DA Den Europæiske Unions Tidende C 308/8

Afgørelse vedtaget af Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik

af 8. december 2011

om reglerne vedrørende databeskyttelse

2012/C 308/07

DEN HØJTSTÅENDE REPRÆSENTANT HAR —

under henvisning til Rådets afgørelse af 26. juli 2010 om, hvordan Tjenesten for EU's Optræden Udadtil skal tilrettelægges og fungere (2010/427/EU), (»Rådets afgørelse om EU-Udenrigstjenesten«), særlig artikel 11, stk. 3 —

VEDTAGET DENNE AFGØRELSE:

AFDELING 1

GENERELLE BESTEMMELSER

Artikel 1

Formål og anvendelsesområde

Denne afgørelse fastsætter gennemførelsesbestemmelser til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (»forordningen«), for så vidt angår Tjenesten for EU's Optræden Udadtil (»EU-Udenrigstjenesten«) i henhold til forordningens artikel 24, stk. 8.

Artikel 2

Definitioner

Uden at det berører definitionerne i forordningen, gælder følgende definitioner i denne afgørelse:

a) »Registeransvarlig« er EU-Udenrigstjenesten, dens driftsdirektører, direktører eller chefer for tjenestegrene af tilsvarende størrelse eller med tilsvarende funktioner samt EU-delegationschefer, som alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.

b) »Databeskyttelseskoordinator« er den ansatte på AD-niveau i EU-Udenrigstjenesten, som udpeges til at koordinere og bistå i forbindelse med spørgsmål vedrørende databehandling på direktoratsniveau eller tjenestegrene af tilsvarende størrelse eller med tilsvarende funktioner, samt, hvis der anmodes herom, i EU-delegationer.

c) »Registerfører« er den ansatte i EU-Udenrigstjenesten eller i enheder, med hvilke der er indgået aftale, og som den registeransvarlige har betroet databehandlingsopgaver.

d) »EU-Udenrigstjenestens ansatte« er i henhold til artikel 6 i Rådets afgørelse om EU-Udenrigstjenesten tjenestemænd og øvrige ansatte i Den Europæiske Union, herunder ansatte fra medlemsstaternes diplomatiske tjenester, der er udpeget som midlertidigt ansatte, samt specialiserede udstationerede nationale eksperter.

AFDELING 2

DEN DATABESKYTTELSESANSVARLIGE

Artikel 3

Udnævnelse af og status for den databeskyttelsesansvarlige

1. Driftsdirektøren udvælger og udnævner den databeskyttelsesansvarlige i henhold til forordningens artikel 24, stk. 2 og foretager registrering af vedkommende hos Den Europæiske Tilsynsførende for Databeskyttelse. Den databeskyttelsesansvarlige er direkte tilknyttet driftsdirektøren.

2. Den databeskyttelsesansvarlige udnævnes for fem år og kan genudnævnes én gang.

3. Den databeskyttelsesansvarlige varetager sine hverv på uafhængig vis og i samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse. Navnlig må den databeskyttelsesansvarlige ikke modtage instrukser fra EU-Udenrigstjenestens ansættelsesmyndighed eller fra andre vedrørende den interne anvendelse af forordningens eller denne afgørelses bestemmelser eller vedrørende sit samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse. Den databeskyttelsesansvarlige deltager regelmæssigt i databeskyttelseskurser, og driftsdirektøren træffer passende foranstaltninger med henblik herpå.

4. Driftsdirektøren vurderer hvert år, hvordan den databeskyttelsesansvarlige varetager sine opgaver og hverv, navnlig på grundlag af den databeskyttelsesansvarliges årlige rapport, eventuelt efter høring af Den Europæiske Tilsynsførende for Databeskyttelse. Den databeskyttelsesansvarlige kan kun afsættes fra sit embede med samtykke fra Den Europæiske Tilsynsførende for Databeskyttelse, og kun hvis vedkommende ikke længere opfylder betingelserne for at varetage sine hverv.

5. Med forbehold af den procedure, der gælder for udpegning af den databeskyttelsesansvarlige, underrettes denne om alle kontakter med eksterne parter vedrørende anvendelsen af forordningen og af denne afgørelse, særlig med hensyn til samspillet med Den Europæiske Tilsynsførende for Databeskyttelse.

6. Med forbehold af de relevante bestemmelser i forordningen er den databeskyttelsesansvarlige og dennes medarbejdere underlagt de regler og forskrifter, der gælder for tjenestemænd og øvrige ansatte i Den Europæiske Union.

Artikel 4

Hverv

Den databeskyttelsesansvarlige:

a) påser, at registeransvarlige, databeskyttelseskoordinatorer og registrerede underrettes om deres rettigheder og forpligtelser i medfør af forordningen og denne afgørelse, og at de registreredes rettigheder og frihedsrettigheder ikke risikerer at blive krænket som følge af behandlingerne. Den databeskyttelsesansvarlige udarbejder som led i varetagelsen af denne opgave navnlig oplysnings- og anmeldelsesformularer, hører berørte parter og øger den generelle bevidsthed om databeskyttelsesspørgsmål

b) besvarer anmodninger fra Den Europæiske Tilsynsførende for Databeskyttelse og samarbejder inden for rammerne af sine beføjelser med Den Europæiske Tilsynsførende for Databeskyttelse på dennes anmodning eller på eget initiativ

c) sikrer i fuld uafhængighed, at bestemmelserne i forordningen og i denne afgørelse finder anvendelse internt i EU-Udenrigstjenesten

d) fører et register over de behandlinger, som EU-Udenrigstjenesten foretager, og giver enhver adgang hertil, enten direkte eller indirekte via Den Europæiske Tilsynsførende for Databeskyttelse, i henhold til artikel 14 og 15; registeret kan føres i elektronisk form

e) underretter Den Europæiske Tilsynsførende for Databeskyttelse om behandlinger, der vil kunne indebære en særlig risiko som omhandlet i forordningens artikel 27, stk. 2.

Artikel 5

Opgaver

1. Ud over at varetage de hverv, som er fastsat i artikel 4, har den databeskyttelsesansvarlige til opgave:

a) at fungere som rådgiver for EU-Udenrigstjenestens ansættelsesmyndighed og for de registeransvarlige i spørgsmål vedrørende anvendelsen af forordningen og af denne afgørelse. Den databeskyttelsesansvarlige kan uden om de officielle kanaler høres af ansættelsesmyndigheden, de berørte registeransvarlige og registerførere, Personaleudvalget samt enhver ansat i EU-Udenrigstjenesten om ethvert spørgsmål, der vedrører fortolkningen eller anvendelsen af forordningen eller af denne afgørelse

b) på eget initiativ eller på initiativ af ansættelsesmyndigheden, de registeransvarlige, registerførerne, Personaleudvalget eller enhver ansat i EU-Udenrigstjenesten at undersøge anliggender og forhold, der har direkte tilknytning til vedkommendes opgaver, og som kommer til vedkommendes kendskab, og at aflægge rapport til ansættelsesmyndigheden eller den person, der anmodede om undersøgelsen. Hvis det skønnes hensigtsmæssigt, skal alle andre berørte parter også underrettes. Såfremt den anmodende person er en fysisk person eller handler på vegne af en fysisk person, skal den databeskyttelsesansvarlige i videst muligt omfang sikre, at anmodningen behandles fortroligt, medmindre den registrerede utvetydigt har givet sit samtykke til, at anmodningen behandles på anden måde

c) i forbindelse med udøvelsen af sine funktioner at samarbejde med de databeskyttelsesansvarlige i andre EU-institutioner, -organer, -kontorer og -agenturer, navnlig ved at udveksle erfaringer og god praksis

d) efter behov, og uden at det berører traktaternes bestemmelser, herunder særlig artikel 218 i traktaten om Den Europæiske Unions funktionsmåde, at repræsentere den højtstående repræsentant eller EU-Udenrigstjenesten på internationalt plan i alle spørgsmål, der vedrører databeskyttelse

e) at forelægge en årlig rapport om sin virksomhed for den højtstående repræsentant og gøre den tilgængelig for EU-Udenrigstjenestens ansatte.

2. Den databeskyttelsesansvarlige og dennes medarbejdere må ikke videregive oplysninger eller dokumenter, som de kommer i besiddelse af som led i varetagelsen af deres hverv og opgaver, jf. dog artikel 4, litra b), artikel 5, stk. 1, litra b) og c), samt artikel 15.

Artikel 6

Beføjelser

Som led i den databeskyttelsesansvarliges varetagelse af sine opgaver og hverv:

a) skal vedkommende til enhver tid have adgang til de oplysninger, der er under behandling, og til alle kontorer, databehandlingsanlæg og databærere

b) kan vedkommende anmode EU-Udenrigstjenestens afdeling for juridiske anliggender om juridiske udtalelser

c) kan vedkommende anmode om ekstern it-ekspertbistand med forudgående samtykke fra den anvisningsberettigede i overensstemmelse med finansforordningen (forordning (EF, Euratom) nr. 1605/2002) og gennemførelsesbestemmelserne hertil

d) kan vedkommende med forbehold af de hverv og beføjelser, der er tillagt Den Europæiske Tilsynsførende for Databeskyttelse, foreslå EU-Udenrigstjenesten administrative foranstaltninger og fremsætte generelle henstillinger om, hvordan forordningen og denne afgørelse bør anvendes

e) kan vedkommende i specifikke tilfælde fremsætte eventuelle andre henstillinger om praktiske forbedringer af databeskyttelsen til EU-Udenrigstjenestens ledelse og/eller alle andre berørte parter

f) kan vedkommende gøre EU-Udenrigstjenestens ansættelsesmyndighed opmærksom på, at en ansat ikke opfylder de i forordningen og denne afgørelse fastsatte forpligtelser, og foreslå, at der iværksættes en administrativ undersøgelse med henblik på i givet fald at anvende forordningens artikel 49.

Artikel 7

Ressourcer

Den databeskyttelsesansvarlige får stillet de medarbejdere og ressourcer til rådighed, som er nødvendige for, at vedkommende kan varetage sine hverv og opgaver.

AFDELING 3

RETTIGHEDER OG FORPLIGTELSER FOR AKTØRER PÅ DATABESKYTTELSESOMRÅDET

Artikel 8

Ansættelsesmyndigheden

1. Såfremt der indgives klage om overtrædelse af forordningens eller denne afgørelses bestemmelser som omhandlet i artikel 90 i forordning (EF) nr. 723/2004, hører ansættelsesmyndigheden den databeskyttelsesansvarlige, som afgiver en skriftlig udtalelse senest 15 dage efter modtagelsen af anmodningen. Har den databeskyttelsesansvarlige ikke forelagt ansættelsesmyndigheden sin udtalelse inden udløbet af dette tidsrum, er den ikke længere påkrævet. Ansættelsesmyndigheden er ikke bundet af den databeskyttelsesansvarliges udtalelse.

2. Den databeskyttelsesansvarlige underrettes, hver gang et spørgsmål, som har eller vil kunne have databeskyttelsesmæssige virkninger, behandles.

Artikel 9

Registeransvarlige

1. De registeransvarlige har til opgave at sikre, at alle behandlinger under deres ansvar foretages i overensstemmelse med forordningen og med denne afgørelses bestemmelser. De kan, når der fremsættes anmodning herom, betro ansatte i EU-Udenrigstjenesten, som arbejder under deres ansvar og enheder, med hvilke der er indgået aftale, databehandlingsopgaver i henhold til forordningens artikel 23.

2. De registeransvarlige skal navnlig:

a) indgive forudgående anmeldelse til den databeskyttelsesansvarlige om enhver behandling eller sæt af behandlinger, der tjener ét enkelt formål eller flere relaterede formål, samt om enhver væsentlig ændring af en igangværende behandling

b) bistå den databeskyttelsesansvarlige og Den Europæiske Tilsynsførende for Databeskyttelse i varetagelsen af deres respektive hverv, navnlig ved at efterkomme disses anmodninger om oplysninger inden 30 dage

c) samarbejde med databeskyttelseskoordinatorerne om oprettelsen af en fortegnelse over eksisterende behandlinger af personoplysninger

d) træffe passende tekniske og organisatoriske foranstaltninger og give de fornødne instrukser til registerførerne med henblik på at sikre behandlingens fortrolige karakter og at tilvejebringe et sikkerhedsniveau, der er tilstrækkeligt i forhold til de risici, behandlingen indebærer

e) når det er relevant høre den databeskyttelsesansvarlige om, hvorvidt behandlingen er i overensstemmelse med forordningen og denne afgørelse, navnlig når de har grund til at antage, at visse behandlinger strider imod forordningens artikel 4-10. De kan også høre den databeskyttelsesansvarlige og/eller interne it-sikkerhedseksperter om spørgsmål, der vedrører behandlingernes fortrolige karakter og sikkerhedsforanstaltninger truffet i medfør af forordningens artikel 22.

Artikel 10

Databeskyttelseskoordinatorer

1. Hver driftsdirektør, direktør og chefer for tjenestegrene af tilsvarende størrelse eller med tilsvarende funktioner samt, hvis der anmodes herom, delegationschefer, udpeger en databeskyttelseskoordinator, som arbejder under vedkommendes ansvar.

Med forbehold af den databeskyttelsesansvarliges ansvarsområder skal databeskyttelseskoordinatoren:

a) bistå med at føre et register over alle igangværende behandlinger af personoplysninger og samarbejde med den databeskyttelsesansvarlige om oprettelsen og ajourføringen af en fortegnelse over generaldirektoratets eksisterende behandlinger af personoplysninger

b) bistå med at anvise de respektive registeransvarlige og registerførere

c) have ret til at indhente relevante oplysninger fra de registeransvarlige, registerførerne og EU-Udenrigstjenestens ansatte, når det er nødvendigt for varetagelsen af vedkommendes administrative opgaver. Dette omfatter ikke adgang til personoplysninger, der behandles under den registeransvarliges ansvar

d) støtte EU-Udenrigstjenestens samlede anmeldelser af bestemte typer og kategorier af databehandling til den databeskyttelsesansvarlige.

2. Med forbehold af de registeransvarliges ansvarsområder skal databeskyttelseskoordinatoren:

a) bistå de registeransvarlige med at opfylde deres forpligtelser

b) om fornødent lette kommunikationen mellem den databeskyttelsesansvarlige og de registeransvarlige.

Artikel 11

EU-Udenrigstjenestens ansatte

1. Alle EU-Udenrigstjenestens ansatte medvirker til anvendelsen af de fortroligheds- og sikkerhedsregler for behandling af personoplysninger, der er fastsat i forordningens artikel 21 og 22. Ingen ansat i EU-Udenrigstjenesten, som har adgang til personoplysninger, må behandle oplysningerne uden instruks fra en registeransvarlig, medmindre den pågældende har pligt hertil i henhold til national ret eller EU-ret.

2. Enhver ansat i EU-Udenrigstjenesten kan uden om de officielle kanaler indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse om en påstået overtrædelse af forordningens eller denne afgørelses bestemmelser vedrørende behandling af personoplysninger, jf. de regler, der er fastsat af Den Europæiske Tilsynsførende for Databeskyttelse.

Artikel 12

Registrerede

1. Som led i de registreredes ret til at blive behørigt informeret om enhver behandling af personoplysninger, der vedrører dem, i henhold til forordningens artikel 11 og 12, kan de registrerede henvende sig til den relevante registeransvarlige med henblik på at udøve deres rettigheder i henhold til forordningens artikel 13-19, jf. afdeling 5 i denne afgørelse.

2. Uden at det berører et eventuelt muligt retsmiddel, kan den enkelte registrerede indgive klage til Den Europæiske Tilsynsførende for Databeskyttelse, hvis vedkommende finder, at de rettigheder, som forordningen eller denne afgørelse tillægger vedkommende, er blevet krænket som følge af en registeransvarligs behandling af vedkommendes personoplysninger, jf. de regler, der er fastsat af Den Europæiske Tilsynsførende for Databeskyttelse.

3. Ingen registreret må lide skade som følge af, at der er indgivet klage til Den Europæiske Tilsynsførende for Databeskyttelse, eller at et anliggende vedrørende en påstået overtrædelse af forordningens bestemmelser er bragt til den databeskyttelsesansvarliges kendskab.

AFDELING 4

REGISTER OVER ANMELDTE BEHANDLINGER

Artikel 13

Anmeldelsesprocedure

1. Den registeransvarlige underretter den databeskyttelsesansvarlige om enhver behandling af personoplysninger ved hjælp af en anmeldelsesformular, der er tilgængelig på EU-Udenrigstjenestens og EU-delegationernes intranet (under »databeskyttelse«). Anmeldelsen skal sendes elektronisk til den databeskyttelsesansvarlige. Der skal skriftligt og inden ti dage fremsendes en bekræftelse til den databeskyttelsesansvarlige. Når den databeskyttelsesansvarlige har modtaget bekræftelsen, indfører vedkommende behandlingen i registeret.

2. Anmeldelsen skal omfatte alle de oplysninger, der er anført i forordningens artikel 25, stk. 2. Enhver ændring, der berører disse oplysninger, meddeles straks den databeskyttelsesansvarlige.

3. Yderligere regler og procedurer vedrørende den anmeldelsesprocedure, som de registeransvarlige skal følge, skal indgå i de generelle henstillinger, som den databeskyttelsesansvarlige fremsætter.

Artikel 14

Registerets indhold og formål

1. Den databeskyttelsesansvarlige fører et register oprettet på grundlag af de anmeldelser, som modtages fra de registeransvarlige, over alle behandlinger, der foretages af personoplysninger.

2. Registeret skal som et minimum indeholde de oplysninger, der er nævnt i forordningens artikel 25, stk. 2, litra a)-g). De oplysninger, som den databeskyttelsesansvarlige indfører i registeret, kan dog undtagelsesvis begrænses, når det er nødvendigt for at beskytte sikkerheden i forbindelse med en specifik behandling.

3. Registeret skal være en fortegnelse over de behandlinger af personoplysninger, EU-Udenrigstjenesten foretager. Det skal være tilgængeligt for de registrerede med henblik på at lette udøvelsen af disses rettigheder i henhold til forordningens artikel 13-19 og denne afgørelse.

Artikel 15

Adgang til registeret

1. Den databeskyttelsesansvarlige træffer passende foranstaltninger til at sikre, at alle registrerede kan få adgang til registeret, enten direkte eller indirekte via Den Europæiske Tilsynsførende for Databeskyttelse. Den databeskyttelsesansvarlige giver navnlig oplysninger til de registrerede om, hvor og hvordan der kan indgives anmodning om adgang til registeret, og yder dem bistand hertil.

2. Undtagen i tilfælde, hvor der gives onlineadgang til registeret, fremsættes anmodninger om adgang til registeret skriftligt, f.eks. elektronisk, på et af de sprog, der er nævnt i artikel 342 i traktaten om Den Europæiske Unions funktionsmåde, og tilstrækkelig præcist til, at den databeskyttelsesansvarlige kan finde frem til den relevante behandling. Der fremsendes straks en kvittering for modtagelse til den person, der anmoder om adgang.

3. Hvis en anmodning ikke er tilstrækkelig præcis, beder den databeskyttelsesansvarlige den person, der anmoder om adgang, om at præcisere anmodningen og bistår vedkommende hermed. Vedrører anmodningen et meget stort antal behandlinger, kan den databeskyttelsesansvarlige uformelt tage kontakt til den anmodende person med henblik på at finde en rimelig løsning.

4. Enhver registreret kan anmode den databeskyttelsesansvarlige om en kopi af de oplysninger, som er tilgængelige i registeret om en hvilken som helst anmeldt behandling.

AFDELING 5

PROCEDURE FOR REGISTREREDES UDØVELSE AF DERES RETTIGHEDER

Artikel 16

Generelle bestemmelser

1. De rettigheder for registrerede, som er fastsat i denne afdeling, kan kun udøves af de berørte personer selv eller i undtagelsestilfælde på vegne af de pågældende på grundlag af behørig bemyndigelse. Anmodninger fremsættes skriftligt til den relevante registeransvarlige med kopi til den databeskyttelsesansvarlige. Om fornødent bistår den databeskyttelsesansvarlige den registrerede med at finde frem til den rette registeransvarlige. Den databeskyttelsesansvarlige stiller specifikke formularer til rådighed. Den registeransvarlige imødekommer kun anmodningen, hvis formularen er fuldstændigt udfyldt, og den anmodende persons identitet er blevet verificeret. Det er gratis for de registrerede at udøve deres rettigheder.

2. Den berørte registeransvarlige sender den anmodende person en kvittering for modtagelse senest fem arbejdsdage efter registreringen af anmodningen. Medmindre andet er fastsat, besvarer den registeransvarlige anmodningen senest 15 arbejdsdage efter registreringen af anmodningen, idet vedkommende enten imødekommer anmodningen eller skriftligt begrunder det fulde eller delvise afslag, navnlig i tilfælde, hvor den anmodende person ikke betragtes som registreret.

3. Hvor der er tale om uregelmæssigheder eller åbenlyst misbrug fra den registreredes side med hensyn til udøvelsen af vedkommendes rettigheder, og hvor den registrerede hævder, at behandlingen er ulovlig, skal den registeransvarlige høre den databeskyttelsesansvarlige om anmodningen og/eller henvise den registrerede til den databeskyttelsesansvarlige, som afgør, om anmodningen skal behandles, og hvordan sagen skal følges op.

4. Enhver registreret kan høre den databeskyttelsesansvarlige om udøvelsen af sine rettigheder i et specifikt tilfælde. Uden at det berører et eventuelt muligt retsmiddel, kan den registrerede indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse, hvis vedkommende finder, at de rettigheder, som forordningen tillægger vedkommende, er blevet krænket som følge af en behandling af vedkommendes personoplysninger.

Artikel 17

Ret til indsigt

Den registrerede har indtil tre måneder efter, at den registeransvarlige har modtaget den registreredes anmodning, til enhver tid ret til hos den registeransvarlige uden begrænsning at få de oplysninger, der er omhandlet i forordningens artikel 13, litra a)-d), enten ved at konsultere oplysningerne på stedet eller ved at få udleveret en kopi, eventuelt også en elektronisk kopi, alt efter den registreredes ønske.

Artikel 18

Ret til berigtigelse

I en anmodning fra en registreret om berigtigelse af urigtige eller ufuldstændige personoplysninger præciseres det, hvilke oplysninger der er tale om, og hvilken berigtigelse der skal foretages. Den registeransvarlige behandler omgående en sådan anmodning.

Artikel 19

Ret til blokering

Den berørte registeransvarlige behandler omgående enhver anmodning om blokering af personoplysninger efter forordningens artikel 15. I anmodningen præciseres det, hvilke personoplysninger der er tale om, og hvorfor de ønskes blokeret. Den registeransvarlige underretter den registrerede, som har indgivet anmodningen, inden oplysningerne frigives.

Artikel 20

Ret til sletning

Den registrerede kan anmode den registeransvarlige om omgående at slette personoplysninger, hvis behandlingen af dem er ulovlig, navnlig i tilfælde, hvor forordningens artikel 4-10 er overtrådt. I anmodningen præciseres det, hvilke oplysninger der er tale om, og det begrundes eller godtgøres, at behandlingen er ulovlig. I edb-registre sker sletning i princippet med alle relevante tekniske hjælpemidler, der udelukker al yderligere behandling af slettede oplysninger. Hvis det af tekniske årsager ikke er muligt at slette oplysninger, sørger den berørte registeransvarlige, efter høring af den databeskyttelsesansvarlige og den berørte person, for øjeblikkelig at blokere sådanne oplysninger.

Artikel 21

Underretning af tredjemand

Den registrerede kan kræve af den registeransvarlige, at denne i tilfælde af berigtigelse, blokering eller sletning på anmodning af den registrerede, underretter tredjemand, til hvem den registreredes personoplysninger er videregivet, medmindre dette viser sig umuligt eller kræver en uforholdsmæssig stor indsats.

Artikel 22

Indsigelsesret

Den registrerede har i henhold til forordningens artikel 18 ret til at gøre indsigelse mod behandling af personoplysninger, der vedrører vedkommende, samt mod videregivelse og anvendelse af sådanne oplysninger. I anmodningen præciseres det, hvilke oplysninger der er tale om, og anmodningen begrundes. Er der tale om en berettiget indsigelse, må den pågældende behandling ikke længere omfatte disse personoplysninger.

Artikel 23

Edb-behandlede individuelle afgørelser

Den registrerede har ret til ikke at være undergivet edb-behandlede individuelle afgørelser, jf. forordningens artikel 19, medmindre afgørelsen udtrykkeligt er tilladt i henhold til den nationale ret, EU-retten eller en afgørelse truffet af Den Europæiske Tilsynsførende for Databeskyttelse med henblik på at beskytte den registreredes legitime interesser. I alle tilfælde skal den registrerede have mulighed for forudgående at give sin mening til kende og rådføre sig med den databeskyttelsesansvarlige.

Artikel 24

Undtagelser og begrænsninger

1. Den registeransvarlige kan, såfremt de i forordningens artikel 20 specificerede legitime grunde klart berettiger dette, begrænse de rettigheder, der er omhandlet i artikel 17-21 i denne afgørelse. Medmindre der er tale om en absolut nødvendighed, rådfører den berørte registeransvarlige sig først med den databeskyttelsesansvarlige, hvis udtalelse ikke er bindende for EU-Udenrigstjenesten. Den registeransvarlige besvarer omgående anmodninger, der vedrører anvendelsen af undtagelser eller begrænsninger i udøvelsen af rettigheder, og begrunder sin afgørelse.

2. Enhver registreret kan anmode Den Europæiske Tilsynsførende for Databeskyttelse om at anvende forordningens artikel 47, stk. 1, litra c).

AFDELING 6

UNDERSØGELSESPROCEDURE

Artikel 25

Praktiske bestemmelser

1. Anmodninger om en undersøgelse fremsættes skriftligt til den databeskyttelsesansvarlige ved hjælp af en særlig formular, som fås hos den databeskyttelsesansvarlige. I tilfælde af åbenlyst misbrug af retten til at anmode om en undersøgelse, f.eks. hvis den samme person kort tid forinden har indgivet en identisk anmodning, er den databeskyttelsesansvarlige ikke forpligtet til at besvare anmodningen.

2. Den databeskyttelsesansvarlige sender inden 15 dage fra modtagelsen af anmodningen en kvittering for modtagelse til ansættelsesmyndigheden eller til den person, som anmodede om undersøgelsen, og kontrollerer, om anmodningen skal behandles fortroligt.

3. Den databeskyttelsesansvarlige anmoder den registeransvarlige, som forestår den pågældende behandling, om at fremsætte en skriftlig udtalelse om spørgsmålet. Den registeransvarlige sender sit svar til den databeskyttelsesansvarlige inden 15 dage. Den databeskyttelsesansvarlige kan udbede sig supplerende oplysninger fra andre tjenestegrene i EU-Udenrigstjenesten, f.eks. sikkerhedskontoret og kontoret for informationssystemsikkerhed (Infosec-kontoret) i EU-Udenrigstjenesten. Om fornødent kan den databeskyttelsesansvarlige anmode EU-Udenrigstjenestens afdeling for juridiske anliggender om en udtalelse. Oplysningerne eller udtalelsen skal sendes til den databeskyttelsesansvarlige inden 30 dage.

4. Den databeskyttelsesansvarlige aflægger rapport til ansættelsesmyndigheden og til den person, der fremsatte anmodningen, senest tre måneder efter modtagelsen af anmodningen.

AFDELING 7

AFSLUTTENDE BESTEMMELSER

Artikel 26

I tilfælde af uoverensstemmelse mellem bestemmelserne i denne afgørelse og bestemmelserne i forordningen har sidstnævnte forrang.

Artikel 27

Denne afgørelse formidles til EU-Udenrigstjenestens ansatte gennem egnede medier, navnlig offentliggørelse på EU-Udenrigstjenestens og EU-delegationernes intranet (under »databeskyttelse«).

Artikel 28

Virkning

Denne afgørelse får virkning på dagen for vedtagelsen.