EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (ETA:n kannalta merkityksellinen teksti)

(1)

Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ”perusoikeuskirja”, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tämä oikeus taataan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn eurooppalaisen yleissopimuksen 8 artiklassa.

(2)

Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/2001 (3) säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista, määritetään rekisterinpitäjien tietojenkäsittelyvelvollisuudet yhteisön toimielimissä ja elimissä ja perustetaan riippumaton valvontaviranomainen, Euroopan tietosuojavaltuutettu, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä ja elimissä. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, jota suoritetaan sellaisen unionin toimielinten ja elinten toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.

(3)

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (4) ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (5) annettiin 27 päivänä huhtikuuta 2016. Asetuksessa vahvistetaan yleiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi unionissa, kun taas direktiivissä vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi unionissa rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.

(4)

Asetuksessa (EU) 2016/679 säädetään mukautusten tekemisestä asetukseen (EY) N:o 45/2001, jotta varmistetaan vahva ja johdonmukainen tietosuojakehys unionissa ja jotta sitä voidaan soveltaa rinnakkain asetuksen (EU) 2016/679 kanssa.

(5)

Jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojaan koko unionissa ja henkilötietojen vapaa liikkuvuus unionissa, on tarkoituksenmukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten, elinten ja laitosten tietosuojasäännöt jäsenvaltioiden julkista sektoria varten hyväksyttyjen tietosuojasääntöjen kanssa. Aina kun tämän asetuksen säännökset ovat periaatteellisesti yhteneväiset asetuksen (EU) 2016/679 säännösten kanssa, näitä kahta säännöstöä olisi Euroopan unionin tuomioistuimen, jäljempänä ”unionin tuomioistuin”, oikeuskäytännön mukaisesti tulkittava yhteneväisesti, erityisesti siksi, että tämän asetuksen rakenne olisi ymmärrettävä asetuksen (EU) 2016/679 rakennetta vastaavaksi.

(6)

Henkilöitä, joiden henkilötietoja käsitellään unionin toimielimissä ja elimissä missä tahansa yhteydessä, esimerkiksi siitä syystä, että he ovat kyseisten toimielinten ja elinten palveluksessa, olisi suojeltava. Tätä asetusta ei pitäisi soveltaa kuolleiden henkilöiden henkilötietojen käsittelyyn. Tämä asetus ei koske oikeushenkilöiden ja erityisesti oikeushenkilön muodossa perustettujen yritysten henkilötietojen käsittelyä, kuten oikeushenkilön nimeä, oikeudellista muotoa ja yhteystietoja.

(7)

Vakavan väärinkäytösten riskin välttämiseksi luonnollisten henkilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta.

(8)

Tätä asetusta olisi sovellettava kaikkien unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn. Sitä olisi sovellettava henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Sellaisten asiakirjojen tai asiakirjakokoelmien kansilehtineen, joita ei ole järjestetty tiettyjen perusteiden mukaisesti, ei olisi kuuluttava tämän asetuksen soveltamisalaan.

(9)

Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi. Yleiset säännöt sisältävää tämän asetuksen erillistä lukua olisi sen vuoksi sovellettava operatiivisten henkilötietojen, kuten rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla toimintaa toteuttavien unionin elinten tai laitosten rikostutkintaa varten käsittelemien henkilötietojen, käsittelyyn.

(10)

Direktiivissä (EU) 2016/680 vahvistetaan yhdenmukaiset säännöt sellaisten henkilötietojen suojelulle ja vapaalle liikkuvuudelle, joita käsitellään rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jotta varmistetaan samantasoinen suoja luonnollisille henkilöille ja täytäntöönpanokelpoiset oikeudet kaikkialla unionissa ja jotta estetään Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten sekä toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa haittaavat eroavuudet, tällaisten unionin elinten ja laitosten käsittelemien operatiivisten henkilötietojen suojelua ja vapaata liikkuvuutta koskevien sääntöjen olisi oltava yhdenmukaisia direktiivin (EU) 2016/680 kanssa.

(11)

Operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvun yleisiä sääntöjä olisi sovellettava rajoittamatta erityisiä sääntöjä, joita sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaan operatiivisten henkilötietojen käsittelyyn. Tällaisia erityisiä sääntöjä olisi pidettävä erityissäännöksenä (lex specialis) operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvussa oleviin säännöksiin nähden (lex specialis derogat legi generali). Jotta vähennettäisiin lainsäädännön hajanaisuutta, Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaan operatiivisten henkilötietojen käsittelyyn sovellettavien erityisten tietosuojasääntöjen olisi oltava sopusoinnussa operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvun taustalla olevien periaatteiden sekä riippumatonta valvontaa, oikeussuojakeinoja, vastuuta ja seuraamuksia koskevien tämän asetuksen säännösten kanssa.

(12)

Operatiivisten henkilötietojen käsittelyä koskevaa tämän asetuksen lukua olisi sovellettava Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia varten toteuttaviin unionin elimiin ja laitoksiin riippumatta siitä, toteuttavatko ne tällaista toimintaa pää- vai oheistoimintonaan. Sitä ei kuitenkaan pitäisi soveltaa Europoliin tai Euroopan syyttäjänvirastoon, ennen kuin Europolin ja Euroopan syyttäjänviraston perustamissäädöksiä muutetaan niin, että operatiivisten henkilötietojen käsittelyä koskevasta tämän asetuksen luvusta, sellaisena kuin se on mukautettuna, tulee niihin sovellettava.

(13)

Komission olisi tarkasteltava uudelleen tätä asetusta ja erityisesti operatiivisten henkilötietojen käsittelyä koskevaa tämän asetuksen lukua. Komission olisi tarkasteltava uudelleen myös muita perussopimusten perusteella annettuja säädöksiä, joilla säännellään Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaa operatiivisten henkilötietojen käsittelyä. Jotta varmistetaan yhtenäinen ja johdonmukainen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä, komission olisi tällaisen uudelleentarkastelun jälkeen voitava antaa asianmukaisia säädösehdotuksia, myös tarvittavista mukautuksista operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen lukuun sen soveltamiseksi Europoliin ja Euroopan syyttäjänvirastoon. Mukautuksissa olisi otettava huomioon riippumatonta valvontaa, oikeussuojakeinoja, vastuuta ja seuraamuksia koskevat säännökset.

(14)

Tämän asetuksen olisi koskettava hallinnollisten henkilötietojen käsittelyä, kuten Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaa henkilöstöä koskevien tietojen käsittelyä.

(15)

Tätä asetusta olisi sovellettava Euroopan unionista tehdyn sopimuksen V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn. Tätä asetusta ei olisi sovellettava henkilötietojen käsittelyyn Euroopan unionista tehdyn sopimuksen 42 artiklan 1 kohdassa ja 43 ja 44 artiklassa tarkoitetuissa tehtävissä, joissa toteutetaan yhteistä turvallisuus- ja puolustuspolitiikkaa. Tapauksen mukaan olisi esitettävä asiaankuuluvia ehdotuksia henkilötietojen käsittelyn sääntelemiseksi tarkemmin yhteisen turvallisuus- ja puolustuspolitiikan alalla.

(16)

Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Pseudonymisoidut henkilötiedot, jotka voitaisiin yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, olisi katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä. Jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista. Jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Tietosuojaperiaatteita ei tämän vuoksi pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista. Tämä asetus ei tämän vuoksi koske tällaisten anonyymien, muun muassa tilasto- tai tutkimustarkoituksia varten käytettävien tietojen käsittelyä.

(17)

Pseudonymisoinnin soveltaminen henkilötietoihin voi vähentää asianomaisiin rekisteröityihin kohdistuvia riskejä sekä auttaa rekisterinpitäjiä ja henkilötietojen käsittelijöitä noudattamaan tietosuojavelvoitteitaan. ”Pseudonymisoinnin” nimenomaisella sisällyttämisellä tähän asetukseen ei ole tarkoitus sulkea pois mitään muita tietosuojatoimenpiteitä.

(18)

Luonnolliset henkilöt voidaan yhdistää heidän käyttämiensä laitteiden, sovellusten, työkalujen ja protokollien verkkotunnistetietoihin, kuten IP-osoitteisiin, evästeisiin tai muihin tunnisteisiin, esimerkiksi radiotaajuustunnisteisiin. Näin käyttäjästä voi jäädä jälkiä, joita voidaan käyttää luonnollisten henkilöiden profilointiin ja tunnistamiseen etenkin, kun niitä yhdistetään yksilöllisiin tunnisteisiin ja muihin palvelimille toimitettuihin tietoihin.

(19)

Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palvelujen teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. Rekisteröidyllä olisi silti oltava oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa. Usein tieteellisiä tutkimustarkoituksia varten tehtävän käsittelyn tarkoitusta ei ole mahdollista täysin määrittää siinä vaiheessa, kun henkilötietoja kerätään. Tästä syystä rekisteröityjen olisi voitava antaa suostumuksensa tietyille tieteellisen tutkimuksen aloille silloin, kun noudatetaan tieteellisen tutkimuksen tunnustettuja eettisiä standardeja. Rekisteröidyillä olisi oltava mahdollisuus antaa suostumuksensa ainoastaan tietyille tutkimusaloille tai tutkimushankkeiden osille, siinä määrin kuin suunniteltu tarkoitus sen mahdollistaa.

(20)

Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin, ja heidän olisi oltava selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä. Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään, kuin on tarpeen. Olisi toteutettava kaikki kohtuulliset toimenpiteet, jotta varmistetaan, että virheelliset henkilötiedot oikaistaan tai poistetaan. Henkilötietoja olisi käsiteltävä siten, että varmistetaan henkilötietojen asianmukainen turvallisuus ja luottamuksellisuus, millä muun muassa estetään luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin ja tällaisten tietojen tai laitteistojen luvaton käyttö sekä estetään henkilötietojen luvaton luovuttaminen siirtämisen aikana.

(21)

Jos unionin toimielimet ja elimet siirtävät henkilötietoja saman unionin toimielimen tai elimen sisällä ja vastaanottaja ei ole osa rekisterinpitäjää tai muille unionin toimielimille ja elimille, niiden olisi tilivelvollisuuden periaatteen mukaisesti tarkistettava, tarvitaanko tällaisia henkilötietoja vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten. Kun vastaanottaja on pyytänyt henkilötietojen siirtoa, rekisterinpitäjän olisi erityisesti tarkistettava henkilötietojen lainmukaisen käsittelyn asianmukainen peruste ja vastaanottajan toimivalta. Rekisterinpitäjän olisi myös arvioitava alustavasti tietojen siirtämisen tarpeellisuus. Jos tarpeellisuudesta on epäilyksiä, rekisterinpitäjän olisi pyydettävä vastaanottajalta lisäselvityksiä. Vastaanottajan olisi varmistettava, että tietojen siirtämisen tarpeellisuus voidaan myöhemmin tarkistaa.

(22)

Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava unionin toimielinten ja elinten yleistä etua koskevan tai niille kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamisen tarpeellisuuteen, rekisterinpitäjän lakisääteisen velvoitteen noudattamisen tarpeellisuuteen tai muuhun tämän asetuksen mukaiseen oikeutettuun perusteeseen, mukaan lukien asianomaisen rekisteröidyn suostumus tai tarve panna täytäntöön sopimus, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietojen käsittelyyn unionin toimielimissä ja elimissä yleistä etua koskevien tehtävien suorittamiseksi sisältyy toimielinten ja elinten hallinnolle ja toiminnalle tarpeellisten henkilötietojen käsittely. Henkilötietojen käsittelyä olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön hengen kannalta olennaisten etujen suojelemiseksi. Henkilötietoja olisi lähtökohtaisesti voitava käsitellä ainoastaan toisen luonnollisen henkilön elintärkeän edun perusteella silloin, kun käsittelyllä ei ole muuta ilmeistä käsittelyn oikeusperustaa. Tietyntyyppinen käsittely voi palvella sekä yleistä etua koskevia tärkeitä syitä että rekisteröidyn elintärkeitä etuja esimerkiksi silloin, kun tietojenkäsittely on tarpeen humanitaarisista syistä, kuten epidemioiden ja niiden leviämisen seuraamiseksi tai humanitaarisissa hätätilanteissa, erityisesti luonnonkatastrofien ja ihmisen aiheuttamien katastrofien yhteydessä.

(23)

Tässä asetuksessa tarkoitetun unionin oikeuden olisi oltava selkeää ja täsmällistä ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisesti.

(24)

Tässä asetuksessa tarkoitettujen sisäisten sääntöjen olisi oltava selkeitä ja täsmällisiä, soveltamisalaltaan yleisiä säädöksiä, jotka on tarkoitettu tuottamaan rekisteröityihin kohdistuvia oikeusvaikutuksia. Nämä sisäiset säännöt olisi hyväksyttävä unionin toimielinten ja elinten ylimmän johdon tasolla niiden toimivallan puitteissa ja niiden toimintaan liittyvissä asioissa. Ne olisi julkaistava Euroopan unionin virallisessa lehdessä. Kyseisten sääntöjen soveltamisen olisi oltava henkilöiden kannalta ennakoitavissa olevaa perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisesti. Sisäiset säännöt voidaan antaa päätösten muodossa erityisesti, kun unionin toimielin antaa ne.

(25)

Henkilötietojen käsittely muita tarkoituksia varten kuin niitä tarkoituksia, joita varten henkilötiedot on alun perin kerätty, olisi sallittava vain, jos käsittely sopii yhteen niiden tarkoitusten kanssa, joita varten henkilötiedot on alun perin kerätty. Tällöin henkilötietojen keruun oikeuttaneen käsittelyn oikeusperustan lisäksi ei edellytetä muuta erillistä käsittelyn oikeusperustaa. Jos käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, unionin oikeudessa voidaan määrittää ja täsmentää tehtävät ja tarkoitukset, joita varten myöhempää käsittelyä olisi pidettävä yhteensopivana ja laillisena. Myöhempi käsittely yleisen edun mukaisiin arkistointitarkoituksiin taikka tieteellisiä tai historiallisia tutkimustarkoituksia varten tai tilastollisiin tarkoituksiin olisi katsottava yhteensopiviksi laillisiksi käsittelytoimiksi. Myös unionin oikeuden tarjoama oikeusperusta henkilötietojen käsittelylle voi muodostaa oikeusperustan myöhemmälle käsittelylle. Jotta voidaan varmistaa, onko myöhemmän käsittelyn tarkoitus yhteensopiva sen tarkoituksen kanssa, jota varten henkilötiedot alun perin kerättiin, rekisterinpitäjän olisi kaikki alkuperäisen käsittelyn laillisuutta koskevat vaatimukset ensin täytettyään otettava huomioon muun muassa kyseisten tarkoitusten ja suunnitellun myöhemmän käsittelyn tarkoitusten väliset yhteydet, tilanne, jossa henkilötiedot on kerätty, erityisesti myöhempään käyttöön liittyvät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, henkilötietojen luonne, suunnitellun myöhemmän käsittelyn seuraukset rekisteröidyille ja asianomaisten suojatoimien olemassaolo sekä alkuperäisessä että suunnitellussa myöhemmässä käsittelyssä.

(26)

Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. Neuvoston direktiivin 93/13/ETY (6) mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei olisi pidettävä vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.

(27)

Erityisesti lasten henkilötietoja on pyrittävä suojaamaan, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, asianomaisista suojatoimista ja omista oikeuksistaan. Tällaista erityistä suojaa olisi sovellettava etenkin henkilöprofiilien luomiseen ja lapsia koskevien henkilötietojen keräämiseen, kun kyse on suoraan lapsille unionin toimielinten ja elinten verkkosivuilla tarjotuista palveluista, kuten henkilöiden väliset viestintäpalvelut tai lippujen myyminen verkossa, ja henkilötietojen käsittely perustuu suostumukseen.

(28)

Kun muut unioniin sijoittautuneet vastaanottajat kuin unionin toimielimet ja elimet haluaisivat, että unionin toimielimet ja elimet siirtäisivät niille henkilötietoja, näiden vastaanottajien olisi osoitettava, että tietojen siirtäminen kyseisille vastaanottajille on tarpeen joko niiden yleistä etua koskevan tai niille kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi. Vaihtoehtoisesti näiden vastaanottajien olisi osoitettava, että siirtäminen on tarpeen yleistä etua koskevaa erityistä tarkoitusta varten, ja rekisterinpitäjän olisi selvitettävä, onko syytä olettaa, että rekisteröidyn oikeutetut edut voivat joutua vaaraan. Tällöin rekisterinpitäjän olisi todistetusti arvioitava erilaiset kilpailevat edut voidakseen arvioida pyydetyn henkilötietojen siirron oikeasuhteisuuden. Kyseinen yleistä etua koskeva erityinen tarkoitus voisi liittyä unionin toimielinten ja elinten avoimuuteen. Unionin toimielinten ja elinten olisi myös osoitettava tällainen tarve, kun ne itse ovat siirron alkuunpanijoita, avoimuuden ja hyvän hallinnon periaatteen mukaisesti. Tässä asetuksessa säädettyjen, tietojen siirtämistä muille unioniin sijoittautuneille vastaanottajille kuin unionin toimielimille ja elimille koskevien vaatimusten olisi katsottava täydentävän lainmukaisen käsittelyn edellytyksiä.

(29)

Henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisia henkilötietoja ei pitäisi käsitellä, elleivät tässä asetuksessa säädetyt erityiset edellytykset täyty. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä asetuksessa ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. Arkaluonteisten tietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn edellytysten osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen.

(30)

Henkilötietojen erityisryhmiin kuuluvia, erityissuojelua tarvitsevia henkilötietoja olisi käsiteltävä vain terveyteen liittyvien syiden perusteella silloin, kun se on tarpeen luonnollisten henkilöiden ja koko yhteiskunnan etua palvelevien tarkoitusten toteuttamiseksi erityisesti terveyden- tai sosiaalihuollon palvelujen ja järjestelmien hallinnon yhteydessä. Näin ollen tässä asetuksessa olisi säädettävä erityisryhmiin kuuluvien terveyttä koskevien henkilötietojen käsittelyn yhdenmukaisista ehdoista erityistarpeiden osalta erityisesti, kun henkilö, jolla on lakisääteinen salassapitovelvollisuus, käsittelee tällaisia tietoja tiettyjä terveyteen liittyviä tarkoituksia varten. Unionin oikeudessa olisi säädettävä erityisistä ja asianmukaisista toimenpiteistä luonnollisten henkilöiden perusoikeuksien ja henkilötietojen suojelemiseksi.

(31)

Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ”kansanterveydellä” olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/2008 (7) olevan määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten.

(32)

Jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsittelemiensä henkilötietojen perusteella, rekisterinpitäjää ei saisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä on tarpeen vain, jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Rekisterinpitäjän ei pitäisi kuitenkaan kieltäytyä vastaanottamasta rekisteröidyn antamia lisätietoja tämän oikeuksien käyttämisen tukemiseksi. Tunnistamiseen olisi sisällytettävä rekisteröidyn digitaalinen tunnistaminen esimerkiksi todentamismekanismin avulla, kuten käyttämällä samoja tunnisteita, joita rekisteröity käyttää kirjautuessaan rekisterinpitäjän tarjoamiin verkkopalveluihin.

(33)

Henkilötietojen käsittelyyn yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten olisi sovellettava tämän asetuksen mukaisia rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. Näillä suojatoimilla olisi varmistettava, että on toteutettu tekniset ja organisatoriset toimenpiteet, jotta taataan etenkin tietojen minimoinnin periaate. Henkilötietojen myöhempi käsittely yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten on tehtävä, jos rekisterinpitäjä on arvioinut, onko kyseiset tarkoitukset mahdollista saavuttaa käsittelemällä tietoja, joiden avulla ei voida tai ei enää voida tunnistaa rekisteröityjä, kunhan asianmukaiset suojatoimet (kuten tietojen pseudonymisointi) on toteutettu. Unionin toimielinten ja elinten olisi toteutettava asianmukaiset suojatoimet henkilötietojen käsittelylle yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten unionin oikeudessa, johon voi sisältyä unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymiä sisäisiä sääntöjä.

(34)

Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä henkilötietoihin ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön ja mahdollisuuksien mukaan saada nämä oikeudet maksutta sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. Rekisterinpitäjän olisi myös tarjottava keinot esittää tällaiset pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa sekä perustelemaan kieltäytymisensä siinä tapauksessa, että rekisterinpitäjä ei aio noudattaa tällaisia pyyntöjä.

(35)

Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista. Rekisterinpitäjän olisi toimitettava rekisteröidylle lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys. Rekisteröidylle olisi myös ilmoitettava profiloinnin olemassaolosta ja sen seurauksista. Jos henkilötietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa henkilötiedot, sekä kieltäytymisen seurauksista. Nämä tiedot voidaan antaa yhdessä vakiomuotoisten kuvakkeiden kanssa, jotta suunnitellusta käsittelystä voidaan antaa mielekäs yleiskuva helposti erottuvalla, ymmärrettävällä ja selvästi luettavissa olevalla tavalla. Jos kuvakkeet esitetään sähköisessä muodossa, niiden olisi oltava koneellisesti luettavissa.

(36)

Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keruun yhteydessä tai, jos henkilötiedot on saatu jostakin muusta lähteestä, kohtuullisen ajan kuluessa tietojen keruusta, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos henkilötietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun henkilötietoja luovutetaan ensimmäisen kerran. Jos rekisterinpitäjä aikoo käsitellä henkilötietoja muuhun tarkoitukseen kuin siihen, jota varten ne on kerätty, rekisterinpitäjän olisi toimitettava rekisteröidylle ennen kyseistä myöhempää käsittelyä tiedot tästä muusta tarkoituksesta sekä muut tarvittavat tiedot. Jos rekisteröidylle ei ole voitu ilmoittaa henkilötietojen alkuperää johtuen siitä, että on käytetty useita lähteitä, olisi annettava yleiset tiedot.

(37)

Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Tähän sisältyy rekisteröidyn oikeus saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista ja, jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. Jos rekisterinpitäjä käsittelee merkittäviä määriä rekisteröityä koskevia tietoja, rekisterinpitäjän olisi voitava pyytää rekisteröityä täsmentämään ennen tietojen luovuttamista, mitä tietoja tai mitä käsittelytoimia rekisteröidyn pyyntö koskee.

(38)

Rekisteröidyllä olisi oltava oikeus saada häntä koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi”, jos tietojen säilyttäminen rikkoo tätä asetusta tai rekisterinpitäjään sovellettavaa unionin oikeutta. Rekisteröidyllä olisi oltava oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen kun henkilötietoja ei enää tarvita niitä tarkoituksia varten, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa tai kun hän on vastustanut henkilötietojensa käsittelyä tai kun hänen henkilötietojensa käsittely ei muutoin ole tämän asetuksen säännösten mukaista. Tämä oikeus tulee kyseeseen erityisesti silloin kun rekisteröity on antanut suostumuksensa lapsena, eikä ole ollut täysin tietoinen tietojenkäsittelyyn liittyvistä riskeistä, ja haluaa myöhemmin poistaa tällaiset tiedot erityisesti internetistä. Rekisteröidyn olisi voitava käyttää tätä oikeutta siitä huolimatta, että hän ei enää ole lapsi. Henkilötietojen edelleen säilyttämisen tulisi kuitenkin olla lainmukaista, jos se on tarpeen sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi, lakisääteisen velvoitteen noudattamiseksi, yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, kansanterveyteen liittyvää yleistä etua koskevista syistä, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

(39)

Jotta voitaisiin vahvistaa oikeutta tulla unohdetuksi verkkoympäristössä, oikeutta tietojen poistamiseen olisi laajennettava edellyttämällä, että henkilötiedot julkistanut rekisterinpitäjä on velvollinen ilmoittamaan näitä henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kaikkien näihin tietoihin liittyvien linkkien tai näiden tietojen jäljennösten tai kopioiden poistamista. Näin menetellessään rekisterinpitäjän olisi toteutettava kohtuulliset toimenpiteet, mukaan lukien tekniset toimenpiteet, ottaen huomioon käytettävissä oleva teknologia ja keinot, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille rekisteröidyn pyynnöstä.

(40)

Henkilötietojen käsittelyä rajoittavia menetelmiä voisivat olla muun muassa valittujen tietojen väliaikainen siirtäminen toiseen käsittelyjärjestelmään, käyttäjien pääsyn estäminen valittuihin henkilötietoihin tai julkaistujen tietojen väliaikainen poistaminen verkkosivustolta. Automaattisissa rekistereissä käsittelyn rajoittaminen olisi lähtökohtaisesti varmistettava teknisin keinoin niin, että henkilötiedot eivät enää myöhemmin joudu käsittelytoimien kohteeksi eikä niitä enää voi muuttaa. Henkilötietojen käsittelyn rajoittaminen olisi ilmaistava järjestelmässä selvästi.

(41)

Jotta voitaisiin edelleen vahvistaa rekisteröityjen oikeutta valvoa henkilötietojaan silloin, kun henkilötietojen käsittely suoritetaan automaattisesti, rekisteröidyn olisi myös voitava saada häntä koskevat henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle, jäsennellyssä, yleisesti käytetyssä, koneellisesti luettavassa ja yhteentoimivassa muodossa ja siirtää ne toiselle rekisterinpitäjälle. Rekisterinpitäjiä olisi kannustettava kehittämään yhteentoimivia muotoja, jotka mahdollistavat tietojen siirtämisen. Tätä oikeutta olisi sovellettava silloin, kun rekisteröity on antanut henkilötiedot oman suostumuksensa perusteella tai kun käsittely on tarpeen sopimuksen täytäntöönpanemiseksi. Siksi sitä ei pitäisi soveltaa silloin, kun henkilötietojen käsittely on tarpeen rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamiseksi tai yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi. Rekisteröidyn oikeus siirtää tai vastaanottaa häntä koskevia henkilötietoja ei saisi luoda rekisterinpitäjille velvoitetta ottaa käyttöön tai ylläpitää tietojenkäsittelyjärjestelmiä, jotka ovat teknisesti yhteensopivia. Jos tietyssä henkilötietoja sisältävässä tietojoukossa tiedot koskevat useampia kuin yhtä rekisteröityä, oikeus vastaanottaa henkilötietoja ei saisi rajoittaa toisten rekisteröityjen tämän asetuksen mukaisia oikeuksia ja vapauksia. Tämä oikeus ei saisi myöskään rajoittaa rekisteröidyn oikeutta saada henkilötiedot poistetuiksi eikä tämän asetuksen mukaisia rajoituksia kyseiseen oikeuteen, ja se ei etenkään saisi merkitä niiden rekisteröityä koskevien henkilötietojen poistamista, jotka tämä on antanut sopimuksen täytäntöönpanoa varten, siinä määrin ja niin kauan kuin henkilötiedot ovat tarpeen sopimuksen täytäntöönpanoa varten. Kun se on teknisesti mahdollista, rekisteröidyllä pitäisi olla oikeus saada henkilötiedot siirrettyä suoraan rekisterinpitäjältä toiselle.

(42)

Tapauksissa, joissa henkilötietoja voitaisiin käsitellä lainmukaisesti, koska käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa hänen tilannettaan koskevien henkilötietojen käsittelyä. Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän huomattavan tärkeät oikeutetut edut syrjäyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet.

(43)

Rekisteröidyllä olisi oltava oikeus olla joutumatta hänen henkilökohtaisia ominaisuuksiaan arvioivan, mahdollisesti toimenpiteen sisältävän päätöksen kohteeksi, joka on tehty yksinomaan automaattisen käsittelyn perusteella, josta hänelle aiheutuu oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi, kuten sähköisen rekrytoinnin käytännöt ilman ihmisen osallistumista. Kyseinen tietojenkäsittely sisältää ”profiloinnin”, joka tarkoittaa mitä tahansa henkilötietojen automaattista käsittelyä luonnollisen henkilön henkilökohtaisten ominaisuuksien arvioimiseksi, erityisesti rekisteröidyn työsuorituksen, taloudellisen tilanteen, terveyden, henkilökohtaisten mieltymysten tai kiinnostuksen kohteiden, luotettavuuden tai käyttäytymisen, sijainnin tai liikkumisen analysoimiseksi tai ennakoimiseksi, siltä osin kuin sillä on rekisteröityyn kohdistuvia oikeusvaikutuksia tai se vaikuttaa häneen vastaavalla tavalla merkittävästi.

Kyseiseen tietojenkäsittelyyn, mukaan lukien profilointi, perustuva päätöksenteko olisi kuitenkin sallittava, jos siihen annetaan nimenomainen lupa unionin oikeudessa. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia suojatoimia, joihin olisi kuuluttava käsittelystä ilmoittaminen rekisteröidylle ja oikeus vaatia ihmisen osallistumista tietojen käsittelemiseen, esittää kantansa, saada selvitys kyseisen arvioinnin jälkeen tehdystä päätöksestä ja riitauttaa päätös. Tällaista toimenpidettä ei saisi kohdistaa lapseen. Rekisteröityä koskevan asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys, rekisterinpitäjän olisi käytettävä profiloinnissa asianmukaisia matemaattisia tai tilastollisia menetelmiä, toteutettava teknisiä ja organisatorisia toimenpiteitä, jotka soveltuvat erityisesti sen varmistamiseen, että henkilötietojen virheellisyyteen johtavat tekijät korjataan ja virheriski minimoidaan, sekä turvattava henkilötiedot siten, että rekisteröidyn etuihin ja oikeuksiin kohdistuvat mahdolliset riskit otetaan huomioon ja estetään muun muassa luonnollisten henkilöiden syrjintä rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnon tai vakaumuksen, ammattiliittoon kuulumisen, geneettisen tilan, terveydentilan tai seksuaalisen suuntautumisen perusteella taikka käsittely, jonka johdosta toteutetaan toimenpiteitä, joilla on tällaisia seurauksia. Henkilötietojen erityisluokitteluun perustuva automaattinen päätöksenteko ja profilointi olisi sallittava vain erityistilanteissa.

(44)

Perussopimusten perusteella annetuissa säädöksissä tai unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymissä sisäisissä säännöissä voidaan asettaa rajoituksia, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja ja oikeutta siirtää tiedot järjestelmästä toiseen, sähköisen viestinnän tietojen luottamuksellisuutta, henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa yleisen turvallisuuden takaamiseksi ja rikosten ennalta estämistä, tutkintaa ja rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Näin on silloin, kun kyseessä on yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ihmishenkien suojeleminen erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä, unionin toimielinten ja elinten sisäinen turvallisuus, muut unionin tai jäsenvaltion tärkeää yleistä etua koskevat syyt, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionin tai jäsenvaltion tärkeät taloudelliset tai rahoitusta koskevat edut sekä julkisten rekisterien pitäminen yleiseen etuun liittyvistä syistä tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien, muun muassa sosiaaliturvan, kansanterveyden ja humanitaaristen tarkoitusten, turvaamiseksi.

(45)

Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän lukuun suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan lukien. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski.

(46)

Nämä todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit voivat aiheutua henkilötietojen käsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin, maineen vahingoittumiseen, salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetykseen tai pseudonymisoinnin luvattomaan kumoutumiseen tai aiheuttaa muuta merkittävää taloudellista tai sosiaalista vahinkoa; jos rekisteröidyiltä saatetaan evätä heidän oikeuksiaan ja vapauksiaan tai estää heitä valvomasta omia henkilötietojaan; jos käsitellään sellaisia henkilötietoja, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta ja ammattiliittoon kuulumista, tai käsitellään geneettisiä tietoja tai terveystietoja ja seksuaalista käyttäytymistä tai rikostuomioita ja rikoksia tai niihin liittyviä turvaamistoimenpiteitä koskevia tietoja; jos arvioidaan henkilökohtaisia ominaisuuksia, erityisesti kun kyseessä on henkilöprofiilin luomista tai käyttämistä varten suoritettu analyysi tai ennakointi työsuorituksesta, taloudellisesta tilanteesta, terveydestä, henkilökohtaisista mieltymyksistä tai kiinnostuksen kohteista, luotettavuudesta tai käyttäytymisestä, sijainnista tai liikkeistä; jos käsitellään heikossa asemassa olevien luonnollisten henkilöiden, erityisesti lasten, henkilötietoja tai jos käsitellään suuria määriä henkilötietoja ja käsittely koskee suurta rekisteröityjen määrää.

(47)

Rekisteröidyn oikeuksiin ja vapauksiin kohdistuvan riskin todennäköisyys ja vakavuus olisi määriteltävä tietojenkäsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten mukaan. Riski olisi arvioitava objektiivisen arvioinnin perusteella, jolla todetaan, liittyykö tietojenkäsittelytoimiin riski tai korkea riski.

(48)

Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että asetuksessa säädetyt vaatimukset täyttyvät. Jotta voidaan osoittaa, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Tällaisia toimenpiteitä voisivat olla muun muassa henkilötietojen käsittelyn minimointi, henkilötietojen pseudonymisointi mahdollisimman pian, tehtävien ja henkilötietojen käsittelyn läpinäkyvyys sekä sen mahdollistaminen, että rekisteröity voi valvoa tietojenkäsittelyä ja että rekisterinpitäjä voi luoda ja parantaa turvaominaisuuksia. Sisäänrakennetun ja oletusarvoisen tietosuojan periaatteet olisi myös huomioitava julkisten tarjouskilpailujen yhteydessä.

(49)

Asetuksessa (EU) 2016/679 säädetään, että rekisterinpitäjien on osoitettava velvollisuuksien noudattaminen noudattamalla hyväksyttyjä sertifiointimekanismeja. Myös unionin toimielinten ja elinten olisi voitava osoittaa, että ne noudattavat tämän asetuksen vaatimuksia, hankkimalla sertifiointi asetuksen (EU) 2016/679 42 artiklan mukaisesti.

(50)

Rekisteröidyn oikeuksien ja vapauksien suojelu sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet ja vastuut edellyttävät, että tässä asetuksessa säädetyt vastuualueet jaetaan selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän lukuun.

(51)

Jotta voidaan varmistaa, että henkilötietojen käsittelijä noudattaa tämän asetuksen vaatimuksia rekisterinpitäjän lukuun suorittamassaan käsittelyssä, rekisterinpitäjän olisi antaessaan käsittelytoimet henkilötietojen käsittelijän tehtäväksi käytettävä ainoastaan sellaisia henkilötietojen käsittelijöitä, joilla on antaa riittävät takeet erityisesti asiantuntemuksesta, luotettavuudesta ja resursseista, jotta ne voivat panna täytäntöön tämän asetuksen vaatimusten mukaiset tekniset ja organisatoriset toimenpiteet, käsittelyn turvallisuus mukaan lukien. Sitä, että muut henkilötietojen käsittelijät kuin unionin toimielimet ja elimet noudattavat hyväksyttyjä käytännesääntöjä tai hyväksyttyä sertifiointimekanismia, voidaan käyttää osoittamaan rekisterinpitäjälle asetettujen velvollisuuksien noudattamista. Muun henkilötietojen käsittelijän kuin unionin toimielimen tai elimen suorittamaa käsittelyä olisi säänneltävä sopimuksella tai siinä tapauksessa, että käsittelijöinä ovat unionin toimielimet tai elimet, unionin oikeuden mukaisella sopimuksella tai muulla oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijän rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitukset, henkilötietojen tyyppi ja rekisteröityjen ryhmät, ja siinä olisi otettava huomioon henkilötietojen käsittelijän erityistehtävät ja vastuualueet suoritettavan käsittelyn yhteydessä sekä rekisteröidyn oikeuksiin ja vapauksiin liittyvä riski. Rekisterinpitäjän ja henkilötietojen käsittelijän olisi voitava halutessaan käyttää yksittäistä sopimusta tai sellaisia vakiosopimuslausekkeita, jotka hyväksyy joko suoraan komissio tai ensin Euroopan tietosuojavaltuutettu ja sitten komissio. Kun henkilötietojen käsittelijä on saattanut käsittelyn loppuun rekisterinpitäjän lukuun, sen olisi rekisterinpitäjän valinnan mukaisesti palautettava tai poistettava henkilötiedot, paitsi jos unionin oikeudessa tai henkilötietojen käsittelijään sovellettavassa jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot.

(52)

Rekisterinpitäjien olisi ylläpidettävä selostetta vastuullaan olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä selostetta vastuullaan olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne noudattavat tätä asetusta. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja saattamaan pyydettäessä selosteensa sen saataville, jotta käsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi voitava perustaa käsittelytoimistaan laatimiensa selosteiden keskusrekisteri, paitsi jos se unionin toimielimen tai elimen koko huomioon ottaen ei ole tarkoituksenmukaista. Läpinäkyvyyden vuoksi niiden olisi myös voitava tehdä rekisteristä julkinen.

(53)

Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi esimerkiksi salauksella. Näiden toimenpiteiden avulla olisi varmistettava asianmukainen turvallisuustaso, muun muassa luottamuksellisuus, ottaen huomioon uusin tekniikka ja toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Tietosuojariskiä arvioitaessa olisi otettava huomioon henkilötietojen käsittelyyn liittyvät riskit, kuten siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy, mikä voi aiheuttaa etenkin fyysisiä, aineellisia tai aineettomia vahinkoja.

(54)

Unionin toimielinten ja elinten olisi varmistettava sähköisen viestinnän luottamuksellisuus perusoikeuskirjan 7 artiklan mukaisesti. Unionin toimielinten ja elinten olisi erityisesti varmistettava sähköisten viestintäverkkojensa turvallisuus. Niiden olisi suojattava yleisesti saatavilla olevia verkkosivustojaan ja mobiilisovelluksiaan käyttävien käyttäjien päätelaitteita koskevat tiedot Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (8) mukaisesti. Niiden olisi myös suojattava käyttäjäluetteloihin tallennetut henkilötiedot.

(55)

Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysisiä, aineellisia tai aineettomia vahinkoja. Sen vuoksi rekisterinpitäjän olisi ilmoitettava henkilötietojen tietoturvaloukkauksesta Euroopan tietosuojavaltuutetulle ilman aiheetonta viivytystä heti, kun se on tullut rekisterinpitäjän tietoon, ja mahdollisuuksien mukaan 72 tunnin kuluessa, paitsi jos rekisterinpitäjä pystyy osoittamaan tilivelvollisuusperiaatteen mukaisesti, että henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos tällaista ilmoitusta ei voida tehdä 72 tunnin kuluessa, ilmoitukseen olisi liitettävä selvitys viivytyksen syistä, ja tietoa voidaan antaa vaiheittain ilman aiheetonta lisäviivytystä. Jos tällainen viivytys on perusteltu, tietoturvaloukkausta koskevia vähemmän arkaluonteisia tai vähemmän täsmällisiä tietoja olisi annettava mahdollisimman varhaisessa vaiheessa sen sijaan, että taustalla oleva tapahtuma ratkaistaisiin kaikilta osin ennen ilmoituksen tekemistä.

(56)

Rekisterinpitäjän olisi ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä, jos tämä tietoturvaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin, jotta rekisteröity voi toteuttaa tarvittavat varotoimet. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tällainen ilmoitus rekisteröidylle olisi tehtävä niin pian, kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä Euroopan tietosuojavaltuutetun kanssa noudattaen sen tai muiden asiaankuuluvien viranomaisten, kuten lainvalvontaviranomaisten, antamia ohjeita.

(57)

Asetuksessa (EY) N:o 45/2001 säädetään rekisterinpitäjän yleisestä velvollisuudesta ilmoittaa henkilötietojen käsittelystä tietosuojavastaavalle. Tietosuojavastaavan on pidettävä rekisteriä ilmoitetuista käsittelytoimista, paitsi jos se unionin toimielimen tai elimen koko huomioon ottaen ei ole tarkoituksenmukaista. Tämän yleisen velvollisuuden lisäksi olisi otettava käyttöön tehokkaita menettelyjä ja mekanismeja sellaisten käsittelytoimien valvomiseksi, joihin niiden luonteen, laajuuden, asiayhteyden ja tarkoitusten vuoksi todennäköisesti liittyy luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkea riski. Tällaisia menettelyjä olisi oltava käytössä erityisesti myös silloin, kun käsittelytoimien tyypit perustuvat uusien tekniikoiden käyttöön tai ne ovat uudenlaisia ja niiden osalta rekisterinpitäjä ei ole ensin tehnyt tietosuojaa koskevaa vaikutustenarviointia tai kun tietosuojaa koskeva vaikutustenarviointi on tullut tarpeelliseksi, koska aikaa on kulunut siitä kun käsittely alkoi. Tällaisissa tapauksissa rekisterinpitäjän olisi korkean riskin erityisen todennäköisyyden ja vakavuuden arvioimiseksi käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä riskin alkuperän huomioon ottaen tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi. Tässä vaikutustenarvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä suojatoimia ja mekanismeja, joiden avulla lievennetään edellä mainittua riskiä, varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu.

(58)

Jos tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelyyn liittyisi riskin lieventämistä koskevien suojatoimien, turvatoimenpiteiden ja mekanismien puuttumisen vuoksi suuri luonnollisten henkilöiden oikeuksiin ja vapauksiin vaikuttava riski, ja rekisterinpitäjä katsoo, että tätä riskiä ei voida kohtuullisin toimenpitein vähentää saatavilla olevan tekniikan ja toteuttamiskustannusten suhteen, ennen käsittelytoimien aloittamista olisi kuultava Euroopan tietosuojavaltuutettua. On todennäköistä, että tällainen korkea riski liittyy tietyntyyppiseen henkilötietojen käsittelyyn ja käsittelyn laajuuteen ja toistumistiheyteen, mikä voi aiheuttaa vahinkoa myös luonnollisen henkilön oikeuksille ja vapauksille tai merkitä niihin puuttumista. Euroopan tietosuojavaltuutetun olisi vastattava kuulemispyyntöön määrätyn ajan kuluessa. Euroopan tietosuojavaltuutetun reagoimattomuus määräajan puitteissa ei kuitenkaan saisi vaikuttaa tietosuojavaltuutetun mahdollisiin toimiin hänelle tässä asetuksessa annettujen tehtävien ja valtuuksien puitteissa, kuten valtaan kieltää käsittelytoimia. Osana kuulemismenettelyä olisi oltava mahdollista toimittaa Euroopan tietosuojavaltuutetulle käsittelyn osalta toteutetun tietosuojaa koskevan vaikutustenarvioinnin tulos, etenkin toimenpiteet, joiden tarkoituksena on vähentää luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä.

(59)

Euroopan tietosuojavaltuutetulle olisi ilmoitettava hallinnollisista toimenpiteistä ja sitä olisi kuultava unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymistä sisäisistä säännöistä, kun niissä määrätään henkilötietojen käsittelystä, määrätään edellytykset rekisteröityjen oikeuksien rajoituksille tai määrätään asianmukaisista suojatoimista rekisteröidyn oikeuksien osalta, jotta varmistetaan, että suunnitellussa käsittelyssä noudatetaan tätä asetusta erityisesti sen osalta, että rekisteröityyn kohdistuvia riskejä pienennetään.

(60)

Asetuksessa (EU) 2016/679 perustettiin Euroopan tietosuojaneuvosto riippumattomaksi unionin elimeksi, jolla on oikeushenkilöllisyys. Tietosuojaneuvoston olisi osaltaan varmistettava, että asetusta (EU) 2016/679 ja direktiiviä (EU) 2016/680 sovelletaan yhdenmukaisesti kaikkialla unionissa, myös antamalla neuvoja komissiolle. Samanaikaisesti Euroopan tietosuojavaltuutetun olisi edelleen huolehdittava valvonta- ja neuvontatehtävistään kaikkien unionin toimielinten ja elinten osalta omasta aloitteestaan tai pyynnöstä. Jotta varmistetaan tietosuojasääntöjen johdonmukaisuus kaikkialla unionissa, komission olisi ehdotuksia tai suosituksia laatiessaan pyrittävä kuulemaan Euroopan tietosuojavaltuutettua. Komission toteuttaman kuulemisen olisi oltava pakollinen sellaisten lainsäätämisjärjestyksessä hyväksyttävien säädösten antamisen jälkeen tai laadittaessa sellaisia Euroopan unionin toiminnasta tehdyn sopimuksen 289, 290 ja 291 artiklassa määriteltyjä delegoituja säädöksiä ja täytäntöönpanosäädöksiä sekä sellaisten Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklassa tarkoitettuihin kolmansien maiden ja kansainvälisten järjestöjen kanssa tehtyihin sopimuksiin liittyvien suositusten ja ehdotusten hyväksymisen jälkeen, jotka vaikuttavat henkilötietojen suojaa koskevaan oikeuteen. Tällaisissa tapauksissa komissio olisi velvoitettava kuulemaan Euroopan tietosuojavaltuutettua, paitsi jos asetuksessa (EU) 2016/679 säädetään Euroopan tietosuojaneuvoston pakollisesta kuulemisesta, esimerkiksi silloin, kun on kyse tietosuojan riittävyyttä koskevista päätöksistä tai vakiomuotoisia kuvakkeita ja sertifiointimekanismeille asetettavia vaatimuksia koskevista delegoiduista säädöksistä. Jos kyseinen säädös on erityisen tärkeä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyssä, komission olisi myös voitava kuulla Euroopan tietosuojaneuvostoa. Näissä tapauksissa Euroopan tietosuojavaltuutetun olisi Euroopan tietosuojaneuvoston jäsenenä koordinoitava työtään tietosuojaneuvoston kanssa yhteisen lausunnon antamiseksi. Euroopan tietosuojavaltuutetun ja soveltuvin osin Euroopan tietosuojaneuvoston olisi toimitettava kirjalliset lausuntonsa kahdeksan viikon kuluessa. Kyseisen määräajan olisi oltava lyhyempi kiireellisissä tapauksissa tai silloin, kun se on muuten aiheellista, esimerkiksi komission valmistellessa delegoituja säädöksiä ja täytäntöönpanosäädöksiä.

(61)

Euroopan tietosuojavaltuutetun olisi huolehdittava Euroopan tietosuojaneuvoston sihteeristön tehtävistä asetuksen (EU) 2016/679 75 artiklan mukaisesti.

(62)

Tietosuojavastaavan olisi varmistettava kaikissa unionin toimielimissä ja elimissä, että tämän asetuksen säännöksiä sovelletaan, ja neuvottava rekisterinpitäjiä ja henkilötietojen käsittelijöitä näiden velvoitteiden noudattamisessa. Tietosuojavastaavan olisi oltava henkilö, jolla on asiantuntemusta tietosuojalainsäädännöstä ja alan käytänteistä, mikä olisi määritettävä etenkin rekisterinpitäjän tai henkilötietojen käsittelijän suorittamien tietojenkäsittelytoimien ja asianomaisten henkilötietojen edellyttämän suojan perusteella. Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti.

(63)

Kun henkilötietoja siirretään unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille tai kansainvälisille järjestöille, olisi taattava luonnollisten henkilöiden suojelun taso, joka unionissa perustuu tähän asetukseen. Sama suojelun taso olisi taattava silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa oleville rekisterinpitäjille tai henkilötietojen käsittelijöille tai muulle kansainväliselle järjestölle. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen ja perusoikeuskirjassa vahvistettuja perusoikeuksia ja -vapauksia kunnioittaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.

(64)

Komissio voi päättää asetuksen (EU) 2016/679 45 artiklan tai direktiivin (EU) 2016/680 36 artiklan nojalla, että kolmas maa, kolmannen maan alue tai tietty sektori tai kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan. Tällöin unionin toimielin tai elin voi siirtää henkilötietoja kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle ilman erillistä lupaa.

(65)

Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset suojatoimet voivat tarkoittaa sitä, että sovelletaan komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita tai Euroopan tietosuojavaltuutetun hyväksymiä sopimuslausekkeita. Jos henkilötietojen käsittelijä ei ole unionin toimielin tai elin, asianmukaisia suojatoimia voivat olla myös yritystä koskevat sitovat säännöt, käytännesäännöt ja sertifiointimekanismit, joita käytetään asetuksen (EU) 2016/679 mukaisissa kansainvälisissä siirroissa. Näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen, kuten tehokkaiden hallinnollisten ja oikeudellisten muutoksenhakukeinojen ja korvauksenvaatimisoikeuden, saatavuus unionissa tai kolmannessa maassa. Niiden olisi erityisesti liityttävä henkilötietojen käsittelyä koskevien yleisten periaatteiden noudattamiseen sekä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Unionin toimielimet ja elimet voivat toteuttaa siirtoja myös kolmansien maiden viranomaisille tai julkisille elimille tai vastaavia tehtäviä suorittaville kansainvälisille järjestöille esimerkiksi yhteisymmärryspöytäkirjoihin tai muihin rekisteröityjen täytäntöönpanokelpoisia ja tehokkaita oikeuksia sisältäviin hallinnollisiin järjestelyihin sisällytettävien määräysten perusteella. Kun suojatoimet perustuvat muihin kuin oikeudellisesti sitoviin hallinnollisiin järjestelyihin, tähän olisi saatava Euroopan tietosuojavaltuutetun lupa.

(66)

Se, että rekisterinpitäjä tai henkilötietojen käsittelijä voi käyttää joko komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää tai henkilötietojen käsittelijää sisällyttämästä tietosuojaa koskevia vakiolausekkeita laajempiin sopimuksiin, kuten henkilötietojen käsittelijän toisen henkilötietojen käsittelijän kanssa tekemään sopimukseen, eikä lisäämästä muita lausekkeita tai toteuttamasta muita suojatoimia, kunhan ne eivät ole suoraan tai epäsuorasti ristiriidassa komission tai Euroopan tietosuojavaltuutetun hyväksymien vakiosopimuslausekkeiden kanssa eivätkä vaikuta rekisteröidyn perusoikeuksiin tai -vapauksiin. Rekisterinpitäjiä ja henkilötietojen käsittelijöitä olisi kannustettava tarjoamaan lisäsuojaa sopimusperusteisilla velvoitteilla, joilla täydennetään tietosuojaa koskevia vakiolausekkeita.

(67)

Jotkut kolmannet maat hyväksyvät lakeja, asetuksia ja muita säädöksiä, joiden tarkoituksena on suoraan säännellä unionin toimielinten ja elinten käsittelytoimia. Näihin voi kuulua kolmansien maiden tuomioistuinten tai hallintoviranomaisten päätöksiä, joissa rekisterinpitäjältä tai henkilötietojen käsittelijältä vaaditaan henkilötietojen siirtämistä tai luovuttamista ja jotka eivät perustu pyynnön esittäneen kolmannen maan ja unionin väliseen voimassa olevaan kansainväliseen sopimukseen. Tällaisten lakien, asetusten ja muiden säädösten soveltaminen näiden kolmansien maiden alueen ulkopuolella voi olla kansainvälisen oikeuden vastaista ja estää tähän asetukseen perustuvan luonnollisten henkilöiden suojan toteutumisen unionissa. Tiedonsiirrot olisi sallittava vain jos tässä asetuksessa vahvistetut edellytykset tietojen siirtämiseksi kolmansiin maihin täyttyvät. Näin voi olla esimerkiksi silloin, kun tietojen luovuttaminen on tarpeen unionin oikeudessa tunnustetun tärkeän yleistä etua koskevan syyn vuoksi.

(68)

Olisi säädettävä mahdollisuudesta tehdä tiedonsiirtoja tietyissä tilanteissa, kun rekisteröity on antanut nimenomaisen suostumuksensa ja kun siirto tapahtuu satunnaisesti ja on tarpeellinen sopimukselle tai oikeusvaateelle, riippumatta siitä, onko kyse oikeudellisesta menettelystä tai hallinnollisesta tai tuomioistuimen ulkopuolisesta menettelystä, sääntelyelimen menettelyt mukaan lukien. Olisi myös säädettävä mahdollisuudesta tehdä tiedonsiirtoja, kun unionin oikeuteen perustuvat, yleistä etua koskevat tärkeät syyt niin vaativat tai kun siirto suoritetaan lailla perustetusta rekisteristä, joka on tarkoitettu yleisön tai kenen tahansa sellaisen henkilön käyttöön, jonka oikeutettu etu sitä edellyttää. Viimeksi mainitussa tapauksessa siirto ei saisi käsittää henkilötietoja kokonaisuudessaan tai rekisterin sisältämää kokonaista tietoryhmää, ellei se ole sallittu unionin oikeudessa, ja jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joiden oikeutettu etu sitä edellyttää, siirto olisi tehtävä ainoastaan näiden henkilöiden pyynnöstä tai, jos he ovat henkilötietojen vastaanottajia, siten, että otetaan täysimääräisesti huomioon rekisteröidyn edut ja perusoikeudet.

(69)

Näitä poikkeuksia olisi sovellettava erityisesti tiedonsiirtoihin, jotka ovat tarpeen yleistä etua koskevien tärkeiden syiden vuoksi, esimerkiksi kun on kyse kansainvälisestä tiedonvaihdosta unionin toimielinten ja elinten sekä kilpailuviranomaisten, vero- tai tullihallintojen, finanssivalvonnasta vastaavien viranomaisten ja sosiaaliturvasta tai kansanterveydestä vastaavien yksikköjen välillä esimerkiksi tartuntatautien vuoksi tehtävän kontaktien jäljityksen yhteydessä tai urheilussa esiintyvän dopingin vähentämiseksi ja/tai lopettamiseksi. Henkilötietojen siirtoa olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen, kuten fyysisen koskemattomuuden ja hengen suojelemiseksi, jos rekisteröity on estynyt antamasta suostumustaan. Ellei tietosuojan riittävyyttä koskevaa päätöstä ole annettu, unionin oikeudessa voidaan yleistä etua koskevista tärkeistä syistä nimenomaisesti rajoittaa tiettyjen tietoryhmien siirtoa kolmanteen maahan tai kansainväliselle järjestölle. Jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, hänen henkilötietojensa siirto kansainväliselle humanitaariselle järjestölle, jotta se voisi suorittaa tehtävän, joka sille Geneven yleissopimusten nojalla kuuluu, tai aseellisissa konflikteissa sovellettavan kansainvälisen humanitaarisen oikeuden noudattamiseksi, voidaan katsoa tarpeelliseksi yleistä etua koskevan tärkeän syyn vuoksi tai koska se on rekisteröidyn elintärkeiden etujen mukaista.

(70)

Jos komissio ei ole tehnyt päätöstä kolmannen maan tietosuojan riittävyydestä, rekisterinpitäjän tai henkilötietojen käsittelijän olisi turvauduttava ratkaisuihin, joilla rekisteröidyille annetaan täytäntöönpanokelpoiset ja tehokkaat oikeudet, jotka koskevat heidän tietojensa käsittelyä unionissa näiden tietojen siirtämisen jälkeen, jotta he voisivat edelleen nauttia perusoikeuksista ja suojatoimista.

(71)

Henkilötietojen siirtäminen valtioiden rajojen yli unionin ulkopuolelle voi vaikeuttaa luonnollisten henkilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta kansalliset valvontaviranomaiset ja Euroopan tietosuojavaltuutettu eivät välttämättä pysty käsittelemään kanteluja tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan niiden lainkäyttöalueen ulkopuolella. Lisäksi rajatylittävissä tapauksissa tehtävää yhteistyötä voivat vaikeuttaa myös riittämättömät toimivaltuudet ennalta ehkäiseviin tai korjaaviin toimiin, oikeudellisen toimintaympäristön epäyhtenäisyys ja käytännön esteet, kuten resurssipula. Sen vuoksi olisi edistettävä tiiviimpää yhteistyötä Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välillä, jotta voidaan vaihtaa tietoja kansainvälisten kumppanien kanssa.

(72)

Keskeinen osa luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä on ollut perustaa asetuksella (EY) N:o 45/2001 Euroopan tietosuojavaltuutettu, jolle on myönnetty valtuudet hoitaa tehtävänsä ja käyttää toimivaltaansa täysin riippumattomasti. Tällä asetuksella olisi vahvistettava edelleen ja selvennettävä hänen rooliaan ja riippumattomuuttaan. Euroopan tietosuojavaltuutetun olisi oltava henkilö, jonka riippumattomuudesta ei ole epäilystä ja jolla on yleisesti tunnustettu kokemus ja pätevyys Euroopan tietosuojavaltuutetun tehtävien hoitamiseen esimerkiksi sen johdosta, että hän on kuulunut johonkin asetuksen (EU) 2016/679 51 artiklalla perustetuista valvontaviranomaisista.

(73)

Jotta voidaan varmistaa tietosuojasääntöjen johdonmukainen seuranta ja täytäntöönpano kaikkialla unionissa, Euroopan tietosuojavaltuutetulla olisi oltava samanlaiset tehtävät ja valtuudet kuin kansallisilla valvontaviranomaisilla, kuten tutkintavaltuudet, korjaavat toimivaltuudet ja valtuudet määrätä seuraamuksia sekä hyväksymis- ja neuvontavaltuudet, erityisesti silloin kun luonnolliset henkilöt tekevät kanteluja, ja valtuudet saattaa tämän asetuksen rikkomiset unionin tuomioistuimen tietoon ja valtuudet panna vireille oikeustoimia primaarioikeuden mukaisesti. Valtuuksiin olisi kuuluttava myös valtuus asettaa väliaikainen tai pysyvä tietojenkäsittelyn rajoitus, kuten käsittelykielto. Jotta vältetään aiheuttamasta tarpeettomia kustannuksia ja liiallisia haittoja asianomaisille henkilöille, joihin toimenpide vaikuttaisi epäedullisesti, jokaisen Euroopan tietosuojavaltuutetun toimenpiteen olisi oltava tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen, jotta voidaan varmistaa tämän asetuksen noudattaminen siten, että otetaan huomioon kunkin yksittäisen tapauksen olosuhteet ja kunnioitetaan jokaisen henkilön oikeutta tulla kuulluksi, ennen kuin ryhdytään asianomaiseen yksittäiseen toimenpiteeseen. Jokainen Euroopan tietosuojavaltuutetun oikeudellisesti sitova toimenpide olisi esitettävä kirjallisesti, sen olisi oltava selkeä ja yksiselitteinen, siinä olisi mainittava toimenpiteen antamispäivä, sen olisi oltava Euroopan tietosuojavaltuutetun allekirjoittama ja siinä olisi annettava toimenpiteen syyt ja viitattava tehokkaita oikeussuojakeinoja koskevaan oikeuteen.

(74)

Euroopan tietosuojavaltuutetun valvontavalta ei saisi kattaa unionin tuomioistuimen lainkäyttötehtäviensä yhteydessä suorittamaa henkilötietojen käsittelyä, jotta voidaan turvata unionin tuomioistuimen riippumattomuus sen hoitaessa lainkäyttötehtäviään, päätöksenteko mukaan lukien. Tällaisissa käsittelytoimissa unionin tuomioistuimen olisi huolehdittava riippumattomasta valvonnasta perusoikeuskirjan 8 artiklan 3 kohdan mukaisesti esimerkiksi sisäisen mekanismin avulla.

(75)

Euroopan tietosuojavaltuutetun päätökset, jotka koskevat tietojenkäsittelytoimiin liittyviä, tässä asetuksessa määriteltyjä poikkeuksia, takeita, lupia ja ehtoja, olisi julkaistava toimintakertomuksessa. Vuosittain julkaistavan toimintakertomuksen lisäksi Euroopan tietosuojavaltuutettu voi julkaista kertomuksia erityisaiheista.

(76)

Euroopan tietosuojavaltuutetun olisi noudatettava Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1049/2001 (9).

(77)

Kansalliset valvontaviranomaiset seuraavat asetuksen (EU) 2016/679 soveltamista ja varmistavat osaltaan, että sitä sovelletaan yhdenmukaisesti kaikkialla unionissa, luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi sisämarkkinoilla. Jotta voidaan lisätä jäsenvaltioissa sovellettavien tietosuojasääntöjen ja unionin toimielimiin ja elimiin sovellettavien tietosuojasääntöjen soveltamisen yhdenmukaisuutta, Euroopan tietosuojavaltuutetun olisi tehtävä yhteistyötä tehokkaasti kansallisten valvontaviranomaisten kanssa.

(78)

Unionin oikeudessa säädetään tietyissä tapauksissa Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välisestä koordinoidun valvonnan mallista. Euroopan tietosuojavaltuutettu on myös Europolin valvontaviranomainen, ja tässä tarkoituksessa on otettu käyttöön kansallisten valvontaviranomaisten kanssa tehtävän yhteistyön malli neuvoa-antavana elimenä toimivan yhteistyöneuvoston kautta. Aineellisten tietosuojasääntöjen valvonnan ja täytäntöönpanon parantamiseksi unionissa olisi otettava käyttöön yksi yhtenäinen koordinoidun valvonnan malli. Komission olisi sen vuoksi tarvittaessa esitettävä lainsäädäntöehdotuksia koordinoidun valvonnan mallia koskevien unionin säädösten muuttamiseksi, jotta ne vastaisivat tämän asetuksen mukaista koordinoidun valvonnan mallia. Euroopan tietosuojaneuvoston olisi toimittava keskitettynä foorumina, jonka avulla varmistetaan tehokas koordinoitu valvonta kaikilla aloilla.

(79)

Jokaisella rekisteröidyllä olisi oltava oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle sekä oikeus tehokkaisiin oikeussuojakeinoihin unionin tuomioistuimessa perussopimusten mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos Euroopan tietosuojavaltuutettu ei käsittele kantelua, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. Kantelu olisi tutkittava siinä määrin, kuin kussakin tapauksessa on asianmukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen käsiteltäväksi. Euroopan tietosuojavaltuutetun olisi ilmoitettava rekisteröidylle kantelun käsittelyn etenemisestä ja sen ratkaisusta kohtuullisen ajan kuluessa. Jos asiassa tarvitaan koordinointia kansallisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle. Kantelujen tekemisen helpottamiseksi Euroopan tietosuojavaltuutetun olisi toteutettava toimenpiteitä, esimerkiksi toimitettava kantelulomake, joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

(80)

Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä olisi oltava oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta perussopimuksissa määrättyjen edellytysten mukaisesti.

(81)

Euroopan tietosuojavaltuutetun valvontaroolin ja tämän asetuksen tehokkaan täytäntöönpanon lujittamiseksi Euroopan tietosuojavaltuutetulla olisi oltava valtuudet määrätä hallinnollisia sakkoja viimesijaisena seuraamuksena. Sakkojen tavoitteena olisi oltava seuraamusten määrääminen unionin toimielimelle tai elimelle, pikemmin kuin yksittäiselle henkilölle, tämän asetuksen noudattamatta jättämisestä, tämän asetuksen tulevien rikkomisten ehkäiseminen ja henkilötietojen suojaan perustuvan toimintakulttuurin edistäminen unionin toimielimissä ja elimissä. Tässä asetuksessa olisi yksilöitävä rikkomiset, joista voidaan määrätä hallinnollinen sakko, ja näiden sakkojen enimmäismäärä ja määrän asettamisen perusteet. Euroopan tietosuojavaltuutetun olisi vahvistettava sakkojen määrä kussakin tapauksessa erikseen ottaen huomioon kaikki erityisen tilanteen kannalta merkittävät olosuhteet ja ottaen asianmukaisesti huomioon rikkomisen luonne, vakavuus ja kesto, sen seuraukset ja toimenpiteet, jotka on toteutettu tämän asetuksen mukaisten velvoitteiden noudattamiseksi ja rikkomisen seurausten estämiseksi tai lieventämiseksi. Määrätessään hallinnollista sakkoa unionin toimielimelle tai elimelle Euroopan tietosuojavaltuutetun olisi otettava huomioon sakon määrän oikeasuhteisuus. Unionin toimielimille ja elimille määrättäviä sakkoja koskevassa hallinnollisessa menettelyssä olisi noudatettava unionin oikeuden yleisiä periaatteita, sellaisina kuin unionin tuomioistuin niitä tulkitsee.

(82)

Jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu, hänellä olisi oltava oikeus valtuuttaa jokin voittoa tavoittelematon elin, järjestö tai yhdistys, joka on perustettu unionin oikeuden tai kansallisen lainsäädännön mukaisesti, jonka sääntömääräiset tavoitteet ovat yleisen edun mukaisia ja joka toimii henkilötietojen suojaamisen alalla, tekemään puolestaan kantelu Euroopan tietosuojavaltuutetulle. Tällaisella elimellä, järjestöllä tai yhdistyksellä olisi oltava oikeus käyttää oikeussuojakeinoja rekisteröityjen puolesta tai käyttää korvauksensaamisoikeutta rekisteröityjen puolesta.

(83)

Unionin virkamiehelle tai muulle henkilöstön jäsenelle, joka jättää täyttämättä tämän asetuksen mukaiset velvollisuutensa, olisi määrättävä kurinpito- tai muu seuraamus Euroopan unionin virkamiehiin sovellettavissa henkilöstösäännöissä ja unionin muuta henkilöstöä koskevissa palvelussuhteen ehdoissa, jotka on vahvistettu neuvoston asetuksella (ETY, Euratom, EHTY) N:o 259/68 (10), jäljempänä ”henkilöstösäännöt”, vahvistettujen sääntöjen ja menettelyjen mukaisesti.

(84)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (11) mukaisesti. Olisi käytettävä tarkastelumenettelyä, kun hyväksytään rekisterinpitäjien ja henkilötietojen käsittelijöiden välisiä sekä henkilötietojen käsittelijöiden välisiä vakiosopimuslausekkeita, kun hyväksytään luettelo käsittelytoimista, joiden toteuttamiseen henkilötietoja käsittelevien rekisterinpitäjien yleistä etua koskevan tehtävän suorittamiseksi edellytetään Euroopan tietosuojavaltuutetun ennakkokuulemista, ja kun hyväksytään vakiosopimuslausekkeita asianmukaisista suojatoimista kansainvälisiä siirtoja varten.

(85)

Luottamukselliset tiedot, joita unionin ja kansalliset tilastoviranomaiset keräävät virallisten Euroopan tilastojen ja virallisten kansallisten tilastojen laatimiseksi, olisi suojattava. Euroopan tilastoja olisi kehitettävä, ne olisi laadittava ja niitä olisi levitettävä Euroopan unionin toiminnasta tehdyn sopimuksen 338 artiklan 2 kohdassa vahvistettujen tilastollisten periaatteiden mukaisesti. Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 223/2009 (12) annetaan yksityiskohtaisempi selvitys Euroopan tilastoja koskevan tilastosalaisuuden suojaamisesta.

(86)

Asetus (EY) N:o 45/2001 ja Euroopan parlamentin, neuvoston ja komission päätös N:o 1247/2002/EY (13) olisi kumottava. Viittauksia kumottuihin asetukseen ja päätökseen olisi pidettävä viittauksina tähän asetukseen.

(87)

Riippumattoman valvontaviranomaisen jäsenten täysimääräisen riippumattomuuden turvaamiseksi tämä asetus ei saisi vaikuttaa nykyisen Euroopan tietosuojavaltuutetun ja nykyisen apulaistietosuojavaltuutetun toimikauteen. Nykyisen apulaistietosuojavaltuutetun olisi pysyttävä toimessaan toimikautensa päättymiseen saakka, jollei jokin tässä asetuksessa säädetyistä Euroopan tietosuojavaltuutetun toimikauden ennenaikaista päättymistä koskevista edellytyksistä täyty. Tämän asetuksen asiaankuuluvia säännöksiä olisi sovellettava apulaistietosuojavaltuutettuun hänen toimikautensa päättymiseen saakka.

(88)

Suhteellisuusperiaatteen mukaisesti on tarpeen ja aiheellista luonnollisten henkilöiden yhdenmukaista suojelua henkilötietojen käsittelyssä ja henkilötietojen vapaata liikkuvuutta kaikkialla unionissa koskevan perustavoitteen toteuttamiseksi säätää henkilötietojen käsittelystä unionin toimielimissä ja elimissä. Euroopan unionista tehdyn sopimuksen 5 artiklan 4 kohdan mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen aiottujen tavoitteiden saavuttamiseksi.

(89)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti, ja hän on antanut lausunnon 15 päivänä maaliskuuta 2017 (14),