ALUEIDEN KOMITEAN TYÖVALIOKUNNAN PÄÄTÖS N:o 4/2022,

annettu 25 päivänä tammikuuta 2022,

rekisteröityjen tiettyjen oikeuksien rajoittamista Euroopan alueiden komitean toimintaan ja menettelyihin liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä

ALUEIDEN KOMITEAN TYÖVALIOKUNTA, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen (1) ja erityisesti sen 306 artiklan,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23. lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (2) (jäljempänä ’asetus’ tai ’EU:n tietosuoja-asetus’) ja erityisesti sen 25 artiklan,

ottaa huomioon Euroopan alueiden komitean työjärjestyksen (3) ja erityisesti sen 37 artiklan d kohdan,

ottaa huomioon Euroopan tietosuojavaltuutetun, jota kuultiin EU:n tietosuoja-asetuksen 41 artiklan 2 kohdan mukaisesti, 20. huhtikuuta 2021 antaman lausunnon D(2021) 0894 (asia 2021–0345),

sekä katsoo seuraavaa:

(1) Kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (jäljempänä ’rekisteröity’) liittyviä tietoja on pidettävä henkilötietoina EU:n tietosuoja-asetuksen 3 artiklan 1 kohdan nojalla.

(2) Asetusta sovelletaan alueiden komiteaan (jäljempänä ’komitea’) samalla tavalla kuin muihin unionin toimielimiin komitean toiminnan ja menettelyjen yhteydessä.

(3) EU:n tietosuoja-asetuksen 3 artiklan 8 kohdassa tarkoitettu rekisterinpitäjä on komitea, joka voi siirtää edelleen vastuun henkilötietojen käsittelyn tarkoituksen ja keinojen määrittämisestä.

(4) Alueiden komitean työvaliokunta (jäljempänä ’työvaliokunta’) on EU:n tietosuoja-asetuksen 45 artiklan 3 kohdan mukaisesti antanut asetusta ja komitean tietosuojavastaavaa koskevat soveltamissäännöt (4). Soveltamissääntöjen mukaan komitean pääsihteeristön alaosasto (osasto, yksikkö tai jaos) tai alueiden komitean poliittisen ryhmän sihteeristö, joka yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot, toimii näiden tietojen osalta valtuutettuna rekisterinpitäjänä alueiden komitean lukuun.

(5) Komitealla ja Euroopan talous- ja sosiaalikomitealla (’ETSK’) on yhteisiä osastoja ja resursseja (’yhteispalvelut’) toimielinten välisen yhteistyön puitteissa, ja rekisteröityjen oikeuksien rajoittamista yhteispalveluissa tapahtuvan henkilötietojen käsittelyn yhteydessä koskevat sisäiset säännöt vahvistetaan komitean ja ETSK:n sitä varten sopimien järjestelyjen mukaisesti.

(6) Rekisterinpitäjä kerää ja käsittelee komitean tehtävien hoitamista varten tietoja ja useita erityyppisiä henkilötietoja, muun muassa luonnollisten henkilöiden tunnistetietoja, yhteystietoja, toimenkuvia ja työtehtäviä koskevia tietoja, tietoja käyttäytymisestä ja toiminnasta yksityis- ja työelämässä sekä taloudellisia tietoja. Asetuksen mukaisesti rekisterinpitäjällä on siten velvollisuus antaa rekisteröidyille tietoa kyseisistä käsittelytoimista ja kunnioittaa heidän oikeuksiaan rekisteröityinä.

(7) Rekisterinpitäjät saattavat joutua sovittamaan kyseiset oikeudet yhteen komiteassa toteutettavien tutkimusten, tutkintojen, varmistusten, toimintojen, tarkastusten ja menettelyjen tavoitteiden kanssa. Näiden on kenties myös punnittava rekisteröidyn oikeuksia suhteessa muiden rekisteröityjen perusoikeuksiin ja -vapauksiin. EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan mukaan rekisterinpitäjät voivat rajoittaa asetuksen 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 ja 36 artiklan soveltamista sekä asetuksen 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

(8) Rekisterinpitäjien tulee soveltaa rajoituksia vain, jos ne ovat keskeisiltä osin perusoikeuksien ja -vapauksien mukaisia, ne ovat ehdottoman välttämättömiä ja toimenpide on demokraattisessa yhteiskunnassa oikeasuhteinen.

(9) Rekisterinpitäjien on esitettävä perustelut rajoituksille ja pidettävä kirjaa rekisteröityjen oikeuksiin kohdistuvien rajoitusten soveltamisesta.

(10) Rekisterinpitäjien on poistettava rajoitus heti, kun rajoituksen perusteena olleet edellytykset eivät enää täyty. Näitä edellytyksiä on arvioitava säännöllisesti.

(11) Parhaan mahdollisen suojan takaamiseksi rekisteröityjen oikeuksille ja vapauksille tietosuojavastaavaa tulee kuulla hyvissä ajoin kaikista mahdollisesti sovellettavista rajoituksista ja tietosuojavastaavan tulee tarkistaa, että rajoitukset ovat tämän päätöksen mukaisia.

(12) Ellei rajoituksista säädetä perussopimusten (5) perusteella annetussa säädöksessä, on annettava sisäisiä sääntöjä, joiden nojalla rekisterinpitäjä voi rajoittaa rekisteröityjen oikeuksia.

(13) Tätä päätöstä ei tule soveltaa tapauksissa, joissa sovelletaan yhtä EU:n tietosuoja-asetuksen 15 artiklan 4 kohdassa tai 16 artiklan 5 kohdassa tarkoitetuista rekisteröidylle toimitettavia tietoja koskevista poikkeuksista,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla Kohde, soveltamisala ja määritelmät 1. Tässä päätöksessä vahvistetaan yleiset säännöt edellytyksistä, joiden täyttyessä rekisterinpitäjä voi EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan nojalla rajoittaa asetuksen 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 ja 36 artiklan soveltamista sekä asetuksen 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia. 2. Tässä päätöksessä tarkoitetaan a) ’henkilötiedoilla’ kaikkia rekisteröityyn liittyviä tietoja, joita käsitellään osana sellaista toimintaa tai menettelyjä, jotka eivät kuulu Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 luvun tai 5 luvun soveltamisalaan, poiketen EU:n tietosuoja-asetuksen 3 artiklan 2 kohdassa tarkoitetuista operatiivisista henkilötiedoista, b) ’rekisterinpitäjällä’ tahoa, joka yksin tai yhdessä toisten kanssa tosiasiallisesti määrittää henkilötietojen käsittelyn tarkoitukset ja keinot komitean toteuttamien toimien ja menettelyjen yhteydessä riippumatta siitä, onko vastuu tällaisesta määrittämisestä siirretty. 3. Tätä päätöstä sovelletaan henkilötietojen käsittelyyn komitean toteuttamien toimien ja menettelyjen edellyttämissä tarkoituksissa. Sitä ei sovelleta, kun rekisteröityjen oikeuksien rajoittamisesta on säädetty perussopimusten nojalla annetussa säädöksessä. 4. EU:n tietosuoja-asetuksen 3 artiklan 8 kohdassa tarkoitettu rekisterinpitäjä on komitea, joka voi siirtää edelleen vastuun henkilötietojen käsittelyn tarkoituksen ja keinojen määrittämisestä. 5. Vastuussa oleva rekisterinpitäjä osoitetaan asiaa koskevien komitean sisäisten päätösten, menettelyjen ja täytäntöönpanosääntöjen mukaisesti joka kerran tietojen käsittelyä, rajoitusten soveltamista sekä tietojen antamisen lykkäämistä, ilmoittamatta jättämistä tai tiedonsaannin epäämistä varten.

2 artikla Poikkeukset 1. Ennen 3 artiklan 1 kohdassa tarkoitettujen rajoitusten soveltamista rekisterinpitäjän on punnittava, sovelletaanko jotain asetuksessa tarkoitetuista poikkeuksista ja erityisesti EU:n tietosuoja-asetuksen 15 artiklan 4 kohdan, 16 artiklan 5 kohdan, 19 artiklan 3 kohdan, 25 artiklan 3 ja 4 kohdan sekä 35 artiklan 3 kohdan mukaisia poikkeuksia. 2. Poikkeusten soveltamisessa otetaan huomioon asianmukaiset suojatoimet EU:n tietosuoja-asetuksen 13 artiklan ja tämän päätöksen 6 artiklan mukaisesti.

3 artikla Rajoitukset 1. Rekisterinpitäjä voi tilanteen mukaan rajoittaa EU:n tietosuoja-asetuksen 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 ja 36 artiklan soveltamista sekä asetuksen 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat tietosuoja-asetuksen 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, kun rekisteröityjen oikeuksien käyttäminen vaikuttaa haitallisesti yhden tai useamman komitean toteuttaman toimen tai menettelyn tarkoitukseen tai tulokseen ja erityisesti a) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, g ja h alakohdan nojalla, kun nimittävä viranomainen ja työsopimusten tekemiseen valtuutettu viranomainen (jäljempänä ’nimittävä viranomainen’) toteuttaa kurinpitomenettelyjä, hallinnollisia tutkimuksia tai henkilöstöasioihin liittyviä tutkimuksia Euroopan unionin virkamiehiin sovellettavien henkilöstösääntöjen (jäljempänä ’henkilöstösäännöt’) 86 artiklan ja henkilöstösääntöjen IX liitteen sekä Euroopan unionin muuta henkilöstöä koskevien palvelussuhteen ehtojen (6) (jäljempänä ’palvelussuhteen ehdot’) 50 a ja 119 artiklan mukaisesti sekä tutkimuksia, jotka liittyvät henkilöstösääntöjen 24 artiklan tai muuhun henkilöstöön sovellettavien palvelussuhteen ehtojen 11 tai 81 artiklan nojalla esitettyihin avustuspyyntöihin tai henkilöstösääntöjen 12 a artiklassa tarkoitettuihin väitettyihin häirintätapauksiin. b) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, f ja h alakohdan nojalla, kun nimittävä viranomainen tarkastelee komitean virkamiesten ja muun henkilöstön (jäljempänä ’komitean henkilöstö’) henkilöstösääntöjen 90 artiklan ja palvelussuhteen ehtojen 46 ja 117 artiklan mukaisesti jättämiä hakemuksia ja valituksia. c) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan c ja h alakohdan nojalla, kun nimittävä viranomainen panee täytäntöön komitean henkilöstöpolitiikkaa toteuttamalla valinta- (palvelukseenotto-), arviointi- ja ylennysmenettelyjä. d) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan c, f, g ja h alakohdan nojalla, kun komitean valtuutettu tulojen ja menojen hyväksyjä (jäljempänä ’tulojen ja menojen hyväksyjä’) panee täytäntöön komitean osuutta Euroopan unionin yleisestä talousarviosta toteuttamalla hankintamenettelyjä unionin yleiseen talousarvioon sovellettavien varainhoitosääntöjen (7) (jäljempänä ’varainhoitoasetus’) mukaisesti. e) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, f, g ja h alakohdan nojalla, kun tulojen ja menojen hyväksyjä seuraa ja tutkii komitean toteuttaman ja komiteassa toteutetun varainkäytön laillisuutta komitean jäsenten ja varajäsenten (jäljempänä ’komitean jäsenet’) taloudellisten etuuksien (8) osalta ja komitean yksin tai muiden kanssa järjestämien toimien ja tapahtumien rahoituksen osalta sekä käsittelee henkilöstön jäsenten tekemiä taloudellisia väärinkäytöksiä varainhoitoasetuksen 93 artiklan mukaisesti. f) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, f, g ja h alakohdan nojalla, kun komitea toimittaa tietoja ja asiakirjoja Euroopan petostentorjuntavirastolle (OLAF) joko OLAFin pyynnöstä tai omasta aloitteestaan tai ilmoittaa OLAFille tapauksista tai käsittelee OLAFilta saatuja tietoja ja asiakirjoja (9). g) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan c, g ja h alakohdan nojalla, kun komitea tekee sisäisiä tarkastuksia osastojensa toiminnasta ja menettelyistä varainhoitoasetuksen 118 ja 119 artiklan soveltamista varten. h) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan c, d ja h alakohdan nojalla, kun komitea tekee sisäisiä riskiarviointeja tai toteuttaa pääsynvalvontaa, mukaan lukien taustatarkastuksia, turvallisuushäiriöiden ja vaaratilanteiden ennaltaehkäisy- ja tutkimustoimenpiteitä, mukaan lukien tapaukset, joissa on osallisina komitean jäseniä tai henkilöstön jäseniä, sekä tapaukset, jotka liittyvät komitean infrastruktuuriin tai tieto- ja viestintäteknologiaan, sekä turvallisuusselvityksiä ja lisätutkimuksia, jotka voivat kohdistua myös sen sähköiseen viestintäverkostoon, joko omasta aloitteestaan tai kolmansien osapuolten pyynnöstä. i) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan c, d ja h alakohdan nojalla, kun tietosuojavastaava omasta aloitteestaan tai kolmansien osapuolten pyynnöstä tutkii seikkoja ja tapauksia, jotka välittömästi liittyvät hänen tehtäviinsä ja jotka tulevat hänen tietoonsa, EU:n tietosuoja-asetuksen 45 artiklan 2 kohdan mukaisesti. j) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan h alakohdan nojalla, kun rekisterinpitäjä käsittelee henkilötietoja, jotka on saatu henkilöstön jäsenen ilmoittaessa vilpittömässä mielessä tosiseikoista, jotka viittaavat mahdolliseen unionin etuja vahingoittavaan laittomaan toimintaan, petokset ja lahjonta mukaan luettuina (”vakavat väärinkäytökset”), tai työtehtävien hoitamiseen liittyvään käytökseen, joka voi olla henkilöstön jäsenten velvollisuuksien vakava laiminlyönti (”vakavat rikkomukset”). k) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan h alakohdan nojalla, kun rekisterinpitäjä käsittelee henkilötietoja, jotka häirintäyhdyshenkilö on saanut väitettyä häirintää koskevan epävirallisen menettelyn yhteydessä. l) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan h alakohdan nojalla, kun rekisterinpitäjä käsittelee joko komitean jäsenen tai henkilöstön jäsenen henkilökohtaisia terveystietoja (”lääketieteelliset tiedot”), psykologiset tai psykiatriset tiedot mukaan luettuina, jotka sisältyvät komitean hallussa oleviin asianomaisen rekisteröidyn terveystietoihin. m) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan e alakohdan nojalla, kun rekisterinpitäjä käsittelee Euroopan unionin tuomioistuimessa (jäljempänä ’tuomioistuin’) käsiteltävien asioiden yhteydessä osapuolten tai väliintulijoiden tuottamien tai näiltä saatujen asiakirjojen sisältämiä henkilötietoja. n) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, d. g ja h alakohdan nojalla, kun komitea antaa apua muille unionin toimielimille, elimille tai laitoksille tai saa niiltä apua tai tekee niiden kanssa yhteistyötä edellä 1 kohdan a–m alakohdassa tarkoitettujen toimien tai menettelyjen yhteydessä ja asiaankuuluvien yksikön tason sopimusten, yhteisymmärryspöytäkirjojen ja yhteistyösopimusten mukaisesti. o) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan b, c, g ja h alakohdan nojalla, kun komitea antaa apua jäsenvaltioiden tai kolmansien maiden viranomaisille tai kansainvälisille organisaatioille tai saa niiltä apua tai tekee tällaisten viranomaisten tai organisaatioiden kanssa yhteistyötä joko niiden pyynnöstä tai omasta aloitteestaan. p) EU:n tietosuoja-asetuksen 25 artiklan 1 kohdan a, b, e ja f alakohdan nojalla, kun komitea antaa jäsenvaltioiden tai kolmansien maiden viranomaisille tai kansainvälisille organisaatioille tietoja ja asiakirjoja, joita ne ovat pyytäneet tutkinnan yhteydessä. 2. Edellä 1 kohdassa tarkoitetut rajoitukset voivat kohdistua yhtä lailla objektiivisiin henkilötietoihin (”kovat tiedot”) ja subjektiivisiin henkilötietoihin (”pehmeät tiedot”), jotka kuuluvat erityisesti mutta ei yksinomaan yhteen tai useampiin seuraavista ryhmistä: a) tunnistetiedot b) yhteystiedot c) ammatilliset tiedot (10) d) taloudelliset tiedot e) seurantatiedot (11) f) teleliikennetiedot (12) g) lääketieteelliset tiedot (13) h) geneettiset tiedot (13) i) biometriset tiedot (13) j) luonnollisen henkilön sukupuolielämää tai seksuaalista suuntautumista koskevat tiedot (13) k) tiedot rodusta tai etnisestä alkuperästä, uskonnollisesta tai filosofisesta vakaumuksesta, poliittisista mielipiteistä tai jäsenyyksistä tai kuulumisesta ammattiliittoihin (13) l) tiedot valinta- (palvelukseenotto-), arviointi- tai ylennysmenettelyyn osallistuvan luonnollisen henkilön menestymisestä tai käyttäytymisestä (14) m) tiedot luonnollisen henkilön läsnäolosta n) tiedot luonnollisen henkilön muusta toiminnasta o) tiedot rikosepäilyistä, rikoksista, rikostuomioista tai turvatoimenpiteistä p) sähköinen viestintä q) kaikki muut tiedot, jotka liittyvät sen toiminnan tai menettelyn aiheeseen, joka edellyttää kyseisten tietojen käsittelyä. 3. Rajoitusten on oltava keskeisiltä osin perusoikeuksien ja -vapauksien mukaisia, niiden on oltava demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia, ja niiden on rajoitettava siihen, mikä on ehdottoman välttämätöntä niiden tavoitteen saavuttamiseksi. 4. Mahdollisten EU:n tietosuoja-asetuksen 36 artiklan (Sähköisen viestinnän luottamuksellisuus) täydellisten tai osittaisten rajoitusten on 1 kohdan mukaisesti oltava yksityisyyden suojasta sähköisen viestinnän alalla annetun voimassa olevan unionin lainsäädännön (15) mukaisia. 5. Rekisterinpitäjän on tarkasteltava uudelleen 1 kohdassa tarkoitettujen rajoitusten soveltamista säännöllisin väliajoin, vähintään kuuden kuukauden välein alkaen niiden asettamisesta, mutta myös kun tapaukseen liittyvät olennaiset ja ratkaisevat seikat muuttuvat ja kun rajoituksiin johtanut toiminta tai menettely on saatu päätökseen tai lopetetaan. Tämän jälkeen rekisterinpitäjän on seurattava vuosittain, onko rajoitus tarpeen pitää voimassa. 6. Edellä 1 kohdassa tarkoitettuja rajoituksia sovelletaan niin kauan kuin niiden perusteet ovat voimassa. Kun 1 kohdassa tarkoitetulle rajoitukselle ei ole enää perusteita, rekisterinpitäjän on poistettava rajoitus. 7. Käsitellessään komitean tehtävien yhteydessä kolmansilta tahoilta saatuja henkilötietoja rekisterinpitäjä kuulee näitä kolmansia tahoja mahdollisista rajoitusten asettamisen perusteista ja kyseisten rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta, ellei tämä vaikuta haitallisesti komitean toimintaan tai menettelyihin.

4 artikla Tarpeellisuuden ja oikeasuhteisuuden arviointi 1. Ennen rajoitusten soveltamista rekisterinpitäjän on arvioitava tapauskohtaisesti, onko suunniteltu rajoitus tarpeellinen ja oikeasuhteinen. 2. Rekisterinpitäjän on aina rajoituksen tarpeellisuutta ja oikeasuhteisuutta arvioidessaan otettava huomioon mahdolliset rekisteröidyn oikeuksiin ja vapauksiin kohdistuvat riskit. 3. Arviot rekisteröityjen oikeuksiin ja vapauksiin rajoitusten asettamisen vuoksi kohdistuvista riskeistä, joihin kuuluu erityisesti riski siitä, että heidän henkilötietojaan voidaan käsitellä edelleen heidän tietämättään ja että he eivät välttämättä pysty käyttämään oikeuksiaan asetuksen mukaisesti, sekä tarkat tiedot kyseisten rajoitusten soveltamisajasta kirjataan käsittelytoimien selosteeseen, jota rekisterinpitäjä ylläpitää EU:n tietosuoja-asetuksen 31 artiklan 1 kohdan mukaisesti. Ne kirjataan myös kaikkiin kyseisistä rajoituksista EU:n tietosuoja-asetuksen 39 artiklan mukaisesti tehtäviin tietosuojaa koskeviin vaikutustenarviointeihin.

5 artikla Rajoitusten kirjaaminen ja rekisteröinti 1. Rajoituksia soveltaessaan rekisterinpitäjän on kirjattava seuraavat tiedot: a) rajoitusten soveltamisen syyt b) rajoitusten soveltamisen perustelut c) miten rekisteröityjen oikeuksien käyttäminen vaikuttaisi haitallisesti yhden tai useamman komitean toteuttaman toimen tai menettelyn tarkoitukseen tai tulokseen d) 4 artiklan 1 kohdassa tarkoitetun arvion tulokset. 2. Edellä 1 kohdassa tarkoitetut selosteet säilytetään EU:n tietosuoja-asetuksen 31 artiklan 5 kohdassa tarkoitetussa keskusrekisterissä ja annetaan pyynnöstä Euroopan tietosuojavaltuutetun saataville. 3. Jos rekisterinpitäjä rajoittaa EU:n tietosuoja-asetuksen 35 artiklan (Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle) soveltamista, 1 kohdassa tarkoitettu seloste sisällytetään Euroopan tietosuojavaltuutetulle EU:n tietosuoja-asetuksen 34 artiklan 1 kohdan mukaisesti annettavaan ilmoitukseen.

6 artikla Suojatoimet ja säilytysaika 1. Rekisterinpitäjä ottaa käyttöön suojatoimia, joilla estetään 3 artiklan 1 kohdan nojalla asetettujen rajoitusten soveltamisalaan mahdollisesti kuuluvien henkilötietojen väärinkäyttö, lainvastainen pääsy kyseisiin henkilötietoihin ja niiden lainvastainen siirtäminen. Näiden suojatoimien on käsitettävä asianmukaisia teknisiä ja organisatorisia toimenpiteitä, ja ne määritellään tarpeen mukaan yksityiskohtaisesti komitean sisäisissä päätöksissä, menettelyissä ja täytäntöönpanomääräyksissä. 2. Edellä 1 kohdassa tarkoitettuja suojatoimia ovat seuraavat: a) roolien, vastuualueiden ja menettelyn eri vaiheiden selkeä määrittäminen b) tarvittaessa suojattu sähköinen ympäristö, jonka avulla estetään lainvastainen ja tahaton pääsy sähköisiin tietoihin tai siirto asiattomille henkilöille c) tarvittaessa paperiasiakirjojen suojattu säilytys ja käsittely d) rajoitusten asianmukainen seuranta ja niiden soveltamisen uudelleentarkastelu säännöllisin määräajoin. 3. Henkilötietoja säilytetään voimassa olevien komitean sääntöjen (16) mukaisesti, ja tämä kuvataan rekisterinpitäjän EU:n tietosuoja-asetuksen 31 artiklan 1 kohdan mukaisesti ylläpitämässä selosteessa. Kun säilytysaika päättyy, henkilötiedot tapauksen mukaan joko poistetaan, anonymisoidaan niin, ettei asianomaista rekisteröityä voida tai voida enää tunnistaa, tai siirretään komitean arkistoihin EU:n tietosuoja-asetuksen 13 artiklan mukaisesti.

7 artikla Tietojen antaminen rekisteröidyille heidän oikeuksiensa rajoittamisesta 1. Komitean julkisella verkkosivustolla ja intranetissä julkaistaviin tietosuojaselosteisiin sisällytetään osio, jossa annetaan rekisteröidyille yleistä tietoa mahdollisuudesta rajoittaa heille kuuluvia oikeuksia sellaisen komitean toiminnan ja menettelyjen yhteydessä, joihin liittyy heidän henkilötietojensa käsittelyä. Osiossa on täsmennettävä, mitä oikeuksia voidaan rajoittaa, millä perusteella rajoituksia voidaan soveltaa, kuinka kauan rajoitukset voivat kestää ja mitä hallinnollisia ja oikeudellisia muutoksenhakukeinoja rekisteröidyillä on käytettävissään. 2. Soveltaessaan rajoituksia rekisterinpitäjän on ilmoitettava viipymättä ja parhaiten soveltuvalla tavalla suoraan kullekin asianomaiselle rekisteröidylle seuraavista seikoista: a) voimassa olevat tai tulevat oikeuksien rajoitukset b) rajoituksen soveltamisen pääasialliset syyt c) oikeus ottaa yhteyttä tietosuojavastaavaan rajoituksen riitauttamiseksi d) oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle e) oikeus hakea muutosta unionin tuomioistuimelta. 3. Sen estämättä, mitä 2 kohdassa säädetään, jos rekisterinpitäjä rajoittaa poikkeuksellisesti EU:n tietosuoja-asetuksen 35 artiklan (Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle) soveltamista, rekisterinpitäjän on ilmoitettava henkilötietojen tietoturvaloukkauksesta asianomaiselle rekisteröidylle ja annettava 2 kohdan b, d ja e alakohdassa tarkoitetut tiedot heti kun syitä tällaisen viestinnän rajoittamiselle ei enää ole. 4. Sen estämättä, mitä 2 kohdassa säädetään, jos rekisterinpitäjä rajoittaa poikkeuksellisesti EU:n tietosuoja-asetuksen 36 artiklan (Sähköisen viestinnän luottamuksellisuus) soveltamista, rekisterinpitäjän on annettava 2 kohdassa tarkoitetut tiedot vastatessaan asianomaisen rekisteröidyn mahdolliseen hakemukseen. 5. Rekisterinpitäjä voi lykätä 2 kohdassa tarkoitettujen tietojen antamista, jättää ne ilmoittamatta tai evätä tiedot (’tiedon antamisen lykkääminen, tietojen ilmoittamatta jättäminen tai tiedonsaannin epääminen’), mikäli niiden antaminen mitätöisi rajoituksen vaikutuksen. Rekisterinpitäjän on annettava asianomaiselle rekisteröidylle 2 kohdassa tarkoitetut tiedot heti, kun tietojen antaminen ei enää mitätöi rajoituksen vaikutusta. 6. Edellä olevia 4 ja 5 artiklaa sovelletaan vastaavasti kaikkiin tapauksiin, joissa tietojen antamista lykätään, tietoja jätetään ilmoittamatta tai tiedonsaanti evätään.

8 artikla Komitean tietosuojavastaavan osallistuminen 1. Rekisterinpitäjän on viipymättä ilmoitettava tietosuojavastaavalle kirjallisesti aina rajoittaessaan rekisteröidyn oikeuksia 3 artiklan 1 kohdan nojalla, tehdessään 3 artiklan 5 kohdassa tarkoitettua säännöllistä uudelleentarkastelua, poistaessaan rajoituksia 3 artiklan 6 kohdan mukaisesti tai lykätessään 7 artiklan 2 kohdassa tarkoitettujen tietojen antamista, jättäessään näitä tietoja ilmoittamatta tai evätessään näiden tietojen saannin 7 artiklan 5 kohdan nojalla. Tietosuojavastaavalle on annettava pyynnöstä mahdollisuus tutustua asianomaisiin selosteisiin ja kaikkiin asiakirjoihin, jotka sisältävät asiaan liittyviä tosiseikkoja tai oikeudellisia seikkoja. 2. Tietosuojavastaava voi pyytää rekisterinpitäjää tarkastelemaan uudelleen voimassa olevia rajoituksia sekä tietojen antamisen lykkäämistä, tietojen ilmoittamatta jättämistä tai tietojen epäämistä ja näiden soveltamista. Tietosuojavastaavalle on ilmoitettava kirjallisesti uudelleentarkastelun tuloksista. 3. Rekisterinpitäjän on kirjattava asianmukaisesti tietosuojavastaavan osallistuminen 1 ja 2 artiklan mukaisesti, mukaan luettuina tietosuojavastaavan kanssa jaetut tiedot, sovellettaessa rajoituksia, lykättäessä tietojen antamista, jätettäessä tietoja ilmoittamatta tai evättäessä tietojen saanti. 4. Tietosuojavastaavan on pyynnöstä esitettävä rekisterinpitäjälle näkemyksensä siitä, miten vastuualueet määritetään EU:n tietosuoja-asetuksen 28 artiklan 1 kohdan mukaisessa yhteisrekisterinpitäjien järjestelyssä.

9 artikla Yhteispalvelut Tietosuojavastaava tekee yhteistyötä ETSK:n tietosuojavastaavan kanssa käsiteltäessä henkilötietoja yhteispalveluissa tämän päätöksen tehokkaan täytäntöönpanon varmistamiseksi.

10 artikla Loppumääräykset 1. Pääsihteeri voi antaa tarvittaessa ohjeita tai hyväksyä täytäntöönpanotoimenpiteitä, joilla täsmennetään ja sovelletaan käytännössä tämän päätöksen määräyksiä päätöstä noudattaen 2. Tämä päätös tulee voimaan 20 päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 25 päivänä tammikuuta 2022. Alueiden komitean työvaliokunnan nimissä Apostolos TZITZIKOSTAS Puheenjohtaja

(1) EUVL C 202, 7.6.2016, s. 47.

(2) EUVL L 295, 21.11.2018, s. 39.

(3) EUVL L 472, 30.12.2021, s. 1.

(4) Alueiden komitean työvaliokunnan päätös N:o 19/2020, annettu 9. lokakuuta 2020, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 23. lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 soveltamissäännöistä (jäljempänä ’päätös N:o 19/2020’).

(5) Euroopan unionista tehty sopimus (SEU) (EUVL C 202, 7.6.2016, s. 13) ja Euroopan unionin toiminnasta tehty sopimus (SEUT).

(6) Liite neuvoston asetukseen N:o 31 (ETY) 11 (Euratom), Euroopan talousyhteisön ja Euroopan atomienergiajärjestön virkamiehiin sovellettavien henkilöstösääntöjen ja näiden yhteisöjen muuta henkilöstöä koskevien palvelussuhteen ehtojen vahvistamisesta (EYVL P 45, 14.6.1962, s. 1385), sellaisena kuin se on muutettuna asetuksella (ETY, Euratom, EHTY) N:o 259/68, annettu 29 päivänä helmikuuta 1968, Euroopan yhteisöjen virkamiehiin sovellettavien henkilöstösääntöjen ja näiden yhteisöjen muuta henkilöstöä koskevien palvelussuhteen ehtojen vahvistamisesta ja komission virkamiehiin väliaikaisesti sovellettavista erityistoimenpiteistä (EYVL L 56, 4.3.1968, s. 1) ja sellaisena kuin se on muutettuna, oikaistuna, täydennettynä taikka muulla tavoin muunnettuna.

(7) Euroopan parlamentin ja neuvoston asetus (EU, Euratom) 2018/1046, annettu 18 päivänä heinäkuuta 2018, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä, asetusten (EU) N:o 1296/2013, (EU) N:o 1301/2013, (EU) N:o 1303/2013, (EU) N:o 1304/2013, (EU) N:o 1309/2013, (EU) N:o 1316/2013, (EU) N:o 223/2014, (EU) N:o 283/2014 ja päätöksen N:o 541/2014/EU muuttamisesta sekä asetuksen (EU, Euratom) N:o 966/2012 kumoamisesta (EUVL L 193, 30.7.2018, s. 1).

(8) Näihin kuuluvat muun muassa yleiset kulukorvaukset, henkilöstölle maksettavat korvaukset, laite- ja tilakorvaukset, matkakorvaukset, päivärahat ja (etä)kokouspäivärahat sekä muut varainhoitoasetuksen 238 artiklan mukaisesti maksettavat korvaukset.

(9) Tätä kohtaa ei sovelleta sellaisten henkilötietojen käsittelyyn, joiden ainoana rekisterinpitäjänä OLAF toimii, erityisesti kun OLAF käsittelee komitean tiloissa säilytettäviä henkilötietoja.

(10) Mukaan lukien mutta ei ainoastaan työsopimukset, alihankintasopimukset ja tiedot virkamatkoista.

(11) Mukaan lukien mutta ei ainoastaan ääni- ja videotallenteet sekä kirjautumisrekisterit saavuttaessa ja lähdettäessä.

(12) Mukaan lukien mutta ei ainoastaan sisäänkirjautumis- ja uloskirjautumisajat, pääsy sisäisiin sovelluksiin ja verkkoresursseihin sekä internetin käyttö.

(13) Siltä osin kuin tällaisia tietoja käsitellään EU:n tietosuoja-asetuksen 10 artiklan 2 kohdan nojalla.

(14) Mukaan lukien mutta ei ainoastaan kirjalliset testit, puhetallenteet, arviointilomakkeet sekä arvioijien näkemykset, huomautukset tai mielipiteet.

(15) Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) (EYVL L 201, 31.7.2002, s. 37).

(16) Alueiden komitean pääsihteerin 17. kesäkuuta 2003 tekemä päätös N:o 129/2003 alueiden komitean asiakirjahallinnosta.