EUROOPAN KOMISSIO Bryssel 10.1.2017 COM(2017) 8 final 2017/0002(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta



PERUSTELUT 1.EHDOTUKSEN TAUSTA •Ehdotuksen perustelut ja tavoitteet Periaate, jonka mukaan jokaisella on oikeus henkilötietojensa suojaan, on vahvistettu Lissabonin sopimuksen myötä Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä SEUT-sopimus, 16 artiklan 1 kohdassa. Lisäksi Lissabonin sopimuksen myötä on otettu käyttöön SEUT-sopimuksen 16 artiklan 2 kohdassa vahvistettu erityinen oikeusperusta, jonka nojalla voidaan antaa henkilötietojen suojaa koskevia sääntöjä. Euroopan unionin perusoikeuskirjan 8 artiklassa vahvistetaan, että henkilötietojen suoja on perusoikeus. Oikeus henkilötietojen suojaan koskee myös henkilötietojen käsittelyä EU:n toimielimissä, elimissä ja laitoksissa. Kun henkilötietojen suojaa unionin toimielimissä koskevan EU:n lainsäädännön keskeinen säädös, asetus (EY) N:o 45/2001, annettiin vuonna 2001, sillä oli kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus unionissa. Sitä täydennettiin päätöksellä N:o 1247/2002/EY. Euroopan parlamentti ja neuvosto antoivat 27 päivänä huhtikuuta 2016 yleisen tietosuoja-asetuksen (asetus (EU) 2016/679), jota aletaan soveltaa 25 päivänä toukokuuta 2018. Kyseisessä asetuksessa kehotetaan mukauttamaan asetus (EY) N:o 45/2001 asetuksessa (EU) 2016/679 vahvistettujen periaatteiden ja sääntöjen mukaiseksi vahvan ja johdonmukaisen tietosuojakehyksen luomiseksi unioniin ja jotta molempia säädöksiä voitaisiin soveltaa samanaikaisesti. On henkilötietojen suojaan koko unionissa sovellettavan johdonmukaisen lähestymistavan mukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten, elinten ja laitosten tietosuojasäännöt jäsenvaltioiden hyväksymien tietosuojasääntöjen kanssa. Jos ehdotuksen säännökset perustuvat samaan käsitteeseen kuin asetuksen (EU) 2016/679 säännökset, näitä kahta säännöstä olisi tulkittava yhteneväisesti, erityisesti siksi, että ehdotuksen rakenteen olisi katsottava vastaavan asetuksen (EU) 2016/679 rakennetta. Asetuksen (EY) N:o 45/2001 tarkistuksessa otetaan myös huomioon tutkimusten tulokset ja sidosryhmien kuuleminen sekä arviointitutkimus, joka koskee asetuksen soveltamista 15 viime vuoden aikana. Aloite ei ole osa sääntelyn toimivuutta ja tuloksellisuutta koskevaa REFIT-ohjelmaa. •Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Ehdotuksen tarkoituksena on saattaa asetuksen (EY) N:o 45/2001 säännökset asetuksessa (EU) 2016/679 vahvistettujen periaatteiden ja sääntöjen mukaisiksi vahvan ja johdonmukaisen tietosuojakehyksen luomiseksi unioniin. Lisäksi ehdotukseen sisältyvät asetuksessa (EU) XXXX/XX [sähköisen viestinnän tietosuojadirektiivi] vahvistetut säännöt loppukäyttäjien päätelaitteiden suojelusta. •Yhdenmukaisuus unionin muiden politiikkojen kanssa Ei sovelleta 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE •Oikeusperusta Luonnollisten henkilöiden suojelu heidän henkilötietojensa käsittelyssä on perusoikeus, josta määrätään Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa. Tämä ehdotus perustuu SEUT-sopimuksen 16 artiklaan, joka on oikeusperusta tietosuojaa koskevien sääntöjen antamiselle. Kyseisen artiklan nojalla voidaan antaa sääntöjä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä silloin, kun näitä tietoja käsittelevät unionin toimielimet, elimet ja laitokset suorittaessaan unionin lainsäädännön soveltamisalaan kuuluvia tehtäviä. Lisäksi sen perusteella voidaan antaa sääntöjä, jotka koskevat henkilötietojen vapaata liikkuvuutta, myös silloin, kun henkilötietoja käsittelevät unionin toimielimet, elimet ja laitokset. •Toissijaisuusperiaate (jaetun toimivallan osalta) Tämän asetuksen kohde kuuluu unionin yksinomaiseen toimivaltaan, koska ainoastaan unioni voi antaa sääntöjä, jotka koskevat henkilötietojen käsittelyä unionin toimielimissä.

•Suhteellisuusperiaate Suhteellisuusperiaatteen mukaisesti on tarpeen ja aiheellista vahvistaa säännöt henkilötietojen käsittelystä unionin toimielimissä, elimissä ja laitoksissa perustavoitteiden saavuttamiseksi eli varmistaa luonnollisten henkilöiden yhdenmukainen suojelu henkilötietojen käsittelyssä ja henkilötietojen vapaa liikkuvuus unionissa. Tässä asetuksessa ei Euroopan unionista tehdyn sopimuksen 5 artiklan 4 kohdan mukaisesti ylitetä sitä, mikä on asetettujen tavoitteiden saavuttamiseksi tarpeen. •Toimintatavan valinta Asetus on asianmukainen oikeudellinen väline, jolla määritetään yksilöiden suojelemista unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaata liikkuvuutta koskevat puitteet. Siinä säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista ja määritetään rekisterinpitäjien tietojenkäsittelyvelvoitteet unionin toimielimissä, elimissä ja laitoksissa. Siinä säädetään myös riippumattomasta valvontaelimestä, Euroopan tietosuojavaltuutetusta, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä, elimissä ja laitoksissa. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET Komissio toteutti vuosina 2010 ja 2011 sidosryhmien kuulemiset ja vaikutustenarvioinnin osana tietosuojan uudistamista koskevan lainsäädäntöpaketin valmisteluja, joiden yhteydessä luonnosteltiin asetukseen (EY) N:o 45/2001 ehdotettuja muutoksia. Tässä yhteydessä komissio suoritti myös komission tietosuojakoordinaattoreita koskeneen kyselyn. Euroopan tietosuojavaltuutetulta, muilta unionin toimielimiltä, elimiltä ja laitoksilta, komission muilta pääosastoilta ja ulkopuoliselta toimeksisaajalta kerättiin tietoja asetuksen (EY) N:o 45/2001 käytännön soveltamisesta unionin toimielimissä, elimissä ja laitoksissa. Kyselylomake lähetettiin tietosuojavastaavien verkostolle. Tietosuojavastaavat useista unionin toimielimistä, elimistä ja laitoksista pitivät asetuksen (EY) N:o 45/2001 uudistamista koskevia työpajoja 9 päivänä heinäkuuta 2015, 22 päivänä lokakuuta 2015, 19 päivänä tammikuuta 2016 ja 15 päivänä maaliskuuta 2016. Komissio päätti vuonna 2013 toteuttaa asetuksen (EY) N:o 45/2001 soveltamista koskevan arviointitutkimuksen, joka tilattiin ulkopuoliselta toimeksisaajalta. Arviointitutkimuksen lopulliset asiakirjat (loppuraportti, viisi tapaustutkimusta ja artiklakohtainen erittely) toimitettiin komissiolle 8 päivänä kesäkuuta 2015. Arviointi osoitti, että tietosuojavastaaviin ja Euroopan tietosuojavaltuutettuun perustuva hallinnointijärjestelmä on tehokas. Siinä todettiin, että toimivallan jakaminen Euroopan tietosuojavaltuutetun ja tietosuojavastaavien välillä on selkeä ja tasapainoinen, ja että niillä on asianmukaiset valtuudet. Ongelmia saattaa kuitenkin syntyä siksi, että tietosuojavastaavien toimivalta ei ole riittävä, mikä johtuu niiden johtoportaalta saaman tuen riittämättömyydestä. Arviointitutkimuksessa todettiin, että asetuksen (EY) N:o 45/2001 täytäntöönpanoa voitaisiin tehostaa Euroopan tietosuojavaltuutetun määräämien seuraamusten avulla. Sen valvontavaltuuksien lisääntynyt käyttö voisi johtaa tietosuojasääntöjen täytäntöönpanon tehostumiseen. Lisäksi tutkimuksessa katsottiin, että rekisterinpitäjien olisi omaksuttava riskinhallintaan perustuva lähestymistapa ja toteutettava riskienarviointeja ennen tietojen käsittelyä, jotta ne voisivat noudattaa tietojen säilyttämistä ja turvallisuutta koskevia vaatimuksia paremmin. Tutkimus osoitti myös, että nykyiset asetuksen (EY) N:o 45/2001 IV luvussa olevat televiestintäalaa koskevat säännöt ovat vanhentuneita ja että kyseinen luku olisi yhdenmukaistettava sähköisen viestinnän tietosuojadirektiivin kanssa. Arviointitutkimuksen mukaan on myös tarpeen selkeyttää joitakin asetuksen (EY) N:o 45/2001 keskeisiä määritelmiä. Näitä ovat muun muassa unionin toimielimissä, elimissä ja laitoksissa toimivien rekisterinpitäjien yksilöinti, vastaanottajien määritelmä ja luottamuksellisuutta koskevan velvoitteen laajentaminen ulkopuolisiin käsittelijöihin. Arviointitutkimuksessa korostettiin myös tarvetta yksinkertaistaa ilmoitusjärjestelmää ja ennakkotarkastuksia tehokkuuden parantamiseksi ja hallinnollisen rasituksen vähentämiseksi. Arvioija suoritti online-kyselyn, joka oli suunnattu 64:lle unionin toimielimelle, elimelle ja laitokselle. Kyselyyn vastasi 422 rekisterinpitäjien vastaavaa virkamiestä, 73 tietosuojavastaavaa, 118 tietosuojakoordinaattoria ja 109 tietotekniikka-asiantuntijaa. Arvioija toteutti myös useita sidosryhmien haastatteluja. Arvioija ja komissio järjestivät 26 päivänä maaliskuuta 2015 päätösseminaarin, johon osallistui useita rekisterinpitäjiä, tietosuojavastaavia, tietosuojakoordinaattoreita ja tietotekniikka-asiantuntijoita sekä Euroopan tietosuojavaltuutetun edustajia. •Asiantuntijatiedon keruu ja käyttö Katso viittaus arviointikertomukseen edellisessä kohdassa. •Vaikutustenarviointi Nyt käsiteltävänä olevalla ehdotuksella on vaikutuksia pääasiassa unionin toimielimiin, elimiin ja laitoksiin. Tämän ovat vahvistaneet tiedot, jotka on kerätty Euroopan tietosuojavaltuutetulta, muilta unionin toimielimiltä, elimiltä ja laitoksilta, komission pääosastoilta ja ulkopuoliselta toimeksisaajalta. Lisäksi asetuksesta (EU) 2016/679, jonka kanssa nyt käsiteltävänä oleva asetus yhdenmukaistetaan, aiheutuvien uusien velvoitteiden vaikutusta on arvioitu valmistelun yhteydessä. Tämän vuoksi erityinen tätä asetusta koskeva vaikutustenarviointi on tarpeeton. •Sääntelyn toimivuus ja yksinkertaistaminen Ei sovelleta

•Perusoikeudet Oikeus henkilötietojen suojaan on vahvistettu Euroopan unionin perusoikeuskirjan 8 artiklassa, SEUT-sopimuksen 16 artiklassa ja Euroopan ihmisoikeussopimuksen 8 artiklassa. Kuten Euroopan unionin tuomioistuin on korostanut, oikeus henkilötietojen suojaan ei ole absoluuttinen, vaan sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa. Tietosuoja liittyy läheisesti myös yksityis- ja perhe-elämän kunnioittamiseen, josta määrätään perusoikeuskirjan 7 artiklassa. Nyt käsiteltävänä olevassa ehdotuksessa vahvistetaan säännöt yksilöiden suojelemisesta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta. Muita perusoikeuskirjassa vahvistettuja perusoikeuksia, joihin ehdotus voisi mahdollisesti vaikuttaa, ovat seuraavat: sananvapaus (11 artikla); omistusoikeus ja varsinkin teollis- ja tekijänoikeudet (17 artiklan 2 kohta); esimerkiksi rotuun, etniseen alkuperään, geneettisiin ominaisuuksiin, uskontoon tai vakaumukseen, poliittisiin tai muihin mielipiteisiin, vammaisuuteen tai sukupuoliseen suuntautumiseen perustuvan syrjinnän kielto (21 artikla); lapsen oikeudet (24 artikla); oikeus korkeatasoiseen terveydenhoitoon (35 artikla); oikeus tutustua asiakirjoihin (42 artikla); oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen (47 artikla). 4.TALOUSARVIOVAIKUTUKSET Ks. liitteenä oleva rahoitusselvitys. 5.LISÄTIEDOT •Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Ei sovelleta •Selittävät asiakirjat (direktiivien osalta) Ei sovelleta I LUKU – YLEISET SÄÄNNÖKSET Ehdotuksen 1 artiklassa määritetään asetuksen kohde, ja samoin kuin asetuksen (EY) N:o 45/2001 1 artiklassa, asetuksen molemmat tavoitteet: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus unionissa. Siinä säädetään myös Euroopan tietosuojavaltuutetun tärkeimmistä tehtävistä. Ehdotuksen 2 artiklassa määritellään asetuksen soveltamisala: asetusta sovelletaan kaikkien unionin toimielinten ja elinten automaattisesti tai muuten suorittamaan henkilötietojen käsittelyyn silloin, kun käsittely suoritetaan unionin oikeuden soveltamisalaan kokonaan tai osittain kuuluvien toimien toteuttamiseksi. Tämän asetuksen aineellinen soveltamisala on teknologisesti neutraali. Henkilötietojen suoja koskee myös henkilötietojen automaattista käsittelyä sekä niiden manuaalista käsittelyä, jos henkilötiedot sisältyvät tai ne on tarkoitus sisällyttää rekisteriin. Ehdotuksen 3 artiklassa esitetään asetuksessa käytettyjen käsitteiden määritelmät. Lukuun ottamatta määritelmiä käsitteille ’unionin toimielimet ja elimet’, ’rekisterinpitäjä’, ’käyttäjä’ ja ’luettelo’, joita käytetään nimenomaan tässä asetuksessa, asetuksessa käytetyt termit on määritelty asetuksessa (EU) 2016/679, asetuksessa (EU) 0000/00 [uusi sähköisen viestinnän tietosuojadirektiivi], direktiivissä 00/0000/EU [direktiivi Euroopan sähköisen viestinnän säännöstöstä] ja komission direktiivissä 2008/63/EY. II LUKU – PERIAATTEET Ehdotuksen 4 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista, jotka vastaavat asetuksen (EU) 2016/679 5 artiklassa vahvistettuja periaatteita. Asetukseen (EY) N:o 45/2001 verrattuna siihen on lisätty uusia periaatteita, jotka koskevat läpinäkyvyyttä sekä eheyttä ja luottamuksellisuutta. Ehdotuksen 5 artikla perustuu asetuksen (EU) 2016/679 6 artiklaan, ja siinä vahvistetaan lainmukaisen käsittelyn perusteet, lukuun ottamatta rekisterinpitäjän oikeutetun edun kriteeriä, jota ei sovelleta julkiseen sektoriin, ja sen vuoksi sitä ei pitäisi soveltaa unionin toimielimiin ja elimiin. Ehdotuksen 5 artiklassa säilytetään jo asetuksen (EY) N:o 45/2001 5 artiklassa vahvistetut kriteerit. Ehdotuksen 6 artiklassa täsmennetään edellytykset, jotka koskevat käsittelyä toista yhteensopivaa tarkoitusta varten asetuksen (EU) 2016/679 6 artiklan 4 kohdan mukaisesti. Asetuksen (EY) N:o 45/2001 6 artiklaan verrattuna tämä uusi säännös tarjoaa enemmän joustavuutta ja oikeusvarmuutta kun on kyse myöhemmästä käsittelystä yhteensopivaa tarkoitusta varten. Ehdotuksen 7 artiklassa täsmennetään asetuksen (EU) 2016/679 7 artiklan mukaisesti edellytykset, joiden on täytyttävä, jotta suostumus muodostaisi pätevän oikeusperustan lainmukaiselle käsittelylle.

Ehdotuksen 8 artiklassa säädetään asetuksen (EU) 2016/679 8 artiklan mukaisesti lisäedellytykset lapsen henkilötietoja koskevan käsittelyn lainmukaisuudelle suoraan lapsille tarjottavien tietoyhteiskunnan palvelujen yhteydessä. Siinä asetetaan lapselle 13 vuoden alaikäraja, jotta tämän suostumus olisi pätevä. Ehdotuksen 9 artiklassa vahvistetaan asetuksen (EY) N:o 45/2001 8 artiklan mukaisesti säännöt, jotka koskevat tietyn tasoista suojelua siirrettäessä henkilötietoja vastaanottajille, jotka eivät ole unionin toimielimiä ja elimiä ja jotka ovat sijoittautuneet unioniin ja joihin sovelletaan asetusta (EU) 2016/679 tai direktiiviä (EU) 2016/680. Siinä selvennetään, että silloin kun siirron käynnistää rekisterinpitäjä, sen olisi osoitettava siirron tarpeellisuus ja oikeasuhteisuus. Ehdotuksen 10 artiklassa säädetään erityisiä tietoryhmiä koskevasta yleisestä käsittelykiellosta ja tätä pääsääntöä koskevista poikkeuksista asetuksen (EU) 2016/679 9 artiklan pohjalta ja kehittäen edelleen asetuksen (EY) N:o 45/2001 10 artiklaa. Ehdotuksen 11 artiklassa vahvistetaan asetuksen (EU) 2016/679 10 artiklan ja asetuksen (EY) N:o 45/2001 10 artiklan 5 kohdan mukaisesti edellytykset sellaisten henkilötietojen käsittelylle, jotka liittyvät rikostuomioihin ja rikkomuksiin. Ehdotuksen 12 artiklassa täsmennetään asetuksen (EU) 2016/679 11 artiklan mukaisesti rekisterinpitäjän ilmoitusvelvollisuudet rekisteröityä kohtaan säätämällä, että jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsittelemiensä henkilötietojen perusteella, rekisterinpitäjää ei saisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä on tarpeen vain, jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Rekisterinpitäjän ei pitäisi kuitenkaan kieltäytyä vastaanottamasta rekisteröidyn antamia lisätietoja tämän oikeuksien käyttämisen tukemiseksi. Ehdotuksen 13 artiklassa esitetään asetuksen (EU) 2016/679 89 artiklan 1 kohdan perusteella säännöt suojatoimista, jotka koskevat yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuvaa käsittelyä. III LUKU – REKISTERÖIDYN OIKEUDET 1 jakso – Läpinäkyvyys ja sitä koskevat yksityiskohtaiset säännöt Ehdotuksen 14 artiklassa velvoitetaan asetuksen (EU) 2016/679 12 artiklan mukaisesti rekisterinpitäjät toimittamaan läpinäkyviä sekä helposti saatavia ja ymmärrettäviä tietoja ja vahvistamaan menettelyt ja mekanismit rekisteröidyn oikeuksien käyttämistä varten. Tämä tarkoittaa tarvittaessa muun muassa sähköisiä pyyntöjä, vaatimusta vastata rekisteröidyn pyyntöihin tietyssä määräajassa sekä kieltäytymisen perustelemista. Koska unionin toimielinten ja elinten ei odoteta missään tapauksessa perivän tietojen toimittamisesta aiheutuviin hallinnollisiin kustannuksiin liittyviä maksuja, tätä mahdollisuutta ei sisällytetty asetuksesta (EU) 2016/679. 2 jakso – Ilmoittaminen ja tiedonsaanti Ehdotuksen 15 artiklassa säädetään rekisterinpitäjän ilmoitusvelvollisuudesta rekisteröityä kohtaan, kun henkilötietoja kerätään rekisteröidyltä. Artikla perustuu asetuksen (EU) 2016/679 13 artiklaan, ja siinä kehitetään edelleen asetuksen (EY) N:o 45/2001 11 artiklaa sekä säädetään rekisteröidylle annettavista tietoista, kuten tietojen säilytysajasta, oikeudesta tehdä valitus sekä kansainvälisiin tiedonsiirtoihin liittyvistä oikeuksista. Lisäksi 16 artiklassa täsmennetään asetuksen (EU) 2016/679 14 artiklan pohjalta ja kehittäen edelleen asetuksen (EY) N:o 45/2001 12 artiklaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle silloin, kun henkilötietoja ei ole saatu rekisteröidyltä, ja mainita, mistä lähteestä tiedot on saatu. Ehdotuksessa säilytetään myös asetuksen (EU) 2016/679 mukaiset mahdolliset poikkeukset, esimerkiksi se, että tällaista velvollisuutta ei ole, jos rekisteröidyllä on jo nämä tiedot, jos tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatisi rekisterinpitäjältä kohtuutonta vaivaa, jos henkilötiedot on pidettävä luottamuksellisina, koska niitä koskee unionin oikeuteen perustuva salassapitovelvollisuus, tai jos kyseisestä rekisteröinnistä tai tietojen luovutuksesta on nimenomaisesti lailla säädetty. Poikkeusta voitaisiin soveltaa esimerkiksi sosiaaliturva-alan tai terveydenhuoltoalan toimivaltaisten viranomaisten menettelyissä. Ehdotuksen 17 artiklassa säädetään asetuksen (EU) 2016/679 15 artiklan mukaisesti ja kehittäen edelleen asetuksen (EY) N:o 45/2001 13 artiklaa rekisteröidyn oikeudesta tutustua omiin henkilötietoihinsa, minkä lisäksi siihen on lisätty uusia elementtejä, kuten velvollisuus ilmoittaa rekisteröidylle tietojen säilytysajasta sekä oikeudesta oikaista ja poistaa tietoja ja valitusoikeudesta. 3 jakso – Tietojen oikaiseminen ja poistaminen Ehdotuksen 18 artiklassa säädetään asetuksen (EU) 2016/679 16 artiklan pohjalta ja kehittäen edelleen asetuksen (EY) N:o 45/2001 14 artiklaa rekisteröidyn oikeudesta tietojen oikaisuun. Ehdotuksen 19 artiklassa vahvistetaan asetuksen (EU) 2016/679 17 artiklan ja asetuksen (EY) N:o 45/2001 16 artiklan mukaisesti rekisteröidyn oikeudesta tulla unohdetuksi ja saada tiedot poistetuksi. Siinä säädetään edellytykset oikeudelle tulla unohdetuksi. Tähän sisältyy muun muassa tiedot julkistaneen rekisterinpitäjän velvollisuus ilmoittaa kolmansille osapuolille rekisteröidyn pyynnöstä poistaa kyseisiin henkilötietoihin liittyvät linkit tai tietojen kopiot tai jäljennökset. Ehdotuksen 20 artiklassa säädetään oikeudesta rajoittaa tietojenkäsittelyä tietyissä tapauksissa. Siinä vältetään käyttämästä asetuksen (EY) N:o 45/2001 moniselitteistä ilmaisua ”suojata tiedot tietokannassa” ja varmistetaan yhdenmukaisuus asetuksen (EU) 2016/679 18 artiklassa käytetyn uuden terminologian kanssa. Ehdotuksen 21 artiklassa säädetään asetuksen (EU) 2016/679 19 artiklan mukaisesti ja kehittäen edelleen asetuksen (EY) N:o 45/2001 17 artiklaa rekisterinpitäjän velvollisuudesta ilmoittaa niille vastaanottajille, joille henkilötietoja on luovutettu, henkilötietojen oikaisemisesta tai poistamisesta tai rajoittamisesta, paitsi jos se osoittautuu mahdottomaksi tai aiheuttaisi kohtuutonta vaivaa. Rekisterinpitäjän on myös ilmoitettava rekisteröidylle näistä vastaanottajista, jos rekisteröity sitä pyytää. Ehdotuksen 22 artiklassa otetaan asetuksen (EU) 2016/679 20 artiklan mukaisesti käyttöön rekisteröidyn oikeus siirtää tiedot järjestelmästä toiseen, eli oikeus saada ne häntä itseään koskevat henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle, tai saada tällaiset henkilötiedot siirrettyä suoraan toiselle rekisterinpitäjälle, jos se on teknisesti mahdollista. Siirron edellytykseksi ja jotta voidaan vahvistaa yksilön oikeutta tutustua omiin henkilötietoihinsa, siinä säädetään myös oikeudesta saada kyseiset tiedot rekisterinpitäjältä jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa. Tätä oikeutta sovelletaan vain silloin, kun tietojenkäsittely perustuu rekisteröidyn suostumukseen tai hänen tekemäänsä sopimukseen. 4 jakso – Oikeus vastustaa henkilötietojen käsittelyä ja automaattisesti tehtävät yksittäispäätökset

Ehdotuksen 23 artiklassa säädetään asetuksen (EU) 2016/679 21 artiklan pohjalta ja kehittäen edelleen asetuksen (EY) N:o 45/2001 18 artiklaa rekisteröidyn oikeudesta vastustaa tietojenkäsittelyä. Ehdotuksen 24 artiklassa säädetään asetuksen (EU) 2016/679 22 artiklan pohjalta ja kehittäen edelleen asetuksen (EY) N:o 45/2001 19 artiklaa rekisteröidyn oikeudesta olla joutumatta sellaisen toimenpiteen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, mukaan lukien profilointi. 5 jakso – Rajoitukset Ehdotuksen 25 artiklassa sallitaan rajoitukset 14–22 sekä 34 ja 38 artiklassa säädettyihin rekisteröidyn oikeuksiin ja 4 artiklassa säädettyihin periaatteisiin (siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia). Tällaisista rajoituksista olisi säädettävä perussopimusten perusteella hyväksytyissä säädöksissä tai unionin toimielinten ja elinten sisäisissä säännöissä. Jos tällaisen rajoituksen mahdollisuudesta ei ole säädetty perussopimusten perusteella hyväksytyissä säädöksissä tai unionin toimielinten ja elinten sisäisissä säännöissä, kyseisissä säännöissä voidaan asettaa tietyn käsittelytoimen osalta tilapäinen rajoitus, jos se noudattaa keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide yhden tai useamman sellaisen tavoitteen turvaamiseksi, jotka mahdollistavat rekisteröidyn oikeuksia koskevat rajoitukset. Tämä lähestymistapa on yhdenmukainen asetuksen (EU) 2016/679 23 artiklan kanssa. Poiketen kuitenkin siitä, mitä asetuksen (EU) 2016/679 23 artiklassa säädetään, ja asetuksen (EY) N:o 45/2001 20 artiklan mukaisesti tässä säännöksessä ei säädetä mahdollisuudesta rajoittaa oikeutta vastustaa henkilötietojen käsittelyä ja oikeutta olla joutumatta pelkästään automaattiseen käsittelyyn perustuvien päätösten kohteeksi. Rajoituksia koskevat vaatimukset ovat yhdenmukaisia Euroopan unionin tuomioistuimen perusoikeuskirjaa koskevan tulkinnan ja Euroopan ihmisoikeustuomioistuimen Euroopan ihmisoikeussopimusta koskevan tulkinnan kanssa. IV LUKU – REKISTERINPITÄJÄ JA HENKILÖTIETOJEN KÄSITTELIJÄ 1 jakso – Yleiset velvollisuudet Ehdotuksen 26 artikla perustuu asetuksen (EU) 2016/679 24 artiklaan, ja siinä otetaan käyttöön tilivelvollisuusperiaate kuvaamalla rekisterinpitäjän velvollisuutta noudattaa tätä asetusta ja osoittaa se muun muassa hyväksymällä asianmukaisia teknisiä ja organisatorisia toimenpiteitä ja tarvittaessa sisäisiä menettelyjä ja mekanismeja noudattamisen varmistamiseksi. Asetuksen (EU) 2016/679 24 artiklan 3 kohtaa ei pidetty tässä säännöksessä, sillä unionin toimielinten ja elinten ei pitäisi noudattaa käytännesääntöjä tai sertifiointimekanismeja. Ehdotuksen 27 artiklassa säädetään asetuksen (EU) 2016/679 25 artiklan mukaisesti rekisterinpitäjän velvollisuudet, jotka perustuvat sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Yhteisrekisterinpitäjiä koskeva 28 artikla perustuu asetuksen (EU) 2016/679 26 artiklaan, ja siinä täsmennetään yhteisrekisterinpitäjien – jotka voivat olla joko unionin toimielimiä tai elimiä taikka muiden rekisterinpitäjiä – vastuualueet siltä osin kuin on kyse niiden keskinäisistä suhteista ja suhteista rekisteröityyn. Tämä säännös koskee tilannetta, jossa kaikki yhteisrekisterinpitäjät kuuluvat saman oikeudellisen järjestelmän (tämä asetus) piiriin, ja tilannetta, jossa osa niistä kuuluu tämän asetuksen soveltamisalaan ja osa toisen säädöksen soveltamisalaan (asetus (EU) 2016/679, direktiivi (EU) 2016/680, direktiivi (EU) 2016/681 ja muut erityiset unionin toimielimiä tai elimiä koskevat tietosuojajärjestelmät). Ehdotuksen 29 artikla perustuu asetuksen (EU) 2016/679 28 artiklaan ja siinä kehitetään edelleen asetuksen (EY) N:o 45/2001 23 artiklaa, jotta voidaan selventää henkilötietojen käsittelijöiden asemaa ja velvollisuuksia, muun muassa säätämällä, että jos henkilötietojen käsittelijä rikkoo tätä asetusta määrittämällä käsittelyn tarkoitukset ja keinot, henkilötietojen käsittelijää on pidettävä kyseisen käsittelyn rekisterinpitäjänä. Ehdotuksen 30 artikla koskee tietojenkäsittelyä rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa. Säännös perustuu asetuksen (EU) 2016/679 29 artiklaan, jossa kielletään henkilötietojen käsittelijää tai rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimivaa henkilöä, jolla on pääsy henkilötietoihin, käsittelemästä kyseisiä tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti, jollei unionin oikeudessa tai jäsenvaltion lainsäädännössä niin vaadita. Ehdotuksen 31 artikla perustuu asetuksen (EU) 2016/679 30 artiklaan, ja siinä otetaan käyttöön rekisterinpitäjiä ja henkilötietojen käsittelijöitä koskeva velvollisuus säilyttää niiden vastuulla toteutettavia käsittelytoimia koskevat asiakirjat, kun asetuksen (EY) N:o 45/2001 25 artiklassa säädetään velvollisuudesta ilmoittaa tietojenkäsittelystä etukäteen Euroopan tietosuojavaltuutetulle ja tietosuojavastaavan rekisteriin. Toisin kuin asetuksessa (EU) 2016/679 tässä säännöksessä ei viitata edustajiin, sillä unionin toimielimillä ei ole edustajia, vaan niillä on aina tietosuojavastaavia. Viittauksia asetuksen (EU) 2016/679 mukaisten, erityistilanteita koskevien poikkeusten perusteella tehtäviin siirtoihin ei ole säilytetty, koska nyt käsiteltävänä oleva asetus ei kata kyseisenlaisia siirtoja. Velvollisuus ylläpitää selostetta henkilötietojen käsittelytoimista voidaan keskittää unionin toimielimen tai elimen tasolla. Tällaisessa tapauksessa unionin toimielimillä ja elimillä on mahdollisuus pitää käsittelytoimia koskevat selosteet julkisesti saatavilla olevana rekisterinä. Ehdotuksen 32 artiklassa täsmennetään asetuksen (EU) 2016/679 31 artiklan perusteella unionin toimielinten ja elinten velvollisuudet tehdä yhteistyötä Euroopan tietosuojavaltuutetun kanssa. 2 jakso – Henkilötietojen turvallisuus ja sähköisen viestinnän luottamuksellisuus Ehdotuksen 33 artiklassa velvoitetaan asetuksen (EU) 2016/679 32 artiklan mukaisesti ja kehittäen edelleen asetuksen (EY) N:o 45/2001 22 artiklaa rekisterinpitäjä toteuttamaan tietojenkäsittelyn turvallisuuden varmistamiseksi tarvittavat toimenpiteet. Ehdotuksessa laajennetaan velvollisuus koskemaan kaikkia henkilötietojen käsittelijöitä, riippumatta siitä, millainen sopimus niillä on rekisterinpitäjän kanssa. Ehdotuksen 34 artikla perustuu asetuksen (EY) N:o 45/2001 36 artiklaan, ja sillä varmistetaan sähköisen viestinnän luottamuksellisuus unionin toimielimissä ja laitoksissa. Ehdotuksen 35 artikla perustuu unionin toimielinten ja elinten nykyiseen käytäntöön, ja siinä suojellaan unionin toimielinten ja elinten yleisesti saatavilla olevia verkkosivustoja ja mobiilisovelluksia käyttävien loppukäyttäjien päätelaitteisiin liittyvät tiedot asetuksen (EU) XXXX/XX [uusi sähköisen viestinnän tietosuoja-asetus] ja erityisesti sen 8 artiklan mukaisesti. Ehdotuksen 36 artikla perustuu asetuksen (EY) N:o 45/2001 38 artiklaan, ja sillä suojellaan unionin toimielinten ja elinten julkisissa ja yksityisissä luetteloissa olevat henkilötiedot. Ehdotuksen 37 ja 38 artiklassa otetaan asetuksen (EU) 2016/679 33 ja 34 artiklan mukaisesti käyttöön velvollisuus ilmoittaa henkilötietoihin kohdistuvista tietoturvaloukkauksista. 3 jakso – Tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen

Ehdotuksen 39 artikla perustuu asetuksen (EU) 2016/679 35 artiklaan, ja siinä säädetään rekisterinpitäjiä ja henkilötietojen käsittelijöitä koskevasta velvollisuudesta laatia tietosuojaa koskeva vaikutustenarviointi ennen sellaisia käsittelytoimia, jotka todennäköisesti aiheuttavat suuren riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Tätä velvoitetta sovelletaan erityisesti, kun on kyse luonnollisten henkilöiden henkilökohtaisten ominaisuuksien järjestelmällisestä ja kattavasta arvioinnista, joka perustuu automaattiseen käsittelyyn, kuten profilointiin, laajamittaisesta käsittelystä, joka kohdistuu erityisiin henkilötietoryhmiin, tai yleisölle avoimen alueen laajamittaisesta, järjestelmällisestä valvonnasta. Ehdotuksen 40 artikla perustuu asetuksen (EU) 2016/679 36 artiklaan, ja se koskee tapauksia, joissa Euroopan tietosuojavaltuutetun lupa ja tämän kuuleminen on pakollista ennen käsittelyä. Ehdotuksen 40 artiklan ensimmäisessä kohdassa toistetaan kuitenkin asetuksen (EU) 2016/679 johdanto-osan 94 kappale, ja sen tarkoituksena on selventää kuulemisvelvollisuuden laajuutta. 4 jakso – Ilmoittaminen ja lainsäädäntöä koskeva kuuleminen Ehdotuksen 41 artiklassa säädetään unionin toimielinten ja elinten velvollisuudesta ilmoittaa Euroopan tietosuojavaltuutetulle suunnittelemistaan hallinnollisista toimenpiteistä ja sisäisistä säännöistä, jotka koskevat henkilötietojen käsittelyä. Ehdotuksen 42 artiklassa säädetään komission velvollisuudesta kuulla Euroopan tietosuojavaltuutettua sen jälkeen, kun ehdotus lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi ja SEUT-sopimuksen 218 artiklan mukaisiksi suosituksiksi tai ehdotuksiksi neuvostolle on hyväksytty, ja silloin kun komissio laatii delegoituja säädöksiä tai täytäntöönpanosäädöksiä, joilla on vaikutusta yksilöiden oikeuksien ja vapauksien suojeluun henkilötietojen käsittelyssä. Jos kyseiset säädökset ovat erityisen tärkeitä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komissio voi myös kuulla Euroopan tietosuojaneuvostoa. Tällaisissa tapauksissa molempien yksiköiden olisi koordinoitava työskentelyään yhteisen lausunnon antamiseksi. Ehdotuksen mukaan lausunto olisi edellä mainituissa tapauksissa annettava kahdeksan viikon määräajan kulussa, lukuun ottamatta mahdollisia poikkeuksia kiireellisissä tapauksissa ja silloin kun se on tarkoituksenmukaista, esimerkiksi silloin, kun komissio valmistelee delegoituja säädöksiä ja täytäntöönpanosäädöksiä. 5 jakso – Velvollisuus vastata väitteisiin Ehdotuksen 43 artiklassa säädetään rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudesta vastata väitteisiin sen jälkeen, kun Euroopan tietosuojavaltuutettu on päättänyt asian antamisesta näiden käsiteltäväksi. 6 jakso – Tietosuojavastaava Ehdotuksen 44 artikla perustuu asetuksen (EU) 2016/679 37 artiklan 1 kohdan a alakohtaan ja asetuksen (EY) N:o 45/2001 24 artiklaan, ja siinä säädetään unionin toimielinten ja elinten pakollisesta tietosuojavastaavasta. Ehdotuksen 45 artiklassa, joka perustuu asetuksen (EU) 2016/679 38 artiklaan ja asetuksen (EY) N:o 45/2001 24 artiklaan, säädetään tietosuojavastaavan asemasta. Ehdotuksen 46 artikla perustuu asetuksen (EU) 2016/679 39 artiklaan sekä asetuksen (EY) N:o 45/2001 24 artiklaan ja sen liitteen toiseen ja kolmanteen kohtaan. Siinä säädetään tietosuojavastaavan keskeisistä tehtävistä. V LUKU – HENKILÖTIETOJEN SIIRTO KOLMANSIIN MAIHIN TAI KANSAINVÄLISILLE JÄRJESTÖILLE Ehdotuksen 47 artikla perustuu asetuksen (EY) N:o 45/2001 9 artiklaan ja siinä esitetään asetuksen (EU) 2016/679 44 artiklan mukaisesti yleinen periaate, jonka mukaan tämän asetuksen muita säännöksiä ja V luvussa vahvistettuja edellytyksiä on noudatettava aina kun henkilötietoja siirretään kolmansiin maihin tai kansainvälisille järjestöille, mukaan lukien henkilötietojen siirto edelleen kolmannesta maasta tai kansainvälisestä järjestöstä johonkin muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle. Ehdotuksen 48 artiklan mukaan henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti, että tietosuojan riittävä taso on varmistettu kolmannessa maassa tai kolmannen maan alueella tai yhdellä tai useammalla tietyllä toimialalla taikka kyseisessä kansainvälisessä järjestössä ja henkilötiedot siirretään ainoastaan rekisterinpitäjän toimivaltaan kuuluvien tehtävien suorittamiseksi. Tämän artiklan 2 ja 3 kohdan sisältö on sama kuin asetuksen (EY) N:o 45/2001 9 artiklan, sillä niiden avulla voidaan seurata tietosuojan tasoa kolmansissa maissa ja kansainvälisissä järjestöissä. Ehdotuksen 49 artikla perustuu asetuksen (EU) 2016/679 46 artiklaan, ja siinä edellytetään, että kun tietoja siirretään kolmansiin maihin, joiden osalta komissio ei ole tehnyt tietosuojan tason riittävyyttä koskevaa päätöstä, on annettava asianmukaiset takeet, joita voivat olla erityisesti tietosuojaa koskevat vakiolausekkeet tai sopimuslausekkeet. Muut henkilötietojen käsittelijät kuin unionin toimielimet ja elimet voisivat käyttää yrityksiä sitovia sääntöjä, käytännesääntöjä ja sertifiointimekanismeja asetuksen (EU) 2016/679 mukaisesti. Tämän artiklan neljäs kohta, joka koskee unionin toimielinten ja elinten velvollisuutta ilmoittaa Euroopan tietosuojavaltuutetulle tapauksista, joissa ne ovat soveltaneet tätä artiklaa, vastaa asetuksen (EY) N:o 45/2001 9 artiklan 8 kohtaa, ja se säilytetään erityisluonteensa vuoksi. Viides kohta perustuu asetuksen (EU) 2016/679 46 artiklan 5 kohtaan, jonka mukaan voimassa olevat hyväksynnät pysyvät voimassa. Ehdotuksen 50 artiklassa täsmennetään asetuksen (EU) 2016/679 48 artiklan mukaisesti, että kolmansien maiden tuomioistuinten tai hallintoviranomaisten päätökset, joissa määrätään henkilötietojen siirtämisestä tai luovuttamisesta, voidaan tunnustaa tai saattaa jollakin tavoin täytäntöönpanokelpoiseksi vain, jos se perustuu pyynnön esittäneen kolmannen maan ja unionin väliseen voimassa olevaan kansainväliseen sopimukseen kuten keskinäiseen oikeusapusopimukseen, sanotun kuitenkaan rajoittamatta tämän luvun mukaisten muiden siirtoa koskevien perusteiden soveltamista. Ehdotuksen 51 artikla perustuu asetuksen (EU) 2016/679 49 artiklaan, ja siinä täsmennetään ja selkeytetään tiedonsiirtoja koskevia poikkeuksia. Tämä koskee erityisesti tiedonsiirtoja, jotka ovat tarpeen tärkeiden yleistä etua koskevien syiden vuoksi, esimerkiksi kun on kyse kansainvälisistä tiedonsiirroista, joissa osallisina ovat kilpailuviranomaiset tai vero- tai tullihallinnot tai jotka tehdään sosiaaliturva-alan tai kalatalouden hallinnoinnista vastaavien toimivaltaisten viranomaisten välillä. Viides kohta, joka koskee velvollisuutta ilmoittaa Euroopan tietosuojavaltuutetulle tapauksista, joissa poikkeuksia on sovellettu tietoja siirrettäessä, vastaa asetuksen (EY) N:o 45/2001 9 artiklan 8 kohtaa. Ehdotuksen 52 artikla perustuu asetuksen (EU) 2016/679 50 artiklaan. Siinä säädetään nimenomaisesti Euroopan tietosuojavaltuutetun (yhteistyössä komission ja Euroopan tietosuojaneuvoston kanssa) ja kolmansien maiden valvontaviranomaisten välisistä kansainvälisistä yhteistyömekanismeista henkilötietojen suojaamiseksi. VI LUKU – EUROOPAN TIETOSUOJAVALTUUTETTU Ehdotuksen 53 artikla, joka perustuu asetuksen (EY) N:o 45/2001 41 artiklaan, koskee tietosuojavaltuutetun perustamista.

Ehdotuksen 54 artikla perustuu asetuksen (EY) N:o 45/2001 42 artiklaan ja päätöksen 1247/2002/EY 3 artiklaan. Siinä vahvistetaan säännöt, jotka koskevat Euroopan tietosuojavaltuutetun nimittämistä. Tämä tehtävä kuuluu Euroopan parlamentille ja neuvostolle. Siinä säädetään myös tietosuojavaltuutetun toimikauden kestosta, joka on viisi vuotta. Ehdotuksen 55 artikla perustuu asetuksen (EY) N:o 45/2001 43 artiklaan ja päätöksen 1247/2002/EY 1 artiklaan. Siinä vahvistetaan ohjesäännöt ja yleiset säännöt, jotka koskevat Euroopan tietosuojavaltuutetun ja tämän henkilöstön tehtävien hoitamista sekä taloudellisia resursseja. Ehdotuksen 56 artikla perustuu asetuksen (EU) 2016/679 52 artiklaan ja asetuksen (EY) N:o 45/2001 44 artiklaan. Siinä selvennetään Euroopan tietosuojavaltuutetun riippumattomuuden edellytyksiä, ottaen huomioon Euroopan unionin tuomioistuimen oikeuskäytäntö. Ehdotuksen 57 artiklassa, joka perustuu asetuksen (EY) N:o 45/2001 45 artiklaan, säädetään Euroopan tietosuojavaltuutetun salassapitovelvollisuudesta toimikauden aikana, kun on kyse luottamuksellisista tiedoista, jotka hän on saanut tietoonsa tehtäviään suorittaessaan. Ehdotuksen 58 artikla perustuu asetuksen (EU) 2016/679 57 artiklaan ja asetuksen (EY) N:o 45/2001 46 artiklaan, ja siinä säädetään Euroopan tietosuojavaltuutetun tehtävistä, joita ovat muun muassa valitusten käsittely ja tutkiminen sekä tietosuojaan liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista tiedottaminen yleisölle. Ehdotuksen 59 artiklassa, joka perustuu asetuksen (EU) 2016/679 58 artiklaan ja asetuksen (EY) N:o 45/2001 47 artiklaan, säädetään Euroopan tietosuojavaltuutetun valtuuksista. Ehdotuksen 60 artiklassa, joka perustuu asetuksen (EU) 2016/679 59 artiklaan ja asetuksen (EY) N:o 45/2001 48 artiklaan, säädetään Euroopan tietosuojavaltuutetun velvollisuudesta laatia vuosittain toimintakertomus. VII LUKU – YHTEISTYÖ JA YHDENMUKAISUUS Ehdotuksen 61 artiklassa, joka perustuu asetuksen (EU) 2016/679 61 artiklaan ja asetuksen (EY) N:o 45/2001 46 artiklan f kohtaan, esitetään nimenomaiset säännöt Euroopan tietosuojavaltuutetun yhteistyöstä kansallisten valvontaviranomaisten kanssa. Asetuksen 62 artiklassa säädetään Euroopan tietosuojavaltuutetun velvollisuuksista silloin kun muissa unionin säädöksissä viitataan tähän artiklaan osana koordinoitua valvontaa yhdessä kansallisten valvontaviranomaisten kanssa. Sillä pyritään panemaan täytäntöön yhtenäinen koordinoidun valvonnan malli. Tätä mallia voitaisiin käyttää sellaisten laajojen tietojärjestelmien koordinoituun valvontaan, kuten Eurodac, Schengenin tietojärjestelmä (SIS II), viisumitietojärjestelmä, tullitietojärjestelmä tai sisämarkkinoiden tietojenvaihtojärjestelmä, mutta myös joidenkin sellaisten unionin virastojen, kuten Europolin, valvontaan, joissa on käytössä Euroopan tietosuojavaltuutetun ja kansallisten viranomaisten välistä yhteistyötä koskeva erityinen malli. Euroopan tietosuojaneuvoston olisi toimittava keskitettynä foorumina, jonka avulla varmistetaan koordinoitu valvonta kaikilla aloilla. VIII LUKU – OIKEUSSUOJAKEINOT, VASTUU JA SEURAAMUKSET Ehdotuksen 63 artiklassa, joka perustuu asetuksen (EU) 2016/679 77 artiklaan ja asetuksen (EY) N:o 45/2001 32 artiklaan, säädetään jokaisen rekisteröidyn oikeudesta tehdä valitus Euroopan tietosuojavaltuutetulle. Siinä säädetään myös Euroopan tietosuojavaltuutetun velvollisuudesta käsitellä valitus ja ilmoittaa rekisteröidylle valituksen etenemisestä ja valitusta koskevasta ratkaisusta kolmen kuukauden kuluessa, minkä jälkeen on katsottava, että valitus on hylätty. Ehdotuksen 64 artiklassa säilytetään asetuksen (EY) N:o 45/2001 32 artiklan 1 kohta, jossa säädetään unionin tuomioistuimen toimivallasta ratkaista kaikki riidat, jotka koskevat tämän asetuksen säännöksiä, mukaan lukien vahingonkorvausvaatimukset. Ehdotuksen 65 artiklassa säädetään oikeudesta korvaukseen sekä aineellisesta että aineettomasta vahingosta ottaen huomioon perussopimuksissa määrätyt edellytykset, mukaan lukien vastuuta koskevat edellytykset. Ehdotuksen 66 artikla perustuu asetuksen (EU) 2016/679 83 artiklaan, ja siinä säädetään Euroopan tietosuojavaltuutetun valtuuksista määrätä hallinnollisia sakkoja unionin toimielimille ja elimille viimesijaisena seuraamuksena ja ainoastaan, jos unionin toimielimet tai elimet eivät ole noudattaneet 59 artiklan 2 kohdan a–h ja j alakohdan mukaista Euroopan tietosuojavaltuutetun määräystä. Artiklassa määritetään myös perusteet, joiden nojalla päätetään hallinnollisen sakon määrästä kussakin yksittäisessä tapauksessa, kun taas vuotuiset ylärajat ovat saaneet vaikutteita joissakin jäsenvaltioissa sovellettavien sakkojen määristä. Ehdotuksen 67 artiklassa annetaan asetuksen (EU) 2016/679 80 artiklan 1 kohdan mukaisesti tietyille elimille, järjestöille tai yhdistyksille mahdollisuus tehdä valitus rekisteröidyn puolesta. Ehdotuksen 68 artiklassa vahvistetaan asetuksen (EY) N:o 45/2001 33 artiklan mukaisesti erityiset säännöt, joilla pyritään suojelemaan unionin henkilöstön jäseniä, silloin kun nämä tekevät virkatietä käyttämättä Euroopan tietosuojavaltuutetulle valituksen, joka koskee tämän asetuksen säännösten väitettyä rikkomista. Ehdotuksen 69 artikla perustuu asetuksen (EY) N:o 45/2001 49 artiklaan. Siinä säädetään seuraamuksista, joita sovelletaan, jos Euroopan unionin palveluksessa oleva virkamies tai muu toimihenkilö jättää täyttämättä tämän asetuksen mukaiset velvollisuutensa. IX LUKU – TÄYTÄNTÖÖNPANOSÄÄDÖKSET Ehdotuksen 70 artiklassa säädetään komiteamenettelystä, jolla komissiolle siirretään täytäntöönpanovaltaa sellaisia tapauksia varten, joissa unionin oikeudellisesti velvoittavat säädökset edellyttävät SEUT-sopimuksen 291 artiklan mukaisesti yhdenmukaista täytäntöönpanoa. Sovelletaan tarkastelumenettelyä.

X LUKU – LOPPUSÄÄNNÖKSET Ehdotuksen 71 artiklalla kumotaan asetus (EY) N:o 45/2001 ja päätös N:o 1247/2002/EY, ja siinä säädetään, että viittaukset kyseisiin kahteen kumottuun säädökseen on katsottava viittauksiksi tähän asetukseen. Ehdotuksen 72 artiklassa selvennetään, että asetus ei vaikuta Euroopan tietosuojavaltuutetun ja apulaistietosuojavaltuutetun nykyiseen toimikauteen ja että asetuksen 54 artiklan 4, 5 ja 7 kohtaa sekä 56 ja 57 artiklaa sovelletaan nykyiseen apulaistietosuojavaltuutettuun hänen toimikautensa loppuun asti eli 5 päivään joulukuuta 2019. Asetuksen 73 artiklassa säädetään, että asetus tulee voimaan 25 päivänä toukokuuta 2018, jotta varmistetaan yhdenmukaisuus asetuksen (EU) 2016/679 soveltamispäivän kanssa.



2017/0002 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan 2 kohdan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. (2)Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/2001 säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista, määritetään rekisterinpitäjien tietojenkäsittelyvelvollisuudet yhteisön toimielimissä ja elimissä, ja perustetaan riippumaton valvontaviranomainen Euroopan tietosuojavaltuutettu, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä ja elimissä. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan unionin toimielinten ja muiden elinten sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan. (3)Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 sekä Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 hyväksyttiin 27 päivänä huhtikuuta 2016. Asetuksessa vahvistetaan yleiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa, kun taas direktiivissä vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla. (4)Asetuksessa (EU) 2016/679 korostetaan tarvetta tehdä asetukseen (EY) N:o 45/2001 tarpeelliset mukautukset vahvan ja johdonmukaisen tietosuojakehyksen luomiseksi unioniin ja jotta niitä voitaisiin alkaa soveltaa samanaikaisesti asetuksen (EU) 2016/679 kanssa.

(5)Henkilötietojen suojaan koko unionissa sovellettavan johdonmukaisen lähestymistavan ja näiden tietojen unionissa tapahtuvan vapaan liikkuvuuden vuoksi on tarkoituksenmukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten ja elinten tietosuojasäännöt jäsenvaltioiden julkista sektoria varten hyväksyttyjen tietosuojasääntöjen kanssa. Aina kun tämän asetuksen säännökset perustuvat samaan käsitteeseen kuin asetuksen (EU) 2016/679 säännökset, näitä kahta säännöstöä olisi tulkittava yhteneväisesti, erityisesti siksi, että asetuksen rakenteen olisi katsottava vastaavan asetuksen (EU) 2016/679 rakennetta. (6)Henkilöitä, joiden henkilötietoja käsitellään unionin toimielimissä ja elimissä missä tahansa yhteydessä, esimerkiksi siitä syystä, että he ovat kyseisten toimielinten ja elinten palveluksessa, olisi suojeltava. Tätä asetusta ei pitäisi soveltaa kuolleita henkilöitä koskevien tietojen käsittelyyn. Tämä asetus ei koske oikeushenkilöiden ja erityisesti oikeushenkilön muodossa perustettujen yritysten henkilötietojen käsittelyä, kuten oikeushenkilön nimeä, oikeudellista muotoa ja yhteystietoja. (7)Vakavan väärinkäytösten riskin välttämiseksi luonnollisten henkilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta. Luonnollisten henkilöiden suojelun olisi koskettava myös henkilötietojen automaattista käsittelyä sekä niiden manuaalista käsittelyä, jos henkilötiedot sisältyvät tai ne on tarkoitus sisällyttää rekisteriin. Tämän asetuksen soveltamisalaan ei ole tarkoitus sisällyttää sellaisia asiakirjoja tai asiakirjakokoelmia kansilehtineen, joita ei ole järjestetty tiettyjen perusteiden mukaisesti. (8)Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta voivat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi. Tätä asetusta olisi sen vuoksi sovellettava rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla toimiviin unionin virastoihin vain siltä osin kuin kyseisiin virastoihin sovellettavassa unionin oikeudessa ei ole erityisiä säännöksiä henkilötietojen käsittelystä. (9)Direktiivissä (EU) 2016/680 säädetään yhdenmukaistetuista säännöistä, joita sovelletaan sellaisten henkilötietojen suojelemiseen ja vapaaseen liikkuvuuteen, joita käsitellään rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jotta voitaisiin edistää samaa luonnollisten henkilöiden suojelun tasoa oikeudellisesti täytäntöönpanokelpoisilla oikeuksilla kaikkialla unionissa ja estää eroavuuksia haittaamasta henkilötietojen vaihtoa rikosoikeuden alalla tehtävään oikeudelliseen yhteistyöhön ja poliisiyhteistyöhön liittyviä toimintoja harjoittavien unionin virastojen ja jäsenvaltioiden toimivaltaisten viranomaisten välillä, tällaisissa unionin virastoissa käsiteltävien operatiivisten henkilötietojen suojelua ja vapaata liikkuvuutta koskevissa säännöissä olisi otettava huomioon tämän asetuksen taustalla olevat periaatteet, ja niiden olisi oltava yhdenmukaisia direktiivin (EU) 2016/680 kanssa. (10)Jos perussopimuksen V osaston 4 ja 5 luvun soveltamisalaan kuuluvia toimintoja harjoittavan unionin viraston perustamissäädöksessä määrätään erillisestä operatiivisten henkilötietojen käsittelyä koskevasta tietosuojajärjestelmästä, tämä asetus ei vaikuta kyseisiin järjestelmiin. Komission olisi kuitenkin direktiivin (EU) 2016/680 62 artiklan mukaisesti tarkasteltava 6 päivään toukokuuta 2019 mennessä unionin säädöksiä, joilla säännellään toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia taikka rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ja tehdä tarvittaessa tarpeelliset ehdotukset kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojeluun rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla. (11)Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Pseudonymisoidut henkilötiedot, jotka voitaisiin yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, olisi katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä. Jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista. Jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Tietosuojaperiaatteita ei tämän vuoksi pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista. Tämä asetus ei tämän vuoksi koske tällaisten anonyymien, muun muassa tilasto- tai tutkimustarkoituksia varten käytettävien tietojen käsittelyä. (12)Pseudonymisoinnin soveltaminen henkilötietoihin voi vähentää asianomaisiin rekisteröityihin kohdistuvia riskejä sekä auttaa rekisterinpitäjiä ja henkilötietojen käsittelijöitä noudattamaan tietosuojavelvoitteitaan. ”Pseudonymisoinnin” nimenomaisella sisällyttämisellä tähän asetukseen ei ole tarkoitus sulkea pois mitään muita tietosuojatoimenpiteitä. (13)Luonnolliset henkilöt voidaan yhdistää heidän käyttämiensä laitteiden, sovellusten, työkalujen ja protokollien verkkotunnistetietoihin, kuten IP-osoitteisiin, evästeisiin tai muihin tunnisteisiin, esimerkiksi radiotaajuustunnisteisiin. Näin käyttäjästä voi jäädä jälkiä, joita voidaan käyttää luonnollisten henkilöiden profilointiin ja tunnistamiseen etenkin, kun niitä yhdistetään yksilöllisiin tunnisteisiin ja muihin palvelimille toimitettuihin tietoihin. (14)Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palveluiden teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. (15)Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin, ja heidän olisi oltava selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä. Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. Olisi toteutettava kaikki kohtuulliset toimenpiteet, jotta varmistetaan, että virheelliset henkilötiedot oikaistaan tai poistetaan. Henkilötietoja olisi käsiteltävä siten, että varmistetaan henkilötietojen asianmukainen turvallisuus ja luottamuksellisuus, millä muun muassa ehkäistään luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö. (16)Jos unionin toimielimet ja elimet siirtävät henkilötietoja unionin toimielinten ja elinten sisällä tai muille unionin toimielimille ja elimille, niiden olisi tilivelvollisuuden periaatteen mukaisesti varmistettava, tarvitaanko tällaisia henkilötietoja vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten, jos vastaanottaja ei ole osa rekisterinpitäjää. Kun vastaanottaja on pyytänyt henkilötietojen siirtoa, rekisterinpitäjän olisi erityisesti varmistettava henkilötietojen laillisen käsittelyn asianmukainen peruste ja vastanottajan toimivalta sekä arvioitava alustavasti tietojen siirtämisen tarpeellisuus. Jos tarpeellisuudesta on epäilyksiä, rekisterinpitäjän olisi pyydettävä vastaanottajalta lisäselvityksiä. Vastaanottajan olisi varmistettava, että tietojen siirron tarpeellisuus voidaan myöhemmin todentaa. (17)Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava sellaisen tehtävän suorittamisen tarpeellisuuteen, jonka unionin toimielimet ja elimet suorittavat yleisen edun vuoksi tai niille kuuluvaa julkista valtaa käyttäen, rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamisen tarpeeseen tai muuhun tässä asetuksessa tarkoitettuun oikeutettuun perusteeseen, mukaan lukien asianomaisen rekisteröidyn suostumus tai sellaisen sopimuksen täytäntöönpanon tarve, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttaminen rekisteröidyn pyynnöstä. Henkilötietojen käsittelyyn unionin toimielimissä ja elimissä yleisen edun edellyttämien tehtävien suorittamiseksi sisältyy toimielinten ja elinten hallinnolle ja toiminnalle tarpeellisten henkilötietojen käsittely. Henkilötietojen käsittelyä olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön hengen kannalta olennaisten etujen suojelemiseksi. Henkilötietoja olisi lähtökohtaisesti voitava käsitellä ainoastaan toisen luonnollisen henkilön elintärkeän edun perusteella, silloin kun käsittelyllä ei ole muuta ilmeistä käsittelyn oikeusperustetta. Tietyntyyppinen käsittely voi palvella sekä yleistä etua koskevia tärkeitä syitä että rekisteröidyn elintärkeää etua esimerkiksi silloin, kun tietojenkäsittely on tarpeen humanitaarisista syistä, kuten epidemioiden ja niiden leviämisen seuraamiseksi tai humanitaarisissa hätätilanteissa, erityisesti luonnonkatastrofien ja ihmisen aiheuttamien katastrofien yhteydessä. (18)Unionin oikeuden, mukaan lukien tässä asetuksessa tarkoitetut sisäiset säännöt, olisi kuitenkin oltava selkeä ja täsmällinen ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa Euroopan unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti. (19)Henkilötietojen käsittely muihin kuin niihin tarkoituksiin, joita varten henkilötiedot on alun perin kerätty, olisi sallittava vain, jos käsittely sopii yhteen niiden tarkoitusten kanssa, joita varten henkilötiedot on alun perin kerätty. Tällöin henkilötietojen keruun oikeuttaneen käsittelyn oikeusperusteen lisäksi ei edellytetä muuta erillistä käsittelyn oikeusperustetta. Jos käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä edellyttävän tehtävän suorittamiseksi, unionin oikeudessa voidaan määrittää ja täsmentää tehtävät ja tarkoitukset, joiden myöhempää käsittelyä olisi pidettävä yhteensopivana ja laillisena. Myöhempi käsittely yleisen edun mukaisiin arkistointitarkoituksiin taikka tieteellisiä tai historiallisia tutkimustarkoituksia varten tai tilastollisiin tarkoituksiin olisi katsottava yhteensopiviksi laillisiksi käsittelytoimiksi. Myös unionin oikeuden tarjoama käsittelyn oikeusperuste henkilötietojen käsittelylle voi muodostaa käsittelyn oikeusperusteen myöhemmälle käsittelylle. Jotta voidaan varmistaa, onko myöhemmän käsittelyn tarkoitus yhteensopiva sen tarkoituksen kanssa, jota varten henkilötiedot alun perin kerättiin, rekisterinpitäjän olisi kaikki alkuperäisen käsittelyn laillisuutta koskevat vaatimukset ensin täytettyään otettava huomioon muun muassa kyseisten tarkoitusten ja suunnitellun myöhemmän käsittelyn tarkoitusten väliset yhteydet, tilanne, jossa henkilötiedot on kerätty, erityisesti myöhempään käsittelyyn liittyvät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen; henkilötietojen luonne; suunnitellun myöhemmän käsittelyn seuraukset rekisteröidyille; ja asianomaisten suojatoimien olemassaolo sekä alkuperäisessä että suunnitellussa käsittelyssä. (20)Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. Neuvoston direktiivin 93/13/ETY mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. (21)Erityisesti lasten henkilötietoja on pyrittävä suojaamaan, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, asianomaisista suojatoimista tai omista oikeuksistaan. Tällaista erityistä suojaa olisi sovellettava etenkin lapsia koskevien henkilöprofiilien luomiseen ja henkilötietojen keräämiseen, kun käytetään suoraan lapsille unionin toimielinten ja elinten verkkosivuilla tarjottuja palveluja, kuten henkilöviestinnän palvelut tai lippujen myyminen verkossa ja silloin kun henkilötietojen käsittely perustuu suostumukseen. (22)Kun unioniin sijoittautuneet vastaanottajat, joihin sovelletaan asetusta (EU) 2016/679 tai direktiiviä (EU) 2016/680, haluaisivat, että unionin toimielimet ja elimet siirtäisivät niille henkilötietoja, näiden vastaanottajien olisi osoitettava, että tietojen siirtäminen on tarpeen niiden tavoitteen saavuttamiseksi ja että se on oikeasuhteinen eikä ylitä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi. Unionin toimielinten, elinten ja laitosten olisi osoitettava tällainen tarve, kun ne itse ovat siirron alkuunpanijoita, läpinäkyvyyden periaatteen mukaisesti. (23)Henkilötiedot, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, ansaitsevat erityistä suojelua, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä asetuksessa ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. Arkaluonteisten tietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen. (24)Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ’kansanterveydellä’ olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/2008 esitetyn määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten kolmansien osapuolten toimesta.

(25)Jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsittelemiensä henkilötietojen perusteella, rekisterinpitäjää ei saisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä on tarpeen vain, jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Rekisterinpitäjän ei pitäisi kuitenkaan kieltäytyä vastaanottamasta rekisteröidyn antamia lisätietoja tämän oikeuksien käyttämisen tukemiseksi. Tunnistamiseen olisi sisällytettävä rekisteröidyn digitaalinen tunnistaminen esimerkiksi todentamismekanismin avulla, kuten käyttämällä samoja tunnisteita, joita rekisteröity käyttää kirjautuessaan rekisterinpitäjän tarjoamiin verkkopalveluihin. (26)Henkilötietojen käsittelyyn yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten olisi sovellettava tämän asetuksen mukaisia rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. Näillä suojatoimilla olisi varmistettava, että on toteutettu tekniset ja organisatoriset toimenpiteet, joilla taataan etenkin tietojen minimoinnin periaate. Henkilötietojen myöhempi käsittely yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten on tehtävä, jos rekisterinpitäjä on arvioinut, onko kyseiset tarkoitukset mahdollista saavuttaa käsittelemällä tietoja, joiden avulla ei voida tai ei enää voida tunnistaa rekisteröityjä, kunhan asianmukaiset suojatoimet (kuten tietojen pseudonymisointi) on toteutettu. Unionin toimielinten ja elinten olisi säädettävä unionin oikeudessa, johon voi kuulua sisäisiä sääntöjä, asianmukaisista suojatoimista henkilötietojen käsittelylle yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten. (27)Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä henkilötietoihin ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön ja mahdollisuuksien mukaan saada nämä oikeudet maksutta, sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. Rekisterinpitäjän olisi myös tarjottava keinot esittää tällaiset pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa sekä perustelemaan kieltäytymisensä siinä tapauksessa, että rekisterinpitäjä ei aio noudattaa tällaista pyyntöä. (28)Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista. Rekisterinpitäjän olisi toimitettava rekisteröidylle lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyyn liittyvät erityiset olosuhteet ja asiayhteys. Rekisteröidylle olisi myös ilmoitettava profiloinnin olemassaolosta ja sen seurauksista. Jos henkilötietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa henkilötiedot, sekä kieltäytymisen seurauksista. Nämä tiedot voidaan antaa yhdessä vakiomuotoisten kuvakkeiden kanssa, jotta suunnitellusta käsittelystä voidaan antaa mielekäs yleiskuva helposti erottuvalla, ymmärrettävällä ja selvästi luettavissa olevalla tavalla. Jos kuvakkeet esitetään sähköisessä muodossa, niiden olisi oltava koneellisesti luettavissa. (29)Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keruun yhteydessä tai, jos henkilötiedot on saatu jostain muusta lähteestä, kohtuullisen ajan kuluessa tietojen keruusta, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos henkilötietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun henkilötietoja luovutetaan ensimmäisen kerran. Jos rekisterinpitäjä aikoo käsitellä henkilötietoja muuhun tarkoitukseen kuin siihen, jota varten ne on kerätty, rekisterinpitäjän olisi toimitettava rekisteröidylle ennen kyseistä jatkokäsittelyä tiedot tästä muusta tarkoituksesta sekä muut tarvittavat tiedot. Jos rekisteröidylle ei ole voitu ilmoittaa henkilötietojen alkuperää johtuen siitä, että on käytetty useita lähteitä, olisi annettava yleiset tiedot. (30)Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Tähän sisältyy rekisteröidyn oikeus saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista, ja jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. Jos rekisterinpitäjä käsittelee merkittäviä määriä rekisteröityä koskevia tietoja, rekisterinpitäjän olisi voitava pyytää rekisteröityä täsmentämään riittävällä tavalla ennen tietojen luovuttamista, mitä tietoja tai mitä käsittelytoimia rekisteröidyn pyyntö koskee. (31)Luonnollisella henkilöllä olisi oltava oikeus saada häntä koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi”, jos tietojen säilyttäminen rikkoo tätä asetusta tai rekisterinpitäjään sovellettavaa unionin oikeutta. Rekisteröidyllä olisi oltava oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen kun henkilötietoja ei enää tarvita niitä tarkoituksia varten, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa tai kun hän on vastustanut henkilötietojensa käsittelyä tai kun hänen henkilötietojensa käsittely ei muutoin ole tämän asetuksen säännösten mukaista. Tämä oikeus tulee kyseeseen erityisesti silloin kun rekisteröity on antanut suostumuksensa lapsena, eikä ole ollut täysin tietoinen tietojenkäsittelyyn liittyvistä riskeistä, ja haluaa myöhemmin poistaa tällaiset tiedot erityisesti internetistä. Rekisteröidyn olisi voitava käyttää tätä oikeutta siitä huolimatta, että hän ei enää ole lapsi. Henkilötietojen edelleen säilyttämisen tulisi kuitenkin olla lainmukaista, jos se on tarpeen sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi, lakisääteisen velvoitteen noudattamiseksi, yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä edellyttävän tehtävän suorittamiseksi, kansanterveyteen liittyvää yleistä etua koskevista syistä, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. (32)Jotta voitaisiin vahvistaa oikeutta tulla unohdetuksi verkkoympäristössä, oikeutta tietojen poistamiseen olisi laajennettava edellyttämällä, että henkilötiedot julkistanut rekisterinpitäjä on velvollinen ilmoittamaan näitä henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kaikkien näihin tietoihin liittyvien linkkien tai näiden tietojen jäljennösten tai kopioiden poistamista. Näin menetellessään rekisterinpitäjän olisi toteutettava kohtuulliset toimenpiteet, mukaan lukien tekniset toimenpiteet, ottaen huomioon käytettävissä oleva teknologia ja keinot, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille rekisteröidyn pyynnöstä. (33)Henkilötietojen käsittelyä rajoittavia menetelmiä voisivat olla muun muassa valittujen tietojen siirtäminen toiseen käsittelyjärjestelmään, käyttäjien pääsyn estäminen valittuihin henkilötietoihin tai julkaistujen tietojen väliaikainen poistaminen verkkosivustolta. Automaattisissa rekistereissä käsittelyn rajoittaminen olisi lähtökohtaisesti varmistettava teknisin keinoin niin, että henkilötiedot eivät enää myöhemmin joudu käsittelytoimien kohteeksi eikä niitä enää voi muuttaa. Henkilötietojen käsittelyn rajoittaminen olisi ilmaistava järjestelmässä selvästi. (34)Jotta voitaisiin edelleen vahvistaa rekisteröityjen oikeutta valvoa henkilötietojaan silloin, kun henkilötietojen käsittely suoritetaan automaattisesti, rekisteröidyn olisi myös voitava saada häntä koskevat henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle, jäsennellyssä, yleisesti käytetyssä, koneellisesti luettavassa ja yhteentoimivassa muodossa ja siirtää ne toiselle rekisterinpitäjälle. Rekisterinpitäjiä olisi kannustettava kehittämään yhteentoimivia muotoja, jotka mahdollistavat tietojen siirtämisen. Tätä oikeutta olisi sovellettava silloin, kun rekisteröity on antanut henkilötiedot oman suostumuksensa perusteella tai kun käsittely on tarpeen sopimuksen täytäntöönpanemiseksi. Siksi sitä ei pitäisi soveltaa silloin, kun henkilötietojen käsittely on tarpeen rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamiseksi tai yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä edellyttävän tehtävän suorittamiseksi. Rekisteröidyn oikeus siirtää tai vastaanottaa häntä koskevia henkilötietoja ei saisi luoda rekisterinpitäjille velvoitetta hyväksyä tai ylläpitää tietojenkäsittelyjärjestelmiä, jotka ovat teknisesti yhteensopivia. Jos tietyssä henkilötietoja sisältävässä tietojoukossa tiedot koskevat useampia kuin yhtä rekisteröityä, oikeus vastaanottaa henkilötietoja ei saisi rajoittaa toisten rekisteröityjen tämän asetuksen mukaisia oikeuksia ja vapauksia. Tämä oikeus ei saisi myöskään rajoittaa rekisteröidyn oikeutta saada henkilötiedot poistetuiksi eikä tämän asetuksen mukaisia rajoituksia kyseiseen oikeuteen, ja se ei etenkään saisi merkitä niiden rekisteröityä koskevien henkilötietojen poistamista, jotka tämä on antanut sopimuksen täytäntöönpanoa varten, siinä määrin ja niin kauan kuin henkilötiedot ovat tarpeen sopimuksen täytäntöönpanoa varten. Kun se on teknisesti mahdollista, rekisteröidyllä pitäisi olla oikeus siihen, että henkilötiedot siirretään suoraan rekisterinpitäjältä toiselle. (35)Tapauksissa, joissa henkilötietoja voitaisiin käsitellä lainmukaisesti, koska käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä edellyttävän tehtävän suorittamiseksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa hänen tilannettaan koskevien henkilötietojen käsittelyä. Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän huomattavan tärkeät oikeutetut edut voivat syrjäyttää rekisteröidyn edut tai perusoikeudet ja -vapaudet. (36)Rekisteröidyllä olisi oltava oikeus olla joutumatta hänen henkilökohtaisia ominaisuuksiaan arvioivan, mahdollisesti toimenpiteen sisältävän päätöksen kohteeksi, joka on tehty yksinomaan automaattisen tietojenkäsittelyn perusteella, josta hänelle aiheutuu oikeudellisia vaikutuksia tai joka vaikuttaa häneen vastaavalla merkittävällä tavalla, kuten sähköisen rekrytoinnin käytännöt ilman ihmisen osallistumista. Kyseinen tietojenkäsittely sisältää ”profiloinnin”, joka tarkoittaa mitä tahansa henkilötietojen automaattista käsittelyä luonnollisen henkilön henkilökohtaisten ominaisuuksien arvioimiseksi, erityisesti rekisteröidyn työsuorituksen, taloudellisen tilanteen, terveyden, henkilökohtaisten mieltymysten tai kiinnostuksen kohteiden, luotettavuuden tai käyttäytymisen, sijainnin tai liikkumisen analysoimiseksi tai ennakoimiseksi, siltä osin kuin sillä on rekisteröityyn kohdistuvia oikeudellisia vaikutuksia tai se vaikuttaa häneen vastaavasti merkittävällä tavalla. Kyseiseen tietojenkäsittelyyn, mukaan lukien profilointiin, perustuva päätöksenteko olisi kuitenkin sallittava, jos siihen annetaan nimenomainen lupa unionin oikeudessa. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia suojatoimia, joihin olisi kuuluttava käsittelystä ilmoittaminen rekisteröidylle ja oikeus vaatia ihmisen osallistumista tietojen käsittelemiseen, rekisteröidyn oikeus esittää kantansa, saada selvitys kyseisen arvioinnin jälkeen tehdystä päätöksestä ja riitauttaa päätös. Tällaista toimenpidettä ei saisi kohdistaa lapseen. Rekisteröityä koskevan asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyyn liittyvät erityiset olosuhteet ja asiayhteys, rekisterinpitäjän olisi käytettävä profiloinnissa asianmukaisia matemaattisia tai tilastollisia menetelmiä, toteutettava teknisiä ja organisatorisia toimenpiteitä, jotka soveltuvat erityisesti sen varmistamiseen, että henkilötietojen virheellisyyteen johtavat tekijät korjataan ja virheriski minimoidaan, sekä turvattava henkilötiedot siten, että rekisteröidyn etuihin ja oikeuksiin kohdistuvat mahdolliset riskit otetaan huomioon ja estetään muun muassa luonnollisten henkilöiden syrjintä rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnon tai vakaumuksen, ammattiliittoon kuulumisen, geneettisen tilan, terveydentilan tai seksuaalisen suuntautumisen perusteella taikka vaikutukset, joiden johdosta toteutetaan toimenpiteitä, joilla on tällaisia seurauksia. Henkilötietojen erityisluokitteluun perustuva automaattinen päätöksenteko ja profilointi olisi sallittava vain erityistilanteissa. (37)Perussopimusten perusteella hyväksytyissä säädöksissä tai unionin toimielinten ja elinten sisäisissä säännöissä voidaan asettaa rajoituksia, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja ja oikeutta siirtää tiedot järjestelmästä toiseen, sähköisen viestinnän luottamuksellisuutta sekä henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä yleisen turvallisuuden takaamiseksi, rikosten ennaltaehkäisemistä, tutkintaa ja rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy muun muassa ihmishenkien suojelemiseksi erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä, unionin toimielinten ja elinten sisäisen turvallisuuden vuoksi, muiden unionin tai jäsenvaltion tärkeiden yleistä etua koskevien syiden vuoksi, erityisesti unionin tai jäsenvaltion tärkeiden taloudellisten tai rahoitusta koskevien etujen vuoksi, yleiseen etuun liittyvistä syistä pidettävien julkisten rekisterien pitämiseksi tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien, muun muassa sosiaaliturvan, kansanterveyden ja humanitaaristen tarkoitusten, turvaamiseksi. Jos rajoituksesta ei säädetä perussopimusten nojalla annetuissa säädöksissä tai sisäisissä säännöissä, unionin toimielimet ja elimet voivat tietyssä tapauksessa asettaa tilapäisen rajoituksen, joka koskee tiettyjä periaatteita ja rekisteröidyn oikeuksia, jos kyseisessä rajoituksessa noudatetaan tietyn käsittelytoimen osalta keskeisiltä osin perusoikeuksia ja vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen, jotta voidaan taata yksi tai useampi 1 kohdassa mainittu tavoite. Rajoituksesta olisi ilmoitettava tietosuojavastaavalle. Kaikkien rajoitusten olisi oltava perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia. (38)Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan luettuna. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski. Nämä todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit voivat aiheutua henkilötietojen käsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin, maineen vahingoittumiseen, salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetykseen tai pseudonymisoitumisen luvattomaan kumoutumiseen tai aiheuttaa muuta merkittävää taloudellista tai sosiaalista vahinkoa; kun rekisteröidyiltä saatetaan evätä heidän oikeuksiaan ja vapauksiaan tai estää heitä valvomasta omia henkilötietojaan; kun käsitellään sellaisia henkilötietoja, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta ja ammattiliittoon kuulumista, tai käsitellään geneettisiä tietoja tai terveyttä ja seksuaalista käyttäytymistä tai rikostuomioita ja rikkomuksia tai niihin liittyviä turvaamistoimenpiteitä koskevia tietoja; kun arvioidaan henkilökohtaisia ominaisuuksia, erityisesti jos kyseessä on henkilöprofiilin luomista tai käyttämistä varten suoritettu analyysi tai ennakointi työsuorituksesta, taloudellisesta tilanteesta, terveydestä, henkilökohtaisista mieltymyksistä tai kiinnostuksen kohteista, luotettavuudesta tai käyttäytymisestä, sijainnista tai liikkeistä; kun käsitellään heikossa asemassa olevien luonnollisten henkilöiden, erityisesti lasten, henkilötietoja; tai kun käsitellään suuria määriä henkilötietoja ja käsittely koskee suurta rekisteröityjen määrää. Rekisteröidyn oikeuksiin ja vapauksiin kohdistuvan riskin todennäköisyys ja vakavuus olisi määriteltävä tietojenkäsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten mukaan. Riski olisi arvioitava objektiivisen arvioinnin perusteella, jolla todetaan, liittyykö tietojenkäsittelytoimiin riski tai korkea riski. (39)Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että asetuksessa säädetyt vaatimukset täyttyvät. Jotta voidaan osoittaa, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Tällaisia toimenpiteitä voisivat olla muun muassa henkilötietojen käsittelyn minimointi, henkilötietojen pseudonymisointi mahdollisimman pian, tehtävien ja henkilötietojen käsittelyn läpinäkyvyys sekä sen mahdollistaminen, että rekisteröity voi valvoa tietojenkäsittelyä ja että rekisterinpitäjä voi luoda ja parantaa turvaominaisuuksia. Sisäänrakennetun ja oletusarvoisen tietosuojan periaatteet olisi myös huomioitava julkisten tarjouskilpailujen yhteydessä. (40)Rekisteröidyn oikeuksien ja vapauksien suojelun sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden vastuun ja vastuuvelvollisuuden takia on asetuksessa säädetyt tehtävät jaettava selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta. (41)Jotta voidaan varmistaa, että henkilötietojen käsittelijä noudattaa tämän asetuksen vaatimuksia rekisterinpitäjän puolesta suorittamassaan käsittelyssä, rekisterinpitäjän olisi antaessaan käsittelytoiminnat henkilötietojen käsittelijän tehtäväksi käytettävä ainoastaan sellaisia henkilötietojen käsittelijöitä, joilla on antaa riittävät takeet erityisesti asiantuntemuksesta, luotettavuudesta ja resursseista, jotta ne voivat panna täytäntöön tämän asetuksen vaatimusten mukaiset tekniset ja organisatoriset toimenpiteet, käsittelyn turvallisuus mukaan lukien. Sitä, että jotkin muut henkilötietojen käsittelijät kuin unionin toimielimet ja elimet noudattavat hyväksyttyjä käytännesääntöjä tai hyväksyttyä sertifiointimekanismia, voidaan käyttää osoittamaan rekisterinpitäjälle asetettujen velvollisuuksien noudattamista. Henkilötietojen käsittelijän suorittamaa käsittelyä olisi säänneltävä unionin oikeuden tai jäsenvaltion lainsäädännön mukaisella sopimuksella tai muulla oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijän rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitukset, henkilötietojen tyyppi ja rekisteröityjen ryhmät, ja siinä olisi otettava huomioon henkilötietojen käsittelijän erityistehtävät ja vastuualueet suoritettavan käsittelyn yhteydessä sekä rekisteröidyn oikeuksiin ja vapauksiin liittyvä riski. Rekisterinpitäjän ja henkilötietojen käsittelijän olisi voitava päättää, käyttävätkö ne yksittäistä sopimusta tai sellaisia vakiosopimuslausekkeita, jotka hyväksyy joko suoraan komissio tai ensin Euroopan tietosuojavaltuutettu ja sitten komissio. Kun henkilötietojen käsittelijä on saattanut käsittelyn loppuun rekisterinpitäjän puolesta, sen olisi rekisterinpitäjän valinnan mukaisesti palautettava tai poistettava henkilötiedot, paitsi jos henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot. (42)Rekisterinpitäjien olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja esittämään sille pyydettäessä käsittelyä koskevat rekisterit, jotta tietojenkäsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi voitava perustaa tietojenkäsittelytoimiaan koskeva keskusrekisteri. Läpinäkyvyyden vuoksi niiden olisi myös voitava tehdä rekisteristä julkinen. (43)Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi esimerkiksi salauksella. Näiden toimenpiteiden avulla olisi varmistettava asianmukainen turvallisuustaso, muun muassa luottamuksellisuus, ottaen huomioon uusin tekniikka ja toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Tietosuojariskiä arvioitaessa olisi otettava huomioon henkilötietojen käsittelyyn liittyvät riskit, kuten siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy, mikä voi aiheuttaa etenkin fyysisiä, aineellisia tai aineettomia vahinkoja.

(44)Unionin toimielinten ja elinten olisi varmistettava sähköisen viestinnän luottamuksellisuus perusoikeuskirjan 7 artiklan mukaisesti. Unionin toimielinten ja elinten olisi erityisesti varmistettava sähköisten viestintäverkkojensa turvallisuus, suojattava tiedot, jotka liittyvät niiden yleisesti saatavilla olevia verkkosivustoja ja mobiilisovelluksia käyttävien loppukäyttäjien päätelaitteisiin asetuksen (EU) XXXX/XX [uusi sähköisen viestinnän tietosuoja-asetus], ja suojattava käyttäjien luetteloissa olevat henkilötiedot. (45)Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysisiä, aineellisia tai aineettomia vahinkoja. Sen vuoksi rekisterinpitäjän olisi ilmoitettava henkilötietojen tietoturvaloukkauksesta Euroopan tietosuojavaltuutetulle ilman aiheetonta viivytystä heti, kun se on tullut rekisterinpitäjän tietoon, ja mahdollisuuksien mukaan 72 tunnin kuluessa, paitsi jos rekisterinpitäjä pystyy osoittamaan tilivelvollisuusperiaatteen mukaisesti, että henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos tällaista ilmoitusta ei voida tehdä 72 tunnin kuluessa, ilmoitukseen olisi liitettävä selvitys viivytyksen syistä, ja tietoa voidaan antaa vaiheittain ilman aiheetonta lisäviivytystä. Jos tällainen viive on perusteltu, rikkomista koskevat vähemmän arkaluonteiset tai vähemmän täsmälliset tiedot olisi annettava mahdollisimman varhaisessa vaiheessa sen sijaan, että taustalla oleva tietoturvaloukkaus ratkaistaisiin täysimääräisesti ennen ilmoituksen tekemistä. (46)Rekisterinpitäjän olisi ilmoitettava henkilötietojen tietosuojaloukkauksesta rekisteröidylle viipymättä, jos tämä tietosuojaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin, jotta rekisteröity voi toteuttaa tarvittavat varotoimet. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tällainen ilmoitus rekisteröidylle olisi tehtävä niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä Euroopan tietosuojavaltuutetun kanssa noudattaen sen tai muiden asiaankuuluvien viranomaisten (kuten lainvalvontaviranomaisten) antamia ohjeita. (47)Asetuksessa (EY) N:o 45/2001 säädetään rekisterinpitäjän yleisestä velvollisuudesta ilmoittaa henkilötietojen käsittelystä tietosuojavastaavalle, joka puolestaan pitää rekisteriä ilmoitetuista käsittelytoimista. Vaikka tämä velvollisuus aiheuttaa hallinnollista ja taloudellista rasitusta, se ei aina ole edistänyt henkilötietojen suojaa. Tällaisista yleisistä ilmoitusvelvollisuuksista olisi luovuttava ja ne olisi korvattava tehokkailla menettelyillä ja mekanismeilla, jotka keskittyvät käsittelytoimien tyyppeihin, joihin niiden luonteen, laajuuden, asiayhteyden ja tarkoitusten vuoksi todennäköisesti liittyy luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkea riski. Tällaisiin käsittelytoimien tyyppeihin kuuluvat erityisesti toimet, jotka perustuvat erityisesti uusien tekniikoiden käyttöön tai jotka ovat uudenlaisia ja joiden osalta rekisterinpitäjä ei ole ensin tehnyt tietosuojaa koskevaa vaikutustenarviointia, tai tietosuojaa koskeva vaikutustenarviointi on tullut tarpeelliseksi, koska aikaa on kulunut siitä kun käsittely alkoi. Tapauksissa, joissa luonnollisten henkilöiden oikeuksiin tai vapauksiin kohdistuu korkea riski, rekisterinpitäjän olisi kyseisen riskin erityisen todennäköisyyden ja vakavuuden arvioimiseksi käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä riskin alkuperän huomioon ottaen tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi. Tässä vaikutustenarvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä suojatoimia ja mekanismeja, joiden avulla lievennetään edellä mainittua riskiä, varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu. (48)Jos tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelyyn liittyisi riskin lieventämistä koskevien suojatoimien, suojaustoimenpiteiden ja keinojen puuttumisen vuoksi suuri luonnollisten henkilöiden oikeuksiin ja vapauksiin vaikuttava riski, ja rekisterinpitäjä katsoo, että tätä riskiä ei voida kohtuullisin toimenpitein vähentää saatavilla olevan tekniikan ja toteuttamiskustannusten suhteen, ennen käsittelytoimien aloittamista olisi kuultava Euroopan tietosuojavaltuutettua. On todennäköistä, että tällainen korkea riski liittyy tietyntyyppiseen henkilötietojen käsittelyyn ja käsittelyn laajuuteen ja toistumistiheyteen, mikä voi aiheuttaa vahinkoa myös luonnollisen henkilön oikeuksille ja vapauksille tai merkitä niihin puuttumista. Euroopan tietosuojavaltuutetun olisi vastattava kuulemispyyntöön määrätyn ajan kuluessa. Euroopan tietosuojavaltuutetun reagoimattomuus määräajan puitteissa ei kuitenkaan saisi vaikuttaa tietosuojavaltuutetun mahdollisiin toimiin sille tässä asetuksessa annettujen tehtävien ja valtuuksien puitteissa, kuten valtaan kieltää käsittelytoimia. Osana kuulemismenettelyä pitäisi olla mahdollista toimittaa Euroopan tietosuojavaltuutetulle käsittelyn osalta toteutetun tietosuojaa koskevan vaikutustenarvioinnin tulos, etenkin toimenpiteet, joiden tarkoituksena on vähentää luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. (49)Euroopan tietosuojavaltuutetulle olisi ilmoitettava hallinnollisista toimenpiteistä ja unionin toimielinten ja elinten sisäisistä säännöistä, joissa määrätään henkilötietojen käsittelystä, määritetään edellytykset rekisteröidyn oikeuksien rajoituksille tai määrätään asianmukaisista suojatoimista rekisteröidyn oikeuksien osalta, jotta voitaisiin varmistaa, että aiotussa käsittelyssä noudatetaan tätä asetusta, ja erityisesti pienentää rekisteröityyn henkilöön kohdistuvia riskejä. (50)Asetuksessa (EU) 2016/679 perustettiin Euroopan tietosuojaneuvosto riippumattomaksi unionin elimeksi, jolla on oikeushenkilön asema. Tietosuojaneuvoston olisi edistettävä asetuksen (EU) 2016/679 ja direktiivin 2016/680 johdonmukaista soveltamista kaikkialla unionissa, muun muassa antamalla neuvoja komissiolle. Samanaikaisesti Euroopan tietosuojavaltuutetun olisi edelleen huolehdittava valvonta- ja neuvontatehtävistään kaikkien unionin toimielinten ja elinten osalta, myös omasta aloitteestaan tai pyynnöstä. Jotta varmistetaan tietosuojasäännösten johdonmukaisuus kaikkialla unionissa, komission kuulemisen olisi oltava pakollista sellaisten lainsäätämisjärjestyksessä hyväksyttävien säädösten hyväksymisen jälkeen tai laadittaessa sellaisia delegoituja säädöksiä ja täytäntöönpanosäädöksiä, sellaisina kuin ne on määritelty SEUT-sopimuksen 289, 290 ja 291 artiklassa, ja sellaisten SEUT-sopimuksen 218 artiklassa tarkoitettuihin, kolmansien maiden ja kansainvälisten järjestöjen kanssa tehtyihin sopimuksiin liittyvien suositusten ja ehdotusten hyväksymisen jälkeen, jotka vaikuttavat henkilötietojen suojaa koskevaan oikeuteen. Tällaisissa tapauksissa komission olisi kuultava Euroopan tietosuojavaltuutettua, paitsi silloin kun asetuksessa (EU) N:o 2016/679 säädetään Euroopan tietosuojaneuvoston pakollisesta kuulemisesta, esimerkiksi silloin, kun on kyse tietosuojan tason riittävyyttä koskevista päätöksistä tai vakiomuotoisia kuvakkeita ja sertifiointimekanismeille asetettavia vaatimuksia koskevista delegoiduista säädöksistä. Jos kyseinen säädös on erityisen tärkeä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komission olisi voitava kuulla myös Euroopan tietosuojaneuvostoa. Näissä tapauksissa Euroopan tietosuojavaltuutetun olisi Euroopan tietosuojaneuvoston jäsenenä koordinoitava toimensa tietosuojaneuvoston kanssa yhteisen lausunnon antamiseksi. Euroopan tietosuojavaltuutetun ja tarvittaessa Euroopan tietosuojaneuvoston olisi toimitettava kirjalliset lausuntonsa kahdeksan viikon kuluessa. Kyseisen määräajan olisi oltava lyhyempi kiireellisissä tapauksissa tai muuten tarvittaessa, esimerkiksi komission valmistellessa delegoituja säädöksiä ja täytäntöönpanosäädöksiä. (51)Tietosuojavastaavan olisi valvottava kussakin unionin toimielimessä tai elimessä tämän asetuksen säännösten soveltamista ja neuvottava rekisterinpitäjiä ja henkilötietojen käsittelijöitä näiden velvoitteiden noudattamisessa. Tietosuojavastaavan olisi oltava henkilö, jolla on tietosuojalainsäädäntöä koskevaa erityisasiantuntemusta ja kokemusta, mikä olisi määriteltävä etenkin rekisterinpitäjän tai henkilötietojen käsittelijän suorittamien tietojenkäsittelytoimien ja käsiteltävien henkilötietojen edellyttämän suojan perusteella. Tietosuojavastaavien olisi voitava täyttää velvollisuutensa ja suorittaa tehtävänsä riippumattomasti. (52)Henkilötietojen siirtäminen unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille taikka kansainvälisille järjestöille ei saisi vaarantaa luonnollisten henkilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän asetukseen, ei myöskään silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu. (53)Komissio voi todeta asetuksen (EU) 2016/679 45 artiklan nojalla, että jokin kolmas maa, kolmannen maan alue tai tietty sektori taikka kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan. Tällöin unionin toimielin tai elin voi siirtää henkilötietoja kyseiseen kolmanteen maahan tai kansainväliselle järjestölle ilman erillistä lupaa. (54)Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset suojatoimet voivat tarkoittaa sitä, että sovelletaan komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita tai Euroopan tietosuojavaltuutetun hyväksymiä sopimuslausekkeita. Jos henkilötietojen käsittelijä ei ole unionin toimielin tai elin, asianmukaisia suojatoimia voivat olla myös yritystä koskevat sitovat säännöt, käytännesäännöt ja sertifiointimekanismit, joita käytetään asetuksen (EU) 2016/679 mukaisissa kansainvälisissä siirroissa. Näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen, kuten tehokkaiden hallinnollisten ja oikeudellisten muutoksenhakukeinojen ja korvauksenvaatimisoikeuden, saatavuus unionissa tai kolmannessa maassa. Niiden olisi erityisesti liityttävä henkilötietojen käsittelyä koskevien yleisten periaatteiden noudattamiseen sekä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Myös unionin toimielimet ja