art. 12

Artykuł 12 Uczestnictwo w piaskownicach regulacyjnych interoperacyjności 1.   Uczestniczące podmioty unijne lub organy sektora publicznego zapewniają – w zakresie, w jakim funkcjonowanie piaskownic regulacyjnych interoperacyjności wymaga przetwarzania danych osobowych lub z innego tytułu wchodzi w zakres kompetencji nadzorczych innych organów krajowych, regionalnych lub lokalnych udzielających dostępu do danych lub wspierających ten dostęp – aby krajowe organy ochrony danych, a także inne organy krajowe, regionalne lub lokalne włączono w funkcjonowanie piaskownicy regulacyjnej interoperacyjności. W stosownych przypadkach uczestnicy mogą zezwolić na zaangażowanie w piaskownicę regulacyjną interoperacyjności innych podmiotów GovTech, takich jak krajowe lub europejskie organizacje normalizacyjne, jednostki notyfikowane, laboratoria badawcze i doświadczalne, centra innowacji oraz przedsiębiorstwa, które chcą testować innowacyjne rozwiązania interoperacyjne, w szczególności MŚP i przedsiębiorstwa typu start-up. 2.   Uczestnictwo w piaskownicy regulacyjnej interoperacyjności ogranicza się do okresu, który jest odpowiedni do złożoności i skali projektu, i który nie może w żadnym razie trwać dłużej niż dwa lata od ustanowienia piaskownicy regulacyjnej interoperacyjności. Uczestnictwo może zostać przedłużone o maksymalnie rok, jeżeli jest to konieczne do osiągnięcia celu przetwarzania. 3.   Uczestnictwo w piaskownicy regulacyjnej interoperacyjności opiera się na szczegółowym planie opracowanym przez uczestników oraz z uwzględnieniem, w stosownych przypadkach, porad innych właściwych organów krajowych lub Europejskiego Inspektora Ochrony Danych. Plan ten zawiera co najmniej: a) opis zaangażowanych uczestników i ich ról oraz przewidywanego innowacyjnego rozwiązania interoperacyjnego i jego przeznaczenia, a także odpowiedniego procesu rozwoju, testowania i walidacji; b) konkretne kwestie regulacyjne oraz wytyczne, jakich oczekuje się od organów nadzorujących piaskownicę regulacyjną interoperacyjności; c) szczegółowe ustalenia dotyczące współpracy między uczestnikami a organami, a także wszelkimi innymi podmiotami zaangażowanymi w piaskownicę regulacyjną interoperacyjności; d) mechanizm zarządzania ryzykiem i monitorowania ryzyka do celów identyfikacji ryzyka, zapobiegania mu i ograniczania go; e) kluczowe kamienie milowe, które uczestnicy mają osiągnąć, aby rozwiązanie interoperacyjne zostało uznane za gotowe do wprowadzenia do użytku; f) wymogi w zakresie oceny i sprawozdawczości oraz ewentualne działania następcze; g) w przypadku gdy przetwarzanie danych osobowych jest absolutnie niezbędne i proporcjonalne – powody tego przetwarzania, wskazanie kategorii odnośnych danych osobowych, celów przetwarzania, do których dane te są przeznaczone, administratorów danych oraz podmiotów przetwarzających dane zaangażowanych w przetwarzanie i ich roli. 4.   Uczestnictwo w piaskownicach regulacyjnych interoperacyjności nie może wpływać na uprawnienia nadzorcze i naprawcze organów nadzorujących te piaskownice. 5.   Uczestnicy piaskownicy regulacyjnej interoperacyjności ponoszą odpowiedzialność na podstawie mającego zastosowanie prawa Unii i prawa krajowego dotyczącego odpowiedzialności za wszelkie szkody wyrządzone w trakcie ich uczestnictwa w piaskownicy regulacyjnej interoperacyjności. 6.   Dane osobowe mogą być przetwarzane w piaskownicy regulacyjnej interoperacyjności do celów innych niż te, dla których zostały pierwotnie zgodnie z prawem zebrane, o ile spełnione są wszystkie następujące warunki: a) innowacyjne rozwiązanie interoperacyjne są tworzone w celu ochrony interesów publicznych w kontekście wysokiego poziomu skuteczności i jakości administracji publicznej i usług publicznych; b) przetwarzane dane są ograniczone do tego, co jest niezbędne do zapewnienia funkcjonowania rozwiązania interoperacyjnego, które ma zostać stworzone lub przetestowane w piaskownicy regulacyjnej interoperacyjności, a funkcjonowania tego nie można skutecznie osiągnąć przy przetwarzaniu danych zanonimizowanych, syntetycznych lub innych danych nieosobowych; c) istnieją skuteczne mechanizmy monitorowania pozwalające stwierdzić, czy w trakcie funkcjonowania piaskownicy regulacyjnej interoperacyjności może pojawić się jakiekolwiek wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą, o którym to ryzyku mowa w art. 35 ust. 1 rozporządzenia (UE) 2016/679 i w art. 39 rozporządzenia (UE) 2018/1725, a także mechanizm reagowania służący szybkiemu ograniczeniu tego ryzyka oraz, w razie potrzeby, wstrzymaniu przetwarzania; d) wszelkie dane osobowe, które mają być przetwarzane, znajdują się w funkcjonalnie wyodrębnionym, odizolowanym i chronionym środowisku przetwarzania danych podlegającym kontroli uczestników, a dostęp do tych danych mają wyłącznie należycie upoważnione osoby; e) żadne przetwarzane dane osobowe nie mogą być przenoszone, przekazywane ani w jakikolwiek inny sposób udostępniane osobom trzecim, które nie są uczestnikami piaskownicy regulacyjnej interoperacyjności, chyba że takie ujawnienie odbywa się zgodnie z rozporządzeniem (UE) 2016/679 lub, w stosownych przypadkach, z rozporządzeniem (UE) 2018/1725, i wszyscy uczestnicy wyrazili na nie zgodę; f) żadne przetwarzanie danych osobowych nie ma wpływu na stosowanie praw osób, których dane dotyczą, które to prawa przewidziano w przepisach Unii dotyczących ochrony danych osobowych, w szczególności w art. 22 rozporządzenia (UE) 2016/679 i art. 24 rozporządzenia (UE) 2018/1725; g) wszelkie przetwarzane dane osobowe są chronione za pomocą odpowiednich środków technicznych i organizacyjnych oraz usuwane po zakończeniu uczestnictwa w piaskownicy regulacyjnej interoperacyjności lub po upływie okresu zatrzymywania danych osobowych; h) rejestry ewidencjonujące przetwarzanie danych osobowych przechowuje się przez cały czas uczestnictwa w piaskownicy regulacyjnej interoperacyjności, chyba że prawo Unii lub prawo krajowe stanowi inaczej; i) pełny i szczegółowy opis procesu i uzasadnienia dotyczącego trenowania, testowania i walidacji rozwiązania interoperacyjnego jest przechowywany wraz z wynikami testów jako część dokumentacji technicznej i przekazywany Radzie ds. Interoperacyjnej Europy; j) na portalu Interoperacyjna Europa udostępniony jest krótki opis rozwiązania interoperacyjnego, które ma być stworzone w ramach piaskownicy regulacyjnej interoperacyjności, w tym jego celów i oczekiwanych wyników. 7.   Ust. 1 pozostaje bez uszczerbku dla przepisów prawa Unii lub prawa krajowego określających podstawy przetwarzania danych osobowych, które jest niezbędne do celów tworzenia, testowania i trenowania innowacyjnych rozwiązań interoperacyjnych, lub dla jakiejkolwiek innej podstawy prawnej, zgodnie z prawem Unii dotyczącym ochrony danych osobowych. 8.   Uczestnicy przedkładają Radzie ds. Interoperacyjnej Europy i Komisji sprawozdania okresowe i sprawozdanie końcowe dotyczące wyników działania piaskownic regulacyjnych interoperacyjności, z uwzględnieniem dobrych praktyk, zdobytych doświadczeń, środków bezpieczeństwa i zaleceń dotyczących ich funkcjonowania oraz, w stosownych przypadkach, zmian niniejszego rozporządzenia i innych przepisów prawa Unii nadzorowanych w ramach piaskownicy regulacyjnej interoperacyjności. Rada ds. Interoperacyjnej Europy wydaje dla Komisji opinię na temat wyników działania piaskownicy regulacyjnej interoperacyjności, określając – w stosownych przypadkach – działania niezbędne do wdrożenia nowych rozwiązań interoperacyjnych w celu wspierania interoperacyjności transgranicznej transeuropejskich cyfrowych usług publicznych. 9.   Komisja zapewnia, aby informacje na temat piaskownic regulacyjnych interoperacyjności były dostępne na portalu Interoperacyjna Europa. 10.   Do dnia 12 kwietnia 2025 r. Komisja przyjmie akty wykonawcze określające szczegółowe zasady i warunki tworzenia i funkcjonowania piaskownic regulacyjnych interoperacyjności, w tym kryteria kwalifikowalności oraz procedurę regulującą ubieganie się o uczestnictwo w piaskownicy regulacyjnej interoperacyjności, selekcję uczestników, uczestnictwo i rezygnowanie z uczestnictwa w piaskownicy regulacyjnej interoperacyjności, a także prawa i obowiązki uczestników. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 22 ust. 2.