EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2024/982

av den 13 mars 2024

om automatisk sökning och automatiskt utbyte av uppgifter för polissamarbete och om ändring av rådets beslut 2008/615/RIF och 2008/616/RIF samt Europaparlamentets och rådets förordningar (EU) 2018/1726, (EU) 2019/817 och (EU) 2019/818 (Prüm II-förordningen)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 16.2, 87.2 a och 88.2,

med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,

med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1),

i enlighet med det ordinarie lagstiftningsförfarandet (2), och

av följande skäl:

(1)

Unionen har satt som mål att erbjuda sina medborgare ett område med frihet, säkerhet och rättvisa utan inre gränser, där den fria rörligheten för personer säkerställs. Detta mål ska uppnås bland annat genom lämpliga åtgärder för att förebygga, förhindra och bekämpa brottslighet och andra hot mot den allmänna säkerheten, däribland organiserad brottslighet och terrorism, i linje med kommissionens meddelande av den 24 juli 2020 om strategin för EU:s säkerhetsunion. Målet innebär att de brottsbekämpande myndigheterna måste utbyta uppgifter på ett effektivt sätt och utan dröjsmål för att på ett ändamålsenligt sätt kunna förebygga, förhindra, upptäcka och utreda brott.

(2)

Målet med denna förordning är att förbättra, rationalisera och underlätta utbytet av brottsinformation och uppgifter ur fordonsregister, för att förebygga, förhindra, upptäcka och utreda brott. mellan medlemsstaternas behöriga myndigheter och mellan medlemsstaterna och Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) som inrättades genom Europaparlamentets och rådets förordning (EU) 2016/794 (3), helt i överensstämmelse med grundläggande rättigheter och dataskyddsregler.

(3)

Rådets beslut 2008/615/RIF (4) och 2008/616/RIF (5), som fastställer regler för utbytet av information mellan myndigheter som är ansvariga för att förebygga, förhindra och utreda brott genom föreskrifter för automatisk överföring av DNA-profiler, fingeravtrycksuppgifter och vissa uppgifter ur fordonsregister, har visat sig vara viktiga för bekämpningen av terrorism och gränsöverskridande brottslighet, och skyddar därmed såväl unionens inre säkerhet som unionsmedborgarna.

(4)

Baserat på befintliga förfaranden för automatisk sökning på uppgifter fastställer denna förordning villkor och förfaranden för automatisk sökning på och automatiskt utbyte av DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister. Detta bör inte påverka behandlingen av sådana uppgifter i Schengens informationssystem (SIS) eller utbytet av tilläggsinformation med anknytning till sådana uppgifter via Sirenekontoren enligt Europaparlamentets och rådets förordning (EU) 2018/1862 (6) eller rättigheterna för de personer vars uppgifter behandlas däri.

(5)

Genom denna förordning inrättas en ram för utbytet av information mellan myndigheter som är ansvariga för att förebygga, förhindra, upptäcka och utreda brott (Prüm II-ramverket). I enlighet med artikel 87.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) omfattar den alla behöriga myndigheter i medlemsstaterna, inbegripet men inte begränsat till polisen, tullen och andra brottsbekämpande organ som är specialiserade på att förebygga, förhindra, upptäcka och utreda brott. Inom ramen för denna förordning bör därför alla myndigheter som ansvarar för förvaltningen av en nationell databas som omfattas av denna förordning eller som beviljar rättsligt tillstånd att lämna ut uppgifter anses omfattas av denna förordnings tillämpningsområde så länge som själva informationsutbytet sker i syfte att förebygga, förhindra, upptäcka och utreda brott.

(6)

Inget fall av behandling eller utbyte av personuppgifter vid tillämpningen av denna förordning får leda till diskriminering av personer på någon grund. Behandlingen eller utbytet bör ske med fullständig respekt för mänsklig värdighet och integritet samt andra grundläggande rättigheter, inbegripet rätten till respekt för privatlivet och skydd av personuppgifter, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna.

(7)

All behandling och allt utbyte av personuppgifter bör omfattas av bestämmelserna om dataskydd i kapitel 6 i denna förordning och i tillämpliga fall av Europaparlamentets och rådets direktiv (EU) 2016/680 (7) eller Europaparlamentets och rådets förordningar (EU) 2018/1725 (8), (EU) 2016/794 eller (EU) 2016/679 (9). När det gäller sökningar efter försvunna personer och identifiering av oidentifierade mänskliga kvarlevor för att förebygga, upptäcka och utreda brott är direktiv (EU) 2016/680 tillämpligt på användningen av Prüm II-ramverket. Förordning (EU) 2016/679 är tillämplig på användningen av Prüm II-ramverket när det gäller sökningar efter försvunna personer och identifiering av oidentifierade mänskliga kvarlevor i andra syften.

(8)

Genom föreskrifter om automatisk sökning på DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister är syftet med denna förordning även att möjliggöra sökning efter försvunna personer och identifiering av oidentifierade mänskliga kvarlevor. Dessa automatiska sökningar bör följa de regler och förfaranden som fastställs i den här förordningen. Dessa automatiska sökningar påverkar inte införandet av registreringar om försvunna personer i SIS eller utbytet av tilläggsinformation om sådana registreringar enligt förordning (EU) 2018/1862.

(9)

Om medlemsstaterna önskar använda Prüm II-ramverket för sökning efter försvunna personer och identifiering av mänskliga kvarlevor bör de anta nationella lagstiftningsåtgärder för att utse de nationella myndigheter som är behöriga för detta ändamål och fastställa specifika förfaranden, villkor och kriterier för det ändamålet. När sökning efter försvunna personer sker utanför ramen för en brottsutredning bör de nationella lagstiftningsåtgärderna tydligt fastställa de humanitära skäl som kan ligga till grund för en sökning efter försvunna personer. Sådana sökningar bör vara förenliga med proportionalitetsprincipen. De humanitära skälen bör inbegripa naturkatastrofer, katastrofer orsakade av människor och andra lika motiverade skäl, såsom misstankar om självmord.

(10)

I denna förordning fastställs villkoren och förfarandena för automatisk sökning av DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister samt reglerna för utbytet av grundläggande uppgifter i händelse av en bekräftad träff avseende biometriska uppgifter. Förordningen är inte tillämplig på utbytet av tilläggsinformation utöver vad som föreskrivs i denna förordning, vilket regleras genom Europaparlamentets och rådets direktiv (EU) 2023/977 (10).

(11)

Genom direktiv (EU) 2023/977 föreskrivs en enhetlig rättslig ram i unionen för att säkerställa att en medlemsstats behöriga myndigheter har likvärdig tillgång till information som innehas av andra medlemsstater när de behöver sådan information för att bekämpa brottslighet och terrorism. För att förbättra informationsutbytet formaliserar och förtydligar det direktivet reglerna och förfarandena för delning av information mellan medlemsstaternas behöriga myndigheter, i synnerhet för utredningsändamål, till exempel den roll som varje medlemsstats gemensamma kontaktpunkt spelar när det gäller sådana utbyten.

(12)	Ändamålen med utbytet av DNA-profiler inom ramen för denna förordning påverkar inte medlemsstaternas exklusiva befogenhet att besluta om ändamål för sina nationella DNA-databaser, inklusive förebyggande, förhindrande och upptäckt av brott.

(13)

Vid tidpunkten för den inledande anslutningen till den router som inrättas genom denna förordning bör medlemsstaterna utföra en automatisk sökning på DNA-profiler genom att jämföra alla de DNA-profiler som lagras i deras databaser med alla DNA-profiler som är lagrade i alla andra medlemsstaters databaser och med Europoluppgifter. Syftet med denna inledande automatiska sökning är att undvika luckor när det gäller att identifiera träffar mellan DNA-profiler som lagras i en medlemsstats databas och DNA-profiler som lagras i alla andra medlemsstaters databaser och Europoluppgifter. Den inledande automatiska sökningen bör genomföras bilateralt och behöver inte nödvändigtvis utföras med alla andra medlemsstaters databaser och Europoluppgifter samtidigt. Formerna för utförandet av sådana sökningar bör överenskommas bilateralt, inbegripet tidpunkt och mängd per datapaket, i enlighet med de regler och förfaranden som fastställs i den här förordningen.

(14)

Efter den inledande automatiska sökningen av DNA-profiler bör medlemsstaterna utföra automatiska sökningar genom att jämföra alla nya DNA-profiler som lagts till i deras DNA-databaser med alla DNA-profiler som är lagrade i andra medlemsstaters databaser och med Europoluppgifter. Den automatiska sökningen efter nya DNA-profiler bör ske regelbundet. Om sådana sökningar inte har kunnat äga rum bör den berörda medlemsstaten kunna utföra dem i ett senare skede för att säkerställa att man inte har missat några träffar. Formerna för utförandet av sådana senare sökningar, inbegripet tidpunkt och mängd per datapaket, bör överenskommas bilateralt, i enlighet med de regler och förfaranden som fastställs i den här förordningen.

(15)

När det gäller den automatiska sökningen på uppgifter ur fordonsregister bör medlemsstaterna och Europol använda det europeiska informationssystemet för fordon och körkort (Eucaris), som upprättades genom avtalet om ett europeiskt informationssystem för fordon och körkort (Eucaris) och utformades för det syftet, vilket sammanför alla deltagande medlemsstater i ett nätverk. Ingen central komponent krävs för att etablera kommunikationen, eftersom varje medlemsstat kommunicerar direkt med de andra anslutna medlemsstaterna, och Europol kommunicerar direkt med de anslutna databaserna.

(16)

Att kunna identifiera en brottsling är helt avgörande för en framgångsrik brottsutredning och lagföring. En automatisk sökning på ansiktsbilder av personer som är dömda eller misstänka för brott, eller, om det är tillåtet enligt den anmodade medlemsstatens nationella rätt, av brottsoffer, som samlats in i enlighet med nationell rätt, skulle kunna ge ytterligare information för att brottslingar ska kunna identifieras och brott bekämpas. Med tanke på de berörda uppgifternas känslighet bör det endast vara möjligt att utföra automatiska sökningar i syfte att förebygga, förhindra, upptäcka och utreda brott som enligt den begärande medlemsstatens nationella rätt är belagda med ett maximalt fängelsestraff på minst ett år.

(17)

Den automatiska sökningen på biometriska uppgifter av medlemsstaternas behöriga myndigheter som är ansvariga för att förebygga, förhindra, upptäcka och utreda brott inom ramen för denna förordning bör endast gälla uppgifter som ingår i de databaser som upprättats för att förebygga, förhindra, upptäcka och utreda brott.

(18)

Deltagandet i den automatiska sökningen och det automatiska utbytet av uppgifter ur polisregister bör fortfarande vara frivilligt. Om en medlemsstat beslutar sig för att delta bör den endast, i en anda av ömsesidighet, kunna göra sökningar mot andra medlemsstaters databaser om den gör sin egen databas tillgänglig för andra medlemsstaters sökningar. Deltagande medlemsstater bör upprätta nationella polisregisterindex. Det bör vara upp till medlemsstaterna att besluta vilka av de nationella databaser som inrättats för att förebygga, förhindra, upptäcka och utreda brott som ska användas för skapandet av deras nationella polisregisterindex. Dessa index innehåller uppgifter från nationella databaser som polisen normalt kontrollerar när de tar emot begäranden om information från andra brottsbekämpande myndigheter. Genom denna förordning inrättas det europeiska polisregisterindexet (Epris) i enlighet med principen om inbyggt integritetsskydd. Skyddsåtgärderna för personuppgifter innefattar pseudonymisering, eftersom index och sökningar inte innehåller rena personuppgifter utan alfanumeriska strängar. Det är viktigt att Epris hindrar medlemsstaterna eller Europol från att upphäva pseudonymiseringen och röja de identifikationsuppgifter som gav upphov till träffen. Med tanke på de berörda uppgifternas känslighet bör utbytet av nationella polisregisterindex inom ramen för denna förordning endast gälla uppgifter om personer som dömts eller misstänks för brott. Dessutom bör det endast vara möjligt att utföra automatiska sökningar i nationella polisregisterindex i syfte att förebygga, förhindra, upptäcka och utreda brott som enligt den begärande medlemsstatens nationella rätt är belagda med ett maximalt fängelsestraff på minst ett år.

(19)	Utbytet av uppgifter ur polisregister inom ramen för denna förordning påverkar inte utbytet av uppgifter via det befintliga europeiska informationssystemet för utbyte av uppgifter ur kriminalregister (Ecris), inrättat genom rådets rambeslut 2009/315/RIF (11).

(20)

Under senare år har Europol tagit emot en stor mängd biometriska uppgifter om misstänkta och personer dömda för terrorism och brott från myndigheter i tredjeländer i enlighet med förordning (EU) 2016/794, bland annat information från stridszoner i krigsområden. Det har i många fall inte varit möjligt att fullt ut utnyttja sådana uppgifter eftersom de inte alla gånger är tillgängliga för medlemsstaternas behöriga myndigheter. För bättre förebyggande, förhindrande, upptäckt och utredning av grova brott är det nödvändigt att i Prüm II-ramverket inkludera uppgifter som tillhandahållits av tredjeländer och som lagras hos Europol och därmed göra dem tillgängliga för medlemsstaternas behöriga myndigheter, i linje med Europols roll som unionens centrala knutpunkt för utbyte av brottsinformation. Detta bidrar även till att skapa synergieffekter mellan olika verktyg för brottsbekämpning och säkerställer att uppgifterna används så effektivt som möjligt.

(21)

Europol bör kunna göra sökningar i medlemsstaternas databaser inom Prüm II-ramverket med uppgifter som tagits emot från myndigheter i tredjeländer, med full respekt för de regler och villkor som föreskrivs i förordning (EU) 2016/794, för att upprätta gränsöverskridande kopplingar mellan olika brottmål för vilka Europol har behörighet. Möjligheten att använda Prümuppgifter, utöver andra databaser som är tillgängliga för Europol, skulle möjliggöra en mer komplett och välunderbyggd analys, så att Europol bättre kan stödja medlemsstaternas behöriga myndigheter när det gäller förebyggande, förhindrande, upptäckt och utredning av brott.

(22)

Europol bör säkerställa att dess begäranden om sökning inte överskrider den sökningskapacitet för fingeravtrycksuppgifter och ansiktsbilder som medlemsstaterna har fastställt. I händelse av en träff mellan uppgifter som används vid sökningen och uppgifter som lagras i medlemsstaternas databaser bör det vara upp till medlemsstaterna att besluta om de ska tillhandahålla den information som Europol behöver för att utföra sina arbetsuppgifter.

(23)

Förordning (EU) 2016/794 är i sin helhet tillämplig på Europols deltagande i Prüm II-ramverket. Europols användning av uppgifter som tagits emot från tredjeländer regleras av artikel 19 i förordning (EU) 2016/794. För att Europol ska kunna använda uppgifter som erhållits från automatiska sökningar inom Prüm II-ramverket bör det krävas samtycke från den medlemsstat som tillhandahöll uppgifterna, och sådan användning regleras av artikel 25 i förordning (EU) 2016/794 när uppgifterna överförs till tredjeländer.

(24)

I besluten 2008/615/RIF och 2008/616/RIF föreskrivs ett nätverk av bilaterala anslutningar mellan medlemsstaternas nationella databaser. Som en följd av denna tekniska arkitektur har varje medlemsstat varit tvungen att upprätta en anslutning till varje medlemsstat som deltar i utbytet, vilket innebär åtminstone 26 anslutningar per medlemsstat, per uppgiftskategori. Routern och Epris kommer att förenkla Prümramens tekniska arkitektur och fungera som förbindelsepunkter mellan alla medlemsstater. Routern bör endast kräva en enda anslutning per medlemsstat när det gäller biometriska uppgifter. Epris bör endast kräva en anslutning per deltagande medlemsstat när det gäller uppgifter ur polisregister.

(25)

Routern bör vara ansluten till den europeiska sökportal som inrättats genom Europaparlamentets och rådets förordningar (EU) 2019/817 (12) och (EU) 2019/818 (13) för att ge medlemsstaternas behöriga myndigheter och Europol möjlighet att inleda sökningar i nationella databaser inom ramen för denna förordning samtidigt med sökningar i den gemensamma databas för identitetsuppgifter som inrättats genom de förordningarna för brottsbekämpande ändamål i enlighet med de förordningarna. De förordningarna bör därför ändras i enlighet med detta. Dessutom bör förordning (EU) 2019/818 ändras i syfte att möjliggöra lagring av rapporter och statistik från routern i den centrala databasen för rapporter och statistik.

(26)	Referensnumret för biometriska uppgifter bör kunna vara ett provisoriskt referensnummer eller ett transaktionskontrollnummer.

(27)

System för automatisk identifiering av fingeravtryck och system för igenkänning av ansiktsbilder använder biometriska mallar som består av uppgifter som härletts från en särdragsdetektion från biometriska underlag. Biometriska mallar bör erhållas från biometriska uppgifter, men det bör inte vara möjligt att erhålla just dessa biometriska uppgifter från de biometriska mallarna.

(28)

Routern bör, om den begärande medlemsstaten så beslutar och om så är tillämpligt med tanke på typen av biometriska uppgifter, rangordna svaren från den eller de anmodade medlemsstaterna eller Europol genom att jämföra de biometriska uppgifter som används vid sökningen med de biometriska uppgifter som tillhandahålls i svaren från den eller de anmodade medlemsstaterna eller Europol.

(29)

I händelse av en träff mellan de uppgifter som används för sökning och uppgifterna i den eller de anmodade medlemsstaternas nationella databaser, när denna överensstämmelse har bekräftats manuellt av en kvalificerad medarbetare i den begärande medlemsstaten och efter översändande av en beskrivning av fakta och en uppgift om det underliggande brottet med användning av den gemensamma tabell över brottskategorier som avses i en genomförandeakt som ska antas i enlighet med rambeslut 2009/315/RIF, bör den anmodade medlemsstaten sända en begränsad uppsättning grundläggande uppgifter, i den mån sådana uppgifter finns tillgängliga. Den begränsade uppsättningen grundläggande uppgifter bör sändas via routern och, utom när ett rättsligt tillstånd krävs enligt nationell rätt, inom 48 timmar från det att de relevanta villkoren har uppfyllts. Den tidsfristen kommer att säkerställa ett snabbt utbyte av kommunikation mellan medlemsstaternas behöriga myndigheter. Medlemsstaterna bör behålla kontrollen över utlämnandet av den begränsade uppsättningen grundläggande uppgifter. Mänskligt ingripande bör upprätthållas vid vissa nyckelpunkter i processen, däribland när det gäller beslutet att inleda en sökning, beslutet att bekräfta en träff, beslutet att skicka en begäran om att erhålla en uppsättning grundläggande uppgifter till följd av en bekräftad träff och beslutet att lämna ut personuppgifter till den begärande medlemsstaten, för att säkerställa att det inte förekommer något automatiskt utbyte av grundläggande uppgifter.

(30)

När det specifikt gäller DNA bör den anmodade medlemsstaten också kunna bekräfta en träff mellan två DNA-profiler om det är relevant för utredning av brott. När denna träff har bekräftats av den anmodade medlemsstaten och efter översändande av en beskrivning av fakta och uppgift om det underliggande brottet med användning av den gemensamma tabell över brottskategorier som avses i en genomförandeakt som ska antas i enlighet med rambeslut 2009/315/RIF, bör den begärande medlemsstaten sända en begränsad uppsättning grundläggande uppgifter via routern inom 48 timmar från det att de relevanta villkoren har uppfyllts, utom om ett rättsligt tillstånd krävs enligt nationell rätt.

(31)	Uppgifter som tillhandahållits och tagits emot på lagenligt sätt enligt denna förordning omfattas av de tidsgränser för lagring och översyn som fastställts enligt direktiv (EU) 2016/680.

(32)

Det universella meddelandeformatet (UMF) bör användas vid utvecklingen av routern och Epris, i den mån det är tillämpligt. Varje automatiskt utbyte av uppgifter enligt denna förordning bör ske enligt UMF-standarden, i den mån det är tillämpligt. Medlemsstaternas behöriga myndigheter och Europol uppmanas även att använda UMF-standarden vid ytterligare utbyten av uppgifter mellan dem inom Prüm II-ramverket. UMF bör utgöra standarden för strukturerat, gränsöverskridande informationsutbyte mellan informationssystem, myndigheter eller organisationer på området rättsliga och inrikes frågor.

(33)	Endast icke säkerhetsskyddsklassificerad information bör utbytas via Prüm II-ramverket.

(34)

Varje medlemsstat bör underrätta de andra medlemsstaterna, kommissionen, Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-Lisa), som inrättades genom Europaparlamentets och rådets förordning (EU) 2018/1726 (14) och Europol om det innehåll i dess nationella databaser som gjorts tillgängligt via Prüm II-ramverket och villkoren för automatiska sökningar.

(35)

Vissa aspekter av Prüm II-ramverket kan inte täckas på ett uttömmande sätt av denna förordning på grund av deras tekniska beskaffenhet, detaljnivå och behov av regelbunden uppdatering. Dessa aspekter omfattar till exempel de tekniska arrangemangen och specifikationerna för automatiska sökningsförfaranden, standarderna för utbyte av uppgifter, inklusive de lägsta kvalitetsstandarderna, och vilka dataelement som ska utbytas. För att säkerställa enhetliga villkor för genomförandet av denna förordning bör kommissionen tilldelas genomförandebefogenheter. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011 (15).

(36)

Uppgifternas kvalitet är av största vikt som skyddsåtgärd och en viktig förutsättning för att säkerställa denna förordnings ändamålsenlighet. I samband med den automatiska sökningen av biometriska uppgifter, och för att säkerställa att de överförda uppgifterna håller tillräckligt god kvalitet och minska risken för falska träffar, bör en lägsta kvalitetsstandard fastställas och regelbundet ses över.

(37)

Med tanke på omfattningen och känsligheten hos de personuppgifter som utbyts vid tillämpning av denna förordning och de olika nationella regler som finns för lagring av information om enskilda personer i nationella databaser är det viktigt att säkerställa att de databaser som används för automatisk sökning enligt denna förordning upprättas i enlighet med nationell rätt och direktiv (EU) 2016/680. Innan medlemsstaterna ansluter sina nationella databaser till routern eller Epris bör de därför genomföra en sådan konsekvensbedömning avseende dataskydd som avses i direktiv (EU) 2016/680 och, när så är lämpligt, samråda med tillsynsmyndigheten på sätt som anges i det direktivet.

(38)

Medlemsstaterna och Europol bör säkerställa att de personuppgifter som behandlas i enlighet med denna förordning är korrekta och relevanta. Om medlemsstaten eller Europol får kännedom om att uppgifter som har tillhandhållits är felaktiga, inaktuella eller inte borde ha lämnats ut bör den utan onödigt dröjsmål underrätta den medlemsstat som mottagit uppgifterna eller Europol, beroende på vad som är tillämpligt, om detta. Alla berörda medlemsstater eller Europol, beroende på vad som är tillämpligt, bör utan onödigt dröjsmål rätta eller radera uppgifterna i enlighet med underrättelsen. Om den medlemsstat som mottagit uppgifterna eller Europol har skäl att anta att de utlämnade uppgifterna är felaktiga eller borde raderas bör den underrätta den medlemsstat som tillhandahöll uppgifterna utan onödigt dröjsmål.

(39)

Det är av yttersta vikt att genomförandet av denna förordning övervakas noga. I synnerhet bör efterlevnaden av reglerna för behandling av personuppgifter omfattas av effektiva skyddsåtgärder, och regelbunden övervakning och revision utförd av personuppgiftsansvariga, tillsynsmyndigheter och Europeiska datatillsynsmannen, beroende på vad som är relevant, bör säkerställas. Det bör finnas bestämmelser som gör det möjligt att regelbundet kontrollera om en sökning är tillåten och att uppgifterna behandlas på ett lagligt sätt.

(40)	Tillsynsmyndigheterna och Europeiska datatillsynsmannen bör säkerställa en samordnad tillsyn av tillämpningen av denna förordning inom ramen för sina ansvarsområden, särskilt om de identifierar stora skillnader mellan medlemsstaternas praxis eller potentiellt olagliga överföringar.

(41)	Vid genomförandet av denna förordning är det av avgörande betydelse att medlemsstaterna och Europol beaktar rättspraxis från Europeiska unionens domstol i fråga om utbytet av biometriska uppgifter.

(42)

Tre år efter det att routern och Epris tagits i drift, och därefter vart fjärde år, bör kommissionen utarbeta en utvärderingsrapport som inbegriper en bedömning av hur medlemsstaterna och Europol tillämpar denna förordning, särskilt av hur de efterlever de relevanta skyddsåtgärderna för personuppgifter. Utvärderingsrapporterna bör också innehålla en granskning av de resultat som uppnåtts i förhållande till målen i denna förordning och dess inverkan på de grundläggande rättigheterna. Utvärderingsrapporterna bör även innehålla en utvärdering av Prüm II-ramverkets genomslagskraft, resultat, ändamålsenlighet, effektivitet, säkerhet och arbetsmetoder.

(43)	Eftersom denna förordning föreskriver inrättandet av en ny Prümram bör de bestämmelser i besluten 2008/615/RIF och 2008/616/RIF som inte längre är relevanta utgå. Dessa beslut bör ändras i enlighet med detta.

(44)	Eftersom routern ska utvecklas och förvaltas av eu-Lisa, bör förordning (EU) 2018/1726 ändras genom att lägga till detta i eu-Lisas arbetsuppgifter.

(45)

Eftersom målen för denna förordning, nämligen att utöka det gränsöverskridande polissamarbetet och göra det möjligt för medlemsstaternas behöriga myndigheter att söka efter försvunna personer och identifiera oidentifierade mänskliga kvarlevor, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens omfattning och verkningar, kan uppnås bättre på unionsnivå, får unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen (EU-fördraget). I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå dessa mål.

(46)	I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till EU-fördraget och EUF-fördraget, deltar Danmark inte i antagandet av denna förordning, som inte är bindande för eller tillämplig på Danmark.

(47)	I enlighet med artikel 3 i protokoll nr 21 om Förenade kungarikets och Irlands ställning med avseende på området med frihet, säkerhet och rättvisa, fogat till EU-fördraget och EUF-fördraget, har Irland meddelat att det önskar delta i antagandet och tillämpningen av denna förordning.

(48)	Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 2 mars 2022 (16).

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

Allmänna bestämmelser

Artikel 1

Innehåll

Genom denna förordning inrättas en ram för sökning och utbyte av information mellan medlemsstaternas behöriga myndigheter (Prüm II-ramverket) genom att fastställa

a)	villkoren och förfarandena för automatisk sökning av DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister, och

b)	reglerna för utbyte av grundläggande uppgifter i händelse av en bekräftad träff avseende biometriska uppgifter.

Artikel 2

Syfte

Syftet med Prüm II-ramverket är att utöka det gränsöverskridande samarbetet i frågor som omfattas av del III avdelning V kapitlen 4 och 5 i fördraget om Europeiska unionens funktionssätt, framför allt genom att underlätta utbytet av information mellan medlemsstaternas behöriga myndigheter med fullständig respekt för fysiska personers grundläggande rättigheter, inbegripet rätten till respekt för privatlivet och rätten till skydd av personuppgifter, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna.

Syftet med Prüm II-ramverket är även att göra det möjligt för medlemsstaternas behöriga myndigheter att söka efter försvunna personer i samband med brottsutredningar eller av humanitära skäl och att identifiera mänskliga kvarlevor, i enlighet med artikel 29, förutsatt att dessa myndigheter har befogenhet att genomföra sådana sökningar och att utföra sådan identifiering enligt nationell rätt.

Artikel 3

Tillämpningsområde

Denna förordning är tillämplig på de databaser som upprättats i enlighet med nationell rätt och som används för automatisk överföring av DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister, i enlighet med, beroende på vad som är tillämpligt, direktiv (EU) 2016/680 eller förordning (EU) 2018/1725, (EU) 2016/794 eller (EU) 2016/679.

Artikel 4

Definitioner

I denna förordning gäller följande definitioner:

1.	lokus: platser i en DNA-molekyl som innehåller identifikationsuppgifter avseende ett analyserat mänskligt DNA-prov.

2.	DNA-profil: bokstavs- eller nummerkod som representerar en rad lokus, eller den särskilda molekylära strukturen vid de olika lokusen.

3.	DNA-referensuppgifter: en DNA-profil och det referensnummer som avses i artikel 7.

4.	identifierad DNA-profil: DNA-profil för en identifierad person.

5.	oidentifierad DNA-profil: DNA-profil som samlats in under brottsutredningen och tillhör en person som ännu inte identifierats, inbegripet en DNA-profil som erhålls från spår.

6.	fingeravtrycksuppgifter: fingeravtrycksbilder, bilder av fingeravtrycksspår, bilder av handavtryck, handavtrycksspår och mallar för sådana bilder (kodade detaljer) som lagras och hanteras i en automatisk databas.

7.	referensuppgifter för fingeravtryck: fingeravtrycksuppgifter och det referensnummer som avses i artikel 12.

8.	oidentifierade fingeravtrycksuppgifter: fingeravtrycksuppgifter som samlats in under brottsutredningen och tillhör en person som ännu inte identifierats, inbegripet fingeravtrycksuppgifter som erhålls från spår.

9.	identifierade fingeravtrycksuppgifter: fingeravtrycksuppgifter avseende en identifierad person.

10.	enskilt fall: ett enda ärende som rör förebyggande, förhindrande, upptäckt eller utredning av brott, sökning efter en försvunnen person eller identifiering av oidentifierade mänskliga kvarlevor.

11.	ansiktsbild: en digital bild av en persons ansikte.

12.	referensuppgifter för ansiktsbild: en ansiktsbild och det referensnummer som avses i artikel 21.

13.	oidentifierad ansiktsbild: ansiktsbild som samlats in under brottsutredningen och som tillhör en person som ännu inte identifierats, inbegripet en ansiktsbild som erhålls från spår.

14.	identifierad ansiktsbild: ansiktsbilden av en identifierad person.

15.	biometriska uppgifter: DNA-profiler, fingeravtrycksuppgifter eller ansiktsbilder.

16.	alfanumeriska uppgifter: uppgifter som återges med bokstäver, siffror, specialtecken, mellanslag och skiljetecken.

17.	träff: förekomsten av en överensstämmelse till följd av en automatisk jämförelse mellan personuppgifter i en databas.

18.	kandidat: uppgifter som har gett en träff.

19.	begärande medlemsstat: en medlemsstat som utför en sökning genom Prüm II-ramverket.

20.	anmodad medlemsstat: en medlemsstat i vars databaser en sökning utförs av den begärande medlemsstaten genom Prüm II-ramverket.

21.	uppgifter ur polisregister: biografiska uppgifter om misstänkta och dömda personer i de nationella databaser som upprättats för förebyggande, förhindrande, upptäckt och utredning av brott.

22.	pseudonymisering: pseudonymisering enligt definitionen i artikel 3.5 i direktiv (EU) 2016/680.

23.	misstänkt: sådan person som avses i artikel 6 a i direktiv (EU) 2016/680.

24.	personuppgifter: personuppgifter enligt definitionen i artikel 3.1 i direktiv (EU) 2016/680.

25.	Europoluppgifter: alla operativa personuppgifter som behandlas av Europol i enlighet med förordning (EU) 2016/794.

26.	behörig myndighet: alla offentliga myndigheter med behörighet att förebygga, förhindra, upptäcka eller utreda brott, eller andra organ eller enheter som enligt medlemsstaternas rätt har anförtrotts myndighetsutövning och maktbefogenheter för att förebygga, förhindra, upptäcka eller utreda brott.

27.	tillsynsmyndighet: oberoende offentlig myndighet som har utsetts av en medlemsstat i enlighet med artikel 41 i direktiv (EU) 2016/680.

28.	Siena: den nätapplikation för säkert informationsutbyte som förvaltas och utvecklas av Europol i enlighet med förordning (EU) 2016/794.

29.	incident: incident i den mening som avses i artikel 6.6 i Europaparlamentets och rådets direktiv (EU) 2022/2555 (17).

30.	betydande incident: varje incident, såvida den inte har begränsad inverkan och sannolikt redan är välbekant i fråga om metod eller teknik.

31.	betydande cyberhot: cyberhot som innebär tillfälle och förmåga, och vars syfte är, att orsaka en betydande incident.

32.	betydande sårbarhet: sårbarhet som sannolikt kommer att leda till en betydande incident om den utnyttjas.

KAPITEL 2

Uppgiftsutbyte

Avsnitt 1

DNA-profiler

Artikel 5

DNA-referensuppgifter

1. Medlemsstaterna ska säkerställa att DNA-referensuppgifter från deras nationella DNA-databaser finns tillgängliga för andra medlemsstaters och Europols automatiska sökningar enligt denna förordning.

DNA-referensuppgifter får inte innehålla några ytterligare uppgifter som möjliggör en omedelbar identifiering av en viss person.

Oidentifierade DNA-profiler ska kunna identifieras som sådana.

2. DNA-referensuppgifter ska behandlas i enlighet med denna förordning och i överensstämmelse med den nationella rätt som är tillämplig på behandlingen av sådana uppgifter.

3. Kommissionen ska anta en genomförandeakt för att specificera vilka identifikationsuppgifter i en DNA-profil som ska utbytas. Denna genomförandeakt ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 6

Automatisk sökning av DNA-profiler

1. I syfte att utreda brott ska medlemsstaterna vid tidpunkten för den inledande anslutningen till routern via sina nationella kontaktpunkter utföra en automatisk sökning genom att jämföra alla de DNA-profiler som är lagrade i deras DNA-databaser med alla DNA-profiler som är lagrade i alla andra medlemsstaters DNA-databaser och Europoluppgifter. Varje medlemsstat ska bilateralt komma överens med varje annan medlemsstat och med Europol om formerna för dessa automatiska sökningar i enlighet med de regler och förfaranden som fastställs i denna förordning.

2. I syfte att utreda brott ska medlemsstaterna via sina nationella kontaktpunkter utföra automatiska sökningar genom att jämföra alla nya DNA-profiler som lagts till i deras DNA-databaser med alla DNA-profiler som är lagrade i alla andra medlemsstaters DNA-databaser och Europoluppgifter.

3. Om sådana sökningar som avses i punkt 2 inte har kunnat äga rum får den berörda medlemsstaten bilateralt komma överens med varje annan medlemsstat och med Europol om att utföra dem i ett senare skede genom att jämföra DNA-profilerna med alla DNA-profiler som är lagrade i alla andra medlemsstaters DNA-databaser och Europoluppgifter. Den berörda medlemsstaten ska bilateralt komma överens med varje annan medlemsstat och med Europol om formerna för dessa automatiska sökningar i enlighet med de regler och förfaranden som fastställs i denna förordning.

4. De sökningar som avses i punkterna 1, 2 och 3 får endast göras inom ramen för enskilda fall och i överensstämmelse med den begärande medlemsstatens nationella rätt.

5. Om det i samband med en automatisk sökning konstateras att en förmedlad DNA-profil ger träff mot DNA-profiler i den anmodade medlemsstatens databas eller databaser, ska den nationella kontaktpunkten i den begärande medlemsstaten automatiskt ta emot de DNA-referensuppgifter för vilka en träff har konstaterats.

6. Den begärande medlemsstatens nationella kontaktpunkt får besluta att bekräfta en träff mellan två DNA-profiler. Om den beslutar att bekräfta en träff mellan två DNA-profiler ska den informera den anmodade medlemsstaten och säkerställa att åtminstone en kvalificerad medarbetare utför en manuell granskning i syfte att bekräfta denna träff med DNA-referensuppgifter som tagits emot från den anmodade medlemsstaten.

7. Om det är relevant i samband med utredning av brott, får den anmodade medlemsstatens nationella kontaktpunkt besluta att bekräfta en träff mellan två DNA-profiler. Om den beslutar att bekräfta en träff mellan två DNA-profiler ska den informera den begärande medlemsstaten och säkerställa att åtminstone en kvalificerad medarbetare utför en manuell granskning i syfte att bekräfta denna träff med DNA-referensuppgifter som tagits emot från den begärande medlemsstaten.

Artikel 7

Referensnummer för DNA-profiler

Referensnumren för DNA-profiler ska bestå av en kombination av följande:

Ett referensnummer som gör att medlemsstaterna, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information från sina nationella DNA-databaser för vidarebefordran av dem eller den till en, flera eller samtliga andra medlemsstater i enlighet med artikel 47 eller till Europol i enlighet med artikel 49.6.

b)	Ett referensnummer som gör att Europol, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information vid tillämpning av artikel 48.1 i denna förordning för vidarebefordran av dem eller den till en, flera eller samtliga medlemsstater i enlighet med förordning (EU) 2016/794.

c)	En kod som anger vilken medlemsstat som innehar DNA-profilen.

d)	En kod som anger huruvida DNA-profilen är en identifierad DNA-profil eller en oidentifierad DNA-profil.

Artikel 8

Principer för utbyte av DNA-profiler

1. Medlemsstaterna ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de DNA-referensuppgifter som översänds till andra medlemsstater eller Europol, inklusive krypteringen av dessa. Europol ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de DNA-referensuppgifter som översänds till medlemsstaterna, inklusive krypteringen av dessa.

2. Varje medlemsstat och Europol ska säkerställa att de DNA-profiler som de översänder håller tillräckligt god kvalitet för en automatisk jämförelse. Kommissionen ska genom genomförandeakter fastställa en lägsta kvalitetsstandard för att göra det möjligt att jämföra DNA-profiler.

3. Kommissionen ska anta genomförandeakter som specificerar relevanta europeiska eller internationella standarder som ska användas av medlemsstaterna och Europol för utbytet av DNA-referensuppgifter.

4. De genomförandeakter som avses i punkterna 2 och 3 i denna artikel ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 9

Regler för begäranden och svar angående DNA-profiler

1. En begäran om en automatisk sökning på DNA-profiler ska endast innehålla följande information:

a)	Den begärande medlemsstatens kod.

b)	Datum, tidpunkt och nummer för begäran.

c)	DNA-referensuppgifter.

d)	Huruvida de DNA-profiler som översänds är oidentifierade DNA-profiler eller identifierade DNA-profiler.

2. Ett svar på en begäran enligt punkt 1 ska endast innehålla följande information:

a)	Uppgift om huruvida det finns en eller flera träffar eller ingen träff.

b)	Datum, tidpunkt och nummer för begäran.

c)	Datum tidpunkt och nummer för svaret.

d)	Den begärande och de anmodade medlemsstaternas koder.

e)	Referensnumren för DNA-profilerna från den begärande och de anmodade medlemsstaterna.

f)	Huruvida de DNA-profiler som översänds är oidentifierade DNA-profiler eller identifierade DNA-profiler.

g)	De DNA-profiler som gett träff.

3. En träff ska endast meddelas automatiskt om den automatiska sökningen har resulterat i en träff mellan ett minimiantal av lokus. Kommissionen ska för det ändamålet anta genomförandeakter för att specificera minimiantalet av lokus i enlighet med det granskningsförfarande som avses i artikel 77.2.

4. Om en sökning med oidentifierade DNA-profiler ger träff får varje anmodad medlemsstat med överensstämmande uppgifter infoga en markering i sin nationella databas för att ange att en träff har konstaterats för den DNA-profilen i samband med en annan medlemsstats sökning. Markeringen ska inbegripa det referensnummer för DNA-profilen som använts av den begärande medlemsstaten.

5. Medlemsstaterna ska säkerställa att begäranden enligt punkt 1 i denna artikel är förenliga med de underrättelser som har översänts enligt artikel 74. Underrättelserna ska återges i den handledning som avses i artikel 79.

Avsnitt 2

Fingeravtrycksuppgifter

Artikel 10

Referensuppgifter för fingeravtryck

1. Medlemsstaterna ska säkerställa tillgängligheten till referensuppgifter för fingeravtryck i sina nationella databaser som inrättats för att förebygga, förhindra, upptäcka och utreda brott.

2. Referensuppgifter för fingeravtryck får inte innehålla några ytterligare uppgifter som möjliggör en omedelbar identifiering av en viss person.

3. Oidentifierade fingeravtrycksuppgifter ska kunna identifieras som sådana.

Artikel 11

Automatisk sökning på fingeravtrycksuppgifter

1. I syfte att för att förebygga, förhindra, upptäcka och utreda brott ska medlemsstaterna ge de övriga medlemsstaternas nationella kontaktpunkter och Europol åtkomst till referensuppgifterna för fingeravtryck i sina nationella databaser som inrättats för att utföra automatiska sökningar genom att jämföra referensuppgifter för fingeravtryck.

Sökningar enligt första stycket får endast göras inom ramen för enskilda fall och i överensstämmelse med den begärande medlemsstatens nationella rätt.

2. Den begärande medlemsstatens nationella kontaktpunkt får besluta att bekräfta en träff mellan två uppsättningar fingeravtrycksuppgifter. Om den beslutar att bekräfta en träff mellan två uppsättningar fingeravtrycksuppgifter ska den informera den anmodade medlemsstaten och säkerställa att åtminstone en kvalificerad medarbetare utför en manuell granskning i syfte att bekräfta den träffen med referensuppgifter för fingeravtryck som tagits emot från den anmodade medlemsstaten.

Artikel 12

Referensnummer för fingeravtrycksuppgifter

Referensnumren för fingeravtrycksuppgifter ska bestå av en kombination av följande:

Ett referensnummer som gör att medlemsstaterna, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information från sina databaser som avses i artikel 10 för vidarebefordran av dem eller den till en, flera eller samtliga andra medlemsstater i enlighet med artikel 47 eller till Europol i enlighet med artikel 49.6.

b)	Ett referensnummer som gör att Europol, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information vid tillämpning av artikel 48.1 i denna förordning för vidarebefordran av dem eller den till en, flera eller samtliga medlemsstater i enlighet med förordning (EU) 2016/794.

c)	En kod som anger vilken medlemsstat som innehar fingeravtrycksuppgifterna.

Artikel 13

Principer för utbyte av fingeravtrycksuppgifter

1. Medlemsstaterna ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de fingeravtrycksuppgifter som översänds till andra medlemsstater eller Europol, inklusive krypteringen av dessa. Europol ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de fingeravtrycksuppgifter som översänds till medlemsstaterna, inklusive krypteringen av dessa

2. Varje medlemsstat och Europol ska säkerställa att de fingeravtrycksuppgifter som de översänder håller tillräckligt god kvalitet för en automatisk jämförelse. Kommissionen ska genom genomförandeakter fastställa en lägsta kvalitetsstandard för att göra det möjligt att jämföra fingeravtrycksuppgifter.

3. Fingeravtrycksuppgifter ska digitaliseras och översändas till de övriga medlemsstaterna eller Europol i enlighet med europeiska eller internationella standarder. Kommissionen ska anta genomförandeakter som specificerar relevanta europeiska eller internationella standarder som ska användas av medlemsstaterna och Europol vid utbyte av fingeravtrycksuppgifter.

4. De genomförandeakter som avses i punkterna 2 och 3 ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 14

Sökningskapacitet för fingeravtrycksuppgifter

1. Varje medlemsstat ska säkerställa att dess begäranden om sökning inte överskrider den sökningskapacitet som specificerats av den anmodade medlemsstaten eller Europol för att säkerställa beredskapen hos systemen och undvika överbelastning av dem. För samma ändamål ska Europol säkerställa att dess begäranden om sökning inte överskrider den sökningskapacitet som specificerats av den anmodade medlemsstaten.

Medlemsstaterna ska informera andra medlemsstater, kommissionen, eu-Lisa och Europol om sin högsta sökningskapacitet per dag för identifierade och oidentifierade fingeravtrycksuppgifter. Europol ska informera medlemsstaterna, kommissionen och eu-Lisa om sin högsta sökningskapacitet per dag för identifierade och oidentifierade fingeravtrycksuppgifter. Medlemsstaterna eller Europol får när som helst tillfälligt eller permanent öka denna sökningskapacitet, inbegripet i brådskande fall. Om en medlemsstat ökar sin högsta sökningskapacitet ska den underrätta övriga medlemsstater, kommissionen, eu-Lisa och Europol om den nya högsta sökningskapaciteten. Om Europol ökar sin högsta sökningskapacitet ska den underrätta medlemsstaterna, kommissionen och eu-Lisa om den nya högsta sökningskapaciteten.

2. Kommissionen ska anta genomförandeakter för att specificera det högsta antal kandidater som kan godtas för jämförelse per överföring och fördelningen av outnyttjad sökningskapacitet mellan medlemsstaterna, i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 15

Regler för begäranden och svar angående fingeravtrycksuppgifter

1. En begäran om en automatisk sökning på fingeravtrycksuppgifter ska endast innehålla följande information:

a)	Den begärande medlemsstatens kod.

b)	Datum, tidpunkt och nummer för begäran.

c)	Fingeravtrycksreferensuppgifterna.

2. Ett svar på en begäran enligt punkt 1 ska endast innehålla följande information:

a)	Uppgift om huruvida det finns en eller flera träffar eller ingen träff.

b)	Datum, tidpunkt och nummer för begäran.

c)	Datum, tidpunkt och nummer för svaret.

d)	Den begärande och de anmodade medlemsstaternas koder.

e)	Referensnumren för fingeravtrycksuppgifterna från den begärande och de anmodade medlemsstaterna.

f)	De fingeravtrycksuppgifter som gett träff.

3. Medlemsstaterna ska säkerställa att begäranden enligt punkt 1 i denna artikel är förenliga med de underrättelser som har översänts i enlighet med artikel 74. Underrättelserna ska återges i den handledning som avses i artikel 79.

Avsnitt 3

Uppgifter ur fordonsregister

Artikel 16

Automatisk sökning på uppgifter ur fordonsregister

1. I syfte att förebygga, förhindra, upptäcka och utreda brott ska medlemsstaterna ge de andra medlemsstaternas nationella kontaktpunkter och Europol åtkomst till följande uppgifter ur nationella fordonsregister så att de kan utföra automatiska sökningar i enskilda fall:

a)	Uppgifter om ägare eller innehavare av fordonet.

b)	Uppgifter om fordonet.

2. Sökningar enligt punkt 1 ska endast utföras med följande uppgifter:

a)	ett fullständigt chassinummer,

b)	ett fullständigt registreringsnummer, eller,

c)	om det är tillåtet enligt den anmodade medlemsstatens nationella rätt, uppgifter som avser ägaren eller innehavaren av fordonet.

3. Sökningar som avses i punkt 1 som görs med uppgifter som avser ägaren eller innehavaren av fordonet får endast utföras när det gäller misstänkta eller dömda personer. Samtliga följande identifikationsuppgifter ska användas vid sådana sökningar:

Om ägaren eller innehavaren av fordonet är en fysisk person:

i)	Den fysiska personens förnamn.

ii)	Den fysiska personens efternamn.

iii)	Den fysiska personens födelsedatum.

b)	Om ägaren eller innehavaren av fordonet är en juridisk person, namnet på den juridiska personen.

4. Sökning enligt punkt 1 får endast utföras i överensstämmelse med den begärande medlemsstatens nationella rätt.

Artikel 17

Principer för automatisk sökning på uppgifter ur fordonsregister

1. För automatisk sökning på uppgifter ur fordonsregister ska medlemsstaterna använda det europeiska informationssystemet för fordon och körkort (Eucaris).

2. De uppgifter som utbyts via Eucaris ska översändas i krypterad form.

3. Kommissionen ska anta genomförandeakter för att specificera vilka delar av uppgifterna i fordonsregistren som kan utbytas och det tekniska förfarandet för Eucaris vid sökningar i medlemsstaternas databaser. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 18

Registerföring av loggar

1. Varje medlemsstat ska föra loggar över de sökningar som görs av personal vid dess behöriga myndigheter som är vederbörligen bemyndigad att utbyta uppgifter ur fordonsregister och loggar över de sökningar som begärs av andra medlemsstater. Europol ska föra loggar över sökningar som görs av dess vederbörligen bemyndigade personal.

Varje medlemsstat och Europol ska föra loggar över all behandling av uppgifter ur fordonsregister. Dessa loggar ska omfatta följande:

a)	Huruvida det var en medlemsstat eller Europol som lämnade in begäran om en sökning, och i så fall, om det var en medlemsstat som lämnade in begäran om en sökning, vilken medlemsstat.

b)	Datum och tidpunkt för begäran.

c)	Datum och tidpunkt för svaret.

d)	De nationella databaser som en begäran om en sökning lämnades till.

e)	De nationella databaser som lämnade ett positivt svar.

2. De loggar som avses i punkt 1 får användas endast för insamling av statistik och övervakning av dataskyddet, till exempel för att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt samt för att säkerställa datasäkerheten och dataintegriteten. Dessa loggar ska på lämpligt sätt skyddas mot obehörig åtkomst och ska raderas tre år efter det att de skapats. Om de behövs för övervakningsförfaranden som redan har inletts ska de emellertid raderas så snart de inte längre behövs för övervakningsförfarandena.

3. För att övervaka dataskyddet, till exempel genom att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt, ska de personuppgiftsansvariga ha åtkomst till loggarna för den egenkontroll som avses i artikel 55.

Avsnitt 4

Ansiktsbilder

Artikel 19

Referensuppgifter för ansiktsbilder

1. Medlemsstaterna ska säkerställa tillgängligheten till referensuppgifter för ansiktsbilder på misstänkta, dömda personer och, om det är tillåtet enligt nationell rätt, brottsoffer ur sina nationella databaser som inrättats för att förebygga, förhindra, upptäcka och utreda brott.

2. Referensuppgifter för ansiktsbilder får inte innehålla några ytterligare uppgifter som möjliggör en omedelbar identifiering av en viss person.

3. Oidentifierade ansiktsbilder ska kunna identifieras som sådana.

Artikel 20

Automatisk sökning på ansiktsbilder

1. I syfte att förebygga, förhindra, upptäcka och utreda brott som enligt den begärande medlemsstatens nationella rätt är belagda med ett maximalt fängelsestraff på minst ett år ska medlemsstaterna ge de andra medlemsstaternas nationella kontaktpunkter och Europol åtkomst till referensuppgifterna för ansiktsbilder som lagras i deras nationella databaser så att de kan utföra automatiska sökningar.

Sökningar enligt första stycket får endast göras inom ramen för enskilda fall och i överensstämmelse med den begärande medlemsstatens nationella rätt.

Profilering enligt artikel 11.3 i direktiv (EU) 2016/680 ska vara förbjuden.

2. Den begärande medlemsstatens nationella kontaktpunkt får besluta att bekräfta en träff mellan två ansiktsbilder. Om den beslutar att bekräfta en träff mellan två ansiktsbilder ska kontaktpunkten informera den anmodade medlemsstaten och säkerställa att åtminstone en kvalificerad medarbetare utför en manuell granskning i syfte att bekräfta denna träff med referensuppgifter för ansiktsbilder som tagits emot från den anmodade medlemsstaten.

Artikel 21

Referensnummer för ansiktsbilder

Referensnumren för ansiktsbilder ska bestå av en kombination av följande:

Ett referensnummer som gör att medlemsstaterna, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information från sina databaser som avses i artikel 19 för vidarebefordran av dem eller den till en, flera eller samtliga andra medlemsstater i enlighet med artikel 47 eller till Europol i enlighet med artikel 49.6.

b)	Ett referensnummer som gör att Europol, om en träff konstaterats, kan hämta ytterligare uppgifter och annan information som avses i artikel 48.1 i denna förordning för vidarebefordran av dem eller den till en, flera eller samtliga medlemsstater i enlighet med förordning (EU) 2016/794.

c)	En kod som anger vilken medlemsstat som innehar ansiktsbilderna.

Artikel 22

Principer för utbyte av ansiktsbilder

1. Medlemsstaterna ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de ansiktsbilder som översänds till andra medlemsstater eller Europol, inklusive krypteringen av dessa. Europol ska vidta lämpliga åtgärder för att säkerställa konfidentialiteten och integriteten hos de ansiktsbilder som översänds till medlemsstaterna eller Europol, inklusive krypteringen av dessa.

2. Varje medlemsstat och Europol ska säkerställa att de ansiktsbilder som de översänder har tillräckligt god kvalitet för en automatisk jämförelse. Kommissionen ska genom genomförandeakter fastställa en lägsta kvalitetsstandard för att göra det möjligt att jämföra ansiktsbilder. Om den rapport som avses i artikel 80.7 visar på en hög risk för falska träffar ska kommissionen se över dessa genomförandeakter.

3. Kommissionen ska anta genomförandeakter för att specificera vilka relevanta europeiska eller internationella standarder som ska användas av medlemsstaterna och Europol för utbyte av ansiktsbilder.

4. De genomförandeakter som avses i punkterna 2 och 3 i denna artikel ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 23

Sökningskapacitet för ansiktsbilder

1. Varje medlemsstat ska säkerställa att dess begäranden om sökningar inte överskrider den sökningskapacitet som specificerats av den anmodade medlemsstaten eller Europol för att säkerställa beredskapen hos systemen och undvika överbelastning av dem. För samma ändamål ska Europol säkerställa att dess begäranden om sökningar inte överskrider den sökningskapacitet som specificerats av den anmodade medlemsstaten.

Medlemsstaterna ska informera andra medlemsstater, kommissionen, eu-Lisa och Europol om sin högsta sökningskapacitet per dag för identifierade och oidentifierade ansiktsbilder. Europol ska informera medlemsstaterna, kommissionen och eu-Lisa om sin högsta sökningskapacitet per dag för identifierade och oidentifierade ansiktsbilder. Medlemsstaterna eller Europol får tillfälligt eller permanent öka denna sökningskapacitet, till exempel i brådskande fall. Om en medlemsstat ökar sin högsta sökningskapacitet ska den underrätta övriga medlemsstater, kommissionen, eu-LISA och Europol om den nya högsta sökningskapaciteten. Om Europol ökar sin högsta sökningskapacitet ska den underrätta medlemsstaterna, kommissionen och eu-Lisa om den nya högsta sökningskapaciteten.

Artikel 24

Regler för begäranden och svar angående ansiktsbilder

1. En begäran om en automatisk sökning på ansiktsbilder ska innehålla endast följande information:

a)	Den begärande medlemsstatens kod.

b)	Datum, tidpunkt och nummer för begäran.

c)	Referensuppgifterna för ansiktsbilder.

2. Svaret på den begäran som avses i punkt 1 ska innehålla endast följande information:

a)	Uppgift om huruvida det finns en eller flera träffar eller ingen träff.

b)	Datum, tidpunkt och nummer för begäran.

c)	Datum, tidpunkt och nummer för svaret.

d)	Den begärande och de anmodade medlemsstaternas koder.

e)	Referensnumren för ansiktsbilderna från den begärande och de anmodade medlemsstaterna.

f)	De ansiktsbilder som gett en träff.

Avsnitt 5

Uppgifter ur polisregister

Artikel 25

Uppgifter ur polisregister

1. Medlemsstaterna får delta i det automatiska utbytet av uppgifter ur polisregister. Vid sådana utbyten ska de deltagande medlemsstaterna säkerställa tillgängligheten till nationella polisregisterindex som innehåller uppsättningar av biografiska uppgifter om misstänkta och dömda personer ur deras nationella databaser som inrättats för att förebygga, förhindra, upptäcka och utreda brott. Dessa uppgifter ska omfatta endast följande uppgifter, i den mån de är tillgängliga:

Förnamn.

b)	Efternamn.

c)	Alias och tidigare använda namn.

d)	Födelsedatum.

e)	Medborgarskap.

f)	Födelseland.

Kön.

2. De uppgifter som avses i punkt 1 a, b och c ska vara pseudonymiserade.

Artikel 26

Automatisk sökning på uppgifter ur nationella polisregisterindex

I syfte att förebygga, förhindra, upptäcka och utreda brott som enligt den begärande medlemsstatens nationella rätt är belagda med ett maximalt fängelsestraff på minst ett år ska medlemsstater som deltar i det automatiska utbytet av uppgifter ur polisregister ge de andra deltagande medlemsstaternas nationella kontaktpunkter och Europol åtkomst till uppgifter ur sina nationella polisregisterindex så att de kan utföra automatiska sökningar.

Sökningar enligt första stycket får endast göras inom ramen för enskilda fall och i överensstämmelse med den begärande medlemsstatens nationella rätt.

Artikel 27

Referensnummer för uppgifter ur polisregister

Referensnumren för uppgifter ur polisregister ska bestå av en kombination av följande:

a)	Ett referensnummer som gör att medlemsstaterna, om en träff konstaterats, kan hämta biografiska uppgifter och annan information från sina nationella polisregisterindex som avses i artikel 25 för vidarebefordran av dem eller den till en, flera eller samtliga medlemsstater i enlighet med artikel 44.

b)	En kod som anger vilken medlemsstat som innehar uppgifterna ur polisregister.

Artikel 28

Regler för begäranden och svar angående uppgifter ur polisregister

1. En begäran om en automatisk sökning i nationella polisregisterindex ska innehålla endast följande information:

a)	Den begärande medlemsstatens kod.

b)	Datum, tidpunkt och nummer för begäran.

c)	De uppgifter som avses i artikel 25, i den mån de finns tillgängliga.

2. Ett svar på en begäran enligt punkt 1 ska innehålla endast följande information:

a)	Uppgift om antalet träffar.

b)	Datum, tidpunkt och nummer för begäran.

c)	Datum, tidpunkt och nummer för svaret.

d)	Den begärande och de anmodade medlemsstaternas koder.

e)	Referensnumren för uppgifterna ur polisregister från de anmodade medlemsstaterna.

Avsnitt 6

Gemensamma bestämmelser

Artikel 29

Försvunna personer och oidentifierade mänskliga kvarlevor

1. Om en nationell myndighet har bemyndigats därtill genom de nationella lagstiftningsåtgärder som avses i punkt 2, får den utföra automatiska sökningar med användning av Prüm II-ramverket endast för följande ändamål:

a)	Sökning efter försvunna personer i samband med brottsutredningar eller av humanitära skäl.

b)	Identifiering av mänskliga kvarlevor.

2. Medlemsstater som önskar utnyttja den möjlighet som anges i punkt 1 ska genom nationella lagstiftningsåtgärder utse de nationella myndigheter som är behöriga för de ändamål som anges däri och fastställa förfaranden, villkor och kriterier, inbegripet de humanitära skäl på grundval av vilka det är tillåtet att genomföra automatiska sökningar efter försvunna personer enligt punkt 1 a.

Artikel 30

Nationella kontaktpunkter

Varje medlemsstat ska utse en eller flera nationella kontaktpunkter för de ändamål som anges i artiklarna 6, 11, 16, 20 och 26.

Artikel 31

Genomförandeåtgärder

Kommissionen ska anta genomförandeakter för att specificera de tekniska arrangemangen för medlemsstaterna avseende de förfaranden som anges i artiklarna 6, 11, 16, 20 och 26. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 32

Tillgängligheten för automatiskt utbyte av uppgifter på nationell nivå

1. Medlemsstaterna ska vidta alla nödvändiga åtgärder för att säkerställa att automatisk sökning eller jämförelse av DNA-profiler, fingeravtrycksuppgifter, vissa uppgifter ur fordonsregister, ansiktsbilder och uppgifter ur polisregister är möjlig dygnet runt sju dagar i veckan.

2. De nationella kontaktpunkterna ska omedelbart informera varandra, kommissionen, eu-Lisa och Europol om ett automatiskt utbyte av uppgifter inte går att genomföra, i förekommande fall också om ett tekniskt fel gör att det inte går att genomföra.

De nationella kontaktpunkterna ska i enlighet med tillämplig unionsrätt och nationell rätt komma överens om tillfälliga alternativa arrangemang för utbyte av information som ska användas om det automatiska utbytet av uppgifter inte går att genomföra.

3. Om det automatiska utbytet av uppgifter inte går att genomföra ska de nationella kontaktpunkterna med alla nödvändiga medel och utan dröjsmål säkerställa att det återupprättas.

Artikel 33

Motivering för behandlingen av uppgifter

1. Varje medlemsstat ska dokumentera motiveringarna för de sökningar som görs av deras behöriga myndigheter.

Europol ska dokumentera motiveringarna för de sökningar som görs av byrån.

2. De motiveringar som avses i punkt 1 ska omfatta

a)	syftet med sökningen, inklusive en hänvisning till det specifika ärendet eller den specifika utredningen och, i förekommande fall, brottet,

b)	en uppgift om huruvida sökningen gäller en misstänkt person eller en person som dömts för brott, ett offer för ett brott, en försvunnen person eller oidentifierade mänskliga kvarlevor,

c)	en uppgift om huruvida syftet med sökningen är att identifiera en person eller inhämta fler uppgifter om en känd person.

3. De motiveringar som avses i punkt 1 i denna artikel ska kunna spåras till de loggar som avses i artiklarna 18, 40 och 45. Dessa motiveringar får endast användas för att bedöma huruvida sökningarna är proportionerliga och nödvändiga i syfte att förebygga, förhindra, upptäcka eller utreda brott, för övervakning av dataskyddet, till exempel för att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt, och för att säkerställa datasäkerheten och dataintegriteten. Dessa motiveringar ska på lämpligt sätt skyddas mot obehörig åtkomst och ska raderas tre år efter det att de skapats. Om de behövs för övervakningsförfaranden som redan har inletts ska de emellertid raderas så snart de inte längre behövs för övervakningsförfarandena.

4. För att bedöma proportionaliteten och nödvändigheten i sökningar som utförs i syfte att förebygga, förhindra, upptäcka eller utreda brott eller övervaka dataskyddet, till exempel genom att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt, ska de personuppgiftsansvariga ha åtkomst till motiveringarna för den egenkontroll som avses i artikel 55.

Artikel 34

Användning av det universella meddelandeformatet

1. Det universella meddelandeformatet (UMF), som inrättats genom artikel 38 i förordning (EU) 2019/818, ska användas vid utvecklingen av den router som avses i artikel 35 i denna förordning och av det europeiska polisregisterindexet (Epris), så långt detta är möjligt.

2. Varje automatiskt utbyte av uppgifter i enlighet med denna förordning ska ske enligt UMF-standarden, så långt detta är möjligt.

KAPITEL 3

Arkitektur

Avsnitt 1

Router

Artikel 35

Router

1. En router ska inrättas för att underlätta etableringen av anslutningar mellan medlemsstaterna, och mellan medlemsstaterna och Europol, för sökning på och inhämtning av biometriska uppgifter och bedömning av graden av överensstämmelse samt för inhämtning av alfanumeriska uppgifter i enlighet med denna förordning.

2. Routern ska bestå av följande:

a)	En central infrastruktur som omfattar ett sökverktyg där sökningar kan göras samtidigt i de nationella databaser som avses i artiklarna 5, 10 och 19 och i Europoluppgifter.

b)	En säker kommunikationskanal mellan den centrala infrastrukturen, de behöriga myndigheter som är bemyndigade att använda routern enligt artikel 36 samt Europol.

c)	En säker kommunikationsinfrastruktur mellan den centrala infrastrukturen och den europeiska sökportalen, inrättad genom artikel 6 i förordning (EU) 2019/817 och artikel 6 i förordning (EU) 2019/818, för de ändamål som avses i artikel 39.

Artikel 36

Användning av routern

Användningen av routern ska förbehållas de behöriga myndigheter i medlemsstaterna som är bemyndigade att ha åtkomst till och utbyta DNA-profiler, fingeravtrycksuppgifter och ansiktsbilder i enlighet med denna förordning samt till Europol i enlighet med denna förordning och förordning (EU) 2016/794.

Artikel 37

Processer

1. De behöriga myndigheter som är bemyndigade att använda routern i enlighet med artikel 36 eller Europol ska begära en sökning genom att skicka biometriska uppgifter till routern. Routern ska skicka vidare begäran om en sökning till samtliga eller specifika medlemsstaters databaser och Europoluppgifter samtidigt med de uppgifter som lämnats av användaren i enlighet med användarens åtkomsträttigheter.

2. När begäran om en sökning har tagits emot från routern ska varje anmodad medlemsstat automatiskt och utan dröjsmål inleda en sökning i sina databaser. När begäran om en sökning har tagits emot från routern ska Europol automatiskt och utan dröjsmål inleda en sökning i Europoluppgifter.

3. Varje träff som konstateras vid sökningar enligt punkt 2 ska skickas tillbaka automatiskt till routern. Den begärande medlemsstaten ska underrättas automatiskt om ingen träff konstaterats.

4. Routern ska, om den begärande medlemsstatens så beslutar och där så är tillämpligt, rangordna svaren genom att jämföra de biometriska uppgifter som användes vid sökningen och de biometriska uppgifter som tillhandahålls i svaren från den eller de anmodade medlemsstaterna eller Europol.

5. Routern ska sända förteckningen över biometriska uppgifter som motsvarar varandra, med uppgift om deras rangordning, till routeranvändaren.

6. Kommissionen ska anta genomförandeakter för att specificera det tekniska förfarandet för routern vid sökningar i medlemsstaternas databaser och Europoluppgifter, det format som routern använder för besvarande av sökningarna och de tekniska reglerna för att jämföra och rangordna överensstämmelsen mellan biometriska uppgifter. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 38

Kvalitetskontroll

Den anmodade medlemsstaten ska kontrollera kvaliteten på de översända uppgifterna genom ett automatiskt förfarande.

Den anmodade medlemsstaten ska utan dröjsmål underrätta den begärande medlemsstaten via routern om uppgifterna inte lämpar sig för automatisk jämförelse.

Artikel 39

Interoperabiliteten mellan routern och den gemensamma databasen för identitetsuppgifter i samband med brottsbekämpning

1. När utsedda myndigheter enligt definitionen i artikel 4.20 i förordning (EU) 2019/817 och artikel 4.20 i förordning (EU) 2019/818 är bemyndigade att använda routern enligt artikel 36 i den här förordningen får de inleda en sökning i medlemsstaternas databaser och Europoluppgifter samtidigt med en sökning i den gemensamma databasen för identitetsuppgifter, som inrättats genom artikel 17 i förordning (EU) 2019/817 och artikel 17 i förordning (EU) 2019/818, under förutsättning att de relevanta villkoren enligt unionsrätten har uppfyllts och att sökningen har inletts i enlighet med användarnas åtkomsträttigheter. För detta ändamål ska routern göra en sökning i den gemensamma databasen för identitetsuppgifter via den europeiska sökportalen.

2. Sökningar i den gemensamma databasen för identitetsuppgifter för brottsbekämpande ändamål ska utföras i enlighet med artikel 22 i förordning (EU) 2019/817 och artikel 22 i förordning (EU) 2019/818. Alla resultat av sådana sökningar ska överföras via den europeiska sökportalen.

Samtidiga sökningar i medlemsstaternas databaser och Europoluppgifter och den gemensamma databasen för identitetsuppgifter får endast göras om det finns rimliga skäl att anta att uppgifter om en misstänkt person, en gärningsperson eller ett offer för ett terroristbrott eller något annat grovt brott enligt definitionen i artikel 4.21 respektive 4.22 i förordning (EU) 2019/817 och artikel 4.21 respektive 4.22 i förordning (EU) 2019/818 lagras i den gemensamma databasen för identitetsuppgifter.

Artikel 40

Registerföring av loggar

1. eu-Lisa ska föra loggar över all uppgiftsbehandling som sker i routern. Dessa loggar ska omfatta följande:

a)	Huruvida det var en medlemsstat eller Europol som lämnade in begäran om en sökning, och i så fall, om det var en medlemsstat som lämnade in begäran om en sökning, vilken medlemsstat.

b)	Datum och tidpunkt för begäran.

c)	Datum och tidpunkt för svaret.

d)	De nationella databaser eller Europoluppgifter som en begäran om en sökning lämnades till.

e)	De nationella databaser eller Europoluppgifter som lämnade ett svar.

f)	I tillämpliga fall, det faktum att det gjordes en samtidig sökning i den gemensamma databasen för identitetsuppgifter.

2. Varje medlemsstat ska föra loggar över de sökningar som görs av den personal vid dess behöriga myndigheter som är vederbörligen bemyndigad att använda routern samt loggar över de sökningar som begärs av andra medlemsstater.

Europol ska föra loggar över sökningar som görs av dess vederbörligen bemyndigade personal.

3. De loggar som avses i punkterna 1 och 2 får endast användas för insamling av statistik, för övervakning av dataskyddet, till exempel för att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt, och för att säkerställa datasäkerheten och dataintegriteten. Dessa loggar ska på lämpligt sätt skyddas mot obehörig åtkomst och raderas tre år efter det att de skapats. Om de behövs för övervakningsförfaranden som redan har inletts ska de emellertid raderas så snart de inte längre behövs för övervakningsförfarandena.

4. För att övervaka dataskyddet, till exempel genom att kontrollera om en sökning är tillåten och om uppgifterna har behandlats på ett lagligt sätt, ska de personuppgiftsansvariga ha åtkomst till loggarna för den egenkontroll som avses i artikel 55.

Artikel 41

Underrättelseförfarande om det är tekniskt omöjligt att använda routern

1. Om det är tekniskt omöjligt att använda routern för att söka i en eller flera nationella databaser eller i Europoluppgifter på grund av ett fel i routern ska eu-Lisa automatiskt underrätta de routeranvändare som avses i artikel 36. eu-Lisa ska utan dröjsmål vidta lämpliga åtgärder för att undanröja de tekniska hindren för användningen av routern.

2. Om det är tekniskt omöjligt att använda routern för att söka i en eller flera nationella databaser på grund av ett fel i en medlemsstats nationella infrastruktur ska den medlemsstaten automatiskt underrätta de andra medlemsstaterna, kommissionen, eu-Lisa och Europol. Den berörda medlemsstaten ska utan dröjsmål vidta lämpliga åtgärder för att undanröja de tekniska hindren för användningen av routern.

3. Om det är tekniskt omöjligt att använda routern för att söka i Europoluppgifter på grund av ett fel i Europols infrastruktur ska Europol automatiskt underrätta medlemsstaterna, kommissionen och eu-Lisa. Europol ska utan dröjsmål vidta lämpliga åtgärder för att undanröja de tekniska hindren för användningen av routern.

Avsnitt 2

EPRIS

Artikel 42

Epris

1. Det europeiska polisregisterindexet (Epris) inrättas härmed. För den automatiska sökning på uppgifter ur nationella polisregisterindex som avses i artikel 26 ska medlemsstaterna och Europol använda Epris.

2. Epris ska bestå av följande:

a)	En decentraliserad infrastruktur i medlemsstaterna, inklusive ett sökverktyg som gör det möjligt att utföra sökningar samtidigt i nationella polisregisterindex, baserat på nationella databaser.

b)	En central infrastruktur, som stöder sökverktyget, som gör det möjligt at utföra sökningar samtidigt i nationella polisregisterindex.

c)	En säker kommunikationskanal mellan den centrala infrastrukturen, medlemsstaterna och Europol.

Artikel 43

Användning av Epris

1. Vid sökning på uppgifter ur nationella polisregisterindex via Epris ska minst två av följande uppsättningar av uppgifter användas:

Förnamn.

b)	Efternamn.

c)	Födelsedatum.

2. Följande uppsättningar av uppgifter får också användas om de finns tillgängliga:

a)	Alias och tidigare använda namn.

b)	Medborgarskap.

c)	Födelseland.

Kön.

3. De uppgifter som avses i punkt 1 a och b och i punkt 2 a ska vara pseudonymiserade.

Artikel 44

Processer

1. Om en medlemsstat eller Europol begär en sökning ska den skicka in de uppgifter som avses i artikel 43.

Epris ska vidarebefordra begäran om en sökning till medlemsstaternas nationella polisregisterindex med de uppgifter som lämnats av den begärande medlemsstaten eller Europol och i enlighet med denna förordning.

2. När begäran om en sökning har tagits emot från Epris ska varje anmodad medlemsstat automatiskt och utan dröjsmål inleda en sökning i sina nationella polisregisterindex.

3. Varje träff som sökningar enligt punkt 1 ger i var och en av de anmodade medlemsstaternas polisregisterindex ska skickas tillbaka automatiskt till Epris.

4. Förteckningen över träffar ska av Epris sändas automatiskt till den begärande medlemsstaten eller Europol. Förteckningen över träffar ska innehålla en uppgift om träffarnas kvalitet och den eller de medlemsstater vars polisregisterindex innehåller de uppgifter som gav en eller flera träffar.

5. Vid mottagandet av förteckningen över träffar ska den begärande medlemsstaten avgöra vilka träffar som kräver en uppföljning och skicka en motiverad begäran om uppföljning innehållande de uppgifter som avses i artiklarna 25 och 27, tillsammans med eventuell ytterligare relevant information till den eller de anmodade medlemsstaterna via Siena. Den eller de anmodade medlemsstaterna ska behandla en sådan begäran utan dröjsmål för att besluta huruvida de uppgifter som lagras i deras databas ska lämnas ut.

6. Kommissionen ska anta genomförandeakter för att specificera det tekniska förfarandet för Epris vid sökningar i medlemsstaternas polisregisterindex samt svarens format och högsta antal svar. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 45

Registerföring av loggar

1. Varje deltagande medlemsstat och Europol ska föra loggar över all uppgiftsbehandling som sker i Epris. Dessa loggar ska omfatta följande:

a)	Huruvida det var en medlemsstat eller Europol som lämnade in begäran om en sökning, och i så fall, om det var en medlemsstat som lämnade in begäran om en sökning, vilken medlemsstat.

b)	Datum och tidpunkt för begäran.

c)	Datum och tidpunkt för svaret.

d)	De nationella databaser som en begäran om en sökning lämnades till.

e)	De nationella databaser som lämnade ett svar.

2. Varje deltagande medlemsstat ska föra loggar över de begäranden om sökningar som lämnats av den personal vid dess behöriga myndigheter som är vederbörligen bemyndigad att använda Epris. Europol ska föra loggar över begäranden om sökningar som lämnats av dess vederbörligen bemyndigade personal.

3. De loggar som avses i punkterna 1 och 2 får endast användas för insamling av statistisk, för övervakning av dataskyddet, till exempel för att kontrollera om en sökning är tillåten och om uppgifterna behandlas på ett lagligt sätt, och för att säkerställa datasäkerheten och dataintegriteten. Dessa loggar ska på lämpligt sätt skyddas mot obehörig åtkomst och raderas tre år efter det att de skapats. Om de behövs för övervakningsförfaranden som redan har inletts ska de emellertid raderas så snart de inte längre behövs för övervakningsförfarandena.

Artikel 46

Underrättelseförfarande om det är tekniskt omöjligt att använda Epris

1. Om det är tekniskt omöjligt att använda Epris för att söka i ett eller flera nationella polisregisterindex på grund av ett fel i Europols infrastruktur ska Europol automatiskt underrätta medlemsstaterna. Europol ska utan dröjsmål vidta åtgärder för att undanröja de tekniska hindren för användningen av Epris.

2. Om det är tekniskt omöjligt att använda Epris för att söka i ett eller flera nationella polisregisterindex på grund av ett fel i en medlemsstats nationella infrastruktur ska den medlemsstaten automatiskt underrätta övriga medlemsstater, kommissionen och Europol. Medlemsstaterna ska utan dröjsmål vidta åtgärder för att undanröja de tekniska hindren för användningen av Epris.

KAPITEL 4

Utbyte av uppgifter efter en träff

Artikel 47

Utbyte av grundläggande uppgifter

1. En uppsättning grundläggande uppgifter ska sändas via routern inom 48 timmar om samtliga följande villkor är uppfyllda:

a)	De förfaranden som avses i artikel 6, 11 eller 20 ger en träff mellan de uppgifter som används för sökningen och uppgifter som lagras i den eller de anmodade medlemsstaternas databas.

b)	Den träff som avses i led a i denna punkt har bekräftats manuellt av en kvalificerad medarbetare i den begärande medlemsstaten såsom avses i artiklarna 6.6, 11.2 och 20.2, eller, när det gäller DNA-profiler enligt artikel 6.7, i den anmodade medlemsstaten.

En beskrivning av fakta och en uppgift om det underliggande brottet har översänts med användning av den gemensamma tabell över brottskategorier som anges i en genomförandeakt som ska antas i enlighet med artikel 11b.1 a i rambeslut 2009/315/RIF, av den begärande medlemsstaten eller, när det gäller DNA-profiler enligt artikel 6.7, av den anmodade medlemsstaten, i syfte att bedöma huruvida begäran är proportionerlig inbegripet allvarlighetsgraden för det brott för vilket sökningen utfördes, i enlighet med den nationella rätten i den medlemsstat som tillhandahåller uppsättningen grundläggande uppgifter.

2. Om en medlemsstat enligt sin nationella rätt kan tillhandahålla en viss uppsättning grundläggande uppgifter endast efter erhållande av ett rättsligt tillstånd får den medlemsstaten avvika från den tidsfrist som anges i punkt 1 i den mån det är nödvändigt för att erhålla ett sådant tillstånd.

3. Den uppsättning grundläggande uppgifter som avses i punkt 1 i denna artikel ska sändas av den anmodade medlemsstaten eller, när det gäller DNA-profiler enligt artikel 6.7, av den begärande medlemsstaten.

4. Om den bekräftade träffen gäller identifierade uppgifter om en person ska den uppsättning grundläggande uppgifter som avses i punkt 1 omfatta följande uppgifter, i den mån de är tillgängliga:

Förnamn.

b)	Efternamn.

c)	Alias och tidigare använda namn.

d)	Födelsedatum.

e)	Medborgarskap.

f)	Födelseort och födelseland.

Kön.

h)	Datum och plats för insamlandet av de biometriska uppgifterna.

i)	Det brott för vilket de biometriska uppgifterna samlades in.

j)	Brottsutredningens nummer.

k)	Den behöriga myndighet som ansvarar för brottsutredningen.

5. Om den bekräftade träffen gäller oidentifierade uppgifter eller spår ska den uppsättning grundläggande uppgifter som avses i punkt 1 omfatta följande uppgifter, i den mån de är tillgängliga:

a)	Datum och plats för insamlandet av de biometriska uppgifterna.

b)	Det brott för vilket de biometriska uppgifterna samlades in.

c)	Brottsutredningens nummer.

d)	Den behöriga myndighet som ansvarar för brottsutredningen.

6. Beslutet om huruvida den anmodade medlemsstaten eller, när det gäller DNA-profiler enligt artikel 6.7, den begärande medlemsstaten ska sända grundläggande uppgifter ska fattas av en människa.

KAPITEL 5

Europol

Artikel 48

Medlemsstaternas åtkomst till biometriska uppgifter som tillhandahållits av tredjeländer och lagras av Europol

1. Medlemsstaterna ska, i enlighet med förordning (EU) 2016/794, ha åtkomst till och via routern kunna söka i biometriska uppgifter som har lämnats till Europol av tredjeländer vid tillämpning av artikel 18.2 a, b och c i förordning (EU) 2016/794.

2. Om en sökning enligt punkt 1 ger en träff mellan de uppgifter som används vid sökningen och uppgifter som tillhandahållits av tredjeländer och lagras av Europol ska uppföljningen ske i enlighet med förordning (EU) 2016/794.

Artikel 49

Europols åtkomst till uppgifter som lagras i medlemsstaternas databaser, med användning av uppgifter som tillhandahållits av tredjeländer

1. När så är nödvändigt för att uppnå de mål som anges i artikel 3 i förordning (EU) 2016/794 ska Europol i enlighet med den förordningen och den här förordningen ha åtkomst till uppgifter som lagras av medlemsstaterna i deras nationella databaser och polisregisterindex.

2. Sökningar som Europol utför med biometriska uppgifter som sökkriterium ska utföras med användning av routern.

3. Sökningar som Europol utför med uppgifter ur fordonsregister som sökkriterium ska utföras med användning av Eucaris.

4. Sökningar som Europol utför med personuppgifter om misstänkta och dömda personer enligt artikel 25 som sökkriterium ska utföras med användning av Epris.

5. Europol får endast utföra sökningar med uppgifter som tillhandahållits av tredjeländer i enlighet med punkterna 1–4 i denna artikel när detta är nödvändigt för utförandet av byråns arbetsuppgifter vid tillämpningen av artikel 18.2 a och c i förordning (EU) 2016/794.

6. Om de förfaranden som avses i artikel 6, 11 eller 20 ger en träff mellan de uppgifter som används för sökningen och uppgifterna i den eller de anmodade medlemsstaternas nationella databas ska Europol endast informera den eller de berörda medlemsstaterna.

Den anmodade medlemsstaten ska besluta huruvida en uppsättning grundläggande uppgifter ska sändas via routern inom 48 timmar, om samtliga följande villkor är uppfyllda:

a)	En träff enligt första stycket har bekräftats manuellt av en kvalificerad medarbetare vid Europol.

En beskrivning av fakta och uppgift om det underliggande brottet har översänts av Europol med användning av den gemensamma tabell över brottskategorier som anges i en genomförandeakt som ska antas i enlighet med artikel 11b.1 a i rambeslut 2009/315/RIF, i syfte att bedöma huruvida begäran är proportionerlig, inbegripet allvaret i det brott för vilket sökningen utfördes, i enlighet med den nationella rätten i den medlemsstat som tillhandahåller uppsättningen grundläggande uppgifter.

c)	Namnet på det tredjeland som tillhandahöll uppgifterna har översänts.

Om en medlemsstat enligt sin nationella rätt kan tillhandahålla en viss uppsättning grundläggande uppgifter endast efter erhållande av ett rättsligt tillstånd får den medlemsstaten avvika från den tidsfrist som anges i andra stycket i den mån det är nödvändigt för att erhålla ett sådant tillstånd.

Om den bekräftade träffen gäller identifierade uppgifter om en person ska den uppsättning grundläggande uppgifter som avses i andra stycket omfatta följande uppgifter, i den mån de är tillgängliga:

Förnamn.

b)	Efternamn.

c)	Alias och tidigare använda namn.

d)	Födelsedatum.

e)	Medborgarskap.

f)	Födelseort och födelseland.

Kön.

h)	Datum och plats för inhämtandet av de biometriska uppgifterna.

i)	Det brott för vilket de biometriska uppgifterna inhämtades.

j)	Brottmålets nummer.

k)	Den behöriga myndighet som ansvarar för brottmålet.

Om den bekräftade träffen gäller oidentifierade uppgifter eller spår ska den uppsättning grundläggande uppgifter som avses i andra stycket omfatta följande uppgifter, i den mån de är tillgängliga:

a)	Datum och plats för inhämtandet av de biometriska uppgifterna.

b)	Det brott för vilket de biometriska uppgifterna inhämtades.

c)	Brottmålets nummer.

d)	Den behöriga myndighet som ansvarar för brottmålet.

Beslut om huruvida den anmodade medlemsstaten ska sända grundläggande uppgifter ska fattas av en människa.

7. Europols användning av information som erhållits vid en sökning som utförts i enlighet med denna artikel, och genom utbyte av en uppsättning grundläggande uppgifter i enlighet med punkt 6, kräver tillstånd från den medlemsstat i vars databas träffen konstaterades. Om medlemsstaten tillåter användning av informationen ska Europols hantering av den regleras av förordning (EU) 2016/794.

KAPITEL 6

Dataskydd

Artikel 50

Ändamålet med uppgiftsbehandlingen

1. En medlemsstat eller Europol får endast behandla mottagna personuppgifter för de ändamål för vilka uppgifterna lämnades ut av den medlemsstat som tillhandahöll uppgifterna i enlighet med denna förordning. Behandling för andra syften ska endast vara tillåten med förhandstillstånd från den medlemsstat som tillhandahöll uppgifterna.

2. Behandling av uppgifter som lämnats ut av en medlemsstat eller av Europol enligt artikel 6, 11, 16, 20 eller 26 ska endast vara tillåten när det är nödvändigt för att

a)	fastställa om de DNA-profiler, fingeravtrycksuppgifter, uppgifter ur fordonsregister, ansiktsbilder eller uppgifter ur polisregister som jämförts motsvarar varandra,

b)	utbyta en uppsättning grundläggande uppgifter i enlighet med artikel 47,

c)	utarbeta och lämna in en polisiär eller rättslig begäran om rättslig hjälp om dessa uppgifter motsvarar varandra,

d)	registrera loggar enligt artiklarna 18, 40 och 45.

3. De uppgifter som en medlemsstat eller Europol tagit emot ska raderas omedelbart efter de automatiska svaren på sökningarna, såvida inte ytterligare behandling krävs för de ändamål som avses i punkt 2 eller är tillåten i enlighet med punkt 1.

4. Innan medlemsstaterna ansluter sina nationella databaser till routern eller Epris ska de genomföra en sådan konsekvensbedömning avseende dataskydd som avses i artikel 27 i direktiv (EU) 2016/680 och, när så är lämpligt, samråda med den tillsynsmyndighet som föreskrivs i artikel 28 i det direktivet. Tillsynsmyndigheten får använda alla sina befogenheter enligt artikel 47 i det direktivet i enlighet med artikel 28.5 i det direktivet.

Artikel 51

Korrekthet, relevans och lagring av uppgifter

1. Medlemsstaterna och Europol ska säkerställa att de personuppgifter som behandlas enligt denna förordning är korrekta och relevanta. Om en medlemsstat eller Europol får kännedom om att uppgifter som är felaktiga eller inaktuella eller uppgifter som inte borde ha lämnats ut har lämnats ut ska den utan onödigt dröjsmål underrätta den medlemsstat som mottagit uppgifterna eller Europol om detta. Alla berörda medlemsstater eller Europol ska utan onödigt dröjsmål rätta eller radera uppgifterna i enlighet med underrättelsen. Om den medlemsstat som mottagit uppgifterna eller Europol har skäl att anta att de uppgifter som lämnats ut är felaktiga eller borde raderas ska den utan onödigt dröjsmål underrätta den medlemsstat som tillhandahöll uppgifterna.

2. Medlemsstaterna och Europol ska vidta lämpliga åtgärder för att uppdatera uppgifter som är relevanta för tillämpningen av denna förordning.

3. Om en registrerad person bestrider korrektheten hos de uppgifter som innehas av en medlemsstat eller av Europol, om korrektheten inte kan fastställas på ett tillförlitligt sätt av den berörda medlemsstaten eller av Europol och om detta begärs av den registrerade ska de berörda uppgifterna markeras med en flagga. Om en sådan flagga har använts får medlemsstaterna eller Europol endast avlägsna den med den registrerades medgivande eller genom beslut av en behörig domstol, tillsynsmyndigheten eller Europeiska datatillsynsmannen, beroende på vad som är relevant.

4. Uppgifter som inte borde ha lämnats ut eller mottagits ska raderas. Uppgifter som har lämnats ut och mottagits lagenligt ska raderas

a)	om de inte eller inte längre är nödvändiga för det syfte för vilket de lämnats ut,

efter att den tidsfrist som fastställts för lagring av uppgifterna enligt den nationella rätten i den medlemsstat som tillhandahöll uppgifterna har löpt ut, om den medlemsstaten informerade den medlemsstat som mottagit uppgifterna eller Europol om denna maximala lagringstid i samband med att uppgifterna lämnades ut, eller

c)	efter att den tidsfrist som fastställts för lagring av uppgifterna enligt förordning (EU) 2016/794 har löpt ut.

Om det finns skäl att anta att en radering av uppgifterna skulle skada den registrerades intressen ska behandlingen av uppgifterna begränsas i stället för att de raderas. Om behandlingen av uppgifter har begränsats får de endast behandlas i det syfte som förhindrade att de raderades.

Artikel 52

Personuppgiftsbiträde

1. eu-Lisa ska vara personuppgiftsbiträde i den mening som avses i artikel 3.12 i förordning (EU) 2018/1725 vid behandling av personuppgifter via routern.

2. Europol ska vara personuppgiftsbiträde i den mening som avses i artikel 3.12 i förordning (EU) 2018/1725 vid behandling av personuppgifter via Epris.

Artikel 53

Säkerhet vid behandling

1. Medlemsstaternas behöriga myndigheter, eu-Lisa och Europol ska säkerställa att behandlingen av personuppgifter enligt denna förordning är säker. Medlemsstaternas behöriga myndigheter, eu-Lisa och Europol ska samarbeta i frågor som rör säkerheten.

2. Utan att det påverkar tillämpningen av artikel 33 i förordning (EU) 2018/1725 och artikel 32 i förordning (EU) 2016/794 ska eu-Lisa och Europol vidta nödvändiga åtgärder för att säkerställa säkerheten hos routern respektive Epris och hos den tillhörande kommunikationsinfrastrukturen.

3. eu-Lisa ska vidta nödvändiga åtgärder för routern och Europol ska vidta nödvändiga åtgärder för Epris, i syfte att

a)	fysiskt skydda uppgifter, bland annat genom att utarbeta beredskapsplaner för skydd av kritisk infrastruktur,

b)	hindra obehöriga från åtkomst till utrustning och anläggningar för uppgiftsbehandling,

c)	förhindra obehörig läsning, kopiering, ändring eller obehörigt avlägsnande av datamedier,

d)	hindra obehörig inmatning av uppgifter och obehörig kontroll, ändring eller radering av lagrade personuppgifter,

e)	förhindra obehörig behandling av uppgifter och obehörig kopiering, ändring eller radering av uppgifter,

f)	hindra obehöriga från att med hjälp av datakommunikationsutrustning använda automatiserade system för uppgiftsbehandling,

g)	säkerställa att personer som har åtkomstbehörighet till routern eller Epris, beroende på vad som är tillämpligt, endast har åtkomst till de uppgifter för vilka de är behöriga och endast genom individuella användaridentiteter och skyddade åtkomstmetoder,

h)	säkerställa att det finns möjlighet att kontrollera och fastställa till vilka organ personuppgifter får översändas med hjälp av datakommunikationsutrustning,

i)	säkerställa att det finns möjlighet att kontrollera och fastställa vilka uppgifter som har behandlats i routern eller Epris, beroende på vad som är tillämpligt, när detta har gjorts, av vem och för vilket ändamål de har behandlats,

j)	hindra obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med överföring av personuppgifter till eller från routern eller Epris, beroende på vad som är tillämpligt, eller under transport av datamedier, särskilt med hjälp av lämplig krypteringsteknik,

k)	säkerställa att installerade system i händelse av driftavbrott kan återställas till normal drift,

l)	säkerställa driftsäkerhet genom att se till att eventuella driftfel hos routern eller Epris, beroende på vad som är tillämpligt, rapporteras på korrekt sätt,

m)	övervaka att de säkerhetsåtgärder som avses i denna punkt är verksamma och vidta nödvändiga organisatoriska åtgärder i fråga om intern övervakning för att säkerställa att denna förordning efterlevs och för att bedöma dessa säkerhetsåtgärder mot bakgrund av utvecklingen av ny teknik.

De nödvändiga åtgärder som avses i första stycket ska inbegripa en säkerhetsplan, en kontinuitetsplan och en katastrofplan.

Artikel 54

Säkerhetsincidenter

1. Alla händelser som har eller kan ha inverkan på routerns eller Epris säkerhet och som kan orsaka skada på eller förlust av uppgifter lagrade i routern eller Epris ska betraktas som säkerhetsincidenter, särskilt om obehörig åtkomst till uppgifter kan ha inträffat eller om uppgifters tillgänglighet, integritet och konfidentialitet har eller kan ha äventyrats.

2. I händelse av en säkerhetsincident avseende routern ska eu-Lisa och de berörda medlemsstaterna eller, i förekommande fall, Europol samarbeta för att säkerställa snabba, effektiva och välavvägda motåtgärder.

3. I händelse av en säkerhetsincident avseende Epris ska de berörda medlemsstaterna och Europol samarbeta med varandra för att säkerställa snabba, effektiva och välavvägda motåtgärder.

4. Medlemsstaterna ska underrätta sina behöriga myndigheter om eventuella säkerhetsincidenter utan onödigt dröjsmål.

Utan att det påverkar tillämpningen av artikel 92 i förordning (EU) 2018/1725 ska eu-Lisa, i händelse av en säkerhetsincident som påverkar routerns centrala infrastruktur, underrätta cybersäkerhetstjänsten för unionens institutioner, organ och byråer (CERT-EU) om allvarliga cyberhot, allvarliga sårbarheter och allvarliga incidenter utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att eu-Lisa fått kännedom om dem. Användbara och lämpliga tekniska uppgifter om cyberhot, sårbarheter och incidenter som möjliggör förebyggande upptäckt, incidenthantering eller riskreducerande åtgärder ska lämnas ut till CERT-EU utan onödigt dröjsmål.

Utan att det påverkar tillämpningen av artikel 34 i förordning (EU) 2016/794 och artikel 92 i förordning (EU) 2018/1725 ska Europol, i händelse av en säkerhetsincident som påverkar Epris centrala infrastruktur, underrätta CERT-EU om allvarliga cyberhot, allvarliga sårbarheter och allvarliga incidenter utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att byrån fått kännedom om dem. Användbara och lämpliga tekniska uppgifter om cyberhot, sårbarheter och incidenter som möjliggör förebyggande upptäckt, incidenthantering eller riskreducerande åtgärder ska lämnas ut till CERT-EU utan onödigt dröjsmål.

5. Information om säkerhetsincidenter som har eller kan ha inverkan på routerns drift eller på uppgifternas tillgänglighet, integritet och konfidentialitet ska utan dröjsmål tillhandahållas av de berörda medlemsstaterna och unionsbyråerna till medlemsstaterna och Europol och rapporteras i enlighet med den incidenthanteringsplan som eu-Lisa ska tillhandahålla.

6. Information om säkerhetsincidenter som har eller kan ha inverkan på Epris drift eller på uppgifternas tillgänglighet, integritet och konfidentialitet ska utan dröjsmål tillhandahållas av de berörda medlemsstaterna och unionsbyråerna till medlemsstaterna och rapporteras i enlighet med den incidenthanteringsplan som Europol ska tillhandahålla.

Artikel 55

Egenkontroll

1. Medlemsstaterna ska säkerställa att varje myndighet som har rätt att använda Prüm II-ramverket vidtar nödvändiga åtgärder för att övervaka sin efterlevnad av denna förordning och vid behov samarbetar med tillsynsmyndigheten. Europol ska vidta de åtgärder som krävs för att övervaka sin efterlevnad av denna förordning och vid behov samarbeta med Europeiska datatillsynsmannen.

2. Personuppgiftsansvariga ska genomföra nödvändiga åtgärder för att effektivt övervaka att uppgiftsbehandlingen är förenlig med denna förordning, däribland genom regelbundna kontroller av de loggar som avses i artiklarna 18, 40 och 45. De ska vid behov och när så är lämpligt samarbeta med tillsynsmyndigheterna eller med Europeiska datatillsynsmannen.

Artikel 56

Sanktioner

Medlemsstaterna ska säkerställa att missbruk av uppgifter eller behandling eller utbyte av uppgifter i strid med denna förordning är belagt med sanktioner i enlighet med nationell rätt. Sanktionerna ska vara effektiva, proportionella och avskräckande.

Artikel 57

Skadeståndsansvar

Om en medlemsstat eller, vid sökningar i enlighet med artikel 49, Europol underlåter att fullgöra sina skyldigheter enligt denna förordning eller skadar routern eller Epris ska den medlemsstaten eller Europol vara ansvarig för denna skada, såvida inte och i den mån eu-Lisa, Europol eller en annan medlemsstat som är bunden av denna förordning har underlåtit att vidta rimliga åtgärder för att förhindra skadan eller för att begränsa dess verkningar.

Artikel 58

Europeiska datatillsynsmannens revisioner

1. Europeiska datatillsynsmannen ska säkerställa att en revision av eu-Lisas och Europols behandling av personuppgifter vid tillämpningen av denna förordning genomförs i enlighet med relevanta internationella revisionsstandarder minst vart fjärde år. En revisionsrapport ska skickas till Europaparlamentet, rådet, kommissionen, medlemsstaterna och den berörda unionsbyrån. eu-Lisa och Europol ska ges tillfälle att lämna synpunkter innan rapporterna antas.

2. eu-Lisa och Europol ska tillhandahålla information som Europeiska datatillsynsmannen begär, ge Europeiska datatillsynsmannen åtkomst till alla handlingar som denna begär och till de loggar som avses i artiklarna 40 och 45 samt när som helst ge Europeiska datatillsynsmannen tillträde till alla sina lokaler. Denna punkt påverkar inte Europeiska datatillsynsmannens befogenheter enligt artikel 58 i förordning (EU) 2018/1725 och, när det gäller Europol, enligt artikel 43.3 i förordning (EU) 2016/794.

Artikel 59

Samarbete mellan tillsynsmyndigheterna och Europeiska datatillsynsmannen

1. Tillsynsmyndigheterna och Europeiska datatillsynsmannen ska, var och en inom ramen för sina respektive befogenheter, samarbeta aktivt inom ramen för sina respektive ansvarsområden för att säkerställa en samordnad tillsyn av tillämpningen av denna förordning, i synnerhet om Europeiska datatillsynsmannen eller en tillsynsmyndighet upptäcker stora skillnader i medlemsstaternas praxis eller upptäcker potentiellt olagliga överföringar genom Prüm II-ramverkets kommunikationskanaler.

2. I de fall som avses i punkt 1 i denna artikel ska en samordnad tillsyn säkerställas i enlighet med artikel 62 i förordning (EU) 2018/1725.

3. Två år efter ibruktagandet av routern och Epris och därefter vartannat år ska Europeiska dataskyddsstyrelsen skicka en rapport om sin verksamhet enligt denna artikel till Europaparlamentet, rådet, kommissionen, eu-Lisa och Europol. Rapporten ska innehålla ett kapitel om varje medlemsstat som utarbetats av den berörda medlemsstatens tillsynsmyndighet.

Artikel 60

Överföring av personuppgifter till tredjeland och internationella organisationer

En medlemsstat får endast överföra personuppgifter som har erhållits enligt denna förordning till ett tredjeland eller till en internationell organisation i enlighet med kapitel V i direktiv (EU) 2016/680 och om den anmodade medlemsstaten har gett sitt tillstånd före överföringen.

Europol får endast överföra de personuppgifter som har erhållits enligt denna förordning till ett tredjeland eller till en internationell organisation om villkoren i artikel 25 i förordning (EU) 2016/794 har uppfyllts och den anmodade medlemsstaten har gett sitt tillstånd före överföringen.

Artikel 61

Förhållande till andra rättsakter om dataskydd

All behandling av personuppgifter vid tillämpning av denna förordning ska ske i enlighet med detta kapitel och direktiv (EU) 2016/680 eller förordning (EU) 2018/1725, förordning (EU) 2016/794 eller förordning (EU) 2016/679, beroende på vad som är tillämpligt.

KAPITEL 7

Ansvarsområden

Artikel 62

Ansvar för tillbörlig aktsamhet

Medlemsstaterna och Europol ska iaktta tillbörlig aktsamhet vid bedömningen av huruvida det automatiska utbytet av uppgifter omfattas av syftet med Prüm II-ramverket enligt artikel 2, och huruvida det uppfyller de villkor som anges där, särskilt med avseende på respekten för de grundläggande rättigheterna.

Artikel 63

Utbildning

Bemyndigad personal vid medlemsstaternas behöriga myndigheter, tillsynsmyndigheter och Europol, beroende på vad som är relevant, ska få tillräckliga resurser och lämplig utbildning, bland annat om dataskydd och om hur träffar ska granskas på ett korrekt sätt, för att kunna utföra uppgifterna enligt denna förordning.

Artikel 64

Medlemsstaternas ansvarsområden

1. Medlemsstaterna ska vara ansvariga för följande:

a)	Anslutning till routerns infrastruktur.

b)	Integrering av sina befintliga nationella system och infrastruktur med routern.

c)	Organisation, förvaltning, drift och underhåll av sin befintliga nationella infrastruktur och dess anslutning till routern.

d)	Anslutning till Epris infrastruktur.

e)	Integrering av sina befintliga nationella system och infrastruktur med Epris.

f)	Organisation, förvaltning, drift och underhåll av sin befintliga nationella infrastruktur och dess anslutning till Epris.

g)	Hantering av och arrangemang för åtkomst till routern för vederbörligen bemyndigad personal vid deras behöriga myndigheter i enlighet med denna förordning samt upprättande och regelbunden uppdatering av en förteckning över denna personal och deras profiler.

h)	Hantering av och arrangemang för åtkomst till Epris för vederbörligen bemyndigad personal vid deras behöriga myndigheter i enlighet med denna förordning samt upprättande och regelbunden uppdatering av en förteckning över denna personal och deras profiler.

i)	Hantering av och arrangemang för åtkomst till Eucaris för vederbörligen bemyndigad personal vid deras behöriga myndigheter i enlighet med denna förordning samt upprättande och regelbunden uppdatering av en förteckning över denna personal och deras profiler.

j)	Manuell bekräftelse utförd av kvalificerad personal av en träff i enlighet med artiklarna 6.6, 6.7, 11.2 och 20.2.

k)	Säkerställande av tillgången till de uppgifter som är nödvändiga för utbytet av uppgifter i enlighet med artiklarna 5, 10, 16, 19 och 25.

l)	Utbyte av information i enlighet med artiklarna 6, 11, 16, 20 och 26.

m)	Rättelse, uppdatering eller radering av uppgifter som tagits emot från en anmodad medlemsstat inom 48 timmar efter en underrättelse från den anmodade medlemsstaten om att de uppgifter som lämnats ut var felaktiga eller är inaktuella eller har lämnats ut utan tillstånd.

n)	Efterlevnaden av de kvalitetskrav för uppgifterna som anges i denna förordning.

2. Medlemsstaterna ska vara ansvariga för att ansluta sina behöriga myndigheter till routern, Epris och Eucaris.

Artikel 65

Europols ansvarsområden

1. Europol ska vara ansvarig för hanteringen av och arrangemangen för åtkomst till routern, Epris och Eucaris för vederbörligen bemyndigad personal i enlighet med denna förordning.

2. Europol ska vara ansvarig för hanteringen av sökningar i Europoluppgifter via routern. Europol ska anpassa sina informationssystem i enlighet med detta.

3. Europol ska vara ansvarig för eventuella tekniska anpassningar av Europols infrastruktur som krävs för att upprätta anslutningen till routern och till Eucaris.

4. Utan att det påverkar Europols sökningar enligt artikel 49 ska Europol inte ha åtkomst till några av de personuppgifter som behandlas genom Epris.

5. Europol ska vara ansvarig för utvecklingen av Epris i samarbete med medlemsstaterna. Epris ska tillhandahålla de funktioner som fastställs i artiklarna 42–46.

Europol ska vara ansvarig för den tekniska förvaltningen av Epris. Den tekniska förvaltningen av Epris ska bestå av alla de arbetsuppgifter och tekniska lösningar som krävs för att Epris centrala infrastruktur ska fungera och ge medlemsstaterna oavbruten service dygnet runt alla dagar i veckan i enlighet med denna förordning. Den ska inbegripa det underhåll och den tekniska utveckling som krävs för att säkerställa att Epris fungerar med tillfredsställande teknisk kvalitet, särskilt vad gäller svarstiden vid översändande av begäranden till de nationella databaserna i enlighet med de tekniska specifikationerna.

6. Europol ska tillhandahålla utbildning om den tekniska användningen av Epris.

7. Europol ska vara ansvarig för de förfaranden som föreskrivs i artiklarna 48 och 49.

Artikel 66

eu-Lisas ansvarsområden under routerns utformnings- och utvecklingsfas

1. eu-Lisa ska säkerställa att routerns centrala infrastruktur drivs i enlighet med denna förordning.

2. Routern ska hysas av eu-Lisa vid dess tekniska anläggningar och ska tillhandahålla de funktioner som fastställs i denna förordning i enlighet med de krav på säkerhet, tillgänglighet, kvalitet och prestanda som avses i artikel 67.1.

3. eu-Lisa ska vara ansvarig för utvecklingen av routern och för eventuella tekniska anpassningar som behövs för routerns drift.

4. eu-Lisa ska inte ha åtkomst till några av de personuppgifter som behandlas genom routern.

5. eu-Lisa ska fastställa utformningen av routerns fysiska arkitektur, inbegripet dess säkra kommunikationsinfrastruktur och tekniska specifikationer, samt dess utveckling vad gäller den centrala infrastrukturen och infrastrukturen för säker kommunikation. eu-Lisas styrelse ska godkänna utformningen, med förbehåll för ett positivt yttrande från kommissionen. eu-Lisa ska även göra alla nödvändiga anpassningar av interoperabilitetskomponenterna till följd av inrättandet av routern enligt vad som föreskrivs i denna förordning.

6. eu-Lisa ska utveckla och implementera routern så snart som möjligt efter kommissionens antagande av de åtgärder som föreskrivs i artikel 37.6. Utvecklingen ska bestå i att utarbeta och genomföra de tekniska specifikationerna, testerna och den övergripande projektledningen och projektsamordningen.

7. Under utformnings- och utvecklingsfasen ska den förvaltningsgrupp för programmet som avses i artikel 54 i förordning (EU) 2019/817 och i artikel 54 i förordning (EU) 2019/818 sammanträda regelbundet. Den ska säkerställa en lämplig hantering av routerns utformnings- och utvecklingsfas.

Förvaltningsgruppen för programmet ska varje månad lämna skriftliga rapporter till eu-Lisas styrelse om projektets framsteg. Förvaltningsgruppen för programmet ska varken ha befogenhet att fatta beslut eller mandat att företräda ledamöterna i eu-Lisas styrelse.

Den rådgivande grupp för interoperabilitet som avses i artikel 78 ska sammanträda regelbundet till dess att routern tas i drift. Den ska rapportera till förvaltningsgruppen för programmet efter varje möte. Den ska tillhandahålla teknisk expertis till stöd för förvaltningsgruppens uppgifter och göra uppföljningar av medlemsstaternas förberedelser.

Artikel 67

eu-Lisas ansvarsområden efter att routern tagits i drift

1. När routern har tagits i drift ska eu-Lisa vara ansvarig för den tekniska förvaltningen av routerns centrala infrastruktur, inbegripet dess underhåll och tekniska utveckling. I samarbete med medlemsstaterna ska byrån säkerställa att bästa tillgängliga teknik används, med förbehåll för en kostnads-nyttoanalys. eu-Lisa ska även ansvara för den tekniska förvaltningen av den nödvändiga kommunikationsinfrastrukturen.

Den tekniska förvaltningen av routern ska bestå av alla de arbetsuppgifter och tekniska lösningar som krävs för att routern ska kunna fungera och ge medlemsstaterna och Europol oavbruten service dygnet runt alla dagar i veckan i enlighet med denna förordning. Den ska inbegripa det underhåll och den tekniska utveckling som krävs för att säkerställa att routern fungerar med tillfredsställande teknisk kvalitet, särskilt vad gäller tillgängligheten och svarstiden vid översändande av begäranden till de nationella databaserna och Europoluppgifter i enlighet med de tekniska specifikationerna.

Routern ska utvecklas och förvaltas på ett sätt som säkerställer en snabb, effektiv och kontrollerad åtkomst, en fullständig och oavbruten tillgång samt en svarstid i linje med de operativa behoven hos medlemsstaternas behöriga myndigheter och Europol.

2. Utan att det påverkar tillämpningen av artikel 17 i tjänsteföreskrifterna för tjänstemän vid Europeiska unionen, som fastställs i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (18), ska eu-Lisa tillämpa lämpliga regler avseende tystnadsplikt eller andra likvärdiga krav på konfidentiell behandling för personal som arbetar med uppgifter som lagras i routern. Denna skyldighet ska gälla även efter det att den anställda i fråga lämnat sin tjänst eller anställning eller upphört med sin verksamhet.

eu-Lisa ska inte ha åtkomst till några av de personuppgifter som behandlas genom routern.

3. eu-Lisa ska utföra uppgifter avseende tillhandahållandet av utbildning om routerns tekniska användning.

KAPITEL 8

Ändringar av andra befintliga instrument

Artikel 68

Ändringar av besluten 2008/615/RIF och 2008/616/RIF

1. I beslut 2008/615/RIF ska artiklarna 1 a och 2–6 och avsnitten 2 och 3 i kapitel 2 ersättas med avseende på de medlemsstater som är bundna av denna förordning från och med det datum då de bestämmelser i denna förordning som rör routern ska börja tillämpas i enlighet med artikel 75.1. Därför ska artiklarna 1 a och 2–6 samt avsnitten 2 och 3 i kapitel 2 i beslut 2008/615/RIF utgå från och med det datum då de bestämmelser i denna förordning som rör routern ska börja tillämpas i enlighet med artikel 75.1.

2. I beslut 2008/616/RIF ska kapitlen 2–5 och artiklarna 18, 20 och 21 ersättas med avseende på de medlemsstater som är bundna av denna förordning från det datum då de bestämmelser i denna förordning som rör routern ska börja tillämpas i enlighet med artikel 75.1. Därför ska kapitlen 2–5 och artiklarna 18, 20 och 21 i beslut 2008/616/RIF utgå från det datum då de bestämmelser i denna förordning som rör routern ska börja tillämpas i enlighet med artikel 75.1.

Artikel 69

Ändringar av förordning (EU) 2018/1726

Förordning (EU) 2018/1726 ska ändras på följande sätt:

Följande artikel ska införas:

”Artikel 8d

Arbetsuppgifter avseende Prüm II-routern

Med avseende på Prüm II-routern ska byrån utföra de uppgifter som den anförtrotts genom Europaparlamentets och rådets förordning (EU) 2024/982 (*1).

(*1) Europaparlamentets och rådets förordning (EU) 2024/982 av den 13 mars 2024 om automatisk sökning och automatiskt utbyte av uppgifter för polissamarbete och om ändring av rådets beslut 2008/615/RIF och 2008/616/RIF samt Europaparlamentets och rådets förordningar (EU) 2018/1726, (EU) 2019/817 och (EU) 2019/818 (Prüm II-förordningen) (EUT L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj).” "

2.	I artikel 17.3 ska andra stycket ersättas med följande: ”De uppgifter avseende utveckling och operativ förvaltning som avses i artiklarna 1.4, 1.5, 3–8, 8d, 9 och 11 ska utföras vid den tekniska anläggningen i Strasbourg i Frankrike.”

Artikel 19.1 ska ändras på följande sätt:

Följande led ska införas:

”eeb)

Anta rapporter om hur utvecklingen av Prüm II-routern framskrider i enlighet med artikel 80.2 i förordning (EU) 2024/982.”

Led ff ska ersättas med följande:

”ff)

Anta rapporter om den tekniska funktionen hos följande:

i)	SIS enligt artikel 60.7 i Europaparlamentets och rådets förordning (EU) 2018/1861 (2) och artikel 74.8 i Europaparlamentets och rådets förordning (EU) 2018/1862 (3),

ii)	VIS enligt artikel 50.3 i förordning (EG) nr 767/2008 och artikel 17.3 i beslut 2008/633/RIF,

iii)	in- och utresesystemet enligt artikel 72.4 i förordning (EU) 2017/2226,

iv)	Etias enligt artikel 92.4 i förordning (EU) 2018/1240,

v)	Ecris-TCN och hos Ecris referensprogramvara enligt artikel 36.8 i förordning (EU) 2019/816,

vi)	interoperabilitetskomponenterna enligt artikel 78.3 i förordning (EU) 2019/817 och artikel 74.3 i förordning (EU) 2019/818,

vii)	e-Codex-systemet enligt artikel 16.1 i förordning (EU) 2022/850,

viii)

samarbetsplattformen enligt artikel 26.6 i förordning (EU) 2023/969,

ix)	Prüm II- routern enligt artikel 80.5 i förordning (EU) 2024/982.

(*2) Europaparlamentets och rådets förordning (EU) 2018/1861 av den 28 november 2018 om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av Schengenavtalet och om ändring och upphävande av förordning (EG) nr 1987/2006 (EUT L 312, 7.12.2018, s. 14)."

(*3) Europaparlamentets och rådets förordning (EU) 2018/1862 av den 28 november 2018 om inrättande, drift och användning av Schengens informationssystem (SIS) på området polissamarbete och straffrättsligt samarbete, om ändring och upphävande av rådets beslut 2007/533/RIF och om upphävande av Europaparlamentets och rådets förordning (EG) nr 1986/2006 och kommissionens beslut 2010/261/EU (EUT L 312, 7.12.2018, s. 56).” "

Led hh ska ersättas med följande:

”hh)

Anta formella kommentarer om Europeiska datatillsynsmannens rapporter om revisioner enligt artikel 56.2 i förordning (EU) 2018/1861, artikel 42.2 i förordning (EG) nr 767/2008, artikel 31.2 i förordning (EU) nr 603/2013, artikel 56.2 i förordning (EU) 2017/2226, artikel 67 i förordning (EU) 2018/1240, artikel 29.2 i förordning (EU) 2019/816, artikel 52 i förordningarna (EU) 2019/817 och (EU) 2019/818 och artikel 58.1 i förordning (EU) 2024/982 samt säkerställa lämplig uppföljning av dessa revisioner.”

Artikel 70

Ändring av förordning (EU) 2019/817

I artikel 6.2 i förordning (EU) 2019/817 ska följande led läggas till:

”d)	En säker kommunikationsinfrastruktur mellan ESP och den router som inrättats genom Europaparlamentets och rådets förordning (EU) 2024/982 (*4).

Artikel 71

Ändringar av förordning (EU) 2019/818

Förordning (EU) 2019/818 ska ändras på följande sätt:

I artikel 6.2 ska följande led läggas till:

”d)	En säker kommunikationsinfrastruktur mellan ESP och den router som inrättats genom Europaparlamentets och rådets förordning (EU) 2024/982 (*5).

(*5) Europaparlamentets och rådets förordning (EU) 2024/982 av den 13 mars 2024 om automatisk sökning och automatiskt utbyte av uppgifter för polissamarbete och om ändring av rådets beslut 2008/615/RIF och 2008/616/RIF samt Europaparlamentets och rådets förordningar (EU) 2018/1726, (EU) 2019/817 och (EU) 2019/818 (Prüm II-förordningen) (EUT L, 2024/982, 5.4.2024, ELI: http://data.europa.eu/eli/reg/2024/982/oj).” "

Artikel 39.1 och 39.2 ska ersättas med följande:

”1. Det ska inrättas en central databas för rapporter och statistik (CRRS) för att stödja målen för SIS, Eurodac och Ecris-TCN, i enlighet med de respektive rättsliga instrument som reglerar de systemen, och för att tillhandahålla systemöverskridande statistiska uppgifter och analysrapporter för politiska och operativa syften samt för uppgiftskvaliteten. CRRS ska även stödja målen i förordning (EU) 2024/982.

2. eu-Lisa ska inrätta, implementera och vid sina tekniska anläggningar hysa CRRS som innehåller de uppgifter och den statistik som avses i artikel 74 i förordning (EU) 2018/1862 och artikel 32 i förordning (EU) 2019/816, logiskt åtskilda per EU-informationssystem. eu-Lisa ska även samla in uppgifter och statistik från den router som avses i artikel 72.1 i förordning (EU) 2024/982. Åtkomst till CRRS ska beviljas via kontrollerad, säkrad åtkomst och specifika användarprofiler, enbart för rapportering och statistik, för de myndigheter som avses i artikel 74 i förordning (EU) 2018/1862, artikel 32 i förordning (EU) 2019/816 och artikel 72.1 i förordning (EU) 2024/982.”

KAPITEL 9

Slutbestämmelser

Artikel 72

Rapportering och statistik

1. Vid behov ska den vederbörligen bemyndigade personalen vid medlemsstaternas behöriga myndigheter, kommissionen, eu-Lisa och Europol ha åtkomst till följande uppgifter avseende routern, dock endast för rapporterings- och statistikändamål:

a)	Antalet sökningar per medlemsstat och antalet sökningar av Europol per uppgiftskategori.

b)	Antalet sökningar i var och en av de anslutna databaserna.

c)	Antalet träffar mot varje medlemsstats databas per uppgiftskategori.

d)	Antalet träffar mot Europoluppgifter per uppgiftskategori.

e)	Antalet bekräftade träffar där utbyten av grundläggande uppgifter förekom.

f)	Antalet bekräftade träffar där inga utbyten av grundläggande uppgifter förekom.

g)	Antalet sökningar i den gemensamma databasen för identitetsuppgifter via routern.

Antalet träffar per typ:

i)	Identifierade uppgifter (person) – oidentifierade uppgifter (spår).

ii)	Oidentifierade uppgifter (spår) – identifierade uppgifter (person).

iii)	Oidentifierade uppgifter (spår) – oidentifierade uppgifter (spår).

iv)	Identifierade uppgifter (person) – identifierade uppgifter (person).

De uppgifter som anges i första stycket får inte möjliggöra identifiering av enskilda personer.

2. Den vederbörligen bemyndigade personalen vid medlemsstaternas behöriga myndigheter, kommissionen och Europol ska ha åtkomst till följande uppgifter avseende Eucaris, dock endast för rapporterings- och statistikändamål:

a)	Antalet sökningar per medlemsstat och antalet sökningar av Europol.

b)	Antalet sökningar i var och en av de anslutna databaserna.

c)	Antalet träffar mot varje medlemsstats databas.

De uppgifter som anges i första stycket får inte möjliggöra identifiering av enskilda personer.

3. Den vederbörligen bemyndigade personalen vid medlemsstaternas behöriga myndigheter, kommissionen och Europol ska ha åtkomst till följande uppgifter avseende Epris, dock endast för rapporterings- och statistikändamål:

a)	Antalet sökningar per medlemsstat och antalet sökningar av Europol.

b)	Antalet sökningar i vart och ett av de anslutna indexen.

c)	Antalet träffar mot varje medlemsstats databas.

De uppgifter som anges i första stycket får inte möjliggöra identifiering av enskilda personer.

4. eu-Lisa ska lagra de uppgifter som anges i punkt 1 i denna artikel i den centrala databas för rapporter och statistik som inrättats genom artikel 39 i förordning (EU) 2019/818. Europol ska lagra de uppgifter som anges i punkt 3. De uppgifterna ska göra det möjligt för medlemsstaternas behöriga myndigheter, kommissionen, eu-Lisa och Europol att erhålla anpassade rapporter och anpassad statistik för att effektivisera samarbetet inom brottsbekämpningen.

Artikel 73

Kostnader

1. Kostnader som uppkommit i samband med inrättandet och driften av routern och Epris ska belasta unionens allmänna budget.

2. Kostnader som uppkommit i samband med integreringen av befintlig nationell infrastruktur och dess anslutning till routern och Epris och kostnader som uppkommit i samband med inrättandet av nationella databaser med ansiktsbilder och nationella polisregisterindex för förebyggande, förhindrande, upptäckt och utredning av brott, ska belasta unionens allmänna budget.

Följande kostnader ska vara undantagna:

a)	Medlemsstaternas projektledningskontor (möten, tjänsteresor, kontor).

b)	Hysande av nationella it-system (lokaler, implementering, elektricitet, kylning).

c)	Drift av nationella it-system (operatörer och supportavtal).

d)	Utformning, utveckling, implementering, drift och underhåll av nationella kommunikationsnätverk.

3. Varje medlemsstat ska ansvara för kostnaderna för administrationen, användningen och underhållet av Eucaris.

4. Varje medlemsstat ska ansvara för kostnaderna för administration, användning och underhåll av sina anslutningar till routern och Epris.

Artikel 74

Underrättelser

1. Medlemsstaterna ska underrätta eu-Lisa om de behöriga myndigheter som avses i artikel 36. De myndigheterna får använda eller ha åtkomst till routern.

2. eu-Lisa ska underrätta kommissionen när de tester som avses i artikel 75.1 b har slutförts på ett framgångsrikt sätt.

3. Europol ska underrätta kommissionen när de tester som avses i artikel 75.3 b har slutförts på ett framgångsrikt sätt.

4. Varje medlemsstat ska underrätta övriga medlemsstater, kommissionen, eu-Lisa och Europol om innehållet i sina nationella DNA-databaser och om villkoren för automatiska sökningar på vilka artiklarna 5 och 6 är tillämpliga.

5. Varje medlemsstat ska informera övriga medlemsstater, kommissionen, eu-Lisa och Europol om innehållet i sina nationella fingeravtrycksdatabaser och om villkoren för automatiska sökningar på vilka artiklarna 10 och 11 är tillämpliga.

6. Varje medlemsstat ska informera övriga medlemsstater, kommissionen, eu-Lisa och Europol om innehållet i sina nationella databaser med ansiktsbilder och om villkoren för automatiska sökningar på vilka artiklarna 19 och 20 är tillämpliga.

7. De medlemsstater som deltar i automatiska utbyten av uppgifter ur polisregister i enlighet med artiklarna 25 och 26 ska underrätta övriga medlemsstater, kommissionen och Europol om innehållet i sina nationella polisregisterindex, de nationella databaser som används för att upprätta dessa index och villkoren för automatiska sökningar.

8. Medlemsstaterna ska underrätta kommissionen, eu-Lisa och Europol om sina nationella kontaktpunkter som utsetts i enlighet med artikel 30. Kommissionen ska sammanställa en förteckning över de nationella kontaktpunkter som den har underrättats om och göra den tillgänglig för alla medlemsstater.

Artikel 75

Driftstart

1. Kommissionen ska genom en genomförandeakt fastställa det datum då medlemsstaterna och Europol kan börja använda routern så snart följande villkor är uppfyllda:

a)	De åtgärder som avses i artiklarna 5.3, 8.2 och 8.3, 13.2 och 13.3, 17.3, 22.2 och 22.3, 31 och 37.6 har antagits.

b)	eu-Lisa har meddelat att ett övergripande test av routern, som byrån har utfört i samarbete med medlemsstaternas behöriga myndigheter och Europol, har slutförts på ett framgångsrikt sätt.

Kommissionen ska, genom den genomförandeakt som avses i första stycket, fastställa det datum då medlemsstaterna och Europol ska börja använda routern. Detta datum ska vara ett år efter det datum som fastställts i enlighet med första stycket.

Kommissionen får senarelägga det datum då medlemsstaterna och Europol ska börja använda routern med högst ett år om en bedömning av implementeringen av routern har visat att en sådan senareläggning är nödvändig.

2. Medlemsstaterna ska, två år efter det att routern tagits i drift, säkerställa tillgängligheten till ansiktsbilder enligt artikel 19 i syfte att möjliggöra automatiska sökningar på ansiktsbilder enligt artikel 20.

3. Kommissionen ska genom en genomförandeakt fastställa det datum då medlemsstaterna och Europol ska börja använda Epris så snart följande villkor är uppfyllda:

a)	De åtgärder som avses i artikel 44.6 har antagits.

b)	Europol har meddelat att ett övergripande test av Epris, som byrån har utfört i samarbete med medlemsstaternas behöriga myndigheter, har slutförts på ett framgångsrikt sätt.

4. Kommissionen ska genom en genomförandeakt fastställa det datum från och med vilket Europol ska göra biometriska uppgifter från tredjeland tillgängliga för medlemsstaterna i enlighet med artikel 48 så snart följande villkor är uppfyllda:

a)	Routern har tagits i drift.

b)	Europol har meddelat att ett övergripande test av anslutningen till routern, som byrån har utfört i samarbete med medlemsstaternas behöriga myndigheter och eu-Lisa, har slutförts på ett framgångsrikt sätt.

5. Kommissionen ska genom en genomförandeakt fastställa det datum från och med vilket Europol ska ha tillgång till uppgifter som lagras i medlemsstaternas databaser i enlighet med artikel 49 så snart följande villkor är uppfyllda:

a)	Routern har tagits i drift.

b)	Europol har meddelat att ett övergripande test av anslutningen till routern, som byrån har utfört i samarbete med medlemsstaternas behöriga myndigheter och eu-Lisa, har slutförts på ett framgångsrikt sätt.

6. De genomförandeakter som avses i denna artikel ska antas i enlighet med det granskningsförfarande som avses i artikel 77.2.

Artikel 76

Övergångsbestämmelser och undantag

1. Medlemsstaterna och unionsbyråerna ska börja tillämpa artiklarna 19–22, 47 och 49.6 det datum som fastställts i enlighet med artikel 75.1 första stycket, med undantag av de medlemsstater som inte har börjat använda routern.

2. Medlemsstaterna och unionsbyråerna ska börja tillämpa artiklarna 25–28 och 49.4 det datum som fastställts i enlighet med artikel 75.3.

3. Medlemsstaterna och unionsbyråerna ska börja tillämpa artikel 48 det datum som fastställts i enlighet med artikel 75.4.

4. Medlemsstaterna och unionsbyråerna ska börja tillämpa artikel 49.1, 49.2, 49.3, 49.5 och 49.7 det datum som fastställts i enlighet med artikel 75.5.

Artikel 77

Kommittéförfarande

1. Kommissionen ska biträdas av en kommitté. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011.

2. När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas. Om kommittén inte avger något yttrande ska kommissionen inte anta utkastet till genomförandeakt och artikel 5.4 tredje stycket i förordning (EU) nr 182/2011 ska tillämpas.

Artikel 78

Rådgivande grupp för interoperabilitet

Ansvarsområdena för den rådgivande gruppen för interoperabilitet, inrättad genom artikel 75 i förordning (EU) 2019/817 och artikel 71 i förordning (EU) 2019/818, ska utökas så att de även omfattar routern. Denna rådgivande grupp för interoperabilitet ska tillhandahålla eu-Lisa sakkunskap som rör routern, särskilt i samband med utarbetandet av byråns årliga arbetsprogram och årliga verksamhetsrapport.

Artikel 79

Handledning

Kommissionen ska, i nära samarbete med medlemsstaterna, eu-Lisa, Europol och Europeiska unionens byrå för grundläggande rättigheter, tillhandahålla en handledning i genomförandet och förvaltningen av denna förordning. Handledningen ska innehålla tekniska och operativa riktlinjer, rekommendationer och bästa praxis. Kommissionen ska anta handledningen i form av en rekommendation innan routern eller Epris tas i drift. Kommissionen ska regelbundet och vid behov uppdatera handledningen.

Artikel 80

Övervakning och utvärdering

1. eu-Lisa ska säkerställa att det finns förfaranden för att övervaka utvecklingen av routern mot bakgrund av målen vad gäller planering och kostnader samt för att övervaka dess funktionssätt mot bakgrund av målen för tekniska resultat, kostnadseffektivitet, säkerhet och tjänsternas kvalitet.

Europol ska säkerställa att det finns förfaranden för att övervaka utvecklingen av Epris mot bakgrund av målen vad gäller planering och kostnader samt för att övervaka dess funktionssätt mot bakgrund av målen för tekniska resultat, kostnadseffektivitet, säkerhet och tjänsternas kvalitet.

2. Senast den 26 april 2025 och därefter varje år under routerns utvecklingsfas ska eu-Lisa lämna en rapport till Europaparlamentet och rådet om hur utvecklingen av routern framskrider. Denna rapport ska innehålla detaljerad information om de kostnader som har uppkommit och information om eventuella risker som skulle kunna påverka de övergripande kostnader som ska belasta unionens allmänna budget enligt artikel 73.

Så snart utvecklingen av routern har slutförts ska eu-Lisa lämna en rapport till Europaparlamentet och rådet med en ingående redogörelse för hur målen har uppfyllts, framför allt vad gäller planering och kostnader, samt vad eventuella avvikelser beror på.

3. Senast den 26 april 2025 och därefter varje år under Epris utvecklingsfas ska Europol lämna en rapport till Europaparlamentet och rådet om hur utvecklingen av Epris framskrider. De rapporterna ska innehålla detaljerad information om de kostnader som har uppkommit och information om eventuella risker som skulle kunna påverka de övergripande kostnader som ska belasta unionens allmänna budget enligt artikel 73.

Så snart utvecklingen av Epris har slutförts ska Europol lämna en rapport till Europaparlamentet och rådet med en ingående redogörelse för hur målen har uppfyllts, framför allt vad gäller planering och kostnader, samt vad eventuella avvikelser beror på.

4. eu-Lisa ska ha åtkomst till den information om uppgiftsbehandling i routern respektive Epris som behövs för det tekniska underhållet. Europol ska ha åtkomst till den information om uppgiftsbehandling i Epris som behövs för det tekniska underhållet.

5. Två år efter det att routern tagits i drift och därefter vartannat år ska eu-Lisa lämna en rapport till Europaparlamentet, rådet och kommissionen om hur routern har fungerat i tekniskt hänseende, inbegripet ur säkerhetssynpunkt.

6. Två år efter det att Epris tagits i drift, och därefter vartannat år, ska Europol rapportera till Europaparlamentet, rådet och kommissionen om hur Epris har fungerat i tekniskt hänseende, inbegripet ur säkerhetssynpunkt.

7. Tre år efter det att routern och Epris tagits i drift i enlighet med artikel 75, och därefter vart fjärde år, ska kommissionen utarbeta en rapport med en övergripande utvärdering av Prüm II-ramverket.

Ett år efter det att routern tagits i drift, och därefter vartannat år, ska kommissionen utarbeta en rapport med en utvärdering av användningen av ansiktsbilder enligt denna förordning.

De rapporter som avses i första och andra styckena ska innehålla följande:

a)	En bedömning av tillämpningen av denna förordning, inbegripet varje medlemsstats och Europols användning av den.

b)	En granskning av uppnådda resultat i förhållande till målen för denna förordning och dess inverkan på de grundläggande rättigheterna.

c)	Genomslagskraften, ändamålsenligheten och effektiviteten när det gäller driften av Prüm II-ramverket och dess arbetsmetoder i förhållande till dess mål, uppdrag och uppgifter.

d)	En bedömning av säkerheten i Prüm II-ramverket.

Kommissionen ska överlämna dessa rapporter till Europaparlamentet, rådet, Europeiska datatillsynsmannen och Europeiska unionens byrå för grundläggande rättigheter.

8. I de rapporter som avses i punkt 7 första stycket ska kommissionen särskilt uppmärksamma följande nya uppgiftskategorier: ansiktsbilder och uppgifter ur polisregister. Kommissionen ska i dessa rapporter avhandla de enskilda medlemsstaternas och Europols användning av dessa nya uppgiftskategorier samt deras genomslagskraft, ändamålsenlighet och effektivitet. I de rapporter som avses i punkt 7 andra stycket ska kommissionen ägna särskild uppmärksamhet åt risken för falska träffar och uppgifternas kvalitet.

9. Medlemsstaterna och Europol ska ge eu-Lisa och kommissionen all information de behöver för att kunna utarbeta de rapporter som avses i punkterna 2 och 5. Denna information får inte äventyra arbetsmetoder eller röja medlemsstaternas behöriga myndigheters källor, personal eller utredningar.

10. Medlemsstaterna ska ge kommissionen och Europol all information de behöver för att kunna utarbeta de rapporter som avses i punkterna 3 och 6. Denna information får inte äventyra arbetsmetoder eller röja medlemsstaternas behöriga myndigheters källor, personal eller utredningar.

11. Utan att det påverkar kraven på konfidentialitet ska medlemsstaterna, eu-Lisa och Europol ge kommissionen all information den behöver för att kunna utarbeta de rapporter som avses i punkt 7. Medlemsstaterna ska även ge kommissionen information om antalet bekräftade träffar mot varje medlemsstats databas per kategori och per typ av uppgifter. Denna information får inte äventyra arbetsmetoder eller röja medlemsstaternas behöriga myndigheters källor, personal eller utredningar.

Artikel 81

Ikraftträdande och tillämplighet

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i medlemsstaterna i enlighet med fördragen.

Utfärdad i Strasbourg den 13 mars 2024.

På Europaparlamentets vägnar

R. METSOLA

Ordförande

På rådets vägnar

H. LAHBIB

Ordförande

(1) EUT C 323, 26.8.2022, s. 69.

(2) Europaparlamentets ståndpunkt av den 8 februari 2024 (ännu inte offentliggjord i EUT) och rådets beslut av den 26 februari 2024.

(3) Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 24.5.2016, s. 53).

(4) Rådets beslut 2008/615/RIF av den 23 juni 2008 om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (EUT L 210, 6.8.2008, s. 1).

(5) Rådets beslut 2008/616/RIF av den 23 juni 2008 om genomförande av beslut 2008/615/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (EUT L 210, 6.8.2008, s. 12).

(6) Europaparlamentets och rådets förordning (EU) 2018/1862 av den 28 november 2018 om inrättande, drift och användning av Schengens informationssystem (SIS) på området polissamarbete och straffrättsligt samarbete, om ändring och upphävande av rådets beslut 2007/533/RIF och om upphävande av Europaparlamentets och rådets förordning (EG) nr 1986/2006 och kommissionens beslut 2010/261/EU (EUT L 312, 7.12.2018, s. 56).

(7) Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).

(8) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).

(9) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(10) Europaparlamentets och rådets direktiv (EU) 2023/977 av den 10 maj 2023 om informationsutbyte mellan medlemsstaternas brottsbekämpande myndigheter och om upphävande av rådets rambeslut 2006/960/RIF (EUT L 134, 22.5.2023, s. 1).

(11) Rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organisationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll (EUT L 93, 7.4.2009, s. 23).

(12) Europaparlamentets och rådets förordning (EU) 2019/817 av den 20 maj 2019 om inrättande av en ram för interoperabilitet mellan EU-informationssystem på området gränser och viseringar och om ändring av Europaparlamentets och rådets förordningar (EG) nr 767/2008, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726, och (EU) 2018/1861, samt rådets beslut 2004/512/EG och 2008/633/RIF (EUT L 135, 22.5.2019, s. 27).

(13) Europaparlamentets och rådets förordning (EU) 2019/818 av den 20 maj 2019 om inrättande av en ram för interoperabilitet mellan EU-informationssystem på området polissamarbete och straffrättsligt samarbete, asyl och migration och om ändring av förordningarna (EU) 2018/1726, (EU) 2018/1862 och (EU) 2019/816 (EUT L 135, 22.5.2019, s. 85).

(14) Europaparlamentets och rådets förordning (EU) 2018/1726 av den 14 november 2018 om Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-LISA), om ändring av förordning (EG) nr 1987/2006 och rådets beslut 2007/533/RIF och om upphävande av förordning (EU) nr 1077/2011 (EUT L 295, 21.11.2018, s. 99).

(15) Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).

(16) EUT C 225, 9.6.2022, s. 6.

(17) Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333, 27.12.2022, s. 80).

(18) EGT L 56, 4.3.1968, s. 1.