P7_TA(2014)0219

Henkilötietojen käsittely rikosten torjumista varten ***I

Euroopan parlamentin lainsäädäntöpäätöslauselma 12. maaliskuuta 2014 ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta (COM(2012)0010 – C7-0024/2012 – 2012/0010(COD))

(Tavallinen lainsäätämisjärjestys: ensimmäinen käsittely)

(2017/C 378/59)

Euroopan parlamentti, joka

(1) EUVL C 192, 30.6.2012, s. 7.

P7_TC1-COD(2012)0010

Euroopan parlamentin kanta, vahvistettu ensimmäisessä käsittelyssä 12. maaliskuuta 2014, Euroopan parlamentin ja neuvoston direktiivin 2014/…/EU antamiseksi yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan 2 kohdan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan tietosuojavaltuutetun lausunnon (1)

noudattavat tavallista lainsäätämisjärjestystä (2),

sekä katsovat seuraavaa:

(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä kuuluu perusoikeuksiin on perusoikeus . Euroopan unionin perusoikeuskirjan, jäljempänä ”perusoikeuskirja”, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Perusoikeuskirjan 8 artiklan 2 kohdan mukaan tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. [tark. 1]

(2) Henkilötietojen käsittelyn on tarkoitus palvella ihmistä. Sen vuoksi niissä periaatteissa ja säännöissä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä, olisi henkilöiden kansalaisuudesta ja asuinpaikasta riippumatta otettava huomioon heidän perusoikeutensa ja -vapautensa ja erityisesti oikeus henkilötietojen suojaan. Henkilötietojen käsittelyn olisi myös tuettava vapauden, turvallisuuden ja oikeuden alueen kehittämistä.

(3) Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen käsittelyyn uusia haasteita. Tietoja kerätään ja jaetaan nyt valtavan paljon suuremmassa mittakaavassa. Toimivaltaiset viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti teknologian kehityksen ansiosta.

(4) Sen takia olisi helpotettava vapaata tiedonkulkua toimivaltaisten viranomaisten kesken unionissa ja tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille aina, kun se on välttämätöntä ja oikeasuhteista, ja samalla olisi varmistettava henkilötietojen korkeatasoinen suoja. Tämän kehityksen vuoksi unionissa on laadittava vahvempi ja johdonmukaisempi tietosuojakehys, jota tuetaan tehokkaalla täytäntöönpanolla. [tark. 2]

(5) Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY (3) sovelletaan kaikkeen jäsenvaltioissa sekä julkisella että yksityisellä sektorilla tapahtuvaan henkilötietojen käsittelyyn. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan sellaisessa toiminnassa joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön yhteydessä.

(6) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla sovelletaan neuvoston puitepäätöstä 2008/977/YOS (4). Puitepäätöksen soveltamisala rajoittuu jäsenvaltioiden keskenään siirtämien tai saataville asettamien henkilötietojen käsittelyyn.

(7) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön varmistamiseksi on taattava yksilöiden henkilötietojen korkeatasoinen ja johdonmukainen suoja ja helpotettava henkilötietojen vaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. Sitä varten kaikkien jäsenvaltioiden on tarjottava samantasoinen yksilöiden oikeuksien ja vapauksien suoja toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä tai syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa . Jotta henkilötietoja voidaan suojata tehokkaasti koko unionissa, on vahvistettava rekisteröidyn oikeuksia ja lisättävä henkilötietoja käsittelevien vastuuta. Samalla on varmistettava samantasoiset valtuudet seurata ja varmistaa henkilötietojen suojelua koskevien sääntöjen noudattaminen jäsenvaltioissa. [tark. 3]

(8) Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 2 kohdan mukaan Euroopan parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä, sekä säännöt, jotka koskevat heidän henkilötietojensa vapaata liikkuvuutta. [tark. 4]

(9) Sen pohjalta Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o …./2014 yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) vahvistetaan yleiset säännöt yksilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa.

(10) Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjaan liitetyssä julistuksessa 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi tunnusti, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja näiden tietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi.

(11) Sen vuoksi tarvitaan erillistä erityistä direktiiviä, joka vastaa näiden alojen erityisluonnetta ja jossa vahvistetaan säännöt yksilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä tai syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. [tark. 5]

(12) Jotta yksilöillä olisi samantasoinen suoja ja täytäntöönpanokelpoiset oikeudet kaikkialla unionissa ja jotta estetään toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa haittaavat eroavuudet, tässä direktiivissä olisi vahvistettava yhdenmukaiset henkilötietojen suojaa ja vapaata liikkuvuutta koskevat säännöt rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.

(13) Virallisten asiakirjojen julkisuusperiaate voidaan ottaa huomioon tämän direktiivin säännöksiä sovellettaessa.

(14) Direktiivin antaman suojan olisi koskettava kaikkia luonnollisia henkilöitä heidän kansalaisuudestaan ja asuinpaikastaan riippumatta silloin kun on kyse henkilötietojen käsittelystä.

(15) Yksilöiden suojelu ei saa olla riippuvainen käytetystä tekniikasta, koska tällainen riippuvaisuus uhkaisi aiheuttaa vakavia väärinkäytöksiä. Yksilöiden suojelun olisi koskettava myös henkilötietojen automatisoitua käsittelyä sekä sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tämän direktiivin soveltamisalaan ei ole tarkoitus sisällyttää sellaisia asiakirjoja tai asiakirjojen kokonaisuuksia kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti. Tätä direktiiviä ei ole tarkoitus soveltaa henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, erityisesti jos on kyse kansallisesta turvallisuudesta, eikä tietoihin, joita käsittelevät unionin toimielimet, elimet ja laitokset, kuten Europol ja Eurojust. Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (5) ja tietyt unionin elimiin, laitoksiin ja yksikköihin sovellettavat oikeudelliset välineet olisi saatettava tämän direktiivin mukaisiksi ja niitä olisi sovellettava tämän direktiivin mukaisesti. [tark. 6]

(16) Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Sen ratkaisemiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi tai erottamiseksi muista . Tietosuojaperiaatteita ei ole tarkoitus soveltaa tietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista. Tätä direktiiviä ei pitäisi soveltaa nimettömiin tietoihin, eli tietoihin, joita ei voida liittää suoraan tai epäsuorasti, sellaisenaan tai yhdessä asiaan liittyvien tietojen kanssa, luonnolliseen henkilöön. Koska tietoyhteiskunnassa tapahtuva luonnollisten henkilöiden sijaintitietojen talteenottoon, siirtämiseen, käsittelemiseen, tallentamiseen tai säilyttämiseen tai niistä ilmoittamiseen käytettävien tekniikoiden kehitys on niin merkittävää ja näitä tietoja voidaan käyttää eri tarkoituksiin, kuten valvontaan tai profiilien luomiseen, tätä direktiiviä olisi voitava soveltaa tällaisiin henkilötietoihin liittyvään käsittelyyn . [tark. 7]

(16 a) Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti ja asianomaisia henkilöitä kohtaan oikeudenmukaisella ja avoimella tavalla. Varsinkin tietojenkäsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keräämisen yhteydessä selvästi ja lainmukaisesti. Henkilötietojen olisi oltava asianmukaisia ja olennaisia ja niiden määrä olisi rajoitettava mahdollisimman vähään suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Sen vuoksi on varmistettava, että erityisesti tietoja ei kerätä liikaa ja niiden säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain, jos käsittelyn tarkoitusta ei voida toteuttaa muilla keinoin. Kaikki kohtuulliset toimenpiteet olisi toteutettava sen varmistamiseksi, että virheelliset henkilötiedot oikaistaan tai poistetaan. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten, jotta voidaan varmistaa, ettei tietoja säilytetä pidempään kuin on tarpeen. [tark. 8]

(17) Terveyttä koskeviin henkilötietoihin olisi sisällytettävä erityisesti kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa, tiedot yksilön rekisteröimisestä terveyspalvelujen saamista varten, tiedot yksilöä koskevista terveydenhuollon maksuista tai yksilön oikeudesta terveydenhuoltoon, yksilölle annettu numero, symboli tai erityistuntomerkki ainoastaan yksilön tunnistamiseksi terveydenhuollon piirissä, yksilöstä terveydenhuollon palvelujen antamisen aikana kerätyt tiedot, kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, myös biologiset näytteet, tieto siitä, kuka on hoitanut yksilöä, sekä kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn senhetkisestä fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, onko tiedot saatu lääkäriltä tai muulta terveydenhuoltoalan ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta vai diagnostisesta in vitro -testistä.

(18) Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti ja asianomaisia henkilöitä kohtaan oikeudenmukaisella tavalla. Varsinkin tietojenkäsittelyn nimenomainen tarkoitus olisi ilmoitettava selvästi. [tark. 9]

(19) Rikosten torjuminen, tutkiminen ja syytteeseenpano edellyttävät, että toimivaltaiset viranomaiset voivat säilyttää ja käsitellä tiettyjen rikosten torjumisen, tutkimisen, selvittämisen ja syytteeseenpanon yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen rikollisuuden ilmiöitä ja suuntauksia, kerätäkseen tietoa järjestäytyneistä rikollisverkostoista sekä havaitakseen yhteyksiä selvitettyjen rikosten välillä. [tark. 10]

(20) Henkilötietoja ei saa käsitellä sellaisia tarkoituksia varten, jotka ovat ristiriidassa sen tarkoituksen kanssa, johon tiedot kerättiin. Henkilötietojen olisi oltava riittäviä ja olennaisia, eivätkä ne saa olla liian laajoja käsittelyn tarkoituksiin nähden. Kaikki kohtuulliset toimenpiteet olisi toteutettava sen varmistamiseksi, että virheelliset henkilötiedot oikaistaan tai poistetaan. [tark. 11]

(20 a) Vaikka kaksi tarkoitusta liittyisi rikosten torjumiseen, tutkimiseen, selvittämiseen ja syytteeseenpanoon tai rikosoikeudellisten seuraamusten täytäntöönpanoon, tämä ei vielä välttämättä merkitse näiden tarkoitusten yhteensopivuutta. Tietyissä tapauksissa olisi kuitenkin oltava mahdollista käsitellä tietoja yhteensopimattomia tarkoituksia varten, jos se on välttämätöntä rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai jäsenvaltion yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi. Jäsenvaltioiden olisi sen vuoksi voitava antaa kansallisia säännöksiä näistä ehdottoman välttämättömissä tapauksissa sovellettavista poikkeuksista. Näiden kansallisten säännösten olisi sisällettävä riittävät takeet. [tark. 12]

(21) Tietojen oikeellisuuden periaatetta sovellettaessa olisi otettava huomioon asianomaisen käsittelyn luonne ja tarkoitus. Erityisesti oikeudenkäyntimenettelyissä lausunnot, jotka sisältävät henkilötietoja, perustuvat yksilöiden subjektiiviseen havaintoon eivätkä ole aina todennettavissa. Näin ollen oikeellisuuden vaatimus ei saisi koskea lausunnon oikeellisuutta, vaan ainoastaan sitä tosiseikkaa, että tietty lausunto on annettu.

(22) Kun tulkitaan ja sovelletaan yleisiä periaatteita, jotka koskevat yksilöiden suojelua toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, olisi otettava huomioon alan erityispiirteet ja -tavoitteet. [tark. 13]

(23) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla suoritettavalle henkilötietojen käsittelylle on ominaista, että käsiteltävät henkilötiedot koskevat eri ryhmiin kuuluvia rekisteröityjä. Sen vuoksi olisi mahdollisuuksien mukaan pyrittävä erottamaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten rikoksesta epäiltyjä, rikoksesta tuomittuja, rikoksen uhreja ja kolmansia osapuolia, kuten todistajia, henkilöitä, joilla on tärkeitä tietoja, sekä rikoksesta epäiltyjen ja tuomittujen tuttavia ja kumppaneita. Jäsenvaltioiden on laadittava tämän ryhmittelyn seurauksia koskevat erityissäännöt ottaen huomioon eri tarkoitukset, joita varten tietoja kerätään, ja antaen erityistakeet henkilöille, jotka eivät ole rikoksen tekemisestä epäiltyjä tai tuomittuja. [tark. 14]

(24) Henkilötiedot olisi mahdollisuuden mukaan eriteltävä myös tarkkuutensa ja luotettavuutensa mukaan. Tosiasiat olisi erotettava henkilökohtaisista arvioista, jotta voidaan varmistaa toisaalta yksilöiden suojelu ja toisaalta toimivaltaisten viranomaisten käsittelemien tietojen laatu ja luotettavuus.

(25) Jotta henkilötietojen käsittely olisi lainmukaista, sen on oltava se olisi sallittava vain, jos se on välttämätöntä rekisterinpitäjän laillisen velvoitteen noudattamiseksi, toimivaltaisen viranomaisen kansalliseen , unionin tai jäsenvaltion lainsäädäntöön perustuvan, yleistä etua koskevan tehtävän suorittamiseksi, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan torjumiseksi ja kyseisessä lainsäädännössä olisi oltava selvät ja tarkat säännökset ainakin tavoitteista, henkilötiedoista, nimenomaisista tarkoituksista ja keinoista, rekisterinpitäjän nimittämisestä tai nimittämisen sallimisesta, noudatettavista menettelyistä sekä toimivaltaisille viranomaisille myönnetyn harkinnanvaraisuuden käytöstä ja soveltamisalan laajuudesta suhteessa käsittelyyn . [tark. 15]

(25 a) Henkilötietoja ei saa käsitellä sellaisia tarkoituksia varten, jotka ovat ristiriidassa sen tarkoituksen kanssa, johon tiedot kerättiin. Toimivaltaisella viranomaisella olisi oltava valtuudet tietojen käsittelyyn sellaisessa tarkoituksessa, joka kuuluu tämän direktiivin soveltamisalaan mutta joka ei ole yhteensopiva alkuperäisen tarkoituksen kanssa, vain erityistapauksissa, joissa tällainen käsittely on välttämätöntä rekisterinpitäjän unionin tai jäsenvaltion lainsäädännön mukaisen velvollisuuden noudattamiseksi tai rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi taikka yleistä turvallisuutta koskevan välittömän ja vakavan uhkan estämiseksi. Se että tietoja käsitellään lainvalvontatarkoituksessa, ei välttämättä tarkoita, että tämä tarkoitus on alkuperäisen tarkoituksen kanssa yhteensopiva. Yhteensopivan käytön käsitettä on tulkittava tiukasti. [tark. 16]

(25 b) Henkilötietoja, joita on käsitelty tämän direktiivin mukaisesti hyväksyttyjen kansallisten säännösten vastaisesti, ei saisi enää käsitellä. [tark. 17]

(26) Henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien tai yksityisyyden kannalta erityisen arkaluonteisia ja haavoittuvia , on suojeltava erityisen tarkasti. Näitä ovat esimerkiksi geneettiset tiedot. Tällaisia tietoja olisi voitava käsitellä vain, jos käsittelyyn on erikseen lupa sellaisen lain nojalla, jossa säädetään asianmukaisista toimenpiteistä käsittely on nimenomaisesti välttämätöntä asianmukaisia toimenpiteitä rekisteröidyn perusoikeuksien ja oikeutettujen etujen suojaamiseksi koskevaan unionin tai jäsenvaltion lainsäädäntöön perustuvan , tai jos yleistä etua koskevan tehtävän suorittamiseksi, käsittely on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. Arkaluonteisia henkilötietoja olisi käsiteltävä vain, jos niillä täydennetään lainvalvontatarkoituksiin käsiteltyjä muita henkilötietoja. Arkaluonteisten tietojen käsittelykieltoa koskevat poikkeukset olisi tulkittava tiukasti ja ne eivät saisi johtaa arkaluonteisten henkilötietojen toistuvaan, laajamittaiseen tai rakenteelliseen käsittelyyn. [tark. 18]

(26 a) Geneettisten tietojen käsittelyn olisi oltava sallittua vain, jos rikostutkimuksen tai oikeudenkäyntimenettelyn aikana ilmenee jokin geneettinen yhteys. Geneettisiä tietoja saisi tallentaa vain, jos se on tällaisten tutkimusten tai menettelyjen kannalta ehdottoman välttämätöntä, ja jäsenvaltiot voivat säätää pidemmästä säilytyksestä tässä direktiivissä säädettyjen edellytysten mukaisesti. [tark. 19]

(27) Jokaisella luonnollisella henkilöllä olisi oltava oikeus olla joutumatta ainoastaan automaattiseen tietojenkäsittelyyn perustuvan toimenpiteen tietojen automaattisen käsittelyn avulla tapahtuvaan osittaiseen tai täysimääräiseen profilointiin perustuvien toimenpiteiden kohteeksi . Tällainen käsittely olisi kiellettävä , jos toimenpiteellä sillä on henkilön kannalta kielteinen oikeusvaikutus oikeusvaikutuksia tai se vaikuttaa häneen merkittävällä tavalla , ellei toimenpide ole erikseen käsittely ole sallittu laissa ja ellei asiassa sovelleta asianmukaisia toimia rekisteröidyn perusoikeuksien ja oikeutettujen etujen suojaamiseksi , oikeus saada merkityksellistä tietoa profiloinnissa käytetystä logiikasta mukaan luettuna . Tällaiseen käsittelyyn ei saisi missään olosuhteissa sisältyä erityisiä tietoryhmiä eikä se saisi tuottaa tällaisia tietoryhmiä tai syrjiä ketään niiden perusteella . [tark. 20]

(28) Jotta rekisteröidyt voisivat käyttää oikeuksiaan, kaikkien rekisteröidyille tarkoitettujen tietojen olisi oltava helposti saatavilla ja ymmärrettävissä, ja ne olisi ilmaistava selkeällä ja yksinkertaisella kielellä. Nämä tiedot olisi mukautettava rekisteröidyn tarpeisiin varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. [tark. 21]

(29) Olisi säädettävä yksityiskohtaisesti siitä, miten rekisteröityä voitaisiin auttaa käyttämään tähän direktiiviin perustuvia oikeuksiaan, esimerkiksi keinoista pyytää maksutta erityisesti pääsyä tietoihin sekä tietojen oikaisemista ja poistamista. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä viipymättä ja kuukauden kuluessa pyynnön vastaanottamisesta . Jos henkilötietojen käsittely on automatisoitu, rekisterinpitäjän olisi tarjottava keinot esittää tällaiset pyynnöt sähköisesti . [tark. 22]

(30) Asianmukaisen ja avoimen tietojenkäsittelyn periaatteen mukaisesti rekisteröidyille olisi ilmoitettava erityisesti tietojen käsittelystä ja sen tarkoituksista, käsittelyn oikeusperustasta, tietojen säilytysajasta, tiedonsaantioikeudesta, oikeudesta pyytää tietojen oikaisemista tai poistamista sekä valitusoikeudesta. Lisäksi rekisteröidyille olisi ilmoitettava mahdollisesta profiloinnista ja sen tarkoitetuista seurauksista. Jos tietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa tiedot, sekä kieltäytymisen seurauksista. [tark. 23]

(31) Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keräämishetkellä tai, jos tietoja ei ole saatu suoraan rekisteröidyltä, tietojen tallentamishetkellä tai kohtuullisen ajan kuluessa tietojen keräämisestä ottaen huomioon tietojen käsittelyn erityiset olosuhteet.

(32) Jokaisella olisi oltava oikeus saada tietoa siitä, mitä tietoja heistä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus saada tietää erityisesti tietojen käsittelyn tarkoituksesta, käsittelyn oikeusperustasta, käsittelyn kestosta ja tietojen vastaanottajista, myös kolmansissa maissa , ymmärrettävässä muodossa olevat tiedot mihin tahansa automatisoituun käsittelyjärjestelmään liittyvästä logiikasta, käsittelyn merkityksestä ja mahdollisista seurauksista ja oikeudesta tehdä valitus valvontaviranomaiselle ja saada sen yhteystiedot . Rekisteröityjen olisi voitava saada kopio niistä henkilötiedoistaan, joita käsitellään. [tark. 24]

(33) Jäsenvaltioiden olisi voitava hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään tai rajoitetaan rekisteröidyille ilmoittamista tai heidän tiedonsaantioikeuttaan tai poistetaan nämä oikeudet siinä määrin ja niin kauan kuin tällainen osittainen tai täydellinen rajoitus on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa ottaen asianmukaisesti huomioon kyseisen henkilön perusoikeudet ja oikeutetut edut, jotta vältetään estämästä virallisia tai laillisia tiedusteluja, tutkimuksia tai menettelyjä tai tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle tai jotta voidaan suojata yleistä tai kansallista turvallisuutta tai suojella rekisteröidyn tai muiden henkilöiden oikeuksia ja vapauksia. Rekisterinpitäjän olisi arvioitava käytännössä ja yksilöllisesti tutkimalla jokainen tapaus, jossa sovelletaan tiedonsaantioikeuden osittaista tai täydellistä rajoittamista. [tark. 25]

(34) Jos tietojen antamisesta kieltäydytään tai sitä rajoitetaan, asiasta on ilmoitettava kirjallisesti rekisteröidylle. Samalla on annettava tiedoksi myös ne seikat tai oikeudelliset syyt, joihin tällainen päätös perustuu.

(34 a) Kaikkien rekisteröityjen oikeuksien rajoitusten on oltava perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen mukaisia Euroopan unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöjen selventämällä tavalla, ja on noudatettava erityisesti kyseisten oikeuksien ja vapauksien olennaista sisältöä. [tark. 26]

(35) Jos jäsenvaltiot ovat hyväksyneet lainsäädäntötoimenpiteitä, joilla rajoitetaan tiedonsaantioikeutta joko kokonaan tai osittain, rekisteröidyllä olisi oltava oikeus pyytää toimivaltaista kansallista valvontaviranomaista tarkistamaan käsittelyn lainmukaisuuden puolestaan. Rekisteröidylle olisi ilmoitettava tästä oikeudesta. Jos valvontaviranomainen käyttää tiedonsaantioikeutta rekisteröidyn puolesta, valvontaviranomaisen olisi ilmoitettava rekisteröidylle ainakin siitä, että kaikki tarpeelliset tarkistukset on tehty, sekä siitä, onko kyseinen käsittely lainmukaista. Valvontaviranomaisen olisi myös tiedotettava rekisteröidylle oikeudesta käyttää muita oikeussuojakeinoja. [tark. 27]

(36) Jokaisella olisi oltava oikeus saada itseään koskevat virheelliset tai laittomasti käsitellyt henkilötiedot oikaistuiksi ja oikeus pyytää tietojen poistamista, jos tietojen käsittely ei vastaa tässä direktiivissä vahvistettuja perusperiaatteita vahvistettuja säännöksiä . Tieto siitä, että kyseiset tiedot on oikaistu tai poistettu tai että niitä on täydennetty, olisi välitettävä tiedot vastaanottaneille tahoille sekä kolmansille osapuolille, joilta virheelliset tiedot olivat peräisin. Rekisterinpitäjien olisi myös lopetettava kyseisten tietojen levittäminen . Jos henkilötietoja käsitellään rikostutkinnan ja -oikeudenkäynnin yhteydessä, tietojen oikaiseminen, rekisteröidylle ilmoittaminen, tiedonsaanti, tietojen poistaminen tai käsittelyn rajoittaminen voidaan toteuttaa oikeudenkäyntiä koskevien kansallisten sääntöjen mukaisesti. [tark. 28]

(37) Olisi vahvistettava rekisterinpitäjän kattava vastuu suorittamastaan tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Rekisterinpitäjän olisi erityisesti varmistettava, että kaikessa käsittelyssä noudatetaan tämän direktiivin nojalla annettuja sääntöjä , ja sillä olisi oltava velvollisuus pystyä osoittamaan se . [tark. 29]

(38) Rekisteröidyn oikeuksien ja vapauksien suojaaminen henkilötietojen käsittelyssä edellyttää asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamista, jotta voidaan varmistaa direktiivin vaatimusten noudattaminen. Varmistaakseen, että direktiivin nojalla annettuja säännöksiä on noudatettu, rekisterinpitäjän olisi hyväksyttävä toimintamenetelmät ja toteutettava tarvittavat toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun tietosuojan ja oletusarvoisen tietosuojan periaatteita.

(39) Rekisteröidyn oikeuksien ja vapauksien suojelun sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden vastuun ja vastuuvelvollisuuden takia on direktiivissä säädetyt tehtävät jaettava selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta. Rekisteröidyllä olisi oltava oikeus käyttää tämän direktiivin mukaisia oikeuksiaan suhteessa kuhunkin yhteiseen rekisterinpitäjään ja kutakin yhteistä rekisterinpitäjää vastaan. [tark. 30]

(40) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi dokumentoitava käsittely valvoakseen, että se on tapahtunut direktiivin mukaisesti. Rekisterinpitäjät ja henkilötietojen käsittelijät olisi velvoitettava tekemään yhteistyötä valvontaviranomaisen kanssa ja esittämään pyydettäessä käsittelyä koskevat asiakirjat, jotta käsittelyä voidaan seurata niiden pohjalta.

(40 a) Jokainen henkilötietojen käsittelytoimi olisi kirjattava muistiin, jotta voidaan varmistaa henkilötietojen käsittelyn laillisuus, omaehtoinen valvonta sekä asianmukainen tietojen eheys ja tietoturva. Näiden tietojen olisi oltava pyydettäessä valvontaviranomaisen käytettävissä tässä direktiivissä vahvistettujen sääntöjen noudattamisen valvomiseksi. [tark. 31]

(40 b) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi tehtävä tietosuojaa koskeva vaikutustenarviointi, jos käsittelytoimiin todennäköisesti liittyy niiden luonteen, laajuuden tai tarkoituksen vuoksi rekisteröityjen vapauksien ja oikeuksien kannalta erityisiä riskejä; arvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä, takeita ja mekanismeja, joiden avulla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä direktiiviä on noudatettu. Vaikutustenarviointi tulisi kohdistaa asianomaisiin henkilötietojen käsittelytoimien järjestelmiin ja prosesseihin eikä yksittäisiin tapauksiin. [tark. 32]

(41) Jotta rekisteröityjen oikeuksia ja vapauksia voitaisiin suojata tehokkaasti ennalta ehkäisevin toimin, rekisterinpitäjän tai henkilötietojen käsittelijän olisi eräissä tapauksissa kuultava valvontaviranomaista ennen käsittelyä. Lisäksi silloin kun tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelytoimiin liittyy todennäköisesti merkittäviä erityisiä riskejä rekisteröityjen oikeuksien ja vapauksien kannalta, valvontaviranomaisien olisi pystyttävä estämään ennen toimien aloittamista riskialtis käsittely, joka ei ole tämän direktiivin mukaista, ja tekemään ehdotuksia tällaisen tilanteen korjaamiseksi. Tällainen kuuleminen voidaan suorittaa myös joko kansallisen parlamentin toimenpiteen tai tällaiseen lainsäädäntötoimenpiteeseen perustuvan toimenpiteen valmistelun aikana, kun näissä toimenpiteissä määritetään käsittelyn luonne ja vahvistetaan asianmukaiset takeet. [tark. 33]

(41 a) Turvallisuuden ylläpitämiseksi ja direktiivin säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi. Näiden toimenpiteiden avulla olisi voitava varmistaa asianmukainen turvallisuustaso ottaen huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojattavien henkilötietojen luonteeseen. Otettaessa käyttöön teknisiä standardeja ja organisatorisia toimia käsittelyn turvallisuuden varmistamiseksi olisi edistettävä teknologiariippumattomuutta. [tark. 34]

(42) Jos henkilötietoihin kohdistuvaan tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua haittaa kyseessä olevalle henkilölle, sillä se voi esimerkiksi vahingoittaa hänen mainettaan huomattavia taloudellisia menetyksiä ja sosiaalisia haittoja, kuten väärän henkilöllisyyden käyttöä . Sen vuoksi rekisterinpitäjän olisi ilmoitettava toimivaltaiselle kansalliselle viranomaiselle tietoturvaloukkauksesta heti, kun se on tullut ilmi. Henkilöille, joiden henkilötietoihin tai yksityisyyteen tällaiset tietoturvaloukkaukset voivat vaikuttaa haitallisesti, olisi ilmoitettava asiasta ilman aiheetonta viivytystä viipymättä , jotta he voivat ryhtyä tarvittaviin varotoimiin. Tietoturvaloukkauksen olisi katsottava vaikuttavan haitallisesti henkilön henkilötietoihin tai yksityisyyteen, jos se voi johtaa esimerkiksi henkilötietovarkauteen tai -petokseen, jos siitä voi aiheutua fyysistä haittaa tai huomattavan vakavaa nöyryytystä tai jos se voi vahingoittaa henkilön mainetta henkilötietojen käsittelyn yhteydessä. Ilmoituksessa olisi annettava tiedot toimenpiteistä, joita palveluntarjoaja on toteuttanut tietoturvaloukkauksen selvittämiseksi, sekä suosituksia tilaajille tai henkilöille, joihin se on vaikuttanut. Rekisteröidylle olisi ilmoitettava niin pian kuin se on mahdollista ja tiiviissä yhteistyössä valvontaviranomaisen kanssa sen antamia ohjeita noudattaen. [tark. 35]

(43) Laadittaessa yksityiskohtaisia sääntöjä henkilötietojen tietoturvaloukkausten ilmoittamisen muodosta ja ilmoittamisessa sovellettavista menettelyistä olisi otettava asianmukaisesti huomioon loukkaukseen liittyvät seikat, kuten se, oliko henkilötiedot suojattu asianmukaisin teknisin suojauskeinoin, mikä vähentää olennaisesti väärinkäytösten todennäköisyyttä. Tällaisissa säännöissä ja menettelyissä olisi myös otettava huomioon toimivaltaisten viranomaisten oikeutetut edut tapauksissa, joissa varhainen ilmoittaminen voisi tarpeettomasti haitata tietoturvaloukkauksen tutkimista.

(44) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi nimitettävä henkilö, joka auttaa rekisterinpitäjää tai henkilötietojen käsittelijää valvomaan ja osoittamaan , että tämän direktiivin nojalla annettuja säännöksiä noudatetaan. Toimivaltaisen viranomaisen yksiköt voivat yhdessä nimittää tietosuojavastaavan Jos useat toimivaltaiset viranomaiset toimivat yhden keskusviranomaisen valvonnassa, ainakin kyseinen keskusviranomainen on nimitettävä tietosuojavastaavaksi . Tietosuojavastaavan on voitava täyttää velvollisuutensa ja suorittaa tehtävänsä riippumattomasti ja tehokkaasti erityisesti laatimalla säännöt, jotta vältetään eturistiriidat tietosuojavastaavan muiden tehtävien kanssa . [tark. 36]

(45) Jäsenvaltioiden olisi varmistettava, että tietoja siirretään kolmanteen maahan vain, jos tämä erityinen siirto on tarpeen rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi ja jos rekisterinpitäjä kolmannessa maassa tai kansainvälisessä järjestössä on tässä direktiivissä tarkoitettu toimivaltainen viranomainen. Tietoja voidaan siirtää, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö huolehtii tietosuojan riittävyydestä, tai jos on annettu asianmukaiset takeet tai oikeudellisesti sitovassa välineessä on annettu asianmukaiset takeet . Kolmansien maiden toimivaltaisille viranomaisille siirrettyjä tietoja olisi käsiteltävä ainoastaan sitä tarkoitusta varten, johon ne on siirretty. [tark. 37]

(45 a) Tietojen siirtäminen edelleen niiltä kolmansien maiden toimivaltaisilta viranomaisilta tai kansainvälisiltä järjestöiltä, joille tiedot on siirretty, olisi sallittava ainoastaan, jos edelleen siirtäminen on välttämätöntä samaa erityistä tarkoitusta varten, johon tiedot alunperin siirrettiin, ja jos myös toinen vastaanottaja on toimivaltainen viranomainen. Tietojen edelleen siirtämistä ei saisi sallia yleisiä lainvalvontatarkoituksia varten. Alkuperäisen siirron tehneen toimivaltaisen viranomaisen olisi hyväksyttävä edelleen siirtäminen. [tark. 38]

(46) Komissio voi päättää koko unionin osalta, että eräät kolmannet maat tai tietty kolmannen maan alue tai tietojenkäsittelyn sektori tai tietyt kansainväliset järjestöt tarjoavat riittävän tietosuojan, jotta voidaan varmistaa oikeusvarmuus ja yhdenmukaisuus kaikkialla unionissa riittävän tietosuojan tarjoavien kolmansien maiden tai kansainvälisten järjestöjen osalta. Tällöin henkilötietoja voidaan siirtää kyseisiin maihin ilman erityistä lupaa.

(47) Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi otettava huomioon, miten oikeusvaltioperiaate, oikeussuoja sekä kansainväliset ihmisoikeussäännöt ja -normit toteutuvat kyseisessä kolmannessa maassa.

(48) Komission olisi myös voitava tunnistaa, jos jokin kolmas maa, kolmannen maan alue tai tietojenkäsittelyn sektori taikka kansainvälinen järjestö ei tarjoa riittävää tietosuojaa. Silloin henkilötietojen siirto kyseiseen kolmanteen maahan olisi kiellettävä lukuun ottamatta tapauksia, joissa siirron perustana on kansainvälinen sopimus, asianmukaiset takeet tai poikkeus. Lisäksi olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. Asiaa koskeva komission päätös ei kuitenkaan vaikuta mahdollisuuteen suorittaa siirtoja joko oikeudellisesti sitovissa välineissä annettavien asianmukaisten takeiden tai tässä direktiivissä vahvistetun poikkeuksen nojalla. [tark. 39]

(49) Siirrot, jotka eivät perustu tietosuojan riittävyyttä koskevaan päätökseen, olisi sallittava vain, jos oikeudellisesti sitovassa välineessä on annettu asianmukaiset takeet, joilla varmistetaan henkilötietojen suoja, tai jos rekisterinpitäjä tai henkilötietojen käsittelijä on arvioinut kaikkia tiedonsiirtoon tai siirtojen sarjaan liittyviä seikkoja ja katsoo arvionsa perusteella, että henkilötietojen suojasta on olemassa asianmukaiset takeet. Jos siirron sallimiselle ei ole perusteita, olisi voitava soveltaa poikkeusta, jos se on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötiedot siirtävän jäsenvaltion laissa niin säädetään, tai jos se on tarpeen jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi, tai yksittäistapauksissa rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi, tai yksittäistapauksissa oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. [tark. 40]

(49 a) Jos siirron sallimiselle ei ole perusteita, olisi voitava soveltaa poikkeusta, jos se on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötiedot siirtävän jäsenvaltion laissa niin säädetään, tai jos se on tarpeen jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi, tai yksittäistapauksissa rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi, tai yksittäistapauksissa oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Näitä poikkeuksia olisi tulkittava tiukasti, eikä niissä saisi sallia henkilötietojen toistuvia, laajoja ja rakenteellisia siirtoja tai tietojen laajamittaista siirtoa, joka olisi rajoitettava koskemaan pelkästään välttämättömiä tietoja. Lisäksi siirtopäätöksen saa tehdä vain asianmukaisesti valtuutettu henkilö, siirto on dokumentoitava ja siirtoa koskevat asiakirjat on pyynnöstä toimitettava valvontaviranomaiselle siirron laillisuuden valvontaa varten. [tark. 41]

(50) Henkilötietojen siirtäminen valtioiden rajojen yli voi vaikeuttaa yksilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi viranomaisten yhteistyötä valtioiden rajatylittävissä tapauksissa voivat vaikeuttaa myös riittämättömät ennalta ehkäisevät tai korjaavat toimivaltuudet tai epäjohdonmukaiset oikeudelliset toimintaympäristöt. Sen vuoksi olisi edistettävä tietosuojavalvontaviranomaisten tiiviimpää keskinäistä yhteistyötä, jotta ne voivat vaihtaa tietoja ulkomaisten kumppaniensa kanssa.

(51) Itsenäisesti toimivien valvontaviranomaisten perustaminen jäsenvaltioihin on keskeinen osa yksilöiden suojelua henkilötietojen käsittelyssä. Valvontaviranomaisten olisi seurattava tämän direktiivin nojalla annettujen säännösten soveltamista ja edistettävä direktiivin yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä. Sitä varten valvontaviranomaisten olisi tehtävä yhteistyötä keskenään ja komission kanssa. [tark. 42]

(52) Jäsenvaltiot voivat antaa asetuksen (EU) N:o …/2014 mukaisesti jäsenvaltioihin jo perustetuille valvontaviranomaisille tämän direktiivin mukaisesti perustettavien kansallisten valvontaviranomaisten tehtävät.

(53) Jäsenvaltioiden olisi voitava perustaa useampi kuin yksi valvontaviranomainen omaa perustuslakiaan sekä organisaatio- ja hallintorakennettaan vastaavasti. Kullekin valvontaviranomaiselle olisi osoitettava riittävät taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, joihin kuuluvat tekninen osaaminen, kokemus ja ammattitaito, jotka ovat tarpeen tehtävien suorittamiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon ja yhteistyöhön muiden valvontaviranomaisten kanssa kaikkialla unionissa. [tark. 43]

(54) Valvontaviranomaisen jäseniin sovellettavat yleiset edellytykset olisi vahvistettava kunkin jäsenvaltion lainsäädännössä. Erityisesti olisi säädettävä, että joko jäsenvaltion parlamentin tai hallituksen on parlamentin kuulemisen perusteella nimitettävä kyseiset jäsenet. Lisäksi olisi vahvistettava säännöt jäsenten henkilökohtaisesta pätevyydestä ja asemasta. [tark. 44]

(55) Vaikka tätä direktiiviä sovelletaan myös kansallisten tuomioistuinten toimintaan, valvontaviranomaisten toimivallan ei tulisi kattaa henkilötietojen käsittelyä, jota tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä. Vain näin voidaan turvata tuomareiden riippumattomuus heidän hoitaessaan lainkäyttötehtäviään. Tämä poikkeus olisi kuitenkin rajattava koskemaan tuomioistuinten lainkäyttötehtäviä oikeudenkäynneissä, eikä sitä pidä soveltaa muuhun toimintaan, johon tuomarit saattavat osallistua kansallisen lainsäädännön mukaisesti.

(56) Direktiivin johdonmukaisen seurannan ja täytäntöönpanon varmistamiseksi kaikkialla unionissa valvontaviranomaisilla olisi oltava samat tehtävät ja valtuudet kaikissa jäsenvaltioissa, mukaan lukien tehokkaat tutkintavaltuudet, valtuudet saada kaikki tarvittavat henkilötiedot ja kaikki kunkin valvontatoimen toteuttamisen kannalta välttämättömät tiedot, valtuudet päästä tietosuojaviranomaisen tai käsittelijän tiloihin, mukaan lukien tietovälineisiin, sekä valtuudet toteuttaa oikeudellisesti sitovia toimia, tehdä päätöksiä ja määrätä seuraamuksia, erityisesti silloin kun yksilöt tekevät valituksia, ja valtuudet panna vireille oikeudellisia menettelyjä. [tark. 45]

(57) Kaikkien valvontaviranomaisten olisi käsiteltävä ja otettava tutkittavaksi rekisteröityjen tekemiä valituksia. Valitus olisi tutkittava siinä määrin kuin kussakin tapauksessa on asiamukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen tutkittavaksi. Valvontaviranomaisen olisi ilmoitettava rekisteröidylle valituksen käsittelyn etenemisestä ja valitusta koskevasta ratkaisustaan kohtuullisen ajan kuluessa. Jos asiassa tarvitaan lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle.

(58) Valvontaviranomaisten olisi autettava toisiaan tehtäviensä suorittamisessa ja annettava keskinäistä apua varmistaakseen direktiivin nojalla annettujen säännösten johdonmukaisen soveltamisen ja täytäntöönpanon. Jokaisen valvontaviranomaisen olisi oltava valmis osallistumaan yhteisiin operaatioihin. Pyynnön vastaanottanut valvontaviranomainen olisi velvoitettava vastaamaan pyyntöön tietyssä määräajassa. [tark. 46]

(59) Asetuksella (EU) N:o …/2012 2014 perustetun Euroopan tietosuojaneuvoston olisi edistettävä direktiivin yhdenmukaista soveltamista kaikkialla unionissa, mukaan lukien neuvojen antaminen komissiolle sekä unionin toimielimille, valvontaviranomaisten yhteistyön tukeminen unionissa , ja antaa komissiolle lausunto tähän direktiiviin perustuvien delegoitujen säädösten ja täytäntöönpanosäädösten valmistelusta . [tark. 47]

(60) Rekisteröidyllä olisi oltava oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle sekä oikeus soveltaa oikeussuojakeinoja, jos hän katsoo, että hänen direktiiviin perustuvia oikeuksiaan on rikottu, tai jos valvontaviranomainen ei käsittele valitusta tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi.

(61) Kaikilla elimillä, järjestöillä ja yhdistyksillä, jotka pyrkivät suojelemaan rekisteröityjen oikeuksia toimivat yleisen edun hyväksi ja etuja heidän henkilötietojensa suojaamiseksi ja jotka on perustettu jäsenvaltion lainsäädännön mukaisesti, olisi oltava oikeus tehdä valitus tai soveltaa oikeussuojakeinoja rekisteröidyn puolesta, jos rekisteröity on ne asianmukaisesti valtuuttanut, tai jos kyseessä on henkilötietojen tietoturvaloukkaus, tehdä oma valitus rekisteröidyn valituksesta riippumatta. [tark. 48]

(62) Kaikilla luonnollisilla tai oikeushenkilöillä olisi oltava oikeus soveltaa oikeussuojakeinoja niitä koskevia valvontaviranomaisen päätöksiä vastaan. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut.

(63) Jäsenvaltioiden olisi varmistettava, että oikeussuojakeinot ovat tehokkaita ja että niiden avulla voidaan nopeasti hyväksyä toimenpiteitä, joilla korjataan tai ehkäistään direktiivin rikkominen.

(64) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi korvattava yksilölle laittoman tietojenkäsittelyn vuoksi mahdollisesti aiheutuneet vahingot, myös aineettomat vahingot, mutta rekisterinpitäjä tai henkilötietojen käsittelijä voidaan vapauttaa vastuusta, jos voidaan osoittaa, ettei rekisterinpitäjä tai henkilötietojen käsittelijä ole vastuussa vahingosta, erityisesti, jos rekisteröidyn voidaan osoittaa tehneen virheen tai jos kyseessä on ylivoimainen este. [tark. 49]

(65) Olisi säädettävä seuraamuksista julkis- tai yksityisoikeudellisille luonnollisille tai oikeushenkilöille, jotka eivät noudata tätä direktiiviä. Jäsenvaltioiden olisi varmistettava, että seuraamukset ovat tehokkaita, oikeasuhteisia ja varoittavia, ja toteutettava kaikki toimenpiteet seuraamusten täytäntöönpanemiseksi.

(65 a) Henkilötietojen siirtäminen muille viranomaisille tai yksityisille osapuolille unionissa on kiellettyä, paitsi jos siirto on lainmukainen ja vastaanottaja on sijoittautunut jäsenvaltioon eikä mikään rekisteröidyn oikeutettu erityinen etu estä siirtoa ja jos siirto on erityistapauksessa välttämätön tiedot siirtävälle rekisterinpitäjälle joko sille lailla määrätyn tehtävän toteuttamiseksi tai yleistä turvallisuutta koskevan välittömän ja vakavan vaaran torjumiseksi tai yksilöiden oikeuksiin kohdistuvien vakavien vahinkojen ehkäisemiseksi. Rekisterinpitäjän olisi ilmoitettava vastaanottajalle käsittelyn tarkoituksesta ja valvontaviranomaiselle siirron tarkoituksesta. Vastaanottajalle olisi myös ilmoitettava käsittelyn rajoituksista ja olisi varmistettava, että niitä noudatetaan. [tark. 50]

(66) Jotta voidaan saavuttaa tämän direktiivin tavoitteet eli suojata luonnollisten henkilöiden perusoikeuksia ja –vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan sekä varmistaa henkilötietojen vaihtaminen unionin toimivaltaisten viranomaisten kesken, komissiolle olisi siirrettävä valta hyväksyä säädösvallan siirron nojalla annettavia delegoituja säädöksiä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti. Delegoituja säädöksiä olisi erityisesti annettava niiden ilmoitusten osalta, joita valvontaviranomaiselle on annettava henkilötietojen tietoturvaloukkauksesta tietosuojaa koskevan vaikutustenarvioinnin edellyttäviä käsittelytoimia koskevien kriteerien ja edellytysten täsmentämiseksi, tietoturvaloukkauksiin liittyvien kriteereiden ja vaatimusten täsmentämiseksi sekä kolmannen maan, kyseisen kolmannen maan alueen tai tietojenkäsittelyn sektorin tai jonkin kansainvälisen järjestön tarjoaman tietosuojan tason riittävyyden täsmentämiseksi . On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla , ja että se kuulee erityisesti Euroopan tietosuojaneuvostoa . Komission olisi delegoituja säädöksiä valmistellessaan ja laatiessaan varmistettava, että asianomaiset asiakirjat toimitetaan Euroopan parlamentille ja neuvostolle yhtäaikaisesti, hyvissä ajoin ja asianmukaisesti. [tark. 51]

(67) Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano rekisterinpitäjien ja henkilötietojen käsittelijöiden suorittaman dokumentoinnin, käsittelyn turvallisuuden ja erityisesti salausstandardien, sekä henkilötietojen tietoturvaloukkauksista valvontaviranomaiselle ilmoittamisen sekä kolmannen maan, kolmannen maan alueen tai tietojenkäsittelyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyyden osalta, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä, 16 päivänä helmikuuta 2011 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (6) mukaisesti. [tark. 52]

(68) Silloin kun hyväksytään toimenpiteitä, jotka koskevat rekisterinpitäjien ja henkilötietojen käsittelijöiden suorittamaa dokumentointia, käsittelyn turvallisuutta, ja henkilötietojen tietoturvaloukkauksista ilmoittamista valvontaviranomaiselle sekä kolmannen maan, kolmannen maan alueen tai tietojenkäsittelyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyyttä, olisi sovellettava tarkastelumenettelyä, sillä nämä toimenpiteet ovat laajakantoisia. [tark. 53]

(69) Komission olisi hyväksyttävä välittömästi sovellettavia täytäntöönpanosäädöksiä, kun tämä on tarpeen asianmukaisesti perustelluissa erittäin kiireellisissä tapauksissa, jotka liittyvät kolmanteen maahan tai kyseisen kolmannen maan alueeseen tai tietojenkäsittelyn sektoriin tai kansainväliseen järjestöön, joka ei huolehdi riittävästä tietosuojasta. [tark. 54]

(70) Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, joita ovat luonnollisten henkilöiden perusoikeuksien ja -vapauksien ja erityisesti henkilötietojen heidän henkilötietojensa suojaa koskevan oikeuden suojeleminen sekä unionin toimivaltaisten viranomaisten välisen henkilötietojen vaihtamisen varmistaminen, vaan ne voidaan toimien laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla, joten unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Kyseisessä artiklassa määrätyn suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei mennä pidemmälle kuin tämän tavoitteen näiden tavoitteiden saavuttaminen edellyttää. Jäsenvaltiot voivat säätää standardeista, jotka ylittävät tässä direktiivissä vahvistetut standardit. [tark. 55]

(71) Puitepäätös 2008/977/YOS olisi korvattava tällä direktiivillä.

(72) Tämä ei vaikuta erityisiin säännöksiin, jotka koskevat toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten ja jotka sisältyvät ennen direktiivin hyväksymispäivää annettuihin unionin säädöksiin, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin. Koska perusoikeuskirjan 8 artikla ja SEUT 16 artikla tarkoittavat, että perusoikeus henkilötietojen suojeluun olisi turvattava johdonmukaisesti ja yhtenäisesti koko unionissa, komission olisi kahden vuoden kuluessa tämän direktiivin voimaantulosta arvioitava tämän direktiivin ja niiden ennen direktiivin hyväksymispäivää annettujen säädösten suhdetta, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin, päättääkseen, olisiko näitä erityisiä säännöksiä yhdenmukaistettava ja tehtävä tarvittaessa ehdotuksia sen varmistamiseksi, että oikeudelliset säännöt, jotka koskevat viranomaisten suorittamaa henkilötietojen käsittelyä tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin tietojärjestelmiin samoin kuin unionin toimielinten, elinten ja laitosten rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten suorittamaa henkilötietojen käsittelyä, ovat johdonmukaisia ja yhtenäisiä tämän direktiivin säännösten kanssa soveltamisalan puitteissa . [tark. 56]

(73) Henkilötietojen kattavan ja yhtenäisen suojelun varmistamiseksi unionissa olisi unionin tai jäsenvaltioiden ennen direktiivin voimaantuloa tekemiä kansainvälisiä sopimuksia muutettava vastaamaan direktiiviä. [tark. 57]

(74) Tämä direktiivi ei rajoita Euroopan parlamentin ja neuvoston direktiivissä 2011/93/EU (7) vahvistettuja sääntöjä, jotka koskevat lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumista.

(75) Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyn pöytäkirjan N:o 21 6 a artiklan mukaisesti tässä direktiivissä vahvistetut säännöt eivät sido Yhdistynyttä kuningaskuntaa ja Irlantia siinä tapauksessa, että niihin ei myöskään sovelleta rikosasioissa tehtävää oikeudellista yhteistyötä tai poliisiyhteistyötä koskevia sääntöjä, jotka edellyttävät Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaisesti vahvistettujen säännösten noudattamista.

(76) Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Tanskan asemasta tehdyn pöytäkirjan N:o 22 2 ja 2 a artiklan mukaisesti tämä direktiivi ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä direktiivillä kehitetään Schengenin säännöstöä Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 3 luvun mukaisesti, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun tämä direktiivi on hyväksytty, saattaako se direktiivin osaksi kansallista lainsäädäntöään. [tark. 58]

(77) Islannin ja Norjan osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välillä viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyssä sopimuksessa (8).

(78) Sveitsin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välillä allekirjoitetussa sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (9).

(79) Liechtensteinin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa, joka koskee Liechtensteinin ruhtinaskunnan liittymistä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehtyyn sopimukseen (10).

(80) Tässä direktiivissä kunnioitetaan perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut periaatteet sellaisina kuin ne on vahvistettu perussopimuksessa, erityisesti oikeus yksityis- ja perhe-elämän kunnioittamiseen, oikeus henkilötietojen suojaan sekä oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen. Näitä oikeuksia voidaan rajoittaa perusoikeuskirjan 52 artiklan 1 kohdan mukaisesti, jos rajoitukset ovat välttämättömiä, jotta voidaan saavuttaa unionin tunnustamat yleisen edun mukaiset tavoitteet tai suojella muiden henkilöiden oikeuksia ja vapauksia.

(81) Kuten todetaan jäsenvaltioiden ja komission 28 päivänä syyskuuta 2011 antamassa yhteisessä poliittisessa lausumassa selittävistä asiakirjoista (11), jäsenvaltiot sitoutuvat perustelluissa tapauksissa liittämään täytäntöönpanotoimia koskevaan ilmoitukseen yhden tai useamman selittävän asiakirjan, joissa kuvataan direktiivin eri osien ja kansallisten täytäntöönpanosäännösten vastaavien osien suhdetta. Lainsäätäjä katsoo tämän direktiivin osalta, että on perusteltua toimittaa tällaiset asiakirjat.

(82) Direktiivi ei saisi estää jäsenvaltioita panemasta kansallisissa rikosprosessisäännöissään täytäntöön rekisteröidyn oikeuksia, jotka koskevat rekisteröidylle ilmoittamista, tiedonsaantia, rikosoikeudellisten menettelyjen yhteydessä käsiteltävien henkilötietojen oikaisemista ja poistamista ja käsittelyn rajoittamista sekä näille oikeuksille mahdollisesti asetettuja rajoituksia,

OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN:

I LUKU

YLEISET SÄÄNNÖKSET

1 artikla

Kohde ja tavoitteet

1. Tässä direktiivissä vahvistetaan säännöt yksilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä tällaisten henkilötietojen vapaata liikkuvuutta koskevat ehdot .

2. Direktiivin mukaisesti jäsenvaltioiden on:

a) suojeltava luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen ja yksityisyyden suojaan; sekä

b) varmistettava, että toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa unionin sisällä ei rajoiteta eikä kielletä syistä, jotka liittyvät yksilöiden suojeluun henkilötietojen käsittelyssä.

2 a. Tällä direktiivillä ei estetä jäsenvaltioita säätämästä takeista, jotka ylittävät tässä direktiivissä vahvistetut takeet. [tark. 59]

2 artikla

Soveltamisala

1. Tätä direktiiviä sovelletaan toimivaltaisten viranomaisten 1 artiklan 1 kohdan mukaisia tarkoituksia varten suorittamaan henkilötietojen käsittelyyn.

2. Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun henkilötietojen käsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

3. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

a) joka suoritetaan sellaisen toiminnan, erityisesti kansallista turvallisuutta koskevan toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.

b) jota suorittavat unionin toimielimet, elimet ja laitokset. [tark. 60]

3 artikla

Määritelmät

Tässä direktiivissä tarkoitetaan

(1) ”rekisteröidyllä” luonnollista henkilöä, joka on tunnistettu tai joka on tunnistettavissa suoraan tai epäsuorasti keinoin, joita joko rekisterinpitäjä tai muu luonnollinen tai oikeushenkilö voi kohtuuden rajoissa käyttää, erityisesti henkilönumeron, sijaintitiedon, internet-tunnisteiden taikka yhden tai useamman henkilölle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella;

(2) ”henkilötiedoilla” kaikkia rekisteröityä koskevia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (jäljempänä ”rekisteröity”) liittyviä tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnisteiden, kuten nimen, henkilönumeron, sijaintitiedon, yksilöllisen tunnisteen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän tai sukupuolen perusteella;

(2 a) ”salanimellä julkaistuilla tiedoilla” henkilötietoja, joita ei voida yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja, kunhan tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan teknisiä ja organisatorisia toimenpiteitä sen varmistamiseksi, ettei tällaista yhdistämistä tapahdu;

(3) ”käsittelyllä” kaikenlaisia toimintoja tai toimintosarjoja, joita kohdistetaan henkilötietoihin tai henkilötietojen kokoelmiin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista, muuttamista, hakua tai käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä sekä niiden rajoittamista, poistamista tai tuhoamista;

(3 a) ”profiloinnilla” mitä tahansa henkilötietojen automaattista käsittelyä, jonka tarkoituksena on arvioida luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia tai analysoida tai ennakoida erityisesti luonnollisen henkilön työsuoritusta, taloudellista tilannetta, sijaintia, terveyttä, henkilökohtaisia mieltymyksiä, luotettavuutta tai käyttäytymistä;

(4) ”käsittelyn rajoittamisella” tallennettujen henkilötietojen merkitsemistä tarkoituksena rajoittaa niiden myöhempää käsittelyä;

(5) ”rekisteröintijärjestelmällä” kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu;

(6) ”rekisterinpitäjällä” toimivaltaista viranomaista, joka yksin tai yhdessä muiden kanssa määrittää henkilötietojen käsittelyn tarkoitukset, edellytykset ja keinot; jos käsittelyn tarkoitukset, edellytykset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin tai jäsenvaltioiden säännösten mukaisesti;

(7) ”henkilötietojen käsittelijällä” luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;

(8) ”vastaanottajalla” luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja;

(9) ”henkilötietojen tietoturvaloukkauksella”tietoturvaloukkausta, jonka seurauksena on vahingossa tapahtuva tai laiton tapahtuvaa tai laitonta siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tuhoamista, häviämistä, muuttamista, luvatonta luovuttamista taikka saanti saantia ;

(10) ”geneettisillä tiedoilla” kaikenlaisia tietoja yksilön perityistä tai sikiöaikaisen kehityksen aikana syntyneistä ominaisuuksista;

(11) ”biometrisillä tiedoilla” kaikkia yksilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyviä tietoja henkilötietoja , joiden perusteella yksilö voidaan tunnistaa, kuten kasvokuvia tai sormenjälkitietoja;

(12) ”terveystiedoilla” yksilön fyysiseen tai psyykkiseen terveyteen tai hänelle tarjottuihin terveyspalveluihin liittyviä tietoja henkilötietoja ;

(13) ”lapsella” alle 18-vuotiasta henkilöä;

(14) ”toimivaltaisilla viranomaisilla” viranomaisia, joiden toimivalta kattaa rikosten torjumisen, tutkimisen, selvittämisen ja syytteeseenpanon tai rikosoikeudellisten seuraamusten täytäntöönpanon;

(15) ”valvontaviranomaisella” jäsenvaltion 39 artiklan mukaisesti perustamaa viranomaista. [tark. 61]

II LUKU

PERIAATTEET

4 artikla

Henkilötietojen käsittelyä koskevat periaatteet

Jäsenvaltioiden on säädettävä, että

a) henkilötietoja on käsiteltävä asianmukaisesti ja lainmukaisesti , asianmukaisesti ja rekisteröidyn kannalta todennettavasti ja läpinäkyvästi ;

b) henkilötiedot on kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä saa myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla;

c) henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja ja mahdollisimman vähäisiä suhteessa niihin tarkoituksiin, joita varten niitä käsitellään; niitä saa käsitellä vain ja ainoastaan siltä osin kuin näitä tarkoituksia ei ole voitu toteuttaa käsittelemällä tietoja, joihin ei sisälly henkilötietoja;

d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on tehtävä kaikki mahdollinen sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset tiedot poistetaan tai oikaistaan viipymättä;

e) henkilötietoja on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten;

f) vastuu henkilötietojen käsittelystä kuuluu rekisterinpitäjälle, jonka on huolehdittava tämän varmistettava ja jonka on voitava osoittaa direktiivin nojalla annettujen säännösten noudattamisesta noudattaminen ;

f a) henkilötietoja käsitellään niin, että rekisteröity voi tehokkaasti käyttää 10–17 artiklassa tarkoitettuja oikeuksiaan;

f b) henkilötietoja käsitellään asianmukaisia teknisiä tai organisatorisia toimenpiteitä hyödyntäen siten, että ne on suojattu luvattomalta ja laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta;

f c) henkilötietoja käsittelee ainoastaan toimivaltaisten viranomaisten asianmukaisesti valtuutettu henkilöstö tehtäviensä hoitamista varten. [tark. 62]

4 a artikla

Muita kuin 1 artiklan 1 kohdassa mainittuja tarkoituksia varten käsiteltyjen tietojen saanti

1. Jäsenvaltioiden on säädettävä, että toimivaltaiset viranomaiset voivat saada henkilötietoja, joita on alun perin käsitelty muita kuin 1 artiklan 1 kohdassa mainittuja tarkoituksia varten, vain, jos niillä on siihen erikseen unionin tai jäsenvaltion lainsäädännön nojalla lupa ja jos 7 artiklan 1 kohdan a alakohdan vaatimukset täyttyvät. Lisäksi jäsenvaltioiden on säädettävä, että

a) henkilötiedot saa käyttöön vain toimivaltaisen viranomaisen asianmukaisesti valtuutettu henkilöstö tehtävien suorittamiseen silloin, kun erityistapauksessa on perustellusti syytä uskoa, että henkilötietojen käsittely edistää merkittävästi rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa;

b) tiedonsaantipyyntöjen on oltava kirjallisia ja niissä on mainittava pyynnön oikeudellinen perusta;

c) kirjalliset pyynnöt on dokumentoitava; sekä

d) annetaan asianmukaiset takeet perusoikeuksien ja -vapauksien suojelun varmistamiseksi henkilötietojen käsittelyssä. Nämä takeet eivät saa rajoittaa vaan niiden on täydennettävä henkilötietojen saantia koskevia erityisedellytyksiä, kuten oikeusviranomaisten luvan antamista jäsenvaltion lainsäädännön mukaisesti.

2. Yksityisten tahojen tai muiden viranomaisten hallussa olevia henkilötietoja saadaan käyttää ainoastaan rikosten tutkimiseen tai niitä koskevien syytteiden nostamiseen noudattaen välttämättömyyden ja suhteellisuuden vaatimuksia, jotka kukin jäsenvaltio määrittelee lainsäädännössään unionin oikeuden mukaisesti, ja 7 a artiklaa täysimääräisesti noudattaen. [tark. 63]

4 b artikla

Tallentamisen ja tarkistamisen aikarajat

1. Jäsenvaltioiden on säädettävä, että toimivaltaiset viranomaiset poistavat tämän direktiivin nojalla käsitellyt henkilötiedot silloin, kun niitä ei enää tarvita niihin tarkoituksiin, joita varten niitä on käsitelty.

2. Jäsenvaltioiden on säädettävä, että toimivaltaiset viranomaiset luovat mekanismeja, joilla varmistetaan, että henkilötietojen poistamiselle ja tietojen säilyttämisen tarpeellisuuden säännölliselle tarkistamiselle on määritetty 4 artiklan mukaiset aikarajat, joihin kuuluvat eri henkilötietoryhmien säilytysajat. On luotava menettelyihin liittyvät toimenpiteet, joilla varmistetaan, että näitä aikarajoja tai säännöllisiä tarkistusvälejä noudatetaan. [tark. 64]

5 artikla

Eri ryhmiin kuuluvien Rekisteröityjen erottaminen ryhmät

1. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä erottaa mahdollisuuksien mukaan toimivaltaiset viranomaiset saavat käsitellä 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten ainoastaan seuraaviin rekisteröityjen ryhmiin kuuluvien henkilötietoja, jolloin rekisterinpitäjän on erotettava selvästi eri ryhmät toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten:

a) henkilöt, joiden voidaan aiheellisesti kohtuudella uskoa syyllistyneen tai olevan syyllistymässä rikokseen;

b) rikoksesta tuomitut henkilöt;

c) rikoksen uhrit tai henkilöt, joiden voidaan tiettyjen seikkojen pohjalta olettaa voivan joutua rikoksen uhriksi; sekä

d) rikokseen nähden kolmannet osapuolet, kuten henkilöt, jotka voidaan kutsua todistamaan rikokseen liittyvän tutkinnan yhteydessä tai sitä seuraavassa rikosoikeudenkäynnissä, tai henkilöt, joka voivat antaa tietoa rikoksesta, tai edellä a tai b alakohdassa tarkoitettujen henkilöiden tuttavat tai kumppanit.; sekä

e) henkilöt, jotka eivät kuulu mihinkään edellä mainituista ryhmistä.

2. Muita kuin 1 kohdassa tarkoitettuja rekisteröityjä koskevia henkilötietoja saa käsitellä ainoastaan:

a) siltä osin kuin se on välttämätöntä tietyn rikoksen tutkimiseksi tai sitä koskevan syytteen nostamiseksi, jotta voidaan arvioida 1 kohdassa määriteltyjä ryhmiä koskevien tietojen merkityksellisyyttä; tai

b) jos tällainen käsittely on välttämätöntä ennaltaehkäiseviä erityistarkoituksia tai rikosanalyysitarkoituksia varten ja jos kyseinen tarkoitus on laillinen, tarkasti määritelty ja nimenomainen ja käsittely rajoittuu ehdottomasti 1 kohdassa määriteltyjä ryhmiä koskevien tietojen merkityksellisyyden arviointiin. Asiaa on tarkasteltava uudelleen vähintään kuuden kuukauden välein. Tietojen muunlainen käyttö on kielletty.

3. Jäsenvaltioiden on säädettävä, että jäsenvaltion lainsäädännön mukaisia lisärajoituksia ja -takeita sovelletaan 1 kohdan c ja d alakohdassa tarkoitettuja rekisteröityjä koskevien henkilötietojen jatkokäsittelyyn. [tark. 65]

6 artikla

Henkilötietojen eriasteinen tarkkuus ja luotettavuus

1. Jäsenvaltioiden on varmistettava säädettävä , että käsiteltävät henkilötiedot jaotellaan mahdollisuuksien mukaan eri ryhmiin tarkkuutensa ja luotettavuutensa perusteella käsiteltävien henkilötietojen tarkkuus ja luotettavuus on varmistettava .

2. Jäsenvaltioiden on varmistettava, että tosiseikkoihin perustuvat henkilötiedot erotetaan mahdollisuuksien mukaan henkilökohtaisiin arvioihin perustuvista henkilötiedoista tarkkuutensa ja luotettavuutensa perusteella .

2 a. Jäsenvaltioiden on varmistettava, että virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja ei siirretä eikä aseteta saataville. Toimivaltaisten viranomaisten on tämän vuoksi arvioitava henkilötietojen laatu ennen niiden siirtämistä tai asettamista saataville. Kaikkiin tietojensiirtoihin on mahdollisuuksien mukaan lisättävä käytettävissä olevia tietoja, joiden avulla vastaanottava jäsenvaltio voi arvioida tietojen tarkkuutta, täydellisyyttä ja luotettavuutta sekä sitä, miltä osin ne ovat ajan tasalla. Erityisesti alun perin yksityisten tahojen hallussa olevia henkilötietoja ei saa siirtää ilman toimivaltaisen viranomaisen esittämää pyyntöä.

2 b. Jos ilmenee, että on siirretty virheellisiä tietoja tai että tietoja on siirretty lainvastaisesti, on asiasta ilmoitettava viipymättä vastaanottajalle. Vastaanottaja on velvollinen oikaisemaan tiedot viipymättä 1 kohdan ja 15 artiklan mukaisesti tai poistamaan ne 16 artiklan mukaisesti. [tark. 66]

7 artikla

Käsittelyn lainmukaisuus

1. Jäsenvaltioiden on säädettävä, että henkilötietojen käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin se perustuu unionin tai jäsenvaltion lainsäädäntöön, se toteutetaan 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten ja se on tarpeen

a) toimivaltaisen viranomaisen lakisääteisen tehtävän suorittamiseksi 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten; tai

b) rekisterinpitäjän lakisääteisen velvollisuuden noudattamiseksi; tai

c) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; tai

d) yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi.

1 a. Tämän direktiivin soveltamisalaan kuuluvaa henkilötietojen käsittelyä sääntelevässä jäsenvaltion lainsäädännössä olisi oltava selvät ja tarkat säännökset ainakin:

a) käsittelyn tavoitteista;

b) käsiteltävistä henkilötiedoista;

c) käsittelyn nimenomaisista tarkoituksista ja keinoista;

d) rekisterinpitäjän nimittämisestä tai rekisterinpitäjän nimittämistä koskevista erityisistä kriteereistä;

e) toimivaltaisen viranomaisen henkilötietojen käsittelyä varten asianmukaisesti valtuutetun henkilöstön ryhmistä;

f) käsittelyssä noudatettavasta menettelystä;

g) saatujen henkilötietojen mahdollisesta hyödyntämisestä;

h) toimivaltaisille viranomaisille myönnetyn harkinnanvaraisuuden laajuuden rajoituksista suhteessa käsittelytoimintoihin. [tark. 67]

7 a artikla

Jatkokäsittely yhteensopimattomia tarkoituksia varten

1. Jäsenvaltioiden on säädettävä, että henkilötietojen jatkokäsittely muuta sellaista 1 artiklan 1 kohdassa mainittua tarkoitusta varten, joka ei ole yhteensopiva niiden tarkoitusten kanssa, joihin tiedot alun perin kerättiin, on sallittua ainoastaan jos ja siltä osin kuin

a) tarkoitus on ehdottoman välttämätön ja oikeasuhteinen demokraattisessa yhteiskunnassa ja on unionin tai jäsenvaltion lainsäädännössä edellytetty laillinen, tarkasti määritelty ja nimenomainen tarkoitus;

b) käsittely rajoittuu ehdottomasti ajanjaksoon, joka ei ole pidempi kuin tiettyyn tietojen käsittelytoimeen tarvittava aika;

c) kaikenlainen jatkokäsittely muita tarkoituksia varten on kielletty.

Jäsenvaltioiden on ennen käsittelyä kuultava toimivaltaista kansallista valvontaviranomaista ja tehtävä tietosuojavaikutuksia koskeva arviointi.

2. Edellä 7 artiklan 1 kohdan a alakohdassa vahvistettujen vaatimusten lisäksi jäsenvaltion lainsäädännössä, jolla annetaan valtuudet jatkokäsittelylle 1 kohdassa mainitulla tavalla, olisi oltava selvät ja tarkat säännökset ainakin:

a) kyseisen käsittelyn nimenomaisista tarkoituksista ja keinoista;

b) siitä, että henkilötiedot saa käyttöön vain toimivaltaisen viranomaisen asianmukaisesti valtuutettu henkilöstö tehtäviään suorittaessaan silloin, kun erityistapauksessa on perustellusti syytä uskoa, että henkilötietojen käsittely edistää merkittävästi rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa; sekä

c) siitä, että annetaan asianmukaiset takeet henkilötietojen käsittelyä koskevien perusoikeuksien ja -vapauksien suojelun varmistamiseksi.

Jäsenvaltiot voivat vaatia, että henkilötietoihin pääsyllä on niiden kansallisen lainsäädännön mukaisia lisäehtoja, kuten vaadittava oikeusviranomaisten lupa.

3. Jäsenvaltiot voivat myös sallia henkilötietojen jatkokäsittelyn historiantutkimusta tai tilastollista tai tieteellistä tutkimustarkoitusta varten, jos on annettu asianmukaiset takeet, kuten poistettu tietojen tunnistettavuus. [tark. 68]

8 artikla

Erityisiä tietoryhmiä koskeva käsittely

1. Jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta , seksuaalista suuntautumista tai sukupuoli-identiteettiä, tai ammattiliittoon kuulumista ja siihen liittyvää toimintaa , sekä geneettisten biometristen tietojen tai terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely.

2. Edellä olevaa 1 kohtaa ei sovelleta, jos:

a) käsittely on sallittu laissa ehdottoman välttämätöntä ja oikeasuhteista , jotta toimivaltainen viranomainen voi suorittaa tehtävän 1 artiklan 1 kohdassa mainittuja tarkoituksia varten unionin tai jäsenvaltion lainsäädännön perusteella, jossa säädetään asianmukaisista takeista on säädettävä erityisistä ja sopivista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi, mukaan lukien erityinen oikeusviranomaisen lupa, jos kansallinen lainsäädäntö sitä edellyttää ; tai ; tai

b) käsittely on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; tai

c) käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi , jos ne ovat merkityksellisiä ja ehdottoman välttämättömiä tarkoituksen saavuttamiseksi tietyssä tapauksessa . [tark. 69]

8 a artikla

Geneettisten tietojen käsittely rikostutkimusta tai oikeudenkäyntimenettelyä varten

1. Jäsenvaltioiden on varmistettava, että geneettisiä tietoja voidaan käyttää vain geneettisen yhteyden luomiseen todisteiden esittämiseksi, yleiseen turvallisuuteen kohdistuvan uhkan estämiseksi tai tietyn rikoksen torjumiseksi. Geneettisiä tietoja ei saa käyttää muiden ominaisuuksien määrittämiseen, jotka voidaan yhdistää geneettisesti toisiinsa.

2. Jäsenvaltioiden on säädettävä, että geneettisiä tietoja tai niiden analysoinnista saatuja tietoja saa säilyttää vain niin kauan kuin on tarpeen niihin tarkoituksiin, joita varten tietoja käsitellään, tai jos kyseinen henkilö on tuomittu ihmisen henkeä, koskemattomuutta tai turvallisuutta uhanneista vakavista rikoksista, mitä tilannetta varten jäsenvaltion lainsäädännössä on määritettävä tiukat säilytysajat.

3. Jäsenvaltioiden on varmistettava, että geneettisiä tietoja tai niiden analysoinnista saatuja tietoja säilytetään pitkiä ajanjaksoja vain, jos geneettisiä tietoja ei voi yhdistää tiettyyn ihmiseen erityisesti silloin, kun ne on löydetty rikospaikalta. [tark. 70]

9 artikla

Profilointiin ja automaattiseen käsittelyyn perustuvat toimenpiteet

1. Jäsenvaltioiden on säädettävä, että toimenpiteet, joilla on rekisteröidyn kannalta kielteisiä oikeusvaikutuksia tai jotka vaikuttavat rekisteröityyn merkittävällä tavalla ja jotka on tehty yksinomaan osittain tai kokonaan henkilötietojen automaattisen käsittelyn perusteella, jonka tarkoituksena on arvioida rekisteröidyn tiettyjä henkilökohtaisia ominaisuuksia, on sallittu vain, jos ne ovat sellaisen lain mukaisia, jossa vahvistetaan myös toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.

2. Henkilötietojen automaattinen käsittely, jonka tarkoituksena on rekisteröidyn tiettyjen henkilökohtaisten ominaisuuksien arviointi, ei saa perustua pelkästään 8 artiklassa tarkoitettuihin erityisiin tietoryhmiin.

2 a. Henkilötietojen automaattinen käsittely, jonka tarkoituksena on rekisteröidyn erottaminen muista ilman, että hänen alustavasti epäiltäisiin syyllistyneen tai olevan syyllistymässä rikokseen, on lainmukaista ainoastaan, jos ja siinä määrin kuin se on ehdottoman välttämätöntä, jotta voidaan tutkia vakavaa rikosta tai torjua yleistä turvallisuutta, valtion olemassaoloa tai yksittäisten ihmisten henkeä välittömästi uhkaava selvä vaara, josta on tosiasioihin perustuvaa näyttöä.

2 b. Profilointi, jonka seurauksena henkilöitä syrjitään (tahallisesti tai tahattomasti) rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnollisen tai filosofisen vakaumuksen, ammattiliittoon kuulumisen, sukupuolen tai seksuaalisen suuntautumisen perusteella tai jonka seurauksena (tahallisesti tai tahattomasti) toteutetaan toimenpiteitä, joilla on tällaisia seurauksia, on kielletty kaikissa tapauksissa. [tark. 71]

9 a artikla

Rekisteröidyn oikeuksia koskevat yleiset periaatteet

1. Jäsenvaltioiden on varmistettava, että tietosuojan perusta on selvä ja antaa rekisteröidylle yksiselitteiset oikeudet, joita rekisterinpitäjän on kunnioitettava. Tämän direktiivin säännöksillä pyritään vahvistamaan, selventämään, takaamaan ja tarvittaessa kodifioimaan näitä oikeuksia.

2. Jäsenvaltioiden on varmistettava, että näihin oikeuksiin sisältyy muun muassa rekisteröidyn henkilötietojen käsittelyä koskevien tietojen saanti selkeässä ja helposti ymmärrettävässä muodossa, rekisteröidyn oikeus tutustua tietoihinsa ja oikaista ja poistaa niitä, oikeus saada tietoa, oikeus tehdä valitus toimivaltaiselle tietosuojaviranomaiselle ja panna vireille oikeudellisia menettelyjä sekä oikeus saada korvauksia laittoman tietojenkäsittelyn johdosta. Näiden oikeuksien käytön on oltava pääsääntöisesti maksutonta. Rekisterinpitäjän on vastattava rekisteröidyn pyyntöihin kohtuullisen ajan kuluessa. [tark. 72]

III LUKU

REKISTERÖIDYN OIKEUDET

10 artikla

Rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt

1. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä toteuttaa kaikki kohtuulliset toimenpiteet huolehtiakseen, että sillä rekisterinpitäjällä on käytössä ytimekkäät, läpinäkyvät , selkeät ja helposti saatavilla olevat toimintatavat henkilötietojen käsittelyä ja rekisteröidyn oikeuksien käyttöä varten.

2. Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on toimitettava rekisteröidylle kaikki henkilötietojen käsittelyä koskevat tiedot ja viestit helposti ymmärrettävässä muodossa sekä selkeällä ja yksinkertaisella kielellä , etenkin kun tiedot on suunnattu erityisesti lapselle .

3. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä toteuttaa kaikki kohtuulliset toimenpiteet vahvistaakseen vahvistaa menettelyt 11 artiklassa tarkoitettujen tietojen toimittamista sekä 12–17 artiklassa tarkoitettujen rekisteröidyn oikeuksien käyttöä varten. Jos henkilötietojen käsittely on automatisoitu, rekisterinpitäjän on tarjottava keinot esittää tällaiset pyynnöt sähköisesti.

4. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle tämän esittämän pyynnön käsittelystä ilman aiheetonta viivytystä viipymättä ja joka tapauksessa viimeistään kuukauden kuluttua pyynnön vastaanottamisesta. Tiedot on annettava kirjallisesti. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti .

5. Jäsenvaltioiden on säädettävä, että 3 kohdassa tarkoitetut tiedot ja kaikki 4 kohdassa tarkoitettua pyyntöä seuraavat rekisterinpitäjän toimet ovat maksuttomia. Jos pyynnöt ovat häiritseviä erityisesti toistuvuutensa tai laajuutensa takia ilmeisen kohtuuttomia ja etenkin jos pyyntöjä esitetään toistuvasti , rekisterinpitäjä voi periä kohtuullisen maksun ottaen huomioon tietojen toimittamisesta tai pyydetyn toimen suorittamisesta tai rekisterinpitäjä voi jättää pyydetyn toimen suorittamatta aiheutuneet hallinnolliset kustannukset . Siinä tapauksessa rekisterinpitäjän on todistettava pyyntöjen häiritsevyys ilmeinen kohtuuttomuus .

5 a. Jäsenvaltiot voivat säätää, että rekisteröity voi vaatia tätä oikeutta suoraan rekisterinpitäjältä tai toimivaltaisen kansallisen valvontaviranomaisen välityksellä. Jos valvontaviranomaisen toimet perustuvat rekisteröidyn esittämään pyyntöön, valvontaviranomaisen on ilmoitettava suorittamansa tarkistukset rekisteröidylle. [tark. 73]

11 artikla

Rekisteröidylle ilmoittaminen

1. Rekisteröityä koskevia henkilötietoja kerättäessä jäsenvaltioiden on varmistettava, että rekisterinpitäjä toteuttaa kaikki asianmukaiset toimenpiteet toimittaakseen toimittaa rekisteröidylle ainakin seuraavat tiedot:

a) rekisterinpitäjän ja tietosuojavastaavan henkilöllisyys ja yhteystiedot;

b) henkilötietojen käsittelyn oikeusperusta ja tarkoitukset;

c) henkilötietojen säilytysaika;

d) tieto siitä, että rekisteröidyllä on oikeus pyytää häntä itseään koskevia henkilötietoja rekisterinpitäjältä sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista tai niiden käsittelyn rajoittamista;

e) tieto siitä, että rekisteröidyllä on oikeus tehdä valitus 39 artiklassa tarkoitetulle valvontaviranomaiselle, ja viranomaisen yhteystiedot;

f) henkilötietojen vastaanottajat tai vastaanottajaryhmät, myös kolmansissa maissa tai kansainvälisissä järjestöissä , ja tieto siitä, kenellä on lupa käyttää kyseisiä tietoja kolmannen maan lainsäädännön tai kansainvälisen järjestön sääntöjen perusteella, tieto tietosuojan tason riittävyyttä koskevasta komission päätöksestä tai sen puuttumisesta, tai jos kyse on 35 tai 36 artiklassa tarkoitetusta siirrosta, tieto keinoista saada jäljennös asianmukaisista takeista, joiden perusteella siirto toteutettiin ;

f a) jos rekisterinpitäjä käsittelee 9 artiklan 1 kohdassa tarkoitettuja henkilötietoja, tiedot siitä, onko tietoja käsitelty 9 artiklan 1 kohdassa tarkoitettua toimenpidettä varten ja mitkä ovat tällaisen käsittelyn vaikutukset rekisteröityyn, ja tiedot profiloinnissa käytetystä logiikasta ja oikeudesta saada ihmisen tekemään arvioinnin;

f b) tiedot henkilötietojen suojaamista varten toteutetuista turvatoimista;

g) muut tiedot, jotka ovat tarpeen rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi, ottaen huomioon henkilötietojen käsittelyyn liittyvät erityiset olosuhteet.

2. Jos henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on ilmoitettava rekisteröidylle 1 kohdassa tarkoitettujen tietojen lisäksi, onko henkilötietojen antaminen pakollista vai vapaaehtoista, sekä tietojen antamatta jättämisen mahdolliset seuraukset.

3. Rekisterinpitäjän on toimitettava 1 kohdassa tarkoitetut tiedot:

a) silloin kun rekisteröidyltä saadaan henkilötietoja; tai

b) jos henkilötietoja ei kerätä rekisteröidyltä, silloin kun tietoja tallennetaan tai kohtuullisen ajan kuluttua tietojen keräämisestä, ottaen huomioon tietojen käsittelyyn liittyvät erityiset olosuhteet.

4. Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla erityisessä tapauksessa viivytetään tai rajoitetaan rekisteröidylle ilmoittamista tai poistetaan kokonaan ilmoittamista koskeva säännös, siltä osin ja niin pitkäksi aikaa kuin osittainen tai täydellinen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen henkilön perusoikeudet ja oikeutetut edut:

a) jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

b) jotta vältetään tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle;

c) yleisen turvallisuuden suojelemiseksi;

d) kansallisen turvallisuuden suojelemiseksi;

e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

5. Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on arvioitava käytännössä ja yksilöllisesti tutkimalla jokaisessa erityistapauksessa, koskeeko sitä osittainen tai täydellinen rajoittaminen jostakin 4 kohdassa mainitusta syystä. Jäsenvaltiot voivat lainsäädännössään myös määrittää ne tietojenkäsittelyn ryhmät, jotka voivat kuulua kokonaan tai osittain 4 kohdassa kohdan a, b, c ja d alakohdassa tarkoitettujen poikkeusten soveltamisalaan. [tark. 74]

12 artikla

Rekisteröidyn tiedonsaantioikeus

1. Jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja vai eikö käsitellä. Jos henkilötietoja käsitellään, rekisterinpitäjän on annettava seuraavat tiedot , jos niitä ei ole jo annettu :

-a) käsiteltävät henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot sekä soveltuvien osin ymmärrettävässä muodossa olevat tiedot mihin tahansa automatisoituun käsittelyjärjestelmään liittyvästä logiikasta;

-a a) käsittelyn merkitys ja mahdolliset seuraukset ainakin 9 artiklassa tarkoitettujen toimenpiteiden osalta;

a) käsittelyn tarkoitukset ja sen oikeusperusta ;

b) kyseessä olevat henkilötietojen ryhmät;

c) vastaanottajat tai vastaanottajaryhmät, joille henkilötietoja on luovutettu, erityisesti kolmansissa maissa olevat vastaanottajat;

d) henkilötietojen säilytysaika;

e) tieto siitä, että rekisteröidyllä on oikeus pyytää rekisterinpitäjää oikaisemaan tai poistamaan rekisteröityä koskevat henkilötiedot tai rajoittamaan niiden käsittelyä;

f) tieto siitä, että rekisteröidyllä oikeus tehdä valitus valvontaviranomaiselle, ja viranomaisen yhteystiedot.

g) käsiteltävät henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot.

2. Jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti, paitsi jos rekisteröity toisin pyytää. [tark. 75]

13 artikla

Tiedonsaantioikeuden rajoittaminen

1. Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla tapauskohtaisesti rajoitetaan kokonaan tai osittain rekisteröidyn tiedonsaantioikeutta siltä osin ja siltä ajalta kuin osittainen tai täydellinen rajoittaminen on täysin välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen henkilön perusoikeudet ja oikeutetut edut:

a) jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

b) jotta vältetään tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle;

c) yleisen turvallisuuden suojelemiseksi;

d) kansallisen turvallisuuden suojelemiseksi;

e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

2. Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on arvioitava käytännössä ja yksilöllisesti tutkimalla jokaisen tapauksen osalta, koskeeko sitä osittainen tai täydellinen rajoittaminen jostakin 1 kohdassa tarkoitetusta syystä. Jäsenvaltiot voivat myös laissa määrittää ne tietojenkäsittelyn ryhmät, jotka voivat kuulua kokonaan tai osittain 1 kohdassa kohdan a–d alakohdassa tarkoitettujen poikkeusten soveltamisalaan.

3. Edellä 1 ja 2 kohdassa tarkoitetuissa tapauksissa jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa ilman aiheetonta viivytystä rekisteröidylle kirjallisesti, jos tietojen antamisesta kieltäydytään tai tietojen antamista rajoitetaan, kieltäytymisen syistä kieltäytymistä koskevasta perustellusta selityksestä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja. Tiedot päätöksen perusteena olevista seikoista tai oikeudellisista syistä voidaan jättää pois, jos tietojen ilmoittaminen vaarantaisi 1 kohdassa ilmoitetun tarkoituksen.

4. Jäsenvaltioiden on varmistettava, että rekisterinpitäjä merkitsee muistiin ne 2 kohdassa mainitun arvioinnin ja perusteet, joiden nojalla rajoitetaan ilmoittamista päätöksen pohjana olevia seikkoja tai oikeudellisia syitä ei ilmoiteta olevista seikoista tai oikeudellisista syistä rekisteröidylle. Näiden tietojen on oltava pyynnöstä kansallisten valvontaviranomaisten saatavilla. [tark. 76]

14 artikla

Tiedonsaantioikeuden käyttöä koskevat yksityiskohtaiset säännöt

1. Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus pyytää milloin tahansa erityisesti 12 ja 13 artiklassa tarkoitetuissa tapauksissa valvontaviranomaista tarkistamaan käsittelyn lainmukaisuus.

2. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle oikeudesta pyytää valvontaviranomaista toimimaan 1 kohdan mukaisesti.

3. Kun rekisteröity käyttää 1 kohdassa tarkoitettua oikeuttaan, valvontaviranomaisen on ilmoitettava rekisteröidylle ainakin kaikkien tarpeellisten tarkistusten suorittamisesta sekä siitä, onko kyseessä oleva käsittely lainmukainen. Valvontaviranomaisen on myös tiedotettava rekisteröidylle hänen oikeudestaan käyttää muita oikeussuojakeinoja.

3 a. Jäsenvaltiot voivat säätää, että rekisteröity voi vaatia tätä oikeutta suoraan rekisterinpitäjältä tai toimivaltaisen kansallisen valvontaviranomaisen välityksellä.

3 b. Jäsenvaltioiden on varmistettava, että rekisterinpitäjien on vastattava rekisteröidyn pyyntöihin tiedonsaantioikeudesta kohtuullisessa määräajassa. [tark. 77]

15 artikla

Oikeus tietojen oikaisemiseen ja täydentämiseen

1. Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus vaatia rekisterinpitäjää oikaisemaan rekisteröityä koskevat virheelliset henkilötiedot. Rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, erityisesti oikaisun avulla.

2. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti ja perustellun selityksen kera , jos tietojen oikaisemisesta tai täydentämisestä kieltäydytään, kieltäytymisen syistä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.

2 a. Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on ilmoitettava tehdystä oikaisusta jokaiselle vastaanottajalle, jolle tiedot on luovutettu, ellei ilmoittaminen ole mahdotonta tai aiheuta suhteetonta rasitusta.

2 b. Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on ilmoitettava virheellisten tietojen oikaisemisesta kolmansille osapuolille, joilta virheelliset henkilötiedot ovat peräisin.

2 c. Jäsenvaltioiden on säädettävä, että rekisteröity voi vaatia tätä oikeutta myös toimivaltaisen kansallisen valvontaviranomaisen välityksellä. [tark. 78]

16 artikla

Oikeus tietojen poistamiseen

1. Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus vaatia rekisterinpitäjää poistamaan rekisteröityä koskevat henkilötiedot, jos tietojen käsittely ei vastaa tämän direktiivin 4 artiklan a–e alakohdan ja , 6, 7 ja 8 artiklan nojalla annettuja säännöksiä.

2. Rekisterinpitäjän on poistettava tiedot viipymättä. Rekisterinpitäjän on myös lopetettava kyseisten tietojen levittäminen.

3. Poistamisen sijasta rekisterinpitäjän on merkittävä henkilötiedot rajoitettava henkilötietojen käsittelyä , jos

a) rekisteröity kiistää tietojen paikkansapitävyyden, jolloin tiedot merkitään ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden;

b) henkilötiedot on säilytettävä todistelua varten; henkilötiedot on säilytettävä todistelua varten tai rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi.

(c) rekisteröity vastustaa tietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista.

3 a. Jos henkilötietojen käsittelyä on rajoitettu 3 kohdan nojalla, rekisterinpitäjän on ilmoitettava rekisteröidylle ennen kuin käsittelyä koskeva rajoitus poistetaan.

4. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti ja perustellun selityksen kera , jos tietojen poistamisesta tai käsittelyn rajoittamisesta kieltäydytään tai jos tiedot merkitään, kieltäytymisen syistä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.

4 a. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa näiden tietojen vastaanottajille 1 kohdan mukaisesti tehdyistä poistoista tai rajoituksista, ellei ilmoittaminen ole mahdotonta tai aiheuta suhteetonta rasitusta. Rekisterinpitäjän on ilmoitettava rekisteröidylle näistä kolmansista osapuolista.

4 b. Jäsenvaltiot voivat säätää, että rekisteröity voi vaatia tätä oikeutta suoraan rekisterinpitäjältä tai toimivaltaisen kansallisen valvontaviranomaisen välityksellä. [tark. 79]

17 artikla

Rekisteröidyn oikeudet rikostutkinnassa ja -oikeudenkäynneissä

Jäsenvaltiot voivat säätää, että 11–16 artiklassa tarkoitetut rekisteröidylle ilmoittamista, tiedonsaantia, tietojen oikaisemista ja poistamista sekä käsittelyn rajoittamista koskevat oikeudet pannaan täytäntöön oikeudenkäyntiä koskevien kansallisten sääntöjen mukaisesti, jos henkilötiedot sisältyvät rikostutkinnan ja -oikeudenkäynnin yhteydessä käsiteltyyn tuomioistuimen päätökseen tai päätöksen antamista koskevaan merkintään.

IV LUKU

REKISTERINPITÄJÄ JA HENKILÖTIETOJEN KÄSITTELIJÄ

1 JAKSO

YLEISET VELVOLLISUUDET

18 artikla

Rekisterinpitäjän vastuu

1. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä hyväksyy toimintamenetelmät ja toteuttaa tarvittavat toimenpiteet sen varmistamiseksi ja osoittamiseksi läpinäkyvästi jokaisen käsittelytoimen osalta , että henkilötietojen käsittelyssä noudatetaan tämän direktiivin nojalla annettuja säännöksiä sekä käsittelykeinojen määrittämisen että itse käsittelyn yhteydessä .

2. Edellä 1 kohdassa tarkoitettuja toimenpiteitä ovat erityisesti seuraavat:

a) jäljempänä 23 artiklassa tarkoitettujen asiakirjojen säilyttäminen;

a a) jäljempänä 25 a artiklassa tarkoitetun tietosuojaa koskevan vaikutustenarvioinnin laatiminen;

b) jäljempänä 26 artiklassa vahvistettujen ennakkokuulemista koskevien vaatimusten noudattaminen;

c) jäljempänä 27 artiklassa vahvistettujen tietoturvallisuutta koskevien vaatimusten täytäntöönpano;

d) tietosuojavastaavan nimittäminen 30 artiklan nojalla;

d a) tarvittaessa lasten henkilötietojen käsittelyä koskevien erityisten takeiden laatiminen ja täytäntöönpano.

3. Rekisterinpitäjän on toteutettava mekanismit sen varmistamiseksi, että tämän artiklan 1 kohdassa tarkoitettujen toimenpiteiden riittävyys ja tehokkuus tarkistetaan. Tarkistamisen suorittavat riippumattomat sisäiset tai ulkoiset tarkastajat, mikäli se on oikeasuhteista. [tark. 80]

19 artikla

Sisäänrakennettu tietosuoja ja oletusarvoinen tietosuoja

1. Jäsenvaltioiden on säädettävä, että uusin tekniikka , nykyinen tekninen tietämys, kansainväliset parhaat käytännöt ja toimenpiteiden toteuttamiskustannukset tietojenkäsittelyyn liittyvät riskit huomioon ottaen rekisterinpitäjän ja mahdollisen henkilötietojen käsittelijän on sekä käsittelyn tarkoituksen ja käsittelykeinojen määrittämisen että itse käsittelyn yhteydessä toteutettava asianmukaiset ja oikeasuhteisen tekniset ja organisatoriset toimenpiteet ja menettelyt siten, että käsittely vastaa tämän direktiivin nojalla annettujen säännösten vaatimuksia ja varmistaa rekisteröidyn oikeuksien suojelun , erityisesti 4 artiklassa vahvistetut periaatteet huomioon ottaen . Sisäänrakennetussa tietosuojassa on otettava erityisesti huomioon henkilötietojen elinkaaren hallinta niiden keräämisestä ja käsittelystä poistamiseen saakka, ja siinä on keskityttävä järjestelmällisesti henkilötietojen paikkansapitävyyttä, luottamuksellisuutta, eheyttä, fyysistä turvallisuutta ja poistamista koskeviin kattaviin menettelytakeisiin. Jos rekisterinpitäjä on tehnyt 25 a artiklan mukaisen tietosuojaa koskevan vaikutustenarvioinnin, sen tulokset on otettava huomioon näiden toimenpiteiden ja menettelyjen kehittämisessä.

2. Rekisterinpitäjän on otettava käyttöön keinot sen varmistamiseksi varmistettava , että käsittely koskee vain niitä henkilötietoja, jotka ovat välttämättömiä käsittelyn tarkoituksen kunkin tietyn käsittelytarkoituksen kannalta , ja että tietoja ei erikseen kerätä, säilytetä eikä levitetä suurempia määriä eikä kauemmin kuin on välttämätöntä kyseisten tarkoitusten toteuttamiseksi . Näiden keinojen avulla on varmistettava etenkin se, että henkilötietoja ei oletusarvoisesti saateta rajoittamattoman henkilömäärän saataville ja että rekisteröidyt voivat valvoa henkilötietojensa jakelua. [tark. 81]

20 artikla

Yhteiset rekisterinpitäjät

1. Jäsenvaltioiden on säädettävä, että jos rekisterinpitäjä määrittää henkilötietojen käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa, näiden yhteisten rekisterinpitäjien on keskinäisellä järjestelyllä oikeudellisesti sitovalla sopimuksella määritettävä kunkin vastuualue tämän direktiivin nojalla annettujen säännösten noudattamisessa, erityisesti niiden menettelyjen ja mekanismien osalta, joiden avulla rekisteröidyt voivat käyttää oikeuksiaan.

2. Jollei rekisteröidylle ole ilmoitettu, mikä yhteisistä rekisterinpitäjistä on 1 kohdan nojalla vastuussa, rekisteröity voi käyttää tämän direktiivin mukaisia oikeuksiaan suhteessa kuhunkin yhteiseen rekisterinpitäjään ja kutakin yhteistä rekisterinpitäjää vastaan. [tark. 82]

21 artikla

Henkilötietojen käsittelijä

1. Jäsenvaltioiden on säädettävä, että jos käsittely suoritetaan rekisterinpitäjän lukuun, tämän on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet siitä, että käsittelyyn liittyvät tekniset ja organisatoriset toimet ja menettelyt toteutetaan siten, että käsittely täyttää tämän direktiivin nojalla annettujen säännösten vaatimukset ja varmistaa rekisteröidyn oikeuksien suojelun , erityisesti suoritettavaa käsittelyä koskevien teknisten turvatoimenpiteiden ja organisatoristen toimenpiteiden osalta, ja varmistettava niiden noudattaminen .

2. Jäsenvaltioiden on säädettävä, että henkilötietojen käsittelijän suorittamaa käsittelyä on säänneltävä sopimuksella tai oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti säädetään, että henkilötietojen käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti, etenkin jos käsiteltäviä henkilötietoja ei saa siirtää.

a) toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti;

b) ottaa palvelukseen ainoastaan sellaista henkilöstöä, joka on sitoutunut noudattamaan salassapitovelvollisuutta tai jota koskee lakisääteinen salassapitovelvollisuus;

c) toteuttaa kaikki 27 artiklassa vaaditut toimenpiteet;

d) käyttää toisen henkilötietojen käsittelijän palveluksia ainoastaan rekisterinpitäjän hyväksynnän saatuaan ja ilmoittaa siksi rekisterinpitäjälle aikomuksestaan käyttää toista henkilötietojen käsittelijää riittävän ajoissa, jotta rekisterinpitäjällä on mahdollisuus vastustaa;

e) käsittelytoimen luonteen salliessa hyväksyy yhdessä rekisterinpitäjän kanssa tarvittavat tekniset ja organisatoriset vaatimukset, jotta voidaan täyttää rekisterinpitäjän velvollisuus vastata pyyntöihin, jotka koskevat III luvussa säädettyjen rekisteröidyn oikeuksien käyttämistä;

f) auttaa rekisterinpitäjää varmistamaan, että 25 a–29 artiklassa säädettyjä velvollisuuksia noudatetaan;

g) palauttaa käsittelyn päätyttyä kaikki tulokset rekisterinpitäjälle eikä enää muutoin k