FI Euroopan unionin virallinen lehti C 286/16

EUROOPAN JÄRJESTELMÄRISKIKOMITEAN PÄÄTÖS,

annettu 13 päivänä heinäkuuta 2012,

tietosuojaa Euroopan järjestelmäriskikomiteassa koskevista täytäntöönpanosäännöistä

(EJRK/2012/1)

2012/C 286/11

EUROOPAN JÄRJESTELMÄRISKIKOMITEAN HALLINTONEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan,

ottaa huomioon yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (1) ja erityisesti sen 24 artiklan 8 kohdan ja liitteen,

on kuullut Euroopan tietosuojavaltuutettua,

sekä katsoo seuraavaa:

(1) Asetuksessa (EY) N:o 45/2001 vahvistetaan kaikkiin Euroopan unionin toimielimiin ja elimiin sovellettavat periaatteet ja säännöt ja velvoitetaan kukin unionin toimielin ja elin nimittämään tietosuojasta vastaava henkilö.

(2) Asetuksen (EY) N:o 45/2001 24 artiklan 8 kohdan mukaan unionin kukin toimielimen tai elin antaa täytäntöönpanoa koskevat tarkemmat säännöt tietosuojasta vastaavasta henkilöstä kyseisen asetuksen liitteen mukaisesti.

(3) On tarpeen antaa myös säännöksiä rekisterinpitäjistä ja tietosuojakoordinaattoreista, joiden tehtävät ja velvollisuudet liittyvät tietosuojasta vastaavan henkilön tehtäviin ja velvollisuuksiin, sekä rekisteröityjen oikeuksien sääntelystä.

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 JAKSO

YLEISET SÄÄNNÖKSET

1 artikla

Kohde ja soveltamisala

Tässä päätöksessä vahvistetaan säännöt, jotka koskevat:

a) Euroopan järjestelmäriskikomitean (EJRK:n) tietosuojasta vastaavan henkilön nimittämistä ja asemaa sekä tietosuojasta vastaavan henkilön tehtäviä, velvollisuuksia ja toimivaltuuksia,

b) rekisterinpitäjien ja tietosuojakoordinaattorien rooleja, tehtäviä ja velvollisuuksia,

c) rekisteröidyn oikeuksien käyttöä.

2 artikla

Määritelmät

Tässä päätöksessä tarkoitetaan:

a) ’rekisterinpitäjällä’ henkilötietojen käsittelyn tarkoituksen ja keinot määrittelevästä organisatorisesta yksiköstä vastaavaa johtajaa,

b) ’tietosuojakoordinaattorilla’ henkilöstön jäsentä, joka auttaa rekisterinpitäjää täyttämään tietosuojavelvoitteensa. Tietosuojakoordinaattorin on oltava erikoistunut asiakirjahallintoon.

2 JAKSO

TIETOSUOJASTA VASTAAVA HENKILÖ

3 artikla

Nimittäminen, asema ja organisatoriset kysymykset

1. Hallintoneuvosto

a) nimittää tietosuojasta vastaavan henkilön, joka on riittävän kokenut täyttääkseen asetuksen (EY) N:o 45/2001 24 artiklassa säädetyt vaatimukset,

b) päättää tietosuojasta vastaavan henkilön toimikauden pituuden, joka voi olla vähintään kaksi ja enintään viisi vuotta.

2. Hallintoneuvosto varmistaa, että tietosuojasta vastaava henkilö voi hoitaa tehtävänsä ja velvollisuutensa riippumattomalla tavalla. Tällaista riippumattomuutta rajoittamatta tietosuojasta vastaavan henkilön arvioinnista vastaavien henkilöiden on kuultava Euroopan tietosuojavaltuutettua ennen tietosuojasta vastaavan henkilön tehtävien ja velvollisuuksien hoitamisen arviointia.

3. Asianomaisen rekisterinpitäjän on varmistettava, että tietosuojasta vastaavalle henkilölle annetaan viivytyksettä tieto

a) asioista, joilla on tai saattaa olla tietosuojaa koskevia vaikutuksia, ja

b) sellaisista EJRK:n ja ulkopuolisten osapuolten välisistä kontakteista, jotka liittyvät asetuksen (EY) N:o 45/2001 soveltamiseen ja erityisesti yhteydenpidosta Euroopan tietosuojavaltuutettuun.

4. Hallintoneuvosto voi nimittää tietosuojasta vastaavan henkilön sijaisen, johon sovelletaan asetuksen (EY) N:o 45/2001 24 artiklan 1, 2 ja 6 kohtaa. Tietosuojasta vastaavan henkilön sijainen avustaa tietosuojasta vastaavaa henkilöä tämän tehtävien ja velvollisuuksien hoitamisessa sekä toimii tietosuojasta vastaavan henkilön tilalla tämän ollessa estynyt.

5. Kaikkien henkilöstön jäsenten, jotka avustavat tietosuojaa vastaavaa henkilöä tietosuojaan liittyvissä asioissa, on toimittava yksinomaan tietosuojaa vastaavan henkilön antamien ohjeiden mukaisesti.

6. Tietosuojasta vastaava henkilö voidaan erottaa Euroopan tietosuojavaltuutetun suostumuksella, jos hän ei enää täytä niitä vaatimuksia, joita hänen tehtäviensä ja velvollisuuksiensa hoitaminen edellyttää.

4 artikla

Tietosuojasta vastaavan henkilön tehtävät ja velvollisuudet

Asetuksen (EY) N:o 45/2001 24 artiklassa sekä kyseisen asetuksen liitteessä määritettyjä tehtäviä hoitaessaan tietosuojasta vastaava henkilö suorittaa seuraavat tehtävät, ottaen huomioon EJRK:n sihteeristön esittämät näkökohdat:

a) tietosuojakysymyksistä tiedottaminen ja henkilötietojen suojan takaavan toimintakulttuurin tukeminen EJRK:ssa;

b) hallintoneuvoston, ohjauskomitean, sihteeristön, rekisterinpitäjän ja tietosuojakoordinaattorin neuvominen asioissa, jotka koskevat tietosuojasäännösten soveltamista EJRK:ssa. Hallintoneuvosto, ohjauskomitea, sihteeristö, asianomainen rekisterinpitäjä ja kaikki luonnolliset henkilöt voivat konsultoida tietosuojasta vastaavaa henkilöä kaikissa asetuksen (EY) N:o 45/2001 tulkintaan tai soveltamiseen liittyvissä asioissa;

c) toimiminen yhteistyössä Euroopan tietosuojavaltuutetun kanssa joko tämän pyynnöstä tai omasta aloitteestaan ja vastaaminen kysymyksiin, joita Euroopan tietosuojavaltuutettu esittää EJRK:n tietosuojasta vastaavalle henkilölle;

d) sen määrittäminen, liittyykö tiettyyn käsittelyyn todennäköisesti asetuksen (EY) N:o 45/2001 27 artiklassa tarkoitettuja erityisiä riskejä, jolloin se on tarkastettava ennakolta. Tietosuojasta vastaava henkilö neuvottelee tarvittaessa asianomaisen rekisterinpitäjän kanssa. Jos ennakkotarkastuksen tarpeellisuudesta on epäselvyyttä, tietosuojasta vastaavan henkilön on asetuksen (EY) N:o 45/2001 27 artiklan 3 kohdan mukaisesti neuvoteltava Euroopan tietosuojavaltuutetun kanssa;

e) sellaisten seikkojen ja tapausten tutkiminen hallintoneuvoston, ohjauskomitean, sihteeristön tai minkä tahansa luonnollisen henkilön pyynnöstä tai tietosuojasta vastaavan henkilön omasta aloitteesta, jotka liittyvät välittömästi tietosuojasta vastaavan henkilön tehtäviin ja velvollisuuksiin, sekä asiasta raportoiminen pyynnön esittäjälle. Tietosuojasta vastaava henkilö tutkii seikat ja tapaukset puolueettomasti ja ottaa rekisteröidyn oikeudet asianmukaisella tavalla huomioon. Tietosuojasta vastaava henkilö ilmoittaa kaikille muille osapuolista asiasta, jos hän katsoo sen aiheelliseksi. Jos pyynnön esittäjä on luonnollinen henkilö tai edustaa luonnollista henkilöä, tietosuojasta vastaavan henkilön on mahdollisuuksien mukaan varmistettava tutkintapyynnön luottamuksellisuus, ellei asianomainen rekisteröity anna yksiselitteistä suostumustaan käsitellä pyyntö muulla tavalla;

f) yhteistyön tekeminen unionin muiden toimielinten ja elinten tietosuojasta vastaavien henkilöiden kanssa, erityisesti vaihtamalla kokemuksia ja tietotaitoa sekä edustamalla EJRK:ta kaikissa tietosuojaan liittyvissä keskusteluissa, ei kuitenkaan oikeudenkäynneissä; ja

g) vuosittaisen työohjelman sekä vuosittaisen kertomuksen antaminen tietosuojasta vastaavien henkilöiden toimista hallintoneuvostolle ja Euroopan tietosuojavaltuutetulle.

5 artikla

Tietosuojasta vastaavan henkilön toimivaltuudet

1. Tietosuojasta vastaava henkilö voi:

a) pyytää EJRK:n sihteeristön lausuntoa tietosuojasta vastaavan henkilön tehtäviin ja velvollisuuksiin liittyvissä asioissa,

b) antaa lausunnon meneillään olevien tai kaavailtujen käsittelyjen laillisuudesta tai mistä tahansa kysymyksestä, joka liittyy käsittelyistä tehtäviin ilmoituksiin,

c) saattaa EJRK:n sihteeristön päällikön tietoon tapaukset, joissa henkilöstön jäsen on laiminlyönyt asetuksen (EY) N:o 45/2001 mukaiset velvollisuudet,

d) milloin tahansa tutustua käsiteltäviin henkilötietoihin sekä kaikkiin tiloihin, tietojenkäsittelylaitteistoihin ja tietovälineisiin,

e) osallistua aina henkilötietojen suojaan liittyvien sisäisten sääntöjen laadintaan EJRK:ssa,

f) pitää nimetöntä luetteloa rekisteröityjen esittämistä kirjallisista pyynnöistä, jotka koskevat heidän oikeuksiensa käyttöä, ja

g) suorittaa muut asetuksen (EY) N:o 45/2001 liitteessä määritetyt tehtävät.

2. Tietosuojasta vastaavalla henkilöllä on allekirjoitusvaltuudet kirjeisiin, jotka hän on laatinut toimivaltansa rajoissa, sanotun kuitenkaan rajoittamatta rekisterinpitäjän tehtäviä ja toimivaltuuksia.

3 JAKSO

REKISTERINPITÄJÄ JA TIETOSUOJAKOORDINAATTORI

6 artikla

Rekisterinpitäjien ja tietosuojakoordinaattorien tehtävät ja velvollisuudet

1. Rekisterinpitäjien on varmistettava, että heidän vastuualueellaan tapahtuvat henkilötietojen käsittelyt ovat asetuksen (EY) N:o 45/2001 mukaisia.

2. Täyttäessään velvollisuutensa auttaa tietosuojasta vastaavaa henkilöä ja Euroopan tietosuojavaltuutettua näiden tehtävien suorittamisessa rekisterinpitäjien on 20 työpäivän kuluessa pyynnön vastaanottamisesta annettava kaikki tarvittavat tiedot ja mahdollisuus tutustua henkilötietoihin sekä vastattava kysymyksiin.

3. Rekisterinpitäjien on ilmoitettava hyvissä ajoin tietosuojasta vastaavalle henkilölle saadessaan pyynnön tutustua henkilötietoihin tai pyynnön henkilötietojen oikaisemisesta, suojaamisesta tai poistamisesta, taikka tiedustelun rekisteröidyn oikeudesta vastustaa henkilötietojensa käsittelyä tai minkä tahansa tietosuoja-asioihin liittyvän valituksen.

4. Rekisterinpitäjien velvollisuuksia rajoittamatta:

a) tietosuojakoordinaattorit auttavat rekisterinpitäjiä täyttämään velvollisuutensa joko rekisterinpitäjien pyynnöstä tai omasta aloitteestaan. Tässä tehtävässään tietosuojakoordinaattoreiden on oltava yhteydessä rekisterinpitäjien henkilöstöön, jonka on annettava tietosuojakoordinaattoreille kaikki tarvittavat tiedot. Asianomaisen rekisterinpitäjän harkinnan mukaan tähän voi kuulua myös tutustuminen henkilötietoihin, joita käsitellään kyseisen rekisterinpitäjän vastuulla;

b) tietosuojakoordinaattorien on avustettava tietosuojasta vastaavaa henkilöä: i) henkilötietojen käsittelyistä vastaavan rekisterinpitäjän selvittämisessä; ii) tietosuojasta vastaavan henkilön ohjeiden levittämisessä ja rekisterinpitäjän tukemisessa tietosuojasta vastaavan henkilön ohjeiden mukaisesti; iii) muissa tietosuojasta vastaavan henkilön työohjelmaan kuuluvissa asioissa tietosuojasta vastaavan henkilön ja tietosuojakoordinaattoreiden esimiesten keskinäisen sopimuksen mukaisesti.

7 artikla

Ilmoitusmenettely

1. Ennen uuden henkilötietoja koskevan käsittelytoimen aloittamista asianomaisen rekisterinpitäjän on ilmoitettava asiasta tietosuojasta vastaavalle henkilölle käyttäen verkkoliittymää, joka on saatavilla EJRK:n verkkosivuilla olevilla EJRK:n intranetsivuilla. Sellaisten käsittelyjen osalta, joita koskee asetuksen (EY) N:o 45/2001 27 artiklan 3 kohdan mukainen ennakkotarkastus, ilmoitus on tehtävä riittävän hyvissä ajoin ennen käsittelytoimen aloittamista, jotta Euroopan tietosuojavaltuutettu voi tehdä ennakkotarkastuksen.

2. Asianomaisen rekisterinpitäjän on viipymättä ilmoitettava tietosuojasta vastaavalle henkilölle kaikista muutoksista, jotka vaikuttavat tietosuojasta vastaavalle henkilölle annettuun ilmoitukseen sisältyviin tietoihin.

4 JAKSO

REKISTERÖIDYN OIKEUDET

8 artikla

Rekisteri

Tietosuojasta vastaavan henkilön asetuksen (EY) N:o 45/2001 26 artiklan nojalla pitämä rekisteri toimii EJRK:ssa suoritettujen henkilötietoihin liittyvien käsittelyjen luettelona. Rekisteröidyt voivat käyttää rekisterissä olevia tietoja toteuttaakseen asetuksen (EY) N:o 45/2001 13–19 artiklassa vahvistettuja oikeuksiaan.

9 artikla

Rekisteröityjen oikeuksien käyttäminen

1. Sen lisäksi, että rekisteröidyillä on oikeus saada asianmukaisella tavalla tietoa kaikista omien henkilötietojensa käsittelyistä, he voivat asetuksen (EY) N:o 45/2001 13–19 artiklan mukaisten oikeuksiensa käyttämiseksi kääntyä asianomaisen rekisterinpitäjän puoleen seuraavassa määritetyllä tavalla:

a) ainoastaan rekisteröity tai hänen asianmukaisesti valtuuttamansa edustaja voi käyttää näitä oikeuksia. Kaikkien näiden oikeuksien käyttäminen on näille henkilöille maksutonta;

b) näiden oikeuksien käyttämistä koskeva pyyntö on osoitettava kirjallisena asianomaiselle rekisterinpitäjälle. Rekisterinpitäjä saa hyväksyä pyynnön ainoastaan, jos pyynnön tehneen henkilön henkilöllisyys, ja tarvittaessa pyynnön esittäjän oikeus edustaa rekisteröityä, on asianmukaisesti selvitetty. Rekisterinpitäjän on viipymättä ilmoitettava rekisteröidylle kirjallisesti, onko pyyntö hyväksytty vai evätty. Jos pyyntö on evätty, rekisterinpitäjän on myös ilmoitettava epäämisen perustelut;

c) rekisterinpitäjän on milloin tahansa kolmen kuukauden kuluessa pyynnön vastaanottamisesta annettava asetuksen (EY) N:o 45/2001 13 artiklassa tarkoitetut tiedot pyynnön esittäneen henkilön toivomuksen mukaisesti joko siten, että rekisteröity saa tutustua tietoihin paikan päällä tai siten, että hänelle toimitetaan niistä jäljennös;

d) mikäli b tai c alakohdassa tarkoitettuja määräaikoja ei ole noudatettu, rekisteröity voi kääntyä tietosuojasta vastaavan henkilön puoleen. Jos rekisteröidyn oikeuksien käytössä havaitaan ilmeisiä väärinkäytöksiä, rekisterinpitäjä voi pyytää rekisteröityä kääntymään tietosuojasta vastaavan henkilön puoleen. Jos asia annetaan tietosuojasta vastaavan henkilön käsiteltäväksi, tietosuojasta vastaava henkilö ratkaisee asian sekä päättää asianmukaisista jatkotoimenpiteistä. Jos rekisteröity ja rekisterinpitäjä eivät pääse yhteisymmärrykseen, molemmilla on oikeus kääntyä tietosuojasta vastaavan henkilön puoleen.

2. Henkilöstön jäsenet voivat konsultoida tietosuojasta vastaavaa henkilöä ennen kantelun esittämistä Euroopan tietosuojavaltuutetulle.

10 artikla

Poikkeukset ja rajoitukset

1. Jos tietosuojasta vastaavaa henkilöä on kuultu etukäteen, rekisterinpitäjä voi rajoittaa asetuksen (EY) N:o 45/2001 13–17 artiklassa tarkoitettuja oikeuksia asetuksen (EY) N:o 45/2001 20 artiklassa vahvistettujen perusteiden ja edellytysten mukaisesti.

2. Rekisteröidyillä on oikeus pyytää Euroopan tietosuojavaltuutettua soveltamaan asetuksen (EY) N:o 45/2001 47 artiklan 1 kohdan c alakohtaa.

11 artikla

Tutkinta

1. Asetuksen (EY) N:o 45/2001 liitteessä olevaan 1 kohtaan perustuvat tutkintapyynnöt on osoitettava tietosuojasta vastaavalle henkilölle kirjallisesti.

2. Tietosuojasta vastaavan henkilön on lähetettävä vastaanottotodistus pyynnön esittäjälle 20 työpäivän kuluessa pyynnön vastaanottamisesta.

3. Tietosuojasta vastaava henkilö voi tutkia asian paikan päällä sekä pyytää asianomaiselta rekisterinpitäjältä kirjallisen lausunnon asiasta. Asianomaisen rekisterinpitäjän on toimitettava vastauksensa tietosuojasta vastaavalle henkilölle 20 työpäivän kuluessa tietosuojasta vastaavan henkilön pyynnön vastaanottamisesta. Tietosuojasta vastaava henkilö voi pyytää lisätietoja tai tukea sihteeristöltä. Pyydetyt lisätiedot tai tuki on annettava 20 työpäivän kuluessa tietosuojasta vastaavan henkilön pyynnön vastaanottamisesta.

4. Tietosuojasta vastaavan henkilön on raportoitava pyynnön esittäjälle kolmen kuukauden kuluessa pyynnön vastaanottamisesta.

5 JAKSO

VOIMAANTULO

12 artikla

Voimaantulo

Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Frankfurt am Mainissa 13 päivänä heinäkuuta 2012. EJRK:n puheenjohtaja Mario DRAGHI

(1) EYVL L 8, 12.1.2001, s. 1.