European flag

Euroopan unionin
virallinen lehti

FI

L-sarja


2024/2022

29.7.2024

EUROOPAN TIETOSUOJAVALTUUTETUN PÄÄTÖS,

annettu 18 päivänä heinäkuuta 2024,

15 päivänä toukokuuta 2020 annetun Euroopan tietosuojavaltuutetun työjärjestyksen muuttamisesta [2024/2022]

EUROOPAN TIETOSUOJAVALTUUTETTU, joka

ottaa huomioon 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (jäljempänä ’asetus’) ja erityisesti sen 54 artiklan 4 kohdan ja 57 artiklan 1 kohdan q alakohdan

sekä katsoo seuraavaa:

(1)

Euroopan tietosuojavaltuutetun 15 päivänä toukokuuta 2020 antaman ja asetuksen 57 artiklan 1 kohdan q alakohdan mukaisesti hyväksytyn työjärjestyksen (2) 18 artiklassa säädetään kanteluasioissa sovellettavasta uudelleenkäsittelymenettelystä, joka on rajoitettu uusiin tosiseikkoihin perustuviin todisteisiin ja oikeudellisiin perusteluihin.

(2)

Uudelleenkäsittelymenettelyn soveltaminen on kuitenkin aiheuttanut unionin toimielimille, toimistoille, elimille ja virastoille sekä kantelijoille oikeudellisia ja käytännön ongelmia. Sen vuoksi uudelleenkäsittelymenettely tulisi lakkauttaa.

(3)

Asetuksen 58 artiklan 5 kohdassa edellytetään, että Euroopan tietosuojavaltuutetulle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa. Vastaavasti asetuksen 66 artiklan 5 ja 6 kohdassa säädetään, että ennen hallinnollisen sakon määräämistä koskevan päätöksen tekemistä Euroopan tietosuojavaltuutetun tulisi antaa unionin toimielimelle tai elimelle, joka on Euroopan tietosuojavaltuutetun toteuttaman menettelyn kohteena, tilaisuuden tulla kuulluksi seikoista, joista Euroopan tietosuojavaltuutettu on esittänyt väitteitä. Jotta voidaan tosiasiallisesti turvata Euroopan unionin perusoikeuskirjassa, jäljempänä ’perusoikeuskirja’, vahvistetut oikeus hyvään hallintoon ja oikeus puolustukseen, mukaan lukien jokaisen oikeus tulla kuulluksi ennen kuin häntä vastaan ryhdytään yksittäiseen toimenpiteeseen, joka vaikuttaa häneen epäedullisesti, on näin ollen tärkeää säätää tämän oikeuden harjoittamista koskevista selkeistä säännöistä EDPS:n työjärjestyksessä.

(4)

Rekisterinpitäjällä tai henkilötietojen käsittelijällä tulisi olla mahdollisuus esittää näkemyksensä ennen kuin EDPS tekee niihin epäedullisesti vaikuttavan päätöksen. Sen vuoksi EDPS:n työjärjestyksessä tulisi edellyttää, että EDPS laatii alustavan arvioinnin ja ilmoittaa siitä rekisterinpitäjälle tai henkilötietojen käsittelijälle, joka on tietosuojavaltuutetun toteuttaman oikeuskäsittelyn kohteena, ennen kuin hyväksyy päätöksen, jossa todetaan unionin toimielimen tai elimen suorittamassa henkilötietojen käsittelyssä tapahtunut asetuksen tai minkä tahansa muun luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua koskevan unionin säädöksen rikkominen, tai käyttää asetuksen mukaisia korjaavia valtuuksia tai määrää hallinnollisen sakon tai käyttää toimivaltuuksiaan Euroopan unionin lainvalvontayhteistyövirastoa (Europol), Euroopan unionin rikosoikeudellisen yhteistyön virastoa (Eurojust) tai Euroopan syyttäjänvirastoa (EPPO) vastaan.

(5)

Rekisterinpitäjällä tai henkilötietojen käsittelijällä tulisi olla mahdollisuus esittää näkemyksensä ennen kuin EDPS tekee niihin epäedullisesti vaikuttavan päätöksen. Siksi EDPS:n työjärjestyksessä tulisi täsmentää tilanteet, joissa EDPS:n tulisi laatia alustava arviointi ja sen jälkeen ilmoittaa siitä rekisterinpitäjälle tai henkilötietojen käsittelijälle, joka on tietosuojavaltuutetun toteuttaman menettelyn kohteena.

(6)

Samoin kantelijoilla tulisi olla mahdollisuus ilmaista näkemyksensä, ennen kuin EDPS tekee heihin epäedullisesti vaikuttavan päätöksen. Siksi EDPS:n työjärjestyksessä tulisi täsmentää tilanteet, joissa EDPS:n tulisi laatia alustava arviointi ja sen jälkeen ilmoittaa siitä kantelijalle.

(7)

Ennakkoarviointi muodostaa menettelyyn keskeisesti liittyvän suojatoimen, jolla varmistetaan, että oikeutta tulla kuulluksi kunnioitetaan. EDPS:n työjärjestyksessä tulisi näin ollen määritellä, mitä seikkoja tällaisen alustavan arvioinnin on sisällettävä. Koska nämä seikat ovat erilaisia kuin tapauksissa, joissa EDPS aikoo määrätä hallinnollisen sakon, EDPS:n työjärjestyksessä tulisi myös vahvistaa seikat, jotka alustavaan arviointiin on sisällytettävä näissä tapauksissa.

(8)

Alustavaan arviointiin sisältyvien tietojen rajoittaminen voi olla tarpeen unionin tai jäsenvaltion lainsäädännössä tarkoitettujen etujen suojaamiseksi. Näihin etuihin kuuluvat jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus; rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy; muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionin yhteisen ulko- ja turvallisuuspolitiikan tavoitteet tai unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva; unionin toimielinten ja elinten ja myös niiden sähköisen viestinnän verkkojen sisäinen turvallisuus; oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu; säänneltyä ammattitoimintaa koskevan ammattietiikan rikkomisen torjunta, tutkinta, selvittäminen ja syytetoimet; valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön; rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet; yksityisoikeudellisten kanteiden täytäntöönpano; virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estämisen välttäminen; rikosten ennalta estämiselle, tutkimiselle, paljastamiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle haitan tuottamisen välttäminen. Muita etuja ovat oikeutettu luottamuksellisuus tai ammatti- ja liikesalaisuuksien salassapitovelvollisuus. EDPS:n työjärjestyksessä tulisi sen vuoksi viitata nimenomaisesti näihin etuihin ja täsmentää kantelun tekijälle ilmoitettavat tiedot.

(9)

Sen jälkeen kun alustava arviointi on toimitettu, rekisterinpitäjälle tai henkilötietojen käsittelijälle sekä kantelun tekijälle tulisi antaa mahdollisuus esittää huomautuksensa. EDPS:n tulisi sen vuoksi vahvistaa säännöt sille, milloin rekisterinpitäjälle tai henkilötietojen käsittelijälle tai kantelun tekijälle annetaan mahdollisuus tulla kuulluksi ja missä aikataulussa.

(10)

Oikeus tutustua aineistoon on osa perusoikeuskirjassa vahvistettuja puolustautumisoikeuksia ja oikeutta hyvään hallintoon. EDPS:n aineistoon tutustumista koskevan oikeuden rajoittaminen voi kuitenkin olla tarpeen unionin tai jäsenvaltion lainsäädännössä tarkoitettujen etujen suojaamiseksi, ja se tulisi näin ollen ottaa huomioon EDPS:n työjärjestyksessä.

(11)

Oikeudenmukaisen päätöksentekomenettelyn ylläpitämiseksi EDPS:n työjärjestyksessä tulisi selventää, että EDPS:n päätösten tulisi perustua ainoastaan sellaisiin havaintoihin ja toimenpiteisiin, joista rekisterinpitäjä tai henkilötietojen käsittelijä tai kantelun tekijä on voinut esittää huomautuksia, lukuun ottamatta tapauksia, joissa sovelletaan välttämättömiä rajoituksia unionin tai jäsenvaltion lainsäädännössä tarkoitettujen etujen suojaamiseksi.

(12)

Jotta voidaan taata johdonmukaisesti, että jokaisessa EDPS:n oikeudellisesti sitovassa toimenpiteessä viitataan oikeuteen tehokkaisiin oikeussuojakeinoihin, EDPS:n työjärjestyksessä tulisi määrätä, että EDPS:n on ilmoitettava päätöstekstissä rekisterinpitäjälle tai henkilötietojen käsittelijälle ja kantelijalle näiden oikeudesta nostaa päätöksestä kanne Euroopan unionin tuomioistuimessa Euroopan unionin toiminnasta tehdyn sopimuksen 263 artiklan mukaisesti,

ON PÄÄTTÄNYT SEURAAVAA:

1 artikla

Euroopan tietosuojavaltuutetun 15 päivänä toukokuuta 2020 annetun työjärjestyksen 18 artikla muutetaan seuraavasti:

”18 artikla

Alustava arviointi ja oikeus tulla kuulluksi

1.   Ennen kuin Euroopan tietosuojavaltuutettu tekee päätöksen,

a)

jossa unionin toimielimen tai elimen suorittamassa henkilötietojen käsittelyssä todetaan tapahtuneen asetuksen tai minkä tahansa muun luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua koskevan unionin säädöksen rikkominen tai

b)

käyttää asetuksen 58 artiklan 2 kohdan mukaisia korjaavia valtuuksia tai

c)

määrää asetuksen 58 artiklan 2 kohdan i alakohdan ja 66 artiklan mukaisen tai Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/794 (*1) 43 artiklan 3 kohdan l alakohdan mukaisen hallinnollisen sakon tai

d)

käyttää asetuksen (EU) 2016/794 43 artiklan 3 kohdan b, c, d, e, f, g, j ja k alakohdan mukaisia toimivaltuuksiaan Euroopan unionin lainvalvontayhteistyövirastoa (Europol) vastaan tai

e)

käyttää neuvoston asetuksen (EU) 2017/1939 (*2) 85 artiklan 3 kohdan b, d ja e alakohdan mukaisia toimivaltuuksiaan Euroopan syyttäjänvirastoa (EPPO) vastaan tai

f)

käyttää Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1727 (*3) 40 artiklan 3 kohdan b, d ja e alakohdan mukaisia toimivaltuuksiaan Euroopan unionin rikosoikeudellisen yhteistyön virastoa (Eurojust) vastaan

Euroopan tietosuojavaltuutettu laatii alustavan arvioinnin ja antaa sen tiedoksi rekisterinpitäjälle tai henkilötietojen käsittelijälle, joka on Euroopan tietosuojavaltuutetun toteuttaman menettelyn kohteena, jäljempänä ’rekisterinpitäjä tai henkilötietojen käsittelijä’.

2.   Ennen kuin Euroopan tietosuojavaltuutettu tekee päätöksen tapauksessa, jossa aiotaan osittain tai kokonaan hylätä kantelu, joka on tehty

a)

asetuksen 63 ja 68 artiklan tai

b)

asetuksen (EU) 2016/794 47 artiklan mukaisesti

c)

asetuksen (EU) 2017/1939 88 artiklan tai

d)

asetuksen (EU) 2018/1727 43 artiklan mukaisesti

Euroopan tietosuojavaltuutettu laatii alustavan arvion ja toimittaa sen kantelijalle.

3.   Alustavaan arviointiin on sisällyttävä

(a)

asiaankuuluvat vahvistetut tosiseikat ja viittaukset niitä tukeviin todisteisiin, joihin Euroopan tietosuojavaltuutettu aikoo tukeutua tehdessään päätöksensä

(b)

Euroopan tietosuojavaltuutetun alustava oikeudellinen arviointi tosiseikoista ja mahdollisista väitetyistä sovellettavien tietosuojasääntöjen rikkomisista ja

(c)

korjaavat valtuudet, joita Euroopan tietosuojavaltuutetun on mahdollisesti tarkoitus käyttää, ottaen huomioon raskauttavat tai lieventävät tekijät.

4.   Poiketen siitä, mitä 3 kohdassa säädetään, 18 artiklan 1 kohdan c alakohtaa sovellettaessa alustava arviointi sisältää ainoastaan ne asiaankuuluvat seikat, joihin Euroopan tietosuojavaltuutettu aikoo nojautua päättäessään hallinnollisen sakon määräämisestä ja päättäessään hallinnollisen sakon määrästä, ottaen huomioon asetuksen 66 artiklan 1 kohdassa luetellut seikat.

5.   Euroopan tietosuojavaltuutettu voi rajoittaa tietoja, joita kantelijalle annetaan 2 ja 3 kohdassa tarkoitetussa alustavassa arvioinnissa, suojatakseen mitä tahansa etuja, joita on tarkoitettu

a)

asetuksen 25 artiklan 1 kohdassa tai

b)

asetuksen 79 artiklan 3 kohdassa, 81 artiklan 1 kohdassa tai 84 artiklan 2 kohdassa tai

c)

asetuksen (EU) 2017/1939 58 artiklan 3 kohdassa, 60 artiklan 1 kohdassa ja 61 artiklan 5 kohdassa, tai

d)

muita oikeutettuja etuja, jotka liittyvät luottamuksellisuuteen tai ammatti- ja liikesalaisuuksien salassapitovelvollisuuteen.

Tällaisissa tapauksissa Euroopan tietosuojavaltuutettu ilmoittaa kantelijalle ainakin ne kantelun osat, jotka aiotaan hylätä, sekä kaikkien ensimmäisessä alakohdassa tarkoitettujen rajoitusten soveltamisen perustelut. Kun tietojen antamista rajoitetaan ensimmäisen alakohdan b ja c alakohdassa tarkoitettujen etujen vuoksi, Euroopan tietosuojavaltuutettu voi jättää ilmoittamatta tiedot, jotka koskevat minkä tahansa rajoituksen soveltamisen perusteluja, jos tietojen antaminen heikentäisi kyseisiä etuja. Tällaisissa tapauksissa Euroopan tietosuojavaltuutettu ilmoittaa asiasta kantelijalle asetuksen 84 artiklan 3 kohdan ja asetuksen (EU) 2017/1939 62 artiklan 3 kohdan mukaisesti.

6.   Euroopan tietosuojavaltuutettu antaa tapauksen mukaan rekisterinpitäjälle tai henkilötietojen käsittelijälle ja kantelijalle tilaisuuden tulla kuulluksi, ennen unionin toimielimen tai elimen suorittamassa henkilötietojen käsittelyssä tapahtuneen asetuksen tai minkä tahansa muun luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua koskevan unionin säädöksen rikkomisen toteavan päätöksen tekemistä tai asetuksen mukaisten korjaavien valtuuksien käyttämistä tai hallinnollisen sakon määräämistä tai jos Euroopan tietosuojavaltuutettu aikoo hylätä kantelun osittain tai kokonaan. Euroopan tietosuojavaltuutettu asettaa määräajan, jonka kuluessa rekisterinpitäjä tai henkilötietojen käsittelijä ja kantelija voivat esittää näkemyksensä kirjallisesti, ottaen huomioon asian kiireellisyyden.

7.   Euroopan tietosuojavaltuutettu voi rajoittaa pääsyä aineistoon, jos se on tarpeen jonkin edellä 5 kohdassa tarkoitetun edun suojaamiseksi.

8.   Euroopan tietosuojavaltuutettu perustaa päätöksensä ainoastaan sellaisiin havaintoihin ja toimenpiteisiin, joista rekisterinpitäjä tai henkilötietojen käsittelijä tai kantelija on voinut esittää huomautuksia, lukuun ottamatta tapauksia, joissa sovelletaan 5 ja 7 kohtaa.

9.   Euroopan tietosuojavaltuutettu ilmoittaa päätöstekstissään rekisterinpitäjälle tai henkilötietojen käsittelijälle ja kantelijalle näiden oikeudesta nostaa päätöksestä kanne Euroopan unionin tuomioistuimessa Euroopan unionin toiminnasta tehdyn sopimuksen 263 artiklan mukaisesti.

2 artikla

Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Brysselissä 18 päivänä heinäkuuta 2024.

Tietosuojavaltuutetun puolesta

Wojciech Rafał WIEWIÓROWSKI

Euroopan tietosuojavaltuutettu


(1)   EUVL L 295, 21.11.2018, s. 39.

(2)  Euroopan tietosuojavaltuutetun päätös, 15 päivänä toukokuuta 2020, Euroopan tietosuojavaltuutetun työjärjestyksen vahvistamisesta (EUVL L 204, 26.6.2020, s. 49).


ELI: http://data.europa.eu/eli/proc_rules/2024/2022/oj

ISSN 1977-0812 (electronic edition)