Artykuł 20

1. Komisja i państwa członkowskie uznaje się za administratorów danych w odniesieniu do przetwarzania danych osobowych niezbędnych do utworzenia, obsługi i utrzymania systemu ICG.

2. Komisja odpowiada za:

a) określanie i wdrażanie środków technicznych w systemie ICG w celu informowania osób, których dane dotyczą, i umożliwienia im korzystania z przysługujących im praw;

b) zapewnienie bezpieczeństwa przetwarzania;

c) określenie kategorii swoich pracowników i usługodawców zewnętrznych, którym można przyznać dostęp do systemu;

d) przekazywanie powiadomień i informacji dotyczących wszelkich naruszeń ochrony danych osobowych w systemie ICG odpowiednio Europejskiemu Inspektorowi Ochrony Danych na podstawie art. 34 rozporządzenia (UE) 2018/1725 oraz osobom, których dane dotyczą, na podstawie art. 35 wspomnianego rozporządzenia;

e) zapewnienie pracownikom i usługodawcom zewnętrznym odpowiednich szkoleń w zakresie wykonywania swoich zadań w ramach systemu ICG zgodnie z rozporządzeniem (UE) 2018/1725.

3. Państwa członkowskie i właściwe organy są odpowiedzialne za:

a) zapewnienie, aby prawa osoby, której dane dotyczą, były wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (11) i niniejszym rozporządzeniem;

b) zapewnienie bezpieczeństwa i poufności danych osobowych zgodnie z rozdziałem IV sekcja 2 rozporządzenia (UE) 2016/679;

c) wyznaczenie pracowników i ekspertów, którzy mogą mieć dostęp do systemu ICG;

d) zapewnienie odpowiednich szkoleń pracownikom i ekspertom mającym dostęp do systemu ICG, aby wykonywali swoje zadania zgodnie z rozporządzeniem (UE) 2016/679 oraz, w stosownych przypadkach, z dyrektywą (UE) 2016/680 (12).

4. Komisja i państwa członkowskie zawierają porozumienie o wspólnym administrowaniu w formie umowy najpóźniej w ciągu trzech lat od wejścia w życie niniejszego rozporządzenia.