1. Le traitement des données à caractère personnel dans la base de données centrale de la Commission est effectué conformément au règlement (CE) no 45/2001 et sous la surveillance du Contrôleur européen de la protection des données.
2. Le traitement des données à caractère personnel par les autorités compétentes dans les États membres est réalisé conformément à la directive 95/46/CE et sous la surveillance de l’autorité publique indépendante de l’État membre visée à l’article 28 de cette directive.
3. Les données à caractère personnel ne sont collectées et utilisées qu’aux fins du présent règlement. Les données à caractère personnel ainsi collectées sont exactes et mises à jour.
4. Toute autorité douanière qui a introduit des données à caractère personnel dans la base de données centrale est responsable du traitement de ces données.
5. Toute personne a un droit d’accès aux données à caractère personnel qui la concernent et qui sont traitées au moyen de la base de données centrale et, le cas échéant, a un droit de rectification, d’effacement ou de verrouillage des données à caractère personnel conformément au règlement (CE) no 45/2001 ou aux dispositions législatives nationales mettant en œuvre la directive 95/46/CE.
6. Toutes les requêtes visant à exercer le droit d’accès, de rectification, d’effacement ou de verrouillage sont présentées aux autorités douanières et traitées par elles. Lorsqu’une personne concernée a présenté à la Commission une requête visant à exercer ce droit, la Commission transmet cette requête aux autorités douanières concernées.
7. Les données à caractère personnel ne sont pas conservées plus de six mois à partir de la date d’abrogation de la décision faisant droit à la demande ou à partir de la date d’expiration de la période pendant laquelle les autorités douanières doivent intervenir.
8. Lorsque le titulaire de la décision faisant droit à la demande a engagé une procédure conformément à l’article 23, paragraphe 3, ou à l’article 26, paragraphe 9, et a informé les autorités douanières de l’ouverture de cette procédure, les données à caractère personnel sont conservées pendant six mois après que la procédure a déterminé de manière définitive s’il y a eu atteinte à un droit de propriété intellectuelle.