EUROOPAN TIETOSUOJAVALTUUTETUN PÄÄTÖS,

annettu 2 päivänä huhtikuuta 2019,

sisäisistä säännöistä Euroopan tietosuojavaltuutetun toteuttaman toiminnan puitteissa tapahtuvaan henkilötietojen käsittelyyn liittyville rekisteröityjen tiettyjen oikeuksien rajoituksille

EUROOPAN TIETOSUOJAVALTUUTETTU, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1), jäljempänä ’asetus’, ja erityisesti sen 25 artiklan ja VI luvun,

on kuullut Euroopan tietosuojavaltuutetun sihteeristöä tästä päätöksestä asetuksen 41 artiklan 2 kohdan mukaisesti,

sekä katsoo seuraavaa:

ON PÄÄTTÄNYT SEURAAVAA:

6. Kun Euroopan tietosuojavaltuutettu käsittelee tehtäviensä yhteydessä muiden organisaatioiden kanssa vaihdettuja henkilötietoja, sen on kuultava näitä järjestöjä ja näiden järjestöjen on kuultava sitä mahdollisista asianmukaisista syistä rajoitusten asettamiseen sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta, ellei tämä vaarantaisi Euroopan tietosuojavaltuutetun toimintaa.

5. Euroopan tietosuojavaltuutettu toimittaa vastuullisuuden edistämiseksi selosteen, jossa esitetään sovellettujen rajoitusten perusteet, sovelletut 1 kohdan mukaiset perusteet sekä tarpeellisuutta ja oikeasuhteisuutta koskevan arvioinnin tulokset. Näiden selosteiden on määrä muodostaa osa väliaikaista rekisteriä, jonka on oltava pyynnöstä Euroopan tietosuojavaltuutetun saatavilla. Asetuksen 25 artiklan soveltamista koskeva kertomus annetaan määräajoin saataville.

4. Tarpeellisuuden ja oikeasuhteisuuden arviointi on tehtävä tapauskohtaisesti ennen rajoitusten soveltamista. Rajoitukset on rajoitettava siihen, mikä on ehdottoman välttämätöntä asetettujen tavoitteiden saavuttamiseksi.

3. Rajoitusten on on keskeisiltä osin oltava perusoikeuksien ja -vapauksien mukaisia, ja niiden on oltava demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia.

varmistaessaan, että Euroopan tietosuojavaltuutetun henkilöstön jäsenet voivat ilmoittaa luottamuksellisesti tosiseikoista, jos he katsovat, että on olemassa vakavia sääntöjenvastaisuuksia, joista määrätään väärinkäytösten paljastamista koskevista sisäisistä säännöistä 14 päivänä kesäkuuta 2016 annetussa tietosuojavaltuutetun päätöksessä. Kyseiset rajoitukset voivat perustua asetuksen 25 artiklan 1 kohdan h alakohtaan;

4 artikla

Säilytysajat ja suojatoimet

Euroopan tietosuojavaltuutetun on toteutettava suojatoimia, joilla estetään sellaisten henkilötietojen väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen, joihin voidaan soveltaa rajoituksia. Näiden suojatoimien on käsitettävä tekniset ja organisatoriset toimenpiteet, ja ne on tarvittaessa esitettävä yksityiskohtaisesti Euroopan tietosuojavaltuutetun sisäisissä päätöksissä, menettelyissä ja täytäntöönpanosäännöissä. Suojatoimiin on sisällytettävä

a) roolien, vastuualueiden ja menettelyn eri vaiheiden asianmukainen määrittely

b) tarvittaessa turvallinen sähköinen ympäristö, jolla estetään lainvastainen tai tahaton pääsy sähköisiin tietoihin tai niiden siirtäminen asiattomille

c) tarvittaessa paperiasiakirjojen turvallinen säilytys ja käsittely