25.5.2012   

FI

Euroopan unionin virallinen lehti

C 147/1

1.

Tämä lausunto kuuluu osana Euroopan tietosuojavaltuutetun neljän samana päivänä annetun rahoitusalaa koskevan lausunnon pakettiin (3).

2.

Komissio hyväksyi 20. lokakuuta 2011 ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi rahoitusvälineiden markkinoista ja Euroopan parlamentin ja neuvoston direktiivin 2004/39/EY (4) kumoamisesta (’direktiiviehdotus’) sekä ehdotuksesta Euroopan parlamentin ja neuvoston asetukseksi rahoitusvälineiden markkinoista sekä OTC-johdannaisista, keskusvastapuolista ja kauppatietorekistereistä annetun asetuksen (Euroopan markkinarakenneasetus) muuttamisesta (’asetusehdotus’) (molempiin asiakirjoihin viitataan tästedes ’ehdotuksina’).

3.

Euroopan tietosuojavaltuutettua kuultiin epävirallisesti ennen ehdotusten hyväksymistä. Euroopan tietosuojavaltuutettu panee merkille, että useita hänen huomautuksiaan on otettu huomioon ehdotuksissa.

4.

Marraskuussa 2007 voimaan tullut rahoitusvälineiden markkinoista annettu direktiivi (rahoitusmarkkinadirektiivi) kuuluu EU:n finanssimarkkinoiden yhdentymisen kulmakiviin. Se koostuu tällä hetkellä puitedirektiivistä (direktiivi 2004/39/EY), täytäntöönpanodirektiivistä (direktiivi 2006/73/EY) ja täytäntöönpanoasetuksesta (asetus (EY) N:o 1287/2006).

5.

Rahoitusmarkkinadirektiivillä luodaan sääntelykehys pankkien ja sijoituspalveluyritysten rahoitusvälineiden markkinoilla tarjoamille sijoituspalveluille (kuten arvopaperivälitys, neuvonta, kaupankäynti, salkunhoito, merkintä ja niin edelleen) sekä markkinoiden ylläpitäjien toiminnalle säännellyillä markkinoilla. Siinä vahvistetaan myös kansallisten toimivaltaisten viranomaisten valtuudet ja velvollisuudet, jotka liittyvät tähän toimintaan. Käytännössä sillä poistettiin jäsenvaltioiden mahdollisuus vaatia, että kaiken rahoitusvälineillä tapahtuvan kaupankäynnin on tapahduttava vain tietyissä pörsseissä, ja mahdollistettiin Euroopan laajuinen kilpailu perinteisten pörssien ja vaihtoehtoisten kauppapaikkojen välillä.

6.

Kun rahoitusmarkkinadirektiivi on nyt ollut voimassa yli 3 vuotta, voidaan todeta, että kilpailu kauppapaikkojen välillä rahoitusvälinekaupassa on lisääntynyt ja sijoittajilla on enemmän valinnanvaraa palveluntarjoajien ja saatavilla olevien rahoitusvälineiden osalta. Esiin on kuitenkin noussut myös joitakin ongelmia. Kilpailun lisääntymisestä saadut edut eivät esimerkiksi ole jakautuneet tasapuolisesti kaikkien markkinaosapuolten välillä, eikä niitä ole aina siirretty edelleen yksityissijoittajille, olipa sitten kyse pien- tai suursijoittajista. Lisäksi monet rahoitusmarkkinadirektiivin säännökset ovat jääneet jälkeen markkinoiden ja teknologian kehityksestä ja finanssikriisi on tuonut esiin heikkoudet tiettyjen rahoitusvälineiden sääntelyssä.

7.

Rahoitusmarkkinadirektiivin tavoitteena on mukauttaa ja päivittää voimassa olevia sääntöjä ottaen huomioon markkinakehitys, finanssikriisi ja teknologian kehitys, sekä parantaa sääntöjen tehokkuutta.

8.

Monet ehdotuksiin sisältyvät tekijät vaikuttavat yksilöiden oikeuksiin, jotka liittyvät heidän henkilötietojensa käsittelyyn. Näitä tekijöitä ovat 1) velvollisuus ylläpitää rekistereitä ja raportoida liiketoimista, 2) toimivaltaisten viranomaisten valtuudet (mukaan lukien valtuudet suorittaa tarkastuksia ja pyytää puhelin- ja tietoliikennettä koskevien tietojen esittämistä, 3) seuraamuksien julkistaminen, 4) rikkomuksista raportoiminen ja erityisesti ilmiantoja koskevat määräykset sekä 5) jäsenvaltioiden toimivaltaisten viranomaisten ja Euroopan tietosuojavaltuutetun välinen yhteistyö.

9.

Useissa ehdotusten johdanto-osan kappaleissa (5) mainitaan perusoikeuskirja, direktiivi 95/46/EY ja asetus (EY) N:o 45/2001. Johonkin ehdotusten keskeiseen artiklaan pitäisi kuitenkin lisätä viittaus sovellettavaan tietosuojalainsäädäntöön.

10.

Hyvä esimerkki tällaisesta keskeisestä säännöksestä on sisäpiirikaupoista ja markkinoiden manipuloinnista annetun Euroopan parlamentin ja neuvoston asetusehdotuksen (6) 22 artikla. Siinä määrätään nimenomaisesti yleisenä sääntönä, että ehdotuksen puitteissa henkilötietojen käsittelyyn sovelletaan direktiiviä 95/46/EY ja asetusta (EY) N:o 45/2001. Euroopan tietosuojavaltuutettu antoi hiljattain kyseisestä ehdotuksesta lausunnon, jossa hän suhtautui erittäin myönteisesti tähän yleiseen säännökseen. Euroopan tietosuojavaltuutettu ehdottaa kuitenkin, että viittausta direktiiviin 95/46/EY selvennetään täsmentämällä, että säännöksiä sovelletaan direktiivin 95/46/EY kansallisten täytäntöönpanosääntöjen mukaisesti.

11.

Euroopan tietosuojavaltuutettu kehottaa sen takia lisäämään tekstiin vastaavan keskeisen säännöksen kuin sisäpiirikaupoista ja markkinoiden manipuloinnista annetun Euroopan parlamentin ja neuvoston asetusehdotuksen (7) 22 artiklassa, niine suosituksineen, joita hän antoi kyseisestä ehdotuksesta (8), korostaen siten voimassa olevan tietosuojalainsäädännön sovellettavuutta ja selventäen viittausta direktiiviin 95/46/EY täsmentämällä, että säännöksiä sovelletaan direktiivin 95/46/EY kansallisten täytäntöönpanosääntöjen mukaisesti.

12.

Johdanto-osan kappaleissa olisi myös käytettävä johdonmukaisesti sanamuotoa, jonka mukaan jäsenvaltiot ”soveltavat” asianomaista tietosuojalainsäädäntöä, sen sijaan, että niiden ”olisi sovellettava” kyseistä lainsäädäntöä, koska lainsäädäntö on voimassa eikä sen soveltamiseen liity harkintavaltaa.

13.

Asetusehdotuksen johdanto-osan 27 kappaleessa ja 21–23 artiklassa esitetään periaate, jonka mukaan toimivaltaisten viranomaisten on EAMV:n koordinoimina seurattava sijoituspalveluyritysten toimintaa varmistaakseen, että ne toimivat rehellisesti, tasapuolisesti ja ammattimaisesti sekä tavalla, joka edistää markkinoiden eheyttä. Se edellyttää, että viranomaisten on voitava mainita sijoituspäätöksen tehnyt henkilö ja sen toteutuksesta vastaavat henkilöt (johdanto-osan 28 kappale).

14.

Seurantatoimien toteuttamiseksi sijoituspalveluyritysten on 22 artiklan mukaan pidettävä toimivaltaisen viranomaisen saatavilla ainakin viiden vuoden ajan asiaankuuluvat tiedot kaikista toteuttamistaan rahoitusvälineisiin liittyvistä liiketoimista. Yrityksien on säilytettävä yksityiskohtaiset tiedot asiakkaan henkilöllisyydestä. Tiedot rahoitusvälineitä koskevista liiketoimista olisi toimitettava toimivaltaisille viranomaisille, jotta ne voivat havaita mahdolliset markkinoiden väärinkäyttötapaukset ja tutkia niitä sekä seurata markkinoiden tasapuolista ja asianmukaista toimintaa ja sijoituspalveluyritysten harjoittamaa toimintaa. EAMV voi myös pyytää oikeutta tutustua näihin tietoihin.

15.

Sijoituspalveluyrityksen on ilmoitettava toimivaltaiselle viranomaiselle tällaisista liiketoimista, asiakkaiden henkilöllisyys mukaan luettuna, mahdollisimman nopeasti (23 artikla). Jos kyseiset asiakkaat ovat luonnollisia henkilöitä, toimet edellyttävät henkilötietojen käsittelyä direktiivin 95/46/EY ja asetuksen (EY) N:o 45/2001 mukaisessa tarkoituksessa sekä mahdollisesti yleisten tietokantojen luomista.

16.

Vaikutustenarvioinnissa ei ilmeisesti tarkastella liiketoimista annettavien ilmoitusten viiden vuoden pituisen säilytysajan arviointia. Kuten direktiivin 95/46/EY 6 artiklan 1 kohdan e alakohdassa todetaan, henkilötietoja säilytetään ainoastaan sen ajan kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot on kerätty. Tämän vaatimuksen täyttämiseksi Euroopan tietosuojavaltuutettu ehdottaa, että viiden vuoden pituinen vähimmäissäilytysaika korvataan enimmäissäilytysajalla. Valitun ajanjakson olisi oltava tarpeellinen ja suhteessa tarkoitukseen, jota varten tiedot on kerätty.

17.

Direktiivin 16 artikla sisältää sijoituspalveluyrityksiin sovellettavia toiminnan järjestämistä koskevia vaatimuksia. Yritysten on erityisesti varmistettava, että ne ylläpitävät rekistereitä kaikista annetuista palveluista ja toteutetuista liiketoimista, jotta asianmukaiset toimivaltaiset viranomaiset voisivat valvoa, että direktiivin määräyksiä noudatetaan. Tällaisten rekisterien avulla voitaisiin tarkastaa, että sijoituspalveluyritys on täyttänyt asiakkaisiin tai potentiaalisiin asiakkaisiin liittyvät velvollisuudet. Vaikka tätä ei asiakirjassa erikseen täsmennetä, on syytä olettaa, että tällaiset tiedot kattaisivat asiakkaiden ja työntekijöiden henkilötiedot.

18.

Komissiolle annetaan 16 artiklan 12 kohdan nojalla valtuudet hyväksyä delegoituja säädöksiä kyseisessä artiklassa säädettyjen toiminnan järjestämistä koskevien käytännön vaatimusten täsmentämiseksi. Euroopan tietosuojavaltuutettu kehottaa tältä osin komissiota kuulemaan häntä, kun delegoidut säädökset hyväksytään. Tällaisilla toimenpiteillä olisi joka tapauksessa pyrittävä minimoimaan sijoitusyritysten rekisteröimien henkilötietojen säilytystä ja käsittelyä. Kuten asetuksen kohdalla jo todettiin, komission olisi myös arvioitava perusteellisesti, millainen säilytysaika olisi otettava käyttöön kyseisiä tietoja varten, jotta säilytysaika olisi asianmukainen ja oikeasuhteinen.

19.

Direktiiviehdotuksen mukaan puhelinkeskustelut tai sähköinen viestintä on tallennettava.

20.

Puhelinkeskustelujen tai sähköisen viestinnän tallenteet sisältävät yleensä viestinnän osapuolten henkilötiedot, vaikka viestintä liittyisikin liiketoimiin tai ammatilliseen toimintaan. Sähköiseen viestintään liittyvät tiedot saattavat kattaa monenlaisia henkilötietoja, kuten tietoliikennetiedot mutta myös sisällön. Lisäksi sanan ”keskustelu” käyttäminen tarkoittaa, että viestinnän sisältö tallennetaan.

21.

Sikäli kuin on kyse henkilötiedoista direktiivin 95/46/EY ja asetuksen (EY) N:o 45/2001 tarkoittamassa merkityksessä, niihin sovelletaan keskeisimpiä tietosuojelua koskevia sääntöjä ja erityisesti käyttötarkoituksen rajoittamisen, tarpeellisuuden ja oikeasuhteisuuden periaatteita sekä velvollisuutta säilyttää tietoja ainoastaan sen ajan kuin se on tarpeen.

22.

Direktiivin 95/46/EY 6 artiklan 1 kohdan b alakohdan mukaan henkilötiedot on kerättävä perusteltua ja nimenomaisesti määriteltyä tarkoitusta varten, eikä niitä saa käsitellä myöhemmin tavalla, joka on yhteensopimaton näiden tarkoitusten kanssa.

23.

Direktiiviehdotuksen 16 artiklan 7 kohdassa ei määritellä yksiselitteisesti puhelinkeskustelujen ja sähköisen viestinnän tallentamisen käyttötarkoitusta. Johdanto-osan kappaleessa 42, direktiiviehdotuksen 16 artiklan 6 kohdassa, Euroopan arvopaperimarkkinavalvojien komitean (CESR) antamissa neuvoissa ja vaikutustenarvioinnissa viitataan kuitenkin useisiin erilaisiin käyttötarkoituksiin.

24.

Direktiiviehdotuksen 16 artiklan 6 kohdassa todetaan, että ”sijoituspalveluyrityksen on huolehdittava siitä, että sen suorittamista palveluista ja liiketoimista pidetään kirjaa riittävällä tavalla, jotta toimivaltainen viranomainen voi valvoa tässä direktiivissä säädettyjen vaatimusten noudattamista ja erityisesti varmistaa, että sijoituspalveluyritys on täyttänyt kaikki velvollisuutensa suhteessa asiakkaisiinsa tai potentiaalisiin asiakkaisiinsa.”

25.

Direktiiviehdotuksen johdanto-osan 42 kappaleessa selitetään, että ”asiakastoimeksiantoihin liittyvien puhelinkeskustelujen tai sähköisen viestinnän tallentaminen on […] perusteltua sijoittajansuojan lujittamiseksi, markkinoiden valvonnan parantamiseksi ja oikeusvarmuuden lisäämiseksi sijoituspalveluyritysten ja niiden asiakkaiden etujen mukaisesti.” Johdanto-osan kappaleessa viitataan myös CERS:n Euroopan komissiolle 29 päivänä heinäkuuta 2010 antamiin teknisiin lausuntoihin tällaisten tallenteiden merkityksestä (9).

26.

CESR:n antamissa neuvoissa korostetaan, että toimivaltaisten viranomaisten mukaan keskustelujen tallentaminen olisi tarpeellista, jotta i) varmistetaan, että sijoituspalveluyrityksen ja sen asiakkaiden välisten, liiketoimien ehtoihin liittyvien kiistojen ratkaisemiseksi on saatavilla näyttöä, ii) tuetaan valvontaa, joka koskee liiketoiminnan sääntöjen noudattamista ja iii) autetaan paljastamaan ja havaitsemaan markkinoiden väärinkäyttöä ja helpotetaan täytäntöönpanoa tällä alalla. Tallentaminen ei olisi ainoa keino, jolla varmistetaan viranomaisten seurantatoimien toteuttaminen, mutta siitä ”voi olla hyötyä” autettaessa toimivaltaista viranomaista tarkastamaan, että esimerkiksi asiakkaita ja potentiaalisia asiakkaita, parasta toteutusta ja asiakkaiden toimeksiantojen käsittelyä koskevia rahoitusmarkkinadirektiivin vaatimuksia noudatetaan.

27.

Vaikutustenarvioinnissa selitetään, että ”toimivaltaiset viranomaiset tarvitsevat tietoja” (eli puhelujen ja sähköisen viestinnän tallenteita) ”voidakseen taata markkinoiden eheyden ja liiketoiminnan harjoittamista koskevien sääntöjen noudattamisen” (10).

28.

Eri käyttötarkoituksia, joihin viitataan johdanto-osan 42 kappaleessa, direktiiviehdotuksen 16 artiklan 6 kohdassa, CESR:n antamissa neuvoissa ja vaikutustenarvioinnissa, ei kuvailla loogisesti ja johdonmukaisesti, vaan ne on sijoitettu ehdotuksen ja oheisasiakirjojen eri kohtiin. Direktiivin 95/46/EY 6 artiklan 1 kohdan mukaan tiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten. Euroopan tietosuojavaltuutettu kehottaa näin ollen lainsäätäjää määrittelemään selvästi ja täsmällisesti puhelinkeskustelujen ja sähköisen viestinnän tallentamisen käyttötarkoituksen direktiiviehdotuksen 16 artiklan 7 kohdassa.

29.

Direktiivin 95/46/EY 6 artiklan 1 kohdan mukaan henkilötietojen on oltava asianmukaisia, olennaisia eikä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään, joten tietojen kerääminen on rajoitettava siihen, mikä on asianmukaista asetetun tavoitteen saavuttamiseksi eikä sen pidä ylittää tavoitteen saavuttamisen edellyttämää tasoa.

30.

Direktiivin 16 artiklan 7 kohdassa viitataan puhelinkeskusteluihin tai sähköisiin viesteihin, joihin sisältyy ainakin suoritettuja liiketoimia käytäessä kauppaa omaan lukuun sekä asiakkaiden toimeksiantoja tarjottaessa palveluja toimeksiantojen vastaanottamiseksi ja välittämiseksi ja toimeksiantojen toteuttamiseksi asiakkaiden lukuun.

31.

Ensinnäkään 16 artiklan 7 kohdassa ei lukuun ottamatta nimenomaisesti mainittuja liiketoimia määritellä, millaisia puhelinkeskusteluja ja sähköisiä viestejä tallenteilla tarkoitetaan. Euroopan tietosuojavaltuutettu on ymmärtänyt niiden koskevan viestintää, joka liittyy sijoituspalveluyrityksen suorittamiin palveluihin ja liiketoimiin. Tämä olisi kuitenkin täsmennettävä selvästi. Lisäksi sanan ”ainakin” käyttö mahdollistaa monenlaisten puhelinkeskustelujen tai sähköisten viestien tallentamisen. Säännöksessä olisi päinvastoin määriteltävä selvästi, mikä viestintä tallennetaan, ja rajoittaa se sellaisiin viesteihin, jotka on tallentamisen tarkoituksen kannalta välttämätöntä tallentaa.

32.

Toiseksi säännöksessä ei täsmennetä, mihin luokkiin kuuluvat tiedot säilytetään. Kuten on jo mainittu, sähköisiin viesteihin liittyvät tiedot saattavat sisältää paljon henkilökohtaisia tietoja, kuten puhelun soittajan ja vastaanottajan henkilöllisyyden, puhelun ajankohdan ja keston, käytetyn verkon, kannettavien laitteiden tapauksessa käyttäjän maantieteellisen sijainnin ja niin edelleen. Näin mahdollistetaan myös pääsy viestien sisältöön. Lisäksi viittaus ”keskusteluihin” antaa ymmärtää, että viestinnän sisältö tallennetaan. Suhteellisuusperiaatteen mukaisesti puhelinkeskustelujen ja sähköisten viestien tallenteiden sisältämä henkilötietojen tallentaminen on rajoitettava siihen, mikä on tarpeen sen tavoitteen saavuttamiseksi, jota varten tiedot on kerätty.

33.

Jos esimerkiksi viestien tallentamisen tarkoituksena on kerätä näyttöä liiketoimista, vaikuttaa siltä, että ei ole muuta vaihtoehtoa kuin tallentaa viestien sisältö, jotta voitaisiin saada näyttöä liiketoimista. Viestien sisällön tallentaminen markkinoiden väärinkäytön havaitsemiseksi tai direktiiviehdotuksen määräyksien noudattamisen valvomiseksi olisi kuitenkin kohtuutonta ja suhteetonta. Tässä suhteessa direktiiviehdotuksen 71 artiklan 2 kohdan d alakohta, jonka nojalla toimivaltainen viranomainen voi pyytää sijoituspalveluyrityksen hallussa olevia tallenteita puheluista ja tietoliikenteestä, jos voidaan perustellusti epäillä, että ehdotettua direktiiviä on rikottu, sulkee viestin sisällön nimenomaisesti soveltamisalansa ulkopuolelle. Viestinnän sisältö jätetään samalla tavalla sisäpiirikaupoista ja markkinoiden manipuloinnista annetun Euroopan parlamentin ja neuvoston asetusehdotuksen (11) 17 artiklan 2 kohdan f alakohdan soveltamisalan ulkopuolelle; siinä toimivaltaisille viranomaisille annetaan samat tutkintavaltuudet sisäpiirikauppojen tai markkinoiden manipuloinnin osoittamiseksi toteen.

34.

Euroopan tietosuojavaltuutettu suosittelee tästä syystä painokkaasti, että direktiiviehdotuksen 16 artiklan 7 kohdassa täsmennetään, millaisia puhelinkeskusteluja ja sähköisiä viestejä sekä millaisia keskusteluihin ja viesteihin liittyviä tietoja tallennetaan. Tietojen on oltava tarpeellisia ja asiaan liittyviä eivätkä ne saa olla liian laajoja samaan tarkoitukseen nähden.

35.

Direktiivin 95/46/EY 6 artiklan 1 kohdan e alakohdan mukaisesti henkilötiedot on säilytettävä muodossa, josta tietojen kohteet ovat tunnistettavissa ainoastaan sen ajan kuin on tarpeen sen tarkoituksen toteuttamista varten, joita varten tiedot on kerätty (12). 16 artiklan 7 kohdassa mainittu säilytysaika on kolme vuotta. Vaikutustenarvioinnissa todetaan, että kaikkien alalla toteutettavien toimien olisi oltava direktiivissä 95/46/EY esitettyjen EU:n tietosuojasääntöjen mukaisia. Vaikutustenarvioinnissa korostetaan kuitenkin, että säilytysaikaa määriteltäessä olisi otettava huomioon EU:n voimassa oleva lainsäädäntö, joka koskee yleisesti saatavilla olevien sähköisten viestintäpalvelujen tai yleisten viestintäverkkojen yhteydessä tuotettavien tai käsiteltävien tietojen säilyttämistä vakavan rikollisuuden torjumiseksi. Vaikutustenarvioinnin mukaan kolmen vuoden enimmäisajan on havaittu olevan tarpeellisuuden ja suhteellisuuden periaatteiden mukainen, mitä lainmukainen puuttuminen perusoikeuteen edellyttää (13).

36.

Euroopan tietosuojavaltuutettu pitää toimenpiteen keston tarpeellisuutta ja suhteellisuutta koskevaa analyysia epäasianmukaisena. Vakavan rikollisuuden torjuntaa ei mainita yhdessäkään eri käyttötarkoituksista (jossakin määrin epäselvistä), jotka liittyvät puhelinkeskustelujen ja sähköisten viestien tallentamiseen ja joihin viitataan 16 artiklan 6 kohdassa sekä johdanto-osan 42 kappaleessa, vaikutustenarvioinnissa tai CESR:n antamissa neuvoissa.

37.

Arviointi on toteutettava tallentamisen tarkoitusten mukaisesti direktiiviehdotuksen puitteissa. Jos tarkoituksena on esimerkiksi varmistaa, että sijoitusyrityksen ja sen asiakkaiden välisten, liiketoimien ehtoihin liittyvien kiistojen ratkaisemiseksi on saatavilla näyttöä (14), vaikutustenarvioinnissa olisi arvioitava, miten kauan tietoja on säilytettävä ottaen huomioon säännöt niiden oikeuksien vanhentumisesta, joiden perusteella tällaisia kiistoja voi syntyä.

38.

Euroopan tietosuojavaltuutettu kehottaa näin ollen lainsäätäjää arvioimaan perusteellisesti, millainen säilytysaika on tarpeen puhelinkeskustelujen ja sähköisen viestinnän tallentamiseksi erityisesti ehdotuksen soveltamisalalla.

39.

Direktiivin 71 artiklassa luetellaan toimivaltaisten viranomaisten valvonta- ja tutkintavaltuudet.

40.

Direktiivin 71 artiklan 4 kohdassa viitataan direktiiviin 95/46/EY: siinä todetaan, että valvonta- ja tutkintatoimien yhteydessä kerättyjen henkilötietojen käsittelyssä on joka tapauksessa noudatettava yksityisyyttä ja tietosuojaa koskevia perusoikeuksia. Euroopan tietosuojavaltuutettu suhtautuu myönteisesti kyseiseen säännökseen, jossa otetaan nimenomaisesti huomioon viranomaisten valvojan roolin ja heidän tehtäviinsä kuuluvan henkilötietojen käsittelyn välinen yhteys.

41.

Direktiivin 71 artiklan 2 kohdan c alakohdassa määrätään toimivaltaisten viranomaisten valtuuksista paikalla suoritettaviin tarkastuksiin. Toisin kuin ehdotuksessa Euroopan parlamentin ja neuvoston asetukseksi sisäpiirikaupoista ja markkinoiden manipuloinnista (15) kyseisessä säännöksessä ei viitata toimivaltaisten viranomaisten valtuuksiin ”päästä yksityistiloihin asiakirjojen takavarikoimiseksi”. Tämä saattaisi antaa ymmärtää, että tutkintavaltuudet rajoittuvat sijoituspalveluyrityksien tiloihin eivätkä kata yksityistiloja. Selvyyden nimissä ehdotamme näin ollen rajoituksen yksiselitteistä selventämistä asiakirjassa. Mikäli komissio aikoo sen sijaan sallia yksityistiloissa suoritettava tarkastukset, Euroopan tietosuojavaltuutettu viittaa asiassa esittämäänsä lausuntoon edellä mainitusta ehdotuksesta (16); hän katsoo siinä, että yleinen vaatimus, joka koskee oikeusviranomaiselta saatavaa ennakkolupaa kaikissa tapauksissa riippumatta siitä, mitä kansallinen lainsäädäntö edellyttää, olisi perusteltu ottaen huomioon kyseiseen valtuuteen liittyvän mahdollisen yksityisyyteen puuttumisen.

42.

Direktiiviehdotuksen 71 artiklan 2 kohdan d alakohdassa valtuutetaan toimivaltaiset viranomaiset pyytämään ”sijoituspalveluyrityksen hallussa olevia puhelu- ja tietoliikennetietoja”. Siinä selvennetään, että pyynnön esittäminen edellyttää, että ”voidaan perustellusti epäillä”, että ”tallenteilla voi olla merkitystä todistettaessa, että sijoituspalveluyritys on rikkonut tämän direktiivin mukaisia velvoitteitaan.” Tallenteet eivät kuitenkaan saa missään tapauksessa koskea ”sen viestinnän sisältöä, johon ne liittyvät”. Euroopan tietosuojavaltuutettu arvostaa sitä, että tekstissä määritellään toimivaltaisen viranomaisen valtuudet vaatimalla, että tallenteisiin tutustuminen edellyttää toimivaltaiselta viranomaiselta perusteltuja epäilyjä rikkomuksesta, ja epäämällä toimivaltaisten viranomaisten oikeuden tutustua viestien sisältöön.

43.

Direktiiviehdotuksessa ei kuitenkaan määritellä käsitettä ”puhelu- ja tietoliikennetiedot”. Direktiivissä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) viitataan ainoastaan ”liikennetietoihin”, mutta ei ”puhelu- ja tietoliikennetietoihin”. Sanomattakin on selvää, että näiden käsitteiden täsmällinen merkitys määrittää, miten tutkintavaltuudet voivat vaikuttaa yksityisyyden ja henkilötietojen suojaan. Euroopan tietosuojavaltuutettu suosittaa, että käytetään jo direktiivissä 2002/58/EY käytettyä terminologiaa ”liikennetietojen” määrittelemiseen.

44.

Sähköisen viestinnän käyttöön liittyvät tiedot voivat sisältää paljon henkilökohtaisia tietoja, kuten puhelun soittajan ja vastaanottajan henkilöllisyyden, puhelun ajankohdan ja keston, käytetyn verkon, kannettavien laitteiden tapauksessa käyttäjän maantieteellisen sijainnin ja niin edelleen. Tietyt internetin ja sähköpostin käyttöä koskevat tietoliikennetiedot (esimerkiksi luettelo verkkosivuista, joilla on käyty) voivat lisäksi paljastaa merkittäviä yksityiskohtia viestinnän sisällöstä. Tietoliikennetietojen käsittely on myös ristiriidassa kirjesalaisuuden kanssa. Tämän osalta direktiivissä 2002/58/EY on vahvistettu periaate, jonka mukaan liikennetiedot on poistettava tai tehtävä nimettömiksi, kun niitä ei enää tarvita viestinnän välittämiseen (17). Direktiivin 15 artiklan 1 kohdan mukaan jäsenvaltiot voivat sisällyttää kansalliseen lainsäädäntöön rajoituksia tiettyjen oikeudellisten tarkoitusten vuoksi, mutta niiden on oltava välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan tavoitteiden saavuttamiseksi (18).

45.

Euroopan tietotuojavaltuutettu myöntää, että komission luottoluokituslaitoksista annetussa asetuksessa tavoittelemat päämäärät ovat oikeutettuja. Tietosuojavaltuutettu ymmärtää tarpeen toteuttaa aloitteita, joilla lujitetaan finanssimarkkinoiden valvontaa markkinoiden vakauden säilyttämiseksi sekä sijoittajien ja koko talouden suojelun parantamiseksi. Koska liikennetietoihin suoraan kohdistuvat tutkintavaltuudet voivat loukata yksityisyyden suojaa, niiden on perustuttava tarpeellisuuden ja oikeasuhteisuuden periaatteisiin. Tutkintavaltuuksien on toisin sanoen sovelluttava niille asetettujen tavoitteiden saavuttamiseen, eikä niillä saa ylittää sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi (19). Tästä näkökulmasta tarkasteltuna on tärkeää, että tutkintavaltuudet muotoillaan selkeästi määrittämällä niiden henkilöllinen ja aineellinen soveltamisala sekä se, missä tilanteissa ja millä edellytyksillä niitä voidaan käyttää. Lisäksi olisi säädettävä riittävistä suojatoimista väärinkäytön riskiä vastaan.

46.

Puhelu- ja tietoliikennetiedot sisältävät ilman muuta direktiivissä 95/46/EY, direktiivissä 2002/58/EY ja asetuksessa (EY) N:o 45/2001 tarkoitettuja henkilötietoja. Tämän vuoksi on varmistettava, että direktiiveissä ja asetuksessa esitetyt henkilötietojen oikeudenmukaisen ja laillisen käsittelyn edellytykset täyttyvät.

47.

Euroopan tietosuojavaltuutettu panee merkille, että 71 artiklan 3 kohdan mukaan luvan hankkiminen oikeusviranomaiselta on pakollista silloin, kun kansallisessa lainsäädännössä sellaista vaaditaan. Euroopan tietosuojavaltuutettu katsoo kuitenkin, että yleinen vaatimus, joka koskee luvan hankkimista oikeusviranomaiselta ennakolta kaikissa tapauksissa riippumatta siitä, mitä kansallinen lainsäädäntö edellyttää, olisi perusteltu ottaen huomioon kyseiseen valtuuteen mahdollisesti liittyvän yksityisyyteen puuttumisen. Tämä olisi eduksi myös lainsäädännön kaikissa EU:n jäsenvaltioissa yhdenmukaisen soveltamisen kannalta. On myös otettava huomioon, että jäsenvaltioiden eri laeissa säädetään kodin loukkaamattomuutta koskevista erityistakeista suhteettomien ja epätarkasti säänneltyjen tarkastusten, etsintöjen ja takavarikkojen varalta, erityisesti kun niitä toteuttavat luonteeltaan hallinnolliset instituutiot.

48.

Lisäksi Euroopan tietosuojavaltuutettu suosittaa sellaisen vaatimuksen käyttöönottoa, jonka mukaan EAMV:n on pyydettävä puhelu- tai tietoliikennetietoja virallisella päätöksellä, jossa esitetään pyynnön oikeusperusta ja tarkoitus sekä se, mitä tietoja pyydetään, määräaika, johon mennessä tiedot on toimitettava, sekä vastaanottajan oikeus saattaa päätös tuomioistuimen tarkasteltavaksi.

49.

Ilmaisu ”hallussa olevat puhelu- ja tietoliikennetiedot” ei vaikuta riittävän selvältä. Puhelu- ja tietoliikennetietoja ei ole määritelty, vaikka ehdotuksen rahoitusmarkkinadirektiiviksi 71 artiklan 2 kohdan 2 alakohdassa täsmennetään, että niillä tarkoitetaan ainoastaan ”sijoituspalveluyrityksien hallussa” olevia tietoja. Sijoituspalveluyrityksien hallussa olevat tiedot ovat todennäköisesti 16 artiklan 6 ja 7 kohdassa mainittuja tietoja, joita tarkastellaan edellä. Tämä tarkoittaisi, että teksti sulkee ulkopuolelle tiedot, jotka ovat kyseisen sijoituspalveluyrityksen kanssa hankintasopimuksen tehneiden sähköisten viestintäpalvelujen tarjoajien hallussa. Euroopan tietosuojavaltuutettu suosittelee selvyyden nimissä, että on selvennettävä, mihin sijoituspalveluyrityksen hallussa oleviin puhelu- ja tietoliikennetietoihin viitataan.

50.

Direktiiviehdotuksen 74 artiklassa velvoitetaan jäsenvaltiot varmistamaan, että toimivaltaiset viranomaiset julkistavat viipymättä kaikki asetusehdotuksen tai direktiiviehdotuksen täytäntöön panemiseksi hyväksyttyjen kansallisten säännösten rikkomisesta määrättävät seuraamukset ja toimenpiteet, mukaan lukien rikkomisen tyyppi ja luonne sekä rikkomisesta vastuussa olevien henkilöiden nimet, paitsi siinä tapauksessa, että julkistaminen uhkaa vakavasti rahoitusmarkkinoiden vakautta. Tätä velvoitetta lievennetään ainoastaan tapauksessa, jossa julkistaminen tuottaisi tapauksessa mukana oleville tahoille ”suhteetonta vahinkoa”, jolloin toimivaltaisten viranomaisten on julkistettava seuraamukset nimiä paljastamatta.

51.

Seuraamusten julkistaminen lisäisi varoittavaa vaikutusta, koska se estäisi todellisia ja mahdollisia rikoksentekijöitä syyllistymästä rikkomuksiin välttääkseen maineensa vahingoittumista. Vastaavasti lisättäisiin avoimuutta, koska markkinatoimijat saisivat tietoonsa, että tietty henkilö on syyllistynyt rikkomukseen (20). Tätä velvoitetta lievennetään ainoastaan tapauksessa, jossa julkistaminen tuottaisi tapauksessa mukana oleville tahoille suhteetonta vahinkoa, jolloin toimivaltaisten viranomaisten on julkistettava seuraamukset nimiä paljastamatta. Lisäksi, vaikka vaikutustenarvioinnissa myönnetään, että seuraamusjärjestelmän käyttöön ottaminen (joko vähimmäistasoisesti tai täysin yhteensovitettuna) vaikuttaisi perusoikeuksiin, kuten EU:n perusoikeuskirjan 7 artiklaan (yksityis- ja perhe-elämän kunnioittaminen) ja 8 artiklaan (henkilötietojen suoja) sekä mahdollisesti myös 47 artiklaan (oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen) ja 48 artiklaan (syyttömyysolettama ja oikeus puolustukseen) (21), ei näytä siltä, että vaikutustenarvioinnissa tarkasteltaisiin seuraamuksien julkistamisen mahdollisia vaikutuksia kyseisiin oikeuksiin.

52.

Toimivaltaisten viranomaisten seuraamusvaltuuksiin kuuluu jo 75 artiklan 2 kohdan a alakohdan nojalla valtuus julkistaa rikkomukseen syyllistyneen henkilön nimi ja rikkomuksen luonne (22). On epäselvää, miten 74 artiklan mukainen julkistamisvelvoite on sovitettavissa yhteen 75 artiklan 2 kohdan a alakohdan mukaisen valtuuden kanssa, joka koskee julkisen lausunnon antamista. Julkisen lausunnon antamista koskevan valtuuden sisällyttäminen 75 artiklan 2 kohdan a alakohtaan osoittaa, että julkistaminen on jo itsessään todellinen seuraamus, jota olisi arvioitava tapauskohtaisesti ottaen huomioon 76 artiklan mukainen oikeasuhteisuusperuste (23).

53.

Tietosuojavaltuutettu ei ole vakuuttunut siitä, että seuraamusten pakollinen julkistaminen nykyisessä muodossaan täyttää tietosuojalainsäädännön vaatimukset sellaisina kuin unionin tuomioistuin on ne täsmentänyt asiassa Schecke antamassaan tuomiossa (24). Hän katsoo, että toimenpiteen tarkoitusta, tarpeellisuutta ja oikeasuhteisuutta ei ole osoitettu riittävästi ja että joka tapauksessa on tarjottava asianmukaiset takeet yksilön oikeuksiin kohdistuvia riskejä vastaan.

54.

Asiassa Schecke antamassaan tuomiossa unionin tuomioistuin kumosi neuvoston asetuksen ja komission asetuksen säännökset, jotka koskivat maatalousrahaston tuensaajia koskevien tietojen, myös henkilötietojen ja saatujen määrien, julkistamista. Tuomioistuin katsoi, että julkistaminen oli Euroopan perusoikeuskirjan 8 artiklan 2 kohdassa tarkoitettua henkilötietojen käsittelyä ja näin ollen puuttumista perusoikeuskirjan 7 ja 8 artiklassa tunnustettuihin oikeuksiin.

55.

Katsottuaan jo aiemmin, että ”henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa”, tuomioistuin analysoi julkistamisen tarkoitusta ja sen oikeasuhteisuutta. Se totesi, että mikään ei osoita, että neuvosto ja komissio olisivat kyseistä lainsäädäntöä antaessaan pohtineet, millaiset tuensaajia koskevien tietojen julkistamisen menetelmät olisivat tällaisen julkistamisen tavoitteen mukaisia ja joilla samalla loukattaisiin vähemmän näiden tuensaajien oikeutta.

56.

Direktiiviehdotuksen 74 artiklaan vaikuttaa liittyvän samoja ongelmia kuin mitä unionin tuomioistuin korosti asiassa Schecke antamassaan tuomiossa. On pidettävä mielessä, että arvioitaessa henkilötietojen julkistamista edellyttävän säännöksen tietosuojavaatimusten mukaisuutta on ratkaisevan tärkeää, että määritetään selkeästi ja tarkasti tarkoitus, johon julkistamisella pyritään. Vain selkeän ja hyvin määritellyn tarkoituksen avulla voidaan arvioida, onko henkilötietojen julkistaminen todella tarpeen ja oikeasuhteista (25).

57.

Luettuaan ehdotuksen ja sen oheisasiakirjat (eli vaikutustenarviointikertomuksen) Euroopan tietosuojavaltuutettu katsoo, että toimenpiteen tarkoitusta ja näin ollen myöskään sen tarpeellisuutta ei ole osoitettu selvästi. Ehdotuksen johdanto-osan kappaleissa asiasta vaietaan, ja vaikutustenarviointikertomuksessa mainitaan ainoastaan, että ”seuraamusten julkistaminen on tärkeä tekijä varmistettaessa, että seuraamukset vaikuttavat ennaltaehkäisevästi vastaanottajiin ja varmistettaessa, että seuraamukset vaikuttavat ennaltaehkäisevästi suureen yleisöön” (26). Tällainen yleinen toteamus ei tunnu riittävältä ehdotetun toimenpiteen tarpeellisuuden osoittamiseksi. Jos yleisenä tarkoituksena on lisätä ennaltaehkäisevää vaikutusta, näyttää siltä, että komission olisi pitänyt selittää varsinkin, miksi suuremmat taloudelliset rangaistusseuraamukset (tai muut seuraamukset kuin nimien julkistaminen) eivät olisi olleet riittäviä.

58.

Vaikutustenarviointikertomuksessa ei ilmeisesti myöskään oteta riittävästi huomioon lievempiä menetelmiä, kuten se, että julkistamista rajoitettaisiin koskemaan luottolaitoksia tai että julkistamisesta päätettäisiin tapauskohtaisesti. Erityisesti jälkimmäinen vaihtoehto vaikuttaisi alustavasti oikeasuhteisemmalta ratkaisulta, varsinkin kun otetaan huomioon, että – kuten 75 artiklan 2 kohdan a alakohdassa tunnustetaan – julkistaminen on seuraamus, jota on näin ollen arvioitava tapauskohtaisesti ottaen huomioon kaikki asiaan liittyvät seikat, kuten rikkomisen vakavuus, henkilökohtaisen vastuun laajuus, rikoksen uusiminen, kolmansien osapuolien menetykset ja niin edelleen (27).

59.

Euroopan tietosuojavaltuutettu katsoo, että mahdollisuus arvioida tapausta asiaan liittyvien seikkojen valossa lisää ratkaisun oikeasuhteisuutta ja on näin ollen parempi vaihtoehto verrattuna pakolliseen julkistamiseen kaikissa tapauksissa. Harkintavalta olisi esimerkiksi antanut toimivaltaiselle viranomaiselle mahdollisuuden välttää julkistamista tapauksissa, joissa on tapahtunut vähemmän vakavia rikkomuksia, joissa rikkomus ei ole aiheuttanut merkittävää haittaa, joissa osapuoli on osoittanut yhteistyöhalua ja niin edelleen.

60.

Asetusehdotuksen 35 artiklan 6 kohdan nojalla EAMV julkaisee verkkosivustollaan tiedotteen kaikista sellaisista päätöksistä, joilla rajoitetaan henkilön mahdollisuutta tehdä sopimuksia hyödykejohdannaisista tai uusitaan tällainen rajoitus. Tiedotteessa on näin ollen oltava yksityiskohtaiset tiedot henkilöistä, joiden sopimismahdollisuuksia EAMV on rajoittanut, sovellettavista rahoitusvälineistä, asianomaisista määrällisistä toimenpiteistä, kuten niiden sopimusten enimmäismäärästä, jotka kyseinen henkilö tai henkilöryhmä voi tehdä, sekä syistä, joiden vuoksi kyseiset enimmäismäärät on asetettu. Toimenpide tulee voimaan, kun tiedote julkaistaan (35 artiklan 7 kohta). Direktiivin määräyksiin liittyvien perustelujen pohjalta Euroopan tietosuojavaltuutettu kehottaa lainsäätäjää pohtimaan, milloin julkistaminen on tarpeellista ja milloin olisi mahdollista käyttää vähemmän rajoittavia keinoja tapauksissa, joihin liittyy luonnollisia henkilöitä.

61.

Direktiiviehdotuksessa olisi pitänyt suunnitella riittävät takeet oikeudenmukaisen tasapainon takaamiseksi kaikkien erilaisten etujen välillä. Ensinnäkin takeita tarvitaan siitä, että syytetyllä henkilöllä on oikeus riitauttaa päätös tuomioistuimessa sekä oikeus syyttömyysolettamaan. Direktiiviehdotuksen 74 artiklan tekstissä olisi pitänyt käyttää tämän osalta erityistä ilmaisua, jossa toimivaltaiset viranomaiset velvoitettaisiin toteuttamaan tarvittavat toimenpiteet sekä tapauksissa, joissa päätökseen haetaan muutosta, että silloin, kun tuomioistuin kumoaa sen (28).

62.

Toiseksi direktiiviehdotuksessa olisi varmistettava, että tietojen kohteena olevan henkilön oikeuksia kunnioitetaan ennakoivasti. Euroopan tietosuojavaltuutettu arvostaa sitä, että ehdotuksen lopullisessa versiossa esitetään mahdollisuus luopua julkistamisesta, jos se aiheuttaisi suhteetonta vahinkoa. Ennakoivan lähestymistavan mukaisesti tietojen kohteena olevalle henkilölle olisi kuitenkin ilmoitettava etukäteen siitä, että seuraamuspäätös julkistetaan ja että hänellä on direktiivin 95/46/EY 14 artiklan mukaan oikeus vastustaa tätä tärkeiden ja perusteltujen syiden vuoksi (29).

63.

Kolmanneksi, vaikka direktiiviehdotuksessa ei täsmennetä, missä tiedot julkistettaisiin, käytännössä on ymmärrettävissä, että useimmissa jäsenvaltioissa ne julkistettaisiin internetissä. Julkistamiseen internetissä liittyy erityisiä kysymyksiä ja riskejä, jotka koskevat erityisesti tarvetta varmistaa, että tieto on saatavilla verkossa vain niin pitkään kuin se on tarpeellista ja että tietoja ei voida manipuloida tai muuttaa. Ulkoisten hakukoneiden käyttöön voi myös liittyä se riski, että tieto irrotetaan asiayhteydestään ja sitä ohjataan verkossa ja sen ulkopuolella tavoilla, jotka eivät ole helposti valvottavissa (30).

64.

Edellä esitetyt seikat huomioon ottaen jäsenvaltiot on velvoitettava varmistamaan, että asianomaisten henkilöiden henkilötiedot säilytetään verkossa vain kohtuullisen ajan, minkä jälkeen ne järjestelmällisesti poistetaan (31). Lisäksi jäsenvaltioita on vaadittava varmistamaan, että noudatetaan asianmukaisia turvatoimenpiteitä ja -takeita erityisesti ulkoisten hakukoneiden käyttöön liittyviltä riskeiltä suojautumiseksi (32).

65.

Euroopan tietosuojavaltuutettu katsoo, että säännös seuraamusten pakollisesta julkistamisesta ei nykymuodossaan ole yksityisyyttä ja tietosuojaa koskevan perusoikeuden mukainen. Lainsäätäjän on arvioitava huolellisesti ehdotetun järjestelmän tarpeellisuutta ja tarkistettava, ylittääkö julkistamisvelvoite sen, mikä on tarpeen julkista etua koskevan tavoitteen saavuttamiseksi, ja olisiko käytettävissä vähemmän rajoittavia toimenpiteitä saman tavoitteen saavuttamiseksi. Tämän oikeasuhteisuuden arvioinnin perusteella julkistamisvelvoitetta olisi joka tapauksessa tuettava riittävillä takeilla, jotta varmistettaisiin syyttömyysolettama, asianomaisen henkilön oikeus esittää vastalause, tietoturva ja tietojen paikkansapitävyys sekä tietojen poistaminen riittävän ajan kuluttua.

66.

Direktiiviehdotuksen 77 artiklassa tarkastellaan rikkomuksista ilmoittamisen mekanismeja, jotka tunnetaan myös ilmiantojärjestelminä. Vaikka nämä voivat olla tehokkaita keinoja varmistaa sääntöjen noudattaminen, järjestelmät herättävät merkittäviä huolia tietosuojan kannalta (33). Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että asetusehdotukseen sisältyy erityisiä takeita, joita on kehitettävä edelleen kansallisella tasolla, mitä tulee epäillystä rikkomuksesta ilmoittavan henkilön suojeluun ja yleisemmin henkilötietojen suojaan. Vaikutustenarvioinnissa mainitaan ilmiantojärjestelmät yhtenä vaihtoehtona, jolla seuraamukset voidaan ottaa mukaan perusoikeuksia koskevaan arviointiin (34), ja muistutetaan tarpeesta panna täytäntöön lainsäädäntöä tietosuojan periaatteiden ja tietosuojaviranomaisten osoittamien kriteerien noudattamiseksi. Tietosuojavaltuutettu on tietoinen siitä, että direktiivissä esitetään vain pääelementit järjestelmästä, jonka jäsenvaltiot toteuttavat. Tietosuojavaltuutettu haluaa kuitenkin kiinnittää huomiota myös seuraaviin seikkoihin.

67.

Euroopan tietosuojavaltuutettu korostaa, kuten muissakin lausunnoissaan (35), tarvetta sisällyttää tekstiin erityinen viittaus siihen, että ilmiantajien ja tietojen ilmoittajien henkilöllisyys on salattava. Euroopan tietosuojavaltuutettu korostaa, että ilmiantajien asema on arkaluontoinen. Henkilöille, jotka toimittavat tietoja, on varmistettava, että ilmiantajan henkilöllisyys pysyy salassa erityisesti siihen henkilöön nähden, jonka väitetään syyllistyneen rikkomukseen (36). Ilmiantajan henkilöllisyys on pidettävä salassa tutkimusten aikana, mikäli tämä ei riko oikeudenkäyntiä koskevia kansallisia sääntöjä. Ilmiantajan henkilöllisyyden paljastamista voidaan kuitenkin vaatia lisätutkimuksissa tai selvityksen seurauksena aloitetussa oikeudellisessa menettelyssä (esimerkiksi, jos käy ilmi, että ilmiantaja on antanut henkilöstä vääriä tietoja vahingoittamistarkoituksessa) (37). Edellä esitetyn valossa Euroopan tietosuojavaltuutettu suosittaa, että asetusehdotuksen 77 artiklan 1 kohdan b alakohtaan lisätään seuraava säännös: ”näiden henkilöiden henkilöllisyys on pidettävä salassa menettelyn kaikissa vaiheissa, mikäli seuraavia menettely- tai oikeudenkäyntivaiheita koskevassa kansallisessa lainsäädännössä ei vaadita sen paljastamista.”

68.

Lisäksi Euroopan tietosuojavaltuutettu korostaa, että on tärkeää laatia asianmukaisia sääntöjä, joilla suojellaan syytettyjen henkilöiden oikeutta tutustua asiakirjoihin; nämä oikeudet ovat tiiviisti sidoksissa puolustautumisoikeuteen (38). Ilmoituksen vastaanottamisen menettelyillä ja niihin liittyvillä jatkotoimilla, joihin viitataan 77 artiklan 1 kohdan a alakohdassa, olisi varmistettava, että syytettyjen puolustautumisoikeuksia, kuten oikeutta saada tietoa, oikeutta tutustua tutkinta-asiakirjoihin ja syyttömyysolettamaa, kunnioitetaan asianmukaisesti ja rajoitetaan ainoastaan siinä määrin kuin se on tarpeellista (39). Euroopan tietosuojavaltuutettu ehdottaa tältä osin, että direktiiviehdotukseen lisätään komission ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi sisäpiirikaupoista ja markkinoiden manipuloinnista 29 artiklan d alakohdan määräys, jonka mukaan jäsenvaltioiden on otettava käyttöön ”asianmukaiset menettelyt, joilla taataan syytetyn henkilön puolustautumisoikeus ja oikeus tulla kuulluksi ennen häntä koskevan päätöksen tekemistä sekä oikeus käyttää oikeussuojakeinoja tuomioistuimessa häntä koskevan päätöksen tai toimenpiteen osalta”.

69.

Lopuksi Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että 77 artiklan 1 kohdan c alakohdassa velvoitetaan jäsenvaltiot varmistamaan rikkomustapauksista ilmoittavan henkilön ja syytetyn henkilön henkilötietojen suojeleminen direktiivissä 95/46/EY säädettyjen periaatteiden mukaisesti. Tietosuojavaltuutettu ehdottaa kuitenkin sanojen ”säädettyjen periaatteiden” poistamista, jotta viittaus direktiivin olisi kattavampi ja sitovampi. Todettakoon tietosuojalainsäädännön noudattamisen tarpeesta näiden järjestelmien käytännön toteutuksessa, että Euroopan tietosuojavaltuutettu haluaa korostaa erityisesti 29 artiklan mukaisen tietosuojatyöryhmän vuonna 2006 ilmiannoista antamassa lausunnossa esitettyjä suosituksia. Kansallisten järjestelmien toteutuksessa on muun muassa otettava huomioon oikeasuhteisuuden periaate rajoittamalla mahdollisuuksien mukaan henkilöryhmää, joka voi ilmiantojärjestelmän välityksellä ilmoittaa epäilyistään, henkilöryhmää, josta voidaan tehdä ilmoitus, sekä rikkomuksia, joista henkilöitä voidaan syyttää. On suosittava mieluummin omalla nimellä esitettyjä ja luottamuksellisia ilmoituksia kuin nimettömiä ilmoituksia. Ilmiantajan henkilöllisyys on paljastettava, jos käy ilmi, että ilmiantaja on tehnyt pahansuovassa tarkoituksessa väärän ilmiannon. Tietojen säilyttämisessä on noudatettava tiukkoja määräaikoja.

70.

Ehdotuksen 83 artiklassa säädetään jäsenvaltioiden toimivaltaisten viranomaisten velvoitteesta tehdä yhteistyötä keskenään ja EAMV:n kanssa. Erityisesti 83 artiklan 5 kohdassa velvoitetaan toimivaltaiset viranomaiset ilmoittamaan EAMV:lle ja muille viranomaisille yksityiskohtaiset tiedot a) kaikista pyynnöistä, jotka on esitetty kokonaisriskiä koskevia tietoja toimittaneelle henkilölle ja jotka koskevat toimien toteuttamista kokonaisriskin pienentämiseksi (72 artiklan 1 kohdan f alakohdan mukaisesti) ja b) rajoituksista, jotka kohdistuvat henkilöiden mahdollisuuteen tehdä sopimuksia hyödykejohdannaisista (72 artiklan 1 kohdan g alakohdan mukaisesti). Ilmoituksen on sisällettävä sen henkilön nimi, jolle toimenpiteet on osoitettu, sekä tiedot rajoituksien laajuudesta, asianmukaisten rahoitusvälineiden tyypistä ja muita tietoja.

71.

Lisäksi määrätään, että jäsenvaltion toimivaltainen viranomainen, joka vastaanottaa edellä mainitun kaltaisen ilmoituksen, ”voi toteuttaa toimenpiteitä 72 artiklan 1 kohdan f tai g alakohdan mukaisesti, jos se katsoo toimenpiteen tarpeelliseksi kyseisen toisen toimivaltaisen viranomaisen tavoitteen saavuttamiseksi”. Euroopan tietosuojavaltuutettu haluaa korostaa, että tällaisten toimivaltaisen viranomaisen tekemien päätöksien saatetaan katsoa täyttävän ”automatisoidun yksittäispäätöksen” kriteerit direktiivin 95/46/EY 15 artiklan mukaisesti. Tulkintaa tukee se seikka, että 72 artiklan mukaan vastaanottavan toimivaltaisen viranomaisen on varmistettava, onko kyseinen toimenpide tarpeellinen toisen toimivaltaisen viranomaisen tavoitteen saavuttamiseksi. Ilmoituksen vastaanottavaa jäsenvaltion toimivaltaista viranomaista ei näin ollen vaadita toteuttamaan riippumatonta analyysia tapaukseen liittyvistä seikoista – myös kohteen henkilötietojen perusteella – jotta kyseinen viranomainen voisi määrätä kohteen oikeuksia rajoittavasta toimenpiteestä. Direktiivin 95/46/EY 15 artiklan mukaan jäsenvaltioiden on turvattava kenelle tahansa henkilölle oikeus olla joutumatta sellaisen päätöksen kohteeksi, josta aiheutuisi hänelle oikeudellisia vaikutuksia tai joka vaikuttaisi häneen merkittävästi ja joka olisi tehty ainoastaan automaattisen tietojenkäsittelyn perusteella ja joka olisi tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa, kuten muun muassa hänen ammatillisen suorituskykynsä, luottokelpoisuutensa, luotettavuutensa ja käyttäytymisensä arviointiin. Tarkasteltavana olevassa asiayhteydessä direktiivin 95/46/EY 15 artiklan 2 kohta on erityisen merkittävä: sen mukaan henkilö voi joutua edellä tarkoitetun kaltaisen päätöksen kohteeksi, jos tällainen päätös ”perustuu lakiin” ja rekisteröidyn oikeutetun edun takaavat toimenpiteet on toteutettu. Kansalliset säännökset, joilla direktiivi pannaan täytäntöön, muodostaisivat oikeusperustan direktiivin 95/46/EY 15 artiklan 2 kohdan mukaiselle poikkeukselle, joskaan erityisiä toimenpiteitä ei ole toteutettu rekisteröityjen oikeutetun edun takaamiseksi.

72.

Näyttää siis siltä, että direktiiviehdotuksessa säädetään mahdollisuudesta tehdä automatisoituja yksittäispäätöksiä, jotka vaikuttavat sellaisessa jäsenvaltiossa, joka on eri jäsenvaltio kuin missä seuraamusta alun perin sovellettiin, sijaitsevan viranomaisen mahdollisuuteen tehdä sopimuksia. Ottaen huomioon, miten tällainen päätös saattaa vaikuttaa henkilöön, joka harjoittaa ammattinsa vuoksi investointitoimintaa, Euroopan tietosuojavaltuutettu painottaa, että asiakirjassa olisi erityisesti viitattava oikeuteen vastustaa automatisoituja yksittäispäätöksiä direktiivin 95/46/EY 15 artiklan nojalla. Siinä olisi otettava yksiselitteisesti käyttöön suojatoimenpiteitä sen takaamiseksi, että rekisteröity olisi tietoinen vastaanottavan toimivaltaisen viranomaisen käynnistämään prosessiin, jonka tavoitteena on tehdä kyseinen päätös, liittyvistä siirroista ja sen olemassaolosta, jotta rekisteröity voisi tosiasiallisesti käyttää vastustamisoikeuttaan.

73.

Asetuksen 34 artiklan 2 kohdassa vahvistetaan, että saatuaan ilmoituksen direktiivin 83 artiklan 5 kohdan mukaisista toimenpiteistä EAMV kirjaa toimenpiteen ja syyt sen toteuttamiseen. EAMV ylläpitää ja julkaisee verkkosivustollaan direktiivin 72 artiklan 1 kohdan f ja g alakohdan mukaisia toimenpiteitä koskevaa tietokantaa, jossa on tiivistelmät voimassa olevista toimenpiteistä, ”mukaan lukien tiedot kyseisestä henkilöstä tai henkilöryhmästä”.

74.

Tällaiseen julkaisutoimintaan liittyy myös henkilötietojen käsittelyä. Tässä tapauksessa voidaan esittää samoja huomautuksia kuin edellä luvussa 2.5, jossa tarkasteltiin seuraamuksien julkistamista. Näyttää siltä, että vaikutustenarvioinnissa ei ole arvioitu, miten tällainen julkaiseminen internetissä vaikuttaa perusoikeuksiin. Euroopan tietosuojavaltuutettu kannustaa näin ollen lainsäätäjää pohtimaan toimenpiteen tosiasiallista tarpeellisuutta ja oikeasuhteisuutta.

75.

Euroopan tietosuojavaltuutettu panee merkille viittauksen direktiiviin 95/46/EY, erityisesti sen 4 artiklaan, sekä asetukseen (EY) N:o 45/2001 direktiiviehdotuksen 92 artiklassa.

76.

Ottaen kuitenkin huomioon tällaisiin siirtoihin liittyvät riskit Euroopan tietosuojavaltuutettu suosittelee erityisten takeiden käyttöön ottamista. Niitä ovat esimerkiksi tapauskohtainen arviointi, siirron tarpeellisuuden varmistaminen, se, että toimivaltaisen viranomaisen on varmistettava, että tietoja ei siirretä kolmannelle maalle tai toiselle kolmannelle maalle, jollei sille ole annettu nimenomaista kirjallista lupaa, ja se, että henkilötietoja voidaan siirtää ainoastaan sellaiselle kolmannelle maalle, joka takaa henkilötietojen riittävän suojan.

77.

Sisäpiirikauppoja ja markkinoiden manipulointia koskevan Euroopan parlamentin ja neuvoston asetuksen 23 artikla (40) on hyvä esimerkki asianmukaisia suojatoimenpiteitä sisältävästä määräyksestä.

78.

Euroopan tietosuojavaltuutettu esittää seuraavat suositukset: