CELEX: 32019D1031(02)
Language: mt
Date: 2019-10-01 00:00:00
Title: Deċiżjoni tar-Rappreżentant Għoli tal-Unjoni għall-Affarijiet Barranin u l-Politika ta’ Sigurtà tal-1 ta’ Ottubru 2019 dwar l-implimentazzjoni ta’ regoli relatati mal-protezzjoni tad-data personali mis-Servizz Ewropew għall-Azzjoni Esterna u l-applikazzjoni tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill2019/C 370/05

31.10.2019   
               
               
                  MT
               
               
                  Il-Ġurnal Uffiċjali tal-Unjoni Ewropea
               
               
                  C 370/9
               
            
         Deċiżjoni tar-Rappreżentant Għoli tal-Unjoni għall-Affarijiet Barranin u l-Politika ta’ Sigurtà
         tal-1 ta’ Ottubru 2019
         dwar l-implimentazzjoni ta’ regoli relatati mal-protezzjoni tad-data personali mis-Servizz Ewropew għall-Azzjoni Esterna u l-applikazzjoni tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill
         (2019/C 370/05)
         IR-RAPPREŻENTANT GĦOLI TAL-UNJONI GĦALL-AFFARIJIET BARRANIN U L-POLITIKA TA’ SIGURTÀ,
         Wara li kkunsidra d-Deċiżjoni tal-Kunsill 2010/427/UE tas-26 ta’ Lulju 2010 li tistabbilixxi l-organizzazzjoni u l-funzjonament tas-Servizz Ewropew għall-Azzjoni Esterna (1) (“id-Deċiżjoni tal-Kunsill tas-SEAE”), u b’mod partikolari l-Artikolu 11(3) tagħha,
         Wara li kkunsidra r-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (2) (“ir-Regolament”), u b’mod partikolari l-Artikoli 43, 44 u 45 tiegħu,
         Billi:
         
                     (1)
                  
                  
                     Ir-responsabbiltà msaħħa tal-kontrolluri tad-data stabbiliti fir-Regolament teħtieġ l-adozzjoni ta’ deċiżjoni ġdida ta’ implimentazzjoni li tissostitwixxi d-Deċiżjoni PROC HR (2011) 016 tar-Rappreżentant Għoli tal-Unjoni għall-Affarijiet Barranin u l-Politika ta’ Sigurtà tat-8 ta’ Diċembru 2011 dwar ir-regoli rigward il-protezzjoni tad-data fis-SEAE.
                  
               
                     (2)
                  
                  
                     Ir-rwol tal-uffiċjal tal-protezzjoni tad-data u r-responsabbiltajiet tal-kontrollur tad-data fis-Servizz Ewropew għall-Azzjoni Esterna jeħtieġ li jiġi stabbilit b’mod ċar u adattat għar-rekwiżiti tar-Regolament,
                  
               IDDEĊIEDA KIF ĠEJ:
         TAQSIMA 1
         
            DISPOŻIZZJONIJIET ĠENERALI
         
         
            Artikolu 1
            Suġġett u kamp ta’ applikazzjoni
            
               1.   Skont l-Artikolu 45(3) tar-Regolament, din id-Deċiżjoni tistabbilixxi l-kompiti, id-dmirijiet u s-setgħat tal-uffiċjal tal-protezzjoni tad-data (minn hawn ’il quddiem imsejjaħ “DPO”) fi ħdan is-SEAE.
            
            
               2.   Din id-Deċiżjoni tispeċifika wkoll il-proċeduri interni u r-responsabbiltajiet tal-kontrolluri u l-proċessuri tad-data kif ukoll ir-rwol, il-kompiti u d-dmirijiet tal-koordinaturi u tal-korrispondenti tal-protezzjoni tad-data, b’mod partikolari skont l-Artikolu 26 u 29 tar-Regolament.
            
         
         
            Artikolu 2
            Definizzjonijiet
            Għall-fini ta’ din id-Deċiżjoni u mingħajr preġudizzju għad-definizzjonijiet ipprovduti mir-Regolament:
            
                        (a)
                     
                     
                        “kontrollur tad-dat
                           a” għandha tfisser is-SEAE jew l-entitajiet organizzattivi tagħha, inklużi d-Delegazzjonijiet tal-UE li, weħidhom jew flimkien ma’ oħrajn, jiddeterminaw il-finijiet u l-mezzi tal-ipproċessar tad-data personali;
                     
                  
                        (b)
                     
                     
                        “rappreżentant tal-kontrollur tad-dat
                           a” għandha tfisser membri tal-maniġment tas-SEAE jew kapijiet ta’ entitajiet organizzattivi li jissorveljaw l-entitajiet kontrollur tad-data msemmija fil-punt (a) hawn fuq u li huma responsabbli għall-ipproċessar ta’ data personali;
                     
                  
                        (c)
                     
                     
                        “kontrollur delegat” għandha tfisser servizz jew persunal fi ħdan entità organizzattiva kontrollur tad-data li tkun fdata bil-ġestjoni tal-attività tal-ipproċessar tad-data;
                     
                  
                        (d)
                     
                     
                        “kontrolluri konġunti” għandha tfisser żewġ entitajiet organizzattivi jew aktar li jiddeterminaw flimkien il-finijiet u l-mezzi tal-ipproċessar ta’ data personali, u r-rwoli u r-responsabbiltajiet tal-kontrolluri, inklużi d-dmirijiet tagħhom fir-rigward tal-eżerċizzju tad-drittijiet tas-suġġett tad-data, b’mod partikolari meta s-SEAE jikkontrolla b’mod konġunt l-ipproċessar ma’ istituzzjonijiet, korpi, aġenziji, uffiċċji oħra tal-UE, jew kwalunkwe entità oħra;
                     
                  
                        (e)
                     
                     
                        “uffiċjal tal-protezzjoni tad-data (“DPO”)” għandha tfisser il-membru tal-persunal tas-SEAE maħtur mis-SEAE, f’konformità mal-Artikolu 43 tar-Regolament, li jappoġġa, jinforma u jagħti pariri lill-kontrolluri tad-data;
                     
                  
                        (f)
                     
                     
                        “korrispondent u koordinatur tal-protezzjoni tad-data (“DPC”)” għandhom rispettivament ifissru l-membri tal-persunal tas-SEAE fil-Kwartieri Ġenerali u fid-Delegazzjonijiet, maħtura biex jassistu l-kontrolluri tad-data fi kwistjonijiet ta’ protezzjoni tad-data;
                     
                  
                        (g)
                     
                     
                        “proċessur” għandha tfisser entità, fis-SEAE jew barra minnu, li tipproċessa data personali f’isem il-kontrollur tad-data.
                     
                  
                        (h)
                     
                     
                        “avviżi ta’ protezzjoni tad-dat
                           a” huma avviżi, bħal dikjarazzjonijiet ta’ privatezza, li permezz tagħhom il-kontrollur tad-data jipprovdi informazzjoni lis-suġġetti tad-data skont l-Artikoli 15 u 16 tar-Regolament.
                     
                  
                        (i)
                     
                     
                        “Persunal tas-SEAE” għandha tfisser, skont l-Artikolu 6 tad-Deċiżjoni tal-Kunsill tas-SEAE, uffiċjali u impjegati oħra tal-UE li jaħdmu għas-SEAE, inkluż persunal mis-servizzi diplomatiċi tal-Istati Membri tal-UE, esperti nazzjonali sekondati u trainees.
                     
                  
         TAQSIMA 2
         
            L-UFFIĊJAL TAL-PROTEZZJONI TAD-DATA
         
         
            Artikolu 3
            Nomina tal-uffiċjal tal-protezzjoni tad-data
            
               1.   Is-Segretarju Ġenerali tas-SEAE għandu jaħtar lid-DPO mill-persunal tas-SEAE, skont l-Artikolu 43 tar-Regolament, u jirreġistrah/a mal-Kontrollur Ewropew għall-Protezzjoni tad-Data (minn hawn ’il quddiem imsejjaħ l-“EDPS”).
            
            
               2.   Minbarra r-rekwiżiti tal-Artikolu 43(3) tar-Regolament, id-DPO għandu jkollu għarfien tajjeb tas-servizzi tas-SEAE, kif ukoll tal-istruttura, tas-sistemi tal-informazzjoni, tar-regoli u l-proċeduri amministrattivi tagħhom. Id-DPO għandu jkollu għarfien espert fil-protezzjoni tad-data, ġudizzju sod u l-kapaċità li jieħu pożizzjoni imparzjali u oġġettiva skont ir-Regolamenti tal-Persunal.
            
            
               3.   Id-DPO għandu jinħatar għal mandat ta’ ħames snin u għandu jkun eliġibbli għal ħatra mill-ġdid.
            
            
               4.   Id-DPO jista’ jitneħħa mill-kariga biss bil-kunsens tal-EDPS, jekk hu/hi ma jissodisfax/tissodisfax aktar il-kondizzjonijiet meħtieġa għall-qadi ta’ dmirijietu/dmirijietha.
            
            
               5.   Id-DPO għandu jkun marbut amministrattivament mas-Segretarju Ġenerali.
            
            
               6.   Id-dettalji ta’ kuntatt tad-DPO jiġu ppubblikati fuq l-intranet tas-SEAE u fuq is-sit web estern tas-SEAE u kkomunikati lill-EDPS.
            
         
         
            Artikolu 4
            Pożizzjoni tal-uffiċjal tal-protezzjoni tad-data
            
               1.   Id-DPO għandu jaġixxi b’mod indipendenti u f’kooperazzjoni mal-EDPS. Is-SEAE ma għandu joħroġ l-ebda struzzjoni lid-DPO fir-rigward tal-eżerċizzju tal-kompiti tiegħu.
            
            
               2.   Id-DPO ma għandux jitneħħa jew jiġi penalizzat talli jwettaq il-kompiti tiegħu jew tagħha.
            
            
               3.   Id-DPO għandu jkun infurmat dwar il-kuntatti kollha ma’ partijiet esterni dwar l-applikazzjoni tar-Regolament u din id-Deċiżjoni, b’mod partikolari, dwar kwalunkwe interazzjoni mal-EDPS u l-membri tan-netwerk tad-DPO fl-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-UE.
            
            
               4.   Is-suġġetti tad-data jistgħu jikkuntattjaw lid-DPO dwar kwalunkwe kwistjoni relatata mal-ipproċessar tad-data personali tagħhom jew l-eżerċizzju tad-drittijiet tagħhom skont ir-Regolament.
            
            
               5.   Id-DPO jista’ jiġi kkonsultat mill-kontrollur tad-data jew mir-rappreżentant tiegħu jew tagħha, mill-Kumitat tal-Persunal u minn kwalunkwe membru tal-persunal dwar kwalunkwe kwistjoni li tikkonċerna l-interpretazzjoni jew l-applikazzjoni tar-Regolament, mingħajr il-ħtieġa li dawn jgħaddu minn kanali uffiċjali. Ħadd m’għandu jsofri preġudizzju bħala riżultat ta’ kwistjoni li tiġi mressqa għall-attenzjoni tad-DPO.
            
         
         
            Artikolu 5
            Kompiti tal-uffiċjal tal-protezzjoni tad-data
            Id-DPO għandu:
            
                        (a)
                     
                     
                        jiġi kkonsultat dwar il-kwistjonijiet kollha relatati mal-protezzjoni tad-data personali;
                     
                  
                        (b)
                     
                     
                        jipprovdi gwida u tagħti pariri b’mod proattiv lill-entitajiet tas-SEAE u l-kuntratturi tagħhom li jwettqu attivitajiet ta’ pproċessar ta’ data personali, dwar kif jimplimentaw ir-Regolament u din id-Deċiżjoni, inklużi konsultazzjoni dwar notifiki ta’ ksur tad-data, valutazzjonijiet tal-impatt u l-ħtieġa ta’ konsultazzjoni minn qabel mal-EDPS;
                     
                  
                        (c)
                     
                     
                        iżomm kuntatt regolari mal-kontrolluri tad-data biex jissorvelja l-konformità mal-protezzjoni tad-data, u jappoġġjahom fil-kompiti tagħhom, b’mod partikolari biex jikkontribwixxi għat-tħejjija u l-pubblikazzjoni ta’ avviżi dwar il-protezzjoni tad-data u jwieġeb għat-talbiet mis-suġġetti tad-data;
                     
                  
                        (d)
                     
                     
                        iżomm kuntatt regolari mad-DPCs tal-Kwartieri Ġenerali tas-SEAE u d-Delegazzjonijiet tal-UE u jimmaniġġja n-Netwerk tad-DPC fis-SEAE;
                     
                  
                        (e)
                     
                     
                        iqajjem kuxjenza ġenerali dwar il-protezzjoni tad-data, jorganizza taħriġ u sessjonijiet ta’ informazzjoni;
                     
                  
                        (f)
                     
                     
                        jikkoopera mad-DPOs ta’ istituzzjonijiet, korpi, uffiċċji u aġenziji oħra tal-UE, b’mod partikolari billi jiskambja l-esperjenza u l-aħjar prattiki;
                     
                  
                        (g)
                     
                     
                        iżomm reġistru ċentrali tal-attivitajiet ta’ pproċessar imwettqa mis-SEAE abbażi tar-rekords imħejjija mill-kontrolluri tad-data f’konformità mal-Artikolu 31 tar-Regolament u jagħmel ir-reġistru disponibbli pubblikament;
                     
                  
                        (h)
                     
                     
                        jassisti biex tiġi żgurata r-rappreżentanza tar-Rappreżentant Għoli jew is-SEAE fil-livell internazzjonali dwar il-kwistjonijiet kollha relatati mal-protezzjoni tad-data.
                     
                  
         
            Artikolu 6
            Setgħat
            Fit-twettiq tal-kompiti tiegħu d-DPO:
            
                        (a)
                     
                     
                        għandu jkollu aċċess f’kull ħin għad-data pproċessata mill-entitajiet tas-SEAE u l-kuntratturi tagħhom u għall-uffiċċji kollha, iċ-ċentri tal-ipproċessar tad-data u t-trasportaturi tad-data;
                     
                  
                        (b)
                     
                     
                        għandu jipprovdi l-opinjoni tiegħu lill-Awtorità tal-Ħatra qabel ma tittieħed xi deċiżjoni dwar kwistjonijiet li għandhom x’jaqsmu mal-applikazzjoni tad-dispożizzjonijiet tal-protezzjoni tad-data;
                     
                  
                        (c)
                     
                     
                        jista’ jipproponi miżuri amministrattivi u joħroġ rakkomandazzjonijiet ġenerali dwar l-applikazzjoni xierqa tar-Regolament u ta’ din id-Deċiżjoni;
                     
                  
                        (d)
                     
                     
                        jista’ jagħmel rakkomandazzjonijiet għat-titjib prattiku tal-protezzjoni tad-data għall-maniġment tas-SEAE, il-persunal u kwalunkwe parti esterna rilevanti;
                     
                  
                        (e)
                     
                     
                        jista’ jinvestiga kwistjonijiet ta’ protezzjoni u, apparti l-persuna li tkun talbet l-investigazzjoni jew li tkun ressqet l-ilment, jista’ jirrapporta r-riżultat tal-investigazzjoni lill-kontrollur tad-data, u lil kwalunkwe membru rilevanti tal-maniġment tas-SEAE;
                     
                  
                        (f)
                     
                     
                        jista’ jiżviluppa mudelli u proċeduri interni, struzzjonijiet jew politiki li jipprovdu gwida għall-kontrolluri u l-proċessuri tad-data;
                     
                  
                        (g)
                     
                     
                        jista’ juża s-servizzi ta’ esperti esterni, inklużi speċjalisti fl-IT;
                     
                  
                        (h)
                     
                     
                        jista’ jiġbed l-attenzjoni tal-Awtorità tal-Ħatra tas-SEAE għal kwalunkwe nuqqas minn membru tal-persunal li jikkonforma mal-obbligi skont ir-Regolament u din id-Deċiżjoni u jissuġġerixxi t-tnedija ta’ investigazzjoni amministrattiva;
                     
                  
                        (i)
                     
                     
                        jista’ joħroġ linji gwida interni dwar il-protezzjoni tad-data (Noti ta’ Gwida tad-DPO) li għandhom jitqiesu meta tiġi pproċessata data personali.
                     
                  
         
            Artikolu 7
            Riżorsi
            
               1.   Id-DPO għandu jkun ipprovdut b’persunal u riżorsi adegwati meħtieġa biex iwettaq il-kompiti msemmija fl-Artikolu 5 ta’ din id-Deċiżjoni.
            
            
               2.   Il-persunal kollu tas-SEAE għandu jappoġġa lid-DPO fit-twettiq tal-kompiti msemmija fl-Artikolu 5 ta’ din id-Deċiżjoni, b’mod partikolari l-kontrolluri u l-proċessuri tad-data għandhom jipprovdu informazzjoni mitluba dwar l-attivitajiet ta’ pproċessar tad-data, l-aċċess għad-data personali u jħejju abbozz ta’ tweġibiet għat-talbiet tas-suġġetti tad-data li jkunu qed jeżerċitaw id-dritt tagħhom ta’ aċċess, modifika u tħassir li jirċievi d-DPO iżda relatati mal-attivitajiet ta’ pproċessar li għalihom il-kontrollur tad-data huwa responsabbli.
            
            
               3.   Id-DPO jista’ jkollu deputat jew assistent DPO kif ukoll persunal amministrattiv u appoġġ segretarjali, kif meħtieġ. Id-DPO jista’ juża wkoll entitajiet oħra jew tas-SEAE u esperti esterni.
            
            
               4.   Meta jinħatar, id-deputat jew l-assistent DPO jappoġġaw lid-DPO fit-twettiq tal-kompiti tiegħu u jista’ jirrappreżenta lid-DPO f’każ tal-assenza tiegħu. L-Artikoli 4, 5 u 6 ta’ din id-Deċiżjoni għandhom japplikaw ukoll għad-deputat jew l-assistent DPO.
            
            
               5.   Id-DPO għandu jkollu bini xieraq fejn tista’ tiġi ggarantita s-sigurtà u l-kunfidenzjalità tal-informazzjoni, inkluża data personali, u fejn jistgħu jiġu żgurati l-ħażna u l-arkivjar adegwati ta’ data u dokumenti.
            
            
               6.   Id-DPO għandu jkollu għad-dispożizzjoni tiegħu għodda elettronika li tista’ (i) tiġġestixxi r-rekords ta’ attivitajiet ta’ pproċessar ta’ data personali f’konformità mal-Artikolu 31 tar-Regolament u (ii) taħżen avviżi ta’ protezzjoni tad-data, notifiki ta’ ksur ta’ data, valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data, talbiet u rekords ta’ trasferimenti ta’ data personali mis-suġġetti tad-data.
            
            
               7.   Is-SEAE għandu jappoġġa lid-DPO biex iżomm u jespandi l-għarfien espert tiegħu, fost l-oħrajn, billi jiffaċilita l-parteċipazzjoni f’korsijiet ta’ taħriġ interistituzzjonali jew esterni, konferenzi jew avvenimenti relatati mal-protezzjoni tad-data u f’laqgħat u taħriġ organizzati mill-EDPS u n-netwerk tad-DPO ta’ istituzzjonijiet, korpi, uffiċċji u aġenziji tal-UE.
            
         
         TAQSIMA 3
         
            ATTURI INVOLUTI FIL-PROĊEDURI FIR-RIGWARD TAL-PROTEZZJONI TAD-DATA
            
         
         
            Artikolu 8
            Il-kontrolluri u l-proċessuri tad-data
            
               1.   Il-kontrolluri delegati, ir-rappreżentanti tal-kontrolluri u tal-proċessuri huma responsabbli, f’isem il-kontrollur tad-data, biex jiżguraw li l-attivitajiet kollha tal-ipproċessar taħt il-kontroll tagħhom ikunu konformi mar-Regolament, b’mod partikolari l-Artikolu 26 tiegħu, u mad-dispożizzjonijiet ta’ din id-Deċiżjoni. Huma jistgħu, kif meħtieġ, jafdaw kompiti ta’ proċessar tad-data lil persunal tas-SEAE li jaħdem taħt ir-responsabbiltà tagħhom jew lil entitajiet kuntrattati, f’konformità mal-Artikolu 29 tar-Regolament.
            
            
               2.   B’mod partikolari, il-kontrolluri tad-data għandhom:
               
                           (a)
                        
                        
                           ikunu responsabbli, jiżguraw u juru li l-ipproċessar isir f’konformità mar-Regolament u ma’ din id-Deċiżjoni;
                        
                     
                           (b)
                        
                        
                           jirreġistraw kull attività ta’ pproċessar u kwalunkwe bidla sostanzjali f’attività ta’ pproċessar eżistenti;
                        
                     
                           (c)
                        
                        
                           jiżguraw li s-suġġetti tad-data jkunu infurmati dwar l-ipproċessar tad-data tagħhom f’konformità mal-Artikoli 15 u 16 tar-Regolament billi tagħmel l-avviżi tal-protezzjoni tad-data disponibbli;
                        
                     
                           (d)
                        
                        
                           jikkooperaw mad-DPO u l-EDPS, b’mod partikolari billi jipprovdu informazzjoni bi tweġiba għat-talbiet tagħhom fi żmien 14-il jum kalendarju mid-data tat-talba;
                        
                     
                           (e)
                        
                        
                           jinfurmaw lid-DPO meta kuntrattur jintuża biex jipproċessa data personali f’isem il-kontrollur tad-data;
                        
                     
                           (f)
                        
                        
                           jaħtru DPC, jappoġġjawhom fit-twettiq ta’ dmirijiethom u jinformaw lid-DPO dwar kwalunkwe bidla fil-persuna jew il-funzjoni tad-DPC;
                        
                     
                           (g)
                        
                        
                           jikkonsultaw mad-DPO dwar jekk l-attivitajiet tal-ipproċessar ikunux konformi mar-Regolament u ma’ din id-Deċiżjoni. Huma jistgħu jikkonsultaw mad-DPO jew esperti oħra dwar kwistjonijiet relatati mal-kunfidenzjalità, id-disponibbiltà u l-integrità tal-attivitajiet tal-ipproċessar u dwar il-miżuri ta’ sigurtà meħuda skont l-Artikolu 33 tar-Regolament;
                        
                     
            
               3.   Il-kontrolluri tad-data jistgħu jużaw entitajiet oħra fis-SEAE jew entitajiet ikkuntrattati bħala proċessuri f’konformità mad-dispożizzjonijiet tar-Regolament, sakemm dawn jiddokumentaw fir-reġistri tagħhom min hu l-proċessur, jispeċifikaw il-kompiti fdati lilhom u l-miżuri ta’ sigurtà meħuda.
            
            
               4.   Il-kontrollur tad-data għandu jiżgura li d-DPO jiġi infurmat mingħajr dewmien:
               
                           (a)
                        
                        
                           dwar il-kwistjonijiet kollha li għandhom, jew jista’ jkollhom, implikazzjonijiet ta’ protezzjoni tad-data;
                        
                     
                           (b)
                        
                        
                           dwar il-komunikazzjoni u d-deċiżjonijiet kollha tal-maniġment tas-SEAE fir-rigward tal-applikazzjoni tar-Regolament, b’mod partikolari kwalunkwe interazzjoni mal-EDPS.
                        
                     
         
         
            Artikolu 9
            Korrispondent u koordinatur tal-protezzjoni tad-data
            
               1.   Skont id-daqs tagħhom u t-tip ta’ data personali pproċessata, l-entitajiet organizzattivi tas-SEAE għandu jkollhom DPC li jaġixxu bħala punt fokali għall-protezzjoni tad-data. Kull direttorat ta’ ġestjoni jew direttorat fil-Kwartieri Ġenerali tas-SEAE u kull Delegazzjoni tal-UE għandhom jaħtru koordinatur tal-protezzjoni tad-data jew korrispondent għall-protezzjoni tad-data. Id-diviżjonijiet kollha li regolarment jipproċessaw kwantità kbira ta’ data personali, kategoriji speċjali ta’ data jew data personali sensittiva, li l-ipproċessar tagħhom jippreżenta riskju għoli, għandhom jindikaw id-DPC tagħhom stess. Il-funzjoni tad-DPC għandha tiġi assenjata lil pożizzjoni li jkollha ħarsa ġenerali fuq l-attivitajiet tal-entità.
            
            
               2.   Id-DPC għandhom ikollhom il-ħiliet meħtieġa u jiksbu għarfien dwar il-protezzjoni tad-data. Huma għandhom jirċievu taħriġ ta’ induzzjoni tal-protezzjoni tad-data u jistgħu jattendu sessjonijiet ta’ informazzjoni u laqgħat tan-Netwerk tad-DPC.
            
            
               3.   Id-DPC għandhom:
               
                           (a)
                        
                        
                           mingħajr preġudizzju għar-responsabbiltajiet tad-DPO, jassisti lill-kontrolluri tad-data biex jikkonformaw mal-obbligi tagħhom;
                        
                     
                           (b)
                        
                        
                           jiffaċilitaw il-komunikazzjoni bejn id-DPO u l-kontrolluri tad-data.
                        
                     
                           (c)
                        
                        
                           ikunu punt fokali għal kwistjonijiet ta’ protezzjoni tad-data fis-servizz tagħhom u jikkoordinaw mad-DPO;
                        
                     
                           (d)
                        
                        
                           jinfurmaw u jappoġġaw lill-kollegi tagħhom dwar kwistjonijiet relatati mal-ipproċessar ta’ data;
                        
                     
                           (e)
                        
                        
                           jibagħtu informazzjoni lill-persunal dwar avvenimenti ta’ sensibilizzazzjoni u sessjonijiet ta’ taħriġ;
                        
                     
                           (f)
                        
                        
                           jaħdmu mad-DPO biex joħolqu u jaġġornaw inventarju ta’ attivitajiet ta’ pproċessar eżistenti u ġodda ta’ data personali;
                        
                     
                           (g)
                        
                        
                           jikkuntattjaw u jinnotifikaw lid-DPO dwar kwalunkwe data personali pproċessata fi ħdan is-servizz;
                        
                     
                           (h)
                        
                        
                           jassistu fl-identifikazzjoni ta’ kontrolluri u proċessuri tad-data delegati rilevanti;
                        
                     
                           (i)
                        
                        
                           jiżviluppaw rekords fil-qasam ta’ kompetenza tagħhom;
                        
                     
                           (j)
                        
                        
                           jappoġġaw lill-kontrolluri tad-data biex jistabbilixxu u jirrevedu r-rekords u joħolqu avviżi ta’ protezzjoni tad-data;
                        
                     
                           (k)
                        
                        
                           jikkontribwixxu għall-verifiki ta’ konformità u l-valutazzjonijiet tal-impatt;
                        
                     
                           (l)
                        
                        
                           jiżguraw li l-avviżi rilevanti dwar il-protezzjoni tad-data jiġu ppubblikati u użati b’mod korrett mis-servizz tagħhom;
                        
                     
                           (m)
                        
                        
                           javżaw lid-DPO dwar kwalunkwe ksur ta’ data;
                        
                     
                           (n)
                        
                        
                           iħejju, f’kooperazzjoni mad-DPO, it-tweġiba għal talbiet minn suġġetti tad-data li jkunu qed jeżerċitaw id-drittijiet tagħhom, jittrattaw ilmenti u mistoqsijiet relatati mal-attivitajiet tal-ipproċessar tad-data fis-servizz tagħhom.
                        
                     
            
               4.   Id-DPC għandhom id-dritt li jiksbu l-informazzjoni meħtieġa biex jidentifikaw l-attivitajiet ta’ pproċessar ta’ data personali u jikkonsultaw lid-DPO f’isem is-servizz tagħhom. Dan ma jinkludix id-dritt għall-aċċess ta’ data pproċessata taħt ir-responsabbiltà tal-kontrollur tad-data.
            
         
         
            Artikolu 10
            Awtorità tal-Ħatra
            L-Awtorità tal-Ħatra għandha tikkonsulta lid-DPO dwar kull talba jew ilment skont l-Artikolu 90 tar-Regolamenti tal-Persunal fir-rigward tal-applikazzjoni tar-Regolament.
         
         
            Artikolu 11
            Persunal tas-SEAE
            
               1.   Il-persunal kollu tas-SEAE għandu japplika r-regoli ta’ kunfidenzjalità u ta’ sigurtà għall-ipproċessar ta’ data personali kif stabbilit fl-Artikoli 33, 34 u 35 tar-Regolament. Ebda membru tal-persunal tas-SEAE b’aċċess għal data personali ma għandu jipproċessa d-data għajr fuq struzzjonijiet mill-kontrolluri tad-data.
            
            
               2.   2. Il-membri tal-persunal kollha tas-SEAE għandhom jindikaw lill-maniġer ġerarkiku tagħhom meta jkunu jeħtieġu li jipproċessaw data personali sabiex il-kontrolluri tad-data jiddokumentaw l-ipproċessar fir-rekords tal-protezzjoni tad-data tagħhom u jħejju l-avviżi meħtieġa dwar il-protezzjoni tad-data.
            
            
               3.   Kwalunkwe membru tal-persunal tas-SEAE jista’ jissottometti talba jew iqajjem tħassib, inkluż allegat ksur ta’ data, lid-DPO, jew jista’ jressaq ilment lill-EDPS dwar allegat ksur tar-Regolament jew ta’ din id-Deċiżjoni, mingħajr il-ħtieġa li jinforma lis-superjuri ġerarkiċi tiegħu.
            
            
               4.   Jekk kwalunkwe membru tal-persunal iqis li pajjiż terz, territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz, jew organizzazzjoni internazzjonali ma jiżgurax livell adegwat ta’ protezzjoni skont it-tifsira tal-Artikolu 45(3) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill (3) jew l-Artikolu 36(3) tad-Direttiva (UE) 2016/680 tal-Parlament Ewropew u tal-Kunsill (4), huma għandhom jinnotifikaw lid-DPO.
            
         
         TAQSIMA 4
         
            MIŻURI U PROĊEDURI
         
         
            Artikolu 12
            Miżuri ta’ sigurtà u protezzjoni tad-data mid-disinn u b’mod awtomatiku
            
               1.   Is-salvagwardji, il-miżuri tekniċi u organizzattivi biex jiġi evitat ksur jew żvelar mhux awtorizzat tad-data għandhom jinkludu:
               
                           (a)
                        
                        
                           definizzjoni adegwata ta’ rwoli, responsabbiltajiet u passi proċedurali;
                        
                     
                           (b)
                        
                        
                           ambjent elettroniku sigur li jipprevjeni l-aċċess illegali jew aċċidentali jew it-trasferiment ta’ data elettronika lil persuni mhux awtorizzati b’miżuri ta’ sikurezza mibnija fid-diversi applikazzjonijiet tal-IT użati;
                        
                     
                           (c)
                        
                        
                           ipproċessar u ħażna sikuri ta’ dokumenti stampati;
                        
                     
                           (d)
                        
                        
                           aċċess elettroniku u fiżiku biss għal persunal awtorizzat bi drittijiet ta’ aċċess li għandhom jingħataw individwalment;
                        
                     
            
               2.   Qabel ma jitfasslu attivitajiet ta’ pproċessar tad-data, kontrolluri tad-data għandhom jimplimentaw il-protezzjoni tad-data mid-disinn u b’mod awtomatiku kif imsemmi fl-Artikolu 27 tar-Regolament. Sabiex jimplimenta l-protezzjoni tad-data mid-disinn u b’mod awtomatiku, il-kontrollur tad-data jista’ jikkonsulta lid-DPO u servizzi rilevanti oħra, inkluż l-IT u s-sigurtà tal-IT.
            
         
         
            Artikolu 13
            Avviżi ta’ ksur tad-data
            Wara li jsir konxju ta’ kwalunkwe inċident, b’mod partikolari ksur tas-sigurtà, li jwassal għal qerda aċċidentali jew illegali, telf, alterazzjoni, żvelar mhux awtorizzat ta’ data personali, jew aċċess għaliha, li tkun trasferita, maħżuna, jew ipproċessata b’xi mod ieħor (“ksur ta’ data personali”), il-kontrollur jew il-proċessur tad-data għandu immedjatament jinnotifika lid-DPO u fi żmien 72 siegħa lill-EDPS u għandu jiddokumenta b’mod xieraq l-inċident.
         
         
            Artikolu 14
            Investigazzjonijiet u trattament ta’ talbiet u lmenti mid-DPO
            
               1.   Id-DPO jista’ jiftaħ investigazzjoni dwar allegat ksur tal-obbligi taħt ir-Regolament fuq l-inizjattiva tiegħu jew fuq talba. It-talbiet għandhom jiġu indirizzati lid-DPO bil-miktub.
            
            
               2.   Id-DPO jista’ jitlob dikjarazzjoni bil-miktub dwar il-kwistjoni mingħand il-kontrollur tad-data responsabbli għall-attività tal-ipproċessar tad-data rilevanti. Il-kontrollur tad-data għandu jipprovdi risposta lid-DPO fi żmien 14-il jum kalendarju minn meta jirċievi din it-talba. Id-DPO jista’ jitlob aċċess għal informazzjoni komplementari, dokumenti, trasportaturi tad-data, ċentri tad-data, bini u sistemi minn servizzi oħra tas-SEAE, b’mod partikolari d-diviżjoni tal-IT, id-direttorat tas-sigurtà, u d-direttorat ġenerali li jittratta l-inkjesti amministrattivi u l-proċeduri dixxiplinari. Id-DPO għandu jiġi provdut bl-informazzjoni jew bl-opinjoni fi żmien 14-il jum kalendarju.
            
            
               3.   Fil-każ ta’ talbiet manifestament bla bażi, abbużivi u eċċessivi, b’mod partikolari fejn ikunu saru talbiet ta’ natura ripetittiva mill-istess suġġett tad-data, id-DPO jista’ jirrifjuta li jaġixxi fuq it-talba skont l-Artikolu 14 tar-Regolament. Min jagħmel it-talba għandu jkun infurmat b’dan.
            
         
         TAQSIMA 5
         
            PROĊEDURA GĦAS-SUĠĠETTI TAD-DATA SABIEX JEŻERĊITAW ID-DRITTIJIET TAGĦHOM
         
         
            Artikolu 15
            Dispożizzjonijiet ġenerali
            
               1.   Is-suġġetti tad-data jistgħu jikkuntattjaw lill-kontrollur tad-data jew lid-DPO biex jeżerċitaw id-drittijiet tagħhom f’konformità mal-Artikoli 14 sa 24 tar-Regolament.
            
            
               2.   It-talbiet biex ikunu eżerċitati d-drittijiet tas-suġġetti tad-data għandhom isiru bil-miktub. Jekk ikun hemm bżonn, id-DPO għandu jassisti lis-suġġett tad-data jidentifika l-kontrollur tad-data rilevanti. Id-DPO għandu jibgħat kwalunkwe talba li jirċievi lill-kontrollur tad-data rilevanti li jista’ jikkonsulta lid-DPO.
            
            
               3.   Il-kontrolluri tad-data għandhom jipproċessaw it-talba u jwieġbu direttament lis-suġġett tad-data.
            
         
         
            Artikolu 16
            L-ipproċessar ta’ talbiet għall-eżerċizzju tad-drittijiet tas-suġġett tad-data
            
               1.   Il-kontrolluri tad-data għandhom jaġixxu fuq it-talba biss wara li tkun ġiet ivverifikata l-identità ta’ min għamel it-talba jew f’każ ta’ talba minn rappreżentant tas-suġġett tad-data, l-awtorizzazzjoni mingħand is-suġġett tad-data tkun ingħatat.
            
            
               2.   Il-kontrollur tad-data responsabbli mill-attività tal-ipproċessar tad-data għandu jibgħat konferma tar-riċevuta lil min jagħmel it-talba fi żmien 14-il jum kalendarju minn meta jirċievi t-talba mis-SEAE. Sakemm ma jkunx previst mod ieħor, il-kontrollur tad-data għandu jwieġeb għat-talba fi żmien xahar mir-reġistrazzjoni tat-talba. Il-kontrollur tad-data għandu jew jagħti tweġiba pożittiva għat-talba jew jiddikjara bil-miktub ir-raġunijiet għal rifjut sħiħ jew parzjali. Il-perjodu għat-tweġiba jista’ jiġi estiż b’sa xahrejn oħra, b’kont meħud tal-kumplessità tal-kwistjoni u l-għadd ta’ talbiet li saru, skont l-Artikolu 14(3) tar-Regolament.
            
            
               3.   It-talba tas-suġġett tad-data tista’ tiġi rrifjutata, jekk
               
                           (a)
                        
                        
                           it-talba ma tkunx ġustifikata;
                        
                     
                           (b)
                        
                        
                           tkun tapplika eċċezzjoni stabbilita fir-Regolament;
                        
                     
                           (c)
                        
                        
                           tkun tapplika restrizzjoni skont ir-regoli interni (5) adottati abbażi tal-Artikolu 25 tar-Regolament.
                        
                     
            
               4.   Fil-każ ta’ talbiet manifestament bla bażi, abbużivi u eċċessivi, b’mod partikolari fejn ikunu saru talbiet ta’ natura ripetittiva mill-istess suġġett tad-data, il-kontrollur tad-data wara li jikkonsulta mad-DPO, jista’ jirrifjuta li jaġixxi fuq it-talba skont l-Artikolu 14 tar-Regolament. Min jagħmel it-talba għandu jkun infurmat b’dan.
            
         
         
            Artikolu 17
            Eċċezzjonijiet u restrizzjonijiet
            Ir-restrizzjonijiet skont ir-regoli interni adottati abbażi tal-Artikolu 25 tar-Regolament u l-eċċezzjonijiet stabbiliti fl-Artikoli 15–19 u 21–24 tar-Regolament għandhom jiġu applikati biss wara li jkun ġie kkonsultat id-DPO.
         
         TAQSIMA 6
         
            DISPOŻIZZJONIJIET FINALI
         
         
            Artikolu 18
            Komunikazzjoni dwar din id-Deċiżjoni
            
               1.   Skont l-Artikolu 41 tar-Regolament, l-EDPS għandu jkun infurmat dwar din id-Deċiżjoni.
            
            
               2.   Din id-deċiżjoni għandha ssir disponibbli għall-persunal tas-SEAE permezz ta’ mezzi xierqa, b’mod partikolari billi tiġi ppubblikata fuq is-sit web intern tas-SEAE.
            
         
         
            Artikolu 19
            Tħassir
            Id-Deċiżjoni PROC HR(2011) 016 tar-Rappreżentant Għoli tal-Unjoni għall-Affarijiet Barranin u l-Politika ta’ Sigurtà tat-8 ta’ Diċembru 2011 dwar ir-regoli dwar il-protezzjoni tad-data hija b’dan imħassra.
         
         
            Artikolu 20
            Effett
            Din id-Deċiżjoni għandha tidħol fis-seħħ l-għada tal-adozzjoni tagħha.
         
         
            Magħmul fi Brussell, l-1 ta’ Ottubru 2019.
            
               Federica MOGHERINI
               
                  Ir-Rappreżentant Għoli
               
            
         
         
            (1)  ĠU L 201, 3.8.2010, p. 30.
         
            (2)  ĠU L 295, 21.11.2018, p. 39.
         
            (3)  Ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU L 119, 4.5.2016, p. 1).
         
            (4)  Id-Direttiva (UE) 2016/680 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-awtoritajiet kompetenti għall-finijiet tal-prevenzjoni, l-investigazzjoni, is-sejbien jew il-prosekuzzjoni ta’ reati kriminali jew l-eżekuzzjoni ta’ pieni kriminali, u dwar il-moviment liberu ta’ tali data, u li tħassar id-Deċiżjoni Qafas tal-Kunsill 2008/977/ĠAI (ĠU L 119, 4.5.2016, p. 89).
         
            (5)  Id-Deċiżjoni tar-Rappreżentant Għoli tal-Unjoni għall-Affarijiet Barranin u l-Politika ta’ Sigurtà dwar regoli interni dwar restrizzjonijiet ta’ ċerti drittijiet ta’ suġġetti tad-data fir-rigward tal-ipproċessar ta’ data personali fil-qafas tal-funzjonament tas-Servizz Ewropew għall-Azzjoni Esterna (ADMIN(2019) 10)