Décision d’exécution (UE) 2022/2470 de la Commission du 14 décembre 2022 établissant les mesures nécessaires au développement technique et à la mise en œuvre du système centralisé permettant d’identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN)

Lorsqu’elle introduit des données dans l’ECRIS-TCN conformément à l’article 5 du règlement (UE) 2019/816, l’autorité centrale de l’État membre de condamnation utilise le modèle de données figurant à la section I de l’annexe de la présente décision. Les spécifications techniques des éléments de données figurant dans le modèle de données sont conformes au modèle de données pour l’application de référence d’ECRIS visée à l’article 4, paragraphe 3, dudit règlement.

1 Lorsque des données alphanumériques et des données dactyloscopiques d’une personne figurent dans un fichier de données créé dans l’ECRIS-TCN conformément à l’article 5 du règlement (UE) 2019/816, les données alphanumériques sont liées aux données dactyloscopiques correspondantes.

2 L’algorithme de compression des images d’empreintes digitales à utiliser est conforme aux recommandations du National Institute of Standards and Technology («NIST»). Les données dactyloscopiques d’une résolution de 500 ppi sont comprimées au moyen de l’algorithme WSQ (ISO/IEC 19794-5: 2005). Les données dactyloscopiques d’une résolution de 1000 ppi sont comprimées au moyen de la norme de compression d’images JPEG 2000 (ISO/IEC 15444-1) et de son système de codification. Le taux de compression cible est de 15:1.

3 Le remplacement ou la mise à jour dans l’ECRIS-TCN des données dactyloscopiques visées à l’article 4, paragraphe 7, est précédé d’une vérification positive de l’identité par l’autorité centrale de l’État membre de condamnation. Les spécifications techniques relatives à ce remplacement ou à cette mise à jour sont établies conformément aux principes définis dans la conception de l’architecture matérielle de l’ECRIS-TCN visée à l’article 11, paragraphe 3, du règlement (UE) 2019/816.

1 Lorsqu’elle introduit ou modifie des données alphanumériques dans l’ECRIS-TCN, l’autorité centrale de l’État membre de condamnation utilise le mécanisme de vérification de la qualité des données intégré dans l’application de référence d’ECRIS.

2 Les États membres qui utilisent leur logiciel d’application national de l’ECRIS, conformément aux dispositions de l’article 4, paragraphes 4 à 7, du règlement (UE) 2019/816, veillent à ce que leur logiciel d’application national de l’ECRIS permette de réaliser la même vérification de la qualité des données alphanumériques que le mécanisme visé au paragraphe 1.

3 Le processus de vérification de la qualité des données s’applique à l’introduction ou à la modification de toutes les données alphanumériques et garantit au minimum que les conditions suivantes sont remplies: a) tous les champs obligatoires sont remplis ou conservent la valeur «inconnu»; b) lorsqu’un prénom contient la valeur «inconnu», le nom de famille ne doit pas contenir la valeur «inconnu», et inversement, à moins qu’un pseudonyme, un prénom ou un nom d’alias, ou des empreintes digitales de la même personne ne soient disponibles; c) L’élément d’information «nationalité(s)» dans le message entrant de l’État membre de condamnation est vérifié sur la base d’une liste de pays prédéfinie mais peut contenir l’une des valeurs «inconnu» ou «apatride».

4 Il n’y a pas lieu de créer un nouveau fichier de données lorsqu’un fichier contenant des données alphanumériques identiques a déjà été créé dans l’ECRIS-TCN par le même État membre, en particulier lorsque le même code de référence d’État membre existe déjà pour le même État membre. Lorsque les fichiers de données sont comparés pour établir s’ils sont identiques, seuls les éléments de données alphanumériques signalés comme pertinents aux fins de cette comparaison dans le modèle de données figurant à la section I de l’annexe sont pris en compte. Les éléments de données alphanumériques vides dans les fichiers de données comparés ne sont pas pris en compte aux fins de cette comparaison.

5 Lorsqu’un fichier contient des données alphanumériques qui ne sont pas conformes aux normes énoncées aux paragraphes 3 et 4, ce fichier est rejeté par l’ECRIS-TCN dans son intégralité et n’est ni stocké ni traité.

1 Lorsqu’elle introduit ou modifie des données dactyloscopiques dans l’ECRIS-TCN, l’autorité centrale de l’État membre de condamnation utilise un mécanisme de vérification de la qualité des données intégré dans l’application de référence d’ECRIS ou proposé par l’eu-LISA en tant qu’application logicielle. Conformément aux responsabilités de l’eu-LISA prévues à l’article 11, paragraphe 2, du règlement (UE) 2019/816, l’eu-LISA est également responsable du développement, de la maintenance et de la mise à jour de ce mécanisme de vérification de la qualité des données.

2 Le même mécanisme de vérification de la qualité des données que le mécanisme visé au paragraphe 1 est établi, soumis à une maintenance et mis à jour dans le système central de l’ECRIS-TCN.

3 Dans le cas où ils n’utilisent pas le mécanisme de contrôle de la qualité des données visé au paragraphe 1 du présent article, les États membres qui utilisent leur logiciel d’application national de l’ECRIS, conformément aux dispositions de l’article 4, paragraphes 4 à 7, du règlement (UE) 2019/816, veillent à ce que leur logiciel d’application national de l’ECRIS garantisse les mêmes normes et paramètres de vérification de la qualité des données dactyloscopiques que ceux du mécanisme visé au paragraphe 1.

4 Aux fins de la vérification de la qualité visée au présent article, il convient d’utiliser, au minimum, la version 2.0 de la mesure de la métrique Fingerprint Image Quality (NFIQ), définie par le NIST.

5 Le processus de vérification de la qualité des données s’applique à toutes les données dactyloscopiques introduites ou modifiées dans l’ECRIS-TCN et garantit, au moins, que les conditions suivantes sont réunies: a) les données dactyloscopiques comprennent jusqu’à dix empreintes digitales individuelles: roulées et/ou à plat; b) toutes les empreintes digitales sont étiquetées; c) les données dactyloscopiques sont saisies au moyen de dispositifs de scannage en direct ou d’encre sur papier, à condition que les empreintes digitales saisies au moyen d’encre sur papier aient été scannées avec la résolution requise et avec la même qualité; d) les données dactyloscopiques sont fournies dans un fichier contenant des images numériques d’empreintes digitales (le fichier NIST) et sont introduites conformément à la norme ANSI/NIST-ITL 1-2011 Update 2015 (ou une version plus récente); e) le dossier NIST permet l’inclusion d’informations complémentaires telles que les conditions d’enregistrement des empreintes digitales, la méthode utilisée pour obtenir des images d’empreintes digitales individuelles et la valeur de qualité calculée par les États membres au cours du processus de vérification de la qualité des données; f) les données dactyloscopiques ont une résolution nominale de 500 ou 1000 ppi (avec un écart acceptable de +/– 10 ppi) avec 256 niveaux de gris; g) les données dactyloscopiques respectent les seuils de qualité qui sont déterminés après la réalisation des essais pertinents visés à l’article 11, paragraphe 1, du règlement (UE) 2019/816 au cours de la phase de mise en œuvre.

6 Lorsqu’elles interrogent l’ECRIS-TCN sur la base de données dactyloscopiques afin d’identifier les États membres détenant des informations sur le casier judiciaire d’un ressortissant de pays tiers conformément à l’article 7 du règlement (UE) 2019/816, les autorités compétentes utilisent, dans la mesure du possible, des données dactyloscopiques remplissant les conditions visées au paragraphe 5, points d) et f), du présent article.

7 À l’exception des données dactyloscopiques visées au paragraphe 8, les données dactyloscopiques introduites ou modifiées dans l’ECRIS-TCN qui ne remplissent pas les conditions énoncées au paragraphe 5 sont rejetées par l’ECRIS-TCN dans leur intégralité et ne sont ni stockées ni traitées.

8 En ce qui concerne les fichiers de données visés à l’article 5, paragraphe 5, du règlement (UE) 2019/816, toute donnée dactyloscopique qui ne remplit pas les conditions énoncées au paragraphe 5 du présent article est stockée dans l’ECRIS-TCN, mais ne peut être utilisée par les autorités compétentes que dans le but de confirmer l’identité d’un ressortissant de pays tiers qui a été identifié à la suite d’une recherche alphanumérique. Lorsqu’elle introduit ces fichiers de données dans l’ECRIS-TCN, l’autorité centrale de l’État membre de condamnation veille à ce qu’ils puissent être clairement distingués des autres fichiers de données.

1 Lorsqu’elles interrogent l’ECRIS-TCN afin d’identifier les États membres détenant des informations sur le casier judiciaire d’un ressortissant de pays tiers conformément à l’article 7 du règlement (UE) 2019/816, les autorités compétentes utilisent le modèle de données établi à la section II de l’annexe de la présente décision.

2 Lorsqu’elles procèdent à une interrogation conformément au paragraphe 1, les autorités compétentes introduisent tous les éléments de données permettant d’identifier le ressortissant de pays tiers concerné qui sont disponibles. À moins que l’interrogation ne contienne des images numériques d’empreintes digitales (le fichier NIST), au moins trois éléments de données de ce type sont choisis parmi ceux signalés à cette fin dans le modèle de données figurant à la section II de l’annexe.

3 À la suite des essais visés à l’article 11, paragraphe 1, du règlement (UE) 2019/816, qui sont réalisés au cours de la phase de mise en œuvre, les spécifications techniques suivantes sont établies: a) la liste des champs de données relatifs aux données qui peuvent être utilisées dans le cadre d’une recherche inexacte; b) les conditions dans lesquelles un résultat de recherche doit être considéré comme une correspondance, compte tenu des exigences de performance du système central de l’ECRIS-TCN énoncées à la section III de l’annexe et du niveau acceptable de faux positifs et de faux négatifs.

4 Le nombre de fichiers obtenus à la suite d’une interrogation ne dépasse pas dix par État membre. Le cas échéant, des restrictions supplémentaires peuvent être imposées en ce qui concerne le nombre de fichiers obtenus.

5 Sauf disposition contraire du règlement (UE) 2019/816, les autorités centrales ont à tout moment accès à toutes les données qu’elles ont saisies dans l’ECRIS-TCN, y compris à des fichiers de données multiples au même moment.

6 Les listes des profils du personnel autorisé à accéder à l’ECRIS-TCN, établies par les autorités compétentes conformément à l’article 12, paragraphe 1, point d), et à l’article 15 du règlement (UE) 2019/816, ainsi que leurs mises à jour, sont fournies à l’eu-LISA.

1 L’eu-LISA et les autorités compétentes sont chargées de fournir l’infrastructure et les outils nécessaires pour consigner dans un registre les opérations de traitement des données dans l’ECRIS-TCN conformément à l’article 31 du règlement (UE) 2019/816, et en particulier les outils d’agrégation et de consultation des registres. L’eu-LISA, en consultation avec le groupe consultatif sur l’ECRIS-TCN visé à l’article 39 du règlement (UE) 2019/816 (ci-après dénommé le «groupe consultatif sur l’ECRIS-TCN»), ainsi que les autorités compétentes, sont également chargées de préciser leurs normes, pratiques et procédures respectives en matière de tenue des registres, y compris le format spécifique des registres et la procédure de partage des registres.

2 L’eu-LISA et les autorités compétentes sont chargées de la mise en œuvre de leurs normes et procédures respectives visées au paragraphe 1. Cette mise en œuvre comprend: a) l’inspection des registres à la suite d’incidents et, dans la mesure du possible, de manière proactive; b) les tâches de gestion des registres telles que l’archivage, le stockage sûr, une haute disponibilité et une protection élevée contre tout accès non autorisé, conformément à l’article 19 du règlement (UE) 2019/816.

3 L’eu-LISA est chargée de mettre les registres à la disposition des autorités compétentes, sur demande, conformément à la procédure précisée au paragraphe 1, deuxième alinéa.

4 Les autorités compétentes sont chargées de tenir leurs registres respectifs visés à l’article 31 du règlement (UE) 2019/816, de les gérer et de les fournir à l’eu-LISA, sur demande, conformément à la procédure précisée au paragraphe 1, deuxième alinéa.

5 Chaque registre des opérations de traitement de données de l’ECRIS-TCN contient, au minimum, un enregistrement chronologique qui fournit des preuves documentaires de la séquence d’activités ayant eu, à un quelconque moment, une incidence sur une opération, une procédure ou un événement spécifique.

6 L’eu-LISA et les autorités compétentes définissent chacune la liste du personnel autorisé à accéder aux registres des opérations de traitement de données de l’ECRIS-TCN et leur profil conformément à l’article 31 du règlement (UE) 2019/816.

1 Le répertoire central des rapports et statistiques, établi et mis en œuvre par l’eu-LISA conformément à l’article 39, paragraphe 2, du règlement (UE) 2019/818, et l’application de référence de l’ECRIS produisent des statistiques relatives à l’enregistrement, au stockage et à l’échange d’informations extraites des casiers judiciaires au moyen de l’ECRIS-TCN et de l’application de référence de l’ECRIS, visées à l’article 32 du règlement (UE) 2019/816.

2 Les statistiques visées au paragraphe 1 comprennent notamment les statistiques suivantes: a) en ce qui concerne les indicateurs d’utilisation du système: i) nombre de fichiers de données créés pour des ressortissants de pays tiers et des ressortissants ayant une double nationalité (RPT/UE); ii) nombre de fichiers de données modifiés pour des ressortissants de pays tiers et des ressortissants ayant une double nationalité (RPT/UE); iii) nombre de fichiers de données effacés pour des ressortissants de pays tiers et des ressortissants ayant une double nationalité (RPT/UE); iv) nombre de consultations par les autorités centrales de leurs propres fichiers de données conformément à l’article 5, paragraphe 5; v) nombre d’interrogations concernant des ressortissants de pays tiers et des ressortissants ayant une double nationalité (RPT/UE); b) en ce qui concerne les indicateurs de données: i) nombre de fichiers dans la base de données; ii) nombre de fichiers contenant des empreintes digitales; iii) nombre de fichiers comportant des mentions prévues conformément à l’article 5, paragraphe 1, point c), du règlement (UE) 2019/816, pour les condamnations pour une infraction terroriste ou pour toute autre infraction pénale mentionnée dans la liste figurant dans l’annexe du règlement (UE) 2018/1240; iv) rapport sur la présence de données alphanumériques; v) rapport sur l’exactitude de la date de naissance; vi) nombre de fichiers dont l’inclusion n’a pas été acceptée; vii) nombre de données dactyloscopiques dont l’inclusion n’a pas été acceptée en application de l’article 4, paragraphe 7, de la présente décision; c) en ce qui concerne les indicateurs d’efficacité de la mise en correspondance: i) nombre de fichiers obtenus lors d’une recherche exacte relative aux États membres de condamnation; ii) nombre de fichiers obtenus lors d’une recherche inexacte relative aux États membres de condamnation; iii) nombre de recherches exactes effectuées à l’aide de données alphanumériques et/ou d’empreintes digitales; iv) nombre de recherches inexactes effectuées à l’aide de données alphanumériques et/ou d’empreintes digitales; v) nombre de résultats de recherche exacts, sur la base des demandes ECRIS ultérieures; vi) nombre de résultats de recherche inexacts, sur la base des demandes ECRIS ultérieures; d) autres indicateurs: i) autorité compétente qui a effectué la recherche; ii) objet des recherches conformément à l’article 7 du règlement (UE) 2019/816, spécifié par autorité compétente ayant effectué la recherche.

3 Le cas échéant, les statistiques visées au paragraphe 2 sont produites séparément pour chaque autorité compétente.

4 Les statistiques visées au paragraphe 1 comprennent notamment les statistiques techniques suivantes, en ce qui concerne les indicateurs de qualité de service: a) rapport succès/échec des demandes; b) disponibilité du système; c) statistiques relatives au temps de réponse pour chaque cas d’utilisation pris en charge par le système.

5 Les statistiques visées aux paragraphes 1 à 4 sont produites quotidiennement.

6 Les États membres qui utilisent leur logiciel d’application national de l’ECRIS, conformément aux dispositions de l’article 4, paragraphes 4 à 7, du règlement (UE) 2019/816, veillent à ce que leur logiciel d’application national de l’ECRIS permette de produire les mêmes statistiques que l’application de référence de l’ECRIS.

1 Les exigences de performance du système central de l’ECRIS-TCN en ce qui concerne la création, la modification, l’élimination et la consultation de fichiers de données ainsi que pour les recherches relatives à un État membre de condamnation sont énoncées à la section III de l’annexe.

2 L’eu-LISA assure, de manière centralisée, le suivi des performances en matière de précision des données dactyloscopiques dans l’ECRIS-TCN en ce qui concerne les données introduites par les États membres dans l’ECRIS-TCN, sur la base d’un échantillon représentatif de cas.

3 Le suivi visé au paragraphe 2 est effectué à intervalles réguliers, et au moins une fois par mois. L’eu-LISA transmet les rapports dudit suivi aux États membres.

4 Le processus de mesure de la performance en matière de précision des données dactyloscopiques est aussi automatisé que possible et ne permet pas l’identification individuelle. Ce processus est déterminé après réalisation des essais pertinents visés à l’article 11, paragraphe 1, du règlement (UE) 2019/816 au cours de la phase de mise en œuvre.

5 L’indicateur de précision «Taux d’échec à l’enregistrement», concernant la proportion d’enregistrements de qualité insuffisante, est appliqué dans le processus de suivi de la précision des données dactyloscopiques. L’objectif de précision pour cet indicateur est déterminé après la réalisation des essais pertinents visés à l’article 11, paragraphe 1, du règlement (UE) 2019/816 au cours de la phase de mise en œuvre.

1 Le système central de l’ECRIS-TCN présente un taux de disponibilité d’au moins 97,6 %, calculé sur un an. Les opérations de maintenance programmées ont lieu en dehors des heures de bureau de l’eu-LISA et des autorités centrales.

2 Les opérations de l’ECRIS-TCN sont maintenues en cas d’événement perturbateur ou de situation défavorable conformément aux valeurs du délai maximal admissible d’indisponibilité approuvées par l’eu-LISA et les États membres à la suite d’un processus d’analyse des incidences sur les activités mené sur une base annuelle.

3 L’eu-LISA veille à ce que les données figurant dans l’ECRIS-TCN puissent être récupérées en cas d’événement perturbateur ou de situation défavorable, dans le respect des valeurs du délai maximal admissible d’indisponibilité approuvées par l’eu-LISA et les États membres, comme il est précisé dans un processus d’analyse des incidences sur les activités mené sur une base annuelle.

1 L’infrastructure de communication visée à l’article 4, paragraphe 1, point d), est le réseau EuroDomain de services télématiques transeuropéens entre administrations (TESTA), composé du point d’accès EuroDomain TESTA (TAP) et du réseau de base européen TESTA. Tout développement ultérieur de ces infrastructures ou tout autre réseau sécurisé garantit que l’infrastructure de communication en place continue de satisfaire aux exigences de sécurité nécessaires fixées conformément aux principes contenus dans la conception de l’architecture matérielle de l’ECRIS-TCN visée à l’article 11, paragraphe 3, du règlement (UE) 2019/816, ainsi que dans le règlement ECRIS-TCN même.

2 Conformément au paragraphe 1 du présent article, à l’article 3, paragraphe 15, et à l’article 4, paragraphe 1, point d), du règlement ECRIS-TCN, tant que l’infrastructure de communication de l’ECRIS-TCN est le réseau EuroDomain TESTA, le point d’accès central national pour l’ECRIS-TCN s’entend comme le point d’accès EuroDomain TESTA.

Les spécifications techniques du logiciel d’interface sont établies conformément aux principes contenus dans la conception de l’architecture matérielle de l’ECRIS-TCN visée à l’article 11, paragraphe 3, du règlement (UE) 2019/816.

L’eu-LISA, en consultation avec le groupe consultatif sur l’ECRIS-TCN, est responsable de l’élaboration des spécifications techniques détaillées de l’ECRIS-TCN visées à l’article 1er, à l’article 2, paragraphe 3, à l’article 4, paragraphe 5, point g), à l’article 5, paragraphes 3 et 4, à l’article 8, paragraphes 4 et 5, et à l’article 11 conformément aux exigences énoncées dans la présente décision.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.