Rozporządzenie wykonawcze Komisji (UE) 2024/3084 z dnia 4 grudnia 2024 r. w sprawie funkcjonowania systemu informacyjnego przewidzianego w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2023/1115 w sprawie udostępniania na rynku unijnym i wywozu z Unii niektórych towarów i produktów związanych z wylesianiem i degradacją lasów

Artykuł 1

Przedmiot

Niniejsze rozporządzenie ustanawia przepisy dotyczące funkcjonowania systemu informacyjnego, w tym przepisy dotyczące ochrony danych osobowych i wymiany danych z innymi systemami informatycznymi, oraz rozwiązania awaryjne w przypadku niedostępności funkcji systemu informacyjnego.

Artykuł 2

Wdrożenie i wykorzystanie systemu informacyjnego

1. Komisja:

a) opracowuje system informacyjny;

b) zapewnia funkcjonowanie, utrzymanie, wsparcie oraz wszelkie niezbędne aktualizacje lub rozwój systemu informacyjnego.

2. System informacyjny jest wykorzystywany przez podmioty i, w stosownych przypadkach, ich upoważnionych przedstawicieli do składania oświadczeń o należytej staranności i uproszczonych deklaracji oraz zarządzania nimi, przez państwa członkowskie do udostępniania informacji zgodnie z art. 4a ust. 4 rozporządzenia (UE) 2023/1115 oraz przez podmioty na dalszych etapach łańcucha dostaw i podmioty handlowe do wypełniania ich obowiązków zgodnie z rozporządzeniem (UE) 2023/1115. Jest on również wykorzystywany przez właściwe organy, organy celne i Komisję do celów dostępu do i przetwarzania oświadczeń o należytej staranności i uproszczonych deklaracji oraz podejmowania na ich podstawie działań, w tym do wymiany informacji zawierających dane osobowe między właściwymi organami, organami celnymi i Komisją w związku z wdrażaniem i egzekwowaniem rozporządzenia (UE) 2023/1115. Wszelka taka wymiana informacji musi być zgodna z przepisami dotyczącymi ochrony danych osobowych określonymi w rozporządzeniach (UE) 2016/679 i (UE) 2018/1725.

3. Oświadczenia o należytej staranności przypisuje się w systemie informacyjnym do właściwych organów w następującej kolejności:

a) jeżeli użytkownik systemu informacyjnego przedstawi informacje wskazujące państwo członkowskie, w którym odnośny produkt jest wprowadzany na rynek unijny lub z niego wyprowadzany lub, w przypadku braku takich informacji, w którym odnośny produkt jest wprowadzany do obrotu lub udostępniany na rynku, oświadczenia o należytej staranności przypisuje się do właściwych organów tego państwa członkowskiego;

b) w przypadku braku informacji wymaganych w lit. a) oświadczenia o należytej staranności przypisuje się do właściwych organów państwa członkowskiego, w którym użytkownik systemu informacyjnego ma siedzibę. W przypadku gdy użytkownik systemu informacyjnego ma siedzibę poza Unią, oświadczenia o należytej staranności przypisuje się do właściwych organów państwa członkowskiego, z którym użytkownik systemu informacyjnego jest powiązany zgodnie z jego identyfikatorem podanym przy rejestracji w systemie informacyjnym.

4. Uproszczone deklaracje przypisuje się w systemie informacyjnym właściwym organom państwa członkowskiego, w którym mikropodmiot pierwotny lub mały podmiot pierwotny ma siedzibę. Jeżeli mikropodmiot pierwotny lub mały podmiot pierwotny ma siedzibę poza Unią, uproszczoną deklarację przypisuje się właściwym organom państwa członkowskiego, z którym mikropodmiot pierwotny lub mały podmiot pierwotny jest powiązany zgodnie z niepowtarzalnym identyfikatorem mikropodmiotu pierwotnego lub małego podmiotu pierwotnego podanym w systemie informacyjnym. Jeżeli informacje na temat uproszczonej deklaracji są udostępniane w systemie informacyjnym przez państwo członkowskie zgodnie z art. 4a ust. 4 rozporządzenia (UE) 2023/1115, uproszczoną deklarację przypisuje się właściwym organom tego państwa członkowskiego.

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia, oprócz definicji określonych w art. 2 rozporządzenia (UE) 2023/1115, art. 4 rozporządzenia (UE) 2016/679 i art. 3 rozporządzenia (UE) 2018/1725, stosuje się następujące definicje:

a) „system informacyjny” oznacza system informacyjny ustanowiony i utrzymywany przez Komisję zgodnie z art. 33 rozporządzenia (UE) 2023/1115;

b) „uczestnik systemu informacyjnego” oznacza właściwe organy i organy celne w rozumieniu rozporządzenia (UE) 2023/1115 oraz Komisję, które wykonują zadania powierzone im zgodnie z rozporządzeniem (UE) 2023/1115;

c) „użytkownik systemu informacyjnego” oznacza podmioty, w tym mikropodmioty pierwotne lub małe podmioty pierwotne, oraz – w stosownych przypadkach – ich upoważnionych przedstawicieli, podmioty na dalszych etapach łańcucha dostaw i podmioty handlowe, w rozumieniu rozporządzenia (UE) 2023/1115, a także państwa członkowskie działające zgodnie z art. 4a ust. 4 tego rozporządzenia, które identyfikuje się w drodze indywidualnej rejestracji w ramach EU Login – usługi uwierzytelniania użytkownika Komisji – oraz przez nadanie im niepowtarzalnego identyfikatora;

d) „oświadczenie o należytej staranności” oznacza oświadczenie o należytej staranności złożone przez użytkownika systemu informacyjnego zgodnie z rozporządzeniem (UE) 2023/1115;

da) „uproszczona deklaracja” oznacza uproszczoną deklarację złożoną przez użytkownika systemu informacyjnego zgodnie z art. 4a ust. 2 rozporządzenia (UE) 2023/1115;

e) „numer referencyjny” oznacza numer referencyjny przypisany przez system informacyjny oświadczeniu o należytej staranności;

ea) „identyfikator deklaracji” oznacza identyfikator przypisany przez system informacyjny uproszczonej deklaracji;

f) „numer weryfikacyjny” oznacza numer zabezpieczający przypisany przez system informacyjny oświadczeniu o należytej staranności lub uproszczonej deklaracji w celu zapewnienia dodatkowego zabezpieczenia zawartych w nich danych;

g) „tworzenie profilu ryzyka” oznacza identyfikację ryzyka niezgodności odnośnego produktu objętego zakresem stosowania rozporządzenia (UE) 2023/1115 w systemie informacyjnym, na podstawie kryteriów ryzyka, do celów przypisania każdemu oświadczeniu o należytej staranności i uproszczonej deklaracji składanym w systemie informacyjnym, w tym po każdej ich zmianie lub aktualizacji, statusu ryzyka odzwierciedlającego to ryzyko.

Artykuł 4

Składanie oświadczeń o należytej staranności

1. Z wyjątkiem sytuacji, w których oświadczenie o należytej staranności jest udostępniane za pośrednictwem elektronicznego interfejsu, o którym mowa w art. 28 ust. 2 rozporządzenia (UE) 2023/1115, użytkownicy systemu informacyjnego składają oświadczenia o należytej staranności dotyczące odnośnych produktów i zarządzają nimi w systemie informacyjnym.

2. W przypadku gdy odnośny produkt zawiera drewno lub został wytworzony z drewna, użytkownicy systemu informacyjnego wprowadzają do oświadczenia o należytej staranności pełne nazwy naukowe gatunków drewna, które odnośne produkty zawierają lub z których zostały wytworzone.

Artykuł 4a

Składanie, aktualizacja i wycofywanie uproszczonych deklaracji

1. Użytkownik systemu informacyjnego składa uproszczoną deklarację w systemie informacyjnym, z wyjątkiem przypadków, gdy informacje są udostępniane zgodnie z ust. 2.

2. W przypadku gdy wszystkie informacje wymienione w załączniku III do rozporządzenia (UE) 2023/1115 są dostępne w systemie lub bazie danych istniejących na mocy prawa Unii lub prawa państwa członkowskiego, system informacyjny umożliwia państwom członkowskim udostępnianie tych informacji oraz, w stosownych przypadkach, ich aktualizacji w systemie informacyjnym w podziale na mikropodmioty pierwotne lub małe podmioty pierwotne, o których mowa w art. 4a ust. 4 rozporządzenia (UE) 2023/1115. System informacyjny przypisuje identyfikator deklaracji w odniesieniu do informacji udostępnianych przez poszczególne mikropodmioty pierwotne lub małe podmioty pierwotne. Zainteresowane państwo członkowskie przekazuje identyfikator deklaracji odpowiedniemu mikropodmiotowi pierwotnemu lub małemu podmiotowi pierwotnemu, a ten ostatni wykorzystuje go do celów rozporządzenia (UE) 2023/1115 i niniejszego rozporządzenia.

3. Aktualizację uproszczonej deklaracji składa się i udostępnia w systemie informacyjnym zgodnie z ust. 1 i 2. W przypadku aktualizacji zachowuje się identyfikator deklaracji powiązany z uproszczoną deklaracją.

4. System informacyjny rejestruje uproszczone deklaracje i wszelkie ich aktualizacje.

5. Aktualizacja uproszczonej deklaracji powoduje utworzenie nowego profilu ryzyka całej zaktualizowanej uproszczonej deklaracji zgodnie z art. 6.

6. System informacyjny umożliwia użytkownikom systemu informacyjnego wycofanie uproszczonych deklaracji.

7. Uproszczonych deklaracji nie można wycofać po wykorzystaniu uproszczonej deklaracji jako odniesienia przez tego samego użytkownika systemu informacyjnego zgodnie z art. 8a.

Artykuł 5

Zmiana i wycofanie oświadczeń o należytej staranności

1. System informacyjny musi umożliwiać użytkownikom systemu informacyjnego zmianę lub wycofanie oświadczeń o należytej staranności w ciągu 72 godzin od udostępnienia w systemie informacyjnym numeru referencyjnego oświadczenia o należytej staranności.

2. Oświadczeń o należytej staranności nie można zmienić ani wycofać po wykorzystaniu oświadczenia o należytej staranności jako odniesienia w oświadczeniu o należytej staranności złożonym przez tego samego użytkownika systemu informacyjnego do celów grupowania zgodnie z art. 8a.

3. Użytkownik systemu informacyjnego nie może zmienić ani wycofać oświadczenia o należytej staranności po tym, jak:

a) użytkownik systemu informacyjnego został powiadomiony o zamiarze przeprowadzenia kontroli oświadczenia o należytej staranności lub odnośnego produktu powiązanego z oświadczeniem o należytej staranności, przez okres kontroli;

b) odnośny produkt objęty oświadczeniem o należytej staranności został wprowadzony do obrotu w Unii lub wywieziony zgodnie z rozporządzeniem (UE) 2023/1115;

c) numer referencyjny oświadczenia o należytej staranności został przekazany lub udostępniony organom celnym przed dopuszczeniem do obrotu lub wywozem odnośnego produktu wprowadzanego do obrotu na rynku lub opuszczającego rynek w ramach procedur określonych w rozdziale 4 rozporządzenia (UE) 2023/1115.

4. Bez uszczerbku dla ust. 2 i 3, na indywidualny i uzasadniony wniosek użytkownika systemu informacyjnego właściwe organy mogą przedłużyć termin, o którym mowa w ust. 1, wyłącznie po upływie takiego terminu, o którym mowa w ust. 1. Takie przedłużenie nie może być dłuższe niż 8 dni kalendarzowych. U podstaw takiego wniosku muszą leżeć przyczyny niezależne od użytkownika systemu informacyjnego, który w swoim uzasadnionym wniosku oświadcza, że ust. 3 niniejszego artykułu nie ma zastosowania. Takie przedłużenie może być również wydane z mocą wsteczną po upływie terminu, o którym mowa w ust. 1.

5. Zmienione oświadczenie o należytej staranności podlega utworzeniu profilu ryzyka określonemu w art. 6. Utworzenie profilu ryzyka ma zastosowanie do całego zmienionego oświadczenia o należytej staranności.

Artykuł 6

Tworzenie profilu ryzyka

1. System informacyjny musi umożliwiać właściwym organom zidentyfikowanie w systemie informacyjnym sytuacji, w których odnośne produkty stwarzają tak wysokie ryzyko niezgodności, że wymagane jest podjęcie natychmiastowego działania przed wprowadzeniem tych odnośnych produktów do obrotu, udostępnieniem ich na rynku lub wywozem, zgodnie z art. 17 rozporządzenia (UE) 2023/1115, oraz uzyskanie przez właściwe organy informacji na potrzeby dokonania identyfikacji kontroli, które należy przeprowadzić, i do wykonania zadań powierzonych im na podstawie rozdziału 3 rozporządzenia (UE) 2023/1115.

2. Do celów ust. 1 system informacyjny musi umożliwiać właściwym organom tworzenie w systemie informacyjnym profili ryzyka, które pomogą podjąć świadomą decyzję dotyczącą wyboru podmiotów, w tym mikropodmiotów pierwotnych lub małych podmiotów pierwotnych, podmiotów na dalszych etapach łańcucha dostaw, podmiotów handlowych, lub odnośnych produktów związanych z oświadczeniami o należytej staranności i uproszczonymi deklaracjami, w odniesieniu do których należy przeprowadzić kontrole. Te profile ryzyka opierają się między innymi na kryteriach ryzyka określonych w rocznym planie kontroli właściwych organów, o którym mowa w art. 16 ust. 5 rozporządzenia (UE) 2023/1115.

3. Po przedłożeniu w systemie informacyjnym każde oświadczenie o należytej staranności i uproszczona deklaracja podlegają automatycznemu elektronicznemu tworzeniu profilu ryzyka, a system informacyjny nadaje każdemu oświadczeniu o należytej staranności i każdej uproszczonej deklaracji status ryzyka, którego nie ujawnia się użytkownikowi systemu informacyjnego.

4. Na każdym etapie po przedłożeniu oświadczenia o należytej staranności lub uproszczonej deklaracji, w tym po zgrupowaniu zgodnie z art. 8a, właściwe organy mogą dokonać przeglądu oświadczenia o należytej staranności lub uproszczonej deklaracji w celu ustalenia, czy odnośny produkt jest zgodny z art. 3 rozporządzenia (UE) 2023/1115. W przypadku przeprowadzenia takiego przeglądu właściwe organy mogą nadać nowy status ryzyka oświadczeniu o należytej staranności lub uproszczonej deklaracji, bądź ich grupie, w stosownych przypadkach. Jeżeli właściwy organ nada nowy status ryzyka oświadczeniu o należytej staranności lub uproszczonej deklaracji bądź ich grupie, taki nowy status ryzyka ma pierwszeństwo przed statusem ryzyka nadanym na podstawie ust. 3 niniejszego artykułu. System informacyjny rejestruje wszelkie zmiany wprowadzone w statusie ryzyka uproszczonej deklaracji lub jej grup.

5. Status ryzyka przypisany oświadczeniu o należytej staranności lub uproszczonej deklaracji udostępnia się wyłącznie uczestnikom systemu informacyjnego.

Artykuł 7

Przypisywanie i udostępnianie numerów referencyjnych, identyfikatorów deklaracji i numerów weryfikacyjnych

1. Po zakończeniu tworzenia profilu ryzyka, o którym mowa w art. 6, system informacyjny bez zbędnej zwłoki przypisuje numer referencyjny do oświadczenia o należytej staranności i identyfikator deklaracji do uproszczonej deklaracji złożonych przez użytkownika systemu informacyjnego. Jednocześnie przypisuje on numer weryfikacyjny powiązany z oświadczeniem o należytej staranności lub uproszczoną deklaracją.

2. Numer referencyjny lub identyfikator deklaracji oraz powiązany numer weryfikacyjny udostępnia się użytkownikowi systemu informacyjnego po zakończeniu tworzenia profilu ryzyka, o którym mowa w art. 6.

3. System informacyjny musi umożliwiać właściwym organom opóźnienie udostępnienia numeru referencyjnego lub identyfikatora deklaracji oraz powiązanego numeru weryfikacyjnego, tak aby miały one czas na ustalenie, czy odnośne produkty są zgodne z art. 3 rozporządzenia (UE) 2023/1115, a w szczególności w celu sprawdzenia, czy określona sytuacja, o której mowa w art. 6 ust. 1 niniejszego rozporządzenia, nie ma zastosowania do tego odnośnego produktu. Takie opóźnienie musi być jak najkrótsze i nie może przekraczać okresu określonego w art. 17 ust. 3 rozporządzenia (UE) 2023/1115. Okres ten może zostać przedłużony według uznania właściwego organu na tak długo, jak jest to konieczne, o dodatkowe okresy, jak określono w art. 17 ust. 3 rozporządzenia (UE) 2023/1115, w celu przeprowadzenia przez niego kontroli i wypełnienia obowiązków wynikających z rozporządzenia (UE) 2023/1115 i niniejszego rozporządzenia.

Artykuł 8

Odrzucenie oświadczeń o należytej staranności i uproszczonych deklaracji

1. Właściwe organy mogą odrzucić oświadczenie o należytej staranności lub uproszczoną deklarację w okresie określonym w art. 17 ust. 3 rozporządzenia (UE) 2023/1115, począwszy od momentu stwierdzenia wysokiego ryzyka niezgodności w systemie informacyjnym zgodnie z art. 6. Po udostępnieniu użytkownikowi systemu informacyjnego numeru referencyjnego oświadczenia o należytej staranności odrzucenie oświadczenia o należytej staranności staje się niemożliwe.

2. Odnośny produkt zgłoszony w odrzuconym oświadczeniu o należytej staranności lub odrzuconej uproszczonej deklaracji uznaje się za nieobjęty oświadczeniem o należytej staranności lub uproszczoną deklaracją wymaganą w art. 3 lit. c) rozporządzenia (UE) 2023/1115 od momentu odrzucenia.

3. Odrzucenie uwzględnia się w systemie informacyjnym, przypisując danemu oświadczeniu o należytej staranności lub uproszczonej deklaracji określony status.

Artykuł 8a

Grupowanie oświadczeń o należytej staranności i uproszczonych deklaracji w systemie informacyjnym

1. Użytkownicy systemu informacyjnego mogą grupować indywidualne oświadczenia o należytej staranności lub uproszczone deklaracje poprzez złożenie nowego oświadczenia o należytej staranności lub nowej uproszczonej deklaracji, które odnoszą się do indywidualnych oświadczeń o należytej staranności lub uproszczonych deklaracji złożonych wcześniej przez tego samego użytkownika systemu informacyjnego lub złożonych przez upoważnionego przedstawiciela w odniesieniu do tego samego podmiotu lub mikropodmiotu pierwotnego lub małego podmiotu pierwotnego, w stosownych przypadkach, za pośrednictwem wcześniej przedłożonych numerów referencyjnych lub identyfikatorów deklaracji („zgrupowane oświadczenie o należytej staranności lub zgrupowana uproszczona deklaracja”).

2. System informacyjny nadaje określony status indywidualnym oświadczeniom o należytej staranności lub uproszczonym deklaracjom, gdy tylko zostaną one wymienione w zgrupowanym oświadczeniu o należytej staranności lub zgrupowanej uproszczonej deklaracji, w celu wskazania, że zostały one zgrupowane i zastąpione zgrupowanym oświadczeniem o należytej staranności lub zgrupowaną uproszczoną deklaracją.

3. Zgrupowane oświadczenie o należytej staranności lub zgrupowana uproszczona deklaracja stanowią indywidualne oświadczenie o należytej staranności lub uproszczoną deklarację do celów zgodności z rozporządzeniem (UE) 2023/1115. Zgrupowane oświadczenie o należytej staranności lub zgrupowana uproszczona deklaracja obejmują zatem wprowadzanie do obrotu lub wywóz odnośnych produktów wymienionych w indywidualnych oświadczeniach o należytej staranności lub uproszczonych deklaracjach, do których się odnoszą. Do celów zgodności z art. 4 ust. 7 i art. 26 ust. 4 rozporządzenia (UE) 2023/1115 zamiast indywidualnych numerów referencyjnych lub identyfikatorów deklaracji, którym przypisano szczególny status zgodnie z ust. 2, użytkownicy systemu informacyjnego przekazują lub udostępniają numer referencyjny zgrupowanego oświadczenia o należytej staranności lub identyfikator zgrupowanej lub uproszczonej deklaracji.

Artykuł 9

Funkcje i obowiązki Komisji

Oprócz zadań wymienionych w art. 2 ust. 1 Komisja jest odpowiedzialna za wykonywanie następujących zadań w odniesieniu do systemu informacyjnego:

a) zapewnianie wiedzy, szkoleń i wsparcia, w tym pomocy technicznej, użytkownikom systemu informacyjnego i uczestnikom systemu informacyjnego w związku z korzystaniem z tego systemu oraz, w przypadku gdy wymagana jest krajowa wiedza fachowa, zwracanie się o pomoc do właściwych organów w przypadkach wymagających krajowej wiedzy fachowej;

b) udzielanie dostępu uczestnikom systemu informacyjnego wyznaczonym przez każde państwo członkowskie;

c) udzielanie dostępu użytkownikom systemu informacyjnego, którzy podlegają nadzorowi właściwych organów i z nimi współpracują, w razie potrzeby, w celu zweryfikowania informacji identyfikacyjnych przekazanych przez użytkowników systemu informacyjnego oraz innych informacji, których ważność mogą ocenić wyłącznie państwa członkowskie;

ca) opracowanie w systemie informacyjnym funkcji umożliwiającej właściwym organom zarządzanie użytkownikami systemu informacyjnego, w tym czynności wymienione w lit. h), oraz ekstrakcję danych dotyczących użytkowników systemu informacyjnego;

d) przetwarzanie danych osobowych w systemie informacyjnym, jeżeli jest to wymagane na mocy niniejszego rozporządzenia, lub do celów wdrażania i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115;

e) świadczenie usług sieciowych opartych na wspólnych specyfikacjach technicznych, pozwalających użytkownikom systemu informacyjnego na automatyczne składanie oświadczeń o należytej staranności i uproszczonych deklaracji oraz zarządzanie nimi, w tym grupowanie ich, a także, w stosownych przypadkach, ustanawianie warunków łączenia się z tymi usługami sieciowymi i korzystania z nich;

f) świadczenie usług sieciowych opartych na wspólnych specyfikacjach technicznych, pozwalających właściwym organom państw członkowskich na automatyczne wykonywanie zadań w odniesieniu do złożonych oświadczeń o należytej staranności i uproszczonych deklaracji, w tym grupowanie ich, w systemie informacyjnym, a także, w stosownych przypadkach, ustanawianie warunków łączenia się z tymi usługami sieciowymi i korzystania z nich;

g) zapewnienie elektronicznego interfejsu zgodnie z art. 28 rozporządzenia (UE) 2023/1115;

h) zawieszanie i cofanie dostępu użytkowników systemu informacyjnego, w tym w celu reagowania na przypadki nieprzestrzegania wymogów ustanowionych w rozporządzeniu (UE) 2023/1115 lub niniejszym rozporządzeniu, na wniosek właściwych organów państwa członkowskiego, w którym dany użytkownik systemu informacyjnego ma siedzibę, lub – w przypadku gdy użytkownik ma siedzibę poza Unią – właściwych organów państwa członkowskiego, z którym użytkownik systemu informacyjnego jest powiązany zgodnie z jego niepowtarzalnym identyfikatorem podanym przy rejestracji w systemie informacyjnym.

Artykuł 10

Prawa dostępu użytkowników systemu informacyjnego

1. Dostęp do systemu informacyjnego mają wyłącznie zarejestrowani użytkownicy systemu informacyjnego. Użytkownicy systemu informacyjnego tworzą pojedyncze konta w systemie informacyjnym. System informacyjny umożliwia użytkownikom systemu informacyjnego tworzenie różnych ról w ramach tego samego konta.

2. Uwierzytelnianie dostępu do systemu informacyjnego odbywa się za pośrednictwem EU Login – usługi uwierzytelniania Komisji Europejskiej.

3. Użytkownicy systemu informacyjnego mają dostęp do informacji zawartych w systemie informacyjnym, które przekazali lub do których inny użytkownik systemu informacyjnego dał im dostęp, za pomocą numerów referencyjnych i numerów weryfikacyjnych powiązanych oświadczeń o należytej staranności oraz identyfikatorów deklaracji i numerów weryfikacyjnych powiązanych uproszczonych deklaracji, w tym zgrupowanych oświadczeń o należytej staranności lub uproszczonych deklaracji.

4. System informacyjny umożliwia użytkownikom systemu informacyjnego aktualizowanie ich informacji rejestracyjnych.

Artykuł 11

Prawa dostępu uczestników systemu informacyjnego

1. Komisja ma dostęp do wszystkich danych, informacji i dokumentów w systemie informacyjnym do celów przetwarzania ich zgodnie z art. 21 i 27 ust. 1 rozporządzenia (UE) 2023/1115, sporządzania sprawozdań oraz na potrzeby opracowywania, obsługi i utrzymania systemu informacyjnego.

2. Komisja przyznaje i może cofać prawa dostępu uczestnikom systemu informacyjnego w przypadku zmiany kompetencji zgodnie z art. 14 ust. 2 rozporządzenia (UE) 2023/1115.

3. Uwierzytelnianie dostępu do systemu informacyjnego odbywa się za pośrednictwem EU Login – usługi uwierzytelniania Komisji Europejskiej.

4. Uczestnicy systemu informacyjnego wprowadzają odpowiednie środki w celu zapewnienia, aby indywidualni użytkownicy reprezentujący w systemie informacyjnym uczestników systemu informacyjnego mogli uzyskać dostęp do danych osobowych przetwarzanych w systemie informacyjnym wyłącznie wtedy, gdy jest to absolutnie niezbędne do wdrożenia i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

5. Uczestnicy systemu informacyjnego mają dostęp do wszystkich istotnych informacji w systemie informacyjnym, które są niezbędne do wypełnienia ich obowiązków i wykonania zadań na podstawie rozporządzenia (UE) 2023/1115.

Artykuł 12

Przetwarzanie danych osobowych w systemie informacyjnym

1. Przekazywanie, przechowywanie i innego rodzaju przetwarzanie danych osobowych w systemie informacyjnym może odbywać się, o ile jest to konieczne i proporcjonalne oraz wyłącznie w następujących celach:

a) wspieranie komunikacji między uczestnikami systemu informacyjnego w związku z wdrażaniem i egzekwowaniem przepisów na podstawie rozporządzenia (UE) 2023/1115;

b) rozpatrywanie spraw przez uczestników systemu informacyjnego podczas prowadzenia własnej działalności w związku z wdrażaniem i egzekwowaniem przepisów na podstawie rozporządzenia (UE) 2023/1115;

c) przeprowadzanie transformacji biznesowej i technicznej danych wymienionych w niniejszym rozporządzeniu, jeżeli jest to konieczne do umożliwienia wymiany i wykorzystania informacji, o których mowa w lit. a) i b).

2. Przetwarzanie danych osobowych w systemie informacyjnym może się odbywać wyłącznie w odniesieniu do następujących kategorii danych osobowych:

a) dane dotyczące tożsamości: imię i nazwisko, niepowtarzalny identyfikator, w tym numer rejestracyjny i identyfikacyjny przedsiębiorcy („EORI”), zgodnie z art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 (

1

), w stosownych przypadkach;

b) służbowe dane kontaktowe: adres e-mail i adres pocztowy, państwo zamieszkania lub państwo siedziby statutowej, numer telefonu i numer faksu, w stosownych przypadkach;

c) rola użytkownika systemu informacyjnego;

d) dane dotyczące geolokalizacji w rozumieniu art. 2 pkt 28 rozporządzenia (UE) 2023/1115, na podstawie których można zidentyfikować poszczególne osoby;

e) dane uwierzytelniające użytkownika i dane dostępu umożliwiające dostęp do systemu informacyjnego: adres IP i nazwa użytkownika.

3. W systemie informacyjnym przechowuje się kategorie danych osobowych wymienione w ust. 2 przetworzone w celu wdrożenia i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

4. Przechowywanie danych, o których mowa w ust. 2, odbywa się z wykorzystaniem infrastruktury informatycznej znajdującej się na terytorium Europejskiego Obszaru Gospodarczego.

5. System informacyjny przechowuje dane osobowe zawarte w oświadczeniach o należytej staranności przez okres nie dłuższy niż pięć lat od daty złożenia oświadczenia o należytej staranności w systemie informacyjnym lub, w przypadku grupowania zgodnie z art. 8a, od daty zgrupowania; system informacyjny przechowuje dane osobowe zawarte w uproszczonych deklaracjach przez okres nie dłuższy niż pięć lat od daty wycofania uproszczonej deklaracji z systemu informacyjnego. Komisja może dodatkowo przedłużyć okres przechowywania danych na indywidualny wniosek użytkowników systemu informacyjnego lub uczestników systemu informacyjnego, jeżeli jest to konieczne do wypełnienia ich odpowiedzialności i obowiązków wynikających z rozporządzenia (UE) 2023/1115.

6. Bez uszczerbku dla czynności przetwarzania danych określonych w art. 14 każdy uczestnik systemu informacyjnego jest odrębnym administratorem w rozumieniu rozporządzeń (UE) 2016/679 oraz (UE) 2018/1725 w odniesieniu do czynności przetwarzania danych wykonywanych przez tego uczestnika systemu informacyjnego.

7. Krajowe organy nadzorcze i Europejski Inspektor Ochrony Danych, działając w ramach swoich odpowiednich kompetencji, zapewniają skoordynowany nadzór nad systemem informacyjnym oraz korzystaniem z niego przez uczestników systemu informacyjnego i użytkowników systemu informacyjnego zgodnie z art. 62 rozporządzenia (UE) 2018/1725.

Artykuł 13

Przetwarzanie danych osobowych przez Komisję

1. Komisja jest administratorem w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych użytkowników systemu informacyjnego, w tym przetwarzania danych osobowych podczas rejestracji użytkowników systemu informacyjnego w systemie informacyjnym.

2. W przypadku gdy Komisja przetwarza dane osobowe w ramach funkcjonowania systemu informacyjnego w imieniu innych uczestników systemu informacyjnego do celów wymiany informacji na podstawie art. 27 rozporządzenia (UE) 2023/1115, uznaje się ją za podmiot przetwarzający w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725.

3. Komisja jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych prowadzonego na potrzeby wspólnych dochodzeń prowadzonych na podstawie art. 21 rozporządzenia (UE) 2023/1115 w kontekście wdrażania i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

Artykuł 14

Współadministrowanie systemem informacyjnym

W przypadku gdy właściwe organy i organy celne w rozumieniu rozporządzenia (UE) 2023/1115 wdrażają i egzekwują przepisy we współpracy zgodnie z art. 21 rozporządzenia (UE) 2023/1115, zainteresowane właściwe organy i organy celne są współadministratorami w rozumieniu art. 26 ust. 1 rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania, przechowywania i innego przetwarzania danych osobowych w systemie informacyjnym w kontekście takiej konkretnej współpracy. Jeżeli jest to wymagane zgodnie z art. 26 ust. 1 rozporządzenia (UE) 2016/679, administratorzy określają swoje odpowiednie obowiązki w zakresie wypełniania obowiązków wynikających z rozporządzenia (UE) 2016/679 w drodze wzajemnych uzgodnień.

Artykuł 15

Bezpieczeństwo

1. Komisja wprowadza najnowocześniejsze środki niezbędne do zapewnienia bezpieczeństwa danych osobowych przetwarzanych w systemie informacyjnym, w tym stosowną kontrolę dostępu do danych oraz plan bezpieczeństwa, który podlega stałej aktualizacji.

2. Komisja wprowadza niezbędne, najnowocześniejsze środki w przypadku incydentu cyberbezpieczeństwa, podejmuje działania naprawcze i zapewnia możliwość sprawdzenia, jakie dane osobowe zostały przetworzone w systemie informacyjnym, kiedy, przez kogo i w jakim celu.

3. Komisja informuje właściwe organy o środkach dotyczących ust. 1 i 2 niniejszego artykułu.

4. Komisja może wprowadzić następujące środki:

a) środki mające na celu zapewnienie stałej dostępności systemu informacyjnego poprzez określenie warunków indywidualnych interakcji, w tym określenie limitów technicznych dotyczących rozmiaru pliku i uregulowanie częstotliwości interakcji;

b) środki zapobiegające przekazywaniu nieprawidłowych, zbędnych lub powielonych danych.

Komisja niezwłocznie informuje właściwe organy i użytkowników systemu informacyjnego o środkach wprowadzonych na podstawie niniejszego ustępu.

Artykuł 15a

Rozwiązania awaryjne

1. Do dnia 30 grudnia 2026 r. Komisja udostępnia na publicznie dostępnej stronie internetowej:

a) informacje na temat dostępności i funkcjonowania systemu informacyjnego;

b) informacje o środkach awaryjnych, które należy zastosować w przypadku nieplanowanej niedostępności funkcji systemu informacyjnego trwającej dłużej niż 60 minut.

2. Środki awaryjne, o których mowa w ust. 1 lit. b), obejmują co najmniej:

a) powiadamianie uczestników systemu informacyjnego o nieplanowanej niedostępności systemu informacyjnego za pomocą środków cyfrowych;

b) nadanie awaryjnego numeru referencyjnego i awaryjnego identyfikatora deklaracji w celu uwzględnienia produktów, w odniesieniu do których nie można złożyć oświadczenia o należytej staranności lub uproszczonej deklaracji zgodnie z rozporządzeniem (UE) 2023/1115, a numery referencyjne lub identyfikatory deklaracji nie mogą zostać przypisane ze względu na niedostępność systemu informacyjnego.

Artykuł 16

Poufność

1. Każde państwo członkowskie i Komisja stosują własne przepisy dotyczące tajemnicy zawodowej lub innych równoważnych obowiązków zachowania poufności wobec systemu informacyjnego i użytkowników systemu informacyjnego zgodnie z prawem krajowym lub unijnym.

2. Każdy uczestnik systemu informacyjnego zapewnia, aby osoby pracujące pod jego zwierzchnictwem zaspokajały żądania innych uczestników systemu informacyjnego dotyczących poufnego traktowania informacji wymienianych w systemie informacyjnym.

Artykuł 17

Tłumaczenie

1. Komisja udostępnia system informacyjny we wszystkich językach urzędowych Unii.

2. Uczestnik systemu informacyjnego może sporządzić i wykorzystywać, w związku z wykonywaniem któregokolwiek z zadań powierzonych mu zgodnie z rozporządzeniem (UE) 2023/1115, wszelkie informacje, dokumenty, ustalenia, oświadczenia lub poświadczone za zgodność z oryginałem kopie otrzymane w systemie informacyjnym, na takich samych zasadach co podobne informacje uzyskane w jego własnym państwie, do celów zgodnych z celami, do których dane zostały pierwotnie zebrane, oraz zgodnie z odpowiednimi przepisami unijnymi i krajowymi.

Artykuł 18

Koszty

1. Koszty poniesione w związku z utworzeniem, utrzymaniem i eksploatacją systemu informacyjnego ponosi Komisja.

2. Koszty związane z systemem informacyjnym na poziomie państw członkowskich, w tym koszty zasobów ludzkich niezbędnych do prowadzenia szkoleń, promocji, zapewnienia pomocy technicznej, a także użytkowania systemu informacyjnego na szczeblu krajowym, oraz koszty wszelkich niezbędnych dostosowań krajowych sieci i systemów informacyjnych pokrywa państwo członkowskie, które je ponosi.

Artykuł 19

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie trzeciego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

(

1

) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 952/2013 z dnia 9 października 2013 r. ustanawiające unijny kodeks celny (Dz.U. L 269 z 10.10.2013, s. 1, ELI: http://data.europa.eu/eli/reg/2013/952/oj).