Artykuł 37

1. Unijne centrum danych celnych projektuje się w taki sposób, aby zapewnić ochronę dostępnych w nim danych przed nieuprawnionym dostępem oraz innymi zagrożeniami dla ich integralności i bezpieczeństwa, co leży w interesie publicznym.

Infrastruktura unijnego centrum danych celnych inna niż infrastruktura do celów transmisji telekomunikacyjnej kontrolowana jest i zarządzana wyłącznie przez Komisję lub Urząd UE do Spraw Celnych oraz musi być zlokalizowana na terytorium Unii.

2. Wykonując zadania związane z budową, hostingiem, funkcjonowaniem i utrzymaniem unijnego centrum danych celnych oraz dokonując wszelkich czynności związanych z przetwarzaniem danych w tym centrum, dostawcy i inni usługodawcy oraz ich podwykonawcy muszą być podmiotami wiarygodnymi, zapewniającymi bezpieczeństwo i wolnymi od wpływu rządów państw trzecich oraz nie mogą podlegać bezpośrednio ani pośrednio jakimkolwiek przepisom prawa państwa trzeciego, w tym zarządzeniom wykonawczym, które mogłyby wymagać ujawnienia jakimkolwiek organom tego państwa danych przechowywanych w unijnym centrum danych celnych. Muszą oni również zapewniać wiarygodność, bezpieczeństwo i niezależność unijnego centrum danych celnych.

Tacy dostawcy i inni usługodawcy oraz ich podwykonawcy muszą mieć siedzibę w Unii i nie mogą być kontrolowani, bezpośrednio ani pośrednio, przez jakiekolwiek przedsiębiorstwo z państwa trzeciego zdefiniowane w art. 2 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/452 (36).

W przypadku usług krytycznych, w tym wszelkich działań związanych z danymi, instytucja zamawiająca może wymagać od dostawcy, innego usługodawcy lub podwykonawcy posiadania poświadczenia bezpieczeństwa.

3. Instytucja zamawiająca na rzecz unijnego centrum danych celnych może w dowolnym momencie zażądać od oferentów, dostawców i innych usługodawców oraz ich podwykonawców przedstawienia dowodów na wdrożone przez nich środki służące zapobieganiu nieuprawnionemu ujawnieniu danych z unijnego centrum danych celnych, w tym przedstawienia dokumentacji potwierdzającej fakt wypełniania przez nich obowiązków określonych w ust. 2 w odniesieniu do niezależności i poufności, oraz przedstawienia dowodów na to, że są oni wiarygodni, zapewniają bezpieczeństwo i są wolni od wpływów rządów państw trzecich.

4. Bezpieczeństwo łańcucha dostaw wszystkich komponentów informatycznych, sprzętu i oprogramowania zapewnia się w najwyższym możliwym stopniu. Instytucja zamawiająca na rzecz unijnego centrum danych celnych może wymagać od dostawców i innych usługodawców oraz ich podwykonawców przedstawienia dowodów potwierdzających.

5. W przypadku gdy instytucja zamawiająca na rzecz unijnego centrum danych celnych ma powody, aby sądzić, że środki wdrożone przez oferentów, dostawców i innych usługodawców lub ich podwykonawców w celu wypełnienia ich obowiązków wynikających z ust. 2, 3 i 4 są niewystarczające lub że dowody przedstawione przez nich zgodnie z niniejszym artykułem nie są w pełni wiarygodne, może ona podjąć wszelkie środki na podstawie danej umowy lub w ramach danego postępowania o udzielenie zamówienia, które uzna za niezbędne w celu zaradzenia tej sytuacji, w tym zawiesić lub rozwiązać w całości lub w części tę umowę lub wykluczyć z tego postępowania o udzielenie zamówienia. Pozostaje to bez uszczerbku dla wszelkich innych dodatkowych środków ochrony prawnej przewidzianych:

a) przez instytucję zamawiającą na rzecz unijnego centrum danych celnych w danej umowie; lub

b) w prawie Unii lub w prawie krajowym.

6. O ile nie przewidziano inaczej w tytule III lub XIII lub w umowie międzynarodowej wiążącej Unię, dane przetwarzane w unijnym centrum danych celnych nie mogą być przekazywane ani udostępniane państwu trzeciemu, organizacji międzynarodowej ani osobom fizycznym lub prawnym mającym siedzibę poza terytorium Unii.

7. Unijne centrum danych celnych projektuje się w możliwie największym zakresie w taki sposób, aby uniknąć przeszkód przedkomercyjnych, handlowych, technicznych, umownych i organizacyjnych, które zniechęcają do przekazywania lub przenoszenia danych, aplikacji lub zasobów cyfrowych przez instytucję zamawiającą do innego usługodawcy lub do korzystania z nich w środowisku interoperacyjnym, utrudniają lub uniemożliwiają takie przekazywanie lub przenoszenie lub wykorzystywanie.