Rozdział 6 - PRAWA DOTYCZĄCE OCHRONY DANYCH I NADZÓR NADNIĄ - Rozporządzenie 767/2008 w sprawie Wizowego Systemu Informacyjnego (VIS) oraz wymiany danych pomiędzy państwami członkowskimi na temat wiz krótkoterminowych (rozporządzenie w sprawie VIS)

Dzienniki UE

Dz.U.UE.L.2008.218.60

Akt obowiązujący

Wersja od: 27 grudnia 2023 r. do: 11 czerwca 2026 r.

ROZDZIAŁ  VI

PRAWA DOTYCZĄCE OCHRONY DANYCH I NADZÓR NADNIĄ

Artykuł  37 ¹⁵³

Prawo do informacji

1. Bez uszczerbku dla prawa do informacji, o którym mowa w art. 15 i 16 rozporządzenia (UE) 2018/1725, art. 13 i 14 rozporządzenia (UE) 2016/679 oraz art. 13 dyrektywy (UE) 2016/680, osoby ubiegające się o wizę i osoby, o których mowa w art. 9 pkt 4 lit. f) niniejszego rozporządzenia, są informowane przez odpowiedzialne państwo członkowskie o:

a) tożsamości administratora, o którym mowa w art. 29 ust. 4, w tym o danych kontaktowych administratora;

b) celach przetwarzania danych w ramach VIS;

c) kategoriach odbiorców danych, w tym o organach, o których mowa w art. 22l, i Europolu;

ca) fakcie, że państwa członkowskie i Europol są uprawnione do dostępu do VIS do celów ochrony porządku publicznego;

d) okresie przechowywania danych;

e) obowiązku uzyskania danych do celów rozpatrzenia wniosku wizowego;

ea) fakcie, że dane osobowe przechowywane w VIS mogą zostać przekazane państwu trzeciemu lub organizacji międzynarodowej zgodnie z art. 31 niniejszego rozporządzenia oraz państwom członkowskim zgodnie z decyzją Rady (UE) 2017/1908 ¹⁵⁴ ;

f) o istniejącym prawie do zażądania dostępu do danych ich dotyczących, prawie do zażądania sprostowania nieprawidłowych danych ich dotyczących, uzupełnienia niekompletnych danych osobowych ich dotyczących, usunięcia dotyczących ich danych osobowych, które były przetwarzane niezgodnie z prawem lub ograniczenia ich przetwarzania, a także o prawie do otrzymania informacji o procedurach wykonywania tych praw, w tym do otrzymania danych kontaktowych organów nadzorczych lub, w stosownych przypadkach, Europejskiego Inspektora Ochrony Danych, które to organy rozpatrują skargi dotyczące ochrony danych osobowych.

2. Informacje, o których mowa w ust. 1 niniejszego artykułu, przekazywane są - w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie pisemnej, przy użyciu jasnego i prostego języka - osobie ubiegającej się o wizę w momencie pozyskiwania danych, wizerunku twarzy i danych daktyloskopijnych zgodnie z art. 9 i 22a. Dzieci są informowane w sposób dostosowany do ich wieku, w tym przy użyciu narzędzi wizualnych w celu wyjaśnienia procedury pobierania odcisków palców.

3. Informacje, o których mowa w ustępie 1, są podawane osobom, o których mowa w art. 9 pkt 4 lit. f), w formularzach, które mają być podpisane przez te osoby, stanowiących dowód zaproszenia, sponsorowania i zakwaterowania.

W przypadku braku takiego formularza podpisanego przez te osoby informacje te są przekazywane zgodnie z art. 14 rozporządzenia (UE) 2016/679.

Artykuł  38  ¹⁵⁵  

Prawo do dostępu do danych osobowych, ich sprostowania, uzupełnienia, usunięcia oraz do ograniczenia przetwarzania

1. Aby wykonywać prawa przysługujące na mocy art. 15-18 rozporządzenia (UE) 2016/679, każda osoba ma prawo do uzyskania informacji na temat dotyczących jej danych zarejestrowanych w VIS oraz na temat państwa członkowskiego, które wprowadziło te dane do VIS. Państwo członkowskie, która otrzymuje wniosek, musi go rozpatrzyć i udzielić na niego odpowiedzi jak najszybciej, nie później niż w terminie jednego miesiąca od otrzymania wniosku.

2. Każda osoba może wystąpić z wnioskiem o sprostowanie nieprawidłowych danych jej dotyczących i o usunięcie danych zarejestrowanych niezgodnie z prawem.

Jeżeli wniosek jest skierowany do odpowiedzialnego państwa członkowskiego, w przypadku stwierdzenia, że dane VIS są niezgodne ze stanem faktycznym lub zostały zarejestrowane niezgodnie z prawem, odpowiedzialne państwo członkowskie dokonuje zgodnie z art. 24 ust. 3 sprostowania lub usunięcia tych danych w VIS niezwłocznie, nie później niż w terminie jednego miesiąca od otrzymania wniosku. Odpowiedzialne państwo członkowskie niezwłocznie informuje osobę zainteresowaną w formie pisemnej, że podjęło działania w celu dokonania sprostowania lub usunięcia dotyczących jej danych.

Jeżeli wniosek skierowany jest do państwa członkowskiego innego niż odpowiedzialne państwo członkowskie, organy państwa członkowskiego, do którego wniosek został skierowany, kontaktują się z organami odpowiedzialnego państwa członkowskiego w terminie siedmiu dni. Odpowiedzialne państwo członkowskie podejmuje działania zgodnie z akapitem drugim niniejszego ustępu. Państwo członkowskie, które skontaktowało się z organem odpowiedzialnego państwa członkowskiego, informuje osobę zainteresowaną o przekazaniu jej wniosku, o państwie członkowskim, do którego przekazano wniosek, i o dalszej procedurze.

3. Jeżeli odpowiedzialne państwo członkowskie nie zgadza się z twierdzeniem, że dane zarejestrowane w VIS są niezgodne ze stanem faktycznym lub zostały zarejestrowane niezgodnie z prawem, wydaje niezwłocznie decyzję administracyjną, w której wyjaśnia osobie zainteresowanej na piśmie, dlaczego nie zamierza sprostować lub usunąć dotyczących jej danych.

4. Decyzja administracyjna, o której mowa w ust. 3, zawiera też informacje przeznaczone dla osoby zainteresowanej, wyjaśniające możliwość odwołania się od tej decyzji, a w stosownych przypadkach - informacje dotyczące sposobu wniesienia sprawy lub skargi do właściwych organów lub sądów oraz informacje dotyczące pomocy dostępnej dla tej osoby, w tym ze strony właściwych organów nadzorczych.

5. Wnioski składane na podstawie ust. 1 lub 2 zawierają informacje niezbędne do zidentyfikowania osoby zainteresowanej. Takie informacje wykorzystuje się wyłącznie w celu zapewnienia możliwości wykonywania praw, o których mowa w ust. 1 lub 2.

6. Odpowiedzialne państwo członkowskie odnotowuje w formie dokumentu pisemnego, że wniesiono wniosek, o którym mowa w ust. 1 lub 2, oraz w jaki sposób został on rozpatrzony. Państwo to udostępnia ten dokument właściwym organom nadzorczym niezwłocznie, nie później jednak niż siedem dni po wydaniu decyzji o sprostowaniu lub usunięciu danych, o których mowa w ust. 2 akapit drugi, lub po wydaniu decyzji administracyjnej, o której mowa w ust. 3.

7. Na zasadzie odstępstwa od ust. 1-6 niniejszego artykułu i wyłącznie w odniesieniu do danych zawartych w uzasadnionych opiniach, które są rejestrowane w VIS zgodnie z art. 9e ust. 6, art. 9g ust. 6 oraz art. 22b ust. 14 i 16 w wyniku zapytań na podstawie art. 9a i 22b, państwo członkowskie podejmuje decyzję o nieprzekazywaniu całości lub części informacji osobie zainteresowanej, zgodnie z prawem krajowym lub unijnym, w zakresie i przez okres, w jakim takie częściowe lub całkowite ograniczenie stanowi niezbędny i proporcjonalny środek w społeczeństwie demokratycznym, przy należytym uwzględnieniu praw podstawowych i uzasadnionych interesów osoby zainteresowanej, po to aby:

a) uniemożliwić utrudnianie prowadzenia urzędowych lub sądowych postępowań wyjaśniających, postępowań przygotowawczych lub procedur;

b) uniemożliwić utrudnianie zapobiegania przestępstwom, ich wykrywania, prowadzenia w ich sprawie postępowań przygotowawczych lub ich ścigania lub wykonywania kar;

c) chronić bezpieczeństwo publiczne;

d) chronić bezpieczeństwo narodowe; lub

e) chronić prawa i wolności innych osób.

W przypadkach, o których mowa w akapicie pierwszym, państwo członkowskie bez zbędnej zwłoki informuje na piśmie osobę zainteresowaną o odmowie lub ograniczeniu dostępu oraz o powodach takiej odmowy lub takiego ograniczenia. Informacje takie można pominąć, jeżeli ich przekazanie godziłoby w jeden z celów określonych w akapicie pierwszym lit. a)-e). Państwo członkowskie informuje osobę zainteresowaną o możliwości wniesienia skargi do organu nadzorczego lub możliwości skorzystania ze środka ochrony prawnej przed sądem.

Państwo członkowskie dokumentuje faktyczne lub prawne powody swojej decyzji o nieprzekazywaniu informacji osoby zainteresowanej. Informacje te udostępnia się organom nadzorczym.

W takich przypadkach osoba zainteresowana może również wykonywać swoje prawa za pośrednictwem właściwych organów nadzorczych.

Artykuł  39  ¹⁵⁶  

Współpraca w celu zapewnienia praw dotyczących ochrony danych

1. Właściwe organy państw członkowskich prowadzą aktywną współpracę w celu egzekwowania praw ustanowionych w art. 38.

2. W każdym państwie członkowskim organ nadzorczy, o którym mowa w art. 51 ust. 1 rozporządzenia (UE) 2016/679, po otrzymaniu wniosku udziela osobie, której dane dotyczą, pomocy i porady w zakresie wykonywania przysługującego jej prawa do sprostowania, uzupełnienia lub usunięcia dotyczących jej danych osobowych lub do ograniczenia przetwarzania takich danych, zgodnie z rozporządzeniem (UE) 2016/679.

Aby osiągnąć cele, o których mowa w akapicie pierwszym, organ nadzorczy odpowiedzialnego państwa członkowskiego oraz organ nadzorczy państwa członkowskiego, do którego skierowano wniosek, prowadzą ze sobą współpracę.

Artykuł  40  ¹⁵⁷  

Środki ochrony prawnej

1. Bez uszczerbku dla art. 77 i 79 rozporządzenia (UE) 2016/679 każda osoba ma prawo wnieść sprawę lub skargę do właściwych organów lub sądów państwa członkowskiego, które odmówiło jej prawa dostępu do dotyczących jej danych, do sprostowania, uzupełnienia lub usunięcia takich danych przewidzianych w art. 38 i art. 39 ust. 2 niniejszego rozporządzenia. Prawo do wniesienia sprawy lub skargi ma również zastosowanie, gdy administrator danych nie odpowiedział w terminach przewidzianych w art. 38 na wniosek o udzielenie dostępu do danych, ich sprostowanie, uzupełnienie lub usunięcie lub gdy takiego wniosku nie rozpatrzył.

2. Pomoc ze strony organu nadzorczego, o którym mowa w art. 51 ust. 1 rozporządzenia (UE) 2016/679, jest dostępna przez cały czas trwania postępowania.

Artykuł  41  ¹⁵⁸  

Nadzór ze strony organów nadzorczych

1. Każde państwo członkowskie zapewnia, by organ nadzorczy, o którym mowa w art. 51 ust. 1 rozporządzenia (UE) 2016/679, monitorował w sposób niezależny, czy przetwarzanie danych osobowych zgodnie z niniejszym rozporządzeniem przez dane państwo członkowskie jest zgodne z prawem.

2. Organ nadzorczy, o którym mowa w art. 41 ust. 1 dyrektywy (UE) 2016/680, monitoruje, czy przetwarzanie danych osobowych przez państwa członkowskie zgodnie z rozdziałem IIIb - w tym dostęp państw członkowskich do danych osobowych i przesyłanie takich danych do VIS i z tego systemu - jest zgodne z prawem.

3. Organ nadzorczy, o którym mowa w art. 51 ust. 1 rozporządzenia (UE) 2016/679, zapewnia przeprowadzenie co najmniej raz na cztery lata kontroli - zgodnie z odpowiednimi międzynarodowymi standardami przeprowadzania kontroli - operacji przetwarzania danych przez odpowiedzialne organy krajowe. Wyniki tej kontroli mogą być uwzględniane w ocenach przeprowadzanych w ramach mechanizmu ustanowionego rozporządzeniem Rady (UE) nr 1053/ 2013^{( *} . Organ nadzorczy, o którym mowa w art. 51 ust. 1 rozporządzenia (UE) 2016/679, publikuje co roku informacje na temat liczby wniosków o sprostowanie, uzupełnienie lub usunięcie danych, lub ograniczenie przetwarzania danych, działań podjętych w odpowiedzi na wnioski i liczby sprostowań, uzupełnień, usunięć i ograniczeń przetwarzania dokonanych w odpowiedzi na wnioski osób zainteresowanych.

4. Państwa członkowskie zapewniają swoim organom nadzorczym zasoby wystarczające do tego, by organy te mogły wypełniać zadania powierzone im na podstawie niniejszego rozporządzenia, oraz dostęp do doradztwa świadczonego przez osoby dysponujące wystarczającą wiedzą na temat danych biometrycznych.

5. Państwa członkowskie dostarczają wszelkich informacji, o których udzielenie wystąpiły organy nadzorcze, a w szczególności przekazują im informacje o działaniach prowadzonych zgodnie ze swoimi obowiązkami na podstawie niniejszego rozporządzenia. Państwa członkowskie udzielają organom nadzorczym dostępu do swoich rejestrów oraz umożliwiają im dostęp do wszystkich swoich pomieszczeń związanych z VIS w dowolnym momencie.

Artykuł  42  ¹⁵⁹  

Nadzór ze strony Europejskiego Inspektora Ochrony Danych

1. Europejski Inspektor Ochrony Danych jest odpowiedzialny za monitorowanie działań eu-LISA, Europolu i Europejskiej Agencji Straży Granicznej i Przybrzeżnej w zakresie przetwarzania danych osobowych na podstawie niniejszego rozporządzenia i za zapewnienie, by takie działania prowadzone były zgodnie z niniejszym rozporządzeniem i rozporządzeniem (UE) 2018/1725 lub, w odniesieniu do Europolu - z rozporządzeniem (UE) 2016/794.

2. Europejski Inspektor Ochrony Danych zapewnia przeprowadzenie co najmniej raz na cztery lata kontroli - zgodnie z odpowiednimi międzynarodowymi standardami przeprowadzania kontroli - działań eu-LISA w zakresie przetwarzania danych osobowych. Sprawozdanie z tej kontroli przesyłane jest Parlamentowi Europejskiemu, Radzie, eu-LISA, Komisji i organom nadzorczym. eu-LISA ma możliwość przedstawienia uwag, zanim sprawozdania zostaną przyjęte.

3. eu-LISA dostarcza informacji, o których udzielenie wystąpił Europejski Inspektor Ochrony Danych, zapewnia Europejskiemu Inspektorowi Ochrony Danych dostęp do wszystkich dokumentów i do swoich rejestrów, o których mowa w art. 22s, 34 i 45c, oraz umożliwia Europejskiemu Inspektorowi Ochrony Danych dostęp do wszystkich swoich pomieszczeń w dowolnym momencie.

Artykuł  43  ¹⁶⁰  

Współpraca organów nadzorczych z Europejskim Inspektorem Ochrony Danych

1. Organy nadzorcze i Europejski Inspektor Ochrony Danych prowadzą w ramach swoich kompetencji aktywną współpracę w zakresie przysługujących im uprawnień w celu zapewnienia skoordynowanego nadzoru nad VIS i systemami krajowymi.

2. Europejski Inspektor Ochrony Danych i organy nadzorcze wymieniają się stosownymi informacjami, udzielają sobie pomocy w przeprowadzaniu kontroli i inspekcji, analizują wszelkie trudności dotyczące wykładni lub stosowania niniejszego rozporządzenia, oceniają problemy związane ze sprawowaniem niezależnego nadzoru lub z wykonywaniem przez osoby, których dane dotyczą, przysługujących im praw, sporządzają zharmonizowane propozycje dotyczące wspólnych rozwiązań wszelkich problemów i wspierają działania na rzecz zwiększania świadomości w obszarze praw dotyczących ochrony danych, stosownie do potrzeb.

3. Do celów ust. 2 organy nadzorcze i Europejski Inspektor Ochrony Danych odbywają posiedzenia co najmniej dwa razy w roku w ramach Europejskiej Rady Ochrony Danych. Europejska Rada Ochrony Danych organizuje i ponosi koszty tych posiedzeń. Na pierwszym posiedzeniu przyjmowany jest regulamin wewnętrzny. Dalsze metody pracy opracowuje się wspólnie stosownie do potrzeb.

4. Co dwa lata Europejska Rada Ochrony Danych przesyła Parlamentowi Europejskiemu, Radzie, Komisji, Europo- lowi, Europejskiej Agencji Straży Granicznej i Przybrzeżnej i eu-LISA wspólne sprawozdanie z działalności podjętej na podstawie niniejszego artykułu. W sprawozdaniu tym każdemu państwu członkowskiemu poświęcony jest osobny rozdział przygotowany przez organ nadzorczy tego państwa członkowskiego.

Artykuł  44  ¹⁶¹

 (uchylony).

¹⁵³ Art. 37:

- zmieniony przez sprostowanie z dnia 12 listopada 2018 r. (Dz.U.UE.L.2018.284.39) zmieniające nin. rozporządzenie z dniem 9 września 2008 r.

- zmieniony przez art. 1 pkt 41 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁵⁴ Decyzja Rady (UE) 2017/1908 z dnia 12 października 2017 r. w sprawie wprowadzenia w życie w Republice Bułgarii i w Rumunii niektórych przepisów dorobku Schengen dotyczących Wizowego Systemu Informacyjnego (Dz.U. L 269 z 19.10.2017, s. 39).

¹⁵⁵ Art. 38 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁵⁶ Art. 39 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁵⁷ Art. 40 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁵⁸ Art. 41 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

^* Rozporządzenie Rady (UE) nr 1053/2013 z dnia 7 października 2013 r. w sprawie ustanowienia mechanizmu oceny i monitorowania w celu weryfikacji stosowania dorobku Schengen oraz uchylenia decyzji komitetu wykonawczego z dnia 16 września 1998 r. dotyczącej utworzenia Stałego Komitetu ds. Oceny i Wprowadzania w Życie Dorobku Schengen (Dz.U. L 295 z 6.11.2013, s. 27).

¹⁵⁹ Art. 42 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁶⁰ Art. 43 zmieniony przez art. 1 pkt 42 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.

¹⁶¹ Art. 44 uchylony przez art. 1 pkt 43 rozporządzenia nr (UE) 2021/1134 z dnia 7 lipca 2021 r. (Dz.U.UE.L.2021.248.11) zmieniającego nin. rozporządzenie z dniem 3 sierpnia 2022 r.