CELEX: 32020Q0722(02)
Language: fi
Date: 2020-03-26 00:00:00
Title: Shift2Rail-yhteisyrityksen hallintoneuvoston päätös nro 1/2020, annettu 26 päivänä maaliskuuta 2020, sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista S2R-yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä

22.7.2020   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 236/7
               
            
         SHIFT2RAIL-YHTEISYRITYKSEN HALLINTONEUVOSTON PÄÄTÖS nro 1/2020,
         annettu 26 päivänä maaliskuuta 2020,
         sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista S2R-yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä
         SHIFT2RAIL-YHTEISYRITYKSEN (jäljempänä S2R-yhteisyritys) HALLINTONEUVOSTO
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen (1),
         ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY (2) kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 ja erityisesti sen 25 artiklan,
         ottaa huomioon Shift2Rail-yhteisyrityksen perustamisesta 16 päivänä kesäkuuta 2014 annetun neuvoston asetuksen (EU) N:o 642/2014 (3) ja erityisesti sen liitteenä olevan yhtiöjärjestyksen 8 artiklan,
         ottaa huomioon Euroopan tietosuojavaltuutetun ohjeet uuden asetuksen 25 artiklasta ja sisäisistä säännöistä,
         on kuullut Euroopan tietosuojavaltuutettua 12 päivänä marraskuuta 2019 asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti,
         ottaa huomioon Euroopan tietosuojavaltuutetun 18 päivänä joulukuuta 2019 antamat suositukset,
         on kuullut S2R-yhteisyrityksen henkilöstökomiteaa
         sekä katsoo seuraavaa:
         
                     1)
                  
                  
                     Rekisteröityjen henkilöiden oikeuksia rajoitetaan vain perussopimusten nojalla annetuissa säädöksissä. Siinä tapauksessa, ettei rajoituksia voida perustaa perussopimusten nojalla annettuihin säädöksiin, asetuksen (EU) 2018/1725 mukaan rajoituksia voidaan asettaa S2R-yhteisyrityksen toimintaan liittyvissä asioissa sisäisillä säännöillä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevilla säännöksillä.
                  
               
                     2)
                  
                  
                     Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti asetuksen 14–22, 35 ja 36 artiklan soveltamisen rajoitusten sekä 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua S2R-yhteisyrityksen hyväksymiin sisäisiin sääntöihin.
                  
               
                     3)
                  
                  
                     S2R-yhteisyritys voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, suorittaa alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä (virallisia ja epävirallisia) häirintää koskevia menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, tehdä sisäisiä tarkastuksia, toteuttaa tietosuojavastaavan tutkimuksia asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti sekä sisäisiä (tieto)turvatutkimuksia.
                  
               
                     4)
                  
                  
                     S2R-yhteisyritys käsittelee useita henkilötietoryhmiä, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja sekä tapaukseen liittyviä tietoja (kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja) (4).
                  
               
                     5)
                  
                  
                     S2R-yhteisyritys, jota edustaa sen toimitusjohtaja, toimii rekisterinpitäjänä.
                  
               
                     6)
                  
                  
                     Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Käsiteltäviä henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai S2R-yhteisyrityksen rekistereissä määritetyn ajan.
                  
               
                     7)
                  
                  
                     Näitä sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita S2R-yhteisyritys tekee suorittaessaan hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjä, (virallisia ja epävirallisia) häirintätapauksia koskevia menettelyjä, sisäisten ja ulkoisten valitusten käsittelyä, sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltäviä (tieto)turvatutkimuksia.
                  
               
                     8)
                  
                  
                     Sisäisiä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Soveltamisalaan pitäisi kuulua myös S2R-yhteisyrityksen kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoama tuki ja niiden kanssa tehtävä yhteistyö.
                  
               
                     9)
                  
                  
                     Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, S2R-yhteisyrityksen on annettava perustelut sille, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja ‐vapauksia.
                  
               
                     10)
                  
                  
                     Tässä yhteydessä S2R-yhteisyrityksen on noudatettava mahdollisimman suuressa määrin rekisteröityjen henkilöiden perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja oikaista tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.
                  
               
                     11)
                  
                  
                     S2R-yhteisyrityksen on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia, erityisesti jotta se voisi suojata omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.
                  
               
                     12)
                  
                  
                     Jos S2R-yhteisyritys aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että S2R-yhteisyrityksen tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.
                  
               
                     13)
                  
                  
                     S2R-yhteisyritys voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.
                  
               
                     14)
                  
                  
                     S2R-yhteisyrityksen olisi säännöllisesti tarkastettava, että rajoituksen oikeuttavat edellytykset ovat edelleen voimassa, ja poistettava rajoitus, kun edellytyksiä ei enää ole.
                  
               
                     15)
                  
                  
                     Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle lykkäyksistä ja tarkistuksista viivytyksettä,
                  
               ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            Kohde ja soveltamisala
            
               1.   Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla S2R-yhteisyritys voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa asetuksen (EU) 2018/1725 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista saman asetuksen 25 artiklan mukaisesti.
            
            
               2.   S2R-yhteisyrityksen hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan ohjelmatoimiston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
            
            
               3.   Kyseessä olevat tietoryhmät ovat esimerkiksi tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja sekä tapaukseen liittyviä tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja.
            
            
               4.   Kun S2R-yhteisyritys suorittaa rekisteröityjen henkilöiden oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.
            
         
         
            2 artikla
            Rekisterinpitäjän määrittely
            Käsittelytoimien rekisterinpitäjä on S2R-yhteisyritys, jota edustaa sen toimitusjohtaja.
         
         
            3 artikla
            Suojatoimien määrittely
            
               1.   S2R-yhteisyrityksen on otettava käyttöön seuraavat suojatoimet, joiden tarkoituksena on estää henkilötietojen väärinkäyttö tai lainvastainen pääsy henkilötietoihin tai henkilötietojen lainvastainen siirtäminen:
               
                           a)
                        
                        
                           Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy.
                        
                     
                           b)
                        
                        
                           Kaikki sähköiset tiedot on tallennettava suojatuilla tietoteknisillä ohjelmilla S2R-yhteisyrityksen tietoturvavaatimusten mukaisesti sekä erityisiin sähköisiin kansioihin, joihin vain valtuutetulla henkilöstöllä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.
                        
                     
                           c)
                        
                        
                           Tietokanta on suojattava salasanalla, siinä on oltava kertakirjautumisjärjestelmä ja se on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan; tarvittaessa on käytettävä myös pseudonymisointia ja/tai salausta. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekistereitä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.
                        
                     
                           d)
                        
                        
                           Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.
                        
                     
            
               2.   Edellä 1 kohdassa tarkoitetut suojatoimet olisi tarkistettava säännöllisesti 6 artiklan 3 kohdan mukaisesti.
            
            
               3.   Edellä 1 artiklan 3 kohdassa tarkoitettujen henkilötietojen säilytysaika ilmoitetaan kyseessä olevissa tietoturvaselosteissa, tietosuojaselosteissa tai 7 artiklan 1 kohdassa tarkoitetuissa selosteissa. Säilytysaika ei saa missään tapauksessa olla pidempi kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten (5).
            
         
         
            4 artikla
            Rajoitusten perusteet
            
               1.   S2R-yhteisyritys soveltaa rajoituksia vain seuraavien takaamiseksi:
               
                           a)
                        
                        
                           jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus
                        
                     
                           b)
                        
                        
                           rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan luettuina yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy
                        
                     
                           c)
                        
                        
                           muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan luettuina rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva
                        
                     
                           d)
                        
                        
                           unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus
                        
                     
                           e)
                        
                        
                           säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet
                        
                     
                           f)
                        
                        
                           valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–c luetelmakohdassa tarkoitetuissa tapauksissa
                        
                     
                           g)
                        
                        
                           rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet
                        
                     
                           h)
                        
                        
                           yksityisoikeudellisten kanteiden täytäntöönpano.
                        
                     
            
               2.   Edellä 1 kohdassa kuvattujen tarkoitusten erityisenä soveltamistapana S2R-yhteisyritys voi soveltaa rajoituksia seuraavissa olosuhteissa:
               
                           a)
                        
                        
                           komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten kanssa vaihdettavien henkilötietojen yhteydessä
                           
                                       —
                                    
                                    
                                       kun kyseessä oleva komission yksikkö, unionin toimielin, elin tai laitos on oikeutettu rajoittamaan lueteltujen oikeuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten ja virastojen perustamissäädösten mukaisesti
                                    
                                 
                                       —
                                    
                                    
                                       kun kyseisen komission yksikön, unionin toimielimen, elimen tai laitoksen asettaman rajoituksen tarkoitus vaarantuisi, jos S2R-yhteisyritys ei soveltaisi vastaavaa rajoitusta samojen henkilötietojen osalta
                                    
                                 
                     
                           b)
                        
                        
                           jäsenvaltioiden toimivaltaisten viranomaisten kanssa vaihdettavien henkilötietojen yhteydessä
                           
                                       —
                                    
                                    
                                       kun kyseessä olevat jäsenvaltioiden toimivaltaiset viranomaiset ovat oikeutettuja rajoittamaan lueteltujen oikeuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (6) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (7) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla
                                    
                                 
                                       —
                                    
                                    
                                       kun kyseisen toimivaltaisen viranomaisen asettaman rajoituksen tarkoitus vaarantuisi, jos S2R-yhteisyritys ei soveltaisi vastaavaa rajoitusta samojen henkilötietojen osalta
                                    
                                 
                     
                           c)
                        
                        
                           kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettavien henkilötietojen yhteydessä, kun on selvää näyttöä siitä, että kyseisten oikeuksien ja velvollisuuksien käyttö todennäköisesti vaarantaisi S2R-yhteisyrityksen yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa.
                        
                     Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa S2R-yhteisyrityksen on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, paitsi jos S2R-yhteisyritykselle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.
            
         
         
            5 artikla
            Rajoitukset ja rekisteröityjen oikeudet
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä määrätyin edellytyksin rekisterinpitäjä voi rajoittaa seuraavia oikeuksia 1 artiklan 2 kohdassa ja jäljempänä 2 kohdassa lueteltujen käsittelytoimien yhteydessä, jos se on tarpeellista ja oikeasuhteista:
               
                           a)
                        
                        
                           tiedonsaantioikeus
                        
                     
                           b)
                        
                        
                           oikeus saada pääsy tietoihin
                        
                     
                           c)
                        
                        
                           oikeus tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen
                        
                     
                           d)
                        
                        
                           oikeus saada ilmoitus rekisteröidyn henkilön henkilötietojen tietoturvaloukkauksesta
                        
                     
                           e)
                        
                        
                           oikeus sähköisen viestinnän luottamuksellisuuteen.
                        
                     
            
               2.   Asianmukaisesti perustelluissa tapauksissa ja 4 artiklan 1 kohdassa mainittujen tarkoitusten turvaamiseksi rekisterinpitäjä voi soveltaa rajoituksia seuraavien 1 artiklan 2 kohdassa tarkoitettujen käsittelytoimien yhteydessä:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           häirintätapauksia koskevat menettelyt (viralliset ja epäviralliset)
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     
                           i)
                        
                        
                           avustusten hallinnointi tai hankintamenettelyt ehdotuspyyntöihin sisältyvän hakemusten jättämisen määräajan tai tarjousten jättämisen määräajan jälkeen.
                        
                     
            
               3.   Häirintätapauksia koskevien menettelyjen yhteydessä 1 kohdassa tarkoitettuja oikeuksia voidaan rajoittaa samoin edellytyksin lukuun ottamatta 1 kohdan d luetelmakohdassa tarkoitettua oikeutta saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta.
            
            
               4.   Avustusten hallinnoinnin tai hankintamenettelyjen yhteydessä 1 kohdassa tarkoitettuja oikeuksia voidaan rajoittaa samoin edellytyksin lukuun ottamatta 1 kohdan c luetelmakohdassa tarkoitettua oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen.
            
            
               5.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen 3 ja 4 kohdassa säädetyin poikkeuksin.
            
            
               6.   Jos S2R-yhteisyritys rajoittaa, kokonaan tai osittain, 1, 3, 4 ja 5 kohdassa tarkoitettujen oikeuksien soveltamista, sen on toteutettava tämän päätöksen 6 ja 7 artiklassa tarkoitetut toimenpiteet.
            
            
               7.   Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, S2R-yhteisyritys rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.
            
         
         
            6 artikla
            Rajoitusten tarpeellisuus ja oikeasuhteisuus
            
               1.   Kaikkien 4 artiklan nojalla asetettavien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.
            
            
               2.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Testi on tehtävä myös määräaikaistarkistuksen yhteydessä, kun on arvioitu, ovatko rajoituksen oikeuttavat seikat ja oikeudelliset syyt vielä voimassa. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.
            
            
               3.   Rajoitusten on oltava väliaikaisia. Niitä sovelletaan niin kauan kuin niiden perusteet ovat voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi asetetun rajoituksen vaikutusta tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.
               S2R-yhteisyrityksen on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkinnan tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on tarkasteltava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
            
               4.   Jos S2R-yhteisyritys soveltaa, kokonaan tai osittain, tämän päätöksen 4 artiklan nojalla asetettavia rajoituksia, sen on dokumentoitava rajoituksen syyt ja oikeusperusta edellä olevan 1 kohdan mukaisesti sekä arviointi rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta.
               Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.
            
         
         
            7 artikla
            Ilmoittamisvelvollisuus
            
               1.   S2R-yhteisyrityksen on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin selosteisiin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.
               Sanotun rajoittamatta 6 artiklan 4 kohdan säännöksiä ja kun se on oikeasuhteista, S2R-yhteisyrityksen on myös ilmoitettava ilman aiheetonta viivytystä ja kirjallisesti yksittäin kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia.
            
            
               2.   Jos S2R-yhteisyritys rajoittaa, kokonaan tai osittain, 5 artiklassa tarkoitettuja oikeuksia, sen on ilmoitettava asianomaiselle rekisteröidylle sovellettavasta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.
               Edellä 2 kohdassa tarkoitettua tietojen ilmoittamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä, jos ilmoittaminen poistaisi rajoituksen vaikutuksen asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.
            
         
         
            8 artikla
            Tietosuojavastaavan toteuttama uudelleentarkastelu
            
               1.   S2R-yhteisyrityksen on ilmoitettava tietosuojavastaavalleen ilman aiheetonta viivytystä aina, kun rekisterinpitäjä rajoittaa rekisteröityjen oikeuksien soveltamista tai jatkaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista.
            
            
               2.   Tietosuojavastaava voi kirjallisesti pyytää rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.
            
            
               3.   Tietosuojavastaavan on oltava osallisena koko menettelyn ajan. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.
            
         
         
            9 artikla
            Voimaantulo
            Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
            
         
         
            Tehty Brysselissä 26 päivänä maaliskuuta 2020.
            
               
                  S2R-yhteisyrityksen hallintoneuvoston puolesta
               
               Henrik HOLOLEI
               
                  Puheenjohtaja
               
            
         
         
            (1)  EUVL C 202, 7.6.2016, s. 47.
         
            (2)  EUVL L 295, 21.11.2018, s. 39
         
         
            (3)  EUVL L 177, 17.6.2014, s. 9.
         
            (4)  Yhteisrekisterinpidon tapauksessa tietoja on käsiteltävä niiden keinojen ja tarkoitusten mukaisesti, jotka on vahvistettu asetuksen (EU) 2018/1725 28 artiklassa tarkoitettujen yhteisrekisterinpitäjien välisessä asiaa koskevassa sopimuksessa.
         
            (5)  S2R-yhteisyrityksen säilytyskäytäntö perustuu komissiossa tapahtuvaan asiakirjojen säilytykseen, jota säännellään yhteisellä säilytysluettelolla. Kyseessä on säilytysaikataulun muotoinen sääntelyasiakirja (viimeisin versio on SEC(2019)900), jossa on määritelty komission eri asiakirjatyyppien säilytysajat.
         
            (6)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
         
            (7)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).