Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä (uudelleenlaadittu)

(2022/C 288/05)

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivustolla https://edps.europa.eu)

Euroopan komissio antoi 16. toukokuuta 2022 ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä ja varainhoitoasetuksen muuttamisesta. Tietosuojavaltuutettu panee merkille, että ehdotuksen tavoitteena on parantaa niiden tietojen laatua ja yhteentoimivuutta, jotka koskevat unionin rahoituksen saajia sekä suoraan tai välillisesti unionin rahoituksesta hyötyviä henkilöitä, petosten ehkäisemiseksi, havaitsemiseksi, tutkimiseksi ja korjaamiseksi sekä sääntöjenvastaisuuksien korjaamiseksi.

Tietosuojavaltuutettu antaa täyden tukensa ehdotuksen tavoitteille, kuten digitalisoinnin käytön lisäämiselle EU:n taloudellisten etujen suojan parantamiseksi sekä petosten ja muiden sääntöjenvastaisuuksien torjumiseksi. Vaikka henkilötietojen käsittely voi olla tarpeen tämän tavoitteen saavuttamiseksi, EU:n lainsäätäjän tehtävänä on varmistaa, että puuttuminen tietosuojaoikeuteen rajoittuu siihen, mikä on ehdottoman välttämätöntä ja oikeassa suhteessa tavoitteisiin nähden.

Tietosuojavaltuutettu on tyytyväinen siihen, että ehdotuksen tarkoituksena on määrittää ne tietoluokat, joita käsitellään ehdotuksen tavoitteiden saavuttamiseksi. Tietosuojavaltuutettu ymmärtää kuitenkin, että tietojen louhinta- ja riskipisteytysprosessi ei rajoitu ehdotuksessa nimenomaisesti yksilöityihin tietoihin ja että näitä tietoja verrattaisiin muista lähteistä saatuihin tietoihin. Euroopan tietosuojavaltuutettu katsoo, että on tarpeen yksilöidä nimenomaisesti kaikki käsiteltävät henkilötietoryhmät sekä näiden tietojen lähteet. Olisi myös otettava käyttöön asianmukaiset suojatoimet, joilla varmistetaan kyseisten tietojen laatu ja oikeellisuus erityisesti tilanteissa, joissa kyseiset muut tiedot kerätään kolmansilta osapuolilta.

Tietosuojavaltuutettu toteaa, että ehdotuksessa ei anneta lisätietoja itse tietojärjestelmästä. Siksi tietosuojavaltuutettu suosittelee, että selvennetään käytettävän tietojärjestelmän tyyppiä ja erityisesti sitä, aikooko komissio perustaa järjestelmän jo olemassa olevan Arachne-tietojärjestelmän osaksi vai luoda täysin uuden tietojärjestelmän. Nykyisten rakenteiden käytöstä riippumatta tietosuojavaltuutettu haluaa muistuttaa, että tietojärjestelmän arkkitehtuuriin on sisällytettävä asianmukaiset suojatoimet, jotka on otettava käyttöön henkilötietojen käsittelyyn sovellettavien yleisten tietosuojasääntöjen mukaisesti. Tämä olisi otettava kattavasti huomioon tietojärjestelmän suunnittelu- ja kehitysvaiheessa sisäänrakennettua tietosuojaa koskevan vaatimuksen mukaisesti.

Euroopan tietosuojavaltuutettu suosittelee myös painokkaasti, että lainsäätäjä määrittelee selkeästi enimmäiskeston, jonka verran edellä tarkoitettuja henkilötietoja voidaan säilyttää ja asettaa saataville tiedonlouhintaa ja riskien pisteytystä varten komission käyttämässä yhdennetyssä tietojärjestelmässä.

Kaikkia EU:n talousarviosta rahoitettujen varojen saajia koskevien asiaankuuluvien tietojen julkaisemisen osalta tietosuojavaltuutettu panee tyytyväisenä merkille toimet, joilla pyritään asettamaan tasapainoon avoimuusperiaatteen toteutuminen sekä puuttuminen asianomaisten tuensaajien oikeuteen nauttia yleisesti yksityiselämän kunnioitusta samoin kuin puuttuminen henkilötietojen suojaan vapauttamalla vastaanottajat henkilötietojensa julkaisemisesta, jos tietyt edellytykset täyttyvät (kynnysmäärä saadun tuen määrän, toimenpiteen luonteen, oikeuksiin ja vapauksiin kohdistuvien riskien jne. osalta).

1. JOHDANTO

1. Euroopan komissio antoi 16. toukokuuta 2022 ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä ja varainhoitoasetuksen ( 1 ) muuttamisesta (uudelleenlaadittu), jäljempänä ”ehdotus”.

2. Ehdotuksen tavoitteena on yhtenäistää varainhoitoasetus vuosien 2021–2027 monivuotista rahoituskehystä (MRK) koskevan paketin mukaiseksi ja varmistaa unionin menoja koskevan yhteisen sääntökirjan säilyminen siten, että kaikki yleiset varainhoitosäännöt sisältyvät varainhoitoasetukseen. Lisäksi ehdotukseen sisältyy kohdennettuja parannuksia ja yksinkertaistuksia, joita on yksilöity vuoden 2018 varainhoitoasetuksen voimaantulon jälkeen. Ehdotuksella pyritään myös lisäämään digitalisaation käyttöä, jotta voidaan suojata paremmin EU:n taloudellisia etuja, edistää paremmin EU:n toimintapoliittisten tavoitteiden saavuttamista ja yksinkertaistaa entisestään unionin varojen saajia koskevia toimia ( 2 )

3. Euroopan tietosuojavaltuutettu on antanut tämän lausunnon vastaukseksi Euroopan komission 16. toukokuuta 2022 käynnistämään EU:n tietosuoja-asetuksen 42 artiklan 1 kohdan mukaiseen kuulemiseen ( 3 ) . Euroopan tietosuojavaltuutettu pitää myönteisenä sitä, että ehdotuksen johdanto-osan 257 kappaleessa viitataan kyseiseen kuulemiseen. Tältä osin tietosuojavaltuutettu panee myös tyytyväisenä merkille, että häntä oli kuultu epävirallisesti EU:n tietosuoja-asetuksen johdanto-osan 60 kappaleen mukaisesti.

5. PÄÄTELMÄT

26. Edellä esitetyn perusteella Euroopan tietosuojavaltuutettu antaa seuraavat suositukset: (1) selvennetään kaikkien sellaisten tahojen roolia, jotka käyttäisivät yhdennetyn tietojärjestelmän tiedonlouhintaa ja riskien pisteytystä varten sisältämiä henkilötietoja ja joilla olisi pääsy niihin (2) selvennetään käytettävän tietojärjestelmän tyyppi ja erityisesti se, aikooko komissio perustaa järjestelmän jo olemassa olevan Arachne-tietojärjestelmän osaksi vai luoda täysin uuden tietojärjestelmän (3) yksilöidään selkeästi kaikki asiaankuuluvat tietoluokat eli se, mitä tietoja käsitellään tai yhdistetään ehdotuksen 36 artiklan 6 kohdassa mainittuihin tunnistetietoihin, sekä näiden tietojen lähteet (4) otetaan käyttöön asianmukaiset suojatoimet, joilla varmistetaan tietojen laatu ja oikeellisuus erityisesti silloin, kun muut tiedot kerätään kolmansilta osapuolilta (5) riippumatta siitä, aikooko komissio hyödyntää olemassa olevia rakenteita, sisällytetään itse ehdotukseen korkean tason kuvaus suunnitellusta tietoteknisestä välineestä sekä tietosuojaroolit ja -vastuut sekä asiaankuuluvat sovellettavat suojatoimet (6) sovelletaan lisätakeita ei-julkistettaviin tietotyyppeihin; esimerkiksi tietojen pseudonymisointia olisi harkittava (7) selvennetään, tehtäisiinkö tietojen sähköinen kirjaaminen ja tallentaminen tiedonlouhinta- ja riskipisteytysjärjestelmässä vai olisiko tietojärjestelmällä ainoastaan pääsy muualle tallennettuihin tietoihin (8) määritetään selkeästi enimmäiskesto, jonka ajan ehdotuksen 36 artiklassa tarkoitettuja tietoja voidaan säilyttää ja asettaa saataville komission yhdennetyssä tietojenlouhinta- ja riskipisteytysjärjestelmässä.

Bryssel, 7. heinäkuuta 2022. Wojciech Rafał WIEWIÓROWSKI

(1) Euroopan parlamentin ja neuvoston asetus (EU, Euratom) 2018/1046, annettu 18 päivänä heinäkuuta 2018, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä, asetusten (EU) N:o 1296/2013, (EU) N:o 1301/2013, (EU) N:o 1303/2013, (EU) N:o 1304/2013, (EU) N:o 1309/2013, (EU) N:o 1316/2013, (EU) N:o 223/2014, (EU) N:o 283/2014 ja päätöksen N:o 541/2014/EU muuttamisesta sekä asetuksen (EU, Euratom) N:o 966/2012 kumoamisesta (EUVL L 193, 30.7.2018, s. 1).

(2) Ks. COM(2022) 223 final, s. 1.

(3) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).