FI Euroopan unionin virallinen lehti C 164/2

Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta ehdotuksesta asetukseksi yksilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivuilla www.edps.europa.eu)

(2017/C 164/02)

Euroopan unioni julkistaa tietosuojanormien uuden sukupolven. Vajaa vuosi sitten annetut yleinen tietosuoja-asetus ja poliisia ja oikeusalaa varten tarkoitettu direktiivi ovat olleet tähän mennessä EU:n lainsäätäjän laajin hanke yksilöiden perusoikeuksien suojelemiseksi digitaalisella aikakaudella. Nyt EU:n toimielinten on itse näytettävä esimerkkiä säännöillä, joita sovelletaan niihin itseensä rekisterinpitäjinä ja tietojenkäsittelijöinä. Puolentoista viime vuoden aikana Euroopan tietosuojavaltuutettu on omasta aloitteestaan keskustellut korkeimmalla tasolla EU:n toimielinten kanssa niiden valmistamiseksi uusiin tietosuojan noudattamisen aiheuttamiin haasteisiin, ja korostanut uutta vastuuvelvollisuusperiaatetta tietojen käsittelyssä. Tällä lausunnolla Euroopan tietosuojavaltuutettu hyödyntää 12 vuoden kokemusta riippumattomasta valvonnasta sekä toimintalinjoja koskevasta neuvonnasta ja niiden edistämisestä esittäessään parannuksia ehdotettuun asetukseen unionin toimielinten ja elinten suorittamasta henkilötietojen käsittelystä.

Asetus 45/2001 on toiminut suunnannäyttäjänä, kun siinä säädetään suoraan sovellettavista rekisterinpitäjien velvollisuuksista, rekisteröityjen oikeuksista ja selvästi riippumattomasta valvontaelimestä. EU:n on nyt varmistettava yhdenmukaisuus yleisen tietosuoja-asetuksen kanssa korostamalla pikemminkin vastuuvelvollisuutta ja yksilöiden suojaa kuin menettelyjä. Jotkut eroavaisuudet EU:n toimielimiin sovellettavissa säännöissä ovat perusteltuja, samalla tavoin kuin yleiseen tietosuoja-asetukseen on sisällytetty julkista sektoria koskevia poikkeuksia, mutta niitä on oltava mahdollisimman vähän.

Yksilön kannalta tärkeää on kuitenkin se, että koko EU:n tietosuojakehyksen yleisiä periaatteita sovelletaan johdonmukaisesti riippumatta siitä, kuka rekisterinpitäjä on. On myös tärkeää, että koko kehyksen soveltaminen aloitetaan samanaikaisesti eli toukokuussa 2018, jolloin yleistä tietosuoja-asetusta aletaan soveltaa täysimääräisesti.

Komissio kuuli Euroopan tietosuojavaltuutettua ehdotusluonnoksesta toimielinten välisen vakiintuneen käytännön mukaisesti. Euroopan tietosuojavaltuutetun mukaan komissio saavuttanut kaiken kaikkiaan hyvän tasapainon eri etunäkökohtien välillä. Tässä lausunnossa tuodaan esiin joitakin alueita, joilla ehdotusta voitaisiin parantaa edelleen. Euroopan tietosuojavaltuutettu esittää ehdotettuun asetukseen parannuksia, jotka koskevat erityisesti rekisteröidyn oikeuksien rajoituksia ja EU:n toimielinten mahdollisuutta käyttää sertifiointimekanismeja tietyissä tilanteissa. Ehdotuksessa Euroopan tietosuojavaltuutetun omat tehtävät ja toimivalta riippumattomana elimenä ovat järkevässä tasapainossa; sille annetaan riippumattoman tietosuojaviranomaisen tavanomaiset tehtävät perusoikeuskirjan ja unionin tuomioistuimen viimeaikaisen oikeuskäytännön mukaisesti valvojana, valitusten käsittelijänä ja lainsäätäjän neuvonantajana tietosuojaa ja yksityisyyttä koskevista toimintalinjoista.

Euroopan tietosuojavaltuutettu kehottaa EU:n lainsäätäjää sopimaan ehdotuksesta mahdollisimman pian, jotta EU:n toimielimet voisivat hyötyä kohtuullisesta siirtymäkaudesta ennen uuden asetuksen soveltamista.

1. JOHDANTO JA TAUSTA

1.1 Taustaa

1. Euroopan komissio hyväksyi 10. tammikuuta 2017 ehdotuksen asetukseksi yksilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (1), jäljempänä ’ehdotus’.

2. Henkilötietojen suojaa koskeva perusoikeus on kirjattu Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklaan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklaan.

3. Euroopan tietosuojavaltuutettu on riippumaton valvontaviranomainen, jonka vastuulla on varmistaa, että Euroopan unionin toimielimet, elimet ja laitokset, jäljempänä ’EU:n toimielimet’, noudattavat tietosuojalainsäädäntöä käsitellessään henkilötietoja (2). Vaatimus suorittaa riippumatonta valvontaa EU:n tietosuojajärjestelmässä on kirjattu primaarilainsäädäntöön, SEUT-sopimuksen 16 artiklan 2 kohtaan ja perusoikeuskirjan 8 artiklan 3 kohtaan. Unionin tuomioistuin on korostanut johdonmukaisesti, että riippumattoman viranomaisen suorittama valvonta on keskeinen osa oikeutta tietosuojaan, ja esittänyt tämän riippumattomuuden kriteerit (3). Valvontaviranomaisen on toimittava täysin riippumattomasti, mikä edellyttää päätöksentekovaltaa, johon ei kohdistu mitään suoria tai epäsuoria ulkoisia vaikutuksia (4), ja sitä, että puolueettomuuteen ei kohdistu epäilyksiä (5).

4. Tärkein säädös, jota sovelletaan EU:n toimielinten suorittamaan henkilötietojen käsittelyyn, on asetus (EY) N:o 45/2001 (6), jota täydentää päätös N:o 1247/2002/EY (7).

5. Kun pitkittyneet neuvottelut uudesta EU:n tietosuojakehyksestä – yleisestä tietosuoja-asetuksesta sekä poliisia ja oikeusalaa koskevasta direktiivistä – saatiin päätökseen 27. huhtikuuta 2016, tämä ehdotus (ja sen rinnalla komission ehdotus asetukseksi henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi (8))) aloittaa ratkaisevan vaiheen EU:n tietosuojakehyksen luomisen prosessissa. Tarkoituksena on yhdenmukaistaa asetuksen 45/2001 säännökset yleisessä tietosuoja-asetuksessa annettujen säännösten kanssa, jotta unionin tietosuojakehyksestä tulisi vahvempi ja johdonmukaisempi ja jotta molempia välineitä voitaisiin soveltaa yhtä aikaa (9). Ehdotus sisältää myös uudet säännöt loppukäyttäjien päätelaitteiden suojaamisesta, josta säädetään komission ehdotuksessa uudeksi sähköisen viestinnän tietosuojadirektiiviksi.

6. Euroopan tietosuojavaltuutettu sitoutuu vuosia 2015–2019 koskevassa strategiassaan työskentelemään Euroopan parlamentin, neuvoston ja komission kanssa sen varmistamiseksi, että asetuksen 45/2001 nykyiset säännöt yhdenmukaistetaan yleisen tietosuoja-asetuksen kanssa ja että tarkistettu kehys tulee voimaan viimeistään vuoden 2018 alussa. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että komissio on kuullut häntä epävirallisesti ennen ehdotuksen hyväksymistä ja että ehdotuksessa näyttää otetun huomioon monia seikkoja, jotka tietosuojavaltuutettu on ottanut esiin epävirallisesti. Euroopan tietosuojavaltuutettu pitää käsillä olevaa ehdotusta enemmän kuin tyydyttävänä ajatellen mahdollisimman suurta yhdenmukaisuutta yleisen tietosuoja-asetuksen kanssa, milloin tarkkaan määritellyt EU:n julkisen sektorin erityispiirteet eivät anna aihetta muuhun, ja on erityisen tyytyväinen komission saavuttamaan tasapainoon eri etunäkökohtien välillä.

7. Vaikka tässä lausunnossa mainitaan useita alueita, joilla ehdotusta voitaisiin parantaa edelleen, Euroopan tietosuojavaltuutettu kehottaa EU:n lainsäätäjää sopimaan ehdotuksesta mahdollisimman nopeasti, jotta EU:n toimielimet voisivat hyötyä kohtuullisesta siirtymäkaudesta ennen kuin asetusta voidaan soveltaa täysimääräisesti.

1.2 Ehdotuksen tavoitteet ja ajoitus

8. Euroopan tietosuojavaltuutettu on aiemmin suositellut, että EU:n toimielimiä koskevat aineelliset säännöt sisällytettäisiin (tuolloiseen) luonnokseen yleiseksi tietosuoja-asetukseksi (10). EU:n lainsäätäjä valitsi toisen vaihtoehdon: erillinen säädös, jota sovelletaan EU:n toimielimiin ja joka on yhdenmukainen yleisen tietosuoja-asetuksen kanssa ja jota sovelletaan samanaikaisesti sen kanssa. Euroopan tietosuojavaltuutettu kannattaa tätä lähestymistapaa: sitä ei voitaisi hyväksyä, jos Euroopan komissiota ja muita EU:n toimielimiä eivät sitoisi vastaavat säännöt kuin ne, joita pian sovelletaan jäsenvaltioiden tasolla. Lisäksi olisi epätoivottavaa, jos Euroopan tietosuojavaltuutetun olisi valvottava, noudattavatko EU:n toimielimet sellaisia aineellisia sääntöjä, jotka eivät ole yhtä tiukkoja kuin säännöt, joita hänen vastineensa valvovat kansallisella tasolla, varsinkin kun otetaan huomioon, että Euroopan tietosuojavaltuutettu on tulevan Euroopan tietosuojaneuvoston jäsen (11).

9. EU:n toimielinten suorittamaan henkilötietojen käsittelyyn tulevaisuudessa sovellettavat säännöt olisi siksi yhdenmukaistettava yleisen tietosuoja-asetuksen säännösten kanssa, elleivät tiukasti tulkitut julkisen sektorin erityispiirteet anna aihetta muuhun. Tässä suhteessa Euroopan tietosuojavaltuutettu on tyytyväinen ehdotuksen johdanto-osan 5 kappaleeseen, jossa korostetaan mahdollisimman suurta yhdenmukaisuutta ja todetaan, että ”[a]ina kun tämän asetuksen säännökset perustuvat samaan käsitteeseen kuin [yleisen tietosuoja-asetuksen] säännökset, näitä kahta säännöstöä olisi tulkittava yhteneväisesti, erityisesti siksi, että asetuksen rakenteen olisi katsottava vastaavan [yleisen tietosuoja-asetuksen] rakennetta.”.

10. Yhdenmukaisuus yleisen tietosuoja-asetuksen kanssa ei kuitenkaan voi olla täydellistä eikä automaattista. Yleinen tietosuoja-asetus sisältää useita lausekkeita, jotka antavat jäsenvaltioille mahdollisuuden säilyttää tai ottaa käyttöön erityistä lainsäädäntöä tietyillä aloilla, viranomaiset mukaan luettuina (12). Tapauksissa, joissa yleinen tietosuoja-asetus sisältää viranomaisia koskevia erityisiä säännöksiä (13) tai jättää jäsenvaltioille liikkumavaraa säännösten täytäntöönpanossa, ehdotusta voidaan verrata kansalliseen yleisen tietosuoja-asetuksen ”täytäntöönpanevaan” lainsäädäntöön, kuten ehdotuksen 9 artiklassa Henkilötietojen siirrot vastaanottajille, jotka eivät ole unionin toimielimiä ja elimiä, tai 66 artiklassa Hallinnolliset sakot (ks. jäljempänä kohta 2.8.1). On myös tärkeää varmistaa, että säilytetään se korkeatasoinen suoja, jota tällä hetkellä sovelletaan EU:n toimielimiin. Sen vuoksi on säilytettävä tietyt asetuksen 45/2001 erityispiirteet, kuten 25 artiklassa Rajoitukset (ks. jäljempänä kohta 2.31) ja 44 artiklassa Tietosuojavastaavan nimittäminen (ks. jäljempänä kohta 2.4.5.1).

11. Sen lisäksi, että toteutetaan merkittävä yhdenmukaistaminen yleisen tietosuoja-asetuksen kanssa, on olennaisen tärkeää, että tarkistettuja sääntöjä aletaan soveltaa täysimääräisesti samaan aikaan kuin yleistä tietosuoja-asetusta eli 25. toukokuuta 2018. Tietosuojavastaavien nykyinen verkosto on tehokas tiedonvälitys- ja yhteistyökanava. Näin ollen Euroopan tietosuojavaltuutettu luottaa siihen, että noudattaminen onnistuu jokseenkin lyhyen siirtymäkauden eli kolmen kuukauden jälkeen.

12. Yleisen tietosuoja-asetuksen ja tämän ehdotuksen perustana oleva vastuuvelvollisuusperiaate menee sääntöjen noudattamista pidemmälle ja merkitsee ajattelutavan muutosta. Muutoksen helpottamiseksi Euroopan tietosuojavaltuutettu on käynnistänyt ”vastuuvelvollisuushankkeen”. Euroopan tietosuojavaltuutettu on sen puitteissa ottanut vuosina 2016 ja 2017 yhteyttä seitsemään keskeiseen EU:n toimielimeen ja elimeen auttaakseen niitä hyvissä ajoin valmistautumaan yleisen tietosuoja-asetuksen soveltamiseen.

1.3 Soveltamisala ja suhde muihin säädöksiin

13. Euroopan tietosuojavaltuutettu on useaan otteeseen kehottanut komissiota ehdottamaan luotettavaa ja kattavaa järjestelmää, joka olisi laaja ja lisäisi tietosuojan tehokkuutta ja johdonmukaisuutta EU:ssa niin, että varmistetaan vakaa ympäristö tulevien vuosien kehitystä varten (14). Komissio valitsi toisenlaisen lähestymistavan ja ehdotti erillistä tietosuojasäädöstä lainvalvonnan alalle (15). Tämän jälkeen se antoi joitakin säädösehdotuksia, joilla otetaan käyttöön erillisiä ”itsenäisiä” tietosuojajärjestelmiä (16).

14. Euroopan tietosuojavaltuutettu toteaa, että nykyinen, vaikkakin hajanainen, henkilötietojen suojan säädöskehys on paras nyt saavutettavissa oleva tulos (17). Euroopan tietosuojavaltuutettu on ymmärtänyt, että tätä ehdotusta sovellettaisiin edelleen niihin EU:n toimielimiin, jotka kuuluvat tällä hetkellä asetuksen 45/2001 (18) soveltamisalaan (periaatteessa kaikki entisen 1. ja 2. pilarin (19) toimielimet, elimet ja laitokset), mutta se ei sellaisenaan vaikuttaisi nykyisiin tai vireillä oleviin ”itsenäisiin” järjestelmiin (20). Tämä ehdotus vaikuttaa kyseisiin järjestelmiin vain, jos ja siinä laajuudessa kuin asianomaisessa säädöksessä selvästi säädetään niin. Euroopan tietosuojavaltuutettu panee kyseisen lähestymistavan merkille mutta ehdottaa, että se ilmaistaisiin selvemmin ehdotuksen johdanto-osassa ja mahdollisesti myös 2 artiklassa Soveltamisala. Samalla Euroopan tietosuojavaltuutettu korostaa, että entisiin ensimmäiseen ja kolmanteen pilariin kuuluvien EU:n toimielinten suorittamaa tietojenkäsittelyä koskevan säädöskehyksen hajanaisuus ja lisääntyvä monimutkaisuus ei ole täysin tyydyttävä tulos, ja EU:n lainsäätäjän on mahdollisesti vielä käsiteltävä sitä keskipitkällä aikavälillä.

15. Asetuksessa 45/2001 säädetään toimenpiteistä, joilla pyritään suojelemaan viestinnän yksityisyyttä ja luottamuksellisuutta tapauksissa, joissa EU:n toimielimet hallitsevat viestinnässä käytettyä infrastruktuuria. Tätä tarkoitusta varten se sisältää joitakin säännöksiä, jotka kattavat osia direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (21) soveltamisalasta, ja siinä vahvistetaan periaate, että perusoikeuksien suojelua koskevia sääntöjä olisi sovellettava johdonmukaisesti ja yhtenäisesti koko unionissa, ja viitataan asiaankuuluviin säädöksiin, kuten sähköisen viestinnän tietosuojadirektiiviin (22). Tarve varmistaa samantasoinen yksityisyys ja luottamuksellisuus EU:n toimielinten viestinnässä ei muutu, ja siksi johdonmukaisen ja yhtenäisen soveltamisen periaate on säilytettävä. Euroopan tietosuojavaltuutettu katsoo siksi, että ehdotuksessa olisi varmistettava, että yleisen tietosuoja-asetuksen ja tulevan sähköisen viestinnän tietosuojadirektiivin asiaankuuluvia säännöksiä sovelletaan EU:n toimielimiin soveltuvin osin. Tähän pitäisi sisältyä luottamuksellisuuden ja yksityisyyden säilyttäminen EU:n toimielinten hallitsemien yksikköjen viestinnässä sekä tulevan sähköisen viestinnän tietosuojadirektiivin muut periaatteet, kuten päätelaitteiden suojelu ja muut säännöt, jotka koskevat esimerkiksi seurantaa ja roskapostia.

16. Vaikka EU:n tietosuojalainsäädäntöä sovelletaan myös Euroopan talousalueella, ja osallistuvien EFTA-maiden on perustettava riippumaton valvontaviranomainen yleisen tietosuoja-asetuksen mukaisesti, EFTAn toimielimiin ei sovelleta erityisiä tietosuojasääntöjä ja valvontaa huolimatta siitä, että ne vaihtavat henkilötietoja EU:n toimielinten kanssa. Euroopan tietosuojavaltuutettu katsoo, että tämä ehdotus voisi olla mahdollisuus käsitellä asiaa.

3. PÄÄTELMÄT

90. Kaiken kaikkiaan Euroopan tietosuojavaltuutettu katsoo, että ehdotuksella yhdenmukaistetaan onnistuneesti EU:n toimielimiä koskevat säännöt yleisen tietosuoja-asetuksen kanssa, samalla kun siinä otetaan huomioon EU:n julkisen sektorin erityispiirteet. EU:n toimielinten suorittamassa tietojen käsittelyssä sovellettava suojan korkea taso säilyy ehdotuksessa yleensä ottaen. Euroopan tietosuojavaltuutettu arvostaa erityisesti tasapainoa, jonka komissio on saavuttanut eri etunäkökohtien välillä.

91. Euroopan tietosuojavaltuutettu katsoo, että ehdotusta olisi parannettava edelleen, erityisesti 25 artiklassa tarkoitettujen rajoitusten yksityiskohtaisia sääntöjä. Jotta voitaisiin varmistaa edellä mainittujen lainsäädännön laatua koskevien vaatimusten noudattaminen, ehdotuksen 25 artiklan 1 kohtaa olisi muutettava siten, että vain säädöksillä, jotka on hyväksytty perustamissopimusten perusteella, voitaisiin rajoittaa perusoikeuksia, millä asetettaisiin EU:n toimielimille samat vaatimukset, joita sovelletaan jäsenvaltioihin yleisen tietosuoja-asetuksen nojalla. Tarkasteltuaan 34 artiklan Sähköisen viestinnän luottamuksellisuus rajoituksia Euroopan tietosuojavaltuutettu kehottaa EU:n lainsäätäjää varmistamaan, että EU:n toimielinten omiin toimiin liittyvän viestinnän yksityisyyttä koskevan perusoikeuden mahdollisissa rajoituksissa noudatetaan samoja vaatimuksia kuin unionin lainsäädännössä siten kuin unionin tuomioistuin on sitä tällä alalla tulkinnut.

92. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että ehdotus sisältää erillisen artiklan, joka koskee Euroopan tietosuojavaltuutetun asemaa EU:n toimielinten neuvonantajana (ehdotuksen 42 artikla). Hän on kuitenkin huolissaan siitä, että sanamuoto ”sen jälkeen kun […] ehdotus […] on hyväksytty” (verrattuna sanamuotoon ”kun komissio antaa […] ehdotuksen” asetuksessa 45/2001 olevassa 28 artiklan 2 kohdassa) voi asettaa kyseenalaiseksi Euroopan komission pitkäaikaisen sitoumuksen kuulla Euroopan tietosuojavaltuutettua ehdotusluonnoksista epävirallisesti, yleensä komission sisäisen lausuntokierroksen aikana. Ottaen huomioon epävirallisen kuulemisen merkityksen Euroopan tietosuojavaltuutettu kehottaa lisäämään johdanto-osaan kappaleen, jossa komissio ilmaisee sitoumuksensa tähän vakiintuneeseen käytäntöön. Euroopan tietosuojavaltuutettu kannattaisi myös sitä, että ehdotuksessa säilytettäisiin asetuksessa 45/2001 olevan 28 artiklan 2 kohdan sanamuoto (”kun komissio antaa”), mikä jättäisi enemmän liikkumavaraa tässä suhteessa. Se katsoo, että ehdotetussa 42 artiklassa selvennetään riittävästi Euroopan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston tehtäviä, jotta tulevaisuudessa vältytään tarpeettomilta päällekkäisyyksiltä.

93. Euroopan tietosuojavaltuutettu katsoo, että mahdollisuus ulkoistaa tietosuojavastaavan tehtävä ei sovellu EU:n toimielimille, jotka käyttävät julkista valtaa. Näin ollen 44 artiklan 4 kohdan toinen vaihtoehto (”tai hän voi hoitaa tehtäviään palvelusopimuksen perusteella”) olisi poistettava.

94. Euroopan tietosuojavaltuutettu on tyytyväinen ehdotuksen 66 artiklaan, jossa hänelle annetaan valtuudet määrätä hallinnollisia sakkoja. Hän katsoo, että jos EU:n valvontaviranomaisella ei olisi mahdollisuutta määrätä tarvittaessa hallinnollisia sakkoja, tämä johtaisi siihen, että EU:n toimielimillä olisi etuoikeutettu asema verrattuna julkisen sektorin elimiin monissa jäsenvaltioissa.

95. Euroopan tietosuojavaltuutettu katsoo, että sertifiointimekanismit voivat olla erittäin hyödyllisiä välineitä EU:n toimielimille ja että niitä käytetään jo tietyissä tapauksissa, esimerkiksi todistettaessa yleisesti hyväksyttyjen standardien noudattaminen. Näin ollen 26 artiklaan Rekisterinpitäjän vastuu, 27 artiklaan Sisäänrakennettu tietosuoja ja oletusarvoinen tietosuoja ja 33 artiklaan Käsittelyn turvallisuus olisi lisättävä viittaukset sertifioinnin (mutta ei menettelysääntöjen) käyttöön.

96. Vaikka tässä lausunnossa mainitaan useita alueita, joilla ehdotusta voitaisiin parantaa edelleen, Euroopan tietosuojavaltuutettu kehottaa EU:n lainsäätäjää sopimaan ehdotuksesta mahdollisimman nopeasti, niin että EU:n toimielimet voisivat hyötyä kohtuullisesta siirtymäkaudesta ennen kuin asetusta voidaan alkaa soveltaa samaan aikaan kuin yleistä tietosuoja-asetusta toukokuussa 2018.

Tehty Brysselissä 15. maaliskuuta 2017. Giovanni BUTTARELLI Euroopan tietosuojavaltuutettu

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135, 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach (First reading) on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.