Rapport explicatif

sécurité du traitement des données d'autre part (art. 42). L'eu-LISA remplit une fonction importante dans ce domaine, puisque cette agence est responsable de la sécurité des éléments centraux et de l'infrastructure de communication et qu'elle doit par exemple garantir le rétablissement en cas d'interruption. Les États Schengen sont tenus de prendre des mesures pour vérifier que les règlements sur l'interopérabilité sont bien respectés (art. 44). L'art. 45 oblige quant à lui les États Schengen à sanctionner l'utilisation abusive de données et le traitement ou l'échange d'informations illicite. Les sanctions prévues doivent être effectives, proportionnées et dissuasives. L'art. 46 règle la question de la responsabilité en cas de dommage. En principe, toute personne ayant subi un dommage du fait d'une opération illicite de traitement de données ou de tout autre acte incompatible avec le règlement a le droit d'obtenir réparation. Le service concerné est exonéré de sa responsabilité s'il est prouvé que le fait générateur du dommage ne lui est pas imputable. Si le non-respect, par un État Schengen, des obligations qui lui incombent cause un dommage aux éléments centraux, cet État en est tenu responsable dans la mesure où l'eu-LISA ou un autre État Schengen n'a pas pris de mesures raisonnables pour prévenir le dommage ou en atténuer les effets.

Le droit à l'information concernant des données enregistrées dans le sBMS, le CIR ou le MID est réglé à l'art. 47. Si des données à caractère personnel sont saisies pour être stockées dans le sBMS, le CIR ou le MID, la personne concernée doit en être informée en des termes clairs et simples, dans une langue qu'elle comprend. L'art. 48 règle le droit d'accès aux données stockées dans le MID et le droit de rectification et d'effacement de ces dernières. Si une personne demande à savoir si des données personnelles sont traitées à son sujet ou qu'elle veut demander la rectification ou l'effacement de données ou limiter leur traitement, elle peut s'adresser à l'autorité compétente de n'importe quel État Schengen, qui examinera sa demande et y répondra. Si une demande de rectification ou d'effacement de données à caractère personnel est adressée à un État qui n'est pas compétent en matière de vérification manuelle de différentes identités, ce dernier prend contact avec l'État Schengen compétent ou avec l'unité centrale ETIAS, si cette dernière est chargée de la vérification. Cette vérification doit en général avoir lieu dans les 45 jours suivant la réception de la demande. Une prolongation est cependant possible. La personne concernée est informée par écrit du résultat de la vérification et de l'éventuelle correction ou de l'éventuel effacement de ses données. Si l'État chargé de l'examen est d'avis que les données n'ont pas été traitées ou enregistrées de manière illicite, il en informe la personne concernée et lui indique également des modalités de plainte ou de recours. L'ensemble du processus doit être consigné par écrit. Un nouveau portail en ligne doit permettre aux personnes concernées de faire valoir plus facilement leur droit d'accès aux données à caractère personnel et leur droit de rectification, d'effacement ou de limitation du traitement de ces dernières et d'entrer en contact avec les autorités compétentes (art. 49). Le numéro d'identification unique au sens de l'art. 34c permet notamment de connaître l'autorité compétente de l'État Schengen concerné. Le portail en ligne contient également un modèle de courriel destiné à faciliter la communication et à obtenir des informations sur les droits et les procédures.

Les données à caractère personnel stockées dans les éléments centraux, traitées ou accessibles par ces éléments, ne peuvent en principe pas être transférées vers un pays tiers, une organisation internationale, une entité privée ou une personne phy-