FI Euroopan unionin virallinen lehti C 68/1

SÄÄNNÖKSET HENKILÖTIETOJEN KÄSITTELYÄ JA TIETOSUOJAA EUROJUSTISSA KOSKEVASTA TYÖJÄRJESTYKSESTÄ

(Eurojustin kollegion kokouksessaan 21 päivänä lokakuuta 2004 yksimielisesti hyväksymä ja neuvoston 24 päivänä helmikuuta 2005 hyväksymä)

(2005/C 68/01)

I OSASTO

MÄÄRITELMÄT

1 artikla

Määritelmät

Näissä säännöissä ja niiden täytäntöönpanoasiakirjoissa tarkoitetaan

a) ’Eurojust-päätöksellä’ 28 päivänä helmikuuta 2002 tehtyä neuvoston päätöstä Eurojust-yksikön perustamisesta törkeän rikollisuuden torjunnan tehostamiseksi, sellaisena kuin se on muutettuna 18 päivänä kesäkuuta 2003 tehdyllä neuvoston päätöksellä;

b) ’kollegiolla’ Eurojust-päätöksen 10 artiklassa tarkoitettua Eurojustin kollegiota;

c) ’kansallisella jäsenellä’ Eurojust-päätöksen 2 artiklan 1 kohdassa tarkoitettua, kunkin jäsenvaltion Eurojustiin lähettämää kansallista jäsentä;

d) ’avustajalla’ Eurojust-päätöksen 2 artiklan 2 kohdassa tarkoitettua henkilöä, joka voi avustaa kansallista jäsentä;

e) ’Eurojustin henkilöstöllä’ Eurojust-päätöksen 29 artiklassa tarkoitettua hallinnollista johtajaa sekä Eurojust-päätöksen 30 artiklassa tarkoitettua henkilöstöä

f) ’tietosuojavaltuutetulla’ Eurojust-päätöksen 17 artiklan mukaisesti nimettyä henkilöä;

g) ’yhteisellä valvontaviranomaisella’ Eurojust-päätöksen 23 artiklan mukaisesti perustettua riippumatonta elintä;

h) ’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, jonka henkilöllisyys on todennettavissa suoraan tai epäsuorasti, erityisesti henkilötunnuksen tai yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, henkisen, taloudellisen, kulttuurisen tai sosiaalisen erityispiirteen avulla;

i) ’tietojen käsittelyllä’ (’käsittely’) kaikenlaisia toimintoja tai toimintasarjoja, joita kohdistetaan henkilötietoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, niitä koskevaa kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamista muutoin saataville, tietojen yhteensovittamista tai yhdistämistä sekä suojaamista, poistamista tai tuhoamista;

j) ’henkilötietojen rekisteröintijärjestelmällä’ (’rekisteröintijärjestelmä’) järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu;

k) ’rekisterinpitäjällä’ henkilöä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla tai eurooppalaisilla laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisella tai eurooppalaisella säännöksellä;

l) ’henkilötietojen käsittelijällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;

m) ’sivullisella’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä paitsi rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää ja henkilöitä, joilla on oikeus käsitellä tietoja rekisterinpitäjän tai henkilötietojen käsittelijän välittömän vastuun alaisena; ja

n) ’vastaanottajalla’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle tietoja luovutetaan, oli kyseessä sivullinen tai ei.

II OSASTO

SOVELTAMISALA JA RAKENNE

2 artikla

Soveltamisala

1. Tätä työjärjestystä sovelletaan Eurojustin suorittamaan henkilötietojen käsittelyyn, joka suoritetaan kokonaan tai osittain automaattisesti, sekä sellaisten henkilötietojen muuhun kuin automaattiseen käsittelyyn, jotka muodostavat rekisteröintijärjestelmän osan tai joiden on tarkoitus muodostaa rekisteröintijärjestelmän osa Eurojust-päätöksen mukaisesti.

2. Tätä työjärjestystä sovelletaan kaikkiin Eurojustin keräämiin ja myöhemmin käsittelemiin tietoihin eli sen laatimiin tai sen vastaanottamiin ja sen hallussa oleviin tietoihin, jotka koskevat Eurojustin vastuualueeseen kuuluviin politiikkoihin, toimiin ja päätöksiin liittyviä asioita.

3. Tätä työjärjestystä ei sovelleta tietoihin, jotka on toimitettu Eurojustin kansalliselle jäsenelle yksinomaan hänen Eurojust-päätöksen 9 artiklan 3 kohdassa määritellyn oikeudellisen toimivaltansa puitteissa.

3 artikla

Rakenne

1. Kaikkia henkilötietoja pidetään joko tapauskohtaisina tai muina kuin tapauskohtaisina tietoina. Henkilötietoja pidetään tapauskohtaisina, jos ne liittyvät Eurojust-päätöksen 5, 6 ja 7 artiklassa määriteltyihin Eurojustin operatiivisiin tehtäviin.

2. Tapauskohtaisia tietoja on käsiteltävä III ja IV osaston määräysten mukaisesti. Muita kuin tapauskohtaisia tietoja on käsiteltävä III ja V osaston määräysten mukaisesti.

III OSASTO

EUROJUSTIIN YLEISESTI SOVELLETTAVAT PERIAATTEET

4 artikla

Oikeus yksityisyyden suojaan ja tietosuojaan

Eurojustin on toiminnassaan täysin kunnioitettava yksilöiden ihmisoikeuksia ja perusvapauksia ja erityisesti heidän oikeuttaan yksityisyyden suojaan henkilötietojensa käsittelyssä kansalaisuudesta tai asuinpaikasta riippumatta.

5 artikla

Laillisuuden ja oikeudenmukaisuuden periaatteet, suhteellisuusperiaate ja käsittelyn välttämättömyys

1. Henkilötietoja on käsiteltävä oikeudenmukaisesti ja laillisesti.

2. Eurojust voi käsitellä vain sellaisia henkilötietoja, jotka ovat niihin tarkoituksiin nähden, joita varten ne kerätään tai niitä myöhemmin käsitellään, välttämättömiä, asianmukaisia ja merkitseviä, ja jotka eivät ole mainittuihin tarkoituksiin nähden liiallisia.

3. Eurojustin on määriteltävä tietojenkäsittelytoimintonsa ja -järjestelmänsä noudattaen tavoitetta, jonka mukaan se kerää ja myöhemmin käsittelee vain 2 kohdassa määriteltyjä välttämättömiä henkilötietoja. On käytettävä mahdollisuuksien mukaan toimintoja, joilla voidaan varustaa tiedot peitenimellä tai saattaa ne tunnistamattomiksi, ottaen huomioon tietojenkäsittelyn tarkoituksen ja sen, että tämä on voitava tehdä kohtuullisella vaivalla.

6 artikla

Tietojen laatu

1. Eurojustin on varmistettava, että henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki aiheelliset toimenpiteet sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, poistetaan tai oikaistaan.

2. Henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niitä tarkoituksia varten, joihin tiedot kerättiin tai joihin niitä myöhemmin käsitellään 5 artiklan 2 kohdan mukaisesti.

7 artikla

Tietoturva

1. Eurojust-päätöksen 22 artiklan ja tämän työjärjestyksen mukaisesti Eurojustin on toteutettava tarvittavat tekniset toimenpiteet ja hallinnolliset järjestelyt henkilötietojen suojaamiseksi hävittämiseltä vahingossa tai laittomasti, katoamiselta vahingossa, luvattomalta paljastamiselta tai muuttamiselta, henkilötietoihin pääsyltä tai miltä tahansa muulta luvattomalta käsittelyltä. Erityisesti toimenpiteillä on varmistettava, että henkilötietoja voivat saada vain siihen valtuutetut henkilöt.

2. Kaikkien toteutettujen toimenpiteiden on oltava tarkoituksenmukaisia käsittelystä aiheutuviin riskeihin ja käsiteltävien tietojen luonteeseen nähden.

3. Eurojustin on kehitettävä kattava tietoturvapolitiikka Eurojust-päätöksen 22 artiklan 2 kohdan ja tämän työjärjestyksen mukaisesti. Tässä politiikassa on otettava täysin huomioon oikeudellisen yhteistyön yksikössä tehtävän työn arkaluontoisuus ja siihen on sisällytettävä säännöt asiakirjojen turvaluokittelusta, Eurojustissa työskentelevää henkilöstöä koskevista luotettavuusselvityksistä sekä tietoturvaloukkausten sattuessa toteutettavista toimista. Yhteistä valvontaviranomaista on kuultava Eurojustin tietoturvapolitiikasta.

4. Kaikille Eurojustin toimenhaltijoille on annettava riittävät tiedot Eurojustin tietoturvapolitiikasta ja heiltä on edellytettävä heidän käyttöönsä asetettujen teknisten ja hallinnollisten toimenpiteiden hyödyntämistä sovellettavien tietosuoja- ja tietoturvavaatimusten mukaisesti.

8 artikla

Rekisteröidyn tiedonsaantioikeus

1. Rajoittamatta tapauskohtaisia tietoja koskevan IV osaston sekä muita kuin tapauskohtaisia tietoja koskevan V osaston soveltamista, rekisteröidylle on ilmoitettava tietojenkäsittelyn tarkoitus ja rekisterinpitäjän henkilöllisyys, tietojen vastaanottajat tai vastaanottajaryhmät, tieto henkilön oikeudesta saada itseään koskevia tietoja ja oikaista niitä sekä mahdolliset lisätiedot, kuten sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu, tietojen säilyttämisen aikarajat sekä oikeus saattaa asia milloin tahansa yhteisen valvontaviranomaisen käsiteltäväksi, siltä osin kuin nämä lisätiedot ovat tarpeen rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn varmistamiseksi ottaen huomioon tietojenkäsittelyn tarkoitus ja erityiset olosuhteet.

2. Nämä tiedot on toimitettava rekisteröidylle viimeistään silloin kun tietoja häneltä kerätään tai, jos tietoja on saatu sivulliselta, henkilötietoja rekisteröitäessä tai, jos tietoja aiotaan luovuttaa sivulliselle, viimeistään silloin, kun tietoja ensi kerran luovutetaan tai, näiden sääntöjen IV osaston II luvussa tarkoitetuissa tapauksissa, heti kun tietojenkäsittelyn tarkoitukset, kansalliset tutkinta- tai syytetoimet sekä sivullisten oikeudet ja vapaudet eivät vaarannu.

9 artikla

Rekisteröidyn oikeus tietojen saantiin, oikaisemiseen, suojaamiseen ja poistamiseen

1. Rekisteröidyllä on oikeus tietojen saantiin, oikaisemiseen, suojaamiseen ja tapauskohtaisesti poistamiseen. Eurojustin on määriteltävä, tarvittaessa yhteistyössä asianomaisten kansallisten viranomaisten kanssa, menettelyt, joilla helpotetaan tämän oikeuden käyttöä rekisteröidyille.

2. Tietosuojavaltuutetun on huolehdittava siitä, että rekisteröity saa pyynnöstään tietoja oikeuksistaan.

10 artikla

Käsittelyn luottamuksellisuus

Eurojust-päätöksen 25 artiklan mukaisesti kaikkia henkilöitä, jotka työskentelevät Eurojustissa tai Eurojustin kanssa, koskee salassapitovelvollisuus. Eurojustin on toteutettava tarvittavat toimenpiteet varmistaakseen, että tätä velvollisuutta noudatetaan ja että tämän velvollisuuden rikkomisesta ilmoitetaan välittömästi tietosuojavaltuutetulle ja turvallisuusyksikön päällikölle, jotka päättävät asianmukaisista toimenpiteistä.

11 artikla

Sisäiset käsittelijät

Eurojustissa tietojenkäsittelijänä toimiva henkilö, joka ja jolla on pääsy henkilötietoihin, ei saa käsitellä näitä tietoja muutoin kuin rekisterinpitäjän määräyksestä, ellei kansallisessa tai yhteisön oikeudessa muuta edellytetä.

12 artikla

Eurojustin toimenhaltijoiden tiedustelut, tietopyynnöt ja väitteet

1. Eurojust-päätöksen 17 artiklan 2 ja 4 kohtaa sovellettaessa tietosuojavaltuutetun on annettava Eurojustin tietojenkäsittelytoiminnasta tietoja kenelle tahansa Eurojustin toimenhaltijalle. Tietosuojavaltuutetun on vastattava tiedusteluihin sekä tietopyyntöihin ja väitteisiin, jotka koskevat Eurojustin suorittamassa henkilötietojen käsittelyssä tapahtunutta Eurojust-päätöksen säännösten, näiden sääntöjen tai muiden sääntöjen väitettyä rikkomista. Kenellekään ei saa aiheutua haittaa henkilötietojen käsittelyä koskevien säännösten rikkomista koskevan väitteen esittämisen johdosta.

2. Kaikkien Eurojustissa työskentelevien henkilöiden on tehtävä yhteistyötä kollegion, kansallisten jäsenten, tietosuojavaltuutetun ja yhteisen valvontaviranomaisen kanssa tiedustelujen, tutkimusten, tilintarkastusten tai muiden tietojenkäsittelyyn liittyvien toimien yhteydessä.

IV OSASTO

TAPAUSKOHTAISTEN TIETOJEN KÄSITTELYÄ KOSKEVAT SÄÄNNÖT

I luku

Henkilötietojen käsittelyn laillisuuden edellytykset

13 artikla

Tapauskohtaisissa yhteyksissä käsitellyt henkilötiedot

1. Tapauskohtaisten henkilötietojen käsittelyn osalta Eurojustin on tavoitteidensa toteuttamiseksi tarpeellisessa määrin käsiteltävä henkilötietoja automaattisesti tai strukturoitujen manuaalisten arkistojen avulla Eurojust-päätöksen 14, 15 ja 16 artiklan mukaisesti.

2. Yksittäisiä tapauksia koskevia henkilötietoja käsittelevien kansallisten jäsenten on määritettävä henkilötietojen käsittelyn tarkoitukset ja keinot, ja sen vuoksi heitä pidetään rekisterinpitäjinä tai tapauksen mukaan rinnakkaisina rekisterinpitäjinä.

14 artikla

Tietojenkäsittelyn laillisuus ja oikeudenmukaisuus

Tapauskohtaisia henkilötietoja voidaan kerätä ja myöhemmin käsitellä, siltä osin kuin käsittely on tarpeen Eurojustin tehtävien eli vakavan rikollisuuden torjunnan tehostamisen kannalta.

15 artikla

Tarkoituksen rajaaminen

Eurojustin tutkinta- ja syytetoimien yhteydessä käsittelemiä henkilötietoja ei saa missään olosuhteissa käsitellä mitään muita tarkoituksia varten.

16 artikla

Tietojen laatu

1. Jäsenvaltion tai sivullisen toimittaessa tutkinta- tai syytetoimien yhteydessä tietoja Eurojustille tämä ei ole vastuussa saatujen tietojen oikeellisuudesta, mutta sen on varmistettava tietojen vastaanottamisesta lähtien ryhtyvänsä kaikkiin tarvittaviin toimiin tietojen pitämiseksi päivitettyinä.

2. Jos Eurojust havaitsee kyseisissä tiedoissa virheellisyyksiä, sen on ilmoitettava asiasta tiedot toimittaneelle sivulliselle ja oikaistava ne.

17 artikla

Erityiset tietoryhmät

1. Eurojustin on toteutettava asianmukaiset tekniset toimenpiteet varmistaakseen, että tietosuojavaltuutetulle ilmoitetaan ilman eri toimenpiteitä poikkeustapauksista, joissa sovelletaan Eurojust-päätöksen 15 artiklan 4 kohtaa. Asiainhallintajärjestelmällä on varmistettava, että tällaisia tietoja ei voida käsitellä rekisterissä, josta säädetään Eurojust-päätöksen 16 artiklan 1 kohdassa.

2. Kun tällaiset tiedot viittaavat Eurojust-päätöksen 15 artiklan 2 kohdassa tarkoitettuihin todistajiin tai uhreihin, asiainhallintajärjestelmä ei saa rekisteröidä näitä tietoja ilman kollegion kirjallista päätöstä.

18 artikla

Eurojust-päätöksen 15 artiklan 3 kohdassa tarkoitettujen henkilötietoryhmien käsittely

1. Eurojustin on toteutettava asianmukaiset tekniset toimenpiteet varmistaakseen, että tietosuojavaltuutetulle ilmoitetaan ilman eri toimenpiteitä poikkeustapauksista, joissa sovelletaan rajoitetun ajan Eurojust-päätöksen 15 artiklan 3 kohtaa.

2. Kun tällaiset tiedot viittaavat Eurojust-päätöksen 15 artiklan 2 kohdassa tarkoitettuihin todistajiin tai uhreihin, asiainhallintajärjestelmä ei saa rekisteröidä näitä tietoja ilman vähintään kahden kansallisen jäsenen yhteistä kirjallista päätöstä.

II luku

Rekisteröityjen oikeudet

19 artikla

Rekisteröidyn tiedonsaantioikeus

1. Eurojustin operatiivisen työn yhteydessä rekisteröidylle annetaan tietoja käsittelystä heti kun on ilmeistä, että tietojen antaminen rekisteröidylle ei vahingoita

a) Eurojustin tehtävien suorittamista eli vakavan rikollisuuden torjunnan tehostamista; tai

b) kansallisia tutkinta- ja syytetoimia, joissa Eurojust avustaa; tai

c) valvonta-, tarkastus- ja sääntelytehtävää, jotka liittyy, vaikka vain satunnaisesti, julkisen vallan käyttämiseen a ja b alakohdassa tarkoitetuissa tapauksissa; tai

d) sivullisten oikeuksia ja vapauksia.

2. Edellä 1 kohdassa lueteltujen tapausten soveltaminen tallennetaan tapaukseen liittyvään tilapäiseen tietokantaan, jolloin mainitaan tästä tietokannasta vastaavan yhden tai useamman kansallisen jäsenen tekemän päätöksen perusta.

20 artikla

Rekisteröidyn oikeus saada henkilötietoja

Jokaisella on oikeus saada itseään koskevia, Eurojustin käsittelemiä henkilötietoja Eurojust-päätöksen 19 artiklassa säädetyin edellytyksin.

21 artikla

Menettely rekisteröidyn käyttäessä oikeuksiaan

1. Jokainen rekisteröity, joka haluaa käyttää oikeuksiaan, voi osoittaa pyyntönsä Eurojustille suoraan tai valitsemansa jäsenvaltion tätä tarkoitusta varten nimittämän viranomaisen välityksellä, joka toimittaa pyynnön Eurojustille.

2. Yksi tai useampi kansallinen jäsen, jota pyyntö koskee, käsittelee oikeuksien käyttöä koskevat pyynnöt ja toimittaa pyynnöstä jäljennöksen tietosuojavaltuutetulle pyynnön rekisteröintiä varten.

3. Yksi tai useampi kansallinen jäsen, jota pyyntö koskee, tekee tarvittavat tarkastukset ja ilmoittaa tietosuojavaltuutetulle kyseisessä tapauksessa tehdystä päätöksestä. Päätöksessä otetaan täysin huomioon nämä säännöt sekä Eurojust-päätöksen 19 artiklan 3 kohdassa määritelty pyyntöön sovellettava lainsäädäntö, Eurojust-päätöksen 19 artiklan 4 kohdassa mainitut epäämisen syyt sekä jäsenvaltioiden toimivaltaisten lainvalvontaviranomaisten kuulemiset, jotka on suoritettava ennen päätöksen tekemistä Eurojust-päätöksen 19 artiklan 9 kohdan mukaisesti.

4. Tietosuojavaltuutetun on, tapauksen sitä edellyttäessä, tehtävä lisätarkastuksia asiainhallintajärjestelmässä ja ilmoitettava asianomaiselle yhdelle tai useammalle kansalliselle jäsenelle, jos näissä tarkastuksissa on tullut esille asianmukaisia lisätietoja. Asianomainen yksi tai useampi kansallinen jäsen voi tietosuojavaltuutetun toimittamien tietojen perusteella päättää harkita alkuperäistä päätöstä uudelleen.

5. Tietosuojavaltuutetun on toimitettava rekisteröidylle asianomaisen yhden tai useamman kansallisen jäsenen Eurojust-päätöksen 19 artiklan 6 kohdan mukaisesti tekemä päätös ja ilmoitettava rekisteröidylle mahdollisuudesta valittaa yhteiselle valvontaviranomaiselle, jollei hän ole tyytyväinen Eurojustin antamaan vastaukseen.

6. Pyyntö on käsiteltävä kokonaisuudessaan kolmen kuukauden kuluessa sen vastaanottamisesta. Rekisteröity voi antaa asian yhteisen valvontaviranomaisen käsiteltäväksi, jollei hän ole saanut vastausta pyyntöönsä tämän määräajan kuluessa.

7. Jos pyyntö on vastaanotettu kansallisen viranomaisen välityksellä, asianomaisen yhden tai useamman kansallisen jäsenen on varmistettava, että tälle viranomaiselle on ilmoitettu tietosuojavaltuutetun antaneen rekisteröidylle vastauksen.

8. Eurojustin on otettava käyttöön yhteistyömenettelyjä kansallisten viranomaisten kanssa, jotka on määrätty käsittelemään rekisteröityjen oikeuksia, varmistaakseen, että pyynnöt välitetään Eurojustille asianmukaisesti ja ajoissa.

22 artikla

Ilmoittaminen sivullisille tapauskohtaisten henkilötietojen oikaisemisesta, suojaamisesta tai poistamisesta

Eurojustin on otettava käyttöön asianmukaiset tekniset toimenpiteet varmistaakseen, että kun Eurojust pyynnön seurauksena oikaisee, suojaa tai poistaa henkilötietoja, toimenpiteen seurauksena on luettelo kyseisten tietojen toimittajista ja vastaanottajista. Tietosuojavaltuutetun on Eurojust-päätöksen 20 artiklan 5 kohdan mukaisesti varmistettava, että luettelossa mainituille ilmoitetaan henkilötietoja koskevasta muutoksesta.

III luku

Tietoturvallisuus

23 artikla

Automaattinen asiainhallintajärjestelmä

1. Eurojustin on otettava käyttöön automaattinen asiainhallintajärjestelmä, johon kuuluu rekisteröintijärjestelmä, jota kansalliset jäsenet käyttävät käsitellessään tiettyyn tapaukseen liittyviä tietoja, ja johon sisältyvät tilapäiset tietokannat ja rekisteri Eurojust-päätöksen 16 artiklan mukaisesti. Kyseiseen järjestelmään on kuuluttava sellaisia toimintoja kuin asiainhallinta, työnkulun kuvaus, ristiviittaukset ja tietoturvallisuus.

2. Kollegio hyväksyy asiainhallintajärjestelmän kuultuaan tietosuojavaltuutettua, yhteistä valvontaviranomaista ja asianmukaista Eurojustin henkilöstöä, ja sen on otettava täysin huomioon Eurojust-päätöksen 22 artiklan ja muiden asianmukaisten säännösten vaatimukset.

3. Asiainhallintajärjestelmän avulla kansallisten jäsenten on voitava todeta, mitä tarkoitusta ja mitä erityistavoitteita varten tilapäinen tietokanta avataan Eurojust-päätöksen 5, 6 ja 7 artiklassa mainittujen tehtävien puitteissa.

24 artikla

Rekisteri ja tilapäiset tietokannat

1. Eurojustin on perustettava Eurojust-päätöksen 14 artiklan 4 kohdan ja 16 artiklan mukaisesti tutkintatoimien rekisteri ja myös henkilötietoja sisältäviä tilapäisiä tietokantoja. Rekisteri ja tilapäiset tietokannat ovat osa 23 artiklassa tarkoitettua asiainhallintajärjestelmää ja niitä käytettäessä on noudatettava Eurojust-päätöksen 15 artiklassa säädettyjä henkilötietojen käsittelyä koskevia rajoituksia.

2. Kansalliset jäsenet ovat vastuussa käsittelemiään tapauksia koskevien uusien tilapäisten tietokantojen avaamisesta. Asiainhallintajärjestelmän on annettava automaattisesti viitenumero (tunniste) kulloinkin avatulle uudelle tilapäiselle tietokannalle.

3. Eurojustin on otettava käyttöön automatisoitu asiainhallintajärjestelmä, jonka avulla kansalliset jäsenet voivat pitää tilapäisessä tietokannassa käsittelemänsä henkilötiedot rajoitettuina tai antaa ne kokonaan tai osittain yhden tai useamman sellaisen kansallisen jäsenen käyttöön, jota tietokannan sisältämä asia koskee. Asiainhallintajärjestelmän avulla kansallisten jäsenten on voitava määrittää ne henkilötietojen ja muiden kuin henkilötietojen yksittäistiedot, jotka he haluavat antaa asian käsittelyyn liittyvien muiden kansallisten jäsenten, avustajien tai sellaisten henkilöstön jäsenten, joilla on tietokantojen käyttöoikeus, käyttöön, sekä valita ne tiedot, jotka he haluavat sisällyttää rekisteriin Eurojust-päätöksen 14 ja 15 artiklan mukaisesti, varmistaen, että vähintään seuraavat yksittäistiedot sisällytetään rekisteriin: viittaus tilapäiseen tietokantaan, rikollisuuden lajit, jäsenvaltiot, asianmukaiset kansainväliset järjestöt ja elimet ja/tai kolmansien valtioiden viranomaiset, Euroopan komission tai EU:n elinten ja yksiköiden osallistuminen sekä asian tavoitteet ja tilanne (kesken/loppuunkäsitelty).

4. Jos kansallinen jäsen antaa yhdelle tai useammalle asianosaiselle kansalliselle jäsenelle valtuudet käyttää väliaikaista tietokantaa kokonaisuudessaan tai osittain, asianhallintajärjestelmän on varmistettava, että valtuutetuilla käyttäjillä on pääsy asiaa koskeviin tietokannan osiin mutta että he eivät voi muuttaa alkuperäisen tallettajan tietokantaan tallettamia tietoja. Valtuutetut käyttäjät voivat kuitenkin lisätä asiaankuuluvia tietoja väliaikaisten tietokantojen uusiin osiin. Järjestelmän kaikki valtuutetut käyttäjät voivat niin ikään lukea rekisterissä olevia tietoja mutta vain tietojen alkuperäinen tallettaja voi muuttaa niitä.

5. Tällaisen järjestelmän on automaattisesti ilmoitettava tietosuojavaltuutetulle jokaisen uuden henkilötietoja sisältävän tietokannan avaamisesta ja erityisesti poikkeustapauksista, joissa sovelletaan Eurojust-päätöksen 15 artiklan 3 kohtaa. Asiainhallintajärjestelmän on merkittävä tällaiset tiedot siten, että se muistuttaa tiedot järjestelmään tallentanutta henkilöä velvoitteesta säilyttää kyseiset tiedot vain rajoitetun ajan. Jos tiedot koskevat Eurojust-päätöksen 15 artiklan 2 kohdassa tarkoitettuja todistajia tai uhreja, järjestelmä ei tallenna niitä ennen kuin vähintään kahden kansallisen jäsenen yhdessä tekemästä päätöksestä on olemassa todiste.

6. Asiainhallintajärjestelmän on automaattisesti ilmoitettava tietosuojavaltuutetulle poikkeustapauksista, joissa sovelletaan Eurojust-päätöksen 15 artiklan 4 kohtaa. Jos tiedot koskevat Eurojust-päätöksen 15 artiklan 2 kohdassa tarkoitettuja todistajia tai uhreja, järjestelmä ei tallenna niitä ennen kuin kollegion tekemästä päätöksestä on olemassa todiste.

7. Asiainhallintajärjestelmän on varmistettava, että ainoastaan Eurojust-päätöksen 15 artiklan 1 kohdan a—i ja k alakohdassa ja 2 kohdassa tarkoitetut tiedot voidaan tallentaa rekisteriin.

8. Rekisteriin sisältyvien tietojen on oltava riittäviä Eurojustin tehtävien ja erityisesti Eurojust-päätöksen 16 artiklan 1 kohdan tavoitteiden toteuttamiseksi.

25 artikla

Lokitiedostot ja kirjausketjut

1. Eurojustin on toteutettava asianmukaiset tekniset toimenpiteet varmistaakseen, että kaikki henkilötietojen käsittelyoperaatiot kirjataan. Asiainhallintajärjestelmässsä on Eurojust-päätöksen 17 artiklan 2 kohdan b alakohdassa määritellyn mukaisesti varmistettava muun muassa, että toimitetut ja vastaanotetut henkilötiedot kirjataan 19 artiklan 3 kohdan soveltamiseksi. Tällaisen kirjauksen on Eurojust-päätöksen 22 artiklassa vaaditun mukaisesti taattava, että on mahdollista tarkastaa ja osoittaa, mille elimille henkilötiedot välitetään ja mitä henkilötietoja on tallennettu atk-järjestelmään, milloin tiedot on tallennettu ja ketkä ne ovat tallentaneet.

2. Tietosuojavaltuutetun on tarkastettava kyseiset tiedot säännöllisesti voidakseen avustaa kansallisia jäseniä ja kollegiota tietosuojaa koskevissa kysymyksissä ja tehtävä tarvittavat tutkimukset sääntöjenmukaisuuksien ilmetessä. Tarvittaessa tietosuojavaltuutetun on Eurojust-päätöksen 17 artiklan 4 kohdassa määrättyä menettelyä noudattaen ilmoitettava kollegiolle ja yhteiselle valvontaviranomaiselle kaikista edellä mainituissa tiedoissa ilmenneistä tietosuojarikkomuksista. Tietosuojavaltuutetun on tarvittaessa varmistettava, että hallinnolliselle johtajalle ilmoitetaan asiasta, jotta tämä voisi toteuttaa tarvittavat hallinnolliset toimenpiteet.

3. Tietosuojavaltuutetun on vaadittaessa annettava yhteiselle valvontaviranomaiselle vapaa pääsy 1 kohdassa tarkoitettuihin tietoihin.

26 artikla

Henkilötietojen sallittu käyttö

1. Eurojustin on toteutettava tarvittavat tekniset toimenpiteet ja organisatoriset järjestelyt varmistaakseen, että ainoastaan kansallisilla jäsenillä ja heidän avustajillaan sekä Eurojustin valtuutetuilla työntekijöillä on pääsy Eurojustin käsittelemiin henkilötietoihin Eurojustin tavoitteiden toteuttamiseksi sen operatiivisen työn yhteydessä.

2. Kyseisissä toimenpiteissä on otettava huomioon tarkoitukset, joita varten tietoja on kerätty ja käsitelty edelleen, tekniikan taso, Eurojustin toiminnan arkaluonteisuuden edellyttämä turvallisuustaso sekä Eurojust-päätöksen 22 artiklassa asetetut vaatimukset.

3. Kunkin Eurojustin kansallisen jäsenen on dokumentoitava ja ilmoitettava tietosuojavaltuutetulle kansallisen toimiston hänelle myöntämät oikeudet käyttää tiettyyn asiaan liittyviä tietokantoja. Erityisesti kansallisten jäsenten on varmistettava, että asiaankuuluvat organisatoriset järjestelyt on toteutettu ja että niitä noudatetaan ja että Eurojustin heidän käyttöönsä antamia teknisiä ja organisatorisia toimenpiteitä käytetään asianmukaisesti.

4. Kollegio voi antaa Eurojustin muulle henkilöstölle valtuudet käyttää tiettyyn asiaan liittyviä tietokantoja, jos Eurojustin tehtävien suorittaminen sitä edellyttää.

27 artikla

Tarkastukset ja valvonta

1. Tietosuojavaltuutetun on valvottava Eurojust-päätöksen määräysten, tämän työjärjestyksen ja muiden Eurojustiin sovellettavien, henkilötietojen käsittelyä koskevien sääntöjen lainmukaisuutta ja niiden noudattamista. Tätä varten tietosuojavaltuutetun on avustettava kansallisia jäseniä tietosuojaa koskevissa kysymyksissä ja tehtävä vuosittain tutkimuksia siitä, miten edellä mainittuja sääntöjä noudatetaan Eurojustissa. Tietosuojavaltuutetun on raportoitava kollegiolle ja yhteiselle valvontaviranomaiselle kyseisten tutkimusten tuloksista sekä muusta asiaankuuluvasta kehityksestä Eurojustissa. Tietosuojavaltuutetun on varmistettava, että hallinnolliselle johtajalle ilmoitetaan tarvittaessa asiasta, jotta hän voi toteuttaa tarvittavat hallinnolliset toimenpiteet.

2. Yhteisen valvontaviranomaisen on suoritettava tarkastuksia ja valvontaa Eurojust-päätöksen 23 artiklan 7 kohdan mukaisesti.

IV luku

Tiedon kulku sivullisille tai organisaatioille

28 artikla

Tiedon kulku sivullisille tai organisaatioille

1. Eurojustin on pyrittävä tekemään henkilötietojen vaihtoa koskevat asianmukaiset määräykset sisältävät yhteistyösopimukset kaikkien niiden kumppanien kanssa, joiden kanssa se vaihtaa tietoja säännöllisesti.

2. Eurojust toimittaa henkilötietoja kolmannelle maalle tai jollekin Eurojust-päätöksen 27 artiklan 1 kohdassa tarkoitetulle yksikölle vain, jos näihin sovelletaan yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä Strasbourgissa 28 päivänä tammikuuta 1981 allekirjoitettua yleissopimusta tai jos on varmistettu riittävä suojan taso, tämän vaikuttamatta kuitenkaan tapauksiin, joissa tällaiset yhteistyösopimukset ovat jo käytössä.

3. Päätöksen tietojen toimittamisesta muille kuin 28. tammikuuta 1981 tehdyn Euroopan neuvoston yleissopimuksen osapuolille tekee asianomainen jäsenvaltio tai asianomaiset jäsenvaltiot tietosuojavaltuutetun suojan tason riittävyydestä tekemän arvion perusteella. Suojan tason riittävyys arvioidaan ottamalla huomioon kaikki olosuhteet kunkin tiedonsiirron tai tiedonsiirtotyypin osalta. Arvion tekemiseksi tutkitaan erityisesti seuraavat seikat: tietotyyppi, tiedon käsittelyn, jota varten tiedot toimitetaan, tarkoitus ja kesto, alkuperämaa ja lopullinen kohdemaa, asianomaisessa valtiossa tai organisaatiossa sovellettavat yleiset ja alakohtaiset säännökset, niissä sovellettavat ammatilliset ja turvallisuutta koskevat säännöt sekä vastaanottavan osapuolen toteuttamien riittävien turvajärjestelyjen olemassaolo. Tällaiset turvajärjestelyt voivat erityisesti perustua kirjallisiin sopimuksiin, jotka sitovat tiedot toimittavaa rekisterinpitäjää ja vastaanottajaa, joka ei ole edellä tarkoitetun yleissopimuksen osapuolen lainkäyttövallan piirissä. Kyseisten sopimusten on sisällettävä tietosuojaa koskevat määräykset. Jos tietosuojatason arvioinnissa on vaikeuksia, tietosuojavaltuutettu kuulee yhteistä valvontaviranomaista ennen tietyn tietojen siirron lopullisen arvioinnin tekemistä.

4. Vaikka edellisten kohtien mukaiset edellytykset eivät täyty, kansallinen jäsen voi Eurojust-päätöksen 27 artiklan 6 kohdassa mainituissa poikkeusolosuhteissa kuitenkin toimittaa tietoja kolmanteen maahan yksinomaan kiireellisten toimenpiteiden toteuttamiseksi johonkin henkilöön tai yleiseen turvallisuuteen kohdistuvan välittömän vakavan vaaran torjumiseksi. Kyseinen kansallinen jäsen kirjaa tällaisen poikkeuksellisen tiedonsiirron tapausta koskevaan tilapäiseen tietokantaan liittäen mukaan perusteet kyseiselle tiedonkululle ja tiedottaa tietosuojavaltuutetulle kyseisestä tiedonkulusta. Tietosuojavaltuutettu tarkistaa, onko tällaiset tiedonsiirrot toteutettu poikkeuksellisissa ja kiireellisiä toimia edellyttävissä olosuhteissa.

V luku

Henkilötietojen säilyttämisen määräajat

29 artikla

Henkilötietojen säilyttämisen määräajat

1. Eurojustin on toteutettava asianmukaiset tekniset toimenpiteet sen varmistamiseksi, että Eurojust-päätöksen 21 artiklassa henkilötietojen säilyttämiselle määriteltyjä määräaikoja noudatetaan.

2. Tapauskohtaisella hallintajärjestelmällä voidaan erityisesti varmistaa, että tarve säilyttää kulloisiakin tietoja tilapäisessä tietokannassa tarkistetaan kolmen vuoden välein siitä, kun tiedot on talletettu. Tällaisen tarkistuksen toteuttamisesta on kirjattava asianmukaisesti tiedot järjestelmään tehtyjen päätösten perustelut mukaan lukien, ja tarkistuksen tulos välitetään ilman eri toimenpiteitä tietosuojavaltuutetulle.

3. Tapauskohtaisessa hallintajärjestelmässä lisätään erityismerkintä tietoihin, jotka on tallennettu rajoitetuksi ajaksi Eurojust-päätöksen 15 artiklan 3 kohdan mukaisesti. Tällaisten tietoluokkien säilyttämistarve tarkistetaan kolmen kuukauden välein, ja tarkistusten suorittamisesta kirjataan tiedot 1 ja 2 kohdassa esitetyllä tavalla.

4. Rekisterinpitäjän on tarvittaessa kuultava kollegiota ja tietosuojavaltuutettua niiden päätösten osalta, jotka koskevat tietojen säilyttämistä pidemmäksi ajaksi tarkistuksen jälkeen.

V OSASTO

MUIDEN KUIN TAPAUSKOHTAISTEN TIETOJEN KÄSITTELYÄ KOSKEVAT SÄÄNNÖT

I luku

Yleiset periaatteet

30 artikla

Tietojenkäsittelyn laillisuus ja oikeudenmukaisuus

Henkilötietoja on käsiteltävä oikeudenmukaisesti ja laillisesti. Erityisesti, henkilötietoja saadaan käsitellä vain, jos:

a) käsittely on tarpeen rekisterinpitäjää koskevan lainmukaisen velvoitteen täyttämiseksi, tai

b) käsittely on tarpeen sellaisen sopimuksen panemiseksi täytäntöön, jonka osapuolena rekisteröity on, tai tiettyjen toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä ennen tämän liittymistä sopimukseen, tai

c) rekisteröity on yksiselitteisesti antanut suostumuksensa,

d) käsittely on tarpeen rekisteröidyn elintärkeiden etujen suojaamiseksi, tai

e) käsittely on tarpeen rekisterinpitäjän oikeutettujen etujen turvaamiseksi, paitsi silloin, kun tällaisten etujen edelle menevät rekisteröidyn perusoikeuksiin ja -vapauksiin perustuvat edut, joita on suojeltava tämän työjärjestyksen 4 artiklan mukaisesti.

31 artikla

Tarkoituksen rajaaminen

1. Henkilötietoja on käsiteltävä erityisessä ja tarkasti määritellyssä lainmukaisessa ja oikeutetussa tarkoituksessa ja käsittelyn jälkeinen jatkokäsittely on sallittua vain sikäli kuin se ei ole ristiriidassa alkuperäisen käsittelytarkoituksen suhteen.

2. Henkilötietoja, jotka on koottu yksinomaan tietojenkäsittelyjärjestelmien tai -toimien turvallisuuden tai valvonnan ja hallinnoinnin varmistamiseksi, ei saa käyttää muihin tarkoituksiin, lukuun ottamatta vakavien rikosten torjuntaa, tutkintaa, selvittämistä ja syytteeseenpanoa.

32 artikla

Erityisiin tietoryhmiin kuuluvien tietojen käsittely

1. Sellaisten henkilötietojen käsittely muussa kuin tapauskohtaisessa tarkoituksessa, joista käy ilmi rotu tai etninen syntyperä, poliittinen kanta, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys tai jotka koskevat terveyttä tai sukupuolielämää tai rikostuomioita, on kielletty.

2. Tätä kieltoa ei sovelleta, jos:

a) rekisteröity on antanut nimenomaisen suostumuksensa kyseisten tietojen käsittelylle tai

b) käsittely on tarpeen rekisterinpitäjää koskevien erityisoikeuksien kunnioittamiseksi ja tätä koskevien lainmukaisten velvoitteiden noudattamiseksi, kuten rekisterinpitäjään sovellettavien vero- tai työlainsäädännön alan velvoitteiden johdosta, tai tarvittaessa sikäli kuin tietosuojavaltuutettu on käsittelyn hyväksynyt ja edellyttäen, että varmistetaan riittävät turvajärjestelyt, tai

c) käsittely on tarpeen rekisteröidyn tai jonkun muun henkilön elintärkeiden etujen suojaamiseksi, kun rekisteröity on fyysisesti tai laillisesti estynyt antamasta suostumustaan, tai

d) käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai tietojenkäsittely on tarpeen oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi tuomioistuimessa.

3. Edellä 1 kohdassa tarkoitettuja tietoja voidaan käsitellä vain siinä tarkoituksessa, jossa tiedot on alun perin koottu.

33 artikla

Rekisteröidyn tiedonsaantioikeutta koskevat poikkeukset

1. Eurojustin muun kuin operatiivisen toiminnan yhteydessä voidaan poiketa yleisperiaatteesta, joka koskee tietojen antamista rekisteröidylle, jos asianomaisten tietojen toimittaminen rekisteröidylle vaarantaisi:

a) jäsenvaltion tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun tai

b) rekisteröidyn suojaamisen tai muiden henkilöiden oikeuksien ja vapauksien suojaamisen tai

c) jäsenvaltioiden kansallisen tai yleisen turvallisuuden tai puolustuksen.

2. Tietosuojavaltuutetulle on tiedotettava näiden poikkeusten käyttöönotosta.

34 artikla

Tietosuojavaltuutetulle tehtävä ilmoitus

1. Kunkin rekisterinpitäjän on annettava tietosuojavaltuutetulle ilmoitus ennen kuin toteutetaan käsittely tai sellaisten käsittelyjen sarja, joilla on sama tarkoitus tai useita toisiinsa liittyviä tarkoituksia.

2. Ilmoitettavien tietojen on sisällettävä:

a) rekisterinpitäjän nimi ja maininta toimielimen tai elimen yksiköistä, joiden tehtävänä on henkilötietojen käsittely tiettyyn tarkoitukseen,

b) käsittelyn tarkoitus tai tarkoitukset,

c) kuvaus rekisteröityjen ryhmästä tai ryhmistä sekä heihin liittyvistä tiedoista tai tietoryhmistä,

d) sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu,

e) vastaanottajat tai vastaanottajaryhmät, joille tiedot mahdollisesti luovutetaan, ja

f) yleiskuvaus, jonka perusteella voidaan alustavasti arvioida käsittelyn turvallisuusjärjestelyjen asianmukaisuus.

3. Kaikista edellisessä kohdassa tarkoitettuihin tietoihin vaikuttavista muutoksista ilmoitetaan viipymättä tietosuojavaltuutetulle.

35 artikla

Rekisteri

1. Tietosuojavaltuutetun on pidettävä rekisteriä edellä olevan säännöksen mukaisesti ilmoitetuista käsittelytoimista.

2. Rekisterin on sisällettävä ainakin 34 artiklan 2 kohdan a—f alakohdassa tarkoitetut tiedot.

3. Tietosuojavaltuutettu antaa rekistereiden sisältämiä tietoja pyynnöstä yhteisen valvontaviranomaisen käyttöön.

36 artikla

Rekisterinpitäjien lukuun suoritettava henkilötietojen käsittely

1. Kun käsittelyn suorittaa ulkopuolinen käsittelijä rekisterinpitäjän lukuun, tämän on valittava sellainen henkilötietojen käsittelijä, joka antaa riittävät takeet Eurojust-päätöksen 22 artiklassa ja muissa asiaa koskevissa asiakirjoissa edellytetyistä teknisistä ja organisatorisista turvatoimista, ja huolehdittava, että nämä toimet toteutetaan asianmukaisesti.

2. Ulkopuolisen käsittelijän toimesta suoritettavaa käsittelyä on säänneltävä sopimuksella tai oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti määrätään, että

a) käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti ja

b) myös käsittelijän on noudatettava Eurojust-päätöksessä ja tässä työjärjestyksessä asetettuja luottamuksellisuutta ja turvallisuutta koskevia velvoitteita, jollei yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun direktiivin 95/46/EY (1) 16 artiklan tai 17 artiklan 3 kohdan toisen luetelmakohdan nojalla käsittelijään jo sovelleta jonkin jäsenvaltion kansallisessa lainsäädännössä vahvistettuja luottamuksellisuutta ja turvallisuutta koskevia velvoitteita.

3. Todisteiden säilyttämiseksi on sopimusten ja oikeudellisten asiakirjojen osien, jotka liittyvät tietosuojaan sekä luottamuksellisuutta ja turvallisuusjärjestelyjä koskeviin vaatimuksiin, oltava kirjallisia tai muussa vastaavassa muodossa.

37 artikla

Automaattiset yksittäispäätökset

Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, jolla on häneen nähden oikeusvaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla ja joka on tehty ainoastaan sellaisten tietojen automaattisen käsittelyn perusteella, jotka on tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa, kuten hänen ammatillisen suorituskykynsä, luotettavuutensa tai käyttäytymisensä arviointiin, jollei päätös nimenomaisesti ole kansallisessa tai yhteisön lainsäädännössä sallittu tai jollei, jos se on tarpeen, tietosuojavaltuutettu ole antanut siihen suostumustaan. Molemmissa tapauksissa on toteutettava rekisteröidyn oikeutetut edut turvaavia toimenpiteitä, kuten järjestelyjä, joiden avulla hän voi esittää näkemyksensä tai pystyy ymmärtämään käsittelyn merkityksen.

II luku

Henkilötietojen ja yksityisyyden suojaa sisäisissä televiestintäverkoissa koskevat sisäiset säännöt

38 artikla

Soveltamisala

1. Tässä luvussa olevia sääntöjä sovelletaan niiden henkilötietojen käsittelyyn, jotka liittyvät sellaisten televiestintäverkkojen tai telepäätelaitteiden käyttöön ja hallinnointiin, jotka toimivat Eurojustin valvonnassa, sanotun kuitenkaan rajoittamatta edellä olevien artiklojen soveltamista.

2. Tässä luvussa 'käyttäjällä' tarkoitetaan luonnollista henkilöä, joka käyttää Eurojustin valvonnassa toimivaa televiestintäverkkoa tai telepäätelaitetta.

39 artikla

Turvallisuus

1. Eurojust toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet varmistaakseen televiestintäverkkojen ja telepäätelaitteiden (tietokoneet, palvelimet, laitteistot ja ohjelmistot) turvallisen käytön tarvittaessa yhdessä yleisesti saatavilla olevien telepalvelujen tarjoajien ja/tai yleisen televiestintäverkon tarjoajien kanssa. Näiden toimenpiteiden on oltava sellaisia, joilla varmistetaan olemassa olevaan vaaraan nähden suhteutettu turvallisuustaso ottaen huomioon tekniikan viimeisimmät keinot ja toimenpiteiden käyttöönottokustannukset.

2. Jos on olemassa erityinen vaara, jonka vuoksi verkon ja telepäätelaitteiden turvallisuutta ei voida enää taata, Eurojustin on ilmoitettava käyttäjille tällaisesta vaarasta ja keinoista sen poistamiseksi sekä muista käytettävissä olevista viestintäkeinoista.

40 artikla

Viestinnän luottamuksellisuus

Eurojust varmistaa televiestintäverkon ja telepäätelaitteiden välityksellä tapahtuvan viestinnän luottamuksellisuuden yhteisön oikeutta noudattaen.

41 artikla

Liikenne- ja laskutustiedot

1. Käyttäjiä koskevat liikennetiedot, joita käsitellään puhelujen ja muiden yhteyksien muodostamiseksi televiestintäverkossa, on poistettava tai tehtävä nimettömiksi heti puhelun tai muun yhteyden päätyttyä.

2. Tästä pääperiaatteesta (kuten tarpeesta säilyttää joitakin liikennetietoja, jos ne liittyvät tiettyjä tiedostojen osalta välttämättömään kirjausprosessiin, tai yksityispuhelujen laskuttamiseksi) voidaan poiketa vain, jos poikkeuksista on sovittu Eurojustin tietosuojavaltuutettua kuultuaan hyväksymissä sisäisissä säännöissä. Jos tietosuojavaltuutettu ei ole vakuuttunut tällaisten poikkeusten lainmukaisuudesta tai asianmukaisuudesta, on kuultava yhteistä valvontaviranomaista.

3. Liikenne- ja laskutustietojen käsittelyä voivat suorittaa ainoastaan laskutuksesta, liikenteestä tai talousarviohallinnosta vastaavat henkilöt.

42 artikla

Tilaajaluettelot

1. Painetuissa tai sähköisissä käyttäjien luetteloissa olevat henkilötiedot sekä pääsy näihin luetteloihin on rajoitettava siihen, mikä on välttämätöntä luettelolle ominaisten tarkoitusten kannalta.

2. Tällaiset luettelot saavat olla vain Eurojustin käyttäjien saatavilla pelkästään sisäistä käyttöä varten tai asianmukaisiksi katsotuissa muissa toimielinten välisissä luetteloissa.

III luku

Erityiset säännöt

43 artikla

Lisäsäännöt

Eurojust laatii tarvittaessa henkilötietojen käsittelyä muissa kuin tapauskohtaisissa yhteyksissä koskevia lisäsääntöjä. Tällaiset säännöt annetaan tiedoksi yhteiselle valvontaviranomaiselle ja julkaistaan erillisissä sisäisissä ohjeistoissa.

VI OSASTO

MUUT SÄÄNNÖKSET

44 artikla

Tämän työjärjestyksen tarkistaminen

1. Tätä työjärjestystä tarkastellaan uudelleen säännöllisin väliajoin sen arvioimiseksi, onko sitä muutettava. Tätä työjärjestystä muutettaessa on noudatettava samoja Eurojust-päätöksessä vahvistettuja menettelyjä kuin sitä hyväksyttäessä.

2. Tietosuojavaltuutettu ilmoittaa sekä kollegion puheenjohtajalle että yhteiselle valvontaviranomaiselle, jos hän pitää tämän työjärjestyksen muuttamista tarpeellisena.

3. Yhteinen valvontaviranomainen saattaa kollegion tietoon tämän työjärjestyksen muuttamista koskevat ehdotukset tai suositukset.

45 artikla

Voimaantulo ja julkaiseminen

1. Tämä työjärjestys tulee voimaan sitä päivää seuraavana päivänä, jona se on lopullisesti hyväksytty neuvostossa.

2. Se julkaistaan Euroopan unionin virallisessa lehdessä.

(1) EYVL L 281, 23.11.1995, s. 31.