EUROOPAN KALASTUKSENVALVONTAVIRASTON HALLINTONEUVOSTON PÄÄTÖS N:o 20-W-3,

tehty 22 päivänä huhtikuuta 2020,

rekisteröityjen tiettyjen oikeuksien rajoittamista Euroopan kalastuksenvalvontaviraston toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä

EUROOPAN KALASTUKSENVALVONTAVIRASTON HALLINTONEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan,

ottaa huomioon Euroopan kalastuksenvalvontaviraston perustamisesta 19 päivänä maaliskuuta 2019 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 2019/473 (2) ja erityisesti sen 32 artiklan 2 kohdan h alakohdan,

kuultuaan tästä päätöksestä Euroopan tietosuojavaltuutettua asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti

katsoo seuraavaa:

(1) Asetuksessa (EU) 2019/473 säädetään Euroopan kalastuksenvalvontavirastosta, jäljempänä ’virasto’, jonka tavoitteena on järjestää jäsenvaltioiden kalastuksen valvonta- ja tarkastustoimien koordinointi ja auttaa jäsenvaltioita tekemään yhteistyötä yhteisen kalastuspolitiikan sääntöjen noudattamiseksi sen tehokkaan ja yhdenmukaisen soveltamisen varmistamiseksi.

(2) Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaan tämän asetuksen 14–22, 35 ja 36 artiklan soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, koskevien rajoitusten on perustuttava viraston antamiin sisäisiin sääntöihin, mikäli ne eivät perustu perussopimusten nojalla annettuihin säädöksiin.

(3) Näitä sisäisiä sääntöjä, muun muassa rajoituksen välttämättömyyden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pidä soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.

(4) Kun virasto suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

(5) Hallinnollisten tehtäviensä yhteydessä virasto voi tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, toteuttaa alustavia toimia, jotka liittyvät mahdollisiin Euroopan petostentorjuntavirastolle ilmoitettaviin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamiseen liittyviä asioita, toteuttaa virallisia ja epävirallisia menettelyjä häirinnän torjumiseksi, käsitellä sisäisiä ja ulkoisia kanteluja, tehdä sisäisiä tarkastuksia sekä pyytää tietosuojavastaavaa tekemään tutkintoja asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti ja toteuttaa sisäisiä (tietoteknisiä) turvallisuustutkintoja.

(6) Operatiivisten toimiensa yhteydessä virasto saa unionin tarkastajilta tarkastusraportteja komission täytäntöönpanoasetuksen (EU) N:o 404/2011 (3) 123 artiklan, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1236/2010 (4) 18, 19 ja 20 artiklan sekä Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/833 (5) 30, 33 ja 34 artiklan mukaisesti. Virasto saa myös tietoa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja komission asetuksen (EY) N:o 1005/2008 (6) 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tehtävien valmistelua ja toteuttamista varten komission päätöksen 2009/988/EU (7) mukaisesti.

(7) Virasto käsittelee useita henkilötietoryhmiä, muun muassa kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

(8) Rekisterinpitäjänä toimii virasto, jota edustaa sen pääjohtaja, riippumatta siitä, että rekisterinpitäjän tehtävä olisi delegoitu virastossa toiselle henkilölle, tiettyihin henkilötietojen käsittelytoimiin liittyvien operatiivisten vastuiden mukaisesti.

(9) Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai viraston rekistereissä määritetyn ajan.

(10) Sisäisiä sääntöjä on sovellettava kaikkiin viraston toteuttamiin käsittelytoimiin, jotka koskevat hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät mahdollisiin Euroopan petostentorjuntavirastolle ilmoitettaviin sääntöjenvastaisuuksiin, väärinkäytösten paljastamiseen liittyviä menettelyjä, virallisia ja epävirallisia häirintätapausten tutkintamenettelyjä, sisäisiä ja ulkoisia kanteluja, sisäisiä tarkastuksia sekä tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkintoja ja (tietoteknisiä) turvallisuustutkintoja, jotka toteutetaan sisäisesti tai ulkopuolisten tukemana (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla), ja edellä johdanto-osan 6 kappaleessa tarkoitettuja operatiivisia toimia.

(11) Sisäisiä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana, ja kun pannaan täytäntöön edellä johdanto-osan 6 kappaleessa tarkoitettuja operatiivisia toimia. Tätä tulee soveltaa myös apuun, jota virasto antaa kansallisille viranomaisille ja kansainvälisille organisaatioille, ja yhteistyöhön, jota virasto tekee näiden tahojen kanssa, sen hallinnollisten tutkintojen ulkopuolella.

(12) Asioissa, joissa näitä sisäisiä sääntöjä sovelletaan, viraston on esitettävä perustelut, joissa selitetään, miksi rajoitukset ovat ehdottoman välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja kunnioitettava perusoikeuksien ja -vapauksien periaatteita.

(13) Näiden periaatteiden mukaisesti virasto on sitoutunut kunnioittamaan niin pitkälle kuin mahdollista rekisteröityjen perusoikeuksia edellä mainittujen menettelyjen aikana, erityisesti niitä, jotka koskevat oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja, oikeutta rajoittaa käsittelyä, henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle tai viestinnän tietojen luottamuksellisuutta asetuksessa (EU) 2018/1725 määritetyn mukaisesti.

(14) Viraston on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia erityisesti suojatakseen omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.

(15) Virasto voi siis rajoittaa tiedonsaantia suojatakseen tutkintaa sekä muiden rekisteröityjen perusoikeuksia ja -vapauksia.

(16) Viraston on seurattava säännöllisesti, että rajoituksen perusteena olevat edellytykset ovat yhä voimassa, ja kumottava rajoitus heti, kun edellytyksiä ei enää ole.

(17) Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle lykkäyksistä ja tarkistuksista välittömästi; ja

ON TEHNYT TÄMÄN PÄÄTÖKSEN:

1 artikla Kohde ja soveltamisala 1. Tässä päätöksessä esitetään säännöt, jotka liittyvät ehtoihin, joilla virasto voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista asetuksen (EU) 2018/1725 25 artiklan mukaisesti. 2. Viraston hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan viraston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin säännönvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, viralliset ja epäviralliset häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset. 3. Viraston operatiivisten toimien yhteydessä tätä päätöstä sovelletaan viraston toimeksiantonsa täyttämiseksi suorittamiin henkilötietojen käsittelytoimiin, erityisesti tarkastusraporttien vastaanottamiseen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan, asetuksen (EU) N:o 1236/2010 18, 19 ja 20 artiklan ja asetuksen (EU) 2019/833 30, 33 ja 34 artiklan mukaisesti sekä tietoihin, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tehtävien valmistelua ja toteuttamista varten päätöksen 2009/988/EU mukaisesti. 4. Kyseessä olevat tietoryhmät ovat kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja). 5. Kun virasto suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta. 6. Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä ehdoista ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus tietojen luottamuksellisuuteen.

2 artikla Rekisterinpitäjän ja takeiden eritelmä 1. Viraston on otettava käyttöön seuraavat suojatoimet, joilla estetään väärinkäyttö tai lainvastainen pääsy tai siirtäminen: a) Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy. b) Kaikki sähköiset tiedot on säilytettävä suojatussa tietoteknisessä sovelluksessa viraston turvallisuusvaatimusten mukaisesti, sekä sähköisissä kansioissa, joiden käyttöoikeus on vain valtuutetulla henkilöstöllä. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti. c) Tietoteknisissä järjestelmissä ja niiden tietokannoissa on oltava mekanismit käyttäjän henkilöllisyyden tarkistamiseksi kertakirjausjärjestelmällä, ja ne on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan. Loppukäyttäjien tilien on oltava yksilöllisiä ja henkilökohtaisia eivätkä ne saa olla siirrettävissä, ja käyttäjätilien jakaminen on ehdottomasti kielletty. Sähköisiä rekistereitä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi. d) Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin. 2. Käsittelytoimissa rekisterinpitäjänä on virasto, jota edustaa sen pääjohtaja, ja tämä voi delegoida rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille on ilmoitettava valtuutetusta rekisterinpitäjästä tietoturvaselosteissa, tietosuojaselosteissa tai viraston verkkosivuilla ja/tai intranetissä julkaistavissa selosteissa. 3. Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei saa missään tapauksessa olla pidempi kuin tietoturvaselosteissa, tietosuojaselosteissa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika. 4. Jos virasto aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että viraston tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.

3 artikla Rajoitukset 1. Virasto voi soveltaa mahdollisia rajoituksia ainoastaan yhden tai useamman asetuksen (EU) 2018/1725 25 artiklan 1 kohdan a – i alakohdassa luetellun syyn perusteella. Viraston on sisällytettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuun käsittelytoimia koskevaan selosteeseen, jotka julkaistaan sen verkkosivuilla ja/tai intranetissä ja joissa kerrotaan rekisteröidyille näiden oikeuksista tietyssä menettelyssä, myös tietoa näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, sekä ilmoitettava rajoituksen syyt ja mahdollinen kesto. 2. Virasto voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia seuraavissa olosuhteissa: a) kun toimivaltaiset komission yksiköt tai muut unionin toimielimet, elimet, virastot ja toimistot rajoittavat kyseisten oikeuksien ja velvollisuuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten, virastojen ja toimistojen perustamissäädösten mukaisesti, jos kyseisen rajoituksen tavoite vaarantuisi, eikä virasto soveltaisi vastaavaa rajoitusta samojen henkilötietojen osalta; b) kun jäsenvaltioiden toimivaltaiset viranomaiset rajoittavat kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (8) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (9) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla; c) kun kyseisten oikeuksien ja velvollisuuksien käyttö vaarantaisi viraston yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa, jos on selkeää näyttöä siitä, että yhteistyö todennäköisesti vaarantuu. Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa viraston on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi, jos virastolle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä. 3. Kaikkien rajoitusten on oltava välttämättömiä ja oikeasuhteisia rekisteröityjen oikeuksille ja vapauksille aiheutuviin riskeihin nähden, ja niissä on noudatettava olennaisilta osin demokraattisen yhteiskunnan perusoikeuksia ja -vapauksia. 4. Jos rajoituksen soveltamista harkitaan, on tehtävä välttämättömyyden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten. Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön. Viraston on tarkistettava kunkin rajoituksen sovellettavuus kuuden kuukauden välein sen määräämisestä ja asianmukaisen tutkimuksen, menettelyn tai tutkinnan päättyessä. Tämän määräaikaistarkistuksen yhteydessä tehdään välttämättömyys- ja oikeasuhteisuustesti, jotta voitaisiin arvioida, ovatko rajoituksen tosiasialliset ja oikeudelliset syyt edelleen olemassa. 5. Rajoitukset on poistettava heti, kun niitä oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.

4 artikla Uudelleentarkastelu tietosuojavastaavan pyynnöstä 1. Viraston on ilmoitettava viraston tietosuojavastaavalle viipymättä aina, kun rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia tai laajentaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen välttämättömyyden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista. 2. Tietosuojavastaava voi pyytää kirjallisesti rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista. 3. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kustakin rekisteröidyn oikeuksiin sovellettavasta rajoituksesta ja rajoituksen poistamisesta.

5 artikla Tiedon antaminen rekisteröidyille 1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin ehdoin rekisterinpitäjä voi rajoittaa tiedonsaantioikeutta seuraavien käsittelytoimien yhteydessä, kun se on välttämätöntä ja oikeasuhteista: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan c) väärinkäytösten paljastamista koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan d) virallisia ja epävirallisia häirintätapauksia koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan e) sisäisten ja ulkoisten valitusten käsittely; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan f) sisäiset tarkastukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, f, g ja h alakohtaan g) tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohtaan h) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan i) tiedonvaihto, joka tehdään viraston toimeksiantonsa täyttämiseksi suorittamissa operatiivisissa toimissa, erityisesti tarkastusraporttien vastaanottaminen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan, asetuksen (EU) N:o 1236/2010 18, 19 ja 20 artiklan ja asetuksen (EU) 2019/833 30, 33 ja 34 artiklan mukaisesti sekä niiden tietojen vastaanottaminen, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tarkastusten valmistelua ja toteuttamista varten; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan. 2. Sen estämättä, mitä 3 kohdan määräyksissä määrätään, viraston on, aina kun se on oikeasuhteista, ilmoitettava erikseen kaikille rekisteröidyille, jotka ovat asianosaisia henkilöitä tietyssä käsittelytoimessa, heidän oikeuksistaan, jotka liittyvät nykyisiin tai tuleviin rajoituksiin, viipymättä ja kirjallisesti. 3. Jos virasto rajoittaa, kokonaan tai osittain, 2 kohdassa tarkoitettujen rekisteröityjen tiedonsaantia, sen on dokumentoitava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä arviointi rajoituksen välttämättömyydestä ja oikeasuhteisuudesta. 4. Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa. Jos rajoituksen perusteita ei voida enää soveltaa, viraston on annettava rekisteröidylle tietoa tärkeimmistä perusteista, joihin rajoituksen soveltaminen pohjautuu. Viraston on samalla ilmoitettava rekisteröidylle tämän oikeudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai oikeudesta käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

6 artikla Rekisteröidyn oikeus saada pääsy tietoihin 1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin ehdoin rekisterinpitäjä voi rajoittaa tiedonsaantioikeutta seuraavien käsittelytoimien yhteydessä, kun se on välttämätöntä ja oikeasuhteista: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan c) väärinkäytösten paljastamista koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan d) virallisia ja epävirallisia häirintätapauksia koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan e) sisäisten ja ulkoisten valitusten käsittely; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan f) sisäiset tarkastukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, f, g ja h alakohtaan g) tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohtaan h) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan i) tiedonvaihto, joka tehdään viraston toimeksiantonsa täyttämiseksi suorittamissa operatiivisissa toimissa, erityisesti tarkastusraporttien vastaanottaminen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan, asetuksen (EU) N:o 1236/2010 18, 19 ja 20 artiklan ja asetuksen (EU) 2019/833 30, 33 ja 34 artiklan mukaisesti sekä niiden tietojen vastaanottaminen, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tarkastusten valmistelua ja toteuttamista varten; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan. Jos rekisteröidyt pyytävät pääsyä yhden tai useamman asian yhteydessä tai tietyssä käsittelytoimessa käsiteltäviin henkilötietoihinsa asetuksen (EU) 2018/1725 17 artiklan mukaisesti, viraston on rajattava pyynnön arviointi vain näihin henkilötietoihin. 2. Kun virasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, sen on toteutettava seuraavat toimenpiteet: a) Sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa. b) Sen on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, myös rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä sen kesto. Edellä a luetelmakohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen.

7 artikla Oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen ja oikeus käsittelyn rajoittamiseen 1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin ehdoin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on välttämätöntä ja oikeasuhteista: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan c) väärinkäytösten paljastamista koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan d) virallisia ja epävirallisia häirintätapauksia koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan e) sisäisten ja ulkoisten valitusten käsittely; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan f) sisäiset tarkastukset. rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, f, g ja h alakohtaan g) tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohtaan h) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan i) tiedonvaihto, joka tehdään viraston toimeksiantonsa täyttämiseksi suorittamissa operatiivisissa toimissa, erityisesti tarkastusraporttien vastaanottaminen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan, asetuksen (EU) N:o 1236/2010 18, 19 ja 20 artiklan ja asetuksen (EU) 2019/833 30, 33 ja 34 artiklan mukaisesti sekä niiden tietojen vastaanottaminen, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tarkastusten valmistelua ja toteuttamista varten; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan. 2. Jos virasto rajoittaa, kokonaan tai osittain, oikeutta oikaista tai poistaa tietoja ja rajoittaa niiden käsittelyä asetuksen (EU) 2018/1725 18 artiklan, 19 artiklan 1 kohdan ja 20 artiklan 1 kohdan mukaisesti, sen on toimittava tämän päätöksen 6 artiklan 2 kohdassa määrätyllä tavalla ja merkittävä tiedot rekisteriin tämän päätöksen 6 artiklan 3 kohdan mukaisesti.

8 artikla Henkilötietojen tietoturvaloukkauksista ilmoittaminen rekisteröidylle ja sähköisen viestinnän luottamuksellisuus 1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin ehdoin rekisterinpitäjä voi rajoittaa oikeutta henkilötietojen tietoturvaloukkauksista ilmoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on välttämätöntä ja oikeasuhteista: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan c) väärinkäytösten paljastamista koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan d) virallisia ja epävirallisia häirintätapauksia koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan e) sisäisten ja ulkoisten valitusten käsittely; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan f) sisäiset tarkastukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, f, g ja h alakohtaan g) tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohtaan h) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan i) tiedonvaihto, joka tehdään viraston toimeksiantonsa täyttämiseksi suorittamissa operatiivisissa toimissa, erityisesti tarkastusraporttien vastaanottaminen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan, asetuksen (EU) N:o 1236/2010 18, 19 ja 20 artiklan ja asetuksen (EU) 2019/833 30, 33 ja 34 artiklan mukaisesti sekä niiden tietojen vastaanottaminen, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tarkastusten valmistelua ja toteuttamista varten; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan. 2. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta sähköisen viestinnän luottamuksellisuuteen seuraavien käsittelytoimien yhteydessä, kun se on välttämätöntä ja oikeasuhteista: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan c) väärinkäytösten paljastamista koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan d) viralliset ja epäviralliset häirintätapauksia koskevat menettelyt; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, d, f ja h alakohtaan e) sisäisten ja ulkoisten valitusten käsittely; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, f, g ja h alakohtaan f) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan g) tiedonvaihto, joka tehdään viraston toimeksiantonsa täyttämiseksi suorittamissa operatiivisissa toimissa, erityisesti tarkastusraporttien vastaanottaminen täytäntöönpanoasetuksen (EU) N:o 404/2011 123 artiklan mukaisesti, sekä niiden tietojen vastaanottaminen, joita se saa jäsenvaltioilta, kun se tekee Euroopan komissiolle analyyseja asetuksen (EY) N:o 1005/2008 20 artiklan 4 kohdan c alakohdassa tarkoitettujen paikan päällä kolmansissa maissa suoritettavien tehtävien valmistelua ja toteuttamista varten; rajoitukset voivat perustua asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, d, g ja h alakohtaan. 3. Jos virasto rajoittaa rekisteröidyn oikeutta saada ilmoitus henkilötietojen tietoturvaloukkauksesta tai oikeutta luottamukselliseen sähköiseen viestintään asetuksen (EU) 2018/1725 35 ja 36 artiklan mukaisesti, sen on dokumentoitava ja ilmoitettava rajoituksen syyt tämän päätöksen 5 artiklan 3 kohdan mukaisesti. Tämän päätöksen 5 artiklan 4 kohtaa on sovellettava.

9 artikla Voimaantulo Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Vigossa, 22 päivänä huhtikuuta 2020. Hallintoneuvoston puheenjohtaja Reinhard PRIEBE

(1) EUVL L 295, 21.11.2018, s. 39.

(2) EUVL L 83, 25.3.2019, s. 18.

(3) Komission täytäntöönpanoasetus (EU) N:o 404/2011, annettu 8 päivänä huhtikuuta 2011, yhteisön valvontajärjestelmästä, jonka tarkoituksena on varmistaa yhteisen kalastuspolitiikan sääntöjen noudattaminen, annetun neuvoston asetuksen (EY) N:o 1224/2009 soveltamista koskevista yksityiskohtaisista säännöistä (EUVL L 112, 30.4.2011, s. 1).

(4) Euroopan parlamentin ja neuvoston asetus (EU) N:o 1236/2010, annettu 15 päivänä joulukuuta 2010, Koillis-Atlantilla harjoitettavaan kalastukseen liittyvää tulevaa monenkeskistä yhteistyötä koskevan yleissopimuksen soveltamisalaan kuuluvalla alueella sovellettavasta valvontaa ja täytäntöönpanotoimia koskevasta suunnitelmasta sekä neuvoston asetuksen (EY) N:o 2791/1999 kumoamisesta (EUVL L 348, 31.12.2010, s. 17).

(5) Euroopan parlamentin ja neuvoston asetus (EU) 2019/833, annettu 20 päivänä toukokuuta 2019, Luoteis-Atlantin kalastusjärjestön (NAFO) sääntelyalueella sovellettavien säilyttämis- ja täytäntöönpanotoimenpiteiden toteuttamisesta, asetuksen (EU) 2016/1627 muuttamisesta ja neuvoston asetusten (EY) N:o 2115/2005 ja (EY) N:o 1386/2007 kumoamisesta (EUVL L 141, 28.5.2019, s. 1).

(6) Neuvoston asetus (EY) N:o 1005/2008, annettu 29 päivänä syyskuuta 2008, laittoman, ilmoittamattoman ja sääntelemättömän kalastuksen ehkäisemistä, estämistä ja poistamista koskevasta yhteisön järjestelmästä, asetusten (ETY) N:o 2847/93, (EY) N:o 1936/2001 ja (EY) N:o 601/2004 muuttamisesta sekä asetusten (EY) N:o 1093/94 ja (EY) N:o 1447/1999 kumoamisesta (EUVL L 286, 29.10.2008, s. 1).

(7) Komission päätös 2009/988/EU, annettu 18 päivänä joulukuuta 2009, yhteisön kalastuksenvalvontaviraston nimeämisestä hoitamaan tiettyjä neuvoston asetuksen (EY) N:o 1005/2008 mukaisia tehtäviä (EUVL L 338, 19.12.2009, s. 104).

(8) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(9) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).