CELEX: 32020Q0831(01)
Language: fi
Date: 2019-12-11 00:00:00
Title: Euroopan työterveys- ja työturvallisuusviraston hallintoneuvoston päätös 2019/15, tehty 11 päivänä joulukuuta 2019, sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista EU-OSHA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä

31.8.2020   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 282/26
               
            
         EUROOPAN TYÖTERVEYS- JA TYÖTURVALLISUUSVIRASTON HALLINTONEUVOSTON PÄÄTÖS 2019/15,
         tehty 11 päivänä joulukuuta 2019,
         sisäisistä säännöistä, jotka koskevat rekisteröityjen henkilöiden tiettyjen oikeuksien rajoittamista EU-OSHA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä
         EUROOPAN TYÖTERVEYS- JA TYÖTURVALLISUUSVIRASTON HALLINTONEUVOSTO, joka
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23. lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan,
         ottaa huomioon Euroopan työterveys- ja työturvallisuusviraston (jäljempänä ’EU-OSHA’) perustamisesta ja neuvoston asetuksen (EY) N:o 2062/94 kumoamisesta 16. tammikuuta 2019 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/126 (2),
         ottaa huomioon EU-OSHAn hallintoneuvoston työjärjestyksen,
         ottaa huomioon Euroopan tietosuojavaltuutetun (EDPS) 17. lokakuuta 2019 antaman lausunnon ja EDPS:n ohjeet uuden asetuksen 25 artiklasta ja sisäisistä säännöistä,
         sekä katsoo seuraavaa:
         
                     (1)
                  
                  
                     EU-OSHA harjoittaa toimintaansa asetuksen (EY) 2019/126 mukaisesti.
                  
               
                     (2)
                  
                  
                     Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaan tämän asetuksen 14–21, 35 ja 36 artiklan soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat 14–21 artiklassa säädettyjä oikeuksia ja velvollisuuksia, koskevien rajoitusten on perustuttava viraston antamiin sisäisiin sääntöihin, mikäli ne eivät perustu perussopimusten nojalla annettuihin säädöksiin.
                  
               
                     (3)
                  
                  
                     Näitä sisäisiä sääntöjä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pitäisi soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.
                  
               
                     (4)
                  
                  
                     Kun virasto toteuttaa rekisteröidyn oikeuksiin liittyviä velvollisuuksiaan asetuksen (EU) 2018/1725 nojalla, sen on arvioitava, voidaanko jotakin asetuksessa vahvistettua poikkeusta soveltaa.
                  
               
                     (5)
                  
                  
                     Hallinnollisten tehtäviensä yhteydessä virasto voi tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, toteuttaa alustavia toimia, jotka liittyvät mahdollisiin Euroopan petostentorjuntavirastolle ilmoitettaviin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamiseen liittyviä asioita, toteuttaa (virallisia ja epävirallisia) menettelyjä häirinnän torjumiseksi, käsitellä sisäisiä ja ulkoisia kanteluja, tehdä sisäisiä tarkastuksia sekä pyytää tietosuojavastaavaa tekemään tutkintoja asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti ja toteuttaa sisäisiä (tietoteknisiä) turvallisuustutkintoja. Virasto voi lisäksi käsitellä työntekijöiden terveystietojen saamista koskevia pyyntöjä.
                     Virasto käsittelee useita henkilötietoryhmiä, mukaan lukien kovat tiedot (”objektiiviset” tiedot, kuten tunnistetiedot, yhteystiedot, ammatilliset tiedot, hallinnolliset tiedot, erityisistä lähteistä saadut tiedot, sähköistä viestintää ja liikennettä koskevat tiedot) ja/tai pehmeät tiedot (tapausta koskevat ”subjektiiviset” tiedot, kuten ajattelutapa, käyttäytymistä, arviointia, suoriutumista ja menettelytapaa koskevat tiedot ja menettelyyn tai asiaan liittyvät tai sen yhteydessä esitetyt tiedot).
                  
               
                     (6)
                  
                  
                     Rekisterinpitäjänä toimii virasto, jota edustaa sen pääjohtaja, riippumatta siitä, että rekisterinpitäjän tehtävä olisi delegoitu virastossa toiselle henkilölle, tiettyihin henkilötietojen käsittelytoimiin liittyvien operatiivisten vastuiden mukaisesti.
                  
               
                     (7)
                  
                  
                     Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Viraston käyttämän ulkopuolisen palveluntarjoajan lääkäri tallentaa terveystiedot. Henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai viraston rekistereissä määritetyn ajan.
                  
               
                     (8)
                  
                  
                     Näitä sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita virasto tekee suorittaessaan hallinnollisia tutkimuksia, kurinpitomenettelyjä, alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamismenettelyjä, häirintätapauksia koskevia (virallisia ja epävirallisia) menettelyjä, sisäisten ja ulkoisten valitusten käsittelyä, sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltyjä (tieto)turvatutkimuksia, sekä käsitellessään omiin terveystietoihin tutustumista koskevia pyyntöjä.
                  
               
                     (9)
                  
                  
                     Näitä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Tätä tulee soveltaa myös apuun, jota virasto antaa kansallisille viranomaisille ja kansainvälisille organisaatioille, ja yhteistyöhön, jota virasto tekee näiden tahojen kanssa, sen hallinnollisten tutkimusten ulkopuolella.
                  
               
                     (10)
                  
                  
                     Asioissa, joissa näitä sisäisiä sääntöjä sovelletaan, viraston on esitettävä perustelut, joissa selitetään, miksi rajoitukset ovat ehdottoman välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja kunnioitettava perusoikeuksien ja -vapauksien periaatteita.
                  
               
                     (11)
                  
                  
                     Tässä yhteydessä viraston on noudatettava mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja korjata tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.
                  
               
                     (12)
                  
                  
                     Viraston on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia erityisesti suojatakseen omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.
                  
               
                     (13)
                  
                  
                     Virasto voi siis rajoittaa tiedonsaantia suojatakseen tutkintaa sekä muiden rekisteröityjen perusoikeuksia ja -vapauksia.
                  
               
                     (14)
                  
                  
                     Viraston on seurattava säännöllisesti, että rajoituksen perusteena olevat edellytykset ovat yhä voimassa, ja kumottava rajoitus heti, kun edellytyksiä ei enää ole.
                  
               
                     (15)
                  
                  
                     Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle lykkäyksistä ja tarkistuksista välittömästi;
                  
               ON TEHNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            Kohde ja soveltamisala
            
               1.   Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla virasto voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista asetuksen (EU) 2018/1725 25 artiklan mukaisesti.
            
            
               2.   Viraston hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan viraston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin säännönvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset, siviilioikeudellisten vaatimusten täytäntöönpano sekä omiin terveystietoihin tutustumista koskevien pyyntöjen käsittely.
            
            
               3.   Kyseiset tietoluokat kuuluvat koviin tietoihin (”objektiivisiin” tietoihin, jotka ovat esimerkiksi tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennetietoja) ja/tai pehmeisiin tietoihin (”subjektiivisiin” tietoihin, jotka ovat esimerkiksi päätelmiä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).
            
            
               4.   Kun virasto toteuttaa rekisteröidyn oikeuksiin liittyviä velvollisuuksiaan asetuksen (EU) 2018/1725 nojalla, sen on arvioitava, voidaanko jotakin asetuksessa vahvistettua poikkeusta soveltaa.
            
            
               5.   Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä edellytyksistä ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus tietojen luottamuksellisuuteen.
            
         
         
            2 artikla
            Rekisterinpitäjän ja takeiden eritelmä
            
               1.   Tietoturvaloukkausten, tietovuotojen tai luvattoman luovuttamisen välttämiseksi käytössä ovat seuraavat takeet:
               
                           a)
                        
                        
                           Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy.
                        
                     
                           b)
                        
                        
                           Kaikki sähköiset tiedot on säilytettävä suojatussa tietoteknisessä sovelluksessa viraston turvallisuusvaatimusten mukaisesti, sekä sähköisissä kansioissa, joiden käyttöoikeus on vain valtuutetulla henkilöstöllä. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.
                        
                     
                           c)
                        
                        
                           Tietokanta on suojattava salasanalla, siinä on oltava kertakirjautumisjärjestelmä ja se on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekisterejä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.
                        
                     
                           d)
                        
                        
                           Terveystiedot tallentavaa ulkopuolisen palveluntarjoajan lääkäriä sitovat salassapitoa ja henkilötietojen käsittelyä koskevat erityiset sopimuslausekkeet.
                        
                     
                           e)
                        
                        
                           Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.
                        
                     
            
               2.   Käsittelytoimissa rekisterinpitäjänä on virasto, jota edustaa sen pääjohtaja, ja tämä voi delegoida rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille on ilmoitettava valtuutetusta rekisterinpitäjästä tietosuojaselosteissa tai viraston verkkosivuilla ja/tai intranetissä julkaistavissa selosteissa.
            
            
               3.   Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoituksia varten. Säilytysaika ei missään tapauksessa saa olla pidempi kuin tietoturvaselosteissa, tietosuojaselosteissa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika.
            
            
               4.   Jos virasto aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että viraston tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.
            
         
         
            3 artikla
            Rajoitukset
            
               1.   Virasto soveltaa rajoituksia vain, jotta voitaisiin taata
               
                           a)
                        
                        
                           jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus
                        
                     
                           b)
                        
                        
                           rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy
                        
                     
                           c)
                        
                        
                           muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva
                        
                     
                           d)
                        
                        
                           unionin toimielinten ja elinten ja myös niiden sähköisten viestintäverkkojen sisäinen turvallisuus
                        
                     
                           e)
                        
                        
                           säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet
                        
                     
                           f)
                        
                        
                           valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–c alakohdassa tarkoitetuissa tapauksissa
                        
                     
                           g)
                        
                        
                           rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet
                        
                     
                           h)
                        
                        
                           siviilioikeudellisten vaatimusten täytäntöönpano.
                        
                     
            
               2.   Virasto voi edellä 1 kohdassa kuvattujen tarkoitusten erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin seuraavissa olosuhteissa:
               
                           a)
                        
                        
                           kun komission yksiköt tai muut unionin toimielimet, elimet ja laitokset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten ja laitosten perustamissäädösten mukaisesti
                        
                     
                           b)
                        
                        
                           kun jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (3) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla (4)
                           
                        
                     
                           c)
                        
                        
                           kun kyseisten oikeuksien ja velvollisuuksien käyttö voisi vaarantaa viraston yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa.
                        
                     Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa viraston on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi, jos virastolle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.
            
            
               3.   Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.
            
            
               4.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuuden vuoksi.
            
            
               5.   Rajoitukset on poistettava heti, kun niiden käytön oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaa haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.
            
         
         
            4 artikla
            Uudelleentarkastelu tietosuojavastaavan pyynnöstä
            
               1.   Viraston on ilmoitettava viraston tietosuojavastaavalle viipymättä aina, kun rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia tai laajentaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle on ilmoitettu kirjatuista tiedoista.
            
            
               2.   Tietosuojavastaava voi pyytää rekisterinpitäjää kirjallisesti tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.
            
            
               3.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.
            
         
         
            5 artikla
            Tiedon antaminen rekisteröidyille
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tiedon saamiseen seuraavien käsittelytoimien yhteydessä:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     Viraston on sisällytettävä tietosuojaselosteisiin, tietosuojaperiaatteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuun käsittelytoimia koskevaan selosteeseen, jotka julkaistaan sen verkkosivuilla ja intranetissä ja joissa kerrotaan rekisteröidyille näiden oikeuksista tietyssä menettelyssä, myös tietoa näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.
            
            
               2.   Sen estämättä, mitä 3 kohdassa määrätään, viraston on aina, kun se on asianmukaista, ilmoitettava viipymättä ja kirjallisesti erikseen kaikille tietyssä käsittelytoimessa asianomaisena oleville rekisteröidyille heidän oikeuksistaan, jotka liittyvät nykyisiin tai tuleviin rajoituksiin.
            
            
               3.   Jos virasto rajoittaa kokonaan tai osittain 2 kohdassa tarkoitettujen rekisteröityjen tiedonsaantia, sen on dokumentoitava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä arviointi rajoituksen välttämättömyydestä ja oikeasuhteisuudesta.
               Kirjatut tiedot ja mahdolliset asiakirjat, joista käyvät ilmi perusteena olevat tosiseikat ja oikeudelliset seikat, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
            
            
               4.   Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.
               Jos rajoitukseen sovellettavat perusteet eivät enää ole voimassa, viraston on annettava rekisteröidylle tietoa tärkeimmistä perusteista, joihin rajoituksen soveltaminen pohjautuu. Viraston on samalla ilmoitettava rekisteröidylle tämän oikeudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai oikeudesta käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.
               Viraston on tarkistettava rajoituksen sovellettavuus kuuden kuukauden välein sen määräämisestä ja asianmukaisen tutkimuksen, menettelyn tai tutkinnan päättyessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
         
         
            6 artikla
            Rekisteröidyn oikeus tietoihin pääsyyn
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta päästä tietoihin seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja oikeasuhteista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     
                           i)
                        
                        
                           omiin terveystietoihin tutustumista koskevien pyyntöjen käsittely.
                        
                     Jos rekisteröidyt pyytävät pääsyä yhden tai useamman asian yhteydessä tai tietyssä käsittelytoimessa käsiteltäviin henkilötietoihinsa asetuksen (EU) 2018/1725 17 artiklan mukaisesti, viraston on rajattava pyynnön arviointi vain näihin henkilötietoihin.
            
            
               2.   Kun virasto rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, sen on toteutettava seuraavat toimenpiteet:
               
                           a)
                        
                        
                           sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai viedä asia Euroopan unionin tuomioistuimeen
                        
                     
                           b)
                        
                        
                           sen on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, myös rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä sen kesto.
                        
                     Omiin terveystietoihin tutustumisen osalta määrätyt rajoitukset saavat koskea vain henkilökohtaisten psykologisten tai psykiatristen terveystietojen suoraa saatavuutta koskevia pyyntöjä, jos kyseisten tietojen saaminen aiheuttaa todennäköisesti riskin rekisteröidyn terveydelle. Tämän rajoituksen on oltava oikeassa suhteessa siihen, mikä on ehdottoman välttämätöntä rekisteröidyn suojelemiseksi. Kyseiset tiedot annetaan saataville rekisteröidyn välittäjäksi valitseman lääkärin välityksellä. Kyseiselle lääkärille on annettava pääsy kaikkiin tietoihin sekä harkintavalta päättää, mitä tietoja rekisteröidylle annetaan ja miten ne annetaan.
               Edellä kohdassa a tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen.
               Viraston on tarkistettava rajoituksen sovellettavuus kuuden kuukauden välein sen määräämisestä ja asianmukaisen tutkinnan päättyessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.
            
            
               3.   Kirjatut tiedot ja mahdolliset asiakirjat, joista käyvät ilmi perusteena olevat tosiseikat ja oikeudelliset seikat, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
            
         
         
            7 artikla
            Oikeus tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     
            
               2.   Jos virasto rajoittaa kokonaan tai osittain oikeutta oikaista tai poistaa tietoja ja rajoittaa niiden käsittelyä asetuksen (EU) 2018/1725 18 artiklan, 19 artiklan 1 kohdan ja 20 artiklan 1 kohdan mukaisesti, sen on toimittava tämän päätöksen 6 artiklan 2 kohdassa määrätyllä tavalla ja merkittävä tiedot rekisteriin tämän päätöksen 6 artiklan 3 kohdan mukaisesti.
            
         
         
            8 artikla
            Henkilötietojen tietoturvaloukkauksista ilmoittaminen rekisteröidylle ja sähköisen viestinnän luottamuksellisuus
            
               1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta henkilötietojen tietoturvaloukkauksista ilmoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäiset tarkastukset
                        
                     
                           g)
                        
                        
                           tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset
                        
                     
                           h)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     
            
               2.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta sähköisen viestinnän luottamuksellisuuteen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:
               
                           a)
                        
                        
                           hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen
                        
                     
                           b)
                        
                        
                           alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin
                        
                     
                           c)
                        
                        
                           väärinkäytösten paljastamista koskevat menettelyt
                        
                     
                           d)
                        
                        
                           viralliset häirintätapauksia koskevat menettelyt
                        
                     
                           e)
                        
                        
                           sisäisten ja ulkoisten valitusten käsittely
                        
                     
                           f)
                        
                        
                           sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset
                        
                     
            
               3.   Jos virasto rajoittaa rekisteröidyn oikeutta saada ilmoitus henkilötietojen tietoturvaloukkauksesta tai oikeutta luottamukselliseen sähköiseen viestintään asetuksen (EU) 2018/1725 35 ja 36 artiklan mukaisesti, sen on dokumentoitava ja ilmoitettava rajoituksen syyt tämän päätöksen 5 artiklan 3 kohdan mukaisesti. Tämän päätöksen 5 artiklan 4 kohtaa on sovellettava.
            
         
         
            9 artikla
            Voimaantulo
            Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
         
         
            Tehty Bilbaossa 11. joulukuuta 2019.
            
               
                  Euroopan työterveys- ja työturvallisuusviraston puolesta
               
               Christa SCHWENG
               
                  Hallintoneuvoston puheenjohtaja
               
            
         
         
            (1)  EUVL L 295, 21.11.2018, s. 39.
         
            (2)  EUVL L 30, 31.1.2019, s. 58.
         
            (3)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
         
            (4)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).