Règlement délégué (UE) 2021/2103 de la Commission du 19 août 2021 établissant des règles détaillées concernant le fonctionnement du portail en ligne, conformément à l’article 49, paragraphe 6, du règlement (UE) 2019/818 du Parlement européen et du Conseil

1 Le portail en ligne utilise le nom de domaine «.europa.eu» de l’Union européenne.

2 La description du portail en ligne est mise à disposition pour indexation par les principaux moteurs de recherche publics.

3 En plus des langues officielles des États membres, le portail en ligne est accessible au public au moins dans les langues suivantes: russe, arabe, japonais, chinois, albanais, bosnien, macédonien, hindi et turc.

4 Le portail en ligne contient les informations visées aux articles 47 et 48 du règlement (UE) 2019/818 et un outil de recherche permettant d’extraire les coordonnées de l’autorité compétente de l’État membre responsable de la création d’un lien rouge ou blanc à la suite de la vérification manuelle des différentes identités. Il peut également contenir d’autres informations nécessaires qui facilitent l’exercice des droits visés aux articles 47 et 48 du règlement (UE) 2019/818.

5 Le portail en ligne doit être conforme aux règles, lignes directrices et informations contenues dans le Guide web Europa de la Commission européenne, notamment aux lignes directrices relatives à l’accessibilité.

6 Le portail en ligne doit empêcher que les coordonnées des autorités soient mises à la disposition des moteurs de recherche et d’autres outils automatiques de collecte de coordonnées.

1 L’eu-LISA développe le portail en ligne et en assure la gestion technique, ainsi que le mentionne l’article 49, paragraphe 5, du règlement (UE) 2019/818, y compris l’hébergement, le fonctionnement et la maintenance du portail.

2 La Commission fournit à l’eu-LISA le contenu du portail en ligne visé à l’article 1er, paragraphe 4, ainsi que toute correction ou mise à jour nécessaire.

3 Les États membres communiquent en temps utile à l’eu-LISA les coordonnées de toutes les autorités compétentes pour examiner toute demande visée aux articles 47 et 48 du règlement (UE) 2019/818 et pour y répondre, afin de permettre le chargement et la mise à jour réguliers du contenu du portail en ligne, prévus à l’article 49, paragraphe 4, dudit règlement.

4 Les États membres communiquent à l’eu-LISA un point de contact unique chargé des vérifications et de la maintenance.

5 L’eu-LISA vérifie les coordonnées fournies, en invitant tous les États membres à vérifier les informations disponibles, en vue d’intégrer les éventuels changements ou ajouts. La vérification est effectuée au moins une fois par an.

6 En ce qui concerne le traitement des données dans le portail en ligne, les autorités des États membres sont les responsables du traitement au sens de l’article 4, point 7), du règlement (UE) 2016/679 ou de l’article 3, point 8), de la directive (UE) 2016/680.

7 En ce qui concerne le traitement des données à caractère personnel dans le portail en ligne, l’eu-LISA est le sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725.

1 Le portail en ligne contient un outil de recherche permettant aux utilisateurs d’introduire la référence de l’autorité responsable de la vérification manuelle des différentes identités, mentionnée à l’article 34, point d), du règlement (UE) 2019/818, pour obtenir les coordonnées de cette autorité.

2 Après avoir vérifié que les données introduites sont valables et complètes, le portail en ligne extrait les coordonnées de l’autorité conformément à l’article 49, paragraphe 3, du règlement (UE) 2019/818.

3 Le portail en ligne permet à l’utilisateur de faire une demande d’informations à l’aide d’un modèle de courriel en ligne, afin de faciliter la communication avec l’autorité compétente de l’État membre responsable de la vérification manuelle des différentes identités. Ce modèle comporte un champ destiné au numéro d’identification unique visé à l’article 34, point c), du règlement (UE) 2019/818, afin de permettre à l’autorité d’extraire les informations sur le lien pertinentes et les fichiers correspondants.

4 Le modèle de courriel contient une demande type d’informations complémentaires, disponible dans les langues mentionnées à l’article 1er, paragraphe 3. Ce modèle figure en annexe. Il permet en outre de choisir la ou les langue(s) à utiliser pour la réponse, l’option devant comporter au moins deux langues sélectionnées par chaque État membre. L’utilisateur peut choisir la version linguistique du modèle de courriel.

5 Après la soumission en ligne du modèle de courriel complété, l’utilisateur reçoit par courriel un accusé de réception automatisé, contenant les coordonnées de l’autorité chargée de répondre à sa demande et permettant à la personne d’exercer les droits prévus à l’article 48, paragraphe 1, du règlement (UE) 2019/818.

1 Le portail en ligne établit une séparation entre, d’une part, les pages du site contenant des informations destinées au public et, d’autre part, l’outil de recherche et les pages du site permettant à l’utilisateur d’obtenir les coordonnées de l’autorité responsable de la vérification manuelle des différentes identités.

2 Pour permettre la gestion des contenus par l’eu-LISA, le portail en ligne comporte une interface d’administration qui est sécurisée. Tout accès à cette interface et toute modification apportée sont enregistrés conformément à l’article 7.

3 L’interface d’administration confère à l’eu-LISA le droit d’ajouter, de modifier ou de supprimer des contenus sur le portail en ligne. Cette interface ne saurait en aucun cas permettre à l’eu-LISA d’accéder aux données relatives aux ressortissants de pays tiers stockées dans les systèmes d’information de l’UE.

4 La solution de gestion des contenus comporte un système par étapes dans lequel toutes les modifications peuvent être préparées, visualisées et envoyées au système en ligne en vue de leur publication à un moment donné. Ce système comprend également des outils pour faciliter la gestion des contenus et prévisualiser le résultat des modifications.

1 Le portail en ligne est conçu et mis en œuvre de manière à garantir la confidentialité, l’intégrité et la disponibilité des services, ainsi que la non-répudiation des opérations, en appliquant au moins les principes de sécurité des applications suivants: a) défense en profondeur (mécanismes de sécurité à plusieurs niveaux); b) modèle de sécurité positive (définit ce qui est autorisé et rejette tout le reste); c) échouer en toute sécurité (traite les erreurs de manière sûre) d) fonctionner avec le moins de privilèges e) faire simple en matière de sécurité (éviter les architectures complexes lorsqu’une approche plus simple est plus rapide et facile à suivre); f) détecter et prévenir les intrusions (enregistrer et gérer toutes les informations pertinentes en matière de sécurité) en réalisant des contrôles proactifs de la protection des informations du portail en ligne et des coordonnées des coordonnées des États membres contre les cyberattaques et les fuites d’information; g) ne pas faire confiance aux infrastructures (l’application doit authentifier et autoriser toute action émanant d’autres systèmes d’information); h) ne pas faire confiance aux services (ne faire confiance à aucun système externe); i) configuration stricte des paramètres par défaut (les environnements «logiciels» et «systèmes d’exploitation» sont renforcés conformément aux meilleures pratiques et aux normes du secteur).

2 Le portail en ligne est conçu et mis en œuvre de manière à garantir la disponibilité et l’intégrité des registres.

3 Aux fins de la sécurité et de la protection des données, le portail en ligne comprend un avis informant les utilisateurs des règles régissant son utilisation et des conséquences de la fourniture d’informations inexactes. L’avis comprend un formulaire d’acceptation des règles régissant l’utilisation du portail en ligne, que l’utilisateur est tenu de soumettre avant d’être autorisé à utiliser ce portail. La mise en œuvre technique et organisationnelle du portail en ligne respecte le plan de sécurité, le plan de continuité des activités et le plan de rétablissement après sinistre visés à l’article 42, paragraphe 3, du règlement (UE) 2019/818.

1 Le portail en ligne respecte les règles en matière de protection des données énoncées dans le règlement (UE) 2016/679, le règlement (UE) 2018/1725 et la directive (UE) 2016/680.

2 Le portail en ligne contient une déclaration de confidentialité, qui est accessible via lien spécifique. Elle est également accessible à partir de toute autre page du portail en ligne. Elle est formulée d’une manière claire et complète.

1 Sans préjudice des documents écrits visés à l’article 48, paragraphe 10, du règlement (UE) 2019/818, tout accès au portail en ligne est consigné dans un registre contenant les informations suivantes: a) l’adresse IP du système utilisé par le demandeur; b) la date et l’heure de la demande d’accès; c) des informations techniques sur l’environnement utilisé pour la demande d’accès, telles que le type d’appareil, la version du système d’exploitation, le modèle et la version du navigateur.

2 Les informations enregistrées ne sont utilisées qu’à des fins statistiques ainsi que pour contrôler l’utilisation qui est faite du portail en ligne, afin de prévenir toute utilisation abusive.

3 En cas d’accès à l’interface d’administration du portail en ligne, outre les données énumérées au paragraphe 1, sont enregistrées les données suivantes: a) l’identification de l’utilisateur accédant à l’interface d’administration; b) les actions effectuées sur le portail en ligne (création, mise à jour ou suppression de contenus).

4 D’autres informations techniques anonymes peuvent être enregistrées pendant l’utilisation du portail en ligne afin d’en optimiser l’utilisation et les performances, à condition qu’elles ne contiennent pas de données à caractère personnel.

5 Les informations enregistrées conformément aux paragraphes 1 et 3 sont conservées pendant une durée maximale de deux ans.

6 L’eu-LISA tient des registres de toutes les opérations de traitement de données effectuées dans le portail en ligne.

7 L’eu-LISA, les autorités des États membres et les agences de l’Union établissent chacune la liste du personnel dûment autorisé à accéder aux registres du portail en ligne consignant les opérations de traitement de données.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.