CELEX: 32019D1031(02)
Language: pt
Date: 2019-10-01 00:00:00
Title: Decisão da alta Representante da União para os Negócios Estrangeiros e a Política de Segurança de 1 de outubro de 2019 relativa às regras de execução em matéria de proteção dos dados pessoais pelo Serviço Europeu para a Ação Externa e à aplicação do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho2019/C 370/05

31.10.2019   
               
               
                  PT
               
               
                  Jornal Oficial da União Europeia
               
               
                  C 370/9
               
            
         Decisão da alta Representante da União para os Negócios Estrangeiros e a Política de Segurança
         de 1 de outubro de 2019
         relativa às regras de execução em matéria de proteção dos dados pessoais pelo Serviço Europeu para a Ação Externa e à aplicação do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho
         (2019/C 370/05)
         A ALTA REPRESENTANTE DA UNIÃO PARA OS NEGÓCIOS ESTRANGEIROS E A POLÍTICA DE SEGURANÇA,
         Tendo em conta a Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa (1) (a seguir designada «Decisão SEAE do Conselho»), nomeadamente o artigo 11.o, n.o 3,
         Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (2) (a seguir designado «regulamento»), nomeadamente os artigos 43.o, 44.° e 45.°,
         Considerando o seguinte:
         
                     (1)
                  
                  
                     A responsabilidade reforçada dos responsáveis pelo tratamento de dados estabelecida no regulamento requer a adoção de uma nova decisão de execução que substitua a Decisão PROC HR(2011) 016 da alta representante da União para os Negócios Estrangeiros e a Política de Segurança, de 8 de dezembro de 2011, relativa às regras em matéria de proteção de dados no SEAE.
                  
               
                     (2)
                  
                  
                     O papel do encarregado da proteção de dados e as responsabilidades do responsável pelo tratamento de dados no Serviço Europeu para a Ação Externa devem ser claramente estabelecidos e adaptados aos requisitos do regulamento,
                  
               DECIDE:
         SECÇÃO 1
         
            DISPOSIÇÕES GERAIS
         
         
            Artigo 1.o
            
            Objeto e âmbito de aplicação
            
               1.   Em conformidade com o artigo 45.o, n.o 3, do regulamento, a presente decisão define as funções e as competências do encarregado da proteção de dados no SEAE.
            
            
               2.   A presente decisão especifica igualmente os procedimentos internos e as responsabilidades dos responsáveis pelo tratamento e dos subcontratantes, bem como o papel e as funções dos coordenadores e correspondentes da proteção de dados, em conformidade em particular com os artigos 26.o e 29.° do regulamento.
            
         
         
            Artigo 2.o
            
            Definições
            Para efeitos da presente decisão, e sem prejuízo das definições constantes do regulamento, entende-se por:
            
                        a)
                     
                     
                        «Responsável pelo tratamento», o SEAE ou as suas entidades organizativas, incluindo as delegações da UE que, individualmente ou em conjunto com outras entidades, determinam as finalidades e os meios de tratamento dos dados pessoais.
                     
                  
                        b)
                     
                     
                        «Representante do responsável pelo tratamento», os membros da direção do SEAE ou os chefes das entidades organizativas que supervisionam as entidades responsáveis pelo tratamento de dados referidas na alínea a) e que são responsáveis e prestam contas pelo tratamento de dados pessoais.
                     
                  
                        c)
                     
                     
                        «Responsável delegado», um serviço ou um membro do pessoal na entidade organizativa responsável pelo tratamento dos dados que é encarregado da gestão da atividade de tratamento de dados pessoais.
                     
                  
                        d)
                     
                     
                        «Responsáveis conjuntos pelo tratamento», duas ou mais entidades organizativas que determinam conjuntamente as finalidades e os meios de tratamento dos dados pessoais, bem como o papel e as responsabilidades dos responsáveis pelo tratamento, incluindo as suas obrigações no que respeita ao exercício dos direitos do titular dos dados, em especial quando o SEAE controla conjuntamente o tratamento com outras instituições, organismos, agências ou serviços da UE, ou qualquer outra entidade.
                     
                  
                        e)
                     
                     
                        «Encarregado da proteção de dados», o membro do pessoal do SEAE que este designa, em conformidade com o artigo 43.o do regulamento, para apoiar, informar e aconselhar os responsáveis pelo tratamento.
                     
                  
                        f)
                     
                     
                        «Coordenador e correspondente da proteção de dados», os membros do pessoal do SEAE na sede e nas delegações da UE designados para prestar apoio aos seus responsáveis pelo tratamento relativamente a questões ligadas à proteção de dados.
                     
                  
                        g)
                     
                     
                        «Subcontratante», uma entidade, dentro ou fora do SEAE, que trata dados pessoais em nome do responsável pelo tratamento.
                     
                  
                        h)
                     
                     
                        «Avisos sobre a proteção de dados», os avisos, como por exemplo declarações de privacidade, através dos quais o responsável pelo tratamento comunica informações aos titulares dos dados, em conformidade com os artigos 15.o e 16.° do regulamento.
                     
                  
                        i)
                     
                     
                        «Pessoal do SEAE», os funcionários e outros agentes da UE que trabalham para o SEAE, incluindo o pessoal dos serviços diplomáticos dos Estados-Membros da UE, os peritos nacionais destacados e os estagiários, em conformidade com o artigo 6.o da Decisão SEAE do Conselho.
                     
                  
         SECÇÃO 2
         
            ENCARREGADO DA PROTEÇÃO DE DADOS
         
         
            Artigo 3.o
            
            Designação do encarregado da proteção de dados
            
               1.   O Secretário-Geral do SEAE deve designar o encarregado da proteção de dados entre o pessoal do SEAE, em conformidade com o artigo 43.o do regulamento, e registá-lo junto da Autoridade Europeia para a Proteção de Dados (a seguir designada «AEPD»).
            
            
               2.   Para além dos requisitos previstos no artigo 43.o, n.o 3, do regulamento, o encarregado da proteção de dados deve ter um bom conhecimento dos serviços do SEAE, da sua estrutura, dos seus sistemas de informação, bem como das suas regras e procedimentos administrativos. Deve ter experiência no domínio da proteção de dados, dar provas de discernimento e ser capaz de manter a imparcialidade e a objetividade, como previsto no Estatuto dos Funcionários.
            
            
               3.   O encarregado da proteção de dados é designado para um mandato de cinco anos, renovável.
            
            
               4.   O encarregado da proteção de dados só pode ser exonerado das suas funções, com o acordo da AEPD, se deixar de preencher as condições exigidas para o desempenho das funções para as quais foi designado.
            
            
               5.   O encarregado da proteção de dados depende administrativamente do Secretário-Geral.
            
            
               6.   Os dados de contacto do encarregado da proteção de dados devem ser publicados na intranet do SEAE e no seu sítio Web externo e comunicados à AEPD.
            
         
         
            Artigo 4.o
            
            Posição do encarregado da proteção de dados
            
               1.   O encarregado da proteção de dados deve agir de modo independente e em cooperação com a AEPD. O SEAE não pode transmitir quaisquer instruções ao encarregado da proteção de dados no que diz respeito ao exercício das suas funções.
            
            
               2.   O encarregado da proteção de dados não pode ser demitido nem penalizado por desempenhar as suas funções.
            
            
               3.   O encarregado da proteção de dados deve ser informado de todos os contactos com partes externas sobre a aplicação do regulamento e da presente decisão, em especial de qualquer interação com a AEPD e com os membros da rede de encarregados da proteção de dados das instituições, órgãos e organismos da União.
            
            
               4.   Os titulares dos dados podem contactar o encarregado da proteção de dados sobre qualquer questão relacionada com o tratamento dos seus dados pessoais ou com o exercício dos seus direitos ao abrigo do regulamento.
            
            
               5.   O encarregado da proteção de dados pode ser consultado pelo responsável pelo tratamento ou pelo seu representante, pelo Comité do Pessoal ou por qualquer membro do pessoal sobre qualquer questão relacionada com a interpretação ou a aplicação do regulamento, sem que seja necessário passar pelos canais oficiais. Ninguém pode ser prejudicado pelo facto de ter submetido uma questão ao encarregado da proteção de dados.
            
         
         
            Artigo 5.o
            
            Funções do encarregado da proteção de dados
            O encarregado da proteção de dados deve:
            
                        a)
                     
                     
                        Ser consultado sobre qualquer questão relacionada com a proteção de dados pessoais;
                     
                  
                        b)
                     
                     
                        Emitir orientações e aconselhar proativamente as entidades do SEAE e os seus contratantes que realizam atividades de tratamento de dados pessoais sobre a forma de aplicar o regulamento e a presente decisão, incluindo consultas sobre as notificações de violação de dados, as avaliações de impacto e a necessidade de consultar previamente a AEPD;
                     
                  
                        c)
                     
                     
                        Manter contactos regulares com os responsáveis pelo tratamento de dados, a fim de controlar o respeito da proteção de dados, e apoiá-los no desempenho das suas funções, em especial contribuir para a elaboração e a publicação de avisos sobre a proteção de dados e responder aos pedidos dos titulares de dados;
                     
                  
                        d)
                     
                     
                        Manter contactos regulares com os coordenadores da proteção de dados da sede do SEAE e das delegações da UE e gerir a rede de coordenadores da proteção de dados no SEAE;
                     
                  
                        e)
                     
                     
                        Contribuir para a sensibilização geral em matéria de proteção de dados, organizar formações e sessões de informação;
                     
                  
                        f)
                     
                     
                        Cooperar com os encarregados da proteção de dados das outras instituições, órgãos e organismos da União, nomeadamente procedendo ao intercâmbio de experiências e de boas práticas;
                     
                  
                        g)
                     
                     
                        Conservar um registo central das atividades de tratamento realizadas pelo SEAE com base nos registos preparados pelos responsáveis pelo tratamento, em conformidade com o artigo 31.o do regulamento, e tornar o registo acessível ao público;
                     
                  
                        h)
                     
                     
                        Ajudar a assegurar a representação da alta representante ou do SEAE a nível internacional sobre todas as questões relacionadas com a proteção de dados.
                     
                  
         
            Artigo 6.o
            
            Competências
            No exercício das suas funções, o encarregado da proteção de dados:
            
                        a)
                     
                     
                        Deve ter acesso, de forma permanente, aos dados tratados pelas entidades do SEAE e respetivos contratantes, bem como a todos os gabinetes, centros de tratamento de dados e suportes de dados;
                     
                  
                        b)
                     
                     
                        Deve apresentar o seu parecer à entidade competente para proceder a nomeações antes de ser tomada qualquer decisão sobre questões ligadas à aplicação das disposições relativas à proteção de dados;
                     
                  
                        c)
                     
                     
                        Pode propor medidas administrativas e formular recomendações gerais sobre a aplicação adequada do regulamento e da presente decisão;
                     
                  
                        d)
                     
                     
                        Pode formular recomendações destinadas à direção do SEAE, ao seu pessoal e a qualquer parte externa pertinente a fim de melhorar na prática a proteção de dados;
                     
                  
                        e)
                     
                     
                        Pode investigar questões relacionadas com a proteção de dados e, para além da pessoa que solicitou a investigação ou apresentou a queixa, pode comunicar o resultado da investigação ao responsável pelo tratamento, bem como a qualquer membro competente da direção do SEAE;
                     
                  
                        f)
                     
                     
                        Pode desenvolver modelos e procedimentos internos, instruções ou políticas a fim de proporcionar orientações aos responsáveis pelo tratamento de dados e aos subcontratantes;
                     
                  
                        g)
                     
                     
                        Pode recorrer aos serviços de peritos externos, incluindo especialistas em tecnologias da informação;
                     
                  
                        h)
                     
                     
                        Pode chamar a atenção da entidade competente para proceder a nomeações do SEAE para qualquer incumprimento, por parte de um membro do pessoal, das obrigações decorrentes do regulamento e da presente decisão, e propor a abertura de um inquérito administrativo;
                     
                  
                        i)
                     
                     
                        Pode publicar orientações internas sobre a proteção de dados (notas de orientação do encarregado da proteção de dados) que devem ser tidas em conta aquando do tratamento de dados pessoais.
                     
                  
         
            Artigo 7.o
            
            Recursos
            
               1.   O encarregado da proteção de dados deve dispor do pessoal e dos recursos necessários para desempenhar as funções referidas no artigo 5.o da presente decisão.
            
            
               2.   Todo o pessoal do SEAE deve apoiar o encarregado da proteção de dados no desempenho das funções referidas no artigo 5.o da presente decisão; em particular, os responsáveis pelo tratamento e os subcontratantes devem prestar as informações solicitadas sobre as atividades de tratamento de dados e o acesso aos dados pessoais e elaborar projetos de resposta aos pedidos dos titulares de dados que exerçam o seu direito de acesso, de alteração e de supressão recebidos pelo encarregado da proteção de dados, mas relacionados com as atividades de tratamento que incumbem ao responsável pelo tratamento.
            
            
               3.   O encarregado da proteção de dados pode ter um adjunto ou um assistente, bem como pessoal administrativo e apoio de secretariado, se necessário. O encarregado da proteção de dados pode também recorrer a outras entidades do SEAE ou a entidades sob contrato e a peritos externos.
            
            
               4.   Quando é designado, o encarregado da proteção de dados adjunto ou assistente apoia o encarregado da proteção de dados no desempenho das suas funções e pode representá-lo em caso de ausência. Os artigos 4.o, 5.° e 6.° da presente decisão aplicam-se igualmente ao encarregado da proteção de dados adjunto ou ao assistente.
            
            
               5.   O encarregado da proteção de dados deve dispor de instalações adequadas onde possam ser garantidas a segurança e a confidencialidade das informações, nomeadamente dos dados pessoais, e onde os dados e os documentos possam ser armazenados e arquivados de modo adequado.
            
            
               6.   O encarregado da proteção de dados deve dispor de uma ferramenta eletrónica capaz de i) gerir os registos das atividades de tratamento de dados pessoais em conformidade com o artigo 31.o do regulamento, e ii) armazenar os avisos sobre proteção de dados, as notificações de violação de dados, as avaliações de impacto relativas à proteção de dados, os pedidos dos titulares dos dados e os registos das transferências de dados.
            
            
               7.   O SEAE deve ajudar o encarregado da proteção de dados a manter e a alargar os seus conhecimentos especializados, nomeadamente facilitando a sua participação em cursos de formação interinstitucionais ou externos, conferências ou eventos relacionados com a proteção de dados, bem como em reuniões e formações organizadas pela AEPD e pela rede de encarregados da proteção de dados das instituições, órgãos e organismos da União.
            
         
         SECÇÃO 3
         
            AGENTES ENVOLVIDOS NOS PROCEDIMENTOS RELACIONADOS COM A PROTEÇÃO DE DADOS
         
         
            Artigo 8.o
            
            Responsáveis pelo tratamento de dados e subcontratantes
            
               1.   Incumbe aos responsáveis pelo tratamento delegados, aos representantes dos responsáveis pelo tratamento e aos subcontratantes, em nome do responsável pelo tratamento, assegurar que todas as atividades de tratamento realizadas sob o seu controlo sejam conformes com o regulamento, nomeadamente o artigo 26.o, bem como com as disposições da presente decisão. Podem, se necessário, confiar tarefas de tratamento de dados ao pessoal do SEAE que trabalha sob a sua responsabilidade ou a entidades sob contrato, em conformidade com o artigo 29.o do regulamento.
            
            
               2.   Em particular, os responsáveis pelo tratamento devem:
               
                           a)
                        
                        
                           Garantir e demonstrar que o tratamento é efetuado em conformidade com o regulamento e com a presente decisão;
                        
                     
                           b)
                        
                        
                           Registar todas as atividades de tratamento e as alterações substanciais de uma atividade de tratamento existente;
                        
                     
                           c)
                        
                        
                           Assegurar que os titulares de dados sejam informados do tratamento dos seus dados, em conformidade com os artigos 15.o e 16.° do regulamento, disponibilizando os avisos sobre a proteção de dados;
                        
                     
                           d)
                        
                        
                           Cooperar com o encarregado da proteção de dados e a AEPD, nomeadamente facultando informações em resposta aos seus pedidos no prazo de 14 dias de calendário a contar da data do pedido;
                        
                     
                           e)
                        
                        
                           Informar o encarregado da proteção de dados quando recorrerem a um contratante para tratar dados pessoais em seu nome;
                        
                     
                           f)
                        
                        
                           Nomear um coordenador da proteção de dados, apoiá-lo no exercício das suas funções e informar o encarregado da proteção de dados de qualquer alteração da identidade ou da função do coordenador da proteção de dados;
                        
                     
                           g)
                        
                        
                           Consultar o encarregado da proteção de dados a fim de determinar se as atividades de tratamento estão em conformidade com o regulamento e com a presente decisão. Podem consultar o encarregado da proteção de dados ou outros peritos sobre questões relacionadas com a confidencialidade, a disponibilidade e a integridade das atividades de tratamento, bem como sobre as medidas de segurança adotadas nos termos do artigo 33.o do regulamento.
                        
                     
            
               3.   Os responsáveis pelo tratamento podem recorrer a outras entidades do SEAE ou a entidades contratadas como subcontratantes, em conformidade com o disposto no regulamento, desde que inscrevam nos seus registos a identidade do subcontratante, as missões que lhe são confiadas e as medidas de segurança adotadas.
            
            
               4.   O responsável pelo tratamento deve assegurar que o encarregado da proteção de dados seja informado sem demora:
               
                           a)
                        
                        
                           De todas as questões que tenham, ou possam ter, implicações em matéria de proteção de dados;
                        
                     
                           b)
                        
                        
                           De todas as comunicações e decisões da direção do SEAE relativas à aplicação do regulamento, nomeadamente qualquer interação com a AEPD.
                        
                     
         
         
            Artigo 9.o
            
            Coordenador e correspondente da proteção de dados
            
               1.   Em função da sua dimensão e do tipo de dados pessoais tratados, as entidades organizacionais do SEAE devem dispor de um coordenador da proteção de dados que servirá de ponto de contacto em matéria de proteção de dados. Cada direção de gestão ou direção da sede do SEAE e cada delegação da UE deve designar um coordenador da proteção de dados ou um correspondente para a proteção de dados. Todas as divisões que tratam regularmente grandes quantidades de dados pessoais, categorias especiais de dados ou dados pessoais sensíveis, cujo tratamento apresente um risco elevado, devem também designar o seu próprio coordenador da proteção de dados. A função de coordenador da proteção de dados deve ser afetada a um posto que permita ter uma visão global das atividades da entidade.
            
            
               2.   O coordenador da proteção de dados deve possuir as competências necessárias e adquirir conhecimentos sobre a proteção de dados. Deve receber uma formação inicial em matéria de proteção de dados e pode assistir a sessões de informação e a reuniões da rede de coordenadores da proteção de dados.
            
            
               3.   O coordenador da proteção de dados deve:
               
                           a)
                        
                        
                           Prestar assistência aos responsáveis pelo tratamento no cumprimento das suas obrigações, sem prejuízo das responsabilidades do encarregado da proteção de dados;
                        
                     
                           b)
                        
                        
                           Facilitar a comunicação entre o encarregado da proteção de dados e os responsáveis pelo tratamento;
                        
                     
                           c)
                        
                        
                           Servir de ponto de contacto para as questões ligadas à proteção de dados no seu serviço e estabelecer contactos com o encarregado da proteção de dados;
                        
                     
                           d)
                        
                        
                           Informar e ajudar os seus colegas sobre as questões relacionadas com o tratamento de dados pessoais;
                        
                     
                           e)
                        
                        
                           Transmitir informações ao pessoal sobre ações de sensibilização e sessões de formação;
                        
                     
                           f)
                        
                        
                           Colaborar com o encarregado da proteção de dados com vista à criação e atualização de um inventário das atividades de tratamento de dados pessoais existentes e novas;
                        
                     
                           g)
                        
                        
                           Contactar e notificar o encarregado da proteção de dados relativamente a quaisquer dados pessoais tratados no serviço;
                        
                     
                           h)
                        
                        
                           Ajudar a identificar os responsáveis pelo tratamento de dados delegados e os subcontratantes competentes;
                        
                     
                           i)
                        
                        
                           Elaborar registos no seu domínio de especialização;
                        
                     
                           j)
                        
                        
                           Ajudar os responsáveis pelo tratamento de dados a criar e a rever os registos e a elaborar avisos sobre a proteção de dados;
                        
                     
                           k)
                        
                        
                           Contribuir para as verificações da conformidade e as avaliações de impacto;
                        
                     
                           l)
                        
                        
                           Assegurar que os avisos sobre a proteção de dados pertinentes sejam publicados e utilizados de forma correta pelo seu serviço;
                        
                     
                           m)
                        
                        
                           Notificar o encarregado da proteção de dados de qualquer violação de dados;
                        
                     
                           n)
                        
                        
                           Preparar, em cooperação com o encarregado da proteção de dados, a resposta aos pedidos dos titulares de dados que exercem os seus direitos, e tratar as reclamações e as questões relacionadas com as atividades de tratamento de dados no seu serviço.
                        
                     
            
               4.   O coordenador da proteção de dados tem o direito de obter as informações necessárias para identificar as atividades de tratamento de dados pessoais e de consultar o encarregado da proteção de dados em nome do seu serviço. Tal não inclui o direito de acesso a dados pessoais tratados sob a responsabilidade do responsável pelo tratamento.
            
         
         
            Artigo 10.o
            
            Autoridade investida do poder de nomeação
            A autoridade investida do poder de nomeação deve consultar o encarregado da proteção de dados sobre qualquer pedido ou reclamação apresentado por força do artigo 90.o do Estatuto dos Funcionários em relação à aplicação do regulamento.
         
         
            Artigo 11.o
            
            Pessoal do SEAE
            
               1.   Todos os membros do pessoal do SEAE devem aplicar as regras de confidencialidade e segurança relativas ao tratamento de dados pessoais previstas nos artigos 33.o, 34.° e 35.° do regulamento. Nenhum membro do pessoal do SEAE que tenha acesso a dados pessoais pode tratar os dados, salvo instrução em contrário dos responsáveis pelo tratamento.
            
            
               2.   Todos os membros do pessoal do SEAE devem informar o seu superior hierárquico quando têm de tratar dados pessoais para que os responsáveis pelo tratamento inscrevam o tratamento nos seus registos de proteção de dados e elaborem os avisos sobre a proteção de dados necessários.
            
            
               3.   Qualquer membro do pessoal do SEAE pode apresentar um pedido ou manifestar uma preocupação ao encarregado da proteção de dados, nomeadamente sobre uma alegada violação de dados, ou pode apresentar uma queixa à AEPD relativamente a uma alegada violação do regulamento ou da presente decisão, sem que seja necessário informar os seus superiores hierárquicos.
            
            
               4.   Se um membro do pessoal considerar que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, não asseguram um nível de proteção adequado na aceção do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (3), ou do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (4), deve notificar do facto o encarregado da proteção de dados.
            
         
         SECÇÃO 4
         
            MEDIDAS E PROCEDIMENTOS
         
         
            Artigo 12.o
            
            Medidas de segurança e proteção de dados desde a conceção e por defeito
            
               1.   As garantias, as medidas técnicas e organizativas destinadas a evitar violações, fugas ou a divulgação não autorizada de dados devem incluir:
               
                           a)
                        
                        
                           Uma definição adequada das funções, responsabilidades e etapas do procedimento;
                        
                     
                           b)
                        
                        
                           Um ambiente eletrónico seguro que previna o acesso ou a transferência ilegais ou acidentais de dados eletrónicos a pessoas não autorizadas graças a medidas de segurança integradas nas várias aplicações informáticas utilizadas;
                        
                     
                           c)
                        
                        
                           Um tratamento e um armazenamento seguros dos documentos em papel;
                        
                     
                           d)
                        
                        
                           A concessão do acesso eletrónico e físico apenas aos membros do pessoal autorizados, devendo os direitos de acesso ser concedidos individualmente.
                        
                     
            
               2.   Antes de conceberem atividades de tratamento de dados, os responsáveis pelo tratamento devem aplicar a proteção de dados desde a conceção e por defeito, tal como referida no artigo 27.o do regulamento. A fim de aplicar a proteção de dados desde a conceção e por defeito, o responsável pelo tratamento pode consultar o encarregado da proteção de dados e outros serviços competentes, incluindo o serviço informático e o serviço de segurança informática.
            
         
         
            Artigo 13.o
            
            Notificação de violações de dados
            Após terem tomado conhecimento de um incidente, nomeadamente uma violação da segurança que implique, de modo acidental ou ilegal, a destruição, a perda, a alteração, a divulgação não autorizada de dados pessoais transferidos, armazenados ou sujeitos a qualquer outro tipo de tratamento ou o acesso não autorizado a esses dados («violação de dados pessoais»), o responsável pelo tratamento ou o subcontratante devem notificar imediatamente o encarregado da proteção de dados e, no prazo de 72 horas, a AEPD, e registar o incidente de forma adequada.
         
         
            Artigo 14.o
            
            Investigações e tratamento dos pedidos e queixas por parte do encarregado da proteção de dados
            
               1.   O encarregado da proteção de dados pode abrir um inquérito sobre um alegado incumprimento das obrigações decorrentes do regulamento, por sua própria iniciativa ou mediante pedido. Os pedidos devem ser enviados por escrito ao encarregado da proteção de dados.
            
            
               2.   O encarregado da proteção de dados pode solicitar ao responsável pelo tratamento encarregado da atividade de tratamento de dados em causa uma declaração escrita sobre a matéria. O responsável pelo tratamento deve enviar a resposta ao encarregado da proteção de dados no prazo de 14 dias de calendário a contar da receção do pedido. O encarregado da proteção de dados pode solicitar o acesso a informações complementares, documentos, suportes de dados, centros de dados, instalações e sistemas de outros serviços do SEAE, em especial da divisão informática, da direção da segurança e da direção-geral encarregada dos inquéritos administrativos e dos processos disciplinares. As informações ou o parecer devem ser-lhe transmitidos no prazo de 14 dias de calendário.
            
            
               3.   Em caso de pedidos manifestamente infundados, abusivos e excessivos, em particular quando o mesmo titular de dados tiver apresentado pedidos repetidos, o encarregado da proteção de dados pode recusar dar-lhes seguimento, nos termos do artigo 14.o do regulamento. O autor do pedido deve ser informado desse facto.
            
         
         SECÇÃO 5
         
            PROCEDIMENTO PARA O EXERCÍCIO DOS DIREITOS DOS TITULARES DE DADOS
         
         
            Artigo 15.o
            
            Disposições gerais
            
               1.   Os titulares de dados podem contactar o responsável pelo tratamento ou o encarregado da proteção de dados com vista ao exercício dos seus direitos, em conformidade com os artigos 14.o a 24.° do regulamento.
            
            
               2.   Os pedidos de exercício dos direitos dos titulares dos dados devem ser apresentados por escrito. Se necessário, o encarregado da proteção de dados ajuda o titular dos dados a identificar o responsável pelo tratamento competente. O encarregado da proteção de dados deve transmitir todos os pedidos recebidos ao responsável pelo tratamento competente, que pode consultá-lo.
            
            
               3.   Os responsáveis pelo tratamento devem tratar o pedido e responder diretamente ao titular dos dados.
            
         
         
            Artigo 16.o
            
            Tratamento dos pedidos para exercício dos direitos dos titulares de dados
            
               1.   Os responsáveis pelo tratamento de dados só dão seguimento ao pedido depois de a identidade do requerente ter sido verificada ou, em caso de pedido de um representante do titular dos dados, depois de este último ter concedido a sua autorização.
            
            
               2.   O responsável pelo tratamento encarregado da atividade de tratamento de dados deve enviar ao requerente um aviso de receção no prazo de 14 dias de calendário a contar da receção do pedido pelo SEAE. Salvo disposição em contrário, o responsável pelo tratamento deve responder ao pedido no prazo de um mês a contar da data do seu registo. O responsável pelo tratamento de dados dá uma resposta favorável ao pedido ou indica por escrito os motivos da recusa total ou parcial. O prazo de resposta pode ser prorrogado por dois meses, tendo em conta a complexidade da questão e o número de pedidos apresentados, em conformidade com o artigo 14.o, n.o 3, do regulamento.
            
            
               3.   O pedido do titular dos dados pode ser recusado, se:
               
                           a)
                        
                        
                           Não for justificado;
                        
                     
                           b)
                        
                        
                           For aplicável uma exceção estabelecida no regulamento;
                        
                     
                           c)
                        
                        
                           For aplicável uma limitação em conformidade com as regras internas (5) adotadas com base no artigo 25.o do regulamento.
                        
                     
            
               4.   Em caso de pedidos manifestamente infundados, abusivos e excessivos, nomeadamente quando tiverem sido apresentados pelo mesmo titular de dados pedidos repetidos, o responsável pelo tratamento, após consulta do encarregado da proteção de dados, pode recusar dar seguimento ao pedido apresentado, nos termos do artigo 14.o do regulamento. O autor do pedido deve ser informado desse facto.
            
         
         
            Artigo 17.o
            
            Exceções e limitações
            As limitações em conformidade com as regras internas adotadas com base no artigo 25.o do regulamento, e com as exceções estabelecidas nos artigos 15.o a 19.° e 21.° a 24.° do regulamento, só serão aplicadas após consulta do encarregado da proteção de dados.
         
         SECÇÃO 6
         
            DISPOSIÇÕES FINAIS
         
         
            Artigo 18.o
            
            Comunicação sobre a presente decisão
            
               1.   Em conformidade com o artigo 41.o do regulamento, a AEPD deve ser informada da presente decisão.
            
            
               2.   A presente decisão deve ser disponibilizada ao pessoal do SEAE através dos meios adequados, nomeadamente procedendo à sua publicação na intranet do SEAE.
            
         
         
            Artigo 19.o
            
            Revogação
            É revogada a Decisão PROC HR(2011) 016 da alta representante da União para os Negócios Estrangeiros e a Política de Segurança, de 8 de dezembro de 2011, relativa às regras de proteção de dados no SEAE.
         
         
            Artigo 20.o
            
            Efeitos
            A presente decisão produz efeitos no dia seguinte ao da sua adoção.
         
         
            Feito em Bruxelas, em 1 de outubro de 2019.
            
               Federica MOGHERINI
               
                  A Alta Representante
               
            
         
         
            (1)  JO L 201 de 3.8.2010, p. 30.
         
            (2)  JO L 295 de 21.11.2018, p. 39.
         
            (3)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1-88).
         
            (4)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89-131).
         
            (5)  Decisão da alta representante da União para os Negócios Estrangeiros e a Política de Segurança relativa às regras internas sobre as limitações de certos direitos dos titulares de dados em relação ao tratamento de dados pessoais no quadro do funcionamento do Serviço Europeu para a Ação Externa [ADMIN(2019) 10].