Source: https://www.europarl.europa.eu/doceo/document/A-8-2017-0313_FI.html
Timestamp: 2020-08-13 01:50:30+00:00
Document Index: 24887937

Matched Legal Cases: ['kko\n', 'kko\n', 'kko\n', 'kko\n', 'tuomioistuin ', 'tuomioistuin ']

958k 173k
ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta
Esittelijä: Cornelia Ernst
OIKEUDELLISTEN ASIOIDEN VALIOKUNNANLAUSUNTO
(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.
(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tämä oikeus taataan myös Euroopan ihmisoikeussopimuksen 8 artiklassa.
(5) Henkilötietojen suojaan koko unionissa sovellettavan johdonmukaisen lähestymistavan ja näiden tietojen unionissa tapahtuvan vapaan liikkuvuuden vuoksi on tarkoituksenmukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten ja elinten tietosuojasäännöt jäsenvaltioiden julkista sektoria varten hyväksyttyjen tietosuojasääntöjen kanssa. Aina kun tämän asetuksen säännökset perustuvat samaan käsitteeseen kuin asetuksen (EU) 2016/679 säännökset, näitä kahta säännöstöä olisi tulkittava yhteneväisesti, erityisesti siksi, että asetuksen rakenteen olisi katsottava vastaavan asetuksen (EU) 2016/679 rakennetta.
(5) Henkilötietojen suojaan koko unionissa sovellettavan johdonmukaisen lähestymistavan ja näiden tietojen unionissa tapahtuvan vapaan liikkuvuuden vuoksi on tarkoituksenmukaista yhdenmukaistaa unionin toimielinten, elinten ja laitosten tietosuojasäännöt jäsenvaltioiden julkista sektoria varten hyväksyttyjen tietosuojasääntöjen kanssa. Aina kun tämän asetuksen säännökset perustuvat samaan käsitteeseen kuin asetuksen (EU) 2016/679 säännökset, näitä kahta säännöstöä olisi Euroopan unionin tuomioistuimen oikeuskäytännön1 a mukaisesti tulkittava yhteneväisesti, erityisesti siksi, että asetuksen rakenteen olisi katsottava vastaavan asetuksen (EU) 2016/679 rakennetta.
1 a Unionin tuomioistuimen tuomio 9.3.2010, komissio v. Saksa, C-518/07, ECLI:EU:C:2010:125, 26 ja 28 kohta.
(7 a) Tietosuojaa koskeva lainsäädäntökehys, jota sovelletaan tietojen käsittelyyn unionin toimielinten ja elinten toiminnan yhteydessä vapauden, turvallisuuden ja oikeuden sekä yhteisen ulko- ja turvallisuuspolitiikan aloilla, on edelleen hajanainen ja aiheuttaa oikeudellista epävarmuutta. Tällä asetuksella olisi sen vuoksi vahvistettava yhdenmukaistetut säännöt sellaisten henkilötietojen suojasta ja vapaasta liikkuvuudesta, joita unionin toimielimet ja elimet käsittelevät toteuttaessaan SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun ja SEU-sopimuksen V osaston 2 luvun soveltamisalaan kuuluvia toimia.
(8) Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta voivat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi. Tätä asetusta olisi sen vuoksi sovellettava rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla toimiviin unionin virastoihin vain siltä osin kuin kyseisiin virastoihin sovellettavassa unionin oikeudessa ei ole erityisiä säännöksiä henkilötietojen käsittelystä.
(8) Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta voivat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi. Lisäksi yhteisellä ulko- ja turvallisuuspolitiikalla on erityisluonne ja siihen liittyy henkilötietojen suojaa koskevia erityissääntöjä, joten saattaa osoittautua tarpeelliseksi varmistaa henkilötietojen vapaa liikkuvuus myös kyseisellä alalla. Sen vuoksi on aiheellista säännellä operatiivisten henkilötietojen käsittelyä, jota suoritetaan SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun nojalla perustetuissa unionin virastoissa ja SEU-sopimuksen 42 artiklan 1 kohdassa ja 43 ja 44 artiklassa tarkoitetuissa tehtävissä, vahvistamalla erityissääntöjä, jotka poikkeavat joistakin tässä asetuksessa vahvistetuista yleisistä säännöistä.
(14) Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palveluiden teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan.
(14) Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palveluiden teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. Rekisteröidyllä olisi silti oltava oikeus peruuttaa suostumuksensa milloin tahansa tämän vaikuttamatta suostumukseen ennen sen peruuttamista perustuvan käsittelyn lainmukaisuuteen.
(15) Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin, ja heidän olisi oltava selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä. Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. Olisi toteutettava kaikki kohtuulliset toimenpiteet, jotta varmistetaan, että virheelliset henkilötiedot oikaistaan tai poistetaan. Henkilötietoja olisi käsiteltävä siten, että varmistetaan henkilötietojen asianmukainen turvallisuus ja luottamuksellisuus, millä muun muassa ehkäistään luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö.
(15) Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista ja tapahduttava selkeisiin ja tarkasti määriteltyihin tarkoituksiin. Luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin, ja heidän olisi oltava selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä. Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. Olisi toteutettava kaikki kohtuulliset toimenpiteet, jotta varmistetaan, että virheelliset henkilötiedot oikaistaan tai poistetaan. Henkilötietoja olisi käsiteltävä siten, että varmistetaan henkilötietojen asianmukainen turvallisuus ja luottamuksellisuus, millä muun muassa ehkäistään luvaton pääsy henkilötietoihin, niiden luvaton luovuttaminen siirtämisen aikana tai niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö.
(18) Unionin oikeuden, mukaan lukien tässä asetuksessa tarkoitetut sisäiset säännöt, olisi kuitenkin oltava selkeä ja täsmällinen ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa Euroopan unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti.
(18) Tässä asetuksessa tarkoitetun unionin oikeuden olisi oltava selkeä ja täsmällinen ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa perusoikeuskirjassa ja Euroopan ihmisoikeussopimuksessa vahvistettujen vaatimusten mukaisesti.
(20) Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. Neuvoston direktiivin 93/13/ETY14 mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.
(20) Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. Neuvoston direktiivin 93/13/ETY14 mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys, tarkoitukset, joita varten henkilötietoja on määrä käsitellä, ja tietojen vastaanottajaryhmät sekä saatava tietoa oikeudesta päästä ja vaikuttaa tietoihin. Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.
14 Neuvoston direktiivi 93/13/ETY, annettu 5 päivänä huhtikuuta 1993, kuluttajasopimusten kohtuuttomista ehdoista (EYVL L 95, 21.4.1993, s. 29).
(22) Kun unioniin sijoittautuneet vastaanottajat, joihin sovelletaan asetusta (EU) 2016/679 tai direktiiviä (EU) 2016/680, haluaisivat, että unionin toimielimet ja elimet siirtäisivät niille henkilötietoja, näiden vastaanottajien olisi osoitettava, että tietojen siirtäminen on tarpeen niiden tavoitteen saavuttamiseksi ja että se on oikeasuhteinen eikä ylitä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi. Unionin toimielinten, elinten ja laitosten olisi osoitettava tällainen tarve, kun ne itse ovat siirron alkuunpanijoita, läpinäkyvyyden periaatteen mukaisesti.
(22) Kun unioniin sijoittautuneet vastaanottajat, joihin sovelletaan asetusta (EU) 2016/679 tai direktiiviä (EU) 2016/680, haluaisivat, että unionin toimielimet ja elimet siirtäisivät niille henkilötietoja, näiden vastaanottajien olisi annettava rekisterinpitäjälle siirtämistä koskeva perusteltu pyyntö, jonka perusteella rekisterinpitäjän olisi arvioitava, onko kyseinen tietojen siirtäminen tarpeen niiden tavoitteen saavuttamiseksi ja onko se oikeasuhteinen eikä ylitä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi. Unionin toimielinten, elinten ja laitosten olisi osoitettava tällainen tarve, kun ne itse ovat siirron alkuunpanijoita, läpinäkyvyyden periaatteen mukaisesti.
(23) Henkilötiedot, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, ansaitsevat erityistä suojelua, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä asetuksessa ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. Arkaluonteisten tietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen.
(23) Henkilötiedot, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, ansaitsevat erityistä suojelua, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisia henkilötietoja ei pitäisi käsitellä, paitsi jos käsittely sallitaan tässä asetuksessa vahvistetuissa erityistapauksissa. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä asetuksessa ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. Arkaluonteisten tietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen.
(23 a) Erityiseen tietoryhmään kuuluvia, erityissuojelua tarvitsevia henkilötietoja olisi voitava käsitellä vain terveyteen liittyvien syiden perusteella silloin, kun se on tarpeen luonnollisten henkilöiden ja koko yhteiskunnan etua palvelevien tarkoitusten toteuttamiseksi erityisesti terveyden- tai sosiaalihuollon palvelujen ja järjestelmien hallinnon yhteydessä. Näin ollen tässä asetuksessa olisi säädettävä erityisryhmiin kuuluvien terveyttä koskevien henkilötietojen käsittelyn yhdenmukaisista ehdoista erityistarpeiden osalta erityisesti, kun henkilö, jolla on lakisääteinen salassapitovelvollisuus, käsittelee tällaisia tietoja tiettyjä terveyteen liittyviä tarkoituksia varten. Unionin oikeudessa olisi säädettävä erityisistä ja asianmukaisista toimenpiteistä luonnollisten henkilöiden perusoikeuksien ja henkilötietojen suojelemiseksi.
(24) Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ’kansanterveydellä’ olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/200815 esitetyn määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten kolmansien osapuolten toimesta.
(24) Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ’kansanterveydellä’ olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/200815 esitetyn määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten.
15 Euroopan parlamentin ja neuvoston asetus (EY) N:o 1338/2008, annettu 16 päivänä joulukuuta 2008, kansanterveyttä sekä työterveyttä ja työturvallisuutta koskevista yhteisön tilastoista (EUVL L 354, 31.12.2008, s. 70).
Johdanto-osan 37 kappale – 1 kohta
Perussopimusten perusteella hyväksytyissä säädöksissä tai unionin toimielinten ja elinten sisäisissä säännöissä voidaan asettaa rajoituksia, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja ja oikeutta siirtää tiedot järjestelmästä toiseen, sähköisen viestinnän luottamuksellisuutta sekä henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä yleisen turvallisuuden takaamiseksi, rikosten ennaltaehkäisemistä, tutkintaa ja rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy muun muassa ihmishenkien suojelemiseksi erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä, unionin toimielinten ja elinten sisäisen turvallisuuden vuoksi, muiden unionin tai jäsenvaltion tärkeiden yleistä etua koskevien syiden vuoksi, erityisesti unionin tai jäsenvaltion tärkeiden taloudellisten tai rahoitusta koskevien etujen vuoksi, yleiseen etuun liittyvistä syistä pidettävien julkisten rekisterien pitämiseksi tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien, muun muassa sosiaaliturvan, kansanterveyden ja humanitaaristen tarkoitusten, turvaamiseksi.
Perussopimusten perusteella hyväksytyissä säädöksissä voidaan asettaa rajoituksia, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja ja oikeutta siirtää tiedot järjestelmästä toiseen, sähköisen viestinnän luottamuksellisuutta sekä henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä yleisen turvallisuuden takaamiseksi, rikosten ennaltaehkäisemistä, tutkintaa ja rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy muun muassa ihmishenkien suojelemiseksi erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä, unionin toimielinten ja elinten sisäisen turvallisuuden vuoksi, muiden unionin tai jäsenvaltion tärkeiden yleistä etua koskevien syiden vuoksi, erityisesti unionin tai jäsenvaltion tärkeiden taloudellisten tai rahoitusta koskevien etujen vuoksi, yleiseen etuun liittyvistä syistä pidettävien julkisten rekisterien pitämiseksi tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien, muun muassa sosiaaliturvan, kansanterveyden ja humanitaaristen tarkoitusten, turvaamiseksi.
Johdanto-osan 37 kappale – 2 kohta
Jos rajoituksesta ei säädetä perussopimusten nojalla annetuissa säädöksissä tai sisäisissä säännöissä, unionin toimielimet ja elimet voivat tietyssä tapauksessa asettaa tilapäisen rajoituksen, joka koskee tiettyjä periaatteita ja rekisteröidyn oikeuksia, jos kyseisessä rajoituksessa noudatetaan tietyn käsittelytoimen osalta keskeisiltä osin perusoikeuksia ja vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen, jotta voidaan taata yksi tai useampi 1 kohdassa mainittu tavoite. Rajoituksesta olisi ilmoitettava tietosuojavastaavalle. Kaikkien rajoitusten olisi oltava perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia.
(39 a) Asetuksessa (EU) 2016/679 säädetään, että rekisterinpitäjien on osoitettava velvollisuuksien noudattaminen noudattamalla hyväksyttyjä sertifiointimekanismeja. Myös unionin toimielinten ja elinten olisi voitava osoittaa, että ne noudattavat tämän asetuksen vaatimuksia, hankkimalla sertifiointi asetuksen (EU) 2016/679 42 artiklan mukaisesti.
(42) Rekisterinpitäjien olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja esittämään sille pyydettäessä käsittelyä koskevat rekisterit, jotta tietojenkäsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi voitava perustaa tietojenkäsittelytoimiaan koskeva keskusrekisteri. Läpinäkyvyyden vuoksi niiden olisi myös voitava tehdä rekisteristä julkinen.
(42) Rekisterinpitäjien olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja esittämään sille pyydettäessä käsittelyä koskevat rekisterit, jotta tietojenkäsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi perustettava tietojenkäsittelytoimiaan koskeva keskusrekisteri. Läpinäkyvyyden vuoksi niiden olisi tehtävä rekisteristä julkinen.
(47) Asetuksessa (EY) N:o 45/2001 säädetään rekisterinpitäjän yleisestä velvollisuudesta ilmoittaa henkilötietojen käsittelystä tietosuojavastaavalle, joka puolestaan pitää rekisteriä ilmoitetuista käsittelytoimista. Vaikka tämä velvollisuus aiheuttaa hallinnollista ja taloudellista rasitusta, se ei aina ole edistänyt henkilötietojen suojaa. Tällaisista yleisistä ilmoitusvelvollisuuksista olisi luovuttava ja ne olisi korvattava tehokkailla menettelyillä ja mekanismeilla, jotka keskittyvät käsittelytoimien tyyppeihin, joihin niiden luonteen, laajuuden, asiayhteyden ja tarkoitusten vuoksi todennäköisesti liittyy luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkea riski. Tällaisiin käsittelytoimien tyyppeihin kuuluvat erityisesti toimet, jotka perustuvat erityisesti uusien tekniikoiden käyttöön tai jotka ovat uudenlaisia ja joiden osalta rekisterinpitäjä ei ole ensin tehnyt tietosuojaa koskevaa vaikutustenarviointia, tai tietosuojaa koskeva vaikutustenarviointi on tullut tarpeelliseksi, koska aikaa on kulunut siitä kun käsittely alkoi. Tapauksissa, joissa luonnollisten henkilöiden oikeuksiin tai vapauksiin kohdistuu korkea riski, rekisterinpitäjän olisi kyseisen riskin erityisen todennäköisyyden ja vakavuuden arvioimiseksi käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä riskin alkuperän huomioon ottaen tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi. Tässä vaikutustenarvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä suojatoimia ja mekanismeja, joiden avulla lievennetään edellä mainittua riskiä, varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu.
(47) Asetuksessa (EY) N:o 45/2001 säädetään rekisterinpitäjän yleisestä velvollisuudesta ilmoittaa henkilötietojen käsittelystä tietosuojavastaavalle, joka puolestaan pitää rekisteriä ilmoitetuista käsittelytoimista. Tämän yleisen velvollisuuden lisäksi olisi otettava käyttöön tehokkaita menettelyjä ja mekanismeja sellaisten käsittelytoimien valvomiseksi, joihin niiden luonteen, laajuuden, asiayhteyden ja tarkoitusten vuoksi todennäköisesti liittyy luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkea riski. Tällaisia menettelyjä olisi myös oltava käytössä erityisesti silloin, kun käsittelytoimien tyypit perustuvat erityisesti uusien tekniikoiden käyttöön tai ovat uudenlaisia ja niiden osalta rekisterinpitäjä ei ole ensin tehnyt tietosuojaa koskevaa vaikutustenarviointia, tai tietosuojaa koskeva vaikutustenarviointi on tullut tarpeelliseksi, koska aikaa on kulunut siitä kun käsittely alkoi. Tapauksissa, joissa luonnollisten henkilöiden oikeuksiin tai vapauksiin kohdistuu korkea riski, rekisterinpitäjän olisi kyseisen riskin erityisen todennäköisyyden ja vakavuuden arvioimiseksi käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä riskin alkuperän huomioon ottaen tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi. Tässä vaikutustenarvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä suojatoimia ja mekanismeja, joiden avulla lievennetään edellä mainittua riskiä, varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu.
(50) Asetuksessa (EU) 2016/679 perustettiin Euroopan tietosuojaneuvosto riippumattomaksi unionin elimeksi, jolla on oikeushenkilön asema. Tietosuojaneuvoston olisi edistettävä asetuksen (EU) 2016/679 ja direktiivin 2016/680 johdonmukaista soveltamista kaikkialla unionissa, muun muassa antamalla neuvoja komissiolle. Samanaikaisesti Euroopan tietosuojavaltuutetun olisi edelleen huolehdittava valvonta- ja neuvontatehtävistään kaikkien unionin toimielinten ja elinten osalta, myös omasta aloitteestaan tai pyynnöstä. Jotta varmistetaan tietosuojasäännösten johdonmukaisuus kaikkialla unionissa, komission kuulemisen olisi oltava pakollista sellaisten lainsäätämisjärjestyksessä hyväksyttävien säädösten hyväksymisen jälkeen tai laadittaessa sellaisia delegoituja säädöksiä ja täytäntöönpanosäädöksiä, sellaisina kuin ne on määritelty SEUT-sopimuksen 289, 290 ja 291 artiklassa, ja sellaisten SEUT-sopimuksen 218 artiklassa tarkoitettuihin, kolmansien maiden ja kansainvälisten järjestöjen kanssa tehtyihin sopimuksiin liittyvien suositusten ja ehdotusten hyväksymisen jälkeen, jotka vaikuttavat henkilötietojen suojaa koskevaan oikeuteen. Tällaisissa tapauksissa komission olisi kuultava Euroopan tietosuojavaltuutettua, paitsi silloin kun asetuksessa (EU) N:o 2016/679 säädetään Euroopan tietosuojaneuvoston pakollisesta kuulemisesta, esimerkiksi silloin, kun on kyse tietosuojan tason riittävyyttä koskevista päätöksistä tai vakiomuotoisia kuvakkeita ja sertifiointimekanismeille asetettavia vaatimuksia koskevista delegoiduista säädöksistä. Jos kyseinen säädös on erityisen tärkeä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komission olisi voitava kuulla myös Euroopan tietosuojaneuvostoa. Näissä tapauksissa Euroopan tietosuojavaltuutetun olisi Euroopan tietosuojaneuvoston jäsenenä koordinoitava toimensa tietosuojaneuvoston kanssa yhteisen lausunnon antamiseksi. Euroopan tietosuojavaltuutetun ja tarvittaessa Euroopan tietosuojaneuvoston olisi toimitettava kirjalliset lausuntonsa kahdeksan viikon kuluessa. Kyseisen määräajan olisi oltava lyhyempi kiireellisissä tapauksissa tai muuten tarvittaessa, esimerkiksi komission valmistellessa delegoituja säädöksiä ja täytäntöönpanosäädöksiä.
(50) Asetuksessa (EU) 2016/679 perustettiin Euroopan tietosuojaneuvosto riippumattomaksi unionin elimeksi, jolla on oikeushenkilön asema. Tietosuojaneuvoston olisi edistettävä asetuksen (EU) 2016/679 ja direktiivin 2016/680 johdonmukaista soveltamista kaikkialla unionissa, muun muassa antamalla neuvoja komissiolle. Samanaikaisesti Euroopan tietosuojavaltuutetun olisi edelleen huolehdittava valvonta- ja neuvontatehtävistään kaikkien unionin toimielinten ja elinten osalta, myös omasta aloitteestaan tai pyynnöstä. Jotta varmistetaan tietosuojasäännösten johdonmukaisuus kaikkialla unionissa, komission kuulemisen olisi oltava pakollista hyväksyttäessä ehdotuksia sellaisiksi lainsäätämisjärjestyksessä hyväksyttäviksi säädöksiksi tai laadittaessa sellaisia delegoituja säädöksiä ja täytäntöönpanosäädöksiä, sellaisina kuin ne on määritelty SEUT-sopimuksen 289, 290 ja 291 artiklassa, ja hyväksyttäessä sellaisia SEUT-sopimuksen 218 artiklassa tarkoitettuihin, kolmansien maiden ja kansainvälisten järjestöjen kanssa tehtyihin sopimuksiin liittyviä suosituksia ja ehdotuksia, jotka vaikuttavat henkilötietojen suojaa koskevaan oikeuteen. Tällaisissa tapauksissa komission olisi kuultava Euroopan tietosuojavaltuutettua, paitsi silloin kun asetuksessa (EU) N:o 2016/679 säädetään Euroopan tietosuojaneuvoston pakollisesta kuulemisesta, esimerkiksi silloin, kun on kyse tietosuojan tason riittävyyttä koskevista päätöksistä tai vakiomuotoisia kuvakkeita ja sertifiointimekanismeille asetettavia vaatimuksia koskevista delegoiduista säädöksistä. Jos kyseinen säädös on erityisen tärkeä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komission olisi voitava kuulla myös Euroopan tietosuojaneuvostoa. Näissä tapauksissa Euroopan tietosuojavaltuutetun olisi Euroopan tietosuojaneuvoston jäsenenä koordinoitava toimensa tietosuojaneuvoston kanssa yhteisen lausunnon antamiseksi. Euroopan tietosuojavaltuutetun ja tarvittaessa Euroopan tietosuojaneuvoston olisi toimitettava kirjalliset lausuntonsa kahdeksan viikon kuluessa. Kyseisen määräajan olisi oltava lyhyempi kiireellisissä tapauksissa tai muuten tarvittaessa, esimerkiksi komission valmistellessa delegoituja säädöksiä ja täytäntöönpanosäädöksiä.
Johdanto-osan 50 a kappale (uusi)
(50 a) Euroopan tietosuojavaltuutettu huolehtii Euroopan tietosuojaneuvoston sihteeristön tehtävistä asetuksen (EU) 2016/679 75 artiklan mukaisesti.
(52) Henkilötietojen siirtäminen unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille taikka kansainvälisille järjestöille ei saisi vaarantaa luonnollisten henkilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän asetukseen, ei myöskään silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.
(52) Siirrettäessä henkilötietoja unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille taikka kansainvälisille järjestöille olisi taattava luonnollisten henkilöiden henkilötietojen suojan taso, joka unionissa perustuu tähän asetukseen, myös silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta, asetusta (EU) 2016/679 ja perusoikeuskirjassa vahvistettuja perusoikeuksia ja -vapauksia kaikilta osin noudattaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.
Johdanto-osan 53 kappale
(53) Komissio voi todeta asetuksen (EU) 2016/679 45 artiklan nojalla, että jokin kolmas maa, kolmannen maan alue tai tietty sektori taikka kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan. Tällöin unionin toimielin tai elin voi siirtää henkilötietoja kyseiseen kolmanteen maahan tai kansainväliselle järjestölle ilman erillistä lupaa.
(53) Komissio voi todeta asetuksen (EU) 2016/679 45 artiklan tai direktiivin (EU) 2016/680 36 artiklan nojalla, että jokin kolmas maa, kolmannen maan alue tai tietty sektori taikka kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan. Tällöin unionin toimielin tai elin voi siirtää henkilötietoja kyseiseen kolmanteen maahan tai kansainväliselle järjestölle ilman erillistä lupaa.
Johdanto-osan 64 a kappale (uusi)
(64 a) Komissio on ehdottanut hallinnollisesta yhteistyöstä sisämarkkinoiden tietojenvaihtojärjestelmässä ja komission päätöksen 2008/49/EY kumoamisesta 25 päivänä lokakuuta 2012 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1024/2012 (’IMI-asetus’) muuttamista, jotta IMI-järjestelmää voisivat käyttää paitsi jäsenvaltioiden toimivaltaiset viranomaiset ja komissio myös unionin elimet, laitokset ja virastot1 a. Ennen tätä muuttamista Euroopan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston olisi voitava käyttää sisämarkkinoiden tietojenvaihtojärjestelmää yleisessä tietosuoja-asetuksessa säädettyihin hallinnollista yhteistyötä ja tietojenvaihtoa koskeviin tarkoituksiin, kunnes yleistä tietosuoja-asetusta aletaan soveltaa 25 päivänä toukokuuta 2018.
1 a Ks. ehdotus Euroopan parlamentin ja neuvoston asetukseksi tietoja, menettelyjä sekä neuvonta- ja ongelmanratkaisupalveluja tarjoavan yhteisen digitaalisen palveluväylän perustamisesta ja asetuksen (EU) N:o 1024/2012 muuttamisesta, 36 artikla, COM(2017)0256 final, 2017/0086(COD).
(65) Unionin oikeudessa säädetään tiettyjen tapausten osalta Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välisestä koordinoidun valvonnan mallista. Lisäksi Euroopan tietosuojavaltuutettu on Europolin valvontaviranomainen, ja kansallisten valvontaviranomaisten kanssa tehtävän yhteistyön malli toteutetaan neuvoa-antavasta tehtävästä huolehtivan yhteistyöneuvoston kautta. Aineellisten tietosuojasääntöjen täytäntöönpanon ja valvonnan parantamiseksi unionissa olisi otettava käyttöön yksi yhtenäinen koordinoidun valvonnan malli. Komission olisi sen vuoksi esitettävä tarvittaessa lainsäädäntöehdotuksia koordinoitua valvontaa koskevien unionin säädösten muuttamiseksi, jotta ne vastaisivat tämän asetuksen koordinoidun valvonnan mallia. Euroopan tietosuojaneuvoston olisi toimittava keskitettynä foorumina, jonka avulla varmistetaan koordinoitu valvonta kaikilla aloilla.
(65) Unionin oikeudessa säädetään tiettyjen tapausten osalta Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välisestä koordinoidun valvonnan mallista. Lisäksi Euroopan tietosuojavaltuutettu on Europolin valvontaviranomainen, ja kansallisten valvontaviranomaisten kanssa tehtävän yhteistyön malli toteutetaan neuvoa-antavasta tehtävästä huolehtivan yhteistyöneuvoston kautta. Aineellisten tietosuojasääntöjen täytäntöönpanon ja valvonnan parantamiseksi tällä asetuksella olisi otettava käyttöön yksi yhtenäinen koordinoidun valvonnan malli. Euroopan tietosuojaneuvoston olisi toimittava keskitettynä foorumina, jonka avulla varmistetaan koordinoitu valvonta kaikilla aloilla.
2. Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.
2. Tällä asetuksella suojellaan perusoikeuskirjassa vahvistettuja luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.
1. Tätä asetusta sovelletaan kaikkien unionin toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn silloin, kun käsittely suoritetaan unionin oikeuden soveltamisalaan kokonaan tai osittain kuuluvien toimien toteuttamiseksi.
1. Tätä asetusta sovelletaan kaikkien unionin toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn.
2 a. Tätä asetusta sovelletaan myös SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun soveltamisalaan kuuluvia toimia toteuttaviin unionin virastoihin, myös silloin kun näiden unionin virastojen perustamissäädöksissä säädetään erillisestä operatiivisten henkilötietojen käsittelyä koskevasta tietosuojajärjestelmästä. Näiden virastojen perustamissäädöksiin sisältyvillä, operatiivisten henkilötietojen erityiskäsittelyyn liittyvillä säännöksillä voidaan täsmentää ja täydentää tämän asetuksen soveltamista.
a) asetuksen (EU) 2016/679 määritelmät, lukuun ottamatta kyseisen asetuksen 4 artiklan 7 alakohdassa olevaa ’rekisterinpitäjän’ määritelmää;
a) asetuksen (EU) 2016/679 määritelmät, lukuun ottamatta kyseisen asetuksen 4 artiklan 7 alakohdassa olevaa ’rekisterinpitäjän’, 16 alakohdassa olevaa ’päätoimipaikan’, 18 alakohdassa olevaa ’yrityksen’ ja 19 alakohdassa olevaa ’yritysryhmän’ määritelmää; asetuksen (EU) XX/XXXX [sähköisen viestinnän tietosuoja-asetus] 4 artiklan 2 kohdan a alakohdassa oleva ’sähköisen viestinnän’ määritelmä;
d a) ’operatiivisilla henkilötiedoilla’ henkilötietoja, joita käsitellään SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun nojalla perustetuissa unionin virastoissa ja SEU-sopimuksen 42 artiklan 1 kohdassa ja 43 ja 44 artiklassa tarkoitetuissa tehtävissä kyseisten virastojen tai tehtävien perustamisesta annetuissa säädöksissä vahvistettujen tavoitteiden saavuttamiseksi.
d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että siihen tarkoitukseen nähden virheelliset tai puutteelliset tiedot, jota varten tiedot kerättiin tai jota varten niitä myöhemmin käsitellään, poistetaan tai oikaistaan viipymättä (”täsmällisyys”);
2. Edellä 1 kohdan a alakohdassa tarkoitetut tehtävät vahvistetaan unionin lainsäädännössä.
2. Edellä 1 kohdan a alakohdassa tarkoitetut tehtävät vahvistetaan unionin lainsäädännössä. Edellä 1 kohdan b alakohdassa tarkoitetun käsittelyn peruste vahvistetaan rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä.
Henkilötietojen siirtäminen unionin toimielinten ja elinten kesken
1. Henkilötietoja voidaan siirtää unionin toimielinten tai elinten kesken taikka niiden sisällä ainoastaan, jos tiedot ovat tarpeen vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten.
2. Jos tiedot siirretään vastaanottajan pyynnöstä, sekä rekisterinpitäjä että vastaanottaja ovat vastuussa siirron laillisuudesta.
Rekisterinpitäjän on varmistettava, että vastaanottaja on toimivaltainen, ja arvioitava alustavasti tietojen siirron tarpeellisuus. Jos tarpeellisuudesta on epäilyksiä, rekisterinpitäjän on pyydettävä vastaanottajalta lisäselvityksiä.
3. Vastaanottajan on käsiteltävä henkilötietoja ainoastaan sitä tarkoitusta varten, jonka vuoksi ne on siirretty.
1. Rajoittamatta tämän asetuksen 4, 5, 6 ja 10 artiklan soveltamista henkilötietoja saa siirtää ainoastaan vastaanottajille, jotka ovat sijoittautuneet unioniin ja joihin sovelletaan asetusta (EU) 2016/679 tai direktiivin (EU) 2016/680 nojalla annettuja kansallisia säännöksiä, jos vastaanottaja osoittaa:
1. Rajoittamatta tämän asetuksen 4, 5, 6, 10 ja 14 artiklan, 15 artiklan 3 kohdan ja 16 artiklan 4 kohdan soveltamista henkilötietoja saa siirtää ainoastaan vastaanottajille, jotka ovat sijoittautuneet unioniin ja joihin sovelletaan asetusta (EU) 2016/679 tai direktiivin (EU) 2016/680 nojalla annettuja kansallisia säännöksiä, jos rekisterinpitäjä osoittaa vastaanottajan perustellun pyynnön perusteella:
b) että tietojen siirtäminen on välttämätöntä, että siirtäminen on oikeassa suhteessa tarkoituksiinsa nähden, eikä ole syytä olettaa, että rekisteröidyn oikeuksia, vapauksia ja oikeutettuja etuja saatettaisiin loukata.
b) että se on oikeasuhteista ja välttämätöntä yleisen edun, kuten läpinäkyvyyden tai hyvän hallinnon, vuoksi, ja jos on syytä olettaa, että rekisteröidyn oikeutettuja etuja saatettaisiin loukata, sen jälkeen kun on todistetusti arvioitu erilaiset kilpailevat edut;
10 artikla – 2 kohta – a alakohta
a) rekisteröity on antanut nimenomaisen suostumuksensa kyseisten tietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida kumota rekisteröidyn suostumuksella; tai
a) rekisteröity on antanut nimenomaisen suostumuksensa kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida kumota rekisteröidyn suostumuksella; tai
3. Edellä 1 kohdassa tarkoitettuja henkilötietoja voidaan käsitellä 2 kohdan h alakohdassa esitettyihin tarkoituksiin, kun kyseisiä tietoja käsittelee tai niiden käsittelystä vastaa ammattilainen, jolla on lakisääteinen salassapitovelvollisuus unionin oikeuden perusteella.
Rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely 5 artiklan 1 kohdan perusteella voidaan suorittaa vain silloin, kun se sallitaan unionin oikeudessa, johon voi kuulua sisäisiä sääntöjä ja jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.
Rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely 5 artiklan 1 kohdan perusteella suoritetaan vain silloin, kun se sallitaan unionin oikeudessa, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.
14 artikla – 5 kohta – 1 alakohta
Jäljempänä olevan 15 ja 16 artiklan nojalla toimitetut tiedot ja kaikki 17–24 ja 38 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi kieltäytyä suorittamasta pyydettyä toimea.
Jäljempänä olevan 15 ja 16 artiklan nojalla toimitetut tiedot ja kaikki 17–24 ja 38 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia.
8. Jos komissio antaa delegoituja säädöksiä asetuksen (EU) 2016/679 12 artiklan 8 kohdan mukaisesti, jotta voidaan määrittää kuvakkeilla annettavat tiedot ja menettelyt, joilla vakiomuotoisia kuvakkeita tarjotaan käyttöön, unionin toimielinten ja elinten on tarvittaessa annettava 15 ja 16 artiklassa tarkoitetut tiedot yhdistettynä vakiomuotoisiin kuvakkeisiin.
8. Siirretään komissiolle valta antaa delegoituja säädöksiä asetuksen (EU) 2016/679 12 artiklan 8 kohdan mukaisesti, jotta voidaan määrittää kuvakkeilla annettavat tiedot ja menettelyt, joilla vakiomuotoisia kuvakkeita tarjotaan käyttöön, jolloin unionin toimielinten ja elinten on tarvittaessa annettava 15 ja 16 artiklassa tarkoitetut tiedot yhdistettynä vakiomuotoisiin kuvakkeisiin.
16 artikla – 5 kohta – b alakohta
b) kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti kun käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä ja historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai niiltä osin kuin tämän artiklan 1 kohdassa tarkoitettu velvollisuus todennäköisesti estää kyseisten yleisen edun mukaisten arkistointitarkoitusten tai tieteellisten ja historiallisten tutkimustarkoitusten taikka tilastollisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti;
b) kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti kun käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä ja historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai niiltä osin kuin tämän artiklan 1 kohdassa tarkoitettu velvollisuus todennäköisesti estää kyseisten yleisen edun mukaisten arkistointitarkoitusten tai tieteellisten ja historiallisten tutkimustarkoitusten taikka tilastollisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti.
16 artikla – 5 kohta – c alakohta
c) tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti unionin oikeudessa; tai
c) tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa, jossa säädetään asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi; tai
16 artikla – 5 kohta – d alakohta
d) tiedot on pidettävä luottamuksellisina, koska niitä koskee unionin oikeuteen perustuva vaitiolovelvollisuus.
d) tiedot on pidettävä luottamuksellisina, koska niitä koskee unionin oikeuteen perustuva vaitiolovelvollisuus, mukaan lukien lakisääteinen salassapitovelvollisuus.
5 a. Edellä 5 kohdan b alakohdassa tarkoitetuissa tapauksissa rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien, vapauksien ja oikeutettujen etujen suojaamiseksi, mukaan lukien kyseisten tietojen saattaminen julkisesti saataville.
20 artikla – 1 kohta – b alakohta
b) käsittely on lainvastaista, ja rekisteröity vastustaa tietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista;
1. Perussopimusten nojalla annetuissa säädöksissä tai asioissa, jotka liittyvät toimielinten ja elinten toimintaan, voidaan näiden elinten vahvistamissa sisäisissä säännöissä rajoittaa 14–22 artiklan, 34 ja 38 artiklan sekä 4 artiklan, siltä osin kuin sen säännökset vastaavat 14–22 säädettyjä oikeuksia ja velvollisuuksia, soveltamista, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
1. Perussopimusten nojalla annetuissa säädöksissä voidaan rajoittaa 14–22 artiklan, 38 artiklan sekä 4 artiklan, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, soveltamista, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
25 artikla – 1 a kohta (uusi)
1 a. Edellä olevan 1 kohdan nojalla annettujen säädösten on oltava selkeitä ja täsmällisiä. Niiden soveltamisen on oltava henkilöiden kannalta ennakoitavissa olevaa.
25 artikla – 1 b kohta (uusi)
1 b. Edellä olevan 1 kohdan nojalla annettujen säädösten on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin
a) käsittelyn tai käsittelyryhmien tarkoituksia;
b) henkilötietoryhmiä;
c) käyttöön otettujen rajoitusten soveltamisalaa;
d) suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen;
e) rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä;
f) tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset;
g) rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja
h) rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.
2. Jos rajoituksesta ei säädetä perussopimusten nojalla annetussa säädöksessä tai sisäisessä säännössä 1 kohdan mukaisesti, unionin toimielimet ja elimet voivat rajoittaa 14–22 artiklan, 34 ja 38 artiklan sekä 4 artiklan, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, soveltamista, jos kyseisessä rajoituksessa noudatetaan tietyn käsittelytoimen osalta keskeisiltä osin perusoikeuksia ja vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata yksi tai useampi 1 kohdassa tarkoitettu tavoite. Rajoituksesta on ilmoitettava toimivaltaiselle tietosuojavastaavalle.
3. Kun henkilötietoja käsitellään tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten, unionin oikeudessa, johon voi sisältyä sisäisiä sääntöjä, voidaan säätää poikkeuksista 17, 18, 20 ja 23 artiklassa tarkoitettuihin oikeuksiin, jos sovelletaan 13 artiklassa tarkoitettuja edellytyksiä ja suojatoimia, siltä osin kuin tällaiset oikeudet todennäköisesti estävät erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi.
3. Kun henkilötietoja käsitellään tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten, unionin oikeudessa voidaan säätää poikkeuksista 17, 18, 20 ja 23 artiklassa tarkoitettuihin oikeuksiin, jos sovelletaan 13 artiklassa tarkoitettuja edellytyksiä ja suojatoimia, siltä osin kuin tällaiset oikeudet todennäköisesti estävät erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi.
4. Kun henkilötietoja käsitellään yleisen edun mukaisia arkistointitarkoituksia varten, unionin oikeudessa, johon voi sisältyä sisäisiä sääntöjä, voidaan säätää poikkeuksista 17, 18, 20, 21, 22 ja 23 artiklassa tarkoitettuihin oikeuksiin, jos sovelletaan 13 artiklassa tarkoitettuja edellytyksiä ja suojatoimia, siltä osin kuin tällaiset oikeudet todennäköisesti estävät erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi.
4. Kun henkilötietoja käsitellään yleisen edun mukaisia arkistointitarkoituksia varten, unionin oikeudessa voidaan säätää poikkeuksista 17, 18, 20, 21, 22 ja 23 artiklassa tarkoitettuihin oikeuksiin, jos sovelletaan 13 artiklassa tarkoitettuja edellytyksiä ja suojatoimia, siltä osin kuin tällaiset oikeudet todennäköisesti estävät erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi.
5. Edellä 1, 3 ja 4 kohdassa tarkoitettujen sisäisten sääntöjen on oltava riittävän selkeitä ja täsmällisiä, ja ne on julkaistava asianmukaisesti.
25 artikla – 6 kohta
6. Jos jotain 1 tai 2 kohdassa säädettyä rajoitusta sovelletaan, rekisteröidylle on ilmoitettava unionin oikeuden mukaisesti pääasialliset syyt rajoituksen soveltamiseen, sekä se, että hänellä on oikeus tehdä valitus Euroopan tietosuojavaltuutetulle.
6. Jos jotain 1 kohdassa säädettyä rajoitusta sovelletaan, rekisteröidylle on ilmoitettava unionin oikeuden mukaisesti pääasialliset syyt rajoituksen soveltamiseen sekä se, että hänellä on oikeus tehdä valitus Euroopan tietosuojavaltuutetulle.
25 artikla – 7 kohta
7. Jos johonkin 1 tai 2 kohdassa säädettyyn rajoitukseen vedotaan tiedonsaantioikeuden epäämiseksi rekisteröidyltä, Euroopan tietosuojavaltuutettu ilmoittaa hänelle valitusta tutkiessaan ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja, jos näin ei ole, onko tarpeelliset oikaisut tehty.
7. Jos johonkin 1 kohdassa säädettyyn rajoitukseen vedotaan tiedonsaantioikeuden epäämiseksi rekisteröidyltä, Euroopan tietosuojavaltuutettu ilmoittaa hänelle valitusta tutkiessaan ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja, jos näin ei ole, onko tarpeelliset oikaisut tehty.
25 artikla – 8 kohta
8. Edellä 6 ja 7 kohdassa sekä 46 artiklan 2 kohdassa tarkoitettua ilmoittamista voidaan lykätä tai se voidaan jättää tekemättä tai se voidaan evätä, jos se poistaisi 1 tai 2 kohdassa säädetyn rajoituksen vaikutuksen.
8. Edellä 6 ja 7 kohdassa sekä 46 artiklan 2 kohdassa tarkoitettua ilmoittamista voidaan lykätä tai se voidaan jättää tekemättä tai se voidaan evätä, jos se poistaisi 1 kohdassa säädetyn rajoituksen vaikutuksen.
26 artikla – 2 a kohta (uusi)
2 a. Asetuksen (EU) 2016/679 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että rekisterinpitäjälle asetettuja velvollisuuksia noudatetaan.
2 a. Asetuksen (EU) 2016/679 42 artiklan mukaista hyväksyttyä sertifiointimekanismia voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 ja 2 kohdassa asetettuja vaatimuksia noudatetaan.
3. Rekisteröity voi käyttää tämän asetuksen mukaisia oikeuksiaan suhteessa yhteen tai useampaan yhteiseen rekisterinpitäjään, ottaen huomioon niiden tehtävät sellaisina kuin ne on määritelty edellä 1 kohdassa tarkoitetun järjestelyn ehdoissa.
5. Unionin toimielimet ja elimet voivat päättää, että niiden tietojen käsittelyä koskevat selosteet säilytetään keskusrekisterissä. Tässä tapauksessa ne voivat myös päättää, että rekisteri asetetaan julkisesti saataville.
5. Unionin toimielimet ja elimet säilyttävät tietojen käsittelyä koskevat selosteensa keskusrekisterissä ja asettavat rekisterin julkisesti saataville.
IV jakso – 2 jakso – otsikko
HENKILÖTIETOJEN TURVALLISUUS JA SÄHKÖISEN VIESTINNÄN LUOTTAMUKSELLISUUS
33 artikla – 3 a kohta (uusi)
3 a. Asetuksen (EU) 2016/679 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 kohdassa asetettuja vaatimuksia noudatetaan.
33 a artikla (uusi)
Asetuksen (EU) 2016/679 40 artiklan mukaisten hyväksyttyjen käytännesääntöjen noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että 1 ja 2 kohdassa asetettuja vaatimuksia noudatetaan.
Sähköisen viestinnän luottamuksellisuus
Unionin toimielinten ja elinten on varmistettava sähköisen viestinnän luottamuksellisuus, erityisesti suojaamalla sähköisen viestinnän verkkonsa.
Käyttäjäluettelot
1. Käyttäjäluetteloissa olevat henkilötiedot sekä pääsy näihin luetteloihin on rajoitettava siihen, mikä on välttämätöntä luettelolle ominaisten tarkoitusten kannalta.
2. Unionin toimielimet ja elimet toteuttavat kaikki tarvittavat toimenpiteet estääkseen näiden luetteloiden sisältämien henkilötietojen käytön suoramarkkinointitarkoituksiin riippumatta siitä, ovatko luettelot yleisön saatavilla.
IV luku – 2 a jakso (uusi)
Unionin toimielimet ja elimet varmistavat sähköisen viestinnän luottamuksellisuuden, erityisesti suojaamalla sähköiset viestintäverkkonsa.
38 b artikla (uusi)
38 b artikla
1. Käyttäjäluetteloissa olevat henkilötiedot sekä pääsy näihin luetteloihin on rajoitettava siihen, mikä on ehdottoman välttämätöntä luettelon käyttötarkoitusten kannalta.
Unionin toimielimet ja elimet ilmoittavat Euroopan tietosuojavaltuutetulle suunnittelemistaan henkilötietojen käsittelyä koskevista hallinnollisista toimenpiteistä ja sisäisistä säännöistä, jos käsittelyyn osallistuu unionin toimielin tai elin yksin tai yhdessä muiden kanssa.
Unionin toimielimet ja elimet ilmoittavat Euroopan tietosuojavaltuutetulle suunnittelemistaan henkilötietojen käsittelyä koskevista hallinnollisista toimenpiteistä, jos käsittelyyn osallistuu unionin toimielin tai elin yksin tai yhdessä muiden kanssa.
1. Sen jälkeen kun SEUT-sopimuksen 218 artiklan mukainen ehdotus lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi ja suositukset tai ehdotukset neuvostolle on hyväksytty ja laatiessaan yksilöiden oikeuksien ja vapauksien suojeluun henkilötietojen käsittelyssä vaikuttavia delegoituja säädöksiä tai täytäntöönpanosäädöksiä komissio kuulee Euroopan tietosuojavaltuutettua.
1. Hyväksyessään SEUT-sopimuksen 218 artiklan mukaisen ehdotuksen lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi ja suosituksia tai ehdotuksia neuvostolle ja laatiessaan luonnollisten henkilöiden oikeuksien ja vapauksien suojelua henkilötietojen käsittelyssä koskevia delegoituja säädöksiä tai täytäntöönpanosäädöksiä komissio kuulee Euroopan tietosuojavaltuutettua.
44 artikla – 4 kohta
4. Tietosuojavastaava voi olla unionin toimielimen tai elimen henkilöstön jäsen tai hän voi hoitaa tehtäviään palvelusopimuksen perusteella.
4. Tietosuojavastaavan on oltava unionin toimielimen tai elimen henkilöstön jäsen. Unionin toimielimet ja elimet voivat poikkeuksellisissa olosuhteissa, ottaen huomioon niiden koko ja silloin kun 2 kohdassa vahvistetut edellytykset eivät täyty, nimittää tietosuojavastaavan, joka hoitaa tehtäviään palvelusopimuksen perusteella.
45 artikla – 5 kohta
5. Tietosuojavastaavaa ja hänen henkilöstöään sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus unionin oikeuden mukaisesti.
5. Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus unionin oikeuden mukaisesti.
46 artikla – 1 kohta – g a alakohta (uusi)
g a) varmistaa, että käsittelytoimet eivät vaikuta haitallisesti rekisteröityjen oikeuksiin ja vapauksiin.
1. Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti, että tietosuojan riittävä taso on varmistettu kolmannessa maassa tai kolmannen maan alueella tai yhdellä tai useammalla tietyllä toimialalla taikka kyseisessä kansainvälisessä järjestössä ja henkilötiedot siirretään ainoastaan rekisterinpitäjän toimivaltaan kuuluvien tehtävien suorittamiseksi.
1. Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt asetuksen (EU) 2016/679 45 artiklan 3 kohdan tai direktiivin (EU) 2016/680 36 artiklan mukaisesti, että tietosuojan riittävä taso on varmistettu kolmannessa maassa tai kolmannen maan alueella tai yhdellä tai useammalla tietyllä toimialalla taikka kyseisessä kansainvälisessä järjestössä ja henkilötiedot siirretään ainoastaan rekisterinpitäjän toimivaltaan kuuluvien tehtävien suorittamiseksi. Tällaiselle siirrolle ei tarvita erityistä lupaa.
49 artikla – 1 kohta
1. Jollei asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaista päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.
1. Jollei asetuksen (EU) 2016/679 45 artiklan 3 kohdan tai direktiivin (EU) 2016/680 36 artiklan 3 kohdan mukaista päätöstä kyseisten säädösten soveltamisalalla ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.
51 artikla – 1 kohta – johdantokappale
1. Jos asetuksen (EU) 2016/679 45 artiklan 3 kohdan nojalla ei ole tehty päätöstä tai 49 artiklassa tarkoitettuja asianmukaisia suojatoimia ei ole toteutettu, henkilötietojen siirto tai siirtojen sarja kolmanteen maahan tai kansainväliselle järjestölle voidaan suorittaa vain, jos jokin seuraavista edellytyksistä täyttyy:
1. Jos asetuksen (EU) 2016/679 45 artiklan 3 kohdan tai direktiivin (EU) 2016/680 36 artiklan 3 kohdan nojalla kyseisten säädösten soveltamisalalla ei ole tehty päätöstä tai 49 artiklassa tarkoitettuja asianmukaisia suojatoimia ei ole toteutettu, henkilötietojen siirto tai siirtojen sarja kolmanteen maahan tai kansainväliselle järjestölle voidaan suorittaa vain, jos jokin seuraavista edellytyksistä täyttyy:
54 artikla – 1 kohta
1. Euroopan parlamentti ja neuvosto nimittävät yhteisellä sopimuksella Euroopan tietosuojavaltuutetun viiden vuoden toimikaudeksi komission julkisen hakumenettelyn johdosta laatiman luettelon pohjalta. Hakumenettelyn on mahdollistettava se, että kaikki kiinnostuneet koko unionissa voivat jättää hakemuksensa. Komission laatima luettelo ehdokkaista on julkinen. Komission laatiman luettelon perusteella Euroopan parlamentin asiasta vastaava valiokunta voi päättää kuulemisen järjestämisestä voidakseen ilmoittaa suosituimmuusjärjestyksensä.
1. Euroopan parlamentti ja neuvosto nimittävät yhteisellä sopimuksella Euroopan tietosuojavaltuutetun viiden vuoden toimikaudeksi Euroopan parlamentin, neuvoston ja komission julkisen hakumenettelyn johdosta yhteisesti laatiman luettelon pohjalta. Hakumenettelyn on mahdollistettava se, että kaikki kiinnostuneet koko unionissa voivat jättää hakemuksensa. Luettelo ehdokkaista on julkinen, ja siinä on oltava vähintään viisi ehdokasta. Euroopan parlamentin asiasta vastaava valiokunta voi päättää luettelossa olevien ehdokkaiden kuulemisen järjestämisestä voidakseen ilmoittaa suosituimmuusjärjestyksensä.
2. Komission laatiman luettelon, josta Euroopan tietosuojavaltuutettu valitaan, on koostuttava henkilöistä, joiden riippumattomuudesta ei ole epäilystä ja joilla on yleisesti tunnustettu kokemus ja pätevyys Euroopan tietosuojavaltuutetun tehtävien hoitamiseen esimerkiksi sen johdosta, että he kuuluvat tai ovat kuuluneet asetuksen (EU) 2016/679 41 artiklan nojalla perustettuihin valvontaviranomaisiin.
2. Euroopan parlamentin, neuvoston ja komission yhteisesti laatiman luettelon, josta Euroopan tietosuojavaltuutettu valitaan, on koostuttava henkilöistä, joiden riippumattomuudesta ei ole epäilystä ja joilla on yleisesti tunnustettu asiantuntemus tietosuojan alalla sekä kokemus ja pätevyys Euroopan tietosuojavaltuutetun tehtävien hoitamiseen esimerkiksi sen johdosta, että he kuuluvat tai ovat kuuluneet asetuksen (EU) 2016/679 41 artiklan nojalla perustettuihin valvontaviranomaisiin.
55 artikla – 4 kohta
4. Euroopan tietosuojavaltuutettua avustaa sihteeristö. Sihteeristön virkamiehet ja muun henkilöstön nimittää Euroopan tietosuojavaltuutettu, joka toimii heidän esimiehenään. He toimivat yksinomaan hänen ohjauksessaan. Henkilöstön määrä vahvistetaan vuosittain talousarviomenettelyn yhteydessä.
4. Euroopan tietosuojavaltuutettua avustaa sihteeristö. Sihteeristön virkamiehet ja muun henkilöstön nimittää Euroopan tietosuojavaltuutettu, joka toimii heidän esimiehenään. He toimivat yksinomaan hänen ohjauksessaan. Henkilöstön määrä vahvistetaan vuosittain talousarviomenettelyn yhteydessä. Euroopan tietosuojaneuvostolle unionin oikeudessa annettujen tehtävien hoitamisessa mukana olevaan Euroopan tietosuojavaltuutetun henkilöstöön sovelletaan asetuksen (EU) 2016/679 75 artiklan 2 kohtaa.
59 artikla – 1 kohta – e alakohta
e) saada pääsy kaikkiin rekisterinpitäjän ja henkilötietojen käsittelijän tiloihin, tietojenkäsittelylaitteet ja -keinot mukaan lukien, unionin tai jäsenvaltion prosessioikeuden mukaisesti.
e) saada pääsy kaikkiin rekisterinpitäjän ja henkilötietojen käsittelijän tiloihin, tietojenkäsittelylaitteet ja -keinot mukaan lukien, unionin oikeuden mukaisesti.
59 artikla – 3 kohta – b a alakohta (uusi)
b a) hyväksyä 40 artiklan 4 kohdassa tarkoitetut käsittelytoimet tai olla hyväksymättä niitä;
61 artikla – otsikko
Yhteistyö kansallisten valvontaviranomaisten kanssa
Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välinen yhteistyö
Euroopan tietosuojavaltuutettu tekee yhteistyötä asetuksen (EU) 2016/679 41 artiklan ja direktiivin (EU) 2016/680 51 artiklan nojalla perustettujen valvontaviranomaisten kanssa, jäljempänä ’kansalliset valvontaviranomaiset’, ja neuvoston päätöksen 2009/917/YOS21 25 artiklan mukaisesti perustetun yhteisen valvontaviranomaisen kanssa siinä laajuudessa kuin se on tarpeen niiden tehtävien suorittamiseksi, erityisesti antamalla niille tarvittavat tiedot, pyytämällä kansallisia valvontaviranomaisia käyttämään toimivaltuuksiaan tai vastaamalla kyseisten viranomaisten pyyntöön.
Euroopan tietosuojavaltuutettu tekee yhteistyötä asetuksen (EU) 2016/679 51 artiklan ja direktiivin (EU) 2016/680 41 artiklan nojalla perustettujen valvontaviranomaisten kanssa, jäljempänä ’kansalliset valvontaviranomaiset’, siinä laajuudessa kuin se on tarpeen niiden tehtävien suorittamiseksi, erityisesti antamalla niille tarvittavat tiedot, pyytämällä niitä käyttämään toimivaltuuksiaan tai vastaamalla niiden pyyntöihin.
21 Neuvoston päätös 2009/917/YOS, tehty 30 päivänä marraskuuta 2009, tietotekniikan käytöstä tullialalla (EUVL L 323, 10.12.2009, s. 20–30).
61 artikla – 1 a kohta (uusi)
Euroopan tietosuojavaltuutettu ja Euroopan tietosuojaneuvosto voivat käyttää hallinnollisesta yhteistyöstä sisämarkkinoiden tietojenvaihtojärjestelmässä ja komission päätöksen 2008/49/EY kumoamisesta 25 päivänä lokakuuta 2012 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1024/2012 (’IMI-asetus’) perustettua sisämarkkinoiden tietojenvaihtojärjestelmää asetuksen (EU) 2016/679 60–62, 64, 65 ja 70 artiklassa säädettyihin hallinnollista yhteistyötä ja tietojenvaihtoa koskeviin tarkoituksiin.
62 artikla – 1 kohta
1. Silloin, kun unionin säädöksessä viitataan tähän artiklaan, Euroopan tietosuojavaltuutettu tekee aktiivisesti yhteistyötä kansallisten valvontaviranomaisten kanssa suurten tietotekniikkajärjestelmien tai unionin virastojen tehokkaan valvonnan varmistamiseksi.
1. Silloin, kun unionin säädöksen mukaisesti Euroopan tietosuojavaltuutettu valvoo henkilötietojen käsittelyä unionin tasolla ja kansalliset valvontaviranomaiset valvovat henkilötietojen käsittelyä kansallisella tasolla, Euroopan tietosuojavaltuutettu ja kansalliset valvontaviranomaiset tekevät toimivaltansa puitteissa aktiivisesti yhteistyötä hoitaessaan tehtäviään suurten tietotekniikkajärjestelmien tai unionin elinten, laitosten tai virastojen tehokkaan, koordinoidun valvonnan varmistamiseksi.
2. Euroopan tietosuojavaltuutettu, joka toimii omien toimivaltuuksiensa ja vastuualueensa puitteissa, vaihtaa asiaankuuluvia tietoja, avustaa tarkastusten suorittamisessa, tutkii tämän asetuksen ja muiden sovellettavien unionin säädösten tulkintaan tai soveltamiseen liittyviä vaikeuksia, tutkii riippumattomaan valvontaan tai rekisteröityjen oikeuksien käyttöön liittyviä ongelmia, laatii yhdenmukaistettuja ehdotuksia ratkaisujen löytämiseksi mahdollisiin ongelmiin ja edistää tietämystä tietosuojaa koskevista oikeuksista, tarvittaessa yhdessä kansallisten valvontaviranomaisten kanssa.
2. Tehtäviään hoitaessaan ne vaihtavat toimivaltansa puitteissa asiaankuuluvia tietoja, avustavat toisiaan tarkastusten suorittamisessa, tutkivat tämän asetuksen ja muiden sovellettavien unionin säädösten tulkintaan tai soveltamiseen liittyviä vaikeuksia, tutkivat riippumattomaan valvontaan tai rekisteröityjen oikeuksien käyttöön liittyviä ongelmia, laativat yhdenmukaistettuja ehdotuksia ratkaisujen löytämiseksi mahdollisiin ongelmiin ja edistävät tarvittaessa tietämystä tietosuojaa koskevista oikeuksista.
3. Euroopan tietosuojavaltuutettu kokoontuu 2 kohdan soveltamiseksi kansallisten valvontaviranomaisten kanssa vähintään kaksi kertaa vuodessa Euroopan tietosuojaneuvoston puitteissa. Euroopan tietosuojaneuvosto vastaa näiden tapaamisten kustannuksista ja järjestelyistä. Ensimmäisessä kokouksessa hyväksytään työjärjestys. Uusia työmenetelmiä kehitetään tarvittaessa yhteisesti.
3. Euroopan tietosuojavaltuutettu ja kansalliset valvontaviranomaiset kokoontuvat 2 kohdan soveltamiseksi vähintään kaksi kertaa vuodessa Euroopan tietosuojaneuvoston puitteissa. Euroopan tietosuojaneuvosto vastaa näiden tapaamisten kustannuksista ja järjestelyistä. Euroopan tietosuojaneuvosto voi tätä varten kehittää tarvittaessa uusia työmenetelmiä.
VIII a luku (uusi) – otsikko
VIII a LUKU
Operatiivisten henkilötietojen käsittely
69 a artikla (uusi)
69 a artikla
Poiketen siitä, mitä 4, 5, 6, 7, 8, 10, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 41, 43, 49, 50 ja 51 artiklassa säädetään, tämän luvun säännöksiä sovelletaan operatiivisten henkilötietojen käsittelyyn, jota suoritetaan SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun nojalla perustetuissa unionin virastoissa ja SEU-sopimuksen 42 artiklan 1 kohdassa ja 43 ja 44 artiklassa tarkoitetuissa tehtävissä.
Näiden virastojen perustamissäädöksiin sisältyvillä, operatiivisten henkilötietojen erityiskäsittelyyn liittyvillä säännöksillä voidaan täsmentää ja täydentää tämän asetuksen soveltamista.
69 b artikla (uusi)
69 b artikla
Operatiivisten henkilötietojen käsittelyä koskevat periaatteet
1. Operatiivisten henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti ja asianmukaisesti (”lainmukaisuus ja kohtuullisuus”);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota yhteensopimattomaksi alkuperäisten tarkoitusten kanssa edellyttäen, että unionin virastot ja tehtävät toteuttavat asianmukaisia suojatoimia, erityisesti sen varmistamiseksi, että tietoja ei käsitellä muita tarkoituksia varten (”käyttötarkoitussidonnaisuus”);
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (”tietojen minimointi”);
d) niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä, ja on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (”täsmällisyys”);
e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen niiden tarkoitusten toteuttamiseksi, joita varten operatiivisia henkilötietoja käsitellään;
f) niitä on käsiteltävä tavalla, jolla varmistetaan operatiivisten henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (”eheys ja luottamuksellisuus”).
2. Unionin virastot ja tehtävät julkaisevat asiakirjan, jossa esitetään ymmärrettävässä muodossa operatiivisten henkilötietojen käsittelyä koskevat säännökset sekä rekisteröityjen käytettävissä olevat keinot oikeuksiensa käyttöön.
69 c artikla (uusi)
69 c artikla
Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin se on tarpeen unionin virastojen ja tehtävien hoitaman tehtävän suorittamiseksi ja se perustuu unionin oikeuteen. Unionin oikeudessa, jolla täsmennetään ja täydennetään tätä asetusta tämän luvun soveltamisalaan kuuluvan käsittelyn osalta, on täsmennettävä käsittelyn tavoitteet, käsiteltävät operatiiviset henkilötiedot ja käsittelyn tarkoitukset.
69 d artikla (uusi)
69 d artikla
Unionin virastot ja tehtävät erottavat selvästi toisistaan operatiiviset henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten
a) henkilöt, joita epäillään unionin virastojen tai tehtävien toimivaltaan kuuluvasta rikoksesta tai osallisuudesta tällaiseen rikokseen tai jotka on tuomittu tällaisesta rikoksesta;
b) henkilöt, joiden osalta on tosiasioihin perustuvaa näyttöä tai todennäköisiä syitä epäillä, että he aikovat tehdä unionin virastojen ja tehtävien toimivaltaan kuuluvia rikoksia;
c) henkilöt, jotka ovat käsiteltävinä olevien rikosten uhreja tai joiden voidaan tiettyjen seikkojen pohjalta olettaa voivan joutua rikoksen uhriksi;
d) henkilöt, jotka voidaan kutsua todistamaan rikokseen liittyvän tutkinnan yhteydessä tai sitä seuraavassa rikosoikeudellisessa menettelyssä;
e) henkilöt, jotka voivat antaa tietoa rikoksesta; ja
f) edellä a tai b alakohdassa tarkoitettujen henkilöiden kontaktit tai kumppanit.
69 e artikla (uusi)
69 e artikla
Operatiivisten henkilötietojen erottelu ja operatiivisten henkilötietojen laadun varmentaminen
Unionin virastot ja tehtävät erottavat tosiseikkoihin perustuvat operatiiviset henkilötiedot henkilökohtaisiin arvioihin perustuvista operatiivisista henkilötiedoista. Unionin virastot ja tehtävät käsittelevät operatiivisia henkilötietoja siten, että soveltuvin osin on mahdollista todeta, mikä viranomainen on toimittanut tiedot tai mistä ne on hankittu. Unionin virastot ja tehtävät varmistavat, että virheellisiä, epätäydellisiä tai vanhentuneita operatiivisia henkilötietoja ei siirretä eikä aseteta saataville. Tätä varten unionin virastot ja tehtävät varmentavat operatiivisten henkilötietojen laadun ennen niiden siirtämistä tai saataville asettamista. Unionin virastot ja tehtävät lisäävät mahdollisuuksien mukaan kaikkiin operatiivisten henkilötietojen siirtoihin tarvittavat tiedot, joiden avulla vastaanottaja voi arvioida operatiivisten henkilötietojen paikkansapitävyyttä, täydellisyyttä ja luotettavuutta sekä sitä, miltä osin ne ovat ajan tasalla. Jos ilmenee, että on siirretty virheellisiä operatiivisia henkilötietoja tai että operatiivisia henkilötietoja on siirretty lainvastaisesti, on asiasta ilmoitettava viipymättä vastaanottajalle. Tällaisessa tapauksessa operatiiviset henkilötiedot on oikaistava tai poistettava tai niiden käsittelyä on rajoitettava.
69 f artikla (uusi)
69 f artikla
Kun unionin virastot ja tehtävät säätävät käsittelyä koskevista erityisistä edellytyksistä, ne ilmoittavat tällaisten operatiivisten henkilötietojen vastaanottajalle kyseisistä edellytyksistä ja vaatimuksesta noudattaa niitä. Unionin virastot ja tehtävät noudattavat kansallisen viranomaisen direktiivin (EU) 2016/680 9 artiklan 3 ja 4 kohdan mukaisesti säätämiä käsittelyä koskevia erityisiä edellytyksiä.
69 g artikla (uusi)
69 g artikla
Operatiivisten henkilötietojen siirtäminen muihin unionin toimielimiin ja elimiin
Unionin virastot ja tehtävät siirtävät operatiivisia henkilötietoja muille unionin toimielimille ja elimille ainoastaan, jos tiedot ovat tarpeen niiden tehtävien tai vastaanottajina olevien unionin virastojen ja tehtävien hoitamien tehtävien suorittamiseksi. Jos operatiiviset henkilötiedot siirretään toisen unionin toimielimen tai elimen pyynnöstä, sekä rekisterinpitäjä että vastaanottaja ovat vastuussa siirron laillisuudesta. Unionin virastot ja tehtävät ovat velvollisia varmentamaan, että toinen unionin toimielin tai elin on toimivaltainen, ja arvioimaan alustavasti siirron tarpeellisuuden. Jos tarpeellisuudesta on epäilyksiä, unionin virastot ja tehtävät pyytävät vastaanottajalta lisäselvityksiä. Muut unionin toimielimet ja elimet varmistavat, että siirron tarpeellisuus voidaan myöhemmin varmentaa. Muut unionin toimielimet ja elimet käsittelevät henkilötietoja ainoastaan sitä tarkoitusta varten, jonka vuoksi ne on siirretty.
69 h artikla (uusi)
69 h artikla
Erityisiä operatiivisten henkilötietojen ryhmiä koskeva käsittely
Sellaisten operatiivisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien operatiivisten henkilötietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien operatiivisten henkilötietojen käsittely on kiellettyä, paitsi jos se on ehdottoman välttämätöntä ja oikeasuhteista unionin virastojen ja tehtävien tavoitteiden puitteisiin kuuluvien rikosten ehkäisyä tai torjuntaa varten ja jos nämä tiedot täydentävät unionin virastojen tai tehtävien käsittelemiä muita henkilötietoja. Tietyn henkilöryhmän valinta yksinomaan tällaisten henkilötietojen pohjalta on kielletty. Tietosuojavastaavalle on ilmoitettava välittömästi tämän artiklan soveltamisesta. Edellä olevassa alakohdassa tarkoitetun kaltaisia operatiivisia henkilötietoja ei saa siirtää jäsenvaltioille, unionin elimille, kolmansille maille eikä kansainvälisille järjestöille, jollei tällainen siirto ole ehdottoman välttämätöntä ja oikeasuhteista yksittäisissä tapauksissa, jotka koskevat unionin virastojen ja tehtävien tavoitteiden piiriin kuuluvia rikoksia, ja V luvun mukaista.
69 i artikla (uusi)
69 i artikla
Rekisteröidyllä on oikeus olla joutumatta sellaisen unionin virastojen ja tehtävien päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia haitallisia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.
69 j artikla (uusi)
69 j artikla
1. Unionin virastot ja tehtävät asettavat rekisteröidyn saataville ainakin seuraavat tiedot:
a) unionin viraston tai tehtävän nimi ja yhteystiedot;
b) tietosuojavastaavan yhteystiedot;
c) tarkoitukset, joita varten operatiivisia henkilötietoja on määrä käsitellä;
d) oikeus tehdä valitus Euroopan tietosuojavaltuutetulle ja tämän yhteystiedot;
e) rekisteröidyn oikeus pyytää unionin virastoilta ja tehtäviltä pääsy häntä itseään koskeviin operatiivisiin henkilötietoihin sekä oikeus pyytää kyseisten operatiivisten henkilötietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista.
2. Edellä 1 kohdassa tarkoitettujen tietojen lisäksi unionin virastot ja tehtävät antavat erityistapauksissa rekisteröidylle seuraavat lisätiedot, jotta hänen on mahdollista käyttää oikeuksiaan:
a) käsittelyn oikeusperuste;
b) operatiivisten henkilötietojen säilytysaika tai, jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
c) operatiivisten henkilötietojen vastaanottajaryhmät, myös kolmansissa maissa tai kansainvälisissä järjestöissä;
d) tarpeen mukaan lisätietoja varsinkin jos operatiiviset henkilötiedot kerätään rekisteröidyn tietämättä.
3. Unionin virastot ja tehtävät voivat viivyttää tai rajoittaa 2 kohdan mukaista rekisteröidylle ilmoittamista tai jättää sen kokonaan tekemättä, siltä osin ja niin pitkäksi aikaa kuin tällaisesta toimenpiteestä säädetään perussopimusten nojalla annetussa säädöksessä ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut,
a) jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;
b) jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, tutkimiselle, paljastamiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;
c) jäsenvaltioiden yleisen turvallisuuden suojelemiseksi;
d) jäsenvaltioiden kansallisen turvallisuuden suojelemiseksi;
e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.
69 k artikla (uusi)
69 k artikla
Rekisteröidyllä on oikeus saada unionin virastoilta ja tehtäviltä vahvistus siitä, että häntä koskevia operatiivisia henkilötietoja käsitellään tai että niitä ei käsitellä, ja oikeus saada seuraavat tiedot:
a) käsittelytoimen tarkoitukset ja oikeusperuste;
b) kyseessä olevat operatiivisten henkilötietojen ryhmät;
c) vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa tai kansainvälisissä järjestöissä olevat vastaanottajat, joille operatiivisia henkilötietoja on luovutettu;
d) operatiivisten henkilötietojen suunniteltu säilytysaika;
e) rekisteröidyn oikeus pyytää unionin virastoilta ja tehtäviltä häntä itseään koskevien operatiivisten henkilötietojen oikaisemista tai poistamista taikka operatiivisten henkilötietojen käsittelyn rajoittamista;
f) oikeus tehdä valitus Euroopan tietosuojavaltuutetulle ja tämän yhteystiedot;
g) käsiteltävät operatiiviset henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot.
69 l artikla (uusi)
69 l artikla
1. Unionin virastot ja tehtävät voivat rajoittaa kokonaan tai osittain rekisteröidyn oikeutta saada pääsy tietoihin, siltä osin ja niin pitkäksi aikaa kuin tällaisesta osittaisesta tai täydellisestä rajoittamisesta säädetään perussopimusten nojalla annetussa säädöksessä ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut,
f) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.
2. Edellä 1 kohdassa tarkoitetuissa tapauksissa unionin virastot ja tehtävät ilmoittavat rekisteröidylle ilman aiheetonta viivytystä kirjallisesti, jos tietoihin pääsy evätään tai sitä rajoitetaan, sekä tällaisen epäämisen tai rajoittamisen perustelut. Tällaiset tiedot voidaan jättää pois, jos niiden ilmoittaminen vaarantaisi 1 kohdan mukaisen tarkoituksen. Unionin virastot ja tehtävät ilmoittavat rekisteröidylle mahdollisuuksista tehdä valitus Euroopan tietosuojavaltuutetulle tai käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa. Unionin virastot ja tehtävät dokumentoivat ne seikat tai oikeudelliset syyt, joihin päätös perustuu. Näiden tietojen on oltava pyynnöstä Euroopan tietosuojavaltuutetun saatavilla.
69 m artikla (uusi)
69 m artikla
Oikeus operatiivisten henkilötietojen oikaisemiseen tai poistamiseen sekä käsittelyn rajoittamiseen
1. Rekisteröidyllä on oikeus vaatia, että unionin virastot ja tehtävät oikaisevat ilman aiheetonta viivytystä rekisteröityä koskevat virheelliset operatiiviset henkilötiedot. Ottaen huomioon tarkoitukset, joihin tietoja käsiteltiin, rekisteröidyllä on oikeus saada puutteelliset operatiiviset henkilötiedot täydennettyä, muun muassa toimittamalla lisäselvitys. Unionin virastot ja tehtävät poistavat operatiiviset henkilötiedot ilman aiheetonta viivytystä ja rekisteröidyllä on oikeus saada unionin virastot ja tehtävät poistamaan rekisteröityä koskevat operatiiviset henkilötiedot ilman aiheetonta viivytystä, jos käsittely rikkoo 68 b, 69 c tai 69 h artiklan säännöksiä tai jos henkilötiedot on poistettava unionin virastojen ja tehtävien lakisääteisen velvoitteen noudattamiseksi. Poistamisen sijasta unionin virastot ja tehtävät rajoittavat käsittelyä, jos
a) rekisteröity kiistää tietojen paikkansapitävyyden eikä tietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa; tai
b) henkilötiedot on säilytettävä todistelua varten.
2. Jos käsittelyä on rajoitettu ensimmäisen alakohdan a alakohdan nojalla, unionin virastot ja tehtävät ilmoittavat rekisteröidylle ennen kuin käsittelyä koskeva rajoitus poistetaan. Tietoja, joihin pääsy on rajoitettu, saa käsitellä ainoastaan sitä tarkoitusta varten, joka esti niiden poistamisen.
3. Unionin virastot ja tehtävät ilmoittavat rekisteröidylle kirjallisesti, jos henkilötietojen oikaisemisesta tai poistamisesta tai käsittelyn rajoittamisesta kieltäydytään, sekä kieltäytymisen syistä. Unionin virastot ja tehtävät voivat rajoittaa kokonaan tai osittain velvoitetta antaa tällaisia tietoja, siltä osin kuin tällainen rajoittaminen on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut,
4. Unionin virastot ja tehtävät ilmoittavat rekisteröidylle mahdollisuuksista tehdä valitus Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.
5. Unionin virastot ja tehtävät ilmoittavat virheellisten operatiivisten henkilötietojen oikaisemisesta toimivaltaiselle viranomaiselle, jolta virheelliset operatiiviset henkilötiedot ovat peräisin.
6. Tapauksissa, joissa operatiivisia henkilötietoja on oikaistu tai poistettu taikka niiden käsittelyä on rajoitettu 1, 2 ja 3 kohdan nojalla, unionin virastot ja tehtävät ilmoittavat asiasta vastaanottajille ja ilmoittavat näille, että näiden on oikaistava tai poistettava operatiivisia henkilötietoja taikka rajoitettava vastuullaan operatiivisten henkilötietojen käsittelyä.
69 n artikla (uusi)
69 n artikla
Rekisteröidyn oikeuksien käyttäminen ja Euroopan tietosuojavaltuutetun tekemät tarkistukset
Rekisteröidyn oikeuksia voidaan 69 j artiklan 3 kohdassa, 69 k artiklassa ja 69 m artiklan 4 kohdassa tarkoitetuissa tapauksissa käyttää myös Euroopan tietosuojavaltuutetun välityksellä.
Unionin virastot ja tehtävät ilmoittavat rekisteröidylle mahdollisuudesta käyttää hänelle kuuluvia oikeuksia Euroopan tietosuojavaltuutetun välityksellä 1 kohdan mukaisesti.
Jos 1 kohdassa tarkoitettua oikeutta käytetään, Euroopan tietosuojavaltuutettu ilmoittaa rekisteröidylle ainakin siitä, että Euroopan tietosuojavaltuutettu on tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun. Euroopan tietosuojavaltuutettu tiedottaa myös rekisteröidylle hänen oikeudestaan käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.
69 o artikla (uusi)
69 o artikla
Unionin virastot ja tehtävät säilyttävät lokitiedot seuraavista automatisoiduissa käsittelyjärjestelmissä suoritettavista käsittelytoimista: operatiivisten henkilötietojen kerääminen ja muuttaminen, niihin pääsy, kysely, luovuttaminen, siirrot mukaan lukien, yhdistäminen ja poistaminen.
Kyselyjä ja luovutuksia koskevien lokitietojen avulla on pystyttävä toteamaan kyseisten toimien perusteet sekä toteutuspäivä ja -aika, operatiivisia henkilötietoja hakeneen tai niitä luovuttaneen henkilön tiedot ja mahdollisuuksien mukaan näiden operatiivisten henkilötietojen vastaanottajien henkilöllisyys. Näitä lokitietoja on käytettävä ainoastaan tietosuojan valvontaan ja asianmukaisen tietojenkäsittelyn sekä tietojen eheyden ja turvallisuuden varmistamiseen. Näitä lokitietoja ei saa olla mahdollista muuttaa. Tällaiset lokitiedot on tuhottava kolmen vuoden kuluttua, paitsi jos tietoja tarvitaan edelleen valvontaa varten. Unionin virastot ja tehtävät asettavat pyynnöstä lokitiedot Euroopan tietosuojavaltuutetun ja tietosuojavastaaviensa saataville.
69 p artikla (uusi)
69 p artikla
Operatiivisten henkilötietojen siirto kolmansille maille ja kansainvälisille järjestöille
1. Jollei 69 l artiklan mukaisista mahdollisista rajoituksista muuta johdu, unionin virastot ja tehtävät voivat siirtää operatiivisia henkilötietoja kolmannen maan viranomaiselle tai kansainväliselle järjestölle, siltä osin kuin tällainen siirto on tarpeen unionin virastojen ja tehtävien hoitamien tehtävien suorittamiseksi, jonkin seuraavista perusteella:
a) komission direktiivin (EU) 2016/680 36 artiklan mukaisesti hyväksymä päätös, jossa todetaan, että kolmas maa tai alue tai kyseisen kolmannen maan tietojenkäsittelyn sektori taikka kyseinen kansainvälinen järjestö tarjoaa riittävän tietosuojan tason, jäljempänä ’tietosuojan tason riittävyyttä koskeva päätös’;
b) kansainvälinen sopimus, joka on tehty unionin ja kyseisen kolmannen maan tai kansainvälisen järjestön välillä SEUT-sopimuksen 218 artiklan nojalla ja jossa on yksityisyyden sekä yksilöiden perusoikeuksien ja -vapauksien suojaa koskevia asianmukaisia suojatoimia;
c) operatiivisten henkilötietojen vaihdon mahdollistava yhteistyösopimus, joka on tehty ennen unionin viraston perustamissäädöksen soveltamispäivää unionin viraston tai tehtävän ja kyseisen kolmannen maan tai kansainvälisen järjestön välillä päätöksen 2009/371/YOS 23 artiklan mukaisesti. Unionin virastot ja tehtävät voivat sopia tällaisten sopimusten tai tietosuojan tason riittävyyttä koskevien päätösten täytäntöönpanoa koskevista hallinnollisista järjestelyistä.
2. Soveltuvin osin pääjohtaja ilmoittaa hallintoneuvostolle operatiivisten henkilötietojen vaihdosta 1 kohdan a alakohdan mukaisten tietosuojan tason riittävyyttä koskevien päätösten pohjalta.
3. Unionin virastot ja tehtävät julkaisevat verkkosivustollaan ja pitävät ajan tasalla luettelon tietosuojan tason riittävyyttä koskevista päätöksistä, sopimuksista, hallinnollisista järjestelyistä ja muista välineistä, jotka liittyvät 1 kohdan mukaiseen operatiivisten henkilötietojen siirtoon.
4. Komissio arvioi viimeistään 14 päivänä kesäkuuta 2021 1 kohdan c alakohdassa tarkoitettujen yhteistyösopimusten määräyksiä, erityisesti tietosuojaa koskevia määräyksiä. Komissio tiedottaa Euroopan parlamentille ja neuvostolle tämän arvioinnin tuloksista ja voi antaa tarvittaessa neuvostolle suosituksen päätökseksi luvan antamisesta neuvottelujen aloittamiseen 1 kohdan b alakohdassa tarkoitetun kansainvälisen sopimuksen tekemiseksi.
5. Soveltuvin osin pääjohtaja voi 1 kohdasta poiketen hyväksyä operatiivisten henkilötietojen siirron kolmansille maille tai kansainvälisille järjestöille tapauskohtaisesti, jos siirto on
a) tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi;
b) tarpeen rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötietoja siirtävän jäsenvaltion lainsäädännössä niin säädetään;
c) välttämätön jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi;
d) tarpeen yksittäisissä tapauksissa rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten; tai
e) tarpeen yksittäisissä tapauksissa tietyn rikoksen ennalta estämistä, tutkintaa, paljastamista tai rikokseen liittyviä syytetoimia tai tietyn rikosoikeudellisen seuraamuksen täytäntöönpanoa koskevan oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
Operatiivisia henkilötietoja ei siirretä, jos pääjohtaja katsoo, että asianomaisen rekisteröidyn perusoikeudet ja -vapaudet syrjäyttävät yleisen edun d ja e alakohdassa tarkoitetussa siirrossa.
Poikkeuksia ei voida soveltaa järjestelmällisiin, laajamittaisiin tai rakenteellisiin siirtoihin.
6. Soveltuvin osin hallintoneuvosto voi 1 kohdasta poiketen yhteisymmärryksessä Euroopan tietosuojavaltuutetun kanssa hyväksyä siirtojen sarjan 5 kohdan a–e alakohdan mukaisesti, ottaen huomioon yksityisyyden sekä yksilöiden perusoikeuksien ja -vapauksien suojaa koskevat asianmukaiset suojatoimet, enintään yhden vuoden ajaksi kerrallaan; tätä aikaa voidaan jatkaa. Tällainen hyväksyntä on perusteltava asianmukaisesti ja dokumentoitava.
7. Pääjohtajan on mahdollisimman pian ilmoitettava hallintoneuvostolle ja Euroopan tietosuojavaltuutetulle tapauksista, joissa 5 kohtaa on sovellettu.
8. Unionin virastot ja tehtävät pitävät yksityiskohtaisesti kirjaa kaikista tämän artiklan nojalla suoritetuista siirroista.
IX a luku (uusi) – otsikko
70 a artikla (uusi)
70 a artikla
1. Komissio esittää viimeistään 1 päivänä kesäkuuta 2021 ja sen jälkeen viiden vuoden välein Euroopan parlamentille kertomuksen tämän asetuksen soveltamisesta ja liittää siihen tarvittaessa asiaankuuluvia lainsäädäntöehdotuksia.
2. Edellä 1 kohdassa tarkoitetussa jälkiarvioinnissa kiinnitetään erityistä huomiota tämän asetuksen soveltamisalan asianmukaisuuteen sekä sen yhdenmukaisuuteen muiden tietosuoja-alan säädösten kanssa ja arvioidaan erityisesti tämän asetuksen V luvun täytäntöönpanona.
3. Komissio esittää viimeistään 1 päivänä kesäkuuta 2021 ja sen jälkeen viiden vuoden välein Euroopan parlamentille kertomuksen tämän asetuksen VIII luvun soveltamisesta ja sovelletuista seuraamuksista.
Pyrittäessä parempaan lainsäädäntöön ja erityisesti jälkiarviointien tehokkaaseen hyödyntämiseen niin, että ne kattavat koko lainsäädäntösyklin, on erityisen tärkeää seurata unionin oikeuden saattamista osaksi kansallista lainsäädäntöä, täytäntöönpanoa ja sen valvontaa sekä yleisemminkin unionin oikeuden vaikutusta, toimintaa ja tehokkuutta. Tätä tarkoitusta palvelee kattava uudelleentarkastelulauseke, jossa edellytetään asetuksen soveltamisen, sen soveltamisalan ja valtuuksien siirron asianmukaista arviointia sekä asetetaan oikeasuhteisia raportointivelvoitteita.
70 b artikla (uusi)
70 b artikla
Unionin säädösten uudelleentarkastelu
Komissio tarkastelee viimeistään 25 päivänä toukokuuta 2021 uudelleen muita perussopimusten perusteella annettuja säädöksiä, joilla säännellään erityisesti SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun nojalla perustettujen virastojen suorittamaa henkilötietojen käsittelyä, arvioidakseen tarpeen mukauttaa niitä tähän asetukseen ja tarvittaessa esittää tarpeellinen ehdotus kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojaan tämän asetuksen soveltamisalalla.
71 a artikla (uusi)
Muutetaan Euroopan parlamentin ja neuvoston asetus (EY) N:o 1987/20061 a seuraavasti:
”Kansallisten valvontaviranomaisten ja Euroopan tietosuojavaltuutetun on toimivaltansa puitteissa tehtävä yhteistyötä keskenään [uuden asetuksen 45/2001] 62 artiklan mukaisesti.”
1 a Euroopan parlamentin ja neuvoston asetus (EY) N:o 1987/2006, annettu 20 päivänä joulukuuta 2006, toisen sukupolven Schengenin tietojärjestelmän (SIS II) perustamisesta, toiminnasta ja käytöstä (EUVL L 381, 28.12.2006, s. 4).
Neuvoston päätöksen 2007/533/YOS muuttaminen
Muutetaan neuvoston päätös 2007/533/YOS1 a seuraavasti:
Korvataan 62 artikla seuraavasti:
1 a Neuvoston päätös 2007/533/YOS, tehty 12 päivänä kesäkuuta 2007, toisen sukupolven Schengenin tietojärjestelmän (SIS II) perustamisesta, toiminnasta ja käytöstä (EUVL L 205, 7.8.2007, s. 63).
71 c artikla (uusi)
Asetuksen (EY) N:o 767/2008 muuttaminen
Muutetaan Euroopan parlamentin ja neuvoston asetus (EY) N:o 767/20081 a seuraavasti:
1 a Euroopan parlamentin ja neuvoston asetus (EY) N:o 767/2008, annettu 9 päivänä heinäkuuta 2008, viisumitietojärjestelmästä (VIS) ja lyhytaikaista oleskelua varten myönnettäviä viisumeja koskevasta jäsenvaltioiden välisestä tietojenvaihdosta (VIS-asetus) (EUVL L 218, 13.8.2008, s. 60).
71 d artikla (uusi)
Neuvoston asetuksen (EY) N:o 515/97 muuttaminen
Muutetaan neuvoston asetus (EY) N:o 515/971 a seuraavasti:
71 e artikla (uusi)
Neuvoston päätöksen 2009/917/YOS muuttaminen
Muutetaan neuvoston päätös 2009/917/YOS1 a seuraavasti:
(1) Kumotaan 25 artikla.
(2) Korvataan 26 artiklan 2 ja 3 kohta seuraavasti:
1 a Neuvoston päätös 2009/917/YOS, tehty 30 päivänä marraskuuta 2009, tietotekniikan käytöstä tullialalla (EUVL L 323, 10.12.2009, s. 20).
71 f artikla (uusi)
Muutetaan Euroopan parlamentin ja neuvoston asetus (EU) N:o 1024/20121 a seuraavasti:
Kumotaan 21 artiklan 3 ja 4 kohta.
71 g artikla (uusi)
Komission täytäntöönpanoasetuksen (EU) 2015/2447 muuttaminen
Muutetaan komission täytäntöönpanoasetus (EU) 2015/24471 a seuraavasti:
Kumotaan 83 artiklan 8 kohta.
1 a Komission täytäntöönpanoasetus (EU) 2015/2447, annettu 24 päivänä marraskuuta 2015, unionin tullikoodeksista annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 952/2013 tiettyjen säännösten täytäntöönpanoa koskevista yksityiskohtaisista säännöistä (EUVL L 343, 29.12.2015, s. 558).
71 h artikla (uusi)
Asetuksen (EU) 2016/794 muuttaminen
Muutetaan Euroopan parlamentin ja neuvoston asetus (EU) 2016/7941 a seuraavasti:
(1) Kumotaan 25, 28, 30, 36, 37, 40, 41 ja 46 artikla.
(2) Korvataan 44 artikla seuraavasti:
71 i artikla (uusi)
Neuvoston asetuksen (EU) 2017/XX muuttaminen
Muutetaan neuvoston asetus (EU) 2017/...1 a seuraavasti:
(1) Kumotaan 36 e, 36 f, 37, 37 b, 37 c, 37 c c, 37 c c c, 37 d, 37 e, 37 f, 37 g, 37 h, 37 i, 37 j, 37 k, 37 n, 37 o, 41, 41 a, 41 b, 43 a, 43 b, 43 c, 43 d, 43 e ja 46 artikla.
(2) Korvataan 45 artikla seuraavasti:
1 a Neuvoston asetus (EU) 2017/..., annettu ... päivänä ...kuuta ..., tiiviimmän yhteistyön toteuttamisesta Euroopan syyttäjänviraston (EPPO) perustamisessa (EUVL L ...).
71 j artikla (uusi)
Asetuksen (EU) 2017/XX muuttaminen
Muutetaan Euroopan parlamentin ja neuvoston asetus (EU) 2017/...1 a seuraavasti:
(1) Kumotaan 27, 29, 30, 31, 33, 36 ja 37 artikla.
(2) Korvataan 35 artikla seuraavasti:
1 a Euroopan parlamentin ja neuvoston asetus (EU) 2017/... Euroopan unionin rikosoikeudellisen yhteistyön virastosta (Eurojust) (EUVL L ...).
71 k artikla (uusi)
Eurodac-asetuksen (EU) 2017/XX muuttaminen
(1) Kumotaan 29, 30, 31 ja 39 artikla.
(2) Korvataan 34 artikla seuraavasti:
1 a Euroopan parlamentin ja neuvoston asetus (EU) 2017/... Eurodac-järjestelmän perustamisesta sormenjälkien vertailua varten [kolmannen maan kansalaisen tai kansalaisuudettoman henkilön johonkin jäsenvaltioon jättämän kansainvälistä suojelua koskevan hakemuksen käsittelystä vastuussa olevan jäsenvaltion määrittämisperusteiden ja -menettelyjen vahvistamisesta annetun asetuksen (EU) N:o 604/2013] tehokkaaksi soveltamiseksi, laittomasti oleskelevan kolmannen maan kansalaisen tai kansalaisuudettoman henkilön tunnistamiseksi sekä jäsenvaltioiden lainvalvontaviranomaisten ja Europolin esittämistä, Eurodac-tietoihin lainvalvontatarkoituksessa tehtäviä vertailuja koskevista pyynnöistä (EUVL L ...).
I. Ehdotuksen tausta
Periaate, jonka mukaan jokaisella on oikeus henkilötietojensa suojaan, on vahvistettu Lissabonin sopimuksen myötä Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä SEUT-sopimus, 16 artiklan 1 kohdassa. Lisäksi Lissabonin sopimuksen myötä on otettu käyttöön SEUT-sopimuksen 16 artiklan 2 kohdassa vahvistettu erityinen oikeusperusta, jonka nojalla voidaan antaa henkilötietojen suojaa koskevia sääntöjä. Euroopan unionin perusoikeuskirjan 8 artiklassa vahvistetaan oikeus henkilötietojen suojaan perusoikeutena ja 7 artiklassa jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan.
Oikeus henkilötietojen suojaan koskee myös henkilötietojen käsittelyä EU:n toimielimissä, elimissä ja laitoksissa. Kun henkilötietojen suojaa unionin toimielimissä koskevan EU:n lainsäädännön keskeinen säädös, asetus (EY) N:o 45/2001, annettiin vuonna 2001, sillä oli kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus unionissa. Sitä täydennettiin päätöksellä N:o 1247/2002/EY.
Euroopan parlamentti ja neuvosto antoivat 27. huhtikuuta 2016 asetuksen (EU) 2016/679, jäljempänä ”yleinen tietosuoja-asetus”, jota aletaan soveltaa 25. toukokuuta 2018. Kyseisen asetuksen 98 artiklassa kehotetaan mukauttamaan asetus (EY) N:o 45/2001 yleisessä tietosuoja-asetuksessa vahvistettujen periaatteiden ja sääntöjen mukaiseksi vahvan ja johdonmukaisen tietosuojakehyksen luomiseksi unioniin ja jotta molempia säädöksiä voitaisiin soveltaa samanaikaisesti. Euroopan parlamentti ja neuvosto antoivat 27. huhtikuuta 2016 myös direktiivin (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta. Tässä direktiivissä säädetään kattavasta kehyksestä henkilötietojen suojelemiseksi lainvalvonnan alalla. Sen 62 artiklassa kehotetaan mukauttamaan direktiiviin unionin lainsäädäntö, jolla säännellään toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä. Tietyillä lainvalvonnan alalla toimivilla unionin virastoilla on kuitenkin edelleen henkilötietojen käsittelyä koskevat erilliset järjestelmät.
On henkilötietojen suojaan koko unionissa sovellettavan johdonmukaisen lähestymistavan mukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten, elinten ja laitosten tietosuojasäännöt jäsenvaltioiden hyväksymien tietosuojasääntöjen kanssa. Jos ehdotuksen säännökset perustuvat samaan käsitteeseen kuin yleisen tietosuoja-asetuksen säännökset, näitä kahta säännöstä olisi tulkittava yhteneväisesti, erityisesti siksi, että ehdotuksen rakenteen olisi katsottava vastaavan yleisen tietosuoja-asetuksen rakennetta.
Asetuksen (EY) N:o 45/2001 tarkistuksessa otetaan myös huomioon tutkimusten tulokset ja sidosryhmien kuuleminen sekä arviointitutkimus, joka koskee asetuksen soveltamista 15:n viime vuoden aikana.
II. Esittelijän muutokset
Esittelijä katsoo yleisesti, että ehdotettu tarkistus on merkittävä askel tietosuojasääntöjen yhdenmukaistamiseksi ja se muodostaa vahvan perustan jatkotoimille.
Esittelijä on kuitenkin pettynyt siihen, että komissio ei valinnut siihen yhtä ainoaa kokonaisvaltaista välinettä, joka kattaisi kaikkien unionin toimielinten, elinten ja laitosten kaikki tietojenkäsittelytoimet, jolloin se jätti käyttämättä historiallisen tilaisuuden luoda yksi vahva ja yhtenäinen normi tietosuojaa koskevan perusoikeuden suojelemiseksi. Esittelijä katsoo, että unionin kansalaiset ansaitsevat tällaisen selkeän ja yhdenmukaisen normin, ja hän on sen vuoksi ehdottanut asetuksen soveltamisalan selkiyttämistä.
Jotta tietosuojalle voidaan varmistaa vahva ja johdonmukainen kehys kaikkialla unionissa, tätä asetusta olisi sovellettava kaikkeen henkilötietojen käsittelyyn, jota suorittaa mikä tahansa unionin toimielin, elin tai laitos. Samalla esittelijä panee merkille, että lainsäätäjä on 27. huhtikuuta 2016 valinnut kaksitahoisen lähestymistavan lainvalvontatarkoituksiin tapahtuvaan käsittelyyn. Siltä osin kuin unionin virastojen suorittama henkilötietojen käsittely lainvalvontatarkoituksiin on direktiivissä (EU) 2016/680 vahvistettujen sääntöjen mukaista, tiettyjen virastojen erillisiä järjestelmiä olisi sovellettava jatkossakin, kunnes ne saatetaan vastaamaan tätä asetusta.
Esittelijä on myös huolellisesti mukauttanut asetuksen tämän tarkistuksen yleiseen tietosuoja-asetukseen, jotta näitä kahta säädöstä voidaan virtaviivaistaa mahdollisimman paljon, ja näin toteuttanut käytännössä ajatuksen, että unionissa sovelletaan tietosuojaan samoja vaatimuksia kuin jäsenvaltioissa. Esittelijä on sen vuoksi esittänyt useita tarkistuksia, joilla pyritään virtaviivaistamaan näitä kahta säädöstä. Tämän asetuksen ja yleisen tietosuoja-asetuksen välisten erojen olisi oltava hyvin perusteltuja, ja ne olisi pidettävä mahdollisimman vähäisinä.
Euroopan unionin tuomioistuin on viime vuosina katsonut asetuksen (EY) N:o 45/2001 ja asetuksen (EY) N:o 1049/2001 osalta useassa asiassa, että näiden kahden perusoikeuden välillä voidaan löytää tasapaino, ja se on epäsuorasti vedonnut lainsäätäjään, jotta asetuksen (EY) N:o 1049/2001 4 artiklan ja asetuksen (EY) N:o 45/2001 8 (nykyisin 9) artiklan välistä yhteyttä voitaisiin selkiyttää. Esittelijä on pyrkinyt sisällyttämään tekstiin viimeaikaisista oikeustapauksista – Bavarian Lager, Dennekamp, ClientEarth – useita osatekijöitä, joissa olennaisesti vakiinnutetaan nykyiset tuomioistuimen oikeuskäytännön osatekijät ja joilla pyritään täsmentämään eräitä näkökohtia, joita tuomioistuin ja julkisasiamies ovat ottaneet esille useissa tuomioissa.
Yleisessä tietosuoja-asetuksessa edellytetään rekisteröidyn oikeuksien käyttämisen osalta, että näiden oikeuksien käyttämiselle asetetut rajoitukset perustuvat säädöksiin. Esittelijä ehdottaakin, että tekstistä poistetaan unionin toimielinten, elinten ja laitosten mahdollisuus rajoittaa rekisteröidyn oikeuksien käyttämistä sisäisillä säännöillä.
Asetuksessa (EY) N:o 45/2001 velvoitettiin unionin toimielinten tietosuojavastaava pitämään rekisteriä käsittelyistä. Esittelijän mielestä siitä, että unionin toimielimet, elimet ja laitokset velvoitetaan pitämään keskusrekisteriä käsittelytoimista, voidaan saada lisäarvoa. Rekisteröidyn olisi voitava tutustua rekisteriin tietosuojavastaavan kautta.
Yleisessä tietosuoja-asetuksessa säädetään, että rekisterinpitäjällä on mahdollisuus osoittaa noudattavansa asetusta noudattamalla hyväksyttyjä sertifiointimekanismeja tai käytännesääntöjä. Esittelijä katsoo, että käytännesäännöt eivät ole tarkoituksenmukaisia julkishallinnossa, ja hän ehdottaakin rekisterinpitäjiä koskevien tarvittavien säännösten sisällyttämistä tähän asetukseen niin, että nämä voivat osoittaa noudattavansa vaatimuksia noudattamalla hyväksyttyjä sertifiointimekanismeja.
Esittelijän mielestä Euroopan tietosuojavaltuutetulla on valtava panos asetuksen säännösten noudattamisessa, ja hän on sen vuoksi säilyttänyt asetuksen (EY) N:o 45/2001 sanamuodon, jossa komission annetaan kuulla tietosuojavaltuutettua ehdotuksen hyväksymisen valmisteluvaiheissa, ja jättänyt komissiolle näin riittävästi liikkumavaraa sen aloiteoikeutta kunnioittaen. Esittelijä huomauttaa, että tietosuojasääntöjen riippumaton valvonta on perussopimusten vaatimus. Vastaavasti Euroopan tietosuojavaltuutetun riippumattoman valvonnan olisi käsitettävä kaikki toimielimet ja elimet, myös unionin tuomioistuin. Tietosuojavaltuutetun riippumattomuuden turvaamiseksi esittelijä ehdottaa pientä muutosta nimittämismenettelyyn.
Komission ehdotus sisältää viestinnän luottamuksellisuutta koskevia säännöksiä. Esittelijä on sitä mieltä, että yleisesti ottaen tätä asiaa koskevaa unionin lainsäädäntöä olisi sovellettava myös unionin toimielimiin, elimiin ja laitoksiin. Tähän asetukseen olisi sisällytettävä vain lisäsääntöjä, joilla täsmennetään ja täydennetään yleistä kehystä. Näiden sääntöjen olisi oltava tekstissä erillinen jaksonsa.
Lopuksi esittelijä pitää myönteisenä, että asetukseen on sisällytetty Euroopan tietosuojavaltuutetun mahdollisuus sakottaa niitä unionin toimielimiä, elimiä ja laitoksia, jotka eivät noudata asetuksen säännöksiä, ja että näin rekisteröidyille välitetään voimakas viesti ja unioni velvoitetaan noudattamaan yhtä korkeatasoista moraalista ja oikeudellista velvoitetta kuin jäsenvaltioiden hallinnot.
OIKEUDELLISTEN ASIOIDEN VALIOKUNNANLAUSUNTO (5.10.2017)
Periaate, jonka mukaan jokaisella on oikeus henkilötietojensa suojaan, on vahvistettu Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdassa. SEUT-sopimuksen 16 artiklan 2 kohdassa on vahvistettu erityinen oikeusperusta, jonka nojalla voidaan antaa henkilötietojen suojaa koskevia sääntöjä. Lisäksi Euroopan unionin perusoikeuskirjan 8 artiklassa vahvistetaan, että henkilötietojen suoja on perusoikeus.
Oikeus henkilötietojen suojaan koskee myös henkilötietojen käsittelyä EU:n toimielimissä, elimissä, toimistoissa ja virastoissa. Kun henkilötietojen suojaa unionin toimielimissä koskevan EU:n lainsäädännön keskeinen säädös, asetus (EY) N:o 45/2001, annettiin vuonna 2001, sillä oli kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus unionissa.
Parlamentti ja neuvosto hyväksyivät 27. huhtikuuta 2016 asetuksen (EU) 697/2016 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus). Yleistä tietosuoja-asetusta aletaan soveltaa 25. toukokuuta 2018. Tämä asetus vaatii mukauttamaan asetuksen (EY) N:o 45/2001 asetuksessa (EU) 2016/679 vahvistettujen periaatteiden ja sääntöjen mukaiseksi vahvan ja johdonmukaisen tietosuojakehyksen luomiseksi unioniin ja jotta molempia säädöksiä voitaisiin soveltaa samanaikaisesti.
Komissio on määrittänyt ehdotuksessaan tarpeelliset muutokset vuoden 2001 yleisen tietosuoja-asetuksen mukauttamiseksi oikeudenmukaisesti ja tasapainoisesti. Ehdotus poikkeaa yhdessä kohdassa kuitenkin perusteettomalla tavalla yleisestä tietosuoja-asetuksesta ja sen mukaisesta alaikäisiä koskevaan suostumukseen sovellettavasta ikärajasta.
(2) Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/200111 säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista, määritetään rekisterinpitäjien tietojenkäsittelyvelvollisuudet yhteisön toimielimissä ja elimissä, ja perustetaan riippumaton valvontaviranomainen Euroopan tietosuojavaltuutettu, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä ja elimissä. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan unionin toimielinten ja muiden elinten sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.
(2) Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/200111 säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista, määritetään rekisterinpitäjien tietojenkäsittelyvelvollisuudet yhteisön toimielimissä ja elimissä, ja perustetaan riippumaton valvontaviranomainen Euroopan tietosuojavaltuutettu, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä ja elimissä. Asetuksella (EY) N:o 45/2001 pyritään samanaikaisesti saavuttamaan kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus unionissa. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan unionin toimielinten ja muiden elinten sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.
11 Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 8, 12.1.2001, s. 1).
1 a Unionin tuomioistuimen tuomio 9. maaliskuuta 2010, komissio v. Saksa, C-518/07, ECLI:EU:C:2010:125, 26 ja 28 kohta.
(10) Jos perussopimuksen V osaston 4 ja 5 luvun soveltamisalaan kuuluvia toimintoja harjoittavan unionin viraston perustamissäädöksessä määrätään erillisestä operatiivisten henkilötietojen käsittelyä koskevasta tietosuojajärjestelmästä, tämä asetus ei vaikuta kyseisiin järjestelmiin. Komission olisi kuitenkin direktiivin (EU) 2016/680 62 artiklan mukaisesti tarkasteltava 6 päivään toukokuuta 2019 mennessä unionin säädöksiä, joilla säännellään toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia taikka rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ja tehdä tarvittaessa tarpeelliset ehdotukset kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojeluun rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.
(10) Jos perussopimuksen V osaston 4 ja 5 luvun soveltamisalaan kuuluvia toimintoja harjoittavan unionin viraston perustamissäädöksessä määrätään erillisestä operatiivisten henkilötietojen käsittelyä koskevasta tietosuojajärjestelmästä, tämä asetus ei vaikuta kyseisiin järjestelmiin, siltä osin kuin ne ovat asetuksen (EU) 2016/679 säännösten mukaisia. Komission olisi kuitenkin direktiivin (EU) 2016/680 62 artiklan mukaisesti tarkasteltava 6 päivään toukokuuta 2019 mennessä unionin säädöksiä, joilla säännellään toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia taikka rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ja tehdä tarvittaessa tarpeelliset ehdotukset kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojeluun rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.
Kaikkien tietosuojajärjestelyjen on oltava yleisen tietosuoja-asetuksen mukaisia.
(14) Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palveluiden teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. Rekisteröidyllä olisi kuitenkin oltava oikeus peruuttaa suostumuksensa milloin tahansa tämän vaikuttamatta suostumuksen perusteella tapahtuvan tietojen käytön laillisuuteen ennen suostumuksen peruuttamista.
(18) Unionin oikeuden olisi kuitenkin oltava selkeä ja täsmällinen ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa Euroopan unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti.
(24) Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä oikeasuhteisia, asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ’kansanterveydellä’ olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/200815 esitetyn määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa muuhun käsittelyyn muita tarkoituksia varten.
Terveystiedot ovat erityisen arkaluonteisia, ja tällaisten tietojen käsittelyä on rajoitettava erityisesti niin paljon kuin on tarpeen. Tällaisten tietojen ei etenkään pidä joutua kolmansien osapuolten haltuun ja näiden käsiteltäväksi.
(42) Rekisterinpitäjien olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä rekisteriä niiden vastuulla olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne ovat tämän asetuksen mukaisia. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja esittämään sille pyydettäessä käsittelyä koskevat rekisterit, jotta tietojenkäsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi voitava perustaa tietojenkäsittelytoimiaan koskeva keskusrekisteri. Läpinäkyvyyden vuoksi niiden olisi tehtävä rekisteristä julkinen. Rekisteröidyllä olisi oltava mahdollisuus tutustua rekisteriin rekisterinpitäjän tietosuojavastaavan kautta.
(46) Rekisterinpitäjän olisi ilmoitettava henkilötietojen tietosuojaloukkauksesta rekisteröidylle viipymättä, jos tämä tietosuojaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin, jotta rekisteröity voi toteuttaa tarvittavat varotoimet. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tällainen ilmoitus rekisteröidylle olisi tehtävä niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä Euroopan tietosuojavaltuutetun kanssa noudattaen sen tai muiden asiaankuuluvien viranomaisten (kuten lainvalvontaviranomaisten) antamia ohjeita.
(46) Rekisterinpitäjän olisi ilmoitettava henkilötietojen tietosuojaloukkauksesta rekisteröidylle viipymättä, jos tämä tietosuojaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin, jotta rekisteröity voi toteuttaa tarvittavat varotoimet. Ilmoituksen olisi oltava luottamuksellinen, ja siinä olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tällainen ilmoitus rekisteröidylle olisi tehtävä niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä Euroopan tietosuojavaltuutetun kanssa noudattaen sen tai muiden asiaankuuluvien viranomaisten (kuten lainvalvontaviranomaisten) antamia ohjeita.
(52) Siirrettäessä henkilötietoja unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille taikka kansainvälisille järjestöille olisi taattava luonnollisten henkilöiden henkilötietojen suojan taso, joka unionissa perustuu tähän asetukseen, myös silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen sekä asetuksen (EU) 2016/679 ja perusoikeuskirjassa vahvistettujen perusoikeuksien ja -vapauksien mukaisesti. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.
Johdanto-osan 54 kappale
(54) Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset suojatoimet voivat tarkoittaa sitä, että sovelletaan komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita tai Euroopan tietosuojavaltuutetun hyväksymiä sopimuslausekkeita. Jos henkilötietojen käsittelijä ei ole unionin toimielin tai elin, asianmukaisia suojatoimia voivat olla myös yritystä koskevat sitovat säännöt, käytännesäännöt ja sertifiointimekanismit, joita käytetään asetuksen (EU) 2016/679 mukaisissa kansainvälisissä siirroissa. Näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen, kuten tehokkaiden hallinnollisten ja oikeudellisten muutoksenhakukeinojen ja korvauksenvaatimisoikeuden, saatavuus unionissa tai kolmannessa maassa. Niiden olisi erityisesti liityttävä henkilötietojen käsittelyä koskevien yleisten periaatteiden noudattamiseen sekä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Myös unionin toimielimet ja elimet voivat toteuttaa siirtoja kolmansien maiden viranomaisille tai julkisille elimille tai vastaavia tehtäviä suorittaville kansainvälisille järjestöille esimerkiksi yhteisymmärryspöytäkirjoihin tai muihin rekisteröityjen täytäntöönpanokelpoisia ja tehokkaita oikeuksia sisältäviin hallinnollisiin järjestelyihin sisällytettävien määräysten perusteella. Kun suojatoimet perustuvat muihin kuin oikeudellisesti sitoviin hallinnollisiin järjestelyihin, tähän olisi saatava Euroopan tietosuojavaltuutetun lupa.
1. Tällä asetuksella vahvistetaan säännöt luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä sekä säännöt henkilötietojen vapaasta liikkuvuudesta kyseisten elinten välillä tai niille unioniin sijoittautuneille vastaanottajille, joihin sovelletaan asetusta (EU) 2016/67918 tai direktiivin (EU) 2016/68019 nojalla annettuja kansallisia säännöksiä.
1. Tällä asetuksella vahvistetaan säännöt luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä sekä säännöt henkilötietojen vapaasta liikkuvuudesta kyseisten elinten välillä tai niille unioniin sijoittautuneille vastaanottajille.
18 Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (ETA:n kannalta merkityksellinen) (EUVL L 119, 4.5.2016, s. 1–88).
19 Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).
2 a. Tätä asetusta sovelletaan myös SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttaviin unionin virastoihin, myös silloin kun näiden unionin virastojen perustamissäädöksissä säädetään erillisestä operatiivisten henkilötietojen käsittelyä koskevasta tietosuojajärjestelmästä. Tämän asetuksen säännökset ovat ensisijaisia näiden unionin virastojen perustamissäädöksissä oleviin ristiriitaisiin säännöksiin nähden.
d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset tai puutteelliset henkilötiedot poistetaan tai oikaistaan viipymättä (”täsmällisyys”)
1. Kun 5 artiklan 1 kohdan d alakohtaa sovelletaan tietoyhteiskunnan palvelujen tarjoamiseen suoraan lapselle, lapsen henkilötietojen käsittelyn katsotaan olevan lainmukaista, jos lapsi on vähintään 13-vuotias. Jos lapsi on alle 13 vuotta, tällainen käsittely on lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempainvastuunkantaja on antanut siihen suostumuksen tai valtuutuksen.
1. Kun 5 artiklan 1 kohdan d alakohtaa sovelletaan tietoyhteiskunnan palvelujen tarjoamiseen suoraan lapselle, lapsen henkilötietojen käsittelyn katsotaan olevan lainmukaista, jos lapsi on vähintään 16-vuotias. Jos lapsi on alle 16 vuotta, tällainen käsittely on lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempainvastuunkantaja on antanut siihen suostumuksen tai valtuutuksen.
Henkilötietojen siirrot vastaanottajille, jotka eivät ole unionin toimielimiä ja elimiä ja jotka ovat sijoittautuneet unioniin ja joihin sovelletaan asetusta (EU) 2016/679 tai direktiiviä (EU) 2016/680
Henkilötietojen siirrot vastaanottajille, jotka eivät ole unionin toimielimiä ja elimiä ja jotka ovat sijoittautuneet unioniin
b) että tietojen siirtäminen on ehdottoman välttämätöntä vastaanottajan tavoitteisiin nähden, eikä ole syytä olettaa, että rekisteröidyn oikeuksia, vapauksia ja oikeutettuja etuja saatettaisiin loukata pyydetyllä tietojen siirrolla tai näiden henkilötietojen tulevalla käytöllä, joka on kohtuudella odotettavissa vastaanottajalta.
Rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely 5 artiklan 1 kohdan perusteella voidaan suorittaa vain silloin, kun se sallitaan unionin oikeudessa, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.
b) kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti kun käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä ja historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai niiltä osin kuin tämän artiklan 1 kohdassa tarkoitettu velvollisuus todennäköisesti estää kyseisten yleisen edun mukaisten arkistointitarkoitusten tai tieteellisten ja historiallisten tutkimustarkoitusten taikka tilastollisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti. Tällaisissa tapauksissa rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi, mukaan lukien kyseisten tietojen saattaminen julkisesti saataville;
1. Perussopimusten nojalla annetuissa säädöksissä voidaan rajoittaa 14–22 artiklan, 38 artiklan sekä 4 artiklan, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, soveltamista, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
Tarkistuksella pyritään mukauttamaan tämän asetuksen säännökset yleisen tietosuoja-asetuksen säännöksiin Euroopan tietosuojavaltuutetun lausunnon mukaisesti.
d) unionin toimielinten ja elinten sisäinen turvallisuus, mukaan lukien niiden sähköisen viestinnän verkot;
d) unionin toimielinten ja elinten sisäinen turvallisuus, mukaan lukien niiden tietotekniikka ja sähköisen viestinnän verkot;
1 a. Edellä 1 kohdassa tarkoitettujen säädösten on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin
a) käsittelytarkoitusta tai käsittelyn ryhmiä;
d) suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen;
g) rekisteröityjen oikeuksiin ja vapauksiin kohdistuvia riskejä; ja
6. Jos jotain 1 kohdassa säädettyä rajoitusta sovelletaan, rekisteröidylle on ilmoitettava unionin oikeuden mukaisesti pääasialliset syyt rajoituksen soveltamiseen, sekä se, että hänellä on oikeus tehdä valitus Euroopan tietosuojavaltuutetulle.
5. Unionin toimielimet ja elimet säilyttävät tietojen käsittelyä koskevat selosteensa keskusrekisterissä. Läpinäkyvyyden vuoksi niiden olisi myös tehtävä rekisteristä julkinen, jotta asianomainen henkilö voi tutustua siihen ilman, että rajoitetaan muiden osapuolten oikeuksia.
31 artikla – 5 a kohta (uusi)
5 a. Rekisteröidyn on voitava tutustua 5 kohdassa tarkoitettuun keskusrekisteriin rekisterinpitäjän tietosuojavastaavan kautta.
Unionin toimielinten ja elinten on varmistettava sähköisen viestinnän luottamuksellisuus asetuksen (EU) 2017/XXXX mukaisesti.
Sähköisen viestinnän luottamuksellisuutta koskee erillinen lainsäädäntöehdotus asetukseksi, joka perustuu komission ehdotukseen COM(2017)0010, ja siihen olisi näin ollen viitattava.
42 artikla – 2 kohta
2. Jos 1 kohdassa tarkoitettu säädös on erityisen tärkeä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komissio voi myös kuulla Euroopan tietosuojaneuvostoa. Tällöin Euroopan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston on koordinoitava toimensa yhteisen lausunnon antamiseksi.
2. Jos 1 kohdassa tarkoitettu säädös on erityisen tärkeä yksilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyn osalta, komissio kuulee myös Euroopan tietosuojaneuvostoa. Tällöin Euroopan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston on koordinoitava toimensa yhteisen lausunnon antamiseksi.
4. Tietosuojavastaavan on oltava unionin toimielimen, elimen tai laitoksen henkilöstön jäsen.
Tietosuojavastaavan ulkoistaminen ei ole sopivaa unionin toimielimelle.
46 artikla – 1 kohta – b a alakohta (uusi)
b a) varmistaa, että käsittelytoimet eivät loukkaa rekisteröityjen perusoikeuksia ja -vapauksia;
1. Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on hyväksynyt asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti täytäntöönpanosäädöksen, jonka mukaan tietosuojan riittävä taso on varmistettu kolmannessa maassa tai kolmannen maan alueella tai yhdellä tai useammalla tietyllä toimialalla taikka kyseisessä kansainvälisessä järjestössä ja henkilötiedot siirretään ainoastaan rekisterinpitäjän toimivaltaan kuuluvien tehtävien suorittamiseksi. Täytäntöönpanosäädöksessä on säädettävä vähintään joka neljäs vuosi tehtävästä määräaikaistarkastelusta, jossa on otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä. Täytäntöönpanosäädöksessä määritellään sen maantieteellinen soveltamisala ja alakohtainen soveltaminen ja nimetään valvontaviranomainen. Sovelletaan asetuksen (EU) 2016/679 V lukua.
Sääntöjen, jotka koskevat henkilötietojen siirtoa kolmansiin maihin tai kolmansien maiden järjestöille, on oltava yhdenmukaisia yleisen tietosuoja-asetuksen asiaa koskevien sääntöjen kanssa, jotta ei luoda porsaanreikiä tai oikeudellista epäjohdonmukaisuutta. Olisi muun muassa korostettava tarkastelumekanismia.
1. Euroopan parlamentti ja neuvosto nimittävät yhteisellä sopimuksella Euroopan tietosuojavaltuutetun viiden vuoden toimikaudeksi Euroopan parlamentin, neuvoston ja komission julkisen hakumenettelyn johdosta yhteisesti laatiman luettelon pohjalta. Hakumenettelyn on mahdollistettava se, että kaikki kiinnostuneet koko unionissa voivat jättää hakemuksensa. Luettelo ehdokkaista on julkinen, ja sen on koostuttava vähintään viidestä ehdokkaasta. Euroopan parlamentin asiasta vastaava valiokunta voi päättää ehdokkaiden kuulemisen järjestämisestä voidakseen ilmoittaa suosituimmuusjärjestyksensä.
63 artikla – 1 a kohta (uusi)
1 a. Jos rekisteröity on lapsi, jäsenvaltioiden on säädettävä erityisistä suojatoimista, erityisesti oikeusavun suhteen.
Lapset voivat olla haavoittuvaisempia kuin aikuiset, ja jäsenvaltioissa olisi säädettävä erityisistä suojatoimilausekkeista erityisesti oikeusapusuojan suhteen, jotta taataan lasten oikeudet.
1. Komissio esittää viimeistään 1 päivänä kesäkuuta 2021 ja sen jälkeen viiden vuoden välein Euroopan parlamentille kertomuksen tämän asetuksen soveltamisesta ja liittää siihen tarvittaessa lainsäädäntöehdotuksia.
2. Edellä 1 kohdassa tarkoitetussa jälkikäteisarvioinnissa kiinnitetään erityistä huomiota tämän asetuksen soveltamisalan asianmukaisuuteen sekä yhdenmukaisuuteen muiden tietosuoja-alan säädösten kanssa ja siinä arvioidaan erityisesti tämän asetuksen V luvun soveltamista.
Pyrittäessä parempaan sääntelyyn ja erityisesti jälkikäteisarviointien tehokkaaseen hyödyntämiseen, niin että ne kattavat koko lainsäädäntäsyklin, on erityisen tärkeää seurata unionin oikeuden saattamista osaksi kansallista lainsäädäntöä, täytäntöönpanoa ja sen valvontaa sekä yleisemminkin unionin oikeuden vaikutusta, toimintaa ja tehokkuutta. Tätä tarkoitusta palvelee kattava uudelleentarkastelulauseke, jossa edellytetään asetuksen soveltamisen, sen soveltamisalan ja säädetyn säädösvallan siirron asianmukaista arviointia sekä asetetaan oikeasuhteiset raportointivelvoitteet.
72 a artikla (uusi)
Komissio tarkastelee 25 päivään toukokuuta 2021 mennessä muita perussopimusten perusteella hyväksyttyjä säädöksiä, joilla säännellään erityisesti SEUT-sopimuksen kolmannen osan V osaston 4 ja 5 luvun nojalla perustettujen unionin virastojen suorittamaa henkilötietojen käsittelyä, arvioidakseen tarpeen mukauttaa niitä tähän asetukseen ja tarvittaessa esittää tarpeellisia ehdotuksia kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojeluun tämän asetuksen soveltamisalalla.
Yksilöiden suojelu unionin toimielinten, elinten, laitosten ja virastojen suorittaman henkilötietojen käsittelyn yhteydessä ja näiden tietojen vapaa liikkuvuus