Artykuł 25

1. Właściwe organy państw członkowskich są administratorami w rozumieniu rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych osobowych zgromadzonych na podstawie art. 9 i 10 niniejszego rozporządzenia, a także na podstawie art. 23 ust. 1 niniejszego rozporządzenia, gdy są one wykorzystywane na potrzeby kontroli urzędowej.

Komisja jest administratorem w rozumieniu rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych zgromadzonych na podstawie art. 21 ust. 5, art. 23 ust. 1 i 4 oraz art. 26 ust. 4 akapit trzeci niniejszego rozporządzenia, gdy dane te są wykorzystywane na potrzeby zapewniania zgodności z art. 108 rozporządzenia (UE) 2017/625 i obowiązków sprawozdawczych wynikających z niniejszego rozporządzenia.

Osobom mającym dostęp do danych osobowych, o których mowa w akapitach pierwszym i drugim, zakazuje się ujawniania danych osobowych, z którymi zapoznały się w trakcie wykonywania swoich obowiązków lub w związku z wykonywaniem tych obowiązków. Państwa członkowskie i Komisja stosują wszelkie odpowiednie środki, aby egzekwować ten zakaz.

Danych osobowych zgromadzonych na podstawie akapitu pierwszego i drugiego nie wykorzystuje się w celach innych niż:

a) kontrole urzędowe prowadzone przez właściwe organy państw członkowskich w celu sprawdzenia zgodności z wymogami dotyczącymi dobrostanu i identyfikowalności określonymi w niniejszym rozporządzeniu, a także zgodności z rozporządzeniem (UE) 2016/429, w tym wykrywania nieuczciwych praktyk; oraz

b) wypełnianie przez Komisję jej obowiązków wynikających z art. 108 rozporządzenia (UE) 2017/625 oraz jej obowiązków sprawozdawczych wynikających z niniejszego rozporządzenia.

2. Dane osobowe, o których mowa w ust. 1 niniejszego artykułu, przechowuje się przez następujące okresy:

a) w przypadku art. 9 i 10 – przez 10 lat od daty zaprzestania działalności zakładu;

b) w przypadku art. 21 ust. 5 – przez 18 miesięcy po wygenerowaniu tokena, o którym mowa w art. 21 ust. 3 akapit drugi;

c) w przypadku art. 23 ust. 1 i 4 – przez 25 lat od pierwszej rejestracji psa lub kota w bazie danych, o której mowa w tym artykule, lub przez pięć lat od odnotowania śmierci psa lub kota w tej bazie danych;

d) w przypadku art. 26 ust. 4 akapit trzeci – przez pięć lat od daty uprzedniego zgłoszenia.