Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös,

annettu 1 päivänä lokakuuta 2019,

sisäisistä säännöistä, jotka koskevat rekisteröityjen tiettyihin tietoihin liittyviä rajoituksia Euroopan ulkosuhdehallinnon toimintaan liittyvässä henkilötietojen käsittelyssä

(2019/C 370/06)

UNIONIN ULKOASIOIDEN JA TURVALLISUUSPOLITIIKAN KORKEA EDUSTAJA, JOKA

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU (1),

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (2), jäljempänä ’asetus (EU) 2018/1725’, ja erityisesti sen 25 artiklan,

ottaa asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti huomioon Euroopan tietosuojavaltuutetun 28 päivänä kesäkuuta 2019 antaman lausunnon,

sekä katsoo seuraavaa:

(1) Euroopan ulkosuhdehallinto (EUH) hoitaa tehtäviään äätöksen 2010/427/EU mukaisesti.

(2) Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaan tämän asetuksen 14–21, 35 ja 36 artiklan soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat 14–21 artiklassa säädettyjä oikeuksia ja velvollisuuksia, koskevat rajoitukset on vahvistettava EUH:n sisäisissä säännöissä, mikäli ne eivät perustu perussopimusten nojalla annettuihin säädöksiin.

(3) Näitä sisäisiä sääntöjä ja niissä annettuja määräyksiä, jotka koskevat rajoituksen välttämättömyyden ja oikeasuhteisuuden arviointia, ei tule soveltaa, jos perussopimusten nojalla annetussa säädöksessä säädetään rekisteröidyn oikeuksien rajoittamisesta.

(4) Kun EUH toteuttaa rekisteröidyn oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 nojalla, sen on arvioitava, voidaanko jotakin asetuksessa vahvistettua poikkeusta soveltaa.

(5) Tällaisia rajoituksia saatetaan soveltaa rekisteröityjen erilaisiin oikeuksiin, joita ovat muun muassa tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot ja rajoittaa käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus tietojen luottamuksellisuuteen.

(6) EUH toteuttaa organisaationsa ja toimintansa puitteissa toimia, joihin liittyy henkilötietoja, ja niiden yhteydessä voi demokraattisessa yhteiskunnassa olla tarpeen ja oikeasuhteista asettaa asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukainen rajoitus oikeutetun edun suojaamiseksi kunnioittaen samalla keskeisiltä osin rekisteröityjen perusoikeuksia ja ‐vapauksia.

(7) Rajoituksia voidaan soveltaa useisiin henkilötietojen luokkiin, esimerkiksi asiatietoihin ja arviointitietoihin.

(8) Arviointeja, havaintoja ja lausuntoja pidetään asetuksen (EU) 2018/1725 3 artiklan 1 kohdassa tarkoitettuina henkilötietoina. Erityisten hallintomenettelyjen, kuten henkilöstön valinta- ja arviointimenettelyjen sekä työterveyshuollon, sovitteluyksikön ja unionin edustustojen ja toimistojen sisäisen tarkastuksen yksiköiden toiminnan yhteydessä voidaan soveltaa rajoituksia, jotka koskevat erityisesti tällaisten arviointien, havaintojen ja lausuntojen tarkastelua, oikaisemista ja poistamista.

(9) Valinta- ja palvelukseenottomenettelyjen, henkilöstöarvioinnin ja julkisia hankintoja koskevan menettelyn yhteydessä oikeutta tarkastella, oikaista, poistaa ja rajoittaa tietoja voidaan käyttää vain tietyissä, kyseisessä menettelyssä säädetyissä vaiheissa muiden rekisteröityjen oikeuksien suojaamiseksi ja yhdenvertaisen kohtelun ja käsittelyjen salassapitoa koskevien periaatteiden kunnioittamiseksi.

(10) Rekisteröity voi käyttää oikeuttaan oikaista EUH:n asiantuntijalääkärien tai lääketieteellisten neuvonantajien arviointeja tai lausuntoja esittämällä omat huomautuksensa tai valitsemansa lääkärin lausunnon.

(11) Valinta- ja palvelukseenottomenettelyjen yhteydessä ei ole mahdollista muuttaa valintalautakunnan lausuntoa tai arviointia. Tätä oikeutta voi käyttää valittamalla valintalautakunnan päätöksestä. Valintalautakunnan yksittäisten jäsenten tekemät arvioinnit ja valintalautakunnan sisäiset keskustelut kuuluvat käsittelyjen salassapidon piiriin.

(12) Henkilöstön arvioinnin ja siihen liittyvien arviointimenettelyjen yhteydessä ei ole mahdollista muuttaa menettelyyn osallistuvien eri toimijoiden lausuntoa tai arviointia. Rekisteröidyt voivat käyttää oikaisuoikeuttaan esittämällä omat huomautuksensa tai tekemällä henkilöstön arviointimenettelyyn sisältyvän valituksen.

(13) Henkilötietoihin liittyvien oikeuksien ja velvollisuuksien rajoituksia sovelletaan tapauskohtaisesti, ja ne ovat voimassa ainoastaan rajoituksen tarkoituksen täyttymisen edellyttämän ajan.

(14) EUH on sitoutunut noudattamaan mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia, kuten oikeutta saada tietoa, saada pääsy tietoihin ja oikaista tiedot, oikeutta poistaa tiedot ja rajoittaa niiden käsittelyä, oikeutta saada ilmoitus henkilötietojensa tietoturvaloukkauksesta tai oikeutta viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti. EUH saattaa kuitenkin joutua rajoittamaan oikeuksia ja velvollisuuksia oman toimintansa sekä muiden henkilöiden perusoikeuksien ja ‐vapauksien suojelemiseksi,

ON PÄÄTTÄNYT SEURAAVAA:

1 artikla Kohde ja soveltamisala 1. Asetuksen (EU) 2018/1725, jäljempänä ’asetus’, 25 artiklan mukaisesti tässä päätöksessä vahvistetaan sellaisia edellytyksiä koskevat säännöt, joiden nojalla EUH voi 2 kohdassa tarkoitetun toimintansa yhteydessä rajoittaa asetuksen 14–21, 35 ja 36 artiklassa vahvistettujen oikeuksien ja velvollisuuksien soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat 14–21 artiklassa säädettyjä oikeuksia ja velvollisuuksia. 2. Päätöstä sovelletaan henkilötietojen käsittelyyn, jota EUH suorittaa seuraavia toimia varten: i) sisäiset tutkimukset, mukaan lukien turvallisuustutkinnat, hallinnolliset tutkimukset, myös kun ne koskevat häirintää tai ilmoitettuja sääntöjenvastaisuuksia, kurinpitomenettelyt ja virantoimituksesta pidättämistä koskevat menettelyt; ii) tapauksista ilmoittaminen ja niiden siirtäminen komission tutkinta- ja kurinpitotoimistolle (IDOC) ja Euroopan petostentorjuntavirastolle (OLAF); iii) kyberturvallisuuspoikkeamiin tai tietojärjestelmän väärinkäyttöön liittyvät turvallisuusanalyysit, myös CERT-EU:n ulkoisella tuella, sisäisen turvallisuuden varmistaminen videovalvonnan, kulunvalvonnan ja tutkinnan avulla, viestintä- ja tietojärjestelmien turvaaminen ja teknisten turvallisuusvastatoimien toteuttaminen; iv) EUH:n tietosuojavastaavan tehtäviin suoraan liittyvien asioiden tutkiminen; v) sisäiset tarkastukset; vi) EU:n edustustojen ja toimistojen tarkastukset; vii) työterveyshuollon ja EUH:n palveluksessa olevien lääketieteellisten neuvonantajien toiminta; viii) sovitteluyksikön toiminta; ix) julkisia hankintoja koskevat menettelyt; x) henkilöstön valintamenettelyt ja henkilöstön arvioinnit; xi) tiedonkeruu tiedustelutarkoituksia varten, muun muassa tilannetietoisuus, vastatiedustelu, ennakkovaroitus ja tiedustelutietojen analyysi, joilla tuetaan EU:n eri päätöksentekoelimiä yhteisen ulko- ja turvallisuuspolitiikan (YUTP), yhteisen turvallisuus- ja puolustuspolitiikan (YTPP), terrorismin torjunnan ja hybridiuhkien aloilla; xii) menettelyt, jotka liittyvät unionin ulko- ja turvallisuuspolitiikan tiettyjen tavoitteiden saavuttamista edistäviin rajoittaviin toimenpiteisiin (pakotteisiin); xiii) toimet, joilla suojataan muita unionin tai jäsenvaltion yleiseen julkiseen etuun liittyviä tärkeitä tavoitteita, erityisesti YUTP:n tavoitteita. Tässä päätöksessä edellä mainittuihin toimiin kuuluvat myös niihin suoraan liittyvät valmistelu- ja seurantatoimet. 3. Edellä mainittujen toimien yhteydessä käsiteltävät henkilötiedot voivat sisältää asiatietoja ja arviointitietoja. Asiatietoihin kuuluvat henkilön tunnistamiseen liittyvät tiedot ja muut hallinnolliset yksityiskohdat, sähköisen viestinnän metatiedot ja liikennetiedot. Arviointitietoihin kuuluvat tilanteiden ja olosuhteiden kuvaus ja arviointi, lausunnot, rekisteröityihin liittyvät havainnot, rekisteröityjen käyttäytymisen tai suoriutumisen arviointi ja EUH:n hallinnolliseen toimintaan liittyvien yksittäisten päätösten perustelut.

2 artikla Rekisterinpitäjän ja suojatoimien määrittäminen 1. EUH ottaa rajoituksen kohteena olevia tietoja koskevien tietosuojaloukkausten, vuotojen ja luvattoman luovuttamisen välttämiseksi käyttöön erityisiä suojatoimia, joita ovat esimerkiksi a) henkilötietoja sisältävien fyysisten tallennusvälineiden säilyttämistä koskevat tehostetut turvatoimet; b) sähköisiä tietokantoja ja välineitä koskevat erityiset turvatoimet; c) tietoihin pääsyä ja lokitietoja koskevat rajoitukset. 2. Tietojenkäsittelytoimien yhteydessä rekisterinpitäjänä toimii EUH. Organisatoriset kokonaisuudet, jotka voivat rajoittaa 1 artiklan 1 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia, ovat ne yksiköt, jotka vastaavat 1 artiklan 2 kohdassa kuvatuista toimista. 3. Henkilötietoihin liittyvien oikeuksien ja velvollisuuksien rajoitusten olisi oltava voimassa ainoastaan rajoituksen tarkoituksen täyttymisen edellyttämän ajan. Rajoituksen kohteena olevien henkilötietojen säilytysaikaa määritettäessä on otettava huomioon käsittelyn tarkoitus sekä hallinnolliseen ja oikeudelliseen tarkasteluun tarvittava aika.

3 artikla Rajoitukset 1. EUH voi soveltaa tämän päätöksen mukaista rajoitusta tapauskohtaisesti seuraavien seikkojen turvaamiseksi: a) jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus, mukaan lukien mutta ei pelkästään tietojen valvonta ja käsittely tiedustelutarkoituksiin tai ihmiselämän suojelemiseksi erityisesti vastauksena luonnonkatastrofeihin, ihmisten aiheuttamiin katastrofeihin ja terrori-iskuihin; b) rikosten ennalta estäminen, tutkinta, paljastaminen ja rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien mutta ei pelkästään yleiseen turvallisuuteen kohdistuvien uhkien ehkäisy; tällaiseen tutkintaan voi kuulua hallinnollisia tutkimuksia, kurinpitomenettelyjä tai OLAFin tutkimuksia siinä määrin, kun ne liittyvät rikosten ehkäisyyn tai tutkintaan; c) unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti YUTP:n tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien mutta ei pelkästään rahaan, talousarvioon ja verotukseen liittyvät asiat, kansanterveys ja sosiaaliturva sekä hankintamenettelyt ja tutkimukset, jotka edistävät unionin yleisen edun mukaisia tärkeitä tavoitteita; d) unionin toimielinten ja elinten sisäinen turvallisuus, mukaan lukien mutta ei pelkästään niiden sähköisten viestintä- ja tietoverkkojen osalta; e) oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen, myös oikeudellisen neuvonnan, suojelu; f) säänneltyä ammattitoimintaa koskevan ammattietiikan tai henkilöstösääntöihin (3) ja varainhoitoasetukseen (4) perustuvien velvollisuuksien rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet, mukaan lukien tapaukset, joihin ei liity rikosta; g) valvonta-, tarkastus- tai sääntelytehtävä, joka edes satunnaisesti liittyy julkisen vallan käyttöön a–c alakohdassa tarkoitetuissa tapauksissa, mukaan lukien mutta ei pelkästään kohdennetun tarkastuksen, tarkastuksen tai tutkinnan tapauksessa; h) rekisteröidyn suojelu tai muiden henkilöiden oikeuksien ja vapauksien suojelu, mukaan lukien mutta ei pelkästään todistajien suojelu, turvallisuustutkintojen, hallinnollisten tutkimusten, tarkastusten ja tutkimusten yhteydessä kuultujen henkilöiden suojelu, väärinkäytösten paljastajien suojelu ja väitettyjen häirinnän uhrien suojelu; i) yksityisoikeudellisten kanteiden täytäntöönpano. 2. Jollei tämän päätöksen 4–8 artiklasta muuta johdu, EUH voi rajoittaa 1 artiklan 1 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia siltä osin kuin on kyse toiselta unionin toimielimeltä, elimeltä tai laitokselta, jäsenvaltion tai kolmannen maan toimivaltaisilta viranomaisilta tai kansainväliseltä järjestöltä saaduista henkilötiedoista seuraavissa tapauksissa: a) kun kyseinen toinen unionin toimielin, elin tai laitos voisi rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä asetuksen 25 artiklan tai IX luvun mukaisesti annettujen asiaa koskevien säädöstensä tai perustamissäädöstensä perusteella; b) kun jäsenvaltion toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (5) 23 artiklan mukaisesti annettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (6) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla; c) kun kyseisten oikeuksien ja velvollisuuksien käyttö voisi vaarantaa EUH:n toimintansa yhteydessä harjoittaman yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa, paitsi jos tarve yhteistyöhön syrjäytyy rekisteröityjen intressien tai perusoikeuksien ja ‐vapauksien vuoksi. Ennen tämän kohdan mukaisen rajoituksen soveltamista EUH:n on kuultava asianomaista unionin toimielintä, elintä tai laitosta, kansainvälistä järjestöä tai jäsenvaltion toimivaltaisia viranomaisia, paitsi jos on aivan selvää, että rajoituksen soveltamisesta säädetään tässä kohdassa tarkoitetussa säädöksessä tai tällainen kuuleminen vaarantaisi EUH:n toiminnan. 3. Ennen rajoituksen soveltamista EUH:n on harkittava, onko se tarpeen ja oikeasuhteista demokraattisessa yhteiskunnassa ja kunnioitetaanko siinä keskeisiltä osin rekisteröityjen perusoikeuksia ja -vapauksia. Arvioidessaan kussakin tapauksessa rajoituksen tarpeellisuutta ja oikeasuhteisuutta EUH:n on i. punnittava rekisteröidyn oikeuksiin ja vapauksiin kohdistuvaa riskiä muiden henkilöiden oikeuksiin ja vapauksiin kohdistuvan riskin perusteella. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä yksityisyyteen ja maineeseen sekä siihen hetkeen, jona he voivat alkaa käyttää oikeuttaan puolustukseen; ja ii. harkittava tarvetta turvata 1 artiklan 2 kohdassa mainittujen EUH:n toimien tavoite, erityisesti suhteessa todisteiden hävittämisen tai piilottamisen riskiin. Tarpeellisuuden ja oikeasuhteisuuden arviointi samoin kuin rajoituksen syyt on dokumentoitava. Tätä varten jokainen rajoitus on kirjattava erikseen rekisterinpitäjän hallinnoimaan luetteloon, johon on merkittävä, miten 1 artiklan 1 kohdassa tarkoitettujen rajoitettujen oikeuksien ja velvollisuuksien käyttö vaarantaisi 1 artiklan 2 kohdassa tarkoitettujen toimien tarkoituksen tai vaikuttaisi haitallisesti muiden henkilöiden oikeuksiin ja vapauksiin. Asiakirjat, joista rajoituksen perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on myös rekisteröitävä. Näiden tietojen on oltava pyynnöstä Euroopan tietosuojavaltuutetun saatavilla. Pääsyn luettelossa oleviin tietoihin, myös arviointimuistioon, on oltava rajattu niin kauan kuin sen perustelema rajoitus on voimassa 4 ja 5 kohdan mukaisesti. 4. Rajoitus on poistettava heti, kun sitä oikeuttavat olosuhteet eivät enää ole voimassa. 5. Tarvetta pitää rajoitus voimassa on tarkasteltava uudelleen sopivin väliajoin, vähintään kuuden kuukauden välein sen hyväksymisestä lähtien, ja joka tapauksessa 1 artiklan 2 kohdassa tarkoitettuihin toimiin liittyvän asiaankuuluvan menettelyn päättämisen yhteydessä.

4 artikla Uudelleentarkastelu tietosuojavastaavan pyynnöstä 1. Jokaisen organisatorisen kokonaisuuden on ilman tarpeetonta viivytystä ilmoitettava tietosuojavastaavalle kirjallisesti, kun se rajoittaa 1 artiklan 1 kohdassa tarkoitettujen oikeuksien ja velvollisuuksien käyttöä, kun se tarkastelee rajoitusta uudelleen ja kun se pidentää rajoituksen voimassaoloa tai poistaa sen. Tietosuojavastaavalla on oltava pääsy 3 artiklan 3 kohdan mukaisiin tietoihin. 2. Tietosuojavastaava voi pyytää rekisterinpitäjää kirjallisesti tarkastelemaan uudelleen rajoituksen soveltamista. Rekisterinpitäjän on ilmoitettava pyydetyn uudelleentarkastelun tuloksista kirjallisesti tietosuojavastaavalle. 3. Tämän artiklan mukaiset asiakirjat on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

5 artikla Tietojen antaminen rekisteröidyille ja rajoituksia koskevat tiedot 1. EUH:n on julkaistava verkkosivustollaan tai intranetissä tietosuoja- ja tietoturvaseloste, joissa rekisteröidyille ilmoitetaan EUH:n toimista, joihin liittyy henkilötietojen käsittelyä, sekä rekisteröityjen oikeuksista ja näitä mahdollisesti koskevista rajoituksista. 2. Rekisterinpitäjä voi rajoittaa tiedonsaantioikeutta 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, viii, xi, xii ja xiii alakohdan mukaisten toimien osalta. Sanotun rajoittamatta 4 kohdan soveltamista ja kun se on oikeasuhteista, EUH:n on ilmoitettava rajoituksen soveltamisesta ilman aiheetonta viivytystä ja kirjallisesti erikseen jokaiselle asianomaiselle rekisteröidylle. Jos rekisteröidyn esittämä pyyntö hylätään rajoituksen vuoksi, rekisteröidyille on ilmoitettava rajoituksen pääasialliset syyt sekä se, että heillä on oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle. 3. Tämän artiklan mukaista rajoitusta on sovellettava 3 ja 4 artiklan mukaisesti. 4. Ilmoitusta tämän päätöksen mukaisesta rajoituksesta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi rajoituksen vaikutuksen. Lykkäystä, antamatta jättämistä tai epäämistä sovelletaan 3 ja 4 artiklan säännösten mukaisesti.

6 artikla Oikeus saada pääsy tietoihin 1. Asetuksen 17 artiklan mukaista pääsyä tietoihin voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, vii, viii, x, xi, xii ja xiii alakohdan mukaisten toimien osalta. 2. Jos rekisteröidyt pyytävät pääsyä tietyn 1 artiklan 2 kohdassa tarkoitetun toimen yhteydessä käsiteltäviin henkilötietoihinsa, EUH rajoittaa vastauksensa kyseisen toimen yhteydessä käsiteltyihin henkilötietoihin. 3. Kun EUH rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, se ilmoittaa tietoihin pääsyä koskevaan rekisteröidyn pyyntöön antamassaan vastauksessa sovelletusta rajoituksesta ja sen pääasiallisista syistä kirjallisesti ja ilman aiheetonta viivytystä. Ilmoitusta rajoituksen syistä voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä niin kauan kuin se vaarantaisi rajoituksen tarkoituksen. 4. EUH voi tapauskohtaisesti rajoittaa rekisteröityjen oikeutta saada suoraan pääsy luonteeltaan psykologisiin tai psykiatrisiin potilastietoihin, jos pääsy tällaisiin tietoihin on omiaan aiheuttamaan riskin rekisteröidyn terveydelle. Tämän rajoituksen on oltava oikeassa suhteessa siihen, mikä on ehdottoman välttämätöntä rekisteröidyn suojelemiseksi. Tällaisissa tapauksissa pääsy tietoihin on annettava rekisteröidyn valitsemalle lääkärille. 5. Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

7 artikla Oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen ja oikeus käsittelyn rajoittamiseen 1. Asetuksen 18 artiklan, 19 artiklan 1 kohdan ja 20 artiklan 1 kohdan mukaista oikeutta tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, vii, viii, ix, x, xi, xii ja xiii alakohdan mukaisten toimien osalta. 2. Potilastietojen osalta rekisteröidyt voivat käyttää oikeuttaan oikaista EUH:n asiantuntijalääkärien tai lääketieteellisten neuvonantajien arviointeja tai lausuntoja esittämällä omat huomautuksensa tai valitsemansa lääkärin lausunnon. 3. Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

8 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidyille 1. Asetuksen 35 artiklan mukaista oikeutta siihen, että rekisteröidylle ilmoitetaan henkilötietojen tietoturvaloukkauksesta, voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, viii, xi, xii ja xiii alakohdan mukaisten toimien osalta. 2. Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

9 artikla Sähköisen viestinnän luottamuksellisuus 1. Velvollisuutta varmistaa sähköisen viestinnän luottamuksellisuus voidaan rajoittaa ainoastaan 1 artiklan 2 kohdan i, ii, iii, iv, xi, xii ja xiii alakohdan mukaisten toimien osalta seuraavissa poikkeustapauksissa: a) jos rajoitus velvollisuuteen varmistaa soittajan tunnistetietojen luottamuksellisuus on tarpeen häirintäsoittojen jäljittämiseksi; b) jos rajoitus velvollisuuteen varmistaa soittajan tunnistetietojen ja sijaintitietojen luottamuksellisuus on tarpeen, jotta hätäpalvelut voivat hoitaa tehtävänsä tehokkaasti; c) jos rajoitus velvollisuuteen varmistaa viestinnän, liikennetietojen ja sijaintitietojen luottamuksellisuus on tarpeen, jotta voidaan asetuksen 25 artiklassa tarkoitetun mukaisesti taata jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus tai puolustus sekä unionin toimielinten ja elinten sisäinen turvallisuus ja rikosten sekä henkilöstösääntöjen ja varainhoitoasetuksen rikkomisten tai sähköisen viestintäjärjestelmän luvattoman käytön ennalta estäminen, tutkinta tai paljastaminen ja rikoksiin liittyvät syytetoimet. 2. Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

10 artikla Voimaantulo Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 1 päivänä lokakuuta 2019. Federica MOGHERINI Korkea edustaja

(1) EUVL L 201, 3.8.2010, s. 30.

(2) EUVL L 295, 21.11.2018, s. 39.

(3) Neuvoston asetus (ETY, Euratom, EHTY) N:o 259/68, annettu 29 päivänä helmikuuta 1968, Euroopan yhteisöjen virkamiehiin sovellettavien henkilöstösääntöjen ja näiden yhteisöjen muuta henkilöstöä koskevien palvelussuhteen ehtojen vahvistamisesta (EYVL 45, 14.6.1962, s. 1385, sellaisena kuin se on voimassa konsolidoituna).

(4) Euroopan parlamentin ja neuvoston asetus (EU, Euratom) 2018/1046, annettu 18 päivänä heinäkuuta 2018, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä, asetusten (EU) N:o 1296/2013, (EU) N:o 1301/2013, (EU) N:o 1303/2013, (EU) N:o 1304/2013, (EU) N:o 1309/2013, (EU) N:o 1316/2013, (EU) N:o 223/2014, (EU) N:o 283/2014 ja päätöksen N:o 541/2014/EU muuttamisesta sekä asetuksen (EU, Euratom) N:o 966/2012 kumoamisesta (EUVL L 193, 30.7.2018, s. 1).

(5) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(6) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).