Reglamento de Ejecución (UE) 2023/2117 de la Comisión, de 12 de octubre de 2023, por el que se establecen las normas necesarias y requisitos detallados para el funcionamiento y la administración de un repositorio de información de conformidad con el Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo

El presente Reglamento establece las normas y los procedimientos para el funcionamiento y la administración de un repositorio de la información necesaria para garantizar una cooperación eficaz entre la Agencia y las autoridades nacionales competentes en el ejercicio de sus tareas de certificación, supervisión y ejecución en virtud del Reglamento (UE) 2018/1139.

1 A efectos del presente Reglamento, serán aplicables las definiciones de los Reglamentos (UE) 2018/1139, (UE) 2016/679, (UE) 2018/1725, y de los Reglamentos de Ejecución (UE) 2019/947 y (UE) 2021/664 de la Comisión .

2 Asimismo, se entenderá por: a) «usuarios autorizados», la Comisión, la Agencia, las autoridades nacionales competentes y cualquier autoridad competente de los Estados miembros encargada de la investigación de los accidentes e incidentes de la aviación civil, tal como se establece en el artículo 74, apartado 6, primera frase, del Reglamento (UE) 2018/1139; b) «interfaz», el punto en el que sistemas independientes y a menudo no relacionados se conectan e interactúan o se comunican entre sí; c) «personal autorizado», el personal de los usuarios autorizados que ha recibido acceso al repositorio; d) «categoría de objeto de información», el tipo de información incluida en el ámbito de aplicación del artículo 74, apartado 1, del Reglamento (UE) 2018/1139 a la que deben tener acceso los usuarios autorizados y que deben poder intercambiar; e) «objeto de información», información intercambiada individualmente que siempre corresponderá a la categoría de objeto de información y será compatible con su formato de información; f) «formato de información», estructura predefinida de la categoría de objeto de información consistente en un esquema de campos correspondientes a tipos detallados de contenido dentro de cada categoría de objeto de información y vocabularios compuestos por conjuntos limitados de valores admisibles asociados a cada campo; g) «parte interesada», las autoridades públicas de las instituciones, agencias y organismos de la Unión Europea, las autoridades públicas de los Estados miembros, las personas físicas y jurídicas sujetas a un objeto de información definido en el anexo I del presente Reglamento y los organismos cualificados con arreglo al artículo 69 del Reglamento (UE) 2018/1139.

1 El repositorio estará compuesto por interfaces de almacenamiento, intercambio y acceso de los usuarios.

2 La interfaz de almacenamiento a la que se refiere el apartado 1 constará de: a) una base de datos central que contendrá la información contemplada en el artículo 74, apartado 1, del Reglamento (UE) 2018/1139, en la que se recogerá tanto información existente como nueva, y b) un historial de los cambios en la información, indicando su estado, a saber, actual o archivado.

3 La interfaz de intercambio contemplada en el apartado 1 consistirá en: a) una infraestructura de comunicación que proporcione interfaces de programación de aplicaciones (API) seguras para la emisión, el cambio, la consulta o lectura y el archivo de información entre los sistemas de los usuarios autorizados y el repositorio, y b) normas de verificación de la calidad de la información que garanticen la coherencia, integridad y exactitud de la información almacenada.

4 La interfaz de acceso de los usuarios mencionada en el apartado 1 proporcionará acceso en línea y seguro para consulta y lectura de la información almacenada. La interfaz de acceso de los usuarios únicamente estará disponible para el personal autorizado.

5 La Agencia elaborará la documentación necesaria para apoyar la integración de los usuarios autorizados en el repositorio. Esta documentación constará de: a) normas sobre las API y mecanismos de intercambio; b) la información sobre seguridad, redes y configuración de las aplicaciones necesaria para comunicarse con el repositorio; c) normas que especifiquen la estructura y el contenido válidos de la información intercambiada con el repositorio.

6 La Agencia establecerá también un entorno de pruebas en el que los usuarios autorizados puedan probar la funcionalidad y el rendimiento de la interfaz de intercambio entre sus sistemas y el repositorio.

1 La Agencia será responsable de la gestión operativa del repositorio y almacenará en él la información de forma segura.

2 Los usuarios autorizados transmitirán e intercambiarán la información a través del repositorio mediante las interfaces y garantizarán una conexión en línea segura entre sus sistemas y el repositorio.

3 Antes de tomar cualquier decisión relativa a la gestión operativa del repositorio o de ponerlo a disposición del público, la Agencia consultará a la Comisión y a las autoridades nacionales competentes.

4 El personal autorizado de los médicos examinadores aéreos y los centros de medicina aeronáutica nacionales transmitirá e intercambiará la información contenida en el repositorio a través de sus autoridades nacionales competentes con arreglo al artículo 10, apartado 4, del presente Reglamento.

1 La Agencia se encargará del mantenimiento del repositorio y garantizará su correcto funcionamiento en términos de privacidad, confidencialidad, integridad y disponibilidad.

2 La Agencia hará sistemáticamente copias de seguridad del repositorio y sus datos.

1 Los usuarios autorizados transmitirán, actualizarán periódicamente e intercambiarán información a través del repositorio sobre la base de formatos de información decididos de común acuerdo y propuestos por la Agencia.

2 Los formatos de información se normalizarán por categorías de información. Los usuarios autorizados solo transmitirán objetos de información al repositorio en el formato de información específico de esa categoría de objetos de información.

3 La lista de las categorías de objetos de información figura en el anexo I.

1 La Agencia, en cooperación con la Comisión y las autoridades nacionales competentes, clasificará las categorías de objetos de información con arreglo a las siguientes marcas: a) privacidad: datos no personales, datos personales no sensibles o datos personales sensibles; b) confidencialidad: incidencia nula, limitada, significativa, catastrófica; c) integridad: incidencia nula, limitada, significativa, catastrófica; d) disponibilidad: incidencia nula, limitada, significativa, catastrófica.

2 Las definiciones detalladas de las marcas contempladas en el apartado 1 figuran en el anexo II.

3 La Agencia, en cooperación con la Comisión y las autoridades nacionales competentes, reevaluará, siempre que lo considere necesario, la clasificación de la información para asegurarse de que sigue siendo adecuada atendiendo a los cambios en el uso de la información.

1 A petición de una parte interesada, la Agencia podrá proporcionarle la información contenida en el repositorio, a reserva de las condiciones específicas de utilización establecidas en el presente artículo.

2 La solicitud de comunicación de la información contenida en el repositorio se presentará según la forma y modalidad establecidas por la Agencia.

3 Al recibir una solicitud, la Agencia verificará que: a) la solicitud ha sido presentada por una parte interesada y b) la parte interesada demuestra que la información solicitada es estrictamente necesaria para sus operaciones.

4 La Agencia evaluará si la solicitud está justificada y, si se cumplen las condiciones que se establecen en el apartado 5, proporcionará la información solicitada a la parte interesada.

5 La Agencia únicamente proporcionará la información solicitada a la parte interesada si se cumplen las siguientes condiciones: a) la parte interesada no recibe acceso a todo el contenido del repositorio; b) la información es estrictamente necesaria para las operaciones de la parte interesada; c) no se comunican datos personales, salvo si se trata de datos relativos a la propia parte interesada o si tal comunicación es estrictamente necesaria para realizar las operaciones de la parte interesada.

6 La Agencia pondrá a disposición de los usuarios autorizados una lista actualizada de las solicitudes recibidas y de la respuesta de la Agencia.

7 La parte interesada: a) utilizará la información únicamente para los fines especificados en el formulario de solicitud; b) no divulgará la información recibida sin la autorización de los usuarios autorizados; c) adoptará las medidas necesarias para garantizar la confidencialidad de la información recibida.

1 La Agencia garantizará que quede constancia en acta de todas las operaciones de tratamiento de datos. Las actas proporcionarán la siguiente información: a) finalidad de la solicitud de acceso al repositorio; b) identidad del usuario autorizado que obtiene los datos; c) fecha y hora exacta de las operaciones de tratamiento de datos; d) identidad del personal autorizado que realiza la búsqueda.

2 La Agencia utilizará las actas de las operaciones de tratamiento de datos únicamente para controlar la legalidad del acceso a la información y para garantizar la integridad y la seguridad de los datos. Las actas contendrán los datos que sean estrictamente necesarios para ese propósito, en cumplimiento del principio de minimización de datos establecido en el artículo 89 del Reglamento (UE) 2016/679 y en el artículo 13 del Reglamento (UE) 2018/1725. Las actas se borrarán una vez finalizado el procedimiento de control o, a más tardar, al cabo de un año.

3 Previa solicitud, se concederá a la Comisión y a las autoridades nacionales competentes acceso a las actas con el fin de evaluar la legalidad del acceso a la información, controlar la legalidad de las operaciones de tratamiento de datos y garantizar la integridad y seguridad de los datos.

1 Los usuarios autorizados garantizarán que únicamente tenga acceso al repositorio el personal autorizado.

2 Los usuarios autorizados garantizarán que su personal reciba acceso a la información con arreglo a las marcas de privacidad y confidencialidad de las categorías de objetos de información contempladas en el artículo 7.

3 Los usuarios autorizados establecerán y mantendrán: a) una lista del personal autorizado; b) los procedimientos relativos al acceso al repositorio, que deben cumplir los requisitos legales aplicables al acceso a información y su tratamiento establecidos en el Derecho de la Unión y nacional; los usuarios documentarán las condiciones para que el personal autorizado acceda al repositorio.

4 Los médicos examinadores aéreos y los centros de medicina aeronáutica nacionales garantizarán que únicamente tenga acceso al repositorio el personal autorizado por su autoridad nacional competente.

1 La Agencia protegerá la infraestructura del repositorio y su información, y elaborará: a) un plan de gestión de la seguridad; b) un plan de continuidad de las actividades; c) un plan de recuperación en caso de catástrofe.

2 La Agencia impedirá, en particular mediante técnicas adecuadas de cifrado, el tratamiento no autorizado de información y la lectura, copia, modificación, retirada o supresión no autorizadas de información contenida en el repositorio, también durante su comunicación al repositorio o a partir de este y durante su transmisión.

3 La Agencia garantizará que las personas autorizadas a acceder al repositorio tengan acceso únicamente a la información contemplada por su autorización de acceso, y exclusivamente mediante identidades de usuario individuales y modos de acceso confidenciales.

4 Los usuarios autorizados gestionarán la seguridad de su información antes y durante la transmisión al repositorio y protegerán sus infraestructuras garantizando: a) el establecimiento de interfaces entre sus sistemas y el repositorio; b) el funcionamiento y mantenimiento de las interfaces; c) una formación adecuada en seguridad de la información, legislación sobre protección de datos aplicable y derechos fundamentales para el personal autorizado antes de que se permita a este tratar la información almacenada en el repositorio.

5 Los usuarios autorizados cooperarán para garantizar la gestión de la seguridad del repositorio.

1 Los datos personales almacenados en el repositorio únicamente se tratarán para garantizar la cooperación entre los usuarios autorizados que sea necesaria para el ejercicio de sus tareas de certificación, supervisión y ejecución. El tratamiento se limitará a la medida necesaria para el desempeño de sus tareas y a lo que sea estrictamente imprescindible y proporcionado a los objetivos perseguidos.

2 El acceso a los datos personales y el tratamiento de estos se llevará a cabo con arreglo a las especificaciones técnicas del repositorio.

3 Las obligaciones de protección de datos desde el diseño y por defecto se tendrán en cuenta tanto al determinar los medios de tratamiento como en el momento del propio tratamiento.

4 La Agencia hará revisiones periódicas para garantizar la eficacia de todas las salvaguardias aplicadas en materia de protección de datos.

1 Los corresponsables del tratamiento de los datos personales almacenados en el repositorio serán los usuarios autorizados.

2 Cada uno de los corresponsables del tratamiento será responsable del cumplimiento de los criterios de clasificación de la información para todos los objetos de información tratados en el repositorio.

1 La Agencia será responsable de lo siguiente: a) creación, funcionamiento y administración del repositorio; b) gestión continua del repositorio, en particular de los derechos de acceso y la seguridad y confidencialidad de los datos personales tratados en el repositorio con arreglo a los artículos 4, 5, 9 y 12; c) comunicar cualquier violación de la seguridad de los datos personales del repositorio a los usuarios autorizados, al Supervisor Europeo de Protección de Datos y, cuando sea necesario, a los interesados, de conformidad con el artículo 34 del Reglamento (UE) 2018/1725; d) definir y aplicar los medios técnicos que permitan a los interesados ejercer sus derechos de conformidad con el Reglamento (UE) 2018/1725.

2 Las autoridades nacionales competentes y la Comisión serán responsables de lo siguiente: a) tratar los datos personales del repositorio con las interfaces de almacenamiento, intercambio y acceso de los usuarios contempladas en el artículo 3 y conforme a los requisitos de seguridad definidos en el artículo 12, apartado 4; b) garantizar la seguridad de cualquier tratamiento de datos personales fuera del repositorio cuando tales datos se traten para los fines del repositorio o en relación con el tratamiento mediante este; c) designar al personal autorizado al que se concederá acceso al repositorio de conformidad con el artículo 11, y comunicarlo a la Agencia; d) actuar como punto de contacto para los interesados bajo su competencia como responsables únicos, incluso cuando ejerzan sus derechos, utilizando si es necesario los medios técnicos proporcionados por la Agencia con arreglo al punto 1, letra d), o a través de los canales de comunicación señalados en el punto 3; e) notificar a la Agencia cualquier incidente de seguridad, incluidas las violaciones de la seguridad de los datos personales, que pueda comprometer la seguridad, la confidencialidad, la disponibilidad o la integridad de los datos personales transmitidos o almacenados en el repositorio; f) notificar cualquier violación de la seguridad de los datos personales tratados en el repositorio a las respectivas autoridades de control competentes y, cuando sea necesario, a los interesados, de conformidad con los artículos 33 y 34 del Reglamento (UE) 2016/679 y el artículo 34 del Reglamento (UE) 2018/1725, según proceda.

3 Cada corresponsable del tratamiento designará: a) un punto de contacto con un buzón funcional para la comunicación entre ellos; b) un punto de contacto para apoyar a los interesados en el ejercicio de sus derechos de conformidad con la legislación sobre protección de datos aplicable.

4 Cuando un corresponsable del tratamiento reciba una solicitud de un interesado que no esté bajo su competencia, remitirá la solicitud con prontitud al corresponsable competente. Si así se solicita, los corresponsables del tratamiento se asistirán mutuamente en la tramitación de las solicitudes de los interesados y se responderán sin demora indebida y, a más tardar, en los quince días siguientes al recibo de la solicitud de ayuda.

5 Si un responsable del tratamiento, para cumplir las obligaciones que le imponen los artículos 33 y 34 del Reglamento (UE) 2016/679 o el artículo 34 del Reglamento (UE) 2018/1725, necesita información de otro responsable del tratamiento, enviará una solicitud específica al buzón funcional contemplado en el apartado 3, letra a). Este último responsable hará lo posible por proporcionar esa información.

1 Los responsables del tratamiento únicamente podrán restringir el ejercicio de los derechos de los interesados en la medida y durante el tiempo estrictamente necesarios para salvaguardar la seguridad operacional de la aviación civil. El ejercicio de los derechos de los interesados solo podrá restringirse en las siguientes situaciones: a) investigaciones, inspecciones o actividades de supervisión en curso, con arreglo al artículo 75, apartado 2, letra e), del Reglamento (UE) 2018/1139, realizadas por la Agencia en el marco de sus responsabilidades o por las autoridades competentes en virtud del Derecho nacional o de la Unión; b) procedimientos en curso ante el Tribunal de Justicia de la Unión Europea o cualquier otro órgano jurisdiccional competente con arreglo al Derecho nacional o internacional.

2 Cuando la Comisión y la Agencia sean los responsables del tratamiento, también podrán restringir el ejercicio de los derechos de los interesados únicamente en la medida y durante el tiempo estrictamente necesarios para salvaguardar la seguridad operacional de la aviación civil, en caso de investigaciones de seguridad informática en curso que tengan una incidencia directa o indirecta en el funcionamiento del repositorio.

3 Todas las restricciones estarán sujetas a una evaluación de su necesidad y proporcionalidad y estarán limitadas en su alcance y duración.

4 Se informará de los motivos y el alcance de la restricción a los interesados cuyos derechos se restrinjan.

1 Los usuarios autorizados: a) almacenarán datos personales en el repositorio durante un período máximo de diez años a partir de la fecha de expiración del documento, o de la fecha en que deje de ser válido, incluidos los documentos necesarios para los procedimientos contemplados en el Reglamento (UE) 2018/1139, a menos que la legislación nacional exija un período diferente; b) suprimirán los datos personales del repositorio tan pronto como expire el período de conservación.

2 El repositorio dispondrá de los medios técnicos necesarios para: a) la eliminación automatizada de datos personales al expirar el período de conservación; b) la seudonimización automatizada, u otras soluciones técnicas de efecto equivalente, de los datos personales almacenados con fines de archivo.

1 Una vez transcurrido el período de almacenamiento, la Agencia podrá conservar los datos personales procedentes del repositorio en un registro separado con fines de archivo e investigación histórica.

2 Tales datos personales se limitarán a lo estrictamente necesario para los fines de archivo e investigación en interés de la seguridad operacional de la aviación y se ajustarán al principio de minimización de datos establecido en el artículo 89 del Reglamento (UE) 2016/679 y en el artículo 13 del Reglamento (UE) 2018/1725.

3 La Agencia elaborará un protocolo de acceso al registro. Los artículos 4, 5 y 9 a 12 se aplicarán a este registro.

1 El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2 Los capítulos I y II serán aplicables a partir del 1 de abril de 2025.

3 Los requisitos relativos a los objetos de información emitidos después de la entrada en vigor del presente Reglamento serán aplicables: a) a partir del 1 de enero de 2027 para la categoría grupal A del anexo I; b) a partir del 1 de enero de 2028 para la categoría grupal B del anexo I; c) a partir del 1 de enero de 2029 para la categoría grupal C del anexo I.

4 Los requisitos relativos a los objetos de información que sean válidos y hayan sido emitidos antes de la entrada en vigor del presente Reglamento que figuran en el anexo I serán aplicables a partir del 1 de enero de 2029.