PERUSTELUT

EXPOSICIÓN DE MOTIVOS

1. EHDOTUKSEN TAUSTA

1. Contexto de la propuesta

Näissä perusteluissa esitellään yksityiskohtaisesti henkilötietojen suojaa koskevassa EU:n uudessa lainsäädäntökehyksessä sovellettu lähestymistapa. Uudistusta käsitellään myös tiedonannossa COM(2012) 9 final. Lainsäädäntökehys käsittää kaksi säädösehdotusta, jotka ovat

La presente exposición de motivos presenta en detalle el enfoque del nuevo marco jurídico para la protección de los datos personales en la UE como se establece en la Comunicación COM (2012) 9 final. El marco jurídico consta de dos propuestas legislativas:

– ehdotus Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus), ja

– una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), y

– ehdotus Euroopan parlamentin ja neuvoston direktiiviksi yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta.

– una propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las autoridades competentes a efectos de la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, y a la libre circulación de estos datos.

Nämä perustelut koskevat jälkimmäistä ehdotusta.

La presente exposición de motivos se refiere a esta última propuesta legislativa.

Kun EU:n nykyisen tietosuojalainsäädännön keskeinen säädös, direktiivi 95/46/EY[1], annettiin vuonna 1995, sillä oli kaksi tavoitetta: suojata tietosuojaa koskeva perusoikeus ja taata henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä. Sitä täydennettiin useilla säädöksillä, joissa vahvistettiin tietosuojasäännöt poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla[2] (entinen kolmas pilari), kuten puitepäätös 2008/977/YOS[3].

La piedra angular de la legislación vigente de la UE en materia de protección de datos, la Directiva 95/46/CE[1], fue adoptada en 1995 con un doble objetivo: defender el derecho fundamental a la protección de datos y garantizar la libre circulación de datos personales entre los Estados miembros. Se complementó con varios instrumentos que establecen normas específicas sobre protección de datos en el ámbito de la cooperación policial y judicial en materia penal[2] (antiguo tercer pilar), incluida la Decisión Marco 2008/977/JAI[3].

Eurooppa-neuvosto kehotti komissiota arvioimaan EU:n tietosuojasäädösten toimivuutta ja esittämään tarvittaessa sekä lainsäädäntöä koskevia että muita ehdotuksia.[4] Euroopan parlamentti katsoi Tukholman ohjelmaa koskevassa päätöslauselmassaan[5], että EU:ssa olisi laadittava kattava järjestelmä henkilötietojen suojaamiseksi, ja kehotti muun muassa tarkistamaan puitepäätöstä. Komissio puolestaan korosti Tukholman ohjelman toteuttamista koskevassa toimintasuunnitelmassaan[6] tarvetta varmistaa, että henkilötietojen suojaa koskevaa perusoikeutta sovelletaan johdonmukaisesti kaikkien EU:n politiikkojen yhteydessä. Toimintasuunnitelmassa korostettiin, että ”nopeiden teknologisten muutosten leimaamassa globaalissa yhteiskunnassa, jossa tietojenvaihto ei tunne rajoja, on erityisen tärkeää huolehtia yksityisyyden suojasta. EU:n on varmistettava, että tietosuojaa koskevaa perusoikeutta noudatetaan johdonmukaisesti. Meidän on huolehdittava siitä, että EU:ssa omaksutaan tiukempi asenne henkilötietojen suojaamiseen kaikilla politiikanaloilla, lainvalvonta ja rikoksentorjunta mukaan luettuina, sekä kansainvälisissä suhteissa.”

El Consejo Europeo invitó a la Comisión a evaluar el funcionamiento de los instrumentos de la UE en materia de protección de datos y a presentar, en caso necesario, nuevas iniciativas legislativas y no legislativas[4]. En su resolución sobre el Programa de Estocolmo, el Parlamento Europeo[5] acogió favorablemente un régimen general de protección de datos en la UE y, entre otras cosas, abogó por la revisión de la Decisión Marco. En su Plan de acción por el que se aplica el programa de Estocolmo[6], la Comisión subrayó la necesidad de garantizar que el derecho fundamental a la protección de datos de carácter personal se aplique de forma coherente en el contexto de todas las políticas de la UE. El Plan de Acción subrayaba que «en una sociedad global caracterizada por la rapidez del cambio tecnológico, donde el intercambio de información no conoce fronteras, es especialmente importante proteger la intimidad. La Unión debe garantizar la aplicación coherente del derecho fundamental a la protección de datos. Debemos reforzar la posición de la UE en cuanto a la protección de los datos personales en el contexto de todas las políticas de la UE, incluida la represión policial y la prevención de la delincuencia, así como en nuestras relaciones internacionales.».

Tiedonannossaan Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa[7] komissio katsoi, että EU:ssa tarvitaan nykyistä kattavampi ja johdonmukaisempi politiikka henkilötietojen suojaa koskevan perusoikeuden toteuttamiseksi.

En su Comunicación titulada «Un enfoque global de la protección de los datos personales en la Unión Europea»[7], la Comisión concluyó que la UE necesita una política más integradora y coherente en materia del derecho fundamental de la protección de datos de carácter personal.

Puitepäätöksen 2008/977/YOS soveltamisala on rajallinen, sillä päätöstä sovelletaan vain valtioiden rajat ylittävään tietojenkäsittelyyn eikä poliisi- ja oikeusviranomaisten kansallisella tasolla suorittamaan tietojenkäsittelyyn. Tämä on omiaan aiheuttamaan ongelmia poliisille ja muille toimivaltaisille viranomaisille rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla. Viranomaisten on toisinaan vaikea erottaa toisistaan puhtaasti kansallinen ja toisaalta rajatylittävä käsittely tai arvioida, siirretäänkö henkilötietoja mahdollisesti myöhemmin toiseen valtioon (ks. 2 jakso jäljempänä). Lisäksi puitepäätös antaa luonteensa ja sisältönsä vuoksi jäsenvaltioille hyvin laajat toimintamahdollisuudet kansallisten täytäntöönpanotoimenpiteiden osalta. Puitepäätöksessä ei myöskään säädetä minkäänlaisista keinoista tai tietosuojatyöryhmän kaltaisesta neuvoa-antavasta ryhmästä, joilla tuettaisiin puitepäätöksen säännösten yhdenmukaista tulkitsemista. Siinä ei myöskään anneta komissiolle täytäntöönpanovaltuuksia, joiden avulla se voisi varmistaa, että päätöksen täytäntöönpanoon sovelletaan yhdenmukaista lähestymistapaa.

La Decisión Marco 2008/977/JAI tiene un ámbito de aplicación limitado, ya que solo se aplica al tratamiento transfronterizo de datos y no a las actividades de tratamiento por parte de las autoridades policiales y judiciales a nivel puramente nacional. Ello puede crear dificultades a las autoridades policiales y otras autoridades competentes en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial. No son siempre capaces de distinguir fácilmente entre el tratamiento meramente nacional y el transfronterizo no de prever si determinados datos personales pueden convertirse en objeto de un intercambio transfronterizo en una fase posterior (véase la sección 2). Además, por su naturaleza y contenido, la Decisión Marco deja un amplio margen de maniobra a los Estados miembros para transponer sus disposiciones de Derecho interno. Por otra parte, no contiene ningún mecanismo o grupo consultivo similar al Grupo del artículo 29 que sustente una interpretación común de sus disposiciones, ni establece competencias de ejecución de la Comisión a fin de garantizar un enfoque común en su aplicación.

Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT-sopimus’, 16 artiklan 1 kohdassa vahvistetaan periaate, jonka mukaan jokaisella on oikeus henkilötietojensa suojaan. Lisäksi Lissabonin sopimuksella otettiin käyttöön SEUT-sopimuksen 16 artiklan 2 kohdassa vahvistettu erityinen oikeusperusta, jonka nojalla voidaan antaa henkilötietojen suojaa koskevia sääntöjä ja jota sovelletaan myös rikosasioissa tehtävään oikeudelliseen yhteistyöhön ja poliisiyhteistyöhön. Euroopan unionin perusoikeuskirjan 8 artiklassa vahvistetaan, että henkilötietojen suoja on perusoikeus. SEUT-sopimuksen 16 artiklassa edellytetään, että lainsäätäjä vahvistaa säännöt yksilöiden suojelusta henkilötietojen käsittelyssä myös rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla, sekä rajatylittävän että jäsenvaltion sisällä tapahtuvan henkilötietojen käsittelyn osalta. Näin voidaan suojella luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan sekä samalla turvata henkilötietojen vaihto rikosten torjumista, tutkimista, selvittämistä tai syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Näin edistetään rikollisuuden torjumiseen tähtäävää yhteistyötä Euroopassa.

El artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE) establece el principio según el cual toda persona tiene derecho a la protección de los datos de carácter personal. Además, con el artículo 16, apartado 2, del TFUE, el Tratado de Lisboa introduce una base jurídica específica para la adopción de normas relativas a la protección de los datos personales que también se aplica a la cooperación judicial en materia penal y la cooperación policial. El artículo 8 de la Carta de los Derechos Fundamentales de la UE consagra como derecho fundamental la protección de los datos personales. El artículo 16 del TFUE obliga al legislador a establecer normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, también en los ámbitos de la cooperación judicial en materia penal y la cooperación policial, que comprende tanto el tratamiento de datos personales transfronterizo como el nacional. Ello permitirá que se protejan los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, garantizando al mismo tiempo el intercambio de datos personales con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales. Todo ello contribuirá a facilitar la cooperación en el ámbito de la lucha contra la delincuencia en Europa.

Poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön erityisluonne huomioon ottaen julistuksessa 21[8] tunnustettiin, että SEUT-sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja näiden tietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.

Debido a la naturaleza específica del ámbito de la cooperación policial y judicial en materia penal, en la Declaración 21[8] se reconoció que podrían requerirse normas específicas para la protección de datos de carácter personal y la libre circulación de dichos datos en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial que se basen en el artículo 16 del TFUE.

2. KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET

2. Resultados de la consulta de las partes interesadas y evaluación de impacto

Tätä aloitetta varten on kuultu laajalti kaikkia keskeisiä sidosryhmiä henkilötietojen suojaa koskevan voimassa olevan oikeudellisen kehyksen tarkistamisesta. Julkinen kuuleminen järjestettiin kahdessa vaiheessa:

Esta iniciativa es el resultado de una amplia consulta con todas las partes interesadas sobre la revisión del actual marco jurídico para la protección de datos de carácter personal, que incluyó dos fases de consulta pública:

– 9. heinäkuuta – 31. joulukuuta 2009 järjestettiin kuuleminen henkilötietojen suojaa koskevan perusoikeuden oikeudellisista puitteista. Komissio sai 168 vastausta, joista 127 yksityishenkilöiltä, liikemaailman järjestöiltä ja yhdistyksiltä ja 12 viranomaisilta. Kaikki kannanotot, jotka eivät ole luottamuksellisia, ovat nähtävissä komission verkkosivustolla[9].

– Del 9 de julio al 31 de diciembre de 2009, la Consulta sobre el marco jurídico para el derecho fundamental a la protección de datos de carácter personal. La Comisión recibió 168 respuestas, 127 de personas físicas, organizaciones y asociaciones empresariales, y 12 de autoridades públicas. Las respuestas no confidenciales pueden consultarse en el sitio internet de la Comisión[9].

– 4. marraskuuta 2010 – 15. tammikuuta 2011 järjestettiin kuuleminen komission kattavasta lähestymistavasta henkilötietojen suojaan Euroopan unionissa. Komissio sai 305 vastausta, joista 54 kansalaisilta, 31 viranomaisilta ja 220 yksityisiltä organisaatioilta, erityisesti liikemaailman yhdistyksiltä ja valtiosta riippumattomilta järjestöiltä. Kaikki kannanotot, jotka eivät ole luottamuksellisia, ovat nähtävissä komission verkkosivustolla[10].

– Del 4 de noviembre de 2010 al 15 de enero de 2011, la Consulta sobre el enfoque global de la Comisión sobre la protección de datos de carácter personal en la Unión Europea. La Comisión recibió 305 respuestas, de las cuales 54 procedían de ciudadanos, 31 de autoridades públicas y 220 de organizaciones privadas, especialmente de asociaciones empresariales y organizaciones no gubernamentales. Las respuestas no confidenciales pueden consultarse en el sitio internet de la Comisión[10].

Kyseisissä kuulemisissa keskityttiin etupäässä direktiivin 95/46/EY tarkistamiseen. Lisäksi lainvalvonnan sidosryhmille järjestettiin kohdennettuja kuulemisia, erityisesti 29. kesäkuuta 2010 jäsenvaltioiden viranomaisten kanssa järjestetty tietosuojasääntöjen soveltamista koskeva konferenssi, joka oli suunnattu viranomaisille ja jossa käsiteltiin muun muassa poliisiyhteistyötä ja rikosasioissa tehtävää oikeudellista yhteistyötä. Lisäksi komissio järjesti 2. helmikuuta 2011 jäsenvaltioiden viranomaisten kanssa työpajan, jossa keskusteltiin puitepäätöksen 2008/977/YOS täytäntöönpanosta ja laajemmin tietosuojaan liittyvistä kysymyksistä poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla.

Habida cuenta de que dichas consultas se centraron en gran medida en la revisión de la Directiva 95/46/CE, se llevaron a cabo consultas específicas con los servicios con funciones coercitivas; en particular, el 29 de junio de 2010 se organizó un seminario con las autoridades de los Estados miembros sobre la aplicación de las normas de protección de datos a las autoridades públicas, incluso en el ámbito de la cooperación judicial en materia penal y la cooperación policial. Además, el 2 de febrero de 2011, la Comisión convocó un seminario con las autoridades de los Estados miembros para debatir sobre la aplicación de la Decisión Marco 2008/977/JAI del Consejo y, más en general, cuestiones de protección de datos en el ámbito de la cooperación judicial en materia penal y la cooperación policial.

EU:n kansalaisia kuultiin marras–joulukuussa 2010 tehdyssä eurobarometrikyselyssä[11]. Lisäksi käynnistettiin useita selvityksiä.[12] Tietosuojatyöryhmä[13] esitti komissiolle useita lausuntoja, jotka sisälsivät hyödyllisiä kommentteja.[14] Myös Euroopan tietosuojavaltuutettu esitti kattavan lausunnon komission marraskuussa 2010 antamassa tiedonannossa esitetyistä kysymyksistä.[15]

Se consultó a los ciudadanos de la UE mediante un Eurobarómetro realizado en noviembre-diciembre de 2010[11]. También se pusieron en marcha varios estudios[12]. El «Grupo del Artículo 29»[13] emitió varios dictámenes y presentó observaciones útiles a la Comisión[14]. El Supervisor Europeo de Protección de Datos también emitió un dictamen general sobre los temas planteados en la Comunicación de la Comisión de noviembre de 2010[15].

Euroopan parlamentti hyväksyi 6. heinäkuuta 2011 antamassaan päätöslauselmassa[16] kertomuksen, joka tukee tietosuojakehyksen uudistusta koskevaa komission lähestymistapaa. Euroopan unionin neuvosto hyväksyi 24. helmikuuta 2011 päätelmät, joissa se antaa laajan tukensa komission pyrkimyksille tietosuojakehyksen uudistamiseksi ja hyväksyy monet komission lähestymistavan osatekijät. Myös Euroopan talous- ja sosiaalikomitea kannatti komission yleistä pyrkimystä varmistaa EU:n tietosuojasääntöjen yhdenmukaisempi soveltaminen kaikissa jäsenvaltioissa direktiiviä 95/46/EY tarkistamalla.[17]

Mediante su Resolución de 6 de julio de 2011 el Parlamento Europeo aprobó un informe que respaldaba el planteamiento de la Comisión para reformar el marco de la protección de datos[16]. El 24 de febrero de 2011, el Consejo de la Unión Europea adoptó las conclusiones en las que respalda en términos generales la intención de la Comisión de reformar el marco de la protección de datos, y concuerda con muchos elementos del planteamiento de la Comisión. El Comité Económico y Social Europeo también apoyó el impulso general de la Comisión destinado a garantizar una aplicación más coherente de las normas de protección de datos de la UE en todos los Estados miembros y una revisión adecuada de la Directiva 95/46/CE[17].

Komissio on arvioinut eri toimintavaihtoehtojen vaikutuksia parempaa sääntelyä koskevan politiikan mukaisesti.[18] Vaikutustenarvioinnin perustaksi otettiin kolme toimintatavoitetta, joiden avulla pyritään parantamaan tietosuojan sisämarkkinaulottuvuutta, tehostamaan yksilöiden tietosuojaoikeuksien käyttöä ja luomaan kattava ja johdonmukainen säädöskehys, joka kattaa kaikki unionin toimivaltaan kuuluvat alat, myös poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön. Erityisesti viimeisen tavoitteen osalta tarkasteltiin kahta toimintavaihtoehtoa: ensimmäisessä on kyse tätä alaa koskevien tietosuojasääntöjen soveltamisalan laajentamisesta sekä puitepäätöksen puutteiden ja muiden ongelmien korjaamisesta ja toisessa, kauaskantoisemmassa vaihtoehdossa esitetään kuvailevat ja tarkat säännöt sekä muutetaan välittömästi kaikkia aiemman kolmannen pilarin säädöksiä. Kolmas, suppea vaihtoehto perustui enimmäkseen tulkitseviin tiedonantoihin ja toimintapoliittisiin tukitoimiin, kuten rahoitusohjelmiin ja teknisiin välineisiin, ja käsitti vain vähän lainsäädännöllisiä toimia. Sitä ei kuitenkaan pidetty asianmukaisena vaihtoehtona tällä alalla havaittujen tietosuojaa koskevien ongelmien ratkaisemiseen.

De conformidad con su política «Legislar mejor», la Comisión realizó una evaluación de impacto de distintas posibilidades de actuación[18]. La evaluación de impacto se basó en tres objetivos estratégicos: mejorar la dimensión de mercado interior de la protección de datos, hacer más efectivo el ejercicio de los derechos de protección de datos por los ciudadanos y crear un marco global y coherente que abarque todos los ámbitos de competencia de la Unión, incluida la cooperación policial y judicial en materia penal. Respecto a este último objetivo en particular, se evaluaron dos opciones estratégicas: una primera que básicamente amplía el ámbito de aplicación de las normas de protección de datos en este campo y aborda las carencias y otras cuestiones planteadas por la Decisión Marco, y una segunda de mayor alcance, con normas muy prescriptivas y estrictas, que también entrañaría la modificación inmediata de todos los demás instrumentos del «antiguo tercer pilar». Una tercera opción «minimalista», basada en gran medida en comunicaciones interpretativas y en medidas de apoyo político, tales como programas de financiación y herramientas técnicas, con una mínima intervención legislativa, no se consideró apropiada para tratar las cuestiones señaladas en este ámbito en relación con la protección de datos.

Komission vakiintuneen käytännön mukaisesti kutakin toimintavaihtoehtoa arvioitiin yksiköiden välisen ohjausryhmän avulla tarkastelemalla sen vaikuttavuutta toimintatavoitteiden saavuttamisessa, taloudellisia vaikutuksia sidosryhmiin (muun muassa EU:n toimielinten talousarvioon), sosiaalisia vaikutuksia ja vaikutusta perusoikeuksiin. Ympäristövaikutuksia ei tarkasteltu erikseen.

Con arreglo a la metodología consolidada de la Comisión, cada opción fue evaluada, con ayuda de un grupo director interservicios, en función de su efectividad a la hora de alcanzar los objetivos estratégicos, su impacto económico en los interesados (también sobre el presupuesto de las instituciones de la UE), su impacto social y su incidencia en los derechos fundamentales. No se examinó el impacto en el medio ambiente.

Kokonaisvaikutusten analyysin perusteella laadittiin parhaaksi arvioitu toimintavaihtoehto, joka esitetään tässä ehdotuksessa. Arvioinnin mukaan tämän vaihtoehdon täytäntöönpanon avulla voidaan lujittaa edelleen tietosuojaa tällä politiikanalalla erityisesti ottamalla huomioon myös jäsenvaltion sisällä tapahtuva tietojen käsittely. Näin voidaan lisätä toimivaltaisten viranomaisten oikeusvarmuutta rikosasioissa tehtävässä oikeudellisessa yhteistyössä ja poliisiyhteistyössä.

El análisis del impacto global llevó al desarrollo de la opción estratégica preferida, que se ha incorporado en la presente propuesta. Según la evaluación, su ejecución conducirá a un mayor refuerzo de la protección de datos en este ámbito, mediante la inclusión, en particular, del tratamiento de datos a escala nacional, gracias a lo cual también se logrará una mayor seguridad jurídica para las autoridades competentes en los ámbitos de la cooperación judicial en materia penal y la cooperación policial.

Vaikutustenarviointilautakunta antoi alustavasta arvioinnista lausuntonsa 9. syyskuuta 2011. Sen perusteella vaikutustenarviointiin tehtiin erityisesti seuraavat muutokset:

El 9 de septiembre de 2011, el Comité de Evaluación de Impacto (CEI) emitió un dictamen sobre el proyecto de evaluación de impacto. A raíz del dictamen del CEI, se introdujeron en la evaluación de impacto, entre otros, los cambios siguientes:

– nykyisen säädöskehyksen tavoitteita selkeytettiin (missä määrin ne on saavutettu ja miltä osin niitä ei ole saavutettu), samoin suunnitellun uudistuksen tavoitteita;

– se aclararon los objetivos del marco jurídico en vigor (en qué medida se alcanzaron y en qué medida no se lograron), y los objetivos de la reforma prevista;

– ongelman määrittelyä koskevassa jaksossa esitettiin enemmän näyttöä ja lisää selityksiä/täsmennyksiä.

– en la sección consagrada a la definición de problemas se añadieron más elementos de prueba y explicaciones/aclaraciones adicionales.

Lisäksi komissio laati puitepäätöksen 2008/977/YOS 29 artiklan 2 kohdan mukaisen täytäntöönpanokertomuksen, joka on tarkoitus hyväksyä osana tätä tietosuojapakettia.[19] Jäsenvaltioiden toimittamiin tietoihin perustuvan kertomuksen tuloksia on hyödynnetty vaikutustenarviointia laadittaessa.

La Comisión elaboró también un informe de ejecución relativo a la Decisión Marco 2008/977/JAI, basado en su artículo 29, apartado 2, que se ha de adoptar formando parte del presente paquete de protección de datos[19]. Las conclusiones del informe, que se basa en las aportaciones realizadas por los Estados miembros, también se incluyeron en la preparación de la evaluación de impacto.

3. EHDOTUKSEN OIKEUDELLINEN SISÄLTÖ 3.1. Oikeusperusta

3. ASPECTOS JURÍDICOS DE LA PROPUESTA 3.1. Base jurídica

Ehdotus perustuu SEUT-sopimuksen 16 artiklan 2 kohtaan, joka on Lissabonin sopimuksella käyttöön otettu uusi oikeusperusta. Sen nojalla voidaan antaa luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, silloin kun viimeksi mainitut toteuttavat unionin oikeuden soveltamisalaan kuuluvaa toimintaa, suorittamaa henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

La propuesta se basa en el artículo 16, apartado 2, del TFUE, que es una nueva base jurídica específica introducida por el Tratado de Lisboa para la adopción de normas relativas a la protección de las personas físicas con respecto al tratamiento de datos de carácter personal por parte de las instituciones, órganos y organismos, y por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y de normas relativas a la libre circulación de estos datos.

Ehdotuksen tarkoituksena on varmistaa yhdenmukainen ja korkeatasoinen tietosuoja tällä alalla, jotta voidaan lujittaa eri jäsenvaltioiden poliisi- ja oikeusviranomaisten keskinäistä luottamusta ja helpottaa tietojen vapaata liikkuvuutta ja yhteistyötä poliisi- ja oikeusviranomaisten välillä.

La propuesta tiene por objeto garantizar un nivel uniforme y elevado de protección de los datos en este ámbito, reforzando así la confianza mutua entre las autoridades policiales y judiciales de los distintos Estados miembros y facilitando la libre circulación de datos y la cooperación entre las autoridades policiales y judiciales.

3.2. Toissijaisuus ja suhteellisuus

3.2. Subsidiariedad y proporcionalidad

Euroopan unionista tehdyn sopimuksen, jäljempänä ’SEU-sopimus’, 5 artiklan 3 kohdassa vahvistetun toissijaisuusperiaatteen mukaisesti unionin tasolla olisi toteutettava toimia vain, jos jäsenvaltiot eivät voi yksin riittävällä tavalla saavuttaa suunnitellun toiminnan tavoitteita, vaan ne voidaan ehdotetun toiminnan laajuuden tai vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Edellä esitettyjen ongelmien perusteella toissijaisuusperiaatteen analysointi osoittaa, että EU:n tason toiminta on tarpeen poliisiyhteistyön alalla ja rikosoikeudellisissa asioissa seuraavista syistä:

Con arreglo al principio de subsidiariedad (artículo 5, apartado 3, del TUE), la Unión solo debe intervenir en caso de que los objetivos perseguidos no puedan ser alcanzados de manera suficiente por los Estados miembros por sí solos, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la Unión. A la luz de los problemas esbozados anteriormente, el análisis de subsidiariedad indica la necesidad de adoptar iniciativas a escala de la UE en los ámbitos policial y de justicia penal por las razones siguientes:

– Oikeus henkilötietojen suojaan vahvistetaan perusoikeuskirjan 8 artiklassa ja SEUT-sopimuksen 16 artiklan 1 kohdassa, ja se edellyttää, että tietosuojan on oltava samantasoinen kaikkialla unionissa. Lisäksi tietosuojan on oltava samantasoinen, onpa sitten kyse jäsenvaltioiden välillä vaihdettavista tiedoista tai jäsenvaltion sisällä käsiteltävistä tiedoista.

– El derecho a la protección de datos de carácter personal, consagrado en el artículo 8 de la Carta de los Derechos Fundamentales y en el artículo 16, apartado 1, del TFUE, requiere el mismo nivel de protección de datos en toda la Unión. Requiere el mismo nivel de protección para los datos intercambiados y los datos tratados a escala nacional.

– Jäsenvaltioiden lainvalvontaviranomaisten on käsiteltävä ja vaihdettava tietoja tihenevään tahtiin kansainvälisen rikollisuuden ja terrorismin ehkäisemiseksi ja torjumiseksi. Ottamalla EU:n tasolla käyttöön selkeät ja johdonmukaiset tietosuojasäännöt voidaan edistää kyseisten viranomaisten yhteistyötä.

– Existe una necesidad creciente de que los servicios con funciones coercitivas de los Estados miembros sometan a tratamiento e intercambien datos a velocidades cada vez mayores con el fin de prevenir y luchar contra el terrorismo y la delincuencia transnacionales. En este contexto, la existencia de normas claras y coherentes en materia de protección de datos a escala de la UE ayudará a fomentar la cooperación entre dichas autoridades.

– Lisäksi tietosuojalainsäädännön täytäntöönpanon valvontaan liittyy käytännön ongelmia. Jäsenvaltioiden ja niiden viranomaisten olisi tehtävä keskenään yhteistyötä, jota olisi koordinoitava EU:n tasolla, jotta voidaan varmistaa unionin oikeuden yhdenmukainen soveltaminen. Eräissä tilanteissa EU:lla on parhaat edellytykset varmistaa tehokkaasti ja johdonmukaisesti samantasoinen yksilöiden suojelu silloin kun heidän henkilötietojaan siirretään kolmansiin maihin.

– Además, existen retos prácticos a la ejecución de la legislación de protección de datos y la necesidad de cooperación entre los Estados miembros y sus autoridades, que tiene que organizarse a escala de la UE para garantizar la aplicación uniforme del Derecho de la Unión. En determinadas situaciones, la UE es la que está en mejores condiciones para garantizar de forma efectiva y coherente el mismo nivel de protección de los ciudadanos cuando sus datos personales se transfieren a terceros países.

– Jäsenvaltiot eivät nykytilanteessa voi yksinään vähentää näitä ongelmia, etenkään silloin kun ne liittyvät kansallisten lainsäädäntöjen hajanaisuuteen. Sen vuoksi tarvitaan yhtenäinen ja johdonmukainen kehys, jonka perusteella henkilötietoja voidaan siirtää sujuvasti jäsenvaltioiden välillä ja varmistaa samalla kaikkien yksilöiden tehokas suojelu kaikkialla EU:ssa.

– Por sí solos los Estados miembros no pueden mitigar los problemas que se plantean en la situación actual, especialmente los debidos a la fragmentación de las legislaciones nacionales. Por tanto, existe una necesidad específica de establecer un marco armonizado y coherente que permita una adecuada transferencia de datos personales a través de las fronteras interiores de la UE, al tiempo que se garantiza una protección efectiva a todas las personas físicas en la UE.

– Ehdotetut EU:n lainsäädäntötoimet ovat ongelmien luonteen ja mittakaavan vuoksi todennäköisesti vaikuttavampia kuin jäsenvaltioiden tasolla toteutetut vastaavat toimet, koska ne eivät rajoitu yhden tai vain muutaman jäsenvaltion tasolle.

– Es probable que las iniciativas legislativas de la UE propuestas sean más efectivas que acciones similares adoptadas a nivel de los Estados miembros debido a la naturaleza y magnitud de los problemas, que no se circunscriben al ámbito de uno o varios Estados miembros.

Suhteellisuusperiaate edellyttää, että kaikki toimet ovat kohdennettuja eivätkä ylitä sitä, mikä on tarpeen tavoitteiden saavuttamiseksi. Suhteellisuusperiaate on ohjannut koko prosessia eri toimintavaihtoehtojen määrittämisestä ja arvioinnista säädösehdotuksen laatimiseen asti.

El principio de proporcionalidad requiere que cualquier intervención tenga una finalidad específica y no vaya más allá de lo necesario para alcanzar sus objetivos. Este principio ha servido de guía en la elaboración de la presente propuesta, desde la identificación y evaluación de las opciones políticas alternativas a la redacción de la propuesta legislativa.

Direktiivillä voidaan parhaiten varmistaa yhdenmukaisuus EU:n tasolla tällä alalla ja samalla antaa jäsenvaltioille riittävästi liikkumavaraa periaatteiden, sääntöjen ja niitä koskevien poikkeusten täytäntöönpanossa kansallisella tasolla. Koska poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön aloilla käsiteltävien henkilötietojen suojaamista koskevat nykyiset kansalliset säännöt ovat hyvin monimutkaiset ja tällä direktiivillä on tarkoitus kattavasti yhdenmukaistaa näitä sääntöjä, komission on pyydettävä jäsenvaltioilta selittäviä asiakirjoja, joissa kuvataan direktiivin eri osa-alueiden ja kansallisten täytäntöönpanosäännösten suhdetta, jotta se kykenee valvomaan direktiivin saattamista kansalliseen lainsäädäntöön.

La Directiva es, por consiguiente, el mejor instrumento para garantizar en este ámbito la armonización a nivel de la UE y dejar, al mismo tiempo, a los Estados miembros la flexibilidad necesaria a la hora de aplicar los principios, las normas y sus exenciones a nivel nacional. Dada la complejidad de las normas nacionales vigentes relativas a la protección de datos personales tratados en el ámbito de la cooperación policial y la cooperación judicial en materia penal, y habida cuenta del objetivo de armonización global de estas normas por medio de la presente Directiva, la Comisión tendrá que solicitar a los Estados miembros que faciliten documentos explicativos que aclaren la relación existente entre los componentes de la Directiva y las partes correspondientes de los instrumentos nacionales de transposición, a fin de poder llevar a cabo su tarea de supervisión de la transposición de la presente Directiva.

3.3. Tiivistelmä perusoikeuksiin liittyvistä kysymyksistä

3.3. Resumen de las cuestiones relativas a los derechos fundamentales

Oikeus henkilötietojen suojaan vahvistetaan EU:n perusoikeuskirjan 8 artiklassa, SEUT-sopimuksen 16 artiklassa ja Euroopan ihmisoikeussopimuksen 8 artiklassa. Kuten Euroopan unionin tuomioistuin on korostanut[20], oikeus henkilötietojen suojaan ei ole absoluuttinen, vaan sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa[21]. Tietosuoja liittyy läheisesti yksityis- ja perhe-elämän kunnioittamiseen, josta määrätään perusoikeuskirjan 7 artiklassa. Tämän vuoksi direktiivin 95/46/EY 1 artiklan 1 kohdassa säädetään, että jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.

El derecho a la protección de los datos de carácter personal se establece en el artículo 8 de la Carta de los Derechos Fundamentales de la UE, en el artículo 16 del TFUE y en el artículo 8 del CEDH. Como subrayó el Tribunal de Justicia de la UE[20], el derecho a la protección de datos de carácter personal no es un derecho absoluto, sino que se ha de considerar en relación con su función en la sociedad[21]. La protección de datos está estrechamente vinculada al respeto de la vida privada y familiar establecido en el artículo 7 de la Carta. Ello se refleja en el artículo 1, apartado 1, de la Directiva 95/46/CE, que establece que los Estados miembros garantizarán la protección de las libertades y de los derechos fundamentales de las personas físicas, y en particular del derecho a la intimidad, en lo que respecta al tratamiento de datos personales.

Lisäksi tietosuojauudistus voi koskea seuraavia perusoikeuskirjassa vahvistettuja perusoikeuksia: esimerkiksi rotuun, etniseen alkuperään, geneettisiin ominaisuuksiin, uskontoon tai vakaumukseen, poliittisiin tai muihin mielipiteisiin, vammaisuuteen tai sukupuoliseen suuntautumiseen perustuvan syrjinnän kielto (21 artikla), lapsen oikeudet (24 artikla) ja oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen (47 artikla).

Otros derechos fundamentales potencialmente afectados y consagrados en la Carta son la prohibición de cualquier tipo de discriminación, y en particular la ejercida por razón de raza, orígenes étnicos, características genéticas, religión o convicciones, opiniones políticas o de cualquier otro tipo, discapacidad u orientación sexual (artículo 21); los derechos del niño (artículo 24) y el derecho a la tutela judicial efectiva y a un juez imparcial (artículo 47).

3.4. Ehdotuksen yksityiskohtainen kuvaus 3.4.1. I LUKU – YLEISET SÄÄNNÖKSET

3.4. Exposición detallada de la propuesta 3.4.1. CAPÍTULO I – DISPOSICIONES GENERALES

Ehdotuksen 1 artiklassa määritellään direktiivin kohde eli säännöt, jotka koskevat henkilötietojen käsittelyä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Lisäksi siinä vahvistetaan direktiivin kaksi tavoitetta, jotka ovat suojella luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan ja samalla turvata yleisen turvallisuuden korkeatasoinen suoja sekä taata henkilötietojen vaihtaminen toimivaltaisten viranomaisten kesken unionissa.

El artículo 1 define el objeto de la Directiva, es decir, las normas relativas al tratamiento de datos personales con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y fija el doble objetivo de la Directiva, a saber, proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, al tiempo que se garantiza un alto nivel de seguridad pública, y asegurar el intercambio de datos personales entre las autoridades competentes dentro de la Unión.

Ehdotuksen 2 artiklassa määritellään direktiivin soveltamisala. Soveltamisalaa ei ole rajoitettu koskemaan pelkästään valtioiden rajat ylittävää tietojenkäsittelyä, vaan direktiiviä sovelletaan kaikkeen ’toimivaltaisten viranomaisten’ (sellaisina kuin ne on määritelty direktiivin 3 artiklan 14 kohdassa) suorittamaan tietojenkäsittelyyn. Direktiiviä ei sovelleta henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, eikä unionin toimielinten, elinten ja laitosten suorittamaan tietojenkäsittelyyn, josta säädetään erikseen asetuksessa (EY) N:o 45/2001 ja muissa säädöksissä.

El artículo 2 define el ámbito de aplicación de la Directiva, que no se limita al tratamiento transfronterizo de datos, sino que se aplica a todas las operaciones de tratamiento efectuadas por «autoridades competentes» (tal como se definen en el artículo 3, apartado 14), a los efectos de la Directiva. La Directiva no se aplica ni al tratamiento en el ejercicio de una actividad que no esté comprendida en el ámbito de aplicación del Derecho de la Unión, ni a las operaciones de tratamiento efectuadas por instituciones, órganos y organismos de la Unión, que están sujetas al Reglamento (CE) nº 45/2001 y otras normas específicas.

Ehdotuksen 3 artiklassa määritellään direktiivissä käytetyt käsitteet. Osa määritelmistä on otettu suoraan direktiivistä 95/46/EY ja puitepäätöksestä 2008/977/YOS, eräitä määritelmiä taas on muokattu tai täydennetty. Uusia määritelmiä ovat ’henkilötietojen tietoturvaloukkaus’, ’geneettiset tiedot’ ja ’biometriset tiedot’, ’toimivaltaiset viranomaiset’ (SEUT-sopimuksen 87 artiklan sekä puitepäätöksen 2008/977/YOS 2 artiklan h alakohdan mukaisesti) sekä ’lapsi’ lapsen oikeuksia koskevan YK:n yleissopimuksen mukaisesti[22].

El artículo 3 incluye las definiciones de los términos utilizados en la Directiva. Mientras que algunas definiciones se han tomado de la Directiva 95/46/CE y la Decisión Marco 2008/977/JAI, otras se modifican, complementadas con elementos adicionales o nuevos. Los nuevos conceptos son los de «violación de datos personales», «datos genéticos» y «datos biométricos», «autoridades competentes» [sobre la base del artículo 87, del TFUE y el artículo 2, letra h), de la Decisión Marco 2008/977/JAI], y «niño», basado en la Convención de las Naciones Unidas sobre los Derechos del Niño[22].

3.4.2. II LUKU – PERIAATTEET

3.4.2. CAPÍTULO II - PRINCIPIOS

Ehdotuksen 4 artiklassa vahvistetaan henkilötietojen käsittelyä koskevat periaatteet, jotka vastaavat direktiivin 95/46/EY 6 artiklaa sekä puitepäätöksen 2008/977/YOS 3 artiklaa, joita on mukautettu vastaamaan tätä direktiiviä.

El artículo 4 establece los principios relativos al tratamiento de datos personales, inspirándose en el artículo 6 de la Directiva 95/46/CE y en el artículo 3 de la Decisión Marco 2008/977/JAI, aunque adaptándolos al contexto específico de la presente Directiva.

Ehdotuksen 5 artiklan mukaisesti on mahdollisuuksien mukaan eroteltava toisistaan eri ryhmiin kuuluvia rekisteröityjä koskevat henkilötiedot. Kyseessä on uusi säännös, jota ei ollut direktiivissä 95/46/EY eikä puitepäätöksessä 2008/977/YOS, mutta jollaista komissio esitti alkuperäisessä ehdotuksessaan puitepäätökseksi[23]. Se perustuu Euroopan neuvoston suositukseen R (87)15. Vastaavat säännöt on jo vahvistettu Europolin[24] ja Eurojustin[25] osalta.

El artículo 5 exige la distinción, en la medida de lo posible, entre datos de carácter personal de diferentes categorías de interesados. Se trata de una nueva disposición, que no figura ni en la Directiva 95/46/CE ni en la Decisión Marco 2008/977/JAI, pero que había sido propuesta por la Comisión en su propuesta original en relación con la Decisión Marco[23]. Está inspirada en la Recomendación del Consejo de Europa R (87) 15. Ya existen normas similares para Europol[24] y Eurojust[25].

Ehdotuksen 6 artikla, joka koskee henkilötietojen eriasteista tarkkuutta ja luotettavuutta, perustuu Euroopan neuvoston suosituksessa R (87)15 olevaan periaatteeseen 3.2. Samanlaisia sääntöjä esitettiin komission ehdotuksessa puitepäätökseksi, ja vastaavat säännöt on vahvistettu Europolin osalta[26].

El artículo 6 sobre los diferentes grados de precisión y fiabilidad refleja el principio 3.2 de la Recomendación del Consejo de Europa R (87) 15. Existen normas similares para Europol, también incluidas en la propuesta de la Comisión relativa a la Decisión Marco[26].

Ehdotuksen 7 artiklassa vahvistetaan lainmukaisen käsittelyn perusteet, joihin voi tarvittaessa kuulua toimivaltaisen viranomaisen kansalliseen lainsäädäntöön perustuvan tehtävän suorittaminen, rekisterinpitäjän lakisääteisen velvoitteen noudattaminen, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaaminen tai jäsenvaltion yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estäminen. Muut direktiivin 95/46/EY 7 artiklassa esitetyt lainmukaisen käsittelyn perusteet eivät sovellu tietojen käsittelyyn poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla.

El artículo 7 establece los fundamentos para el tratamiento lícito, cuando resulte necesario para la ejecución de una tarea realizada por una autoridad competente, sobre la base de la legislación nacional, para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, con el fin de proteger los intereses vitales del interesado o de otra persona, o para evitar una amenaza inminente y grave para la seguridad pública. Los demás fundamentos para el tratamiento lícito que figuran en el artículo 7 de la Directiva 95/46/CE no son adecuados para el tratamiento en los ámbitos policial y de la justicia penal.

Ehdotuksen 8 artiklassa säädetään erityisiä tietoryhmiä koskevasta yleisestä käsittelykiellosta ja tätä pääsääntöä koskevista poikkeuksista direktiivin 95/46/EY 8 artiklan pohjalta. Artiklaan on lisätty maininta geneettisistä tiedoista Euroopan ihmisoikeustuomioistuimen oikeuskäytännön[27] pohjalta.

El artículo 8 establece una prohibición general del tratamiento de categorías especiales de datos personales y las excepciones a esta norma general, inspirándose en el artículo 8 de la Directiva 95/46/CE y añadiendo los datos genéticos, a raíz de la jurisprudencia del Tribunal Europeo de Derechos Humanos[27].

Ehdotuksen 9 artiklassa kielletään ainoastaan automaattiseen tietojenkäsittelyyn perustuvat toimenpiteet, ellei niitä ole erikseen sallittu laissa, jossa säädetään asianmukaisista takeista, puitepäätöksen 2008/977/YOS 7 artiklan mukaisesti.

El artículo 9 establece la prohibición de las medidas basadas únicamente en el tratamiento automático de datos personales si no se autorizan por ley, ofreciendo las garantías apropiadas, de conformidad con el artículo 7 de la Decisión Marco 2008/977/JAI.

3.4.3. III LUKU – REKISTERÖIDYN OIKEUDET

3.4.3. CAPÍTULO III – DERECHOS DEL INTERESADO

Ehdotuksen 10 artiklassa asetetaan jäsenvaltioille helposti saatavan ja ymmärrettävän tiedon vaatimus, joka perustuu erityisesti henkilötietojen ja yksityisyyden suojaa koskevista kansainvälisistä standardeista annetun Madridin päätöslauselman[28] periaatteeseen nro 10. Lisäksi siinä velvoitetaan rekisterinpitäjät ottamaan käyttöön menettelyt ja mekanismit, joiden avulla rekisteröidyt voivat helpommin käyttää oikeuksiaan. Tähän sisältyy myös vaatimus periaatteessa maksuttomasta oikeuksien käytöstä.

El artículo 10 introduce la obligación de los Estados miembros de ofrecer información de fácil acceso y comprensión, inspirada especialmente en el principio 10 de la Resolución de Madrid relativa a estándares internacionales sobre protección de datos personales y privacidad[28], y obliga a los responsables del tratamiento a establecer procedimientos y mecanismos para facilitar el ejercicio de los derechos del interesado. Ello incluye la obligación de que el ejercicio de los derechos sea en principio gratuito.

Ehdotuksen 11 artiklassa velvoitetaan jäsenvaltiot huolehtimaan siitä, että rekisteröidylle ilmoitetaan tietojenkäsittelystä. Velvoitteet perustuvat direktiivin 95/46/EY 10 ja 11 artiklaan, mutta niitä ei ole jaettu eri artikloihin sen mukaan, kerätäänkö tiedot rekisteröidyltä vai ei. Lisäksi artiklassa laajennetaan rekisteröidylle annettavia tietoja. Siinä vahvistetaan poikkeukset ilmoittamisvelvoitteesta, jos nämä poikkeukset ovat oikeasuhteisia sekä välttämättömiä demokraattisessa yhteiskunnassa toimivaltaisten viranomaisten tehtävien suorittamiseksi (direktiivin 95/46/EY 13 artiklan ja puitepäätöksen 2008/977/YOS 17 artiklan mukaisesti).

En el artículo 11 se especifica la obligación de los Estados miembros de garantizar la información al interesado. Estas obligaciones se fundamentan en los artículos 10 y 11 de la Directiva 95/46/CE, sin que distintos artículos distingan si la información se recoge del interesado o no, y ampliando el espectro de la información que se ha de facilitar. Este artículo establece excepciones a la obligación de informar, cuando tales excepciones sean proporcionadas y necesarias en una sociedad democrática para el ejercicio de las tareas de las autoridades competentes (de conformidad con el artículo 13 de la Directiva 95/46/CE y el artículo 17 de la Decisión Marco 2008/977/JAI).

Ehdotuksen 12 artiklassa velvoitetaan jäsenvaltiot huolehtimaan siitä, että rekisteröidyllä on oikeus saada häntä itseään koskevia henkilötietoja. Se vastaa direktiivin 95/46/EY 12 artiklan a alakohtaa, johon on lisätty uusia elementtejä, jotka koskevat rekisteröidyille ilmoittamista (säilytysaikaa, oikeutta oikaista ja poistaa tietoja, rajoittaa käsittelyä ja oikeutta tehdä valitus).

El artículo 12 establece la obligación de los Estados miembros de garantizar el derecho del interesado a acceder a sus datos personales. Se inspira en el artículo 12, letra a), de la Directiva 95/46/CE, añadiendo nuevos elementos para la información de los interesados (relativos al periodo de conservación, sus derechos de rectificación, supresión o restricción y a presentar una reclamación).

Ehdotuksen 13 artiklassa säädetään, että jäsenvaltiot voivat hyväksyä tiedonsaantioikeutta rajoittavia lainsäädäntötoimenpiteitä, jos tämä on tarpeen poliisi- ja rikosoikeuden alalla suoritettavan tietojenkäsittelyn erityisen luonteen takia. Lisäksi artiklassa säädetään puitepäätöksen 2008/977/YOS 17 artiklan 2 ja 3 kohdan mukaisesti siitä, että rekisteröidylle on ilmoitettava tiedonsaantioikeuden rajoittamisesta.

El artículo 13 establece que los Estados miembros podrán adoptar medidas legislativas que restrinjan el derecho de acceso, si así lo exige la naturaleza específica del tratamiento de datos en los ámbitos policial y de la justicia penal, y sobre la información del interesado relativa a una restricción de acceso, de conformidad con el artículo 17, apartados 2 y 3, de la Decisión Marco 2008/977/JAI.

Ehdotuksen 14 artiklassa vahvistetaan sääntö, jonka mukaan silloin kun suoraa tiedonsaantia on rajoitettu, rekisteröidylle on ilmoitettava mahdollisuudesta saada tietoa epäsuorasti valvontaviranomaisen kautta. Valvontaviranomaisen olisi käytettävä tiedonsaantioikeutta rekisteröidyn puolesta ja ilmoitettava rekisteröidylle tarkistuksen tuloksista.

El artículo 14 dispone que, cuando se restrinja el acceso directo, el interesado debe ser informado de la posibilidad de recurrir al acceso indirecto a través de la autoridad de control, que debe ejercer el derecho en su nombre y ha de informar al interesado del resultado de sus verificaciones.

Ehdotuksen 15 artikla, joka koskee oikeutta tietojen oikaisemiseen, perustuu direktiivin 95/46/EY 12 artiklan b alakohtaan. Velvollisuudet, jotka koskevat kieltäytymistä tietojen oikaisemisesta, perustuvat puitepäätöksen 2008/977/YOS 18 artiklan 1 kohtaan.

El artículo 15 sobre el derecho de rectificación se inspira en el artículo 12, letra b), de la Directiva 95/46/CE; y, por lo que se refiere a las obligaciones en caso de denegación, en el artículo 18, apartado 1, de la Decisión Marco 2008/977/JAI.

Ehdotuksen 16 artikla, joka koskee oikeutta tietojen poistamiseen, perustuu direktiivin 95/46/EY 12 artiklan b alakohtaan. Velvollisuudet, jotka koskevat kieltäytymistä tietojen poistamisesta, perustuvat puitepäätöksen 2008/977/YOS 18 artiklan 1 kohtaan. Lisäksi siihen on sisällytetty oikeus pyytää eräissä tapauksissa tietojen merkitsemistä. Tämä korvaa direktiivin 95/46/EY 12 artiklan b alakohdassa ja puitepäätöksen 2008/977/YOS 18 artiklan 1 kohdassa käytetyn epämääräisen ilmauksen ’suojaaminen’.

El artículo 16 sobre el derecho de supresión se inspira en el artículo 12, letra b), de la Directiva 95/46/CE y, por lo que se refiere a las obligaciones en caso de denegación, en el artículo 18, apartado 1, de la Decisión Marco 2008/977/JAI. Este artículo integra también el derecho a que se marque el tratamiento en determinados casos, sustituyendo el término ambiguo «bloqueo», utilizado en el artículo 12, letra b), de la Directiva 95/46/CE y en el artículo 18, apartado 1, de la Decisión Marco 2008/977/JAI.

Ehdotuksen 17 artiklassa selkeytetään puitepäätöksen 2008/977/YOS 4 artiklan 4 kohdan pohjalta henkilötietojen oikaisemista ja poistamista sekä käsittelyn rajoittamista oikeudenkäyntien yhteydessä.

El artículo 17 sobre la rectificación, supresión y restricción del tratamiento en los procedimientos judiciales aporta precisiones sobre la base del artículo 4, apartado 4, de la Decisión Marco 2008/977/JAI.

3.4.4. IV LUKU – REKISTERINPITÄJÄ JA HENKILÖTIETOJEN KÄSITTELIJÄ 3.4.4.1. 1 JAKSO – YLEISET VELVOLLISUUDET

3.4.4. CAPÍTULO IV – RESPONSABLE Y ENCARGADO DEL TRATAMIENTO 3.4.4.1. SECCIÓN 1 - OBLIGACIONES GENERALES

Ehdotuksen 18 artiklassa kuvataan rekisterinpitäjän velvollisuutta noudattaa tätä direktiiviä ja valvoa sen noudattamista, mukaan lukien noudattamisen varmistamiseksi tarvittavien toimintamenetelmien ja mekanismien hyväksyminen.

El artículo 18 describe la obligación del responsable del tratamiento de ajustarse a lo establecido en la presente Directiva y garantizar su cumplimiento, incluida la adopción de políticas y mecanismos a tal efecto.

Ehdotuksen 19 artiklan mukaan jäsenvaltioiden on varmistettava, että rekisterinpitäjä noudattaa sisäänrakennetun tietosuojan ja oletusarvoisen tietosuojan periaatteisiin liittyviä velvollisuuksia.

El artículo 19 establece que los Estados miembros deben velar por que el responsable del tratamiento cumpla las obligaciones que emanan de los principios de la protección de datos desde el diseño y por defecto.

Ehdotuksen 20 artiklassa selkeytetään yhteisten rekisterinpitäjien keskinäisiä suhteita.

El artículo 20 relativo a los corresponsables del tratamiento aclara su situación por lo que respecta a su relación interna.

Ehdotuksen 21 artiklassa selkeytetään henkilötietojen käsittelijöiden asemaa ja velvollisuuksia, jotka perustuvat osittain direktiivin 95/46/EY 17 artiklan 2 kohtaan. Niihin myös lisätään uusia tekijöitä, kuten se, että jos henkilötietojen käsittelijä käsittelee tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti, sitä on pidettävä kyseisen käsittelyn osalta rekisterinpitäjänä.

El artículo 21 aclara la posición y la obligación de los encargados del tratamiento, inspirándose en parte en el artículo 17, apartado 2, de la Directiva 95/46/CE, y añadiendo nuevos elementos, incluido que un encargado que trate datos más allá de las instrucciones del responsable del tratamiento ha de ser considerado corresponsable.

Ehdotuksen 22 artikla koskee tietojenkäsittelyä rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa ja perustuu direktiivin 95/46/EY 16 artiklaan.

El artículo 22, relativo al tratamiento efectuado bajo la autoridad del responsable y el encargado del tratamiento, se inspira en el artículo 16 de la Directiva 95/46/CE.

Ehdotuksen 23 artiklassa velvoitetaan rekisterinpitäjät ja henkilötietojen käsittelijät säilyttämään vastuullaan olevia käsittelyjärjestelmiä ja menettelyjä koskevat asiakirjat.

El artículo 23 introduce la obligación de que los responsables y encargados del tratamiento conserven la documentación de todos los sistemas y procedimientos de tratamiento que estén bajo su responsabilidad.

Ehdotuksen 24 artikla koskee kirjaamista ja perustuu puitepäätöksen 2008/977/YOS 10 artiklan 1 kohtaan. Säännöksiä on kuitenkin selkeytetty edelleen.

El artículo 24 se refiere a la conservación de registros, de conformidad con el artículo 10, apartado 1, de la Decisión Marco 2008/977, al tiempo que aporta nuevas precisiones.

Ehdotuksen 25 artiklassa selkeytetään rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuutta tehdä yhteistyötä valvontaviranomaisen kanssa.

El artículo 25 aclara las obligaciones del responsable y del encargado del tratamiento en relación con la cooperación con la autoridad de control.

Ehdotuksen 26 artikla koskee tapauksia, joissa valvontaviranomaista on kuultava ennen tietojenkäsittelyä, ja perustuu puitepäätöksen 2008/977/YOS 23 artiklaan.

El artículo 26 se refiere a los casos en que es obligatorio consultar a la autoridad de control antes del tratamiento, inspirado en el artículo 23 de la Decisión Marco 2008/977/JAI.

3.4.4.2. 2 JAKSO – TIETOTURVALLISUUS

3.4.4.2. SECCIÓN 2 - SEGURIDAD DE LOS DATOS

Ehdotuksen 27 artikla, joka koskee tietojenkäsittelyn turvallisuutta, perustuu direktiivin 95/46/EY 17 artiklan 1 kohtaan sekä puitepäätöksen 2008/977/YOS 22 artiklaan. Siinä laajennetaan tietoturvallisuuteen liittyvät velvollisuudet koskemaan myös henkilötietojen käsittelijöitä riippumatta siitä, millainen sopimus niillä on rekisterinpitäjän kanssa.

El artículo 27, relativo a la seguridad del tratamiento, se inspira en el actual artículo 17, apartado 1, de la Directiva 95/46/CE, relativo a la seguridad del tratamiento, y en el artículo 22 de la Decisión Marco 2008/977/JAI, por el que se amplían las obligaciones correspondientes a los encargados del tratamiento, con independencia de su contrato con el responsable del tratamiento.

Ehdotuksen 28 ja 29 artiklassa säädetään velvollisuudesta ilmoittaa henkilötietojen tietoturvaloukkauksista. Säännökset perustuvat vastaavan sisältöiseen sähköisen viestinnän tietosuojadirektiivin 2002/58/EY 4 artiklan 3 kohtaan, ja niissä selkeytetään ja erotetaan toisistaan velvoitteet ilmoittaa valvontaviranomaiselle (28 artikla) ja ilmoittaa tietyissä tilanteissa rekisteröidylle (29 artikla). Ehdotuksen 29 artiklassa säädetään myös poikkeuksista viittaamalla 11 artiklan 4 kohtaan.

Inspirados en la notificación de la violación de datos personales contemplada en el artículo 4, apartado 3, de la Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas, los artículos 28 y 29 introducen la obligación de notificar las violaciones de datos personales, aclarando y separando las obligaciones de notificar a la autoridad de control (artículo 28) y de comunicar, en determinadas circunstancias, al interesado (artículo 29). El artículo 29 establece también exenciones haciendo referencia al artículo 11, apartado 4.

3.4.4.3. 3 JAKSO – TIETOSUOJAVASTAAVA

3.4.4.3. SECCIÓN 3 - DELEGADO DE PROTECCIÓN DE DATOS

Ehdotuksen 30 artiklassa velvoitetaan rekisterinpitäjä nimittämään tietosuojavastaava, jonka on suoritettava 32 artiklassa luetellut tehtävät. Jos useat toimivaltaiset viranomaiset toimivat yhden, rekisterinpitäjän tehtäviä hoitavan keskusviranomaisen valvonnassa, ainakin kyseinen keskusviranomainen on nimitettävä tietosuojavastaavaksi. Direktiivin 95/46/EY 18 artiklan 2 kohdassa säädettiin jäsenvaltioiden mahdollisuudesta ottaa käyttöön tällainen vaatimus kyseiseen direktiiviin perustuvan yleisen ilmoitusmenettelyn sijasta.

El artículo 30 introduce la obligación para el responsable del tratamiento de designar obligatoriamente a un delegado de protección de datos que debe cumplir las tareas que figuran en el artículo 32. Cuando varias autoridades competentes actúen bajo la supervisión de una autoridad central que opere en calidad de responsable del tratamiento, al menos esta autoridad central debe designar a un delegado de protección de datos. El artículo 18, apartado 2, de la Directiva 95/46/CE contemplaba la posibilidad de que los Estados miembros introdujesen tal requisito en lugar de la obligación de notificación general establecida en dicha Directiva.

Ehdotuksen 31 artiklassa säädetään tietosuojavastaavan asemasta.

El artículo 31 establece la función del delegado de protección de datos.

Ehdotuksen 32 artiklassa vahvistetaan tietosuojavastaavan tehtävät.

El artículo 32 establece las tareas del delegado de protección de datos.

3.4.5. V LUKU – HENKILÖTIETOJEN SIIRTO KOLMANSIIN MAIHIN TAI KANSAINVÄLISILLE JÄRJESTÖILLE

3.4.5. CAPÍTULO V – TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES

Ehdotuksen 33 artiklassa vahvistetaan yleiset periaatteet henkilötietojen siirrolle kolmansiin maihin tai kansainvälisille järjestöille poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla, tietojen edelleensiirrot mukaan lukien. Siinä täsmennetään, että tietoja voidaan siirtää kolmansiin maihin vain, jos siirto on tarpeen rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten.

El artículo 33 establece los principios generales para las transferencias de datos a terceros países u organizaciones internacionales en el ámbito de la cooperación policial y la cooperación judicial en materia penal, incluidas las transferencias ulteriores. Este artículo aclara que las transferencias a terceros países sólo podrán llevarse a cabo si son necesarias para la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales o la ejecución de sanciones penales.

Ehdotuksen 34 artiklassa säädetään, että henkilötietoja voidaan siirtää kolmanteen maahan, jos komissio on asetuksen (EU) N:o …/../201X mukaisesti päättänyt, että kyseinen kolmas maa tarjoaa riittävän tietosuojan tason, tai nimenomaisesti poliisiyhteistyön ja rikosasioissa tehtävän oikeudellisen yhteistyön alalla tai, jos tällaista päätöstä ei ole tehty, jos on annettu asianmukaiset takeet. Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, direktiivissä säädetään, että siirron perusteeksi riittävät asianmukaiset takeet ja poikkeukset. Lisäksi artiklassa vahvistetaan kriteerit, jotka komission on otettava huomioon arvioidessaan tietosuojan tason riittävyyttä ja joita ovat oikeusvaltioperiaate, oikeudelliset muutoksenhakukeinot ja riippumaton valvonta. Artiklassa säädetään myös, että komissio voi arvioida tietosuojan tason riittävyyttä tietyllä kolmannen maan alueella tai tietojenkäsittelyn sektorilla. Artiklassa myös säädetään, että yleisen tietosuoja-asetuksen 38 artiklan menettelyjen mukaisesti tehtyä tietosuojan tason riittävyyttä koskevaa yleistä päätöstä sovelletaan tämän direktiivin puitteissa. Vaihtoehtoisesti komissio voi erikseen tehdä päätöksen tietosuojan tason riittävyydestä tämän direktiivin tarkoituksia varten.

El artículo 34 establece que se pueden realizar transferencias a cualquier tercer país en relación con el cual la Comisión haya adoptado una decisión de adecuación, con arreglo al Reglamento …./../201X o, más específicamente, en el ámbito de la cooperación policial y la cooperación judicial en materia penal, o, en ausencia de tales decisiones, cuando se den las garantías apropiadas. Mientras no existan decisiones de adecuación, la Directiva garantiza que las transferencias pueden seguir llevándose a cabo, siempre que existan las garantías y excepciones adecuadas. Además, la Directiva fija los criterios que deberán tenerse en cuenta para que la Comisión evalúe si existe o no un nivel adecuado de protección y entre ellos se incluyen expresamente el Estado de Derecho, el recurso jurisdiccional y la supervisión independiente. El artículo contempla también la posibilidad de que la Comisión evalúe el nivel de protección que ofrece un territorio o un sector de tratamiento en un tercer país. Establece también que, en el ámbito de aplicación de la presente Directiva, será aplicable una decisión general de adecuación adoptada con arreglo a los procedimientos establecidos en el artículo 38 del Reglamento general de protección de datos. Alternativamente, la Comisión puede adoptar una decisión de adecuación exclusivamente a los fines de la presente Directiva.

Ehdotuksen 35 artiklassa määritellään asianmukaiset takeet, jotka tarvitaan ennen kansainvälisiä henkilötietojen siirtoja, ellei komissio ole tehnyt päätöstä tietosuojan tason riittävyydestä. Nämä takeet voidaan antaa oikeudellisesti sitovassa välineessä, kuten kansainvälisessä sopimuksessa. Vaihtoehtoisesti rekisterinpitäjä voi todeta takeiden olemassaolon arvioituaan siirtoon liittyviä seikkoja.

El artículo 35 define las garantías apropiadas que se necesitan antes de efectuar transferencias internacionales, en ausencia de una decisión de adecuación de la Comisión. Estas garantías pueden ser invocadas mediante un instrumento jurídicamente vinculante, como un acuerdo internacional. Alternativamente, el responsable del tratamiento puede, sobre la base de una evaluación de las circunstancias que concurran en la transferencia, concluir que existen.

Ehdotuksen 36 artiklassa luetellaan direktiivin 95/46/EY 26 artiklaan ja puitepäätöksen 2008/977/YOS 13 artiklaan perustuen poikkeukset, joiden nojalla henkilötietojen siirto voidaan sallia.

El artículo 36 especifica las excepciones para la transferencia de datos, inspirándose en el artículo 26 de la Directiva 95/46/CE y el artículo 13 de la Decisión Marco 2008/977/JAI.

Ehdotuksen 37 artiklassa velvoitetaan jäsenvaltiot säätämään, että rekisterinpitäjän on ilmoitettava henkilötietojen vastaanottajalle käsittelyn rajoituksista sekä toteutettava kaikki kohtuulliset toimet varmistaakseen, että henkilötietojen vastaanottajat kolmannessa maassa tai kansainvälisessä järjestössä noudattavat näitä rajoituksia.

El artículo 37 obliga a los Estados miembros a disponer que el responsable del tratamiento informe al destinatario de toda restricción al tratamiento y tome todas las medidas razonables para garantizar que los destinatarios de los datos personales en el tercer país u organización internacional cumplen estas restricciones.

Ehdotuksen 38 artiklassa säädetään komission ja kolmansien maiden valvontaviranomaisten käyttöön tarkoitetuista henkilötietojen suojaamista koskevista kansainvälisistä yhteistyömekanismeista. Tämä koskee erityisesti niitä kolmansia maita, joiden katsotaan tarjoavan riittävän tietosuojan tason, kun otetaan huomioon Taloudellisen yhteistyön ja kehityksen järjestön (OECD) 12. kesäkuuta 2007 antama suositus rajatylittävästä yhteistyöstä yksityisyydensuojaa koskevan lainsäädännön täytäntöönpanon alalla.

El artículo 38 establece explícitamente mecanismos de cooperación internacional para la protección de los datos personales entre la Comisión y las autoridades de control de terceros países, en particular aquellos que se considere que ofrecen un nivel de protección adecuado, teniendo en cuenta la Recomendación de la OCDE relativa a la cooperación transfronteriza en la aplicación de las legislaciones que protegen la privacidad, de 12 de junio de 2007.

VI LUKU – KANSALLISET VALVONTAVIRANOMAISET

CAPÍTULO VI – AUTORIDADES NACIONALES DE CONTROL

3.4.5.1. 1 JAKSO – RIIPPUMATON ASEMA

3.4.5.1. SECCIÓN 1 - INDEPENDENCIA

Ehdotuksen 39 artiklassa, joka perustuu direktiivin 95/46/EY 28 artiklan 1 kohtaan ja puitepäätöksen 2008/977/YOS 25 artiklaan, jäsenvaltiot velvoitetaan perustamaan valvontaviranomaiset ja lisätään viranomaisten tehtäviin direktiivin johdonmukaisen soveltamisen edistäminen koko unionissa. Valvontaviranomaisena voi toimia yleisen tietosuoja-asetuksen mukaisesti perustettu valvontaviranomainen.

Sobre la base del artículo 28, apartado 1, de la Directiva 95/46/CE y el artículo 25 de la Decisión Marco 2008/977/JAI, que amplía la misión de las autoridades de control para que contribuyan a la aplicación coherente de la Directiva en toda la Unión, el artículo 39 obliga a los Estados miembros a crear autoridades de control, que pueden ser la creada en virtud del Reglamento general de protección de datos.

Ehdotuksen 40 artiklassa selkeytetään valvontaviranomaisten riippumattomuuden edellytyksiä panemalla täytäntöön Euroopan unionin tuomioistuimen oikeuskäytäntö[29]. Lisäksi säännös perustuu asetuksen (EY) N:o 45/2001[30] 44 artiklaan.

El artículo 40, que aplica la jurisprudencia del Tribunal de Justicia de la UE[29], aclara las condiciones para la independencia de las autoridades de control, inspirado también en el artículo 44 del Reglamento (CE) nº 45/2001[30].

Ehdotuksen 41 artiklassa vahvistetaan valvontaviranomaisen jäseniä koskevat yleiset edellytykset. Säännös perustuu asiaa koskevaan oikeuskäytäntöön[31] ja asetuksen (EY) N:o 45/2001 42 artiklan 2–6 kohtaan.

El artículo 41 establece las condiciones generales aplicables a los miembros de la autoridad de control, en aplicación de la jurisprudencia pertinente[31] e inspirado también en el artículo 42, apartados 2 a 6, del Reglamento (CE) nº 45/2001.

Ehdotuksen 42 artiklassa vahvistetaan valvontaviranomaisen perustamista koskevat säännöt sekä sen jäseniä koskevat edellytykset, jotka on sisällytettävä jäsenvaltioiden lainsäädäntöön.

El artículo 42 establece las normas relativas a la creación de la autoridad de control, incluidas las condiciones de sus miembros, que han de establecer los Estados miembros por ley.

Ehdotuksen 43 artikla, jossa säädetään valvontaviranomaisen jäsenten ja henkilöstön vaitiolovelvollisuudesta, perustuu direktiivin 95/46/EY 28 artiklan 7 kohtaan ja puitepäätöksen 2008/977/YOS 25 artiklan 4 kohtaan.

El artículo 43, relativo al secreto profesional de los miembros y el personal de la autoridad de control, sigue lo dispuesto en el artículo 28, apartado 7, de la Directiva 95/46/CE y el artículo 25, apartado 4, de la Decisión Marco 2008/977/JAI.

3.4.5.2. 2 JAKSO – TEHTÄVÄT JA VALTUUDET

3.4.5.2. SECCIÓN 2 - FUNCIONES Y PODERES

Ehdotuksen 44 artiklassa määritellään direktiivin 95/46/EY 28 artiklan 6 kohtaan ja puitepäätöksen 2008/977/YOS 25 artiklan 1 kohtaan perustuen valvontaviranomaisten toimivalta. Tuomioistuimet on vapautettu valvontaviranomaisen valvonnasta silloin kun ne käyttävät tuomiovaltaansa, mutta niiden on siitä huolimatta sovellettava tietosuojaa koskevia aineellisia sääntöjä.

El artículo 44 establece la competencia de las autoridades de control, sobre la base del artículo 28, apartado 6, de la Directiva 95/46/CE y el artículo 25, apartado 1, DE la Decisión Marco 2008/977/JAI. Cuando ejercen su función jurisdiccional, los órganos jurisdiccionales están exentos de la supervisión por parte de la autoridad de control, aunque no de la aplicación de las normas sustantivas en materia de protección de datos.

Ehdotuksen 45 artiklassa velvoitetaan jäsenvaltiot säätämään valvontaviranomaisen tehtävistä, joita ovat muun muassa valitusten käsittely ja tutkiminen sekä tietosuojaan liittyvistä riskeistä, säännöistä, takeista ja oikeuksista tiedottaminen kansalaisille. Tämän direktiivin osalta valvontaviranomaisten on käytettävä tiedonsaantioikeutta rekisteröidyn puolesta, jos tältä kielletään suora tiedonsaanti tai rajoitetaan sitä. Lisäksi valvontaviranomaisten on varmistettava tietojenkäsittelyn lainmukaisuus.

El artículo 45 establece la obligación de los Estados miembros de disponer las funciones de la autoridad de control, especialmente la admisión a trámite y la investigación de las reclamaciones y el fomento de la sensibilización de la opinión pública sobre riesgos, normas, garantías y derechos. Cuando se deniegue o restrinja el acceso directo, una función propia de las autoridades de control en el contexto de la presente Directiva es el ejercicio del derecho de acceso por cuenta de los interesados y de verificación de la licitud del tratamiento de datos.

Ehdotuksen 46 artiklassa vahvistetaan direktiivin 95/46/EY 28 artiklan 3 kohtaan ja puitepäätöksen 2008/977/YOS 25 artiklan 2 ja 3 kohtaan perustuen valvontaviranomaisen valtuudet.

El artículo 46 establece los poderes de la autoridad de control, basándose en el artículo 28, apartado 3, de la Directiva 95/46/CE y el artículo 25, apartados 2 y 3, de la Decisión Marco 2008/977/JAI. Inspirado en el artículo 28, apartado 5, de la Directiva 95/46/CE, el artículo 47 obliga a las autoridades de control a elaborar informes anuales de actividad.

Ehdotuksen 47 artiklassa velvoitetaan valvontaviranomaiset laatimaan vuotuinen toimintakertomus. Säännös perustuu direktiivin 95/46/EY 28 artiklan 5 kohtaan.

3.4.6. CAPÍTULO VII - COOPERACIÓN Y COHERENCIA

3.4.6. VII LUKU – YHTEISTYÖ

El artículo 48 introduce normas sobre la asistencia mutua obligatoria, mientras que el artículo 28, apartado 6, punto 2, de la Directiva 95/46/CE simplemente establecía una obligación general de cooperar, sin especificar más.

Ehdotuksen 48 artiklassa vahvistetaan säännöt pakollisesta keskinäisestä avunannosta. Direktiivin 95/46/EY 28 artiklan 6 kohdan toisessa alakohdassa säädettiin yleisesti avunantovelvoitteesta.

El artículo 49 establece que el Consejo Europeo de Protección de Datos, establecido por el Reglamento general de protección de datos, también ejerce sus funciones en relación con las actividades de tratamiento en el ámbito de aplicación de la presente Directiva. Con el fin de proporcionar apoyo complementario, la Comisión solicitará el asesoramiento de representantes de las autoridades de los Estados miembros competentes para la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, así como de representantes de Europol y Eurojust, por medio de un grupo de expertos en los aspectos relacionados con la función coercitiva de la protección de datos.

Ehdotuksen 49 artiklassa säädetään, että yleisellä tietosuoja-asetuksella perustettu Euroopan tietosuojaneuvosto hoitaa myös tämän direktiivin soveltamisalaan kuuluvaan tietojenkäsittelyyn liittyviä tehtäviä. Komissio aikoo tarjota täydentävää tukea ja pyytää neuvoja rikosten torjumisen, tutkimisen, selvittämisen ja syytteeseenpanon alalla toimivaltaisilta jäsenvaltioiden viranomaisilta sekä Europolin ja Eurojustin edustajilta ja muodostaa asiantuntijaryhmän, joka käsittelee lainvalvontaan liittyviä tietosuojan näkökohtia.

3.4.7. CAPÍTULO VIII – RECURSOS, RESPONSABILIDAD Y SANCIONES

3.4.7. VIII LUKU – OIKEUSSUOJAKEINOT, VASTUU JA SEURAAMUKSET

Inspirado en el artículo 28, apartado 4, de la Directiva 95/46/CE, el artículo 50 establece el derecho de todo interesado a presentar una reclamación ante una autoridad de control, y se refiere a cualquier infracción de la Directiva en relación con el reclamante. Asimismo especifica los organismos, organizaciones o asociaciones que pueden presentar una reclamación en nombre del interesado y también en caso de violación de datos personales, con independencia de la reclamación de un interesado.

Ehdotuksen 50 artiklassa säädetään, että jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle. Säännös perustuu direktiivin 95/46/EY 28 artiklan 4 kohtaan ja koskee kaikkia tapauksia, joissa direktiiviä ei ole noudatettu suhteessa valituksen tekijään. Artiklassa mainitaan myös ne elimet, järjestöt ja yhdistykset, jotka voivat tehdä valituksen rekisteröidyn puolesta, tai jos kyseessä on henkilötietojen tietoturvaloukkaus, rekisteröidyn valituksesta riippumatta.

El artículo 51 se refiere al derecho a un recurso judicial contra una autoridad de control. Se basa en la disposición general del artículo 28, apartado 3, de la Directiva 95/46/CE y establece expresamente que el interesado puede ejercitar acciones judiciales para obligar a la autoridad de control a actuar a raíz de una reclamación.

Ehdotuksen 51 artiklassa säädetään oikeudesta oikeussuojakeinoihin valvontaviranomaista vastaan. Se perustuu direktiivin 95/46/EY 28 artiklan 3 kohdassa olevaan yleiseen säännökseen, ja siinä säädetään nimenomaan, että rekisteröity voi viedä asian tuomioistuimeen velvoittaakseen valvontaviranomaisen käsittelemään valituksen.

Basado en el artículo 22 de la Directiva 95/46/CE y en el artículo 20 de la Decisión Marco 2008/977/JAI, el artículo 52 se refiere al derecho a un recurso judicial contra un responsable o encargado del tratamiento.

Ehdotuksen 52 artiklassa säädetään oikeudesta oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan direktiivin 95/46/EY 22 artiklan ja puitepäätöksen 2008/977/YOS 20 artiklan mukaisesti.

El artículo 53 introduce normas comunes aplicables a los procedimientos judiciales, incluidos los derechos de los organismos, organizaciones o asociaciones de representar a los interesados ante los órganos jurisdiccionales, y el derecho de las autoridades de control a ejercitar acciones jurisdiccionales. La obligación de los Estados miembros de garantizar la celeridad de las acciones se inspira en el artículo 18, apartado 1, de la Directiva 2000/31/CE sobre comercio electrónico[32].

Ehdotuksen 53 artiklassa vahvistetaan tuomioistuinmenettelyjä koskevat yhteiset säännöt, jotka koskevat muun muassa elinten, järjestöjen ja yhdistysten oikeutta edustaa rekisteröityjä tuomioistuimissa ja valvontaviranomaisten oikeutta panna vireille oikeudellisia menettelyjä. Jäsenvaltioiden on varmistettava, että oikeussuojakeinot mahdollistavat nopeat toimenpiteet. Tämä säännös perustuu sähköistä kaupankäyntiä koskevan direktiivin 2000/31/EY[32] 18 artiklan 1 kohtaan.

El artículo 54 obliga a los Estados miembros a establecer el derecho de indemnización. Inspirado en el artículo 23 de la Directiva 95/46/CE y en el artículo 19, apartado 1, de la Decisión Marco 2008/977/JAI, amplía este derecho a los perjuicios causados por los encargados del tratamiento y aclara la responsabilidad de los corresponsables y coencargados.

Ehdotuksen 54 artiklassa velvoitetaan jäsenvaltiot säätämään oikeudesta korvauksen saamiseen. Säännös perustuu direktiivin 95/46/EY 23 artiklaan ja puitepäätöksen 2008/977/YOS 19 artiklan 1 kohtaan. Oikeutta korvauksen saamiseen laajennetaan koskemaan myös henkilötietojen käsittelijöiden aiheuttamia vahinkoja. Lisäksi artiklassa selkeytetään vastuukysymyksiä silloin, kun käsittelyyn on osallistunut useampi kuin yksi rekisterinpitäjä tai henkilötietojen käsittelijä.

El artículo 55 obliga a los Estados miembros a establecer normas relativas a las sanciones, a sancionar las infracciones de la Directiva, y a garantizar su aplicación.

Ehdotuksen 55 artiklassa velvoitetaan jäsenvaltiot vahvistamaan seuraamuksia koskevat säännöt, määräämään seuraamuksia direktiivin rikkomisesta ja varmistamaan sääntöjen täytäntöönpano.

3.4.8. CAPÍTULO IX – ACTOS DELEGADOS Y ACTOS DE EJECUCIÓN

3.4.8. IX LUKU – DELEGOIDUT SÄÄDÖKSET JA TÄYTÄNTÖÖNPANOSÄÄDÖKSET

El artículo 56 contiene disposiciones normalizadas para el ejercicio de las delegaciones en consonancia con el artículo 290 del TFUE. Ello permite al legislador delegar en la Comisión los poderes para adoptar actos no legislativos de alcance general que completen o modifiquen determinados elementos no esenciales de un acto legislativo (actos cuasi legislativos).

Ehdotuksen 56 artikla sisältää siirretyn säädösvallan käyttöä koskevat vakiosäännökset SEUT-sopimuksen 290 artiklan mukaisesti. Tuon artiklan nojalla lainsäätäjä voi siirtää komissiolle vallan antaa muita kuin lainsäätämisjärjestyksessä hyväksyttäviä, soveltamisalaltaan yleisiä säädöksiä, joilla täydennetään tai muutetaan lainsäätämisjärjestyksessä hyväksytyn säädöksen tiettyjä, muita kuin sen keskeisiä osia.

El artículo 57 contiene la disposición relativa al procedimiento del comité necesario para la atribución de competencias de ejecución a la Comisión en los casos en que, de conformidad con el artículo 291 del TFUE, se requieran condiciones uniformes de ejecución de los actos jurídicamente vinculantes de la Unión. Es de aplicación el procedimiento de examen.

Ehdotuksen 57 artiklassa säädetään komiteamenettelystä, jolla komissiolle siirretään täytäntöönpanovaltaa sellaisia tapauksia varten, joissa unionin oikeudellisesti velvoittavat säädökset edellyttävät SEUT-sopimuksen 291 artiklan mukaisesti yhdenmukaista täytäntöönpanoa. Sovelletaan tarkastelumenettelyä.

3.4.9. CAPÍTULO X - DISPOSICIONES FINALES

3.4.9. X LUKU – LOPPUSÄÄNNÖKSET

El artículo 58 deroga la Decisión Marco 2008/977/JAI.

Ehdotuksen 58 artiklalla kumotaan neuvoston puitepäätös 2008/977/YOS.

El artículo 59 establece que se mantienen inalteradas las disposiciones específicas en lo que respecta al tratamiento de datos personales por parte de autoridades competentes a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales en actos de la Unión adoptados antes de la fecha de adopción de la presente Directiva que regulen el tratamiento de datos personales o el acceso a los sistemas de información establecidos en el ámbito de aplicación de la misma.

Ehdotuksen 59 artiklassa säädetään siitä, että direktiivi ei vaikuta erityisiin säännöksiin, jotka koskevat toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten ja jotka sisältyvät ennen tämän direktiivin hyväksymistä annettuihin unionin säädöksiin, joilla säännellään direktiivin soveltamisalaan kuuluvaa henkilötietojen käsittelyä tai pääsyä tietojärjestelmiin.

El artículo 60 aclara la relación de la presente Directiva con los acuerdos internacionales celebrados anteriormente por los Estados miembros en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial.

Ehdotuksen 60 artiklassa selkeytetään direktiivin suhdetta kansainvälisiin sopimuksiin, joita jäsenvaltiot ovat aiemmin tehneet rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön alalla.

El artículo 61 establece la obligación de la Comisión de evaluar e informar sobre la aplicación de la Directiva, a fin de determinar la necesidad de adaptar a la presente Directiva las disposiciones específicas adoptadas anteriormente contempladas en el artículo 59.

Ehdotuksen 61 artiklassa velvoitetaan komissio arvioimaan direktiivin täytäntöönpanoa ja raportoimaan siitä, jotta voidaan päättää, olisiko 59 artiklassa tarkoitetut, aiemmin annetut erityiset säännökset yhdenmukaistettava tämän direktiivin kanssa.

El artículo 62 establece la obligación de los Estados miembros de incorporar la Directiva a sus legislaciones nacionales y de comunicar a la Comisión las disposiciones adoptadas de conformidad con la misma.

Ehdotuksen 62 artiklassa velvoitetaan jäsenvaltiot saattamaan direktiivi osaksi kansallista lainsäädäntöään ja antamaan komissiolle tiedoksi direktiivin nojalla annetut säännökset.

El artículo 63 determina la fecha de la entrada en vigor de la Directiva.

Ehdotuksen 63 artiklassa vahvistetaan direktiivin voimaantulopäivä.

El artículo 64 establece los destinatarios de la Directiva.

Ehdotuksen 64 artiklassa ilmoitetaan ne valtiot, joille direktiivi on osoitettu.

4.         IMPLICACIONES PRESUPUESTARIAS

4.         TALOUSARVIOVAIKUTUKSET

La ficha financiera legislativa que acompaña a la propuesta de Reglamento general de protección de datos comprende la incidencia presupuestaria del Reglamento y de la presente Directiva.

Rahoitusselvitys, joka on yleistä tietosuoja-asetusta koskevan ehdotuksen liitteenä, kattaa sekä asetuksen että tämän direktiivin talousarviovaikutukset.

2012/0010 (COD)

2012/0010 (COD)

Propuesta de

Ehdotus

DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO

EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI

relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de dichos datos

yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 16, apartado 2,

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan 2 kohdan,

Vista la propuesta de la Comisión Europea,

ottavat huomioon Euroopan komission ehdotuksen,

Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales,

sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

Previa consulta del Supervisor Europeo de Protección de Datos[33],

ovat kuulleet Euroopan tietosuojavaltuutettua[33],

De conformidad con el procedimiento legislativo ordinario,

noudattavat tavallista lainsäätämisjärjestystä,

Considerando lo siguiente:

sekä katsovat seuraavaa:

(1) La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea establecen que toda persona tiene derecho a la protección de los datos personales que le conciernan.

(1) Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä kuuluu perusoikeuksiin. Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.

(2) El tratamiento de datos personales está al servicio del hombre; los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea la nacionalidad o residencia de estas personas, respetar las libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. Debe contribuir a la plena realización de un espacio de libertad, seguridad y justicia.

(2) Henkilötietojen käsittelyn on tarkoitus palvella ihmistä. Sen vuoksi niissä periaatteissa ja säännöissä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä, olisi henkilöiden kansalaisuudesta ja asuinpaikasta riippumatta otettava huomioon heidän perusoikeutensa ja ‑vapautensa ja erityisesti oikeus henkilötietojen suojaan. Henkilötietojen käsittelyn olisi myös tuettava vapauden, turvallisuuden ja oikeuden alueen kehittämistä.

(3) La rápida evolución tecnológica y la globalización han supuesto nuevos retos para la protección de los datos personales. Se ha incrementado de manera espectacular la magnitud del intercambio y la recogida de datos. La tecnología permite que las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de desarrollar sus actividades.

(3) Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen käsittelyyn uusia haasteita. Tietoja kerätään ja jaetaan nyt valtavan paljon suuremmassa mittakaavassa. Toimivaltaiset viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti teknologian kehityksen ansiosta.

(4) Ello requiere facilitar la libre circulación de datos entre las autoridades competentes en el seno de la Unión y la transferencia a terceros países y organizaciones internacionales, al tiempo que se garantiza un alto nivel de protección de los datos personales. Exige el establecimiento de un marco más sólido y coherente para la protección de datos en la Unión Europea, respaldado por una ejecución estricta.

(4) Sen takia olisi helpotettava vapaata tiedonkulkua toimivaltaisten viranomaisten kesken unionissa ja tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille ja samalla varmistettava henkilötietojen korkeatasoinen suoja. Tämän kehityksen vuoksi unionissa on laadittava vahvempi ja johdonmukaisempi tietosuojakehys, jota tuetaan tehokkaalla täytäntöönpanolla.

(5) La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos[34], se aplica a todas las actividades de tratamiento de datos personales en los Estados miembros tanto en el sector público como en el privado. Sin embargo, no se aplica al tratamiento de datos personales efectuado «en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario», como las actividades en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial.

(5) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettua Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY[34] sovelletaan kaikkeen jäsenvaltioissa sekä julkisella että yksityisellä sektorilla tapahtuvaan henkilötietojen käsittelyyn. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan sellaisessa toiminnassa joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön yhteydessä.

(6) La Decisión Marco 2008/977/JAI del Consejo, de 27 de noviembre de 2008, relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal[35], es aplicable en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial. El ámbito de aplicación de esta Decisión Marco se limita al tratamiento de los datos personales transmitidos o puestos a disposición entre los Estados miembros.

(6) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla sovelletaan rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta 27 päivänä marraskuuta 2008 annettua neuvoston puitepäätöstä 2008/977/YOS[35]. Puitepäätöksen soveltamisala rajoittuu jäsenvaltioiden keskenään siirtämien tai saataville asettamien henkilötietojen käsittelyyn.

(7) Asegurar un nivel uniforme y elevado de protección de los datos personales de las personas físicas y facilitar el intercambio de datos personales entre las autoridades competentes de los Estados miembros es esencial para garantizar la eficacia de la cooperación judicial en materia penal y de la cooperación policial. A tal efecto, el nivel de protección de los derechos y libertades de las personas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, debe ser equivalente en todos los Estados miembros. La protección efectiva de los datos personales en la Unión no solo requiere la consolidación de los derechos de los interesados y de las obligaciones de quienes tratan dichos datos personales, sino también poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos personales en los Estados miembros.

(7) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön varmistamiseksi on taattava yksilöiden henkilötietojen korkeatasoinen ja johdonmukainen suoja ja helpotettava henkilötietojen vaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. Sitä varten kaikkien jäsenvaltioiden on tarjottava samantasoinen yksilöiden oikeuksien ja vapauksien suoja toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä tai syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Jotta henkilötietoja voidaan suojata tehokkaasti koko unionissa, on vahvistettava rekisteröidyn oikeuksia ja lisättävä henkilötietoja käsittelevien vastuuta. Samalla on varmistettava samantasoiset valtuudet seurata ja varmistaa henkilötietojen suojelua koskevien sääntöjen noudattaminen jäsenvaltioissa.

(8) El artículo 16, apartado 2, del Tratado de Funcionamiento de la Unión Europea dispone que el Parlamento Europeo y el Consejo deben establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos de carácter personal y las normas relativas a la libre circulación de estos datos.

(8) Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 2 kohdan mukaan Euroopan parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

(9) Sobre esta base, el Reglamento UE …../2012 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), establece las normas generales para proteger a las personas físicas en relación con el tratamiento de los datos personales y para garantizar la libre circulación de los datos personales en la Unión.

(9) Sen pohjalta Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o …./2012 yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus) vahvistetaan yleiset säännöt yksilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa.

(10) En la Declaración 21 relativa a la protección de los datos de carácter personal en el ámbito de la cooperación judicial en materia penal y la cooperación policial, aneja al Acta final de la Conferencia Intergubernamental que adoptó el Tratado de Lisboa, la Conferencia reconoció que podrían requerirse normas específicas para la protección de datos de carácter personal y la libre circulación de dichos datos en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial que se basen en el artículo 16 del Tratado de Funcionamiento de la Unión Europea, en razón de la naturaleza específica de dichos ámbitos.

(10) Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjaan liitetyssä julistuksessa 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi tunnusti, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja näiden tietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi.

(11) Por lo tanto, una nueva Directiva debe responder a la naturaleza específica de estos ámbitos y establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.

(11) Sen vuoksi tarvitaan erillistä direktiiviä, joka vastaa näiden alojen erityisluonnetta ja jossa vahvistetaan säännöt yksilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä tai syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten.

(12) A fin de garantizar el mismo nivel de protección de las personas a través de derechos exigibles legalmente en toda la Unión y evitar divergencias que dificulten el intercambio de datos personales entre las autoridades competentes, la Directiva debe establecer normas armonizadas para la protección y la libre circulación de los datos personales en los ámbitos de la cooperación judicial en materia penal y la cooperación policial.

(12) Jotta yksilöillä olisi samantasoinen suoja ja täytäntöönpanokelpoiset oikeudet kaikkialla unionissa ja jotta estetään toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa haittaavat eroavuudet, direktiivissä olisi vahvistettava yhdenmukaiset henkilötietojen suojaa ja vapaata liikkuvuutta koskevat säännöt rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.

(13) La presente Directiva permite que se tenga en cuenta el principio de acceso público a los documentos oficiales al aplicar las disposiciones de la misma.

(13) Virallisten asiakirjojen julkisuusperiaate voidaan ottaa huomioon tämän direktiivin säännöksiä sovellettaessa.

(14) La protección otorgada por la presente Directiva atañe a las personas físicas, independientemente de su nacionalidad o lugar de residencia, en relación con el tratamiento de datos personales.

(14) Direktiivin antaman suojan olisi koskettava kaikkia luonnollisia henkilöitä heidän kansalaisuudestaan ja asuinpaikastaan riippumatta silloin kun on kyse henkilötietojen käsittelystä.

(15) La protección de las personas físicas debe ser tecnológicamente neutra y no debe depender de las técnicas utilizadas, pues de lo contrario daría lugar a graves riesgos de elusión. La protección de las personas debe aplicarse al tratamiento automatizado de datos personales, así como a su tratamiento manual, si los datos están contenidos o destinados a ser incluidos en un fichero. Los ficheros o conjuntos de ficheros y sus carpetas que no estén estructurados con arreglo a criterios específicos no están comprendidos en el ámbito de aplicación de la presente Directiva. La presente Directiva no debe aplicarse al tratamiento de datos personales efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión, en particular en lo que respecta a la seguridad nacional, o a los datos tratados por instituciones, órganos y organismos de la Unión, tales como Europol o Eurojust.

(15) Yksilöiden suojelu ei saa olla riippuvainen käytetystä tekniikasta, koska tällainen riippuvaisuus uhkaisi aiheuttaa vakavia väärinkäytöksiä. Yksilöiden suojelun olisi koskettava myös henkilötietojen automatisoitua käsittelyä sekä sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tämän direktiivin soveltamisalaan ei ole tarkoitus sisällyttää sellaisia asiakirjoja tai asiakirjojen kokonaisuuksia kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti. Tätä direktiiviä ei ole tarkoitus soveltaa henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, erityisesti jos on kyse kansallisesta turvallisuudesta, eikä tietoihin, joita käsittelevät unionin toimielimet, elimet ja laitokset, kuten Europol ja Eurojust.

(16) Los principios de protección deben aplicarse a toda información relativa a una persona identificada o identificable. Para determinar si una persona física es identificable deben tenerse en cuenta todos los medios que razonablemente pudiera utilizar el responsable del tratamiento o cualquier otro individuo para identificar a dicha persona. Los principios de protección de datos no deben aplicarse a los datos convertidos en anónimos de forma que el interesado a quien se refieren ya no resulte identificable.

(16) Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Sen ratkaisemiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi. Tietosuojaperiaatteita ei ole tarkoitus soveltaa tietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista.

(17) Los datos personales relacionados con la salud deben incluir en particular todos los datos relativos a la salud del interesado; información sobre el registro de la persona para la prestación de servicios sanitarios; información acerca de los pagos o de la admisibilidad para la atención sanitaria con respecto a la persona; un número, símbolo u otro dato asignado a una persona que la identifica de manera unívoca a efectos de salud; cualquier información acerca de la persona recogida durante la prestación de servicios sanitarios a esta; información derivada de las pruebas o los exámenes de una parte del cuerpo o sustancia corporal, incluidas muestras biológicas; identificación de una persona como prestador de asistencia sanitaria a la persona; o cualquier información sobre, por ejemplo, toda enfermedad, discapacidad, riesgo de enfermedades, historia médica, tratamiento clínico, o estado fisiológico o biomédico real del interesado, independientemente de su fuente, como, por ejemplo, cualquier médico u otro profesional de la sanidad, hospital, dispositivo médico, o prueba diagnóstica in vitro.

(17) Terveyttä koskeviin henkilötietoihin olisi sisällytettävä erityisesti kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa, tiedot yksilön rekisteröimisestä terveyspalvelujen saamista varten, tiedot yksilöä koskevista terveydenhuollon maksuista tai yksilön oikeudesta terveydenhuoltoon, yksilölle annettu numero, symboli tai erityistuntomerkki ainoastaan yksilön tunnistamiseksi terveydenhuollon piirissä, yksilöstä terveydenhuollon palvelujen antamisen aikana kerätyt tiedot, kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, myös biologiset näytteet, tieto siitä, kuka on hoitanut yksilöä, sekä kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn senhetkisestä fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, onko tiedot saatu lääkäriltä tai muulta terveydenhuoltoalan ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta vai diagnostisesta in vitro ‑testistä.

(18) Todo tratamiento de datos de carácter personal debe efectuarse de forma lícita, justa y transparente en relación con las personas afectadas. En particular, los fines específicos para los que se hayan tratado los datos deben ser explícitos.

(18) Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti ja asianomaisia henkilöitä kohtaan oikeudenmukaisella tavalla. Varsinkin tietojenkäsittelyn nimenomainen tarkoitus olisi ilmoitettava selvästi.

(19) Para la prevención, investigación y enjuiciamiento de infracciones penales, es necesario que las autoridades competentes conserven y traten datos personales, recogidos en el contexto de la prevención, investigación, detección o enjuiciamiento de infracciones penales, más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las tendencias y fenómenos delictivos, recabar información sobre las redes de delincuencia organizada, y establecer vínculos entre las distintas infracciones detectadas.

(19) Rikosten torjuminen, tutkiminen ja syytteeseenpano edellyttävät, että toimivaltaiset viranomaiset voivat säilyttää ja käsitellä tiettyjen rikosten torjumisen, tutkimisen, selvittämisen ja syytteeseenpanon yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen rikollisuuden ilmiöitä ja suuntauksia, kerätäkseen tietoa järjestäytyneistä rikollisverkostoista sekä havaitakseen yhteyksiä selvitettyjen rikosten välillä.

(20) Los datos personales no deben ser tratados para fines incompatibles con la finalidad para la que fueron recogidos. Los datos deben ser adecuados, pertinentes y no excesivos para los fines para los que se traten. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos.

(20) Henkilötietoja ei saa käsitellä sellaisia tarkoituksia varten, jotka ovat ristiriidassa sen tarkoituksen kanssa, johon tiedot kerättiin. Henkilötietojen olisi oltava riittäviä ja olennaisia, eivätkä ne saa olla liian laajoja käsittelyn tarkoituksiin nähden. Kaikki kohtuulliset toimenpiteet olisi toteutettava sen varmistamiseksi, että virheelliset henkilötiedot oikaistaan tai poistetaan.

(21) El principio de exactitud de los datos debe aplicarse teniendo presente el carácter y finalidad del tratamiento correspondiente. En particular en los procedimientos judiciales, las declaraciones que contienen datos personales se basan en la percepción subjetiva de las personas y, en algunos casos, no siempre son verificables. En consecuencia, el requisito de exactitud no debe relacionarse con la exactitud de una afirmación, sino exclusivamente con el hecho de que se ha formulado una afirmación concreta.

(21) Tietojen oikeellisuuden periaatetta sovellettaessa olisi otettava huomioon asianomaisen käsittelyn luonne ja tarkoitus. Erityisesti oikeudenkäyntimenettelyissä lausunnot, jotka sisältävät henkilötietoja, perustuvat yksilöiden subjektiiviseen havaintoon eivätkä ole aina todennettavissa. Näin ollen oikeellisuuden vaatimus ei saisi koskea lausunnon oikeellisuutta, vaan ainoastaan sitä tosiseikkaa, että tietty lausunto on annettu.

(22) En la interpretación y aplicación de los principios generales relativos al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, se han de tener en cuenta las características específicas del sector, incluidos los objetivos específicos perseguidos.

(22) Kun tulkitaan ja sovelletaan yleisiä periaatteita, jotka koskevat yksilöiden suojelua toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, olisi otettava huomioon alan erityispiirteet ja ‑tavoitteet.

(23) Es inherente al tratamiento de datos personales en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial que se traten datos personales relativos a diferentes categorías de interesados. Por tanto, en la medida de lo posible, se debe distinguir claramente entre los datos personales de diferentes categorías de interesados tales como los sospechosos, los condenados por una infracción penal, las víctimas y terceros, como los testigos, las personas que posean información o contactos útiles y los cómplices de sospechosos y delincuentes condenados.

(23) Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla suoritettavalle henkilötietojen käsittelylle on ominaista, että käsiteltävät henkilötiedot koskevat eri ryhmiin kuuluvia rekisteröityjä. Sen vuoksi olisi mahdollisuuksien mukaan pyrittävä erottamaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten rikoksesta epäiltyjä, rikoksesta tuomittuja, rikoksen uhreja ja kolmansia osapuolia, kuten todistajia, henkilöitä, joilla on tärkeitä tietoja, sekä rikoksesta epäiltyjen ja tuomittujen tuttavia ja kumppaneita.

(24) En la medida de lo posible, debe distinguirse entre los datos personales en función de su grado de exactitud y fiabilidad. Se debe distinguir entre hechos y apreciaciones personales, con el fin de garantizar tanto la protección de las personas como la calidad y fiabilidad de la información tratada por las autoridades competentes.

(24) Henkilötiedot olisi mahdollisuuden mukaan eriteltävä myös tarkkuutensa ja luotettavuutensa mukaan. Tosiasiat olisi erotettava henkilökohtaisista arvioista, jotta voidaan varmistaa toisaalta yksilöiden suojelu ja toisaalta toimivaltaisten viranomaisten käsittelemien tietojen laatu ja luotettavuus.

(25) Para que sea lícito, el tratamiento de datos personales debe ser necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, para el cumplimiento de una misión de interés público por una autoridad competente prevista por ley, o con el fin de proteger los intereses vitales del interesado o de otra persona, o bien para la prevención de una amenaza inminente y grave para la seguridad pública.

(25) Jotta henkilötietojen käsittely olisi lainmukaista, sen on oltava välttämätöntä rekisterinpitäjän laillisen velvoitteen noudattamiseksi, toimivaltaisen viranomaisen kansalliseen lainsäädäntöön perustuvan, yleistä etua koskevan tehtävän suorittamiseksi, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan torjumiseksi.

(26) Protección específica merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos fundamentales o la intimidad, incluidos los datos genéticos. Tales datos no deben ser tratados, a no ser que el tratamiento esté específicamente autorizado por una ley que contemple medidas adecuadas para proteger los intereses legítimos del interesado, sea necesario para salvaguardar el interés vital del interesado o de otra persona; o se refiera a datos que el interesado ha hecho manifiestamente públicos.

(26) Henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien tai yksityisyyden kannalta, on suojeltava erityisen tarkasti. Näitä ovat esimerkiksi geneettiset tiedot. Tällaisia tietoja olisi voitava käsitellä vain, jos käsittelyyn on erikseen lupa sellaisen lain nojalla, jossa säädetään asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi, tai jos käsittely on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi.

(27) Toda persona física debe tener derecho a no ser objeto de una medida que se base únicamente en el tratamiento automático si produce un efecto jurídico desfavorable para él, salvo que esté autorizada por ley y sujeta a medidas adecuadas para salvaguardar los intereses legítimos del interesado.

(27) Jokaisella luonnollisella henkilöllä olisi oltava oikeus olla joutumatta ainoastaan automaattiseen tietojenkäsittelyyn perustuvan toimenpiteen kohteeksi, jos toimenpiteellä on henkilön kannalta kielteinen oikeusvaikutus, ellei toimenpide ole erikseen sallittu laissa ja ellei asiassa sovelleta asianmukaisia toimia rekisteröidyn oikeutettujen etujen suojaamiseksi.

(28) Para poder ejercer sus derechos, cualquier información que se facilite al interesado debe ser fácilmente accesible y fácil de entender, utilizando un lenguaje sencillo y claro.

(28) Jotta rekisteröidyt voisivat käyttää oikeuksiaan, kaikkien rekisteröidyille tarkoitettujen tietojen olisi oltava helposti saatavilla ja ymmärrettävissä, ja ne olisi ilmaistava selkeällä ja yksinkertaisella kielellä.

(29) Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos establecidos en la presente Directiva, incluidos los mecanismos para solicitar de forma gratuita, entre otras cosas, el acceso a los datos, su rectificación y supresión. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin demora injustificada.

(29) Olisi säädettävä yksityiskohtaisesti siitä, miten rekisteröityä voitaisiin auttaa käyttämään tähän direktiiviin perustuvia oikeuksiaan, esimerkiksi keinoista pyytää maksutta erityisesti pääsyä tietoihin sekä tietojen oikaisemista ja poistamista. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä.

(30) El principio de tratamiento leal exige que el interesado sea informado, entre otras cosas, de la existencia de la operación de tratamiento y sus fines, del plazo de conservación de los datos, de la existencia del derecho de acceso, rectificación o supresión y del derecho a presentar una reclamación. Cuando los datos se obtengan de los interesados, estos también deben ser informados de si están obligados a facilitarlos y de las consecuencias, en caso de que no lo hicieran.

(30) Asianmukaisen tietojenkäsittelyn periaatteen mukaisesti rekisteröidyille olisi ilmoitettava erityisesti tietojen käsittelystä ja sen tarkoituksista, tietojen säilytysajasta, tiedonsaantioikeudesta, oikeudesta pyytää tietojen oikaisemista tai poistamista sekä valitusoikeudesta. Jos tietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa tiedot, sekä kieltäytymisen seurauksista.

(31) La información sobre el tratamiento de los datos de carácter personal relativos a los interesados debe ser facilitada a estos últimos en el momento de su recogida, o, si los datos no se recogieran de los interesados, en el momento del registro o en un plazo razonable después de la recogida, habida cuenta de las circunstancias específicas en que se traten los datos.

(31) Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keräämishetkellä tai, jos tietoja ei ole saatu suoraan rekisteröidyltä, tietojen tallentamishetkellä tai kohtuullisen ajan kuluessa tietojen keräämisestä ottaen huomioon tietojen käsittelyn erityiset olosuhteet.

(32) Toda persona debe tener el derecho de acceder a los datos recogidos que le conciernan y a ejercer este derecho con facilidad, con el fin de conocer y verificar la licitud del tratamiento. Todo interesado debe, por tanto, tener el derecho de conocer y de que se le comuniquen, en particular, los fines para los que se tratan los datos, el plazo de su conservación, los destinatarios que los reciben, incluso en terceros países. Se debe autorizar a los interesados a recibir una copia de sus datos personales que estén siendo tratados.

(32) Jokaisella olisi oltava oikeus saada tietoa siitä, mitä tietoja heistä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus saada tietää erityisesti tietojen käsittelyn tarkoituksesta, käsittelyn kestosta ja tietojen vastaanottajista, myös kolmansissa maissa. Rekisteröityjen olisi voitava saada kopio niistä henkilötiedoistaan, joita käsitellään.

(33) Debe permitirse a los Estados miembros adoptar medidas legislativas que retrasen, restrinjan u omitan la información de los interesados o el acceso a sus datos personales en la medida y siempre que dicha restricción total o parcial constituya una medida necesaria y proporcionada en una sociedad democrática, teniendo debidamente en cuenta los intereses legítimos de la persona de que se trate, con el fin de no entorpecer las indagaciones, investigaciones o procedimientos oficiales o jurídicos, de no perjudicar la prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, de proteger la seguridad pública o la seguridad nacional o de proteger al interesado o los derechos y libertades de otras personas.

(33) Jäsenvaltioiden olisi voitava hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään tai rajoitetaan rekisteröidyille ilmoittamista tai heidän tiedonsaantioikeuttaan tai poistetaan nämä oikeudet siinä määrin ja niin kauan kuin tällainen osittainen tai täydellinen rajoitus on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa ottaen asianmukaisesti huomioon kyseisen henkilön oikeutetut edut, jotta vältetään estämästä virallisia tai laillisia tiedusteluja, tutkimuksia tai menettelyjä tai tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle tai jotta voidaan suojata yleistä tai kansallista turvallisuutta tai suojella rekisteröidyn tai muiden henkilöiden oikeuksia ja vapauksia.

(34) Toda denegación o restricción de acceso debe comunicarse por escrito al interesado, incluidas las razones de hecho o de Derecho sobre las que se basa la decisión.

(34) Jos tietojen antamisesta kieltäydytään tai sitä rajoitetaan, asiasta on ilmoitettava kirjallisesti rekisteröidylle. Samalla on annettava tiedoksi myös ne seikat tai oikeudelliset syyt, joihin tällainen päätös perustuu.

(35) Cuando los Estados miembros hayan adoptado medidas legislativas que restrinjan, total o parcialmente, el derecho de acceso, el interesado debe tener derecho a solicitar que la autoridad nacional de control competente verifique la licitud del tratamiento. El interesado debe ser informado de este derecho. Cuando el acceso sea ejercido por la autoridad de control por cuenta del interesado, este debe ser informado por la autoridad de control, como mínimo, de que se han llevado a cabo las verificaciones necesarias y del resultado en cuanto a la licitud del tratamiento en cuestión.

(35) Jos jäsenvaltiot ovat hyväksyneet lainsäädäntötoimenpiteitä, joilla rajoitetaan tiedonsaantioikeutta joko kokonaan tai osittain, rekisteröidyllä olisi oltava oikeus pyytää toimivaltaista kansallista valvontaviranomaista tarkistamaan käsittelyn lainmukaisuuden puolestaan. Rekisteröidylle olisi ilmoitettava tästä oikeudesta. Jos valvontaviranomainen käyttää tiedonsaantioikeutta rekisteröidyn puolesta, valvontaviranomaisen olisi ilmoitettava rekisteröidylle ainakin siitä, että kaikki tarpeelliset tarkistukset on tehty, sekä siitä, onko kyseinen käsittely lainmukaista.

(36) Toda persona debe tener derecho a que se rectifiquen los datos personales inexactos que le conciernan y a que se supriman, cuando el tratamiento de estos datos no cumpla los principios esenciales establecidos en la presente Directiva. Cuando los datos personales se sometan a tratamiento en el transcurso de investigaciones y procedimientos penales, los derechos de información, acceso, rectificación, supresión y restricción del tratamiento pueden ejercerse de conformidad con las normas nacionales relativas a los procedimientos judiciales.

(36) Jokaisella olisi oltava oikeus saada itseään koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus pyytää tietojen poistamista, jos tietojen käsittely ei vastaa tässä direktiivissä vahvistettuja perusperiaatteita. Jos henkilötietoja käsitellään rikostutkinnan ja ‑oikeudenkäynnin yhteydessä, tietojen oikaiseminen, rekisteröidylle ilmoittaminen, tiedonsaanti, tietojen poistaminen tai käsittelyn rajoittaminen voidaan toteuttaa oikeudenkäyntiä koskevien kansallisten sääntöjen mukaisesti.

(37)             Se debe establecer la responsabilidad general del responsable por cualquier tratamiento de datos personales realizado por él mismo o en su nombre. En particular, el responsable del tratamiento debe garantizar que las operaciones de tratamiento se ajustan a las normas adoptadas con arreglo a la presente Directiva.

(37) Olisi vahvistettava rekisterinpitäjän kattava vastuu suorittamastaan tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Rekisterinpitäjän olisi erityisesti varmistettava, että käsittelyssä noudatetaan tämän direktiivin nojalla annettuja sääntöjä.

(38) La protección de los derechos y libertades de los interesados con respecto al tratamiento de datos personales exige la adopción de las oportunas medidas de carácter técnico y organizativo con el fin de garantizar el cumplimiento de lo dispuesto en la presente Directiva. Con objeto de velar por el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva, el responsable debe adoptar las políticas y aplicar las medidas adecuadas que cumplan especialmente los principios de protección de datos desde el diseño y por defecto.

(38) Rekisteröidyn oikeuksien ja vapauksien suojaaminen henkilötietojen käsittelyssä edellyttää asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamista, jotta voidaan varmistaa direktiivin vaatimusten noudattaminen. Varmistaakseen, että direktiivin nojalla annettuja säännöksiä on noudatettu, rekisterinpitäjän olisi hyväksyttävä toimintamenetelmät ja toteutettava tarvittavat toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun tietosuojan ja oletusarvoisen tietosuojan periaatteita.

(39) La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, requieren una atribución clara de las responsabilidades con arreglo a la presente Directiva, incluidos los casos en que un responsable determine los fines, condiciones y medios del tratamiento de forma conjunta con otros responsables del tratamiento o cuando el tratamiento se efectúe por cuenta de un responsable.

(39) Rekisteröidyn oikeuksien ja vapauksien suojelun sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden vastuun ja vastuuvelvollisuuden takia on direktiivissä säädetyt tehtävät jaettava selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta.

(40) Con objeto de supervisar el cumplimiento de lo dispuesto en la presente Directiva, el responsable o el encargado del tratamiento deben documentar las actividades de tratamiento. Los responsables y encargados del tratamiento deben estar obligados a cooperar con la autoridad de control y a difundir esta documentación, previa solicitud, de modo que pueda servir para supervisar las operaciones de tratamiento.

(40) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi dokumentoitava käsittely valvoakseen, että se on tapahtunut direktiivin mukaisesti. Rekisterinpitäjät ja henkilötietojen käsittelijät olisi velvoitettava tekemään yhteistyötä valvontaviranomaisen kanssa ja esittämään pyydettäessä käsittelyä koskevat asiakirjat, jotta käsittelyä voidaan seurata niiden pohjalta.

(41) Con el fin de garantizar la protección efectiva de los derechos y libertades de los interesados mediante acciones preventivas, el responsable o encargado del tratamiento deben consultar, en determinados casos, a la autoridad de control antes del tratamiento.

(41) Jotta rekisteröityjen oikeuksia ja vapauksia voitaisiin suojata tehokkaasti ennalta ehkäisevin toimin, rekisterinpitäjän tai henkilötietojen käsittelijän olisi eräissä tapauksissa kuultava valvontaviranomaista ennen käsittelyä.

(42) Si no se toman medidas de manera rápida y adecuada, las violaciones de los datos personales pueden entrañar un perjuicio, incluso para la reputación de la persona en cuestión. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación, debe notificarla a la autoridad nacional competente. Las personas físicas cuyos datos personales o intimidad puedan verse afectados negativamente por dicha violación deben ser informadas de ello sin demora injustificada para que puedan adoptar las cautelas necesarias. Se debe considerar que una violación afecta negativamente a los datos personales o la intimidad de los interesados cuando conlleva, por ejemplo, fraude o usurpación de identidad, daños físicos, humillación grave o perjuicio para su reputación en relación con el tratamiento de datos personales.

(42) Jos henkilötietoihin kohdistuvaan tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua haittaa kyseessä olevalle henkilölle, sillä se voi esimerkiksi vahingoittaa hänen mainettaan. Sen vuoksi rekisterinpitäjän olisi ilmoitettava toimivaltaiselle kansalliselle viranomaiselle tietoturvaloukkauksesta heti, kun se on tullut ilmi. Henkilöille, joiden henkilötietoihin tai yksityisyyteen tällaiset tietoturvaloukkaukset voivat vaikuttaa haitallisesti, olisi ilmoitettava asiasta ilman aiheetonta viivytystä, jotta he voivat ryhtyä tarvittaviin varotoimiin. Tietoturvaloukkauksen olisi katsottava vaikuttavan haitallisesti henkilön henkilötietoihin tai yksityisyyteen, jos se voi johtaa esimerkiksi henkilötietovarkauteen tai ‑petokseen, jos siitä voi aiheutua fyysistä haittaa tai huomattavan vakavaa nöyryytystä tai jos se voi vahingoittaa henkilön mainetta henkilötietojen käsittelyn yhteydessä.

(43) Al establecer disposiciones de aplicación sobre el formato y los procedimientos aplicables a la notificación de las violaciones de datos personales, conviene tener debidamente en cuenta las circunstancias de la violación, incluyendo si los datos personales habían sido protegidos mediante las medidas técnicas de protección adecuadas, limitando eficazmente la probabilidad de uso indebido. Asimismo, estas normas y procedimientos deben tener en cuenta los intereses legítimos de las autoridades competentes, en los casos en que una comunicación temprana pudiera obstaculizar innecesariamente la investigación de las circunstancias de la violación.

(43) Laadittaessa yksityiskohtaisia sääntöjä henkilötietojen tietoturvaloukkausten ilmoittamisen muodosta ja ilmoittamisessa sovellettavista menettelyistä olisi otettava asianmukaisesti huomioon loukkaukseen liittyvät seikat, kuten se, oliko henkilötiedot suojattu asianmukaisin teknisin suojauskeinoin, mikä vähentää olennaisesti väärinkäytösten todennäköisyyttä. Tällaisissa säännöissä ja menettelyissä olisi myös otettava huomioon toimivaltaisten viranomaisten oikeutetut edut tapauksissa, joissa varhainen ilmoittaminen voisi tarpeettomasti haitata tietoturvaloukkauksen tutkimista.

(44) El responsable o el encargado del tratamiento deben designar a una persona que les ayude a supervisar el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva. Varias entidades de la autoridad competente pueden designar conjuntamente a un delegado de protección de datos. Los delegados de protección de datos deben estar en condiciones de desempeñar sus funciones y tareas con independencia y eficacia.

(44) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi nimitettävä henkilö, joka auttaa rekisterinpitäjää tai henkilötietojen käsittelijää valvomaan, että tämän direktiivin nojalla annettuja säännöksiä noudatetaan. Toimivaltaisen viranomaisen yksiköt voivat yhdessä nimittää tietosuojavastaavan. Tietosuojavastaavan on voitava täyttää velvollisuutensa ja suorittaa tehtävänsä riippumattomasti ja tehokkaasti.

(45) Los Estados miembros deben velar por que una transferencia a un tercer país solo se lleve a cabo si es necesaria para la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, y si el responsable del tratamiento en el tercer país u organización internacional es una autoridad competente a tenor de la presente Directiva. Puede llevarse a cabo una transferencia en los casos en que la Comisión haya decidido que el tercer país o la organización internacional de que se trate garantizan un nivel adecuado de protección, o cuando se hayan ofrecido unas garantías apropiadas.

(45) Jäsenvaltioiden olisi varmistettava, että tietoja siirretään kolmanteen maahan vain, jos se on tarpeen rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi ja jos rekisterinpitäjä kolmannessa maassa tai kansainvälisessä järjestössä on tässä direktiivissä tarkoitettu toimivaltainen viranomainen. Tietoja voidaan siirtää, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö huolehtii tietosuojan riittävyydestä, tai jos on annettu asianmukaiset takeet.

(46) La Comisión puede determinar, con efectos para toda la Unión, que algunos terceros países, un territorio o un sector del tratamiento en un tercer país, o una organización internacional ofrecen un nivel adecuado de protección de datos, proporcionando así seguridad jurídica y uniformidad en toda la Unión en lo que se refiere a los terceros países u organizaciones internacionales que se considera aportan tal nivel de protección. En estos casos, se pueden realizar transferencias de datos personales a estos países sin tener que obtener ninguna otra autorización.

(46) Komissio voi päättää koko unionin osalta, että eräät kolmannet maat tai tietty kolmannen maan alue tai tietojenkäsittelyn sektori tai tietyt kansainväliset järjestöt tarjoavat riittävän tietosuojan, jotta voidaan varmistaa oikeusvarmuus ja yhdenmukaisuus kaikkialla unionissa riittävän tietosuojan tarjoavien kolmansien maiden tai kansainvälisten järjestöjen osalta. Tällöin henkilötietoja voidaan siirtää kyseisiin maihin ilman erityistä lupaa.

(47) En consonancia con los valores fundamentales en los que se basa la Unión, en particular la protección de los derechos humanos, la Comisión debe tener en cuenta en qué medida en dicho tercer país se respeta el Estado de Derecho, el acceso a la justicia, así como las normas y principios internacionales relativos a los derechos humanos.

(47) Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi otettava huomioon, miten oikeusvaltioperiaate, oikeussuoja sekä kansainväliset ihmisoikeussäännöt ja ‑normit toteutuvat kyseisessä kolmannessa maassa.

(48) La Comisión también debe poder reconocer que un tercer país, un territorio, un sector del tratamiento en un tercer país, o una organización internacional no ofrece un nivel adecuado de protección de datos. En consecuencia, debe prohibirse la transferencia de datos personales a dicho tercer país, salvo cuando se base en un acuerdo internacional, unas garantías apropiadas o una excepción. Deben establecerse los procedimientos para celebrar consultas entre la Comisión y dichos terceros países u organizaciones internacionales. Sin embargo, tal decisión de la Comisión se entenderá sin perjuicio de la posibilidad de llevar a cabo transferencias sobre la base de garantías apropiadas o de una excepción establecida en la Directiva.

(48) Komission olisi myös voitava tunnistaa, jos jokin kolmas maa, kolmannen maan alue tai tietojenkäsittelyn sektori taikka kansainvälinen järjestö ei tarjoa riittävää tietosuojaa. Silloin henkilötietojen siirto kyseiseen kolmanteen maahan olisi kiellettävä lukuun ottamatta tapauksia, joissa siirron perustana on kansainvälinen sopimus, asianmukaiset takeet tai poikkeus. Lisäksi olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. Asiaa koskeva komission päätös ei kuitenkaan vaikuta mahdollisuuteen suorittaa siirtoja joko asianmukaisten takeiden tai direktiivissä vahvistetun poikkeuksen nojalla.

(49) Las transferencias no basadas en dicha decisión de adecuación solo deben permitirse cuando se hayan invocado las garantías apropiadas en un instrumento jurídicamente vinculante que garantice la protección de los datos personales o cuando el responsable o encargado del tratamiento haya evaluado todas las circunstancias que rodean la operación de transferencia de datos o el conjunto de operaciones de transferencia de datos y, basándose en esta evaluación, considere que existen las garantías apropiadas con respecto a la protección de los datos personales. En los casos en que no existan razones para autorizar una transferencia, deben permitirse excepciones, si fuera necesario, para proteger el interés vital del interesado o de otra persona, o para proteger intereses legítimos del interesado en caso de que la legislación del Estado miembro que transfiere los datos personales así lo disponga, o cuando sea indispensable para prevenir una amenaza inminente y grave para la seguridad pública de un Estado miembro o de un tercer país, o en determinados casos a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, o en casos específicos para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.

(49) Siirrot, jotka eivät perustu tietosuojan riittävyyttä koskevaan päätökseen, olisi sallittava vain, jos oikeudellisesti sitovassa välineessä on annettu asianmukaiset takeet, joilla varmistetaan henkilötietojen suoja, tai jos rekisterinpitäjä tai henkilötietojen käsittelijä on arvioinut kaikkia tiedonsiirtoon tai siirtojen sarjaan liittyviä seikkoja ja katsoo arvionsa perusteella, että henkilötietojen suojasta on olemassa asianmukaiset takeet. Jos siirron sallimiselle ei ole perusteita, olisi voitava soveltaa poikkeusta, jos se on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi tai rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötiedot siirtävän jäsenvaltion laissa niin säädetään, tai jos se on tarpeen jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi, tai yksittäistapauksissa rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi, tai yksittäistapauksissa oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

(50) Cuando los datos personales circulan a través de las fronteras se puede poner en mayor riesgo la capacidad de las personas físicas para ejercer los derechos de protección de datos con el fin de protegerse contra la utilización ilícita o la revelación de dichos datos. Al mismo tiempo, es posible que las autoridades de control se vean en la imposibilidad de tramitar reclamaciones o realizar investigaciones relativas a actividades desarrolladas fuera de sus fronteras. Sus esfuerzos por colaborar en el contexto transfronterizo también pueden verse obstaculizados por poderes preventivos o correctores insuficientes y regímenes jurídicos incoherentes. Por tanto, es necesario fomentar una cooperación más estrecha entre las autoridades de control de la protección de datos para ayudarles a intercambiar información con sus homólogos extranjeros.

(50) Henkilötietojen siirtäminen valtioiden rajojen yli voi vaikeuttaa yksilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi viranomaisten yhteistyötä valtioiden rajatylittävissä tapauksissa voivat vaikeuttaa myös riittämättömät ennalta ehkäisevät tai korjaavat toimivaltuudet tai epäjohdonmukaiset oikeudelliset toimintaympäristöt. Sen vuoksi olisi edistettävä tietosuojavalvontaviranomaisten tiiviimpää keskinäistä yhteistyötä, jotta ne voivat vaihtaa tietoja ulkomaisten kumppaniensa kanssa.

(51) La creación en los Estados miembros de autoridades de control que ejerzan sus funciones con plena independencia constituye un elemento esencial de la protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal. Las autoridades de control deben supervisar la aplicación de las disposiciones adoptadas en aplicación de la presente Directiva y contribuir a su aplicación coherente en toda la Unión, con el fin de proteger a las personas físicas en relación con el tratamiento de sus datos de carácter personal. Para ello, las autoridades de supervisión deben cooperar entre sí y con la Comisión.

(51) Itsenäisesti toimivien valvontaviranomaisten perustaminen jäsenvaltioihin on keskeinen osa yksilöiden suojelua henkilötietojen käsittelyssä. Valvontaviranomaisten olisi seurattava tämän direktiivin nojalla annettujen säännösten soveltamista ja edistettävä direktiivin yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä. Sitä varten valvontaviranomaisten olisi tehtävä yhteistyötä keskenään ja komission kanssa.

(52) Los Estados miembros pueden confiar a una autoridad de control ya creada en los Estados miembros de conformidad con el Reglamento (UE) nº …./2012 la responsabilidad de las funciones que corresponden a las autoridades nacionales de control que han de crearse con arreglo a lo dispuesto en la presente Directiva.

(52) Jäsenvaltiot voivat antaa asetuksen (EU) N:o .../2012 mukaisesti jäsenvaltioihin jo perustetuille valvontaviranomaisille tämän direktiivin mukaisesti perustettavien kansallisten valvontaviranomaisten tehtävät.

(53) Se debe autorizar a los Estados miembros a crear más de una autoridad de control con objeto de reflejar su estructura constitucional, organizativa y administrativa. Todas las autoridades de control deben estar dotadas de los recursos financieros y humanos adecuados, los locales y las infraestructuras que sean necesarios para la realización eficaz de sus tareas, en particular las relacionadas con la asistencia recíproca y la cooperación con otras autoridades de control de la Unión.

(53) Jäsenvaltioiden olisi voitava perustaa useampi kuin yksi valvontaviranomainen omaa perustuslakiaan sekä organisaatio- ja hallintorakennettaan vastaavasti. Kullekin valvontaviranomaiselle olisi osoitettava riittävät taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon ja yhteistyöhön muiden valvontaviranomaisten kanssa kaikkialla unionissa.

(54) Las condiciones generales aplicables a los miembros de la autoridad de control deben establecerse por ley en cada Estado miembro, y disponer, entre otras cosas, que dichos miembros deben ser nombrados por el Parlamento o el Gobierno del Estado miembro, e incluir normas sobre su cualificación personal y función.

(54) Valvontaviranomaisen jäseniin sovellettavat yleiset edellytykset olisi vahvistettava kunkin jäsenvaltion lainsäädännössä. Erityisesti olisi säädettävä, että joko jäsenvaltion parlamentin tai hallituksen on nimitettävä kyseiset jäsenet. Lisäksi olisi vahvistettava säännöt jäsenten henkilökohtaisesta pätevyydestä ja asemasta.

(55) Aunque la presente Directiva también se aplica a las actividades de los órganos jurisdiccionales nacionales, la competencia de las autoridades de control no debe abarcar el tratamiento de datos personales cuando los primeros actúen en ejercicio de su función jurisdiccional, con el fin de garantizar la independencia de los jueces en el desempeño de sus funciones. No obstante, esta excepción debe limitarse estrictamente a verdaderas actividades judiciales en juicios y no debe aplicarse a otras actividades en las que puedan estar implicados los jueces, de conformidad con el Derecho nacional.

(55) Vaikka tätä direktiiviä sovelletaan myös kansallisten tuomioistuinten toimintaan, valvontaviranomaisten toimivallan ei tulisi kattaa henkilötietojen käsittelyä, jota tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä. Vain näin voidaan turvata tuomareiden riippumattomuus heidän hoitaessaan lainkäyttötehtäviään. Tämä poikkeus olisi kuitenkin rajattava koskemaan tuomioistuinten lainkäyttötehtäviä oikeudenkäynneissä, eikä sitä pidä soveltaa muuhun toimintaan, johon tuomarit saattavat osallistua kansallisen lainsäädännön mukaisesti.

(56) Para garantizar la supervisión y ejecución coherentes de la presente Directiva en toda la Unión, las autoridades de control deben gozar en todos los Estados miembros de las mismas funciones y poderes efectivos, incluidos los poderes de investigación, de intervención jurídicamente vinculante, de decisión y sanción, especialmente en casos de reclamaciones de personas físicas, y la capacidad de litigar.

(56) Direktiivin johdonmukaisen seurannan ja täytäntöönpanon varmistamiseksi kaikkialla unionissa valvontaviranomaisilla olisi oltava samat tehtävät ja valtuudet kaikissa jäsenvaltioissa, mukaan lukien tutkintavaltuudet, valtuudet toteuttaa oikeudellisesti sitovia toimia, tehdä päätöksiä ja määrätä seuraamuksia, erityisesti silloin kun yksilöt tekevät valituksia, ja valtuudet panna vireille oikeudellisia menettelyjä.

(57) Cada autoridad de control debe oír las reclamaciones presentadas por cualquier interesado y debe investigar el asunto. La investigación a raíz de una reclamación debe llevarse a cabo, bajo control jurisdiccional, en la medida en que sea adecuada en el caso específico. La autoridad de control debe informar al interesado de la evolución y el resultado de la reclamación en un plazo razonable. Si el caso requiere una mayor investigación o coordinación con otra autoridad de control, se debe facilitar información intermedia al interesado.

(57) Kaikkien valvontaviranomaisten olisi käsiteltävä ja otettava tutkittavaksi rekisteröityjen tekemiä valituksia. Valitus olisi tutkittava siinä määrin kuin kussakin tapauksessa on asiamukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen tutkittavaksi. Valvontaviranomaisen olisi ilmoitettava rekisteröidylle valituksen käsittelyn etenemisestä ja valitusta koskevasta ratkaisustaan kohtuullisen ajan kuluessa. Jos asiassa tarvitaan lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle.

(58) Las autoridades de control deben ayudarse en el desempeño de sus funciones y facilitarse ayuda mutua, con el fin de garantizar la aplicación y ejecución coherentes de las disposiciones adoptadas con arreglo a la presente Directiva.

(58) Valvontaviranomaisten olisi autettava toisiaan tehtäviensä suorittamisessa ja annettava keskinäistä apua varmistaakseen direktiivin nojalla annettujen säännösten johdonmukaisen soveltamisen ja täytäntöönpanon.

(59) El Consejo Europeo de Protección de Datos creado por el Reglamento (UE) nº …./2012 debe contribuir a la aplicación coherente de la presente Directiva en el conjunto de la Unión, entre otras cosas, asesorando a la Comisión y fomentando la cooperación de las autoridades de control en toda la Unión.

(59) Asetuksella (EU) N:o …/2012 perustetun Euroopan tietosuojaneuvoston olisi edistettävä direktiivin yhdenmukaista soveltamista kaikkialla unionissa, mukaan lukien neuvojen antaminen komissiolle sekä valvontaviranomaisten yhteistyön tukeminen unionissa.

(60) Todo interesado debe tener derecho a presentar una reclamación ante una autoridad de control en cualquier Estado miembro y a presentar un recurso judicial si considera que se vulneran sus derechos en el marco de la presente Directiva o en caso de que la autoridad de control no reaccione ante una reclamación o no actúe cuando dicha medida sea necesaria para proteger los derechos del interesado.

(60) Rekisteröidyllä olisi oltava oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle sekä oikeus soveltaa oikeussuojakeinoja, jos hän katsoo, että hänen direktiiviin perustuvia oikeuksiaan on rikottu, tai jos valvontaviranomainen ei käsittele valitusta tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi.

(61) Toda entidad, organización o asociación que tenga por objeto proteger los derechos e intereses de los interesados en relación con la protección de sus datos y esté constituida con arreglo a la legislación de un Estado miembro debe tener derecho a presentar una reclamación ante la autoridad de control o ejercer el derecho de recurso judicial, en nombre de los interesados, o a presentar, independientemente de la reclamación de un interesado, su propia reclamación, cuando considere que se ha producido una violación de los datos personales.

(61) Kaikilla elimillä, järjestöillä ja yhdistyksillä, jotka pyrkivät suojelemaan rekisteröityjen oikeuksia ja etuja heidän henkilötietojensa suojaamiseksi ja jotka on perustettu jäsenvaltion lainsäädännön mukaisesti, olisi oltava oikeus tehdä valitus tai soveltaa oikeussuojakeinoja rekisteröidyn puolesta, jos rekisteröity on ne asianmukaisesti valtuuttanut, tai jos kyseessä on henkilötietojen tietoturvaloukkaus, tehdä oma valitus rekisteröidyn valituksesta riippumatta.

(62) Toda persona física o jurídica debe tener derecho a presentar un recurso judicial contra las decisiones de una autoridad de control que le conciernan. Las acciones legales contra una autoridad de control deben ejercitarse ante los órganos jurisdiccionales del Estado miembro en el que esté establecida la autoridad de control.

(62) Kaikilla luonnollisilla tai oikeushenkilöillä olisi oltava oikeus soveltaa oikeussuojakeinoja niitä koskevia valvontaviranomaisen päätöksiä vastaan. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut.

(63) Los Estados miembros deben garantizar que las acciones judiciales, para ser eficaces, permitan la rápida adopción de medidas con el fin de corregir o impedir una infracción a la presente Directiva.

(63) Jäsenvaltioiden olisi varmistettava, että oikeussuojakeinot ovat tehokkaita ja että niiden avulla voidaan nopeasti hyväksyä toimenpiteitä, joilla korjataan tai ehkäistään direktiivin rikkominen.

(64) Cualquier perjuicio que pueda sufrir una persona como consecuencia de un tratamiento ilícito debe ser compensado por el responsable o el encargado del tratamiento, que pueden quedar exentos de responsabilidad si demuestran que no son responsables del perjuicio, en particular si acreditan la conducta culposa del interesado o en caso de fuerza mayor.

(64) Rekisterinpitäjän tai henkilötietojen käsittelijän olisi korvattava yksilölle laittoman tietojenkäsittelyn vuoksi mahdollisesti aiheutuneet vahingot, mutta rekisterinpitäjä tai henkilötietojen käsittelijä voidaan vapauttaa vastuusta, jos voidaan osoittaa, ettei rekisterinpitäjä tai henkilötietojen käsittelijä ole vastuussa vahingosta, erityisesti, jos rekisteröidyn voidaan osoittaa tehneen virheen tai jos kyseessä on ylivoimainen este.

(65) Deben imponerse sanciones a toda persona física o jurídica, ya sean de Derecho público o privado, que no cumpla lo dispuesto en la presente Directiva. Los Estados miembros deben asegurarse de que las sanciones sean efectivas, proporcionadas y disuasorias y deben tomar todas las medidas para su aplicación.

(65) Olisi säädettävä seuraamuksista julkis- tai yksityisoikeudellisille luonnollisille tai oikeushenkilöille, jotka eivät noudata tätä direktiiviä. Jäsenvaltioiden olisi varmistettava, että seuraamukset ovat tehokkaita, oikeasuhteisia ja varoittavia, ja toteutettava kaikki toimenpiteet seuraamusten täytäntöönpanemiseksi.

(66) Con el fin de cumplir los objetivos de la presente Directiva, a saber, proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales y garantizar el libre intercambio de datos personales por parte de las autoridades competentes en la Unión, debe delegarse a la Comisión la facultad de adoptar actos de conformidad con el artículo 290 del Tratado de Funcionamiento de la Unión Europea. En particular, los actos delegados deben adoptarse con respecto de las notificaciones de una violación de datos personales a la autoridad de control. Es de especial importancia que la Comisión evacue las consultas apropiadas durante sus trabajos preparatorios, con expertos inclusive. La Comisión, al preparar y elaborar actos delegados, debe garantizar una transmisión simultánea, oportuna y apropiada de los documentos pertinentes al Parlamento Europeo y al Consejo.

(66) Jotta voidaan saavuttaa tämän direktiivin tavoitteet eli suojata luonnollisten henkilöiden perusoikeuksia ja –vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan sekä varmistaa henkilötietojen vaihtaminen unionin toimivaltaisten viranomaisten kesken, komissiolle olisi siirrettävä valta hyväksyä säädösvallan siirron nojalla annettavia delegoituja säädöksiä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti. Delegoituja säädöksiä olisi erityisesti annettava niiden ilmoitusten osalta, joita valvontaviranomaiselle on annettava henkilötietojen tietoturvaloukkauksesta. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla. Komission olisi delegoituja säädöksiä valmistellessaan ja laatiessaan varmistettava, että asianomaiset asiakirjat toimitetaan Euroopan parlamentille ja neuvostolle yhtäaikaisesti, hyvissä ajoin ja asianmukaisesti.

(67) Con el fin de garantizar unas condiciones uniformes para la aplicación de la presente Directiva, se deben conferir competencias de ejecución a la Comisión por lo que respecta a la documentación por parte de los responsables y encargados del tratamiento; la seguridad del tratamiento, especialmente en lo que se refiere a las normas de cifrado; la notificación de una violación de los datos personales a la autoridad de control, y el nivel adecuado de protección que ofrece un tercer país, un territorio, un sector de tratamiento en dicho tercer país o una organización internacional. Estas competencias deben ejercerse de conformidad con el Reglamento (UE) nº 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión[36].

(67) Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano rekisterinpitäjien ja henkilötietojen käsittelijöiden suorittaman dokumentoinnin, käsittelyn turvallisuuden ja erityisesti salausstandardien, henkilötietojen tietoturvaloukkauksista valvontaviranomaiselle ilmoittamisen sekä kolmannen maan, kolmannen maan alueen tai tietojenkäsittelyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyyden osalta, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä, 16 päivänä helmikuuta 2011 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011[36] mukaisesti.

(68) El procedimiento de examen debe emplearse para la adopción de medidas por lo que respecta a la documentación por parte de los responsables y encargados del tratamiento; la seguridad del tratamiento, especialmente en lo que se refiere a las normas de cifrado; la notificación de una violación de los datos personales a la autoridad de control; y el nivel adecuado de protección que ofrece un tercer país, un territorio, un sector de tratamiento en dicho tercer país o una organización internacional, dado que dichos actos son de alcance general.

(68) Silloin kun hyväksytään toimenpiteitä, jotka koskevat rekisterinpitäjien ja henkilötietojen käsittelijöiden suorittamaa dokumentointia, käsittelyn turvallisuutta, henkilötietojen tietoturvaloukkauksista ilmoittamista valvontaviranomaiselle sekä kolmannen maan, kolmannen maan alueen tai tietojenkäsittelyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyyttä, olisi sovellettava tarkastelumenettelyä, sillä nämä toimenpiteet ovat laajakantoisia.

(69) La Comisión debe adoptar actos de ejecución inmediatamente aplicables cuando así lo requieran razones perentorias, en casos debidamente justificados relacionados con un tercer país, un territorio o un sector de tratamiento en ese tercer país, o una organización internacional que no garantice un nivel de protección adecuado.

(69) Komission olisi hyväksyttävä välittömästi sovellettavia täytäntöönpanosäädöksiä, kun tämä on tarpeen asianmukaisesti perustelluissa erittäin kiireellisissä tapauksissa, jotka liittyvät kolmanteen maahan tai kyseisen kolmannen maan alueeseen tai tietojenkäsittelyn sektoriin tai kansainväliseen järjestöön, joka ei huolehdi riittävästä tietosuojasta.

(70) Dado que los objetivos de la presente Directiva, a saber, proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales y garantizar el libre intercambio de datos personales por parte de las autoridades competentes en la Unión, no pueden ser alcanzados de manera suficiente por los Estados miembros y, por consiguiente, debido a la escala o los efectos de la actuación, pueden lograrse mejor a nivel de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad consagrado en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad enunciado en dicho artículo, la presente Directiva no excede de lo necesario para alcanzar dicho objetivo.

(70) Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, joita ovat luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien ja erityisesti henkilötietojen suojaa koskevan oikeuden suojeleminen sekä unionin toimivaltaisten viranomaisten välisen henkilötietojen vaihtamisen varmistaminen, vaan ne voidaan toimien laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla, joten unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Kyseisessä artiklassa määrätyn suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei mennä pidemmälle kuin tämän tavoitteen saavuttaminen edellyttää.

(71) La Decisión Marco 2008/977/JAI debe ser derogada por la presente Directiva.

(71) Puitepäätös 2008/977/YOS olisi korvattava tällä direktiivillä.

(72) No deben verse afectadas las disposiciones específicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales en los actos de la Unión que hayan sido adoptados antes de la fecha de adopción de la presente Directiva, que regulan el tratamiento de los datos personales entre los Estados miembros o el acceso de las autoridades designadas de los Estados miembros a los sistemas de información establecidos con arreglo a lo dispuesto en los Tratados. La Comisión debe evaluar la situación con respecto a la relación entre la presente Directiva y los actos adoptados con anterioridad a su fecha de adopción que regulan el tratamiento de los datos personales entre los Estados miembros o el acceso de las autoridades designadas de los Estados miembros a los sistemas de información establecidos con arreglo a lo dispuesto en los Tratados, a fin de evaluar la necesidad de ajustar estas disposiciones específicas a la presente Directiva.

(72) Tämä ei vaikuta erityisiin säännöksiin, jotka koskevat toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten ja jotka sisältyvät ennen direktiivin hyväksymispäivää annettuihin unionin säädöksiin, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin. Komission olisi arvioitava tämän direktiivin ja niiden ennen direktiivin hyväksymispäivää annettujen säädösten suhdetta, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin, päättääkseen, olisiko näitä erityisiä säännöksiä yhdenmukaistettava tämän direktiivin säännösten kanssa.

(73) Con el fin de garantizar una protección amplia y coherente de los datos personales en la Unión, los acuerdos internacionales celebrados por los Estados miembros con anterioridad a la entrada en vigor de la presente Directiva deben modificarse en consonancia con lo dispuesto en la misma.

(73) Henkilötietojen kattavan ja yhtenäisen suojelun varmistamiseksi unionissa jäsenvaltioiden ennen direktiivin voimaantuloa tekemiä kansainvälisiä sopimuksia olisi muutettava vastaamaan direktiiviä.

(74) La presente Directiva se entiende sin perjuicio de las normas relativas a la lucha contra los abusos sexuales, la explotación sexual de los niños, y la pornografía infantil, tal como se establecen en la Directiva 2011/92/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011[37].

(74) Tämä direktiivi ei rajoita 13 päivänä joulukuuta 2011 annetussa Euroopan parlamentin ja neuvoston direktiivissä 2011/93/EU[37] vahvistettuja sääntöjä, jotka koskevat lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumista.

(75) De conformidad con el artículo 6bis del Protocolo sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, las normas establecidas en la presente Directiva solo serán vinculantes para el Reino Unido o Irlanda en la medida en que sean vinculantes para estos Estados normas de la Unión que regulen formas de cooperación judicial en materia penal y de cooperación policial en cuyo marco deban respetarse las disposiciones establecidas basándose en el artículo 16 del Tratado de Funcionamiento de la Unión Europea.

(75) Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyn pöytäkirjan 6 a artiklan mukaisesti tässä direktiivissä vahvistetut säännöt eivät sido Yhdistynyttä kuningaskuntaa ja Irlantia siinä tapauksessa, että niihin ei myöskään sovelleta rikosasioissa tehtävää oikeudellista yhteistyötä tai poliisiyhteistyötä koskevia sääntöjä, jotka edellyttävät Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaisesti vahvistettujen säännösten noudattamista.

(76) De conformidad con lo dispuesto en los artículos 2 y 2bis del Protocolo sobre la posición de Dinamarca, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Dinamarca no queda obligada por la presente Directiva ni está sujeta a su aplicación. Dado que la presente Directiva desarrolla el acervo de Schengen en el marco de las disposiciones del título V de la parte tres del Tratado de Funcionamiento de la Unión Europea, de conformidad con el artículo 4 del Protocolo, Dinamarca debe decidir, en un plazo de seis meses a partir de la adopción de la presente Directiva, si lo incorpora a su legislación nacional.

(76) Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Tanskan asemasta tehdyn pöytäkirjan 2 ja 2 a artiklan mukaisesti tämä direktiivi ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä direktiivillä kehitetään Schengenin säännöstöä Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 3 luvun mukaisesti, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun tämä direktiivi on hyväksytty, saattaako se direktiivin osaksi kansallista lainsäädäntöään.

(77) Por lo que se refiere a Islandia y Noruega, la presente Directiva constituye un desarrollo de las disposiciones del acervo de Schengen, como se establece en el Acuerdo celebrado por el Consejo de la Unión Europea con la República de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen[38].

(77) Islannin ja Norjan osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välillä viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyssä sopimuksessa[38].

(78) Por lo que respecta a Suiza, la presente Directiva constituye un desarrollo de las disposiciones del acervo de Schengen, como se establece en el Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen[39].

(78) Sveitsin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välillä allekirjoitetussa sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen[39].

(79) Por lo que respecta a Liechtenstein, la presente Directiva constituye un desarrollo de las disposiciones del acervo de Schengen, como se establece en el Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, aplicación y desarrollo del acervo de Schengen[40].

(79) Liechtensteinin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa, joka koskee Liechtensteinin ruhtinaskunnan liittymistä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehtyyn sopimukseen[40].

(80) La presente Directiva respeta los derechos fundamentales y observa los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, consagrados en el Tratado, en particular el derecho al respeto de la vida privada y familiar, el derecho a la protección de los datos personales, el derecho a la tutela judicial efectiva y a un juicio justo. Las limitaciones aplicadas a estos derechos son conformes al artículo 52, apartado 1, de la Carta ya que son necesarias para alcanzar objetivos de interés general reconocidos por la Unión o la necesidad de protección de los derechos y libertades de otras personas.

(80) Tässä direktiivissä kunnioitetaan perusoikeuksia ja otetaan huomioon Euroopan unionin perusoikeuskirjassa tunnustetut periaatteet sellaisina kuin ne on vahvistettu perussopimuksessa, erityisesti oikeus yksityis- ja perhe-elämän kunnioittamiseen, oikeus henkilötietojen suojaan sekä oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen. Näitä oikeuksia voidaan rajoittaa perusoikeuskirjan 52 artiklan 1 kohdan mukaisesti, jos rajoitukset ovat välttämättömiä, jotta voidaan saavuttaa unionin tunnustamat yleisen edun mukaiset tavoitteet tai suojella muiden henkilöiden oikeuksia ja vapauksia.

(81) De conformidad con la Declaración política conjunta de los Estados miembros y de la Comisión sobre los documentos explicativos de 28 de septiembre de 2011, los Estados miembros se han comprometido a adjuntar a la notificación de sus medidas de transposición, cuando esté justificado, uno o varios documentos que expliquen la relación entre los elementos de una directiva y las partes correspondientes de los instrumentos nacionales de transposición. Con respecto a la presente Directiva, el legislador considera que la transmisión de estos documentos está justificada.

(81) Kuten todetaan jäsenvaltioiden ja komission 28 päivänä syyskuuta 2011 antamassa yhteisessä poliittisessa lausumassa selittävistä asiakirjoista, jäsenvaltiot sitoutuvat perustelluissa tapauksissa liittämään täytäntöönpanotoimia koskevaan ilmoitukseen yhden tai useamman selittävän asiakirjan, joissa kuvataan direktiivin eri osien ja kansallisten täytäntöönpanosäännösten vastaavien osien suhdetta. Lainsäätäjä katsoo tämän direktiivin osalta, että on perusteltua toimittaa tällaiset asiakirjat.

(82) La presente Directiva no impedirá que los Estados miembros regulen el ejercicio de los derechos de los interesados sobre información, acceso, rectificación, supresión y restricción de sus datos personales tratados en el marco de un procedimiento penal, y sus posibles restricciones, en las normas nacionales en materia de enjuiciamiento penal.

(82) Direktiivi ei saisi estää jäsenvaltioita panemasta kansallisissa rikosprosessisäännöissään täytäntöön rekisteröidyn oikeuksia, jotka koskevat rekisteröidylle ilmoittamista, tiedonsaantia, rikosoikeudellisten menettelyjen yhteydessä käsiteltävien henkilötietojen oikaisemista ja poistamista ja käsittelyn rajoittamista sekä näille oikeuksille mahdollisesti asetettuja rajoituksia,

HAN ADOPTADO LA PRESENTE DIRECTIVA:

OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN:

CAPÍTULO I

I LUKU

DISPOSICIONES GENERALES

YLEISET SÄÄNNÖKSET

Artículo 1 Objeto y objetivos

1 artikla Kohde ja tavoitteet

1.           La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.

1.           Tässä direktiivissä vahvistetaan säännöt yksilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten.

2.           De conformidad con la presente Directiva, los Estados miembros deberán:

2.           Direktiivin mukaisesti jäsenvaltioiden on:

a)      proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales; y

a)      suojeltava luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan; sekä

b)      garantizar que el intercambio de datos personales por parte de las autoridades competentes en el interior de la Unión no quede restringido ni prohibido por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

b)      varmistettava, että toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa unionin sisällä ei rajoiteta eikä kielletä syistä, jotka liittyvät yksilöiden suojeluun henkilötietojen käsittelyssä.

Artículo 2 Ámbito de aplicación

2 artikla Soveltamisala

1.           La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines mencionados en el artículo 1, apartado 1.

1.           Tätä direktiiviä sovelletaan toimivaltaisten viranomaisten 1 artiklan 1 kohdan mukaisia tarkoituksia varten suorittamaan henkilötietojen käsittelyyn.

2.           La presente Directiva se aplicará al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

2.           Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun henkilötietojen käsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

3.           La presente Directiva no se aplicará al tratamiento de datos personales:

3.           Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

a)      en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión, en particular en lo que respecta a la seguridad nacional;

a)      joka suoritetaan sellaisen toiminnan, erityisesti kansallista turvallisuutta koskevan toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan;

b)      por parte de las instituciones, órganos u organismos de la Unión.

b)      jota suorittavat unionin toimielimet, elimet ja laitokset.

Artículo 3 Definiciones

3 artikla Määritelmät

A efectos de la presente Directiva se entenderá por:

Tässä direktiivissä tarkoitetaan

1)           «interesado»: toda persona física identificada o que pueda ser identificada, directa o indirectamente, por medios que puedan ser utilizados razonablemente por el responsable del tratamiento o por cualquier otra persona física o jurídica, en particular mediante un número de identificación, datos de localización, identificador en línea o uno o varios elementos específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

(1) ’rekisteröidyllä’ luonnollista henkilöä, joka on tunnistettu tai joka on tunnistettavissa suoraan tai epäsuorasti keinoin, joita joko rekisterinpitäjä tai muu luonnollinen tai oikeushenkilö voi kohtuuden rajoissa käyttää, erityisesti henkilönumeron, sijaintitiedon, internet-tunnisteiden taikka yhden tai useamman henkilölle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella;

2)           «datos personales»: toda información relativa a un interesado;

(2) ’henkilötiedoilla’ kaikkia rekisteröityä koskevia tietoja;

3)           «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, efectuadas o no mediante procedimientos automatizados, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, supresión o destrucción;

(3) ’käsittelyllä’ kaikenlaisia toimintoja tai toimintosarjoja, joita kohdistetaan henkilötietoihin tai henkilötietojen kokoelmiin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista, muuttamista, hakua tai käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä sekä niiden rajoittamista, poistamista tai tuhoamista;

4)           «restricción de tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

(4) ’käsittelyn rajoittamisella’ tallennettujen henkilötietojen merkitsemistä tarkoituksena rajoittaa niiden myöhempää käsittelyä;

5)           «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

(5) ’rekisteröintijärjestelmällä’ kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu;

6)           «responsable del tratamiento»: la autoridad pública competente que sola o conjuntamente con otras determine los fines, condiciones y medios del tratamiento de datos personales; en caso de que los fines, condiciones y medios del tratamiento estén determinados por el Derecho de la Unión o la legislación de los Estados miembros, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho de la Unión o por la legislación de los Estados miembros;

(6) ’rekisterinpitäjällä’ toimivaltaista viranomaista, joka yksin tai yhdessä muiden kanssa määrittää henkilötietojen käsittelyn tarkoitukset, edellytykset ja keinot; jos käsittelyn tarkoitukset, edellytykset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin tai jäsenvaltioiden säännösten mukaisesti;

7)           «encargado del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento;

(7) ’henkilötietojen käsittelijällä’ luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;

8)           «destinatario»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que reciba comunicación de datos personales;

(8) ’vastaanottajalla’ luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja;

9)           «violación de datos personales»: toda violación de la seguridad que ocasione la destrucción accidental o ilícita, la pérdida, alteración, comunicación no autorizada o el acceso a datos personales transmitidos, conservados o tratados de otra forma;

(9) ’henkilötietojen tietoturvaloukkauksella’ tietoturvaloukkausta, jonka seurauksena on vahingossa tapahtuva tai laiton siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka saanti;

10)         «datos genéticos»: todos los datos, con independencia de su tipo, relativos a las características de una persona que sean hereditarias o adquiridas durante el desarrollo prenatal temprano;

(10) ’geneettisillä tiedoilla’ kaikenlaisia tietoja yksilön perityistä tai sikiöaikaisen kehityksen aikana syntyneistä ominaisuuksista;

11)         «datos biométricos»: cualesquiera datos relativos a las características físicas, fisiológicas o conductuales de una persona que permitan su identificación única, como imágenes faciales o datos dactiloscópicos;

(11) ’biometrisillä tiedoilla’ kaikkia yksilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyviä tietoja, joiden perusteella yksilö voidaan tunnistaa, kuten kasvokuvia tai sormenjälkitietoja;

12)         «datos relativos a la salud»: cualquier información que se refiera a la salud física o mental de una persona, o a la asistencia prestada por los servicios de salud a la persona;

(12) ’terveystiedoilla’ yksilön fyysiseen tai psyykkiseen terveyteen tai hänelle tarjottuihin terveyspalveluihin liittyviä tietoja;

13)         «niño»: toda persona menor de 18 años;

(13) ’lapsella’ alle 18-vuotiasta henkilöä;

14)         «autoridades competentes»: toda autoridad pública competente para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales;

(14) ’toimivaltaisilla viranomaisilla’ viranomaisia, joiden toimivalta kattaa rikosten torjumisen, tutkimisen, selvittämisen ja syytteeseenpanon tai rikosoikeudellisten seuraamusten täytäntöönpanon;

15)         «autoridad de control»: la autoridad pública establecida por un Estado miembro de acuerdo con el artículo 39.

(15) ’valvontaviranomaisella’ jäsenvaltion 39 artiklan mukaisesti perustamaa viranomaista.

CAPÍTULO II

II LUKU

PRINCIPIOS

PERIAATTEET

Artículo 4 Principios relativos al tratamiento de datos personales

4 artikla Henkilötietojen käsittelyä koskevat periaatteet

Los Estados miembros dispondrán que los datos personales deben ser:

Jäsenvaltioiden on säädettävä, että

a)      tratados de manera lícita y leal;

a)      henkilötietoja on käsiteltävä asianmukaisesti ja lainmukaisesti;

b)      recogidos con fines determinados, explícitos y legítimos, y no ser tratados posteriormente de manera incompatible con dichos fines;

b)      henkilötiedot on kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä saa myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla;

c)      adecuados, pertinentes y no excesivos en relación con los fines para los que se traten;

c)      henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään;

d)      exactos y, si fuera necesario, mantenerse actualizados; se deben adoptar todas las medidas razonables para que se supriman o rectifiquen sin demora los datos personales que sean inexactos con respecto a los fines para los que se traten;

d)      henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on tehtävä kaikki mahdollinen sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset tiedot poistetaan tai oikaistaan viipymättä;

e)      conservados en una forma que permita identificar al interesado durante un periodo no superior al necesario para los fines para los que se someten a tratamiento;

e)      henkilötietoja on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten;

f)       tratados bajo la responsabilidad del responsable del tratamiento, que garantizará el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva.

f)       vastuu henkilötietojen käsittelystä kuuluu rekisterinpitäjälle, jonka on huolehdittava tämän direktiivin nojalla annettujen säännösten noudattamisesta.

.

5 artikla Eri ryhmiin kuuluvien rekisteröityjen erottaminen

Artículo 5 Distinción entre diferentes categorías de interesados

1.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä erottaa mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten:

1.           Los Estados miembros dispondrán que, en la medida de lo posible, el responsable del tratamiento establecerá una distinción clara entre los datos personales de las distintas categorías de interesados, tales como:

a)      henkilöt, joiden voidaan aiheellisesti uskoa syyllistyneen tai olevan syyllistymässä rikokseen;

a)      personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal;

b)      rikoksesta tuomitut henkilöt;

b)      personas condenadas por una infracción penal;

c)      rikoksen uhrit tai henkilöt, joiden voidaan tiettyjen seikkojen pohjalta olettaa voivan joutua rikoksen uhriksi;

c)      víctimas de una infracción penal o personas respecto de las cuales existan motivos fundados para presumir que pueden ser víctimas de una infracción penal;

d)      rikokseen nähden kolmannet osapuolet, kuten henkilöt, jotka voidaan kutsua todistamaan rikokseen liittyvän tutkinnan yhteydessä tai sitä seuraavassa rikosoikeudenkäynnissä, tai henkilöt, joka voivat antaa tietoa rikoksesta, tai edellä a tai b alakohdassa tarkoitettujen henkilöiden tuttavat tai kumppanit; sekä

d)      terceras partes involucradas en una infracción penal como, por ejemplo, personas que puedan ser citadas para testificar en investigaciones relacionadas con infracciones penales o procedimientos penales ulteriores, o personas que puedan facilitar información sobre infracciones penales, o personas de contacto o asociados de una de las personas mencionadas en las letras a) y b); y

e)      henkilöt, jotka eivät kuulu mihinkään edellä mainituista ryhmistä.

e)      personas que no entren dentro de ninguna de las categorías contempladas más arriba.

6 artikla Henkilötietojen eriasteinen tarkkuus ja luotettavuus

Artículo 6 Diferentes grados de exactitud y fiabilidad de los datos personales

1.           Jäsenvaltioiden on varmistettava, että käsiteltävät henkilötiedot jaotellaan mahdollisuuksien mukaan eri ryhmiin tarkkuutensa ja luotettavuutensa perusteella.

1.           Los Estados miembros velarán por que, en la medida de lo posible, las diferentes categorías de datos personales objeto de tratamiento se distingan según su grado de exactitud y fiabilidad.

2.           Jäsenvaltioiden on varmistettava, että tosiseikkoihin perustuvat henkilötiedot erotetaan mahdollisuuksien mukaan henkilökohtaisiin arvioihin perustuvista henkilötiedoista.

2.           Los Estados miembros velarán por que, en la medida de lo posible, los datos personales basados en hechos se distingan de los datos personales basados en apreciaciones personales.

7 artikla Käsittelyn lainmukaisuus

Artículo 7 Licitud del tratamiento de datos

Jäsenvaltioiden on säädettävä, että henkilötietojen käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin se on tarpeen

Los Estados miembros dispondrán que el tratamiento de datos personales solo será lícito en la medida en que sea necesario:

(a) toimivaltaisen viranomaisen lakisääteisen tehtävän suorittamiseksi 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten; tai

a)           para la ejecución de una tarea realizada por una autoridad competente, basada en la ley, para los fines establecidos en el artículo 1, apartado 1; o

(b) rekisterinpitäjän lakisääteisen velvollisuuden noudattamiseksi; tai

b)           para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o

(c) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; tai

c)           con el fin de proteger los intereses vitales del interesado o de otra persona; o

(d) yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi.

d)           a fin de prevenir una amenaza inminente y grave para la seguridad pública.

8 artikla Erityisiä tietoryhmiä koskeva käsittely

Artículo 8 Tratamiento de categorías especiales de datos personales

1.           Jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä geneettisten tietojen tai terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely.

1.           Los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, la religión o las creencias, o la afiliación sindical, así como el tratamiento de datos genéticos o de datos relativos a la salud o a la vida sexual.

2.           Edellä olevaa 1 kohtaa ei sovelleta, jos:

2.           El apartado 1 no será aplicable cuando:

a)      käsittely on sallittu laissa, jossa säädetään asianmukaisista takeista; tai

a)      el tratamiento esté autorizado por una ley que establezca garantías apropiadas; o

b)      käsittely on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; tai

b)      el tratamiento sea necesario para proteger los intereses vitales del interesado o de otra persona; o

c)      käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi.

c)      el tratamiento ataña a datos que el interesado ha hecho manifiestamente públicos.

9 artikla Profilointiin ja automaattiseen käsittelyyn perustuvat toimenpiteet

Artículo 9 Medidas basadas en la elaboración de perfiles y el tratamiento automatizado

1.           Jäsenvaltioiden on säädettävä, että toimenpiteet, joilla on rekisteröidyn kannalta kielteisiä oikeusvaikutuksia tai jotka vaikuttavat rekisteröityyn merkittävällä tavalla ja jotka on tehty yksinomaan henkilötietojen automaattisen käsittelyn perusteella, jonka tarkoituksena on arvioida rekisteröidyn tiettyjä henkilökohtaisia ominaisuuksia, on sallittu vain, jos ne ovat sellaisen lain mukaisia, jossa vahvistetaan myös toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.

1.           Los Estados miembros dispondrán que las medidas que produzcan efectos jurídicos negativos para el interesado o le afecten sustancialmente y que se basen únicamente en un tratamiento automatizado de datos personales destinado a evaluar determinados aspectos personales del interesado estarán prohibidas, salvo que estén autorizadas por una ley que también establezca medidas para salvaguardar los intereses legítimos del interesado.

2.           Henkilötietojen automaattinen käsittely, jonka tarkoituksena on rekisteröidyn tiettyjen henkilökohtaisten ominaisuuksien arviointi, ei saa perustua pelkästään 8 artiklassa tarkoitettuihin erityisiin tietoryhmiin.

2.           El tratamiento automatizado de datos personales destinado a evaluar determinados aspectos personales del interesado no se basará únicamente en las categorías especiales de datos personales contempladas en el artículo 8.

III LUKU

CAPÍTULO III

REKISTERÖIDYN OIKEUDET

DERECHOS DEL INTERESADO

10 artikla Rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt

Artículo 10 Modalidades de ejercicio de los derechos del interesado

1.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä toteuttaa kaikki kohtuulliset toimenpiteet huolehtiakseen, että sillä on käytössä läpinäkyvät ja helposti saatavilla olevat toimintatavat henkilötietojen käsittelyä ja rekisteröidyn oikeuksien käyttöä varten.

1.           Los Estados miembros dispondrán que el responsable del tratamiento adoptará todas las medidas razonables para dotarse de políticas transparentes y fácilmente accesibles por lo que respecta al tratamiento de datos personales y al ejercicio de los derechos de los interesados.

2.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on toimitettava rekisteröidylle kaikki henkilötietojen käsittelyä koskevat tiedot ja viestit helposti ymmärrettävässä muodossa sekä selkeällä ja yksinkertaisella kielellä.

2.           Los Estados miembros dispondrán que el responsable del tratamiento facilitará al interesado cualquier información y comunicación relativa al tratamiento de datos personales, en forma inteligible, utilizando un lenguaje claro y sencillo.

3.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä toteuttaa kaikki kohtuulliset toimenpiteet vahvistaakseen menettelyt 11 artiklassa tarkoitettujen tietojen toimittamista sekä 12–17 artiklassa tarkoitettujen rekisteröidyn oikeuksien käyttöä varten.

3.           Los Estados miembros dispondrán que el responsable del tratamiento adoptará todas las medidas razonables con miras a establecer procedimientos para facilitar la información contemplada en el artículo 11, y para el ejercicio de los derechos de los interesados contemplados en los artículos 12 a 17.

4.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle tämän esittämän pyynnön käsittelystä ilman aiheetonta viivytystä.

4.           Los Estados miembros dispondrán que el responsable del tratamiento informará al interesado, sin demora injustificada, sobre el curso dado a su solicitud.

5.           Jäsenvaltioiden on säädettävä, että 3 kohdassa tarkoitetut tiedot ja kaikki 4 kohdassa tarkoitettua pyyntöä seuraavat rekisterinpitäjän toimet ovat maksuttomia. Jos pyynnöt ovat häiritseviä erityisesti toistuvuutensa tai laajuutensa takia, rekisterinpitäjä voi periä maksun tietojen toimittamisesta tai pyydetyn toimen suorittamisesta tai rekisterinpitäjä voi jättää pyydetyn toimen suorittamatta. Siinä tapauksessa rekisterinpitäjän on todistettava pyyntöjen häiritsevyys.

5.           Los Estados miembros dispondrán que la información y cualquier medida adoptada por el responsable del tratamiento a raíz de una solicitud contemplada en los apartados 3 y 4 serán gratuitas. Cuando las solicitudes sean abusivas, en particular a causa de su carácter repetitivo, su tamaño o su volumen, el responsable del tratamiento podrá cobrar una tasa para facilitar la información o adoptar la medida solicitada, o podrá decidir no adoptar la medida solicitada. En tal caso, la carga de demostrar el carácter abusivo de la solicitud recaerá en el responsable del tratamiento.

11 artikla Rekisteröidylle ilmoittaminen

Artículo 11 Información al interesado

1.           Rekisteröityä koskevia henkilötietoja kerättäessä jäsenvaltioiden on varmistettava, että rekisterinpitäjä toteuttaa kaikki asianmukaiset toimenpiteet toimittaakseen rekisteröidylle ainakin seuraavat tiedot:

1.           Cuando se recojan datos personales relativos a un interesado, los Estados miembros velarán por que el responsable del tratamiento tome todas las medidas oportunas para facilitar al interesado, al menos, la siguiente información:

a)      rekisterinpitäjän ja tietosuojavastaavan henkilöllisyys ja yhteystiedot;

a)      la identidad y los datos de contacto del responsable del tratamiento y del delegado de protección de datos;

b)      henkilötietojen käsittelyn tarkoitukset;

b)      los fines del tratamiento a que se destinan los datos personales;

c)      henkilötietojen säilytysaika;

c)      el plazo durante el cual se conservarán los datos personales;

d)      tieto siitä, että rekisteröidyllä on oikeus pyytää häntä itseään koskevia henkilötietoja rekisterinpitäjältä sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista tai niiden käsittelyn rajoittamista;

d)      la existencia del derecho a solicitar del responsable del tratamiento el acceso a los datos personales relativos al interesado y su rectificación, su supresión o la limitación de su tratamiento;

e)      tieto siitä, että rekisteröidyllä on oikeus tehdä valitus 39 artiklassa tarkoitetulle valvontaviranomaiselle, ja viranomaisen yhteystiedot;

e)      el derecho a presentar una reclamación ante la autoridad de control contemplada en el artículo 39 y los datos de contacto de la misma;

f)       henkilötietojen vastaanottajat tai vastaanottajaryhmät, myös kolmansissa maissa tai kansainvälisissä järjestöissä;

f)       los destinatarios o las categorías de destinatarios de los datos personales, en particular en terceros países u organizaciones internacionales;

g)      muut tiedot, jotka ovat tarpeen rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi, ottaen huomioon henkilötietojen käsittelyyn liittyvät erityiset olosuhteet.

g)      cualquier otra información en la medida en que resulte necesaria para garantizar un tratamiento de datos leal respecto del interesado, habida cuenta de las circunstancias específicas en las que se traten los datos personales.

2.           Jos henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on ilmoitettava rekisteröidylle 1 kohdassa tarkoitettujen tietojen lisäksi, onko henkilötietojen antaminen pakollista vai vapaaehtoista, sekä tietojen antamatta jättämisen mahdolliset seuraukset.

2.           Cuando los datos personales se recojan del interesado, el responsable del tratamiento le comunicará, además de la información contemplada en el apartado 1, si el suministro de datos personales es obligatorio o voluntario, así como las posibles consecuencias de que no se faciliten tales datos.

3.           Rekisterinpitäjän on toimitettava 1 kohdassa tarkoitetut tiedot:

3.           El responsable del tratamiento facilitará la información contemplada en el apartado 1:

a)      silloin kun rekisteröidyltä saadaan henkilötietoja; tai

a)      en el momento en que los datos personales se obtengan del interesado, o

b)      jos henkilötietoja ei kerätä rekisteröidyltä, silloin kun tietoja tallennetaan tai kohtuullisen ajan kuluttua tietojen keräämisestä, ottaen huomioon tietojen käsittelyyn liittyvät erityiset olosuhteet.

b)      cuando los datos personales no se recojan del interesado, en el momento del registro o en un plazo razonable después de la recogida, habida cuenta de las circunstancias específicas en que se traten los datos.

4.           Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään tai rajoitetaan rekisteröidylle ilmoittamista tai poistetaan kokonaan ilmoittamista koskeva säännös, siltä osin ja niin pitkäksi aikaa kuin osittainen tai täydellinen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen henkilön oikeutetut edut:

4.           Los Estados miembros podrán adoptar medidas legislativas por las que se retrase, limite o exima la puesta a disposición del interesado de la información en la medida y siempre que dicha limitación total o parcial constituya una medida necesaria y proporcional en una sociedad democrática, teniendo debidamente en cuenta los intereses legítimos de la persona en cuestión:

(a) jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

a)      para evitar que se obstaculicen pesquisas, investigaciones o procedimientos jurídicos o de carácter oficial;

(b) jotta vältetään tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle;

b)      para evitar que se prejuzgue la prevención, detección, investigación y enjuiciamiento de infracciones penales o para la ejecución de sanciones penales;

(c) yleisen turvallisuuden suojelemiseksi;

c)      para proteger la seguridad pública;

(d) kansallisen turvallisuuden suojelemiseksi;

d)      para proteger la seguridad nacional;

(e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

e)      para proteger los derechos y libertades de otras personas.

5.           Jäsenvaltiot voivat määrittää ne tietojenkäsittelyn ryhmät, jotka voivat kuulua kokonaan tai osittain 4 kohdassa tarkoitettujen poikkeusten soveltamisalaan.

5.           Los Estados miembros podrán determinar las categorías de tratamiento de datos que pueden acogerse, en su totalidad o en parte, a las exenciones del apartado 4.

12 artikla Rekisteröidyn tiedonsaantioikeus

Artículo 12 Derecho de acceso del interesado

1.           Jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja vai eikö käsitellä. Jos henkilötietoja käsitellään, rekisterinpitäjän on annettava seuraavat tiedot:

1.           Los Estados miembros reconocerán el derecho del interesado a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen. En caso de que se confirme el tratamiento, el responsable facilitará la siguiente información:

a)      käsittelyn tarkoitukset;

a)      los fines del tratamiento;

b)      kyseessä olevat henkilötietojen ryhmät;

b)      las categorías de datos personales de que se trate;

c)      vastaanottajat tai vastaanottajaryhmät, joille henkilötietoja on luovutettu, erityisesti kolmansissa maissa olevat vastaanottajat;

c)      los destinatarios o las categorías de destinatarios a quienes se han comunicado los datos personales, en particular los destinatarios establecidos en terceros países;

d)      henkilötietojen säilytysaika;

d)      el plazo durante el cual se conservarán los datos personales;

e)      tieto siitä, että rekisteröidyllä on oikeus pyytää rekisterinpitäjää oikaisemaan tai poistamaan rekisteröityä koskevat henkilötiedot tai rajoittamaan niiden käsittelyä;

e)      la existencia del derecho a solicitar del responsable del tratamiento la rectificación, supresión o limitación del tratamiento de datos personales relativos al interesado;

f)       tieto siitä, että rekisteröidyllä oikeus tehdä valitus valvontaviranomaiselle, ja viranomaisen yhteystiedot;

f)       el derecho a presentar una reclamación ante la autoridad de control y los datos de contacto de la misma;

g)      käsiteltävät henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot.

g)      la comunicación de los datos personales objeto de tratamiento, así como cualquier información disponible sobre su origen;

2.           Jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä jäljennös käsiteltävistä henkilötiedoista.

2.           Los Estados miembros reconocerán el derecho del interesado a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento.

13 artikla Tiedonsaantioikeuden rajoittaminen

Artículo 13 Limitaciones al derecho de acceso

1. Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla rajoitetaan kokonaan tai osittain rekisteröidyn tiedonsaantioikeutta siltä osin kuin osittainen tai täydellinen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen henkilön oikeutetut edut:

1. Los Estados miembros podrán adoptar medidas legislativas por las que se limite, en su totalidad o en parte, el derechos de acceso del interesado en la medida en que dicha limitación parcial o completa constituya una medida necesaria y proporcional en una sociedad democrática, teniendo debidamente en cuenta los intereses legítimos de la persona de que se trate:

(a) jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

a)      para evitar que se obstaculicen pesquisas, investigaciones o procedimientos jurídicos u oficiales;

(b) jotta vältetään tuottamasta haittaa rikosten torjumiselle, selvittämiselle, tutkimiselle ja syytteeseenpanolle tai rikosoikeudellisten seuraamusten täytäntöönpanolle;

b)      para evitar que se prejuzgue la prevención, detección, investigación y enjuiciamiento de infracciones penales o la ejecución de sanciones penales;

(c) yleisen turvallisuuden suojelemiseksi;

c)      para proteger la seguridad pública;

(d) kansallisen turvallisuuden suojelemiseksi;

d)      para proteger la seguridad nacional;

(e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

e)      para proteger los derechos y libertades de otras personas.

2. Jäsenvaltiot voivat laissa määrittää ne tietojenkäsittelyn ryhmät, jotka voivat kuulua kokonaan tai osittain 1 kohdassa tarkoitettujen poikkeusten soveltamisalaan.

2. Los Estados miembros podrán determinar por ley las categorías de tratamiento de datos que pueden acogerse en todo o en parte a las exenciones del apartado 1.

3. Edellä 1 ja 2 kohdassa tarkoitetuissa tapauksissa jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti, jos tietojen antamisesta kieltäydytään tai tietojen antamista rajoitetaan, kieltäytymisen syistä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja. Tiedot päätöksen perusteena olevista seikoista tai oikeudellisista syistä voidaan jättää pois, jos tietojen ilmoittaminen vaarantaisi 1 kohdassa ilmoitetun tarkoituksen.

3. En los casos contemplados en los apartados 1 y 2, los Estados miembros dispondrán que el responsable del tratamiento informará por escrito al interesado sobre cualquier denegación o limitación de acceso, sobre las razones de la denegación y sobre las posibilidades de presentar a la autoridad de control una reclamación e interponer un recurso judicial. La información sobre los fundamentos de hecho o de Derecho en los que se sustenta la decisión podrá omitirse cuando el suministro de dicha información pueda comprometer uno de los fines contemplados en el apartado 1.

4. Jäsenvaltioiden on varmistettava, että rekisterinpitäjä merkitsee muistiin ne perusteet, joiden nojalla päätöksen pohjana olevia seikkoja tai oikeudellisia syitä ei ilmoiteta rekisteröidylle.

4. Los Estados miembros velarán por que el responsable del tratamiento documente los motivos por los que no comunicó los fundamentos de hecho o de Derecho en los que se sustenta la decisión.

14 artikla Tiedonsaantioikeuden käyttöä koskevat yksityiskohtaiset säännöt

Artículo 14 Modalidades de ejercicio del derecho de acceso

1.           Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus pyytää erityisesti 13 artiklassa tarkoitetuissa tapauksissa valvontaviranomaista tarkistamaan käsittelyn lainmukaisuus.

1.           Los Estados miembros reconocerán el derecho del interesado a solicitar, en particular en los casos contemplados en el artículo 13, que la autoridad de control compruebe la licitud del tratamiento.

2.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle oikeudesta pyytää valvontaviranomaista toimimaan 1 kohdan mukaisesti.

2.           Los Estados miembros dispondrán que el responsable del tratamiento informará al interesado del derecho a solicitar la intervención de las autoridades de control con arreglo a lo dispuesto en el apartado 1.

3.           Kun rekisteröity käyttää 1 kohdassa tarkoitettua oikeuttaan, valvontaviranomaisen on ilmoitettava rekisteröidylle ainakin kaikkien tarpeellisten tarkistusten suorittamisesta sekä siitä, onko kyseessä oleva käsittely lainmukainen.

3.           Cuando se ejerza el derecho contemplado en el apartado 1, la autoridad de control informará al interesado, al menos, de que se han llevado a cabo todas las verificaciones necesarias, así como del resultado en lo tocante a la licitud del tratamiento en cuestión.

15 artikla Oikeus tietojen oikaisemiseen

Artículo 15 Derecho de rectificación

1.           Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus vaatia rekisterinpitäjää oikaisemaan rekisteröityä koskevat virheelliset henkilötiedot. Rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, erityisesti oikaisun avulla.

1.           Los Estados miembros reconocerán el derecho del interesado a obtener del responsable del tratamiento la rectificación de los datos personales que le conciernen cuando tales datos resulten inexactos. El interesado tendrá derecho a que se completen los datos personales cuando estos resulten incompletos, en particular mediante una declaración rectificativa.

2.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti, jos tietojen oikaisemisesta kieltäydytään, kieltäytymisen syistä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.

2.           Los Estados miembros dispondrán que el responsable del tratamiento informará por escrito al interesado sobre cualquier denegación de rectificación, sobre las razones de la denegación y sobre las posibilidades de presentar una reclamación ante la autoridad de control y de interponer un recurso judicial.

16 artikla Oikeus tietojen poistamiseen

Artículo 16 Derecho de supresión

1. Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus vaatia rekisterinpitäjää poistamaan rekisteröityä koskevat henkilötiedot, jos tietojen käsittely ei vastaa tämän direktiivin 4 artiklan a–e alakohdan ja 7 ja 8 artiklan nojalla annettuja säännöksiä.

1. Los Estados miembros reconocerán el derecho del interesado a obtener del responsable del tratamiento la supresión de los datos personales que le conciernen cuando el tratamiento no cumpla las disposiciones adoptadas con arreglo al artículo 4, letras a) a e), y a los artículos 7 y 8 de la presente Directiva.

2. Rekisterinpitäjän on poistettava tiedot viipymättä.

2. El responsable del tratamiento procederá a la supresión sin demora.

3. Poistamisen sijasta rekisterinpitäjän on merkittävä henkilötiedot, jos

3. En lugar de proceder a la supresión, el responsable del tratamiento marcará los datos personales cuando:

(a) rekisteröity kiistää tietojen paikkansapitävyyden, jolloin tiedot merkitään ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden;

a)      el interesado impugne su exactitud, durante un plazo que permita al responsable del tratamiento verificar la exactitud de dichos datos;

(b) henkilötiedot on säilytettävä todistelua varten;

b)      los datos personales hayan de conservarse a efectos probatorios;

(c) rekisteröity vastustaa tietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista.

c)      el interesado se oponga a su supresión y solicite la limitación de su uso.

4. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti, jos tietojen poistamisesta kieltäydytään tai jos tiedot merkitään, kieltäytymisen syistä sekä mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.

4. Los Estados miembros dispondrán que el responsable del tratamiento informará por escrito al interesado de cualquier denegación de la supresión o marcado del tratamiento, las razones de la denegación y las posibilidades de presentar una reclamación ante la autoridad de control y de interponer un recurso judicial.

17 artikla Rekisteröidyn oikeudet rikostutkinnassa ja ‑oikeudenkäynneissä

Artículo 17 Derechos del interesado en las investigaciones y los procedimientos penales

Jäsenvaltiot voivat säätää, että 11–16 artiklassa tarkoitetut rekisteröidylle ilmoittamista, tiedonsaantia, tietojen oikaisemista ja poistamista sekä käsittelyn rajoittamista koskevat oikeudet pannaan täytäntöön oikeudenkäyntiä koskevien kansallisten sääntöjen mukaisesti, jos henkilötiedot sisältyvät rikostutkinnan ja ‑oikeudenkäynnin yhteydessä käsiteltyyn tuomioistuimen päätökseen tai päätöksen antamista koskevaan merkintään.

Los Estados miembros dispondrán que los derechos de información, acceso, rectificación, supresión y limitación del tratamiento contemplados en los artículos 11 a 16 se ejercerán de conformidad con las normas nacionales de enjuiciamiento cuando los datos personales figuren en una resolución judicial o en un registro tratado en el curso de investigaciones y procedimientos penales.

IV LUKU REKISTERINPITÄJÄ JA HENKILÖTIETOJEN KÄSITTELIJÄ

CAPÍTULO IV RESPONSABLE Y ENCARGADO DEL TRATAMIENTO

1 JAKSO YLEISET VELVOLLISUUDET

SECCIÓN 1 OBLIGACIONES GENERALES

18 artikla Rekisterinpitäjän vastuu

Artículo 18 Obligaciones del responsable del tratamiento

1.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä hyväksyy toimintamenetelmät ja toteuttaa tarvittavat toimenpiteet sen varmistamiseksi, että henkilötietojen käsittelyssä noudatetaan tämän direktiivin nojalla annettuja säännöksiä.

1.           Los Estados miembros dispondrán que el responsable del tratamiento adoptará políticas e implementará medidas apropiadas para asegurar que el tratamiento de datos personales se lleva a cabo de conformidad con las disposiciones adoptadas con arreglo a la presente Directiva.

2.           Edellä 1 kohdassa tarkoitettuja toimenpiteitä ovat erityisesti seuraavat:

2.           Las medidas previstas en el apartado 1 incluirán, en particular:

a)      jäljempänä 23 artiklassa tarkoitettujen asiakirjojen säilyttäminen;

a)      la conservación de la documentación con arreglo a lo dispuesto en el artículo 23;

b)      jäljempänä 26 artiklassa vahvistettujen ennakkokuulemista koskevien vaatimusten noudattaminen;

b)      el cumplimiento de los requisitos en materia de consulta previa de conformidad con lo dispuesto en el artículo 26;

c)      jäljempänä 27 artiklassa vahvistettujen tietoturvallisuutta koskevien vaatimusten täytäntöönpano;

c)      la implementación de los requisitos en materia de seguridad de los datos establecidos en el artículo 27;

d)      tietosuojavastaavan nimittäminen 30 artiklan nojalla.

d)      la designación de un delegado de protección de datos con arreglo a lo dispuesto en el artículo 30.

3.           Rekisterinpitäjän on toteutettava mekanismit sen varmistamiseksi, että tämän artiklan 1 kohdassa tarkoitettujen toimenpiteiden tehokkuus tarkistetaan. Tarkistamisen suorittavat riippumattomat sisäiset tai ulkoiset tarkastajat, mikäli se on oikeasuhteista.

3.           El responsable del tratamiento implementará mecanismos para verificar la eficacia de las medidas contempladas en el apartado 1. Siempre que no sea desproporcionado, estas verificaciones serán llevadas a cabo por auditores independientes internos o externos.

19 artikla Sisäänrakennettu tietosuoja ja oletusarvoinen tietosuoja

Artículo 19 Protección de datos desde el diseño y protección de datos por defecto

1.           Jäsenvaltioiden on säädettävä, että uusin tekniikka ja toimenpiteiden toteuttamiskustannukset huomioon ottaen rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet ja menettelyt siten, että käsittely vastaa tämän direktiivin nojalla annettujen säännösten vaatimuksia ja varmistaa rekisteröidyn oikeuksien suojelun.

1.           Los Estados miembros dispondrán que, habida cuenta de las técnicas existentes y de los costes asociados a su implementación, el responsable del tratamiento implementará medidas y procedimientos técnicos y organizativos apropiados, de manera que el tratamiento sea conforme con las disposiciones adoptadas con arreglo a la presente Directiva y garantice la protección de los derechos del interesado.

2.           Rekisterinpitäjän on otettava käyttöön keinot sen varmistamiseksi, että käsittely koskee vain niitä henkilötietoja, jotka ovat välttämättömiä käsittelyn tarkoituksen kannalta.

2.           El responsable del tratamiento implementará mecanismos con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales necesarios para los fines del tratamiento.

20 artikla Yhteiset rekisterinpitäjät

Artículo 20 Corresponsables del tratamiento

Jäsenvaltioiden on säädettävä, että jos rekisterinpitäjä määrittää henkilötietojen käsittelyn tarkoitukset, edellytykset ja keinot yhdessä muiden rekisterinpitäjien kanssa, näiden yhteisten rekisterinpitäjien on keskinäisellä järjestelyllä määritettävä kunkin vastuualue tämän direktiivin nojalla annettujen säännösten noudattamisessa, erityisesti niiden menettelyjen ja mekanismien osalta, joiden avulla rekisteröidyt voivat käyttää oikeuksiaan.

Los Estados miembros dispondrán que cuando un responsable del tratamiento determine, conjuntamente con otros, los fines, las condiciones y los medios del tratamiento de datos personales, los corresponsables deben determinar, de mutuo acuerdo, cuáles son sus responsabilidades respectivas en el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva, en particular por lo que hace a los procedimientos y mecanismos para el ejercicio de los derechos del interesado.

21 artikla Henkilötietojen käsittelijä

Artículo 21 Encargado del tratamiento

1. Jäsenvaltioiden on säädettävä, että jos käsittelytoimi suoritetaan rekisterinpitäjän lukuun, tämän on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet siitä, että käsittelyyn liittyvät tekniset ja organisatoriset toimet ja menettelyt toteutetaan siten, että käsittely täyttää tämän direktiivin nojalla annettujen säännösten vaatimukset ja varmistaa rekisteröidyn oikeuksien suojelun.

1. Los Estados miembros dispondrán que cuando una operación de tratamiento sea llevada a cabo por cuenta de un responsable del tratamiento, este debe elegir un encargado del tratamiento que ofrezca garantías suficientes para implementar medidas y procedimientos técnicos y organizativos apropiados, de manera que el tratamiento sea conforme con los requisitos de las disposiciones adoptadas con arreglo a la presente Directiva y asegure la protección de los derechos del interesado.

2. Jäsenvaltioiden on säädettävä, että henkilötietojen käsittelijän suorittamaa käsittelyä on säänneltävä oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti säädetään, että henkilötietojen käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti, etenkin jos käsiteltäviä henkilötietoja ei saa siirtää.

2. Los Estados miembros dispondrán que la realización del tratamiento por un encargado debe regirse por un acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento y que disponga, en particular, que el encargado del tratamiento actuará únicamente siguiendo las instrucciones del responsable del tratamiento, en particular cuando la transferencia de los datos personales utilizados esté prohibida.

3. Jos henkilötietojen käsittelijä käsittelee muita kuin rekisterinpitäjän määräämiä henkilötietoja, käsittelijää on pidettävä kyseisen käsittelyn osalta rekisterinpitäjänä ja käsittelijään on sovellettava 20 artiklassa vahvistettuja, yhteisiä rekisterinpitäjiä koskevia sääntöjä.

3. Si un encargado del tratamiento trata datos personales sin seguir las instrucciones del responsable del tratamiento, el encargado será considerado responsable del tratamiento con respecto a ese tratamiento y estará sujeto a las normas aplicables a los corresponsables del tratamiento establecidas en el artículo 20.

22 artikla Tietojenkäsittely rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa

Artículo 22 Tratamiento bajo la autoridad del responsable y del encargado del tratamiento

Jäsenvaltioiden on säädettävä, että henkilötietojen käsittelijä tai kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy henkilötietoihin, ei saa käsitellä tietoja muuten kuin rekisterinpitäjän ohjeiden mukaisesti tai jos unionin tai jäsenvaltion lainsäädännössä niin vaaditaan.

Los Estados miembros dispondrán que el encargado del tratamiento, así como cualquier persona que actúe bajo la autoridad del responsable o del encargado del tratamiento, que tenga acceso a datos personales solo podrá someterlos a tratamiento siguiendo instrucciones del responsable del tratamiento o cuando así lo requiera el Derecho de la Unión o de un Estado miembro.

23 artikla Asiakirjat

Artículo 23 Documentación

1.           Jäsenvaltioiden on säädettävä, että jokaisen rekisterinpitäjän ja henkilötietojen käsittelijän on säilytettävä asiakirjat kaikista vastuullaan tapahtuvista tietojenkäsittelyjärjestelmistä ja menettelyistä.

1.           Los Estados miembros dispondrán que cada responsable y cada encargado del tratamiento conservarán la documentación de todas los procedimientos y sistemas de tratamiento bajo su responsabilidad.

2.           Asiakirjoissa on oltava vähintään seuraavat tiedot:

2.           La documentación deberá contener, como mínimo, la información siguiente:

a)      rekisterinpitäjän tai yhteisen rekisterinpitäjän tai henkilötietojen käsittelijän nimi ja yhteystiedot;

a)      el nombre y los datos de contacto del responsable del tratamiento o de cualquier corresponsable o coencargado del tratamiento;

b)      käsittelyn tarkoitukset;

b)      los fines del tratamiento;

c)      henkilötietojen vastaanottajat tai vastaanottajien ryhmät;

c)      los destinatarios o las categorías de destinatarios de los datos personales;

d)      tiedot henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle, mukaan lukien tieto siitä, mikä kolmas maa tai kansainvälinen järjestö on kyseessä.

d)      las transferencias de datos a un tercer país o a una organización internacional, incluido el nombre de dicho tercer país o de dicha organización internacional.

3.           Rekisterinpitäjän ja henkilötietojen käsittelijän on pyydettäessä esitettävä asiakirjat valvontaviranomaiselle.

3.           El responsable y el encargado del tratamiento pondrán la documentación a disposición de la autoridad de control, a solicitud de esta.

24 artikla Kirjaaminen

Artículo 24 Llevanza de registros

1.           Jäsenvaltioiden on säädettävä, että ainakin seuraavista käsittelytoimista pidetään kirjaa: tietojen kerääminen, muuttaminen, hakeminen, luovuttaminen, yhdistäminen tai poistaminen. Tietojen hakemisen ja luovuttamisen osalta on erityisesti kirjattava muistiin toimen tarkoitus, päivämäärä ja aika sekä mahdollisuuksien mukaan henkilötietoja pyytäneen tai saaneen henkilön tiedot.

1.           Los Estados miembros velarán por que se lleven registros de, al menos, las operaciones de tratamiento siguientes: recogida, alteración, consulta, comunicación, combinación o supresión. Los registros de consulta y comunicación mostrarán, en particular, el fin, la fecha y la hora de tales operaciones y, en la medida de lo posible, el nombre de la persona que consultó o comunicó datos personales.

2.           Tietoja saa käyttää ainoastaan henkilötietojen käsittelyn lainmukaisuuden tarkistamiseen, omaehtoiseen valvontaan sekä tietojen eheyden ja tietoturvallisuuden varmistamiseen.

2.           Los registros se utilizarán únicamente a efectos de comprobación de la licitud del tratamiento y de autocontrol, así como para asegurar la integridad y la seguridad de los datos.

25 artikla Yhteistyö valvontaviranomaisen kanssa

Artículo 25 Cooperación con la autoridad de control

1.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjän ja henkilötietojen käsittelijän on pyynnöstä tehtävä yhteistyötä valvontaviranomaisten kanssa sen tehtävien suorittamiseksi, erityisesti antamalla kaikki tiedot, joita valvontaviranomainen tarvitsee tehtäviensä suorittamiseen.

1.           Los Estados miembros dispondrán que el responsable y el encargado del tratamiento cooperarán con la autoridad de control en el desempeño de las funciones de esta, en particular facilitando toda la información necesaria al efecto.

2.           Kun valvontaviranomainen käyttää 46 artiklan a ja b alakohdassa tarkoitettuja valtuuksiaan, rekisterinpitäjän ja henkilötietojen käsittelijän on vastattava valvontaviranomaiselle kohtuullisen ajan kuluessa. Vastauksessa on kuvattava toteutetut toimenpiteet ja saavutetut tulokset valvontaviranomaisen huomautusten pohjalta.

2.           Cuando la autoridad de control ejerza los poderes que le son conferidos en virtud de las letras a) y b) del artículo 46, el responsable y el encargado del tratamiento responderán a la autoridad de control dentro de un plazo razonable. La respuesta deberá incluir una descripción de las medidas adoptadas y los resultados obtenidos, en respuesta a las observaciones formuladas por la autoridad de control.

26 artikla Valvontaviranomaisen ennakkokuuleminen

Artículo 26 Consulta previa de la autoridad de control

1. Jäsenvaltioiden on varmistettava, että rekisterinpitäjä tai henkilötietojen käsittelijä kuulee valvontaviranomaista ennen kuin käsitellään henkilötietoja, jotka muodostavat osan uutta, tekeillä olevaa rekisteriä, jos

1. Los Estados miembros velarán por que el responsable o el encargado del tratamiento consulten a la autoridad de control antes de proceder al tratamiento de datos personales que vayan a formar parte de un nuevo sistema de archivo que haya de crearse, cuando:

a)      on tarkoitus käsitellä 8 artiklassa tarkoitettuja erityisiä tietoryhmiä;

a)      vayan a tratarse categorías especiales de datos contempladas en el artículo 8;

b)      tietojen käsittely on sen luonteista, että siihen sisältyy muutoin, erityisesti uusien tekniikoiden, mekanismien tai menettelyjen käytön johdosta, erityisiä riskejä rekisteröidyn perusoikeuksien ja ‑vapauksien ja erityisesti henkilötietojen suojan kannalta.

b)      el tipo de tratamiento, en particular cuando se usen tecnologías, mecanismos o procedimientos nuevos, entrañe riesgos específicos para los derechos y libertades fundamentales y, en particular, para la protección de datos personales de los interesados.

2. Jäsenvaltiot voivat säätää, että valvontaviranomaisen on laadittava luettelo käsittelytoimista, joihin sovelletaan 1 kohdassa tarkoitettua ennakkokuulemista.

2. Los Estados miembros podrán disponer que la autoridad de control establecerá una lista de las operaciones de tratamiento que están sujetas a consulta previa con arreglo a lo dispuesto en el apartado 1.

2 JAKSO TIETOTURVALLISUUS

SECCIÓN 2 SEGURIDAD DE LOS DATOS

27 artikla Käsittelyn turvallisuus

Artículo 27 Seguridad del tratamiento

1.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjä ja henkilötietojen käsittelijä toteuttavat asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen käsittelyn ja suojattavien henkilötietojen luonteeseen liittyviin riskeihin nähden asianmukaisen turvallisuustason, ottaen huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset.

1.           Los Estados miembros dispondrán que el responsable y el encargado del tratamiento implementarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado en relación con los riesgos que entrañe el tratamiento y la naturaleza de los datos que deban protegerse, habida cuenta de las técnicas existentes y de los costes asociados a su implementación.

2.           Kunkin jäsenvaltion on säädettävä automaattisen tietojenkäsittelyn osalta, että rekisterinpitäjä tai henkilötietojen käsittelijä toteuttaa riskinarvioinnin pohjalta toimenpiteet, joiden tarkoituksena on:

2.           Por lo que hace al tratamiento automatizado de datos, cada Estado miembro dispondrá que el responsable o el encargado del tratamiento, a raíz de una evaluación de los riesgos, implementará medidas destinadas a:

(a) evätä asiattomilta pääsy henkilötietojen käsittelyyn käytettäviin laitteisiin (laitteillepääsyn valvonta);

a)      denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento de datos personales (control de acceso a los equipamientos);

(b) estää tietovälineiden luvaton lukeminen, jäljentäminen, muuttaminen ja poistaminen (tietovälineiden valvonta);

b)      impedir que los soportes de datos puedan ser leídos, copiados, modificados o cancelados por personas no autorizadas (control de los soportes de datos);

(c) estää tietojen luvaton tallentaminen järjestelmään sekä järjestelmään tallennettujen henkilötietojen luvaton tarkastelu, muuttaminen ja poistaminen (tallentamisen valvonta);

c)      impedir que se introduzcan sin autorización datos personales conservados, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización (control de la conservación);

(d) estää asiattomia käyttämästä automaattisia tietojenkäsittelyjärjestelmiä tiedonsiirtolaitteiden avulla (käytön valvonta);

d)      impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de equipamientos de comunicación de datos (control de los usuarios);

(e) varmistaa, että automaattisen tietojenkäsittelyjärjestelmän käyttöön oikeutetut henkilöt pääsevät ainoastaan niiden toimivaltaan kuuluviin tietoihin (pääsyn valvonta);

e)      garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado de datos solo puedan tener acceso a los datos para los que han sido autorizados (control del acceso a los datos);

(f) varmistaa, että on mahdollista tarkistaa ja todeta, mille elimille henkilötietoja on siirretty tai asetettu saataville tai voidaan siirtää tai asettaa saataville tiedonsiirtolaitteiden avulla (tiedonvälityksen valvonta);

f)       garantizar que sea posible verificar y constatar a qué organismos se han transmitido o pueden transmitirse o a cuya disposición pueden ponerse datos personales mediante equipamientos de comunicación de datos (control de las comunicaciones);

(g) varmistaa, että on mahdollista tarkistaa ja todeta jälkikäteen, mitä henkilötietoja on lisätty automaattisiin tietojenkäsittelyjärjestelmiin ja milloin niitä on lisätty ja kuka niitä on lisännyt (lisäämisen valvonta);

g)      garantizar que pueda verificarse y constatarse a posteriori qué datos personales se han introducido en los sistemas de tratamiento automatizado de datos y en qué momento y por qué persona han sido introducidos (control de la introducción);

(h) estää henkilötietojen asiaton lukeminen, jäljentäminen, muuttaminen ja poistaminen niitä siirrettäessä tai tietovälineitä kuljetettaessa (siirron valvonta);

h)      impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte);

(i) varmistaa, että käytetyt järjestelmät voidaan häiriön tapahtuessa palauttaa entiselleen (toimintakunnon palauttaminen);

i)       garantizar que los sistemas instalados puedan restablecerse en caso de interrupción (recuperación);

(j) varmistaa, että järjestelmä toimii, että toimintavirheistä ilmoitetaan (luotettavuus) ja että virhe toimintajärjestelmässä ei voi vahingoittaa tallennettuja henkilötietoja (eheys).

j)       garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean señalados (fiabilidad) y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema (integridad).

3.           Komissio voi tarvittaessa antaa täytäntöönpanosäädöksiä, joissa määritellään 1 ja 2 kohdassa vahvistettujen vaatimusten soveltaminen erilaisiin tilanteisiin, varsinkin salausstandardeihin. Nämä täytäntöönpanosäädökset hyväksytään 57 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

3.           La Comisión podrá adoptar, en caso necesario, actos de ejecución para especificar los requisitos establecidos en los apartados 1 y 2 a distintas situaciones, en particular normas de cifrado. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 57, apartado 2.

28 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle

Artículo 28 Notificación de una violación de datos personales a la autoridad de control

1.           Jäsenvaltioiden on säädettävä, että jos tapahtuu henkilötietojen tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 24 tunnin kuluessa sen ilmitulosta. Jos ilmoitusta ei anneta 24 tunnin kuluessa, rekisterinpitäjän on pyynnöstä toimitettava valvontaviranomaiselle perusteltu selitys.

1.           Los Estados miembros dispondrán que, en caso de violación de datos personales, el responsable del tratamiento la notificará a la autoridad de control sin demora injustificada, y, de ser posible, a más tardar veinticuatro horas después de que haya tenido constancia de ella. Si la notificación no se hace en el plazo de veinticuatro horas, el responsable facilitará a la autoridad de control, previa solicitud, una justificación motivada.

2.           Henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle heti, kun se on tullut ilmi.

2.           El encargado del tratamiento alertará e informará al responsable del tratamiento inmediatamente después de que haya constatado una violación de datos personales.

3.           Edellä 1 kohdassa tarkoitetussa ilmoituksessa on vähintään:

3.           La notificación contemplada en el apartado 1 deberá, al menos:

a)      kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien kyseessä olevien rekisteröityjen ryhmät ja lukumäärät sekä tietueiden ryhmät ja lukumäärät;

a)      describir la naturaleza de la violación de datos personales, en particular las categorías y el número de interesados afectados, y las categorías y el número de registros de datos afectados;

b)      ilmoitettava 30 artiklassa tarkoitettu tietosuojavastaava ja tämän yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa;

b)      comunicar la identidad y los datos de contacto del delegado de protección de datos contemplado en el artículo 30 o de otro punto de contacto en el que pueda obtenerse más información;

c)      suositeltava toimenpiteitä, joilla lievennetään henkilötietojen tietoturvaloukkauksen mahdollisia haittavaikutuksia;

c)      recomendar medidas tendentes a atenuar los posibles efectos negativos de la violación de datos personales;

d)      kuvattava henkilötietojen tietoturvaloukkauksen mahdollisia seurauksia;

d)      describir las posibles consecuencias de la violación de datos personales;

e)      kuvattava toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta.

e)      describir las medidas propuestas o adoptadas por el responsable del tratamiento para poner remedio a la violación de datos personales.

4.           Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on dokumentoitava kaikki henkilötietojen tietoturvaloukkaukset, mukaan lukien loukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet. Valvontaviranomaisen on voitava näiden asiakirjojen pohjalta tarkistaa, että tätä artiklaa on noudatettu. Asiakirjat saavat sisältää ainoastaan kyseistä tarkoitusta varten välttämättömät tiedot.

4.           Los Estados miembros dispondrán que el responsable del tratamiento documentará cualquier violación de datos personales, indicando su contexto, sus efectos y las medidas correctivas adoptadas. Esta documentación deberá permitir a la autoridad de control verificar el cumplimiento de las disposiciones del presente artículo. Solo incluirá la información necesaria a tal efecto.

5.           Siirretään komissiolle valta antaa 56 artiklan mukaisesti delegoituja säädöksiä, joissa määritellään tarkemmin 1 ja 2 kohdassa tarkoitettuja tietoturvaloukkauksia koskevat kriteerit ja vaatimukset sekä ne erityiset olosuhteet, joissa rekisterinpitäjän ja henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta.

5.           La Comisión estará facultada para adoptar actos delegados, de conformidad con lo dispuesto en el artículo 56, a fin de especificar los criterios y requisitos aplicables a la constatación de la violación de datos contemplada en los apartados 1 y 2 y en relación con las circunstancias particulares en las que se exige a un responsable y un encargado del tratamiento notificar la violación de datos personales.

6.           Komissio voi vahvistaa valvontaviranomaiselle annettavan vakiomuotoisen ilmoituksen, ilmoitusta koskevat menettelyt sekä 4 kohdassa tarkoitettujen asiakirjojen muodon ja niitä koskevat yksityiskohtaiset säännöt, mukaan lukien määräajat, joihin mennessä niissä olevat tiedot on poistettava. Nämä täytäntöönpanosäädökset hyväksytään 57 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

6.           La Comisión podrá definir el formato normalizado de dicha notificación a la autoridad de control, los procedimientos aplicables al requisito de notificación y la forma y las modalidades de la documentación contemplada en el apartado 4, incluidos los plazos para la supresión de la información que figura en ella. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 57, apartado 2.

29 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle

Artículo 29 Comunicación de una violación de datos personales al interesado

1.           Jäsenvaltioiden on säädettävä, että kun henkilötietojen tietoturvaloukkauksella on todennäköisiä haittavaikutuksia rekisteröidyn henkilötietojen suojaan tai yksityisyyteen, rekisterinpitäjän on 28 artiklassa tarkoitetun ilmoituksen jälkeen ilmoitettava tietoturvaloukkauksesta myös rekisteröidylle ilman aiheetonta viivytystä.

1.           Los Estados miembros dispondrán que, cuando sea probable que la violación de datos personales afecte negativamente a la protección de los datos personales o la privacidad del interesado, el responsable del tratamiento, después de haber procedido a la notificación contemplada en el artículo 28, comunicará al interesado, sin demora injustificada, la violación de datos personales.

2.           Edellä 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on kuvattava henkilötietojen tietoturvaloukkauksen luonne ja annettava ainakin 28 artiklan 3 kohdan b ja c alakohdassa tarkoitetut tiedot ja suositukset.

2.           La comunicación al interesado contemplada en el apartado 1 describirá la naturaleza de la violación de datos personales y contendrá, al menos, la información y las recomendaciones previstas en el artículo 28, apartado 3, letras b) y c).

3.           Henkilötietojen tietoturvaloukkauksesta ei tarvitse ilmoittaa rekisteröidylle, jos rekisterinpitäjä osoittaa valvontaviranomaista tyydyttävällä tavalla, että se on toteuttanut asianmukaiset tekniset suojatoimenpiteet ja että kyseisiä toimenpiteitä on sovellettu tietoturvaloukkauksen kohteena oleviin henkilötietoihin. Tällaisten teknisten suojatoimenpiteiden avulla tiedot muutetaan sellaiseen muotoon, että ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin.

3.           La comunicación de una violación de datos personales al interesado no será necesaria si el responsable del tratamiento demuestra, a satisfacción de la autoridad de control, que ha implementado medidas de protección tecnológica apropiadas y que estas medidas se han aplicado a los datos afectados por la violación. Dichas medidas de protección tecnológica deberán hacer ininteligibles los datos para cualquier persona que no esté autorizada a acceder a ellos.

4.           Rekisteröidylle ilmoittamista voidaan viivästyttää tai rajoittaa tai se voidaan jättää tekemättä 11 artiklan 4 kohdassa tarkoitetuista syistä.

4.           La comunicación al interesado podrá aplazarse, limitarse u omitirse por los motivos contemplados en el artículo 11, apartado 4.

3 JAKSO TIETOSUOJAVASTAAVA

SECCIÓN 3 DELEGADO DE PROTECCIÓN DE DATOS

30 artikla Tietosuojavastaavan nimittäminen

Artículo 30 Designación del delegado de protección de datos

1. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä tai henkilötietojen käsittelijä nimittää tietosuojavastaavan.

1. Los Estados miembros dispondrán que el responsable o el encargado del tratamiento designarán un delegado de protección de datos.

2. Tietosuojavastaavaa nimitettäessä otetaan huomioon henkilön ammattipätevyys ja erityisesti asiantuntemus tietosuojalainsäädännöstä ja alan käytänteistä sekä valmiudet suorittaa 32 artiklassa tarkoitetut tehtävät.

2. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados de la legislación y las prácticas en materia de protección de datos, y a su capacidad para ejecutar las tareas contempladas en el artículo 32.

3. Tietosuojavastaava voidaan nimittää yhtä kuin useampaa yksikköä varten, ottaen huomioon toimivaltaisen viranomaisen organisaatiorakenne.

3. El delegado de protección de datos podrá ser designado para varias entidades, teniendo en cuenta la estructura organizativa de la autoridad competente.

31 artikla Tietosuojavastaavan asema

Artículo 31 Función de delegado de protección de datos

1. Jäsenvaltioiden on säädettävä, että rekisterinpitäjä tai henkilötietojen käsittelijä huolehtii tietosuojavastaavan ottamisesta asianmukaisesti ja riittävän ajoissa mukaan kaikkien henkilötietojen suojaa koskevien kysymysten käsittelyyn.

1. Los Estados miembros dispondrán que el responsable o el encargado del tratamiento velarán por que el delegado de protección de datos se implique adecuadamente y en su debido momento en todas las cuestiones relativas a la protección de datos personales.

2. Rekisterinpitäjän tai henkilötietojen käsittelijän on huolehdittava siitä, että tietosuojavastaavalle annetaan keinot täyttää 32 artiklassa tarkoitetut velvollisuudet ja tehtävät tehokkaasti ja riippumattomasti ja että tietosuojavastaava ei ota vastaan ohjeita tehtäviensä hoitamisen yhteydessä.

2. El responsable o el encargado del tratamiento velarán por que se faciliten al delegado de protección de datos los medios para desempeñar las funciones y tareas contempladas en el artículo 32 con eficacia e independencia, y por que no reciba ninguna instrucción en lo que respecta al ejercicio de sus funciones.

32 artikla Tietosuojavastaavan tehtävät

Artículo 32 Tareas del delegado de protección de datos

Jäsenvaltioiden on säädettävä, että rekisterinpitäjä tai henkilötietojen käsittelijä osoittaa tietosuojavastaavalle ainakin seuraavat tehtävät:

Los Estados miembros dispondrán que el responsable o el encargado del tratamiento encomendarán al delegado de protección de datos, como mínimo, las siguientes tareas:

(a) antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle tietoja ja neuvoja, jotka koskevat niille tämän direktiivin nojalla annettujen säännösten mukaisesti vahvistettuja velvollisuuksia, sekä dokumentoida tämä toiminta ja saadut vastaukset;

a)           informar y asesorar al responsable o al encargado del tratamiento de las obligaciones que les incumben de conformidad con las disposiciones adoptadas en virtud de la presente Directiva, y documentar esta actividad y las respuestas recibidas;

(b) seurata henkilötietojen suojaan liittyvien toimintamenetelmien täytäntöönpanoa ja soveltamista, kuten vastuunjakoa, tietojenkäsittelyyn osallistuvan henkilöstön koulutusta ja tarkastuksia;

b)           supervisar la implementación y aplicación de las políticas relativas a la protección de datos personales, incluida la asignación de responsabilidades, la formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;

(c) seurata tämän direktiivin nojalla annettujen säännösten täytäntöönpanoa ja soveltamista ja erityisesti sisäänrakennettuun tietosuojaan, oletusarvoiseen tietosuojaan ja tietoturvallisuuteen liittyviä vaatimuksia sekä rekisteröidyille ilmoittamista ja rekisteröityjen esittämiä pyyntöjä, jotka koskevat tämän direktiivin nojalla annettuihin säännöksiin pohjautuvien oikeuksien käyttöä;

c)           supervisar la implementación y aplicación de las disposiciones adoptadas en virtud de la presente Directiva, en particular por lo que hace a los requisitos relativos a la protección de datos desde el diseño, la protección de datos por defecto y la seguridad de los datos, así como a la información de los interesados y las solicitudes presentadas en el ejercicio de sus derechos en virtud de las disposiciones adoptadas con arreglo a la presente Directiva;

(d) varmistaa, että 23 artiklassa tarkoitetut asiakirjat säilytetään;

d)           velar por la conservación de la documentación contemplada en el artículo 23;

(e) seurata 28 ja 29 artiklassa tarkoitettua henkilötietojen tietoturvaloukkauksiin liittyvien asiakirjojen säilyttämistä ja tietoturvaloukkauksista ilmoittamista;

e)           supervisar la documentación, notificación y comunicación de las violaciones de datos personales con arreglo a lo dispuesto en los artículos 28 y 29;

(f) seurata valvontaviranomaisen ennakkokuulemista, jos sitä vaaditaan 26 artiklan nojalla;

f)            supervisar la presentación de solicitudes de consulta previa a la autoridad de control, si así se requiere de conformidad con lo dispuesto en el artículo 26;

(g) seurata valvontaviranomaisen pyyntöihin vastaamista ja tietosuojavastaavan toimivaltuuksien mukaisesti tehdä yhteistyötä valvontaviranomaisen kanssa jälkimmäisen pyynnöstä tai tietosuojavastaavan omasta aloitteesta;

g)           supervisar la respuesta a las solicitudes de la autoridad de control y, en el marco de la competencia del delegado de protección de datos, cooperar con la autoridad de control a solicitud de esta o a iniciativa propia;

(h)     toimia valvontaviranomaisen yhteyspisteenä tietojenkäsittelyyn liittyvissä kysymyksissä ja tarvittaessa kuulla valvontaviranomaista tietosuojavastaavan omasta aloitteesta.

h)      actuar como punto de contacto para la autoridad de control sobre las cuestiones relacionadas con el tratamiento y consultar a la autoridad de control, si procede, a iniciativa propia.

V LUKU HENKILÖTIETOJEN SIIRTO KOLMANSIIN MAIHIN TAI KANSAINVÄLISILLE JÄRJESTÖILLE

CAPÍTULO V TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES

33 artikla Henkilötietojen siirtoja koskevat yleiset periaatteet

Artículo 33 Principios generales de las transferencias de datos personales

Jäsenvaltioiden on säädettävä, että toimivaltaiset viranomaiset voivat siirtää henkilötietoja, joita käsitellään tai joita on tarkoitus käsitellä kolmanteen maahan tai kansainväliselle järjestölle siirtämisen jälkeen, mukaan lukien tietojen siirtäminen edelleen toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle, ainoastaan jos:

Los Estados miembros dispondrán que cualquier transferencia de datos personales por las autoridades competentes que sean o vayan a ser objeto de tratamiento tras su transferencia a un tercer país o a una organización internacional, incluidas las transferencias ulteriores a otro tercer país u otra organización internacional, solo podrá realizarse si:

a)      siirto on tarpeen rikosten torjumiseksi, tutkimiseksi, selvittämiseksi ja syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi; sekä

a)      la transferencia es necesaria para la prevención, investigación, detección o enjuiciamiento de infracciones penales o para la ejecución de sanciones penales; y

b)      rekisterinpitäjä ja henkilötietojen käsittelijä noudattavat tässä luvussa vahvistettuja edellytyksiä.

b)      el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo.

34 artikla Siirto tietosuojan tason riittävyyttä koskevan päätöksen perusteella

Artículo 34 Transferencias con una decisión de adecuación

1.           Jäsenvaltioiden on säädettävä, että henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle, jos komissio on asetuksen (EU) N:o …/2012 41 artiklan tai tämän artiklan 3 kohdan mukaisesti päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai tietojenkäsittelyn sektori tai kyseinen kansainvälinen järjestö tarjoaa riittävän tietosuojan tason. Tällaiselle siirrolle ei tarvita erillistä lupaa.

1.           Los Estados miembros dispondrán que una transferencia de datos personales a un tercer país o una organización internacional podrá realizarse cuando la Comisión haya decidido, de conformidad con lo dispuesto en el artículo 41 del Reglamento (UE) nº …./2012 o de conformidad con el apartado 3 del presente artículo, que el tercer país, o un territorio o un sector de tratamiento en ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dichas transferencias no requerirán nuevas autorizaciones.

2.           Jos komissio ei ole tehnyt asetuksen (EU) N:o …/2012 41 artiklan mukaista päätöstä, se arvioi tietosuojan riittävyyttä ottaen huomioon seuraavat seikat:

2.           Cuando no exista una decisión adoptada de conformidad con lo dispuesto en el artículo 41 del Reglamento (UE) nº …./2012, la Comisión evaluará la adecuación del nivel de protección, tomando en consideración los elementos siguientes:

a)      oikeusvaltioperiaate, voimassa oleva yleinen ja alakohtainen lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä suojatoimia, joita kyseisessä maassa tai kansainvälisessä järjestössä noudatetaan, sekä tehokkaat ja täytäntöönpanokelpoiset oikeudet, kuten tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot rekisteröityjä ja erityisesti niitä unionin alueella asuvia rekisteröityjä varten, joiden henkilötietoja siirretään;

a)      el Estado de Derecho, la legislación pertinente en vigor, tanto general como sectorial, en particular en lo que respecta a la seguridad pública, la defensa, la seguridad nacional, el Derecho penal, las medidas de seguridad en vigor en el país de que se trate o aplicables a la organización internacional en cuestión, así como los derechos efectivos y exigibles, incluido el derecho de recurso administrativo y judicial efectivo de los interesados, en particular los residentes en la Unión cuyos datos personales estén siendo transferidos;

b)      se, onko kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisesta, tarjoaa rekisteröidyille apua ja neuvoja oikeuksien käyttämisessä ja tekee yhteistyötä EU:n ja jäsenvaltioiden valvontaviranomaisten kanssa; sekä

b)      la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país u organización internacional de que se trate, encargadas de garantizar el cumplimiento de las normas en materia de protección de datos, de asistir y asesorar a los interesados en el ejercicio de sus derechos y de cooperar con las autoridades de control de la Unión y de los Estados miembros; y

c)      kyseisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset.

c)      los compromisos internacionales asumidos por el tercer país o la organización internacional de que se trate.

3.           Komissio voi päättää tämän direktiivin puitteissa, että kolmas maa tai kolmannen maan alue tai tietojenkäsittelyn sektori tai kansainvälinen järjestö tarjoaa 2 kohdassa tarkoitetun riittävän tietosuojan tason. Nämä täytäntöönpanosäädökset hyväksytään 57 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

3.           La Comisión podrá decidir, dentro del ámbito de aplicación de la presente Directiva, que un tercer país, o un territorio o un sector de tratamiento de datos en ese tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 57, apartado 2.

4.           Täytäntöönpanosäädöksessä määritellään sen maantieteellinen soveltamisala ja alakohtainen soveltaminen ja mahdollisuuksien mukaan nimitetään 2 kohdan b alakohdassa tarkoitettu valvontaviranomainen.

4.           El acto de ejecución especificará su ámbito de aplicación geográfica y sectorial, y, cuando proceda, determinará cuál es la autoridad de control mencionada en el apartado 2, letra b).

5.           Komissio voi päättää tämän direktiivin puitteissa, että kolmas maa tai kolmannen maan alue tai tietojenkäsittelyn sektori tai kansainvälinen järjestö ei tarjoa 2 kohdassa tarkoitettua riittävää tietosuojan tasoa, varsinkin jos kolmannen maan tai kansainvälisen järjestön voimassa olevassa yleisessä ja alakohtaisessa lainsäädännössä ei taata rekisteröidyille ja erityisesti niille rekisteröidyille, joiden henkilötietoja siirretään, tehokkaita ja täytäntöönpanokelpoisia oikeuksia, tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot mukaan lukien. Nämä täytäntöönpanosäädökset hyväksytään 57 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen tai, jos yksilön oikeus henkilötietojen suojaan sitä kiireellisesti edellyttää, 57 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen.

5.           La Comisión podrá decidir, dentro del ámbito de aplicación de la presente Directiva, que un tercer país, o un territorio o un sector de tratamiento de datos en ese tercer país, o una organización internacional no garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2, en particular en los casos en que la legislación pertinente, tanto general como sectorial, en vigor en el tercer país o aplicable a la organización internacional en cuestión, no garantice derechos efectivos y exigibles, incluido el derecho de recurso administrativo y judicial efectivo de los interesados, en particular aquellos cuyos datos personales estén siendo transferidos. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento de examen contemplado en el artículo 57, apartado 2, o, en casos de extrema urgencia para personas en lo que respecta a su derecho a la protección de datos personales, de conformidad con el procedimiento contemplado en el artículo 57, apartado 3.

6.           Jäsenvaltioiden on säädettävä, että jos komissio päättää 5 kohdan nojalla kieltää kaikki henkilötietojen siirrot kolmanteen maahan tai kyseisen kolmannen maan alueelle tai tietojenkäsittelyn sektorille tai kansainväliselle järjestölle, tämä päätös ei rajoita 35 artiklan 1 kohdan tai 36 artiklan mukaisia siirtoja. Komissio aloittaa sopivalla hetkellä neuvottelut kolmannen maan tai kansainvälisen järjestön kanssa tämän artiklan 5 kohdan mukaisesti tehdystä päätöksestä aiheutuneen tilanteen korjaamiseksi.

6.           Los Estados miembros velarán por que cuando la Comisión adopte una decisión de conformidad con lo dispuesto en el apartado 5, esté prohibida toda transferencia de datos personales al tercer país, o a un territorio o un sector de tratamiento de datos en ese tercer país, o a la organización internacional de que se trate; dicha decisión se entenderá sin perjuicio de las transferencias en virtud del artículo 35, apartado 1, o de conformidad con lo dispuesto en el artículo 36. La Comisión entablará consultas, en su debido momento, con el tercer país o la organización internacional con vistas a poner remedio a la situación resultante de la decisión adoptada de conformidad con lo dispuesto en el apartado 5 del presente artículo.

7.           Komissio julkaisee Euroopan unionin virallisessa lehdessä luettelon niistä kolmansista maista, kolmannen maan alueista ja tietojenkäsittelyn sektoreista sekä kansainvälisistä järjestöistä, joiden osalta se on päättänyt, että tietosuojan taso joko on tai ei ole riittävä.

7.           La Comisión publicará en el Diario Oficial de la Unión Europea una lista de los terceros países, territorios y sectores de tratamiento de datos en un tercer país o una organización internacional para los que haya decidido que está o no está garantizado un nivel protección adecuado.

8.           Komissio valvoo 3 ja 5 kohdassa tarkoitettujen täytäntöönpanosäädösten soveltamista.

8.           La Comisión supervisará la aplicación de los actos de ejecución contemplados en los apartados 3 y 5.

35 artikla Siirto asianmukaisten takeiden perusteella

Artículo 35 Transferencias mediante garantías apropiadas

1.           Jos komissio ei ole tehnyt päätöstä 34 artiklan nojalla, jäsenvaltioiden on säädettävä, että henkilötietoja voidaan siirtää vastaanottajalle kolmannessa maassa tai kansainvälisessä järjestössä, jos

1.           Cuando la Comisión no haya adoptado una decisión con arreglo a lo dispuesto en el artículo 34, los Estados miembros dispondrán que podrá tener lugar una transferencia de datos personales a un destinatario en un tercer país o una organización internacional cuando:

a)      oikeudellisesti sitovassa välineessä on annettu asianmukaiset takeet, joilla varmistetaan henkilötietojen suoja; tai

a)      se hayan aportado garantías apropiadas con respecto a la protección de datos personales en un instrumento jurídicamente vinculante; o

b)      rekisterinpitäjä tai henkilötietojen käsittelijä on arvioinut kaikkia henkilötietojen siirtoon liittyviä seikkoja ja katsoo, että henkilötietojen suojasta on asianmukaiset takeet.

b)      el responsable o el encargado del tratamiento hayan evaluado todas las circunstancias que concurren en la transferencia de datos personales y hayan llegado a la conclusión de que existen garantías apropiadas con respecto a la protección de datos personales.

1.           Päätöksen 1 kohdan b alakohdassa tarkoitetusta siirrosta tekee asianmukaisesti valtuutettu henkilöstö. Siirrot on dokumentoitava, ja siirtoja koskevat asiakirjat on pyynnöstä toimitettava valvontaviranomaiselle.

2.           La decisión relativa a una transferencia en virtud del apartado 1, letra b), deberá ser adoptada por personal debidamente autorizado. Estas transferencias deberán documentarse y la documentación se pondrá a disposición, previa solicitud, de la autoridad de control.

36 artikla Poikkeukset

Artículo 36 Excepciones

Poiketen siitä, mitä 34 ja 35 artiklassa säädetään, jäsenvaltioiden on säädettävä, että henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle voidaan suorittaa vain sillä edellytyksellä, että

No obstante lo dispuesto en los artículos 34 y 35, los Estados miembros dispondrán que solo podrá procederse a la transferencia de datos personales a un tercer país o una organización internacional en caso de que:

a)       siirto on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; tai

a)       la transferencia sea necesaria para proteger los intereses vitales del interesado o de otra persona; o

b)       siirto on tarpeen rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötietoja siirtävän jäsenvaltion lainsäädännössä niin säädetään; tai

b)       la transferencia sea necesaria para salvaguardar intereses legítimos del interesado cuando así lo disponga el Derecho del Estado miembro que transfiere los datos personales; o

c)       siirto on välttämätöntä jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan ehkäisemiseksi; tai

c)       la transferencia de los datos sea esencial para prevenir una amenaza inminente y grave para la seguridad pública de un Estado miembro o de un tercer país; o

d)       siirto on tarpeen yksittäisissä tapauksissa rikosten torjumiseksi, tutkimiseksi, selvittämiseksi ja syytteeseen panemiseksi tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi; tai

d)       la transferencia sea necesaria en casos concretos a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales; o

e)       siirto on tarpeen yksittäisissä tapauksissa tietyn rikoksen torjumista, selvittämistä, tutkimista ja syytteeseenpanoa tai tietyn rikosoikeudellisen seuraamuksen täytäntöönpanoa koskevan oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

e)       la transferencia sea necesaria en casos concretos para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial relativo a la prevención, investigación, detección o enjuiciamiento de una infracción penal o la ejecución de una sanción penal específica.

37 artikla Henkilötietojen siirtoon sovellettavat erityiset edellytykset

Artículo 37 Condiciones específicas para la transferencia de datos personales

Jäsenvaltioiden on säädettävä, että rekisterinpitäjän on ilmoitettava henkilötietojen vastaanottajalle käsittelyn rajoituksista sekä toteutettava kaikki kohtuulliset toimet varmistaakseen, että näitä rajoituksia noudatetaan.

Los Estados miembros dispondrán que el responsable del tratamiento informará al destinatario de los datos personales de cualquier limitación al tratamiento y tomará todas las medidas razonables para garantizar que se cumplan dichas limitaciones.

38 artikla Kansainvälinen yhteistyö henkilötietojen suojaamiseksi

Artículo 38 Cooperación internacional en el ámbito de la protección de datos personales

1.           Komission ja jäsenvaltioiden on toteutettava kolmansien maiden ja kansainvälisten järjestöjen suhteen asianmukaiset toimet, joilla:

1.           En relación con los terceros países y las organizaciones internacionales, la Comisión y los Estados miembros tomarán medidas apropiadas para:

(a) kehitetään tehokkaita kansainvälisiä yhteistyökeinoja, joilla edistetään henkilötietojen suojaamista koskevan lainsäädännön täytäntöönpanoa;

a)      crear mecanismos de cooperación internacional eficaces que faciliten la aplicación de la legislación relativa a la protección de datos personales;

(b) tarjotaan keskinäistä kansainvälistä apua henkilötietojen suojaa koskevan lainsäädännön täytäntöönpanossa esimerkiksi ilmoittamalla tapauksista, siirtämällä valituksia, antamalla tutkinta-apua ja vaihtamalla tietoja, edellyttäen että on annettu asianmukaiset takeet, jotka koskevat henkilötietojen suojaa ja muita perusoikeuksia ja ‑vapauksia;

b)      prestarse mutuamente asistencia a escala internacional en la aplicación de la legislación relativa a la protección de datos personales, en particular mediante la notificación, la remisión de reclamaciones, la asistencia en las investigaciones y el intercambio de información, a reserva de las garantías apropiadas para la protección de los datos personales y otros derechos y libertades fundamentales;

(c) saadaan keskeiset sidosryhmät mukaan keskusteluun ja toimintaan, joilla edistetään kansainvälistä yhteistyötä henkilötietojen suojaa koskevan lainsäädännön täytäntöönpanossa;

c)      procurar la participación de las partes interesadas pertinentes en los debates y actividades destinados a reforzar la cooperación internacional en la aplicación de la legislación relativa a la protección de datos personales;

(d) edistetään henkilötietojen suojaa koskevan lainsäädännön ja käytänteiden vaihtamista ja dokumentointia.

d)      promover el intercambio y la documentación de la legislación y las prácticas en materia de protección de datos personales.

2.           Komissio toteuttaa 1 artiklan soveltamista varten asianmukaiset toimet edistääkseen suhteita kolmansiin maihin tai kansainvälisiin järjestöihin ja erityisesti niiden valvontaviranomaisiin, jos komissio on päättänyt, että ne tarjoavat 34 artiklan 3 kohdassa tarkoitetun riittävän tietosuojan tason.

2.           A efectos de la aplicación del apartado 1, la Comisión tomará medidas apropiadas para impulsar las relaciones con terceros países u organizaciones internacionales y, en particular, sus autoridades de control, cuando haya decidido que garantizan un nivel de protección adecuado a tenor de lo dispuesto en el artículo 34, apartado 3.

VI LUKU RIIPPUMATTOMAT VALVONTAVIRANOMAISET

CAPÍTULO VI AUTORIDADES DE CONTROL INDEPENDIENTES

1 JAKSO RIIPPUMATON ASEMA

SECCIÓN 1 INDEPENDENCIA

39 artikla Valvontaviranomainen

Artículo 39 Autoridad de control

1. Jäsenvaltioiden on säädettävä, että yhden tai useamman viranomaisen on seurattava tämän direktiivin nojalla annettujen säännösten soveltamista ja edistettävä direktiivin yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi unionissa. Sitä varten valvontaviranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa.

1. Cada Estado miembro dispondrá que una o varias autoridades públicas se encargarán de supervisar la aplicación de las disposiciones adoptadas con arreglo a la presente Directiva y de contribuir a su aplicación coherente en toda la Unión, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento de sus datos personales y de facilitar la libre circulación de datos personales en la Unión. A tal fin, las autoridades de control cooperarán entre sí y con la Comisión.

2. Jäsenvaltiot voivat säätää, että asetuksen (EU) N:o .../2012 mukaisesti jäsenvaltioissa perustettu valvontaviranomainen ottaa hoitaakseen tämän artiklan 1 kohdan nojalla perustettavan valvontaviranomaisen tehtävät.

2. Los Estados miembros podrán disponer que las autoridades de control creadas en los Estados miembros de conformidad con lo dispuesto en el Reglamento (UE) nº …./2012 asumirán las tareas de la autoridad de control que vaya a crearse de conformidad con el apartado 1.

3. Jos jäsenvaltiossa on useampi kuin yksi valvontaviranomainen, jäsenvaltion on nimitettävä valvontaviranomainen, joka toimii yhteyspisteenä viranomaisten osallistuessa Euroopan tietosuojaneuvostoon.

3. Cuando en un Estado miembro estén establecidas varias autoridades de control, dicho Estado miembro designará la autoridad de control que actuará como punto de contacto único, a fin de favorecer la participación efectiva de dichas autoridades en el Consejo Europeo de Protección de Datos.

40 artikla Riippumattomuus

Artículo 40 Independencia

1.           Jäsenvaltioiden on varmistettava, että valvontaviranomainen hoitaa tehtäviään ja käyttää sille annettuja valtuuksia täysin riippumattomana.

1.           Los Estados miembros velarán por que la autoridad de control actúe con total independencia en el ejercicio de las funciones que le hayan sido encomendadas y de los poderes que le hayan sido conferidos.

2.           Jäsenvaltioiden on säädettävä, että valvontaviranomaisen jäsenet eivät tehtäviään hoitaessaan pyydä eivätkä ota ohjeita miltään taholta.

2.           Cada Estado miembro dispondrá que, en el ejercicio de sus funciones, los miembros de la autoridad de control no solicitarán ni aceptarán instrucciones de nadie.

3.           Valvontaviranomaisen jäsenten on pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen heidän tehtäviensä hoitamisen kanssa, eivätkä he saa toimikautensa aikana harjoittaa muuta palkallista tai palkatonta ammattitoimintaa.

3.           Los miembros de la autoridad de control se abstendrán de cualquier acción que sea incompatible con sus funciones y no participarán, mientras dure su mandato, en ninguna actividad profesional incompatible, sea o no remunerada.

4.           Valvontaviranomaisen jäsenten on toimikautensa päättymisen jälkeen osoitettava kunniallisuutta ja arvostelukykyä nimitysten ja etujen vastaanottamisessa.

4.           Tras la finalización de su mandato, los miembros de la autoridad de control actuarán con integridad y discreción en lo que respecta a la aceptación de cargos y beneficios.

5.           Jäsenvaltioiden on varmistettava, että valvontaviranomaiselle osoitetaan riittävät tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen Euroopan tietosuojaneuvoston toimintaan.

5.           Cada Estado miembro velará por que la autoridad de control disponga en todo momento de los recursos humanos, técnicos y financieros adecuados, así como de las instalaciones e infraestructuras necesarias para el ejercicio efectivo de sus funciones y poderes, en particular aquellos que haya de ejercer en el marco de la asistencia mutua, la cooperación y la participación activa en el Consejo Europeo de Protección de Datos.

6            Jäsenvaltioiden on varmistettava, että valvontaviranomaisella on oma henkilöstö, jonka nimittämisestä ja valvonnasta vastaa valvontaviranomaisen päällikkö.

6            Cada Estado miembro velará por que la autoridad de control disponga de su propio personal, que será nombrado por el director de la autoridad de control y estará sujeto a su autoridad.

7.           Jäsenvaltioiden on varmistettava, että valvontaviranomaiseen sovelletaan varainhoidon valvontaa, joka ei vaikuta sen riippumattomuuteen. Jäsenvaltioiden on varmistettava, että valvontaviranomaisella on erillinen vuotuinen talousarvio. Talousarvio on julkistettava.

7.           Los Estados miembros velarán por que la autoridad de control esté sujeta a control financiero, sin que ello afecte a su independencia. Los Estados miembros velarán por que la autoridad de control disponga de presupuestos anuales propios. Los presupuestos se harán públicos.

41 artikla Valvontaviranomaisen jäseniä koskevat yleiset edellytykset

Artículo 41 Condiciones generales aplicables a los miembros de la autoridad de control

1.           Jäsenvaltioiden on säädettävä, että valvontaviranomaisen jäsenet nimittää joko jäsenvaltion parlamentti tai hallitus.

1.           Los Estados miembros dispondrán que los miembros de la autoridad de control deben ser nombrados bien por su parlamento bien por su gobierno.

2.           Jäsenet valitaan sellaisten henkilöiden joukosta, joiden riippumattomuudesta ei ole epäilystä ja joilla on yleisesti tunnustettu kokemus ja pätevyys tehtävien hoitamiseen.

2.           Los miembros serán elegidos entre personas que ofrezcan absolutas garantías de independencia y que posean experiencia y aptitudes acreditadas para el ejercicio de sus funciones.

3.           Jäsenen tehtävät päättyvät toimikauden päättyessä tai kun hän eroaa tai kun hänet erotetaan 5 kohdan mukaisesti.

3.           Las funciones de los miembros terminarán a la expiración de su mandato o, en caso de dimisión o jubilación obligatoria, de conformidad con lo dispuesto en el apartado 5.

4.           Toimivaltainen kansallinen tuomioistuin voi erottaa jäsenen tai lakkauttaa tältä oikeuden eläkkeeseen tai muihin vastaaviin etuuksiin, jos hän ei enää täytä niitä vaatimuksia, joita hänen tehtävänsä edellyttävät, tai jos hän on syyllistynyt vakavaan virheeseen.

4.           Un miembro podrá ser destituido o desposeído de su derecho a pensión u otros beneficios sustitutivos por el órgano jurisdiccional nacional competente si dejara de reunir las condiciones necesarias para el ejercicio de sus funciones o hubiera incurrido en falta grave.

5.           Kun toimikausi päättyy tai jäsen eroaa tehtävästään, hän jatkaa kuitenkin tehtävässään, kunnes uusi jäsen on nimitetty.

5.           Un miembro cuyo mandato expire o que presente su dimisión seguirá ejerciendo sus funciones hasta que se nombre un nuevo miembro.

42 artikla Valvontaviranomaisen perustamista koskevat säännöt

Artículo 42 Normas relativas al establecimiento de la autoridad de control

Jäsenvaltioiden on laissa säädettävä

Cada Estado miembro dispondrá por ley:

a)           valvontaviranomaisen perustamisesta ja asemasta 39 ja 40 artiklan mukaisesti;

a)           el establecimiento y el estatuto de la autoridad de control con arreglo a lo dispuesto en los artículos 39 y 40;

b)           valvontaviranomaisen jäsenten tehtävien hoitamiseen tarvittavasta pätevyydestä, kokemuksesta ja ammattitaidosta;

b)           las cualificaciones, la experiencia y las aptitudes requeridas para ejercer las funciones de miembro de la autoridad de control;

c)           valvontaviranomaisen jäsenten nimittämiseen sovellettavista säännöistä ja menettelyistä sekä tehtävien hoitamisen kanssa yhteensopimatonta toimintaa tai ammattia koskevista säännöistä;

c)           las normas y los procedimientos para el nombramiento de los miembros de la autoridad de control, así como las normas relativas a las actividades u ocupaciones incompatibles con sus funciones;

d)           valvontaviranomaisen jäsenten toimikauden kestosta, jonka on oltava vähintään neljä vuotta, lukuun ottamatta ensimmäistä nimitystä tämän direktiivin voimaantulon jälkeen, jolloin osa jäsenistä voidaan nimittää tehtävään lyhyemmäksi ajaksi;

d)           la duración del mandato de los miembros de la autoridad de control, que no será inferior a cuatro años, salvo los primeros nombramientos tras la entrada en vigor de la presente Directiva, algunos de los cuales podrán ser más breves;

e)           siitä, voidaanko valvontaviranomaisen jäsenet nimittää uudeksi toimikaudeksi;

e)           el carácter renovable o no renovable del mandato de los miembros de la autoridad de control;

f)            valvontaviranomaisen jäsenten ja henkilöstön tehtäviä koskevista säännöistä ja yhteisistä edellytyksistä;

f)            las reglas y condiciones comunes que rigen las funciones de los miembros y del personal de la autoridad de control;

g)           valvontaviranomaisen jäsenten tehtävien päättymistä koskevista säännöistä ja menettelyistä, mukaan lukien tapaukset, joissa jäsen ei enää täytä tehtävien suorittamiseen tarvittavia edellytyksiä tai on syyllistynyt vakavaan virheeseen.

g)           las normas y los procedimientos relativos al cese de las funciones de los miembros de la autoridad de control, en particular cuando hayan dejado de cumplir las condiciones requeridas para el ejercicio de sus funciones o incurrieran en falta grave.

43 artikla Vaitiolovelvollisuus

Artículo 43 Secreto profesional

Jäsenvaltioiden on säädettävä, että valvontaviranomaisen jäsenillä ja henkilöstöllä on sekä toimikautensa aikana että sen jälkeen velvollisuus pitää salassa kaikki luottamukselliset tiedot, jotka ovat tulleet heidän tietoonsa heidän tehtäviensä suorittamisen yhteydessä.

Los Estados miembros dispondrán que los miembros y el personal de la autoridad de control estarán sujetos, tanto durante su mandato como después del mismo, al deber de secreto profesional con relación a las informaciones confidenciales de las que hayan tenido conocimiento en el ejercicio de sus funciones oficiales.

2 JAKSO TEHTÄVÄT JA VALTUUDET

SECCIÓN 2 FUNCIONES Y PODERES

44 artikla Toimivalta

Artículo 44 Competencia

1.           Jäsenvaltioiden on säädettävä, että jokainen valvontaviranomainen käyttää sille tämän direktiivin mukaisesti annettua toimivaltaa oman jäsenvaltionsa alueella.

1.           Los Estados miembros dispondrán que cada autoridad de control ejercerá, en el territorio de su propio Estado miembro, los poderes que se le confieran de conformidad con la presente Directiva.

2.           Jäsenvaltioiden on säädettävä, että valvontaviranomaisella ei ole toimivaltaa valvoa käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä.

2.           Los Estados miembros dispondrán que la autoridad de control no será competente para controlar las operaciones de tratamiento efectuadas por los órganos jurisdiccionales en el ejercicio de su función jurisdiccional.

45 artikla Tehtävät

Artículo 45 Funciones

1.           Jäsenvaltioiden on säädettävä, että valvontaviranomainen:

1.           Los Estados miembros dispondrán que la autoridad de control:

(a) valvoo tämän direktiivin nojalla annettujen säännösten ja direktiivin täytäntöönpanotoimenpiteiden soveltamista ja varmistaa sen;

a)      supervisará y asegurará la aplicación de las disposiciones adoptadas con arreglo a la presente Directiva y sus medidas de ejecución;

(b) käsittelee rekisteröidyn tai tätä 50 artiklan mukaisesti edustavan ja rekisteröidyn asianmukaisesti valtuuttaman yhdistyksen tekemiä valituksia, tutkii mahdollisuuksien mukaan asiaa ja ilmoittaa rekisteröidylle tai yhdistykselle asian etenemisestä sekä valitusta koskevasta ratkaisustaan kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa;

b)      conocerá las reclamaciones presentadas por cualquier interesado o por una asociación que le represente y que esté debidamente autorizada por él de conformidad con lo dispuesto en el artículo 50, investigará, en la medida en que proceda, el asunto e informará al interesado o la asociación sobre el curso y el resultado de la reclamación en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinación más estrecha con otra autoridad de control;

(c) tarkistaa 14 artiklan mukaisesti tietojenkäsittelyn lainmukaisuuden ja ilmoittaa rekisteröidylle kohtuullisen ajan kuluessa tarkistuksen tuloksesta tai siitä, miksi tarkistusta ei ole suoritettu;

c)      controlará la licitud del tratamiento de datos con arreglo a lo dispuesto en el artículo 14, e informará al interesado, en un plazo razonable, sobre el resultado del control o sobre los motivos por los que no se ha llevado a cabo;

(d) tarjoaa keskinäistä apua muille valvontaviranomaisille ja varmistaa tämän direktiivin nojalla annettujen säännösten johdonmukaisen soveltamisen ja täytäntöönpanon;

d)      prestará asistencia mutua a otras autoridades de control y garantizará la coherencia de la aplicación y el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva;

(e) suorittaa tutkimuksia omasta aloitteestaan tai valituksen perusteella tai toisen valvontaviranomaisen pyynnöstä ja, jos rekisteröity on tehnyt valituksen tälle valvontaviranomaiselle, ilmoittaa rekisteröidylle tutkimusten tuloksesta kohtuullisen ajan kuluessa;

e)      llevará a cabo investigaciones, ya sea a iniciativa propia, ya sea a raíz de una reclamación o a solicitud de otra autoridad de control, e informará al interesado en cuestión, si este hubiera presentado una reclamación, del resultado de las investigaciones en un plazo razonable;

(f) seuraa erityisesti tieto- ja viestintäteknologian asiaan liittyvää kehitystä, siltä osin kuin sillä on vaikutusta henkilötietojen suojaan;

f)       hará un seguimiento de las novedades de interés, en la medida en que tengan incidencia en la protección de datos personales, en particular el desarrollo de las tecnologías de la información y la comunicación;

(g) esittää jäsenvaltioiden toimielimille ja elimille näkemyksiään yksilöiden oikeuksien ja vapauksien suojelua henkilötietojen käsittelyssä koskevista lainsäädännöllisistä ja hallinnollisista toimenpiteistä;

g)      será consultado por las instituciones y los organismos de los Estados miembros sobre las medidas legislativas y administrativas relativas a la protección de los derechos y libertades de las personas físicas en lo que respecta al tratamiento de datos personales;

(h) antaa lausuntoja 26 artiklan mukaisista käsittelytoimista;

h)      será consultado sobre las operaciones de tratamiento de datos con arreglo al artículo 26;

(i) osallistuu Euroopan tietosuojaneuvoston toimintaan.

i)       participará en las actividades del Consejo Europeo de Protección de Datos.

2.           Kaikkien valvontaviranomaisten on edistettävä henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, takeista ja oikeuksista tiedottamista kansalaisille. Erityisesti on kiinnitettävä huomiota lapsille suunnattuihin toimiin.

2.           Cada autoridad de control promoverá la sensibilización del público sobre los riesgos, normas, garantías y derechos relativos al tratamiento de datos personales. Las actividades dirigidas específicamente a los niños deberán ser objeto de especial atención.

3.           Valvontaviranomaisen on pyynnöstä autettava rekisteröityä käyttämään tämän direktiivin nojalla annetuissa säännöksissä vahvistettuja oikeuksia ja tarvittaessa tehtävä tätä varten yhteistyötä muiden jäsenvaltioiden valvontaviranomaisten kanssa.

3.           La autoridad de control, previa solicitud, asesorará a cualquier interesado en el ejercicio de los derechos que confieren disposiciones adoptadas con arreglo a la presente Directiva y, en su caso, cooperará a tal fin con las autoridades de control de otros Estados miembros.

4.           Kun on kyse 1 kohdan b alakohdassa tarkoitetuista valituksista, valvontaviranomaisen on toimitettava valituslomake, joka voidaan täyttää sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

4.           Para las reclamaciones contempladas en el apartado 1, letra b), la autoridad de control facilitará un formulario de reclamaciones que podrá cumplimentarse por vía electrónica, sin excluir otros medios de comunicación.

5.           Jäsenvaltioiden on säädettävä, että valvontaviranomaisen tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle.

5.           Los Estados miembros dispondrán que el desempeño de las funciones de la autoridad de control será gratuito para el interesado.

6.           Jos pyynnöt ovat häiritseviä erityisesti toistuvuutensa takia, valvontaviranomainen voi periä maksun pyydetyn toimen suorittamisesta tai jättää pyydetyn toimen suorittamatta. Valvontaviranomaisen on todistettava pyynnön häiritsevyys.

6.           Cuando las solicitudes sean abusivas, en particular por su carácter repetitivo, la autoridad de control podrá exigir el pago de una tasa o decidir no adoptar las medidas solicitadas por el interesado. La carga de la prueba del carácter abusivo de la solicitud recaerá en la autoridad de control.

46 artikla Valtuudet

Artículo 46 Poderes

Jäsenvaltioiden on säädettävä, että jokaisella valvontaviranomaisella on erityisesti oltava:

Los Estados miembros dispondrán que cada autoridad de control deberá estar investida, en particular, de:

a)      tutkintavaltuudet, kuten valtuudet saada pääsy käsiteltäviin tietoihin ja kerätä kaikki valvontatehtävien suorittamiseksi tarvittavat tiedot;

a)      poderes de investigación, como el poder de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control;

b)      tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa tällaisten lausuntojen asianmukainen julkistaminen, valtuudet määrätä käsittelyn rajoittamisesta tai tietojen poistamisesta tai tuhoamisesta, kieltää käsittely väliaikaisesti tai lopullisesti, antaa rekisterinpitäjälle varoitus tai huomautus taikka valtuudet saattaa asia kansallisen parlamentin tai muun poliittisen elimen käsiteltäväksi;

b)      poderes efectivos de intervención, por ejemplo para emitir dictámenes antes de que se lleve a cabo el tratamiento, y garantizar una publicación adecuada de dichos dictámenes, ordenar la limitación, supresión o destrucción de datos, imponer una prohibición temporal o definitiva del tratamiento, formular una advertencia o una amonestación al responsable de la misma, o remitir el asunto a los parlamentos nacionales u otras instituciones políticas;

c)      valtuudet panna vireille oikeudellisia menettelyjä, jos tämän direktiivin nojalla annettuja säännöksiä on rikottu, tai valtuudet saattaa tämä rikkominen oikeusviranomaisten tietoon.

c)      el poder de emprender acciones legales cuando se hayan infringido las disposiciones adoptadas con arreglo a la presente Directiva o de denunciar dichas infracciones a las autoridades judiciales.

47 artikla Toimintakertomus

Artículo 47 Informe de actividad

Jäsenvaltioiden on säädettävä, että jokainen valvontaviranomainen laatii vuosittain kertomuksen toiminnastaan. Kertomus toimitetaan komissiolle ja Euroopan tietosuojaneuvostolle.

Los Estados miembros dispondrán que cada autoridad de control elaborará un informe anual sobre sus actividades. El informe se pondrá a disposición de la Comisión y el Consejo Europeo de Protección de Datos.

VII LUKU YHTEISTYÖ

CAPÍTULO VII COOPERACIÓN

48 artikla Keskinäinen avunanto

Artículo 48 Asistencia mutua

1.           Jäsenvaltioiden on säädettävä, että valvontaviranomaiset tarjoavat toisilleen keskinäistä apua tähän direktiiviin perustuvien säännösten johdonmukaisen täytäntöönpanon ja soveltamisen varmistamiseksi ja toteuttavat toimenpiteet tehokasta keskinäistä yhteistyötä varten. Keskinäisen avunannon on katettava erityisesti tietopyynnöt ja valvontatoimet, kuten ennakkokuulemista sekä tarkastusten ja tutkimusten toteuttamista koskevat pyynnöt.

1.           Los Estados miembros dispondrán que las autoridades de control se prestarán asistencia mutua a fin de implementar y aplicar las disposiciones adoptada con arreglo a la presente Directiva de forma coherente, y tomarán medidas para asegurar una efectiva cooperación entre sí. La asistencia mutua abarcará, en particular, las solicitudes de información y las medidas de control, como, por ejemplo, las solicitudes para llevar a cabo consultas previas, inspecciones e investigaciones.

2.           Jäsenvaltioiden on säädettävä, että valvontaviranomainen toteuttaa kaikki tarvittavat toimenpiteet voidakseen vastata toisen valvontaviranomaisen esittämään pyyntöön.

2.           Los Estados miembros dispondrán que una autoridad de control adoptará todas las medidas apropiadas requeridas para responder a la solicitud de otra autoridad de control.

3.           Pyynnön vastaanottaneen valvontaviranomaisen on ilmoitettava pyynnön esittäneelle valvontaviranomaiselle asian lopputuloksesta tai tarvittaessa asian etenemisestä tai pyynnön täyttämiseksi toteutetuista toimenpiteistä.

3.           La autoridad de control a la que se haya dirigido una solicitud de asistencia informará a la autoridad de control solicitante de los resultados obtenidos o, en su caso, de los progresos registrados o de las medidas adoptadas para dar curso a su solicitud.

49 artikla Euroopan tietosuojaneuvoston tehtävät

Artículo 49 Tareas del Consejo Europeo de Protección de Datos

1.           Asetuksella (EU) N:o …/2012 perustettu Euroopan tietosuojaneuvosto toteuttaa seuraavia tämän direktiivin soveltamisalaan kuuluvaan käsittelyyn liittyviä tehtäviä:

1.           El Consejo Europeo de Protección de datos creado por el Reglamento (UE) nº …./2012 ejercerá, dentro del ámbito de aplicación de la presente Directiva, las siguientes tareas en relación con el tratamiento de datos:

(a) antaa komissiolle neuvoja kaikissa henkilötietojen suojaan unionissa liittyvissä kysymyksissä, myös tämän direktiivin mahdollisessa muuttamisessa;

a)      asesorará a la Comisión sobre cualquier cuestión relativa a la protección de datos personales en la Unión, en particular sobre cualquier propuesta de modificación de la presente Directiva;

(b) tarkastelee komission pyynnöstä tai omasta aloitteestaan tai jonkin jäsenensä aloitteesta kysymyksiä, jotka koskevat tämän direktiivin nojalla annettujen säännösten soveltamista, ja antaa valvontaviranomaisille osoitettuja suuntaviivoja, suosituksia ja parhaita käytänteitä, joiden tarkoituksena on tukea kyseisten säännösten johdonmukaista soveltamista;

b)      examinará, a solicitud de la Comisión o a iniciativa propia o de uno de sus miembros, cualquier cuestión relativa a la aplicación de las disposiciones adoptadas con arreglo a la presente Directiva y emitirá directrices, recomendaciones y mejores prácticas dirigidas a las autoridades de control, a fin de promover la aplicación coherente de esas disposiciones;

(c) tarkastelee b alakohdassa tarkoitettujen suuntaviivojen, suositusten ja parhaiden käytänteiden soveltamista käytäntöön ja raportoi asiasta komissiolle säännöllisesti;

c)      examinará la aplicación práctica de las directrices, recomendaciones y mejores prácticas contempladas en la letra b) e informará de ellas periódicamente a la Comisión;

(d) antaa komissiolle lausuntoja tietosuojan tasosta kolmansissa maissa tai kansainvälisissä järjestöissä;

d)      emitirá un dictamen destinado a la Comisión sobre el nivel de protección en terceros países u organizaciones internacionales;

(e) edistää valvontaviranomaisten välistä yhteistyötä ja tehokasta kahden- ja monenvälistä tietojen ja käytänteiden vaihtamista;

e)      promoverá la cooperación y los intercambios bilaterales y multilaterales efectivos de información y de prácticas entre las autoridades de control;

(f) edistää yhteisiä koulutusohjelmia ja tukee henkilövaihtoa valvontaviranomaisten välillä sekä tarvittaessa kolmansien maiden tai kansainvälisten järjestöjen valvontaviranomaisten kanssa;

f)       promoverá programas de formación comunes y facilitará los intercambios de personal entre las autoridades de control, así como, cuando proceda, con las autoridades de control de terceros países o de organizaciones internacionales;

(g) edistää muun muassa tietosuojalainsäädäntöä ja käytänteitä koskevien tietojen ja asiakirjojen vaihtoa tietosuojaviranomaisten kesken kaikkialla maailmassa.

g)      promoverá el intercambio de conocimientos y documentación con las autoridades de control de la protección de datos a escala mundial, en particular sobre la legislación y las prácticas en materia de protección de datos.

2.       Jos komissio pyytää Euroopan tietosuojaneuvostolta neuvoja, se voi asettaa määräajan, jonka kuluessa tietosuojaneuvoston on annettava neuvot, asian kiireellisyys huomioon ottaen.

2.       Cuando la Comisión solicite asesoramiento del Consejo Europeo de Protección de Datos podrá fijar un plazo para la prestación de dicho asesoramiento, teniendo en cuenta la urgencia del asunto.

3.           Euroopan tietosuojaneuvoston on toimitettava antamansa lausunnot, suuntaviivat, suositukset ja parhaat käytänteet komissiolle sekä 57 artiklan 1 kohdassa tarkoitetulle komitealle ja julkaistava ne.

3.           El Consejo Europeo de Protección de Datos transmitirá sus dictámenes, directrices, recomendaciones y mejores prácticas a la Comisión y al Comité contemplado en el artículo 57, apartado 1, y los hará públicos.

4.           Komission on ilmoitettava Euroopan tietosuojaneuvostolle toimista, jotka se on toteuttanut tietosuojaneuvoston antamien lausuntojen, suuntaviivojen, suositusten ja parhaiden käytänteiden perusteella.

4.           La Comisión informará al Consejo Europeo de Protección de Datos de las medidas que haya adoptado siguiendo los dictámenes, directrices, recomendaciones y mejores prácticas emitidos por dicho Consejo.

VIII LUKU OIKEUSSUOJAKEINOT, VASTUU JA SEURAAMUKSET

CAPÍTULO VIII RECURSOS, RESPONSABILIDAD Y SANCIONES

50 artikla Oikeus tehdä valitus valvontaviranomaiselle

Artículo 50 Derecho a presentar una reclamación ante una autoridad de control

1.           Jäsenvaltioiden on säädettävä, että jokaisella rekisteröidyllä on oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle, jos rekisteröity katsoo, että hänen henkilötietojensa käsittelyssä ei ole noudatettu tämän direktiivin nojalla annettuja säännöksiä, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.

1.           Sin perjuicio de los recursos administrativos o judiciales, los Estados miembros reconocerán el derecho que asiste a todo interesado a presentar una reclamación ante la autoridad de control de cualquier Estado miembro si considera que el tratamiento de sus datos personales no se ajusta a las disposiciones adoptadas con arreglo a la presente Directiva.

2.           Jäsenvaltioiden on säädettävä, että millä tahansa elimellä, järjestöllä ja yhdistyksellä, jonka tarkoituksena on suojella rekisteröidyn henkilötietojen suojaan liittyviä oikeuksia ja etuja ja joka on asianmukaisesti perustettu jäsenvaltion lainsäädännön mukaisesti, on oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle yhden tai useamman rekisteröidyn puolesta, jos se katsoo, että tähän direktiiviin perustuvia rekisteröidyn oikeuksia on loukattu henkilötietojen käsittelyssä. Rekisteröidyn tai rekisteröityjen on annettava järjestölle tai yhdistykselle asianmukainen valtuutus.

2.           Los Estados miembros reconocerán el derecho que asiste a todo organismo, organización o asociación que tenga por objeto proteger los derechos e intereses de los interesados por lo que se refiere a la protección de sus datos personales, y que haya sido correctamente constituido con arreglo a la legislación de un Estado miembro, a presentar una reclamación ante una autoridad de control en cualquier Estado miembro por cuenta de uno o más interesados si considera que los derechos que le asisten en virtud de la presente Directiva han sido vulnerados como consecuencia del tratamiento de datos personales. La organización o asociación deberá estar debidamente autorizada por el interesado o interesados.

3.           Jäsenvaltioiden on säädettävä, että 2 kohdassa tarkoitetulla elimellä, järjestöllä tai yhdistyksellä on rekisteröidyn valituksesta riippumatta oikeus tehdä valitus minkä tahansa jäsenvaltion valvontaviranomaiselle, jos se katsoo, että on tapahtunut henkilötietojen tietoturvaloukkaus.

3.           Los Estados miembros reconocerán el derecho que asiste a todo organismo, organización o asociación contemplado en el apartado 2, independientemente de la reclamación de un interesado, a presentar una reclamación ante una autoridad de control en cualquier Estado miembro si considera que se ha producido una violación de los datos personales.

51 artikla Oikeus oikeussuojakeinoihin valvontaviranomaista vastaan

Artículo 51 Derecho a un recurso judicial contra una autoridad de control

1. Jäsenvaltioiden on säädettävä oikeudesta käyttää oikeussuojakeinoja valvontaviranomaisen päätöksiä vastaan.

1. Los Estados miembros reconocerán el derecho a un recurso judicial contra las decisiones de una autoridad de control.

2. Jokaisella rekisteröidyllä on oikeus oikeussuojakeinoihin, joilla valvontaviranomainen voidaan velvoittaa käsittelemään valitus, ellei valvontaviranomainen ole tehnyt rekisteröidyn oikeuksien suojaamista koskevaa päätöstä tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa valituksen etenemisestä tai valitusta koskevasta ratkaisustaan 45 artiklan 1 kohdan b alakohdan mukaisesti.

2. Cada interesado tendrá derecho a un recurso judicial que obligue a la autoridad de control a dar curso a una reclamación en ausencia de una decisión necesaria para proteger sus derechos, o en caso de que la autoridad de control no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación con arreglo a lo dispuesto en el artículo 45, apartado 1, letra b).

3. Jäsenvaltioiden on säädettävä, että kanne valvontaviranomaista vastaan nostetaan sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut.

3. Los Estados miembros dispondrán que las acciones legales contra una autoridad de control deberán ejercitarse antes los órganos jurisdiccionales del Estado miembro en que esté establecida la autoridad de control.

52 artikla Oikeus oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan

Artículo 52 Derecho a un recurso judicial contra un responsable o encargado

Jäsenvaltioiden on säädettävä, että jokaisella luonnollisella henkilöllä on oikeus oikeussuojakeinoihin, jos hän katsoo, että hänen tämän direktiivin nojalla annettuihin säännöksiin perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu näitä säännöksiä, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen käyttöä, mukaan lukien oikeus tehdä valitus valvontaviranomaiselle.

Sin perjuicio de los recursos administrativos disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control, los Estados miembros reconocerán el derecho que asiste a toda persona física a interponer un recurso judicial si considera que sus derechos establecidos en disposiciones adoptadas con arreglo a la presente Directiva han sido vulnerados como consecuencia de un tratamiento de sus datos personales no conforme con esas disposiciones.

53 artikla Tuomioistuinmenettelyjä koskevat yhteiset säännöt

Artículo 53 Normas comunes para los procedimientos judiciales

1.           Jäsenvaltioiden on säädettävä, että jokaisella 50 artiklan 2 kohdassa tarkoitetulla elimellä, järjestöllä ja yhdistyksellä on oikeus käyttää 51 ja 52 artiklassa tarkoitettuja oikeuksia yhden tai useamman rekisteröidyn puolesta.

1.           Los Estados miembros reconocerán el derecho que asiste a todo organismo, organización o asociación a que se refiere el artículo 50, apartado 2, a ejercer los derechos contemplados en los artículos 51 y 52 en nombre de uno o más interesados.

2.           Jokaisella valvontaviranomaisella on oikeus panna vireille oikeudellisia menettelyjä ja nostaa kanne tuomioistuimessa tämän direktiivin nojalla annettujen säännösten täytäntöönpanon tai henkilötietojen johdonmukaisen suojelun varmistamiseksi unionissa.

2.           Las autoridades de control tendrán derecho a litigar y ejercitar acciones ante un órgano jurisdiccional con el fin de garantizar el cumplimiento de las disposiciones adoptadas con arreglo a la presente Directiva o de garantizar la coherencia de la protección de los datos personales en el territorio de la Unión.

3.           Jäsenvaltioiden on varmistettava, että niiden kansallisen lainsäädännön mukaisesti käytettävissä olevat oikeussuojakeinot mahdollistavat nopeat toimenpiteet, turvaamistoimenpiteet mukaan lukien, joilla lopetetaan väitetyt väärinkäytökset ja estetään suuremman haitan koituminen asianomaisten tahojen eduille.

3.           Los Estados miembros velarán por que las acciones jurisdiccionales existentes en virtud de la legislación nacional permitan la rápida adopción de medidas, incluso medidas provisionales, destinadas a poner término a cualquier presunta infracción y a evitar que se produzcan nuevos perjuicios contra los intereses afectados.

54 artikla Vastuu ja oikeus korvauksen saamiseen

Artículo 54 Responsabilidad y derecho a indemnización

1.           Jäsenvaltioiden on säädettävä, että jos kenelle tahansa henkilölle aiheutuu vahinkoa lainvastaisesta käsittelystä tai minkä tahansa toiminnan yhteensopimattomuudesta tämän direktiivin nojalla annettujen säännösten kanssa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.

1.           Los Estados miembros dispondrán que toda persona que haya sufrido un perjuicio como consecuencia de una operación de tratamiento ilícito o de un acto incompatible con las disposiciones adoptadas con arreglo a la presente Directiva tendrá derecho a recibir del responsable o encargado del tratamiento una indemnización por el perjuicio sufrido.

2.           Jos käsittelyyn on osallistunut useampi kuin yksi rekisterinpitäjä tai henkilötietojen käsittelijä, kukin rekisterinpitäjä tai henkilötietojen käsittelijä on yhteisvastuullisesti vastuussa korvauksen koko määrästä.

2.           En caso de que participen en el tratamiento más de un responsable o encargado, todos los responsables o encargados serán responsables solidarios del importe total de los daños.

3.           Rekisterinpitäjä tai henkilötietojen käsittelijä voidaan vapauttaa tästä vastuusta osittain tai kokonaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä osoittaa, ettei ole vastuussa vahingon aiheuttaneesta tapahtumasta.

3.           El responsable o el encargado del tratamiento podrá ser eximido total o parcialmente de dicha responsabilidad si demuestra que no se le puede imputar el hecho que ha provocado el daño.

55 artikla Seuraamukset

Artículo 55 Sanciones

Jäsenvaltioiden on vahvistettava säännöt tämän direktiivin nojalla annettujen säännösten rikkomisen vuoksi määrättäviä seuraamuksia varten ja toteutettava kaikki tarvittavat toimenpiteet niiden täytäntöönpanon varmistamiseksi. Seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia.

Los Estados miembros establecerán las normas sobre las sanciones aplicables a las infracciones de las disposiciones adoptadas con arreglo a la presente Directiva y adoptarán todas las medidas necesarias para garantizar su cumplimiento. Las sanciones establecidas deberán ser efectivas, proporcionadas y disuasorias.

IX LUKU DELEGOIDUT SÄÄDÖKSET JA TÄYTÄNTÖÖNPANOSÄÄDÖKSET

CAPÍTULO IX ACTOS DELEGADOS Y ACTOS DE EJECUCIÓN

56 artikla Siirretyn säädösvallan käyttäminen

Artículo 56 Ejercicio de la delegación

1.           Siirretään komissiolle valta antaa delegoituja säädöksiä tässä artiklassa säädetyin edellytyksin.

1.           Los poderes para adoptar actos delegados otorgados a la Comisión estarán sujetos a las condiciones establecidas en el presente artículo.

2.           Siirretään 28 artiklan 5 kohdassa tarkoitettu valta antaa delegoituja säädöksiä komissiolle määräämättömäksi ajaksi tämän direktiivin voimaantulopäivästä alkaen.

2.           La delegación de poderes a que se refiere el artículo 28, apartado 5, se atribuirá a la Comisión por un periodo de tiempo indeterminado a partir de la fecha de entrada en vigor de la presente Directiva.

3.           Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 28 artiklan 5 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Päätös tulee voimaan sitä päivää seuraavana päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, päätöksessä mainittuna päivänä. Päätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

3.           La delegación de poderes a que se refiere el artículo 28, apartado 5, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. Surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en la fecha posterior que en ella se especifique. No afectará a la validez de los actos delegados que ya estén en vigor.

4.           Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

4.           En cuanto la Comisión adopte un acto delegado, lo notificará simultáneamente al Parlamento Europeo y al Consejo.

5.           Edellä olevan 28 artiklan 5 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella.

5.           Todo acto delegado adoptado en virtud del artículo 28, apartado 5, entrará en vigor únicamente en caso de que ni el Parlamento Europeo ni el Consejo hayan manifestado ninguna objeción en un plazo de dos meses a partir de la notificación de dicho acto al Parlamento Europeo y al Consejo, o en caso de que, antes de que expire ese plazo, el Parlamento Europeo y el Consejo hayan informado a la Comisión de que no formularán ninguna objeción. El plazo se podrá prorrogar dos meses a instancias del Parlamento Europeo o del Consejo.

57 artikla Komiteamenettely

Artículo 57 Procedimiento de Comité

1. Komissiota avustaa komitea. Kyseinen komitea on asetuksessa (EU) N:o 182/2011 tarkoitettu komitea.

1. La Comisión estará asistida por un Comité. Dicho Comité se entenderá en el sentido del Reglamento (UE) nº 182/2011.

2. Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 5 artiklaa.

2. Cuando se haga referencia al presente apartado, será de aplicación el artículo 5 del Reglamento (UE) nº 182/2011.

3. Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 8 artiklaa yhdessä 5 artiklan kanssa.

3. Cuando se haga referencia al presente apartado, se aplicará el artículo 8 del Reglamento (UE) nº 182/2011, leído en relación con su artículo 5.

X LUKU LOPPUSÄÄNNÖKSET

CAPÍTULO X DISPOSICIONES FINALES

58 artikla Kumoamiset

Artículo 58 Derogaciones

1.           Kumotaan neuvoston puitepäätös 2008/977/YOS.

1.           Queda derogada la Decisión Marco 2008/977/JAI del Consejo.

2.           Viittauksia 1 kohdassa tarkoitettuun, kumottuun puitepäätökseen pidetään viittauksina tähän direktiiviin.

2.           Las referencias a la Decisión Marco derogada a que hace referencia el apartado 1 se entenderán hechas a la presente Directiva.

59 artikla Suhde unionin aiempiin, rikosasioissa tehtävää oikeudellista yhteistyötä ja poliisiyhteistyötä koskeviin säädöksiin

Artículo 59 Relación con actos de la Unión adoptados anteriormente en el ámbito de la cooperación judicial en materia penal y de la cooperación policial

Direktiivi ei vaikuta erityisiin säännöksiin, jotka koskevat henkilötietojen suojaa toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten ja jotka sisältyvät ennen direktiivin hyväksymispäivää annettuihin unionin säädöksiin, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken ja jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin.

Las disposiciones específicas relativas a la protección de datos personales en lo que respecta al tratamiento de datos personales por parte de autoridades competentes a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales en actos de la Unión adoptados antes de la fecha de adopción de la presente Directiva que regulen el tratamiento de datos personales entre los Estados miembros y el acceso de autoridades designadas de los Estados miembros a los sistemas de información establecidos con arreglo a lo dispuesto en los Tratados en el ámbito de la presente Directiva no se verán afectadas.

60 artikla Suhde rikosasioissa tehtävää oikeudellista yhteistyötä ja poliisiyhteistyötä koskeviin, aiemmin tehtyihin kansainvälisiin sopimuksiin

Artículo 60 Relación con acuerdos internacionales celebrados con anterioridad en el ámbito de la cooperación judicial en materia penal y de la cooperación policial

Kansainvälisiä sopimuksia, jotka jäsenvaltiot ovat tehneet ennen tämän direktiivin voimaantuloa, on tarvittaessa muutettava viiden vuoden kuluessa direktiivin voimaatulosta.

Los acuerdos internacionales celebrados por los Estados miembros con anterioridad a la entrada en vigor de la presente Directiva se modificarán, en caso necesario, en un plazo de cinco años a partir de la entrada en vigor de la presente Directiva.

61 artikla Arviointi

Artículo 61 Evaluación

1.           Komissio arvioi tämän direktiivin soveltamista.

1.           La Comisión evaluará la aplicación de la presente Directiva.

2.           Komissio tarkastelee kolmen vuoden kuluessa tämän direktiivin voimaantulosta muita Euroopan unionin säädöksiä, joilla säännellään toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, ja erityisesti 59 artiklassa tarkoitettuja unionin säädöksiä arvioidakseen, olisiko niitä yhdenmukaistettava direktiivin kanssa, ja tekee tarvittaessa tarpeelliset ehdotukset kyseisten säädösten muuttamiseksi, jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojaan tämän direktiivin puitteissa.

2.           La Comisión revisará en un plazo de tres años después de la entrada en vigor de la presente Directiva otros actos adoptados por la Unión Europea que regulan el tratamiento de datos personales por parte de las autoridades competentes a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, en particular los actos adoptados por la Unión a que se refiere el artículo 59, a fin de evaluar la necesidad de aproximarlos a las disposiciones de la presente Directiva, y presentará, en su caso, las propuestas necesarias para modificar dichos actos a fin de garantizar un enfoque coherente de la protección de datos personales en el ámbito de aplicación de la presente Directiva.

3.           Komissio toimittaa Euroopan parlamentille ja neuvostolle säännöllisesti kertomukset tämän direktiivin arvioinnista ja uudelleentarkastelusta 1 kohdan mukaisesti. Ensimmäiset kertomukset annetaan viimeistään neljän vuoden kuluttua tämän direktiivin voimaantulosta. Sen jälkeen kertomukset annetaan neljän vuoden välein. Komissio esittää tarvittaessa ehdotuksia tämän direktiivin muuttamiseksi ja sen yhdenmukaistamiseksi muiden säädösten kanssa. Kertomukset julkaistaan.

3.           La Comisión presentará al Parlamento Europeo y al Consejo informes periódicos sobre la evaluación y revisión de la presente Directiva con arreglo a lo dispuesto en el apartado 1. Los primeros informes se presentarán a más tardar cuatro años después de la entrada en vigor de la presente Directiva. Los siguientes informes se presentarán cada cuatro años. La Comisión presentará, si procede, las propuestas oportunas para modificar la presente Directiva y para adaptar otros instrumentos jurídicos. Dicho informe se hará público.

62 artikla Täytäntöönpano

Artículo 62 Implementación

1.           Jäsenvaltioiden on annettava ja julkaistava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset viimeistään [päivämäärä / kahden vuoden kuluttua direktiivin voimaantulosta]. Niiden on viipymättä ilmoitettava komissiolle kirjallisina nämä säännökset.

1.           Los Estados miembros adoptarán y publicarán, a más tardar el [fecha / dos años después de su entrada en vigor], las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. Comunicarán inmediatamente a la Comisión el texto de dichas disposiciones.

Jäsenvaltioiden on sovellettava näitä säännöksiä xx päivästä xxkuuta 201x [päivämäärä / kaksi vuotta direktiivin voimaantulosta].

Aplicarán dichas disposiciones a partir del xx.xx.201x [fecha / dos años después de su entrada en vigor].

Näissä jäsenvaltioiden antamissa säädöksissä on viitattava tähän direktiiviin tai niihin on liitettävä tällainen viittaus, kun ne virallisesti julkaistaan. Jäsenvaltioiden on säädettävä siitä, miten viittaukset tehdään.

Cuando los Estados miembros adopten dichas disposiciones, estas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2.           Jäsenvaltioiden on toimitettava tässä direktiivissä tarkoitetuista kysymyksistä antamansa keskeiset kansalliset säännökset kirjallisina komissiolle.

2.           Los Estados miembros comunicarán a la Comisión el texto de las disposiciones básicas de Derecho interno que adopten en el ámbito regulado por la presente Directiva.

63 artikla Voimaantulo ja soveltaminen

Artículo 63 Entrada en vigor y aplicación

Tämä direktiivi tulee voimaan ensimmäisenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

La presente Directiva entrará en vigor el tercer día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

64 artikla Osoitus

Artículo 64 Destinatarios

Tämä direktiivi on osoitettu kaikille jäsenvaltioille.

Los destinatarios de la presente Directiva serán los Estados miembros.

Tehty Brysselissä 25.1.2012.

Hecho en Bruselas, el 25.1.2012

Euroopan parlamentin puolesta                    Neuvoston puolesta

Por el Parlamento Europeo                          Por el Consejo

Puhemies                                                       Puheenjohtaja

El Presidente                                                 El Presidente

[1]               Euroopan parlamentin ja neuvoston direktiivi 95/46/EY, annettu 24 päivänä lokakuuta 1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta, EYVL L 281, 23.11.1995, s. 31.

[1]               Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, DO L 281 de 23.11.1995, p. 31.

[2]               Katso vaikutusten arvioinnin liitteessä 3 oleva täydellinen luettelo (SEC(2012)72).

[2]               Véase la lista completa en el anexo 3 de la evaluación de impacto (SEC (2012) 72).

[3]               Neuvoston puitepäätös 2008/977/YOS, tehty 27 päivänä marraskuuta 2008, rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta, EUVL L 350, 30.12.2008, s. 60.

[3]               Decisión Marco 2008/977/JAI, de 27 de noviembre de 2008, relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal, DO L 350 de 30.12.2008, p. 60.

[4]               Tukholman ohjelma, EUVL C 115, 4.5.2010, s. 1.

[4]               En el Programa de Estocolmo, DO C 115 de 4.5.2010, p. 1.

[5]               Ks. Euroopan parlamentin 25.11.2009 Tukholman ohjelmasta antama päätöslauselma.

[5]               Véase la Resolución del Parlamento Europeo sobre el Programa de Estocolmo, adoptada el 25 de noviembre de 2009.

[6]               KOM(2010) 171 lopullinen.

[6]               COM (2010) 171final.

[7]               Euroopan komission tiedonanto Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa, KOM(2010) 609 lopullinen, 4.11.2010.

[7]               Comunicación de la Comisión Europea «Un enfoque global de la protección de los datos personales en la Unión Europea», COM (2010) 609 final de 4 de noviembre de 2010.

[8]               Julistus 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla (liitetty Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjaan, 13.12.2007).

[8]               Declaración 21, relativa a la protección de datos de carácter personal en el ámbito de la cooperación judicial en materia penal y de la cooperación policial (aneja al Acta final de la Conferencia Intergubernamental que adoptó el Tratado de Lisboa, 13.12.2007).

[9]               http://ec.europa.eu/justice/newsroom/data-protection/opinion/090709_en.htm.

[9]               http://ec.europa.eu/justice/newsroom/data-protection/opinion/090709_en.htm.

[10]             http://ec.europa.eu/justice/newsroom/data-protection/opinion/101104_en.htm.

[10]             http://ec.europa.eu/justice/newsroom/data-protection/opinion/101104_en.htm.

[11]             Erityiseurobarometritutkimus (EB) 359, Data Protection and Electronic Identity in the EU (2011), http://ec.europa.eu/public_opinion/archives/ebs/ebs_359_en.pdf.

[11]             Eurobarómetro espacial (EB) 359, Data Protection and Electronic Identity in the EU (Protección de datos e identidad electrónica en la UE, 2011):     http://ec.europa.eu/public_opinion/archives/ebs/ebs_359_en.pdf.

[12]             Ks. Study on the economic benefits of privacy enhancing technologies tai Comparative study on different approaches to new privacy challenges, in particular in the light of technological developments, tammikuu 2010.          (http://ec.europa.eu/justice/policies/privacy/docs/studies/new_privacy_challenges/final_report_en.pdf).

[12]             Véase el Estudio sobre las ventajas económicas de las tecnologías potenciadoras de la privacidad o el Estudio comparativo de los distintos enfoques ante los nuevos retos en materia de protección de la privacidad, en particular a la luz de los avances tecnológicos, enero de 2010.             (http://ec.europa.eu/justice/policies/privacy/docs/studies/new_privacy_challenges/final_report_en.pdf).

[13]             Tietosuojatyöryhmä on perustettu vuonna 1996 tietosuojadirektiivin 29 artiklan nojalla. Se on neuvoa-antava ryhmä, jossa ovat edustettuina kansalliset tietosuojaviranomaiset, Euroopan tietosuojavaltuutettu ja komissio. Lisätietoja ks. http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm.

[13]             Este grupo de trabajo se creó en 1996 (por el artículo 29 de la Directiva) con carácter consultivo y estaba compuesto por representantes de las autoridades nacionales de protección de datos (DPA), el Supervisor Europeo de Protección de Datos (SEPD) y la Comisión. Para consultar información adicional sobre sus actividades, véase  http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm.

[14]             Ks. erityisesti seuraavat lausunnot: aiheesta ”yksityisyydensuoja tulevaisuudessa” (2009, WP 168); rekisterinpitäjän ja henkilötietojen käsittelijän käsitteistä (1/2010, WP 169); käyttötottumuksia seuraavasta internetmainonnasta (2/2010, WP 171); tilivelvollisuuden periaatteesta (3/2010, WP 173); sovellettavasta lainsäädännöstä (8/2010, WP 179); ja suostumuksen määritelmästä (15/2011, WP 187). Komission pyynnöstä työryhmä esitti myös kolme neuvoa-antavaa asiakirjaa ilmoituksista, arkaluonteisista tiedoista ja direktiivin 95/46/EY 28 artiklan 6 kohdan käytännön täytäntöönpanosta. Nämä asiakirjat ovat saatavilla osoitteessa http://ec.europa.eu/justice/data-protection/article-29/documentation/index_en.htm.

[14]             Véanse, en particular, los siguientes dictámenes: sobre «El futuro de la intimidad» (2009, WP 168); sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (1/2010, WP 169); sobre la publicidad del comportamiento en línea (2/2010, WP 171); sobre el principio de la obligación de rendir cuentas (3/2010, WP 173); sobre la legislación aplicable (8/2010, WP 179); y sobre el consentimiento (15/2011, WP 187). A petición de la Comisión, también adoptó los tres documentos de orientación siguientes: sobre notificaciones, datos sensibles y la aplicación práctica del artículo 28, apartado 6, de la Directiva 95/46/CE. Todos ellos pueden consultarse en:             http://ec.europa.eu/justice/protección de datos/article-29/documentation/index_en.htm.

[15]             Saatavilla Euroopan tietosuojavaltuutetun verkkosivustolla osoitteessa http://www.edps.europa.eu/EDPSWEB/.

[15]             Puede consultarse en el sitio internet del SEPD: http://www.edps.europa.eu/EDPSWEB/.

[16]             Euroopan parlamentin päätöslauselma, 6.7.2011, kattavasta lähestymistavasta henkilötietojen suojaan Euroopan unionissa (2011/2025(INI), http://www.europarl.europa.eu/sides/getDoc.do?type=TA&reference=P7-TA-2011-0323&language=EN&ring=A7-2011-0244 (esittelijä: Euroopan parlamentin jäsen Axel Voss (EPP/DE)).

[16]             Resolución del PE de 6 de julio de 2011 sobre un enfoque global de la protección de los datos personales en la Unión Europea (2011/2025(INI),    http://www.europarl.europa.eu/sides/getDoc.do?type=TA&reference=P7-TA-2011-0323&language=EN&ring=A7-2011-0244 (ponente: MEP Axel Voss (PPE/DE).

[17]             CESE 999/2011.

[17]             CESE 999/2011.

[18]             SEC(2012) 72.

[18]             SEC(2012) 72.

[19]             COM(2012) 12.

[19]             COM(2012) 12.

[20]             Yhteisöjen tuomioistuimen yhdistetyt asiat C-92/09 ja C-93/09, Volker und Markus Schecke ja Eifert, tuomio 9.11.2010 (Kok., s. I-0000).

[20]             Tribunal de Justicia de la Unión Europea, sentencia de 9.11.2010, asuntos acumulados C-92/09 y C-93/09 Volker und Markus schecke y Eifert [Rec. 2010, p. I-0000).

[21]             Perusoikeuskirjan 52 artiklan 1 kohdan mukaan tietosuojaoikeuden käyttämistä voidaan rajoittaa, jos näistä rajoituksista säädetään lailla, jos niissä kunnioitetaan kyseisten oikeuksien ja vapauksien olennaista sisältöä ja jos ne suhteellisuusperiaatteen mukaisesti ovat välttämättömiä ja vastaavat tosiasiallisesti Euroopan unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

[21]             En consonancia con el artículo 52, apartado 1, de la Carta, pueden introducirse limitaciones al ejercicio del derecho a la protección de datos, siempre que tales limitaciones estén establecidas por ley, respeten el contenido esencial de dichos derechos y libertades y, respetando el principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás.

[22]             Mainittu myös lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumisesta ja neuvoston puitepäätöksen 2004/68/YOS korvaamisesta 13 päivänä joulukuuta 2011 annetun Euroopan parlamentin ja neuvoston direktiivin 2011/93/EU 2 artiklan a alakohdassa, EUVL L 335, 17.12.2011, s. 1.

[22]             Mencionado también en el artículo 2, letra a), de la Directiva 2011/92/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión marco 2004/68/JAI del Consejo, DO L 335, 17.12.2011, p. 1.

[23]             KOM(2005) 475 lopullinen.

[23]             COM(2005) 475 final.

[24]             Europol-päätöksen 2009/371/YOS 14 artikla.

[24]             Artículo 14 de la Decisión 2009/371/JAI por la que se crea la Oficina Europea de Policía (Europol).

[25]             Eurojust-päätöksen 2009/426/YOS 15 artikla.

[25]             Artículo 15 de la Decisión 2009/426/JAI por la que se refuerza Eurojust.

[26]             Europol-päätöksen 2009/371/YOS 14 artikla.

[26]             Artículo 14 de la Decisión 2009/371/JAI por la que se crea la Oficina Europea de Policía (Europol).

[27]             Euroopan ihmisoikeustuomioistuin, asia Marper v. Yhdistynyt kuningaskunta, tuomio 4.12.2008 (hakemukset nro 30562/04 ja 30566/04).             

[27]             Tribunal Europeo de Derechos Humanos, sentencia de 4.12.2008, S. y Marper / Reino Unido (nº demanda 30562/04 y 30566/04).

[28]             Päätöslauselman on antanut tietosuojavaltuutettujen kansainvälinen konferenssi 5. marraskuuta 2009.

[28]             Adoptada por la Conferencia Internacional de Autoridades de Protección de Datos y Privacidad de 5.11.2009.

[29]             Yhteisöjen tuomioistuimen asia C-518/07, komissio v. Saksa, tuomio 9.3.2010 (Kok., s. I-1885).

[29]             Tribunal de Justicia de la Unión Europea, sentencia de 9.3.2010, Comisión/Alemania (C-518/07, Rec. 2010, p. I-1885)

[30]             Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta, EYVL L 8, 12.1.2001, s. 1.

[30]             Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos; DO L 8 de 12.1.2001, p.1.

[31]             Ks. alaviite 27.

[31]             Op. cit, nota a pie de página nº 27.

[32]             Euroopan parlamentin ja neuvoston direktiivi 2000/31/EY, annettu 8 päivänä kesäkuuta 2000, tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista (”Direktiivi sähköisestä kaupankäynnistä”), EYVL L 178, 17.7.2000, s. 1.

[32]             Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior («Directiva sobre el comercio electrónico»); DO L 178 de 17.07.2000, p. 1.

[33]             EUVL C…, , s. .

[33]             DO C de …, p. ...

[34]             EYVL L 281, 23.11.1995, s. 31.

[34]             DO L 281 de 23.11.1995, p. 31.

[35]             EUVL L 350, 30.12.2008, s. 60.

[35]             DO L 350 de 30.12.2008, p. 60.

[36]             EUVL L 55, 28.2.2011, s. 13.

[36]             DO L 55 de 28.2.2011, p. 13.

[37]             EUVL L 335, 17.12.2011, s. 1.

[37]             DO L 335 de 17.12.2011, p. 1.

[38]             EYVL L 176, 10.7.1999, s. 36.

[38]             DO L 176 de 10.7.1999, p. 36.

[39]             EUVL L 53, 27.2.2008, s. 52.               

[39]             DO L 53 de 27.2.2008, p. 52.               

[40]             EUVL L 160, 18.6.2011, s. 19.

[40]             DO L 160 de 18.6.2011, p. 19.