(1)

Sisämarkkinat ovat yksi unionin konkreettisimmista saavutuksista. Ne mahdollistavat ihmisten, tavaroiden, palvelujen ja pääoman vapaan liikkumisen ja tarjoavat näin uusia mahdollisuuksia kansalaisille ja yrityksille. Tämä asetus on yksi 28 päivänä lokakuuta 2015 annetulla komission tiedonannolla ”Sisämarkkinoiden päivitys: enemmän mahdollisuuksia kansalaisille ja yrityksille” perustetun sisämarkkinastrategian keskeisistä osatekijöistä. Kyseisen strategian tavoitteena on vapauttaa sisämarkkinoiden täysi potentiaali helpottamalla kansalaisten ja yritysten mahdollisuuksia liikkua unionin sisällä ja käydä kauppaa, sijoittautua ja laajentaa liiketoimintaa rajojen yli.

(2)

Toukokuun 6 päivänä 2015 annetussa komission tiedonannossa ”Digitaalisten sisämarkkinoiden strategia Euroopalle” todettiin, että internet ja digitaaliteknologia mullistavat ihmisten elämän ja muuttavat kansalaisten ja yritysten tiedonsaantimahdollisuuksia ja tiedonhankintatapoja sekä tapaa ostaa tavaroita ja palveluita, osallistua markkinoille ja työskennellä, millä luodaan mahdollisuuksia innovointiin, talouskasvuun ja työpaikkojen luomiseen. Kyseisessä tiedonannossa sekä useissa Euroopan parlamentin päätöslauselmissa on todettu, että kansalaisten ja yritysten tarpeisiin omassa maassa ja rajojen yli voitaisiin vastata paremmin laajentamalla ja integroimalla olemassa olevia Euroopan tason portaaleja, verkkosivustoja, verkostoja, palveluja ja järjestelmiä ja yhdistämällä ne kansallisten ratkaisujen kanssa eurooppalaiseksi keskitetyksi yhteyspisteeksi, yhteiseksi digitaaliseksi palveluväyläksi, jäljempänä ”palveluväylä”. Huhtikuun 19 päivänä 2016 annetussa komission tiedonannossa ”EU:n sähköisen hallinnon toimintaohjelma 2016–2020 – Hallinnon digitalisaatiokehityksen vauhdittaminen” palveluväylä esitettiin yhtenä vuonna 2017 toteutettavista toimista. Tammikuun 24 päivänä 2017 annetussa komission kertomuksessa ”Kansalaisten oikeuksista vahvempia demokraattisen muutoksen unionissa – Katsaus Euroopan unionin kansalaisuuteen vuonna 2017” palveluväylää pidettiin prioriteettina unionin kansalaisten oikeuksien kannalta.

(3)

Euroopan parlamentti ja neuvosto ovat toistuvasti pyytäneet kattavampaa ja käyttäjäystävällisempää tieto- ja neuvontapakettia, joka auttaisi kansalaisia ja yrityksiä navigoimaan sisämarkkinoilla ja vahvistaisi ja järkeistäisi sisämarkkinavälineitä niin, että vastattaisiin paremmin kansalaisten ja yritysten tarpeisiin niiden rajatylittävässä toiminnassa.

(4)

Tällä asetuksella vastataan näihin pyyntöihin tarjoamalla kansalaisille ja yrityksille helppo pääsy tietoihin, menettelyihin sekä neuvonta- ja ongelmanratkaisupalveluihin, joita nämä tarvitsevat käyttääkseen oikeuksiaan sisämarkkinoilla. Palveluväylä voisi osaltaan lisätä ihmisten elämäntapahtumia ja yrityksiä koskevien sääntöjen ja määräysten avoimuutta esimerkiksi matkailun, eläkkeelle jäämisen, koulutuksen, työllisyyden, terveydenhuollon, kuluttajien oikeuksien ja perheoikeuksien aloilla. Lisäksi se voisi auttaa parantamaan kuluttajien luottamusta, paikkaamaan kuluttajansuojaa ja sisämarkkinasääntöjä koskevan tiedon puutetta ja vähentämään yrityksille säännösten noudattamisesta aiheutuvia kustannuksia. Tällä asetuksella perustetaan helppokäyttöinen vuorovaikutteinen palveluväylä, joka ohjaa käyttäjiä näiden tarpeiden mukaan soveltuvimpiin palveluihin. Tässä yhteydessä komissiolla ja jäsenvaltioilla olisi oltava keskeinen rooli näiden tavoitteiden saavuttamisessa.

(5)

Palveluväylän olisi helpotettava kansalaisten ja yritysten vuorovaikutusta toimivaltaisten viranomaisten kanssa tarjoamalla pääsy sähköisiin ratkaisuihin niin, että helpotetaan kansalaisten ja yritysten päivittäistä toimintaa ja vähennetään minimiin esteet sisämarkkinoilla. Tällainen yhteinen digitaalinen palveluväylä, joka tarjoaa sähköisen pääsyn paikkansapitävään ja ajantasaiseen tietoon, menettelyihin sekä neuvonta- ja ongelmanratkaisupalveluihin, voisi auttaa tekemään erilaisia olemassa olevia sähköisiä palveluja tunnetuksi käyttäjien keskuudessa ja auttaa heitä säästämään aikaa ja kustannuksia.

(6)

Tällä asetuksella on kolme tavoitetta eli vähentää sellaisiin kansalaisiin ja yrityksiin kohdistuvaa hallinnollista rasitetta, jotka käyttävät tai haluavat käyttää sisämarkkinaoikeuksiaan, esimerkiksi kansalaisten vapaata liikkuvuutta, noudattaen täysimääräisesti kansallisia sääntöjä ja menettelyjä, poistaa syrjintä sekä varmistaa sisämarkkinoiden toiminta tietojen, menettelyjen sekä neuvonta- ja ongelmanratkaisupalvelujen tarjoamisen osalta. Koska tämä asetus kattaa kansalaisten vapaan liikkuvuuden, jota ei voida pitää pelkästään liitännäisenä, sen olisi perustuttava Euroopan unionin toiminnasta tehdyn sopimuksen 21 artiklan 2 kohtaan ja 114 artiklan 1 kohtaan.

(7)

Jotta unionin kansalaiset ja yritykset voisivat käyttää oikeuttaan vapaaseen liikkuvuuteen sisämarkkinoilla, unionin olisi hyväksyttävä erityisiä syrjimättömiä toimenpiteitä, jotka antavat kansalaisille ja yrityksille mahdollisuuden saada helposti riittävän kattavia ja luotettavia tietoja unionin oikeuden mukaisista oikeuksistaan ja tietoja sovellettavista kansallisista säännöistä ja menettelyistä, joita niiden on noudatettava muuttaessaan muuhun kuin kotijäsenvaltioonsa tai asuessaan tai opiskellessaan taikka sijoittautuessaan tai harjoittaessaan liiketoimintaa muussa kuin kotijäsenvaltiossaan. Tietojen olisi katsottava olevan riittävän kattavat, jos ne sisältävät kaikki tiedot, joita käyttäjät tarvitsevat ymmärtääkseen, mitkä ovat heidän oikeutensa ja velvollisuutensa, ja jos niissä yksilöidään säännöt, joita käyttäjiin sovelletaan sen toiminnan osalta, jota he haluavat harjoittaa rajatylittävinä käyttäjinä. Tiedot olisi ilmoitettava selkeästi, tiiviisti ja ymmärrettävästi, ja niitä olisi voitava käyttää ja ne olisi mukautettava kohteena olevaan käyttäjäryhmään. Menettelyjä koskevien tietojen olisi katettava kaikki ennakoitavissa olevat menettelyvaiheet, jotka ovat merkityksellisiä käyttäjälle. On tärkeää, että monimutkaisia sääntely-ympäristöjä kohtaavat kansalaiset ja yritykset, kuten sähköisessä kaupankäynnissä ja yhteistyötaloudessa toimivat kansalaiset ja yritykset, voivat löytää helposti sovellettavat säännöt ja tietoa niiden soveltamisesta omaan toimintaansa. Tietojen helppo saatavuus ja helppokäyttöisyys tarkoittaa sen mahdollistamista, että käyttäjät löytävät tiedot vaivattomasti, tunnistavat helposti, miltä osin tiedoilla on merkitystä heidän tilanteessaan, ja ymmärtävät merkitykselliset tiedot helposti. Kansallisella tasolla tarjottavien tietojen olisi koskettava unionin lainsäädännön kansallisten täytäntöönpanosääntöjen lisäksi myös muita kansallisia sääntöjä, joita sovelletaan sekä muihin kuin rajatylittäviin että rajatylittäviin käyttäjiin.

(8)

Tietojen antamista koskevia tämän asetuksen sääntöjä ei olisi sovellettava kansallisiin oikeusjärjestelmiin, sillä sen alan tiedot, joilla on merkitystä rajatylittäville käyttäjille, sisältyvät jo Euroopan oikeusportaaliin. Joissakin tämän asetuksen soveltamisalaan kuuluvissa tilanteissa tuomioistuinten olisi katsottava olevan toimivaltaisia viranomaisia, esimerkiksi hallinnoidessaan kaupparekistereitä. Lisäksi syrjimättömyyden periaatetta olisi sovellettava myös sähköisiin menettelyihin, jotka antavat pääsyn tuomioistuinmenettelyihin.

(9)

On selvää, että muiden jäsenvaltioiden kansalaiset ja yritykset voivat olla epäedullisemmassa asemassa sen vuoksi, että kansalliset säännöt ja hallinnolliset järjestelmät ovat niille vieraita, käytettyjen eri kielten vuoksi ja sen vuoksi, että ne ovat maantieteellisesti etäällä muiden kuin oman jäsenvaltionsa toimivaltaisista viranomaisista. Tehokkain tapa vähentää sisämarkkinoiden esteitä on antaa rajatylittäville ja muille kuin rajatylittäville käyttäjille mahdollisuus saada tietoja verkon kautta kielellä, jota he ymmärtävät, jotta he voivat hoitaa kansallisten sääntöjen mukaiset menettelyt täysin sähköisesti ja jotta heille tarjotaan apua, jos säännöt ja menettelyt eivät ole riittävän selkeitä tai jos heidän oikeuksiensa käyttämiseen liittyy esteitä.

(10)

Useilla unionin säädöksillä on pyritty tarjoamaan ratkaisuja perustamalla alakohtaisia keskitettyjä palvelupisteitä. Näitä ovat esimerkiksi Euroopan parlamentin ja neuvoston direktiivillä 2006/123/EY (3) perustetut keskitetyt asiointipisteet, jotka tarjoavat palvelujen tarjoamisen kannalta merkityksellisiä tietoja ja neuvontapalveluja sekä mahdollisuuden hoitaa niihin liittyviä menettelyjä sähköisesti, Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 764/2008 (4) perustetut tuoteyhteyspisteet ja Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 305/2011 (5) perustetut rakennustuoteyhteyspisteet, jotka tarjoavat pääsyn tuotekohtaisiin teknisiin määräyksiin, sekä Euroopan parlamentin ja neuvoston direktiivillä 2005/36/EY (6) toiseen valtioon muuttavien ammatinharjoittajien avuksi perustetut ammattipätevyyden tunnustamiseen liittyvät kansalliset tukikeskukset. Lisäksi on perustettu Euroopan kuluttajakeskusten kaltaisia verkostoja tiedottamaan unionin kuluttajien oikeuksista ja avustamaan sellaisten valitusten ratkaisemisessa, jotka liittyvät toisessa verkostoon kuuluvassa jäsenvaltiossa matkalla tehtyihin ostoihin tai verkko-ostoihin. Komission suosituksessa 2013/461/EU (7) tarkoitetulla SOLVIT-palvelulla puolestaan pyritään tarjoamaan nopeita, tehokkaita ja epävirallisia ratkaisuja kansalaisille ja yrityksille, jos viranomaiset epäävät heidän oikeutensa sisämarkkinoilla. On myös perustettu useita tietoportaaleja, kuten sisämarkkinoihin liittyvä Sinun Eurooppasi ja oikeusasioihin liittyvä Euroopan oikeusportaali, jotka tarjoavat käyttäjille tietoa unionin ja jäsenvaltioiden säännöistä.

(11)

Näiden unionin säädösten alakohtaisen luonteen vuoksi tämänhetkiset sähköisesti tarjottavat tiedot ja neuvonta- ja ongelmanratkaisupalvelut samoin kuin kansalaisille ja yrityksille tarkoitetut sähköiset menettelyt ovat erittäin hajanaisia. Tietojen ja menettelyjen sähköisessä saatavuudessa on eroja, palvelujen laatu on puutteellinen eikä näistä tiedoista ja neuvonta- ja ongelmanratkaisupalveluista olla tietoisia. Rajatylittävillä käyttäjillä on myös ongelmia löytää ja käyttää näitä palveluja.

(12)

Tällä asetuksella on tarkoitus perustaa yhteinen digitaalinen palveluväylä keskitetyksi yhteyspisteeksi, jonka kautta kansalaiset ja yritykset voivat saada tietoja säännöistä ja vaatimuksista, joita niiden on noudatettava unionin oikeuden tai kansallisen lainsäädännön nojalla. Palveluväylällä olisi yksinkertaistettava kansalaisten ja yritysten yhteydenpitoa unionin tai kansallisella tasolla käyttöön otettuihin neuvonta- ja ongelmanratkaisupalveluihin ja tehtävä yhteydenpidosta tehokkaampaa. Palveluväylän olisi myös helpotettava sähköisten menettelyjen esteetöntä hoitamista. Tämä asetus ei saisi vaikuttaa millään tavalla näillä aloilla unionin oikeuden tai kansallisen lainsäädännön nojalla voimassa oleviin oikeuksiin ja velvollisuuksiin. Tämän asetuksen liitteessä II lueteltujen menettelyjen ja direktiiveissä 2005/36/EY ja 2006/123/EY sekä Euroopan parlamentin ja neuvoston direktiiveissä 2014/24/EU (8) ja 2014/25/EU (9) säädettyjen menettelyjen osalta asetuksella olisi tuettava yhden kerran periaatteen soveltamista, ja siinä olisi noudatettava täysimääräisesti henkilötietojen suojaa koskevaa perusoikeutta, kun kyseessä on todistusmateriaalin vaihtaminen eri jäsenvaltioiden toimivaltaisten viranomaisten välillä.

(13)

Palveluväylän ja sen sisällön olisi oltava käyttäjäkeskeisiä ja helppokäyttöisiä. Palveluväylällä olisi pyrittävä välttämään päällekkäisyyksiä ja tarjoamaan linkkejä olemassa oleviin palveluihin. Sen olisi annettava kansalaisille ja yrityksille mahdollisuus toimia vuorovaikutuksessa kansallisen ja unionin tason julkisten elinten kanssa ja antaa niille palautetta sekä yhteyspisteen kautta tarjotuista palveluista että sisämarkkinoiden toimivuudesta kokemustensa mukaan. Palautevälineen pitäisi antaa käyttäjälle mahdollisuus tuoda esiin havaittuja ongelmia, puutteita ja tarpeita siten, että käyttäjä voi pysyä nimettömänä, ja kannustaa näin palvelujen laadun jatkuvaan parantamiseen.

(14)

Palveluväylän onnistuminen riippuu komission ja jäsenvaltioiden yhteisestä ponnistuksesta. Palveluväylään olisi sisällytettävä yhteinen käyttöliittymä, joka integroidaan olemassa olevaan Sinun Eurooppasi -portaaliin ja jota komissio hallinnoi. Yhteisestä käyttöliittymästä olisi oltava linkkejä tietoihin, menettelyihin ja neuvonta- tai ongelmanratkaisupalveluihin, jotka ovat saatavilla portaaleissa, joita jäsenvaltioiden toimivaltaiset viranomaiset ja komissio hallinnoivat. Palveluväylän käytön helpottamiseksi yhteisen käyttöliittymän olisi oltava saatavilla kaikilla unionin toimielinten virallisilla kielillä, jäljempänä ”unionin viralliset kielet”. Olemassa olevassa Sinun Eurooppasi -portaalissa ja sen aloitussivulla, jotka mukautetaan palveluväylän tarpeisiin, tiedot olisi jatkossakin tarjottava monikielisesti. Palveluväylän toimintaa olisi tuettava komission ja jäsenvaltioiden tiiviissä yhteistyössä kehittämillä teknisillä välineillä.

(15)

Direktiivin 2006/123/EY nojalla laaditussa elektronisia keskitettyjä asiointipisteitä koskevassa peruskirjassa, jonka neuvosto vahvisti vuonna 2013, jäsenvaltiot sitoutuivat vapaaehtoisesti käyttäjäkeskeiseen lähestymistapaan toimitettaessa tietoja keskitettyjen asiointipisteiden kautta, jotta voidaan kattaa yritysten kannalta erityisen tärkeä alat, kuten alv:hen, tuloveroihin, sosiaaliturvaan ja työlainsäädäntöön liittyvät vaatimukset. Peruskirjan perusteella ja Sinun Eurooppasi -portaalista saatujen kokemusten perusteella tiedoissa olisi myös kuvattava neuvonta- ja ongelmanratkaisupalveluja. Kansalaisten ja yritysten olisi voitava käyttää näitä palveluja kohdatessaan ongelmia tietojen ymmärtämisessä, tietojen soveltamisessa omaan tilanteeseensa tai menettelyn hoitamisessa.

(16)

Tässä asetuksessa on tarkoitus luetella tietojen alat, jotka ovat merkityksellisiä kansalaisille ja yrityksille näiden käyttäessä oikeuksiaan ja noudattaessa velvollisuuksiaan sisämarkkinoilla. Näillä aloilla olisi tarjottava riittävän kattavia tietoja kansallisella tasolla, alue- ja paikallistaso mukaan luettuna, ja unionin tasolla siten, että selitetään sovellettavat säännöt ja velvollisuudet sekä menettelyt, jotka kansalaisten ja yritysten on hoidettava näiden sääntöjen ja velvollisuuksien noudattamiseksi. Tarjottujen palvelujen laadun varmistamiseksi palveluväylässä tarjottujen tietojen olisi oltava selkeitä, paikkansapitäviä ja ajantasaisia, monimutkaista terminologiaa olisi käytettävä mahdollisimman vähän ja lyhenteiden käyttö olisi rajoitettava vain yksinkertaisiin ja helposti ymmärrettäviin nimityksiin, jotka eivät edellytä etukäteistietoa asiasta tai lainsäädännöstä. Nämä tiedot olisi tarjottava siten, että käyttäjät voivat helposti ymmärtää omaan tilanteeseensa kyseisellä alalla sovellettavat perussäännöt ja vaatimukset. Käyttäjille olisi myös ilmoitettava, jos joissakin jäsenvaltioissa ei ole kansallisia sääntöjä liitteessä I luetelluilla tietojen aloilla, erityisesti jos toisissa jäsenvaltioissa kyseisillä aloilla sovelletaan kansallisia sääntöjä. Tällainen tieto kansallisten sääntöjen puuttumisesta voitaisiin sisällyttää Sinun Eurooppasi -portaaliin.

(17)

Tietoja, jotka komissio on jo kerännyt jäsenvaltioilta voimassa olevan unionin oikeuden tai vapaaehtoisten järjestelyjen nojalla – esimerkiksi Euroopan parlamentin ja neuvoston asetuksella (EU) 2016/589 (10) perustettua Eures-portaalia, neuvoston päätöksellä 2001/470/EY (11) perustettua Euroopan oikeusportaalia tai direktiivillä 2005/36/EY perustettua säänneltyjen ammattien tietokantaa varten kerätyt tiedot – olisi mahdollisuuksien mukaan käytettävä osana niitä tietoja, jotka annetaan kansalaisten ja yritysten saataville unionin ja kansallisella tasolla tämän asetuksen mukaisesti. Jäsenvaltioita ei saisi vaatia tarjoamaan kansallisilla verkkosivustoillaan tietoja, jotka ovat jo saatavilla asiaankuuluvissa komission hallinnoimissa tietokannoissa. Jos jäsenvaltioiden on jo toimitettava tietoja sähköisesti muiden unionin säädösten nojalla, esimerkiksi Euroopan parlamentin ja neuvoston direktiivin 2014/67/EU (12) nojalla, olisi pidettävä riittävänä, että jäsenvaltiot lisäävät linkit olemassa oleviin sähköisesti saatavilla oleviin tietoihin. Jos tietyt politiikanalat on jo täysin yhdenmukaistettu unionin lainsäädännöllä, esimerkiksi kuluttajien oikeudet, unionin tasolla tarjottujen tietojen pitäisi yleisesti ottaen riittää, jotta käyttäjät ymmärtävät heidän asiaan liittyvät oikeutensa ja velvollisuutensa. Tällaisissa tapauksissa jäsenvaltiot olisi velvoitettava ainoastaan antamaan lisätietoja omista kansallisista hallinnollisista menettelyistään ja neuvontapalveluista taikka mahdollisista muista kansallisista hallinnollisista säännöistä, jos tiedot ovat merkityksellisiä käyttäjille. Esimerkiksi kuluttajan oikeuksia koskevien tietojen ei pitäisi vaikuttaa sopimusoikeuteen, vaan niiden olisi pikemminkin informoitava käyttäjiä heidän unionin oikeuden ja kansallisen lainsäädännön mukaisista oikeuksistaan liiketoimien yhteydessä.

(18)

Tällä asetuksella olisi vahvistettava sähköisten menettelyjen sisämarkkinaulottuvuutta ja edistettävä näin sisämarkkinoiden digitalisointia soveltamalla yleistä syrjimättömyyden periaatetta muun muassa suhteessa siihen, miten kansalaiset tai yritykset pääsevät hyödyntämään unionin oikeuden tai kansallisen lainsäädännön perusteella kansallisella tasolla jo käyttöön otettuja sähköisiä menettelyjä ja niitä menettelyjä, jotka on tarkoitus tarjota kokonaan sähköisesti tämän asetuksen mukaisesti. Jos käyttäjällä yksinomaan yhden jäsenvaltion alueelle rajoittuvassa tilanteessa on mahdollisuus hoitaa menettely sähköisesti kyseisessä jäsenvaltiossa tämän asetuksen soveltamisalaan kuuluvalla alalla, rajatylittävällä käyttäjällä pitäisi myös olla mahdollisuus hoitaa menettely sähköisesti käyttäen joko samaa teknistä ratkaisua tai vaihtoehtoista, teknisesti erillistä mutta samaan tulokseen johtavaa ratkaisua ilman mitään syrjiviä esteitä. Tällaisia esteitä saattavat aiheuttaa kansallisesti suunnitellut ratkaisut, esimerkiksi kansallista puhelinnumeroa, puhelinnumeron etuliitettä tai postinumeroa edellyttävien lomakekenttien käyttö, maksujärjestelmät, jotka eivät hyväksy rajatylittäviä maksuja, selitysten puuttuminen rajatylittävien käyttäjien ymmärtämällä kielellä ja se, että ei ole mahdollista toimittaa sähköistä todistusmateriaalia toisessa jäsenvaltiossa sijaitsevilta viranomaisilta, sekä se, että ei hyväksytä toisessa jäsenvaltiossa myönnettyä sähköistä tunnistautumisvälinettä. Jäsenvaltioiden olisi tarjottava ratkaisuja näihin esteisiin.

(19)

Hoitaessaan sähköisiä menettelyjä rajatylittävästi käyttäjien olisi voitava saada kaikki asiaankuuluvat selitykset unionin virallisella kielellä, jota mahdollisimman monet rajatylittävät käyttäjät ymmärtävät. Tämä ei merkitse sitä, että jäsenvaltiot velvoitetaan kääntämään menettelyyn liittyvät hallinnolliset lomakkeensa tai menettelyn tuloksen kyseiselle kielelle. Jäsenvaltioita kannustetaan kuitenkin käyttämään sellaisia teknisiä ratkaisuja, joita käyttämällä käyttäjät pystyisivät mahdollisimman useissa tapauksissa hoitamaan menettelyn kyseisellä kielellä noudattaen samalla jäsenvaltioiden kansallisia sääntöjä kielten käytöstä.

(20)

Se, mitkä sähköiset kansalliset menettelyt ovat merkityksellisiä rajatylittäville käyttäjille, jotta nämä voivat käyttää sisämarkkinaoikeuksiaan, riippuu siitä, asuvatko käyttäjät asianomaisessa jäsenvaltiossa tai ovatko käyttäjät sijoittautuneet kyseiseen jäsenvaltioon vai haluavatko käyttäjät pääsyn kyseisen jäsenvaltion menettelyihin toisessa jäsenvaltiossa olevasta asuin- tai sijoittautumispaikastaan käsin. Tämä asetus ei saisi estää jäsenvaltioita vaatimasta, että sen alueella asuvien tai sinne sijoittautuneiden rajatylittävien käyttäjien olisi hankittava kansallinen henkilötunnus saadakseen pääsyn kansallisiin sähköisiin menettelyihin, edellyttäen että tämä ei aiheuta perusteetonta lisärasitetta tai kustannuksia kyseisille käyttäjille. Rajatylittäville käyttäjille, jotka eivät asu asianomaisessa jäsenvaltiossa tai ole sijoittautuneita sinne, ei tarvitse kaikilta osin antaa sähköistä pääsyä sähköisiin kansallisiin menettelyihin, jotka eivät ole merkityksellisiä niiden sisämarkkinaoikeuksien käyttämisen kannalta; tällaisia menettelyjä ovat esimerkiksi kirjautuminen jätehuollon ja pysäköintilupien kaltaisten paikallispalvelujen vastaanottamista varten.

(21)

Tämän asetuksen olisi pohjauduttava Euroopan parlamentin ja neuvoston asetukseen (EU) N:o 910/2014 (13), jossa säädetään ehdoista, joiden mukaisesti jäsenvaltiot tunnustavat toisen jäsenvaltion ilmoitetun sähköisen tunnistamisjärjestelmän piiriin kuuluvat tietyt luonnollisten henkilöiden ja oikeushenkilöiden sähköisen tunnistamisen menetelmät. Asetuksessa (EU) 910/2014 säädetään ehdoista, joiden mukaisesti käyttäjien on sallittua käyttää sähköisiä tunnistamis- ja todentamiskeinojaan päästäkseen julkisiin verkkopalveluihin rajatylittävissä tilanteissa. Unionin toimielimiä, elimiä, laitoksia ja virastoja kannustetaan hyväksymään sähköisiä tunnistamis- ja todentamiskeinoja niiden menettelyjen osalta, joista ne vastaavat.

(22)

Useissa alakohtaisissa unionin säädöksissä, kuten direktiiveissä 2005/36/EY, 2006/123/EY, 2014/24/EU ja 2014/25/EU, edellytetään, että menettelyt saatetaan täysin sähköisesti käytettäviksi. Tällä asetuksella olisi ulotettava tämä edellytys koskemaan useita muita menettelyjä, jotka ovat keskeisen tärkeitä suurimmalle osalle rajatylittävästi oikeuksiaan käyttäviä ja velvollisuuksiaan noudattavia kansalaisia ja yrityksiä, jotta ne saatettaisiin täysin sähköisesti käytettäviksi.

(23)

Jotta kansalaiset ja yritykset voisivat hyödyntää suoraan sisämarkkinoiden tarjoamia etuja ilman, että siitä aiheutuu tarpeetonta hallinnollista lisärasitetta, tässä asetuksessa olisi edellytettävä rajatylittävien käyttäjien kannalta tiettyjen keskeisten menettelyjen, jotka luetellaan tämän asetuksen liitteessä II, käyttöliittymän täyttä digitalisointia. Tässä asetuksessa olisi myös säädettävä kriteereistä, joiden perusteella määritetään, millä edellytyksillä menettelyjen katsotaan olevan täysin sähköisesti käytettävissä. Velvoitetta tällaisen menettelyn saattamisesta täysin sähköisesti käytettäväksi olisi sovellettava ainoastaan, jos asianomaisessa jäsenvaltioissa on otettu käyttöön kyseinen menettely. Liiketoiminnan alkuvaiheen rekisteröinnin ja menettelyjen, joiden tuloksena yrityksestä tulee oikeushenkilö, tai tätä koskevien mahdollisten myöhempien asiakirjojen toimittamisen ei ole syytä kuulua tämän asetuksen soveltamisalaan, koska tällaiset menettelyt edellyttävät kattavaa lähestymistapaa, jolla pyritään helpottamaan digitaalisia ratkaisuja yrityksen koko elinkaaren ajan. Kun yritys sijoittautuu toiseen jäsenvaltioon, sen on rekisteröidyttävä sosiaaliturvajärjestelmään ja vakuutusjärjestelmään voidakseen rekisteröidä työntekijänsä ja suorittaa maksuja molempiin järjestelmiin. Yrityksen on mahdollisesti ilmoitettava liiketoimintansa, hankittava lupia tai rekisteröitävä liiketoiminnassaan tapahtuneita muutoksia. Nämä menettelyt ovat yhteisiä monilla talouden aloilla toimiville yrityksille, minkä vuoksi on aiheellista edellyttää, että nämä menettelyt voitaisiin hoitaa sähköisesti.

(24)

Tässä asetuksessa olisi selvennettävä, mitä menettelyn tarjoaminen täysin sähköisesti tarkoittaa. Menettely olisi katsottava täysin sähköiseksi, jos käyttäjä voi toteuttaa kaikki vaiheet menettelyn aloittamisesta loppuunsaattamiseen toimien vuorovaikutuksessa toimivaltaisen viranomaisen kanssa sähköisesti etäältä ja sähköisen palvelun kautta. Tämän sähköisen palvelun olisi ohjattava käyttäjä käymään läpi luettelo, johon sisältyvät kaikki täytettävät vaatimukset ja toimitettava todistusmateriaali, annettava käyttäjälle mahdollisuus toimittaa tiedot ja näyttö kaikkien tällaisten vaatimusten täyttymisestä ja toimitettava käyttäjälle automaattinen ilmoitus näiden vastaanottamisesta, paitsi jos menettelyn tulos toimitetaan välittömästi. Tämä ei saisi estää toimivaltaisia viranomaisia ottamasta suoraan yhteyttä käyttäjiin, jos tämä on tarpeen lisäselvitysten saamiseksi menettelyä varten. Toimivaltaisten viranomaisten olisi toimitettava myös tässä asetuksessa tarkoitettu menettelyn tulos käyttäjälle sähköisesti, jos se on mahdollista sovellettavan unionin oikeuden ja kansallisen lainsäädännön mukaisesti.

(25)

Tämän asetuksen ei pitäisi vaikuttaa liitteessä II lueteltujen, kansallisella, alueellisella tai paikallisella tasolla käyttöön otettujen menettelyjen asiasisältöön, eikä siinä vahvisteta aineellisia tai menettelyä koskevia sääntöjä liitteessä II vahvistetuilla aloilla, verotuksen ala mukaan luettuna. Tämän asetuksen tarkoituksena on vahvistaa tekniset vaatimukset, jotta voidaan varmistaa, että kyseiset menettelyt, jos ne on otettu käyttöön asianomaisessa jäsenvaltiossa, tarjotaan täysin sähköisesti.

(26)

Tämän asetuksen ei pitäisi vaikuttaa kansallisten viranomaisten toimivaltaan menettelyissä, ei myöskään toimitettujen tietojen tai todistusmateriaalin oikeellisuuden ja pätevyyden todentamisen yhteydessä, mukaan lukien aitouden todentaminen silloin, kun todistusmateriaali toimitetaan muilla keinoin kuin yhden kerran periaatteeseen perustuvan teknisen järjestelmän kautta. Tämän asetuksen ei pitäisi vaikuttaa myöskään menettelyyn liittyviin digitaalisiin tai muihin työvaiheisiin toimivaltaisten viranomaisten sisäisesti ja välisesti. Jäsenvaltioiden olisi jatkossakin voitava edellyttää notaarien tai lakimiesten käyttöä, jos se on tarpeen osana joitakin menettelyjä, joilla rekisteröidään liiketoimintaan tehtyjä muutoksia, ja notaarit ja lakimiehet saattavat haluta käyttää todentamiskeinoja, esimerkiksi videokonferenssia tai muita sähköisiä keinoja, jotka mahdollistavat reaaliaikaisen audiovisuaalisen yhteyden. Notaarien tai lakimiesten käyttö ei kuitenkaan saisi estää kyseisten muutosten rekisteröintiä koskevien menettelyjen hoitamista kokonaan sähköisesti.

(27)

Joissakin tapauksissa käyttäjiä saatetaan vaatia toimittamaan materiaalia sellaisten tosiseikkojen todistamiseksi, joita ei voida näyttää toteen sähköisesti. Tällaista todistusmateriaalia voivat olla esimerkiksi lääkärintodistukset, todistus elossaolosta tai todistus moottoriautojen liikennekelpoisuudesta tai niiden valmistenumeroista. Tämän ei pitäisi muodostaa poikkeusta periaatteesta, jonka mukaan menettely olisi tarjottava täysin sähköisesti, edellyttäen että tällainen todistusmateriaali voidaan toimittaa sähköisesti. Muissa tapauksissa voi edelleen olla tarpeen, että menettelyn käyttäjä asioi henkilökohtaisesti toimivaltaisen viranomaisen luona osana sähköistä menettelyä. Kaikki muut kuin unionin oikeudesta johtuvat poikkeukset olisi rajattava tilanteisiin, joissa ne ovat perusteltuja yleiseen etuun liittyvästä pakottavasta syystä yleisen turvallisuuden, kansanterveyden tai petostentorjunnan aloilla. Avoimuuden varmistamiseksi jäsenvaltioiden olisi toimitettava komissiolle ja muille jäsenvaltioille tieto tällaisista poikkeuksista sekä syistä ja olosuhteista, joiden johdosta kyseisiä poikkeuksia voidaan soveltaa. Jäsenvaltioita ei pitäisi vaatia toimittamaan tietoja kaikista yksittäisistä tapauksista, joissa poikkeuksellisesti on edellytetty fyysistä läsnäoloa, vaan niiden olisi pikemminkin ilmoitettava kansalliset säännökset, joilla kyseisiä tapauksia säännellään. Palveluväylän koordinointiryhmässä olisi keskusteltava säännöllisesti kansallisen tason hyvistä toimintatavoista ja digitalisoinnin jatkamisen tässä yhteydessä mahdollistavasta teknisestä kehityksestä.

(28)

Rajatylittävissä tilanteissa menettely osoitteenmuutoksen rekisteröimiseksi voi muodostua kahdesta erillisestä menettelystä, joista toinen koskee vanhan osoitteen rekisteristä poistamispyyntöä alkuperäjäsenvaltiossa ja toinen rekisteröintipyyntöä uuteen osoitteeseen kohdejäsenvaltiossa. Molempien menettelyjen olisi kuuluttava tämän asetuksen soveltamisalaan.

(29)

Koska ammattipätevyyden tunnustamiseen liittyvien edellytysten, menettelyjen ja muodollisuuksien digitalisointi kuuluu jo direktiivin 2005/36/EY soveltamisalaan, tämän asetuksen soveltamisalaan olisi kuuluttava ainoastaan tutkintojen, todistusten tai opintojen suorittamisen osoittavien muiden asiakirjojen akateemista tunnustamista koskevaan pyyntöön liittyvän menettelyn digitalisointi sellaisen henkilön osalta, joka haluaa aloittaa opinnot tai jatkaa opintoja tai käyttää akateemista titteliä, ja ammattipätevyyden tunnustamiseen liittyvät muodollisuudet olisi jätettävä sen ulkopuolelle.

(30)

Tällä asetuksella ei pidä vaikuttaa sosiaaliturvajärjestelmien yhteensovittamista koskeviin sääntöihin, jotka on vahvistettu Euroopan parlamentin ja neuvoston asetuksissa (EY) N:o 883/2004 (14) ja (EY) N:o 987/2009 (15), joissa määritellään vakuutettujen ja sosiaaliturvalaitosten oikeudet ja velvollisuudet sekä sosiaaliturvajärjestelmien yhteensovittamisen alalla sovellettavat menettelyt.

(31)

Unionin ja kansallisella tasolla on otettu käyttöön useita verkostoja ja palveluja avustamaan kansalaisia ja yrityksiä niiden rajatylittävässä toiminnassa. On tärkeää, että nämä palvelut, mukaan luettuina unionin tasolla käyttöön otetut neuvonta- tai ongelmanratkaisupalvelut, kuten Euroopan kuluttajakeskukset, Sinun Eurooppasi -neuvonta, SOLVIT-verkosto, teollis- ja tekijänoikeuksien neuvontapalvelu, Europe Direct -tiedotuspisteet ja Yritys-Eurooppa-verkosto, muodostavat osan palveluväylää, jotta varmistetaan, että kaikki potentiaaliset käyttäjät löytävät nämä palvelut. Liitteessä III luetellut palvelut on perustettu sitovilla unionin säädöksillä, kun taas muut palvelut toimivat vapaaehtoisuuden pohjalta. Sitovilla unionin säädöksillä perustetuissa palveluissa olisi noudatettava tässä asetuksessa säädettyjä laatuvaatimuksia. Vapaaehtoisuuden pohjalta toimivissa palveluissa olisi noudatettava kyseisiä laatuvaatimuksia, jos tarkoituksena on asettaa nämä palvelut saataville palveluväylän kautta. Tällä asetuksella ei ole tarkoitus muuttaa näiden palvelujen soveltamisalaa eikä luonnetta, niiden hallintojärjestelyjä, voimassa olevia määräaikoja eikä niiden toiminnan perustana olevaa vapaaehtoista, sopimusperusteista tai muuta perustaa. Esimerkiksi jos niiden tarjoama neuvonta on epävirallista, kyseistä neuvontaa ei pidä tällä asetuksella muuttaa luonteeltaan sitovaksi oikeudelliseksi neuvonnaksi.

(32)

Lisäksi jäsenvaltioiden ja komission olisi voitava lisätä palveluväylään tässä asetuksessa säädetyin edellytyksin muita kansallisia neuvonta- tai ongelmanratkaisupalveluja, joita tarjoavat toimivaltaiset viranomaiset tai yksityiset tai osittain yksityiset tahot taikka julkisyhteisöt, kuten kauppakamarit tai kansalaisjärjestöjen kansalaisten neuvontapalvelut. Toimivaltaisten viranomaisten olisi lähtökohtaisesti oltava vastuussa kansalaisten ja yritysten neuvonnasta, kun kyseessä ovat sovellettavia sääntöjä ja menettelyjä koskevat kysymykset, joihin sähköiset palvelut eivät voi täysin vastata. Jos kuitenkin kyseessä on erittäin erikoistunut ala ja jos yksityisten tai osittain yksityisten tahojen tarjoama palvelu vastaa käyttäjien tarpeeseen, jäsenvaltiot voivat ehdottaa komissiolle, että se sisällyttää tällaiset palvelut palveluväylään, kunhan nämä palvelut täyttävät kaikki tässä asetuksessa säädetyt edellytykset eivätkä ole päällekkäisiä siihen jo sisältyvien neuvonta- tai ongelmanratkaisupalvelujen kanssa.

(33)

Jotta käyttäjät pystyisivät helpommin löytämään asianmukaisen palvelun, tässä asetuksessa olisi säädettävä neuvontapalveluhausta, joka ohjaa käyttäjät automaattisesti oikeaan palveluun.

(34)

Palveluväylän onnistumisen kannalta on olennaista noudattaa laatuvaatimusten vähimmäisluetteloa, jotta voidaan varmistaa, että tietojen tai palvelujen tarjoaminen on luotettavaa, koska muutoin koko palveluväylän uskottavuus vaarantuisi vakavasti. Laatuvaatimusten noudattamisen ensisijaisena tavoitteena on varmistaa, että tiedot tai palvelu esitetään selkeästi ja käyttäjäystävällisesti. Jäsenvaltioiden vastuulla on määrittää, kuinka tiedot esitetään käyttäjäpolun eri vaiheissa, jotta tämä tavoite saavutettaisiin. Vaikka käyttäjille kannattaa esimerkiksi ilmoittaa ennen menettelyn käynnistämistä yleensä käytettävissä olevista muutoksenhakukeinoista, jos menettelyn tulos on negatiivinen, on huomattavasti käyttäjäystävällisempää toimittaa tällaisessa tapauksessa yksityiskohtaiset tiedot mahdollisista jatkotoimista menettelyn päättyessä.

(35)

Tietojen saatavuutta rajatylittävien käyttäjien kannalta voidaan parantaa merkittävästi, jos kyseiset tiedot asetetaan saataville sellaisella unionin virallisella kielellä, jota mahdollisimman monet rajatylittävät käyttäjät ymmärtävät. Tämän kielen olisi useimmissa tapauksissa oltava se vieras kieli, jota opiskellaan unionissa eniten, mutta joissain erityistapauksissa, erityisesti kun jäsenvaltion rajan läheisyydessä sijaitsevat pienet kunnat tarjoavat tietoa paikallisella tasolla, sopivin kieli saattaa olla se kieli, jota rajatylittävät käyttäjät käyttävät ensimmäisenä kielenä naapurijäsenvaltiossa. Kyseisen jäsenvaltion viralliselta kieleltä tai virallisilta kieliltä tälle unionin muulle viralliselle kielelle tehdyn käännöksen olisi sisällöllisesti vastattava tarkasti alkuperäisellä kielellä tai alkuperäisillä kielillä tarjottuja tietoja. Käännös voidaan rajoittaa koskemaan ainoastaan tietoja, joita käyttäjät tarvitsevat ymmärtääkseen tilanteeseensa sovellettavat perussäännöt ja -vaatimukset. Jäsenvaltioita olisi kannustettava kääntämään mahdollisimman paljon tietoja sellaiselle unionin viralliselle kielelle, jota mahdollisimman monet rajatylittävät käyttäjät ymmärtävät, mutta tämän asetuksen perusteella käännettävien tietojen määrä riippuu tähän tarkoitukseen erityisesti unionin talousarviossa saatavilla olevista määrärahoista. Komission olisi luotava asianmukaiset järjestelyt sen varmistamiseksi, että käännökset toimitetaan tehokkaasti jäsenvaltioille niiden pyynnöstä. Palveluväylän koordinointiryhmän olisi keskusteltava ja annettava ohjeita unionin virallisesta kielestä tai virallisista kielistä, jolle tai joille kyseiset tiedot olisi käännettävä.

(36)

Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/2102 (16) mukaisesti jäsenvaltioiden edellytetään varmistavan, että niiden julkisyhteisöjen verkkosivustot täyttävät saavutettavuuden periaatteet, jotka ovat havaittavuus, hallittavuus, ymmärrettävyys ja toimintavarmuus, ja että ne ovat kyseisessä direktiivissä säädettyjen vaatimusten mukaiset. Komission ja jäsenvaltioiden olisi varmistettava vammaisten henkilöiden oikeuksia koskevan Yhdistyneiden kansakuntien yleissopimuksen ja erityisesti sen 9 ja 21 artiklan noudattaminen, ja jotta voidaan parantaa kehitysvammaisten henkilöiden pääsyä tietoihin, olisi tarjottava mahdollisimman paljon selkokielisiä vaihtoehtoja suhteellisuusperiaatteen mukaisesti. Jäsenvaltiot ovat ratifioineet ja unioni on tehnyt (17) kyseisen yleissopimuksen, ja näin ne ovat sitoutuneet toteuttamaan asianmukaisia toimia, joilla varmistetaan, että vammaisilla henkilöillä on muiden kanssa yhdenvertainen pääsy uusiin tieto- ja viestintätekniikoihin ja -järjestelmiin, myös internetiin, helpottamalla kehitysvammaisten henkilöiden pääsyä tietoihin, siten että tarjotaan mahdollisimman paljon ja oikeasuhteisesti selkokielisiä vaihtoehtoja.

(37)

Vaikka direktiiviä (EU) 2016/2102 ei sovelleta unionin toimielinten, elinten, laitosten ja virastojen verkkosivustoihin ja mobiilisovelluksiin, komission olisi varmistettava, että yhteinen käyttöliittymä ja sen vastuulla olevat verkkosivut, jotka on tarkoitus sisällyttää palveluväylään, ovat vammaisille henkilöille esteettömiä eli että ne ovat havaittavia, hallittavia, ymmärrettäviä ja toimintavarmoja. Havaittavuus tarkoittaa, että tiedot ja yhteisen käyttöliittymän osat on esitettävä käyttäjille tavoilla, jotka he voivat havaita; hallittavuus tarkoittaa, että yhteisen käyttöliittymän osien ja navigoinnin on oltava hallittavia; ymmärrettävyys tarkoittaa, että tietojen ja yhteisen käyttöliittymän toiminnan on oltava käsitettäviä; ja toimintavarmuus tarkoittaa, että sisällön on oltava riittävän toimintavarma, jotta hyvin erilaiset asiakassovellukset, mukaan lukien avustavat teknologiat, voivat tulkita sitä luotettavasti. Komissiota kannustetaan noudattamaan asiaankuuluvia yhdenmukaistettuja standardeja käsitteiden havaittava, hallittava, ymmärrettävä ja toimintavarma osalta.

(38)

Sähköisten menettelyjen osana tai neuvonta- tai ongelmanratkaisupalvelujen tarjoamista varten edellytettävien maksujen suorittamisen helpottamiseksi rajatylittävien käyttäjien olisi voitava käyttää Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 260/2012 (18) säädettyjä tilisiirtoja tai suoraveloituksia tai muita yleisesti käytettyjä rajatylittäviä maksutapoja, pankki- tai luottokortit mukaan luettuina.

(39)

Käyttäjille on aiheellista ilmoittaa menettelyn arvioitu kesto. Siten käyttäjille olisi ilmoitettava sovellettavista määräajoista tai hiljaista hyväksyntää tai viranomaisen toimimattomuutta koskevista järjestelyistä tai, jos niitä ei voida soveltaa, vähintään keskimääräinen, arvioitu tai suuntaa antava aika, jonka kyseessä oleva menettely yleensä kestää. Tällaisten arvioiden tarkoituksena on ainoastaan auttaa käyttäjiä suunnittelemaan toimintojaan tai mahdollisia myöhempiä hallinnollisia toimia eikä niillä pitäisi olla oikeusvaikutuksia.

(40)

Tässä asetuksessa olisi myös mahdollistettava käyttäjien sähköisessä muodossa toimittaman todistusmateriaalin todentaminen, jos kyseinen todistusmateriaali toimitetaan ilman myöntävän toimivaltaisen viranomaisen sähköistä leimaa tai sertifiointia tai jos tällä asetuksella perustettavaa teknistä välinettä tai muuta järjestelmää, joka mahdollistaa todistusmateriaalin suoran vaihdon tai todentamisen eri jäsenvaltioiden toimivaltaisten viranomaisten välillä, ei ole käytettävissä. Asetuksessa olisi säädettävä tällaisia tapauksia varten jäsenvaltioiden toimivaltaisten viranomaisten välisestä toimivasta hallinnollisen yhteistyön mekanismista, joka perustuu Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1024/2012 (19) perustettuun sisämarkkinoiden tietojenvaihtojärjestelmään, jäljempänä ”IMI”. Tällaisissa tapauksissa toimivaltaisen viranomaisen päätöksen IMI-järjestelmän käyttämisestä olisi perustuttava vapaaehtoisuuteen, mutta heti, kun tämä viranomainen on toimittanut tieto- tai yhteistyöpyynnön IMI-järjestelmän kautta, pyynnön vastaanottaneella toimivaltaisella viranomaisella olisi oltava velvollisuus tehdä yhteistyötä ja vastata. Pyyntö voidaan lähettää IMI-järjestelmän kautta joko todistusmateriaalin antaville toimivaltaisille viranomaisille tai jäsenvaltioiden omien hallinnollisten sääntöjensä mukaisesti osoittamalle keskusviranomaiselle. Tarpeettoman päällekkäisyyden välttämiseksi ja koska Euroopan parlamentin ja neuvoston asetus (EU) 2016/1191 (20) kattaa osan todistusmateriaalista, joka on merkityksellistä tämän asetuksen soveltamisalaan kuuluvien menettelyjen kannalta, asetuksessa (EU) 2016/1191 säädettyjä IMI-järjestelmää koskevia yhteistyöjärjestelyjä voidaan käyttää myös tämän asetuksen soveltamisalaan kuuluvien menettelyjen edellyttämän muun todistusmateriaalin hankkimiseksi. Jotta unionin elimet, laitokset tai virastot voisivat olla IMI-järjestelmän toimijoita, asetusta (EU) N:o 1024/2012 olisi muutettava.

(41)

Toimivaltaisten viranomaisten tarjoamat sähköiset palvelut ovat ratkaisevan tärkeitä, jotta voidaan parantaa kansalaisille ja yrityksille tarjottavien palvelujen laatua ja turvallisuutta. Jäsenvaltioiden julkishallinnossa pyritään yhä enemmän käyttämään tietoja uudelleen eikä edellytetä, että kansalaiset ja yritykset toimittavat samat tiedot useaan kertaan. Tietojen uudelleen käyttämistä olisi helpotettava rajatylittävien käyttäjien osalta ylimääräisen rasitteen vähentämiseksi.

(42)

Jotta voidaan mahdollistaa todistusmateriaalin ja tietojen laillinen rajatylittävä vaihto soveltamalla unionin laajuisesti yhden kerran periaatetta, tätä asetusta ja yhden kerran periaatetta olisi sovellettava kaikkien sovellettavien tietosuojaa koskevien sääntöjen mukaisesti, joita ovat muun muassa tietojen minimoinnin, paikkansapitävyyden, säilytyksen rajoittamisen, eheyden sekä luottamuksellisuuden, tarpeellisuuden, oikeasuhteisuuden ja käyttötarkoituksen rajaamisen periaatteet. Sen täytäntöönpanossa olisi myös noudatettava täysimääräisesti sisäänrakennetun turvallisuuden (security by design) ja sisäänrakennetun yksityisyyden (privacy by design) periaatteita ja kunnioitettava yksilön perusoikeuksia, myös oikeudenmukaisuuteen ja avoimuuteen liittyviä perusoikeuksia.

(43)

Jäsenvaltioiden olisi varmistettava, että menettelyjen käyttäjille toimitetaan selkeää tietoa siitä, miten heihin liittyviä henkilötietoja käsitellään, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (21) 13 ja 14 artiklan ja asetuksen (EU) 2018/1725 (22) 15 ja 16 artiklan mukaisesti.

(44)

Sähköisten menettelyjen käytön helpottamiseksi tässä asetuksessa olisi säädettävä yhden kerran periaatteen mukaisesti perustasta täysin toimivan, turvallisen ja varman teknisen järjestelmän luomiseksi ja käyttämiseksi automaattista rajatylittävää todistusmateriaalin vaihtoa varten menettelyyn osallistuvien toimijoiden välillä, kun kansalaiset ja yritykset tätä nimenomaisesti pyytävät. Jos todistusmateriaalin vaihtoon sisältyy henkilötietoja, pyyntö olisi katsottava nimenomaiseksi, jos se sisältää henkilön vapaaehtoisen, yksilöidyn, tietoisen ja yksiselitteisen tahdonilmaisun kyseisten henkilötietojen vaihdosta joko suostumusta ilmaisevan lausuman tai selkeästi suostumusta ilmaisevan toimen muodossa. Jos käyttäjä ei ole henkilö, jota tiedot koskevat, sähköinen menettely ei saisi vaikuttaa hänen asetuksessa (EU) 2016/679 säädettyihin oikeuksiinsa. Yhden kerran periaatteen rajatylittävän soveltamisen olisi johdettava siihen, että kansalaisten ja yritysten tarvitsee toimittaa samat tiedot viranomaisille vain kerran ja siihen, että näitä tietoja voidaan myös käyttää käyttäjän pyynnöstä rajatylittäviä käyttäjiä koskevien rajatylittävien sähköisten menettelyjen hoitamiseksi. Myöntävän toimivaltaisen viranomaisen velvollisuutta käyttää teknistä järjestelmää eri jäsenvaltioiden välistä automaattista todistusmateriaalin vaihtoa varten olisi sovellettava ainoastaan, jos toimivaltaiset viranomaiset antavat laillisesti omassa jäsenvaltiossaan todistusmateriaalin sähköisessä muodossa, joka mahdollistaa tällaisen automaattisen vaihdon.

(45)

Rajatylittävällä todistusmateriaalin vaihdolla olisi oltava asianmukainen oikeusperusta, kuten direktiivit 2005/36/EY, 2006/123/EY, 2014/24/EU tai 2014/25/EU tai liitteessä II lueteltujen menettelyjen osalta muu sovellettava unionin oikeus tai kansallinen lainsäädäntö.

(46)

On asianmukaista, että tässä asetuksessa säädetään yleisenä sääntönä, että rajatylittävä automaattinen todistusmateriaalin vaihto toteutetaan käyttäjän nimenomaisesta pyynnöstä. Tätä vaatimusta ei kuitenkaan pitäisi soveltaa, jos asiaankuuluvassa unionin oikeudessa tai kansallisessa lainsäädännössä sallitaan automaattinen rajatylittävä tietojenvaihto ilman käyttäjän nimenomaista pyyntöä.

(47)

Tällä asetuksella perustetun teknisen järjestelmän käytön olisi oltava jatkossakin vapaaehtoista ja käyttäjän olisi jatkossakin voitava toimittaa todistusmateriaali muuten kuin tätä teknistä järjestelmää käyttäen. Käyttäjällä olisi oltava mahdollisuus tarkastella todistusmateriaalia etukäteen ja oikeus päättää olla vaihtamatta todistusmateriaalia tapauksissa, joissa käyttäjä vaihdettavaan todistusmateriaaliin tutustuttuaan toteaa tiedot virheellisiksi, vanhentuneiksi tai kyseisen menettelyn kannalta tarpeettomiksi. Etukäteen tarkasteltavia tietoja ei pitäisi tallentaa pidempään kuin on teknisesti välttämätöntä.

(48)

Suojatun teknisen järjestelmän, joka olisi perustettava tämän asetuksen mukaisen todistusmateriaalin vaihdon mahdollistamiseksi, olisi myös annettava pyytävälle toimivaltaiselle viranomaiselle varmuus siitä, että todistusmateriaalin on toimittanut oikea myöntävä viranomainen. Ennen kuin toimivaltainen viranomainen hyväksyy käyttäjän menettelyn yhteydessä toimittamat tiedot, sen olisi voitava todentaa tiedot epäselvissä tapauksissa ja todeta, että ne ovat paikkansapitäviä.

(49)

On olemassa monia perusvalmiuksia tarjoavia rakenneosia, joita voidaan käyttää teknisen järjestelmän luomiseen, kuten Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 1316/2013 (23) perustettu Verkkojen Eurooppa -väline sekä sähköisen jakelun ja sähköisen tunnistuksen rakenneosat, jotka muodostavat osan kyseistä välinettä. Nämä rakenneosat koostuvat teknisistä eritelmistä, malliohjelmistoista ja tukipalveluista, ja niiden tarkoituksena on varmistaa eri jäsenvaltioiden nykyisten tieto- ja viestintätekniikoiden yhteentoimivuus, jotta kansalaiset, yritykset ja viranomaiset voivat hyötyä saumattomasti toimivista digitaalisista julkisista palveluista riippumatta olinpaikastaan unionissa.

(50)

Tällä asetuksella perustettavan teknisen järjestelmän olisi oltava käytettävissä muiden sellaisten järjestelmien lisäksi, jotka tarjoavat mekanismin viranomaisten väliselle yhteistyölle, kuten IMI, eikä se saisi vaikuttaa muihin järjestelmiin, mukaan luettuna asetuksessa (EY) N:o 987/2009 säädetty järjestelmä, direktiivissä 2014/24/EU säädetty yhteinen eurooppalainen hankinta-asiakirja, asetuksessa (EY) N:o 987/2009 säädetty sosiaaliturvatietojen sähköinen vaihtojärjestelmä, direktiivissä 2005/36/EY säädetty eurooppalainen ammattikortti, kansallisten rekisterien yhteenliittäminen ja Euroopan parlamentin ja neuvoston direktiivissä (EU) 2017/1132 (24) säädetty keskus-, kauppa- ja yhtiörekisterien yhteenliittäminen sekä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2015/848 (25) säädetty maksukyvyttömyysrekisterien yhteenliittäminen.

(51)

Jotta voidaan varmistaa yhdenmukaiset edellytykset todistusmateriaalin automaattisen vaihdon mahdollistavan teknisen järjestelmän täytäntöönpanolle, komissiolle olisi siirrettävä täytäntöönpanovaltaa säätää erityisesti tekniset ja toiminnalliset eritelmät järjestelmälle, jolla käsitellään käyttäjän pyyntöä todistusmateriaalin vaihtamiseksi ja tällaisen todistusmateriaalin siirtämistä, sekä säätää säännöistä, jotka ovat tarpeen tietojen siirron eheyden ja luottamuksellisuuden varmistamiseksi. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (26) mukaisesti.

(52)

Jotta voidaan varmistaa, että tekniseen järjestelmään liittyy korkea turvallisuustaso yhden kerran periaatteen rajatylittävässä soveltamisessa, komission olisi tällaisen teknisen järjestelmän eritelmiä koskevia täytäntöönpanosäädöksiä antaessaan otettava asianmukaisesti huomioon eurooppalaisten ja kansainvälisten standardointijärjestöjen ja -elinten standardit ja tekniset eritelmät, erityisesti Euroopan standardointikomitean (CEN), eurooppalaisen telealan standardisoimisjärjestön (ETSI), Kansainvälisen standardisoimisjärjestön (ISO) ja Kansainvälisen televiestintäliiton (ITU) standardit ja tekniset eritelmät, sekä asetuksen (EU) 2016/679 32 artiklassa ja asetuksen (EU) 2018/1725 22 artiklassa tarkoitetut turvallisuusstandardit.

(53)

Komission olisi pyydettävä neuvoa tarvittaessa Euroopan tietosuojavaltuutetulta, jotta voidaan varmistaa teknisen järjestelmän niiden osien kehittäminen, saatavuus, ylläpito, valvonta, seuranta ja turvallisuudenhallinta, joista komissio vastaa.

(54)

Toimivaltaisten viranomaisten ja komission olisi varmistettava, että niiden vastuulla olevat tiedot, menettelyt ja palvelut ovat laatuvaatimusten mukaisia. Tämän asetuksen nojalla nimitettyjen kansallisten koordinaattoreiden ja komission olisi säännöllisin väliajoin valvottava laatu- ja turvallisuusvaatimusten noudattamista kansallisella ja unionin tasolla ja puututtava esiin tuleviin ongelmiin. Lisäksi kansallisten koordinaattorien olisi avustettava komissiota todistusmateriaalin rajatylittävän vaihdon mahdollistavan teknisen järjestelmän toiminnan valvonnassa. Tällä asetuksella olisi annettava komissiolle erilaisia keinoja puuttua palveluväylän kautta tarjottavien palvelujen laadun heikkenemiseen riippuen heikkenemisen vakavuudesta ja jatkuvuudesta; tähän sisältyy myös palveluväylän koordinointiryhmän ottaminen tarvittaessa mukaan toimiin. Tämä ei saisi vaikuttaa komission yleiseen vastuuseen, joka koskee tämän asetuksen noudattamisen valvontaa.

(55)

Tässä asetuksessa olisi täsmennettävä palveluväylän toimintaa tukevien teknisten välineiden, etenkin yhteisen käyttöliittymän, linkkirekisterin ja yhteisen neuvontapalveluhaun, keskeiset toiminnot. Yhteisellä käyttöliittymällä olisi varmistettava, että käyttäjät löytävät helposti tiedot, menettelyt sekä neuvonta- ja ongelmanratkaisupalvelut kansallisilta ja unionin tason verkkosivustoilta. Jäsenvaltioiden ja komission olisi pyrittävä tarjoamaan linkkejä yhteen palveluväylän edellyttämien tietojen lähteeseen, jotta vältetään aiheuttamasta käyttäjien keskuudessa sekaannusta sillä, että samoja tietoja annetaan eri lähteistä taikka kokonaan tai osittain päällekkäisistä lähteistä. Tällä ei pitäisi sulkea pois mahdollisuutta liittää linkkejä samoihin toimivaltaisten paikallis- tai alueviranomaisten tarjoamiin tietoihin, jotka koskevat eri maantieteellisiä alueita. Sillä ei olisi myöskään estettävä tiettyä tietojen päällekkäisyyttä, jos sitä ei voida välttää tai se on toivottavaa, esimerkiksi tapauksissa, joissa jotkin unioniin liittyvät oikeudet, velvollisuudet ja säännöt toistetaan tai kuvataan kansallisilla verkkosivuilla helppokäyttöisyyden parantamiseksi. Jotta yhteisessä käyttöliittymässä käytettävien linkkien päivittäminen edellyttäisi mahdollisimman vähän ihmisen osallistumista, olisi luotava suora yhteys jäsenvaltioiden asianomaisten teknisten järjestelmien ja linkkirekisterin välille, jos se on teknisesti mahdollista. Yhteiset tieto- ja viestintätekniset tukivälineet voisivat käyttää keskeisten julkisten palvelujen sanastoa (Core Public Services Vocabulary, CPSV), jotta helpotetaan yhteentoimivuutta kansallisten palveluluetteloiden ja semantiikan kanssa. Jäsenvaltioita olisi kannustettava käyttämään keskeisten julkisten palvelujen sanastoa, mutta ne voivat päättää käyttää kansallisia ratkaisuja. Linkkirekisterin tiedot olisi asetettava julkisesti saataville avoimessa, yleisesti käytetyssä ja koneellisesti luettavassa muodossa, esimerkiksi sovellusliittymien (API) avulla, jotta niitä voidaan käyttää uudelleen.

(56)

Yhteisen käyttöliittymän hakuvälineen olisi johdettava käyttäjät heidän tarvitsemiinsa tietoihin riippumatta siitä, missä tieto on unionin tai kansallisen tason verkkosivuilla. Lisäksi vaihtoehtoisena tapana ohjata käyttäjiä hyödylliseen tietoon se auttaa jatkossakin luomaan linkkejä nykyisten ja täydentävien verkkosivustojen tai verkkosivujen välille järkeistämällä ja ryhmittelemällä niitä yhteen mahdollisimman paljon sekä luomaan linkkejä sellaisten unionin ja kansallisen tason verkkosivujen ja verkkosivustojen välille, joilta on pääsy sähköisiin palveluihin ja tietoihin.

(57)

Tässä asetuksessa olisi eriteltävä myös yhteisen käyttöliittymän laatuvaatimukset. Komission olisi varmistettava, että yhteinen käyttöliittymä on kyseisten vaatimusten mukainen, ja erityisesti käyttöliittymän olisi oltava käytettävissä ja saatavilla sähköisesti erilaisten kanavien kautta sekä helppo käyttää.

(58)

Jotta varmistetaan palveluväylää tukevien teknisten ratkaisujen yhdenmukaiset täytäntöönpanoedellytykset, komissiolle olisi siirrettävä täytäntöönpanovaltaa tarvittaessa säätää sovellettavista vaatimuksista ja yhteentoimivuuden edellytyksistä, jotta helpotetaan tietojen löytämistä säännöistä ja velvollisuuksista, menettelyistä sekä neuvonta- ja ongelmanratkaisupalveluista, jotka kuuluvat jäsenvaltioiden ja komission vastuulle. Tätä valtaa olisi käytettävä asetuksen (EU) N:o 182/2011 mukaisesti.

(59)

Tällä asetuksella olisi myös jaettava selvästi palveluväylää tukevien tieto- ja viestintäteknisten sovellusten kehittämiseen, saatavuuteen, ylläpitoon ja turvallisuuteen liittyvät vastuualueet komission ja jäsenvaltioiden välillä. Komission ja jäsenvaltioiden ylläpitotehtäviin kuuluu, että ne valvovat säännöllisesti näiden tieto- ja viestintäteknisten sovellusten asianmukaista toimintaa.

(60)

Jotta palveluväylään sisällytettävien eri alojen tiedoista, menettelyistä ja neuvonta- ja ongelmanratkaisupalveluista saadaan mahdollisimman suuri hyöty, olisi parannettava merkittävästi kohdeyleisön tietoisuutta niiden olemassaolosta ja toiminnasta. Kun käyttäjien tarvitsemat tiedot, menettelyt sekä neuvonta- ja ongelmanratkaisupalvelut sisällytetään palveluväylään, niiden löytämisen pitäisi olla huomattavasti helpompaa, vaikka käyttäjät eivät ennalta tuntisikaan niitä. Lisäksi tarvitaan koordinoituja toimia tunnettuuden edistämiseksi, jotta varmistetaan, että unionin kansalaiset ja yritykset saavat tietoa palveluväylän olemassaolosta ja sen tarjoamista hyödyistä. Tällaisiin tunnettuuden edistämistä koskeviin toimiin olisi kuuluttava hakukoneoptimointi ja muita sähköisiä tiedotustoimia, sillä nämä ovat kustannustehokkaimpia ja niiden avulla pystytään tavoittamaan kaikkein laajin kohdeyleisö. Vaikuttavuuden maksimoimiseksi palveluväylän koordinointiryhmän olisi koordinoitava tunnettuuden edistämistä koskevia toimia ja jäsenvaltioiden olisi mukautettava tunnettuuden edistämistä koskevia toimiaan niin, että palveluväylään viitataan kaikissa asiaan liittyvissä yhteyksissä yhteisellä nimityksellä. Palveluväylän markkinointinimi voidaan myös nivoa kansallisiin aloitteisiin.

(61)

Kaikkia unionin toimielimiä, elimiä ja virastoja olisi kannustettava edistämään palveluväylän tunnettuutta lisäämällä kaikkiin oman vastuualansa verkkosivuihin palveluväylän logo ja linkkejä palveluväylään.

(62)

Nimen, jolla palveluväylä on tarkoitus tehdä tunnetuksi yleisön keskuudessa, olisi oltava ”Your Europe”. Yhteisen käyttöliittymän olisi oltava näkyvä ja helposti löydettävissä erityisesti asiaan liittyvillä kansallisilla ja unionin verkkosivuilla. Palveluväylän logon olisi oltava näkyvillä asianomaisilla unionin ja kansallisilla verkkosivustoilla.

(63)

Jotta saataisiin riittävästi tietoa palveluväylän toimivuuden mittaamista ja parantamista varten, tässä asetuksessa olisi edellytettävä, että toimivaltaiset viranomaiset ja komissio keräävät ja analysoivat palveluväylän kautta tarjottavien eri alojen tietojen, menettelyjen ja palvelujen käyttöön liittyvät tiedot. Keräämällä käyttäjiä koskevia tilastoja, kuten tietoa käyntimääristä tietyillä verkkosivuilla, käyttäjämääristä tietyssä jäsenvaltiossa verrattuna muista jäsenvaltioista tuleviin käyttäjiin, käytetyistä hakusanoista, verkkosivuista, joilla käydään eniten, linkittävistä verkkosivuista tai neuvontapyyntöjen määrästä, alkuperästä ja aiheesta, olisi parannettava palveluväylän toimintaa auttamalla yleisön määrittämisessä, tunnettuuden edistämistä koskevien toimien kehittämisessä ja tarjottujen palvelujen laadun parantamisessa. Tällaisten tietojen keräämisessä olisi otettava huomioon komission suorittama vuotuinen sähköisiä viranomaispalveluja koskeva vertailu, jotta vältetään päällekkäisyyttä.

(64)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa säätää käyttäjätilastojen keräämis- ja vaihtomenetelmiä koskevista yhdenmukaisista säännöistä. Tätä valtaa olisi käytettävä asetuksen (EU) N:o 182/2011 mukaisesti.

(65)

Palveluväylän laatu perustuu palveluväylällä tarjottujen unionin ja kansallisten palvelujen laatuun. Tämän vuoksi palveluväylän kautta saatavien tietojen, menettelyjen ja neuvonta- ja ongelmanratkaisupalvelujen laatua olisi valvottava säännöllisesti myös käyttäjäpalautevälineellä, joka pyytää käyttäjiä arvioimaan käyttämiensä tietojen, menettelyjen ja neuvonta- ja ongelmanratkaisupalvelujen kattavuutta ja laatua ja antamaan niistä palautetta. Palaute olisi kerättävä yhteisellä välineellä, jonka pitäisi olla komission, toimivaltaisten viranomaisten ja kansallisten koordinaattoreiden käytettävissä. Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano käyttäjäpalautevälineiden yhteisten toimintojen ja käyttäjäpalautteen keräämiseen ja jakamiseen liittyvien yksityiskohtaisten sääntöjen osalta, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä asetuksen (EU) N:o 182/2011 mukaisesti. Komission olisi julkaistava anonymisoidussa muodossa sähköinen yhteenveto tämän asetuksen mukaisesti kerätyistä tiedoista esiin tulevista ongelmista sekä käyttäjätilastoihin ja käyttäjäpalautteeseen liittyvistä keskeisistä seikoista.

(66)

Lisäksi palveluväylään olisi sisällyttävä palauteväline, jonka avulla käyttäjien on mahdollista tuoda vapaaehtoisesti ja nimettömästi esiin sisämarkkinaoikeuksien käyttämisessä kohtaamiaan ongelmia ja vaikeuksia. Tämän välineen olisi katsottava vain täydentävän valituksenkäsittelymekanismeja, koska sillä ei voida tarjota räätälöityä vastausta käyttäjille. Saadut tiedot olisi yhdistettävä neuvonta- ja ongelmanratkaisupalveluista niiden käsittelemistä tapauksista saatuihin koottuihin tietoihin, jotta saadaan yleiskatsaus sisämarkkinoista käyttäjien kannalta ja yksilöidään ongelma-alueita mahdollisia tulevia toimia varten sisämarkkinoiden toiminnan parantamiseksi. Tämä yhteenveto olisi liitettävä olemassa oleviin raportointivälineisiin, esimerkiksi sisämarkkinoiden tulostauluun.

(67)

Tämän asetuksen ei pitäisi vaikuttaa jäsenvaltioiden oikeuteen päättää siitä, kuka huolehtii kansallisen koordinaattorin tehtävästä. Jäsenvaltioiden olisi voitava mukauttaa kansallisten koordinaattoreidensa palveluväylään liittyviä toimintoja ja vastuualueita kansallisten hallintorakenteidensa mukaisesti. Jäsenvaltioiden olisi voitava nimittää lisää kansallisia koordinaattoreita hoitamaan tämän asetuksen mukaisia tehtäviä yksin tai yhdessä muiden koordinaattoreiden kanssa, ja näillä kansallisilla koordinaattoreilla olisi tällöin vastuu hallintoalan tai maantieteellisen alueen osalta tai muiden perusteiden mukaan. Jäsenvaltioiden olisi ilmoitettava komissiolle yksi kansallinen koordinaattori, jonka ne ovat nimittäneet vastaamaan yhteydenpidosta komissioon.

(68)

Olisi perustettava kansallisista koordinaattoreista koostuva palveluväylän koordinointiryhmä, jonka puheenjohtajana toimii komissio ja jonka tehtävänä on tämän asetuksen soveltamisen helpottaminen erityisesti vaihtamalla hyviä toimintatapoja ja tekemällä yhteistyötä, jotta tämän asetuksen mukaisesti vaaditut tiedot esitettäisiin johdonmukaisemmin. Palveluväylän koordinointiryhmän työssä olisi otettava huomioon tavoitteet, jotka on asetettu vuotuisessa työohjelmassa, joka komission olisi toimitettava koordinointiryhmälle käsiteltäväksi. Vuotuinen työohjelma olisi annettava suuntaviivojen tai suositusten, jotka eivät ole jäsenvaltioita sitovia, muodossa. Komissio voi Euroopan parlamentin pyynnöstä päättää pyytää parlamenttia lähettämään asiantuntijoita osallistumaan palveluväylän koordinointiryhmän kokouksiin.

(69)

Tässä asetuksessa olisi selvennettävä, mitkä palveluväylän osat on määrä rahoittaa unionin talousarviosta ja mitkä ovat jäsenvaltioiden vastuulla. Komission olisi avustettava jäsenvaltioita määrittämään uudelleenkäytettävät tieto- ja viestintätekniset rakenneosat ja unionin eri rahastoista ja ohjelmista saatavilla oleva rahoitus, joka voi auttaa kattamaan tämän asetuksen noudattamiseksi tarvittavista kansallisista tieto- ja viestintäteknisistä mukautuksista ja tietotekniikan kehittämisestä aiheutuvat kustannukset. Tämän asetuksen täytäntöönpanoon tarvittavan talousarvion olisi oltava sovellettavan monivuotisen rahoituskehyksen mukainen.

(70)

Jäsenvaltioita kannustetaan keskinäisen koordinoinnin, tietojenvaihdon ja yhteistyön lisäämiseen, jotta ne voisivat parantaa strategisia ja operatiivisia sekä tutkimus- ja kehittämisvalmiuksiaan kyberturvallisuuden alalla, erityisesti Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/1148 (27) tarkoitetun verkko- ja tietoturvan täytäntöönpanon avulla, julkishallintojensa ja palvelujensa turvallisuuden ja häiriönsietokyvyn vahvistamiseksi. Jäsenvaltioita kannustetaan parantamaan maksujen turvallisuutta ja varmistamaan sähköisten välineiden riittävä luotettavuus käyttämällä asetuksessa (EU) N:o 910/2014 säädettyä sähköistä tunnistamista koskevaa eIDAS-kehystä ja erityisesti asianmukaisia varmuustasoja. Jäsenvaltiot voivat toteuttaa unionin lainsäädännön mukaisia toimenpiteitä kyberturvallisuuden takaamiseksi ja henkilöllisyyspetosten ja muunlaisten petosten estämiseksi.

(71)

Jos tämän asetuksen soveltamiseen liittyy henkilötietojen käsittelyä, sen olisi tapahduttava henkilötietojen suojasta annetun unionin lainsäädännön mukaisesti, etenkin asetuksen (EU) 2016/679 sekä asetuksen (EU) 2018/1725 mukaisesti. Tämän asetuksen yhteydessä olisi sovellettava myös Euroopan parlamentin ja neuvoston direktiiviä (EU) 2016/680 (28). Asetuksen (EU) 2016/679 mukaisesti jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön terveystietojen käsittelyä koskevia lisäehtoja, kuten rajoituksia, ja ne voivat antaa myös yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä.

(72)

Tämän asetuksen olisi edistettävä ja helpotettava palveluväylän kattamien palvelujen hallintojärjestelyjen yksinkertaistamista. Tätä varten komission olisi tiiviissä yhteistyössä jäsenvaltioiden kanssa tarkasteltava nykyisiä hallintojärjestelyjä ja mukautettava niitä tarvittaessa päällekkäisyyden ja tehottomuuden välttämiseksi.

(73)

Tämän asetuksen tavoitteena on varmistaa, että käyttäjillä, jotka toimivat muissa jäsenvaltioissa, on mahdollisuus käyttää verkon kautta kattavia, luotettavia, esteettömiä ja ymmärrettäviä unionin ja kansallisen tason tietoja oikeuksista, säännöistä ja velvollisuuksista, sähköisiä menettelyjä, jotka voidaan hoitaa täysin rajatylittävästi, sekä neuvonta- ja ongelmanratkaisupalveluja. Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa mainittua tavoitetta, vaan se voidaan asetuksen laajuuden ja vaikutusten vuoksi saavuttaa paremmin unionin tasolla; sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi.

(74)

Jotta jäsenvaltiot ja komissio voisivat kehittää ja panna täytäntöön välineet, jotka ovat tarpeen tämän asetuksen täytäntöönpanoa varten, tiettyjä sen säännöksiä olisi alettava soveltaa kaksi vuotta sen voimaantulon jälkeen. Kuntaviranomaisille olisi annettava aikaa neljä vuotta tämän asetuksen voimaantulosta panna täytäntöön vaatimus tarjota tietoja säännöistä, menettelyistä sekä neuvonta- ja ongelmanratkaisupalveluista, jotka ovat niiden vastuulla. Tämän asetuksen säännökset, jotka koskevat kokonaan sähköisesti tarjottavia menettelyjä, rajatylittävää pääsyä sähköisiin menettelyihin sekä teknistä järjestelmää automaattista rajatylittävää todistusmateriaalin vaihtoa varten yhden kerran periaatteen mukaisesti, olisi pantava täytäntöön viimeistään viiden vuoden kuluttua tämän asetuksen voimaantulosta.

(75)

Tässä asetuksessa kunnioitetaan erityisesti Euroopan unionin perusoikeuskirjassa tunnustettuja perusoikeuksia ja noudatetaan siinä tunnustettuja periaatteita, ja se olisi pantava täytäntöön näiden oikeuksien ja periaatteiden mukaisesti.

(76)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (29) 28 artiklan 2 kohdan mukaisesti ja hän on antanut lausunnon 1 päivänä elokuuta 2017 (30),

(1)

Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ”perusoikeuskirja”, 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tämä oikeus taataan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn eurooppalaisen yleissopimuksen 8 artiklassa.

(2)

Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 45/2001 (3) säädetään luonnollisten henkilöiden täytäntöönpanokelpoisista oikeuksista, määritetään rekisterinpitäjien tietojenkäsittelyvelvollisuudet yhteisön toimielimissä ja elimissä ja perustetaan riippumaton valvontaviranomainen, Euroopan tietosuojavaltuutettu, jonka tehtävänä on valvoa henkilötietojen käsittelyä unionin toimielimissä ja elimissä. Sitä ei kuitenkaan sovelleta henkilötietojen käsittelyyn, jota suoritetaan sellaisen unionin toimielinten ja elinten toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.

(3)

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (4) ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (5) annettiin 27 päivänä huhtikuuta 2016. Asetuksessa vahvistetaan yleiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi unionissa, kun taas direktiivissä vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden varmistamiseksi unionissa rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla.

(4)

Asetuksessa (EU) 2016/679 säädetään mukautusten tekemisestä asetukseen (EY) N:o 45/2001, jotta varmistetaan vahva ja johdonmukainen tietosuojakehys unionissa ja jotta sitä voidaan soveltaa rinnakkain asetuksen (EU) 2016/679 kanssa.

(5)

Jotta voidaan varmistaa johdonmukainen lähestymistapa henkilötietojen suojaan koko unionissa ja henkilötietojen vapaa liikkuvuus unionissa, on tarkoituksenmukaista yhdenmukaistaa mahdollisuuksien mukaan unionin toimielinten, elinten ja laitosten tietosuojasäännöt jäsenvaltioiden julkista sektoria varten hyväksyttyjen tietosuojasääntöjen kanssa. Aina kun tämän asetuksen säännökset ovat periaatteellisesti yhteneväiset asetuksen (EU) 2016/679 säännösten kanssa, näitä kahta säännöstöä olisi Euroopan unionin tuomioistuimen, jäljempänä ”unionin tuomioistuin”, oikeuskäytännön mukaisesti tulkittava yhteneväisesti, erityisesti siksi, että tämän asetuksen rakenne olisi ymmärrettävä asetuksen (EU) 2016/679 rakennetta vastaavaksi.

(6)

Henkilöitä, joiden henkilötietoja käsitellään unionin toimielimissä ja elimissä missä tahansa yhteydessä, esimerkiksi siitä syystä, että he ovat kyseisten toimielinten ja elinten palveluksessa, olisi suojeltava. Tätä asetusta ei pitäisi soveltaa kuolleiden henkilöiden henkilötietojen käsittelyyn. Tämä asetus ei koske oikeushenkilöiden ja erityisesti oikeushenkilön muodossa perustettujen yritysten henkilötietojen käsittelyä, kuten oikeushenkilön nimeä, oikeudellista muotoa ja yhteystietoja.

(7)

Vakavan väärinkäytösten riskin välttämiseksi luonnollisten henkilöiden suojelun olisi oltava teknologianeutraalia eli se ei saisi riippua käytetystä tekniikasta.

(8)

Tätä asetusta olisi sovellettava kaikkien unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn. Sitä olisi sovellettava henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Sellaisten asiakirjojen tai asiakirjakokoelmien kansilehtineen, joita ei ole järjestetty tiettyjen perusteiden mukaisesti, ei olisi kuuluttava tämän asetuksen soveltamisalaan.

(9)

Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi. Yleiset säännöt sisältävää tämän asetuksen erillistä lukua olisi sen vuoksi sovellettava operatiivisten henkilötietojen, kuten rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla toimintaa toteuttavien unionin elinten tai laitosten rikostutkintaa varten käsittelemien henkilötietojen, käsittelyyn.

(10)

Direktiivissä (EU) 2016/680 vahvistetaan yhdenmukaiset säännöt sellaisten henkilötietojen suojelulle ja vapaalle liikkuvuudelle, joita käsitellään rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jotta varmistetaan samantasoinen suoja luonnollisille henkilöille ja täytäntöönpanokelpoiset oikeudet kaikkialla unionissa ja jotta estetään Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten sekä toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa haittaavat eroavuudet, tällaisten unionin elinten ja laitosten käsittelemien operatiivisten henkilötietojen suojelua ja vapaata liikkuvuutta koskevien sääntöjen olisi oltava yhdenmukaisia direktiivin (EU) 2016/680 kanssa.

(11)

Operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvun yleisiä sääntöjä olisi sovellettava rajoittamatta erityisiä sääntöjä, joita sovelletaan Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaan operatiivisten henkilötietojen käsittelyyn. Tällaisia erityisiä sääntöjä olisi pidettävä erityissäännöksenä (lex specialis) operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvussa oleviin säännöksiin nähden (lex specialis derogat legi generali). Jotta vähennettäisiin lainsäädännön hajanaisuutta, Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaan operatiivisten henkilötietojen käsittelyyn sovellettavien erityisten tietosuojasääntöjen olisi oltava sopusoinnussa operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen luvun taustalla olevien periaatteiden sekä riippumatonta valvontaa, oikeussuojakeinoja, vastuuta ja seuraamuksia koskevien tämän asetuksen säännösten kanssa.

(12)

Operatiivisten henkilötietojen käsittelyä koskevaa tämän asetuksen lukua olisi sovellettava Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia varten toteuttaviin unionin elimiin ja laitoksiin riippumatta siitä, toteuttavatko ne tällaista toimintaa pää- vai oheistoimintonaan. Sitä ei kuitenkaan pitäisi soveltaa Europoliin tai Euroopan syyttäjänvirastoon, ennen kuin Europolin ja Euroopan syyttäjänviraston perustamissäädöksiä muutetaan niin, että operatiivisten henkilötietojen käsittelyä koskevasta tämän asetuksen luvusta, sellaisena kuin se on mukautettuna, tulee niihin sovellettava.

(13)

Komission olisi tarkasteltava uudelleen tätä asetusta ja erityisesti operatiivisten henkilötietojen käsittelyä koskevaa tämän asetuksen lukua. Komission olisi tarkasteltava uudelleen myös muita perussopimusten perusteella annettuja säädöksiä, joilla säännellään Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaa operatiivisten henkilötietojen käsittelyä. Jotta varmistetaan yhtenäinen ja johdonmukainen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä, komission olisi tällaisen uudelleentarkastelun jälkeen voitava antaa asianmukaisia säädösehdotuksia, myös tarvittavista mukautuksista operatiivisten henkilötietojen käsittelyä koskevan tämän asetuksen lukuun sen soveltamiseksi Europoliin ja Euroopan syyttäjänvirastoon. Mukautuksissa olisi otettava huomioon riippumatonta valvontaa, oikeussuojakeinoja, vastuuta ja seuraamuksia koskevat säännökset.

(14)

Tämän asetuksen olisi koskettava hallinnollisten henkilötietojen käsittelyä, kuten Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin elinten ja laitosten suorittamaa henkilöstöä koskevien tietojen käsittelyä.

(15)

Tätä asetusta olisi sovellettava Euroopan unionista tehdyn sopimuksen V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa toteuttavien unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn. Tätä asetusta ei olisi sovellettava henkilötietojen käsittelyyn Euroopan unionista tehdyn sopimuksen 42 artiklan 1 kohdassa ja 43 ja 44 artiklassa tarkoitetuissa tehtävissä, joissa toteutetaan yhteistä turvallisuus- ja puolustuspolitiikkaa. Tapauksen mukaan olisi esitettävä asiaankuuluvia ehdotuksia henkilötietojen käsittelyn sääntelemiseksi tarkemmin yhteisen turvallisuus- ja puolustuspolitiikan alalla.

(16)

Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Pseudonymisoidut henkilötiedot, jotka voitaisiin yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, olisi katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä. Jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista. Jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Tietosuojaperiaatteita ei tämän vuoksi pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista. Tämä asetus ei tämän vuoksi koske tällaisten anonyymien, muun muassa tilasto- tai tutkimustarkoituksia varten käytettävien tietojen käsittelyä.

(17)

Pseudonymisoinnin soveltaminen henkilötietoihin voi vähentää asianomaisiin rekisteröityihin kohdistuvia riskejä sekä auttaa rekisterinpitäjiä ja henkilötietojen käsittelijöitä noudattamaan tietosuojavelvoitteitaan. ”Pseudonymisoinnin” nimenomaisella sisällyttämisellä tähän asetukseen ei ole tarkoitus sulkea pois mitään muita tietosuojatoimenpiteitä.

(18)

Luonnolliset henkilöt voidaan yhdistää heidän käyttämiensä laitteiden, sovellusten, työkalujen ja protokollien verkkotunnistetietoihin, kuten IP-osoitteisiin, evästeisiin tai muihin tunnisteisiin, esimerkiksi radiotaajuustunnisteisiin. Näin käyttäjästä voi jäädä jälkiä, joita voidaan käyttää luonnollisten henkilöiden profilointiin ja tunnistamiseen etenkin, kun niitä yhdistetään yksilöllisiin tunnisteisiin ja muihin palvelimille toimitettuihin tietoihin.

(19)

Suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palvelujen teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan. Rekisteröidyllä olisi silti oltava oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa. Usein tieteellisiä tutkimustarkoituksia varten tehtävän käsittelyn tarkoitusta ei ole mahdollista täysin määrittää siinä vaiheessa, kun henkilötietoja kerätään. Tästä syystä rekisteröityjen olisi voitava antaa suostumuksensa tietyille tieteellisen tutkimuksen aloille silloin, kun noudatetaan tieteellisen tutkimuksen tunnustettuja eettisiä standardeja. Rekisteröidyillä olisi oltava mahdollisuus antaa suostumuksensa ainoastaan tietyille tutkimusaloille tai tutkimushankkeiden osille, siinä määrin kuin suunniteltu tarkoitus sen mahdollistaa.

(20)

Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin, ja heidän olisi oltava selvillä siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä. Luonnollisille henkilöille olisi tiedotettava henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista ja oikeuksista sekä siitä, miten he voivat käyttää tällaista käsittelyä koskevia oikeuksiaan. Varsinkin henkilötietojen käsittelyn nimenomaiset tarkoitukset olisi määritettävä ja ilmoitettava henkilötietojen keruun yhteydessä yksiselitteisesti ja lainmukaisesti. Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta. Tämä edellyttää erityisesti sitä, että henkilötietojen säilytysaika on mahdollisimman lyhyt. Henkilötietoja olisi käsiteltävä vain, jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään, kuin on tarpeen. Olisi toteutettava kaikki kohtuulliset toimenpiteet, jotta varmistetaan, että virheelliset henkilötiedot oikaistaan tai poistetaan. Henkilötietoja olisi käsiteltävä siten, että varmistetaan henkilötietojen asianmukainen turvallisuus ja luottamuksellisuus, millä muun muassa estetään luvaton pääsy henkilötietoihin tai niiden käsittelyyn käytettyihin laitteistoihin ja tällaisten tietojen tai laitteistojen luvaton käyttö sekä estetään henkilötietojen luvaton luovuttaminen siirtämisen aikana.

(21)

Jos unionin toimielimet ja elimet siirtävät henkilötietoja saman unionin toimielimen tai elimen sisällä ja vastaanottaja ei ole osa rekisterinpitäjää tai muille unionin toimielimille ja elimille, niiden olisi tilivelvollisuuden periaatteen mukaisesti tarkistettava, tarvitaanko tällaisia henkilötietoja vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten. Kun vastaanottaja on pyytänyt henkilötietojen siirtoa, rekisterinpitäjän olisi erityisesti tarkistettava henkilötietojen lainmukaisen käsittelyn asianmukainen peruste ja vastaanottajan toimivalta. Rekisterinpitäjän olisi myös arvioitava alustavasti tietojen siirtämisen tarpeellisuus. Jos tarpeellisuudesta on epäilyksiä, rekisterinpitäjän olisi pyydettävä vastaanottajalta lisäselvityksiä. Vastaanottajan olisi varmistettava, että tietojen siirtämisen tarpeellisuus voidaan myöhemmin tarkistaa.

(22)

Jotta henkilötietojen käsittely olisi lainmukaista, sen olisi perustuttava unionin toimielinten ja elinten yleistä etua koskevan tai niille kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamisen tarpeellisuuteen, rekisterinpitäjän lakisääteisen velvoitteen noudattamisen tarpeellisuuteen tai muuhun tämän asetuksen mukaiseen oikeutettuun perusteeseen, mukaan lukien asianomaisen rekisteröidyn suostumus tai tarve panna täytäntöön sopimus, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Henkilötietojen käsittelyyn unionin toimielimissä ja elimissä yleistä etua koskevien tehtävien suorittamiseksi sisältyy toimielinten ja elinten hallinnolle ja toiminnalle tarpeellisten henkilötietojen käsittely. Henkilötietojen käsittelyä olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön hengen kannalta olennaisten etujen suojelemiseksi. Henkilötietoja olisi lähtökohtaisesti voitava käsitellä ainoastaan toisen luonnollisen henkilön elintärkeän edun perusteella silloin, kun käsittelyllä ei ole muuta ilmeistä käsittelyn oikeusperustaa. Tietyntyyppinen käsittely voi palvella sekä yleistä etua koskevia tärkeitä syitä että rekisteröidyn elintärkeitä etuja esimerkiksi silloin, kun tietojenkäsittely on tarpeen humanitaarisista syistä, kuten epidemioiden ja niiden leviämisen seuraamiseksi tai humanitaarisissa hätätilanteissa, erityisesti luonnonkatastrofien ja ihmisen aiheuttamien katastrofien yhteydessä.

(23)

Tässä asetuksessa tarkoitetun unionin oikeuden olisi oltava selkeää ja täsmällistä ja sen soveltamisen henkilöiden kannalta ennakoitavissa olevaa perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisesti.

(24)

Tässä asetuksessa tarkoitettujen sisäisten sääntöjen olisi oltava selkeitä ja täsmällisiä, soveltamisalaltaan yleisiä säädöksiä, jotka on tarkoitettu tuottamaan rekisteröityihin kohdistuvia oikeusvaikutuksia. Nämä sisäiset säännöt olisi hyväksyttävä unionin toimielinten ja elinten ylimmän johdon tasolla niiden toimivallan puitteissa ja niiden toimintaan liittyvissä asioissa. Ne olisi julkaistava Euroopan unionin virallisessa lehdessä. Kyseisten sääntöjen soveltamisen olisi oltava henkilöiden kannalta ennakoitavissa olevaa perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisesti. Sisäiset säännöt voidaan antaa päätösten muodossa erityisesti, kun unionin toimielin antaa ne.

(25)

Henkilötietojen käsittely muita tarkoituksia varten kuin niitä tarkoituksia, joita varten henkilötiedot on alun perin kerätty, olisi sallittava vain, jos käsittely sopii yhteen niiden tarkoitusten kanssa, joita varten henkilötiedot on alun perin kerätty. Tällöin henkilötietojen keruun oikeuttaneen käsittelyn oikeusperustan lisäksi ei edellytetä muuta erillistä käsittelyn oikeusperustaa. Jos käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, unionin oikeudessa voidaan määrittää ja täsmentää tehtävät ja tarkoitukset, joita varten myöhempää käsittelyä olisi pidettävä yhteensopivana ja laillisena. Myöhempi käsittely yleisen edun mukaisiin arkistointitarkoituksiin taikka tieteellisiä tai historiallisia tutkimustarkoituksia varten tai tilastollisiin tarkoituksiin olisi katsottava yhteensopiviksi laillisiksi käsittelytoimiksi. Myös unionin oikeuden tarjoama oikeusperusta henkilötietojen käsittelylle voi muodostaa oikeusperustan myöhemmälle käsittelylle. Jotta voidaan varmistaa, onko myöhemmän käsittelyn tarkoitus yhteensopiva sen tarkoituksen kanssa, jota varten henkilötiedot alun perin kerättiin, rekisterinpitäjän olisi kaikki alkuperäisen käsittelyn laillisuutta koskevat vaatimukset ensin täytettyään otettava huomioon muun muassa kyseisten tarkoitusten ja suunnitellun myöhemmän käsittelyn tarkoitusten väliset yhteydet, tilanne, jossa henkilötiedot on kerätty, erityisesti myöhempään käyttöön liittyvät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen, henkilötietojen luonne, suunnitellun myöhemmän käsittelyn seuraukset rekisteröidyille ja asianomaisten suojatoimien olemassaolo sekä alkuperäisessä että suunnitellussa myöhemmässä käsittelyssä.

(26)

Kun tietojenkäsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi voitava osoittaa, että rekisteröity on antanut suostumuksensa käsittelytoimiin. Etenkin jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava suojatoimin, että rekisteröity on tietoinen antamastaan suostumuksesta ja siitä, kuinka pitkälle menevästä suostumuksesta on kyse. Neuvoston direktiivin 93/13/ETY (6) mukaisesti rekisterinpitäjän ennalta muotoilema ilmoitus suostumuksesta olisi annettava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä eikä siihen pitäisi sisältyä kohtuuttomia ehtoja. Tietoisen suostumuksen antamiseksi rekisteröidyn olisi tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei olisi pidettävä vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.

(27)

Erityisesti lasten henkilötietoja on pyrittävä suojaamaan, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, asianomaisista suojatoimista ja omista oikeuksistaan. Tällaista erityistä suojaa olisi sovellettava etenkin henkilöprofiilien luomiseen ja lapsia koskevien henkilötietojen keräämiseen, kun kyse on suoraan lapsille unionin toimielinten ja elinten verkkosivuilla tarjotuista palveluista, kuten henkilöiden väliset viestintäpalvelut tai lippujen myyminen verkossa, ja henkilötietojen käsittely perustuu suostumukseen.

(28)

Kun muut unioniin sijoittautuneet vastaanottajat kuin unionin toimielimet ja elimet haluaisivat, että unionin toimielimet ja elimet siirtäisivät niille henkilötietoja, näiden vastaanottajien olisi osoitettava, että tietojen siirtäminen kyseisille vastaanottajille on tarpeen joko niiden yleistä etua koskevan tai niille kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi. Vaihtoehtoisesti näiden vastaanottajien olisi osoitettava, että siirtäminen on tarpeen yleistä etua koskevaa erityistä tarkoitusta varten, ja rekisterinpitäjän olisi selvitettävä, onko syytä olettaa, että rekisteröidyn oikeutetut edut voivat joutua vaaraan. Tällöin rekisterinpitäjän olisi todistetusti arvioitava erilaiset kilpailevat edut voidakseen arvioida pyydetyn henkilötietojen siirron oikeasuhteisuuden. Kyseinen yleistä etua koskeva erityinen tarkoitus voisi liittyä unionin toimielinten ja elinten avoimuuteen. Unionin toimielinten ja elinten olisi myös osoitettava tällainen tarve, kun ne itse ovat siirron alkuunpanijoita, avoimuuden ja hyvän hallinnon periaatteen mukaisesti. Tässä asetuksessa säädettyjen, tietojen siirtämistä muille unioniin sijoittautuneille vastaanottajille kuin unionin toimielimille ja elimille koskevien vaatimusten olisi katsottava täydentävän lainmukaisen käsittelyn edellytyksiä.

(29)

Henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Tällaisia henkilötietoja ei pitäisi käsitellä, elleivät tässä asetuksessa säädetyt erityiset edellytykset täyty. Tällaisiin henkilötietoihin olisi sisällyttävä henkilötiedot, joista ilmenee rotu tai etninen alkuperä. Ilmaisun ”rotu” käyttäminen tässä asetuksessa ei kuitenkaan tarkoita sitä, että unioni hyväksyisi teorioita, joilla yritetään määrittää eri ihmisrotujen olemassaolo. Valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. Arkaluonteisten tietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn edellytysten osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen.

(30)

Henkilötietojen erityisryhmiin kuuluvia, erityissuojelua tarvitsevia henkilötietoja olisi käsiteltävä vain terveyteen liittyvien syiden perusteella silloin, kun se on tarpeen luonnollisten henkilöiden ja koko yhteiskunnan etua palvelevien tarkoitusten toteuttamiseksi erityisesti terveyden- tai sosiaalihuollon palvelujen ja järjestelmien hallinnon yhteydessä. Näin ollen tässä asetuksessa olisi säädettävä erityisryhmiin kuuluvien terveyttä koskevien henkilötietojen käsittelyn yhdenmukaisista ehdoista erityistarpeiden osalta erityisesti, kun henkilö, jolla on lakisääteinen salassapitovelvollisuus, käsittelee tällaisia tietoja tiettyjä terveyteen liittyviä tarkoituksia varten. Unionin oikeudessa olisi säädettävä erityisistä ja asianmukaisista toimenpiteistä luonnollisten henkilöiden perusoikeuksien ja henkilötietojen suojelemiseksi.

(31)

Erityisryhmiin kuuluvia henkilötietoja saattaa olla tarpeen käsitellä ilman rekisteröidyn suostumusta kansanterveyteen liittyvää yleistä etua koskevista syistä. Tällaisen käsittelyn olisi edellytettävä asianmukaisia ja erityisiä toimenpiteitä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi. Tässä yhteydessä ”kansanterveydellä” olisi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1338/2008 (7) olevan määritelmän mukaisesti tarkoitettava kaikkia niitä osatekijöitä, jotka koskevat terveyttä, erityisesti terveydentilaa, myös sairastuvuutta ja vammaisuutta, terveydentilaan vaikuttavia tekijöitä, terveydenhuoltopalvelujen tarvetta, terveydenhuoltoon myönnettyjä resursseja, terveydenhuoltopalvelujen tarjontaa ja yleistä saatavuutta, terveydenhuollon menoja ja rahoitusta sekä kuolleisuuden syitä. Tällainen yleistä etua koskevista syistä suoritettava terveystietojen käsittely ei saisi johtaa siihen, että henkilötietoja käsitellään muita tarkoituksia varten.

(32)

Jos rekisterinpitäjä ei pysty tunnistamaan luonnollista henkilöä käsittelemiensä henkilötietojen perusteella, rekisterinpitäjää ei saisi velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä on tarpeen vain, jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä. Rekisterinpitäjän ei pitäisi kuitenkaan kieltäytyä vastaanottamasta rekisteröidyn antamia lisätietoja tämän oikeuksien käyttämisen tukemiseksi. Tunnistamiseen olisi sisällytettävä rekisteröidyn digitaalinen tunnistaminen esimerkiksi todentamismekanismin avulla, kuten käyttämällä samoja tunnisteita, joita rekisteröity käyttää kirjautuessaan rekisterinpitäjän tarjoamiin verkkopalveluihin.

(33)

Henkilötietojen käsittelyyn yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten olisi sovellettava tämän asetuksen mukaisia rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. Näillä suojatoimilla olisi varmistettava, että on toteutettu tekniset ja organisatoriset toimenpiteet, jotta taataan etenkin tietojen minimoinnin periaate. Henkilötietojen myöhempi käsittely yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten on tehtävä, jos rekisterinpitäjä on arvioinut, onko kyseiset tarkoitukset mahdollista saavuttaa käsittelemällä tietoja, joiden avulla ei voida tai ei enää voida tunnistaa rekisteröityjä, kunhan asianmukaiset suojatoimet (kuten tietojen pseudonymisointi) on toteutettu. Unionin toimielinten ja elinten olisi toteutettava asianmukaiset suojatoimet henkilötietojen käsittelylle yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten unionin oikeudessa, johon voi sisältyä unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymiä sisäisiä sääntöjä.

(34)

Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa esimerkiksi mekanismeilla, joilla rekisteröity voi pyytää pääsyä henkilötietoihin ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön ja mahdollisuuksien mukaan saada nämä oikeudet maksutta sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. Rekisterinpitäjän olisi myös tarjottava keinot esittää tällaiset pyynnöt sähköisesti erityisesti silloin, kun henkilötietoja käsitellään sähköisesti. Rekisterinpitäjä olisi velvoitettava vastaamaan rekisteröidyn pyyntöihin ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa sekä perustelemaan kieltäytymisensä siinä tapauksessa, että rekisterinpitäjä ei aio noudattaa tällaisia pyyntöjä.

(35)

Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista. Rekisterinpitäjän olisi toimitettava rekisteröidylle lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys. Rekisteröidylle olisi myös ilmoitettava profiloinnin olemassaolosta ja sen seurauksista. Jos henkilötietoja kerätään rekisteröidyltä, tälle olisi lisäksi ilmoitettava, onko hänen pakko toimittaa henkilötiedot, sekä kieltäytymisen seurauksista. Nämä tiedot voidaan antaa yhdessä vakiomuotoisten kuvakkeiden kanssa, jotta suunnitellusta käsittelystä voidaan antaa mielekäs yleiskuva helposti erottuvalla, ymmärrettävällä ja selvästi luettavissa olevalla tavalla. Jos kuvakkeet esitetään sähköisessä muodossa, niiden olisi oltava koneellisesti luettavissa.

(36)

Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keruun yhteydessä tai, jos henkilötiedot on saatu jostakin muusta lähteestä, kohtuullisen ajan kuluessa tietojen keruusta, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos henkilötietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun henkilötietoja luovutetaan ensimmäisen kerran. Jos rekisterinpitäjä aikoo käsitellä henkilötietoja muuhun tarkoitukseen kuin siihen, jota varten ne on kerätty, rekisterinpitäjän olisi toimitettava rekisteröidylle ennen kyseistä myöhempää käsittelyä tiedot tästä muusta tarkoituksesta sekä muut tarvittavat tiedot. Jos rekisteröidylle ei ole voitu ilmoittaa henkilötietojen alkuperää johtuen siitä, että on käytetty useita lähteitä, olisi annettava yleiset tiedot.

(37)

Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Tähän sisältyy rekisteröidyn oikeus saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista ja, jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai henkinen omaisuus ja erityisesti ohjelmistojen tekijänoikeudet. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. Jos rekisterinpitäjä käsittelee merkittäviä määriä rekisteröityä koskevia tietoja, rekisterinpitäjän olisi voitava pyytää rekisteröityä täsmentämään ennen tietojen luovuttamista, mitä tietoja tai mitä käsittelytoimia rekisteröidyn pyyntö koskee.

(38)

Rekisteröidyllä olisi oltava oikeus saada häntä koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi”, jos tietojen säilyttäminen rikkoo tätä asetusta tai rekisterinpitäjään sovellettavaa unionin oikeutta. Rekisteröidyllä olisi oltava oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen kun henkilötietoja ei enää tarvita niitä tarkoituksia varten, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa tai kun hän on vastustanut henkilötietojensa käsittelyä tai kun hänen henkilötietojensa käsittely ei muutoin ole tämän asetuksen säännösten mukaista. Tämä oikeus tulee kyseeseen erityisesti silloin kun rekisteröity on antanut suostumuksensa lapsena, eikä ole ollut täysin tietoinen tietojenkäsittelyyn liittyvistä riskeistä, ja haluaa myöhemmin poistaa tällaiset tiedot erityisesti internetistä. Rekisteröidyn olisi voitava käyttää tätä oikeutta siitä huolimatta, että hän ei enää ole lapsi. Henkilötietojen edelleen säilyttämisen tulisi kuitenkin olla lainmukaista, jos se on tarpeen sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi, lakisääteisen velvoitteen noudattamiseksi, yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, kansanterveyteen liittyvää yleistä etua koskevista syistä, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

(39)

Jotta voitaisiin vahvistaa oikeutta tulla unohdetuksi verkkoympäristössä, oikeutta tietojen poistamiseen olisi laajennettava edellyttämällä, että henkilötiedot julkistanut rekisterinpitäjä on velvollinen ilmoittamaan näitä henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kaikkien näihin tietoihin liittyvien linkkien tai näiden tietojen jäljennösten tai kopioiden poistamista. Näin menetellessään rekisterinpitäjän olisi toteutettava kohtuulliset toimenpiteet, mukaan lukien tekniset toimenpiteet, ottaen huomioon käytettävissä oleva teknologia ja keinot, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille rekisteröidyn pyynnöstä.

(40)

Henkilötietojen käsittelyä rajoittavia menetelmiä voisivat olla muun muassa valittujen tietojen väliaikainen siirtäminen toiseen käsittelyjärjestelmään, käyttäjien pääsyn estäminen valittuihin henkilötietoihin tai julkaistujen tietojen väliaikainen poistaminen verkkosivustolta. Automaattisissa rekistereissä käsittelyn rajoittaminen olisi lähtökohtaisesti varmistettava teknisin keinoin niin, että henkilötiedot eivät enää myöhemmin joudu käsittelytoimien kohteeksi eikä niitä enää voi muuttaa. Henkilötietojen käsittelyn rajoittaminen olisi ilmaistava järjestelmässä selvästi.

(41)

Jotta voitaisiin edelleen vahvistaa rekisteröityjen oikeutta valvoa henkilötietojaan silloin, kun henkilötietojen käsittely suoritetaan automaattisesti, rekisteröidyn olisi myös voitava saada häntä koskevat henkilötiedot, jotka hän on toimittanut rekisterinpitäjälle, jäsennellyssä, yleisesti käytetyssä, koneellisesti luettavassa ja yhteentoimivassa muodossa ja siirtää ne toiselle rekisterinpitäjälle. Rekisterinpitäjiä olisi kannustettava kehittämään yhteentoimivia muotoja, jotka mahdollistavat tietojen siirtämisen. Tätä oikeutta olisi sovellettava silloin, kun rekisteröity on antanut henkilötiedot oman suostumuksensa perusteella tai kun käsittely on tarpeen sopimuksen täytäntöönpanemiseksi. Siksi sitä ei pitäisi soveltaa silloin, kun henkilötietojen käsittely on tarpeen rekisterinpitäjää koskevan lakisääteisen velvoitteen noudattamiseksi tai yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi. Rekisteröidyn oikeus siirtää tai vastaanottaa häntä koskevia henkilötietoja ei saisi luoda rekisterinpitäjille velvoitetta ottaa käyttöön tai ylläpitää tietojenkäsittelyjärjestelmiä, jotka ovat teknisesti yhteensopivia. Jos tietyssä henkilötietoja sisältävässä tietojoukossa tiedot koskevat useampia kuin yhtä rekisteröityä, oikeus vastaanottaa henkilötietoja ei saisi rajoittaa toisten rekisteröityjen tämän asetuksen mukaisia oikeuksia ja vapauksia. Tämä oikeus ei saisi myöskään rajoittaa rekisteröidyn oikeutta saada henkilötiedot poistetuiksi eikä tämän asetuksen mukaisia rajoituksia kyseiseen oikeuteen, ja se ei etenkään saisi merkitä niiden rekisteröityä koskevien henkilötietojen poistamista, jotka tämä on antanut sopimuksen täytäntöönpanoa varten, siinä määrin ja niin kauan kuin henkilötiedot ovat tarpeen sopimuksen täytäntöönpanoa varten. Kun se on teknisesti mahdollista, rekisteröidyllä pitäisi olla oikeus saada henkilötiedot siirrettyä suoraan rekisterinpitäjältä toiselle.

(42)

Tapauksissa, joissa henkilötietoja voitaisiin käsitellä lainmukaisesti, koska käsittely on tarpeen yleistä etua koskevan tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen liittyvän tehtävän suorittamiseksi, rekisteröidyllä olisi kuitenkin oltava oikeus vastustaa hänen tilannettaan koskevien henkilötietojen käsittelyä. Rekisterinpitäjän olisi osoitettava, että rekisterinpitäjän huomattavan tärkeät oikeutetut edut syrjäyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet.

(43)

Rekisteröidyllä olisi oltava oikeus olla joutumatta hänen henkilökohtaisia ominaisuuksiaan arvioivan, mahdollisesti toimenpiteen sisältävän päätöksen kohteeksi, joka on tehty yksinomaan automaattisen käsittelyn perusteella, josta hänelle aiheutuu oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi, kuten sähköisen rekrytoinnin käytännöt ilman ihmisen osallistumista. Kyseinen tietojenkäsittely sisältää ”profiloinnin”, joka tarkoittaa mitä tahansa henkilötietojen automaattista käsittelyä luonnollisen henkilön henkilökohtaisten ominaisuuksien arvioimiseksi, erityisesti rekisteröidyn työsuorituksen, taloudellisen tilanteen, terveyden, henkilökohtaisten mieltymysten tai kiinnostuksen kohteiden, luotettavuuden tai käyttäytymisen, sijainnin tai liikkumisen analysoimiseksi tai ennakoimiseksi, siltä osin kuin sillä on rekisteröityyn kohdistuvia oikeusvaikutuksia tai se vaikuttaa häneen vastaavalla tavalla merkittävästi.

Kyseiseen tietojenkäsittelyyn, mukaan lukien profilointi, perustuva päätöksenteko olisi kuitenkin sallittava, jos siihen annetaan nimenomainen lupa unionin oikeudessa. Tällaiseen käsittelyyn olisi kuitenkin aina sovellettava asianmukaisia suojatoimia, joihin olisi kuuluttava käsittelystä ilmoittaminen rekisteröidylle ja oikeus vaatia ihmisen osallistumista tietojen käsittelemiseen, esittää kantansa, saada selvitys kyseisen arvioinnin jälkeen tehdystä päätöksestä ja riitauttaa päätös. Tällaista toimenpidettä ei saisi kohdistaa lapseen. Rekisteröityä koskevan asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys, rekisterinpitäjän olisi käytettävä profiloinnissa asianmukaisia matemaattisia tai tilastollisia menetelmiä, toteutettava teknisiä ja organisatorisia toimenpiteitä, jotka soveltuvat erityisesti sen varmistamiseen, että henkilötietojen virheellisyyteen johtavat tekijät korjataan ja virheriski minimoidaan, sekä turvattava henkilötiedot siten, että rekisteröidyn etuihin ja oikeuksiin kohdistuvat mahdolliset riskit otetaan huomioon ja estetään muun muassa luonnollisten henkilöiden syrjintä rodun tai etnisen alkuperän, poliittisten mielipiteiden, uskonnon tai vakaumuksen, ammattiliittoon kuulumisen, geneettisen tilan, terveydentilan tai seksuaalisen suuntautumisen perusteella taikka käsittely, jonka johdosta toteutetaan toimenpiteitä, joilla on tällaisia seurauksia. Henkilötietojen erityisluokitteluun perustuva automaattinen päätöksenteko ja profilointi olisi sallittava vain erityistilanteissa.

(44)

Perussopimusten perusteella annetuissa säädöksissä tai unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymissä sisäisissä säännöissä voidaan asettaa rajoituksia, jotka koskevat erityisiä periaatteita ja oikeutta saada ilmoitus tietojenkäsittelystä, pääsyä tietoihin ja oikeutta oikaista tai poistaa henkilötietoja ja oikeutta siirtää tiedot järjestelmästä toiseen, sähköisen viestinnän tietojen luottamuksellisuutta, henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle sekä eräitä näihin liittyviä rekisterinpitäjän velvollisuuksia, siltä osin kuin ne ovat välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa yleisen turvallisuuden takaamiseksi ja rikosten ennalta estämistä, tutkintaa ja rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Näin on silloin, kun kyseessä on yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, ihmishenkien suojeleminen erityisesti ihmisen aiheuttaman tai luonnonkatastrofin yhteydessä, unionin toimielinten ja elinten sisäinen turvallisuus, muut unionin tai jäsenvaltion tärkeää yleistä etua koskevat syyt, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionin tai jäsenvaltion tärkeät taloudelliset tai rahoitusta koskevat edut sekä julkisten rekisterien pitäminen yleiseen etuun liittyvistä syistä tai rekisteröidyn suojelemiseksi tai muille kuuluvien oikeuksien ja vapauksien, muun muassa sosiaaliturvan, kansanterveyden ja humanitaaristen tarkoitusten, turvaamiseksi.

(45)

Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän lukuun suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan lukien. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski.

(46)

Nämä todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit voivat aiheutua henkilötietojen käsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa syrjintään, identiteettivarkauteen tai petokseen, taloudellisiin menetyksiin, maineen vahingoittumiseen, salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetykseen tai pseudonymisoinnin luvattomaan kumoutumiseen tai aiheuttaa muuta merkittävää taloudellista tai sosiaalista vahinkoa; jos rekisteröidyiltä saatetaan evätä heidän oikeuksiaan ja vapauksiaan tai estää heitä valvomasta omia henkilötietojaan; jos käsitellään sellaisia henkilötietoja, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta ja ammattiliittoon kuulumista, tai käsitellään geneettisiä tietoja tai terveystietoja ja seksuaalista käyttäytymistä tai rikostuomioita ja rikoksia tai niihin liittyviä turvaamistoimenpiteitä koskevia tietoja; jos arvioidaan henkilökohtaisia ominaisuuksia, erityisesti kun kyseessä on henkilöprofiilin luomista tai käyttämistä varten suoritettu analyysi tai ennakointi työsuorituksesta, taloudellisesta tilanteesta, terveydestä, henkilökohtaisista mieltymyksistä tai kiinnostuksen kohteista, luotettavuudesta tai käyttäytymisestä, sijainnista tai liikkeistä; jos käsitellään heikossa asemassa olevien luonnollisten henkilöiden, erityisesti lasten, henkilötietoja tai jos käsitellään suuria määriä henkilötietoja ja käsittely koskee suurta rekisteröityjen määrää.

(47)

Rekisteröidyn oikeuksiin ja vapauksiin kohdistuvan riskin todennäköisyys ja vakavuus olisi määriteltävä tietojenkäsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten mukaan. Riski olisi arvioitava objektiivisen arvioinnin perusteella, jolla todetaan, liittyykö tietojenkäsittelytoimiin riski tai korkea riski.

(48)

Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että asetuksessa säädetyt vaatimukset täyttyvät. Jotta voidaan osoittaa, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. Tällaisia toimenpiteitä voisivat olla muun muassa henkilötietojen käsittelyn minimointi, henkilötietojen pseudonymisointi mahdollisimman pian, tehtävien ja henkilötietojen käsittelyn läpinäkyvyys sekä sen mahdollistaminen, että rekisteröity voi valvoa tietojenkäsittelyä ja että rekisterinpitäjä voi luoda ja parantaa turvaominaisuuksia. Sisäänrakennetun ja oletusarvoisen tietosuojan periaatteet olisi myös huomioitava julkisten tarjouskilpailujen yhteydessä.

(49)

Asetuksessa (EU) 2016/679 säädetään, että rekisterinpitäjien on osoitettava velvollisuuksien noudattaminen noudattamalla hyväksyttyjä sertifiointimekanismeja. Myös unionin toimielinten ja elinten olisi voitava osoittaa, että ne noudattavat tämän asetuksen vaatimuksia, hankkimalla sertifiointi asetuksen (EU) 2016/679 42 artiklan mukaisesti.

(50)

Rekisteröidyn oikeuksien ja vapauksien suojelu sekä rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet ja vastuut edellyttävät, että tässä asetuksessa säädetyt vastuualueet jaetaan selkeästi, myös silloin kun rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot yhdessä muiden rekisterinpitäjien kanssa tai kun käsittely suoritetaan rekisterinpitäjän lukuun.

(51)

Jotta voidaan varmistaa, että henkilötietojen käsittelijä noudattaa tämän asetuksen vaatimuksia rekisterinpitäjän lukuun suorittamassaan käsittelyssä, rekisterinpitäjän olisi antaessaan käsittelytoimet henkilötietojen käsittelijän tehtäväksi käytettävä ainoastaan sellaisia henkilötietojen käsittelijöitä, joilla on antaa riittävät takeet erityisesti asiantuntemuksesta, luotettavuudesta ja resursseista, jotta ne voivat panna täytäntöön tämän asetuksen vaatimusten mukaiset tekniset ja organisatoriset toimenpiteet, käsittelyn turvallisuus mukaan lukien. Sitä, että muut henkilötietojen käsittelijät kuin unionin toimielimet ja elimet noudattavat hyväksyttyjä käytännesääntöjä tai hyväksyttyä sertifiointimekanismia, voidaan käyttää osoittamaan rekisterinpitäjälle asetettujen velvollisuuksien noudattamista. Muun henkilötietojen käsittelijän kuin unionin toimielimen tai elimen suorittamaa käsittelyä olisi säänneltävä sopimuksella tai siinä tapauksessa, että käsittelijöinä ovat unionin toimielimet tai elimet, unionin oikeuden mukaisella sopimuksella tai muulla oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijän rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitukset, henkilötietojen tyyppi ja rekisteröityjen ryhmät, ja siinä olisi otettava huomioon henkilötietojen käsittelijän erityistehtävät ja vastuualueet suoritettavan käsittelyn yhteydessä sekä rekisteröidyn oikeuksiin ja vapauksiin liittyvä riski. Rekisterinpitäjän ja henkilötietojen käsittelijän olisi voitava halutessaan käyttää yksittäistä sopimusta tai sellaisia vakiosopimuslausekkeita, jotka hyväksyy joko suoraan komissio tai ensin Euroopan tietosuojavaltuutettu ja sitten komissio. Kun henkilötietojen käsittelijä on saattanut käsittelyn loppuun rekisterinpitäjän lukuun, sen olisi rekisterinpitäjän valinnan mukaisesti palautettava tai poistettava henkilötiedot, paitsi jos unionin oikeudessa tai henkilötietojen käsittelijään sovellettavassa jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot.

(52)

Rekisterinpitäjien olisi ylläpidettävä selostetta vastuullaan olevista käsittelytoimista ja henkilötietojen käsittelijöiden olisi ylläpidettävä selostetta vastuullaan olevista käsittelytoimien ryhmistä voidakseen osoittaa, että ne noudattavat tätä asetusta. Unionin toimielimet ja elimet olisi velvoitettava tekemään yhteistyötä Euroopan tietosuojavaltuutetun kanssa ja saattamaan pyydettäessä selosteensa sen saataville, jotta käsittelytoimia voidaan seurata niiden pohjalta. Unionin toimielinten ja elinten olisi voitava perustaa käsittelytoimistaan laatimiensa selosteiden keskusrekisteri, paitsi jos se unionin toimielimen tai elimen koko huomioon ottaen ei ole tarkoituksenmukaista. Läpinäkyvyyden vuoksi niiden olisi myös voitava tehdä rekisteristä julkinen.

(53)

Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi rekisterinpitäjän tai henkilötietojen käsittelijän olisi arvioitava käsittelyyn liittyvät riskit ja toteutettava toimenpiteitä näiden riskien lieventämiseksi esimerkiksi salauksella. Näiden toimenpiteiden avulla olisi varmistettava asianmukainen turvallisuustaso, muun muassa luottamuksellisuus, ottaen huomioon uusin tekniikka ja toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Tietosuojariskiä arvioitaessa olisi otettava huomioon henkilötietojen käsittelyyn liittyvät riskit, kuten siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy, mikä voi aiheuttaa etenkin fyysisiä, aineellisia tai aineettomia vahinkoja.

(54)

Unionin toimielinten ja elinten olisi varmistettava sähköisen viestinnän luottamuksellisuus perusoikeuskirjan 7 artiklan mukaisesti. Unionin toimielinten ja elinten olisi erityisesti varmistettava sähköisten viestintäverkkojensa turvallisuus. Niiden olisi suojattava yleisesti saatavilla olevia verkkosivustojaan ja mobiilisovelluksiaan käyttävien käyttäjien päätelaitteita koskevat tiedot Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (8) mukaisesti. Niiden olisi myös suojattava käyttäjäluetteloihin tallennetut henkilötiedot.

(55)

Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysisiä, aineellisia tai aineettomia vahinkoja. Sen vuoksi rekisterinpitäjän olisi ilmoitettava henkilötietojen tietoturvaloukkauksesta Euroopan tietosuojavaltuutetulle ilman aiheetonta viivytystä heti, kun se on tullut rekisterinpitäjän tietoon, ja mahdollisuuksien mukaan 72 tunnin kuluessa, paitsi jos rekisterinpitäjä pystyy osoittamaan tilivelvollisuusperiaatteen mukaisesti, että henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos tällaista ilmoitusta ei voida tehdä 72 tunnin kuluessa, ilmoitukseen olisi liitettävä selvitys viivytyksen syistä, ja tietoa voidaan antaa vaiheittain ilman aiheetonta lisäviivytystä. Jos tällainen viivytys on perusteltu, tietoturvaloukkausta koskevia vähemmän arkaluonteisia tai vähemmän täsmällisiä tietoja olisi annettava mahdollisimman varhaisessa vaiheessa sen sijaan, että taustalla oleva tapahtuma ratkaistaisiin kaikilta osin ennen ilmoituksen tekemistä.

(56)

Rekisterinpitäjän olisi ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä, jos tämä tietoturvaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin, jotta rekisteröity voi toteuttaa tarvittavat varotoimet. Ilmoituksessa olisi kuvattava henkilötietojen tietoturvaloukkauksen luonne ja esitettävä suosituksia siitä, miten asianomainen luonnollinen henkilö voi lieventää sen mahdollisia haittavaikutuksia. Tällainen ilmoitus rekisteröidylle olisi tehtävä niin pian, kuin se on kohtuudella mahdollista ja tiiviissä yhteistyössä Euroopan tietosuojavaltuutetun kanssa noudattaen sen tai muiden asiaankuuluvien viranomaisten, kuten lainvalvontaviranomaisten, antamia ohjeita.

(57)

Asetuksessa (EY) N:o 45/2001 säädetään rekisterinpitäjän yleisestä velvollisuudesta ilmoittaa henkilötietojen käsittelystä tietosuojavastaavalle. Tietosuojavastaavan on pidettävä rekisteriä ilmoitetuista käsittelytoimista, paitsi jos se unionin toimielimen tai elimen koko huomioon ottaen ei ole tarkoituksenmukaista. Tämän yleisen velvollisuuden lisäksi olisi otettava käyttöön tehokkaita menettelyjä ja mekanismeja sellaisten käsittelytoimien valvomiseksi, joihin niiden luonteen, laajuuden, asiayhteyden ja tarkoitusten vuoksi todennäköisesti liittyy luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkea riski. Tällaisia menettelyjä olisi oltava käytössä erityisesti myös silloin, kun käsittelytoimien tyypit perustuvat uusien tekniikoiden käyttöön tai ne ovat uudenlaisia ja niiden osalta rekisterinpitäjä ei ole ensin tehnyt tietosuojaa koskevaa vaikutustenarviointia tai kun tietosuojaa koskeva vaikutustenarviointi on tullut tarpeelliseksi, koska aikaa on kulunut siitä kun käsittely alkoi. Tällaisissa tapauksissa rekisterinpitäjän olisi korkean riskin erityisen todennäköisyyden ja vakavuuden arvioimiseksi käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä riskin alkuperän huomioon ottaen tehtävä ennen tietojenkäsittelyä tietosuojaa koskeva vaikutustenarviointi. Tässä vaikutustenarvioinnissa olisi tarkasteltava erityisesti suunniteltuja toimenpiteitä sekä suojatoimia ja mekanismeja, joiden avulla lievennetään edellä mainittua riskiä, varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu.

(58)

Jos tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittelyyn liittyisi riskin lieventämistä koskevien suojatoimien, turvatoimenpiteiden ja mekanismien puuttumisen vuoksi suuri luonnollisten henkilöiden oikeuksiin ja vapauksiin vaikuttava riski, ja rekisterinpitäjä katsoo, että tätä riskiä ei voida kohtuullisin toimenpitein vähentää saatavilla olevan tekniikan ja toteuttamiskustannusten suhteen, ennen käsittelytoimien aloittamista olisi kuultava Euroopan tietosuojavaltuutettua. On todennäköistä, että tällainen korkea riski liittyy tietyntyyppiseen henkilötietojen käsittelyyn ja käsittelyn laajuuteen ja toistumistiheyteen, mikä voi aiheuttaa vahinkoa myös luonnollisen henkilön oikeuksille ja vapauksille tai merkitä niihin puuttumista. Euroopan tietosuojavaltuutetun olisi vastattava kuulemispyyntöön määrätyn ajan kuluessa. Euroopan tietosuojavaltuutetun reagoimattomuus määräajan puitteissa ei kuitenkaan saisi vaikuttaa tietosuojavaltuutetun mahdollisiin toimiin hänelle tässä asetuksessa annettujen tehtävien ja valtuuksien puitteissa, kuten valtaan kieltää käsittelytoimia. Osana kuulemismenettelyä olisi oltava mahdollista toimittaa Euroopan tietosuojavaltuutetulle käsittelyn osalta toteutetun tietosuojaa koskevan vaikutustenarvioinnin tulos, etenkin toimenpiteet, joiden tarkoituksena on vähentää luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä.

(59)

Euroopan tietosuojavaltuutetulle olisi ilmoitettava hallinnollisista toimenpiteistä ja sitä olisi kuultava unionin toimielinten ja elinten toimintaansa liittyvissä asioissa hyväksymistä sisäisistä säännöistä, kun niissä määrätään henkilötietojen käsittelystä, määrätään edellytykset rekisteröityjen oikeuksien rajoituksille tai määrätään asianmukaisista suojatoimista rekisteröidyn oikeuksien osalta, jotta varmistetaan, että suunnitellussa käsittelyssä noudatetaan tätä asetusta erityisesti sen osalta, että rekisteröityyn kohdistuvia riskejä pienennetään.

(60)

Asetuksessa (EU) 2016/679 perustettiin Euroopan tietosuojaneuvosto riippumattomaksi unionin elimeksi, jolla on oikeushenkilöllisyys. Tietosuojaneuvoston olisi osaltaan varmistettava, että asetusta (EU) 2016/679 ja direktiiviä (EU) 2016/680 sovelletaan yhdenmukaisesti kaikkialla unionissa, myös antamalla neuvoja komissiolle. Samanaikaisesti Euroopan tietosuojavaltuutetun olisi edelleen huolehdittava valvonta- ja neuvontatehtävistään kaikkien unionin toimielinten ja elinten osalta omasta aloitteestaan tai pyynnöstä. Jotta varmistetaan tietosuojasääntöjen johdonmukaisuus kaikkialla unionissa, komission olisi ehdotuksia tai suosituksia laatiessaan pyrittävä kuulemaan Euroopan tietosuojavaltuutettua. Komission toteuttaman kuulemisen olisi oltava pakollinen sellaisten lainsäätämisjärjestyksessä hyväksyttävien säädösten antamisen jälkeen tai laadittaessa sellaisia Euroopan unionin toiminnasta tehdyn sopimuksen 289, 290 ja 291 artiklassa määriteltyjä delegoituja säädöksiä ja täytäntöönpanosäädöksiä sekä sellaisten Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklassa tarkoitettuihin kolmansien maiden ja kansainvälisten järjestöjen kanssa tehtyihin sopimuksiin liittyvien suositusten ja ehdotusten hyväksymisen jälkeen, jotka vaikuttavat henkilötietojen suojaa koskevaan oikeuteen. Tällaisissa tapauksissa komissio olisi velvoitettava kuulemaan Euroopan tietosuojavaltuutettua, paitsi jos asetuksessa (EU) 2016/679 säädetään Euroopan tietosuojaneuvoston pakollisesta kuulemisesta, esimerkiksi silloin, kun on kyse tietosuojan riittävyyttä koskevista päätöksistä tai vakiomuotoisia kuvakkeita ja sertifiointimekanismeille asetettavia vaatimuksia koskevista delegoiduista säädöksistä. Jos kyseinen säädös on erityisen tärkeä luonnollisten henkilöiden oikeuksien ja vapauksien suojelemiseksi henkilötietojen käsittelyssä, komission olisi myös voitava kuulla Euroopan tietosuojaneuvostoa. Näissä tapauksissa Euroopan tietosuojavaltuutetun olisi Euroopan tietosuojaneuvoston jäsenenä koordinoitava työtään tietosuojaneuvoston kanssa yhteisen lausunnon antamiseksi. Euroopan tietosuojavaltuutetun ja soveltuvin osin Euroopan tietosuojaneuvoston olisi toimitettava kirjalliset lausuntonsa kahdeksan viikon kuluessa. Kyseisen määräajan olisi oltava lyhyempi kiireellisissä tapauksissa tai silloin, kun se on muuten aiheellista, esimerkiksi komission valmistellessa delegoituja säädöksiä ja täytäntöönpanosäädöksiä.

(61)

Euroopan tietosuojavaltuutetun olisi huolehdittava Euroopan tietosuojaneuvoston sihteeristön tehtävistä asetuksen (EU) 2016/679 75 artiklan mukaisesti.

(62)

Tietosuojavastaavan olisi varmistettava kaikissa unionin toimielimissä ja elimissä, että tämän asetuksen säännöksiä sovelletaan, ja neuvottava rekisterinpitäjiä ja henkilötietojen käsittelijöitä näiden velvoitteiden noudattamisessa. Tietosuojavastaavan olisi oltava henkilö, jolla on asiantuntemusta tietosuojalainsäädännöstä ja alan käytänteistä, mikä olisi määritettävä etenkin rekisterinpitäjän tai henkilötietojen käsittelijän suorittamien tietojenkäsittelytoimien ja asianomaisten henkilötietojen edellyttämän suojan perusteella. Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti.

(63)

Kun henkilötietoja siirretään unionin toimielimistä ja elimistä kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille tai kansainvälisille järjestöille, olisi taattava luonnollisten henkilöiden suojelun taso, joka unionissa perustuu tähän asetukseen. Sama suojelun taso olisi taattava silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa oleville rekisterinpitäjille tai henkilötietojen käsittelijöille tai muulle kansainväliselle järjestölle. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen ja perusoikeuskirjassa vahvistettuja perusoikeuksia ja -vapauksia kunnioittaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.

(64)

Komissio voi päättää asetuksen (EU) 2016/679 45 artiklan tai direktiivin (EU) 2016/680 36 artiklan nojalla, että kolmas maa, kolmannen maan alue tai tietty sektori tai kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan. Tällöin unionin toimielin tai elin voi siirtää henkilötietoja kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle ilman erillistä lupaa.

(65)

Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset suojatoimet voivat tarkoittaa sitä, että sovelletaan komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita tai Euroopan tietosuojavaltuutetun hyväksymiä sopimuslausekkeita. Jos henkilötietojen käsittelijä ei ole unionin toimielin tai elin, asianmukaisia suojatoimia voivat olla myös yritystä koskevat sitovat säännöt, käytännesäännöt ja sertifiointimekanismit, joita käytetään asetuksen (EU) 2016/679 mukaisissa kansainvälisissä siirroissa. Näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen, kuten tehokkaiden hallinnollisten ja oikeudellisten muutoksenhakukeinojen ja korvauksenvaatimisoikeuden, saatavuus unionissa tai kolmannessa maassa. Niiden olisi erityisesti liityttävä henkilötietojen käsittelyä koskevien yleisten periaatteiden noudattamiseen sekä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. Unionin toimielimet ja elimet voivat toteuttaa siirtoja myös kolmansien maiden viranomaisille tai julkisille elimille tai vastaavia tehtäviä suorittaville kansainvälisille järjestöille esimerkiksi yhteisymmärryspöytäkirjoihin tai muihin rekisteröityjen täytäntöönpanokelpoisia ja tehokkaita oikeuksia sisältäviin hallinnollisiin järjestelyihin sisällytettävien määräysten perusteella. Kun suojatoimet perustuvat muihin kuin oikeudellisesti sitoviin hallinnollisiin järjestelyihin, tähän olisi saatava Euroopan tietosuojavaltuutetun lupa.

(66)

Se, että rekisterinpitäjä tai henkilötietojen käsittelijä voi käyttää joko komission tai Euroopan tietosuojavaltuutetun hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää tai henkilötietojen käsittelijää sisällyttämästä tietosuojaa koskevia vakiolausekkeita laajempiin sopimuksiin, kuten henkilötietojen käsittelijän toisen henkilötietojen käsittelijän kanssa tekemään sopimukseen, eikä lisäämästä muita lausekkeita tai toteuttamasta muita suojatoimia, kunhan ne eivät ole suoraan tai epäsuorasti ristiriidassa komission tai Euroopan tietosuojavaltuutetun hyväksymien vakiosopimuslausekkeiden kanssa eivätkä vaikuta rekisteröidyn perusoikeuksiin tai -vapauksiin. Rekisterinpitäjiä ja henkilötietojen käsittelijöitä olisi kannustettava tarjoamaan lisäsuojaa sopimusperusteisilla velvoitteilla, joilla täydennetään tietosuojaa koskevia vakiolausekkeita.

(67)

Jotkut kolmannet maat hyväksyvät lakeja, asetuksia ja muita säädöksiä, joiden tarkoituksena on suoraan säännellä unionin toimielinten ja elinten käsittelytoimia. Näihin voi kuulua kolmansien maiden tuomioistuinten tai hallintoviranomaisten päätöksiä, joissa rekisterinpitäjältä tai henkilötietojen käsittelijältä vaaditaan henkilötietojen siirtämistä tai luovuttamista ja jotka eivät perustu pyynnön esittäneen kolmannen maan ja unionin väliseen voimassa olevaan kansainväliseen sopimukseen. Tällaisten lakien, asetusten ja muiden säädösten soveltaminen näiden kolmansien maiden alueen ulkopuolella voi olla kansainvälisen oikeuden vastaista ja estää tähän asetukseen perustuvan luonnollisten henkilöiden suojan toteutumisen unionissa. Tiedonsiirrot olisi sallittava vain jos tässä asetuksessa vahvistetut edellytykset tietojen siirtämiseksi kolmansiin maihin täyttyvät. Näin voi olla esimerkiksi silloin, kun tietojen luovuttaminen on tarpeen unionin oikeudessa tunnustetun tärkeän yleistä etua koskevan syyn vuoksi.

(68)

Olisi säädettävä mahdollisuudesta tehdä tiedonsiirtoja tietyissä tilanteissa, kun rekisteröity on antanut nimenomaisen suostumuksensa ja kun siirto tapahtuu satunnaisesti ja on tarpeellinen sopimukselle tai oikeusvaateelle, riippumatta siitä, onko kyse oikeudellisesta menettelystä tai hallinnollisesta tai tuomioistuimen ulkopuolisesta menettelystä, sääntelyelimen menettelyt mukaan lukien. Olisi myös säädettävä mahdollisuudesta tehdä tiedonsiirtoja, kun unionin oikeuteen perustuvat, yleistä etua koskevat tärkeät syyt niin vaativat tai kun siirto suoritetaan lailla perustetusta rekisteristä, joka on tarkoitettu yleisön tai kenen tahansa sellaisen henkilön käyttöön, jonka oikeutettu etu sitä edellyttää. Viimeksi mainitussa tapauksessa siirto ei saisi käsittää henkilötietoja kokonaisuudessaan tai rekisterin sisältämää kokonaista tietoryhmää, ellei se ole sallittu unionin oikeudessa, ja jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joiden oikeutettu etu sitä edellyttää, siirto olisi tehtävä ainoastaan näiden henkilöiden pyynnöstä tai, jos he ovat henkilötietojen vastaanottajia, siten, että otetaan täysimääräisesti huomioon rekisteröidyn edut ja perusoikeudet.

(69)

Näitä poikkeuksia olisi sovellettava erityisesti tiedonsiirtoihin, jotka ovat tarpeen yleistä etua koskevien tärkeiden syiden vuoksi, esimerkiksi kun on kyse kansainvälisestä tiedonvaihdosta unionin toimielinten ja elinten sekä kilpailuviranomaisten, vero- tai tullihallintojen, finanssivalvonnasta vastaavien viranomaisten ja sosiaaliturvasta tai kansanterveydestä vastaavien yksikköjen välillä esimerkiksi tartuntatautien vuoksi tehtävän kontaktien jäljityksen yhteydessä tai urheilussa esiintyvän dopingin vähentämiseksi ja/tai lopettamiseksi. Henkilötietojen siirtoa olisi pidettävä lainmukaisena myös silloin, kun se on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen, kuten fyysisen koskemattomuuden ja hengen suojelemiseksi, jos rekisteröity on estynyt antamasta suostumustaan. Ellei tietosuojan riittävyyttä koskevaa päätöstä ole annettu, unionin oikeudessa voidaan yleistä etua koskevista tärkeistä syistä nimenomaisesti rajoittaa tiettyjen tietoryhmien siirtoa kolmanteen maahan tai kansainväliselle järjestölle. Jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, hänen henkilötietojensa siirto kansainväliselle humanitaariselle järjestölle, jotta se voisi suorittaa tehtävän, joka sille Geneven yleissopimusten nojalla kuuluu, tai aseellisissa konflikteissa sovellettavan kansainvälisen humanitaarisen oikeuden noudattamiseksi, voidaan katsoa tarpeelliseksi yleistä etua koskevan tärkeän syyn vuoksi tai koska se on rekisteröidyn elintärkeiden etujen mukaista.

(70)

Jos komissio ei ole tehnyt päätöstä kolmannen maan tietosuojan riittävyydestä, rekisterinpitäjän tai henkilötietojen käsittelijän olisi turvauduttava ratkaisuihin, joilla rekisteröidyille annetaan täytäntöönpanokelpoiset ja tehokkaat oikeudet, jotka koskevat heidän tietojensa käsittelyä unionissa näiden tietojen siirtämisen jälkeen, jotta he voisivat edelleen nauttia perusoikeuksista ja suojatoimista.

(71)

Henkilötietojen siirtäminen valtioiden rajojen yli unionin ulkopuolelle voi vaikeuttaa luonnollisten henkilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta kansalliset valvontaviranomaiset ja Euroopan tietosuojavaltuutettu eivät välttämättä pysty käsittelemään kanteluja tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan niiden lainkäyttöalueen ulkopuolella. Lisäksi rajatylittävissä tapauksissa tehtävää yhteistyötä voivat vaikeuttaa myös riittämättömät toimivaltuudet ennalta ehkäiseviin tai korjaaviin toimiin, oikeudellisen toimintaympäristön epäyhtenäisyys ja käytännön esteet, kuten resurssipula. Sen vuoksi olisi edistettävä tiiviimpää yhteistyötä Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välillä, jotta voidaan vaihtaa tietoja kansainvälisten kumppanien kanssa.

(72)

Keskeinen osa luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä on ollut perustaa asetuksella (EY) N:o 45/2001 Euroopan tietosuojavaltuutettu, jolle on myönnetty valtuudet hoitaa tehtävänsä ja käyttää toimivaltaansa täysin riippumattomasti. Tällä asetuksella olisi vahvistettava edelleen ja selvennettävä hänen rooliaan ja riippumattomuuttaan. Euroopan tietosuojavaltuutetun olisi oltava henkilö, jonka riippumattomuudesta ei ole epäilystä ja jolla on yleisesti tunnustettu kokemus ja pätevyys Euroopan tietosuojavaltuutetun tehtävien hoitamiseen esimerkiksi sen johdosta, että hän on kuulunut johonkin asetuksen (EU) 2016/679 51 artiklalla perustetuista valvontaviranomaisista.

(73)

Jotta voidaan varmistaa tietosuojasääntöjen johdonmukainen seuranta ja täytäntöönpano kaikkialla unionissa, Euroopan tietosuojavaltuutetulla olisi oltava samanlaiset tehtävät ja valtuudet kuin kansallisilla valvontaviranomaisilla, kuten tutkintavaltuudet, korjaavat toimivaltuudet ja valtuudet määrätä seuraamuksia sekä hyväksymis- ja neuvontavaltuudet, erityisesti silloin kun luonnolliset henkilöt tekevät kanteluja, ja valtuudet saattaa tämän asetuksen rikkomiset unionin tuomioistuimen tietoon ja valtuudet panna vireille oikeustoimia primaarioikeuden mukaisesti. Valtuuksiin olisi kuuluttava myös valtuus asettaa väliaikainen tai pysyvä tietojenkäsittelyn rajoitus, kuten käsittelykielto. Jotta vältetään aiheuttamasta tarpeettomia kustannuksia ja liiallisia haittoja asianomaisille henkilöille, joihin toimenpide vaikuttaisi epäedullisesti, jokaisen Euroopan tietosuojavaltuutetun toimenpiteen olisi oltava tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen, jotta voidaan varmistaa tämän asetuksen noudattaminen siten, että otetaan huomioon kunkin yksittäisen tapauksen olosuhteet ja kunnioitetaan jokaisen henkilön oikeutta tulla kuulluksi, ennen kuin ryhdytään asianomaiseen yksittäiseen toimenpiteeseen. Jokainen Euroopan tietosuojavaltuutetun oikeudellisesti sitova toimenpide olisi esitettävä kirjallisesti, sen olisi oltava selkeä ja yksiselitteinen, siinä olisi mainittava toimenpiteen antamispäivä, sen olisi oltava Euroopan tietosuojavaltuutetun allekirjoittama ja siinä olisi annettava toimenpiteen syyt ja viitattava tehokkaita oikeussuojakeinoja koskevaan oikeuteen.

(74)

Euroopan tietosuojavaltuutetun valvontavalta ei saisi kattaa unionin tuomioistuimen lainkäyttötehtäviensä yhteydessä suorittamaa henkilötietojen käsittelyä, jotta voidaan turvata unionin tuomioistuimen riippumattomuus sen hoitaessa lainkäyttötehtäviään, päätöksenteko mukaan lukien. Tällaisissa käsittelytoimissa unionin tuomioistuimen olisi huolehdittava riippumattomasta valvonnasta perusoikeuskirjan 8 artiklan 3 kohdan mukaisesti esimerkiksi sisäisen mekanismin avulla.

(75)

Euroopan tietosuojavaltuutetun päätökset, jotka koskevat tietojenkäsittelytoimiin liittyviä, tässä asetuksessa määriteltyjä poikkeuksia, takeita, lupia ja ehtoja, olisi julkaistava toimintakertomuksessa. Vuosittain julkaistavan toimintakertomuksen lisäksi Euroopan tietosuojavaltuutettu voi julkaista kertomuksia erityisaiheista.

(76)

Euroopan tietosuojavaltuutetun olisi noudatettava Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1049/2001 (9).

(77)

Kansalliset valvontaviranomaiset seuraavat asetuksen (EU) 2016/679 soveltamista ja varmistavat osaltaan, että sitä sovelletaan yhdenmukaisesti kaikkialla unionissa, luonnollisten henkilöiden suojelemiseksi henkilötietojen käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi sisämarkkinoilla. Jotta voidaan lisätä jäsenvaltioissa sovellettavien tietosuojasääntöjen ja unionin toimielimiin ja elimiin sovellettavien tietosuojasääntöjen soveltamisen yhdenmukaisuutta, Euroopan tietosuojavaltuutetun olisi tehtävä yhteistyötä tehokkaasti kansallisten valvontaviranomaisten kanssa.

(78)

Unionin oikeudessa säädetään tietyissä tapauksissa Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välisestä koordinoidun valvonnan mallista. Euroopan tietosuojavaltuutettu on myös Europolin valvontaviranomainen, ja tässä tarkoituksessa on otettu käyttöön kansallisten valvontaviranomaisten kanssa tehtävän yhteistyön malli neuvoa-antavana elimenä toimivan yhteistyöneuvoston kautta. Aineellisten tietosuojasääntöjen valvonnan ja täytäntöönpanon parantamiseksi unionissa olisi otettava käyttöön yksi yhtenäinen koordinoidun valvonnan malli. Komission olisi sen vuoksi tarvittaessa esitettävä lainsäädäntöehdotuksia koordinoidun valvonnan mallia koskevien unionin säädösten muuttamiseksi, jotta ne vastaisivat tämän asetuksen mukaista koordinoidun valvonnan mallia. Euroopan tietosuojaneuvoston olisi toimittava keskitettynä foorumina, jonka avulla varmistetaan tehokas koordinoitu valvonta kaikilla aloilla.

(79)

Jokaisella rekisteröidyllä olisi oltava oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle sekä oikeus tehokkaisiin oikeussuojakeinoihin unionin tuomioistuimessa perussopimusten mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos Euroopan tietosuojavaltuutettu ei käsittele kantelua, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. Kantelu olisi tutkittava siinä määrin, kuin kussakin tapauksessa on asianmukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen käsiteltäväksi. Euroopan tietosuojavaltuutetun olisi ilmoitettava rekisteröidylle kantelun käsittelyn etenemisestä ja sen ratkaisusta kohtuullisen ajan kuluessa. Jos asiassa tarvitaan koordinointia kansallisen valvontaviranomaisen kanssa, tästä olisi ilmoitettava rekisteröidylle. Kantelujen tekemisen helpottamiseksi Euroopan tietosuojavaltuutetun olisi toteutettava toimenpiteitä, esimerkiksi toimitettava kantelulomake, joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

(80)

Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä olisi oltava oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta perussopimuksissa määrättyjen edellytysten mukaisesti.

(81)

Euroopan tietosuojavaltuutetun valvontaroolin ja tämän asetuksen tehokkaan täytäntöönpanon lujittamiseksi Euroopan tietosuojavaltuutetulla olisi oltava valtuudet määrätä hallinnollisia sakkoja viimesijaisena seuraamuksena. Sakkojen tavoitteena olisi oltava seuraamusten määrääminen unionin toimielimelle tai elimelle, pikemmin kuin yksittäiselle henkilölle, tämän asetuksen noudattamatta jättämisestä, tämän asetuksen tulevien rikkomisten ehkäiseminen ja henkilötietojen suojaan perustuvan toimintakulttuurin edistäminen unionin toimielimissä ja elimissä. Tässä asetuksessa olisi yksilöitävä rikkomiset, joista voidaan määrätä hallinnollinen sakko, ja näiden sakkojen enimmäismäärä ja määrän asettamisen perusteet. Euroopan tietosuojavaltuutetun olisi vahvistettava sakkojen määrä kussakin tapauksessa erikseen ottaen huomioon kaikki erityisen tilanteen kannalta merkittävät olosuhteet ja ottaen asianmukaisesti huomioon rikkomisen luonne, vakavuus ja kesto, sen seuraukset ja toimenpiteet, jotka on toteutettu tämän asetuksen mukaisten velvoitteiden noudattamiseksi ja rikkomisen seurausten estämiseksi tai lieventämiseksi. Määrätessään hallinnollista sakkoa unionin toimielimelle tai elimelle Euroopan tietosuojavaltuutetun olisi otettava huomioon sakon määrän oikeasuhteisuus. Unionin toimielimille ja elimille määrättäviä sakkoja koskevassa hallinnollisessa menettelyssä olisi noudatettava unionin oikeuden yleisiä periaatteita, sellaisina kuin unionin tuomioistuin niitä tulkitsee.

(82)

Jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu, hänellä olisi oltava oikeus valtuuttaa jokin voittoa tavoittelematon elin, järjestö tai yhdistys, joka on perustettu unionin oikeuden tai kansallisen lainsäädännön mukaisesti, jonka sääntömääräiset tavoitteet ovat yleisen edun mukaisia ja joka toimii henkilötietojen suojaamisen alalla, tekemään puolestaan kantelu Euroopan tietosuojavaltuutetulle. Tällaisella elimellä, järjestöllä tai yhdistyksellä olisi oltava oikeus käyttää oikeussuojakeinoja rekisteröityjen puolesta tai käyttää korvauksensaamisoikeutta rekisteröityjen puolesta.

(83)

Unionin virkamiehelle tai muulle henkilöstön jäsenelle, joka jättää täyttämättä tämän asetuksen mukaiset velvollisuutensa, olisi määrättävä kurinpito- tai muu seuraamus Euroopan unionin virkamiehiin sovellettavissa henkilöstösäännöissä ja unionin muuta henkilöstöä koskevissa palvelussuhteen ehdoissa, jotka on vahvistettu neuvoston asetuksella (ETY, Euratom, EHTY) N:o 259/68 (10), jäljempänä ”henkilöstösäännöt”, vahvistettujen sääntöjen ja menettelyjen mukaisesti.

(84)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (11) mukaisesti. Olisi käytettävä tarkastelumenettelyä, kun hyväksytään rekisterinpitäjien ja henkilötietojen käsittelijöiden välisiä sekä henkilötietojen käsittelijöiden välisiä vakiosopimuslausekkeita, kun hyväksytään luettelo käsittelytoimista, joiden toteuttamiseen henkilötietoja käsittelevien rekisterinpitäjien yleistä etua koskevan tehtävän suorittamiseksi edellytetään Euroopan tietosuojavaltuutetun ennakkokuulemista, ja kun hyväksytään vakiosopimuslausekkeita asianmukaisista suojatoimista kansainvälisiä siirtoja varten.

(85)

Luottamukselliset tiedot, joita unionin ja kansalliset tilastoviranomaiset keräävät virallisten Euroopan tilastojen ja virallisten kansallisten tilastojen laatimiseksi, olisi suojattava. Euroopan tilastoja olisi kehitettävä, ne olisi laadittava ja niitä olisi levitettävä Euroopan unionin toiminnasta tehdyn sopimuksen 338 artiklan 2 kohdassa vahvistettujen tilastollisten periaatteiden mukaisesti. Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 223/2009 (12) annetaan yksityiskohtaisempi selvitys Euroopan tilastoja koskevan tilastosalaisuuden suojaamisesta.

(86)

Asetus (EY) N:o 45/2001 ja Euroopan parlamentin, neuvoston ja komission päätös N:o 1247/2002/EY (13) olisi kumottava. Viittauksia kumottuihin asetukseen ja päätökseen olisi pidettävä viittauksina tähän asetukseen.

(87)

Riippumattoman valvontaviranomaisen jäsenten täysimääräisen riippumattomuuden turvaamiseksi tämä asetus ei saisi vaikuttaa nykyisen Euroopan tietosuojavaltuutetun ja nykyisen apulaistietosuojavaltuutetun toimikauteen. Nykyisen apulaistietosuojavaltuutetun olisi pysyttävä toimessaan toimikautensa päättymiseen saakka, jollei jokin tässä asetuksessa säädetyistä Euroopan tietosuojavaltuutetun toimikauden ennenaikaista päättymistä koskevista edellytyksistä täyty. Tämän asetuksen asiaankuuluvia säännöksiä olisi sovellettava apulaistietosuojavaltuutettuun hänen toimikautensa päättymiseen saakka.

(88)

Suhteellisuusperiaatteen mukaisesti on tarpeen ja aiheellista luonnollisten henkilöiden yhdenmukaista suojelua henkilötietojen käsittelyssä ja henkilötietojen vapaata liikkuvuutta kaikkialla unionissa koskevan perustavoitteen toteuttamiseksi säätää henkilötietojen käsittelystä unionin toimielimissä ja elimissä. Euroopan unionista tehdyn sopimuksen 5 artiklan 4 kohdan mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen aiottujen tavoitteiden saavuttamiseksi.

(89)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti, ja hän on antanut lausunnon 15 päivänä maaliskuuta 2017 (14),