Artykuł 25

1. System repozytoriów spełnia następujące warunki:

a) umożliwia integrację funkcjonalną systemu repozytoriów z systemem identyfikowalności, jak również nieprzerwaną wymianę danych elektronicznych między systemem repozytoriów a innymi odpowiednimi składnikami systemu identyfikowalności;

b) umożliwia elektroniczną identyfikację i weryfikację autentyczności wyrobów tytoniowych, na poziomie opakowania jednostkowego i opakowania zbiorczego, zgodnie z wymogami określonymi w niniejszym rozporządzeniu;

c) umożliwia automatyczną dezaktywację niepowtarzalnych identyfikatorów zgodnie z zasadami określonymi w art. 5;

d) zapewnia przyjmowanie i przechowywanie w formie elektronicznej informacji zarejestrowanych i wysłanych do repozytoriów przez podmioty gospodarcze i podmioty wydające identyfikatory, zgodnie z wymogami niniejszego rozporządzenia;

e) zapewnia przechowywanie danych przez okres co najmniej pięciu lat od momentu, w którym dane zostały wprowadzone do systemu repozytoriów;

f) umożliwia automatyczne przesyłanie wiadomości o statusie do podmiotów gospodarczych, oraz na wniosek do państw członkowskich i Komisji, na przykład o tym, że rejestracja się powiodła, że wystąpił błąd lub nastąpiły zmiany w działaniach związanych z rejestracją, zgodnie z wymogami niniejszego rozporządzenia;

g) umożliwia automatyczne zatwierdzanie wiadomości otrzymanych od podmiotów gospodarczych w każdym punkcie dostępu do systemu, w tym odmowę przyjęcia nieprawidłowych lub niepełnych informacji, w szczególności zgłaszanie niezarejestrowanych lub powtarzających się identyfikatorów, dzięki czemu w systemie repozytoriów przechowywane są informacje dotyczące odrzuconych wiadomości. Wiadomości przekazywane przez podmioty wydające identyfikatory i repozytoria pierwotne do routera i repozytorium wtórnego są ponownie zatwierdzane przez odbiorcę;

h) zapewnia wymianę wiadomości między wszystkimi składnikami systemu, która odbywa się natychmiastowo, zgodnie z wymogami niniejszego rozporządzenia, w szczególności ogólny czas reakcji systemu repozytoriów przy wysyłaniu potwierdzeń odbioru wiadomości, bez względu na szybkość połączenia internetowego użytkownika końcowego, nie powinien przekroczyć 60 sekund;

i) zapewnia stałą dostępność wszystkich składników i usług oraz miesięczny nieprzerwany czas działania na poziomie co najmniej 99,5 %, jak również wystarczające mechanizmy zabezpieczające;

j) jest chroniony przez procedury i systemy bezpieczeństwa zapewniające, aby dostęp do repozytoriów i pobieranie przechowywanych w nich danych były zarezerwowane dla osób upoważnionych zgodnie z niniejszym rozporządzeniem;

k) jest dostępny dla właściwych organów państw członkowskich i Komisji. Krajowi administratorzy wyznaczeni przez państwa członkowskie i służby Komisji otrzymują prawa dostępu umożliwiające im tworzenie praw dostępu dla użytkowników repozytoriów, zarządzanie tymi prawami i ich anulowanie oraz inne związane z nimi działania określone w niniejszym rozdziale, za pośrednictwem graficznego interfejsu zarządzania użytkownikami.

Metody dostępu do graficznego interfejsu służącego do zarządzania użytkownikami spełniają wymogi określone w rozporządzeniu (UE) nr 910/2014, w szczególności pod względem właściwych rozwiązań wielokrotnego użytku stanowiących elementy składowe w ramach części telekomunikacyjnej instrumentu „Łącząc Europę”. Krajowi administratorzy wyznaczeni przez państwa członkowskie mogą przyznawać prawa dostępu kolejnym użytkownikom, którzy im podlegają;

l) umożliwia państwom członkowskim i Komisji pobieranie pełnych lub wybranych zestawów danych przechowywanych w repozytorium;

m) zawiera pełny rejestr („ścieżka audytu”) wszystkich operacji dotyczących przechowywanych danych użytkowników wykonujących te operacje i charakteru tych operacji, w tym również historię dostępu użytkowników; ścieżka audytu jest tworzona, kiedy dane są po raz pierwszy przesyłane i niezależnie od jakichkolwiek dodatkowych wymogów krajowych jest przechowywana przez okres co najmniej pięciu lat.

2. Dane przechowywane w systemie repozytoriów wykorzystuje się wyłącznie do celów, o których mowa w dyrektywie 2014/40/UE i w niniejszym rozporządzeniu.