EUROOPAN INVESTOINTIPANKIN PÄÄTÖS,

annettu 26 päivänä helmikuuta 2019,

Euroopan investointipankin henkilöstö-pääosaston suorittamaan henkilötietojen käsittelyyn liittyvien sisäisten sääntöjen vahvistamisesta siltä osin kuin on kyse tietojen antamisesta rekisteröidyille ja rekisteröityjen tiettyjen oikeuksien rajoittamisesta

EUROOPAN INVESTOINTIPANKKI (jäljempänä ’EIP’),

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 309 artiklan,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725,

sekä katsoo seuraavaa:

EIP:n henkilöstön toimintasääntöjen I ja II 38 artiklan nojalla henkilöstön jäseneen, joka ei ole noudattanut EIP:tä koskevia velvoitteitaan, voidaan kohdistaa erityisiä kurinpitotoimenpiteitä näiden toimintasääntöjen 40 artiklassa esitetyn menettelyn mukaisesti. EIP:n henkilöstön toimintasääntöjen I ja II 41 artiklan nojalla muut kuin näiden toimintasääntöjen 38 artiklan mukaisten kurinpidollisten toimenpiteiden soveltamisesta johtuvat kiistat voidaan antaa sovittelulautakunnan (Conciliation Board) ratkaistavaksi. Työhyvinvointia koskevan EIP:n Dignity at Work -politiikan ja EIP:n henkilöstön arviointia koskevan valitusmenettelyn ohjeiden (Guidelines on the Appraisal Appeals Procedure) perusteella EIP:n on käsiteltävä valitukset työssä koetusta häirinnästä sekä suoritustason arviointeja koskevat muutoshakemukset.

EIP:n henkilöstö-pääosastolla on päävastuu EIP:n henkilöstön toimintasääntöjen I ja II 40 ja 41 artiklassa sekä EIP:n Dignity at Work -politiikassa ja EIP:n henkilöstön arviointia koskevaan valitusmenettelyn ohjeissa esitettyjen menettelyjen valmistelusta ja hallinnoinnista. Erityisesti henkilöstö-pääosasto antaa tukea kyseisistä menettelyistä vastaaville elimille sekä toimii näiden oikeudellisena sihteeristönä.

Henkilöstö-pääosasto on tehtäviään suorittaessaan sitoutunut kunnioittamaan henkilötietojen käsittelyyn liittyviä luonnollisten henkilöiden oikeuksia, jotka tunnistetaan Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdassa sekä niihin perustuvissa säädöksissä. Henkilöstö-pääosaston on myös noudatettava EIP:n henkilöstön toimintasäännöissä ja EIP:n henkilöstösäännöissä tarkoitettuja tiukkoja luottamuksellisuutta ja salassapitovelvollisuutta koskevia sääntöjä ja varmistettava, että asianosaisten ja todistajien prosessuaalisia oikeuksia ja erityisesti oikeutta oikeudenmukaiseen menettelyyn, puolustautumisoikeuksia ja oikeutta syyttömyysolettamaan kunnioitetaan.

Tietyissä olosuhteissa on tarpeen sovittaa yhteen asetuksen (EU) 2018/1725 (1) mukaiset rekisteröityjen oikeudet sekä henkilöstö-pääosaston tehtävien tarkoitukset ja tarpeet, sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien kunnioittaminen. Tämän vuoksi asetuksen 25 artikla antaa henkilöstö-pääosastolle mahdollisuuden rajoittaa 14–22 artiklan, 35 artiklan sekä 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

Niiden menettelyjen tehokkuuden varmistamiseksi, joita toteuttavat EIP:n henkilöstön toimintasääntöjen I ja II 40 ja 41 artiklan mukaisesti perustettu kurinpitolautakunta (Disciplinary Committee) ja sovittelulautakunta sekä EIP:n Dignity at Work -politiikan ja EIP:n henkilöstön arviointia koskevan valitusmenettelyn mukaisesti perustettu työhyvinvointiryhmä (Dignity at Work Panel) ja valituslautakunta (Adjudication Panel), asetuksesta (EU) 2018/1725 johtuvia henkilötietojen suojaa koskevia vaatimuksia unohtamatta, on tarpeen hyväksyä sisäisiä sääntöjä, joiden nojalla henkilöstö-pääosasto voi rajoittaa rekisteröityjen oikeuksia asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohdan mukaisesti.

Sisäisiä sääntöjä olisi sovellettava koko prosessin ajan kaikkiin henkilötietojen käsittelytoimiin, joita henkilöstö-pääosasto suorittaa valtuuksiensa puitteissa EIP:n henkilöstön toimintasääntöjen I ja II 40 ja 41 artiklan nojalla sekä EIP:n Dignity at Work -politiikan ja EIP:n henkilöstön arviointia koskevan valitusmenettelyn ohjeiden perusteella. Näitä sääntöjä olisi sovellettava kaikkiin henkilötietojen käsittelytoimiin, joita suoritetaan ennen kurinpitolautakunnan, sovittelulautakunnan, työhyvinvointiryhmän ja valituslautakunnan menettelyjen käynnistämistä, niiden kuluessa sekä menettelyjen tulosten seurannan aikana.

Asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan noudattamiseksi rekisterinpitäjän olisi tiedotettava kaikille yksityishenkilöille EIP:n intranetissä julkaistavilla tietosuojailmoituksilla läpinäkyvästi ja johdonmukaisesti henkilötietojen käsittelyä koskevista toimistaan ja yksityishenkilöiden oikeuksista sekä annettava tietoa henkilökohtaisesti niille rekisteröidyille, joihin EIP:n toiminnalla on vaikutusta, kuten asianosaisille, osapuolille ja todistajille.

Tehokkaan yhteistyön ylläpitämiseksi henkilöstö-pääosasto saattaa lisäksi joutua soveltamaan rekisteröityjen oikeuksiin kohdistuvia rajoituksia suojatakseen henkilötietoja sisältäviä tietoja, jotka ovat peräisin muilta EIP:n yksiköiltä, Euroopan unionin toimielimiltä, elimiltä, laitoksilta, jäsenvaltioiden ja kolmansien maiden toimivaltaisilta viranomaisilta sekä kansainvälisiltä järjestöiltä. Tämän vuoksi henkilöstö-pääosaston olisi kuultava näitä muita EIP:n yksiköitä, toimielimiä, elimiä ja laitoksia, viranomaisia ja kansainvälisiä järjestöjä asiaankuuluvista rajoitusperusteista sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta.

Henkilöstö-pääosaston olisi käsiteltävä kaikki rajoitukset läpinäkyvästi ja rekisteröitävä asianmukaiseen rekisteröintijärjestelmään kaikki tapaukset, joissa rajoituksia sovelletaan.

Rekisterinpitäjät voivat asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaan lykätä tietojen ilmoittamista rajoituksen soveltamisen syistä, jättää ilmoittamisen tekemättä tai pidättäytyä antamasta näitä tietoja rekisteröidylle, jos tämä voi jollakin tavoin vaarantaa rajoituksen tarkoituksen. Tämä koskee erityisesti asetuksen (EU) 2018/1725 16 ja 35 artiklassa mainittujen oikeuksien rajoituksia. Jotta voidaan varmistaa, että rekisteröidyn oikeutta saada tietoa asetuksen (EU) 2018/1725 16 ja 35 artiklan mukaisesti rajoitetaan vain niin kauan kuin lykkäyksen syyt ovat olemassa, henkilöstö-pääosaston olisi säännöllisesti tarkasteltava kantaansa uudelleen.

Jos sovelletaan muiden rekisteröityjen oikeuksiin kohdistuvaa rajoitusta, henkilöstö-pääosaston olisi arvioitava tapauskohtaisesti, vaarantaisiko rajoituksesta ilmoittaminen sen tarkoituksen.

EIP:n tietosuojavastaava voi tehdä riippumattoman arvioinnin rajoitusten soveltamisesta tämän päätöksen noudattamisen varmistamiseksi,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla Kohde ja soveltamisala 1. Tässä päätöksessä vahvistetaan säännöt, joita 2 artiklan 1 kohdassa tarkoitetun rekisterinpitäjän on noudatettava ilmoittaakseen rekisteröidyille heidän tietojensa käsittelystä asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan mukaisesti. Lisäksi siinä vahvistetaan edellytykset, joiden mukaisesti toimivaltainen rekisterinpitäjä voi rajoittaa mainitun asetuksen 14–22 ja 35 artiklan sekä 4 artiklan soveltamista asetuksen 25 artiklan 1 kohdan c, g ja h alakohdan mukaisesti. 2. Tätä päätöstä sovelletaan henkilöstö-pääosaston suorittamaan henkilötietojen käsittelyyn sellaista toimintaa varten tai sellaisen toiminnan yhteydessä, jota harjoitetaan EIP:n henkilöstön toimintasääntöjen I ja II 40 ja 41 artiklassa sekä EIP:n Dignity at Work -politiikassa ja EIP:n henkilöstön arviointia koskevan valitusmenettelyn ohjeissa ja niiden myöhemmissä muutoksissa tarkoitettujen tehtävien hoitamiseksi. 3. Henkilöstö-pääosasto käsittelee valtuuksiensa puitteissa useita henkilötietoryhmiä, erityisesti tunnistetietoja, yhteystietoja, ammattia koskevia tietoja ja asiaan osallisuutta koskevia tietoja.

2 artikla Rekisterinpitäjän määrittäminen ja suojatoimet 1. Henkilöstöosaston ylijohtaja toimii henkilötietojen käsittelyssä rekisterinpitäjänä. 2. Henkilötiedot säilytetään suojatussa sähköisessä ja fyysisessä ympäristössä, joka estää lainvastaisen pääsyn tietoihin ja tietojen siirtämisen henkilöille, joilla ei ole tiedonsaantitarvetta. 3. Käsiteltäviä henkilötietoja säilytetään vähintään kuusi kuukautta, kuitenkin enintään kymmenen vuotta. Tarkemmat tiedot säilyttämiselle säädetyistä tarkoista määräajoista eri menettelyiden osalta on koottu henkilöstö-pääosaston tietojen säilytyssuunnitelmaan (Retention Schedule). 4. Edellä mainittuja pidempiä säilytysaikoja sovelletaan poikkeuksellisissa ja asianmukaisesti perustelluissa tapauksissa tietosuojavastaavan suostumuksella.

3 artikla Sovellettavat poikkeukset ja rajoitukset 1. Henkilöstö-pääosaston on asetuksen (EU) 2018/1725 mukaisesti rekisteröityjen oikeuksiin liittyviä tehtäviään hoitaessaan harkittava, sovelletaanko jotakin kyseisessä asetuksessa säädetyistä poikkeuksista. 2. Jollei tämän päätöksen 4–7 artiklasta muuta johdu, henkilöstö-pääosasto voi rajoittaa asetuksen (EU) 2018/1725 14–22 ja 35 artiklan sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat asetuksen 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos näiden oikeuksien ja velvollisuuksien toteuttaminen vaarantaisi EIP:n henkilöstön toimintasääntöjen I ja II 40 ja 41 artiklassa sekä EIP:n Dignity at Work -politiikassa ja EIP:n henkilöstön arviointia koskevan valitusmenettelyn ohjeissa esitettyjen menettelyjen tarkoituksen tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin ja vapauksiin. 3. Jollei tämän päätöksen 4–7 artiklasta muuta johdu, henkilöstö-pääosasto voi rajoittaa tämän artiklan 2 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia siltä osin kuin on kyse henkilötiedoista, jotka on saatu muulta EIP:n yksiköltä tai Euroopan unionin toimielimiltä, elimiltä ja laitoksilta, jäsenvaltioiden toimivaltaisilta viranomaisilta tai kansainvälisiltä järjestöiltä, seuraavissa tilanteissa: a) muut EIP:n yksiköt tai Euroopan unionin toimielimet, elimet ja laitokset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien toteuttamista muiden mainitun asetuksen 25 artiklassa tarkoitettujen säädösten tai asetuksen IX luvun mukaisesti; b) jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien toteuttamista Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (2) 23 artiklassa tarkoitettujen säädösten perusteella tai sellaisilla kansallisilla toimenpiteillä, joilla saatetaan Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (3) 13 artiklan 3 kohta, 15 artiklan 3 kohta tai 16 artiklan 3 kohta osaksi kansallista lainsäädäntöä c) näiden oikeuksien ja velvollisuuksien toteuttaminen voisi vaarantaa henkilöstö-pääosaston tehtäviensä suorittamisen yhteydessä tekemän yhteistyön kolmansien maiden ja kansainvälisten järjestöjen kanssa. Ennen kuin henkilöstö-pääosasto soveltaa rajoituksia ensimmäisen alakohdan a ja b alakohdassa tarkoitetuissa tilanteissa, sen on kuultava asianomaisia EIP:n yksiköitä, Euroopan unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, jollei henkilöstö-pääosastolle ole selvää, että rajoituksen soveltamisesta säädetään jossakin näissä alakohdissa tarkoitetuista säädöksistä. Ensimmäisen alakohdan c alakohtaa ei sovelleta, jos rekisteröityjen edut tai perusoikeudet ja -vapaudet syrjäyttävät Euroopan unionin kolmansien maiden tai kansainvälisten järjestöjen kanssa tehtävän yhteistyön edut. 4. 1, 2 ja 3 kohta ei kuitenkaan estä EIP:n muiden päätösten soveltamista, joilla vahvistetaan sisäiset säännöt siltä osin kuin on kyse tietojen antamisesta rekisteröidyille ja tietojen rajoittamisesta asetuksen (EU) 2018/1725 25 artiklan nojalla.

4 artikla Tietojen toimittaminen rekisteröidyille 1. Henkilöstö-pääosaston on julkaistava EIP:n intranetissä tietosuojailmoitukset, joilla tiedotetaan kaikille rekisteröidyille sen toimista, joihin liittyy rekisteröityjen henkilötietojen käsittelyä. 2. Henkilöstö-pääosaston on toimitettava tiedot henkilökohtaisesti niille rekisteröidyille, jotka ovat tietyn menettelyn osapuolia, asianosaisia tai todistajia. 3. Jos henkilöstö-pääosasto rajoittaa kokonaan tai osittain tietojen toimittamista 2 kohdassa tarkoitetuille rekisteröidyille, sen on kirjattava rajoituksen syyt sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta. Kirjatuissa tiedoissa on tällöin ilmoitettava, miten tietojen antaminen vaarantaisi prosessin tarkoituksen tai 3 artiklan 3 kohdan mukaisesti sovellettavien rajoitusten tarkoituksen tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin ja vapauksiin. Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat tosiseikat ja oikeudelliset seikat käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön. 4. Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin rajoituksen perusteena olevat syyt ovat olemassa. Kun rajoitukseen ei enää ole syytä, henkilöstö-pääosaston on annettava kyseiset tiedot ja ilmoitettava rekisteröidylle rajoituksen syyt. Henkilöstö-pääosaston on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa. Henkilöstö-pääosaston on tarkasteltava rajoituksen soveltamista uudelleen vähintään kuuden kuukauden välein sen hyväksymisestä alkaen sekä kyseisen menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava vuosittain, onko rajoitus tarpeen pitää voimassa.

5 artikla Rekisteröidyn oikeus saada pääsy tietoihin 1. Jos rekisteröidyt pyytävät asetuksen (EU) 2018/1725 17 artiklan mukaisesti pääsyä yhden tai useamman tapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen, henkilöstö-pääosasto rajoittaa pyynnön arvioinnin ainoastaan tällaisiin henkilötietoihin. 2. Jos henkilöstö-pääosasto kokonaan tai osittain rajoittaa mainitun asetuksen 17 artiklassa tarkoitettua oikeutta saada pääsy tietoihin, sen on toteutettava seuraavat toimenpiteet: a) sen on rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa; b) sen on kirjattava rajoituksen syyt sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta; kirjatuissa tiedoissa on tällöin ilmoitettava, miten pääsyn antaminen tietoihin vaarantaisi prosessin tarkoituksen tai 3 artiklan 3 kohdan mukaisesti sovellettujen rajoitusten tarkoituksen tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin ja vapauksiin. Edellä a alakohdassa tarkoitettua tietojen antamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti. 3. Edellä 2 kohdan ensimmäisen alakohdan b alakohdassa tarkoitetut kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat tosiseikat ja oikeudelliset seikat käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön. Tällöin sovelletaan asetuksen (EU) 2018/1725 25 artiklan 7 kohtaa.

6 artikla Oikeus tietojen oikaisemiseen ja poistamiseen sekä käsittelyn rajoittamiseen Jos henkilöstö-pääosasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 18 artiklassa, 19 artiklan 1 kohdassa ja 20 artiklan 1 kohdassa tarkoitetun tietojen oikaisua, poistamista tai käsittelyn rajoittamista koskevan oikeuden soveltamista, sen on toteutettava tämän päätöksen 5 artiklan 2 kohdassa säädetyt toimenpiteet ja rekisteröitävä kirjatut tiedot 5 artiklan 3 kohdan mukaisesti.

7 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle Jos henkilöstö-pääosasto rajoittaa asetuksen (EU) 2018/1725 35 artiklan mukaista henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle, sen on kirjattava ja rekisteröitävä rajoituksen syyt tämän päätöksen 4 artiklan 3 kohdan mukaisesti. Tällöin sovelletaan päätöksen 4 artiklan 4 kohtaa.

8 artikla Tietosuojavastaavan toteuttama tarkastelu Henkilöstö-pääosaston on ilmoitettava ilman aiheetonta viivytystä tietosuojavastaavalle, jos se rajoittaa rekisteröidyn oikeuksia tämän päätöksen mukaisesti, ja sen on annettava pääsy kirjattuihin tietoihin ja arvioon rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta. Tietosuojavastaava voi pyytää henkilöstö-pääosastolta kirjallisesti rajoitusten uudelleentarkastelua. Henkilöstö-pääosaston on ilmoitettava pyydetyn uudelleentarkastelun tuloksista tietosuojavastaavalle kirjallisesti.

9 artikla Voimaantulo Tämä päätös hyväksyttiin EIP:n hallintoneuvoston kokouksessa 26 päivänä helmikuuta 2019 ja se tulee voimaan päivänä, jona se julkaistaan EIP:n verkkosivustolla.

Tehty Luxemburgissa 26 päivänä helmikuuta 2019.

(1) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).

(2) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(3) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVLL 119, 4.5.2016, s. 89).