Article 20

1. La Commission et les États membres sont considérés comme responsables du traitement des données à caractère personnel nécessaires à la mise en place, au fonctionnement et à la maintenance du système ICG.

2. La Commission est responsable:

a) de déterminer et de mettre en œuvre les moyens techniques dans le système ICG pour informer les personnes concernées et leur permettre d’exercer leurs droits;

b) de garantir la sécurité du traitement;

c) de déterminer les catégories de son personnel et des prestataires externes auxquels l’accès au système peut être accordé;

d) de notifier toute violation des données à caractère personnel du système ICG au Contrôleur européen de la protection des données en application de l’article 34 du règlement (UE) 2018/1725 et de la communiquer aux personnes concernées en application de l’article 35 de ce règlement;

e) de veiller à ce que son personnel et ses prestataires externes soient adéquatement formés pour exécuter leurs tâches dans le cadre du système ICG conformément au règlement (UE) 2018/1725.

3. Les autorités douanières et les autorités compétentes des États membres sont responsables:

a) de veiller à ce que les droits de la personne concernée soient exercés conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil et au présent règlement;

b) de garantir la sécurité et la confidentialité des données à caractère personnel en application du chapitre IV, section 2, du règlement (UE) 2016/679;

c) de désigner le personnel et les experts qui doivent avoir accès au système ICG;

d) de veiller à ce que le personnel et les experts qui accèdent au système ICG soient adéquatement formés pour exécuter leurs tâches conformément au règlement (UE) 2016/679 et, le cas échéant, à la directive (UE) 2016/680 du Parlement européen et du Conseil.

4. La Commission et les États membres s'entendent sur les modalités de la responsabilité conjointe du traitement en concluant un accord au plus tard trois ans après l’entrée en vigueur du présent règlement.