Ehdotus: Euroopan parlamentin ja neuvoston asetus yksilöiden suojelusta yhteisön toimielinten ja elinten henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta /* KOM/99/0337 lopull. - COD 99/0153 */



Virallinen lehti nro C 376 E , 28/12/1999 s. 0024 - 0037



Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta yhteisön toimielinten ja elinten henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (komission esittämä) PERUSTELUT Yhteisön toimielimet ja elimet ja erityisesti komissio käsittelevät henkilötietoja rutiininomaisesti toimintansa yhteydessä. Komissio vaihtaa henkilötietoja jäsenvaltioiden kanssa muun muassa yhteisen maatalouspolitiikan ja muiden yhteisön politiikkojen, tullijärjestelmien hallinnoinnin, rakennerahastojen hoitamisen jne. yhteydessä. Jotta tietosuoja olisi saumaton Euroopassa, komissio ilmoitti ehdottaessaan direktiiviä 95/46/EY vuonna 1990, että myös se noudattaisi direktiivin periaatteita. Kun direktiivi 95/46/EY annettiin, komissio ja neuvosto sitoutuivat julkilausumassa noudattamaan direktiiviä ja kehottivat muita yhteisön toimielimiä ja elimiä tekemään samoin. Hallitustenvälisessä perustamissopimusten muuttamista koskeneessa konferenssissa Alankomaiden ja Kreikan hallitukset ottivat esille kysymyksen tietosuojasääntöjen soveltamisesta yhteisön toimielimiin. Näiden neuvottelujen tuloksena Amsterdamissa allekirjoitetulla sopimuksella lisättiin Euroopan yhteisön perustamissopimukseen erityinen määräys tätä tarkoitusta varten. Lopullisen numeroinnin mukaan on kyse 286 artiklasta, jonka teksti on seuraava: 1. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä sovelletaan tällä sopimuksella tai tämän sopimuksen nojalla perustettuihin toimielimiin ja elimiin 1 päivästä tammikuuta 1999. 2. Neuvosto perustaa 251 artiklassa määrättyä menettelyä noudattaen 1 kohdassa tarkoitettuun päivämäärään mennessä näiden yhteisön säädösten soveltamista yhteisön toimielimiin ja elimiin valvovan riippumattoman valvontaelimen sekä antaa tarvittaessa muut aiheelliset säännökset. Sen vuoksi 286 artiklassa määrätään, että 1 päivästä tammikuuta 1999 yhteisön toimielinten ja elinten on sovellettava yhteisön henkilötietosuojasääntöjä, jotka on pääasiassa annettu direktiivissä 95/46/EY, ja että näiden sääntöjen soveltamista valvoo riippumaton valvontaelin. Tämän ehdotuksen asetukseksi tarkoituksena on täyttää nämä kaksi tavoitetta. Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta yhteisön toimielinten ja elinten henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta EUROOPAN PARLAMENTTI ja EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan yhteisön perustamissopimuksen ja erityisesti sen 286 artiklan, ottavat huomioon komission ehdotuksen [1], [1] EYVL C ottavat huomioon talous- ja sosiaalikomitean lausunnon [2], [2] EYVL C noudattavat perustamissopimuksen 251 artiklassa määrättyä menettelyä [3], [3] EYVL C sekä katsovat seuraavaa: a) Perustamissopimuksen 286 artiklassa määrätään, että yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä sovelletaan yhteisön toimielimiin ja elimiin. b) Rekisteröityjen oikeudet ja henkilötietoja käsittelevien velvollisuudet on määriteltävä perusteellisessa henkilötietojen suojajärjestelmässä, mutta siinä on myös määriteltävä asianmukaiset seuraamukset tietosuojaa loukanneille sekä riippumattoman valvontaelimen valvonta. c) Perustamissopimuksen 286 artiklan 2 kohdassa edellytetään, että perustetaan riippumaton valvontaelin, joka valvoo yhteisön säädösten soveltamista yhteisön toimielimiin ja elimiin. d) Perustamissopimuksen 286 artiklan 2 kohdassa edellytetään muiden aiheellisten säännösten antamista tarvittaessa. e) Asetus on tarpeen oikeudellisesti täytäntöönpanokelpoisten oikeuksien antamiseksi yksilöille ja yhteisön toimielimissä ja elimissä toimivien rekisterinpitäjien käsittelyvelvoitteiden selittämiseksi sekä yhteisössä suoritettavan tietojen käsittelyn ulkoisesta valvonnasta vastuussa olevan riippumattoman valvontaelimen perustamiseksi. f) Tietosuojaperiaatteita on sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa henkilöä. Sen ratkaisemiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi todennäköisesti ja kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi. Suojeluperiaatteita ei olisi sovellettava tietoon, jonka tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista. g) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY [4] jäsenvaltioita vaaditaan varmistamaan luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelu, erityisesti heidän oikeutensa yksityisyyteen osalta, henkilötietojen käsittelyssä henkilö-tietojen vapaan liikkuvuuden varmistamiseksi yhteisössä. [4] EYVL L 281, 23.11.1995, s. 31. h) Henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla 15 päivänä joulukuuta 1997 annettu Euroopan parlamentin ja neuvoston direktiivi 97/66/EY [5] täsmentää ja täydentää direktiiviä 95/46/EY henkilötietojen käsittelyn osalta televiestinnän alalla. [5] EYVL L 24, 30.1.1998, s. 1. i) Monilla muilla yhteisön toimenpiteillä, mukaan lukien kansallisten hallinto-viranomaisten ja komission keskinäinen avunanto, pyritään myös täsmentämään ja täydentämään direktiiviä 95/46/EY aloilla, joihin ne liittyvät. j) Yksilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen on varmistettava koko yhteisössä. k) Tavoitteena on sekä yksilöiden perusoikeuksien ja -vapauksien suojelua koskevien sääntöjen tehokkaan noudattamisen että henkilötietojen vapaan liikkuvuuden takaaminen jäsenvaltioiden ja yhteisön toimielinten ja elinten välillä tai yhteisön toimielinten ja elinten välillä niiden toimivaltuuksiin kuuluvien tehtävien täyttämisessä. l) Mainitun tavoitteen saavuttaminen voidaan varmistaa parhaiten antamalla yhteisön toimielimiä ja elimiä sitovat säännökset. Näitä säännöksiä on voitava soveltaa kaikkeen henkilötietojen käsittelyyn, jota yhteisön toimielimet ja elimet suorittavat Euroopan yhteisöjen perustamissopimuksissa ja Euroopan unionista tehdyssä sopimuksessa niille annettujen toimivaltuuksien mukaisesti. m) Näiden toimenpiteiden on oltava samat kuin kansallisten lainsäädäntöjen yhdenmukaistamista tai yhteisöjen muiden politiikkojen täytäntöönpanoa koskevat säännökset erityisesti keskinäisen avunannon alalla. Voi olla kuitenkin tarpeen täsmentää ja täydentää näitä säännöksiä yhteisön toimielinten tai elinten suorittamaa henkilötietojen käsittelyä koskevan suojelun täytäntöönpanon osalta. n) Tämä koskee sekä niiden yksilöiden oikeuksia, joita koskevia tietoja käsitellään, että tietojen käsittelystä vastaavien yhteisön toimielinten ja elinten velvollisuuksia, samoin tämän asetuksen asianmukaisesta soveltamisesta vastuussa olevan riippumattoman valvontaelimen toimivaltuuksia. o) Yhteisön toimielinten ja elinten yleisen edun niissä suorittamien tehtävien edellyttämään henkilötietojen käsittelyyn toimielinten ja elinten hallinnolle ja toiminnalle tarpeellisten henkilötietojen käsittely sisältyy. p) Voi olla tarpeen valvoa yhteisön toimielinten ja elinten alaisuudessa toimivia tietoverkkoja luvattoman käytön torjumiseksi. Euroopan tietosuojavaltuutettu päättää missä määrin ja millaisin edellytyksin tämä on mahdollista. q) Yhteisön tilastoista 17 päivänä helmikuuta 1997 annetun neuvoston asetuksen (EY) N:o 322/97 [6] 21 artiklan mukaan mainittua asetusta sovelletaan rajoittamatta, mitä direktiivissä 95/46/EY säädetään. [6] EYVL L 52, 22.2.1997, s.1. r) Avoimuuden vuoksi on tarpeen julkistaa lisää tietoa tämän asetuksen soveltamisesta, mukaan lukien luettelo yhteisön toimielimistä ja elimistä, joita tämä asetus koskee. s) Direktiivillä 95/46/EY 29 artiklalla perustettu tietosuojaryhmä on antanut lausuntonsa. OVAT ANTANEET TÄMÄN ASETUKSEN: I LUKU YLEISET SÄÄNNÖKSET 1 artikla Asetuksen tavoite 1. Euroopan yhteisöjen perustamissopimuksilla tai niiden nojalla perustettujen toimielinten ja elinten, jäljempänä 'yhteisön toimielimet ja elimet', on tämän asetuksen mukaisesti suojeltava luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti näiden oikeutta yksityisyyteen henkilötietojen käsittelyssä. 2. Tällä asetuksella perustetun riippumattoman valvontaelimen, jäljempänä 'Euroopan tietosuojavaltuutettu', on valvottava tämän asetuksen säännösten soveltamista kaikkiin yhteisön toimielimen ja elimen suorittamiin käsittelytoimiin. 2 artikla Määritelmät Tässä asetuksessa tarkoitetaan: a) 'henkilötiedoilla' kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä ('rekisteröity') koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella; b) 'henkilötietojen käsittelyllä' ('käsittely') kaikkia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko auto-maattisen tietojenkäsittelyn avulla tai muutoin, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,; c) 'henkilötietojen rekisteröintijärjestelmällä' ('rekisteröintijärjestelmä') kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu taikka toiminnallisin tai maantieteellisin perustein jaettu; d) 'rekisterinpitäjällä' yhteisön toimielintä tai elintä, pääosastoa, yksikköä tai muuta organisatorista kokonaisuutta, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos käsittelyn tarkoitukset ja keinot määritellään erityisellä yhteisön säädöksellä, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa yhteisön säädöksellä; e) 'henkilötietojen käsittelijällä' luonnollista henkilöä tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun; f) 'sivullisella' luonnollista henkilöä tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä paitsi rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää ja henkilöitä, joilla on oikeus käsitellä tietoja rekisterinpitäjän tai henkilötietojen välittömän vastuun alaisena; g) 'vastaanottajalla' luonnollista henkilöä tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä, jolle tietoja luovutetaan, oli kyseessä sivullinen tai ei; niitä viranomaisia, jotka mahdollisesti saavat tietoja erityisen tutkimuksen puitteissa, ei kuitenkaan pidetä vastaanottajina; h) 'rekisteröidyn suostumuksella' vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. 3 artikla Soveltamisala 1. Tätä asetusta sovelletaan kaikkien yhteisön toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn. 2. Tätä asetusta sovelletaan kokonaan tai osittain automatisoituun tietojen-käsittelyyn sekä sellaisten henkilötietojen muuhun kuin automaattiseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. II LUKU YLEISET SÄÄNNÖT HENKILÖTIETOJEN KÄSITTELYN LAILLISUUDESTA 1 JAKSO TIETOJEN LAATUA KOSKEVAT PERIAATTEET 4 artikla 1. Henkilötietojen osalta on noudatettava seuraavaa: a) henkilötietoja on käsiteltävä asianmukaisesti ja laillisesti; b) henkilötiedot on kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että rekisterinpitäjä toteuttaa asianmukaiset suojatoimet varmistaakseen erityisesti sen, että tietoja käsitellään ainoastaan kyseisiä tarkoituksia varten; c) henkilötietojen on oltava asianmukaisia, olennaisia eivätkä ne saa olla liian laajoja suhteessa tarkoituksiin, joihin ne on kerätty ja/tai joihin niitä myöhemmin käsitellään; d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, poistetaan tai oikaistaan; e) henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen sellaisiin tarkoituksiin, joihin tiedot kerättiin tai joihin niitä myöhemmin käsitellään. Yhteisön toimielimen tai elimen on määrättävä tarpeelliset suojatoimet henkilötiedoille, joita säilytetään kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten, erityisesti nimettömiksi tekemiseksi. 2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta. 2 JAKSO TIETOJENKÄSITTELYN LAILLISUUTTA KOSKEVAT PERUSTEET 5 artikla Henkilötietojen käsittelyn laillisuus Henkilötietoja voidaan käsitellä ainoastaan: a) jos käsittely on tarpeen yleistä etua koskevan lakiin perustuvan tehtävän suorittamista tai sellaisen julkisen vallan lainmukaista käyttöä varten, joka kuuluu yhteisön toimielimelle tai elimelle taikka sivulliselle, jolle tiedot luovutetaan, tai b) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi, tai c) jos käsittely on tarpeen sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä, tai d) jos rekisteröity on yksiselitteisesti antanut suostumuksensa, taikka e) jos käsittely on tarpeen rekisteröidyn elintärkeiden etujen suojaamiseksi. 6 artikla Lisäkäsittely yhteensopivia tarkoituksia varten 1. Henkilötietoja voidaan käsitellä muuta kuin sitä tarkoitusta varten, johon ne on kerätty, ainoastaan, jos se on nimenomaan sallittu yhteisön toimielimen tai elimen sisäisissä säännöissä. 2. Muihin tarkoituksiin kerättyjä henkilötietoja voidaan käsitellä rahoitusta ja talousarviota koskevien säännösten noudattamisen varmistamiseksi. 3. Henkilötietoja, jotka on kerätty yksinomaan käsittelyjärjestelmien tai toimintojen tuvallisuuden tai valvonnan varmistamiseksi, ei saa käyttää mihinkään muuhun tarkoitukseen lukuun ottamatta 18 artiklan 1 kohdan a alakohdassa tarkoitettuja poikkeuksia. 7 artikla Henkilötietojen siirtäminen yhteisön toimielimissä tai elimissä taikka niiden välillä 1. Henkilötietoja voidaan siirtää yhteisön toimielimissä tai elimissä taikka muille yhteisön toimielimille tai elimille ainoastaan, jos tiedot ovat tarpeellisia vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten. 2. Rekisterinpitäjä ja vastaanottaja ovat vastuussa siirron laillisuudesta. Rekisterinpitäjän on varmistettava ainoastaan vastaanottajan toimivalta ja pyynnön hyväksyttävyys. Rekisterinpitäjän on kuitenkin tarkistettava myös siirron tarpeellisuus, jos sen hyväksyttävyyttä on syytä epäillä. Vastaanottajan on varmistettava, että siirron tarpeellisuus voidaan myöhemmin näyttää toteen. 8 artikla Tietojen siirtäminen jäsenvaltioissa sijaitseville henkilöille ja elimille, jotka eivät ole yhteisön toimielimiä tai elimiä 1. Henkilötietoja voidaan siirtää ainoastaan henkilöille ja elimille, jotka sijaitsevat jäsenvaltioissa, jos vastaanottaja osoittaa, että tietojen siirto on tarpeellinen ja jollei ole syytä olettaa, että rekisteröidyn oikeutetut edut joutuvat vaaraan. 2. Vastaanottaja saa käyttää henkilötietoja ainoastaan siihen tarkoitukseen, jota varten ne on siirretty. 9 artikla Henkilötietojen siirtäminen henkilöille ja elimille, jotka eivät ole yhteisön toimielimiä ja elimiä ja joita direktiivi 95/46/EY ei koske 1. Henkilötietoja voidaan siirtää henkilöille ja elimille, jotka eivät ole yhteisön toimielimiä ja elimiä ja joita kansallinen tietosuojalaki ei direktiivin 95/46/EY 4 artiklan mukaan koske, ainoastaan siinä tapauksessa, että vastaanottajan maassa tai vastaanottavassa kansainvälisessä järjestössä varmistetaan tieto-suojan riittävä taso ja että tiedot siirretään tiukasti osana rekisterinpitäjän toimivaltaan kuuluvia tehtäviä ja että tämän asetuksen 4 artiklan 1 kohdan b alakohdassa mainitut vaatimukset täyttyvät. 2. Kyseisen maan tai kansainvälisen järjestön antaman tietosuojan riittävyys arvioidaan tiedonsiirtotoimenpiteeseen tai tiedonsiirtotoimenpiteiden sarjaan liittyvien olosuhteiden mukaisesti; huomiota on kiinnitettävä erityisesti tietojen luonteeseen, ehdotetun käsittelytoimenpiteen tai toimenpiteiden tarkoitukseen ja kestoon, kohteena olevaan maahan tai kansainväliseen järjestöön, kyseisessä maassa tai kansainvälisessä järjestössä voimassaoleviin sekä yleisiin että alakohtaisiin oikeussääntöihin ja ammatillisiin sääntöihin ja suojatoimiin, joita mainitussa maassa tai kansainvälisessä järjestössä noudatetaan. 3. Yhteisön toimielimet ja elimet ilmoittavat komissiolle ja Euroopan tietosuoja-valtuutetulle tapauksista, joiden osalta ne katsovat, ettei kyseinen maa tai kansainvälinen järjestö varmista 2 kohdassa tarkoitettua riittävää suojan tasoa. 4. Jos komissio, jota avustaa direktiivin 95/46/EY 31 artiklan 1 kohdalla perustettu komitea, toteaa, että maa tai kansainvälinen järjestö varmistaa tai ettei se varmista tämän artiklan 2 kohdassa tarkoitettua riittävää suojan tasoa, yhteisön toimielimet tai elimet totetuttavat tarpeelliset toimenpiteet komission päätöksen noudattamiseksi. Päätös on tehtävä neuvoston päätöksen 1999/468/EY [7] 4 artiklassa vahvistetun hallintomenettelyn mukaisesti tämän kuitenkaan rajoittamatta mainitun päätöksen 8 artiklan soveltamista. [7] EYVL L 184, 17.7.1999, s. 23. Päätöksen 1999/468/EY 4 artiklan 3 kohdassa säädetty määräaika on kolme kuukautta. 5. Poiketen siitä, mitä 1 kohdassa säädetään, yhteisön toimielin tai elin voi siirtää henkilötietoja, jos: a) rekisteröity on yksiselitteisesti antanut suostumuksensa suunniteltuun siirtoon, tai b) siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöön panemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä, tai c) siirto on tarpeen rekisterinpitäjän ja sivullisen välisen sopimuksen tekemiseksi tai täytäntöön panemiseksi rekisteröidyn edun mukaisesti, tai d) siirto on tarpeen tai lain vaatima tärkeän yleisen edun perusteella taikka oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi, tai e) siirto on tarpeen rekisteröidyn elintärkeiden etujen suojaamiseksi, taikka f) siirto tehdään rekisteristä, jonka tarkoituksena yhteisön lainsäädännön mukaan on tarjota tietoa yleisölle ja josta tiedonsaanti on avointa yleisölle yleensä tai kenelle tahansa henkilölle, joka voi osoittaa, että kyse on hänen oikeutetusta edustaan, siinä määrin kuin yhteisön lainsäädännössä säädetyt tiedonsaannin edellytykset täyttyvät tietyssä yksittäistapauksessa. 6. Yhteisön toimielinten ja elinten on ilmoitettava Euroopan tietosuojavaltuutetulle tapauksista (tapausryhmistä), joissa ne ovat soveltaneet 5 kohtaa. 3 JAKSO ERITYISTEN TIETORYHMIEN TIETOJENKÄSITTELY 10 artikla 1. Henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely on kielletty. 2. Edellä 1 kohtaa ei sovelleta, jos a) rekisteröity on antanut nimenomaisen suostumuksensa kyseisten tietojen käsittelyyn, paitsi jos yhteisön toimielimen tai elimen sisäisten sääntöjen mukaan 1 kohdassa tarkoitettua kieltoa ei voida poistaa rekisteröidyn suostumuksella, b) käsittely on tarpeen rekisterinpitäjän erityisten oikeuksien tai velvoitteiden noudattamiseksi työoikeuden alalla siltä osin kuin se sallitaan yhteisön oikeudessa tai yhteisön lainsäädännön täytäntöönpanoa koskevien sääntöjen mukaan tai Euroopan tietosuojavaltuutetun kanssa tehdyn sopimuksen mukaan, joissa säädetään riittävistä suojatoimista, tai c) käsittely on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, tai d) käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai jos käsittely on tarpeen oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi taikka e) käsittely tehdään asianmukaisesti valvotun lainmukaisen toiminnan yhteydessä ja sen on suorittanut voittoa tavoittelematon elin, joka muodostaa yhteisön toimielimeen tai elimeen integroidun kokonaisuuden ja johon ei direktiivin 95/46/EY 4 artiklan mukaan sovelleta kansallista tietosuojalainsäädäntöä ja jolla on poliittisia, filosofisia, uskonnollisia tai ammattiyhdistystoimintaan liittyviä tavoitteita ja edellyttäen, että tietojen käsittely koskee ainoastaan elimen jäseniä tai sellaisia henkilöitä, jotka ovat siihen säännöllisessä yhteydessä ja edellyttäen, että tietoja ei luovuteta sivullisille ilman rekisteröityjen suostumusta. 3. Mitä 1 kohdassa säädetään, ei sovelleta, jos tietojenkäsittely on tarpeen ennaltaehkäisevää lääketiedettä tai lääketieteellisiä diagnooseja koskevia tarkoituksia varten, palvelukseenottoon liittyvän lääketieteellisen soveltuvuuden arviointia varten, hoidon tai käsittelyn suorittamista varten taikka terveydenhuollon palvelujen hallintoa varten tai jos näitä tietoja käsittelee terveydenhuollon ammattikoulutuksen saanut henkilö, jota koskee salassapitovelvollisuus, tai jos tietoja käsittelee muu henkilö, jolla on vastaava velvoite. 4. Sillä edellytyksellä, että asianmukaiset suojatoimet toteutetaan, Euroopan tietosuojavaltuutettu voi, tärkeätä yleistä etua koskevasta syystä, päätöksellään vahvistaa muita poikkeuksia 2 kohdassa säädettyjen lisäksi. 5. Rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä voidaan suorittaa ainoastaan, jos se sallitaan yhteisön oikeudessa tai muissa Euroopan unionista tehdyn sopimuksen nojalla annetuissa oikeudellisissa asiakirjoissa, joissa säädetään asianmukaisista erityisistä suojatoimista, tai jos Euroopan tietosuojavaltuutettu antaa siihen luvan. 6. Euroopan tietosuojavaltuutetun on määriteltävä edellytykset henkilönumeroon tai muuhun yleiseen tunnisteeseen liittyvälle tietojen käsittelylle yhteisön toimielimessä tai yhteisön elimessä. 4 JAKSO REKISTERÖIDYN INFORMOINTI 11 artikla Informointi kerättäessä tietoja rekisteröidyltä 1. Rekisterinpitäjän on toimitettava rekisteröidylle, jolta häntä koskevia tietoja kerätään, vähintään jäljempänä esitetyt tiedot paitsi, jos hän jo tietää: a) rekisterinpitäjän henkilöllisyys; b) tietojenkäsittelyn tarkoitus; c) tietojen vastaanottajat tai vastaanottajaryhmät; d) tieto sitä, onko kysymyksiin vastaaminen pakollista vai vapaaehtoista, sekä vastaamatta jättämisen mahdolliset seuraukset; e) onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus oikaista niitä; f) muita tietoja, kuten - tietojenkäsittelyn, johon tiedot on tarkoitettu, oikeusperusta, - tietojen säilyttämisen aikarajat, - oikeus saattaa asia milloin tahansa Euroopan tietosuojavaltuuteun käsiteltäväksi, siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tiedot kerätään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. 2. Poiketen siitä, mitä 1 kohdassa säädetään, tiedon tai sen osan toimittamista voidaan lykätä niin pitkään kuin tämä on tarpeen tutkimuksen oikeutetun tavoitteen saavuttamiseksi ottaen huomioon tutkimuksen kohde tai luonne. Tieto on toimitettava heti, kun ei enää ole syytä, jonka perusteella tietoa on kieltäydytty antamasta, jollei tämä ole ilmeisen kohtuutonta tai mahdotonta toteuttaa. Siinä tapauksessa tieto on toimitettava myöhemmin heti kun kyseisiä olosuhteita ei enää ole olemassa. 12 artikla Informointi saataessa tietoja muualta kuin rekisteröidyltä 1. Jos tietoja ei ole saatu rekisteröidyltä itseltään, rekisterinpitäjän on henkilötietoja rekisteröitäessä tai, jos tietoja tullaan luovuttamaan sivulliselle, viimeistään silloin, kun tietoja ensi kerran luovutetaan, toimitettava rekisteröidylle vähintään jäljempänä esitetyt tiedot paitsi, jos hän jo tietää ne: a) rekisterinpitäjän henkilöllisyys; b) tietojenkäsittelyn tarkoitukset; c) kyseessä olevat tietoryhmät; d) tietojen vastaanottajat tai vastaanottajaryhmät; e) onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus oikaista niitä; f) muita tietoja, kuten: - tietojenkäsittelyn, johon tiedot on tarkoitettu, oikeusperusta, - tiedon säilytyksen aikarajat, - oikeus saattaa asia milloin tahansa Euroopan tietosuojavaltuutetun käsiteltäväksi, - tietojen alkuperä, paitsi jos rekisterinpitäjä ei voi paljastaa tätä tietoa salassapitovelvollisuuteen liittyvistä syistä, siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tietoja käsitellään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. 2. Mitä 1 kohdassa säädetään, ei sovelleta, jos erityisesti tilastollisia tarkoituksia tai historiallista tai tieteellistä tutkimusta koskevia tarkoituksia varten suoritettavan käsittelyn osalta, tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa tai jos yhteisön lainsäädännössä nimenomaisesti säädetään tietojen tallentamisesta tai luovuttamisesta. Tällaisissa tapauksissa yhteisön toimielimen tai elimen on huolehdittava tarpeellisista suojatoimista. 5 JAKSO REKISTERÖIDYN TIEDONSAANTIOIKEUS 13 artikla Tiedonsaantioikeus Jokaisella rekisteröidyllä on oltava oikeus saada rekisterinpitäjältä milloin tahansa ilman aiheetonta viivytystä ja maksutta: a) vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei; b) tiedot käsittelyn tarkoituksista, käsiteltävistä tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan; c) käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot; d) tiedot häntä koskevaan automatisoituun päätöksentekomenettelyyn liittyvästä logiikasta. 14 artikla Oikaisu Rekisterinpitäjän on rekisteröidyn vaatimuksesta viivytyksettä oikaistava virheellinen tai puutteellinen henkilötieto. 15 artikla Suojaaminen 1. Henkilötiedot on suojattava, jos a) rekisteröity kiistää tietojen paikkansapitävyyden eikä niiden paikkansa-pitävyyttä tai virheellisyyttä voida varmistaa; b) rekisterinpitäjä ei enää tarvitse niitä tehtäviensä suorittamiseen, mutta säilytettää ne todistelua varten; c) käsittely oli laitonta ja rekisteröity vastustaa niiden poistamista ja vaatii sen sijaan niiden suojaamista. 2. Automaattisissa arkistointijärjestelmissä suojaaminen varmistetaan pääasiassa teknisin keinoin. Se seikka, että henkilötiedot on suojattu on ilmaistava järjestelmässä siten, että on selvää, ettei henkilötietoja voida käyttää. 3. Suojattuja henkilötietoja voidaan käsitellä tallentamista lukuun ottamatta ainoastaan, kun niitä tarvitaan todistustaakasta vapautumista varten, kun rekisteröity on antanut suostumuksensa, tai sivullisen oikeudellisiin etuihin perustuvista syistä. 16 artikla Poistaminen 1. Henkilötiedot on poistettava, jos niiden käsittely on ollut laitonta, erityisesti kun on rikottu II luvun 1, 2 ja 3 jakson säännöksiä. 2. Henkilötiedot on poistettava, jos rekisterinpitäjä ei enää tarvitse niitä tehtäviensä suorittamisen eikä ole syytä uskoa, että poistaminen voi vahingoittaa rekisteröidyn etuja. 17 artikla Ilmoitus sivullisille Rekisterinpitäjän on ilmoitettava sivullisille, joille tietoja on luovutettu, kaikista oikaisuista, poistamisista tai suojaamisista, lukuun ottamatta tilanteita, joissa tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa. 6 JAKSO POIKKEUKSET JA RAJOITUKSET 18 artikla 1. Yhteisön toimielimet ja elimet voivat rajoittaa 4 artiklan 1 kohdan, 11 artiklan, 12 artiklan 1 kohdan, 13 artiklan, 33 artiklan ja 34 artiklan 1 kohdan soveltamista, jos tällainen rajoitus on välttämätön, jotta turvataan: a) rikosten torjunta, tutkinta, selvittäminen ja syyteharkinta; b) jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaa, talousarviota ja verotusta koskevat asiat; c) rekisteröidyn suojelu tai muiden henkilöiden oikeuksien ja vapauksien suojelu; d) sellaiset valvonta-, tarkastus- ja sääntelytehtävät, jotka liittyvät, vaikka vain satunnaisesti, julkisenvallan käyttämiseen a ja b alakohdassa tarkoitetuissa tapauksissa. 2. Mitä 1316 artiklassa säädetään, ei sovelleta, jos tietoja käsitellään yksinomaan tieteellisissä tutkimustarkoituksissa tai säilytetään henkilötietojen muodossa ainoastaan niin kauan kuin on tarpeen tilastojen luomiseksi edellyttäen, ettei rekisteröidyn yksityisyys millään tavoin vaarannu ja että rekisterinpitäjä antaa asianmukaiset oikeudelliset takeet erityisesti sen varmistamiseksi, että tietoja ei käytetä tiettyä henkilöä koskevien toimenpiteiden toteuttamiseen tai päätösten tekemiseen. 3. Jos 1 kohdassa säädettyä rajoitusta sovelletaan, rekisteröidylle on ilmoitettava pääasialliset syyt rajoituksen soveltamiseen, sekä se, että hänellä on oikeus saattaa asia Euroopan tietosuojavaltuutetun käsiteltäväksi. 4. Heti kun 1 kohdassa säädettyjen rajoitusten soveltamisen syyt eivät enää ole olemassa, 1 kohdassa tarkoitettuja säännöksiä sovelletaan jälleen täysin. 7 JAKSO VASTUSTAMINEN JA KANTELU 19 artikla Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä Rekisteröidyllä on oikeus milloin tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi, paitsi 5 artiklan b, c ja d alakohdassa tarkoitetuissa tapauksissa. Jos vastustus on perusteltua, kyseisiä tietoja ei enää saa käsitellä. 20 artikla Rekisteröidyn kanteluoikeus Rekisteröidyllä on oikeus kannella milloin tahansa Euroopan tietosuojavaltuutetulle. 21 artikla Automatisoidut yksittäispäätökset Kukaan ei saa joutua sellaisen päätöksen kohteeksi, josta aiheutuu hänelle oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla ja joka on tehty ainoastaan automaattisen tietojenkäsittelyn perusteella ja joka on tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa, kuten hänen ammatillisen suorituskykynsä, luotettavuutensa tai käyttäytymisensä arviointiin, jollei päätös nimenomaisesti perustu oikeudelliseen säännökseen, jossa säädetään myös rekisteröidyn oikeutetut edut takaavista toimenpiteistä. 8 JAKSO KÄSITTELYN LUOTTAMUKSELLISUUS JA TURVALLISUUS 22 artikla Käsittelyn luottamuksellisuus Kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, mukaan lukien käsittelijä itse, jolla on pääsy henkilötietoihin, ei saa käsitellä tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti, paitsi, jos kansallinen oikeus edellyttää niin. 23 artikla Käsittelyn turvallisuus 1. Ottaen huomioon tekninen taso ja toimenpiteiden toteuttamiseen liittyvät kustannukset, rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet asianmukaisen turvallisuustason varmistamiseksi suhteessa käsittelyn riskeihin ja suojattavien henkilötietojen luonteeseen. 2. Kun henkilötietoja käsitellään manuaalisesti, on toteutettava asianmukaiset toimenpiteet erityisesti luvattoman pääsyn tai luovuttamisen, muuttamisen, tuhoamisen tai vahingossa tapahtuvan häviämisen estämiseksi. 3. Kun henkilötietoja käsitellään automaattisesti, on toteutettava toimenpiteet erityisesti: a) asiattomien henkilöiden pääsyn estämiseksi henkilötietoja käsitteleviin tietokonejärjestelmiin; b) tallennusvälineen luvattoman lukemisen, jäljentämisen tai siirtämisen estämiseksi; c) tietojen luvattoman tallentamisen sekä tallennettujen henkilötietojen luvattoman luovuttamisen, muuttamisen tai poistamisen estämiseksi; d) asiattomien henkilöiden tiedonsiirtokeinojen avulla suorittaman tietojenkäsittelyjärjestelmien käytön estämiseksi; e) sen varmistamiseksi, että tietojenkäsittelyjärjestelmän käyttöön oikeutetut henkilöt eivät voi päästä muihin kuin niihin henkilötietoihin, joihin heillä on pääsyoikeus; f) ilmoitettujen henkilötietojen, ilmoituksen ajankohdan ja kohteen tallentamiseksi; g) sen varmistamiseksi, että myöhemmin on mahdollista tarkistaa ja vahvistaa, mihin aikaan, kenen toimesta ja mitä henkilötietoja on käsitelty; h) sen varmistamiseksi, että sivullisten lukuun käsiteltäviä henkilötietoja käsitellään ainoastaan sopimuksesta vastaavan toimielimen tai elimen määräämällä tavalla; i) sen varmistamiseksi, että henkilötietojen viestinnän aikana ja säilytettyjen tietojen siirron aikana tietoja ei voida lukea, kopioida tai poistaa ilman lupaa; j) organisaation rakenteen suunnittelemiseksi toimielimen tai elimen sisällä siten, että se vastaa tietosuojan erityisvaatimuksia. 24 artikla Rekisterinpitäjän lukuun suoritettava henkilötietojen käsittely 1. Kun käsittely suoritetaan rekisterinpitäjän lukuun, tämän on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet käsittelyyn liittyvistä 23 artiklassa edellytetyistä teknisistä ja organisatorisista turvatoimista, ja huolehdittava, että nämä toimet toteutetaan asianmukaisesti. 2. Käsittelijän suorittamaa käsittelyä säännellään sopimuksella tai oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti vahvistetaan, että a) käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti; b) käsittelijän on myös noudatettava 23 artiklassa säädettyjä velvoitteita. 3. Todisteiden säilyttämiseksi sopimusten ja oikeudellisten asiakirjojen osien, jotka liittyvät tietosuojaan ja 23 artiklassa tarkoitettuja toimenpiteitä koskeviin vaatimuksiin, on oltava kirjallisia tai muussa vastaavassa muodossa. 9 JAKSO TIETOSUOJASTA VASTAAVAN HENKILÖN NIMEÄMINEN JA TEHTÄVÄT 25 artikla Tietosuojasta vastaavan henkilön nimeäminen 1. Jokaisen yhteisön toimielimen ja yhteisön elimen on nimettävä vähintään yksi asianmukaisessa asemassa oleva henkilötietosuojasta vastaava henkilö, jonka tehtävänä on: a) varmistamistaa, että rekisterinpitäjille ja rekisteröidyille tiedotetaan heidän oikeuksistaan ja velvollisuuksistaan; b) olla yhteistyössä Euroopan tietosuojavaltuutetun kanssa tämän pyynnöstä tai omasta aloitteestaan; c) varmistaa itsenäisesti tämän asetuksen säännösten ja kaikkien muiden näiden sääntöjen täytäntöönpanemiseksi annettujen säännösten sisäisen soveltamisen; d) pitää rekisteriä rekisterinpitäjän suorittamista käsittelytoimista, joka sisältää 26 artiklan 2 kohdassa tarkoitetut tiedot; e) sellaisten käsittelytoimien, joihin saattaa liittyä erityisiä 28 artiklassa tarkoitettuja riskejä, ilmoittamisesta Euroopan tietosuojavaltuutetulle. ja näin ollen sen varmistamisesta, että käsittelytoimet eivät loukkaa rekisteröityjen oikeuksia ja vapauksia. 2. Tietosuojasta vastaavalle henkilölle on järjestettävä henkilöstö ja resurssit, joita tämän tehtävien suorittaminen edellyttää. 3. Jokainen yhteisön toimielin ja elin antaa täytäntöönpanoa koskevat, tietosuojasta vastaavaan henkilöön liittyvät tarkemmat säännöt liitteessä I esitettyjen ohjeiden perusteella. Täytäntöönpanoa koskevat säännöt liittyvät erityisesti tietosuojasta vastaavan henkilön kelpoisuuteen, nimittämiseen, erottamiseen, riippumattomuuteen sekä tämän tehtäviin, velvollisuuksiin ja toimivaltuuksiin. 26 artikla Ilmoitus tietosuojasta vastaavalle henkilölle 1. Rekisterinpitäjän on annettava ennakkoilmoitus tietosuojasta vastaavalle henkilölle ennen kuin toteutetaan kokonaan tai osittain automatisoitu käsittely tai tällaisten käsittelyjen sarja, joilla on sama tarkoitus tai useita toisiinsa liittyviä tarkoituksia. 2. Ilmoitettavien tietojen on sisällettävä ainakin liitteessä 2 tarkoitetut tiedot. 3. Kaikista ensimmäisessä kohdassa tarkoitettujen tietojen muuttamisesta on ilmoitettava viipymättä tietosuojasta vastaavalle henkilölle. 27 artikla Rekisteri Jokainen tietosuojasta vastaava henkilö pitää rekisteriä 26 artiklan mukaisesti ilmoitetuista käsittelytoimista. Rekisterien on sisällettävä ainakin 26 artiklan 2 kohdassa tarkoitetut tiedot. Kuka tahansa saa tutkia näitä rekistereitä. 10 JAKSO EUROOPAN TIETOSUOJAVALTUUTETUN ENNAKKOTARKASTUS 28 artikla 1. Euroopan tietosuojavaltuutetun on määriteltävä ne käsittelytoimet, joihin saattaa liittyä erityisiä rekisteröityjen oikeuksiin ja vapauksiin liittyviä riskejä toimien luonteen, laajuuden tai tarkoitusten vuoksi, kuten henkilöiden jääminen ilman tiettyä oikeutta, etuutta tai sopimusta, taikka uuden teknologian erityisen käytön vuoksi. Näihin käsittelytoimiin kuuluvat: - tietyt käsittelytoimet, jotka koskevat 10 artiklassa tarkoitettuja erityisiä tietoryhmiä; - käsittelytoimet, joiden tarkoituksena on arvioida rekisteröidyn henkilö-kohtaisia ominaisuuksia, kuten hänen pätevyyttään, suorituskykyään tai käyttäytymistään. Nämä käsittelytoimet on ennakkotarkastettava. 2. Euroopan tietosuojavaltuutettu tekee ennakkotarkastuksia sen jälkeen, kun hän on saanut ilmoituksen tietosuojasta vastaavalta henkilöltä, jonka on epäselvissä tapauksissa neuvoteltava Euroopan tietosuojavaltuutetun kanssa. 3. Euroopan tietosuojavaltuutettu antaa lausuntonsa kahden kuukauden kuluessa ilmoituksen saamisesta. Jos lausuntoa ei ole annettu kahden kuukauden kuluessa, sen katsotaan olevan myönteinen. 4. Euroopan tietosuojavaltuutettu pitää rekisteriä kaikista hänelle 2 kohdan nojalla ilmoitetuista käsittelyistä. Rekisteri sisältää 26 artiklan 2 kohdassa tarkoitetut tiedot. Rekisteri on vapaasti yleisön tarkastettavissa. 5. Yhteisön toimielinten tai elinten välinen automatisoitu viestintä, kuten online-pääsy tietokantoihin tai niiden väliset yhteydet, voidaan toteuttaa ainoastaan Euroopan tietosuojavaltuutetun tutkimuksen jälkeen. Tutkimuksen aikana Euroopan tietosuojavaltuutetun on ratkaistava, onko automatisoitu viestintä rekisteröityjen oikeutettujen etujen mukaista ja onko se tarpeen asianomaisten yhteisön toimielinten tai elinten tehtävien kannalta. III LUKU OIKEUSKEINOT JA SEURAAMUKSET 29 artikla Oikeuskeinot 1. Rajoittamatta muiden oikeussuojakeinojen käyttöä jokainen rekisteröity voi kannella Euroopan tietosuojavaltuutetulle, jos hän katsoo, että hänen oikeuksiaan on loukattu yhteisön toimielimen tai elimen suorittaman, hänen henkilötietojaan koskevan käsittelyn seurauksena. 2. Euroopan yhteisöjen tuomioistuimella ja ensimmäisen asteen tuomioistuimella on toimivalta ratkaista kaikki riidat, jotka koskevat tämän asetuksen säännöksiä, mukaan lukien vahingonkorvausvaatimukset. 30 artikla Seuraamukset Jos Euroopan yhteisöjen palveluksessa oleva virkamies tai muu toimihenkilö tahallaan tai tuottamuksellisesti jättää täyttämättä tämän asetuksen mukaiset velvollisuutensa, hänelle voidaan määrätä kurinpitoseuraamus Euroopan yhteisöjen virkamiehiin sovellettavissa henkilöstösäännöissä vahvistettujen sääntöjen ja menettelyjen tai häneen sovellettavien palvelussuhteen ehtojen mukaisesti. IV LUKU HENKILÖTIETOJEN JA YKSITYISYYDEN SUOJA SISÄISTEN TELEVIESTINTÄVERKKOJEN YHTEYDESSÄ 31 artikla Soveltamisala Tämän asetuksen muiden säännösten lisäksi tätä lukua sovelletaan henkilötietojen käsittelyyn sellaisten televiestintäverkkojen ja telepäätelaitteiden yhteydessä, joita käytetään yhteisön toimielimen ja elimen valvonnan alaisena. Tässä luvussa 'käyttäjällä' tarkoitetaan luonnollista henkilöä, joka käyttää yhteisön toimielimen tai elimen valvonnan alaisena toimivaa televiestintäverkkoa. 32 artikla Turvallisuus 1. Yhteisön toimielimet ja elimet toteuttavat tarvittavat tekniset ja organisatoriset toimenpiteet varmistaakseen televiestintäverkkojen ja telepäätelaitteiden turvallisen käytön tarvittaessa yhdessä yleisesti saatavilla olevien telepalvelujen tarjoajien ja/tai yleisen televiestintäverkon tarjoajien kanssa. Näillä toimen-piteillä on varmistettava riskiin suhteutettu turvallisuustaso ottaen huomioon tekniikan taso ja toimenpiteiden käyttöönottokustannukset. 2. Jos on olemassa erityinen verkon ja telepäätelaitteiden turvallisuuteen kohdistuva riski, yhteisön toimielin tai elin ilmoittaa käyttäjille tällaisista riskeistä ja kaikista mahdollisista korjauskeinoista tai vaihtoehtoisista viestintäkeinoista. 33 artikla Viestinnän luottamuksellisuus 1. Yhteisön toimielimet ja elimet varmistavat televiestintäverkon ja telepäätelaitteiden välityksellä tapahtuvan viestinnän luottamuksellisuuden. Muiden kuin käyttäjien suorittama viestien kuuntelu, salakuuntelu, tallentaminen tai muulla tavalla tapahtuva sieppaaminen tai valvonta ilman asianomaisten käyttäjien lupaa on kielletty. 2. Edellä 1 kohta ei vaikuta viestinnän sellaiseen tallentamiseen, joka asianomaisten yhteisön toimielinten ja elinten sisäisten sääntöjen perusteella on sallittu ja jonka tarkoituksena on saada todisteita yhteisön toimielinten ja elinten virallisiin tehtäviin liittyviä oikeustoimia tai menettelyjä varten, ja joka edellyttää Euroopan tietosuojavaltuutetun suostumusta. 34 artikla Liikenne- ja laskutustiedot 1. Puhelujen ja muiden yhteyksien muodostamiseksi televiestintäverkossa käsitellyt ja tallennetut käyttäjiä koskevat liikennetiedot on poistettava tai tehtävä nimettömiksi puhelun tai muun yhteyden päättymisen jälkeen, sanotun kuitenkaan rajoittamatta 2, 3 ja 4 kohdan säännösten soveltamista. 2. Liikennetietoja sellaisina, kuin ne esitetään Euroopan tietosuojavaltuutetun hyväksymässä luettelossa, voidaan käsitellä televiestinnän talousarviota ja liikenteenhallintaa varten, mukaan lukien televiestintäjärjestelmän luvallisen käytön tarkistaminen. 3. Liikenne- ja laskutustietojen käsittely on rajoitettava siihen, mikä on tarpeen 2 kohdassa tarkoitettujen toimien suorittamista varten ja sitä voivat suorittaa ainoastaan laskutuksesta, liikenteestä tai talousarviohallinnosta vastaavat henkilöt. 4. Televiestintäverkkojen käyttäjillä on oikeus saada laskunsa erittelemättöminä. 35 artikla Käyttäjien luettelot 1. Henkilötiedot painetuissa tai sähköisissä käyttäjien luetteloissa on rajoitettava tietoihin, jotka ovat välttämättömiä luettelon erityistarkoituksia varten. 2. Yhteisön toimielimet ja elimet toteuttavat tarvittavat toimenpiteet estääkseen näiden luetteloiden sisältämien henkilötietojen käytön suoramarkkinointi-tarkoituksiin riippumatta siitä, ovatko luettelot yleisön saatavilla vai eivät. 36 artikla Kutsuvan ja yhdistetyn linjan tunnistus ja sen rajoittaminen 1. Jos kutsuvan linjan tunnistusta tarjotaan, soittavalla käyttäjällä on oltava mahdollisuus poistaa helposti ja maksutta kutsuvan linjan tunnistus. 2. Jos kutsuvan linjan tunnistusta tarjotaan, vastaanottavalla käyttäjällä on oltava mahdollisuus estää helposti ja maksutta tulevien puhelujen linjan tunnistus. 3. Jos yhdistetyn linjan tunnistusta tarjotaan, vastaanottavalla käyttäjällä on oltava mahdollisuus helposti ja maksutta estää se, että soittava käyttäjä näkee yhdistetyn linjan tunnisteen. 4. Jos kutsuvan ja/tai yhdistetyn linjan tunnistusta tarjotaan, yhteisön toimielinten ja elinten on ilmoitettava siitä ja 1, 2 ja 3 kohdassa mainituista mahdollisuuksista käyttäjille. 37 artikla Poikkeukset Yhteisön toimielinten ja elinten on varmistettava, että on avoimia menettelyjä, joita käyttäen kutsuvan linjan tunnistuksen esto voidaan ohittaa: a) väliaikaisesti, jos käyttäjä pyytää ilkivaltaisten puhelujen tai häirintäsoittojen jäljittämistä; b) liittymäkohtaisesti hätäkutsuja käsitteleville organisaatioille tällaisiin kutsuihin vastaamiseksi. V LUKU VALVONTAVIRANOMAINEN: EUROOPAN TIETOSUOJAVALTUUTETTU 38 artikla Valvontaviranomainen: Euroopan tietosuojavaltuutettu 1. Perustetaan valvontaviranomainen, Euroopan tietosuojavaltuutettu. 2. Euroopan tietosuojavaltuutettu on vastuussa tämän asetuksen säännösten ja kaikkien muiden sellaisten yhteisön säädösten soveltamisen seurannasta, jotka liittyvät luonnollisten henkilöiden suojeluun yhteisön toimielimen tai elimen suorittaman henkilötietojen käsittelyn osalta. 39 artikla Nimittäminen 1. Komission ehdotuksesta Euroopan parlamentti, neuvosto ja komissio nimittävät yhteisellä sopimuksella Euroopan tietosuojavaltuutetun neljän vuoden toimikaudeksi. 2. Euroopan tietosuojavaltuutettu valitaan sellaisten henkilöiden joukosta, jotka kuuluvat tai ovat kuuluneet omissa maissaan henkilötietojen käsittelyä valvoviin riippumattomiin viranomaisiin tai jotka ovat erityisen päteviä tähän tehtävään. 3. Euroopan tietosuojavaltuutettu voidaan nimittää uudeksi toimikaudeksi. 4. Euroopan tietosuojavaltuutettu jatkaa tehtävässään kunnes hänen tilalleen on valittu toinen henkilö. 5. Euroopan tietosuojavaltuutetun tehtävät päättyvät, kun hänen tilalleen on nimitetty toinen henkilö, kun hän kuolee tai eroaa, tai kun hänet erotetaan 6 kohdan mukaisesti. 6. Yhteisöjen tuomioistuin voi Euroopan parlamentin, neuvoston ja komission pyynnöstä erottaa Euroopan tietosuojavaltuutetun, jos hän ei enää täytä niitä vaatimuksia, joita hänen tehtävänsä edellyttävät, tai jos hän on syyllistynyt vakavaan rikkomukseen. 7. Jollei tämän luvun säännöksistä muuta johdu, Euroopan yhteisöjen erioikeuksia ja vapauksia koskevaa pöytäkirjaa, jota sovelletaan yhteisöjen tuomioistuimen tuomareihin, sovelletaan myös Euroopan tietosuojavaltuutettuun. 40 artikla Tehtävien hoitamista koskevat ehdot 1. Euroopan parlamentti, neuvosto ja komissio vahvistavat yhteisellä sopimuksella Euroopan tietosuojavaltuutetun tehtävien hoitamista koskevat ehdot ja erityisesti palkan, lisät ja kaikki muut edut. 2. Euroopan parlamentti varmistaa, että Euroopan tietosuojavaltuutetulle järjestetään hänen tehtäviensä suorittamista varten tarvittava henkilöstö ja välineet. 3. Tarvittava henkilöstö ja välineet on eriteltävä Euroopan parlamentin talousarvion erillisessä luvussa. 4. Euroopan tietosuojavaltuutettu nimittää henkilöstön. Euroopan tietosuoja-valtuutettu on heidän esimiehensä, ja he toimivat yksinomaan hänen ohjauksessaan. 5. Virkamiehiä ja muuta henkilöstöä sitovat Euroopan yhteisöjen virkamiehiin ja muuhun henkilöstöön sovellettavat asetukset ja määräykset. 6. Henkilöstöä koskevissa asioissa Euroopan tietosuojavaltuutetulla on sama asema kuin toimielimillä Euroopan yhteisöjen henkilöstösääntöjen 1 artiklassa tarkoitetussa merkityksessä. 41 artikla Riippumattomuus 1. Euroopan tietosuojavaltuutettu hoitaa tehtäviään täysin riippumattomana. 2. Tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta. 3. Euroopan tietosuojavaltuutetun on pidättäydyttävä kaikesta toiminnasta, joka on yhteensopimatonta hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimi-kautensa aikana harjoittaa muuta palkallista tai palkatonta ammattitoimintaa. 4. Euroopan tietosuojavaltuutetun on toimikautensa päättymisen jälkeen osoitettava rehellisyyttä ja arvostelukykyä nimitysten ja etujen vastaan-ottamisessa. 42 artikla Vaitiolovelvollisuus Euroopan tietosuojavaltuutettu ja hänen henkilöstönsä ovat sekä toimikautensa aikana että sen päätyttyä velvollisia pitämään salassa kaikki luottamukselliset tiedot, jotka ovat tulleet heidän tietoonsa virallisia tehtäviä suoritettaessa. 43 artikla Tehtävät 1. Euroopan tietosuojavaltuutettu a) vastaanottaa ja tutkii kanteluita; b) valvoo kaikkia yhteisön toimielinten ja elinten suorittamia henkilötietojen käsittelytoimia, lukuun ottamatta yhteisöjen tuomioistuinta ja ensimmäisen asteen tuomioistuinta niiden lainkäyttötehtävissä; c) neuvoo kaikkia yhteisön toimielimiä ja elimiä kaikissa henkilötietojen käyttöä koskevissa asioissa erityisesti ennen kuin ne laativat sisäisiä, yksilön oikeuksien ja vapauksien suojaan liittyviä sääntöjä henkilötietojen käsittelyn osalta; d) seuraa tieto- ja viestintäteknologian kehitystä siltä osin kuin niillä on vaikutusta henkilötietojen suojeluun; e) tekee yhteistyötä kansallisten valvontaviranomaisten kanssa siinä määrin kuin hänen tehtäviensä hoitaminen edellyttää, erityisesti vaihtamalla hyödyllisiä tietoja tai pyytämällä jäsenvaltion viranomaista käyttämään toimivaltuuksiaan; f) osallistuu direktiivin 95/46/EY 29 artiklalla perustetun tietosuoja-työryhmän toimintaan; g) pitää rekisteriä hänelle ilmoitetuista käsittelyistä; h) suorittaa ennakkotarkastuksia hänelle ilmoitetuista käsittelyistä. 44 artikla Kuuleminen 1. Yhteisön toimielinten ja elinten on ilmoitettava Euroopan tietosuojavaltuutetulle henkilötietojen käsittelyä koskevista toimenpide-ehdotuksista, joissa on osallisena yhteisön toimielin tai elin yksin tai yhdessä muiden kanssa. 2. Komission on ilmoitettava Euroopan tietosuojavaltuutetulle kaikista sellaisista luonnoksista ehdotuksiksi yhteisön lainsäädännöksi, joihin liittyy henkilö-tietojen käsittelyä. 3. Jokainen yhteisön toimielin tai elin voi kuulla Euroopan tietosuojavaltuutettua kaikkien henkilötietojen käsittelyyn liittyvistä toimista. 45 artikla Vetoaminen Euroopan tietosuojavaltuutettuun 1. Jokainen yhteisön toimielinten tai elinten palveluksessa oleva voi saattaa tehtäviään koskevan asian Euroopan tietosuojavaltuutetun käsiteltäväksi käyttämättä virkatietä. 2. Kenellekään ei saa aiheutua vahinkoa sellaisen Euroopan tietosuojavaltuutetulle tehdyn vetoomuksen tai kantelun johdosta, jossa väitetään, että henkilötietojen käsittelyä koskevia säännöksiä on rikottu. 46 artikla Toimivaltuudet 1. Euroopan tietosuojavaltuutetun on erityisesti: a) suoritettava tutkimuksia joko omasta aloitteestaan tai vetoomusten taikka kantelujen perusteella; b) saatava viivytyksettä kaikki tiedot tutkimuksiaan varten; c) päästävä milloin tahansa kaikkiin virallisiin tiloihin. Rekisterinpitäjien on avustettava Euroopan tietosuojavaltuutettua tämän tehtävien suorittamisessa. 2. Euroopan tietosuojavaltuutetulla on valtuudet: a) määrätä kaikkien niiden tietojen korjaamisesta, suojaamisesta, poistamisesta tai tuhoamisesta, joita on käsitelty henkilötietojen käsittelyä koskevien säännösten vastaisesti; b) kieltää käsittely väliaikaisesti tai lopullisesti; c) antaa rekisterinpitäjälle varoitus tai huomautus; d) tehdä asiasta ilmoitus yhteisön toimielimelle tai elimelle, jota asia koskee, ja tarvittaessa Euroopan parlamentille, neuvostolle ja komissiolle; e) olla väliintulijana käsiteltäessä yhteisöjen tuomioistuimessa ja ensimmäisen oikeusasteen tuomioistuimessa nostettuja kanteita; f) antaa neuvoja rekisteröidyille ja avustaa heitä pyydettäessä asiantuntijana oikeudenkäynneissä ensimmäisen oikeusasteen tuomioistuimessa. 3. Jos Euroopan tietosuojavaltuutettu toteaa, että henkilötietojen käsittelyä koskevia säännöksiä on rikottu tai että käsittelyssä on tapahtunut muita säännönvastaisuuksia, hänen on siirrettävä asia yhteisön asianomaiselle toimielimelle tai elimelle ja tarvittaessa tehtävä ehdotuksia mainittujen säännönvastaisuuksien korjaamiseksi ja rekisteröityjen suojan parantamiseksi. 4. Yhteisön asianomaisen toimielimen tai elimen on ilmoitettava Euroopan tietosuojavaltuutetulle näkemyksistään tietosuojavaltuutetun asettamassa määräajassa. Vastauksen on sisällettävä myös kuvaus toimenpiteistä, jotka on toteutettu Euroopan tietosuojavaltuutetun huomautusten johdosta. 5. Kun kyseessä on kantelu tai vetoomus, Euroopan tietosuojavaltuutetun on ilmoitettava asianomaisille tutkimustensa tuloksista. 6. Jos rekisteröidyltä on evätty tiedonsaantioikeus, Euroopan tietosuojavaltuutettu ilmoittaa hänelle ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja, jos näin ei ole, onko tarpeelliset korjaukset tehty. Jos Euroopan tietosuojavaltuutettu katsoo, että 13 artiklan a alakohdassa säädettyä vahvistuksen saantioikeutta koskevan rajoituksen soveltaminen menettää vaikutuksensa, jos tämä tieto annetaan, Euroopan tietosuojavaltuutettu ei saa ilmoittaa rekisteröidylle tutkimuksensa tulosta. 7. Euroopan tietosuojavaltuutetun päätöksistä voidaan valittaa yhteisöjen tuomioistuimeen tai ensimmäisen oikeusasteen tuomioistuimeen. 47 artikla Toimintakertomus 1. Euroopan tietosuojavaltuutetun on annettava Euroopan parlamentille vuosikertomus toiminnastaan ja julkistettava se samanaikaisesti. 2. Kertomus toimitetaan Euroopan unionin muille toimielimille ja elimille, ja Euroopan parlamentissa keskustellaan kertomuksesta yhdessä muiden toimielinten ja elinten vastauksien kanssa. LOPPUSÄÄNNÖKSET 48 artikla Siirtymävaihe Yhteisön toimielimet ja elimet varmistavat, että tämän asetuksen voimaantulopäivänä käynnissä oleva käsittely saatetaan tämän asetuksen mukaiseksi vuoden kuluessa kyseisestä päivästä. 49 artikla Voimaantulo Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan yhteisöjen virallisessa lehdessä. Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Tehty Brysselissä Euroopan parlamentin puolesta Neuvoston puolesta Puhemies Puheenjohtaja Liite I 1. Tietosuojasta vastaava henkilö valitaan hänen arvovaltansa, tietosuojaa koskevan asiantuntemuksensa ja henkilökohtaisen luotettavuutensa perusteella. 2. Tietosuojasta vastaavan henkilön nimitykseen ei saa liittyä eturistiriitaa muihin virkavelvollisuuksiin nähden, erityisesti suhteessa tämän asetuksen säännösten soveltamiseen. 3. Tietosuojasta vastaava henkilö nimitetään vähintään kahden vuoden toimikaudeksi. Hänet voidaan nimittää uudeksi toimikaudeksi. Tietosuojasta vastaava henkilö voidaan erottaa ainoastaan Euroopan tietosuojavaltuutetun suostumuksella, jos hän ei enää täytä tehtäviensä suorittamiseksi vaadittavia ehtoja. 4. Tietosuojasta vastaava henkilö ei saa vastaanottaa mitään tehtäviensä suorittamista koskevia ohjeita. 5. Nimittämisen jälkeen tietosuojasta vastaavan henkilön nimittänyt toimielin, elin (tai henkilö) merkitsee hänet Euroopan tietosuojavaltuutetun pitämään rekisteriin. 6. Tietosuojasta vastaava henkilö voi antaa suosituksia tietosuojan parantamiseksi käytännössä ja neuvoja hänet nimittäneelle yhteisön toimielimelle tai elimelle ja asianomaiselle rekisterinpitäjälle tietosuojasäännösten soveltamista koskevissa asioissa. Lisäksi hänen on omasta aloitteestaan tai hänet nimittäneen yhteisön toimielimen tai elimen, rekisterinpitäjän, asianomaisen henkilöstökomitean tai rekisteröidyn pyynnöstä tutkittava asioita ja tapauksia, jotka välittömästi liittyvät hänen tehtäviinsä ja jotka tulevat hänen tietoonsa.. 7. Tietosuojasta vastaavaa henkilöä voi kuulla hänet nimittänyt yhteisön toimielin tai elin, asianomainen rekisterinpitäjä, asianomainen henkilöstökomitea ja kuka tahansa henkilö virallisia kanavia käyttämättä mistä tahansa asiasta, joka koskee asetuksen tulkintaa tai soveltamista. 8. Kenellekään ei saa aiheutua vahinkoa sellaisen asian johdosta, joka on saatettu tietosuojasta vastaavan henkilön tietoon ja jossa väitetään, että tämän asetuksen säännöksiä on rikottu. 9. Jokaisen asianomaisen rekisterinpitäjän on avustettava tietosuojasta vastaavaa henkilöä tämän tehtävien suorittamisessa ja annettava tietoja vastauksena tämän kysymyksiin. Tietosuojasta vastaavalla henkilöllä on tehtäviään suorittaessaan pääsy milloin tahansa tietoihin, jotka muodostavat käsittelytoimien aiheen, ja kaikkiin toimistoihin, tietojenkäsittelylaitteistoihin ja tietovälineisiin, ja hän saa kerätä tarvittavat tiedot. 10. Tietosuojasta vastaava henkilö on tarvittavassa määrin vapautettava muista toimista. Tietosuojasta vastaava henkilö ja hänen henkilöstönsä, joihin sovelletaan perustamissopimuksen 287 artiklaa, eivät saa ilmaista tietoja tai asiakirjoja, joita he saavat haltuunsa tehtäviä suorittaessaan. Liite II 1. Rekisterinpitäjän nimi ja osoite. 2. Niiden henkilöiden nimet ja/tai viittaus sen toimielimen tai elimen organisatorisiin osiin, joiden tehtävänä on henkilötietojen käsittely tiettyyn tarkoitukseen. 3 Käsittelyn tarkoitus tai tarkoitukset. 4. Kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä. 5. Oikeusperusta käsittelylle, johon tiedot on tarkoitettu,. 6. Vastaanottajat tai vastaanottajaryhmät, joille tietoja mahdollisesti luovutetaan. 7. Eri tietoryhmien suojaamisen ja poistamisen aikarajat. 8. Suunnitellut tietojensiirrot kolmansiin maihin. 9. Yleiskuvaus, jonka perusteella voidaan alustavasti arvioida 23 artiklan mukaisen käsittelyn turvallisuuden varmistamiseksi toteutettavien toimen-piteiden asianmukaisuus. HUOMAUTUKSET ARTIKLOISTA EY:n perustamissopimuksen uuden 286 artiklan mukaisesti yhteisön toimielinten ja elinten on sovellettava yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä. Tämä velvoite rajoittaa komission valinnanvapautta tässä asetuksessa määritettyjen henkilötietojen suojelumääräysten sisällön ja soveltamisalan osalta. Toisin sanoen 286 artikla velvoittaa komissiota noudattamaan direktiivissä 95/46/EY annettuja rajoja. Tämä on ensisijainen syy sille, että tämä asetus seuraa läheisesti direktiivin 95/46/EY sanamuotoa ja järjestelmää. Toinen syy on tarve tulkita direktiiviä 95/46/EY ja asetusta samalla tavoin. Asetuksen teksti ei kuitenkaan ole sanasta sanaan sama kuin direktiivin. Direktiivissä määritellään puitteet, jotka vaativat toisten säädösten antamista joko jäsenvaltioiden kansallisissa lainsäädännöissä tai tämän asetuksen antamista yhteisön toimielinten ja elinten ollessa kyseessä. Tässä asetuksessa annetut säännökset ovat täsmällisempiä ja yksityiskohtaisempia kuin direktiivissä annetut. Tiettyjen asioiden kohdalla direktiivissä annetaan mahdollisuus valita eri vaihtoehtojen välillä. Myös tästä syystä asetuksen sanamuoto on erilainen kuin direktiivin. Sen lisäksi asetuksessa säädetään EY:n perustamissopimuksen 286 artiklan mukaisen riippumattoman valvontaelimen perustamisesta, mikä vaatii yksityiskohtaisempia säännöksiä kuin direktiivin säännökset, jotka jättivät toimeenpanon jäsenvaltioiden kansallisten lainsäädännön tehtäväksi. Huomautuksissa artikloista keskitytään niihin asetuksen säännöksiin, jotka eroavat direktiivin vastaavista. I luku: Yleiset säännökset 1 artikla: Asetuksen tavoite Asetuksen 1 artiklassa käsitellään asetuksen tavoitetta. Tietosuoja ei rajoitu yksinomaan toimielimissä työskentelevän henkilöstön tai muun näiden toimeksi-annosta työskentelevän henkilön suorittamaan tietojen käsittelyyn, vaan se koskee myös toimielinten ulkopuolisia luonnollisia henkilöitä koskevia tietojen käsittelyjä, esimerkiksi yhteisön rahastojen edunsaajia koskevia tietoja. Jäsenvaltioiden komissiolle toimittamia henkilötietoja, jotka on toimitettu erityisesti yhteisön tukien maksamisen hallinnoimiseksi tai valvomiseksi, suojellaan tämän asetuksen nojalla. On huomattava, että tämän asetuksen tavoite eroaa direktiivin tavoitteesta. EY:n perustamissopimuksen 100 a artiklaan perustuvan direktiivin tarkoitus on sovittaa yhteen sisämarkkinoiden toteuttamiseen ja henkilöiden suojaamiseen liittyvät vaatimukset. Tämä tavoite ilmenee 1 artiklan 1 ja 2 kohdassa. Artiklan 1 kohdassa velvoitetaan jäsenvaltiot turvaamaan yksilöille heidän oikeutensa ja vapautensa direktiivin mukaisesti ja 2 kohdassa esitetään vaikutus henkilötietojen vapaaseen liikkuvuuteen sisämarkkinoilla. Toisin sanoen 1 kohdassa viitataan täytäntöönpanon keinoihin eli kansallisten lainsäädäntöjen yhdenmukaistamiseen ja toisessa tavoitteeseen eli henkilötietojen vapaaseen liikkuvuuteen. Ei ole tarpeen toistaa tätä pohdintaa tämän asetuksen 1 artiklassa. Tämän asetuksen tavoitteena on velvoittaa yhteisön toimielimet ja elimet kunnioittamaan yksilöiden perusoikeuksia ja -vapauksia sekä erityisesti heidän oikeuttaan yksityisyyteen henkilötietojen käsittelyssä. Tällä asetuksella varmennetaan se, että yhteisön toimielimille ja elimille niiden työskentelyä varten toimitettuja henkilötietoja käsitellään täyttäen sellaiset ehdot, joilla taataan yksilöiden perusoikeudet ja -vapaudet. Nämä ehdot on yhdenmukaistettu direktiivissä säädettyjen ehtojen kanssa. Tässä asetuksessa ei kuitenkaan näytä tarpeelliselta toistaa samanlaista säännöstä kuin direktiivin 1 artiklan 2 kohdassa, jossa säädetään tiedoista ja erityisesti henkilötiedoista, jotka liikkuvat jäsenvaltioiden sekä yhteisön toimielimien ja elimien välillä tai toimielinten ja elinten välillä ja joita hallinnoidaan perustamissopimusten tai johdetun oikeuden asiaankuuluvien määräysten ja säännösten mukaisesti (kuten EY:n perustamissopimuksen 213 artiklassa). On tietysti itsestään selvää, ettei tämä asetus vaikuta niihin oikeuksiin, jotka taataan muilla yhteisön tai jäsenvaltioiden määräyksillä. Näin on erityisesti Euroopan yhteisöjen henkilöstösääntöjen kohdalla. 2 artikla: Määritelmät Tässä artiklassa toistetaan direktiivin 2 artiklan määritelmät. 'Rekisterinpitäjän' määritelmää on mukautettu yhteisön eritysvaatimuksiin. Kyseessä ovat täysin tosiasioihin perustuvat täsmennykset, joissa korostetaan sitä, että tilanteen mukaan rekisterinpitäjä voi olla yhteisön toimielin tai elin tai hallinnollinen yksikkö esimerkiksi pääosasto. Kuitenkin määrittelyperusteet sille, ketä kulloinkin pidetään tietojen käsittelystä vastaavana rekisterinpitäjänä, ovat samat kuin direktiivissä. Kyseessä on kokonaisuus, joka yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoitukset ja käsittelyn täytäntöönpanokeinot. 3 artikla: Soveltamisala 1 kohta: Yhteisön toimielimet ja elimet, joihin asetusta sovelletaan Tätä asetusta sovelletaan kaikkien yhteisön toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn. Asetuksen soveltamisalaan kuuluvat seuraavien toimielinten suorittamat käsittelyt: - EY:n perustamissopimuksen 7 artiklassa luetellut toimielimet: Euroopan parlamentti, neuvosto, komissio, yhteisöjen tuomioistuin, tilintarkastus-tuomioistuin; - Euroopan yhteisön, EHTY:n ja Euratomin perustamissopimuksilla perustetut elimet: Euroopan keskuspankki, Euroopan investointipankki, Euroopan oikeusasiamies, talous- ja sosiaalikomitea, alueiden komitea; - yhteisön johdetun oikeuden säädöksillä perustetut elimet, jotka perustuvat esimerkiksi EY:n perustamissopimuksen 308 artiklaan, kuten Euroopan ammatillisen koulutuksen kehittämiskeskus, Euroopan elin- ja työolojen kehittämissäätiö, Euroopan ympäristökeskus, Euroopan koulutussäätiö, Euroopan huumausaineiden ja niiden väärinkäytön seurantakeskus, Euroopan lääkearviointivirasto, sisämarkkinoilla toimiva yhdenmukaistamisvirasto (tavaramerkit ja mallit), Euroopan työturvallisuus- ja työterveysvirasto, yhteisön kasvilajikevirasto ja Euroopan unionin elinten käännöskeskus. On tarkoitus, että asetusta sovelletaan yhtäläisesti kaikkeen yhteisön toimielinten ja elinten toimintaan kuuluvaan tietojen käsittelyyn. Näiden toimintojen välillä ei tehdä minkäänlaista eroa. Kyseessä voi siis olla EY:n, EHTY:n tai Euratomin perustamissopimuksen nojalla suoritettu toiminta tai jopa Euroopan unionista tehdyn sopimuksen VI osaston nojalla suoritettu toiminta. Tämän asetuksen soveltamisalaan ei kuitenkaan kuulu Euroopan unionista tehdyn sopimuksen VI osaston puitteissa perustettujen elimien, kuten Europolin, suorittamat henkilötietojen käsittelyt. 2 kohta: Asetuksen alaiset käsittelyt Tämä kohta on sama kuin direktiivin 3 artiklan 2 kohta: Tätä kohtaa sovelletaan kokonaan tai osittain automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen muuhun kuin automaattiseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. II luku: Yleiset säännöt henkilötietojen käsittelyn laillisuudesta 1 jakso: Tietojen laatua koskevat periaatteet 4 artikla Tässä artiklassa toistetaan direktiivin 6 artiklan säännökset. Erityisesti artiklan b ja c alakohdassa esitetään poikkeukset, jotka antavat mahdollisuuden tietojen myöhempään käyttöön historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten. Näihin poikkeuksiin on liitettävä asianmukaiset suojatoimet. Artiklassa säädetään siitä, että toimielimen tai elimen, joka käyttää historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten, on ryhdyttävä tarpeellisiin suojatoimiin. Tietojen myöhempi käsittely muihin tarkoituksiin kuin niihin, joihin ne on alunperin kerätty, voi olla nimenomaisesti sallittu oikeussäännöksissä. Tällainen säännös on esimerkiksi yhteisön tilastoista 17 päivänä helmikuuta 1997 annetun neuvoston asetuksen (EY) N:o 322/97 16 artikla, jossa säädetään hallinnollisten tietojen käytöstä, jotta vastaajille aiheutuvan työmäärän vähentämiseksi. 2 jakso: Tietojenkäsittelyn laillisuutta koskevat perusteet 5 artikla Tässä artiklassa annetaan direktiivin 7 artiklan mukaisesti täydellinen luettelo tietojenkäsittelyn laillisuutta koskevista ehdoista. Siihen on lisätty kolme muutosta: - luettelon esitystapaa on muutettu; - luettelo on suppeampi; - yhtä ehdoista on täsmennetty. - Luettelon esitystapaa on muutettu: ehdot on luokiteltu sellaiseen käytännölliseen tärkeysjärjestykseen, jota voidaan odottaakin sellaisilta viranomaisilta kuten yhteisön toimielimet ja elimet. Näyttää erityisen loogiselta asettaa ensimmäiseksi laillisuutta koskevaksi ehdoksi yhteisön toimielimille tai elimille kuuluvan tehtävän suorittaminen. Samoin rekisteröityjen suostumus tai heitä koskeva elintärkeä etu, vaikka ne ovat tarpeellisia yhteisön toimielinten ja elinten toiminnalle, esimerkiksi terveydenhoidon hallinnossa, eivät saisi käytännössä olla käsittelyjen yleisimmin käytettyjä laillisuusehtoja. - Luettelo on suppeampi: direktiivin 7 artiklan f alakohtaa ei ole otettu tähän asetukseen. Alakohdassa tietojenkäsittelyn laillisuutta perustellaan rekisterin-pitäjän tai sivullisen oikeutetulla intressillä, sillä ehdolla, että rekisteröidyn etuja ei syrjäytetä. Tätä alakohtaa ei voida soveltaa julkisen sektorin toimintaan. Sen laajan soveltamisalan voidaan katsoa kattavan ainoastaan yksityisen sektorin toiminnan. - a alakohdan tekstiä on mukautettu: Tämä alakohta on sama kuin direktiivin 7 artiklan e alakohta, mutta sitä on mukautettu yhteisön tarpeisiin: yhteisön toimielimet tai elimet käyttävät sellaista julkista valtaa, johon perustuen voidaan tarvittaessa suorittaa tietojenkäsittelyä. Tämä a alakohta käsittää myös sellaisen henkilötietojen käsittelyn, joka on välttämätöntä toimielinten ja elinten päivittäisen hallinnon kannalta, kuten virkamiesten henkilötietojen käsittelyn. 6 artikla: Lisäkäsittely yhteensopivia tarkoituksia varten Tässä artiklassa viitataan tietojen käsittelyyn muuta tarkoitusta varten kuin sitä, johon ne on kerätty, mutta joka on kuitenkin yhteensoveltuva keruun alkuperäisen tarkoituksen kanssa. Artiklan 1 kohdassa edellytetään, että henkilötietoja voidaan käsitellä muuta kuin sitä tarkoitusta varten, johon ne on kerätty, ainoastaan silloin, jos se oikeutettu toimielimen tai elimen sisäisissä säännöissä. Artiklan 2 ja 3 kohdassa täsmennetään kaksi tapausta, joissa henkilötietoja voidaan käsitellä muuta kuin sitä tarkoitusta varten, johon ne on kerätty. Artiklan 2 kohdassa annetaan lupa siihen, että muihin tarkoituksiin kerättyjä henkilötietoja voidaan käsitellä rahoitusta ja talousarviota koskevien määräysten noudattamisen varmistamiseksi. Asetuksen 6 artiklaa sovelletaan rajoittamatta 18 artiklan soveltamista, jossa määritellään ne olosuhteet, joissa voidaan sallia tietojen käsittely muuta tarkoitusta varten kuin sitä, johon ne on kerätty, vaikka se ei ole yhteensoveltuva keruun alkuperäisen tarkoituksen kanssa. 7, 8 ja 9 artikla: Henkilötietojen siirtäminen Asetuksen 7, 8 ja 9 artikla käsittelevät erilaisia tilanteita. Asetuksen 7 artiklassa käsitellään henkilötietojen siirtämistä Euroopan yhteisön toimielimissä tai elimissä tai niiden välillä. Tässä tapauksessa henkilötietoja siirretään vastaanottajalle, jota tämä asetus ei koske. Asetuksen 8 artiklassa käsitellään tietojen siirtämistä Euroopan yhteisön toimielimistä tai elimistä vastaanottajalle, jota direktiivi 95/46/EY ei koske. Asetuksen 7 ja 8 artiklaa sovelletaan rajoittamatta 4, 5 ja 6 artiklan soveltamista. Nämä artiklat sisältävät suojatoimia ja 7 artiklan osalta täsmennetään rekisterinpitäjän ja vastaanottajan vastuu. 9 artikla: henkilötietojen siirtäminen vastaanottajalle, joka ei ole yhteisön asian-mukaisen tietosuojan tasolla Asetuksen 9 artiklassa toistetaan direktiivin 25 ja 26 artikla ja siinä käsitellään henkilötietojen siirtämistä vastaanottajalle, jota ei koske asetus eikä direktiivi 95/46/EY. Suurin osa tapauksista koskee henkilötietojen siirtämistä kolmansiin maihin. Asetuksen 9 artiklan menettelysäännökset on mahdollisuuksien rajoissa mukautettu direktiivin säädöksiin. 3 jakso: Tietojenkäsittelyn erityiset ryhmät 10 artikla: Erityisten tietoryhmien tietojenkäsittely Tämän artiklan rakenne on sama kuin direktiivin 8 artiklan rakenne, johon kuuluu: - artiklan 1 kohdassa mainittujen arkaluontoisten henkilötietojen käsittelykielto. Arkaluontoisina henkilötietoina pidetään seuraavia: tiedot, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvät tiedot; - useita erityistarpeiden aiheuttamia poikkeuksia, joihin on liitettävä asianmukaiset suojatoimet. On syytä huomata, että Euroopan yhteisöjen virkamiehiin ja muuhun henkilöstöön sovellettavat henkilöstösäännöt sisältävät jo määräyksiä, jotka kieltävät mainitsemasta virkamiehen henkilökansiossa tiettyjä arkaluontoisia henkilötietoja. Henkilöstö-sääntöjen 26 artiklassa luetellaan virkamiehen poliittiset, maailmankatsomukselliset ja uskonnolliset mielipiteet. Henkilöstösäännöissä ei viitata muihin direktiivin arkaluontoisina pitämiin tietoihin. Henkilöstösääntöjä onkin linjattava tämän asetuksen mukaiseksi. Direktiivin 8 artiklan 5 kohdassa mainittuja tuomioita koskevien tietojen käsittelyihin liittyvää poikkeusta voidaan soveltaa vain osittain yhteisön toimielimien ja elimien kohdalla. Euroopan tietosuojavaltuutettu on 4 ja 6 kohdan nojalla oikeutettu tekemään päätöksiä muista poikkeuksista (4 kohta), sallia rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä (4 kohta) ja määritellä ne olosuhteet, joissa (tämän artiklan 4 kohta) henkilönumeroon tai muuhun yleiseen tunnisteeseen liittyviä tietoja voidaan käsitellä yhteisön toimielimessä tai yhteisön elimessä (6 kohta). Esimerkkinä sellaisesta henkilötietojen käsittelystä, johon Euroopan tietosuoja-valtuutettu voi myöntää luvan, voidaan mainita käsittely, jolla pyritään estämään tietoverkkojen luvaton käyttö esimerkiksi, kun niitä käytetään rasismia tukevan poliittisen aineiston tai pornografian levittämiseen. Euroopan tietosuojavaltuutetulle 4 ja 6 kohdassa myönnettyä harkintavaltaa ei saa käyttää yhteisön lainsäädännön tai muiden oikeudellisten välineiden mukaisten poikkeusten vastaisesti. On ehdotettu, ettei tässä asetuksessa käytettäisi seuraavia direktiivin 8 artiklan 5 kohdan toisessa alakohdassa jäsenvaltioille jätettyjä oikeuksia, joilla ulotetaan tuomioihin sovellettava järjestelmä hallinnollisiin seuraamuksiin ja siviiliprosesseihin. 4 jakso: Rekisteröidyn informointi 11 artikla: Informointi kerättäessä tietoja rekisteröidyltä Asetuksen 11 artiklan 1 kohta on hyvin samantyyppinen kuin direktiivin 10 artikla. On kuitenkin aihetta huomauttaa kahdesta seikasta: - Rekisterinpitäjä: 10 artiklassa viitataan rekisterinpitäjän edustajaan ja tilanteeseen, jossa rekisterinpitäjä ei ole yhteisön alueella vaan kolmannessa maassa. Tällaista viittausta ei tarvita koska kyseessä ovat yhteisön toimielimet ja elimet, eikä sitä siten ole otettu tähän asetukseen. - Rekisteröidyille toimitettavien tietojen luettelo: samoin kuin direktiivin 10 artiklassa annetaan tämän asetuksen 11 artiklassa on luettelo tiedoista. On ehdotettu, että direktiivissä annettua luetteloa täydennetään. Direktiivin 10 artiklassa ei suoranaisesti määritellä, minä ajankohtana rekisteröityä on informoitava. Yleensä tämä on ajankohta, jolloin henkilötiedot kerätään. Direktiivin 11 artiklan 2 alakohdassa annetaan mahdollisuus lykätä tietojen toimittamista myöhempään ajankohtaan, jos se on tarpeellista säännöksessä mainitusta erityisestä syystä. 12 artikla: Informointi hankittaessa tietoja muualta kuin rekisteröidyltä Asetuksen 11 artiklasta tehdyt huomiot pätevät myös 12 artiklaan. Direktiivin 11 artiklassa tarkoitetut poikkeukset tietojenantovelvoitteesta ovat samat. Täsmennys koskee lakia, jota voidaan käyttää poikkeuksen oikeusperustana ja sen on oltava yhteisön lainsäädännön mukainen. 5 jakso: Rekisteröidyn tiedonsaantioikeus Selkeyden vuoksi direktiivin 12 artiklan sisältö on jaettu 13-17 artiklaan. Sanontaa on myös selkeytetty eräiltä osin. 13 artikla: Tiedonsaantioikeus Tämä artikla on sama kuin direktiivin 12 artiklan a alakohta. Tähän on lisätty muutos, joka koskee niitä kustannuksia, joiden korvaamista voidaan mahdollisesti pyytää tiedonsaantioikeuttaan käyttävältä rekisteröidyltä. Asetuksen 12 artiklassa säädetään, etteivät kulut saa olla kohtuuttomia. Asetuksessa sen sijaan ehdotetaan säädettäväksi, että kustannuksia ei olisi lainkaan. On myös ehdotettu, että käytettäisi direktiivissä annettua mahdollisuutta rajoittaa rekisterinpitäjän velvollisuutta antaa rekisteröidylle tietoja häntä koskevaan automatisoituun päätöksentekomenettelyyn liittyvästä logiikasta. 14 artikla: Oikaisu Tässä artiklassa kuten seuraavassa 15 ja 16 artiklassa esitetään yksi niistä kolmesta toimenpiteestä, joihin on rekisterinpitäjän ryhdyttävä, jos ilmenee, että tietojen-käsittelyä ei toteuteta asetuksen mukaisesti. Tämän asetuksen kolmessa artiklassa toistetaan direktiivin 12 artikla b alakohta. Siihen tehdään kuitenkin joitain täsmennyksiä. 15 artikla: Suojaaminen Tässä artiklassa annetaan useita täsmennyksiä erityisesti sellaisiin tilanteisiin, joissa: - tätä teknistä operaatiota voidaan käyttää: jos rekisteröity kiistää käsiteltyjen tietojen asianmukaisuuden suhteessa niiden käyttötarkoitukseen, jos tietoja säilytetään todisteluun liittyvistä syistä, jos rekisteröity vaatii poistamisen sijaan niiden suojaamista; - suojattuja tietoja voidaan käyttää uudelleen. 16 artikla: Poistaminen Artiklan 1 kohdassa säädetään, että henkilötiedot on poistettava, jos niiden käsittely on ollut laitonta, erityisesti kun on rikottu tiedon laatua, laillista käsittelyä ja arkaluontoista tietoja koskevia säännöksiä. Artiklan 2 kohdassa toistetaan se, periaate, että Henkilötietoja saa säilyttää ainoastaan niin kauan kuin niitä ei enää tarvitaan niiden tehtävien suorittamiseen, joita varten ne on kerätty. 17 artikla: Ilmoitus sivullisille Tämä artikla on sama kuin direktiivin 12 artiklan c alakohta. 6 jakso: Poikkeukset ja rajoitukset 18 artikla: Poikkeukset ja rajoitukset Tämän artiklan sisältö on osittain sama kuin direktiivin 13 artiklan, joka jättää jäsenvaltioille tiettyjä oikeuksia. Jos jäsenvaltiot käyttävät näitä oikeuksia, niiden on vastattava tiettyjä ehtoja: - rekisteröityjen henkilöiden oikeuksien ja rekisterinpitäjän velvoitteiden rajoittaminen: päinvastoin kuin direktiivin 13 artikla tässä artiklassa keskitytään rekisteröidyn informointia (11 ja 12 artikla) ja tiedonsaantioikeuksia (13 artikla) koskeviin poikkeuksiin. Ehtoja, joiden puitteissa voidaan poiketa tietojen laadusta siinä määrin kuin on kyseessä yhteensoveltuvat tarkoitukset, on käsitelty jo edellä tämän asetuksen 6 artiklassa, joka koskee lisäkäsittelyä yhteensoveltuvia tarkoituksia varten. Tämän asetuksen 18 artiklassa ei myöskään ole suotavaa viitata 14, 15 ja 16 artiklaan. Näissä artikloissa säädettyjen oikeuksien harjoittamiseksi edellytetään, että tiedonsaantioikeus on myönnetty. Tiedonsaantioikeuden puuttuessa ne eivät voi toimia; jos taas tiedonsaantioikeus on myönnetty, oikeuksia koskeva poikkeus ei ole enää perusteltu. - syyt rekisteröityjen henkilöiden oikeuksien rajoittamiselle: valtion turvallisuuteen, puolustukseen ja yleiseen turvallisuuteen liittyviä syitä, jotka lueteltu 13 artiklan 1 kohdan a, b ja c alakohdassa ei ole otettu mukaan, koska niitä ei voida soveltaa yhteisön toimielimiin ja elimiin.. - suojatoimet, joihin on ryhdyttävä: Direktiivin 13 artiklassa ei anneta lupaa yksioikoiseen poikkeukseen, vaan tapauskohtaisten poikkeusten ja rajoitusten toteuttamiseen. Sen vuoksi tämän artiklan 3 ja 4 kohdan tavoite on säätää erilaisista suojatoimista, joilla suojellaan rekisteröityjä, joiden tiedonsaanti-oikeuksia on rajoitettu jossain tietyssä tilanteessa. Rekisteröidylle on ilmoitettava pääasialliset syyt rajoituksen soveltamiseen sekä se, että hänellä on oikeus saattaa asia Euroopan tietosuojavaltuutetun käsiteltäväksi ja oikeus tiedonsaantiin jälkikäteen. 7 jakso: Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä 19 artikla: Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä Tässä artiklassa toistetaan direktiivin 14 artiklan a alakohta, joka jättää jäsenvaltioille tiettyä liikkumavaraa tämän oikeuden soveltamisalan osalta. Tässä asetuksessa on siis välttämätöntä tehdä joitain täsmennyksiä. On myös huomattava, että 14 artiklan b alakohta, joka koskee suoramarkkinointitarkoitusten vastustamista, ei koske yhteisön toimielimien ja elimien toimintaa. Direktiivin 14 artiklan a alakohdassa määritellyn henkilötietojen käsittelyä koskevan vastustusoikeuden soveltamisala osalta on kuitenkin huomautettava, että viittausta direktiivin 7 artiklan f alakohdan perusteella suoritettaviin käsittelyihin - direktiivin14 artiklan a alakohdassa viitataan 7 artiklan a alakohtaan - ei voida soveltaa yhteisön toimielimiin ja elimiin, koska kuten jo korostettiin itse 7 artiklan f alakohta, ei voida soveltaa yhteisön erityistilanteeseen.. 20 artikla: Rekisteröidyn kanteluoikeus Kanteluoikeus on seuraus niistä valtuuksista, jotka Euroopan tietosuojavaltuutetulle on direktiivin 28 artiklan 4 kohdan mukaisesti annettu kantelujen vastaanottamiseksi. 21 artikla: Automatisoidut yksittäispäätökset Tämä artikla on sama kuin direktiivin 15 artikla. On selvää, että tietyt 15 artiklan 1 kohdassa luetellut esimerkit, jotka liittyvät tiettyjen henkilökohtaisten ominaisuuksien arviointiin eivät kuulu tähän asetukseen eikä niitä siten ole siihen otettu (kuten henkilön luottokelpoisuus). 8 jakso: Käsittelyn luottamuksellisuus ja turvallisuus 22 artikla: Käsittelyn luottamuksellisuus Tämä artikla on sama kuin direktiivin 16 artikla. Asetukseen ei katsottu aiheelliseksi sisällyttää direktiivissä säädettyä mahdollisuutta lain nojalla tehtävään poikkeukseen. Tarkoituksen muuttamista koskeva 6 artiklan olemassaolo tekee tällaisen täsmennyksen tarpeettomaksi. 23 artikla: Käsittelyn turvallisuus Tämä artikla on sama kuin direktiivin 17 artikla 1 kohta, mutta siinä selvennetään tätä kohtaa. Tämän artiklan 1 kohta on sama kuin direktiivin 17 artiklan 1 kohdan toinen alakohta. Artiklan 2 kohdassa käsitellään turvallisuustoimenpiteiden toteuttamista, silloin kun henkilötietoja käsitellään manuaalisesti. Artiklan 3 kohdassa selvennetään direktiivin 17 artiklan 1 kohdan ensimmäistä alakohtaa, jonka teksti on hyvin yleisluonteinen. Siinä nojaudutaan Euroopan neuvoston viime aikoina antamiin tietosuojaa koskeviin suosituksiin sekä Schengenin sopimuksen soveltamista koskevan yleissopimukseen (118 artikla). On selvää, että käytännön tasolla toteutettavat turvallisuustoimenpiteet lomittuvat toimielimien ja elimien jo toteuttamiin tietojärjestelmien turvallisuutta koskeviin laajempiin toimenpiteisiin (vertaa esimerkiksi 23 päivänä marraskuuta 1995 tehty komission päätös, joka tähtää tietojärjestelmien yhtenäisyyden, luotettavuuden ja valmiuden suojaamiseen). 24 artikla: Rekisterinpitäjän lukuun suoritettava henkilötietojen käsittely Tämä artikla on sama kuin direktiivin 17 artiklan 2, 3 ja 4 kohta. 9 jakso: Tietosuojasta vastaava henkilö 25 artikla: Tietosuojasta vastaava henkilö Tässä artiklassa säädetään siitä, että jokaisen yhteisön toimielimen ja elimen on nimettävä vähintään yksi henkilötietosuojasta vastaava henkilö, joka on vastuussa itsenäisesti tietosuojan soveltamisen varmistamisesta kyseisessä yhteisön toimielimessä ja elimessä. Direktiivin 18 artiklan 2 kohdassa viitataan siihen, että jäsenvaltioilla on mahdollisuus tietosuojasta vastaava henkilön nimeämiseen. Tämän artiklan mukaan nimeäminen antaa mahdollisuuden valvontaviranomaisen vaatimien ilmoitusmenettelyjen yksinkertaistamiseen ja jopa niistä poikkeamiseen. Direktiiviin on vaikuttanut joissain jäsenvaltioissa vakiintunut käytäntö, joka mahdollistaa yksilön suojan tehokkaan täytäntöönpanon. Seuraavista tietosuojasta vastaavaa henkilöä koskevista asioista voidaan esittää muutamia huomioita: nimeäminen, tehtävät, tehtävien hoitamista koskevat takuut, suhteet valvontaviranomaiseen. - Tietosuojasta vastaavan henkilön nimeäminen: jokaisen yhteisön toimielimen ja yhteisön elimen on nimettävä vähintään yksi tietosuojasta vastaava henkilö. Tietyt toimielimet - kuten esimerkiksi komissio - joutuvat todennäköisesti sen käytännön tilanteen eteen, että niiden on nimettävä useita henkilöitä sen mukaan, miten paljon ja miten tärkeitä henkilötietoja toimielimessä käsitellään. - Tietosuojasta vastaavan henkilön tehtävät: Tämän artiklan 1 kohdassa määritellään henkilön pääasialliset tehtävät. Teksti seuraa hyvin läheisesti direktiiviä. Tietosuojasta vastaavan henkilön on varmistettava tietosuojan sisäinen soveltaminen ja pidettävä toimielimessä tai elimessä käsiteltyjä tietoja koskevaa rekisteriä. Tässä artiklassa korostetaan tietosuojasta vastaavan henkilön roolia sen varmistamisessa, että rekisterinpitäjille ja rekisteröidyille tiedotetaan heidän oikeuksistaan ja velvollisuuksistaan. Tällainen tiedottaminen on välttämätön ehto direktiivin tuoman suojan moitteettomalle soveltamiselle. Tästä syystä korostetaan 1 kohdan a alakohtaa, joka pohjimmiltaan ei kuitenkaan lisää mitään direktiivin yleisluontoisempaan tekstiin. Tietosuojasta vastaavalle henkilölle on uskottu erilaisia erityistoimia, jotta tämä voisi suorittaa tehtävänsä. Hän voi antaa suosituksia tietosuojan parantamiseksi toimielimessä tai elimessä. Tietosuojasta vastaavaa henkilöä voi kuulla hänet nimittänyt yhteisön toimielin tai elin, asianomainen rekisterinpitäjä ja asianomainen henkilöstökomitea. Tietosuojasta vastaavalla henkilöllä on velvollisuus olla yhteistyössä Euroopan tietosuojavaltuutetun kanssa (b alakohta). Artiklan 1 kohdan e alakohdassa esitetyllä velvoitteella helpotetaan sellaisten käsittelytoimien tunnistamista, joihin liittyy erityisiä riskejä, antamalla Euroopan tietosuojavaltuutetulla mahdollisuus ennakkotarkastukseen. - Tehtävien hoitamista koskevat takeet: Säädettyjen takeiden tarkoituksena on selventää mahdollisimman tarkasti direktiivissä mainittua riippumattomuuden perusehtoa, joka luo pääpiirteet tietosuojasta vastaavan henkilön asemalle. 26 ja 27 artikla: Tietosuojasta vastaavan henkilön suorittama rekisteröinti Avoimuuden lisäämiseksi 27 artiklassa säädetään direktiivin tekstin mukaisesti, että tietosuojasta vastaavan henkilön on pidettävä rekisteriä yhteisön toimielimissä ja elimissä suoritetuista käsittelyistä. Tietosuojasta vastaavan henkilön työn helpottamiseksi rekisterinpitäjien on ilmoitettava hänelle etukäteen käsittelyistä. Tietosuojasta vastaavalle henkilölle toimitettavien tietojen luettelo on sama kuin direktiivin 19 artiklan 1 kohdassa, johon viitataan direktiivin 21 artiklan 1 kohdassa. Direktiivin tarkoittama luettelo on vähimmäisluettelo. Yhteisön toimielimissä ja elimissä suorittuja käsittelyjä koskevan avoimuuden lisäämiseksi on ehdotettu täydennettäväksi luetteloa käsittelyjen oikeusperustaa (esimerkiksi tietojenkäsittelyn tarpeelliseksi tekevät yhteisön oikeuden säännökset) ja tietojen säilyttämisajan pituutta koskevilla tiedoilla. Tässä yhteydessä huomautetaan vielä siitä, että direktiivin 19 artiklan 1 kohdan a alakohdassa tarkoitettuja rekisterinpitäjän edustajaa koskevia tietoja ei voida soveltaa yhteisön toimielimiin ja elimiin. 10 jakso: Euroopan tietosuojavaltuutetun suorittama ennakkotarkastus 28 artikla: Euroopan tietosuojavaltuutetun suorittama ennakkotarkastus Tämä artikla vastaa direktiivin 20 artiklaa. Direktiivi perustuu käsittelyjen laillisuuden valinnaiseen valvontaan niiden erityisten riskien mukaisesti, joita liittyy rekisteröityjen oikeuksiin: - käsittelyistä tietosuojavaltuutetulle tehtäviä ilmoituksia voidaan yleisesti yksinkertaistaa, ja niistä voidaan joillain ehdoin jopa vapauttaa erityisesti, jos tietosuojasta vastaavan henkilön toimi on perustettu. - ilmoitusmenettely on edelleen tarpeellinen ja se voi muotoutua tehokkaammaksi etukäteisvalvonnaksi erityisiä riskejä sisältävien käsittelyjen osalta. Tässä asetuksessa otetaan huomioon tietosuojasta vastaavan henkilön nimeäminen yhteisön toimielimiin ja elimiin ja rajoitetaan Euroopan tietosuojavaltuutetulle ilmoitettavat käsittelytoimet niihin, joihin liittyy erityisiä riskejä. Kunkin yhteisön toimielimen ja elimen tietosuojasta vastaavan henkilön on ilmoitettava erityisiä riskejä sisältävistä käsittelyistä 20 artiklan 2 kohdan antaman mahdollisuuden mukaisesti. Direktiivin 20 artiklan 1 kohdassa säädetään, että jäsenvaltioiden on määritettävä käsittelyt, joista saattaa aiheutua erityisiä riskejä. Johdanto-osan 53 kappaleessa lausutaan, että jäsenvaltiot voivat halutessaan määritellä lainsäädännössään tällaiset riskit, mutta voivat myös antaa valvontaviranomaisille mahdollisuuden kehittää itse oman käsityksensä niistä käsittelyistä, joista saattaa aiheutua erityisiä riskejä. Tämä artikla päätyy antamaan tietosuojavaltuutetulle toimivallan määritellä ne käsittelytoimet, joihin saattaa liittyä erityisiä riskejä. Tässä artiklassa kuitenkin annetaan joitain johdanto-osan 53 kappaleen mukaisia esimerkkejä. Johdanto-osan 54 kappaleen mukaisesti tämän artiklan 3 kohdassa säädetään että, tietosuojavaltuutetun on annettava lausuntonsa käsittelyn laillisuudesta saatuaan ilmoituksen mahdollisesti erityisiä riskejä aiheuttavasta käsittelystä. Ilmoituksen laatineen toimielimen ja elimen on ryhdyttävä käytännön toimiin. III luku: Oikeuskeinot ja seuraamukset 29 ja 30 artikla Nämä kolme säännöstä sisältävät direktiivin 22, 23 ja 24 artiklan. Yhteisön oikeuden mukaisesti on tärkeää, että yksityisille ihmisille annettuja oikeuksia voidaan panna täytäntöön silloin, kun yhteisön toimielin tai elin rikkoo näitä oikeuksia. Yhteisön sopimussuhteen ulkopuolisesta vastuusta EY:n perustamissopimuksessa annettujen määräysten mukaisesti, yhteisö korvaa toimielintensä ja henkilöstönsä tehtäviään suorittaessaan aiheuttaman vahingon ja yhteisön tuomioistuimella on toimivalta ratkaista vahingonkorvausta koskevat riidat. IV luku: Henkilötietojen ja yksityisyyden suoja sisäisten televiestintäverkkojen yhteydessä Tässä luvussa toistetaan direktiivin 97/66/EY säännökset henkilötietojen ja yksityisyyden suojaa televiestintäalan yhteydessä siinä määrin kuin niitä voidaan soveltaa yhteisön toimielimiin ja elimiin. Useimpia säännöksiä on pitänyt mukauttaa yhteisön toimielinten ja elinten erityisolosuhteisiin. 31 artikla: Soveltamisala Tätä lukua sovelletaan henkilötietojen käsittelyyn sellaisten televiestintäverkkojen käytön yhteydessä, joita käytetään yhteisön toimielimen ja elimen valvonnan alaisena. 31-37 artiklaa sovelletaan ainoastaan silloin, jos yhteisön toimielin ja elin ovat tosiasiallisesti sellaisessa asemassa, jossa ne voivat määritellä televiestintäverkkojen toimintaa. 32: Turvallisuus Tämä säännös on sama kuin direktiivin 97/66/EY 4 artikla. Siinä tapauksessa että, televiestintäverkko tai -linja on yhteydessä yleiseen televiestintäverkkoon tai siinä tapauksessa, että tällaista televiestintäverkkoa tai -linjaa käytetään yhdessä tai yleisen televiestintäverkon tarjoajien kanssa, voi olla tarpeellista, että yhteisön toimielin tai elin on yhteistyössä kyseisen verkon tai palvelujen tarjoajan kanssa riittävän turvallisuustason takaamiseksi. 33 artikla: Viestinnän luottamuksellisuus Tämä säännös on sama kuin direktiivin 97/66/EY 5 artikla. Asetuksen 34 artiklassa mainittujen tavoitteiden kannalta voi olla tarpeellista seurata televiestintäverkon käyttöä tietyissä tapauksissa. Esimerkkeinä voidaan mainita tiettyjen puhelujen laskuttamista varten käytettävien tietojen tallentaminen taiyhteisön toimielinten tai elinten virkamiesten Internetin käytön valvonta. Tämän asetuksen yleisten linjojen mukaisesti tällaisen valvonnan tulisi olla mahdollisimman rajattua. 34 artikla: Liikenne- ja laskutustiedot Tämä säännös on sama kuin direktiivin 97/66/EY 6 artikla. Asetuksen 34 artiklassa täsmennetään, että liikenne- ja laskutustietojen käsittely on rajoitettava ainoastaan laskutuksen, liikenteen tai budjettihallinnon tarpeisiin. 35 artikla: Käyttäjien luettelot Tämä säännös on sama kuin direktiivin 97/66/EY 11 artikla. Yhteisön toimielinten ja elinten moitteettoman toiminnan varmistamiseksi käyttäjille eli tässä tapauksissa virkamiehille ei voida antaa sitä mahdollisuutta, ettei heidän nimiään julkaistaisi painetuissa tai sähköisissä puhelinluetteloissa. Näissä luetteloissa olevat henkilötiedot olisi kuitenkin rajoitettava siihen, mikä luettelon erityistarkoitusten kannalta on tarpeellista. Tästä seuraa, että tiettyjen tietojen osalta virkamies voi päättää, haluaako hän tietoja otettavan mukaan. Esimerkkinä voidaan mainita oikeus vaatia, että kaikkia syntyessä saatuja virallisia etunimiä ei mainita luettelossa, vaan vain se etunimi, jolla kollegat virkamiehen tuntevat, edellyttäen tietenkin, että kyseessä ei ole salanimi. 36 artikla: Kutsuvan ja yhdistetyn linjan näytön ja tunnistuksen rajoittaminen Tämä säännös on sama kuin direktiivin 97/66/EY 8 artikla. Direktiivin 8 artiklan 3 kohtaa ei kuitenkaan ole otettu mukaan, sillä vastaamatta jättämistä kollegoilta tuleviin puheluihin ei katsota tarkoituksenmukaiseksi mahdollisuudeksi puhuttaessa yhteisön toimielimistä ja elimistä. 37 artikla: Poikkeukset Tämä säännös on sama kuin direktiivin 97/66/EY 9 artikla. V luku: Valvontaviranomainen: Euroopan tietosuojavaltuutettu 38-47 artikla Valvontaviranomaisen toimi on muotoiltu soveltuvin osin direktiivin 28 artiklan mukaisesti, joka antaa selvät ohjeet kansallisella tason valvontaviranomaisen riippumattomuudesta ja niistä valtuuksista, joita tällä on oltava käytössään. Tämä säännös velvoittaa jäsenvaltiot noudattamaan velvoitteita ja EY:n perustamis-sopimuksen 286 artikla siirtää samat velvoitteet toimielimille ja elimille. 39 artikla: Euroopan tietosuojavaltuutetun nimittäminen Ratkaisussa valvontaviranomaisen nimittämistä koskeviksi säännöiksi on otettu mallia Euroopan oikeusasiamiehen nimittämistä koskevista määräyksistä (EY:n perustamissopimuksen 195 artikla). Direktiivin 29 artiklassa perustetun tietosuojan neuvoa-antavan ryhmän lausunnon mukaan parlamentin toimeenpanema valvontaviranomaisen nimeäminen muodostaa asianmukaisen ratkaisun asiassa. Toisin kuin nimitettäessä Euroopan oikeusasiamiestä, Euroopan parlamentin on kuitenkin kuultava komissiota ja neuvostoa. 46 artikla: Euroopan tietosuojavaltuutetun toimivalta Voidaan katsoa, että valtuuksilla olla asianosaisena oikeudenkäynnissä yhteisöjen tuomioistuimessa ja ensimmäisen oikeusasteen tuomioistuimessa 46 artiklan 2 kohdan e alakohdassa tarkoitetulla tavalla sovelletaan direktiivin 28 artiklan 3 kohdan kolmatta luetelmakohtaa. Mainitussa 46 artiklan 7 kohdassa sovelletaan direktiivin 28 artiklan 1 kohdan viimeistä alakohtaa. Yhteisöjen tuomioistuimen ja ensimmäisen oikeusasteen tuomioistuimen työjärjestyksen muuttaminen on tarpeellista, jotta niissä voidaan käsitellä Euroopan tietosuojavaltuutettua vastaan nostettuja kanteita. Loppusäännökset 48 artikla Tämä säännös on sama kuin direktiivin 95/46/EY 32 artiklan 2 kohta ja siinä taataan siirtymävaihe jo käynnistetyille hankkeille niiden saamiseksi asetuksen mukaisiksi. Kolmen vuoden siirtymävaiheen sijasta on ehdotettu yhden vuoden siirtymäaikaa. RAHOITUSSELVITYS 1. Toimenpiteen nimi Ehdotus neuvoston asetukseksi yksilöiden suojelusta Euroopan yhteisön toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta. 2. Budjettikohta Yleisen talousarvion pääluokan 1 (EP) osaston 3 uusi momentti 39 (perustettava). 3. Oikeusperusta Euroopan yhteisön perustamissopimukseen Amsterdamin sopimuksella lisätty 286 artikla. 286 artikla 1. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä sovelletaan tällä sopimuksella tai tämän sopimuksen nojalla perustettuihin toimielimiin ja elimiin 1 päivästä tammikuuta 1999. 2. Neuvosto perustaa 189 b artiklassa määrättyä menettelyä noudattaen 1 kohdassa tarkoitettuun päivämäärään mennessä näiden yhteisön säädösten soveltamista yhteisön toimielimiin ja elimiin valvovan riippumattoman valvontaelimen sekä antaa tarvittaessa muut aiheelliset säännökset" 4. Toimenpiteen kuvaus 4.1 Toimenpiteen yleistavoite 1. Euroopan yhteisön perustamissopimuksen uuden 286 artiklan 2 kohdassa edellytetyn riippumattoman valvontaelimen perustaminen (Euroopan tietosuojavaltuutettu, katso liite 1) joka valvoo, että yhteisön henkilötieto-suojasääntöjä ja periaatteita sovelletaan yhteisön toimielimiin ja elimiin. 2. Yhden tai useamman henkilötietosuojasta vastaavan henkilön nimittäminen kuhunkin yhteisön toimielimeen ja yhteisön elimeen (katso liitteet 2a ja 2b). 4.2 Toimenpiteen kesto ja sen uusimista tai voimassaolon jatkamista koskevat yksityiskohtaiset säännöt Järjestely on pysyvä. 5. Menojen ja tulojen luokitus 5.1 Ei-pakollinen 5.2 Jaksottamattomat määrärahat 5.3 Oletettu tulolaji ei sovelleta 6. Meno/tulolaji Hallintomenot 7. Rahoitusvaikutukset Katso 10. 8. Petostenvastaiset toimenpiteet Tavaroiden ja palvelujen hankkimista yhteisölle sääntelevien sääntöjen ja käytäntöjen huolellinen noudattaminen varmistetaan Euroopan yhteisöjen yleiseen talousarvioon sovellettavan rahoitusasetuksen, rahoitusasetuksen täytäntöönpanoa koskevien yksityiskohtaisten sääntöjen ja sisäisten sääntöjen mukaisesti. Kaikkiin yhteisön Euroopan tietosuojavaltuutetun, yhteisön toimielimien ja elimien ja muiden sopimuspuolien välisiin sopimuksiin sisällytetään asianmukaiset suojalausekkeet. Kaikkiin sopimuksiin liitetään järjestelmällisesti valvontatoimenpiteitä, jollaisia ovat muun muassa välikertomusten laatiminen ja ennalta määritellyn tyyppisten tulosten tuottaminen ennakkoon määrätyissä sopimuksen vaiheissa. Työsuoritukset tarkistetaan ennen maksujen hyväksymistä. 9. Kustannustehokkuusanalyysi 9.1 Määrälliset erityistavoitteet ja kohderyhmä - Erityistavoitteet: Taata, että yhteisön toimielimissä ja elimissä otetaan käyttöön henkilötietosuojasäännöt sekä sovelletaan ja valvotaan niitä (Euroopan yhteisön perustamissopimuksen uuden 286 artiklan mukainen velvoite). - Kohderyhmä: Kaikki luonnolliset henkilöt, joiden henkilötietoja yhteisön toimielimet ja elimet käsittelevät. Asetuksessa annetut säännökset ovat hyödyksi koko yhteisölle, yhteisön toimielinten ja elinten palveluksessa työskenteleville, kansalaisille ja yhteisön kanssa sopimukset tehneille tahoille, joihin yhteisön toimielimien ja elimien tietosuojan taso voi vaikuttaa. 9.2 Toimenpiteen perustelut Koska Euroopan tietosuojavaltuutettu eli valvontaviranomainen perustetaan EY:n perustamissopimuksen uuden 286 artiklan mukaisesti, se on yhteisön elin ja siten se rahoitetaan yhteisön talousarviosta. - Toimenpiteen toteuttamisessa käytettävien menettelytapojen valinta * edut verrattuna vaihtoehtoisiin toimenpiteisiin: Euroopan tietosuojavaltuutettu EY:n perustamissopimuksen uusi 286 artikla edellyttää Euroopan tietosuojavaltuutetun viran perustamista, josta ei tule osa komissiota, vaan se muodostaa uuden riippumattoman elimen, joka toimii toimielinten-välisellä tasolla, toisin sanoen valvoo kaikkia muita yhteisön toimielimiä ja elimiä. Komissio on arvioinut sekä henkilöstötarpeen (katso 10.1) että taloudellisen vaikutuksen (katso 10.2). Komission ainoana vertailukohtana näiden lukujen määrittämisessä olivat kansalliset tietosuojaviranomaiset. Niitä ei kuitenkaan voida suoraan verrata Euroopan tietosuoja-valtuutettuun. Toisin kuin Euroopan tietosuojavaltuutettu, ne yleensä valvovat sekä julkista että yksityistä sektoria. Lisäksi yhteisön toimielimiä ja elimiä on huomattavasti vähemmän kuin kansallisia viranomaisia. Vertailu tekee selväksi, että on hyvin perusteltua ottaa Euroopan tietosuojavaltuutetun toimistoon vähemmän henkilöstöä kuin kansallisissa viranomaisissa. Toisaalta joidenkin Euroopan tietosuojavaltuutetun toimien aiheuttama työmäärä ei riipu asianomaisten toimielinten ja elinten koosta tai niiden suorittamien tietojen käsittelyjen määrästä. Henkilötietosuojasta vastaava henkilö Asetusehdotuksen mukaan jokaisen yhteisön toimielimen ja yhteisön elimen on nimitettävä vähintään yksi henkilötietosuojasta vastaava henkilö. Yhteisön toimielinten ja elinten (muut kuin komissio) arvioita on kysytty, ja nämä on sisällytetty tähän rahoitusselvitykseen. Euroopan parlamentin pääsihteeristö huomautti, että on kunkin yhteisön toimielimen ja elimen oma asia arvioida omat tarpeensa, ja ettei se anna lausuntoa arvioista. Komission yksiköiden odotetaan kunkin nimittävän yhden osa-aikaisen henkilötietosuojasta vastaavan henkilön jo olemassa olevasta henkilöstöstä, mikä voidaan katsoa paremmaksi vaihtoehdoksi kuin yhden tai useamman kokopäiväisen henkilötietosuojasta vastaavan henkilön nimittäminen koko komissioon. Tämän rahoitusselvityksen luvut perustuvat tähän olettamukseen. On monia syitä osoittaa kuhunkin komission yksikköön oma henkilö-tietosuojasta vastaava henkilö. Komission yksiköt muodostavat kukin erillisen hallinnollisen kokonaisuuden. Tietojen käsittelyn luonne voi olla hyvin erilainen eri yksiköissä. Henkilötietosuojasta vastaavalla henkilöllä on oltava yksityiskohtaista tietoa siitä, mitä tapahtuu juuri hänen oman yksikkönsä tietosuojan alueella. Yhdessä komission yksiköistä (PO XV) on toteutettu näitä linjauksia seurannut menestyksekäs pilottiprojekti. Sitten kun asetus on tullut voimaan, saattaa käydä ilmi, että jotkut yksiköt tarvitsevat enemmän ja jotkut vähemmän henkilötietosuojasta vastaavan henkilön aikaa. Yksiköt voisivat nimittää henkilötietosuojasta vastaavan henkilön jo olemassa olevan henkilöstön joukosta. Nimitetyn henkilön tarvitsisi kuluttaa vain pieni osa työajastaan (arvio keskimäärin viisi prosenttia) henkilötietosuojaan liittyvien tehtävien hoitamisessa. Lisäksi suunnitellaan, että pääsihteeristössä työskentelevä henkilötietosuojasta vastaava henkilö olisi vastuussa kaikkien komission henkilötietosuojasta vastaavien henkilöiden työn koordinoinnista. Näiden tälle henkilötieto-suojasta vastaavalle "keskushenkilölle" osoitettujen lisätoimien myötä hänen työpanoksensa nousee yli viiteen prosenttiin kokonaistyöajasta. Sen on arvioitu voivan olla jopa 25 prosenttia. Lisäksi jotkut muut yksiköt ovat ilmoittaneet selvästi, että ne tarvitsevat hiukan yli viisi prosenttia (olemme arvioineet näiden yksiköiden tarpeet 10 prosentiksi viiden sijasta). Ulkopuoliset tietosuoja-asiantuntijat Lisäksi komissio suosittelee, että ainakin ulkopuoliset tietosuoja-asiantuntijat voisivat alkuvaiheessa tukea ja neuvoa henkilötietosuojasta vastaavia henkilöitä. Toisin kuin PO:n XV käyttämässä mallissa, jossa henkilötietosuojasta vastaavaa henkilöä avusti "oma" ulkopuolinen asiantuntija, rahoitusselvityksessä on suunniteltu käytettäväksi kolmea täyspäiväistä ulkopuolista tietosuoja-asiantuntijaa koko komissiota kohti. * Muiden vastaavien yhteisön tasolla tai kansallisella tasolla mahdollisesti toteutettavien toimien erittely Ajatus siitä, että Euroopan parlamentti tarjoaa Euroopan tietosuojavaltuutetun tueksi infrastruktuurin, perustuu Euroopan oikeusasiamiehen viran käytännön järjestelyihin. Henkilötietosuojasta vastaavan henkilön osalta esimerkkinä on käytetty PO:n XV kokemusta sekä kansallisia käytäntöjä. * Odotetut liitännäis- ja kerrannaisvaikutukset Ei ole. Asiaa on käsitelty tietotekniikan keskuksen kanssa. Tarvittavat