1.   Kommissionen skal:

2.   Informationssystemet skal anvendes af operatører og forhandlere og, hvis det er relevant, deres bemyndigede repræsentanter til at indgive og forvalte due diligence-erklæringer og kontrollere gyldigheden af referencenumre, og det skal anvendes af kompetente myndigheder, toldmyndigheder og Kommissionen til at få adgang til og handle på grundlag af due diligence-erklæringer, herunder udveksling af oplysninger, der indeholder personoplysninger, mellem kompetente myndigheder, toldmyndigheder og Kommissionen i forbindelse med gennemførelsen og håndhævelsen af forordning (EU) 2023/1115. Enhver sådan udveksling af oplysninger skal overholde reglerne om beskyttelse af personoplysninger i forordning (EU) 2016/679 og (EU) 2018/1725.

3.   Due diligence-erklæringerne rettes i informationssystemet til de kompetente myndigheder i følgende rækkefølge:

1.   Bortset fra tilfælde hvor due diligence-erklæringen stilles til rådighed via den elektroniske grænseflade, der er omhandlet i artikel 28, stk. 2, i forordning (EU) 2023/1115, skal informationssystembrugerne indgive og forvalte due diligence-erklæringerne for relevante produkter i informationssystemet.

2.   Hvis et relevant produkt indeholder eller er fremstillet af træ, skal informationssystembrugerne i due diligence-erklæringen anføre de almindeligt anvendte navne og de fulde videnskabelige navne på de træsorter, som de relevante produkter indeholder eller er fremstillet af.

1.   Informationssystemet skal gøre det muligt for informationssystembrugerne at ændre eller tilbagekalde due diligence-erklæringer senest 72 timer, efter at referencenummeret for due diligence-erklæringen er gjort tilgængeligt i informationssystemet.

2.   Due diligence-erklæringer kan ikke ændres eller tilbagekaldes inden for den periode, der er fastsat i stk. 1, efter at due diligence-erklæringen er anvendt som reference i en due diligence-erklæring, der er indgivet af samme eller en anden informationssystembruger.

3.   En due diligence-erklæring må ikke ændres eller tilbagekaldes af en informationssystembruger, efter at:

4.   Uanset stk. 2 og 3 kan de kompetente myndigheder efter individuel og begrundet anmodning fra en informationssystembruger først forlænge den periode, der er omhandlet i stk. 1, når den i stk. 1 omhandlede periode er udløbet. En sådan forlængelse må ikke overstige otte kalenderdage. Anmodningen skal bero på grunde, som ligger uden for informationssystembrugerens kontrol, og denne skal i sin begrundede anmodning anføre, at stk. 3 i denne artikel ikke finder anvendelse. En sådan forlængelse skal også være mulig med tilbagevirkende kraft, efter at den periode, der er omhandlet i stk. 1, er udløbet.

5.   Ændrede due diligence-erklæringer skal være omfattet af den fastlæggelse af risikoprofil, der er omhandlet i artikel 6. Fastlæggelse af risikoprofilen gælder for hele den ændrede due diligence-erklæring.

1.   Informationssystemet skal gøre det muligt for de kompetente myndigheder at identificere situationer i informationssystemet, hvor relevante produkter udgør en så høj risiko for manglende overholdelse, at de kræver øjeblikkelige tiltag, inden disse relevante produkter bringes i omsætning eller gøres tilgængelige på markedet eller eksporteres i henhold til artikel 17 i forordning (EU) 2023/1115, og at informere de kompetente myndigheder om, hvilke kontroller der skal gennemføres og udføre de opgaver, som de pålægges i henhold til kapitel 3 i forordning (EU) 2023/1115.

2.   Med henblik på stk. 1 skal informationssystemet gøre det muligt for de kompetente myndigheder at oprette risikoprofiler i informationssystemet til støtte for en informeret beslutning om udvælgelse af operatører, forhandlere eller relevante produkter, der er forbundet med due diligence-erklæringer, for hvilke der skal føres tilsyn. Disse risikoprofiler skal bl.a. baseres på de risikokriterier, der er fastsat i deres årlige plan for tilsyn i henhold til artikel 16, stk. 5, i forordning (EU) 2023/1115, der fastlægges i overensstemmelse med deres risikobaserede tilgang i henhold til artikel 16, stk. 3, i forordning (EU) 2023/1115.

3.   Hver due diligence-erklæring skal gennemgå en automatiseret elektronisk fastlæggelse af risikoprofil, når den indgives i informationssystemet, og informationssystemet skal tildele hver due diligence-erklæring en risikostatus.

4.   På et hvilket som helst trin i processen efter indgivelsen af en due diligence-erklæring kan de kompetente myndigheder gennemgå en due diligence-erklæring for at vurdere, om et relevant produkt er i overensstemmelse med artikel 3 i forordning (EU) 2023/1115. I så fald kan de tildele due diligence-erklæringen en ny risikostatus som følge af gennemgangen. Hvis den kompetente myndighed tildeler en ny risikostatus til en due diligence-erklæring, har en sådan ny risikostatus forrang frem for en risikostatus, der er tildelt i henhold til denne artikels stk. 3.

1.   Informationssystemet skal uden unødigt ophold tildele et referencenummer og et kontrolnummer til hver due diligence-erklæring, der indgives af informationssystembrugeren, efter at fastlæggelsen af den risikoprofil, der er omhandlet i artikel 6, er afsluttet.

2.   Referencenummeret og kontrolnummeret skal stilles til rådighed for informationssystembrugeren, når fastlæggelsen af den risikoprofil, der er omhandlet i artikel 6, er afsluttet.

3.   Informationssystemet skal gøre det muligt for de kompetente myndigheder at udsætte tilrådighedsstillelsen af referencenummeret for at fastslå, om de relevante produkter er i overensstemmelse med artikel 3 i forordning (EU) 2023/1115, og navnlig kontrollere, at den konstaterede situation, der er omhandlet i nærværende forordnings artikel 6, stk. 1, ikke finder anvendelse på det relevante produkt. En sådan forsinkelse skal være kortest mulig og må ikke vare længere end den periode, der er fastsat i artikel 17, stk. 3, i forordning (EU) 2023/1115. En yderligere forlængelse er mulig efter den kompetente myndigheds skøn.

1.   For at forhindre, at et relevant produkt, der ikke overholder forordning (EU) 2023/1115, bringes i omsætning eller gøres tilgængeligt på markedet eller eksporteres i henhold til artikel 17 i forordning (EU) 2023/1115, kan de kompetente myndigheder afvise en due diligence-erklæring, medmindre referencenummeret på en due diligence-erklæring allerede er blevet stillet til rådighed for informationssystembrugeren.

2.   Det relevante produkt, der er anmeldt i en afvist due diligence-erklæring, anses for ikke at være omfattet af en due diligence-erklæring som omhandlet i artikel 3, litra c), i forordning (EU) 2023/1115.

3.   Afvisningen skal afspejles i informationssystemet ved at tildele den pågældende due diligence-erklæring en bestemt status.

1.   Kun registrerede informationssystembrugere har adgang til informationssystemet.

2.   Autentificering til informationssystemet finder sted via EU Login, der er Europa-Kommissionens autentificeringstjeneste.

3.   Informationssystembrugere skal have adgang til de oplysninger i informationssystemet, som de har indgivet, eller som de har fået tildelt adgang til af en anden informationssystembruger, ved hjælp af referencenumre og kontrolnumre på de tilknyttede due diligence-erklæringer.

1.   Kommissionen skal have adgang til alle data, oplysninger og dokumenter i informationssystemet med henblik på udarbejdelsen af rapporter samt udviklingen, funktionsmåden og vedligeholdelsen af systemet.

2.   Kommissionen tildeler og kan tilbagekalde adgangsrettigheder til informationssystemets aktører ved ændrede beføjelser i henhold til artikel 14, stk. 2, i forordning (EU) 2023/1115.

3.   Autentificering til informationssystemet finder sted via EU Login, der er Europa-Kommissionens autentificeringstjeneste.

4.   Informationssystemaktører indfører passende midler til at sikre, at individuelle brugere, der repræsenterer informationssystemaktører i informationssystemet, kun får adgang til personoplysninger, der behandles i informationssystemet, hvis det er strengt nødvendigt for gennemførelsen og håndhævelsen i henhold til forordning (EU) 2023/1115.

5.   Informationssystemaktørerne skal have adgang til alle de relevante oplysninger i informationssystemet, der er nødvendige for at opfylde deres forpligtelser og opgaver i henhold til forordning (EU) 2023/1115.

1.   Videregivelse, lagring og anden behandling af personoplysninger i informationssystemet må kun finde sted, hvis det er nødvendigt og foregår på en forholdsmæssig måde, og kun til følgende formål:

2.   Behandlingen af personoplysninger må i informationssystemet kun finde sted med henblik på følgende kategorier af personoplysninger:

3.   I informationssystemet lagres de kategorier af personoplysninger, der er anført i stk. 2, og som er blevet behandlet med henblik på gennemførelsen og håndhævelsen i henhold til forordning (EU) 2023/1115.

4.   Lagringen af data i henhold til stk. 2 skal udføres ved hjælp af informationsteknologiinfrastruktur, der er beliggende i Det Europæiske Økonomiske Samarbejdsområde.

5.   Informationssystemet skal lagre de personoplysninger, der indgår i due diligence-erklæringerne, i en periode på højst ti år fra den dato, hvor de indgives i informationssystemet. Opbevaringsperioden kan forlænges yderligere af Kommissionen efter individuel anmodning fra informationssystembrugere eller informationssystemaktører, hvis det er nødvendigt for at opfylde deres ansvar og forpligtelser i henhold til forordning (EU) 2023/1115.

6.   Uden at det berører de databehandlingsaktiviteter, der er omhandlet i artikel 14, er hver informationssystemaktør en særskilt dataansvarlig som omhandlet i forordning (EU) 2016/679 og (EU) 2018/1725, hvad angår de databehandlingsaktiviteter, som informationssystemaktøren udfører.

7.   De nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, der hver især handler inden for deres respektive kompetence, sikrer koordineret tilsyn med informationssystemet og med informationssystemaktørernes og informationssystembrugerenes anvendelse i henhold til artikel 62 i forordning (EU) 2018/1725.

1.   Kommissionen er dataansvarlig som omhandlet i artikel 3, nr. 8), i forordning (EU) 2018/1725 med hensyn til behandling af personoplysninger for informationssystembrugere, herunder behandling af personoplysninger ved registreringen af informationssystembrugere i informationssystemet.

2.   Hvis Kommissionen behandler personoplysninger i forbindelse med driften af informationssystemet på vegne af andre informationssystemaktører med henblik på udveksling af oplysninger i henhold til artikel 27 i forordning (EU) 2023/1115, betragtes Kommissionen som databehandler som omhandlet i artikel 3, nr. 12), i forordning (EU) 2018/1725.

3.   Kommissionen er databehandler, jf. artikel 3, nr. 12), i forordning (EU) 2018/1725, for så vidt angår behandling af personoplysninger, der foretages i forbindelse med fælles undersøgelser i henhold til artikel 21 i forordning (EU) 2023/1115, der foretages i forbindelse med gennemførelsen og håndhævelsen inden for rammerne af forordning (EU) 2023/1115.

1.   Kommissionen træffer de nødvendige tidssvarende foranstaltninger med henblik på at garantere sikkerheden af de personoplysninger, der behandles i informationssystemet, herunder passende adgangskontrol og en sikkerhedsplan, der løbende ajourføres.

2.   Kommissionen træffer de nødvendige tidssvarende foranstaltninger i tilfælde af en sikkerhedsrelateret hændelse, træffer afhjælpende foranstaltninger og sikrer, at det er muligt at kontrollere, hvilke personoplysninger der er blevet behandlet i informationssystemet, hvornår, af hvem og til hvilket formål.

3.   Kommissionen skal informere de kompetente myndigheder om de foranstaltninger, der vedtages med henblik på denne artikels stk. 1 og 2.

1.   Hver medlemsstat og Kommissionen anvender i overensstemmelse med den nationale lovgivning eller EU-lovgivningen sine egne regler for tavshedspligt eller andre tilsvarende fortrolighedskrav i forbindelse med informationssystemet.

2.   Hver informationssystemaktør sikrer, at krav fra andre informationssystemaktører om fortrolig behandling af oplysninger, der udveksles i informationssystemet, efterkommes af personer, der arbejder under deres myndighed.

1.   Kommissionen stiller informationssystemet til rådighed på alle officielle EU-sprog.

2.   En informationssystemaktør kan i forbindelse med udførelsen af enhver af de opgaver, den er blevet pålagt i overensstemmelse med forordning (EU) 2023/1115, forelægge og anvende alle oplysninger, dokumenter, undersøgelsesresultater, erklæringer eller bekræftede kopier, som systemaktøren har modtaget i informationssystemet, på samme grundlag som tilsvarende oplysninger indhentet i systemaktørens eget land til formål, der er forenelige med de formål, hvortil oplysningerne oprindeligt blev indsamlet, og i overensstemmelse med relevant EU-lovgivning og national lovgivning.

1.   Omkostningerne i forbindelse med oprettelsen, vedligeholdelsen og driften af informationssystemet afholdes af Kommissionen.

2.   Omkostningerne vedrørende informationssystemet på medlemsstatsplan, herunder de menneskelige ressourcer, der er nødvendige for uddannelse, markedsføring og teknisk bistand samt for anvendelsen af informationssystemet på nationalt plan og eventuelle tilpasninger, der kræves af nationale netværk og informationssystemer, afholdes af den medlemsstat, der pådrager sig dem.