ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot

Niniejsze rozporządzenie ustanawia przepisy dotyczące funkcjonowania systemu informacyjnego, w tym przepisy dotyczące ochrony danych osobowych i wymiany danych z innymi systemami informatycznymi.

Artykuł 2

Wdrożenie i wykorzystanie systemu informacyjnego

1. Komisja:

2. System informacyjny jest wykorzystywany przez podmioty i podmioty handlowe oraz, w stosownych przypadkach, ich upoważnionych przedstawicieli do składania oświadczeń o należytej staranności i zarządzania nimi i do weryfikowania ważności numerów referencyjnych oraz przez właściwe organy, organy celne i Komisję do celów dostępu do oświadczeń o należytej staranności i podejmowania działań na ich podstawie, w tym do wymiany informacji zawierających dane osobowe między właściwymi organami, organami celnymi i Komisją w związku z wdrażaniem i egzekwowaniem rozporządzenia (UE) 2023/1115. Wszelka taka wymiana informacji musi być zgodna z przepisami dotyczącymi ochrony danych osobowych określonymi w rozporządzeniach (UE) 2016/679 i (UE) 2018/1725.

3. Oświadczenia o należytej staranności przypisuje się w systemie informacyjnym do właściwych organów w następującej kolejności:

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia, oprócz definicji określonych w art. 2 rozporządzenia (UE) 2023/1115, art. 4 rozporządzenia (UE) 2016/679 i art. 3 rozporządzenia (UE) 2018/1725, stosuje się następujące definicje:

ROZDZIAŁ II

FUNKCJONOWANIE SYSTEMU INFORMACYJNEGO

Artykuł 4

Składanie oświadczeń o należytej staranności

1. Z wyjątkiem sytuacji, w których oświadczenie o należytej staranności jest udostępniane za pośrednictwem elektronicznego interfejsu, o którym mowa w art. 28 ust. 2 rozporządzenia (UE) 2023/1115, użytkownicy systemu informacyjnego składają oświadczenia o należytej staranności dotyczące odnośnych produktów i zarządzają nimi w systemie informacyjnym.

2. W przypadku gdy odnośny produkt zawiera drewno lub został wytworzony z drewna, użytkownicy systemu informacyjnego wprowadzają do oświadczenia o należytej staranności nazwy zwyczajowe i pełne nazwy naukowe gatunków drewna, które odnośne produkty zawierają lub z których zostały wytworzone.

Artykuł 5

Zmiana i wycofanie oświadczeń o należytej staranności

1. System informacyjny musi umożliwiać użytkownikom systemu informacyjnego zmianę lub wycofanie oświadczeń o należytej staranności w ciągu 72 godzin od udostępnienia w systemie informacyjnym numeru referencyjnego oświadczenia o należytej staranności.

2. Oświadczeń o należytej staranności nie można zmienić ani wycofać w terminie określonym w ust. 1 po tym, jak do danego oświadczenia o należytej staranności odniesiono się w oświadczeniu o należytej staranności złożonym przez tego samego lub innego użytkownika systemu informacyjnego.

3. Użytkownik systemu informacyjnego nie może zmienić ani wycofać oświadczenia o należytej staranności po tym, jak:

4. Bez uszczerbku dla ust. 2 i 3, na indywidualny i uzasadniony wniosek użytkownika systemu informacyjnego właściwe organy mogą przedłużyć termin, o którym mowa w ust. 1, wyłącznie po upływie takiego terminu, o którym mowa w ust. 1. Takie przedłużenie nie może być dłuższe niż 8 dni kalendarzowych. U podstaw takiego wniosku muszą leżeć przyczyny niezależne od użytkownika systemu informacyjnego, który w swoim uzasadnionym wniosku oświadcza, że ust. 3 niniejszego artykułu nie ma zastosowania. Takie przedłużenie może być również wydane z mocą wsteczną po upływie terminu, o którym mowa w ust. 1.

5. Zmienione oświadczenie o należytej staranności podlega utworzeniu profilu ryzyka określonemu w art. 6. Utworzenie profilu ryzyka ma zastosowanie do całego zmienionego oświadczenia o należytej staranności.

Artykuł 6

Tworzenie profilu ryzyka

1. System informacyjny musi umożliwiać właściwym organom zidentyfikowanie w systemie informacyjnym sytuacji, w których odnośne produkty stwarzają tak wysokie ryzyko niezgodności, że wymagane jest podjęcie natychmiastowego działania przed wprowadzeniem tych odnośnych produktów do obrotu, udostępnieniem ich na rynku lub wywozem, zgodnie z art. 17 rozporządzenia (UE) 2023/1115, oraz uzyskanie przez właściwe organy informacji na potrzeby dokonania identyfikacji kontroli, które należy przeprowadzić, i do wykonania zadań powierzonych im na podstawie rozdziału 3 rozporządzenia (UE) 2023/1115.

2. Do celów ust. 1 system informacyjny musi umożliwiać właściwym organom tworzenie w systemie informacyjnym profili ryzyka, które pomogą podjąć świadomą decyzję dotyczącą wyboru podmiotów lub podmiotów handlowych, lub odnośnych produktów związanych z oświadczeniami o należytej staranności, w odniesieniu do których należy przeprowadzić kontrole. Te profile ryzyka opierają się między innymi na kryteriach ryzyka określonych w ich rocznym planie kontroli zgodnym z art. 16 ust. 5 rozporządzenia (UE) 2023/1115, który ustanawia się zgodnie z ich podejściem opartym na ryzyku zgodnie z art. 16 ust. 3 rozporządzenia (UE) 2023/1115.

3. Po przedłożeniu w systemie informacyjnym każde oświadczenie o należytej staranności podlega automatycznemu elektronicznemu utworzeniu profilu ryzyka, a system informacyjny nadaje status ryzyka każdemu oświadczeniu o należytej staranności.

4. Na każdym etapie po przedłożeniu oświadczenia o należytej staranności właściwe organy mogą dokonać przeglądu oświadczenia o należytej staranności w celu ustalenia, czy odnośny produkt jest zgodny z art. 3 rozporządzenia (UE) 2023/1115. W takim przypadku w wyniku przeglądu mogą one nadać nowy status ryzyka oświadczeniu o należytej staranności. Jeżeli właściwy organ nada oświadczeniu o należytej staranności nowy status ryzyka, taki nowy status ryzyka ma pierwszeństwo przed statusem ryzyka nadanym na podstawie ust. 3 niniejszego artykułu.

Artykuł 7

Przypisywanie i udostępnianie numerów referencyjnych

1. Po zakończeniu tworzenia profilu ryzyka, o którym mowa w art. 6, system informacyjny bez zbędnej zwłoki przypisuje numer referencyjny i numer weryfikacyjny oświadczeniu o należytej staranności złożonemu przez użytkownika systemu informacyjnego.

2. Numer referencyjny i numer weryfikacyjny udostępnia się użytkownikowi systemu informacyjnego po zakończeniu tworzenia profilu ryzyka, o którym mowa w art. 6.

3. System informacyjny musi umożliwiać właściwym organom opóźnienie udostępnienia numeru referencyjnego w celu ustalenia, czy odnośne produkty są zgodne z art. 3 rozporządzenia (UE) 2023/1115, a w szczególności w celu sprawdzenia, czy określona sytuacja, o której mowa w art. 6 ust. 1 niniejszego rozporządzenia, nie ma zastosowania do tego odnośnego produktu. Takie opóźnienie musi być jak najkrótsze i nie może przekraczać okresu określonego w art. 17 ust. 3 rozporządzenia (UE) 2023/1115. Opóźnienie to może zostać wydłużone według uznania właściwego organu.

Artykuł 8

Odrzucanie oświadczeń o należytej staranności

1. Właściwe organy mogą odrzucić oświadczenie o należytej staranności, aby zapobiec na podstawie art. 17 rozporządzenia (UE) 2023/1115 wprowadzeniu do obrotu lub udostępnieniu na rynku lub wywiezieniu odnośnego produktu niezgodnego z rozporządzeniem (UE) 2023/1115, chyba że użytkownik systemu informacyjnego uzyskał już dostęp do numeru referencyjnego oświadczenia o należytej staranności.

2. Odnośny produkt zgłoszony w odrzuconym oświadczeniu o należytej staranności uznaje się za nieobjęty oświadczeniem o należytej staranności wymaganym w art. 3 lit. c) rozporządzenia (UE) 2023/1115.

3. Odrzucenie uwzględnia się w systemie informacyjnym, przypisując danemu oświadczeniu o należytej staranności określony status.

ROZDZIAŁ III

FUNKCJE I OBOWIĄZKI ZWIĄZANE Z SYSTEMEM INFORMACYJNYM

Artykuł 9

Funkcje i obowiązki Komisji

Oprócz zadań wymienionych w art. 2 ust. 1 Komisja jest odpowiedzialna za wykonywanie następujących zadań w odniesieniu do systemu informacyjnego:

Artykuł 10

Prawa dostępu użytkowników systemu informacyjnego

1. Dostęp do systemu informacyjnego mają wyłącznie zarejestrowani użytkownicy systemu informacyjnego.

2. Uwierzytelnianie dostępu do systemu informacyjnego odbywa się za pośrednictwem EU Login - usługi uwierzytelniania Komisji Europejskiej.

3. Użytkownicy systemu informacyjnego mają dostęp do informacji zawartych w systemie informacyjnym, które przekazali lub do których inny użytkownik systemu informacyjnego dał im dostęp, za pomocą numerów referencyjnych i numerów weryfikacyjnych powiązanych oświadczeń o należytej staranności.

Artykuł 11

Prawa dostępu uczestników systemu informacyjnego

1. Komisja ma dostęp do wszystkich danych, informacji i dokumentów w systemie informacyjnym do celów sporządzania sprawozdań oraz na potrzeby opracowywania, obsługi i utrzymania systemu.

2. Komisja przyznaje i może cofać prawa dostępu uczestnikom systemu informacyjnego w przypadku zmiany kompetencji zgodnie z art. 14 ust. 2 rozporządzenia (UE) 2023/1115.

3. Uwierzytelnianie dostępu do systemu informacyjnego odbywa się za pośrednictwem EU Login - usługi uwierzytelniania Komisji Europejskiej.

4. Uczestnicy systemu informacyjnego wprowadzają odpowiednie środki w celu zapewnienia, aby indywidualni użytkownicy reprezentujący w systemie informacyjnym uczestników systemu informacyjnego mogli uzyskać dostęp do danych osobowych przetwarzanych w systemie informacyjnym wyłącznie wtedy, gdy jest to absolutnie niezbędne do wdrożenia i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

5. Uczestnicy systemu informacyjnego mają dostęp do wszystkich istotnych informacji w systemie informacyjnym, które są niezbędne do wypełnienia ich obowiązków i wykonania zadań na podstawie rozporządzenia (UE) 2023/1115.

ROZDZIAŁ IV

PRZETWARZANIE DANYCH OSOBOWYCH I BEZPIECZEŃSTWO

Artykuł 12

Przetwarzanie danych osobowych w systemie informacyjnym

1. Przekazywanie, przechowywanie i innego rodzaju przetwarzanie danych osobowych w systemie informacyjnym może odbywać się, o ile jest to konieczne i proporcjonalne oraz wyłącznie w następujących celach:

2. Przetwarzanie danych osobowych w systemie informacyjnym może się odbywać wyłącznie w odniesieniu do następujących kategorii danych osobowych:

3. W systemie informacyjnym przechowuje się kategorie danych osobowych wymienione w ust. 2 przetworzone w celu wdrożenia i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

4. Przechowywanie danych, o których mowa w ust. 2, odbywa się z wykorzystaniem infrastruktury informatycznej znajdującej się na terytorium Europejskiego Obszaru Gospodarczego.

5. System informacyjny przechowuje dane osobowe zawarte w oświadczeniach o należytej staranności przez okres nie dłuższy niż dziesięć lat od daty złożenia oświadczenia o należytej staranności w systemie informacyjnym. Komisja może dodatkowo przedłużyć okres przechowywania danych na indywidualny wniosek użytkowników systemu informacyjnego lub uczestników systemu informacyjnego, jeżeli jest to konieczne do wypełnienia ich odpowiedzialności i obowiązków wynikających z rozporządzenia (UE) 2023/1115.

6. Bez uszczerbku dla czynności przetwarzania danych określonych w art. 14 każdy uczestnik systemu informacyjnego jest odrębnym administratorem w rozumieniu rozporządzeń (UE) 2016/679 oraz (UE) 2018/1725 w odniesieniu do czynności przetwarzania danych wykonywanych przez tego uczestnika systemu informacyjnego.

7. Krajowe organy nadzorcze i Europejski Inspektor Ochrony Danych, działając w ramach swoich odpowiednich kompetencji, zapewniają skoordynowany nadzór nad systemem informacyjnym oraz korzystaniem z niego przez uczestników systemu informacyjnego i użytkowników systemu informacyjnego zgodnie z art. 62 rozporządzenia (UE) 2018/1725.

Artykuł 13

Przetwarzanie danych osobowych przez Komisję

1. Komisja jest administratorem w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych użytkowników systemu informacyjnego, w tym przetwarzania danych osobowych podczas rejestracji użytkowników systemu informacyjnego w systemie informacyjnym.

2. W przypadku gdy Komisja przetwarza dane osobowe w ramach funkcjonowania systemu informacyjnego w imieniu innych uczestników systemu informacyjnego do celów wymiany informacji na podstawie art. 27 rozporządzenia (UE) 2023/1115, uznaje się ją za podmiot przetwarzający w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725.

3. Komisja jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych osobowych prowadzonego na potrzeby wspólnych dochodzeń prowadzonych na podstawie art. 21 rozporządzenia (UE) 2023/1115 w kontekście wdrażania i egzekwowania przepisów na podstawie rozporządzenia (UE) 2023/1115.

Artykuł 14

Współadministrowanie systemem informacyjnym

W przypadku gdy właściwe organy i organy celne w rozumieniu rozporządzenia (UE) 2023/1115 wdrażają i egzekwują przepisy we współpracy zgodnie z art. 21 rozporządzenia (UE) 2023/1115, zainteresowane właściwe organy i organy celne są współadministratorami w rozumieniu art. 26 ust. 1 rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania, przechowywania i innego przetwarzania danych osobowych w systemie informacyjnym w kontekście takiej konkretnej współpracy. Jeżeli jest to wymagane zgodnie z art. 26 ust. 1 rozporządzenia (UE) 2016/679, administratorzy określają swoje odpowiednie obowiązki w zakresie wypełniania obowiązków wynikających z rozporządzenia (UE) 2016/679 w drodze wzajemnych uzgodnień.

Artykuł 15

Bezpieczeństwo

1. Komisja wprowadza najnowocześniejsze środki niezbędne do zapewnienia bezpieczeństwa danych osobowych przetwarzanych w systemie informacyjnym, w tym stosowną kontrolę dostępu do danych oraz plan bezpieczeństwa, który podlega stałej aktualizacji.

2. Komisja wprowadza niezbędne, najnowocześniejsze środki w przypadku incydentu cyberbezpieczeństwa, podejmuje działania naprawcze i zapewnia możliwość sprawdzenia, jakie dane osobowe zostały przetworzone w systemie informacyjnym, kiedy, przez kogo i w jakim celu.

3. Komisja informuje właściwe organy o środkach dotyczących ust. 1 i 2 niniejszego artykułu.

Artykuł 16

Poufność

1. Każde państwo członkowskie i Komisja stosują własne przepisy dotyczące tajemnicy zawodowej lub innych równoważnych obowiązków zachowania poufności wobec systemu informacyjnego i użytkowników systemu informacyjnego zgodnie z prawem krajowym lub unijnym.

2. Każdy uczestnik systemu informacyjnego zapewnia, aby osoby pracujące pod jego zwierzchnictwem zaspokajały żądania innych uczestników systemu informacyjnego dotyczących poufnego traktowania informacji wymienianych w systemie informacyjnym.

ROZDZIAŁ V

PRZEPISY KOŃCOWE

Artykuł 17

Tłumaczenie

1. Komisja udostępnia system informacyjny we wszystkich językach urzędowych Unii.

2. Uczestnik systemu informacyjnego może sporządzić i wykorzystywać, w związku z wykonywaniem któregokolwiek z zadań powierzonych mu zgodnie z rozporządzeniem (UE) 2023/1115, wszelkie informacje, dokumenty, ustalenia, oświadczenia lub poświadczone za zgodność z oryginałem kopie otrzymane w systemie informacyjnym, na takich samych zasadach co podobne informacje uzyskane w jego własnym państwie, do celów zgodnych z celami, do których dane zostały pierwotnie zebrane, oraz zgodnie z odpowiednimi przepisami unijnymi i krajowymi.

Artykuł 18

Koszty

1. Koszty poniesione w związku z utworzeniem, utrzymaniem i eksploatacją systemu informacyjnego ponosi Komisja.

2. Koszty związane z systemem informacyjnym na poziomie państw członkowskich, w tym koszty zasobów ludzkich niezbędnych do prowadzenia szkoleń, promocji, zapewnienia pomocy technicznej, a także użytkowania systemu informacyjnego na szczeblu krajowym, oraz koszty wszelkich niezbędnych dostosowań krajowych sieci i systemów informacyjnych pokrywa państwo członkowskie, które je ponosi.

Artykuł 19

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie trzeciego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.