4.5.2016   

FI

Euroopan unionin virallinen lehti

L 119/89

(1)

Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.

(2)

Sen vuoksi niissä periaatteissa ja säännöissä, jotka koskevat luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä, olisi henkilöiden kansalaisuudesta ja asuinpaikasta riippumatta otettava huomioon heidän perusoikeutensa ja -vapautensa ja erityisesti oikeus henkilötietojen suojaan. Tällä direktiivillä pyritään tukemaan vapauden, turvallisuuden ja oikeuden alueen kehittämistä.

(3)

Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen suojeluun uusia haasteita. Henkilötietoja kerätään ja jaetaan nyt merkittävästi suuremmassa mittakaavassa. Teknologia mahdollistaa henkilötietojen ennennäkemättömän laajan käsittelyn muun muassa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien tai rikosoikeudellisten seuraamusten täytäntöönpanon kaltaisessa toiminnassa.

(4)

Olisi helpotettava henkilötietojen vapaata kulkua toimivaltaisten viranomaisten kesken unionissa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, ja tällaisten tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille; samalla olisi varmistettava henkilötietojen korkeatasoinen suoja. Tämä kehitys edellyttää sellaisen vahvemman ja johdonmukaisemman henkilötietojen suojakehyksen luomista, jota tuetaan tehokkaalla täytäntöönpanolla.

(5)

Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY (3) sovelletaan kaikkeen jäsenvaltioissa sekä julkisella että yksityisellä sektorilla tapahtuvaan henkilötietojen käsittelyyn. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön yhteydessä.

(6)

Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla sovelletaan neuvoston puitepäätöstä 2008/977/YOS (4). Kyseisen puitepäätöksen soveltamisala rajoittuu jäsenvaltioiden keskenään siirtämien tai saataville asettamien henkilötietojen käsittelyyn.

(7)

Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön varmistamiseksi on taattava luonnollisten henkilöiden henkilötietojen korkeatasoinen ja johdonmukainen suoja ja helpotettava henkilötietojen vaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. Sitä varten kaikkien jäsenvaltioiden olisi tarjottava samantasoinen luonnollisten henkilöiden oikeuksien ja vapauksien suoja toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jotta henkilötietoja voidaan suojata tehokkaasti koko unionissa, on vahvistettava rekisteröidyn oikeuksia ja lisättävä henkilötietoja käsittelevien vastuuta, sekä varmistettava samantasoiset valtuudet seurata henkilötietojen suojelua koskevien sääntöjen noudattamista jäsenvaltioissa ja varmistaa se.

(8)

Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 2 kohdassa määrätään, että Euroopan parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

(9)

Tältä pohjalta Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (5) vahvistetaan yleiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja näiden tietojen vapaan liikkuvuuden varmistamiseksi unionissa.

(10)

Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi.

(11)

On sen vuoksi asianmukaista kohdistaa näille aloille direktiivi, jossa vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, ottaen huomioon näiden toimintojen erityisluonteen. Tällaisiin toimivaltaisiin viranomaisiin voi kuulua oikeusviranomaisten kaltaisten julkisten viranomaisten lisäksi poliisiviranomaisia tai muita lainvalvontaviranomaisia sekä myös muita elimiä tai yksiköitä, joille on jäsenvaltion lainsäädännössä annettu tehtäväksi hoitaa julkishallinnon tehtäviä tai käyttää julkista valtaa tässä direktiivissä mainittuihin tarkoituksiin. Jos tällainen elin tai yksikkö käsittelee henkilötietoja muita kuin tässä direktiivissä säädettyjä tarkoituksia varten, sovelletaan asetusta (EU) 2016/679. Näin ollen asetusta (EU) 2016/679 sovelletaan tapauksissa, joissa elin tai yksikkö kerää henkilötietoja muita tarkoituksia varten ja käsittelee näitä henkilötietoja edelleen lakisääteisen velvoitteensa noudattamiseksi. Esimerkiksi rahoituslaitokset säilyttävät rikosten tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien tarkoituksiin tiettyjä käsittelemiään henkilötietoja ja antavat kyseiset henkilötiedot ainoastaan toimivaltaisten viranomaisten käyttöön erityistapauksissa ja jäsenvaltion lainsäädäntöä noudattaen. Sopimuksen tai muun oikeudellisen asiakirjan ja henkilötietojen käsittelijöihin tämän direktiivin nojalla sovellettavien säännösten olisi sidottava elintä tai yksikköä, joka käsittelee henkilötietoja tällaisten viranomaisten lukuun tämän direktiivin soveltamisalan puitteissa; tämä ei kuitenkaan vaikuta asetuksen (EU) 2016/679 soveltamiseen siltä osin kuin se koskee henkilötietojen käsittelyä sellaisen käsittelijän toimesta, joka ei kuulu tämän direktiivin soveltamisalaan.

(12)

Poliisiviranomaisten tai muiden lainvalvontaviranomaisten suorittamat toimet keskittyvät lähinnä rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin, mukaan lukien poliisin toimet, jotka koskevat häiriöitä, joista ei ennakkoon tiedetä, onko kyse rikoksesta. Tällaisiin toimiin voi kuulua vallan käyttö toteuttamalla pakkokeinoja, kuten mielenosoituksissa, suurissa urheilutapahtumissa ja mellakoissa toteutetut poliisin toimet. Mainittuihin toimiin kuuluu myös lain ja järjestyksen ylläpitäminen, joka on annettu poliisiviranomaisten tai muiden lainvalvontaviranomaisten tehtäväksi silloin, kun se on tarpeen sellaisilta yleiseen turvallisuuteen ja yhteiskunnan perustavanlaatuisiin lailla suojattuihin etuihin kohdistuvilta uhkilta suojelua ja niiden ehkäisyä varten, jotka voivat johtaa rikokseen. Jäsenvaltiot voivat antaa toimivaltaisille viranomaisille muita tehtäviä, joita ei välttämättä suoriteta rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia varten eikä yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, jolloin siltä osin kuin näitä muita tarkoituksia varten suoritettava henkilötietojen käsittely kuuluu unionin oikeuden soveltamisalaan, se kuuluu asetuksen (EU) 2016/679 soveltamisalaan.

(13)

Tässä direktiivissä tarkoitettua rikosta olisi pidettävä unionin oikeuden itsenäisenä käsitteenä, sillä tavoin kuin Euroopan unionin tuomioistuin, jäljempänä ’unionin tuomioistuin’, on sitä tulkinnut.

(14)

Koska tätä direktiiviä ei ole tarkoitus soveltaa henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, kansallista turvallisuutta koskevia toimia, kansallisia turvallisuuskysymyksiä käsittelevien virastojen tai yksiköiden toimia ja jäsenvaltioiden suorittamaa henkilötietojen käsittelyä niiden toteuttaessa Euroopan unionista tehdyn sopimuksen V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa ei saisi pitää tämän direktiivin soveltamisalaan kuuluvina.

(15)

Jotta luonnollisilla henkilöillä olisi samantasoinen suoja ja täytäntöönpanokelpoiset oikeudet kaikkialla unionissa ja jotta estetään toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa haittaavat eroavuudet, tässä direktiivissä olisi vahvistettava sellaisten henkilötietojen suojaa ja vapaata liikkuvuutta koskevat yhdenmukaiset säännöt, joita käsitellään rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jäsenvaltioiden lainsäädäntöjen lähentäminen ei saisi johtaa lainsäädännöllä turvattavan henkilötietojen suojan heikentymiseen, vaan sillä olisi päinvastoin pyrittävä varmistamaan tietosuojan korkea taso unionissa. Jäsenvaltioita ei saisi estää säätämästä suojatoimista, jotka ylittävät tässä direktiivissä vahvistetut suojatoimet rekisteröidyn oikeuksien ja vapauksien suojelemiseksi toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä.

(16)

Tämä direktiivi ei rajoita virallisten asiakirjojen julkisuusperiaatetta. Asetuksen (EU) 2016/679 mukaisesti viranomaiset tai julkis- tai yksityisoikeudelliset yhteisöt voivat luovuttaa viranomaisten tai yhteisöjen hallussa yleisen edun vuoksi toteutetun tehtävän suorittamiseksi olevien virallisten asiakirjojen sisältämiä henkilötietoja sellaisen unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti, jota viranomaiseen tai yhteisöön sovelletaan, jotta voidaan sovittaa yhteen virallisten asiakirjojen julkisuus ja oikeus henkilötietojen suojaan.

(17)

Tämän direktiivin tarjoamaa suojelua olisi sovellettava luonnollisiin henkilöihin heidän kansalaisuudestaan ja asuinpaikastaan riippumatta, silloin kun on kyse heidän henkilötietojensa käsittelystä.

(18)

Vakavan väärinkäytösten riskin ennalta estämiseksi luonnollisten henkilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta. Luonnollisten henkilöiden suojelun olisi koskettava myös henkilötietojen automaattista käsittelyä sekä sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tämän direktiivin soveltamisalaan ei pitäisi kuulua sellaisia asiakirjoja tai asiakirjojen kokonaisuuksia kansilehtineen, joita ei ole järjestetty tiettyjen perusteiden mukaisesti.

(19)

Unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (6). Asetus (EY) N:o 45/2001 ja muut tällaiseen henkilötietojen käsittelyyn sovellettavat unionin säädökset olisi mukautettava asetuksessa (EU) 2016/679 vahvistettujen periaatteiden ja sääntöjen mukaisiksi.

(20)

Tämä direktiivi ei estä jäsenvaltioita täsmentämästä kansallisissa rikosprosessisäännöissään tuomioistuinten ja muiden oikeusviranomaisten suorittamaan henkilötietojen käsittelyyn liittyviä käsittelytoimia ja -menettelyitä erityisesti, jos henkilötiedot sisältyvät tuomioistuimen päätökseen tai rikosoikeudelliseen menettelyyn liittyvään merkintään.

(21)

Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Sen määrittämiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, kuten seulonta, joita rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti. Sen varmistamiseksi, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Tietosuojaperiaatteita ei tämän vuoksi pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista.

(22)

Viranomaisia, joille luovutetaan henkilötietoja lakisääteisen velvoitteen mukaisesti julkisen vallan käyttämistä varten, kuten vero- ja tulliviranomaisia, talousrikosten tutkintayksiköitä, itsenäisiä hallintoviranomaisia tai arvopaperimarkkinoiden sääntelystä ja valvonnasta vastaavia rahoitusmarkkinaviranomaisia, ei olisi pidettävä vastaanottajina, jos ne saavat henkilötietoja, jotka ovat tarpeen tietyn tutkimuksen suorittamiseksi yleisen edun vuoksi unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Viranomaisten tietojenluovutuspyyntö olisi aina tehtävä kirjallisesti, se olisi perusteltava, sen olisi oltava tilapäinen ja se ei saisi koskea koko rekisteriä tai johtaa rekisterien yhteenliittämiseen. Näiden viranomaisten olisi käsiteltävä henkilötietoja sovellettavia tietosuojasääntöjä noudattaen käsittelyn tarkoitusten mukaisesti.

(23)

Geneettiset tiedot olisi määriteltävä henkilötiedoiksi, jotka liittyvät luonnollisen henkilön perittyihin tai hankittuihin ominaisuuksiin, joista selviää yksilöllistä tietoa asianomaisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu analysoimalla asianomaiselta luonnolliselta henkilöltä saatua biologista näytettä, erityisesti kromosomien, deoksiribonukleiinihapon (DNA) tai ribonukleiinihapon (RNA) analyysilla tai muusta vastaavia tietoja tarjoavasta tekijästä tehdyllä analyysilla. Ottaen huomioon geneettisten tietojen monimutkaisuuden ja arkaluonteisuuden on olemassa huomattava riski siitä, että rekisterinpitäjä käyttää niitä väärin ja käyttää niitä uudelleen erilaisiin tarkoituksiin. Kaikenlainen geneettisiin piirteisiin liittyvä syrjintä olisi lähtökohtaisesti kiellettävä.

(24)

Terveyttä koskevia henkilötietoja ovat kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa, paljastavat tietoja rekisteröidyn entisestä, nykyisestä tai tulevasta fyysisestä terveydestä tai mielenterveydestä. Tähän kuuluvat tiedot, jotka on kerätty luonnollisen henkilön rekisteröityessä Euroopan parlamentin ja neuvoston direktiivissä 2011/24/EU (7) tarkoitettujen terveyspalvelujen saamista varten tai niiden tarjoamisen yhteydessä; luonnolliselle henkilölle annettu numero, symboli tai erityistuntomerkki, jolla hänet voidaan tunnistaa yksiselitteisesti terveydenhuollon piirissä; kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, kuten geneettiset tiedot ja biologiset näytteet; sekä kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, mistä lähteestä tiedot on saatu (esimerkiksi lääkäriltä tai muulta terveydenhuollon ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta vai diagnostisesta in vitro -testistä).

(25)

Kaikki jäsenvaltiot ovat Kansainvälisen rikospoliisijärjestön (Interpol) jäseniä. Toimeksiantonsa mukaisesti Interpol vastaanottaa, säilyttää ja jakaa henkilötietoja auttaakseen toimivaltaisia viranomaisia kansainvälisen rikollisuuden ehkäisemisessä ja torjunnassa. Sen vuoksi unionin ja Interpolin yhteistyötä on aiheellista tiivistää edistämällä tehokasta henkilötietojen vaihtoa ja turvaamalla samalla perusoikeuksien ja -vapauksien noudattaminen henkilötietojen automaattisessa käsittelyssä. Kun henkilötietoja siirretään unionista Interpolille ja siihen jäseniä lähettäviin maihin, olisi sovellettava tätä direktiiviä ja erityisesti sen kansainvälisiä siirtoja koskevia säännöksiä. Tämä direktiivi ei saisi vaikuttaa neuvoston yhteisessä kannassa 2005/69/YOS (8) ja neuvoston päätöksessä 2007/533/YOS (9) vahvistettuihin erityisiin sääntöihin.

(26)

Kaikki henkilötietojen käsittely on suoritettava lainmukaisesti, asianomaisia luonnollisia henkilöitä kohtaan asianmukaisella tavalla ja läpinäkyvästi ja vain tiettyä laissa säädettyä tarkoitusta varten. Tämä ei itsessään estä lainvalvontaviranomaisia suorittamasta peitetutkinnan tai videovalvonnan kaltaisia toimia. Tällaisia toimia voidaan suorittaa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, edellyttäen, että niistä on säädetty laissa ja ne ovat välttämättömiä ja oikeasuhteisia toimenpiteitä demokraattisessa yhteiskunnassa ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön oikeutetut edut. Asianmukaista käsittelyä koskeva tietosuojaperiaate on käsitteenä erillinen oikeudesta oikeudenmukaiseen oikeudenkäyntiin, sellaisena kuin se on määritelty perusoikeuskirjan 47 artiklassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen, jäljempänä ’Euroopan ihmisoikeussopimus’, 6 artiklassa. Luonnollisille henkilöille olisi ilmoitettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä selvästi ja lainmukaisesti. Henkilötietojen olisi oltava asianmukaisia ja olennaisia käsittelyn tarkoituksiin nähden. Sen vuoksi olisi erityisesti varmistettava, että henkilötietoja ei kerätä liikaa ja että niitä säilytetään ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistusta varten, jotta voidaan varmistaa, ettei tietoja säilytetä pidempään kuin on tarpeen. Jäsenvaltioiden olisi määritettävä asianmukaisia suojatoimia henkilötiedoille, joita säilytetään pidempiä aikoja yleisen edun mukaista arkistointia tai tieteellisiä, tilastollisia tai historiallisia tarkoituksia varten.

(27)

Rikosten ennalta estäminen, tutkiminen ja niistä syyttäminen edellyttävät, että toimivaltaiset viranomaiset voivat käsitellä tiettyjen rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen rikollista toimintaa ja havaitakseen yhteyksiä selvitettävien rikosten välillä.

(28)

Käsittelyn liittyvän turvallisuuden ylläpitämiseksi ja tämän direktiivin vastaisen käsittelyn estämiseksi henkilötietoja olisi käsiteltävä siten, että varmistetaan asianmukainen turvallisuuden ja luottamuksellisuuden taso, muun muassa ehkäisemällä luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö, ja otetaan huomioon uusin tekniikka ja teknologia sekä toteuttamiskustannukset suhteessa riskeihin ja suojattavien henkilötietojen luonteeseen.

(29)

Henkilötiedot olisi kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten tämän direktiivin puitteissa ja niitä ei saisi käsitellä sellaisia tarkoituksia varten, jotka ovat yhteensopimattomia rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelun, kanssa. Jos sama tai eri rekisterinpitäjä käsittelee henkilötietoja muussa tämän direktiivin soveltamisalaan kuuluvassa tarkoituksessa kuin siinä, jota varten tiedot on kerätty, käsittely olisi sallittavaa edellyttäen, että se on luvallista sovellettavien säännösten mukaisesti ja tarpeellista ja oikeasuhteista tätä muuta tarkoitusta varten.

(30)

Tietojen paikkansapitävyyden periaatetta sovellettaessa olisi otettava huomioon asianomaisen käsittelyn luonne ja tarkoitus. Erityisesti oikeudellisissa menettelyissä lausunnot, jotka sisältävät henkilötietoja, perustuvat luonnollisten henkilöiden subjektiiviseen havaintoon eivätkä ole aina todennettavissa. Näin ollen paikkansapitävyyden vaatimus ei saisi koskea lausunnon paikkansapitävyyttä, vaan ainoastaan sitä tosiseikkaa, että tietty lausunto on annettu.

(31)

Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla suoritettavalle henkilötietojen käsittelylle on ominaista, että käsiteltävät henkilötiedot koskevat eri ryhmiin kuuluvia rekisteröityjä. Sen vuoksi olisi tarvittaessa ja mahdollisuuksien mukaan pyrittävä erottamaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten: rikoksesta epäiltyjä; rikoksesta tuomittuja; rikoksen uhreja ja kolmansia osapuolia, kuten todistajia; henkilöitä, joilla on tärkeitä tietoja; sekä rikoksesta epäiltyjen ja tuomittujen kontakteja ja kumppaneita. Tämä ei saisi estää perusoikeuskirjassa ja Euroopan ihmisoikeussopimuksessa taatun syyttömyysolettamaa koskevan oikeuden soveltamista, sellaisena kuin unionin tuomioistuin ja Euroopan ihmisoikeustuomioistuin ovat sen tulkinneet.

(32)

Toimivaltaisten viranomaisten olisi varmistettava, että virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja ei siirretä eikä aseteta saataville. Jotta voidaan varmistaa toisaalta luonnollisten henkilöiden suojelu ja toisaalta siirrettävien tai saataville asetettavien henkilötietojen paikkansapitävyys, täydellisyys tai ajantasaisuuden aste sekä luotettavuus, toimivaltaisten viranomaisten olisi mahdollisuuksien mukaan lisättävä tarvittavat tiedot kaikkiin henkilötietojen siirtoihin.

(33)

Kun tässä direktiivissä viitataan jäsenvaltion lainsäädäntöön, oikeusperustaan tai lainsäädäntötoimeen, siinä ei välttämättä edellytetä parlamentissa hyväksyttyä säädöstä, sanotun kuitenkaan rajoittamatta asianomaisen jäsenvaltion perustuslaillisen järjestyksen edellyttämien vaatimusten soveltamista. Kyseisen jäsenvaltion lainsäädännön, oikeusperustan tai lainsäädäntötoimen olisi kuitenkin oltava selkeä ja täsmällinen ja sen soveltamisen olisi oltava asianosaisten kannalta ennakoitavissa unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti. Tämän direktiivin soveltamisalaan kuuluvaa henkilötietojen käsittelyä sääntelevässä jäsenvaltion lainsäädännössä olisi määritettävä ainakin tavoitteet, käsiteltävät henkilötiedot, käsittelyn tarkoitukset, menettelyt henkilötietojen eheyden ja luottamuksellisuuden säilyttämiseksi sekä menettelyt tietojen tuhoamiseksi, jotta annetaan riittävät takeet väärinkäyttö- ja mielivaltaisuusriskin torjumiseksi.

(34)

Toimivaltaisten viranomaisten suorittaman henkilötietojen käsittelyn rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, olisi katettava kaikenlaiset toiminnot tai toimintojen kokonaisuudet, jotka kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin näitä tarkoituksia varten joko automaattista tietojenkäsittelyä käyttäen tai muutoin, kuten tietojen kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen tai muuttaminen, haku, kysely; käyttö, yhteensovittaminen tai yhdistäminen, käsittelyn rajoittaminen, poistaminen tai tuhoaminen. Erityisesti tämän direktiivin sääntöjä olisi sovellettava, kun henkilötietoja siirretään tämän direktiivin mukaisia tarkoituksia varten tämän direktiiviin soveltamisalaan kuulumattomalle vastaanottajalle. Tällaisella vastaanottajalla olisi tarkoitettava luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle toimivaltainen viranomainen luovuttaa laillisesti henkilötietoja. Silloin, kun henkilötiedot ovat alun perin toimivaltaisen viranomaisen johonkin tämän direktiivin tarkoituksista keräämiä, asetusta (EU) 2016/679 olisi sovellettava näiden tietojen käsittelyyn muita kuin tämän direktiivin tarkoituksia varten, kun unionin oikeus tai jäsenvaltion lainsäädäntö mahdollistaa tällaisen käsittelyn. Erityisesti asetuksen (EU) 2016/679 sääntöjä olisi sovellettava henkilötietojen siirtoon tämän direktiivin soveltamisalaan kuulumattomia tarkoituksia varten. Sellaiseen henkilötietojen käsittelyyn, jonka suorittaa vastaanottaja, joka ei ole toimivaltainen viranomaisen tai joka ei toimi tässä direktiivissä tarkoitettuna toimivaltaisena viranomaisena ja jolle toimivaltainen viranomainen luovuttaa henkilötietoja laillisesti, olisi sovellettava asetusta (EU) 2016/679. Kun jäsenvaltiot panevat täytäntöön tätä direktiiviä, niiden olisi lisäksi voitava täsmentää tarkemmin asetuksen (EU) 2016/679 soveltamista kyseisessä asetuksessa vahvistettujen edellytysten mukaisesti.

(35)

Jotta henkilötietojen käsittely tämän direktiivin nojalla olisi lainmukaista, sen olisi oltava tarpeen toimivaltaisen viranomaisen unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan yleistä etua koskevan tehtävän suorittamiseksi rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Näiden toimien olisi katettava rekisteröidyn elintärkeiden etujen suojaaminen. Rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia koskevan tehtävän suorittaminen on institutionaalisesti ja lain nojalla annettu toimivaltaisille viranomaisille, mikä antaa näille mahdollisuuden vaatia luonnollisilta henkilöiltä esitettyjen pyyntöjen noudattamista. Tällaisessa tapauksessa rekisteröidyn suostumuksen, sellaisena kuin se on määriteltynä asetuksessa (EU) 2016/679, ei pitäisi olla pätevä oikeudellinen peruste viranomaisten suorittamalle henkilötietojen käsittelylle. Jos rekisteröidyltä vaaditaan lakisääteisen velvoitteen noudattamista, rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta, eikä hänen suostumustaan voida tällöin pitää vapaaehtoisena tahdonilmaisuna. Tämä ei saisi estää jäsenvaltioita säätämästä laissa, että rekisteröity voi suostua henkilötietojensa käsittelyyn tämän direktiivin tarkoituksia varten, esimerkiksi DNA-testeihin rikostutkinnassa tai hänen olinpaikkansa seurantaan elektronisen tunnisteen avulla rikosoikeudellisten seuraamusten täytäntöönpanemiseksi.

(36)

Jäsenvaltioiden olisi säädettävä, että jos tietoja siirtävään toimivaltaiseen viranomaiseen sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään erityisissä olosuhteissa sovellettavista henkilötietojen käsittelyä koskevista erityisistä edellytyksistä, kuten käsittelykoodien käytöstä, tietoja siirtävän toimivaltaisen viranomaisen olisi ilmoitettava tällaisten henkilötietojen vastaanottajalle tällaisista edellytyksistä ja vaatimuksesta noudattaa niitä. Tällaisiin edellytyksiin voisi esimerkiksi kuulua kielto siirtää henkilötietoja edelleen muille tai käyttää niitä muissa kuin siinä tarkoituksessa, jota varten tiedot oli toimitettu vastaanottajalle, taikka kielto ilmoittaa rekisteröidylle tiedonsaantioikeuden rajoittamisesta ilman tietoja siirtävän toimivaltaisen viranomaisen etukäteen antamaa hyväksyntää. Näitä velvoitteita olisi sovellettava myös tietojen siirtämiseen toimivaltaisen viranomaisen toimesta kolmansissa maissa oleville vastaanottajille tai kansainvälisille järjestöille. Jäsenvaltioiden olisi varmistettava, että tietoja siirtävä toimivaltainen viranomainen ei sovella muissa jäsenvaltioissa oleviin vastaanottajiin taikka Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 4 ja 5 lukujen nojalla perustettuihin virastoihin, elimiin ja laitoksiin muita tällaisia edellytyksiä kuin niitä, joita sovelletaan samankaltaisiin tietojen siirtoihin kyseisen toimivaltaisen viranomaisen jäsenvaltiossa.

(37)

Henkilötiedot, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, ansaitsevat erityistä suojelua, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä direktiivissä ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Tällaisia henkilötietoja olisi voitava käsitellä vain, jos käsittelyssä noudatetaan rekisteröidyn laissa säädettyjä oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia ja jos käsittely sallitaan lain mukaisissa tapauksissa taikka jos käsittely on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi, vaikka tätä ei vielä sallittaisi laissa, tai jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. Rekisteröidyn oikeuksia ja vapauksia koskeviin asianmukaisiin suojatoimiin voisi esimerkiksi kuulua mahdollisuus kerätä näitä tietoja ainoastaan kyseistä luonnollista henkilöä koskevien muiden tietojen keräämisen yhteydessä, kerättyjen tietojen riittävä suojaaminen, tiukempien sääntöjen soveltaminen toimivaltaisen viranomaisen henkilöstöön tietojen käyttöön saamisen osalta ja tällaisia tietoja koskevan siirron kieltäminen. Tällaisten tietojen käsitteleminen olisi sallittava myös laissa, jos rekisteröity on nimenomaisesti antanut suostumuksensa käsittelylle, joka on hänen kannaltaan erityisen tungettelevaa. Rekisteröidyn suostumus ei saisi kuitenkaan itsessään muodostaa oikeusperustaa, jonka nojalla toimivaltaiset viranomaiset saisivat käsitellä tällaisia arkaluonteisia tietoja.

(38)

Rekisteröidyllä olisi oltava oikeus olla joutumatta hänen henkilökohtaisia ominaisuuksiaan arvioivan päätöksen kohteeksi, joka on tehty yksinomaan automatisoidun käsittelyn perusteella ja josta hänelle aiheutuu haitallisia oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia suojatoimia, joihin kuuluisivat tällaisesta käsittelystä ilmoittaminen rekisteröidylle ja oikeus ihmisen suorittamaan interventioon, erityisesti jotta rekisteröity voisi esittää oman kantansa, saada selvityksen kyseisen arvioinnin jälkeen tehdystä päätöksestä tai riitauttaa päätöksen. Profilointi, jonka seurauksena luonnollisia henkilöitä syrjitään sellaisten henkilötietojen perusteella, jotka ovat luonteeltaan erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, olisi kiellettävä perusoikeuskirjan 21 ja 52 artiklassa säädettyjen ehtojen mukaisesti.

(39)

Jotta rekisteröidyt voisivat käyttää oikeuksiaan, kaikkien rekisteröidyille tarkoitettujen tietojen, myös rekisterinpitäjän verkkosivustolla olevien tietojen, olisi oltava helposti saatavilla ja ymmärrettävissä, mikä edellyttää selkeän ja yksinkertaisen kielen käyttöä. Tällaiset tiedot olisi mukautettava heikommassa asemassa olevien henkilöiden kuten lasten tarpeisiin.

(40)

Olisi säädettävä yksityiskohtaisesti siitä, miten tämän direktiivin nojalla annettuihin säännöksiin perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä omiin henkilötietoihinsa sekä henkilötietojen oikaisua, poistamista ja käsittelyn rajoittamista, ja mahdollisuuksien mukaan saada nämä oikeudet maksutta. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä, paitsi jos rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia tämän direktiivin mukaisesti. Jos pyynnöt ovat lisäksi ilmeisen perusteettomia tai kohtuuttomia, esimerkiksi jos rekisteröity pyytää perusteettomasti ja toistuvasti tietoja tai jos rekisteröity käyttää väärin oikeuttaan saada tietoja esimerkiksi antamalla vääriä tai harhaanjohtavia tietoja pyyntöä esittäessään, rekisterinpitäjän olisi voitava periä kohtuullinen maksu tai kieltäytyä suorittamasta pyydettyä toimea.

(41)

Kun rekisterinpitäjä pyytää lisätietoja rekisteröidyn henkilöllisyyden vahvistamiseksi, näitä tietoja olisi käsiteltävä ainoastaan tätä erityistarkoitusta varten, eikä niitä saisi säilyttää kauempaa kuin kyseisen erityistarkoituksen edellyttämän ajan.

(42)

Ainakin seuraavat tiedot olisi asetettava rekisteröidyn saataville: rekisterinpitäjän henkilöllisyys, tieto käsittelystä, käsittelyn tarkoitukset, tieto siitä, että rekisteröidyllä on oikeus tehdä valitus ja tieto oikeudesta pyytää rekisterinpitäjältä pääsyä henkilötietoihin tai niiden oikaisemista, poistamista tai käsittelyn rajoittamista. Tiedot voidaan asettaa saataville toimivaltaisen viranomaisen verkkosivustolla. Lisäksi rekisteröidylle olisi erityistapauksissa ja jotta tämä voisi käyttää oikeuksiaan ilmoitettava käsittelyn oikeusperuste ja tietojen säilytysaika, jos nämä tiedot ovat tarpeen ottaen huomioon ne erityisolot, joissa tietoja käsitellään, jotta taataan rekisteröidyn tietojen asianmukainen käsittely.

(43)

Luonnollisella henkilöllä olisi oltava oikeus saada pääsy tietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoituksia tietojenkäsittelyn tarkoituksista, käsittelyajasta ja tietojen vastaanottajista, myös kolmansissa maissa. Kun tällaisiin ilmoituksiin sisältyy tietoja henkilötietojen alkuperästä, niissä ei saisi paljastua luonnollisten henkilöiden eikä varsinkaan luottamuksellisten lähteiden henkilöllisyys. Tämän oikeuden täyttymiseksi riittää, että rekisteröidyllä on täydellinen yhteenveto kyseisistä tiedoista helposti ymmärrettävässä muodossa eli muodossa, jonka ansiosta rekisteröity saa tiedon kyseisistä tiedoista ja voi todentaa niiden paikkansapitävyyden ja niiden käsittelemisen tämän direktiivin mukaisesti, jotta hän voi käyttää tämän direktiivin mukaisia oikeuksiaan. Yhteenveto voitaisiin toimittaa esittämällä jäljennös käsiteltävinä olevista henkilötiedoista.

(44)

Jäsenvaltioiden olisi voitava hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään tai rajoitetaan rekisteröidyille ilmoittamista tai poistetaan se tai rajoitetaan kokonaisuudessaan tai osittain heidän pääsyään omiin henkilötietoihinsa siinä määrin ja niin kauan kuin tällainen toimenpide on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut, jotta vältetään estämästä virallisia tai laillisia tiedusteluja, tutkimuksia tai menettelyjä tai tuottamasta haittaa rikosten ennalta estämiselle, tutkimiselle paljastamiselle tai rikoksiin liittyville syytetoimille tai rikosoikeudellisten seuraamusten täytäntöönpanolle tai jotta voidaan suojata yleinen tai kansallinen turvallisuus tai muiden henkilöiden oikeudet ja vapaudet. Rekisterinpitäjän olisi arvioitava tutkimalla kukin tapaus konkreettisesti ja yksilöllisesti, olisiko oikeutta saada pääsy tietoihin rajoitettava osittain tai täydellisesti.

(45)

Jos tietojen antamisesta kieltäydytään tai sitä rajoitetaan, asiasta olisi lähtökohtaisesti ilmoitettava kirjallisesti rekisteröidylle. Samalla olisi annettava tiedoksi myös ne seikat tai oikeudelliset syyt, joihin tällainen päätös perustuu.

(46)

Kaikkien rekisteröityjen oikeuksien rajoitusten on oltava perusoikeuskirjan ja Euroopan ihmisoikeussopimuksen mukaisia unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöjen tulkitsemalla tavalla, ja on noudatettava erityisesti kyseisten oikeuksien ja vapauksien olennaista sisältöä.

(47)

Luonnollisella henkilöllä olisi oltava oikeus saada itseään koskevat virheelliset henkilötiedot oikaistuiksi, erityisesti, jos ne koskevat tosiasioita, ja oikeus pyytää tietojen poistamista, jos tietojen käsittely rikkoo tätä direktiiviä. Tietojen oikaisemista koskeva oikeus ei saisi kuitenkaan vaikuttaa esimerkiksi todistajanlausunnon sisältöön. Luonnollisella henkilöllä olisi oltava myös oikeus rajoittaa tietojen käsittelyä, jos hän kiistää henkilötietojen paikkansapitävyyttä eikä tietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa tai jos henkilötiedot on säilytettävä todistelua varten. Erityisesti henkilötietojen käsittelyä olisi rajoitettava sen sijaan, että henkilötiedot poistetaan, jos erityistapauksessa on perusteltua syytä uskoa, että niiden poistaminen haittaisi rekisteröidyn oikeutettuja etuja. Tällaisessa tapauksessa rajoitettuja tietoja saisi käsitellä ainoastaan siinä tarkoituksessa, joka esti niiden poistamisen. Henkilötietojen käsittelyä rajoittavia menetelmiä voisivat olla muun muassa valittujen tietojen siirtäminen toiseen käsittelyjärjestelmään, esimerkiksi arkistointitarkoituksiin, tai valittujen tietojen käyttöön saamisen estäminen. Automatisoiduissa rekistereissä henkilötietojen käsittelyn rajoittaminen olisi lähtökohtaisesti varmistettava teknisin keinoin. Henkilötietojen käsittelyn rajoittaminen olisi ilmaistava järjestelmässä siten, että käy selvästi ilmi, että henkilötietojen käsittely on rajoitettua. Tieto siitä, että kyseiset henkilötiedot on oikaistu tai poistettu tai että niiden käsittelyä on rajoitettu, olisi välitettävä tiedot vastaanottaneille tahoille ja toimivaltaisille viranomaisille, joilta virheelliset tiedot olivat peräisin. Rekisterinpitäjien olisi myös lopetettava kyseisten tietojen levittäminen.

(48)

Jos rekisterinpitäjä epää rekisteröidyn tiedonsaantioikeuden, pääsyn tietoihin tai oikeuden oikaista tai poistaa henkilötietoja tai rajoittaa niiden käsittelyä, rekisteröidyllä olisi oltava oikeus pyytää kansallista valvontaviranomaista tarkistamaan käsittelyn lainmukaisuuden puolestaan. Rekisteröidylle olisi ilmoitettava tästä oikeudesta. Jos valvontaviranomainen toimii rekisteröidyn puolesta, sen olisi ilmoitettava rekisteröidylle ainakin siitä, että se on tehnyt kaikki tarpeelliset tarkistukset tai uudelleentarkastelut. Valvontaviranomaisen olisi myös tiedotettava rekisteröidylle oikeudesta käyttää oikeussuojakeinoja.

(49)

Jos henkilötietoja käsitellään rikostutkinnan ja -oikeudenkäynnin yhteydessä, jäsenvaltioiden olisi voitava säätää siitä, että tiedonsaantioikeuden käyttö, pääsy tietoihin ja henkilötietojen oikaiseminen tai poistaminen tai käsittelyn rajoittaminen toteutetaan oikeudellisia menettelyjä koskevien kansallisten sääntöjen mukaisesti.

(50)

Olisi vahvistettava rekisterinpitäjän vastuu suorittamastaan tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa tarvittavat ja tehokkaat toimenpiteet, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän direktiivin mukaisia. Tällaisia toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski. Rekisterinpitäjän toimenpiteisiin olisi kuuluttava heikommassa asemassa olevien luonnollisten henkilöiden kuten lasten henkilötietojen käsittelyä koskevien erityisten suojatoimien laatiminen ja täytäntöönpano.

(51)

Todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksia ja vapauksia koskevat riskit voivat aiheutua tietojenkäsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin, maineen vahingoittumiseen, salassapitovelvollisuuden alaisten tietojen luottamuksellisuuden menetykseen, pseudonymisoinnin luvattomaan kumoutumiseen tai aiheuttaa muuta merkittävää taloudellista tai sosiaalista vahinkoa; jos rekisteröidyiltä saatetaan evätä heidän oikeuksiaan ja vapauksiaan tai estää heitä valvomasta omia henkilötietojaan; jos käsitellään sellaisia henkilötietoja, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista; jos käsitellään geneettisiä tietoja tai biometrisiä tietoja henkilön yksilölliseksi tunnistamiseksi tai jos käsitellään terveyttä koskevia tietoja ja seksuaalista käyttäytymistä ja seksuaalista suuntautumista tai rikostuomioita ja rikkomuksia tai niihin liittyviä turvaamistoimenpiteitä koskevia tietoja; jos arvioidaan henkilökohtaisia ominaisuuksia, erityisesti kun kyseessä on henkilöprofiilin luomista tai käyttämistä varten suoritettu analyysi tai ennakointi työsuorituksesta, taloudellisesta tilanteesta, terveydestä, henkilökohtaisista mieltymyksistä tai kiinnostuksen kohteista, luotettavuudesta tai käyttäytymisestä, sijainnista tai liikkeistä; jos käsitellään heikommassa asemassa olevien luonnollisten henkilöiden, erityisesti lasten, henkilötietoja; tai jos käsitellään suuria määriä henkilötietoja, jotka koskevat suurta rekisteröityjen määrää.

(52)

Riskin todennäköisyys ja vakavuus olisi määriteltävä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten mukaan. Riski olisi arvioitava objektiivisen arvioinnin perusteella, jolla todetaan, liittyykö tietojenkäsittelytoimiin korkea riski. Korkea riski on etenkin rekisteröityjen oikeuksia ja vapauksia heikentävä riski.

(53)

Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet tässä direktiivissä säädettyjen vaatimusten noudattamiseksi. Toimenpiteiden toteuttaminen ei tulisi riippua yksinomaan taloudellisista näkökohdista. Osoittaakseen, että direktiiviä on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava toimenpiteitä, jotka noudattavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Jos rekisterinpitäjä on tehnyt tämän direktiivin mukaisen tietosuojaa koskevan vaikutustenarvioinnin, sen tulokset olisi otettava huomioon näiden toimenpiteiden ja menettelyjen kehittämisessä. Toimenpiteitä voisivat olla muun muassa pseudonymisoinnin käyttö mahdollisimman pian. Pseudonymisoinnin käyttö tämän direktiivin puitteissa voi toimia välineenä, jolla voidaan helpottaa henkilötietojen vapaata kulkua vapauden, turvallisuuden ja oikeuden alueella.

(54)

Rekisteröidyn oikeuksien ja vapauksien suojelu sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet ja vastuut esimerkiksi valvontaviranomaisten suorittaman seurannan ja niiden toteuttamien toimenpiteiden yhteydessä edellyttävät, että tässä direktiivissä säädetyt vastuualueet jaetaan selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän puolesta.

(55)

Henkilötietojen käsittelijän suorittamaa käsittelyä olisi säänneltävä oikeudellisella asiakirjalla, johon sisältyy sopimus, joka sitoo henkilötietojen käsittelijän rekisterinpitäjään ja jossa erityisesti säädetään, että henkilötietojen käsittelijän olisi toimittava ainoastaan rekisterinpitäjän ohjeiden mukaisesti. Henkilötietojen käsittelijän olisi otettava huomioon sisäänrakennetun ja oletusarvoisen tietosuojan periaate.

(56)

Rekisterinpitäjän tai henkilötietojen käsittelijän olisi ylläpidettävä selostetta kaikista sen vastuulla olevien käsittelytoimien eri luokista voidakseen osoittaa, että ne ovat tämän direktiivin mukaisia. Rekisterinpitäjät ja henkilötietojen käsittelijät olisi velvoitettava tekemään yhteistyötä valvontaviranomaisen kanssa ja esittämään sille pyydettäessä tämä seloste, jotta käsittelytoimia voidaan seurata sen pohjalta. Rekisterinpitäjällä tai henkilötietojen käsittelijällä, joka käsittelee tietoja muissa kuin automatisoiduissa käsittelyjärjestelmissä, olisi oltava käytössään tehokkaat menetelmät kuten lokitiedot tai muunmuotoinen seloste, jotta osoitetaan käsittelyn laillisuus, mahdollistetaan omaehtoinen valvonta ja varmistetaan tietojen eheys ja tietoturva.

(57)

Lokitiedot olisi säilytettävä ainakin automatisoiduissa käsittelyjärjestelmissä suoritettavista käsittelytoimista, kuten tietojen keräämisestä, muuttamisesta, kyselystä, luovuttamisesta siirtäminen mukaan lukien, yhdistämisestä tai poistamisesta. Henkilötietoja koskevan kyselyn tekijän tai henkilötietoja luovuttaneen henkilön tunnistamisesta olisi oltava lokitiedot, ja käsittelytoimen perusteen tulisi olla selvitettävissä tämän tunnistamisen pohjalta. Lokitietoja olisi käytettävä ainoastaan henkilötietojen käsittelyn lainmukaisuuden tarkistamiseen, omaehtoiseen valvontaan, tietojen eheyden ja tietoturvallisuuden varmistamiseen sekä rikosoikeudelliseen menettelyyn. Omaehtoiseen valvontaan kuuluvat myös toimivaltaisten viranomaisten sisäiset kurinpitomenettelyt.

(58)

Rekisterinpitäjän olisi tehtävä tietosuojaa koskeva vaikutustenarviointi, jos käsittelytoimiin todennäköisesti liittyy niiden luonteen, laajuuden tai tarkoituksen vuoksi rekisteröityjen vapauksien ja oikeuksien kannalta korkea riski. Arvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä, suojatoimia ja mekanismeja, joiden avulla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä direktiiviä on noudatettu. Vaikutustenarviointi olisi kohdistettava asianomaisiin käsittelytoimien järjestelmiin ja prosesseihin eikä yksittäisiin tapauksiin.

(59)

Jotta rekisteröityjen oikeuksia ja vapauksia voitaisiin suojata tehokkaasti, rekisterinpitäjän tai henkilötietojen käsittelijän olisi eräissä tapauksissa kuultava valvontaviranomaista ennen käsittelyä.

(60)

Turvallisuuden ylläpitämiseksi ja direktiivin vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava näiden riskien lieventämiseksi toimenpiteitä, esimerkiksi käytettävä salausta. Tällaisten toimenpiteiden avulla olisi voitava varmistaa asianmukainen turvallisuustaso, mukaan lukien luottamuksellisuus, ja ottaa huomioon uusin tekniikka ja toimenpiteiden toteuttamiskustannukset suhteessa riskiin ja suojeltavien henkilötietojen luonteeseen. Tietosuojariskejä arvioitaessa olisi otettava huomioon tietojenkäsittelyyn liittyvät riskit, kuten siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai pääsy tietoihin, mikä voi aiheuttaa etenkin fyysisiä, aineellisia tai aineettomia vahinkoja. Rekisterinpitäjän ja henkilötietojen käsittelijän olisi varmistettava, että asiaankuulumattomat henkilöt eivät käsittele henkilötietoja.

(61)

Jos henkilötietoihin kohdistuvaan tietoturvaloukkaukseen ei puututa riittävän asianmukaisesti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysistä, aineellista tai aineetonta vahinkoa, kuten omien henkilötietojen valvomiskyvyn menettäminen tai oikeuksien rajoittaminen, syrjintää, identiteettivarkaus tai petos, taloudellisia menetyksiä, pseudonymisoinnin luvaton kumoutuminen, maineen vahingoittuminen, salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetys tai muuta merkittävää taloudellista tai sosiaalista vahinkoa asianomaiselle luonnolliselle henkilölle. Sen vuoksi rekisterinpitäjän olisi ilmoitettava henkilötietoihin kohdistuneesta tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä heti, kun se on tullut rekisterinpitäjän tietoon, ja mahdollisuuksien mukaan 72 tunnin kuluessa, paitsi jos rekisterinpitäjä pystyy osoittamaan tilivelvollisuusperiaatteen mukaisesti, että henkilötietoihin kohdistuneesta tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei voida toimittaa 72 tunnin kuluessa, sen mukana olisi toimitettava viivästymisen perustelut, ja tiedot voitaisiin toimittaa vaiheittain ilman aiheetonta viivytystä.

(62)

Luonnollisille henkilöille olisi ilmoitettava ilman aiheetonta viivytystä, jos henkilötietojen tietoturvaloukkauksesta todennäköisesti aiheutuu luonnollisten henkilöiden oikeuksille ja vapauksille korkea riski, jotta nämä voivat ryhtyä tarpeellisiin varotoimiin. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tietoturvaloukkauksesta olisi ilmoitettava rekisteröidylle niin pian kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä valvontaviranomaisen kanssa, noudattaen valvontaviranomaisen tai muiden asiaankuuluvien viranomaisten antamia ohjeita. Esimerkiksi tarve lieventää välittömien haittojen riskiä edellyttää sitä, että tietoturvaloukkauksesta olisi ilmoitettava rekisteröidyille viipymättä, kun taas tarve toteuttaa asianmukaiset toimenpiteet tietoturvaloukkauksen jatkumisen tai vastaavien tietoturvaloukkausten estämiseksi voivat olla perusteena pidemmälle ilmoitusajalle. Jos sitä, että vältetään estämästä virallisia tai laillisia tiedusteluja, tutkimuksia tai menettelyjä tai tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille tai rikosoikeudellisten seuraamusten täytäntöönpanolle, tai sitä, että voidaan suojata yleinen tai kansallinen turvallisuus tai muiden henkilöiden oikeudet ja vapaudet, ei voida saavuttaa viivyttämällä tai rajoittamalla henkilötietojen tietoturvaloukkauksesta ilmoittamista kyseiselle luonnolliselle henkilölle, ilmoitus voitaisiin poikkeuksellisissa olosuhteissa jättää tekemättä.

(63)

Rekisterinpitäjän olisi nimettävä henkilö, joka auttaa häntä valvomaan tämän direktiivin nojalla annettujen säännösten noudattamista tällaisen käsittelyn yhteydessä, paitsi jos jäsenvaltio päättää vapauttaa tuomioistuimet ja muut riippumattomat oikeusviranomaiset tästä velvollisuudesta niiden suorittaessa lainkäyttötehtäviään. Tämä henkilö voisi olla rekisterinpitäjän henkilöstön jäsen, joka on saanut erityisen tietosuojaoikeutta ja alan käytänteitä koskevan koulutuksen asiantuntemuksen saamiseksi tällä alalla. Tarvittavan erityisasiantuntemuksen tason olisi määräydyttävä etenkin rekisterinpitäjän suorittaman tietojenkäsittelyn ja käsiteltävien tietojen edellyttämän suojan perusteella. Hän voisi suorittaa tehtäviään osa-aikaisesti tai kokoaikaisesti. Useampi rekisterinpitäjä voi nimittää yhteisen tietosuojavastaavan ottaen huomioon niiden organisaatiorakenteen ja koon esimerkiksi tapauksissa, joissa keskusyksiköillä on jaetut resurssit. Tämä henkilö voidaan myös nimetä rekisterinpitäjien rakenteen eri asemiin. Hänen olisi avustettava rekisterinpitäjää ja henkilötietoja käsitteleviä työntekijöitä antamalla näille tietoja ja neuvoja näiden asiaankuuluvien tietosuojavelvollisuuksien noudattamisesta. Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti jäsenvaltion lainsäädännön mukaisesti.

(64)

Jäsenvaltioiden olisi varmistettava, että tietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle vain, jos se on tarpeen rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, ja jos rekisterinpitäjä kolmannessa maassa tai kansainvälisessä järjestössä on tässä direktiivissä tarkoitettu toimivaltainen viranomainen. Vain rekisterinpitäjinä toimivien toimivaltaisten viranomaisten olisi voitava siirtää tietoja, paitsi jos tietojen käsittelijöille on nimenomaisesti annettu tehtäväksi siirtää tiedot rekisterinpitäjien puolesta. Tietoja voidaan siirtää, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö huolehtii tietosuojan riittävyydestä, tai jos on toteutettu asianmukaiset suojatoimet tai jos sovelletaan erityistilanteita koskevia poikkeuksia. Kun henkilötietoja siirretään unionista kolmansissa maissa tai kansainvälisissä järjestöissä oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille, ei tulisi vaarantaa luonnollisten henkilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän direktiiviin, ei myöskään tapauksissa, joissa kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille.

(65)

Jos henkilötietoja siirretään jäsenvaltiosta kolmansiin maihin tai kansainvälisille järjestöille, siirron olisi lähtökohtaisesti tapahduttava vasta sen jälkeen, kun jäsenvaltio, jolta tiedot on saatu, on antanut luvan niiden siirtämiseen. Tehokkaan lainvalvontayhteistyön edut edellyttävät, että mikäli jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen tai jäsenvaltion olennaisiin etuihin kohdistuva uhka on niin välitön, että ennakkoluvan saaminen ajoissa on mahdotonta, toimivaltaisen viranomaisen olisi voitava siirtää olennaiset henkilötiedot asianomaiseen kolmanteen maahan tai kansainväliselle järjestölle ilman tällaista ennakkolupaa. Jäsenvaltioiden olisi säädettävä, että kaikista siirtoon sovellettavista erityisistä edellytyksistä on ilmoitettava kolmansille maille tai kansainvälisille järjestöille. Tietojen edelleen siirtämiseksi olisi saatava etukäteen alkuperäisen siirron suorittaneen toimivaltaisen viranomaisen lupa. Kun alkuperäisen siirron suorittanut toimivaltainen viranomainen tekee päätöksen siltä pyydetystä luvasta siirtää tietoja edelleen, sen olisi otettava asianmukaisesti huomioon kaikki merkittävät seikat kuten rikoksen vakavuus, tietojen siirtoon liittyvät erityiset ehdot ja tarkoitus, jota varten tiedot on alun perin siirretty, rikosoikeudellisen seuraamuksen täytäntöönpanon luonne ja ehdot sekä henkilötietosuojan taso siinä kolmannessa maassa tai kansainvälisessä järjestössä, johon tiedot edelleen siirretään. Alkuperäisen siirron suorittaneen toimivaltaisen viranomaisen olisi voitava myös asettaa erityisehtoja tietojen edelleen siirtämiselle. Tällaisia erityisehtoja voidaan kuvailla esimerkiksi käsittelykoodeissa.

(66)

Komission olisi voitava tehdä koko unionia koskeva päätös siitä, että eräät kolmannet maat tai kolmannen maan tietty alue tai yksi tai useampi erityinen sektori tai tietty kansainvälinen järjestö tarjoavat riittävän tietosuojan ja näin varmistaa oikeusvarmuuden ja yhdenmukaisuuden kaikkialla unionissa niiden kolmansien maiden tai kansainvälisten järjestöjen osalta, joiden katsotaan tarjoavan tämäntasoista suojaa. Tällöin henkilötietoja olisi voitava siirtää kyseisiin maihin ilman erityistä lupaa, paitsi jos toisen jäsenvaltion, josta tiedot on saatu, on annettava siirrolle lupa.

(67)

Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi kolmatta maata tai kolmannen maan aluetta tai tiettyä sektoria arvioidessaan otettava huomioon, miten kyseisessä kolmannessa maassa noudatetaan oikeusvaltioperiaatetta, oikeussuojaa ja kansainvälisiä ihmisoikeussääntöjä ja -normeja sekä kyseisen maan yleistä ja alakohtaista lainsäädäntöä, kuten yleistä turvallisuutta, puolustusta, kansallista turvallisuutta sekä yleistä järjestystä ja rikosoikeutta koskevaa lainsäädäntöä. Hyväksyttäessä päätös kolmannen maan alueen tai tietyn sektorin tietosuojan riittävyydestä olisi otettava huomioon selkeät ja objektiiviset perusteet, kuten erityiset henkilötietojen käsittelytoimet ja kolmannessa maassa sovellettavien oikeusnormien soveltamisala ja voimassa oleva lainsäädäntö. Kolmannen maan olisi tarjottava takeet, joilla varmistetaan riittävä tietosuojan taso, joka vastaa olennaisilta osin unionissa taattua suojan tasoa, erityisesti kun tietoja käsitellään yhdellä tai useammalla erityisalalla. Kolmannen maan olisi erityisesti varmistettava tehokas riippumaton tietosuojavalvonta ja huolehtia jäsenvaltioiden tietosuojaviranomaisten kanssa käytettävistä yhteistyömekanismeista, ja rekisteröidyille olisi taattava vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot.

(68)

Komission olisi kolmannen maan tai kansainvälisen järjestön tekemien kansainvälisten sitoumusten lisäksi otettava myös huomioon velvoitteet, jotka johtuvat kolmannen maan tai kansainvälisen järjestön osallistumisesta monenvälisiin tai alueellisiin järjestelmiin, erityisesti sellaiset velvoitteet, jotka koskevat henkilötietojen suojaamista, sekä kyseisten velvoitteiden täytäntöönpano. Erityisesti olisi otettava huomioon kolmannen maan liittyminen yksilöiden suojelusta henkilötietojen automaattisessa käsittelyssä 28 päivänä tammikuuta 1981 tehtyyn Euroopan neuvoston yleissopimukseen ja sen lisäpöytäkirjaan. Komission olisi kuultava asetuksella (EU) 2016/679 perustettua Euroopan tietosuojaneuvostoa, jäljempänä ’tietosuojaneuvosto’, arvioidessaan kolmansien maiden tai kansainvälisten järjestöjen suojan tasoa. Lisäksi komission olisi otettava huomioon asetuksen (EU) 2016/679 45 artiklan mukaisesti annetut mahdolliset tietosuojan riittävyyttä koskevat päätökset.

(69)

Komission olisi valvottava kolmannen maan tai sen alueen tai tietyn sektorin tai kansainvälisen järjestön tietosuojan tasoa koskevien päätösten toimivuutta. Komission olisi säädettävä tietosuojan riittävyyttä koskevissa päätöksissään niiden toimivuuden säännöllisestä uudelleentarkastelusta. Tällaista tarkastelua tehtäessä olisi kuultava kyseistä kolmatta maata tai kansainvälistä järjestöä ja otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä.

(70)

Komission olisi myös voitava todeta, että jokin kolmas maa tai kolmannen maan alue tai tietty sektori tai kansainvälinen järjestö ei enää tarjoa riittävän tasoista tietosuojaa. Tällöin henkilötietojen siirtäminen kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle olisi kiellettävä, elleivät tässä direktiivissä säädetyt edellytykset, jotka liittyvät asianmukaisia suojatoimia edellyttäviin siirtoihin ja erityistilanteita koskeviin poikkeuksiin, täyty. Lisäksi olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. Komission olisi hyvissä ajoin ilmoitettava kolmannelle maalle tai kansainväliselle järjestölle perustelut ja aloitettava sen kanssa neuvottelut tilanteen korjaamiseksi.

(71)

Siirrot, jotka eivät perustu tietosuojan riittävyyttä koskevaan päätökseen, olisi sallittava vain, jos oikeudellisesti sitovassa välineessä on toteutettu asianmukaiset suojatoimet, joilla varmistetaan henkilötietojen suoja, tai jos rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja katsoo arvionsa perusteella, että henkilötietojen suojaamiseksi on toteutettu asianmukaiset suojatoimet. Tällaisia oikeudellisesti sitovia välineitä voisivat olla esimerkiksi oikeudellisesti sitovat kahdenväliset sopimukset, joita jäsenvaltiot ovat tehneet, jotka on pantu täytäntöön niiden oikeusjärjestyksessä ja joihin kyseisen maan rekisteröidyt voisivat vedota ja joissa varmistetaan tietosuojaa koskevien vaatimusten noudattaminen ja rekisteröityjen oikeuksien kunnioittaminen, tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot mukaan lukien. Rekisterinpitäjän olisi voitava ottaa huomioon Europolin tai Eurojustin ja kolmansien maiden välillä tehdyt yhteistyösopimukset, jotka mahdollistavat henkilötietojen vaihdon, arvioidessaan kaikkia tiedonsiirtoon liittyviä seikkoja. Rekisterinpitäjän olisi voitava ottaa huomioon myös se, että henkilötietojen siirtoihin sovelletaan salassapitovelvollisuutta ja tietyn käsittelytarkoituksen periaatetta, joilla varmistetaan, ettei tietoja käsitellä muita kuin siirron tarkoituksia varten. Tämän lisäksi rekisterinpitäjän olisi otettava huomioon se, että henkilötietoja ei käytetä kuolemanrangaistuksen tai minkään julman ja epäinhimillisen kohtelun pyytämiseen, määräämiseen tai täytäntöönpanemiseen. Vaikka nämä edellytykset voitaisiin katsoa tietojen siirron mahdollistaviksi asianmukaisiksi suojatoimiksi, rekisterinpitäjä olisi voitava vaatia muita suojatoimia.

(72)

Jos tietosuojan tason riittävyyttä koskevaa päätöstä ei ole tehty tai asianmukaisia suojatoimia ei ole toteutettu, henkilötietojen siirto tai siirtojen sarja voidaan toteuttaa ainoastaan erityistilanteissa, jos se on tarpeen rekisteröidyn tai muun henkilön elintärkeiden etujen suojaamiseksi tai rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötiedot siirtävän jäsenvaltion laissa niin säädetään; jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan estämiseksi; yksittäistapauksessa rikosten ennalta estämiseksi, tutkimiseksi, paljastamiseksi tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanemiseksi, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten; tai yksittäistapauksessa oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Näitä poikkeuksia olisi tulkittava tiukasti, eikä niissä saisi sallia henkilötietojen toistuvia, laajoja ja rakenteellisia siirtoja tai tietojen laajamittaista siirtoa, vaan ne olisi rajoitettava koskemaan pelkästään välttämättömiä tietoja. Tällaiset siirrot olisi dokumentoitava ja niitä koskevat asiakirjat olisi toimitettava pyynnöstä valvontaviranomaiselle siirron laillisuuden valvontaa varten.

(73)

Jäsenvaltioiden toimivaltaiset viranomaiset soveltavat kolmansien maiden kanssa tehtyjä voimassa olevia kahden- tai monenvälisiä kansainvälisiä sopimuksia rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla asiaankuuluvan tiedon vaihtamiseksi siten, että ne pystyvät hoitamaan niille laissa osoitetut tehtävät. Lähtökohtaisesti tietojenvaihto tapahtuu asianomaisten kolmansien valtioiden niiden viranomaisten, jotka ovat tätä direktiiviä sovellettaessa toimivaltaisia, kanssa tehtävän yhteistyön kautta tai ainakin yhteydessä, joskus jopa siinä tapauksessa, että kahden- tai monenvälistä kansainvälistä sopimusta ei ole tehty. Tietyissä yksittäistapauksissa säännölliset menettelyt, jotka edellyttävät yhteydenottoa tällaiseen viranomaiseen kolmannessa maassa, voivat olla tehottomia tai sopimattomia erityisesti sen vuoksi, että tietoja ei ole voitu siirtää riittävän nopeasti tai koska kolmannen maan kyseinen viranomainen ei noudata oikeusvaltioperiaatetta tai kansainvälisiä ihmisoikeussääntöjä ja -normeja, jolloin jäsenvaltioiden toimivaltaiset viranomaiset voivat päättää siirtää henkilötietoja suoraan kyseisiin kolmansiin maihin sijoittautuneille vastaanottajille. Näin voi käydä esimerkiksi silloin, kun on kiireellisesti tarpeen siirtää henkilötietoja sellaisen henkilön hengen pelastamiseksi, joka on vaarassa joutua rikoksen uhriksi, tai kun pyritään estämään rikoksen, mukaan lukien terroriteon, välitön tekeminen. Vaikka tällaisia siirtoja toimivaltaisten viranomaisten ja kolmansiin maihin sijoittautuneiden vastaanottajien välillä tapahtuisi ainoastaan tietyissä yksittäistapauksissa, tässä direktiivissä olisi säädettävä edellytyksistä näiden tapausten sääntelemiseksi. Näitä säännöksiä ei olisi katsottava poikkeuksiksi rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla tehtyihin olemassa oleviin kahden- tai monenvälisiin kansainvälisiin sopimuksiin. Näitä sääntöjä olisi sovellettava tämän direktiivin muiden sääntöjen, erityisesti käsittelyn lainmukaisuutta koskevien sääntöjen ja V luvun sääntöjen lisäksi.

(74)

Henkilötietojen siirtäminen valtioiden rajojen yli voi vaikeuttaa luonnollisten henkilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi viranomaisten yhteistyötä valtioiden rajatylittävissä tapauksissa voivat vaikeuttaa myös riittämättömät ennalta ehkäisevät tai korjaavat toimivaltuudet tai epäjohdonmukaiset oikeudelliset toimintaympäristöt. Sen vuoksi olisi edistettävä tietosuojavalvontaviranomaisten tiiviimpää keskinäistä yhteistyötä, jotta ne voivat vaihtaa tietoja ulkomaisten kumppaniensa kanssa.

(75)

Keskeinen osa luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä on perustaa jäsenvaltioihin sellaiset valvontaviranomaiset, jotka hoitavat tehtäviään täysin riippumattomasti. Valvontaviranomaisten olisi seurattava tämän direktiivin nojalla annettujen säännösten soveltamista ja edistettävä niiden yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä. Sitä varten valvontaviranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa.

(76)

Jäsenvaltiot voivat antaa asetuksen (EU) 2016/679 mukaisesti jo perustetuille valvontaviranomaisille tämän direktiivin mukaisesti perustettavien kansallisten valvontaviranomaisten tehtävät.

(77)

Jäsenvaltioiden olisi voitava perustaa useampi kuin yksi valvontaviranomainen oman perustuslakinsa, organisaationsa ja hallintorakenteensa mukaisesti. Kullekin valvontaviranomaiselle olisi osoitettava taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi tehokkaasti, mukaan lukien tehtävät, jotka liittyvät keskinäiseen avunantoon ja yhteistyöhön muiden valvontaviranomaisten kanssa kaikkialla unionissa. Kullakin valvontaviranomaisella olisi oltava erillinen ja julkinen vuotuinen talousarvio, joka voi olla osa valtion tai kansallista kokonaistalousarviota.

(78)

Valvontaviranomaisten kuluihin olisi voitava soveltaa riippumattomia valvonta- tai seurantamekanismeja edellyttäen, että tällainen varainhoidon valvonta ei vaikuta niiden riippumattomuuteen.

(79)

Valvontaviranomaisen jäseneen tai jäseniin sovellettavat yleiset edellytykset olisi vahvistettava jäsenvaltion lainsäädännössä. Erityisesti olisi säädettävä, että kyseiset jäsenet nimittää joko asianomaisen jäsenvaltion parlamentti tai hallitus tai valtionpäämies hallituksen tai hallituksen edustajan ehdotuksen pohjalta, taikka riippumaton elin, jolle nimittäminen on jäsenvaltion lainsäädännössä uskottu läpinäkyvää menettelyä noudattaen. Valvontaviranomaisen riippumattomuuden varmistamiseksi sen jäsenen tai jäsenten on toimittava lahjomattomasti, pidätyttävä kaikesta toiminnasta, joka ei sovi yhteen heidän tehtäviensä hoitamisen kanssa, eivätkä he saisi toimikautensa aikana harjoittaa muuta palkallista tai palkatonta yhteensopimatonta ammattitoimintaa. Valvontaviranomaisen riippumattomuuden varmistamiseksi valvontaviranomaisen olisi valittava oma henkilöstönsä, mutta menettelyyn voi puuttua jäsenvaltion lainsäädännössä valtuutettu riippumaton elin.

(80)

Vaikka tätä direktiiviä sovelletaan myös kansallisten tuomioistuinten ja muiden oikeusviranomaisten toimintaan, valvontaviranomaisten toimivallan ei pitäisi kattaa henkilötietojen käsittelyä, jota tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä, jotta voidaan turvata tuomareiden riippumattomuus heidän hoitaessaan lainkäyttötehtäviään. Tämä poikkeus olisi rajattava koskemaan tuomioistuinten lainkäyttötehtäviä oikeudenkäynneissä, eikä sitä pitäisi soveltaa muuhun toimintaan, johon tuomarit saattavat osallistua jäsenvaltion lainsäädännön mukaisesti. Jäsenvaltioiden olisi voitava myös säätää, että valvontaviranomaisten toimivalta ei voi kattaa henkilötietojen käsittelyä, jota muut riippumattomat oikeusviranomaiset, esimerkiksi syyttäjälaitos, suorittavat lainkäyttötehtäviensä yhteydessä. Joka tapauksessa sitä, että tuomioistuimet ja muut riippumattomat oikeusviranomaiset noudattavat tämän direktiivin sääntöjä, on aina valvottava riippumattomasti perusoikeuskirjan 8 artiklan 3 kohdan mukaisesti.

(81)

Kaikkien valvontaviranomaisten olisi käsiteltävä rekisteröityjen tekemiä valituksia ja joko otettava asia tutkittavaksi tai siirrettävä se toimivaltaiselle valvontaviranomaiselle. Valitus olisi tutkittava siinä määrin kuin kussakin tapauksessa on asiamukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen tutkittavaksi. Valvontaviranomaisen olisi ilmoitettava rekisteröidylle valituksen käsittelyn etenemisestä ja valitusta koskevasta ratkaisustaan kohtuullisen ajan kuluessa. Jos asiassa tarvitaan lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle.

(82)

Jotta voitaisiin varmistaa tämän direktiivin noudattamisen tosiasiallinen, luotettava ja johdonmukainen seuranta ja se, että direktiivi pannaan täytäntöön kaikkialla unionissa Euroopan unionin toiminnasta tehdyn sopimuksen mukaisesti unionin tuomioistuimen tulkitsemalla tavalla, valvontaviranomaisilla olisi oltava kaikissa jäsenvaltioissa samanlaiset tehtävät ja valtuudet, mukaan lukien tutkintavaltuudet, korjaavat toimivaltuudet ja neuvontavaltuudet, jotka ovat tarpeen niiden tehtävien suorittamiseksi. Niiden valtuudet eivät kuitenkaan saisi olla ristiriidassa rikosoikeudellisia menettelyjä, kuten rikosten tutkimista ja niihin liittyviä syytetoimia, koskevien sääntöjen tai tuomioistuinten riippumattomuuden kanssa. Rajoittamatta jäsenvaltion lainsäädännön mukaisia syyttäjäviranomaisten valtuuksia, valvontaviranomaisilla olisi oltava myös valtuudet saattaa tämän direktiivin rikkomiset oikeusviranomaisten tietoon tai panna vireille oikeustoimet. Valvontaviranomaisten valtuuksia olisi käytettävä unionin oikeudessa ja jäsenvaltion lainsäädännössä vahvistettujen asianmukaisten menettelytakeiden mukaisesti puolueettomasti, oikeudenmukaisesti ja kohtuullisessa ajassa. Jokaisen toimenpiteen olisi erityisesti oltava tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen tämän direktiivin noudattamisen varmistamiseksi ottaen huomioon kunkin yksittäisen tapauksen olosuhteet, kunnioitettava jokaisen henkilön oikeutta tulla kuulluksi ennen kuin häntä vastaan ryhdytään yksittäiseen toimenpiteeseen, joka vaikuttaa asianomaiseen henkilöön epäedullisesti, ja vältettävä aiheuttamasta hänelle tarpeettomia kustannuksia ja liiallisia haittoja. Toimitiloihin pääsyä koskevia tutkintavaltuuksia olisi käytettävä jäsenvaltion lainsäädännön erityisvaatimusten mukaisesti, joita ovat esimerkiksi ennakkoluvan saamista koskeva vaatimus. Oikeudellisesti sitovan päätöksen antamiseen olisi sovellettava tuomioistuinvalvontaa päätöksen antaneen valvontaviranomaisen jäsenvaltiossa.

(83)

Valvontaviranomaisten olisi autettava toisiaan tehtäviensä suorittamisessa ja annettava keskinäistä apua, jotta voidaan varmistaa tämän direktiivin nojalla annettujen säännösten johdonmukainen soveltaminen ja täytäntöönpano.

(84)

Tietosuojaneuvoston olisi edistettävä tämän direktiivin yhdenmukaista soveltamista kaikkialla unionissa muun muassa antamalla neuvoja komissiolle ja tukemalla valvontaviranomaisten yhteistyötä unionissa.

(85)

Rekisteröidyllä olisi oltava oikeus tehdä valitus yhdelle valvontaviranomaiselle sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen oikeuksiaan, jotka perustuvat tämän direktiivin nojalla annettuihin säännöksiin, on loukattu, tai jos valvontaviranomainen ei käsittele valitusta, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. Valitus olisi tutkittava siinä määrin kuin kussakin tapauksessa on asiamukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen tutkittavaksi. Toimivaltaisen valvontaviranomaisen olisi ilmoitettava rekisteröidylle valituksen käsittelyn etenemisestä ja valitusta koskevasta ratkaisustaan kohtuullisen ajan kuluessa. Jos asiassa tarvitaan lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle. Valitusten jättämisen helpottamiseksi kaikkien valvontaviranomaisen olisi toteutettava toimenpiteitä, esimerkiksi toimitettava valituslomake, joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

(86)

Kaikilla luonnollisilla henkilöillä tai oikeushenkilöillä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia. Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus ei kuitenkaan koske valvontaviranomaisten muita toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion lainsäädännön mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat sen käsiteltäväksi saatetun asian kannalta olennaisia.

(87)

Jos rekisteröity katsoo, että hänen tähän direktiiviin perustuvia oikeuksiaan on loukattu, hänellä olisi oltava oikeus valtuuttaa jokin elin, joka pyrkii suojelemaan rekisteröityjen oikeuksia ja etuja heidän henkilötietojensa suojaamiseksi ja joka on perustettu jäsenvaltion lainsäädännön mukaisesti, tekemään puolestaan valitus valvontaviranomaiselle ja käyttämään oikeussuojakeinoja. Rekisteröityjen oikeus edustukseen ei kuitenkaan rajoita jäsenvaltion prosessioikeuden soveltamista, jossa saatetaan pakottavasti edellyttää, että rekisteröityjä edustaa kansallisissa tuomioistuimissa asianajaja, siten kuin se on määritelty neuvoston direktiivissä 77/249/ETY (10).

(88)

Rekisterinpitäjän tai muun jäsenvaltion lainsäädännön nojalla toimivaltaisen viranomaisen olisi korvattava henkilölle mahdolliset vahingot, jotka ovat aiheutuneet käsittelystä, joka rikkoo tämän direktiivin nojalla annettuja säännöksiä. Vahingon käsitettä olisi tulkittava laajasti unionin tuomioistuimen oikeuskäytännön perusteella ja tavalla, jossa tämän direktiivin tavoitteet otetaan kaikilta osin huomioon. Tämä ei vaikuta korvausvaatimuksiin, jotka johtuvat unionin oikeuden tai jäsenvaltion lainsäädännön muiden sääntöjen rikkomisesta. Kun viitataan käsittelyyn, joka rikkoo tämän direktiivin nojalla annettuja säännöksiä, tarkoitetaan myös käsittelyä, joka rikkoo tämän direktiivin nojalla annettuja täytäntöönpanosäädöksiä. Rekisteröityjen olisi saatava täysi ja tosiasiallinen korvaus heille aiheutuneesta vahingosta.

(89)

Olisi säädettävä seuraamuksista julkis- tai yksityisoikeudellisille luonnollisille henkilöille tai oikeushenkilöille, jotka rikkovat tätä direktiiviä. Jäsenvaltioiden olisi varmistettava, että seuraamukset ovat tehokkaita, oikeasuhteisia ja varoittavia, ja toteutettava kaikki toimenpiteet seuraamusten täytäntöönpanemiseksi.

(90)

Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovalta seuraavien osalta: kolmannen maan, kolmannen maan alueen tai kyseisen kolmannen maan tietyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyys, keskinäistä avunantoa koskevat muodot ja menettelyt sekä järjestelyt valvontaviranomaisten kesken ja valvontaviranomaisten ja tietosuojaneuvoston välillä sähköisin keinoin toteutettavaa tietojenvaihtoa varten. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (11) mukaisesti.

(91)

Kolmannen maan, kolmannen maan alueen tai kyseisen kolmannen maan tietyn sektorin taikka kansainvälisen järjestön tarjoaman tietosuojan riittävyyttä, keskinäistä avunantoa koskevia muotoja ja menettelyjä sekä järjestelyjä valvontaviranomaisten kesken ja valvontaviranomaisten ja tietosuojaneuvoston välillä sähköisin keinoin toteutettavaa tietojenvaihtoa varten koskevien täytäntöönpanosäädösten hyväksymiseen olisi sovellettava tarkastelumenettelyä, koska nämä säädökset ovat yleisluonteisia.

(92)

Komission olisi hyväksyttävä välittömästi sovellettavia täytäntöönpanosäädöksiä, kun tämä on tarpeen asianmukaisesti perustelluissa erittäin kiireellisissä tapauksissa, jotka liittyvät kolmanteen maahan tai kyseisen kolmannen maan alueeseen tai tiettyyn sektoriin tai kansainväliseen järjestöön, joka ei enää tarjoa riittävää tietosuojaa.

(93)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitteita, joita ovat luonnollisten henkilöiden perusoikeuksien ja -vapauksien ja erityisesti henkilötietojen suojaa koskevan oikeuden suojeleminen sekä unionin toimivaltaisten viranomaisten välisen henkilötietojen vaihtamisen varmistaminen, vaan ne voidaan toiminnan laajuuden tai vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi.

(94)

Direktiivi ei vaikuta erityisiin säännöksiin, jotka sisältyvät ennen direktiivin hyväksymispäivää annettuihin rikosoikeuden alalla tehtävää oikeudellista yhteistyötä ja poliisiyhteistyötä koskeviin unionin säädöksiin, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin; näitä ovat esimerkiksi neuvoston päätöksen 2008/615/YOS (12) nojalla sovellettavat erityiset henkilötietojen suojaa koskevat säännökset tai keskinäisestä oikeusavusta rikosasioissa Euroopan unionin jäsenvaltioiden välillä tehdyn yleissopimuksen) (13) 23 artikla. Koska perusoikeuskirjan 8 artiklassa ja SEUT 16 artiklassa edellytetään, että perusoikeus henkilötietojen suojeluun olisi turvattava johdonmukaisesti ja yhtenäisesti koko unionissa, komission olisi arvioitava tämän direktiivin ja niiden ennen direktiivin hyväksymispäivää annettujen säädösten suhdetta, joilla säännellään henkilötietojen käsittelyä jäsenvaltioiden kesken tai jäsenvaltioiden nimettyjen viranomaisten pääsyä perussopimusten mukaisesti perustettuihin järjestelmiin, arvioidakseen, olisiko näitä erityisiä säännöksiä yhdenmukaistettava tämän direktiivin säännösten kanssa. Komission olisi tarvittaessa tehtävä ehdotuksia, jotta voidaan varmistaa, että henkilötietojen käsittelyä koskevat oikeudelliset säännöt ovat johdonmukaisia.

(95)

Henkilötietojen kattavan ja yhtenäisen suojelun varmistamiseksi unionissa jäsenvaltioiden ennen tämän direktiivin voimaantulopäivää tekemät kansainväliset sopimukset, jotka ovat ennen kyseistä päivää sovelletun asiaankuuluvan unionin oikeuden mukaisia, olisi pidettävä voimassa, kunnes ne muutetaan, korvataan tai kumotaan.

(96)

Jäsenvaltioille olisi annettava enintään kahden vuoden määräaika tämän direktiivin voimaantulosta sen saattamiseksi osaksi kansallista lainsäädäntöä. Kyseisenä päivänä jo suoritettavana olevat käsittelyt olisi saatettava tämän direktiivin mukaisiksi kahden vuoden kuluessa tämän direktiivin voimaantulosta. Jos kyseisissä käsittelyissä, joita jo suoritetaan ennen kyseistä päivää, kuitenkin noudatetaan sovellettavaa unionin oikeutta, niihin ei pitäisi soveltaa tämän direktiivin vaatimuksia valvontaviranomaisen ennakkokuulemisesta, koska nämä vaatimukset ovat luonteeltaan sellaisia, että ne on täytettävä ennen käsittelyä. Jos jäsenvaltiot soveltavat pidempää soveltamisaikaa, joka umpeutuu seitsemän vuoden kuluttua tämän direktiivin voimaantulopäivästä, täyttääkseen ennen tämän direktiivin voimaantuloa asetetut automatisoitujen käsittelyjärjestelmien lokitietoja koskevat velvoitteet, rekisterinpitäjällä tai henkilötietojen käsittelijällä olisi oltava käytössään tehokkaat menetelmät kuten lokitiedot tai muunmuotoinen seloste, jotta osoitetaan tietojenkäsittelyn laillisuus, mahdollistetaan omaehtoinen valvonta ja varmistetaan tietojen eheys ja tietoturva.

(97)

Tämä direktiivi ei rajoita Euroopan parlamentin ja neuvoston direktiivissä 2011/93/EU (14) vahvistettuja sääntöjä, jotka koskevat lasten seksuaalisen hyväksikäytön ja seksuaalisen riiston sekä lapsipornografian torjumista.

(98)

Puitepäätös 2008/977/YOS olisi näin ollen kumottava.

(99)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyn pöytäkirjan N:o 21 6 a artiklan mukaisesti Yhdistynyttä kuningaskuntaa ja Irlantia eivät sido tässä direktiivissä vahvistetut säännöt, jotka koskevat jäsenvaltioiden suorittamaa henkilötietojen käsittelyä näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa, siinä tapauksessa, että Yhdistynyttä kuningaskuntaa ja Irlantia eivät sido rikosasioissa tehtävän oikeudellisen yhteistyön tai poliisiyhteistyön muotoa koskevat säännöt, jotka edellyttävät Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan perusteella vahvistettujen säännösten noudattamista.

(100)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Tanskan asemasta tehdyn pöytäkirjan N:o 22 2 ja 2 a artiklan mukaisesti tässä direktiivissä vahvistetut säännöt, jotka koskevat jäsenvaltioiden suorittamaa henkilötietojen käsittelyä näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa, eivät sido Tanskaa eikä niitä sovelleta Tanskaan. Koska tällä direktiivillä kehitetään Schengenin säännöstöä Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston mukaisesti, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun tämä direktiivi on hyväksytty, saattaako se direktiivin osaksi kansallista lainsäädäntöään.

(101)

Islannin ja Norjan osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa (15) kyseisten valtioiden osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen.

(102)

Sveitsin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (16).

(103)

Liechtensteinin osalta tällä direktiivillä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (17).

(104)

Tässä direktiivissä kunnioitetaan perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut periaatteet sellaisina kuin ne on vahvistettu Euroopan unionin toiminnasta tehdyssä sopimuksessa, erityisesti oikeus yksityis- ja perhe-elämän kunnioittamiseen, oikeus henkilötietojen suojaan sekä oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin. Näille oikeuksille asetetut rajoitukset ovat perusoikeuskirjan 52 artiklan 1 kohdan mukaisia, koska rajoitukset ovat välttämättömiä, jotta voidaan saavuttaa unionin tunnustamat yleisen edun mukaiset tavoitteet tai suojella muiden henkilöiden oikeuksia ja vapauksia.

(105)

Jäsenvaltiot ovat selittävistä asiakirjoista 28 päivänä syyskuuta 2011 annetun jäsenvaltioiden ja komission yhteisen poliittisen lausuman mukaisesti sitoutuneet perustelluissa tapauksissa liittämään kansallisia täytäntöönpanotoimenpiteitä koskevaan ilmoitukseensa yhden tai useamman asiakirjan, joista käy ilmi direktiivin osien ja kansallisen lainsäädännön osaksi saattamiseen tarkoitettujen säännösten vastaavien osien suhde. Tämän direktiivin osalta lainsäätäjä pitää tällaisten asiakirjojen toimittamista perusteltuna.

(106)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti, ja hän antoi lausunnon 7 päivänä maaliskuuta 2012 (18).

(107)

Tämä direktiivi ei saisi estää jäsenvaltioita panemasta kansallisissa rikosprosessisäännöissään täytäntöön rekisteröidyn oikeuksia, jotka koskevat rekisteröidylle ilmoittamista, pääsyä henkilötietoihin ja henkilötietojen oikaisemista, poistamista ja käsittelyn rajoittamista rikosoikeudellisten menettelyjen yhteydessä sekä näille oikeuksille mahdollisesti asetettuja rajoituksia,

a)

suojeltava luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan; ja

b)

varmistettava, että jos unionin oikeudessa tai jäsenvaltion lainsäädännössä edellytetään toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa, tällaista vaihtoa ei rajoiteta eikä kielletä syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä.

a)

jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan;

b)

jota suorittavat unionin toimielimet, elimet ja laitokset.

1)

’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai välillisesti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella;

2)

’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai muutoin, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista;

3)

’käsittelyn rajoittamisella’ tallennettujen henkilötietojen merkitsemistä tarkoituksena rajoittaa niiden myöhempää käsittelyä;

4)

’profiloinnilla’ mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia, erityisesti analysoidaan tai ennakoidaan piirteitä, jotka liittyvät kyseisen luonnollisen henkilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkeisiin;

5)

’pseudonymisoinnilla’ henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja, edellyttäen että tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu;

6)

’rekisterillä’ mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu;

7)

’toimivaltaisella viranomaisella’

8)

’rekisterinpitäjällä’ toimivaltaista viranomaista, joka yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin oikeudessa tai jäsenvaltion lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti;

9)

’henkilötietojen käsittelijällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;

10)

’vastaanottajalla’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja, oli kyseessä kolmas osapuoli tai ei. Viranomaisia, jotka mahdollisesti saavat henkilötietoja tietyn tutkimuksen puitteissa jäsenvaltion lainsäädännön mukaisesti ei kuitenkaan pidetä vastaanottajina; näiden viranomaisten on käsiteltävä kyseisiä tietoja sovellettavia tietosuojasääntöjä noudattaen käsittelyn tarkoitusten mukaisesti;

11)

’henkilötietojen tietoturvaloukkauksella’ tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin;

12)

’geneettisillä tiedoilla’ henkilötietoja, jotka koskevat luonnollisen henkilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla;

13)

’biometrisillä tiedoilla’ luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön tunnistaminen voidaan varmistaa;

14)

’terveystiedoilla’ luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, jotka ilmaisevat hänen terveydentilansa, mukaan lukien tiedot terveyspalvelujen tarjoamisesta;

15)

’valvontaviranomaisella’ jäsenvaltion 41 artiklan nojalla perustamaa riippumatonta viranomaista;

16)

’kansainvälisellä järjestöllä’ järjestöä ja sen alaisia elimiä, joihin sovelletaan kansainvälistä julkisoikeutta, tai muuta elintä, joka on perustettu kahden tai useamman maan välisellä sopimuksella tai tällaisen sopimuksen perusteella.

a)

henkilötietoja käsitellään lainmukaisesti ja asianmukaisesti;

b)

henkilötiedot kerätään tiettyjä nimenomaisia ja laillisia tarkoituksia varten, eikä niitä käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla;

c)

henkilötiedot ovat asianmukaisia ja olennaisia eivätkä ne ole liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään;

d)

henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset tiedot poistetaan tai oikaistaan viipymättä;

e)

henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten;

f)

henkilötietoja käsitellään tavalla, jolla varmistetaan henkilötietojen asianmukainen tietoturva muun muassa suojaamalla niitä luvattomalta ja laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta asianmukaisia teknisiä tai organisatorisia toimenpiteitä hyödyntäen.

a)

rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista tarkoitusta varten unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti; ja

b)

käsittely tätä muuta tarkoitusta varten on tarpeellista ja oikeasuhteista unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.

a)

henkilöt, joiden voidaan vakavin perustein uskoa syyllistyneen tai olevan syyllistymässä rikokseen;

b)

rikoksesta tuomitut henkilöt;

c)

rikoksen uhrit tai henkilöt, joiden voidaan tiettyjen seikkojen pohjalta olettaa voivan joutua rikoksen uhriksi; ja

d)

rikokseen nähden kolmannet osapuolet, kuten henkilöt, jotka voidaan kutsua todistamaan rikokseen liittyvän tutkinnan yhteydessä tai sitä seuraavassa rikosoikeudellisessa menettelyssä, henkilöt, jotka voivat antaa tietoa rikoksesta, tai edellä a tai b alakohdassa tarkoitettujen henkilöiden kontaktit tai kumppanit.

a)

jos käsittely sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä;

b)

rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; tai

c)

jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi.

a)

periä kohtuullisen maksun, jossa otetaan huomioon tietojen tai ilmoitusten toimittamisesta tai pyydetyn toimen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai

b)

kieltäytyä suorittamasta pyydettyä toimea.

a)

rekisterinpitäjän henkilöllisyys ja yhteystiedot;

b)

tarvittaessa tietosuojavastaavan yhteystiedot;

c)

henkilötietojen käsittelyn tarkoitukset;

d)

tieto siitä, että rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, ja valvontaviranomaisen yhteystiedot;

e)

tieto siitä, että rekisteröidyllä on oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten henkilötietojen oikaisemista tai poistamista tai henkilötietojen käsittelyn rajoittamista.

a)

käsittelyn oikeusperuste;

b)

henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;

c)

mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät, myös kolmansissa maissa tai kansainvälisissä järjestöissä;

d)

tarpeen mukaan lisätietoja varsinkin jos henkilötiedot kerätään rekisteröidyn tietämättä.

a)

jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

b)

jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;

c)

yleisen turvallisuuden suojelemiseksi;

d)

kansallisen turvallisuuden suojelemiseksi;

e)

muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

a)

käsittelyn tarkoitukset ja oikeusperuste;

b)

käsittelyn kohteena olevat henkilötietoryhmät;

c)

vastaanottajat tai vastaanottajaryhmät, joille henkilötietoja on luovutettu, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt;

d)

mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika, tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;

e)

rekisteröidyn oikeus pyytää rekisterinpitäjää häntä itseään koskevien henkilötietojen oikaisemista, poistamista tai käsittelyn rajoittamista;

f)

rekisteröidyn oikeus tehdä valitus valvontaviranomaiselle ja valvontaviranomaisen yhteystiedot;

g)

käsiteltävät henkilötiedot ja kaikki tietojen alkuperästä käytettävissä olevat tiedot.

a)

jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

b)

jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;

c)

yleisen turvallisuuden suojelemiseksi;

d)

kansallisen turvallisuuden suojelemiseksi;

e)

muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

a)

rekisteröity kiistää tietojen paikkansapitävyyden eikä tietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa; tai

b)

henkilötiedot on säilytettävä todistelua varten;

a)

jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;

b)

jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;

c)

yleisen turvallisuuden suojelemiseksi;

d)

kansallisen turvallisuuden suojelemiseksi;

e)

muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

a)

toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti;

b)

varmistaa, että henkilötietojen käsittelyluvan saaneet henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus;

c)

avustaa rekisterinpitäjää kaikin tarkoituksenmukaisin tavoin, jotta voidaan varmistaa, että rekisteröidyn oikeuksia koskevia säännöksiä noudatetaan;

d)

rekisterinpitäjän valinnan mukaan poistaa taikka palauttaa tietojenkäsittelypalveluiden tarjoamisen päätyttyä kaikki henkilötiedot rekisterinpitäjälle ja poistaa olemassa olevat jäljennökset, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot;

e)

saattaa rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tämän artiklan noudattamisen osoittamiseksi;

f)

täyttää 2 ja 3 kohdassa tarkoitetut toisen käsittelijän käyttöä koskevat edellytykset.

a)

rekisterinpitäjän ja tarvittaessa yhteisen rekisterinpitäjän ja tietosuojavastaavan nimi ja yhteystiedot;

b)

käsittelyn tarkoitukset;

c)

henkilötietojen vastaanottajien ryhmät, joille henkilötietoja on luovutettu tai luovutetaan, mukaan lukien kolmansissa maissa tai kansainvälisissä järjestöissä olevat vastaanottajat;

d)

kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä;

e)

tarvittaessa profiloinnin käyttö;

f)

tarvittaessa kolmanteen maahan tai kansainväliselle järjestölle suoritettujen henkilötietojen siirtojen ryhmät;

g)

maininta suunniteltujen henkilötietojen käsittelytoimien, kuten siirtojen, oikeusperusteesta;

h)

mahdollisuuksien mukaan eri henkilötietoryhmien poistamisen suunnitellut määräajat;

i)

mahdollisuuksien mukaan yleinen kuvaus 29 artiklan 1 kohdassa tarkoitetuista teknisistä ja organisatorisista turvatoimista.

a)

henkilötietojen käsittelijän tai useamman käsittelijän ja kunkin rekisterinpitäjän, jonka lukuun käsittelijä toimii, sekä tietosuojavastaavan nimi ja yhteystiedot;

b)

kunkin rekisterinpitäjän lukuun suoritettujen käsittelyiden ryhmät;

c)

jos rekisterinpitäjä on nimenomaisesti niin ohjeistanut, mahdolliset tiedot henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle, mukaan lukien tieto siitä, mikä kolmas maa tai kansainvälinen järjestö on kyseessä;

d)

mahdollisuuksien mukaan yleinen kuvaus 29 artiklan 1 kohdassa tarkoitetuista teknisistä ja organisatorisista turvatoimista.

a)

27 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittely aiheuttaa korkean riskin, ellei rekisterinpitäjä toteuta toimenpiteitä riskin lieventämiseksi; tai

b)

tietojen käsittely on sen luonteista, että siihen sisältyy muutoin, erityisesti uusien tekniikoiden, mekanismien tai menettelyjen käytön johdosta, rekisteröityjen oikeuksien ja vapauksien kannalta korkea riski.

a)

evätä asiattomilta pääsy käsittelyyn käytettäviin laitteisiin (”laitteillepääsyn valvonta”);

b)

estää tietovälineiden luvaton lukeminen, jäljentäminen, muuttaminen tai poistaminen (”tietovälineiden valvonta”);

c)

estää henkilötietojen luvaton syöttäminen järjestelmään sekä järjestelmään tallennettujen henkilötietojen luvaton tarkastelu, muuttaminen tai poistaminen (”tallentamisen valvonta”);

d)

estää asiattomia käyttämästä automatisoituja käsittelyjärjestelmiä tiedonsiirtolaitteiden avulla (”käyttäjien valvonta”);

e)

varmistaa, että automatisoidun käsittelyjärjestelmän käyttöön oikeutetut henkilöt pääsevät ainoastaan valtuutuksensa piiriin kuuluviin henkilötietoihin (”pääsyn valvonta”);

f)

varmistaa, että on mahdollista tarkistaa ja todeta, mille tahoille henkilötietoja on siirretty tai asetettu saataville tai voidaan siirtää tai asettaa saataville tiedonsiirtolaitteiden avulla (”tiedonvälityksen valvonta”);

g)

varmistaa, että on mahdollista tarkistaa ja todeta jälkikäteen, mitä henkilötietoja on syötetty automatisoituihin käsittelyjärjestelmiin, milloin niitä on syötetty ja kuka henkilötietoja on syöttänyt (”tietojen syöttämisen valvonta”);

h)

estää henkilötietojen asiaton lukeminen, jäljentäminen, muuttaminen tai poistaminen niitä siirrettäessä tai tietovälineitä kuljetettaessa (”siirron valvonta”);

i)

varmistaa, että käytetyt järjestelmät voidaan häiriön tapahtuessa palauttaa entiselleen (”toimintakunnon palauttaminen”);

j)

varmistaa, että järjestelmä toimii, että havaituista toimintojen virheistä ilmoitetaan (”luotettavuus”) ja että järjestelmän toimintahäiriö ei voi vahingoittaa tallennettuja henkilötietoja (”eheys”).

a)

kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät;

b)

ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa;

c)

kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset;

d)

kuvattava toimenpiteet, jotka rekisterinpitäjä on toteuttanut tai joita se on ehdottanut henkilötietojen tietoturvaloukkauksen johdosta ja tarvittaessa toimenpiteet sen mahdollisten haittavaikutusten lieventämiseksi.

a)

rekisterinpitäjä on toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet ja tietoturvaloukkauksen kohteena oleviin henkilötietoihin on sovellettu kyseisiä toimenpiteitä, erityisesti niitä, joiden avulla henkilötiedot muutetaan muotoon, jossa ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin, kuten salausta;

b)

rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että 1 kohdassa tarkoitettu rekisteröidyn oikeuksien ja vapauksien kannalta korkea riski ei enää todennäköisesti toteudu;

c)

se vaatisi kohtuutonta vaivaa. Tällöin on rekisteröidylle tarkoitetun ilmoituksen sijaan käytettävä julkista ilmoitusta tai vastaavaa toimenpidettä, jolla rekisteröidyille tiedotetaan yhtä tehokkaalla tavalla.

a)

antaa rekisterinpitäjälle ja henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja, jotka koskevat niiden tämän direktiivin ja muiden unionin tai jäsenvaltioiden tietosuojasäännösten mukaisia velvollisuuksia;

b)

valvoa, että noudatetaan tätä direktiiviä, muita unionin tai jäsenvaltioiden tietosuojasäännöksiä ja rekisterinpitäjän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tietoisuuden lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset;

c)

antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista ja valvoa sen toteutusta 27 artiklan mukaisesti;

d)

tehdä yhteistyötä valvontaviranomaisen kanssa;

e)

toimia valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä, mukaan lukien 28 artiklan mukainen ennakkokuuleminen ja tarvittaessa kuuleminen muista mahdollisista kysymyksistä.

a)

siirto on tarpeen 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten;

b)

henkilötiedot siirretään kolmanteen maahan tai kansainväliseen järjestöön rekisterinpitäjälle, joka on viranomaisena 1 artiklan 1 kohdan mukaisten tarkoitusten suhteen toimivaltainen;

c)

jos henkilötietoja siirretään tai asetetaan saataville toisesta jäsenvaltiosta, kyseinen jäsenvaltio on antanut siirrolle ennakkolupansa kansallisen lainsäädäntönsä mukaisesti;

d)

komissio on hyväksynyt tietosuojan riittävyyttä koskevan päätöksen 36 artiklan mukaisesti tai, jos tällaista päätöstä ei ole tehty, asianmukaisista suojatoimista on säädetty tai ne ovat olemassa 37 artiklan mukaisesti, tai, 36 artiklan mukaisen päätöksen ja 37 artiklan mukaisten asianmukaisten suojatoimien puuttuessa, sovelletaan 38 artiklan mukaisia erityistilanteita koskevia poikkeuksia; ja

e)

jos henkilötiedot siirretään edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, alkuperäisen siirron toteuttanut toimivaltainen viranomainen tai kyseisen jäsenvaltion muu toimivaltainen viranomainen antaa luvan edelleen siirtämiselle otettuaan asianmukaisesti huomioon kaikki merkittävät tekijät, kuten rikoksen vakavuuden, henkilötietojen alkuperäisen siirron tarkoituksen ja henkilötietojen suojan tason siinä kolmannessa maassa tai kansainvälisessä järjestössä, johon tai jolle tiedot siirretään edelleen.

a)

oikeusvaltioperiaate, ihmisoikeuksien ja perusvapauksien kunnioitus, sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano, tietosuojaa koskevat säännöt, ammatilliset säännöt ja turvatoimet, mukaan lukien asianomaisessa kolmannessa maassa tai kansainvälisessä järjestössä noudatettavat säännöt henkilötietojen siirtämisestä edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, oikeuskäytäntö sekä rekisteröidyille kuuluvat tehokkaat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään;

b)

se, onko kyseisessä kolmannessa maassa tai siinä kolmannessa maassa, jonka alaisuuteen kansainvälinen järjestö kuuluu, vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisen varmistamisesta ja täytäntöönpanosta, mukaan lukien riittävät täytäntöönpanovaltuudet, tarjota rekisteröidyille apua ja neuvoja oikeuksien käyttämisessä ja tehdä yhteistyötä EU:n ja jäsenvaltioiden valvontaviranomaisten kanssa; sekä

c)

kyseisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset tai muut oikeudellisesti sitovista yleissopimuksista tai välineistä sekä monenvälisiin tai alueellisiin järjestelmiin osallistumisesta johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaamista.

a)

oikeudellisesti sitovalla välineessä on määrätty asianmukaiset suojatoimet, joilla varmistetaan henkilötietojen suoja; tai

b)

rekisterinpitäjä on arvioinut kaikkia henkilötietojen siirtoon liittyviä seikkoja ja katsoo, että henkilötietojen suojaamiseksi on toteutettu asianmukaiset suojatoimet.

a)

rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi;

b)

rekisteröidyn oikeutettujen etujen turvaamiseksi, jos henkilötietoja siirtävän jäsenvaltion lainsäädännössä niin säädetään;

c)

jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan ehkäisemiseksi;

d)

yksittäistapauksissa 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten; tai

e)

yksittäistapauksessa 1 artiklan 1 kohdassa vahvistettuihin tarkoituksiin liittyvien oikeusvaateiden laatimiseksi, esittämiseksi tai puolustamiseksi.

a)

siirto on ehdottoman välttämätön, jotta siirron toteuttava toimivaltainen viranomainen voi suorittaa unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetyt tehtävänsä 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten;

b)

siirron toteuttava toimivaltainen viranomainen katsoo, että asianomaisen rekisteröidyn perusoikeudet ja -vapaudet eivät syrjäytä yleistä etua, jonka perusteella siirto käsiteltävänä olevassa tapauksessa on tarpeen;

c)

siirron toteuttava toimivaltainen viranomainen katsoo, että kolmannen maan viranomaiselle, joka on toimivaltainen 1 artiklan 1 kohdan mukaisissa tarkoituksissa, tapahtuva siirto on tehoton tai epätarkoituksenmukainen erityisesti siitä syystä, että siirtoa ei voida tehdä hyvissä ajoin;

d)

kolmannen maan viranomaiselle, joka on toimivaltainen 1 artiklan 1 kohdan mukaisissa tarkoituksissa, ilmoitetaan siirrosta ilman aiheetonta viivästystä, ellei tämä ole tehotonta tai epätarkoituksenmukaista;

e)

siirron toteuttava toimivaltainen viranomainen ilmoittaa vastaanottajalle, mitä tiettyä tarkoitusta tai tiettyjä tarkoituksia varten tämä saa ainoastaan käsitellä henkilötietoja sillä edellytyksellä, että tällainen käsittely on tarpeellista.

a)

kehitetään kansainvälisiä yhteistyökeinoja, jotta voidaan edistää henkilötietojen suojaamista koskevan lainsäädännön tosiasiallista täytäntöönpanoa;

b)

tarjotaan keskinäistä kansainvälistä apua henkilötietojen suojaa koskevan lainsäädännön täytäntöönpanossa esimerkiksi tiedonannolla, lähettämällä valituksia käsiteltäväksi, antamalla tutkinta-apua ja vaihtamalla tietoja, edellyttäen että on toteutettu asianmukaiset suojatoimet, jotka koskevat henkilötietojen suojaa ja muita perusoikeuksia ja -vapauksia;

c)

saadaan keskeiset sidosryhmät mukaan keskusteluun ja toimintaan, joilla edistetään kansainvälistä yhteistyötä henkilötietojen suojaa koskevan lainsäädännön täytäntöönpanossa;

d)

edistetään henkilötietojen suojaa koskevan lainsäädännön ja käytännön vaihtoa sekä dokumentointia muun muassa niiden koskiessa toimivaltaristiriitoja kolmansien maiden kanssa.

—

parlamentti;

—

hallitus;

—

valtionpäämies; tai

—

riippumaton elin, jolle nimittäminen on uskottu jäsenvaltion lainsäädännössä.

a)

kunkin valvontaviranomaisen perustamisesta;

b)

pätevyydestä ja kelpoisuusehdoista, joita kunkin valvontaviranomaisen jäseneksi nimitettäviltä edellytetään;

c)

kunkin valvontaviranomaisen jäsenen tai jäsenten nimittämiseen sovellettavista säännöistä ja menettelyistä;

d)

kunkin valvontaviranomaisen jäsenen tai jäsenten toimikauden kestosta, jonka on oltava vähintään neljä vuotta, lukuun ottamatta ensimmäistä nimitystä 6 päivän toukokuuta 2016 jälkeen, jolloin osa jäsenistä voidaan nimittää tehtävään lyhyemmäksi ajaksi, jos tämä on tarpeen valvontaviranomaisen riippumattomuuden suojaamiseksi porrastetun nimittämismenettelyn avulla;

e)

siitä, voidaanko kunkin valvontaviranomaisen jäsen tai jäsenet nimittää uudelleen ja, jos näin on, kuinka moneksi toimikaudeksi;

f)

kunkin valvontaviranomaisen jäsenen tai jäsenten ja henkilöstön velvollisuuksia koskevista edellytyksistä, yhteensopimatonta toimintaa ja yhteensopimattomia ammatteja ja etuja koskevista kielloista toimikauden aikana ja sen jälkeen ja tehtävien päättymistä koskevista säännöistä.

a)

valvoo tämän direktiivin ja sen täytäntöönpanotoimenpiteiden nojalla annettujen säännösten soveltamista ja panee ne täytäntöön;

b)

edistää yleistä tietoisuutta ja ymmärrystä käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista;

c)

antaa jäsenvaltion lainsäädännön mukaisesti kansalliselle parlamentille, hallitukselle ja muille toimielimille ja elimille neuvontaa luonnollisten henkilöiden oikeuksien ja vapauksien suojelua käsittelyssä koskevista lainsäädännöllisistä ja hallinnollisista toimenpiteistä;

d)

edistää rekisterinpitäjien ja henkilötietojen käsittelijöiden tekemistä tietoisiksi niille tämän direktiivin mukaan kuuluvista velvollisuuksista;

e)

antaa pyynnöstä rekisteröidyille tietoja heille tämän direktiivin mukaan kuuluvien oikeuksien käytöstä ja tekee tarvittaessa yhteistyötä muiden jäsenvaltioiden viranomaisten kanssa tätä tarkoitusta varten;

f)

käsittelee rekisteröidyn tai 55 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä valituksia ja tutkii valituksen tarpeellisin osin ja ilmoittaa valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa;

g)

tarkistaa 17 artiklan mukaisesti käsittelyn lainmukaisuuden ja ilmoittaa rekisteröidylle kohtuullisen ajan kuluessa kyseisen artiklan 3 kohdan mukaisesti tarkistuksen tuloksesta tai siitä, miksi tarkistusta ei ole suoritettu;

h)

tekee yhteistyötä muun muassa jakamalla tietoa ja tarjoaa keskinäistä apua muille valvontaviranomaisille, jotta voidaan varmistaa, että tätä direktiiviä sovelletaan ja se pannaan täytäntöön johdonmukaisesti;

i)

suorittaa tutkimuksia tämän direktiivin soveltamisesta, myös toiselta valvontaviranomaiselta tai muulta viranomaiselta saatujen tietojen perusteella;

j)

seuraa henkilötietojen suojaan vaikuttavaa kehitystä, erityisesti tieto- ja viestintäteknologian kehitystä;

k)

antaa neuvontaa 28 artiklassa tarkoitettujen käsittelytoimien osalta; ja

l)

osallistuu tietosuojaneuvoston toimintaan.

a)

varoittaa rekisterinpitäjää tai henkilötietojen käsittelijää siitä, että aiotut käsittelytoimet ovat todennäköisesti tämän direktiivin nojalla hyväksyttyjen säännösten vastaisia;

b)

määrätä rekisterinpitäjä tai henkilötietojen käsittelijä saattamaan käsittelytoimet tämän direktiivin nojalla hyväksyttyjen säännösten mukaisiksi tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa, erityisesti määräämällä henkilötietojen korjaamisesta tai poistamisesta taikka käsittelyn rajoittamisesta 16 artiklan mukaisesti;

c)

asettaa väliaikainen tai pysyvä rajoitus käsittelylle, mukaan lukien käsittelykielto.

a)

asia, jota pyyntö koskee, ei kuulu sen toimivaltaan tai sillä ei ole toimivaltaa toteuttaa pyydettyjä toimenpiteitä; tai

b)

pyynnön täyttäminen rikkoisi tätä direktiiviä tai sellaista unionin oikeutta tai jäsenvaltion lainsäädäntöä, jota sovelletaan pyynnön vastaanottaneeseen valvontaviranomaiseen.

a)

antaa komissiolle neuvoja kaikista henkilötietojen suojaan unionissa liittyvistä kysymyksistä, myös tämän direktiivin mahdollisesta muuttamisesta;

b)

tarkastella omasta aloitteestaan, jonkin jäsenensä tai komission pyynnöstä kysymyksiä, jotka koskevat tämän direktiivin soveltamista, ja antaa suuntaviivoja, suosituksia ja parhaita käytänteitä, joiden tarkoituksena on tukea tämän direktiivin johdonmukaista soveltamista;

c)

laatia valvontaviranomaisille suuntaviivoja, jotka koskevat 47 artiklan 1 ja 3 kohdassa tarkoitettujen toimenpiteiden soveltamista;

d)

antaa tämän kohdan b alakohdan mukaisesti suuntaviivoja, suosituksia ja parhaita käytänteitä 30 artiklan 1 ja 2 kohdassa tarkoitettujen henkilötietojen tietoturvaloukkausten toteamiseksi ja aiheettoman viivästyksen määrittämiseksi sekä niistä erityisolosuhteista, joissa rekisterinpitäjän tai henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta;

e)

antaa tämän kohdan b alakohdan mukaisesti suuntaviivoja, suosituksia ja parhaita käytänteitä olosuhteista, joissa henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa 31 artiklan 1 kohdassa tarkoitetun korkean riskin luonnollisen henkilön oikeuksille ja vapauksille;

f)

tarkastella b ja c alakohdassa tarkoitettujen suuntaviivojen, suositusten ja parhaiden käytänteiden soveltamista käytäntöön;

g)

antaa komissiolle lausunto kolmannen maan, kolmannen maan alueen tai yhden tai useamman määrätyn sektorin tai kansainvälisen järjestön tietosuojan tason riittävyyden arvioimiseksi, myös sen arvioimiseksi, pystyykö tällainen kolmas maa tai alue tai kansainvälinen järjestö tai määrätty sektori enää varmistamaan tietosuojan riittävää tasoa;

h)

edistää valvontaviranomaisten välistä yhteistyötä ja tehokasta kahden- ja monenvälistä tietojen ja parhaiden käytänteiden vaihtamista;

i)

edistää yhteisiä koulutusohjelmia ja helpottaa henkilövaihtoa valvontaviranomaisten välillä sekä tarvittaessa kolmansien maiden tai kansainvälisten järjestöjen valvontaviranomaisten kanssa;

j)

edistää tietosuojaoikeutta ja -käytänteitä koskevan tietämyksen ja niitä koskevien asiakirjojen vaihtoa tietosuojaviranomaisten kesken kaikkialla maailmassa.