Section 1 General obligations

19 artikla

Rekisterinpitäjän velvollisuudet

1.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä, ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet sen varmistamiseksi ja osoittamiseksi, että käsittely tapahtuu tämän direktiivin mukaisesti. Näitä toimenpiteitä on tarvittaessa tarkistettava ja ajantasaistettava.

2.  Kun se on oikeasuhteista käsittelytoimiin nähden, 1 kohdassa tarkoitettuihin toimenpiteisiin kuuluu, että rekisterinpitäjä toteuttaa asianmukaisia tietosuojaa koskevia menettelyjä.

20 artikla

Sisäänrakennettu ja oletusarvoinen tietosuoja

1.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä, ottaen huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset sekä käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit luonnollisen henkilön oikeuksille ja vapauksille, toteuttaa tehokkaasti käsittelytapojen määrittämisen ja itse käsittelyn yhteydessä tietosuojaperiaatteiden, kuten tietojen minimoinnin, täytäntöönpanoa varten asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten tietojen pseudonymisoinnin, jotta tarvittavat suojatoimet saataisiin sisällytettyä käsittelyn osaksi ja jotta käsittely vastaisi tämän asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin.

2.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet sen varmistamiseksi, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näillä toimenpiteillä on etenkin varmistettava, että henkilötietoja ei oletusarvoisesti saateta rajoittamattoman luonnollisten henkilöiden määrän saataville ilman henkilön myötävaikutusta.

21 artikla

Yhteiset rekisterinpitäjät

1.  Jäsenvaltioiden on säädettävä siitä, että jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisiä rekisterinpitäjiä. Ne määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin tämän direktiivin mukaisen vastuualueen, erityisesti rekisteröityjen oikeuksien käytön ja 13 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritetään rekisterinpitäjien vastuualueet. Järjestelyn puitteissa on nimettävä rekisteröidyille tarkoitettu yhteyspiste. Jäsenvaltiot voivat nimetä jonkin yhteisistä rekisterinpitäjistä toimimaan yhtenä yhteyspisteenä rekisteröidyille kysymyksissä, jotka koskevat heille kuuluvien oikeuksien käyttöä.

2.  Riippumatta 1 kohdassa tarkoitetun järjestelyn ehdoista jäsenvaltiot voivat säätää, että rekisteröity voi käyttää tämän direktiivin nojalla annettujen säännösten mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan.

22 artikla

Henkilötietojen käsittelijä

1.  Jäsenvaltioiden on säädettävä, että jos käsittely suoritetaan rekisterinpitäjän lukuun, tämä käyttää vain sellaisia henkilötietojen käsittelijöitä, jotka antavat riittävät takeet siitä, että käsittelyyn liittyvät tekniset ja organisatoriset toimet toteutetaan siten, että käsittely täyttää tämän direktiivin vaatimukset ja varmistaa rekisteröidyn oikeuksien suojelun.

2.  Jäsenvaltioiden on säädettävä siitä, että henkilötietojen käsittelijä ei käytä toisen henkilötietojen käsittelijän palveluksia ilman rekisterinpitäjän erityistä tai yleistä kirjallista lupaa. Yleisen luvan tapauksessa henkilötietojen käsittelijän on aina ilmoitettava rekisterinpitäjälle kaikista suunnitelluista muutoksista, jotka koskevat muiden käsittelijöiden lisäämistä tai vaihtamista, ja annettava siten rekisterinpitäjälle mahdollisuus vastustaa tällaisia muutoksia.

3.  Jäsenvaltioiden on säädettävä siitä, että henkilötietojen käsittelijän suorittamaa käsittelyä säännellään sopimuksella tai muulla unionin oikeuden tai jäsenvaltion lainsäädännön mukaisella oikeustoimella, joka sitoo henkilötietojen käsittelijää suhteessa rekisterinpitäjään, ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät, rekisterinpitäjän velvollisuudet ja oikeudet. Mainitussa sopimuksessa tai muussa oikeustoimessa ja on erityisesti määrättävä, että henkilötietojen käsittelijä

4.  Edellä 3 kohdassa tarkoitetun sopimuksen tai muun oikeudellisen asiakirjan on oltava kirjallinen, mikä viittaa myös sähköiseen muotoon.

5.  Jos henkilötietojen käsittelijä määrittelee tämän direktiivin vastaisesti käsittelyn tarkoitukset ja keinot, käsittelijä katsotaan rekisterinpitäjäksi kyseisen käsittelyn osalta.

23 artikla

Tietojenkäsittely rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa

Jäsenvaltioiden on säädettävä siitä, ettei henkilötietojen käsittelijä tai kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy henkilötietoihin, käsittele kyseisiä tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti, jollei unionin oikeudessa tai jäsenvaltion lainsäädännössä niin vaadita.

24 artikla

Seloste käsittelytoimista

1.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän on ylläpidettävä selostetta kaikista sen vastuulle kuuluvista käsittelytoimien ryhmistä. Seloste käsittää kaikki seuraavat tiedot:

2.  Jäsenvaltioiden on säädettävä siitä, että henkilötietojen käsittelijä ylläpitää selostetta kaikista rekisterinpitäjien lukuun suoritettavista henkilötietojen käsittelytoimien ryhmistä siten, että seloste käsittää seuraavat tiedot:

3.  Edellä 1 ja 2 kohdassa tarkoitetun selosteen on oltava kirjallinen, mikä viittaa myös sähköiseen muotoon.

Rekisterinpitäjän ja henkilötietojen käsittelijän on pyydettäessä esitettävä saatavilla olevat selosteet valvontaviranomaiselle.

25 artikla

Lokitiedot

1.  Jäsenvaltioiden on säädettävä siitä, että ainakin seuraavista automatisoiduissa käsittelyjärjestelmissä suoritettavista käsittelytoimista on säilytettävä lokitiedot: tietojen kerääminen, muuttaminen, kysely, luovuttaminen siirrot mukaan lukien, yhdistäminen ja poistaminen. Kyselyjä ja luovutuksia koskevien lokitietojen avulla on pystyttävä toteamaan kyseisten toimien perusteet, toteutuspäivä ja -aika sekä mahdollisuuksien mukaan henkilötietoja hakeneen tai niitä luovuttaneen henkilön tiedot ja näiden henkilötietojen vastaanottajien henkilöllisyys.

2.  Lokitietoja on käytettävä ainoastaan käsittelyn lainmukaisuuden tarkistamiseen, omaehtoiseen valvontaan, henkilötietojen eheyden ja turvallisuuden varmistamiseen sekä rikosoikeudellisiin menettelyihin.

3.  Rekisterinpitäjän ja henkilötietojen käsittelijän on pyynnöstä asetettava lokitiedot valvontaviranomaisen saataville.

26 artikla

Yhteistyö valvontaviranomaisen kanssa

Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ja henkilötietojen käsittelijä pyynnöstä tekevät yhteistyötä valvontaviranomaisen kanssa sen tehtävien suorittamiseksi.

27 artikla

Tietosuojaa koskeva vaikutustenarviointi

1.  Jos tietyntyyppinen käsittely etenkin uutta teknologiaa käytettäessä todennäköisesti aiheuttaa käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset huomioon ottaen luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin, jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä toteuttaa ennen käsittelyä arvioinnin suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojaan.

2.  Edellä 1 kohdassa tarkoitetussa arvioinnissa on esitettävä vähintään yleinen kuvaus suunnitelluista käsittelytoimista, arvio rekisteröidyn oikeuksiin ja vapauksiin kohdistuvista riskeistä, toimet, joiden avulla riskeihin on tarkoitus puuttua, sekä suojatoimet, turvatoimet ja -mekanismit, joilla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä direktiiviä on noudatettu, ottaen huomioon rekisteröityjen ja muiden asianomaisten oikeudet ja oikeutetut edut.

28 artikla

Valvontaviranomaisen ennakkokuuleminen

1.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä tai henkilötietojen käsittelijä kuulee valvontaviranomaista ennen henkilötietojen käsittelyä, joka muodostaa osan uutta, tekeillä olevaa rekisteriä, jos

2.  Jäsenvaltioiden on säädettävä siitä, että valvontaviranomaista kuullaan valmisteltaessa kansallisen parlamentin hyväksyntää varten ehdotusta lainsäädäntötoimenpiteeksi tai tällaiseen lainsäädäntötoimenpiteeseen perustuvaa sääntelytoimenpidettä, joka liittyy käsittelyyn.

3.  Jäsenvaltioiden on säädettävä siitä, että valvontaviranomainen voi laatia luettelon käsittelytoimista, joihin sovelletaan 1 kohdassa tarkoitettua ennakkokuulemista.

4.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä toimittaa valvontaviranomaiselle 27 artiklan mukaisen tietosuojaa koskevan vaikutustenarvioinnin ja pyynnöstä mahdolliset muut tiedot, joiden avulla valvontaviranomainen voi arvioida käsittelyn vaatimustenmukaisuutta ja erityisesti riskejä rekisteröidyn henkilötietojen suojan kannalta ja tähän liittyviä suojatoimia.

5.  Jäsenvaltioiden on säädettävä siitä, että jos valvontaviranomainen katsoo, että suunniteltu tämän artiklan 1 kohdassa tarkoitettu käsittely rikkoisi tämän direktiivin nojalla annettuja säännöksiä, erityisesti jos rekisterinpitäjä ei ole yksilöinyt tai lieventänyt riittävästi riskiä, valvontaviranomainen antaa enintään kuuden viikon kuluessa kuulemispyynnön vastaanottamisesta kirjallisesti ohjeet rekisterinpitäjälle ja mahdolliselle henkilötietojen käsittelijälle, ja se voi käyttää 47 artiklassa tarkoitettuja valtuuksiaan. Määräaikaa voidaan jatkaa kuukaudella ottaen huomioon suunnitellun käsittelyn monimutkaisuus. Valvontaviranomaisen on ilmoitettava rekisterinpitäjälle ja mahdolliselle henkilötietojen käsittelijälle mahdollisesta jatketusta määräajasta sekä viivästymisen syistä kuukauden kuluessa kuulemispyynnön vastaanottamisesta.