Artykuł 53

1. Dane osobowe wymagane do stosowania art. 7 ust. 2, art. 13, art. 14 ust. 1, art. 15 ust. 1, art. 16 ust. 1 lit. d), art. 17 ust. 3, 4 i 5, art. 20 ust. 2, art. 21 ust. 2–5 oraz 7 i 8, art. 22 ust. 2 i 3, art. 23 ust. 11 i 12, art. 24 lit. f) i g), art. 27 ust. 1 i 2, art. 28 ust. 1 i 2, art. 30 ust. 3 i 4, art. 31 ust. 5, art. 33 i 34, art. 35 ust. 1, art. 37 ust. 1, art. 38 ust. 1, art. 39, art. 40 ust. 1 i 3, art. 42 ust. 1, art. 43 ust. 1 i 2, art. 45 ust. 3, art. 47 ust. 1 i 3, art. 49 ust. 2 i 4, art. 50 ust. 2 lit. c) i d) oraz art. 52 są gromadzone i przetwarzane przez organy państw członkowskich, EFCA i Komisję w następujących celach:

a) wypełnianie obowiązków polegających na wyznaczeniu odpowiednich punktów kontaktowych i prowadzeniu wymiany danych dotyczących rybołówstwa zgodnie z art. 7, 8, 13–19, 21, 22, 27–31, 33, 34, 35, 37–40, 42–46, 49, 50 i 52;

b) monitorowanie uprawnień do połowów, w tym wykorzystania kwot, zgodnie z art. 18;

c) walidacja danych zgodnie z art. 17;

d) monitorowanie, kontrola i inspekcje działalności połowowej oraz nadzór nad nią zgodnie z art. 19–47; oraz

e) postępowania dotyczące skarg, naruszeń oraz postępowań sądowych lub administracyjnych, zgodnie z art. 35–40 i 42–47.

2. Dane osobowe otrzymane zgodnie z niniejszym rozporządzeniem nie są przechowywane dłużej, niż jest to konieczne do celu, w jakim zostały zebrane, a w każdym razie nie dłużej niż 5 lat od ich zebrania, z wyjątkiem danych osobowych, które są niezbędne do rozpatrywania skarg, podejmowania działań w związku z wykryciem naruszeń oraz przeprowadzania postępowań sądowych lub administracyjnych, w których to przypadkach dane te mogą być przechowywane do czasu zakończenia danej procedury, postępowania administracyjnego lub sądowego lub do czasu wymaganego do zastosowania sankcji. Jeżeli informacje są zatrzymywane przez dłuższy okres, są wówczas anonimizowane.

3. Organy państw członkowskich uznaje się za administratorów w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych osobowych, które organy państw członkowskich gromadzą i przekazują na podstawie niniejszego rozporządzenia.

4. Komisję i EFCA uznaje się za administratorów w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych, które Komisja i EFCA gromadzą i przekazują na podstawie niniejszego rozporządzenia.

5. Oprócz obowiązków określonych w rozporządzeniach (UE) 2016/679 i (UE) 2018/1725 organy państw członkowskich, EFCA i Komisja:

a) zapewniają zachowanie poufności podczas przesyłania i odbierania danych elektronicznych;

b) podejmują środki niezbędne do spełnienia wymogów dotyczących poufności i bezpieczeństwa zawartych w zaleceniach zatwierdzonych przez NEAFC, w tym odpowiednie protokoły szyfrowania w celu zapewnienia poufności i autentyczności;

c) w razie potrzeby, na wniosek Sekretariatu NEAFC, korygują lub kasują sprawozdania lub komunikaty w formie elektronicznej, które przetwarzano w sposób niezgodny z niniejszym rozporządzeniem;

d) zapewniają, aby dane elektroniczne były przechowywane i wykorzystywane wyłącznie do monitorowania, kontroli, inspekcji i egzekwowania przepisów lub w innych celach określonych w niniejszym rozporządzeniu; oraz

e) zapewniają, aby do wszystkich transmisji danych elektronicznych wykorzystywano systemy teleinformatyczne należycie przetestowane przez Sekretariat NEAFC.

6. Organy państw członkowskich, EFCA i Komisja zapewniają bezpieczeństwo przetwarzania danych osobowych w odniesieniu do przetwarzania danych osobowych, które ma miejsce w celu stosowania niniejszego rozporządzenia, w tym przetwarzania danych osobowych przez organy mające prawo dostępu do odpowiednich baz danych dotyczących rybołówstwa. W szczególności organy państw członkowskich, EFCA i Komisja stosują niezbędne środki, w tym plan ciągłości działania i środki mające na celu zapewnienie zgodności z wytycznymi i warunkami dotyczącymi systemu zarządzania bezpieczeństwem informacji, przyjętymi w zaleceniu NEAFC 08:2014, w celu:

a) fizycznej ochrony danych, w tym poprzez opracowywanie planów awaryjnych służących ochronie infrastruktury krytycznej;

b) uniemożliwienia nieuprawnionego odczytywania, kopiowania, zmieniania lub usuwania nośników danych;

c) zapobiegania nieuprawnionemu wprowadzaniu danych i nieuprawnionemu dostępowi do zarejestrowanych danych osobowych, ich nieuprawnionej zmianie lub nieuprawnionemu usuwaniu;

d) zapobiegania nieuprawnionemu przetwarzaniu danych i nieuprawnionemu kopiowaniu, modyfikacji lub usuwaniu danych;

e) zapewnienia, aby osoby upoważnione do dostępu do odpowiednich baz danych dotyczących rybołówstwa miały dostęp jedynie do danych objętych ich upoważnieniem dostępu, wyłącznie za pomocą indywidualnych identyfikatorów użytkownika oraz poufnych trybów dostępu;

f) zapewnienia możliwości weryfikacji i ustalenia, którym organom mogą być przekazywane dane osobowe oraz jakie dane były przetwarzane w odpowiednich bazach danych dotyczących rybołówstwa, kiedy, przez kogo i w jakim celu;

g) uniemożliwienia nieuprawnionego odczytu, kopiowania, modyfikowania lub usuwania danych osobowych w trakcie przekazywania danych osobowych do lub z odpowiednich baz danych dotyczących rybołówstwa lub podczas transportu nośników danych, w szczególności za pomocą odpowiednich technik szyfrowania; oraz

h) monitorowania skuteczności środków bezpieczeństwa, o których mowa w niniejszym ustępie, oraz podejmowania niezbędnych środków organizacyjnych w zakresie kontroli wewnętrznej, aby zapewnić zgodność z niniejszym rozporządzeniem.

7. Obowiązki przewidziane w art. 113 rozporządzenia Rady (WE) nr 1224/2009 mają zastosowanie do danych gromadzonych i otrzymywanych w ramach niniejszego rozporządzenia.