Kommissionens genomförandeförordning (EU) 2023/2117 av den 12 oktober 2023 om fastställande av nödvändiga bestämmelser och närmare krav för funktionen hos och förvaltningen av en informationsdatabas i enlighet med Europaparlamentets och rådets förordning (EU) 2018/1139

1.   I denna förordning ska definitionerna i förordningarna (EU) 2018/1139, (EU) 2016/679, (EU) 2018/1725 och i kommissionens genomförandeförordningar (EU) 2019/947 (5) och (EU) 2021/664 (6) gälla.

2.   Dessutom gäller följande definitioner:

1.   Databasen ska bestå av gränssnitt för lagring, utbyte och användaråtkomst.

2.   Det gränssnitt för lagring som avses i punkt 1 ska bestå av

3.   Det gränssnitt för utbyte som avses i punkt 1 ska bestå av

4.   Det gränssnitt för användaråtkomst som avses i punkt 1 ska möjliggöra en nätbaserad och säker sök- och läsåtkomst till den lagrade informationen. Gränssnittet för användaråtkomst ska endast vara tillgängligt för behörig personal.

5.   Byrån ska utarbeta nödvändig dokumentation till stöd för de behöriga användarnas integration med databasen. Denna dokumentation ska bestå av

6.   Byrån ska även tillhandahålla en testmiljö där de behöriga användarna kan testa funktionen och prestandan hos gränssnittet för utbyte mellan sina system och databasen.

1.   Byrån ska ansvara för den operativa förvaltningen av databasen och ska på ett säkert sätt lagra information i databasen.

2.   De behöriga användarna ska överföra informationen till och utbyta den via databasen genom gränssnitten och säkerställa en säker nätanslutning mellan sina system och databasen.

3.   Innan byrån fattar beslut om den operativa förvaltningen av databasen eller gör den allmänt tillgänglig ska den samråda med kommissionen och de nationella behöriga myndigheterna.

4.   Den behöriga personalen vid de nationella flygläkarna och flygmedicinska centrumen ska överföra och utbyta informationen i databasen genom sina nationella behöriga myndigheter i enlighet med artikel 10.4 i denna förordning.

1.   Byrån ska underhålla databasen och säkerställa att den fungerar korrekt när det gäller personlig integritet, konfidentialitet, dataintegritet och tillgänglighet.

2.   Byrån ska systematiskt säkerhetskopiera databasen och dess uppgifter.

1.   De behöriga användarna ska överföra, regelbundet uppdatera och utbyta information via databasen på grundval av gemensamt överenskomna informationsformat som föreslagits av byrån.

2.   Informationsformaten ska standardiseras per informationskategori. De behöriga användarna ska endast överföra informationsobjekt till databasen i det informationsformat som är specifikt för den informationskategorin.

3.   Förteckningen över kategorier av informationsobjekt fastställs i bilaga I.

1.   Byrån ska i samarbete med kommissionen och de nationella behöriga myndigheterna klassificera kategorierna av informationsobjekt enligt följande märkningar:

2.   Detaljerade definitioner av de märkningar som avses i punkt 1 fastställs i bilaga II.

3.   Byrån ska vid behov och i samarbete med kommissionen och de nationella behöriga myndigheterna se över klassificeringen av information för att säkerställa att den fortfarande är lämplig utifrån ändrad användning av information.

1.   Byrån får på begäran av en berörd part förse den berörda parten med informationen i databasen, med förbehåll för de särskilda användningsvillkor som anges i denna artikel.

2.   En begäran om spridning av information i databasen ska lämnas i en form och på ett sätt som fastställs av byrån.

3.   När byrån tar emot en begäran ska den kontrollera att

4.   Byrån ska bedöma om begäran är motiverad, och om villkoren i punkt 5 är uppfyllda ska den förse den berörda parten med den begärda informationen.

5.   Byrån ska tillhandahålla den begärda informationen till den berörda parten endast på följande villkor:

6.   Byrån ska ge de behöriga användarna tillgång till en uppdaterad förteckning över mottagna begäranden och åtgärder som vidtagits av byrån.

7.   Den berörda parten ska

1.   Byrån ska säkerställa att all uppgiftsbehandling loggas. Loggarna ska innehålla följande uppgifter:

2.   Byrån ska använda loggarna för uppgiftsbehandlingen endast för att övervaka lagligheten i tillgången till informationen och för att säkerställa dataintegritet och datasäkerhet. Loggarna ska innehålla de uppgifter som är absolut nödvändiga för detta ändamål, i enlighet med den princip om uppgiftsminimering som anges i artikel 89 i förordning (EU) 2016/679 och artikel 13 i förordning (EU) 2018/1725. Loggarna ska raderas efter det att övervakningsförfarandet har slutförts eller senast efter ett år.

3.   På begäran ska kommissionen och de nationella behöriga myndigheterna ges tillgång till loggarna för att bedöma om tillgången till informationen är laglig, övervaka att uppgiftsbehandlingen är laglig och säkerställa dataintegritet och datasäkerhet.

1.   De behöriga användarna ska säkerställa att endast behörig personal har tillgång till databasen.

2.   De behöriga användarna ska säkerställa att deras personal ges tillgång till informationen på grundval av integritets- och konfidentialitetsmärkningarna för kategorin av informationsobjekt i enlighet med artikel 7.

3.   De behöriga användarna ska fastställa och upprätthålla

4.   De nationella flygläkarna och flygmedicinska centrumen ska säkerställa att endast personal som har getts behörighet av sin nationella behöriga myndighet har tillgång till databasen.

1.   Byrån ska skydda databasens infrastruktur och dess information och utarbeta

2.   Byrån ska förhindra obehörig behandling av information och all obehörig läsning, kopiering, ändring, avlägsnande eller radering av den information som finns i databasen eller när denna sprids till eller från databasen eller överförs, i synnerhet med hjälp av lämplig krypteringsteknik.

3.   Byrån ska säkerställa att personer som har åtkomstbehörighet till databasen har åtkomst endast till de uppgifter för vilka de är behöriga och endast genom individuella användaridentiteter och skyddade åtkomstmetoder,

4.   De behöriga användarna ska hantera säkerheten för sin information före och under överföringen till databasen och ska skydda sin infrastruktur genom att säkerställa

5.   De behöriga användarna ska samarbeta för att säkerställa säkerhetshanteringen av databasen.

1.   Personuppgifter som lagras i databasen ska endast behandlas för att säkerställa det samarbete mellan de behöriga användarna som krävs rörande utförandet av deras uppgifter i samband med certifiering, tillsyn och kontroll av efterlevnad. Behandlingen ska begränsas till vad som är nödvändigt för att de ska kunna utföra sina uppgifter och till vad som är absolut nödvändigt och proportionellt i förhållande till de mål som eftersträvas.

2.   Åtkomsten till och behandlingen av personuppgifter ska vara i överenstämmelse med de tekniska specifikationerna för databasen.

3.   Skyldigheterna avseende inbyggt dataskydd och dataskydd som standard ska beaktas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen.

4.   Byrån ska genomföra regelbundna översyner för att säkerställa att alla åtgärder för skydd av personuppgifter som genomförs är effektiva.

1.   De gemensamt personuppgiftsansvariga för de personuppgifter som lagras i databasen ska vara de behöriga användarna.

2.   Varje gemensamt personuppgiftsansvarig ska ansvara för att kriterierna för informationsklassificering är uppfyllda för varje informationsobjekt som behandlas i databasen.

1.   Byrån ska ansvara för att

2.   De nationella behöriga myndigheterna och kommissionen ska ansvara för att

3.   Varje gemensamt personuppgiftsansvarig ska utse

4.   När en gemensamt personuppgiftsansvarig får en förfrågan från en registrerad som inte omfattas av dess ansvar ska den omedelbart vidarebefordra förfrågan till den ansvariga gemensamt personuppgiftsansvariga parten. De gemensamt personuppgiftsansvariga ska på begäran bistå varandra i hanteringen av de registrerades förfrågningar och ska svara varandra utan onödigt dröjsmål, senast inom 15 dagar från den dag då begäran om bistånd mottogs.

5.   Om en personuppgiftsansvarig behöver information från en annan personuppgiftsansvarig för att kunna uppfylla sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artikel 34 i förordning (EU) 2018/1725, ska en särskild begäran skickas till den funktionsbrevlåda som avses i punkt 3 a. Den senare ska göra sitt yttersta för att tillhandahålla sådan information.

1.   De personuppgiftsansvariga får begränsa de registrerades utövande av sina rättigheter endast i den utsträckning och så länge som det är absolut nödvändigt för att skydda den civila flygsäkerheten. Utövandet av de registrerades rättigheter får endast begränsas i följande situationer:

2.   I de fall kommissionen och byrån är personuppgiftsansvariga får de också begränsa de registrerades utövande av sina rättigheter endast i den utsträckning och så länge som det är absolut nödvändigt för att skydda den civila flygsäkerheten, i händelse av pågående it-säkerhetsutredningar som har en direkt eller indirekt inverkan på databasens funktion.

3.   Alla begränsningar ska vara föremål för en nödvändighets- och proportionalitetsbedömning och ska vara begränsade i omfattning och tid.

4.   Den registrerade vars utövande av sina rättigheter begränsas ska informeras om skälen till och omfattningen av begränsningen.

1.   De behöriga användarna ska

2.   Databasen ska ha de tekniska medel som krävs för att möjliggöra

1.   När lagringsperioden har löpt ut får byrån lagra personuppgifter från databasen i ett separat register för arkivändamål och historiska forskningsändamål.

2.   Sådana personuppgifter ska begränsas till vad som är absolut nödvändigt för att uppnå arkiv- och forskningsändamål av intresse för luftfartssäkerheten och i överensstämmelse med principen om uppgiftsminimering enligt artikel 89 i förordning (EU) 2016/679 och artikel 13 i förordning (EU) 2018/1725.

3.   Byrån ska utarbeta åtkomstprotokoll för registret. Artiklarna 4, 5 samt 9–12 ska tillämpas på detta register.

1.   Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

2.   Kapitel I och II ska tillämpas från och med den 1 april 2025.

3.   Kraven avseende de informationsobjekt som utfärdas efter denna förordnings ikraftträdande ska tillämpas

4.   Kraven avseende de informationsobjekt som är giltiga och har utfärdats före ikraftträdandet av denna förordning och som förtecknas i bilaga I ska tillämpas från och med den 1 januari 2029.