10.2.2020

Euroopan unionin virallinen lehti

L 37/5

KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2020/180,

annettu 7 päivänä helmikuuta 2020,

mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävän valmisteen hyväksymisestä kaikkien eläinlajien rehun lisäaineena

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon eläinten ruokinnassa käytettävistä lisäaineista 22 päivänä syyskuuta 2003 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1831/2003 (1) ja erityisesti sen 9 artiklan 2 kohdan,

sekä katsoo seuraavaa:

(1)	Asetuksessa (EY) N:o 1831/2003 säädetään eläinten ruokinnassa käytettävien lisäaineiden hyväksymisestä ja vahvistetaan perusteet ja menettelyt hyväksynnän myöntämiselle.

(2)

Asetuksen (EY) N:o 1831/2003 7 artiklan mukaisesti toimitettiin hakemus, joka koskee mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävän valmisteen hyväksymistä rehun lisäaineena kaikkien eläinlajien ruokinnassa. Hakemuksen mukana toimitettiin kyseisen asetuksen 7 artiklan 3 kohdan mukaisesti vaadittavat tiedot ja asiakirjat.

(3)	Hakemus koskee mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävän valmisteen hyväksymistä käytettäväksi soijapavuissa ja luokiteltavaksi lisäaineluokkaan ”teknologiset lisäaineet”.

(4)

Euroopan elintarviketurvallisuusviranomainen, jäljempänä ’elintarviketurvallisuusviranomainen’, totesi 8 päivänä syyskuuta 2015 (2) ja 18 päivänä syyskuuta 2018 (3) antamissaan lausunnoissa, että mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävä valmiste ei ehdotetuissa käyttöolosuhteissa vaikuta haitallisesti eläinten terveyteen eikä ympäristöön. Se totesi kuitenkin myös, että lisäainetta pidetään ihoa ja silmiä ärsyttävänä ja ihoa ja hengitysteitä herkistävänä. Sen vuoksi komissio katsoo, että olisi toteutettava asianmukaisia suojatoimenpiteitä ihmisten terveydelle aiheutuvien haittavaikutusten ehkäisemiseksi erityisesti lisäaineen käyttäjien osalta. Elintarviketurvallisuusviranomainen totesi myös, että lisäaine voi vähentää tehokkaasti raffinoosarjan oligosakkaridien ja trypsiini-inhibiittorin pitoisuutta soijapavuissa. Elintarviketurvallisuusviranomaisen mukaan erityiset markkinoille saattamisen jälkeistä seurantaa koskevat vaatimukset eivät ole tarpeen. Lisäksi elintarviketurvallisuusviranomainen vahvisti asetuksella (EY) N:o 1831/2003 perustetun vertailulaboratorion toimittaman raportin analyysimenetelmästä, jolla rehun lisäaine määritetään rehusta.

(5)

Mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävän valmisteen arviointi osoittaa, että asetuksen (EY) N:o 1831/2003 5 artiklassa säädetyt hyväksynnän edellytykset täyttyvät. Näin ollen kyseisen valmisteen käyttö tämän asetuksen liitteessä kuvatulla tavalla olisi hyväksyttävä.

(6)	Tässä asetuksessa säädetyt toimenpiteet ovat pysyvän kasvi-, eläin-, elintarvike- ja rehukomitean lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN ASETUKSEN:

1 artikla

Hyväksytään lisäaineluokkaan ”teknologiset lisäaineet” ja funktionaaliseen ryhmään ”muut teknologiset lisäaineet” kuuluva liitteessä tarkoitettu valmiste eläinten ruokinnassa käytettävänä lisäaineena kyseisessä liitteessä vahvistetuin edellytyksin.

2 artikla

Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.

Tehty Brysselissä 7 päivänä helmikuuta 2020.

Komission puolesta

Puheenjohtaja

Ursula VON DER LEYEN

(1) EUVL L 268, 18.10.2003, s. 29.

(2) EFSA Journal 2015;13(9):4230.

(3) EFSA Journal 2018;16(5):5275.

LIITE

Lisäaineen tunnistenumero

Lisäaine

Koostumus, kemiallinen kaava, kuvaus, analyysimenetelmä

Eläinlaji tai -ryhmä

Enimmäisikä

Vähimmäispitoisuus

Enimmäispitoisuus

Muut määräykset

Hyväksynnän voimassaolo päättyy

PMY lisäainetta/kg soijapapuja

Luokka: teknologiset lisäaineet. Funktionaalinen ryhmä: muut teknologiset lisäaineet (soijapapujen antinutritionaalisten tekijöiden vähentäminen)

1o01

Bacillus subtilis KCCM 10673P

Aspergillus oryzae KCTC 10258BP

Lisäaineen koostumus:

Valmiste, joka sisältää mikro-organismeja Bacillus subtilis KCCM 10673P, joka sisältää vähintään 1,2x108 PMY/g lisäainetta, ja Aspergillus oryzae KCTC 10258BP, joka sisältää vähintään 2,0x108 PMY/g lisäainetta.

Kaikki eläinlajit

Bacillus subtilis

1,2x106

Aspergillus oryzae

2,0x106

1.	Lisäaineen ja esiseoksen käyttöohjeissa on mainittava varastointiolosuhteet.

2.	Lisäainetta saa käyttää ainoastaan soijapavuissa.

Rehualan toimijoiden on vahvistettava lisäaineen ja esiseosten käyttäjiä varten toimintamenettelyt ja järjestelyt lisäaineen käytöstä aiheutuvien mahdollisten riskien varalta. Jos riskejä ei voida näiden järjestelyjen ja toimenpiteiden avulla poistaa tai minimoida, lisäainetta ja esiseoksia käytettäessä on käytettävä asianmukaisia henkilönsuojaimia, iho-, silmä- ja hengityssuojat mukaan lukien.

1. maaliskuuta 2030

Tehoaineen kuvaus:

Mikro-organismien Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP elinkykyisiä soluja.

Analyysimenetelmä (1)

Bacillus subtilis KCCM 10673P -mikro-organismin lukumäärän määrittäminen rehun lisäaineessa, esiseoksissa ja rehuissa: Pintaviljely tryptoni-soija-agarilla (EN 15784).

Bacillus subtilis KCCM 10673P -mikro-organismin tunnistaminen rehun lisäaineesta:

Pulssikenttägeelielektroforeesi (PFGE).

Aspergillus oryzae KCTC 10258BP -mikro-organismin tunnistaminen rehun lisäaineesta: Polymeraasiketjureaktio (tyypitys-PCR)

(1) Analyysimenetelmiä koskevia yksityiskohtaisia tietoja on saatavissa seuraavasta vertailulaboratorion osoitteesta: https://ec.europa.eu/jrc/en/eurl/feed-additives/evaluation-reports

10.2.2020

Euroopan unionin virallinen lehti

L 37/11

EUROOPAN UNIONIN KYBERTURVALLISUUSVIRASTON JOHTOKUNNAN PÄÄTÖS,

annettu 21 päivänä marraskuuta 2019,

rekisteröityjen tiettyjen oikeuksien rajoittamista ENISA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä

ENISAN JOHTOKUNTA, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan,

ottaa huomioon Euroopan unionin kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista sekä asetuksen (EU) N:o 526/2013 (2) kumoamisesta (kyberturvallisuusasetus) 17 päivänä huhtikuuta 2019 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/881 ja erityisesti sen 15 artiklan 1 kohdan,

ottaa huomioon Euroopan tietosuojavaltuutetun 17 päivänä lokakuuta 2019 antaman lausunnon ja Euroopan tietosuojavaltuutetun ohjeet, jotka koskevat asetuksen (EU) 2018/1725 25 artiklan soveltamista ja sisäisiä sääntöjä,

sekä katsoo seuraavaa:

(1)

Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti kyseisen asetuksen 14–22, 35 ja 36 artiklan sekä 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua ENISAn hyväksymiin sisäisiin sääntöihin, jos ne eivät perustu perussopimusten perusteella hyväksyttyihin säädöksiin.

(2)	Näitä sisäisiä sääntöjä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pitäisi soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.

(3)	Kun ENISA suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

(4)

ENISA voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia, toteuttaa kurinpitomenettelyjä, suorittaa alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä häirintätapauksia koskevia (virallisia ja epävirallisia) menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, tehdä sisäisiä tarkastuksia ja arvioida kyberturvallisuuteen liittyviä poikkeamia asetuksen (EU) 2019/881 7 artiklan 4 kohdan mukaisesti, toteuttaa tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja tehdä sisäisiä (tieto)turvatutkimuksia.

ENISA käsittelee useita henkilötietoryhmiä, muun muassa kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten perusteluja, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

(5)	ENISA, jota edustaa sen pääjohtaja, toimii rekisterinpitäjänä riippumatta ENISAssa myöhemmin tehtävistä rekisterinpitäjän tehtävän siirroista, jotka perustuvat nimenomaisten henkilötietojen käsittelytoimien operatiivisiin vastuisiin.

(6)

Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joiden ei tarvitse niitä tietää. Henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai ENISAn rekistereissä määritetyn ajan.

(7)

Sisäisiä sääntöjä olisi sovellettava kaikkiin käsittelytoimiin, joita ENISA tekee tehdessään hallinnollisia tutkimuksia, toteuttaessaan kurinpitomenettelyjä, suorittaessaan alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin, käsitellessään väärinkäytösten paljastamismenettelyjä, häirintätapauksia koskevia (virallisia ja epävirallisia) menettelyjä sekä sisäisiä ja ulkoisia valituksia, tehdessään sisäisiä tarkastuksia, arvioidessaan kyberturvallisuuteen liittyviä poikkeamia asetuksen (EU) 2019/881 7 artiklan 4 kohdan mukaisesti, toteuttaessaan tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiä tutkimuksia ja tehdessään sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavia (tieto)turvatutkimuksia.

(8)

Sisäisiä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen edellä mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Siihen pitäisi kuulua myös ENISAn kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoama tuki ja niiden kanssa tehtävä yhteistyö.

(9)	Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, ENISAn on annettava perustelut siitä, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia.

(10)

Tässä yhteydessä ENISAn on noudatettava mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja oikaista tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.

(11)	ENISAn on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia erityisesti suojatakseen omia tutkimuksiaan, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.

(12)	ENISA voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.

(13)	ENISAn olisi säännöllisesti tarkastettava, että rajoituksen oikeuttavat edellytykset ovat edelleen voimassa, ja poistettava rajoitus, kun se ei ole enää voimassa.

(14)	Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle, kun rajoitus asetetaan ja kun sitä tarkistetaan.

(15)	Koska sisäiset säännöt ovat tärkeitä rekisteröidyn oikeuksien suojaamiseksi, päätöksen olisi tultava voimaan mahdollisimman pian sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä,

ON PÄÄTTÄNYT SEURAAVAA:

1 artikla

Kohde ja soveltamisala

1. Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla ENISA voi asetuksen (EU) 2018/1725 25 artiklan mukaisesti rajoittaa 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista 2 kohdassa esitettyjen menettelyjensä yhteydessä.

2. ENISAn hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan ENISAn seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyjen suorittaminen, sellaisten alustavien toimien suorittaminen, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia säännönvastaisuuksia koskeviin tapauksiin, väärinkäytösten paljastamismenettelyjen käsittely, häirintätapauksia koskevien (virallisten ja epävirallisten) menettelyjen käsittely, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, kyberturvallisuuteen liittyvien poikkeamien arviointi asetuksen (EU) 2019/881 7 artiklan 4 kohdan mukaisesti, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemien tutkimusten toteuttaminen sekä sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavien (tieto)turvatutkimusten tekeminen.

3. Kyseessä olevat tietoryhmät ovat kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten perusteluja, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

4. Kun ENISA suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

5. Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä edellytyksistä ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot ja rajoittaa tietojen käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus viestinnän luottamuksellisuuteen.

2 artikla

Rekisterinpitäjän ja suojatoimien eritelmä

1. Tietoturvaloukkausten, tietovuotojen tai luvattoman luovuttamisen välttämiseksi käytössä ovat seuraavat suojatoimet:

a)	Paperiasiakirjoja säilytetään turvakaapeissa, joihin vain valtuutetuilla työntekijöillä on pääsy.

b)	Kaikki sähköiset tiedot tallennetaan suojatuilla tietoteknisillä ohjelmilla ENISAn tietoturvavaatimusten mukaisesti sekä erityisiin sähköisiin kansioihin, joihin vain valtuutetuilla työntekijöillä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.

Tietokanta suojataan salasanalla, siinä on kertakirjausjärjestelmä ja se yhdistetään automaattisesti käyttäjätunnukseen ja salasanaan. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekisterejä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.

d)	Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.

2. Käsittelytoimien rekisterinpitäjä on ENISA, jota edustaa sen pääjohtaja, joka voi siirtää rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille ilmoitetaan valtuutetusta rekisterinpitäjästä tietosuojaselosteissa tai tiedoilla, jotka julkaistaan ENISAn verkkosivustolla ja/tai intranetissä.

3. Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei missään tapauksessa saa olla pidempi kuin tietoturvaselosteessa, tietosuojaselosteessa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika.

4. Jos ENISA aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että ENISAn tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.

3 artikla

Rajoitukset

1. ENISAn on sovellettava rajoituksia vain seuraavien suojamiseksi:

a)	rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, myös yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy

muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva

c)	unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus

d)	säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet

e)	valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a ja b alakohdassa tarkoitetuissa tapauksissa

f)	rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet.

2. ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan mukaisesti toteuttama kyberturvallisuuteen liittyvien poikkeamien arviointi kuuluu tämän artiklan 1 kohdan b alakohdan soveltamisalaan.

3. ENISA voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin seuraavissa olosuhteissa:

kun komission yksiköt tai muut unionin toimielimet, elimet ja laitokset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä muiden asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen säädösten perusteella tai kyseisen asetuksen IX luvun mukaisesti tai muiden unionin toimielinten, elinten ja laitosten perustamissäädösten mukaisesti

kun jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (3) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (4) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla

c)	kun kyseisten oikeuksien ja velvollisuuksien käyttö voisi vaarantaa ENISAn yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa.

Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa ENISAn on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia, paitsi jos ENISAlle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.

4. Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon rekisteröityjen oikeuksiin ja vapauksiin kohdistuvat riskit ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.

5. Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden arviointi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuuden vuoksi.

6. Rajoitukset on poistettava heti, kun niiden käytön oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.

4 artikla

Tietosuojavastaavan suorittama arviointi

1. ENISAn on ilmoitettava tietosuojavastaavalleen ilman aiheetonta viivytystä aina, kun rekisterinpitäjä rajoittaa rekisteröityjen oikeuksien soveltamista tai jatkaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle on ilmoitettu kirjatuista tiedoista. ENISAn tietosuojavastaavan on osallistuttava kaikkiin asiaankuuluviin menettelyihin, ja tietosuojavastaavan osallistuminen on dokumentoitava.

2. Tietosuojavastaava voi pyytää rekisterinpitäjää kirjallisesti tarkistamaan rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn tarkistuksen tuloksista.

3. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

5 artikla

Tiedon antaminen rekisteröidyille

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada tietoja seuraavien käsittelytoimien yhteydessä:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin

c)	väärinkäytösten paljastamismenettelyt

d)	häirintätapauksia koskevat (viralliset ja epäviralliset) menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäiset tarkastukset

g)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

h)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavat (tieto)turvatutkimukset

i)	ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan nojalla toteuttamat kyberturvallisuuteen liittyvien poikkeamien arvioinnit tämän päätöksen 3 artiklan 2 kohdan mukaisesti.

ENISAn on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin tietoihin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.

2. Sanotun rajoittamatta tämän pykälän 3 kohdan säännöksiä ja kun se on oikeasuhteista, ENISAn on myös ilmoitettava ilman aiheetonta viivytystä ja kirjallisesti yksitellen kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia.

3. Jos ENISA rajoittaa kokonaan tai osittain tämän artiklan 2 kohdassa tarkoitettua tietojen antamista rekisteröidyille, sen on kirjattava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi.

Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on esitettävä pyynnöstä Euroopan tietosuojavaltuutetulle.

4. Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.

Kun rajoituksen syyt eivät ole enää voimassa, ENISAn on ilmoitettava rekisteröidylle pääasialliset syyt, joihin rajoituksen soveltaminen perustuu. ENISAn on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

ENISAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.

6 artikla

Rekisteröidyn oikeus saada pääsy tietoihin

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada pääsy tietoihin seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja oikeasuhteista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin

c)	väärinkäytösten paljastamismenettelyt

d)	häirintätapauksia koskevat (viralliset ja epäviralliset) menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäiset tarkastukset

g)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

h)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavat (tieto)turvatutkimukset

i)	ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan nojalla toteuttamat kyberturvallisuuteen liittyvien poikkeamien arvioinnit tämän päätöksen 3 artiklan 2 kohdan mukaisesti.

Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, ENISA rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.

2. Kun ENISA rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua oikeutta saada pääsy henkilötietoihin, sen on toteutettava seuraavat toimenpiteet:

a)	sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa

b)	sen on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, mukaan lukien rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä rajoituksen kesto.

Edellä a luetelmakohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen.

ENISAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.

3. Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun saataville.

7 artikla

Oikeus tietojen oikaisemiseen ja poistamiseen sekä käsittelyn rajoittamiseen

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin

c)	väärinkäytösten paljastamismenettelyt

d)	häirintätapauksia koskevat (viralliset ja epäviralliset) menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäiset tarkastukset

g)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

h)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavat (tieto)turvatutkimukset

i)	ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan nojalla toteuttamat kyberturvallisuuteen liittyvien poikkeamien arvioinnit tämän päätöksen 3 artiklan 2 kohdan mukaisesti.

2. Kun ENISA kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 18 artiklassa tarkoitettua oikeutta tietojen oikaisemiseen, 19 artiklan 1 kohdassa tarkoitettua oikeutta tietojen poistamiseen tai 20 artiklan 1 kohdassa tarkoitettua oikeutta käsittelyn rajoittamiseen, sen on toteuttava tämän päätöksen 6 artiklan 2 kohdassa tarkoitetut toimenpiteet päätöksen 6 artiklan 3 kohdan mukaisesti.

8 artikla

Henkilötietojen tietoturvaloukkauksista ilmoittaminen rekisteröidylle ja sähköisen viestinnän luottamuksellisuus

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta henkilötietojen tietoturvaloukkauksista ilmoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin

c)	väärinkäytösten paljastamismenettelyt

d)	sisäisten ja ulkoisten valitusten käsittely

e)	sisäiset tarkastukset

f)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

g)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavat (tieto)turvatutkimukset

h)	ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan nojalla toteuttamat kyberturvallisuuteen liittyvien poikkeamien arvioinnit tämän päätöksen 3 artiklan 2 kohdan mukaisesti.

2. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta sähköisen viestinnän luottamuksellisuuteen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisia sääntöjenvastaisuuksia koskeviin tapauksiin

c)	väärinkäytösten paljastamismenettelyt

d)	häirintätapauksia koskevat viralliset menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) toteutettavat (tieto)turvatutkimukset

g)	ENISAn asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 7 artiklan 4 kohdan nojalla toteuttamat kyberturvallisuuteen liittyvien poikkeamien arvioinnit 3 artiklan 2 kohdan mukaisesti.

3. Jos ENISA rajoittaa asetuksen (EU) 2018/1725 35 artiklassa tarkoitettua henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidyille tai 36 artiklassa tarkoitettua sähköisen viestinnän luottamuksellisuutta, sen on sovellettava tämän päätöksen 5 artiklan 3 kohdan määräyksiä. Tämän päätöksen 5 artiklan 4 kohtaa on sovellettava.

9 artikla

Voimaantulo

Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Ateenassa 21 päivänä marraskuuta 2019.

ENISAn puolesta

Jean Baptiste DEMAISON

Hallintoneuvoston puheenjohtaja

(1) EUVL L 295, 21.11.2018, s. 39.

(2) EUVL 151, 7.6.2019, s. 15.

(3) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1)

(4) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89)

10.2.2020

Euroopan unionin virallinen lehti

L 37/18

FUSION FOR ENERGY -YHTEISYRITYKSEN HALLINTONEUVOSTON PÄÄTÖS,

annettu 9 päivänä joulukuuta 2019,

rekisteröityjen tiettyjen oikeuksien rajoittamista Fusion for Energy -yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä

HALLINTONEUVOSTO, joka

ùmottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon eurooppalaisen yhteisyrityksen perustamisesta ITERiä ja fuusioenergian kehittämistä varten sekä etujen myöntämisestä perustettavalle yhteisyritykselle 27 päivänä maaliskuuta 2007 tehdyn neuvoston päätöksen 2007/198/Euratom (2) (jäljempänä ”Fusion for Energy -yhteisyritys) ja erityisesti sen 6 artiklan,

ottaa huomioon edellä mainitun päätöksen liitteet ja erityisesti niiden 6 ja 10 artiklan,

ottaa huomioon virkamiehiin sovellettavat henkilöstösäännöt ja unionin muuhun henkilöstöön sovellettavat palvelussuhteen ehdot (”henkilöstösäännöt”) ja erityisesti niiden liitteen IX 2 artiklan 3 kohdan ja 30 artiklan,

ottaa huomioon Euroopan petostentorjuntaviraston (OLAF) tutkimuksista sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1073/1999 ja neuvoston asetuksen (Euratom) N:o 1074/1999 kumoamisesta 11 päivänä syyskuuta 2013 annetun asetuksen (EU, Euratom) N:o 883/2013 (3),

ottaa huomioon Euroopan tietosuojavaltuutetun (EDPS) 18. joulukuuta 2018 antamat ohjeet sekä 26. heinäkuuta 2019 antaman lausunnon, joka koskee asetuksen (EU) 2018/1725 41 artiklan 2 kohdan nojalla annettua ilmoitusta,

on kuullut henkilöstökomiteaa,

sekä katsoo seuraavaa:

(1)	Fusion for Energy -yhteisyritys suorittaa tehtävänsä päätöksen 2007/198/Euratom liitteenä olevan perussäännön mukaisesti.

(2)

Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti asetuksen 14–22, 35 ja 36 artiklan sekä 4 artiklan soveltamisen rajoitusten, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, pitäisi perustua Fusion for Energy -yhteisyrityksen hyväksymiin sisäisiin sääntöihin, jos ne eivät perustu perussopimusten perusteella annettuihin säädöksiin.

(3)	Näitä sisäisiä sääntöjä, muun muassa rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointia koskevia säännöksiä, ei pitäisi soveltaa, jos perussopimusten perusteella annetulla säädöksellä rajoitetaan rekisteröityjen oikeuksia.

(4)	Kun Fusion for Energy -yhteisyritys suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

(5)

Fusion for Energy -yhteisyritys voi hallinnollisten tehtäviensä yhteydessä tehdä hallinnollisia tutkimuksia sekä toteuttaa kurinpitomenettelyjä henkilöstösääntöjen mukaisesti.

Fusion for Energy -yhteisyritys voi myös suorittaa erityisesti alustavia toimia, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellä väärinkäytösten paljastamistapauksia, käsitellä (virallisia ja epävirallisia) häirintää koskevia menettelyjä, käsitellä sisäisiä ja ulkoisia valituksia, käsitellä potilastietoja, tehdä sisäisiä tarkastuksia, toteuttaa tietosuojavastaavan tutkimuksia asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti sekä toteuttaa sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltäviä (tieto)turvatutkimuksia.

(6)

Fusion for Energy -yhteisyritys käsittelee useita henkilötietoryhmiä, muun muassa kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

(7)	Fusion for Energy -yhteisyritys, jota edustaa sen johtaja, toimii rekisterinpitäjänä riippumatta Fusion for Energy -yhteisyrityksessä myöhemmin tehtävistä rekisterinpitäjän tehtävän siirroista, jotka perustuvat nimenomaisten henkilötietojen käsittelytoimien operatiivisiin vastuisiin.

(8)

Henkilötiedot tallennetaan suojatusti sähköiseen ympäristöön tai paperille siten, että estetään lainvastainen pääsy tietoihin tai niiden lainvastainen siirtäminen henkilöille, joilla ei ole tiedoille tarvetta. Henkilötietoja säilytetään vain niin kauan kuin on tarpeen ja asianmukaista niiden käsittelyn tarkoitusten kannalta tietoturvaselosteissa, tietosuojaselosteissa tai Fusion for Energy -yhteisyrityksen rekistereissä määritetyn ajan.

(9)

Sisäisiä sääntöjä olisi sovellettava myös käsittelytoimiin, joita toteutetaan ennen edellä 5 kohdassa mainittujen menettelyjen aloittamista, näiden menettelyjen aikana sekä menettelyjen tuloksista johtuvien jatkotoimien seurannan aikana. Niihin pitäisi kuulua myös Fusion for Energy -yhteisyrityksen kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoama tuki ja niiden kanssa tehtävä yhteistyö.

Lisäksi näitä sisäisiä sääntöjä olisi sovellettava toimiin, jotka liittyvät yhteistyöhön EU:n toimielinten ja elinten kanssa, sekä hallinnollista tutkimusta tai kurinpitomenettelyjä koskevien tietojen siirtämiseen EU:n toimielimille ja elimille. Tätä varten Fusion for Energy -yhteisyrityksen olisi kuultava näitä toimielimiä, elimiä, laitoksia, viranomaisia tai organisaatioita rajoitusten asettamisen perusteista sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta.

(10)	Tapauksissa, joissa näitä sisäisiä sääntöjä sovelletaan, Fusion for Energy -yhteisyrityksen on annettava perustelut sille, miksi rajoitukset ovat ehdottoman tarpeellisia ja oikeasuhteisia demokraattisessa yhteiskunnassa, ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia.

(11)

Tässä yhteydessä Fusion for Energy -yhteisyrityksen on noudatettava mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia edellä mainittujen menettelyjen aikana ja erityisesti niitä, jotka liittyvät oikeuteen saada tietoa, saada pääsy tietoihin ja oikaista tiedot, oikeuteen poistaa tiedot ja rajoittaa niiden käsittelyä, oikeuteen saada ilmoitus rekisteröidyn henkilötietojen tietoturvaloukkauksesta tai oikeuteen viestinnän luottamuksellisuuteen asetuksessa (EU) 2018/1725 vahvistetun mukaisesti.

(12)

Fusion for Energy -yhteisyrityksen on kuitenkin ehkä rajoitettava tiedottamista rekisteröidyille ja muita rekisteröityjen oikeuksia erityisesti suojatakseen omia tutkimuksiaan ja menettelyjään, muiden viranomaisten tutkimuksia ja menettelyjä sekä muiden sen tutkimuksiin tai muihin menettelyihin liittyvien henkilöiden oikeuksia.

(13)

Fusion for Energy -yhteisyritys voi siten rajoittaa tiedottamista tutkimuksen sekä muiden rekisteröityjen perusoikeuksien ja -vapauksien suojaamiseksi.

Fusion for Energy -yhteisyritys voi siten erityisesti lykätä tiedottamista suojatakseen hallinnollisia tutkimuksiaan ja kurinpitomenettelyjään, muiden viranomaisten tutkimuksia ja menettelyjä sekä tiedonantajien ja muiden menettelyihin osallistuvien henkilöiden henkilöllisyyttä, mukaan luettuina väärinkäytösten paljastajat ja todistajat, joiden ei pitäisi kärsiä kielteisistä seurauksista tekemänsä yhteistyön takia.

Rekisterinpitäjä voi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaan lykätä rajoituksen soveltamisen syitä koskevien tietojen ilmoittamista, jättää sen tekemättä tai evätä näiden tietojen antamisen rekisteröidylle, jos ilmoittaminen poistaisi asetetun rajoituksen vaikutuksen.

(14)	Fusion for Energy -yhteisyrityksen olisi säännöllisesti tarkastettava, että rajoituksen oikeuttavat ehdot ovat edelleen olemassa, ja poistettava rajoitus, kun ehdot eivät enää ole voimassa.

(15)	Rekisterinpitäjän olisi ilmoitettava tietosuojavastaavalle, kun ilmoittamista lykätään tai kun asetetaan muita rekisteröidyn oikeuksien rajoituksia ja kun rajoituksia tarkistetaan.

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Kohde ja soveltamisala

1. Tässä päätöksessä vahvistetaan säännöt edellytyksille, joiden nojalla Fusion for Energy -yhteisyritys voi 2 kohdassa esitettyjen menettelyjensä yhteydessä rajoittaa 14–21, 35 ja 36 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista asetuksen (EU) 2018/1725 25 artiklan mukaisesti.

2. Fusion for Energy -yhteisyrityksen hallinnollisen toiminnan yhteydessä tätä päätöstä sovelletaan Fusion for Energy -yhteisyrityksen seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten ja kurinpitomenettelyjen toteuttaminen sekä sellaisten alustavien toimien toteuttaminen, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, väärinkäytösten paljastamistapausten käsittely, (virallisten ja epävirallisten) häirintätapauksia koskevien menettelyjen käsittely, sisäisten ja ulkoisten valitusten käsittely, potilastietojen käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan tutkimusten toteuttaminen asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti sekä sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävien (tieto)turvatutkimusten toteuttaminen.

Tätä päätöstä olisi sovellettava myös Fusion for Energy -yhteisyrityksen kansallisille viranomaisille ja kansainvälisille järjestöille hallinnollisten tutkimustensa ulkopuolella tarjoamaan tukeen ja niiden kanssa tehtävään yhteistyöhön.

Lisäksi tätä päätöstä sovelletaan toimiin, jotka liittyvät yhteistyöhön EU:n toimielinten ja elinten kanssa, sekä hallinnollista tutkimusta tai kurinpitomenettelyjä koskevien tietojen siirtämiseen EU:n toimielimille ja elimille silloin, kun vastaanottaja tarvitsee tällaisia tietoja arvioidakseen perusteita virallisen tutkimuksen tai virallisten menettelyjen käynnistämiseksi.

3. Kyseessä olevat tietoryhmät ovat kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

4. Kun Fusion for Energy -yhteisyritys suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

5. Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä edellytyksistä ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä, rekisteröidyn oikeus saada ilmoitus henkilötietojen tietoturvaloukkauksesta tai oikeus tietojen luottamuksellisuuteen.

2 artikla

Rekisterinpitäjän ja suojatoimien määrittely

1. Tietoturvaloukkausten, tietovuotojen tai luvattoman luovuttamisen välttämiseksi käytössä ovat seuraavat suojatoimet:

a)	Paperiasiakirjoja on säilytettävä turvakaapeissa, joihin vain valtuutetulla henkilöstöllä on pääsy.

b)	Kaikki sähköiset tiedot on tallennettava suojatuilla tietoteknisillä ohjelmilla Fusion for Energy -yhteisyrityksen tietoturvavaatimusten mukaisesti sekä erityisiin sähköisiin kansioihin, joihin vain valtuutetulla henkilöstöllä on pääsy. Asianmukaiset käyttöoikeustasot on myönnettävä yksilöllisesti.

Tietokanta on suojattava salasanalla, siinä on oltava kertakirjautumisjärjestelmä ja se on yhdistettävä automaattisesti käyttäjätunnukseen ja salasanaan. Käyttäjien vaihtaminen on ehdottomasti kielletty. Sähköisiä rekistereitä on säilytettävä turvassa niiden sisältämien tietojen luottamuksellisuuden ja yksityisyyden takaamiseksi.

d)	Salassapitovelvoite sitoo kaikkia henkilöitä, joilla on pääsy tietoihin.

2. Käsittelytoimien rekisterinpitäjä on Fusion for Energy -yhteisyritys, jota edustaa sen johtaja, joka voi siirtää rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille ilmoitetaan rekisterinpitäjän tehtävän siirtämisestä tietosuojaselosteissa tai tiedoilla, jotka julkaistaan Fusion for Energy -yhteisyrityksen verkkosivustolla ja/tai intranetissä.

3. Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei saa missään tapauksessa olla pidempi kuin tietoturvaselosteissa, tietosuojaselosteissa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika.

4. Jos Fusion for Energy -yhteisyritys aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevaan riskiin nähden sekä siihen riskiin nähden, että Fusion for Energy -yhteisyrityksen tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Muiden rekisteröityjen oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustukseen ja oikeutta tulla kuulluksi.

3 artikla

Rajoitukset

1. Fusion for Energy -yhteisyrityksen on sovellettava rajoituksia vain seuraavien takaamiseksi:

a)	rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan luettuina yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy

muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan luettuina rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva

c)	unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus

d)	oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu

e)	säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet

f)	valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön a–c alakohdassa tarkoitetuissa tapauksissa

g)	rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet

h)	yksityisoikeudellisten kanteiden täytäntöönpano.

2. Fusion for Energy -yhteisyritys voi edellä 1 kohdassa kuvattujen tarkoitusten erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin seuraavissa tilanteissa:

kun jäsenvaltioiden toimivaltaiset viranomaiset voisivat rajoittaa kyseisten oikeuksien ja velvollisuuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (4) 23 artiklassa tarkoitettujen säädösten perusteella tai Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (5) 13 artiklan 3 kohdan, 15 artiklan 3 kohdan tai 16 artiklan 3 kohdan osaksi kansallista lainsäädäntöä saattavien kansallisten säädösten nojalla

c)	kun kyseisten oikeuksien ja velvollisuuksien käyttö voisi vaarantaa Fusion for Energy -yhteisyrityksen yhteistyön kolmansien maiden tai kansainvälisten järjestöjen kanssa sen tehtävien suorittamisessa.

Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa Fusion for Energy -yhteisyrityksen on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi jos Fusion for Energy -yhteisyritykselle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.

3. Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.

4. Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.

5. Rajoitukset on poistettava heti, kun niitä oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.

4 artikla

Tietosuojavastaavan toteuttama uudelleentarkastelu

1. Fusion for Energy -yhteisyrityksen (rekisterinpitäjän) on ilmoitettava tietosuojavastaavalleen ilman aiheetonta viivytystä aina, kun rekisterinpitäjä rajoittaa rekisteröityjen oikeuksien soveltamista tai jatkaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista.

2. Tietosuojavastaava voi pyytää kirjallisesti rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.

3. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

5 artikla

Tietojen antaminen rekisteröidyille

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen saamiseen seuraavien käsittelytoimien yhteydessä:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin

c)	väärinkäytösten paljastamista koskevat menettelyt

d)	(viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäiset tarkastukset

g)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

h)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

Fusion for Energy -yhteisyrityksen on liitettävä tietoturvaselosteisiin, tietosuojaselosteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuihin tietoihin, jotka julkaistaan sen verkkosivustolla ja/tai intranetissä ja joilla ilmoitetaan rekisteröidyille näiden oikeuksista kyseisen menettelyn yhteydessä, tiedot näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa.

2. Sanotun rajoittamatta 3 kohdan säännöksiä ja kun se on oikeasuhteista, Fusion for Energy -yhteisyrityksen on myös ilmoitettava ilman aiheetonta viivytystä ja kirjallisesti yksittäin kaikille rekisteröidyille, jotka katsotaan tietyssä käsittelytoimessa asianomaisiksi henkilöiksi, näiden oikeuksista, jotka koskevat nykyisiä tai tulevia rajoituksia.

3. Jos Fusion for Energy -yhteisyritys rajoittaa kokonaan tai osittain 2 kohdassa tarkoitettua tietojen antamista rekisteröidyille, sen on kirjattava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi.

Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

4. Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen oikeuttavat syyt ovat olemassa.

Fusion for Energy -yhteisyrityksen on ilmoitettava rekisteröidylle pääasialliset syyt, joihin rajoituksen soveltaminen perustuu. Fusion for Energy -yhteisyrityksen on samalla ilmoitettava rekisteröidylle tämän oikeudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

Fusion for Energy -yhteisyrityksen on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkinnan tai menettelyn päättämisen yhteydessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.

6 artikla

Rekisteröidyn oikeus saada pääsy tietoihin

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin

c)	väärinkäytösten paljastamista koskevat menettelyt

d)	(viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	potilastietojen käsittely vain erityisissä perustelluissa tapauksissa (6)

g)	sisäiset tarkastukset

h)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

i)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, Fusion for Energy -yhteisyritys rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.

2. Kun Fusion for Energy -yhteisyritys kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua oikeutta saada pääsy tietoihin, sen on toteutettava seuraavat toimenpiteet:

a)	sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovelletusta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa

b)	sen on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, myös rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä sen kesto.

Edellä a alakohdassa tarkoitettua tietojen ilmoittamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä, jos ilmoittaminen poistaisi rajoituksen vaikutuksen asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.

7 artikla

Oikeus tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin

c)	väärinkäytösten paljastamista koskevat menettelyt

d)	(viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	potilastietojen käsittely vain erityisissä perustelluissa tapauksissa (7)

g)	sisäiset tarkastukset

h)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

i)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

2. Kun Fusion for Energy -yhteisyritys kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 18 artiklassa tarkoitettua oikeutta tietojen oikaisemiseen, 19 artiklan 1 kohdassa tarkoitettua oikeutta tietojen poistamiseen tai 20 artiklan 1 kohdassa tarkoitettua oikeutta käsittelyn rajoittamiseen, sovelletaan tämän päätöksen 6 artiklan 2 ja 3 kohtaa.

8 artikla

Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle ja sähköisen viestinnän luottamuksellisuus

1. Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada ilmoitus henkilötietojen tietoturvaloukkauksesta seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin

c)	väärinkäytösten paljastamista koskevat menettelyt

d)	(viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäiset tarkastukset

g)	tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset

h)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

a)	hallinnollisten tutkimusten ja kurinpitomenettelyjen suorittaminen

b)	alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin

c)	väärinkäytösten paljastamista koskevat menettelyt

d)	viralliset häirintätapauksia koskevat menettelyt

e)	sisäisten ja ulkoisten valitusten käsittely

f)	sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

3. Jos Fusion for Energy -yhteisyritys rajoittaa asetuksen (EU) 2018/1725 35 artiklassa tarkoitettua henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle tai 36 artiklassa tarkoitettua sähköisen viestinnän luottamuksellisuutta, sovelletaan tämän päätöksen 5 artiklan 3 ja 4 kohtaa.

9 artikla

Voimaantulo

Tämä päätös tulee voimaan sitä päivää seuraavana päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.

Tehty Barcelonassa 9 päivänä joulukuuta 2019.

Fusion for Energy -yhteisyrityksen puolesta

Joaquín SÁNCHEZ

Hallintoneuvoston puheenjohtaja

(1) EUVL L 295, 21.11.2018, s. 39.

(2) EUVL L 90, 30.3.2007, s. 58.

(3) EUVL L 248, 18.9.2013, s. 1.

(4) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(5) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).

(6) Kyseiset tilanteet määritellään kyseessä olevassa tietosuojaselosteessa (esim. potilasasiakirjoihin pääsy Fusion for Energy -yhteisyrityksen lääkärin läsnä ollessa); yleinen rajoitus lääkärien henkilökohtaisiin muistiinpanoihin pääsyyn työkyvyttömyysmenettelyn puitteissa uuden asetuksen 25 artiklan 1 kohdan h alakohdassa tarkoitetun rajoituksen kaltaisesti (eli rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet).

(7) Kyseiset tilanteet määritellään kyseessä olevassa tietosuojaselosteessa (esim. oikaisu on rajoitettu hallinnollisiin tietoihin).

		ISSN 1977-0812
Euroopan unionin virallinen lehti		L 37

Suomenkielinen laitos	Lainsäädäntö	63. vuosikerta 10. helmikuu 2020

Sisältö		II Muut kuin lainsäätämisjärjestyksessä hyväksyttävät säädökset	Sivu
		ASETUKSET
	*	Komission täytäntöönpanoasetus (EU) 2020/178, annettu 31 päivänä tammikuuta 2020, kieltoja koskevien tietojen esittämisestä kolmansista maista saapuville matkustajille sekä postipalvelujen ja tiettyjen ammattimaisten toimijoiden asiakkaille siltä osin kuin on kyse kasvien, kasvituotteiden ja muiden tavaroiden tuonnista unionin alueelle Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/2031 mukaisesti	1
	*	Komission Täytäntöönpanoasetus (EU) 2020/179, annettu 3 päivänä helmikuuta 2020, rekisteröidyn tislattua alkoholijuomaa koskevan maantieteellisen merkinnän eritelmän muutoksen hyväksymisestä (Berliner Kümmel)	4
	*	Komission Täytäntöönpanoasetus (EU) 2020/180, annettu 7 päivänä helmikuuta 2020, mikro-organismeja Bacillus subtilis KCCM 10673P ja Aspergillus oryzae KCTC 10258BP sisältävän valmisteen hyväksymisestä kaikkien eläinlajien rehun lisäaineena ( 1 )	5
		PÄÄTÖKSET
	*	Komission täytäntöönpanopäätös (EU) 2020/181, annettu 7 päivänä helmikuuta 2020, afrikkalaiseen sikaruttoon liittyvistä tietyistä väliaikaisista suojatoimenpiteistä Kreikassa (tiedoksiannettu numerolla C(2020) 799) ( 1 )	8
		TYÖJÄRJESTYKSET
	*	Euroopan Unionin Kyberturvallisuusviraston Johtokunnan Päätös, annettu 21 päivänä marraskuuta 2019, rekisteröityjen tiettyjen oikeuksien rajoittamista ENISA:n toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä	11
	*	Fusion for Energy -yhteisyrityksen hallintoneuvoston päätös, annettu 9 päivänä joulukuuta 2019, rekisteröityjen tiettyjen oikeuksien rajoittamista Fusion for Energy -yhteisyrityksen toimintaan liittyvän henkilötietojen käsittelyn yhteydessä koskevista sisäisistä säännöistä	18