Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) /* COM/2012/011 final - 2012/0011 (COD) */





PERUSTELUT 1. EHDOTUKSEN TAUSTA Näissä perusteluissa esitellään yksityiskohtaisesti ehdotus henkilötietojen suojaa koskevaksi uudeksi EU:n lainsäädäntökehykseksi. Uudistusta käsitellään myös tiedonannossa COM(2012) 9 final[1]. Ehdotettu uusi lainsäädäntökehys käsittää kaksi säädösehdotusta, jotka ovat – ehdotus Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus), ja – ehdotus Euroopan parlamentin ja neuvoston direktiiviksi yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta[2]. Nämä perustelut liittyvät yleistä tietosuoja-asetusta koskevaan ehdotukseen. Kun EU:n nykyisen tietosuojalainsäädännön keskeinen säädös, direktiivi 95/46/EY[3], annettiin vuonna 1995, sillä oli kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä. Direktiiviä täydennettiin puitepäätöksellä 2008/977/YOS. Se on unionin tasolla sovellettava yleinen väline, joka koskee henkilötietojen suojaa poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla[4]. Teknologian nopea kehitys on tuonut henkilötietojen suojeluun uusia haasteita. Tietoja jaetaan ja kerätään nyt valtavan paljon suuremmassa mittakaavassa kuin ennen. Teknologian kehityksen ansiosta sekä yksityiset yritykset että viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti. Myös yksityiset ihmiset saattavat yhä useammin henkilötietojaan julkisuuteen maailmanlaajuisesti. Teknologia on mullistanut sekä talouden että sosiaalisen elämän. Luottamuksen rakentaminen verkkoympäristöön on talouden kehityksen kannalta olennaista. Luottamuspulan vuoksi kuluttajat suhtautuvat uusiin verkkopalveluihin epäluuloisesti ja epäröivät ostosten tekemistä verkossa. Tämä uhkaa hidastaa uusien teknologioiden innovatiivisten käyttötapojen kehittämistä. Sen vuoksi henkilötietojen suoja on keskeisellä sijalla Euroopan digitaalistrategiassa[5] ja yleisemminkin Eurooppa 2020 ‑strategiassa[6]. Periaate, jonka mukaan jokaisella on oikeus henkilötietojensa suojaan, on vahvistettu Lissabonin sopimuksen myötä Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä SEUT-sopimus, 16 artiklan 1 kohdassa. Lisäksi Lissabonin sopimuksen myötä on otettu käyttöön SEUT-sopimuksen 16 artiklan 2 kohdassa vahvistettu erityinen oikeusperusta, jonka nojalla voidaan antaa henkilötietojen suojaa koskevia sääntöjä. Euroopan unionin perusoikeuskirjan 8 artiklassa vahvistetaan, että henkilötietojen suoja on perusoikeus. Eurooppa-neuvosto kehotti komissiota arvioimaan EU:n tietosuojasäädösten toimivuutta ja esittämään tarvittaessa sekä lainsäädäntöä koskevia että muita ehdotuksia.[7] Euroopan parlamentti katsoi Tukholman ohjelmaa koskevassa päätöslauselmassaan[8], että EU:ssa olisi laadittava kattava järjestelmä henkilötietojen suojaamiseksi, ja kehotti muun muassa tarkistamaan puitepäätöstä. Komissio puolestaan korosti Tukholman ohjelman toteuttamista koskevassa toimintasuunnitelmassaan[9] tarvetta varmistaa, että henkilötietojen suojaa koskevaa perusoikeutta sovelletaan johdonmukaisesti kaikkien EU:n politiikkojen yhteydessä. Tiedonannossaan Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa[10] komissio katsoi, että EU:ssa tarvitaan nykyistä kattavampi ja johdonmukaisempi politiikka henkilötietojen suojaa koskevan perusoikeuden toteuttamiseksi. Nykyisen tietosuojakehyksen tavoitteet ja periaatteet ovat edelleen pätevät. Sen avulla ei kuitenkaan ole pystytty estämään henkilötietojen suojan täytäntöönpanon hajanaisuutta eri puolilla unionia eikä myöskään oikeudellista epävarmuutta tai sitä laajalle levinnyttä näkemystä, jonka mukaan erityisesti verkkoympäristössä toimimiseen liittyy huomattavia riskejä[11]. Tämän vuoksi on aika laatia EU:lle vahvempi ja johdonmukaisempi tietosuojakehys, jota tuetaan tehokkaalla täytäntöönpanolla, niin että digitaalitalous voi kehittyä koko sisämarkkinoiden alueella ja yksilöt voivat valvoa omia tietojaan. Näin myös vahvistetaan oikeusvarmuutta ja luottamusta käytännön toiminnan sujuvuuteen talouden toimijoiden ja viranomaisten kannalta. 2. KUULEMISTEN JA VAIKUTUSTENARVIOINNIN TULOKSET Tämä aloite perustuu laajaan kuulemiskierrokseen, jossa kaikilta keskeisiltä sidosryhmiltä pyydettiin näkemyksiä voimassa olevan tietosuojakehyksen uudistuksesta. Prosessi kesti yli kaksi vuotta, ja sen yhteydessä järjestettiin toukokuussa 2009 korkean tason konferenssi[12] ja kaksi julkista kuulemista: – 9. heinäkuuta – 31. joulukuuta 2009 järjestettiin kuuleminen henkilötietojen suojaa koskevan perusoikeuden oikeudellisista puitteista. Komissio sai 168 vastausta, joista 127 yksityishenkilöiltä, liikemaailman järjestöiltä ja yhdistyksiltä ja 12 viranomaisilta.[13] – 4. marraskuuta 2010 – 15. tammikuuta 2011 järjestettiin kuuleminen komission kattavasta lähestymistavasta henkilötietojen suojaan Euroopan unionissa. Komissio sai 305 vastausta, joista 54 kansalaisilta, 31 viranomaisilta ja 220 yksityisiltä organisaatioilta, erityisesti liikemaailman yhdistyksiltä ja valtiosta riippumattomilta järjestöiltä.[14] Lisäksi keskeisille sidosryhmille järjestettiin kohdennettuja kuulemisia, ja kesä- ja heinäkuussa 2010 järjestettiin tilaisuuksia jäsenvaltioiden viranomaisille ja yksityisen sektorin sidosryhmille sekä yksityisyydensuojan, tietosuojan ja kuluttaja-asioiden parissa toimiville järjestöille[15]. Marraskuussa 2010 Euroopan komission varapuheenjohtaja Viviane Reding järjesti tietosuojauudistusta koskevan pyöreän pöydän keskustelun. Tietosuojapäivänä 28. tammikuuta 2011 Euroopan komissio ja Euroopan neuvosto järjestivät yhdessä korkean tason konferenssin, jossa käsiteltiin EU:n säädöskehyksen uudistukseen liittyviä kysymyksiä ja tarvetta laatia maailmanlaajuisesti sovellettavat yhteiset tietosuojanormit[16]. Unkari ja Puola järjestivät neuvoston puheenjohtajuuskausiensa aikana tietosuojaa koskevan konferenssin 16. ja 17. kesäkuuta 2011 sekä 21. syyskuuta 2011. Tietosuojauudistukseen liittyviä erityiskysymyksiä käsiteltiin erilaisissa työpajoissa ja seminaareissa pitkin vuotta 2011. Tammikuussa ENISA[17] järjesti työpajan, jossa käsiteltiin tietoturvaloukkauksista ilmoittamista Euroopassa[18]. Helmikuussa komissio kutsui jäsenvaltion viranomaisia työpajaan keskustelemaan poliisiyhteistyöhön ja rikosasioissa tehtävään oikeudelliseen yhteistyöhön liittyvistä tietosuojakysymyksistä sekä puitepäätöksen täytäntöönpanosta. Perusoikeusvirasto puolestaan järjesti sidosryhmille tarkoitetun kuulemistapaamisen, jonka aiheena olivat tietosuoja ja yksityisyydensuoja. Kansallisten tietosuojaviranomaisten kanssa keskusteltiin uudistuksen keskeisistä kysymyksistä 13. heinäkuuta 2011 pidetyssä kokouksessa. EU:n kansalaisia kuultiin marras–joulukuussa 2010 tehdyssä eurobarometrikyselyssä[19]. Lisäksi käynnistettiin useita selvityksiä.[20] Tietosuojatyöryhmä[21] esitti komissiolle useita lausuntoja, jotka sisälsivät hyödyllisiä kommentteja[22]. Myös Euroopan tietosuojavaltuutettu esitti kattavan lausunnon komission marraskuussa 2010 antamassa tiedonannossa esitetyistä kysymyksistä[23]. Euroopan parlamentti hyväksyi 6. heinäkuuta 2011 antamassaan päätöslauselmassa[24] kertomuksen, joka tukee tietosuojakehyksen uudistusta koskevaa komission lähestymistapaa. Euroopan unionin neuvosto hyväksyi 24. helmikuuta 2011 päätelmät, joissa se antaa laajan tukensa komission pyrkimyksille tietosuojakehyksen uudistamiseksi ja hyväksyy monet komission lähestymistavan osatekijät. Myös Euroopan talous- ja sosiaalikomitea kannatti komission pyrkimystä varmistaa EU:n tietosuojasääntöjen yhdenmukaisempi soveltaminen kaikissa jäsenvaltioissa[25] direktiiviä 95/46/EY tarkistamalla.[26] Kuulemisten perusteella sidosryhmien suuri enemmistö oli sitä mieltä, että tietosuojaa koskevat yleiset periaatteet ovat edelleen päteviä, mutta että nykyistä säädöskehystä on mukautettava, jotta voidaan ottaa paremmin huomioon uusien (erityisesti verkkoympäristön) teknologioiden nopeaan kehitykseen ja globalisaatioon liittyvät haasteet ja säilyttää samalla säädöskehyksen teknologianeutraalius. Etenkin talouden toimijat ovat arvostelleet kovin sanoin EU:n nykyisen henkilötietojen suojan hajanaisuutta ja vaatineet oikeusvarmuuden lisäämistä ja tietosuojasääntöjen yhtenäistämistä. Talouden toimijat myös katsovat, että henkilötietojen kansainvälisiin siirtoihin sovellettavien sääntöjen monimutkaisuus haittaa niiden toimintaa merkittävästi, koska niiden on säännöllisesti siirrettävä henkilötietoja EU:sta muualle maailmaan. Komissio on arvioinut eri toimintavaihtoehtojen vaikutuksia parempaa sääntelyä koskevan politiikan mukaisesti. Vaikutustenarvioinnin perustaksi otettiin kolme toimintatavoitetta, joiden avulla pyritään parantamaan tietosuojan sisämarkkinaulottuvuutta, tehostamaan yksilöiden tietosuojaoikeuksien käyttöä ja luomaan kattava ja johdonmukainen säädöskehys, joka kattaa kaikki unionin toimivaltaan kuuluvat alat, myös poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön. Vaikutustenarvioinnissa tarkasteltiin kolmea eriasteista toimintavaihtoehtoa: ensimmäisen vaihtoehdon mukaan lainsäädäntöä tarkistettaisiin mahdollisimman vähän, minkä lisäksi laadittaisiin sääntöjen tulkintaa koskevia tiedonantoja ja tukitoimenpiteitä, kuten rahoitusohjelmia ja teknisiä välineitä, toinen vaihtoehto käsittäisi joukon säännöksiä, joilla pyrittäisiin ratkaisemaan analyysissa havaitut ongelmat, ja kolmas vaihtoehto edellyttäisi tietosuojan keskittämistä EU:n tasolle antamalla kaikkia sektoreita koskevat täsmälliset ja yksityiskohtaiset säännöt ja perustamalla EU:n virasto seuraamaan ja valvomaan näiden säännösten täytäntöönpanoa. Komission vakiintuneen käytännön mukaisesti kutakin toimintavaihtoehtoa arvioitiin yksiköiden välisen ohjausryhmän avulla tarkastelemalla sen vaikuttavuutta toimintatavoitteiden saavuttamisessa, taloudellisia vaikutuksia sidosryhmiin (muun muassa EU:n toimielinten talousarvioon), sosiaalisia vaikutuksia ja vaikutusta perusoikeuksiin. Ympäristövaikutuksia ei tarkasteltu erikseen. Kokonaisvaikutusten analyysin perusteella laadittiin parhaaksi arvioitu toimintavaihtoehto. Se perustuu toiseen toimintavaihtoehtoon, minkä lisäksi sitä on täydennetty eräillä kahteen muuhun vaihtoehtoon sisältyvillä toimenpiteillä. Nämä kaikki esitetään tässä ehdotuksessa. Vaikutustenarvioinnin perusteella parhaaksi arvioidun vaihtoehdon toteuttaminen parantaa huomattavasti oikeusvarmuutta rekisterinpitäjien ja kansalaisten kannalta, keventää hallinnollista rasitusta, lisää tietosuojasäännösten täytäntöönpanon johdonmukaisuutta unionissa, parantaa yksilöiden mahdollisuuksia käyttää tietosuojaoikeuksiaan henkilötietojensa suojaamiseksi EU:ssa sekä tehostaa tietosuojalainsäädännön valvontaa ja täytäntöönpanoa. Parhaaksi arvioidun vaihtoehdon täytäntöönpanon odotetaan myös edistävän yksinkertaistamista ja hallinnollisen rasituksen keventämistä koskevia komission tavoitteita sekä Euroopan digitaalistrategian, Tukholman ohjelman toimintasuunnitelman ja Eurooppa 2020 -strategian tavoitteita. Vaikutustenarviointilautakunta antoi arvioinnista lausuntonsa 9. syyskuuta 2011. Sen perusteella vaikutustenarviointiin tehtiin seuraavat muutokset: – nykyisen säädöskehyksen tavoitteita selkeytettiin (missä määrin ne on saavutettu ja miltä osin niitä ei ole saavutettu), samoin suunnitellun uudistuksen tavoitteita; – ongelman määrittelyä koskevassa jaksossa esitettiin enemmän näyttöä ja lisää selityksiä/täsmennyksiä; – tekstiin lisättiin suhteellisuusperiaatetta koskeva jakso; – kaikki perusskenaariossa ja parhaaksi arvioidussa vaihtoehdossa esitetyt hallinnollista rasitusta koskevat laskelmat ja arviot on tarkistettu perusteellisesti ja ilmoituskustannusten ja lainsäädännön hajanaisuudesta johtuvien kokonaiskustannusten suhdetta on täsmennetty (muun muassa liitteessä 10); – erityisesti tietosuojavastaavista ja tietosuojaa koskevien vaikutustenarviointien laatimisesta mikroyrityksille ja pienille ja keskisuurille yrityksille aiheutuvia vaikutuksia on täsmennetty paremmin. Vaikutustenarviointikertomus ja sen tiivistelmä julkaistaan yhdessä säädösehdotusten kanssa. 3. EHDOTUKSEN OIKEUDELLINEN SISÄLTÖ 3.1. Oikeusperusta Tämä ehdotus perustuu SEUT-sopimuksen 16 artiklaan, joka on Lissabonin sopimuksen mukainen uusi oikeusperusta tietosuojaa koskevien sääntöjen antamiselle. Kyseisen määräyksen nojalla voidaan antaa sääntöjä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä silloin, kun näitä tietoja käsittelevät jäsenvaltiot suorittaessaan unionin lainsäädännön soveltamisalaan kuuluvia tehtäviä. Lisäksi sen perusteella voidaan antaa sääntöjä, jotka koskevat henkilötietojen vapaata liikkuvuutta, riippumatta siitä, käsittelevätkö henkilötietoja jäsenvaltiot vai yksityiset tahot. Asetuksen katsotaan olevan sopivin säädöstyyppi henkilötietojen suojaa koskevan kehyksen määrittämiseksi unionissa. Asetuksen suora sovellettavuus SEUT-sopimuksen 288 artiklan nojalla vähentää lainsäädännön hajanaisuutta ja takaa paremman oikeusvarmuuden, kun käyttöön otetaan yhtenäinen keskeisten sääntöjen kokonaisuus, joka parantaa yksilön perusoikeuksien suojaa ja edistää sisämarkkinoiden toimintaa. Viittaus SEUT-sopimuksen 114 artiklan 1 kohtaan on tarpeen vain direktiivin 2002/58/EY muuttamiseksi siltä osin kuin direktiivissä säädetään myös tilaajina olevien oikeushenkilöiden oikeutettujen etujen suojaamisesta. 3.2. Toissijaisuus ja suhteellisuus Euroopan unionista tehdyn sopimuksen, jäljempänä ’SEU-sopimus’, 5 artiklan 3 kohdassa vahvistetun toissijaisuusperiaatteen mukaisesti unionin tasolla olisi toteutettava toimia vain, jos jäsenvaltiot eivät voi yksin riittävällä tavalla saavuttaa suunnitellun toiminnan tavoitteita, vaan ne voidaan ehdotetun toiminnan laajuuden tai vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Edellä esitettyjen ongelmien perusteella toissijaisuusperiaatteen analysointi osoittaa, että EU:n tason toiminta on tarpeen seuraavista syistä: – Oikeus henkilötietojen suojaan vahvistetaan perusoikeuskirjan 8 artiklassa, ja se edellyttää, että tietosuojan on oltava samantasoinen kaikkialla unionissa. EU:n yhteisten sääntöjen puuttuminen voisi aiheuttaa riskin siitä, että suojelun taso jäsenvaltioissa vaihtelisi, ja luoda rajoituksia henkilötietojen siirroille eri normeja noudattavien jäsenvaltioiden välillä. – Henkilötietoja siirretään yli valtioiden rajojen tihenevään tahtiin sekä EU:n sisällä että EU:n ja kolmansien maiden välillä. Lisäksi tietosuojalainsäädännön täytäntöönpanon valvontaan liittyy käytännön ongelmia. Jäsenvaltioiden ja niiden viranomaisten olisi tehtävä keskenään yhteistyötä, jota olisi koordinoitava EU:n tasolla, jotta voidaan varmistaa unionin oikeuden yhdenmukainen soveltaminen. EU:lla on parhaat edellytykset varmistaa tehokkaasti ja johdonmukaisesti yksilöiden suojan yhtenäisyys silloin kun heidän henkilötietojaan siirretään kolmansiin maihin. – Jäsenvaltiot eivät nykytilanteessa voi yksinään vähentää näitä ongelmia, etenkään silloin kun ne liittyvät kansallisten lainsäädäntöjen hajanaisuuteen. Sen vuoksi tarvitaan yhtenäinen ja johdonmukainen kehys, jonka perusteella henkilötietoja voidaan siirtää sujuvasti yli rajojen EU:n sisällä ja varmistaa samalla kaikkien yksilöiden tehokas suojelu kaikkialla EU:ssa. – Ehdotetut EU:n lainsäädäntötoimet ovat ongelmien luonteen ja mittakaavan vuoksi vaikuttavampia kuin jäsenvaltioiden tasolla toteutetut vastaavat toimet, koska ne eivät rajoitu yhden tai vain muutaman jäsenvaltion tasolle. Suhteellisuusperiaate edellyttää, että kaikki toimet ovat kohdennettuja eivätkä ylitä sitä, mikä on tarpeen tavoitteiden saavuttamiseksi. Suhteellisuusperiaate on ohjannut koko prosessia eri toimintavaihtoehtojen määrittämisestä ja arvioinnista säädösehdotuksen laatimiseen asti. 3.3. Tiivistelmä perusoikeuksiin liittyvistä kysymyksistä Oikeus henkilötietojen suojaan vahvistetaan perusoikeuskirjan 8 artiklassa, SEUT-sopimuksen 16 artiklassa ja Euroopan ihmisoikeussopimuksen 8 artiklassa. Kuten EU:n tuomioistuin on korostanut[27], oikeus henkilötietojen suojaan ei ole absoluuttinen, vaan sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa[28]. Tietosuoja liittyy läheisesti yksityis- ja perhe-elämän kunnioittamiseen, josta määrätään perusoikeuskirjan 7 artiklassa. Tämän vuoksi direktiivin 95/46/EY 1 artiklan 1 kohdassa säädetään, että jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen. Tietosuojauudistus voi vaikuttaa myös seuraaviin perusoikeuskirjassa vahvistettuihin perusoikeuksiin: sananvapaus (perusoikeuskirjan 11 artikla); elinkeinovapaus (16 artikla); omistusoikeus ja varsinkin teollis- ja tekijänoikeudet (17 artiklan 2 kohta); esimerkiksi rotuun, etniseen alkuperään, geneettisiin ominaisuuksiin, uskontoon tai vakaumukseen, poliittisiin tai muihin mielipiteisiin, vammaisuuteen tai sukupuoliseen suuntautumiseen perustuvan syrjinnän kielto (21 artikla); lapsen oikeudet (24 artikla); oikeus korkeatasoiseen terveydenhoitoon (35 artikla); oikeus tutustua asiakirjoihin (42 artikla); oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen (47 artikla). 3.4. Ehdotuksen yksityiskohtaiset perustelut 3.4.1. I LUKU – YLEISET SÄÄNNÖKSET Ehdotuksen 1 artiklassa määritetään asetuksen kohde, ja samoin kuin direktiivin 95/46/EY 1 artiklassa, asetuksen molemmat tavoitteet. Ehdotuksen 2 artiklassa määritellään asetuksen aineellinen soveltamisala. Ehdotuksen 3 artiklassa määritellään asetuksen alueellinen soveltamisala. Ehdotuksen 4 artiklassa esitetään asetuksessa käytettyjen käsitteiden määritelmät. Osa määritelmistä on otettu sellaisinaan direktiivistä 95/46/EY, toisia on muutettu tai täydennetty, ja osa on uusia (’henkilötietojen tietoturvaloukkaus’ sähköisen viestinnän tietosuojadirektiivin 2002/58/EY[29], sellaisena kuin se on muutettuna direktiivillä 2009/136/EY[30], 2 artiklan h alakohdan mukaisesti, ’geneettiset tiedot’, ’biometriset tiedot’, ’terveystiedot’, ’päätoimipaikka’, ’edustaja’, ’yritys’, ’yritysryhmä’, ’yrityksiä koskevat sitovat säännöt’, ’lapsi’ lapsen oikeuksia koskevan YK:n yleissopimuksen mukaisesti[31] ja ’valvontaviranomainen’). ’Suostumuksen’ määritelmään on lisätty kriteeri ’nimenomainen’, jotta voidaan välttää sekaannus ’yksiselitteisen’ suostumuksen kanssa. Näin suostumukselle saataisiin yksi ainoa johdonmukainen määritelmä, joka takaa, että rekisteröidyt ovat tietoisia siitä, että antavat suostumuksensa, ja tietävät, mitä varten. 3.4.2. II LUKU –- PERIAATTEET Ehdotuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista, jotka vastaavat direktiivin 95/46/EY 6 artiklassa vahvistettuja periaatteita. Uusia elementtejä ovat erityisesti läpinäkyvyysperiaate, tietojen minimoinnin periaate sekä rekisterinpitäjän kattavan vastuun vahvistaminen. Ehdotuksen 6 artiklassa vahvistetaan tietojenkäsittelyn lainmukaisuuden kriteerit direktiivin 95/46/EY 7 artiklan pohjalta. Ehdotuksessa täsmennetään kriteerejä, jotka koskevat eri etujen tasapainottamista sekä rekisterinpitäjän lakisääteisten velvoitteiden noudattamista tai yleisen edun suojaamista. Ehdotuksen 7 artiklassa selkeytetään edellytyksiä, joiden on täytyttävä, jotta suostumus muodostaisi pätevän oikeusperustan lainmukaiselle käsittelylle. Ehdotuksen 8 artiklassa säädetään lisäedellytykset lapsen henkilötietoja koskevan käsittelyn lainmukaisuudelle suoraan lapsille tarjottavien tietoyhteiskunnan palvelujen yhteydessä. Ehdotuksen 9 artiklassa säädetään erityisiä tietoryhmiä koskevasta yleisestä käsittelykiellosta ja tätä pääsääntöä koskevista poikkeuksista direktiivin 95/46/EY 8 artiklan pohjalta. Ehdotuksen 10 artiklassa täsmennetään, että rekisterinpitäjällä ei ole velvollisuutta hankkia lisätietoja rekisteröidyn tunnistamista varten, jos tämä olisi tarpeen vain siksi, että voitaisiin noudattaa jotakin tämän asetuksen säännöstä. 3.4.3. III LUKU – REKISTERÖIDYN OIKEUDET 3.4.3.1. 1 jakso – Läpinäkyvyys ja sitä koskevat yksityiskohtaiset säännöt Ehdotuksen 11 artiklassa otetaan käyttöön rekisterinpitäjiä koskeva vaatimus toimittaa läpinäkyvää, helposti saatavaa ja ymmärrettävää tietoa. Vaatimus perustuu erityisesti henkilötietojen ja yksityisyyden suojaa koskevista kansainvälisistä standardeista annettuun Madridin päätöslauselmaan[32]. Ehdotuksen 12 artiklassa velvoitetaan rekisterinpitäjä vahvistamaan menettelyt ja mekanismit rekisteröidyn oikeuksien käyttämistä varten. Tämä tarkoittaa muun muassa sähköisiä pyyntöjä, vaatimusta vastata rekisteröidyn pyyntöihin tietyssä määräajassa sekä kieltäytymisen perustelemista. Ehdotuksen 13 artiklassa säädetään tietojen vastaanottajien oikeuksista direktiivin 95/46/EY 12 artiklan c alakohdan perusteella. Oikeuksia laajennetaan koskemaan kaikkia tietojen vastaanottajia, yhteiset rekisterinpitäjät ja henkilötietojen käsittelijät mukaan lukien. 3.4.3.2. 2 jakso – Ilmoittaminen ja tiedonsaanti Ehdotuksen 14 artiklassa säädetään rekisterinpitäjän ilmoitusvelvollisuudesta rekisteröityä kohtaan direktiivin 95/46/EY 10 ja 11 artiklan pohjalta. Rekisteröidylle on annettava lisätietoja muun muassa tietojen säilytysajasta, oikeudesta tehdä valitus, tietojen siirtämisestä jäsenvaltion ulkopuolelle sekä siitä, mistä tiedot ovat peräisin. Ehdotuksessa säilytetään direktiivissä 95/46/EY sallitut poikkeukset, joiden mukaisesti ilmoitusvelvollisuutta ei ole, jos kyseisestä rekisteröinnistä tai tietojen luovutuksesta on nimenomaisesti lailla säädetty. Poikkeusta voitaisiin soveltaa esimerkiksi kilpailuviranomaisten, vero- tai tullihallintojen tai sosiaaliturva-alan toimivaltaisten viranomaisten menettelyissä. Ehdotuksen 15 artiklassa säädetään rekisteröidyn oikeudesta tutustua omiin henkilötietoihinsa. Säännös perustuu direktiivin 95/46/EY 12 artiklan a alakohtaan, minkä lisäksi siihen on lisätty uusia elementtejä, kuten velvollisuus ilmoittaa rekisteröidylle tietojen säilytysajasta sekä oikeudesta oikaista ja poistaa tietoja ja valitusoikeudesta. 3.4.3.3. 3 jakso – Tietojen oikaiseminen ja poistaminen Ehdotuksen 16 artiklassa vahvistetaan rekisteröidyn oikeus oikaista tietojaan direktiivin 95/46/EY 12 artiklan b alakohdan mukaisesti. Ehdotuksen 17 artiklassa säädetään rekisteröidyn oikeudesta tulla unohdetuksi ja poistaa tietonsa. Siinä myös täsmennetään direktiivin 95/46/EY 12 artiklan b alakohdassa säädettyä oikeutta tietojen poistamiseen ja säädetään edellytykset oikeudelle tulla unohdetuksi. Tähän sisältyy muun muassa tiedot julkistaneen rekisterinpitäjän velvollisuus ilmoittaa kolmansille osapuolille rekisteröidyn pyynnöstä poistaa kyseisiin henkilötietoihin liittyvät linkit tai tietojen kopiot tai jäljennökset. Lisäksi artiklaan on lisätty oikeus rajoittaa tietojenkäsittelyä tietyissä tapauksissa, moniselitteistä ilmaisua ”suojata tiedot tietokannassa” välttäen. Ehdotuksen 18 artiklassa otetaan käyttöön rekisteröidyn oikeus siirtää tietonsa yhdestä sähköisestä käsittelyjärjestelmästä toiseen rekisterinpitäjän estämättä. Siirron edellytykseksi ja jotta voidaan vahvistaa yksilön oikeutta tutustua omiin henkilötietoihinsa, siinä säädetään myös oikeudesta saada kyseiset tiedot rekisterinpitäjältä jäsennellyssä ja yleisesti käytetyssä sähköisessä muodossa. 3.4.3.4. 4 jakso – Oikeus vastustaa tietojenkäsittelyä ja profilointi Ehdotuksen 19 artiklassa säädetään rekisteröidyn oikeudesta vastustaa henkilötietojensa käsittelyä. Se perustuu direktiivin 95/46/EY 14 artiklaan. Tekstiä on hieman muutettu, muun muassa todistustaakan sekä suoramarkkinointiin soveltamisen osalta. Ehdotuksen 20 artikla koskee rekisteröidyn oikeutta olla joutumatta profilointiin perustuvan toimenpiteen kohteeksi. Se perustuu direktiivin 95/46/EY 15 artiklan 1 kohtaan, joka koskee automatisoituja yksittäispäätöksiä. Tekstiä on kuitenkin muutettu lisäämällä siihen uusia takeita. Ehdotuksessa on otettu huomioon profilointia koskeva Euroopan neuvoston suositus[33]. 3.4.3.5. 5 jakso – Rajoitukset Ehdotuksen 21 artiklassa selkeytetään unionin tai jäsenvaltioiden valtuutusta pitää yllä tai ottaa käyttöön rajoituksia 5 artiklassa säädettyihin periaatteisiin ja 11–20 artiklassa ja 32 artiklassa vahvistettuihin rekisteröidyn oikeuksiin. Säännös perustuu direktiivin 95/46/EY 13 artiklaan sekä perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen vaatimuksiin, sellaisina kuin Euroopan unionin tuomioistuin ja Euroopan ihmisoikeustuomioistuin ovat niitä tulkinneet. 3.4.4. IV LUKU – REKISTERINPITÄJÄ JA HENKILÖTIETOJEN KÄSITTELIJÄ 3.4.4.1. 1 jakso – Yleiset velvollisuudet Ehdotuksen 22 artiklassa otetaan huomioon tilivelvollisuuden periaatteesta käyty keskustelu ja kuvataan yksityiskohtaisesti rekisterinpitäjän velvollisuus noudattaa tätä asetusta ja osoittaa se muun muassa hyväksymällä sisäisiä menettelyjä ja mekanismeja noudattamisen varmistamiseksi. Ehdotuksen 23 artiklassa säädetään rekisterinpitäjän velvollisuudet, jotka perustuvat sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Ehdotuksen 24 artiklassa säädetään tilanteesta, jossa rekisterinpitäjiä on useampia, ja täsmennetään niiden vastuuta sekä toisiaan että rekisteröityä kohtaan. Ehdotuksen 25 artiklassa velvoitetaan muut kuin unioniin sijoittautuneet rekisterinpitäjät nimittämään tiettyjen edellytysten täyttyessä itselleen edustaja unionin alueella silloin, kun niiden käsittelytoimintaan sovelletaan tätä asetusta. Ehdotuksen 26 artiklassa selkeytetään henkilötietojen käsittelijöiden asemaa ja velvollisuuksia, jotka perustuvat osittain direktiivin 95/46/EY 17 artiklan 2 kohtaan. Niihin myös lisätään uusia tekijöitä, kuten se, että jos henkilötietojen käsittelijä käsittelee tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti, sitä on pidettävä yhteisenä rekisterinpitäjänä. Ehdotuksen 27 artikla koskee tietojenkäsittelyä rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa. Säännös perustuu direktiivin 95/46/EY 16 artiklaan. Ehdotuksen 28 artiklassa otetaan käyttöön rekisterinpitäjiä ja henkilötietojen käsittelijöitä koskeva velvollisuus säilyttää niiden vastuulla toteutettavia käsittelytoimia koskevat asiakirjat, kun direktiivin 95/46/EY 18 artiklan 1 kohdassa ja 19 artiklassa säädetään yleisestä velvollisuudesta ilmoittaa tietojenkäsittelystä valvontaviranomaiselle. Ehdotuksen 29 artiklassa selkeytetään rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuutta tehdä yhteistyötä valvontaviranomaisen kanssa. 3.4.4.2. 2 jakso – Tietoturvallisuus Ehdotuksen 30 artiklassa velvoitetaan rekisterinpitäjä ja henkilötietojen käsittelijä toteuttamaan tietojenkäsittelyn turvallisuuden varmistamiseksi tarvittavat toimenpiteet direktiivin 95/46/EY 17 artiklan 1 kohdan mukaisesti. Ehdotuksessa laajennetaan velvollisuus koskemaan kaikkia henkilötietojen käsittelijöitä, riippumatta siitä, millainen sopimus niillä on rekisterinpitäjän kanssa. Ehdotuksen 31 ja 32 artiklassa otetaan käyttöön velvollisuus ilmoittaa henkilötietoihin kohdistuvista tietoturvaloukkauksista. Säännös perustuu sähköisen viestinnän tietosuojadirektiivin 2002/58/EY 4 artiklan 3 kohtaan. 3.4.4.3. 3 jakso – Tietosuojaa koskeva vaikutustenarviointi ja ennakkohyväksyntä Ehdotuksen 33 artiklassa otetaan käyttöön rekisterinpitäjiä ja henkilötietojen käsittelijöitä koskeva velvollisuus laatia tietosuojaa koskeva vaikutustenarviointi ennen riskialttiiden käsittelyoperaatioiden toteuttamista. Ehdotuksen 34 artikla koskee tapauksia, joissa ennen tietojenkäsittelyä on saatava valvontaviranomaisen lupa ja kuultava sitä. Säännös perustuu direktiivin 95/46/EY 20 artiklassa säädettyyn ennakkotarkastuksen käsitteeseen. 3.4.4.4. 4 jakso – Tietosuojavastaava Ehdotuksen 35 artiklassa otetaan käyttöön velvollisuus nimittää tietosuojavastaava julkisella sektorilla ja yksityisellä sektorilla suurissa yrityksissä tai yrityksissä, joissa rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat säännöllistä ja järjestelmällistä seurantaa edellyttävistä käsittelytoimista. Säännös perustuu direktiivin 95/46/EY 18 artiklan 2 kohtaan, jossa säädetään jäsenvaltioiden mahdollisuudesta ottaa käyttöön tällainen vaatimus yleisen ilmoitusmenettelyn sijasta. Ehdotuksen 36 artiklassa säädetään tietosuojavastaavan asemasta. Ehdotuksen 37 artiklassa vahvistetaan tietosuojavastaavan keskeiset tehtävät. 3.4.4.5. 5 jakso – Käytännesäännöt ja sertifiointi Ehdotuksen 38 artiklassa säädetään käytännesäännöistä direktiivin 95/46/EY 27 artiklan 1 kohdan pohjalta. Säännöksessä selkeytetään käytännesääntöjen sisältöä ja menettelyjä ja säädetään, että komissiolla on valtuudet päättää käytännesääntöjen yleisestä pätevyydestä. Ehdotuksen 39 artiklassa säädetään mahdollisuudesta ottaa käyttöön sertifiointimekanismeja sekä tietosuojasinettejä ja ‑merkkejä. 3.4.5. V LUKU – HENKILÖTIETOJEN SIIRTO KOLMANSIIN MAIHIN TAI KANSAINVÄLISILLE JÄRJESTÖILLE Ehdotuksen 40 artiklassa säädetään yleisestä periaatteesta, jonka mukaan kyseisessä luvussa säädettyjä velvoitteita on noudatettava aina kun henkilötietoja siirretään kolmansiin maihin tai kansainvälisille järjestöille, myös silloin kun tietoja siirretään edelleen. Ehdotuksen 41 artiklassa vahvistetaan kriteerit, edellytykset ja menettelyt, joiden mukaisesti komissio tekee tietosuojan tason riittävyyttä koskevan päätöksen. Säännös perustuu direktiivin 95/46/EY 25 artiklaan. Kriteerit, jotka komission on otettava huomioon arvioidessaan tietosuojan tason riittävyyttä, ovat oikeusvaltioperiaate, oikeudelliset muutoksenhakukeinot ja riippumaton valvonta. Artiklassa säädetään nyt nimenomaisesti, että komissio voi arvioida tietosuojan tason riittävyyttä tietyllä kolmannen maan alueella tai tietojenkäsittelyn sektorilla. Ehdotuksen 42 artiklassa edellytetään, että kun tietoja siirretään kolmansiin maihin, joiden osalta komissio ei ole tehnyt tietosuojan tason riittävyyttä koskevaa päätöstä, on annettava asianmukaiset takeet, joita voivat olla erityisesti tietosuojaa koskevat vakiolausekkeet, yritystä koskevat sitovat säännöt tai sopimuslausekkeet. Mahdollisuus käyttää komission vahvistamia tietosuojaa koskevia vakiolausekkeita perustuu direktiivin 95/46/EY 26 artiklan 4 kohtaan. Uusi elementti on se, että tällaiset tietosuojaa koskevat vakiolausekkeet voi nyt vahvistaa myös tietosuojaviranomainen, ja komissio voi todeta ne yleisesti päteviksi. Myös yritystä koskevat sitovat säännöt mainitaan nyt säädöstekstissä erikseen. Sopimuslausekkeita koskeva vaihtoehto antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle tiettyä joustonvaraa, mutta niiden käyttö riippuu valvontaviranomaisten ennakkohyväksynnästä. Ehdotuksen 43 artiklassa kuvaillaan yksityiskohtaisemmin edellytykset siirtojen toteuttamiseksi yritystä koskevien sitovien sääntöjen perusteella. Säännös perustuu nykykäytäntöihin ja valvontaviranomaisten vaatimuksiin. Ehdotuksen 44 artiklassa täsmennetään ja selkeytetään tiedonsiirtoja koskevia poikkeuksia direktiivin 95/46/EY 26 artiklan voimassa olevien säännösten pohjalta. Tämä koskee erityisesti tiedonsiirtoja, jotka ovat tarpeen tärkeiden yleistä etua koskevien syiden vuoksi, esimerkiksi kun on kyse kansainvälisistä tiedonsiirroista kilpailuviranomaisten tai vero- tai tullihallintojen tai sosiaaliturva-alan tai kalatalouden hallinnoinnista vastaavien toimivaltaisten viranomaisten välillä. Lisäksi tiedonsiirto voi olla rajatuissa olosuhteissa oikeutettu rekisterinpitäjän tai henkilötietojen käsittelijän oikeutetun edun perusteella, mutta vasta kun kyseiseen siirtoon liittyvät olosuhteet on arvioitu ja dokumentoitu. Ehdotuksen 45 artiklassa säädetään komission ja kolmansien maiden valvontaviranomaisten käyttöön tarkoitetuista henkilötietojen suojaamista koskevista kansainvälisistä yhteistyömekanismeista. Tämä koskee erityisesti niitä kolmansia maita, joiden tarjoama tietosuojan taso katsotaan riittäväksi, kun otetaan huomioon Taloudellisen yhteistyön ja kehityksen järjestön (OECD) 12. kesäkuuta 2007 antama suositus rajatylittävästä yhteistyöstä yksityisyydensuojaa koskevan lainsäädännön täytäntöönpanon alalla. 3.4.6. VI LUKU – RIIPPUMATTOMAT VALVONTAVIRANOMAISET 3.4.6.1. 1 jakso – Riippumaton asema Ehdotuksen 46 artiklassa velvoitetaan jäsenvaltiot perustamaan valvontaviranomaisia. Säännös perustuu direktiivin 95/46/EY 28 artiklan 1 kohtaan, minkä lisäksi siinä laajennetaan valvontaviranomaisten tehtävä koskemaan yhteistyötä sekä muiden valvontaviranomaisten että komission kanssa. Ehdotuksen 47 artiklassa selkeytetään valvontaviranomaisten riippumattomuuden edellytyksiä panemalla täytäntöön Euroopan unionin tuomioistuimen oikeuskäytäntö[34]. Lisäksi säännös perustuu asetuksen (EY) N:o 45/2001[35] 44 artiklaan. Ehdotuksen 48 artiklassa vahvistetaan valvontaviranomaisen jäseniä koskevat yleiset edellytykset. Säännös perustuu asiaa koskevaan oikeuskäytäntöön[36] ja asetuksen (EY) N:o 45/2001 42 artiklan 2–6 kohtaan. Ehdotuksen 49 artiklassa vahvistetaan valvontaviranomaisen perustamista koskevat säännöt, jotka on sisällytettävä jäsenvaltioiden lainsäädäntöön. Ehdotuksen 50 artiklassa säädetään valvontaviranomaisen jäseniä ja henkilöstöä koskevasta vaitiolovelvollisuudesta. Säännös perustuu direktiivin 95/46/EY 28 artiklan 7 kohtaan. 3.4.6.2. 2 jakso – Toimivalta ja tehtävät Ehdotuksen 51 artiklassa määritellään valvontaviranomaisten toimivalta. Pääsääntö perustuu direktiivin 95/46/EY 28 artiklan 6 kohtaan (toimivalta rajoittuu valvontaviranomaisen kotijäsenvaltion alueeseen), mutta sitä täydentää uusi johtavan valvontaviranomaisen toimivalta tilanteissa, joissa rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut useisiin jäsenvaltioihin. Säännöksen tarkoituksena on varmistaa soveltamisen yhdenmukaisuus (yhden luukun järjestelmä). Tuomioistuimet on vapautettu valvontaviranomaisen valvonnasta silloin kun ne käyttävät tuomiovaltaansa, mutta niiden on siitä huolimatta sovellettava tietosuojaa koskevia aineellisia sääntöjä. Ehdotuksen 52 artiklassa säädetään valvontaviranomaisen velvollisuuksista, joita ovat muun muassa valitusten käsittely ja tutkiminen sekä tietosuojaan liittyvistä riskeistä, säännöistä, takeista ja oikeuksista tiedottaminen yleisölle. Ehdotuksen 53 artiklassa säädetään valvontaviranomaisen valtuuksista. Säännös perustuu osittain direktiivin 95/46/EY 28 artiklan 3 kohtaan ja asetuksen (EY) N:o 45/2001 47 artiklaan, minkä lisäksi siihen on lisätty eräitä uusia tekijöitä, kuten toimivalta määrätä hallinnollisia seuraamuksia. Ehdotuksen 54 artiklassa velvoitetaan valvontaviranomaiset laatimaan vuotuinen toimintakertomus. Säännös perustuu direktiivin 95/46/EY 28 artiklan 5 kohtaan. 3.4.7. VII LUKU – YHTEISTYÖ JA YHDENMUKAISUUS 3.4.7.1. 1 jakso – Yhteistyö Ehdotuksen 55 artiklassa säädetään nimenomaiset säännöt pakollista keskinäistä avunantoa varten, muun muassa toisen valvontaviranomaisen pyynnön noudattamatta jättämisestä määrättävät seuraamukset. Säännös perustuu direktiivin 95/46/EY 28 artiklan 6 kohdan toiseen alakohtaan. Ehdotuksen 56 artiklassa esitetään yhteisiä operaatioita koskevat säännöt, jotka perustuvat neuvoston päätöksen 2008/615/YOS[37] 17 artiklaan ja kattavat muun muassa valvontaviranomaisten oikeuden osallistua tällaisiin operaatioihin. 3.4.7.2. 2 jakso – Yhdenmukaisuus Ehdotuksen 57 artiklalla otetaan käyttöön yhdenmukaisuusmekanismi, jonka avulla voidaan varmistaa tietosuojasäännösten yhdenmukainen soveltaminen eri jäsenvaltioissa asuviin rekisteröityihin kohdistuvien käsittelytoimien yhteydessä. Ehdotuksen 58 artiklassa vahvistetaan menettelyt ja edellytykset Euroopan tietosuojaneuvoston lausunnon saamista varten. Ehdotuksen 59 artikla koskee komission lausuntoja yhdenmukaisuusmekanismin puitteissa käsiteltävistä asioista. Komissio voi joko vahvistaa Euroopan tietosuojaneuvoston lausunnon tai ilmaista eriävän mielipiteensä lausunnosta ja tietosuojaviranomaisen toimenpideluonnoksesta. Jos Euroopan tietosuojaneuvosto on ottanut asian esille 58 artiklan 3 kohdan nojalla, voidaan odottaa, että komissio käyttää harkintavaltaansa ja antaa lausunnon aina kun sitä tarvitaan. Ehdotuksen 60 artikla koskee komission päätöksiä, joissa se vaatii toimivaltaista viranomaista keskeyttämään toimenpideluonnoksen täytäntöönpanon, jos se on tarpeen tämän asetuksen asianmukaisen soveltamisen varmistamiseksi. Ehdotuksen 61 artiklassa säädetään mahdollisuudesta hyväksyä väliaikaisia toimenpiteitä kiireellisessä menettelyssä. Ehdotuksen 62 artiklassa esitetään vaatimukset, joiden perusteella komissio voi antaa täytäntöönpanosäädöksiä yhdenmukaisuusmekanismin perusteella. Ehdotuksen 63 artiklassa säädetään velvollisuudesta panna yhden valvontaviranomaisen määräämät toimenpiteet täytäntöön kaikissa jäsenvaltioissa, joita asia koskee. Lisäksi siinä säädetään, että yhdenmukaisuusmekanismin soveltaminen on kyseisten toimenpiteiden oikeudellisen pätevyyden ja täytäntöönpanon ennakkoedellytys. 3.4.7.3. 3 jakso – Euroopan tietosuojaneuvosto Ehdotuksen 64 artiklalla perustetaan Euroopan tietosuojaneuvosto, jonka muodostavat kunkin jäsenvaltion valvontaviranomaisen päälliköt ja Euroopan tietosuojavaltuutettu. Euroopan tietosuojaneuvosto korvaa direktiivin 95/46/EY 29 artiklalla perustetun tietosuojatyöryhmän. Artiklassa täsmennetään, että komissio ei ole Euroopan tietosuojaneuvoston jäsen, mutta että sillä on oikeus osallistua neuvoston toimintaan ja olla edustettuna siinä. Ehdotuksen 65 artiklassa korostetaan ja täsmennetään Euroopan tietosuojaneuvoston toiminnan riippumattomuutta. Ehdotuksen 66 artiklassa kuvataan Euroopan tietosuojaneuvoston tehtävät direktiivin 95/46/EY 30 artiklan 1 kohdan perusteella. Lisäksi siinä säädetään lisätehtävistä, jotka perustuvat Euroopan tietosuojaneuvoston laajennettuun toiminta-alaan unionissa ja sen ulkopuolella. Jotta hätätilanteisiin voitaisiin reagoida nopeasti, artiklassa säädetään, että komissio voi pyytää tietosuojaneuvostolta lausuntoa tietyssä määräajassa. Ehdotuksen 67 artiklassa vaaditaan Euroopan tietosuojaneuvostoa esittämään vuosittain toimintakertomus. Säännös perustuu direktiivin 95/46/EY 30 artiklan 6 kohtaan. Ehdotuksen 68 artiklassa vahvistetaan Euroopan tietosuojaneuvoston päätöksentekomenettelyt, mukaan lukien velvollisuus hyväksyä työjärjestys, jonka olisi katettava myös operatiiviset järjestelyt. Ehdotuksen 69 artiklassa säädetään Euroopan tietosuojaneuvoston puheenjohtajasta ja varapuheenjohtajista. Ehdotuksen 70 artiklassa määritellään puheenjohtajan tehtävät. Ehdotuksen 71 artiklassa säädetään, että Euroopan tietosuojaneuvoston sihteeristön tehtävistä vastaa Euroopan tietosuojavaltuutettu, ja määritellään nämä tehtävät. Ehdotuksen 72 artiklassa säädetään luottamuksellisuudesta. 3.4.8. VIII LUKU – OIKEUSSUOJAKEINOT, VASTUU JA SEURAAMUKSET Ehdotuksen 73 artiklassa säädetään, että jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle. Säännös perustuu direktiivin 95/46/EY 28 artiklan 4 kohtaan. Artiklassa mainitaan myös ne elimet, järjestöt ja yhdistykset, jotka voivat tehdä valituksen rekisteröidyn puolesta, tai jos kyseessä on henkilötietoja koskeva tietoturvaloukkaus, rekisteröidyn valituksesta riippumatta. Ehdotuksen 74 artiklassa säädetään oikeudesta oikeussuojakeinoihin valvontaviranomaista vastaan. Säännös perustuu direktiivin 95/46/EY 28 artiklan 3 kohdan yleiseen säännökseen. Artiklassa säädetään erityisesti oikeussuojakeinosta, joka velvoittaa valvontaviranomaisen toteuttamaan valituksen perusteella tarvittavat toimenpiteet, ja selkeytetään valvontaviranomaisen kotijäsenvaltion tuomioistuinten toimivaltaa. Lisäksi säädetään, että rekisteröidyn asuinjäsenvaltion valvontaviranomainen voi panna rekisteröidyn puolesta vireille menettelyt sellaisen toisen jäsenvaltion tuomioistuimessa, joka on toimivaltaisen valvontaviranomaisen kotijäsenvaltio. Ehdotuksen 75 artikla koskee oikeussuojakeinoja rekisterinpitäjää tai henkilötietojen käsittelijää vastaan. Säännös perustuu direktiivin 95/46/EY 22 artiklaan. Ehdotetun säännöksen mukaan rekisteröity voi kääntyä joko vastaajan kotijäsenvaltion tai oman asuinjäsenvaltionsa tuomioistuimen puoleen. Jos yhdenmukaisuusmekanismin perusteella on vireillä useampia samaa asiaa koskevia menettelyjä, tuomioistuin voi keskeyttää menettelyt, paitsi jos asian käsittelyllä on kiire. Ehdotuksen 76 artiklassa vahvistetaan tuomioistuinmenettelyjä koskevat yhteiset säännöt, jotka koskevat muun muassa elinten, järjestöjen ja yhdistysten oikeutta edustaa rekisteröityä tuomioistuimissa, valvontaviranomaisten oikeutta panna vireille oikeudellisia menettelyjä sekä toisessa jäsenvaltiossa vireillä olevista rinnakkaisista menettelyistä ilmoittamista tuomioistuimille ja tuomioistuinten mahdollisuutta keskeyttää menettelyt tällaisessa tapauksessa.[38] Jäsenvaltioiden on varmistettava, että oikeussuojakeinot mahdollistavat nopeat toimenpiteet.[39] Ehdotuksen 77 artiklassa säädetään vastuusta ja oikeudesta korvauksen saamiseen. Säännös perustuu direktiivin 95/46/EY 23 artiklaan. Sitä kuitenkin laajennetaan niin, että oikeus korvauksen saamiseen koskee myös henkilötietojen käsittelijöiden aiheuttamia vahinkoja. Lisäksi artiklassa selkeytetään yhteisten rekisterinpitäjien ja yhteisten henkilötietojen käsittelijöiden vastuuta. Ehdotuksen 78 artiklassa velvoitetaan jäsenvaltiot säätämään seuraamuksia koskevat säännöt, määräämään seuraamuksia asetuksen rikkomisesta ja varmistamaan näiden sääntöjen täytäntöönpano. Ehdotuksen 79 artiklassa velvoitetaan kukin valvontaviranomainen langettamaan hallinnollisia seuraamuksia tässä säännöksessä luetelluista teoista määräämällä sakkoja tiettyyn enimmäismäärään asti kuhunkin tapaukseen liittyvät olosuhteet asianmukaisesti huomioon ottaen. 3.4.9. IX LUKU – TIETOJENKÄSITTELYYN LIITTYVIÄ ERITYISTILANTEITA KOSKEVAT SÄÄNNÖKSET Ehdotuksen 80 artiklassa velvoitetaan jäsenvaltiot hyväksymään vapautuksia ja poikkeuksia asetuksen erityissäännöksistä, silloin kun nämä ovat tarpeen henkilötietojen suojaa koskevan oikeuden ja sananvapautta koskevan oikeuden yhteensovittamiseksi. Säännös perustuu direktiivin 95/46/EY 9 artiklaan, sellaisena kuin Euroopan yhteisöjen tuomioistuin on sitä tulkinnut.[40] Ehdotuksen 81 artiklassa velvoitetaan jäsenvaltiot vahvistamaan erityisiä tietoryhmiä koskevien edellytysten nojalla erityiset takeet terveystietojen käsittelyä varten. Ehdotuksen 82 artiklassa valtuutetaan jäsenvaltiot antamaan erityislakeja työntekijän henkilötietojen käsittelyä varten. Ehdotuksen 83 artiklassa säädetään erityisistä edellytyksistä, jotka koskevat henkilötietojen käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten. Ehdotuksen 84 artiklassa valtuutetaan jäsenvaltiot hyväksymään erityisiä sääntöjä, jotka koskevat valvontaviranomaisten oikeutta tutustua tietoihin ja pääsyä tiloihin tilanteissa, joissa rekisterinpitäjiä koskee salassapitovelvollisuus. Ehdotuksen 85 artiklassa säädetään, että SEUT-sopimuksen 17 artiklan nojalla kirkkojen voimassa olevia kattavia tietosuojasääntöjä voidaan edelleen soveltaa, kunhan säännöt yhdenmukaistetaan tämän asetuksen kanssa. 3.4.10. X LUKU – DELEGOIDUT SÄÄDÖKSET JA TÄYTÄNTÖÖNPANOSÄÄDÖKSET Ehdotuksen 86 artikla sisältää siirretyn säädösvallan käyttöä koskevat vakiosäännökset SEUT-sopimuksen 290 artiklan mukaisesti. Tuon artiklan nojalla lainsäätäjä voi siirtää komissiolle vallan antaa muita kuin lainsäätämisjärjestyksessä hyväksyttäviä, soveltamisalaltaan yleisiä säädöksiä, joilla täydennetään tai muutetaan lainsäätämisjärjestyksessä hyväksytyn säädöksen tiettyjä, muita kuin sen keskeisiä osia. Ehdotuksen 87 artiklassa säädetään komiteamenettelystä, jolla komissiolle siirretään täytäntöönpanovaltaa sellaisia tapauksia varten, joissa unionin oikeudellisesti velvoittavat säädökset edellyttävät SEUT-sopimuksen 291 artiklan mukaisesti yhdenmukaista täytäntöönpanoa. Sovelletaan tarkastelumenettelyä. 3.4.11. XI LUKU – LOPPUSÄÄNNÖKSET Ehdotuksen 88 artiklassa kumotaan direktiivi 95/46/EY. Ehdotuksen 89 artiklassa täsmennetään ehdotetun asetuksen suhde sähköisen viestinnän tietosuojadirektiiviin 2002/58/EY ja muutetaan kyseistä direktiiviä. Ehdotuksen 90 artiklassa velvoitetaan komissio arvioimaan asetusta ja laatimaan sitä koskevia kertomuksia. Ehdotuksen 91 artiklassa säädetään asetuksen voimaantulopäivä ja sen soveltamista koskeva siirtymäaika. 4. TALOUSARVIOVAIKUTUKSET Ehdotuksen talousarviovaikutukset liittyvät Euroopan tietosuojavaltuutetulle osoitettuihin tehtäviin, jotka täsmennetään ehdotuksen liitteenä olevassa rahoitusselvityksessä. Nämä vaikutukset edellyttävät rahoitusnäkymien otsakkeen 5 rahoitussuunnitelman muuttamista. Ehdotus ei vaikuta toimintamenoihin. Tämän asetusehdotuksen liitteenä oleva rahoitusselvitys kattaa sekä tämän asetuksen että poliisiyhteistyötä ja rikosasioissa tehtävää oikeudellista yhteistyötä koskevan tietosuojadirektiivin talousarviovaikutukset. 2012/0011 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan 2 kohdan ja 114 artiklan 1 kohdan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon[41], ovat kuulleet Euroopan tietosuojavaltuutettua[42], noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. (2) Henkilötietojen käsittelyn on tarkoitus palvella ihmistä, minkä vuoksi niissä periaatteissa ja säännöissä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä, olisi henkilöiden kansalaisuudesta ja asuinpaikasta riippumatta otettava huomioon heidän perusoikeutensa ja ‑vapautensa ja erityisesti oikeus henkilötietojen suojaan. Henkilötietojen käsittelyn olisi tuettava vapauden, turvallisuuden ja oikeuden alueen ja talousunionin kehittämistä, taloudellista ja sosiaalista edistystä, talouksien lujittamista ja lähentämistä sisämarkkinoilla sekä yksilöiden hyvinvointia. (3) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY[43] tarkoituksena on yhdenmukaistaa luonnollisten henkilöiden henkilötietojen käsittelyä koskevien perusoikeuksien ja ‑vapauksien suojelua ja taata henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä. (4) Sisämarkkinoiden toiminnasta aiheutuva taloudellinen ja sosiaalinen yhdentyminen on huomattavasti lisännyt kansainvälisiä tiedonsiirtoja. Tietojenvaihto unionin taloudellisten, sosiaalisten, julkisten ja yksityisten toimijoiden kesken on lisääntynyt. Unionin lainsäädännössä jäsenvaltioiden viranomaisia kehotetaan toimimaan yhteistyössä ja vaihtamaan keskenään henkilötietoja, jotta ne voisivat täyttää velvollisuutensa tai suorittaa tehtäviä jonkin toisen jäsenvaltion viranomaisten puolesta. (5) Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen käsittelyyn uusia haasteita. Tietoja jaetaan ja kerätään nyt valtavan paljon suuremmassa mittakaavassa. Teknologian kehityksen ansiosta sekä yksityiset yritykset että viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti. Myös yksityiset ihmiset saattavat yhä useammin henkilötietojaan julkisuuteen maailmanlaajuisesti. Teknologia on mullistanut sekä talouden että sosiaalisen elämän, ja sen vuoksi on edelleen helpotettava vapaata tiedonkulkua unionissa ja tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille samalla kun varmistetaan henkilötietojen korkeatasoinen suoja. (6) Tämän kehityksen vuoksi unionissa on laadittava vahvempi ja johdonmukaisempi tietosuojakehys, jota tuetaan tehokkaalla täytäntöönpanolla, sillä on tärkeää rakentaa luottamusta, jonka pohjalta digitaalitalous voi kehittyä koko sisämarkkinoiden alueella. Yksilöiden olisi voitava valvoa omia tietojaan, ja oikeusvarmuutta ja luottamusta käytännön toiminnan sujuvuuteen olisi vahvistettava sekä yksilöiden että talouden toimijoiden ja viranomaisten kannalta. (7) Direktiivin 95/46/EY tavoitteet ja periaatteet ovat edelleen pätevät, mutta sen avulla ei ole pystytty estämään henkilötietojen suojan täytäntöönpanon hajanaisuutta eri puolilla unionia eikä myöskään oikeudellista epävarmuutta tai sitä laajalle levinnyttä näkemystä, jonka mukaan erityisesti verkkoympäristössä toimimiseen liittyy yksilöiden suojelun kannalta huomattavia riskejä. Yksilön oikeuksiin ja vapauksiin ja erityisesti yksityisyyden suojaa henkilötietojen käsittelyssä koskevaan oikeuteen liittyvät eroavuudet jäsenvaltioiden välillä voivat estää henkilötietojen vapaan liikkuvuuden unionin alueella. Nämä eroavuudet voivat muodostua esteeksi taloudelliselle toiminnalle unionin tasolla, vääristää kilpailua ja estää viranomaisia suorittamasta unionin oikeuden mukaisia velvollisuuksiaan. Nämä suojelun tasossa ilmenevät eroavuudet johtuvat direktiivin 95/46/EY täytäntöönpanossa ja soveltamisessa esiintyvistä eroista. (8) Jotta voitaisiin varmistaa yksilöiden yhdenmukainen ja korkeatasoinen suoja ja poistaa henkilötietojen liikkuvuuden esteet, yksilön oikeuksilla ja vapauksilla olisi oltava näiden tietojen käsittelyssä samantasoinen suoja kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. (9) Jotta henkilötietoja voidaan suojata tehokkaasti kaikkialla unionissa, on vahvistettava ja täsmennettävä rekisteröidyn oikeuksia ja henkilötietoja käsittelevien ja niiden käsittelystä päättävien velvollisuuksia. Samalla on varmistettava samantasoiset valtuudet seurata ja varmistaa henkilötietojen suojelua koskevien sääntöjen noudattaminen ja sääntöjen rikkomiseen syyllistyneille samantasoiset seuraamukset jäsenvaltioissa. (10) Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 2 kohdan mukaan Euroopan parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta. (11) Jotta voitaisiin varmistaa yksilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat tietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, joka takaa oikeusvarmuuden ja läpinäkyvyyden talouden toimijoiden, kuten mikroyritysten sekä pienten ja keskisuurten yritysten kannalta, antaa yksilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet ja rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut sekä varmistaa henkilötietojen käsittelyn yhdenmukaisen valvonnan ja samantasoiset seuraamukset kaikissa jäsenvaltioissa ja eri jäsenvaltioiden valvontaviranomaisten tehokkaan yhteistyön. Tässä asetuksessa säädetään eräistä poikkeuksista, jotta voitaisiin ottaa huomioon mikroyritysten sekä pienten ja keskisuurten yritysten erityistilanne. Lisäksi unionin toimielimiä ja elimiä sekä jäsenvaltioita ja niiden valvontaviranomaisia kehotetaan ottamaan tämän asetuksen soveltamisessa huomioon mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet. Mikroyritysten sekä pienten ja keskisuurten yritysten määritelmän olisi perustuttava mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä 6 päivänä toukokuuta 2003 annettuun komission suositukseen 2003/361/EY. (12) Tämän asetuksen tarjoaman suojan olisi koskettava kaikkia luonnollisia henkilöitä heidän kansalaisuudestaan ja asuinpaikastaan riippumatta, silloin kun on kyse henkilötietojen käsittelystä. Oikeushenkilöiden ja erityisesti oikeushenkilön muodossa perustettujen yritysten ei pitäisi vedota tähän asetukseen perustuvaan suojeluun silloin kun tietojenkäsittely koskee näiden oikeushenkilöiden tietoja, kuten oikeushenkilön nimeä, oikeudellista muotoa ja yhteystietoja. Samaa olisi sovellettava myös silloin kun oikeushenkilön nimi sisältää yhden tai useamman luonnollisen henkilön nimen. (13) Yksilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta, koska tällainen riippuvaisuus aiheuttaisi vakavan väärinkäytösten riskin. Yksilöiden suojelun olisi koskettava myös henkilötietojen automatisoitua käsittelyä sekä sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tämän asetuksen soveltamisalaan ei ole tarkoitus sisällyttää sellaisia asiakirjoja tai asiakirjakokonaisuuksia kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti. (14) Tämä asetus ei koske sellaisia perusoikeuksien ja -vapauksien suojeluun tai tietojen vapaaseen liikkuvuuteen liittyviä kysymyksiä, jotka eivät kuulu unionin oikeuden soveltamisalaan, eikä se kata unionin toimielinten, elinten ja laitosten suorittamaa henkilötietojen käsittelyä, johon sovelletaan asetusta (EY) N:o 45/2001[44], eikä henkilötietojen käsittelyä jäsenvaltioissa niiden toteuttaessa unionin yhteiseen ulko- ja turvallisuuspolitiikkaan liittyvää toimintaa. (15) Tätä asetusta ei pitäisi soveltaa luonnollisen henkilön suorittamaan, yksinomaan henkilökohtaisen tai kotitaloutta koskevaan henkilötietojen käsittelyyn, kuten kirjeenvaihtoon tai osoitteiston pitämiseen, johon ei liity mitään ansaitsemistarkoitusta ja joka ei ole sidoksissa mihinkään ammatilliseen tai kaupalliseen toimintaan. Tämä vapautus ei koske sellaisia rekisterinpitäjiä tai henkilötietojen käsittelijöitä, jotka tarjoavat keinot tällaiseen henkilökohtaiseen tai kotitaloutta koskevaan henkilötietojen käsittelyyn. (16) Yksilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta on annettu erillinen säädös unionin tasolla. Sen vuoksi tätä asetusta ei pitäisi soveltaa näitä tarkoituksia varten tehtävään henkilötietojen käsittelyyn. Kun viranomaiset käsittelevät tämän asetuksen soveltamisalaan kuuluvia henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, olisi sen sijaan sovellettava unionin tasolla annettua erityissäädöstä (direktiivi XX/YYY). (17) Tämä asetus ei saisi vaikuttaa direktiivin 2000/31/EY soveltamiseen eikä etenkään tuon direktiivin 12–15 artiklassa säädettyihin välittäjinä toimivien palveluntarjoajien vastuuta koskeviin sääntöihin. (18) Tämän asetuksen säännöksiä sovellettaessa voidaan ottaa huomioon virallisten asiakirjojen julkisuusperiaate. (19) Tätä asetusta olisi noudatettava kaikessa sellaisessa henkilötietojen käsittelyssä, jota suoritetaan unioniin sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän toiminnan yhteydessä, riippumatta siitä, tapahtuuko itse käsittely unionin alueella vai ei. Sijoittautuminen edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa. Sijoittautumisen oikeudellisella muodolla eli sillä, onko kyseessä sivuliike vai tytäryhtiö, jolla on oikeushenkilöys, ei ole tässä suhteessa ratkaisevaa merkitystä. (20) Jotta yksilöt eivät jäisi ilman heille tämän asetuksen mukaisesti kuuluvaa tietosuojaa, tätä asetusta olisi sovellettava kaikkien unionin alueella asuvien rekisteröityjen henkilötietojen käsittelyssä, jos sitä suorittava rekisterinpitäjä ei ole sijoittautunut unioniin ja jos käsittelytoimet liittyvät tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai näiden rekisteröityjen käyttäytymisen seurantaan. (21) Sen määrittämiseksi, voidaanko käsittelytoiminnan katsoa koskevan rekisteröityjen ’käyttäytymisen seurantaa’, olisi varmistettava, onko yksilöitä seurattu internetissä sellaisten käsittelytekniikoiden avulla, jotka käsittävät ’profiilin’ soveltamisen tiettyyn yksilöön erityisesti häntä koskevien päätösten tekemistä varten tai hänen henkilökohtaisten mieltymystensä, käyttäytymisensä ja asenteidensa analysointia tai ennakoimista varten. (22) Jos kansainvälisen julkisoikeuden nojalla on sovellettava jäsenvaltion kansallista lakia, tätä asetusta olisi sovellettava myös sellaiseen rekisterinpitäjään, joka ei ole sijoittautunut unioniin, vaan esimerkiksi jäsenvaltion diplomaatti- tai konsuliedustustoon. (23) Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Sen määrittämiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi. Tietosuojaperiaatteita ei pitäisi soveltaa tietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista. (24) Verkkopalvelujen käyttäjät voidaan yhdistää heidän käyttämiensä laitteiden, sovellusten, työkalujen ja protokollien internet-tunnisteisiin, kuten IP-osoitteisiin tai evästeisiin. Näin käyttäjästä voi jäädä jälkiä, joita voidaan käyttää yhdessä ainutlaatuisten tunnisteiden ja muiden palvelimille toimitettujen tietojen avulla käyttäjien profilointiin ja tunnistamiseen. Tästä seuraa, että tunnistenumeroita, sijaintitietoja, internet-tunnisteita tai muita erityistekijöitä ei sinänsä tarvitse pitää henkilötietoina kaikissa tilanteissa. (25) Suostumus olisi annettava nimenomaisesti käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn, täsmällisen ja tietoon perustuvan ilmoituksen rekisteröidyn toiveista siten, että asianomainen esittää suostumusta ilmaisevan lausuman tai toteuttaa suostumusta ilmaisevan toimen, joka osoittaa, että asianomainen tietää antavansa suostumuksensa henkilötietojensa käsittelyyn, esimerkiksi rastittamalla ruudun vieraillessaan internet-sivustolla tai esittämällä minkä tahansa muun lausuman tai käyttäytymällä tavalla, joka selkeästi osoittaa tässä yhteydessä, että rekisteröity hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei pitäisi voida antaa vaikenemalla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. (26) Terveyttä koskevia henkilötietoja ovat erityisesti kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa, tiedot yksilön rekisteröimisestä terveyspalvelujen saamista varten, tiedot yksilöä koskevista terveydenhuollon maksuista tai yksilön oikeudesta terveydenhuoltoon, yksilölle annettu numero, symboli tai erityistuntomerkki ainoastaan yksilön tunnistamiseksi terveydenhuollon piirissä, yksilöstä terveydenhuollon palvelujen antamisen aikana kerätyt tiedot, kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, myös biologiset näytteet, tieto siitä, kuka on hoitanut yksilölle, sekä kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn senhetkisestä fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, mistä lähteestä tiedot on saatu (lääkäriltä tai muulta terveydenhuoltoalan ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta vai diagnostisesta in vitro ‑testistä). (27) Se, sijaitseeko rekisterinpitäjän päätoimipaikka unionissa, olisi määritettävä objektiivisten kriteerien perusteella, joissa otetaan huomioon ne todelliset hallintotoimet, joiden yhteydessä tehdään kiinteässä toimipaikassa toteutettavan käsittelyn tarkoituksia, edellytyksiä ja keinoja koskevat tärkeimmät päätökset. Näihin kriteereihin ei saisi vaikuttaa se, toteutetaanko varsinainen henkilötietojen käsittely tuossa paikassa, sillä henkilötietojen käsittelyä tai käsittelytoimia varten käytettävien teknisten välineiden ja teknologioiden olemassaolo ja käyttö eivät sinänsä osoita tällaista päätoimipaikkaa eivätkä ne sen vuoksi ole ratkaiseva kriteeri päätoimipaikan määrittämisessä. Rekisterinpitäjän päätoimipaikan olisi oltava sen keskushallinnon sijaintipaikka unionissa. (28) Yritysryhmän olisi katettava sekä määräysvaltaa käyttävä yritys että sen määräysvallassa olevat yritykset niin, että määräysvaltaa käyttävä yritys on se, jolla on määräysvalta toiseen yritykseen nähden esimerkiksi omistuksen, rahoitukseen osallistumisen tai yrityksen sääntöjen perusteella, tai jolla on toimivalta panna täytäntöön henkilötietojen suojaa koskevat säännöt. (29) On pyrittävä suojaamaan erityisesti lasten henkilötietoja, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, takeista tai omista oikeuksistaan. Sen määrittämiseksi, milloin yksilö on lapsi, tähän asetukseen olisi sisällytettävä lapsen oikeuksia koskevassa YK:n yleissopimuksessa vahvistettu määritelmä. (30) Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti ja asianomaisia henkilöitä kohtaan oikeudenmukaisella ja läpinäkyvällä tavalla. Varsinkin tietojenkäsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava tietojen keräämisen yhteydessä selvästi ja lainmukaisesti. Henkilötietojen olisi oltava asianmukaisia ja olennaisia ja niiden määrä olisi rajoitettava mahdollisimman vähään suhteessa niihin tarkoituksiin, joita varten niitä käsitellään; sen vuoksi olisi erityisesti varmistettava, että tietoja ei kerätä liikaa ja että niiden säilytysaika on rajoitettu mahdollisimman lyhyeksi. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida toteuttaa muilla keinoin. Kaikki kohtuulliset toimenpiteet olisi toteutettava sen varmistamiseksi, että virheelliset henkilötiedot oikaistaan tai poistetaan. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten, jotta voidaan varmistaa, ettei tietoja säilytetä pidempään kuin on tarpeen. (31) Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava asianomaisen henkilön suostumukseen tai muuhun oikeutettuun perusteeseen, josta säädetään lainsäädännössä, joko tässä asetuksessa tai tässä asetuksessa tarkoitetussa muussa unionin tai jäsenvaltion lainsäädännössä. (32) Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjällä olisi oltava vastuu sen osoittamisesta, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi annettava takeet sen varmistamiseksi, että rekisteröity on tietoinen siitä, että hän on antanut suostumuksensa ja että hän tietää, mitä se koskee. (33) Sen varmistamiseksi, että suostumus annetaan vapaasti, olisi täsmennettävä, että suostumus ei ole pätevä peruste tietojenkäsittelylle, jos yksilöllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. (34) Suostumuksen ei pitäisi muodostaa pätevää oikeudellista perustetta henkilötietojen käsittelylle, jos rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Näin on erityisesti siinä tapauksessa, että rekisteröity on riippuvuussuhteessa rekisterinpitäjään, esimerkiksi kun työnantaja käsittelee työntekijöiden henkilötietoja työsuhteen yhteydessä. Jos rekisterinpitäjä on viranomainen, epäsuhta liittyisi vain erityisiin tietojenkäsittelytoimiin, joiden yhteydessä viranomainen voi määrätä velvoitteen asiaa koskevien julkisten toimivaltuuksiensa nojalla eikä suostumusta voida katsoa annetun vapaaehtoisesti, kun otetaan huomioon rekisteröidyn edut. (35) Käsittelyä olisi pidettävä lainmukaisena, kun se on tarpeen sopimuksen yhteydessä tai suunnitellun sopimuksen tekemistä varten. (36) Kun käsittely tapahtuu rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamiseksi tai kun käsittely on tarpeen yleistä etua koskevan tai julkisen vallan käyttöön liittyvän tehtävän suorittamiseksi, käsittelyllä olisi oltava oikeusperusta unionin lainsäädännössä tai sellaisessa jäsenvaltion lainsäädännössä, joka täyttää oikeuksien ja vapauksien rajoittamiselle Euroopan unionin perusoikeuskirjassa asetetut vaatimukset. Unionin oikeudessa tai kansallisessa lainsäädännössä määritetään, olisiko yleistä etua tai julkisen vallan käyttöä koskevan tehtävän suorittamisesta vastuussa olevan rekisterinpitäjän oltava julkinen viranomainen tai muu julkis- tai yksityisoikeudellinen luonnollinen tai oikeushenkilö, esimerkiksi ammatillinen yhteenliittymä. (37) Henkilötietojen käsittelyä olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn hengen kannalta olennaisten etujen suojelemiseksi. (38) Rekisterinpitäjän oikeutetut edut voivat muodostaa käsittelyn oikeusperustan edellyttäen, että rekisteröidyn etuja tai perusoikeuksia ja -vapauksia ei syrjäytetä. Tätä on arvioitava huolellisesti etenkin jos rekisteröity on lapsi, koska lapset tarvitsevat erityistä suojelua. Rekisteröidyllä olisi oltava oikeus vastustaa tietojensa käsittelyä tilanteeseensa liittyvien syiden vuoksi ja maksutta. Läpinäkyvyyden varmistamiseksi rekisterinpitäjällä olisi oltava velvollisuus ilmoittaa rekisteröidylle nimenomaisesti näistä oikeutetuista eduista ja rekisteröidyn oikeudesta vastustaa tietojenkäsittelyä, ja rekisterinpitäjällä olisi myös oltava velvollisuus esittää näitä oikeutettuja etuja koskevat asiakirjat. Koska on lainsäätäjän tehtävä vahvistaa lailla oikeusperusta, jonka nojalla viranomaiset voivat käsitellä tietoja, tätä oikeusperustaa ei pitäisi soveltaa tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä. (39) On rekisterinpitäjän oikeutetun edun mukaista rajoittaa tietojenkäsittely siihen, mikä on ehdottoman välttämätöntä, jotta viranomaiset, tietotekniikan kriisiryhmät (Computer Emergency Response Teams, CERT), CSIRT-toimijat (tietoturvaloukkauksiin reagoiva ja niitä tutkiva yksikkö), sähköisten viestintäverkkojen ja -palvelujen tarjoajat sekä turvallisuusteknologian ja ‑palvelujen tarjoajat voivat varmistaa verkko- ja tietoturvallisuuden eli verkon tai tietojärjestelmän kyvyn suojautua tietyllä varmuudella onnettomuuksilta tai laittomilta taikka ilkivaltaisilta toimilta, jotka vaarantavat tallennettujen tai siirrettävien tietojen ja niihin liittyvien, verkoissa ja tietojärjestelmissä tarjottujen tai välitettävien palvelujen saatavuuden, aitouden, eheyden ja luottamuksellisuuden. Tähän voisi kuulua esimerkiksi luvattoman sähköisiin viestintäverkkoihin pääsyn ja vahingollisen koodin jakamisen ehkäiseminen sekä palvelunestohyökkäysten ja tietokoneille ja sähköisille viestintäjärjestelmille koituvien vahinkojen estäminen. (40) Henkilötietojen käsittely muita tarkoituksia varten olisi sallittava vain jos käsittely on niiden tarkoitusten mukaista, joita varten tiedot on alun perin kerätty, erityisesti silloin kun käsittely on tarpeen historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten. Jos muu tarkoitus on ristiriidassa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, rekisterinpitäjän olisi saatava rekisteröidyn suostumus tätä muuta tarkoitusta varten tai käsittelyn olisi perustuttava muuhun lainmukaista käsittelyä koskevaan oikeutettuun perusteeseen, erityisesti jos sellaisesta säädetään unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion laissa. Kaikissa tapauksissa olisi varmistettava, että sovelletaan tässä asetuksessa vahvistettuja periaatteita ja erityisesti periaatetta, jonka mukaan rekisteröidylle on ilmoitettava näistä muista tarkoituksista. (41) Henkilötietoja, jotka ovat perusoikeuksien tai yksityisyyden kannalta erityisen arkaluonteisia ja haavoittuvia, on suojeltava erityisen tarkasti. Tällaisia tietoja ei pitäisi käsitellä ilman rekisteröidyn nimenomaista suostumusta. Olisi kuitenkin nimenomaisesti säädettävä tätä kieltoa koskevista poikkeuksista erityisten tarpeiden vaatiessa etenkin, jos kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen. (42) Arkaluonteisten tietoryhmien käsittelykiellosta olisi voitava poiketa myös siinä tapauksessa, että poikkeaminen perustuu lakiin ja tapahtuu asianmukaisten takeiden vallitessa, jotta voidaan suojata henkilötietoja ja muita perusoikeuksia, kun se on perusteltua yleistä etua koskevien syiden ja erityisesti terveyteen liittyvien syiden vuoksi, esimerkiksi kansanterveyden ja sosiaalisen suojelun alalla ja terveydenhuoltopalvelujen hallintoa varten, erityisesti laadun ja kustannustehokkuuden takaamiseksi sairausvakuutustoiminnassa etuuksia ja palveluja koskevien vaatimusten käsittelymenettelyssä tai historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten. (43) Myös viranomaisten suorittama henkilötietojen käsittely valtiosääntöoikeudessa ja kansainvälisessä julkisoikeudessa säädettyjen virallisesti tunnustettujen uskonnollisten yhdistysten päämäärien toteuttamiseksi toteutetaan yleisen edun perusteella. (44) Jos demokraattisen järjestelmän vaaleihin liittyvä toiminta tietyissä jäsenvaltioissa edellyttää, että poliittiset puolueet keräävät tietoja henkilöiden poliittisista mielipiteistä, kyseisten tietojen käsittely voidaan sallia yleisen edun vuoksi sillä edellytyksellä, että otetaan käyttöön asianmukaiset takeet. (45) Jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsiteltävien tietojen perusteella, rekisterinpitäjää ei pitäisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä olisi tarpeen vain jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Kun rekisteröity on esittänyt tiedonsaantipyynnön, rekisterinpitäjällä olisi oltava oikeus pyytää rekisteröidyltä lisätietoja, joiden avulla rekisterinpitäjä voi löytää tämän pyytämät henkilötiedot. (46) Läpinäkyvyysperiaatteen mukaisesti yleisölle tai rekisteröidylle tarkoitettujen tietojen olisi oltava helposti saatavilla ja ymmärrettäviä, ja ne olisi ilmaistava selkeällä ja yksinkertaisella kielellä. Tämä on erityisen tärkeää esimerkiksi verkkomainonnassa, missä rekisteröidyn on toimijoiden suuren määrän ja käytänteiden teknisen monimutkaisuuden vuoksi vaikea tietää ja ymmärtää, kerätäänkö hänen henkilötietojaan tai ketkä niitä keräävät ja mitä tarkoitusta varten. Koska lapset tarvitsevat erityistä suojelua, kaikki erityisesti lapsiin kohdistuvaa tietojenkäsittelyä koskeva tiedotus ja viestintä on ilmaistava niin selkeällä ja yksinkertaisella kielellä, että lapsi voi helposti ymmärtää ne. (47) Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, esimerkiksi siitä, miten voi pyytää maksutta pääsyä tietoihin tai tietojen oikaisemista ja poistamista sekä käyttää oikeutta vastustaa tietojenkäsittelyä. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin tietyssä määräajassa ja perustelemaan kieltäytymisensä siinä tapauksessa, että rekisteröidyn pyyntöä ei noudateta. (48) Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle olisi ilmoitettava erityisesti henkilötietojen käsittelystä ja sen tarkoituksista, tietojen säilytysajasta, tiedonsaantioikeudesta, oikeudesta oikaista ja poistaa tiedot sekä valitusoikeudesta. Jos tietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa tiedot, sekä kieltäytymisen seurauksista. (49) Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keräämisen yhteydessä tai, jos tietoja ei ole saatu suoraan rekisteröidyltä, kohtuullisen ajan kuluessa tietojen keräämisestä, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos tietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun tietoja luovutetaan ensimmäisen kerran. (50) Tätä ei kuitenkaan tarvitse vaatia silloin kun rekisteröidyllä jo on tämä tieto tai kun lainsäädännössä nimenomaisesti säädetään tietojen tallentamisesta tai luovuttamisesta tai kun tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa. Viimeksi mainittu tilanne liittyy erityisesti tapauksiin, joissa käsittely tapahtuu historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten; tällöin voidaan ottaa huomioon rekisteröityjen määrä, tietojen ikä ja mahdollisesti hyväksytyt korvaavat toimenpiteet. (51) Jokaisella olisi oltava oikeus saada tietoa siitä, mitä tietoja hänestä on kerätty, sekä käyttää tätä oikeutta vaivattomasti voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti tietojenkäsittelyn tarkoituksista, käsittelyajasta, tietojen vastaanottajista, käsiteltävien tietojen logiikasta sekä käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Tämä oikeus ei saisi aiheuttaa vahinkoa muiden oikeuksille ja vapauksille, esimerkiksi liikesuhteiden luottamuksellisuudelle tai henkiselle omaisuudelle eikä etenkään ohjelmistojen tekijänoikeudelle. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. (52) Rekisterinpitäjän olisi käytettävä kaikkia kohtuullisia keinoja tarkistaakseen sellaisen rekisteröidyn henkilöllisyyden, joka haluaa käyttää tiedonsaantioikeuttaan, erityisesti verkkopalvelujen ja internet-tunnisteiden yhteydessä. Rekisterinpitäjän ei pitäisi säilyttää henkilötietoja ainoastaan mahdollisiin pyyntöihin vastaamista varten. (53) Jokaisella olisi oltava oikeus saada itseään koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi”, jos tietojen säilyttäminen ei ole tämän asetuksen säännösten mukaista. Rekisteröidyllä olisi erityisesti oltava oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen kun tietoja ei enää tarvita niiden tarkoitusten toteuttamista varten, joita varten ne kerättiin tai jota varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa tai kun hän on vastustanut henkilötietojensa käsittelyä tai kun hänen henkilötietojensa käsittely ei muutoin ole tämän asetuksen säännösten mukaista. Tämä oikeus tulee kyseeseen erityisesti silloin kun rekisteröity on antanut suostumuksensa lapsena, jolloin hän ei ollut täysin tietoinen tietojenkäsittelyyn liittyvistä riskeistä, ja haluaa myöhemmin poistaa tällaiset tiedot erityisesti internetistä. Tietojen säilyttäminen edelleen voitaisiin kuitenkin sallia, jos se on tarpeen historiantutkimukseen taikka tilastolliseen tai tieteelliseen tutkimukseen liittyvistä syistä, kansanterveyteen liittyvän yleisen edun vuoksi, sananvapautta koskevan oikeuden käyttöä varten, tai kun laki niin vaatii tai kun on olemassa syy rajoittaa tietojen käsittelyä sen sijaan että ne poistettaisiin. (54) Jotta voitaisiin lujittaa ”oikeutta tulla unohdetuksi” verkkoympäristössä, olisi laajennettava oikeutta tietojen poistamiseen niin, että tiedot julkistanut rekisterinpitäjä velvoitettaisiin ilmoittamaan tietoja käsitteleville kolmansille osapuolille rekisteröidyn pyynnöstä poistaa kyseisiin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot. Tämän ilmoituksen varmistamiseksi rekisterinpitäjän olisi toteutettava kaikki kohtuulliset, muun muassa tekniset toimenpiteet, niiden tietojen suhteen, joiden julkistamisesta rekisterinpitäjä on vastuussa. Kun henkilötiedot julkistaa kolmas osapuoli, rekisterinpitäjän olisi katsottava olevan vastuussa julkistamisesta, jos rekisterinpitäjä on valtuuttanut kolmannen osapuolen julkistamaan tiedot. (55) Jotta voitaisiin edelleen lujittaa rekisteröityjen oikeutta valvoa henkilötietojaan ja heidän tiedonsaantioikeuttaan silloin kun henkilötietoja käsitellään sähköisin keinoin, jäsennellyssä ja yleisesti käytetyssä muodossa, rekisteröidyillä olisi oltava oikeus saada jäljennös heitä koskevista tiedoista myös yleisesti käytetyssä sähköisessä muodossa. Rekisteröityjen pitäisi myös voida siirtää antamansa tiedot yhdestä automaattisesta sovelluksesta, esimerkiksi sosiaalisesta verkostosta, toiseen. Tätä olisi sovellettava silloin kun rekisteröity on antanut tiedot automaattiseen käsittelyjärjestelmään oman suostumuksensa tai sopimuksen täytäntöönpanon perusteella. (56) Vaikka henkilötietoja voitaisiin käsitellä lainmukaisesti rekisteröidyn elintärkeiden etujen suojaamiseksi tai yleisen edun, julkisen vallan käytön tai rekisterinpitäjän oikeutetun edun vuoksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa tietojensa käsittelyä. Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän oikeutetut edut voivat syrjäyttää rekisteröidyn edut tai perusoikeudet ja ‑vapaudet. (57) Jos henkilötietoja käsitellään suoramarkkinointia varten, rekisteröidyllä olisi oltava oikeus vastustaa henkilötietojensa käsittelyä tällaista markkinointia varten maksutta ja tavalla, johon tämä voi vedota helposti ja tehokkaasti. (58) Jokaisella luonnollisella henkilöllä olisi oltava oikeus olla joutumatta tietojen automaattisen käsittelyn avulla tapahtuvaan profilointiin perustuvien toimenpiteiden kohteeksi. Tällaiset toimenpiteet olisi kuitenkin sallittava, jos ne on nimenomaisesti hyväksytty laissa tai toteutettu sopimuksen tekemisen tai täytäntöönpanon yhteydessä tai kun rekisteröity on antanut niihin suostumuksensa. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia takeita, joihin kuuluisivat tällaisesta käsittelystä ilmoittaminen rekisteröidylle, oikeus tietojen käsittelyyn ihmisen toimesta ja se, että tällaista toimenpidettä ei saisi kohdistaa lapseen. (59) Rajoituksista, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, tiedonsaantioikeutta, oikeutta oikaista ja poistaa tietoja, oikeutta siirtää tiedot järjestelmästä toiseen, oikeutta vastustaa tietojenkäsittelyä, profilointiin perustuvia toimenpiteitä sekä henkilötietoja koskevasta tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, voidaan säätää unionin tai jäsenvaltion lainsäädännössä siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä yleisen turvallisuuden takaamiseksi, esimerkiksi ihmishenkien suojelemiseksi erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä taikka rikosten tai, säännellyn ammattitoiminnan yhteydessä, ammattietiikan rikkomusten torjumista, tutkimista ja syytteeseenpanoa varten tai muiden unionin tai jäsenvaltion yleistä etua koskevien syiden vuoksi, esimerkiksi unionin tai jäsenvaltion tärkeiden taloudellisten tai rahoitusta koskevien etujen vuoksi tai säänneltyjen ammattien ammattietiikkaa koskevien loukkausten vuoksi tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien suojelemiseksi. Näiden rajoitusten olisi oltava Euroopan unionin perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia. (60) Olisi vahvistettava rekisterinpitäjän kattava vastuu suorittamastaan tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Rekisterinpitäjän olisi erityisesti varmistettava ja kyettävä osoittamaan, että kaikki käsittelytoimet ovat tämän asetuksen mukaisia. (61) Rekisteröidyn oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet sekä käsittelyn suunnittelu- että toteuttamisvaiheessa, asetuksessa säädettyjen vaatimusten noudattamiseksi. Varmistaakseen ja osoittaakseen, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava asianmukaiset toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. (62) Rekisteröidyn oikeuksien ja vapauksien suojelu sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden vastuu esimerkiksi valvontaviranomaisten suorittaman seurannan ja niiden toteuttamien toimenpiteiden yhteydessä edellyttää, että tässä asetuksessa säädetyt vastuualueet jaetaan selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta. (63) Jos unionin alueella asuvien rekisteröityjen henkilötietoja käsittelee rekisterinpitäjä, joka ei ole sijoittautunut unioniin, ja käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai heidän käyttäytymisensä seurantaan, rekisterinpitäjän olisi nimitettävä edustaja, paitsi jos rekisterinpitäjä on sijoittautunut kolmanteen maahan, joka tarjoaa riittävän tietosuojan tason, tai jos rekisterinpitäjä on pieni tai keskisuuri yritys tai viranomainen tai julkishallinnon elin tai jos rekisterinpitäjä tarjoaa tavaroita ja palveluja näille rekisteröidyille vain satunnaisesti. Edustajan olisi toimittava rekisterinpitäjän puolesta, ja edustajaan voivat ottaa yhteyttä kaikki valvontaviranomaiset. (64) Sen määrittämiseksi, tarjoaako rekisterinpitäjä tavaroita ja palveluja unionissa asuville rekisteröidyille vain satunnaisesti, olisi varmistettava, ilmeneekö rekisterinpitäjän yleisestä toiminnasta, että tavaroiden ja palvelujen tarjoaminen näille rekisteröidyille on sen pääasiallisten toimintojen aputoiminto. (65) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi dokumentoitava kaikki käsittelytoimet voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia. Rekisterinpitäjät ja henkilötietojen käsittelijät olisi velvoitettava tekemään yhteistyötä valvontaviranomaisen kanssa ja esittämään sille pyydettäessä käsittelyä koskevat dokumentit, jotta tietojenkäsittelytoimia voidaan seurata niiden pohjalta. (66) Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi. Näiden toimenpiteiden avulla olisi voitava varmistaa asianmukainen turvallisuustaso ottaen huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Vahvistaessaan teknisiä standardeja ja organisatorisia toimenpiteitä tietojenkäsittelyn turvallisuuden varmistamiseksi komission olisi edistettävä teknologianeutraaliutta, yhteentoimivuutta ja innovointia sekä tehtävä tarvittaessa yhteistyötä kolmansien maiden kanssa. (67) Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua kyseessä olevalle henkilölle huomattavia taloudellisia menetyksiä ja sosiaalisia haittoja, kuten väärän henkilöllisyyden käyttöä. Sen vuoksi rekisterinpitäjän olisi ilmoitettava tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä heti, kun se on tullut ilmi, ja mahdollisuuksien mukaan 24 tunnin kuluessa. Jos ilmoitusta ei voida tehdä 24 tunnin kuluessa, ilmoitukseen olisi liitettävä selvitys viivytyksen syistä. Henkilöille, joiden henkilötietoihin tietoturvaloukkaus voi vaikuttaa haitallisesti, olisi ilmoitettava asiasta ilman aiheetonta viivytystä, jotta he voivat toteuttaa tarvittavat varotoimet. Tietoturvaloukkauksen olisi katsottava vaikuttavan haitallisesti rekisteröidyn henkilötietoihin tai yksityisyyteen, jos se voi johtaa esimerkiksi henkilötietovarkauteen tai ‑petokseen tai jos siitä voi aiheutua fyysistä haittaa tai huomattavan vakavaa nöyryytystä tai jos se voi vahingoittaa henkilön mainetta. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen voi lieventää sen mahdollisia haittavaikutuksia. Tietoturvaloukkauksesta olisi ilmoitettava rekisteröidylle niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä valvontaviranomaisen kanssa, noudattaen valvontaviranomaisen tai esimerkiksi lainvalvontaviranomaisten antamia ohjeita. Esimerkiksi, jotta rekisteröidyillä olisi mahdollisuus lieventää välittömien haittojen riskiä, tietoturvaloukkauksesta olisi ilmoitettava heille viipymättä, kun taas tarve toteuttaa asianmukaiset toimenpiteet tietoturvaloukkauksen jatkumisen tai vastaavien tietoturvaloukkausten estämiseksi voivat olla perusteena ilmoituksen lykkäämiselle. (68) Sen määrittämiseksi, onko henkilötietojen tietoturvaloukkauksesta ilmoitettu valvontaviranomaiselle ja rekisteröidylle ilman aiheetonta viivytystä, olisi tarkistettava, onko rekisterinpitäjä on toteuttanut ja soveltanut asianmukaisia teknisiä ja organisatorisia suojatoimenpiteitä selvittääkseen välittömästi, onko tapahtunut henkilötietojen tietoturvaloukkaus, ja ilmoittaakseen asiasta viipymättä valvontaviranomaiselle ja rekisteröidylle, ennen kuin siitä aiheutuu vahinkoa taloudellisille ja henkilökohtaisille eduille, ottaen huomioon erityisesti tietoturvaloukkauksen luonne ja vakavuus sekä siitä rekisteröidylle aiheutuvat seuraukset ja haittavaikutukset. (69) Laadittaessa yksityiskohtaisia sääntöjä henkilötietojen tietoturvaloukkausten ilmoittamisen muodosta ja ilmoittamisessa sovellettavista menettelyistä olisi otettava asianmukaisesti huomioon loukkaukseen liittyvät seikat, kuten se, oliko henkilötiedot suojattu asianmukaisin teknisin suojauskeinoin, mikä vähentää olennaisesti henkilötietopetoksen tai muiden väärinkäytösten todennäköisyyttä. Tällaisissa säännöissä ja menettelyissä olisi myös otettava huomioon lainvalvontaviranomaisten oikeutetut edut tapauksissa, joissa varhainen ilmoittaminen voisi tarpeettomasti haitata tietoturvaloukkauksen tutkimista. (70) Direktiivissä 95/46/EY säädetään yleinen velvollisuus ilmoittaa henkilötietojen käsittelystä valvontaviranomaisille. Tämä velvollisuus aiheuttaa hallinnollista ja taloudellista rasitusta, mutta se ei aina ole edistänyt henkilötietojen suojaa. Siksi tällaisesta yleisestä ilmoitusvelvollisuudesta olisi luovuttava ja korvattava se tehokkailla menettelyillä ja mekanismilla, jotka keskittyvät sen sijaan niihin käsittelytoimiin, joihin niiden luonteen, laajuuden tai tarkoitusten vuoksi todennäköisesti liittyy rekisteröidyn oikeuksien ja vapauksien kannalta erityisiä riskejä. Tällaisissa tapauksissa rekisterinpitäjän tai henkilötietojen käsittelijän olisi tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi, jossa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä niitä takeita ja mekanismeja, joiden avulla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu. (71) Tätä olisi sovellettava erityisesti vasta perustettuihin suuren mittakaavan rekisteröintijärjestelmiin, joissa on tarkoitus käsitellä huomattavia määriä henkilötietoja alueellisella, kansallisella tai ylikansallisella tasolla, mikä voi vaikuttaa suureen määrään rekisteröityjä. (72) Joissain olosuhteissa voisi olla järkevää ja taloudellista laatia tietosuojaa koskeva vaikutustenarviointi, jossa tarkasteltaisiin asioita laajemmin kuin yhden projektin kannalta, esimerkiksi kun viranomaiset tai julkishallinnon elimet aikovat luoda yhteisen sovelluksen tai käsittelyalustan tai kun useat rekisterinpitäjät aikovat ottaa käyttöön yhteisen sovelluksen tai käsittely-ympäristön kokonaista teollisuudenalaa tai segmenttiä tai jotakin laajalti käytettävää horisontaalista toimintoa varten. (73) Viranomaisten tai julkishallinnon elinten olisi tehtävä tietosuojaa koskeva vaikutustenarviointi, ellei sellaista ole jo tehty, kun hyväksytään kansallista lainsäädäntöä, johon kyseisen viranomaisen tai julkishallinnon elimen tehtävien suorittaminen perustuu ja joka säätelee siihen liittyviä käsittelytoimia tai käsittelytoimien sarjoja. (74) Jos tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelytoimiin tai tietyn uuden teknologian käyttöön liittyy runsaasti erityisiä rekisteröidyn oikeuksiin ja vapauksiin vaikuttavia riskejä, kuten rekisteröidyn jääminen ilman tiettyä oikeutta, ennen käsittelyn aloittamista olisi kuultava valvontaviranomaista tällaisesta riskialttiista käsittelystä, joka saattaa olla vastoin asetuksen säännöksiä, jotta se voi esittää ehdotuksia tilanteen korjaamiseksi. Tällainen kuuleminen olisi suoritettava myös joko kansallisen parlamentin toimenpiteen tai tällaiseen lainsäädäntötoimenpiteeseen perustuvan toimenpiteen valmistelun aikana, kun näissä toimenpiteissä määritetään käsittelyn luonne ja vahvistetaan asianmukaiset takeet. (75) Jos tietojenkäsittely suoritetaan julkisella sektorilla tai yksityisen sektorin suuressa yrityksessä tai sellaisessa yrityksessä, sen koosta riippumatta, jonka keskeisiin toimintoihin liittyy säännöllistä ja järjestelmällistä valvontaa vaativia käsittelytoimia, rekisterinpitäjällä tai henkilötietojen käsittelijällä olisi oltava apunaan henkilö, joka valvoo tämän asetuksen noudattamista tällaisen käsittelyn yhteydessä. Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei. (76) Yhdistyksiä tai muita elimiä, jotka edustavat rekisterinpitäjien ryhmiä, olisi kannustettava laatimaan käytännesääntöjä tässä asetuksessa asetetuissa rajoissa, jotta voitaisiin helpottaa tämän asetuksen soveltamista ottaen huomioon tietyillä aloilla suoritettavan käsittelyn erityispiirteet. (77) Läpinäkyvyyden ja tämän asetuksen noudattamisen tehostamiseksi olisi edistettävä sertifiointimekanismien sekä tietosuojasinettien ja ‑merkkien käyttöönottoa, jotta rekisteröidyt voivat nopeasti arvioida asianomaisten tuotteiden ja palvelujen tietosuojan tason. (78) Henkilötietojen kansainväliset siirrot ovat tarpeen kansainvälisen kaupan ja yhteistyön kehittämiseksi. Tällaisten siirtojen lisääntyminen on synnyttänyt uusia henkilötietojen suojaan liittyviä haasteita ja huolenaiheita. Kun henkilötietoja siirretään unionista kolmansiin maihin tai kansainvälisille järjestöille, ei kuitenkaan pitäisi vaarantaa yksilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän asetukseen. Siirtoja kolmansiin maihin voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta täysimääräisesti noudattaen. (79) Tämä asetus ei vaikuta unionin ja kolmansien maiden välillä tehtyihin kansainvälisiin sopimuksiin, jotka koskevat henkilötietojen siirtoa, rekisteröidyille annettavat asianmukaiset takeet mukaan lukien. (80) Komissio voi päättää koko unionin osalta, että tietyt kolmannet maat tai tietty alue tai tietojenkäsittelyn sektori jossakin kolmannessa maassa tai tietyt kansainväliset järjestöt tarjoavat riittävän tasoisen tietosuojan, jotta voidaan varmistaa oikeusvarmuus ja yhdenmukaisuus kaikkialla unionissa riittävän tietosuojan tarjoavan kolmansien maiden tai kansainvälisten järjestöjen osalta. Tällöin henkilötietoja voidaan siirtää kyseisiin maihin ilman erityistä lupaa. (81) Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi kolmansia maita arvioidessaan otettava huomioon, miten oikeusvaltioperiaate, oikeussuoja sekä kansainväliset ihmisoikeussäännöt ja ‑normit toteutuvat kyseisessä kolmannessa maassa. (82) Komissio voi myös todeta, että jokin kolmas maa tai jokin alue tai tietojenkäsittelyn sektori kolmannessa maassa tai jokin kansainvälinen järjestö ei tarjoa riittävän tasoista tietosuojaa. Tällöin henkilötietojen siirtäminen kyseiseen maahan olisi kiellettävä. Tällaisessa tapauksessa olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. (83) Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan antaa asianmukaiset takeet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset takeet voivat tarkoittaa, että sovelletaan yritystä koskevia sitovia sääntöjä, komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita tai valvontaviranomaisen hyväksymiä sopimuslausekkeita, tai muita soveltuvia ja oikeasuhteisia toimenpiteitä, jotka ovat perusteltuja tiedonsiirtoon tai tiedonsiirtojen sarjaan liittyvien seikkojen perusteella, edellyttäen että valvontaviranomainen hyväksyy ne. (84) Se, että rekisterinpitäjä tai henkilötietojen käsittelijä voi käyttää joko komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää tai henkilötietojen käsittelijää sisällyttämästä tietosuojaa koskevia vakiolausekkeita laajempiin sopimuksiin tai lisäämästä muita lausekkeita, kunhan ne eivät ole suoraan tai epäsuorasti ristiriidassa komission tai valvontaviranomaisen hyväksymien vakiosopimuslausekkeiden kanssa tai vaikuta rekisteröidyn perusoikeuksiin tai -vapauksiin. (85) Yritysryhmän olisi voitava soveltaa sitä koskevia hyväksyttyjä sitovia sääntöjä kansainvälisiin tiedonsiirtoihinsa unionista samaan yritysryhmään kuuluville organisaatioille, kunhan näissä sitovissa säännöissä on olennaiset periaatteet ja täytäntöönpanokelpoiset oikeudet, joiden avulla voidaan varmistaa asianmukaiset takeet tällaisia henkilötietojen siirtoja tai siirtojen sarjoja varten. (86) Olisi säädettävä mahdollisuudesta tehdä tiedonsiirtoja tietyissä tilanteissa, kun rekisteröity on antanut suostumuksensa, kun siirto on tarpeen sopimuksen tai oikeudellisen vaateen nojalla, kun unionin tai jäsenvaltion lainsäädäntöön perustuvat, yleistä etua koskevat tärkeät syyt niin vaativat tai kun siirto suoritetaan lailla perustetusta rekisteristä, joka on tarkoitettu yleisön tai kenen tahansa sellaisen henkilön käyttöön, jolla on siihen oikeutettu etu. Viimeksi mainitussa tapauksessa siirto ei saisi käsittää tietoja kokonaisuudessaan tai rekisterin sisältämää kokonaista tietoryhmää, ja jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joilla on siihen oikeutettu etu, siirto olisi tehtävä ainoastaan näiden henkilöiden pyynnöstä tai jos he ovat henkilötietojen vastaanottajia. (87) Näitä poikkeuksia olisi sovellettava erityisesti tiedonsiirtoihin, jotka ovat tarpeen yleistä etua koskevien tärkeiden syiden vuoksi, esimerkiksi kun on kyse kansainvälisistä tiedonsiirroista kilpailuviranomaisten tai vero- tai tullihallintojen tai rahoitusalan valvontaviranomaisten tai sosiaaliturva-alan toimivaltaisten viranomaisten välillä taikka tiedonsiirroista rikosten torjumisesta, tutkimisesta, selvittämisestä ja syytteeseenpanosta vastaaville toimivaltaisille viranomaisille. (88) Tiedonsiirrot, joita ei voida pitää toistuvina tai laajamittaisina, voitaisiin sallia rekisterinpitäjän tai henkilötietojen käsittelijän oikeutettujen etujen toteuttamiseksi, jos nämä ovat arvioineet kaikki tällaisiin siirtoihin liittyvät olosuhteet. Historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten olisi otettava huomioon tietämyksen lisäämistä koskevat yhteiskunnan oikeutetut odotukset. (89) Aina kun komissio ei ole tehnyt päätöstä kolmannen maan tietosuojan riittävyydestä, rekisterinpitäjän tai henkilötietojen käsittelijän olisi käytettävä ratkaisuja, jotka antavat rekisteröidyille takeet siitä, että he voivat nauttia samoja perusoikeuksia ja takeita, joita heidän tietojensa käsittelyyn sovelletaan unionissa, myös tietojen siirtämisen jälkeen. (90) Jotkut kolmannet maat säätävät lakeja, asetuksia ja muita säädöksiä, joiden tarkoituksena on suoraan säännellä jäsenvaltioiden lainkäyttövallan alaisuuteen kuuluvien luonnollisten ja oikeushenkilöiden tietojenkäsittelytoimia. Tällaisten lakien, asetusten ja muiden säädösten soveltaminen näiden kolmansien maiden alueen ulkopuolella voi olla vastoin kansainvälistä lakia ja estää tähän asetukseen perustuvan yksilöiden suojan toteutumisen unionissa. Tiedonsiirrot olisi sallittava vain jos tässä asetuksessa vahvistetut edellytykset tietojen siirtämiseksi kolmansiin maihin täyttyvät. Näin voi olla esimerkiksi silloin, kun tietojen luovuttaminen on tarpeen unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion laissa tunnustetun yleistä etua koskevan tärkeän syyn vuoksi. Komission olisi täsmennettävä delegoidulla säädöksellä edellytykset, joiden täyttyessä kyseessä on yleistä etua koskeva tärkeä syy. (91) Henkilötietojen siirtäminen valtioiden rajojen yli voi vaikeuttaa yksilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi rajatylittävissä tapauksissa tehtävää yhteistyötä voivat vaikeuttaa myös riittämättömät ennalta ehkäisevät tai korjaavat toimivaltuudet, oikeudellisen toimintaympäristön epäyhtenäisyys ja käytännön esteet, kuten resurssipula. Sen vuoksi on edistettävä tietosuojavalvontaviranomaisten läheisempää keskinäistä yhteistyötä, jotta ne voivat vaihtaa tietoja ja toteuttaa tutkimuksia kansainvälisten kumppaniensa kanssa. (92) Täysin riippumattomien valvontaviranomaisten perustaminen jäsenvaltioihin on keskeinen osa yksilöiden suojelua henkilötietojen käsittelyssä. Jäsenvaltiot voivat perustaa useampia kuin yhden valvontaviranomaisen oman perustuslakinsa, organisaationsa ja hallintorakenteensa mukaisesti. (93) Jos jäsenvaltio perustaa useita valvontaviranomaisia, sen olisi säädettävä laissa menettelyistä, joiden avulla varmistetaan, että nämä valvontaviranomaiset osallistuvat tehokkaasti yhdenmukaisuusmekanismin toimintaan. Tällaisen jäsenvaltion olisi erityisesti nimettävä valvontaviranomainen, joka toimii yhteyspisteenä ja varmistaa näiden viranomaisten tehokkaan osallistumisen mekanismiin sekä takaa nopean ja sujuvan yhteistyön muiden valvontaviranomaisten, Euroopan tietosuojaneuvoston ja komission kanssa. (94) Kullekin valvontaviranomaiselle olisi osoitettava riittävät taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon ja yhteistyöhön muiden valvontaviranomaisten kanssa kaikkialla unionissa. (95) Valvontaviranomaisen jäseniin sovellettavat yleiset edellytykset olisi vahvistettava kunkin jäsenvaltion lainsäädännössä. Erityisesti olisi säädettävä, että joko jäsenvaltion parlamentin tai hallituksen on nimitettävä kyseiset jäsenet. Lisäksi olisi vahvistettava jäsenten henkilökohtaista pätevyyttä ja asemaa koskevat säännöt. (96) Valvontaviranomaisten olisi seurattava tämän asetuksen säännösten soveltamista ja edistettävä sen yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi sisämarkkinoilla. Sitä varten valvontaviranomaisten olisi tehtävä yhteistyötä keskenään ja komission kanssa. (97) Jos unio