Règlement (UE) 2023/2117

1. Aux fins du présent règlement, les définitions du règlement (UE) 2018/1139, du règlement (UE) 2016/679, du règlement (UE) 2018/1725, des règlements d’exécution (UE) 2019/947 (5) et (UE) 2021/664 (6) de la Commission s’appliquent.

2. De plus, on entend par:

1. Le répertoire est composé d’une interface de stockage, d’une interface d’échange et d’une interface d’accès utilisateur.

2. L’interface de stockage visée au paragraphe 1 se compose comme suit:

3. L’interface d’échange visée au paragraphe 1 se compose comme suit:

4. L’interface d’accès utilisateur visée au paragraphe 1 permet de rechercher et de lire en ligne et en toute sécurité les informations stockées. Elle n’est accessible qu’au personnel autorisé.

5. L’Agence élabore la documentation nécessaire à l’appui de l’intégration des utilisateurs autorisés dans le répertoire. Cette documentation comprend:

6. L’Agence prévoit également un environnement d’essai dans lequel les utilisateurs autorisés peuvent tester la fonctionnalité et les performances de l’interface d’échange entre leurs systèmes et le répertoire.

1. L’Agence est responsable de la gestion opérationnelle du répertoire et stocke les informations dans le répertoire de manière sécurisée.

2. Les utilisateurs autorisés transmettent et échangent les informations par l’intermédiaire du répertoire au moyen des interfaces et assurent une connexion en ligne sécurisée entre leur(s) système(s) et le répertoire.

3. Avant de prendre une décision concernant la gestion opérationnelle du répertoire ou de la rendre publique, l’Agence consulte la Commission et les autorités nationales compétentes.

4. Les personnels autorisés des examinateurs aéromédicaux et des centres aéromédicaux nationaux transmettent et échangent les informations consignées dans le répertoire par l’intermédiaire de leurs autorités nationales compétentes, conformément à l’article 10, paragraphe 4, du présent règlement.

1. L’Agence assure la maintenance du répertoire et veille à ce qu’il fonctionne correctement en ce qui concerne le respect de la vie privée, la confidentialité, l’intégrité et la disponibilité.

2. L’Agence sauvegarde systématiquement le répertoire et ses données.

1. Les utilisateurs autorisés transmettent, mettent à jour régulièrement et échangent des informations par l’intermédiaire du répertoire sur la base de formats d’information communément acceptés et proposés par l’Agence.

2. Les formats d’information sont standardisés par catégorie d’information. Les utilisateurs autorisés ne transmettent les objets d’information au répertoire que dans le format d’information propre à cette catégorie d’information.

3. La liste des catégories d’objets d’information figure à l’annexe I.

1. L’Agence, en coopération avec la Commission et les autorités nationales compétentes, classe les catégories d’objets d’information en fonction des mentions suivantes:

2. Les définitions détaillées des mentions visées au paragraphe 1 figurent à l’annexe II.

3. L’Agence, en coopération avec la Commission et les autorités nationales compétentes, réévalue, chaque fois qu’elle le juge nécessaire, la classification des informations afin de s’assurer qu’elle est toujours appropriée compte tenu de l’évolution de l’utilisation des informations.

1. L’Agence peut, à la demande d’une partie intéressée, fournir à cette dernière les informations contenues dans le répertoire, sous réserve des conditions spécifiques d’utilisation énoncées dans le présent article.

2. Une demande de diffusion des informations contenues dans le répertoire est présentée sous une forme et selon des modalités établies par l’Agence.

3. Lorsqu’elle reçoit une demande, l’Agence vérifie:

4. L’Agence évalue si la demande est justifiée et, si les conditions énoncées au paragraphe 5 sont remplies, elle fournit à la partie intéressée les informations demandées.

5. L’Agence ne fournit les informations demandées à la partie intéressée que dans les conditions suivantes:

6. L’Agence met à la disposition des utilisateurs autorisés une liste actualisée des demandes reçues et des suites qu’elle leur a réservées.

7. La partie intéressée:

1. L’Agence veille à ce que toutes les opérations de traitement des données soient enregistrées. Les registres fournissent les informations suivantes:

2. L’Agence n’utilise les registres des opérations de traitement des données que pour contrôler la légalité de l’accès aux informations et pour garantir l’intégrité et la sécurité des données. Les registres contiennent les données strictement nécessaires à cette fin, dans le respect du principe de minimisation des données énoncé à l’article 89 du règlement (UE) 2016/679 et à l’article 13 du règlement (UE) 2018/1725. Les registres sont effacés après la fin de la procédure de contrôle ou au plus tard après un an.

3. Sur demande, la Commission et les autorités nationales compétentes se voient accorder l’accès aux registres afin d’évaluer la légalité de l’accès aux informations, de contrôler la légalité des opérations de traitement des données et de garantir l’intégrité et la sécurité des données.

1. Les utilisateurs autorisés veillent à ce que seul le personnel autorisé ait accès au répertoire.

2. Les utilisateurs autorisés veillent à ce que leur personnel ait accès aux informations sur la base des mentions relatives au respect de la vie privée et de la confidentialité de la catégorie d’objets d’information conformément à l’article 7.

3. Les utilisateurs autorisés établissent et maintiennent:

4. Les examinateurs aéromédicaux et les centres aéromédicaux veillent à ce que seul le personnel autorisé par leur autorité nationale compétente ait accès au répertoire.

1. L’Agence protège l’infrastructure du répertoire et ses informations, et élabore:

2. L’Agence empêche le traitement non autorisé des informations et toute lecture, copie, modification, retrait ou suppression non autorisés des informations contenues dans le répertoire ou lors de la diffusion vers le répertoire ou à partir de celui-ci ou lors de la transmission, notamment au moyen de techniques de cryptage appropriées.

3. L’Agence veille à ce que les personnes autorisées à avoir accès au répertoire n’aient accès qu’aux informations couvertes par leur autorisation d’accès, uniquement au moyen d’identifiants individuels et selon des modes d’accès confidentiels.

4. Les utilisateurs autorisés gèrent la sécurité de leurs informations avant et pendant la transmission au répertoire et protègent leur infrastructure en veillant:

5. Les utilisateurs autorisés coopèrent pour assurer la gestion de la sécurité du répertoire.

1. Les données à caractère personnel stockées dans le répertoire ne sont traitées que pour assurer la coopération entre les utilisateurs autorisés, nécessaire à l’exécution de leurs tâches liées à la certification, à la supervision et au contrôle de l’application. Le traitement est limité à ce qui est nécessaire à l’exécution de leurs tâches et à ce qui est strictement nécessaire et proportionné aux objectifs poursuivis.

2. Les données à caractère personnel sont accessibles et traitées conformément aux spécifications techniques du répertoire.

3. Les obligations de protection des données dès la conception et par défaut sont prises en considération tant au moment de la détermination des moyens de traitement qu’au moment du traitement lui-même.

4. L’Agence procède à des examens réguliers pour s’assurer de l’efficacité de toutes les garanties mises en œuvre en matière de protection des données.

1. Les utilisateurs autorisés sont les responsables conjoints du traitement des données à caractère personnel stockées dans le répertoire.

2. Chaque responsable conjoint du traitement est responsable du respect des critères de classification des informations pour chaque objet d’information traité dans le répertoire.

1. La Commission est chargée des tâches suivantes:

2. Les autorités nationales compétentes et la Commission sont chargées des tâches suivantes:

3. Chaque responsable conjoint du traitement désigne:

4. Lorsqu’un responsable conjoint du traitement reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité, il la transmet rapidement au responsable conjoint du traitement compétent. Sur demande, les responsables conjoints du traitement se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées et se répondent dans les meilleurs délais, et au plus tard dans les 15 jours qui suivent la réception d’une demande d’assistance.

5. Si, afin de s’acquitter des obligations qui lui incombent en application des articles 33 et 34 du règlement (UE) 2016/679 ou de l’article 34 du règlement (UE) 2018/1725, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée au paragraphe 3, point a). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.

1. Les responsables du traitement ne peuvent restreindre l’exercice des droits des personnes concernées que dans la mesure et pour la durée strictement nécessaires à la sauvegarde de la sécurité de l’aviation civile. L’exercice des droits des personnes concernées ne peut être restreint que dans les situations suivantes:

2. lorsque la Commission et l’Agence sont les responsables du traitement, elles peuvent également restreindre l’exercice des droits des personnes concernées uniquement dans la mesure et pour la durée strictement nécessaires à la sauvegarde de la sécurité de l’aviation civile, dans le cas d’enquêtes de sécurité informatique en cours ayant une incidence directe ou indirecte sur le fonctionnement du répertoire.

3. Toutes les restrictions font l’objet d’une évaluation de la nécessité et de la proportionnalité et sont limitées dans leur portée et dans le temps.

4. La personne concernée dont l’exercice des droits est restreint est informée des motifs et de l’étendue de la restriction.

1. Les utilisateurs autorisés:

2. Le répertoire dispose des moyens techniques nécessaires pour permettre:

1. À l’issue de la durée de conservation, l’Agence peut conserver les données à caractère personnel du répertoire dans un registre distinct à des fins d’archivage et de recherche historique.

2. Ces données à caractère personnel sont limitées à ce qui est strictement nécessaire pour atteindre les objectifs d’archivage et de recherche dans l’intérêt de la sécurité aérienne et en respectant le principe de minimisation des données énoncé à l’article 89 du règlement (UE) 2016/679 et à l’article 13 du règlement (UE) 2018/1725

3. L’Agence élabore un protocole d’accès au registre. Les articles 4, 5 et 9 à 12 s’appliquent à ce registre.

1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2. Les chapitres I et II s’appliquent à partir du 1er avril 2025.

3. Les exigences concernant les objets d’information délivrés après l’entrée en vigueur du présent règlement sont applicables:

4. Les exigences relatives aux objets d’information valables et délivrés avant l’entrée en vigueur du présent règlement, énumérés à l’annexe I, sont applicables à partir du 1er janvier 2029.