CELEX: 32019D1031(02)
Language: sl
Date: 2019-10-01 00:00:00
Title: Sklep visokega predstavnika Unije za zunanje zadeve in varnostno politiko z dne 1. oktobra 2019 o izvedbenih pravilih v zvezi z varstvom osebnih podatkov v Evropski službi za zunanje delovanje in uporabo Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta2019/C 370/05

31.10.2019   
               
               
                  SL
               
               
                  Uradni list Evropske unije
               
               
                  C 370/9
               
            
         Sklep visokega predstavnika Unije za zunanje zadeve in varnostno politiko
         z dne 1. oktobra 2019
         o izvedbenih pravilih v zvezi z varstvom osebnih podatkov v Evropski službi za zunanje delovanje in uporabo Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta
         (2019/C 370/05)
         VISOKI PREDSTAVNIK UNIJE ZA ZUNANJE ZADEVE IN VARNOSTNO POLITIKO JE –
         ob upoštevanju Sklepa Sveta 2010/427/EU z dne 26. julija 2010 o organizaciji in delovanju Evropske službe za zunanje delovanje (2010/427/EU) (1) (v nadaljnjem besedilu: sklep Sveta o ESZD) ter zlasti člena 11(3) Sklepa,
         ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2) (v nadaljnjem besedilu: Uredba) ter zlasti členov 43, 44 in 45 Uredbe,
         ob upoštevanju naslednjega:
         
                     (1)
                  
                  
                     Zaradi večje odgovornosti upravljavcev podatkov, določene v Uredbi, je treba sprejeti nov izvedbeni sklep, ki bo nadomestil Sklep PROC HR(2011) 016 visokega predstavnika Unije za zunanje zadeve in varnostno politiko z dne 8. decembra 2011 o pravilih glede varstva podatkov v ESZD.
                  
               
                     (2)
                  
                  
                     Vloga pooblaščene osebe za varstvo podatkov in odgovornosti upravljavca podatkov v Evropski službi za zunanje delovanje morajo biti jasno določene in prilagojene zahtevam iz Uredbe –
                  
               SKLENIL:
         ODDELEK 1
         
            SPLOŠNE DOLOČBE
         
         
            Člen 1
            Predmet urejanja in področje uporabe
            
               1.   Ta sklep v skladu s členom 45(3) Uredbe določa naloge, dolžnosti in pooblastila pooblaščene osebe za varstvo podatkov v ESZD.
            
            
               2.   Ta sklep nadalje določa notranje postopke in odgovornosti upravljavcev in obdelovalcev podatkov ter vlogo, naloge in dolžnosti koordinatorjev in korespondentov za varstvo podatkov, zlasti v skladu s členoma 26 in 29 Uredbe.
            
         
         
            Člen 2
            Opredelitev pojmov
            V tem sklepu in brez poseganja v opredelitve pojmov iz Uredbe:
            
                        (a)
                     
                     
                        „upravljavec podatkov“ pomeni ESZD ali njene organizacijske subjekte, vključno z delegacijami EU, ki same ali skupaj z drugimi določajo namene in načine obdelave osebnih podatkov;
                     
                  
                        (b)
                     
                     
                        „predstavnik upravljavca podatkov“ pomeni člane vodstva ESZD ali vodje njenih organizacijskih subjektov, ki nadzorujejo upravljavce podatkov iz točke (a) zgoraj in so odgovorni za obdelavo osebnih podatkov;
                     
                  
                        (c)
                     
                     
                        „pooblaščeni upravljavec“ pomeni službo ali osebje v organizacijskem subjektu upravljavca podatkov, zadolženo za upravljanje dejavnosti obdelave osebnih podatkov;
                     
                  
                        (d)
                     
                     
                        „skupni upravljavci“ pomeni dva ali več organizacijskih subjektov, ki skupaj določijo namene in načine obdelave osebnih podatkov ter vloge in odgovornosti upravljavcev, vključno z njihovimi dolžnostmi v zvezi z uveljavljanjem pravic posameznika, na katerega se nanašajo osebni podatki, zlasti kadar ESZD nadzoruje obdelavo skupaj z drugimi institucijami, organi, agencijami ali uradi EU ali drugimi subjekti;
                     
                  
                        (e)
                     
                     
                        „pooblaščena oseba za varstvo podatkov“ pomeni člana osebja ESZD, ki ga ESZD v skladu s členom 43 Uredbe imenuje za podporo, obveščanje in svetovanje upravljavcem podatkov;
                     
                  
                        (f)
                     
                     
                        „koordinator in korespondent za varstvo podatkov“ (v nadaljnjem besedilu: KVP) pomeni člane osebja ESZD na sedežu oziroma v delegacijah EU, ki so imenovani za pomoč njihovim upravljavcem podatkov pri zadevah v zvezi z varstvom podatkov;
                     
                  
                        (g)
                     
                     
                        „obdelovalec“ pomeni subjekt znotraj ali zunaj ESZD, ki obdeluje osebne podatke v imenu upravljavca podatkov;
                     
                  
                        (h)
                     
                     
                        „obvestila o varstvu podatkov“ so obvestila, kot so izjave o varstvu osebnih podatkov, v skladu s katerimi upravljavec podatkov posameznikom, na katere se nanašajo osebni podatki, zagotovi informacije v skladu s členoma 15 in 16 Uredbe;
                     
                  
                        (i)
                     
                     
                        „osebje ESZD“ v skladu s členom 6 sklepa Sveta o ESZD pomeni uradnike in druge uslužbence EU, ki delajo za ESZD, vključno z osebjem iz diplomatskih služb držav članic EU, napotenimi nacionalnimi strokovnjaki in pripravniki.
                     
                  
         ODDELEK 2
         
            POOBLAŠČENA OSEBA ZA VARSTVO PODATKOV
         
         
            Člen 3
            Imenovanje pooblaščene osebe za varstvo podatkov
            
               1.   Generalni sekretar ESZD v skladu s členom 43 Uredbe imenuje pooblaščeno osebo za varstvo podatkov izmed osebja ESZD in jo registrira pri Evropskem nadzorniku za varstvo podatkov (v nadaljnjem besedilu: ENVP).
            
            
               2.   Poleg zahtev iz člena 43(3) Uredbe mora pooblaščena oseba za varstvo podatkov dobro poznati službe ESZD ter njihovo strukturo, informacijske sisteme, upravna pravila in postopke. Imeti mora strokovno znanje s področja varstva podatkov ter biti sposobna trezno presojati in ohranjati nepristransko in objektivno držo v skladu s kadrovskimi predpisi.
            
            
               3.   Pooblaščena oseba za varstvo podatkov se imenuje za mandat petih let in se lahko ponovno imenuje.
            
            
               4.   Pooblaščena oseba za varstvo podatkov je lahko razrešena s položaja samo s privolitvijo ENVP, če ne izpolnjuje več pogojev, potrebnih za opravljanje njenih dolžnosti.
            
            
               5.   Pooblaščena oseba za varstvo podatkov je upravno povezana z generalnim sekretarjem.
            
            
               6.   Kontaktni podatki pooblaščene osebe za varstvo podatkov se objavijo na intranetu ESZD in zunanjem spletišču ESZD ter se sporočijo ENVP.
            
         
         
            Člen 4
            Položaj pooblaščene osebe za varstvo podatkov
            
               1.   Pooblaščena oseba za varstvo podatkov deluje neodvisno in v sodelovanju z ENVP. ESZD pooblaščeni osebi za varstvo podatkov ne izdaja nobenih navodil v zvezi z opravljanjem njenih nalog.
            
            
               2.   Pooblaščena oseba za varstvo podatkov ne sme biti razrešena ali kaznovana zaradi opravljanja svojih nalog.
            
            
               3.   Pooblaščeno osebo za varstvo podatkov je treba obvestiti o vseh stikih z zunanjimi osebami v zvezi z uporabo Uredbe in tega sklepa, predvsem o vsakem sodelovanju z ENVP in člani mreže pooblaščenih oseb za varstvo podatkov v institucijah, organih, uradih in agencijah EU.
            
            
               4.   Posamezniki, na katere se nanašajo osebni podatki, lahko s pooblaščeno osebo za varstvo podatkov stopijo v stik glede vseh vprašanj, povezanih z obdelavo njihovih osebnih podatkov ali uveljavljanjem njihovih pravic na podlagi Uredbe.
            
            
               5.   S pooblaščeno osebo za varstvo podatkov se lahko upravljavec podatkov ali njegov predstavnik, kadrovski odbor in vsak član osebja posvetujejo o vseh zadevah v zvezi z razlago ali uporabo Uredbe, ne da bi morali ukrepati po uradni poti. Nihče ne sme trpeti škode, ker je zadevo predložil pooblaščeni osebi za varstvo podatkov.
            
         
         
            Člen 5
            Naloge pooblaščene osebe za varstvo podatkov
            Pooblaščena oseba za varstvo podatkov
            
                        (a)
                     
                     
                        je vključena v posvetovanja o vseh vprašanjih v zvezi z varstvom osebnih podatkov;
                     
                  
                        (b)
                     
                     
                        zagotavlja smernice in proaktivno svetuje subjektom ESZD in njihovim izvajalcem, ki izvajajo dejavnosti obdelave osebnih podatkov, o tem, kako izvajati Uredbo in ta sklep, vključno s posvetovanjem o obvestilih o kršitvah varstva osebnih podatkov, ocenah učinka in potrebi po predhodnem posvetovanju z ENVP;
                     
                  
                        (c)
                     
                     
                        prek rednih stikov z upravljavci podatkov spremlja skladnost z določbami o varstvu podatkov in upravljavce podatkov podpira pri njihovih nalogah, zlasti s prispevanjem k pripravi in objavi obvestil o varstvu podatkov ter pripravi odgovorov na zahteve posameznikov, na katere se nanašajo osebni podatki;
                     
                  
                        (d)
                     
                     
                        vzdržuje redne stike s KVP na sedežu ESZD in v delegacijah EU ter upravlja mrežo KVP v ESZD;
                     
                  
                        (e)
                     
                     
                        spodbuja splošno ozaveščenost o varstvu podatkov, organizira usposabljanja in informativne sestanke;
                     
                  
                        (f)
                     
                     
                        sodeluje s pooblaščenimi osebami za varstvo podatkov iz drugih institucij, organov, uradov in agencij EU, zlasti z izmenjavo izkušenj in najboljših praks;
                     
                  
                        (g)
                     
                     
                        vodi centralni register dejavnosti obdelave, ki jih izvaja ESZD, na podlagi evidenc, ki jih pripravijo upravljavci podatkov v skladu s členom 31 Uredbe, in poskrbi, da je register javno dostopen;
                     
                  
                        (h)
                     
                     
                        pomaga pri zagotavljanju zastopanja visokega predstavnika ali ESZD na mednarodni ravni v zvezi z vsemi vprašanji, povezanimi z varstvom podatkov.
                     
                  
         
            Člen 6
            Pooblastila
            Pooblaščena oseba za varstvo podatkov pri opravljanju svojih nalog:
            
                        (a)
                     
                     
                        lahko vedno dostopa do podatkov, ki jih obdelujejo subjekti ESZD in njihovi izvajalci, ter do vseh uradov, centrov za obdelavo podatkov in nosilcev podatkov;
                     
                  
                        (b)
                     
                     
                        organu za imenovanja pred vsako odločitvijo o zadevah v zvezi z uporabo določb o varstvu podatkov predloži svoje mnenje;
                     
                  
                        (c)
                     
                     
                        lahko predlaga upravne ukrepe in izda splošna priporočila za ustrezno uporabo Uredbe in tega sklepa;
                     
                  
                        (d)
                     
                     
                        lahko vodstvu ESZD, njenemu osebju in vsaki zadevni zunanji osebi poda priporočila za praktično izboljšanje varstva podatkov;
                     
                  
                        (e)
                     
                     
                        lahko preiskuje zadeve v zvezi z varstvom podatkov ter o rezultatu preiskave poroča osebi, ki je zahtevala preiskavo ali vložila pritožbo, upravljavcu podatkov in kateremu koli zadevnemu članu vodstva ESZD;
                     
                  
                        (f)
                     
                     
                        lahko razvija predloge in notranje postopke, navodila ali politike za zagotavljanje smernic upravljavcem in obdelovalcem podatkov;
                     
                  
                        (g)
                     
                     
                        lahko uporablja storitve zunanjih strokovnjakov, vključno s strokovnjaki za informacijsko tehnologijo;
                     
                  
                        (h)
                     
                     
                        lahko organ za imenovanja ESZD obvesti o primerih, ko član osebja ne izpolnjuje obveznosti iz Uredbe in tega sklepa, ter predlaga začetek upravne preiskave;
                     
                  
                        (i)
                     
                     
                        lahko izda notranje smernice o varstvu podatkov (smernice pooblaščene osebe za varstvo podatkov), ki jih je treba upoštevati pri obdelavi osebnih podatkov.
                     
                  
         
            Člen 7
            Viri
            
               1.   Pooblaščeni osebi za varstvo podatkov se zagotovijo ustrezno osebje in viri, potrebni za opravljanje nalog iz člena 5 tega sklepa.
            
            
               2.   Pooblaščeni osebi za varstvo podatkov pri opravljanju nalog iz člena 5 tega sklepa pomaga vse osebje ESZD, zlasti upravljavci in obdelovalci podatkov, ki zagotovijo zahtevane informacije o dejavnostih obdelave podatkov in dostop do osebnih podatkov ter pripravijo osnutke odgovorov na zahteve, ki jih pooblaščena oseba za varstvo podatkov prejme od posameznikov, na katere se nanašajo osebni podatki, ki uveljavljajo pravico do dostopa, spremembe in izbrisa, vendar so povezane z dejavnostmi obdelave, za katere je odgovoren upravljavec podatkov.
            
            
               3.   Pooblaščena oseba za varstvo podatkov ima lahko namestnika ali pomočnika ter upravno osebje in administrativno podporo, kot je potrebno. Pooblaščena oseba za varstvo podatkov lahko uporabi tudi druge subjekte ESZD ali pogodbene subjekte in zunanje strokovnjake.
            
            
               4.   Namestnik ali pomočnik pooblaščene osebe za varstvo podatkov, kadar je imenovan, podpira pooblaščeno osebo za varstvo podatkov pri opravljanju njenih nalog in jo lahko zastopa v primeru njene odsotnosti. Členi 4, 5 in 6 tega sklepa se uporabljajo tudi za namestnika ali pomočnika pooblaščene osebe za varstvo podatkov.
            
            
               5.   Pooblaščena oseba za varstvo podatkov ima ustrezne prostore, v katerih je mogoče zagotoviti varnost in zaupnost informacij, vključno z osebnimi podatki, ter ustrezno shranjevanje in arhiviranje podatkov in dokumentov.
            
            
               6.   Pooblaščena oseba za varstvo podatkov ima na voljo elektronsko orodje, ki lahko (i) vodi evidenco dejavnosti obdelave osebnih podatkov v skladu s členom 31 Uredbe in (ii) shranjuje obvestila o varstvu podatkov, obvestila o kršitvah varstva osebnih podatkov, ocene učinka v zvezi z varstvom podatkov, zahteve posameznikov, na katere se nanašajo osebni podatki, in evidenco prenosov podatkov.
            
            
               7.   ESZD pooblaščeno osebo za varstvo podatkov podpira pri ohranjanju in širjenju njenega strokovnega znanja, med drugim z omogočanjem udeležbe na medinstitucionalnih ali zunanjih tečajih usposabljanja, konferencah ali dogodkih, povezanih z varstvom podatkov, ter na srečanjih in usposabljanjih, ki jih organizirata ENVP in mreža pooblaščenih oseb za varstvo podatkov v institucijah, organih, uradih in agencijah EU.
            
         
         ODDELEK 3
         
            SUBJEKTI, VKLJUČENI V POSTOPKE V ZVEZI Z VARSTVOM PODATKOV
         
         
            Člen 8
            Upravljavci in obdelovalci podatkov
            
               1.   Pooblaščeni upravljavci ter predstavniki upravljavcev in obdelovalcev so v imenu upravljavca podatkov odgovorni za zagotovitev, da so vse dejavnosti obdelave pod njihovim nadzorom v skladu z Uredbo, zlasti členom 26 Uredbe, in določbami tega sklepa. Naloge obdelave podatkov lahko v skladu s členom 29 Uredbe po potrebi zaupajo osebju ESZD, ki dela pod njihovo odgovornostjo, ali pogodbenim subjektom.
            
            
               2.   Upravljavci podatkov zlasti:
               
                           (a)
                        
                        
                           odgovarjajo, zagotavljajo in dokazujejo, da se obdelava izvaja v skladu z Uredbo in tem sklepom;
                        
                     
                           (b)
                        
                        
                           evidentirajo vsako dejavnost obdelave in vse bistvene spremembe obstoječe dejavnosti obdelave;
                        
                     
                           (c)
                        
                        
                           zagotavljajo, da so posamezniki, na katere se nanašajo osebni podatki, obveščeni o obdelavi njihovih podatkov v skladu s členoma 15 in 16 Uredbe, in sicer z objavo obvestil o varstvu podatkov;
                        
                     
                           (d)
                        
                        
                           sodelujejo s pooblaščeno osebo za varstvo podatkov in ENVP, zlasti z zagotavljanjem informacij v odgovorih na njune zahteve v 14 koledarskih dneh od datuma zahteve;
                        
                     
                           (e)
                        
                        
                           obvestijo pooblaščeno osebo za varstvo podatkov, kadar osebne podatke v imenu upravljavca podatkov obdeluje izvajalec;
                        
                     
                           (f)
                        
                        
                           imenujejo KVP, ga podpirajo pri opravljanju njegovih dolžnosti in obvestijo pooblaščeno osebo za varstvo podatkov o kakršni koli spremembi osebe ali funkcije KVP;
                        
                     
                           (g)
                        
                        
                           se posvetujejo s pooblaščeno osebo za varstvo podatkov o tem, ali so dejavnosti obdelave v skladu z Uredbo in tem sklepom. S pooblaščeno osebo za varstvo podatkov ali drugimi strokovnjaki se lahko posvetujejo o vprašanjih v zvezi z zaupnostjo, razpoložljivostjo in celovitostjo dejavnosti obdelave ter varnostnih ukrepih, sprejetih v skladu s členom 33 Uredbe.
                        
                     
            
               3.   Upravljavci podatkov lahko v skladu z določbami Uredbe kot obdelovalce uporabljajo druge subjekte v ESZD ali pogodbene subjekte, če v svojih evidencah dokumentirajo, kdo je obdelovalec, naloge, ki so mu zaupane, in sprejete varnostne ukrepe.
            
            
               4.   Upravljavec podatkov zagotovi, da je pooblaščena oseba za varstvo podatkov nemudoma obveščena:
               
                           (a)
                        
                        
                           o vseh vprašanjih, ki imajo ali bi lahko imela posledice za varstvo podatkov;
                        
                     
                           (b)
                        
                        
                           o vseh sporočilih in odločitvah vodstva ESZD v zvezi z uporabo Uredbe, zlasti o sodelovanju z ENVP.
                        
                     
         
         
            Člen 9
            Koordinator in korespondent za varstvo podatkov
            
               1.   Glede na njihovo velikost in vrsto osebnih podatkov, ki se obdelujejo, imajo organizacijski subjekti ESZD KVP, ki deluje kot kontaktna točka za varstvo podatkov. Vsak upravni direktorat ali direktorat na sedežu ESZD in vsaka delegacija EU imenuje koordinatorja za varstvo podatkov oziroma korespondenta za varstvo podatkov. Vsi oddelki, ki redno obdelujejo veliko količino osebnih podatkov, posebne kategorije podatkov ali občutljive osebne podatke, katerih obdelava predstavlja veliko tveganje, prav tako imenujejo svojega KVP. Funkcija KVP je dodeljena položaju, ki omogoča pregled nad dejavnostmi subjekta.
            
            
               2.   KVP ima potrebne spretnosti in pridobi znanje o varstvu podatkov. Deležen je uvodnega usposabljanja v zvezi z varstvom podatkov ter se lahko udeleži informativnih sestankov in sestankov mreže KVP.
            
            
               3.   KVP:
               
                           (a)
                        
                        
                           brez poseganja v pristojnosti pooblaščene osebe za varstvo podatkov pomaga upravljavcem podatkov pri izpolnjevanju njihovih obveznosti;
                        
                     
                           (b)
                        
                        
                           olajšuje komunikacijo med pooblaščeno osebo za varstvo podatkov in upravljavci podatkov;
                        
                     
                           (c)
                        
                        
                           je kontaktna točka za zadeve v zvezi z varstvom podatkov v svoji službi in se povezuje s pooblaščeno osebo za varstvo podatkov;
                        
                     
                           (d)
                        
                        
                           obvešča in podpira sodelavce pri zadevah v zvezi z obdelavo osebnih podatkov;
                        
                     
                           (e)
                        
                        
                           osebju posreduje informacije o dogodkih ozaveščanja in usposabljanjih;
                        
                     
                           (f)
                        
                        
                           sodeluje s pooblaščeno osebo za varstvo podatkov pri sestavljanju in posodabljanju popisa obstoječih in novih dejavnosti obdelave osebnih podatkov;
                        
                     
                           (g)
                        
                        
                           stopi v stik s pooblaščeno osebo za varstvo podatkov in jo uradno obvesti o vseh osebnih podatkih, ki so bili obdelani v okviru službe;
                        
                     
                           (h)
                        
                        
                           pomaga pri določanju ustreznih pooblaščenih upravljavcev in obdelovalcev podatkov;
                        
                     
                           (i)
                        
                        
                           razvija evidence na svojem strokovnem področju;
                        
                     
                           (j)
                        
                        
                           podpira upravljavce podatkov pri vzpostavljanju in pregledovanju evidenc ter ustvarjanju obvestil o varstvu podatkov;
                        
                     
                           (k)
                        
                        
                           prispeva k preverjanjem skladnosti in ocenam učinka;
                        
                     
                           (l)
                        
                        
                           zagotavlja, da njegova služba objavlja in pravilno uporablja ustrezna obvestila o varstvu podatkov;
                        
                     
                           (m)
                        
                        
                           pooblaščeno osebo za varstvo podatkov uradno obvesti o vseh kršitvah varstva osebnih podatkov;
                        
                     
                           (n)
                        
                        
                           v sodelovanju s pooblaščeno osebo za varstvo podatkov pripravi odgovor na zahteve posameznikov, na katere se nanašajo osebni podatki, s katerimi ti uveljavljajo svoje pravice, ter obravnava pritožbe in vprašanja v zvezi z dejavnostmi obdelave podatkov v svoji službi.
                        
                     
            
               4.   KVP ima pravico pridobiti informacije, ki so potrebne za opredelitev dejavnosti obdelave osebnih podatkov, in se v imenu svoje službe posvetovati s pooblaščeno osebo za varstvo podatkov. To ne vključuje pravice dostopa do osebnih podatkov, za obdelavo katerih je odgovoren upravljavec podatkov.
            
         
         
            Člen 10
            Organ za imenovanja
            Organ za imenovanja se s pooblaščeno osebo za varstvo podatkov posvetuje o vsaki zahtevi ali pritožbi v skladu s členom 90 Kadrovskih predpisov v zvezi z uporabo Uredbe.
         
         
            Člen 11
            Osebje ESZD
            
               1.   Vse osebje ESZD pri obdelavi osebnih podatkov uporablja pravila o zaupnosti in varnosti, kakor je določeno v členih 33, 34 in 35 Uredbe. Noben član osebja ESZD, ki ima dostop do osebnih podatkov, ne sme obdelovati podatkov brez navodil upravljavcev podatkov.
            
            
               2.   Vsi člani osebja ESZD svojemu vodji sporočijo, ko morajo obdelovati osebne podatke, da lahko upravljavci podatkov obdelavo dokumentirajo v svojih evidencah o varstvu podatkov in pripravijo potrebna obvestila o varstvu podatkov.
            
            
               3.   Vsak član osebja ESZD lahko pooblaščeni osebi za varstvo podatkov predloži zahtevo ali izrazi skrb, tudi v zvezi z domnevno kršitvijo varstva osebnih podatkov, ali vloži pritožbo pri ENVP v zvezi z domnevno kršitvijo Uredbe ali tega sklepa, ne da bi moral o tem obvestiti svoje nadrejene.
            
            
               4.   Če kateri koli član osebja meni, da tretja država, ozemlje ali eden ali več določenih sektorjev v tretji državi, ali mednarodna organizacija ne zagotavlja ustrezne ravni varstva v smislu člena 45(3) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (3) ali člena 36(3) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta (4), o tem uradno obvesti pooblaščeno osebo za varstvo podatkov.
            
         
         ODDELEK 4
         
            UKREPI IN POSTOPKI
         
         
            Člen 12
            Varnostni ukrepi ter vgrajeno in privzeto varstvo podatkov
            
               1.   Zaščitni, tehnični in organizacijski ukrepi za preprečevanje kršitev varstva osebnih podatkov, uhajanja ali nepooblaščenega razkritja podatkov vključujejo:
               
                           (a)
                        
                        
                           ustrezno opredelitev vlog, odgovornosti in postopkovnih korakov;
                        
                     
                           (b)
                        
                        
                           varno elektronsko okolje, ki preprečuje nezakonit ali nenameren dostop do elektronskih podatkov ali njihov prenos nepooblaščenim osebam, z varnostnimi ukrepi, vgrajenimi v različne aplikacije informacijske tehnologije, ki se uporabljajo;
                        
                     
                           (c)
                        
                        
                           varno obdelavo in hrambo dokumentov v papirni obliki;
                        
                     
                           (d)
                        
                        
                           elektronski in fizični dostop samo za pooblaščeno osebje s pravico do dostopa, ki se dodeli posamično.
                        
                     
            
               2.   Upravljavci podatkov pred pripravo dejavnosti obdelave podatkov izvajajo vgrajeno in privzeto varstvo podatkov, kot je določeno v členu 27 Uredbe. Za izvajanje vgrajenega in privzetega varstva podatkov se lahko upravljavec podatkov posvetuje s pooblaščeno osebo za varstvo podatkov in drugimi ustreznimi službami, vključno s službo za informacijsko tehnologijo in varnost informacijske tehnologije.
            
         
         
            Člen 13
            Uradno obveščanje o kršitvah varstva osebnih podatkov
            Po odkritju kakršnega koli incidenta, zlasti kršitve varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so bili preneseni, shranjeni ali kako drugače obdelani (kršitev varstva osebnih podatkov), upravljavec ali obdelovalec podatkov nemudoma uradno obvesti pooblaščeno osebo za varstvo podatkov in v 72 urah ENVP ter incident ustrezno dokumentira.
         
         
            Člen 14
            Preiskave in obravnava zahtev in pritožb s strani pooblaščene osebe za varstvo podatkov
            
               1.   Pooblaščena oseba za varstvo podatkov lahko začne preiskavo v zvezi z domnevno kršitvijo obveznosti iz Uredbe na lastno pobudo ali na zahtevo. Zahteve se na pooblaščeno osebo za varstvo podatkov naslovijo v pisni obliki.
            
            
               2.   Pooblaščena oseba za varstvo podatkov lahko od upravljavca podatkov, ki je odgovoren za zadevno dejavnost obdelave podatkov, zahteva pisno izjavo o zadevi. Upravljavec podatkov mora pooblaščeni osebi za varstvo podatkov odgovoriti v 14 koledarskih dneh od prejema te zahteve. Pooblaščena oseba za varstvo podatkov lahko zahteva dostop do dodatnih informacij, dokumentov, nosilcev podatkov, podatkovnih centrov, prostorov in sistemov drugih služb ESZD, zlasti oddelka za informacijsko tehnologijo, direktorata za varnost in generalnega direktorata, ki se ukvarja z upravnimi poizvedbami in disciplinskimi postopki. Pooblaščena oseba za varstvo podatkov mora informacije ali mnenje prejeti v 14 koledarskih dneh.
            
            
               3.   V primeru očitno neutemeljenih, neprimernih in pretiranih zahtev, zlasti kadar se ponavljajo zahteve istega posameznika, na katerega se nanašajo osebni podatki, lahko pooblaščena oseba za varstvo podatkov v skladu s členom 14 Uredbe zavrne ukrepanje v zvezi z zahtevo. Vložnika zahteve se o tem ustrezno obvesti.
            
         
         ODDELEK 5
         
            POSTOPEK ZA UVELJAVLJANJE PRAVIC POSAMEZNIKOV, NA KATERE SE NANAŠAJO OSEBNI PODATKI
         
         
            Člen 15
            Splošne določbe
            
               1.   Posamezniki, na katere se nanašajo osebni podatki, se lahko za uveljavljanje svojih pravic v skladu s členi 14 do 24 Uredbe obrnejo na upravljavca podatkov ali pooblaščeno osebo za varstvo podatkov.
            
            
               2.   Zahteve za uveljavljanje pravic posameznikov, na katere se nanašajo osebni podatki, se vložijo pisno. Pooblaščena oseba za varstvo podatkov po potrebi pomaga posamezniku, na katerega se nanašajo osebni podatki, pri iskanju ustreznega upravljavca podatkov. Pooblaščena oseba za varstvo podatkov prejete zahteve posreduje ustreznemu upravljavcu podatkov, ki se lahko z njo posvetuje.
            
            
               3.   Upravljavci podatkov obdelajo zahtevo in odgovorijo neposredno posamezniku, na katerega se nanašajo osebni podatki.
            
         
         
            Člen 16
            Obdelava zahtev za uveljavljanje pravic posameznikov, na katere se nanašajo osebni podatki
            
               1.   Upravljavci podatkov ukrepajo v zvezi z zahtevo šele po tem, ko je bila preverjena identiteta vložnika, ali ko je v primeru zahteve, vložene s strani predstavnika posameznika, na katerega se nanašajo osebni podatki, podano dovoljenje tega posameznika.
            
            
               2.   Upravljavec podatkov, odgovoren za dejavnost obdelave podatkov, vložniku zahteve v 14 koledarskih dneh od dneva, ko je ESZD prejela zahtevo, pošlje potrdilo o prejemu. Če ni določeno drugače, upravljavec podatkov na zahtevo odgovori v enem mesecu od registracije zahteve. Upravljavec podatkov bodisi poda pozitiven odgovor na zahtevo bodisi pisno navede razloge za popolno ali delno zavrnitev. Rok za odgovor se lahko v skladu s členom 14(3) Uredbe podaljša za največ dva dodatna meseca, pri čemer se upoštevata kompleksnost zadeve in število vloženih zahtev.
            
            
               3.   Zahteva posameznika, na katerega se nanašajo osebni podatki, se lahko zavrne, če:
               
                           (a)
                        
                        
                           ni utemeljena;
                        
                     
                           (b)
                        
                        
                           se uporabi izjema, določena v Uredbi;
                        
                     
                           (c)
                        
                        
                           se uporabi omejitev v skladu z notranjimi predpisi (5), sprejetimi na podlagi člena 25 Uredbe.
                        
                     
            
               4.   V primeru očitno neutemeljenih, neprimernih in pretiranih zahtev, zlasti kadar se ponavljajo zahteve istega posameznika, na katerega se nanašajo osebni podatki, lahko upravljavec podatkov po posvetovanju s pooblaščeno osebo za varstvo podatkov v skladu s členom 14 Uredbe zavrne ukrepanje v zvezi z zahtevo. Vložnika zahteve se o tem ustrezno obvesti.
            
         
         
            Člen 17
            Izjeme in omejitve
            Omejitve v skladu z notranjimi predpisi, sprejetimi na podlagi člena 25 Uredbe, ter izjeme iz členov 15 do 19 in 21 do 24 Uredbe se uporabljajo samo po posvetovanju s pooblaščeno osebo za varstvo podatkov.
         
         ODDELEK 6
         
            KONČNE DOLOČBE
         
         
            Člen 18
            Obveščanje o tem sklepu
            
               1.   V skladu s členom 41 Uredbe se o tem sklepu obvesti ENVP.
            
            
               2.   Ta sklep se da na ustrezen način na voljo osebju ESZD, zlasti z objavo na notranjem spletišču ESZD.
            
         
         
            Člen 19
            Razveljavitev
            Sklep PROC HR(2011) 016 visokega predstavnika Unije za zunanje zadeve in varnostno politiko z dne 8. decembra 2011 o pravilih glede varstva podatkov se razveljavi.
         
         
            Člen 20
            Učinkovanje
            Ta sklep začne učinkovati dan po sprejetju.
         
         
            V Bruslju, 1. oktobra 2019
            
               Federica MOGHERINI
               
                  Visoka predstavnica
               
            
         
         
            (1)  UL L 201, 3.8.2010, str. 30.
         
            (2)  UL L 295, 21.11.2018, str. 39.
         
            (3)  Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).
         
            (4)  Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4.5.2016, str. 89).
         
            (5)  Sklep visokega predstavnika Unije za zunanje zadeve in varnostno politiko o notranjih predpisih glede omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru delovanja Evropske službe za zunanje delovanje (ADMIN(2019) 10).