Artykuł 11

1. Bez uszczerbku dla rozporządzenia (UE) 2016/679 państwa członkowskie zapewniają bezpieczeństwo, integralność, autentyczność i poufność danych, które są gromadzone, do których uzyskuje się dostęp i które są przechowywane na użytek niniejszego rozporządzenia.

2. Na użytek niniejszego rozporządzenia organy odpowiedzialne za wydawanie dowodów osobistych i dokumentów pobytowych uznaje się za administratora, o którym mowa w art. 4 pkt 7 rozporządzenia (UE) 2016/679, i są one odpowiedzialne za przetwarzanie danych osobowych.

3. Państwa członkowskie zapewniają, aby organy nadzoru mogły w pełni wykonywać swoje zadania, o których mowa w rozporządzeniu (UE) 2016/679, w tym miały dostęp do wszystkich danych osobowych i wszelkich niezbędnych informacji, a także do pomieszczeń lub sprzętu do przetwarzania danych prowadzonego przez właściwe organy.

4. Współpraca z usługodawcami zewnętrznymi nie wyklucza odpowiedzialności państwa członkowskiego, która może wynikać z prawa Unii lub prawa krajowego z tytułu naruszenia obowiązków w odniesieniu do danych osobowych.

5. Informacje w formie nadającej się do odczytu maszynowego umieszcza się na dowodzie osobistym lub dokumencie pobytowym wyłącznie zgodnie z niniejszym rozporządzeniem oraz prawem krajowym wydającego państwa członkowskiego.

6. Do przechowywanego na nośniku danych w dowodach osobistych i dokumentach pobytowych wizerunku twarzy posiadacza dostęp może mieć wyłącznie odpowiednio upoważniony personel właściwych organów krajowych, agencji unijnych i podmiotów prywatnych; dostęp ten odbywa się zgodnie z unijnymi przepisami o ochronie danych do celów weryfikacji:

a) autentyczności dowodu osobistego lub dokumentu pobytowego;

b) tożsamości jego posiadacza za pomocą bezpośrednio dostępnych porównywalnych cech w przypadkach, gdy okazanie dowodu osobistego lub dokumentu pobytowego jest wymagane przepisami.

Dostęp do wizerunku twarzy przez podmioty prywatne wymaga też zgody posiadacza, chyba że – niezależnie od zgody – jest on absolutnie niezbędny do celów określonych w akapicie pierwszym i jest przewidziany w prawie Unii lub prawie krajowym, zgodnie z unijnymi przepisami o ochronie danych.

Wizerunku twarzy, do którego uzyskano dostęp zgodnie z akapitem pierwszym, nie zatrzymuje się, chyba że jego dalsze przetwarzanie jest niezbędne do celów określonych w akapicie pierwszym i jest przewidziane w prawie Unii lub prawie krajowym, zgodnie z unijnymi przepisami o ochronie danych. Wizerunku twarzy nie zatrzymuje się przez okres dłuższy, niż jest to niezbędne do tych celów, a w pozostałych przypadkach jest on usuwany niezwłocznie po zakończeniu weryfikacji, o której mowa w akapicie pierwszym, i nie jest on przekazywany państwom trzecim ani organizacjom międzynarodowym, chyba że zezwalają na to unijne przepisy o ochronie danych.

7. Dostępu do dwóch odcisków palców posiadacza, które przechowuje się na nośniku danych w dowodach osobistych i dokumentach pobytowych, udziela się wyłącznie:

a) do celów określonych w ust. 6 akapit pierwszy;

b) zgodnie z unijnymi przepisami o ochronie danych;

c) odpowiednio upoważnionemu personelowi właściwych organów krajowych i agencji unijnych; oraz

d) jeżeli okazania dokumentu wymaga prawo Unii lub prawo krajowe.

Dwa odciski palców, do których uzyskano dostęp na podstawie niniejszego ustępu, nie są zatrzymywane.