KOMISSION PÄÄTÖS (EU) 2024/1043,

annettu 9 päivänä huhtikuuta 2024,

sisäisten sääntöjen vahvistamisesta rekisteröityjen tiettyjen tietosuojaoikeuksien rajoittamiseksi henkilötietojen käsittelyssä, jota johtava häirintäyhdyshenkilö ja häirintäyhdyshenkilöt suorittavat työpaikkakiusaamisen ja seksuaalisen häirinnän ehkäisemiseen ja torjuntaan liittyvien tehtäviensä yhteydessä

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan 1 kohdan,

sekä katsoo seuraavaa:

(1)

Neuvoston asetuksella (ETY, Euratom, EHTY) N:o 259/68 (2), vahvistetuissa Euroopan unionin virkamiehiin sovellettavissa henkilöstösäännöissä ja unionin muuhun henkilöstöön sovellettavissa palvelussuhteen ehdoissa, jäljempänä ’henkilöstösäännöt’ säädetään, että henkilöstön jäsenten on pidättäydyttävä kaikista toimista tai käyttäytymisestä, jotka voivat vaikuttaa haitallisesti heidän asemaansa, mukaan lukien työpaikkakiusaaminen tai sukupuolinen häirintä.

(2)	Komissio on ottanut komission päätöksellä C(2023) 8630 (3) käyttöön toimintaperiaatteet, joilla ehkäistään ja käsitellään tehokkaasti tosiasialliset tai mahdolliset tapaukset, jotka koskevat työpaikkakiusaamista tai seksuaalista häirintää työpaikalla komissiossa.

(3)

Päätöksessä C(2023) 8630 perustetaan johtavan häirintäyhdyshenkilön tehtävä ja säädetään epävirallisesta menettelystä, jonka mukaisesti häirinnän uhri tai tällaisen häirinnän todistaja voi ottaa yhteyttä johtavaan häirintäyhdyshenkilöön. Johtava häirintäyhdyshenkilö on häirinnän uhrien tärkein yhteyspiste, joka voi antaa nopeasti luottamuksellista neuvontaa, tietoa saatavilla olevista palveluista ja tukea. Hän voi antaa asian hoidettavaksi jollekin häirintäyhdyshenkilölle epävirallisessa menettelyssä tai poikkeustapauksissa suorittaa itse samat tehtävät kuin häirintäyhdyshenkilöt. Häirintäyhdyshenkilöt ottavat häirinnän uhrit vastaan, kuuntelevat ja tukevat heitä ja antavat heille tietoa ja opastusta heidän pyrkimyksissään löytää tyydyttävä ratkaisu tilanteeseen, jossa uhrit tuntevat kokevansa häirintää. Epävirallisen menettelyn tarkoituksena on tarjota asianmukaista apua uhrin esiin tuomissa kysymyksissä arvioimatta niiden taustalla olevaa käyttäytymistä oikeudelliselta kannalta. Jos samassa pääosastossa tai yksikössä ilmenee toistuvia häirintäväitteitä, johtava häirintäyhdyshenkilö voi ilmoittaa asiasta asianomaiselle pääjohtajalle tai yksikönpäällikölle sekä uhrin suostumuksella komission tutkinta- ja kurinpitotoimistolle (IDOC). Johtava häirintäyhdyshenkilö voi myös ottaa yhteyttä asiaankuuluviin toimijoihin tai yksiköihin antaakseen tietoja tai neuvoja asianmukaisista toimenpiteistä, sanotun kuitenkaan rajoittamatta näiden toimivaltaa.

(4)	Tämä johtavan häirintäyhdyshenkilön ja häirintäyhdyshenkilöiden toteuttama epävirallinen menettely edellyttää, että komissio kerää ja käsittelee tietoja. Näihin tietoihin voi sisältyä uhrin, väitetyn kiusaajan, mahdollisten todistajien ja muiden asianomaisten henkilöiden henkilötietoja.

(5)

Epävirallisen menettelyn lisäksi johtavan häirintäyhdyshenkilön olisi myös tarvittaessa voitava helpottaa väliaikaisten suojatoimenpiteiden ja liitännäistoimenpiteiden täytäntöönpanoa ja ottaa yhteyttä asiaankuuluviin yksiköihin. Tässä yhteydessä johtavalla häirintäyhdyshenkilöllä on pääsy myös uhrin, väitettyjen kiusaajien, mahdollisten todistajien ja muiden asianomaisten henkilöiden henkilötietoihin.

(6)

Lisäksi johtavaa häirintäyhdyshenkilöä voidaan pyytää antamaan neuvontaa häirinnän uhreille, jotka ovat osallistuneet viralliseen menettelyyn. Tämän menettelyn yhteydessä uhri voi päätöksen C(2023) 8630 39 artiklan 2 kohdan mukaisesti pyytää, että johtava häirintäyhdyshenkilö antaa riippumattoman lausunnon alustavan tutkinnan yhteydessä esiin tulleista seikoista. Tätä varten johtavalla häirintäyhdyshenkilöllä voi olla pääsy uhrin, väitetyn kiusaajan, todistajien ja kenen tahansa muun asianomaisen henkilön henkilötietoihin.

(7)

Johtava häirintäyhdyshenkilö ja häirintäyhdyshenkilöt voivat tehtäviensä suorittamista varten kerätä ja käsitellä useita henkilötietoryhmiä, kuten tunnistus-, yhteys- ja käyttäytymistietoja sekä asetuksen (EU) 2018/1725 10 artiklan 1 kohdassa ja 11 artiklassa tarkoitettuja henkilötietoja. Komissio toimii rekisterinpitäjänä.

(8)

Komissio on henkilöstösääntöjen mukaisia tehtäviään hoitaessaan velvollinen kunnioittamaan henkilötietojen käsittelyyn liittyviä luonnollisten henkilöiden oikeuksia, jotka tunnustetaan Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdassa, sekä asetuksessa (EU) 2018/1725 säädettyjä oikeuksia. Lisäksi komission koko henkilöstön on noudatettava luottamuksellisuutta koskevia sääntöjä.

(9)

Tietyissä olosuhteissa on tarpeen sovittaa yhteen asetuksen (EU) 2018/1725 mukaiset rekisteröityjen oikeudet ja tarve varmistaa, että komission reagointi häirintää ja muuta sopimatonta käyttäytymistä koskeviin väitteisiin on tuloksellista, sekä tarve kaikilta osin kunnioittaa muiden rekisteröityjen perusoikeuksia ja -vapauksia. Tämän vuoksi asetuksen (EU) 2018/1725 25 artiklassa säädetään komission mahdollisuudesta tiukoin edellytyksin rajoittaa asetuksen (EU) 2018/1725 14–22, 35 ja 36 artiklan sekä sen 4 artiklan soveltamista siltä osin kuin sen säännökset vastaavat asetuksen (EU) 2018/1725 14–20 artiklassa säädettyjä oikeuksia ja velvollisuuksia. Ellei rajoituksista säädetä perussopimusten perusteella annetussa säädöksessä, komission on annettava sisäisiä sääntöjä, joiden nojalla se voi rajoittaa kyseisiä oikeuksia.

(10)

Varmistaakseen häirinnän vastaisten menettelyjen, myös hallinnollisten tutkimusten, kurinpitomenettelyä edeltävien menettelyjen, kurinpitomenettelyjen ja virantoimituksesta pidättämistä koskevien menettelyjen, luottamuksellisuuden ja tuloksellisuuden komissio hyväksyi päätöksen (EU) 2019/165 (4) ja päätöksen (EU) 2022/121 (5), joilla rajoitetaan rekisteröityjen oikeuksien käyttöä asetuksen (EU) 2018/1725 25 artiklan 1 kohdan b, c, g ja h alakohdan nojalla.

(11)

Komissiota voitaisiin vaatia sovittamaan yhteen rekisteröityjen oikeudet ja tarve turvata sekä johtavan häirintäyhdyshenkilön ja häirintäyhdyshenkilöiden toteuttaman epävirallisen menettelyn tavoitteet että päätöksessä C(2023) 8630 säädettyjen johtavan häirintäyhdyshenkilön muiden tehtävien hoitaminen.

(12)

Sen voitaisiin erityisesti edellyttää punnitsevan väitetylle kiusaajalle kuuluvia rekisteröidyn oikeuksia, kuten oikeutta tutustua johtavan häirintäyhdyshenkilön ja häirintäyhdyshenkilöiden keräämiin häntä koskeviin henkilötietoihin, suhteessa kaikkien muiden asianomaisten henkilöiden, kuten uhrin ja mahdollisten todistajien, perusoikeuksiin ja -vapauksiin. Komissio voi päättää tehdä niin erityisesti suojellakseen asianomaisia henkilöitä niiden henkilöiden mahdollisilta vastatoimilta, joita vastaan on esitetty vilpittömässä mielessä väitteitä, jotka eivät kuitenkaan ole johtaneet toimenpiteisiin hallinnon taholta. Komissio voi päättää tehdä niin asetuksen (EU) 2018/1725 25 artiklan 1 kohdan h alakohdan nojalla.

(13)

Saattaa olla tarpeen suojata luottamukselliset tiedot, jotka koskevat sellaista henkilöstön jäsentä, joka on ottanut yhteyttä johtavaan häirintäyhdyshenkilöön tai muihin häirintäyhdyshenkilöihin häirinnän vastaisen menettelyn yhteydessä. Tällaisissa tapauksissa komissio voi päättää rajoittaa oikeutta tutustua asiaan osallisten henkilöllisyyteen, heidän lausuntoihinsa tai muihin henkilötietoihinsa, oletetun häirinnän uhrin, todistajien ja kaikkien muiden asianosaisten henkilöiden oikeuksien ja vapauksien suojaamiseksi.

(14)

Asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan noudattamiseksi komission olisi tiedotettava kaikille yksityishenkilöille verkkosivustollaan julkaistavilla tietosuojaselosteilla läpinäkyvästi ja johdonmukaisesti henkilötietojen käsittelyä koskevista toimistaan ja yksityishenkilöiden oikeuksista. Komission olisi tarvittaessa ilmoitettava asiasta epäviralliseen raportointimenettelyyn osallistuville rekisteröidyille henkilökohtaisesti asianmukaisin keinoin.

(15)

Asetuksen (EU) 2018/1725 16 artiklan 5 kohdassa säädetään rekisteröityjen tiedonsaantioikeutta koskevista poikkeuksista. Jos kyseisiä poikkeuksia sovelletaan, komission ei tarvitse rajoittaa tiedonsaantioikeutta tämän päätöksen mukaisesti. Jos väitteet työpaikkakiusaamisesta ja seksuaalisesta häirinnästä ovat johtaneet epäviralliseen menettelyyn, henkilötiedot olisi pidettävä luottamuksellisina. Näiden tietojen antaminen väitetylle kiusaajalle haittaisi vakavasti kyseisen käsittelyn tavoitteiden saavuttamista. Sen vuoksi kyseisiä poikkeuksia olisi sovellettava väitettyjen kiusaajien oikeuteen saada tietoa johtavan häirintäyhdyshenkilön ja häirintäyhdyshenkilöiden keräämien henkilötietojen osalta.

(16)

Komission tulisi soveltaa rajoituksia vain, jos ne ovat keskeisiltä osin perusoikeuksien ja -vapauksien mukaisia, ehdottoman välttämättömiä ja demokraattisessa yhteiskunnassa oikeasuhteisia toimenpiteitä. Komission olisi perusteltava tällaiset rajoitukset. Komission olisi läpinäkyvyyden, oikeudenmukaisuuden ja vastuuvelvollisuuden periaatteiden mukaisesti käsiteltävä kaikki rajoitukset avoimesti ja pidettävä kirjaa rajoitusten soveltamisesta.

(17)	Asetuksen (EU) 2018/1725 25 artiklan 6 kohdassa rekisterinpitäjä velvoitetaan ilmoittamaan rekisteröidyille pääasialliset syyt rajoituksen soveltamiseen sekä se, että heillä on oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle.

(18)

Rekisterinpitäjät voivat asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla lykätä rajoituksen soveltamisen pääasiallisten syiden ilmoittamista rekisteröidylle, jättää sen tekemättä tai evätä sen, jos tietojen antaminen poistaisi rajoituksen vaikutuksen. Komissio arvioi tapauskohtaisesti, poistaisiko rajoituksesta ilmoittaminen rajoituksen vaikutuksen.

(19)	Komissio kumoaa rajoituksen heti, kun sen edellytykset eivät enää täyty, ja arvioitava näitä edellytyksiä säännöllisesti.

(20)	Henkilöstöhallinnon pääosaston tietosuojakoordinaattoria olisi kuultava etukäteen mahdollisesti sovellettavista rajoituksista ja varmistettava, että ne ovat tämän päätöksen mukaisia.

(21)	Komission tietosuojavastaavan olisi tehtävä riippumaton uudelleentarkastelu rajoitusten soveltamisesta, jotta voidaan varmistaa tämän päätöksen noudattaminen.

(22)	Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti, ja hän on antanut lausunnon 13 päivänä lokakuuta 2023,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Soveltamisala ja aihe

1. Tätä päätöstä sovelletaan henkilötietojen käsittelyyn, jota komissio suorittaa rekisterinpitäjänä päätöksessä C(2023) 8630 säädettyjen, työpaikkakiusaamisen tai seksuaalisen häirinnän ehkäisemistä ja torjuntaa koskevien johtavan häirintäyhdyshenkilön ja muiden häirintäyhdyshenkilöiden tehtävien suorittamiseksi.

2. Tämän päätöksen soveltamisalaan kuuluviin henkilötietoryhmiin kuuluvat tunnistus-, yhteys- ja käyttäytymistiedot, jotka liittyvät väitetyn kiusaajan käyttäytymiseen uhria tai muita asianomaisia henkilöitä kohtaan, sekä asetuksen (EU) 2018/1725 10 artiklan 1 kohdassa ja 11 artiklassa tarkoitetut henkilötiedot.

3. Tässä päätöksessä vahvistetaan säännöt, joita komission noudattaa ilmoittaakseen rekisteröidyille heidän henkilötietojensa käsittelystä asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan mukaisesti.

4. Siinä vahvistetaan myös edellytykset, joiden täyttyessä komissio voi rajoittaa asetuksen (EU) 2018/1725 4, 14–17, 19, 20 ja 35 artiklan soveltamista mainitun asetuksen 25 artiklan 1 kohdan h alakohdan mukaisesti.

2 artikla

Sovellettavat rajoitukset

1. Jos seuraavissa säännöksissä tarkoitettujen oikeuksien ja velvollisuuksien käyttäminen vaikuttaisi haitallisesti rekisteröidyn suojeluun tai muiden oikeuksiin ja vapauksiin asetuksen (EU) 2018/1725 25 artiklan 1 kohdan h alakohdan mukaisesti ja jollei tämän päätöksen 3–7 artiklasta muuta johdu, komissio voi rajoittaa seuraavien säännösten soveltamista:

a)	asetuksen (EU) 2018/1725 14–17, 19, 20 ja 35 artikla;

b)	asetuksen (EU) 2018/1725 4 artiklan 1 kohdan a alakohdassa säädetty läpinäkyvyysperiaate, siltä osin kuin asianomaiset säännökset vastaavat mainitun asetuksen 14–17, 19 ja 20 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

Komissio käyttää ensimmäisessä alakohdassa annettua toimivaltaa ainoastaan suojatakseen jompaakumpaa seuraavista:

a)	päätöksen C(2023) 8630 II osaston II luvussa säädetyn epävirallisen menettelyn tavoitteet;

b)	työpaikkakiusaamisen ja seksuaalisen häirinnän ehkäisemistä ja torjuntaa koskevien komission johtavan häirintäyhdyshenkilön ja häirintäyhdyshenkilöiden tehtävien hoitaminen.

Komissio käyttää ensimmäisessä alakohdassa annettua toimivaltaa ainoastaan jompaankumpaan seuraavista komission käsittelemistä henkilötietoryhmistä:

a)	tiedot, joista uhrit raportoivat komission johtavalle häirintäyhdyshenkilölle ja häirintäyhdyshenkilöille;

b)	tiedot, jotka johtava häirintäyhdyshenkilö havaitsee osana tehtäväänsä ilmoittaa asianomaiselle pääosaston pääjohtajalle tai yksikönpäällikölle ja, jos uhri suostuu tähän, IDOCille toistuvista väitteistä, jotka koskevat häirintää kyseisessä pääosastossa tai yksikössä.

2. Komissio voi tehdä niin, jos näiden oikeuksien ja velvollisuuksien käyttäminen vaikuttaisi haitallisesti rekisteröityjen suojeluun tai muiden oikeuksiin ja vapauksiin asetuksen (EU) 2018/1725 25 artiklan 1 kohdan h alakohdan mukaisesti.

3. Edellä oleva 1 kohta ei rajoita sellaisten muiden komission päätösten soveltamista, joissa vahvistetaan sisäiset säännöt tietojen antamisesta rekisteröidyille ja tiettyjen oikeuksien rajoittamisesta asetuksen (EU) 2018/1725 25 artiklan nojalla.

4. Ennen rajoitusten soveltamista komission olisi arvioitava tapauskohtaisesti niiden tarpeellisuutta ja oikeasuhteisuutta. Rajoitukset on rajoitettava siihen, mikä on ehdottoman välttämätöntä niiden tavoitteen saavuttamiseksi.

3 artikla

Tietojen antaminen rekisteröidyille

1. Komissio julkaisee verkkosivustollaan tietosuojaselosteen, jossa tiedotetaan rekisteröidyille komission toiminnasta, johon sisältyy heidän henkilötietojensa käsittelyä 2 artiklan 1 kohdan toisessa alakohdassa esitettyjä tarkoituksia varten.

2. Tietosuojaselosteessa on oltava osio, jossa rekisteröidyille annetaan yleistä tietoa rekisteröityjen oikeuksien mahdollisesta rajoittamisesta 2 artiklan 1 kohdan nojalla. Siinä on mainittava oikeudet, joita voidaan rajoittaa, mahdollisesti sovellettavat rajoitusperusteet sekä rajoitusten mahdollinen kesto.

3. Komissio tiedottaa työpaikkakiusaamisesta ja seksuaalisesta häirinnästä ilmoittaville uhreille ja todistajille heidän henkilötietojensa käsittelystä henkilökohtaisesti asianmukaisin keinoin.

4. Kun johtava häirintäyhdyshenkilö on saanut epävirallisen menettelyn päätökseen, komissio ilmoittaa ilman aiheetonta viivytystä sille väitetylle kiusaajalle, jolle kuuluvia rekisteröidyn oikeuksia on rajoitettu tämän päätöksen mukaisesti, henkilökohtaisesti ja kirjallisesti hänen oikeuksiaan koskevista rajoituksista. Komissio ilmoittaa rekisteröidylle pääasialliset syyt, joihin rajoituksen soveltaminen perustuu, oikeudesta kuulla tietosuojavastaavaa rajoituksen riitauttamiseksi sekä rekisteröidyn oikeudesta tehdä kantelu Euroopan tietosuojavaltuutetulle. Komissio voi epävirallisen menettelyn päättymisen jälkeen edelleen rajoittaa tiettyjä rekisteröidyn oikeuksia, jotka liittyvät epävirallista menettelyä varten käsiteltyihin henkilötietoihin, jos se on ehdottoman välttämätöntä uhrin tai muiden asianomaisten henkilöiden suojelemiseksi, ja se ilmoittaa mahdollisuuksien mukaan määräajan, johon mennessä oikeudet palautetaan kokonaisuudessaan.

4 artikla

Rekisteröityjen oikeus saada pääsy tietoihin, oikeus tietojen poistamiseen ja oikeus käsittelyn rajoittamiseen

1. Kun komissio rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, 19 artiklassa tarkoitettua oikeutta saada tiedot poistetuksi tai 20 artiklassa tarkoitettua oikeutta rajoittaa tietojen käsittelyä, se ilmoittaa asianomaiselle rekisteröidylle kirjallisesti ja ilman aiheetonta viivytystä tietoihin pääsyä, tietojen poistamista tai käsittelyn rajoittamista koskevaan pyyntöön antamassaan vastauksessa:

a)	sovellettavasta rajoituksesta ja pääasiallisista syistä, joihin rajoituksen soveltaminen perustuu;

b)	mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

2. Edellä 1 kohdan a alakohdassa tarkoitettujen, rajoituksen pääasiallisia syitä koskevien tietojen antamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä niin kauan kuin se poistaisi rajoituksen vaikutuksen. Komissio arvioi tällaisen rajoituksen aiheellisuutta tapauskohtaisesti.

5 artikla

Henkilötietojen tietoturvaloukkauksista ilmoittaminen

1. Jos komissiolla on velvollisuus ilmoittaa rekisteröidylle henkilötietojen tietoturvaloukkauksesta asetuksen (EU) 2018/1725 35 artiklan 1 kohdan nojalla, se voi poikkeuksellisissa olosuhteissa rajoittaa tällaista ilmoittamista kokonaan tai osittain. Sen on dokumentoitava muistioon rajoituksen syyt, sen 2 artiklan mukainen oikeudellinen perusta ja arviointi sen tarpeellisuudesta ja oikeasuhteisuudesta. Komissio toimittaa muistion Euroopan tietosuojavaltuutetulle henkilötietojen tietoturvaloukkauksesta ilmoitettaessa.

2. Jos rajoittamiselle ei enää ole syytä, komissio ilmoittaa henkilötietojen tietoturvaloukkauksesta kyseessä olevalle rekisteröidylle ja ilmoitettava tälle rajoituksen pääasialliset syyt ja kerrottava rekisteröidyn oikeudesta tehdä kantelu Euroopan tietosuojavaltuutetulle.

3. Jos komissio ilmoittaa henkilötietojen tietoturvaloukkauksesta Euroopan tietosuojavaltuutetulle asetuksen (EU) 2018/1725 34 artiklan 1 kohdan mukaisesti, se liittää ilmoitukseen tämän päätöksen 6 artiklan nojalla laatimansa selosteen.

6 artikla

Rajoitusten kirjaaminen ja rekisteröinti

1. Rajoitusten määräämisen vuoksi rekisteröityjen oikeuksiin ja vapauksiin kohdistuvien riskien arviointi ja tiedot kyseisten rajoitusten soveltamisjaksosta on rekisteröitävä käsittelytoimien selosteeseen, jota komissio ylläpitää asetuksen (EU) 2018/1725 31 artiklan nojalla. Selosteessa on mainittava, miten kyseisen rekisteröidyn oikeuden käyttäminen haittaisi yhtä tai useampaa asetuksen (EU) 2018/1725 25 artiklan 1 kohdan h alakohdassa lueteltua tarkoitusta.

2. Komissio kirjaa syyt tämän päätöksen nojalla sovellettavia rajoituksia koskeviin yksilöllisiin arviointeihin, mukaan lukien arvio rajoituksen määräämisen vuoksi rekisteröityjen oikeuksiin ja vapauksiin kohdistuvista riskeistä sekä rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta, ottaen huomioon asetuksen (EU) 2018/1725 25 artiklan 2 kohdassa esitetyt asiaan liittyvät näkökohdat.

3. Seloste ja tarvittaessa asiakirjat, joista käyvät ilmi perusteena olevat tosiseikat ja oikeudelliset syyt, on rekisteröitävä. Ne annetaan pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

4. Komissio laatii määräaikaiskatsauksia asetuksen (EU) 2018/1725 25 artiklan soveltamisesta.

7 artikla

Rajoitusten kesto

1. Edellä 3, 4 ja 5 artiklassa tarkoitettuja rajoituksia sovelletaan niin kauan kuin niiden perusteena olevat syyt ovat voimassa.

2. Kun 3, 4 tai 5 artiklassa tarkoitetun rajoituksen syyt eivät ole enää voimassa, komissio poistaa rajoituksen. Samalla komissio ilmoittaa rajoituksen soveltamisen pääasialliset syyt rekisteröidylle ja ilmoittaa hänelle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

3. Komissio tarkastelee uudelleen 3, 4 ja 5 artiklassa tarkoitettujen rajoitusten soveltamista kuuden kuukauden välein. Uudelleentarkasteluun on sisällyttävä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta, ottaen huomioon asetuksen (EU) 2018/1725 25 artiklan 2 kohdassa esitetyt asiaan liittyvät näkökohdat.

8 artikla

Suojatoimet ja säilytysajat

1. Komissio ottaa käyttöön erityisiä suojatoimia, joilla estetään rajoitusten soveltamisalaan kuuluvien tai mahdollisesti kuuluvien henkilötietojen väärinkäyttö, lainvastainen pääsy kyseisiin henkilötietoihin ja niiden lainvastainen siirtäminen. Suojatoimiin sisältyy muun muassa seuraavia teknisiä ja organisatorisia toimenpiteitä:

a)	roolien, vastuiden, käyttöoikeuksien ja menettelyvaiheiden selkeä määrittely;

b)	suojattu sähköinen ympäristö, jonka avulla estetään lainvastainen ja tahaton pääsy sähköisiin tietoihin sekä niiden siirto asiattomille henkilöille;

c)	paperiasiakirjojen turvallinen säilytys ja käsittely, joka rajoittuu siihen, mikä on ehdottoman välttämätöntä käsittelyn tarkoituksen saavuttamiseksi;

d)	rajoitusten asianmukainen seuranta ja niiden soveltamisen säännöllinen uudelleentarkastelu, joka on suoritettava vähintään kuuden kuukauden välein.

2. Edellä 2 artiklassa tarkoitetut rajoitukset on poistettava heti, kun niiden perusteena olevat syyt lakkaavat olemasta.

3. Henkilötietoja on säilytettävä komissiossa sovellettavien säilyttämissääntöjen mukaisesti. Nämä on määriteltävä asetuksen (EU) 2018/1725 31 artiklan mukaisesti ylläpidettävissä selosteissa. Kun säilytysaika päättyy, henkilötiedot poistetaan, anonymisoidaan tai arkistoidaan asetuksen (EU) 2018/1725 13 artiklaa noudattaen.

9 artikla

Tietosuojakoordinaattorin suorittama ennakkoarviointi ja komission tietosuojavastaavan suorittama jälkitarkastus

1. Henkilöstöhallinnon pääosaston tietosuojakoordinaattoria kuullaan etukäteen mahdollisesti sovellettavista rajoituksista, ja hänen on varmistettava, että ne ovat tämän päätöksen mukaisia.

2. Komission tietosuojavastaavalle ilmoitetaan ilman aiheetonta viivytystä aina, kun rekisteröityjen oikeuksia rajoitetaan tämän päätöksen mukaisesti. Tietosuojavastaavalle annetaan pyynnöstä pääsy kirjattuihin tietoihin sekä kaikkiin asiakirjoihin, jotka sisältävät perusteena olevia tosiseikkoja tai oikeudellisia seikkoja.

3. Tietosuojavastaava voi pyytää rajoituksen uudelleentarkastelua. Tietosuojavastaavalle ilmoitetaan pyydetyn uudelleentarkastelun tuloksista kirjallisesti.

4. Komissio dokumentoi tietosuojavastaavan osallistumisen kussakin tapauksessa, jossa 2 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja oikeuksia ja velvollisuuksia rajoitetaan.

10 artikla

Voimaantulo

Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 9 päivänä huhtikuuta 2024.

Komission puolesta

Puheenjohtaja

Ursula VON DER LEYEN

(1) EUVL L 295, 21.11.2018, s. 39.

(2) Neuvoston asetus (ETY, Euratom, EHTY) N:o 259/68, annettu 29 päivänä helmikuuta 1968, Euroopan yhteisöjen virkamiehiin sovellettavien henkilöstösääntöjen ja näiden yhteisöjen muuta henkilöstöä koskevien palvelussuhteen ehtojen vahvistamisesta sekä yhteisöjen virkamiehiin tilapäisesti sovellettavien erityisten toimenpiteiden laatimisesta (EYVL L 56, 4.3.1968, s. 1).

(3) Komission päätös C(2023) 8630, annettu 12 päivänä joulukuuta 2023, työpaikkakiusaamisen ja sukupuolisen häirinnän ehkäisemisestä ja torjunnasta.

(4) Komission päätös (EU) 2019/165, annettu 1 päivänä helmikuuta 2019, hallinnollisten tutkimusten, kurinpitomenettelyä edeltävien menettelyjen, kurinpitomenettelyjen ja virantoimituksesta pidättämistä koskevien menettelyjen yhteydessä noudatettavien, tietojen antamista rekisteröidyille ja komission suorittamaa rekisteröityjen tiettyjen tietosuojaoikeuksien rajoittamista koskevien sisäisten sääntöjen vahvistamisesta (EUVL L 32, 4.2.2019, s. 9).

(5) Komission päätös (EU) 2022/121, annettu 27 päivänä tammikuuta 2022, sisäisten sääntöjen vahvistamisesta siltä osin kuin on kyse tietojen antamisesta rekisteröidyille ja rekisteröityjen tiettyjen oikeuksien rajoittamisesta henkilöstösääntöjen mukaisten pyyntöjen ja valitusten käsittelyä varten tapahtuvan henkilötietojen käsittelyn yhteydessä (EUVL L 19, 28.1.2022, s. 77).