(1)

Euroopan tietosuojavaltuutettu voi toteuttaa toimintansa puitteissa hallinnollisia tutkimuksia, kurinpitomenettelyä edeltäviä menettelyjä, kurinpitomenettelyjä ja virantoimituksesta pidättämistä koskevia menettelyjä Euroopan unionin virkamiehiin sovellettavien henkilöstösääntöjen (2) 86 artiklan ja niiden liitteen IX sekä hallinnollisten tutkimusten ja kurinpitomenettelyiden suorittamista koskevien täytäntöönpanosäännösten hyväksymisestä 23 päivänä huhtikuuta 2015 tehdyn Euroopan tietosuojavaltuutetun päätöksen sekä Euroopan komission henkilöstöhallinnon ja turvallisuustoiminnan pääosaston (PO HR) ja Euroopan tietosuojavaltuutetun välisen 29 päivänä tammikuuta 2016 allekirjoitetun yksikön tason sopimuksen perusteella, ja se voi ilmoittaa tapauksista tutkinta- ja kurinpitotoimistolle (IDOC) tai Euroopan petostentorjuntavirastolle (OLAF), jolloin kyseessä on henkilötietoja sisältävien tietojen käsittely.

(2)

Euroopan tietosuojavaltuutetun henkilöstön jäsenillä on velvollisuus ilmoittaa mahdollisista unionin etuja vahingoittavista laittomista toimista, kuten petoksista tai lahjonnasta, tai sellaisista virkatoimiin liittyvistä vakavista teoista, jotka voivat merkitä, että unionin virkamiehille kuuluvia velvollisuuksia ei ole noudatettu. Tästä määrätään väärinkäytösten paljastamista koskevista sisäisistä säännöistä 14 päivänä kesäkuuta 2016 tehdyssä Euroopan tietosuojavaltuutetun päätöksessä.

(3)

Euroopan tietosuojavaltuutettu on laatinut toimintaperiaatteet, joilla ehkäistään ja käsitellään tehokkaasti ja tuloksellisesti tosiasialliset tai mahdolliset tapaukset, jotka koskevat työpaikkakiusaamista tai seksuaalista häirintää työpaikalla, häirinnänvastaisesta menettelystä annettua henkilöstösääntöjen 12a ja 24 artiklaa koskevien täytäntöönpanotoimenpiteiden hyväksymisestä 10 päivänä joulukuuta 2014 tehdyn Euroopan tietosuojavaltuutetun päätöksen mukaisesti. Päätöksessä vahvistetaan epävirallinen menettely, jonka avulla häirinnän oletettu kohde voi ottaa yhteyttä Euroopan tietosuojavaltuutetun uskottuihin neuvonantajiin.

(4)

Euroopan tietosuojavaltuutettu käsittelee asetuksen 57 artiklan 1 kohdan e alakohdan nojalla kanteluja, jotka koskevat unionin toimielinten, elinten ja laitosten suorittamia käsittelytoimia. Euroopan tietosuojavaltuutettu voi tässä yhteydessä toteuttaa kantelun kohdetta koskevia tutkimuksia.

(5)

Euroopan tietosuojavaltuutettu suorittaa asetuksen 57 artiklan 1 kohdan f alakohdan nojalla asetuksen soveltamista koskevia tutkimuksia tarkistaakseen, että EU:n toimielimet, elimet ja laitokset noudattavat asetusta.

(6)

Euroopan tietosuojavaltuutettu voi suorittaa EU:n turvallisuusluokiteltujen tietojen mahdollisia turvallisuusrikkomuksia koskevia tutkimuksia EU:n turvallisuusluokiteltujen tietojen turvaamista koskevien tietosuojavaltuutetun sääntöjen muuttamisesta 18 päivänä helmikuuta 2014 tehdyn Euroopan tietosuojavaltuutetun päätöksen perusteella.

(7)

Euroopan tietosuojavaltuutettu voi suorittaa oman toimintansa tarkastuksia. Tätä tehtävää hoitaa nykyään Euroopan komission sisäisen tarkastuksen toimiala jäljempänä ’IAS’1 päivänä kesäkuuta 2012 allekirjoitetun yksikön tason sopimuksen, sellaisena kuin se on uusittuna, perusteella. Sitä voi hoitaa täysimääräisesti myös sisäisen valvonnan koordinaattori.

(8)

Euroopan tietosuojavaltuutettu voi johdanto-osan 1–7 kappaleessa kuvattujen tehtävien yhteydessä antaa unionin muille toimielimille, elimille, laitoksille ja virastoille apua ja tarjota yhteistyötä sekä ottaa niiltä vastaan apua ja yhteistyötä asiaan liittyvien yksikön tason sopimusten, yhteisymmärryspöytäkirjojen ja yhteistyösopimusten mukaisesti.

(9)

Euroopan tietosuojavaltuutettu voi antaa kolmansien maiden kansallisille viranomaisille ja kansainvälisille järjestöille apua ja tarjota yhteistyötä näiden pyynnöstä tai omasta aloitteestaan sekä ottaa niiltä vastaan apua ja yhteistyötä asetuksen 51 artiklassa säädetyllä tavalla.

(10)

Euroopan tietosuojavaltuutettu voi antaa EU:n jäsenvaltioiden viranomaisille apua ja tarjota yhteistyötä näiden pyynnöstä tai omasta aloitteestaan sekä ottaa niiltä vastaan apua ja yhteistyötä.

(11)

Euroopan tietosuojavaltuutettu voi asetuksen 58 artiklan 4 kohdan nojalla olla osallisena Euroopan unionin tuomioistuimessa käsiteltävissä asioissa, joissa se voi saattaa asian unionin tuomioistuimen käsiteltäväksi tai puolustaa riitautettuja päätöksiään tai olla väliintulijana tehtäviinsä liittyvissä asioissa.

(12)

Edellä mainitun toiminnan yhteydessä Euroopan tietosuojavaltuutettu kerää ja käsittelee asiaan liittyviä tietoja ja useita henkilötietoryhmiä, kuten luonnollisen henkilön tunnistetietoja, yhteystietoja, ammatillisia rooleja ja tehtäviä, yksityistä ja ammatillista toimintaa koskevia tietoja sekä taloudellisia tietoja. Euroopan tietosuojavaltuutettu toimii rekisterinpitäjänä.

(13)

Käytössä on asianmukaisia suojatoimia, joilla suojataan henkilötiedot ja estetään tahaton tai lainvastainen pääsy niihin tai niiden siirtäminen, kun niitä säilytetään fyysisessä tai sähköisessä ympäristössä. Käsittelyn jälkeen tiedot säilytetään Euroopan tietosuojavaltuutetun voimassa olevien tietojen säilyttämistä koskevien sääntöjen mukaisesti asetuksen 31 artiklaan perustuvissa tietosuojaselosteissa määritellyllä tavalla. Säilytysajan päätyttyä tapaukseen liittyvät tiedot, kuten henkilötiedot, poistetaan, anonymisoidaan tai siirretään historiallisiin arkistoihin.

(14)

Tässä yhteydessä Euroopan tietosuojavaltuutettu on sitoutunut täyttämään velvollisuutensa antaa rekisteröidyille tietoja edellä mainituista käsittelytoimista ja kunnioittaa aseuksessa vahvistettuja rekisteröityjen oikeuksia.

(15)

Saattaa olla tarpeen sovittaa asetuksen mukaiset rekisteröityjen oikeudet yhteen edellä mainitun toiminnan tarpeiden kanssa kunnioittaen samalla täysimääräisesti muiden rekisteröityjen perusoikeuksia ja -vapauksia. Tämän vuoksi asetuksen 25 artiklassa säädetään tiukoin edellytyksin mahdollisuudesta rajoittaa 14–20, 35 ja 36 artiklan soveltamista sekä 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat 14–20 artiklassa säädettyjä oikeuksia ja velvollisuuksia. Tässä tapauksessa on tarpeen antaa sisäisiä sääntöjä, joiden nojalla Euroopan tietosuojavaltuutettu voi rajoittaa näitä oikeuksia asetuksen kyseisen artiklan mukaisesti.

(16)

Tällainen tilanne voi olla kyseessä erityisesti silloin, kun rekisteröidylle annetaan henkilötietojen käsittelyä koskevia tietoja hallinnollisen tutkimuksen alustavassa arviointivaiheessa tai itse tutkinnan aikana tai ennen asian mahdollista tutkimatta jättämistä koskevaa päätöstä tai kurinpitomenettelyä edeltävässä vaiheessa. Tietyissä olosuhteissa tällaisten tietojen antaminen voisi vaikuttaa huomattavasti Euroopan tietosuojavaltuutetun mahdollisuuteen suorittaa tutkimus tehokkaasti esimerkiksi siksi, että asianomainen henkilö voisi tuhota todisteita tai pyrkiä vaikuttamaan mahdollisiin todistajiin ennen kuin heitä on kuultu. Lisäksi Euroopan tietosuojavaltuutettu voi joutua suojelemaan rekisteröityjen oikeuksia ja vapauksia sekä muiden asianosaisten henkilöiden oikeuksia ja vapauksia.

(17)

Voi olla tarpeen pitää sellaista todistajaa tai väärinkäytöksen paljastajaa koskevat tiedot luottamuksellisina, joka on pyytänyt, että hänen henkilöllisyytensä salataan. Tällaisessa tapauksessa Euroopan tietosuojavaltuutettu voi kyseisen väärinkäytösten paljastajan tai muiden asiaan liittyvien henkilöiden oikeuksien ja vapauksien suojaamiseksi päättää rajoittaa oikeutta tutustua kyseisten henkilöiden henkilöllisyyteen, lausuntoihin tai muihin henkilötietoihin.

(18)

Voi olla tarpeen pitää sellaista henkilöstön jäsentä koskevat tiedot luottamuksellisina, joka on ottanut yhteyttä Euroopan tietosuojavaltuutetun uskottuihin neuvonantajiin häirintämenettelyn yhteydessä. Tällaisessa tapauksessa Euroopan tietosuojavaltuutettu voi oletetun häirinnän kohteen, oletetun häirintään syyllistyneen ja muiden asianosaisten henkilöiden oikeuksien ja vapauksien suojaamiseksi päättää rajoittaa oikeutta tutustua kyseisten henkilöiden henkilöllisyyteen, lausuntoihin tai muihin henkilötietoihin.

(19)

Kun Euroopan tietosuojavaltuutettu käsittelee Euroopan unionin toimielinten, elinten ja laitosten toteuttamia käsittelytoimia koskevia kanteluja, sen voi tietyissä olosuhteissa olla tarpeen säilyttää tutkimustensa tehokkuus ja suojella tarvittaessa asianosaisia henkilöitä sekä heidän oikeuksiaan ja vapauksiaan.

(20)

Kun Euroopan tietosuojavaltuutettu toteuttaa asetuksen soveltamista koskevia tutkimuksia tarkistaakseen, että EU:n toimielimet, elimet ja laitokset noudattavat asetusta, sen voi tietyissä olosuhteissa olla tarpeen säilyttää tutkimustensa tehokkuus ja suojella tarvittaessa asianosaisia henkilöitä sekä heidän oikeuksiaan ja vapauksiaan.

(21)

Kun Euroopan tietosuojavaltuutettu toteuttaa EU:n turvallisuusluokiteltujen tietojen mahdollisia turvallisuusrikkomuksia koskevia tutkimuksia, sen voi tietyissä olosuhteissa olla tarpeen säilyttää tutkimustensa tehokkuus ja suojella tarvittaessa unionin toimielinten, elinten ja laitosten sisäistä turvallisuutta, mukaan lukien niiden sähköiset viestintäverkot, sekä asianosaisten rekisteröityjen oikeuksia ja vapauksia.

(22)

Kun Euroopan tietosuojavaltuutettu antaa apua ja tarjoaa yhteistyötä unionin muille toimielimille, elimille, laitoksille ja virastoille, EU:n jäsenvaltioiden viranomaisille, kolmansien maiden kansallisille viranomaisille ja kansainvälisille järjestöille tai ottaa niiltä vastaan apua ja yhteistyötä edellä mainittujen toimien yhteydessä, sen voi tietyissä olosuhteissa olla tarpeen säilyttää tutkimustensa tehokkuus tai sen kanssa yhteistyötä tekevän yhteisön suorittamien tutkimusten tehokkuus ja suojella tarvittaessa asianosaisia henkilöitä ja heidän oikeuksiaan ja vapauksiaan.

(23)

Kun Euroopan tietosuojavaltuutettu saattaa asioita Euroopan unionin tuomioistuimen käsiteltäviksi tai on väliintulijana Euroopan unionin tuomioistuimessa, sen voi olla tarpeen säilyttää osapuolten tai väliintulijoiden käsiteltävän asian yhteydessä hankkimissa asiakirjoissa olevien henkilötietojen luottamuksellisuus.

(24)

Euroopan tietosuojavaltuutetun olisi sovellettava rajoituksia vain, jos ne ovat keskeisiltä osin perusoikeuksien ja -vapauksien mukaisia ja ovat demokraattisessa yhteiskunnassa ehdottoman välttämättömiä ja oikeasuhteisia toimenpiteitä. Euroopan tietosuojavaltuutetun olisi esitettävä perusteet kyseisille rajoituksille.

(25)

Euroopan tietosuojavaltuutetun olisi vastuuvelvollisuuden periaatteen mukaisesti pidettävä kirjaa rajoitusten soveltamisesta.

(26)

Kun Euroopan tietosuojavaltuutettu käsittelee tehtäviensä yhteydessä muiden organisaatioiden kanssa vaihdettuja henkilötietoja, sen olisi kuultava näitä organisaatioita ja näiden organisaatioiden olisi kuultava sitä rajoitusten asettamisen mahdollisista perusteista sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta, ellei tämä vaaranna Euroopan tietosuojavaltuutetun toimintaa.

(27)

Asetuksen (EU) 2018/1725 25 artiklan 6 kohdassa rekisterinpitäjä velvoitetaan ilmoittamaan rekisteröidyille pääasialliset syyt rajoituksen soveltamiseen sekä se, että heillä on oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle.

(28)

Euroopan tietosuojavaltuutettu voi asetuksen 25 artiklan 8 kohdan nojalla lykätä ilmoittamista syistä, joiden vuoksi rajoitusta sovelletaan rekisteröityyn, tai jättää sen tekemättä tai evätä sen, jos se jollakin tavalla poistaisi rajoituksen vaikutuksen. Euroopan tietosuojavaltuutetun olisi arvioitava tapauskohtaisesti, poistaisiko rajoituksesta ilmoittaminen rajoituksen vaikutuksen.

(29)

Euroopan tietosuojavaltuutetun olisi poistettava rajoitus heti, kun sen edellytykset eivät enää täyty, ja arvioitava näitä edellytyksiä säännöllisesti.

(30)

Parhaan mahdollisen suojan takaamiseksi rekisteröityjen oikeuksille ja vapauksille ja asetuksen 44 artiklan 1 kohdan mukaisesti tietosuojavastaavalle olisi ilmoitettava hyvissä ajoin kaikista sovellettavista rajoituksista ja tietosuojavastaavan olisi tarkistettava, että tätä päätöstä on noudatettu.

(31)

Edellä mainittujen rajoitusten soveltaminen ei rajoita 16 artiklan 5 kohdan eikä 17 artiklan 4 kohdan säännösten mahdollista soveltamista; niistä ensimmäinen koskee tiedonsaantioikeutta, kun tietoja ei ole saatu rekisteröidyltä, ja jälkimmäinen rekisteröidyn oikeutta saada pääsy tietoihin,