ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot

W niniejszym rozporządzeniu ustanawia się zasady i procedury dotyczące funkcjonowania repozytorium informacji niezbędnych do zapewnienia skutecznej współpracy między Agencją oraz właściwymi organami krajowymi w zakresie wykonywania ich zadań związanych z certyfikacją, nadzorem i egzekwowaniem przepisów wynikających z rozporządzenia (UE) 2018/1139, oraz zarządzania tym repozytorium.

Artykuł 2

Definicje

1. Do celów niniejszego rozporządzenia stosuje się definicje określone w rozporządzeniach (UE) 2018/1139, (UE) 2016/679, (UE) 2018/1725 i rozporządzeniach wykonawczych Komisji (UE) 2019/947 (5) i (UE) 2021/664 (6).

2. Stosuje się również następujące definicje:

ROZDZIAŁ II

UTWORZENIE REPOZYTORIUM, ZARZĄDZANIE NIM I JEGO UTRZYMANIE

Artykuł 3

Utworzenie repozytorium

1. Repozytorium składa się z interfejsów przechowywania, wymiany i dostępu użytkownika.

2. Interfejs przechowywania, o którym mowa w ust. 1, obejmuje:

3. Interfejs wymiany, o którym mowa w ust. 1, obejmuje:

4. Interfejs dostępu użytkownika, o którym mowa w ust. 1, zapewnia bezpieczny dostęp online umożliwiający przeszukiwanie i odczyt przechowywanych informacji. Interfejs dostępu użytkownika jest dostępny wyłącznie dla upoważnionego personelu.

5. Agencja opracowuje niezbędną dokumentację potwierdzającą integrację uprawnionych użytkowników z repozytorium. Dokumentacja ta obejmuje:

6. Agencja zapewnia również środowisko testowe, w którym uprawnieni użytkownicy mogą przetestować funkcjonalność i wydajność interfejsu wymiany między ich systemami a repozytorium.

Artykuł 4

Zarządzanie repozytorium

1. Agencja odpowiada za zarządzanie operacyjne repozytorium i przechowuje w nim informacje w bezpieczny sposób.

2. Uprawnieni użytkownicy przekazują informacje do repozytorium i wymieniają się nimi w repozytorium za pośrednictwem interfejsów oraz zapewniają bezpieczne połączenie internetowe między ich systemem lub systemami a repozytorium.

3. Przed podjęciem jakiejkolwiek decyzji dotyczącej zarządzania operacyjnego repozytorium lub przed podaniem jej do wiadomości publicznej Agencja konsultuje się z Komisją i właściwymi organami krajowymi.

4. Upoważniony personel krajowych lekarzy orzeczników medycyny lotniczej i centrów medycyny lotniczej przekazuje i wymienia informacje z repozytorium za pośrednictwem właściwych organów krajowych zgodnie z art. 10 ust. 4 niniejszego rozporządzenia.

Artykuł 5

Utrzymanie repozytorium

1. Agencja utrzymuje repozytorium i zapewnia jego prawidłowe funkcjonowanie pod względem prywatności, poufności, integralności i dostępności.

2. Agencja systematycznie tworzy kopie zapasowe repozytorium i jego danych.

ROZDZIAŁ III

PRZEPISY DOTYCZĄCE INFORMACJI PRZECHOWYWANYCH W REPOZYTORIUM

Artykuł 6

Formaty i standardy informacji

1. Uprawnieni użytkownicy przekazują, regularnie aktualizują i wymieniają informacje za pośrednictwem repozytorium w oparciu o wspólnie uzgodnione formaty informacji zaproponowane przez Agencję.

2. Formaty informacji są znormalizowane dla każdej kategorii informacji. Uprawnieni użytkownicy przekazują obiekty informacji do repozytorium wyłącznie w formacie informacji właściwym dla danej kategorii informacji.

3. Wykaz kategorii obiektów informacji określono w załączniku I.

Artykuł 7

Klasyfikacja informacji

1. Agencja, we współpracy z Komisją i właściwymi organami krajowymi, klasyfikuje kategorie obiektów informacji według następujących oznaczeń:

2. Szczegółowe definicje oznaczeń, o których mowa w ust. 1, zawarto w załączniku II.

3. Agencja, we współpracy z Komisją i właściwymi organami krajowymi, ilekroć uzna to za konieczne, dokonuje ponownej oceny klasyfikacji informacji, aby upewnić się, że jest ona nadal odpowiednia, uwzględniając zmiany sposobu wykorzystania informacji.

Artykuł 8

Ustalenia dotyczące rozpowszechniania informacji

1. Na wniosek zainteresowanej strony Agencja może przekazać tej zainteresowanej stronie informacje zawarte w repozytorium, z zastrzeżeniem szczególnych warunków wykorzystania określonych w niniejszym artykule.

2. Wniosek o rozpowszechnianie informacji zawartych w repozytorium składany jest w postaci i na zasadach ustanowionych przez Agencję.

3. Po otrzymaniu wniosku Agencja sprawdza, czy:

4. Agencja ocenia, czy wniosek jest uzasadniony, a jeżeli spełnione są warunki określone w ust. 5, przekazuje zainteresowanej stronie żądane informacje.

5. Agencja przekazuje żądane informacje zainteresowanej stronie wyłącznie na następujących warunkach:

6. Agencja udostępnia uprawnionym użytkownikom zaktualizowany wykaz otrzymanych wniosków i działań podjętych przez Agencję.

7. Zainteresowana strona:

Artykuł 9

Rejestrowanie operacji przetwarzania danych

1. Agencja zapewnia rejestrowanie wszystkich operacji przetwarzania danych. Rejestry zawierają następujące informacje:

2. Agencja wykorzystuje rejestry operacji przetwarzania danych wyłącznie w celu monitorowania zgodności z prawem dostępu do informacji oraz zapewnienia integralności i bezpieczeństwa danych. Rejestry zawierają dane, które są absolutnie niezbędne do tego celu, zgodnie z zasadą minimalizacji danych określoną w art. 89 rozporządzenia (UE) 2016/679 i art. 13 rozporządzenia (UE) 2018/1725. Rejestry są usuwane po zakończeniu procedury monitorowania lub najpóźniej po upływie jednego roku.

3. Komisji i właściwym organom krajowym udziela się na wniosek dostępu do rejestrów na potrzeby oceny zgodności z prawem dostępu do informacji, monitorowania zgodności operacji przetwarzania danych z prawem oraz zapewnienia integralności i bezpieczeństwa danych.

Artykuł 10

Dostęp do repozytorium

1. Uprawnieni użytkownicy zapewniają, aby dostęp do repozytorium miał wyłącznie upoważniony personel.

2. Uprawnieni użytkownicy zapewniają, aby ich personel otrzymał dostęp do informacji na podstawie oznaczeń prywatności i poufności kategorii obiektów informacji zgodnie z art. 7.

3. Uprawnieni użytkownicy sporządzają i utrzymują:

4. Krajowi lekarze orzecznicy medycyny lotniczej i centra medycyny lotniczej zapewniają, aby dostęp do repozytorium miał wyłącznie personel upoważniony przez jego właściwy organ krajowy.

Artykuł 11

Zarządzanie bezpieczeństwem repozytorium

1. Agencja chroni infrastrukturę repozytorium i jego informacje oraz opracowuje:

2. Agencja zapobiega nieuprawnionemu przetwarzaniu informacji oraz wszelkiemu nieuprawnionemu odczytywaniu, kopiowaniu, modyfikowaniu, usuwaniu lub kasowaniu informacji zawartych w repozytorium lub podczas ich rozpowszechniania do lub z repozytorium lub podczas przekazywania, w szczególności za pomocą odpowiednich technik szyfrowania.

3. Agencja zapewnia, aby osoby upoważnione do dostępu do repozytorium miały dostęp jedynie do informacji objętych udzielonym im uprawnieniem dostępu, wyłącznie za pomocą niepowtarzalnych identyfikatorów użytkownika oraz trybu poufnego dostępu.

4. Uprawnieni użytkownicy zarządzają bezpieczeństwem swoich informacji przed przekazaniem do repozytorium i w jego trakcie oraz chronią swoją infrastrukturę, zapewniając:

5. Uprawnieni użytkownicy współpracują w celu zapewnienia zarządzania bezpieczeństwem repozytorium.

ROZDZIAŁ IV

OCHRONA DANYCH OSOBOWYCH

Artykuł 12

Przetwarzanie danych osobowych przechowywanych w repozytorium

1. Dane osobowe przechowywane w repozytorium są przetwarzane wyłącznie w celu zapewnienia współpracy między uprawnionymi użytkownikami niezbędnej do wykonywania ich zadań związanych z certyfikacją, nadzorem i egzekwowaniem przepisów. Przetwarzanie jest ograniczone do zakresu niezbędnego do wykonywania ich zadań oraz do tego, co jest absolutnie niezbędne i proporcjonalne do założonych celów.

2. Dostęp do danych osobowych i ich przetwarzanie odbywa się zgodnie ze specyfikacjami technicznymi repozytorium.

3. Obowiązki związane z ochroną danych w fazie projektowania oraz domyślną ochroną danych uwzględnia się zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania.

4. Agencja przeprowadza regularne przeglądy w celu zapewnienia skuteczności wszystkich wdrożonych zabezpieczeń w zakresie ochrony danych.

Artykuł 13

Współadministrowanie danymi osobowymi przetwarzanymi w repozytorium

1. Współadministratorami danych osobowych przechowywanych w repozytorium są uprawnieni użytkownicy.

2. Każdy współadministrator jest odpowiedzialny za spełnienie kryteriów klasyfikacji informacji w odniesieniu do każdego obiektu informacji przetwarzanego w repozytorium.

Artykuł 14

Podział obowiązków między współadministratorów

1. Agencja jest odpowiedzialna za:

2. Właściwe organy krajowe i Komisja są odpowiedzialne za:

3. Każdy współadministrator wyznacza:

4. Jeżeli współadministrator otrzyma wniosek od osoby, której dane dotyczą, a która nie podlega zakresowi jego odpowiedzialności, niezwłocznie przekazuje taki wniosek odpowiedzialnemu współadministratorowi. Jeżeli zostaną o to poproszeni, współadministratorzy pomagają sobie nawzajem w rozpatrywaniu wniosków osób, których dane dotyczą, i udzielają sobie nawzajem odpowiedzi bez zbędnej zwłoki, przy czym nie później niż w terminie 15 dni od daty otrzymania prośby o udzielenie pomocy.

5. Jeżeli administrator, w celu wypełnienia swoich obowiązków określonych w art. 33 i 34 rozporządzenia (UE) 2016/679 lub art. 34 rozporządzenia (UE) 2018/1725, potrzebuje informacji od innego administratora, wysyła specjalny wniosek na adres funkcyjnej skrzynki pocztowej, o której mowa w ust. 3 lit. a). Administrator, który otrzymał taki wniosek, dokłada wszelkich starań, aby takie informacje przekazać.

Artykuł 15

Ograniczenia

1. Administratorzy mogą ograniczyć wykonywanie przez osoby, których dane dotyczą, przysługujących im praw wyłącznie w takim zakresie i tak długo, jak jest to absolutnie niezbędne do zapewnienia bezpieczeństwa lotnictwa cywilnego. Wykonywanie przez osoby, których dane dotyczą, przysługujących im praw może być ograniczone wyłącznie w następujących sytuacjach:

2. W przypadku trwających dochodzeń w sprawie bezpieczeństwa informatycznego mających bezpośredni lub pośredni wpływ na funkcjonowanie repozytorium, jeżeli administratorami są Komisja i Agencja, mogą one również ograniczyć wykonywanie przez osoby, których dane dotyczą, przysługujących im praw wyłącznie w takim zakresie i tak długo, jak jest to absolutnie niezbędne do zapewnienia bezpieczeństwa lotnictwa cywilnego.

3. Wszystkie ograniczenia podlegają ocenie konieczności i proporcjonalności oraz są ograniczone pod względem zakresu i czasu.

4. Osoba, której dane dotyczą i w przypadku której ograniczono wykonywanie przysługujących jej praw, jest informowana o przyczynach i zakresie ograniczenia.

Artykuł 16

Okres przechowywania danych osobowych

1. Uprawnieni użytkownicy:

2. W ramach repozytorium udostępnione są środki techniczne umożliwiające:

Artykuł 17

Przetwarzanie do celów archiwizacji i badań historycznych w interesie bezpieczeństwa lotniczego

1. Po upływie okresu przechowywania Agencja może przechowywać dane osobowe z repozytorium w odrębnym rejestrze do celów archiwizacji i badań historycznych.

2. Takie dane osobowe ograniczają się do tego, co jest absolutnie niezbędne do osiągnięcia celów archiwizacji i badań naukowych w interesie bezpieczeństwa lotniczego oraz zgodnie z zasadą minimalizacji danych określoną w art. 89 rozporządzenia (UE) 2016/679 i w art. 13 rozporządzenia (UE) 2018/1725.

3. Agencja opracowuje protokół dostępu do rejestru. Do rejestru stosuje się przepisy art. 4, 5 i 9-12.

ROZDZIAŁ V

PRZEPISY KOŃCOWE

Artykuł 18

Wejście w życie i stosowanie

1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

2. Rozdziały I i II stosuje się od dnia 1 kwietnia 2025 r.

3. Wymogi dotyczące obiektów informacji wydane po wejściu w życie niniejszego rozporządzenia mają zastosowanie:

4. Wymienione w załączniku I wymogi dotyczące obiektów informacji, które są ważne i zostały wydane przed wejściem w życie niniejszego rozporządzenia, stosuje się od dnia 1 stycznia 2029 r.