[pic] | EUROOPAN YHTEISÖJEN KOMISSIO | Bryssel 4.10.2005 KOM(2005) 475 lopullinen 2005/0202 (CNS) Ehdotus: NEUVOSTON PUITEPÄÄTÖS rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta {SEC(2005) 1241} (komission esittämä) PERUSTELUT 1) Ehdotuksen tausta - Ehdotuksen perusteet ja tavoitteet Eurooppa-neuvosto hyväksyi 4. marraskuuta 2004 Haagin ohjelman vapauden, turvallisuuden ja oikeuden lujittamisesta Euroopan unionissa[1]. Ohjelmassa komissiota pyydetään toimittamaan viimeistään vuoden 2005 loppuun mennessä tietojen saatavuuden periaatteen noudattamista koskevia ehdotuksia, jotta lainvalvontatietojen vaihtaminen jäsenvaltioiden kesken valtioiden rajojen yli parantuisi. Haagin ohjelmassa korostetaan, että mainituissa ehdotuksissa otetaan tarkasti huomioon tietosuojaan liittyvät keskeiset edellytykset. Neuvosto ja komissio hyväksyivät kesäkuussa 2005 toimintasuunnitelman Haagin ohjelman toteuttamiseksi[2]. Se perustui komission tiedonantoon neuvostolle ja Euroopan parlamentille – Haagin ohjelma: kymmenen painopistettä seuraaviksi viideksi vuodeksi. Kumppanuus Euroopan uudistamiseksi vapauden, turvallisuuden ja oikeuden alalla.[3] Toimintasuunnitelman mukaan komissio tekee vuonna 2005 1) ehdotuksen lainvalvontatoiminnan kannalta tärkeiden tietojen saatavuutta koskevan periaatteen käyttöön ottamiseksi ja 2) ehdotuksen henkilötietojen siirtoa koskevista riittävistä takeista ja tehokkaista oikeussuojakeinoista rikosasioissa tehtävää poliisiyhteistyötä ja oikeudellista yhteistyötä varten. Heinäkuun 13 päivänä 2005 antamassaan julkilausumassa EU:n toimista Lontoon terrori-iskujen johdosta[4] neuvosto (oikeus- ja sisäasiat) kehottaa komissiota tekemään ehdotuksia lokakuuhun 2005 mennessä. Tällä puitepäätöksellä varmistetaan sellaisten henkilötietojen suoja, joita käsitellään Euroopan unionin jäsenvaltioiden välisissä rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä (sopimus Euroopan unionista, VI osasto). Puitepäätöksen tavoitteena on parantaa tällaista yhteistyötä erityisesti terrorismin ehkäisemisessä ja torjunnassa noudattaen samalla tiukasti tietosuojaan liittyviä keskeisiä edellytyksiä. Puitepäätöksellä varmistetaan, että perusoikeuksia, erityisesti oikeutta yksityisyyteen ja henkilötietojen suojaan, kunnioitetaan koko Euroopan unionissa varsinkin tietojen saatavuuden periaatteen käyttöönotossa. Sillä myös varmistetaan, että tietosuojan tasoerot jäsenvaltioissa eivät estä asiaa koskevien tietojen vaihtoa jäsenvaltioiden kesken. - Yleistä Italian aloitteesta[5] kolmanteen pilariin kuuluvaa tietosuoja-asiaa käsiteltiin jo vuonna 1998. Tuolloin oikeus- ja sisäasioiden neuvosto hyväksyi niin kutsutun Wienin toimintasuunnitelman[6]. Siinä määrätään, että kahden vuoden kuluttua sopimuksen voimaantulosta tarkastellaan mahdollisuuksia laatia yhdenmukaiset tietosuojaa koskevat säännöt rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön yhteydessä ilmeneviä laaja-alaisia ongelmia varten. Vuonna 2001 tehtyä ehdotusta päätöslauselmaksi henkilötietojen suojaa koskevista säännöistä Euroopan unionin kolmannen pilarin välineissä ei kuitenkaan hyväksytty[7]. Kesäkuussa 2003 Kreikka ehdotti puheenjohtajakaudellaan tietosuojadirektiivin 95/46/EY ja Euroopan unionin perusoikeuskirjan innoittamana henkilötietojen suojaa koskevia yleisiä periaatteita kolmannen pilarin puitteissa[8]. Vuonna 2005 Euroopan unionin jäsenvaltioiden tietosuojaviranomaiset ja Euroopan tietosuojavaltuutettu ilmaisivat tukevansa vahvasti uuden kolmanteen pilariin kuuluvan oikeudellisen välineen antamista henkilötietojen suojaamiseksi[9]. Euroopan parlamentti suositteli, että yhdenmukaistetaan kolmanteen pilariin kuuluvien välineiden olemassa olevat säännöt henkilötietojen suojasta kokoamalla ne yhteen välineeseen, jossa taataan ensimmäisessä pilarissa määrättyä tasoa vastaava tietosuoja[10]. Haagin ohjelman mukaan tietojen saatavuuden periaatteen käyttöönotto riippuu tietosuojan keskeisistä edellytyksistä. Eurooppa-neuvostokin tunnusti, että voimassa olevat EU:n tietosuojasäännökset eivät ole riittävät tietojen saatavuuden periaatteen noudattamiseksi, sillä se saattaisi edellyttää, että kansallisiin tietokantoihin olisi vastavuoroinen pääsy tai ne olisivat yhteentoimivia tai että niihin olisi suora pääsy (verkossa). Huoli tietosuojan riittävästä tasosta kuvastuu myös seitsemän jäsenvaltion (Saksa, Itävalta, Belgia, Alankomaat, Luxemburg, Ranska ja Espanja) 27. toukokuuta 2005 Prümissä allekirjoittamassa yhteistyösopimuksessa, jota ne suosittelevat malliksi EU:n jäsenvaltioiden keskinäiselle tietojenvaihdolle. Sopimuksessa määrätään, että yhden sopimuspuolen lainvalvontaviranomaisilla on suora pääsy toisen sopimuspuolen hallussa oleviin henkilötietoihin tietyin ehdoin. Tämänkaltaista yhteistyötä aletaan harjoittaa vasta, kun sopimuspuolet ovat saattaneet sopimuksen tietosuojasäännökset osaksi kansallista lainsäädäntöään. - Nykyiset säännökset ehdotuksessa käsiteltävällä alalla Euroopan unionin perusoikeuskirjassa[11] tunnustetaan erikseen oikeus yksityiselämän kunnioittamiseen (7 artikla) ja oikeus henkilötietojen suojaan (8 artikla). Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Riippumaton viranomainen valvoo näiden sääntöjen noudattamista. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY[12] sisältää perussäännöt henkilötietojen käsittelyn laillisuudesta sekä rekisteröityjen oikeuksista. Siinä annetaan säännökset oikeussuojakeinoista, vastuusta ja sanktioista, henkilötietojen siirrosta kolmansiin maihin, käytännesäännöistä, erityisistä valvontaviranomaisista ja tietosuojatyöryhmästä sekä lopuksi yhteisön täytäntöönpanosäännöistä. Kyseistä direktiiviä ei kuitenkaan sovelleta toimiin, jotka eivät kuulu yhteisön lainsäädännön soveltamisalaan, kuten Euroopan unionista tehdyn sopimuksen VI osastossa tarkoitettuihin toimiin. Näin ollen jäsenvaltiot voivat päättää itse tietojen käsittelyä ja tietosuojaa koskevista asianmukaisista vaatimuksista. Euroopan unionista tehdyn sopimuksen VI osaston mukaan henkilötietojen suoja vahvistetaan eri välineillä. Tässä tarkoitetaan välineitä, joilla luodaan yhteiset tietojärjestelmät Euroopan tasolla, kuten Schengenin sopimuksen soveltamisesta vuonna 1990 tehty yleissopimus[13], mukaan lukien erityiset Schengenin tietojärjestelmään sovellettavat tietosuojasäännökset; vuonna 1995 tehty Europol-yleissopimus[14] ja muun muassa säännöt, jotka koskevat Europolin toimesta tapahtuvaa henkilötietojen välittämistä kolmansille valtioille ja kolmansille elimille[15]; vuonna 2002 tehty päätös Eurojust-yksikön perustamisesta[16] ja säännökset henkilötietojen käsittelyä ja tietosuojaa Eurojustissa koskevasta työjärjestyksestä[17]; vuonna 1995 tehty yleissopimus tietotekniikan käytöstä tullialalla, mukaan lukien tullitietojärjestelmään sovellettavat henkilötietojen suojaamista koskevat säännökset[18]; ja vuonna 2000 annettu säädös yleissopimuksen tekemisestä keskinäisestä oikeusavusta rikosasioissa Euroopan unionin jäsenvaltioiden välillä[19], erityisesti sen 23 artikla. Erityistä huomiota kiinnitetään toisen sukupolven Schengenin tietojärjestelmän (SIS II) perustamiseen, toimintaan ja käyttöön. Komissio on jo tehnyt asiaan liittyvän ehdotuksen neuvoston päätökseksi[20] ja kaksi ehdotusta asetukseksi[21]. Lisäksi on kiinnitetty huomiota ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 8 artiklaan, vuonna 1981 tehtyyn Euroopan neuvoston yleissopimukseen N:o 108 yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja siihen vuonna 2001 liitettyyn lisäpöytäkirjaan, joka koskee valvontaviranomaisia ja tietojen siirtoja eri maiden välillä, sekä vuonna 1987 annettuun suositukseen R (87) 15 henkilötietojen käytön sääntelemisestä poliisialalla. Kaikki jäsenvaltiot ovat Euroopan neuvoston yleissopimuksen N:o 108 sopimuspuolia mutta kaikki eivät ole allekirjoittaneet lisäpöytäkirjaa. - Yhdenmukaisuus unionin muiden politiikkojen ja tavoitteiden kanssa On tunnustettava tietojen käsittelyn ja tietosuojan erityispiirteet Euroopan unionista tehdyn sopimuksen VI osaston puitteissa. Ensinnäkään ne eivät saa haitata EU:n perusoikeuskirjaan ja direktiiviin 95/46/EY perustuvan unionin yleisen politiikan johdonmukaisuutta yksityisyyden ja tietosuojan alalla. Tietosuojan perusperiaatteita sovelletaan tietojen käsittelyyn sekä ensimmäisessä että kolmannessa pilarissa. Lisäksi on varmistettava yhdenmukaisuus muiden säädösten kanssa, joissa säädetään rikollisuuden ehkäisemisessä ja torjunnassa todennäköisesti tärkeään tietoon liittyvistä velvollisuuksista. On kiinnitettävä huomiota siihen, miten kehitetään yleisesti saatavilla olevien sähköisen viestinnän palvelujen tarjoamiseen liittyvien ja sen yhteydessä käsiteltyjen ja tallennettujen tietojen ja julkisia viestintäverkkoja koskevien tietojen säilyttämistä rikosten ja rikollisten tekojen, terrorismi mukaan lukien, tutkimiseksi, selvittämiseksi ja niistä syytteeseen asettamiseksi. On huomattava erityisesti yhteys edellä mainitun puitepäätösehdotuksen ja seuraavan komission direktiiviehdotuksen välillä – komission ehdotus Euroopan parlamentin ja neuvoston direktiiviksi yleisten sähköisten viestintäpalvelujen yhteydessä käsiteltävien tietojen säilyttämisestä ja direktiivin 2002/58/EY muuttamisesta[22]. 2) Asianomaisten osapuolten kuuleminen ja vaikutusten arviointi - Asianomaisten osapuolten kuuleminen Kuulemismenettely, tärkeimmät kohderyhmät ja yleiskuvaus osallistujista Komissio kutsui koolle 22. marraskuuta 2004 ja 21. kesäkuuta 2005 jäsenvaltioiden sekä Islannin, Norjan ja Sveitsin hallitusten asiantuntijat ja 11. tammikuuta 2005 kyseisten maiden tietosuojaviranomaisten asiantuntijat kuullakseen heitä. Euroopan tietosuojavaltuutettu, Europol, Eurojust ja yhteisten valvontaviranomaisten sihteeristö olivat myös edustettuina. Kuulemistilaisuuksien päätarkoituksena oli selvittää, tarvitaanko kolmanteen pilariin kuuluvaa henkilötietojen käsittelyä ja tietosuojaa koskevaa oikeudellista välinettä, ja jos tarvitaan, niin millainen tällaisen välineen sisällön olisi oltava. Komissio pyysi kyselylomakkeen ja keskusteluasiakirjan avulla kuulemiaan tahoja esittämään kantansa mahdollisesta uudesta oikeudellisesta välineestä yleensä ja tämän välineen suhteesta jo voimassa oleviin välineisiin, oikeusperustasta, mahdollisesta soveltamisalasta, tietojen laatua koskevista periaatteista, perusteista, joilla oikeutettaisiin se, että poliisi- tai oikeusviranomaiset voivat käsitellä henkilötietoja, muiden kuin epäilyksenalaisten henkilöiden henkilötiedoista, vaatimuksista siirtää henkilötietoja muiden jäsenvaltioiden ja kolmansien maiden toimivaltaisille viranomaisille, rekisteröityjen oikeuksista, valvontaviranomaisista ja mahdollisesta neuvoa-antavasta tietosuojaelimestä kolmannen pilarin puitteissa. Direktiivin 95/46/EY 29 artiklalla perustettua tietosuojatyöryhmää pidettiin jatkuvasti ajan tasalla. Komissio osallistui 12. huhtikuuta pidettyyn poliisityöryhmän kokoukseen ja 21. kesäkuuta 2005 pidettyyn Euroopan tietosuojaviranomaisten konferenssiin. Komissio osallistui 31. tammikuuta 2005 kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunnan järjestämään avoimeen seminaariin, jossa käsiteltiin aihetta, millaisia tietosuojaa ja kansalaisten turvallisuutta koskevia periaatteita EU:lla olisi oltava (Public Seminar: Data protection and citizens' security: what principles for the European Union?). Komissio otti huomioon Euroopan tietosuojaviranomaisten 25.–26. huhtikuuta 2005 Krakovassa pitämän kevätkokouksen tulokset sekä Euroopan parlamentin kannan, sellaisena kuin se on esitettynä muun muassa Euroopan parlamentin 7. kesäkuuta 2005 antamassa suosituksessa Eurooppa-neuvostolle ja neuvostolle terrorismirikoksiin liittyvästä tietojenvaihdosta ja yhteistyöstä (2005/2046(INI)). Yhteenveto vastauksista ja siitä, miten ne on otettu huomioon Sekä Euroopan parlamentti että Euroopan unionin tietosuojaviranomaiset tukevat vahvasti kolmanteen pilariin kuuluvan oikeudellisen välineen antamista henkilötietojen suojaamiseksi. Jäsenvaltioiden sekä Islannin, Norjan ja Sveitsin hallitusten sekä Europolin ja Eurojustin edustajat eivät esittäneet asiasta yhteistä kantaa. Komissio kuitenkin päätteli, että tällaisen välineen antamista ei periaatteessa vastustettukaan. Näytti siltä, että eri tahot olivat yhtä mieltä siitä, että tietojen saatavuuden periaatteen käyttöönottoon on liitettävä vastapainoksi asianmukaiset tietosuojasäännöt. Eräät jäsenvaltiot totesivat, että ensin olisi määriteltävä, miten tietoja tulevaisuudessa vaihdetaan, ja vasta sitten henkilötietojen suojaa koskevat säännöt. Jotkut tahot pitivät parempana sisällyttää erityissäännökset tietojen saatavuutta koskevaan säädökseen. Eri kantoja punnittuaan komissio on sitä mieltä, että tietojen saatavuuden periaatteen käyttöönotto kehittää ja muuttaa jäsenvaltioiden välisen tietojenvaihdon luonnetta ja intensiteettiä perusteellisesti. Tällainen kehitys vaikuttaa merkittävästi henkilötietoihin ja tietosuojaa koskevaan oikeuteen. Sille on löydettävä sopiva vastapaino. Viimeaikaiset aloitteet, joilla on pyritty suoraan pääsyyn tietoihin, vähintäänkin hakuihin, joilla joko saa tai ei saa osumia, todennäköisesti lisäävät laittomien, virheellisten ja päivittämättömien tietojen vaihtamisen riskiä, mikä on otettava huomioon. Tällaiset aloitteet merkitsevät sitä, että rekisterinpitäjä ei enää kykene varmentamaan jokaisessa yksittäistapauksessa tiedonsiirron laillisuutta eikä kyseisten tietojen virheettömyyttä. Tästä seuraa, että saatavuusperiaatteen käyttöönottoon on liitettävä tiukat velvollisuudet varmentaa niiden tietojen laatu, joihin suora pääsy myönnetään. Kun kiinnitetään erityistä huomiota siihen, millainen vaikutus tietojen saatavuuden periaatteen noudattamisella on, eivät sellaiset säännökset riitä, jotka koskevat yksinomaan tietosuojaan liittyviä yksittäisiä näkökohtia. Kolmanteen pilariin kuuluvaa henkilötietojen suojaa koskeva oikeudellinen väline voi periaatteessa edistää rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön tehokkuutta ja laillisuutta sekä perusoikeuksien, erityisesti henkilötietojen suojaa koskevan oikeuden, noudattamista. Tällainen väline on tarpeen erityisesti tietojen saatavuuden periaatteen noudattamiseksi ja sitä on kehitettävä yhdessä tämän periaatteen kanssa. Puitepäätöksen olisi noudatettava direktiivin 95/46/EY henkeä ja rakennetta mahdollisuuksien mukaan ja otettava samalla huomioon rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön erityistarpeet sekä suhteellisuusperiaate. Eurooppa-neuvoston vuonna 1987 antama suositus R (87) 15 henkilötietojen käytön sääntelemisestä poliisialalla on otettu huomioon, jotta sen pääperiaatteet voidaan sisällyttää oikeudellisesti sitoviin EU-säännöksiin. Henkilötietojen suojaamiseksi olisi laadittava selkeät säännöt, jotka toimitetaan tai on jo toimitettu muiden jäsenvaltioiden toimivaltaisten viranomaisten käyttöön. Tämä edellyttää järjestelmää, jolla varmistetaan asiaa koskevien tietojen käsittelyn laatu. Tällaisessa järjestelmässä on oltava säännökset, joilla määritellään rekisteröityjen oikeudet ja valvontaviranomaisten valtuudet, koska kyseiset oikeudet ja valtuudet vaikuttavat todennäköisesti asiaa koskevien tietojen laatuun. - Vaikutusten arviointi Seuraavia vaihtoehtoja harkittiin: direktiivin 95/46/EY soveltuvuus; ei tehdä kolmanteen pilariin kuuluvia ehdotuksia henkilötietojen suojaamisesta tai tehdään ne myöhemmin; laaditaan saatavuusperiaatetta noudattaen tietojenvaihtoa koskeva oikeudellinen asiakirja, jossa on rajallinen määrä erityissäännöksiä; tehdään kolmanteen pilariin kuuluva puitepäätös henkilötietojen suojasta. Viimeksi mainitun välineen osalta on tarkasteltu mahdollisuutta soveltaa sitä myös EU:n tasolla perustettujen tietojärjestelmien ja elinten väliseen tietojenvaihtoon. Direktiivin 95/46/EY kattavat perussäännökset eivät ole sovellettavissa kolmanteen pilariin kuuluviin aloihin niin kuin direktiivin 3 artiklan 2 kohdassa säädetään. Vaikka kyseinen artikla poistettaisiin, direktiiviä ei voitaisi automaattisesti soveltaa poliisi- ja oikeudelliseen yhteistyöhön rikosasioissa. Direktiivissä ei ensinnäkään ole otettu täysin huomioon yhteistyön erityispiirteitä, joten direktiiviä olisi täsmennettävä. Toisaalta on noudatettava lainsäädännön vaatimuksia, jotka kuuluvat Euroopan unionista tehdyn sopimuksen VI osaston alaan ja joilla pyritään edistämään poliisi- ja oikeudellista yhteistyötä rikosasioissa. Vaihtoehto, jonka mukaan ei tehdä kolmanteen pilariin kuuluvia henkilötietojen käsittelyä ja tietosuojaa koskevia ehdotuksia tai tehdään ne myöhemmin, on hylättävä. Tämä vaihtoehto todennäköisesti tarkoittaisi, että tietojen saatavuuden periaatteen käyttöönoton yhteydessä otettaisiin käyttöön uudenlaisia tietojenvaihtotapoja varmistamatta kuitenkaan tietosuojaan liittyvien keskeisten edellytysten tiukkaa noudattamista. Saatavuusperiaatetta noudattaen tietojenvaihtoa koskevan oikeudellisen asiakirjan laatiminen, jossa on rajallinen määrä erityissäännöksiä, ei riitä, kun otetaan huomioon saatavuusperiaatteen todennäköinen vaikutus. Puitepäätöksen tekeminen rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta on ainoa täysin tyydyttävä vaihtoehto. Tämä vaihtoehto ei todennäköisesti aiheuta juuri lainkaan hallinnollisia kustannuksia jäsenvaltioille. Komissio on suorittanut työohjelmassa mainitun vaikutustenarvioinnin, jota koskeva raportti on saatavissa osoitteessa: http://europa.eu.int/comm/dgs/justice_home/evaluation/dg_coordination_evaluation_annexe_en.htm. 3) EHDOTUKSEN OIKEUDELLISET NÄKÖKOHDAT - Tiivistelmä ehdotetuista toimista Ehdotettu puitepäätös sisältää yleiset säännöt henkilötietojen käsittelyn laillisuudesta sekä säännökset, jotka koskevat käsittelyn erityismuotoja (henkilötietojen siirto tai asettaminen muiden jäsenvaltioiden toimivaltaisten viranomaisten saataville, muiden jäsenvaltioiden toimivaltaisilta viranomaisilta saatujen tai niiden saataville asettamien tietojen käsitteleminen edelleen, erityisesti niiden siirtäminen edelleen), rekisteröityjen oikeuksia, käsittelyn luottamuksellisuutta ja turvallisuutta, oikeussuojakeinoja, vastuuta, seuraamuksia, valvontaviranomaisia ja henkilötietojen käsittelyn suojaa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa käsittelevää tietosuojatyöryhmää. Erityistä huomiota on kiinnitettävä siihen periaatteeseen, jonka mukaan henkilötietoja siirretään ainoastaan sellaisiin kolmansiin maihin tai kansainvälisiin elimiin, jotka varmistavat tietosuojan riittävän tason. Puitepäätöksessä säädetään sellaisesta mekanismista, jolla pyritään varmistamaan tämän periaatteen noudattaminen koko EU:ssa. - Oikeusperusta Tämä puitepäätös perustuu Euroopan unionista tehdyn sopimuksen 30 ja 31 artiklaan ja 34 artiklan 2 kohdan b alakohtaan. Erityisesti tietojen saatavuuden periaatteen noudattamisen kannalta olennaisen tärkeitä ovat asianmukaiset säännökset, jotka koskevat henkilötietojen käsittelyä ja tietosuojaa, mukaan lukien yhteiset normit henkilötietojen siirtämiselle kolmansiin maihin ja kansainvälisille elimille, rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön parantamiseksi varsinkin terrorismin ja vakavan rikollisuuden torjunnassa. Lisäksi jäsenvaltiot luottavat toisiinsa täysin ainoastaan, jos on olemassa selkeät yhteiset säännöt, jotka koskevat vaihdettujen tietojen siirtämistä mahdollisesti edelleen muille tahoille, varsinkin kolmansiin maihin. Ehdotetuilla säännöksillä varmistetaan, että tietosuojan tasoerot jäsenvaltioissa eivät estä tietojenvaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. - Toissijaisuus- ja suhteellisuusperiaate Tässä puitepäätöksessä keskitytään tilanteisiin, jotka koskevat erityisesti jäsenvaltioiden välistä poliisi- ja oikeudellista yhteistyötä rikosasioissa, varsinkin tietojenvaihdon osalta, jotta varmistetaan ja tuetaan tehokkaiden ja laillisten toimenpiteiden käyttöä rikollisuuden, erityisesti vakavan rikollisuuden ja terrorismin, ehkäisemiseksi ja torjumiseksi kaikissa jäsenvaltioissa. Kansalliset, kahdenkeskiset tai monenkeskiset ratkaisut voivat olla hyödyllisiä yksittäisille jäsenvaltioille, mutta niissä ei oteta huomioon tarvetta varmistaa koko unionin sisäinen turvallisuus. Se, millaisia tietoja lainvalvontaviranomaiset tarvitsevat, riippuu suuresti maiden keskinäisen yhdentymisen tasosta. Jäsenvaltioiden keskinäisen lainvalvontatoimintaan liittyvän tietojenvaihdon arvioidaan kasvavan, minkä vuoksi tietojenvaihtoa koskevia sääntöjä on täydennettävä johdonmukaisilla tietojen käsittelyä ja tietosuojaa koskevilla säännöillä. Puitepäätöksessä noudatetaan Euroopan unionista tehdyn sopimuksen 2 artiklassa ja Euroopan yhteisön perustamissopimuksen 5 artiklassa mainittua toissijaisuuden periaatetta, koska sillä pyritään lähentämään jäsenvaltioiden lainsäädäntöä, mitä ei voida riittävästi toteuttaa jäsenvaltioiden yksipuolisin toimin, vaan mikä edellyttää yhteistoimintaa Euroopan unionin tasolla. Viimeksi mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä puitepäätöksessä ei ylitetä sitä, mikä on tämän tavoitteen saavuttamiseksi tarpeen. Sitä paitsi tämä puitepäätös koskee henkilötietojen käsittelyä ainoastaan rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä. - Säädöstyyppi Ehdotettu säädös: puitepäätös. Tällä oikeudellisella välineellä pyritään lähentämään jäsenvaltioiden lainsäädäntöä, joka koskee rikollisuuden ehkäisemisessä ja torjunnassa käsiteltävien henkilötietojen suojaa. 4) Vaikutukset talousarvioon Ehdotetun puitepäätöksen täytäntöönpano edellyttäisi ainoastaan vähäisiä ylimääräisiä hallintomenoja, jotka kirjataan Euroopan yhteisöjen talousarvioon ja koskevat 16 artiklan nojalla perustettavan komitean ja 31 artiklan nojalla perustettavan neuvoa-antavan elimen kokouksia ja sihteeristöpalveluja. 2005/0202 (CNS) Ehdotus: NEUVOSTON PUITEPÄÄTÖS rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta EUROOPAN UNIONIN NEUVOSTO, joka ottaa huomioon Euroopan unionista tehdyn sopimuksen ja erityisesti sen 30 ja 31 artiklan sekä 34 artiklan 2 kohdan b alakohdan, ottaa huomioon komission ehdotuksen[23], ottaa huomioon Euroopan parlamentin lausunnon[24], sekä katsoo seuraavaa: (1) Euroopan unioni on asettanut tavoitteekseen pitää yllä ja kehittää unionia vapauteen, turvallisuuteen ja oikeuteen perustuvana alueena. Korkea turvallisuuden taso varmistetaan jäsenvaltioiden välisellä yhteisellä toiminnalla rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä. (2) Euroopan unionista tehdyn sopimuksen 30 artiklan 1 kohdan b alakohdan mukainen poliisiyhteistyön yhteinen toiminta ja 31 artiklan 1 kohdan a alakohdan mukaista oikeudellista yhteistyötä rikosasioissa koskeva yhteinen toiminta edellyttävät asiaa koskevien tietojen käsittelyä, jossa olisi otettava huomioon henkilötietojen suojaa koskevat asianomaiset säännökset. (3) Euroopan unionista tehdyn sopimuksen VI osaston alaan kuuluvalla lainsäädännöllä olisi edistettävä rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön tehokkuutta ja laillisuutta sekä perusoikeuksien, erityisesti yksityisyyttä ja henkilötietojen suojaa koskevien oikeuksien noudattamista. Molempien tavoitteiden saavuttamista voidaan edistää rikollisuuden ehkäisemisessä ja torjunnassa käsiteltävien henkilötietojen käsittelyä ja tietosuojaa koskevilla yhteisillä normeilla. (4) Marraskuun 4 päivänä 2004 hyväksytyssä Eurooppa-neuvoston Haagin ohjelmassa vapauden, turvallisuuden ja oikeuden lujittamisesta Euroopan unionissa korostetaan innovoivan lähestymistavan tarvetta lainvalvontatietojen valtioiden rajat ylittävään vaihtoon siten, että samalla noudatetaan tiukasti tietosuojaan liittyviä keskeisiä edellytyksiä, ja kehotetaan komissiota toimittamaan asiaa koskevia ehdotuksia viimeistään vuoden 2005 loppuun mennessä. Tätä asiaa pohditaan neuvoston ja komission toimintasuunnitelmassa vapauden, turvallisuuden ja oikeuden lujittamiseen Euroopan unionissa tähtäävän Haagin ohjelman toteuttamiseksi [25]. (5) Henkilötietojen vaihtoa poliisi- ja oikeudellisessa yhteistyössä rikosasioissa ottaen huomioon Haagin ohjelmassa määritellyn tietojen saatavuutta koskevan periaatteen olisi tuettava selkeillä sitovilla säännöillä, jotka lisäävät toimivaltaisten viranomaisten keskinäistä luottamusta ja joilla varmistetaan asiaa koskevien tietojen suoja siten, ettei se haittaa tätä jäsenvaltioiden keskinäistä yhteistyötä ja että siinä samalla kunnioitetaan täysin yksilöiden perusoikeuksia. Voimassa olevat eurooppalaiset välineet eivät riitä. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettua Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY[26] ei sovelleta henkilötietojen käsittelyyn silloin, kun toiminta ei kuulu yhteisön oikeuden soveltamisalaan, kuten Euroopan unionista tehdyn sopimuksen VI osastossa tarkoitettu toiminta, eikä missään tapauksessa tietojen käsittelyyn, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta ja rikosoikeuden alalla tapahtuvaa valtion toimintaa. (6) Rikollisuuden ehkäisemisessä ja torjunnassa käsiteltävien henkilötietojen suojaa koskevista yhteisistä normeista annettavan oikeudellisen välineen olisi oltava johdonmukainen Euroopan unionin yleisen yksityisyyttä ja tietosuojaa koskevan politiikan kanssa. Ottaen huomioon tarpeen lisätä poliisi-, tulli- ja oikeusviranomaisten sekä muiden toimivaltaisten viranomaisten laillisen toiminnan tehokkuutta tällaisen välineen olisi noudatettava voimassa olevia hyväksi osoittautuneita periaatteita ja määritelmiä, erityisesti niitä, jotka on esitetty Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY taikka jotka liittyvät Europolin tai Eurojustin harjoittamaan tietojen vaihtoon tai tietojen käsittelyyn tullitietojärjestelmässä tai muissa vastaavissa järjestelmissä. (7) Jäsenvaltioiden lainsäädäntöjen lähentäminen ei saisi johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä olisi päinvastoin varmistettava tietosuojan korkea taso unionissa. (8) On tarpeen täsmentää tietosuojan tavoitteet poliisi- ja oikeudellisessa toiminnassa sekä antaa henkilötietojen käsittelyn laillisuutta koskevat säännöt, jotta varmistettaisiin, että kaikki mahdollisesti vaihdettavat tiedot on käsitelty laillisesti ja tietojen laatuun liittyviä perusperiaatteita noudattaen. Samalla olisi huolehdittava siitä, että poliisi-, tulli- ja oikeusviranomaisten sekä muiden toimivaltaisten viranomaisten laillista toimintaa ei vaarannettaisi millään tavalla. (9) Euroopan kansalaisten henkilötietojen korkeatasoisen suojan varmistaminen edellyttää yhteisiä säännöksiä muiden jäsenvaltioiden toimivaltaisten viranomaisten käsittelemien tietojen laillisuuden ja laadun määrittämiseksi. (10) On suotavaa määrittää Euroopan tasolla edellytykset, joiden mukaan jäsenvaltioiden toimivaltaiset viranomaiset voisivat siirtää ja asettaa henkilötietoja muiden jäsenvaltioiden viranomaisten ja yksityisten tahojen saataville. (11) Euroopan tasolla olisi annettava yhteiset säännöt, jotka koskevat toisen jäsenvaltion toimivaltaiselta viranomaiselta saatujen tai sen saataville asettamien henkilötietojen edelleenkäsittelyä, varsinkin kyseisten tietojen siirtämistä edelleen tai asettamista edelleen muiden saataville. (12) Euroopan unionin jäsenvaltiosta kolmansiin maihin tai kansainvälisille elimille siirrettäville henkilötiedoille olisi periaatteessa taattava riittävä suojan taso. (13) Tässä puitepäätöksessä olisi määriteltävä menettely, jonka mukaan hyväksytään kolmannen maan tai kansainvälisen elimen tarjoaman tietosuojan arvioinnissa tarvittavat menettelyt. (14) Henkilötietojen suojan varmistamiseksi rikostutkintaa vaarantamatta on tarpeen määrittää rekisteröidyn oikeudet. (15) On suotavaa laatia yhteiset säännöt, jotka koskevat käsittelyn luottamuksellisuutta ja turvallisuutta, vastuuta ja seuraamuksia, silloin kun toimivaltaiset viranomaiset käyttävät tietoja laittomasti, sekä rekisteröityjen käytettävissä olevia oikeussuojakeinoja. Lisäksi jäsenvaltioiden on säädettävä rikosoikeudellisten seuraamusten langettamisesta tietosuojasäännösten erityisen vakavista ja tahallisista rikkomisista. (16) Tehtäviään täysin riippumattomasti harjoittavien valvontaviranomaisten perustaminen jäsenvaltioihin on olennainen osa jäsenvaltioiden keskinäisen poliisi- ja oikeudellisen yhteistyön yhteydessä käsiteltävien henkilötietojen suojaamista. (17) Kyseisillä viranomaisilla olisi oltava tarvittavat keinot tehtäviensä suorittamiseksi, olivatpa kyseessä tutkinta- tai toimintavaltuudet, erityisesti silloin, kun viranomaisille esitetään valituksia, tai kelpoisuus olla asianosaisena oikeudenkäynnissä. Viranomaisten olisi edistettävä tietojenkäsittelyn avoimuutta jäsenvaltiossaan. Näiden viranomaisten valtuudet eivät kuitenkaan saisi olla ristiriidassa rikosoikeudellisia menettelyjä ja oikeuslaitoksen riippumattomuutta koskevien erityissääntöjen kanssa (18) Olisi perustettava henkilötietojen käsittelyn suojaa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa käsittelevä tietosuojatyöryhmä, ja sen olisi suoritettava tehtävänsä täysin itsenäisesti. Sen olisi neuvottava komissiota ja jäsenvaltioita sekä osaltaan edistettävä tämän puitepäätöksen mukaisesti toteutettujen kansallisten säännösten yhdenmukaista soveltamista. (19) Euroopan unionista tehdyn sopimuksen 47 artiklassa määrätään, että mitkään sen määräykset eivät vaikuta Euroopan yhteisöjen perustamissopimuksiin taikka niiden muuttamisesta tai täydentämisestä myöhemmin tehtyihin sopimuksiin tai asiakirjoihin. Tämä puitepäätös ei näin ollen vaikuta yhteisön lainsäädännön mukaiseen henkilötietojen suojaan, varsinkaan sellaisena kuin se on Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetussa Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/2001[27] ja henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) 12 päivänä heinäkuuta 2002 annetussa Euroopan parlamentin ja neuvoston direktiivissä 2002/58/EY[28]. (20) Tämä puitepäätös ei rajoita oikeudellisissa välineissä, jotka koskevat henkilötietojen käsittelyä ja tietosuojaa Europolissa, Eurojustissa ja tullitietojärjestelmässä, asetettujen erityisten tietosuojasäännösten soveltamista. (21) Henkilötietojen suojaa koskevat säännökset, joista on määrätty tarkastusten asteittaisesta lakkauttamisesta yhteisillä rajoilla 14 päivänä kesäkuuta 1985 tehdyn Schengenin sopimuksen soveltamisesta vuonna 1990 tehdyn yleissopimuksen[29] (jäljempänä ’Schengenin yleissopimus’) IV osastossa ja jotka on sisällytetty osaksi Euroopan unionia Euroopan unionista tehtyyn sopimukseen ja Euroopan yhteisön perustamissopimukseen liitetyllä pöytäkirjalla, olisi korvattava tämän puitepäätöksen säännöillä EU:sta tehdyn sopimuksen soveltamisalaan kuuluvissa asioissa. (22) Tätä puitepäätöstä on suotavaa soveltaa toisen sukupolven Schengenin tietojärjestelmän puitteissa käsiteltäviin henkilötietoihin sekä toisen sukupolven Schengenin tietojärjestelmän perustamisesta, toiminnasta ja käytöstä … tehdyn päätöksen YOS/2006/… mukaiseen lisätietojen vaihtoon. (23) Puitepäätös ei rajoita tietojärjestelmiin kohdistuvista hyökkäyksistä 24 päivänä helmikuuta 2005 tehdyssä neuvoston puitepäätöksessä 2005/222/YOS[30] tarkoitettuun tietojen laittomaan käyttöön liittyvien sääntöjen soveltamista. (24) On suotavaa korvata keskinäistä oikeusapua rikosasioissa Euroopan unionin jäsenvaltioiden välillä koskevan yleissopimuksen[31] 23 artikla. (25) Kaikki viittaukset 28 päivänä tammikuuta 1981 allekirjoitettuun Euroopan neuvoston yleissopimukseen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä on ymmärrettävä viittauksiksi tähän puitepäätökseen. (26) Koska toteutettavan toimenpiteen tavoitetta, joka on rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön yhteydessä käsiteltävien henkilötietojen suojaamista koskevien yhteisten sääntöjen määrittäminen, ei voida riittävällä tavalla saavuttaa jäsenvaltioiden yksipuolisin toimin ja ne voidaan toimenpiteen laajuuden ja vaikutusten vuoksi saavuttaa paremmin Euroopan unionin tasolla, neuvosto voi hyväksyä toimenpiteitä toissijaisuusperiaatteen mukaisesti, josta määrätään EY:n perustamissopimuksen 5 artiklassa ja johon viitataan EU:sta tehdyn sopimuksen 2 artiklassa. EY:n perustamissopimuksen 5 artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä puitepäätöksessä ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi. (27) Yhdistynyt kuningaskunta osallistuu tähän puitepäätökseen EU:sta tehtyyn sopimukseen ja EY:n perustamissopimukseen liitetyn, Schengenin säännöstön sisällyttämisestä osaksi Euroopan unionia tehdyn pöytäkirjan 5 artiklan ja Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan pyynnöstä saada osallistua joihinkin Schengenin säännöstön määräyksiin 29 päivänä toukokuuta 2000 tehdyn neuvoston päätöksen 2000/365/EY[32] 8 artiklan 2 kohdan nojalla. (28) Irlanti osallistuu tähän puitepäätökseen EU:sta tehtyyn sopimukseen ja EY:n perustamissopimukseen liitetyn, Schengenin säännöstön sisällyttämisestä osaksi Euroopan unionia tehdyn pöytäkirjan 5 artiklan ja Irlannin pyynnöstä saada osallistua joihinkin Schengenin säännöstön määräyksiin 28 päivänä helmikuuta 2002 tehdyn neuvoston päätöksen 2002/192/EY 6 artiklan 2 kohdan nojalla. (29) Islannin ja Norjan osalta tämä puitepäätös on osa Euroopan unionin neuvoston, Islannin tasavallan ja Norjan kuningaskunnan välillä näiden kahden valtion osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyssä sopimuksessa tarkoitettujen Schengenin säännöstön määräysten kehittämistä, jotka kuuluvat tietyistä kyseisen sopimuksen yksityiskohtaisista soveltamissäännöistä 17 päivänä toukokuuta 1999 tehdyn neuvoston päätöksen 1999/437/EY[33] 1 artiklan H kohdan soveltamisalaan. (30) Sveitsin osalta tällä puitepäätöksellä kehitetään Schengenin säännöstön määräyksiä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tarkoitetulla tavalla. Kyseiset määräykset kuuluvat 17 päivänä toukokuuta 1999 tehdyn neuvoston päätöksen 1999/437/EY 1 artiklan H kohdan ja mainitun sopimuksen allekirjoittamisesta Euroopan unionin puolesta sekä sopimuksen tiettyjen määräysten väliaikaisesta soveltamisesta tehdyn neuvoston päätöksen 2004/849/EY[34] 4 artiklan 1 kohdan soveltamisalaan. (31) Tämä puitepäätös on vuoden 2003 liittymisasiakirjan 3 artiklan 1 kohdassa tarkoitettu Schengenin säännöstöön perustuva tai muuten siihen liittyvä säädös. (32) Tässä puitepäätöksessä kunnioitetaan perusoikeuksia ja noudatetaan erityisesti Euroopan unionin perusoikeuskirjassa tunnustettuja periaatteita. Tällä puitepäätöksellä pyritään varmistamaan, että Euroopan unionin perusoikeuskirjan 7 artiklassa mainittua oikeutta yksityiselämään ja 8 artiklassa mainittua oikeutta henkilötietojen suojaan kunnioitetaan täysin, ON TEHNYT TÄMÄN PUITEPÄÄTÖKSEN: I LUKU TAVOITE, MÄÄRITELMÄT JA SOVELTAMISALA 1 artiklaTavoite 1. Tällä puitepäätöksellä määritetään yhteiset vaatimukset yksilön suojan varmistamiseksi henkilötietojen käsittelyssä Euroopan unionista tehdyn sopimuksen VI osastossa tarkoitetussa poliisi- ja oikeudellisessa yhteistyössä rikosasioissa. 2. Jäsenvaltioiden on varmistettava, että henkilötietojen luovuttamista muiden jäsenvaltioiden toimivaltaisille viranomaisille ei rajoiteta eikä estetä tämän puitepäätöksen mukaiseen henkilötietojen suojaan liittyvistä syistä. 2 artiklaMääritelmät Tässä puitepäätöksessä tarkoitetaan a) ’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella, b) ’henkilötietojen käsittelyllä’ (’käsittely’) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai muutoin, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen, c) ’henkilötietojen rekisteröintijärjestelmällä’ (’rekisteröintijärjestelmä’) kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu, d) ’rekisterinpitäjällä’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; silloin kun käsittelyn tarkoitus ja keinot määritellään kansallisessa lainsäädännössä tai Euroopan unionista tehdyn sopimuksen VI osaston nojalla annetussa lainsäädännössä, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisten tai Euroopan unionista tehdyn sopimuksen VI osaston nojalla annettujen säännösten mukaisesti, e) ’henkilötietojen käsittelijällä’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun, f) ’kolmannella’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevää, g) ’vastaanottajalla’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta elintä, jolle tietoja luovutetaan, oli kyseessä kolmas tai ei, h) ’rekisteröidyn suostumuksella’ kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn, i) ’kansainvälisillä elimillä’ kansainvälisillä sopimuksilla perustettuja elimiä tai järjestöjä, j) ’toimivaltaisilla viranomaisilla’ Euroopan unionista tehdyn sopimuksen 29 artiklassa tarkoitettuja jäsenvaltioiden poliisivoimia, tulli- ja oikeusviranomaisia sekä muita toimivaltaisia viranomaisia. 3 artiklaSoveltamisala 1. Tätä puitepäätöstä sovelletaan osittain tai kokonaan automatisoituun henkilötietojen käsittelyyn sekä sellaisten henkilötietojen muuhun kuin automaattiseen käsittelyyn, jotka muodostavat toimivaltaisten viranomaisten rekisteröintijärjestelmän osan tai joiden on tarkoitus muodostaa toimivaltaisten viranomaisten rekisteröintijärjestelmän osa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa. 2. Tätä puitepäätöstä ei sovelleta henkilötietojen käsittelyyn - Euroopan poliisiakatemiassa (Europol) - Euroopan oikeudellisen yhteistyön yksikössä (Eurojust) - tullitietojärjestelmässä, sellaisena kuin se on perustettuna Euroopan unionista tehdyn sopimuksen K.3 artiklan nojalla tietotekniikan käytöstä tullialalla tehdyssä yleissopimuksessa, siihen tehdyt muutokset huomioon ottaen. II LUKUYLEISET SÄÄNNÖT HENKILÖTIETOJEN KÄSITTELYN LAILLISUUDESTA 4 artiklaTietojen laatua koskevat periaatteet 1. Jäsenvaltioiden on säädettävä siitä, että a) henkilötietoja käsitellään asianmukaisesti ja laillisesti, b) henkilötiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että jäsenvaltiot toteuttavat tarpeelliset suojatoimet, c) henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään, d) henkilötietojen on oltava virheettömiä ja tarvittaessa päivitettyjä. On toteutettava kaikki aiheelliset toimenpiteet sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, poistetaan tai oikaistaan. Jäsenvaltiot voivat säätää tietojenkäsittelyn virheettömyyden ja luotettavuuden asteista, jolloin niiden on säädettävä, että tiedot erotetaan toisistaan niiden virheettömyyden ja luotettavuuden asteen perusteella, erityisesti on erotettava toisistaan tosiasioihin perustuvat tiedot ja lausuntoihin tai henkilökohtaisiin arvioihin perustuvat tiedot, e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia vartan. 2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta. 3. Jäsenvaltioiden on säädettävä, että erotetaan selkeästi toisistaan henkilötiedot, jotka koskevat - henkilöä, jonka epäillään tehneen rikoksen tai osallistuneen rikokseen, - henkilöä, joka on tuomittu rikoksesta, - henkilöä, jonka perustellusti uskotaan tekevän rikoksen, - henkilöä, joka voidaan pyytää todistamaan rikostutkinnassa tai myöhemmin rikosoikeudenkäynnissä, - henkilöä, joka on ollut rikoksen uhri tai jonka uskotaan eräiden tosiseikkojen perusteella voivan olla rikoksen uhri, - henkilöä, joka voi antaa tietoja rikoksista, - jonkin edellä mainitun henkilön tuttavaa tai kumppania tai - henkilöä, joka ei kuulu mihinkään edellä mainittuun ryhmään. 4. Jäsenvaltioiden on säädettävä, että henkilötietojen käsittely on tarpeen ainoastaan, jos - on tosiseikkojen perusteella aiheellista uskoa, että kyseiset henkilötiedot voivat mahdollistaa, helpottaa tai nopeuttaa rikoksen torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa, ja - ei ole muita rekisteröityyn vähemmän vaikuttavia keinoja ja - tietojenkäsittely ei ole liian laaja kyseiseen rikokseen nähden. 5 artiklaTietojenkäsittelyn laillisuusperusteet Jäsenvaltioiden on säädettävä siitä, että toimivaltaiset viranomaiset voivat käsitellä henkilötietoja ainoastaan, jos siitä on säädetty laissa, jonka mukaan käsittely on tarpeen kyseisen viranomaisen lakisääteisten tehtävien suorittamista varten rikosten torjunta-, tutkinta-, selvittämis- tai syyteharkinta-asioissa. 6 artikla Erityisiä tietoryhmiä koskeva tietojenkäsittely 1. Jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely. 2. Edellä 1 kohtaa ei sovelleta, jos - käsittelystä on säädetty laissa ja se on ehdottoman välttämätöntä kyseisen viranomaisen lakisääteisten tehtävien suorittamista varten rikosten torjunta-, tutkinta-, selvittämis- tai syyteharkinta-asioissa tai rekisteröity on antanut nimenomaisen suostumuksensa käsittelyyn ja - jäsenvaltiot säätävät erityisistä tarpeellisista suojatoimista, esimerkiksi kyseisiin tietoihin myönnetään pääsy ainoastaan henkilöstölle, joka on vastuussa käsittelyn oikeuttavan lakisääteisen tehtävän suorittamisesta. 7 artiklaHenkilötietojen säilyttämisen aikarajoitukset 1. Jäsenvaltioiden on säädettävä, että henkilötietoja ei säilytetä pidempään kuin mikä on tarpeen sitä tarkoitusta varten, jonka vuoksi ne kerättiin, ellei kansallisessa lainsäädännössä toisin säädetä. Edellä 4 artiklan 3 kohdan viimeisessä luetelmakohdassa tarkoitettuja henkilöitä koskevat henkilötiedot saa säilyttää ainoastaan niin kauan kuin mikä on ehdottoman välttämätöntä sitä tarkoitusta varten, jonka vuoksi ne kerättiin. 2. Jäsenvaltioiden on säädettävä asianmukaisista menettelyllisistä ja teknisistä toimenpiteistä, joilla varmistetaan henkilötietojen säilyttämistä koskevien aikarajoitusten noudattaminen. Aikarajoitusten noudattamista tarkastellaan säännöllisesti. III LUKU – Käsittelyn erityismuodot I JAKSO – HENKILÖTIETOJEN SIIRTO JA ASETTAMINEN MUIDEN JÄSENVALTIOIDEN TOIMIVALTAISTEN VIRANOMAISTEN SAATAVILLE 8 ARTIKLA HENKILÖTIETOJEN SIIRTO JA ASETTAMINEN MUIDEN JÄSENVALTIOIDEN TOIMIVALTAISTEN VIRANOMAISTEN SAATAVILLE Jäsenvaltioiden on säädettävä siitä, että henkilötietoja siirretään tai saatetaan muiden jäsenvaltioiden toimivaltaisten viranomaisten saataville ainoastaan, jos se on tarpeen siirtävän tai vastaanottavan viranomaisen lakisääteisten tehtävien suorittamista varten rikosten torjunta-, tutkinta-, selvittämis- tai syyteharkinta-asioissa. 9 artiklaSiirrettyjen tai saataville asetettujen tietojen laadun varmentaminen 1. Jäsenvaltioiden on säädettävä, että henkilötietojen laatu varmennetaan viimeistään ennen niiden siirtoa tai saataville asettamista. Mahdollisuuksien mukaan kaikissa tietojensiirroissa on tuotava ilmi tuomioistuinten päätökset sekä päätökset syyttämättä jättämisestä, ja lausuntoihin tai henkilökohtaisiin arvioihin perustuvat tiedot on tarkistettava niiden lähteestä ennen niiden siirtämistä ja niiden virheettömyyden tai luotettavuuden aste on ilmoitettava. 2. Jäsenvaltioiden on säädettävä, että niiden henkilötietojen laatu, joihin muiden jäsenvaltioiden toimivaltaisilla viranomaisilla on suora pääsy, varmennetaan säännöllisesti sen varmistamiseksi, että tällä tavoin saataville asetetut tiedot ovat virheettömiä ja päivitettyjä. 3. Jäsenvaltioiden on säädettävä siitä, että henkilötietoja, jotka eivät enää ole virheettömiä tai päivitettyjä, ei saa siirtää eikä asettaa saataville. 4. Jäsenvaltioiden on säädettävä siitä, että sen toimivaltaisen viranomaisen, joka siirtää tai asettaa henkilötietoja toisen jäsenvaltion toimivaltaisen viranomaisen saataville, on ilmoitettava jälkimmäiselle viranomaiselle välittömästi, jos se toteaa omasta aloitteestaan tai rekisteröidyn pyynnöstä, että kyseisiä tietoja ei olisi saanut siirtää tai asettaa saataville tai että siirretyt tai saataville asetetut tiedot olivat virheellisiä tai vanhentuneita. 5. Jäsenvaltioiden on säädettävä siitä, että 4 kohdassa tarkoitetun ilmoituksen saanut toimivaltainen viranomainen poistaa tai oikaisee kyseiset tiedot. Lisäksi tämän viranomaisen on oikaistava kyseiset tiedot, jos se toteaa, että ne ovat virheellisiä. Jos tällä viranomaisella on perustellut syyt uskoa, että saadut henkilötiedot ovat virheellisiä tai että ne on poistettava, se ilmoittaa tästä välittömästi tiedot siirtäneelle tai saataville asettaneelle toimivaltaiselle viranomaiselle. 6. Jäsenvaltioiden on, kansallisen rikosprosessin soveltamista rajoittamatta, säädettävä, että henkilötietoihin lisätään rekisteröidyn pyynnöstä maininta silloin, kun rekisteröity kiistää tietojen virheettömyyden eikä tietojen virheettömyyttä tai virheellisyyttä voida vahvistaa. Tällaisen maininnan saa poistaa vain rekisteröidyn suostumuksella tai toimivaltaisen tuomioistuimen tai toimivaltaisen valvontaviranomaisen päätöksellä. 7. Jäsenvaltioiden on säädettävä, että toisen jäsenvaltion viranomaiselta saadut henkilötiedot on poistettava, - jos kyseisiä tietoja ei olisi saanut siirtää, asettaa saataville tai ottaa vastaan, - kun toisen jäsenvaltion lainsäädännössä asetettu aikarajoitus on kulunut umpeen, jos kyseiset tiedot siirtänyt tai saataville asettanut viranomainen on ilmoittanut aikarajoituksesta vastaanottavalle viranomaiselle tietojen siirron tai saataville asettamisen yhteydessä, mikäli henkilötietoja ei enää tarvita oikeudellisessa menettelyssä, - jos kyseisiä tietoja ei enää tarvita sitä tarkoitusta varten, jonka vuoksi ne siirrettiin tai asetettiin saataville. 8. Jos henkilötiedot siirrettiin ilman edeltävää pyyntöä, vastaanottavan viranomaisen on varmennettava viipymättä, tarvitaanko niitä siihen tarkoitukseen, jota varten ne siirrettiin. 9. Henkilötietoja ei saa poistaa, jos on perusteltu syy uskoa, että niiden poistaminen vaikuttaisi rekisteröidyn suojaamisen arvoisiin etuihin, vaan ne on suojattava kansallisen lainsäädännön mukaisesti. Suojattuja tietoja saa käyttää tai siirtää ainoastaan sellaiseen tarkoitukseen, jota varten niitä ei poistettu. 10 artiklaKirjaaminen ja dokumentointi 1. Jäsenvaltioiden on säädettävä, että jokainen henkilötietojen automaattinen siirto ja vastaanotto, varsinkin kun on kyse suorasta pääsystä, kirjataan sen varmistamiseksi, että myöhemmin voidaan varmistaa siirron syyt, siirretyt tiedot, siirron ajankohta, asianomaiset viranomaiset ja vastaanottavan viranomaisen osalta henkilöt, jotka ovat vastaanottaneet henkilötiedot ja joiden toimesta henkilötiedot on vastaanotettu. 2. Jäsenvaltioiden on säädettävä, että jokainen henkilötietojen muu kuin automaattinen siirto ja vastaanotto dokumentoidaan sen varmistamiseksi, että myöhemmin voidaan varmistaa siirron syyt, siirretyt tiedot, siirron ajankohta, asianomaiset viranomaiset ja vastaanottavan viranomaisen osalta henkilöt, jotka ovat vastaanottaneet henkilötiedot ja joiden toimesta henkilötiedot on vastaanotettu. 3. Henkilötietojen siirtoa ja vastaanottamista koskevat tiedot kirjannut tai dokumentoinut viranomainen ilmoittaa tästä viipymättä toimivaltaiselle valvontaviranomaiselle tämän pyynnöstä. Näitä tietoja saa käyttää ainoastaan tietosuojan valvomiseksi sekä asianmukaisen tietojenkäsittelyn ja tietojen eheyden ja tietoturvallisuuden varmistamiseksi. II jakso – muiden jäsenvaltioiden toimivaltaisilta viranomaisilta saatujen tai niiden saataville asettamien tietojen edelleenkäsittely, varsinkin siirtäminen edelleen 11 ARTIKLA TOISEN JÄSENVALTION TOIMIVALTAISELTA VIRANOMAISELTA SAATUJEN TAI SEN SAATAVILLE ASETTAMIEN HENKILÖTIETOJEN EDELLEENKÄSITTELY 1. Jäsenvaltioiden on säädettävä siitä, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saatuja tai tämän saataville asettamia henkilötietoja käsitellään edelleen tämän puitepäätöksen, ja erityisesti sen 4, 5 ja 6 artiklan, mukaisesti ainoastaan a) sitä tarkoitusta varten, jonka vuoksi ne on siirretty tai asetettu saataville tai b) jos se on tarpeen rikosten torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa varten taikka yleisen turvallisuuden tai henkilöä koskevien uhkien ehkäisemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut ja perusoikeudet syrjäyttävät edellä mainitut tarkoitukset. 2. Kyseisiä henkilötietoja saa käsitellä edelleen tämän artiklan 1 kohdan b alakohdassa mainittuja tarkoituksia varten ainoastaan henkilötiedot siirtäneen tai saataville asettaneen viranomaisen ennakkosuostumuksella. 3. Tämän artiklan 1 kohdan b alakohtaa ei saa soveltaa, jos Euroopan unionista tehdyn sopimuksen VI osaston nojalla annetussa lainsäädännössä erityisesti säädetään, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saatuja tai tämän saataville asettamia henkilötietoja saa käsitellä edelleen ainoastaan sitä tarkoitusta varten, jonka vuoksi ne siirrettiin tai asetettiin saataville. 12 artikla Siirto muille toimivaltaisille viranomaisille Jäsenvaltioiden on säädettävä, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saadut tai sen saataville asettamat henkilötiedot siirretään tai asetetaan jäsenvaltiossa toisen toimivaltaisen viranomaisen saataville ainoastaan, jos kaikki seuraavat vaatimukset täyttyvät: a) siirrosta tai saataville asettamisesta säädetään laissa, jossa joko selkeästi asetetaan sitä koskeva velvollisuus tai siihen annetaan valtuutus, b) siirto tai saataville asettaminen on tarpeen tiedot vastaanottaneen viranomaisen tai viranomaisen, jolle ne edelleen siirretään, lakisääteisten tehtävien suorittamista varten, c) siirto tai saataville asettaminen on tarpeen sitä tarkoitusta varten, jonka vuoksi henkilötiedot on siirretty tai asetettu saataville, tai rikosten torjuntaa, tutkintaa, selvittämistä tai syyteharkintaa varten taikka yleisen turvallisuuden tai henkilöä koskevien uhkien ehkäisemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset, d) jäsenvaltion toimivaltainen viranomainen, joka on siirtänyt tai asettanut kyseiset tiedot sen toimivaltaisen viranomaisen saataville, joka aikoo siirtää ne edelleen tai asettaa ne edelleen saataville, on antanut ennakkosuostumuksensa tietojen siirtämiselle edelleen tai asettamiselle edelleen saataville. 13 artiklaSiirto viranomaisille, jotka eivät ole toimivaltaisia Jäsenvaltioiden on säädettävä, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saadut tai sen saataville asettamat henkilötiedot siirretään jäsenvaltiossa edelleen viranomaisille, jotka eivät ole toimivaltaisia, ainoastaan erityistapauksissa ja jos kaikki seuraavat vaatimukset täyttyvät: a) siirrosta säädetään laissa, jossa joko selkeästi asetetaan sitä koskeva velvollisuus tai siihen annetaan valtuutus, ja b) siirto on tarpeen sitä tarkoitusta varten, jonka vuoksi kyseiset tiedot on siirretty tai asetettu saataville, tai rikosten torjuntaa, tutkintaa, selvittämistä tai syyteharkintaa varten taikka yleisen turvallisuuden tai henkilöä koskevien uhkien ehkäisemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset, tai on tarpeen, koska tiedot ovat ehdottoman tarpeelliset sille viranomaiselle, jolle ne edelleen siirretään, jotta se voi suorittaa oman lakisääteisen tehtävänsä ja mikäli sen toteuttaman tietojenkeruun tai –käsittelyn tavoite on yhteensopiva alkuperäisen käsittelyn kanssa eivätkä sen toimivaltaisen viranomaisen lakisääteiset velvollisuudet, joka aikoo kyseiset tiedot siirtää, tätä estä, tai on varmasti rekisteröidyn edun mukainen ja tämä on antanut suostumuksensa tai olosuhteet ovat sellaiset, että tällainen suostumus voidaan selvästi olettaa annetun. c) Jäsenvaltion toimivaltainen viranomainen, joka on siirtänyt tai asettanut kyseiset tiedot sen toimivaltaisen viranomaisen saataville, joka aikoo siirtää ne edelleen, on antanut ennakkosuostumuksensa tietojen siirtämiselle edelleen. 14 artiklaSiirto yksityisille tahoille Jäsenvaltioiden on, kansallisen rikosprosessioikeuden soveltamista rajoittamatta, säädettävä, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saadut tai sen saataville asettamat henkilötiedot voidaan siirtää jäsenvaltiossa edelleen yksityisille tahoille ainoastaan erityistapauksissa ja jos kaikki seuraavat vaatimukset täyttyvät: a) siirrosta säädetään laissa, jossa joko selkeästi asetetaan sitä koskeva velvollisuus tai siihen annetaan valtuutus, ja b) siirto on tarpeen sitä tarkoitusta varten, jonka vuoksi kyseiset tiedot on siirretty tai asetettu saataville, tai rikosten torjuntaa, tutkintaa, selvittämistä tai syyteharkintaa varten taikka yleisen turvallisuuden tai henkilöä koskevien uhkien ehkäisemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset, ja c) jäsenvaltion toimivaltainen viranomainen, joka on siirtänyt tai asettanut kyseiset tiedot sen toimivaltaisen viranomaisen saataville, joka aikoo siirtää ne edelleen, on antanut ennakkosuostumuksensa tietojen siirtämiselle edelleen yksityisille tahoille. 15 artiklaSiirto kolmansien maiden toimivaltaisille viranomaisille tai kansainvälisille elimille 1. Jäsenvaltioiden on säädettävä, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saatuja tai tämän saataville asettamia henkilötietoja ei siirretä edelleen kolmansien maiden toimivaltaisille viranomaisille eikä kansainvälisille elimille, paitsi jos siirto on tämän puitepäätöksen mukainen ja kaikki seuraavat vaatimukset täyttyvät. a) Siirrosta säädetään laissa, jossa joko selkeästi asetetaan sitä koskeva velvollisuus tai siihen annetaan valtuutus. b) Siirto on tarpeen sitä tarkoitusta varten, jonka vuoksi kyseiset tiedot on siirretty tai asetettu saataville, tai rikosten torjuntaa, tutkintaa, selvittämistä tai syyteharkintaa varten taikka yleisen turvallisuuden tai henkilöä koskevien uhkien ehkäisemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset. c) Toisen jäsenvaltion toimivaltainen viranomainen, joka on siirtänyt tai asettanut kyseiset tiedot sen toimivaltaisen viranomaisen saataville, joka aikoo siirtää ne edelleen, on antanut ennakkosuostumuksensa tietojen siirtämiselle edelleen. d) Se kolmas maa tai kansainvälinen elin, johon kyseiset tiedot siirretään, varmistaa tietosuojan riittävän tason. 2. Jäsenvaltioiden on varmistettava, että kolmannen maan tai kansainvälisen elimen tarjoaman tietosuojan tason riittävyys arvioidaan kaikki kutakin siirtoa tai siirtojen ryhmää koskevat olosuhteet huomioon ottaen. Arvioinnissa on tarkasteltava erityisesti seuraavia seikkoja: tietotyyppi, sen käsittelyn laajuus ja tarkoitus, jota varten tiedot siirretään, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa tai elimessä sovellettavat yleiset tai alakohtaiset oikeussäännöt, ammattisäännöt ja turvatoimet sekä se, että siirron vastaanottaja on säätänyt riittävistä suojatoimista. 3. Jäsenvaltioiden ja komission on tiedotettava toisilleen, jos ne arvioivat, että tietyssä kolmannessa maassa tai kansainvälisessä elimessä ei taata tietosuojan riittävää tasoa 2 kohdan tarkoittamassa merkityksessä. 4. Jos 16 artiklassa vahvistetun menettelyn mukaisesti todetaan, että tietyssä kolmannessa maassa tai kansainvälisessä elimessä ei taata tietosuojan riittävää tasoa 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet henkilötietojen siirtojen estämiseksi kyseiseen kolmanteen maahan tai kansainväliseen elimeen. 5. On mahdollista todeta 16 artiklassa vahvistetun menettelyn mukaisesti, että tietyssä kolmannessa maassa tai kansainvälisessä elimessä taataan tietosuojan riittävä taso 2 kohdan tarkoittamassa merkityksessä, mikä johtuu sen sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty henkilöiden yksityiselämän ja perusoikeuksien turvaamiseksi. 6. Toisen jäsenvaltion toimivaltaiselta viranomaiselta saadut tiedot voidaan poikkeuksellisesti siirtää edelleen kolmansien maiden toimivaltaisille viranomaisille tai kansainvälisille elimille, joissa ei voida taata tietosuojan riittävää tasoa, jos se on ehdottoman välttämätöntä jäsenvaltion keskeisten etujen turvaamiseksi taikka yleistä turvallisuutta tai henkilöä tai henkilöitä uhkaavan välittömän vakavan vaaran torjumiseksi. 16 artikla Komitea 1. Jos tähän artiklaan viitataan, komissiota avustaa komitea, joka muodostuu jäsenvaltioiden edustajista ja jonka puheenjohtajana on komission edustaja. 2. Komitea vahvistaa työjärjestyksensä puheenjohtajan ehdotuksesta Euroopan unionin virallisessa lehdessä julkaistun työjärjestyksen mallin pohjalta. 3. Komission edustaja tekee komitealle ehdotuksen tarvittavista toimenpiteistä. Komitea antaa lausuntonsa esityksestä määräajassa, jonka puheenjohtaja voi asettaa asian kiireellisyyden mukaan. Lausunto annetaan Euroopan yhteisön perustamissopimuksen 205 artiklan 2 kohdassa niiden päätösten edellytykseksi määrätyllä enemmistöllä, jotka neuvosto tekee komission ehdotuksesta. Komiteaan kuuluvien jäsenvaltioiden edustajien äänet painotetaan mainitussa artiklassa määrätyllä tavalla. Puheenjohtaja ei osallistu äänestyksiin. 4. Komissio päättää suunnitelluista toimenpiteistä, jos ne ovat komitean lausunnon mukaiset. Jos toimenpiteet eivät ole komitean lausunnon mukaisia tai jos lausuntoa ei ole annettu, komissio tekee viipymättä neuvostolle ehdotuksen toteutettavista toimenpiteistä ja antaa siitä tiedon Euroopan parlamentille. 5. Neuvosto voi päättää ehdotuksesta määräenemmistöllä kahden kuukauden kuluessa siitä, kun asia on tullut vireille neuvostossa. Jos neuvosto on tässä määräajassa ilmaissut määräenemmistöllä vastustavansa ehdotusta, komissio tarkastelee sitä uudelleen. Se voi tehdä neuvostolle muutetun ehdotuksen, tehdä ehdotuksensa uudelleen tai antaa säädösehdotuksen. Jos neuvosto ei ole tässä määräajassa antanut ehdotettua täytäntöönpanosäädöstä eikä ilmoittanut vastustavansa ehdotusta täytäntöönpanotoimenpiteiksi, komissio antaa ehdotetun täytäntöönpanosäädöksen. 17 artiklaPoikkeukset 12, 13, 14 ja 15 artiklan säännöksistä Edellä 12, 13, 14 ja 15 artiklaa ei saa soveltaa, jos Euroopan unionista tehdyn sopimuksen VI osaston nojalla annetussa lainsäädännössä erityisesti säädetään, että toisen jäsenvaltion toimivaltaiselta viranomaiselta saatuja tai tämän saataville asettamia henkilötietoja ei saa siirtää edelleen tai saa siirtää edelleen ainoastaan tietyin edellytyksin. 18 artiklaToimivaltaisen viranomaisen tietopyyntö Jäsenvaltioiden on säädettävä, että toimivaltaiselle viranomaiselle, jolta henkilötiedot saatiin tai joka asetti ne saataville, ilmoitetaan pyynnöstä mainittujen tietojen edelleenkäsittelystä ja sen tuloksista. IV LUKUREKISTERÖIDYN OIKEUDET 19 artiklaTiedonsaantioikeus kerättäessä tietoja rekisteröidyltä niin, että hän on siitä tietoinen, 1. Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän tai hänen edustajansa on toimitettava kustannuksitta rekisteröidylle, jolta kerätään häntä itseään koskevia henkilötietoja niin, että hän on siitä tietoinen, vähintään jäljempänä esitetyt tiedot, paitsi jos hänellä jo ne on: a) rekisterinpitäjä ja hänen mahdollisen edustajansa henkilöllisyys, b) sen tietojenkäsittelyn tarkoitus, johon tiedot on tarkoitettu, c) kaikenlaiset lisätiedot, kuten - käsittelyn oikeusperusta, - tietojen vastaanottajat tai vastaanottajaryhmät, - tieto sitä, onko kysymyksiin vastaaminen tai muu yhteistyö pakollista vai vapaaehtoista, sekä vastaamatta jättämisen tai muusta yhteistyöstä kieltäytymisen mahdolliset seuraukset, - tieto henkilön oikeudesta saada itseään koskevia tietoja ja oikaista niitä, siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tiedot kerätään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. 2. Rekisterinpitäjä saa kieltäytyä 1 kohdassa tarkoitettujen tietojen antamisesta tai rajoittaa niiden antamista ainoastaan, jos se on tarpeen a) jotta rekisterinpitäjä voi suorittaa lakisääteiset tehtävänsä asianmukaisesti, b) jottei hankaloiteta vireillä olevaa tutkintaa, tiedusteluja tai oikeudenkäyntimenettelyjä taikka toimivaltaisten viranomaisten lakisääteisten tehtävien suorittamista, c) yleisen turvallisuuden ja yleisen järjestyksen turvaamiseksi jäsenvaltiossa, d) kolmansien oikeuksien ja vapauksien suojelemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset. 3. Jos rekisterinpitäjä kieltäytyy 1 kohdassa tarkoitettujen tietojen antamisesta tai rajoittaa niiden antamista, sen on ilmoitettava rekisteröidylle, että hän voi valittaa toimivaltaiseen valvontaviranomaiseen, muiden oikeussuojakeinojen käyttöä ja kansallisen rikosprosessin soveltamista rajoittamatta. 4. Perusteluja sille, miksi rekisterinpitäjä kieltäytyy 2 kohdan nojalla antamasta tietoja tai rajoittaa niiden antamista, ei tarvitse esittää, jos se vaikuttaa haitallisesti kieltäytymisen tarkoitukseen. Tällaisessa tapauksessa rekisterinpitäjän on ilmoitettava rekisteröidylle, että hän voi valittaa toimivaltaiseen valvontaviranomaiseen, muiden oikeussuojakeinojen käyttöä ja kansallisen rikosprosessin soveltamista rajoittamatta. Jos rekisteröity valittaa valvontaviranomaiseen, valvontaviranomaisen on tutkittava valitus. Valvontaviranomainen ilmoittaa hänelle valitusta tutkiessaan ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja jos näin ei ole, onko tarpeelliset oikaisut tehty. 20 artikla Tiedonsaantioikeus silloin kun tietoja ei ole saatu rekisteröidyltä tai ne on saatu häneltä hänen tietämättään 1. Silloin kun tietoja ei ole saatu rekisteröidyltä itseltään tai ne on saatu häneltä hänen tietämättään tai niin, ettei hän ole tiennyt itseään koskevia tietoja kerättävän, jäsenvaltioiden on säädettävä, että rekisterinpitäjän tai hänen edustajansa on henkilötietoja rekisteröitäessä tai, jos tietoja aiotaan luovuttaa kolmannelle, kohtuullisessa ajassa siitä, kun tietoja ensi kerran luovutetaan, toimitettava kustannuksitta rekisteröidylle vähintään jäljempänä esitetyt tiedot, paitsi jos hänellä jo ne on tai jos tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa: a) rekisterinpitäjä ja hänen mahdollisen edustajansa henkilöllisyys, b) tietojenkäsittelyn tarkoitukset, c) kaikenlaiset lisätiedot, kuten - käsittelyn oikeusperusta, - kyseessä olevat tietoryhmät, - tietojen vastaanottajat tai vastaanottajaryhmät, - tieto siitä, onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikaista niitä, siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tietoja käsitellään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. 2. Rekisterinpitäjän ei tarvitse toimittaa 1 kohdassa tarkoitettuja tietoja, jos se on tarpeen a) jotta rekisterinpitäjä voi suorittaa lakisääteiset tehtävänsä asianmukaisesti, b) jottei hankaloiteta vireillä olevaa tutkintaa, tiedusteluja tai oikeudenkäyntimenettelyjä taikka toimivaltaisten viranomaisten lakisääteisten tehtävien suorittamista, c) yleisen turvallisuuden ja yleisen järjestyksen turvaamiseksi jäsenvaltiossa, d) kolmansien oikeuksien ja vapauksien suojelemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset. 21 artiklaOikeus tietojen saantiin, oikaisuun, poistamiseen tai suojaamiseen 1. Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä a) vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia - vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä tietoryhmistä, käsittelyn oikeusperustasta ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot on luovutettu, - käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot, b) tapauskohtaisesti, sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän puitedirektiivin mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi, c) ilmoitus kolmansille, joille tietoja on luovutettu, kaikenlaisista b kohdan mukaisesti tehdyistä oikaisuista, poistamisista tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa. 2. Rekisterinpitäjä voi kieltäytyä kaikista toimista, joihin rekisteröidyllä on 1 kohdan mukaisesti oikeus, jos se on tarpeen a) jotta rekisterinpitäjä voi suorittaa lakisääteiset tehtävänsä asianmukaisesti, b) jottei hankaloiteta vireillä olevaa tutkintaa, tiedusteluja tai oikeudenkäyntimenettelyjä taikka toimivaltaisten viranomaisten lakisääteisten tehtävien suorittamista, c) yleisen turvallisuuden ja yleisen järjestyksen turvaamiseksi jäsenvaltiossa, d) kolmansien oikeuksien ja vapauksien suojelemiseksi, paitsi milloin rekisteröidyn suojaa tarvitsevat edut tai perusoikeudet syrjäyttävät edellä mainitut tarkoitukset. 3. Rekisterinpitäjän on ilmoitettava kirjallisesti, jos se kieltäytyy noudattamasta 1 kohdassa tarkoitettuja oikeuksia tai rajoittaa niitä. Jos rekisterinpitäjä kieltäytyy noudattamasta 1 kohdassa tarkoitettuja oikeuksia tai rajoittaa niitä, sen on ilmoitettava rekisteröidylle, että hän voi valittaa toimivaltaiseen valvontaviranomaiseen, muiden oikeussuojakeinojen käyttöä ja kansallisen rikosprosessin soveltamista rajoittamatta. 4. Rekisterinpitäjän ei tarvitse esittää rekisteröidylle perusteluja 2 kohdan mukaisesta kieltäytymisestä, jos se vaikuttaa haitallisesti kieltäytymisen tarkoitukseen. Tällaisessa tapauksessa rekisterinpitäjän on ilmoitettava rekisteröidylle, että hän voi valittaa toimivaltaiseen valvontaviranomaiseen, muiden oikeussuojakeinojen käyttöä ja kansallisen rikosprosessin soveltamista rajoittamatta. Jos rekisteröity valittaa valvontaviranomaiseen, valvontaviranomaisen on tutkittava valitus. Valvontaviranomainen ilmoittaa hänelle valitusta tutkiessaan ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja jos näin ei ole, onko tarpeelliset oikaisut tehty. 22 artiklaTiedottaminen kolmansille tietojen oikaisuista, suojaamisista tai poistamisista Jäsenvaltioiden on säädettävä tarpeellisten teknisten toimenpiteiden toteuttamisesta sen varmistamiseksi, että rekisterinpitäjän oikaistessa, suojatessa tai poistaessa henkilötietoja pyynnöstä järjestelmä tuottaa automaattisesti luettelon näiden tietojen toimittajista ja vastaanottajista. Rekisterinpitäjän on varmistettava, että luettelossa oleville tahoille ilmoitetaan henkilötietoihin tehdyistä muutoksista. V LUKUKäsittelyn luottamuksellisuus ja turvallisuus 23 artiklaLuottamuksellisuus Kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, mukaan lukien käsittelijä itse, jolla on pääsy henkilötietoihin, ei saa käsitellä niitä muuten kuin rekisterinpitäjän ohjeiden mukaisesti, paitsi lain nojalla. Kaikkia henkilöitä, jotka työskentelevät jäsenvaltion toimivaltaisessa viranomaisessa tai sen kanssa, sitovat tiukat luottamuksellisuutta koskevat säännöt. 24 artiklaTurvallisuus 1. Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti jos käsittely muodostuu tietojen siirtämisestä verkossa tai asettamisesta saataville, niin että niihin myönnetään suora pääsy, sekä kaikelta muulta laittomalta käsittelyltä ottaen huomioon erityisesti käsittelyn riskit ja suojattavien tietojen luonteen. Ottaen huomioon kehityksen taso ja toimenpiteiden kustannukset on taattava asianmukainen turvallisuuden taso suhteessa käsittelyn riskeihin ja suojattavien tietojen luonteeseen. Toimenpiteet katsotaan tarpeellisiksi ainoastaan, jos niiden aiheuttamat kustannukset eivät ole suhteettoman suuret niissä tarkoitettuun suojan tavoitteeseen. 2. Kunkin jäsenvaltion on toteutettava automaattista tietojenkäsittelyä koskevat toimenpiteet, joiden tarkoituksena on a) kieltää asiaan kuulumattomilta henkilöiltä henkilötietojen käsittelyyn käytettävien laitteiden käyttö (laitteille pääsyn valvonta) b) estää asiaankuulumattomia henkilöitä lukemasta, jäljentämästä, muuttamasta ja poistamasta tietoja ja tietovälineitä (tietojen tallennusmuotojen valvonta) c) estää tietojen luvaton tallennus järjestelmään sekä säilytettyjen henkilötietojen luvaton käyttö, muuttaminen tai poistaminen (tietojen tallentamisen valvonta) d) estää asiaankuulumattomia henkilöitä käyttämästä atk-järjestelmää tietojen välittämislaitteiden avulla (käytön valvonta) e) varmistaa, että automaattisen tietojenkäsittelyjärjestelmän käyttöön oikeutetut henkilöt pääsevät ainoastaan niiden toimivaltaan kuuluviin tietoihin (pääsyn valvonta) f) varmistaa, että on mahdollista tarkistaa ja todeta, mille elimille henkilötietoja on välitetty tai voidaan välittää tai asettaa saataville tietojen välittämislaitteiden avulla (tiedonvälityksen valvonta) g) varmistaa, että on mahdollista tarkistaa ja todeta jälkikäteen, mitä henkilötietoja on lisätty automaattisen tietojenkäsittelyn järjestelmiin ja millä hetkellä ja kenen toimesta niitä on lisätty (lisäämisen valvonta) h) estää asiaankuulumattomia henkilöitä lukemasta, jäljentämästä, muuttamasta tai poistamasta henkilötietoja henkilötietojen siirtojen aikana tai tietovälineitä siirrettäessä (kuljetuksen valvonta) i) varmistaa, että häiriön tapahtuessa käytetyt järjestelmät voidaan välittömästi korjata (toimintakunnon palauttaminen) j) varmistaa, että järjestelmän toiminta ei ole viallinen, että toimintavirheistä ilmoitetaan välittömästi (luotettavuus) ja että virhe toimintajärjestelmässä ei voi väärentää säilytettyjä tietoja (väärentämättömyys). 3. Jäsenvaltioiden on säädettävä, että jos käsittely suoritetaan rekisterinpitäjän lukuun, tämän on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet käsittelyyn liittyvistä teknisistä ja organisatorisista turvatoimista, ja huolehdittava siitä, että nämä toimet toteutetaan. 4. Kun käsittely suoritetaan rekisterinpitäjän lukuun, käsittelyä on säänneltävä sopimuksella tai oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti säädetään siitä, että - käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti, - käsittelijä on lisäksi velvollinen noudattamaan 1 ja 2 kohdassa tarkoitettuja velvoitteita sellaisina kuin ne on määritelty sen jäsenvaltion lainsäädännössä, jonne käsittelijä on sijoittautunut. 5. Todisteiden säilyttämiseksi tietojen suojaamiseen ja 1 kohdassa tarkoitettuja toimenpiteitä koskeviin vaatimuksiin liittyvien sopimusten tai oikeudellisten asiakirjojen osien on oltava kirjallisia tai muussa vastaavassa muodossa. 25 artiklaRekisteri 1. Jäsenvaltioiden on säädettävä, että jokainen rekisterinpitäjä pitää rekisteriä kaikista käsittelyistä tai käsittelyjen sarjoista, joilla on sama tarkoitus tai useita toisiinsa liittyviä tarkoituksia. Rekisterin on sisällettävä seuraavat tiedot: a) rekisterinpitäjän nimi ja osoite ja tarvittaessa hänen edustajansa nimi ja osoite, b) käsittelyn tarkoitus tai tarkoitukset, c) kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä, d) sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu, e) vastaanottajat tai vastaanottajaryhmät, joille tietoja mahdollisesti luovutetaan, f) suunnitellut tietojensiirrot kolmansiin maihin, g) yleiskuvaus, jonka perusteella voidaan alustavasti arvioida 24 artiklan mukaisen käsittelyn turvallisuuden varmistamiseksi toteutettavien toimenpiteiden asianmukaisuutta. 2. Jäsenvaltioiden on säädettävä yksityiskohtaisemmin edellytyksistä ja menettelystä, joita on noudatettava ilmoitettaessa valvontaviranomaiselle 1 kohdassa tarkoitetut tiedot. 26 artiklaEnnakkotarkastus 1. Jäsenvaltioiden on määriteltävä käsittelyt, joista saattaa aiheutua erityisiä riskejä rekisteröityjen oikeuksien ja vapauksien suhteen, ja valvottava, että tällaiset käsittelyt tutkitaan ennen niiden toteuttamista. 2. Valvontaviranomaiset tekevät tällaisia ennakkotarkastuksia sen jälkeen, kun ne ovat saaneet ilmoituksen rekisterinpitäjältä tai tietojen suojaamisesta vastaavalta henkilöltä, jonka on epäselvissä tapauksissa neuvoteltava valvontaviranomaisen kanssa. 3. Jäsenvaltiot voivat myös tehdä tällaisen tarkastuksen joko kansallisen parlamentin toimenpiteen tai tällaiseen lainsäädännölliseen toimenpiteeseen perustuvan toimenpiteen valmistelun yhteydessä, jotka määrittävät käsittelyn luonteen ja vahvistavat asianmukaiset suojatoimet. VI LUKU OIKEUSSUOJAKEINOT JA VASTUU 27 artikla Oikeussuojakeinot Jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoa, jos kyseessä olevaan käsittelyyn sovellettavien tämän puitepäätöksen nojalla annettujen kansallisten säännösten mukaisesti hänelle kuuluvia oikeuksia loukataan, sanotun kuitenkaan rajoittamatta sellaisen hallinnollisen keinon soveltamista, johon voidaan turvautua, muun muassa 30 artiklassa tarkoitetun valvontaviranomaisen avulla ennen asian vireillepanoa oikeudessa. 28 artiklaVastuu 1. Jäsenvaltioiden on säädettävä siitä, että jos kenelle tahansa henkilölle aiheutuu vahinkoa laittomasta käsittelystä tai minkä tahansa toiminnan yhteensopimattomuudesta tämän puitepäätöksen mukaisesti toteutettujen kansallisten toimenpiteiden kanssa, hänellä on oikeus saada rekisterinpitäjältä korvaus aiheutuneesta vahingosta. Rekisterinpitäjä voidaan vapauttaa tästä vastuusta osittain tai kokonaan, jos hän osoittaa, ettei hän ole vastuussa vahingon aiheuttaneesta tapahtumasta. 2. Kuitenkin se toimivaltainen viranomainen, joka sai henkilötietoja toisen jäsenvaltion toimivaltaiselta viranomaiselta, on vastuussa vahingonkärsijään nähden vahingoista, joita on aiheutunut virheellisten tai vanhentuneiden tietojen käytöstä. Se ei voi kiistää vastuutaan sillä perusteella, että se sai virheellisiä tai vanhentuneita tietoja toiselta viranomaiselta. Jos vastaanottava viranomainen määrätään vahingonkorvaukseen, koska se on käyttänyt virheellisiä tietoja, jotka toisen jäsenvaltion toimivaltainen viranomainen siirsi sille tai asetti sen saataville, tämän jälkimmäisen viranomaisen on korvattava täysimääräisesti vastaanottavan viranomaisen maksama vahingonkorvaus. 29 artiklaSeuraamukset 1. Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet tämän puitepäätöksen säännösten täysimääräisen soveltamisen varmistamiseksi ja määriteltävä erityisesti tehokkaat, oikeasuhteiset ja varoittavat seuraamukset, joita sovelletaan tämän puitepäätöksen mukaisesti toteutettujen säännösten rikkomistapauksissa. 2. Jäsenvaltioiden on säädettävä, että tahallisiin rikoksiin, jotka merkitsevät tämän puitepäätöksen mukaisesti toteutettujen säännösten, erityisesti käsittelyn luottamuksellisuuden ja turvallisuuden varmistamiseksi toteutettujen säännösten, vakavaa rikkomista, sovelletaan tehokkaita, oikeasuhteisia ja varoittavia rikosoikeudellisia seuraamuksia. VII LUKU VALVONTAVIRANOMAINEN JA TIETOSUOJATYÖRYHMÄ 30 artikla Valvontaviranomainen 1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän puitepäätöksen mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen. Näiden viranomaisten on hoidettava tehtäviään itsenäisesti. 2. Kunkin jäsenvaltion on säädettävä siitä, että valvontaviranomaisia kuullaan laadittaessa lainsäädännöllisiä ja hallinnollisia toimenpiteitä, jotka koskevat henkilöiden oikeuksien ja vapauksien suojaamista rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa suoritettavassa henkilötietojen käsittelyssä. 3. Kullakin valvontaviranomaisella on erityisesti oltava: - tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot, - tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 26 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille, - valtuudet olla asianosaisena oikeudenkäynnissä, jos tämän puitepäätöksen mukaisesti toteutettuja kansallisia toimenpiteitä rikotaan, tai valtuudet saattaa nämä rikkomukset lainkäyttöviranomaisten tietoon. Valvontaviranomaisen päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen. 4. Kuka tahansa henkilö voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Kyseiselle henkilölle ilmoitetaan vaateen seurauksista. 5. Valvontaviranomaisen on laadittava kertomus toiminnastaan säännöllisin väliajoin. Kertomus julkaistaan. 6. Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan. 7. Valvontaviranomaisten on oltava yhteistyössä keskenään sekä Euroopan unionista tehdyn sopimuksen VI osaston nojalla perustettujen valvontaviranomaisten ja Euroopan tietosuojavaltuutetun kanssa siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja. 8. Jäsenvaltioiden on säädettävä siitä, että valvontaviranomaisten jäsenillä ja henkilöstöllä on myös toimintansa päättymisen jälkeen velvollisuus pitää salassa luottamukselliset tiedot. 9. Valvontaviranomaisen valtuudet eivät saa vaikuttaa oikeuslaitoksen riippumattomuuteen, eivätkä valvontaviranomaisen tekemät päätökset voi myöskään vaikuttaa oikeuslaitoksen lakisääteisten tehtävien hoitamiseen rikosoikeudellisissa menettelyissä. 31 artikla Henkilötietojen käsittelyn suojaa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa käsittelevä tietosuojatyöryhmä 1. Perustetaan henkilötietojen käsittelyn suojaa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa käsittelevä tietosuojatyöryhmä, jäljempänä ’tietosuojatyöryhmä’. Tietosuojatyöryhmä on luonteeltaan neuvoa-antava ja toiminnassaan itsenäinen. 2. Tietosuojatyöryhmä koostuu kunkin jäsenvaltion nimeämän valvontaviranomaisen tai -viranomaisten edustajasta, Euroopan tietosuojavaltuutetun edustajasta sekä komission edustajasta. Tietosuojatyöryhmän kunkin jäsenen nimeää se toimielin, viranomainen tai viranomaiset, jota jäsen edustaa. Jos jäsenvaltio on nimennyt useita valvontaviranomaisia, nämä nimeävät yhteisen edustajan. Euroopan unionista tehdyn sopimuksen VI osaston nojalla perustettujen yhteisten valvontaviranomaisten puheenjohtajilla on oikeus osallistua tai olla edustettuina tietosuojatyöryhmän kokouksissa. Islannin, Norjan ja Sveitsin nimeämillä valvontaviranomaisilla on oikeus olla edustettuina tietosuojatyöryhmän kokouksissa silloin, kun käsitellään Schengenin säännöstöön liittyviä asioita. 3. Tietosuojatyöryhmä tekee päätöksensä jäsenvaltioiden valvontaviranomaisten edustajien yksinkertaisella enemmistöllä. 4. Tietosuojatyöryhmä valitsee puheenjohtajansa. Puheenjohtajan toimikausi on kaksi vuotta. Hänet voidaan valita uudelleen. 5. Tietosuojatyöryhmän sihteeristötehtävistä huolehtii komissio. 6. Tietosuojatyöryhmä vahvistaa työjärjestyksensä. 7. Tietosuojatyöryhmä käsittelee asiat, jotka puheenjohtaja on merkinnyt asialistaan joko omasta aloitteestaan tai valvontaviranomaisten edustajan, komission, Euroopan tietosuojavaltuutetun tai yhteisten valvontaviranomaisten puheenjohtajien pyynnöstä. 32 artikla Tehtävät 1. Tietosuojatyöryhmän tehtävänä on a) tutkia kaikki tämän puitepäätöksen mukaisesti toteutettujen kansallisten toimenpiteiden soveltamista koskevat kysymykset toimenpiteiden yhdenmukaiseksi soveltamiseksi, b) antaa lausunto tietosuojan tasosta jäsenvaltioissa ja kolmansissa maissa sekä kansainvälisissä elimissä, varsinkin sen takaamiseksi, että henkilötiedoille, jotka siirretään tämän puitepäätöksen 15 artiklan mukaisesti kolmansiin maihin tai kansainvälisiin elimiin, turvataan näissä maissa ja elimissä riittävä tietosuojan taso, c) neuvoa komissiota ja jäsenvaltioita kaikissa ehdotetuissa tätä puitepäätöstä koskevissa muutoksissa, kaikissa lisätoimenpiteissä tai erityistoimenpiteissä luonnollisten henkilöiden oikeuksien ja vapauksien suojaamiseksi rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa suoritettavassa henkilötietojen käsittelyssä ja kaikissa muissa ehdotetuissa toimenpiteissä, jotka vaikuttavat kyseisiin oikeuksiin ja vapauksiin. 2. Jos tietosuojatyöryhmä toteaa, että jäsenvaltioiden lainsäädäntöjen ja menettelyjen välillä on eroja, jotka saatavat loukata henkilöiden tasapuolista tietosuojaa Euroopan unionissa, sen on ilmoitettava asiasta neuvostolle ja komissiolle. 3. Tietosuojatyöryhmä voi omasta aloitteestaan taikka komission tai neuvoston aloitteesta esittää suosituksia kaikissa kysymyksissä, jotka liittyvät henkilöiden tietosuojaan käsiteltäessä henkilötietoja rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa Euroopan unionissa. 4. Tietosuojatyöryhmän lausunnot ja suositukset toimitetaan neuvostolle, komissiolle, Euroopan parlamentille ja 16 artiklassa tarkoitetulle komitealle. 5. Komissio ilmoittaa jäsenvaltioiden toimittamien tietojen perusteella tietosuojatyöryhmälle toimista, jotka se on toteuttanut työryhmän lausuntojen ja suositusten perusteella. Tätä varten se laatii kertomuksen, joka toimitetaan myös Euroopan parlamentille ja neuvostolle. Kertomus julkaistaan. Jäsenvaltioiden on ilmoitettava tietosuojatyöryhmälle kaikista 1 kohdan nojalla toteuttamistaan toimista. 6. Tietosuojatyöryhmä laatii vuosittain kertomuksen luonnollisten henkilöiden tietosuojan tilanteesta rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa suoritettavassa henkilötietojen käsittelyssä Euroopan unionissa ja kolmansissa maissa; kertomus toimitetaan komissiolle, Euroopan parlamentille ja neuvostolle. Kertomus julkaistaan. VIII LUKULoppusäännökset 33 artiklaSchengenin yleissopimuksen muuttaminen Euroopan unionista tehdyn sopimuksen soveltamisalaan kuuluvissa asioissa tämä puitepäätös korvaa Schengenin yleissopimuksen 126–130 artiklan. 34 artiklaSuhde muihin henkilötietojen käsittelyä ja tietosuojaa koskeviin välineisiin 1. Tämä puitepäätös korvaa keskinäistä oikeusapua rikosasioissa Euroopan unionin jäsenvaltioiden välillä koskevan yleissopimuksen 23 artiklan. 2. Kaikki viittaukset 28 päivänä tammikuuta 1981 allekirjoitettuun Euroopan neuvoston yleissopimukseen N:o 108 yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä on ymmärrettävä viittauksiksi tähän puitepäätökseen. 35 artiklaTäytäntöönpano 1. Jäsenvaltioiden on toteutettava tämän puitepäätöksen noudattamisen edellyttämät toimenpiteet viimeistään 31 päivänä joulukuuta 2006. 2. Jäsenvaltioiden on toimitettava neuvoston pääsihteeristölle ja komissiolle edellä mainittuun päivään mennessä kirjallisina ne säännökset, joilla jäsenvaltioiden tästä puitepäätöksestä aiheutuvat velvoitteet saatetaan osaksi kansallista lainsäädäntöä, sekä ilmoitus 29 artiklassa tarkoitetun valvontaviranomaisen tai –viranomaisten nimeämisestä. Neuvosto arvioi 31 päivään joulukuuta 2007 mennessä näiden tietojen ja komission kirjallisen kertomuksen perusteella, ovatko jäsenvaltiot toteuttaneet tarvittavat toimenpiteet tämän puitepäätöksen noudattamiseksi. 36 artiklaVoimaantulo Tämä puitepäätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä . Tehty Brysselissä Neuvoston puolesta Puheenjohtaja LIITE SÄÄDÖKSEEN LIITTYVÄ RAHOITUSSELVITYS Politiikan ala(t): Oikeus- ja sisäasiat Toiminnan ala(t): 18 06 – Todellisen eurooppalaisen oikeusalueen luominen rikos- ja siviilioikeudellisissa asioissa | TOIMENPITEEN NIMI: EHDOTUS NEUVOSTON PUITEPÄÄTÖKSEKSI POLIISI- JA OIKEUDELLISESSA YHTEISTYÖSSÄ KÄSITELTÄVIEN HENKILÖTIETOJEN SUOJAAMISESTA | 1. BUDJETTIKOHTA/-KOHDAT Ei sovellettavissa 2. NUMEROTIEDOT 2.1. Toimenpiteen kokonaismäärärahat (B-osa): milj. euroa maksusitoumusmäärärahoina Ei sovellettavissa 2.2. Toimenpiteen soveltamisaika: vuodesta 2006 alkaen 2.3. Monivuotinen kokonaismenoarvio: a) Maksusitoumusmäärärahojen (MSM)/maksumäärärahojen (MM) aikataulu (rahoitustuki) (vrt. kohta 6.1.1) miljoonaa euroa (kolmen desimaalin tarkkuudella) [2006] | [2007] | [2008] | [2009] | [2010] | [2011] | Yhteensä | Sitoumukset | Maksut | b) Tekninen ja hallinnollinen apu ja tukimenot (vrt. kohta 6.1.2) Sitoumukset | Maksut | a+b yhteensä | Sitoumukset | Maksut | c) Henkilöstö- ja muiden hallintomenojen kokonaisvaikutus rahoitukseen (vrt. kohdat 7.2 ja 7.3) Maksusitoumus-määrärahat / maksumäärärahat | 0,389 | 0,389 | 0,389 | 0,389 | 0,389 | 0,389 | 2,334 | a+b+c yhteensä | Sitoumukset | Maksut | 2.4. Yhteensopivuus ohjelmasuunnitelman ja rahoitusnäkymien kanssa Ei sovellettavissa 2.5. Vaikutukset tuloihin Ehdotus ei vaikuta tuloihin. 3. BUDJETTITIEDOT Menolaji | Uusi | EFTA osallistuu | Ehdokasmaat osallistuvat | Rahoitusnä-kymien otsake | Ei-pakoll. | Ei-JM | - | - | - | - | 4. OIKEUSPERUSTA EU:sta tehdyn sopimuksen 30 ja 31 artikla sekä 34 artiklan 2 kohdan b alakohta 5. KUVAUS JA PERUSTELUT 5.1. Yhteisön tuen tarve 5.1.1. Tavoitteet Ehdotetulla puitepäätöksellä säädetään yhteisistä normeista, jotka koskevat toimivaltaisten viranomaisten Euroopan unionista tehdyn sopimuksen VI osastossa tarkoitetuissa toimissa (poliisi- ja oikeudellisessa yhteistyössä rikosasioissa) käsittelemien henkilötietojen suojaa. Riippumattomat julkiset valvontaviranomaiset valvovat tämän puitepäätöksen nojalla annettujen kansallisten säännösten soveltamista jäsenvaltioissa. EU:n tasolla perustetaan henkilötietojen käsittelyn suojaa rikosten torjunta-, tutkinta-, selvittämis- ja syyteharkinta-asioissa käsittelevä tietosuojatyöryhmä, jäljempänä ’tietosuojatyöryhmä’. Tietosuojatyöryhmä koostuu kunkin jäsenvaltion nimeämän valvontaviranomaisen tai -viranomaisten edustajasta, Euroopan tietosuojavaltuutetun edustajasta sekä komission edustajasta. Tietosuojatyöryhmä tutkii kaikki puitepäätöksen mukaisesti toteutettujen kansallisten toimenpiteiden soveltamista koskevat kysymykset toimenpiteiden yhdenmukaiseksi soveltamiseksi. Se antaa lausuntoja tietosuojan tasosta jäsenvaltioissa ja kolmansissa maissa ja neuvoo komissiota ja jäsenvaltioita kaikissa ehdotetuissa tätä puitepäätöstä koskevissa muutoksissa sekä kaikissa lisä- tai erityistoimenpiteissä perusoikeuksien suojaamiseksi. Lisäksi puitepäätöksen 16 artiklassa tarkoitettu komitea, joka muodostuu jäsenvaltioiden edustajista ja jonka puheenjohtajana on komission edustaja, avustaa tarvittaessa komissiota kolmannen maan tarjoaman tietosuojan tason arvioimisessa. 5.1.2. Ennakkoarviointiin liittyvät toimet Jäsenvaltioiden sekä Islannin, Norjan ja Sveitsin hallitusten ja riippumattomien valvontaviranomaisten, Euroopan tietosuojavaltuutetun, Europolin ja Eurojustin edustajia kuultiin asiasta. Ottaen erityisesti huomioon eri näkemykset komissio ehdottaa edellä mainitun tietosuojatyöryhmän perustamista. Arvioidakseen tämän toimenpiteen mahdollisesti aiheuttamat kustannukset komissio varmisti direktiivin 95/46/EY 29 artiklalla perustetun tietosuojatyöryhmän kustannukset (matkakustannukset, kokousten valmistelusta ja järjestämisestä aiheutuneet sihteeristökustannukset). 5.2. Suunnitellut toimet ja yhteisön rahoitustukea koskevat yksityiskohtaiset säännöt Edellä mainittu tietosuojatyöryhmä kokoontuu todennäköisesti säännöllisesti noin viisi kertaa vuodessa. Edellä 16 artiklassa tarkoitettu komitea kokoontuu aina tarvittaessa, ehkä myös viisi kertaa vuodessa. Yhtä edustajaa kutakin jäsenvaltiota ja Schengen-valtiota (Islanti ja Norja) kohden koskevat kustannukset korvataan. Joitakin suuntaviivoja voidaan saada yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 29 ja 31 artiklan nojalla perustetuilta ryhmiltä. 5.3. Täytäntöönpanomenetelmät Komissio järjestää kaikki kokoukset ja isännöi niitä. Komissio tarjoaa sihteeristöpalveluja edellä mainituille tietosuojatyöryhmälle ja komitealle muun muassa niiden kokousten valmisteluun ja järjestämiseen. 6. TALOUDELLISET VAIKUTUKSET 6.1. Kokonaisrahoitusvaikutus, B-osa (koko ohjelmakaudeksi) 6.1.1. Rahoitustuki Ei sovellettavissa 6.1.2. Tekninen ja hallinnollinen apu, tukimenot ja tietotekniikkakustannukset (maksusitoumusmäärärahat) Ei sovellettavissa 6.2. Toimenpidekohtainen kustannuslaskelma, B-osa (koko ohjelmakaudeksi) Ei sovellettavissa 7. VAIKUTUKSET HENKILÖSTÖÖN JA HALLINTOMENOIHIN Vaikutukset henkilöstöön ja hallintomenoihin katetaan vuotuisessa määrärahajaottelussa vastuupääosaston voimavarojen kohdentamisen yhteydessä. Toimien jakaminen riippuu tehtävien ja voimavarojen jakamisesta rahoitusnäkymien 2007–2013 yhteydessä. 7.1. Vaikutus henkilöstöön Toimen laji | Toimenpiteen hallinnointiin tarvittava nykyinen ja/tai uusi henkilöstö | Yhteensä | Tehtävän kuvaus | Vakinaisten toimien määrä | Väliaikaisten toimien määrä | Virkamiehet tai väliaikainen henkilöstö | A B C | 0,25 A 0,50 B 1,00 C | 0,25A0,50B 1,00C | sihteeristöpalvelut tietosuojatyöryhmän ja komitean kokousten valmistelu | Muu henkilöstö | Yhteensä | 7.2. Henkilöstön taloudellinen kokonaisvaikutus Laji | Määrä euroina | Laskutapa * | Virkamiehet Väliaikaiset toimihenkilöt | 1. vuosi:189 000 | 1 X 108 000 0,5 X 108 000 0,25 X 108 000 = 189 000 | Muu henkilöstö (budjettikohta ilmoitettava) | Yhteensä | 189 000 | Määrät vastaavat 12 kuukauden kokonaismenoja. 7.3. Muut toimesta johtuvat hallintomenot Budjettikohta (numero ja nimike) | Määrä euroina | Laskutapa | Kokonaismääräraha (osasto A7) A0701 – Virkamatkat A07030 – Kokoukset A07031 – Pakolliset komiteat A07032 – Ei-pakolliset komiteat A07040 – Konferenssit A0705 – Selvitykset ja kuulemiset Muut menot (eriteltävä) | 200 000 | 10 kokousta * 27 * 740 euroa | Tietojärjestelmät (A-5001/A-4300) | Muut menot – A-osa (eriteltävä) | Yhteensä | 200 000 | Määrät vastaavat 12 kuukauden kokonaismenoja. Ilmoitetaan, millaisesta komiteasta on kysymys ja mihin ryhmään se kuuluu. I. Yhteensä vuodessa (7.2+7.3) II. Toimen kesto III. Toimen kokonaiskustannukset (I x II) | 389 000 euroa | 8. SEURANTA JA ARVIOINTI 8.1. Seurantajärjestelmä Tietosuojatyöryhmä ja komitea antavat työjärjestyksensä, myös luottamuksellisuutta koskevat säännöt. Euroopan parlamentille tiedotetaan niiden toiminnasta samalla tavalla kuin mitä on säädetty menettelystä komissiolle siirrettyä täytäntöönpanovaltaa käytettäessä 28 päivänä kesäkuuta 1999 tehdyn neuvoston päätöksen 1999/468/EY 7 artiklassa (EYVL L 184, 17.7.1999, s. 23). 8.2. Arvioinnin yksityiskohtaiset säännöt ja arviointijaksot Ei sovellettavissa 9. VÄÄRINKÄYTÖSTEN VASTAISET TOIMENPITEET Ei sovellettavissa XXX [1] EUVL C 53, 3.3.2005, s. 1. [2] EUVL C 198, 12.8.2005, s. 1. [3] KOM(2005) 184 lopullinen, Bryssel 10.5.2005. [4] Neuvoston valmisteluasiakirja 11158/1/05 REV 1 JAI 255. [5] Neuvoston valmisteluasiakirja 8321/98 JAI 15. [6] EYVL C 19, 23.1.1999, s. 1. [7] Neuvoston valmisteluasiakirja 6316/2/05 REV 2 JAI 13. [8] Neuvoston 2514. istunto, oikeus- ja sisäasiat, Luxemburg, 5.–6.6.2003, neuvoston asiakirja 9845/03 (Presse 150), s. 32. [9] Euroopan tietosuojaviranomaisten 25.–26. huhtikuuta 2005 Krakovassa pitämässä kevätkokouksessa hyväksytty lainvalvontatoimintaa ja tietojenvaihtoa EU:ssa koskeva julistus ja kannanotto (Declaration and Position paper on law enforcement and information exchange in the EU). [10] Euroopan parlamentin 1. suositus Eurooppa-neuvostolle ja neuvostolle terrorismirikoksiin liittyvästä tietojenvaihdosta ja yhteistyöstä (2005/2046(INI)), annettu 7. kesäkuuta 2005. [11] EYVL C 364, 18.12.2000, s. 1, 10. [12] EYVL L 281, 23.11.1995, s. 31. [13] EYVL L 239, 22.9.2000, s. 19. [14] EYVL C 316, 27.11.1995, s. 2. [15] EYVL C 88, 30.3.1999, s. 1. [16] EYVL L 63, 6.3.2002, s. 1. [17] EUVL C 68, 19.3.2005, s. 1. [18] EYVL C 316, 27.11.1995, s. 34. [19] EYVL C 197, 12.7.2000, s. 1, 15. [20] KOM(2005) 230 lopullinen. [21] KOM(2005) 236 lopullinen ja KOM(2005) 237 lopullinen. [22] KOM(2005) 438 lopullinen, 21.9.2005. [23] … [24] … [25] EUVL C 198, 12.8.2005, s. 1. [26] EYVL L 281, 23.11.1995, s. 31. [27] EYVL L 8, 12.1.2001, s. 1. [28] EYVL L 201, 31.7.2001, s. 37. [29] EYVL L 239, 22.9.2000, s. 19. [30] EUVL L 69, 16.3.2005, s. 67. [31] EYVL C 197, 12.7.2000, s. 3. [32] EYVL L 131, 1.6.2000, s. 43. [33] EYVL L 176, 10.7.1999, s. 31. [34] EUVL L 368, 15.12.2004, s. 26.