KOMISSION PÄÄTÖS (EU) 2020/969,

annettu 3 päivänä heinäkuuta 2020,

tietosuojavastaavaa, rekisteröityjen oikeuksia koskevia rajoituksia ja Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 soveltamista koskevista täytäntöönpanosäännöistä sekä komission päätöksen 2008/597/EY kumoamisesta

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 249 artiklan 1 kohdan,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1)ja erityisesti sen 3 artiklan,

sekä katsoo seuraavaa:

Asetuksessa (EU) 2018/1725 annetaan rekisterinpitäjille selkeät vastuualueet erityisesti suhteessa rekisteröityihin. Sen varmistamiseksi, että komissio rekisterinpitäjänä toimii omilla vastuualueillaan yhdenmukaisella ja läpinäkyvällä tavalla, olisi vahvistettava säännöt, joiden mukaisesti määritetään, kuka komission yksikössä tai yksiköissä vastaa komission lukuun suoritettavasta tietojenkäsittelystä. Tältä osin on aiheellista ottaa käyttöön valtuutetun rekisterinpitäjän käsite, jotta voidaan osoittaa täsmällisesti komission elinten vastuualueet, erityisesti rekisteröityjen oikeuksia koskevien yksittäisten päätösten osalta. Lisäksi on aiheellista ottaa käyttöön operatiivisen rekisterinpitäjän käsite. Operatiivinen rekisterinpitäjä nimetään valtuutetun rekisterinpitäjän alaisuudessa varmistamaan, että sääntöjä noudatetaan käytännössä, ja käsittelemään käsittelytoimea koskevia rekisteröityjen pyyntöjä. Operatiivisen rekisterinpitäjän nimeäminen ei estä sitä, että käytännössä käytetään yhteyspistettä, kuten rekisteröityjen pyyntöjä varten saataville asetettua asiointipostilaatikkoa.

Euroopan tietosuojavaltuutetulle on ilmoitettu ja häntä on kuultu asetuksen (EU) 2018/1725 41 artiklan 1 ja 2 kohdan nojalla, ja hän on antanut lausunnon 16 päivänä syyskuuta 2019.

Komission päätöksessä 2008/597/EY (3) vahvistetaan Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 nojalla tietosuojavastaavaa koskevat täytäntöönpanosäännöt (4) . Asetuksella (EU) 2018/1725 kumottiin asetus (EY) N:o 45/2001 11 päivästä joulukuuta 2019. Sen varmistamiseksi, että tietosuojavastaavaan sovelletaan vain yhtä täytäntöönpanosääntökokonaisuutta, päätös 2008/597/EY olisi myös kumottava,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 LUKU

YLEISET MÄÄRÄYKSET

2 LUKU

TIETOSUOJAVASTAAVA JA TIETOSUOJAKOORDINAATTORI

7 artikla

Tietosuojakoordinaattorit

1. Valtuutettu rekisterinpitäjä nimittää vastuullaan olevaan pääosastoon tai yksikköön tietosuojakoordinaattorin ja tarvittaessa yhden tai useamman apulaistietosuojakoordinaattorin. Kaksi tai useampi valtuutettu rekisterinpitäjä voi johdonmukaisuuden tai tehokkuuden lisäämiseksi päättää nimittää yhteisen tietosuojakoordinaattorin tai apulaistietosuojakoordinaattorin tai käyttää saman jo nimitetyn tietosuojakoordinaattorin tai apulaistietosuojakoordinaattorin palveluja. Asianomaisten valtuutettujen rekisterinpitäjien on vahvistettava suostumuksensa siihen kirjallisesti.

2. Pääosaston tai yksikön nimittämä tietosuojakoordinaattori on toimivaltainen myös kyseisestä pääosastosta tai yksiköstä vastaavassa kabinetissa. Pääsihteeristöön nimitetty tietosuojakoordinaattori on toimivaltainen puheenjohtajan kabinetissa sekä niissä kabineteissa, joiden ainoa tukiyksikkö on pääsihteeristö. Jos kabinetti on vastuussa useista pääosastoista tai yksiköistä, valtuutetut rekisterinpitäjät päättävät, kuka niiden tietosuojakoordinaattoreista on toimivaltainen kyseisessä kabinetissa.

3. Tietosuojavastaavalle, asianomaisen pääosaston tai yksikön henkilöstölle ja asianomaiselle kabinetille on ilmoitettava aina, kun uusi tietosuojakoordinaattori nimitetään. Vasta nimitettyjen tietosuojakoordinaattoreiden on kuuden kuukauden kuluessa nimittämisestään suoritettava koulutus, joka antaa heille tietosuojakoordinaattorin tehtävässä tarvittavan osaamisen. Tämä koulutusvaatimus ei koske tietosuojakoordinaattoria, joka on aiemmin ollut tietosuojakoordinaattorin tehtävässä toisessa pääosastossa tai yksikössä tai joka on ollut tietosuojavastaavan henkilöstön jäsen tietosuojakoordinaattoriksi nimittämistä edeltäneiden kahden vuoden aikana.

4. Valtuutettujen rekisterinpitäjien on otettava käyttöön asianmukaiset järjestelyt sen varmistamiseksi, että tietosuojakoordinaattori osallistuu asianmukaisesti ja oikea-aikaisesti kaikkiin tietosuojaan liittyviin asioihin pääosastossaan tai yksikössään ja että tietosuojakoordinaattorin antamat lausunnot saatetaan tietosuojakoordinaattorin pyynnöstä viipymättä valtuutetun rekisterinpitäjän tietoon.

5. Tietosuojakoordinaattorit valitaan asianomaisen pääosaston tai yksikön toimintaan liittyvän tiedon ja kokemuksen, hakijan motivaation, tietosuojaan liittyvän osaamisen, tietojärjestelmien periaatteiden ymmärtämisen ja viestintätaitojen perusteella.

6. Tietosuojakoordinaattorin tehtävä voidaan yhdistää muihin tehtäviin. Valtuutetun rekisterinpitäjän on varmistettava, että nämä tehtävät ovat yhteensopivia tietosuojakoordinaattorin tehtävän kanssa.

7. Tietosuojakoordinaattorin tehtävä on osa kunkin tietosuojakoordinaattoriksi nimitetyn henkilöstön jäsenen toimenkuvausta. Vuotuisessa arviointiraportissa on mainittava heidän vastuualueensa ja saavutuksensa.

8. Tietosuojakoordinaattori toimii yhteyspisteenä valtuutetun rekisterinpitäjän, operatiivisen rekisterinpitäjän ja henkilötietojen käsittelijän sekä tietosuojavastaavan välillä.

9. Tietosuojakoordinaattoreilla on oikeus saada pääosastostaan tai yksiköstään mitä tahansa tietoja siltä osin kuin tietosuojakoordinaattorin tehtävien suorittamiseksi on tarpeellista. Tietosuojakoordinaattoreilla on pääsy henkilötietoihin vain, jos se on tarpeen heidän tehtäviensä suorittamiseksi.

10. Tietosuojakoordinaattorin on pidettävä kirjaa rekisteröityjen pääosastolle, yksikölle tai kabinetille esittämistä pyynnöistä ja toimitettava niistä anonymisoidut tilastotiedot, joissa eritellään pyyntöjen määrä ja kokonaan tai osittain hylättyjen pyyntöjen määrä. Tietosuojavastaava määrittelee pyyntökategoriat, joista on pidettävä tilastoja. Tietosuojavastaava voi täsmentää, mitä lisätietoja on annettava. Tietosuojakoordinaattori pitää pääosaston, yksikön tai kabinetin hallinnoimista henkilötietojen tietoturvaloukkauksista anonymisoituja tilastoja, joissa eritellään henkilötietojen tietoturvaloukkausten kokonaismäärä, Euroopan tietosuojavaltuutetulle ilmoitettujen henkilötietojen tietoturvaloukkausten lukumäärä ja rekisteröidyille ilmoitettujen henkilötietojen tietoturvaloukkausten lukumäärä.

11. Tietosuojakoordinaattori lisää tietoisuutta tietosuojakysymyksistä pääosastossaan tai yksikössään sekä neuvoo ja avustaa valtuutettuja rekisterinpitäjiä ja operatiivisia rekisterinpitäjiä näiden velvoitteiden noudattamisessa, erityisesti seuraavien osalta: a) asetuksen (EU) 2018/1725 yleisten periaatteiden täytäntöönpano; b) käsittelytoimien dokumentointi; c) valtuutettujen rekisterinpitäjien käsittelytoimia koskevan kirjanpidon toimittaminen tietosuojavastaavalle 10 artiklan nojalla; d) tietosuojaselosteiden laatiminen.

12. Tietosuojakoordinaattorit osallistuvat tietosuojakoordinaattoreiden kokouksiin ja tarvittaessa tietosuojakoordinaattoreiden työryhmiin.