PÄÄTÖS GB(D)06–2021

sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista yhtenäisen eurooppalaisen ilmatilan ilmaliikenteen hallinnan kolmannen tutkimushankkeen yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä [2022/737]

YHTENÄISEN EUROOPPALAISEN ILMATILAN ILMALIIKENTEEN HALLINNAN KOLMANNEN TUTKIMUSHANKKEEN YHTEISYRITYKSEN (SESAR 3 -YHTEISYRITYKSEN) HALLINTONEUVOSTO

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1), jäljempänä ’asetus (EU) 2018/1725’, ja erityisesti sen 25 artiklan,

ottaa huomioon Horisontti Eurooppa -ohjelman yhteisyritysten perustamisesta sekä asetusten (EY) N:o 219/2007, (EU) N:o 557/2014, (EU) N:o 558/2014, (EU) N:o 559/2014, (EU) N:o 560/2014, (EU) N:o 561/2014 ja (EU) N:o 642/2014 kumoamisesta 19 päivänä marraskuuta 2021 annetun neuvoston asetuksen (EU) 2021/2085 (2) (”perussäädös”),

ottaa huomioon hallintoneuvoston päätöksen (D) 03–2021 sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista SESAR-yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä,

ottaa huomioon Euroopan tietosuojavaltuutetun antamat ohjeet asetuksen (EU) 2018/1725 25 artiklasta ja sisäisistä säännöistä,

ottaa huomioon Euroopan tietosuojavaltuutetun kuulemisen 12 päivänä marraskuuta 2019 asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti,

ottaa huomioon Euroopan tietosuojavaltuutetun 18 päivänä joulukuuta 2019 antamat suositukset,

ottaa huomioon SESAR 3 -yhteisyrityksen henkilöstökomitean kuulemisen,

sekä katsoo seuraavaa:

(1) Rekisteröityjen oikeuksia voidaan rajoittaa vain perussopimusten nojalla annetuissa säädöksissä. Siinä tapauksessa, ettei rajoituksia voida perustaa perussopimusten nojalla annettuihin säädöksiin, asetuksen (EU) 2018/1725 mukaan rajoituksia voidaan asettaa SESAR 3 -yhteisyrityksen toimintaan liittyvissä asioissa sisäisillä säännöillä sen jälkeen, kun tällaisten rajoitusten tarpeellisuus ja oikeasuhteisuus on arvioitu.

(2) Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti asetuksen 14–22, 35 ja 36 artiklan soveltamisen rajoitusten sekä 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua SESAR 3 -yhteisyrityksen hyväksymiin sisäisiin sääntöihin.

(3) SESAR 3 -yhteisyritys voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, suorittaa alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä (virallisia ja epävirallisia) häirintää koskevia menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, tehdä sisäisiä tarkastuksia sekä toteuttaa SESAR 3 -yhteisyrityksen tietosuojavastaavan tutkimuksia asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti ja sisäisiä (tieto)turvatutkimuksia.

(4) SESAR 3 -yhteisyritys käsittelee useita henkilötietoryhmiä, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja sekä tapaukseen liittyviä tietoja (kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja) (3).

(5) SESAR 3 -yhteisyritys, jota edustaa sen toimitusjohtaja, toimii rekisterinpitäjänä.

(6) Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joilla ei ole laillista oikeutta saada tällaisia henkilötietoja. Käsiteltäviä henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja niiden käsittelyn tarkoitusten kannalta asianmukaista tietoturvaselosteissa, tietosuojaselosteissa tai SESAR 3 -yhteisyrityksen rekistereissä määritetyn ajan.

(7) Näitä sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita SESAR 3 -yhteisyritys tekee suorittaessaan hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjä, (virallisia ja epävirallisia) häirintätapauksia koskevia menettelyjä, sisäisten ja ulkoisten valitusten käsittelyä, sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia sekä sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltäviä (tieto)turvatutkimuksia.

(8) Sisäisiä sääntöjä olisi sovellettava asiaankuuluviin käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana, menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana sekä koko sinä aikana, jona rajoitusta sovelletaan. Niitä olisi sovellettava myös kaikkeen SESAR 3 -yhteisyrityksen kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoamaan tukeen ja niiden kanssa tehtävään yhteistyöhön.

(9) Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, SESAR 3 -yhteisyrityksen on annettava perustelut sille, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia.

(10) Näissä yhteyksissä SESAR 3 -yhteisyrityksen on edellä mainittujen menettelyjen aikana kunnioitettava mahdollisimman suuressa määrin ja asiaa koskevaa lainsäädäntöä ja ohjeita täysimääräisesti noudattaen rekisteröityjen perusoikeuksia ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja korjata tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.

(11) SESAR 3 -yhteisyrityksen on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia, erityisesti jotta se voisi suojata omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.

(12) Jos SESAR 3 -yhteisyritys aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että SESAR 3 -yhteisyrityksen tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.

(13) SESAR 3 -yhteisyritys voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.

(14) SESAR 3 -yhteisyrityksen olisi säännöllisesti tarkistettava, ovatko rajoituksen oikeuttavat edellytykset edelleen voimassa, ja poistettava rajoitus, kun edellytyksiä ei enää ole.

(15) Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle lykkäyksistä ja tarkistuksista välittömästi.

(16) Tämä päätös tehdään kirjallista menettelyä noudattaen hallintoneuvoston työjärjestyksen 10 artiklan mukaisesti.

ON PÄÄTTÄNYT SEURAAVAA:

1 artikla Tarkoitus ja soveltamisala 1. Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla SESAR 3 -yhteisyritys voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa asetuksen (EU) 2018/1725 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista saman asetuksen 25 artiklan mukaisesti. 2. SESAR 3 -yhteisyrityksen hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan ohjelmatoimiston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset. 3. Kyseessä olevat tietoryhmät ovat esimerkiksi tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja sekä tapaukseen liittyviä tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja. 4. Kun SESAR 3 -yhteisyritys suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

2 artikla Rekisterinpitäjän määrittäminen Käsittelytoimien rekisterinpitäjä on SESAR 3 -yhteisyritys, jota edustaa sen toimitusjohtaja.

3 artikla Suojatoimien määrittäminen 1. SESAR 3 -yhteisyrityksen on otettava käyttöön seuraavat suojatoimet, joiden tarkoituksena on estää henkilötietojen väärinkäyttö tai lainvastainen pääsy henkilötietoihin tai henkilötietojen lainvastainen siirtäminen: a) Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy. b) Kaikki sähköiset tiedot on tallennettava suojatuilla tietoteknisillä ohjelmilla SESAR 3 -yhteisyrityksen tietoturvavaatimusten mukaisesti, minkä lisäksi ne tallennetaan erityisiin sähköisiin kansioihin, joihin vain valtuutetulla henkilöstöllä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti. c) Tietokanta on suojattava salasanalla, siinä on oltava kertakirjautumisjärjestelmä ja se on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan; tarvittaessa on käytettävä myös pseudonymisointia ja/tai salausta. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekistereitä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi. d) Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin. 2. Edellä 1 kohdassa tarkoitetut suojatoimet olisi tarkistettava säännöllisesti 6 artiklan 3 kohdan mukaisesti. 3. Edellä 1 artiklan 3 kohdassa tarkoitettujen henkilötietojen säilytysaika ilmoitetaan kyseessä olevissa tietoturvaselosteissa, tietosuojaselosteissa tai 7 artiklan 1 kohdassa tarkoitetuissa selosteissa. Säilytysaika ei saa missään tapauksessa olla pidempi kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten (4).

4 artikla Rajoitusten perusteet 1. SESAR 3 -yhteisyritys soveltaa rajoituksia vain seuraavien takaamiseksi: a) jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus b) rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy c) muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan luettuina rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva d) unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus e) säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet f) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön 1–3 luetelmakohdassa tarkoitetuissa tapauksissa g) rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet h) yksityisoikeudellisten kanteiden täytäntöönpano. 2. Edellä 1 kohdassa kuvattujen tarkoitusten erityisenä soveltamistapana SESAR 3 -yhteisyritys voi soveltaa rajoituksia seuraavissa olosuhteissa: a) suhteessa komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten kanssa vaihdettaviin henkilötietoihin: i) kun kyseessä oleva komission yksikkö, unionin toimielin, elin tai laitos on oikeutettu rajoittamaan lueteltujen oikeuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten, ja laitosten perustamissäädösten mukaisesti ii) jos kyseisen komission yksikön, toisen unionin toimielimen, elimen tai laitoksen toteuttaman rajoituksen tarkoitus vaarantuisi, jos SESAR 3 -yhteisyritys ei soveltaisi vastaavaa rajoitusta samoihin henkilötietoihin b) suhteessa jäsenvaltioiden toimivaltaisten viranomaisten kanssa vaihdettaviin henkilötietoihin: i) kun kyseessä olevat jäsenvaltioiden toimivaltaiset viranomaiset ovat oikeutettuja rajoittamaan lueteltujen oikeuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (5) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (6) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla ii) jos kyseisen toimivaltaisen viranomaisen toteuttaman rajoituksen tarkoitus vaarantuisi, jos SESAR 3 -yhteisyritys ei soveltaisi vastaavaa rajoitusta samoihin henkilötietoihin c) suhteessa kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin, kun on selvää näyttöä siitä, että kyseisten oikeuksien ja velvollisuuksien käyttö todennäköisesti vaarantaisi SESAR 3 -yhteisyrityksen yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien hoitamisessa. Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa SESAR 3 -yhteisyrityksen on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, paitsi jos SESAR 3 -yhteisyritykselle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.

5 artikla Rajoitukset ja rekisteröityjen oikeudet 1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä määrätyin edellytyksin rekisterinpitäjä voi rajoittaa seuraavia oikeuksia 1 artiklan 2 kohdassa ja jäljempänä 2 kohdassa lueteltujen käsittelytoimien yhteydessä, jos se on tarpeellista ja oikeasuhteista: a) tiedonsaantioikeus b) oikeus saada pääsy tietoihin c) oikeus tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen d) oikeus saada ilmoitus rekisteröidyn henkilön henkilötietojen tietoturvaloukkauksesta e) oikeus sähköisen viestinnän luottamuksellisuuteen. 2. Asianmukaisesti perustelluissa tapauksissa ja 4 artiklan 1 kohdassa mainittujen tarkoitusten turvaamiseksi rekisterinpitäjä voi soveltaa rajoituksia seuraavien 1 artiklan 2 kohdassa tarkoitettujen käsittelytoimien yhteydessä: a) hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen b) alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin c) väärinkäytösten paljastamista koskevat menettelyt d) viralliset ja epäviralliset häirintätapauksia koskevat menettelyt e) sisäisten ja ulkoisten valitusten käsittely f) sisäiset tarkastukset g) tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset h) sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät tietoturvatutkimukset i) käsittely, joka tapahtuu osana avustusten hallinnointia tai hankintamenettelyä sen jälkeen, kun määräaika ehdotuksille tai tarjouksille on umpeutunut. 3. Häirintätapauksia koskevien menettelyjen yhteydessä 1 kohdassa tarkoitettuja oikeuksia voidaan rajoittaa samoin edellytyksin lukuun ottamatta 1 kohdan d luetelmakohdassa tarkoitettua oikeutta saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta. 4. Avustusten hallinnoinnin tai hankintamenettelyjen yhteydessä 1 kohdassa tarkoitettuja oikeuksia voidaan rajoittaa samoin edellytyksin lukuun ottamatta 1 kohdan c luetelmakohdassa tarkoitettua oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen. 5. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen 3 ja 4 kohdassa säädetyin poikkeuksin. 6. Jos SESAR 3 -yhteisyritys rajoittaa, kokonaan tai osittain, 1, 3, 4 ja 5 kohdassa tarkoitettujen oikeuksien soveltamista, sen on toteutettava tämän päätöksen 6 ja 7 artiklassa tarkoitetut toimenpiteet. 7. Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, SESAR 3 -yhteisyritys rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.

6 artikla Rajoitusten tarpeellisuus ja oikeasuhteisuus 1. Kaikkien 4 artiklan nojalla asetettavien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa. 2. Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Testi on tehtävä myös määräaikaistarkistuksen yhteydessä, kun on arvioitu, ovatko rajoituksen oikeuttavat seikat ja oikeudelliset syyt vielä voimassa. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten. 3. Rajoitusten on oltava väliaikaisia. Niitä sovelletaan niin kauan kuin niiden perusteet ovat voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi asetetun rajoituksen vaikutusta tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin. SESAR 3 -yhteisyrityksen on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkinnan tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa. 4. Jos SESAR 3 -yhteisyritys soveltaa, kokonaan tai osittain, tämän päätöksen 4 artiklan nojalla asetettavia rajoituksia, sen on dokumentoitava rajoituksen syyt ja oikeusperusta edellä olevan 1 kohdan mukaisesti sekä arviointi rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta. Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

7 artikla Ilmoittamisvelvollisuus 1. SESAR 3 -yhteisyrityksen on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin selosteisiin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, mistä syystä ja miten pitkäksi aikaa. Sanotun rajoittamatta 6 artiklan 4 kohdan säännöksiä ja kun se on oikeasuhteista, SESAR 3 -yhteisyrityksen on myös ilmoitettava ilman aiheetonta viivytystä ja kirjallisesti yksittäin kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia. 2. Kun SESAR 3 -yhteisyritys kokonaan tai osittain rajoittaa edellä 5 artiklassa tarkoitettuja oikeuksia, sen on ilmoitettava kyseiselle rekisteröidylle sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai viedä asia Euroopan unionin tuomioistuimeen. Edellä 2 kohdassa tarkoitettua tietojen ilmoittamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä, jos ilmoittaminen poistaisi rajoituksen vaikutuksen asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.

8 artikla Tietosuojavastaavan toteuttama uudelleentarkastelu 1. SESAR 3 -yhteisyrityksen on ilmoitettava SESAR 3 -yhteisyrityksen tietosuojavastaavalle viipymättä aina, kun rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia tai jatkaa rajoituksen voimassaoloa tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista. 2. Tietosuojavastaava voi kirjallisesti pyytää rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista. 3. Tietosuojavastaavan on oltava osallisena koko menettelyn ajan. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

9 artikla Voimaantulo Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 14 päivänä joulukuuta 2021. SESAR 3 -yhteisyrityksen hallintoneuvoston puolesta Puheenjohtaja Henrik HOLOLEI

(1) EUVL L 295, 21.11.2018, s. 39.

(2) EUVL L 427, 30.11.2021, s. 17.

(3) Yhteisrekisterinpidossa tietoja on käsiteltävä niiden keinojen ja tarkoitusten mukaisesti, jotka on vahvistettu asetuksen (EU) 2018/1725 28 artiklassa tarkoitettujen yhteisrekisterinpitäjien välisessä ja asiaa koskevassa sopimuksessa.

(4) SESAR 3 -yhteisyrityksen säilytyskäytäntö perustuu komissiossa tapahtuvaan asiakirjojen säilytykseen, jota säännellään yhteisellä säilytysluettelolla. Kyseessä on säilytysaikataulun muotoinen sääntelyasiakirja (viimeisin versio on SEC(2019)900), jossa on määritelty komission eri asiakirjatyyppien säilytysajat.

(5) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1)

(6) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta(EUVL L 119, 4.5.2016, s. 89).