1. La transmission, la conservation et tout autre traitement de données à caractère personnel dans le système d’information ne peuvent avoir lieu que dans la mesure où cela est nécessaire et proportionné, et uniquement aux fins suivantes:
a) la facilitation des communications entre les acteurs du système d’information dans le cadre de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115;
b) le traitement de dossiers par les acteurs du système d’information dans l’exercice de leurs propres activités de mise en œuvre et de contrôle de l’application au titre du règlement (UE) 2023/1115;
c) la conversion commerciale et technique des données énumérées dans le présent règlement, lorsque cela est nécessaire pour permettre l’échange et l’utilisation d’informations visés aux points a) et b).
2. Le traitement de données à caractère personnel dans le système d’information ne peut avoir lieu que pour les catégories suivantes de données à caractère personnel:
a) données d’identification: nom et prénom, identifiant unique comprenant le numéro d’enregistrement et d’identification des opérateurs économiques («EORI»), conformément à l’article 9 du règlement (UE) no 952/2013 du Parlement européen et du Conseil, le cas échéant;
b) coordonnées professionnelles: adresse électronique et postale, pays de résidence ou pays du siège statutaire, numéro de téléphone et numéro de télécopieur, le cas échéant;
c) rôle de l’utilisateur du système d’information;
d) données relatives à la géolocalisation conformément à l’article 2, paragraphe 28, du règlement (UE) 2023/1115, lorsque des personnes physiques peuvent être identifiées;
e) authentification de l’utilisateur et données d’accès au système d’information: adresse IP et nom d’utilisateur.
3. Le système d’information conserve les catégories de données à caractère personnel énumérées au paragraphe 2 qui sont traitées aux fins de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115.
4. La conservation des données visée au paragraphe 2 s’effectue au moyen d’infrastructures informatiques situées dans l’Espace économique européen.
5. Le système d’information conserve les données à caractère personnel contenues dans les déclarations de diligence raisonnée pour une période maximale de cinq ans à compter de la date à laquelle une déclaration de diligence raisonnée est présentée dans le système d’information ou, en cas de groupement conformément à l’article 8 bis, à compter de la date de celui-ci. Le système d’information conserve les données à caractère personnel contenues dans les déclarations simplifiées pour une période maximale de cinq ans à compter de la date à laquelle une déclaration simplifiée est retirée du système d’information. La période de conservation peut être prolongée par la Commission à la demande individuelle des utilisateurs ou des acteurs du système d’information lorsque cela est nécessaire pour qu’ils s’acquittent des responsabilités et obligations qui leur incombent en vertu du règlement (UE) 2023/1115.
6. Sans préjudice des activités de traitement des données visées à l’article 14, chaque acteur du système d’information est un responsable du traitement distinct au sens des règlements (UE) 2016/679 et (UE) 2018/1725 en ce qui concerne les activités de traitement des données qu’il effectue.
7. Les autorités de contrôle nationales et le Contrôleur européen de la protection des données, agissant chacun dans le cadre de leurs compétences respectives, assurent une surveillance coordonnée du système d’information et de son utilisation par les acteurs et les utilisateurs du système d’information conformément à l’article 62 du règlement (UE) 2018/1725.