FI Euroopan unionin virallinen lehti C 177/1

Euroopan tietosuojavaltuutetun lausunto komission ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi sisäpiirikaupoista ja markkinoiden manipuloinnista sekä ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi sisäpiirikaupoista ja markkinoiden manipuloinnista määrättävistä rikosoikeudellisista seuraamuksista

2012/C 177/01

EUROOPAN TIETOSUOJAVALTUUTETTU, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan,

ottaa huomioon Euroopan unionin perusoikeuskirjan ja erityisesti sen 7 ja 8 artiklan,

ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1),

ottaa huomioon yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (2), ja erityisesti sen 28 artiklan 2 kohdan,

ON ANTANUT SEURAAVAN LAUSUNNON:

1. JOHDANTO

1.1 Euroopan tietotuojavaltuutetun kuuleminen

1. Tämä lausunto on yksi Euroopan tietosuojavaltuutetun neljän rahoitusalaa koskevan samana päivänä annetun lausunnon paketista (3).

2. Komissio hyväksyi 20. lokakuuta 2011 ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi sisäpiirikaupoista ja markkinoiden manipuloinnista (jäljempänä ’asetusehdotus’) sekä ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi sisäpiirikaupoista ja markkinoiden manipuloinnista määrättävistä rikosoikeudellisista seuraamuksista (jäljempänä ’direktiiviehdotus’). Komissio toimitti asetusehdotuksen ja direktiiviehdotuksen (yhdessä ’ehdotukset’) Euroopan tietosuojavaltuutetulle lausuntoa varten 31. lokakuuta 2011. Euroopan unionin neuvosto kuuli tietosuojavaltuutettua ehdotuksista 6. joulukuuta 2011.

3. Euroopan tietosuojavaltuutetulta pyydettiin epävirallisia huomautuksia ennen asetusehdotuksen antamista. Euroopan tietosuojavaltuutettu panee merkille, että useita hänen huomioitaan on otettu huomioon ehdotuksessa.

4. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että komissio ja neuvosto kuulevat häntä.

1.2 Ehdotusten tavoitteet ja soveltamisala

5. Alkuvuonna 2003 hyväksytyllä markkinoiden väärinkäyttöä koskevalla direktiivillä (4) otettiin käyttöön EU:n yhteinen oikeuskehys sisäpiirikauppojen ja markkinoiden manipuloinnin ehkäisemiseksi, havaitsemiseksi ja seuraamusten määräämiseksi niistä.

6. Direktiivin useiden vuosien voimassaolon jälkeen komissio on arvioinut markkinoiden väärinkäytöstä annetun direktiivin soveltamista ja havainnut ongelmia, kuten puutteita tiettyjen instrumenttien ja markkinoiden sääntelyssä, tehokkaan täytäntöönpanon puutteita (sääntelyviranomaisilta puuttuu tiettyjä ja toimivaltuuksia, ja seuraamukset joko puuttuvat tai niiden varoittava vaikutus ei ole riittävä). Jotkut avainkäsitteet ovat epäselviä ja hallintorasitteita kohdistuu liikkeeseenlaskijoihin.

7. Ottaen huomioon nämä ongelmat sekä sääntelyn, markkinoiden ja tekniikan kehityksen aikaansaamat huomattavat muutokset finanssialalla komissio hyväksyi lainsäädäntöehdotuksia markkinoiden väärinkäyttöä koskevan direktiivin uudistamiseksi. Ne käsittävät asetusehdotuksen ja direktiiviehdotuksen. Ehdotetun tarkistuksen poliittisina tavoitteina on lisätä sijoittajien luottamusta ja markkinoiden luotettavuutta sekä varmistaa pysyminen rahoitusalan viimeisimmän kehityksen tahdissa.

8. Erityisesti asetusehdotuksessa laajennetaan markkinoiden väärinkäyttöä koskevia puitteita, määritetään markkinoiden manipulointiyritykset ja sisäpiirikauppojen yritykset rikoksiksi, vahvistetaan toimivaltaisten viranomaisten tutkintavaltuuksia ja säädetään vähimmäissäännöt, jotka koskevat hallinnollisia toimenpiteitä, seuraamuksia ja sakkoja.

9. Direktiiviehdotus velvoittaa jäsenvaltiot määräämään rikosoikeudellisia seuraamuksia tarkoituksellisista sisäpiirikaupoista tai markkinoiden manipuloinnista sekä yllyttämisestä ja avunannosta tällaisen rikoksen tekemiseen tai yrittämiseen. Siinä myös laajennetaan oikeushenkilöiden vastuuta, myös tarvittaessa oikeushenkilöiden rikosoikeudellista vastuuta.

1.3 Euroopan tietosuojavaltuutetun lausuntojen tavoite

10. Monet ehdotuksissa suunnitellut toimenpiteet markkinoiden luotettavuuden ja sijoittajansuojan aikaansaamiseksi vaikuttavat yksilöiden oikeuksien suojeluun henkilötietojen käsittelyssä.

11. Henkilötietoja kerätään, käsitellään ja vaihdetaan erityisesti, kun toimivaltainen viranomainen tutkii tai tekee yhteistyötä paljastaakseen sisäpiirikauppoja tai markkinoiden väärinkäyttöä, raportoi ja/tai määrää niistä seuraamuksia. Lisäksi mekanismiin, jolla rohkaistaan henkilöitä ilmoittamaan rikkomisista, liittyy myös henkilötietojen käsittelyä, niin rikkomisesta ilmoittavan kuin siitä ”syytetyn” henkilön osalta. Lopuksi seuraamusjärjestelmä vaikuttaa oikeuteen henkilötietojen suojaan siltä osin, kuin asetusehdotuksen rikkomiseen syyllistyneen henkilöllisyys mainitaan julkaistussa seuraamuksessa.

12. Vaikka asetusehdotukseen sisältyy useita säännöksiä, joilla voi olla vaikutusta yksilön oikeuteen henkilötietojen suojaan, direktiiviehdotus sellaisenaan ei koske henkilötietojen käsittelyä. Näin ollen tässä lausunnossa keskitytään asetusehdotukseen ja erityisesti seuraaviin seikkoihin: 1) tietosuojalainsäädännön sovellettavuuteen, 2) sisäpiiriluetteloihin, 3) toimivaltaisten viranomaisten valtuuksiin, 4) järjestelmiin epäilyttävien liiketoimien havaitsemiseksi ja niistä ilmoittamiseksi, 5) tietojenvaihtoon kolmansien maiden kanssa sekä 6) seuraamusten julkistamiseen ja rikkomisesta ilmoittamiseen.

2. EHDOTUSTEN ANALYSOIMINEN

2.1 Tietosuojalainsäädännön sovellettavuus

13. Sekä asetusehdotuksen johdanto-osassa (5) että sen säännöksissä (6) mainitaan perusoikeuskirja, direktiivi 95/46/EY ja asetus (EY) N:o 45/2001. Asetusehdotuksen 22 artiklassa nimenomaan edellytetään yleisenä sääntönä, että ”toimivaltaisten viranomaisten on sovellettava direktiivin 95/46/EY säännöksiä henkilötietojen käsittelyyn, jota jäsenvaltiot suorittavat tämän asetuksen puitteissa. EAMV soveltaa asetuksen (EY) N:o 45/2001 säännöksiä henkilötietojen käsittelyyn, jota se suorittaa tämän asetuksen puitteissa”. Lisäksi säännöksen mukaan henkilötietoja säilytetään enintään viiden vuoden ajan.

14. Euroopan tietosuojavaltuutettu on hyvin tyytyväinen tähän yleiseen säännökseen ja arvostaa yleensäkin sitä, että asetusehdotuksessa kiinnitetään huomiota erityisesti tietosuojalainsäädäntöön. Euroopan tietosuojavaltuutettu ehdottaa kuitenkin, että säännös muotoiltaisiin uudelleen korostaen nykyisen tietosuojalainsäädännön sovellettavuutta. Lisäksi viittausta direktiiviin 95/46/EY olisi selvennettävä täsmentämällä, että säännöksiä sovelletaan direktiivin 95/46/EY soveltamista koskevien kansallisten sääntöjen mukaisesti. Euroopan tietosuojavaltuutettu panee merkille, että joissakin asetusehdotuksen säännöksissä viitataan suoraan direktiiviin 95/46/EY ja/tai asetukseen (EY) N:o 45/2001. Tällä korostetaan asianomaisten tietosuojasääntöjen soveltamista erityistapauksissa, mutta se ei merkitse sitä, että sääntöjä ei sovelleta silloin kun niitä ei erityisesti mainita jokaisessa säännöksessä, joka (mahdollisesti) koskee henkilötietojen käsittelyä.

15. Muissakin johdanto-osan kappaleissa olisi käytettävä johdonmukaisesti kappaleen 33 sanamuotoa, jonka mukaan jäsenvaltiot ”soveltavat” asianomaista tietosuojalainsäädäntöä, eikä että niiden ”olisi sovellettava”, sillä lainsäädäntö on voimassa, eikä sen soveltamiseen liity harkintavaltaa.

2.2 Sisäpiiriluettelot

16. Asetusehdotuksessa esitetään liikkeeseenlaskijoille tai päästöoikeuksien markkinoilla toimiville markkinaosapuolille velvoite laatia luettelo kaikista henkilöistä, jotka työskentelevät niille työsopimuksen perusteella tai muuten ja jotka voivat saada sisäpiiritietoja (13 artiklan 1 kohta). Rahoitusvälineen liikkeeseenlaskijoiden, joiden rahoitusvälineet on otettu kaupankäynnin kohteeksi pk-yritysten kasvumarkkinoilla, ei tarvitse laatia tällaista luetteloa, paitsi jos toimivaltainen viranomainen sitä pyytää (13 artiklan 2 kohta).

17. Euroopan tietosuojavaltuutettu tunnustaa tällaisen luettelon tarpeellisuuden toimivaltaisille viranomaisille tärkeänä välineenä mahdollisia sisäpiirikauppoja tai markkinoiden väärinkäyttöä tutkittaessa. Kun näihin luetteloihin liittyy henkilötietojen käsittelyä, peruslainsäädännössä on kuitenkin säädettävä keskeiset tietosuojasäännöt ja -takeet. Tämän vuoksi Euroopan tietosuojavaltuutettu suosittaa, että asetusehdotuksen olennaiseen säännökseen lisätään selkeä viittaus tällaisen luettelon tarkoitukseen. Direktiivin 95/46/EY 6 artiklan mukaan tarkoitus on todellakin olennainen osatekijä kaikessa tietojen käsittelyssä.

18. Asetusehdotuksen 13 artiklan 4 kohdan mukaan komissio hyväksyy delegoiduilla säädöksillä toimenpiteitä, joilla määritetään luettelon sisältö (mukaan lukien tiedot sisäpiiriluetteloon sisällytettävien henkilöiden henkilöllisyydestä ja syistä sisäpiiriluetteloon sisällyttämiselle) sekä olosuhteet, joissa tällainen luettelo on laadittava (myös edellytykset, joiden perusteella luetteloja on päivitettävä, luettelojen säilyttämisaika ja luettelossa olevien henkilöiden velvollisuudet). Euroopan tietosuojavaltuutettu suosittaa kuitenkin, — että luettelon tärkeimmät osatekijät (joka tapauksessa syyt luetteloon sisällyttämiselle) esitetään asetusehdotuksessa itsessään — että siihen sisällytetään viite, jonka mukaan Euroopan tietosuojavaltuutettua on kuultava silloin, kun delegoidut säännökset koskevat henkilötietojen käsittelyä.

2.3 Toimivaltaisten viranomaisten valtuudet

19. Asetusehdotuksen 17 artiklan 2 kohdassa luetellaan ne toimivaltaisten viranomaisten valvonta- ja tutkintavaltuudet, joita ne tarvitsevat täyttääkseen asetusehdotuksen mukaiset tehtävänsä.

20. Erityistä huomiota on kiinnitettävä toimivaltuuksiin kahdella alalla, kun otetaan huomioon, että niillä puututaan yksityisyyttä ja tietosuojaa koskeviin oikeuksiin: valtuudet päästä yksityistiloihin missä tahansa muodossa olevien asiakirjojen takavarikoimiseksi sekä valtuudet pyytää puhelu- ja tietoliikennetietoja.

2.3.1 Valtuudet päästä yksityistiloihin

21. Valtuudet päästä yksityistiloihin missä tahansa muodossa olevien asiakirjojen takavarikoimiseksi ovat hyvin voimakasta puuttumista yksityisyyteen. Tämän vuoksi on sovellettava tiukkoja ehtoja ja riittäviä suojatoimia (7). Asetusehdotuksen 17 artiklan 2 kohdan e alakohdassa säädetään, että pääsy yksityistiloihin edellyttää ennakolta saatua lupaa oikeusviranomaisilta kansallisen lainsäädännön mukaisesti ja sitä, että voidaan perustellusti epäillä, että tarkastuksen aiheeseen liittyvillä asiakirjoilla voi olla merkitystä todistettaessa sisäpiirikauppoja tai markkinoiden manipulointia. Euroopan tietosuojavaltuutettu arvostaa sitä, että tekstissä määritellään toimivaltaisen viranomaisen valtuudet vaatimalla, että pääsy yksityistiloihin edellyttää toimivaltaiselta viranomaiselta perusteltuja epäilyjä asetusehdotuksen tai direktiiviehdotuksen rikkomisesta ja ennakkolupaa oikeusviranomaiselta. Euroopan tietosuojavaltuutettu katsoo kuitenkin, että yleinen vaatimus, joka koskee oikeusviranomaiselta saatavaa ennakkolupaa riippumatta siitä, edellyttääkö kansallinen lainsäädäntö sitä, on sekä perusteltu että tarpeellinen, ottaen huomioon kyseiseen valtuuteen liittyvän mahdollisen yksityisyyteen puuttumisen.

22. Asetusehdotuksen johdanto-osan kappaleessa 30 täsmennetään erityistapaukset, joissa pääsy yksityistiloihin on tarpeen, seuraavasti: pääsy on välttämätöntä erityisesti silloin, kun henkilö, jolle on jo esitetty tietopyyntö, laiminlyö sen noudattamisen (kokonaan tai osittain), tai kun on perusteltu syy epäillä, että mahdollisesti esitettävää pyyntöä ei noudatettaisi, tai tietopyynnön kohteena olevat asiakirjat tai tiedot siirrettäisiin pois, niitä muutettaisiin tai ne tuhottaisiin. Euroopan tietosuojavaltuutettu on tyytyväinen tähän täsmennykseen. Tietosuojavaltuutettu katsoo kuitenkin, että nämä ovat lisätakeita, joita tarvitaan sen varmistamiseksi, että oikeutta yksityisyyteen kunnioitetaan, joten ne olisi sisällytettävä pikemminkin olennaiseen säännökseen edellytyksenä yksityistiloihin pääsylle.

2.3.2 Valtuudet vaatia puhelu- tai teleliikennetietoja

23. Asetusehdotuksen 17 artiklan 2 kohdan f alakohdassa annetaan toimivaltaiselle viranomaiselle valtuudet ”pyytää televiestintäoperaattorin tai sijoituspalveluyrityksen hallussa olevia puhelu- ja tietoliikennetietoja”. Siinä kuitenkin täsmennetään, että pyyntö edellyttää ”perusteltua epäilyä” siitä, että tiedoilla ”voi olla merkitystä todistettaessa” tämän asetuksen tai direktiivin vastaisia ”sisäpiirikauppoja tai markkinoiden manipulointia”. Tiedot eivät kuitenkaan saa koskea ”sen viestinnän sisältöä, johon ne liittyvät”. Lisäksi 17 artiklan 3 kohdassa säädetään, että 2 kohdassa tarkoitettuja valvonta- ja tutkintavaltuuksia on käytettävä kansallisen lainsäädännön mukaisesti.

24. Sähköisen viestinnän käyttöön liittyvät tiedot voivat sisältää paljon henkilökohtaisia tietoja, kuten puhelun soittajan ja vastaanottajan henkilöllisyyden, puhelun ajankohdan ja keston, käytetyn verkon, kannettavien laitteiden tapauksessa käyttäjän maantieteellisen sijainnin ja niin edelleen. Tietyt internetin ja sähköpostin käyttöä koskevat tietoliikennetiedot (esimerkiksi luettelo verkkosivuista, joilla on vierailtu) voivat lisäksi paljastaa merkittäviä yksityiskohtia viestinnän sisällöstä. Tietoliikennetietojen käsittely on myös ristiriidassa kirjesalaisuuden kanssa. Tämän osalta direktiivissä 2002/58/EY (8) (sähköisen viestinnän tietosuojadirektiivi) on vahvistettu periaate, että liikennetiedot on poistettava tai tehtävä nimettömiksi, kun niitä ei enää tarvita viestinnän välittämiseen (9). Direktiivin 15 artiklan 1 kohdan mukaan jäsenvaltiot voivat sisällyttää kansalliseen lainsäädäntöön rajoituksia erityisen oikeudellisen tarkoituksen vuoksi, mutta niiden on oltava välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan tavoitteiden saavuttamiseksi (10).

25. Euroopan tietotuojavaltuutettu myöntää, että komission asetusehdotuksessa tavoittelemat päämäärät ovat oikeutettuja. Tietosuojavaltuutettu ymmärtää tarpeen aloitteille, jotka pyrkivät lujittamaan finanssimarkkinoiden valvontaa markkinoiden vakauden säilyttämiseksi sekä sijoittajien ja koko talouden suojelun parantamiseksi. Koska liikennetietoihin suoraan kohdistuvat tutkintavaltuudet voivat kuitenkin loukata yksityisyyden suojaa, niiden on perustuttava tarpeellisuuden ja oikeasuhteisuuden periaatteisiin. Tutkintavaltuuksien on toisin sanoen sovelluttava niille asetettujen tavoitteiden saavuttamiseen ylittämättä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi (11). Tästä näkökulmasta tarkasteltuna on tärkeää, että tutkintavaltuudet muotoillaan selkeästi määrittämällä niiden henkilöllinen ja aineellinen soveltamisala sekä se, missä tilanteissa ja millä edellytyksillä niitä voidaan käyttää. Lisäksi olisi säädettävä riittävistä suojatoimista väärinkäytön riskiä vastaan.

26. Puhelu- ja tietoliikennetiedot koskevat henkilötietoja direktiivissä 95/46/EY, direktiivissä 2002/58/EY ja asetuksessa (EY) N:o 45/2001 tarkoitetulla tavalla. Asetusehdotuksen johdanto-osan kappaleessa 31 todetaan, että ”puhelu- ja tietoliikennetiedot voivat paljastaa väärän tai harhaanjohtavan tiedon levittämisestä vastaavan henkilön henkilöllisyyden, todistaa henkilöiden olleen yhteydessä toisiinsa tiettynä ajankohtana tai osoittaa kahden tai useamman henkilön välisen yhteyden” (12). Tämän vuoksi on varmistettava, että direktiivissä ja asetuksessa esitetyt henkilötietojen käsittelyn oikeudenmukaiset tai lailliset edellytykset täyttyvät.

2.3.3 Oikeusviranomaisten lupaa koskeva vaatimus

27. Euroopan tietosuojavaltuutettu panee merkille, että 17 artiklan 3 kohdan mukaan toimivaltuuksia harjoitetaan kansallisen lainsäädännön mukaisesti ilman selkeää viittausta ennakolta saatuun lupaan oikeusviranomaisilta, kuten myös pääsyssä yksityistiloihin. Euroopan tietosuojavaltuutettu katsoo, että yleinen vaatimus, joka koskee oikeusviranomaiselta saatavaa ennakkolupaa kaikissa tapauksissa siitä riippumatta, mitä kansallinen lainsäädäntö edellyttää, olisi perusteltua ottaen huomioon kyseiseen valtuuteen liittyvän mahdollisen yksityisyyteen puuttumisen. Tämä olisi eduksi myös lainsäädännön yhdenmukaiselle soveltamiselle kaikissa EU:n jäsenvaltioissa On myös otettava huomioon, että jäsenvaltioiden eri lainsäädännöissä säädetään kodin loukkaamattomuutta koskevista erityistakeista suhteettomien ja epätarkasti säänneltyjen tarkastusten, etsintöjen ja takavarikkojen varalta, erityisesti kun niitä tekevät luonteeltaan hallinnolliset instituutiot.

28. Lisäksi Euroopan tietosuojavaltuutettu suosittaa sellaisen vaatimuksen käyttöönottoa, jonka mukaan toimivaltaisten viranomaisten on pyydettävä puhelu- tai tietoliikennetietoja virallisella päätöksellä, jossa esitetään oikeusperusta ja pyynnön tarkoitus sekä se, mitä tietoja pyydetään, määräaika, jossa tiedot on toimitettava, sekä vastaanottajan oikeus saattaa päätös tuomioistuimen tarkasteltavaksi.

2.3.4 Puhelu- ja tietoliikennetietojen määritelmä

29. Asetusehdotuksessa ei määritellä käsitettä ”puhelu- ja tietoliikennetiedot”. Direktiivissä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) viitataan ainoastaan ”liikennetietoihin”, mutta ei ”puhelu- ja tietoliikennetietoihin”. Sanomattakin on selvää, että näiden käsitteiden täsmällinen merkitys määrittää vaikutuksen, joka tutkintavaltuuksilla voi olla yksityisyyden ja henkilötietojen suojaan. Euroopan tietosuojavaltuutettu suosittaa, että käytetään jo direktiivissä 2002/58/EY käytettyä terminologiaa ”liikennetietojen” määrittelemiseen.

30. Asetusehdotuksen 17 artiklan 2 kohdan f alakohdassa viitataan ”televiestintäoperaattorin tai sijoituspalveluyrityksen hallussa oleviin puhelu- ja tietoliikennetietoihin”. Sähköisen viestinnän tietosuojadirektiivissä vahvistetaan periaate, että liikennetiedot on poistettava, kun niitä ei enää tarvita siihen kaupalliseen tarkoitukseen, johon ne on kerätty. Sähköisen viestinnän tietosuojadirektiivin 15 artiklan 1 kohdan mukaan jäsenvaltiot voivat kuitenkin poiketa tästä velvoitteesta lainvalvontatarkoituksessa. Tietojen säilyttämistä koskevassa direktiivissä pyritään yhdenmukaistamaan jäsenvaltioiden sähköisen viestinnän tietosuojadirektiivin 15 artiklan 1 kohdan mukaisia aloitteita siltä osin kuin on kyse ”vakavaksi” rikollisuudeksi määritellyn rikollisuuden tutkinnasta, selvittämisestä ja syyteharkinnasta.

31. Kysymys kuuluukin, ovatko 17 artiklan 2 kohdan f alakohdassa mainitut puhelu- ja tietoliikennetiedot sähköisen viestinnän tietosuojadirektiivissä säänneltyjä tallennettuja liikenne- ja sijaintitietoja vai tietojen säilyttämistä koskevassa direktiivissä edellytettyjä lisätietoja. Viimeksi mainittu vaihtoehto herättäisi vakavaa huolta, koska sähköisen viestinnän tietosuojadirektiivin 15 artiklan 1 kohdassa esitettyjä poikkeuksia (rikosten torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa) käytettäisiin laajentamaan tarkoituksia, joihin tietoja säilytetään tietojen säilyttämistä koskevan direktiivin nojalla (”vakavaksi” rikollisuudeksi määritellyn rikollisuuden tutkinta, selvittäminen ja syyteharkinta). Toisin sanoen tietojen säilyttämistä koskevan direktiivin nojalla säilytettyjä tietoja voitaisiin näin käyttää tarkoituksiin, joista ei säädetä tässä direktiivissä. Tämä merkitsisi, että yhteisössä kannustettaisiin käyttämään lainsäädännössä olevaa porsaanreikää, joka on yksi nykyisen tietojen säilyttämistä koskevan direktiivin suurimmista puutteista (13).

32. Tämän vuoksi Euroopan tietosuojavaltuutettu suosittaa vahvasti niiden puhelu- ja tietoliikennetietojen erittelemistä, joita toimivaltaiset viranomaiset voivat pyytää. Tällaisten tietojen on oltava tarpeellisia, asiaan liittyviä, eivätkä ne saa olla liian laajoja siihen tarkoitukseen nähden, jota varten niitä käsitellään. Lisäksi Euroopan tietosuojavaltuutettu suosittaa rajoittamaan 17 artiklan 2 kohdan f alakohdan koskemaan tietoja, jotka televiestintäoperaattorilla tavallisesti on hallussaan sähköisen viestinnän tietosuojadirektiivin 2002/58/EY puitteissa. Näin soveltamisalan ulkopuolelle jäisivät periaatteessa tietojen säilyttämistä koskevan direktiivin tarkoituksessa säilytetyt tiedot siinä määrin kuin niitä ei tarvita ”vakavien” rikosten tutkintaan, selvittämiseen ja syyteharkintaan (14).

33. Asetusehdotuksen 17 artiklan 2 kohdan f alakohdassa viitataan ”sijoituspalveluyrityksen hallussa oleviin puhelu- ja tietoliikennetietoihin”. Tekstissä olisi täsmennettävä tietoluokat sekä selvennettävä, mihin yrityksiin säännöksessä viitataan. Euroopan tietosuojavaltuutettu olettaa, että tiedot ovat samoja, joihin viitataan ehdotuksessa Euroopan parlamentin ja neuvoston direktiiviksi rahoitusvälineiden markkinoista (ehdotus rahoitusvälineiden markkinoista annetuksi direktiiviksi, MiFID). Tietosuojavaltuutettu korostaa esittäneensä tästä ehdotuksesta joitakin huomautuksia, joissa suositteli myös näiden käsitteiden selventämistä (15). Lisäksi siinä määrin kuin puhelu- ja liikennetiedot koskisivat niitä puheluja ja sähköistä viestintää, joihin viitataan ehdotuksen MiFID-direktiiviksi 16 artiklan 7 kohdassa, Euroopan tietosuojavaltuutettu suosittaa tällaisen viestinnän tallentamisen tarkoituksen määrittämistä ja sen selventämistä, minkälaista viestintää tai viestien tietoja voidaan tallentaa (16).

34. Lopuksi Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että tekstissä edellytetään tietojen saamisen osalta perusteltuja epäilyjä asetusehdotuksen tai direktiiviehdotuksen rikkomisesta ja että siinä selvästi suljetaan pois toimivaltaisten viranomaisten pääsy viestinnän sisältöön.

2.4 Järjestelmät epäilyttävien liiketoimien havaitsemiseksi ja niistä ilmoittamiseksi

35. Asetusehdotuksen 11 artiklan 1 kohdan mukaan kaikkien henkilöiden, jotka harjoittavat kauppapaikan toimintaa, on otettava käyttöön tehokkaat järjestelyt ja menettelyt, joilla pyritään estämään ja havaitsemaan markkinoiden väärinkäyttö. Lisäksi 2 kohdassa edellytetään, että kaikilla henkilöillä, jotka ammattinsa puolesta järjestävät tai toteuttavat liiketoimia rahoitusvälineillä, on oltava käytössään järjestelmät sellaisten toimeksiantojen ja liiketoimien havaitsemiseksi ja niistä ilmoittamiseksi, joissa voi olla kyse sisäpiirikaupoista, markkinoiden manipuloinnista tai yrityksestä manipuloida markkinoita tai harjoittaa sisäpiirikauppaa. Toimivaltaiselle viranomaiselle on ilmoitettava asiasta viipymättä. Komissio antaa ensimmäisessä alakohdassa tarkoitetut tekniset sääntelystandardit, joilla määritetään asianmukaiset järjestelyt ja menettelyt, ja määrittää toisessa alakohdassa mainitut järjestelmät ja ilmoitusmallit (11 artiklan 3 kohdan viimeinen virke).

36. Niin kauan kun näihin järjestelmiin ei todennäköisesti liity henkilötietoja (esimerkiksi sisäpiiriluettelossa mainittujen henkilöiden liiketoimien seurantaa), Euroopan tietosuojavaltuutettu korostaa, että nämä standardit olisi laadittava sisäänrakennetun yksityisyyden suojan periaatteen mukaisesti, toisin sanoen siten, että tietosuoja ja yksityisyyden suoja sisällytetään jo sellaisten uusien tuotteiden, palvelujen ja menettelyjen luomiseen, joissa käsitellään henkilötietoja (17). Lisäksi Euroopan tietosuojavaltuutettu suosittaa, että siihen sisällytetään viite, jonka mukaan Euroopan tietosuojavaltuutettua on kuultava silloin, kun nämä sääntelystandardit koskevat henkilötietojen käsittelyä.

2.5 Tietojenvaihto kolmansien maiden kanssa

37. Euroopan tietosuojavaltuutettu panee merkille viittauksen direktiiviin 95/46/EY, erityisesti sen 25 tai 26 artiklaan, sekä 23 artiklassa mainitut erityiset takeet, jotka koskevat henkilötietojen luovuttamista kolmansille maille. Riittäviksi takeiksi tällaisiin siirtoihin liittyvien riskien osalta katsotaan erityisesti tapauskohtainen arviointi, siirron tarpeellisuuden varmistaminen, se, että toimivaltaisen viranomaisen on varmistettava, että tietoja ei siirretä kolmannelle maalle tai toiselle kolmannelle maalle, jollei sille ole annettu nimenomaista kirjallista lupaa, ja se, että henkilötietoja voidaan siirtää ainoastaan sellaiselle kolmannelle maalle, joka takaa henkilötietojen riittävän suojan.

2.6 Seuraamusten julkistaminen

2.6.1 Seuraamusten pakollinen julkistaminen

38. Asetusehdotuksen 26 artiklan 3 kohdassa velvoitetaan jäsenvaltiot varmistamaan, että toimivaltaiset viranomaiset julkistavat asetuksen rikkomisesta määrättävät hallinnolliset toimenpiteet ja seuraamukset ilman aiheetonta viivytystä, ja julkaisussa on ilmoitettava vähintään rikkomisen muoto ja luonne sekä siitä vastuussa olevien henkilöiden henkilöllisyys, jollei tällainen julkistaminen vaaranna vakavasti rahoitusmarkkinoiden vakautta.

39. Seuraamusten julkistaminen lisäisi varoittavaa vaikutusta, koska se estäisi todellisia ja mahdollisia rikoksentekijöitä tekemästä rikkomuksia välttääkseen maineensa vahingoittumista. Lisäksi se lisäisi avoimuutta, kun markkinatoimijat olisivat perillä tietyn henkilön rikkomisesta. Tätä velvoitetta lievennetään ainoastaan tapauksessa, jossa julkistaminen aiheuttaisi suhteetonta vahinkoa osapuolille, jolloin toimivaltaisten viranomaisten on julkistettava toimenpiteet ja seuraamukset ilman nimiä.

40. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että johdanto-osan kappaleessa 35 viitataan perusoikeuskirjaan sekä erityisesti oikeuteen henkilötietojen suojaan seuraamusten määräämisessä ja julkistamisessa. Tietosuojavaltuutettu ei kuitenkaan ole vakuuttunut siitä, että seuraamusten pakollinen julkistaminen nykyisessä muodossaan täyttää tietosuojalainsäädännön vaatimukset sellaisina kuin unionin tuomioistuin on ne täsmentänyt asiassa Schecke antamassaan tuomiossa (18). Hän katsoo, että toimenpiteen tarkoitusta, tarpeellisuutta ja suhteellisuutta ei ole osoitettu riittävästi ja että joka tapauksessa on tarjottava riittävä suoja yksilön oikeuksiin kohdistuvia riskejä vastaan.

2.6.2 Julkistamisen tarpeellisuus ja oikeasuhteisuus

41. Asiassa Schecke antamassaan tuomiossa unionin tuomioistuin kumosi neuvoston asetuksen ja komission asetuksen säännökset, jotka koskivat maatalousrahaston tuensaajia koskevien tietojen, myös henkilötietojen ja saatujen määrien, julkaisemista. Tuomioistuin katsoi, että julkaiseminen oli Euroopan perusoikeuskirjan 8 artiklan 2 kohdassa tarkoitettua henkilötietojen käsittelyä ja näin ollen puuttumista perusoikeuskirjan 7 ja 8 artiklassa tunnustettuihin oikeuksiin.

42. Tuomioistuin katsoi jo aiemmin, että ”henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa”, ja analysoi sen jälkeen julkaisemisen tarkoitusta ja sen suhteellisuutta. Se totesi, että mikään ei osoita, että neuvosto ja komissio olisivat kyseistä lainsäädäntöä antaessaan pohtineet kyseessä olevia tuensaajia koskevien tietojen julkaisemista koskevia sellaisia yksityiskohtaisia sääntöjä, jotka olisivat tällaisen julkaisemisen tavoitteen mukaisia ja joilla samalla loukattaisiin vähemmän näiden tuensaajien oikeutta.

43. Asetusehdotuksen 26 artiklan 3 kohtaan vaikuttaa liittyvän sama puute kuin mitä unionin tuomioistuin korosti asiassa Schecke antamassaan tuomiossa. On pidettävä mielessä, että arvioitaessa henkilötietojen julkistamista edellyttävän säännöksen tietosuojavaatimusten mukaisuutta on ratkaisevan tärkeää, että tarkoitus, johon julkistamisella pyritään, on selkeä ja tarkkaan määritetty. Vain selkeän ja hyvin määritellyn tarkoituksen avulla voidaan arvioida, onko henkilötietojen julkistaminen todella tarpeen ja oikeasuhteista (19).

44. Luettuaan ehdotuksen ja sen oheisasiakirjat (vaikutustenarviointikertomus) Euroopan tietosuojavaltuutettu katsoo, että toimenpiteen tarkoitusta ja näin ollen myöskään sen tarpeellisuutta ei ole osoitettu selvästi. Asetusehdotuksen johdanto-osan kappaleissa asiasta vaietaan, ja vaikutustenarvioinnissa viitataan ainoastaan yleisiin myönteisiin vaikutuksiin (esimerkiksi ennaltaehkäisevä vaikutus markkinoiden väärinkäyttöön, sijoittajansuojan parantaminen, liikkeeseenlaskijoiden yhtäläinen kohtelu, täytäntöönpanon parantaminen) ja mainitaan ainoastaan, että ”seuraamusten julkistaminen on hyvin tärkeää avoimuuden lisäämiseksi ja luottamuksen säilyttämiseksi rahoitusmarkkinoihin ja että määrättyjen seuraamusten julkistaminen edistää osaltaan ennaltaehkäisyn tavoitetta ja parantaa markkinoiden luotettavuutta ja sijoittajansuojaa” (20). Tällainen yleinen toteamus ei vaikuta riittävältä ehdotetun toimenpiteen tarpeellisuuden osoittamiseksi. Jos yleinen tarkoitus on lisätä ennaltaehkäisevää vaikutusta, vaikuttaa siltä, että komission olisi pitänyt selittää erityisesti se, miksi merkittävämmät taloudelliset seuraamukset (tai muut seuraamukset kuin nimien julkistaminen) eivät olisi olleet riittäviä.

45. Vaikutustenarviointikertomuksessa ei ilmeisesti myöskään oteta huomioon lievempiä menetelmiä, kuten että julkistamisesta päätettäisiin tapauskohtaisesti. Erityisesti jälkimmäinen vaihtoehto vaikuttaisi alustavasti oikeasuhteisemmalta ratkaisulta, varsinkin kun otetaan huomioon, että – kuten 26 artiklan 1 kohdan d alakohdassa tunnustetaan – julkistaminen on seuraamus, jota on näin ollen arvioitava tapauskohtaisesti ottaen huomioon kaikki merkitykselliset seikat, kuten rikkomisen vakavuus, vastuussa olevan henkilön vastuun aste, rikoksenuusiminen, kolmansien osapuolien menetykset jne (21).

46. Vaikutustenarviointikertomuksessa ei selitetä, miksi julkistaminen tapauskohtaisesti ei olisi riittävä vaihtoehto. Siinä pelkästään mainitaan, että määrättyjen seuraamusten julkistaminen ”edistää osaltaan tavoitetta vaihtoehtojen ja harkintavallan poistamiseksi mahdollisuuksien mukaan poistamalla jäsenvaltioilta niiden nykyisen harkintavallan olla vaatimatta tällaista julkistamista” (22). Euroopan tietosuojavaltuutettu katsoo, että mahdollisuus arvioida tapausta merkityksellisten seikkojen valossa on oikeasuhteisempi ja näin ollen parempi vaihtoehto verrattuna pakolliseen julkistamiseen kaikissa tapauksissa. Tällainen harkintavalta antaisi esimerkiksi toimivaltaiselle viranomaiselle mahdollisuuden välttää julkistamista vähemmän vakavissa rikkomisissa, kun rikkomisesta ei ole aiheutunut merkittävää vahinkoa, kun osapuoli on osoittanut yhteistyöhalukkuutta jne. Vaikutustenarvioinnissa esitetty arvio ei siis poista epäilyksiä toimenpiteen tarpeellisuudesta ja oikeasuhteisuudesta.

2.6.3 Riittävien takeiden tarve

47. Asetusehdotuksessa olisi pitänyt suunnitella riittävät takeet oikeudenmukaisen tasapainon takaamiseksi kaikkien erilaisten intressien välillä. Ensinnäkin takeita tarvitaan siitä, että syytetyllä henkilöllä on oikeus riitauttaa päätös tuomioistuimessa sekä oikeus syyttömyysolettamaan. Asetusehdotuksen 26 artiklan 3 kohdan tekstissä olisi pitänyt käyttää tämän osalta erityistä ilmaisua, jossa toimivaltaiset viranomaiset velvoitettaisiin toteuttamaan tarvittavat toimenpiteet niin tapauksissa, jossa päätökseen haetaan muutosta, kuin silloin, kun tuomioistuin kumoaa sen (23).

48. Toiseksi asetusehdotuksessa olisi varmistettava, että tietojen kohteena olevan henkilön oikeuksia kunnioitetaan ennakoivalla tavalla. Euroopan tietosuojavaltuutettu arvostaa sitä, että ehdotuksen lopullisessa versiossa esitetään mahdollisuus luopua julkistamisesta, jos se aiheuttaa suhteetonta vahinkoa. Ennakoivassa lähestymistavassa olisi kuitenkin ilmoitettava etukäteen tietojen kohteena olevalle henkilölle siitä, että seuraamuspäätös julkistetaan ja että hänellä on direktiivin 95/46/EY 14 artiklan mukaan oikeus vastustaa tätä tärkeiden ja perusteltujen syiden vuoksi (24).

49. Kolmanneksi, vaikka asetusehdotuksessa ei täsmennetä, missä tiedot julkistettaisiin, käytännössä on ymmärrettävissä, että useimmissa jäsenvaltioissa se tapahtuisi internetissä. Julkistamiseen internetissä liittyy erityisiä kysymyksiä ja riskejä, jotka koskevat erityisesti tarvetta varmistaa, että tieto on saatavilla verkossa vain niin pitkään kuin se on tarpeellista ja että tietoja ei voida manipuloida tai muuttaa. Ulkoisten hakukoneiden käyttöön voi myös liittyä riski, että tieto irrotetaan asiayhteydestään ja sitä ohjataan verkossa ja sen ulkopuolella tavoilla, jotka eivät ole helposti valvottavissa (25).

50. Edellä esitetyt seikat huomioon ottaen jäsenvaltiot on velvoitettava varmistamaan, että kyseisten henkilöiden henkilötiedot säilytetään verkossa vain kohtuullisen ajan, minkä jälkeen ne järjestelmällisesti poistetaan (26). Lisäksi jäsenvaltiota on vaadittava varmistamaan, että noudatetaan asianmukaisia turvatoimenpiteitä ja -takeita erityisesti ulkoisten hakukoneiden käyttöön liittyviltä riskeiltä suojautumiseksi (27).

2.6.4 Päätelmä

51. Euroopan tietosuojavaltuutettu katsoo, että säännös seuraamusten pakollisesta julkistamisesta ei nykymuodossaan ole yksityisyyttä ja tietosuojaa koskevien perusoikeuksien mukainen. Lainsäätäjän on arvioitava huolellisesti ehdotetun järjestelmän tarpeellisuutta ja tarkistettava, ylittääkö julkistamisvelvoite sen, mikä on tarpeen tavoitellun julkisen edun tavoitteen saavuttamiseksi, ja olisiko käytettävissä vähemmän rajoittavia toimenpiteitä saman tavoitteen saavuttamiseksi. Tämän suhteellisuuden arvioinnin perusteella julkistamisvelvoitetta olisi joka tapauksessa tuettava riittävillä takeilla, jotta varmistetaan syyttömyysolettaman, kyseisen henkilön oikeuden vastustaa, tietoturvan ja tietojen paikkansapitävyyden ja niiden poistamisen velvoitteen kunnioittaminen riittävän ajan kuluttua.

2.7 Rikkomisesta ilmoittaminen

52. Asetusehdotuksen 29 artiklassa jäsenvaltiot velvoitetaan ottamaan käyttöön rikkomisesta ilmoittamiselle tehokkaat mekanismit, jotka tunnetaan myös ilmiantojärjestelminä. Vaikka nämä voivat olla tehokkaita keinoja varmistaa sääntöjen noudattaminen, järjestelmät herättävät merkittäviä huolia tietosuojan kannalta (28).

53. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että asetusehdotukseen sisältyy erityisiä takeita, joita on kehitettävä edelleen kansallisella tasolla, mitä tulee epäillystä rikkomisesta ilmoittavan henkilön suojeluun ja yleisemmin henkilötietojen suojaan. Tietosuojavaltuutettu on tietoinen siitä, että asetusehdotuksessa esitetään vain päätekijät järjestelmästä, jonka jäsenvaltiot panevat täytäntöön. Tietosuojavaltuutettu haluaa kuitenkin kiinnittää huomion myös seuraaviin seikkoihin.

54. Euroopan tietosuojavaltuutettu korostaa, kuten muissakin lausunnoissaan (29), tarvetta sisällyttää tekstiin erityinen viittaus siihen, että ilmiantajien ja tietojen ilmoittajien henkilöllisyys on salattava. Euroopan tietosuojavaltuutettu korostaa, että ilmiantajien asema on arkaluontoinen. Henkilöille, jotka toimittavat tietoja, on varmistettava, että ilmiantajan henkilöllisyys pysyy salassa erityisesti siihen henkilöön nähden, jonka väitetään suorittaneen rikkomuksen (30). Ilmiantajan henkilöllisyys on pidettävä salassa tutkimusten aikana, mikäli tämä ei riko oikeudenkäyntiä koskevia kansallisia sääntöjä. Ilmiantajan henkilöllisyyden paljastamista voidaan kuitenkin vaatia lisätutkimuksissa tai selvityksen seurauksena aloitetussa oikeudellisessa menettelyssä (esimerkiksi, jos käy ilmi, että ilmiantaja antoi henkilöstä vääriä tietoja vahingoittamistarkoituksessa) (31). Edellä esitetyn valossa Euroopan tietosuojavaltuutettu suosittaa, että asetusehdotuksen 29 artiklan 1 kohdan b alakohtaan lisätään seuraava säännös: ”näiden henkilöiden henkilöllisyys on pidettävä salassa menettelyn kaikissa vaiheissa, mikäli seuraavia menettely- tai oikeudenkäyntivaiheita koskevassa kansallisessa lainsäädännössä ei vaadita sen paljastamista”.

55. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että 29 artiklan 1 kohdan c alakohdassa velvoitetaan jäsenvaltiot varmistamaan rikkomistapauksista ilmoittavan henkilön ja syytetyn henkilön henkilötietojen suojeleminen direktiivissä 95/46/EY säädettyjen periaatteiden mukaisesti. Tietosuojavaltuutettu ehdottaa kuitenkin sanojen ”säädettyjen periaatteiden” poistamista, jotta viittaus direktiivin olisi kattavampi ja sitovampi. Mitä tulee tietosuojalainsäädännön noudattamisen tarpeeseen näiden järjestelmien käytännön täytäntöönpanossa, Euroopan tietosuojavaltuutettu haluaa korostaa erityisesti 29 artiklan mukaisen tietosuojatyöryhmän vuonna 2006 ilmiantamisesta antamassa lausunnossa esittämiä suosituksia. Kansallisten järjestelmien täytäntöönpanossa on muun muassa otettava huomioon oikeasuhteisuuden periaate siten, että otetaan mahdollisuuksien mukaan käyttöön rajoituksia sen suhteen, kuinka moni henkilö voi ilmiantojärjestelmän välityksellä ilmoittaa epäilyistään, kuinka monesta henkilöstä voidaan tehdä ilmoitus, sekä rikkomuksista, joista voidaan syyttää. On suosittava mieluummin omalla nimellä esitettyjä ja luottamuksellisia ilmoituksia kuin nimettömiä ilmoituksia. Ilmiantajan henkilöllisyys on paljastettava, kun paljastuu, että ilmiantaja on tehnyt pahansuovassa tarkoituksessa väärän ilmiannon. Tietojen säilyttämisessä on noudatettava tiukkoja määräaikoja.

3. PÄÄTELMÄT

56. Euroopan tietosuojavaltuutettu on tyytyväinen asetusehdotuksessa erityisesti tietosuojaan kiinnitettyyn huomioon.

57. Euroopan tietosuojavaltuutettu esittää seuraavat suositukset: — Asetusehdotuksen 13 artiklassa olisi täsmennettävä sisäpiiriluettelojen tarkoitus. — Valtuuksia päästä yksityistiloihin koskevassa 17 artiklan 2 kohdan e alakohdassa olisi esitettävä yleisenä vaatimuksena ennakkolupa oikeusviranomaisilta. — Valtuuksia pyytää puhelu- ja tietoliikennetietoja koskevassa 17 artiklan 2 kohdan f alakohdassa olisi esitettävä yleisenä vaatimuksena ennakkolupa oikeusviranomaisilta sekä vaatimus virallisesta päätöksestä, jossa täsmennetään i) oikeusperusta, ii) pyynnön tarkoitus, iii) mitä tietoja pyydetään iv) määräaika, jossa tiedot on toimitettava sekä v) vastaanottajan oikeus saattaa päätös tuomioistuimen tarkasteltavaksi. — On täsmennettävä televiestintäoperaattorin tai sijoituspalveluyrityksen hallussa olevat puhelu- ja tietoliikennetiedot, joita toimivaltaiset viranomaiset voivat pyytää ja rajoitettava 17 artiklan 2 kohdan f alakohta koskemaan tietoja, jotka televiestintäoperaattorilla tavallisesti on hallussaan sähköisen viestinnän tietosuojadirektiivin 2002/58/EY puitteissa. — Asetusehdotuksen 29 artiklan 1 kohdan b alakohtaan olisi lisättävä säännös, jonka mukaan: ”näiden henkilöiden henkilöllisyys on pidettävä salassa menettelyn kaikissa vaiheissa, mikäli seuraavia menettely- tai oikeudenkäyntivaiheita koskevassa kansallisessa lainsäädännössä ei vaadita sen paljastamista”. — On arvioitava ehdotetun seuraamusten pakollista julkistamista koskevan järjestelmän tarpeellisuutta ja oikeasuhtaisuutta tässä lausunnossa esitettyjen huolenaiheiden valossa. Tämän tarpeellisuuden ja oikeasuhteisuuden arvioinnin perusteella olisi joka tapauksessa huolehdittava asianmukaisista takeista, jotta varmistettaisiin syyttömyysolettaman, kyseisen henkilön oikeuden vastustaa, tietoturvan ja tietojen paikkansapitävyyden ja niiden poistamisen velvoitteen kunnioittaminen riittävän ajan kuluttua.

Tehty Brysselissä 10 päivänä helmikuuta 2012. Giovanni BUTTARELLI Euroopan apulaistietosuojavaltuutettu

(1) EYVL L 281, 23.11.1995, s. 31.

(2) EYVL L 8, 12.1.2001, s. 1.

(3) Euroopan tietosuojavaltuutetun 10. helmikuuta 2012 antamat lausunnot pankkilainsäädännön tarkistamisesta, luottoluokituslaitoksista, rahoitusvälineiden markkinoista (rahoitusvälineiden markkinoista annettu direktiivi/MIFIR) ja markkinoiden manipuloinnista annetusta lainsäädäntöpaketista.

(4) Euroopan parlamentin ja neuvoston direktiivi 2003/6/EY, annettu 28 päivänä tammikuuta 2003, sisäpiirikaupoista ja markkinoiden manipuloinnista (markkinoiden väärinkäyttö), EUVL L 96, 12.4.2003, s. 16.

(5) Ks. asetusehdotuksen johdanto-osan kappaleet 33, 35, 39 ja 40.

(6) Ks. asetusehdotuksen 17 artiklan 4 kohta, 22 ja 23 artikla ja 29 artiklan 1 kohdan c alakohta.

(7) Ks. erityisesti Euroopan ihmisoikeustuomioistuimen 23. helmikuuta 1993 asiassa Funcke vastaan Ranska tekemä päätös 10828/84.

(8) Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annettu Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY (EYVL L 201, 31.7.2002, s. 37).

(9) Ks. direktiivin 2002/58/EY 6 artiklan 1 kohta(EYVL L 201,31.7.2002,s.37).

(10) Direktiivin 2002/58/EY 15 artiklan 1 kohdan mukaan rajoitusten on oltava ”välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä kansallisen turvallisuuden (valtion turvallisuus) sekä puolustuksen, yleisen turvallisuuden tai rikosten tai sähköisen viestintäjärjestelmän luvattoman käytön torjunnan, tutkinnan, selvittämisen ja syyteharkinnan varmistamiseksi direktiivin 95/46/EY 13 artiklan 1 kohdan mukaisesti. Tätä varten jäsenvaltiot voivat muun muassa hyväksyä lainsäädännöllisiä toimenpiteitä, joissa säädetään tietojen säilyttämisestä sellaiseksi rajoitetuksi ajaksi, joka on perusteltua tässä kohdassa säädetyistä syistä”.

(11) Ks. esimerkiksi yhdistetyt asiat C-92/09 ja C-93/09, Volker und Markus Schecke GbR (C-92/09) ja Hartmut Eifert (C-93/09) v. Land Hessen, ei vielä julkaistu oikeustapauskokoelmassa, tuomion 74 kohta.

(12) Ks. myös asetusehdotuksen perustelujen s. 12.

(13) Ks. Euroopan tietosuojavaltuutetun 31. toukokuuta 2011 antama lausunto komission arviointikertomuksesta neuvostolle ja Euroopan parlamentille – tietojen säilyttämistä koskeva direktiivi (direktiivi 2006/24/EY), esimerkiksi 24 kohta.

(14) Euroopan tietosuojavaltuutettu haluaa palauttaa mieliin ongelman, joka koskee sitä, että ”vakavia rikoksia” ei ole määritetty yhteisön tasolla. Euroopan tietosuojavaltuutettu todellakin korosti, että komission arviointikertomuksessa tietojen säilyttämistä koskevasta direktiivistä käy ilmi, että vakavien rikosten täsmällisen määritelmän jättäminen jäsenvaltioiden harkintavaltaan on johtanut siihen, että tietoja on käytetty hyvin monenlaisiin tarkoituksiin. Komissio on todennut, että ”useimmat jäsenvaltiot, jotka ovat saattaneet direktiivin kansalliseen lainsäädäntöön, ovat kansallisten lakiensa mukaisesti antaneet luvan säilytettyjen tietojen saantiin ja käyttöön myös sellaisissa tarkoituksissa, joista ei säädetä direktiivissä, esimerkiksi rikosten ehkäisemiseen ja torjumiseen yleensä sekä terveyden ja ihmishenkien suojelemiseen”. Ks. Euroopan tietosuojavaltuutetun 31. toukokuuta 2011 antama lausunto komission arviointikertomuksesta neuvostolle ja Euroopan parlamentille – tietojen säilyttämistä koskeva direktiivi (direktiivi 2006/24/EY), 24, 71 ja 72 kohta.

(15) Ehdotetun rahoitusmarkkinadirektiivin 71 artiklan 2 kohdan d alakohdan mukaan toimivaltaiset viranomaiset voivat pyytää sijoituspalveluyrityksen hallussa olevia puhelu- ja tietoliikennetietoja, kun on perusteltuja epäilyjä ehdotetun rahoitusmarkkinadirektiivin rikkomisesta.

(16) Ks. Euroopan tietosuojavaltuutetun 10. helmikuuta 2012 antama lausunto ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi rahoitusvälineiden markkinoista ja Euroopan parlamentin ja neuvoston direktiivin 2004/39/EY kumoamisesta (uudelleenlaadittu) sekä ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi rahoitusvälineiden markkinoista sekä OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä annetun asetuksen (Euroopan markkinarakenneasetus) muuttamisesta.

(17) Ks. tietosuojavaltuutetun 14. tammikuuta 2011 antama lausunto komission tiedonannosta Euroopan parlamentille, neuvostolle, talous- ja sosiaalikomitealle sekä alueiden komitealle – Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa (EUV L, C 181, 22.6.2011,s 1) 108–115 kohta.

(18) Yhdistetyt asiat C-92/09 ja C-93/09, Schecke, 56–64 kohta.

(19) Ks. tämän osalta myös Euroopan tietosuojavaltuutetun 15. huhtikuuta 2011 antama lausunto ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi unionin vuotuiseen talousarvioon sovellettavista varainhoitosäännöistä (EUVL C 215, 21.7.2011, s. 13).

(20) Ks vaikutustenarviointi s. 166.

(21) Asetusehdotuksen 27 artiklan mukaisesti, jossa esitetään seuraamusten määrittämisen kriteerit.

(22) Ks vaikutustenarviointi s. 167.

(23) Kansalliset viranomaiset voisivat tarkastella esimerkiksi seuraavia toimenpiteitä: julkistamisen lykkääminen kanteen hylkäämiseen saakka tai, kuten vaikutustenarviointikertomuksessa esitetään, sen selkeä kertominen, että päätöksestä voidaan valittaa ja että henkilö oletetaan syyttömäksi lopulliseen päätökseen saakka, ja oikaisun julkaiseminen tapauksissa, joissa tuomioistuin kumoaa päätöksen.

(24) Ks. Euroopan tietosuojavaltuutetun 10. huhtikuuta 2007 antama lausunto yhteisen maatalouspolitiikan rahoituksesta (EUVL C 134, 16.6.2007, s. 1).

(25) Ks. tämän osalta Italian tietosuojaviranomaisen julkaisema asiakirja ”Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination”; saatavilla Italian tietosuojaviranomaisen sivustolta osoitteesta http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(26) Nämä huolet liittyvät myös yleiseen oikeuteen tulla unohdetuksi, jonka sisällyttämisestä henkilötietojen suojaamista koskevaan uuden lainsäädäntökehykseen keskustellaan parhaillaan.

(27) Toimenpiteitä ja takeita voivat olla esimerkiksi tietoindeksoinnin poissulkeminen ulkoisissa hakukoneissa.

(28) Artiklan 29 nojalla perustettu työryhmä julkaisi vuonna 2006 tällaisista järjestelmistä lausunnon, jossa tarkasteltiin ilmiön tietosuojaan liittyviä näkökohtia: EU:n tietosuojasääntöjen soveltamista sisäisiin ilmiantojärjestelmiin kirjanpidon, sisäisten kirjanpitotarkastusten, tilintarkastusten, lahjonnan torjumisen sekä pankki- ja talousrikosten alalla koskeva lausunto 1/2006 (tietosuojatyöryhmän lausunto ilmiantojärjestelmistä). Lausunto on saatavilla 29 artiklan tietosuojatyöryhmän verkkosivuilla osoitteessa http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2006/wp117_fi.pdf

(29) Ks. esimerkiksi 15. huhtikuuta 2011 annettu lausunto unionin vuotuiseen talousarvioon sovellettavista varainhoitosäännöistä ja 1. kesäkuuta 2011 annettu lausunto Euroopan petostentorjuntaviraston (OLAF) tutkimuksista, molemmat saatavilla osoitteessa http://www.edps.europa.eu

(30) Euroopan tietosuojavaltuutettu on jo korostanut Euroopan oikeusasiamiehelle 30. heinäkuuta 2010 asiasta 2010-0458 lähettämässään kirjeessä sitä, että on tärkeää salata ilmiantajien henkilöllisyys (saatavilla Euroopan tietosuojavaltuutetun verkkosivuilta osoitteessa http://www.edps.europa.eu). Ks. myös Euroopan tietosuojavaltuutetun 3. helmikuuta 2012 antama lausunto ennakkotarkistuksista, 23. kesäkuuta 2006 antama lausunto OLAFin sisäisistä tutkimuksista (asia 2005-0418) ja 4. lokakuuta 2007 antama lausunto OLAFin ulkoisista tutkimuksista (asiat 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(31) Ks. 15. huhtikuuta 2011 annettu lausunto unionin vuotuiseen talousarvioon sovellettavista varainhoitosäännöistä, saatavilla osoitteessa http://www.edps.europa.eu