CELEX: 32019D1031(02)
Language: sv
Date: 2019-10-01 00:00:00
Title: Beslut av Unionens Höga Representant för Utrikes Frågor Och säkerhetspolitik av den 1 oktober 2019 om genomföranderegler som rör skyddet av personuppgifter som behandlas av Europeiska utrikestjänsten och om tillämpning av Europaparlamentets och rådets förordning (EU) 2018/17252019/C 370/05

31.10.2019   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  C 370/9
               
            
         Beslut av Unionens Höga Representant för Utrikes Frågor Och säkerhetspolitik
         av den 1 oktober 2019
         om genomföranderegler som rör skyddet av personuppgifter som behandlas av Europeiska utrikestjänsten och om tillämpning av Europaparlamentets och rådets förordning (EU) 2018/1725
         (2019/C 370/05)
         UNIONENS HÖGA REPRESENTANT FÖR UTRIKES FRÅGOR OCH SÄKERHETSPOLITIK HAR ANTAGIT DETTA BESLUT
         med beaktande av rådets beslut 2010/427/EU av den 26 juli 2010 om hur den europeiska avdelningen för yttre åtgärder ska organiseras och arbeta (1) (nedan kallat rådets beslut om Europeiska utrikestjänsten), särskilt artikel 11.3,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (2) (nedan kallad förordningen), särskilt artiklarna 43, 44 och 45, och
         av följande skäl:
         
                     (1)
                  
                  
                     I och med den ökade ansvarsskyldighet för personuppgiftsansvariga som fastställs i förordningen krävs ett nytt genomförandebeslut som ersätter beslut PROC HR(2011) 016 av unionens höga representant för utrikes frågor och säkerhetspolitik av den 8 december 2011 om bestämmelserna om skydd av personuppgifter inom Europeiska utrikestjänsten.
                  
               
                     (2)
                  
                  
                     Dataskyddsombudets roll och den personuppgiftsansvariges ansvar inom Europeiska utrikestjänsten behöver bli tydligt fastställda och anpassas till kraven i förordningen,
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         AVSNITT 1
         
            ALLMÄNNA BESTÄMMELSER
         
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   I detta beslut fastställs, i enlighet med artikel 45.3 i förordningen, dataskyddsombudets arbetsuppgifter, åligganden och befogenheter inom Europeiska utrikestjänsten.
            
            
               2.   I detta beslut anges dessutom interna förfaranden, personuppgiftsansvarigas och personuppgiftsbiträdens ansvarsområden samt uppgiftsskyddssamordnares och uppgiftsskyddskorrespondenters roller, arbetsuppgifter och åligganden, särskilt i enlighet med artiklarna 26 och 29 i förordningen.
            
         
         
            Artikel 2
            Definitioner
            I detta beslut gäller följande definitioner, utan att det påverkar tillämpningen av definitionerna i förordningen:
            
                        a)
                     
                     
                        
                           personuppgiftsansvarig: Europeiska utrikestjänsten eller dess organisationsenheter, däribland unionens delegationer som, ensamma eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter.
                     
                  
                        b)
                     
                     
                        
                           den personuppgiftsansvariges företrädare: medlemmar av Europeiska utrikestjänstens ledning eller chefer för organisatoriska enheter som övervakar den personuppgiftsansvariges enheter som avses i led a ovan och som ansvarar och kan ställas till svars för behandlingen av personuppgifter.
                     
                  
                        c)
                     
                     
                        
                           biträdande personuppgiftsansvarig: en tjänst eller anställd inom den personuppgiftsansvariges organisatoriska enhet som har anförtrotts hanteringen av personuppgiftsbehandlingen.
                     
                  
                        d)
                     
                     
                        
                           gemensamt personuppgiftsansvariga: två eller flera organisatoriska enheter som tillsammans fastställer ändamålen med och medlen för behandlingen av personuppgifter, samt de personuppgiftsansvarigas roller och ansvarsområden, däribland deras åligganden rörande utövandet av de registrerades rättigheter, särskilt när Europeiska utrikestjänsten gemensamt kontrollerar behandlingen med EU:s övriga institutioner, organ, byråer, kontor eller andra enheter.
                     
                  
                        e)
                     
                     
                        
                           dataskyddsombud: en person som ingår i Europeiska utrikestjänstens personal och som utnämnts av Europeiska utrikestjänsten, i enlighet med artikel 43 i förordningen, för att stödja, informera och ge råd till personuppgiftsansvariga.
                     
                  
                        f)
                     
                     
                        
                           uppgiftsskyddssamordnare och uppgiftsskyddskorrespondent: Europeiska utrikestjänstens personal vid högkvarteret och vid EU-delegationerna som ska bistå personuppgiftsansvariga i uppgiftskyddsfrågor.
                     
                  
                        g)
                     
                     
                        
                           personuppgiftsbiträde: en enhet, inom eller utanför Europeiska utrikestjänsten, som behandlar personuppgifter på den personuppgiftsansvariges vägnar.
                     
                  
                        h)
                     
                     
                        
                           dataskyddsmeddelanden: meddelanden om behandling av personuppgifter eller andra meddelanden genom vilka den personuppgiftsansvarige tillhandahåller de registrerade information i enlighet med artiklarna 15 och 16 i förordningen.
                     
                  
                        i)
                     
                     
                        
                           Europeiska utrikestjänstens personal: i enlighet med artikel 6 i rådets beslut om Europeiska utrikestjänsten, tjänstemän och övriga anställda i EU som arbetar för Europeiska utrikestjänsten, inbegripet personal från EU-medlemsstaternas diplomattjänster, nationella experter och praktikanter.
                     
                  
         AVSNITT 2
         
            DATASKYDDSOMBUDET
         
         
            Artikel 3
            Utnämning av dataskyddsombudet
            
               1.   Europeiska utrikestjänstens generalsekreterare ska utnämna ett dataskyddsombud ur utrikestjänstens personal, i enlighet med artikel 43 i förordningen, och registrera denne hos Europeiska datatillsynsmannen.
            
            
               2.   Utöver kraven i artikel 43.3 i förordningen ska dataskyddsombudet ha goda kunskaper om Europeiska utrikestjänstens avdelningar, deras struktur, informationssystem, administrativa regler och förfaranden. Dataskyddsombudet ska ha sakkunskap inom dataskydd, gott omdöme och förmågan att upprätthålla en opartisk och objektiv ställning i enlighet med tjänsteföreskrifterna.
            
            
               3.   Dataskyddsombudet ska utses för en period på fem år och ska kunna ges förnyat mandat.
            
            
               4.   Dataskyddsombudet får endast avsättas från sitt uppdrag efter medgivande av Europeiska datatillsynsmannens eller om han eller hon inte längre uppfyller de krav som ställs för att han eller hon ska kunna utföra sina uppgifter.
            
            
               5.   Dataskyddsombudet ska vara administrativt bundet till generalsekreteraren.
            
            
               6.   Dataskyddsombudets kontaktuppgifter ska offentliggöras på Europeiska utrikestjänstens intranät och externa webbplats samt meddelas Europeiska datatillsynsmannen.
            
         
         
            Artikel 4
            Dataskyddsombudets ställning
            
               1.   Dataskyddsombudet ska agera oberoende och i samarbete med Europeiska datatillsynsmannen. Europeiska utrikestjänsten får inte utfärda instruktioner till dataskyddsombudet som gäller utförandet av dennes uppgifter.
            
            
               2.   Dataskyddsombudet får inte avsättas eller bli föremål för sanktioner för att ha utfört sina uppgifter.
            
            
               3.   Dataskyddsombudet ska informeras om all kontakt med externa parter avseende tillämpningen av förordningen och detta beslut, särskilt om kontakt med Europeiska datatillsynsmannen och medlemmar i nätverket av dataskyddsombud vid EU:s institutioner, organ och byråer.
            
            
               4.   Registrerade får kontakta dataskyddsombudet i alla frågor som rör behandlingen av deras personuppgifter eller utövandet av deras rättigheter enligt förordningen.
            
            
               5.   Dataskyddsombudet får rådfrågas av den personuppgiftsansvarige eller dennes företrädare, av personalkommittén och av enskilda anställda i alla frågor som rör tolkningen eller tillämpningen av förordningen, utan att dessa personer behöver gå den officiella vägen. Ingen ska lida förfång till följd av att ha gjort dataskyddsombudet uppmärksamt på en händelse.
            
         
         
            Artikel 5
            Dataskyddsombudets uppgifter
            Dataskyddsombudet ska
            
                        a)
                     
                     
                        rådfrågas i alla frågor relaterade till skyddet av personuppgifter,
                     
                  
                        b)
                     
                     
                        ge vägledning och proaktivt ge Europeiska utrikestjänsten och dess entreprenörer som behandlar personuppgifter råd om tillämpningen av förordningen och detta beslut, däribland samråd om anmälningar om personuppgiftsincidenter, konsekvensbedömningar och behovet av förhandssamråd med Europeiska datatillsynsmannen,
                     
                  
                        c)
                     
                     
                        ha regelbunden kontakt med personuppgiftsansvariga för att övervaka efterlevnaden av dataskyddet och stödja dem i deras arbete, särskilt för att bidra till att utarbeta och offentliggöra dataskyddsmeddelanden och svara på de registrerades begäranden,
                     
                  
                        d)
                     
                     
                        ha regelbunden kontakt med uppgiftsskyddssamordnarna vid Europeiska utrikestjänstens huvudkontor och EU-delegationerna samt hantera nätverket av uppgiftsskyddssamordnare inom Europeiska utrikestjänsten,
                     
                  
                        e)
                     
                     
                        öka medvetenheten om det allmänna dataskyddet samt anordna utbildningar och informationsmöten,
                     
                  
                        f)
                     
                     
                        samarbeta med dataskyddsombud vid EU:s övriga institutioner, organ och byråer, särskilt genom att utbyta erfarenheter och bästa metoder,
                     
                  
                        g)
                     
                     
                        föra ett centralt register över behandlingar som utförs av Europeiska utrikestjänsten utifrån de register som de personuppgiftsansvariga förberett i enlighet med artikel 31 i förordningen och göra registret allmänt tillgängligt,
                     
                  
                        h)
                     
                     
                        se till att den höga representanten eller Europeiska utrikestjänsten företräds på internationell nivå i alla frågor som rör dataskydd.
                     
                  
         
            Artikel 6
            Befogenheter
            Vid utförandet av sina uppgifter
            
                        a)
                     
                     
                        ska dataskyddsombudet alltid ha tillgång till de uppgifter som behandlas av Europeiska utrikestjänstens enheter och deras entreprenörer samt tillträde till alla kontor, datacentraler och databärare,
                     
                  
                        b)
                     
                     
                        ska dataskyddsombudet ge tillsättningsmyndigheten sin åsikt innan några beslut fattas i frågor som rör tillämpningen av dataskyddsbestämmelserna,
                     
                  
                        c)
                     
                     
                        får dataskyddsombudet föreslå administrativa åtgärder och utfärda allmänna rekommendationer om korrekt tillämpning av förordningen och detta beslut,
                     
                  
                        d)
                     
                     
                        får dataskyddsombudet lämna rekommendationer till praktisk förbättring av uppgiftsskyddet till Europeiska utrikestjänstens ledning, personal och relevanta externa parter,
                     
                  
                        e)
                     
                     
                        får dataskyddsombudet utreda frågor som rör dataskydd och får, utöver den person som begärde utredningen eller lämnade in klagomålet, rapportera resultatet av utredningen till den personuppgiftsansvarige och till relevanta medlemmar i Europeiska utrikestjänstens ledning,
                     
                  
                        f)
                     
                     
                        får dataskyddsombudet utarbeta mallar och interna förfaranden, instruktioner eller strategier för att tillhandahålla personuppgiftsansvariga och personuppgiftsbiträden vägledning,
                     
                  
                        g)
                     
                     
                        får dataskyddsombudet använda sig av tjänster från externa experter, däribland it-specialister,
                     
                  
                        h)
                     
                     
                        får dataskyddsombudet göra Europeiska utrikestjänstens tillsättningsmyndighet uppmärksam på om en anställd inte uppfyller skyldigheterna enligt förordningen och detta beslut och föreslå att en administrativ utredning inleds,
                     
                  
                        i)
                     
                     
                        får dataskyddsombudet utfärda interna riktlinjer om dataskydd (vägledning för dataskyddsombud) som ska beaktas vid behandling av personuppgifter.
                     
                  
         
            Artikel 7
            Resurser
            
               1.   Dataskyddsombudet ska förfoga över tillräckligt med personal och resurser för att kunna fullgöra de uppgifter som avses i artikel 5 i detta beslut.
            
            
               2.   Alla anställda vid Europeiska utrikestjänsten ska stödja dataskyddsombudet i utförandet av de uppgifter som avses i artikel 5 i detta beslut; särskilt personuppgiftsansvariga och personuppgiftsbiträden ska tillhandahålla den begärda informationen om behandling av uppgifter och tillgång till personuppgifter samt utarbeta utkast till svar på begäranden från registrerade som utövar sin rätt till tillgång, ändring eller radering som inkommit till dataskyddsombudet, men som avser den behandling för vilken den personuppgiftsansvarige ansvarar.
            
            
               3.   Dataskyddsombudet får vid behov ha ett ställföreträdande eller biträdande dataskyddsombud samt administrativ personal och sekreterarstöd. Dataskyddsombudet får även använda sig av andra av Europeiska utrikestjänstens enheter eller kontrakterade enheter och externa experter.
            
            
               4.   När det ställföreträdande eller biträdande dataskyddsombudet har utsetts ska denne stödja dataskyddsombudet i utförandet av dennes uppgifter och får företräda dataskyddsombudet i dennes frånvaro. Artiklarna 4, 5 och 6 i detta beslut ska även tillämpas på det ställföreträdande eller biträdande dataskyddsombudet.
            
            
               5.   Dataskyddsombudet ska ha lämpliga lokaler där personuppgifternas och andra uppgifters säkerhet och konfidentialitet kan garanteras och där tillräcklig lagring och arkivering av data och dokument kan säkerställas.
            
            
               6.   Dataskyddsombudet ska ha ett elektroniskt verktyg till sitt förfogande som kan i) hantera registren över behandlingen av personuppgifter i enlighet med artikel 31 i förordningen och ii) lagra dataskyddsmeddelanden, anmälningar om personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd, registrerades begäranden och registren över uppgiftsöverföringar.
            
            
               7.   Europeiska utrikestjänsten ska stödja dataskyddsombudet i att upprätthålla och fördjupa sina expertkunskaper genom att bland annat underlätta deltagande i interinstitutionell eller extern utbildning, konferenser eller evenemang om dataskydd och i möten och utbildning anordnade av Europeiska utrikestjänsten och nätverket av dataskyddsombud för EU:s institutioner, organ och byråer.
            
         
         AVSNITT 3
         
            AKTÖRER SOM ÄR INVOLVERADE I FÖRFARANDEN RÖRANDE DATASKYDD
         
         
            Artikel 8
            Personuppgiftsansvariga och personuppgiftsbiträden
            
               1.   De delegerade personuppgiftsansvariga, företrädare för personuppgiftsansvariga och personuppgiftsbiträden ansvarar, på den personuppgiftsansvariges vägnar, för att se till att all behandling under deras kontroll överensstämmer med förordningen, särskilt med artikel 26 i denna, och med bestämmelserna i detta beslut. De får vid behov anförtro databehandlingsuppgifter åt anställda inom Europeiska utrikestjänsten som de ansvarar för eller åt kontrakterade enheter i enlighet med artikel 29 i förordningen.
            
            
               2.   Den personuppgiftsansvarige ska särskilt
               
                           a)
                        
                        
                           ansvara för, säkerställa och visa att behandlingen utförs i enlighet med förordningen och detta beslut,
                        
                     
                           b)
                        
                        
                           registrera all behandling och alla väsentliga ändringar av befintliga behandlingar,
                        
                     
                           c)
                        
                        
                           se till att de registrerade informeras om behandlingen av deras personuppgifter i enlighet med artiklarna 15 och 16 i förordningen genom att tillgängliggöra dataskyddsmeddelandena,
                        
                     
                           d)
                        
                        
                           samarbeta med dataskyddsombudet och Europeiska datatillsynsmannen, särskilt genom att tillhandahålla information som svar på deras begäranden inom 14 kalender dagar från datumet för begäran,
                        
                     
                           e)
                        
                        
                           informera dataskyddsombudet när en entreprenör tillåts behandla personuppgifter på den personuppgiftsansvariges vägnar,
                        
                     
                           f)
                        
                        
                           utnämna en uppgiftsskyddssamordnare, stödja denne i att utföra sina åligganden och informera dataskyddsombudet om eventuella ändringar av vem som agerar samordnare eller samordnarens funktion,
                        
                     
                           g)
                        
                        
                           samråda med dataskyddsombudet om huruvida behandlingen överensstämmer med förordningen och detta beslut. Den personuppgiftsansvarige får samråda med dataskyddsombudet eller andra experter i frågor som rör behandlingens konfidentialitet, tillgänglighet och integritet samt de säkerhetsåtgärder som vidtagits i enlighet med artikel 33 i förordningen.
                        
                     
            
               3.   Personuppgiftsansvariga får använda sig av andra enheter inom Europeiska utrikestjänsten eller kontrakterade enheter som behandlare i överensstämmelse med bestämmelserna i förordningen, så länge de registerför vem behandlaren är, anger vilka uppgifter som har anförtrotts behandlaren samt vilka säkerhetsåtgärder som vidtagits.
            
            
               4.   Den registeransvarige ska säkerställa att dataskyddsombudet utan dröjsmål informeras om
               
                           a)
                        
                        
                           alla frågor som har eller kan ha att göra med konsekvenser för dataskyddet,
                        
                     
                           b)
                        
                        
                           all kommunikation med Europeiska utrikestjänstens ledning och beslut som avser tillämpningen av förordningen, särskilt om interaktion med Europeiska datatillsynsmannen.
                        
                     
         
         
            Artikel 9
            Uppgiftsskyddssamordnare och uppgiftsskyddskorrespondent
            
               1.   Beroende på storleken hos och typen av personuppgifter som behandlas ska Europeiska utrikestjänstens organisatoriska enheter ha en uppgiftsskyddssamordnare som fungerar som kontaktpunkt för dataskydd. Alla förvaltande direktorat eller direktorat inom Europeiska utrikestjänstens högkvarter och alla EU-delegationer ska utnämna en uppgiftsskyddssamordnare eller en uppgiftsskyddskorrespondent. Alla avdelningar som regelbundet behandlar stora mängder personuppgifter, särskilda kategorier av uppgifter eller känsliga personuppgifter, vilkas behandling utgör en hög risk, ska också utnämna en egen uppgiftsskyddssamordnare. Uppgiftsskyddssamordnaren ska tilldelas en tjänst med överblick över enhetens verksamhet.
            
            
               2.   Uppgiftsskyddssamordnaren ska ha nödvändig kompetens samt förvärva kunskap om dataskydd. Uppgiftsskyddssamordnaren ska genomgå en introduktionsutbildning i dataskydd och kan delta i informationsmöten och möten för nätverket av uppgiftsskyddssamordnare.
            
            
               3.   Uppgiftsskyddssamordnaren ska
               
                           a)
                        
                        
                           utan att det påverkar dataskyddsombudets ansvar, biträda de personuppgiftsansvariga vid fullgörandet av deras skyldigheter,
                        
                     
                           b)
                        
                        
                           underlätta kommunikationen mellan uppgiftsskyddsombudet och de personuppgiftsansvariga,
                        
                     
                           c)
                        
                        
                           fungera som en kontaktpunkt för dataskyddsfrågor inom ramen för sin tjänst och samarbeta med dataskyddsombudet,
                        
                     
                           d)
                        
                        
                           informera och stödja sina kollegor i frågor relaterade till behandlingen av personuppgifter,
                        
                     
                           e)
                        
                        
                           vidarebefordra information till personalen om informationsevenemang och utbildning,
                        
                     
                           f)
                        
                        
                           samarbeta med dataskyddsombudet för att upprätta och uppdatera en förteckning över befintliga och nya behandlingar av personuppgifter,
                        
                     
                           g)
                        
                        
                           kontakta och meddela dataskyddsombudet om behandlingar av personuppgifter vid avdelningen,
                        
                     
                           h)
                        
                        
                           bistå med att identifiera de relevanta delegerade personuppgiftsansvariga och personuppgiftsbiträdena,
                        
                     
                           i)
                        
                        
                           uppföra register över sitt expertområde,
                        
                     
                           j)
                        
                        
                           stödja personuppgiftsansvariga i att upprätta och se över registren och utarbeta dataskyddsmeddelanden,
                        
                     
                           k)
                        
                        
                           bidra till att kontrollera efterlevnad och konsekvensbedömningar,
                        
                     
                           l)
                        
                        
                           säkerställa att de relevanta dataskyddsmeddelandena offentliggörs och används på ett korrekt sätt av avdelningen,
                        
                     
                           m)
                        
                        
                           meddela dataskyddsombudet om eventuella personuppgiftsincidenter,
                        
                     
                           n)
                        
                        
                           tillsammans med dataskyddsombudet utarbeta svar på begäranden från registrerade som utövar sin rätt och hantera klagomål och frågor som rör behandlingen av personuppgifter vid deras avdelning.
                        
                     
            
               4.   Uppgiftsskyddssamordnaren har rätt att erhålla den information som krävs för att identifiera behandling av personuppgifter och samråda med dataskyddsombudet på avdelningens vägnar. Detta inbegriper inte rätten att få tillgång till de personuppgifter som behandlas på den personuppgiftsansvarigas ansvar.
            
         
         
            Artikel 10
            Tillsättningsmyndigheten
            Tillsättningsmyndigheten ska samråda med dataskyddsombudet om begäranden eller klagomål i enlighet med artikel 90 i tjänsteföreskrifterna avseende tillämpningen av förordningen.
         
         
            Artikel 11
            Europeiska utrikestjänstens personal
            
               1.   Alla anställda vid Europeiska utrikestjänsten ska tillämpa de konfidentialitets- och säkerhetsregler för behandling av personuppgifter som anges i artiklarna 33, 34 och 35 i förordningen. Ingen av Europeiska utrikestjänstens anställda med tillgång till personuppgifter får behandla uppgifterna annat än enligt instruktioner från den personuppgiftsansvarige.
            
            
               2.   Europeiska utrikestjänstens personal ska meddela sin närmaste överordnade när de behöver behandla personuppgifter för att den personuppgiftsansvarige ska kunna dokumentera behandlingen i registret för dataskydd och utarbeta de nödvändiga dataskyddsmeddelandena.
            
            
               3.   Europeiska utrikestjänstens personal får lämna in en begäran till eller ta upp en fråga med dataskyddsombudet, däribland om påstådda personuppgiftsincidenter, eller får lämna in ett klagomål till Europeiska datatillsynsmannen avseende en påstådd överträdelse av förordningen eller av detta beslut utan att behöva meddela sina överordnade.
            
            
               4.   Om en anställd anser att ett tredjeland, ett territorium eller en eller flera specificerade sektorer i ett tredjeland, eller en internationell organisation inte säkerställer en adekvat skyddsnivå i den mening som avses i punkt 45.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (3) eller artikel 36.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (4) ska denne meddela dataskyddsombudet.
            
         
         AVSNITT 4
         
            ÅTGÄRDER OCH FÖRFARANDEN
         
         
            Artikel 12
            Inbyggda säkerhetsåtgärder samt inbyggt dataskydd och dataskydd som standard
            
               1.   Skyddsåtgärderna samt de tekniska och organisatoriska åtgärderna för att förhindra personuppgiftsincidenter, dataläckor och obehörigt röjande ska omfatta följande:
               
                           a)
                        
                        
                           Lämpliga definitioner av roller, skyldigheter och förfarandesteg.
                        
                     
                           b)
                        
                        
                           En säker elektronisk miljö för att förhindra olaglig eller oavsiktlig åtkomst till eller överföring av elektroniska uppgifter till obehöriga genom att använda säkerhetsåtgärder som byggts in i de olika it-applikationer som används.
                        
                     
                           c)
                        
                        
                           Säker behandling och lagring av dokument i pappersform.
                        
                     
                           d)
                        
                        
                           Individuellt beviljad elektronisk och fysisk åtkomst enbart för behörig personal med åtkomsträttigheter.
                        
                     
            
               2.   Före behandlingen av personuppgifter ska personuppgiftsansvariga tillämpa inbyggt dataskydd och dataskydd som standard i enlighet med artikel 27 i förordningen. För att tillämpa inbyggt dataskydd och dataskydd som standard får den personuppgiftsansvariga samråda med dataskyddsombudet och andra relevanta avdelningar, däribland it och it-säkerhet.
            
         
         
            Artikel 13
            Anmälningar om personuppgiftsincidenter
            Efter att den personuppgiftsansvarige eller personuppgiftsbiträdet får kännedom om incidenter, särskilt säkerhetsincidenter, som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller till obehörigt utlämnande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (nedan kallade personuppgiftsincidenter) ska denne omedelbart anmäla dem till dataskyddsombudet, och inom 72 timmar anmäla dem till Europeiska datatillsynsmannen, samt dokumentera incidenten på lämpligt sätt.
         
         
            Artikel 14
            Dataskyddsombudets utredning och hantering av begäranden och klagomål
            
               1.   Dataskyddsombudet får på eget initiativ eller på begäran inleda en utredning som rör en påstådd överträdelse av skyldigheterna i förordningen. Begäran ska skickas skriftligen till dataskyddsombudet.
            
            
               2.   Dataskyddsombudet får begära ett skriftligt uttalande i frågan av den personuppgiftsansvarige som har ansvaret för den berörda behandlingen av uppgifter. Den personuppgiftsvarige ska lämna sitt svar till dataskyddsombudet inom 14 kalenderdagar från mottagandet av begäran. Dataskyddsombudet får begära åtkomst till kompletterande information, dokument, databärare, datacentraler, lokaler och system från andra av Europeiska utrikestjänstens avdelningar, särskilt it-avdelningen, säkerhetsdirektoratet och det generaldirektorat som arbetar med administrativa utredningar och disciplinära förfaranden. Informationen eller yttrandet ska lämnas till dataskyddsombudet inom 14 kalenderdagar.
            
            
               3.   Om begäran är uppenbart ogrundad, missbrukas eller är orimlig, särskilt när begäranden av repetitiv art har gjorts av samma registrerade, får dataskyddsombudet vägra att tillmötesgå begäran i enlighet med artikel 14 i förordningen. Den sökande ska vederbörligen informeras om detta.
            
         
         AVSNITT 5
         
            DET FÖRFARANDE GENOM VILKET REGISTRERADE KAN UTÖVA SINA RÄTTIGHETER
         
         
            Artikel 15
            Allmänna bestämmelser
            
               1.   Registrerade får kontakta den personuppgiftsansvarige eller dataskyddsombudet för att utöva sina rättigheter i enlighet med artiklarna 14–24 i förordningen.
            
            
               2.   Registrerades begäran att få utöva sina rättigheter ska skickas in skriftligen. Vid behov ska dataskyddsombudet hjälpa den registrerade att identifiera den berörde personuppgiftsansvarige. Dataskyddsombudet ska vidarebefordra alla mottagna begäranden till den berörde personuppgiftsansvarige, som får samråda med dataskyddsombudet.
            
            
               3.   Den personuppgiftsansvarige ska behandla förfrågan och svara den registrerade direkt.
            
         
         
            Artikel 16
            Behandling av begäran från registrerade om att utöva sina rättigheter
            
               1.   Den personuppgiftsansvarige ska tillmötesgå begäran först efter att den begärandes identitet har kontrollerats eller, på begäran av en företrädare för den registrerade, efter att ha erhållit den registrerades tillstånd.
            
            
               2.   Den personuppgiftsansvarige som har ansvar för behandlingen av uppgifter ska skicka ett mottagningsbevis till den begärande inom 14 kalenderdagar från det att Europeiska utrikestjänsten mottagit begäran. Om inte någonting annat föreskrivs ska den personuppgiftsansvarige besvara begäran inom en månad efter det att begäran har registrerats. Den personuppgiftsansvarige ska antingen lämna ett positivt svar på begäran eller skriftligen ange skälen till att begäran fullständigt eller delvis avslås. Tidsfristen för svar får förlängas med upp till ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden, i enlighet med artikel 14.3 i förordningen.
            
            
               3.   Den registrerades begäran får avslås om
               
                           a)
                        
                        
                           begäran inte är motiverad,
                        
                     
                           b)
                        
                        
                           ett undantag som fastställts i förordningen gäller,
                        
                     
                           c)
                        
                        
                           en begränsning gäller i enlighet med de interna regler (5) som antagits på grundval av artikel 25 i förordningen.
                        
                     
            
               4.   Om begäran är uppenbart ogrundad, missbrukas eller är orimlig, särskilt när begäranden av repetitiv art har gjorts av samma registrerade, får den personuppgiftsansvarige, efter samråd med dataskyddsombudet, vägra att tillmötesgå begäran i enlighet med artikel 14 i förordningen. Den sökande ska vederbörligen informeras om detta.
            
         
         
            Artikel 17
            Undantag och begränsningar
            Begränsningarna i enlighet med de interna regler som antagits på grundval av artikel 25 i förordningen och de undantag som fastställts i artiklarna 15–19 och 21–24 i förordningen får endast tillämpas efter samråd med dataskyddsombudet.
         
         AVSNITT 6
         
            SLUTBESTÄMMELSER
         
         
            Artikel 18
            Information om detta beslut
            
               1.   I enlighet med artikel 41 i förordningen ska Europeiska datatillsynsmannen informeras om detta beslut.
            
            
               2.   Detta beslut ska göras tillgängligt för Europeiska utrikestjänstens personal på lämpligt sätt, särskilt genom offentliggörande på Europeiska utrikestjänstens interna webbplats.
            
         
         
            Artikel 19
            Upphävande
            Beslut PROC HR(2011) 016 av unionens höga representant för utrikes frågor och säkerhetspolitik av den 8 december 2011 om bestämmelserna om skydd av personuppgifter ska upphöra att gälla.
         
         
            Artikel 20
            Ikraftträdande
            Detta beslut träder i kraft dagen efter det att det har antagits.
         
         
            Utfärdat i Bryssel den 1 oktober 2019.
            
               Federica MOGHERINI
               
                  Den höga representanten
               
            
         
         
            (1)  EUT L 201, 3.8.2010, s. 30.
         
            (2)  EUT L 295, 21.11.2018, s. 39.
         
            (3)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
         
            (4)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).
         
            (5)  Beslut av unionens höga representant för utrikes frågor och säkerhetspolitik om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för Europeiska utrikestjänstens funktion (ADMIN(2019) 10).