Artykuł 12

1. Przekazywanie, przechowywanie i innego rodzaju przetwarzanie danych osobowych w systemie informacyjnym może odbywać się, o ile jest to konieczne i proporcjonalne oraz wyłącznie w następujących celach:

a) wspieranie komunikacji między uczestnikami systemu informacyjnego w związku z wdrażaniem i egzekwowaniem przepisów na podstawie rozporządzenia (UE) 2023/1115;

b) rozpatrywanie spraw przez uczestników systemu informacyjnego podczas prowadzenia własnej działalności w związku z wdrażaniem i egzekwowaniem przepisów na podstawie rozporządzenia (UE) 2023/1115;

c) przeprowadzanie transformacji biznesowej i technicznej danych wymienionych w niniejszym rozporządzeniu, jeżeli jest to konieczne do umożliwienia wymiany i wykorzystania informacji, o których mowa w lit. a) i b).

2. Przetwarzanie danych osobowych w systemie informacyjnym może się odbywać wyłącznie w odniesieniu do następujących kategorii danych osobowych:

a) dane dotyczące tożsamości: imię i nazwisko, niepowtarzalny identyfikator, w tym numer rejestracyjny i identyfikacyjny przedsiębiorcy („EORI”), zgodnie z art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 (

1

), w stosownych przypadkach;

b) służbowe dane kontaktowe: adres e-mail i adres pocztowy, państwo zamieszkania lub państwo siedziby statutowej, numer telefonu i numer faksu, w stosownych przypadkach;

c) rola użytkownika systemu informacyjnego;

d) dane dotyczące geolokalizacji w rozumieniu art. 2 pkt 28 rozporządzenia (UE) 2023/1115, na podstawie których można zidentyfikować poszczególne osoby;

e) dane uwierzytelniające użytkownika i dane dostępu umożliwiające dostęp do systemu informacyjnego: adres IP i nazwa użytkownika.

3. W systemie informacyjnym przechowuje się kategorie danych osobowych wymienione w ust. 2 przetworzone w celu wdrożenia i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

4. Przechowywanie danych, o których mowa w ust. 2, odbywa się z wykorzystaniem infrastruktury informatycznej znajdującej się na terytorium Europejskiego Obszaru Gospodarczego.

5. System informacyjny przechowuje dane osobowe zawarte w oświadczeniach o należytej staranności przez okres nie dłuższy niż pięć lat od daty złożenia oświadczenia o należytej staranności w systemie informacyjnym lub, w przypadku grupowania zgodnie z art. 8a, od daty zgrupowania; system informacyjny przechowuje dane osobowe zawarte w uproszczonych deklaracjach przez okres nie dłuższy niż pięć lat od daty wycofania uproszczonej deklaracji z systemu informacyjnego. Komisja może dodatkowo przedłużyć okres przechowywania danych na indywidualny wniosek użytkowników systemu informacyjnego lub uczestników systemu informacyjnego, jeżeli jest to konieczne do wypełnienia ich odpowiedzialności i obowiązków wynikających z rozporządzenia (UE) 2023/1115.

6. Bez uszczerbku dla czynności przetwarzania danych określonych w art. 14 każdy uczestnik systemu informacyjnego jest odrębnym administratorem w rozumieniu rozporządzeń (UE) 2016/679 oraz (UE) 2018/1725 w odniesieniu do czynności przetwarzania danych wykonywanych przez tego uczestnika systemu informacyjnego.

7. Krajowe organy nadzorcze i Europejski Inspektor Ochrony Danych, działając w ramach swoich odpowiednich kompetencji, zapewniają skoordynowany nadzór nad systemem informacyjnym oraz korzystaniem z niego przez uczestników systemu informacyjnego i użytkowników systemu informacyjnego zgodnie z art. 62 rozporządzenia (UE) 2018/1725.