P7_TA(2014)0212

Yksilöiden suojelu henkilötietojen käsittelyssä ***I

Euroopan parlamentin lainsäädäntöpäätöslauselma 12. maaliskuuta 2014 ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Tavallinen lainsäätämisjärjestys: ensimmäinen käsittely)

(2017/C 378/55)

Euroopan parlamentti, joka

(1) EUVL C 229, 31.7.2012, s. 90.

(2) EUVL C 192, 30.6.2012, s. 7.

P7_TC1-COD(2012)0011

Euroopan parlamentin kanta, vahvistettu ensimmäisessä käsittelyssä 12. maaliskuuta 2014, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o …/2014 antamiseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan 2 kohdan ja 114 artiklan 1 kohdan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (1),

ovat kuulleet alueiden komiteaa,

ottavat huomioon Euroopan tietosuojavaltuutetun lausunnon (2),

noudattavat tavallista lainsäätämisjärjestystä (3),

sekä katsovat seuraavaa:

(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ”perusoikeuskirja”, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.

(2) Henkilötietojen käsittelyn on tarkoitus palvella ihmistä, minkä vuoksi niissä periaatteissa ja säännöissä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä, olisi henkilöiden kansalaisuudesta ja asuinpaikasta riippumatta otettava huomioon heidän perusoikeutensa ja -vapautensa ja erityisesti oikeus henkilötietojen suojaan. Henkilötietojen käsittelyn olisi tuettava vapauden, turvallisuuden ja oikeuden alueen ja talousunionin kehittämistä, taloudellista ja sosiaalista edistystä, talouksien lujittamista ja lähentämistä sisämarkkinoilla sekä yksilöiden hyvinvointia.

(3) Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (4) tarkoituksena on yhdenmukaistaa luonnollisten henkilöiden henkilötietojen käsittelyä koskevien perusoikeuksien ja -vapauksien suojelua ja taata henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä.

(4) Sisämarkkinoiden toiminnasta aiheutuva taloudellinen ja sosiaalinen yhdentyminen on huomattavasti lisännyt kansainvälisiä tiedonsiirtoja. Tietojenvaihto unionin taloudellisten, sosiaalisten, julkisten ja yksityisten toimijoiden kesken on lisääntynyt. Unionin lainsäädännössä jäsenvaltioiden viranomaisia kehotetaan toimimaan yhteistyössä ja vaihtamaan keskenään henkilötietoja, jotta ne voisivat täyttää velvollisuutensa tai suorittaa tehtäviä jonkin toisen jäsenvaltion viranomaisten puolesta.

(5) Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen käsittelyyn uusia haasteita. Tietoja jaetaan ja kerätään nyt valtavan paljon suuremmassa mittakaavassa. Teknologian kehityksen ansiosta sekä yksityiset yritykset että viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti. Myös yksityiset ihmiset saattavat yhä useammin henkilötietojaan julkisuuteen maailmanlaajuisesti. Teknologia on mullistanut sekä talouden että sosiaalisen elämän, ja sen vuoksi on edelleen helpotettava vapaata tiedonkulkua unionissa ja tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille samalla kun varmistetaan henkilötietojen korkeatasoinen suoja.

(6) Tämän kehityksen vuoksi unionissa on laadittava vahvempi ja johdonmukaisempi tietosuojakehys, jota tuetaan tehokkaalla täytäntöönpanolla, sillä on tärkeää rakentaa luottamusta, jonka pohjalta digitaalitalous voi kehittyä koko sisämarkkinoiden alueella. Yksilöiden olisi voitava valvoa omia tietojaan, ja oikeusvarmuutta ja luottamusta käytännön toiminnan sujuvuuteen olisi vahvistettava sekä yksilöiden että talouden toimijoiden ja viranomaisten kannalta.

(7) Direktiivin 95/46/EY tavoitteet ja periaatteet ovat edelleen pätevät, mutta sen avulla ei ole pystytty estämään henkilötietojen suojan täytäntöönpanon hajanaisuutta eri puolilla unionia eikä myöskään oikeudellista epävarmuutta tai sitä laajalle levinnyttä näkemystä, jonka mukaan erityisesti verkkoympäristössä toimimiseen liittyy yksilöiden suojelun kannalta huomattavia riskejä. Yksilön oikeuksiin ja vapauksiin ja erityisesti yksityisyyden suojaa henkilötietojen käsittelyssä koskevaan oikeuteen liittyvät eroavuudet jäsenvaltioiden välillä voivat estää henkilötietojen vapaan liikkuvuuden unionin alueella. Nämä eroavuudet voivat muodostua esteeksi taloudelliselle toiminnalle unionin tasolla, vääristää kilpailua ja estää viranomaisia suorittamasta unionin oikeuden mukaisia velvollisuuksiaan. Nämä suojelun tasossa ilmenevät eroavuudet johtuvat direktiivin 95/46/EY täytäntöönpanossa ja soveltamisessa esiintyvistä eroista.

(8) Jotta voitaisiin varmistaa yksilöiden yhdenmukainen ja korkeatasoinen suoja ja poistaa henkilötietojen liikkuvuuden esteet, yksilön oikeuksilla ja vapauksilla olisi oltava näiden tietojen käsittelyssä samantasoinen suoja kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa.

(9) Jotta henkilötietoja voidaan suojata tehokkaasti kaikkialla unionissa, on vahvistettava ja täsmennettävä rekisteröidyn oikeuksia ja henkilötietoja käsittelevien ja niiden käsittelystä päättävien velvollisuuksia. Samalla on varmistettava samantasoiset valtuudet seurata ja varmistaa henkilötietojen suojelua koskevien sääntöjen noudattaminen ja sääntöjen rikkomiseen syyllistyneille samantasoiset seuraamukset jäsenvaltioissa.

(10) Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 2 kohdan mukaan Euroopan parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

(11) Jotta voitaisiin varmistaa yksilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat tietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, joka takaa oikeusvarmuuden ja läpinäkyvyyden talouden toimijoiden, kuten mikroyritysten sekä pienten ja keskisuurten yritysten kannalta, antaa yksilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet ja rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut sekä varmistaa henkilötietojen käsittelyn yhdenmukaisen valvonnan ja samantasoiset seuraamukset kaikissa jäsenvaltioissa ja eri jäsenvaltioiden valvontaviranomaisten tehokkaan yhteistyön. Tässä asetuksessa säädetään eräistä poikkeuksista, jotta voitaisiin ottaa huomioon mikroyritysten sekä pienten ja keskisuurten yritysten erityistilanne. Lisäksi unionin toimielimiä ja elimiä sekä jäsenvaltioita ja niiden valvontaviranomaisia kehotetaan ottamaan tämän asetuksen soveltamisessa huomioon mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet. Mikroyritysten sekä pienten ja keskisuurten yritysten määritelmän olisi perustuttava komission suositukseen 2003/361/EY (5).

(12) Tämän asetuksen tarjoaman suojan olisi koskettava kaikkia luonnollisia henkilöitä heidän kansalaisuudestaan ja asuinpaikastaan riippumatta, silloin kun on kyse henkilötietojen käsittelystä. Oikeushenkilöiden ja erityisesti oikeushenkilön muodossa perustettujen yritysten ei pitäisi vedota tähän asetukseen perustuvaan suojeluun silloin kun tietojenkäsittely koskee näiden oikeushenkilöiden tietoja, kuten oikeushenkilön nimeä, oikeudellista muotoa ja yhteystietoja. Samaa olisi sovellettava myös silloin kun oikeushenkilön nimi sisältää yhden tai useamman luonnollisen henkilön nimen.

(13) Yksilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta, koska tällainen riippuvaisuus aiheuttaisi vakavan väärinkäytösten riskin. Yksilöiden suojelun olisi koskettava myös henkilötietojen automatisoitua käsittelyä sekä sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tämän asetuksen soveltamisalaan ei ole tarkoitus sisällyttää sellaisia asiakirjoja tai asiakirjakokonaisuuksia kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti.

(14) Tämä asetus ei koske sellaisia perusoikeuksien ja -vapauksien suojeluun tai tietojen vapaaseen liikkuvuuteen liittyviä kysymyksiä, jotka eivät kuulu unionin oikeuden soveltamisalaan, eikä se kata unionin toimielinten, elinten ja laitosten suorittamaa henkilötietojen käsittelyä, johon sovelletaan asetusta. Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (6) , eikä henkilötietojen käsittelyä jäsenvaltioissa niiden toteuttaessa unionin yhteiseen ulko- ja turvallisuuspolitiikkaan liittyvää toimintaa olisi saatettava tämän asetuksen mukaiseksi ja sitä olisi sovellettava tämän asetuksen mukaisesti . [tark. 1]

(15) Tätä asetusta ei pitäisi soveltaa luonnollisen henkilön suorittamaan, yksinomaan henkilökohtaisen tai perhettä tai kotitaloutta koskevaan henkilötietojen käsittelyyn, kuten kirjeenvaihtoon tai osoitteiston pitämiseen taikka yksityiseen myyntiin , johon ei liity mitään ansaitsemistarkoitusta ja joka ei ole sidoksissa mihinkään ammatilliseen tai kaupalliseen toimintaan. Tämä vapautus ei koske sellaisia rekisterinpitäjiä tai henkilötietojen käsittelijöitä Tätä asetusta olisi kuitenkin sovellettava sellaisiin rekisterinpitäjiin tai henkilötietojen käsittelijöihin , jotka tarjoavat keinot tällaiseen henkilökohtaiseen tai kotitaloutta koskevaan henkilötietojen käsittelyyn. [tark. 2]

(16) Yksilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta on annettu erillinen säädös unionin tasolla. Sen vuoksi tätä asetusta ei pitäisi soveltaa näitä tarkoituksia varten tehtävään henkilötietojen käsittelyyn. Kun viranomaiset käsittelevät tämän asetuksen soveltamisalaan kuuluvia henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, olisi sen sijaan sovellettava unionin tasolla annettua erityissäädöstä (Euroopan parlamentin ja neuvoston direktiivi 2014/…/EU yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta).

(17) Tämä asetus ei saisi vaikuttaa Euroopan parlamentin ja neuvoston direktiivin 2000/31/EY (7) soveltamiseen eikä etenkään tuon direktiivin 12–15 artiklassa säädettyihin välittäjinä toimivien palveluntarjoajien vastuuta koskeviin sääntöihin.

(18) Tämän asetuksen säännöksiä sovellettaessa voidaan ottaa huomioon virallisten asiakirjojen julkisuusperiaate. Viranomainen tai julkishallinnon elin voi luovuttaa hallussaan olevien asiakirjojen sisältämiä henkilötietoja virallisten asiakirjojen julkisuutta koskevan unionin tai jäsenvaltion lainsäädännön mukaisesti, jossa sovitetaan yhteen henkilötietojen suojaa koskeva oikeus ja virallisten asiakirjojen julkisuutta koskeva oikeus ja joka on asianmukaisessa tasapainossa asianomaisten etujen kanssa. [tark. 3]

(19) Tätä asetusta olisi noudatettava kaikessa sellaisessa henkilötietojen käsittelyssä, jota suoritetaan unioniin sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän toiminnan yhteydessä, riippumatta siitä, tapahtuuko itse käsittely unionin alueella vai ei. Sijoittautuminen edellyttää tosiasiallista toimintaa ja kiinteää toimipaikkaa. Sijoittautumisen oikeudellisella muodolla eli sillä, onko kyseessä sivuliike vai tytäryhtiö, jolla on oikeushenkilöys, ei ole tässä suhteessa ratkaisevaa merkitystä.

(20) Jotta yksilöt eivät jäisi ilman heille tämän asetuksen mukaisesti kuuluvaa tietosuojaa, tätä asetusta olisi sovellettava kaikkien unionin alueella asuvien rekisteröityjen henkilötietojen käsittelyssä unionissa , jos sitä suorittava rekisterinpitäjä ei ole sijoittautunut unioniin ja jos käsittelytoimet liittyvät tavaroiden tai palvelujen tarjoamiseen, mukaan luettuna maksutta tarjottavat palvelut, näille rekisteröidyille , riippumatta siitä, liittyykö niihin maksu, tai näiden rekisteröityjen käyttäytymisen seurantaan. Sen määrittämiseksi, tarjoaako kyseinen rekisterinpitäjä tavaroita ja palveluja rekisteröidyille unionissa, olisi varmistettava ilmeneekö, että rekisterinpitäjä aikoo tarjota palveluja rekisteröidyille unionissa yhdessä tai useammassa jäsenvaltiossa. [tark. 4]

(21) Sen määrittämiseksi, voidaanko käsittelytoiminnan katsoa koskevan rekisteröityjen ”käyttäytymisen seurantaa”, olisi varmistettava, onko yksilöitä seurattu internetissä sellaisten käsittelytekniikoiden avulla tietojen alkuperästä riippumatta tai onko heistä kerätty muita tietoja , mukaan lukien unionin julkisista rekistereistä ja ilmoituksista, joihin on pääsy unionin ulkopuolelta ja joihin nyt tai mahdollisesti tulevaisuudessa voidaan soveltaa sellaisia käsittelytekniikoita, jotka käsittävät ”profiilin” soveltamisen tiettyyn yksilöön erityisesti häntä yksilöä koskevien päätösten tekemistä varten tai hänen henkilökohtaisten mieltymystensä, käyttäytymisensä ja asenteidensa analysointia tai ennakoimista varten. [tark. 5]

(22) Jos kansainvälisen julkisoikeuden nojalla on sovellettava jäsenvaltion kansallista lakia, tätä asetusta olisi sovellettava myös sellaiseen rekisterinpitäjään, joka ei ole sijoittautunut unioniin, vaan esimerkiksi jäsenvaltion diplomaatti- tai konsuliedustustoon.

(23) Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Sen määrittämiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi tai erottamiseksi muista suoraan tai epäsuorasti . Sen varmistamiseksi, käytetäänkö henkilön tunnistamiseksi kohtuuden rajoissa olevia keinoja, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja siihen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia että tekninen kehitys. Tietosuojaperiaatteita ei siksi pitäisi soveltaa nimettömiin tietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista eli tietoihin , jotka eivät koske tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä . Tämä asetus ei tämän vuoksi koske tällaisten nimettömien tietojen käsittelyä, tilasto- tai tutkimustarkoitukset mukaan luettuna. [tark. 6]

(24) Verkkopalvelujen käyttäjät voidaan yhdistää heidän käyttämiensä Tätä asetusta ei pitäisi soveltaa käsittelyyn, johon liittyy laitteiden, sovellusten, työkalujen ja protokollien internet-tunnisteisiin internet-tunnisteita , kuten IP-osoitteisiin tai evästeisiin. Näin käyttäjästä voi jäädä jälkiä, joita voidaan käyttää yhdessä ainutlaatuisten tunnisteiden ja muiden palvelimille toimitettujen tietojen avulla käyttäjien profilointiin ja tunnistamiseen. Tästä seuraa, että tunnistenumeroita, sijaintitietoja, internet-tunnisteita tai muita erityistekijöitä ei sinänsä tarvitse pitää henkilötietoina kaikissa tilanteissa. IP-osoitteita, evästeitä ja RFID-tunnisteita, paitsi jos ne eivät koske tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. [tark. 7]

(25) Suostumus olisi annettava nimenomaisesti käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn, täsmällisen ja tietoon perustuvan ilmoituksen rekisteröidyn toiveista siten, että asianomainen esittää suostumusta ilmaisevan lausuman tai toteuttaa suostumusta ilmaisevan toimen, joka on valinnan tulos ja joka osoittaa, että asianomainen tietää antavansa suostumuksensa henkilötietojensa käsittelyyn, esimerkiksi rastittamalla . Suostumusta ilmaiseva toimi voisi olla se , että rekisteröity rastittaa ruudun vieraillessaan internet-sivustolla tai esittämällä esittää minkä tahansa muun lausuman tai käyttäytymällä käyttäytyy tavalla, joka selkeästi osoittaa tässä yhteydessä, että rekisteröity hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei pitäisi voida antaa vaikenemalla , jonkin palvelun pelkällä käyttämisellä tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. [tark. 8]

(26) Terveyttä koskevia henkilötietoja ovat erityisesti kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa, tiedot yksilön rekisteröimisestä terveyspalvelujen saamista varten, tiedot yksilöä koskevista terveydenhuollon maksuista tai yksilön oikeudesta terveydenhuoltoon, yksilölle annettu numero, symboli tai erityistuntomerkki ainoastaan yksilön tunnistamiseksi terveydenhuollon piirissä, yksilöstä terveydenhuollon palvelujen antamisen aikana kerätyt tiedot, kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, myös biologiset näytteet, tieto siitä, kuka on hoitanut yksilölle, sekä kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn senhetkisestä fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, mistä lähteestä tiedot on saatu (lääkäriltä tai muulta terveydenhuoltoalan ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta vai diagnostisesta in vitro -testistä).

(27) Se, sijaitseeko rekisterinpitäjän päätoimipaikka unionissa, olisi määritettävä objektiivisten kriteerien perusteella, joissa otetaan huomioon ne todelliset hallintotoimet, joiden yhteydessä tehdään kiinteässä toimipaikassa toteutettavan käsittelyn tarkoituksia, edellytyksiä ja keinoja koskevat tärkeimmät päätökset. Näihin kriteereihin ei saisi vaikuttaa se, toteutetaanko varsinainen henkilötietojen käsittely tuossa paikassa, sillä henkilötietojen käsittelyä tai käsittelytoimia varten käytettävien teknisten välineiden ja teknologioiden olemassaolo ja käyttö eivät sinänsä osoita tällaista päätoimipaikkaa eivätkä ne sen vuoksi ole ratkaiseva kriteeri päätoimipaikan määrittämisessä. Rekisterinpitäjän päätoimipaikan olisi oltava sen keskushallinnon sijaintipaikka unionissa.

(28) Yritysryhmän olisi katettava sekä määräysvaltaa käyttävä yritys että sen määräysvallassa olevat yritykset niin, että määräysvaltaa käyttävä yritys on se, jolla on määräysvalta toiseen yritykseen nähden esimerkiksi omistuksen, rahoitukseen osallistumisen tai yrityksen sääntöjen perusteella, tai jolla on toimivalta panna täytäntöön henkilötietojen suojaa koskevat säännöt.

(29) On pyrittävä suojaamaan erityisesti lasten henkilötietoja, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, takeista tai omista oikeuksistaan. Sen määrittämiseksi, milloin yksilö on lapsi, tähän asetukseen olisi sisällytettävä lapsen oikeuksia koskevassa YK:n yleissopimuksessa vahvistettu määritelmä. Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen tarjottaessa tuotteita tai palveluja suoraan lapselle, lapsen vanhemman tai laillisen edustajan olisi annettava suostumus tai valtuutus, kun lapsi on alle 13-vuotias. Kun kohdeyleisönä on lapsia, olisi käytettävä ikäryhmälle soveltuvaa kieltä. Muita lainmukaisia käsittelysyitä, kuten yleistä etua koskevat syyt, olisi edelleen sovellettava esimerkiksi tietojenkäsittelyyn suoraan lapsille osoitetuissa ennalta ehkäisevissä palveluissa tai neuvontapalveluissa. [tark. 9]

(30) Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti ja asianomaisia henkilöitä kohtaan oikeudenmukaisella ja läpinäkyvällä tavalla. Varsinkin tietojenkäsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava tietojen keräämisen yhteydessä selvästi ja lainmukaisesti. Henkilötietojen olisi oltava asianmukaisia ja olennaisia ja niiden määrä olisi rajoitettava mahdollisimman vähään suhteessa niihin tarkoituksiin, joita varten niitä käsitellään; sen vuoksi olisi erityisesti varmistettava, että tietoja ei kerätä liikaa ja että niiden säilytysaika on rajoitettu mahdollisimman lyhyeksi. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida toteuttaa muilla keinoin. Kaikki kohtuulliset toimenpiteet olisi toteutettava sen varmistamiseksi, että virheelliset henkilötiedot oikaistaan tai poistetaan. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten, jotta voidaan varmistaa, ettei tietoja säilytetä pidempään kuin on tarpeen.

(31) Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava asianomaisen henkilön suostumukseen tai muuhun oikeutettuun perusteeseen, josta säädetään lainsäädännössä, joko tässä asetuksessa tai tässä asetuksessa tarkoitetussa muussa unionin tai jäsenvaltion lainsäädännössä. Lapsen tai oikeustoimikelvottoman henkilön tapauksessa unionin tai jäsenvaltion asiaa koskevassa lainsäädännössä olisi määriteltävä suostumuksen tai valtuutuksen antamista koskevat edellytykset. [tark. 10]

(32) Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjällä olisi oltava vastuu sen osoittamisesta, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi annettava takeet sen varmistamiseksi, että rekisteröity on tietoinen siitä, että hän on antanut suostumuksensa ja että hän tietää, mitä se koskee. Jotta noudatetaan tietojen minimoinnin periaatetta, todistustaakka olisi ymmärrettävä niin, että rekisteröidyn tunnistamista vaaditaan vain, jos se on välttämätöntä. Siviilioikeuden ehtojen (esimerkiksi neuvoston direktiivi 93/13/ETY (8) ) tavoin tietosuojatoimien olisi oltava mahdollisimman selkeitä ja läpinäkyviä. Ne eivät saisi sisältää piilotettuja tai epäedullisia lausekkeita. Suostumusta ei voida antaa kolmannen henkilön henkilötietojen käsittelyyn. [tark. 11]

(33) Sen varmistamiseksi, että suostumus annetaan vapaasti, olisi täsmennettävä, että suostumus ei ole pätevä peruste tietojenkäsittelylle, jos yksilöllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. Tämä koskee erityisesti tapauksia, joissa rekisterinpitäjä on viranomainen, joka voi määrätä velvoitteen asiaa koskevan julkisen valtansa nojalla, eikä suostumusta voida katsoa annetun vapaaehtoisesti. Oletusvaihtoehdot, kuten valmiiksi rastitetut ruudut, joita rekisteröidyn on muutettava vastustaakseen tietojensa käsittelyä, eivät merkitse vapaata suostumusta. Suostumusta sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen palvelun tarjoamiseksi, ei pitäisi asettaa palvelun käytön ehdoksi. Kun suostumus peruutetaan, tiedoista riippuvainen palvelu voidaan lopettaa tai jättää toteuttamatta. Jos aiotun tarkoituksen päättyminen on epäselvä, rekisterinpitäjän olisi annettava rekisteröidylle säännöllisesti tietoja tietojenkäsittelystä ja pyydettävä rekisteröityä vahvistamaan suostumuksen uudelleen. [tark. 12]

(34) Suostumuksen ei pitäisi muodostaa pätevää oikeudellista perustetta henkilötietojen käsittelylle, jos rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Näin on erityisesti siinä tapauksessa, että rekisteröity on riippuvuussuhteessa rekisterinpitäjään, esimerkiksi kun työnantaja käsittelee työntekijöiden henkilötietoja työsuhteen yhteydessä. Jos rekisterinpitäjä on viranomainen, epäsuhta liittyisi vain erityisiin tietojenkäsittelytoimiin, joiden yhteydessä viranomainen voi määrätä velvoitteen asiaa koskevien julkisten toimivaltuuksiensa nojalla eikä suostumusta voida katsoa annetun vapaaehtoisesti, kun otetaan huomioon rekisteröidyn edut. [tark. 13]

(35) Käsittelyä olisi pidettävä lainmukaisena, kun se on tarpeen sopimuksen yhteydessä tai suunnitellun sopimuksen tekemistä varten.

(36) Kun käsittely tapahtuu rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamiseksi tai kun käsittely on tarpeen yleistä etua koskevan tai julkisen vallan käyttöön liittyvän tehtävän suorittamiseksi, käsittelyllä olisi oltava oikeusperusta unionin lainsäädännössä tai sellaisessa jäsenvaltion lainsäädännössä, joka täyttää oikeuksien ja vapauksien rajoittamiselle perusoikeuskirjassa asetetut vaatimukset. Tämän olisi sisällettävä myös työehtosopimukset, jotka voitaisiin kansallisessa lainsäädännössä todeta yleisesti päteviksi. Unionin oikeudessa tai kansallisessa lainsäädännössä määritetään, olisiko yleistä etua tai julkisen vallan käyttöä koskevan tehtävän suorittamisesta vastuussa olevan rekisterinpitäjän oltava julkinen viranomainen tai muu julkis- tai yksityisoikeudellinen luonnollinen tai oikeushenkilö, esimerkiksi ammatillinen yhteenliittymä. [tark. 14]

(37) Henkilötietojen käsittelyä olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn hengen kannalta olennaisten etujen suojelemiseksi.

(38) Rekisterinpitäjän tai, kun kyse on tietojen luovuttamisesta, kolmannen osapuolen, jolle tiedot luovutetaan, oikeutetut edut voivat muodostaa käsittelyn oikeusperustan edellyttäen, että ne täyttävät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, ja että rekisteröidyn etuja tai perusoikeuksia ja -vapauksia ei syrjäytetä. Tätä on arvioitava huolellisesti etenkin jos rekisteröity on lapsi, koska lapset tarvitsevat erityistä suojelua. Salanimellä julkaistuihin tietoihin rajoittuvan käsittelyn pitäisi voida katsoa täyttävän rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, edellyttäen että rekisteröidyn etuja tai perusoikeuksia ja -vapauksia ei syrjäytetä. Rekisteröidyllä olisi oltava oikeus vastustaa tietojensa käsittelyä tilanteeseensa liittyvien syiden vuoksi ja maksutta. Läpinäkyvyyden varmistamiseksi rekisterinpitäjällä olisi oltava velvollisuus ilmoittaa rekisteröidylle nimenomaisesti näistä oikeutetuista eduista ja rekisteröidyn oikeudesta vastustaa tietojenkäsittelyä, ja rekisterinpitäjällä olisi myös oltava velvollisuus esittää näitä oikeutettuja etuja koskevat asiakirjat. Rekisteröidyn edut ja perusoikeudet voisivat syrjäyttää rekisterinpitäjän edun, kun henkilötietoja käsitellään olosuhteissa, joissa rekisteröity ei voi kohtuudella odottaa jatkokäsittelyä. Koska on lainsäätäjän tehtävä vahvistaa lailla oikeusperusta, jonka nojalla viranomaiset voivat käsitellä tietoja, tätä oikeusperustaa ei pitäisi soveltaa tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä. [tark. 15]

(39) On rekisterinpitäjän oikeutetun edun mukaista rajoittaa tietojenkäsittely siihen, mikä on ehdottoman välttämätöntä ja oikeasuhteista , jotta viranomaiset, tietotekniikan kriisiryhmät (Computer Emergency Response Teams, CERT), CSIRT-toimijat (tietoturvaloukkauksiin reagoiva ja niitä tutkiva yksikkö), sähköisten viestintäverkkojen ja -palvelujen tarjoajat sekä turvallisuusteknologian ja -palvelujen tarjoajat voivat varmistaa verkko- ja tietoturvallisuuden eli verkon tai tietojärjestelmän kyvyn suojautua tietyllä varmuudella onnettomuuksilta tai laittomilta taikka ilkivaltaisilta toimilta, jotka vaarantavat tallennettujen tai siirrettävien tietojen ja niihin liittyvien, verkoissa ja tietojärjestelmissä tarjottujen tai välitettävien palvelujen saatavuuden, aitouden, eheyden ja luottamuksellisuuden. Tähän voisi kuulua esimerkiksi luvattoman sähköisiin viestintäverkkoihin pääsyn ja vahingollisen koodin jakamisen ehkäiseminen sekä palvelunestohyökkäysten ja tietokoneille ja sähköisille viestintäjärjestelmille koituvien vahinkojen estäminen. Tätä periaatetta sovelletaan myös henkilötietojen käsittelyyn julkisesti saatavilla olevien verkkojen tai tietojärjestelmien väärinkäytön rajoittamiseksi, kuten sähköisten tunnisteiden merkitseminen mustalle listalle. [tark. 16]

(39 a) Rekisterinpitäjän suorittama vahinkojen ehkäiseminen tai rajoittaminen olisi oletettava suoritetuksi rekisterinpitäjän oikeutetun edun toteuttamiseksi tai, kun kyse on tietojen luovuttamisesta, sen kolmannen osapuolen osalta, jolle tiedot luovutetaan, ja katsottava täyttävän rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, edellyttäen että rekisteröidyn etuja tai perusoikeuksia ja -vapauksia ei syrjäytetä. Samaa periaatetta sovelletaan myös rekisteröityyn kohdistuvien oikeusvaateiden täytäntöönpanoon, kuten velkojen perintä tai yksityishenkilöihin kohdistuvat vahingot ja oikeussuojakeinot. [tark. 17]

(39 b) Omien ja vastaavien tuotteiden ja palvelujen suoramarkkinointia tai postitse tapahtuvaa suoramarkkinointia koskeva henkilötietojen käsittely olisi oletettava suoritetuiksi rekisterinpitäjän oikeutetun edun toteuttamiseksi tai, kun kyse on tietojen luovuttamisesta, sen kolmannen osapuolen osalta, jolle tiedot luovutetaan, ja katsottava täyttävän rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, jos annetaan selvästi havaittavissa olevaa tietoa oikeudesta vastustaa ja henkilötietojen lähteestä, edellyttäen että rekisteröidyn etuja tai perusoikeuksia ja -vapauksia ei syrjäytetä. Yritysten yhteystietojen käsittely olisi yleisesti katsottava suoritetuksi rekisterinpitäjän oikeutetun edun toteuttamiseksi tai, kun kyse on tietojen luovuttamisesta, sen kolmannen osapuolen osalta, jolle tiedot luovutetaan, edellyttäen että ne täyttävät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen. Tätä olisi sovellettava myös sellaisten henkilötietojen käsittelyyn, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. [tark. 18]

(40) Henkilötietojen käsittely muita tarkoituksia varten olisi sallittava vain jos käsittely on niiden tarkoitusten mukaista, joita varten tiedot on alun perin kerätty, erityisesti silloin kun käsittely on tarpeen historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten. Jos muu tarkoitus on ristiriidassa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, rekisterinpitäjän olisi saatava rekisteröidyn suostumus tätä muuta tarkoitusta varten tai käsittelyn olisi perustuttava muuhun lainmukaista käsittelyä koskevaan oikeutettuun perusteeseen, erityisesti jos sellaisesta säädetään unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion laissa. Kaikissa tapauksissa olisi varmistettava, että sovelletaan tässä asetuksessa vahvistettuja periaatteita ja erityisesti periaatetta, jonka mukaan rekisteröidylle on ilmoitettava näistä muista tarkoituksista. [tark. 19]

(41) Henkilötietoja, jotka ovat perusoikeuksien tai yksityisyyden kannalta erityisen arkaluonteisia ja haavoittuvia, on suojeltava erityisen tarkasti. Tällaisia tietoja ei pitäisi käsitellä ilman rekisteröidyn nimenomaista suostumusta. Olisi kuitenkin nimenomaisesti säädettävä tätä kieltoa koskevista poikkeuksista erityisten tarpeiden vaatiessa etenkin, jos kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen. [tark. 20]

(42) Arkaluonteisten tietoryhmien käsittelykiellosta olisi voitava poiketa myös siinä tapauksessa, että poikkeaminen perustuu lakiin ja tapahtuu asianmukaisten takeiden vallitessa, jotta voidaan suojata henkilötietoja ja muita perusoikeuksia, kun se on perusteltua yleistä etua koskevien syiden ja erityisesti terveyteen liittyvien syiden vuoksi, esimerkiksi kansanterveyden ja sosiaalisen suojelun alalla ja terveydenhuoltopalvelujen hallintoa varten, erityisesti laadun ja kustannustehokkuuden takaamiseksi sairausvakuutustoiminnassa etuuksia ja palveluja koskevien vaatimusten käsittelymenettelyssä tai historiantutkimusta, taikka tilastollisia tai tieteellisiä taikka arkistoja tutkimustarkoituksia varten. [tark. 21]

(43) Myös viranomaisten suorittama henkilötietojen käsittely valtiosääntöoikeudessa ja kansainvälisessä julkisoikeudessa säädettyjen virallisesti tunnustettujen uskonnollisten yhdistysten päämäärien toteuttamiseksi toteutetaan yleisen edun perusteella.

(44) Jos demokraattisen järjestelmän vaaleihin liittyvä toiminta tietyissä jäsenvaltioissa edellyttää, että poliittiset puolueet keräävät tietoja henkilöiden poliittisista mielipiteistä, kyseisten tietojen käsittely voidaan sallia yleisen edun vuoksi sillä edellytyksellä, että otetaan käyttöön asianmukaiset takeet.

(45) Jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsiteltävien tietojen perusteella, rekisterinpitäjää ei pitäisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä olisi tarpeen vain jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Kun rekisteröity on esittänyt tiedonsaantipyynnön, rekisterinpitäjällä olisi oltava oikeus pyytää rekisteröidyltä lisätietoja, joiden avulla rekisterinpitäjä voi löytää tämän pyytämät henkilötiedot. Jos rekisteröidyllä on mahdollisuus toimittaa kyseiset tiedot, rekisterinpitäjien ei pitäisi voida vedota tiedon puuttumiseen evätäkseen tiedonsaantipyynnön. [tark. 22]

(46) Läpinäkyvyysperiaatteen mukaisesti yleisölle tai rekisteröidylle tarkoitettujen tietojen olisi oltava helposti saatavilla ja ymmärrettäviä, ja ne olisi ilmaistava selkeällä ja yksinkertaisella kielellä. Tämä on erityisen tärkeää esimerkiksi verkkomainonnassa, missä rekisteröidyn on toimijoiden suuren määrän ja käytänteiden teknisen monimutkaisuuden vuoksi vaikea tietää ja ymmärtää, kerätäänkö hänen henkilötietojaan tai ketkä niitä keräävät ja mitä tarkoitusta varten. Koska lapset tarvitsevat erityistä suojelua, kaikki erityisesti lapsiin kohdistuvaa tietojenkäsittelyä koskeva tiedotus ja viestintä on ilmaistava niin selkeällä ja yksinkertaisella kielellä, että lapsi voi helposti ymmärtää ne.

(47) Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, esimerkiksi siitä, miten voi pyytää varnustaa maksutta pääsyä pääsyn tietoihin tai tietojen oikaisemista ja poistamista oikaiseminen ja positaminen sekä käyttää oikeutta vastustaa tietojenkäsittelyä. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin tietyssä kohtuullisessa määräajassa ja perustelemaan kieltäytymisensä siinä tapauksessa, että rekisteröidyn pyyntöä ei noudateta. [tark. 23]

(48) Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle olisi ilmoitettava erityisesti henkilötietojen käsittelystä ja sen tarkoituksista, tietojen todennäköisestä säilytysajasta kuhunkin tarkoitukseen , jos tietoja siirretään kolmansille osapuolille tai maille, mahdollisuudesta vastustaa, tiedonsaantioikeudesta, oikeudesta oikaista ja poistaa tiedot sekä valitusoikeudesta. Jos tietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa tiedot, sekä kieltäytymisen seurauksista. Tämä tieto olisi toimitettava – esimerkiksi annettava helposti käytettäväksi – rekisteröidylle sen jälkeen, kun on annettu yksinkertaistettua tietoa vakiomuotoisina kuvakkeina. Tämän olisi myös tarkoitettava, että henkilötietoja käsitellään siten, että rekisteröity voi tosiasiallisesti käyttää oikeuksiaan. [tark. 24]

(49) Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keräämisen yhteydessä tai, jos tietoja ei ole saatu suoraan rekisteröidyltä, kohtuullisen ajan kuluessa tietojen keräämisestä, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos tietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun tietoja luovutetaan ensimmäisen kerran.

(50) Tätä ei kuitenkaan tarvitse vaatia silloin kun rekisteröidyllä rekisteröity tietää jo on tämä tieto tämän tiedon tai kun lainsäädännössä nimenomaisesti säädetään tietojen tallentamisesta tai luovuttamisesta tai kun tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa. Viimeksi mainittu tilanne liittyy erityisesti tapauksiin, joissa käsittely tapahtuu historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten; tällöin voidaan ottaa huomioon rekisteröityjen määrä, tietojen ikä ja mahdollisesti hyväksytyt korvaavat toimenpiteet. [tark. 25]

(51) Jokaisella olisi oltava oikeus saada tietoa siitä, mitä tietoja hänestä on kerätty, sekä käyttää tätä oikeutta vaivattomasti voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti tietojenkäsittelyn tarkoituksista, arvioidusta käsittelyajasta, tietojen vastaanottajista, käsiteltävien tietojen yleisestä logiikasta sekä käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Tämä oikeus ei saisi aiheuttaa vahinkoa muiden oikeuksille ja vapauksille, esimerkiksi liikesuhteiden luottamuksellisuudelle tai henkiselle omaisuudelle, eikä etenkään kuten ohjelmistojen tekijänoikeudelle. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. [tark. 26]

(52) Rekisterinpitäjän olisi käytettävä kaikkia kohtuullisia keinoja tarkistaakseen sellaisen rekisteröidyn henkilöllisyyden, joka haluaa käyttää tiedonsaantioikeuttaan, erityisesti verkkopalvelujen ja internet-tunnisteiden yhteydessä. Rekisterinpitäjän ei pitäisi säilyttää henkilötietoja ainoastaan mahdollisiin pyyntöihin vastaamista varten.

(53) Jokaisella olisi oltava oikeus saada itseään koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi” tietojen poistamiseen jos tietojen säilyttäminen ei ole tämän asetuksen säännösten mukaista. Rekisteröidyllä olisi erityisesti oltava oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen kun tietoja ei enää tarvita niiden tarkoitusten toteuttamista varten, joita varten ne kerättiin tai jota varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa tai kun hän on vastustanut henkilötietojensa käsittelyä tai kun hänen henkilötietojensa käsittely ei muutoin ole tämän asetuksen säännösten mukaista. Tämä oikeus tulee kyseeseen erityisesti silloin kun rekisteröity on antanut suostumuksensa lapsena, jolloin hän ei ollut täysin tietoinen tietojenkäsittelyyn liittyvistä riskeistä, ja haluaa myöhemmin poistaa tällaiset tiedot erityisesti internetistä. Tietojen säilyttäminen edelleen voitaisiin kuitenkin sallia, jos se on tarpeen historiantutkimukseen taikka tilastolliseen tai tieteelliseen tutkimukseen liittyvistä syistä, kansanterveyteen liittyvän yleisen edun vuoksi, sananvapautta koskevan oikeuden käyttöä varten, tai kun laki niin vaatii tai kun on olemassa syy rajoittaa tietojen käsittelyä sen sijaan että ne poistettaisiin. Oikeutta tietojen poistamiseen ei myöskään pitäisi soveltaa, jos henkilötietojen säilyttäminen on välttämätöntä sopimuksen täytäntöönpanemiseksi rekisteröidyn kanssa tai jos oikeudellinen velvoite edellyttää tietojen säilyttämistä. [tark. 27]

(54) Jotta voitaisiin lujittaa ”oikeutta tulla unohdetuksi” oikeutta tietojen poistamiseen verkkoympäristössä, olisi laajennettava oikeutta tietojen poistamiseen niin, että tiedot henkilötiedot ilman laillista perustetta julkistanut rekisterinpitäjä velvoitettaisiin ilmoittamaan tietoja käsitteleville kolmansille osapuolille rekisteröidyn pyynnöstä poistaa kyseisiin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot. Tämän ilmoituksen varmistamiseksi rekisterinpitäjän olisi toteutettava kaikki kohtuulliset, muun muassa tekniset toimenpiteet, niiden tietojen suhteen, joiden julkistamisesta rekisterinpitäjä on vastuussa. Kun henkilötiedot julkistaa kolmas osapuoli, rekisterinpitäjän olisi katsottava olevan vastuussa julkistamisesta, jos rekisterinpitäjä on valtuuttanut kolmannen osapuolen julkistamaan tiedot. toteuttamaan kaikki tarvittavat toimenpiteet tietojen poistamiseksi, myös kolmansien osapuolten toimesta, sanotun kuitenkaan rajoittamatta rekisteröidyn oikeutta vaatia korvausta. [tark. 28]

(54 a) Rekisteröidyn kiistämät tiedot, joiden paikkansapitävyyttä ei pystytä toteamaan, olisi suojattava, kunnes asia on selvitetty. [tark. 29]

(55) Jotta voitaisiin edelleen lujittaa rekisteröityjen oikeutta valvoa henkilötietojaan ja heidän tiedonsaantioikeuttaan silloin kun henkilötietoja käsitellään sähköisin keinoin, jäsennellyssä ja yleisesti käytetyssä muodossa, rekisteröidyillä olisi oltava oikeus saada jäljennös heitä koskevista tiedoista myös yleisesti käytetyssä sähköisessä muodossa. Rekisteröityjen pitäisi myös voida siirtää antamansa tiedot yhdestä automaattisesta sovelluksesta, esimerkiksi sosiaalisesta verkostosta, toiseen. Rekisterinpitäjiä olisi kannustettava kehittämään yhteentoimivia muotoja, jotka mahdollistavat tietojen siirtämisen. Tätä olisi sovellettava silloin kun rekisteröity on antanut tiedot automaattiseen käsittelyjärjestelmään oman suostumuksensa tai sopimuksen täytäntöönpanon perusteella. Tietoyhteiskunnan palvelujen tarjoajien ei pitäisi asettaa näiden tietojen siirtämistä palvelujensa toimittamisen edellytykseksi. [tark. 30]

(56) Vaikka henkilötietoja voitaisiin käsitellä lainmukaisesti rekisteröidyn elintärkeiden etujen suojaamiseksi tai yleisen edun, julkisen vallan käytön tai rekisterinpitäjän oikeutetun edun vuoksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa tietojensa käsittelyä maksutta ja tavalla, johon tämä voi vedota helposti ja tehokkaasti . Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän oikeutetut edut voivat syrjäyttää rekisteröidyn edut tai perusoikeudet ja -vapaudet. [tark. 31]

(57) Jos henkilötietoja käsitellään suoramarkkinointia varten, rekisteröidyllä olisi oltava on oikeus vastustaa henkilötietojensa käsittelyä, tällaista markkinointia varten maksutta rekisterinpitäjän olisi tarjottava kyseistä mahdollisuutta nimenomaisesti ja ymmärrettävällä tavalla, johon tämä voi vedota helposti ja tehokkaasti ja ymmärrettävässä muodossa selkeällä ja yksinkertaisella kielellä, ja se olisi selkeästi erotettava muista tiedoista . [tark. 32]

(58) Jokaisella luonnollisella henkilöllä olisi oltava oikeus olla joutumatta tietojen automaattisen vastustaa profilointia, sanotun kuitenkaan rajoittamatta käsittelyn avulla tapahtuvaan profilointiin perstuvien toimenpiteiden kohteeksi lainmukaisuutta. Profilointi, jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa vastaavan merkittävästi rekisteröidyn etuihin, oikeuksiin tai vapauksiin, Tällaiset toimenpiteet olisi kuitenkin sallittava ainoastaan , jos ne se on nimenomaisesti hyväksytty laissa tai toteutettu sopimuksen tekemisen tai täytäntöönpanon yhteydessä tai kun rekisteröity on antanut niihin suostumuksensa. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia takeita, joihin kuuluisivat tällaisesta käsittelystä ilmoittaminen rekisteröidylle, oikeus tietojen käsittelyyn ihmisen toimesta tekemään arvioon ja se, että tällaista toimenpidettä ei saisi kohdistaa lapseen. Tällaisten toimenpiteiden seurauksena ei saisi koskaan olla rekisteröityjen syrjintä rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnon tai vakaumuksen, ammattiliittoon kuulumisen, seksuaalisen suuntautumisen tai sukupuoli-identiteetin perusteella. [tark. 33]

(58 a) Salanimellä julkaistuihin tietoihin rajoittuvan profiloinnin osalta olisi katsottava, ettei se vaikuta merkittävästi rekisteröidyn etuihin, oikeuksiin tai vapauksiin. Jos profilointi, joka perustuu joko yhteen salanimellä julkaistujen tietojen lähteeseen tai eri lähteistä peräisin olevien salanimellä julkaistujen tietojen kokoelmaan, mahdollistaa sen, että rekisterinpitäjä voi yhdistää salanimellä julkaistut tiedot tiettyyn rekisteröityyn, käsiteltyjä tietoja ei enää pitäisi pitää salanimellä julkaistuina. [tark. 34]

(59) Rajoituksista, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, tiedonsaantioikeutta, oikeutta oikaista ja poistaa tietoja, oikeutta siirtää tiedot järjestelmästä toiseen tiedonsaantioikeutta , oikeutta vastustaa tietojenkäsittelyä, profilointiin perustuvia toimenpiteitä tai profilointia sekä henkilötietoja koskevasta tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, voidaan säätää unionin tai jäsenvaltion lainsäädännössä siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä yleisen turvallisuuden takaamiseksi, esimerkiksi ihmishenkien suojelemiseksi erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä taikka rikosten tai, säännellyn ammattitoiminnan yhteydessä, ammattietiikan rikkomusten torjumista, tutkimista ja syytteeseenpanoa varten tai muiden unionin tai jäsenvaltion erityistä ja tarkasti määriteltyä yleistä etua koskevien syiden vuoksi, esimerkiksi unionin tai jäsenvaltion tärkeiden taloudellisten tai rahoitusta koskevien etujen vuoksi tai säänneltyjen ammattien ammattietiikkaa koskevien loukkausten vuoksi tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien suojelemiseksi. Näiden rajoitusten olisi oltava perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia. [tark. 35]

(60) Olisi vahvistettava rekisterinpitäjän kattava vastuu suorittamastaan tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä , erityisesti asiakirjojen, tietoturvan, vaikutustenarvioinnin, tietosuojavastaavan sekä tietosuojaviranomaisten toteuttaman valvonnan osalta . Rekisterinpitäjän olisi erityisesti varmistettava ja kyettävä osoittamaan, että kaikki käsittelytoimet ovat tämän asetuksen mukaisia. Riippumattomien sisäisten tai ulkoisten tarkastajien olisi tarkistettava tämä. [tark. 36]

(61) Rekisteröidyn oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet sekä käsittelyn suunnittelu- että toteuttamisvaiheessa, asetuksessa säädettyjen vaatimusten noudattamiseksi. Varmistaakseen ja osoittaakseen, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava asianmukaiset toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Sisäänrakennetun tietosuojan periaate tarkoittaa sitä, että tietosuoja kattaa tekniikan koko elinkaaren alustavasta suunnitteluvaiheesta aina lopulliseen hyödyntämis-, käyttö- ja käytöstäpoistovaiheeseen. Tähän pitäisi sisältyä myös vastuu rekisterinpitäjän tai henkilötietojen käsittelijän käyttämistä tuotteista ja palveluista. Oletusarvoisen tietosuojan periaate edellyttää, että palveluja ja tuotteita koskeva yksityisyys vastaa oletusarvoisesti tietosuojan yleisiä periaatteita, kuten tietojen minimoinnin ja käsittelytarkoituksen rajoittamisen periaatteita. [tark. 37]

(62) Rekisteröidyn oikeuksien ja vapauksien suojelu sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden vastuu esimerkiksi valvontaviranomaisten suorittaman seurannan ja niiden toteuttamien toimenpiteiden yhteydessä edellyttää, että tässä asetuksessa säädetyt vastuualueet jaetaan selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta. Yhteisten rekisterinpitäjien järjestelyistä olisi käytävä ilmi niiden todelliset tehtävät ja suhteet. Tämän asetuksen mukaisesti henkilötietojen käsittelyyn olisi sisällyttävä suostumus, jonka myötä rekisterinpitäjä voi siirtää tietoja yhteiselle rekisterinpitäjälle tai henkilötietojen käsittelijälle, jotta ne käsittelevät tiedot tämän lukuun. [tark. 38]

(63) Jos unionin alueella asuvien rekisteröityjen henkilötietoja käsittelee unionissa rekisterinpitäjä, joka ei ole sijoittautunut unioniin, ja käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai heidän käyttäytymisensä seurantaan, rekisterinpitäjän olisi nimitettävä edustaja, paitsi jos rekisterinpitäjä on sijoittautunut kolmanteen maahan, joka tarjoaa riittävän tietosuojan tason, tai jos käsittely koskee alle 5 000:ta rekisteröityä 12 kuukauden jaksolla eikä käsittely koske erityisiä tietoryhmiä taikka jos rekisterinpitäjä on pieni tai keskisuuri yritys tai viranomainen tai julkishallinnon elin tai jos rekisterinpitäjä tarjoaa tavaroita ja palveluja näille rekisteröidyille vain satunnaisesti. Edustajan olisi toimittava rekisterinpitäjän puolesta, ja edustajaan voivat ottaa yhteyttä kaikki valvontaviranomaiset. [tark. 39]

(64) Sen määrittämiseksi, tarjoaako rekisterinpitäjä tavaroita ja palveluja rekisteröidyille unionissa asuville rekisteröidyille vain satunnaisesti, olisi varmistettava, ilmeneekö rekisterinpitäjän yleisestä toiminnasta, että tavaroiden ja palvelujen tarjoaminen näille rekisteröidyille on sen pääasiallisten toimintojen aputoiminto. [tark. 40]

(65) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi dokumentoitava kaikki käsittelytoimet säilytettävä tarvittavat dokumentit asetuksessa vahvistettujen vaatimusten täyttämiseksi voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia noudattavansa asetusta . Rekisterinpitäjät ja henkilötietojen käsittelijät olisi velvoitettava tekemään yhteistyötä valvontaviranomaisen kanssa ja esittämään sille pyydettäessä käsittelyä koskevat dokumentit, jotta tietojenkäsittelytoimia asetuksen noudattamista voidaan seurata arvioida niiden pohjalta. Dokumentoinnin täydentämisen ohella olisi kuitenkin painotettava yhtä lailla hyvien käytänteiden ja määräysten noudattamisen merkitystä. [tark. 41]

(66) Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi. Näiden toimenpiteiden avulla olisi voitava varmistaa asianmukainen turvallisuustaso ottaen huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Vahvistaessaan Vahvistettaessa teknisiä standardeja ja organisatorisia toimenpiteitä tietojenkäsittelyn turvallisuuden varmistamiseksi komission olisi edistettävä teknologianeutraaliutta, yhteentoimivuutta ja innovointia sekä tehtävä kannustettava tarvittaessa yhteistyötä yhteistyöhön kolmansien maiden kanssa. [tark. 42]

(67) Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua kyseessä olevalle henkilölle huomattavia taloudellisia menetyksiä ja sosiaalisia haittoja, kuten väärän henkilöllisyyden käyttöä. Sen vuoksi rekisterinpitäjän olisi ilmoitettava tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä heti, kun se on tullut ilmi, ja mahdollisuuksien mukaan 24 eli enintään 72 tunnin kuluessa. Jos ilmoitusta ei voida tehdä 24 tunnin kuluessa, Ilmoitukseen olisi tarvittaessa liitettävä selvitys viivytyksen syistä. Henkilöille, joiden henkilötietoihin tietoturvaloukkaus voi vaikuttaa haitallisesti, olisi ilmoitettava asiasta ilman aiheetonta viivytystä, jotta he voivat toteuttaa tarvittavat varotoimet. Tietoturvaloukkauksen olisi katsottava vaikuttavan haitallisesti rekisteröidyn henkilötietoihin tai yksityisyyteen, jos se voi johtaa esimerkiksi henkilötietovarkauteen tai -petokseen tai jos siitä voi aiheutua fyysistä haittaa tai huomattavan vakavaa nöyryytystä tai jos se voi vahingoittaa henkilön mainetta. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen voi lieventää sen mahdollisia haittavaikutuksia. Tietoturvaloukkauksesta olisi ilmoitettava rekisteröidylle niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä valvontaviranomaisen kanssa, noudattaen valvontaviranomaisen tai esimerkiksi lainvalvontaviranomaisten antamia ohjeita. Esimerkiksi, jotta rekisteröidyillä olisi mahdollisuus lieventää välittömien haittojen riskiä, tietoturvaloukkauksesta olisi ilmoitettava heille viipymättä, kun taas tarve toteuttaa asianmukaiset toimenpiteet tietoturvaloukkauksen jatkumisen tai vastaavien tietoturvaloukkausten estämiseksi voivat olla perusteena ilmoituksen lykkäämiselle. [tark. 43]

(68) Sen määrittämiseksi, onko henkilötietojen tietoturvaloukkauksesta ilmoitettu valvontaviranomaiselle ja rekisteröidylle ilman aiheetonta viivytystä, olisi tarkistettava, onko rekisterinpitäjä on toteuttanut ja soveltanut asianmukaisia teknisiä ja organisatorisia suojatoimenpiteitä selvittääkseen välittömästi, onko tapahtunut henkilötietojen tietoturvaloukkaus, ja ilmoittaakseen asiasta viipymättä valvontaviranomaiselle ja rekisteröidylle, ennen kuin siitä aiheutuu vahinkoa taloudellisille ja henkilökohtaisille eduille, ottaen huomioon erityisesti tietoturvaloukkauksen luonne ja vakavuus sekä siitä rekisteröidylle aiheutuvat seuraukset ja haittavaikutukset.

(69) Laadittaessa yksityiskohtaisia sääntöjä henkilötietojen tietoturvaloukkausten ilmoittamisen muodosta ja ilmoittamisessa sovellettavista menettelyistä olisi otettava asianmukaisesti huomioon loukkaukseen liittyvät seikat, kuten se, oliko henkilötiedot suojattu asianmukaisin teknisin suojauskeinoin, mikä vähentää olennaisesti henkilötietopetoksen tai muiden väärinkäytösten todennäköisyyttä. Tällaisissa säännöissä ja menettelyissä olisi myös otettava huomioon lainvalvontaviranomaisten oikeutetut edut tapauksissa, joissa varhainen ilmoittaminen voisi tarpeettomasti haitata tietoturvaloukkauksen tutkimista.

(70) Direktiivissä 95/46/EY säädetään yleinen velvollisuus ilmoittaa henkilötietojen käsittelystä valvontaviranomaisille. Tämä velvollisuus aiheuttaa hallinnollista ja taloudellista rasitusta, mutta se ei aina ole edistänyt henkilötietojen suojaa. Siksi tällaisesta yleisestä ilmoitusvelvollisuudesta olisi luovuttava ja korvattava se tehokkailla menettelyillä ja mekanismilla, jotka keskittyvät sen sijaan niihin käsittelytoimiin, joihin niiden luonteen, laajuuden tai tarkoitusten vuoksi todennäköisesti liittyy rekisteröidyn oikeuksien ja vapauksien kannalta erityisiä riskejä. Tällaisissa tapauksissa rekisterinpitäjän tai henkilötietojen käsittelijän olisi tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi, jossa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä niitä takeita ja mekanismeja, joiden avulla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu.

(71) Tätä olisi sovellettava erityisesti vasta perustettuihin suuren mittakaavan rekisteröintijärjestelmiin, joissa on tarkoitus käsitellä huomattavia määriä henkilötietoja alueellisella, kansallisella tai ylikansallisella tasolla, mikä voi vaikuttaa suureen määrään rekisteröityjä.

(71 a) Vaikutustenarvioinnit ovat keskeinen osa kestäviä tietosuojajärjestelmiä, koska niillä varmistetaan, että yritykset ovat alusta lähtien tietoisia kaikista mahdollisista seurauksista, joita niiden suorittamat tietojenkäsittelytoimet voivat aiheuttaa. Jos vaikutustenarvioinnit toteutetaan perusteellisesti, voidaan merkittävästi vähentää tietoturvaloukkauksien tai yksityisyyttä loukkaavien toimien todennäköisyyttä. Tietosuojaa koskevissa vaikutustenarvioinneissa olisi sen vuoksi tarkasteltava henkilötietojen hallinnan koko elinkaarta keräämisestä käsittelyyn ja poistamiseen asti ja kuvattava yksityiskohtaisesti suunnitellut käsittelytoimet, rekisteröityjen oikeuksiin ja vapauksiin vaikuttavat riskit, toimenpiteet, joiden avulla riskeihin on tarkoitus puuttua, takeet, suojatoimenpiteet ja mekanismit, joilla varmistetaan asetuksen noudattaminen. [tark. 44]

(71 b) Rekisterinpitäjien pitäisi panostaa henkilötietojen tietosuojaan tietojen elinkaaren kaikissa vaiheissa tietojen keräämisestä käsittelyyn ja poistamiseen asti investoimalla alusta pitäen kestävään tiedonhallintakehykseen ja täydentämällä sitä kattavalla mekanismilla, jolla valvotaan säännösten noudattamista. [tark. 45]

(72) Joissain olosuhteissa voisi olla järkevää ja taloudellista laatia tietosuojaa koskeva vaikutustenarviointi, jossa tarkasteltaisiin asioita laajemmin kuin yhden projektin kannalta, esimerkiksi kun viranomaiset tai julkishallinnon elimet aikovat luoda yhteisen sovelluksen tai käsittelyalustan tai kun useat rekisterinpitäjät aikovat ottaa käyttöön yhteisen sovelluksen tai käsittely-ympäristön kokonaista teollisuudenalaa tai segmenttiä tai jotakin laajalti käytettävää horisontaalista toimintoa varten.

(73) Viranomaisten tai julkishallinnon elinten olisi tehtävä tietosuojaa koskeva vaikutustenarviointi, ellei sellaista ole jo tehty, kun hyväksytään kansallista lainsäädäntöä, johon kyseisen viranomaisen tai julkishallinnon elimen tehtävien suorittaminen perustuu ja joka säätelee siihen liittyviä käsittelytoimia tai käsittelytoimien sarjoja. [tark. 46]

(74) Jos tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelytoimiin tai tietyn uuden teknologian käyttöön liittyy runsaasti erityisiä rekisteröidyn oikeuksiin ja vapauksiin vaikuttavia riskejä, kuten rekisteröidyn jääminen ilman tiettyä oikeutta, ennen käsittelyn aloittamista olisi kuultava tietosuojavastaavaa tai valvontaviranomaista tällaisesta riskialttiista käsittelystä, joka saattaa olla vastoin asetuksen säännöksiä, jotta se voi esittää ehdotuksia tilanteen korjaamiseksi. Tällainen Valvontaviranomaisen kuuleminen olisi suoritettava myös joko kansallisen parlamentin toimenpiteen tai tällaiseen lainsäädäntötoimenpiteeseen perustuvan toimenpiteen valmistelun aikana, kun näissä toimenpiteissä määritetään käsittelyn luonne ja vahvistetaan asianmukaiset takeet. [tark. 47]

(74 a) Vaikutustenarvioinneista voi olla apua vain silloin, jos rekisterinpitäjät varmistavat, että ne noudattavat arvioinneissa alun perin vahvistettuja lupauksia. Rekisterinpitäjien olisi sen vuoksi arvioitava ajoittain tietosuojaa koskevien säännösten noudattamista, millä ne osoittavat, että käytössä olevat tietojenkäsittelymekanismit ovat tietoturvaa koskevassa vaikutustenarvioinnissa esitettyjenvakuutusten mukaisia. Lisäksi siinä olisi osoitettava rekisterinpitäjän kyky toimia rekisteröityjen itsenäisten valintojen mukaisesti. Jos noudattamista arvioitaessa havaitaan epäjohdonmukaisuuksia, siinä olisi myös painotettava näitä ja esitettävä suosituksia siitä, miten säännösten täysimääräinen noudattaminen voidaan saavuttaa. [tark. 48]

(75) Jos tietojenkäsittely suoritetaan julkisella sektorilla tai yksityisen sektorin suuressa yrityksessä jos se yksityisellä sektorilla koskee yli 5 000:ta rekisteröityä 12 kuukauden jaksolla, tai sellaisessa yrityksessä, sen koosta riippumatta, jonka keskeisiin toimintoihin liittyy arkaluonteisten tietojen käsittelytoimia tai säännöllistä ja järjestelmällistä valvontaa vaativia käsittelytoimia, rekisterinpitäjällä tai henkilötietojen käsittelijällä olisi oltava apunaan henkilö, joka valvoo tämän asetuksen noudattamista tällaisen käsittelyn yhteydessä. Kun määritetään käsiteltävien rekisteröityjen tietojen määrää, huomioon ei pitäisi ottaa niitä arkistoituja tietoja, jotka on rajoitettu niin, että rekisterinpitäjä ei voi niitä saada normaalisti tai toteuttaa käsittelytoimia, ja joita ei voi enää muuttaa. Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti ja nautittava erityistä suojaa irtisanomista vastaan , olipa hän palvelussuhteessa rekisterinpitäjään tai ei , ja riippumatta siitä, suoritetaanko tehtävää kokopäiväisesti . Lopullisen vastuun olisi oltava organisaation johdolla. Tietosuojasta vastaavaa olisi konsultoitava etukäteen erityisesti henkilötietojen automaattisen käsittelyjärjestelmien suunnittelusta, hankinnasta, kehittämisestä ja käyttöönotosta sisäänrakennetun ja oletusarvoisen tietosuojan periaatteiden takaamiseksi. [tark. 49]

(75 a) Tietosuojavastaavalla on oltava vähintään seuraava pätevyys: tietosuojalainsäädännön sisällön ja soveltamisen perusteellinen tuntemus, tekniset ja organisatoriset toimenpiteet ja menettelyt mukaan luettuna; sisäänrakennettua ja oletusarvoista yksityisyyden suojaa sekä tietoturvaa koskevien teknisten vaatimusten hallinta; rekisterinpitäjän tai henkilötietojen käsittelijän kokoa ja käsiteltävän tiedon arkaluonteisuutta vastaava alakohtainen tietämys; kyky toteuttaa tarkastuksia ja kuulemisia, laatia asiakirjoja ja analysoida lokitiedostoja sekä kyky työskennellä työntekijöiden edustajien kanssa. Rekisterinpitäjän olisi mahdollistettava tietosuojavastaavan osallistuminen täydennyskoulutukseen työtehtävien edellyttämän erityisosaamisen ylläpitämiseksi. Nimitys tietosuojavastaavaksi ei välttämättä edellytä kyseiseltä työntekijältä kokopäivätyötä. [tark. 50]

(76) Yhdistyksiä tai muita elimiä, jotka edustavat rekisterinpitäjien ryhmiä, olisi kannustettava laatimaan työntekijöiden edustajien kuulemisen jälkeen käytännesääntöjä tässä asetuksessa asetetuissa rajoissa, jotta voitaisiin helpottaa tämän asetuksen soveltamista ottaen huomioon tietyillä aloilla suoritettavan käsittelyn erityispiirteet. Käytännesääntöjen pitäisi helpottaa tämän asetuksen noudattamista kyseisillä aloilla. [tark. 51]

(77) Läpinäkyvyyden ja tämän asetuksen noudattamisen tehostamiseksi olisi edistettävä sertifiointimekanismien sekä tietosuojasinettien ja -merkkien vakiomallisten tietosuojamerkkien käyttöönottoa, jotta rekisteröidyt voivat nopeasti , luotettavasti ja todennettavasti arvioida asianomaisten tuotteiden ja palvelujen tietosuojan tason. Unionissa olisi luotava eurooppalainen tietosuojasinetti, jonka tarkoituksena olisi lisätä rekisteröityjen luottamusta, parantaa oikeusvarmuutta rekisterinpitäjien kannalta ja samaan aikaan viedä ulkomaille eurooppalaisia tietosuojanormeja helpottamalla muiden kuin eurooppalaisten yritysten pääsyä Euroopan unionin markkinoille sertifioinnin kautta. [tark. 52]

(78) Henkilötietojen kansainväliset siirrot ovat tarpeen kansainvälisen kaupan ja yhteistyön kehittämiseksi. Tällaisten siirtojen lisääntyminen on synnyttänyt uusia henkilötietojen suojaan liittyviä haasteita ja huolenaiheita. Kun henkilötietoja siirretään unionista kolmansiin maihin tai kansainvälisille järjestöille, ei kuitenkaan pitäisi vaarantaa yksilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän asetukseen. Siirtoja kolmansiin maihin voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta täysimääräisesti noudattaen.

(79) Tämä asetus ei vaikuta unionin ja kolmansien maiden välillä tehtyihin kansainvälisiin sopimuksiin, jotka koskevat henkilötietojen siirtoa, rekisteröidyille annettavat asianmukaiset takeet mukaan lukien , sekä varmistavat kansalaisille riittävän tasoisen perusoikeuksien suojan . [tark. 53]

(80) Komissio voi päättää koko unionin osalta, että tietyt kolmannet maat tai tietty alue tai tietojenkäsittelyn sektori jossakin kolmannessa maassa tai tietyt kansainväliset järjestöt tarjoavat riittävän tasoisen tietosuojan, jotta voidaan varmistaa oikeusvarmuus ja yhdenmukaisuus kaikkialla unionissa riittävän tietosuojan tarjoavan kolmansien maiden tai kansainvälisten järjestöjen osalta. Tällöin henkilötietoja voidaan siirtää kyseisiin maihin ilman erityistä lupaa. Komissio voi myös päättää kumota tekemänsä päätöksen ilmoitettuaan asiasta ja välitettyään kattavat perustelut asianomaiselle kolmannelle maalle. [tark. 54]

(81) Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi kolmansia maita arvioidessaan otettava huomioon, miten oikeusvaltioperiaate, oikeussuoja sekä kansainväliset ihmisoikeussäännöt ja -normit toteutuvat kyseisessä kolmannessa maassa.

(82) Komissio voi myös todeta, että jokin kolmas maa tai jokin alue tai tietojenkäsittelyn sektori kolmannessa maassa tai jokin kansainvälinen järjestö ei tarjoa riittävän tasoista tietosuojaa. Lainsäädäntö, joka mahdollistaa unionin ulkopuolelta pääsyn unionissa käsiteltyihin henkilötietoihin ilman unionin tai jäsenvaltion lainsäädännön mukaista suostumusta, olisi katsottava riittämättömän tason osoitukseksi. Tällöin henkilötietojen siirtäminen kyseiseen maahan olisi kiellettävä. Tällaisessa tapauksessa olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. [tark. 55]

(83) Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan antaa asianmukaiset takeet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset takeet voivat tarkoittaa, että sovelletaan yritystä koskevia sitovia sääntöjä, komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita tai valvontaviranomaisen hyväksymiä sopimuslausekkeita, tai muita soveltuvia ja oikeasuhteisia toimenpiteitä, jotka ovat perusteltuja tiedonsiirtoon tai tiedonsiirtojen sarjaan liittyvien seikkojen perusteella, edellyttäen että valvontaviranomainen hyväksyy ne. Näissä asianmukaisissa takeissa olisi kunnioitettava rekisteröidyn oikeuksia vastaavan riittävällä tasolla kuin EU:ssa suoritettavassa tietojenkäsittelyssä, erityisesti käsittelytarkoituksen rajoittamisen, tiedonsaantioikeuden sekä oikeuden tietojen oikaisemiseen tai poistamiseen tai korvauksen saamiseen osalta. Takeilla olisi turvattava erityisesti henkilötietojen käsittelyä koskevien periaatteiden noudattaminen ja rekisteröidyn oikeudet, mahdollistettava tehokkaat muutoksenhakumekanismit, varmistettava sisäänrakennetun ja oletusarvoisen tietosuojan periaatteiden noudattaminen sekä taattava tietosuojavastaavan olemassaolo. [tark. 56]

(84) Se, että rekisterinpitäjä tai henkilötietojen käsittelijä voi käyttää joko komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää tai henkilötietojen käsittelijää sisällyttämästä tietosuojaa koskevia vakiolausekkeita laajempiin sopimuksiin tai lisäämästä muita lausekkeita tai lisätakeita , kunhan ne eivät ole suoraan tai epäsuorasti ristiriidassa komission tai valvontaviranomaisen hyväksymien vakiosopimuslausekkeiden kanssa tai vaikuta rekisteröidyn perusoikeuksiin tai -vapauksiin. Komission hyväksymät tietosuojaa koskevat vakiolausekkeet voisivat kattaa erilaisia tilanteita, kuten unioniin sijoittautuneen rekisterinpitäjän tiedonsiirrot unionin ulkopuolelle sijoittautuneelle rekisterinpitäjälle sekä unioniin sijoittautuneen rekisterinpitäjän tiedonsiirrot unionin ulkopuolelle sijoittautuneelle henkilötietojen käsittelijälle ja myös alihankkijana toimivalle käsittelijälle. Rekisterinpitäjiä ja henkilötietojen käsittelijöitä olisi kannustettava parantamaan suojatasoa entisestään lisäämällä sopimuksiin sitoumuksia, joilla täydennetään vakiosuojalausekkeita. [tark. 57]

(85) Yritysryhmän olisi voitava soveltaa sitä koskevia hyväksyttyjä sitovia sääntöjä kansainvälisiin tiedonsiirtoihinsa unionista samaan yritysryhmään kuuluville organisaatioille, kunhan näissä sitovissa säännöissä kaikki on olennaiset periaatteet ja täytäntöönpanokelpoiset oikeudet, joiden avulla voidaan varmistaa asianmukaiset takeet tällaisia henkilötietojen siirtoja tai siirtojen sarjoja varten. [tark. 58]

(86) Olisi säädettävä mahdollisuudesta tehdä tiedonsiirtoja tietyissä tilanteissa, kun rekisteröity on antanut suostumuksensa, kun siirto on tarpeen sopimuksen tai oikeudellisen vaateen nojalla, kun unionin tai jäsenvaltion lainsäädäntöön perustuvat, yleistä etua koskevat tärkeät syyt niin vaativat tai kun siirto suoritetaan lailla perustetusta rekisteristä, joka on tarkoitettu yleisön tai kenen tahansa sellaisen henkilön käyttöön, jolla on siihen oikeutettu etu. Viimeksi mainitussa tapauksessa siirto ei saisi käsittää tietoja kokonaisuudessaan tai rekisterin sisältämää kokonaista tietoryhmää, ja jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joilla on siihen oikeutettu etu, siirto olisi tehtävä ainoastaan näiden henkilöiden pyynnöstä tai jos he ovat henkilötietojen vastaanottajia ottaen täysimääräisesti huomioon rekisteröidyn edut ja perusoikeudet [tark. 59].

(87) Näitä poikkeuksia olisi sovellettava erityisesti tiedonsiirtoihin, jotka ovat tarpeen yleistä etua koskevien tärkeiden syiden vuoksi, esimerkiksi kun on kyse kansainvälisistä tiedonsiirroista kilpailuviranomaisten tai vero- tai tullihallintojen tai rahoitusalan valvontaviranomaisten tai sosiaaliturva-alan tai kansanterveyden alan toimivaltaisten viranomaisten välillä taikka tiedonsiirroista rikosten torjumisesta, tutkimisesta, selvittämisestä ja syytteeseenpanosta vastaaville toimivaltaisille viranomaisille , muun muassa rahanpesun ja/tai terrorismin rahoituksen torjuntaa varten . Henkilötietojen siirtoa olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen henkilön hengen kannalta olennaisten etujen suojelemiseksi, jos rekisteröity on estynyt antamasta suostumustaan. Yleistä etua koskevien tärkeiden syiden vuoksi tehtävää tiedonsiirtoa pitäisi käyttää vain erityistilanteissa. Tiedonsiirtoon liittyvät olosuhteet olisi arvioitava kaikissa tapauksissa huolellisesti. [tark. 60]

(88) Tiedonsiirrot, joita ei voida pitää toistuvina tai laajamittaisina, voitaisiin sallia rekisterinpitäjän tai henkilötietojen käsittelijän oikeutettujen etujen toteuttamiseksi, jos nämä ovat arvioineet kaikki tällaisiin siirtoihin liittyvät olosuhteet. Historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten olisi otettava huomioon tietämyksen lisäämistä koskevat yhteiskunnan oikeutetut odotukset. [tark. 61]

(89) Aina kun komissio ei ole tehnyt päätöstä kolmannen maan tietosuojan riittävyydestä, rekisterinpitäjän tai henkilötietojen käsittelijän olisi käytettävä ratkaisuja, jotka antavat rekisteröidyille oikeudellisesti sitovat takeet siitä, että he voivat nauttia samoja perusoikeuksia ja takeita, joita heidän tietojensa käsittelyyn sovelletaan unionissa, myös tietojen siirtämisen jälkeen , siinä määrin kuin tietojenkäsittely ei ole laajamittaista, toistuvaa ja jäsenneltyä . Näihin takeisiin olisi sisällyttävä rahallinen korvaus tapauksissa, joissa on kyse tietojen menettämisestä taikka luvattomasta tietojen saannista tai käsittelystä, sekä kansallisesta lainsäädännöstä riippumaton velvoite toimittaa kaikki tiedot kaikista kolmannen maan viranomaisten mahdollisuuksista saada tietoja. [tark. 62]

(90) Jotkut kolmannet maat säätävät lakeja, asetuksia ja muita säädöksiä, joiden tarkoituksena on suoraan säännellä jäsenvaltioiden lainkäyttövallan alaisuuteen kuuluvien luonnollisten ja oikeushenkilöiden tietojenkäsittelytoimia. Tällaisten lakien, asetusten ja muiden säädösten soveltaminen näiden kolmansien maiden alueen ulkopuolella voi olla vastoin kansainvälistä lakia ja estää tähän asetukseen perustuvan yksilöiden suojan toteutumisen unionissa. Tiedonsiirrot olisi sallittava vain jos tässä asetuksessa vahvistetut edellytykset tietojen siirtämiseksi kolmansiin maihin täyttyvät. Näin voi olla esimerkiksi silloin, kun tietojen luovuttaminen on tarpeen unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion laissa tunnustetun yleistä etua koskevan tärkeän syyn vuoksi. Komission olisi täsmennettävä delegoidulla säädöksellä edellytykset, joiden täyttyessä kyseessä on yleistä etua koskeva tärkeä syy. Jos rekisterinpitäjät tai henkilötietojen käsittelijät kohtaavat ristiriitaisia noudattamisvaatimuksia toisaalta unionin ja toisaalta kyseessä olevan kolmannen maan lainsäädännön välillä, komission olisi varmistettava, että unionin lainsäädäntöä noudatetaan aina ensisijaisesti. Komission olisi tarjottava opastusta ja tukea rekisterinpitäjälle ja henkilötietojen käsittelijälle, ja sen olisi pyrittävä ratkaisemaan oikeudenkäyttöalueisiin liittyvä ristiriita kyseessä olevan kolmannen maan kanssa. [tark. 63]

(91) Henkilötietojen siirtäminen valtioiden rajojen yli voi vaikeuttaa yksilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi rajatylittävissä tapauksissa tehtävää yhteistyötä voivat vaikeuttaa myös riittämättömät ennalta ehkäisevät tai korjaavat toimivaltuudet, oikeudellisen toimintaympäristön epäyhtenäisyys ja käytännön esteet, kuten resurssipula. Sen vuoksi on edistettävä tietosuojavalvontaviranomaisten läheisempää keskinäistä yhteistyötä, jotta ne voivat vaihtaa tietoja ja toteuttaa tutkimuksia kansainvälisten kumppaniensa kanssa.

(92) Täysin riippumattomien valvontaviranomaisten perustaminen jäsenvaltioihin on keskeinen osa yksilöiden suojelua henkilötietojen käsittelyssä. Jäsenvaltiot voivat perustaa useampia kuin yhden valvontaviranomaisen oman perustuslakinsa, organisaationsa ja hallintorakenteensa mukaisesti. Viranomaisella on oltava riittävät taloudelliset ja henkilöresurssit suorittaakseen tehtävänsä täysipainoisesti, kun otetaan huomioon väestömäärä ja käsiteltävien henkilötietojen määrä. [tark. 64]

(93) Jos jäsenvaltio perustaa useita valvontaviranomaisia, sen olisi säädettävä laissa menettelyistä, joiden avulla varmistetaan, että nämä valvontaviranomaiset osallistuvat tehokkaasti yhdenmukaisuusmekanismin toimintaan. Tällaisen jäsenvaltion olisi erityisesti nimettävä valvontaviranomainen, joka toimii yhteyspisteenä ja varmistaa näiden viranomaisten tehokkaan osallistumisen mekanismiin sekä takaa nopean ja sujuvan yhteistyön muiden valvontaviranomaisten, Euroopan tietosuojaneuvoston ja komission kanssa.

(94) Kullekin valvontaviranomaiselle olisi osoitettava riittävät taloudelliset ja henkilöresurssit, kiinnittäen erityistä huomiota henkilöstön riittävään tekniseen ja oikeudelliseen pätevyyteen, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon ja yhteistyöhön muiden valvontaviranomaisten kanssa kaikkialla unionissa. [tark. 65]

(95) Valvontaviranomaisen jäseniin sovellettavat yleiset edellytykset olisi vahvistettava kunkin jäsenvaltion lainsäädännössä. Erityisesti olisi säädettävä, että joko jäsenvaltion parlamentin tai hallituksen on nimitettävä kyseiset jäsenet huolehdittuaan siitä, että poliittisen vaikutuksen mahdollisuus minimoidaan . Lisäksi olisi vahvistettava jäsenten henkilökohtaista pätevyyttä , eturistiriitojen torjuntaa ja asemaa koskevat säännöt. [tark. 66]

(96) Valvontaviranomaisten olisi seurattava tämän asetuksen säännösten soveltamista ja edistettävä sen yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi sisämarkkinoilla. Sitä varten valvontaviranomaisten olisi tehtävä yhteistyötä keskenään ja komission kanssa.

(97) Jos unioniin sijoittautunut rekisterinpitäjä tai henkilötietojen käsittelijä suorittaa henkilötietojen käsittelyä useammassa kuin yhdessä jäsenvaltiossa, yhdellä valvontaviranomaisella yhden valvontaviranomaisen olisi oltava toimivalta valvoa toimittava rekisterinpitäjän tai henkilötietojen käsittelijän toimintaa yhteyspisteenä ja valvonnasta vastuussa olevana johtavana viranomaisena kaikkialla unionissa ja tehdä sitä koskevia päätöksiä, jotta voidaan lisätä soveltamisen yhdenmukaisuutta, taata oikeusvarmuus ja vähentää tällaisten rekisterinpitäjien ja henkilötietojen käsittelijöiden hallinnollista rasitusta. [tark. 67]

(98) Tällaista yhden luukun palvelua tarjoavan toimivaltaisen johtavan viranomaisen olisi oltava sen jäsenvaltion valvontaviranomainen, jossa rekisterinpitäjän tai henkilötietojen käsittelijän tai tämän edustajan päätoimipaikka sijaitsee. Euroopan tietosuojaneuvosto voi tietyissä tapauksissa nimittää johtavan viranomaisen yhdenmukaisuusmekanismissa toimivaltaisen viranomaisen pyynnöstä. [tark. 68]

(98 a) Rekisteröityjen, joiden henkilötietoja käsittelee rekisterinpitäjä tai henkilötietojen käsittelijä toisessa jäsenvaltiossa, olisi voitava osoittaa valituksensa valitsemalleen valvontaviranomaiselle. Johtavan tietosuojaviranomaisen olisi koordinoitava toimensa muiden asianomaisten viranomaisten kanssa. [tark. 69]

(99) Vaikka tätä asetusta sovelletaan myös kansallisten tuomioistuinten toimintaan, valvontaviranomaisten toimivalta ei saa kattaa tuomioistuinten oikeudellisiin tehtäviin liittyvää henkilötietojen käsittelyä, jotta voidaan turvata tuomareiden riippumattomuus heidän hoitaessaan lainkäyttötehtäviään. Tämä poikkeus olisi kuitenkin rajattava tiukasti koskemaan tuomioistuinten lainkäyttötehtäviä oikeudenkäynneissä, eikä sitä pidä soveltaa muuhun toimintaan, johon tuomarit saattavat osallistua kansallisen lainsäädännön mukaisesti.

(100) Jotta voitaisiin varmistaa tämän asetuksen johdonmukainen seuranta ja täytäntöönpano kaikkialla unionissa, valvontaviranomaisilla olisi oltava kaikissa jäsenvaltioissa samanlaiset tehtävät ja valtuudet, mukaan lukien tutkintavaltuudet, valtuudet toteuttaa oikeudellisesti sitovia toimia, tehdä päätöksiä ja määrätä seuraamuksia, erityisesti silloin kun yksilöt tekevät valituksia, sekä oikeus panna vireille oikeudellisia menettelyjä. Valvontaviranomaisten tutkintavaltuuksia, jotka koskevat pääsyä tiloihin, olisi käytettävä unionin ja kansallisen lainsäädännön mukaisesti. Tämä koskee erityisesti vaatimusta saada sitä varten ennakkoon tuomioistuimen lupa.

(101) Kaikkien valvontaviranomaisten olisi käsiteltävä rekisteröityjen tai yleisen edun hyväksi toimivien yhdistysten tekemiä valituksia ja tutkittava asia. Valitus olisi tutkittava siinä määrin kuin kussakin tapauksessa on asianmukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen käsiteltäväksi. Valvontaviranomaisen olisi ilmoitettava rekisteröidylle tai yhdistykselle valituksen käsittelyn etenemisestä ja sen ratkaisusta kohtuullisen ajan kuluessa. Jos asiassa tarvitaan lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle. [tark. 70]

(102) Yleisölle suunnattuun valvontaviranomaisen tiedotustoimintaan olisi sisällytettävä erityistoimia, jotka on osoitettu rekisterinpitäjille ja henkilötietojen käsittelijöille, mikroyritykset sekä pienet ja keskisuuret yritykset mukaan lukien, sekä rekisteröidyille.

(103) Valvontaviranomaisten olisi autettava toisiaan tehtävien suorittamisessa ja annettava keskinäistä apua, jotta voidaan varmistaa tämän asetuksen johdonmukainen soveltaminen ja täytäntöönpano sisämarkkinoilla.

(104) Jokaisella valvontaviranomaisella olisi oltava oikeus osallistua valvontaviranomaisten yhteisiin operaatioihin. Pyynnön vastaanottanut valvontaviranomainen olisi velvoitettava vastaamaan pyyntöön tietyssä määräajassa.

(105) Olisi perustettava yhdenmukaisuusmekanismi valvontaviranomaisten keskinäistä ja niiden ja komission välistä yhteistyötä varten, jotta voidaan varmistaa tämän asetuksen johdonmukainen soveltaminen kaikkialla unionissa. Tätä mekanismia olisi sovellettava erityisesti silloin kun valvontaviranomainen aikoo toteuttaa sellaista käsittelytoimea koskevan toimenpiteen, joka liittyy tavaroiden tai palvelujen tarjoamiseen eri jäsenvaltioissa asuville rekisteröidyille tai näiden käyttäytymisen seurantaan tai joka saattaisi merkittävästi haitata henkilötietojen vapaata liikkuvuutta. Mekanismia olisi sovellettava myös silloin kun joku valvontaviranomainen tai komissio pyytää asian käsittelyä yhdenmukaisuusmekanismin puitteissa. Lisäksi rekisteröidyillä olisi oltava oikeus vaatia yhdenmukaista käsittelyä, mikäli he katsovat, että jonkin jäsenvaltion tietosuojaviranomainen ei ole toiminut tämän vaatimuksen mukaisesti. Tämä mekanismi ei saisi vaikuttaa toimenpiteisiin, joita komissio voi toteuttaa perussopimuksissa vahvistettujen toimivaltuuksiensa nojalla. [tark. 71]

(106) Yhdenmukaisuusmekanismin soveltamiseksi Euroopan tietosuojaneuvoston olisi annettava lausunto tietyssä määräajassa, jos sen jäsenten yksinkertainen enemmistö niin päättää tai jos joku valvontaviranomainen tai komissio sitä pyytää.

(106 a) Euroopan tietosuojaneuvosto voi yksittäisissä tapauksissa tehdä toimivaltaisia valvontaviranomaisia sitovan päätöksen, jotta voidaan varmistaa tämän asetuksen johdonmukainen soveltaminen. [tark. 72]

(107) Komissio voi antaa kyseisestä asiasta lausunnon tai päätöksen, jossa se vaatii valvontaviranomaista keskeyttämään toimenpideluonnoksensa täytäntöönpanon, jotta voidaan varmistaa tämän asetuksen noudattaminen. [tark. 73]

(108) Saattaa olla tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröidyn etujen suojaamiseksi, etenkin jos on olemassa vaara, että jonkin rekisteröidylle kuuluvan oikeuden täytäntöönpanolle voi aiheutua merkittävää haittaa. Tätä varten valvontaviranomaisen olisi voitava toteuttaa yhdenmukaisuusmekanismin soveltamisen puitteissa väliaikaisia toimenpiteitä, joiden voimassaolo on rajoitettu.

(109) Tämän mekanismin soveltamisen olisi oltava valvontaviranomaisen asiaa koskevan päätöksen oikeudellisen pätevyyden ja täytäntöönpanon edellytys. Muissa tapauksissa, joilla on rajatylittävää merkitystä, asianomaiset valvontaviranomaiset voivat soveltaa keskinäistä avunantoa ja toteuttaa yhteisiä tutkimuksia kahden- tai monenväliseltä pohjalta yhdenmukaisuusmekanismiin turvautumatta.

(110) Unionin tasolla olisi perustettava Euroopan tietosuojaneuvosto. Sen olisi korvattava direktiivillä 95/46/EY perustettu tietosuojatyöryhmä. Siinä olisi oltava mukana kunkin jäsenvaltion valvontaviranomaisen päällikkö ja Euroopan tietosuojavaltuutettu. Komission olisi osallistuttava tietosuojaneuvoston toimintaan. Euroopan tietosuojaneuvoston olisi edistettävä tämän asetuksen yhdenmukaista soveltamista kaikkialla unionissa, mukaan lukien neuvojen antaminen komissiolle unionin toimielimille sekä valvontaviranomaisten yhteistyön tukeminen unionissa , mukaan lukien yhteisten operaatioiden koordinointi . Euroopan tietosuojaneuvoston olisi hoidettava tehtäviään riippumattomasti. Euroopan tietosuojaneuvoston olisi tehostettava vuoropuhelua asianomaisten sidosryhmien, kuten rekisteröityjen yhdistysten, kuluttajajärjestöjen, rekisterinpitäjien ja muiden merkityksellisten sidosryhmien ja asiantuntijoiden kanssa. [tark. 74]

(111) Jokaisella Rekisteröidyllä olisi oltava oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti , jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos valvontaviranomainen ei käsittele valitusta tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. [tark. 75]

(112) Millä tahansa jäsenvaltion lainsäädännön mukaisesti perustetulla yleisen edun hyväksi toimivalla elimellä, järjestöllä tai yhdistyksellä, jonka tarkoituksena on suojella henkilötietojen suojaamiseen liittyviä rekisteröidyn oikeuksia ja etuja, olisi oltava oikeus tehdä valitus valvontaviranomaiselle rekisteröidyn puolesta tämän suostumuksella tai soveltaa oikeussuojakeinoja rekisteröidyn puolesta, tämän valtuutuksella , tai jos kyseessä on henkilötietojen tietoturvaloukkaus tämän asetuksen rikkominen , tehdä oma valitus rekisteröidyn valituksesta riippumatta. [tark. 76]

(113) Jokaisella luonnollisella tai oikeushenkilöllä olisi oltava oikeus oikeussuojakeinoihin häntä koskevia valvontaviranomaisen päätöksiä vastaan. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, mihin valvontaviranomainen on sijoittautunut.

(114) Jotta voitaisiin vahvistaa rekisteröityjen oikeussuojaa silloin kun toimivaltainen valvontaviranomainen on sijoittautunut johonkin toiseen jäsenvaltioon kuin rekisteröidyn asuinvaltioon, rekisteröity voi pyytää mitä valtuuttaa minkä tahansa elintä, järjestöä tai yhdistystä, jonka tarkoituksena on suojella henkilötietojen suojaamiseen liittyviä rekisteröidyn oikeuksia ja etuja, yleisen edun hyväksi toimivan elimen, järjestön tai yhdistyksen nostamaan puolestaan kanteen valvontaviranomaista vastaan toisen jäsenvaltion toimivaltaisessa tuomioistuimessa. [tark. 77]

(115) Jos toiseen jäsenvaltioon sijoittautunut toimivaltainen valvontaviranomainen ei toteuta valituksen perusteella toimenpiteitä tai ei toteuta riittäviä toimenpiteitä, rekisteröity voi pyytää asuinjäsenvaltionsa valvontaviranomaista nostamaan kanteen tuota viranomaista vastaan toisen jäsenvaltion toimivaltaisessa tuomioistuimessa. Tätä ei sovelleta henkilöihin, jotka eivät asu unionissa. Pyynnön vastaanottanut valvontaviranomainen voi päättää, onko pyynnön perusteella asianmukaista toteuttaa toimenpiteitä vai ei, ja ratkaisu olisi voitava saattaa tuomioistuimen käsiteltäväksi. [tark. 78]

(116) Kantajan olisi voitava valita, nostaako se kanteen rekisterinpitäjää tai henkilötietojen käsittelijää vastaan sen jäsenvaltion tuomioistuimissa, johon rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut, vai jos kantaja asuu unionissa, rekisteröidyn asuinjäsenvaltiossa, paitsi jos rekisterinpitäjä on unionin tai sen jäsenvaltion viranomainen, jonka toiminta liittyy sen julkisen vallan käyttöön. [tark. 79]

(117) Tuomioistuimet olisi velvoitettava ottamaan yhteyttä toisiinsa, jos epäillään, että toisen jäsenvaltion tuomioistuimissa on vireillä rinnakkainen menettely. Tuomioistuinten olisi voitava keskeyttää asian käsittely, jos toisessa jäsenvaltiossa on vireillä rinnakkainen tapaus. Jäsenvaltioiden olisi varmistettava tuomioistuinmenettelyjen tehokkuus huolehtimalla siitä, että niiden avulla voidaan nopeasti hyväksyä toimenpiteitä, joilla korjataan tai ehkäistään tämän asetuksen rikkominen.

(118) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi korvattava yksilöille lainvastaisen tietojenkäsittelyn vuoksi mahdollisesti aiheutuneet joko rahalliset tai muut vahingot, mutta rekisterinpitäjä tai henkilötietojen käsittelijä voidaan vapauttaa korvausvelvollisuudesta ainoastaan , jos ne osoittavat, etteivät se osoittaa, ettei ole vastuussa vahingosta, ja erityisesti, jos ne osoittavat se osoittaa rekisteröidyn tehneen virheen tai jos kyseessä on ylivoimainen este. [tark. 80]

(119) Olisi säädettävä seuraamuksista julkis- tai yksityisoikeudellisille luonnollisille tai oikeushenkilöille, jotka eivät noudata tätä asetusta. Jäsenvaltioiden olisi varmistettava, että seuraamukset ovat tehokkaita, oikeasuhteisia ja varoittavia, ja toteutettava kaikki toimenpiteet seuraamusten täytäntöönpanemiseksi. Seuraamuksia koskevissa säännöissä olisi oltava asianmukaiset menettelylliset takeet unionin oikeuden yleisten periaatteiden ja perusoikeuskirjan mukaisesti, mukaan lukien oikeutta soveltaa tehokkaita oikeussuojakeinoja, oikeusturvaa ja ne bis in idem -periaatetta koskevat takeet. [tark. 81]

(119 a) Jäsenvaltioiden olisi seuraamuksia soveltaessaan kunnioitettava täysimääräisesti asianmukaisia menettelyllisiä takeita, mukaan lukien oikeutta soveltaa tehokkaita oikeussuojakeinoja, oikeusturvaa ja ne bis in idem -periaatetta koskevat takeet. [tark. 82]

(120) Tämän asetuksen rikkomisen vuoksi määrättävien hallinnollisten seuraamusten lujittamiseksi ja yhdenmukaistamiseksi jokaisella valvontaviranomaisella olisi oltava valtuudet määrätä hallinnollisia seuraamuksia. Tässä asetuksessa olisi mainittava nämä rikkomukset ja niistä määrättävien sakkojen enimmäismäärä, joka olisi vahvistettava kussakin tapauksessa erikseen tilanteen mukaan, ottaen huomioon rikkomuksen luonne, vakavuus ja kesto. Yhdenmukaisuusmekanismissa voidaan käsitellä myös hallinnollisten seuraamusten soveltamiseen liittyviä eroavuuksia.

(121) Ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettu Henkilötietojen käsittely käsittelyssä olisi vapautettava aina kun se on tarpeen voitava mahdollistaa vapautuksia ja poikkeuksia eräiden tämän asetuksen säännösten noudattamisesta, jotta voidaan sovittaa yhteen oikeus henkilötietojen suojaan ja oikeus sananvapauteen ja erityisesti perusoikeuskirjan 11 artiklassa vahvistettu oikeus vastaanottaa ja levittää tietoja. Tätä olisi sovellettava erityisesti audiovisuaalialalla sekä uutis- ja lehtiarkistoissa tapahtuvaan henkilötietojen käsittelyyn. Jäsenvaltioiden olisi tätä varten hyväksyttävä lainsäädäntötoimia, joissa säädetään vapautuksista ja poikkeuksista näiden perusoikeuksien tasapainottamista varten. Jäsenvaltioiden olisi hyväksyttävä tällaisia vapautuksia ja poikkeuksia, jotka koskevat yleisiä periaatteita, rekisteröidyn oikeuksia, rekisterinpitäjää ja henkilötietojen käsittelijää, tiedonsiirtoja kolmansiin maihin tai kansainvälisille järjestöille, riippumattomia valvontaviranomaisia sekä yhteistyötä, johdonmukaisuutta ja tietojenkäsittelyyn liittyviä erityistilanteita . Jäsenvaltiot eivät kuitenkaan saisi säätää poikkeuksia muista tämän asetuksen säännöksistä. Jotta voitaisiin ottaa huomioon sananvapautta koskevan oikeuden merkitys kaikissa demokraattisissa yhteiskunnissa, tähän vapauteen liittyviä käsitteitä, kuten journalismia on tulkittava väljästi. Tätä varten jäsenvaltioiden olisi luokiteltava toiminnot tässä asetuksessa säädettyjen vapautusten ja poikkeusten soveltamista varten ”journalistisiksi”, jos niiden tarkoituksena on , jotta ne kattavat kaikki toimet, joilla pyritään esittää yleisölle tietoja, mielipiteitä tai ajatuksia niiden levittämisessä käytettävästä välineestä riippumatta ottaen myöskin huomioon teknisen kehityksen . Tällaisia toimintoja ei pitäisi rajoittaa pelkästään mediayrityksiin, ja niitä olisi voitava toteuttaa sekä voiton tavoittelemiseksi että voittoa tavoittelemattomassa tarkoituksessa. [tark. 83]

(122) Terveystiedot ovat erityissuojelua tarvitseva erityinen tietoryhmä, ja niiden käsittelyyn on yleensä useita oikeutettuja syitä, jotka liittyvät sekä yksilön että koko yhteiskunnan etuun ja erityisesti rajatylittävän terveydenhuollon jatkuvuuden varmistamiseen. Sen vuoksi tässä asetuksessa olisi säädettävä terveystietojen käsittelyä koskevista yhdenmukaisista edellytyksistä, kunhan yksilön perusoikeuksien ja henkilötietojen suojaamiseksi annetaan erityiset ja asianmukaiset takeet. Tähän sisältyy yksilön oikeus saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot.

(122 a) Terveystietoja käsittelevän ammattihenkilön olisi saatava mahdollisuuksien mukaan käyttöönsä nimettömiä tai salanimellä julkaistuja tietoja, jolloin ainoastaan tällaista tietojen käsittelyä pyytänyt yleis- tai erikoislääkäri on tietoinen todellisesta henkilöllisyydestä. [tark. 84]

(123) Terveystietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tässä yhteydessä ”kansanterveydellä” olisi kansanterveyttä sekä työterveyttä ja työturvallisuutta koskevista yhteisön tilastoista 16 päivänä joulukuuta 2008 annetussa Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/2008 (9) esitetyn määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten kolmansien osapuolten kuten työnantajien tai vakuutusyhtiöiden ja pankkien toimesta. [tark. 85]

(123 a) Terveystiedot ovat erityinen tietoryhmä. Niiden käsittely voi olla tarpeen historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten. Näin ollen asetuksessa mahdollistetaan poikkeus suostumuksen vaatimisesta, jos on kyse tärkeää yleistä etua koskevasta tutkimuksesta. [tark. 86]

(124) Yksilöiden suojelua henkilötietojen käsittelyssä koskevia yleisiä periaatteita olisi sovellettava myös työsuhteen ja sosiaaliturvan yhteydessä. Siksi Jäsenvaltioiden olisi tässä asetuksessa asetetuissa rajoissa voitava antaa lainsäädännössä henkilötietojen käsittelyä työsuhteen yhteydessä koskevat erityiset säännöt, jotta voidaan säännellä työntekijöiden henkilötietojen käsittelyä työsuhteen tai henkilötietojen käsittelyä sosiaaliturvan yhteydessä tässä asetuksessa esitettyjen sääntöjen ja vähimmäisnormien mukaisesti . Jos kyseisen jäsenvaltion lainsäädännössä on oikeusperusta työsuhteeseen liittyvien kysymysten sääntelemiseksi työntekijöiden edustajan ja yrityksen tai yritysryhmän määräysvaltaa käyttävän yrityksen johdon välisellä sopimuksella (työehtosopimuksella) tai Euroopan parlamentin ja neuvoston direktiivin 2009/38/EY (10) nojalla, myös henkilötietojen käsittelyä työsuhteen yhteydessä voidaan säännellä tällaisella sopimuksella. [tark. 87]

(125) Jotta historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten suoritettava henkilötietojen käsittely olisi lainmukaista, siinä olisi noudatettava myös muita asiaan liittyviä lakisääteisiä vaatimuksia, kuten kliinisiä kokeita koskevia sääntöjä.

(125 a) Henkilötietoja voivat käsitellä jälkikäteen arkistot, joiden päätehtävänä tai oikeudellisena velvoitteena on arkistotietojen kerääminen, tallentaminen, viestittäminen, hyödyntäminen ja jakaminen yleisen edun vuoksi. Jäsenvaltion lainsäädännössä on sovitettava yhteen oikeus henkilötietojen suojaan, arkistoja koskevat säännöt ja oikeus tutustua hallinnolliseen tietoon. Jäsenvaltioiden olisi edistettävä erityisesti Euroopan arkistointialan asiantuntijaryhmän avulla sellaisten sääntöjen laadintaa, joilla taataan tietojen luottamuksellisuus kolmansien osapuolten osalta sekä tietojen aitous, eheys ja asianmukainen säilyttäminen; [tark. 88]

(126) Tieteellisellä tutkimuksella olisi tämän asetuksen soveltamista varten tarkoitettava myös perustutkimusta, soveltavaa tutkimusta ja yksityisin varoin rahoitettua tutkimusta, ja siinä olisi otettava huomioon Euroopan unionin toiminnasta tehdyn sopimuksen 179 artiklan 1 kohdassa vahvistettu eurooppalaisen tutkimusalueen toteuttamista koskeva tavoite. Tietojen käsittely historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten, paitsi jos rekisteröity on antanut suostumuksensa tai jos unionin tai jäsenvaltion lainsäädäntö mahdollistaa sen. [tark. 89]

(127) Koska valvontaviranomaisilla on valtuudet saada rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä pääsy henkilötietoihin ja rekisterinpitäjien ja henkilötietojen käsittelijöiden toimitiloihin, jäsenvaltiot voivat vahvistaa lainsäädännössä tässä asetuksessa asetetuissa rajoissa erityiset säännöt, joiden avulla taataan vaitiolovelvollisuus tai muu vastaava velvoite, jos tämä on tarpeen henkilötietojen suojaa koskevan oikeuden ja vaitiolovelvollisuuden yhteensovittamiseksi.

(128) Tässä asetuksessa kunnioitetaan kirkkojen ja uskonnollisten yhdistysten tai yhdyskuntien asemaa, joka niillä on kansallisen lainsäädännön mukaisesti jäsenvaltioissa, eikä puututa siihen, kuten Euroopan unionin toiminnasta tehdyn sopimuksen 17 artiklassa todetaan. Jos jäsenvaltion kirkot ja uskonnolliset yhdistykset tai yhdyskunnat soveltavat tämän asetuksen tullessa voimaan kattavia asianmukaisia sääntöjä, jotka koskevat yksilöiden suojaamista henkilötietojen käsittelyssä, näitä sääntöjä olisi sen vuoksi sovellettava edelleen, kunhan ne saatetaan ja on tunnustettu tämän asetuksen mukaisiksi. Tällaisia kirkkoja ja uskonnollisia yhdistyksiä olisi vaadittava säätämään täysin riippumattomien valvontaviranomaisten perustamisesta. [tark. 90]

(129) Jotta voidaan saavuttaa tämän asetuksen tavoitteet eli suojata luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan sekä varmistaa henkilötietojen vapaa liikkuvuus unionissa, komissiolle olisi siirrettävä valta hyväksyä säädösvallan siirron nojalla annettavia delegoituja säädöksiä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti. Delegoituja säädöksiä olisi annettava erityisesti käsittelyn lainmukaisuudesta; lapsen suostumusta koskevien kriteerien ja edellytysten kuvakkeisiin perustuvan tietojen välittämisen vaatimusten määrittämisestä; erityisten tietoryhmien käsittelystä; ilmeisen kohtuuttomia pyyntöjä ja rekisteröidyn oikeuksien käytöstä perittäviä maksuja koskevien kriteerien ja edellytysten määrittämisestä; rekisteröidylle ilmoittamista ja rekisteröidyn tiedonsaantioikeutta koskevista kriteereistä ja vaatimuksista; oikeudesta tulla unohdetuksi ja poistaa tiedot; profilointiin perustuvista toimenpiteistä; sisäänrakennettuun ja oletusarvoiseen tietosuojaan liittyvää rekisterinpitäjän vastuuta koskevista kriteereistä ja vaatimuksista; henkilötietojen käsittelijästä; käsittelyn dokumentointia ja turvallisuutta koskevista kriteereistä ja vaatimuksista; kriteereistä ja vaatimuksista sen määrittämiseksi, koska on tapahtunut henkilötietojen tietoturvaloukkaus, ja siitä ilmoittamiseksi valvontaviranomaisille, sekä olosuhteista, joissa henkilötietojen tietoturvaloukkauksella on todennäköisiä haittavaikutuksia rekisteröidyille; tietosuojaa koskevan vaikutustenarvioinnin laatimista edellyttävien käsittelytoimien kriteereistä ja vaatimuksista; ennakkokuulemista edellyttävien merkittävien erityisten riskien määrittämistä koskevista kriteereistä ja vaatimuksista; tietosuojavastaavan nimittämisestä ja tehtävistä; käytännesäännöistä; sen toteamisesta, että käytännesäännöt ovat tämän asetuksen mukaisia ; sertifiointimekanismeja koskevista kriteereistä ja vaatimuksista; kolmannen maan tai kansainvälisen järjestön antaman tietosuojan riittävyydestä; yritystä koskevien sitovien sääntöjen perusteella tehtävien tiedonsiirtojen kriteereistä ja vaatimuksista; tiedonsiirtoja koskevista poikkeuksista; hallinnollisista seuraamuksista; tietojen käsittelystä terveyteen liittyvien syiden vuoksi; työsuhteeseen liittyvästä käsittelystä ja historiantutkimusta taikka tilastollisia tai tieteellisiä tutkimustarkoituksia varten tehtävästä käsittelystä ja työsuhteen yhteydessä . On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla , ja että se kuulee erityisesti Euroopan tietosuojaneuvostoa . Komission olisi delegoituja säädöksiä valmistellessaan ja laatiessaan varmistettava, että asianomaiset asiakirjat toimitetaan Euroopan parlamentille ja neuvostolle yhtäaikaisesti, hyvissä ajoin ja asianmukaisesti. [tark. 91]

(130) Tämän asetuksen yhdenmukaisen soveltamisen varmistamiseksi komissiolle olisi siirrettävä täytäntöönpanovaltaa, jonka nojalla se voi vahvistaa vakiolomakkeet todennettavissa olevan suostumuksen