CELEX: 32019D1031(02)
Language: fi
Date: 2019-10-01 00:00:00
Title: Unionin Ulkoasioiden ja Turvallisuuspolitiikan Korkean Edustajan Päätös, annettu 1 päivänä lokakuuta 2019, Euroopan ulkosuhdehallinnon toteuttamaa henkilötietojen suojaa ja Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 soveltamista koskevista täytäntöönpanosäännöistä2019/C 370/05

31.10.2019   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  C 370/9
               
            
         Unionin Ulkoasioiden ja Turvallisuuspolitiikan Korkean Edustajan Päätös,
         annettu 1 päivänä lokakuuta 2019,
         Euroopan ulkosuhdehallinnon toteuttamaa henkilötietojen suojaa ja Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 soveltamista koskevista täytäntöönpanosäännöistä
         (2019/C 370/05)
         UNIONIN ULKOASIOIDEN JA TURVALLISUUSPOLITIIKAN KORKEA EDUSTAJA, joka
         ottaa huomioon Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen (2010/427/EU) (1), jäljempänä ’EUH:ta koskeva neuvoston päätös’, ja erityisesti sen 11 artiklan 3 kohdan,
         ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (2), jäljempänä ’asetus’, ja erityisesti sen 43, 44 ja 45 artiklan,
         sekä katsoo seuraavaa:
         
                     (1)
                  
                  
                     Asetuksen mukaisesti vahvistettujen rekisterinpitäjien lisääntynyt osoitusvelvollisuus edellyttää, että hyväksytään uusi täytäntöönpanopäätös, jolla korvataan EUH:n tietosuojaa koskevista säännöistä 8 päivänä joulukuuta 2011 annettu unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös PROC HR (2011) 016.
                  
               
                     (2)
                  
                  
                     Tietosuojavastaavan rooli ja rekisterinpitäjän vastuu Euroopan ulkosuhdehallinnossa on määriteltävä selkeästi ja mukautettava asetuksen vaatimuksiin,
                  
               ON PÄÄTTÄNYT SEURAAVAA:
         1 JAKSO
         
            YLEISET SÄÄNNÖKSET
         
         
            1 artikla
            Kohde ja soveltamisala
            
               1.   Tässä päätöksessä vahvistetaan asetuksen 45 artiklan 3 kohdan mukaisesti Euroopan ulkosuhdehallinnon tietosuojavastaavan, jäljempänä ’tietosuojavastaava’, tehtävät, velvollisuudet ja valtuudet.
            
            
               2.   Tässä päätöksessä määritetään myös rekisterinpitäjien ja henkilötietojen käsittelijöiden sisäiset menettelyt ja vastuut sekä tietosuojakoordinaattoreiden ja -yhteyshenkilöiden rooli, tehtävät ja velvollisuudet erityisesti asetuksen 26 ja 29 artiklan mukaisesti.
            
         
         
            2 artikla
            Määritelmät
            Tässä päätöksessä tarkoitetaan, rajoittamatta asetuksessa olevien määritelmien soveltamista:
            
                        a)
                     
                     
                        ’rekisterinpitäjällä’ Euroopan ulkosuhdehallintoa tai sen organisaatioyksiköitä, myös EU:n edustustoja, jotka päättävät yksin tai yhdessä muiden kanssa henkilötietojen käsittelyn tarkoitukset ja keinot;
                     
                  
                        b)
                     
                     
                        ’rekisterinpitäjän edustajalla’ EUH:n johtoa tai organisaatioyksiköiden päälliköitä, jotka valvovat edellä a alakohdassa tarkoitettuja rekisterinpitäjinä toimivia yksiköitä ja jotka ovat vastuussa henkilötietojen käsittelystä ja joilla on sitä koskeva osoitusvelvollisuus;
                     
                  
                        c)
                     
                     
                        ’valtuutetulla rekisterinpitäjällä’ rekisterinpitäjän organisaatioyksikön palvelua tai henkilöstön jäsentä, jolle on uskottu henkilötietojen käsittelytoimien hallinnointi;
                     
                  
                        d)
                     
                     
                        ’yhteisrekisterinpitäjillä’ kahta tai useampaa organisaatioyksikköä, jotka määrittävät yhdessä henkilötietojen käsittelyn tarkoitukset ja keinot sekä rekisterinpitäjien roolit ja vastuualueet, mukaan lukien niiden velvollisuudet rekisteröidyn oikeuksien käytön osalta, erityisesti silloin, kun EUH valvoo käsittelyä yhdessä muiden EU:n toimielinten, elinten, laitosten tai muiden yksiköiden kanssa;
                     
                  
                        e)
                     
                     
                        ’tietosuojavastaavalla’ EUH:n henkilöstön jäsentä, jonka EUH on nimittänyt asetuksen 43 artiklan mukaisesti tukemaan rekisterinpitäjiä ja antamaan näille tietoja ja neuvoja;
                     
                  
                        f)
                     
                     
                        ’tietosuojakoordinaattorilla’ sellaisia EUH:n henkilöstön jäseniä päätoimipaikassa ja ’tietosuojayhteyshenkilöllä’ sellaisia EUH:n henkilöstön jäseniä EU:n edustustoissa, jotka on nimitetty avustamaan rekisterinpitäjiään tietosuojakysymyksissä, jäljempänä ’tietosuojakoordinaattori ja/tai -yhteyshenkilö’;
                     
                  
                        g)
                     
                     
                        ’henkilötietojen käsittelijällä’ EUH:n sisällä tai sen ulkopuolella olevaa yksikköä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;
                     
                  
                        h)
                     
                     
                        ”tietoturvaselosteet” ovat selosteita, esimerkiksi tietosuojaselosteita, joilla rekisterinpitäjä antaa rekisteröidyille tietoja asetuksen 15 ja 16 artiklan mukaisesti;
                     
                  
                        i)
                     
                     
                        ’EUH:n henkilöstöllä’ EUH:ta koskevan neuvoston päätöksen 6 artiklan mukaisesti EUH:lle työskenteleviä EU:n virkamiehiä ja muuta henkilöstöä, mukaan lukien EU:n jäsenvaltioiden ulkoasiainhallintojen henkilöstöön kuuluvia, lähetettyjä kansallisia asiantuntijoita ja harjoittelijoita.
                     
                  
         2 JAKSO
         
            TIETOSUOJAVASTAAVA
         
         
            3 artikla
            Tietosuojavastaavan nimittäminen
            
               1.   EUH:n pääsihteeri nimittää tietosuojavastaavan EUH:n henkilöstön joukosta asetuksen 43 artiklan mukaisesti ja ilmoittaa hänen nimensä Euroopan tietosuojavaltuutetulle.
            
            
               2.   Asetuksen 43 artiklan 3 kohdassa mainittujen vaatimusten lisäksi tietosuojavastaavalla on oltava hyvä perehtyneisyys EUH:n yksiköihin, niiden rakenteeseen, tietojärjestelmiin sekä hallinnollisiin sääntöihin ja menettelyihin. Tietosuojavastaavalla on oltava asiantuntemusta tietosuojasta ja hyvä arvostelukyky ja hänen on osattava asennoitua puolueettomasti henkilöstösääntöjen mukaisesti.
            
            
               3.   Tietosuojavastaava nimitetään toimikaudeksi, joka on viisi vuotta, ja sama henkilö voidaan nimittää uudeksi toimikaudeksi.
            
            
               4.   Tietosuojavastaava voidaan erottaa toimestaan vain Euroopan tietosuojavaltuutetun suostumuksella, jos hän ei enää täytä tehtäviensä suorittamiselle asetettuja vaatimuksia.
            
            
               5.   Tietosuojavastaava on hallinnollisesti pääsihteerin alaisuudessa.
            
            
               6.   Tietosuojavastaavan yhteystiedot julkaistaan EUH:n intranetissä ja EUH:n ulkoisella verkkosivustolla ja toimitetaan Euroopan tietosuojavaltuutetulle.
            
         
         
            4 artikla
            Tietosuojavastaavan asema
            
               1.   Tietosuojavastaava toimii riippumattomasti ja yhteistyössä Euroopan tietosuojavaltuutetun kanssa. EUH ei anna tietosuojavastaavalle ohjeita siitä, miten hänen tulisi hoitaa tehtävänsä.
            
            
               2.   Tietosuojavastaavaa ei saa erottaa tai rangaista sen vuoksi, että hän on hoitanut tehtäviään.
            
            
               3.   Tietosuojavastaavalle on ilmoitettava kaikista sellaisista yhteydenotoista ulkopuolisiin osapuoliin, jotka liittyvät asetuksen ja tämän päätöksen soveltamiseen ja erityisesti yhteistoimintaan Euroopan tietosuojavaltuutetun ja EU:n toimielinten, elinten ja laitosten tietosuojavastaavien verkoston jäsenten kanssa.
            
            
               4.   Rekisteröidyt voivat ottaa yhteyttä tietosuojavastaavaan kaikissa asioissa, jotka liittyvät heidän henkilötietojensa käsittelyyn tai heidän asetukseen perustuvien oikeuksiensa käyttöön.
            
            
               5.   Rekisterinpitäjä tai hänen edustajansa, henkilöstökomitea ja kuka tahansa henkilöstön jäsen voi konsultoida tietosuojavastaavaa kaikissa asetuksen tulkintaan tai soveltamiseen liittyvissä asioissa ilman, että heidän tarvitsee käyttää virkatietä. Kenellekään ei saa aiheutua haittaa sen johdosta, että hän on saattanut asian tietosuojavastaavan tietoon.
            
         
         
            5 artikla
            Tietosuojavastaavan tehtävät
            Tietosuojavastaavan tehtävänä on
            
                        a)
                     
                     
                        antaa lausunto kaikista henkilötietojen suojaan liittyvistä asioista;
                     
                  
                        b)
                     
                     
                        antaa EUH:n yksiköille ja niiden toimeksisaajille, jotka suorittavat henkilötietojen käsittelytoimia, ohjeita ja etukäteisneuvontaa asetuksen ja tämän päätöksen täytäntöönpanosta, mukaan lukien tietoturvaloukkauksista ilmoittamista koskevat kuulemiset, vaikutustenarvioinnit ja Euroopan tietosuojavaltuutetun ennakkokuulemisen tarpeellisuus;
                     
                  
                        c)
                     
                     
                        pitää säännöllisesti yhteyttä rekisterinpitäjiin, jotta voidaan seurata tietosuojasääntöjen noudattamista, ja tukea rekisterinpitäjiä niiden tehtävien hoitamisessa ja erityisesti auttaa niitä laatimaan ja julkaisemaan tietoturvaselosteita ja vastaamaan rekisteröityjen pyyntöihin;
                     
                  
                        d)
                     
                     
                        pitää säännöllisesti yhteyttä EUH:n päätoimipaikan tietosuojakoordinaattoreihin ja EU:n edustustojen tietosuojayhteyshenkilöihin ja hallinnoida EUH:n tietosuojakoordinaattorien ja -yhteyshenkilöiden verkostoa;
                     
                  
                        e)
                     
                     
                        lisätä yleistä tietoisuutta tietosuojasta, järjestää koulutusta ja tiedotustilaisuuksia;
                     
                  
                        f)
                     
                     
                        tehdä yhteistyötä muiden EU:n toimielinten, elinten ja laitosten tietosuojavastaavien kanssa erityisesti vaihtamalla kokemuksia ja parhaita käytäntöjä;
                     
                  
                        g)
                     
                     
                        pitää EUH:n suorittamista käsittelytoimista keskusrekisteriä, joka perustuu rekisterinpitäjien asetuksen 31 artiklan mukaisesti laatimiin selosteisiin, ja asettaa rekisteri julkisesti saataville;
                     
                  
                        h)
                     
                     
                        auttaa sen varmistamisessa, että korkea edustaja tai EUH on edustettuna kansainvälisellä tasolla kaikissa tietosuojaan liittyvissä asioissa.
                     
                  
         
            6 artikla
            Valtuudet
            Tehtäviään suorittaessaan tietosuojavastaava
            
                        a)
                     
                     
                        saa milloin tahansa tutustua EUH:n yksiköiden ja niiden toimeksisaajien käsittelemiin tietoihin ja kaikkiin toimistoihin, tietojenkäsittelykeskuksiin ja tietovälineisiin;
                     
                  
                        b)
                     
                     
                        antaa nimittävälle viranomaiselle lausuntonsa ennen kuin tehdään päätöksiä tietosuojasäännösten soveltamista koskevissa asioissa;
                     
                  
                        c)
                     
                     
                        voi ehdottaa hallinnollisia toimenpiteitä ja antaa yleisiä suosituksia asetuksen ja tämän päätöksen asianmukaisesta soveltamisesta;
                     
                  
                        d)
                     
                     
                        voi antaa EUH:n johdolle, henkilöstölle ja asianomaisille ulkopuolisille osapuolille suosituksia tietosuojan parantamiseksi käytännössä;
                     
                  
                        e)
                     
                     
                        voi tutkia tietosuoja-asioita ja – tutkimusta pyytäneen tai kantelun tehneen henkilön lisäksi – ilmoittaa tutkimuksen tuloksen rekisterinpitäjälle ja asianomaisille EUH:n johdon jäsenille;
                     
                  
                        f)
                     
                     
                        voi laatia malleja ja sisäisiä menettelyjä, toimintaohjeita tai -tapoja ohjeiden antamiseksi rekisterinpitäjille ja henkilötietojen käsittelijöille;
                     
                  
                        g)
                     
                     
                        voi käyttää ulkopuolisten asiantuntijoiden, kuten tietotekniikan asiantuntijoiden, palveluja;
                     
                  
                        h)
                     
                     
                        voi saattaa EUH:n nimittävän viranomaisen tietoon kaikki kenen tahansa henkilöstön jäsenen laiminlyönnit asetuksen ja tämän päätöksen mukaisten velvoitteiden noudattamisessa ja ehdottaa hallinnollisen tutkimuksen käynnistämistä;
                     
                  
                        i)
                     
                     
                        voi antaa sisäisiä tietosuojaohjeita (tietosuojavastaavan ohjeet), jotka on otettava huomioon henkilötietojen käsittelyssä.
                     
                  
         
            7 artikla
            Resurssit
            
               1.   Tietosuojavastaavalla on oltava riittävä henkilöstö ja resurssit tämän päätöksen 5 artiklassa tarkoitettujen tehtävien suorittamiseksi.
            
            
               2.   EUH:n koko henkilöstö tukee tietosuojavastaavaa tämän suorittaessa tämän päätöksen 5 artiklassa lueteltuja tehtäviä, erityisesti rekisterinpitäjien ja henkilötietojen käsittelijöiden on annettava pyydetyt tiedot tietojenkäsittelytoimista ja pääsystä henkilötietoihin ja laadittava vastausluonnokset pyyntöihin, jotka tietosuojavastaava on saanut tiedonsaantioikeuttaan ja tietojen muuttamis- ja poistamisoikeuttaan käyttäviltä rekisteröidyiltä mutta jotka liittyvät rekisterinpitäjän vastuulla oleviin tietojenkäsittelytoimiin.
            
            
               3.   Tietosuojavastaavalla voi olla varahenkilö tai avustaja sekä tarvittaessa hallintohenkilöstöä ja sihteeripalveluja. Tietosuojavastaava voi myös käyttää muita EUH:n yksiköitä tai sopimussuhteessa olevia yksiköitä ja ulkopuolisia asiantuntijoita.
            
            
               4.   Kun tietosuojavastaavan varahenkilö tai avustaja on nimitetty, hän avustaa tietosuojavastaavaa tämän tehtävien hoitamisessa ja voi edustaa tietosuojavastaavaa tämän poissa ollessa. Tämän päätöksen 4, 5 ja 6 artiklaa sovelletaan myös tietosuojavastaavan varahenkilöön tai avustajaan.
            
            
               5.   Tietosuojavastaavalla on oltava asianmukaiset tilat, joissa voidaan taata tietojen, myös henkilötietojen, turvallisuus ja luottamuksellisuus ja joissa voidaan varmistaa tietojen ja asiakirjojen asianmukainen säilytys ja arkistointi.
            
            
               6.   Tietosuojavastaavalla on oltava käytössään sähköinen työkalu, joka voi i) hallinnoida asetuksen 31 artiklan mukaisia selosteita henkilötietojen käsittelytoimista ja ii) tallentaa tietoturvaselosteita, ilmoituksia tietoturvaloukkauksista, tietosuojan vaikutustenarviointeja, rekisteröityjen tietopyyntöjä ja tiedonsiirtoselosteita.
            
            
               7.   EUH tukee tietosuojavastaavaa asiantuntijatiedon ylläpitämisessä ja laajentamisessa muun muassa helpottamalla osallistumista toimielinten välisiin tai ulkoisiin koulutustilaisuuksiin, konferensseihin tai tapahtumiin, jotka liittyvät tietosuojaan, sekä Euroopan tietosuojavaltuutetun ja EU:n toimielinten, elinten ja laitosten tietosuojavastaavien verkoston järjestämiin kokouksiin ja koulutukseen.
            
         
         3 JAKSO
         
            TIETOSUOJAMENETTELYIHIN OSALLISTUVAT TOIMIJAT
         
         
            8 artikla
            Rekisterinpitäjät ja henkilötietojen käsittelijät
            
               1.   Valtuutetut rekisterinpitäjät sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden edustajat ovat rekisterinpitäjän puolesta vastuussa sen varmistamisesta, että kaikki niiden valvonnassa olevat käsittelytoimet ovat asetuksen ja erityisesti sen 26 artiklan sekä tämän päätöksen säännösten mukaisia. He voivat tarvittaessa antaa tietojenkäsittelytehtäviä alaisuudessaan työskenteleville EUH:n henkilöstön jäsenille tai sopimussuhteessa oleville yksiköille asetuksen 29 artiklan mukaisesti.
            
            
               2.   Rekisterinpitäjät
               
                           a)
                        
                        
                           ovat osoitusvelvollisia ja varmistavat ja osoittavat, että käsittely suoritetaan asetuksen ja tämän päätöksen mukaisesti;
                        
                     
                           b)
                        
                        
                           tallentavat kaikki käsittelytoimet ja merkittävät muutokset nykyisiin käsittelytoimiin;
                        
                     
                           c)
                        
                        
                           varmistavat, että rekisteröidyille ilmoitetaan heidän tietojensa käsittelystä asetuksen 15 ja 16 artiklan mukaisesti saattamalla tietoturvaselosteet heidän tietoonsa;
                        
                     
                           d)
                        
                        
                           tekevät yhteistyötä tietosuojavastaavan ja Euroopan tietosuojavaltuutetun kanssa erityisesti vastaamalla heidän pyyntöihinsä 14 kalenteripäivän kuluessa pyynnön esittämispäivästä;
                        
                     
                           e)
                        
                        
                           ilmoittavat tietosuojavastaavalle, että henkilötietojen käsittelyyn käytetään toimeksisaajaa rekisterinpitäjän puolesta;
                        
                     
                           f)
                        
                        
                           nimittävät tietosuojakoordinaattorin ja/tai -yhteyshenkilön, tukevat tätä hänen tehtäviensä hoitamisessa ja ilmoittavat tietosuojavastaavalle kaikista tietosuojakoordinaattorin ja/tai -yhteyshenkilön henkilöön tai tehtäviin liittyvistä muutoksista;
                        
                     
                           g)
                        
                        
                           kuulevat tietosuojavastaavaa siitä, ovatko käsittelytoimet asetuksen ja tämän päätöksen mukaisia. He voivat kuulla tietosuojavastaavaa tai muita asiantuntijoita asioissa, jotka liittyvät käsittelyn luottamuksellisuuteen, saatavuuteen ja eheyteen, sekä asetuksen 33 artiklan nojalla toteutetuista turvatoimenpiteistä.
                        
                     
            
               3.   Rekisterinpitäjät voivat käyttää muita EUH:n yksiköitä tai sopimussuhteessa olevia yksiköitä henkilötietojen käsittelijöinä asetuksen säännösten mukaisesti, kunhan ne dokumentoivat selosteissaan, mikä taho henkilötietoja käsittelee, mitä tehtäviä tälle on annettu ja mitä turvatoimenpiteitä on toteutettu.
            
            
               4.   Rekisterinpitäjä pitää huolen siitä, että tietosuojavastaavalle annetaan viivytyksettä tieto
               
                           a)
                        
                        
                           kaikista asioista, joilla on tai joilla voi olla vaikutuksia tietosuojaan;
                        
                     
                           b)
                        
                        
                           kaikista EUH:n hallinnon tiedonannoista ja päätöksistä, jotka liittyvät asetuksen soveltamiseen, erityisesti mahdolliseen yhteistoimintaan Euroopan tietosuojavaltuutetun kanssa.
                        
                     
         
         
            9 artikla
            Tietosuojakoordinaattori ja/tai –yhteyshenkilö
            
               1.   EUH:n organisaatioyksiköillä on niiden koon ja käsiteltävien henkilötietojen tyypin mukaan oltava tietosuojakoordinaattori ja/tai -yhteyshenkilö, joka toimii yhteyspisteenä tietosuoja-asioissa. Jokainen EUH:n päätoimipaikan hallinto-osasto tai osasto nimeää tietosuojakoordinaattorin ja jokainen EU:n edustusto nimeää tietosuojayhteyshenkilön. Kaikkien sellaisten yksikköjen, jotka käsittelevät säännöllisesti suurta määrää henkilötietoja, erityisiä tietoryhmiä tai arkaluonteisia henkilötietoja, joiden käsittelyyn liittyy suuri riski, on myös nimitettävä oma tietosuojakoordinaattori ja/tai -yhteyshenkilö. Tietosuojakoordinaattori ja/tai -yhteyshenkilö asetetaan tehtävään, jossa tällä on yleiskuva yksikön toiminnasta.
            
            
               2.   Tietosuojakoordinaattorilla ja/tai -yhteyshenkilöllä on oltava tarvittava pätevyys, ja hänen on hankittava tietoa tietosuojasta. Hänen on saatava tietosuojaa koskeva perehdyttämiskoulutus, ja hän voi osallistua tiedotustilaisuuksiin ja tietosuojakoordinaattorien ja -yhteyshenkilöiden verkoston kokouksiin.
            
            
               3.   Tietosuojakoordinaattorin ja/tai -yhteyshenkilön tehtävänä on
               
                           a)
                        
                        
                           auttaa rekisterinpitäjiä noudattamaan velvoitteitaan, tietosuojavastaavan vastuuta kuitenkaan rajoittamatta;
                        
                     
                           b)
                        
                        
                           helpottaa tietosuojavastaavan ja rekisterinpitäjien välistä viestintää.
                        
                     
                           c)
                        
                        
                           toimia yhteyspisteenä tietosuoja-asioissa omassa yksikössään ja tehdä yhteistyötä tietosuojavastaavan kanssa;
                        
                     
                           d)
                        
                        
                           tiedottaa kollegoilleen henkilötietojen käsittelyyn liittyvistä asioista ja tukea heitä;
                        
                     
                           e)
                        
                        
                           välittää henkilöstölle tietoa tiedotustapahtumista ja koulutustilaisuuksista;
                        
                     
                           f)
                        
                        
                           työskennellä tietosuojavastaavan kanssa luettelon laatimiseksi henkilötietojen nykyisistä ja uusista käsittelytoimista ja sen saattamiseksi ajan tasalle;
                        
                     
                           g)
                        
                        
                           ottaa yhteyttä tietosuojavastaavaan ja ilmoittaa tälle kaikista yksikössä käsitellyistä henkilötiedoista;
                        
                     
                           h)
                        
                        
                           avustaa asianomaisten valtuutettujen rekisterinpitäjien ja henkilötietojen käsittelijöiden yksilöimisessä;
                        
                     
                           i)
                        
                        
                           laatia selosteita erikoisalaltaan;
                        
                     
                           j)
                        
                        
                           tukea rekisterinpitäjiä selosteiden laatimisessa ja tarkistamisessa sekä tietoturvaselosteiden laatimisessa;
                        
                     
                           k)
                        
                        
                           osallistua vaatimustenmukaisuuden tarkastuksiin ja vaikutustenarviointeihin;
                        
                     
                           l)
                        
                        
                           varmistaa, että hänen yksikkönsä julkaisee asiaankuuluvat tietoturvaselosteet ja käyttää niitä asianmukaisesti;
                        
                     
                           m)
                        
                        
                           ilmoittaa tietosuojavastaavalle kaikista tietoturvaloukkauksista;
                        
                     
                           n)
                        
                        
                           laatia yhteistyössä tietosuojavastaavan kanssa vastaus rekisteröityjen pyyntöihin, jotka koskevat heidän oikeuksiensa käyttöä, ja käsitellä kanteluja ja kysymyksiä, jotka liittyvät tietojenkäsittelytoimiin hänen yksikössään.
                        
                     
            
               4.   Tietosuojakoordinaattorilla ja/tai -yhteyshenkilöllä on oikeus saada tarvittavat tiedot henkilötietojen käsittelytoimien yksilöimiseksi ja kuulla tietosuojavastaavaa yksikkönsä puolesta. Tähän ei kuulu oikeus tutustua rekisterinpitäjän vastuulla käsiteltäviin henkilötietoihin.
            
         
         
            10 artikla
            Nimittävä viranomainen
            Nimittävä viranomainen kuulee tietosuojavastaavaa kaikista henkilöstösääntöjen 90 artiklan nojalla esitetyistä pyynnöistä tai kanteluista, jotka liittyvät tämän asetuksen soveltamiseen.
         
         
            11 artikla
            EUH:n henkilöstö
            
               1.   EUH:n koko henkilöstön on sovellettava asetuksen 33, 34 ja 35 artiklassa vahvistettuja, henkilötietojen käsittelyn luottamuksellisuutta ja turvallisuutta koskevia sääntöjä. EUH:n henkilöstön jäsenet, joilla on oikeus tutustua henkilötietoihin, saavat käsitellä näitä tietoja ainoastaan rekisterinpitäjien ohjeiden mukaisesti.
            
            
               2.   Kaikkien EUH:n henkilöstön jäsenten on ilmoitettava esimiehelleen, kun heidän on käsiteltävä henkilötietoja, jotta rekisterinpitäjät voivat dokumentoida käsittelyn tietosuojarekistereihinsä ja laatia tarvittavat tietoturvaselosteet.
            
            
               3.   EUH:n henkilöstön jäsen voi esittää tietosuojavastaavalle pyynnön tai esittää huolenaiheen, mukaan lukien väitetty tietoturvaloukkaus, tai tehdä Euroopan tietosuojavaltuutetulle kantelun asetuksen tai tämän päätöksen väitetystä rikkomisesta ilman, että hänen on ilmoitettava asiasta esimiehilleen.
            
            
               4.   Jos henkilöstön jäsen katsoo, että kolmas maa, kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö ei tarjoa Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (3) 45 artiklan 3 kohdassa tai Euroopan parlamentin ja neuvoston direktiivin 2016/680/EU (4) 36 artiklan 3 kohdassa tarkoitettua tietosuojan riittävää tasoa, niiden on ilmoitettava asiasta tietosuojavastaavalle.
            
         
         4 JAKSO
         
            TOIMENPITEET JA MENETTELYT
         
         
            12 artikla
            Turvatoimenpiteet ja sisäänrakennettu ja oletusarvoinen tietosuoja
            
               1.   Tietoturvaloukkausten, tietovuotojen tai tietojen luvattoman luovuttamisen välttämiseksi suojatoimiin sekä teknisiin ja organisatorisiin toimenpiteisiin on sisällytettävä seuraavat:
               
                           a)
                        
                        
                           roolien, vastuiden ja menettelyvaiheiden asianmukainen määrittely;
                        
                     
                           b)
                        
                        
                           suojattu sähköinen ympäristö, joka estää lainvastaisen tai tahattoman pääsyn sähköisiin tietoihin tai niiden lainvastaisen tai tahattoman siirtämisen sivullisille ja jossa turvallisuustoimenpiteet on rakennettu eri tietoteknisiin sovelluksiin;
                        
                     
                           c)
                        
                        
                           paperisten asiakirjojen turvallinen käsittely ja säilytys;
                        
                     
                           d)
                        
                        
                           sähköinen ja fyysinen pääsy ainoastaan valtuutetuille henkilöstön jäsenille, ja pääsyoikeuksien myöntäminen kullekin henkilökohtaisesti.
                        
                     
            
               2.   Rekisterinpitäjien on ennen tietojenkäsittelytoimien suunnittelua pantava täytäntöön asetuksen 27 artiklassa tarkoitettu sisäänrakennettu ja oletusarvoinen tietosuoja. Sisäänrakennetun ja oletusarvoisen tietosuojan panemiseksi täytäntöön rekisterinpitäjä voi kuulla tietosuojavastaavaa ja muita asiaankuuluvia yksiköitä, kuten tietotekniikka-asioita ja tietoteknistä turvallisuutta käsitteleviä yksiköitä.
            
         
         
            13 artikla
            Tietoturvaloukkauksesta ilmoittaminen
            Kun rekisterinpitäjä tai henkilötietojen käsittelijä on saanut tiedon tapahtumasta, erityisesti tietoturvaloukkauksesta, joka johtaa siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai henkilötietoihin pääsyyn, jäljempänä ’henkilötietojen tietoturvaloukkaus’, rekisterinpitäjän tai henkilötietojen käsittelijän on välittömästi ilmoitettava asiasta tietosuojavaltuutetulle ja 72 tunnin kuluessa Euroopan tietosuojavastaavalle ja dokumentoitava tapahtuma asianmukaisesti.
         
         
            14 artikla
            Tietosuojavastaavan tekemät tutkimukset ja käsittelemät pyynnöt ja kantelut
            
               1.   Tietosuojavastaava voi käynnistää tutkimuksen asetuksen mukaisten velvoitteiden väitetystä rikkomisesta joko omasta aloitteestaan tai pyynnöstä. Pyynnöt on osoitettava tietosuojavastaavalle kirjallisesti.
            
            
               2.   Tietosuojavastaava voi pyytää vastaavalta rekisterinpitäjältä kirjallisen lausunnon kyseisestä tietojenkäsittelytapahtumasta. Rekisterinpitäjän on toimitettava vastaus tietosuojavastaavalle 14 kalenteripäivän kuluessa pyynnön vastaanottamisesta. Tietosuojavastaava saattaa pyytää lisätietoja, asiakirjoja ja tietovälineitä sekä pääsyä datakeskuksiin, toimitiloihin ja järjestelmiin muilta EUH:n yksiköiltä, erityisesti tietotekniikkaosastolta, turvallisuusosastolta ja hallinnollisista tutkimuksista ja kurinpitomenettelyistä vastaavalta pääosastolta. Tiedot tai lausunto on toimitettava tietosuojavastaavalle 14 päivän kuluessa.
            
            
               3.   Jos on kyse ilmeisen perusteettomista, kohtuuttomista tai vilpillisistä pyynnöistä, erityisesti jos sama rekisteröity esittää niitä toistuvasti, tietosuojavastaava voi kieltäytyä suorittamasta pyydettyä toimea asetuksen 14 artiklan nojalla. Pyynnön esittäjälle ilmoitetaan asiasta.
            
         
         5 JAKSO
         
            REKISTERÖIDYN OIKEUKSIEN KÄYTTÖÄ KOSKEVA MENETTELY
         
         
            15 artikla
            Yleiset säännökset
            
               1.   Rekisteröidyt voivat ottaa yhteyttä rekisterinpitäjään tai tietosuojavastaavaan asetuksen 14–24 artiklan mukaisten oikeuksiensa käyttämiseksi.
            
            
               2.   Rekisteröityjen oikeuksien käyttöä koskevat pyynnöt on tehtävä kirjallisesti. Tietosuojavastaava avustaa tarvittaessa rekisteröityä henkilöä asianomaisen rekisterinpitäjän yksilöimisessä. Tietosuojavastaava toimittaa vastaanottamansa pyynnöt edelleen asianomaiselle rekisterinpitäjälle, joka voi kuulla tietosuojavastaavaa.
            
            
               3.   Rekisterinpitäjä käsittelee pyynnön ja vastaa suoraan rekisteröidylle.
            
         
         
            16 artikla
            Rekisteröityjen oikeuksien käyttöä koskevien pyyntöjen käsittely
            
               1.   Rekisterinpitäjä toimii pyynnöstä vasta sen jälkeen, kun pyynnön esittäjän henkilöllisyys on tarkistettu, tai jos kyseessä on rekisteröidyn edustajan pyyntö, sen jälkeen kun rekisteröity on antanut siihen luvan.
            
            
               2.   Tietojenkäsittelytapahtumasta vastaavan rekisterinpitäjän on lähetettävä pyynnön esittäjälle vastaanottotodistus 14 kalenteripäivän kuluessa siitä, kun EUH on vastaanottanut pyynnön. Jos asiasta ei muuta säädetä, rekisterinpitäjän on vastattava pyyntöön kuukauden kuluessa pyynnön rekisteröinnistä. Rekisterinpitäjä joko vastaa pyyntöön myönteisesti tai ilmoittaa kirjallisesti syyt pyynnön epäämiseen kokonaan tai osittain. Vastausaikaa voidaan jatkaa enintään kahdella kuukaudella ottaen huomioon esitettyjen pyyntöjen monimutkaisuus ja määrä asetuksen 14 artiklan 3 kohdan mukaisesti.
            
            
               3.   Rekisteröidyn pyyntö voidaan evätä, jos
               
                           a)
                        
                        
                           pyyntö ei ole perusteltu;
                        
                     
                           b)
                        
                        
                           sovelletaan asetuksessa säädettyä poikkeusta;
                        
                     
                           c)
                        
                        
                           sovelletaan asetuksen 25 artiklassa tarkoitettujen sisäisten sääntöjen (5) mukaista rajoitusta.
                        
                     
            
               4.   Jos on kyse ilmeisen perusteettomista, kohtuuttomista tai vilpillisistä pyynnöistä, erityisesti jos sama rekisteröity esittää niitä toistuvasti, rekisterinpitäjä voi tietosuojavastaavaa kuultuaan kieltäytyä suorittamasta pyydettyä toimea asetuksen 14 artiklan nojalla. Pyynnön esittäjälle ilmoitetaan asiasta.
            
         
         
            17 artikla
            Poikkeukset ja rajoitukset
            Asetuksen 25 artiklassa tarkoitettujen sisäisten sääntöjen mukaisia rajoituksia ja asetuksen 15–19 ja 21–24 artiklassa vahvistettuja poikkeuksia sovelletaan vasta, kun tietosuojavastaavaa on kuultu.
         
         6 JAKSO
         
            LOPPUSÄÄNNÖKSET
         
         
            18 artikla
            Tästä päätöksestä tiedottaminen
            
               1.   Asetuksen 41 artiklan mukaisesti tästä päätöksestä on ilmoitettava Euroopan tietosuojavaltuutetulle.
            
            
               2.   Tämä päätös on saatettava EUH:n henkilöstön tietoon asianmukaisin tavoin, erityisesti julkaisemalla se EUH:n sisäisillä verkkosivuilla.
            
         
         
            19 artikla
            Kumoaminen
            Kumotaan tietosuojaa koskevista säännöistä 8 päivänä joulukuuta 2011 annettu unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös PROC HR (2011) 016.
         
         
            20 artikla
            Voimaantulo
            Tämä päätös tulee voimaan sen antamista seuraavana päivänä.
         
         
            Tehty Brysselissä 1 päivänä lokakuuta 2019.
            
               Federica MOGHERINI
               
                  Unionin ulkoasioiden ja turvallisuuspolitiikan korkea edustaja
               
            
         
         
            (1)  EUVL L 201, 3.8.2010, s. 30.
         
            (2)  EUVL L 295, 21.11.2018, s. 39.
         
            (3)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
         
            (4)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).
         
            (5)  Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös sisäisistä säännöistä, jotka koskevat rekisteröityjen tiettyihin tietoihin liittyviä rajoituksia Euroopan ulkosuhdehallinnon toimintaan liittyvässä henkilötietojen käsittelyssä (ADMIN (2019) 10)