CS Úřední věstník Evropské unie C 308/8

Rozhodnutí vysoké představitelky unie pro zahraniční věci a bezpečnostní politiku

ze dne 8. prosince 2011

o pravidlech týkajících se ochrany údajů

2012/C 308/07

VYSOKÁ PŘEDSTAVITELKA,

s ohledem na rozhodnutí Rady ze dne 26. července 2010 o organizaci a fungování Evropské služby pro vnější činnost (2010/427/EU) (dále jen „rozhodnutí Rady o ESVČ“), a zejména na čl. 11 odst. 3 tohoto rozhodnutí,

PŘIJALA TOTO ROZHODNUTÍ:

ODDÍL 1

OBECNÁ USTANOVENÍ

Článek 1

Předmět a oblast působnosti

Toto rozhodnutí stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (dále jen „nařízení“), pokud jde o Evropskou službu pro vnější činnost (dále jen „ESVČ“), a to v souladu s čl. 24 odst. 8 tohoto nařízení.

Článek 2

Definice

Pro účely tohoto rozhodnutí, a aniž jsou dotčeny definice stanovené nařízením, se rozumí:

a) „správcem“ ESVČ, její výkonní ředitelé, ředitelé nebo vedoucí útvarů obdobné velikosti nebo funkce, jakož i vedoucí delegací Unie, kteří sami nebo společně s jinými určují účel a prostředky zpracování osobních údajů;

b) „koordinátorem ochrany údajů“ zaměstnanec ESVČ ve třídě AD, který má koordinovat záležitosti týkající se ochrany údajů a pomáhat s jejich řešením na úrovni ředitelství nebo útvarů obdobné velikosti nebo funkce, případně i v delegacích Unie;

c) „zpracovatelem“ zaměstnanec ESVČ nebo smluvní subjekt, kterému správce svěřil úkoly zpracovávání údajů;

d) „zaměstnanci ESVČ“ v souladu s článkem 6 rozhodnutí Rady o ESVČ ti úředníci a ostatní zaměstnanci Evropské unie pracující pro ESVČ, včetně zaměstnanců z diplomatických služeb členských států, kteří jsou jmenováni jako dočasní zaměstnanci, a specializovaných vyslaných národních odborníků.

ODDÍL 2

INSPEKTOR OCHRANY ÚDAJŮ

Článek 3

Jmenování a úkoly inspektora ochrany údajů

1. Vrchní ředitel vybere a jmenuje inspektora ochrany údajů v souladu s čl. 24 odst. 2 nařízení a sdělí jeho jméno evropskému inspektorovi ochrany údajů. Inspektor ochrany údajů je přímo podřízen vrchnímu řediteli.

2. Funkční období inspektora ochrany údajů trvá pět let a může být jednou prodlouženo.

3. Při výkonu svých povinností jedná inspektor ochrany údajů nezávisle a ve spolupráci s evropským inspektorem ochrany údajů. Zejména nesmí přijímat žádné příkazy od jmenovacího orgánu ESVČ ani od nikoho jiného, pokud jde o vnitřní uplatňování nařízení a tohoto rozhodnutí nebo o jeho spolupráci s evropským inspektorem ochrany údajů. Inspektor ochrany údajů se pravidelně účastní školení o ochraně údajů a vrchní ředitel za tímto účelem přijme nezbytná opatření.

4. Vrchní ředitel každoročně vyhodnotí plnění úkolů a povinností inspektora ochrany údajů, zejména na základě výroční zprávy inspektora ochrany údajů, případně po konzultaci s evropským inspektorem ochrany údajů. Inspektor ochrany údajů může být odvolán z funkce pouze se souhlasem evropského inspektora ochrany údajů, přestane-li splňovat podmínky požadované pro její výkon.

5. Inspektor ochrany údajů musí být, aniž je dotčen postup pro jeho jmenování, informován o všech stycích s vnějšími stranami týkajících se uplatňování nařízení a tohoto rozhodnutí, zejména pokud jde o styk s evropským inspektorem ochrany údajů.

6. Aniž jsou dotčena příslušná ustanovení nařízení, podléhají inspektor ochrany údajů a jeho zaměstnanci pravidlům a nařízením platným pro úředníky a ostatní zaměstnance Evropské unie.

Článek 4

Povinnosti

Inspektor ochrany údajů:

a) zajišťuje, aby správci, koordinátoři ochrany údajů a subjekty údajů byli informováni o svých právech a povinnostech vyplývajících z nařízení a z tohoto rozhodnutí, a aby při zpracování nedocházelo k poškozování práv a svobod subjektů údajů. V rámci tohoto úkolu zejména vypracovává informační a oznamovací tiskopisy, konzultuje zúčastněné strany a zvyšuje obecné povědomí o otázkách ochrany údajů;

b) odpovídá na žádosti evropského inspektora ochrany údajů a v oblasti své působnosti spolupracuje s evropským inspektorem ochrany údajů na jeho žádost nebo z vlastního podnětu;

c) zajišťuje nezávislým způsobem vnitřní uplatňování nařízení a tohoto rozhodnutí v ESVČ;

d) vede rejstřík všech zpracovatelských úkonů, které byly provedeny ESVČ, a zajišťuje všem osobám přístup k rejstříku buď přímo, nebo nepřímo prostřednictvím evropského inspektora ochrany údajů v souladu s články 14 a 15; tento rejstřík může být veden v elektronické podobě;

e) oznamuje evropskému inspektorovi ochrany údajů zpracovatelské úkony, které mohou představovat zvláštní rizika ve smyslu čl. 27 odst. 2 nařízení.

Článek 5

Úkoly

1. Kromě plnění povinností stanovených v článku 4 inspektor ochrany údajů:

a) působí jako poradce jmenovacího orgánu ESVČ a správců v otázkách uplatňování nařízení a tohoto rozhodnutí. Jmenovací orgán nebo dotyční správci a zpracovatelé, příslušný výbor zaměstnanců nebo jakýkoli zaměstnanec ESVČ mohou inspektora ochrany údajů konzultovat přímo, aniž by museli využít úřední cesty, a to k jakékoli otázce týkající se výkladu nebo uplatňování nařízení a tohoto rozhodnutí;

b) vyšetřuje z vlastního podnětu nebo na žádost jmenovacího orgánu, správců, zpracovatelů, výboru zaměstnanců nebo jakéhokoli zaměstnance ESVČ záležitosti a skutečnosti, které přímo souvisejí s jeho úkoly a o kterých se dozví, a podává zprávu jmenovacímu orgánu nebo osobě, která o šetření požádala. Ve vhodných případech by měly být informovány všechny ostatní dotčené strany. Je-li stěžovatelem fyzická osoba nebo v případě, že stěžovatel jedná jménem fyzické osoby, musí inspektor ochrany údajů v rámci možností zajistit důvěrnost žádosti, pokud dotyčný subjekt údajů nedá jednoznačný souhlas k vyřízení žádosti jiným způsobem;

c) spolupracuje při výkonu své funkce s inspektory ochrany údajů jiných orgánů, subjektů, úřadů a agentur Evropské unie, zejména výměnou zkušeností a osvědčených postupů;

d) v případě potřeby zastupuje vysokého představitele nebo ESVČ ve všech otázkách souvisejících s ochranou údajů na mezinárodní úrovni, aniž jsou dotčena ustanovení Smluv, zejména článek 218 Smlouvy o fungování Evropské unie;

e) předkládá vysokému představiteli výroční zprávu o své činnosti a zpřístupní ji zaměstnancům ESVČ.

2. Aniž jsou dotčeny čl. 4 písm. b), čl. 5 odst. 1 písm. b) a c) a článek 15, nesmějí inspektor ochrany údajů ani jeho zaměstnanci sdělovat informace nebo zpřístupňovat dokumenty, které získají při plnění svých povinností a úkolů.

Článek 6

Pravomoci

Při plnění svých úkolů a povinností inspektor ochrany údajů:

a) má kdykoli přístup k údajům, které jsou předmětem zpracování, do všech kanceláří, zařízení pro zpracování údajů a k nosičům dat;

b) může požádat o právní stanovisko divizi ESVČ pro právní služby;

c) může si vyžádat služby externích odborníků v oblasti informačních technologií po předchozím souhlasu schvalující osoby v souladu s finančním nařízením (nařízení 1605/2002) a jeho prováděcími pravidly;

d) aniž jsou dotčeny povinnosti a pravomoci evropského inspektora ochrany údajů, může navrhovat správní opatření a vydávat obecná doporučení o vhodném uplatňování nařízení a tohoto rozhodnutí;

e) může v konkrétních případech vydávat veškerá jiná doporučení v hierarchii ESVČ nebo všem ostatním dotčeným stranám k zdokonalení ochrany údajů v praxi;

f) může upozornit jmenovací orgán ESVČ, že některý zaměstnanec porušil povinnosti vyplývající z nařízení a z tohoto rozhodnutí, a navrhnout zahájení správního šetření s ohledem na případné použití článku 49 nařízení.

Článek 7

Prostředky

Inspektor ochrany údajů má k dispozici dostatečný počet zaměstnanců a prostředky nezbytné k plnění svých povinností a úkolů.

ODDÍL 3

PRÁVA A POVINNOSTI AKTÉRŮ V OBLASTI OCHRANY ÚDAJŮ

Článek 8

Jmenovací orgán

1. V případě stížnosti podle článku 90 služebního řádu na porušení nařízení nebo tohoto rozhodnutí se jmenovací orgán poradí s inspektorem ochrany údajů, který vydá písemné stanovisko nejpozději do patnácti dnů od obdržení žádosti. Nevydá-li inspektor ochrany údajů do skončení této lhůty jmenovacímu orgánu stanovisko, nebude již vyžadováno. Jmenovací orgán není stanoviskem inspektora ochrany údajů vázán.

2. Kdykoli je posuzována otázka, která má nebo může mít význam pro ochranu údajů, je informován inspektor ochrany údajů.

Článek 9

Správci

1. Správci jsou povinni zajistit, aby veškerá jimi řízená zpracování byla v souladu s nařízením a ustanoveními tohoto rozhodnutí. V případě potřeby mohou pověřit zpracováním údajů jim podřízené zaměstnance ESVČ nebo smluvní subjekty v souladu s článkem 23 nařízení.

2. Správci zejména:

a) předem uvědomí inspektora ochrany údajů o zahájení každého zpracování nebo souboru zpracování pro týž účel nebo pro několik souvisejících účelů a o každé podstatné změně stávajícího zpracování;

b) jsou nápomocni inspektorovi ochrany údajů a evropskému inspektorovi ochrany údajů při plnění jejich povinností, zejména podáváním informací v odpovědi na jejich otázky nejpozději do 30 dnů;

c) spolupracují s koordinátory ochrany údajů při vytváření soupisu provedených zpracování osobních údajů;

d) přijímají vhodná technická a organizační opatření a vydávají vhodné pokyny zpracovatelům, aby zajistili důvěrnost zpracování údajů i úroveň bezpečnosti odpovídající rizikům vyplývajícím ze zpracování;

e) v případě potřeby konzultují inspektora ochrany údajů ohledně souladu určitého zpracování s nařízením a tímto rozhodnutím, zejména domnívají-li se důvodně, že určitá zpracování nejsou v souladu s články 4 až 10 nařízení. Mohou rovněž konzultovat inspektora ochrany údajů a/nebo interní odborníky na bezpečnost informačních technologií o otázkách týkajících se důvěrnosti zpracování a o bezpečnostních opatření přijatých podle článku 22 nařízení.

Článek 10

Koordinátoři

1 Každý výkonný ředitel nebo ředitel nebo vedoucí odboru obdobné velikosti nebo funkce, nebo vedoucí delegace Unie na vyžádání určí koordinátora ochrany údajů, který mu bude podřízen.

Aniž je dotčena odpovědnost inspektora ochrany údajů, každý koordinátor:

a) je nápomocen při vedení seznamu všech stávajících zpracování osobních údajů a spolupracuje s inspektorem ochrany údajů za účelem vytváření a aktualizace seznamu stávajících zpracování osobních údajů;

b) je nápomocen při zjišťování příslušných správců a zpracovatelů;

c) má právo získávat od správců, zpracovatelů a zaměstnanců ESVČ odpovídající a nezbytné informace, jež potřebuje pro plnění svých správních úkolů. Toto právo nezahrnuje právo přístupu k osobním údajům zpracovávaným pod dohledem správce;

d) navrhuje inspektorovi ochrany údajů globální oznámení o typu a kategoriích zpracování údajů.

2. Aniž je dotčena odpovědnost správců, koordinátoři:

a) pomáhají správcům při plnění jejich povinností;

b) v případě potřeby usnadňují komunikaci mezi inspektorem ochrany údajů a správci.

Článek 11

Zaměstnanci ESVČ

1. Všichni zaměstnanci ESVČ přispívají k uplatňování pravidel důvěrnosti a bezpečnosti zpracování osobních údajů, jak je stanoveno v článku 21 a 22 nařízení. Žádný zaměstnanec ESVČ s přístupem k osobním údajům je nesmí zpracovávat jinak než podle pokynů správců, pokud to nevyžaduje vnitrostátní právo nebo právo Unie.

2. Každý zaměstnanec ESVČ může podat evropskému inspektorovi ochrany údajů stížnost na údajné porušení nařízení nebo tohoto rozhodnutí o zpracování osobních údajů, aniž by přitom musel postupovat úřední cestou, jak je vymezeno v pravidlech stanovených evropským inspektorem ochrany údajů.

Článek 12

Subjekty údajů

1. Kromě práva subjektů údajů být přiměřeně informován o každém zpracování osobních údajů, které se jich týká, v souladu s článkem 11 a 12 nařízení se mohou subjekty údajů obracet na dotyčné správce, aby uplatnily svá práva podle článku 13 až 19 nařízení, jak konkretizuje oddíl 5 tohoto rozhodnutí.

2. Aniž je dotčen opravný prostředek, může každý subjekt údajů, má-li za to, že v důsledku zpracování jeho osobních údajů správci porušili jeho práva zakotvená v nařízení nebo v tomto rozhodnutí, podat stížnost evropskému inspektorovi ochrany údajů, jak blíže uvádějí pravidla stanovená evropským inspektorem ochrany údajů.

3. Žádnému subjektu údajů nesmí být na újmu, že podal evropskému inspektorovi ochrany údajů stížnost nebo upozornil inspektora ochrany údajů na údajné porušení nařízení.

ODDÍL 4

REJSTŘÍK OZNÁMENÝCH ZPRACOVÁNÍ

Článek 13

Oznamovací postup

1. Správci oznámí inspektorovi ochrany údajů každé zpracování osobních údajů na oznamovacím tiskopise, který je k dispozici na intranetových stránkách ESVČ a delegací Unie (pod heslem „Ochrana údajů“). Oznámení se předává inspektorovi ochrany údajů elektronicky. Do deseti pracovních dnů se inspektorovi ochrany údajů zasílá ve formě písemné zprávy potvrzující oznámení. Po obdržení potvrzujícího oznámení je inspektor ochrany údajů zveřejní v rejstříku.

2. Oznámení obsahuje všechny informace vymezené v čl. 25 odst. 2 nařízení. Každá změna ovlivňující tyto informace musí být neprodleně sdělena inspektorovi ochrany údajů.

3. Další pravidla a postupy týkající se oznamovacího postupu, kterým se mají správci řídit, jsou součástí obecných doporučení vydaných inspektorem ochrany údajů.

Článek 14

Obsah a účel rejstříku

1. Inspektor ochrany údajů spravuje rejstřík prováděných zpracování osobních údajů, který je založen na oznámeních obdržených od správců.

2. Rejstřík obsahuje přinejmenším informace uvedené v čl. 25 odst. 2 písm. a) až g) nařízení. Ve výjimečných případech může být rozsah informací zapisovaných inspektorem ochrany údajů do rejstříku omezen, je-li to nezbytné k zajištění bezpečnosti konkrétního zpracování.

3. Rejstřík slouží jako seznam zpracování osobních údajů provedených ESVČ. Je přístupný subjektům údajů a usnadňuje jim výkon jejich práv stanovených v článcích 13 až 19 nařízení a v tomto rozhodnutí.

Článek 15

Přístup do rejstříku

1. Inspektor ochrany údajů přijme vhodná opatření, aby měl každý subjekt údajů přístup k rejstříku buď přímo, nebo nepřímo prostřednictvím evropského inspektora ochrany údajů. Inspektor ochrany údajů zejména poskytne subjektům údajů informace a pomoc, pokud jde o způsob, jakým lze podávat žádosti o přístup do rejstříku, a místo, kde tak lze učinit.

2. Kromě případu, kdy je zajištěn přístup on-line, se žádosti o přístup do rejstříku podávají písemně, včetně elektronickou formou, v některém z jazyků uvedených v článku 342 Smlouvy o fungování Evropské unie a dostatečně přesným způsobem, který umožní inspektorovi ochrany údajů určit dotyčné zpracování. Žadateli se neprodleně zašle potvrzení o přijetí žádosti.

3. Pokud žádost není dostatečně přesná, inspektor ochrany údajů žadatele požádá o další vyjasnění, a žadateli přitom pomůže. V případě žádosti, která se týká velkého počtu zpracování, může inspektor ochrany údajů tuto skutečnost žadateli neformálně sdělit s cílem nalézt nejvhodnější řešení.

4. Každý subjekt údajů může požádat inspektora ochrany údajů o kopii informací, které jsou přístupné v rejstříku, o kterémkoli oznámeném zpracování.

ODDÍL 5

POSTUP PRO SUBJEKTY ÚDAJŮ PŘI VÝKONU JEJICH PRÁV

Článek 16

Obecná ustanovení

1. Práva subjektů údajů uvedená v tomto oddílu mohou vykonávat pouze dotčené fyzické osoby nebo, ve výjimečných případech, je lze s řádným zmocněním vykonávat jménem těchto osob. Žádosti se podávají písemně příslušnému správci s kopií inspektorovi ochrany údajů. V případě potřeby je inspektor ochrany údajů nápomocen subjektu údajů při určování příslušného správce. Inspektor ochrany údajů poskytne potřebné zvláštní tiskopisy. Správci vyhoví žádosti pouze tehdy, je-li tiskopis zcela vyplněn a totožnost žadatele je řádně ověřena. Výkon práv subjektů údajů je bezplatný.

2. Příslušný správce zašle žadateli potvrzení o přijetí do pěti pracovních dnů od registrace žádosti. Není-li stanoveno jinak, odpoví správce na žádost nejpozději do 15 pracovních dnů od registrace žádosti a buď žádosti vyhoví, nebo písemně sdělí důvody pro úplné nebo částečné zamítnutí, zejména v případech, kdy žadatel není považován za subjekt údajů.

3. V případě nesrovnalostí nebo v případě, kdy subjekt údajů svá práva zjevně zneužívá a tvrdí, že zpracování je nezákonné, je správce povinen konzultovat inspektora ochrany údajů k této žádosti nebo odkázat subjekt údajů na inspektora ochrany údajů, který rozhodne o přípustnosti žádosti a dalším vhodném postupu.

4. Každý subjekt údajů může konzultovat inspektora ochrany údajů k výkonu svých práv v konkrétním případě. Aniž je dotčen opravný prostředek, může každý subjekt údajů, má-li za to, že jeho práva podle nařízení byla porušena v důsledku zpracování jeho osobních údajů, podat stížnost evropskému inspektorovi ochrany údajů.

Článek 17

Právo na přístup

Subjekt údajů má neomezené právo získat od správců kdykoli do tří měsíců od obdržení žádosti informace uvedené v čl. 13 písm. a) až d) nařízení, a to buď nahlédnutím do těchto údajů na místě, nebo obdržením kopie, včetně případně kopie v elektronické podobě, podle toho, čemu dává žadatel přednost.

Článek 18

Právo na opravu

Každá žádost subjektu údajů o opravu nepřesných nebo neúplných osobních údajů musí specifikovat příslušné údaje a opravu, kterou je třeba provést. Správce musí žádost neprodleně vyřídit.

Článek 19

Právo na blokování

Příslušný správce vyřídí neprodleně jakoukoli žádost o blokování údajů podle článku 15 nařízení. Žádost musí uvádět příslušné údaje a důvody pro jejich blokování. O odblokování uvědomí správce předem subjekt údajů, který podal žádost o blokování.

Článek 20

Právo na výmaz

Subjekt údajů může žádat správce o neprodlený výmaz údajů v případě jejich nezákonného zpracování, zejména v případech porušení článků 4 až 10 nařízení. V žádosti se musí uvést, o jaké údaje se jedná, a důvody nebo důkazy o nezákonnosti zpracování. V systémech automatického zpracování dat se výmaz zajišťuje v zásadě všemi vhodnými technickými prostředky, jež znemožňují jakékoli další zpracování vymazaných údajů. Není-li výmaz z technických důvodů možný, provede příslušný správce po konzultaci s inspektorem ochrany údajů a dotyčnou osobou neprodleně zablokování těchto údajů.

Článek 21

Oznámení třetí osobě

Subjekt údajů může v případě jakékoli opravy, blokování nebo výmazu na základě své žádosti dosáhnout toho, že správce tyto kroky oznámí třetím osobám, kterým byly osobní údaje subjektu sděleny, neukáže-li se nemožným nebo nevyžaduje-li to nepřiměřené úsilí.

Článek 22

Právo na námitku

Subjekt údajů může v souladu s článkem 18 nařízení vznést námitku proti zpracování svých osobních údajů a proti jejich sdělení nebo využití. V žádosti se musí uvést, o jaké údaje se jedná, a z jakých důvodů je žádost podávána. Je-li námitka důvodná, nesmí se již dané zpracování těchto údajů týkat.

Článek 23

Automatizovaná jednotlivá rozhodnutí

Subjekt údajů má právo nestát se subjektem automatizovaných jednotlivých rozhodnutí ve smyslu článku 19 nařízení, ledaže je toto rozhodnutí výslovně povolené podle vnitrostátních právních předpisů nebo právních předpisů Unie nebo rozhodnutím evropského inspektora ochrany údajů, které chrání oprávněné zájmy subjektu údajů. V každém případě musí mít subjekt údajů možnost předem vyjádřit svůj názor a konzultovat inspektora ochrany údajů.

Článek 24

Výjimky a omezení

1. Správci mohou omezit práva uvedená v článcích 17 až 21 tohoto rozhodnutí, pokud k tomu vedou oprávněné důvody uvedené v článku 20 nařízení. S výjimkou případů naprosté naléhavosti příslušný správce nejprve konzultuje inspektora ochrany údajů, jehož stanovisko není pro ESVČ závazné. Správce neprodleně odpoví na žádosti o použití výjimek nebo omezení výkonu práv a své rozhodnutí odůvodní.

2. Každý dotčený subjekt údajů může požádat evropského inspektora ochrany údajů o uplatnění čl. 47 odst. 1 písm. c) nařízení.

ODDÍL 6

VYŠETŘOVACÍ POSTUP

Článek 25

Praktické postupy

1. Žádost o šetření se podává inspektorovi ochrany údajů písemně, na zvláštním tiskopise, který inspektor poskytne. V případě zjevného zneužití práva požadovat šetření, například pokud táž osoba podala nedávno stejnou žádost, není inspektor ochrany údajů povinen žadateli odpovídat.

2. Do patnácti dnů od obdržení zašle inspektor ochrany údajů potvrzení o přijetí jmenovacímu orgánu nebo osobě, která požádala o šetření, a ověří, zda má být žádost považována za důvěrnou.

3. Inspektor ochrany údajů si vyžádá od správce, který je odpovědný za dané zpracování údajů, písemné vyjádření k věci. Správce podá inspektorovi ochrany údajů odpověď do patnácti dnů. Inspektor ochrany údajů si může vyžádat doplňující informace od útvarů ESVČ, jako je bezpečnostní úřad a úřad pro bezpečnost informací (INFOSEC) ESVČ. Ve vhodných případech si může si vyžádat stanovisko od právního oddělení ESVČ. Informace nebo stanoviska se inspektorovi ochrany údajů poskytují do třiceti dnů.

4. Inspektor ochrany údajů podává odpověď jmenovacímu orgánu nebo osobě, která podala žádost, nejpozději tři měsíce od jejího obdržení.

ODDÍL 7

ZÁVĚREČNÁ USTANOVENÍ

Článek 26

V případě jakéhokoli rozporu mezi ustanoveními tohoto rozhodnutí a ustanoveními nařízení mají přednost ustanovení nařízení.

Článek 27

Toto rozhodnutí je zaměstnancům ESVČ zpřístupněno pomocí vhodných prostředků, zejména zveřejněním na internetové stránce ESVČ a delegací Unie (pod heslem „Ochrana údajů“).

Článek 28

Účinek

Toto rozhodnutí nabývá účinku dnem přijetí.