CELEX: 32019D1031(02)
Language: lt
Date: 1569888000000
Title: Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas 2019 m. spalio 1 d. dėl įgyvendinimo taisyklių, susijusių su Europos išorės veiksmų tarnybos asmens duomenų apsauga ir Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 taikymu2019/C 370/05

31.10.2019   
               
               
                  LT
               
               
                  Europos Sąjungos oficialusis leidinys
               
               
                  C 370/9
               
            
         Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas
         2019 m. spalio 1 d.
         dėl įgyvendinimo taisyklių, susijusių su Europos išorės veiksmų tarnybos asmens duomenų apsauga ir Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 taikymu
         (2019/C 370/05)
         SĄJUNGOS VYRIAUSIASIS ĮGALIOTINIS UŽSIENIO REIKALAMS IR SAUGUMO POLITIKAI,
         atsižvelgdamas į 2010 m. liepos 26 d. Tarybos sprendimą2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas (1) (toliau – Tarybos sprendimas dėl EIVT), ypač į jo 11 straipsnio 3 dalį,
         atsižvelgdamas į 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentą (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (2) (toliau – reglamentas), ypač į jo 43, 44 ir 45 straipsnius,
         kadangi:
         
                     (1)
                  
                  
                     dėl reglamente nustatytos didesnės duomenų valdytojų atskaitomybės reikia priimti naują įgyvendinimo sprendimą, kuriuo būtų pakeistas 2011 m. gruodžio 8 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas PROC HR(2011) 016 dėl duomenų apsaugos Europos išorės veiksmų tarnyboje taisyklių;
                  
               
                     (2)
                  
                  
                     duomenų apsaugos pareigūno vaidmuo ir duomenų valdytojo atsakomybė Europos išorės veiksmų tarnyboje turi būti aiškiai nustatyti ir pritaikyti prie reglamento reikalavimų,
                  
               NUSPRENDĖ:
         1 SKIRSNIS
         
            BENDROSIOS NUOSTATOS
         
         
            1 straipsnis
            Dalykas ir taikymo sritis
            
               1.   Pagal reglamento 45 straipsnio 3 dalį šiuo sprendimu nustatomos duomenų apsaugos pareigūno (toliau – DAP) uždaviniai, pareigos ir įgaliojimai Europos išorės veiksmų tarnyboje.
            
            
               2.   Be to, šiame sprendime tiksliau nustatomos vidaus procedūros ir duomenų valdytojų bei duomenų tvarkytojų pareigos, taip pat duomenų apsaugos koordinatorių ir korespondentų vaidmuo, uždaviniai ir pareigos, visų pirma pagal reglamento 26 ir 29 straipsnius.
            
         
         
            2 straipsnis
            Apibrėžtys
            Nepažeidžiant reglamente nustatytų apibrėžčių, šiame sprendime:
            
                        a)
                     
                     
                        duomenų valdytojas – EIVT arba jos organizaciniai vienetai, įskaitant ES delegacijas, kurie vieni ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones;
                     
                  
                        b)
                     
                     
                        duomenų valdytojo atstovas – EIVT vadovybės nariai arba organizacinių vienetų vadovai, kurie prižiūri a punkte nurodytus duomenų valdytojo subjektus ir yra atsakingi ir atskaitingi už asmens duomenų tvarkymą;
                     
                  
                        c)
                     
                     
                        paskirtasis duomenų valdytojas – duomenų valdytojo organizacinio vieneto tarnyba arba darbuotojai, kuriems patikėta valdyti asmens duomenų tvarkymo veiklą;
                     
                  
                        d)
                     
                     
                        bendri duomenų valdytojai – du arba daugiau organizacinių vienetų, kurie kartu nustato asmens duomenų tvarkymo tikslus ir priemones, taip pat duomenų valdytojų vaidmenis ir atsakomybę, įskaitant jų pareigas, susijusias su duomenų subjekto teisių įgyvendinimu, visų pirma tais atvejais, kai EIVT kontroliuoja duomenų tvarkymą kartu su kitomis ES institucijomis, įstaigomis, agentūromis, biurais ar bet kuriais kitais subjektais;
                     
                  
                        e)
                     
                     
                        duomenų apsaugos pareigūnas (DAP) – EIVT darbuotojas, kurį pagal reglamento 43 straipsnį EIVT paskyrė padėti duomenų valdytojams, juos informuoti ir konsultuoti;
                     
                  
                        f)
                     
                     
                        duomenų apsaugos koordinatorius ir korespondentas (toliau – DAK) – atitinkami EIVT darbuotojai, dirbantys būstinėje ir ES delegacijose, paskirti padėti savo duomenų valdytojams duomenų apsaugos klausimais;
                     
                  
                        g)
                     
                     
                        duomenų tvarkytojas – EIVT viduje ar už jos ribų veikiantis subjektas, kuris duomenų valdytojo vardu tvarko asmens duomenis;
                     
                  
                        h)
                     
                     
                        pranešimai apie duomenų apsaugą – pranešimai, pvz., pareiškimai apie privatumo apsaugą, kuriais duomenų valdytojas teikia informaciją duomenų subjektams pagal reglamento 15 ir 16 straipsnius;
                     
                  
                        i)
                     
                     
                        EIVT darbuotojai – pagal Tarybos sprendimo dėl EIVT 6 straipsnį EIVT dirbantys ES pareigūnai ir kiti tarnautojai, įskaitant ES valstybių narių diplomatinių tarnybų darbuotojus, deleguotuosius nacionalinius ekspertus ir stažuotojus.
                     
                  
         2 SKIRSNIS
         
            DUOMENŲ APSAUGOS PAREIGŪNAS
         
         
            3 straipsnis
            Duomenų apsaugos pareigūno skyrimo tvarka
            
               1.   EIVT Generalinis sekretorius pagal reglamento 43 straipsnį paskiria DAP iš EIVT darbuotojų ir užregistruoja jį Europos duomenų apsaugos priežiūros pareigūno institucijoje (toliau – EDAPP).
            
            
               2.   Be reglamento 43 straipsnio 3 dalies reikalavimų, DAP turi pakankamai žinių apie EIVT paslaugas, jų struktūrą, informacines sistemas, administracines taisykles ir procedūras. DAP turi žinių apie duomenų apsaugą, gerą nuovoką ir gebėjimą laikytis nešališkos ir objektyvios pozicijos pagal Tarnybos nuostatus.
            
            
               3.   DAP skiriamas penkerių metų laikotarpiui ir gali būti paskirtas dar kartą.
            
            
               4.   DAP gali būti atleistas iš pareigų tik gavus EDAPP sutikimą, jeigu jis nebeatitinka jo pareigoms nustatytų sąlygų.
            
            
               5.   Administraciniu požiūriu DAP yra pavaldus Generaliniam sekretoriui.
            
            
               6.   DAP kontaktiniai duomenys skelbiami EIVT intranete ir EIVT išorės svetainėje bei perduodami EDAPP.
            
         
         
            4 straipsnis
            Duomenų apsaugos pareigūno statusas
            
               1.   DAP veikia nepriklausomai ir bendradarbiaudamas su EDAPP. EIVT neteikia duomenų apsaugos pareigūnui jokių nurodymų, susijusių su jo užduočių vykdymu.
            
            
               2.   DAP negali būti atleistas iš pareigų ar baudžiamas dėl jam nustatytų užduočių atlikimo.
            
            
               3.   DAP informuojamas apie visus ryšius su išorės šalimis dėl reglamento ir šio sprendimo taikymo, ypač dėl sąveikos su EDAPP ir DAP tinklo nariais ES institucijose, įstaigose, tarnybose ir agentūrose.
            
            
               4.   Duomenų subjektai gali kreiptis į duomenų apsaugos pareigūną visais klausimais, susijusiais jų asmens duomenų tvarkymu ir naudojimusi savo teisėmis pagal reglamentą.
            
            
               5.   Bet kuriuo reglamento aiškinimo ar taikymo klausimu su DAP gali konsultuotis duomenų valdytojas arba jo atstovas, darbuotojų komitetas ir bet kuris asmuo, nesikreipdamas į oficialius kanalus. Asmuo negali nukentėti dėl to, kad atkreipė DAP dėmesį į klausimą.
            
         
         
            5 straipsnis
            Duomenų apsaugos pareigūno užduotys
            DAP
            
                        a)
                     
                     
                        konsultuoja visais klausimais, susijusiais su asmens duomenų apsauga;
                     
                  
                        b)
                     
                     
                        teikia rekomendacijas ir aktyviai pataria EIVT subjektams ir jų rangovams, kurie vykdo asmens duomenų tvarkymo veiklą, kaip įgyvendinti reglamentą ir šį sprendimą, įskaitant konsultacijas dėl pranešimų apie duomenų saugumo pažeidimus, poveikio vertinimus ir būtinybę iš anksto konsultuotis su EDAPP;
                     
                  
                        c)
                     
                     
                        palaiko reguliarius ryšius su duomenų valdytojais, kad būtų stebima, kaip laikomasi duomenų apsaugos reikalavimų, ir padeda jiems atlikti savo užduotis, visų pirma talkina rengiant ir skelbiant pranešimus apie duomenų apsaugą ir atsakant į duomenų subjektų prašymus;
                     
                  
                        d)
                     
                     
                        palaiko nuolatinius ryšius su EIVT būstinės DAK ir ES delegacijomis, taip pat valdo Europos išorės veiksmų tarnyboje veikiantį DAK tinklą;
                     
                  
                        e)
                     
                     
                        didina bendrą informuotumą apie duomenų apsaugą, organizuoja mokymus ir rengia informacinius susitikimus;
                     
                  
                        f)
                     
                     
                        bendradarbiauja su kitų ES institucijų, įstaigų, tarnybų ir agentūrų duomenų apsaugos pareigūnais, visų pirma keisdamasis patirtimi ir gerosios patirties pavyzdžiais;
                     
                  
                        g)
                     
                     
                        tvarko EIVT vykdomos duomenų tvarkymo veiklos centrinį registrą, remdamasis duomenų valdytojų pagal reglamento 31 straipsnį parengtais dokumentais ir sudarydamas sąlygas viešai susipažinti su registru;
                     
                  
                        h)
                     
                     
                        padeda užtikrinti atstovavimą vyriausiajam įgaliotiniui arba EIVT tarptautiniu lygmeniu visais su duomenų apsauga susijusiais klausimais.
                     
                  
         
            6 straipsnis
            Įgaliojimai
            Vykdydamas savo užduotis, DAP:
            
                        a)
                     
                     
                        visada turi prieigą prie EIVT subjektų ir jų rangovų tvarkomų duomenų, taip pat galimybę patekti į visus biurus, duomenų tvarkymo centrus ir duomenų laikmenas;
                     
                  
                        b)
                     
                     
                        prieš priimant bet kokį sprendimą dėl klausimų, susijusių su duomenų apsaugos nuostatų taikymu, paskyrimų tarnybai pateikia savo nuomonę;
                     
                  
                        c)
                     
                     
                        gali pasiūlyti administracines priemones ir pateikti bendras rekomendacijas dėl tinkamo reglamento ir šio sprendimo taikymo;
                     
                  
                        d)
                     
                     
                        gali EIVT vadovybei, darbuotojams ir visoms susijusioms išorės šalims teikti rekomendacijas dėl praktinio duomenų apsaugos gerinimo;
                     
                  
                        e)
                     
                     
                        gali tirti duomenų apsaugos klausimus ir, be pradėti tyrimą paprašiusio arba skundą pateikusio asmens, gali pranešti tyrimo rezultatus duomenų valdytojui ir bet kuriam atitinkamam EIVT vadovui;
                     
                  
                        f)
                     
                     
                        gali parengti šablonus ir vidaus procedūras, nurodymus ar politiką, pagal kuriuos būtų teikiamos gairės duomenų valdytojams ir duomenų tvarkytojams;
                     
                  
                        g)
                     
                     
                        gali naudotis išorės ekspertų, įskaitant IT specialistus, paslaugomis;
                     
                  
                        h)
                     
                     
                        gali pranešti EIVT paskyrimų tarnybai, kad darbuotojas nevykdo reglamente ir šiame sprendime nustatytų pareigų ir siūlyti pradėti administracinį tyrimą;
                     
                  
                        i)
                     
                     
                        gali priimti duomenų apsaugos vidaus gaires (DAP gairės), į kurias turi būti atsižvelgiama tvarkant asmens duomenis.
                     
                  
         
            7 straipsnis
            Ištekliai
            
               1.   DAP skiriama pakankamai personalo ir išteklių šio sprendimo 5 straipsnyje nurodytoms užduotims atlikti.
            
            
               2.   Visi EIVT darbuotojai padeda DAP atlikti šio sprendimo 5 straipsnyje nurodytas užduotis, visų pirma duomenų valdytojai ir duomenų tvarkytojai teikia prašomą informaciją apie duomenų tvarkymo veiklą, sudaro sąlygas susipažinti su asmens duomenimis ir rengia atsakymų į DAP gautus, bet su duomenų tvarkymo veikla, už kurią atsako duomenų valdytojas, susijusius duomenų subjektų, įgyvendinančių savo teisę susipažinti su asmens duomenimis, juos keisti ir ištrinti, prašymus projektus.
            
            
               3.   Prireikus DAP gali turėti pavaduotoją ar padėjėją, taip pat gauti administracijos darbuotojų ir sekretoriato pagalbą. DAP taip pat gali naudoti kitus EIVT priklausančius arba pagal sutartis dirbančius subjektus ir samdomus išorės ekspertus.
            
            
               4.   Paskirtas DAP pavaduotojas arba padėjėjas padeda DAP atlikti savo užduotis ir gali atstovauti DAP jam nesant. Šio sprendimo 4, 5 ir 6 straipsniai taip pat taikomi DAP pavaduotojui ar padėjėjui.
            
            
               5.   DAP turi turėti tinkamas patalpas, kuriose būtų galima užtikrinti informacijos, įskaitant asmens duomenis, saugumą ir konfidencialumą, ir prireikus saugoti bei archyvuoti duomenis ir dokumentus.
            
            
               6.   DAP gali naudotis elektronine priemone, kuri gali i) tvarkyti asmens duomenų tvarkymo veiklos įrašus pagal reglamento 31 straipsnį ir ii) saugoti pranešimus apie duomenų apsaugą, pranešimus apie duomenų saugumo pažeidimus, poveikio duomenų apsaugai vertinimus, duomenų subjektų prašymus ir duomenų perdavimo įrašus.
            
            
               7.   EIVT padeda DAP išlaikyti ir plėsti savo ekspertų žinias, be kita ko, palengvinant dalyvavimą tarpinstituciniuose arba išoriniuose mokymo kursuose, konferencijose ar renginiuose, susijusiuose su duomenų apsauga, ir EDAPP bei ES institucijų, įstaigų, tarnybų ir agentūrų DAP tinklo rengiamuose susitikimuose bei mokymuose.
            
         
         3 SKIRSNIS
         
            SU DUOMENŲ APSAUGA SUSIJUSIOSE PROCEDŪROSE DALYVAUJANTYS SUBJEKTAI
         
         
            8 straipsnis
            Duomenų valdytojai ir duomenų tvarkytojai
            
               1.   Paskirti duomenų valdytojai, duomenų valdytojų ir duomenų tvarkytojų atstovai duomenų valdytojo vardu užtikrina, kad visa jų kontroliuojama duomenų tvarkymo veikla atitiktų reglamentą, visų pirma jo 26 straipsnį, ir šio sprendimo nuostatas. Prireikus jie gali pavesti duomenų tvarkymo užduotis EIVT darbuotojams, už kuriuos jie yra atsakingi, arba pagal sutartis dirbantiems subjektams pagal reglamento 29 straipsnį.
            
            
               2.   Visų pirma duomenų valdytojai:
               
                           a)
                        
                        
                           yra atskaitingi, užtikrina ir įrodo, kad duomenys tvarkomi vadovaujantis reglamento ir šio sprendimo nuostatomis;
                        
                     
                           b)
                        
                        
                           registruoja visą duomenų tvarkymo veiklą ir esminius vykdomos duomenų tvarkymo veiklos pokyčius;
                        
                     
                           c)
                        
                        
                           užtikrina, kad duomenų subjektai būtų informuoti apie jų duomenų tvarkymą pagal reglamento 15 ir 16 straipsnius, pateikdami turimus pranešimus apie duomenų apsaugą;
                        
                     
                           d)
                        
                        
                           bendradarbiauja su DAP ir EDAPP, visų pirma teikia informaciją atsakydami į jų prašymus per 14 kalendorinių dienų nuo prašymo gavimo dienos;
                        
                     
                           e)
                        
                        
                           informuoja DAP, kai asmens duomenims tvarkyti duomenų valdytojo vardu pasitelkiamas rangovas;
                        
                     
                           f)
                        
                        
                           skiria DAK, padeda jiems atlikti savo pareigas ir informuoja DAP apie bet kokius DAK pareigas einančio asmens ar funkcijos pasikeitimus;
                        
                     
                           g)
                        
                        
                           konsultuojasi su DAP dėl to, ar duomenų tvarkymo veikla atitinka reglamentą ir šį sprendimą. Jie gali konsultuotis su DAP ar kitais ekspertais klausimais, susijusiais su duomenų tvarkymo veiklos konfidencialumu, prieinamumu ir vientisumu, taip pat su saugumo priemonėmis, kurių imamasi pagal reglamento 33 straipsnį.
                        
                     
            
               3.   Duomenų valdytojai gali pagal reglamento nuostatas pasitelkti kitus EIVT subjektus arba pagal sutartis dirbančius subjektus kaip duomenų tvarkytojus, jeigu jie savo dokumentuose nurodo, kas yra duomenų tvarkytojas, jiems patikėtas užduotis ir taikomas saugumo priemones.
            
            
               4.   Duomenų valdytojas užtikrina, kad DAP būtų nedelsiant informuojamas:
               
                           a)
                        
                        
                           apie visus klausimus, kurie turi arba gali turėti poveikį duomenų apsaugai;
                        
                     
                           b)
                        
                        
                           apie visus EIVT vadovybės pranešimus ir sprendimus, susijusius su reglamento taikymu, ypač apie sąveiką su EDAPP.
                        
                     
         
         
            9 straipsnis
            Duomenų apsaugos koordinatorius ir korespondentas
            
               1.   Priklausomai nuo tvarkomų asmens duomenų apimties ir rūšies, EIVT organizaciniai vienetai turi turėti DAK, kuris veiktų kaip duomenų apsaugos ryšių centras. Kiekvienas EIVT būstinėje veikiantis valdantysis direktoratas arba direktoratas ir kiekviena ES delegacija paskiria duomenų apsaugos koordinatorių arba duomenų apsaugos korespondentą. Visi skyriai, reguliariai tvarkantys didelį kiekį asmens duomenų, specialių kategorijų duomenis arba neskelbtinus asmens duomenis, kurių tvarkymas kelia didelę riziką, taip pat skiria savo DAK. DAK funkcija priskiriama pareigoms, kurioms numatyta subjekto veiklos apžvalga.
            
            
               2.   DAK turi turėti būtinus įgūdžius ir žinias apie duomenų apsaugą. Jie turi dalyvauti duomenų apsaugos įvadiniuose mokymuose ir gali dalyvauti informaciniuose susitikimuose bei DAK tinklo posėdžiuose.
            
            
               3.   DAK:
               
                           a)
                        
                        
                           padeda duomenų valdytojams vykdyti savo pareigas, nedarydamas poveikio DAP pareigoms;
                        
                     
                           b)
                        
                        
                           palengvina DAP ir duomenų valdytojų bendravimą;
                        
                     
                           c)
                        
                        
                           atlieka savo tarnybos ryšių centro, sprendžiančio duomenų apsaugos klausimus, funkcijas ir palaiko ryšius su DAP;
                        
                     
                           d)
                        
                        
                           informuoja savo kolegas ir jiems talkina su asmens duomenų tvarkymu susijusiais klausimais;
                        
                     
                           e)
                        
                        
                           perduoda darbuotojams informaciją apie informuotumo didinimo renginius ir mokymus;
                        
                     
                           f)
                        
                        
                           bendradarbiauja su DAP, kad parengtų ir atnaujintų esamos ir naujos asmens duomenų tvarkymo veiklos aprašą;
                        
                     
                           g)
                        
                        
                           susisiekia su DAP ir jam praneša apie visus tarnybos viduje tvarkomus asmens duomenis;
                        
                     
                           h)
                        
                        
                           padeda nustatyti atitinkamus paskirtus duomenų valdytojus ir duomenų tvarkytojus;
                        
                     
                           i)
                        
                        
                           rengia jo kompetencijai priskiriamus įrašus;
                        
                     
                           j)
                        
                        
                           padeda duomenų valdytojams nustatyti ir peržiūrėti įrašus ir rengti pranešimus apie duomenų apsaugą;
                        
                     
                           k)
                        
                        
                           prisideda prie atitikties tikrinimo ir poveikio vertinimų;
                        
                     
                           l)
                        
                        
                           užtikrina, kad atitinkami pranešimai apie duomenų apsaugą būtų skelbiami ir tinkamai naudojami jų tarnyboje;
                        
                     
                           m)
                        
                        
                           praneša DAP apie visus duomenų saugumo pažeidimus;
                        
                     
                           n)
                        
                        
                           bendradarbiaudamas su DAP, rengia atsakymą į savo teises įgyvendinančių duomenų subjektų prašymus, nagrinėja skundus ir klausimus, susijusius su jo tarnybos vykdoma duomenų tvarkymo veikla.
                        
                     
            
               4.   DAK turi teisę gauti būtiną informaciją, reikalingą asmens duomenų tvarkymo veiklai identifikuoti ir konsultuotis su DAP savo tarnybos vardu. Tai neapima teisės susipažinti su asmens duomenimis, už kurių tvarkymą atsako duomenų valdytojas.
            
         
         
            10 straipsnis
            Paskyrimų tarnyba
            Paskyrimų tarnyba konsultuojasi su DAP dėl visų su reglamento taikymu susijusių prašymų ar skundų, pateiktų pagal Tarnybos nuostatų 90 straipsnį.
         
         
            11 straipsnis
            EIVT darbuotojai
            
               1.   Visi EIVT darbuotojai taiko asmens duomenų tvarkymo konfidencialumo ir saugumo taisykles, kaip nustatyta reglamento 33, 34 ir 35 straipsniuose. Joks EIVT personalo narys, turintis prieigą prie asmens duomenų, negali tvarkyti duomenų, kurių duomenų valdytojai nenurodė tvarkyti.
            
            
               2.   Visi EIVT darbuotojai savo tiesioginiam vadovui nurodo, kada turi tvarkyti asmens duomenis, kad duomenų valdytojai galėtų dokumentuoti duomenų tvarkymą savo duomenų apsaugos įrašuose ir parengti būtinus pranešimus apie duomenų apsaugą.
            
            
               3.   Bet kuris EIVT darbuotojas gali duomenų apsaugos pareigūnui pateikti prašymą arba iškelti klausimą, įskaitant dėl įtariamo duomenų saugumo pažeidimo, arba gali pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui dėl tariamo reglamento ar šio sprendimo pažeidimo, apie tai neinformuodamas aukštesnes pareigas užimančių asmenų.
            
            
               4.   Jei kuris nors darbuotojas mano, kad trečioji šalis, teritorija, vienas ar daugiau konkrečių sektorių trečiojoje šalyje arba tarptautinė organizacija neužtikrina tinkamo apsaugos lygio, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2016/679 (3) 45 straipsnio 3 dalyje arba Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 (4) 36 straipsnio 3 dalyje, jis apie tai praneša DAP.
            
         
         4 SKIRSNIS
         
            PRIEMONĖS IR PROCEDŪROS
         
         
            12 straipsnis
            Saugumo priemonės bei pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga
            
               1.   Apsaugos, techninės ir organizacinės priemonės, skirtos išvengti duomenų saugumo pažeidimų, nutekėjimo ar neteisėto atskleidimo, apima:
               
                           a)
                        
                        
                           tinkamą vaidmenų, pareigų ir procedūrinių veiksmų apibrėžimą;
                        
                     
                           b)
                        
                        
                           saugią elektroninę aplinką, kuria užkertamas kelias neteisėtam arba atsitiktiniam elektroninių duomenų prieinamumui ar perdavimui leidimo neturintiems asmenims, taikant saugos priemones, integruotas į įvairias naudojamas IT taikomąsias programas;
                        
                     
                           c)
                        
                        
                           saugų popierinių dokumentų tvarkymą ir saugojimą;
                        
                     
                           d)
                        
                        
                           elektroninę ir fizinę prieigą, individualiai suteikiamą tik leidimą turintiems darbuotojams.
                        
                     
            
               2.   Prieš planuodami duomenų tvarkymo veiklą, duomenų valdytojai įgyvendina reglamento 27 straipsnyje nurodytą pritaikytąją duomenų apsaugą ir standartizuotąją duomenų apsaugą. Siekdamas užtikrinti pritaikytąją duomenų apsaugą ir standartizuotąją duomenų apsaugą, duomenų valdytojas gali konsultuotis su DAP ir kitomis susijusiomis tarnybomis, įskaitant IT ir IT saugumo tarnybas.
            
         
         
            13 straipsnis
            Pranešimai apie duomenų saugumo pažeidimą
            Sužinojęs apie bet kokį incidentą, ypač saugumo pažeidimą, dėl kurio atsitiktinai arba neteisėtai sunaikinami, prarandami, pakeičiami, neteisėtai atskleidžiami perduoti, saugomi arba kitaip tvarkomi asmens duomenys arba su jais susipažįstama (toliau – asmens duomenų saugumo pažeidimas), duomenų valdytojas arba tvarkytojas nedelsdamas praneša duomenų apsaugos pareigūnui, o per 72 valandas – Europos duomenų apsaugos priežiūros pareigūnui ir tinkamai dokumentuoja incidentą.
         
         
            14 straipsnis
            DAP atliekami tyrimai ir nagrinėjami prašymai bei skundai
            
               1.   DAP gali pradėti tyrimą dėl tariamo įpareigojimų pagal reglamentą nevykdymo savo iniciatyva arba pateikus prašymą. Prašymai duomenų apsaugos pareigūnui pateikiami raštu.
            
            
               2.   DAP gali prašyti, kad duomenų valdytojas, atsakingas už atitinkamą duomenų tvarkymo veiklą, pateiktų rašytinį pareiškimą šiuo klausimu. Duomenų valdytojas atsako DAP per 14 kalendorinių dienų nuo šio prašymo gavimo dienos. DAP gali prašyti suteikti galimybę susipažinti su papildoma informacija, dokumentais, naudotis duomenų laikmenomis, patekti į duomenų centrus, patalpas ir sistemas, kurios priklauso kitoms EIVT tarnyboms, visų pirma IT skyriui, saugumo direktoratui ir generaliniam direktoratui, kuris vykdo administracinius tyrimus ir drausmines procedūras. Informacija arba nuomonė duomenų apsaugos pareigūnui pateikiama per 14 kalendorinių dienų.
            
            
               3.   Jei pateikiamas akivaizdžiai nepagrįstas, užgaulus ir pernelyg didelis prašymas, ypač tais atvejais, kai gaunami to paties duomenų subjekto prašymai yra pasikartojančio pobūdžio, DAP gali atsisakyti nagrinėti prašymą pagal reglamento 14 straipsnį. Prašantysis apie tai atitinkamai informuojamas.
            
         
         5 SKIRSNIS
         
            DUOMENŲ SUBJEKTŲ TEISIŲ ĮGYVENDINIMO TVARKA
         
         
            15 straipsnis
            Bendrosios nuostatos
            
               1.   Duomenų subjektai gali kreiptis į duomenų valdytoją arba DAP, kad galėtų įgyvendinti savo teises pagal reglamento 14–24 straipsnius.
            
            
               2.   Prašymai įgyvendinti duomenų subjektų teises pateikiami raštu. Prireikus DAP padeda duomenų subjektui nustatyti atitinkamą duomenų valdytoją. DAP persiunčia gautus prašymus atitinkamam duomenų valdytojui, kuris gali konsultuotis su DAP.
            
            
               3.   Duomenų valdytojai nagrinėja prašymus ir atsako tiesiogiai duomenų subjektui.
            
         
         
            16 straipsnis
            Prašymų įgyvendinti duomenų subjekto teises nagrinėjimas
            
               1.   Duomenų valdytojai prašymą nagrinėja tik patikrinus prašymą pateikusio asmens tapatybę arba, jeigu prašymą pateikė duomenų subjekto atstovas, pateikus duomenų subjekto duotą leidimą.
            
            
               2.   Už duomenų tvarkymo veiklą atsakingas duomenų valdytojas išsiunčia prašymą pateikusiam asmeniui gavimo patvirtinimą per 14 kalendorinių dienų nuo dienos, kai EIVT gauna prašymą. Jei nenumatyta kitaip, duomenų valdytojas atsako į prašymą per vieną mėnesį nuo prašymo užregistravimo dienos. Duomenų valdytojas arba pateikia teigiamą atsakymą į prašymą, arba raštu nurodo visiško arba dalinio atsisakymo priežastis. Remiantis reglamento 14 straipsnio 3 dalimi, atsakymo pateikimo terminas gali būti pratęstas dar iki 2 mėnesių, atsižvelgiant į klausimo sudėtingumą ir pateiktų prašymų skaičių.
            
            
               3.   Duomenų subjekto prašymas gali būti atmestas, jei
               
                           a)
                        
                        
                           prašymas nepagrįstas;
                        
                     
                           b)
                        
                        
                           taikoma reglamente nustatyta išimtis;
                        
                     
                           c)
                        
                        
                           vadovaujantis vidaus taisyklėmis, (5) priimtomis remiantis reglamento 25 straipsniu, taikomas apribojimas.
                        
                     
            
               4.   Jei pateikiamas akivaizdžiai nepagrįstas, užgaulus ir pernelyg didelis prašymas, ypač tais atvejais, kai to paties duomenų subjekto prašymai yra pasikartojančio pobūdžio, duomenų valdytojas, pasitaręs su DAP, gali atsisakyti nagrinėti prašymą pagal reglamento 14 straipsnį. Prašantysis apie tai atitinkamai informuojamas.
            
         
         
            17 straipsnis
            Išimtys ir apribojimai
            Apribojimai pagal vidaus taisykles, priimtas remiantis reglamento 25 straipsniu, ir išimtys, nustatytos reglamento 15–19 ir 21–24 straipsniuose, taikomi tik pasikonsultavus su DAP.
         
         6 SKIRSNIS
         
            BAIGIAMOSIOS NUOSTATOS
         
         
            18 straipsnis
            Pranešimas apie šį sprendimą
            
               1.   Pagal reglamento 41 straipsnį EDAPP informuojamas apie šį sprendimą.
            
            
               2.   Šis sprendimas atitinkamomis priemonėmis pateikiamas EIVT darbuotojams, visų pirma jį skelbiant EIVT vidaus interneto svetainėje.
            
         
         
            19 straipsnis
            Panaikinimas
            Šiuo sprendimu panaikinamas 2011 m. gruodžio 8 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas PROC HR(2011) 016 dėl duomenų apsaugos taisyklių.
         
         
            20 straipsnis
            Įsigaliojimas
            Šis sprendimas įsigalioja kitą dieną po jo priėmimo.
         
         
            Priimta Briuselyje 2019 m. spalio 1 d.
            
               Federica MOGHERINI
               
                  Vyriausioji įgaliotinė
               
            
         
         
            (1)  OL L 201, 2010 8 3, p. 30.
         
            (2)  OL L 295, 2018 11 21, p. 39.
         
            (3)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1).
         
            (4)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, kuria panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016 5 4, p. 89).
         
            (5)  Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl vidaus taisyklių dėl tam tikrų duomenų subjektų teisių apribojimų, susijusių su asmens duomenų tvarkymu Europos išorės veiksmų tarnybai vykdant savo funkcijas (ADMIN(2019) 10).