Projet O1

L 135/58 FR Journal officiel de l'Union européenne 22.5.2019

CHAPITRE VII

Protection des données

Article 40

Responsable du traitement des données

1. En ce qui concerne le traitement des données dans le BMS partagé, les autorités des États membres qui sont responsables du traitement pour l'EES, le VIS et le SIS, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 en ce qui concerne les modèles biométriques obtenus à partir des données visées à l'article 13 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement des modèles biométriques dans le BMS partagé.

2. En ce qui concerne le traitement des données dans le CIR, les autorités des États membres qui sont responsables du traitement pour l'EES, le VIS et ETIAS, respectivement, sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 en ce qui concerne les données visées à l'article 18 du présent règlement qu'elles introduisent dans les systèmes sous-jacents et sont chargées du traitement de ces données à caractère personnel dans le CIR.

3. En ce qui concerne le traitement des données dans le MID:

a) l'Agence européenne de garde-frontières et de garde-côtes est le responsable du traitement au sens de l'article 3,

point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel par l'unité centrale ETIAS.

b) les autorités des États membres qui ajoutent des données dans le dossier de confirmation d'identité ou en modifient

les données sont les responsables du traitement au sens de l'article 4, point 7), du règlement (UE) 2016/679 ou de l'article 3, point 8), de la directive (UE) 2016/680 et sont chargées du traitement des données à caractère personnel dans le MID.

4. Aux fins du contrôle de la protection des données, y compris la vérification de l'admissibilité d'une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres visés aux articles 10, 16, 24 et 36 en vue de l'autocontrôle visé à l'article 44.

Article 41

Sous-traitant

En ce qui concerne le traitement des données à caractère personnel dans le BMS partagé, le CIR et le MID, l'eu-LISA est le sous-traitant au sens de l'article 3, point 12) a), du règlement (UE) 2018/1725.

Article 42

Sécurité du traitement

1. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres veillent à la sécurité des opérations de traitement de données à caractère personnel effectuées en vertu du présent règlement. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres coopèrent pour l'exécution des tâches liées à la sécurité.

2. Sans préjudice de l'article 33 du règlement (UE) 2018/1725, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité des éléments d'interopérabilité et de leurs infrastructures de communication qui y sont liées.

3. En particulier, l'eu-LISA adopte les mesures nécessaires, y compris un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin:

a) d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des

infrastructures critiques;

b) d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement

de données;

c) d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données;

d) d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de

données à caractère personnel enregistrées;

e) d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non

autorisés de données;

f) d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au

moyen de matériel de transmission de données;