FI Euroopan unionin virallinen lehti L 193/7

KOMISSION PÄÄTÖS,

tehty 3 päivänä kesäkuuta 2008,

yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun asetuksen (EY) N:o 45/2001 24 artiklan 8 kohdan nojalla annettavista tietosuojasta vastaavaa henkilöä koskevista täytäntöönpanosäännöistä

(2008/597/EY)

EUROOPAN YHTEISÖJEN KOMISSIO, joka

ottaa huomioon yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (1) ja erityisesti sen 24 artiklan 8 kohdan ja liitteen,

sekä katsoo seuraavaa:

(1) Asetuksessa (EY) N:o 45/2001, jäljempänä ’asetus’, vahvistetaan kaikkiin yhteisöjen toimielimiin ja elimiin sovellettavat periaatteet ja säännöt ja velvoitetaan kukin yhteisöjen toimielin ja elin nimittämään tietosuojasta vastaava henkilö.

(2) Asetuksen 24 artiklan 8 kohdassa edellytetään, että kukin yhteisöjen toimielin tai elin antaa täytäntöönpanoa koskevat tarkemmat säännöt tietosuojasta vastaavan henkilön osalta liitteessä olevien säännösten mukaisesti. Täytäntöönpanosäännöt koskevat erityisesti tietosuojasta vastaavan henkilön tehtäviä, velvollisuuksia ja toimivaltuuksia.

(3) Komission päätöksellä K(2002) 510 (2), joka on tehty 18 päivänä helmikuuta 2002, perustetaan komissioon tietosuojasta vastaavan henkilön virka ja annetaan tälle tehtäväksi ehdottaa pääosastojen kanssa käytyjen keskustelujen pohjalta uusia täytäntöönpanosääntöjä pääosastojen tarpeiden ja kokemusten mukaisesti,

ON PÄÄTTÄNYT SEURAAVAA:

1 JAKSO

YLEISET SÄÄNNÖKSET

1 artikla

Määritelmät

Tässä päätöksessä tarkoitetaan, rajoittamatta asetuksessa olevien määritelmien soveltamista:

— ’tietosuojakoordinaattorilla’ pääosaston tai yksikön henkilöstön jäsentä, jonka pääjohtaja on nimittänyt koordinoimaan kaikkia henkilötietojen suojaan liittyviä asioita pääosastossa;

— ’rekisterinpitäjällä’, joka määritellään 2 artiklan d kohdassa ja johon viitataan 25 artiklan 2 kohdan a alakohdassa, toiminnalliselle yksikölle vastuussa olevaa virkamiestä, joka on määritellyt henkilötietojen käsittelyn tarkoituksen ja tavat.

2 artikla

Soveltamisala

Tässä päätöksessä määritellään asetuksen 24 artiklan 8 kohdan mukaisesti säännöt ja menettelyt, jotka liittyvät tietosuojasta vastaavan henkilön, jäljempänä ’TVH’, tehtävien hoitoon komissiossa. Päätöstä ei sovelleta komission toimintaan komission määritellessä yksilön suojaa henkilötietoja käsiteltäessä koskevia toimintaperiaatteita.

2 JAKSO

TIETOSUOJASTA VASTAAVA HENKILÖ

3 artikla

Nimittäminen ja asema

1. Komissio nimittää TVH:n (3) ja ilmoittaa hänen nimensä Euroopan tietosuojavaltuutetulle.

2. TVH:n toimikausi on viisi vuotta, ja se voidaan uusia kerran.

3. TVH varmistaa asetuksen säännösten sisäisen soveltamisen riippumattomasti, eikä hän saa ottaa vastaan ohjeita tehtäviensä hoitamisessa.

4. TVH valitaan komission henkilöstön joukosta asiaan kuuluvia menettelyjä noudattaen. Asetuksen 24 artiklan 2 kohdassa mainittujen edellytysten täyttämisen lisäksi TVH:lla olisi oltava hyvä perehtyneisyys komission yksiköihin ja niiden rakenteeseen sekä hallinnollisiin sääntöihin ja menettelyihin. Hänellä olisi oltava hyvät tiedot tietosuojan ja tietojenkäsittelyn järjestelmistä, periaatteista ja menetelmistä. Hänellä on oltava hyvä arvostelukyky ja hänen on osattava asennoitua puolueettomasti henkilöstösääntöjen mukaisesti.

5. Asetuksen mukaisesti komissio voi erottaa TVH:n toimestaan, mutta vain Euroopan tietosuojavaltuutetun suostumuksella, jos hänellä ei enää ole edellytyksiä tehtäviensä suorittamiseen. Komissio vahvistaa pääsihteerin ehdotuksesta ja henkilöstön ja hallinnon pääosaston pääjohtajan suostumuksella, ettei TVH enää täytä tehtävien hoidon kannalta välttämättömiä edellytyksiä.

6. TVH:hon ja hänen henkilöstöönsä sovelletaan Euroopan yhteisöjen virkamiehiin sovellettavia sääntöjä ja määräyksiä, sanotun kuitenkaan rajoittamatta asiaa koskevien asetuksen säännösten soveltamista.

4 artikla

Tehtävät

1. TVH edistää osaltaan henkilötietojen suojan takaavan toimintakulttuurin kehittämistä komissioon parantamalla tietosuojakysymysten yleistä tiedostamista huolehtien samalla sopivasta tasapainosta henkilötietojen suojaa koskevien periaatteiden ja avoimuuden välillä, sanotun kuitenkaan rajoittamatta asetuksen 24 artiklassa ja liitteessä kuvattujen tehtävien hoitamista.

2. TVH pitää yllä luetteloa kaikista komissiossa tehtävistä henkilötietojen käsittelytoimista, ja tietosuojakoordinaattorit merkitsevät siihen kaikki pääosastojensa tietojenkäsittelytoimet, joita koskee ilmoitusvelvollisuus. Tietosuojakoordinaattorit ilmoittavat myös kyseisistä toimista vastaavan rekisterinpitäjän henkilöllisyyden. TVH avustaa rekisterinpitäjää tämän vastuulla olevien tietojenkäsittelytoimien riskien arvioimisessa, seuraa asetuksen täytäntöönpanoa komissiossa ja laatii vuosittain tietosuojan tilaa koskevan kertomuksen.

3. TVH järjestää säännöllisesti tietosuojakoordinaattorien verkoston kokouksia ja toimii niiden puheenjohtajana.

4. TVH pitää tietojenkäsittelytoimista asetuksen 26 artiklan mukaisesti rekisteriä, joka on käytettävissä komission sisäisillä ja julkisilla verkkosivustoilla.

5. TVH antaa komissiolle ja rekisterinpitäjille suosituksia ja neuvoja tietosuojasäännösten soveltamiseen liittyvistä asioista, ja hän voi tehdä pyynnöstä tai omasta aloitteestaan tutkimuksia tehtäviinsä liittyvistä asioista ja tapahtumista ja kertoa tutkimuksen tuloksista tutkimuksen tilanneelle henkilölle tämän päätöksen 13 artiklassa kuvatun menettelyn mukaisesti. Jos tutkimusta on pyytänyt luonnollinen henkilö tai tällaisen edustaja, TVH:n on mahdollisuuksien mukaan varmistettava tutkimuspyynnön luottamuksellisuus, jollei rekisteröity anna yksiselitteisesti suostumustaan pyynnön käsittelyyn muulla tavoin.

6. Henkilötietojen käsittely henkilöstökomiteoissa kuuluu komission TVH:n vastuualueeseen. Jos nousee esille henkilöstökomitean tekemiin tietojenkäsittelytoimiin liittyviä kysymyksiä, TVH toimittaa 6 artiklaa sovellettaessa kaikki tiedot asianomaisen henkilöstökomitean puheenjohtajalle eikä pääsihteerille.

7. TVH:n riippumattomuutta rajoittamatta pääsihteeri voi pyytää komission puolesta TVH:ta edustamaan komissiota kaikissa tietosuojaan liittyvissä kysymyksissä, sanotun kuitenkaan rajoittamatta TVH:n riippumattomuutta; tämä voi tarkoittaa myös TVH:n osallistumista asiaa koskevien komiteoiden ja elinten työhön kansainvälisellä tasolla.

5 artikla

Velvollisuudet

1. Edellä mainittujen yleisten tehtävien lisäksi TVH

a) toimittaa pääsihteerille sekä henkilöstön ja hallinnon pääosaston pääjohtajalle vuosittain tietosuojan tilaa komissiossa koskevan kertomuksen tarkasteltavaksi asianmukaisella tasolla, kuten pääjohtajien säännöllisessä kokouksessa; kertomus asetetaan komission henkilöstön käyttöön;

b) tekee yhteistyötä tehtäviensä hoidossa muiden toimielinten ja elinten tietosuojasta vastaavien henkilöiden kanssa erityisesti vaihtamalla kokemuksia ja parhaita käytäntöjä.

2. Vastuulleen kuuluvien henkilötietojen käsittelytoimien osalta TVH toimii rekisterinpitäjänä.

6 artikla

Toimivaltuudet

Asetuksella myönnettyjä toimivaltuuksia rajoittamatta TVH voi tehtäviään ja velvollisuuksiaan hoitaessaan

a) pyytää oikeudellisia lausuntoja komission oikeudelliselta yksiköltä;

b) ilmoittaa asetuksen tulkintaan tai täytäntöönpanoon liittyvistä erimielisyyksistä toimivaltaiselle hallinnon tasolle ja pääsihteerille ennen asian saattamista Euroopan tietosuojavaltuutetun käsiteltäväksi;

c) saattaa pääsihteerin tietoon seuraavat puutteet: — henkilöstön jäsen ei täytä hänelle asetuksessa säädettyjä velvoitteita, — rekisterinpitäjät eivät noudata asetuksen mukaisiin velvoitteisiin liittyviä komission sisäisen valvonnan standardeja, ja ehdottaa hallinnollisen tutkimuksen käynnistämistä sen selvittämiseksi, onko sovellettava asetuksen 49 artiklaa;

d) tutkia tehtäviinsä välittömästi liittyviä seikkoja ja tapauksia soveltaen asianomaisia komissiossa tehtävien tutkimusten ja tarkastusten periaatteita ja tämän päätöksen 13 artiklassa kuvattua menettelyä;

e) hänen on voitava milloin tahansa tutustua käsiteltäviin tietoihin sekä kaikkiin tiloihin, tietojenkäsittelylaitteistoihin ja tietovälineisiin.

7 artikla

Varat

Komissio huolehtii siitä, että TVH:lla on tehtäviensä suorittamiseen tarvittavat varat.

3 JAKSO

SÄÄNNÖT JA MENETTELYT

8 artikla

Tiedotus

1. Kun komission yksiköiden käsiteltävänä on jokin asia, jolla on tietosuojaan liittyviä vaikutuksia, keskeinen yksikkö ilmoittaa asiasta välittömästi ja viimeistään ennen päätöksentekoa TVH:lle.

2. Kun komissio kuulee Euroopan tietosuojavaltuutettua tai tekee tälle ilmoituksen asetuksen asianomaisten artiklojen, etenkin 28 artiklan 1 tai 2 kohdan nojalla, tästä ilmoitetaan TVH:lle. Hänelle ilmoitetaan myös komission rekisterinpitäjien ja Euroopan tietosuojavaltuutetun välittömästä yhteistyöstä, joka perustuu asetuksen asianomaisiin artikloihin.

3. Tilanteen mukaan keskeinen yksikkö tai oikeudellinen yksikkö ilmoittaa TVH:lle oikeudellisen yksikön lausunnoista ja kannanotoista, jotka liittyvät suoraan asetuksen sisäiseen soveltamiseen, sekä erityisesti toimielinten välisen kuulemisen yhteydessä henkilötietojen suojaan ja käsittelyyn liittyvien muiden säädösten tulkintaa tai täytäntöönpanoa sekä tiedonsaantioikeutta koskevista lausunnoista.

9 artikla

Rekisterinpitäjät

1. Rekisterinpitäjien velvollisuuksia koskevien asetuksen säännösten soveltamista rajoittamatta rekisterinpitäjät

a) ilmoittavat viipymättä TVH:lle kaikista tietojenkäsittelytoimista, joista ei vielä ole ilmoitettu;

b) kuulevat tarvittaessa TVH:ta tietojenkäsittelytoimien vaatimustenmukaisuudesta erityisesti tilanteissa, joissa siitä on epäilyjä;

c) tekevät yhteistyötä tietosuojakoordinaattorin kanssa perustettaessa rekisteriä pääosastossa tehtävistä henkilötietojen käsittelytoimista.

2. Rekisterinpitäjä voi siirtää tiettyjä tehtäviään apulaisrekisterinpitäjinä toimiville muille henkilöille, jotka työskentelevät hänen valvonnassaan ja joista hän vastaa.

10 artikla

Tietojenkäsittelijät

Rekisterinpitäjien puolesta henkilötietojen käsittelyn komissiossa suorittavien henkilöiden on noudatettava kirjallisessa sopimuksessa esitettyjä rekisterinpitäjien ohjeita sekä käsiteltävä kyseisiä tietoja noudattaen tarkasti asetusta ja mahdollisesti sovellettavaa muuta tietosuojalainsäädäntöä. Komission yksiköiden välillä tehdyn kirjallisen sopimuksen katsotaan vastaavan asetuksen 23 artiklan 2 kohdassa tarkoitettua oikeudellisesti sitovaa asiakirjaa.

Ulkopuolisten tietojenkäsittelijöiden kanssa tehdään muodolliset sopimukset, joihin sisällytetään asetuksen 23 artiklan 2 kohdassa mainitut vaatimukset.

11 artikla

Ilmoitukset

Rekisterinpitäjät toimittavat ilmoitukset TVH:lle käyttäen komission suorakäyttöistä ilmoitusjärjestelmää, joka on käytettävissä komission intranetissä olevalta TVH:n verkkosivustolta.

Muiden kuin arkaluonteisten henkilötietojen yksinkertaiset käsittelytoimet voidaan ilmoittaa järjestelmässä yksinkertaistetulla ilmoituksella.

12 artikla

Rekisteri

Yhteisöjen toimielinten ja elinten henkilöstön on voitava käyttää tämän päätöksen 4 artiklan 4 kohdassa mainittua komission tietojenkäsittelytoimien suorakäyttöistä rekisteriä komission intranetissä olevan TVH:n verkkosivuston kautta, ja rekisterin on oltava kaikkien internetkäyttäjien käytettävissä Europa-sivuston kautta. Henkilöt, joilla ei ole mahdollisuutta internetin käyttöön, voivat pyytää rekisteristä otteita TVH:lta, jonka on vastattava pyyntöön 10 työpäivän kuluessa.

13 artikla

Tutkimusmenettely

1. Tämän päätöksen 4 artiklan 5 kohdassa mainitut tutkimuspyynnöt tehdään kirjallisina ja ne osoitetaan TVH:lle. TVH:n on lähetettävä 15 päivän kuluessa pyynnön vastaanottamisesta vastaanottoilmoitus tutkimuksen tilanneelle henkilölle ja tarkistettava, onko pyyntö käsiteltävä luottamuksellisena. Jos on ilmeistä, että oikeutta tutkimuksen pyytämiseen käytetään väärin, TVH ei ole velvollinen raportoimaan hakijalle.

2. TVH:n on pyydettävä asianomaisesta tietojenkäsittelytoimesta vastaavalta rekisterinpitäjältä kirjallinen lausunto asiasta. Rekisterinpitäjän on toimitettava vastauksensa TVH:lle 15 työpäivän kuluessa. TVH voi pyytää rekisterinpitäjää tai muita osapuolia toimittamaan täydentäviä tietoja 15 päivän kuluessa. Hän voi tarvittaessa pyytää lausuntoa oikeudelliselta yksiköltä. Lausunto on toimitettava TVH:lle 30 työpäivän kuluessa.

3 TVH:n on raportoitava tutkimuksen tilanneelle henkilölle viimeistään kolmen kuukauden kuluttua pyynnön vastaanottamisesta. Tätä määräaikaa voidaan jatkaa siihen asti, kun TVH on saanut muut mahdollisesti pyytämänsä tiedot.

4. Kenellekään ei saa aiheutua haittaa sellaisen TVH:n tietoon saatetun tapauksen johdosta, jossa asetuksen säännöksiä väitetään rikotun.

14 artikla

Tietosuojakoordinaattorit

1. Kukin pääjohtaja nimittää pääosastoonsa ja toimialajohtajat yksikköihinsä tietosuojakoordinaattorin. Yhtenäisyyden tai tehokkuuden lisäämiseksi useat pääosastot, yksiköt tai toimistot voivat nimittää kirjallisen sopimuksen perusteella yhteisen tietosuojakoordinaattorin tai käyttää jonkin jo nimitetyn tietosuojakoordinaattorin palveluja.

2. Tietosuojakoordinaattorin tehtävät voidaan yhdistää joihinkin muihin tehtäviin, jos se on tarkoituksenmukaista. Hankkiakseen tehtäviensä hoidossa tarvittavat taidot tietosuojakoordinaattorin on osallistuttava asiaa koskevaan pakolliseen koulutukseen kuuden kuukauden kuluessa nimityksestään.

3. Tietosuojakoordinaattorin toimikauden pituutta ei rajoiteta. Hänet olisi valittava soveltuvalla hierarkiatasolla ammattietiikkansa, pääosaston toiminnan tuntemuksensa ja toiminnasta hankkimansa kokemuksen sekä tehtävään motivoituneisuutensa perusteella. Hänen olisi ymmärrettävä tietojärjestelmien periaatteita.

4. TVH:n tehtävien hoitamista rajoittamatta tietosuojakoordinaattori

a) perustaa pääosastoon tietojenkäsittelytoimien rekisterin, pitää sen ajan tasalla sekä auttaa määrittelemään kullekin tietojenkäsittelytoimelle tarkoituksenmukaisen riskitason; käyttää tietosuojakoordinaattoreille tarkoitettua suorakäyttöistä rekisterien hallintajärjestelmää, jonka TVH on sijoittanut kyseistä tarkoitusta varten komission intranetissä olevalle verkkosivustolleen;

b) avustaa pääjohtajaa tai toimialajohtajaa valitsemaan asianomaiset rekisterinpitäjät;

c) on oikeutettu saamaan rekisterinpitäjiltä tarvittavat tiedot. Näihin eivät kuulu rekisterinpitäjän vastuulla käsiteltävät henkilötiedot.

5. Rekisterinpitäjän tehtävien hoitamista rajoittamatta tietosuojakoordinaattori

a) auttaa rekisterinpitäjiä täyttämään oikeudelliset velvoitteensa;

b) auttaa rekisterinpitäjiä ilmoitusten laadinnassa;

c) tallentaa yksinkertaistetut ilmoitukset TVH:n suorakäyttöiseen ilmoitusjärjestelmään.

6. Tietosuojakoordinaattorit osallistuvat tietosuojakoordinaattorien verkoston säännöllisiin kokouksiin, joiden puheenjohtajana toimii TVH, varmistaakseen, että asetusta sovelletaan ja tulkitaan komissiossa yhtenäisellä tavalla, ja keskustellakseen yhteisesti tärkeistä aiheista.

7. Tehtäviensä hoidossa tietosuojakoordinaattori voi pyytää TVH:lta suosituksia, neuvoja tai lausuntoja.

15 artikla

Hallinto ja johto

1. TVH sijoitetaan hallinnollisesti pääsihteeristöön, ja hänen toimintansa liitetään pääsihteeristön toimintoon 7 (suhteet kansalaisyhteiskuntaan, avoimuus ja tiedottaminen) sisältyvään toimintoperusteisen talousarvion laatimista ja hallinnointia koskevaan prosessiin. Tässä yhteydessä TVH osallistuu pääsihteeristön vuotuisen hallintosuunnitelman ja alustavan talousarvioesityksen laadintaan.

2. TVH toimii sihteeristönsä henkilöstön ja apulaistietosuojavastaavan arvioijana. Arvioinnin vahvistajana toimii apulaispääsihteeri.

3. TVH osallistuu tarvittaessa pääsihteeristön hallinnon koordinointiin.

4 JAKSO

LOPPUSÄÄNNÖKSET

16 artikla

Voimaantulo

Tämä päätös tulee voimaan 3 päivänä kesäkuuta 2008.

Tehty Brysselissä 3 päivänä kesäkuuta 2008. Komission puolesta Komission jäsen José Manuel BARROSO

(1) EYVL L 8, 12.1.2001, s. 1.

(2) Ei vielä julkaistu virallisessa lehdessä.

(3) Tietosuojasta vastaava henkilö voi olla nais- tai miespuolinen.