FI Euroopan unionin virallinen lehti C 308/8

Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös,

annettu 8 päivänä joulukuuta 2011,

tietosuojaa koskevista säännöistä

2012/C 308/07

KORKEA EDUSTAJA, joka

ottaa huomioon Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen (2010/427/EU), jäljempänä ’EUH:ta koskeva neuvoston päätös’, ja erityisesti sen 11 artiklan 3 kohdan,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 JAKSO

YLEISET MÄÄRÄYKSET

1 artikla

Kohde ja soveltamisala

Tällä päätöksellä vahvistetaan Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001, jäljempänä ’asetus’, koskevat soveltamissäännöt Euroopan ulkosuhdehallinnon, jäljempänä ’EUH’, osalta asetuksen 24 artiklan 8 kohdan mukaisesti.

2 artikla

Määritelmät

Tässä päätöksessä tarkoitetaan, rajoittamatta asetuksessa olevien määritelmien soveltamista:

a) ’rekisterinpitäjällä’ EUH:ta, sen ylijohtajia, johtajia tai vastaavan kokoisen tai vastaavassa tehtävässä toimivien yksiköiden päällikköjä sekä unionin edustustojen päällikköjä, jotka yksin tai yhdessä toisten kanssa määrittelevät henkilötietojen käsittelyn tarkoitukset ja keinot;

b) ’tietosuojakoordinaattorilla’ EUH:n palveluksessa olevaa hallintovirkamiestä, joka on nimitetty koordinoimaan tietosuojakysymyksiä ja avustamaan niissä vastaavan kokoisten tai vastaavassa tehtävässä toimivien osastojen tai yksiköiden tasolla sekä tarvittaessa unionin edustustoissa;

c) ’henkilötietojen käsittelijällä’ EUH:n henkilöstön jäsentä tai sopimussuhteessa olevia yksikköjä, joiden vastuulle rekisterinpitäjä on antanut tiedonkäsittelytehtäviä;

d) ’EUH:n henkilöstöllä’ EUH:ta koskevan neuvoston päätöksen 6 artiklan mukaisesti EUH:n palveluksessa työskenteleviä Euroopan unionin virkamiehiä ja muuta henkilöstöä, mukaan lukien väliaikaisiksi toimihenkilöiksi nimitettyjä jäsenvaltioiden ulkoasiainhallinnon henkilöstöön kuuluvia ja erikoistuneita lähetettyjä kansallisia asiantuntijoita.

2 JAKSO

TIETOSUOJASTA VASTAAVA HENKILÖ

3 artikla

Tietosuojasta vastaavan henkilön nimittäminen ja asema

1. Hallintopääjohtaja valitsee ja nimittää tietosuojasta vastaavan henkilön asetuksen 24 artiklan 2 kohdan mukaisesti ja ilmoittaa hänen nimensä Euroopan tietosuojavaltuutetulle. Tietosuojasta vastaava henkilö raportoi suoraan hallintopääjohtajalle.

2. Tietosuojasta vastaavan henkilön toimikausi on viisi vuotta, ja se voidaan uusia kerran.

3. Tietosuojasta vastaava henkilö hoitaa tehtäviään riippumattomana yhteistyössä Euroopan tietosuojavaltuutetun kanssa. Tietosuojasta vastaava henkilö ei erityisesti saa vastaanottaa mitään ohjeita EUH:n nimittävältä viranomaiselta tai keneltäkään muulta asetuksen ja tämän päätöksen säännösten sisäisestä soveltamisesta tai yhteistyöstään Euroopan tietosuojavaltuutetun kanssa. Tietosuojasta vastaava henkilö osallistuu säännöllisesti tietosuojaa koskeviin koulutustilaisuuksiin, ja hallintopääjohtaja toteuttaa tätä varten tarvittavat toimenpiteet.

4. Hallintopääjohtaja arvioi tietosuojasta vastaavan henkilön tehtävien ja velvollisuuksien hoitamista vuosittain, erityisesti tietosuojasta vastaavan henkilön vuosittaisen kertomuksen perusteella, kuultuaan tarvittaessa Euroopan tietosuojavaltuutettua. Tietosuojasta vastaava henkilö voidaan erottaa toimestaan vain Euroopan tietosuojavaltuutetun suostumuksella, jos hän ei enää täytä velvollisuuksiensa suorittamiselle asetettuja vaatimuksia.

5. Tietosuojasta vastaavalle henkilölle ilmoitetaan kaikista yhteydenotoista ulkopuolisiin osapuoliin, jotka liittyvät asetuksen ja tämän päätöksen soveltamiseen ja erityisesti yhteistoimintaan Euroopan tietosuojavaltuutetun kanssa, sanotun kuitenkaan rajoittamatta tietosuojasta vastaavan henkilön nimittämisessä käytettävän menettelyn soveltamista.

6. Tietosuojasta vastaavaan henkilöön ja hänen henkilöstöönsä sovelletaan Euroopan unionin virkamiehiin ja muuhun henkilöstöön sovellettavia sääntöjä ja määräyksiä, sanotun kuitenkaan rajoittamatta asiaa koskevien asetuksen säännösten soveltamista.

4 artikla

Velvollisuudet

Tietosuojasta vastaavalla henkilöllä on velvollisuus:

a) varmistaa, että rekisterinpitäjille, tietosuojakoordinaattoreille ja rekisteröidyille henkilöille tiedotetaan heidän asetuksesta ja tästä päätöksestä johtuvista oikeuksistaan ja velvollisuuksistaan ja että käsittelytoimet eivät todennäköisesti loukkaa rekisteröityjen henkilöiden oikeuksia ja vapauksia. Tämän tehtävän suorittamiseksi hän laatii erityisesti tiedotus- ja ilmoituslomakkeita, kuulee asianomaisia osapuolia ja edistää yleistä tietämystä tietosuoja-asioista;

b) vastata Euroopan tietosuojavaltuutetun kysymyksiin ja olla toimivaltansa rajoissa yhteistyössä Euroopan tietosuojavaltuutetun kanssa tämän pyynnöstä tai omasta aloitteestaan;

c) varmistaa itsenäisesti asetuksen ja tämän päätöksen säännösten sisäinen soveltaminen EUH:ssa;

d) pitää rekisteriä EUH:n toteuttamista käsittelytoimista ja myöntää kaikille luonnollisille henkilöille oikeus tutustua rekisteriin joko suoraan tai Euroopan tietosuojavaltuutetun välityksellä 14 ja 15 artiklan mukaisesti; tällaista rekisteriä voidaan pitää myös sähköisessä muodossa;

e) ilmoittaa Euroopan tietosuojavaltuutetulle käsittelytoimista, joihin saattaa liittyä asetuksen 27 artiklan 2 kohdassa tarkoitettuja erityisiä vaaroja.

5 artikla

Tehtävät

1. Edellä 4 artiklassa mainittujen velvollisuuksien lisäksi tietosuojasta vastaava henkilö:

a) toimii EUH:n nimittävän viranomaisen ja rekisterinpitäjien neuvonantajana asetuksen ja tämän päätöksen soveltamiseen liittyvissä asioissa. Nimittävä viranomainen, asianomaiset rekisterinpitäjät ja henkilötietojen käsittelijät, henkilöstökomitea ja kaikki EUH:n henkilöstön jäsenet voivat kuulla tietosuojasta vastaavaa henkilöä käyttämättä virkatietä kaikissa asetuksen ja tämän päätöksen tulkintaan tai soveltamiseen liittyvissä asioissa;

b) tutkii omasta aloitteestaan tai nimittävän viranomaisen, rekisterinpitäjien, henkilötietojen käsittelijöiden, henkilöstökomitean tai EUH:n henkilöstön jäsenen aloitteesta seikkoja ja tapauksia, jotka liittyvät välittömästi hänen tehtäviinsä ja jotka tulevat hänen tietoonsa, sekä raportoi asiasta nimittävälle viranomaiselle tai tutkimuksen pyytäjälle. Kaikille muille asianomaisille osapuolille olisi ilmoitettava asiasta, jos sitä pidetään aiheellisena. Jos kantelun esittäjä on luonnollinen henkilö tai jos hän edustaa luonnollista henkilöä, tietosuojasta vastaavan henkilön on mahdollisuuksien mukaan varmistettava tutkimuspyynnön luottamuksellisuus, ellei asianomainen rekisteröity henkilö anna yksiselitteisesti suostumustaan käsitellä pyyntöä muulla tavalla;

c) tekee yhteistyötä tehtäviensä hoidossa Euroopan unionin toimielinten, elinten ja laitosten tietosuojasta vastaavien henkilöiden kanssa erityisesti vaihtamalla kokemuksia ja parhaita käytäntöjä;

d) edustaa korkeaa edustajaa tai EUH:ta tarvittaessa kaikissa tietosuojaan liittyvissä asioissa kansainvälisellä tasolla, sanotun kuitenkaan rajoittamatta perussopimusten määräysten, varsinkaan Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan, soveltamista;

e) antaa vuosittaisen kertomuksen toimistaan korkealle edustajalle ja toimittaa sen EUH:n henkilöstön saataville.

2. Tietosuojasta vastaava henkilö ja hänen henkilöstönsä eivät saa luovuttaa tietoja tai asiakirjoja, joita he saavat haltuunsa hoitaessaan velvollisuuksiaan ja tehtäviään, sanotun kuitenkaan rajoittamatta 4 artiklan b alakohdan, 5 artiklan 1 kohdan b ja c alakohdan ja 15 artiklan soveltamista.

6 artikla

Toimivaltuudet

Tehtäviään ja velvollisuuksiaan suorittaessaan tietosuojasta vastaava henkilö voi:

a) milloin tahansa tutustua tietoihin, jotka ovat käsittelyn kohteena, ja kaikkiin toimistoihin, tietojenkäsittelylaitteistoihin ja tietovälineisiin;

b) pyytää oikeudellisia lausuntoja EUH:n oikeudellisista asioista vastaavalta jaostolta;

c) käyttää ulkoisia tietotekniikan asiantuntijapalveluja tulojen ja menojen hyväksyjän etukäteissuostumuksella varainhoitoasetuksen (asetus (EY, Euratom) N:o 1605/2002) ja sen soveltamissääntöjen mukaisesti;

d) ehdottaa hallinnollisia toimenpiteitä ja antaa yleisiä suosituksia asetuksen ja tämän päätöksen asianmukaisesta soveltamisesta, sanotun kuitenkaan rajoittamatta Euroopan tietosuojavaltuutetun tehtävien hoitoa ja toimivaltaa;

e) esittää erityistapauksissa EUH:n johtajistolle ja/tai kaikille muille asianomaisille osapuolille minkä tahansa muun suosituksen tietosuojan parantamiseksi käytännössä;

f) saattaa EUH:n nimittävän viranomaisen tietoon tapaukset, joissa henkilöstön jäsen on jättänyt täyttämättä asetuksesta ja tästä päätöksestä johtuvat velvollisuutensa, ja ehdottaa hallinnollisen tutkimuksen käynnistämistä sen selvittämiseksi, onko asetuksen 49 artiklaa mahdollisesti sovellettava.

7 artikla

Resurssit

Tietosuojasta vastaavalle henkilölle on järjestettävä riittävä henkilöstö ja tarvittavat resurssit, joita hänen velvollisuuksiensa ja tehtäviensä hoitaminen edellyttää.

3 JAKSO

TIETOSUOJA-ALAN TOIMIJOIDEN OIKEUDET JA VELVOLLISUUDET

8 artikla

Nimittävä viranomainen

1. Jos asetuksen tai tämän päätöksen rikkomisesta esitetään henkilöstösääntöjen 90 artiklan mukainen valitus, nimittävä viranomainen kuulee tietosuojasta vastaavaa henkilöä, jonka on annettava lausuntonsa kirjallisesti 15 vuorokauden kuluessa pyynnön vastaanottamisesta. Jos tietosuojasta vastaava henkilö ei ole antanut lausuntoaan nimittävälle viranomaiselle tämän määräajan kuluessa, lausuntoa ei enää edellytetä. Tietosuojasta vastaavan henkilön lausunto ei sido nimittävää viranomaista.

2. Tietosuojasta vastaavalle henkilölle on annettava tieto, kun käsiteltävänä on asia, jolla on tai jolla voi olla tietosuojaa koskevia vaikutuksia.

9 artikla

Rekisterinpitäjät

1. Rekisterinpitäjien tehtävänä on varmistaa, että kaikki heidän valvontaansa kuuluvat käsittelyt suoritetaan asetuksen ja tämän päätöksen säännösten mukaisesti. He voivat tarvittaessa antaa tietojenkäsittelytehtäviä alaisuudessaan työskenteleville EUH:n henkilöstön jäsenille tai sopimussuhteessa oleville yksiköille asetuksen 23 artiklan mukaisesti.

2. Rekisterinpitäjien on erityisesti:

a) ilmoitettava tietosuojasta vastaavalle henkilölle ennen kuin toteutetaan käsittely tai käsittelyjen sarja, joilla on sama tarkoitus tai useita toisiinsa liittyviä tarkoituksia, sekä ilmoitus kaikista huomattavista käsittelyihin tehdyistä muutoksista;

b) avustettava tietosuojasta vastaavaa henkilöä ja Euroopan tietosuojavaltuutettua näiden tehtävien suorittamisessa, erityisesti antamalla tietoja viimeistään 30 vuorokauden kuluessa näiden esittämien pyyntöjen johdosta;

c) tehtävä yhteistyötä tietosuojakoordinaattorien kanssa perustettaessa rekisteriä henkilötietojen käsittelyistä;

d) toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet ja annettava asianmukaisia ohjeita henkilötietojen käsittelijöille sekä käsittelyn luottamuksellisuuden että käsittelyyn liittyviä vaaroja vastaavan turvallisuustason varmistamiseksi;

e) kuultava tarvittaessa tietosuojasta vastaavaa henkilöä siitä, ovatko käsittelyt asetuksen ja tämän päätöksen mukaisia, erityisesti silloin, kun he epäilevät perustellusti, että tietyt käsittelyt eivät ole asetuksen 4–10 artiklan mukaisia. Rekisterinpitäjät voivat kuulla myös tietosuojasta vastaavaa henkilöä ja/tai sisäisiä tietotekniikkaosaston turvallisuusasiantuntijoita käsittelyjen luottamuksellisuuteen liittyvistä seikoista ja asetuksen 22 artiklan nojalla toteutetuista turvallisuustoimenpiteistä.

10 artikla

Koordinaattorit

1. Kukin ylijohtaja, johtaja tai vastaavan kokoisen tai vastaavassa tehtävässä toimivan yksikön päällikkö sekä tarvittaessa unionin edustuston päällikkö nimittää alaisuudessaan toimivan tietosuojakoordinaattorin.

Tietosuojasta vastaavan henkilön tehtävien hoitamista rajoittamatta kukin koordinaattori:

a) avustaa kaikkea henkilötietojen käsittelyä koskevan luettelon laatimisessa ja tekee yhteistyötä tietosuojasta vastaavan henkilön kanssa perustettaessa henkilötietojen käsittelyä koskevaa rekisteriä ja saatettaessa sitä ajan tasalle;

b) avustaa selvittämään vastaavat rekisterinpitäjät ja henkilötietojen käsittelijät;

c) on oikeutettu saamaan rekisterinpitäjiltä, henkilötietojen käsittelijöiltä ja EUH:n henkilöstöltä riittävät ja tarvittavat tiedot hallinnollisten tehtäviensä suorittamiseksi. Tähän ei kuulu oikeus tutustua rekisterinpitäjän vastuulla käsiteltäviin henkilötietoihin;

d) ehdottaa tietosuojasta vastaavalle henkilölle tietojenkäsittelytoimien tyyppejä tai luokkia koskevia kattavia ilmoituksia.

2. Rekisterinpitäjien tehtävien hoitamista rajoittamatta koordinaattorit:

a) avustavat rekisterinpitäjiä näiden velvollisuuksien noudattamisessa;

b) helpottavat tarpeen mukaan tietosuojasta vastaavan henkilön ja rekisterinpitäjien välistä viestintää.

11 artikla

EUH:n henkilöstö

1. EUH:n koko henkilöstö edistää osaltaan henkilötietojen käsittelyn luottamuksellisuutta ja turvallisuutta koskevien sääntöjen soveltamista asetuksen 21 ja 22 artiklan mukaisesti. EUH:n henkilöstön jäsenet, joilla on oikeus tutustua henkilötietoihin, saavat käsitellä näitä tietoja vain rekisterinpitäjien ohjeiden mukaisesti, ellei tietojen käsittelyä edellytetä heiltä kansallisen tai unionin lainsäädännön nojalla.

2. Jokainen EUH:n henkilöstön jäsen voi Euroopan tietosuojavaltuutetun asettamien sääntöjen mukaisesti esittää Euroopan tietosuojavaltuutetulle kantelun henkilötietojen käsittelyä koskevien asetuksen tai tämän päätöksen säännösten epäillystä rikkomisesta käyttämättä virkatietä.

12 artikla

Rekisteröidyt henkilöt

1. Sen lisäksi, että rekisteröidyillä henkilöillä on asetuksen 11 ja 12 artiklan nojalla oikeus saada asianmukaista tietoa kaikesta omien henkilötietojensa käsittelystä, rekisteröidyt henkilöt voivat ottaa tämän päätöksen 5 jaksossa määritellyllä tavalla yhteyttä asianomaiseen rekisterinpitäjään asetuksen 13–19 artiklan mukaisten oikeuksiensa käyttämiseksi.

2. Jokainen rekisteröity henkilö voi tehdä Euroopan tietosuojavaltuutetun laatimien sääntöjen mukaisesti kantelun Euroopan tietosuojavaltuutetulle katsoessaan, että rekisterinpitäjien suorittamassa, hänen henkilötietojaan koskevassa käsittelyssä on loukattu hänelle asetuksen tai tämän päätöksen nojalla kuuluvia oikeuksia, sanotun kuitenkaan rajoittamatta muiden oikeussuojakeinojen käyttöä.

3. Kenellekään rekisteröidylle henkilölle ei saa aiheutua haittaa Euroopan tietosuojavaltuutetulle esitetyn kantelun johdosta tai sellaisen tietosuojasta vastaavan henkilön tietoon saatetun tapauksen johdosta, jossa asetuksen säännöksiä epäillään rikotun.

4 JAKSO

ILMOITETTUJEN KÄSITTELYJEN REKISTERI

13 artikla

Ilmoitusmenettely

1. Rekisterinpitäjät tekevät tietosuojasta vastaavalle henkilölle ilmoituksen kaikista henkilötietojen käsittelyistä EUH:n ja unionin edustustojen Intranet-sivulla (kohdassa Tietosuoja) olevalla ilmoituslomakkeella. Ilmoitus toimitetaan tietosuojasta vastaavalle henkilölle sähköisesti. Vahvistettu ilmoitus lähetetään tiedoksi kirjallisena tietosuojasta vastaavalle henkilölle kymmenen työpäivän kuluessa. Kun tietosuojasta vastaava henkilö on saanut vahvistetun ilmoituksen, hän julkaisee sen rekisterissä.

2. Ilmoitukseen on sisällytettävä kaikki asetuksen 25 artiklan 2 kohdassa tarkoitetut tiedot. Kaikista näihin tietoihin vaikuttavista muutoksista on ilmoitettava viipymättä tietosuojasta vastaavalle henkilölle.

3. Muut ilmoitusmenettelyä koskevat säännöt ja menettelyt, joita rekisterinpitäjien on noudatettava, kuuluvat tietosuojasta vastaavan henkilön antamiin yleisiin suosituksiin.

14 artikla

Rekisterin sisältö ja tarkoitus

1. Tietosuojasta vastaava henkilö pitää henkilötietojen käsittelyistä rekisteriä, joka laaditaan rekisterinpitäjiltä saatujen ilmoitusten perusteella.

2. Rekisterin on sisällettävä ainakin asetuksen 25 artiklan 2 kohdan a–g alakohdassa tarkoitetut tiedot. Tietosuojasta vastaavan henkilön rekisteriin merkitsemiä tietoja voidaan kuitenkin tarvittaessa poikkeuksellisesti rajoittaa, jos se on tarpeen tietyn käsittelytoimen turvallisuuden varmistamiseksi.

3. Rekisteri toimii EUH:ssa suoritettujen henkilötietojen käsittelyjen luettelona. Se on rekisteröityjen henkilöiden käytettävissä, jotta he voivat käyttää asetuksen 13–19 artiklassa ja tässä päätöksessä vahvistettuja oikeuksiaan.

15 artikla

Rekisteriin tutustuminen

1. Tietosuojasta vastaava henkilö toteuttaa asianmukaiset toimenpiteet varmistaakseen, että jokainen rekisteröity henkilö voi tutustua rekisteriin joko suoraan tai Euroopan tietosuojavaltuutetun välityksellä. Tietosuojasta vastaava henkilö antaa rekisteröidyille henkilöille erityisesti tietoja ja ohjeita siitä, miten ja minne voidaan tehdä rekisteriin tutustumista koskeva hakemus.

2. Jollei rekisteriin tutustuminen ole mahdollista sähköisesti, asiaa koskeva hakemus voidaan esittää kirjallisesti, myös sähköisesti, jollakin Euroopan unionin toiminnasta tehdyn sopimuksen 342 artiklassa mainitulla kielellä ja riittävän selkeästi, jotta tietosuojasta vastaava henkilö voi tunnistaa kyseessä olevat käsittelyt. Vastaanottoilmoitus lähetetään pyynnön esittäjälle viipymättä.

3. Jos hakemus ei ole riittävän selkeä, tietosuojasta vastaava henkilö pyytää hakijaa täsmentämään hakemusta ja avustaa hakijaa siinä. Jos hakemus koskee erittäin suurta määrää käsittelyjä, tietosuojasta vastaava henkilö voi neuvotella hakijan kanssa epävirallisesti kohtuullisen ratkaisun löytämiseksi.

4. Jokainen rekisteröity henkilö voi pyytää tietosuojasta vastaavalta henkilöltä kopiota rekisterissä olevista tiedoista, jotka voivat koskea mitä tahansa ilmoitettua käsittelyä.

5 JAKSO

REKISTERÖIDYN HENKILÖN OIKEUKSIEN KÄYTTÖÄ KOSKEVA MENETTELY

16 artikla

Yleiset säännökset

1. Tässä jaksossa säädettyjä rekisteröidyn henkilön oikeuksia voi käyttää ainoastaan asianomainen henkilö tai poikkeustapauksissa hänen puolestaan toimiva muu henkilö, jolla on asianmukainen valtakirja. Pyynnöt osoitetaan kirjallisesti asianomaiselle rekisterinpitäjälle, ja niistä toimitetaan jäljennös tietosuojasta vastaavalle henkilölle. Tietosuojasta vastaava henkilö avustaa rekisteröityä henkilöä tarvittaessa asianomaisen rekisterinpitäjän tunnistamisessa. Tietosuojasta vastaava henkilö toimittaa tarvittavat lomakkeet. Rekisterinpitäjät hyväksyvät pyynnön ainoastaan, jos lomake on täytetty kokonaan ja hakijan henkilöllisyys on tarkistettu asianmukaisesti. Rekisteröity henkilö voi käyttää oikeuksiaan maksutta.

2. Asianomainen rekisterinpitäjä lähettää hakijalle vastaanottotodistuksen viiden työpäivän kuluessa hakemuksen rekisteröinnistä. Jos asiasta ei muuta säädetä, rekisterinpitäjä vastaa pyyntöön 15 työpäivän kuluessa sen rekisteröinnistä joko myöntävästi tai ilmoittaa kirjallisesti syyt pyynnön epäämiseen kokonaan tai osittain varsinkin tapauksissa, joissa hakijaa ei pidetä rekisteröitynä henkilönä.

3. Jos rekisteröidyn henkilön oikeuksien käytössä havaitaan virheellisyyksiä tai ilmeisiä väärinkäytöksiä ja jos rekisteröity henkilö esittää käsittelyn olevan säännösten vastainen, rekisterinpitäjän on neuvoteltava pyynnöstä tietosuojasta vastaavan henkilön kanssa ja/tai pyydettävä rekisteröityä henkilöä kääntymään tietosuojasta vastaavan henkilön puoleen, joka päättää pyynnön harkittavaksi ottamisesta ja käsittelyn jatkamisesta.

4. Kuka tahansa rekisteröity henkilö voi kääntyä tietosuojasta vastaavan henkilön puoleen saadakseen tietoja oikeuksistaan käyttää tiettyyn tapaukseen liittyviä oikeuksiaan. Jokainen rekisteröity henkilö voi tehdä Euroopan tietosuojavaltuutetulle valituksen, jos hän katsoo asetuksen mukaisia oikeuksiaan loukatun henkilötietojensa käsittelyn johdosta, sanotun kuitenkaan rajoittamatta muiden oikeussuojakeinojen käyttöä.

17 artikla

Tiedonsaantioikeus

Rekisteröidyllä henkilöllä on oikeus saada esteittä rekisterinpitäjiltä milloin tahansa kolmen kuukauden kuluessa pyynnön vastaanottamisesta asetuksen 13 artiklan a–d kohdassa tarkoitetut tiedot toivomuksensa mukaan joko siten, että hän tutustuu asiakirjoihin paikan päällä tai siten, että hänelle toimitetaan niistä jäljennös, myös sähköisessä muodossa oleva jäljennös, jos sellainen on tarpeen.

18 artikla

Oikaisuoikeus

Kussakin virheellisiä tai puutteellisia henkilötietoja koskevassa rekisteröidyn henkilön oikaisupyynnössä on ilmoitettava asianomaiset tiedot sekä oikaisutiedot. Rekisterinpitäjän on käsiteltävä asia viipymättä.

19 artikla

Suojaamisoikeus

Asianomainen rekisterinpitäjä käsittelee viipymättä asetuksen 15 artiklassa tarkoitettua tietojen suojaamista koskevat pyynnöt. Pyynnössä on yksilöitävä asianomaiset tiedot sekä syyt niiden suojaamiseen. Rekisterinpitäjä ilmoittaa pyynnön tehneelle rekisteröidylle henkilölle edeltäkäsin suojauksen poistamisesta.

20 artikla

Poistamisoikeus

Rekisteröity henkilö voi pyytää rekisterinpitäjiä poistamaan viipymättä tiedot, jos niitä on käsitelty sääntöjenvastaisesti ja erityisesti jos asetuksen 4–10 artiklan säännöksiä on rikottu. Pyynnössä on ilmoitettava asianomaiset tiedot sekä syyt sääntöjenvastaiseen käsittelyyn tai todisteet siitä. Automaattisissa arkistointijärjestelmissä tiedot poistetaan pääsääntöisesti kaikin käytettävissä olevin teknisin keinoin, jotka tekevät mahdottomaksi poistettujen tietojen myöhemmän käsittelyn. Jos tietoja ei teknisistä syistä voida poistaa, asianomaisen rekisterinpitäjän on neuvoteltava asiasta tietosuojasta vastaavan henkilön ja poistoa pyytäneen henkilön kanssa ja sen jälkeen välittömästi suojattava kyseiset tiedot.

21 artikla

Ilmoitus sivullisille

Jos tiedot oikaistaan, suojataan tai poistetaan rekisteröidyn henkilön pyynnöstä, hän voi vaatia, että rekisterinpitäjät ilmoittavat asiasta sivullisille, joille hänen henkilötietojaan on luovutettu, jollei tämä osoittaudu mahdottomaksi tai edellytä kohtuutonta vaivaa.

22 artikla

Oikeus vastustaa henkilötietojen käsittelyä

Rekisteröity henkilö voi asetuksen 18 artiklan mukaisesti vastustaa häntä koskevien tietojen käsittelyä sekä henkilötietojensa luovuttamista tai käyttöä. Pyyntöön on sisällytettävä asianomaiset tiedot ja perustelut. Jos vastustus on perusteltua, kyseisiä tietoja ei enää käsitellä.

23 artikla

Automaattiset yksittäispäätökset

Rekisteröidyllä henkilöllä on oikeus olla joutumatta asetuksen 19 artiklassa tarkoitetun automaattisen yksittäispäätöksen kohteeksi, jollei päätös ole nimenomaisesti kansallisessa tai unionin lainsäädännössä sallittu tai jollei Euroopan tietosuojavaltuutettu ole antanut suostumustaan päätöksellä, jossa suojataan rekisteröidyn henkilön oikeutetut edut. Kummassakin tapauksessa rekisteröidyllä henkilöllä on mahdollisuus esittää ennalta näkemyksensä asiasta ja neuvotella siitä tietosuojasta vastaavan henkilön kanssa.

24 artikla

Poikkeukset ja rajoitukset

1. Rekisterinpitäjät voivat rajoittaa tämän päätöksen 17–21 artiklassa tarkoitettuja oikeuksia, jos rajoitus on selvästi perusteltavissa asetuksen 20 artiklan mukaisilla oikeutetuilla syillä. Ehdotonta tarvetta lukuun ottamatta asianomainen rekisterinpitäjä kuulee ensin tietosuojasta vastaavaa henkilöä, jonka lausunto ei ole EUH:ta sitova. Rekisterinpitäjä vastaa viipymättä oikeuksien käyttöön sovellettavia poikkeuksia ja rajoituksia koskeviin pyyntöihin ja perustelee päätöksensä.

2. Jokainen rekisteröity henkilö, jota asia koskee, voi pyytää Euroopan tietosuojavaltuutettua soveltamaan asetuksen 47 artiklan 1 kohdan c alakohtaa.

6 JAKSO

TUTKINTAMENETTELY

25 artikla

Käytännön säännöt

1. Tutkintapyynnöt on osoitettava kirjallisesti tietosuojasta vastaavalle henkilölle käyttämällä hänen käyttöön asettamaansa erityistä lomaketta. Jos kyseessä on tutkinnan pyytämistä koskevan oikeuden ilmeinen väärinkäyttö (esimerkiksi sama henkilö on hiljattain tehnyt samanlaisen pyynnön), tietosuojasta vastaava henkilö ei ole velvoitettu antamaan vastausta pyynnön esittäneelle henkilölle.

2. Tietosuojasta vastaavan henkilön on lähetettävä 15 päivän kuluessa pyynnön saamisesta vastaanottotodistus nimittävälle viranomaiselle tai tutkinnan toimeksiantaneelle henkilölle ja tarkistettava, onko pyyntö käsiteltävä luottamuksellisena.

3. Tietosuojasta vastaavan henkilön on pyydettävä kyseessä olevasta tietojenkäsittelystä vastaavalta rekisterinpitäjältä kirjallinen lausunto asiasta. Rekisterinpitäjän on toimitettava vastauksensa tietosuojasta vastaavalle henkilölle 15 päivän kuluessa. Tietosuojasta vastaava henkilö saattaa pyytää lisätietoja muilta EUH:n yksiköiltä, kuten esimerkiksi EUH:n turvallisuusyksiköltä ja tietoturvayksiköltä (Infosec). Hän voi myös tarvittaessa pyytää EUH:n oikeudellisista asioista vastaavan jaoston lausuntoa. Tiedot tai lausunto on toimitettava tietosuojasta vastaavalle henkilölle 30 päivän kuluessa.

4. Tietosuojasta vastaavan henkilön on raportoitava nimittävälle viranomaiselle ja pyynnön tehneelle henkilölle viimeistään kolmen kuukauden kuluttua pyynnön vastaanottamisesta.

7 JAKSO

LOPPUMÄÄRÄYKSET

26 artikla

Jos tämän päätöksen säännökset ja asetus ovat keskenään ristiriidassa, sovelletaan asetusta.

27 artikla

Tämä päätös on saatettava EUH:n henkilöstön tietoon asianmukaisin tavoin, erityisesti julkaisemalla se EUH:n ja unionin edustustojen Intranet-sivulla (kohdassa Tietosuoja).

28 artikla

Voimaantulo

Tämä päätös tulee voimaan päivänä, jona se hyväksytään.