CELEX: 32020Q0116(01)
Language: fi
Date: 2019-06-28 00:00:00
Title: Euroopan Huumausaineiden ja niiden Väärinkäytön Seurantakeskuksen Hallintoneuvoston Päätös, annettu 28 päivänä kesäkuuta 2019, rekisteröityjen tiettyjen oikeuksien rajoittamista EMCDDA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä

16.1.2020   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 12/29
               
            
         EUROOPAN HUUMAUSAINEIDEN JA NIIDEN VÄÄRINKÄYTÖN SEURANTAKESKUKSEN HALLINTONEUVOSTON PÄÄTÖS,
         annettu 28 päivänä kesäkuuta 2019,
         rekisteröityjen tiettyjen oikeuksien rajoittamista EMCDDA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä
         EMCDDA:N HALLINTONEUVOSTO, joka
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan,
         ottaa huomioon Euroopan huumausaineiden ja niiden väärinkäytön seurantakeskuksesta 12 päivänä joulukuuta 2006 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1920/2006 (2) ja erityisesti sen 6 ja 9 artiklan,
         ottaa huomioon Euroopan tietosuojavaltuutetun 29 päivänä toukokuuta 2019 antaman lausunnon ja Euroopan tietosuojavaltuutetun ohjeet uuden asetuksen 25 artiklasta ja sisäisistä säännöistä,
         sekä katsoo seuraavaa:
         
                     (1)
                  
                  
                     EMCDDA suorittaa tehtävänsä edellä mainitun neuvoston asetuksen (EY) N:o 1920/2006 mukaisesti.
                  
               
                     (2)
                  
                  
                     Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti asetuksen 14–22, 35 ja 36 artiklan soveltamisen rajoitusten sekä 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua EMCDDA:n hyväksymiin sisäisiin sääntöihin, jos ne eivät perustu perussopimusten perusteella annettuihin säädöksiin.
                  
               
                     (3)
                  
                  
                     Näitä sisäisiä sääntöjä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pitäisi soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.
                  
               
                     (4)
                  
                  
                     Kun EMCDDA suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.
                  
               
                     (5)
                  
                  
                     EMCDDA voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, suorittaa alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä (virallisia ja epävirallisia) häirintää koskevia menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, tehdä sisäisiä tarkastuksia, toteuttaa tietosuojavastaavan tutkimuksia asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti sekä sisäisiä tietoturvatutkimuksia.
                  
               
                     (6)
                  
                  
                     EMCDDA käsittelee useita henkilötietoryhmiä, muun muassa kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).
                  
               
                     (7)
                  
                  
                     EMCDDA, jota edustaa sen johtaja, toimii rekisterinpitäjänä riippumatta EMCDDA:ssa myöhemmin tehtävistä rekisterinpitäjän tehtävän siirroista, jotka perustuvat nimenomaisten henkilötietojen käsittelytoimien operatiivisiin vastuisiin.
                  
               
                     (8)
                  
                  
                     Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai EMCDDA:n rekistereissä määritetyn ajan.
                  
               
                     (9)
                  
                  
                     Näitä sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita EMCDDA tekee suorittaessaan hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjä, (virallisia ja epävirallisia) häirintätapauksia koskevia menettelyjä, sisäisten ja ulkoisten valitusten käsittelyä, sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltyjä (tieto)turvatutkimuksia.
                  
               
                     (10)
                  
                  
                     Tätä päätöstä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Siihen pitäisi kuulua myös EMCDDA:n kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoama tuki ja niiden kanssa tehtävä yhteistyö.
                  
               
                     (11)
                  
                  
                     Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, EMCDDA:n on annettava perustelut siitä, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia.
                  
               
                     (12)
                  
                  
                     Tässä yhteydessä EMCDDA:n on noudatettava mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja korjata tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.
                  
               
                     (13)
                  
                  
                     EMCDDA:n on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia erityisesti suojatakseen omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.
                  
               
                     (14)
                  
                  
                     EMCDDA voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.
                  
               
                     (15)
                  
                  
                     EMCDDA:n olisi säännöllisesti tarkastettava, että rajoituksen oikeuttavat edellytykset ovat edelleen voimassa, ja poistettava rajoitus, kun ne eivät ole enää voimassa.
                  
               
                     (16)
                  
                  
                     Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle lykkäyksistä ja tarkistuksista välittömästi; ja
                  
               ON TEHNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            Kohde ja soveltamisala
            
               1.   Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla EMCDDA voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista asetuksen (EU) 2018/1725 25 artiklan mukaisesti.
            
            
               2.   EMCDDA:n hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan EMCDDA:n seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin säännönvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset..
            
            
               3.   Kyseessä olevat tietoryhmät ovat kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).
            
            
               4.   Kun EMCDDA suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.
            
            
               5.   Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä edellytyksistä ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus tietojen luottamuksellisuuteen.
            
         
         
            2 artikla
            Rekisterinpitäjän ja takeiden eritelmä
            
               1.   Tietoturvaloukkausten, tietovuotojen tai luvattoman luovuttamisen välttämiseksi käytössä ovat seuraavat takeet:
               
                           a)
                        
                        
                           Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy.
                        
                     
                           b)
                        
                        
                           Kaikki sähköiset tiedot on tallennettava suojatuilla tietoteknisillä ohjelmilla EMCDDA:n tietoturvavaatimusten mukaisesti sekä erityisiin sähköisiin kansioihin, joihin vain valtuutetulla henkilöstöllä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.
                        
                     
                           c)
                        
                        
                           Tietokanta suojataan salasanalla, siinä on kertakirjausjärjestelmä ja se yhdistetään automaattisesti käyttäjätunnukseen ja salasanaan. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekisterejä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.
                        
                     
                           d)
                        
                        
                           Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.
                        
                     
            
               2.   Käsittelytoimien rekisterinpitäjä on EMCDDA, jota edustaa sen johtaja, joka voi siirtää rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille ilmoitetaan rekisterinpitäjän tehtävän siirtämisestä tietosuojaselosteissa tai tiedoilla, jotka julkaistaan EMCDDA:n verkkosivustolla ja/tai intranetissä.
            
            
               3.   Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei missään tapauksessa saa olla pidempi kuin tietoturvaselosteessa, tietosuojaselosteessa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika.
            
            
               4.   Jos EMCDDA aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että EMCDDA:n tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.
            
         
         
            3 artikla
            Rajoitukset
            
               1.   EMCDDA:n on sovellettava rajoituksia vain seuraavien takaamiseksi:
               
                           a)
                        
                        
                           Rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy.
                        
                     
                           b)
                        
                        
                           Muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva.
                        
                     
                           c)
                        
                        
                           Unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus.
                        
                     
                           d)
                        
                        
                           Oikeuslaitoksen riippumattomuuden ja oikeusmenettelyjen suojelu.
                        
                     
                           e)
                        
                        
                           Säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet.
                        
                     
                           f)
                        
                        
                           Valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–c alakohdassa tarkoitetuissa tapauksissa.
                        
                     
                           g)
                        
                        
                           Rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet.
                        
                     
            
               2.   EMCDDA voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten, virastojen ja toimistojen, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin,
               
                           a)
                        
                        
                           kun komission yksiköt tai muut unionin toimielimet, elimet ja laitokset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten ja laitosten perustamissäädösten mukaisesti
                        
                     
                           b)
                        
                        
                           kun jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (3) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (4) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla
                        
                     
                           c)
                        
                        
                           kun kyseisten oikeuksien ja velvollisuuksien käyttö voisi vaarantaa EMCDDA:n yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa.
                        
                     Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa EMCDDA:n on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi, jos EMCDDA:lle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.
            
            
               3.   Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.
            
            
               4.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.
            
            
               5.   Rajoitukset on poistettava heti, kun niihin oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.
            
         
         
            4 artikla
            Uudelleentarkastelu tietosuojavastaavan pyynnöstä
            
               1.   EMCDDA:n on ilmoitettava tietosuojavastaavalleen ilman aiheetonta viivytystä aina, kun rekisterinpitäjä rajoittaa rekisteröityjen oikeuksien soveltamista tai jatkaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava tietosuojavastaavan osallistuminen eri menettelyihin.
            
            
               2.   Tietosuojavastaava voi pyytää kirjallisesti rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.
            
            
               3.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.
            
         
         
            5 artikla
            Tiedon antaminen rekisteröidyille
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin ehdoin rekisterinpitäjä voi rajoittaa oikeutta tietojen saamiseen seuraavien käsittelytoimien yhteydessä:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
                        
                     EMCDDA:n on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin tietoihin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.
            
            
               2.   Sanotun rajoittamatta 3 kohdan säännöksiä ja kun se on oikeasuhteista, EMCDDA:n on myös ilmoitettava ilman aiheetonta viivytystä kirjallisesti yksittäin kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia.
            
            
               3.   Jos EMCDDA rajoittaa kokonaan tai osittain 2 kohdassa tarkoitettua tietojen antamista rekisteröidyille, sen on kirjattava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi.
               Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
            
            
               4.   Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.
               Kun rajoituksen syyt eivät ole enää voimassa, EMCDDA:n on ilmoitettava rekisteröidylle pääasialliset syyt, joihin rajoituksen soveltaminen perustuu. EMCDDA:n on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai viedä asia Euroopan unionin tuomioistuimeen.
               EMCDDA:n on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
         
         
            6 artikla
            Rekisteröidyn oikeus saada pääsy tietoihin
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada pääsy tietoihin seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja oikeasuhteista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
                        
                     Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, EMCDDA rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.
            
            
               2.   Kun EMCDDA kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, sen on toteutettava seuraavat toimenpiteet:
               
                           a)
                        
                        
                           sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai viedä asia Euroopan unionin tuomioistuimeen
                        
                     
                           b)
                        
                        
                           sen on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, myös rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä sen kesto.
                        
                     Edellä a luetelmakohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen.
               EMCDDA:n on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
            
               3.   Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
            
         
         
            7 artikla
            Oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen ja oikeus käsittelyn rajoittamiseen
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
                        
                     
            
               2.   Kun EMCDDA kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 18 artiklassa tarkoitettua oikeutta tietojen oikaisemiseen, 19 artiklan 1 kohdassa tarkoitettua oikeutta tietojen poistamiseen tai 20 artiklan 1 kohdassa tarkoitettua oikeutta käsittelyn rajoittamiseen, sen on toteuttava tämän päätöksen 6 artiklan 2 kohdassa tarkoitetut toimenpiteet ja rekisteröitävä kirjatut tiedot päätöksen 6 artiklan 3 kohdan mukaisesti.
            
         
         
            8 artikla
            Henkilötietojen tietoturvaloukkauksista ilmoittaminen rekisteröidylle ja sähköisen viestinnän luottamuksellisuus
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta henkilötietojen tietoturvaloukkauksista ilmoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.
                        
                     
            
               2.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta sähköisen viestinnän luottamuksellisuuteen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           viralliset häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät turvallisuustutkimukset.
                        
                     
            
               3.   Jos EMCDDA rajoittaa asetuksen (EU) 2018/1725 35 artiklassa tarkoitettua henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidyille tai 36 artiklassa tarkoitettua sähköisen viestinnän luottamuksellisuutta, sen on kirjattava ja rekisteröitävä rajoituksen syyt tämän päätöksen 5 artiklan 3 kohdan mukaisesti. Tämän päätöksen 5 artiklan 4 kohtaa on sovellettava.
            
         
         
            9 artikla
            Voimaantulo
            Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
         
         
            Tehty Lissabonissa 28 päivänä kesäkuuta 2019.
            
               
                  Hallintoneuvoston puolesta
               
               
                  Puheenjohtaja
               
               Laura D’ARRIGO
            
         
         
            (1)  EUVL L 295, 21.11.2018, s. 39.
         
            (2)  EUVL L 376, 27.12.2006, s. 1.
         
            (3)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
         
            (4)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).