Załącznik III

1. Państwa członkowskie, reprezentowane przez właściwe organy, określają cele i sposoby przetwarzania danych osobowych w rejestrach krajowych. Komisja, prowadząc unijną bazę danych zapewniającą rozwiązanie w zakresie wymiany danych między państwami członkowskimi oraz zarządzając tą bazą, jest również administratorem. Państwa członkowskie i Komisja są współadministratorami do celów przetwarzania danych osobowych w unijnej bazie danych.

2. Każdy współadministrator przestrzega odpowiednich przepisów prawa unijnego i krajowego, którym podlega.

3. Do obowiązków Komisji należy:

a) zapewnienie zgodności unijnej bazy danych z wymogami mającymi zastosowanie do systemów teleinformatycznych Komisji, w tym wymogami dotyczącymi ochrony danych osobowych i stosowania przepisów o ochronie danych w zakresie bezpieczeństwa przetwarzania danych (

2

). Komisja przeprowadza ocenę ryzyka w zakresie bezpieczeństwa informacji i zapewnia odpowiedni poziom bezpieczeństwa;

b) odpowiadanie na wnioski osób, których dane dotyczą, kierowane bezpośrednio do Komisji w związku z unijną bazą danych oraz publikowanie zawiadomienia o ochronie danych osobowych w celu spełnienia wymogów informacyjnych. W stosownych przypadkach, a w szczególności gdy wniosek dotyczy sprostowania i usunięcia danych osobowych, Komisja kieruje wniosek osoby, której dane dotyczą, do odpowiedniego pojedynczego punktu kontaktowego, który go rozpatrzy. W przypadku gdy wniosek jest skierowany bezpośrednio do Komisji, informuje ona osobę, której dane dotyczą, o działaniach następczych podjętych w związku z wnioskiem;

c) zawiadamianie pojedynczych punktów kontaktowych, o których mowa w załączniku I pkt 8.1, Europejskiego Inspektora Ochrony Danych oraz odpowiednich osób fizycznych o wszelkich przypadkach naruszenia ochrony danych osobowych w unijnej bazie danych w przypadku występowania wysokiego ryzyka zgodnie z art. 34 i 35 rozporządzenia (UE) 2018/1725;

d) określanie kategorii pracowników i innych osób fizycznych, którym można przyznać dostęp do unijnej bazy danych, oraz zapewnienie, aby dostęp wszystkich zainteresowanych stron był zgodny z obowiązującymi przepisami o ochronie danych;

e) zapewnienie odpowiedniego przeszkolenia pracowników Komisji, którzy mają dostęp do danych osobowych członków załogi w unijnej bazie danych, w celu zagwarantowania, że wykonują zadania zgodnie z przepisami mającymi zastosowanie do ochrony danych osobowych oraz podlegają obowiązkowi zachowania tajemnicy służbowej na mocy prawa Unii.

4. Do obowiązków właściwych organów państw członkowskich należy:

a) gromadzenie i przetwarzanie danych osobowych wnioskodawców oraz przetwarzanie danych osobowych uzyskanych z unijnej bazy danych lub wymienionych za pośrednictwem unijnej bazy danych. Gromadzenie i przetwarzanie danych osobowych odbywa się zgodnie z rozporządzeniem (UE) 2016/679, w szczególności w celu zapewnienia zgodnego z prawem gromadzenia danych, dostarczania odpowiednich informacji, uaktualniania danych (w tym, w stosownych przypadkach, usuwania nieaktualnych danych lub profili) oraz zapewnienia odpowiedniego bezpieczeństwa danych w rejestrach krajowych;

b) działanie jako punkt kontaktowy dla członków załogi, w tym w przypadku korzystania przez nich z przysługujących im praw, odpowiadanie na wnioski członków załogi i zapewnianie, aby członkowie załogi, których dane są przetwarzane za pośrednictwem unijnej bazy danych i rejestrów krajowych, mogli wykonywać swoje prawa zgodnie z przepisami dotyczącymi ochrony danych osobowych. W tym kontekście współpracują z innymi właściwymi organami państw członkowskich za pośrednictwem pojedynczych punktów kontaktowych oraz z Komisją, aby odpowiednio rozpatrywać wnioski osób, których dane dotyczą, skierowane do nich, do innych państw członkowskich lub do Komisji. Właściwe organy państw członkowskich, które otrzymały wniosek osoby, której dane dotyczą, informują tę osobę o działaniach następczych podjętych w związku z wnioskiem;

c) zawiadamianie Komisji, pojedynczego punktu kontaktowego, o którym mowa w załączniku I pkt 8.1, właściwego organu nadzorczego na szczeblu krajowym oraz, w razie potrzeby, odpowiednich członków załogi o wszelkich przypadkach naruszenia ochrony danych osobowych w odniesieniu do danych dotyczących członków załogi przetwarzanych za pośrednictwem unijnej bazy danych zgodnie z art. 33 i 34 rozporządzenia (UE) 2016/679 lub na wniosek Komisji;

d) identyfikowanie – zgodnie z prawami dostępu użytkowników odpowiadającymi profilom użytkowników określonych w załączniku I tabela 1 – pracowników, którym przyznaje się dostęp do danych osobowych członków załogi w unijnej bazie danych, oraz przekazywanie ich Komisji;

e) zapewnienie odpowiedniego przeszkolenia swoich pracowników, którzy mają dostęp do danych osobowych członków załogi znajdujących się w unijnej bazie danych, w celu zagwarantowania, że wykonują zadania zgodnie z przepisami mającymi zastosowanie w odniesieniu do ochrony danych osobowych oraz podlegają obowiązkowi zachowania tajemnicy służbowej zgodnie z prawem krajowym lub przepisami ustanowionymi przez właściwy organ krajowy.

(

1

) Rozporządzenie delegowane Komisji (UE) 2020/474 zdnia 20 stycznia 2020 r. w sprawie europejskiej bazy danych o jednostkach pływających (Dz.U. L 100 z 1.4.2020, s. 12).

(

2

) Decyzja Komisji (UE, Euratom) 2017/46 z dnia 10 stycznia 2017 r. w sprawie bezpieczeństwa systemów teleinformatycznych w Komisji Europejskiej (Dz.U. L 6 z 11.1.2017, s. 40) oraz decyzja Komisji z dnia 13 grudnia 2017 r. ustanawiająca przepisy wykonawcze do art. 3, 5, 7, 8, 9, 10, 11, 12, 14, 15 decyzji (UE, Euratom) 2017/46 w sprawie bezpieczeństwa systemów teleinformatycznych w Komisji.