Document UE

având în vedere Decizia Consiliului din 26 iulie 2010 privind organizarea și funcționarea Serviciului European de Acțiune Externă (2010/427/UE), (Decizia Consiliului privind SEAE), în special articolul 11 alineatul (3),

SECȚIUNEA 1

Prezenta decizie stabilește normele de aplicare a Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului (regulamentul) în ceea ce privește Serviciul European de Acțiune Externă (SEAE), în conformitate cu articolul 24 alineatul (8).

În sensul prezentei decizii și fără a aduce atingere definițiilor prevăzute de regulament:

operator înseamnă SEAE, directorii săi generali, directorii sau șefii de servicii de o mărime echivalentă sau cu o funcție echivalentă, precum și șefii delegațiilor Uniunii, care, în mod individual sau în comun cu alte entități, stabilesc scopurile și mijloacele de prelucrare a datelor cu caracter personal;

coordonator pentru protecția datelor înseamnă un membru al personalului SEAE de categorie AD desemnat să coordoneze aspectele legate de protecția datelor și să acorde asistență cu privire la acestea la nivelul direcțiilor sau al serviciilor de o mărime echivalentă sau cu o funcție echivalentă, precum și în delegațiile Uniunii, dacă este necesar;

persoană împuternicită de către operator înseamnă un membru al personalului SEAE sau entități contractante însărcinate cu prelucrarea datelor de către operator;

personal al SEAE înseamnă, în conformitate cu articolul 6 din Decizia Consiliului privind SEAE, funcționarii și alți agenți ai Uniunii Europene care lucrează pentru SEAE, inclusiv personalul din cadrul serviciilor diplomatice ale statelor membre numiți în calitate de agenți temporari și experții naționali detașați specializați.

SECȚIUNEA 2

Directorul general administrativ selectează și numește responsabilul cu protecția datelor, în conformitate cu articolul 24 alineatul (2) din regulament, și transmite numele acestuia Autorității Europene pentru Protecția Datelor (AEPD). Responsabilul cu protecția datelor este subordonat în mod direct directorului general administrativ.

Mandatul responsabilului cu protecția datelor este de cinci ani și poate fi reînnoit o singură dată.

În ceea ce privește îndeplinirea atribuțiilor sale, responsabilul cu protecția datelor acționează în mod independent și în cooperare cu AEPD. În special, responsabilul cu protecția datelor nu poate primi instrucțiuni de la autoritatea împuternicită să facă numiri în cadrul SEAE sau de la orice altă entitate cu privire la aplicarea internă a dispozițiilor regulamentului și ale prezentei decizii sau cu privire la cooperarea sa cu AEPD. Responsabilul cu protecția datelor participă în mod periodic la sesiuni de formare în materie de protecție a datelor și directorul general administrativ ia măsurile necesare în acest sens.

Directorul general administrativ evaluează anual îndeplinirea de către responsabilul cu protecția datelor a sarcinilor și a atribuțiilor sale, în special pe baza raportului anual al responsabilului cu protecția datelor, după consultarea AEPD, dacă este cazul. Responsabilul cu protecția datelor poate fi demis doar cu consimțământul AEPD, în cazul în care nu mai îndeplinește condițiile necesare pentru îndeplinirea atribuțiilor sale.

Fără a aduce atingere procedurii prevăzute pentru numirea sa, responsabilul cu protecția datelor este informat cu privire la toate contactele cu părți externe privind aplicarea regulamentului și a prezentei decizii, în special referitor la interacțiunea cu AEPD.

Fără a aduce atingere dispozițiilor relevante ale regulamentului, responsabilul cu protecția datelor și personalul său fac obiectul normelor și reglementărilor aplicabile funcționarilor și altor agenți ai Uniunii Europene.

Responsabilul cu protecția datelor:

asigură că operatorii, coordonatorii pentru protecția datelor și persoanele vizate sunt informate cu privire la drepturile și obligațiile care le revin în temeiul regulamentului și al prezentei decizii și că drepturile și libertățile persoanelor vizate nu sunt susceptibile să fie afectate în mod negativ de operațiunile de prelucrare. Pentru îndeplinirea acestei sarcini, responsabilul cu protecția datelor întocmește, în special, formulare de informare și notificare, consultă părțile interesate și contribuie la creșterea gradului de conștientizare la nivel general cu privire la aspectele legate de protecția datelor;

răspunde solicitărilor venite din partea AEPD și, în sfera sa de competență, cooperează cu AEPD, la cererea acesteia din urmă sau din proprie inițiativă;

asigură în mod independent aplicarea internă a dispozițiilor regulamentului și ale prezentei decizii în cadrul SEAE;

ține un registru al tuturor operațiunilor de prelucrare efectuate de SEAE și acordă acces oricărei persoane la acest registru, în mod direct sau indirect, prin intermediul AEPD, în conformitate cu articolele 14 și 15; un astfel de registru poate fi, de asemenea, ținut în format electronic;

notifică AEPD cu privire la operațiunile de prelucrare susceptibile de a prezenta riscurile specifice menționate la articolul 27 alineatul (2) din regulament.

În plus față de atribuțiile care trebuie îndeplinite astfel cum se prevede la articolul 4, responsabilul cu protecția datelor:

acționează în calitate de consilier pentru autoritatea împuternicită să facă numiri în cadrul SEAE și pentru operatori cu privire la aspecte referitoare la aplicarea regulamentului și a prezentei decizii. Responsabilul cu protecția datelor poate fi consultat de autoritatea împuternicită să facă numiri, de operatorii în cauză și de persoanele în cauză împuternicite de către operator, de Comitetul personalului și de orice membru al personalului SEAE, fără a recurge la căi oficiale, în orice aspect referitor la interpretarea sau aplicarea regulamentului și a prezentei decizii;

la inițiativa sa sau la inițiativa autorității împuternicite să facă numiri, a operatorilor, a persoanelor împuternicite de către operator, a Comitetului personalului sau a oricărui membru al personalului SEAE, investighează aspecte și situații legate direct de sarcinile sale și care îi sunt aduse la cunoștință și răspunde autorității împuternicite să facă numiri sau persoanei care a solicitat investigația. În cazul în care se consideră necesar, toate celelalte părți în cauză ar trebui informate în mod corespunzător. Dacă reclamantul este o persoană fizică sau în cazul în care reclamantul acționează în numele unei persoane fizice, responsabilul cu protecția datelor trebuie să asigure confidențialitatea cererii, în măsura în care acest lucru este posibil, cu excepția cazului în care persoana vizată își dă consimțământul neechivoc de a trata în alt mod cererea sa;

cooperează, în îndeplinirea atribuțiilor sale, cu responsabilii cu protecția datelor ai altor instituții, organisme, oficii și agenții ale Uniunii Europene, în special prin schimburi de experiență și de cele mai bune practici;

reprezintă la nivel internațional Înaltul Reprezentant sau SEAE, după caz, cu privire la toate aspectele legate de protecția datelor, fără a aduce atingere dispozițiilor tratatelor, inclusiv, în special, articolului 218 din Tratatul privind funcționarea Uniunii Europene;

prezintă Înaltului Reprezentant un raport anual cu privire la activitățile sale și pune acest raport la dispoziția personalului SEAE.

Fără a aduce atingere articolului 4 litera (b), articolului 5 alineatul (1) literele (b) și (c) și articolului 15, responsabilul cu protecția datelor și personalul acestuia au obligația de a nu divulga informațiile sau documentele pe care le obțin în exercitarea atribuțiilor și sarcinilor lor.

În îndeplinirea sarcinilor și atribuțiilor sale, responsabilul cu protecția datelor:

are acces în orice moment la datele care fac obiectul operațiunilor de prelucrare și la toate birourile, instalațiile de prelucrare a datelor și suporturile de date;

poate solicita avize juridice din partea Serviciului juridic al SEAE;

poate recurge la serviciile unor experți externi în domeniul tehnologiei informației cu acordul prealabil al ordonatorului de credite, în conformitate cu Regulamentul financiar [Regulamentul (CE, Euratom) nr. 1605/2002] și cu normele de aplicare ale acestuia;

poate, fără a aduce atingere atribuțiilor și competențelor AEPD, să propună măsuri administrative și să facă recomandări generale privind aplicarea corespunzătoare a regulamentului și a prezentei decizii;

în cazuri specifice, poate face orice altă recomandare conducerii SEAE și/sau tuturor celorlalte părți în cauză pentru îmbunătățirea concretă a protecției datelor;

poate aduce în atenția autorității împuternicite să facă numiri în cadrul SEAE orice nerespectare de către un membru al personalului a obligațiilor care îi revin în temeiul regulamentului și al prezentei decizii și propune inițierea unei investigații administrative, în vederea eventualei aplicări a articolului 49 din regulament.

Responsabilului cu protecția datelor i se pun la dispoziție personalul și resursele necesare pentru îndeplinirea atribuțiilor și sarcinilor sale.

SECȚIUNEA 3

În cazul unei plângeri, în sensul articolului 90 din Statutul funcționarilor, referitoare la o încălcare a regulamentului sau a prezentei decizii, autoritatea împuternicită să facă numiri consultă responsabilul cu protecția datelor, care ar trebui să își dea avizul în scris, în termen de cel mult 15 zile după primirea cererii. Dacă, după expirarea acestui termen, responsabilul cu protecția datelor nu a comunicat autorității împuternicite să facă numiri avizul său, acesta nu mai este necesar. Avizul responsabilului cu protecția datelor nu este obligatoriu pentru autoritatea împuternicită să facă numiri.

Responsabilul cu protecția datelor este informat cu privire la orice aspect care este analizat și care are sau ar putea avea implicații în ceea ce privește protecția datelor.

Operatorii au responsabilitatea de a se asigura că toate operațiunile de prelucrare efectuate sub controlul lor sunt conforme cu regulamentul și respectă dispozițiile prezentei decizii. Dacă este necesar, aceștia pot încredința sarcini de prelucrare a datelor membrilor personalului SEAE care își desfășoară activitatea sub responsabilitatea lor sau entităților contractante, în conformitate cu articolul 23 din regulament.

În special, operatorii:

notifică în prealabil responsabilului cu protecția datelor orice operațiune de prelucrare sau set de astfel de operațiuni care vizează servirea unui singur scop sau a mai multor scopuri conexe, precum și cu privire la orice modificare substanțială a unei operațiuni de prelucrare existente;

acordă asistență responsabilului cu protecția datelor și AEPD în îndeplinirea atribuțiilor lor, în special prin furnizarea de informații, ca răspuns la cererile acestora, în termen de cel mult 30 de zile;

cooperează cu coordonatorii pentru protecția datelor în scopul de a stabili inventarul operațiunilor existente de prelucrare a datelor cu caracter personal;

pun în aplicare măsurile tehnice și organizaționale adecvate și dau instrucțiuni corespunzătoare persoanelor împuternicite de către operator pentru a asigura atât confidențialitatea prelucrării, cât și un nivel de securitate corespunzător în funcție de riscurile prezentate de prelucrare;

dacă este cazul, consultă responsabilul cu protecția datelor referitor la conformitatea cu regulamentul și cu prezenta decizie a operațiunilor de prelucrare, în special atunci când au motive să creadă că anumite operațiuni de prelucrare sunt incompatibile cu articolele 4-10 din regulament. De asemenea, aceștia pot consulta responsabilul cu protecția datelor și/sau experți interni în domeniul securității tehnologiei informației cu privire la aspecte legate de confidențialitatea operațiunilor de prelucrare și cu privire la măsurile de securitate luate în temeiul articolului 22 din regulament.

Fiecare director general sau director sau șef de serviciu de o mărime echivalentă sau cu o funcție echivalentă sau șeful unei delegații a Uniunii, după caz, desemnează un coordonator pentru protecția datelor care își desfășoară activitatea sub responsabilitatea acestuia.

acordă asistență în ținerea unei evidențe a tuturor prelucrărilor existente de date cu caracter personal și cooperează cu responsabilul cu protecția datelor în scopul stabilirii și actualizării inventarului operațiunilor existente de prelucrare a datelor cu caracter personal;

acordă asistență în identificarea operatorilor respectivi și a persoanelor respective împuternicite de către operator;

are dreptul de a obține de la operatori, de la persoanele împuternicite de către operator și de la personalul SEAE informații adecvate și necesare pentru îndeplinirea sarcinilor sale administrative. Aceasta nu include dreptul de acces la datele cu caracter personal a căror prelucrare este de responsabilitatea operatorului;

aprobă notificări globale către responsabilul cu protecția datelor privind tipurile sau categoriile de operațiuni de prelucrare a datelor.

Fără a aduce atingere responsabilităților operatorilor, coordonatorii:

acordă asistență operatorilor în îndeplinirea obligațiilor lor;

dacă este cazul, facilitează comunicarea dintre responsabilul cu protecția datelor și operatori.

Toți membrii personalului SEAE contribuie la aplicarea normelor de confidențialitate și securitate în ceea ce privește prelucrarea datelor cu caracter personal, astfel cum se prevede la articolele 21 și 22 din regulament. Membrii personalului SEAE care au acces la date cu caracter personal nu le pot prelucra decât pe baza instrucțiunilor operatorilor, cu excepția cazului în care legislația națională sau dreptul Uniunii prevede acest lucru.

Orice membru al personalului SEAE poate depune o plângere la AEPD cu privire la o presupusă încălcare a dispozițiilor regulamentului sau ale prezentei decizii care reglementează prelucrarea datelor cu caracter personal, fără a acționa pe căi oficiale, astfel cum se precizează în normele stabilite de AEPD.

În plus față de dreptul lor de a fi informate în mod corespunzător cu privire la orice prelucrare de date cu caracter personal care le privește, în conformitate cu articolele 11 și 12 din regulament, persoanele vizate se pot adresa operatorului în cauză pentru a-și exercita drepturile, în conformitate cu articolele 13-19 din regulament, astfel cum se precizează în secțiunea 5 din prezenta decizie.

Fără a aduce atingere căilor de atac, orice persoană vizată poate depune o plângere la AEPD, în cazul în care consideră că drepturile pe care le are în temeiul regulamentului sau al prezentei decizii au fost încălcate ca urmare a prelucrării de către operatori a datelor sale cu caracter personal, astfel cum se precizează în normele stabilite de AEPD.

Nicio persoană vizată nu poate suferi un prejudiciu ca urmare a depunerii unei plângeri la AEPD sau a aducerii în atenția responsabilului cu protecția datelor a unui aspect privind o presupusă încălcare a dispozițiilor regulamentului.

SECȚIUNEA 4

Operatorii notifică responsabilului cu protecția datelor orice operațiune de prelucrare a datelor cu caracter personal în baza unui formular de notificare care este disponibil pe site-ul intranet al SEAE și al delegațiilor Uniunii (la secțiunea Protecția datelor). Notificarea se transmite electronic responsabilului cu protecția datelor. O notificare de confirmare este trimisă responsabilului cu protecția datelor prin notă scrisă în termen de 10 zile lucrătoare. La primirea notificării de confirmare, responsabilul cu protecția datelor o publică în registru.

Notificarea include toate informațiile precizate la articolul 25 alineatul (2) din regulament. Orice modificare de natură să afecteze aceste informații este notificată cu promptitudine responsabilului cu protecția datelor.

Normele și procedurile suplimentare privind procedura de notificare pe care trebuie să o urmeze operatorii fac parte din recomandările generale emise de responsabilul cu protecția datelor.

Responsabilul cu protecția datelor ține un registru al operațiunilor de prelucrare de date cu caracter personal, care se întocmește pe baza notificărilor primite de la operatori.

Registrul conține cel puțin informațiile menționate la articolul 25 alineatul (2) literele (a)-(g) din regulament. Cu toate acestea, informațiile introduse în registru de responsabilul cu protecția datelor pot fi în mod excepțional limitate atunci când acest lucru este necesar pentru asigurarea securității unei operațiuni specifice de prelucrare.

Registrul este utilizat ca repertoriu al operațiunilor de prelucrare a datelor cu caracter personal efectuate de SEAE. Registrul este accesibil persoanelor vizate pentru a facilita exercitarea drepturilor acestora, astfel cum se prevede la articolele 13-19 din regulament și în prezenta decizie.

Responsabilul cu protecția datelor ia măsuri corespunzătoare pentru a asigura că orice persoană vizată poate avea acces la registru, fie direct, fie indirect, prin intermediul AEPD. În special, responsabilul cu protecția datelor furnizează informații și acordă asistență persoanelor vizate cu privire la modul în care și locul unde se pot depune cererile de acces la registru.

Cu excepția cazurilor în care se acordă acces on-line, cererile de acces la registru se pot face în orice formă scrisă, inclusiv electronic, în una dintre limbile menționate la articolul 342 din Tratatul privind funcționarea Uniunii Europene și într-un mod suficient de precis pentru a permite responsabilului cu protecția datelor să identifice operațiunile de prelucrare în cauză. Solicitantului i se trimite, fără întârziere, o confirmare de primire.

Dacă o cerere nu este suficient de precisă, responsabilul cu protecția datelor invită solicitantul să o clarifice și îi acordă asistență în acest scop. În cazul în care cererea se referă la un număr foarte mare de operațiuni de prelucrare, responsabilul cu protecția datelor poate discuta neoficial cu solicitantul, în vederea găsirii unei soluții juste.

Orice persoană vizată poate solicita responsabilului cu protecția datelor o copie a informațiilor care sunt disponibile în registru cu privire la orice operațiune de prelucrare notificată.

SECȚIUNEA 5

Drepturile persoanelor vizate precizate în prezenta secțiune pot fi exercitate numai de către persoanele fizice respective sau, în cazuri excepționale, în numele acestora, în temeiul unei autorizații corespunzătoare. Cererile se adresează în scris operatorului în cauză, iar o copie se transmite responsabilului cu protecția datelor. Dacă este necesar, responsabilul cu protecția datelor acordă asistență persoanei vizate în ceea ce privește identificarea operatorului în cauză. Responsabilul cu protecția datelor pune la dispoziție formulare specifice. Operatorii admit cererea numai dacă formularul a fost completat integral și identitatea solicitantului a fost verificată în mod corespunzător. Exercitarea de către persoanele vizate a drepturilor care le revin este gratuită.

Operatorul în cauză trimite solicitantului o confirmare de primire, în termen de cinci zile lucrătoare de la înregistrarea cererii. Cu excepția unor dispoziții contrare, operatorul răspunde cererii în termen de cel mult cincisprezece zile lucrătoare de la înregistrarea cererii și fie o acceptă, fie comunică în scris motivele respingerii sale totale sau parțiale, în special în cazurile în care solicitantul nu este considerat persoană vizată.

În cazul unor nereguli sau al unui abuz flagrant al persoanei vizate în exercitarea drepturilor sale și atunci când persoana vizată contestă legalitatea prelucrării, operatorul trebuie să consulte responsabilul cu protecția datelor în privința cererii și/sau să îndrume persoana vizată către responsabilul cu protecția datelor, care va decide cu privire la admisibilitatea cererii și la răspunsul corespunzător care urmează să fie dat acesteia.

Orice persoană vizată poate să consulte responsabilul cu protecția datelor în privința exercitării drepturilor sale într-un caz specific. Fără a aduce atingere căilor de atac, orice persoană vizată poate depune o plângere la AEPD, în cazul în care consideră că drepturile pe care le are în temeiul regulamentului au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal.

Persoana vizată are dreptul de a obține de la operatori, fără constrângere, în orice moment într-un interval de trei luni de la primirea cererii, informațiile menționate la articolul 13 literele (a)-(d) din regulament, fie consultând aceste date la fața locului, fie primind o copie, inclusiv, dacă este cazul, o copie în format electronic, conform preferinței solicitantului.

În fiecare cerere de rectificare a datelor cu caracter personal inexacte sau incomplete prezentată de persoana vizată se precizează care sunt datele respective, precum și ce rectificare trebuie făcută. Această cerere este tratată fără întârziere de operator.

Operatorul în cauză tratează fără întârziere orice cerere de blocare a datelor în temeiul articolului 15 din regulament. În cerere se precizează care sunt datele respective, precum și motivele pentru blocarea acestora. Înainte ca datele să fie deblocate, operatorul informează persoana vizată care a făcut cererea.

Persoana vizată poate solicita operatorilor să șteargă fără întârziere datele în cazul unei prelucrări ilegale, în special atunci când au fost încălcate dispozițiile articolelor 4-10 din regulament. În cerere se precizează care sunt datele respective și se indică motivele sau dovezile în temeiul cărora prelucrarea este ilegală. În sistemele de evidență automate, ștergerea se asigură, în principiu, prin toate mijloacele tehnice adecvate, excluzându-se posibilitatea oricărei prelucrări ulterioare a datelor șterse. Dacă ștergerea nu este posibilă din motive tehnice, operatorul în cauză, după consultarea responsabilului cu protecția datelor și a persoanei vizate, blochează imediat datele respective.

Persoana vizată poate obține de la operatori notificarea terților cărora le-au fost divulgate datele sale cu caracter personal cu privire la orice rectificare, blocare sau ștergere efectuată la cererea sa, cu excepția cazului în care acest demers se dovedește a fi imposibil sau necesită un efort disproporționat.

Persoana vizată se poate opune prelucrării datelor care o privesc, precum și comunicării sau utilizării datelor sale cu caracter personal, în conformitate cu articolul 18 din regulament. În cerere se precizează care sunt datele respective și motivele care justifică cererea. În cazul în care opoziția este justificată, prelucrarea în cauză nu mai poate implica aceste date.

Persoana vizată are dreptul de a nu face obiectul unei decizii individuale automatizate în sensul articolului 19 din regulament, cu excepția cazului în care decizia este autorizată în mod explicit în temeiul legislației naționale sau al legislației Uniunii sau printr-o decizie a AEPD de protejare a intereselor legitime ale persoanei vizate. În ambele cazuri, persoana vizată are posibilitatea de a-și face cunoscut în avans punctul de vedere și de a consulta responsabilul cu protecția datelor.

În măsura în care acest lucru este justificat în mod clar de motive legitime, astfel cum se precizează la articolul 20 din regulament, operatorii pot limita drepturile menționate la articolele 17-21 din prezenta decizie. Cu excepția unor cazuri de absolută necesitate, operatorul în cauză consultă mai întâi responsabilul cu protecția datelor, al cărui aviz nu este obligatoriu pentru SEAE. Operatorul răspunde fără întârziere cererilor privind aplicarea unor excepții sau restricții în exercitarea drepturilor și motivează această decizie.

Orice persoană vizată poate solicita AEPD să aplice articolul 47 alineatul (1) litera (c) din regulament.

SECȚIUNEA 6

Cererile de investigare se adresează în scris responsabilului cu protecția datelor, utilizându-se un formular specific pus la dispoziție de acesta. În cazul în care este evidentă exercitarea abuzivă a dreptului de a solicita o investigație, de exemplu atunci când aceeași persoană fizică a făcut recent o cerere identică, responsabilul cu protecția datelor nu are obligația de a răspunde solicitantului.

În termen de 15 zile de la primirea cererii, responsabilul cu protecția datelor trimite o confirmare de primire autorității împuternicite să facă numiri sau persoanei care a solicitat investigația și verifică dacă cererea trebuie tratată în mod confidențial.

Responsabilul cu protecția datelor solicită operatorului care este responsabil de operațiunea de prelucrare a datelor în cauză să dea o declarație scrisă privind aspectul respectiv. Operatorul transmite responsabilului cu protecția datelor răspunsul său în termen de 15 zile. Responsabilul cu protecția datelor poate solicita informații suplimentare de la alte servicii ale SEAE, cum ar fi Departamentul Securitatea și Siguranța Informațiilor (Infosec) din cadrul SEAE. Dacă este cazul, responsabilul cu protecția datelor poate solicita un aviz privind aspectul respectiv din partea Serviciului juridic al SEAE. Responsabilul cu protecția datelor primește informațiile sau avizul în termen de 30 de zile.

Responsabilul cu protecția datelor răspunde autorității împuternicite să facă numiri sau persoanei care a făcut cererea în termen de cel mult trei luni de la primirea acesteia.

SECȚIUNEA 7

În cazul existenței oricărei neconcordanțe între dispozițiile prezentei decizii și cele ale regulamentului, acesta din urmă prevalează.

Prezenta decizie se pune la dispoziția personalului SEAE prin mijloace adecvate, în special prin publicarea pe site-ul intranet al SEAE și al delegațiilor Uniunii (la secțiunea Protecția datelor).

Prezenta decizie produce efecte de la data adoptării.

Adoptată la Bruxelles, 8 decembrie 2011.Înaltul ReprezentantC. Ashton