Artykuł 12

1. Komisję i państwa członkowskie uznaje się za administratorów danych w odniesieniu do przetwarzania danych osobowych niezbędnych do utworzenia, eksploatacji i użytkowania systemu ECG.

2. Do obowiązków Komisji należy:

a) określanie i wdrażanie środków technicznych w systemie ECG w celu informowania osób, których dane dotyczą, i umożliwienia im korzystania z przysługujących im praw;

b) zapewnienie bezpieczeństwa przetwarzania;

c) określenie kategorii swoich pracowników i usługodawców zewnętrznych, którym można przyznać dostęp do systemu;

d) przekazywanie powiadomień i informacji dotyczących wszelkich naruszeń ochrony danych osobowych w systemie ECG odpowiednio Europejskiemu Inspektorowi Ochrony Danych na podstawie art. 34 rozporządzenia (UE) 2018/1725 oraz osobom, których dane dotyczą, na podstawie art. 35 wspomnianego rozporządzenia;

e) zapewnienie pracownikom i usługodawcom zewnętrznym odpowiednich szkoleń w zakresie wykonywania swoich zadań w ramach systemu ECG zgodnie z rozporządzeniem (UE) 2018/1725.

3. Państwa członkowskie są odpowiedzialne za:

a) zapewnienie, aby prawa osób, których dane dotyczą, były wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (10) i niniejszym rozporządzeniem;

b) zapewnienie bezpieczeństwa i poufności danych osobowych zgodnie z rozdziałem IV sekcja 2 rozporządzenia (UE) 2016/679;

c) wyznaczenie pracowników i ekspertów, którzy mogą mieć dostęp do systemu ECG;

d) zapewnienie odpowiednich szkoleń pracownikom i ekspertom mającym dostęp do systemu ECG, aby wykonywali swoje zadania zgodnie z rozporządzeniem (UE) 2016/679 oraz, w stosownych przypadkach, z dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680 (11).

4. Komisja i państwa członkowskie zawierają porozumienie o wspólnym administrowaniu w formie umowy najpóźniej w dniu 18 czerwca 2029 r., a w każdym razie przed datą rozpoczęcia stosowania niniejszego rozporządzenia zgodnie z art. 15 akapit drugi.

5. System ECG przechowuje dane osobowe uzyskane zgodnie z art. 4, 5 i 6 przez nie dłużej niż 10 lat od daty wprowadzenia danych do systemu ECG. Po upływie tego okresu takie dane osobowe usuwa się.