§ 1.[Zakres regulacji] Rozporządzenie określa:

1) sposób prowadzenia Centralnego Rejestru Operatorów dla urządzeń, zawierających co najmniej 3 kg substancji kontrolowanych lub co najmniej 5 ton ekwiwalentu CO₂ fluorowanych gazów cieplarnianych, zwanego dalej „Centralnym Rejestrem Operatorów”, o którym mowa w art. 19 ust. 1 ustawy z dnia 15 maja 2015 r. o substancjach zubożających warstwę ozonową oraz o niektórych fluorowanych gazach cieplarnianych, zwanej dalej „ustawą”;

2) sposób gromadzenia danych w Centralnym Rejestrze Operatorów;

3) sposób udostępniania danych gromadzonych w Centralnym Rejestrze Operatorów;

4) sposób zabezpieczenia danych gromadzonych w Centralnym Rejestrze Operatorów;

5) wzór formularza rejestracyjnego, o którym mowa w art. 14 ust. 6 ustawy, zwanego dalej „formularzem rejestracyjnym”.

§ 2.[Centralny Rejestr Operatorów] Centralny Rejestr Operatorów jest prowadzony w systemie teleinformatycznym w rozumieniu art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r. poz. 570).

§ 3.[Prowadzenie Centralnego Rejestru Operatorów] Centralny Rejestr Operatorów jest prowadzony w sposób zapewniający:

1) utrzymywanie Centralnego Rejestru Operatorów w stanie gotowości do przyjmowania danych przekazywanych do tego rejestru;

2) monitorowanie wdrożonych zabezpieczeń Centralnego Rejestru Operatorów;

3) automatyczne sygnalizowanie w Centralnym Rejestrze Operatorów każdego sporządzenia Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej oraz każdego wpisu dokonanego w tych kartach.

§ 4.[Dostęp do Centralnego Rejestru Operatorów] 1. Dane, o których mowa w art. 14 ust. 3 ustawy, zawarte w Kartach Urządzenia oraz w Kartach Systemu Ochrony Przeciwpożarowej, są gromadzone automatycznie w Centralnym Rejestrze Operatorów.

2. W celu gromadzenia danych w Centralnym Rejestrze Operatorów, operator urządzenia, o którym mowa w art. 14 ust. 1 ustawy, zwany dalej „operatorem urządzenia”, uzyskuje dostęp do Centralnego Rejestru Operatorów po utworzeniu konta na podstawie wypełnionego formularza rejestracyjnego, którego wzór określa załącznik do rozporządzenia. Formularz rejestracyjny jest wypełniany w postaci elektronicznej na stronie internetowej Centralnego Rejestru Operatorów.

3. Osoba wypełniająca formularz rejestracyjny w imieniu operatora urządzenia staje się administratorem konta tego operatora, zwanym dalej „administratorem konta”.

4. W przypadku gdy umocowanie do reprezentowania operatora urządzenia przez osobę wypełniającą formularz rejestracyjny nie wynika z informacji zawartych w Krajowym Rejestrze Sądowym (KRS), Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) lub z informacji dostępnych w Biuletynie Informacji Publicznej na stronie podmiotowej operatora, do formularza tego dołącza się elektroniczną kopię pełnomocnictwa podpisanego zgodnie z zasadami reprezentacji lub innego dokumentu stanowiącego podstawę do podejmowania czynności w imieniu lub na rzecz określonego operatora.

5. Na podstawie danych zawartych w formularzu rejestracyjnym administratorowi konta zostają nadane w Centralnym Rejestrze Operatorów identyfikator (login), którym jest adres poczty elektronicznej administratora konta, i hasło.

6. Po sprawdzeniu zgodności danych zawartych w formularzu rejestracyjnym z załączonym dokumentem lub informacjami, o których mowa w ust. 4, na adres poczty elektronicznej administratora konta jest przesyłana informacja o dalszej procedurze aktywacji konta. Aktywacja konta następuje po potwierdzeniu otrzymania wiadomości, poprzez otwarcie linku aktywującego konto.

7. Po aktywacji konta administrator konta może dodawać lub usuwać dostęp do konta jednej lub więcej osobom kontaktowym poprzez dodawanie lub usuwanie osób kontaktowych w Centralnym Rejestrze Operatorów, podając następujące dane osoby kontaktowej: imię i nazwisko, adres poczty elektronicznej oraz numer telefonu komórkowego, a w przypadku jego braku numer telefonu stacjonarnego. Do każdej z Kart Urządzenia oraz Kart Systemu Ochrony Przeciwpożarowej dostęp może być udzielony najwyżej trzem osobom kontaktowym.

8. W przypadku dodawania dostępu do konta, na podany adres poczty elektronicznej osoby kontaktowej, który jest jej identyfikatorem (loginem) w Centralnym Rejestrze Operatorów, jest przesyłane automatycznie generowane hasło dostępu do konta, które wymaga zmiany po pierwszym zalogowaniu.

9. Uprawnionym do zmiany danych, o których mowa w ust. 7, jest administrator konta oraz osoba kontaktowa w zakresie swoich danych.

10. Zmiana administratora konta następuje poprzez aktualizację danych administratora podanych w formularzu rejestracyjnym, z wyjątkiem danych dotyczących adresu operatora urządzenia, oraz przekazanie dokumentu, o którym mowa w ust. 4, w przypadku określonym w tym przepisie. Po sprawdzeniu zgodności zaktualizowanych danych administratora konta z przekazanym dokumentem lub informacjami, o których mowa w ust. 4, na adres poczty elektronicznej nowego administratora konta jest przesyłana informacja o aktywacji jego dostępu do konta. Aktywacja konta następuje po potwierdzeniu otrzymania wiadomości, poprzez otwarcie linku aktywującego konto. Przepis ust. 5 stosuje się.

11. Zmiana następujących danych operatora urządzenia: nazwy operatora urządzenia oraz adresu miejsca zamieszkania albo adresu siedziby, albo adresu wykonywania działalności gospodarczej następuje poprzez ich aktualizację przez administratora konta w Centralnym Rejestrze Operatorów.

12. Zamknięcia konta operatora urządzenia dokonuje administrator konta w Centralnym Rejestrze Operatorów.

13. Czynności, o których mowa w ust. 7, 11 i 12, są dokonywane po zalogowaniu się do Centralnego Rejestru Operatorów.

14. W przypadku utraty hasła do konta na stronie logowania do Centralnego Rejestru Operatorów należy podać adres poczty elektronicznej, który jest identyfikatorem (loginem) do konta, do którego utracono dostęp. Na podany adres poczty elektronicznej zostanie wysłana wiadomość zawierająca link umożliwiający zmianę hasła do konta.

§ 5.[Automatyczne wiadomości z Centralnego Rejestru Operatorów] 1. Osoby wykonujące czynności, o których mowa w art. 14 ust. 3 pkt 4 ustawy, mogą, po uprzednim zgłoszeniu, otrzymywać automatyczne wiadomości wysyłane na ich pocztę elektroniczną z Centralnego Rejestru Operatorów informujące o podaniu przy wpisie do Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej ich numeru certyfikatu dla personelu oraz o numerze identyfikacji podatkowej (NIP), o ile został nadany, danego operatora urządzenia i dacie dokonania wpisu do tych kart.

2. W zgłoszeniu, o którym mowa w ust. 1, należy podać imię i nazwisko, numer certyfikatu dla personelu oraz adres poczty elektronicznej. Po jego dokonaniu jest przesyłana na adres poczty elektronicznej automatyczna wiadomość, w której należy potwierdzić zgłoszenie albo je anulować, jeżeli nie zostało ono dokonane przez właściciela poczty elektronicznej. Po potwierdzeniu zgłoszenia są wysyłane wiadomości, o których mowa w ust. 1.

3. Adres poczty elektronicznej można zmienić, ponownie dokonując zgłoszenia. Po jego dokonaniu jest przesyłana na adres poczty elektronicznej automatyczna wiadomość, w której należy potwierdzić zmianę adresu poczty elektronicznej. Wiadomość informująca o zmianie adresu poczty elektronicznej, zawierająca link do anulowania zmiany adresu poczty elektronicznej, jest przesyłana również na wcześniej podany adres poczty elektronicznej.

4. Zgłoszenia są dokonywane na stronie internetowej Centralnego Rejestru Operatorów.

§ 6.[Udostępnianie danych] 1. Administrator konta lub osoby kontaktowe udostępniają dane zawarte w Karcie Urządzenia lub Karcie Systemu Ochrony Przeciwpożarowej danego operatora urządzenia innym osobom w zakresie niezbędnym do dokonania przez te osoby wpisów w tych kartach zgodnie z przepisami ustawy, nie udostępniając jednak tym osobom loginu i hasła.

2. Administrator konta ma dostęp do danych zawartych we wszystkich Kartach Urządzenia lub Kartach Systemu Ochrony Przeciwpożarowej danego operatora urządzenia.

3. Osoba kontaktowa ma dostęp do danych zawartych w Karcie Urządzenia lub Karcie Systemu Ochrony Przeciwpożarowej sporządzonych przez siebie lub do których dostęp został jej udzielony przez administratora konta, po zalogowaniu się do Centralnego Rejestru Operatorów.

4. Centralny Rejestr Operatorów sygnalizuje automatycznie administratorowi konta i osobie kontaktowej, która ma dostęp do danej Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej, na adresy ich poczty elektronicznej, każde sporządzenie Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej oraz każdy wpis dokonany w tych kartach.

5. Każdy wpis do Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej jest sprawdzany automatycznie pod względem kompletności wprowadzonych danych.

§ 7.[Ochrona danych] 1. Dane gromadzone w Centralnym Rejestrze Operatorów są chronione poprzez zastosowanie mechanizmów:

1) ochrony przed nieuprawnionym dostępem, w szczególności przez zastosowanie zapory sieciowej;

2) ochrony przed oprogramowaniem złośliwym, w szczególności przez zastosowanie oprogramowania antywirusowego;

3) zapewnienia dostępności danych, w szczególności przez automatyczne tworzenie w odstępach nie dłuższych niż 24 godziny kopii informacji;

4) zapewnienia poufności danych, w szczególności przez przechowywanie informacji, w tym także loginów i haseł osób mających dostęp do danych, w formie zaszyfrowanej;

5) rozliczalności działań, w szczególności przez odnotowywanie w Centralnym Rejestrze Operatorów każdego zalogowania do Centralnego Rejestru Operatorów z zaznaczeniem dokładnego czasu zalogowania i wylogowania, zbiorów danych, jakie były przeglądane, i danych osoby, która się logowała;

6) reagowania na incydenty związane z bezpieczeństwem danych, w szczególności mechanizmów:

a) monitorowania dostępu do Centralnego Rejestru Operatorów,

b) wykrywania incydentów,

c) podejmowania działań związanych z wyjaśnianiem zaistniałych incydentów,

d) przywracania Centralnego Rejestru Operatorów do stanu niezakłóconego funkcjonowania po zaistniałym incydencie.

2. Centralny Rejestr Operatorów jest zabezpieczony w szczególności przed:

1) działaniem osób lub oprogramowania, których celem jest uzyskanie nieuprawnionego dostępu do tego rejestru lub nieuprawniona zmiana zawartości tego rejestru;

2) utratą danych, wywołaną w szczególności awarią zasilania lub zakłóceniami w sieci zasilającej.

§ 8.[Wejście w życie] Rozporządzenie wchodzi w życie z dniem 23 grudnia 2017 r.²⁾