Decizia delegată (UE) 2019/971 a Comisiei din 26 februarie 2019 privind definirea cerințelor aplicabile serviciului de cont securizat în temeiul articolului 6 alineatul (4) din Regulamentul (UE) 2018/1240 al Parlamentului European și al Consiliului, care le permite solicitanților să furnizeze orice informații sau documente suplimentare necesare (Text cu relevanță pentru SEE.)

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1240 al Parlamentului European și al Consiliului din 12 septembrie 2018 de instituire a Sistemului european de informații și de autorizare privind călătoriile (ETIAS) și de modificare a Regulamentelor (UE) nr. 1077/2011, (UE) nr. 515/2014, (UE) 2016/399, (UE) 2016/1624 și (UE) 2017/2226, în special articolul 6 alineatul (4),

Regulamentul (UE) 2018/1240 a instituit Sistemul european de informații și de autorizare privind călătoriile (ETIAS) ca un sistem destinat resortisanților țărilor terțe exonerați de obligația de a deține viză la trecerea frontierelor externe. Acesta a stabilit condițiile și procedurile pentru eliberarea sau refuzarea autorizațiilor de călătorie.

Unitățile naționale ale ETIAS care prelucrează manual cererile ETIAS pot să le ceară solicitanților să furnizeze documente sau informații suplimentare. Prezenta decizie ar trebui să prevadă condițiile referitoare la modul în care solicitanții pot să furnizeze acele documente sau informații suplimentare utilizând un instrument specific.

Serviciul de cont securizat ar trebui să fie accesibil prin intermediul site-ului web public specializat și al aplicației pentru dispozitive mobile, precum și prin intermediul unui link securizat.

Serviciul de cont securizat ar trebui să permită confirmarea identității solicitantului și să asigure un acces securizat la instrument. Prin urmare, este necesar să se stabilească cerințele de autentificare, inclusiv furnizarea unui cod unic solicitantului.

De asemenea, este necesar să se stabilească procedura pentru prezentarea de informații sau documente suplimentare, precum și răspunsurile pe care trebuie să le genereze serviciul de cont securizat.

Solicitanții ar trebui să fie în măsură să transmită informații sau documente suplimentare în orice moment, în termenul alocat conform articolului 27 alineatul (2) sau conform articolului 44 alineatul (3) de la primirea solicitării de informații sau documente suplimentare. Solicitanții ar trebui să fie în măsură să salveze datele introduse și să reia introducerea datelor în sistem de unde au rămas în termenul menționat. La expirarea termenului respectiv, solicitanții ar trebui să nu mai aibă acces la serviciul de cont securizat.

Ar trebui să fie stabilite canalele de comunicare ale serviciului de cont securizat cu sistemul central al ETIAS. În plus, ar trebui să fie stabilite formatul mesajelor, standardele și protocoalele, precum și cerințele în materie de securitate.

În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu a participat la adoptarea Regulamentului (UE) 2017/2226, nu are obligații în temeiul acestuia și nu face obiectul aplicării sale. Cu toate acestea, având în vedere faptul că Regulamentul (UE) 2018/1240 se întemeiază pe acquis-ul Schengen, Danemarca a notificat la data de 21 decembrie 2018, în conformitate cu articolul 4 din protocolul respectiv, decizia sa de a transpune Regulamentul (UE) 2018/1240 în legislația sa națională.

Prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Regatul Unit nu participă, în conformitate cu Decizia 2000/365/CE a Consiliului; prin urmare, Regatul Unit nu participă la adoptarea prezentei decizii, nu are obligații în temeiul acesteia și nu face obiectul aplicării sale.

Prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Irlanda nu participă, în conformitate cu Decizia 2002/192/CE a Consiliului; prin urmare, Irlanda nu participă la adoptarea prezentei decizii, nu are obligații în temeiul acesteia și nu face obiectul aplicării sale.

În ceea ce privește Islanda și Norvegia, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în sensul Acordului încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestora din urmă la implementarea, aplicarea și dezvoltarea acquis-ului Schengen care se încadrează în domeniul menționat la articolul 1 punctul A din Decizia 1999/437/CE a Consiliului.

În ceea ce privește Elveția, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în sensul Acordului încheiat între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, asigurarea respectării și dezvoltarea acquis-ului Schengen care se încadrează în domeniul menționat la articolul 1 punctul A din Decizia 1999/437/CE, citit în coroborare cu articolul 3 din Decizia 2008/146/CE a Consiliului.

În ceea ce privește Principatul Liechtenstein, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în sensul Protocolului încheiat între Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în practică, aplicarea și dezvoltarea acquis-ului Schengen care se încadrează în domeniul menționat la articolul 1 punctul A din Decizia 1999/437/CE, citit în coroborare cu articolul 3 din Decizia 2011/350/UE a Consiliului.

Autoritatea Europeană pentru Protecția Datelor a fost consultată la 28 ianuarie 2019 și a emis un aviz la 8 februarie 2019,

Serviciul de cont securizat este accesibil prin:

site-ul web public specializat menționat la articolul 16 din Regulamentul (UE) 2018/1240;

aplicația pentru dispozitive mobile menționată la articolul 16 din Regulamentul (UE) 2018/1240;

un link furnizat de către serviciul de e-mail al ETIAS menționat la articolul 6 alineatul (2) litera (f) din Regulamentul (UE) 2018/1240.

Serviciul de cont securizat este accesibil până la:

transmiterea finală a informațiilor sau a documentelor suplimentare, confirmată de către persoana care solicită o autorizație de călătorie ETIAS; sau

până la expirarea termenului-limită menționat la articolul 27 alineatul (2) din Regulamentul (UE) 2018/1240; sau

până la expirarea duratei stabilite de unitatea națională a ETIAS în temeiul articolului 44 din Regulamentul (UE) 2018/1240.

Pentru conectarea la serviciul de cont securizat, se utilizează o autentificare cu doi factori.

Prima autentificare constă în introducerea următoarelor date:

numărul cererii;

numărul documentului de călătorie.

În cazul în care solicitantul nu furnizează numărul cererii sale, prima autentificare constă în introducerea următoarelor date:

numărul documentului de călătorie;

țara care a eliberat documentul de călătorie, aceasta fiind selecționată dintr-o listă prestabilită;

data eliberării și data expirării documentului de călătorie, precum și

prenumele ambilor părinți.

Numărul cererii trebuie să fie identic cu cel care le-a fost furnizat solicitanților prin intermediul serviciului de e-mail al ETIAS în momentul în care și-au depus cererea. Celelalte date, menționate la alineatul (2) sau la alineatul (3), introduse de către solicitant trebuie să fie identice cu cele furnizate de către solicitanți în momentul depunerii cererii lor.

Cea de a doua autentificare constă într-un cod unic care trebuie introdus în serviciul de cont securizat pentru a confirma autentificarea.

După furnizarea informațiilor prevăzute la alineatul (2) sau la alineatul (3), codul unic menționat la alineatul (4) este generat automat și îi este transmis solicitantului prin intermediul serviciului de e-mail menționat la articolul 6 alineatul (2) litera (f) din Regulamentul (UE) 2018/1240.

Codul unic este trimis la aceeași adresă de e-mail ca și cea furnizată în cererea care a fost depusă.

Codul unic expiră după o perioadă scurtă de timp. Trimiterea unui nou cod unic anulează codurile unice trimise în prealabil aceluiași solicitant.

Codul unic poate fi utilizat o singură dată.

În sensul articolului 27 din Regulamentul (UE) 2018/1240, persoanele care solicită o autorizație de călătorie ETIAS trebuie să furnizeze informații sau documente suplimentare în unul dintre următoarele formate:

PDF (Portable Document Format);

JPEG (Joint Photographic Experts Group); sau

PNG (Portable Network Graphics).

Serviciul de cont securizat acceptă încărcarea în total a maximum 20 de dosare, care, luate împreună, nu pot depăși 50 MB.

Persoanele care solicită o autorizație de călătorie ETIAS trebuie să aibă posibilitatea de a-și salva datele introduse și de a-și relua activitatea de transmitere de informații sau documente suplimentare în cadrul serviciului de cont securizat în termenul alocat, menționat la articolul 27 alineatul (2) din Regulamentul (UE) 2018/1240, sau în termenul alocat de către unitatea națională a ETIAS, în cazul în care se aplică dispozițiile articolului 44 din regulamentul sus-menționat. Serviciul de cont securizat trebuie să le permită solicitanților să indice în mod clar dacă datele introduse sunt sau nu în formă finală. Serviciul de cont securizat trebuie să le permită solicitanților să verifice dacă documentele sunt încărcate corect înainte de a confirma transmiterea informațiilor sau a documentelor respective.

Solicitanților trebuie să li se permită să șteargă documentele încărcate înainte de transmiterea finală în termenul alocat, menționat la articolul 27 alineatul (2) din Regulamentul (UE) 2018/1240, sau în termenul alocat de către unitatea națională a ETIAS, în cazul în care se aplică dispozițiile articolului 44 din regulamentul susmenționat.

Solicitanților li se va cere să confirme transmiterea informațiilor sau a documentelor respective prin bifarea unei căsuțe prevăzute în acest sens în serviciul de cont securizat.

După transmiterea finală a informațiilor și/sau a documentelor suplimentare:

trebuie să fie pusă la dispoziția solicitanților o versiune care poate fi doar citită a informațiilor și/sau a documentelor suplimentare transmise, însoțită de următoarea mențiune: submitted (transmitere efectuată cu succes);

solicitantul trebuie să primească, prin intermediul serviciului de e-mail al ETIAS, un e-mail prin care să i se confirme transmiterea informațiilor și/sau a documentelor suplimentare, inclusiv numele și formatele documentelor încărcate, marca temporală a transmiterii finale și o valoare alfanumerică de lungime fixă, care identifică în mod unic datele (valorile hash) pentru fișierele transmise.

După transmiterea informațiilor și/sau a documentelor suplimentare, solicitanții nu mai au acces la serviciul de cont securizat.

Serviciul de cont securizat trebuie să dispună de o soluție tehnică integrată care să contribuie la garantarea faptului că fiecare document stocat în dosarul de cerere este identic cu cel care a fost încărcat de solicitant în serviciul de cont securizat.

Ca urmare a unei solicitări din partea unei unități naționale a ETIAS de informații sau documente suplimentare, efectuată în temeiul articolului 27 sau 44 din Regulamentul (UE) 2018/1240, sistemul central al ETIAS informează imediat serviciul de cont securizat cu privire la o astfel de solicitare prin intermediul serviciului web securizat, menționat la articolul 6 alineatul (2) litera (l) din Regulamentul (UE) 2018/1240.

După transmiterea de informații sau documente suplimentare de către solicitant, serviciul de cont securizat:

calculează valorile hash ale fișierelor transmise; și

transmite informațiile sau documentele suplimentare către sistemul central al ETIAS prin intermediul serviciului web securizat.

Serviciul web securizat efectuează procesele de verificare necesare pentru a se asigura că documentele sunt sigure și securizate înainte de a le transmite sistemului central al ETIAS.

Sistemul central al ETIAS înregistrează și stochează informațiile și/sau documentele suplimentare referitoare la dosarul de cerere în conformitate cu articolul 27 alineatul (9) și cu articolul 44 alineatul (3) din Regulamentul (UE) 2018/1240.

Formatul mesajului și protocoalele de pus în aplicare trebuie incluse în specificațiile tehnice menționate la articolul 73 alineatul (3) din Regulamentul (UE) 2018/1240.

Serviciul de cont securizat este conceput și implementat astfel încât să se împiedice accesul neautorizat la acesta. În acest scop, serviciul de cont securizat limitează numărul de tentative de acces cu același document de călătorie, cu același număr de cerere sau cu același cod unic. Serviciul de cont securizat trebuie să includă și măsuri de protecție împotriva unui comportament care nu este al unei ființe umane.

Serviciul de cont securizat trebuie să includă măsuri vizând expirarea sesiunii după câteva minute de inactivitate.

Detaliile suplimentare privind confidențialitatea, integritatea și disponibilitatea datelor prelucrate trebuie să facă obiectul specificațiilor tehnice menționate la articolul 73 alineatul (3) din Regulamentul (UE) 2018/1240.

Serviciul de cont securizat păstrează evidențe ale activităților, care includ următoarele elemente:

datele de autentificare, precizându-se inclusiv dacă autentificarea s-a efectuat cu succes sau nu;

data și ora la care a fost trimis codul unic;

data și locul accesului;

numărul de documente încărcate;

verificarea siguranței și a securității documentelor.

În plus, pentru fiecare document, se păstrează următoarele evidențe:

data și ora la care a fost încărcat documentul/au fost încărcate documentele;

numele documentului (documentelor);

dimensiunea documentului (documentelor);

valorile hash ale documentelor încărcate.

Evidențele activităților și ale documentelor aferente serviciului de cont securizat se copiază în sistemul central. Acestea se păstrează pentru o perioadă de cel mult un an de la încheierea perioadei de păstrare a dosarului de cerere, cu excepția cazului în care sunt necesare pentru desfășurarea unor proceduri de monitorizare inițiate deja. După această perioadă, evidențele sunt șterse automat.

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Bruxelles, 26 februarie 2019.Pentru ComisiePreședinteleJean-Claude Juncker