Artykuł 19

1. Przedstawiciel grupy organizatorów jest administratorem danych w rozumieniu rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych osobowych w ramach zbierania deklaracji poparcia, adresów e-mail oraz danych darczyńców inicjatyw. W przypadku gdy utworzono podmiot prawny, o którym mowa w art. 5 ust. 7 niniejszego rozporządzenia, administratorem danych jest ten podmiot.

2. Właściwe organy wyznaczone zgodnie z art. 20 ust. 2 niniejszego rozporządzenia są administratorami danych w rozumieniu rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych osobowych do celów weryfikacji i poświadczania deklaracji poparcia.

3. Komisja jest administratorem danych w rozumieniu rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych w rejestrze, internetowej platformy współpracy, centralnego systemu zbierania deklaracji online, o którym mowa w art. 10 niniejszego rozporządzenia, oraz zbierania adresów e-mail.

4. Dane osobowe zawarte w formularzach deklaracji poparcia zbiera się na potrzeby operacji wymaganych dla bezpiecznego zbierania i przechowywania zgodnie z art. 9–11, na potrzeby przedkładania państwom członkowskim, weryfikacji i poświadczania zgodnie z art. 12 oraz do przeprowadzenia niezbędnych kontroli jakości i analiz statystycznych.

5. Grupa organizatorów i Komisja – stosownie do przypadku – niszczą wszystkie deklaracje poparcia podpisane w odniesieniu do inicjatywy oraz wszelkie ich kopie nie później niż miesiąc po przedłożeniu inicjatywy Komisji zgodnie z art. 13 lub nie później niż 21 miesięcy po rozpoczęciu okresu zbierania deklaracji, w zależności od tego, która z dat przypada wcześniej. Jednakże w przypadku gdy inicjatywa zostaje wycofana po rozpoczęciu okresu zbierania, deklaracje poparcia i wszelkie ich kopie muszą zostać zniszczone nie później niż miesiąc po wycofaniu, o którym mowa w art. 7.

6. Właściwy organ niszczy wszystkie deklaracje poparcia i ich kopie nie później niż trzy miesiące po wystawieniu poświadczenia, o którym mowa w art. 12 ust. 5.

7. Deklaracje poparcia danej inicjatywy i ich kopie można zatrzymać po upływie terminów określonych w ust. 5 i 6, jeżeli jest to konieczne do celów czynności prawnych lub administracyjnych związanych z daną inicjatywą. Muszą one zostać zniszczone nie później niż miesiąc po dacie zakończenia wspomnianego postępowania w drodze ostatecznej decyzji.

8. Komisja i grupa organizatorów niszczą ewidencję adresów e-mail zebranych zgodnie z art. 18 ust. 2 nie później niż, odpowiednio, miesiąc po wycofaniu inicjatywy lub 12 miesięcy po zakończeniu okresu zbierania deklaracji lub po przedłożeniu inicjatywy Komisji. Jednakże w przypadku gdy Komisja określa w drodze komunikatu działania, jakie zamierza podjąć zgodnie z art. 15 ust. 2, ewidencję adresów e-mail niszczy się najpóźniej trzy lata po publikacji komunikatu.

9. Bez uszczerbku dla praw członków grupy organizatorów wynikających z rozporządzenia (UE) 2018/1725, mają oni prawo zażądać usunięcia swoich danych osobowych z rejestru po dwóch latach od daty rejestracji danej inicjatywy.