Artykuł 112

1. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (

17

) i (UE) 2018/1725 (

18

) oraz przepisy krajowe transponujące dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 (

19

) mają zastosowanie do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia przez państwa członkowskie, Komisję i organ przez nią wyznaczony.

2. Dane osobowe zgromadzone na podstawie niniejszego rozporządzenia mogą być przetwarzane wyłącznie w następujących celach, pod warunkiem że celów tych nie można osiągnąć przy użyciu danych, które nie pozwalają na identyfikację osób, których dane dotyczą:

a) monitorowanie uprawnień do połowów, w tym wykorzystania kwot połowowych;

b) zatwierdzanie danych;

c) monitorowanie działalności połowowej prowadzonej przez unijne statki rybackie lub działalności połowowej statków rybackich na wodach Unii;

d) monitorowanie kontroli działalności połowowej prowadzonej przez państwa członkowskie i w łańcuchu dostaw;

e) prowadzenie inspekcji, weryfikacji, audytów i kierowania zapytań;

f) opracowanie porozumień międzynarodowych i środków ochrony oraz zgodności z tymi porozumieniami i środkami;

g) zarządzanie ryzykiem, ocena polityki i ocena skutków;

h) badania naukowe i opinie naukowe oraz tworzenie statystyk;

i) zapytania dotyczące skarg i naruszeń oraz postępowań sądowych lub administracyjnych;

j) ustanawianie lub przedstawianie dowodów dotyczących praw połowowych poszczególnych statków, państw członkowskich lub Unii.

3. Dane osobowe gromadzone na podstawie niniejszego rozporządzenia nie mogą być przechowywane przez okres dłuższy, niż jest to konieczne do celów wymienionych w ust. 2, a w żadnym razie nie dłużej niż przez pięć lat od dnia, w którym państwo członkowskie lub Komisja uzyskały odpowiednie dane.

4. Na zasadzie odstępstwa od ust. 3:

a) dane osobowe gromadzone na podstawie niniejszego rozporządzenia nie mogą być przechowywane przez okres dłuższy, niż jest to konieczne do celów wymienionych w ust. 2 lit. e) oraz i), a w żadnym razie nie dłużej niż do zakończenia danego postępowania administracyjnego lub sądowego lub do czasu potrzebnego na zastosowanie kar na podstawie niniejszego rozporządzenia, takich jak system punktów;

b) dane osobowe zawarte w informacjach wymienionych w art. 109 ust. 2a lit. a) ppkt (i)–(v) nie mogą być przechowywane przez okres dłuższy, niż jest to konieczne do celów wymienionych w ust. 2 lit. f) oraz j) niniejszego artykułu, a w żadnym razie nie dłużej niż przez dziesięć lat od dnia uzyskania odpowiednich danych przez państwo członkowskie, Komisję lub organ przez nią wyznaczony;

c) dane osobowe zawarte w informacjach wymienionych w art. 109 ust. 2a lit. a) ppkt (i)–(iv) nie mogą być przechowywane przez okres dłuższy, niż jest to konieczne do celów wymienionych w ust. 2 lit. g) oraz h) niniejszego artykułu, a w żadnym razie nie dłużej niż przez 25 lat od dnia uzyskania odpowiednich danych przez państwo członkowskie, Komisję lub organ przez nią wyznaczony. Jeżeli informacje te są zatrzymywane przez dłuższy okres, gdy jest to konieczne do celów wymienionych w ust. 2 lit. g) i h) niniejszego artykułu, dane osobowe są anonimizowane lub pseudonimizowane.

5. Organy państw członkowskich uznaje się za administratorów w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679, w związku z przetwarzaniem danych osobowych, które gromadzą na podstawie niniejszego rozporządzenia.

6. Komisję uznaje się za administratora w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725, w związku z przetwarzaniem danych osobowych, które gromadzą na podstawie niniejszego rozporządzenia.

7. Komisja lub organ przez nią wyznaczony i organy państw członkowskich zapewniają bezpieczeństwo przetwarzania danych osobowych, które odbywa się w związku ze stosowaniem niniejszego rozporządzenia. Komisja lub organ przez nią wyznaczony i organy państw członkowskich współpracują w zakresie zadań związanych z bezpieczeństwem.

8. W szczególności Komisja przyjmuje konieczne środki, w tym plan bezpieczeństwa, plan ciągłości działania i plan przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej w celu:

a) fizycznej ochrony danych, w tym poprzez opracowywanie planów awaryjnych służących ochronie infrastruktury krytycznej;

b) uniemożliwienia nieuprawnionego odczytywania, kopiowania, zmieniania lub usuwania nośników danych;

c) uniemożliwienia nieuprawnionego wprowadzania danych i nieuprawnionego oglądania, zmieniania lub usuwania zapisanych danych osobowych;

d) uniemożliwienia nieuprawnionego przetwarzania danych i jakiegokolwiek nieuprawnionego kopiowania, modyfikowania lub usuwania danych;

e) zapewnienia, aby osoby upoważnione do dostępu do odpowiednich baz danych dotyczących połowów miały dostęp jedynie do danych objętych ich upoważnieniem dostępu, wyłącznie za pomocą niepowtarzalnych identyfikatorów użytkownika oraz poufnych haseł;

f) zapewnienia możliwości sprawdzenia i ustalenia, którym organom można przekazywać dane osobowe oraz które dane, kiedy, przez kogo i w jakim celu są przetwarzane w odpowiednich bazach danych dotyczących połowów;

g) uniemożliwienia nieuprawnionego odczytywania, kopiowania, zmieniania lub usuwania danych osobowych w trakcie przekazywania danych osobowych do baz danych dotyczących połowów lub z takich baz danych lub podczas przewozu nośników danych, w szczególności za pomocą odpowiednich technik szyfrowania;

h) monitorowania skuteczności środków bezpieczeństwa, o których mowa w niniejszym ustępie, oraz przyjmowania niezbędnych środków organizacyjnych w obszarze kontroli wewnętrznej, aby zapewnić zgodność z przepisami niniejszego rozporządzenia.

9. Organy państw członkowskich przyjmują środki równoważne tym, o których mowa w ust. 8, w zakresie bezpieczeństwa w odniesieniu do przetwarzania danych osobowych przez organy mające prawo dostępu do którejkolwiek z odpowiednich baz danych dotyczących połowów.