Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001
af 18. december 2000
om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 286,
under henvisning til forslag fra Kommissionen(1),
under henvisning til udtalelse fra Det Økonomiske og Sociale Udvalg(2),
efter proceduren i traktatens artikel 251(3), og
ud fra følgende betragtninger:
(1) Traktatens artikel 286 bestemmer, at fællesskabsretsakter om beskyttelse af fysiske personer i forbindelse med behandling og fri udveksling af personoplysninger gælder for fællesskabsinstitutionerne og -organerne.
(2) En fuldt udviklet ordning for beskyttelse af personoplysninger kræver ikke blot, at der fastlægges rettigheder for de registrerede og forpligtelser for dem, som behandler personoplysningerne, men også, at der indføres passende sanktioner over for dem, som ikke overholder bestemmelserne, og at der oprettes en uafhængig kontrolmyndighed.
(3) I henhold til traktatens artikel 286, stk. 2, skal der oprettes en uafhængig kontrolinstans, der skal have ansvaret for at overvåge gennemførelsen af sådanne fællesskabsretsakter i Fællesskabets institutioner og organer.
(4) I henhold til traktatens artikel 286, stk. 2, skal der om nødvendigt vedtages andre relevante bestemmelser.
(5) En forordning er nødvendig for at give den enkelte rettigheder, der kan håndhæves retsligt, og for at gøre det klart, hvilke forpligtelser der påhviler de registeransvarlige inden for fællesskabsinstitutionerne og -organerne i forbindelse med behandling af personoplysninger, samt for at oprette en uafhængig kontrolmyndighed, som skal have ansvaret for overvågningen af behandlingen af personoplysninger i fællesskabsinstitutionerne og -organerne.
(6) Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(4), er blevet hørt.
(7) De personer, der kan beskyttes, er dem, hvis personoplysninger behandles af fællesskabsinstitutioner eller -organer, uanset hvilken sammenhæng der er tale om, f.eks. fordi de pågældende er ansat i disse institutioner eller organer.
(8) Principperne om databeskyttelse bør gælde for alle former for oplysninger om en identificeret eller identificerbar person. Til bestemmelse af, om en person er identificerbar, bør alle de midler tages i betragtning, der inden for rimelighedens grænser vil kunne benyttes af enten den registeransvarlige eller enhver anden person til at identificere den pågældende person. Principperne om beskyttelse bør ikke gælde personoplysninger, der er gjort anonyme på en sådan måde, at den registrerede ikke længere er identificerbar.
(9) Direktiv 95/46/EF kræver af medlemsstaterne, at de sikrer beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger for at sikre fri udveksling af personoplysninger i Fællesskabet.
(10) Europa-Parlamentets og Rådets direktiv 97/66/EF af 15. december 1997 om behandling af personoplysninger og beskyttelse af privatlivets fred inden for telesektoren(5) uddyber og supplerer direktiv 95/46/EF med hensyn til behandling af personoplysninger inden for telesektoren.
(11) Forskellige andre fællesskabsforanstaltninger, bl.a. dem, der er vedtaget som led i den gensidige bistand mellem medlemsstaternes offentlige myndigheder og Kommissionen, tager ligeledes sigte på at uddybe og supplere direktiv 95/46/EF inden for de sektorer, de vedrører.
(12) Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Fællesskabet.
(13) Sigtet er at garantere både en effektiv overholdelse af reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder og fri udveksling af personoplysninger mellem medlemsstaterne og fællesskabsinstitutionerne og -organerne og mellem fællesskabsinstitutionerne og -organerne indbyrdes som led i udøvelsen af deres respektive beføjelser.
(14) For at opnå dette bør der vedtages bestemmelser, som er bindende for fællesskabsinstitutionerne og -organerne. Sådanne bestemmelser bør gælde for enhver form for behandling af personoplysninger, der finder sted i alle fællesskabsinstitutioner og -organer, i det omfang denne behandling er iværksat som led i udøvelsen af aktiviteter, som helt eller delvis hører under fællesskabsrettens anvendelsesområde.
(15) Når denne behandling finder sted i fællesskabsinstitutioner og -organer som led i udøvelsen af aktiviteter, som ikke hører under denne forordnings anvendelsesområde, navnlig de aktiviteter, der er omhandlet i afsnit V og VI i traktaten om Den Europæiske Union, sikres beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder under overholdelse af artikel 6 i traktaten om Den Europæiske Union. Aktindsigt, herunder betingelserne for aktindsigt i dokumenter, som indeholder personoplysninger, hører under de bestemmelser, der er vedtaget på grundlag af traktatens artikel 255, hvis anvendelsesområde også omfatter afsnit V og VI i traktaten om Den Europæiske Union.
(16) Disse bestemmelser finder ikke anvendelse på organer, der er oprettet uden for Fællesskabernes rammer, og den europæiske tilsynsførende for databeskyttelse er ikke bemyndiget til at kontrollere sådanne organers behandling af personoplysninger.
(17) En effektiv beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionen forudsætter sammenhæng mellem de regler og procedurer, som finder anvendelse på de aktiviteter, der henhører under de forskellige retlige rammer. Første etape i denne proces omfatter udarbejdelse af grundlæggende principper for beskyttelse af personoplysninger på området retligt samarbejde i kriminalsager og politi- og toldsamarbejde samt oprettelse af et sekretariat for de fælles kontrolmyndigheder, der er nedsat ved Europol-konventionen, konventionen om brug af informationsteknologi på toldområdet og Schengen-konventionen.
(18) Denne forordning bør ikke berøre medlemsstaternes rettigheder og forpligtelser i henhold til direktiv 95/46/EF og 97/66/EF. Den har ikke til formål at ændre de procedurer og den praksis, der retmæssigt er gennemført af den enkelte medlemsstat med hensyn til nationens sikkerhed, forebyggelse af uro samt forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af straffelovsovertrædelser under overholdelse af bestemmelserne i protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter samt folkeretten.
(19) Fællesskabsinstitutionerne og -organerne skal henvende sig til de ansvarlige myndigheder i medlemsstaterne, når de mener, at der bør foretages indgreb i meddelelseshemmeligheden på deres telekommunikationsnet i overensstemmelse med de gældende nationale bestemmelser.
(20) De bestemmelser, der gælder for fællesskabsinstitutionerne og -organerne, bør svare til dem, der gælder i forbindelse med harmonisering af national lovgivning eller ved gennemførelse af andre af Fællesskabets politikker, f.eks. inden for gensidig bistand. Det kan dog være nødvendigt at uddybe og supplere bestemmelserne for at gennemføre beskyttelsen i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne.
(21) Dette gælder såvel for de rettigheder, der tilkommer de fysiske personer, hvis personoplysninger gøres til genstand for behandling, som for de forpligtelser, der påhviler de fællesskabsinstitutioner og -organer, der udfører behandlingen, og for de beføjelser, der tildeles den uafhængige kontrolmyndighed, som skal have ansvaret for at overvåge, at denne forordning anvendes korrekt.
(22) De rettigheder, der tildeles den registrerede, og udøvelsen af disse rettigheder bør ikke berøre de forpligtelser, der påhviler den registeransvarlige.
(23) Den uafhængige kontrolmyndighed udøver sine kontrolopgaver i overensstemmelse med traktaten og under overholdelse af menneskerettighederne og de grundlæggende frihedsrettigheder. Den udfører sine undersøgelser under overholdelse af protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter og vedtægten for tjenestemænd i De Europæiske Fællesskaber og ansættelsesvilkårene for de øvrige ansatte i Fællesskaberne.
(24) Der bør vedtages passende tekniske foranstaltninger, der gør det muligt via den uafhængige kontrolmyndighed at få adgang til de databeskyttelsesansvarliges registre over behandlinger.
(25) Den uafhængige kontrolmyndigheds afgørelser vedrørende undtagelser fra, garantier for, godkendelse af eller betingelser for behandling af personoplysninger, således som de er defineret i denne forordning, offentliggøres i årsberetningen. Ud over offentliggørelsen af årsberetningen kan den uafhængige kontrolmyndighed offentliggøre rapporter om specifikke emner.
(26) Visse former for behandling, der kan udgøre en særlig risiko for de registreredes rettigheder og frihedsrettigheder, kontrolleres på forhånd af den uafhængige kontrolmyndighed. Den udtalelse, der afgives i forbindelse med denne forhåndskontrol, herunder den udtalelse, der følger af en manglende besvarelse inden for den fastsatte frist, bør ikke berøre den uafhængige kontrolmyndigheds muligheder for senere at udøve sine beføjelser med hensyn til den pågældende behandling.
(27) Behandling af personoplysninger, som sker til udførelse af de opgaver, fællesskabsinstitutionerne og -organerne udfører i samfundets interesse, omfatter enhver behandling af personoplysninger, der er nødvendig af hensyn til administrationen af disse institutioner og organer og deres funktion.
(28) I en række tilfælde fastsættes det i denne forordning, at tilladelse til behandling af personoplysninger skal følge af fællesskabsretten eller bestemmelser til gennemførelse heraf. Dog kan den europæiske tilsynsførende, hvis sådanne bestemmelser ikke findes, og indtil de vedtages, midlertidigt give tilladelse til behandling af sådanne personoplysninger på betingelse af, at der vedtages de fornødne garantier. Med henblik herpå tager den tilsynsførende især hensyn til de bestemmelser, medlemsstaterne har vedtaget for tilsvarende tilfælde.
(29) Disse tilfælde vedrører behandling af personoplysninger vedrørende racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold, som er nødvendige af hensyn til overholdelsen af den registeransvarliges forpligtelser og rettigheder på beskæftigelsesområdet eller af grunde, der vedrører hensynet til vigtige samfundsinteresser. Det drejer sig endvidere om behandling af personoplysninger vedrørende lovovertrædelser, domfældelser i straffesager og andre retsfølger af en strafbar handling, eller om tilladelse til at lade den registrerede være undergivet en afgørelse, der har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af en edb-baseret behandling af personoplysninger med henblik på at vurdere bestemte aspekter af hans personlige forhold.
(30) For at forhindre ikke-autoriseret brug kan det være nødvendigt at føre tilsyn med de edb-net, der drives under en fællesskabsinstitutions eller et fællesskabsorgans ansvar. Den europæiske tilsynsførende for databeskyttelse fastsætter, hvorvidt og på hvilke betingelser dette kan ske.
(31) Ansvar for overtrædelse af denne forordning falder ind under traktatens artikel 288, stk. 2.
(32) En eller flere databeskyttelsesansvarlige påser i hver fællesskabsinstitution og hvert fællesskabsorgan, at bestemmelserne i denne forordning finder anvendelse, og rådgiver de registeransvarlige under opfyldelsen af deres forpligtelser.
(33) Rådets forordning (EF) nr. 322/97 af 17. februar 1997 om EF-statistikker(6) gælder i henhold til dens artikel 21 med forbehold af direktiv 95/46/EF.
(34) Rådets forordning (EF) nr. 2533/98 af 23. november 1998 om Den Europæiske Centralbanks indsamling af statistisk information(7) gælder i henhold til dens artikel 8, stk. 8, med forbehold af direktiv 95/46/EF.
(35) Rådets forordning (Euratom, EØF) nr. 1588/90 af 11. juni 1990 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor(8) berører ikke særlige fællesskabsbestemmelser eller nationale bestemmelser om hemmeligholdelse bortset fra hemmeligholdelse af statistiske oplysninger, jf. dens artikel 1, stk. 2.
(36) Denne forordning har ikke til formål at begrænse medlemsstaternes råderum for så vidt angår udfærdigelse af deres nationale lovgivning om databeskyttelse, som vedtages i medfør af artikel 32 i direktiv 95/46/EF, i overensstemmelse med traktatens artikel 249 -
UDSTEDT FØLGENDE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Forordningens formål
1. De institutioner og organer, som er oprettet ved eller på grundlag af traktaterne om oprettelse af De Europæiske Fællesskaber, i det følgende benævnt "fællesskabsinstitutioner og -organer", sikrer i overensstemmelse med denne forordning beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger, uden hverken at begrænse eller forhindre den frie udveksling af personoplysninger indbyrdes eller til modtagere, der er undergivet den nationale lovgivning i medlemsstaterne, der er vedtaget i medfør af direktiv 95/46/EF.
2. Den uafhængige kontrolmyndighed, som oprettes ved denne forordning (i det følgende benævnt "europæisk tilsynsførende for databeskyttelse"), påser, at denne forordnings bestemmelser overholdes i forbindelse med alle de behandlinger af personoplysninger, der finder sted i en fællesskabsinstitution eller et fællesskabsorgan.
Artikel 2
Definitioner
I denne forordning forstås ved:
a) "personoplysninger": enhver form for information om en identificeret eller identificerbar fysisk person (i det følgende benævnt "den registrerede"); ved identificerbar person forstås en person, som direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) "behandling af personoplysninger" (i det følgende benævnt "behandling"): enhver operation eller række af operationer, med eller uden brug af elektronisk databehandling, som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver form for overdragelse, sammenstilling eller samkøring samt blokering, sletning eller tilintetgørelse
c) "register med personoplysninger" (i det følgende benævnt "register"): enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag
d) "den registeransvarlige": den fællesskabsinstitution eller det fællesskabsorgan, det generaldirektorat, det kontor eller enhver anden organisatorisk enhed, som alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved en bestemt fællesskabsretsakt, kan den registeransvarlige eller de specifikke kriterier for udpegning af denne fremgå af denne fællesskabsretsakt
e) "registerfører": den fysiske eller juridiske person, offentlige myndighed, instans eller ethvert andet organ, som behandler personoplysninger på den registeransvarliges vegne
f) "tredjemand": en anden fysisk eller juridisk person, offentlig myndighed eller instans eller ethvert andet organ end den registrerede, den registeransvarlige, registerføreren og de personer under den registeransvarliges eller registerførerens direkte myndighed, som er beføjet til at behandle personoplysningerne
g) "modtager": den fysiske eller juridiske person, offentlige myndighed eller instans eller ethvert andet organ, hvortil personoplysningerne meddeles, uanset om der er tale om en tredjemand; myndigheder, som vil kunne få meddelt personoplysninger som led i en særlig undersøgelse, betragtes ikke som modtagere
h) "den registreredes samtykke": enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.
Artikel 3
Anvendelsesområde
1. Denne forordning anvendes på behandling af personoplysninger, som finder sted i samtlige fællesskabsinstitutioner og -organer, i det omfang denne behandling er iværksat som led i udøvelsen af aktiviteter, der helt eller delvis hører under fællesskabsrettens anvendelsesområde.
2. Denne forordning anvendes på behandling af personoplysninger, som helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
KAPITEL II
ALMINDELIGE BETINGELSER FOR LOVLIG BEHANDLING AF PERSONOPLYSNINGER
AFDELING 1
PRINCIPPER VEDRØRENDE OPLYSNINGERNES PÅLIDELIGHED
Artikel 4
Oplysningernes pålidelighed
1. Personoplysninger:
a) skal behandles loyalt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål og må ikke senere gøres til genstand for behandling, som er uforenelig med disse formål. Senere behandling til historiske, statistiske eller videnskabelige formål anses ikke for at være uforenelig med disse formål, såfremt den registeransvarlige giver de fornødne garantier, især til sikring af, at personoplysningerne ikke behandles til andre formål, og at de ikke anvendes til støtte for foranstaltninger eller beslutninger, der berører bestemte enkeltpersoner
c) skal være tilstrækkelige og relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der træffes alle rimelige foranstaltninger for at slette eller berigtige personoplysninger, der er urigtige eller ufuldstændige i forhold til de formål, hvortil de indsamles, eller de formål, hvortil de senere behandles
e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne indsamles, eller de formål, hvortil de senere behandles. Fællesskabsinstitutionen eller -organet fastsætter, at personoplysninger, der til historiske, statistiske eller videnskabelige formål skal opbevares i længere tid end ovennævnte periode, enten kun opbevares i en form, der gør dem anonyme, eller, hvis dette er umuligt, kun opbevares, såfremt den pågældende persons identitet kryptograferes. Personoplysningerne må under ingen omstændigheder benyttes til andre formål end historiske, statistiske eller videnskabelige.
2. Det påhviler den registeransvarlige at sikre, at stk. 1 overholdes.
AFDELING 2
KRITERIER FOR LEGITIM BEHANDLING AF PERSONOPLYSNINGER
Artikel 5
Lovlig behandling af personoplysninger
Behandling af personoplysninger må kun finde sted, hvis:
a) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse på grundlag af traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller som retmæssigt hører under offentlig myndighedsudøvelse, som er pålagt fællesskabsinstitutionen eller -organet eller en tredjemand, til hvem personoplysningerne videregives, eller
b) behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den registeransvarlige, eller
c) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt, eller
d) den registrerede utvetydigt har givet sit samtykke, eller
e) behandlingen er nødvendig for at beskytte den registreredes vitale interesser.
Artikel 6
Ændring af formålet
Med forbehold af artikel 4, 5 og 10:
1) Må behandling af personoplysninger til andre formål end dem, hvortil de indsamles, kun finde sted, hvis ændring af behandlingsformålet udtrykkeligt er tilladt i henhold til fællesskabsinstitutionens eller -organets interne regler.
2) Må personoplysninger, der alene indsamles med det formål at varetage sikkerheden i eller føre kontrol med behandlingssystemer eller behandlingsoperationer, ikke anvendes til andre formål, med undtagelse af forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af alvorlige straffelovsovertrædelser.
Artikel 7
Videregivelse af personoplysninger inden for og mellem fællesskabsinstitutioner og -organer
Med forbehold af artikel 4, 5, 6 og 10:
1) Må personoplysninger kun videregives inden for eller til andre fællesskabsinstitutioner og -organer, hvis de er nødvendige af hensyn til den retmæssige udførelse af opgaver, der hører under modtagerens kompetenceområde.
2) Bærer både den registeransvarlige og modtageren ansvaret for lovligheden af videregivelsen af personoplysningerne, når denne videregivelse finder sted efter anmodning fra modtageren.
Den registeransvarlige har pligt til at kontrollere modtagerens kompetenceområde og til at foretage en foreløbig vurdering af nødvendigheden af videregivelsen af personoplysningerne. Hvis der opstår tvivl om nødvendigheden, skal den registeransvarlige indhente yderligere information hos modtageren.
Modtageren skal sikre, at nødvendigheden af videregivelsen af personoplysningerne efterfølgende kan kontrolleres.
3) Må modtageren kun gøre personoplysningerne til genstand for behandling til de formål, hvortil de er videregivet.
Artikel 8
Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, men som er undergivet direktiv 95/46/EF
Med forbehold af artikel 4, 5, 6 og 10 må personoplysninger kun videregives til modtagere, som er undergivet den nationale lovgivning, der er vedtaget i medfør af direktiv 95/46/EF:
a) hvis modtageren godtgør, at personoplysningerne er nødvendige for at udføre en opgave, der er i samfundets interesse, eller for at udøve offentlig myndighed, eller
b) hvis modtageren godtgør nødvendigheden af videregivelsen af personoplysningerne, og der ikke er grund til at formode, at den registreredes legitime interesser vil kunne lide skade derved.
Artikel 9
Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er undergivet direktiv 95/46/EF
1. Videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er undergivet national lovgivning, der er vedtaget i medfør af direktiv 95/46/EF, må kun finde sted, hvis modtagerens land eller den modtagende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, og personoplysningerne alene videregives med henblik på udførelse af opgaver, der ligger inden for den registeransvarliges kompetenceområde.
2. Vurderingen af, om beskyttelsesniveauet i det pågældende tredjeland eller den pågældende internationale organisation er tilstrækkeligt, sker på grundlag af alle de forhold, der har indflydelse på videregivelse eller en kategori af videregivelse af oplysninger. Til grund for vurderingen lægges navnlig personoplysningernes art, den eller de påtænkte behandlingers formål og varighed, det endelige bestemmelsessted (tredjeland eller international organisation), de retsregler (almindelige regler eller sektorregler), der er gældende i det pågældende tredjeland eller gælder for den pågældende internationale organisation, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i dette tredjeland eller denne internationale organisation.
3. Fællesskabsinstitutionerne og -organerne underretter Kommissionen og den europæiske tilsynsførende for databeskyttelse, hvis de finder, at det pågældende tredjeland eller den pågældende internationale organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med stk. 2.
4. Kommissionen underretter medlemsstaterne om de i stk. 3 omhandlede tilfælde.
5. Fællesskabsinstitutionerne og -organerne træffer de foranstaltninger, der er nødvendige for at efterkomme de afgørelser, Kommissionen træffer, når den ved anvendelse af artikel 25, stk. 4 og 6, i direktiv 95/46/EF konstaterer, at et tredjeland eller en international organisation sikrer eller ikke sikrer et tilstrækkeligt beskyttelsesniveau.
6. Uanset stk. 1 og 2 kan fællesskabsinstitutionen eller -organet videregive personoplysninger, hvis:
a) den registrerede utvetydigt har givet sit samtykke til den påtænkte videregivelse, eller
b) videregivelsen er nødvendig af hensyn til opfyldelsen af en kontrakt mellem den registrerede og den registeransvarlige eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt, eller
c) videregivelsen er nødvendig af hensyn til indgåelsen eller udførelsen af en kontrakt, der i den registreredes interesse er indgået mellem den registeransvarlige og tredjemand, eller
d) videregivelsen er nødvendig eller følger af retsregler for at beskytte en vigtig samfundsinteresse eller for, at et retskrav kan fastslås, gøres gældende eller forsvares ved en domstol, eller
e) videregivelsen er nødvendig for at beskytte den registreredes vitale interesser, eller
f) videregivelsen finder sted fra et register, som ifølge fællesskabsretten er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for enhver, der kan godtgøre at have en legitim interesse heri, i det omfang de i fællesskabsretten fastsatte betingelser for offentlig tilgængelighed er opfyldt i det pågældende tilfælde.
7. Med forbehold af stk. 6 kan den europæiske tilsynsførende for databeskyttelse give tilladelse til videregivelse eller en kategori af videregivelse af personoplysninger til et tredjeland eller en organisation, som ikke sikrer et tilstrækkeligt beskyttelsesniveau i henhold til stk. 1 og 2, hvis den registeransvarlige giver tilstrækkelige garantier med hensyn til beskyttelse af privatlivets fred og af fysiske personers grundlæggende rettigheder og frihedsrettigheder, samt med hensyn til udøvelsen af de dermed forbundne rettigheder; disse garantier kan bl.a. fremgå af relevante kontraktbestemmelser.
8. Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om de kategorier af tilfælde, hvor de har anvendt stk. 6 og 7.
AFDELING 3
SÆRLIGE KATEGORIER AF BEHANDLINGER
Artikel 10
Behandling vedrørende særlige kategorier af personoplysninger
1. Behandling af personoplysninger vedrørende racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og behandling af personoplysninger vedrørende helbredsforhold og seksuelle forhold er forbudt.
2. Stk. 1 finder ikke anvendelse, hvis:
a) den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i fællesskabsinstitutionens eller -organets interne regler er fastsat, at forbuddet i stk. 1 ikke kan ophæves ved den registreredes samtykke, eller
b) behandlingen er nødvendig af hensyn til overholdelsen af den registeransvarliges forpligtelser og specifikke rettigheder på det arbejdsretlige område, i det omfang dette er tilladt i henhold til traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller, om nødvendigt, i det omfang behandlingen er godkendt af den europæiske tilsynsførende for databeskyttelse og under forudsætning af de fornødne garantier, eller
c) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende fysisk eller retligt ikke er i stand til at give sit samtykke, eller
d) behandlingen vedrører personoplysninger, som klart er offentliggjort af den registrerede, eller den er nødvendig for, at et retskrav kan fastslås, gøres gældende eller forsvares ved en domstol, eller
e) behandlingen foretages af et almennyttigt organ, som er en organisatorisk enhed, der er integreret i en fællesskabsinstitution eller et fællesskabsorgan, og som ikke er omfattet af de nationale bestemmelser om beskyttelse af oplysninger i medfør af artikel 4 i direktiv 95/46/EF, og hvis sigte er politisk, filosofisk, religiøs eller fagforeningsmæssigt, såfremt behandlingen sker som led i organets retmæssige aktiviteter og med de fornødne garantier, samt på betingelse af, at behandlingen alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt med det, og at personoplysningerne ikke videregives til tredjemand uden den registreredes samtykke.
3. Stk. 1 finder ikke anvendelse, hvis behandlingen af personoplysningerne er nødvendig med henblik på forebyggende lægeundersøgelser, medicinske diagnoser, sygepleje eller patientbehandling eller forvaltning af læge- og sundhedstjenester, og hvis behandlingen af disse personoplysninger foretages af en sundhedsperson, der har tavshedspligt, eller af en anden person med en tilsvarende tavshedspligt.
4. Med forbehold af tilstrækkelige garantier og af grunde, der vedrører hensynet til vigtige samfundsinteresser, kan der i traktaterne om oprettelse af De Europæiske Fællesskaber eller i andre retsakter vedtaget på grundlag af disse traktater eller, om nødvendigt, af den europæiske tilsynsførende for databeskyttelse fastsættes andre undtagelser end dem, der er nævnt i stk. 2.
5. Behandling af personoplysninger om lovovertrædelser, domfældelser i straffesager og andre retsfølger af en strafbar handling må kun foretages, hvis det er tilladt i henhold til traktaterne om oprettelse af De Europæiske Fællesskaber eller andre retsakter vedtaget på grundlag af disse traktater, eller, om nødvendigt, hvis det er tilladt af den europæiske tilsynsførende for databeskyttelse og under forudsætning af fornødne, specifikke garantier.
6. Den europæiske tilsynsførende for databeskyttelse fastsætter, på hvilke betingelser et personnummer eller et andet alment identifikationsmiddel kan gøres til genstand for behandling i en fællesskabsinstitution eller et fællesskabsorgan.
AFDELING 4
OPLYSNINGSPLIGT OVER FOR DEN REGISTREREDE
Artikel 11
Oplysningspligt, når personoplysningerne indsamles hos den registrerede
1. Den registeransvarlige giver den registrerede, hos hvem og om hvem der indsamles personoplysninger, mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:
a) den registeransvarliges identitet
b) formålene med den behandling, hvortil personoplysningerne er bestemt
c) modtagerne eller kategorierne af modtagere af personoplysningerne
d) om det er obligatorisk eller frivilligt at besvare spørgsmålene samt de mulige følger af at undlade at svare
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer, f.eks.
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at henvende sig til den europæiske tilsynsførende for databeskyttelse
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede.
2. Uanset stk. 1 kan oplysningspligten helt eller delvis udsættes, undtagen for så vidt angår de i stk. 1, litra a), b) og d), omhandlede informationer, så længe dette er nødvendigt af statistiske årsager. Oplysningspligten genindtræder, så snart grunden til, at informationerne ikke er givet, ikke længere er til stede.
Artikel 12
Oplysningspligt, når personoplysningerne ikke er indsamlet hos den registrerede
1. Når personoplysningerne ikke er indsamlet hos den registrerede, skal den registeransvarlige ved registreringen af personoplysningerne eller, hvis personoplysningerne påtænkes videregivet til tredjemand, senest når personoplysningerne første gang videregives, give den registrerede mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:
a) den registeransvarliges identitet
b) formålene med behandlingen
c) hvilken type personoplysninger der er tale om
d) modtagerne eller kategorierne af modtagere
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer f.eks.:
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at rette henvendelse til den europæiske tilsynsførende for databeskyttelse
iv) hvor personoplysningerne stammer fra, medmindre den registeransvarlige ikke kan oplyse herom på grund af tavshedspligt
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede.
2. Bestemmelserne i stk. 1 finder ikke anvendelse, hvis det, navnlig i forbindelse med behandling til statistiske formål eller med henblik på historisk eller videnskabelig forskning viser sig umuligt eller kræver en uforholdsmæssig stor indsats at give den registrerede disse informationer, eller hvis registreringen eller videregivelsen af personoplysningerne er udtrykkeligt hjemlet i fællesskabsretten. I så fald yder fællesskabsinstitutionen eller -organet de fornødne garantier efter at have hørt den europæiske tilsynsførende for databeskyttelse.
AFDELING 5
DEN REGISTREREDES RETTIGHEDER
Artikel 13
Ret til indsigt
Den registrerede har indtil tre måneder efter modtagelsen af anmodningen til enhver tid ret til hos den registeransvarlige uden begrænsning og vederlagsfrit at få oplyst:
a) om personoplysninger vedrørende den pågældende selv behandles eller ikke behandles
b) i det mindste hvad formålene med behandlingen er, hvilken type personoplysninger der er tale om, og hvilke modtagere eller kategorier af modtagere de videregives til
c) i letforståelig form, hvilke personoplysninger der er genstand for behandling, og alle foreliggende informationer om, hvor de stammer fra
d) hvilket logisk system der ligger til grund for enhver edb-baseret behandling af personoplysninger vedrørende den pågældende selv.
Artikel 14
Berigtigelse
Den registrerede har ret til at kræve, at den registeransvarlige omgående berigtiger urigtige eller ufuldstændige personoplysninger.
Artikel 15
Blokering
1. Den registrerede har ret til at kræve, at den registeransvarlige blokerer personoplysninger, hvis:
a) deres rigtighed bestrides af den registrerede, indtil den registeransvarlige har haft mulighed for at fastslå, om de er rigtige, herunder om de er fuldstændige, eller
b) den registeransvarlige ikke længere har behov for dem til udførelsen af sine opgaver, men de fortsat skal opbevares som bevismiddel, eller
c) behandlingen af dem er ulovlig, og den registrerede modsætter sig deres sletning og i stedet kræver, at de blokeres.
2. I edb-baserede registre sker blokering i princippet med tekniske hjælpemidler. Det forhold, at personoplysninger er blokeret, angives i registret på en sådan måde, at det klart fremgår, at de pågældende personoplysninger ikke må benyttes.
3. Personoplysninger, der er blokeret i medfør af denne artikel, må, bortset fra opbevaringen af dem, kun gøres til genstand for behandling i følgende tilfælde: som bevismiddel, eller hvis den registrerede har givet sit samtykke hertil, eller hvis der er tale om beskyttelse af tredjemands rettigheder.
4. Registrerede, som har anmodet om og opnået, at personoplysninger vedrørende dem blokeres, skal underrettes af den registeransvarlige, inden oplysningerne frigives.
Artikel 16
Sletning
Den registrerede har ret til at kræve, at den registeransvarlige sletter personoplysninger, hvis behandlingen af dem er ulovlig, navnlig hvis bestemmelserne i afdeling 1, 2 og 3 i kapitel II er overtrådt.
Artikel 17
Underretning af tredjemand
Den registrerede har ret til at kræve, at den registeransvarlige underretter tredjemand, til hvem personoplysninger er videregivet, om enhver berigtigelse, sletning eller blokering i medfør af artikel 13-16, medmindre dette viser sig umuligt eller kræver en uforholdsmæssig stor indsats.
Artikel 18
Den registreredes indsigelsesret
Den registrerede har ret til:
a) af vægtige legitime grunde, der vedrører den pågældendes særlige situation, til enhver tid at gøre indsigelse mod, at personoplysninger vedrørende ham selv gøres til genstand for behandling, undtagen i de tilfælde, der er omfattet af artikel 5, litra b), c) og d). Er der tale om en berettiget indsigelse, må den pågældende behandling ikke længere omfatte disse personoplysninger
b) at blive underrettet, inden personoplysningerne første gang videregives til tredjemand eller anvendes på tredjemands vegne med henblik på direkte markedsføring, og til udtrykkeligt at blive gjort opmærksom på, at han uden udgifter kan gøre indsigelse mod en sådan videregivelse eller anvendelse.
Artikel 19
Edb-baserede individuelle afgørelser
Den registrerede har ret til ikke at være undergivet afgørelser, som har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af en edb-baseret behandling af personoplysninger, der er bestemt til at vurdere bestemte aspekter af hans personlige forhold, f.eks. arbejdsindsats, pålidelighed eller adfærd, medmindre den pågældende afgørelse udtrykkeligt er tilladt i henhold til national lovgivning eller fællesskabslovgivningen eller, om nødvendigt, er godkendt af den europæiske tilsynsførende for databeskyttelse. I begge tilfælde skal der træffes foranstaltninger til beskyttelse af den registreredes legitime interesser, f.eks. ordninger, der gør det muligt for den pågældende at give sin mening til kende.
AFDELING 6
UNDTAGELSER OG BEGRÆNSNINGER
Artikel 20
Undtagelser og begrænsninger
1. Fællesskabsinstitutionerne og -organerne kan begrænse anvendelsen af artikel 4, stk. 1, artikel 11, artikel 12, stk. 1, artikel 13-17 og artikel 37, stk. 1, hvis og så længe en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) forebyggelse og efterforskning af, sikring af bevis for og retsforfølgning af straffelovsovertrædelser
b) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller De Europæiske Fællesskaber, herunder på det monetære, budgetmæssige og skattemæssige område
c) beskyttelse af den registrerede eller af andres rettigheder eller frihedsrettigheder
d) medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar
e) en overvågnings-, tilsyns- eller reguleringsfunktion, som har tilknytning, selv lejlighedsvis, til offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a) og b).
2. Artikel 13-16 finder ikke anvendelse, hvis personoplysningerne udelukkende gøres til genstand for behandling med henblik på videnskabelig forskning eller kun opbevares i form af personoplysninger så længe, det er nødvendigt for alene at udarbejde statistikker, forudsat at der klart ikke er nogen risiko for at krænke den registreredes ret til privatlivets fred, og den registeransvarlige yder fornødne retlige garantier, navnlig for at sikre, at personoplysningerne ikke anvendes til at træffe foranstaltninger eller afgørelser vedrørende bestemte personer.
3. Anvendes en af begrænsningerne i stk. 1, skal den registrerede i overensstemmelse med fællesskabsretten underrettes om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om sin ret til at henvende sig til den europæiske tilsynsførende for databeskyttelse.
4. Hvis en af de i stk. 1 omhandlede begrænsninger påberåbes for at nægte den registrerede adgang til indsigt, skal den europæiske tilsynsførende for databeskyttelse, når han undersøger klagen, kun underrette den registrerede om, hvorvidt oplysningerne er behandlet korrekt, og, hvis dette ikke er tilfældet, hvorvidt de nødvendige korrektioner er foretaget.
5. Afgivelsen af de i stk. 3 og 4 omhandlede informationer kan udsættes, så længe de gør en begrænsning som omhandlet i stk. 1 virkningsløs.
AFDELING 7
FORTROLIGHED OG BEHANDLINGSSIKKERHED
Artikel 21
Behandlingernes fortrolige karakter
Personer, der er ansat i en fællesskabsinstitution eller et fællesskabsorgan, og fællesskabsinstitutioner eller -organer, som selv handler som registerførere, og som har adgang til personoplysninger, må kun behandle personoplysningerne efter instruks fra den registeransvarlige, bortset fra tilfælde, hvor det kræves i national lovgivning eller i fællesskabslovgivningen.
Artikel 22
Behandlingssikkerhed
1. Den registeransvarlige træffer under hensyntagen til teknologiens stade og omkostningerne i forbindelse med gennemførelsen passende tekniske og organisatoriske foranstaltninger for at tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, behandlingen af personoplysninger indebærer, og arten af de personoplysninger, der skal beskyttes.
Disse foranstaltninger træffes især med henblik på at forhindre ubeføjet udbredelse eller ikke-autoriseret adgang, hændelig eller ulovlig tilintetgørelse og hændeligt tab eller ændring, samt med henblik på at forhindre alle andre former for ulovlig behandling.
2. Gøres personoplysninger til genstand for edb-behandling, træffes der foranstaltninger, når de er nødvendige under hensyn til den risiko, behandlingen indebærer, med henblik på især:
a) at forhindre ikke-autoriserede personer i at få adgang til edb-systemer, der behandler personoplysninger
b) at forhindre ikke-autoriseret konsultation, reproduktion, ændring eller fjernelse af lagermedier
c) at forhindre ikke-autoriseret indlæsning i hukommelsen samt ikke-autoriseret videregivelse, ændring eller sletning af lagrede personoplysninger
d) at forhindre ikke-autoriserede personer i at benytte databehandlingssystemer ved hjælp af datatransmissionsfaciliteter
e) at sikre, at autoriserede brugere af et databehandlingssystem kun har adgang til de personoplysninger, som deres ret til adgang vedrører
f) at registrere, hvilke personoplysninger der er blevet videregivet, på hvilket tidspunkt og til hvem
g) at sikre, at det efterfølgende er muligt at kontrollere, på hvilke tidspunkter personoplysninger er gjort til genstand for behandling og af hvem
h) at sikre, at personoplysninger, der gøres til genstand for behandling på tredjemands vegne, kun behandles på den måde, den kontraherende institution eller det kontraherende organ har foreskrevet
i) at sikre, at personoplysninger under videregivelse eller under transport af lagermedier ikke kan læses, kopieres eller slettes uden autorisation
j) at udforme den organisatoriske opbygning af en institution eller et organ således, at den eller det opfylder de særlige krav til databeskyttelse.
Artikel 23
Behandling af personoplysninger på den registeransvarliges vegne
1. Den registeransvarlige skal, hvis personoplysninger gøres til genstand for behandling på hans vegne, vælge en registerfører, som yder tilstrækkelige garantier med hensyn til de tekniske og organisatoriske sikkerhedsforanstaltninger, der er fastsat i artikel 22, og sørge for, at disse sikkerhedsforanstaltninger overholdes.
2. Behandling ved en registerfører skal finde sted i henhold til en kontrakt eller et andet retligt bindende dokument mellem registerføreren og den registeransvarlige, hvori det bl.a. fastsættes:
a) at registerføreren udelukkende handler efter instruks fra den registeransvarlige
b) at forpligtelserne i artikel 21 og 22 også påhviler registerføreren, medmindre der i medfør af artikel 16 eller artikel 17, stk. 3, andet led, i direktiv 95/46/EF allerede påhviler registerføreren forpligtelser med hensyn til fortrolighed og sikkerhed, som er fastsat i national lovgivning i en af medlemsstaterne.
3. Med henblik på opbevaring af bevismidler skal de dele af kontrakten eller det retligt bindende dokument, der vedrører databeskyttelse, og de krav, der vedrører sikkerhedsforanstaltningerne i artikel 22, foreligge skriftligt eller i en anden tilsvarende form.
AFDELING 8
DATABESKYTTELSESANSVARLIG
Artikel 24
Udpegning af en databeskyttelsesansvarlig og dennes opgaver
1. Hver fællesskabsinstitution og hvert fællesskabsorgan udpeger mindst én person som databeskyttelsesansvarlig. Denne datebeskyttelsesansvarlige har til opgave:
a) at sikre, at de registeransvarlige og de registrerede bliver underrettet om deres rettigheder og forpligtelser i medfør af denne forordning
b) at besvare anmodninger fra den europæiske tilsynsførende for databeskyttelse og inden for rammerne af sine beføjelser at samarbejde med den europæiske tilsynsførende for databeskyttelse på dennes anmodning eller på eget initiativ
c) i fuld uafhængighed at sikre, at bestemmelserne i denne forordning finder anvendelse internt
d) at føre et register over de behandlinger, den registeransvarlige foretager, med angivelse af de informationer, der er omhandlet i artikel 25, stk. 2
e) at underrette den europæiske tilsynsførende for databeskyttelse om behandlinger, der kan indebære en risiko som omhandlet i artikel 27.
Den databeskyttelsesansvarlige påser derved, at der ikke er fare for, at den registreredes rettigheder og frihedsrettigheder krænkes som følge af behandlingen.
2. Den databeskyttelsesansvarlige udvælges på grundlag af sine personlige egenskaber og faglige kvalifikationer og især sin ekspertise på databeskyttelsesområdet.
3. Valget af den databeskyttelsesansvarlige må ikke kunne medføre en interessekonflikt mellem hvervet som databeskyttelsesansvarlig og andre officielle hverv, han måtte udøve, navnlig i relation til anvendelsen af bestemmelserne i denne forordning.
4. Den databeskyttelsesansvarlige udnævnes for en periode på to til fem år. Han kan genudnævnes, men kan dog højst varetage hvervet i ti år i alt. Den databeskyttelsesansvarlige kan kun med samtykke fra den europæiske tilsynsførende for databeskyttelse afskediges af den fællesskabsinstitution eller det fællesskabsorgan, som har udnævnt ham, hvis han ikke længere opfylder de krav, der stilles for udførelsen af hans opgaver.
5. Efter udnævnelsen af den databeskyttelsesansvarlige underrettes den europæiske tilsynsførende for databeskyttelse om den pågældendes navn af den fællesskabsinstitution eller det fællesskabsorgan, der har udnævnt ham.
6. Den databeskyttelsesansvarlige får af den fællesskabsinstitution eller det fællesskabsorgan, der har udnævnt ham, stillet det personale og de ressourcer til rådighed, som er nødvendige for, at han kan udføre sine opgaver.
7. Den databeskyttelsesansvarlige må ikke modtage nogen instrukser vedrørende udførelsen af sine opgaver.
8. Yderligere gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige vedtages af de enkelte fællesskabsinstitutioner og -organer i overensstemmelse med bestemmelserne i bilaget. Disse gennemførelsesbestemmelser vedrører navnlig den databeskyttelsesansvarliges hverv, opgaver og beføjelser.
Artikel 25
Anmeldelse til den databeskyttelsesansvarlige
1. Den registeransvarlige skal forud for enhver behandling eller serie af behandlinger, der tjener et enkelt formål eller flere relaterede formål, indgive en anmeldelse til den databeskyttelsesansvarlige.
2. Anmeldelsen skal omfatte:
a) den registeransvarliges navn og adresse og angivelse af den afdeling i en fællesskabsinstitution eller et fællesskabsorgan, der har til opgave at behandle personoplysninger til et bestemt formål
b) behandlingens formål
c) en beskrivelse af kategorien eller kategorierne af registrerede og af de personoplysninger eller typer af personoplysninger, der vedrører dem
d) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
e) de modtagere eller kategorier af modtagere, personoplysningerne forventes videregivet til
f) en generel angivelse af tidsfristerne for blokering og sletning af de forskellige typer personoplysninger
g) påtænkte videregivelser af personoplysninger til tredjelande eller til internationale organisationer
h) en generel beskrivelse, som giver mulighed for en foreløbig vurdering af, om de foranstaltninger, der er truffet i henhold til artikel 22 til sikring af behandlingssikkerheden, er tilstrækkelige.
3. Enhver ændring, der berører de i stk. 2 omhandlede oplysninger, anmeldes straks til den databeskyttelsesansvarlige.
Artikel 26
Register
Hver databeskyttelsesansvarlig fører et register over behandlinger, der er anmeldt i overensstemmelse med bestemmelserne i artikel 25.
Registrene skal mindst indeholde de informationer, der er omhandlet i artikel 25, stk. 2, litra a)-g). Registrene kan konsulteres af enhver enten direkte eller indirekte via den europæiske tilsynsførende for databeskyttelse.
AFDELING 9
FORUDGÅENDE KONTROL FORETAGET AF DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE OG FORPLIGTELSE TIL SAMARBEJDE
Artikel 27
Forudgående kontrol
1. Behandlinger, der på grund af deres art, omfang og formål vil kunne indebære særlige risici for de registreredes rettigheder og frihedsrettigheder, gøres til genstand for forudgående kontrol, som foretages af den europæiske tilsynsførende for databeskyttelse.
2. Følgende behandlinger vil kunne indebære sådanne risici:
a) behandling af personoplysninger om helbredsforhold og om mistanke om strafbare forhold, lovovertrædelser, domfældelser i straffesager og andre retsfølger af strafbare handlinger
b) behandling, som har til formål at vurdere aspekter af den registreredes personlige forhold, f.eks. hans evner, arbejdsindsats eller adfærd
c) behandling, som muliggør samkøring, som der ikke er hjemmel til i national lovgivning eller fællesskabslovgivningen, af personoplysninger, der behandles til forskellige formål
d) behandling, som tager sigte på at udelukke personer fra at udøve en ret, modtage en ydelse eller opnå en kontrakt.
3. Den forudgående kontrol foretages af den europæiske tilsynsførende for databeskyttelse efter modtagelse af en anmeldelse fra den databeskyttelsesansvarlige, som, hvis der er tvivl om nødvendigheden af forudgående kontrol, skal høre den europæiske tilsynsførende for databeskyttelse.
4. Den europæiske tilsynsførende for databeskyttelse skal afgive udtalelse senest to måneder efter modtagelsen af anmeldelsen. Denne frist kan suspenderes, indtil den europæiske tilsynsførende for databeskyttelse har modtaget de oplysninger, han har anmodet om. Er det nødvendigt på grund af sagens komplekse karakter, kan denne frist ligeledes forlænges med en ny periode på to måneder efter afgørelse truffet af den europæiske tilsynsførende for databeskyttelse. Denne afgørelse meddeles den registeransvarlige inden udløbet af den oprindelige frist på to måneder.
Er udtalelsen ikke afgivet ved udløbet af fristen på to måneder og den eventuelle forlængelse, anses udtalelsen for at være positiv.
Hvis den europæiske tilsynsførende for databeskyttelse mener, at den anmeldte behandling vil kunne indebære en overtrædelse af en af denne forordnings bestemmelser, skal han i givet fald fremsætte forslag til, hvordan en sådan overtrædelse kan undgås. Hvis den registeransvarlige ikke ændrer behandlingen i overensstemmelse hermed, kan den europæiske tilsynsførende for databeskyttelse gøre brug af sine beføjelser i medfør af artikel 47, stk. 1.
5. Den europæiske tilsynsførende for databeskyttelse fører et register over de behandlinger, der anmeldes til ham i medfør af stk. 2. Registret skal indeholde de informationer, der er omhandlet i artikel 25, og kan konsulteres af enhver.
Artikel 28
Høring
1. Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om udarbejdelsen af administrative foranstaltninger, der vedrører behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan alene eller sammen med andre.
2. Når Kommissionen vedtager et forslag til retsakt vedrørende beskyttelse af personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, hører den den europæiske tilsynsførende for databeskyttelse.
Artikel 29
Forpligtelse til underretning
Fællesskabsinstitutionerne og -organerne underretter den europæiske tilsynsførende for databeskyttelse om, hvilke foranstaltninger de har vedtaget til opfølgning af den tilsynsførendes afgørelser eller tilladelser som nævnt i artikel 46, litra h).
Artikel 30
Forpligtelse til samarbejde
De registeransvarlige skal efter anmodning bistå den europæiske tilsynsførende for databeskyttelse i udøvelsen af hans hverv, navnlig ved at meddele ham de i artikel 47, stk. 2, litra a), nævnte oplysninger og ved at give ham den i artikel 47, stk. 2, litra b), nævnte adgang.
Artikel 31
Forpligtelse til at tage stilling til påståede overtrædelser
Såfremt den europæiske tilsynsførende for databeskyttelse under udøvelsen af de beføjelser, der er tillagt ham i medfør af artikel 47, stk. 1, litra b), retter henvendelse til den registeransvarlige, skal denne meddele den tilsynsførende sine synspunkter inden for en rimelig frist, som fastsættes af den europæiske tilsynsførende for databeskyttelse. Svaret skal også omfatte en redegørelse for, hvilke foranstaltninger der i givet fald er truffet som reaktion på bemærkningerne fra den europæiske tilsynsførende for databeskyttelse.
KAPITEL III
KLAGER
Artikel 32
Klager
1. De Europæiske Fællesskabers Domstol har kompetence til at afgøre alle tvister, som vedrører bestemmelserne i denne forordning, herunder erstatningssøgsmål.
2. Uden at det berører muligheden for at benytte et retsmiddel, kan den registrerede indgive en klage til den europæiske tilsynsførende for databeskyttelse, hvis han finder, at de rettigheder, traktatens artikel 286 tillægger ham, er blevet krænket som følge af en behandling af personoplysninger vedrørende ham selv i en fællesskabsinstitution eller et fællesskabsorgan.
Undlader den europæiske tilsynsførende for databeskyttelse at svare inden udløbet af fristen på seks måneder, er dette at sidestille med en afgørelse om afvisning af klagen.
3. Afgørelser truffet af den europæiske tilsynsførende for databeskyttelse kan indbringes for De Europæiske Fællesskabers Domstol.
4. Enhver, der har lidt skade som følge af en ulovlig behandling eller enhver anden handling, der ikke er i overensstemmelse med denne forordning, har ret til at kræve erstatning i henhold til traktatens artikel 288.
Artikel 33
Anmodninger indgivet af Fællesskabernes personale
Enhver, der er ansat i en fællesskabsinstitution eller et fællesskabsorgan, kan uden om de officielle kanaler indgive en klage til den europæiske tilsynsførende for databeskyttelse om en påstået overtrædelse af bestemmelserne i denne forordning vedrørende behandling af personoplysninger. Ingen må lide skade som følge af en klage, der er indgivet til den europæiske tilsynsførende for databeskyttelse om en påstået overtrædelse af bestemmelserne om behandling af personoplysninger.
KAPITEL IV
BESKYTTELSE AF PERSONOPLYSNINGER OG PRIVATLIVETS FRED I INTERNE TELENET
Artikel 34
Anvendelsesområde
Med forbehold af de øvrige bestemmelser i denne forordning finder dette kapitel anvendelse på behandling af personoplysninger i forbindelse med brug af telenet eller terminaludstyr, som drives under en fællesskabsinstitutions eller et fællesskabsorgans kontrol.
I dette kapitel forstås ved "bruger" enhver fysisk person, der benytter et telenet eller terminaludstyr, som drives under en fællesskabsinstitutions eller et fællesskabsorgans kontrol.
Artikel 35
Sikkerhed
1. Fællesskabsinstitutionerne og -organerne træffer passende tekniske og organisatoriske foranstaltninger for at garantere en sikker anvendelse af telenettene og terminaludstyret, i givet fald sammen med udbyderne af offentligt tilgængelige teletjenester eller leverandørerne af offentlige telenet. Foranstaltningerne skal under hensyntagen til de nyeste tekniske muligheder og omkostningerne i forbindelse med gennemførelsen tilvejebringe et sikkerhedsniveau, der står i forhold til risikoen.
2. Er der en særlig risiko for, at net- og terminalsikkerheden ikke længere kan garanteres, skal fællesskabsinstitutionen eller -organet underrette brugerne herom samt om, hvorledes denne risiko måtte kunne forebygges, og om alternative kommunikationsmidler.
Artikel 36
Kommunikationshemmelighed
Fællesskabsinstitutionerne og -organerne sikrer kommunikationshemmeligheden ved brug af telenet og terminaludstyr under overholdelse af fællesskabsrettens generelle principper.
Artikel 37
Trafik- og debiteringsdata
1. Med forbehold af stk. 2, 3 og 4 skal trafikdata vedrørende brugerne, som behandles og lagres for at etablere samtaler og andre former for forbindelser via telenettet, slettes eller gøres anonyme efter samtalens eller forbindelsens afslutning.
2. Hvis det er nødvendigt, kan trafikdata, der er opført på en liste, som er godkendt af den europæiske tilsynsførende for databeskyttelse, behandles med henblik på forvaltning af telekommunikationsbudgettet og trafikstyring, herunder kontrol med autoriseret brug af telekommunikationssystemet. Disse oplysninger slettes eller gøres anonyme så hurtigt som muligt og senest seks måneder efter deres indsamling, medmindre yderligere lagring er nødvendig for at et retskrav kan fastslås, gøres gældende eller forsvares under en retssag, der verserer for en domstol.
3. Behandling af trafik- og faktureringsdata må kun foretages af personer, som er beskæftiget med trafik, fakturerings- eller budgetstyring.
4. Brugere af telenettene har ret til at modtage fakturaer eller andre opgørelser uden specifikationer over foretagne opkald.
Artikel 38
Brugerfortegnelser
1. Personoplysningerne i trykte eller elektroniske brugerfortegnelser og adgangen til sådanne fortegnelser skal begrænses til det absolut nødvendige af hensyn til fortegnelsens særlige formål.
2. Fællesskabsinstitutionerne og -organerne træffer alle nødvendige foranstaltninger for at sikre, at personoplysningerne i disse fortegnelser, uanset om de er offentligt tilgængelige, ikke benyttes til direkte markedsføring.
Artikel 39
Visning og spærring af A- og B-nummer
1. Tilbydes A-nummervisning, skal den kaldende bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at spærre A-nummervisningen.
2. Tilbydes A-nummervisning, skal den kaldte bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at forhindre A-nummervisningen ved ankommende opkald.
3. Tilbydes B-nummervisning, skal den kaldte bruger have mulighed for ved hjælp af en simpel, gebyrfri anordning at spærre B-nummervisningen hos den kaldende bruger.
4. Tilbydes A-nummervisning eller B-nummervisning, skal fællesskabsinstitutionerne og -organerne informere brugerne herom og om mulighederne i henhold til stk. 1, 2 og 3.
Artikel 40
Undtagelser
Fællesskabsinstitutionerne og -organerne sikrer, at der findes gennemsigtige procedurer for, hvorledes de kan tilsidesætte spærringen af A-nummervisningen:
a) midlertidigt, når en bruger anmoder om at få chikanerende eller på anden måde generende opkald eftersporet
b) for specifikke linjer for at give organisatoriske enheder, der behandler nødopkald, mulighed for at reagere på sådanne opkald.
KAPITEL V
UAFHÆNGIG KONTROLMYNDIGHED: DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE
Artikel 41
Europæisk tilsynsførende for databeskyttelse
1. Der oprettes en uafhængig kontrolmyndighed benævnt "den europæiske tilsynsførende for databeskyttelse".
2. Den europæiske tilsynsførende for databeskyttelse har til opgave at sikre, at fællesskabsinstitutionerne og -organerne respekterer fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred i forbindelse med behandling af personoplysninger.
Den europæiske tilsynsførende for databeskyttelse har til opgave at overvåge og sikre overholdelsen af de bestemmelser i denne forordning og i enhver anden fællesskabsretsakt, der vedrører beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan, og at rådgive disse institutioner og organer samt de registrerede om alle spørgsmål vedrørende behandling af personoplysninger. Med henblik herpå skal den tilsynsførende udføre det i artikel 46 omhandlede hverv og udøve de i artikel 47 omhandlede beføjelser.
Artikel 42
Udnævnelse
1. Europa-Parlamentet og Rådet udnævner efter fælles aftale den europæiske tilsynsførende for databeskyttelse for en periode på fem år på grundlag af en liste, Kommissionen opstiller efter et offentligt stillingsopslag.
Der udnævnes en assisterende tilsynsførende efter samme procedure og for samme periode. Den assisterende tilsynsførende bistår den tilsynsførende i alle dennes opgaver og er dennes stedfortræder i tilfælde af fravær eller forfald.
2. Den europæiske tilsynsførende for databeskyttelse udvælges blandt personer, hvis uafhængighed er uomtvistelig, og som har åbenbar erfaring og kompetence til at udøve hvervet som europæisk tilsynsførende for databeskyttelse, f.eks. fordi de er eller har været tilknyttet de tilsynsmyndigheder, der er omhandlet i artikel 28 i direktiv 95/46/EF.
3. Den europæiske tilsynsførende for databeskyttelse kan genudnævnes.
4. Bortset fra ordinær nybesættelse eller dødsfald ophører hvervet for den europæiske tilsynsførende for databeskyttelse ved frivillig fratræden eller ved uansøgt afskedigelse i henhold til stk. 5.
5. Den europæiske tilsynsførende for databeskyttelse kan af De Europæiske Fællesskabers Domstol på begæring af Europa-Parlamentet, Rådet eller Kommissionen afskediges eller fratages sine pensionsrettigheder eller andre fordele, som træder i stedet herfor, hvis han ikke længere opfylder de nødvendige betingelser for at udøve sit hverv, eller hvis han har begået alvorligt embedsmisbrug.
6. I forbindelse med ordinær nybesættelse og frivillig fratræden fortsætter den europæiske tilsynsførende for databeskyttelse imidlertid med at udøve sit hverv, indtil der er udnævnt en efterfølger.
7. Artikel 12-15 og 18 i protokollen vedrørende De Europæiske Fællesskabers privilegier og immuniteter finder ligeledes anvendelse på den europæiske tilsynsførende for databeskyttelse.
8. Stk. 2-7 finder anvendelse på den assisterende tilsynsførende.
Artikel 43
Generelle ansættelsesvilkår for den europæiske tilsynsførende, menneskelige og finansielle ressourcer
1. Europa-Parlamentet, Rådet og Kommissionen fastsætter efter fælles aftale de generelle ansættelsesvilkår for den europæiske tilsynsførende for databeskyttelse, navnlig vederlag, tillæg og enhver fordel, som træder i stedet for løn.
2. Budgetmyndigheden sørger for, at den europæiske tilsynsførende for databeskyttelse råder over de nødvendige menneskelige og finansielle ressourcer for at kunne udøve sit hverv.
3. Budgettet for den europæiske tilsynsførende for databeskyttelse opføres i en særlig post i sektion VIII i Den Europæiske Unions almindelige budget.
4. Den europæiske tilsynsførende for databeskyttelse bistås af et sekretariat. Tjenestemænd og øvrige ansatte i sekretariatet udnævnes af den europæiske tilsynsførende for databeskyttelse, der er deres foresatte, og hvis ledelse de alene er underlagt. Antallet af tjenestemænd og øvrige ansatte fastsættes hvert år som led i budgetproceduren.
5. For tjenestemænd og øvrige ansatte i sekretariatet for den europæiske tilsynsførende for databeskyttelse gælder de regler og bestemmelser, der gælder for tjenestemænd og øvrige ansatte i De Europæiske Fællesskaber.
6. I personaleanliggender har den europæiske tilsynsførende for databeskyttelse samme status som institutionerne, jf. artikel 1 i vedtægten for tjenestemænd i De Europæiske Fællesskaber.
Artikel 44
Uafhængighed
1. Den europæiske tilsynsførende for databeskyttelse udfører sit hverv i fuld uafhængighed.
2. Den europæiske tilsynsførende for databeskyttelse må ved udøvelsen af sine pligter hverken søge eller modtage instrukser fra andre.
3. Den europæiske tilsynsførende for databeskyttelse skal afholde sig fra enhver handling, der er uforenelig med karakteren af hans hverv, og må ikke, så længe hans embedsperiode varer, udøve nogen anden lønnet eller ulønnet erhvervsmæssig virksomhed.
4. Den europæiske tilsynsførende for databeskyttelse skal efter embedsperiodens ophør udvise hæderlighed og tilbageholdenhed med hensyn til at påtage sig visse hverv eller at acceptere visse fordele.
Artikel 45
Tavshedspligt
Den europæiske tilsynsførende for databeskyttelse og dennes medarbejdere har såvel under embeds- og ansættelsesperioden som efter dens ophør tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udøvelsen af deres hverv.
Artikel 46
Hverv
Den europæiske tilsynsførende for databeskyttelse har til opgave:
a) at modtage og undersøge klager og underrette den registrerede om resultatet inden for en rimelig frist
b) på eget initiativ eller på grundlag af en klage at iværksætte undersøgelser og underrette de registrerede om resultatet inden for en rimelig frist
c) at overvåge og sikre overholdelsen af denne forordning og enhver anden fællesskabsretsakt vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i en fællesskabsinstitution eller et fællesskabsorgan med undtagelse af De Europæiske Fællesskabers Domstol, når den handler i sin egenskab af domstol
d) at rådgive alle fællesskabsinstitutioner og -organer, enten på eget initiativ eller i forbindelse med en høring, om ethvert spørgsmål vedrørende behandlingen af personoplysninger, navnlig inden udarbejdelse af interne regler for beskyttelse af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger
e) at overvåge den relevante udvikling, i det omfang den har indvirkning på beskyttelsen af personoplysninger, navnlig udviklingen i informations- og kommunikationsteknologier
f) i) at samarbejde med de nationale tilsynsmyndigheder, der er omhandlet i artikel 28 i direktiv 95/46/EF, i de lande, direktivet finder anvendelse på, og i det omfang det er nødvendigt for udførelsen af deres respektive pligter, navnlig ved at udveksle alle nyttige oplysninger, ved at anmode en sådan myndighed eller instans om at udøve sine beføjelser eller ved at besvare en anmodning fra en sådan myndighed eller instans
ii) ligeledes at samarbejde med de instanser, der fører tilsyn med databeskyttelse i henhold til afsnit VI i traktaten om Den Europæiske Union, navnlig med henblik på at forbedre overensstemmelsen i anvendelsen af de regler og procedurer, hvis overholdelse de hver især har til opgave at sikre
g) at deltage i arbejdet i Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF
h) at fastlægge, begrunde og offentliggøre undtagelser, garantier, tilladelser og betingelser som omhandlet i artikel 10, stk. 2, litra b), og stk. 4, 5 og 6, artikel 12, stk. 2, artikel 19 og artikel 37, stk. 2
i) at føre et register over behandlinger, der anmeldes til ham i henhold til artikel 27, stk. 2, og registreres i overensstemmelse med artikel 27, stk. 5, og stille de redskaber til disposition, der giver adgang til de registre, de databeskyttelsesansvarlige fører i overensstemmelse med artikel 26
j) at foretage forudgående kontrol af behandlinger, der anmeldes til ham
k) at vedtage sin forretningsorden.
Artikel 47
Beføjelser
1. Den europæiske tilsynsførende for databeskyttelse kan:
a) rådgive de registrerede i forbindelse med udøvelsen af deres rettigheder
b) forelægge sagen for den registeransvarlige i tilfælde af en påstået overtrædelse af bestemmelserne om behandling af personoplysninger og i givet fald fremsætte forslag til at råde bod på overtrædelsen og forbedre beskyttelsen af de registrerede
c) træffe afgørelse om, at anmodninger om udøvelse af bestemte rettigheder i forbindelse med personoplysningerne efterkommes, når sådanne anmodninger er blevet nægtet i strid med artikel 13-19
d) rette en advarsel eller en påtale til den registeransvarlige
e) træffe afgørelse om berigtigelse, blokering, sletning eller tilintetgørelse af alle personoplysninger, når de er blevet behandlet i strid med bestemmelserne vedrørende behandling af personoplysninger, samt om at tredjemand, til hvem disse oplysninger er videregivet, underrettes om sådanne foranstaltninger
f) midlertidigt eller definitivt forbyde en behandling
g) forelægge sagen for den berørte institution eller det berørte organ og om nødvendigt for Europa-Parlamentet, Rådet og Kommissionen
h) på de vilkår, der er fastsat i traktaten, anlægge sag ved De Europæiske Fællesskabers Domstol
i) intervenere i sager for De Europæiske Fællesskabers Domstol.
2. Den europæiske tilsynsførende for databeskyttelse har beføjelse til:
a) hos en registeransvarlig eller en fællesskabsinstitution eller et fællesskabsorgan at få adgang til alle personoplysninger og til alle informationer, der er nødvendige for hans undersøgelser
b) at få adgang til alle bygninger, hvor en registeransvarlig eller en fællesskabsinstitution eller et fællesskabsorgan udøver sine aktiviteter, hvis der er begrundet formodning om, at der dér udøves en aktivitet, som er omfattet af denne forordning.
Artikel 48
Årsberetning
1. Den europæiske tilsynsførende for databeskyttelse skal hvert år forelægge en årsberetning om sin virksomhed for Europa-Parlamentet, Rådet og Kommissionen og skal sideløbende hermed offentliggøre den.
2. Den europæiske tilsynsførende sender beretningen til de øvrige fællesskabsinstitutioner og -organer, der navnlig i forbindelse med redegørelsen for de foranstaltninger, der træffes på grundlag af bemærkninger fra den europæiske tilsynsførende for databeskyttelse i henhold til artikel 31, kan fremsætte bemærkninger med henblik på en eventuel drøftelse af beretningen i Europa-Parlamentet.
KAPITEL VI
AFSLUTTENDE BESTEMMELSER
Artikel 49
Sanktioner
Der kan iværksættes disciplinære sanktioner over for en tjenestemand eller en af de øvrige ansatte i De Europæiske Fællesskaber, som forsætligt eller uagtsomt undlader at opfylde de forpligtelser, der påhviler ham i henhold til denne forordning i overensstemmelse med de regler og procedurer, der er fastlagt i vedtægten for tjenestemænd i De Europæiske Fællesskaber eller i ansættelsesvilkårene for de øvrige ansatte.
Artikel 50
Overgangsperiode
Fællesskabsinstitutionerne og -organerne sikrer, at en behandling, der allerede er indledt på datoen for denne forordnings ikrafttræden, bringes i overensstemmelse med denne forordning senest et år efter denne dato.
Artikel 51
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i De Europæiske Fællesskabers Tidende.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 18. december 2000.
Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001,
annettu 18 päivänä joulukuuta 2000,
yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta
EUROOPAN PARLAMENTTI ja EUROOPAN UNIONIN NEUVOSTO, jotka
ottavat huomioon Euroopan yhteisön perustamissopimuksen ja erityisesti sen 286 artiklan,
ottavat huomioon komission ehdotuksen(1),
ottavat huomioon talous- ja sosiaalikomitean lausunnon(2),
noudattavat perustamissopimuksen 251 artiklassa määrättyä menettelyä(3),
sekä katsovat seuraavaa:
(1) Perustamissopimuksen 286 artiklassa määrätään, että yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettuja yhteisön säädöksiä sovelletaan yhteisön toimielimiin ja elimiin.
(2) Kehittyneessä henkilötietojen suojajärjestelmässä on vahvistettava paitsi rekisteröityjen oikeudet ja henkilötietoja käsittelevien velvollisuudet myös asianmukaiset seuraamukset tietosuojaa loukanneille sekä asetettava riippumaton valvontaviranomainen.
(3) Perustamissopimuksen 286 artiklan 2 kohdassa edellytetään, että perustetaan riippumaton valvontaelin, joka valvoo yhteisön säädösten soveltamista yhteisön toimielimiin ja elimiin.
(4) Perustamissopimuksen 286 artiklan 2 kohdassa edellytetään lisäksi muiden aiheellisten säännösten antamista tarvittaessa.
(5) Asetus on tarpeen täytäntöönpanokelpoisten oikeuksien antamiseksi yksilöille, yhteisöjen toimielimissä ja elimissä toimivien rekisterinpitäjien tietojen käsittelyä koskevien velvollisuuksien määrittelemiseksi sekä yhteisöjen toimielinten ja elinten suorittaman henkilötietojen käsittelyn valvonnasta vastuussa olevan riippumattoman valvontaviranomaisen perustamiseksi.
(6) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY(4) 29 artiklassa perustetulta tietosuojatyöryhmältä on pyydetty lausuntoa.
(7) Suojeltavia ovat henkilöt, joiden henkilötietoja yhteisöjen toimielimet tai elimet käsittelevät missä tahansa yhteydessä, esimerkiksi siitä syystä, että nämä henkilöt toimivat kyseisten toimielimien tai elimien palveluksessa.
(8) Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa henkilöä. Sen ratkaisemiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuuden rajoissa käyttää mainitun henkilön tunnistamiseksi. Suojaperiaatteita ei olisi sovellettava tietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole enää mahdollista.
(9) Direktiivissä 95/46/EY jäsenvaltioita vaaditaan varmistamaan luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelu, erityisesti heidän oikeutensa yksityisyyteen, henkilötietojen käsittelyssä henkilötietojen vapaan liikkuvuuden varmistamiseksi yhteisössä.
(10) Henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla 15 päivänä joulukuuta 1997 annetulla Euroopan parlamentin ja neuvoston direktiivillä 97/66/EY(5) täsmennetään ja täydennetään direktiiviä 95/46/EY televiestinnän alalla tapahtuvan henkilötietojen käsittelyn osalta.
(11) Myös monilla muilla yhteisön toimenpiteillä, kuten kansallisten viranomaisten ja komission keskinäisellä avunannolla, pyritään täsmentämään ja täydentämään direktiiviä 95/46/EY niillä aloilla, joihin nämä toimenpiteet liittyvät.
(12) Yksilöiden perusoikeuksien ja -vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava koko yhteisössä.
(13) Tavoitteena on varmistaa sekä yksilöiden perusoikeuksien ja -vapauksien suojelua koskevien sääntöjen tosiasiallinen noudattaminen että henkilötietojen vapaa liikkuvuus jäsenvaltioiden sekä yhteisöjen toimielinten ja elinten kesken tai yhteisöjen toimielinten ja elinten välillä niiden toimivaltaan kuuluvien tehtävien hoitamisessa.
(14) Tämän vuoksi olisi annettava yhteisöjen toimielimiä ja elimiä velvoittavia säännöksiä. Näitä säännöksiä olisi sovellettava kaikkeen henkilötietojen käsittelyyn, jota yhteisöjen toimielimet ja elimet suorittavat, jos käsittely suoritetaan yhteisön oikeuden soveltamisalaan kokonaan tai osittain kuuluvien toimien toteuttamiseksi.
(15) Kun yhteisöjen toimielimet ja elimet käsittelevät henkilötietoja tämän asetuksen soveltamisalaan kuulumattomien, erityisesti Euroopan unionista tehdyn sopimuksen V ja VI osastossa tarkoitettujen toimien toteuttamiseksi, yksilöiden perusoikeuksien ja -vapauksien suojelu varmistetaan noudattamalla Euroopan unionista tehdyn sopimuksen 6 artiklan määräyksiä. Oikeutta tutustua asiakirjoihin sekä henkilötietoja sisältäviin asiakirjoihin tutustumisen edellytyksiä koskevat säännökset annetaan Euroopan yhteisön perustamissopimuksen 255 artiklan perusteella, jonka soveltamisala ulottuu Euroopan unionista tehdyn sopimuksen V ja VI osastoihin.
(16) Näitä säännöksiä ei sovelleta yhteisön ulkopuolisiin elimiin eikä Euroopan tietosuojavaltuutetulla ole toimivaltaa valvoa näiden elinten suorittamaa henkilötietojen käsittelyä.
(17) Jotta yksilöitä voitaisiin tehokkaasti suojata unionissa suoritettavan henkilötietojen käsittelyn osalta, olisi erilaisiin asiaa koskeviin oikeusaloihin liittyviin toimiin sovellettava yhdenmukaisia sääntöjä ja menettelyjä. Tätä varten olisi ensi vaiheessa laadittava perusperiaatteet, jotka koskevat henkilötietojen suojaa rikosasioissa tehtävässä oikeudellisessa yhteistyössä sekä poliisi- ja tulliyhteistyössä, ja perustettava sihteeristö Europol-yleissopimuksella, tietotekniikan käyttöä tullialalla koskevalla yleissopimuksella ja Schengenin yleissopimuksella perustetuille yhteisille valvontaviranomaisille.
(18) Tällä asetuksella ei saisi olla vaikutusta direktiiveissä 95/46/EY ja 97/66/EY säädettyihin jäsenvaltioiden oikeuksiin ja velvollisuuksiin. Sen tavoitteena ei ole muuttaa menettelyjä ja käytäntöjä, joita jäsenvaltiot ovat luoneet lain mukaisesti, ja jotka koskevat kansallista turvallisuutta, yleisen järjestyksen suojaamista sekä rikosten torjuntaa, tutkintaa, selvittämistä ja syytteeseenpanoa Euroopan yhteisöjen erioikeuksista ja vapauksista tehdyn pöytäkirjan määräyksiä sekä kansainvälistä oikeutta noudattaen.
(19) Yhteisöjen toimielimet ja elimet ilmoittavat jäsenvaltioiden toimivaltaisille viranomaisille, kun ne katsovat, että telekuuntelua on soveltuvien kansallisten säädösten mukaisesti suoritettava näiden televiestintäverkoissa.
(20) Yhteisöjen toimielimiin ja elimiin sovellettavien säännösten olisi vastattava kansallisten lainsäädäntöjen yhdenmukaistamista tai yhteisöjen muiden politiikkojen täytäntöönpanoa varten annettuja säännöksiä erityisesti keskinäisen avunannon alalla. Voi olla kuitenkin tarpeen täsmentää ja täydentää näitä säännöksiä yhteisöjen toimielinten tai elinten suorittamaan henkilötietojen käsittelyyn liittyvän suojelun täytäntöönpanon osalta.
(21) Tämä koskee sekä niiden yksilöiden oikeuksia, joita koskevia tietoja käsitellään, että tietojen käsittelystä vastaavien yhteisöjen toimielinten ja elinten velvollisuuksia, samoin kuin tämän asetuksen asianmukaisesta soveltamisesta vastuussa olevan riippumattoman valvontaviranomaisen toimivaltuuksia.
(22) Rekisteröidylle annetut oikeudet ja niiden käyttö eivät saisi vaikuttaa rekisterinpitäjän velvollisuuksiin.
(23) Riippumaton valvontaviranomainen harjoittaa valvontatoimintaansa perustamissopimuksen mukaisesti sekä ihmisoikeuksia ja perusvapauksia kunnioittaen. Se suorittaa tutkimuksensa erioikeuksista ja vapauksista tehtyä pöytäkirjaa sekä Euroopan yhteisöjen virkamiehiin sovellettavia henkilöstösääntöjä ja muuhun henkilöstöön sovellettavia palvelussuhteen ehtoja noudattaen.
(24) Olisi toteutettava tarvittavat tekniset toimenpiteet, joilla varmistetaan pääsy tietosuojasta vastaavien henkilöiden pitämiin rekistereihin riippumattoman valvontaviranomaisen kautta.
(25) Riippumattoman valvontaviranomaisen päätökset, jotka koskevat tietojen käsittelyyn liittyviä, tässä asetuksessa määriteltyjä poikkeuksia, takuita, lupia ja ehtoja, olisi julkaistava toimintakertomuksessa. Vuosittain julkaistavan toimintakertomuksen lisäksi riippumaton valvontaviranomainen voi julkaista kertomuksia erityisaiheista.
(26) Riippumattoman valvontaviranomaisen on tarkastettava ennakolta ne käsittelytoimet, joihin saattaa liittyä erityisiä rekisteröityjen oikeuksiin ja vapauksiin liittyviä riskejä. Tämän ennakkotarkastuksen yhteydessä annettava lausunto tai lausunto, jonka katsotaan tulleen annetuksi säädetyn määräajan kuluttua umpeen ilman, että on saatu vastausta, ei saisi rajoittaa riippumattoman valvontaviranomaisen toimivallan myöhempää käyttöä kyseisten käsittelytoimien osalta.
(27) Henkilötietojen käsittelyyn yhteisöjen toimielimissä ja elimissä yleisen edun edellyttämien tehtävien suorittamiseksi sisältyy toimielinten ja elinten hallinnolle ja toiminnalle tarpeellisten henkilötietojen käsittely.
(28) Tiettyjen tapausten osalta olisi säädettävä, että tietojen käsittely on sallittua yhteisön säännöksissä tai säädöksissä, joilla yhteisön säännökset saatetaan osaksi kansallista lainsäädäntöä. Tällaisten säännösten puuttuessa ja ennen niiden antamista Euroopan tietosuojavaltuutettu voi siirtymävaiheen aikana kuitenkin sallia tällaisten tietojen käsittelyn, jos toteutetaan asianmukaiset suojatoimet. Tällöin tietosuojavaltuutettu ottaa erityisesti huomioon säännökset, joita jäsenvaltioissa on annettu samanlaisten tapausten ratkaisemiseksi.
(29) Nämä tapaukset koskevat sellaisten tietojen käsittelyä, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta, ammattiliittoon kuulumista, sekä sellaisten terveyttä ja seksuaalista käyttäytymistä koskevien tietojen käsittelyä, joita tarvitaan rekisterinpitäjän erityisten työoikeudellisten velvoitteiden ja oikeuksien täytäntöönpanemiseksi tai tärkeää yleistä etua koskevasta syystä. Kyse on myös rikoksiin, rikosasioissa annettaviin tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvästä tietojen käsittelystä tai luvasta, jonka nojalla rekisteröity voi joutua sellaisen päätöksen kohteeksi, jolla on oikeusvaikutuksia häneen nähden tai joka vaikuttaa häneen merkittävällä tavalla ja joka on tehty ainoastaan sellaisten tietojen automaattisen käsittelyn perusteella, jotka on tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa arviointiin.
(30) Voi olla tarpeen valvoa yhteisöjen toimielinten ja elinten alaisuudessa toimivia tietoverkkoja luvattoman käytön torjumiseksi. Euroopan tietosuojavaltuutettu päättää missä määrin ja millaisin edellytyksin tämä on mahdollista.
(31) Tämän asetuksen rikkomisen seuraamuksista määrätään perustamissopimuksen 288 artiklan toisessa kohdassa.
(32) Yksi tai useampi tietosuojavaltuutettu valvoo kussakin yhteisöjen toimielimessä tai elimessä tämän asetuksen säännösten soveltamista ja neuvoo rekisterinpitäjiä näiden velvoitteiden noudattamisessa.
(33) Yhteisön tilastoista 17 päivänä helmikuuta 1997 annetun neuvoston asetuksen (EY) N:o 322/97(6) 21 artiklan mukaan mainittua asetusta sovelletaan rajoittamatta direktiivin 95/46/EY säännösten soveltamista.
(34) Euroopan keskuspankin valtuuksista kerätä tilastotietoja 23 päivänä marraskuuta 1998 annetun neuvoston asetuksen (EY) N:o 2533/98(7) 8 artiklan 8 kohdan mukaan mainittua asetusta sovelletaan rajoittamatta direktiivin 95/46/EY soveltamista.
(35) Salassapidettävien tilastotietojen luovuttamisesta Euroopan yhteisöjen tilastotoimistolle 11 päivänä kesäkuuta 1990 annetun neuvoston asetuksen (Euratom, ETY) N:o 1588/90(8) 1 artiklan 2 kohdan mukaan mainittu asetus ei vaikuta yhteisön tai kansallisiin erityissäännöksiin, joilla turvataan muuta salassapitoa kuin tilastosalaisuutta.
(36) Tällä asetuksella ei rajoiteta jäsenvaltioiden liikkumavaraa niiden laatiessa kansallista direktiivin 95/46/EY 32 artiklan nojalla annettavaa tietosuojalainsäädäntöään perustamissopimuksen 249 artiklan mukaisesti,
OVAT ANTANEET TÄMÄN ASETUKSEN:
I LUKU
YLEISET SÄÄNNÖKSET
1 artikla
Asetuksen tavoite
1. Euroopan yhteisöjen perustamissopimuksilla tai niiden nojalla perustetut toimielimet ja elimet, jäljempänä "yhteisöjen toimielimet ja elimet", suojelevat tämän asetuksen mukaisesti luonnollisten henkilöiden perusoikeuksia ja -vapauksia sekä erityisesti heidän oikeuttaan yksityisyyteen henkilötietojen käsittelyssä, eivätkä ne rajoita tai estä henkilötietojen vapaata liikkuvuutta välillään tai vastaanottajille, joihin sovelletaan sitä jäsenvaltioiden lainsäädäntöä, jolla pannaan täytäntöön direktiivi 95/46/EY.
2. Tällä asetuksella perustettu riippumaton valvontaviranomainen, jäljempänä "Euroopan tietosuojavaltuutettu", valvoo tämän asetuksen säännösten soveltamista kaikkiin yhteisöjen toimielimen ja elimen suorittamiin käsittelytoimiin.
2 artikla
Määritelmät
Tässä asetuksessa tarkoitetaan:
a) "henkilötiedoilla" kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, jäljempänä "rekisteröity", koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella;
b) "henkilötietojen käsittelyllä", jäljempänä "käsittely", kaikkia sellaisia toimia tai toimien kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai muutoin, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen;
c) "henkilötietojen rekisteröintijärjestelmällä", jäljempänä "rekisteröintijärjestelmä", kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu taikka toiminnallisin tai maantieteellisin perustein jaettu;
d) "rekisterinpitäjällä" yhteisöjen toimielintä tai elintä, pääosastoa, yksikköä tai muuta organisatorista kokonaisuutta, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos käsittelyn tarkoitukset ja keinot määritellään erityisellä yhteisön säädöksellä, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa tällaisella yhteisön säädöksellä;
e) "henkilötietojen käsittelijällä" luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun;
f) "sivullisella" luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä paitsi rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää ja henkilöitä, joilla on oikeus käsitellä tietoja rekisterinpitäjän tai henkilötietojen käsittelijän välittömän vastuun alaisena;
g) "vastaanottajalla" luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle tietoja luovutetaan, oli kyseessä sivullinen tai ei; niitä viranomaisia, jotka mahdollisesti saavat tietoja erityisen tutkimuksen puitteissa, ei kuitenkaan pidetä vastaanottajina;
h) "rekisteröidyn suostumuksella" vapaaehtoista, yksilöityä ja tietoista tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn.
3 artikla
Soveltamisala
1. Tätä asetusta sovelletaan kaikkien yhteisöjen toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn silloin, kun käsittely suoritetaan yhteisön oikeuden soveltamisalaan kokonaan tai osittain kuuluvien toimien toteuttamiseksi.
2. Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka suoritetaan kokonaan tai osittain automaattisesti, sekä sellaisten henkilötietojen muuhun kuin automaattiseen käsittelyyn, jotka muodostavat rekisteröintijärjestelmän osan tai joiden on tarkoitus muodostaa rekisteröintijärjestelmän osa.
II LUKU
YLEISET SÄÄNNÖT HENKILÖTIETOJEN KÄSITTELYN LAILLISUUDESTA
1 JAKSO
TIETOJEN LAATUA KOSKEVAT PERIAATTEET
4 artikla
Tietojen laatu
1. Henkilötietojen osalta on noudatettava seuraavaa:
a) henkilötietoja on käsiteltävä asianmukaisesti ja laillisesti;
b) henkilötiedot on kerättävä perusteltua ja nimenomaisesti määriteltyä tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että rekisterinpitäjä toteuttaa asianmukaiset suojatoimet varmistaakseen erityisesti sen, ettei tietoja käsitellä mitään muita tarkoituksia varten ja ettei tietoja käytetä ketään tiettyä henkilöä koskevien toimenpiteiden tai päätösten tukena;
c) henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja suhteessa tarkoituksiin, joihin ne on kerätty ja/tai joihin niitä myöhemmin käsitellään;
d) henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki aiheelliset toimenpiteet sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, poistetaan tai oikaistaan;
e) henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niitä tarkoituksia varten, joihin tiedot kerättiin tai joihin niitä myöhemmin käsitellään. Yhteisöjen toimielimen tai elimen on määrättävä, että henkilötiedot, joita säilytetään tätä kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten, säilytetään nimettömässä muodossa tai, jos tämä ei ole mahdollista, ne säilytetään ainoastaan sillä edellytyksellä, että rekisteröidyn henkilöllisyys salataan. Tietoja ei kuitenkaan saa käyttää muuhun kuin historian tutkimukseen taikka tilastollisiin tai tieteellisiin tarkoituksiin.
2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.
2 JAKSO
TIETOJENKÄSITTELYN LAILLISUUTTA KOSKEVAT PERIAATTEET
5 artikla
Henkilötietojen käsittelyn laillisuus
Henkilötietoja voidaan käsitellä ainoastaan
a) jos käsittely on tarpeen sellaisen tehtävän suorittamiselle, joka tehdään yleisen edun vuoksi Euroopan yhteisöjen perustamissopimusten tai näiden perustamissopimusten perusteella annettujen muiden säädösten perusteella, tai sellaisen julkisen vallan lainmukaista käyttöä varten, joka kuuluu yhteisöjen toimielimelle tai elimelle taikka sivulliselle, jolle tiedot luovutetaan; tai
b) jos käsittely on tarpeen rekisterinpitäjän lakiin perustuvan velvoitteen noudattamiseksi; tai
c) jos käsittely on tarpeen sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; tai
d) jos rekisteröity on yksiselitteisesti antanut suostumuksensa; tai
e) jos käsittely on tarpeen rekisteröidyn elintärkeiden etujen suojaamiseksi.
6 artikla
Tarkoituksen muuttuminen
Rajoittamatta 4, 5 ja 10 artiklan soveltamista:
1) Henkilötietoja voidaan käsitellä muuta kuin sitä tarkoitusta varten, johon ne on kerätty, ainoastaan, jos tarkoituksen muutos on nimenomaisesti sallittu yhteisöjen toimielimen tai elimen sisäisissä säännöissä.
2) Henkilötietoja, jotka on kerätty yksinomaan käsittelyjärjestelmien tai -toimintojen turvallisuuden tai valvonnan varmistamiseksi, ei saa käyttää mihinkään muuhun tarkoitukseen, vakavien rikosten torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa lukuun ottamatta.
7 artikla
Henkilötietojen siirtäminen yhteisöjen toimielinten tai elinten kesken taikka niiden sisällä
Rajoittamatta 4, 5, 6 ja 10 artiklan soveltamista:
1) Henkilötietoja voidaan siirtää yhteisöjen toimielinten tai elinten kesken taikka niiden sisällä ainoastaan, jos tiedot ovat tarpeen vastaanottajan toimivaltaan kuuluvien tehtävien lainmukaista suorittamista varten.
2) Jos tiedot siirretään vastaanottajan pyynnöstä, sekä rekisterinpitäjä että vastaanottaja ovat vastuussa siirron laillisuudesta.
Rekisterinpitäjän on varmistettava, että vastaanottaja on toimivaltainen ja arvioitava alustavasti tietojen siirron tarpeellisuus. Jos tarpeellisuudesta on epäilyksiä, rekisterinpitäjän on pyydettävä vastaanottajalta lisäselvityksiä.
Vastaanottajan on varmistettava, että tietojen siirron tarpeellisuus voidaan myöhemmin todentaa.
3) Vastaanottajan on käsiteltävä henkilötietoja ainoastaan sitä tarkoitusta varten, jonka vuoksi ne on siirretty.
8 artikla
Henkilötietojen siirtäminen vastaanottajille, jotka eivät ole yhteisöjen toimielimiä tai elimiä ja joihin sovelletaan direktiiviä 95/46/EY
Rajoittamatta 4, 5, 6 ja 10 artiklan soveltamista henkilötietoja voidaan siirtää vastaanottajille, joihin sovelletaan direktiivin 95/46/EY täytäntöönpanemiseksi annettua kansallista lainsäädäntöä, ainoastaan, jos:
a) vastaanottaja osoittaa, että tiedot ovat tarpeen yleisen edun vuoksi suoritettavan tai julkisen vallan käyttöön liittyvän toimen toteuttamiseksi; tai
b) vastaanottaja osoittaa, että tietojen siirto on tarpeen, eikä ole syytä olettaa, että rekisteröidyn oikeutetut edut voivat joutua vaaraan.
9 artikla
Henkilötietojen siirtäminen vastaanottajille, jotka eivät ole yhteisöjen toimielimiä tai elimiä ja joihin ei sovelleta direktiiviä 95/46/EY
1. Henkilötietoja voidaan siirtää vastaanottajille, jotka eivät ole yhteisöjen toimielimiä tai elimiä ja joihin ei sovelleta direktiivin 95/46/EY täytäntöönpanemiseksi annettua kansallista lainsäädäntöä, ainoastaan siinä tapauksessa, että vastaanottajan maassa tai vastaanottavassa kansainvälisessä järjestössä varmistetaan tietosuojan riittävä taso ja että tiedot siirretään yksinomaan sen vuoksi, että rekisterinpitäjän toimivaltaan kuuluvien tehtävien hoito tulee mahdolliseksi.
2. Kolmannen maan tai kansainvälisen järjestön antaman tietosuojan tason riittävyys arvioidaan tiedonsiirtotoimen tai tiedonsiirtotoimien sarjaan liittyvien olosuhteiden mukaisesti. Huomiota on kiinnitettävä erityisesti tietojen luonteeseen, suunnitellun yhden tai useamman käsittelytoimen tarkoitukseen ja kestoon, vastaanottajana olevaan kolmanteen maahan tai kansainväliseen järjestöön, kolmannessa maassa voimassa olevaan tai kansainväliseen järjestöön sovellettavaan sekä yleiseen että alakohtaiseen lainsäädäntöön sekä ammatillisiin sääntöihin ja suojatoimenpiteisiin, joita tässä kolmannessa maassa tai kansainvälisessä järjestössä noudatetaan.
3. Yhteisöjen toimielimet ja elimet ilmoittavat komissiolle ja Euroopan tietosuojavaltuutetulle tapauksista, joiden osalta ne katsovat, ettei kyseinen kolmas maa tai kansainvälinen järjestö varmista 2 kohdassa tarkoitettua riittävää suojan tasoa.
4. Komissio ilmoittaa jäsenvaltioille 3 kohdassa tarkoitetuista tapauksista.
5. Yhteisöjen toimielimet tai elimet toteuttavat tarpeelliset toimenpiteet noudattaakseen komission päätöksiä, joilla direktiivin 95/46/EY 25 artiklan 4 ja 6 kohtaa soveltaen todetaan, taataanko tietyssä kolmannessa maassa tai kansainvälisessä järjestössä riittävä tietosuojan taso vai ei.
6. Poiketen siitä, mitä 1 ja 2 kohdassa säädetään, yhteisöjen toimielin tai elin voi siirtää henkilötietoja, jos
a) rekisteröity on yksiselitteisesti antanut suostumuksensa suunniteltuun siirtoon; tai
b) siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; tai
c) siirto on tarpeen rekisterinpitäjän ja sivullisen välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöön panemiseksi; tai
d) siirto on tarpeen tai laissa edellytetty joko tärkeän yleisen edun johdosta taikka oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi tuomioistuimessa; tai
e) siirto on tarpeen rekisteröidyn elintärkeiden etujen suojaamiseksi; tai
f) siirto tehdään rekisteristä, jonka tarkoituksena yhteisön lainsäädännön mukaan on tarjota tietoa yleisölle ja joka on avoin yleisölle tai kenelle tahansa henkilölle, joka voi osoittaa, että kyse on hänen oikeutetusta edustaan, jos yhteisön lainsäädännössä säädetyt tiedonsaannin edellytykset täyttyvät kulloisessakin tapauksessa.
7. Rajoittamatta 6 kohdan soveltamista Euroopan tietosuojavaltuutettu voi sallia yhden tai useamman henkilötietojen siirron sellaiseen kolmanteen maahan tai kansainväliseen järjestöön, joka ei varmista 1 ja 2 kohdassa tarkoitettua riittävää suojan tasoa, jos rekisterinpitäjä pystyy antamaan riittävät takeet rekisteröityjen yksityisyyden sekä perusoikeuksien ja -vapauksien suojan sekä vastaavien oikeuksien toteutumisen osalta. Nämä takeet voivat perustua esimerkiksi asianmukaisiin sopimuslausekkeisiin.
8. Yhteisöjen toimielinten ja elinten on ilmoitettava Euroopan tietosuojavaltuutetulle tietoryhmistä, joiden osalta ne ovat soveltaneet 6 ja 7 kohtaa.
3 JAKSO
TIETOJENKÄSITTELYN ERITYISET RYHMÄT
10 artikla
Erityisiä tietoryhmiä koskeva käsittely
1. Sellaisten henkilötietojen, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely on kielletty.
2. Edellä 1 kohtaa ei sovelleta, jos
a) rekisteröity on antanut nimenomaisen suostumuksensa tällaiseen tietojen käsittelyyn, paitsi jos 1 kohdassa tarkoitettua kieltoa ei yhteisöjen toimielimen tai elimen sisäisten sääntöjen mukaan voida poistaa rekisteröidyn suostumuksella; tai
b) käsittely on tarpeen rekisterinpitäjän velvollisuuksien ja erityisten oikeuksien täytäntöönpanemiseksi työoikeuden alalla, jos Euroopan yhteisöjen perustamissopimukset tai näiden perustamissopimusten nojalla annetut muut säädökset sen sallivat tai, jos se on tarpeen, Euroopan tietosuojavaltuutettu on hyväksynyt käsittelyn soveltaen riittäviä suojatoimia; tai
c) käsittely on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan; tai
d) käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai jos käsittely on tarpeen oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi tuomioistuimessa; tai
e) käsittely tehdään lainmukaisen toiminnan yhteydessä ja soveltaen asianmukaisia suojatoimia ja sen suorittaa voittoa tavoittelematon elin, joka muodostaa yhteisöjen toimielimeen tai elimeen kuuluvan kokonaisuuden, johon ei sovelleta direktiivin 95/46/EY 4 artiklan mukaista kansallista tietosuojalainsäädäntöä ja jolla on poliittisia, filosofisia, uskonnollisia tai ammattiyhdistystoimintaan liittyviä tavoitteita, edellyttäen, että tietojen käsittely koskee ainoastaan tämän elimen jäseniä tai sellaisia henkilöitä, jotka ovat siihen säännöllisessä yhteydessä ja edellyttäen, että tietoja ei luovuteta sivullisille ilman rekisteröityjen suostumusta.
3. Edellä 1 kohtaa ei sovelleta, jos tietojen käsittely on tarpeen ennaltaehkäisevää lääketiedettä, lääketieteellisiä diagnooseja, hoidon tai käsittelyn suorittamista taikka terveydenhuollon palvelujen hallintoa koskevia tarkoituksia varten ja jos näitä tietoja käsittelee terveydenhuollon ammattikoulutuksen saanut henkilö, jota koskee salassapitovelvollisuus, tai muu henkilö, jolla on vastaava velvoite.
4. Sillä edellytyksellä, että asianmukaiset suojatoimet toteutetaan, voidaan Euroopan yhteisöjen perustamissopimusten tai näiden perustamissopimusten nojalla annettujen muiden säädösten perusteella tai, jos se on tarpeen, Euroopan tietosuojavaltuutetun päätöksellä tärkeää yleistä etua koskevasta syystä vahvistaa muita poikkeuksia 2 kohdassa säädettyjen lisäksi.
5. Rikoksiin, rikosasioissa annettuihin tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvä tietojen käsittely voidaan suorittaa ainoastaan, jos Euroopan yhteisöjen perustamissopimukset tai näiden perustamissopimusten nojalla annetut muut säädökset sallivat sen, tai, jos se on tarpeen, Euroopan tietosuojavaltuutettu antaa siihen luvan edellyttäen, että noudatetaan asianmukaisia erityisiä suojatoimia.
6. Euroopan tietosuojavaltuutettu määrittelee edellytykset, joilla henkilönumeroa tai muuta yleisesti käytettyä tunnistetta voidaan käsitellä yhteisöjen toimielimessä tai elimessä.
4 JAKSO
REKISTERÖIDYLLE ANNETTAVAT TIEDOT
11 artikla
Tietojen antaminen kerättäessä tietoja rekisteröidyltä
1. Rekisterinpitäjän on toimitettava henkilölle, jolta se kerää tätä koskevia tietoja, ainakin seuraavat tiedot, jolleivat ne jo ole henkilön tiedossa:
a) rekisterinpitäjän henkilöllisyys;
b) sen tietojenkäsittelyn tarkoitus, johon tiedot on tarkoitettu;
c) tietojen vastaanottajat tai vastaanottajaryhmät;
d) tieto sitä, onko kysymyksiin vastaaminen pakollista vai vapaaehtoista, sekä vastaamatta jättämisen mahdolliset seuraukset;
e) tieto henkilön oikeudesta saada itseään koskevia tietoja ja oikaista niitä;
f) mahdolliset lisätiedot, kuten
i) sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu;
ii) tietojen säilyttämisen aikarajat;
iii) oikeus saattaa asia milloin tahansa Euroopan tietosuojavaltuutetun käsiteltäväksi,
siltä osin kuin nämä lisätiedot ovat tarpeen rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn varmistamiseksi ottaen huomioon erityiset olosuhteet, joissa tiedot kerätään.
2. Poiketen siitä, mitä 1 kohdassa säädetään, tiedon tai sen osan, 1 kohdan a, b ja d alakohdassa tarkoitettuja tietoja lukuun ottamatta, antamista voidaan lykätä niin pitkään kuin tämä on tarpeen tilastollisista syistä. Tieto on toimitettava heti kun syy, jonka perusteella tietoa ei ole annettu, on lakannut olemasta.
12 artikla
Tietojen antaminen kerättäessä tietoja muualta kuin rekisteröidyltä
1. Jos tietoja ei ole saatu rekisteröidyltä itseltään, rekisterinpitäjän on henkilötietoja rekisteröitäessä tai, jos tietoja aiotaan luovuttaa sivulliselle, viimeistään silloin, kun tietoja ensi kerran luovutetaan, annettava rekisteröidylle ainakin seuraavat tiedot, jolleivat ne jo ole henkilön tiedossa:
a) rekisterinpitäjän henkilöllisyys;
b) tietojenkäsittelyn tarkoitus;
c) kyseessä olevat tietoryhmät;
d) tietojen vastaanottajat tai vastaanottajaryhmät;
e) tieto henkilön oikeudesta saada itseään koskevia tietoja ja oikaista niitä;
f) mahdolliset lisätiedot, kuten:
i) sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu;
ii) tietojen säilyttämisen aikarajat;
iii) oikeus saattaa asia milloin tahansa Euroopan tietosuojavaltuutetun käsiteltäväksi;
iv) tietojen alkuperä, paitsi jos rekisterinpitäjä ei voi paljastaa tätä tietoa salassapitovelvollisuuteen liittyvistä syistä,
siltä osin kuin nämä lisätiedot ovat tarpeen rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn varmistamiseksi ottaen huomioon erityiset olosuhteet, joissa tietoja käsitellään.
2. Edellä 1 kohtaa ei sovelleta, jos erityisesti tilastollisia tarkoituksia tai historiallista tai tieteellistä tutkimusta varten suoritettavan käsittelyn osalta tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa tai jos yhteisön lainsäädännössä nimenomaisesti säädetään tietojen tallentamisesta tai luovuttamisesta. Tällöin on yhteisöjen toimielimen tai elimen huolehdittava asianmukaisista suojatoimista kuultuaan Euroopan tietosuojavaltuutettua.
5 JAKSO
REKISTERÖIDYN OIKEUDET
13 artikla
Tiedonsaantioikeus
Rekisteröidyllä on oikeus saada milloin tahansa esteittä rekisterinpitäjältä kolmen kuukauden kuluessa pyynnön vastaanottamisesta ja maksutta
a) vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei;
b) tiedot ainakin käsittelyn tarkoituksesta, käsiteltävistä tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan;
c) käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot;
d) tiedot häntä koskevaan automaattiseen tietojenkäsittelyyn liittyvistä perusteista.
14 artikla
Oikaisu
Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä oikaisee viivytyksettä virheelliset tai puutteelliset henkilötiedot.
15 artikla
Suojaaminen
1. Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä suojaa tiedot, jos
a) rekisteröity kiistää tietojen paikkansapitävyyden, jolloin tiedot suojataan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden ja täydellisyyden; tai
b) rekisterinpitäjä ei enää tarvitse niitä tehtäviensä suorittamiseen, mutta ne on säilytettävä todistelua varten; tai
c) käsittely on laitonta ja rekisteröity vastustaa tietojen poistamista ja vaatii sen sijaan niiden suojaamista.
2. Automaattisissa rekisteröintijärjestelmissä suojaaminen varmistetaan pääasiassa teknisin keinoin. Henkilötietojen suojaaminen on ilmaistava järjestelmässä siten, että käy selvästi ilmi, ettei henkilötietoja voida käyttää.
3. Tämän artiklan mukaisesti suojattuja henkilötietoja voidaan käsitellä tallentamista lukuun ottamatta ainoastaan joko todistelua varten, rekisteröidyn suostumuksella tai sivullisen oikeuksien suojaamiseksi.
4. Rekisterinpitäjän on ilmoitettava edeltäkäsin suojauksen poistamisesta rekisteröidylle, joka on pyytänyt tietojensa suojaamista, ja jonka tiedot on suojattu.
16 artikla
Poistaminen
Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä poistaa tiedot, jos niiden käsittely on laitonta ja erityisesti jos rikotaan II luvun 1, 2 ja 3 jakson säännöksiä.
17 artikla
Ilmoitus sivullisille
Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä ilmoittaa sivullisille, joille tietoja on luovutettu, kaikista 13-16 artiklan mukaisista oikaisuista, poistamisista tai suojaamisista, lukuun ottamatta tilanteita, joissa tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.
18 artikla
Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä
Rekisteröidyllä on oikeus:
a) milloin tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi paitsi 5 artiklan b, c ja d alakohdassa tarkoitetuissa tapauksissa. Jos vastustus on perusteltua, kyseisiä tietoja ei enää voida käsitellä;
b) saada ilmoitus ennen kuin henkilötietoja ensi kerran luovutetaan sivulliselle tai käytetään sivullisen lukuun suoramarkkinointitarkoituksessa, ja saada nimenomaisesti oikeus korvauksetta vastustaa mainittua luovutusta tai käyttöä.
19 artikla
Automaattiset yksittäispäätökset
Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, jolla on häneen nähden oikeusvaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla ja joka on tehty ainoastaan sellaisten tietojen automaattisen käsittelyn perusteella, jotka on tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa, kuten hänen ammatillisen suorituskykynsä, luotettavuutensa tai käyttäytymisensä arviointiin, jollei päätös nimenomaisesti ole kansallisessa tai yhteisön lainsäädännössä sallittu tai, jos se on tarpeen, Euroopan tietosuojavaltuutettu ole antanut siihen suostumusta. Molemmissa tapauksissa on toteutettava rekisteröidyn oikeutetut edut takaavia toimenpiteitä, kuten järjestelyjä, joiden avulla hän voi esittää näkemyksensä.
6 JAKSO
POIKKEUKSET JA RAJOITUKSET
20 artikla
Poikkeukset ja rajoitukset
1. Yhteisöjen toimielimet ja elimet voivat rajoittaa 4 artiklan 1 kohdan, 11 artiklan, 12 artiklan 1 kohdan, 13-17 artiklan ja 37 artiklan 1 kohdan soveltamista, jos tällainen rajoitus on välttämätön, jotta turvataan:
a) rikosten torjunta, tutkinta, selvittäminen ja syytteeseenpano;
b) jäsenvaltiolle tai Euroopan yhteisöille tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahapolitiikkaa, talousarviota ja verotusta koskevat asiat;
c) rekisteröidyn suojelu tai muiden henkilöiden oikeuksien ja vapauksien suojelu;
d) jäsenvaltioiden kansallinen turvallisuus, yleinen turvallisuus ja puolustus;
e) sellaiset valvonta-, tarkastus- ja sääntelytehtävät, jotka liittyvät, vaikka vain satunnaisesti, julkisen vallan käyttämiseen a ja b alakohdassa tarkoitetuissa tapauksissa.
2. Mitä 13-16 artiklassa säädetään, ei sovelleta, jos tietoja käsitellään yksinomaan tieteellistä tutkimusta varten tai säilytetään henkilötietojen muodossa ainoastaan niin kauan kuin on tarpeen tilastojen luomiseksi, edellyttäen, ettei rekisteröidyn yksityisyys millään tavoin vaarannu ja että rekisterinpitäjä antaa asianmukaiset oikeudelliset takeet erityisesti sen varmistamiseksi, ettei tietoja voida käyttää tiettyä henkilöä koskevien toimenpiteiden toteuttamiseen tai päätösten tekemiseen.
3. Jos jotain 1 kohdassa säädettyä rajoitusta sovelletaan, rekisteröidylle on ilmoitettava yhteisön lainsäädännön mukaisesti pääasialliset syyt rajoituksen soveltamiseen, sekä se, että hänellä on oikeus saattaa asia Euroopan tietosuojavaltuutetun käsiteltäväksi.
4. Jos johonkin 1 kohdassa säädettyyn rajoitukseen vedotaan tiedonsaantioikeuden epäämiseksi rekisteröidyltä, Euroopan tietosuojavaltuutettu ilmoittaa hänelle kantelua tutkiessaan ainoastaan, onko tietojenkäsittely suoritettu moitteettomasti ja, jos näin ei ole, onko tarpeelliset oikaisut tehty.
5. Edellä 3 ja 4 kohdassa tarkoitettua ilmoittamista voidaan lykätä niin kauan kuin ilmoittaminen tekisi 1 kohdan nojalla sovellettavan rajoituksen tehottomaksi.
7 JAKSO
KÄSITTELYN LUOTTAMUKSELLISUUS JA TURVALLISUUS
21 artikla
Käsittelyn luottamuksellisuus
Yhteisöjen toimielimen tai elimen palveluksessa oleva henkilö tai yhteisöjen toimielimet tai elimet, jotka itse toimivat käsittelijöinä, ja joilla on pääsy henkilötietoihin, eivät saa käsitellä näitä tietoja muutoin kuin rekisterinpitäjän ohjeiden mukaisesti, paitsi jos kansallisessa tai yhteisön oikeudessa tätä edellytetään.
22 artikla
Käsittelyn turvallisuus
1. Ottaen huomioon tekniikan taso ja toimenpiteiden toteuttamiseen liittyvät kustannukset, rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet sellaisen turvallisuustason varmistamiseksi, joka on asianmukainen suhteessa käsittelyn aiheuttamiin vaaroihin ja suojattavien henkilötietojen luonteeseen.
Tällaiset toimenpiteet on toteutettava erityisesti luvattoman luovuttamisen tai pääsyn, tahattoman tai laittoman tuhoamisen tai vahingossa tapahtuvan häviämisen taikka muuttamisen tai minkä tahansa muun laittoman käsittelytavan estämiseksi.
2. Kun henkilötietoja käsitellään automaattisesti, on toteutettava vaarojen kannalta tarpeelliset toimenpiteet, joiden tavoitteena on erityisesti:
a) estää asiattomien henkilöiden pääsy henkilötietoja käsitteleviin tietojärjestelmiin;
b) estää tallennusvälineen luvaton lukeminen, jäljentäminen, muuttaminen tai siirtäminen;
c) estää tietojen luvaton tallentaminen sekä tallennettujen henkilötietojen luvaton luovuttaminen, muuttaminen tai poistaminen;
d) estää asiattomien henkilöiden tiedonsiirtokeinojen avulla suorittama tietojenkäsittelyjärjestelmien käyttö;
e) varmistaa, että tietojenkäsittelyjärjestelmän käyttöön oikeutetut henkilöt eivät voi päästä muihin kuin niihin henkilötietoihin, joihin heillä on kyselyoikeus;
f) tallentaa tieto siitä, mitkä henkilötiedot on ilmoitettu, ilmoituksen ajankohta ja vastaanottaja;
g) varmistaa, että myöhemmin on mahdollista tarkistaa mitä henkilötietoja on käsitelty, mihin aikaan ja kenen toimesta;
h) varmistaa, että sivullisen lukuun käsiteltäviä henkilötietoja voidaan käsitellä ainoastaan sopimuksesta vastaavan toimielimen tai elimen määräämällä tavalla;
i) varmistaa, ettei tietoja voida henkilötietoja ilmoitettaessa ja tallennuslaitteiden kuljetuksen aikana lukea, kopioida tai poistaa ilman lupaa;
j) suunnitella toimielimen tai elimen sisäinen organisatorinen rakenne siten, että se vastaa tietosuojan erityisvaatimuksia.
23 artikla
Rekisterinpitäjän lukuun suoritettava henkilötietojen käsittely
1. Kun käsittely suoritetaan rekisterinpitäjän lukuun, tämän on valittava henkilötietojen käsittelijä, joka antaa riittävät takeet käsittelyyn liittyvistä 22 artiklassa edellytetyistä teknisistä ja organisatorisista turvatoimista, ja huolehdittava, että nämä toimet toteutetaan asianmukaisesti.
2. Käsittelijän toimesta suoritettavaa käsittelyä on säänneltävä sopimuksella tai oikeudellisella asiakirjalla, joka sitoo käsittelijän rekisterinpitäjään ja jossa erityisesti määrätään, että
a) käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti; ja
b) myös käsittelijän on noudatettava 21 ja 22 artiklassa säädettyjä velvoitteita, jollei direktiivin 95/46/EY 16 artiklan tai 17 artiklan 3 kohdan toisen luetelmakohdan nojalla käsittelijään jo sovelleta jonkin jäsenvaltion kansallisessa lainsäädännössä vahvistettuja luottamuksellisuutta ja turvallisuutta koskevia velvollisuuksia.
3. Todisteiden säilyttämiseksi on sopimusten ja oikeudellisten asiakirjojen osien, jotka liittyvät tietosuojaan ja 22 artiklassa tarkoitettuja toimenpiteitä koskeviin vaatimuksiin, oltava kirjallisia tai muussa vastaavassa muodossa.
8 JAKSO
TIETOSUOJASTA VASTAAVA HENKILÖ
24 artikla
Tietosuojasta vastaavan henkilön nimittäminen ja tehtävät
1. Kunkin yhteisöjen toimielimen ja yhteisöjen elimen on nimitettävä vähintään yksi henkilötietosuojasta vastaava henkilö. Tämän tehtävänä on:
a) varmistaa, että rekisterinpitäjille ja rekisteröidyille tiedotetaan heidän tästä asetuksesta johtuvista oikeuksistaan ja velvollisuuksistaan;
b) vastata Euroopan tietosuojavaltuutetun kysymyksiin ja olla toimivaltansa rajoissa yhteistyössä Euroopan tietosuojavaltuutetun kanssa tämän pyynnöstä tai omasta aloitteestaan;
c) varmistaa itsenäisesti tämän asetuksen säännösten soveltaminen toimielimen tai elimen sisällä;
d) pitää rekisterinpitäjän suorittamista käsittelyistä rekisteriä, joka sisältää 25 artiklan 2 kohdassa tarkoitetut tiedot;
e) ilmoittaa Euroopan tietosuojavaltuutetulle sellaisista käsittelyistä, joihin saattaa liittyä erityisiä 27 artiklassa tarkoitettuja riskejä.
Siten hän varmistaa, että käsittely ei loukkaa rekisteröityjen oikeuksia ja vapauksia.
2. Tietosuojasta vastaava henkilö valitaan hänen henkilökohtaisten ominaisuuksiensa ja ammatillisen pätevyytensä sekä tietosuojaa koskevan erityisen asiantuntemuksensa perusteella.
3. Tietosuojasta vastaavan henkilön valinta ei saa aiheuttaa mahdollista eturistiriitaa tietosuojasta vastaavan henkilön tämän aseman ja hänen muiden virkavelvollisuuksiensa välille, erityisesti tämän asetuksen säännöksiä sovellettaessa.
4. Tietosuojasta vastaava henkilö nimitetään toimikaudeksi, jonka pituus on kahdesta viiteen vuotta. Hänet voidaan nimittää uudeksi toimikaudeksi kuitenkin niin, että yhteenlaskettu toimikausi voi olla enintään kymmenen vuotta. Jos tietosuojasta vastaava henkilö ei enää täytä tehtäviensä suorittamiseksi vaadittavia edellytyksiä, hänet nimittänyt yhteisöjen toimielin tai elin voi erottaa hänet, kuitenkin ainoastaan Euroopan tietosuojavaltuutetun suostumuksella.
5. Nimittämisen jälkeen tietosuojasta vastaavan henkilön nimittäneen toimielimen tai elimen on ilmoitettava hänen nimensä Euroopan tietosuojavaltuutetulle.
6. Tietosuojasta vastaavan henkilön nimittäneen yhteisöjen toimielimen tai elimen on järjestettävä hänen käyttöönsä henkilöstön ja tarvittavat resurssit, joita hänen tehtäviensä suorittaminen edellyttää.
7. Tietosuojasta vastaava henkilö ei saa vastaanottaa mitään tehtäviensä suorittamista koskevia ohjeita.
8. Kukin yhteisöjen toimielin tai elin antaa täytäntöönpanoa koskevat tarkemmat säännöt liitteessä olevien säännösten mukaisesti. Nämä tarkemmat säännöt liittyvät erityisesti tietosuojasta vastaavan henkilön tehtäviin, velvollisuuksiin ja toimivaltuuksiin.
25 artikla
Tietosuojasta vastaavalle henkilölle tehtävä ilmoitus
1. Rekisterinpitäjän on annettava tietosuojasta vastaavalle henkilölle ilmoitus ennen kuin toteutetaan käsittely tai käsittelyjen sarja, joilla on sama tarkoitus tai useita toisiinsa liittyviä tarkoituksia.
2. Ilmoitettavien tietojen on sisällettävä:
a) rekisterinpitäjän nimi ja osoite sekä maininta toimielimen tai elimen yksiköistä, joiden tehtävänä on henkilötietojen käsittely tiettyyn tarkoitukseen;
b) käsittelyn tarkoitus tai tarkoitukset;
c) kuvaus rekisteröityjen ryhmästä tai ryhmistä sekä heihin liittyvistä tiedoista tai tietoryhmistä;
d) sen käsittelyn oikeusperusta, johon tiedot on tarkoitettu;
e) vastaanottajat tai vastaanottajaryhmät, joille tiedot mahdollisesti luovutetaan;
f) yleinen maininta eri tietoryhmien suojaamisen ja poistamisen määräpäivistä;
g) aiotut tietojen siirrot kolmansiin maihin tai kansainvälisiin järjestöihin;
h) yleiskuvaus, jonka perusteella voidaan alustavasti arvioida käsittelyn turvallisuuden varmistamiseksi 22 artiklan mukaisesti toteutettavien toimenpiteiden asianmukaisuus.
3. Kaikista 2 kohdassa tarkoitettuihin tietoihin vaikuttavista muutoksista ilmoitetaan viipymättä tietosuojasta vastaavalle henkilölle.
26 artikla
Rekisteri
Kunkin tietosuojasta vastaavan henkilön on pidettävä rekisteriä 25 artiklan mukaisesti ilmoitetuista käsittelytoimista.
Rekisterien on sisällettävä ainakin 25 artiklan 2 kohdan a-g alakohdassa tarkoitetut tiedot. Kuka tahansa saa suorittaa kyselyjä näistä rekistereistä suoraan tai välillisesti Euroopan tietosuojavaltuutetun kautta.
9 JAKSO
EUROOPAN TIETOSUOJAVALTUUTETUN SUORITTAMA ENNAKKOTARKASTUS JA YHTEISTYÖVELVOLLISUUS
27 artikla
Ennakkotarkastus
1. Euroopan tietosuojavaltuutetun on tarkastettava ennakolta ne käsittelyt, joihin saattaa liittyä erityisiä rekisteröityjen oikeuksiin ja vapauksiin liittyviä vaaroja käsittelyjen luonteen, laajuuden tai tarkoitusten vuoksi.
2. Seuraaviin käsittelyihin saattaa liittyä tällaisia vaaroja:
a) terveyteen sekä rikoksia koskeviin epäilyihin, rikoksiin, rikosasioissa annettaviin tuomioihin tai turvaamistoimiin liittyvät tietojenkäsittelyt;
b) käsittelyt, joiden tarkoituksena on arvioida rekisteröityjen henkilökohtaisia ominaisuuksia, kuten heidän pätevyyttään, suorituskykyään tai käyttäytymistään;
c) käsittelyt, jotka mahdollistavat eri tarkoituksia varten käsiteltyjen tietojen sellaisen yhdistämisen, jota koskevia säännöksiä ei ole kansallisessa tai yhteisön lainsäädännössä;
d) käsittelyt, joiden tarkoituksena on henkilön jättäminen ilman tiettyä oikeutta, etuutta tai sopimusta.
3. Euroopan tietosuojavaltuutettu tekee ennakkotarkastuksia sen jälkeen, kun hän on saanut ilmoituksen tietosuojasta vastaavalta henkilöltä, jonka on neuvoteltava Euroopan tietosuojavaltuutetun kanssa, jos ennakkotarkastuksen tarpeellisuudesta on epäselvyyttä.
4. Euroopan tietosuojavaltuutettu antaa lausuntonsa kahden kuukauden kuluessa ilmoituksen saamisesta. Tämän määräajan kuluminen voidaan keskeyttää, kunnes Euroopan tietosuojavaltuutettu on saanut pyydetyt lisätiedot. Jos asian monimutkaisuus sitä edellyttää, tätä määräaikaa voidaan Euroopan tietosuojavaltuutetun päätöksellä pidentää uudella kahden kuukauden määräajalla. Tästä päätöksestä on ilmoitettava rekisterinpitäjälle ennen alkuperäisen kahden kuukauden määräajan päättymistä.
Jos lausuntoa ei ole annettu kahden kuukauden määräajan kuluessa, jota on mahdollisesti pidennetty, sen katsotaan olevan myönteinen.
Jos ilmoitetulla käsittelyllä Euroopan tietosuojavaltuutetun lausunnon mukaan saatetaan rikkoa tämän asetuksen jotakin säännöstä, hänen on tarvittaessa tehtävä ehdotuksia tämän rikkomisen välttämiseksi. Jos rekisterinpitäjä ei tämän johdosta muuta käsittelyä, Euroopan tietosuojavaltuutettu voi käyttää hänelle 47 artiklan 1 kohdassa uskottua toimivaltaansa.
5. Euroopan tietosuojavaltuutettu pitää rekisteriä kaikista hänelle 2 kohdan nojalla ilmoitetuista käsittelyistä. Rekisterin on sisällettävä 25 artiklassa tarkoitetut tiedot. Rekisteri on vapaasti yleisön saatavilla.
28 artikla
Kuuleminen
1. Yhteisöjen toimielimet ja elimet ilmoittavat Euroopan tietosuojavaltuutetulle suunnittelemistaan henkilötietojen käsittelyä koskevista hallinnollisista toimenpiteistä, joissa on osallisena yhteisöjen toimielin tai elin yksin tai yhdessä muiden kanssa.
2. Kun komissio antaa yksilöiden oikeuksien ja vapauksien suojeluun henkilötietojen käsittelyssä liittyvän lainsäädäntöä koskevan ehdotuksen, se kuulee Euroopan tietosuojavaltuutettua.
29 artikla
Ilmoittamisvelvollisuus
Yhteisöjen toimielimet ja elimet ilmoittavat Euroopan tietosuojavaltuutetulle toimenpiteistä, joita on toteutettu 46 artiklan h kohdassa tarkoitettujen tietosuojavaltuutetun päätösten tai lupien johdosta.
30 artikla
Velvollisuus toimia yhteistyössä
Rekisterinpitäjien on avustettava Euroopan tietosuojavaltuutettua hänen pyynnöstään hänen tehtäviensä suorittamisessa, erityisesti antamalla hänelle 47 artiklan 2 kohdan a alakohdassa tarkoitetut tiedot ja 47 artiklan 2 kohdan b alakohdassa tarkoitettu pääsy.
31 artikla
Velvollisuus vastata väitteisiin
Asianomaisen rekisterinpitäjän on ilmoitettava Euroopan tietosuojavaltuutetulle näkemyksensä tämän asettamassa kohtuullisessa määräajassa, kun Euroopan tietosuojavaltuutettu käyttää 47 artiklan 1 kohdan b alakohdan mukaista toimivaltaansa. Annettavan lausunnon on sisällettävä myös kuvaus mahdollisista toimenpiteistä, jotka on tarvittaessa toteutettu Euroopan tietosuojavaltuutetun huomautusten johdosta.
III LUKU
OIKEUSKEINOT
32 artikla
Oikeuskeinot
1. Euroopan yhteisöjen tuomioistuimella on toimivalta ratkaista kaikki riidat, jotka koskevat tämän asetuksen säännöksiä, mukaan lukien vahingonkorvausvaatimukset.
2. Rajoittamatta muiden oikeussuojakeinojen käyttöä jokainen rekisteröity voi tehdä kantelun Euroopan tietosuojavaltuutetulle, jos hän katsoo, että hänelle perustamissopimuksen 286 artiklan nojalla kuuluvia oikeuksia on loukattu yhteisöjen toimielimen tai elimen suorittaman, hänen henkilötietojaan koskevan käsittelyn seurauksena.
Jos Euroopan tietosuojavaltuutettu ei ole antanut vastausta kuuden kuukauden kuluessa, kantelu katsotaan hylätyksi.
3. Euroopan tietosuojavaltuutetun päätöksiin voidaan hakea muutosta Euroopan yhteisöjen tuomioistuimelta.
4. Henkilöllä, jolle on aiheutunut vahinkoa laittomasta käsittelystä tai tämän asetuksen vastaisesta toimesta, on oikeus saada korvaus aiheutuneesta vahingosta perustamissopimuksen 288 artiklan mukaisesti.
33 artikla
Yhteisöjen henkilöstön kantelut
Jokainen yhteisöjen toimielinten tai elinten palveluksessa oleva voi esittää Euroopan tietosuojavaltuutetulle henkilötietojen käsittelyä koskevien tämän asetuksen säännösten väitettyä rikkomista koskevan kantelun käyttämättä virkatietä. Kenellekään ei saa aiheutua haittaa sellaisen Euroopan tietosuojavaltuutetulle esitetyn kantelun johdosta, jossa väitetään, että henkilötietojen käsittelyä koskevia säännöksiä on rikottu.
IV LUKU
HENKILÖTIETOJEN JA YKSITYISYYDEN SUOJA SISÄISISSÄ TELEVIESTINTÄVERKOISSA
34 artikla
Soveltamisala
Tätä lukua sovelletaan niiden henkilötietojen käsittelyyn, jotka liittyvät sellaisten televiestintäverkkojen tai telepäätelaitteiden käyttöön, jotka toimivat yhteisöjen toimielimen tai elimen valvonnassa, sanotun kuitenkaan rajoittamatta tämän asetuksen muiden säännösten soveltamista.
Tässä luvussa "käyttäjällä" tarkoitetaan luonnollista henkilöä, joka käyttää yhteisöjen toimielimen tai elimen valvonnassa toimivaa televiestintäverkkoa tai telepäätelaitetta.
35 artikla
Turvallisuus
1. Yhteisöjen toimielimet ja elimet toteuttavat tarvittavat tekniset ja organisatoriset toimenpiteet varmistaakseen televiestintäverkkojen ja telepäätelaitteiden turvallisen käytön tarvittaessa yhdessä yleisesti saatavilla olevien telepalvelujen tarjoajien ja/tai yleisen televiestintäverkon tarjoajien kanssa. Näiden toimenpiteiden on oltava sellaisia, joilla varmistetaan olemassa olevaan vaaraan nähden suhteutettu turvallisuustaso ottaen huomioon tekniikan viimeisimmät keinot ja toimenpiteiden käyttöönottokustannukset.
2. Jos on olemassa erityinen vaara, jonka vuoksi verkon ja telepäätelaitteiden turvallisuutta ei voida enää taata, yhteisöjen toimielin tai elin ilmoittaa käyttäjille tällaisesta vaarasta ja keinoista sen poistamiseksi sekä muista käytettävissä olevista viestintäkeinoista.
36 artikla
Viestinnän luottamuksellisuus
Yhteisöjen toimielimet ja elimet varmistavat televiestintäverkon ja telepäätelaitteiden välityksellä tapahtuvan viestinnän luottamuksellisuuden yhteisön oikeuden yleisiä periaatteita noudattaen.
37 artikla
Liikenne- ja laskutustiedot
1. Käyttäjiä koskevat liikennetiedot, joita käsitellään ja tallennetaan puhelujen ja muiden yhteyksien muodostamiseksi televiestintäverkossa, on poistettava tai tehtävä nimettömiksi heti puhelun tai muun yhteyden päätyttyä, sanotun kuitenkaan rajoittamatta 2, 3 ja 4 kohdan soveltamista.
2. Liikennetietoja sellaisina, kuin ne esitetään Euroopan tietosuojavaltuutetun hyväksymässä luettelossa, voidaan tarvittaessa käsitellä televiestinnän talousarvion ja liikenteen hallintaa varten, mukaan lukien televiestintäjärjestelmän luvallisen käytön tarkistaminen. Nämä tiedot on poistettava tai tehtävä nimettömiksi mahdollisimman pian ja viimeistään kuusi kuukautta niiden keräämisen jälkeen, jollei ole tarpeen säilyttää niitä pitempään tuomioistuimessa käsiteltävän oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi.
3. Liikenne- ja laskutustietojen käsittelyä voivat suorittaa ainoastaan laskutuksesta, liikenteestä tai talousarviohallinnosta vastaavat henkilöt.
4. Televiestintäverkkojen käyttäjillä on oikeus saada laskunsa tai muut selvitykset suoritetuista puheluista erittelemättöminä.
38 artikla
Tilaajaluettelot
1. Painetuissa tai sähköisissä käyttäjien luetteloissa olevat henkilötiedot sekä pääsy näihin luetteloihin on rajoitettava siihen, mikä on välttämätöntä luettelolle ominaisten tarkoitusten kannalta.
2. Yhteisöjen toimielimet ja elimet toteuttavat kaikki tarvittavat toimenpiteet estääkseen näiden luetteloiden sisältämien henkilötietojen käytön suoramarkkinointitarkoituksiin riippumatta siitä, ovatko luettelot yleisön saatavilla vai eivät.
39 artikla
Kutsuvan numeron ja kytketyn numeron näyttö ja näytön estäminen
1. Jos kutsuvan numeron näyttöä tarjotaan, kutsuvalla käyttäjällä on oltava mahdollisuus poistaa helposti ja maksutta kutsuvan numeron näyttö.
2. Jos kutsuvan numeron näyttöä tarjotaan, kytketyllä käyttäjällä on oltava mahdollisuus estää helposti ja maksutta tulevien puhelujen kutsuvan numeron näyttö.
3. Jos kytketyn numeron näyttöä tarjotaan, kytketyllä käyttäjällä on oltava mahdollisuus helposti ja maksutta estää kytketyn numeron näyttö kutsuvalle käyttäjälle.
4. Jos kutsuvan tai kytketyn numeron näyttöä tarjotaan, yhteisöjen toimielimet ja elimet ilmoittavat siitä ja 1, 2 ja 3 kohdassa säädetyistä mahdollisuuksista käyttäjille.
40 artikla
Poikkeukset
Yhteisöjen toimielimet ja elimet varmistavat, että on avoimia menettelyjä, joita käyttäen kutsuvan numeron näytön esto voidaan ohittaa:
a) väliaikaisesti, jos käyttäjä pyytää ilkivaltaisten puhelujen tai häirintäsoittojen jäljittämistä; ja
b) liittymäkohtaisesti hätäkutsuja käsitteleville organisaatioille tällaisiin kutsuihin vastaamiseksi.
V LUKU
RIIPPUMATON VALVONTAVIRANOMAINEN: EUROOPAN TIETOSUOJAVALTUUTETTU
41 artikla
Euroopan tietosuojavaltuutettu
1. Perustetaan riippumaton valvontaviranomainen, jota kutsutaan Euroopan tietosuojavaltuutetuksi.
2. Henkilötietojen käsittelyn osalta Euroopan tietosuojavaltuutetun tehtävänä on varmistaa, että yhteisöjen toimielimet ja elimet kunnioittavat luonnollisten henkilöiden perusoikeuksia ja -vapauksia, erityisesti heidän oikeuttaan yksityisyyteen.
Euroopan tietosuojavaltuutetun tehtävänä on seurata tämän asetuksen sellaisten säännösten ja muiden sellaisten yhteisön säädösten, jotka koskevat luonnollisten henkilöiden perusoikeuksien ja -vapauksien suojelua, soveltamista ja huolehtia niiden täytäntöönpanosta yhteisöjen toimielimen tai elimen suorittaman henkilötietojen käsittelyn osalta sekä antaa ohjeita yhteisöjen toimielimille ja elimille sekä rekisteröidyille kaikista henkilötietojen käsittelyä koskevista seikoista. Tätä varten tietosuojavaltuutettu suorittaa 46 artiklassa säädettyjä tehtäviä ja käyttää 47 artiklassa annettua toimivaltaa.
42 artikla
Nimittäminen
1. Euroopan parlamentti ja neuvosto nimittävät yhteisellä sopimuksella Euroopan tietosuojavaltuutetun viiden vuoden toimikaudeksi komission julkisen hakumenettelyn johdosta laatiman luettelon pohjalta.
Apulaistietosuojavaltuutettu nimitetään samaa menettelyä käyttäen ja samaksi ajaksi. Hän avustaa tietosuojavaltuutettua tämän kaikissa tehtävissä ja toimii hänen sijaisenaan, kun tietosuojavaltuutettu on poissa tai estynyt.
2. Euroopan tietosuojavaltuutettu valitaan sellaisten henkilöiden joukosta, joiden riippumattomuudesta ei ole epäilystä, ja joilla on yleisesti tunnustettu kokemus ja pätevyys Euroopan tietosuojavaltuutetun tehtävien hoitamiseen esimerkiksi sen johdosta, että he kuuluvat tai ovat kuuluneet direktiivin 95/46/EY 28 artiklassa tarkoitettuihin valvontaviranomaisiin.
3. Euroopan tietosuojavaltuutettu voidaan nimittää uudeksi toimikaudeksi.
4. Euroopan tietosuojavaltuutetun tehtävät päättyvät, kun hänen tilalleen on asianmukaisesti nimitetty toinen henkilö, kun hän kuolee tai eroaa, tai kun hänet erotetaan 5 kohdan mukaisesti.
5. Yhteisöjen tuomioistuin voi Euroopan parlamentin, neuvoston ja komission hakemuksesta erottaa Euroopan tietosuojavaltuutetun tai lakkauttaa tältä oikeuden eläkkeeseen tai muihin vastaaviin etuuksiin, jos hän ei enää täytä niitä vaatimuksia, joita hänen tehtävänsä edellyttävät, tai jos hän on syyllistynyt vakavaan rikkomukseen.
6. Kun on kyse asianmukaisesta uudesta nimittämisestä tai vapaaehtoisesta tehtävästä luopumisesta, Euroopan tietosuojavaltuutettu jatkaa kuitenkin tehtävässään, kunnes hänen tilalleen on nimitetty toinen henkilö.
7. Euroopan yhteisöjen erioikeuksia ja vapauksia koskevan pöytäkirjan 12-15 sekä 18 artiklaa sovelletaan myös Euroopan tietosuojavaltuutettuun.
8. Edellä 2-7 kohtaa sovelletaan apulaistietosuojavaltuutettuun.
43 artikla
Euroopan tietosuojavaltuutetun tehtävien hoitamista koskeva ohjesääntö ja yleiset ehdot sekä henkilöstö ja rahoitus
1. Euroopan parlamentti, neuvosto ja komissio vahvistavat yhteisellä sopimuksella Euroopan tietosuojavaltuutetun tehtävien hoitamista koskevan ohjesäännön ja yleiset ehdot sekä erityisesti hänelle suoritettavan palkan, lisät ja muut taloudelliset edut.
2. Budjettivallan käyttäjä varmistaa, että Euroopan tietosuojavaltuutetulla on käytössään hänen tehtäviensä suorittamista varten tarvittava henkilöstö ja rahoitus.
3. Euroopan tietosuojavaltuutetun talousarvio otetaan erillisenä kohtana Euroopan unionin yleisen talousarvion pääluokkaan VIII.
4. Euroopan tietosuojavaltuutettua avustaa sihteeristö. Sihteeristön virkamiehet ja muun henkilöstön nimittää Euroopan tietosuojavaltuutettu, joka on heidän esimiehensä, ja he toimivat yksinomaan hänen ohjauksessaan. Henkilöstön määrä vahvistetaan vuosittain talousarviomenettelyn yhteydessä.
5. Euroopan tietosuojavaltuutetun sihteeristön virkamiehiä ja muuta henkilöstöä sitovat Euroopan yhteisöjen virkamiehiin ja muuhun henkilöstöön sovellettavat asetukset ja määräykset.
6. Henkilöstöään koskevissa asioissa Euroopan tietosuojavaltuutetulla on sama asema kuin toimielimillä Euroopan yhteisöjen henkilöstösääntöjen 1 artiklassa tarkoitetussa merkityksessä.
44 artikla
Riippumattomuus
1. Euroopan tietosuojavaltuutettu hoitaa tehtäviään täysin riippumattomana.
2. Tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta.
3. Euroopan tietosuojavaltuutetun on pidättäydyttävä kaikesta toiminnasta, joka on yhteensopimatonta hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa muuta palkallista tai palkatonta ammattitoimintaa.
4. Euroopan tietosuojavaltuutetun on toimikautensa päättymisen jälkeen osoitettava kunniallisuutta ja arvostelukykyä nimitysten ja etujen vastaanottamisessa.
45 artikla
Salassapitovelvollisuus
Euroopan tietosuojavaltuutettu ja hänen henkilöstönsä ovat sekä toimikautensa aikana että sen päätyttyä velvollisia pitämään salassa kaikki luottamukselliset tiedot, jotka ovat tulleet heidän tietoonsa tehtäviensä suorittamisen yhteydessä.
46 artikla
Tehtävät
Euroopan tietosuojavaltuutettu
a) vastaanottaa ja tutkii kanteluita sekä ilmoittaa rekisteröidylle niiden käsittelyn tuloksesta kohtuullisen määräajan kuluessa;
b) suorittaa tutkimuksia joko omasta aloitteestaan tai kantelun perusteella sekä ilmoittaa rekisteröidyille niiden tuloksista kohtuullisen määräajan kuluessa;
c) valvoo tämän asetuksen ja muiden sellaisten yhteisön säädösten soveltamista, jotka liittyvät luonnollisten henkilöiden suojeluun yhteisöjen toimielimen tai elimen suorittaman henkilötietojen käsittelyn osalta sekä huolehtii niiden täytäntöönpanosta, lukuun ottamatta Euroopan yhteisöjen tuomioistuinta sen lainkäyttötehtävissä;
d) neuvoo kaikkia yhteisöjen toimielimiä ja elimiä joko omasta aloitteestaan tai vastauksena lausuntopyyntöön kaikissa henkilötietojen käsittelyä koskevissa asioissa erityisesti ennen kuin toimielimet ja elimet laativat sisäisiä, yksilön perusvapauksien ja -oikeuksien suojaan liittyviä sääntöjä henkilötietojen käsittelyn osalta;
e) seuraa asiaan liittyvää kehitystä, erityisesti tieto- ja viestintäteknologian osalta, siltä osin kuin sillä on vaikutusta henkilötietojen suojeluun;
f) i) tekee yhteistyötä direktiivin 95/46/EY 28 artiklassa mainittujen, kyseisen direktiivin soveltamisalaan kuuluvien maiden kansallisten valvontaviranomaisten kanssa siinä määrin kuin kullekin viranomaiselle kuuluvien tehtävien hoitaminen sitä edellyttää, erityisesti vaihtamalla hyödyllisiä tietoja, pyytämällä kyseistä viranomaista tai elintä käyttämään toimivaltuuksiaan tai vastaamalla kyseisen viranomaisen tai elimen pyyntöön;
ii) tekee yhteistyötä myös Euroopan unionista tehdyn sopimuksen VI osaston nojalla perustettujen tietosuojasta huolehtivien valvontaelinten kanssa erityisesti parantaakseen niiden sääntöjen ja menettelyjen soveltamisen yhdenmukaisuutta, joiden noudattamisesta huolehtiminen on annettu mainittujen elinten tehtäväksi;
g) osallistuu direktiivin 95/46/EY 29 artiklalla perustetun tietosuojatyöryhmän toimintaan;
h) määrittelee, perustelee ja julkaisee 10 artiklan 2 kohdan b alakohdassa sekä 4, 5 ja 6 kohdassa, 12 artiklan 2 kohdassa, 19 artiklassa sekä 37 artiklan 2 kohdassa tarkoitetut poikkeukset, suojatoimet, luvat ja ehdot;
i) pitää rekisteriä hänelle 27 artiklan 2 kohdan nojalla ilmoitetuista ja 27 artiklan 5 kohdan nojalla rekisteröidyistä käsittelyistä ja järjestää keinot päästä tietosuojasta vastaavien henkilöiden 26 artiklan nojalla pitämiin rekistereihin;
j) suorittaa hänelle ilmoitettuihin käsittelyihin kohdistuvia ennakkotarkastuksia;
k) vahvistaa työjärjestyksensä.
47 artikla
Toimivalta
1. Euroopan tietosuojavaltuutettu voi:
a) antaa rekisteröidyille neuvontaa heille kuuluvien oikeuksien käyttämisessä;
b) ottaa yhteyttä rekisterinpitäjään, jos henkilötietojen käsittelyä koskevia säännöksiä väitetään rikotun ja tehdä tarvittaessa ehdotuksia rikkomisen korjaamiseksi ja rekisteröityjen suojan parantamiseksi;
c) määrätä, että tietoja koskevien tiettyjen oikeuksien käyttöä koskevat pyynnöt täytetään, jos ne on evätty 13-19 artiklan vastaisesti;
d) antaa rekisterinpitäjälle huomautuksen tai varoituksen;
e) määrätä sellaisten tietojen korjaamisesta, suojaamisesta, poistamisesta tai tuhoamisesta, joita on käsitelty henkilötietojen käsittelyä koskevien säännösten vastaisesti sekä näistä toimenpiteistä ilmoittamisesta niille sivullisille, joille tietoja on luovutettu;
f) kieltää käsittelyn väliaikaisesti tai lopullisesti;
g) saattaa asioita asianomaisen yhteisöjen toimielimen tai elimen ja tarvittaessa Euroopan parlamentin, neuvoston ja komission käsiteltäviksi;
h) saattaa asioita yhteisöjen tuomioistuimen käsiteltäväksi perustamissopimuksessa määrättyjen edellytysten mukaisesti;
i) olla väliintulijana käsiteltäessä yhteisöjen tuomioistuimessa nostettuja kanteita.
2. Euroopan tietosuojavaltuutetulla on toimivalta:
a) saada rekisterinpitäjältä tai yhteisöjen toimielimeltä tai elimeltä pääsy kaikkiin henkilötietoihin ja kaikkiin tutkimuksissaan tarvitsemiinsa tietoihin;
b) päästä kaikkiin tiloihin, joissa rekisterinpitäjä tai yhteisöjen toimielin tai elin harjoittaa toimintaansa, kun on olemassa kohtuullinen aihe olettaa, että niissä harjoitetaan tässä asetuksessa tarkoitettua toimintaa.
48 artikla
Toimintakertomus
1. Euroopan tietosuojavaltuutettu antaa Euroopan parlamentille, neuvostolle ja komissiolle vuosikertomuksen toiminnastaan ja julkistaa sen samanaikaisesti.
2. Euroopan tietosuojavaltuutettu toimittaa toimintakertomuksen muille yhteisöjen toimielimille ja elimille, jotka voivat esittää kertomusta koskevia huomautuksia Euroopan parlamentissa mahdollisesti käytävää, kertomusta koskevaa keskustelua varten, erityisesti silloin, kun on kyse niiden toimenpiteiden esittämisestä, jotka on toteutettu Euroopan tietosuojavaltuutetun 31 artiklan nojalla tekemien huomautusten seurauksena.
VI LUKU
LOPPUSÄÄNNÖKSET
49 artikla
Seuraamukset
Jos Euroopan yhteisöjen palveluksessa oleva virkamies tai muu toimihenkilö tahallaan tai tuottamuksellisesti jättää täyttämättä tämän asetuksen mukaiset velvollisuutensa, hänelle voidaan määrätä kurinpitoseuraamus Euroopan yhteisöjen virkamiehiin sovellettavien henkilöstösääntöjen ja muuhun henkilöstöön sovellettavien palvelussuhteen ehtojen mukaisesti.
50 artikla
Siirtymävaihe
Yhteisöjen toimielimet ja elimet toteuttavat tarvittavat toimenpiteet, jotta tämän asetuksen voimaantulopäivänä suoritettavana olevat käsittelyt saatetaan tämän asetuksen mukaisiksi vuoden kuluessa mainitusta päivästä.
51 artikla
Voimaantulo
Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan yhteisöjen virallisessa lehdessä.
Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.
Tehty Brysselissä 18 päivänä joulukuuta 2000.