(19)O presente regulamento não estabelece uma base jurídica para a criação ou a manutenção de bases de dados a nível nacional para o armazenamento de dados biométricos nos Estados‑Membros. O presente regulamento também não estabelece uma base jurídica para a criação ou a manutenção de uma base de dados centralizada a nível da União. Conforme recordado pela Autoridade Europeia para a Proteção de Dados no seu parecer 21/2024, a criação ou manutenção de bases de dados a nível nacional para o armazenamento de dados biométricos nos Estados‑Membros ou, de igual modo, a criação ou manutenção de uma base de dados centralizada a nível da União, juntamente com a potencial utilização desses dados para outros fins, terão de satisfazer um critério de estrita necessidade e proporcionalidade ao abrigo da Carta, tal como interpretado pela jurisprudência pertinente do Tribunal de Justiça.

(20)As imagens faciais armazenadas no suporte de armazenamento dos bilhetes de identidade e títulos de residência só devem ser consultadas por pessoal devidamente habilitado das autoridades nacionais competentes, das agências da União e das entidades privadas para efeitos de verificação da autenticidade do documento e da identidade do titular. Esse acesso deve respeitar o direito da União em matéria de proteção de dados. As imagens faciais não devem ser conservadas durante mais tempo do que o necessário para esses fins, devem ser apagadas logo que tenham sido atingidos esses fins, e não devem ser transferidas para países terceiros ou para organizações internacionais, a menos que o direito da União em matéria de proteção de dados o permita. Essas garantias destinam‑se a assegurar uma proteção adequada da imagem facial, sem proibir a sua utilização.

(23)Sem prejuízo da jurisprudência do Tribunal de Justiça1-A, os Estados‑Membros devem poder decidir incluir ou não o género de uma pessoa num documento abrangido pelo presente regulamento. Se um Estado‑Membro incluir o género de uma pessoa nesse documento, deve utilizar as especificações previstas do documento 9303 da OACI «F», «M» ou «X» ou a inicial correspondente na língua ou línguas desse Estado‑Membro, consoante o caso.

(26)Se forem encontradas dificuldades na recolha dos identificadores biométricos, os Estados‑Membros devem assegurar a aplicação de procedimentos adequados para respeitar a dignidade da pessoa em causa. Por conseguinte, devem ser tidas em conta considerações específicas relacionadas com o género e as necessidades específicas das crianças e das pessoas vulneráveis. O pessoal qualificado deve receber formação sobre as melhores práticas para a recolha de identificadores biométricos de crianças e pessoas vulneráveis, garantindo a sensibilidade às necessidades específicas de género e de idade, respeitando simultaneamente a dignidade de todas as pessoas.

(32)Os Estados‑Membros devem trocar entre si as informações que sejam necessárias para consultar, autenticar e verificar as informações incluídas no suporte de armazenamento seguro. Os formatos utilizados para o suporte de armazenamento seguro devem ser interoperáveis, incluindo no que respeita aos pontos de passagem de fronteira automatizados. A Comissão deve promover a cooperação dos Estados‑Membros em apoio desses objetivos.

(43)A Comissão deve apresentar um relatório sobre a aplicação do presente regulamento dois anos, e onze anos, após a data da sua entrada em vigor, nomeadamente sobre a adequação do nível de segurança, tendo em conta o seu impacto nos direitos fundamentais e nos princípios da proteção de dados. Nos termos do Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor9, a Comissão deve, decorridos seis anos a contar da data de entrada em vigor do presente regulamento e, posteriormente, de seis em seis anos, realizar uma avaliação do presente regulamento, tendo por base as informações recolhidas por meio de disposições de acompanhamento específicas, a fim de aferir os efeitos reais do regulamento e a necessidade de medidas adicionais. Para efeitos do acompanhamento, os Estados‑Membros devem recolher informações estatísticas sobre o número de bilhetes de identidade e de títulos de residência que tenham emitido.

_________________

9 JO L 123 de 12.5.2016, p. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.

Em derrogação do primeiro parágrafo, o número do documento pode ser inserido na zona I e a designação do género da pessoa é facultativa. Se um Estado‑Membro incluir o género de uma pessoa num documento abrangido pelo presente regulamento, deve utilizar as especificações previstas do documento 9303 da OACI «F», «M» ou «X» ou a inicial correspondente na língua ou línguas oficiais desse Estado‑Membro, consoante o caso.

5.Os bilhetes de identidade devem incluir um suporte de armazenamento com elevado nível de segurança com uma imagem facial do titular do documento e duas impressões digitais em formatos digitais interoperáveis. Para a recolha destes dois tipos de identificadores biométricos, os Estados‑Membros devem aplicar as especificações técnicas estabelecidas pela Decisão de Execução C(2018) 7767 da Comissão12, com a redação que lhe foi dada pela Decisão de Execução C(2021) 3726 da Comissão13.

_________________

12 Decisão de Execução C(2018) 7767 da Comissão, de 30 de novembro de 2018, que estabelece as especificações técnicas para o modelo uniforme de título de residência para nacionais de países terceiros e que revoga a Decisão C(2002) 3069.

13 Decisão de Execução C(2021) 3726 da Comissão, de 4 de junho de 2021, que altera o anexo III da Decisão de Execução C(2018) 7767 no que diz respeito à lista de referências normativas.

3.Os identificadores biométricos armazenados para efeitos de personalização dos bilhetes de identidade ou títulos de residência devem ser conservados de forma altamente segura e apenas até à data de recolha do documento e, em qualquer caso, não mais de 90 dias a contar da data de emissão. Após este período, os identificadores biométricos devem ser imediatamente apagados ou destruídos. O tratamento desses dados para outros fins está sujeito às limitações e condições previstas no direito nacional ou no direito da União em matéria de proteção de dados.

4.A cooperação com prestadores de serviços externos não exclui qualquer responsabilidade de um Estado‑Membro decorrente do direito da União ou do direito nacional em caso de incumprimento das obrigações em matéria de dados pessoais. Os Estados‑Membros asseguram que todos os prestadores de serviços externos cumprem a legislação nacional e da União em matéria de proteção de dados, devendo ser adotadas medidas adequadas para impedir qualquer acesso não autorizado ou utilização indevida de dados pessoais durante os processos externalizados.

A imagem facial do titular do documento armazenada no suporte de armazenamento dos bilhetes de identidade e dos títulos de residência só deve ser consultada por pessoal devidamente habilitado das autoridades nacionais competentes, das agências da União e das entidades privadas em conformidade com o direito da União em matéria de proteção de dados, para fins de verificação da:

As duas impressões digitais do titular armazenadas no suporte de armazenamento só podem ser consultadas por pessoal devidamente habilitado das autoridades nacionais competentes e das agências da União para os fins previstos no primeiro parágrafo, em consonância com a legislação nacional e da União em matéria de proteção de dados.

Relatórios e avaliação

1.No máximo [seis anos após a entrada em vigor do presente regulamento], e, posteriormente, de seis em seis anos, a Comissão deve proceder à avaliação do presente regulamento e apresentar um relatório com as principais conclusões ao Parlamento Europeu, ao Conselho e ao Comité Económico e Social Europeu. O relatório deve, nomeadamente, abordar o seguinte: