Projet

L 248/60 FR Journal officiel de l’Union européenne 13.7.2021

ii) les points suivants sont insérés:

«j bis) garantir le rétablissement des systèmes installés en cas d’interruption;

j ter) garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement des systèmes soit dûment signalée et à ce que les mesures techniques nécessaires soient mises en place pour que les données à caractère personnel puissent être rétablies en cas de corruption due à un dysfonctionnement des systèmes;»;

b) le paragraphe 3 est remplacé par le texte suivant:

«3. L’eu-LISA prend les mesures nécessaires à la réalisation des objectifs fixés au paragraphe 2 en ce qui concerne le fonctionnement du VIS, y compris l’adoption d’un plan de sécurité.».

37) L’article suivant est inséré:

«Article 32 bis

Incidents de sécurité

1. Tout événement ayant ou pouvant avoir des effets sur la sécurité du VIS et susceptible de causer des dommages aux données du VIS ou d’entraîner des pertes de telles données est considéré comme un incident de sécurité, en particulier lorsque des données peuvent avoir été consultées sans autorisation ou que la disponibilité, l’intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.

2. Les incidents de sécurité sont gérés de telle sorte qu’une réponse rapide, efficace et idoine y soit apportée.

3. Sans préjudice de la notification et de la communication d’une violation de données à caractère personnel conformément à l’article 33 du règlement (UE) 2016/679, à l’article 30 de la directive (UE) 2016/680, ou à ces deux dispositions, les États membres notifient les incidents de sécurité à la Commission, à l’eu-LISA et au Contrôleur européen de la protection des données. En cas d’incident de sécurité concernant le système central du VIS, l’eu-LISA le notifie à la Commission et au Contrôleur européen de la protection des données. Europol et l’Agence européenne de garde-frontières et de garde-côtes notifient à la Commission et au Contrôleur européen de la protection des données tout incident de sécurité lié au VIS.

4. Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement du VIS ou sur la disponibilité, l’intégrité et la confidentialité des données du VIS sont communiquées à la Commission et, s’ils sont concernés, aux États membres, à Europol et à l’Agence européenne de garde-frontières et de garde-côtes. Ces incidents sont également signalés conformément au plan de gestion des incidents qui doit être fourni par l’eu-LISA.

5. Les États membres, l’Agence européenne de garde-frontières et de garde-côtes, l’eu-LISA et Europol coopèrent en cas d’incident de sécurité.

6. La Commission informe sans tarder le Parlement européen et le Conseil des incidents graves et des mesures prises pour y remédier. Ces informations sont classifiées EU RESTRICTED/RESTREINT UE, s’il y a lieu, conformément aux règles de sécurité applicables.».

38) Les article 33 et 34 sont remplacés par le texte suivant:

«Article 33

Responsabilité

1. Sans préjudice de la responsabilité et du droit à réparation de la part du responsable du traitement ou du soustraitant au titre du règlement (UE) 2016/679, de la directive (UE) 2016/680 et du règlement (UE) 2018/1725:

a) toute personne ou tout État membre ayant subi un dommage matériel ou un préjudice moral du fait d’une

opération illicite de traitement de données à caractère personnel ou de tout autre acte incompatible avec le présent règlement de la part d’un État membre a le droit d’obtenir réparation dudit État membre;

b) toute personne ou tout État membre ayant subi un dommage matériel ou un préjudice moral du fait de tout acte

d’une institution, d’un organe et d’un organisme de l’Union incompatible avec le présent règlement a le droit d’obtenir réparation de cette institution, de cet organe ou de cet organisme.

L’État membre ou l’institution, l’organe ou l’organisme de l’Union est exonéré, totalement ou partiellement, de sa responsabilité au titre du premier alinéa s’il prouve que le fait générateur du dommage ne lui est pas imputable.