CELEX: 32019D1031(02)
Language: hu
Date: 2019-10-01 00:00:00
Title: Az Unió külügyi és biztonságpolitikai főképviselőjének határozata (2019. október 1.) a személyes adatoknak az Európai Külügyi Szolgálat általi védelmével kapcsolatos végrehajtási szabályokról, valamint az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazásáról2019/C 370/05

31.10.2019   
               
               
                  HU
               
               
                  Az Európai Unió Hivatalos Lapja
               
               
                  C 370/9
               
            
         Az Unió külügyi és biztonságpolitikai főképviselőjének határozata
         (2019. október 1.)
         a személyes adatoknak az Európai Külügyi Szolgálat általi védelmével kapcsolatos végrehajtási szabályokról, valamint az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazásáról
         (2019/C 370/05)
         AZ UNIÓ KÜLÜGYI ÉS BIZTONSÁGPOLITIKAI FŐKÉPVISELŐJE,
         tekintettel az Európai Külügyi Szolgálat szervezetének és működésének a megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozatra (1) (a továbbiakban: az EKSZ-ről szóló tanácsi határozat) és különösen annak 11. cikke (3) bekezdésére,
         tekintettel a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 rendeletre (2) (a továbbiakban: a rendelet) és különösen annak 43., 44. és 45. cikkére,
         mivel:
         
                     (1)
                  
                  
                     A rendeletben előírt, fokozott adatkezelői elszámoltathatóság szükségessé teszi az EKSZ adatvédelmi szabályairól szóló, 2011. december 8-i PROC HR (2011) 016 uniós külügyi és biztonságpolitikai főképviselői határozatot felváltó új végrehajtási határozat elfogadását.
                  
               
                     (2)
                  
                  
                     Egyértelműen meg kell határozni és a rendelet követelményeihez kell igazítani az adatvédelmi tisztviselő szerepét és az adatkezelő Európai Külügyi Szolgálaton belüli feladatait,
                  
               A KÖVETKEZŐKÉPPEN HATÁROZOTT:
         1. SZAKASZ
         
            ÁLTALÁNOS RENDELKEZÉSEK
         
         
            1. cikk
            Tárgy és hatály
            
               (1)   A rendelet 45. cikkének (3) bekezdésével összhangban, e határozat megállapítja az adatvédelmi tisztviselőnek az EKSZ-en belüli feladatait, kötelességeit és hatásköreit.
            
            
               (2)   E határozat továbbá részletesebben meghatározza a belső eljárásokat, az adatkezelők és adatfeldolgozók feladatait, valamint az adatvédelmi koordinátorok és kapcsolattartók szerepét, feladatait és kötelességeit, különösen a rendelet 26. és 29. cikkének megfelelően.
            
         
         
            2. cikk
            Fogalommeghatározások
            E határozat alkalmazásában és a rendeletben meghatározott fogalmak sérelme nélkül:
            
                        a)
                     
                     
                        „adatkezelő”: az EKSZ vagy annak szervezeti egységei, beleértve az Európai Unió küldöttségeit, amelyek egyedül vagy másokkal együtt meghatározzák a személyes adatok kezelésének céljait és eszközeit;
                     
                  
                        b)
                     
                     
                        „az adatkezelő képviselője”: az EKSZ vezetésének tagjai vagy szervezeti egységek vezetői, akik az a) pontban említett adatkezelőket felügyelik, és akik felelősek és elszámoltathatók a személyes adatok kezeléséért;
                     
                  
                        c)
                     
                     
                        „meghatalmazott adatkezelő”: az adatkezelő szervezeten belüli szolgálat vagy személyzet, amelynek feladata a személyesadat-kezelési tevékenység irányítása;
                     
                  
                        d)
                     
                     
                        „közös adatkezelők”: két vagy több szervezeti egység, amelyek együtt határozzák meg a személyes adatok kezelésének céljait és eszközeit, valamint az adatkezelők szerepét és feladatait, beleértve az érintett jogainak gyakorlásával kapcsolatos kötelezettségeiket, különösen akkor, ha az EKSZ más uniós intézményekkel, szervekkel és hivatalokkal vagy bármely más szervezettel közösen ellenőrzi az adatkezelést;
                     
                  
                        e)
                     
                     
                        „adatvédelmi tisztviselő”: az EKSZ-személyzet azon tagja, akit az EKSZ a rendelet 43. cikkének megfelelően kijelölt az adatkezelők támogatása, tájékoztatása és nekik történő tanácsadás céljából;
                     
                  
                        f)
                     
                     
                        „adatvédelmi koordinátor és kapcsolattartó”: a központban és az uniós küldöttségeken dolgozó, az adatkezelők adatvédelmi ügyekben történő támogatására kijelölt EKSZ-személyzet;
                     
                  
                        g)
                     
                     
                        „adatfeldolgozó”: az EKSZ-en belüli vagy kívüli olyan szervezet, amely az adatkezelő nevében személyes adatokat kezel.
                     
                  
                        h)
                     
                     
                        „adatvédelmi értesítések”: értesítések, így például adatvédelmi nyilatkozatok, amelyekkel az adatkezelő a rendelet 15. és 16. cikkének megfelelően tájékoztatja az érintetteket.
                     
                  
                        i)
                     
                     
                        „EKSZ-személyzet”: az EKSZ-ről szóló tanácsi határozat 6. cikk összhangban az EKSZ-nél dolgozó európai uniós tisztviselők és egyéb alkalmazottak, beleértve az uniós tagállamok diplomáciai szolgálatainak személyzetét, a kirendelt nemzeti szakértőket és a gyakornokokat.
                     
                  
         2. SZAKASZ
         
            AZ ADATVÉDELMI TISZTVISELŐ
         
         
            3. cikk
            Az adatvédelmi tisztviselő kijelölése
            
               (1)   Az EKSZ főtitkára a rendelet 43. cikkével összhangban kijelöli az adatvédelmi tisztviselőt, és regisztrálja őt az európai adatvédelmi biztosnál.
            
            
               (2)   A rendelet 43. cikkének (3) bekezdésében található követelményeken túl az adatvédelmi tisztviselő kiválóan ismeri az EKSZ szervezeti egységeit, felépítését, információs rendszereit, igazgatási szabályait és eljárásait. A személyzeti szabályzat értelmében az adatvédelmi tisztviselő adatvédelmi szakismerettel és jó ítélőképességgel rendelkezik, továbbá képes pártatlan és tárgyilagos álláspontot képviselni.
            
            
               (3)   Az adatvédelmi tisztviselő kijelölése öt évre szól, és megbízatása meghosszabbítható.
            
            
               (4)   Az adatvédelmi tisztviselő kizárólag az Európai Adatvédelmi Biztos hozzájárulásával menthető fel megbízatásából, ha már nem felel meg a feladatának teljesítéséhez előírt feltételeknek.
            
            
               (5)   Az adatvédelmi tisztviselő igazgatási szempontból a főtitkár alá tartozik.
            
            
               (6)   Az adatvédelmi tisztviselő elérhetőségét közzé kell tenni az EKSZ intranetén és az EKSZ külső weboldalán, valamint közölni kell a európai adatvédelmi biztossal.
            
         
         
            4. cikk
            Az adatvédelmi tisztviselő jogállása
            
               (1)   Az adatvédelmi tisztviselő függetlenül, és az európai adatvédelmi biztossal együttműködve jár el. Az EKSZ nem ad utasításokat az adatvédelmi tisztviselőnek feladatai ellátásával kapcsolatban.
            
            
               (2)   Az adatvédelmi tisztviselőt feladatainak ellátásával összefüggésben nem lehet felmenteni vagy szankcionálni.
            
            
               (3)   Az adatvédelmi tisztviselőt tájékoztatni kell a rendelet és e határozat alkalmazásával kapcsolatos, külső felekkel való kapcsolatfelvételekről, különösen az európai adatvédelmi biztossal, valamint e az uniós intézményeken, szerveken és hivatalokon belüli adatvédelmi tisztviselői hálózat tagjaival való együttműködésről.
            
            
               (4)   Az érintettek a személyes adataik kezelésével vagy a rendelet alapján őket megillető jogok gyakorlásával kapcsolatos bármely kérdésben felvethetik a kapcsolatot adatvédelmi tisztviselővel.
            
            
               (5)   Az adatkezelő vagy képviselője, a személyzeti bizottság és a személyzet bármely tagja a rendelet értelmezésével vagy alkalmazásával kapcsolatos bármely kérdésben az adatvédelmi tisztviselőhöz fordulhat anélkül, hogy ehhez hivatalos csatornákat kellene igénybe vennie. Senki sem szenvedhet sérelmet amiatt, hogy felhívja az adatvédelmi tisztviselő figyelmét valamely kérdésre.
            
         
         
            5. cikk
            Az adatvédelmi tisztviselő feladatai
            Az adatvédelmi tisztviselő
            
                        a)
                     
                     
                        véleményét kikérik a személyes adatok védelmével kapcsolatos valamennyi kérdésben;
                     
                  
                        b)
                     
                     
                        iránymutatást nyújt és proaktívan tanácsot ad a személyesadat-kezelési tevékenységeket végző EKSZ-szervezetek és azok ilyen tevékenységet végző vállalkozói számára a rendelet és e határozat végrehajtásának módjáról, beleértve az adatvédelmi incidensek bejelentésével, a hatásvizsgálatokkal, és az európai adatvédelmi biztossal folytatott előzetes konzultáció szükségességével kapcsolatos konzultációt is;
                     
                  
                        c)
                     
                     
                        rendszeresen kapcsolatot tart az adatkezelőkkel, hogy figyelemmel kísérje az adatvédelmi szabályoknak való megfelelést, és támogassa őket feladataik ellátása során, különösen hogy hozzájáruljon az adatvédelmi értesítések előkészítéséhez és közzétételéhez, valamint az érintettek kéréseinek megválaszolásához;
                     
                  
                        d)
                     
                     
                        rendszeres kapcsolatot tart fenn a EKSZ központjában és az uniós küldöttségeknél dolgozó adatvédelmi koordinátorokkal, és irányítja az EKSZ-en belül adatvédelmi koordinátori hálózatot;
                     
                  
                        e)
                     
                     
                        fokozza az általános adatvédelmi tudatosságot, képzéseket és tájékoztatókat szervez;
                     
                  
                        f)
                     
                     
                        együttműködik más uniós intézmények, szervek és hivatalok adatvédelmi tisztviselőivel, különösen a tapasztalatok és a bevált gyakorlatok megosztása révén;
                     
                  
                        g)
                     
                     
                        a rendelet 31. cikkének megfelelően az adatkezelők által készített nyilvántartások alapján központi nyilvántartást vezet az EKSZ által végzett adatkezelési tevékenységekről, és nyilvánosan hozzáférhetővé teszi a nyilvántartást;
                     
                  
                        h)
                     
                     
                        az adatvédelemmel kapcsolatos valamennyi kérdésben közreműködik a főképviselő vagy az EKSZ nemzetközi szintű képviseletének ellátásában.
                     
                  
         
            6. cikk
            Hatáskörök
            Feladatainak ellátása során az adatvédelmi tisztviselő:
            
                        a)
                     
                     
                        mindig hozzáféréssel rendelkezik az EKSZ szervezetei és vállalkozói által kezelt adatokhoz, továbbá valamennyi irodához, adatkezelési központhoz és adathordozóhoz;
                     
                  
                        b)
                     
                     
                        az adatvédelmi rendelkezések alkalmazásával kapcsolatos kérdésekben történő döntések meghozatala előtt véleményt nyilvánít a kinevezésre jogosult hatóság számára;
                     
                  
                        c)
                     
                     
                        adminisztratív intézkedéseket javasolhat és általános ajánlásokat tehet a rendelet és e határozat megfelelő alkalmazására vonatkozóan;
                     
                  
                        d)
                     
                     
                        ajánlásokat tehet az adatvédelem gyakorlati javítására az EKSZ vezetése, személyzete és bármely érintett külső fél számára;
                     
                  
                        e)
                     
                     
                        kivizsgálhatja az adatvédelmi kérdéseket, és a vizsgálatot kérő vagy a panaszt benyújtó személyen kívül az adatkezelőnek, és az EKSZ-vezetés bármely érintett tagjának beszámolhat a vizsgálat eredményéről;
                     
                  
                        f)
                     
                     
                        sablonokat és belső eljárásokat, utasításokat vagy szakpolitikákat dolgozhat ki annak érdekében, hogy iránymutatást adjon az adatkezelők és adatfeldolgozók számára;
                     
                  
                        g)
                     
                     
                        igénybe veheti külső szakértők – köztük informatikai szakemberek – szolgáltatásait;
                     
                  
                        h)
                     
                     
                        felhívhatja az EKSZ kinevezésre jogosult hatóságának figyelmét arra, hogy a személyzet valamely tagja elmulasztotta a rendelet és e határozat szerinti kötelezettségek teljesítését, és javasolhatja igazgatási vizsgálat megindítását;
                     
                  
                        i)
                     
                     
                        belső adatvédelmi iránymutatásokat (az adatvédelmi tisztviselő iránymutató feljegyzései) bocsáthat ki, amelyeket figyelembe kell venni a személyes adatok kezelése során.
                     
                  
         
            7. cikk
            Források
            
               (1)   Az adatvédelmi tisztviselő számára biztosítani kell az e határozat 5. cikkében említett feladatainak teljesítéséhez szükséges, megfelelő személyzetet és forrásokat.
            
            
               (2)   Az EKSZ-személyzet minden tagja támogatja az adatvédelmi tisztviselőt az e határozat 5. cikkében említett feladatok végrehajtásában, mindenekelőtt az adatkezelők és adatfeldolgozók benyújtják az adatkezelési tevékenységekkel, a személyes adatokhoz való hozzáféréssel kapcsolatosan kért információkat, és választervezetket készítenek a hozzáférési, módosítási és törlési jogukkal élő érintettek azon kérdéseire, amelyek az adatvédelmi tisztviselőhöz érkeztek, azonban az adatkezelő felelősségi körébe tartozó adatkezelési tevékenységekre vonatkoznak.
            
            
               (3)   Az adatvédelmi tisztviselőt szükség esetén helyettes vagy kisegítő adatvédelmi tisztviselő, valamint igazgatási személyzet és titkársági támogatás segítheti. Az adatvédelmi tisztviselő más EKSZ szervezeti egységeket vagy szerződéses szervezeteket és külső szakértőket is igénybe vehet.
            
            
               (4)   Kijelölése esetén a helyettes vagy kisegítő adatvédelmi tisztviselő támogatja az adatvédelmi tisztviselőt feladatai ellátásában, és távolléte esetén képviselheti az adatvédelmi tisztviselőt. E határozat 4., 5. és 6. cikke a helyettes vagy kisegítő adatvédelmi tisztviselőre is vonatkozik.
            
            
               (5)   Az adatvédelmi tisztviselő megfelelő helyiségekkel rendelkezik, ahol garantálni lehet az információk – köztük a személyes adatok – biztonságát és bizalmas kezelését, valamint biztosítani lehet az adatok és dokumentumok megfelelő tárolását és archiválását.
            
            
               (6)   Az adatvédelmi tisztviselőnek olyan elektronikus eszköz áll a rendelkezésére, amely képes i. a rendelet 31. cikkének megfelelően kezelni a személyesadat-kezelési tevékenységek nyilvántartásait, és ii. tárolni az adatvédelmi értesítéseket, az adatvédelmi incidensekre vonatkozó bejelentéseket, az adatvédelmi hatásvizsgálatokat, az érintettek kéréseit és az adattovábbítások nyilvántartását.
            
            
               (7)   Az EKSZ támogatja az adatvédelmi tisztviselőt szakértői tudásának fenntartásában és bővítésében azáltal, hogy elősegíti az intézményközi vagy külső képzéseken, az adatvédelemmel kapcsolatos konferenciákon vagy rendezvényeken, valamint az európai adatvédelmi biztos és az uniós intézmények, szervek és hivatalok adatvédelmi tisztviselői hálózata által szervezett találkozókon és képzéseken való részvételt.
            
         
         3. SZAKASZ
         
            AZ ADATVÉDELEMMEL KAPCSOLATOS ELJÁRÁSOKBAN RÉSZT VEVŐ SZEREPLŐK
         
         
            8. cikk
            Adatkezelők és adatfeldolgozók
            
               (1)   A meghatalmazott adatkezelők, az adatkezelők és az adatfeldolgozók képviselői felelősek annak az adatkezelő nevében történő biztosításáért, hogy az ellenőrzésük alatt álló valamennyi adatfelkezelési tevékenység megfeleljen a rendeletnek, különösen annak 26. cikkének, valamint e határozat rendelkezéseinek. Szükség esetén a rendelet 29. cikkének megfelelően felhatalmazhatják a felelősségük alatt dolgozó EKSZ-személyzetet vagy szerződéses szervezeteket az adatkezelési feladatok ellátására.
            
            
               (2)   Az adatkezelők különösképpen:
               
                           a)
                        
                        
                           elszámoltathatók, biztosítják és igazolják, hogy az adatkezelésre a rendeletnek és e határozatnak megfelelően kerül sor;
                        
                     
                           b)
                        
                        
                           regisztrálják az adatkezelési tevékenységeket és a meglévő adatkezelési tevékenység bármely lényeges változását;
                        
                     
                           c)
                        
                        
                           gondoskodnak arról, hogy – a rendelet 15. és 16. cikkével összhangban – tájékoztassák az érintetteket adataik kezeléséről azáltal, hogy rendelkezésre bocsátják adatvédelmi értesítéseket;
                        
                     
                           d)
                        
                        
                           együttműködnek az adatvédelmi tisztviselővel és az európai adatvédelmi biztossal, különösen oly módon, hogy a kérelem keltétől számított 14 naptári napon belül válaszolnak a azok kéréseire;
                        
                     
                           e)
                        
                        
                           tájékoztatják az adatvédelmi tisztviselőt, ha az adatkezelő nevében vállalkozó a személyes adatok kezelését;
                        
                     
                           f)
                        
                        
                           adatvédelmi koordinátort neveznek ki, aki támogatják őket feladataik ellátásában, és tájékoztatják az adatvédelmi tisztviselőt az adatvédelmi koordinátor személyében vagy funkciójában bekövetkezett változásokról;
                        
                     
                           g)
                        
                        
                           konzultációt folytatnak az adatvédelmi tisztviselővel arról, hogy az adatkezelési tevékenységek megfelelnek-e a rendeletnek és e határozatnak. Konzultációt folytathatnak az adatvédelmi tisztviselővel vagy más szakértőkkel az adatkezelési tevékenységek bizalmas jellegével, hozzáférhetőségével, sértetlenségével, és a rendelet 33. cikke szerinti biztonsági intézkedésekkel kapcsolatos kérdésekben;
                        
                     
            
               (3)   Az adatkezelők a rendelet rendelkezéseinek megfelelően az EKSZ más szervezeti egységeit vagy szerződéses szervezeteket alkalmazhatnak adatfeldolgozóként mindaddig, amíg nyilvántartásukban feltüntetik az adatfeldolgozók személyét, meghatározzák a rájuk ruházott feladatokat és a meghozott biztonsági intézkedéseket.
            
            
               (4)   Az adatkezelő biztosítja, hogy az adatvédelmi tisztviselőt haladéktalanul tájékoztassák:
               
                           a)
                        
                        
                           minden olyan kérdésről, amelynek adatvédelmi vonatkozásai vannak vagy lehetnek;
                        
                     
                           b)
                        
                        
                           a rendelet alkalmazásával kapcsolatos EKSZ vezetői közleményekről és határozatokról, különösen az európai adatvédelmi biztossal való kapcsolattartásról.
                        
                     
         
         
            9. cikk
            Adatvédelmi koordinátor és kapcsolattartó
            
               (1)   Méretüktől és a kezelt személyes adatok típusától függően az EKSZ szervezeti egységei adatvédelmi koordinátorral rendelkeznek, aki adatvédelmi kapcsolattartási pontként jár el. Az EKSZ központ mindegyik ügyvezető igazgatósága és igazgatósága és minden uniós küldöttség adatvédelmi koordinátort vagy adatvédelmi kapcsolattartót jelöl ki. Minden olyan szervezeti egység, amely rendszeresen nagy mennyiségű és magas kockázatot jelentő személyes adatot, különleges kategóriájú adatot vagy érzékeny személyes adatot kezel, szintén saját adatvédelmi koordinátort jelöl ki. Az adatvédelmi koordinátori feladatkörrel olyan beosztású személyt bíznak meg, aki áttekintéssel rendelkezik a szervezet tevékenységeiről.
            
            
               (2)   Az adatvédelmi koordinátor rendelkezik a szükséges készségekkel és ismeretekkel az adatvédelem terén. Az adatvédelmi koordinátorok adatvédelmi bevezető képzésben részesülnek, és részt vehetnek az adatvédelmi koordinátori hálózat tájékoztató ülésein.
            
            
               (3)   Az adatvédelmi koordinátor:
               
                           a)
                        
                        
                           az adatvédelmi tisztviselő feladatkörének sérelme nélkül segíti az adatkezelőket kötelezettségeik teljesítésében;
                        
                     
                           b)
                        
                        
                           elősegíti az adatvédelmi tisztviselő és az adatkezelők közötti kommunikációt.
                        
                     
                           c)
                        
                        
                           adatvédelmi ügyekben kapcsolattartási pontként jár el a szervezeti egységén belül, és kapcsolatot tart fenn az adatvédelmi tisztviselővel;
                        
                     
                           d)
                        
                        
                           tájékoztatja és támogatja kollégáit a személyes adatok kezelésével kapcsolatos kérdésekben;
                        
                     
                           e)
                        
                        
                           továbbítja a személyzetnek a tudatosságerősítő rendezvényekkel és képzésekkel kapcsolatos információkat;
                        
                     
                           f)
                        
                        
                           együttműködik az adatvédelmi tisztviselővel a személyes adatok kezelésével kapcsolatos meglévő és új tevékenységek nyilvántartásának létrehozása és frissítése érdekében;
                        
                     
                           g)
                        
                        
                           kapcsolatot tart az adatvédelmi tisztviselővel és értesítést ad számára a szolgálatán belül kezelt személyes adatok tekintetében;
                        
                     
                           h)
                        
                        
                           közreműködik az érintett meghatalmazott adatkezelők és adatfeldolgozók azonosításában;
                        
                     
                           i)
                        
                        
                           nyilvántartásokat dolgoz ki a szakterületén;
                        
                     
                           j)
                        
                        
                           támogatja az adatkezelőket a nyilvántartások létrehozásában és felülvizsgálatában, és az adatvédelmi értesítések elkészítésében;
                        
                     
                           k)
                        
                        
                           hogy elősegítse a megfelelési ellenőrzéseket és hatásvizsgálatokat;
                        
                     
                           l)
                        
                        
                           gondoskodik a vonatkozó adatvédelmi értesítések közzétételéről és azoknak a szervezeti egysége általi helyes alkalmazásáról;
                        
                     
                           m)
                        
                        
                           értesíti az adatvédelmi tisztviselőt az esetleges adatvédelmi incidensekről;
                        
                     
                           n)
                        
                        
                           az adatvédelmi tisztviselővel együttműködve elkészíti a jogaikat gyakorló érintettek kéréseire adott válaszokat, kezeli a szervezeti egységének adatkezelési tevékenységeivel kapcsolatos kérdésekkel összefüggő panaszokat és kérdéseket.
                        
                     
            
               (4)   Az adatvédelmi koordinátor jogosult megkapni a személyesadat-kezelési tevékenységek azonosításához szükséges információkat és szervezeti egysége nevében konzultációt folytatni az adatvédelmi tisztviselővel. Ez nem foglalja magában az adatkezelő felelőssége mellett kezelt személyes adatokhoz való hozzáférés jogát.
            
         
         
            10. cikk
            Kinevezésre jogosult hatóság
            A kinevezésre jogosult hatóság konzultációt folytat az adatvédelmi tisztviselővel a személyzeti szabályzat 90. cikke szerinti, a rendelet alkalmazásával kapcsolatban bármely kérelemről vagy panaszról.
         
         
            11. cikk
            Az EKSZ-személyzet
            
               (1)   A EKSZ-személyzet minden tagja alkalmazza a személyes adatok kezelésére a rendelet 33., 34. és 35. cikkében foglalt titoktartási és biztonsági szabályokat. Az EKSZ-személyzet egyetlen, személyes adatokhoz hozzáféréssel rendelkező tagja sem kezeli az adatokat az adatkezelőktől kapott utasításoktól eltérő módon.
            
            
               (2)   Az EKSZ-személyzet minden tagja jelzi a közvetlen felettese számára, ha személyes adatokat kell kezelnie annak érdekében, hogy az adatkezelők dokumentálhassák az adatkezelést az adatvédelmi nyilvántartásaikban, és elkészíthessék a szükséges adatvédelmi értesítéseket.
            
            
               (3)   Az EKSZ-személyzet bármely tagja benyújthat kérelmet vagy felvethet valamely – akár egy állítólagos adatvédelmi incidenssel kapcsolatos – aggályt az adatvédelmi tisztviselő számára, vagy panaszt nyújthat be az európai adatvédelmi biztosnál a rendelet vagy e határozat állítólagos megsértésével kapcsolatban, anélkül, hogy erről a feletteseit tájékoztatni kellene.
            
            
               (4)   Ha a személyzet bármely tagja úgy véli, hogy valamely harmadik ország, terület, vagy egy harmadik országon belüli terület, illetve egy vagy több meghatározott ágazat, vagy nemzetközi szervezet az (EU) 2016/679 európai parlamenti és tanácsi rendelet (3) 45. cikkének (3) bekezdése, vagy az (EU) 2016/680 európai parlamenti és tanácsi irányelv (4), 36. cikkének (3) bekezdése értelmében nem biztosít megfelelő szintű védelmet, értesíti erről az adatvédelmi tisztviselőt.
            
         
         4. SZAKASZ
         
            INTÉZKEDÉSEK ÉS ELJÁRÁSOK
         
         
            12. cikk
            Biztonsági intézkedések, valamint beépített és alapértelmezett adatvédelem
            
               (1)   Az adatvédelmi incidensek, az adatok kiszivárogtatásának vagy jogosulatlan közlésének elkerülésére irányuló biztosítékok, technikai és szervezési intézkedések kiterjednek a következőkre:
               
                           a)
                        
                        
                           a szerepek, feladatok és eljárási lépések megfelelő meghatározása;
                        
                     
                           b)
                        
                        
                           biztonságos elektronikus környezet, amely az alkalmazott informatikai alkalmazásokban beépített biztonsági intézkedésekkel megakadályozza az elektronikus adatokhoz való jogosulatlan vagy véletlen hozzáférést vagy azok illetéktelen személyek számára történő továbbítását;
                        
                     
                           c)
                        
                        
                           a papíralapú dokumentumok biztonságos kezelése és tárolása;
                        
                     
                           d)
                        
                        
                           elektronikus és fizikai hozzáférés kizárólag az egyénileg engedélyezendő hozzáférési jogosultságokkal rendelkező, felhatalmazott személyzet számára;
                        
                     
            
               (2)   Az adatkezelési tevékenységek kialakítása előtt az adatkezelők megvalósítják a rendelet 27. cikkében említett beépített és alapértelmezett adatvédelmet. A beépített és alapértelmezett adatvédelem megvalósítása érdekében az adatkezelő konzultációt folytathat az adatvédelmi tisztviselővel és más érintett szervezeti egységekkel, például az informatikai és informatikai biztonsági szolgálattal.
            
         
         
            13. cikk
            Az adatvédelmi incidensek bejelentése
            Az adatkezelő vagy adatfeldolgozó bármely incidens, különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítésével, elvesztésével, megváltoztatásával, jogosulatlan nyilvánosságra hozatalával vagy az azokhoz való jogosulatlan hozzáféréssel járó biztonsági sérelem (a továbbiakban: a személyes adatok megsértése) esetén azonnal értesíti az adatvédelmi tisztviselőt, 72 órán belül pedig az európai adatvédelmi biztost, és megfelelően dokumentálja az incidenst.
         
         
            14. cikk
            A kérelmeknek és panaszoknak az adatvédelmi tisztviselő általi kivizsgálása és kezelése
            
               (1)   Az adatvédelmi tisztviselő hivatalból vagy kérelemre vizsgálatot indíthat a rendelet szerinti kötelezettségek állítólagos megsértésével kapcsolatosan. A kérelmet írásban kell az adatvédelmi tisztviselőhöz intézni.
            
            
               (2)   Az adatvédelmi tisztviselő az ügyre vonatkozó írásbeli nyilatkozatot kérhet a vonatkozó adatkezelési tevékenységért felelős adatkezelőtől. Az adatkezelő az e kérelem beérkezésétől számított 14 naptári napon belül megküldi válaszát az adatvédelmi tisztviselőnek. Az adatvédelmi tisztviselő kiegészítő információkhoz, dokumentumokhoz, adathordozókhoz, adatközpontokhoz, helyiségekhez és rendszerekhez való hozzáférést kérhet az EKSZ egyéb szervezeti egységeitől, különösen az informatikai szervezeti egységtől, a biztonsági igazgatóságtól, valamint az igazgatási vizsgálatokkal és fegyelmi eljárásokkal foglalkozó főigazgatóságtól. Az adatvédelmi tisztviselő 14 naptári napon belül megkapja a tájékoztatást vagy véleményt.
            
            
               (3)   Nyilvánvalóan megalapozatlan, visszaélésszerű és túlzott mértékű kérelmek esetében, különösen, ha ugyanaz az érintett ismétlődő kérelmeket nyújtott be, az adatvédelmi tisztviselő a rendelet 14. cikke alapján megtagadhatja az intézkedést. A kérelmezőt erről megfelelően tájékoztatni kell.
            
         
         5. SZAKASZ
         
            AZ ÉRINTETTEK JOGAINAK GYAKORIÁSÁVAL KAPCSOLATOS ELJÁRÁS
         
         
            15. cikk
            Általános rendelkezések
            
               (1)   Az érintettek a rendelet 14–24. cikke szerinti jogaik gyakorlása céljából kapcsolatba léphetnek az adatkezelővel vagy az adatvédelmi tisztviselővel.
            
            
               (2)   Az érintettek jogainak gyakorlására vonatkozó kérelmeket írásban kell benyújtani. Szükség esetén az adatvédelmi tisztviselő segít az érintettnek az érintett adatkezelő beazonosításában. Az adatvédelmi tisztviselő továbbítja a kapott kérelmeket az érintett adatkezelőhöz, aki konzultációt folytathat az adatvédelmi tisztviselővel.
            
            
               (3)   Az adatkezelők kezelik a kérelmet, és közvetlenül válaszolnak az érintettnek.
            
         
         
            16. cikk
            Az érintett jogainak gyakorlására irányuló kérelmek kezelése
            
               (1)   Az adatkezelők a kérelem alapján csak azt követően járnak el, hogy ellenőrizték a kérelmező személyazonosságát vagy – az érintett képviselőjének kérése esetén – benyújtották az érintett meghatalmazását.
            
            
               (2)   Az adatkezelési tevékenységért felelős adatkezelő a kérelemnek az EKSZ általi kézhezvételét követő 14 naptári napon belül átvételi elismervényt küld a kérelmező részére. Ellenkező rendelkezés hiányában az adatkezelő a kérelem iktatásától számított 1 hónapon belül válaszol a kérelemre. Az adatkezelő kedvező választ ad a kérelemre, vagy írásban közli a teljes vagy részleges elutasítás okait. A rendelet 14. cikke (3) bekezdésének megfelelően, figyelembe véve a kérelem összetettségét és a kérelmek számát, a válaszadási határidő további 2 hónappal meghosszabbítható.
            
            
               (3)   Az érdekelt kérelme elutasítható, ha
               
                           a)
                        
                        
                           a kérelem nem indokolt;
                        
                     
                           b)
                        
                        
                           a rendeletben megállapított valamely kivétel alkalmazandó;
                        
                     
                           c)
                        
                        
                           a rendelet 25. cikk alapján elfogadott belső szabályokkal (5) összhangban valamely korlátozás alkalmazandó.
                        
                     
            
               (4)   Nyilvánvalóan megalapozatlan, visszaélésszerű és túlzott mértékű kérelmek esetében, különösen, ha ugyanaz az érintett ismétlődő kérelmeket nyújtott be, az adatkezelő az adatvédelmi tisztviselővel folytatott konzultációt követően a rendelet 14. cikke alapján megtagadhatja az intézkedést. A kérelmezőt erről megfelelően tájékoztatni kell.
            
         
         
            17. cikk
            Kivételek és korlátozások
            A rendelet 25. cikke alapján elfogadott belső szabályokkal összhangban álló korlátozások és a rendelet 15–19. és 21–24. cikkében megállapított kivételek kizárólag az adatvédelmi tisztviselővel folytatott konzultációt követően alkalmazhatók.
         
         6. SZAKASZ
         
            ZÁRÓ RENDELKEZÉSEK
         
         
            18. cikk
            Az e határozattal kapcsolatos kommunikáció
            
               (1)   A rendelet 41. cikkének megfelelően az európai adatvédelmi biztost tájékoztatni kell erről a határozatról.
            
            
               (2)   Ezt a határozatot a megfelelő eszközök – különösen az EKSZ belső honlapján történő közzététel – révén az EKSZ-személyzet rendelkezésére kell bocsátani.
            
         
         
            19. cikk
            Hatályon kívül helyezés
            Az adatvédelemre vonatkozó szabályokról szóló, 2011. december 8-i PROC HR (2011) 016 uniós külügyi és biztonságpolitikai főképviselői határozatot hatályát veszti.
         
         
            20. cikk
            Hatály
            Ez a határozat az elfogadását követő napon lép hatályba.
         
         
            Kelt Brüsszelben, 2019. október 1-jén.
            
               Federica MOGHERINI
               
                  főképviselő
               
            
         
         
            (1)  HL L 201., 2010.8.3., 30. o.
         
         
            (2)  HL L 295., 2018.11.21., 39. o.
         
         
            (3)  Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L 119., 2016.5.4., 1. o.).
         
            (4)  Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (HL L 119., 2016.5.4., 89. o.).
         
            (5)  Az Unió külügyi és biztonságpolitikai főképviselőjének határozata a személyes adatoknak az Európai Külügyi Szolgálat működése keretében történő kezelésével kapcsolatban az érintetteket megillető egyes jogok korlátozására vonatkozó belső szabályokról (ADMIN(2019) 10).