Projet O2

22.5.2019 FR Journal officiel de l'Union européenne L 135/115

4. Aux fins du contrôle de la protection des données, y compris la vérification de l'admissibilité d'une requête et de la licéité du traitement des données, les responsables du traitement ont accès aux registres visés aux articles 10, 16, 24 et 36 en vue de l'autocontrôle visé à l'article 44.

Article 41

Sous-traitant

En ce qui concerne le traitement des données à caractère personnel dans le BMS partagé, le CIR et le MID, l'eu-LISA est le sous-traitant au sens de l'article 3, point 12) a), du règlement (UE) 2018/1725.

Article 42

Sécurité du traitement

1. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres veillent à la sécurité des opérations de traitement de données à caractère personnel effectuées en vertu du présent règlement. L'eu-LISA, l'unité centrale ETIAS, Europol et les autorités des États membres coopèrent pour l'exécution des tâches liées à la sécurité.

2. Sans préjudice de l'article 33 du règlement (UE) 2018/1725, l'eu-LISA prend les mesures nécessaires pour assurer la sécurité des éléments d'interopérabilité et de leurs infrastructures de communication qui y sont liées.

3. En particulier, l'eu-LISA adopte les mesures nécessaires, y compris un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin:

a) d'assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des

infrastructures critiques;

b) d'interdire à toute personne non autorisée d'accéder aux équipements et aux installations utilisés pour le traitement

de données;

c) d'empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données;

d) d'empêcher l'introduction non autorisée de données et le contrôle, la modification ou l'effacement non autorisés de

données à caractère personnel enregistrées;

e) d'empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non

autorisés de données;

f) d'empêcher l'utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au

moyen de matériel de transmission de données;

g) de garantir que les personnes autorisées à avoir accès aux éléments d'interopérabilité n'ont accès qu'aux données

couvertes par leur autorisation d'accès, uniquement grâce à l'attribution d'identifiants individuels et à des modes d'accès confidentiels;

h) de garantir la possibilité de vérifier et d'établir à quels organismes les données à caractère personnel peuvent être

transmises au moyen de matériel de transmission de données;

i) de garantir la possibilité de vérifier et d'établir quelles données ont été traitées dans les éléments d'interopérabilité, à

quel moment, par qui et dans quel but;

j) d'empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel

pendant leur transmission à partir des éléments d'interopérabilité ou vers ceux-ci, ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées;

k) de garantir le rétablissement des systèmes installés en cas d'interruption;

l) de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des éléments d'interopéra

bilité soit dûment signalée;

m) de contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisation

nelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d'évaluer ces mesures de sécurité à la lumière des nouvelles avancées technologiques.

4. Les États membres, Europol et l'unité centrale ETIAS prennent des mesures équivalentes à celles visées au paragraphe 3 en ce qui concerne la sécurité du traitement des données à caractère personnel par les autorités ayant un droit d'accès à l'un des éléments d'interopérabilité.