Projet O1

22.5.2019 FR Journal officiel de l'Union européenne L 135/37

(72) Il convient également de conférer des compétences d'exécution à la Commission relatives à l'adoption de règles

détaillées concernant: les détails techniques des profils des utilisateurs de l'ESP; les spécifications de la solution technique permettant l'interrogation des systèmes d'information de l'UE, des données d'Europol et des bases de données d'Interpol par l'intermédiaire de l'ESP et le format des réponses de l'ESP; les règles techniques permettant de créer des liens dans le MID entre les données de différents systèmes d'information de l'UE; le contenu et la présentation du formulaire à utiliser pour informer la personne concernée lorsqu'un lien rouge est créé; les exigences relatives aux performances du BMS partagé et le suivi de ces performances; les mécanismes, procédures et indicateurs automatisés de contrôle de la qualité des données; le développement de la norme UMF; la procédure de coopération à utiliser en cas d'incident de sécurité; et les spécifications de la solution technique permettant aux États membres de gérer les demandes d'accès des utilisateurs. Ces compétences devraient être exercées en conformité avec le règlement (UE) n^o 182/2011 du Parlement européen et du Conseil (²²).

(73) Étant donné que les éléments d'interopérabilité impliqueront le traitement de quantités importantes de données à

caractère personnel sensibles, il importe que les personnes dont les données sont traitées au moyen de ces éléments puissent exercer effectivement leurs droits en tant que personnes concernées, comme l'exigent le règlement (UE) 2016/679, la directive (UE) 2016/680 et le règlement (UE) 2018/1725. Il convient de mettre à disposition des personnes concernées un portail en ligne qui facilite l'exercice par celles-ci de leurs droits d'accès à leurs données à caractère personnel et de leurs droits de rectification, d'effacement et de limitation du traitement de ces données. La mise en place et la gestion dudit portail devraient incomber à l'eu-LISA.

(74) L'un des principes fondamentaux de la protection des données est la minimisation des données: en vertu de

l'article 5, paragraphe 1, point c), du règlement (UE) 2016/679, le traitement des données à caractère personnel doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour cette raison, les éléments d'interopérabilité ne devraient pas prévoir le stockage de quelque nouvelle donnée à caractère personnel que ce soit, à l'exception des liens qui seront stockés dans le MID et qui représentent le minimum nécessaire aux fins du présent règlement.

(75) Le présent règlement devrait prévoir des dispositions claires concernant la responsabilité et le droit à réparation

en cas de traitement illicite de données à caractère personnel ou en cas de tout autre acte incompatible avec le présent règlement. De telles dispositions devraient s'entendre sans préjudice du droit à réparation de la part du responsable du traitement ou du sous-traitant et de la responsabilité de ceux-ci au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725. L'eu-LISA devrait être tenue pour responsable de tout dommage qu'elle cause en sa qualité de sous-traitant des données dans les cas où elle n'a pas respecté les obligations qui lui incombent spécifiquement en vertu du présent règlement, ou lorsqu'elle a agi en dehors des instructions licites de l'État membre responsable du traitement des données ou contrairement à ces instructions.

(76) Le présent règlement est sans préjudice de l'application de la directive 2004/38/CE du Parlement européen et du

Conseil (²³).

(77) Conformément aux articles 1^er et 2 du protocole n^o 22 sur la position du Danemark annexé au traité sur l'Union

européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application. Le présent règlement développant l'acquis de Schengen, le Danemark décide, conformément à l'article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s'il le transpose dans son droit interne.

(78) Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles le

Royaume-Uni ne participe pas, conformément à la décision 2000/365/CE du Conseil (²⁴); le Royaume-Uni ne participe donc pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

(79) Le présent règlement constitue un développement des dispositions de l'acquis de Schengen auxquelles l'Irlande ne

participe pas, conformément à la décision 2002/192/CE du Conseil (²⁵); l'Irlande ne participe donc pas à l'adoption du présent règlement et n'est pas liée par celui-ci ni soumise à son application.