Rozdział 5. Centralny organ techniczny KSI - Ustawa o udziale Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym

Art. 26. Zadania centralnego organu technicznego KSI

1.

Organem odpowiedzialnym za system krajowy N.SIS II jest centralny organ techniczny KSI.

2.

Do zadań centralnego organu technicznego KSI należy:

1)

utworzenie, uruchomienie, eksploatacja techniczna oraz utrzymanie Krajowego Systemu Informatycznego (KSI);

2)

zapewnienie sprawnego działania i bezpieczeństwa Systemu Informacyjnego Schengen w ramach systemu krajowego N.SIS II.

Z dniem określonym w decyzji Komisji Europejskiej, zgodnie z art. 66 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1861 z 28.11.2018 r. art. 26 zadania centralnego organu technicznego KSI otrzymuje brzmienie jak niżej:
1. Organem odpowiedzialnym za system krajowy N.SIS jest centralny organ techniczny KSI.

2.

Do zadań centralnego organu technicznego KSI należy:

1)

utworzenie, zapewnienie funkcjonowania, utrzymanie i dalsze rozwijanie Krajowego Systemu Informatycznego (KSI);

2)

zapewnienie sprawnego działania i bezpieczeństwa Systemu Informacyjnego Schengen w ramach systemu krajowego N.SIS.

Art. 27. Obowiązki centralnego organu technicznego KSI

1.

W celu realizacji zadań, o których mowa w art. 26 zadania centralnego organu technicznego KSI ust. 2 pkt 1, centralny organ techniczny KSI jest w szczególności obowiązany do:

1)

przestrzegania obowiązujących protokołów i procedur technicznych w celu zapewnienia kompatybilności Krajowego Systemu Informatycznego (KSI) z systemem centralnym SIS II oraz Centralnym Wizowym Systemem Informacyjnym;

2)

zapewnienia, aby dane SIS przechowywane w kopii krajowej były, dzięki automatycznym aktualizacjom, identyczne i spójne z danymi przechowywanymi w systemie centralnym SIS II;

3)

zapewnienia bezpieczeństwa Krajowego Systemu Informatycznego (KSI), w szczególności poprzez sporządzenie planów awaryjnych służących ochronie infrastruktury krytycznej;

4)

sprawdzania, czy organy, które przetwarzają dane poprzez Krajowy System Informatyczny (KSI), mają prawo dostępu do danych;

5)

umożliwienia organom, o których mowa w art. 5 dostęp do Wizowego Systemu Informacyjnego w celu dokonywania wpisów danych VIS-7, przetwarzania danych VIS poprzez Krajowy System Informatyczny (KSI) oraz udzielania tym organom niezbędnych informacji do prawidłowego wykonywania przez te organy zadań w zakresie uczestnictwa w Wizowym Systemie Informacyjnym;

6)

przekazywania Komisji Europejskiej listy organów, o których mowa w art. 5 dostęp do Wizowego Systemu Informacyjnego w celu dokonywania wpisów danych VIS-7;

7)

współpracy z jednostką krajową Europolu w zakresie udzielania zgody na dostęp Europejskiego Urzędu Policji (Europol) do danych VIS;

8)

zapobiegania dostępowi osób nieuprawnionych do Krajowego Systemu Informatycznego (KSI);

9)

zapobiegania nieuprawnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu nośników informatycznych wykorzystywanych w Krajowym Systemie Informatycznym (KSI);

10)

zapewnienia rejestrowania wszystkich przypadków, w których uzyskano dostęp do danych lub wykorzystano dane w inny sposób poprzez Krajowy System Informatyczny (KSI);

11)

zapewnienia fizycznej ochrony danych wykorzystywanych poprzez Krajowy System Informatyczny (KSI);

12)

zapobiegania wykorzystywaniu Krajowego Systemu Informatycznego (KSI) przez osoby nieuprawnione korzystające ze sprzętu do przekazywania danych;

13)

zapewnienia możliwości późniejszej weryfikacji i stwierdzenia, które dane zostały wprowadzone poprzez Krajowy System Informatyczny (KSI) oraz kiedy i przez kogo zostały wykorzystane, a także w jakim zakresie zostały udostępnione;

14)

zapobiegania nieuprawnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu danych podczas transferu tych danych lub podczas przemieszczania nośników informatycznych w ramach Krajowego Systemu Informatycznego (KSI), w szczególności poprzez zastosowanie odpowiednich technik szyfrowania;

15)

zapewnienia, aby osoby uprawnione do korzystania z Krajowego Systemu Informatycznego (KSI) miały dostęp wyłącznie do danych w zakresie zgodnym z upoważnieniami wynikającymi z przepisów ustawy.

2.

W celu realizacji zadań, o których mowa w art. 26 zadania centralnego organu technicznego KSI ust. 2 pkt 2, centralny organ techniczny KSI jest w szczególności obowiązany do:

1)

umożliwienia organom, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS i art. 4 uprawnienie do bezpośredniego dostępu do KSI w celu wglądu do danych SIS, przetwarzania danych SIS poprzez Krajowy System Informatyczny;

2)

udzielania informacji niezbędnych do prawidłowego wykonywania zadań przez organy, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS i art. 4 uprawnienie do bezpośredniego dostępu do KSI w celu wglądu do danych SIS;

3)

współdziałania z organami, które są uprawnione do dokonywania wpisów danych SIS poprzez Krajowy System Informatyczny, w celu zapewnienia, aby wpisy danych SIS były zgodne z prawem oraz aby były one dokładne i aktualne;

4)

sprawdzania, czy organy, które wykorzystują dane SIS poprzez Krajowy System Informatyczny, mają prawo dostępu do danych SIS;

5)

sprawdzenia skuteczności środków mających na celu zapewnienie bezpieczeństwa danych SIS przetwarzanych poprzez Krajowy System Informatyczny;

6)

zapewnienia usuwania danych SIS wprowadzonych poprzez Krajowy System Informatyczny po upływie okresu, na który wpisy te zostały wprowadzone;

7)

sprawdzenia zasadności przedłużenia okresu przechowywania danych SIS wprowadzonych poprzez Krajowy System Informatyczny;

8)

przekazywania organowi zarządzającemu systemem centralnym SIS II wykazu organów, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS i art. 4 uprawnienie do bezpośredniego dostępu do KSI w celu wglądu do danych SIS;

9)

zapobiegania nieuprawnionemu przetwarzaniu danych SIS.

Z dniem określonym w decyzji Komisji Europejskiej, zgodnie z art. 66 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1861 z 28.11.2018 r. art. 27 obowiązki centralnego organu technicznego KSI otrzymuje brzmienie jak niżej:
1. W celu realizacji zadań, o których mowa w art. 26 zadania centralnego organu technicznego KSI ust. 2, centralny organ techniczny KSI jest obowiązany do:

1)

przestrzegania obowiązujących protokołów i procedur technicznych w celu zapewnienia kompatybilności Krajowego Systemu Informatycznego (KSI) z systemem centralnym SIS oraz Centralnym Wizowym Systemem Informacyjnym;

2)

zapewnienia, aby dane SIS przechowywane w kopii krajowej były, dzięki automatycznym aktualizacjom, identyczne i spójne z danymi przechowywanymi w systemie centralnym SIS oraz aby wyszukiwanie przeprowadzone w kopii krajowej prowadziło do wyniku równoważnego wynikowi wyszukiwania w bazie danych systemu centralnego SIS;

3)

realizacji zadań wskazanych w art. 10 ust. 1 rozporządzenia 2018/1861 oraz art. 10 ust. 1 rozporządzenia 2018/1862;

4)

umożliwienia organom, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS i art. 4 uprawnienie do bezpośredniego dostępu do KSI w celu wglądu do danych SIS, oraz biuru SIRENE przetwarzania danych SIS poprzez Krajowy System Informatyczny (KSI), w szczególności przez zapewnienie im niezakłóconej dostępności danych SIS, oraz udzielania tym organom niezbędnych informacji do prawidłowego wykonywania przez nie zadań w zakresie uczestnictwa w Systemie Informacyjnym Schengen;

5)

umożliwienia organom, o których mowa w art. 5 dostęp do Wizowego Systemu Informacyjnego w celu dokonywania wpisów danych VIS–7, przetwarzania danych VIS poprzez Krajowy System Informatyczny (KSI) oraz udzielania tym organom niezbędnych informacji do prawidłowego wykonywania przez te organy zadań w zakresie uczestnictwa w Wizowym Systemie Informacyjnym;

6)

przekazywania organowi zarządzającemu systemem centralnym SIS wykazu organów, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS ust. 1 i art. 4 uprawnienie do bezpośredniego dostępu do KSI w celu wglądu do danych SIS ust. 1, oraz zmian w tym zakresie;

7)

przekazywania Komisji Europejskiej listy organów, o których mowa w art. 5 dostęp do Wizowego Systemu Informacyjnego w celu dokonywania wpisów danych VIS–7;

8)

współpracy z jednostką krajową Europolu w zakresie udzielania zgody na dostęp Agencji Unii Europejskiej do spraw Współpracy Organów Ścigania (Europol) do danych VIS;

9)

zapewnienia rejestrowania wszystkich przypadków, w których uzyskano dostęp do danych lub wykorzystano dane w inny sposób poprzez Krajowy System Informatyczny (KSI);

10)

współdziałania z organami, o których mowa w art. 3 uprawnienie do bezpośredniego dostępu do KSI w celu dokonywania wpisów danych SIS ust. 1, w celu zapewnienia zgodności z prawem, dokładności i aktualności wpisów danych SIS.

2.

Centralnemu organowi technicznemu KSI powierza się sprawozdawczość związaną z funkcjonowaniem Krajowego Systemu Informatycznego (KSI), w tym prowadzenie statystyk określonych w art. 39 ust. 6 rozporządzenia 2018/1861 oraz art. 53 ust. 8 i art. 54 ust. 6 rozporządzenia 2018/1862.

Art. 28. Rozporządzenie w sprawie rejestrowania przypadków dostępu do danych lub ich wykorzystania w inny sposób poprzez KSI

Minister właściwy do spraw wewnętrznych określi, w drodze rozporządzenia, szczegółowy sposób rejestrowania przypadków, o których mowa w art. 27 obowiązki centralnego organu technicznego KSI ust. 1 pkt 10, mając na względzie bezpieczeństwo i ochronę danych przetwarzanych poprzez Krajowy System Informatyczny (KSI).

Z dniem określonym w decyzji Komisji Europejskiej, zgodnie z art. 66 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1861 z 28.11.2018 r. art. 28 rozporządzenie w sprawie rejestrowania przypadków dostępu do danych lub ich wykorzystania w inny sposób poprzez KSI otrzymuje brzmienie jak niżej:
Minister właściwy do spraw wewnętrznych określi, w drodze rozporządzenia, szczegółowy sposób rejestrowania przypadków, o których mowa w art. 27 obowiązki centralnego organu technicznego KSI ust. 1 pkt 9, mając na względzie bezpieczeństwo i ochronę danych przetwarzanych poprzez Krajowy System Informatyczny (KSI).

Art. 29. Kontrola w zakresie spełniania przez KSI wymogów Konwencji Wykonawczej

1.

Centralny organ techniczny KSI, przed uruchomieniem Krajowego Systemu Informatycznego (KSI), jest obowiązany poinformować ministra właściwego do spraw wewnętrznych o gotowości Krajowego Systemu Informatycznego (KSI) do uruchomienia.

2.

Minister właściwy do spraw wewnętrznych, po uzyskaniu informacji, o której mowa w ust. 1, przeprowadza kontrolę w zakresie spełniania przez Krajowy System Informatyczny (KSI) wymogów określonych w art. 9 ust. 1 i 2 rozporządzenia 2018/1861 oraz art. 9 ust. 1 i 2 rozporządzenia 2018/1862.

3.

Po przeprowadzeniu kontroli, o której mowa w ust. 2, minister właściwy do spraw wewnętrznych przedstawia centralnemu organowi technicznemu KSI pisemną opinię w zakresie spełnienia przez Krajowy System Informatyczny (KSI) wymogów określonych w art. 9 ust. 1 i 2 rozporządzenia 2018/1861 oraz art. 9 ust. 1 i 2 rozporządzenia 2018/1862, a w przypadku stwierdzenia nieprawidłowości w Krajowym Systemie Informatycznym (KSI) przekazuje centralnemu organowi technicznemu KSI zalecenia pokontrolne w formie pisemnej.

Art. 30. Kontrola spełniania przez KSI wymogów w zakresie ochrony danych osobowych

1.

Centralny organ techniczny KSI, przed uruchomieniem Krajowego Systemu Informatycznego (KSI), jest obowiązany do wystąpienia do Prezesa Urzędu Ochrony Danych Osobowych z wnioskiem o przeprowadzenie kontroli w zakresie spełniania przez Krajowy System Informatyczny (KSI) wymogów określonych w przepisach o ochronie danych osobowych.

2.

Wniosek, o którym mowa w ust. 1, powinien zawierać opis środków technicznych i organizacyjnych, w szczególności w zakresie zapobiegania dostępowi osób nieuprawnionych do Krajowego Systemu Informatycznego (KSI).

3.

Centralny organ techniczny KSI jest obowiązany współpracować z Prezesem Urzędu Ochrony Danych Osobowych w celu przeprowadzenia kontroli, o której mowa w ust. 1, w szczególności udzielać informacji i wyjaśnień.

4.

W celu wykonania zadań, o których mowa w ust. 1, Prezes Urzędu Ochrony Danych Osobowych, zastępca Prezesa Urzędu Ochrony Danych Osobowych lub upoważnieni przez niego pracownicy Urzędu mają prawo:

1)

wstępu, w godzinach od 6.00 do 22.00, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym jest zlokalizowany Krajowy System Informatyczny (KSI), i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych;

2)

żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego;

3)

wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii;

4)

przeprowadzania oględzin poszczególnych elementów Krajowego Systemu Informatycznego (KSI), w tym urządzeń, oprogramowania, procedur przetwarzania informacji;

5)

zlecać sporządzanie ekspertyz i opinii.

5.

Prezes Urzędu Ochrony Danych Osobowych po przeprowadzeniu kontroli, o której mowa w ust. 1, przedstawia centralnemu organowi technicznemu KSI pisemną opinię w zakresie spełnienia przez Krajowy System Informatyczny (KSI) wymogów określonych w przepisach o ochronie danych osobowych, a w przypadku stwierdzenia nieprawidłowości w Krajowym Systemie Informatycznym (KSI) przekazuje centralnemu organowi technicznemu KSI zalecenia pokontrolne w formie pisemnej.

Art. 31. Zgłoszenie zastrzeżeń do zaleceń pokontrolnych

1.

W przypadku przedstawienia przez ministra właściwego do spraw wewnętrznych lub Prezesa Urzędu Ochrony Danych Osobowych zaleceń pokontrolnych, centralny organ techniczny KSI ma prawo zgłoszenia na piśmie umotywowanych zastrzeżeń co do przekazanych zaleceń pokontrolnych, w terminie 7 dni od dnia otrzymania zaleceń pokontrolnych.

2.

W razie zgłoszenia zastrzeżeń, o których mowa w ust. 1, odpowiednio minister właściwy do spraw wewnętrznych lub Prezes Urzędu Ochrony Danych Osobowych może:

1)

uznać zgłoszone zastrzeżenia za niezasadne i podtrzymać zalecenia pokontrolne;

2)

uwzględnić zgłoszone zastrzeżenia w części, a w pozostałym zakresie podtrzymać zalecenia pokontrolne;

3)

uwzględnić zgłoszone zastrzeżenia w całości i wydać pozytywną opinię.

Art. 32. Obowiązek wykonania zaleceń pokontrolnych

W przypadku niezgłoszenia przez centralny organ techniczny KSI zastrzeżeń, jak również w przypadku nieuwzględnienia zastrzeżeń przez odpowiednio ministra właściwego do spraw wewnętrznych lub Prezesa Urzędu Ochrony Danych Osobowych, centralny organ techniczny KSI jest obowiązany wykonać zalecenia pokontrolne, a następnie wystąpić z wnioskiem do organu, który przedstawił zalecenia pokontrolne, o przeprowadzenie kontroli, o której mowa w art. 29 kontrola w zakresie spełniania przez KSI wymogów Konwencji Wykonawczej ust. 2 lub art. 30 kontrola spełniania przez KSI wymogów w zakresie ochrony danych osobowych ust. 1.

Art. 33. Obowiązek uzyskania pozytywnych opinii w sprawie uruchomienia KSI

Uruchomienie Krajowego Systemu Informatycznego (KSI) może nastąpić pod warunkiem uzyskania pozytywnych opinii, o których mowa w art. 29 kontrola w zakresie spełniania przez KSI wymogów Konwencji Wykonawczej, ust. 3, art. 30 kontrola spełniania przez KSI wymogów w zakresie ochrony danych osobowych, ust. 5 lub w art. 31 zgłoszenie zastrzeżeń do zaleceń pokontrolnych, ust. 2 pkt 3.

Art. 34. Dokonywanie zmian w KSI

1.

W przypadku dokonywania zmian w Krajowym Systemie Informatycznym (KSI) po jego uruchomieniu, mających wpływ na bezpieczeństwo w zakresie, o którym mowa w art. 10 rozporządzenia 2018/1861 oraz art. 10 rozporządzenia 2018/1862, centralny organ techniczny KSI jest obowiązany przed wdrożeniem tych zmian do uzyskania pisemnej opinii ministra właściwego do spraw wewnętrznych w zakresie spełnienia przez Krajowy System Informatyczny (KSI) wymogów określonych w art. 4 i art. 9 rozporządzenia 2018/1861 oraz art. 4 i art. 9 rozporządzenia 2018/1862, a także opinii Prezesa Urzędu Ochrony Danych Osobowych.

2.

W celu wydania opinii minister właściwy do spraw wewnętrznych przeprowadza kontrolę w zakresie spełniania przez Krajowy System Informatyczny (KSI) wymogów, o których mowa w ust. 1.

3.

Po przeprowadzeniu kontroli minister właściwy do spraw wewnętrznych przedstawia centralnemu organowi technicznemu KSI pisemną opinię, o której mowa w ust. 1, a w przypadku stwierdzenia nieprawidłowości w Krajowym Systemie Informatycznym (KSI) przekazuje centralnemu organowi technicznemu KSI zalecenia pokontrolne w formie pisemnej. W przypadku przekazania zaleceń pokontrolnych przepis art. 31 zgłoszenie zastrzeżeń do zaleceń pokontrolnych, stosuje się odpowiednio do centralnego organu technicznego KSI.

4.

W przypadku niezgłoszenia przez centralny organ techniczny KSI zastrzeżeń, jak również w przypadku nieuwzględnienia zastrzeżeń przez ministra właściwego do spraw wewnętrznych, centralny organ techniczny KSI jest obowiązany wykonać zalecenia pokontrolne, a następnie wystąpić z wnioskiem do ministra właściwego do spraw wewnętrznych o przeprowadzenie kontroli, o której mowa w ust. 2.

5.

Uzyskanie opinii Prezesa Urzędu Ochrony Danych Osobowych, o której mowa w ust. 1, następuje w zakresie i w trybie określonych w art 30–32.

Dz.U.2023.0.1355 t.j. - Ustawa z dnia 24 sierpnia 2007 r. o udziale Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym