CELEX: 32012D1012(03)
Language: nl
Date: 2011-12-08 00:00:00
Title: Besluit van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid van 8 december 2011 betreffende de voorschriften voor gegevensbescherming

12.10.2012   
            
            
               NL
            
            
               Publicatieblad van de Europese Unie
            
            
               C 308/8
            
         Besluit van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid
   van 8 december 2011
   betreffende de voorschriften voor gegevensbescherming
   2012/C 308/07
   DE HOGE VERTEGENWOORDIGER,
   Gezien Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden, hierna „het EDEO-besluit van de Raad” genoemd, en met name artikel 11, lid 3,
   HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
   AFDELING 1
   
      ALGEMENE BEPALINGEN
   
   Artikel 1
   Onderwerp en toepassingsgebied
   Bij dit besluit worden uitvoeringsvoorschriften vastgesteld voor Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad, hierna „de verordening” genoemd, voor wat betreft de Europese dienst voor extern optreden, hierna „EDEO” genoemd, overeenkomstig artikel 24, lid 8 van dat besluit.
   Artikel 2
   Definities
   Voor de doeleinden van dit besluit en onverminderd de in de verordening vervatte definities wordt verstaan onder:
   a)   „verantwoordelijke voor de verwerking”: de EDEO, zijn directeuren, of hoofden van diensten met een gelijkwaardige omvang of taak, en de hoofden van delegaties van de Unie, die alleen of tezamen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen;
   b)   „coördinator voor gegevensbescherming”: een personeelslid van de EDEO op AD-niveau dat is aangewezen voor coördinatie van en assistentie bij aangelegenheden betreffende gegevensbescherming in de directoraten of diensten met een gelijkwaardige omvang of taak of in de delegaties van de Unie, indien daaraan behoefte is;
   c)   „verwerker”: elk lid van het personeel van de EDEO of contractuele entiteiten dat door de verantwoordelijke voor de verwerking met gegevensverwerkingstaken is belast;
   d)   „personeel van de EDEO”: ambtenaren en andere personeelsleden van de Europese Unie die bij de EDEO werkzaam zijn, met inbegrip van personeelsleden van diplomatieke diensten van de lidstaten die als tijdelijke ambtenaren zijn aangesteld, overeenkomstig artikel 6 van het EDEO-besluit van de Raad.
   AFDELING 2
   
      FUNCTIONARIS VOOR GEGEVENSBESCHERMING
   
   Artikel 3
   Aanstelling en statuut van de functionaris voor gegevensbescherming
   1.   Het hoofd operationele zaken selecteert en benoemt de functionaris voor gegevensbescherming (hierna „DPO” genoemd), overeenkomstig artikel 24, lid 2, van de verordening, en registreert hem bij de Europese Toezichthouder voor gegevensbescherming (hierna „EDPS” genoemd). De DPO ressorteert rechtstreeks onder het hoofd operationele zaken.
   2.   De ambtstermijn van de DPO is vijf jaar en kan éénmaal worden verlengd.
   3.   Met betrekking tot de uitoefening van zijn functie handelt de DPO onafhankelijk en in samenwerking met de EDPS. In het bijzonder mag de DPO van het tot aanstelling bevoegd gezag van de EDEO of van anderen geen instructies krijgen betreffende de interne toepassing van de bepalingen van de verordening en van dit besluit of betreffende zijn samenwerking met de EDPS. De DPO woont regelmatig opleidingssessies bij op het gebied van gegevensbescherming en het hoofd operationele zaken neemt de daartoe noodzakelijke maatregelen.
   4.   Het hoofd operationele zaken evalueert jaarlijks de wijze waarop de DPO zijn taken en plichten vervult op basis van het jaarverslag van de DPO, zo nodig na overleg met de EDPS. De DPO kan, indien hij niet langer aan de voor de uitoefening van zijn functie vereiste voorwaarden voldoet, alleen met instemming van de EDPS worden ontslagen.
   5.   Onverminderd de procedure voor zijn benoeming wordt de DPO ingelicht over alle contacten met externe instanties die verband houden met de toepassing van de verordening en van dit besluit, met name wat de betrekkingen met de EDPS betreft.
   6.   Onverminderd de desbetreffende bepalingen van de verordening zijn de DPO en zijn personeel onderworpen aan het statuut van de ambtenaren en andere personeelsleden van de Europese Unie.
   Artikel 4
   Verplichtingen
   De DPO heeft de volgende verplichtingen:
   
               a)
            
            
               hij zorgt ervoor dat de verantwoordelijken voor de verwerking, de coördinatoren voor gegevensbescherming en de betrokkenen in kennis worden gesteld van hun rechten en plichten op grond van de verordening en van dit besluit, en dat schending van de rechten en vrijheden van de betrokkenen ten gevolge van de verwerking onwaarschijnlijk is. Bij de uitvoering van die taak stelt hij in het bijzonder informatie- en meldingsformulieren op, raadpleegt hij belangstellenden en bevordert hij de algemene bekendheid met kwesties op het gebied van gegevensbescherming;
            
         
               b)
            
            
               hij gaat in op verzoeken van de EDPS en werkt binnen het kader van zijn bevoegdheden samen met de EDPS, op verzoek van deze laatste of op eigen initiatief;
            
         
               c)
            
            
               hij draagt op onafhankelijke wijze zorg voor de interne toepassing van de bepalingen van de verordening en van dit besluit in de EDEO;
            
         
               d)
            
            
               hij houdt een register bij van alle door de EDEO verrichte verwerkingen en verleent eenieder toegang daartoe, direct of indirect via de EDPS, overeenkomstig de artikelen 14 en 15; dit register mag ook in elektronische vorm worden bijgehouden;
            
         
               e)
            
            
               hij stelt de EDPS in kennis van de verwerkingen die met grote waarschijnlijkheid bijzondere risico’s in de zin van artikel 27, lid 2, van de verordening inhouden.
            
         Artikel 5
   Taken
   1.   Naast zijn algemene verplichtingen op grond van artikel 4 heeft de DPO de volgende taken:
   
               a)
            
            
               hij verstrekt het tot aanstelling bevoegd gezag van de EDEO en de verantwoordelijken voor de verwerking advies over zaken die verband houden met de toepassing van de bepalingen van de verordening en van dit besluit. Hij kan door het tot aanstelling bevoegd gezag, de betrokken verantwoordelijken voor de verwerking en verwerkers, het personeelscomité en alle personeelsleden van de EDEO worden geraadpleegd, zonder de officiële weg te volgen, over elke aangelegenheid betreffende de uitlegging of de toepassing van de verordening en van dit besluit;
            
         
               b)
            
            
               hij onderzoekt op eigen initiatief of op verzoek van het tot aanstelling bevoegd gezag, de verantwoordelijken voor de verwerking, de verwerkers, het personeelscomité of enig personeelslid van de EDEO de aangelegenheden en gebeurtenissen die rechtstreeks verband houden met zijn taken en waarvan hij op de hoogte is, en brengt hierover verslag uit aan het tot aanstelling bevoegd gezag of aan degene die om het onderzoek verzocht heeft. Zo nodig worden alle betrokkenen daarvan in kennis gesteld. Indien de klacht afkomstig is van een particulier, of indien de klager namens een particulier optreedt, moet de DPO er zo veel mogelijk voor zorgen dat het verzoek vertrouwelijk blijft, tenzij de betrokkene uitdrukkelijk toestemming verleent om het verzoek anders te behandelen;
            
         
               c)
            
            
               hij werkt bij de uitoefening van zijn functie samen met de DPO’s van andere instellingen en organen van de Europese Unie, in het bijzonder door ervaringen en beste praktijken uit te wisselen;
            
         
               d)
            
            
               hij vertegenwoordigt de hoge vertegenwoordiger of de EDEO, naargelang van het geval, bij alle aangelegenheden die verband houden met gegevensbescherming, onverminderd de bepalingen van de Verdragen, en met name artikel 218 van het Verdrag betreffende de werking van de Europese Unie;
            
         
               e)
            
            
               hij brengt over zijn activiteiten jaarlijks verslag uit aan de hoge vertegenwoordiger en stelt het ter beschikking van het personeel van de EDEO.
            
         2.   Onverminderd artikel 4, onder b), artikel 5, lid 1, onder b) en c), en artikel 15, mogen de DPO en zijn personeel inlichtingen of bescheiden die zij in het kader van de uitoefening van hun verplichtingen en taken verkrijgen, niet openbaar maken.
   Artikel 6
   Bevoegdheden
   Bij de uitoefening van zijn functie:
   
               a)
            
            
               heeft de DPO te allen tijde toegang tot de gegevens die het voorwerp van verwerking vormen en tot alle kantoren, gegevensverwerkingsapparatuur en gegevensdragers;
            
         
               b)
            
            
               kan de DPO de afdeling juridische zaken van de EDEO om advies vragen;
            
         
               c)
            
            
               kan de DPO de diensten van externe deskundigen op het gebied van informatietechnologie inroepen, overeenkomstig het Financieel Reglement (Verordening (EG, Euratom) nr. 1605/2002 van de Raad) en de uitvoeringsvoorschriften daarvan;
            
         
               d)
            
            
               kan de DPO, onverminderd de taken en bevoegdheden van de EDPS, bestuursmaatregelen voorstellen en algemene aanbevelingen doen betreffende de juiste toepassing van de verordening en van dit besluit;
            
         
               e)
            
            
               kan de DPO in specifieke gevallen aan de hiërarchie van de EDEO en/of andere betrokkenen andere aanbevelingen doen voor de praktische verbetering van de gegevensbescherming;
            
         
               f)
            
            
               kan de DPO het feit dat een personeelslid zijn verplichtingen uit hoofde van de verordening niet nakomt onder de aandacht van het tot aanstelling bevoegd gezag van de EDEO brengen en voorstellen dat een administratief onderzoek wordt ingesteld met het oog op de mogelijke toepassing van artikel 49 van de verordening.
            
         Artikel 7
   Middelen
   De DPO krijgt de beschikking over het nodige personeel en de nodige financiële middelen om zijn verplichtingen en taken uit te voeren.
   AFDELING 3
   
      RECHTEN EN PLICHTEN VAN DE ACTOREN OP HET GEBIED VAN GEGEVENSBESCHERMING
   
   Artikel 8
   Tot aanstelling bevoegd gezag
   1.   In geval van een klacht betreffende overtreding van de verordening of van dit besluit, als bedoeld in artikel 90 van het statuut, raadpleegt het tot aanstelling bevoegd gezag de DPO, die uiterlijk vijftien dagen na ontvangst van het verzoek schriftelijk advies uitbrengt. Indien na het verstrijken van die termijn de DPO het tot aanstelling bevoegd gezag geen advies heeft verstrekt, is dit advies niet langer vereist. Het tot aanstelling bevoegd gezag is niet gebonden door het advies van de DPO.
   2.   De DPO wordt in kennis gesteld van elke aangelegenheid met mogelijke implicaties voor de gegevensbescherming.
   Artikel 9
   Verantwoordelijken voor de verwerking
   1.   De verantwoordelijken voor de verwerking zien erop toe dat de verordening en dit besluit worden nageleefd bij alle verwerkingen die onder hun toezicht plaatsvinden. Zij kunnen, overeenkomstig artikel 23 van de verordening, taken op het gebied van gegevensverwerking toevertrouwen aan EDEO-personeelsleden die onder hun verantwoordelijkheid werken of aan entiteiten waarmee daartoe een contract is gesloten.
   2.   In het bijzonder hebben de verantwoordelijken voor de verwerking de volgende verplichtingen:
   
               a)
            
            
               alvorens een verwerking of een reeks verwerkingen met een enkel doel of met verscheidene samenhangende doeleinden uit te voeren, stellen zij de DPO daarvan in kennis, alsmede van iedere belangrijke wijziging van een bestaande verwerking;
            
         
               b)
            
            
               zij staan de DPO en de EDPS bij de vervulling van hun taken bij, in het bijzonder door desgevraagd binnen dertig dagen informatie te verstrekken;
            
         
               c)
            
            
               zij werken samen met de coördinatoren voor gegevensbescherming aan de inventarisatie van verwerkingen van persoonsgegevens;
            
         
               d)
            
            
               zij treffen passende technische en organisatorische maatregelen en instrueren de verwerkers op passende wijze om de vertrouwelijkheid van de verwerking te garanderen en een beveiligingsniveau te waarborgen dat afgestemd is op de risico’s die verwerking met zich mee brengt;
            
         
               e)
            
            
               waar van toepassing raadplegen zij de DPO over de vraag of de verwerking in overeenstemming is met de verordening, in het bijzonder wanneer zij redenen hebben om aan te nemen dat bepaalde verwerkingen strijdig zijn met de artikelen 4 tot en met 10 van de verordening. Tevens kunnen zij de DPO en/of interne deskundigen inzake de beveiliging van informatietechnologie raadplegen over aangelegenheden die verband houden met de vertrouwelijkheid van de verwerking en de overeenkomstig artikel 22 van de verordening getroffen beveiligingsmaatregelen.
            
         Artikel 10
   Coördinatoren
   1.   Directeuren en hoofden van diensten met een gelijkwaardige omvang of taak, alsmede hoofden van delegaties van de Unie, wijzen indien noodzakelijk een coördinator voor gegevensbescherming aan, die onder hun verantwoordelijkheid werkt.
   Onverminderd de verantwoordelijkheden van de DPO dienen de coördinatoren:
   
               a)
            
            
               bijstand te verlenen bij de inventarisatie van alle bestaande verwerkingen van persoonsgegevens en samen te werken met de DPO bij het opstellen en actualiseren van de inventaris van bestaande verwerkingen van persoonsgegevens;
            
         
               b)
            
            
               bijstand te verlenen bij de identificatie van de betrokken verantwoordelijken voor de verwerking en verwerkers;
            
         
               c)
            
            
               het recht te hebben om van de verantwoordelijken voor de verwerking, de verwerkers en het personeel van de EDEO de informatie te verkrijgen die passend en noodzakelijk is voor de vervulling van hun bestuurlijke taken. Dit omvat niet het recht van toegang tot persoonsgegevens die onder de verantwoordelijkheid van de verantwoordelijken voor de verwerking worden verwerkt.
            
         
               d)
            
            
               toestemming te verlenen voor de melding aan de DPO van soorten of categorieën gegevensverwerking die in de organisatie worden verricht.
            
         2.   Onverminderd de bevoegdheden van de verantwoordelijke voor de verwerking dienen de coördinatoren:
   
               a)
            
            
               bijstand te verlenen aan de verantwoordelijken voor de verwerking om hun verplichtingen na te komen;
            
         
               b)
            
            
               waar nodig de communicatie tussen de DPO en de verantwoordelijken voor de verwerking te vergemakkelijken.
            
         Artikel 11
   Personeel van de EDEO
   1.   Het personeel van de EDEO draagt bij tot de toepassing van de regels inzake vertrouwelijkheid en beveiliging van de verwerking van persoonsgegevens, zoals bepaald in de artikelen 21 en 22 van de verordening. Personeelsleden van de EDEO die toegang hebben tot persoonsgegevens, mogen die niet op andere wijze verwerken dan op instructie van de verantwoordelijke voor de verwerking, tenzij de nationale of communautaire wetgeving in een andere regeling voorziet.
   2.   Ieder personeelslid van de EDEO kan bij de EDPS een klacht indienen wegens een vermeende inbreuk op de bepalingen van de verordening of van dit besluit betreffende de verwerking van persoonsgegevens, zonder daarvoor de officiële kanalen te volgen, zoals bepaald in de door EDPS vastgestelde voorschriften.
   Artikel 12
   Betrokkenen
   1.   Overeenkomstig het recht van betrokkenen om, overeenkomstig de artikelen 11 en 12 van de verordening, te worden geïnformeerd over elke hen betreffende verwerking van persoonsgegevens, kunnen de betrokkenen de verantwoordelijken voor de verwerking benaderen om hun in de artikelen 13 tot en met 19 van de verordening genoemde rechten uit te oefenen, zoals vastgesteld in afdeling 5 van dit besluit.
   2.   Elke betrokkene kan, onverminderd de mogelijkheden van beroep bij de rechter, een klacht indienen bij de EDPS, indien hij van oordeel is dat de hem krachtens de verordening of dit besluit verleende rechten geschonden zijn door de verwerking van zijn persoonsgegevens door de verantwoordelijken voor de verwerking, overeenkomstig de door de EDPS vastgestelde voorschriften.
   3.   Betrokkenen mogen geen nadeel ondervinden van het feit dat bij de EDPS een klacht is ingediend of dat een zaak onder de aandacht van de DPO is gebracht wegens een vermeende inbreuk op de bepalingen van de verordening.
   AFDELING 4
   
      REGISTER VAN GEMELDE VERWERKINGEN
   
   Artikel 13
   Meldingsprocedure
   1.   De verantwoordelijken voor de verwerking melden aan de DPO elke verwerking van persoonsgegevens door middel van een meldingsformulier dat via het intranet van de EDEO en de delegaties van de Unie (onder gegevensbescherming) verkrijgbaar is. De melding aan de DPO geschiedt elektronisch. Binnen tien werkdagen wordt de DPO een bevestiging van de melding toegezonden. Na ontvangst van de bevestiging van de melding maakt de DPO deze in het register bekend.
   2.   De melding bevat alle in artikel 25, lid 2, van de verordening genoemde informatie. De DPO wordt onverwijld van elke wijziging in deze informatie in kennis gesteld.
   3.   Nadere regels en procedures betreffende de meldingsprocedure die de verantwoordelijken voor de verwerking in acht moeten nemen, maken deel uit van de algemene aanbevelingen van de DPO.
   Artikel 14
   Inhoud en doel van het register
   1.   De DPO houdt een register van de verwerkingen van persoonsgegevens bij, dat wordt samengesteld op basis van de meldingen van de verantwoordelijken voor de verwerking.
   2.   Het register bevat ten minste de in artikel 25, lid 2, onder a) tot en met g), van de verordening bedoelde informatie. De door de DPO in het register ingevoerde informatie kan evenwel bij wijze van uitzondering worden beperkt, wanneer zulks nodig is om de beveiliging van een specifieke verwerking te garanderen.
   3.   Het register doet dienst als een repertorium van de verwerkingen van persoonsgegevens die door de EDEO worden uitgevoerd. Het is voor de betrokkenen toegankelijk ter vergemakkelijking van de uitoefening van hun in artikel 13 tot en met 19 van de verordening en in dit besluit genoemde rechten.
   Artikel 15
   Toegang tot het register
   1.   De DPO neemt passende maatregelen zodat elke betrokkene direct, of indirect via de EDPS, toegang heeft tot het register. De DPO verstrekt betrokkenen informatie en verleent hun bijstand met betrekking tot de indiening van verzoeken om toegang tot het register.
   2.   Tenzij onlinetoegang wordt verleend, worden verzoeken om toegang tot het register schriftelijk of in elektronische vorm ingediend, in één van de in artikel 342 van het Verdrag betreffende de werking van de Europese Unie genoemde talen en op voldoende nauwkeurige wijze om de DPO in staat te stellen de desbetreffende verwerkingen te identificeren. Aan de aanvrager wordt onverwijld een ontvangstbewijs toegezonden.
   3.   Indien een verzoek niet nauwkeurig genoeg is, vraagt de DPO de aanvrager om zijn verzoek te specificeren en biedt hij hem daarbij hulp. Bij verzoeken die een zeer groot aantal verwerkingen betreffen, kan de DPO informeel met de aanvrager overleggen om tot een redelijke oplossing te komen.
   4.   Elke betrokkene kan de DPO verzoeken om een afschrift van de informatie die met betrekking tot elke gemelde verwerking in het register beschikbaar is.
   AFDELING 5
   
      PROCEDURE VOOR DE UITOEFENING VAN DE RECHTEN VAN BETROKKENEN
   
   Artikel 16
   Algemene bepalingen
   1.   De in deze afdeling genoemde rechten van de betrokkenen mogen alleen worden uitgeoefend door de betrokkenen zelf of, bij wijze van uitzondering en met passende toestemming, namens de betrokkenen. Verzoeken worden schriftelijk aan de betrokken verantwoordelijke voor de verwerking toegezonden, met een afschrift aan de DPO. Zo nodig helpt de DPO de betrokkene vast te stellen wie ter zake de verantwoordelijke voor de verwerking is. De DPO stelt specifieke formulieren ter beschikking. De verantwoordelijken voor de verwerking willigen een verzoek alleen in, indien de formulieren volledig ingevuld zijn en de identiteit van de aanvrager naar behoren is geverifieerd. Er worden aan de betrokkenen geen kosten in rekening gebracht voor de uitoefening van hun rechten.
   2.   De verantwoordelijke voor de verwerking zendt de aanvrager binnen vijf werkdagen na registratie van het verzoek een ontvangstbewijs toe. Tenzij anders bepaald, beantwoordt de verantwoordelijke voor de verwerking een verzoek binnen vijftien dagen na de registratie ervan; hij willigt het verzoek in of deelt schriftelijk de redenen voor de volledige of gedeeltelijke weigering mee, in het bijzonder wanneer de aanvrager niet als betrokkene beschouwd wordt.
   3.   In geval van onregelmatigheden of kennelijk misbruik door de betrokkene bij de uitoefening van zijn rechten, en indien de verwerking volgens de betrokkene onwettig is, raadpleegt de verantwoordelijke voor de verwerking de DPO over het verzoek en/of verwijst hij de betrokkene door naar de DPO, die over de ontvankelijkheid en de behandeling van het verzoek beslist.
   4.   Iedere betrokkene kan de DPO raadplegen met betrekking tot zijn rechten in een specifiek geval. Elke betrokkene kan, onverminderd de mogelijkheden van beroep bij de rechter, een klacht indienen bij de EDPS indien hij van oordeel is dat de hem krachtens de verordening verleende rechten ten gevolge van de verwerking van zijn persoonsgegevens zijn geschonden.
   Artikel 17
   Recht van toegang
   De betrokkene heeft het recht om binnen drie maanden na ontvangst van het verzoek van de verantwoordelijken voor de verwerking zonder beperking de in de punten a) tot en met d) van artikel 13 van de verordening bedoelde informatie te verkrijgen door deze informatie ter plaatse te raadplegen ofwel een afschrift ervan te ontvangen, ook in elektronische vorm indien de aanvrager daaraan de voorkeur geeft.
   Artikel 18
   Recht van rectificatie
   Betrokkenen kunnen onnauwkeurige of onvolledige persoonsgegevens laten rectificeren door een verzoek in te dienen waarin de betrokken gegevens en de aan te brengen correcties worden vermeld. Het verzoek wordt onverwijld door de verantwoordelijke voor de verwerking behandeld.
   Artikel 19
   Recht van afscherming
   De verantwoordelijke voor de verwerking behandelt verzoeken om afscherming van gegevens uit hoofde van artikel 15 van de verordening zo spoedig mogelijk. In verzoeken daartoe moeten de betrokken gegevens en de reden voor de afscherming worden vermeld. De verantwoordelijke voor de verwerking licht de betrokkene die het verzoek heeft ingediend in alvorens de afscherming wordt opgeheven.
   Artikel 20
   Recht van wissing
   Betrokkenen kunnen verantwoordelijken voor de verwerking verzoeken om gegevens onverwijld te wissen in geval van onwettige verwerking, in het bijzonder bij inbreuk op de bepalingen van de artikelen 4 tot en met 10 van de verordening. In dergelijke verzoeken moeten de betrokken gegevens en de redenen voor of het bewijs van de onwettigheid van de verwerking worden vermeld. In geautomatiseerde gegevensbestanden geschiedt de afscherming in beginsel met technische middelen waardoor de mogelijkheid wordt uitgesloten dat gewiste gegevens nog langer verwerkt worden. Als het om technische redenen niet mogelijk is de gegevens te wissen, gaat de verantwoordelijke voor de verwerking over tot onmiddellijke afscherming van die gegevens, na raadpleging van de DPO en de betrokken persoon.
   Artikel 21
   Kennisgeving aan derde partijen
   Wanneer naar aanleiding van een verzoek gegevens van een betrokkene gerectificeerd, afgeschermd of gewist zijn, kan de betrokkene van de verantwoordelijken voor de verwerking verlangen dat derden aan wie zijn persoonsgegevens verstrekt zijn, daarvan in kennis worden gesteld, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost.
   Artikel 22
   Recht van bezwaar
   Betrokkenen kunnen, overeenkomstig artikel 18 van de verordening, bezwaar aantekenen tegen de verwerking van hen betreffende gegevens en tegen verstrekking of gebruik van hun persoonsgegevens. In verzoeken daartoe moeten de betrokken gegevens en de reden voor het verzoek worden vermeld. Indien het bezwaar gerechtvaardigd is, mag de verwerking in kwestie niet langer deze gegevens betreffen.
   Artikel 23
   Geautomatiseerde individuele beslissingen
   De betrokkene heeft het recht niet te worden onderworpen aan geautomatiseerde individuele besluiten als bedoeld in artikel 19 van de verordening, tenzij het besluit uitdrukkelijk is toegestaan krachtens nationale of EU-wetgeving dan wel door een besluit van de EDPS ter bescherming van de gerechtvaardigde belangen van de betrokkene. In beide gevallen krijgt de betrokkene de gelegenheid vooraf zijn standpunt bekend te maken en de DPO te raadplegen.
   Artikel 24
   Uitzonderingen en beperkingen
   1.   Voor zover rechtmatige redenen als bedoeld in artikel 20 van de verordening zulks duidelijk rechtvaardigen, kunnen verantwoordelijken voor de verwerking de in de artikelen 17 tot en met 21 van dit besluit bedoelde rechten beperken. Behoudens gevallen van absolute noodzaak raadpleegt de verantwoordelijke voor de verwerking eerst de DPO, wiens advies voor de EDEO niet bindend is. De verantwoordelijke voor de verwerking beantwoordt onverwijld verzoeken met betrekking tot de toepassing van uitzonderingen op en beperkingen van de uitoefening van rechten, en motiveert dit besluit.
   2.   Iedere betrokkene kan de EDPS verzoeken artikel 47, lid 1, onder c), van de verordening toe te passen.
   AFDELING 6
   
      ONDERZOEKSPROCEDURE
   
   Artikel 25
   Praktische uitvoering
   1.   Verzoeken tot instelling van een onderzoek worden schriftelijk aan de DPO gericht door middel van een daartoe door hem ter beschikking gesteld formulier. Ingeval het recht om te verzoeken om instelling van een onderzoek duidelijk misbruikt wordt, bijvoorbeeld wanneer dezelfde persoon recentelijk een identiek verzoek heeft gedaan, is de DPO niet verplicht de verzoeker te antwoorden.
   2.   Binnen 15 dagen na ontvangst zendt de DPO het tot aanstelling bevoegd gezag of de opdrachtgever van het onderzoek een ontvangstbewijs toe en gaat hij na of het verzoek als vertrouwelijk moet worden behandeld.
   3.   De DPO verzoekt de betrokken verantwoordelijke voor de verwerking om een schriftelijke verklaring over de zaak. De verantwoordelijke voor de verwerking doet zijn antwoord binnen 15 dagen aan de DPO toekomen. De DPO kan van andere diensten van de EDEO, zoals de afdeling beveiliging en informatiebeveiliging (Infosec), aanvullende informatie verlangen. Zo nodig, kan hij de afdeling juridische zaken van de EDEO om advies verzoeken. De informatie of het advies wordt binnen 30 dagen aan de DPO verstrekt.
   4.   De DPO brengt uiterlijk drie maanden na ontvangst van het verzoek verslag uit aan het tot aanstelling bevoegd gezag en aan de persoon die het verzoek heeft ingediend.
   AFDELING 7
   
      SLOTBEPALINGEN
   
   Artikel 26
   Bij onverenigbaarheid van de bepalingen van dit besluit met die van de verordening, prevaleert de verordening.
   Artikel 27
   Dit besluit wordt aan het personeel van de EDEO met passende middelen ter kennis gebracht, met name door bekendmaking op de intranetsite van de EDEO en de delegaties van de Unie (onder „Gegevensbescherming”).
   Artikel 28
   Inwerkingtreding
   Dit besluit treedt in werking op de dag waarop het wordt vastgesteld.
   
      Gedaan te Brussel, 8 december 2011.
      
         
            De hoge vertegenwoordiger
         
         C. ASHTON