito de um teste global do encaminhador, que tenha efetuado em cooperação com as autoridades competentes dos Estados-Membros e a Europol.

A Comissão fixa, através do ato de execução referido no primeiro parágrafo, a data a partir da qual os Estados-Membros e a Europol devem começar a utilizar o encaminhador. Essa data corresponde a um ano após a data fixada nos termos do primeiro parágrafo.

A Comissão pode adiar por um ano, no máximo, a data a partir da qual os Estados-Membros e a Europol devem começar a utilizar o encaminhador, caso uma avaliação da implementação do encaminhador tenha demonstrado que esse adiamento é necessário.

2.   Os Estados-Membros asseguram, dois anos após a entrada em funcionamento do encaminhador, a disponibilidade das imagens faciais a que se refere o artigo 19.o para efeitos da consulta automatizada de imagens faciais a que se refere o artigo 20.o.

3.   A Comissão fixa, através de um ato de execução, a data a partir da qual os Estados-Membros e a Europol podem começar a utilizar o EPRIS, logo que estejam preenchidas as seguintes condições:

a)

Foram adotadas as medidas a que se refere o artigo 44.o, n.o 6;

b)

A Europol declarou a conclusão com êxito de um teste global do EPRIS, que tenha efetuado em cooperação com as autoridades competentes dos Estados-Membros.

4.   A Comissão fixa, através de um ato de execução, a data a partir da qual a Europol deve disponibilizar aos Estados-Membros os dados biométricos provenientes de países terceiros nos termos do artigo 48.o, logo que estejam preenchidas as seguintes condições:

a)

O encaminhador está em funcionamento;

b)

A Europol declarou a conclusão com êxito de um teste global da sua ligação ao encaminhador, que tenha efetuado em cooperação com as autoridades competentes dos Estados-Membros e a eu-LISA.

5.   A Comissão fixa, através de um ato de execução, a data a partir da qual a Europol deve ter acesso aos dados conservados nas bases de dados dos Estados-Membros, nos termos do artigo 49.o, logo que estejam preenchidas as seguintes condições:

a)

O encaminhador está em funcionamento;

b)

A Europol declarou a conclusão com êxito de um teste global da sua ligação ao encaminhador, que tenha efetuado em cooperação com as autoridades competentes dos Estados-Membros e a eu-LISA.

6.   Os atos de execução referidos no presente artigo são adotados pelo procedimento de exame a que se refere o artigo 77.o, n.o 2.

Artigo 76.o

Disposições transitórias e derrogações

1.   Os Estados-Membros e as agências da União começam a aplicar os artigos 19.o a 22.°, o artigo 47.o e o artigo 49.o, n.o 6, a partir da data fixada nos termos do artigo 75.o, n.o 1, primeiro parágrafo, com exceção dos Estados-Membros que não tenham começado a utilizar o encaminhador.

2.   Os Estados-Membros e as agências da União começam a aplicar os artigos 25.o a 28.° e o artigo 49.o, n.o 4, a partir da data fixada nos termos do artigo 75.o, n.o 3.

3.   Os Estados-Membros e as agências da União começam a aplicar o artigo 48.o a partir da data fixada nos termos do artigo 75.o, n.o 4.

4.   Os Estados-Membros e as agências da União começam a aplicar o artigo 49.o, n.os 1, 2, 3, 5 e 7, a partir da data fixada nos termos do artigo 75.o, n.o 5.

Artigo 77.o

Procedimento de comité

1.   A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.

2.   Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011. Na falta de parecer do comité, a Comissão não adota o projeto de ato de execução, aplicando-se o artigo 5.o, n.o 4, terceiro parágrafo, do Regulamento (UE) n.o 182/2011.

Artigo 78.o

Grupo Consultivo de Interoperabilidade

As responsabilidades do Grupo Consultivo de Interoperabilidade, criado pelo artigo 75.o do Regulamento (UE) 2019/817 e pelo artigo 71.o do Regulamento (UE) 2019/818 devem ser alargadas de modo a abranger o encaminhador. O Grupo Consultivo de Interoperabilidade faculta à eu-LISA conhecimentos especializados relacionados com o encaminhador, em especial no contexto da elaboração do seu programa de trabalho anual e do seu relatório anual de atividades.

Artigo 79.o

Manual prático

A Comissão, em estreita cooperação com os Estados-Membros, a eu-LISA, a Europol e a Agência dos Direitos Fundamentais da União Europeia, disponibiliza um manual prático para a execução e a gestão do presente regulamento. O manual prático inclui orientações técnicas e operacionais, recomendações e boas práticas. A Comissão adota o manual prático sob a forma de recomendação antes da entrada em funcionamento do encaminhador e do EPRIS. A Comissão atualiza o manual prático regularmente e sempre que necessário.

Artigo 80.o

Acompanhamento e avaliação

1.   A eu-LISA assegura que são criados procedimentos para acompanhar o desenvolvimento do encaminhador à luz dos objetivos relacionados com o planeamento e os custos e para controlar o seu funcionamento à luz dos objetivos fixados em termos de resultados técnicos, relação custo-eficácia, segurança e qualidade do serviço.

A Europol assegura que são criados procedimentos para acompanhar o desenvolvimento do EPRIS à luz dos objetivos relacionados com o planeamento e os custos e para controlar o seu funcionamento à luz dos objetivos fixados em termos de resultados técnicos, relação custo-eficácia, segurança e qualidade do serviço.

2.   Até 26 de abril de 2025 e, posteriormente, todos os anos durante a fase de desenvolvimento do encaminhador, a eu-LISA apresenta um relatório ao Parlamento Europeu e ao Conselho sobre o ponto da situação do desenvolvimento do encaminhador. Esse relatório inclui informações pormenorizadas sobre os custos incorridos e informações sobre eventuais riscos que possam ter impacto nos custos globais a suportar pelo orçamento geral da União nos termos do artigo 73.o.

Quando o desenvolvimento do encaminhador estiver concluído, a eu-LISA apresenta ao Parlamento Europeu e ao Conselho um relatório que explique em pormenor a forma como os objetivos, em especial de planeamento e de custos, foram alcançados e que justifique eventuais divergências.

3.   Até 26 de abril de 2025 e, posteriormente, todos os anos durante a fase de desenvolvimento do EPRIS, a Europol apresenta ao Parlamento Europeu e ao Conselho um relatório sobre o ponto da situação do desenvolvimento do EPRIS. Esse relatório inclui informações pormenorizadas sobre os custos incorridos e informações sobre eventuais riscos que possam ter impacto nos custos globais a suportar pelo orçamento geral da União nos termos do artigo 73.o.

Quando o desenvolvimento do EPRIS estiver concluído, a Europol apresenta ao Parlamento Europeu e ao Conselho um relatório que explique em pormenor a forma como os objetivos, em especial de planeamento e de custos, foram alcançados e que justifique eventuais divergências.

4.   Para efeitos de manutenção técnica, a eu-LISA tem acesso às informações necessárias respeitantes às operações de tratamento de dados efetuadas no encaminhador. Para efeitos de manutenção técnica, a Europol tem acesso às informações necessárias respeitantes às operações de tratamento de dados efetuadas no EPRIS.

5.   Dois anos após a entrada em funcionamento do encaminhador e, posteriormente, de dois em dois anos, a eu-LISA apresenta ao Parlamento Europeu, ao Conselho e à Comissão um relatório sobre o funcionamento técnico, inclusive sobre a sua segurança, do encaminhador.

6.   Dois anos após a entrada em funcionamento do EPRIS e, posteriormente, de dois em dois anos, a Europol apresenta ao Parlamento Europeu, ao Conselho e à Comissão um relatório sobre o funcionamento técnico, inclusive sobre a sua segurança do EPRIS.

7.   Três anos após a entrada em funcionamento do encaminhador e do EPRIS, conforme referido no artigo 75.o, e, posteriormente, de quatro em quatro anos, a Comissão elabora um relatório sobre a avaliação global do regime de Prüm II.

Um ano após a entrada em funcionamento do encaminhador e, posteriormente, de dois em dois anos, a Comissão elabora um relatório de avaliação da utilização de imagens faciais ao abrigo do presente regulamento.

Os relatórios referidos no primeiro e segundo parágrafos incluem os seguintes elementos:

a)

Uma apreciação da aplicação do presente regulamento, incluindo a sua utilização por cada Estado-Membro e pela Europol;

b)

Uma análise dos resultados obtidos relativamente aos objetivos do presente regulamento e do seu impacto nos direitos fundamentais;

c)

O impacto, a eficácia e a eficiência do desempenho do regime de Prüm II e das suas práticas de trabalho à luz dos seus objetivos, mandato e atribuições;

d)

Uma apreciação da segurança do regime de Prüm II.

A Comissão transmite esses relatórios ao Parlamento Europeu, ao Conselho, à Autoridade Europeia para a Proteção de Dados e à Agência dos Direitos Fundamentais da União Europeia.

8.   Nos relatórios a que se refere o primeiro parágrafo do n.o 7, a Comissão presta especial atenção às novas categorias de dados seguintes: imagens faciais e registos policiais. A Comissão inclui nos referidos relatórios a utilização feita por cada Estado-Membro e pela Europol dessas novas categorias de dados e o seu impacto, eficácia e eficiência. Nos relatórios a que se refere o segundo parágrafo do n.o 7, a Comissão presta especial atenção ao risco de falsas correspondências e à qualidade dos dados.

9.   Os Estados-Membros e a Europol fornecem à eu-LISA e à Comissão as informações necessárias para a elaboração dos relatórios referidos nos n.os 2 e 5. Essas informações não podem pôr em causa os métodos de trabalho ou revelar fontes, membros do pessoal ou investigações das autoridades competentes dos Estados-Membros.

10.   Os Estados-Membros fornecem à Comissão e à Europol as informações necessárias para a elaboração dos relatórios referidos nos n.os 3 e 6. Essas informações não podem pôr em causa os métodos de trabalho ou revelar fontes, membros do pessoal ou investigações das autoridades competentes dos Estados-Membros.

11.   Sem prejuízo dos requisitos de confidencialidade, os Estados-Membros, a eu-LISA e a Europol comunicam à Comissão as informações necessárias à elaboração dos relatórios referidos no n.o 7. Os Estados-Membros comunicam igualmente à Comissão o número de correspondências confirmadas com a base de dados de cada Estado-Membro por categoria e por tipo de dados. Essas informações não podem pôr em causa os métodos de trabalho ou revelar fontes, membros do pessoal ou investigações das autoridades competentes dos Estados-Membros.

Artigo 81.o

Entrada em vigor e aplicação

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável nos Estados-Membros em conformidade com os Tratados.

Feito em Estrasburgo, em 13 de março de 2024.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

A Presidente

H. LAHBIB


(1)   JO C 323 de 26.8.2022, p. 69.

(2)  Posição do Parlamento Europeu de 8 de fevereiro de 2024 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 26 de fevereiro de 2024.

(3)  Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

(4)  Decisão 2008/615/JAI do Conselho, de 23 de junho de 2008, relativa ao aprofundamento da cooperação transfronteiras, em particular no domínio da luta contra o terrorismo e a criminalidade transfronteiras (JO L 210 de 6.8.2008, p. 1).

(5)  Decisão 2008/616/JAI do Conselho, de 23 de junho de 2008, referente à execução da Decisão 2008/615/JAI, relativa ao aprofundamento da cooperação transfronteiras, em particular no domínio da luta contra o terrorismo e da criminalidade transfronteiras (JO L 210 de 6.8.2008, p. 12).

(6)  Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho, de 28 de novembro de 2018, relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen (SIS) no domínio da cooperação policial e da cooperação judiciária em matéria penal, e que altera e revoga a Decisão 2007/533/JAI do Conselho e revoga o Regulamento (CE) n.o 1986/2006 do Parlamento Europeu e do Conselho e a Decisão 2010/261/UE da Comissão (JO L 312 de 7.12.2018, p. 56).

(7)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

(8)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(9)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(10)  Diretiva (UE) 2023/977 do Parlamento Europeu e do Conselho, de 10 de maio de 2023, relativa ao intercâmbio de informações entre as autoridades de aplicação da lei dos Estados Membros e que revoga a Decisão-Quadro 2006/960/JAI do Conselho (JO L 134 de 22.5.2023, p. 1).

(11)  Decisão-Quadro 2009/315/JAI do Conselho, de 26 de fevereiro de 2009, relativa à organização e ao conteúdo do intercâmbio de informações extraídas do registo criminal entre os Estados-Membros (JO L 93 de 7.4.2009, p. 23).

(12)  Regulamento (UE) 2019/817 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, relativo à criação de um regime de interoperabilidade entre os sistemas de informação da UE no domínio das fronteiras e vistos e que altera os Regulamentos (CE) n.o 767/2008, (UE) 2016/399, (UE) 2017/2226, (UE) 2018/1240, (UE) 2018/1726 e (UE) 2018/1861 do Parlamento Europeu e do Conselho, e as Decisões 2004/512/CE e 2008/633/JAI do Conselho (JO L 135 de 22.5.2019, p. 27).

(13)  Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, relativo à criação de um regime de interoperabilidade entre os sistemas de informação da UE no domínio da cooperação policial e judiciária, asilo e migração, e que altera os Regulamentos (UE) 2018/1726, (UE) 2018/1862 e (UE) 2019/816 (JO L 135 de 22.5.2019, p. 85).

(14)  Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, relativo à Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), que altera o Regulamento (CE) n.o 1987/2006 e a Decisão 2007/533/JAI do Conselho, e que revoga o Regulamento (UE) n.o 1077/2011 (JO L 295 de 21.11.2018, p. 99).

(15)  Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).

(16)   JO C 225 de 9.6.2022, p. 6.

(17)  Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972, e que revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80).

(18)   JO L 56 de 4.3.1968, p. 1.


ELI: http://data.europa.eu/eli/reg/2024/982/oj

ISSN 1977-0774 (electronic edition)