(1)

W art. 13 ust. 1 rozporządzenia (UE) 2024/1781 zobowiązano Komisję do stworzenia cyfrowego rejestru cyfrowych paszportów produktów („rejestr”) w celu przechowywania w bezpieczny sposób co najmniej niepowtarzalnych identyfikatorów. Konieczne jest określenie głównych komponentów rejestru oraz ról i obowiązków technicznych i operacyjnych podmiotów gospodarczych, które wprowadzają produkt do obrotu lub oddają go do użytku w ramach rejestru cyfrowych paszportów produktów, właściwych organów krajowych i organów celnych oraz Komisji. Ponadto konieczne jest ustanowienie systemu rejestracji w celu rejestrowania i monitorowania operacji i interakcji przeprowadzanych w rejestrze, aby zapewnić rozliczalność wszystkich użytkowników oraz określić odpowiedzialność za utrzymanie, obsługę i bezpieczeństwo rejestru. Te rozwiązania wykonawcze obejmują również przepisy dotyczące korzystania z rejestru, mające zastosowanie do podmiotów łańcucha wartości, właściwych organów krajowych i organów celnych oraz Komisji. W stosownych przypadkach właściwe organy krajowe powinny mieć możliwość aktualizacji lub zmiany statusu cyfrowego paszportu produktu na podstawie kontroli przeprowadzonych w ramach ich zadań określonych w odpowiednich przepisach prawa Unii i prawa krajowego zgodnego z prawem Unii.

(2)

Rejestr powinien zawierać informacje na temat produktów objętych aktami delegowanymi przyjętymi na podstawie rozporządzenia (UE) 2024/1781 w zakresie, w jakim przewidziano stosowanie cyfrowego paszportu produktu, oraz na temat baterii na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/1542 (2). Przechowywanie informacji o produktach w rejestrze może być wymagane na mocy dalszych przepisów Unii. Jest tak już w przypadku wyrobów budowlanych objętych zakresem rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/3110 (3), zabawek objętych zakresem rozporządzenia Parlamentu Europejskiego i Rady (UE) 2025/2509 (4) oraz detergentów i środków powierzchniowo czynnych dla użytkownika końcowego objętych zakresem rozporządzenia Parlamentu Europejskiego i Rady (UE) 2026/405 (5). W przypadku gdy dalsze przepisy Unii będą odnosić się do rejestru utworzonego na podstawie rozporządzenia (UE) 2024/1781, zastosowanie powinny mieć rozwiązania wykonawcze określone w niniejszym rozporządzeniu. Powinno to pozostawać bez uszczerbku dla szczegółowych przepisów unijnych dotyczących rejestru cyfrowych paszportów produktów, w tym przepisów przyjętych na podstawie uprawnień do uzupełnienia lub dostosowania wymogów, które go dotyczą, tak jak ma to miejsce w przypadku wyrobów budowlanych, jak przewidziano w art. 79 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/3110 (6). W przypadku gdy rejestr jest połączony z innymi systemami informacyjnymi, połączenie takie nie powinno zakłócać interoperacyjności tych systemów.

(3)

Aby zapewnić skuteczność, bezpieczeństwo i interoperacyjność rejestru, powinien on składać się z następujących elementów: strony internetowej zapewniającej bezpieczny interfejs użytkownika; interfejsu programowania aplikacji (API) do celów rejestracji cyfrowych paszportów produktów; platformy weryfikacyjnej służącej do weryfikacji i potwierdzania istnienia i kompletności cyfrowych paszportów produktów; systemu identyfikacji i zezwoleń dla użytkowników; schematu generowania niepowtarzalnych identyfikatorów rejestracji; komponentu pamięci do przechowywania niepowtarzalnych identyfikatorów i kodów towarów w przypadku produktów, które mają zostać objęte procedurą celną „dopuszczenie do obrotu”; repozytorium semantycznego, które służy jako autorytatywne odniesienie w zakresie znaczenia semantycznego, struktury, wersjonowania i interoperacyjności danych zawartych w cyfrowym paszporcie produktu; systemu rejestracji odpowiednich operacji. Biorąc pod uwagę, że system cyfrowych paszportów produktów opiera się na modelu zdecentralizowanym, rejestr powinien zawierać też referencyjny wykaz zweryfikowanych dostawców usług w zakresie cyfrowych paszportów produktów zarejestrowanych w rejestrze.

(4)

Aby zapewnić rozliczalność, w procesie weryfikacji należy zidentyfikować każdy podmiot gospodarczy i podmiot łańcucha wartości (np. dostawcę usług w zakresie cyfrowych paszportów produktów, podmiot zajmujący się naprawą, odnawianiem, regeneracją lub recyklingiem).

(5)

W przypadku osoby fizycznej prowadzącej jednoosobową działalność gospodarczą, która musi mieć siedzibę w Unii, tożsamość należy udowodnić za pomocą kwalifikowanego podpisu elektronicznego popartego kwalifikowanym certyfikatem podpisu elektronicznego zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 910/2014 (7) lub za pomocą środka identyfikacji elektronicznej, który spełnia wymogi tego rozporządzenia w zakresie wysokiego poziomu bezpieczeństwa, lub za pomocą elektronicznego poświadczenia atrybutów wydanego na podstawie prawa Unii, które umożliwia identyfikację podmiotu gospodarczego. W przypadku osoby fizycznej prowadzącej jednoosobową działalność gospodarczą, która nie musi mieć siedziby w Unii, tożsamość należy udowodnić za pomocą kwalifikowanego podpisu elektronicznego popartego kwalifikowanym certyfikatem podpisu elektronicznego zgodnie z rozporządzeniem (UE) nr 910/2014 lub za pomocą elektronicznego poświadczenia atrybutów wydanego na podstawie prawa Unii, które umożliwia identyfikację podmiotu gospodarczego.

(6)

W przypadku osoby prawnej, która musi mieć siedzibę w Unii, dowód jej tożsamości oraz dowód potwierdzający jej siedzibę powinny być weryfikowane przez kwalifikowanego dostawcę usług zaufania za pomocą kwalifikowanej pieczęci elektronicznej potwierdzonej kwalifikowanym certyfikatem pieczęci elektronicznej zgodnie z rozporządzeniem (UE) nr 910/2014 lub za pomocą kwalifikowanego elektronicznego poświadczenia atrybutów wydanego na podstawie prawa Unii, które umożliwia identyfikację tożsamości i siedziby podmiotu gospodarczego. W przypadku osoby prawnej, która nie musi mieć siedziby w Unii, dowód jej tożsamości oraz, w stosownych przypadkach, dowód potwierdzający jej siedzibę powinny być weryfikowane za pomocą kwalifikowanej pieczęci elektronicznej potwierdzonej kwalifikowanym certyfikatem pieczęci elektronicznej wydanym przez kwalifikowanego dostawcę usług zaufania na podstawie rozporządzenia (UE) nr 910/2014 lub za pomocą elektronicznego poświadczenia atrybutów wydanego na podstawie prawa Unii, które umożliwia identyfikację podmiotu gospodarczego.

(7)

Niniejsze rozporządzenie powinno pozostawać bez uszczerbku dla wymogów określonych w innych aktach prawa Unii dotyczących miejsca siedziby podmiotów gospodarczych lub, w stosownych przypadkach, podmiotów łańcucha wartości, które wprowadzają produkty do obrotu lub oddają je do użytku. W związku z tym, w przypadku gdy takie wymogi mają zastosowanie, korzystanie z rejestru nie powinno prowadzić do obchodzenia ani podważania ich stosowania, a rejestr powinien działać w sposób w pełni z nimi zgodny.

(8)

Po zakończeniu procesu weryfikacji podmiot gospodarczy należy uznać za „zweryfikowany podmiot gospodarczy”, upoważniony do tworzenia profilu użytkownika i zarządzania prawami dostępu dla dodatkowych użytkowników działających w imieniu tego samego podmiotu, do rejestrowania nowych cyfrowych paszportów produktów w rejestrze i do zmiany istniejących rejestracji. Jedynie podmiot gospodarczy posiadający status „zweryfikowany” powinien mieć możliwość rejestrowania cyfrowych paszportów produktów w rejestrze i dokonywania korekt w istniejących rejestracjach, co przyczyni się do zapewnienia integralności i dokładności danych. Wykorzystywane w ramach rejestru statusy powinny wskazywać, czy rejestracja zweryfikowanego podmiotu gospodarczego jest ważna. Jeden proces weryfikacji powinien zapewniać podmiotowi gospodarczemu status „zweryfikowany” do czasu wygaśnięcia jego środków identyfikacji elektronicznej, a w każdym razie nie dłużej niż przez trzy lata. W przypadku gdy podmiot gospodarczy nie powtórzy tego procesu po upływie trzyletniego okresu lub gdy jego środki identyfikacji wygasną, nie należy go już uznawać za „zweryfikowany podmiot gospodarczy”. W związku z tym utraci on zdolność rejestrowania nowych cyfrowych paszportów produktów lub modyfikowania danych w rejestrze.

(9)

Podmioty łańcucha wartości (podmioty zajmujące się naprawą, odnawianiem, regeneracją lub inne podmioty) zamierzające uzyskać dostęp do rejestru będą musiały przejść proces weryfikacji opisany w art. 5. W związku z tym dostęp do rejestru cyfrowych paszportów produktów mają mieć wyłącznie podmioty, które uzyskały status „zweryfikowany”. Ich rolę (np. podmiotu zajmującego się naprawą, recyklingiem, regeneracją lub innego podmiotu) oraz wszelkie czynności, które wykonują w rejestrze, należy określić w aktach delegowanych przyjętych na podstawie rozporządzenia (UE) 2024/1781 lub na podstawie innych aktów prawa Unii.

(10)

Podmioty gospodarcze lub podmioty łańcucha wartości, które nie przeszły weryfikacji tożsamości w terminie przewidzianym w niniejszym rozporządzeniu, powinny mieć możliwość przeniesienia swoich zarejestrowanych cyfrowych paszportów produktów na zweryfikowany podmiot gospodarczy lub, w stosownych przypadkach, na zweryfikowany podmiot łańcucha wartości, który ma przejąć obowiązki związane z tymi cyfrowymi paszportami produktów. Takie przeniesienie może być również możliwe w przypadku każdego zweryfikowanego podmiotu gospodarczego lub zweryfikowanego podmiotu łańcucha wartości w sytuacji zmian organizacyjnych, takich jak połączenie, podział lub sprzedaż całości lub części podmiotu, zaprzestanie działalności lub inne okoliczności.

(11)

Aby zapewnić właściwe funkcjonowanie rejestru i rozliczalność dla użytkowników, należy ustanowić przepisy dotyczące zarządzania danymi zawartymi w profilu użytkownika zweryfikowanych podmiotów gospodarczych i zweryfikowanych podmiotów łańcucha wartości. W tym celu każdy zweryfikowany podmiot gospodarczy i zweryfikowany podmiot łańcucha wartości powinien zawsze dysponować co najmniej jedną osobą powiązaną z kontem w rejestrze, która zarządza danymi w ramach profilu. Obejmuje to między innymi: przyznawanie praw dostępu dodatkowym użytkownikom, o ile jest to możliwe, modyfikowanie i przeglądanie istniejących rejestracji oraz rejestrowanie nowych cyfrowych paszportów produktów. Może to być również ta sama osoba, która rejestruje zweryfikowany podmiot gospodarczy lub zweryfikowany podmiot łańcucha wartości w rejestrze. Zweryfikowany podmiot gospodarczy i zweryfikowany podmiot łańcucha wartości powinny prowadzić dokładną, kompletną i aktualną ewidencję w rejestrze oraz zapewniać poprawność wszystkich przekazywanych informacji, w tym wszelkich zmian dotyczących ich przedstawiciela prawnego. Podmiot gospodarczy i podmioty łańcucha wartości powinny być również odpowiedzialne za zarządzanie procesem weryfikacji tożsamości elektronicznej w rejestrze. Rejestr nie powinien uniemożliwiać zgodnego z prawem przeniesienia własności rejestracji cyfrowych paszportów produktów na jakikolwiek inny zweryfikowany podmiot gospodarczy lub zweryfikowany podmiot łańcucha wartości, niezależnie od ich statusu weryfikacji tożsamości. W przypadku gdy rejestr cyfrowych paszportów produktów jest zintegrowany z już ustanowionymi systemami unijnymi (takimi jak europejski rejestr produktów do celów etykietowania energetycznego („EPREL”)), w przypadku których stosuje się ten sam poziom weryfikacji w odniesieniu do podmiotów gospodarczych lub, w stosownych przypadkach, zweryfikowanych podmiotów łańcucha wartości, należy unikać podwójnej weryfikacji.

(12)

Właściwe organy krajowe, takie jak organy nadzoru rynku, i organy celne powinny mieć dostęp do rejestru do celów wykonywania obowiązków na podstawie przysługujących im praw dostępu określonych w odpowiednich przepisach unijnych i krajowych zgodnie z prawem Unii. Aby usprawnić zarządzanie dostępem i zapewnić rozliczalność, każde państwo członkowskie powinno wyznaczyć jednego administratora krajowego jako główny punkt kontaktowy z Komisją, który będzie zarządzał prawami dostępu dla tego państwa członkowskiego i sprawował nad nimi nadzór. Wyznaczony administrator krajowy powinien działać jako organ centralny odpowiedzialny za zarządzanie prawami dostępu dla wszystkich odpowiednich organów krajowych w danym państwie członkowskim, aby zapewnić przydzielanie praw dostępu do rejestru jedynie odpowiednim organom. Rola wyznaczonych administratorów krajowych nie obejmuje wypełniania obowiązków określonych w art. 22 w odniesieniu do danego państwa członkowskiego. Państwa członkowskie powinny poinformować Komisję o imieniu i nazwisku lub nazwie oraz danych kontaktowych wyznaczonego administratora krajowego i powiadomić Komisję o wszelkich zmianach tych informacji. Aby zapewnić bezpieczeństwo, integralność i poufność danych, przekazanie praw dostępu powinno odbywać się na pełną odpowiedzialność państwa członkowskiego, z uwzględnieniem szczególnych potrzeb jego organów.

(13)

Zarządzając rejestrem zgodnie z art. 13 ust. 1 rozporządzenia (UE) 2024/1781, Komisja powinna zagwarantować przetwarzanie danych osobowych według najwyższych standardów ochrony danych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 (8). Komisję należy zatem uznać za „administratora” rejestru zdefiniowanego w art. 3 pkt 8 tego rozporządzenia. Dane osobowe powinny być przetwarzane wyłącznie do celów zarządzania rejestrem i jego funkcjonowania. Informacje te należy chronić przed nieuprawnionym dostępem, wykorzystywaniem lub udostępnianiem. Dane te należy przechowywać jedynie tak długo, jak jest to konieczne, i usuwać w przypadku usunięcia kont użytkowników lub cofnięcia dostępu. Jeżeli jednak czynności wykonywane przez użytkownika w rejestrze wymagają zatrzymywania danych do celów audytu lub identyfikowalności na podstawie prawa Unii, dane te należy odpowiednio przechowywać.

(14)

Podmiot gospodarczy powinien dokonywać rejestracji cyfrowego paszportu produktu w rejestrze na poziomie szczegółowości określonym w mającym zastosowanie prawie Unii, a mianowicie na poziomie modelu, partii lub artykułu. Aby zapewnić pełną funkcjonalność rejestru, w szczególności dla właściwych organów krajowych i organów celnych, w przypadku tworzenia cyfrowego paszportu produktu na poziomie artykułu wraz z tym cyfrowym paszportem produktu należy zarejestrować w rejestrze również odpowiednie identyfikatory partii i modelu, o ile istnieje projekt partii i modelu dla danego produktu. W przypadku produktów, które ze względu na swój charakter są unikalne, w tym towarów wytwarzanych ręcznie, nie wymaga się identyfikatorów partii ani modelu. Ta sama zasada ma zastosowanie do cyfrowych paszportów produktów wydawanych na poziomie partii, w przypadku których przy rejestracji wymagany jest identyfikator modelu. W tym kontekście identyfikator partii i identyfikator modelu powinny odzwierciedlać grupę wyższego szczebla danego produktu. Identyfikatory te powinien wydawać podmiot gospodarczy, aby umożliwić właściwym organom krajowym śledzenie produktów należących do konkretnej partii lub modelu zarejestrowanych w rejestrze cyfrowych paszportów produktów. W przypadku gdy ten sam produkt podlega różnym przepisom unijnym wymagającym rejestracji jego cyfrowego paszportu produktu na różnych poziomach szczegółowości (model, partia lub artykuł), cyfrowy paszport produktu powinien być rejestrowany na najbardziej szczegółowym z tych poziomów.

(15)

Rejestracji należy dokonać za pośrednictwem bezpiecznego interfejsu użytkownika w ramach rejestru udostępnionego przez Komisję lub za pośrednictwem utworzonego w tym celu API. Po pomyślnym zatwierdzeniu rejestracji cyfrowego paszportu produktu następuje wygenerowanie niepowtarzalnego identyfikatora rejestracji i jego zapisanie w rejestrze oraz automatyczne przekazanie zgodnie z art. 8 podmiotowi rejestrującemu cyfrowy paszport produktu za pośrednictwem tej samej usługi, z której podmiot ten skorzystał w celu przesłania danych cyfrowego paszportu produktu.

(16)

W celu zagwarantowania, aby rejestrowano wyłącznie kompletne i ważne cyfrowe paszporty produktów, Komisja, jako właściciel rejestru i podmiot nim zarządzający zgodnie z art. 13 ust. 1 rozporządzenia (UE) 2024/1781, powinna przeprowadzać automatyczną weryfikację przedkładanych danych. Powinna ona obejmować co najmniej weryfikację struktury danych i poziomu szczegółowości (model, partia lub artykuł) cyfrowego paszportu produktu dla tego odnośnego produktu zgodnie z mającymi zastosowanie przepisami unijnymi. W stosownych przypadkach weryfikacji powinny podlegać również kody towarów i link do kopii zapasowej przechowywanej przez dostawcę usług w zakresie cyfrowych paszportów produktów. Weryfikacja poprawności merytorycznej zarejestrowanych danych pozostaje zadaniem organów nadzoru rynku zgodnie z mającymi zastosowanie przepisami unijnymi. W związku z tym automatycznych weryfikacji nie należy uznawać za dowód zgodności z wymogami zawartymi w przepisach unijnych mających zastosowanie do produktu, w tym z przepisami dotyczącymi nadzoru rynku.

(17)

W przypadku gdy cyfrowy paszport produktu jest zarejestrowany w rejestrze, podmiot gospodarczy lub, w stosownych przypadkach, osoba trzecia działająca w imieniu podmiotu gospodarczego jest uprawniona do wystąpienia do rejestru o dowód rejestracji. Wniosek ten może obejmować co najmniej jeden cyfrowy paszport produktu, za który podmiot gospodarczy jest odpowiedzialny. Dowód rejestracji powinien służyć jako dowód dla osób trzecich na to, że dany cyfrowy paszport produktu został prawidłowo zarejestrowany. Powinien on zostać utworzony jako bezpieczny dokument elektroniczny, który można pobrać z rejestru. Dowód ten powinien pozostać dostępny przez 90 dni kalendarzowych od daty wygenerowania, z możliwością ponownego utworzenia w razie potrzeby.

(18)

Aby zapewnić poprawność i dokładność danych zawartych w rejestrze, rejestr powinien obsługiwać wersjonowanie zarejestrowanych danych. Każda nowa wersja cyfrowego paszportu produktu powinna być powiązana z pierwotnym identyfikatorem rejestracji, a każda aktualizacja powinna być opatrzona znacznikiem czasu. Do celów bezpiecznego przetwarzania danych w rejestrze należy również rejestrować wszystkie przeprowadzone operacje. W przypadkach gdy prawo Unii nie określa, jak długo cyfrowy paszport produktu musi pozostawać dostępny, dane rejestracyjne cyfrowego paszportu produktu zostaną automatycznie usunięte z rejestru po upływie 10 lat od rejestracji zgodnie z zasadami określonymi w zawiadomieniu Komisji „Niebieski przewodnik – wdrażanie unijnych przepisów dotyczących produktów 2022” (9). W przypadku gdy prawo Unii określa konkretny okres przechowywania, dane będą przechowywane w rejestrze przez ten konkretny okres.

(19)

Aby zapewnić interoperacyjność semantyczną cyfrowych paszportów produktów i techniczne funkcjonowanie rejestru, należy utworzyć repozytorium semantyczne. Repozytorium semantyczne będzie ewoluującym zbiorem modeli danych i definicji semantycznych, stopniowo rozszerzanym w miarę włączania dodatkowych grup produktów. Wszystkie dane zawarte w cyfrowym paszporcie produktu muszą być ustrukturyzowane zgodnie ze wspólnymi modelami danych i definicjami semantycznymi opublikowanymi w repozytorium semantycznym rejestru. Ramy te powinny zachować elastyczność i możliwość rozszerzenia, aby można było uwzględnić wszelkie przyszłe zmiany wymogów dotyczących danych związanych z włączeniem produktu do cyfrowego paszportu produktu. Komisja dąży do zapewnienia, aby repozytorium semantyczne posiadało możliwości techniczne pozwalające na publikowanie specyfikacji semantycznych i ich wymianę z innymi repozytoriami na szczeblu Unii, w tym z repozytoriami prowadzonymi przez instytucje i organy Unii.

(20)

Aby umożliwić przeglądanie, wyszukiwanie i porównywanie definicji semantycznych i struktur danych, repozytorium semantyczne powinno obejmować usługę wyszukiwania. Komisja powinna zapewnić, aby zawartość repozytorium semantycznego była zawsze dostępna za pośrednictwem publicznie udokumentowanych API, z wyjątkiem okresów niezbędnych działań w zakresie utrzymania lub tymczasowego zawieszenia usług zgodnie z art. 15. API powinny obsługiwać wspólne formaty danych, aby ułatwić ich automatyczne wykorzystywanie przez systemy zewnętrzne. Dostęp do repozytorium semantycznego i jego API oraz korzystanie z nich powinny być bezpłatne.

(21)

Komisja powinna ustanowić usługę pomocy technicznej, aby w razie potrzeby zapewnić odpowiednie wsparcie techniczne wszystkim użytkownikom rejestru. Usługa pomocy technicznej powinna być dostępna przez cały rok w standardowych godzinach pracy. Dalsze informacje szczegółowe, w tym procedury operacyjne, należy udostępnić na stronie internetowej Komisji.

(22)

Aby zapewnić integralność, bezpieczeństwo i przejrzystość rejestru, Komisja powinna prowadzić solidny i zautomatyzowany system rejestracji wszystkich działań w ramach rejestru. W ramach systemu rejestracji należy stworzyć kompleksowe ścieżki audytu. W tym celu oraz w celu śledzenia wszystkich czynności wykonywanych w rejestrze, aby zapewnić rozliczalność dla wszystkich użytkowników, należy rejestrować próby dostępu, zarówno udane, jak i nieudane, a także modyfikacje i czynności administracyjne.

(23)

Okresy przechowywania logów powinny być proporcjonalne do ich celów. Chociaż logi dotyczące modyfikacji danych powinny być przechowywane przez czas trwania rejestracji w celu wsparcia długoterminowej weryfikacji, dochodzeń w sprawie incydentów i przestrzegania obowiązków prawnych, w przypadku logów prób uwierzytelnienia wymaga się krótszego okresu przechowywania, aby zrównoważyć potrzeby w zakresie bezpieczeństwa z zasadami minimalizacji danych. Logi operacji administracyjnych i wymiany danych są przechowywane średnio przez okres pięciu lat.

(24)

Dostęp właściwych organów krajowych i organów celnych do logów w celu prowadzenia dochodzeń lub audytów bezpieczeństwa lub w przypadku incydentów ma zasadnicze znaczenie dla skutecznej współpracy i egzekwowania przepisów. Takiego dostępu należy udzielać w sposób zapewniający poufność i integralność logów, a jednocześnie umożliwiający terminowe i skrupulatne dochodzenia lub audyty.

(25)

Biorąc pod uwagę wrażliwy charakter rejestrowanych danych, które mogą obejmować dane osobowe lub informacje poufne, Komisja powinna wdrożyć odpowiednie środki techniczne i organizacyjne w celu ochrony logów przed nieuprawnionym dostępem lub niezgodnym z prawem przetwarzaniem, przypadkową utratą, zniszczeniem lub uszkodzeniem. Takie środki powinny gwarantować ciągłość i poufność logów, a także zapewniać ich integralność i wiarygodność jako dowodów. Stosowanie szyfrowania, kontroli dostępu i regularnych kontroli integralności należy uznać za najlepsze praktyki w zakresie wypełniania tych obowiązków.

(26)

Aby ułatwić skuteczne i efektywne korzystanie z rejestru, Komisja powinna zapewnić jasne, dostępne i aktualne wytyczne, a także instrukcje dotyczące procedur rejestracji i zarządzania danymi. Udostępnienie tych zasobów za pośrednictwem strony internetowej Komisji zagwarantuje, że wszyscy użytkownicy, niezależnie od posiadanej technicznej wiedzy fachowej, będą w stanie wywiązać się z obowiązków. Takie wytyczne mają zasadnicze znaczenie dla zminimalizowania błędów, zmniejszenia obciążeń administracyjnych i promowania jednolitego stosowania wymogów dotyczących rejestracji w całej Unii.

(27)

Stała dostępność rejestru jest podstawowym wymogiem jego właściwego funkcjonowania, ponieważ przerwy mogą zakłócić działania związane z zapewnieniem zgodności, nadzór rynku, kontrole celne oraz swobodny przepływ towarów i usług na rynku wewnętrznym. Planowane działania w zakresie utrzymania, takie jak aktualizacje oprogramowania, poprawki zabezpieczeń lub aktualizacje systemu, mogą jednak czasami wymagać tymczasowej niedostępności. Aby złagodzić zakłócenia, Komisja powinna z wyprzedzeniem informować o takich okresach na publicznie dostępnej stronie internetowej, co umożliwi użytkownikom odpowiednie planowanie. Ponadto w wyjątkowych okolicznościach, takich jak nieprawidłowe działanie systemu, cyberataki lub nagłe zagrożenia bezpieczeństwa, Komisja może zawiesić dostęp do rejestru bez uprzedzenia, aby zapobiec naruszeniom ochrony danych, nieuprawnionemu dostępowi lub dalszym szkodom. Takie środki są uzasadnione nadrzędną potrzebą ochrony integralności i bezpieczeństwa rejestru i zawartych w nim danych. W przypadku takiego zawieszenia dostępu Komisja powinna podjąć szybkie działania w celu przywrócenia normalnego funkcjonowania oraz, w miarę możliwości, jak najszybciej poinformować użytkowników o zawieszeniu i przewidywanym czasie jego trwania. Aby zapewnić rozliczalność i umożliwić dostęp organom nadzoru rynku i organom celnym, Komisja powinna dokumentować czas trwania i harmonogram wszelkich wyłączeń oraz przechowywać taką ewidencję przez co najmniej pięć lat.

(28)

Rejestr powinien działać zgodnie z wysokimi standardami bezpieczeństwa w celu ochrony integralności, poufności i dostępności zawartych w nim danych. W związku z tym Komisja powinna przygotować plan bezpieczeństwa informatycznego obejmujący ocenę ryzyka związanego z cyberbezpieczeństwem i innymi kwestiami informatycznymi, przeprowadzać audyty techniczne oraz kontrole wyrywkowe w celu weryfikacji zgodności i identyfikacji podatności, aby zapewnić odporność systemu na cyberzagrożenia. Komisja powinna dopilnować, aby wszystkie zdarzenia związane z bezpieczeństwem, które obejmują między innymi nieuprawniony dostęp, nieuprawnione przetwarzanie, naruszenia ochrony danych, błędy w logice wdrażania, rejestrowano zgodnie ze standardami bezpieczeństwa technologii informacyjnych stosowanymi przez Komisję. Ponadto rejestr powinien być zgodny – gdy tylko odpowiednie usługi będą dostępne na rynku unijnym – z odpowiednim poziomem suwerenności, w oparciu o ramy suwerenności chmurowej (10).

(29)

Komisja powinna mieć możliwość wdrożenia niezbędnych środków w przypadku podejrzenia oszukańczych czynności w rejestrze, które mogą obejmować niewłaściwe pobieranie informacji. W przypadku podejrzenia szkodliwego działania użytkownicy mają obowiązek niezwłocznego powiadomienia Komisji oraz, w stosownych przypadkach, organów krajowych, których to dotyczy.

(30)

Przetwarzanie danych osobowych w rejestrze jest konieczne zgodnie z rozporządzeniem (UE) 2024/1781 i obejmuje weryfikację cyfrowych paszportów produktów, nadzór rynku i kontrole celne. Aby zapewnić autentyczność i integralność danych oraz chronić prawa osób, których dane dotyczą, przechowywane w rejestrze dane osobowe, takie jak imiona i nazwiska, dane kontaktowe i dane uwierzytelniające, powinny być przetwarzane zgodnie z rozporządzeniem (UE) 2018/1725.

(31)

Podmiot gospodarczy powinien być odpowiedzialny za przekazanie do rejestru dokładnych i kompletnych informacji. Biorąc pod uwagę potencjalne ryzyko związane z nieuprawnionym dostępem do rejestru, takie jak modyfikacja danych, podmiot gospodarczy powinien być zobowiązany do wdrożenia odpowiednich technicznych i organizacyjnych środków bezpieczeństwa w celu ochrony swoich systemów informatycznych, w szczególności danych uwierzytelniających wykorzystywanych do uzyskiwania dostępu do rejestru. Podmiot gospodarczy powinien ponosić odpowiedzialność nawet wtedy, gdy do rejestracji cyfrowego paszportu produktu w jego imieniu upoważniona jest osoba trzecia.

(32)

Komisja, która ma być właścicielem rejestru i podmiotem nim zarządzającym, powinna być odpowiedzialna za ogólne zarządzanie cyklem życia rejestru, w tym za jego opracowanie, dostępność, monitorowanie, aktualizację, utrzymanie i hosting. Czynności te wiążą się między innymi z dostępem Komisji do rejestru. Komisja powinna mieć również możliwość dostępu do rejestru w celu uzyskania informacji niezbędnych do realizacji działań wymaganych na mocy innych aktów ustawodawczych UE, w tym do celów nadzoru rynku, ochrony konsumentów i przestrzegania przepisów prawa celnego.

(33)

Komisja powinna też nadal być odpowiedzialna za zapewnienie, aby przechowywane w nim dane były przetwarzane w sposób bezpieczny i zgodny z prawem Unii, w tym z przepisami w zakresie ochrony danych.

(34)

Państwa członkowskie muszą mieć możliwość interakcji z rejestrem w celu skutecznego prowadzenia nadzoru rynku, kontroli celnych i innych zadań określonych na szczeblu krajowym lub w prawie Unii. Państwa członkowskie powinny pozostać odpowiedzialne za zapewnienie opracowania, utrzymania i bezpieczeństwa krajowych komponentów, z których korzystają w celu uzyskiwania dostępu do systemu, takich jak krajowe rejestry lub systemy informacyjne. Aby zagwarantować odpowiednią ochronę danych osobowych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (11), państwa członkowskie należy uznawać za administratorów w rozumieniu art. 4 pkt 7 tego rozporządzenia, gdy przetwarzają dane osobowe w celach określonych w prawie Unii. Państwa członkowskie są uprawnione do przetwarzania danych uzyskanych z rejestru zgodnie z prawem Unii.

(35)

Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na mocy art. 73 rozporządzenia (UE) 2024/1781,