Regulamentul (UE) 2024/868 al Parlamentului European și al Consiliului din 13 martie 2024 de modificare a Deciziei 2009/917/JAI a Consiliului în ceea ce privește alinierea acesteia la normele Uniunii privind protecția datelor cu caracter personal

Articolul 1

Decizia 2009/917/JAI se modifică după cum urmează: 1. La articolul 1, alineatul (2) se înlocuiește cu următorul text: „(2) Scopul Sistemului de informații al vămilor, în conformitate cu prezenta decizie, este de a asista autoritățile competente ale statelor membre în prevenirea, investigarea, detectarea sau urmărirea penală a infracțiunilor prevăzute în legislația națională, prin punerea mai rapidă a informațiilor la dispoziție, crescând astfel eficacitatea procedurilor de cooperare și de control ale autorităților vamale ale statelor membre.” 2. Articolul 2 se modifică după cum urmează: (a) punctul 2 se înlocuiește cu următorul text: „2. «date cu caracter personal» înseamnă date cu caracter personal în sensul definiției de la articolul 3 punctul 1 din Directiva (UE) 2016/680 al Parlamentului European și al Consiliului (*1); (*1) Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119, 4.5.2016, p. 89).”;" (b) se adaugă următorul punct: „6. «autoritate națională de supraveghere» înseamnă o autoritate de supraveghere, în sensul definiției de la articolul 3 punctul 15 din Directiva (UE) 2016/680.” 3. La articolul 3 alineatul (1), teza introductivă se înlocuiește cu următorul text: „Sistemul de informații al vămilor este format dintr-o bază de date centrală accesibilă prin intermediul unor terminale aflate în fiecare dintre statele membre. Acesta cuprinde numai datele, inclusiv cele cu caracter personal, necesare îndeplinirii obiectivului său, astfel cum este menționat la articolul 1 alineatul (2), grupate în următoarele categorii:”. 4. Articolul 4 se modifică după cum urmează: (a) alineatul (1) se înlocuiește cu următorul text: „(1) Statele membre stabilesc datele care urmează să fie introduse în Sistemul de informații al vămilor corespunzătoare fiecăreia dintre categoriile menționate la articolul 3 alineatul (1), în măsura în care această acțiune este necesară pentru îndeplinirea obiectivului sistemului respectiv. Datele cu caracter personal nu trebuie în niciun caz să fie introduse în categoria menționată la articolul 3 alineatul (1) litera (e).” ; (b) alineatul (5) se înlocuiește cu următorul text: „(5) Categoriile speciale de date cu caracter personal menționate la articolul 10 din Directiva (UE) 2016/680 nu se introduc în niciun caz în Sistemul de informații al vămilor.” 5. La articolul 5, alineatul (2) se înlocuiește cu următorul text: „(2) În sensul acțiunilor menționate la alineatul (1), datele cu caracter personal din oricare dintre categoriile menționate la articolul 3 alineatul (1) pot fi introduse în Sistemul de informații al vămilor numai în cazul în care există motive temeinice, în special pe baza unor activități ilegale anterioare, care sugerează că persoana respectivă a comis sau că este în curs de a comite ori că va comite o infracțiune prevăzută în legislația națională.” 6. Articolul 7 se modifică după cum urmează: (a) alineatul (1) se înlocuiește cu următorul text: „(1) Accesul direct la datele introduse în Sistemul de informații al vămilor este rezervat autorităților naționale desemnate de fiecare stat membru. Aceste autorități naționale sunt autorități vamale, dar pot include de asemenea alte autorități competente, în conformitate cu actele cu putere de lege, reglementările și procedurile statului membru respectiv, să acționeze în vederea îndeplinirii obiectivului menționat la articolul 1 alineatul (2).” ; (b) alineatul (3) se elimină. 7. Articolul 8 se modifică după cum urmează: (a) alineatele (1) și (2) se înlocuiesc cu următorul text: „(1) Autoritățile naționale desemnate de fiecare stat membru în conformitate cu articolul 7, Europol și Eurojust pot prelucra datele cu caracter personal obținute din Sistemul de informații al vămilor în vederea îndeplinirii obiectivului menționat la articolul 1 alineatul (2), în conformitate cu dreptul Uniunii sau cu dreptul intern aplicabil protecției datelor cu caracter personal, cu autorizarea prealabilă a autorităților naționale desemnate ale statului membru care a introdus datele cu caracter personal în sistemul respectiv și sub rezerva respectării oricăror condiții impuse de acestea. Autoritățile naționale desemnate de fiecare stat membru, Europol și Eurojust pot prelucra date fără caracter personal obținute din Sistemul de informații al vămilor în vederea îndeplinirii obiectivului menționat la articolul 1 alineatul (2), sau în alte scopuri, inclusiv în scopuri administrative, cu respectarea oricăror condiții impuse de autoritățile naționale desemnate ale statului membru care a introdus datele fără caracter personal în sistemul respectiv. (2) Fără a aduce atingere alineatelor (1) și (4) din prezentul articol și articolelor 11 și 12, datele obținute din Sistemul de informații al vămilor pot fi utilizate, în fiecare stat membru, numai de către autoritățile naționale desemnate de statul membru în cauză, care sunt competente să acționeze în scopul îndeplinirii obiectivului menționat la articolul 1 alineatul (2), în conformitate cu legile, normele și procedurile statului membru respectiv.” ; (b) alineatul (4) se înlocuiește cu următorul text: „(4) Datele cu caracter personal obținute din Sistemul de informații al vămilor pot, cu autorizarea prealabilă a autorităților naționale desemnate ale statului membru care a introdus aceste date în sistemul respectiv și sub rezerva respectării oricăror condiții impuse de acestea, să fie: (a) transmise autorităților naționale, altele decât cele desemnate în temeiul alineatului (2), și prelucrate ulterior de acestea, în conformitate cu dreptul Uniunii sau cu dreptul intern aplicabil protecției datelor cu caracter personal; sau (b) transferate autorităților competente din țări terțe și organizațiilor internaționale sau regionale și prelucrate ulterior de acestea, în conformitate cu dreptul Uniunii sau cu dreptul intern aplicabil protecției datelor cu caracter personal. Datele fără caracter personal obținute din Sistemul de informații al vămilor pot fi transferate și prelucrate ulterior de alte autorități naționale decât cele desemnate în temeiul alineatului (2), de țări terțe și organizații internaționale sau regionale, în conformitate cu orice condiții impuse de autoritățile naționale desemnate ale statului membru care a introdus datele fără caracter personal în sistemul respectiv.” 8. La articolul 13, alineatul (5) se înlocuiește cu următorul text: „(5) Sub rezerva prezentei decizii, atunci când, într-un stat membru, o instanță sau o altă autoritate competentă din acel stat membru adoptă o decizie definitivă de modificare, de completare, de rectificare sau de ștergere a datelor în Sistemul de informații al vămilor, statele membre se angajează reciproc să execute respectiva decizie. În cazul unui conflict între astfel de decizii ale instanțelor sau ale altor autorități competente, inclusiv cele ale altor autorități competente din diferite state membre, inclusiv ale autorităților naționale de supraveghere, referitoare la rectificare sau ștergere, statul membru care a introdus datele respective șterge datele din sistemul respectiv.” 9. Articolul 14 se înlocuiește cu următorul text: „Articolul 14 Datele cu caracter personal introduse în Sistemul de informații al vămilor se păstrează numai pe perioada necesară îndeplinirii obiectivului menționat la articolul 1 alineatul (2) și nu pot fi păstrate mai mult de cinci ani. Cu toate acestea, în mod excepțional, datele respective pot fi păstrate pentru o perioadă suplimentară de cel mult doi ani, dacă și în măsura în care se stabilește, într-un caz individual, o necesitate strictă de a realiza acest obiectiv.” 10. Articolul 15 se modifică după cum urmează: (a) alineatul (2) se înlocuiește cu următorul text: „(2) Scopul bazei de date pentru identificarea dosarelor vamale este acela de a permite autorităților unui stat membru responsabile de efectuarea anchetelor vamale, desemnate în conformitate cu articolul 7, care deschid un dosar de anchetă sau care anchetează cazul uneia sau al mai multor persoane sau societăți, precum și Europol și Eurojust, să identifice autoritățile competente ale altor state membre care anchetează sau care au anchetat aceste persoane sau societăți, în scopul de a îndeplini, pe baza informațiilor privind existența dosarelor de anchetă, obiectivul menționat la articolul 1 alineatul (2).” ; (b) alineatul (3) se înlocuiește cu următorul text: „(3) În scopul bazei de date pentru identificarea dosarelor vamale, fiecare stat membru transmite celorlalte state membre, Europol, Eurojust și comitetului menționat la articolul 27, o listă a infracțiunilor prevăzute în legislația națională. Această listă cuprinde numai infracțiunile care se pedepsesc: (a) cu o pedeapsă privativă de libertate sau cu o măsură de siguranță privativă de libertate a cărei limită maximă este de cel puțin 12 luni; sau (b) cu o amendă de cel puțin 15 000 EUR.” 11. Articolul 20 se înlocuiește cu următorul text: „Articolul 20 Cu excepția cazului în care se prevede altfel în prezenta decizie: (a) dispozițiile naționale adoptate în temeiul Directivei (UE) 2016/680 se aplică prelucrărilor de date cu caracter personal în temeiul prezentei decizii efectuate de către autoritățile naționale desemnate de fiecare stat membru în conformitate cu articolul 7 din prezenta decizie; (b) Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (*2) se aplică prelucrărilor de date cu caracter personal efectuate de către Comisie în temeiul prezentei decizii; (c) Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului (*3) se aplică prelucrărilor de date cu caracter personal efectuate de către Europol în temeiul prezentei decizii; și (d) Regulamentul (UE) 2018/1727 al Parlamentului European și al Consiliului (*4) se aplică prelucrărilor de date cu caracter personal efectuate de către Eurojust în temeiul prezentei decizii. (*2) Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39)." (*3) Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO L 135, 24.5.2016, p. 53)." (*4) Regulamentul (UE) 2018/1727 al Parlamentului European și al Consiliului din 14 noiembrie 2018 privind Agenția Uniunii Europene pentru Cooperare în Materie de Justiție Penală (Eurojust) și de înlocuire și abrogare a Deciziei 2002/187/JAI a Consiliului (JO L 295, 21.11.2018, p. 138).” " 12. Articolele 22, 23, 24 și 25 se elimină. 13. Articolul 26 se înlocuiește cu următorul text: „Articolul 26 (1) Autoritatea Europeană pentru Protecția Datelor este responsabilă de monitorizarea prelucrării datelor cu caracter personal de către Comisie în temeiul prezentei decizii și de asigurarea faptului că aceasta se efectuează în conformitate cu prezenta decizie. Atribuțiile și competențele menționate la articolele 57 și 58 din Regulamentul (UE) 2018/1725 se aplică în mod corespunzător. (2) Autoritatea Europeană pentru Protecția Datelor efectuează, cel puțin o dată la cinci ani, un audit al operațiunilor de prelucrare a datelor cu caracter personal de către Comisie în temeiul prezentei decizii, în conformitate cu standardele internaționale de audit. Un raport al acestui audit se trimite Parlamentului European, Consiliului, Comisiei și autorităților naționale de supraveghere. (3) Autoritatea Europeană pentru Protecția Datelor și autoritățile naționale de supraveghere, acționând în limitele competențelor lor respective, cooperează activ în cadrul responsabilităților lor pentru a asigura o supraveghere coordonată a funcționării Sistemului de informații al vămilor în conformitate cu articolul 62 din Regulamentul (UE) 2018/1725.” 14. La articolul 27 alineatul (2), litera (a) se înlocuiește cu următorul text: „(a) de a pune în aplicare și de a aplica cu corectitudine prezenta decizie, fără a aduce atingere atribuțiilor autorităților naționale de supraveghere și ale Autorității Europene pentru Protecția Datelor;”. 15. Articolul 28 se modifică după cum urmează: (a) la alineatul (2), se adaugă următoarele litere: „(i) a asigura posibilitatea restabilirii sistemelor instalate în cazul unei întreruperi; (j) a asigura funcționarea adecvată a sistemului, raportarea defecțiunilor de funcționare a sistemului și imposibilitatea coruperii, din cauza funcționării defectuoase a sistemului, a datelor cu caracter personal stocate.”; (b) alineatul (3) se înlocuiește cu următorul text: „(3) Comitetul menționat la articolul 27 monitorizează interogarea Sistemului de informații al vămilor pentru a verifica admisibilitatea căutărilor efectuate și dacă acestea au fost efectuate de utilizatori autorizați. Cel puțin 1 % din totalitatea căutărilor sunt supuse verificării. O înregistrare a acestor căutări și verificări se păstrează în sistem și se utilizează numai în scopul menționat de către comitetul respectiv, de autoritățile naționale de supraveghere și de Autoritatea Europeană pentru Protecția Datelor. Înregistrarea este ștearsă după șase luni.” 16. Articolul 29 se înlocuiește cu următorul text: „Articolul 29 Autoritatea vamală competentă menționată la articolul 10 alineatul (1) răspunde pentru măsurile de securitate prevăzute la articolul 28 în ceea ce privește terminalele situate pe teritoriul statului membru respectiv, pentru examinările prevăzute la articolele 14 și 19, precum și pentru punerea în aplicare corespunzătoare a prezentei decizii, cu respectarea actelor cu putere de lege, a normelor administrative și procedurale ale respectivului stat membru.” 17. La articolul 30, alineatul (1) se elimină.

Articolul 2

Până la 9 octombrie 2025, fără a aduce atingere aplicării prezentului regulament, datele cu caracter personal introduse în Sistemul de informații al vămilor înainte de 8 aprilie 2024 sunt revizuite de statele membre care au introdus datele respective și, dacă este necesar, sunt actualizate sau șterse pentru a se asigura că prelucrarea lor respectă Decizia 2009/917/JAI, astfel cum a fost modificată prin prezentul regulament.

Articolul 3

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.