CELEX: 32019D1031(02)
Language: da
Date: 2019-10-01 00:00:00
Title: Afgørelse Vedtaget af Unionens Højtstående Repræsentant for Udenrigsanliggender og Sikkerhedspolitik af 1. oktober 2019 om gennemførelsesbestemmelser vedrørende beskyttelse af personoplysninger i Tjenesten for EU's Optræden Udadtil og anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2018/17252019/C 370/05

31.10.2019   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  C 370/9
               
            
         Afgørelse Vedtaget af Unionens Højtstående Repræsentant for Udenrigsanliggender og Sikkerhedspolitik
         af 1. oktober 2019
         om gennemførelsesbestemmelser vedrørende beskyttelse af personoplysninger i Tjenesten for EU's Optræden Udadtil og anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2018/1725
         (2019/C 370/05)
         UNIONENS HØJTSTÅENDE REPRÆSENTANT FOR UDENRIGSANLIGGENDER OG SIKKERHEDSPOLITIK HAR —
         under henvisning til Rådets afgørelse 2010/427/EU af 26. juli 2010 om, hvordan Tjenesten for EU's Optræden Udadtil skal tilrettelægges og fungere (1) (»Rådets afgørelse«), særlig artikel 11, stk. 3,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (2) (»forordningen«), særlig artikel 43, 44 og 45, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Den øgede ansvarlighed for dataansvarlige, der indføres med forordningen, kræver vedtagelse af en ny gennemførelsesafgørelse, der erstatter den højtstående repræsentant for udenrigsanliggender og sikkerhedspolitiks afgørelse PROC HR(2011) 016 af 8. december 2011 om reglerne vedrørende databeskyttelse i EU-Udenrigstjenesten.
                  
               
                     (2)
                  
                  
                     Databeskyttelsesrådgiverens rolle og den dataansvarliges ansvar i EU-Udenrigstjenesten skal være klart fastlagt og tilpasset kravene i forordningen —
                  
               VEDTAGET DENNE AFGØRELSE:
         AFDELING 1
         
            ALMINDELIGE BESTEMMELSER
         
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   I overensstemmelse med forordningens artikel 45, stk. 3, fastsætter denne afgørelse de opgaver, det hverv og de beføjelser, der påhviler databeskyttelsesrådgiveren i EU-Udenrigstjenesten.
            
            
               2.   Denne afgørelse præciserer endvidere de interne procedurer og de dataansvarliges og databehandlernes ansvar samt den rolle, de opgaver og det hverv, der påhviler databeskyttelseskoordinatorer og -kontakter, navnlig i henhold til forordningens artikel 26 og 29.
            
         
         
            Artikel 2
            Definitioner
            Med forbehold af definitionerne i forordningen forstås i denne afgørelse ved:
            
                        a)
                     
                     
                        »dataansvarlig«: EU-Udenrigstjenesten og dens organisatoriske enheder, herunder EU-delegationer, som alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger
                     
                  
                        b)
                     
                     
                        »repræsentant for den dataansvarlige«: medlemmer af EU-Udenrigstjenestens ledelse eller ledere af organisatoriske enheder, som fører tilsyn med den dataansvarliges i litra a) nævnte organisatoriske enheder, og som er ansvarlige for behandlingen af personoplysninger
                     
                  
                        c)
                     
                     
                        »delegeret dataansvarlig«: en tjeneste eller personale i den dataansvarliges organisatoriske enhed, som har til opgave at forvalte behandlingen af personoplysninger
                     
                  
                        d)
                     
                     
                        »fælles dataansvarlige«: to eller flere organisatoriske enheder, der i fællesskab afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger, samt de dataansvarliges roller og ansvar, herunder deres opgaver vedrørende udøvelse af den registreredes rettigheder, navnlig når EU-Udenrigstjenesten er ansvarlig for behandlingen i fællesskab med andre EU-institutioner, -organer, -agenturer, -kontorer eller andre enheder
                     
                  
                        e)
                     
                     
                        »databeskyttelsesrådgiver«: den medarbejder i EU-Udenrigstjenesten, der er udpeget af EU-Udenrigstjenesten i henhold til forordningens artikel 43 til at støtte, informere og rådgive de dataansvarlige
                     
                  
                        f)
                     
                     
                        »databeskyttelseskoordinator og -kontakt«: medarbejdere, der er ansat i EU-Udenrigstjenesten i henholdsvis hovedkvarteret og i EU-delegationerne, og som er udpeget til at bistå deres dataansvarlige på databeskyttelsesområdet
                     
                  
                        g)
                     
                     
                        »databehandler«: en enhed i eller uden for EU-Udenrigstjenesten, som behandler personoplysninger på den dataansvarliges vegne
                     
                  
                        h)
                     
                     
                        »databeskyttelsesmeddelelser«: meddelelser som f.eks. privatlivserklæringer, hvorved den dataansvarlige informerer registrerede i henhold til forordningens artikel 15 og 16.
                     
                  
                        i)
                     
                     
                        »personale i EU-Udenrigstjenesten«: tjenestemænd og øvrige ansatte i EU, der arbejder for EU-Udenrigstjenesten, herunder personale fra EU-medlemsstaternes diplomatiske tjenester, udstationerede nationale eksperter og praktikanter, jf. artikel 6 i Rådets afgørelse.
                     
                  
         AFDELING 2
         
            DATABESKYTTELSESRÅDGIVEREN
         
         
            Artikel 3
            Udpegelse af en databeskyttelsesrådgiver
            
               1.   Generalsekretæren for EU-Udenrigstjenesten udpeger databeskyttelsesrådgiveren blandt EU-Udenrigstjenestens personale i henhold til forordningens artikel 43 og registrerer vedkommende hos Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«).
            
            
               2.   Ud over kravene i forordningens artikel 43, stk. 3, skal databeskyttelsesrådgiveren have et godt kendskab til EU-Udenrigstjenestens tjenestegrene, deres struktur, administrative regler og procedurer. Databeskyttelsesrådgiveren skal have ekspertise inden for databeskyttelse, god dømmekraft og evne til at bevare en upartisk og objektiv indstilling i overensstemmelse med personalevedtægten.
            
            
               3.   Databeskyttelsesrådgiveren udpeges for en periode på fem år og kan genudnævnes.
            
            
               4.   Databeskyttelsesrådgiveren kan kun afskediges med samtykke fra EDPS, hvis vedkommende ikke længere opfylder de krav, der stilles for udførelsen af vedkommendes opgaver.
            
            
               5.   Databeskyttelsesrådgiveren tilknyttes administrativt generalsekretæren.
            
            
               6.   Databeskyttelsesrådgiverens kontaktoplysninger offentliggøres på EU-Udenrigstjenestens intranet og eksterne websted og meddeles EDPS.
            
         
         
            Artikel 4
            Databeskyttelsesrådgiverens stilling
            
               1.   Databeskyttelsesrådgiveren handler uafhængigt og i samarbejde med EDPS. EU-Udenrigstjenesten udsteder ikke instrukser til databeskyttelsesrådgiveren om udførelsen af dennes opgaver.
            
            
               2.   Databeskyttelsesrådgiveren må ikke afskediges eller straffes for at udføre sine opgaver.
            
            
               3.   Databeskyttelsesrådgiveren underrettes om alle kontakter med eksterne parter vedrørende anvendelsen af forordningen og denne afgørelse, navnlig om enhver kontakt med EDPS og medlemmerne af netværket af databeskyttelsesrådgivere i EU's institutioner, organer, kontorer og agenturer.
            
            
               4.   Registrerede kan kontakte databeskyttelsesrådgiveren angående alle spørgsmål om behandling af deres personoplysninger og om udøvelse af deres rettigheder i henhold til forordningen.
            
            
               5.   Databeskyttelsesrådgiveren kan høres af den dataansvarlige eller dennes repræsentant, af personaleudvalget og af enhver ansat om ethvert spørgsmål, der vedrører fortolkningen eller anvendelsen af forordningen, uden at nogen af disse skal gå gennem de officielle kanaler. Ingen må lide skade som følge af at have gjort databeskyttelsesrådgiveren opmærksom på en sag.
            
         
         
            Artikel 5
            Databeskyttelsesrådgiverens opgaver
            Databeskyttelsesrådgiveren har følgende opgaver:
            
                        a)
                     
                     
                        at blive hørt om alle spørgsmål om beskyttelse af personoplysninger
                     
                  
                        b)
                     
                     
                        at yde vejledning og proaktivt rådgive EU-Udenrigstjenestens enheder og deres kontrahenter, der udfører behandling af personoplysninger, om, hvordan forordningen og denne afgørelse gennemføres, herunder høring om anmeldelser om brud på datasikkerheden, konsekvensanalyser og nødvendigheden af forudgående høring af EDPS
                     
                  
                        c)
                     
                     
                        at være i regelmæssig kontakt med de dataansvarlige med henblik på at overvåge overholdelsen af databeskyttelseskravene og støtte dem i deres opgaver, navnlig med henblik på at bidrage til udarbejdelse og offentliggørelse af databeskyttelsesmeddelelser og besvarelse af anmodninger fra registrerede
                     
                  
                        d)
                     
                     
                        at være i regelmæssig kontakt med databeskyttelseskoordinatorer og -kontakter i EU-Udenrigstjenestens hovedkvarter og EU-delegationer og forvalte netværket af databeskyttelseskoordinatorer og -kontakter inden for EU-Udenrigstjenesten
                     
                  
                        e)
                     
                     
                        at øge bevidstheden om databeskyttelse generelt og tilrettelægge kurser og informationsmøder
                     
                  
                        f)
                     
                     
                        at samarbejde med databeskyttelsesrådgivere i andre EU-institutioner, -organer, -kontorer og -agenturer, navnlig ved at udveksle erfaringer og bedste praksis
                     
                  
                        g)
                     
                     
                        at føre et centralt register over de behandlingsaktiviteter, EU-Udenrigstjenesten udfører, baseret på de fortegnelser, de dataansvarlige fører i overensstemmelse med forordningens artikel 31, og gøre registeret offentligt tilgængeligt
                     
                  
                        h)
                     
                     
                        at bistå med at sikre, at den højtstående repræsentant eller EU-Udenrigstjenesten repræsenteres på internationalt plan i forbindelse med alle spørgsmål vedrørende databeskyttelse.
                     
                  
         
            Artikel 6
            Beføjelser
            Ved udførelsen af sine opgaver:
            
                        a)
                     
                     
                        skal databeskyttelsesrådgiveren til enhver tid have adgang til de oplysninger, der behandles af EU-Udenrigstjenestens enheder og deres kontrahenter, samt til alle kontorer, databehandlingscentre og databærere
                     
                  
                        b)
                     
                     
                        skal databeskyttelsesrådgiveren afgive sin udtalelse til ansættelsesmyndigheden, før der træffes afgørelse om spørgsmål vedrørende anvendelsen af bestemmelserne om databeskyttelse
                     
                  
                        c)
                     
                     
                        kan databeskyttelsesrådgiveren foreslå administrative foranstaltninger og fremsætte generelle henstillinger om en hensigtsmæssig anvendelse af forordningen og af denne afgørelse
                     
                  
                        d)
                     
                     
                        kan databeskyttelsesrådgiveren fremsætte henstillinger til praktiske forbedringer i databeskyttelsen til EU-Udenrigstjenestens ledelse, personale og relevante eksterne parter
                     
                  
                        e)
                     
                     
                        kan databeskyttelsesrådgiveren undersøge sager vedrørende databeskyttelse og rapportere resultatet af undersøgelsen til den dataansvarlige og til ethvert relevant medlem af EU-Udenrigstjenestens ledelse ud over den person, der iværksatte undersøgelsen eller indgav klagen
                     
                  
                        f)
                     
                     
                        kan databeskyttelsesrådgiveren udarbejde skabeloner og interne procedurer, instrukser eller politikker med henblik på at vejlede dataansvarlige og databehandlere
                     
                  
                        g)
                     
                     
                        kan databeskyttelsesrådgiveren benytte eksterne eksperter, herunder IT-specialister
                     
                  
                        h)
                     
                     
                        kan databeskyttelsesrådgiveren gøre EU-Udenrigstjenestens ansættelsesmyndighed opmærksom på, at en ansat ikke har opfyldt sine forpligtelser i henhold til forordningen og denne afgørelse, og foreslå, at der indledes en administrativ undersøgelse
                     
                  
                        i)
                     
                     
                        kan databeskyttelsesrådgiveren udstede interne retningslinjer for databeskyttelse, der skal tages i betragtning ved behandling af personoplysninger.
                     
                  
         
            Artikel 7
            Ressourcer
            
               1.   Databeskyttelsesrådgiveren skal råde over det nødvendige personale og de nødvendige ressourcer til at udføre de opgaver, der er omhandlet i artikel 5 i denne afgørelse.
            
            
               2.   Alt personale i EU-Udenrigstjenesten støtter databeskyttelsesrådgiveren i udførelsen af de opgaver, der er omhandlet i artikel 5 i denne afgørelse, og navnlig skal de dataansvarlige og databehandlerne fremlægge ønskede oplysninger om databehandlingsaktiviteter, give adgang til personoplysninger og udarbejde udkast til svar på anmodninger fra de registrerede, der udøver deres ret til indsigt, berigtigelse og sletning, som databeskyttelsesrådgiveren modtager, men som vedrører behandlingsaktiviteter, som den dataansvarlige er ansvarlig for.
            
            
               3.   Databeskyttelsesrådgiveren kan have en stedfortrædende eller assisterende databeskyttelsesrådgiver samt administrativt personale og sekretariatsbistand efter behov. Databeskyttelsesrådgiveren kan også anvende andre enheder i EU-Udenrigstjenesten eller kontraherede enheder og eksterne eksperter.
            
            
               4.   Den stedfortrædende eller assisterende databeskyttelsesrådgiver bistår databeskyttelsesrådgiveren i udførelsen af dennes opgaver og kan repræsentere databeskyttelsesrådgiveren i dennes fravær. Artikel 4, 5 og 6 i denne afgørelse finder også anvendelse på den stedfortrædende eller assisterende databeskyttelsesrådgiver.
            
            
               5.   Databeskyttelsesrådgiveren råder over egnede lokaler, hvor der kan garanteres sikkerhed og fortrolighed for oplysninger, herunder personoplysninger, og hvor der kan ske tilstrækkelig opbevaring og arkivering af data og dokumenter.
            
            
               6.   Databeskyttelsesrådgiveren råder over et elektronisk værktøj, hvor i) fortegnelserne over behandling af personoplysninger i overensstemmelse med forordningens artikel 31 kan føres, og hvor ii) databeskyttelsesmeddelelser, anmeldelser om brud på datasikkerheden, konsekvensanalyser vedrørende databeskyttelse, anmodninger fra registrerede og fortegnelser over overførsler af oplysninger kan opbevares.
            
            
               7.   EU-Udenrigstjenesten støtter databeskyttelsesrådgiveren i opretholdelsen og udbygningen af dennes ekspertviden, bl.a. ved at fremme deltagelsen i interinstitutionelle eller eksterne kurser, konferencer eller arrangementer vedrørende databeskyttelse og i møder og kurser tilrettelagt af EDPS og netværket af databeskyttelsesrådgivere i EU's institutioner, organer, kontorer og agenturer.
            
         
         AFDELING 3
         
            AKTØRER, DER ER INVOLVERET I PROCEDURER VEDRØRENDE DATABESKYTTELSE
         
         
            Artikel 8
            Dataansvarlige og databehandlere
            
               1.   De delegerede dataansvarlige, repræsentanterne for de dataansvarlige og for databehandlerne er på den dataansvarliges vegne ansvarlige for at sikre, at alle behandlingsaktiviteter under deres kontrol er i overensstemmelse med forordningen, særlig artikel 26, og med bestemmelserne i denne afgørelse. De kan om nødvendigt overdrage databehandlingsopgaver til EU-Udenrigstjenestens personale, de har ansvar for, eller til kontraherede enheder, jf. forordningens artikel 29.
            
            
               2.   De dataansvarlige skal navnlig:
               
                           a)
                        
                        
                           være ansvarlige og sikre og påvise, at behandlingen foretages i overensstemmelse med forordningen og denne afgørelse
                        
                     
                           b)
                        
                        
                           registrere enhver behandlingsaktivitet og enhver væsentlig ændring af en eksisterende behandlingsaktivitet
                        
                     
                           c)
                        
                        
                           sikre, at de registrerede underrettes om behandlingen af deres oplysninger i overensstemmelse med forordningens artikel 15 og 16 ved at gøre databeskyttelsesmeddelelser tilgængelige
                        
                     
                           d)
                        
                        
                           samarbejde med databeskyttelsesrådgiveren og EDPS, navnlig ved at fremsende oplysninger som svar på deres anmodninger senest 14 kalenderdage fra datoen for anmodningen
                        
                     
                           e)
                        
                        
                           underrette databeskyttelsesrådgiveren, når der anvendes en kontrahent til at behandle personoplysninger på den dataansvarliges vegne
                        
                     
                           f)
                        
                        
                           udpege en databeskyttelseskoordinator og -kontakt, bistå dem med at udføre deres opgaver og informere databeskyttelsesrådgiveren om enhver udskiftning af databeskyttelseskoordinator og -kontakt eller ændring af funktionen
                        
                     
                           g)
                        
                        
                           høre databeskyttelsesrådgiveren om, hvorvidt behandlingsaktiviteterne er i overensstemmelse med forordningen og denne afgørelse. De kan høre databeskyttelsesrådgiveren eller andre eksperter om spørgsmål vedrørende fortrolighed, tilgængelighed og integritet af behandlingsaktiviteterne og om de sikkerhedsforanstaltninger, der træffes i henhold til forordningens artikel 33
                        
                     
            
               3.   Dataansvarlige kan anvende andre enheder i EU-Udenrigstjenesten eller kontraherende enheder som databehandlere i overensstemmelse med forordningens bestemmelser, så længe de i deres fortegnelser dokumenterer, hvem der er databehandler, hvilke opgaver de har fået pålagt, og hvilke sikkerhedsforanstaltninger der er truffet.
            
            
               4.   Den dataansvarlige skal straks sikre, at databeskyttelsesrådgiveren underrettes:
               
                           a)
                        
                        
                           om alle spørgsmål, der har eller kan have konsekvenser for databeskyttelsen
                        
                     
                           b)
                        
                        
                           om alle meddelelser og afgørelser fra EU-Udenrigstjenestens ledelse vedrørende anvendelsen af forordningen, navnlig enhver form for kontakt med EDPS.
                        
                     
         
         
            Artikel 9
            Databeskyttelseskoordinator og -kontakt
            
               1.   Afhængigt af deres størrelse og den type personoplysninger, der behandles, skal EU-Udenrigstjenestens organisatoriske enheder have en databeskyttelseskoordinator og -kontakt, der skal fungere som kontaktpunkt for databeskyttelse. Hvert ledelsesdirektorat eller direktorat i EU-Udenrigstjenestens hovedkvarter og hver EU-delegation udpeger en databeskyttelseskoordinator eller en databeskyttelseskontakt. Alle afdelinger, der regelmæssigt behandler en stor mængde personoplysninger, særlige kategorier af oplysninger eller følsomme personoplysninger, og hvis behandling udgør en høj risiko, udpeger også deres egen databeskyttelseskoordinator og -kontakt. Funktionen som databeskyttelseskoordinator og -kontakt tildeles en person i organisationen, der har overblik over enhedens aktiviteter.
            
            
               2.   Databeskyttelseskoordinatoren og -kontakten skal have de nødvendige færdigheder og tilegne sig viden om databeskyttelse. Den pågældende skal have undervisning i databeskyttelse og kan deltage i informationsmøder og møder i netværket af databeskyttelseskoordinatorer og -kontakter.
            
            
               3.   Databeskyttelseskoordinatoren og -kontakten skal:
               
                           a)
                        
                        
                           bistå de dataansvarlige med at overholde deres forpligtelser, uden at dette berører databeskyttelsesrådgiverens ansvar
                        
                     
                           b)
                        
                        
                           lette kommunikationen mellem databeskyttelsesrådgiveren og de dataansvarlige
                        
                     
                           c)
                        
                        
                           fungere som kontaktpunkt for databeskyttelsesspørgsmål i deres tjenestegren og samarbejde med databeskyttelsesrådgiveren
                        
                     
                           d)
                        
                        
                           informere og støtte deres kolleger i spørgsmål vedrørende behandling af personoplysninger
                        
                     
                           e)
                        
                        
                           videresende information til personalet om oplysningsarrangementer og kurser
                        
                     
                           f)
                        
                        
                           samarbejde med databeskyttelsesrådgiveren om udarbejdelse og ajourføring af en fortegnelse over eksisterende og nye behandlingsaktiviteter
                        
                     
                           g)
                        
                        
                           kontakte og underrette databeskyttelsesrådgiveren om alle personoplysninger, der behandles i tjenestegrenen
                        
                     
                           h)
                        
                        
                           bistå med at identificere de relevante delegerede dataansvarlige og databehandlere
                        
                     
                           i)
                        
                        
                           udarbejde fortegnelser på deres ekspertiseområde
                        
                     
                           j)
                        
                        
                           støtte de dataansvarlige i forbindelse med udarbejdelse og revision af fortegnelser samt udarbejdelse af databeskyttelsesmeddelelser
                        
                     
                           k)
                        
                        
                           bidrage til overensstemmelseskontroller og konsekvensanalyser
                        
                     
                           l)
                        
                        
                           sikre, at de relevante databeskyttelsesmeddelelser offentliggøres og anvendes korrekt af deres tjenestegren
                        
                     
                           m)
                        
                        
                           underrette databeskyttelsesrådgiveren om eventuelle brud på datasikkerheden
                        
                     
                           n)
                        
                        
                           i samarbejde med databeskyttelsesrådgiveren udarbejde svar på anmodninger fra registrerede, der udøver deres rettigheder, behandle klager og spørgsmål vedrørende databehandlingsaktiviteter i deres tjenestegrene.
                        
                     
            
               4.   Databeskyttelseskoordinatoren og -kontakten har ret til at indhente de oplysninger, der er nødvendige for at identificere aktiviteter til behandling af personoplysninger, og høre databeskyttelsesrådgiveren på vegne af deres tjenestegrene. Dette omfatter ikke adgang til personoplysninger, der behandles under den dataansvarliges ansvar.
            
         
         
            Artikel 10
            Ansættelsesmyndigheden
            Ansættelsesmyndigheden hører databeskyttelsesrådgiveren om alle anmodninger og klager i henhold til personalevedtægtens artikel 90 vedrørende anvendelsen af forordningen.
         
         
            Artikel 11
            EU-Udenrigstjenestens personale
            
               1.   Alt personale i EU-Udenrigstjenesten anvender de fortroligheds- og sikkerhedsregler for behandling af personoplysninger, der er fastsat i forordningens artikel 33, 34 og 35. Ansatte i EU-Udenrigstjenesten, der har adgang til personoplysninger, må kun behandle oplysningerne efter instruks fra de dataansvarlige.
            
            
               2.   Alle ansatte i EU-Udenrigstjenesten meddeler deres umiddelbart overordnede, hvornår de skal behandle personoplysninger, således at de dataansvarlige kan dokumentere behandlingen i deres databeskyttelsesfortegnelser og udarbejde de nødvendige databeskyttelsesmeddelelser.
            
            
               3.   Enhver ansat i EU-Udenrigstjenesten kan indgive en anmodning til databeskyttelsesrådgiveren eller gøre denne opmærksom på en bekymring, herunder et påstået brud på persondatasikkerheden, eller indgive en klage til EDPS om en påstået overtrædelse af forordningen eller af denne afgørelse, uden at det er nødvendigt at underrette sine overordnede.
            
            
               4.   Hvis en ansat mener, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med artikel 45, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3) eller artikel 36, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (4), underretter vedkommende databeskyttelsesrådgiveren.
            
         
         AFDELING 4
         
            FORANSTALTNINGER OG PROCEDURER
         
         
            Artikel 12
            Sikkerhedsforanstaltninger og databeskyttelse gennem design og gennem standardindstillinger
            
               1.   De garantier samt tekniske og organisatoriske foranstaltninger, der træffes for at undgå brud på datasikkerheden, læk eller uautoriseret videregivelse, skal omfatte:
               
                           a)
                        
                        
                           en passende definition af roller, ansvarsområder og proceduremæssige skridt
                        
                     
                           b)
                        
                        
                           et sikkert elektronisk miljø, der forhindrer ulovlig eller utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer med sikkerhedsforanstaltninger indbygget i de forskellige IT-programmer, der anvendes
                        
                     
                           c)
                        
                        
                           sikker behandling og opbevaring af papirbaserede dokumenter
                        
                     
                           d)
                        
                        
                           begrænsning af elektronisk eller fysisk adgang til autoriseret personale, der har adgangsrettigheder
                        
                     
            
               2.   Inden der udformes databehandlingsaktiviteter, skal de dataansvarlige indføre databeskyttelse gennem design og gennem standardindstillinger som omhandlet i forordningens artikel 27. For at gennemføre databeskyttelse gennem design og gennem standardindstillinger kan den dataansvarlige rådføre sig med databeskyttelsesrådgiveren og andre relevante tjenester, herunder IT og IT-sikkerhed.
            
         
         
            Artikel 13
            Anmeldelse af brud på persondatasikkerheden
            Efter at have fået kendskab til en hændelse, navnlig brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til personoplysninger, der er videresendt, opbevaret eller på anden måde behandlet (»brud på persondatasikkerheden«), skal den dataansvarlige eller databehandleren straks underrette databeskyttelsesrådgiveren og inden for 72 timer underrette EDPS herom og dokumentere hændelsen behørigt.
         
         
            Artikel 14
            Databeskyttelsesrådgiverens undersøgelser og behandling af anmodninger og klager
            
               1.   Databeskyttelsesrådgiveren kan på eget initiativ eller efter anmodning indlede en undersøgelse af en påstået overtrædelse af forpligtelserne i henhold til forordningen. Anmodninger stiles skriftligt til databeskyttelsesrådgiveren.
            
            
               2.   Databeskyttelsesrådgiveren kan anmode om en skriftlig erklæring fra den dataansvarlige for de relevante databehandlingsaktiviteter. Den dataansvarlige afgiver svar til databeskyttelsesrådgiveren senest 14 kalenderdage efter modtagelsen af denne anmodning. Databeskyttelsesrådgiveren kan anmode om adgang til supplerende oplysninger, dokumenter, databærere, datacentre, lokaler og systemer fra andre tjenestegrene i EU-Udenrigstjenesten, navnlig IT-afdelingen, sikkerhedsdirektoratet og det generaldirektorat, der beskæftiger sig med administrative undersøgelser og disciplinærsager. Databeskyttelsesrådgiveren får meddelelse eller udtalelse inden for en frist på 14 kalenderdage.
            
            
               3.   I tilfælde af åbenbart grundløse, urimelige og overdrevne anmodninger, navnlig hvis den samme registrerede har fremsat gentagne anmodninger, kan databeskyttelsesrådgiveren afslå at efterkomme anmodningen i henhold til forordningens artikel 14. Den pågældende underrettes herom.
            
         
         AFDELING 5
         
            PROCEDURE FOR DE REGISTREREDES UDØVELSE AF DERES RETTIGHEDER
         
         
            Artikel 15
            Almindelige bestemmelser
            
               1.   Registrerede kan kontakte den dataansvarlige eller databeskyttelsesrådgiveren for at udøve deres rettigheder i overensstemmelse med forordningens artikel 14-24.
            
            
               2.   Anmodninger om udøvelse af de registreredes rettigheder skal fremsættes skriftligt. Databeskyttelsesrådgiveren bistår om nødvendigt den registrerede med at identificere den relevante dataansvarlige. Databeskyttelsesrådgiveren fremsender alle anmodninger til den relevante dataansvarlige, som kan høre databeskyttelsesrådgiveren.
            
            
               3.   De dataansvarlige behandler anmodningen og svarer den registrerede direkte.
            
         
         
            Artikel 16
            Behandling af anmodninger om udøvelse af registreredes rettigheder
            
               1.   Dataansvarlige skal først bekræfte identiteten på den, der fremsender anmodningen, eller, hvis anmodningen modtages fra en repræsentant for den registrerede, at den registrerede har givet tilladelse dertil.
            
            
               2.   Den dataansvarlige, der er ansvarlig for databehandlingen, sender senest 14 kalenderdage efter EU-Udenrigstjenestens modtagelse af anmodningen en kvittering for modtagelsen til afsenderen. Medmindre andet er fastsat, besvarer den dataansvarlige anmodningen senest en måned efter registrering af anmodningen. Den dataansvarlige skal enten give et positivt svar på anmodningen eller skriftligt begrunde, hvorfor der gives fuldt eller delvist afslag. Svarfristen kan forlænges med yderligere to måneder under hensyntagen til anmodningernes kompleksitet og antal, jf. forordningens artikel 14, stk. 3.
            
            
               3.   Den registreredes anmodning kan afvises, hvis
               
                           a)
                        
                        
                           anmodningen ikke er berettiget
                        
                     
                           b)
                        
                        
                           en undtagelse, der er fastsat i forordningen, finder anvendelse
                        
                     
                           c)
                        
                        
                           en begrænsning i henhold til de interne regler (5), der er vedtaget på grundlag af forordningens artikel 25, finder anvendelse.
                        
                     
            
               4.   I tilfælde af åbenbart grundløse, urimelige og overdrevne anmodninger, navnlig hvis den samme registrerede har fremsat gentagne anmodninger, kan den dataansvarlige, efter at have hørt databeskyttelsesrådgiveren, afslå at efterkomme anmodningen i henhold til forordningens artikel 14. Den pågældende underrettes herom.
            
         
         
            Artikel 17
            Undtagelser og begrænsninger
            Begrænsninger i overensstemmelse med de interne regler, der vedtages i overensstemmelse med forordningens artikel 25, og undtagelser, der er fastsat i forordningens artikel 15-19 og 21-24, anvendes først efter høring af databeskyttelsesrådgiveren.
         
         AFDELING 6
         
            AFSLUTTENDE BESTEMMELSER
         
         
            Artikel 18
            Meddelelse om denne afgørelse
            
               1.   I overensstemmelse med forordningens artikel 41 underrettes EDPS om denne afgørelse.
            
            
               2.   Denne afgørelse stilles til rådighed for EU-Udenrigstjenestens personale ved hjælp af passende midler, navnlig ved at offentliggøre den på EU-Udenrigstjenestens interne websted.
            
         
         
            Artikel 19
            Ophævelse
            Afgørelse PROC HR(2011) 016 vedtaget af Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik af 8. december 2011 om reglerne vedrørende databeskyttelse ophæves.
         
         
            Artikel 20
            Virkning
            Denne afgørelse får virkning på dagen efter vedtagelsen.
         
         
            Udfærdiget i Bruxelles, den 1. oktober 2019.
            
               Federica MOGHERINI
               
                  Højtstående repræsentant
               
            
         
         
            (1)  EUT L 201 af 3.8.2010, s. 30.
         
            (2)  EUT L 295 af 21.11.2018, s. 39.
         
            (3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (4)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).
         
            (5)  Afgørelse vedtaget af Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik om interne regler for anvendelse af begrænsninger på visse rettigheder for de registrerede i forbindelse med behandling af personoplysninger som led i driften af Tjenesten for EU's Optræden Udadtil (ADMIN(2019) 10).