Projet O2

L 135/92 FR Journal officiel de l'Union européenne 22.5.2019

(52) Un répertoire central des rapports et statistiques (CRRS) devrait être créé afin de générer des données statistiques

intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données conformément aux instruments juridiques applicables. L'eu-LISA devrait établir, mettre en œuvre et héberger le CRRS sur ses sites techniques. Il devrait contenir des données statistiques anonymisées issues des systèmes d'infor mation de l'UE, du CIR, du MID et du BMS partagé. Les données contenues dans le CRRS ne devraient pas permettre d'identifier les personnes. L'eu-LISA devrait rendre les données anonymes de manière automatisée et enregistrer ces données anonymisées dans le CRRS. Le processus d'anonymisation des données devrait être automatisé et le personnel de l'eu-LISA ne devrait pas pouvoir accéder directement aux données à caractère personnel stockées dans les systèmes d'information de l'UE ou dans les éléments d'interopérabilité.

(53) Le règlement (UE) 2016/679 s'applique au traitement des données à caractère personnel effectué à des fins d'inte

ropérabilité dans le cadre du présent règlement par les autorités nationales, à moins que ce traitement ne soit effectué par les autorités désignées ou par les points d'accès centraux des États membres à des fins de prévention ou de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière.

(54) Lorsque le traitement de données à caractère personnel par les États membres à des fins d'interopérabilité dans le

cadre du présent règlement est effectué par les autorités compétentes à des fins de prévention out de détection des infractions terroristes ou d'autres infractions pénales graves, ou d'enquêtes en la matière, la directive (UE) 2016/680 s'applique.

(55) Le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou, le cas échéant, la directive (UE) 2016/680

s'appliquent aux transferts de données à caractère personnel vers des pays tiers ou à des organisations interna tionales effectués dans le cadre du présent règlement. Sans préjudice des motifs de transfert en vertu du chapitre V du règlement (UE) 2016/679 ou, le cas échéant, de la directive (UE) 2016/680, toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne devrait être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international en vigueur entre le pays tiers demandeur et l'Union ou un État membre.

(56) Les dispositions spécifiques en matière de protection des données du règlement (UE) 2018/1862 et du règlement

(UE) 2019/816 (¹¹) du Parlement européen et du Conseil s'appliquent au traitement des données à caractère personnel dans les systèmes régis par ces règlements.

(57) Le règlement (UE) 2018/1725 s'applique au traitement des données à caractère personnel par l'eu-LISA et par

d'autres institutions et organes de l'Union dans l'exercice de leurs missions dans le cadre du présent règlement, sans préjudice du règlement (UE) 2016/794, qui s'applique au traitement des données à caractère personnel par Europol.

(58) Les autorités de contrôle visées dans le règlement (UE) 2016/679 ou la directive (UE) 2016/680 devraient

contrôler la licéité du traitement des données à caractère personnel par les États membres. Le Contrôleur européen de la protection des données devrait contrôler les activités des institutions et organes de l'Union concernant le traitement des données à caractère personnel. Le Contrôleur européen de la protection des données et les autorités de contrôle devraient coopérer en ce qui concerne le contrôle du traitement des données à caractère personnel par les éléments d'interopérabilité. Des ressources suffisantes, y compris humaines et financières, sont nécessaires pour que le Contrôleur européen de la protection des données puisse s'acquitter des tâches qui lui sont confiées en vertu du présent règlement.

(59) Le Contrôleur européen de la protection des données a été consulté conformément à l'article 28, paragraphe 2,

du règlement (CE) n^o 45/2001 du Parlement européen et du Conseil (¹²) et a rendu son avis le 16 avril 2018 (¹³).

(60) Le groupe de travail «article 29» sur la protection des données a émis un avis le 11 avril 2018.

(61) Les États membres et l'eu-LISA devraient disposer de plans de sécurité afin de faciliter la mise en œuvre des

obligations en matière de sécurité, et ils devraient coopérer pour remédier aux problèmes de sécurité. L'eu-LISA devrait également s'assurer de l'utilisation continue des dernières évolutions technologiques afin de garantir l'intégrité des données en ce qui concerne le développement, la conception et la gestion des éléments d'interopéra bilité. Les obligations de l'eu-LISA à cet égard devraient comprendre l'adoption des mesures nécessaires afin d'empêcher l'accès de personnes non autorisées, telles que le personnel des prestataires de services extérieurs, aux