·Rikosoikeudellisen täytäntöönpanon alalla toimivia EU:n elimiä ja laitoksia koskeva EU:n tietosuoja-asetuksen luku vastaa toiminnallisesti lainvalvontadirektiivin kyseisiä elimiä ja laitoksia koskevia säännöksiä. Koska kyse on suoraan sovellettavasta asetuksesta, se on kuitenkin muotoiltu eri tavalla. Siinä säädetään yleisistä säännöistä, joita on tarvittaessa täydennettävä erityissäännöksillä tällä alalla toimivien elinten ja laitosten perustamissäädöksissä. Siinä säädetään operatiivisten henkilötietojen käsittelyä koskevasta räätälöidystä järjestelmästä, jossa otetaan huomioon tämän alan erityisluonne, esimerkiksi rekisteröidyille tiedottamista koskevista säännöistä, joilla varmistetaan, että rikostutkinta suojataan.

Jotta varmistetaan johdonmukainen lähestymistapa henkilötietojen suojaamiseen ja niiden vapaaseen liikkuvuuteen EU:ssa, EU:n tietosuoja-asetus on mahdollisimman yhdenmukainen yleisellä tietosuoja-asetuksella ja lainvalvontadirektiivillä säädettyjen, julkista sektoria koskevien tietosuojasääntöjen kanssa. Aina kun EU:n tietosuoja-asetus on periaatteellisesti yhteneväinen yleisen tietosuoja-asetuksen kanssa, sitä olisi tulkittava samalla tavalla, koska se olisi katsottava yleistä tietosuoja-asetusta vastaavaksi. Näin voidaan olettaa olevan myös lainvalvontadirektiivin kanssa yhteneväisten säännösten kohdalla.

Euroopan unionin toimielimiä, elimiä ja laitoksia koskeva tietosuoja-asetus, jäljempänä ’EU:n tietosuoja-asetus’, on EU:n toimielinten, elinten ja laitosten tärkein tietosuojakehys niiden käsitellessä henkilötietoja rekisterinpitäjinä tai henkilötietojen käsittelijöinä. Asetus muodostaa hyvän hallinnon ja hyvän hallintotavan pilarin EU:n tasolla. Sitä on sovellettu 11. joulukuuta 2018 alkaen, jolloin sillä kumottiin ja korvattiin sen edeltäjä, asetus (EY) N:o 45/2001.

3.1EU:n toimielinten, elinten ja laitosten rooli rekisterinpitäjinä

EU:n toimielimiltä, elimiltä ja laitoksilta saatu yleinen palaute osoittaa, että niiden yleisen tietosuojakulttuurin vahvistamisessa on edistytty EU:n tietosuoja-asetuksen soveltamisen ensimmäisinä vuosina. Tältä osin 94 prosenttia EU:n toimielimistä, elimistä ja laitoksista totesi, että EU:n tietosuoja-asetuksen voimaantulo lisäsi niiden organisaation tietoisuutta tietosuojasäännöistä jossakin määrin tai merkittävästi. Yleisesti ottaen EU:n toimielimet, elimet ja laitokset ilmoittivat, että EU:n tietosuoja-asetuksella on ollut myönteinen vaikutus niiden tietosuojaa koskeviin toimintaperiaatteisiin ja että niiden henkilöstön tietoisuus organisaationsa vastuusta rekisterinpitäjinä ja henkilötietojen käsittelyä koskevista vaatimuksista on lisääntynyt.

EU:n toimielimet, elimet ja laitokset mainitsivat tietosuojaa koskevien vaikutustenarviointien tekemisen, tietoturvaloukkausten tunnistamisen ja hallinnan sekä sisäänrakennetun ja oletusarvoisen tietosuojan huomioon ottamisen EU:n tietosuoja-asetuksen tärkeimpinä vaikutuksina verrattuna kumottuun asetukseen (EY) N:o 45/2001. EU:n tietosuoja-asetuksella tehdään yleisen tietosuoja-asetuksen tavoin mahdollisuudesta hyödyntää yhteisrekisterinpitoa (jossa useat organisaatiot määrittelevät yhdessä henkilötietojen käsittelyn tarkoitukset ja keinot) näkyvämpi. Euroopan tietosuojavaltuutettu on antanut tästä aiheesta ohjeita, ja komissio on laatinut sisäisiä malleja yhteisrekisterinpitoa koskevia järjestelyjä varten.

Vaikka EU:n toimielimiä, elimiä ja laitoksia koskeviin uusiin tilivelvollisuusvaatimuksiin, jotka olivat tarpeen EU:n tietosuoja-asetuksen noudattamisen osoittamiseksi, suhtauduttiin yleisesti ottaen myönteisesti, eräät EU:n toimielimet, elimet ja laitokset totesivat, että EU:n tietosuoja-asetuksen säännöt ovat lisänneet työmäärää. Ne huomauttivat myös, että EU:n tietosuoja-asetuksessa vahvistetut säännöt ovat suhteellisen monimutkaisia ja edellyttävät tästä syystä enemmän asiantuntemusta EU:n toimielimiltä, elimiltä ja laitoksilta sekä niiden tietosuojavastaavilta samoin kuin tietosuojakoordinaattoreiden verkostoilta niissä EU:n toimielimissä, elimissä ja laitoksissa, joissa on tällaisia verkostoja.

Kaikki EU:n toimielimet, elimet ja laitokset kahta lukuun ottamatta säilyttävät käsittelytoimia koskevia selosteitaan keskitetyssä rekisterissä. Vaikka tätä ei nimenomaisesti edellytetä EU:n tietosuoja-asetuksessa, se on myös Euroopan tietosuojavaltuutetun suosittelema hyvä käytäntö. Lisäksi 72 prosenttia EU:n toimielimistä, elimistä ja laitoksista on muuntanut kaikki edellisen asetuksen mukaiset tietosuojavaltuutetulle tekemänsä ilmoitukset selosteiksi. Niiden, jotka eivät ole vielä suorittaneet tätä tehtävää loppuun, on tarkistettava ja päivitettävä käsittelytoimia koskeva dokumentaationsa sen varmistamiseksi, että se on täydellinen ja ajan tasalla.

3.2Rekisteröityjen oikeuksien käyttäminen

EU:n tietosuoja-asetuksella annetaan rekisteröidyille yleisen tietosuoja-asetuksen mukaiset, heidän henkilötietojensa käsittelyä koskevat laajat oikeudet. EU:n toimielimillä, elimillä ja laitoksilla on rekisterinpitäjinä erityinen velvollisuus tehdä näiden oikeuksien käyttämisestä helppoa. Tämän seurauksena 96 prosenttia EU:n toimielimistä, elimistä ja laitoksista ilmoitti toteuttaneensa tiedotustoimia, esimerkiksi päivittäneensä julkisesti saatavilla olevia tietoja käsittelytoimistaan ja julkaisseensa tiedotteita tai oppaita rekisteröidyille.

Useat EU:n toimielimet, elimet ja laitokset, kuten komissio, Euroopan keskuspankki ja Euroopan ulkosuhdehallinto, ilmoittivat yksityishenkilöiltä saatujen pyyntöjen lisääntyneen selvästi vuosina 2018–2021. Muiden, kuten Euroopan unionin tuomioistuimen, Euroopan talous- ja sosiaalikomitean ja Euroopan unionin turvapaikkaviraston, osalta määrät kuitenkin pysyivät vakaina tai vaihtelivat ilman selvää kehityssuuntaa. EU:n tietosuoja-asetuksen voimaantulon jälkeen rekisteröidyiltä saatujen pyyntöjen määrässä ei ole vielä havaittavissa selvää kehityssuuntausta, koska erityyppisten pyyntöjen kirjaamistapa vaihtelee EU:n toimielinten, elinten ja laitosten välillä.

3.3Rekisteröityjen oikeuksien rajoittaminen sisäisillä säännöillä

Yleisessä tietosuoja-asetuksen tavoin myös EU:n tietosuoja-asetuksessa säädetään mahdollisuudesta rajoittaa tiettyjä rekisteröityjen oikeuksia. Tämä voidaan tehdä säädöksillä ja sisäisillä säännöillä. Tällaisiin sisäisiin sääntöihin sovelletaan tiukkoja kriteerejä. Niiden on oltava selkeitä ja täsmällisiä, ja niiden soveltamisen on oltava niiden kohteina olevien henkilöiden kannalta ennakoitavissa. Säännöt on julkaistava Euroopan unionin virallisessa lehdessä, ja niiden on täytettävä perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistetut vaatimukset.

Sisäisiin sääntöihin perustuvat rajoitukset voivat koskea ainoastaan EU:n toimielinten, elinten ja laitosten toimintaa. Niissä on noudatettava perusoikeuksia, niiden on oltava demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia toimenpiteitä, ja niillä on pyrittävä takaamaan jokin EU:n tietosuoja-asetuksessa nimenomaisesti mainituista tavoitteista. Rekisteröidyllä, jonka oikeuksia on rajoitettu, on oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle.

Suuri enemmistö (84 %) EU:n toimielimistä, elimistä ja laitoksista on hyväksynyt sisäisiä sääntöjä. Tällaisia sääntöjä on otettu käyttöön esimerkiksi siksi, että voidaan lykätä tietojen antamista henkilölle, joka on sisäisen hallinnollisen tutkimuksen kohteena. Säännöillä on myös pyritty varmistamaan tehokkaan yhteistyön jatkuminen jäsenvaltioiden kanssa niillä aloilla, joilla EU:n toimielinten, elinten ja laitosten toiminta perustuu jäsenvaltioiden toimivaltaisilta viranomaisilta saatuihin tietoihin. Esimerkiksi komission hyväksymiin sisäisiin sääntöihin, jotka koskevat henkilötietojen käsittelyä kilpailua, petostentorjuntaa ja sisäisiä tarkastuksia koskevien komission toimien yhteydessä, sisältyy mahdollisuus rajoittaa rekisteröityjen oikeuksia silloin kun henkilötietoja saadaan jäsenvaltioiden toimivaltaisilta viranomaisilta. Kyseisissä säännöissä määrätään mahdollisuudesta asettaa samanlaisia rajoituksia, joita kansalliset viranomaiset ovat asettaneet yleisen tietosuoja-asetuksen tai lainvalvontadirektiivin mahdollistaman lainsäädäntötoimenpiteen perusteella.

Jos EU:n toimielimet, elimet ja laitokset ovat hyväksyneet sisäisiä sääntöjä, joissa sallitaan rekisteröityjen oikeuksien rajoittaminen, niitä sovelletaan yleensä tapauskohtaisesti, kuten niiden sisäisissä säännöissä edellytetään. Kuitenkin 69 prosenttia EU:n toimielimistä, elimistä ja laitoksia, joilla on käytössä 25 artiklassa tarkoitettuja sääntöjä, ilmoittaa, että ne eivät ole vielä käyttäneet niitä. Ne, jotka ovat käyttäneet tällaisia sääntöjä, ovat ilmoittaneet alle kymmenestä tapauksesta, joissa oikeuksia on rajoitettu, lukuun ottamatta Euroopan parlamenttia ja komissiota. Rajoitusten tarve on ilmennyt useammin OLAFin toiminnassa, ja tällöin on ollut kyse erityisesti rajoituksista, joilla lykätään tietojen antamista rekisteröidyille heidän henkilötietojensa käsittelystä tutkimuksen varhaisessa vaiheessa, jotta ei haitata todisteiden hankkimista. OLAF sovelsi myös useita rajoituksia, jotka koskivat rekisteröityjen pyyntöjä saada pääsy omiin henkilötietoihinsa. Tällaisia pyyntöjä hylättiin ainoastaan muiden osapuolten oikeuksien ja vapauksien suojelemiseksi esimerkiksi tapauksissa, joissa tietojen luovuttaminen asettaisi ilmiantajan vaaraan joutua kostotoimien kohteeksi.

EU:n toimielinten, elinten ja laitosten sisäisissä säännöissä edellytetään yleensä, että ne ilmoittavat tietosuojavastaavilleen kaikista sovellettavista rajoituksista ja antavat näille oikeuden tutustua kyseisiin rajoituksiin liittyviin selosteisiin ja mahdollisiin asiakirjoihin.

3.4Tietosuojavastaavat

Jo aiemmassa asetuksessa (EY) N:o 45/2001 säädettiin, että jokaisessa EU:n toimielimessä, elimessä ja laitoksessa on oltava tietosuojavastaava. EU:n tietosuoja-asetuksella on lisätty tietosuojavastaavan roolin näkyvyyttä ottamalla käyttöön tilivelvollisuuden periaate. Tämä tarkoittaa, että rekisterinpitäjä on vastuussa tietosuojasääntöjen noudattamisesta ja sen on kyettävä osoittamaan, että niitä on noudatettu.

EU:n toimielimistä, elimistä ja laitoksista 46 prosentissa tietosuojavastaavien tukena on tietosuojakoordinaattoreiden verkostoja tai vastaavia rakenteita. Suurilla EU:n toimielimillä, elimillä ja laitoksilla, kuten Euroopan parlamentilla, neuvoston pääsihteeristöllä, komissiolla ja Euroopan ulkosuhdehallinnolla (EUH), on muita todennäköisemmin tällaisia verkostoja. EUH on myös organisoinut EU:n edustustojen tietosuojayhteyshenkilöiden verkoston ja ylläpitää sitä.

Useat EU:n toimielimet, elimet ja laitokset huomauttivat, että tietosuojavastaavien (ja siten tietosuojakoordinaattorien) vastuu ja työmäärä ovat lisääntyneet. Ne totesivat, että tietosuojavastaaville (ja tietosuojakoordinaattoreille) on annettava enemmän resursseja, jotta ne voivat panna tehokkaasti täytäntöön oman toimielimensä, elimensä tai laitoksensa tietosuojaa koskevat toimintaperiaatteet. Lisäksi mainittiin tarve varmistaa tietosuojavastaavien riippumattomuus.

Tähän tilanteeseen vaikuttaa kaksi suuntausta: Yhtäältä EU:n tietosuoja-asetuksessa painotetaan enemmän rekisterinpitäjän tilivelvollisuutta esimerkiksi poistamalla aiemman asetuksen (EY) N:o 45/2001 mukainen ennakkotarkastusmenettely, mikä vähentää hallinnollista rasitusta. Toisaalta rekisterinpitäjät pyytävät tietosuojavastaavilta tai tietosuojakoordinaattoreilta entistä enemmän ohjeita siitä, miten EU:n tietosuoja-asetusta voidaan parhaiten noudattaa. Tältä osin huomautettiin, että EU:n toimielinten, elinten ja laitosten tietosuojavastaavien verkosto on tarjonnut tärkeän foorumin, jossa käsitellään ja selvennetään nimenomaan EU:n toimielinten, elinten ja laitosten suorittamaan tietojenkäsittelyyn liittyviä oikeudellisia ja teknisiä näkökohtia. Verkosto tarjoaa foorumin tietosuojavastaavien ja Euroopan tietosuojavaltuutetun väliselle sekä tietosuojavastaavien keskinäiselle tietojenvaihdolle. Se tekee jatkuvasti yhteistyötä ja kokoontuu yleensä kaksi kertaa vuodessa.

Yli puolet (54 %) EU:n toimielimistä, elimistä ja laitoksista on osoittanut enemmän resursseja tietosuojavastaaville ja yleensä tietosuojaa koskeville toiminnoille. Suurin osa (84 %) EU:n toimielimistä, elimistä ja laitoksista on mukauttanut sisäisiä prosessejaan varmistaakseen, että niiden henkilöstö tiedottaa tietosuojavastaaville ja kuulee niitä uusista henkilötietojen käsittelytoimista. Tämä tapahtuu yleensä sisällyttämällä tietosuojavastaavat esimerkiksi muutoksenhallintaprosesseihin tai hankkeiden johtoryhmiin.