1. La Commission et les États membres sont considérés comme responsables du traitement des données à caractère personnel nécessaires à la mise en place, au fonctionnement et à l’utilisation du système ECG.
2. La Commission est chargée:
a) de déterminer et de mettre en œuvre les moyens techniques dans le système ECG pour informer les personnes concernées et leur permettre d’exercer leurs droits;
b) de garantir la sécurité du traitement;
c) de déterminer les catégories de son personnel et des prestataires externes auxquels l’accès au système peut être accordé;
d) de notifier toute violation des données à caractère personnel du système ECG au Contrôleur européen de la protection des données en application de l’article 34 du règlement (UE) 2018/1725 et de la communiquer aux personnes concernées en application de l’article 35 de ce règlement;
e) de veiller à ce que son personnel et ses prestataires externes soient adéquatement formés pour exécuter leurs tâches dans le cadre du système ECG conformément au règlement (UE) 2018/1725.
3. Les États membres sont chargés:
a) de veiller à ce que les droits des personnes concernées soient exercés conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil et au présent règlement;
b) de garantir la sécurité et la confidentialité des données à caractère personnel en application du chapitre IV, section 2, du règlement (UE) 2016/679;
c) de désigner le personnel et les experts qui doivent avoir accès au système ECG;
d) de veiller à ce que le personnel et les experts qui accèdent au système ECG soient adéquatement formés pour exécuter leurs tâches conformément au règlement (UE) 2016/679 et, le cas échéant, à la directive (UE) 2016/680 du Parlement européen et du Conseil.
4. La Commission et les États membres s’entendent sur les modalités de la responsabilité conjointe du traitement en concluant un accord au plus tard le 18 juin 2029, et en tout état de cause avant la date à partir de laquelle le présent règlement est applicable conformément à l’article 15, deuxième alinéa.
5. Le système ECG conserve les données à caractère personnel obtenues en vertu des articles 4, 5 et 6 pendant une durée maximale de 10 ans à compter de la date à laquelle ces données ont été introduites dans le système ECG. Ces données à caractère personnel sont effacées à l’expiration de ce délai.