Artykuł 48

1. W celu wykonywania swoich praw na mocy art. 15-8 rozporządzenia (UE) 2016/679, art. 17- 20 rozporządzenia (UE) 2018/1725 oraz art. 14, 15 i 16 dyrektywy (UE) 2016/680 każda osoba ma prawo zwrócić się do właściwego organu dowolnego państwa członkowskiego, a organ ten bada jej wniosek i odpowiada na niego.

2. Państwo członkowskie, które rozpatruje taki wniosek, udziela odpowiedzi bez zbędnej zwłoki, a w każdym razie w ciągu 45 dni od otrzymania wniosku. W razie potrzeby termin ten można przedłużyć o kolejnych 15 dni z uwagi na skomplikowany charakter wniosku lub liczbę wniosków. Państwo członkowskie, które rozpatruje taki wniosek, w ciągu 45 dni od otrzymania wniosku informuje osobę, której dane dotyczą, o takim przedłużeniu terminu z podaniem przyczyn opóźnienia. Państwa członkowskie mogą zdecydować, że odpowiedzi te mają być przekazywane przez jednostki centralne.

3. Jeżeli wniosek o sprostowanie lub usunięcie danych osobowych skierowano do państwa członkowskiego innego niż państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości, wówczas państwo członkowskie, do którego skierowano wniosek, w ciągu siedmiu dni kontaktuje się z organami państwa członkowskiego odpowiedzialnymi za ręczną weryfikację różniących się tożsamości. Państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości sprawdza poprawność danych i zgodność ich przetwarzania z prawem bez zbędnej zwłoki, a w każdym razie w ciągu 30 dni od nawiązania takiego kontaktu. W razie potrzeby termin ten można przedłużyć o kolejnych 15 dni z uwagi na skomplikowany charakter wniosku lub liczbę wniosków. Państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości informuje państwo członkowskie, które skontaktowało się z nim o wszelkich takich przedłużeniach terminu podając powody opóźnienia. Państwo członkowskie, które skontaktowało się z organem państwa członkowskiego odpowiedzialnym za ręczną weryfikację różniących się tożsamości, informuje zainteresowaną osobę o dalszej procedurze.

4. Jeżeli wniosek o sprostowanie lub usunięcie danych osobowych skierowano do państwa członkowskiego, w przypadku gdy za ręczną weryfikację różniących się tożsamości odpowiadała jednostka centralna ETIAS, wówczas państwo członkowskie, do którego skierowano wniosek, zwraca się w ciągu siedmiu dni do jednostki centralnej ETIAS o wydanie opinii bez zbędnej zwłoki, a w każdym razie w ciągu 30 dni od takiego kontaktu. W razie potrzeby termin ten można przedłużyć o kolejnych 15 dni z uwagi na skomplikowany charakter wniosku lub liczbę wniosków. Państwo członkowskie, które skontaktowało się z jednostką centralną ETIAS, powiadamia zainteresowaną osobę o dalszej procedurze.

5. W przypadku stwierdzenia, że dane zarejestrowane w detektorze wielokrotnych tożsamości są nieprawidłowe lub zostały zarejestrowane niezgodnie z prawem, państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości lub, w przypadkach gdy nie było państwa członkowskiego odpowiedzialnego za weryfikację ręczną lub gdy za ręczną weryfikację różniących się tożsamości odpowiadała jednostka centralna ETIAS, państwo członkowskie, do którego skierowano wniosek, koryguje lub usuwa te dane bez zbędnej zwłoki. Osoba zainteresowana jest informowana na piśmie o tym, że jej dane zostały poprawione lub usunięte.

6. W przypadku gdy państwo członkowskie sprostuje dane przechowywane w detektorze wielokrotnych tożsamości w okresie ich przechowywania, państwo to dokonuje przetwarzania określonego w art. 27 oraz, w stosownych przypadkach, w art. 29, aby ustalić, czy zmienione dane mają być ze sobą powiązane. Jeśli przetwarzanie nie doprowadzi do żadnego dopasowania, dane państwo członkowskie usuwa dane z pliku potwierdzającego tożsamość. Jeśli przetwarzanie automatyczne doprowadzi do wystąpienia jednego dopasowania lub kilku dopasowań, dane państwo członkowskie tworzy lub aktualizuje powiązanie między danymi zgodnie z odpowiednimi przepisami niniejszego rozporządzenia.

7. Jeżeli państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości lub, w stosownych przypadkach, państwo członkowskie, do którego skierowano wniosek, nie zgadza się z argumentem, że dane zarejestrowane w detektorze wielokrotnych tożsamości są nieprawidłowe lub że zostały zarejestrowane niezgodnie z prawem, wówczas to państwo członkowskie wydaje decyzję administracyjną, w której niezwłocznie wyjaśnia na piśmie osobie zainteresowanej, dlaczego nie jest gotowe sprostować lub usunąć dotyczących jej danych osobowych.

8. Decyzja, o której mowa w ust. 7, zawiera też informacje dla osoby zainteresowanej wyjaśniające możliwość odwołania się od decyzji podjętej w odniesieniu do wniosku o dostęp do danych osobowych, sprostowanie lub usunięcie danych osobowych lub ograniczenie ich przetwarzania, a w stosownych przypadkach informacje dotyczące sposobu wniesienia sprawy lub skargi do właściwych organów lub sądów oraz informacje dotyczące pomocy, w tym ze strony organów nadzorczych.

9. Wnioski o dostęp do danych osobowych, sprostowanie lub usunięcie danych osobowych lub ograniczenie ich przetwarzania zawierają informacje niezbędne do zidentyfikowania osoby zainteresowanej. Informacje te wykorzystuje się wyłącznie w celu zapewnienia możliwości wykonywania praw, o których mowa w niniejszym artykule, po czym natychmiast się je usuwa.

10. Państwo członkowskie odpowiedzialne za ręczną weryfikację różniących się tożsamości lub, w stosownych przypadkach, państwo członkowskie, do którego skierowano wniosek, prowadzi pisemny rejestr złożonych wniosków o udostępnienie, sprostowanie lub usunięcie danych osobowych lub ograniczenie ich przetwarzania, oraz sposób jego rozpatrzenia, a następnie niezwłocznie udostępniają ten rejestr organom nadzorczym.

11. Niniejszy artykuł pozostaje bez uszczerbku dla ograniczeń praw określonych w niniejszym artykule na mocy rozporządzenia (UE) 2016/679 i dyrektywy (UE) 2016/680.