Tämän sopimuksen tavoitteena on mahdollistaa henkilötietojen siirto Euroopan unionin lainvalvontayhteistyöviraston (Europol) ja Uuden-Seelannin toimivaltaisten viranomaisten välillä, jotta voidaan tukea ja vahvistaa Euroopan unionin jäsenvaltioiden ja Uuden-Seelannin viranomaisten toimia sekä niiden keskinäistä yhteistyötä rikosten, myös vakavan rikollisuuden ja terrorismin, ehkäisemiseksi ja torjumiseksi ja samalla varmistaa asianmukaiset suojatoimet, jotka koskevat yksilöiden ihmisoikeuksien ja perusvapauksien kunnioittamista, mukaan lukien yksityisyyden suoja ja tietosuoja.

(4)Sopimuksessa todetaan, että osapuolet soveltavat vertailukelpoisia suhteellisuus- ja kohtuullisuusperiaatteita. Näiden periaatteiden yhteisenä keskeisenä tavoitteena on varmistaa oikeudenmukainen tasapaino kaikkien kyseessä olevien julkisten tai yksityisten etujen välillä ottaen huomioon kaikki käsiteltävänä olevan asian olosuhteet. Tällaiseen tasapainottamiseen kuuluvat yhtäältä yksilöiden yksityisyyden suojaa koskevat oikeudet yhdessä muiden ihmisoikeuksien ja etujen kanssa ja toisaalta vastapainona oikeutetut tavoitteet, kuten tässä sopimuksessa esitetyt henkilötietojen käsittelyn tarkoitukset,

(3)Tämä sopimus ei velvoita toimivaltaisia viranomaisia siirtämään henkilötietoja. Tämän sopimuksen nojalla pyydettyjen henkilötietojen jakaminen on edelleen vapaaehtoista.

b)tiedot ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on välttämätöntä suhteessa niihin tarkoituksiin, joita varten niitä käsitellään;

a)tietoja käsitellään asianmukaisesti, lainmukaisesti ja ainoastaan sitä tarkoitusta varten, jota varten ne on siirretty 3 artiklan mukaisesti;

2.Toimivaltaisten viranomaisten on ilmoitettava selvästi viimeistään henkilötietoja siirtäessään yksi tai useampi erityinen tarkoitus, jota varten tiedot siirretään. Kun tietoja siirretään Europolille, tällaisen siirron tarkoitus tai tarkoitukset on määritettävä Europolin toimivaltuuksiin kuuluviksi määrättyjen erityisten käsittelyn tarkoitusten mukaisesti.

m)’kansainvälisellä järjestöllä’ järjestöä ja sen alaisia elimiä, joihin sovelletaan kansainvälistä julkisoikeutta, tai muuta elintä, joka on perustettu kahden tai useamman maan välisellä sopimuksella tai tällaisen sopimuksen perusteella;

l)’valvontaviranomaisella’ yhtä tai useampaa kansallista riippumatonta viranomaista, joka on yksin tai kumulatiivisesti vastuussa tämän sopimuksen 16 artiklassa tarkoitetusta tietosuojasta ja jota on ilmoitettu kyseisen artiklan mukaisesti; tähän voi kuulua viranomaisia, jotka vastaavat myös muista ihmisoikeuksista.

k)’henkilötietojen tietoturvaloukkauksella’ tietoturvaloukkausta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen tuhoaminen, häviäminen, muuttaminen tai luvaton luovuttaminen taikka pääsy näihin tietoihin;

h)’geneettisillä tiedoilla’ kaikenlaisia henkilötietoja, jotka koskevat yksilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen henkilön biologisesta näytteestä analysoimalla;

e)’rikoksilla’ liitteessä I lueteltuja rikostyyppejä ja niihin liittyviä rikoksia. Rikosten katsotaan liittyvän liitteessä I lueteltuihin rikostyyppeihin, jos ne on tehty tällaisten rikosten suorittamiseen tarvittavien välineiden hankkimiseksi, tällaisten rikosten helpottamiseksi tai suorittamiseksi tai sen varmistamiseksi, että tällaisiin rikoksiin syyllistyneet eivät saa rangaistusta;

d)’unionin elimillä’ liitteessä III lueteltuja toimielimiä, elimiä, edustustoja, toimistoja ja virastoja, jotka on perustettu Euroopan unionista tehdyllä sopimuksella ja Euroopan unionin toiminnasta tehdyllä sopimuksella tai niiden nojalla;

2.Ennakkolupaa ei vaadita, jos vastaanottava viranomainen on itse Uuden-Seelannin toimivaltainen viranomainen, sanotun kuitenkaan rajoittamatta 4 artiklan 2 kohdan soveltamista. Sama koskee Europolin mahdollisuutta jakaa henkilötietoja rikosten ehkäisemisestä ja torjumisesta vastaavien Euroopan unionin jäsenvaltioiden viranomaisten ja liitteessä III lueteltujen unionin elinten kanssa.

b)edelleen siirtämisen tarkoitus on sama kuin Europolin suorittaman siirron alkuperäinen tarkoitus tai se liittyy suoraan tähän alkuperäiseen tarkoitukseen 3 artiklan 1 kohdan rajoissa; ja

a)Europol on antanut nimenomaisen ennakkoluvan;

2.Rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai muuta vakaumusta taikka ammattiliittoon kuulumista ilmentävien henkilötietojen sekä geneettisten tietojen, vain luonnollisen henkilön tunnistamiseen tarkoitettujen biometristen tietojen tai henkilön terveyteen tai seksuaaliseen käyttäytymiseen tai suuntautumiseen liittyvien tietojen siirtäminen on sallittua vain, jos se on ehdottoman tarpeellista sekä kohtuullista ja oikeasuhteista yksittäistapauksissa rikosten ehkäisyä tai torjuntaa varten ja jos kyseiset tiedot, biometrisiä tietoja lukuun ottamatta, täydentävät muita henkilötietoja.

1.Rikoksen uhrien, todistajien tai muiden henkilöiden, jotka voivat antaa tietoja rikoksista, sekä alle 18-vuotiaiden henkilöiden henkilötietojen siirtäminen on kielletty, jollei tällainen siirtäminen ole yksittäistapauksissa ehdottoman tarpeellista, perusteltua ja oikeasuhteista rikoksen ennalta estämiseksi tai torjumiseksi.

5.Kumpikin sopimuspuoli varmistaa, että sen toimivaltaiset viranomaiset eivät siirrä henkilötietoja, jotka on saatu loukkaamalla selvästi sopimuspuolia sitovassa kansainvälisessä lainsäädännössä tunnustettuja ihmisoikeuksia. Kumpikin sopimuspuoli varmistaa, että saatuja henkilötietoja ei käytetä kuolemanrangaistuksen tai minkäänlaisen julman tai epäinhimillisen kohtelun pyytämiseen, määräämiseen tai täytäntöönpanoon.

4.Kumpikin sopimuspuoli määrää, että sen toimivaltaisten viranomaisten on toteutettava asianmukaisia teknisiä ja organisatorisia toimenpiteitä voidakseen osoittaa, että tietojenkäsittely on tämän sopimuksen mukaista ja että asianomaisten rekisteröityjen oikeuksia suojellaan.

2.Henkilötietoja siirtävä toimivaltainen viranomainen voi tietojen siirron yhteydessä ilmoittaa niihin pääsyä tai niiden käyttöä koskevista mahdollisista yleisistä tai nimenomaisista rajoituksista, mukaan lukien tietojen edelleen siirtäminen, poistaminen tai tuhoaminen tietyn ajan kuluttua tai niiden edelleenkäsittely. Jos tällaisten rajoitusten tarve tulee ilmi vasta tietojen siirron jälkeen, tiedot luovuttaneen toimivaltaisen viranomaisen on ilmoitettava asiasta tiedot vastaanottaneelle viranomaiselle.

d)tiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa, ainoastaan sen ajan kuin on tarpeen niiden tarkoitusten toteuttamiseksi, joita varten tietoja käsitellään; ja

1)tiedot, joiden oikeellisuudesta on varmuus siirtohetkellä;

2.Toimivaltaisten viranomaisten on ilmoitettava mahdollisuuksien mukaan viimeistään tietojen siirron yhteydessä tietojen oikeellisuus arvioituna vähintään yhdellä seuraavista perusteista:

3)lähde, josta tiedot on saatu, on useimmissa tapauksissa osoittautunut epäluotettavaksi;

2)lähde, josta tiedot on saatu, on useimmissa tapauksissa osoittautunut luotettavaksi;

1)tiedot ovat peräisin varmasti luotettavasta ja pätevästä lähteestä tai tiedot on toimittanut aiemmin kaikissa tapauksissa luotettavaksi osoittautunut lähde;

1.Toimivaltaisten viranomaisten on ilmoitettava mahdollisuuksien mukaan viimeistään tietojen siirron yhteydessä tietojen lähteen luotettavuus arvioituna vähintään yhdellä seuraavista perusteista:

d)kyseisen kolmannen maan tai kansainvälisen järjestön kanssa on tehty tietosuojan riittävyyttä koskeva päätös, kansainvälinen sopimus, jossa määrätään asianmukaisista takeista yksilön yksityisyyden, perusoikeuksien ja vapauksien suojaamiseksi, tai Europol-asetuksessa tarkoitettu yhteistyösopimus.

c)edelleen siirtämisen tarkoitus on sama kuin Uuden-Seelannin suorittaman siirron alkuperäinen tarkoitus; ja

b)Uusi-Seelanti on antanut nimenomaisen ennakkoluvan;

4.Europol voi myöntää 3 kohdan b alakohdan nojalla luvan tietojen siirtämiseen edelleen kolmannen maan viranomaiselle tai kansainväliselle järjestölle vain, jos ja siltä osin kuin voimassa on tietosuojan riittävyyttä koskeva päätös, kansainvälinen sopimus, jossa määrätään asianmukaisista takeista yksilön yksityisyyden, perusoikeuksien ja vapauksien suojaamiseksi, yhteistyösopimus tai muu Europol-asetuksessa tarkoitettu henkilötietojen siirtoa koskeva tuleva oikeudellinen peruste, joka kattaa tietojen edelleen siirtämisen.

c)edelleen siirtämisen tarkoitus on sama kuin Europolin suorittaman siirron alkuperäinen tarkoitus; ja

b)Europol on antanut nimenomaisen ennakkoluvan;

4.Sopimuspuolet varmistavat, että toimivaltainen viranomainen ilmoittaa rekisteröidylle kirjallisesti tiedonsaantia koskevasta lykkäyksestä, epäämisestä tai rajoittamisesta sekä sen perusteluista. Tällaiset perustelut voidaan jättää pois, jos ja niin kauan kuin niiden ilmoittaminen vaarantaisi 3 kohdan mukaisen lykkäyksen, epäämisen tai rajoittamisen tarkoituksen. Toimivaltaisen viranomaisen on ilmoitettava rekisteröidylle mahdollisuudesta tehdä kantelu asianomaisille valvontaviranomaisille ja asianomaisiin oikeudellisiin kehyksiin kuuluvista muista käytettävissä olevista muutoksenhakukeinoista.

3.Sopimuspuolet voivat määrätä, että tietojen toimittamista 1 kohdan mukaisesti tehdyn pyynnön johdosta lykätään tai rajoitetaan tai se evätään, jos ja niin kauan kuin tällainen lykkääminen, rajoittaminen tai epääminen on rekisteröidyn perusoikeudet ja edut huomioon otetaan tarpeellinen, kohtuullinen ja oikeasuhteinen toimenpide, jotta voidaan

c)tieto siitä, että rekisteröidyllä on oikeus pyytää toimivaltaiselta viranomaiselta häntä itseään koskevien henkilötietojen oikaisemista tai poistamista tai niiden käsittelyn rajoittamista;

1.Sopimuspuolet varmistavat, että rekisteröidyllä on oikeus saada kohtuullisin väliajoin tietoja siitä, käsitelläänkö häntä koskevia henkilötietoja tämän sopimuksen nojalla, ja jos käsitellään, oikeus saada ainakin seuraavat tiedot:

5.Jos luotettavaa arviointia ei voida tehdä, tiedot on arvioitava edellä olevan 1 kohdan 4 alakohdan ja 2 kohdan 4 alakohdan mukaisesti.

4.Jos toimivaltainen viranomainen vastaanottaa tietoja ilman arviointia, sen on yritettävä mahdollisuuksien mukaan ja, jos mahdollista, yhteisymmärryksessä tiedot siirtäneen toimivaltaisen viranomaisen kanssa arvioida tietojen lähteen luotettavuus tai tietojen oikeellisuus jo hallussaan olevien tietojen perusteella.

3.Jos tiedot vastaanottava toimivaltainen viranomainen tulee jo hallussaan olevien tietojen perusteella siihen johtopäätökseen, että 1 ja 2 kohdassa tarkoitettua siirtävän toimivaltaisen viranomaisen toimittamaa tietojen tai niiden lähteen arviointia on korjattava, sen on ilmoitettava asiasta kyseiselle viranomaiselle ja yritettävä sopia arviointiin tehtävästä muutoksesta. Vastaanottava toimivaltainen viranomainen ei saa muuttaa vastaanotettujen tietojen tai niiden lähteen arviointia, ellei asiasta ole tällä tavoin sovittu.

1.Sopimuspuolet varmistavat, että rekisteröidyllä on oikeus pyytää toimivaltaisia viranomaisia oikaisemaan sopimuksen nojalla siirretyt rekisteröidyn virheelliset henkilötiedot. Ottaen huomioon tarkoitukset, joihin tietoja on käsitelty, rekisteröidyllä on oikeus saada sopimuksen nojalla siirretyt puutteelliset henkilötiedot täydennettyä.

2.Oikaisuun sisältyy sellaisten henkilötietojen poistaminen, joita ei enää tarvita niihin tarkoituksiin, joita varten niitä on käsitelty.

3.Sopimuspuolet voivat määrätä, että henkilötietojen käsittelyä rajoitetaan sen sijaan että ne poistettaisiin 2 kohdan mukaisesti, jos on kohtuullinen syy olettaa, että niiden poistaminen voisi haitata rekisteröidyn oikeutettuja etuja.

4.Toimivaltaiset viranomaiset ilmoittavat toisilleen 1, 2 ja 3 kohdan nojalla toteutetuista toimenpiteistä. Vastaanottava toimivaltainen viranomainen oikaisee tai poistaa tällaiset tiedot tai rajoittaa niiden käsittelyä siirtävän toimivaltaisen viranomaisen toteuttamien toimien mukaisesti.

5.Sopimuspuolet määräävät, että pyynnön vastaanottaneen toimivaltaisen viranomaisen on ilmoitettava rekisteröidylle kirjallisesti ilman aiheetonta viivytystä ja joka tapauksessa kolmen kuukauden kuluessa 1 tai 2 kohdan mukaisen pyynnön vastaanottamisesta, että rekisteröityä koskevat tiedot on oikaistu tai poistettu tai niiden käsittelyä on rajoitettu.

6.Sopimuspuolet varmistavat, että pyynnön vastaanottanut toimivaltainen viranomainen ilmoittaa rekisteröidylle kirjallisesti ilman aiheetonta viivytystä ja joka tapauksessa kolmen kuukauden kuluessa pyynnön vastaanottamisesta siitä, että tietojen oikaiseminen tai poistaminen taikka niiden käsittelyn rajoittaminen on evätty, tällaisen epäämisen perusteluista sekä mahdollisuudesta tehdä kantelu asianomaisille valvontaviranomaisille sekä asianomaisiin oikeudellisiin kehyksiin kuuluvista muista käytettävissä olevista muutoksenhakukeinoista.

11 artikla

Henkilötietojen tietoturvaloukkauksesta ilmoittaminen asiaankuuluville viranomaisille

1.Sopimuspuolet varmistavat, että jos sopimuksen nojalla siirrettyihin henkilötietoihin kohdistuu tietoturvaloukkaus, sopimuspuolten toimivaltaiset viranomaiset ilmoittavat tietoturvaloukkauksesta viipymättä toisilleen ja valvontaviranomaisilleen ja ryhtyvät toimenpiteisiin sen mahdollisten haittavaikutusten lieventämiseksi.

2.Ilmoituksessa on vähintään

a)kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja lukumäärät sekä henkilötietoja sisältävien tietueiden ryhmät ja lukumäärät;

b)kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset;

c)kuvattava toimenpiteet, joita toimivaltainen viranomainen on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

3.Jos kaikkia vaadittuja tietoja ei ole mahdollista toimittaa samanaikaisesti, ne voidaan toimittaa vaiheittain. Puuttuvat tiedot on toimitettava ilman aiheetonta viivytystä.

4.Sopimuspuolet varmistavat, että niiden toimivaltaiset viranomaiset dokumentoivat kaikki henkilötietojen tietoturvaloukkaukset, jotka vaikuttavat tämän sopimuksen nojalla siirrettyihin henkilötietoihin, mukaan lukien tietoturvaloukkaukseen liittyvät tosiseikat, sen vaikutukset ja toteutetut korjaavat toimet, jotta niiden valvontaviranomaiset voivat tarkistaa sovellettavien lakisääteisten vaatimusten noudattamisen.

12 artikla

Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle

1.Jos 11 artiklassa tarkoitetun kaltainen henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa merkittäviä vaikutuksia rekisteröidyn oikeuksille ja vapauksille, sopimuspuolet varmistavat, että niiden toimivaltaiset viranomaiset ilmoittavat henkilötietojen tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä.

2.Edellä 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on mahdollisuuksien mukaan kuvattava henkilötietojen tietoturvaloukkauksen luonne ja suositeltava toimenpiteitä, joilla lievennetään henkilötietojen tietoturvaloukkauksen mahdollisia haittavaikutuksia, ja annettava sen yhteyspisteen nimi ja yhteystiedot, jolta voi pyytää lisätietoja.

3.Edellä 1 kohdassa tarkoitettua ilmoitusta rekisteröidylle ei edellytetä, jos

a)loukkauksen kohteena oleviin henkilötietoihin on sovellettu asianmukaisia teknisiä suojatoimenpiteitä, joiden avulla tiedot muutetaan sellaiseen muotoon, että ne eivät ole niiden henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin;

b)on toteutettu jatkotoimenpiteitä, joilla varmistetaan, että rekisteröidyn oikeuksille ja vapauksille ei todennäköisesti enää aiheudu merkittäviä vaikutuksia; tai