CELEX: 32019D1031(02)
Language: cs
Date: 2019-10-01 00:00:00
Title: Rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku ze dne 1. října 2019 o prováděcích pravidlech týkajících se ochrany osobních údajů Evropskou službou pro vnější činnost a uplatňování nařízení Evropského parlamentu a Rady (EU) 2018/17252019/C 370/05

31.10.2019   
               
               
                  CS
               
               
                  Úřední věstník Evropské unie
               
               
                  C 370/9
               
            
         Rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku
         ze dne 1. října 2019
         o prováděcích pravidlech týkajících se ochrany osobních údajů Evropskou službou pro vnější činnost a uplatňování nařízení Evropského parlamentu a Rady (EU) 2018/1725
         (2019/C 370/05)
         VYSOKÁ PŘEDSTAVITELKA UNIE PRO ZAHRANIČNÍ VĚCI A BEZPEČNOSTNÍ POLITIKU,
         s ohledem na rozhodnutí Rady 2010/427/EU ze dne 26. července 2010 o organizaci a fungování Evropské služby pro vnější činnost (1) („rozhodnutí Rady o ESVČ“), a zejména na čl. 11 odst. 3 uvedeného rozhodnutí,
         s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (2) (dále jen „nařízení“), a zejména na články 43, 44 a 45 uvedeného nařízení,
         vzhledem k těmto důvodům:
         
                     (1)
                  
                  
                     Posílená odpovědnost správců údajů stanovená v nařízení vyžaduje přijetí nového prováděcího rozhodnutí, které nahradí rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku PROC HR(2011) 016 ze dne 8. prosince 2011 o pravidlech týkajících se ochrany údajů v rámci ESVČ.
                  
               
                     (2)
                  
                  
                     Je třeba jasně stanovit úlohu pověřence pro ochranu osobních údajů a odpovědnost správce údajů v rámci Evropské služby pro vnější činnost a přizpůsobit je požadavkům nařízení,
                  
               ROZHODLA TAKTO:
         ODDÍL 1
         
            OBECNÁ USTANOVENÍ
         
         
            Článek 1
            Předmět a oblast působnosti
            
               1.   V souladu s čl. 45 odst. 3 nařízení stanovuje toto rozhodnutí úkoly, povinnosti a pravomoci pověřence pro ochranu osobních údajů v rámci ESVČ.
            
            
               2.   Toto rozhodnutí také dále specifikuje vnitřní postupy a odpovědnost správců a zpracovatelů údajů, stejně jako úlohu, úkoly a povinnosti koordinátorů ochrany údajů a korespondentů pro ochranu údajů, zejména podle článků 26 a 29 nařízení.
            
         
         
            Článek 2
            Definice
            Pro účely tohoto rozhodnutí, a aniž jsou dotčeny definice stanovené nařízením, se rozumí:
            
                        a)
                     
                     
                        „správcem údajů“ ESVČ nebo její organizační složky, včetně delegací EU, které, ať už samostatně nebo společně s ostatními, určují účely a způsoby zpracování osobních údajů;
                     
                  
                        b)
                     
                     
                        „zástupcem správce údajů“ členové vedení ESVČ nebo vedoucí jejích organizačních složek, kteří dohlíží na složky správce údajů zmíněné v písmenu a) výše a kteří nesou odpovědnost za zpracování osobních údajů;
                     
                  
                        c)
                     
                     
                        „správcem v přenesené působnosti“ služba či zaměstnanci v rámci organizační složky správce údajů, kteří jsou pověřeni řízením činnosti zpracování osobních údajů;
                     
                  
                        d)
                     
                     
                        „společnými správci“ dvě či více organizačních složek, které společně určují účely a způsoby zpracování osobních údajů a úlohy a povinnosti správců, včetně jejich povinností ve vztahu k výkonu práv subjektu údajů, zejména v případě, kdy ESVČ spravuje zpracování společně s jinými orgány, institucemi a jinými subjekty EU či jakýmikoli jinými subjekty.
                     
                  
                        e)
                     
                     
                        „pověřencem pro ochranu osobních údajů“ zaměstnanec ESVČ, který je ze strany ESVČ v souladu s článkem 43 nařízení pověřen poskytovat správcům údajů podporu, informace a poradenství;
                     
                  
                        f)
                     
                     
                        „koordinátorem ochrany údajů a korespondentem pro ochranu údajů“ (dále společně též jen „koordinátor ochrany údajů“) zaměstnanci ESVČ v jejím ústředí a v delegacích EU, kteří jsou pověřeni poskytováním pomoci jejich správcům údajů v záležitostech spojených s ochranou osobních údajů;
                     
                  
                        g)
                     
                     
                        „zpracovatelem“ subjekt v rámci ESVČ nebo mimo ni, který zpracovává osobní údaje jménem správce údajů;
                     
                  
                        h)
                     
                     
                        „oznámeními o ochraně osobních údajů“ oznámení, např. prohlášení o ochraně soukromí, jimiž správce údajů poskytuje informace subjektům údajů podle článků 15 a 16 nařízení;
                     
                  
                        i)
                     
                     
                        „zaměstnanci ESVČ“ v souladu s článkem 6 rozhodnutí Rady o ESVČ úředníci a ostatní zaměstnanci EU pracující pro ESVČ, včetně personálu diplomatických služeb členských států EU, vyslaných národních odborníků a stážistů.
                     
                  
         ODDÍL 2
         
            POVĚŘENEC PRO OCHRANU OSOBNÍCH ÚDAJŮ
         
         
            Článek 3
            Jmenování pověřence pro ochranu osobních údajů
            
               1.   Generální tajemník ESVČ jmenuje pověřence pro ochranu osobních údajů z řad zaměstnanců ESVČ, a to v souladu s článkem 43 nařízení, a zaregistruje jej u evropského inspektora ochrany údajů (dále jen „EIOÚ“).
            
            
               2.   Kromě požadavků čl. 43 odst. 3 nařízení musí mít pověřenec pro ochranu osobních údajů dobré znalosti útvarů ESVČ, jejich struktury, informačních systémů, správních pravidel a postupů. Pověřenec pro ochranu osobních údajů musí mít odborné znalosti v oblasti ochrany osobních údajů, dobrý úsudek a schopnost zachovávat nestranný a objektivní postoj v souladu se služebním řádem.
            
            
               3.   Pověřenec pro ochranu osobních údajů je jmenován na dobu pěti let a lze jej jmenovat opakovaně.
            
            
               4.   Pověřenec pro ochranu osobních údajů může být odvolán z funkce pouze se souhlasem EIOÚ, přestane-li splňovat podmínky požadované pro její výkon.
            
            
               5.   Pověřenec pro ochranu osobních údajů administrativně spadá pod generálního tajemníka.
            
            
               6.   Kontaktní údaje pověřence pro ochranu osobních údajů se zveřejňují na intranetu ESVČ a na webových stránkách ESVČ pro veřejnost a sdělují se evropskému inspektorovi ochrany údajů.
            
         
         
            Článek 4
            Postavení pověřence pro ochranu osobních údajů
            
               1.   Pověřenec pro ochranu osobních údajů jedná nezávisle a ve spolupráci s EIOÚ. ESVČ nedává pověřenci pro ochranu osobních údajů žádné pokyny ohledně vykonávání jeho úkolů.
            
            
               2.   Pověřenec pro ochranu osobních údajů nesmí být za plnění svých úkolů propuštěn ani sankcionován.
            
            
               3.   Pověřenec pro ochranu osobních údajů je informován o všech stycích s externími stranami týkajících se provádění nařízení a tohoto rozhodnutí, zejména pokud jde o jakýkoli styk s EIOÚ a členy sítě pověřenců pro ochranu osobních údajů v orgánech, institucích a jiných subjektech EU.
            
            
               4.   Subjekty údajů se mohou obracet na pověřence pro ochranu osobních údajů ohledně jakékoli záležitosti související se zpracováním jejich osobních údajů nebo s výkonem práv podle nařízení.
            
            
               5.   Správce údajů, jeho zástupce, Výbor zaměstnanců a všichni zaměstnanci mohou pověřence pro ochranu osobních údajů konzultovat přímo, aniž by využívali oficiální cesty, ohledně jakékoli záležitosti týkající se výkladu nebo uplatňování nařízení. Nikomu nesmí být na újmu, že pověřence pro ochranu osobních údajů upozornil na jakoukoli záležitost.
            
         
         
            Článek 5
            Úkoly pověřence pro ochranu osobních údajů
            Pověřenec pro ochranu osobních údajů:
            
                        a)
                     
                     
                        je konzultován ohledně všech záležitostí týkajících se ochrany osobních údajů;
                     
                  
                        b)
                     
                     
                        poskytuje pokyny a aktivně radí složkám ESVČ a jejich dodavatelům provádějícím činnosti zpracování osobních údajů, jak provádět nařízení a toto rozhodnutí, včetně konzultací ohledně oznámení o porušení zabezpečení osobních údajů, posouzení dopadu a nutnosti předchozí konzultace s EIOÚ;
                     
                  
                        c)
                     
                     
                        udržuje pravidelný kontakt se správci údajů za účelem sledování souladu v oblasti ochrany údajů a podporuje je při plnění jejich úkolů, zejména s cílem podílet se na přípravě a zveřejňování oznámení o ochraně osobních údajů a odpovědích na žádosti subjektů údajů;
                     
                  
                        d)
                     
                     
                        udržuje pravidelný kontakt s koordinátory ochrany údajů v ústředí ESVČ a v delegacích EU a řídí síť koordinátorů ochrany údajů v rámci ESVČ;
                     
                  
                        e)
                     
                     
                        zvyšuje obecné povědomí o ochraně osobních údajů, organizuje školení a informační schůzky;
                     
                  
                        f)
                     
                     
                        spolupracuje s pověřenci pro ochranu osobních údajů v rámci jiných orgánů, institucí a jiných subjektů EU, zejména formou výměny zkušeností a osvědčených postupů;
                     
                  
                        g)
                     
                     
                        vede centrální rejstřík činností zpracování údajů prováděných ESVČ na základě záznamů vytvářených správci údajů v souladu s článkem 31 nařízení a zajišťuje jeho veřejnou dostupnost;
                     
                  
                        h)
                     
                     
                        pomáhá zajistit zastoupení vysokého představitele nebo ESVČ na mezinárodní úrovni ve všech záležitostech souvisejících s ochranou osobních údajů.
                     
                  
         
            Článek 6
            Pravomoci
            Pověřenec pro ochranu osobních údajů při provádění svých úkolů:
            
                        a)
                     
                     
                        má vždy přístup k osobním údajům zpracovávaným složkami ESVČ a jejich dodavateli a do všech úřadů a středisek pro zpracování údajů a ke všem datovým nosičům;
                     
                  
                        b)
                     
                     
                        poskytuje své stanovisko orgánu oprávněnému ke jmenování před přijetím jakéhokoli rozhodnutí v záležitostech týkajících se uplatňování ustanovení o ochraně údajů;
                     
                  
                        c)
                     
                     
                        může navrhovat správní opatření a vydávat obecná doporučení ohledně vhodného uplatňování nařízení a tohoto rozhodnutí;
                     
                  
                        d)
                     
                     
                        může dávat vedení ESVČ, jejím zaměstnancům a jakýmkoli příslušným vnějším stranám doporučení pro praktické vylepšení ochrany údajů;
                     
                  
                        e)
                     
                     
                        může vyšetřovat záležitosti týkající se ochrany údajů, a kromě osoby, která o prošetření požádala nebo podala stížnost, může výsledek šetření nahlásit správci údajů a jakémukoli příslušnému členovi vedení ESVČ;
                     
                  
                        f)
                     
                     
                        může vytvářet šablony a vnitřní postupy, pokyny či politiky, které slouží jako pokyny pro správce a zpracovatele údajů;
                     
                  
                        g)
                     
                     
                        může využívat služeb externích odborníků, včetně IT specialistů;
                     
                  
                        h)
                     
                     
                        může orgán ESVČ oprávněný ke jmenování upozornit na to, že některý zaměstnanec porušil povinnosti vyplývající z nařízení a z tohoto rozhodnutí, a navrhnout zahájení správního šetření;
                     
                  
                        i)
                     
                     
                        může vydávat interní pokyny ohledně ochrany osobních údajů (pokyny pověřence pro ochranu osobních údajů), které budou zohledňovány při zpracovávání osobních údajů.
                     
                  
         
            Článek 7
            Zdroje
            
               1.   Pověřenec pro ochranu osobních údajů má k dispozici dostatečný počet zaměstnanců a prostředky nezbytné k plnění úkolů uvedených v článku 5 tohoto rozhodnutí.
            
            
               2.   Všichni zaměstnanci ESVČ jsou pověřenci pro ochranu osobních údajů nápomocni při plnění úkolů uvedených v článku 5 tohoto rozhodnutí, zejména pak správci a zpracovatelé údajů poskytují požadované informace o činnostech zpracování osobních údajů a přístupu k osobním údajům a připravují návrhy odpovědí na žádosti subjektů údajů vykonávajících svá práva na přístup k osobním údajům nebo na jejich opravu a výmaz, které jsou doručeny pověřenci pro ochranu osobních údajů, ale týkají se činností zpracování údajů, za které odpovídá správce údajů.
            
            
               3.   Pověřenec pro ochranu osobních údajů může mít podle potřeby k dispozici zástupce nebo asistenta pověřence pro ochranu osobních údajů a také administrativní pracovníky a službu sekretariátu. Pověřenec pro ochranu osobních údajů může také využívat jiné složky ESVČ či smluvní subjekty a externí odborníky.
            
            
               4.   Zástupce či asistent pověřence pro ochranu osobních údajů je po svém jmenování nápomocen pověřenci pro ochranu osobních údajů při plnění jeho úkolů a může jej zastupovat v případě jeho nepřítomnosti. Články 4, 5 a 6 tohoto rozhodnutí se vztahují i na zástupce nebo asistenta pověřence pro ochranu osobních údajů.
            
            
               5.   Pověřenec pro ochranu osobních údajů má k dispozici odpovídající prostory, kde je možné zaručit zabezpečení a důvěrnost informací, včetně osobních údajů, a kde lze zajistit náležité uskladnění a archivaci údajů a dokumentů.
            
            
               6.   Pověřenec pro ochranu osobních údajů má k dispozici elektronický nástroj, s jehož pomocí může i) spravovat záznamy o činnostech zpracování osobních údajů v souladu s článkem 31 nařízení, a ii) uchovávat oznámení o ochraně osobních údajů, oznámení o porušení zabezpečení osobních údajů, posouzení dopadu v oblasti ochrany osobních údajů, žádosti subjektů údajů a záznamy o předávání údajů.
            
            
               7.   ESVČ podporuje pověřence pro ochranu osobních údajů při zachovávání a rozšiřování jejich odborných znalostí, mj. umožněním účasti na interinstitucionálních či externích školicích kurzech, konferencích nebo akcích souvisejících s ochranou osobních údajů a na setkáních a školeních pořádaných EIOÚ a sítí pověřenců pro ochranu osobních údajů v orgánech, institucích a jiných subjektech EU.
            
         
         ODDÍL 3
         
            SUBJEKTY ZAPOJENÉ DO POSTUPŮ SOUVISEJÍCÍCH S OCHRANOU OSOBNÍCH ÚDAJŮ
         
         
            Článek 8
            Správci a zpracovatelé údajů
            
               1.   Pověření správci a zástupci správců a zpracovatelů nesou jménem správce údajů odpovědnost za zajištění toho, aby všechny činnosti zpracování spadající do jejich kompetence byly v souladu s nařízením, zejména s jeho článkem 26, a s ustanoveními tohoto rozhodnutí. Mohou podle potřeby svěřit úkoly v oblasti zpracování údajů zaměstnancům ESVČ pracujícím v rámci jejich působnosti nebo smluvním subjektům, a to v souladu s článkem 29 nařízení.
            
            
               2.   Správci údajů zejména musí:
               
                           a)
                        
                        
                           být odpovědní, zajistit a prokázat, že zpracování probíhá v souladu s nařízením a s tímto rozhodnutím;
                        
                     
                           b)
                        
                        
                           zaznamenávat veškeré činnosti zpracování a jakékoli podstatné změny stávajících činností zpracování;
                        
                     
                           c)
                        
                        
                           zajistit informování subjektů údajů o zpracování jejich osobních údajů v souladu s články 15 a 16 nařízení tak, že zpřístupní oznámení o ochraně osobních údajů;
                        
                     
                           d)
                        
                        
                           spolupracovat s pověřencem pro ochranu osobních údajů a s EIOÚ, zejména formou poskytování informací v reakci na jejich žádosti do 14 kalendářních dní od data žádosti;
                        
                     
                           e)
                        
                        
                           informovat pověřence pro ochranu osobních údajů v případě, že je ke zpracování osobních údajů jménem správce údajů využit dodavatel;
                        
                     
                           f)
                        
                        
                           jmenovat koordinátory ochrany údajů, být jim nápomocni při plnění jejich povinností a informovat pověřence pro ochranu osobních údajů o jakékoli změně ve funkci koordinátora ochrany údajů nebo v jejím obsazení;
                        
                     
                           g)
                        
                        
                           konzultovat pověřence pro ochranu osobních údajů ohledně souladu činností zpracování s nařízením a s tímto rozhodnutím. Mohou konzultovat pověřence pro ochranu údajů či jiné odborníky ohledně otázek týkajících se důvěrnosti, dostupnosti a integrity činností zpracování osobních údajů a bezpečnostních opatření přijatých v souladu s článkem 33 nařízení.
                        
                     
            
               3.   Správci údajů mohou v souladu s ustanoveními nařízení využívat jako zpracovatele jiné složky ESVČ nebo smluvní subjekty, pokud ve svých záznamech dokumentují, kdo zpracovatelé jsou, a uvádějí v nich úkoly jim svěřené a přijatá bezpečnostní opatření.
            
            
               4.   Správce údajů zajistí, aby byl pověřenec pro ochranu údajů neprodleně informován:
               
                           a)
                        
                        
                           o všech problémech, které mají nebo mohou mít dopady na ochranu osobních údajů;
                        
                     
                           b)
                        
                        
                           o veškerých sděleních a rozhodnutích vedení ESVČ ve vztahu k uplatňování nařízení, zejména veškerých kontaktech s EIOÚ.
                        
                     
         
         
            Článek 9
            Koordinátor ochrany údajů a korespondent pro ochranu údajů
            
               1.   V závislosti na jejich velikosti a na typu zpracovávaných osobních údajů mají organizační složky ESVČ ustanoveny koordinátory ochrany údajů, kteří fungují jako kontaktní místa pro ochranu osobních údajů. Každé výkonné ředitelství nebo ředitelství v ústředí ESVČ a každá delegace EU jmenuje koordinátora ochrany údajů nebo korespondenta pro ochranu údajů. Všechny útvary, které pravidelně zpracovávají velké množství osobních údajů, zvláštní kategorie údajů nebo citlivé osobní údaje, jejichž zpracování představuje vysoké riziko, by také měly jmenovat vlastního koordinátora ochrany údajů. Funkce koordinátora ochrany údajů by měla být přiřazena zaměstnanci, který má ve své pozici přehled o činnostech složky.
            
            
               2.   Koordinátoři ochrany údajů musí mít nezbytné dovednosti a získat znalosti o ochraně údajů. Je jim poskytnuto úvodní školení o ochraně údajů a mohou se zúčastnit informačních schůzek a setkání sítě koordinátorů ochrany osobních údajů.
            
            
               3.   Koordinátor ochrany údajů:
               
                           a)
                        
                        
                           pomáhá správcům údajů dodržovat jejich povinnosti, aniž by byla dotčena působnost pověřence pro ochranu osobních údajů;
                        
                     
                           b)
                        
                        
                           usnadňuje komunikaci mezi pověřencem pro ochranu osobních údajů a správci údajů;
                        
                     
                           c)
                        
                        
                           je v rámci své služby kontaktní osobou pro záležitosti týkající se ochrany osobních údajů a je ve styku s pověřencem pro ochranu osobních údajů;
                        
                     
                           d)
                        
                        
                           informuje a podporuje své kolegy v záležitostech souvisejících se zpracováním osobních údajů;
                        
                     
                           e)
                        
                        
                           předává zaměstnancům informace o osvětových akcích a školeních;
                        
                     
                           f)
                        
                        
                           ve spolupráci s pověřencem pro ochranu osobních údajů vytváří a aktualizuje přehled stávajících a nových činností zpracování osobních údajů;
                        
                     
                           g)
                        
                        
                           kontaktuje a upozorňuje pověřence pro ochranu osobních údajů v souvislosti s jakýmikoli osobními údaji zpracovávanými v rámci služby;
                        
                     
                           h)
                        
                        
                           pomáhá při identifikaci příslušných pověřených správců a zpracovatelů údajů;
                        
                     
                           i)
                        
                        
                           vytváří záznamy ve své oblasti odbornosti;
                        
                     
                           j)
                        
                        
                           podporuje správce údajů při zřizování a kontrole záznamů a vytváření oznámení o ochraně osobních údajů;
                        
                     
                           k)
                        
                        
                           podílí se na ověřeních souladu a posouzeních dopadu;
                        
                     
                           l)
                        
                        
                           zajišťuje, aby příslušná oznámení o ochraně osobních údajů byla zveřejněna a v rámci jeho služby správně používána;
                        
                     
                           m)
                        
                        
                           upozorňuje pověřence pro ochranu osobních údajů na veškerá porušení zabezpečení osobních údajů;
                        
                     
                           n)
                        
                        
                           připravuje ve spolupráci s pověřencem pro ochranu osobních údajů odpovědi na žádosti subjektů údajů vykonávajících svá práva, řeší stížnosti a dotazy týkající se činností zpracování údajů v rámci jeho služby.
                        
                     
            
               4.   Koordinátor ochrany údajů má právo získat nezbytné informace potřebné k určení činností zpracování osobních údajů a konzultovat pověřence pro ochranu osobních údajů jménem své služby. Toto právo nezahrnuje právo na přístup k osobním údajům zpracovávaným v rámci působnosti správce údajů.
            
         
         
            Článek 10
            Orgán oprávněný ke jmenování
            Orgán oprávněný ke jmenování konzultuje pověřence pro ochranu osobních údajů ohledně jakékoli žádosti nebo stížnosti podle článku 90 služebního řádu ve vztahu k uplatňování nařízení.
         
         
            Článek 11
            Zaměstnanci ESVČ
            
               1.   Všichni zaměstnanci ESVČ uplatňují pravidla důvěrnosti a bezpečnosti pro zpracovávání osobních údajů, jak jsou stanovena v článcích 33, 34 a 35 nařízení. Žádný zaměstnanec ESVČ s přístupem k osobním údajům nezpracovává údaje jinak než podle pokynů správců údajů.
            
            
               2.   Pokud potřebuje jakýkoli zaměstnanec ESVČ zpracovávat osobní údaje, nahlásí to svému přímému nadřízenému, aby správci údajů mohli toto zpracování dokumentovat ve svých záznamech o ochraně údajů a připravit potřebná oznámení o ochraně osobních údajů.
            
            
               3.   Jakýkoli zaměstnanec ESVČ může pověřenci pro ochranu osobních údajů podat žádost nebo sdělit obavu, včetně případů údajného porušení bezpečnosti údajů, nebo podat stížnost EIOÚ týkající se údajného porušení ustanovení nařízení nebo tohoto rozhodnutí, aniž by o tom musel informovat své nadřízené.
            
            
               4.   Pokud kterýkoli zaměstnanec dojde k názoru, že třetí země, území nebo jedna či více určitých oblastí ve třetí zemi, případně mezinárodní organizace nezajišťuje náležitou úroveň ochrany ve smyslu čl. 45 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 (3) nebo čl. 36 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (4), upozorní na to pověřence pro ochranu osobních údajů.
            
         
         ODDÍL 4
         
            OPATŘENÍ A POSTUPY
         
         
            Článek 12
            Bezpečnostní opatření a záměrná a standardní ochrana osobních údajů
            
               1.   Mezi záruky a technická a organizační opatření v zájmu prevence porušení zabezpečení údajů, jejich úniku nebo neoprávněného zpřístupnění patří:
               
                           a)
                        
                        
                           náležité vymezení úloh, odpovědnosti a procedurálních kroků;
                        
                     
                           b)
                        
                        
                           zabezpečené elektronické prostředí, které brání nezákonnému nebo náhodnému přístupu k elektronickým údajům nebo jejich předání neoprávněným osobám pomocí bezpečnostních opatření integrovaných v různých používaných IT aplikacích;
                        
                     
                           c)
                        
                        
                           bezpečné zpracování a uchovávání dokumentů na papíře;
                        
                     
                           d)
                        
                        
                           elektronický a fyzický přístup pouze pro oprávněné zaměstnance s individuálně udělovanými přístupovými právy.
                        
                     
            
               2.   Před navržením činností zpracování údajů zavedou správci údajů záměrnou a standardní ochranu osobních údajů, jak je uvedena v článku 27 nařízení. Za účelem zavedení záměrné a standardní ochrany osobních údajů může správce údajů konzultovat pověřence pro ochranu osobních údajů a další příslušné služby, včetně IT a zabezpečení IT.
            
         
         
            Článek 13
            Oznámení o porušení zabezpečení údajů
            Poté, co se správce nebo zpracovatel údajů dozví o jakémkoli incidentu, zejména o narušení bezpečnosti, vedoucím k náhodnému nebo nezákonnému zničení, ztrátě, pozměňování, neoprávněnému zpřístupnění předávaných, uložených nebo jinak zpracovávaných osobních údajů nebo neoprávněnému přístupu k nim („porušení zabezpečení údajů“), upozorní na takovou skutečnost neprodleně pověřence pro ochranu osobních údajů a během 72 hodin EIOÚ a náležitě incident zdokumentuje.
         
         
            Článek 14
            Vyšetřování a vyřizování žádostí a stížností ze strany pověřence pro ochranu osobních údajů
            
               1.   Pověřenec pro ochranu osobních údajů může z vlastní iniciativy nebo na základě žádosti zahájit vyšetřování údajného porušení povinností uvedených v nařízení. Žádosti se podávají v písemné podobě a jsou adresovány pověřenci pro ochranu osobních údajů.
            
            
               2.   Pověřenec pro ochranu osobních údajů může požádat správce údajů odpovědného za příslušnou činnost zpracování osobních údajů o písemné prohlášení ohledně dané záležitosti. Správce údajů poskytne pověřenci pro ochranu osobních údajů odpověď do 14 kalendářních dní po obdržení této žádosti. Pověřenec pro ochranu osobních údajů může požádat o přístup k doplňujícím informacím, dokumentům, nosičům údajů, datovým centrům, prostorám a systémům z jiných služeb ESVČ, zejména IT oddělení, ředitelství pro bezpečnost a generální ředitelství pověřeného administrativními šetřeními a disciplinárními řízeními. Informace nebo stanoviska se pověřenci pro ochranu údajů poskytují do 14 kalendářních dnů.
            
            
               3.   V případě zjevně nedůvodných, zneužívajících a nepřiměřených žádostí, zejména v případech, kdy tentýž subjekt údajů podává opakované žádosti, může pověřenec pro ochranu osobních údajů odmítnout žádosti vyhovět podle článku 14 nařízení. Žadatel je o tom náležitě informován.
            
         
         ODDÍL 5
         
            POSTUP PRO SUBJEKTY ÚDAJŮ PŘI VÝKONU JEJICH PRÁV
         
         
            Článek 15
            Obecná ustanovení
            
               1.   Subjekty údajů mohou kontaktovat správce údajů nebo pověřence pro ochranu osobních údajů za účelem výkonu svých práv v souladu s články 14 až 24 nařízení.
            
            
               2.   Žádosti o výkon práv subjektů údajů jsou podávány písemně. V případě potřeby je pověřenec pro ochranu údajů nápomocen subjektu údajů při určení příslušného správce údajů. Pověřenec pro ochranu údajů předává jakékoli obdržené žádosti příslušnému správci údajů, který může pověřence pro ochranu údajů konzultovat.
            
            
               3.   Správci údajů žádost zpracují a odpoví přímo subjektu údajů.
            
         
         
            Článek 16
            Zpracovávání žádostí o výkon práv subjektů údajů
            
               1.   Správci údajů jednají na základě žádosti až po ověření totožnosti žadatele nebo, v případě žádosti podané zástupcem subjektu údajů, po předložení zmocnění ze strany subjektu údajů.
            
            
               2.   Správce údajů odpovědný za činnost zpracování údajů zašle žadateli potvrzení o obdržení žádosti do 14 kalendářních dní od přijetí žádosti ze strany ESVČ. Není-li stanoveno jinak, odpoví správce údajů na žádost do 1 měsíce od jejího zaregistrování. Správce údajů buď na žádost odpoví kladně, nebo písemně uvede důvody pro její částečné či úplné zamítnutí. Lhůta na odpověď může být v souladu s čl. 14 odst. 3 nařízení s ohledem na složitost a počet žádostí prodloužena až o další 2 měsíce.
            
            
               3.   Žádost subjektu údajů může být zamítnuta, pokud:
               
                           a)
                        
                        
                           není odůvodněná;
                        
                     
                           b)
                        
                        
                           se na ni vztahuje výjimka stanovená v nařízení;
                        
                     
                           c)
                        
                        
                           se na ni vztahuje omezení v souladu s vnitřními pravidly (5) přijatými na základě článku 25 nařízení.
                        
                     
            
               4.   V případě zjevně nedůvodných, zneužívajících a nepřiměřených žádostí, zejména v případech, kdy tentýž subjekt údajů podává opakované žádosti, může správce údajů po konzultaci s pověřencem pro ochranu osobních odmítnout žádosti vyhovět podle článku 14 nařízení. Žadatel je o tom náležitě informován.
            
         
         
            Článek 17
            Výjimky a omezení
            Omezení v souladu s vnitřními pravidly přijatými na základě článku 25 nařízení a výjimky stanovené v článcích 15 až 19 a 21 až 24 nařízení se použijí až po konzultaci s pověřencem pro ochranu osobních údajů.
         
         ODDÍL 6
         
            ZÁVĚREČNÁ USTANOVENÍ
         
         
            Článek 18
            Komunikace o tomto rozhodnutí
            
               1.   V souladu s článkem 41 nařízení je o tomto rozhodnutí informován EIOÚ.
            
            
               2.   Toto rozhodnutí bude zaměstnancům ESVČ zpřístupněno prostřednictvím vhodných prostředků, zejména zveřejněním na interním webu ESVČ.
            
         
         
            Článek 19
            Zrušení
            Rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku PROC HR(2011) 016 ze dne 8. prosince 2011 o pravidlech týkajících se ochrany údajů se zrušuje.
         
         
            Článek 20
            Účinek
            Toto rozhodnutí vstupuje v platnost prvním dnem po přijetí.
         
         
            V Bruselu dne 1. října 2019.
            
               Federica MOGHERINI
               
                  Vysoká Představitelka
               
            
         
         
            (1)  Úř. věst. L 201, 3.8.2010, s. 30.
         
            (2)  Úř. věst. L 295, 21.11.2018, s. 39.
         
            (3)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).
         
            (4)  Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).
         
            (5)  Rozhodnutí vysoké představitelky Unie pro zahraniční věci a bezpečnostní politiku o vnitřních pravidlech týkajících se omezení určitých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci fungování Evropské služby pro vnější činnost (ADMIN(2019) 10).