1. Les États membres, représentés par leurs autorités compétentes, déterminent les finalités et les moyens du traitement des données à caractère personnel figurant dans les registres nationaux. La Commission, puisqu’elle tient et gère la base de données de l’Union qui permet l’échange de données entre les États membres, est également responsable du traitement. Les États membres et la Commission sont donc les responsables conjoints du traitement des données à caractère personnel figurant dans la base de données de l’Union européenne.
2. Chacun des responsables conjoints du traitement respecte la législation pertinente nationale et de l’Union à laquelle il est soumis.
3. La Commission est chargée:
a) de faire en sorte que la base de données de l’Union respecte les exigences applicables aux systèmes d’information et de communication de la Commission, y compris celles concernant la protection des données à caractère personnel et l’application des règles en matière de protection des données portant sur la sécurité du traitement. La Commission procède à une évaluation des risques pour la sécurité de l’information et assure un niveau de sécurité approprié;
b) de répondre aux demandes des personnes concernées qui lui sont adressées directement en ce qui concerne la base de données de l’Union et de publier un avis d’information sur la protection des données afin de satisfaire aux exigences en matière d’information. S’il y a lieu, et en particulier lorsque la demande concerne la rectification et l’effacement de données à caractère personnel, la Commission transmet la demande de la personne concernée au(x) point(s) de contact unique(s) concerné(s) qui y répond(ent). Lorsqu’une demande lui est adressée directement, la Commission informe la personne concernée des suites données à sa demande;
c) de communiquer toute violation de données à caractère personnel dans la base de données de l’Union aux points de contact uniques visés à la section 8.1 de l’annexe I, au Contrôleur européen de la protection des données et aux personnes concernées lorsqu’il existe un risque élevé conformément aux articles 34 et 35 du règlement (UE) 2018/1725;
d) d’identifier les catégories de personnel et les autres personnes auxquelles l’accès à la base de données de l’Union peut être accordé et de veiller à ce que l’accès de toutes les personnes concernées soit conforme aux règles applicables en matière de protection des données;
e) de s’assurer que les membres du personnel de la Commission qui ont accès aux données à caractère personnel des membres d’équipage figurant dans la base de données de l’Union soient suffisamment formés pour garantir qu’ils exécutent leurs tâches conformément aux règles applicables en matière de protection des données à caractère personnel et soient soumis à l’obligation de secret professionnel conformément au droit de l’Union.
4. Les autorités compétentes des États membres sont chargées:
a) de collecter et de traiter les données à caractère personnel des demandeurs, ainsi que de traiter les données à caractère personnel qu’elles obtiennent de la base de données de l’Union ou qu’elles échangent par l’intermédiaire de celle-ci. La collecte et le traitement de données à caractère personnel sont effectués conformément au règlement (UE) 2016/679, notamment pour garantir la licéité de la collecte des données, fournir des informations adéquates, faire en sorte que les données restent exactes (y compris en effaçant les données ou profils obsolètes, au besoin) et assurer une sécurité appropriée des données figurant dans les registres nationaux;
b) de faire office de point de contact pour les membres d’équipage, y compris lorsqu’ils exercent leurs droits, en répondant aux demandes des membres d’équipage et en faisant en sorte que ceux dont les données sont traitées via la base de données de l’Union et les registres nationaux soient en mesure d’exercer leurs droits conformément à la législation sur la protection des données. Dans ce contexte, elles coopèrent avec les autorités compétentes des autres États membres par l’intermédiaire des points de contact uniques et avec la Commission pour répondre de manière appropriée aux demandes de personnes concernées qui leur sont adressées ou qui sont adressées à d’autres États membres ou à la Commission. L’autorité compétente d’un État membre qui a reçu la demande d’une personne concernée informe cette dernière des suites données à sa demande;
c) de communiquer toute violation de données à caractère personnel, en ce qui concerne les données de membres d’équipage traitées par l’intermédiaire de la base de données de l’Union à la Commission, aux points de contact uniques visés à la section 8.1 de l’annexe I, aux autorités de contrôle compétentes et, lorsque c’est exigé, aux membres d’équipage concernés, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la demande de la Commission;
d) d’identifier, conformément aux droits d’accès des utilisateurs correspondant aux profils d’utilisateur décrits au tableau 1 de l’annexe I, les membres du personnel devant avoir accès aux données à caractère personnel des membres d’équipage figurant dans la base de données de l’Union et d’en communiquer la liste à la Commission;
e) de s’assurer que les membres de leur personnel qui ont accès aux données à caractère personnel des membres d’équipage figurant dans la base de données de l’Union soient suffisamment formés pour garantir qu’ils exécutent leurs tâches conformément aux règles applicables en matière de protection des données à caractère personnel et soient soumis à l’obligation de secret professionnel conformément aux règles établies par l’autorité nationale compétente.