ANEXO III

Asignación de responsabilidades entre los corresponsables del tratamiento

1. Los Estados miembros, representados por las autoridades competentes, determinarán los fines y los medios del tratamiento de datos personales en los registros nacionales. La Comisión, al mantener y gestionar la base de datos de la Unión utilizada para intercambiar datos entre los Estados miembros, también es responsable del tratamiento. Los Estados miembros y la Comisión son corresponsables del tratamiento de datos personales en la base de datos de la Unión.

2. Cada uno de los corresponsables del tratamiento cumplirá la legislación de la Unión y nacional pertinente a que esté sujeto el respectivo responsable del tratamiento.

3. La Comisión será responsable de: a) garantizar que la base de datos de la Unión cumple los requisitos aplicables a los sistemas de información y comunicación de la Comisión, incluidos los relativos a la protección de datos personales y a la aplicación de las normas de protección de datos en relación con la seguridad del tratamiento (1); la Comisión llevará a cabo una evaluación del riesgo en relación con la seguridad de la información y garantizará un nivel de seguridad adecuado; b) responder a las peticiones que, en relación con la base de datos de la Unión, le dirijan directamente los titulares de los datos y publicar un aviso de protección de datos para cumplir los requisitos de información; cuando proceda y especialmente cuando la petición trate de la rectificación y supresión de datos personales, la Comisión la transmitirá al punto o puntos de contacto únicos que deban darle curso; en los casos en que la petición esté dirigida directamente a la Comisión, esta informará al titular de los datos del curso que le haya dado; c) comunicar cualquier violación de datos personales que se dé en la base de datos de la Unión a los puntos de contacto únicos contemplados en la sección 8.1 del anexo I, al Supervisor Europeo de Protección de Datos y a las personas pertinentes cuando exista un riesgo elevado de conformidad con los artículos 34 y 35 del Reglamento (UE) 1725/2018; d) identificar las categorías de personal y otras personas a las que se puede conceder acceso a la base de datos de la Unión y garantizar que todas las personas con acceso cumplen las normas aplicables de protección de datos; e) garantizar que el personal de la Comisión que tenga acceso a los datos personales de los miembros de la tripulación contenidos en la base de datos de la Unión reciba la formación adecuada para llevar a cabo sus tareas de acuerdo con las normas aplicables a la protección de los datos personales y esté sujeto a la obligación de secreto profesional con arreglo al Derecho de la Unión.

4. Las autoridades competentes de los Estados miembros serán responsables de: a) recoger y procesar los datos personales de los solicitantes y procesar los datos personales que obtengan o intercambien mediante la base de datos de la Unión; la recogida y el tratamiento de los datos personales deberán llevarse a cabo de conformidad con el Reglamento (UE) 2016/679, en concreto, con el fin de garantizar la recogida lícita de datos, proporcionar la información adecuada, mantener la exactitud de los datos (por ejemplo, borrando los datos o perfiles obsoletos cuando proceda) y garantizar una seguridad adecuada de los datos de los registros nacionales; b) servir de punto de contacto para los miembros de la tripulación, por ejemplo en el ejercicio de sus derechos, responder a las peticiones de los miembros de la tripulación y garantizar que los miembros de la tripulación cuyos datos se procesen en la base de datos de la Unión y en los registros nacionales puedan ejercer sus derechos de conformidad con la legislación sobre protección de datos; para este fin, cooperarán con las autoridades competentes de otros Estados miembros, a través de los puntos de contacto únicos. y con la Comisión con el fin de dar curso de forma adecuada a las peticiones que los titulares de los datos les dirijan a ellas, a otros Estados miembros o a la Comisión; las autoridades competentes de los Estados miembros a quien un titular de datos envíe una petición, informarán a este del curso que le hayan dado; c) comunicar cualquier violación de datos personales en relación con los datos de los miembros de la tripulación procesados a través de la base de datos de la Unión a la Comisión, al punto de contacto único contemplado en la sección 8.1 del anexo I, a la autoridad de supervisión competente a escala nacional y, cuando sea preciso, a los miembros de la tripulación pertinentes con arreglo con los artículos 33 y 34 del Reglamento (UE) 2016/679, o si lo solicita la Comisión; d) identificar, respetando los derechos de acceso para los usuarios correspondientes a los perfiles de usuario establecidos en el cuadro 1 del anexo I, al personal al que se concederá acceso a los datos personales de los miembros de la tripulación contenidos en la base de datos de la Unión y comunicárselo a la Comisión; e) garantizar que los miembros de su personal que tengan acceso a los datos personales de los miembros de la tripulación contenidos en la base de datos de la Unión reciban la formación adecuada para llevar a cabo sus tareas de acuerdo con las normas aplicables a la protección de los datos personales y estén sujetos a la obligación de secreto profesional con arreglo a las leyes o normas nacionales establecidas por la autoridad nacional competente.

(1) Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (DO L 6 de 11.1.2017, p. 40), y Commission Decision of 13.12.2017 laying down implementing rules for Articles 3, 5, 7, 8, 9, 10, 11, 12, 14, 15 of Decision 2017/46 on the security of communication and information systems in the Commission (Decisión de la Comisión, de 13 de diciembre de 2017, por la que se establecen las normas de desarrollo de los artículos 3, 5, 7, 8, 9, 10, 11, 12, 14 y 15 de la Decisión 2017/46, sobre la seguridad de los sistemas de información y comunicación de la Comisión).