Articolul 1
Obiect și domeniu de aplicare
(1) În conformitate cu articolul 45 alineatul (3) din regulament, prezenta decizie stabilește sarcinile, atribuțiile și competențele responsabilului cu protecția datelor (denumit în continuare „RPD”) din cadrul SEAE.
(2) Prezenta decizie specifică totodată procedurile interne și responsabilitățile operatorilor de date și ale persoanelor împuternicite de operatori, precum și rolul, sarcinile și atribuțiile coordonatorilor și ale corespondenților pentru protecția datelor, în special în temeiul articolelor 26 și 29 din regulament.
Articolul 2
Definiții
În sensul prezentei decizii și fără a aduce atingere definițiilor prevăzute de regulament:
(a) „operator de date” înseamnă SEAE sau entitățile sale organizaționale, inclusiv delegațiile UE, care, singure sau împreună cu altele, stabilesc scopurile și mijloacele de prelucrare a datelor cu caracter personal;
(b) „reprezentantul operatorului de date” înseamnă membrii conducerii SEAE sau șefii entităților organizaționale care supraveghează entitățile acționând ca operator de date menționate la litera (a) de mai sus și care sunt responsabili și răspunzători pentru prelucrarea datelor cu caracter personal;
(c) „operator de date delegat” înseamnă un serviciu sau membri ai personalului din cadrul entității organizaționale acționând ca operator de date, care are drept sarcină gestionarea activității de prelucrare a datelor cu caracter personal;
(d) „operatori de date asociați” înseamnă două sau mai multe entități organizaționale care stabilesc împreună scopurile și mijloacele de prelucrare a datelor cu caracter personal, precum și rolurile și responsabilitățile operatorilor de date, inclusiv atribuțiile acestora în legătură cu exercitarea drepturilor persoanei vizate, în special în cazurile în care SEAE controlează prelucrarea în comun cu alte instituții, organe, agenții, oficii ale UE sau cu orice alte entități;
(e) „responsabilul cu protecția datelor (RPD)” înseamnă membrul personalului SEAE desemnat de SEAE, în conformitate cu articolul 43 din regulament, pentru a sprijini operatorii de date, pentru a le oferi informații și consiliere;
(f) «coordonatorul și corespondentul pentru protecția datelor („CPD”)» înseamnă membri ai personalului SEAE de la sediu și, respectiv, din delegațiile UE, desemnați pentru a furniza asistență operatorilor de date în chestiuni legate de protecția datelor;
(g) „persoana împuternicită de operator” înseamnă o entitate, din interiorul sau din afara SEAE, care prelucrează datele cu caracter personal în numele operatorului de date;
(h) „avize privind protecția datelor” înseamnă avize, precum declarații de confidențialitate, prin care operatorul de date furnizează informații persoanelor vizate în temeiul articolelor 15 și 16 din regulament;
(i) „personalul SEAE” înseamnă, în conformitate cu articolul 6 din Decizia Consiliului privind SEAE, funcționarii și alți agenți ai UE care lucrează pentru SEAE, inclusiv personalul din cadrul serviciilor diplomatice ale statelor membre ale UE, experții naționali detașați și stagiarii.
Articolul 3
Desemnarea responsabilului cu protecția datelor
(1) Secretarul general al SEAE îl desemnează pe RPD din rândul personalului SEAE, în conformitate cu articolul 43 din regulament, și îl înregistrează la Autoritatea Europeană pentru Protecția Datelor (denumită în continuare „AEPD”).
(2) Pe lângă cerințele prevăzute la articolul 43 alineatul (3) din regulament, RPD trebuie să cunoască temeinic serviciile SEAE, structura acestora, sistemele de informare, normele și procedurile administrative. RPD trebuie să aibă cunoștințe de specialitate în domeniul protecției datelor, spirit de discernământ și capacitatea de a menține o poziție imparțială și obiectivă, în conformitate cu Statutul funcționarilor.
(3) RPD este desemnat pentru un mandat de cinci ani și este eligibil pentru reînnoirea mandatului.
(4) RPD poate fi demis doar cu consimțământul AEPD, în cazul în care nu mai îndeplinește condițiile necesare pentru exercitarea atribuțiilor sale.
(5) RPD este subordonat administrativ secretarului general.
(6) Datele de contact ale RPD sunt publicate pe site-ul de intranet al SEAE și pe site-ul web extern al SEAE și sunt comunicate AEPD.
Articolul 4
Funcția responsabilului cu protecția datelor
(1) RPD acționează independent și în cooperare cu AEPD. SEAE nu îi transmite RPD instrucțiuni în ceea ce privește exercitarea atribuțiilor sale.
(2) RPD nu poate fi demis sau sancționat pentru exercitarea atribuțiilor sale.
(3) RPD este informat cu privire la toate contactele cu părțile externe în ceea ce privește aplicarea regulamentului și a prezentei decizii, în special cu privire la orice interacțiune cu AEPD și cu membrii rețelei de RPD din instituțiile, organele, oficiile și agențiile UE.
(4) Persoanele vizate îl pot contacta pe RPD cu privire la orice aspect legat de prelucrarea datelor lor cu caracter personal sau de exercitarea drepturilor lor în temeiul regulamentului.
(5) RPD poate fi consultat de către operatorul de date sau de către reprezentantul acestuia, de către Comitetul pentru personal și de către orice membru al personalului cu privire la orice chestiune referitoare la interpretarea sau aplicarea regulamentului, fără a fi necesar să se treacă prin canale oficiale. Nimeni nu trebuie să sufere un prejudiciu ca urmare a sesizării RPD cu privire la o anumită chestiune.
Articolul 5
Sarcinile responsabilului cu protecția datelor
RPD:
(a) este consultat cu privire la toate aspectele având legătură cu protecția datelor cu caracter personal;
(b) furnizează orientări și consiliere în mod proactiv entităților din cadrul SEAE și contractanților acestora care desfășoară activități de prelucrare a datelor cu caracter personal cu privire la modul de punere în aplicare a regulamentului și a prezentei decizii, inclusiv consultare referitoare la notificările privind încălcarea securității datelor cu caracter personal, evaluările impactului și necesitatea consultării prealabile a AEPD;
(c) păstrează un contact regulat cu operatorii de date pentru a monitoriza respectarea normelor în materie de protecție a datelor și pentru a-i sprijini în îndeplinirea sarcinilor lor, în special pentru a contribui la elaborarea și publicarea avizelor privind protecția datelor și pentru a răspunde cererilor depuse de persoanele vizate;
(d) menține un contact regulat cu CPD de la sediul SEAE și din delegațiile UE și gestionează rețeaua CPD din cadrul SEAE;
(e) sensibilizează publicul larg cu privire la protecția generală a datelor, organizează sesiuni de formare și de informare;
(f) cooperează cu RPD ai altor instituții, organe, oficii și agenții ale UE, în special prin schimburi de experiență și de bune practici;
(g) ține un registru central al activităților de prelucrare desfășurate de SEAE pe baza evidențelor întocmite de operatorii de date în conformitate cu articolul 31 din regulament și pune registrul la dispoziția publicului;
(h) contribuie la asigurarea reprezentării Înaltului Reprezentant sau a SEAE la nivel internațional cu privire la toate aspectele legate de protecția datelor.
Articolul 6
Competențe
În îndeplinirea sarcinilor sale, RPD:
(a) are acces în orice moment la datele prelucrate de entitățile din cadrul SEAE și de contractanții acestora, precum și la toate birourile, centrele de prelucrare a datelor și suporturile de date;
(b) își prezintă avizul autorității împuternicite să facă numiri înainte de luarea oricărei decizii privind aspectele legate de aplicarea dispozițiilor privind protecția datelor;
(c) poate propune măsuri administrative și poate formula recomandări generale privind aplicarea adecvată a regulamentului și a prezentei decizii;
(d) poate adresa conducerii SEAE, personalului și oricărei părți externe relevante recomandări privind îmbunătățirea practică a protecției datelor;
(e) poate ancheta aspecte legate de protecția datelor și, pe lângă persoana care a solicitat ancheta sau a depus plângerea, poate raporta rezultatul anchetei operatorului de date și oricărui membru relevant al conducerii SEAE;
(f) poate elabora modele și proceduri, instrucțiuni sau politici interne pentru a oferi orientări operatorilor de date și persoanelor împuternicite de operatori;
(g) poate recurge la serviciile unor experți externi, inclusiv ale unor specialiști în domeniul tehnologiei informațiilor;
(h) poate aduce în atenția autorității împuternicite să facă numiri a SEAE orice nerespectare de către un membru al personalului a obligațiilor care îi revin în temeiul regulamentului și al prezentei decizii și poate propune inițierea unei anchete administrative;
(i) poate emite orientări interne privind protecția datelor (Notele de orientare ale RPD) care trebuie luate în considerare la prelucrarea datelor cu caracter personal.
Articolul 7
Resurse
(1) RPD trebuie să dispună de personalul adecvat și de resursele necesare pentru îndeplinirea sarcinilor menționate la articolul 5 din prezenta decizie.
(2) Toți membrii personalului SEAE îl sprijină pe RPD în îndeplinirea sarcinilor menționate la articolul 5 din prezenta decizie; în special operatorii de date și persoanele împuternicite de operatori trebuie să furnizeze informațiile solicitate cu privire la activitățile de prelucrare a datelor și accesul la datele cu caracter personal și trebuie să pregătească proiecte de răspunsuri la cererile persoanelor vizate care își exercită dreptul de acces, de modificare și de ștergere primite de RPD, dar au legătură cu activitățile de prelucrare pentru care este responsabil operatorul de date.
(3) RPD poate avea un adjunct sau un asistent RPD, precum și personal administrativ și sprijin de secretariat, după caz. RPD poate recurge, de asemenea, la alte entități din cadrul SEAE sau la entități contractate și experți externi.
(4) După ce este desemnat, adjunctul sau asistentul RPD îl sprijină pe RPD în îndeplinirea sarcinilor sale și îl poate reprezenta pe acesta în caz de absență. Articolele 4, 5 și 6 din prezenta decizie se aplică și adjunctului sau asistentului RPD.
(5) RPD trebuie să aibă localuri adecvate în care să se poată garanta securitatea și confidențialitatea informațiilor, inclusiv a datelor cu caracter personal, precum și stocarea și arhivarea adecvată a datelor și a documentelor.
(6) RPD trebuie să aibă la dispoziție un instrument electronic care poate (i) să gestioneze evidențele activităților de prelucrare a datelor cu caracter personal în conformitate cu articolul 31 din regulament și (ii) să stocheze avizele privind protecția datelor, notificările privind încălcarea securității datelor, evaluările impactului asupra protecției datelor, cererile persoanelor vizate și evidențele transferurilor de date.
(7) SEAE îl sprijină pe RPD să își mențină și să își extindă cunoștințele de specialitate, printre altele, facilitându-i participarea la cursuri de formare interinstituționale sau externe, la conferințe sau evenimente legate de protecția datelor și la reuniuni și cursuri de formare organizate de AEPD și de rețeaua de RPD din instituțiile, organele, oficiile și agențiile UE.
Articolul 8
Operatorii de date și persoanele împuternicite de operatori
(1) Operatorii de date delegați, reprezentanții operatorilor de date și ai persoanelor împuternicite de operatori sunt responsabili, în numele operatorului de date, să se asigure că toate activitățile de prelucrare desfășurate sub controlul lor respectă regulamentul, în special articolul 26, precum și dispozițiile prezentei decizii. Aceștia pot încredința, după caz, sarcini de prelucrare a datelor personalului SEAE care își desfășoară activitatea sub responsabilitatea lor sau unor entități contractate, în conformitate cu articolul 29 din regulament.
(2) În special, operatorii de date: (a) se asigură și demonstrează că prelucrarea este efectuată în conformitate cu regulamentul și cu prezenta decizie și sunt responsabili pentru acest lucru; (b) consemnează toate activitățile de prelucrare și toate modificările substanțiale ale unei activități de prelucrare existente; (c) se asigură că persoanele vizate sunt informate cu privire la prelucrarea datelor lor în conformitate cu articolele 15 și 16 din regulament, prin publicarea de avize privind protecția datelor; (d) cooperează cu RPD și cu AEPD, în special furnizându-le informații ca răspuns la cererile acestora în termen de 14 zile calendaristice de la data cererii; (e) îl informează pe RPD atunci când este utilizat un contractant pentru prelucrarea datelor cu caracter personal în numele operatorului de date; (f) desemnează un CPD, îl sprijină în îndeplinirea sarcinilor sale și îl informează pe RPD cu privire la orice schimbare a persoanei sau a funcției CPD; (g) îl consultă pe RPD cu privire la conformitatea activităților de prelucrare cu regulamentul și cu prezenta decizie. Operatorii de date îl pot consulta pe RPD sau alți experți cu privire la aspecte legate de confidențialitatea, disponibilitatea și integritatea activităților de prelucrare, precum și la măsurile de securitate adoptate în temeiul articolului 33 din regulament.
(3) Operatorii de date pot recurge la alte entități din cadrul SEAE sau la entități contractate ca persoane împuternicite de operatori, în conformitate cu dispozițiile regulamentului, cu condiția să precizeze în evidențele lor cine este persoana împuternicită de operator, să specifice sarcinile care i-au fost încredințate și măsurile de securitate adoptate.
(4) Operatorul de date se asigură că RPD este informat fără întârziere referitor la: (a) toate aspectele care au sau ar putea avea implicații în materie de protecție a datelor; (b) toate comunicările și deciziile conducerii SEAE referitoare la aplicarea regulamentului, în special orice interacțiune cu AEPD.
Articolul 9
Coordonatorul și corespondentul pentru protecția datelor
(1) În funcție de dimensiunea lor și de tipul de date cu caracter personal prelucrate, entitățile organizaționale ale SEAE trebuie să aibă un CPD care să acționeze ca punct de contact pentru protecția datelor. Fiecare direcție generală sau direcție de la sediul SEAE și fiecare delegație a UE desemnează un coordonator pentru protecția datelor sau un corespondent pentru protecția datelor. Toate departamentele care prelucrează în mod regulat o cantitate mare de date cu caracter personal, categorii speciale de date sau date cu caracter personal sensibile, a căror prelucrare prezintă un risc ridicat, trebuie să desemneze, de asemenea, propriul CPD. Funcția de CPD este atribuită unui post care îi permite persoanei ce îl ocupă să aibă o privire de ansamblu a activităților entității.
(2) CPD trebuie să aibă competențele necesare și să dobândească cunoștințe cu privire la protecția datelor. CPD beneficiază de un curs introductiv de formare privind protecția datelor și poate participa la sesiuni de informare și la reuniunile rețelei CPD.
(3) CPD: (a) fără a aduce atingere responsabilităților RPD, acordă asistență operatorilor de date în îndeplinirea obligațiilor care le revin; (b) facilitează comunicarea dintre RPD și operatorii de date; (c) acționează ca punct de contact pentru aspectele legate de protecția datelor în serviciul lor și asigură legătura cu RPD; (d) își informează colegii și le oferă sprijin cu privire la aspectele legate de prelucrarea datelor cu caracter personal; (e) transmite personalului informații privind evenimentele de sensibilizare și sesiunile de formare; (f) colaborează cu RPD pentru a crea și a actualiza un inventar al activităților existente și noi de prelucrare a datelor cu caracter personal; (g) îl contactează și îl informează pe RPD cu privire la toate datele cu caracter personal prelucrate în cadrul serviciului; (h) acordă asistență pentru identificarea operatorilor de date delegați relevanți și a persoanelor împuternicite de operatori; (i) ține evidențe în domeniul său de competență; (j) sprijină operatorii de date în stabilirea și revizuirea evidențelor și în elaborarea avizelor privind protecția datelor; (k) contribuie la verificările conformității și la evaluările impactului; (l) se asigură că avizele relevante privind protecția datelor sunt publicate și utilizate în mod corect de către serviciile sale; (m) îi notifică RPD orice încălcare a securității datelor; (n) pregătește, în cooperare cu RPD, răspunsul la cererile persoanelor vizate care își exercită drepturile, tratează plângerile și chestiunile legate de activitățile de prelucrare a datelor în serviciul său.
(4) CPD are dreptul să obțină informațiile necesare pentru identificarea activităților de prelucrare a datelor cu caracter personal și să îl consulte pe RPD în numele serviciului său. Acest drept nu include dreptul de acces la datele cu caracter personal a căror prelucrare intră în responsabilitatea operatorului de date.
Articolul 10
Autoritatea împuternicită să facă numiri
Autoritatea împuternicită să facă numiri îl consultă pe RPD cu privire la toate cererile sau plângerile în temeiul articolului 90 din Statutul funcționarilor având legătură cu aplicarea regulamentului.
Articolul 11
Personalul SEAE
(1) Toți membrii personalului SEAE aplică normele de confidențialitate și de securitate pentru prelucrarea datelor cu caracter personal prevăzute la articolele 33, 34 și 35 din regulament. Personalul SEAE care are acces la date cu caracter personal nu prelucrează datele respective decât dacă primește instrucțiuni de la operatorii de date.
(2) Toți membrii personalului SEAE își informează superiorul ierarhic atunci când trebuie să prelucreze date cu caracter personal pentru ca operatorii de date să poată consemna prelucrarea în evidențele lor privind protecția datelor și să pregătească avizele necesare privind protecția datelor.
(3) Toți membrii personalului SEAE pot depune o cerere sau semnala o problemă, inclusiv o presupusă încălcare a securității datelor, prin sesizarea RPD, sau pot depune o plângere la AEPD cu privire la o presupusă încălcare a regulamentului sau a prezentei decizii, fără a fi necesară informarea superiorilor lor ierarhici.
(4) În cazul în care un membru al personalului consideră că o țară terță, un teritoriu sau unul sau mai multe sectoare specificate dintr-o țară terță ori o organizație internațională nu asigură un nivel adecvat de protecție în sensul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (3) sau al articolului 36 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și al Consiliului (4), acesta îl informează pe RPD.
Articolul 12
Măsuri de securitate și protecția datelor începând cu momentul conceperii și în mod implicit
(1) Măsurile de salvgardare, măsurile tehnice și organizatorice de evitare a încălcării securității datelor, a scurgerilor de date sau a divulgării neautorizate includ: (a) o definire adecvată a rolurilor, a responsabilităților și a etapelor procedurale; (b) un mediu electronic sigur, care împiedică accesul ilegal sau accidental ori transferul de date electronice către persoane neautorizate, cu măsuri de siguranță integrate în diferitele aplicații informatice utilizate; (c) prelucrarea și stocarea în condiții de siguranță a documentelor pe suport de hârtie; (d) accesul electronic și fizic permis numai personalului autorizat, cu drepturi de acces acordate în mod individual.
(2) Înainte de conceperea activităților de prelucrare a datelor, operatorii de date pun în aplicare protecția datelor începând cu momentul conceperii și în mod implicit, astfel cum se prevede la articolul 27 din regulament. Pentru a pune în aplicare principiul protecției datelor începând cu momentul conceperii și în mod implicit, operatorul de date îl poate consulta pe RPD și alte servicii relevante, inclusiv serviciile informatice și de securitate informatică.
Articolul 13
Notificările privind încălcarea securității datelor
După ce a luat cunoștință de un incident, în special de o încălcare a securității, care a dus la distrugerea accidentală sau ilegală, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transferate, stocate sau prelucrate în alt mod („încălcarea securității datelor cu caracter personal”), operatorul de date sau persoana împuternicită de operator îl informează imediat pe RPD și în termen de 72 de ore informează AEPD și documentează incidentul în mod corespunzător.
Articolul 14
Investigații și tratarea cererilor și a plângerilor de către RPD
(1) RPD poate iniția o investigație privind o presupusă încălcare a obligațiilor prevăzute în regulament, din proprie inițiativă sau la cerere. Cererile se adresează RPD în scris.
(2) RPD îi poate solicita operatorului de date responsabil de activitatea relevantă de prelucrare a datelor să formuleze o declarație scrisă privind chestiunea. Operatorul de date îi răspunde RPD în termen de 14 zile calendaristice de la primirea cererii. RPD poate solicita accesul la alte informații, documente, suporturi de date, centre de date, sedii și sisteme de la alte servicii ale SEAE, în special de la departamentul informatic, direcția de securitate și direcția generală care se ocupă de anchetele administrative și de procedurile disciplinare. RPD trebuie să primească informațiile sau avizul în termen de 14 zile calendaristice.
(3) În cazul cererilor vădit nefondate, abuzive și excesive, în special în cazul cererilor repetate depuse de aceeași persoană vizată, RPD poate refuza să dea curs cererii în temeiul articolului 14 din regulament. Persoana vizată care a depus cererea este informată în consecință.
Articolul 15
Dispoziții generale
(1) Persoanele vizate se pot adresa operatorului de date sau RPD pentru a-și exercita drepturile în conformitate cu articolele 14-24 din regulament.
(2) Cererile de exercitare a drepturilor persoanelor vizate se formulează în scris. După caz, RPD îi acordă persoanei vizate asistență pentru a identifica operatorul de date relevant. RPD transmite toate cererile primite operatorului de date relevant, care îl poate consulta pe RPD.
(3) Operatorii de date prelucrează cererea și răspund direct persoanei vizate.
Articolul 16
Prelucrarea cererilor de exercitare a drepturilor persoanelor vizate
(1) Operatorii de date răspund cererii numai după ce identitatea solicitantului a fost verificată sau, în cazul unei cereri depuse de un reprezentant al persoanei vizate, după ce autorizația din partea persoanei vizate a fost acordată.
(2) Operatorul de date responsabil de activitatea de prelucrare a datelor transmite solicitantului o confirmare de primire în termen de 14 zile calendaristice de la primirea cererii de către SEAE. Cu excepția cazului în care se prevede altfel, operatorul de date răspunde cererii în termen de 1 lună de la înregistrarea cererii. Operatorul de date fie dă un răspuns pozitiv cererii, fie precizează în scris motivele respingerii parțiale sau totale. Termenul de răspuns poate fi prelungit cu până la 2 luni suplimentare, luând în considerare complexitatea chestiunii și numărul de cereri depuse, în conformitate cu articolul 14 alineatul (3) din regulament.
(3) Cererea persoanei vizate poate fi refuzată dacă: (a) cererea nu este justificată; (b) se aplică o excepție prevăzută în regulament; (c) se aplică o restricție în conformitate cu normele interne (5) adoptate în temeiul articolului 25 din regulament.
(4) În cazul cererilor vădit nefondate, abuzive și excesive, în special în cazul cererilor repetate depuse de aceeași persoană vizată, operatorul de date, după consultarea RPD, poate refuza să dea curs cererii în temeiul articolului 14 din regulament. Persoana vizată care a depus cererea este informată în consecință.
Articolul 17
Excepții și restricții
Restricțiile prevăzute de normele interne adoptate în temeiul articolului 25 din regulament și excepțiile prevăzute la articolele 15-19 și 21-24 din regulament se aplică numai după consultarea RPD.
Articolul 18
Comunicarea privind prezenta decizie
(1) În conformitate cu articolul 41 din regulament, AEPD este informată privind prezenta decizie.
(2) Prezenta decizie este pusă la dispoziția personalului SEAE prin mijloace adecvate, în special prin publicarea acesteia pe site-ul web intern al SEAE.
Articolul 19
Abrogare
Decizia PROC HR(2011) 016 a Înaltului Reprezentant al Uniunii pentru afaceri externe și politica de securitate din 8 decembrie 2011 privind normele referitoare la protecția datelor se abrogă.
Articolul 20
Efecte
Prezenta decizie produce efecte din ziua următoare datei adoptării.