CELEX: 32019D1031(02)
Language: hr
Date: 2019-10-01 00:00:00
Title: Odluka Visokog Predstavnika Unije za Vanjske Poslove i Sigurnosnu Politiku od 1. listopada 2019. o provedbenim pravilima koja se odnose na zaštitu osobnih podataka u Europskoj službi za vanjsko djelovanje i o primjeni Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća2019/C 370/05

31.10.2019   
               
               
                  HR
               
               
                  Službeni list Europske unije
               
               
                  C 370/9
               
            
         Odluka Visokog Predstavnika Unije za Vanjske Poslove i Sigurnosnu Politiku
         od 1. listopada 2019.
         o provedbenim pravilima koja se odnose na zaštitu osobnih podataka u Europskoj službi za vanjsko djelovanje i o primjeni Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća
         (2019/C 370/05)
         VISOKI PREDSTAVNIK UNIJE ZA VANJSKE POSLOVE I SIGURNOSNU POLITIKU,
         uzimajući u obzir Odluku Vijeća 2010/427/EU od 26. srpnja 2010. o uspostavi organizacije i funkcioniranju Europske službe za vanjsko djelovanje (1) („Odluka Vijeća o ESVD-u”), a posebno njezin članak 11. stavak 3.,
         uzimajući u obzir Uredbu (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (2) („Uredba”), a posebno njezine članke 43., 44. i 45.,
         budući da:
         
                     (1)
                  
                  
                     Veća odgovornost voditeljâ obrade podataka utvrđena Uredbom zahtijeva donošenje nove provedbene odluke kojom se zamjenjuje Odluka PROC HR(2011) 016 Visokog predstavnika Unije za vanjske poslove i sigurnosnu politiku od 8. prosinca 2011. o pravilima o zaštiti podataka u ESVD-u.
                  
               
                     (2)
                  
                  
                     Uloga službenika za zaštitu podataka i odgovornosti voditelja obrade podataka u okviru Europske službe za vanjsko djelovanje trebaju biti jasno utvrđene i prilagođene zahtjevima Uredbe,
                  
               ODLUČIO JE:
         ODJELJAK 1.
         
            OPĆE ODREDBE
         
         
            Članak 1.
            Predmet i područje primjene
            
               1.   U skladu s člankom 45. stavkom 3. Uredbe ovom se Odlukom utvrđuju zadaće, dužnosti i ovlasti službenika za zaštitu podataka u okviru ESVD-a.
            
            
               2.   U ovoj se Odluci ujedno dodatno utvrđuju interni postupci i odgovornosti voditeljâ i izvršiteljâ obrade podataka te uloga, zadaće i dužnosti koordinatorâ i korespondenata za zaštitu podataka, posebno u skladu s člancima 26. i 29. Uredbe.
            
         
         
            Članak 2.
            Definicije
            Za potrebe ove Odluke i ne dovodeći u pitanje definicije iz Uredbe:
            
                        (a)
                     
                     
                        „voditelj obrade podataka” znači ESVD ili njegovi organizacijski subjekti, uključujući delegacije EU-a, koji sami ili zajedno s drugima određuju svrhe i sredstva obrade osobnih podataka;
                     
                  
                        (b)
                     
                     
                        „predstavnik voditelja obrade podataka” znači članovi rukovodstva ESVD-a ili voditelji organizacijskih subjekata koji nadziru subjekte voditelja obrade podataka iz prethodno navedene točke (a) i koji su odgovorni za obradu osobnih podataka;
                     
                  
                        (c)
                     
                     
                        „delegirani voditelj obrade” znači služba ili osoblje u okviru organizacijskog subjekta voditelja obrade podataka kojem je povjereno upravljanje aktivnostima obrade osobnih podataka;
                     
                  
                        (d)
                     
                     
                        „zajednički voditelji obrade” znači dva organizacijska subjekta ili više njih koji zajedno određuju svrhe i sredstva obrade osobnih podataka te uloge i odgovornosti voditeljâ obrade, uključujući njihove dužnosti u pogledu ostvarivanja prava ispitanika, posebno kada ESVD zajednički nadzire obradu s drugim institucijama, tijelima, agencijama ili uredima EU-a ili bilo kojim drugim subjektima;
                     
                  
                        (e)
                     
                     
                        „službenik za zaštitu podataka” znači član osoblja ESVD-a kojeg u skladu s člankom 43. Uredbe imenuje ESVD kako bi podupirao, informirao i savjetovao voditelje obrade podataka;
                     
                  
                        (f)
                     
                     
                        „koordinator i korespondent za zaštitu podataka” znači članovi osoblja ESVD-a u sjedištu i u delegacijama EU-a koji su imenovani kako bi voditeljima obrade podataka pružali pomoć u pitanjima zaštite podataka;
                     
                  
                        (g)
                     
                     
                        „izvršitelj obrade” znači subjekt unutar ili izvan ESVD-a koji obrađuje osobne podatke u ime voditelja obrade podataka;
                     
                  
                        (h)
                     
                     
                        „obavijesti o zaštiti podataka” su obavijesti, kao što su izjave o zaštiti podataka, kojima voditelj obrade podataka pruža informacije ispitanicima na temelju članaka 15. i 16. Uredbe;
                     
                  
                        (i)
                     
                     
                        „osoblje ESVD-a” znači, u skladu s člankom 6. Odluke Vijeća o ESVD-u, dužnosnici i ostali službenici EU-a koji rade za ESVD, uključujući osoblje diplomatskih službi država članica EU-a, upućene nacionalne stručnjake i pripravnike.
                     
                  
         ODJELJAK 2.
         
            SLUŽBENIK ZA ZAŠTITU PODATAKA
         
         
            Članak 3.
            Imenovanje službenika za zaštitu podataka
            
               1.   U skladu s člankom 43. Uredbe glavni tajnik ESVD-a imenuje službenika za zaštitu podataka iz osoblja ESVD-a i registrira ga pri Europskom nadzorniku za zaštitu podataka.
            
            
               2.   Osim zahtjevâ iz članka 43. stavka 3. Uredbe, službenik za zaštitu podataka mora biti dobro upoznat sa službama ESVD-a, njihovom strukturom, informacijskim sustavima, administrativnim pravilima i postupcima. Službenik za zaštitu podataka mora imati stručno znanje u području zaštite podataka, dobre vještine prosuđivanja i sposobnost zadržavanja nepristranog i objektivnog stajališta u skladu s Pravilnikom o osoblju.
            
            
               3.   Službenik za zaštitu podataka imenuje se na razdoblje od pet godina i može biti ponovno imenovan.
            
            
               4.   Službenik za zaštitu podataka može biti razriješen dužnosti samo uz suglasnost Europskog nadzornika za zaštitu podataka ako više ne ispunjuje uvjete potrebne za izvršavanje svojih dužnosti.
            
            
               5.   Službenik za zaštitu podataka administrativno je povezan s glavnim tajnikom.
            
            
               6.   Podaci za kontakt službenika za zaštitu podataka objavljuju se na intranetu i eksternim internetskim stranicama ESVD-a te se dostavljaju Europskom nadzorniku za zaštitu podataka.
            
         
         
            Članak 4.
            Položaj službenika za zaštitu podataka
            
               1.   Službenik za zaštitu podataka djeluje neovisno i u suradnji s Europskim nadzornikom za zaštitu podataka. ESVD ne izdaje službeniku za zaštitu podataka nikakve upute za izvršavanje zadaća.
            
            
               2.   Službenika za zaštitu podataka ne razrješuje se dužnosti niti kažnjava zbog izvršavanja zadaća.
            
            
               3.   Službenika za zaštitu podataka obavješćuje se o svim kontaktima s vanjskim stranama u pogledu primjene Uredbe i ove Odluke, a posebno o svim interakcijama s Europskim nadzornikom za zaštitu podataka i članovima mreže službenika za zaštitu podataka u institucijama, tijelima, uredima i agencijama EU-a.
            
            
               4.   Ispitanici se mogu obratiti službeniku za zaštitu podataka u vezi sa svim pitanjima koja se odnose na obradu njihovih osobnih podataka ili ostvarivanje njihovih prava iz Uredbe.
            
            
               5.   Voditelj obrade podataka ili njegov predstavnik, Odbor za osoblje i bilo koji član osoblja o svakom se pitanju koje se odnosi na tumačenje ili primjenu Uredbe mogu savjetovati sa službenikom za zaštitu podataka, a da se pritom ne moraju služiti službenim kanalima. Nikome ne smije biti nanesena šteta zbog upućivanja predmeta službeniku za zaštitu podataka.
            
         
         
            Članak 5.
            Zadaće službenika za zaštitu podataka
            Službenik za zaštitu podataka:
            
                        (a)
                     
                     
                        pruža savjete o svim pitanjima koja se odnose na zaštitu osobnih podataka;
                     
                  
                        (b)
                     
                     
                        daje smjernice i proaktivno savjetuje subjekte ESVD-a i njihove ugovaratelje koji provode aktivnosti obrade osobnih podataka o načinu provedbe Uredbe i ove Odluke, uključujući savjetovanje o obavijestima o povredi podataka, procjenama učinka i potrebi prethodnog savjetovanja s Europskim nadzornikom za zaštitu podataka;
                     
                  
                        (c)
                     
                     
                        održava redovite kontakte s voditeljima obrade podataka radi praćenja usklađenosti u području zaštite podataka te ih podupire u njihovim zadaćama, a posebno kako bi pomogao u pripremi i objavljivanju obavijesti o zaštiti podataka i odgovaranju na zahtjeve ispitanika;
                     
                  
                        (d)
                     
                     
                        održava redovite kontakte s koordinatorima i korespondentima za zaštitu podataka u sjedištu ESVD-a i delegacijama EU-a te upravlja mrežom koordinatora i korespondenata za zaštitu podataka u okviru ESVD-a;
                     
                  
                        (e)
                     
                     
                        stvara opću svijest o zaštiti podataka te organizira osposobljavanja i informativne sastanke;
                     
                  
                        (f)
                     
                     
                        surađuje sa službenicima za zaštitu podataka u drugim institucijama, tijelima, uredima i agencijama EU-a, posebno razmjenom iskustava i najboljih praksi;
                     
                  
                        (g)
                     
                     
                        vodi središnji registar aktivnosti obrade koje provodi ESVD na temelju evidencije koju su pripremili voditelji obrade podataka u skladu s člankom 31. Uredbe te stavlja registar na raspolaganje javnosti;
                     
                  
                        (h)
                     
                     
                        pomaže osigurati da je Visoki predstavnik ili ESVD zastupljen na međunarodnoj razini u pogledu svih pitanja povezanih sa zaštitom podataka.
                     
                  
         
            Članak 6.
            Ovlasti
            Pri izvršavanju zadaća službenik za zaštitu podataka:
            
                        (a)
                     
                     
                        u svakom trenutku ima pristup podacima koje obrađuju subjekti ESVD-a i njihovi ugovaratelji te svim uredima, centrima za obradu podataka i nosačima podataka;
                     
                  
                        (b)
                     
                     
                        dostavlja svoje mišljenje Tijelu za imenovanje prije donošenja bilo kakve odluke o pitanjima koja se odnose na primjenu odredaba o zaštiti podataka;
                     
                  
                        (c)
                     
                     
                        može predložiti upravne mjere i izdati opće preporuke o odgovarajućoj primjeni Uredbe i ove Odluke;
                     
                  
                        (d)
                     
                     
                        može dati preporuke za praktično poboljšanje zaštite podataka upravi i osoblju ESVD-a te svim relevantnim vanjskim stranama;
                     
                  
                        (e)
                     
                     
                        može istraživati pitanja zaštite podataka i, uz osobu koja je zatražila istragu ili podnijela pritužbu, može obavijestiti voditelja obrade podataka i sve nadležne članove uprave ESVD-a o rezultatima istrage;
                     
                  
                        (f)
                     
                     
                        može izraditi predloške i interne postupke, upute ili politike za pružanje smjernica voditeljima i izvršiteljima obrade podataka;
                     
                  
                        (g)
                     
                     
                        može se služiti uslugama vanjskih stručnjaka, uključujući stručnjake za IT;
                     
                  
                        (h)
                     
                     
                        može skrenuti pozornost Tijela ESVD-a za imenovanje na svako neispunjavanje obveza člana osoblja određenih Uredbom i ovom Odlukom te predložiti pokretanje administrativne istrage;
                     
                  
                        (i)
                     
                     
                        može izdati interne smjernice o zaštiti podataka (Smjernice službenika za zaštitu podataka) koje se uzimaju u obzir pri obradi osobnih podataka.
                     
                  
         
            Članak 7.
            Resursi
            
               1.   Službeniku za zaštitu podataka osiguravaju se odgovarajuće osoblje i resursi potrebni za izvršavanje zadaća iz članka 5. ove Odluke.
            
            
               2.   Sve osoblje ESVD-a podupire službenika za zaštitu podataka u izvršavanju zadaća iz članka 5. ove Odluke; konkretno voditelji i izvršitelji obrade podataka pružaju zatražene informacije o aktivnostima obrade podataka, osiguravaju pristup osobnim podacima i pripremaju nacrte odgovora na zahtjeve ispitanika koji ostvaruju svoje pravo na pristup, izmjenu i brisanje koje je primio službenik za zaštitu podataka, ali su povezani s aktivnostima obrade za koje je odgovoran voditelj obrade podataka.
            
            
               3.   Službenik za zaštitu podataka može, prema potrebi, imati zamjenika ili pomoćnika službenika za zaštitu podataka te administrativno osoblje i potporu tajništva. Službenik za zaštitu podataka može koristiti i usluge drugih subjekata ESVD-a ili ugovornih subjekata i vanjskih stručnjaka.
            
            
               4.   Ako je imenovan zamjenik ili pomoćnik službenika za zaštitu podataka, on podupire službenika za zaštitu podataka pri izvršavanju njegovih zadaća i može ga predstavljati u slučaju njegove odsutnosti. Članci 4., 5. i 6. ove Odluke primjenjuju se i na zamjenika ili pomoćnika službenika za zaštitu podataka.
            
            
               5.   Službenik za zaštitu podataka raspolaže odgovarajućim prostorijama u kojima se može jamčiti sigurnost i povjerljivost informacija, uključujući osobne podatke, te osigurati odgovarajuće pohranjivanje i arhiviranje podataka i dokumenata.
            
            
               6.   Službenik za zaštitu podataka na raspolaganju ima elektronički alat koji može i. voditi evidenciju o aktivnostima obrade osobnih podataka u skladu s člankom 31. Uredbe i ii. pohranjivati obavijesti o zaštiti podataka, obavijesti o povredi podataka, procjene učinka na zaštitu podataka, zahtjeve ispitanika i evidenciju o prijenosima podataka.
            
            
               7.   ESVD podupire službenika za zaštitu podataka u održavanju i širenju njegova stručnog znanja, među ostalim, olakšavanjem sudjelovanja na međuinstitucijskim ili vanjskim tečajevima osposobljavanja, konferencijama ili događanjima koja se odnose na zaštitu podataka te na sastancima i osposobljavanjima koje organiziraju Europski nadzornik za zaštitu podataka i mreža službenikâ za zaštitu podataka u institucijama, tijelima, uredima i agencijama EU-a.
            
         
         ODJELJAK 3.
         
            SUDIONICI UKLJUČENI U POSTUPKE KOJI SE ODNOSE NA ZAŠTITU PODATAKA
         
         
            Članak 8.
            Voditelji i izvršitelji obrade podataka
            
               1.   Odgovornost je delegiranih voditelja obrade te predstavnika voditeljâ i izvršiteljâ obrade u ime voditelja obrade podataka osigurati usklađenost svih aktivnosti obrade pod njihovim nadzorom s Uredbom, posebno njezinim člankom 26., te s odredbama ove Odluke. Oni u skladu s člankom 29. Uredbe mogu, prema potrebi, povjeriti zadaće obrade podataka osoblju ESVD-a za koje su odgovorni ili ugovornim subjektima.
            
            
               2.   Konkretno, voditelji obrade podataka:
               
                           (a)
                        
                        
                           snose odgovornost, osiguravaju i dokazuju da se obrada provodi u skladu s Uredbom i ovom Odlukom;
                        
                     
                           (b)
                        
                        
                           evidentiraju sve aktivnosti obrade i sve bitne promjene postojeće aktivnosti obrade;
                        
                     
                           (c)
                        
                        
                           osiguravaju da su ispitanici obaviješteni o obradi njihovih podataka u skladu s člancima 15. i 16. Uredbe stavljanjem na raspolaganje obavijesti o zaštiti podataka;
                        
                     
                           (d)
                        
                        
                           surađuju sa službenikom za zaštitu podataka i Europskim nadzornikom za zaštitu podataka, posebno pružanjem informacija u odgovoru na njihove zahtjeve u roku od 14 kalendarskih dana od datuma zahtjeva;
                        
                     
                           (e)
                        
                        
                           obavješćuju službenika za zaštitu podataka ako ugovaratelj vrši obradu osobnih podataka u ime voditelja obrade podataka;
                        
                     
                           (f)
                        
                        
                           imenuju koordinatora i korespondenta za zaštitu podataka, podupiru ih pri izvršavanju njihovih dužnosti i obavješćuju službenika za zaštitu podataka o svakoj promjeni osobe ili funkcije koordinatora i korespondenta za zaštitu podataka;
                        
                     
                           (g)
                        
                        
                           savjetuju se sa službenikom za zaštitu podataka o tome jesu li aktivnosti obrade u skladu s Uredbom i ovom Odlukom. Mogu zatražiti mišljenje službenika za zaštitu podataka ili drugih stručnjaka o pitanjima koja se odnose na povjerljivost, dostupnost i integritet aktivnosti obrade te o sigurnosnim mjerama poduzetima u skladu s člankom 33. Uredbe.
                        
                     
            
               3.   Voditelji obrade podataka mogu upotrebljavati druge subjekte u okviru ESVD-a ili ugovorne subjekte kao izvršitelje obrade u skladu s odredbama Uredbe sve dok u svojoj evidenciji dokumentiraju tko je izvršitelj obrade te navedu zadaće koje su im povjerene i poduzete sigurnosne mjere.
            
            
               4.   Voditelj obrade podataka osigurava da se službenika za zaštitu podataka bez odlaganja obavješćuje:
               
                           (a)
                        
                        
                           o svim pitanjima koja utječu ili bi mogla utjecati na zaštitu podataka;
                        
                     
                           (b)
                        
                        
                           o svim komunikacijama i odlukama rukovodstva ESVD-a koje se odnose na primjenu Uredbe, a posebno na sve interakcije s Europskim nadzornikom za zaštitu podataka.
                        
                     
         
         
            Članak 9.
            Koordinator i korespondent za zaštitu podataka
            
               1.   Ovisno o njihovoj veličini i vrsti osobnih podataka koje obrađuju, organizacijski subjekti ESVD-a moraju imati koordinatora i korespondenta za zaštitu podataka koji bi djelovali kao središnja točka za zaštitu podataka. Svaka nadležna uprava ili uprava u sjedištu ESVD-a i svaka delegacija EU-a imenuje koordinatora za zaštitu podataka ili korespondenta za zaštitu podataka. Svi odjeli koji redovito obrađuju veliku količinu osobnih podataka, posebne kategorije podataka ili osjetljive osobne podatke čija obrada predstavlja visok rizik isto tako imenuju svojeg koordinatora i korespondenta za zaštitu podataka. Funkcija koordinatora i korespondenta za zaštitu podataka dodjeljuje se radnom mjestu s pregledom nad aktivnostima subjekta.
            
            
               2.   Koordinator i korespondent za zaštitu podataka moraju imati potrebne vještine i steći znanje o zaštiti podataka. Prolaze uvodno osposobljavanje o zaštiti podataka i mogu sudjelovati na informativnim sastancima i sastancima mreže koordinatora i korespondenata za zaštitu podataka.
            
            
               3.   Koordinator i korespondent za zaštitu podataka:
               
                           (a)
                        
                        
                           pomažu voditeljima obrade podataka u ispunjavanju njihovih obveza ne dovodeći u pitanje odgovornosti službenika za zaštitu podataka;
                        
                     
                           (b)
                        
                        
                           olakšavaju komunikaciju između službenika za zaštitu podataka i voditeljâ obrade podataka;
                        
                     
                           (c)
                        
                        
                           središnja su točka za pitanja zaštite podataka u svojoj službi i povezuju se sa službenikom za zaštitu podataka;
                        
                     
                           (d)
                        
                        
                           obavješćuju i podupiru svoje kolege u pitanjima povezanima s obradom osobnih podataka;
                        
                     
                           (e)
                        
                        
                           prosljeđuju osoblju informacije o informativnim kampanjama i osposobljavanjima;
                        
                     
                           (f)
                        
                        
                           surađuju sa službenikom za zaštitu podataka u izradi i ažuriranju popisa postojećih i novih aktivnosti obrade osobnih podataka;
                        
                     
                           (g)
                        
                        
                           kontaktiraju sa službenikom za zaštitu podataka i obavješćuju ga o svim osobnim podacima koji se obrađuju unutar službe;
                        
                     
                           (h)
                        
                        
                           pomažu pri utvrđivanju nadležnih delegiranih voditelja i izvršitelja obrade podataka;
                        
                     
                           (i)
                        
                        
                           izrađuju evidenciju u svojem području stručnosti;
                        
                     
                           (j)
                        
                        
                           podupiru voditelje obrade podataka pri uspostavi i preispitivanju evidencije te izradi obavijesti o zaštiti podataka;
                        
                     
                           (k)
                        
                        
                           pridonose provjerama usklađenosti i procjenama učinka;
                        
                     
                           (l)
                        
                        
                           osiguravaju da su relevantne obavijesti o zaštiti podataka objavljene i da ih njihova služba pravilno upotrebljava;
                        
                     
                           (m)
                        
                        
                           obavješćuju službenika za zaštitu podataka o svim povredama podataka;
                        
                     
                           (n)
                        
                        
                           u suradnji sa službenikom za zaštitu podataka pripremaju odgovor na zahtjeve ispitanika koji ostvaruju svoja prava te rješavaju pritužbe i pitanja koji se odnose na aktivnosti obrade podataka u okviru njihove službe.
                        
                     
            
               4.   Koordinator i korespondent za zaštitu podataka imaju pravo dobiti informacije potrebne za utvrđivanje aktivnosti obrade osobnih podataka i savjetovati se sa službenikom za zaštitu podataka u ime svoje službe. To ne uključuje pravo na pristup osobnim podacima koji se obrađuju pod odgovornošću voditelja obrade podataka.
            
         
         
            Članak 10.
            Tijelo za imenovanje
            Tijelo za imenovanje savjetuje se sa službenikom za zaštitu podataka o svim zahtjevima ili pritužbama na temelju članka 90. Pravilnika o osoblju u pogledu primjene Uredbe.
         
         
            Članak 11.
            Osoblje ESVD-a
            
               1.   Sve osoblje ESVD-a primjenjuje pravila o povjerljivosti i sigurnosti obrade osobnih podataka utvrđena u člancima 33., 34. i 35. Uredbe. Ni jedan član osoblja ESVD-a koji ima pristup osobnim podacima ne obrađuje te podatke osim prema uputama voditeljâ obrade podataka.
            
            
               2.   Svi članovi osoblja ESVD-a obavješćuju svoje neposredne rukovoditelje o potrebi za obradom osobnih podataka kako bi voditelji obrade podataka dokumentirali obradu u svojoj evidenciji o zaštiti podataka i pripremili potrebne obavijesti o zaštiti podataka.
            
            
               3.   Svaki član osoblja ESVD-a može službeniku za zaštitu podataka podnijeti zahtjev ili izraziti zabrinutost, uključujući u pogledu navodne povrede podataka, ili može Europskom nadzorniku za zaštitu podataka podnijeti pritužbu zbog navodne povrede Uredbe ili ove Odluke, bez potrebe da o tome obavijesti svoje nadređene.
            
            
               4.   Ako član osoblja smatra da treća zemlja, područje ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija ne osigurava odgovarajuću razinu zaštite u smislu članka 45. stavka 3. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća (3) ili članka 36. stavka 3. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća (4), o tome obavješćuje službenika za zaštitu podataka.
            
         
         ODJELJAK 4.
         
            MJERE I POSTUPCI
         
         
            Članak 12.
            Sigurnosne mjere te tehnička i integrirana zaštita podataka
            
               1.   Zaštitne, tehničke i organizacijske mjere za izbjegavanje povreda podataka, odavanja ili neovlaštenog objavljivanja uključuju:
               
                           (a)
                        
                        
                           odgovarajuću definiciju uloga, odgovornosti i postupovnih koraka;
                        
                     
                           (b)
                        
                        
                           sigurno elektroničko okruženje u kojem se sigurnosnim mjerama integriranima u različite korištene IT aplikacije neovlaštenim osobama onemogućuje nezakonit ili slučajan pristup elektroničkim podacima ili njihov prijenos;
                        
                     
                           (c)
                        
                        
                           sigurnu obradu i pohranu dokumenata u papirnatom obliku;
                        
                     
                           (d)
                        
                        
                           pojedinačnu dodjelu elektroničkog i fizičkog pristupa samo ovlaštenom osoblju s pravima na pristup.
                        
                     
            
               2.   Prije oblikovanja aktivnosti obrade podataka voditelji obrade podataka provode tehničku i integriranu zaštitu podataka kako je navedeno u članku 27. Uredbe. Voditelj obrade podataka može se u svrhu provedbe tehničke i integrirane zaštite podataka savjetovati sa službenikom za zaštitu podataka i drugim nadležnim službama, uključujući IT i IT sigurnost.
            
         
         
            Članak 13.
            Obavijesti o povredi podataka
            Nakon što sazna za bilo koji incident, posebno za povredu sigurnosti, koji dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog objavljivanja osobnih podataka koji se prenose, pohranjuju ili obrađuju na neki drugi način ili pristupa takvim podacima („povreda osobnih podataka”), voditelj ili izvršitelj obrade podataka odmah obavješćuje službenika za zaštitu podataka i u roku od 72 sata Europskog nadzornika za zaštitu podataka te na odgovarajući način dokumentira incident.
         
         
            Članak 14.
            Istrage i obrada zahtjeva i pritužbi koje provodi službenik za zaštitu podataka
            
               1.   Službenik za zaštitu podataka može na vlastitu inicijativu ili na zahtjev pokrenuti istragu o navodnoj povredi obveza iz Uredbe. Zahtjevi se upućuju službeniku za zaštitu podataka u pisanom obliku.
            
            
               2.   Službenik za zaštitu podataka može od voditelja obrade podataka odgovornog za relevantnu aktivnost obrade podataka zatražiti pisanu izjavu o tom pitanju. Voditelj obrade podataka dostavlja odgovor službeniku za zaštitu podataka u roku od 14 kalendarskih dana od primitka tog zahtjeva. Službenik za zaštitu podataka može zatražiti pristup dodatnim informacijama, dokumentima, nosačima podataka, podatkovnim centrima, prostorijama i sustavima drugih službi ESVD-a, osobito odjela za IT, uprave za sigurnost i glavne uprave koja se bavi administrativnim istragama i stegovnim postupcima. Informacije ili mišljenje dostavljaju se službeniku za zaštitu podataka u roku od 14 kalendarskih dana.
            
            
               3.   Ako su zahtjevi očito neutemeljeni i pretjerani te ako se zloupotrebljavaju, posebno kada isti ispitanik učestalo ponavlja zahtjeve, službenik za zaštitu podataka može odbiti postupiti po zahtjevu u skladu s člankom 14. Uredbe. Podnositelja zahtjeva na odgovarajući se način obavješćuje o tome.
            
         
         ODJELJAK 5.
         
            POSTUPAK ZA OSTVARIVANJE PRAVA ISPITANIKA
         
         
            Članak 15.
            Opće odredbe
            
               1.   Ispitanici se mogu obratiti voditelju obrade podataka ili službeniku za zaštitu podataka kako bi ostvarili svoja prava u skladu s člancima od 14. do 24. Uredbe.
            
            
               2.   Zahtjevi za ostvarivanje prava ispitanika podnose se u pisanom obliku. Ako je potrebno, službenik za zaštitu podataka pomaže ispitaniku pri utvrđivanju nadležnog voditelja obrade podataka. Službenik za zaštitu podataka prosljeđuje sve zaprimljene zahtjeve nadležnom voditelju obrade podataka, koji se može savjetovati sa službenikom za zaštitu podataka.
            
            
               3.   Voditelji obrade podataka obrađuju zahtjev i izravno odgovaraju ispitaniku.
            
         
         
            Članak 16.
            Obrada zahtjevâ za ostvarivanje prava ispitanika
            
               1.   Voditelji obrade podataka postupaju po zahtjevu tek nakon provjere identiteta podnositelja zahtjeva ili, ako je zahtjev podnio predstavnik ispitanika, nakon što ispitanik izda odobrenje.
            
            
               2.   Voditelj obrade podataka odgovoran za aktivnost obrade podataka podnositelju zahtjeva šalje potvrdu o primitku u roku od 14 kalendarskih dana nakon što ESVD zaprimi zahtjev. Osim ako je predviđeno drukčije, voditelj obrade podataka odgovara na zahtjev u roku od jednog mjeseca od registracije zahtjeva. Voditelj obrade podataka pozitivno odgovara na zahtjev ili u pisanom obliku navodi razloge za potpuno ili djelomično odbijanje. Rok za odgovor može se u skladu s člankom 14. stavkom 3. Uredbe produljiti za najviše dva dodatna mjeseca, uzimajući u obzir složenost predmeta i broj podnesenih zahtjeva.
            
            
               3.   Zahtjev ispitanika može se odbiti:
               
                           (a)
                        
                        
                           ako zahtjev nije osnovan;
                        
                     
                           (b)
                        
                        
                           ako se primjenjuje iznimka utvrđena u Uredbi;
                        
                     
                           (c)
                        
                        
                           ako se primjenjuje ograničenje u skladu s internim pravilima (5) donesenima na temelju članka 25. Uredbe.
                        
                     
            
               4.   Ako su zahtjevi očito neutemeljeni i pretjerani te ako se zloupotrebljavaju, posebno kada isti ispitanik učestalo ponavlja zahtjeve, voditelj obrade podataka može nakon savjetovanja sa službenikom za zaštitu podataka odbiti postupiti po zahtjevu u skladu s člankom 14. Uredbe. Podnositelja zahtjeva na odgovarajući se način obavješćuje o tome.
            
         
         
            Članak 17.
            Iznimke i ograničenja
            Ograničenja u skladu s internim pravilima donesenima na temelju članka 25. Uredbe i iznimke utvrđene u njezinim člancima od 15. do 19. i od 21. do 24. primjenjuju se tek nakon savjetovanja sa službenikom za zaštitu podataka.
         
         ODJELJAK 6.
         
            ZAVRŠNE ODREDBE
         
         
            Članak 18.
            Obavijest o ovoj Odluci
            
               1.   U skladu s člankom 41. Uredbe Europskog nadzornika za zaštitu podataka obavješćuje se o ovoj Odluci.
            
            
               2.   Ova Odluka stavlja se na raspolaganje osoblju ESVD-a odgovarajućim sredstvima, posebno njezinim objavljivanjem na internim internetskim stranicama ESVD-a.
            
         
         
            Članak 19.
            Stavljanje izvan snage
            Odluka PROC HR(2011) 016 Visokog predstavnika Unije za vanjske poslove i sigurnosnu politiku od 8. prosinca 2011. o pravilima o zaštiti podataka stavlja se izvan snage.
         
         
            Članak 20.
            Učinak
            Ova Odluka počinje proizvoditi učinke sljedećeg dana od dana donošenja.
         
         
            Sastavljeno u Bruxellesu 1. listopada 2019.
            
               Federica MOGHERINI
               
                  Visoka predstavnica
               
            
         
         
            (1)  SL L 201, 3.8.2010., str. 30.
         
            (2)  SL L 295, 21.11.2018., str. 39.
         
            (3)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).
         
            (4)  Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL L 119, 4.5.2016., str. 89.).
         
            (5)  Odluka Visokog predstavnika Unije za vanjske poslove i sigurnosnu politiku o internim pravilima koja se odnose na ograničenja određenih prava ispitanika u vezi s obradom osobnih podataka u okviru djelovanja Europske službe za vanjsko djelovanje (ADMIN(2019) 10).