CELEX: 32019D1031(02)
Language: sk
Date: 2019-10-01 00:00:00
Title: Rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku z 1. októbra 2019 o vykonávacích predpisoch týkajúcich sa ochrany osobných údajov zo strany Európskej služby pre vonkajšiu činnosť a o uplatňovaní nariadenia Európskeho parlamentu a Rady (EÚ) 2018/17252019/C 370/05

31.10.2019   
               
               
                  SK
               
               
                  Úradný vestník Európskej únie
               
               
                  C 370/9
               
            
         Rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku
         z 1. októbra 2019
         o vykonávacích predpisoch týkajúcich sa ochrany osobných údajov zo strany Európskej služby pre vonkajšiu činnosť a o uplatňovaní nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725
         (2019/C 370/05)
         VYSOKÁ PREDSTAVITEĽKA ÚNIE PRE ZAHRANIČNÉ VECI A BEZPEČNOSTNÚ POLITIKU,
         so zreteľom na rozhodnutie Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť (2010/427/EÚ) (1) (ďalej len „rozhodnutie Rady o ESVČ“), a najmä jeho článok 11 ods. 3,
         so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (2), (ďalej len „nariadenie“), a najmä na jeho články 43, 44 a 45,
         keďže:
         
                     (1)
                  
                  
                     Posilnená zodpovednosť prevádzkovateľov stanovená v nariadení si vyžaduje prijatie nového vykonávacieho rozhodnutia, ktorým sa nahradí rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku PROC HR(2011) 016 z 8. decembra 2011 o pravidlách týkajúcich sa ochrany údajov v ESVČ.
                  
               
                     (2)
                  
                  
                     Úloha zodpovednej osoby a zodpovednosť prevádzkovateľa v rámci Európskej služby pre vonkajšiu činnosť musia byť jasne stanovené a prispôsobené požiadavkám nariadenia,
                  
               ROZHODLA TAKTO:
         ODDIEL 1
         
            VŠEOBECNÉ USTANOVENIA
         
         
            Článok 1
            Predmet úpravy a rozsah pôsobnosti
            
               1.   V súlade s článkom 45 ods. 3 nariadenia sa v tomto rozhodnutí stanovujú úlohy, povinnosti a právomoci zodpovednej osoby v rámci ESVČ.
            
            
               2.   V tomto rozhodnutí sa takisto ďalej špecifikujú interné postupy a zodpovednosti prevádzkovateľov a sprostredkovateľov údajov, ako aj postavenie, úlohy a povinnosti koordinátorov a korešpondentov pre ochranu údajov, najmä podľa článku 26 a 29 nariadenia.
            
         
         
            Článok 2
            Vymedzenie pojmov
            Na účely tohto rozhodnutia a bez toho, aby bolo dotknuté vymedzenie pojmov stanovené v nariadení:
            
                        a)
                     
                     
                        „prevádzkovateľ“ je ESVČ alebo jej organizačné jednotky vrátane delegácií EÚ, ktoré samostatne alebo spoločne s inými určujú účely a prostriedky spracúvania osobných údajov;
                     
                  
                        b)
                     
                     
                        „zástupca prevádzkovateľa“ sú členovia vedenia ESVČ alebo vedúci organizačných jednotiek, ktorí dohliadajú na organizačné jednotky prevádzkovateľa uvedené v písmene a) a ktorí sú zodpovední za spracúvanie osobných údajov;
                     
                  
                        c)
                     
                     
                        „poverený prevádzkovateľ“ je útvar alebo zamestnanci v rámci organizačnej jednotky prevádzkovateľa, ktorý je poverený riadením činnosti spracúvania osobných údajov;
                     
                  
                        d)
                     
                     
                        „spoloční prevádzkovatelia“ sú dve alebo viaceré organizačné jednotky, ktoré spoločne určujú účely a prostriedky spracúvania osobných údajov a úlohy a povinnosti prevádzkovateľov vrátane ich povinností súvisiacich s výkonom práv dotknutej osoby, najmä keď ESVČ kontroluje spracúvanie spoločne s ostatnými inštitúciami, orgánmi, agentúrami, úradmi alebo inými subjektmi EÚ;
                     
                  
                        e)
                     
                     
                        „zodpovedná osoba“ je zamestnanec ESVČ určený ESVČ v súlade s článkom 43 nariadenia, aby poskytoval prevádzkovateľom podporu, informácie a poradenstvo;
                     
                  
                        f)
                     
                     
                        „koordinátor a korešpondent pre ochranu údajov“ sú zamestnanci ESVČ na ústredí a v delegáciách EÚ určení, aby poskytovali pomoc svojim prevádzkovateľom vo veciach ochrany údajov;
                     
                  
                        g)
                     
                     
                        „sprostredkovateľ“ je subjekt v rámci ESVČ alebo mimo nej, ktorý spracúva osobné údaje v mene prevádzkovateľa;
                     
                  
                        h)
                     
                     
                        „oznámenia o ochrane údajov“ sú oznámenia, ako sú vyhlásenia o ochrane osobných údajov, ktorými prevádzkovateľ poskytuje dotknutým osobám informácie podľa článku 15 a 16 nariadenia;
                     
                  
                        i)
                     
                     
                        „zamestnanci ESVČ“ sú v súlade s článkom 6 rozhodnutia Rady o ESVČ úradníci a ostatní zamestnanci EÚ pracujúci pre ESVČ vrátane zamestnancov z diplomatických služieb členských štátov EÚ, vyslaných národných expertov a stážistov.
                     
                  
         ODDIEL 2
         
            ZODPOVEDNÁ OSOBA
         
         
            Článok 3
            Určenie zodpovednej osoby
            
               1.   Generálny tajomník ESVČ určí zodpovednú osobu spomedzi zamestnancov ESVČ v súlade s článkom 43 nariadenia a zaregistruje ju u európskeho dozorného úradníka pre ochranu údajov (ďalej len „EDPS“).
            
            
               2.   Zodpovedná osoba, okrem toho, že spĺňa požiadavky článku 43 ods. 3 nariadenia, má dobré znalosti o útvaroch ESVČ, ich štruktúre, informačných systémoch, administratívnych pravidlách a postupoch. Zodpovedná osoba má odborné znalosti v oblasti ochrany údajov, správny úsudok a schopnosť zachovať nestranný a objektívny postoj v súlade so služobným poriadkom.
            
            
               3.   Zodpovedná osoba sa vymenuje na obdobie piatich rokov, pričom môže byť vymenovaná opätovne.
            
            
               4.   Zodpovedná osoba môže byť z tejto funkcie odvolaná len so súhlasom európskeho dozorného úradníka pre ochranu údajov, ak už nespĺňa podmienky požadované na výkon svojich povinností.
            
            
               5.   Zodpovedná osoba je administratívne pričlenená ku generálnemu tajomníkovi.
            
            
               6.   Kontaktné údaje zodpovednej osoby sa uverejnia na intranetovej stránke ESVČ a na vonkajšom webovom sídle ESVČ a oznámia sa EDPS.
            
         
         
            Článok 4
            Postavenie zodpovednej osoby
            
               1.   Zodpovedná osoba koná nezávisle a v spolupráci s EDPS. Európska služba pre vonkajšiu činnosť nesmie zodpovednej osobe udeľovať žiadne pokyny týkajúce sa plnenia jej úloh.
            
            
               2.   Zodpovedná osoba nesmie byť prepustená ani potrestaná za plnenie svojich úloh.
            
            
               3.   Zodpovedná osoba je informovaná o všetkých kontaktoch s externými stranami, pokiaľ ide o uplatňovanie nariadenia a tohto rozhodnutia, najmä o akejkoľvek interakcii s EDPS a členmi siete zodpovedných osôb v inštitúciách, orgánoch, úradoch a agentúrach EÚ.
            
            
               4.   Dotknuté osoby sa môžu obrátiť na zodpovednú osobu vo všetkých otázkach týkajúcich sa spracúvania ich osobných údajov alebo výkonu ich práv podľa nariadenia.
            
            
               5.   Prevádzkovateľ alebo jeho zástupca, výbor zamestnancov a všetci zamestnanci môžu konzultovať so zodpovednou osobou akúkoľvek záležitosť týkajúcu sa výkladu alebo uplatňovania nariadenia bez toho, aby museli využiť úradné postupy. Nikto nesmie utrpieť žiadnu ujmu v dôsledku toho, že o určitej veci informoval zodpovednú osobu.
            
         
         
            Článok 5
            Úlohy zodpovednej osoby
            Zodpovedná osoba:
            
                        a)
                     
                     
                        poskytuje konzultácie o všetkých otázkach súvisiacich s ochranou osobných údajov;
                     
                  
                        b)
                     
                     
                        poskytuje usmernenie a proaktívne poradenstvo pre organizačné jednotky ESVČ a ich dodávateľov, ktorí vykonávajú činnosti spracúvania osobných údajov, o tom, ako vykonávať nariadenie a toto rozhodnutie, a to aj konzultácie o oznámeniach o porušení ochrany údajov, o posúdeniach vplyvu a o potrebe predchádzajúcej konzultácie s EDPS;
                     
                  
                        c)
                     
                     
                        udržiava pravidelný kontakt s prevádzkovateľmi s cieľom monitorovať dodržiavanie predpisov v oblasti ochrany údajov a podporovať ich pri plnení ich úloh, najmä prispievať k príprave a uverejňovaniu oznámení o ochrane údajov a k odpovediam na žiadosti dotknutých osôb;
                     
                  
                        d)
                     
                     
                        udržiava pravidelný kontakt s koordinátorom pre ochranu osobných údajov ústredia ESVČ a korešpondentmi pre ochranu osobných údajov delegácií EÚ a riadi sieť koordinátorov a korešpondentov pre ochranu osobných údajov v rámci ESVČ;
                     
                  
                        e)
                     
                     
                        zvyšuje všeobecné povedomie o ochrane údajov, organizuje odbornú prípravu a informačné stretnutia;
                     
                  
                        f)
                     
                     
                        spolupracuje so zodpovednými osobami z ostatných inštitúcií, orgánov, úradov a agentúr EÚ, a to najmä prostredníctvom výmeny skúseností a najlepších postupov;
                     
                  
                        g)
                     
                     
                        vedie centrálny register spracovateľských činností vykonávaných ESVČ na základe záznamov vypracovaných prevádzkovateľmi v súlade s článkom 31 nariadenia a sprístupňuje ho verejnosti;
                     
                  
                        h)
                     
                     
                        pomáha pri zabezpečovaní zastúpenia vysokého predstaviteľa alebo ESVČ na medzinárodnej úrovni vo všetkých otázkach súvisiacich s ochranou údajov.
                     
                  
         
            Článok 6
            Právomoci
            Zodpovedná osoba pri plnení svojich úloh:
            
                        a)
                     
                     
                        má nepretržitý prístup k údajom spracúvaným organizačnými jednotkami ESVČ a ich dodávateľmi a do všetkých úradov, stredísk spracovania údajov a ku všetkým nosičom údajov;
                     
                  
                        b)
                     
                     
                        poskytuje svoje stanovisko menovaciemu orgánu pred prijatím akéhokoľvek rozhodnutia vo veciach týkajúcich sa uplatňovania ustanovení o ochrane údajov;
                     
                  
                        c)
                     
                     
                        môže navrhovať administratívne opatrenia a vydávať všeobecné odporúčania o náležitom uplatňovaní nariadenia a tohto rozhodnutia;
                     
                  
                        d)
                     
                     
                        môže poskytnúť odporúčania na praktické zlepšenie ochrany údajov vedeniu ESVČ, jej zamestnancom a akejkoľvek relevantnej externej osobe;
                     
                  
                        e)
                     
                     
                        môže prešetrovať záležitosti ochrany údajov a o výsledku vyšetrovania môže popri osobe, ktorá o prešetrenie požiadala alebo ktorá podala sťažnosť, informovať prevádzkovateľa a každého príslušného člena vedenia ESVČ;
                     
                  
                        f)
                     
                     
                        môže vypracovať vzory a interné postupy, pokyny alebo politiky v záujme usmernenia prevádzkovateľov a sprostredkovateľov;
                     
                  
                        g)
                     
                     
                        môže využívať služby externých odborníkov vrátane IT špecialistov;
                     
                  
                        h)
                     
                     
                        môže upozorniť menovací orgán ESVČ na akékoľvek nedodržanie povinností vyplývajúcich z nariadenia a tohto rozhodnutia zo strany zamestnanca a navrhnúť začatie administratívneho prešetrovania;
                     
                  
                        i)
                     
                     
                        môže vydať interné usmernenia o ochrane údajov (usmernenia zodpovednej osoby), ktoré sa zohľadnia pri spracúvaní osobných údajov.
                     
                  
         
            Článok 7
            Zdroje
            
               1.   Zodpovednej osobe sa poskytnú primerané ľudské zdroje a zdroje potrebné na plnenie úloh uvedených v článku 5 tohto rozhodnutia.
            
            
               2.   Všetci zamestnanci ESVČ podporujú zodpovednú osobu pri plnení úloh uvedených v článku 5 tohto rozhodnutia, pričom najmä prevádzkovatelia a sprostredkovatelia poskytujú požadované informácie o činnostiach spracúvania údajov, prístupe k osobným údajom a pripravujú návrhy odpovedí na žiadosti dotknutých osôb, ktoré si uplatňujú právo na prístup, opravu a vymazanie, ktoré dostala zodpovedná osoba, ale ktoré sa týkajú spracovateľských činností, za ktoré zodpovedá prevádzkovateľ.
            
            
               3.   Zodpovedná osoba môže mať podľa potreby zástupcu alebo asistujúcu zodpovednú osobu, ako aj administratívny personál a administratívnu podporu. Zodpovedná osoba môže využívať aj iné organizačné jednotky ESVČ alebo zmluvných partnerov a externých odborníkov.
            
            
               4.   V prípade, že je určený zástupca zodpovednej osoby alebo asistujúca zodpovedná osoba, podporujú zodpovednú osobu pri plnení jej úloh a môžu zastupovať zodpovednú osobu v prípade jej neprítomnosti. Články 4, 5 a 6 tohto rozhodnutia sa vzťahujú aj na zástupcu zodpovednej osoby alebo asistujúcu zodpovednú osobu.
            
            
               5.   Zodpovedná osoba má primerané priestory, kde možno zaručiť bezpečnosť a dôvernosť informácií vrátane osobných údajov a kde možno zabezpečiť primerané uchovávanie a archivovanie údajov a dokumentov.
            
            
               6.   Zodpovedná osoba má k dispozícii elektronický nástroj, s pomocou ktorého môže i) spravovať záznamy o činnostiach spracúvania osobných údajov v súlade s článkom 31 nariadenia a ii) uchovávať oznámenia o ochrane údajov, oznámenia o porušení ochrany údajov, posúdenia vplyvu na ochranu údajov, žiadosti o dotknutých osôb a záznamy o prenose údajov.
            
            
               7.   Európska služba pre vonkajšiu činnosť podporuje zodpovednú osobu pri udržiavaní a rozširovaní jej odborných znalostí okrem iného tým, že uľahčuje účasť na medziinštitucionálnych alebo externých školeniach, konferenciách alebo podujatiach súvisiacich s ochranou údajov a na stretnutiach a odbornej príprave, ktoré organizuje EDPS a sieť zodpovedných osôb inštitúcií, orgánov, úradov a agentúr EÚ.
            
         
         ODDIEL 3
         
            SUBJEKTY ZAPOJENÉ DO POSTUPOV V SÚVISLOSTI S OCHRANOU ÚDAJOV
         
         
            Článok 8
            Prevádzkovatelia a sprostredkovatelia
            
               1.   Poverení prevádzkovatelia, zástupcovia prevádzkovateľov a zástupcovia sprostredkovateľov sú v mene prevádzkovateľa zodpovední za zabezpečenie toho, aby všetky spracovateľské činnosti pod ich kontrolou boli v súlade s nariadením, najmä s jeho článkom 26, a s ustanoveniami tohto rozhodnutia. V prípade potreby môžu v súlade s článkom 29 nariadenia zveriť úlohy spracovania údajov zamestnancom ESVČ, ktorí pracujú v rámci ich zodpovednosti, alebo zmluvným partnerom.
            
            
               2.   Prevádzkovatelia musia najmä:
               
                           a)
                        
                        
                           niesť zodpovednosť, zabezpečiť a preukázať, že spracúvanie sa vykonáva v súlade s nariadením a týmto rozhodnutím;
                        
                     
                           b)
                        
                        
                           zaznamenávať akúkoľvek spracovateľskú činnosť a akékoľvek podstatné zmeny existujúcej spracovateľskej činnosti;
                        
                     
                           c)
                        
                        
                           zabezpečiť, aby boli dotknuté osoby informované o spracúvaní svojich údajov v súlade s článkami 15 a 16 nariadenia, a to sprístupnením oznámení o ochrane údajov;
                        
                     
                           d)
                        
                        
                           spolupracovať so zodpovednou osobou a európskym dozorným úradníkom pre ochranu údajov, najmä poskytovaním informácií v odpovedi na ich žiadosti do 14 kalendárnych dní odo dňa podania žiadosti;
                        
                     
                           e)
                        
                        
                           informovať zodpovednú osobu, keď sa na spracúvanie osobných údajov v mene prevádzkovateľa používa dodávateľ;
                        
                     
                           f)
                        
                        
                           vymenúvať koordinátorov a korešpondentov pre ochranu osobných údajov, podporovať ich pri plnení ich povinností a informovať zodpovednú osobu o každej zmene osoby alebo funkcie koordinátora a korešpondenta pre ochranu osobných údajov;
                        
                     
                           g)
                        
                        
                           konzultovať so zodpovednou osobou o tom, či sú spracovateľské činnosti v súlade s nariadením a týmto rozhodnutím. Môžu konzultovať so zodpovednou osobou alebo s inými odborníkmi o otázkach týkajúcich sa dôvernosti, dostupnosti a integrity spracovateľských činností a o bezpečnostných opatreniach prijatých podľa článku 33 nariadenia.
                        
                     
            
               3.   Prevádzkovatelia môžu využívať ostatné organizačné jednotky v ESVČ alebo zmluvných partnerov ako sprostredkovateľov v súlade s ustanoveniami nariadenia, pokiaľ vo svojich záznamoch uvádzajú, kto je sprostredkovateľom, úlohy, ktoré mu boli zverené, a prijaté bezpečnostné opatrenia.
            
            
               4.   Prevádzkovateľ zabezpečí, aby bola zodpovedná osoba bezodkladne informovaná o:
               
                           a)
                        
                        
                           všetkých záležitostiach, ktoré majú alebo by mohli mať vplyv na ochranu údajov;
                        
                     
                           b)
                        
                        
                           všetkých oznámeniach a rozhodnutiach vedenia ESVČ týkajúcich sa uplatňovania nariadenia, a to najmä o akejkoľvek interakcii s európskym dozorným úradníkom pre ochranu údajov.
                        
                     
         
         
            Článok 9
            Koordinátor a korešpondent pre ochranu osobných údajov
            
               1.   V závislosti od svojej veľkosti a druhu spracúvaných osobných údajov majú organizačné jednotky ESVČ koordinátora alebo korešpondenta pre ochranu osobných údajov, ktorý plní funkciu kontaktného miesta pre ochranu údajov. Každé riadiace riaditeľstvo alebo riaditeľstvo na ústredí ESVČ a každá delegácia EÚ určí koordinátora pre ochranu údajov alebo korešpondenta pre ochranu údajov. Všetky útvary, ktoré pravidelne spracúvajú veľké množstvo osobných údajov, osobitné kategórie údajov alebo citlivé osobné údaje, ktorých spracúvanie predstavuje vysoké riziko, tiež určia svojho vlastného koordinátora alebo korešpondenta pre ochranu osobných údajov. Funkcia koordinátora alebo korešpondenta pre ochranu osobných údajov sa pridelí pozícii, ktorá má prehľad o činnostiach organizačnej jednotky.
            
            
               2.   Koordinátori a korešpondenti pre ochranu osobných údajov musia mať potrebné zručnosti a získavajú vedomosti o ochrane údajov. Poskytuje sa im úvodná odborná príprava v oblasti ochrany údajov a môžu sa zúčastňovať na informačných stretnutiach a stretnutiach siete koordinátorov a korešpondentov pre ochranu osobných údajov.
            
            
               3.   Koordinátor a korešpondent pre ochranu osobných údajov:
               
                           a)
                        
                        
                           bez toho, aby boli dotknuté povinnosti zodpovednej osoby, pomáha prevádzkovateľom pri plnení ich povinností;
                        
                     
                           b)
                        
                        
                           uľahčuje komunikáciu medzi zodpovednou osobou a prevádzkovateľmi.
                        
                     
                           c)
                        
                        
                           je kontaktným miestom pre otázky ochrany údajov v rámci svojho útvaru a spolupracuje so zodpovednou osobou;
                        
                     
                           d)
                        
                        
                           informuje a podporuje svojich kolegov v otázkach týkajúcich sa spracovania osobných údajov;
                        
                     
                           e)
                        
                        
                           postupuje zamestnancom informácie o podujatiach so zameraním na zvyšovanie informovanosti a o odbornej príprave;
                        
                     
                           f)
                        
                        
                           spolupracuje so zodpovednou osobou na vytvorení a aktualizácii prehľadu existujúcich a nových činností spracúvania osobných údajov;
                        
                     
                           g)
                        
                        
                           kontaktuje zodpovednú osobu a oznamuje jej všetky osobné údaje spracúvané v rámci svojho útvaru;
                        
                     
                           h)
                        
                        
                           pomáha pri identifikácii príslušných poverených prevádzkovateľov a sprostredkovateľov;
                        
                     
                           i)
                        
                        
                           vypracúva záznamy vo svojej oblasti odbornosti;
                        
                     
                           j)
                        
                        
                           podporuje prevádzkovateľov pri vytváraní a preskúmavaní záznamov a pri vytváraní oznámení o ochrane údajov;
                        
                     
                           k)
                        
                        
                           prispieva k overovaniam súladu a hodnoteniam vplyvu;
                        
                     
                           l)
                        
                        
                           zabezpečuje, aby jeho útvar uverejňoval a správne používal príslušné oznámenia o ochrane údajov;
                        
                     
                           m)
                        
                        
                           oznamuje zodpovednej osobe akékoľvek porušenia ochrany údajov;
                        
                     
                           n)
                        
                        
                           v spolupráci so zodpovednou osobou pripravuje odpoveď na žiadosti dotknutých osôb, ktoré si uplatňujú svoje práva, a vybavuje sťažnosti a otázky týkajúce sa činností spracúvania údajov v rámci svojho útvaru.
                        
                     
            
               4.   Koordinátor alebo korešpondent pre ochranu osobných údajov má právo získať informácie potrebné na identifikáciu činností spracúvania osobných údajov a konzultovať v mene svojho útvaru so zodpovednou osobou. To nezahŕňa právo na prístup k osobným údajom spracúvaným v rámci pôsobnosti prevádzkovateľa.
            
         
         
            Článok 10
            Menovací orgán
            Menovací orgán konzultuje so zodpovednou osobou všetky žiadosti alebo sťažnosti podľa článku 90 služobného poriadku v súvislosti s uplatňovaním nariadenia.
         
         
            Článok 11
            Zamestnanci ESVČ
            
               1.   Všetci zamestnanci ESVČ uplatňujú na spracúvanie osobných údajov pravidlá dôvernosti a bezpečnosti podľa článkov 33, 34 a 35 nariadenia. Žiadny zamestnanec ESVČ s prístupom k osobným údajom nesmie spracúvať údaje inak než na základe pokynov od prevádzkovateľov.
            
            
               2.   Všetci zamestnanci ESVČ oznámia svojmu priamemu nadriadenému, keď potrebujú spracovať osobné údaje, aby mohli prevádzkovatelia zdokumentovať toto spracovanie vo svojich záznamoch o ochrane údajov a pripraviť potrebné oznámenia o ochrane údajov.
            
            
               3.   Každý zamestnanec ESVČ môže predložiť žiadosť alebo oznámiť obavy zodpovednej osobe, okrem iného aj v súvislosti údajným porušením ochrany údajov, resp. môže podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov, pokiaľ ide o údajné porušenie nariadenia alebo tohto rozhodnutia, a to bez toho, aby musel informovať svojich nadriadených.
            
            
               4.   Ak sa ktorýkoľvek zamestnanec domnieva, že tretia krajina, územie alebo jeden či viaceré konkrétne sektory v tretej krajine alebo medzinárodnej organizácii nezabezpečujú primeranú úroveň ochrany v zmysle článku 45 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (3) alebo článku 36 ods. 3 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 (4), oznámia to zodpovednej osobe.
            
         
         ODDIEL 4
         
            OPATRENIA A POSTUPY
         
         
            Článok 12
            Bezpečnostné opatrenia a špecificky navrhnutá a štandardná ochrana údajov
            
               1.   Záruky, technické a organizačné opatrenia na predchádzanie porušovaniu ochrany údajov, ako aj únikom alebo neoprávneným poskytnutiam údajov zahŕňajú:
               
                           a)
                        
                        
                           primerané vymedzenie úloh, zodpovedností a procedurálnych krokov;
                        
                     
                           b)
                        
                        
                           bezpečné elektronické prostredie, ktoré bráni neoprávnenému alebo náhodnému prístupu alebo prenosu elektronických údajov neoprávneným osobám, pomocou bezpečnostných opatrení integrovaných v rôznych používaných IT aplikáciách;
                        
                     
                           c)
                        
                        
                           bezpečné spracúvanie a uchovávanie papierových dokumentov;
                        
                     
                           d)
                        
                        
                           elektronický a fyzický prístup len pre oprávnených zamestnancov s prístupovými právami, ktoré sa udeľujú individuálne.
                        
                     
            
               2.   Pred navrhnutím činností spracúvania údajov musia prevádzkovatelia realizovať špecificky navrhnutú a štandardnú ochranu údajov, ako sa uvádza v článku 27 nariadenia. S cieľom zaviesť špecificky navrhnutú a štandardnú ochranu údajov môže prevádzkovateľ konzultovať so zodpovednou osobou a inými príslušnými útvarmi vrátane IT a bezpečnosti IT.
            
         
         
            Článok 13
            Oznámenia o porušení ochrany údajov
            Po zistení akéhokoľvek incidentu, najmä narušenia bezpečnosti, ktorý vedie k náhodnému alebo nezákonnému zničeniu, strate, pozmeneniu, neoprávnenému poskytnutiu osobných údajov alebo k neoprávnenému prístupu k nim, či už sú prenášané, uložené alebo inak spracúvané, („porušenie ochrany osobných údajov“), prevádzkovateľ alebo sprostredkovateľ okamžite informuje zodpovednú osobu a do 72 hodín európskeho dozorného úradníka pre ochranu údajov a incident náležite zdokumentuje.
         
         
            Článok 14
            Prešetrovania a vybavovanie žiadostí a sťažností zo strany zodpovednej osoby
            
               1.   Zodpovedná osoba môže začať vyšetrovanie týkajúce sa údajného porušenia povinností vyplývajúcich z nariadenia z vlastnej iniciatívy alebo na požiadanie. Žiadosti sa predkladajú zodpovednej osobe v písomnej forme.
            
            
               2.   Zodpovedná osoba môže prevádzkovateľa zodpovedného za príslušnú činnosť spracúvania údajov požiadať o písomné stanovisko. Prevádzkovateľ poskytne zodpovednej osobe odpoveď do 14 kalendárnych dní od prijatia tejto žiadosti. Zodpovedná osoba môže požiadať o prístup k doplňujúcim informáciám, dokumentom, nosičom údajov, do dátových stredísk, priestorov a systémov z iných útvarov ESVČ, najmä na IT oddelenie, riaditeľstvo pre bezpečnosť a generálne riaditeľstvo, ktoré sa zaoberá administratívnymi vyšetrovaniami a disciplinárnymi konaniami. Informácie alebo stanovisko sa zodpovednej osobe poskytne do 14 kalendárnych dní.
            
            
               3.   V prípade zjavne nepodložených, zneužívajúcich a neprimeraných žiadostí, najmä ak tá istá dotknutá osoba podala žiadosti opakujúcej sa povahy, môže zodpovedná osoba podľa článku 14 nariadenia odmietnuť na základe žiadosti konať. Žiadateľ o tom musí byť náležite informovaný.
            
         
         ODDIEL 5
         
            POSTUP PRE DOTKNUTÉ OSOBY PRI VÝKONE ICH PRÁV
         
         
            Článok 15
            Všeobecné ustanovenia
            
               1.   Dotknuté osoby môžu v záujme uplatnenia svojich práv podľa článkov 14 až 24 nariadenia kontaktovať prevádzkovateľa alebo zodpovednú osobu.
            
            
               2.   Žiadosti o výkon práv dotknutých osôb sa podávajú písomne. Zodpovedná osoba v prípade potreby pomáha dotknutej osobe pri identifikácii príslušného prevádzkovateľa. Zodpovedná osoba postúpi všetky prijaté žiadosti príslušnému prevádzkovateľovi, ktorý môže so zodpovednou osobou konzultovať.
            
            
               3.   Prevádzkovatelia spracujú žiadosť a priamo odpovedajú dotknutej osobe.
            
         
         
            Článok 16
            Spracovanie žiadostí o výkon práv dotknutých osôb
            
               1.   Prevádzkovatelia na základe žiadosti konajú, až keď sa overí totožnosť žiadateľa, resp. v prípade, že žiadosť podal zástupca dotknutej osoby, po predložení splnomocnenia od dotknutej osoby.
            
            
               2.   Prevádzkovateľ zodpovedný za spracovanie údajov zašle žiadateľovi potvrdenie o prijatí do 14 kalendárnych dní od prijatia žiadosti ESVČ. Pokiaľ nie je stanovené inak, prevádzkovateľ odpovie na žiadosť do jedného mesiaca od zaevidovania žiadosti. Prevádzkovateľ buď poskytne na žiadosť kladnú odpoveď, alebo písomne uvedie dôvody úplného alebo čiastočného zamietnutia. V súlade s článkom 14 ods. 3 nariadenia možno lehotu na odpoveď predĺžiť najviac o ďalšie dva mesiace, pričom sa zohľadní zložitosť záležitosti a počet podaných žiadostí.
            
            
               3.   Žiadosť dotknutej osoby možno zamietnuť, ak:
               
                           a)
                        
                        
                           žiadosť nie je odôvodnená;
                        
                     
                           b)
                        
                        
                           sa uplatňuje výnimka stanovená v nariadení;
                        
                     
                           c)
                        
                        
                           sa v súlade s internými pravidlami (5) prijatými na základe článku 25 nariadenia uplatňuje obmedzenie.
                        
                     
            
               4.   V prípade zjavne nepodložených, zneužívajúcich a neprimeraných žiadostí, najmä ak tá istá dotknutá osoba podala žiadosti opakujúcej sa povahy, môže prevádzkovateľ po konzultácii so zodpovednou osobou podľa článku 14 nariadenia odmietnuť konať. Žiadateľ o tom musí byť náležite informovaný.
            
         
         
            Článok 17
            Výnimky a obmedzenia
            Obmedzenia v súlade s internými pravidlami prijatými na základe článku 25 nariadenia a výnimky stanovené v článkoch 15 až 19 a článkoch 21 až 24 nariadenia sa uplatňujú až po konzultácii so zodpovednou osobou.
         
         ODDIEL 6
         
            ZÁVEREČNÉ USTANOVENIA
         
         
            Článok 18
            Oznámenie tohto rozhodnutia
            
               1.   V súlade s článkom 41 nariadenia sa o tomto rozhodnutí informuje európsky dozorný úradník pre ochranu údajov.
            
            
               2.   Toto rozhodnutie sa sprístupní zamestnancom ESVČ vhodnými prostriedkami, najmä zverejnením na internej webovej stránke ESVČ.
            
         
         
            Článok 19
            Zrušenie
            Rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku PROC HR (2011) 016 z 8. decembra 2011 o pravidlách týkajúcich sa ochrany údajov sa týmto zrušuje.
         
         
            Článok 20
            Účinnosť
            Toto rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho prijatí.
         
         
            V Bruseli 1. októbra 2019
            
               Federica MOGHERINI
               
                  Vysoká predstaviteľka
               
            
         
         
            (1)  Ú. v. EÚ L 201, 3.8.2010, s. 30.
         
            (2)  Ú. v. EÚ L 295, 21.11.2018, s. 39.
         
            (3)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).
         
            (4)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracovávaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016, s. 89).
         
            (5)  Rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku o interných pravidlách týkajúcich sa obmedzení určitých práv dotknutých osôb v súvislosti so spracúvaním osobných údajov v rámci fungovania Európskej služby pre vonkajšiu činnosť [ADMIN (2019) 10].