Artykuł 34

1. Każde państwo członkowskie, Europejska Agencja Straży Granicznej i Przybrzeżnej oraz eu-LISA prowadzą rejestry wszystkich operacji przetwarzania danych przeprowadzanych przez nie w VIS. W rejestrach tych wskazuje się:

a) cel dostępu;

b) datę i godzinę;

c) rodzaj wprowadzonych danych;

d) rodzaj danych wykorzystanych do wyszukiwania; oraz

e) nazwę organu wprowadzającego lub pobierającego dane.

Ponadto każde państwo członkowskie prowadzi rejestr personelu odpowiednio upoważnionego do wprowadzania danych do VIS lub pobierania danych z tego systemu.

2. W przypadku zapytań i przeglądania, o których mowa w art. 9a–9g i 22b, rejestrowana jest, zgodnie z niniejszym artykułem i, odpowiednio, art. 28a rozporządzenia (UE) nr 603/2013, art. 46 ust. 2 rozporządzenia (UE) 2017/2226, art. 69 rozporządzenia (UE) 2018/1240, art. 18a rozporządzenia (UE) 2018/1861, art. 18a rozporządzenia (UE) 2018/1862 i art. 31a rozporządzenia (UE) 2019/816, każda operacja przetwarzania danych przeprowadzana w VIS, i, odpowiednio, w EES, ETIAS, SIS, ECRIS-TCN i Eurodac.

3. W przypadku operacji wymienionych w art. 45c niniejszego rozporządzenia rejestrowana jest, zgodnie z tym artykułem i art. 46 rozporządzenia (UE) 2017/2226, każda operacja przetwarzania danych przeprowadzana w VIS i EES. W przypadku operacji wymienionych w art. 17a niniejszego rozporządzenia rejestrowana jest, zgodnie z niniejszym artykułem i art. 46 rozporządzenia (UE) 2017/2226, każda operacja przetwarzania danych przeprowadzana w VIS i EES.

4. Rejestry prowadzone zgodnie z niniejszym artykułem są wykorzystywane wyłącznie do monitorowania dopuszczalności przetwarzania danych pod względem ochrony danych oraz w celu zapewnienia bezpieczeństwa danych. Rejestry są chronione za pomocą odpowiednich środków przed nieuprawnionym dostępem i modyfikacją oraz są usuwane po upływie roku od końca okresu zatrzymywania danych, o którym mowa w art. 23, jeżeli nie są potrzebne do już rozpoczętych procedur monitorowania.”;

39) art. 36 otrzymuje brzmienie:

„Artykuł 36

Sankcje

Bez uszczerbku dla rozporządzenia (UE) 2016/679 i dyrektywy (UE) 2016/680 państwa członkowskie ustanawiają przepisy dotyczące sankcji mających zastosowanie w przypadku naruszeń niniejszego rozporządzenia, w tym w przypadku przetwarzania danych osobowych z naruszeniem niniejszego rozporządzenia, oraz podejmują wszelkie środki niezbędne do zapewnienia wykonania tych sankcji. Przewidziane sankcje muszą być skuteczne, proporcjonalne i odstraszające.”;

40) w rozdziale VI dodaje się artykuł w brzmieniu:

„Artykuł 36a

Ochrona danych

1. Do przetwarzania danych osobowych przez Europejską Agencję Straży Granicznej i Przybrzeżnej oraz eu-LISA na mocy niniejszego rozporządzenia stosuje się rozporządzenie (UE) 2018/1725.

2. Do przetwarzania danych osobowych przez organy wizowe, służby graniczne, organy azylowe i organy imigracyjne przy wykonywaniu zadań na mocy niniejszego rozporządzenia stosuje się rozporządzenie (UE) 2016/679.

3. Do przetwarzania danych osobowych przechowywanych w VIS, w tym do dostępu do tych danych, do celów, o których mowa w rozdziale IIIb niniejszego rozporządzenia, przez wyznaczone organy państw członkowskich na mocy tego rozdziału stosuje się dyrektywę (UE) 2016/680.

4. Do przetwarzania danych osobowych przez Europol na podstawie niniejszego rozporządzenia stosuje się rozporządzenie (UE) 2016/794.”;

41) w art. 37 wprowadza się następujące zmiany:

a) w ust. 1 wprowadza się następujące zmiany:

(i) zdanie wprowadzające otrzymuje brzmienie:

„1.

Bez uszczerbku dla prawa do informacji, o którym mowa w art. 15 i 16 rozporządzenia (UE) 2018/1725, art. 13 i 14 rozporządzenia (UE) 2016/679 oraz art. 13 dyrektywy (UE) 2016/680, osoby ubiegające się o wizę i osoby, o których mowa w art. 9 pkt 4 lit. f) niniejszego rozporządzenia, są informowane przez odpowiedzialne państwo członkowskie o:”;

(ii) lit. a) otrzymuje brzmienie:

„a)

tożsamości administratora, o którym mowa w art. 29 ust. 4, w tym o danych kontaktowych administratora;”;

(iii) lit. c) otrzymuje brzmienie:

„c)

kategoriach odbiorców danych, w tym o organach, o których mowa w art. 22l, i Europolu;

ca) fakcie, że państwa członkowskie i Europol są uprawnione do dostępu do VIS do celów ochrony porządku publicznego;”;

(iv) dodaje się literę w brzmieniu:

„ea)

fakcie, że dane osobowe przechowywane w VIS mogą zostać przekazane państwu trzeciemu lub organizacji międzynarodowej zgodnie z art. 31 niniejszego rozporządzenia oraz państwom członkowskim zgodnie z decyzją Rady (UE) 2017/1908 (

14

);

(v) lit. f) otrzymuje brzmienie:

„f)

o istniejącym prawie do zażądania dostępu do danych ich dotyczących, prawie do zażądania sprostowania nieprawidłowych danych ich dotyczących, uzupełnienia niekompletnych danych osobowych ich dotyczących, usunięcia dotyczących ich danych osobowych, które były przetwarzane niezgodnie z prawem lub ograniczenia ich przetwarzania, a także o prawie do otrzymania informacji o procedurach wykonywania tych praw, w tym do otrzymania danych kontaktowych organów nadzorczych lub, w stosownych przypadkach, Europejskiego Inspektora Ochrony Danych, które to organy rozpatrują skargi dotyczące ochrony danych osobowych.”;

b) ust. 2 otrzymuje brzmienie:

„2.

Informacje, o których mowa w ust. 1 niniejszego artykułu, przekazywane są – w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie pisemnej, przy użyciu jasnego i prostego języka – osobie ubiegającej się o wizę w momencie pozyskiwania danych, wizerunku twarzy i danych daktyloskopijnych zgodnie z art. 9 i 22a. Dzieci są informowane w sposób dostosowany do ich wieku, w tym przy użyciu narzędzi wizualnych w celu wyjaśnienia procedury pobierania odcisków palców.”;

c) ust. 3 akapit drugi otrzymuje brzmienie:

„W przypadku braku takiego formularza podpisanego przez te osoby informacje te są przekazywane zgodnie z art. 14 rozporządzenia (UE) 2016/679.”;

42) art. 38–43 otrzymują brzmienie:

„Artykuł 38

Prawo do dostępu do danych osobowych, ich sprostowania, uzupełnienia, usunięcia oraz do ograniczenia przetwarzania

1. Aby wykonywać prawa przysługujące na mocy art. 15–18 rozporządzenia (UE) 2016/679, każda osoba ma prawo do uzyskania informacji na temat dotyczących jej danych zarejestrowanych w VIS oraz na temat państwa członkowskiego, które wprowadziło te dane do VIS. Państwo członkowskie, która otrzymuje wniosek, musi go rozpatrzyć i udzielić na niego odpowiedzi jak najszybciej, nie później niż w terminie jednego miesiąca od otrzymania wniosku.

2. Każda osoba może wystąpić z wnioskiem o sprostowanie nieprawidłowych danych jej dotyczących i o usunięcie danych zarejestrowanych niezgodnie z prawem.

Jeżeli wniosek jest skierowany do odpowiedzialnego państwa członkowskiego, w przypadku stwierdzenia, że dane VIS są niezgodne ze stanem faktycznym lub zostały zarejestrowane niezgodnie z prawem, odpowiedzialne państwo członkowskie dokonuje zgodnie z art. 24 ust. 3 sprostowania lub usunięcia tych danych w VIS niezwłocznie, nie później niż w terminie jednego miesiąca od otrzymania wniosku. Odpowiedzialne państwo członkowskie niezwłocznie informuje osobę zainteresowaną w formie pisemnej, że podjęło działania w celu dokonania sprostowania lub usunięcia dotyczących jej danych.

Jeżeli wniosek skierowany jest do państwa członkowskiego innego niż odpowiedzialne państwo członkowskie, organy państwa członkowskiego, do którego wniosek został skierowany, kontaktują się z organami odpowiedzialnego państwa członkowskiego w terminie siedmiu dni. Odpowiedzialne państwo członkowskie podejmuje działania zgodnie z akapitem drugim niniejszego ustępu. Państwo członkowskie, które skontaktowało się z organem odpowiedzialnego państwa członkowskiego, informuje osobę zainteresowaną o przekazaniu jej wniosku, o państwie członkowskim, do którego przekazano wniosek, i o dalszej procedurze.

3. Jeżeli odpowiedzialne państwo członkowskie nie zgadza się z twierdzeniem, że dane zarejestrowane w VIS są niezgodne ze stanem faktycznym lub zostały zarejestrowane niezgodnie z prawem, wydaje niezwłocznie decyzję administracyjną, w której wyjaśnia osobie zainteresowanej na piśmie, dlaczego nie zamierza sprostować lub usunąć dotyczących jej danych.

4. Decyzja administracyjna, o której mowa w ust. 3, zawiera też informacje przeznaczone dla osoby zainteresowanej, wyjaśniające możliwość odwołania się od tej decyzji, a w stosownych przypadkach – informacje dotyczące sposobu wniesienia sprawy lub skargi do właściwych organów lub sądów oraz informacje dotyczące pomocy dostępnej dla tej osoby, w tym ze strony właściwych organów nadzorczych.

5. Wnioski składane na podstawie ust. 1 lub 2 zawierają informacje niezbędne do zidentyfikowania osoby zainteresowanej. Takie informacje wykorzystuje się wyłącznie w celu zapewnienia możliwości wykonywania praw, o których mowa w ust. 1 lub 2.

6. Odpowiedzialne państwo członkowskie odnotowuje w formie dokumentu pisemnego, że wniesiono wniosek, o którym mowa w ust. 1 lub 2, oraz w jaki sposób został on rozpatrzony. Państwo to udostępnia ten dokument właściwym organom nadzorczym niezwłocznie, nie później jednak niż siedem dni po wydaniu decyzji o sprostowaniu lub usunięciu danych, o których mowa w ust. 2 akapit drugi, lub po wydaniu decyzji administracyjnej, o której mowa w ust. 3.

7. Na zasadzie odstępstwa od ust. 1–6 niniejszego artykułu i wyłącznie w odniesieniu do danych zawartych w uzasadnionych opiniach, które są rejestrowane w VIS zgodnie z art. 9e ust. 6, art. 9g ust. 6 oraz art. 22b ust. 14 i 16 w wyniku zapytań na podstawie art. 9a i 22b, państwo członkowskie podejmuje decyzję o nieprzekazywaniu całości lub części informacji osobie zainteresowanej, zgodnie z prawem krajowym lub unijnym, w zakresie i przez okres, w jakim takie częściowe lub całkowite ograniczenie stanowi niezbędny i proporcjonalny środek w społeczeństwie demokratycznym, przy należytym uwzględnieniu praw podstawowych i uzasadnionych interesów osoby zainteresowanej, po to aby:

a) uniemożliwić utrudnianie prowadzenia urzędowych lub sądowych postępowań wyjaśniających, postępowań przygotowawczych lub procedur;

b) uniemożliwić utrudnianie zapobiegania przestępstwom, ich wykrywania, prowadzenia w ich sprawie postępowań przygotowawczych lub ich ścigania lub wykonywania kar;

c) chronić bezpieczeństwo publiczne;

d) chronić bezpieczeństwo narodowe; lub

e) chronić prawa i wolności innych osób.

W przypadkach, o których mowa w akapicie pierwszym, państwo członkowskie bez zbędnej zwłoki informuje na piśmie osobę zainteresowaną o odmowie lub ograniczeniu dostępu oraz o powodach takiej odmowy lub takiego ograniczenia. Informacje takie można pominąć, jeżeli ich przekazanie godziłoby w jeden z celów określonych w akapicie pierwszym lit. a)–e). Państwo członkowskie informuje osobę zainteresowaną o możliwości wniesienia skargi do organu nadzorczego lub możliwości skorzystania ze środka ochrony prawnej przed sądem.

Państwo członkowskie dokumentuje faktyczne lub prawne powody swojej decyzji o nieprzekazywaniu informacji osoby zainteresowanej. Informacje te udostępnia się organom nadzorczym.

W takich przypadkach osoba zainteresowana może również wykonywać swoje prawa za pośrednictwem właściwych organów nadzorczych.