Rozporządzenie wykonawcze Komisji (UE) 2024/3210 z dnia 18 grudnia 2024 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/956 w odniesieniu do rejestru CBAM

Artykuł 1

Przedmiot

Niniejsze rozporządzenie ustanawia zasady dotyczące infrastruktury oraz konkretnych procesów i procedur związanych z rejestrem CBAM.

Artykuł 2

Definicje

Do celów niniejszego rozporządzenia zastosowanie mają następujące definicje:

1) „krajowy komponent” oznacza komponent systemów teleinformatycznych opracowany na poziomie krajowym, dostępny w państwie członkowskim, które go stworzyło;

2) „system transeuropejski” oznacza stworzony we współpracy z Komisją zbiór współpracujących systemów o zakresie odpowiedzialności rozłożonym pomiędzy administracje krajowe i Komisję;

3) „wnioskodawca” oznacza importera lub pośredniego przedstawiciela celnego, który ubiega się o status upoważnionego zgłaszającego CBAM.

Artykuł 3

Funkcje rejestru CBAM

1. Rejestr CBAM jest znormalizowaną i bezpieczną elektroniczną bazą danych zawierającą elementy danych rachunków CBAM, deklaracji CBAM, wniosków o przyznanie statusu upoważnionego zgłaszającego CBAM, importerów towarów wymienionych w załączniku I do rozporządzenia (UE) 2023/956, rejestracji osób upoważnionych do działania w imieniu tych osób i na ich rzecz, rejestracji operatorów, raportów na temat wielkości emisji, rejestracji weryfikatorów, sprawozdań z weryfikacji wydanych przez weryfikatorów oraz dokumentów potwierdzających wydanych przez weryfikatorów, osoby niezależnej, o której mowa w art. 9 ust. 2 rozporządzenia (UE) 2023/956 („osoba niezależna”), a także innych importerów, do celów monitorowania obchodzenia przepisów, jak przewidziano w art. 27 rozporządzenia (UE) 2023/956, zapewniającą dostęp, rozpatrywanie spraw i poufność.

2. Rejestr CBAM umożliwia komunikację, powiadamianie, rejestrację, kontrole i wymianę informacji między Komisją, właściwymi organami, organami celnymi a upoważnionymi zgłaszającymi CBAM, wnioskodawcami, osobami, którym cofnięto status upoważnionego zgłaszającego CBAM, osobami upoważnionymi do działania w imieniu tych osób i na ich rzecz, operatorami, weryfikatorami oraz osobami niezależnymi.

3. Rejestr CBAM umożliwia wykonywanie zadań analitycznych, które są nieodłączną częścią funkcji analizy ryzyka CBAM i które wykonuje Komisja.

4. Komisja jest właścicielem systemu w odniesieniu do rejestru CBAM.

Artykuł 4

Struktura rejestru CBAM

1. Rejestr CBAM składa się z następujących elementów:

a) portalu CBAM dla zgłaszających (CBAM DP);

b) portalu CBAM dla właściwych organów krajowych (CBAM NCA);

c) portalu CBAM dla Komisji Europejskiej (CBAM COM);

d) portalu CBAM dla operatorów (CBAM Operator).

2. Właściwy organ państwa członkowskiego, w którym siedzibę ma upoważniony zgłaszający CBAM oraz importer, który przekroczył jednolity próg masy, o którym mowa w art. 2a rozporządzenia (UE) 2023/956 („jednolity próg masy”), oraz właściwy organ państwa członkowskiego, w którym siedzibę ma osoba inna niż upoważniony zgłaszający CBAM wprowadzająca towary na obszar celny Unii w przypadku opisanym w art. 26 ust. 2 i 2a rozporządzenia (UE) 2023/956, przekazują Komisji decyzje w sprawie kar za pośrednictwem rejestru CBAM.

Artykuł 5

Interoperacyjność z systemami celnymi

1. Rejestr CBAM jest interoperacyjny z następującymi systemami:

a) Systemem Jednolitego Zarządzania Użytkownikami i Podpisem Cyfrowym (UUM & DS), o którym mowa w art. 16 rozporządzenia wykonawczego Komisji (UE) 2025/512 (

1

), służącym do rejestracji użytkowników i zarządzania dostępem – udostępnionym państwom członkowskim, Komisji, upoważnionym zgłaszającym CBAM, wnioskodawcom, osobom, którym cofnięto upoważnienia, i osobom upoważnionym do działania w imieniu tych osób i na ich rzecz;

b) Systemem Rejestracji i Identyfikacji Przedsiębiorców (EORI), o którym mowa w art. 30 rozporządzenia wykonawczego (UE) 2025/512, umożliwiającym kontrolę krzyżową danych EORI określonych w załączniku do niniejszego rozporządzenia;

c) Systemem Surveillance, opracowanym jako system Surveillance 3 (SURV3) w ramach UKC, o którym mowa w art. 100 rozporządzenia wykonawczego (UE) 2025/512;

d) Zintegrowaną Taryfą Unii Europejskiej (TARIC), o której mowa w rozporządzeniu (EWG) nr 2658/87;

e) Systemem zarządzania ryzykiem celnym (CRMS2), o którym mowa w art. 36 rozporządzenia wykonawczego (UE) 2015/2447 i w art. 70 rozporządzenia wykonawczego (UE) 2025/512.

2. Rejestr CBAM umożliwia współpracę cyfrową za pośrednictwem unijnego środowiska jednego okienka w dziedzinie ceł, o którym mowa w art. 3 rozporządzenia (UE) 2022/2399.

3. W przypadku gdy właściwy organ stwierdzi, że importer przekracza jednolity próg masy określony w pkt 1 załącznika VII do rozporządzenia (UE) 2023/956, organy celne są o tym informowane poprzez CRMS2 za pośrednictwem rejestru CBAM.

Artykuł 6

Punkty kontaktowe dla systemów teleinformatycznych

Komisja i właściwe organy krajowe wyznaczają punkty kontaktowe dla każdego z systemów, o których mowa w art. 4 i 5, do celów wymiany informacji, aby zapewnić skoordynowaną budowę, eksploatację i utrzymanie tych komponentów. Organy celne wyznaczają również punkty kontaktowe do celów CBAM. Właściwe organy i organy celne mogą korzystać z istniejących punktów kontaktowych.

Komisja i państwa członkowskie przekazują sobie wzajemnie dane kontaktowe punktów kontaktowych i bezzwłocznie informują się nawzajem o wszelkich zmianach tych danych.

Artykuł 7

Warunki współpracy w ramach rejestru CBAM

Komisja proponuje warunki współpracy, umowę o gwarantowanym poziomie usług i plan bezpieczeństwa, które są uzgadniane z właściwymi organami. Komisja prowadzi rejestr CBAM zgodnie z warunkami współpracy.

Artykuł 8

System zarządzania dostępem dla użytkowników CBAM

1. Uwierzytelnianie i weryfikację uprawnień upoważnionych zgłaszających CBAM, wnioskodawców i osób, którym cofnięto status upoważnionego zgłaszającego CBAM, do celów dostępu do komponentów rejestru CBAM przeprowadza się z wykorzystaniem systemu UUM&DS.

Wniosek o uwierzytelnienie i weryfikację uprawnień przedkłada się właściwemu organowi państwa członkowskiego siedziby.

2. Komisja świadczy usługi uwierzytelniania umożliwiające użytkownikom rejestru CBAM uzyskanie bezpiecznego dostępu do rejestru.

3. Komisja korzysta z UUM&DS w celu upoważnienia i udzielenia swoim pracownikom dostępu do rejestru CBAM.

4. Właściwy organ państwa członkowskiego korzysta z UUM&DS w celu upoważnienia i udzielenia dostępu do rejestru CBAM swoim pracownikom, upoważnionym zgłaszającym CBAM, wnioskodawcom i osobom, którym cofnięto status upoważnionego zgłaszającego CBAM, którzy mają siedzibę w tym państwie członkowskim.

5. Właściwy organ państwa członkowskiego może korzystać z systemu zarządzania uprawnieniami i tożsamością użytkowników utworzonego w tym państwie członkowskim (krajowy system celny eIDAS) w celu zapewnienia niezbędnych danych uwierzytelniających umożliwiających uzyskanie dostępu do rejestru CBAM.

6. Wnioskodawca, upoważniony zgłaszający CBAM lub osoby, którym cofnięto status upoważnionego zgłaszającego CBAM, mogą przekazać dostęp do rejestru CBAM osobom działającym w ich imieniu. Przekazujący pozostają odpowiedzialni za wypełnianie swoich obowiązków określonych w rozporządzeniu (UE) 2023/956.

W przypadku gdy wnioskodawca, upoważniony zgłaszający CBAM lub osoba, której cofnięto status upoważnionego zgłaszającego CBAM, przekazuje dostęp do rejestru CBAM, osobę tę identyfikuje się na podstawie danych uwierzytelniających stosowanych do zarządzania dostępem do UUM & DS, o których mowa w ust. 1 i 5.

Osoba ta może w każdej chwili wystąpić o wyrejestrowanie jej z rejestru CBAM. Na taki wniosek właściwy organ państwa członkowskiego, które udzieliło dostępu do rejestru CBAM, dezaktywuje dostęp do rejestru CBAM za pośrednictwem systemu UUM & DS.

Artykuł 9

Portal CBAM dla zgłaszających

1. Portal CBAM dla zgłaszających jest jedynym punktem dostępu do rejestru CBAM dla upoważnionych zgłaszających CBAM, wnioskodawców, osób, którym cofnięto status upoważnionego zgłaszającego CBAM, oraz osób upoważnionych do działania w imieniu tych osób i na ich rzecz.

2. Portal CBAM dla zgłaszających służy do następujących celów:

a) składania wniosków o przyznanie statusu upoważnionego zgłaszającego CBAM i wniosków o cofnięcie tego statusu;

b) składania deklaracji CBAM;

c) przekazywania powiadomień i informacji związanych z obowiązkami w zakresie CBAM, w tym zarządzaniem deklaracjami CBAM;

d) korzystania z informacji przekazanych przez portal CBAM dla operatorów.

3. Dostępem do portalu CBAM dla zgłaszających zarządza się zgodnie z art. 8.

Artykuł 10

Portal CBAM dla operatorów

1. Portal CBAM dla operatorów jest jedynym punktem dostępu do rejestru CBAM dla operatorów, weryfikatorów i osób niezależnych. Portal jest dostępny w internecie.

2. Portal dla operatorów CBAM jest wykorzystywany przez operatorów, weryfikatorów i osoby niezależne zgodnie z, odpowiednio, art. 9, 10 i 10a rozporządzenia (UE) 2023/956 do następujących działań:

a) rejestrowania informacji o danym operatorze i jego instalacjach;

b) rejestrowania informacji o towarach wyprodukowanych z wykorzystaniem danej instalacji;

c) rejestrowania danych o emisji i sprawozdań z weryfikacji;

ca) ułatwiania weryfikacji i certyfikacji informacji zarejestrowanych przez operatora, weryfikatora lub upoważnionego zgłaszającego CBAM;

cb) ułatwiania wymiany informacji między operatorem, weryfikatorem, osobą niezależną i upoważnionym zgłaszającym CBAM;

d) otrzymywania powiadomień i informacji związanych z ich rejestracją i wykorzystaniem informacji w rejestrze CBAM.

3. Operator składa do Komisji wniosek o przydzielenie mu profilu w celu uzyskania dostępu do portalu CBAM dla operatorów. Do wniosku należy dołączyć dokumenty potwierdzające rejestrację działalności gospodarczej operatora lub dowód prowadzenia działalności w państwie trzecim siedziby, w tym nazwę, adres, dane kontaktowe i krajowy numer wpisu do rejestru przedsiębiorców lub rejestru działalności gospodarczej. Do wniosku należy dołączyć dowody potwierdzające, że osoba składająca wniosek jest upoważniona do działania w imieniu operatora, oraz dokumenty potwierdzające tożsamość tej osoby. W przypadku gdy dokumenty potwierdzające są wystarczające do potwierdzenia dokładności zawartych w nich informacji, Komisja przydziela wnioskowany profil operatorowi występującemu z wnioskiem.

4. Aby uzyskać dostęp do rejestru CBAM, operator, weryfikator i osoba niezależna korzystają z centralnej usługi dostępu UE obsługiwanej przez Komisję.

5. Osoba niezależna składa wniosek o rejestrację w rejestrze CBAM do właściwego organu państwa członkowskiego, w którym krajowa jednostka akredytująca ma siedzibę. Osoba niezależna składa wniosek o rejestrację w terminie dwóch miesięcy od daty przyznania akredytacji, ale nie wcześniej niż w dniu 1 grudnia 2026 r. Właściwy organ rejestruje w rejestrze CBAM informacje o osobach niezależnych.

6. Wniosek o rejestrację, o którym mowa w ust. 4, zawiera następujące informacje:

a) imię i nazwisko lub nazwę oraz niepowtarzalny identyfikator akredytacji osoby niezależnej;

b) zakres akredytacji istotny dla CBAM;

c) państwo siedziby osoby niezależnej;

d) datę rozpoczęcia ważności certyfikacji i datę wygaśnięcia certyfikacji;

e) informacje o środkach administracyjnych wydanych wobec osoby niezależnej istotnych dla CBAM;

f) kopię certyfikatu akredytacji istotnego dla CBAM.

7. Właściwy organ powiadamia osobę niezależną o rejestracji w rejestrze CBAM. Właściwy organ powiadamia również, za pośrednictwem rejestru CBAM, Komisję oraz inne właściwe organy o rejestracji.

8. Osoba niezależna powiadamia właściwy organ o wszelkich zmianach informacji, o których mowa w ust. 2, zaistniałych po dokonaniu rejestracji w rejestrze CBAM. Właściwy organ zapewnia odpowiednią aktualizację rejestru CBAM.

9. Właściwy organ wyrejestrowuje osobę niezależną z rejestru CBAM, jeżeli ta osoba niezależna nie kwalifikuje się już do zakresu działalności istotnego dla CBAM lub jeżeli nie wypełniła ona obowiązku określonego w ust. 8. Właściwy organ powiadamia Komisję oraz inne właściwe organy o wyrejestrowaniu. Właściwy organ wykreśla z rejestru CBAM informacje o tej osobie niezależnej, pod warunkiem że informacje te nie są niezbędne do przeglądu złożonych deklaracji CBAM.

Artykuł 11

Portal CBAM dla właściwych organów krajowych

1. Portal CBAM dla właściwych organów krajowych jest jedynym punktem dostępu do rejestru CBAM dla właściwych organów. Portal jest dostępny w internecie.

2. Portal CBAM dla właściwych organów krajowych wykorzystuje się do wykonywania zadań określonych w rozporządzeniu (UE) 2023/956, które obejmują przekazywanie powiadomień i informacji.

3. Rejestr CBAM umożliwia przekazywanie niezbędnych danych do i z rejestru, aby umożliwić właściwym organom wypełnienie ich obowiązków.

4. Dostępem do portalu CBAM dla właściwych organów zarządza się zgodnie z art. 8.

5. Organy celne korzystają z rejestru CBAM i mają do niego dostęp w celu zatwierdzania upoważnień i udostępniania dodatkowych danych celnych, w stosownych przypadkach.

Artykuł 12

Portal CBAM dla Komisji Europejskiej

1. Portal CBAM dla Komisji Europejskiej jest jedynym punktem dostępu do rejestru CBAM dla Komisji.

2. Komisja wykorzystuje portal CBAM dla Komisji Europejskiej do wykonywania zadań określonych w rozporządzeniu (UE) 2023/956.

2a. Portal CBAM dla Komisji Europejskiej jest interoperacyjny z odrębną sekcją umożliwiającą Komisji wykonywanie zadań określonych w art. 15 i 27 rozporządzenia (UE) 2023/956.

2b. Komisja rejestruje wszelkie istotne informacje i dane oraz udostępnia je właściwym organom za pośrednictwem portalu CBAM dla właściwych organów krajowych zgodnie z art. 11 niniejszego rozporządzenia, jeżeli takie informacje i dane uznaje się za niezbędne do wykonywania przez właściwe organy zadań wynikających z rozporządzenia (UE) 2023/956.

3. Dostępem do portalu CBAM dla Komisji Europejskiej zarządza się zgodnie z art. 8.

Artykuł 13

Systemy zarządzania uprawnieniami i tożsamością użytkowników w państwach członkowskich

Państwa członkowskie ustanawiają nowy system zarządzania uprawnieniami i tożsamością użytkowników UUM&DS lub wykorzystują własne istniejące systemy celne UUM&DS do następujących zastosowań:

a) bezpiecznej rejestracji i przechowywania danych identyfikacyjnych upoważnionych zgłaszających CBAM, wnioskodawców i innych osób mających dostęp do rejestru CBAM;

b) bezpiecznej wymiany podpisanych i zaszyfrowanych danych identyfikacyjnych upoważnionych zgłaszających CBAM, wnioskodawców i innych osób mających dostęp do rejestru CBAM.

Artykuł 14

Rozwijanie, testowanie i wykorzystywanie rejestru CBAM oraz zarządzanie nim

1. Komponenty rejestru CBAM są rozwijane, testowane, wykorzystywane i zarządzane przez Komisję oraz mogą być testowane przez państwa członkowskie.

2. Komisja opracowuje i aktualizuje – w ścisłej współpracy z państwami członkowskimi – wspólne specyfikacje interfejsów wymienione w art. 4, 5 i 11.

3. W stosownych przypadkach wspólne specyfikacje techniczne są określane przez Komisję w ścisłej współpracy z właściwymi organami i podlegają przeglądowi przez nie w celu ich wykorzystania w odpowiednim czasie. Komisja i państwa członkowskie współpracują ze zgłaszającymi CBAM, wnioskodawcami i innymi zainteresowanymi stronami.

4. We współpracy z właściwymi organami Komisja przeprowadza testy i walidację interoperacyjności między rejestrem CBAM a systemami, o których mowa w art. 5, aby zapewnić dokładną, efektywną i poufną kontrolę krzyżową danych.

Artykuł 15

Utrzymanie rejestru CBAM i jego zmiany

1. Komisja zajmuje się utrzymaniem rejestru CBAM.

2. Komisja aktualizuje wspólne komponenty rejestru CBAM w celu korygowania nieprawidłowości i może dodawać nowe funkcje lub modyfikować istniejące.

3. Komisja z wyprzedzeniem informuje właściwe organy, upoważnionych zgłaszających CBAM i operatorów o zmianach i aktualizacjach komponentów rejestru CBAM.

Artykuł 16

Czasowa awaria rejestru CBAM

1. W przypadku czasowej awarii rejestru CBAM zgłaszający CBAM i wnioskodawcy przekazują informacje wymagane do wypełnienia swoich obowiązków w zakresie CBAM i wynikających z rozporządzenia (UE) 2023/956 w sposób określony w planie ciągłości działania CBAM.

2. Komisja informuje właściwe organy o wszelkich poważnych problemach uniemożliwiających dostęp do rejestru CBAM, wpływających na poziomy dostępności określone w umowach o gwarantowanym poziomie usług, o których mowa w art. 7.

3. Komisja informuje upoważnionych zgłaszających CBAM i operatorów o wymogach, istotnych aktualizacjach i długotrwałej niedostępności rejestru CBAM zgodnie z planem ciągłości działania CBAM.

Artykuł 17

Wsparcie szkoleniowe w zakresie wykorzystywania i funkcjonowania rejestru CBAM

1. Komisja wspiera właściwe organy w zakresie wykorzystywania i funkcjonowania komponentów rejestru CBAM poprzez zapewnianie materiałów szkoleniowych i informacyjnych.

2. Właściwe organy zapewniają krajowe stanowiska wsparcia dla upoważnionych zgłaszających CBAM i wnioskodawców.

Artykuł 18

Ochrona danych osobowych

Dane osobowe zarejestrowane w rejestrze CBAM oraz komponenty systemów elektronicznych opracowanych na szczeblu krajowym są przetwarzane przez właściwe organy i Komisję do następujących celów:

a) uwierzytelniania i zarządzania dostępem;

b) rozpatrywania wniosków i zarządzania nimi;

c) składania deklaracji CBAM i zarządzania nimi;

d) monitorowania, kontrolowania i przeglądu deklaracji CBAM;

e) zarządzania operatorami, weryfikatorami i osobami niezależnymi;

f) zarządzania certyfikatami CBAM;

g) przekazywania informacji i powiadomień;

h) zapewnienia zgodności z przepisami;

i) funkcjonowania infrastruktury informatycznej, w tym zapewnienia interoperacyjności z transeuropejskimi systemami zdecentralizowanymi na mocy niniejszego rozporządzenia;

j) statystyki i przeglądu funkcjonowania rozporządzenia (UE) 2023/956;

k) analizy ryzyka i monitorowania obchodzenia przepisów;

l) weryfikacji, czy przywóz towarów i powrotny wywóz towarów, w przypadkach przewidzianych w art. 2 ust. 2 rozporządzenia (UE) 2023/956, jest dokonywany przez upoważnionego zgłaszającego CBAM.

Artykuł 19

Szczególna rola Komisji i właściwych organów

1. Komisja jest administratorem do celów:

a) przetwarzania danych osobowych na potrzeby zarządzania dostępem do portalu dla Komisji zgodnie z art. 12 niniejszego rozporządzenia;

b) przetwarzania danych osobowych zarejestrowanych na portalu CBAM dla operatorów;

c) wykorzystywania, walidacji i wyszukiwania EORI lub innych danych do celów analizy ryzyka i monitorowania obchodzenia przepisów, jak przewidziano w art. 15 i 27 rozporządzenia (UE) 2023/956.

2. Właściwy organ jest administratorem do celów:

a) przetwarzania danych osobowych w celu podejmowania decyzji w sprawie udzielenia i cofnięcia upoważnień zgłaszającym CBAM zgodnie z rozporządzeniem (UE) 2023/956;

b) przetwarzania danych osobowych w celu podejmowania decyzji dotyczących kar zgodnie z art. 26 rozporządzenia (UE) 2023/956;

c) przetwarzania danych osobowych na potrzeby zarządzania dostępem upoważnionych zgłaszających CBAM, wnioskodawców, osób, którym cofnięto status upoważnionego zgłaszającego CBAM, oraz osób upoważnionych do działania w imieniu tych osób i na ich rzecz, mających siedzibę w państwie członkowskim danego właściwego organu zgodnie z art. 8, 11 i 13 niniejszego rozporządzenia;

d) przetwarzania danych osobowych akredytowanych weryfikatorów.

3. Właściwy organ i Komisja są współadministratorami na potrzeby:

a) zarządzania rejestrem CBAM;

b) przetwarzania danych osobowych do celów zarządzania deklaracjami CBAM zgodnie z rozporządzeniem (UE) 2023/956;

c) przetwarzania danych osobowych do celów zarządzania certyfikatami CBAM zgodnie z rozporządzeniem (UE) 2023/956;

d) przetwarzania danych osobowych na potrzeby monitorowania jednolitego progu masy zgodnie z art. 2a rozporządzenia (UE) 2023/956.

Artykuł 20

Odpowiedzialność administratorów wobec osób, których dane dotyczą

Jeżeli administrator otrzyma wniosek osoby, której dotyczą dane, którego rozpatrzenie nie wchodzi w zakres jego odpowiedzialności zgodnie z art. 19, przekazuje wniosek niezwłocznie, najpóźniej w ciągu trzech dni roboczych od jego otrzymania, odpowiedzialnemu administratorowi.

Artykuł 21

Ograniczenie dostępu do danych, przetwarzanie danych i poufność

1. Wszystkie informacje przechowywane w rejestrze CBAM uznaje się za poufne.

Upoważnieni zgłaszający CBAM, wnioskodawcy, osoby, którym cofnięto status upoważnionego zgłaszającego CBAM, oraz osoby upoważnione do działania w imieniu tych osób i na ich rzecz mogą uzyskać dostęp do swoich danych osobowych zarejestrowanych w rejestrze CBAM po ich rejestracji w rejestrze.

2. Operatorzy, weryfikatorzy i osoby niezależne mogą uzyskać dostęp do swoich danych osobowych zarejestrowanych w rejestrze CBAM po ich rejestracji w tym rejestrze. Zgodnie z art. 9, 10 i 10a rozporządzenia (UE) 2023/956 upoważnieni zgłaszający CBAM mogą uzyskać dostęp do danych osobowych zarejestrowanych przez operatorów, weryfikatorów i osoby niezależne w rejestrze CBAM lub w inny sposób przetwarzać te dane, jeżeli operatorzy udzielili upoważnienia w tym zakresie zgodnie z art. 10 ust. 7.

3. Komisja i właściwe organy mogą uzyskać dostęp do danych osobowych i innych danych ze zgłoszeń celnych przywozowych dotyczących towarów niewymienionych w załączniku I do rozporządzenia (UE) 2023/956 oraz w inny sposób je przetwarzać zgodnie z art. 15, 19 i 27 rozporządzenia (UE) 2023/956.

Komisja i właściwe organy mogą uzyskać dostęp do danych z systemu EORI oraz w inny sposób je przetwarzać zgodnie z art. 15, 19 i 27 rozporządzenia (UE) 2023/956.

Artykuł 22

Bezpieczeństwo systemu

1. Komisja wdraża odpowiednie środki techniczne i organizacyjne na rzecz bezpieczeństwa systemu po konsultacjach z właściwymi organami.

2. Właściwe organy wdrażają odpowiednie środki organizacyjne na rzecz bezpieczeństwa systemu.

3. Środki techniczne i organizacyjne, o których mowa w ust. 1 i 2 niniejszego artykułu, mają na celu:

a) zapewnienie bezpieczeństwa, integralności, poufności, dostępności i ciągłości przetwarzanych danych osobowych;

b) ochronę danych osobowych będących w ich posiadaniu przed wszelkiego rodzaju przetwarzaniem, zmianą, utratą, wykorzystaniem, ujawnieniem, które jest nieuprawnione lub niezgodne z prawem, lub przed nieuprawnionym lub niezgodnym z prawem dostępem do tych danych;

c) ograniczenie ujawniania danych osobowych lub dostępu do nich podmiotom innym niż odbiorca, dla którego są one przeznaczone zgodnie z niniejszym rozporządzeniem i rozporządzeniem (UE) 2023/956.

4. Komisja i właściwe organy powiadamiają się wzajemnie i udzielają sobie pomocy w przypadku krytycznych incydentów związanych z bezpieczeństwem, które uruchamiają plan ciągłości działania CBAM, jeżeli takie incydenty wiążą się z naruszeniem ochrony danych osobowych w rozumieniu art. 4 pkt 12 rozporządzenia (UE) 2016/679 i art. 3 pkt 16 rozporządzenia (UE) 2018/1725.

5. Komisja przeprowadza regularne oceny komponentów rejestru CBAM oraz analizuje bezpieczeństwo i integralność tych komponentów oraz poufność danych przetwarzanych w ramach tych komponentów.

Artykuł 23

Okres zatrzymywania danych

1. Przy przetwarzaniu danych osobowych do celów wymienionych w art. 18 właściwe organy i Komisja zatrzymują dane wyłącznie przez okres niezbędny do osiągnięcia celu, a maksymalnie przez siedem lat od zarejestrowania danych osobowych w rejestrze CBAM.

Datą rejestracji danych osobowych, o której mowa w akapicie pierwszym, jest najwcześniejsza z następujących dat:

a) termin, w którym właściwy organ odmówił przyznania statusu upoważnionego zgłaszającego CBAM;

b) termin, w którym cofnięto status upoważnionego zgłaszającego CBAM;

c) termin, w którym operator, weryfikator, osoba niezależna lub osoba upoważniona do działania w imieniu tych osób i na ich rzecz została wyrejestrowana z rejestru CBAM.

2. Niezależnie od ust. 1, w przypadku wniesienia odwołania lub wszczęcia postępowania sądowego z wykorzystaniem danych przechowywanych w rejestrze CBAM, dane te są zatrzymywane do czasu zakończenia postępowania odwoławczego lub sądowego i są wykorzystywane wyłącznie do celów procedury odwoławczej lub postępowania sądowego.

Artykuł 24

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie następnego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 31 grudnia 2024 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik

Numer rejestracyjny i identyfikacyjny przedsiębiorcy (EORI)

Tabela

Identyfikacja klienta

Kraj posiadacza EORI + numer krajowy EORI

Kraj posiadacza EORI

Data nadania EORI

Data wygaśnięcia EORI

Informacje o kliencie dla organów celnych

Nazwa skrócona posiadacza EORI

Nazwa pełna posiadacza EORI

Język posiadacza EORI

Data rozpoczęcia działalności przez posiadacza EORI

Rodzaj osoby posiadającej EORI

Działalność gospodarcza prowadzona przez posiadacza EORI

Wykaz adresów siedzib przedsiębiorstwa będącego posiadaczem EORI

Adresy siedzib przedsiębiorstwa

Adres posiadacza EORI

Język posiadacza EORI

Imię i nazwisko lub nazwa posiadacza EORI

Siedziba przedsiębiorstwa w Unii

Adres zakładu

Adres przedsiębiorstwa będącego posiadaczem EORI – od kiedy

Adres przedsiębiorstwa będącego posiadaczem EORI – do kiedy

Numer identyfikacyjny VAT i NIP

„VAT” lub „NIP”

Forma prawna posiadacza EORI

Język formy prawnej posiadacza EORI

Forma prawna posiadacza EORI

Data rozpoczęcia i zakończenia formy prawnej posiadacza EORI

Wykaz osób do kontaktu

Kontakt

Adres osoby do kontaktu w sprawach EORI

Język, w jakim należy się kontaktować w sprawach EORI

Imię i nazwisko osoby do kontaktu w sprawach EORI

Nazwisko osoby do kontaktu w sprawach EORI

Zgoda na publikację – oznakowanie

Opis pól dotyczących danych adresowych

Ulica i numer domu

Kod pocztowy

Miejscowość

Kod kraju

Wykaz szczegółów powiadomienia

Rodzaj powiadomienia

(

1

) Rozporządzenie wykonawcze Komisji (UE) 2025/512 z dnia 13 marca 2025 r. w sprawie warunków technicznych rozwijania, utrzymywania i użytkowania teleinformatycznych systemów wymiany i przechowywania informacji na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 (Dz.U. L, 2025/512, 20.3.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/512/oj).