LISTE D'EXIGENCES MINIMALES À INCLURE DANS L'INSTRUMENT JURIDIQUE EN CAS DE COOPÉRATION AVEC DES PRESTATAIRES DE SERVICES EXTÉRIEURS
A. L'instrument juridique doit:
a) énumérer les tâches devant être exécutées par le prestataire de services extérieur, conformément à l'article 43, paragraphe 6, du présent règlement;
b) indiquer les lieux où le prestataire de services extérieur doit exercer ses activités et le consulat auquel le centre de dépôt des demandes en réfère;
c) préciser les services couverts par les frais facturés pour les services obligatoires;
d) donner instruction au prestataire de services extérieur d'informer clairement le public que des frais supplémentaires sont facturés pour les services facultatifs.
B. Concernant l'exécution de ses activités, le prestataire de services extérieur veille, en matière de protection des données, aux éléments suivants:
a) il fait en sorte que, à tout moment, les données ne puissent être lues, copiées, modifiées ou effacées de façon non autorisée, notamment durant leur transmission au consulat de l'État membre ou des États membres responsables du traitement d'une demande;
b) conformément aux instructions communiquées par l'État membre ou les États membres concernés, il transmet les données:
— par voie électronique, sous forme chiffrée, ou
— physiquement, dans des conditions sécurisées;
c) il transmet les données le plus rapidement possible:
— dans le cas de données transmises physiquement, au moins une fois par semaine,
— dans le cas de données chiffrées transmises par voie électronique, au plus tard à la fin de la journée au cours de laquelle elles ont été recueillies;
d) il met en place des moyens appropriés pour assurer le suivi des dossiers individuels lors de leur transmission par le consulat et à celui-ci;
e) il efface les données au plus tard sept jours après leur transmission et veille à ce que seuls soient conservés le nom et les coordonnées du demandeur, aux fins d'organiser un rendez-vous, ainsi que le numéro de son passeport, jusqu'à ce que celui-ci lui soit rendu, et à ce que ces données soient effacées dans les cinq jours de la remise du passeport;
f) il prend toutes les mesures de sécurité techniques et organisationnelles requises pour protéger les données à caractère personnel contre les risques de destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque la coopération comporte la transmission de fichiers et de données au consulat de l'État membre ou des États membres concernés, ainsi que contre toute autre forme de traitement illicite de données à caractère personnel;
g) il traite les données uniquement aux fins du traitement des données à caractère personnel des demandeurs au nom de l'État membre ou des États membres concernés;
h) il applique des normes de protection des données au moins équivalentes à celles qui figurent dans le règlement (UE) 2016/679;
i) il fournit aux demandeurs les informations requises au titre de l'article 37 du règlement VIS.
C. Concernant l'exécution de ses activités, le prestataire de services extérieur veille, en matière de comportement du personnel:
a) à ce que son personnel soit dûment formé;
b) à ce que son personnel, dans l'accomplissement de ses tâches:
— reçoive les demandeurs avec courtoisie,
— respecte la dignité humaine et l'intégrité du demandeur, ne pratique aucune discrimination à l'égard de personnes en raison du sexe, de l'origine raciale ou ethnique, de la religion ou de la croyance, d'un handicap, de l'âge ou de l'orientation sexuelle, et
— respecte les règles de confidentialité; ces règles sont également applicables lorsque les membres du personnel ont quitté leur poste ou après suspension ou abrogation de l'instrument juridique;
c) à identifier les membres de son personnel à tout moment;
d) à apporter la preuve que les membres de son personnel ont un casier judiciaire vierge et ont les compétences requises.
D. Concernant la vérification de l'exécution de ses activités, le prestataire de services extérieur veille:
a) à ce que le personnel habilité par l'État membre ou les États membres concernés ait accès à ses locaux à tout moment sans préavis, en particulier à des fins d'inspection;
b) à ce que son système de rendez-vous soit accessible à distance à des fins d'inspection;
c) à garantir l'utilisation de méthodes de contrôle appropriées (par exemple demandeurs test, webcam);
d) à garantir l'accès aux justificatifs concernant le respect des règles en matière de protection des données par l'autorité nationale de contrôle de la protection des données dans chaque État membre, y compris l'obligation de rendre compte, les audits externes et les contrôles réguliers sur place;
e) à informer, par écrit et sans retard, l'État membre ou les États membres concernés de toute atteinte à la sécurité ou de toute réclamation des demandeurs au sujet d'une utilisation abusive des données ou d'un accès non autorisé, et à coordonner son action avec celle de l'État membre ou des États membres concernés afin de trouver une solution et d'apporter rapidement des réponses explicatives aux demandeurs ayant déposé une réclamation.
E. En ce qui concerne les conditions générales, le prestataire de services veille:
a) à se conformer aux instructions de l'État membre ou des États membres responsables du traitement de la demande;
b) à prendre les mesures appropriées en matière de lutte contre la corruption (par exemple, rémunération adéquate du personnel, coopération dans la sélection des membres du personnel employés pour cette tâche, règle sur la présence de deux personnes, principe de rotation);
c) à respecter pleinement les dispositions de l'instrument juridique, qui contient une clause de suspension ou de rupture, notamment en cas de violation des règles établies, ainsi qu'une clause de révision visant à garantir que l'instrument juridique reflète les meilleures pratiques.