CELEX: 32019D1031(02)
Language: et
Date: 2019-10-01 00:00:00
Title: Liidu välisasjade ja julgeolekupoliitika kõrge esindaja otsus, 1. oktoober 2019, rakenduseeskirjade kohta, milles käsitletakse isikuandmete kaitset Euroopa välisteenistuses ja Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 kohaldamist2019/C 370/05

31.10.2019   
               
               
                  ET
               
               
                  Euroopa Liidu Teataja
               
               
                  C 370/9
               
            
         Liidu välisasjade ja julgeolekupoliitika kõrge esindaja otsus,
         1. oktoober 2019,
         rakenduseeskirjade kohta, milles käsitletakse isikuandmete kaitset Euroopa välisteenistuses ja Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 kohaldamist
         (2019/C 370/05)
         LIIDU VÄLISASJADE JA JULGEOLEKUPOLIITIKA KÕRGE ESINDAJA,
         võttes arvesse nõukogu 26. juuli 2010. aasta otsust 2010/427/EL, millega määratakse kindlaks Euroopa välisteenistuse korraldus ja toimimine (1) (edaspidi „välisteenistust käsitlev nõukogu otsus“), eriti selle artikli 11 lõiget 3,
         võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (2) (edaspidi „määrus“), eriti selle artikleid 43, 44 ja 45,
         ning arvestades järgmist:
         
                     (1)
                  
                  
                     Kuna määrusega on vastutavatele töötlejatele ette nähtud suurem vastutus, on vaja vastu võtta uus rakendusotsus, millega asendatakse liidu välisasjade ja julgeolekupoliitika kõrge esindaja 8. detsembri 2011. aasta otsus PROC HR(2011) 016 Euroopa välisteenistuse andmekaitse eeskirjade kohta.
                  
               
                     (2)
                  
                  
                     Selgelt tuleb kindlaks määrata andmekaitseametniku roll ja vastutava töötleja ülesanded Euroopa välisteenistuses ning need tuleb viia vastavusse määruses sätestatud nõuetega,
                  
               ON TEINUD JÄRGMISE OTSUSE:
         1. JAGU
         
            ÜLDSÄTTED
         
         
            Artikkel 1
            Reguleerimisese ja kohaldamisala
            
               1.   Kooskõlas määruse artikli 45 lõikega 3 sätestatakse käesolevas otsuses Euroopa välisteenistuse andmekaitseametniku tööülesanded, kohustused ja volitused.
            
            
               2   . Peale selle täpsustatakse otsuses vastutavate töötlejate ja volitatud töötlejate sisemenetlusi ja vastutusvaldkondi, samuti andmekaitsekoordinaatorite ja -korrespondentide rolli, tööülesandeid ja kohustusi, eeskätt kooskõlas määruse artiklitega 26 ja 29.
            
         
         
            Artikkel 2
            Mõisted
            Käesolevas otsuses kasutatakse järgmisi mõisteid, ilma et need piiraksid määruses kasutatavaid mõisteid:
            
                        a)
                     
                     
                        „vastutav töötleja“ – Euroopa välisteenistus või selle struktuuriüksused, sealhulgas ELi delegatsioonid, kes määravad üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid;
                     
                  
                        b)
                     
                     
                        „vastutava töötleja esindaja“ – Euroopa välisteenistuse juhtkonna liikmed või selle struktuuriüksuste juhatajad, kes teevad järelevalvet punktis a nimetatud vastutavate töötlejate tegevuse üle ning kel lasub vastutus ja aruandekohustus isikuandmete töötlemise eest;
                     
                  
                        c)
                     
                     
                        „delegeeritud vastutav töötleja“ – vastutava töötleja struktuuriüksuse talitus või töötaja, kellele on usaldatud isikuandmete töötlemise toimingute haldamine;
                     
                  
                        d)
                     
                     
                        „kaasvastutavad töötlejad“ – kaks või enam struktuuriüksust, kes määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid ning vastutavate töötlejate rolli ja vastutusvaldkonnad, sealhulgas nende kohustused seoses andmesubjekti õiguste kasutamisega, iseäranis juhul, kui Euroopa välisteenistus vastutab andmete töötlemise eest koos teiste ELi institutsioonide, organite ja asutuste või muude üksustega;
                     
                  
                        e)
                     
                     
                        „andmekaitseametnik“ – Euroopa välisteenistuse töötaja, kelle Euroopa välisteenistus on kooskõlas määruse artikliga 43 määranud abistama, teavitama ja nõustama vastutavaid töötlejaid;
                     
                  
                        f)
                     
                     
                        „andmekaitsekoordinaator ja -korrespondent“ – vastavalt Euroopa välisteenistuse peakorteris ja liidu delegatsioonis tegutsev töötaja, kes on määratud abistama volitatud töötlejat andmekaitseküsimustes;
                     
                  
                        g)
                     
                     
                        „volitatud töötleja“ – Euroopa välisteenistuse siseüksus või väline üksus, kes töötleb vastutava töötleja nimel isikuandmeid;
                     
                  
                        h)
                     
                     
                        „andmekaitseteatised“ – teatised, näiteks isikuandmete kaitse põhimõtted, millega vastutav töötleja esitab andmesubjektidele määruse artiklite 15 ja 16 kohase teabe;
                     
                  
                        i)
                     
                     
                        „Euroopa välisteenistuse töötajad“ – vastavalt Euroopa välisteenistust käsitleva nõukogu otsuse artiklile 6 Euroopa välisteenistuses töötavad ELi ametnikud ja muud teenistujad, sealhulgas ELi liikmesriikide diplomaatiliste teenistuste töötajad, lähetatud riiklikud eksperdid ja praktikandid.
                     
                  
         2. JAGU
         
            ANDMEKAITSEAMETNIK
         
         
            Artikkel 3
            Andmekaitseametniku määramine
            
               1.   Euroopa välisteenistuse peasekretär määrab kooskõlas määruse artikliga 43 Euroopa välisteenistuse töötajate seast andmekaitseametniku ning registreerib ta Euroopa Andmekaitseinspektori juures.
            
            
               2.   Lisaks määruse artikli 43 lõikes 3 sätestatud nõuete täitmisele peavad andmekaitseametnikul olema põhjalikud teadmised Euroopa välisteenistuse talitustest, nende struktuurist, infosüsteemidest ning halduseeskirjadest ja -menetlustest. Kooskõlas personalieeskirjadega peab tal olema andmekaitsealane pädevus, hea otsustusvõime ning oskus jääda erapooletule ja objektiivsele seisukohale.
            
            
               3.   Andmekaitseametnik määratakse ametisse viieks aastaks ning teda võib ametisse tagasi nimetada.
            
            
               4.   Andmekaitseametniku võib ametikohalt vabastada üksnes Euroopa Andmekaitseinspektori nõusolekul, kui ta ei vasta enam oma tööülesannete täitmiseks vajalikele tingimustele.
            
            
               5.   Andmekaitseametnik on halduslikult seotud peasekretäriga.
            
            
               6.   Andmekaitseametniku kontaktandmed avaldatakse Euroopa välisteenistuse sisevõrgus ja avalikul veebisaidil ning need edastatakse Euroopa Andmekaitseinspektorile.
            
         
         
            Artikkel 4
            Andmekaitseametniku ametiseisund
            
               1.   Andmekaitseametnik tegutseb sõltumatult ja koostöös Euroopa Andmekaitseinspektoriga. Euroopa välisteenistus ei anna andmekaitseametnikule tema ülesannete täitmiseks mingeid juhiseid.
            
            
               2.   Andmekaitseametnikku ei tohi tema ülesannete täitmise eest ametist vabastada ega karistada.
            
            
               3.   Andmekaitseametnikku tuleb teavitada kõikidest kontaktidest, mis on leidnud kolmandate isikutega aset seoses määruse ja käesoleva otsuse kohaldamisega, eeskätt võimalikust suhtlusest Euroopa Andmekaitseinspektoriga ja andmekaitseametnike võrgustiku liikmetega ELi institutsioonidest, organitest ja asutustest.
            
            
               4.   Andmesubjektid võivad pöörduda andmekaitseametniku poole kõigis küsimustes, mis on seotud nende isikuandmete töötlemisega või määrusest tulenevate õiguste kasutamisega.
            
            
               5.   Vastutav töötleja või tema esindaja, personalikomitee ja kõik töötajad võivad andmekaitseametnikuga väljaspool ametlikke kanaleid konsulteerida kõikides määruse tõlgendamise või kohaldamisega seotud küsimustes. Keegi ei tohi kannatada seepärast, et ta juhtis andmekaitseametniku tähelepanu teatavale küsimusele.
            
         
         
            Artikkel 5
            Andmekaitseametniku ülesanded
            Andmekaitseametnik:
            
                        a)
                     
                     
                        annab nõu kõikides isikuandmete kaitsega seotud küsimustes;
                     
                  
                        b)
                     
                     
                        annab Euroopa välisteenistuse üksustele ja isikuandmete töötlemise toiminguid tegevatele töövõtjatele suuniseid ja ennetavaid nõuandeid määruse ja käesoleva otsuse rakendamise kohta, sealhulgas annab nõu andmetega seotud rikkumistest teatamise, mõjuhinnangute ja selle kohta, kas on vaja eelnevalt konsulteerida Euroopa Andmekaitseinspektoriga;
                     
                  
                        c)
                     
                     
                        hoiab andmekaitsenõuete täitmise järelevalve eesmärgil pidevat kontakti vastutavate töötlejatega ja toetab vastutavaid töötlejaid nende tööülesannetes, eeskätt aitab koostada ja avaldada andmekaitseteatiseid ning vastata andmesubjektide taotlustele;
                     
                  
                        d)
                     
                     
                        hoiab pidevat kontakti Euroopa välisteenistuse peakorteris ja liidu delegatsioonides tegutsevate andmekaitsekoordinaatorite ja -korrespondentidega ning haldab andmekaitsekoordinaatorite ja -korrespondentide võrgustikku Euroopa välisteenistuses;
                     
                  
                        e)
                     
                     
                        suurendab üldist teadlikkust andmekaitseküsimustest, korraldab koolitusi ja teabeüritusi;
                     
                  
                        f)
                     
                     
                        teeb koostööd teiste ELi institutsioonide, organite ja asutuste andmekaitseametnikega ning vahetab eelkõige kogemusi ja parimat tava;
                     
                  
                        g)
                     
                     
                        peab Euroopa välisteenistuse töötlemistoimingute keskregistrit nende registreerimiskannete alusel, mille vastutavad töötlejad on koostanud kooskõlas määruse artikliga 31, ning teeb selle registri avalikult kättesaadavaks;
                     
                  
                        h)
                     
                     
                        aitab tagada kõrge esindaja või Euroopa välisteenistuse esindamist rahvusvahelisel tasandil kõikides andmekaitsega seotud küsimustes.
                     
                  
         
            Artikkel 6
            Volitused
            Oma tööülesannete täitmisel:
            
                        a)
                     
                     
                        peab andmekaitseametnikul olema igal ajal võimalus Euroopa välisteenistuse üksuste ja nende töövõtjate töödeldud andmetega tutvuda ning juurdepääs kõikidele tööruumidele, andmetöötluskeskustele ja andmekandjatele;
                     
                  
                        b)
                     
                     
                        esitab andmekaitseametnik ametisse nimetavale asutusele oma arvamuse enne mis tahes otsuse tegemist andmekaitsenormide kohaldamisega seotud küsimustes;
                     
                  
                        c)
                     
                     
                        võib andmekaitseametnik esitada ettepanekuid haldusmeetmete kohta ning üldisi soovitusi määruse ja käesoleva otsuse nõuetekohase kohaldamise kohta;
                     
                  
                        d)
                     
                     
                        võib andmekaitseametnik esitada Euroopa välisteenistuse juhtkonnale, töötajatele ja asjaomastele kolmandatele isikutele praktilisi soovitusi andmekaitse parandamiseks;
                     
                  
                        e)
                     
                     
                        võib andmekaitseametnik uurida andmekaitseküsimusi ning teatada lisaks uurimist taotlenud või kaebuse esitanud isikule uurimise tulemusest ka vastutavale töötlejale ning kõikidele asjaomastele Euroopa välisteenistuse juhtkonna liikmetele;
                     
                  
                        f)
                     
                     
                        võib andmekaitseametnik töötada vastutavate töötlejate ja volitatud töötlejate juhendamiseks välja vorme ja sisemenetlusi, juhiseid või eeskirju;
                     
                  
                        g)
                     
                     
                        võib andmekaitseametnik kasutada välisekspertide, sealhulgas IT-spetsialistide teenuseid;
                     
                  
                        h)
                     
                     
                        võib andmekaitseametnik juhtida Euroopa välisteenistuse ametisse nimetava asutuse tähelepanu kõikidele juhtumitele, mil töötaja ei ole täitnud määrusest ja käesolevast otsusest tulenevaid kohustusi, ning teha ettepaneku haldusuurimise algatamiseks;
                     
                  
                        i)
                     
                     
                        võib andmekaitseametnik avaldada asutusesiseseid andmekaitsesuuniseid (andmekaitseametniku juhendid), mida tuleb isikuandmete töötlemisel arvesse võtta.
                     
                  
         
            Artikkel 7
            Vahendid
            
               1.   Andmekaitseametnikule tagatakse käesoleva otsuse artiklis 5 osutatud tööülesannete täitmiseks vajalik personal ja piisavad vahendid.
            
            
               2.   Kõik Euroopa välisteenistuse töötajad peavad toetama andmekaitseametnikku käesoleva otsuse artiklis 5 osutatud tööülesannete täitmisel, eelkõige peavad vastutavad töötlejad ja volitatud töötlejad esitama taotletud teabe andmete töötlemise toimingute kohta, tagama võimaluse isikuandmetega tutvuda ja koostama esialgsed vastused juhtudel, kus andmesubjekt on esitanud andmekaitseametnikule taotluse, et kasutada oma õigust andmetega tutvuda või õigust andmete parandamisele või kustutamisele, ning taotlus on seotud vastutava töötleja vastutusvaldkonda kuuluva töötlemistoiminguga.
            
            
               3.   Andmekaitseametnikul võib olla asetäitja või assistent ning vajaduse korral ka haldus- ja tugitöötajad. Andmekaitseametnik võib kasutada Euroopa väliteenistuse teiste üksuste või töövõtjate ja välisekspertide teenuseid.
            
            
               4.   Kui on ametisse nimetatud andmekaitseametniku asetäitja või assistent, abistab viimane andmekaitseametnikku tema tööülesannete täitmisel ning võib andmekaitseametnikku tema eemaloleku ajal esindada. Käesoleva otsuse artikleid 4, 5 ja 6 kohaldatakse ka andmekaitseametniku asetäitja või assistendi suhtes.
            
            
               5.   Andmekaitseametnikul peavad olema sobivad tööruumid, kus on võimalik kaitsta teabe, sealhulgas isikuandmete turvalisust ja konfidentsiaalsust ning tagada andmete ja dokumentide nõuetekohane säilitamine ja arhiveerimine.
            
            
               6.   Andmekaitseametniku käsutuses peab olema elektrooniline vahend, mille abil i) hallata isikuandmete töötlemise toimingute registrikandeid kooskõlas määruse artikliga 31 ning ii) säilitada andmekaitseteatiseid, andmetega seotud rikkumise teatisi, andmekaitsealaseid mõjuhinnanguid, andmesubjektide taotlusi ja andmete edastamise registrikandeid.
            
            
               7.   Euroopa välisteenistus toetab andmekaitseametnikku eksperditeadmiste säilitamisel ja täiendamisel, soodustades muu hulgas tema osalemist institutsioonidevahelistel või asutusevälistel andmekaitsealastel koolituskursustel, konverentsidel või üritustel ning Euroopa Andmekaitseinspektori ja ELi institutsioonide, organite ja asutuste andmekaitseametnike võrgustiku korraldatavatel kohtumistel ja koolitustel.
            
         
         3. JAGU
         
            ANDMEKAITSEGA SEOTUD MENETLUSTES OSALEVAD ISIKUD
         
         
            Artikkel 8
            Vastutavad töötlejad ja volitatud töötlejad
            
               1.   Delegeeritud vastutavad töötlejad ning vastutavate töötlejate ja volitatud töötlejate esindajad peavad vastutava töötleja nimel veenduma, et kõik nende järelevalve all toimuvad töötlemistoimingud on kooskõlas määrusega, eelkõige selle artikliga 26, ja käesoleva otsusega. Kooskõlas määruse artikliga 29 võivad need isikud vastavalt vajadusele usaldada andmete töötlemise toiminguid nende alluvuses olevatele Euroopa välisteenistuse töötajatele või töövõtjatele.
            
            
               2.   Eelkõige peavad vastutavad töötlejad:
               
                           a)
                        
                        
                           vastutama ning veenduma ja tõendama, et töötlemine toimub kooskõlas määruse ja käesoleva otsusega;
                        
                     
                           b)
                        
                        
                           registreerima kõik töötlemistoimingud ja kõik registreeritud töötlemistoimingute olulised muudatused;
                        
                     
                           c)
                        
                        
                           tagama, et andmesubjekte teavitatakse kooskõlas määruse artiklitega 15 ja 16 nende andmete töötlemisest, tehes kättesaadavaks andmekaitseteatised;
                        
                     
                           d)
                        
                        
                           tegema koostööd andmekaitseametniku ja Euroopa Andmekaitseinspektoriga, eeskätt esitades nende taotletud teabe 14 kalendripäeva jooksul alates taotluse kuupäevast;
                        
                     
                           e)
                        
                        
                           teavitama andmekaitseametnikku, kui isikuandmeid töötleb vastutava töötleja nimel töövõtja;
                        
                     
                           f)
                        
                        
                           määrama andmekaitsekoordinaatori või -korrespondendi, toetama teda tema kohustuste täitmisel ja teavitama andmekaitseametnikku andmekaitsekoordinaatori või -korrespondendi vahetumisest või tema ametiülesannete muutmisest;
                        
                     
                           g)
                        
                        
                           konsulteerima andmekaitseametnikuga küsimuses, kas konkreetsed töötlemistoimingud on kooskõlas määruse ja käesoleva otsusega. Vastutavad töötlejad võivad konsulteerida andmekaitseametniku või teiste ekspertidega küsimustes, mis on seotud töötlemistoimingute konfidentsiaalsuse, kättesaadavuse ja terviklusega ning määruse artikli 33 alusel võetavate turvameetmetega.
                        
                     
            
               3.   Vastutavad töötlejad võivad kasutada teisi Euroopa välisteenistuse üksusi või töövõtjaid volitatud töötlejatena kooskõlas määruse sätetega, tingimusel, et asjaomastes registrites dokumenteeritakse volitatud töötleja isik, talle usaldatud ülesanded ja võetud turvameetmed.
            
            
               4.   Vastutav töötleja peab tagama, et andmekaitseametnikku teavitatakse viivitamata:
               
                           a)
                        
                        
                           kõikidest probleemidest, millel on või võib olla mõju andmekaitsele;
                        
                     
                           b)
                        
                        
                           kogu Euroopa välisteenistuse juhtkonna esitatud teabest ja kõigist otsustest, mis on seotud määruse kohaldamisega, eeskätt võimalikust suhtlusest Euroopa Andmekaitseinspektoriga.
                        
                     
         
         
            Artikkel 9
            Andmekaitsekoordinaator ja -korrespondent
            
               1.   Olenevalt Euroopa välisteenistuse struktuuriüksuse suurusest ja töödeldavate isikuandmete liigist on üksustel andmekaitsekoordinaator või -korrespondent, kes tegutseb andmekaitseküsimuste kontaktisikuna. Andmekaitsekoordinaatori või -korrespondendi peavad määrama kõik Euroopa välisteenistuse peakorteri peadirektoraadid ja direktoraadid ning kõik liidu delegatsioonid. Andmekaitsekoordinaatori või -korrespondendi peavad määrama ka kõik sellised üksused, kus töödeldakse korrapäraselt suures koguses isikuandmeid, eriliiki andmeid või tundlikke isikuandmeid, mille töötlemisega kaasneb suur risk. Andmekaitsekoordinaatori või -korrespondendi tööülesanded määratakse ametiisikule, kellel on ülevaade üksuse tegevusest.
            
            
               2.   Andmekaitsekoordinaatoril või -korrespondendil peavad olema vajalikud andmekaitsealased oskused ja teadmised. Nad läbivad andmekaitsealase sissejuhatava koolituse ning võivad osaleda teabeüritustel ja andmekaitsekoordinaatorite ja -korrespondentide võrgustiku kohtumistel.
            
            
               3.   Andmekaitsekoordinaator või -korrespondent täidab järgmiseid ülesandeid:
               
                           a)
                        
                        
                           aitab vastutavatel töötlejatel täita nende kohustusi, piiramata andmekaitseametniku vastutusvaldkondi;
                        
                     
                           b)
                        
                        
                           hõlbustab andmekaitseametniku ja vastutavate töötlejate teabevahetust;
                        
                     
                           c)
                        
                        
                           tegutseb andmekaitseküsimuste kontaktisikuna oma talituses ja teeb koostööd andmekaitseametnikuga;
                        
                     
                           d)
                        
                        
                           teavitab ja abistab kolleege isikuandmete töötlemisega seotud küsimustes;
                        
                     
                           e)
                        
                        
                           edastab töötajatele teavet teadlikkuse suurendamise ürituste ja koolituskursuste kohta;
                        
                     
                           f)
                        
                        
                           teeb andmekaitseametnikuga koostööd, et luua andmestik registreeritud ja uutest isikuandmete kaitse töötlemise toimingutest ning seda ajakohastada;
                        
                     
                           g)
                        
                        
                           võtab ühendust andmekaitseametnikuga ja teavitab teda oma talituses töödeldud isikuandmetest;
                        
                     
                           h)
                        
                        
                           aitab kindlaks teha asjaomased delegeeritud vastutavad töötlejad ja volitatud töötlejad;
                        
                     
                           i)
                        
                        
                           koostab oma pädevusvaldkonnaga seotud andmeid;
                        
                     
                           j)
                        
                        
                           toetab vastutavaid töötlejaid registrikannete loomisel ja läbivaatamisel ning andmekaitseteatiste koostamisel;
                        
                     
                           k)
                        
                        
                           aitab kaasa nõuetele vastavuse kontrollimisele ja mõjuhinnangute koostamisele;
                        
                     
                           l)
                        
                        
                           veendub, et asjaomased andmekaitseteatised on avaldatud ja et neid kasutatakse talituses nõuetekohaselt;
                        
                     
                           m)
                        
                        
                           teavitab andmekaitseametnikku kõikidest andmetega seotud rikkumistest;
                        
                     
                           n)
                        
                        
                           koostab koostöös andmekaitseametnikuga vastused andmesubjekti õiguste kasutamise taotlustele, menetleb kaebusi ja vastab küsimustele talituses tehtavate andmetöötlustoimingute kohta.
                        
                     
            
               4.   Andmekaitsekoordinaatoril või -korrespondendil on õigus saada teavet, mida on vaja isikuandmete töötlemise toimingute kindlakstegemiseks, ning konsulteerida andmekaitseametnikuga oma talituse nimel. See ei hõlma õigust tutvuda vastutava töötleja vastutusel töödeldud isikuandmetega.
            
         
         
            Artikkel 10
            Ametisse nimetav asutus
            Ametisse nimetav asutus konsulteerib andmekaitseametnikuga kõikide selliste taotluste või kaebuste asjus, mis on esitatud kooskõlas personalieeskirjade artikliga 90 seoses määruse kohaldamisega.
         
         
            Artikkel 11
            Euroopa välisteenistuse töötajad
            
               1.   Kõik Euroopa välisteenistuse töötajad peavad kohaldama isikuandmete töötlemise konfidentsiaalsust ja turvalisust käsitlevaid eeskirju, mis on sätestatud määruse artiklites 33, 34 ja 35. Euroopa välisteenistuse töötaja, kellel on juurdepääs isikuandmetele, tohib neid andmeid töödelda üksnes vastutava töötleja ülesandel.
            
            
               2.   Kõik Euroopa välisteenistuse töötajad peavad oma vahetule ülemusele teatama, kui neil on vaja isikuandmeid töödelda, et vastutavad töötlejad saaksid dokumenteerida sellise töötlemise oma andmekaitseregistrites ja koostada vajalikud andmekaitseteatised.
            
            
               3.   Kõik Euroopa välisteenistuse töötajad võivad esitada taotluse või küsimuse, sealhulgas teatada andmekaitseametnikule väidetavast andmetega seotud rikkumisest või esitada Euroopa Andmekaitseinspektorile kaebuse määruse või käesoleva otsuse väidetava rikkumise kohta, ilma et sellest oleks vaja teavitada vahetuid ülemusi.
            
            
               4.   Kui töötaja arvates ei taga kolmas riik, kolmanda riigi territoorium või selle üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon isikuandmete kaitse piisavat taset Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (3) artikli 45 lõike 3 või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (4) artikli 36 lõike 3 tähenduses, peab ta sellest teavitama andmekaitseametnikku.
            
         
         4. JAGU
         
            MEETMED JA MENETLUSED
         
         
            Artikkel 12
            Turvameetmed, lõimitud andmekaitse ja vaikimisi andmekaitse
            
               1.   Kaitsemeetmed, tehnilised meetmed ja korralduslikud meetmed andmetega seotud rikkumiste, andmelekete või andmete loata avalikustamise vältimiseks hõlmavad alljärgnevat:
               
                           a)
                        
                        
                           rollide, vastutusvaldkondade ja menetlusetappide nõuetekohane kindlaksmääramine;
                        
                     
                           b)
                        
                        
                           turvaline elektrooniline keskkond, mis välistab ebaseadusliku või juhusliku juurdepääsu elektroonilistele andmetele või elektrooniliste andmete edastamise volitamata isikutele ning milles sisalduvatesse IT-rakendustesse on lõimitud turvameetmed;
                        
                     
                           c)
                        
                        
                           paberkandjal dokumentide turvaline töötlemine ja säilitamine;
                        
                     
                           d)
                        
                        
                           elektrooniline ja füüsiline juurdepääs on üksnes volitatud töötajatel neile individuaalselt määratud pääsuõiguste alusel.
                        
                     
            
               2.   Enne andmetöötlustoimingute kavandamist rakendavad vastutavad töötlejad lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtet, nagu on osutatud määruse artiklis 27. Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtete rakendamiseks võib vastutav töötleja konsulteerida andmekaitseametniku ja teiste asjaomaste talitustega, sealhulgas IT-osakonna ja IT-turbe talitusega.
            
         
         
            Artikkel 13
            Andmetega seotud rikkumisest teavitamine
            Kui vastutav töötleja või volitatud töötleja on teada saanud vahejuhtumist, eeskätt turvanõuete rikkumisest, mis põhjustab edastatud, säilitatud või muul viisil töödeldud isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“), teavitab ta sellest viivitamata andmekaitseametnikku ja 72 tunni jooksul Euroopa Andmekaitseinspektorit ning dokumenteerib vahejuhtumi nõuetekohaselt.
         
         
            Artikkel 14
            Andmekaitseametniku tehtavad uurimised ning taotluste ja kaebuste menetlemine
            
               1.   Andmekaitseametnik võib omal äranägemisel või taotluse korral algatada uurimise määrusest tulenevate kohustuste väidetava rikkumise kohta. Taotlused edastatakse andmekaitseametnikule kirjalikult.
            
            
               2.   Andmekaitseametnik võib asjaomase andmetöötlustoiminguga seotud vastutavalt töötlejalt taotleda küsimuse kohta kirjalikku avaldust. Vastutav töötleja peab andmekaitseametnikule vastama 14 kalendripäeva jooksul alates taotluse kättesaamisest. Andmekaitseametnik võib teistelt Euroopa välisteenistuse talitustelt, eeskätt IT-osakonnalt, turvalisuse direktoraadilt ning haldusuurimiste ja distsiplinaarmenetlustega tegelevalt peadirektoraadilt taotleda juurdepääsu täiendava(te)le teabele, dokumentidele, andmekandjatele, andmekeskustele, tööruumidele ja süsteemidele. Andmekaitseametnikule esitatakse teave või arvamus 14 kalendripäeva jooksul.
            
            
               3.   Kui taotlus on selgelt põhjendamatu, solvav ja ülemäärane, iseäranis juhul, kui andmesubjekt on esitanud korduvalt samasisulisi taotlusi, võib andmekaitseametnik kooskõlas määruse artikliga 14 keelduda meetmete võtmisest taotluse alusel. Taotlejat teavitatakse nõuetekohaselt.
            
         
         5. JAGU
         
            ANDMESUBJEKTIDE ÕIGUSTE KASUTAMISE KORD
         
         
            Artikkel 15
            Üldsätted
            
               1.   Andmesubjektid võivad pöörduda vastutava töötleja või andmekaitseametniku poole sooviga kasutada oma õigusi kooskõlas määruse artiklitega 14–24.
            
            
               2.   Andmesubjektide õiguste kasutamise taotlused tuleb esitada kirjalikult. Vajaduse korral aitab andmekaitseametnik andmesubjektil kindlaks teha asjaomase vastutava töötleja. Andmekaitseametnik edastab kõik saadud taotlused asjaomasele vastutavale töötlejale, kes võib andmekaitseametnikuga konsulteerida.
            
            
               3.   Vastutavad töötlejad menetlevad taotlust ja vastavad andmesubjektile otse.
            
         
         
            Artikkel 16
            Andmesubjekti õiguste kasutamise taotluste menetlemine
            
               1.   Vastutavad töötlejad võtavad taotluse alusel meetmeid üksnes pärast seda, kui on kontrollitud taotleja isikusamasus või, kui taotluse on esitanud andmesubjekti esindaja, esitatud andmesubjekti volitus.
            
            
               2.   Isikuandmete töötlemise toimingu eest vastutav töötleja saadab taotlejale kättesaamiskinnituse 14 kalendripäeva jooksul pärast seda, kui Euroopa välisteenistus on taotluse kätte saanud. Vastutav töötleja vastab taotlusele ühe kuu jooksul alates taotluse registreerimisest, välja arvatud juhul, kui on sätestatud teisiti. Vastutav töötleja teatab taotluse rahuldamisest või esitab kirjalikult täieliku või osalise keeldumise põhjused. Kooskõlas määruse artikli 14 lõikega 3 võib vastamistähtaega kahe kuu võrra pikendada, võttes arvesse küsimuse keerukust ja esitatud taotluste hulka.
            
            
               3.   Andmesubjekti taotluse rahuldamisest tohib keelduda, kui:
               
                           a)
                        
                        
                           taotlus ei ole põhjendatud;
                        
                     
                           b)
                        
                        
                           kohaldatav on mõni määruses sätestatud erand;
                        
                     
                           c)
                        
                        
                           kohaldatav on määruse artikli 25 alusel vastu võetud sise-eeskirjade (5) kohane piirang.
                        
                     
            
               4.   Kui taotlus on selgelt põhjendamatu, solvav ja ülemäärane, iseäranis juhul, kui andmesubjekt on esitanud korduvalt samasisulisi taotlusi, võib vastutav töötleja pärast andmekaitseametnikuga konsulteerimist kooskõlas määruse artikliga 14 keelduda meetmete võtmisest taotluse alusel. Taotlejat teavitatakse nõuetekohaselt.
            
         
         
            Artikkel 17
            Erandid ja piirangud
            Määruse artikli 25 alusel vastu võetud sise-eeskirjade kohaseid piiranguid ning määruse artiklites 15–19 ja 21–24 sätestatud erandeid kohaldatakse üksnes pärast andmekaitseametnikuga konsulteerimist.
         
         6. JAGU
         
            LÕPPSÄTTED
         
         
            Artikkel 18
            Käesolevast otsusest teavitamine
            
               1.   Kooskõlas määruse artikliga 41 teatatakse käesolevast otsusest Euroopa Andmekaitseinspektorile.
            
            
               2.   Käesolev otsus tehakse asjakohaste vahendite abil kättesaadavaks Euroopa välisteenistuse töötajatele, eelkõige avaldades selle Euroopa välisteenistuse siseveebisaidil.
            
         
         
            Artikkel 19
            Kehtetuks tunnistamine
            Liidu välisasjade ja julgeolekupoliitika kõrge esindaja 8. detsembri 2011. aasta otsus PROC HR(2011) 016 andmekaitse-eeskirjade kohta tunnistatakse kehtetuks.
         
         
            Artikkel 20
            Jõustumine
            Käesolev otsus jõustub selle vastuvõtmisele järgneval päeval.
         
         
            Brüssel, 1. oktoober 2019
            
               Federica MOGHERINI
               
                  Kõrge esindaja
               
            
         
         
            (1)  ELT L 201, 3.8.2010, lk 30.
         
            (2)  ELT L 295, 21.11.2018, lk 39.
         
            (3)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).
         
            (4)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).
         
            (5)  Liidu välisasjade ja julgeolekupoliitika kõrge esindaja otsus sise-eeskirjade kohta, milles käsitletakse andmesubjektide teatavate õiguste piiramist seoses isikuandmete töötlemisega Euroopa välisteenistuse tegevuse raames (ADMIN(2019) 10).