CELEX: 32019D1031(02)
Language: nl
Date: 2019-10-01 00:00:00
Title: Besluit van de Hoge Vertegenwoordiger van de Unie voor Buitenlandse Zaken en veiligheidsbeleid van 1 oktober 2019 betreffende uitvoeringsbepalingen met betrekking tot de bescherming van persoonsgegevens door de Europese Dienst voor extern optreden en de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad2019/C 370/05

31.10.2019   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  C 370/9
               
            
         Besluit van de Hoge Vertegenwoordiger van de Unie voor Buitenlandse Zaken en veiligheidsbeleid
         van 1 oktober 2019
         betreffende uitvoeringsbepalingen met betrekking tot de bescherming van persoonsgegevens door de Europese Dienst voor extern optreden en de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad
         (2019/C 370/05)
         DE HOGE VERTEGENWOORDIGER VAN DE UNIE VOOR BUITENLANDSE ZAKEN EN VEILIGHEIDSBELEID,
         Gezien Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden (1) (hierna “het EDEO-besluit” genoemd), en met name artikel 11, lid 3,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (2) (hierna “de verordening” genoemd), en met name de artikelen 43, 44 en 45,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     Doordat in de verordening een grotere verantwoordingsplicht van verwerkingsverantwoordelijken wordt vastgelegd, moet een nieuw uitvoeringsbesluit worden goedgekeurd ter vervanging van Besluit PROC HR(2011) 016 van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid van 8 december 2011 inzake de regels over gegevensbescherming in de EDEO.
                  
               
                     (2)
                  
                  
                     De rol van functionaris voor gegevensbescherming en de verantwoordelijkheden van de verwerkingsverantwoordelijke binnen de Europese Dienst voor extern optreden moeten duidelijk worden vastgesteld en aan de voorschriften van de verordening worden aangepast,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         AFDELING 1
         
            ALGEMENE BEPALINGEN
         
         
            Artikel 1
            Onderwerp en toepassingsgebied
            
               1.   Overeenkomstig artikel 45, lid 3, van de verordening worden in dit besluit de taken, plichten en bevoegdheden van de functionaris voor gegevensbescherming (hierna “DPO” genoemd) binnen de EDEO vastgesteld.
            
            
               2.   Dit besluit specificeert ook de interne procedures en de verantwoordelijkheden van de verwerkingsverantwoordelijken en verwerkers, evenals de rol, de taken en de plichten van de coördinatoren en correspondenten voor gegevensbescherming, met name in verband met de artikelen 26 en 29 van de verordening.
            
         
         
            Artikel 2
            Definities
            Voor de toepassing van dit besluit en onverminderd de in de verordening vervatte definities wordt verstaan onder:
            
                        a)
                     
                     
                        “verwerkingsverantwoordelijke”: de EDEO of zijn organisatorische entiteiten, met inbegrip van EU-delegaties die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen;
                     
                  
                        b)
                     
                     
                        “vertegenwoordiger van de verwerkingsverantwoordelijke”: de leden van het management of hoofden van de organisatorische eenheden van de EDEO die toezicht houden op de onder a) bedoelde verwerkingsverantwoordelijken en die verantwoordelijk en aansprakelijk zijn voor de verwerking van persoonsgegevens;
                     
                  
                        c)
                     
                     
                        “gedelegeerde verwerkingsverantwoordelijke”: een dienst of personeel binnen de organisatorische entiteit die belast is met het beheer van de verwerking van persoonsgegevens;
                     
                  
                        d)
                     
                     
                        “gezamenlijke verwerkingsverantwoordelijken”: twee of meer organisatorische entiteiten die samen de doelstellingen en middelen voor de verwerking van persoonsgegevens bepalen, evenals de rol en verantwoordelijkheden van de verwerkingsverantwoordelijken, met inbegrip van hun taken in verband met de uitoefening van de rechten van de betrokkene, in het bijzonder wanneer de EDEO de verwerking gezamenlijk controleert met andere instellingen, organen, agentschappen, bureaus of andere entiteiten van de EU;
                     
                  
                        e)
                     
                     
                        “functionaris voor gegevensbescherming (DPO)”: het EDEO-personeelslid dat door de EDEO overeenkomstig artikel 43 van de verordening is aangewezen om de verwerkingsverantwoordelijken te ondersteunen, te informeren en te adviseren;
                     
                  
                        f)
                     
                     
                        “coördinator en correspondent voor gegevensbescherming (DPC)”: EDEO-personeelsleden in respectievelijk het hoofdkantoor en de EU-delegaties, aangewezen om de verwerkingsverantwoordelijken bij te staan op het vlak van gegevensbescherming;
                     
                  
                        g)
                     
                     
                        “verwerker”: een entiteit binnen of buiten de EDEO die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke;
                     
                  
                        h)
                     
                     
                        “kennisgevingen inzake gegevensbescherming”: kennisgevingen, zoals privacyverklaringen, waarmee de verwerkingsverantwoordelijke betrokkenen informeert op grond van de artikelen 15 en 16 van de verordening;
                     
                  
                        i)
                     
                     
                        “personeel van de EDEO”: ambtenaren en andere personeelsleden van de EU die bij de EDEO werkzaam zijn, met inbegrip van personeelsleden van diplomatieke diensten van de lidstaten, gedetacheerde nationale deskundigen en stagiairs, overeenkomstig artikel 6 van het EDEO-besluit van de Raad.
                     
                  
         AFDELING 2
         
            DE FUNCTIONARIS VOOR GEGEVENSBESCHERMING
         
         
            Artikel 3
            Aanwijzing van de functionaris voor gegevensbescherming (DPO)
            
               1.   De secretaris-generaal van de EDEO wijst een van de personeelsleden van de EDEO aan als DPO, overeenkomstig artikel 43 van de verordening, en deelt zijn contactgegevens mee aan de Europese Toezichthouder voor gegevensbescherming (hierna “EDPS” genoemd).
            
            
               2.   Naast de voorschriften van artikel 43, lid 3, van de verordening moet de DPO een degelijke kennis hebben van de diensten van de EDEO, hun structuur, hun informatiesystemen en hun administratieve regels en procedures. De DPO moet beschikken over deskundigheid op het gebied van gegevensbescherming en een onpartijdig en objectief standpunt overeenkomstig het statuut kunnen innemen.
            
            
               3.   De DPO wordt aangewezen voor een termijn van vijf jaar en komt in aanmerking voor herbenoeming.
            
            
               4.   De DPO kan, indien hij niet langer aan de voor de uitoefening van zijn functie vereiste voorwaarden voldoet, alleen met instemming van de EDPS worden ontslagen.
            
            
               5.   De DPO valt administratief onder de secretaris-generaal.
            
            
               6.   De contactgegevens van de DPO worden gepubliceerd op het intranet en op de externe website van de EDEO en worden meegedeeld aan de EDPS.
            
         
         
            Artikel 4
            Positie van de functionaris voor gegevensbescherming
            
               1.   De DPO handelt onafhankelijk en in samenwerking met de EDPS. De EDEO geeft geen instructies aan de DPO betreffende de uitvoering van zijn taken.
            
            
               2.   De DPO kan niet worden ontslagen of bestraft voor de uitvoering van zijn taken.
            
            
               3.   De DPO wordt ingelicht over alle contacten met externe instanties die verband houden met de toepassing van de verordening en van dit besluit, met name wat betreft de betrekkingen met de EDPS en met leden van het DPO-netwerk in instellingen, organen en instanties van de EU.
            
            
               4.   Elke betrokkene kan contact opnemen met de DPO over alle kwesties die verband houden met de verwerking van zijn persoonsgegevens of de uitoefening van zijn rechten op grond van de verordening.
            
            
               5.   De DPO kan door de verwerkingsverantwoordelijke of diens vertegenwoordiger, door het personeelscomité en alle personeelsleden worden geraadpleegd over elke aangelegenheid betreffende de uitlegging of de toepassing van de verordening, zonder dat zij daarvoor de officiële weg hoeven te volgen. Niemand mag nadeel ondervinden van het feit dat hij een zaak onder de aandacht van de DPO heeft gebracht.
            
         
         
            Artikel 5
            Taken van de functionaris voor gegevensbescherming
            De DPO
            
                        a)
                     
                     
                        wordt geraadpleegd over alle kwesties betreffende de bescherming van persoonsgegevens;
                     
                  
                        b)
                     
                     
                        geeft richtsnoeren en adviseert op proactieve wijze EDEO-entiteiten en hun contractanten die persoonsgegevens verwerken over de wijze waarop de verordening en dit besluit ten uitvoer kunnen worden gelegd, met inbegrip van advies over meldingen van inbreuken in verband met persoonsgegevens, effectbeoordelingen en de noodzaak van voorafgaande raadpleging van de EDPS;
                     
                  
                        c)
                     
                     
                        onderhoudt regelmatig contact met de verwerkingsverantwoordelijken om toezicht te houden op de naleving van de gegevensbescherming en hen te ondersteunen bij hun taken, met name om bij te dragen tot de voorbereiding en de publicatie van de kennisgevingen inzake gegevensbescherming en te antwoorden op verzoeken van betrokkenen;
                     
                  
                        d)
                     
                     
                        onderhoudt regelmatig contact met de DPC’s van het hoofdkantoor van de EDEO en de EU-delegaties en beheert het DPC-netwerk binnen de EDEO;
                     
                  
                        e)
                     
                     
                        bevordert de algemene bekendheid met kwesties op het gebied van gegevensbescherming en organiseert opleidingen en informatiesessies;
                     
                  
                        f)
                     
                     
                        werkt samen met de DPO’s van andere instellingen, organen en instanties van de EU, met name door ervaringen en beste praktijken uit te wisselen;
                     
                  
                        g)
                     
                     
                        houdt een centraal register van de verwerkingsactiviteiten die door de EDEO worden uitgevoerd op basis van de gegevens die door de verwerkingsverantwoordelijken zijn voorbereid overeenkomstig artikel 31 van de verordening en maakt dit register openbaar toegankelijk;
                     
                  
                        h)
                     
                     
                        ondersteunt het waarborgen van de vertegenwoordiging van de hoge vertegenwoordiger of de EDEO op internationaal niveau inzake alle kwesties die verband houden met gegevensbescherming.
                     
                  
         
            Artikel 6
            Bevoegdheden
            Bij de uitoefening van zijn functie:
            
                        a)
                     
                     
                        heeft de DPO te allen tijde toegang tot de gegevens die door entiteiten van de EDEO en hun contractanten worden verwerkt en tot alle bedrijfsruimten, gegevensverwerkingscentra en gegevensdragers;
                     
                  
                        b)
                     
                     
                        verleent de DPO advies aan het tot aanstelling bevoegde gezag voordat een beslissing over de toepassing van de bepalingen inzake gegevensbescherming wordt genomen;
                     
                  
                        c)
                     
                     
                        kan de DPO bestuursmaatregelen voorstellen en algemene aanbevelingen doen over de juiste toepassing van de verordening en van dit besluit;
                     
                  
                        d)
                     
                     
                        kan de DPO aan het management van de EDEO, de personeelsleden en alle betrokken externe partijen aanbevelingen doen voor de praktische verbetering van de gegevensbescherming;
                     
                  
                        e)
                     
                     
                        kan de DPO aangelegenheden betreffende gegevensbescherming onderzoeken en, evenals de persoon die om het onderzoek verzocht of de klacht indiende, het resultaat van het onderzoek rapporteren aan de verwerkingsverantwoordelijke en aan bevoegde leden van het EDEO-management;
                     
                  
                        f)
                     
                     
                        kan de DPO modellen en interne procedures, instructies of beleidslijnen ontwikkelen om de verwerkingsverantwoordelijken en verwerkers bij te staan;
                     
                  
                        g)
                     
                     
                        kan de DPO gebruikmaken van de diensten van externe deskundigen, onder wie IT-specialisten;
                     
                  
                        h)
                     
                     
                        kan de DPO de aandacht van het tot aanstelling bevoegde gezag van de EDEO vestigen op elk verzuim van een personeelslid om te voldoen aan de verplichtingen uit hoofde van de verordening en dit besluit en een administratief onderzoek voorstellen;
                     
                  
                        i)
                     
                     
                        kan de DPO interne richtsnoeren inzake gegevensbescherming (DPO-richtsnoeren) opstellen die bij de verwerking van persoonsgegevens moeten worden gevolgd.
                     
                  
         
            Artikel 7
            Middelen
            
               1.   De DPO krijgt de beschikking over het nodige personeel en de financiële middelen die nodig zijn om de in artikel 5 van dit besluit bedoelde taken uit te voeren.
            
            
               2.   Het EDEO-personeel ondersteunt de DPO bij het uitvoeren van de in artikel 5 van dit besluit bedoelde taken; met name de verwerkingsverantwoordelijken en de verwerkers verstrekken op verzoek informatie over gegevensverwerking en toegang tot persoonsgegevens, bereiden de antwoorden voor op verzoeken van betrokkenen die hun recht uitoefenen om toegang te krijgen tot hun persoonsgegevens, deze te wijzigen of te verwijderen als dergelijke verzoeken door de DPO zijn ontvangen maar betrekking hebben op verwerkingsactiviteiten waarop de verwerkingsverantwoordelijke toeziet.
            
            
               3.   Waar nodig kan de DPO een plaatsvervangend of adjunct-DPO hebben, net als administratief personeel en secretariële ondersteuning. De DPO kan ook gebruikmaken van andere EDEO- of gecontracteerde entiteiten en externe deskundigen.
            
            
               4.   De aangewezen adjunct- of assistent-DPO ondersteunt de DPO bij zijn taken en kan de DPO vertegenwoordigen in diens afwezigheid. De artikelen 4, 5 en 6 van dit besluit zijn eveneens van toepassing op de adjunct- of assistent-DPO.
            
            
               5.   De DPO beschikt over passende bedrijfsruimte waar de beveiliging en vertrouwelijkheid van informatie, met inbegrip van persoonsgegevens, kan worden gewaarborgd en waar passende opslag- en archiefruimte voor gegevens en documenten voorhanden is.
            
            
               6.   De DPO beschikt over een elektronisch instrument dat i) de registers van activiteiten op het gebied van de verwerking van persoonsgegevens krachtens artikel 31 van de verordening kan beheren en ii) opslagmogelijkheden biedt voor kennisgevingen inzake gegevensbescherming, kennisgevingen van inbreuken op gegevens, gegevensbeschermingseffectbeoordelingen, verzoeken van betrokkenen en registers van overdracht van gegevens.
            
            
               7.   De EDEO ondersteunt de DPO bij het op peil houden en uitbreiden van zijn deskundigheid, onder meer door hem te laten deelnemen aan interinstitutionele of externe opleidingen, conferenties of evenementen in verband met gegevensbescherming en aan vergaderingen en opleidingen van de EDPS en het DPO-netwerk van instellingen, organen en instanties van de EU.
            
         
         AFDELING 3
         
            ACTOREN BIJ PROCEDURES IN VERBAND MET GEGEVENSBESCHERMING
         
         
            Artikel 8
            Verwerkingsverantwoordelijken en verwerkers
            
               1.   De gedelegeerde verwerkingsverantwoordelijken en de vertegenwoordigers van de verwerkingsverantwoordelijken en de verwerkers zorgen er namens de verwerkingsverantwoordelijke voor dat bij alle verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden, de verordening, met name artikel 26 daarvan, en dit besluit worden nageleefd. Zij kunnen, overeenkomstig artikel 29 van de verordening, taken op het gebied van gegevensverwerking toevertrouwen aan EDEO-personeelsleden die onder hun verantwoordelijkheid werken of aan entiteiten waarmee daartoe een contract is gesloten.
            
            
               2.   In het bijzonder moeten de verwerkingsverantwoordelijken:
               
                           a)
                        
                        
                           verantwoording afleggen, ervoor zorgen dat de verwerking plaatsvindt in overeenstemming met de verordening en dit besluit, en zulks ook aantonen;
                        
                     
                           b)
                        
                        
                           iedere verwerkingsactiviteit registreren, evenals iedere belangrijke wijziging van een bestaande verwerking;
                        
                     
                           c)
                        
                        
                           zorgen dat de betrokkenen overeenkomstig de artikelen 15 en 16 van de verordening worden ingelicht over de verwerking van hun gegevens door de gegevensbeschermingsmededelingen beschikbaar te stellen;
                        
                     
                           d)
                        
                        
                           samenwerken met de DPO en de EDPS, met name door binnen 14 kalenderdagen na de datum van het verzoek te antwoorden op hun verzoeken;
                        
                     
                           e)
                        
                        
                           de DPO in kennis stellen van het feit dat een contractant namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt;
                        
                     
                           f)
                        
                        
                           een DPC aanwijzen, hem ondersteunen bij het vervullen van zijn taken en de DPO informeren over elke wijziging van de persoon of taak van de DPC;
                        
                     
                           g)
                        
                        
                           de DPO raadplegen over de vraag of de verwerking in overeenstemming is met de verordening en dit besluit. Zij kunnen de DPO of andere deskundigen raadplegen over aangelegenheden die verband houden met de vertrouwelijkheid, de beschikbaarheid en de integriteit van de verwerkingsactiviteiten en de overeenkomstig artikel 33 van de verordening getroffen beveiligingsmaatregelen.
                        
                     
            
               3.   Verwerkingsverantwoordelijken kunnen andere entiteiten binnen de EDEO of de gecontracteerde entiteiten gebruiken als verwerker in overeenstemming met de bepalingen van de verordening op voorwaarde dat zij registreren wie de verwerker is, welke taken aan hem zijn toevertrouwd en welke beveiligingsmaatregelen zijn getroffen.
            
            
               4.   De verwerkingsverantwoordelijke garandeert dat de DPO onverwijld geïnformeerd wordt:
               
                           a)
                        
                        
                           over elke aangelegenheid die gevolgen heeft of kan hebben voor de gegevensbescherming;
                        
                     
                           b)
                        
                        
                           over alle communicatie en besluiten van het management van de EDEO op het gebied van de toepassing van de verordening, met name de interactie met de EDPS.
                        
                     
         
         
            Artikel 9
            Coördinator en correspondent voor gegevensbescherming (DPC)
            
               1.   Naargelang hun grootte en het soort verwerkte persoonsgegevens beschikken de organisatorische entiteiten van de EDEO over een DPC die als contactpunt voor gegevensbescherming optreedt. Elk operationeel directoraat of directoraat in het hoofdkantoor van de EDEO en elke EU-delegatie wijst een coördinator voor gegevensbescherming of een correspondent voor gegevensbescherming aan. Alle afdelingen die regelmatig een grote hoeveelheid persoonsgegevens, bijzondere categorieën van gegevens of gevoelige persoonsgegevens waarvan de verwerking een hoog risico inhoudt, verwerken, wijzen ook hun eigen DPC aan. De taak van DPC wordt toegewezen aan een functie die een overzicht heeft van de activiteiten van de entiteit.
            
            
               2.   De DPC beschikt over de nodige vaardigheden en verwerft kennis over gegevensbescherming. Hij krijgt ook een introductieopleiding voor gegevensbescherming en kan informatiesessies en vergaderingen van het DPC-netwerk bijwonen.
            
            
               3.   De DPC:
               
                           a)
                        
                        
                           ondersteunt de verwerkingsverantwoordelijken bij de nakoming van hun verplichtingen zonder afbreuk te doen aan de verantwoordelijkheden van de DPO;
                        
                     
                           b)
                        
                        
                           vergemakkelijkt de communicatie tussen de DPO en de verwerkingsverantwoordelijken;
                        
                     
                           c)
                        
                        
                           is een contactpunt voor gegevensbeschermingsaangelegenheden in zijn dienst en onderhoudt contacten met de DPO;
                        
                     
                           d)
                        
                        
                           geeft zijn collega’s informatie over en ondersteuning bij aangelegenheden die verband houden met de verwerking van persoonsgegevens;
                        
                     
                           e)
                        
                        
                           bezorgt het personeel informatie over bewustmakingsevenementen en opleidingssessies;
                        
                     
                           f)
                        
                        
                           werkt met de DPO aan het opstellen en actualiseren van een inventaris van bestaande en nieuwe verwerkingen van persoonsgegevens;
                        
                     
                           g)
                        
                        
                           neemt contact op met de DPO en informeert hem over alle persoonsgegevens die binnen de dienst worden verwerkt;
                        
                     
                           h)
                        
                        
                           verleent bijstand bij de identificatie van de relevante gedelegeerde verwerkingsverantwoordelijken en verwerkers;
                        
                     
                           i)
                        
                        
                           ontwikkelt registers op zijn expertisegebied;
                        
                     
                           j)
                        
                        
                           ondersteunt verwerkingsverantwoordelijken bij het opstellen en beoordelen van registers en het opstellen van kennisgevingen inzake gegevensbescherming;
                        
                     
                           k)
                        
                        
                           draagt bij aan controles op de naleving en effectbeoordelingen;
                        
                     
                           l)
                        
                        
                           zorgt ervoor dat de relevante kennisgevingen inzake gegevensbescherming worden gepubliceerd en correct worden gebruikt door hun dienst;
                        
                     
                           m)
                        
                        
                           informeert de DPO over elke inbreuk in verband met persoonsgegevens;
                        
                     
                           n)
                        
                        
                           bereidt, in samenwerking met de DPO, het antwoord voor op verzoeken van betrokkenen die hun rechten uitoefenen en behandelt klachten en vragen in verband met de verwerkingsactiviteiten in zijn dienst.
                        
                     
            
               4.   De DPC heeft het recht om de informatie te verkrijgen die nodig is voor het identificeren van de verwerkingsactiviteiten en om de DPO namens zijn dienst te raadplegen. Dit omvat niet het recht op toegang tot persoonsgegevens die worden verwerkt onder het toezicht van de verwerkingsverantwoordelijke.
            
         
         
            Artikel 10
            Tot aanstelling bevoegd gezag
            Het tot aanstelling bevoegde gezag raadpleegt de DPO over elk verzoek of elke klacht op grond van artikel 90 van het Statuut met betrekking tot de toepassing van de verordening.
         
         
            Artikel 11
            Personeel van de EDEO
            
               1.   Alle personeelsleden van de EDEO passen de regels toe inzake vertrouwelijkheid en beveiliging van de verwerking van persoonsgegevens, zoals bepaald in de artikelen 33, 34 en 35 van de verordening. Personeelsleden van de EDEO die toegang hebben tot persoonsgegevens, mogen die niet op andere wijze verwerken dan op instructie van de verwerkingsverantwoordelijken.
            
            
               2.   Alle personeelsleden van de EDEO lichten hun directe chef in telkens als zij persoonsgegevens moeten verwerken zodat de verwerkingsverantwoordelijken de verwerking kunnen opnemen in het register gegevensbescherming en de nodige kennisgevingen inzake gegevensbescherming kunnen voorbereiden.
            
            
               3.   Ieder personeelslid van de EDEO kan bij de DPO een verzoek indienen, zijn bezorgdheid uiten of een vermeende inbreuk op de gegevens melden, of kan bij de EDPS een klacht indienen wegens een vermeende inbreuk op de bepalingen van de verordening of van dit besluit zonder daarvoor de officiële weg te volgen.
            
            
               4.   Als een personeelslid vaststelt dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een adequaat beschermingsniveau in de zin van artikel 45, lid 3, van Verordening (EU) 2016/679 van het Europees Parlement (3) of van artikel 36, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement (4) niet waarborgt, brengt het personeelslid de DPO daarvan op de hoogte.
            
         
         AFDELING 4
         
            MAATREGELEN EN PROCEDURES
         
         
            Artikel 12
            Beveiligingsmaatregelen en gegevensbescherming door ontwerp en door standaardinstellingen
            
               1.   De waarborgen en technische en organisatorische maatregelen om inbreuken in verband met persoonsgegevens, gegevenslekken of ongeoorloofde openbaarmaking te voorkomen, omvatten:
               
                           a)
                        
                        
                           een adequate omschrijving van de rollen, verantwoordelijkheden en procedurele stappen;
                        
                     
                           b)
                        
                        
                           een beveiligde elektronische omgeving die via in de gebruikte IT-toepassingen ingebouwde beveiligingsmaatregelen voorkomt dat onbevoegden onrechtmatig of onbedoeld toegang krijgen tot elektronische gegevens of dat elektronische gegevens onrechtmatig of onbedoeld aan onbevoegden worden overgedragen;
                        
                     
                           c)
                        
                        
                           beveiligde verwerking en opslag van papieren documenten;
                        
                     
                           d)
                        
                        
                           elektronische en fysieke toegang uitsluitend voor bevoegd personeel met individuele toegangsrechten.
                        
                     
            
               2.   Voordat zij gegevensverwerkingsactiviteiten ontwerpen, leggen verwerkingsverantwoordelijken gegevensbescherming door ontwerp en door standaardinstellingen ten uitvoer zoals bedoeld in artikel 27 van de verordening. Om de gegevensbescherming door ontwerp en door standaardinstellingen ten uitvoer te leggen, kan de verwerkingsverantwoordelijke de DPO en andere relevante diensten, waaronder IT en IT-beveiliging, raadplegen.
            
         
         
            Artikel 13
            Melding van een inbreuk in verband met persoonsgegevens
            Als de verwerkingsverantwoordelijke of verwerker vaststelt dat een incident heeft plaatsgevonden, met name een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies of de wijziging of de ongeoorloofde onthulling van, of de toegang tot, doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens, hetzij onbedoeld, hetzij onrechtmatig (“inbreuk in verband met persoonsgegevens”), brengt hij de DPO onverwijld op de hoogte en de EDPS binnen 72 uur en brengt hij het incident op passende wijze in kaart.
         
         
            Artikel 14
            Onderzoeken en behandeling van verzoeken en klachten door de DPO
            
               1.   De DPO kan op eigen initiatief of op verzoek een onderzoek instellen naar een vermeende inbreuk op de verplichtingen uit hoofde van de verordening. Verzoeken worden schriftelijk aan de DPO gericht.
            
            
               2.   De DPO kan de verwerkingsverantwoordelijke onder wiens toezicht de desbetreffende verwerkingsactiviteit plaatsvindt, verzoeken om een schriftelijke verklaring over de kwestie. De verwerkingsverantwoordelijke antwoordt de DPO binnen 14 kalenderdagen na ontvangst van dit verzoek. De DPO kan om toegang verzoeken tot aanvullende informatie, documenten, gegevensdragers, gegevenscentra, bedrijfsruimten en -systemen van andere EDEO-diensten, met name de IT-afdeling, het directoraat Veiligheid en het directoraat-generaal dat belast is met administratieve en tuchtonderzoeken. De informatie of het advies wordt binnen 14 kalenderdagen aan de DPO verstrekt.
            
            
               3.   In geval van kennelijk ongegronde, onrechtmatige en buitensporige verzoeken, met name wanneer dezelfde betrokkene herhaaldelijk verzoeken heeft ingediend, kan de DPO weigeren gevolg te geven aan het verzoek overeenkomstig artikel 14 van de verordening. Zulks wordt ter kennis gebracht van de verzoeker.
            
         
         AFDELING 5
         
            PROCEDURE VOOR DE UITOEFENING VAN DE RECHTEN VAN BETROKKENEN
         
         
            Artikel 15
            Algemene bepalingen
            
               1.   Betrokkenen kunnen contact opnemen met de verwerkingsverantwoordelijke of de DPO om hun rechten uit te oefenen overeenkomstig de artikelen 14 tot en met 24 van de verordening.
            
            
               2.   Verzoeken van een betrokkene om zijn rechten uit te oefenen, worden schriftelijk ingediend. Zo nodig helpt de DPO de betrokkene vast te stellen wie de verwerkingsverantwoordelijke is. De DPO zendt de ontvangen verzoeken door aan de verwerkingsverantwoordelijke, die de DPO kan raadplegen.
            
            
               3.   De verwerkingsverantwoordelijken behandelen het verzoek en antwoorden rechtstreeks aan de betrokkene.
            
         
         
            Artikel 16
            Behandeling van verzoeken om uitoefening van de rechten van betrokkenen
            
               1.   Verwerkingsverantwoordelijken behandelen het verzoek slechts nadat de identiteit van de aanvrager is gecontroleerd of, ingeval een vertegenwoordiger van de betrokkene het verzoek indient, nadat de toestemming van de betrokkene is verkregen.
            
            
               2.   De verwerkingsverantwoordelijke die verantwoordelijk is voor de verwerkingsactiviteit, stuurt binnen 14 kalenderdagen nadat de EDEO het verzoek heeft ontvangen, een ontvangstbevestiging naar de verzoeker. Tenzij anders is bepaald, beantwoordt de verwerkingsverantwoordelijke het verzoek binnen één maand na de registratie van het verzoek. De verwerkingsverantwoordelijke willigt het verzoek in of deelt de redenen voor de volledige of gedeeltelijke weigering schriftelijk mee. De antwoordtermijn kan met ten hoogste twee maanden worden verlengd afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken, overeenkomstig artikel 14, lid 3, van de verordening.
            
            
               3.   Het verzoek van de betrokkene kan worden geweigerd als
               
                           a)
                        
                        
                           het verzoek niet gerechtvaardigd is;
                        
                     
                           b)
                        
                        
                           een in de verordening vastgestelde uitzondering van toepassing is;
                        
                     
                           c)
                        
                        
                           een beperking van toepassing is overeenkomstig de interne voorschriften (5) die op basis van artikel 25 van de verordening zijn vastgesteld.
                        
                     
            
               4.   In geval van kennelijk ongegronde, onrechtmatige en buitensporige verzoeken, met name wanneer dezelfde betrokkene herhaaldelijk verzoeken heeft ingediend, kan de verwerkingsverantwoordelijke, na raadpleging van de DPO, weigeren gevolg te geven aan het verzoek overeenkomstig artikel 14 van de verordening. Zulks wordt ter kennis gebracht van de verzoeker.
            
         
         
            Artikel 17
            Uitzonderingen en beperkingen
            Beperkingen overeenkomstig de op grond van artikel 25 van de verordening vastgestelde interne voorschriften en de in de artikelen 15 tot en met 19 en 21 tot en met 24 vastgestelde uitzonderingen worden slechts na raadpleging van de DPO toegepast.
         
         AFDELING 6
         
            SLOTBEPALINGEN
         
         
            Artikel 18
            Communicatie over dit besluit
            
               1.   Overeenkomstig artikel 41 van de verordening wordt de EDPS van dit besluit in kennis gesteld.
            
            
               2.   Dit besluit wordt met passende middelen ter beschikking gesteld van het EDEO-personeel, met name door het op de interne website van de EDEO te publiceren.
            
         
         
            Artikel 19
            Intrekking
            Besluit PROC HR(2011) 016 van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid van 8 december 2011 inzake de regels over gegevensbescherming wordt hierbij ingetrokken.
         
         
            Artikel 20
            Inwerkingtreding
            Dit besluit treedt in werking op de dag na de vaststelling ervan.
         
         
            Gedaan te Brussel, 1 oktober 2019.
            
               Federica MOGHERINI
               
                  De hoge vertegenwoordiger
               
            
         
         
            (1)  PB L 201 van 3.8.2010, blz. 30.
         
            (2)  PB L 295 van 21.11.2018, blz. 39.
         
            (3)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
         
            (4)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).
         
            (5)  Besluit van de hoge vertegenwoordiger van de Unie voor buitenlands en veiligheidsbeleid houdende interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Europese Dienst voor extern optreden (ADMIN(2019) 10).