CELEX: 32020Q1120(02)
Language: fi
Date: 2020-08-11 00:00:00
Title: IMI 2 -yhteisyrityksen (Innovatiiviset lääkkeet 2 -aloite) hallintoneuvoston päätös, annettu 11 päivänä elokuuta 2020, sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista IMI 2 -yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä

20.11.2020   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 391/12
               
            
         IMI 2 -YHTEISYRITYKSEN (INNOVATIIVISET LÄÄKKEET 2 -ALOITE) HALLINTONEUVOSTON PÄÄTÖS,
         annettu 11 päivänä elokuuta 2020,
         sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista IMI 2 -yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä
         IMI 2 -YHTEISYRITYKSEN HALLINTONEUVOSTO, joka,
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1), ja erityisesti sen 25 artiklan,
         ottaa huomioon toisen innovatiiviset lääkkeet -aloitetta toteuttavan yhteisyrityksen perustamisesta 6 päivänä toukokuuta 2014 annetun neuvoston asetuksen (EU) N:o 557/2014 (2) liitteenä olevan yhtiöjärjestyksen ja erityisesti sen 7 artiklan 3 kohdan r alakohdan,
         ottaa huomioon Euroopan tietosuojavaltuutetun ohjeet uuden asetuksen 25 artiklan soveltamisesta ja sisäisistä säännöistä,
         on kuullut IMI 2 -yhteisyrityksen henkilöstökomiteaa,
         ottaa huomioon Euroopan tietosuojavaltuutetun 18 päivänä joulukuuta 2019 antamat suositukset,
         sekä katsoo seuraavaa:
         
                     (1)
                  
                  
                     IMI 2 -yhteisyritys hoitaa tehtäviään asetuksen (EU) N:o 557/2014 mukaisesti.
                  
               
                     (2)
                  
                  
                     Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti kyseisen asetuksen 14–22, 35 ja 36 artiklan soveltamisen rajoitusten sekä sen 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua IMI 2 -yhteisyrityksen hyväksymiin sisäisiin sääntöihin, jos ne eivät perustu perussopimusten perusteella annettuihin säädöksiin.
                  
               
                     (3)
                  
                  
                     Näitä sisäisiä sääntöjä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pitäisi soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.
                  
               
                     (4)
                  
                  
                     Kun IMI 2 -yhteisyritys suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.
                  
               
                     (5)
                  
                  
                     IMI 2 -yhteisyritys voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, suorittaa alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä (virallisia ja epävirallisia) häirintää koskevia menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, tehdä sisäisiä tarkastuksia, toteuttaa tietosuojavastaavan tutkimuksia asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti sekä sisäisiä (tieto)turvatutkimuksia.
                  
               
                     (6)
                  
                  
                     IMI 2 -yhteisyritys käsittelee useita henkilötietoryhmiä, muun muassa kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja) (3).
                  
               
                     (7)
                  
                  
                     Rekisterinpitäjänä toimii IMI 2 -yhteisyritys, jota edustaa sen toimitusjohtaja, vaikka rekisterinpitäjän tehtävä olisi delegoitu IMI 2 -yhteisyrityksessä toiselle henkilölle tiettyihin henkilötietojen käsittelytoimiin liittyvien operatiivisten vastuiden mukaisesti.
                  
               
                     (8)
                  
                  
                     Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Käsiteltäviä henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai IMI 2 -yhteisyrityksen rekistereissä määritetyn ajan.
                  
               
                     (9)
                  
                  
                     Näitä sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita IMI 2 -yhteisyritys tekee suorittaessaan hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjä, (virallisia ja epävirallisia) häirintätapauksia koskevia menettelyjä, sisäisten ja ulkoisten valitusten käsittelyä, sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltäviä (tieto)turvatutkimuksia.
                  
               
                     (10)
                  
                  
                     Sisäisiä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Soveltamisalaan pitäisi kuulua myös IMI 2 -yhteisyrityksen kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoama tuki ja niiden kanssa tehtävä yhteistyö.
                  
               
                     (11)
                  
                  
                     Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, IMI 2 -yhteisyrityksen on annettava perustelut sille, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja ‐vapauksia.
                  
               
                     (12)
                  
                  
                     Tässä yhteydessä IMI 2 -yhteisyrityksen on noudatettava mahdollisimman suuressa määrin rekisteröityjen henkilöiden perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja oikaista tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.
                  
               
                     (13)
                  
                  
                     IMI 2 -yhteisyrityksen on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia, erityisesti jotta se voisi suojata omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.
                  
               
                     (14)
                  
                  
                     IMI 2 -yhteisyritys voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.
                  
               
                     (15)
                  
                  
                     IMI 2 -yhteisyrityksen olisi säännöllisesti tarkastettava, että rajoituksen oikeuttavat edellytykset ovat edelleen voimassa, ja poistettava rajoitus, kun edellytyksiä ei enää ole.
                  
               
                     (16)
                  
                  
                     Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle, kun rajoitus asetetaan ja kun sitä tarkistetaan,
                  
               ON TEHNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            Kohde ja soveltamisala
            
               1.   Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla IMI 2 -yhteisyritys voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa asetuksen (EU) 2018/1725 25 artiklan mukaisesti kyseisen asetuksen 14–22, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista.
            
            
               2.   IMI 2 -yhteisyrityksen hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan ohjelmatoimiston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
            
            
               3.   Kyseessä olevat tietoryhmät ovat ”kovia” tietoja (objektiivisia tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja tietojen liikennettä koskevia tietoja) ja ”pehmeitä” tietoja (tapaukseen liittyviä subjektiivisia tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja käytöstä koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).
            
            
               4.   Kun IMI 2 -yhteisyritys suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.
            
            
               5.   Tässä päätöksessä säädetyin edellytyksin rajoituksia voidaan soveltaa seuraaviin oikeuksiin: tietojen antaminen rekisteröidyille, rekisteröidyn oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot ja rajoittaa käsittelyä sekä rekisteröidyn oikeus saada tieto henkilötietojen tietoturvaloukkauksesta tai oikeus viestinnän luottamuksellisuuteen.
            
         
         
            2 artikla
            Rekisterinpitäjän määrittäminen
            Käsittelytoimissa rekisterinpitäjänä on IMI 2 -yhteisyritys, jota edustaa sen toimitusjohtaja, ja tämä voi valtuuttaa rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille on ilmoitettava valtuutetusta rekisterinpitäjästä IMI 2 -yhteisyrityksen verkkosivuilla ja/tai intranetissä julkaistavissa tietosuojaselosteissa.
         
         
            3 artikla
            Suojatoimien määrittäminen
            
               1.   IMI 2 -yhteisyrityksen on otettava käyttöön seuraavat suojatoimet, joiden tarkoituksena on estää henkilötietojen väärinkäyttö tai lainvastainen pääsy henkilötietoihin tai henkilötietojen lainvastainen siirtäminen (4):
               
                           a)
                        
                        
                           Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy.
                        
                     
                           b)
                        
                        
                           Kaikki sähköiset tiedot on tallennettava suojatuilla tietoteknisillä ohjelmilla IMI 2 -yhteisyrityksen tietoturvavaatimusten mukaisesti sekä erityisiin sähköisiin kansioihin, joihin vain valtuutetulla henkilöstöllä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.
                        
                     
                           c)
                        
                        
                           Tietokanta on suojattava salasanalla, siinä on oltava kertakirjautumisjärjestelmä ja se on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekisterejä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.
                        
                     
                           d)
                        
                        
                           Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.
                        
                     
            
               2.   Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei saa missään tapauksessa olla pidempi kuin tietoturvaselosteissa, tietosuojaselosteissa tai 6 artiklassa tarkoitetuissa tiedoissa määritetty säilytysaika.
            
            
               3.   Jos IMI 2 -yhteisyritys aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että IMI 2 -yhteisyrityksen tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät ensisijaisesti muun muassa maineriskeihin sekä oikeuteen puolustautua ja tulla kuulluksi.
            
         
         
            4 artikla
            Rajoitukset
            
               1.   IMI 2 -yhteisyritys soveltaa rajoituksia vain seuraavien takaamiseksi:
               
                           a)
                        
                        
                           jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus;
                        
                     
                           b)
                        
                        
                           rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy;
                        
                     
                           c)
                        
                        
                           muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva;
                        
                     
                           d)
                        
                        
                           unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus;
                        
                     
                           e)
                        
                        
                           säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet;
                        
                     
                           f)
                        
                        
                           valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–c alakohdassa tarkoitetuissa tapauksissa;
                        
                     
                           g)
                        
                        
                           rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet;
                        
                     
                           h)
                        
                        
                           yksityisoikeudellisten kanteiden täytäntöönpano.
                        
                     
            
               2.   Edellä 1 kohdassa kuvattujen tarkoitusten erityisenä soveltamistapana IMI 2 -yhteisyritys voi soveltaa rajoituksia seuraavissa olosuhteissa:
               
                           a)
                        
                        
                           komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten kanssa vaihdettavien henkilötietojen yhteydessä;
                           
                                       —
                                    
                                    
                                       jos tällaisella komission yksiköllä, toisella unionin toimielimellä, elimellä tai laitoksella on oikeus rajoittaa näiden oikeuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti taikka muiden unionin toimielinten, elinten, virastojen ja toimistojen perustamissäädösten mukaisesti;
                                    
                                 
                                       —
                                    
                                    
                                       jos kyseisen komission yksikön, toisen unionin toimielimen, elimen tai laitoksen toteuttaman rajoituksen tarkoitus vaarantuisi, jos IMI 2 -yhteisyritys ei soveltaisi vastaavaa rajoitusta samoihin henkilötietoihin;
                                    
                                 
                     
                           b)
                        
                        
                           jäsenvaltioiden toimivaltaisten viranomaisten kanssa vaihdettavien henkilötietojen yhteydessä;
                           
                                       —
                                    
                                    
                                       kun kyseiset jäsenvaltioiden toimivaltaiset viranomaiset voivat rajoittaa kyseisten oikeuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (5) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (6) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla;
                                    
                                 
                                       —
                                    
                                    
                                       jos kyseisen toimivaltaisen viranomaisen toteuttaman rajoituksen tarkoitus vaarantuisi, jos IMI 2 -yhteisyritys ei soveltaisi vastaavaa rajoitusta samoihin henkilötietoihin;
                                    
                                 
                     
                           c)
                        
                        
                           suhteessa kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin, kun on selvää näyttöä siitä, että kyseisten oikeuksien ja velvollisuuksien käyttö todennäköisesti vaarantaisi IMI 2 -yhteisyrityksen yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien hoitamisessa.
                        
                     Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa IMI 2 -yhteisyrityksen on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, paitsi jos IMI 2 -yhteisyritykselle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.
            
         
         
            5 artikla
            Rajoitukset rekisteröityjen oikeuksiin
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa seuraavia oikeuksia alla 2 kohdassa lueteltujen käsittelytoimien yhteydessä, kun se on tarpeellista ja oikeasuhteista:
               
                           a)
                        
                        
                           tiedonsaantioikeus;
                        
                     
                           b)
                        
                        
                           oikeus saada pääsy tietoihin;
                        
                     
                           c)
                        
                        
                           oikeus tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen;
                        
                     
                           d)
                        
                        
                           oikeus saada ilmoitus rekisteröidyn henkilön henkilötietojen tietoturvaloukkauksesta;
                        
                     
                           e)
                        
                        
                           oikeus sähköisen viestinnän luottamuksellisuuteen.
                        
                     
            
               2.   Asetuksen (EU) 2018/1725 25 artiklan 2 kohdan a alakohdan mukaisesti, asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi asettaa rajoituksia seuraavien käsittelytoimien yhteydessä:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen;
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin;
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt;
                        
                     
                           d)
                        
                        
                           häirintätapauksia koskevat menettelyt (viralliset ja epäviralliset) (7);
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely;
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset;
                        
                     
                           g)
                        
                        
                           tutkinnat, joita tietosuojavastaava suorittaa asetuksen (EU) 2018/1725 45 artiklan 2 kohdan nojalla;
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset;
                        
                     
                           i)
                        
                        
                           käsittely, joka tapahtuu osana avustusten hallinnointia tai hankintamenettelyä sen jälkeen kun määräaika ehdotuksille tai tarjouksille on umpeutunut (8).
                        
                     Rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.
            
            
               3.   Kun IMI 2 -yhteisyritys kokonaan tai osittain rajoittaa edellä 1 kohdassa tarkoitettuja oikeuksia, sen on toteutettava tämän päätöksen 6 ja 7 artiklassa säädetyt toimenpiteet.
            
            
               4.   Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, IMI 2 -yhteisyritys rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.
            
         
         
            6 artikla
            Rajoitusten tarpeellisuus ja oikeasuhteisuus
            
               1.   Kaikkien 5 artiklassa tarkoitettujen rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.
            
            
               2.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Testi on tehtävä myös kunkin säännöllisen uudelleentarkastelun yhteydessä sen jälkeen, kun on arvioitu, ovatko rajoituksen tosiasialliset ja oikeudelliset syyt edelleen päteviä. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.
            
            
               3.   Rajoitusten on oltava väliaikaisia ja ne on poistettava heti, kun niihin oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se ei enää vaikuttaisi epäedullisesti muiden rekisteröityjen oikeuksiin tai velvollisuuksiin.
               IMI 2 -yhteisyrityksen on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkinnan tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
            
               4.   Jos IMI 2 -yhteistyritys soveltaa kokonaan tai osittain tämän päätöksen 5 artiklassa esitettyjä rajoituksia, sen on kirjattava rajoituksen syyt ja oikeusperusta edellä olevan 1 kohdan mukaisesti sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta.
               Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
            
         
         
            7 artikla
            Ilmoittamisvelvollisuus
            
               1.   IMI 2 -yhteisyrityksen on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin selosteisiin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, mistä syystä ja miten pitkäksi aikaa.
               Sanotun rajoittamatta 6 artiklan 4 kohdan säännöksiä ja kun se on oikeasuhteista, IMI 2 -yhteisyrityksen on myös ilmoitettava ilman aiheetonta viivytystä ja kirjallisesti yksittäin kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia.
            
            
               2.   Kun IMI 2 -yhteisyritys kokonaan tai osittain rajoittaa edellä 5 artiklassa tarkoitettuja oikeuksia, sen on ilmoitettava kyseiselle rekisteröidylle sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai viedä asia Euroopan unionin tuomioistuimeen.
               Edellä 2 kohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi rajoituksen vaikutuksen asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.
            
         
         
            8 artikla
            Tietosuojavastaavan suorittama uudelleentarkastelu
            
               1.   IMI 2 -yhteisyrityksen on ilmoitettava IMI 2 -yhteisyrityksen tietosuojavastaavalle viipymättä aina, kun rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia tai jatkaa rajoituksen voimassaoloa tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista.
            
            
               2.   Tietosuojavastaava voi kirjallisesti pyytää rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on kirjallisesti ilmoitettava tietosuojavastaavalle pyydetyn uudelleentarkastelun tuloksista.
            
            
               3.   Tietosuojavastaavan on oltava mukana menettelyn kaikissa vaiheissa. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.
            
         
         
            9 artikla
            Voimaantulo
            Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
         
         
            Tehty Brysselissä 11 päivänä elokuuta 2020.
            
               
                  IMI 2 -yhteisyrityksen hallintoneuvoston puolesta
               
               Olivier LAUREAU
               
                  Hallintoneuvoston puheenjohtaja
               
            
         
         
            (1)  EUVL L 295, 21.11.2018, s. 39.
         
            (2)  EUVL L 169, 7.6.2014, s. 54.
         
            (3)  Kun kyseessä on yhteisrekisterinpito, tietoja on käsiteltävä niiden tarkoitusten mukaisesti, jotka määritellään asetuksen (EU) 2018/1725 28 artiklan mukaisessa yhteisrekisterinpitäjien välisessä sopimuksessa.
         
            (4)  Luettelo ei ole tyhjentävä.
         
            (5)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
         
            (6)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).
         
            (7)  Tätä ei sovelleta 5 artiklan 1 kohdan d alakohtaan.
         
            (8)  Tätä sovelletaan ainoastaan 5 artiklan 1 kohdan c alakohtaan.