12.12.2018 |
FI |
Euroopan unionin virallinen lehti |
L 315/41 |
KOMISSION PÄÄTÖS (EU) 2018/1962,
annettu 11 päivänä joulukuuta 2018,
Euroopan petostentorjuntaviraston (OLAF) suorittamaa henkilötietojen käsittelyä koskevien sisäisten sääntöjen vahvistamisesta siltä osin kuin on kyse tietojen antamisesta rekisteröidyille ja rekisteröityjen tiettyjen oikeuksien rajoittamisesta Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 25 artiklan mukaisesti
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 249 artiklan 1 kohdan,
sekä katsoo seuraavaa:
(1) |
Euroopan petostentorjuntavirasto, jäljempänä ’virasto’, perustettiin komission päätöksellä 1999/352/EY, EHTY, Euratom (1) komission yksikkönä. Virasto suorittaa tutkimuksia täysin riippumattomasti. |
(2) |
Virasto tekee hallinnollisia tutkimuksia petosten, lahjonnan ja unionin taloudellisia etuja vahingoittavan muun laittoman toiminnan torjumiseksi Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) N:o 883/2013 (2) mukaisesti. Tätä tarkoitusta varten se käyttää komissiolle asiaankuuluvissa unionin säädöksissä annettuja tutkintavaltuuksia jäsenvaltioissa sekä yhteistyötä ja keskinäistä avunantoa koskevien sopimusten ja muiden voimassa olevien säädösten mukaisesti kolmansissa maissa sekä kansainvälisten järjestöjen tiloissa. |
(3) |
Virasto suorittaa myös hallinnollisia tutkimuksia perussopimuksilla tai niiden nojalla perustetuissa toimielimissä, elimissä ja laitoksissa. Virasto kerää tutkintavaltuuksiensa puitteissa tutkinnan kannalta olennaisia tietoja, myös henkilötietoja, eri lähteistä – viranomaisilta, yksityisiltä yhteisöiltä ja luonnollisilta henkilöiltä – ja vaihtaa tietoja unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden ja kolmansien maiden toimivaltaisten viranomaisten sekä kansainvälisten järjestöjen kanssa ennen tutkimus- tai koordinointitoimia, niiden aikana ja niiden jälkeen. |
(4) |
Virasto käsittelee toimintansa yhteydessä useita henkilötietoryhmiä, erityisesti yksilöintitietoja, yhteystietoja, ammattia koskevia tietoja ja asiaan osallistumista koskevia tietoja. Virasto, jota edustaa sen pääjohtaja, toimii rekisterinpitäjänä. Henkilötiedot säilytetään suojatussa sähköisessä ympäristössä, joka estää lainvastaisen pääsyn tietoihin ja tietojen lainvastaisen siirtämisen henkilöille, joilla ei ole tiedonsaantitarvetta. Käsiteltäviä henkilötietoja säilytetään 15 vuotta sen jälkeen, kun tapaus on päätetty jättää käsittelemättä, tai tutkimus- tai koordinointitapaus päätetään pääjohtajan päätöksellä. Säilyttämisajan päätyttyä tapausta koskevat tiedot, myös henkilötiedot, siirretään historiallisiin arkistoihin. |
(5) |
Virasto on tehtäviään suorittaessaan sitoutunut kunnioittamaan henkilötietojen käsittelyyn liittyviä luonnollisten henkilöiden oikeuksia, jotka tunnustetaan Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja perussopimuksen 16 artiklan 1 kohdassa sekä kyseisiin määräyksiin perustuvissa säädöksissä. Viraston on myös noudatettava asetuksen (EU, Euratom) N:o 883/2013 10 artiklassa tarkoitettuja tiukkoja luottamuksellisuutta ja salassapitovelvollisuutta koskevia sääntöjä ja varmistettava, että kyseisen asetuksen 9 artiklassa tarkoitettuja asianomaisten henkilöiden ja todistajien prosessuaalisia oikeuksia ja erityisesti asianomaisten henkilöiden oikeutta syyttömyysolettamaan kunnioitetaan. |
(6) |
Suojattu sähköinen ympäristö, jossa henkilötietoja säilytetään, sekä prosessuaaliset takeet, joihin viitataan asetuksen (EU, Euratom) N:o 883/2013 9 artiklassa, ja tiukat luottamuksellisuutta ja salassapitovelvollisuutta koskevat säännöt, joihin viitataan saman asetuksen 10 artiklassa, takaavat korkeatasoisen suojan tietojen käsittelystä johtuvia rekisteröityjen oikeuksiin ja vapauksiin kohdistuvia riskejä vastaan. |
(7) |
Tietyissä olosuhteissa on tarpeen sovittaa yhteen Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (3) mukaiset rekisteröityjen oikeudet sekä tutkinnan tarpeet, muiden toimivaltaisten viranomaisten kanssa tapahtuvan tietojenvaihdon luottamuksellisuus ja muiden rekisteröityjen perusoikeuksien ja -vapauksien täysi kunnioittaminen. Tämän vuoksi mainitun asetuksen 25 artikla antaa virastolle mahdollisuuden rajoittaa 14–22 artiklan, 35 ja 36 artiklan sekä 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia. |
(8) |
Virasto on nimennyt asetuksen (EU, Euratom) N:o 883/2013 10 artiklan 4 kohdan nojalla tietosuojasta vastaavan henkilön Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (4) 24 artiklan mukaisesti. |
(9) |
Jotta voidaan varmistaa viraston suorittamien tutkimusten ja muiden operatiivisten toimien luottamuksellisuus ja tehokkuus ja noudattaa samalla asetuksen (EU) 2018/1725 mukaista henkilötietojen suojaa koskevia normeja, on tarpeen hyväksyä sisäisiä sääntöjä, joiden nojalla virasto voi rajoittaa rekisteröityjen oikeuksia kyseisen asetuksen 25 artiklan mukaisesti. |
(10) |
Tämän säädöksen soveltamisalan olisi katettava kaikki tietojenkäsittely, jota virasto suorittaa riippumattoman tutkintatehtävänsä puitteissa. Näitä sääntöjä olisi sovellettava käsittelytoimiin, joita suoritetaan ennen tutkimuksen aloittamista, asetuksen (EU, Euratom) N:o 883/2013 3 artiklassa tarkoitettujen ulkoisten ja 4 artiklassa tarkoitettujen sisäisten tutkimusten aikana sekä tutkimusten tuloksista johtuvien jatkotoimien seurannan aikana. Sääntöjä olisi sovellettava käsittelytoimiin, jotka ovat osa tutkintatehtävään liittyviä toimia, kuten petoksista ilmoittamiseen tarkoitettuun järjestelmään, operatiivisiin analyyseihin ja kansainvälisiin yhteistyötietokantoihin, sekä toimiin, joihin voi sisältyä tutkimuksia koskevaa tietoa, kuten tietosuojavastaavan tekemien tutkimusten käsittelyyn tai viraston muihin valitusmenettelyihin. Siihen olisi sisällyttävä myös apu ja yhteistyö, joita virasto tarjoaa kansallisille viranomaisille ja kansainvälisille järjestöille muutoin kuin hallinnollisten tutkimusten yhteydessä. |
(11) |
Asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan noudattamiseksi viraston olisi tiedotettava kaikille yksityishenkilöille verkkosivustollaan julkaistavilla tietosuojailmoituksilla läpinäkyvästi ja johdonmukaisesti henkilötietojen käsittelyä koskevista toimistaan ja yksityishenkilöiden oikeuksista sekä annettava yksilöllistä tietoa tutkinnan kannalta merkityksellisille henkilöille eli asianomaisille henkilöille, todistajille ja ilmiantajille asianmukaisessa muodossa. |
(12) |
Viraston saattaa olla tarpeen rajoittaa tietojen antamista rekisteröidyille ja rekisteröityjen muiden oikeuksien soveltamista omien tutkimustensa, jäsenvaltioiden viranomaisten tutkimusten ja menettelyjen, tutkintavälineiden ja -menetelmien sekä muiden tutkimuksiin liittyvien henkilöiden oikeuksien suojelemiseksi, sanotun kuitenkaan rajoittamatta asetuksessa (EU) 2018/1725 säädettyjen poikkeusten soveltamista. |
(13) |
Joissakin tapauksissa tiettyjen tietojen antaminen rekisteröidyille tai tutkimuksen käynnissä olon paljastaminen voisi estää kokonaan käsittelytoimen tarkoituksen saavuttamisen ja viraston tai toimivaltaisten kansallisten viranomaisten ja unionin toimielinten, elinten ja laitosten mahdollisuuden toteuttaa tuleva tutkimus tehokkaasti tai vaikeuttaa niitä suuresti. |
(14) |
Lisäksi virasto on velvollinen suojelemaan ilmiantajien, kuten väärinkäytösten paljastajien, ja todistajien henkilöllisyyttä, sillä näiden ei pitäisi kärsiä kielteisistä seurauksista viraston kanssa tekemänsä yhteistyön takia. |
(15) |
Viraston saattaa näistä syistä olla tarpeen voida soveltaa tiettyjä asetuksen (EU) 2018/1725 25 artiklassa tarkoitettuja rajoitusperusteita päätöksen 1999/352/EY, EHTY, Euratom 2 artiklassa säädettyjen viraston tehtävien yhteydessä toteutettaviin tietojenkäsittelytoimiin. |
(16) |
Tehokkaan yhteistyön ylläpitämiseksi virasto saattaa lisäksi joutua soveltamaan rekisteröityjen oikeuksiin kohdistuvia rajoituksia suojatakseen henkilötietoja sisältäviä tietoja, jotka ovat peräisin komission yksiköiltä tai muilta unionin toimielimiltä, elimiltä ja laitoksilta, jäsenvaltioiden ja kolmansien maiden toimivaltaisilta viranomaisilta sekä kansainvälisiltä järjestöiltä. Tämän vuoksi viraston olisi kuultava kyseisiä yksiköitä, toimielimiä, elimiä ja laitoksia, viranomaisia ja kansainvälisiä järjestöjä rajoitusten asiaankuuluvista perusteista sekä tarpeellisuudesta ja oikeasuhteisuudesta. |
(17) |
Tutkintatehtävässään virasto vaihtaa usein tietoja, myös henkilötietoja, muun muassa komission yksiköiden ja niiden toimeenpanovirastojen kanssa, jotka avustavat komission yksiköitä niiden ohjelmien täytäntöönpanossa. Asetuksen (EU) 2018/1725 25 artiklan 5 kohdan mukaisesti – jossa edellytetään sisäisten sääntöjen hyväksymistä asianomaisten unionin toimielinten, elinten ja laitosten ylimmän johdon tasolla – tätä päätöstä sovelletaan sellaisten henkilötietojen käsittelyyn, jotka sisältyvät tietoihin, joita niiden on toimitettava virastolle. Sen vuoksi kaikkien komission yksiköiden ja toimeenpanovirastojen, jotka käsittelevät henkilötietoja joko täyttäessään velvollisuuttaan antaa tietoja virastolle asetuksen (EU, Euratom) N:o 883/2013 8 artiklan 1 kohdan mukaisesti tai silloin, kun virasto käsittelee tällaisia henkilötietoja tehtäviensä hoitamiseksi, olisi sovellettava tässä päätöksessä vahvistettuja sääntöjä, jotta voidaan suojata viraston toteuttamia käsittelytoimia. Tällaisissa olosuhteissa komission asianomaisten yksiköiden ja toimeenpanovirastojen olisi sen vuoksi kuultava virastoa asiankuuluvista rajoitusperusteista sekä niiden tarpeellisuudesta ja oikeasuhteisuudesta, jotta voidaan varmistaa perusteiden yhdenmukainen soveltaminen. |
(18) |
Viraston ja tarvittaessa komission yksiköiden ja toimeenpanovirastojen olisi käsiteltävä kaikki rajoitukset läpinäkyvästi ja rekisteröitävä kaikki tapaukset, joissa rajoituksia sovelletaan, vastaavaan rekisteröintijärjestelmään. |
(19) |
Rekisterinpitäjät voivat asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaan lykätä tietojen ilmoittamista rajoituksen soveltamisen syistä tai pidättäytyä antamasta näitä tietoja rekisteröidylle, jos tämä voi jollakin tavoin vaarantaa rajoituksen tarkoituksen. Erityisesti silloin, kun sovelletaan 16 ja 35 artiklassa tarkoitettuja oikeuksia koskevaa rajoitusta, tällaisen rajoituksen tiedoksianto vaarantaisi rajoituksen tarkoituksen. Jotta voidaan varmistaa, että rekisteröidyn oikeutta saada tietoa asetuksen (EU) 2018/1725 16 ja 38 artiklan mukaisesti rajoitetaan vain niin kauan kuin lykkäyksen syyt ovat olemassa, viraston olisi säännöllisesti tarkasteltava kantaansa uudelleen. |
(20) |
Jos sovelletaan muiden rekisteröityjen oikeuksiin kohdistuvaa rajoitusta, rekisterinpitäjän olisi arvioitava tapauskohtaisesti, vaarantaisiko rajoituksen ilmoittaminen sen tarkoituksen. |
(21) |
Viraston tietosuojasta vastaavan henkilön – ja tarvittaessa komission tai asianomaisen toimeenpanoviraston tietosuojavastaavan – olisi tehtävä myös riippumaton arviointi rajoitusten soveltamisesta tämän päätöksen noudattamisen varmistamiseksi. |
(22) |
Asetuksella (EU) 2018/1725 korvataan asetus (EY) N:o 45/2001 sen voimaantulopäivänä ilman siirtymäaikaa. Asetuksessa (EY) N:o 45/2001 säädettiin mahdollisuudesta soveltaa rajoituksia tiettyihin oikeuksiin. Jotta vältetään viraston vastuualueeseen kuuluvien tutkimusten tarkoituksen vaarantaminen ja kielteiset vaikutukset muiden henkilöiden oikeuksiin ja vapauksiin, tätä päätöstä olisi sovellettava asetuksen (EU) 2018/1725 voimaantulopäivästä. |
(23) |
Euroopan tietosuojavaltuutettua on kuultu 23 päivänä marraskuuta 2018, |
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Kohde ja soveltamisala
1. Tässä päätöksessä vahvistetaan säännöt, joita Euroopan petostentorjuntaviraston, jäljempänä ’virasto’, on noudatettava ilmoittaakseen rekisteröidyille heidän tietojensa käsittelystä asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan mukaisesti.
Lisäksi siinä vahvistetaan edellytykset, joiden mukaisesti virasto voi rajoittaa asetuksen (EU) 2018/1725 4, 14–20 ja 35 artiklan soveltamista mainitun asetuksen 25 artiklan mukaisesti.
2. Tätä päätöstä sovelletaan viraston suorittamaan henkilötietojen käsittelyyn sellaista toimintaa varten tai sellaisen toiminnan yhteydessä, joka toteutetaan päätöksen 1999/352/EY, EHTY, Euratom 2 artiklassa ja asetuksessa (EU, Euratom) N:o 883/2013 tarkoitettujen viraston tehtävien hoitamiseksi.
3. Tätä päätöstä sovelletaan komission yksiköiden ja toimeenpanovirastojen suorittamaan henkilötietojen käsittelyyn siltä osin kuin ne käsittelevät henkilötietoja, jotka sisältyvät tietoihin, joita niiden on toimitettava virastolle asetuksen (EU, Euratom) N:o 883/2013 8 artiklan 1 kohdan mukaisesti, tai henkilötietoja, joita virasto on jo käsitellyt tämän artiklan 2 kohdassa tarkoitettua toimintaa varten tai sen yhteydessä.
2 artikla
Sovellettavat poikkeukset ja rajoitukset
1. Viraston on rekisteröityjen oikeuksiin liittyviä asetuksen (EU) 2018/1725 mukaisia tehtäviään hoitaessaan harkittava, sovelletaanko jotakin mainitussa asetuksessa säädetyistä poikkeuksista.
2. Jollei tämän päätöksen 3–6 artiklasta muuta johdu, virasto voi rajoittaa asetuksen (EU) 2018/1725 14–20 ja 35 artiklan soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat asetuksen (EU) 2018/1725 14–20 ja 35 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisten oikeuksien ja velvollisuuksien toteuttaminen vaarantaisi viraston tutkintatoimien tarkoituksen, mukaan lukien paljastamalla sen tutkintavälineet ja -menetelmät, tai vaikuttaisi haitallisesti muiden oikeuksiin ja vapauksiin.
3. Jollei tämän päätöksen 3–6 artiklasta muuta johdu, virasto voi rajoittaa tämän artiklan 2 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia siltä osin kuin on kyse henkilötiedoista, jotka on saatu komission yksiköiltä tai unionin muilta toimielimiltä, elimiltä ja laitoksilta, jäsenvaltioiden tai kolmansien maiden toimivaltaisilta viranomaisilta tai kansainvälisiltä järjestöiltä, seuraavissa tilanteissa:
a) |
komission yksiköt tai unionin muut toimielimet, elimet ja laitokset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien toteuttamista muiden asetuksen (EU) 2018/1725 25 artiklan mukaisten säädösten tai mainitun asetuksen IX luvun mukaisesti taikka unionin muiden toimielinten, elinten ja laitosten perustamissäädösten mukaisesti; |
b) |
jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien toteuttamista Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (5) 23 artiklassa tarkoitettujen säädösten perusteella tai sellaisilla kansallisilla toimenpiteillä, joilla saatetaan Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (6) 13 artiklan 3 kohta, 15 artiklan 3 kohta tai 16 artiklan 3 kohta osaksi kansallista lainsäädäntöä; |
c) |
näiden oikeuksien ja velvollisuuksien toteuttaminen voisi vaarantaa viraston tehtäviensä suorittamisen yhteydessä tekemän yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa. |
Ennen kuin virasto soveltaa rajoituksia ensimmäisen alakohdan a ja b alakohdassa tarkoitetuissa tilanteissa, sen on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, jollei virastolle ole selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä alakohdissa tarkoitetuista säädöksistä.
Ensimmäisen alakohdan c alakohtaa ei sovelleta, jos rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät unionin kolmansien maiden tai kansainvälisten järjestöjen kanssa tehtävän yhteistyön edut.
4. Käsitellessään henkilötietoja 1 artiklan 3 kohdassa tarkoitetuissa tapauksissa komission yksiköt ja toimeenpanovirastot voivat tarvittaessa soveltaa rajoituksia tämän päätöksen mukaisesti. Niiden on tätä varten kuultava virastoa, jollei asianomaiselle komission yksikölle tai toimeenpanovirastolle ole selvää, että rajoituksen soveltaminen on perusteltua tämän päätöksen nojalla.
3 artikla
Tietojen toimittaminen rekisteröidyille
1. Viraston on julkaistava verkkosivustollaan tietosuojailmoitukset, joilla tiedotetaan kaikille rekisteröidyille sen toimista, joihin liittyy rekisteröityjen henkilötietojen käsittelyä.
2. Viraston on toimitettava tiedot erikseen kaikille rekisteröidyille, joiden se katsoo olevan asetuksen (EU, Euratom) N:o 883/2013 tarkoittamia asianomaisia henkilöitä, todistajia tai ilmiantajia.
3. Jos virasto rajoittaa kokonaan tai osittain tietojen toimittamista 2 kohdassa tarkoitetuille rekisteröidyille, sen on kirjattava rajoituksen syyt sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta.
Kirjatuissa tiedoissa on tällöin ilmoitettava, miten tietojen antaminen vaarantaisi viraston harjoittamien tutkintatoimien tarkoituksen tai 2 artiklan 3 kohdan mukaisesti sovellettujen rajoitusten tarkoituksen tai vaikuttaisi haitallisesti muiden oikeuksiin ja vapauksiin.
Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.
4. Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin rajoituksen perusteena olevat syyt ovat voimassa.
Kun rajoituksen syyt eivät enää ole voimassa, viraston on annettava kyseiset tiedot ja ilmoitettava rajoituksen syyt rekisteröidylle. Viraston on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.
Viraston on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen hyväksymisestä alkaen sekä asianomaisen tutkimuksen päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava vuosittain, onko rajoitus tarpeen pitää voimassa.
4 artikla
Rekisteröidyn oikeus saada pääsy tietoihin
1. Jos rekisteröidyt pyytävät asetuksen (EU) 2018/1725 17 artiklan mukaisesti pääsyä yhden tai useamman tapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen, virasto rajoittaa pyynnön arvioinnin ainoastaan tällaisiin henkilötietoihin.
2. Jos virasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua oikeutta saada pääsy tietoihin, sen on toteutettava seuraavat toimenpiteet:
a) |
sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa; |
b) |
sen on kirjattava rajoituksen syyt sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta; kirjatuissa tiedoissa on tällöin ilmoitettava, miten pääsyn antaminen tietoihin vaarantaisi viraston harjoittamien tutkintatoimien tarkoituksen tai 2 artiklan 3 kohdan mukaisesti sovellettujen rajoitusten tarkoituksen tai vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin ja vapauksiin. |
Edellä a alakohdassa tarkoitettua tietojen antamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.
3. Edellä 2 kohdan b alakohdassa tarkoitetut kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön. Tällöin sovelletaan asetuksen (EU) 2018/1725 25 artiklan 7 kohtaa.
5 artikla
Oikeus tietojen oikaisemiseen ja poistamiseen sekä käsittelyn rajoittamiseen
Jos virasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 18 artiklassa, 19 artiklan 1 kohdassa ja 20 artiklan 1 kohdassa tarkoitetun oikaisua, poistamista tai käsittelyn rajoittamista koskevan oikeuden soveltamista, sen on toteutettava tämän päätöksen 4 artiklan 2 kohdassa säädetyt toimenpiteet ja rekisteröitävä kirjatut tiedot 4 artiklan 3 kohdan mukaisesti.
6 artikla
Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle
Jos virasto rajoittaa asetuksen (EU) 2018/1725 35 artiklan mukaista henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle, sen on kirjattava ja rekisteröitävä rajoituksen syyt tämän päätöksen 3 artiklan 3 kohdan mukaisesti. Tällöin sovelletaan tämän päätöksen 3 artiklan 4 kohtaa.
7 artikla
Tietosuojavastaavan toteuttama tarkastelu
1. Viraston tietosuojasta vastaavalle henkilölle, jäljempänä ’viraston tietosuojavastaava’, on ilman aiheetonta viivytystä ilmoitettava, jos rekisteröidyn oikeuksia rajoitetaan tämän päätöksen mukaisesti. Viraston tietosuojavastaavalle on annettava pääsy kirjattuihin tietoihin ja kaikkiin asiakirjoihin, joista perusteena olevat seikat ja oikeudelliset syyt käyvät ilmi.
Viraston tietosuojavastaava voi pyytää rajoitusten uudelleentarkastelua. Viraston tietosuojavastaavalle on ilmoitettava kirjallisesti pyydetyn uudelleentarkastelun tuloksista.
2. Kun komission yksiköt ja toimeenpanovirastot käsittelevät henkilötietoja 1 artiklan 3 kohdassa tarkoitetuissa tapauksissa, komission tietosuojasta vastaavalle henkilölle, jäljempänä ’komission tietosuojavastaava’, tai tapauksen mukaan asianomaisen toimeenpanoviraston tietosuojasta vastaavalle henkilölle, jäljempänä ’toimeenpanoviraston tietosuojavastaava’, on ilmoitettava ilman aiheetonta viivytystä, jos rekisteröidyn oikeuksia rajoitetaan tämän päätöksen mukaisesti. Komission tietosuojavastaavalle tai tapauksen mukaan toimeenpanoviraston tietosuojavastaavalle on annettava pyynnöstä pääsy kirjattuihin tietoihin ja kaikkiin asiakirjoihin, joista perusteena olevat seikat ja oikeudelliset syyt käyvät ilmi.
Komission tietosuojavastaava tai tapauksen mukaan toimeenpanoviraston tietosuojavastaava voi pyytää rajoitusten uudelleentarkastelua. Komission tietosuojavastaavalle tai toimeenpanoviraston tietosuojavastaavalle on ilmoitettava kirjallisesti pyydetyn uudelleentarkastelun tuloksista.
3. Kaikki koko menettelyn aikana tapahtuva tietojenvaihto tietosuojavastaavan kanssa on kirjattava asianmukaisella tavalla.
8 artikla
Voimaantulo
Tämä päätös tulee voimaan päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.
Sitä sovelletaan 11 päivästä joulukuuta 2018.
Tehty Brysselissä 11 päivänä joulukuuta 2018.
Komission puolesta
Puheenjohtaja
Jean-Claude JUNCKER
(1) Komission päätös 1999/352/EY, EHTY, Euratom, tehty 28 päivänä huhtikuuta 1999, Euroopan petostentorjuntaviraston (OLAF) perustamisesta (EYVL L 136, 31.5.1999, s. 20).
(2) Euroopan parlamentin ja neuvoston asetus (EU, Euratom) N:o 883/2013, annettu 11 päivänä syyskuuta 2013, Euroopan petostentorjuntaviraston (OLAF) tutkimuksista sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1073/1999 ja neuvoston asetuksen (Euratom) N:o 1074/1999 kumoamisesta (EUVL L 248, 18.9.2013, s. 1).
(3) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).
(4) Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 8, 12.1.2001, s. 1).
(5) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
(6) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).