(1)

Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa (44–50 artikla). Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin ja kansainvälisille järjestöille ja niistä unioniin. Samalla on kuitenkin varmistettava, että kolmansiin maihin tai kansainvälisille järjestöille tehtävien siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa unionissa (2).

(2)

Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kansainväliselle järjestölle ilman erillistä lupaa, kuten asetuksen (EU) 2016/679 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.

(3)

Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekeminen perustuu kattavaan analyysiin kansainvälisen järjestön oikeudellisesta järjestelmästä. Analyysissa tarkastellaan sekä tietojen tuojia koskevia sääntöjä että niitä rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komissio määrittää arvioinnissaan, vastaako kyseisen kansainvälisen järjestön takaama tietosuojan taso ”olennaisilta osin” unionissa taattua suojan tasoa (3). Vertailukohtana arvioinnissa on unionin lainsäädännön, erityisesti asetuksen (EU) 2016/679, ja Euroopan unionin tuomioistuimen oikeuskäytännön (4) tarjoama suojan taso. Tätä vaatimusta selkeytetään ja siihen liittyvää ohjeistusta annetaan myös Euroopan tietosuojaneuvoston tietosuojan riittävyyden viitearvoissa (5).

(4)

Kuten unionin tuomioistuin on selventänyt, kolmatta maata tai kansainvälistä järjestöä ei voida vaatia takaamaan täysin samaa tietosuojan tasoa kuin unionin oikeusjärjestyksessä taattu taso (6). Erityisesti keinot, joita kyseisellä kolmannella maalla tai kansainvälisellä järjestöllä on käytettävissään henkilötietojen suojaamiseksi, voivat poiketa unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti tietosuojan riittävän tason (7). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Pikemminkin on pyrittävä selvittämään, tarjoaako ulkomainen järjestelmä vaaditun suojan tason kokonaisuutena yksityisyyden suojaa koskevien oikeuksien ja tietosuojaa koskevien suojatoimien sisällön (mukaan lukien niiden tehokas täytäntöönpano, valvonta ja täytäntöönpanon valvonta) perusteella (8).

(5)

Komissio on analysoinut Euroopan patenttijärjestön oikeudellista kehystä ja käytäntöjä. Komissio katsoo johdanto-osan 7–100 kappaleessa esitettyjen havaintojen perusteella, että Euroopan patenttijärjestössä (EPO) varmistetaan riittävä suoja henkilötiedoille, jotka siirretään unionista EPOlle asetuksen (EU) 2016/679 puitteissa.

(6)

Tämän päätöksen nojalla siirtoja unionissa olevilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä Euroopan patenttijärjestölle voidaan toteuttaa ilman erillistä lupaa. Päätös ei saa rajoittaa asetuksen (EU) 2016/679 suoraa soveltamista tällaisiin yksiköihin silloin, kun kyseisen asetuksen 3 artiklassa säädetyt alueellista soveltamista koskevat edellytykset täyttyvät.

(7)

Euroopan patenttijärjestö on hallitustenvälinen järjestö, joka perustettiin 7. lokakuuta 1977 Euroopan patenttisopimuksella. Järjestön päätoimipaikka on Münchenissä, ja siihen kuuluu 39 sopimusvaltiota: kaikki unionin jäsenvaltiot, Islanti, Norja ja Liechtenstein sekä Albania, Pohjois-Makedonia, Monaco, San Marino, Serbia, Sveitsi, Montenegro, Yhdistynyt kuningaskunta ja Turkki (9).

(8)

Euroopan patenttijärjestö on oikeushenkilö (10), joka koostuu kahdesta elimestä (11): Euroopan patenttivirastosta ja hallintoneuvostosta. Euroopan patenttijärjestön päätehtävänä on myöntää eurooppapatentteja (12) Euroopan patenttisopimuksen mukaisesti. Tämän tehtävän suorittaa patenttivirasto hallintoneuvoston valvonnassa. Hallintoneuvosto koostuu sopimusvaltioiden edustajista. Se käyttää lainsäädäntövaltaa Euroopan patenttijärjestön puolesta, vastaa toimintapoliittisista kysymyksistä ja valvoo Euroopan patenttiviraston toimintaa (13). Euroopan patenttivirasto on Euroopan patenttijärjestön toimeenpaneva elin. Virastoa johtaa pääjohtaja (14), joka vastaa sen toiminnasta hallintoneuvostolle (15). Pääjohtaja muun muassa valmistelee ja toimeenpanee viraston talousarvion, nimittää viraston henkilöstön ja valvoo sen toimintaa, käyttää kurinpitovaltaa henkilöstöön nähden sekä varmistaa viraston toimivuuden, kuten hyväksyy sisäisiä hallinnollisia ohjeita ja julkaisee yleisölle tarkoitettuja tietoja. Hän voi myös saattaa hallintoneuvoston käsiteltäväksi ehdotuksen Euroopan patenttisopimuksen muuttamisesta tai ehdotuksen hallintoneuvoston toimivaltaan kuuluvista yleisistä säännöistä tai päätöksistä (16). Euroopan patenttivirasto koostuu eri osastoista, joihin lukeutuvat vastaanottojaosto, oikeudellinen osasto, patentoitavuustutkimus- ja väiteosasto sekä valituslautakunnat (17) (itsenäinen sisäinen elin, johon voidaan valittaa Euroopan patenttijärjestön patenttien myöntämismenettelyn yhteydessä tekemistä päätöksistä).

(9)

EPO saa tehtäviensä hoitamisen aikana henkilötietoja useilta eri toimijoilta unionissa. Se saa jatkuvasti patenttien hakijoiden jättämiä eurooppapatenttihakemuksia (18) tai jäsenvaltioiden kansallisten patenttivirastojen välittämiä eurooppapatenttihakemuksia (19). EPO vastaanottaa ja käsittelee henkilötietoja sille osoitettujen tehtävien yhteydessä myös Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1257/2012 (20) nojalla. Sen tehtäviin kuuluu muun muassa vastaanottaa ja tutkia eurooppapatenttien yhtenäistä vaikutusta koskevia pyyntöjä, kerätä vuosimaksuja ja rekisteröidä yhtenäisiä vaikutuksia (21). Tässä yhteydessä EPO vastaanottaa pyyntöjä myös yhdistetyltä patenttituomioistuimelta (22) Euroopan patenttiviraston valituslautakunnassa (23) vireillä olevista valituksista. Pyynnöt saattavat sisältää asianomaisen tapauksen yksilöintiin tarvittavia henkilötietoja.

(10)

EPO vastaanottaa kansainvälisiin patenttihakemuksiin sisältyviä henkilötietoja myös patenttiyhteistyösopimuksen nojalla toimiessaan. Patenttiyhteistyösopimus on kansainvälinen sopimus, jonka avulla hakijat voivat saada patentteja, joilla on vaikutuksia kaikissa sopimusvaltioissa (24). EPO toimii patenttiyhteistyösopimuksen mukaisena kansainvälisenä uutuustutkimusviranomaisena ja tutkii tässä ominaisuudessa kansainvälisissä hakemuksissa ilmoitettujen keksintöjen patentoitavuutta. Tämä auttaa hakijoita päättämään, kannattaako heidän tehdä teknistä tutkimusta koskeva hakemus kansallisella tai unionin tasolla (25).

(11)

Lisäksi EPO tekee tiivistä yhteistyötä kaikkien jäsenvaltioiden kansallisten patenttivirastojen kanssa European Patent Network -verkoston kautta. Tässä yhteydessä se vaihtaa henkilötietoja kansallisten patenttivirastojen kanssa esimerkiksi tarjotessaan koulutuskursseja ja tietotekniikkapalveluja Euroopan patenttisopimuksen mukaisen yhteistyön tukemiseksi ja vahvistamiseksi. EPO on myös tehnyt jäsenvaltioiden kanssa kahdenvälisiä yhteistyösopimuksia, joihin liittyy henkilötietojen vaihtamista, esimerkiksi työryhmien perustamisen tai teknisten asiantuntijoiden lyhyt- tai pitkäkestoisen lähettämisen yhteydessä. Se tekee tiivistä yhteistyötä myös Euroopan unionin teollisoikeuksien viraston (EUIPO) kanssa esimerkiksi järjestämällä yhteisiä koulutuskursseja ja tiedotustapahtumia sekä lähettämällä asiantuntijoita.

(12)

EPOlla on lisäksi sopimuksia useiden sellaisten unionissa sijaitsevien palveluntarjoajien kanssa, jotka toimivat asetuksen (EU) 2016/679 4 artiklan 8 kohdassa tarkoitettuina henkilötietojen käsittelijöinä ja siirtävät henkilötietoja EPOlle.

(13)

EPOn toimintaa sääntelevä primaarilainsäädäntö vahvistetaan kansainvälisessä sopimuksessa eli Euroopan patenttisopimuksessa sekä – tapauksissa, joissa EPO toimii patenttiyhteistyösopimuksen nojalla – patenttiyhteistyösopimuksessa. EPOon sovellettavien normien hierarkian toisella tasolla ovat hallintoneuvoston tai patenttiyhteistyösopimuksen osalta patenttiyhteistyösopimuksen yleiskokouksen hyväksymät oikeudelliset asiakirjat. EPOn johdettuun oikeuteen sisältyvät Euroopan patenttisopimuksen soveltamismääräykset ja niin kutsutut palvelussäännöt (joilla säännellään EPOn henkilöstöön liittyviä näkökohtia, kuten henkilöstön oikeuksia ja velvollisuuksia) (26). Oikeus henkilötietojen suojaan vahvistetaan palvelussääntöjen 1B artiklassa (27). Se sisältää myös EPOn tietosuojakehyksen keskeisiä säännöksiä, jotka koskevat tietosuojakehyksen soveltamisalaa, erityisten tietoryhmien suojaa ja yksilön oikeuksien käyttöä. Palvelussääntöjen 2 artiklan 1 kohdassa ja 32A artiklassa säädetään riippumattomien valvontaelinten (tietosuojavastaavan ja tietosuojalautakunnan) perustamisesta valvomaan tietosuojasääntöjen noudattamista (28).

(14)

Samoja henkilötietojen suojaa koskevia aineellisia vaatimuksia sovelletaan hallintoneuvostoon ja Euroopan patenttivirastoon sekä niiden kaikkiin osastoihin. Henkilötietojen käsittelyä Euroopan patenttivirastossa säännellään erityisesti hallintoneuvoston antamissa Euroopan patenttiviraston henkilötietojen suojaan liittyvissä vakinaisten työntekijöiden ja muiden työntekijöiden palvelussääntöjen 1B ja 32A artiklan soveltamissäännöissä (29), jäljempänä ’tietosuojasäännöt’. Hallintoneuvoston harjoittamaan henkilötietojen käsittelyyn sovelletaan hallintoneuvoston tietosuojasääntöjä (30), joissa puolestaan sovelletaan edellä mainittuja tietosuojasääntöjä soveltuvin osin. Kun tässä päätöksessä viitataan tietosuojasääntöihin, viittaukset kattavat vastaavat hallintoneuvostoon sekä sen sihteeristöön ja komiteoihin sovellettavat vaatimukset. Tietosuojasääntöjen rakenne ja sisältö ovat lähellä unionin tietosuojakehyksen rakennetta ja sisältöä (31). Niissä on paljon yhteistä erityisesti Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (32) kanssa, jossa vahvistetaan unionin toimielinten ja elinten tietosuojavaatimukset. Se on näin ollen hyvin yhteensopiva kansainvälisten organisaatioiden rakenteen ja ominaisuuksien kanssa ja vastaa läheisesti myös asetusta (EU) 2016/679.

(15)

Euroopan patenttiviraston harjoittamaan tietojen käsittelyyn sovellettavia oikeudellisesti sitovia välineitä ovat myös pääjohtajan antamat yleiskirjeet, päätökset ja sisäiset hallinnolliset ohjeet (33). Tietosuojasääntöjä on täydennetty erityisesti henkilötietojen käsittelystä patenttien myöntämisessä ja siihen liittyvissä menettelyissä 13. joulukuuta 2021 annetulla pääjohtajan päätöksellä (34) (henkilötietojen käsittelystä patenttien myöntämisessä tehty päätös), henkilötietojen käsittelystä yhtenäispatentteihin liittyvissä menettelyissä 7. joulukuuta 2022 annetulla päätöksellä (35) (henkilötietojen käsittelystä yhtenäispatenttien yhteydessä tehty päätös), riittävän henkilötietojen suojan tason tarjoavista maista ja tahoista 17. marraskuuta 2022 annetulla päätöksellä (36), valtuutettuina rekisterinpitäjinä toimivien Euroopan patenttiviraston toimintayksikköjen määrittämisestä 2. toukokuuta 2024 annetulla päätöksellä (37) ja yleiskirjeellä nro 420 (38), jolla pannaan täytäntöön tietosuojasääntöjen 25 artikla rekisteröityjen oikeuksiin kohdistuvista rajoituksista (yleiskirje 420). Erityisesti patenttien myöntämismenettelyn yhteydessä suoritettavassa tietojen käsittelyssä on tärkeää huomata, että Euroopan patenttisopimuksessa ja patenttiyhteistyösopimuksessa suoraan määrätyt henkilötietojen käsittelyä koskevat vaatimukset ovat ensisijaisia tietosuojasääntöihin nähden. Euroopan patenttisopimuksen ja patenttiyhteistyösopimuksen vuorovaikutusta tietosuojasääntöjen kanssa selvennetään henkilötietojen käsittelystä patenttien myöntämisessä tehdyssä päätöksessä (39) ja henkilötietojen käsittelystä yhtenäispatenttien yhteydessä tehdyssä päätöksessä. Euroopan patenttisopimuksesta ja patenttiyhteistyösopimuksesta suoraan johtuvia nimenomaisia tietosuojavaatimuksia arvioidaan johdanto-osan 55–59 kappaleessa. Tietosuojasäännöt ja niitä täydentävät välineet ovat oikeudellisesti sitovia ja täytäntöönpanokelpoisia, ja yksilöt voivat vedota niihin riippumattomissa muutoksenhakuelimissä, kuten johdanto-osan 89–96 kappaleessa kuvataan.

(16)

Johdanto-osan 15 kappaleessa mainituissa säädöksissä vahvistetut säännöt siirretään käytäntöön tietosuojavastaavan antamilla välineillä (ks. johdanto-osan 83–88 kappale) (40), joita sovelletaan hallintoneuvostoon ja Euroopan patenttivirastoon sekä kaikkiin niiden osastoihin (41).

(17)

Tietosuojasääntöjen ja palvelussääntöjen (42) mukaan kaikkien EPOn työntekijöiden on noudatettava tietosuojasääntöjä henkilötietoja käsitellessään. Tietosuojasääntöjen aineellinen ja henkilöllinen soveltamisala määräytyy seuraavien säännöissä määriteltyjen käsitteiden perusteella: henkilötiedot, käsittely, rekisterinpitäjä, valtuutettu rekisterinpitäjä ja henkilötietojen käsittelijä.

(18)

Tietosuojasäännöissä vahvistetut ’henkilötietojen’ ja ’käsittelyn’ määritelmät vastaavat täysin asetuksessa (EU) 2016/679 vahvistettuja määritelmiä (43). Tietosuojasääntöjä sovelletaan kaikkeen EPOn suorittamaan henkilötietojen käsittelyyn riippumatta siitä, käsitelläänkö järjestön omien työntekijöiden henkilötietoja vai muiden tietoja (44). Myös pseudonymisoituja (45) tietoja pidetään henkilötietoina. Sitä vastoin kuolleiden henkilöiden tai oikeushenkilöiden tietoja taikka anonyymeja tietoja (46) ei tietosuojasääntöjen (47) nojalla pidetä henkilötietoina.

(19)

Tietosuojasääntöjä sovelletaan EPOn suorittamaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin (48) osan tai joiden on tarkoitus muodostaa rekisterin osa.

(20)

Tietosuojasäännöissä ’rekisterinpitäjä’ määritellään ”tahoksi – jolla tarkoitetaan Euroopan patenttivirastoa – joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot” (49). Patenttiviraston suorittamien tietojenkäsittelytoimien rekisterinpitäjänä toimii periaatteessa pääjohtaja (50). Sama koskee hallintoneuvostoa (jossa rekisterinpitäjänä toimii puheenjohtaja), lainkäyttötehtävissä toimivia valituslautakuntia (joissa rekisterinpitäjänä toimii niiden puheenjohtaja (51)) ja erityisvaliokuntaa (jossa rekisterinpitäjänä toimii puheenjohtaja (52)). Rekisterinpitäjä voi siirtää toimivallan toimintayksiköille, joiden edustajana toimii ylemmän johdon tason johtaja (53). Tällöin toimintayksiköt toimivat valtuutettuina rekisterinpitäjinä (54), jotka määrittelevät käsittelyn tarkoituksen (esimerkiksi syyn, perustelut ja liiketoimintatarpeet) ja käsittelytoimen keinot sekä varmistavat, että kaikki käsittelytoimet, joihin liittyy henkilötietojen käsittelyä, ovat tietosuojasääntöjen mukaisia (55). Tällaisissa tapauksissa rekisterinpitäjä on edelleen vastuussa henkilötietojen käsittelystä. Tietosuojasäännöissä säädetään myös yhteistä rekisterinpitoa koskevasta skenaariosta, ”jos rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot yhdessä yhden tai useamman muun EPOn ulkopuolisen rekisterinpitäjän kanssa” (56).

(21)

Tietosuojasäännöissä vahvistettu ’henkilötietojen käsittelijän’ määritelmä on sama kuin asetuksen (EU) 2016/679 4 artiklan 8 kohdassa, eli sillä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun (57). Rekisterinpitäjä saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä, jotka antavat takeet siitä, että ne toteuttavat riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää tietosuojasääntöjen vaatimukset (58). Rekisterinpitäjän ja henkilötietojen käsittelijän välinen suhde on määritettävä sopimuksella tai oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijää ja jossa muun muassa vahvistetaan käsittelyn kohde, kesto, luonne ja tarkoitus (59). Henkilötietojen käsittelijä saa käsitellä tietoja vain rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti. Henkilötietojen käsittelijän on avustettava rekisterinpitäjää tietosuojasääntöjen mukaisten velvoitteiden täyttämisessä. Henkilötietojen käsittelijä ei saa käyttää alikäsittelijöitä ilman rekisterinpitäjän antamaa ennakkolupaa (60). Valtuutettuja rekisterinpitäjiä varten on saatavilla vakiomuotoinen tietojenkäsittelysopimus (61). Jos henkilötietojen käsittelijä sijaitsee kolmannessa maassa, henkilötietojen jakamisessa kyseisen henkilötietojen käsittelijän kanssa on noudatettava myös tietosuojasäännöissä vahvistettuja kansainvälisiin siirtoihin sovellettavia vaatimuksia (62), kuten tämän päätöksen johdanto-osan 68–73 kappaleessa kuvataan.

(22)

Henkilötietojen käsittelyn olisi oltava lainmukaista ja asianmukaista.

(23)

Nämä yleisperiaatteet vahvistetaan tietosuojasääntöjen 4 artiklan 2 kohdan a alakohdassa tavalla, jonka voidaan katsoa vastaavan täysin asetuksen (EU) 2016/679 5 artiklan 1 kohdan a alakohtaa.

(24)

Lainmukaisuusperiaatetta tarkennetaan tietosuojasääntöjen 5 artiklassa, jossa luetellaan oikeusperustat, joiden perusteella henkilötietoja voidaan käsitellä. Nämä oikeusperustat ovat a) tarve suorittaa tehtävä EPOn virallisen toiminnan harjoittamiseksi (63) tai rekisterinpitäjälle kuuluvan julkisen vallan perustelluksi käyttämiseksi, mikä sisältää Euroopan patenttiviraston hallinnon ja toiminnan kannalta välttämättömän käsittelyn (64), b) tarve noudattaa rekisterinpitäjää koskevaa lakisääteistä velvoitetta (esimerkiksi julkaista tietoja, jotka mainitaan eurooppapatenttirekisteriin tehtävässä patenttihakemuksessa) (65), c) tarve panna täytäntöön sopimus, jossa rekisteröity on osapuolena, tai toteuttaa sopimuksen tekemistä edeltäviä toimenpiteitä rekisteröidyn pyynnöstä, d) rekisteröidyn suostumus, tai e) tarve suojata rekisteröidyn tai toisen luonnollisen henkilön elintärkeitä etuja.

(25)

Suostumus on määritelty tietosuojasäännöissä samalla tavalla kuin asetuksessa (EU) 2016/679, eli sillä tarkoitetaan ”mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen” (66). Rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksensa (67). Arvioitaessa suostumuksen vapaaehtoisuutta olisi otettava huomioon se, onko sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten tietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten (68). Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta tai jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa (69). Lisäksi tietosuojasäännöissä edellytetään, että tietoisen suostumuksen antamiseksi rekisteröidyn on tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä (70). Rekisteröidyllä on myös oikeus peruuttaa suostumuksensa milloin tahansa (71).

(26)

Erityisiä tietoryhmiä käsiteltäessä olisi sovellettava erityisiä suojatoimia.

(27)

Tietosuojasäännöissä vahvistetaan käsittelysäännöt erityisille henkilötietoryhmille (72), jotka on määritelty samalla tavalla kuin asetuksessa (EU) 2016/679, eli niillä tarkoitetaan ”tietoja, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisiä tietoja (73), biometrisiä tietoja (74) henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevia tietoja (75) taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevia tietoja (76)”. Tietosuojasääntöjen mukaan erityisten tietoryhmien käsittely on periaatteessa kielletty, ellei asiassa sovelleta jotakin poikkeusta (77).

(28)

Tietosuojasääntöjen 11 artiklan 2 kohdassa luetellut nimenomaiset poikkeukset ovat samankaltaisia kuin asetuksen (EU) 2016/679 9 artiklan 2 ja 3 kohdassa vahvistetut poikkeukset. Niihin on kuitenkin tehty muutamia mukautuksia EPOn oikeudellisen kehyksen mukaisesti. Erityisten henkilötietoryhmien käsittely on sallittu vain tietyissä ja rajoitetuissa olosuhteissa (78): kun 1) rekisteröity on antanut nimenomaisen suostumuksensa, 2) käsittely on tarpeen henkilön elintärkeiden etujen suojaamiseksi (jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan), 3) rekisteröity on selvästi julkistanut henkilötietonsa, 4) käsittely on tarpeen tiettyä EPOn virallisen toiminnan harjoittamiseen liittyvää tarkoitusta tai rekisterinpitäjälle annetun julkisen vallan oikeutettua käyttämistä varten (79), tai 5) käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

(29)

Johdanto-osan 27 kappaleessa tarkoitettujen erityisten henkilötietoryhmien lisäksi tietosuojasäännöissä edellytetään erityisiä suojatoimia rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelyssä. Näiden tietojen käsittely sallitaan vasta tietosuojalautakunnan ennakkokuulemisen jälkeen tai jos käsittelyä edellytetään oikeudellisesti sitovassa välineessä, jossa säädetään asianmukaisista yksilöiden oikeuksia ja vapauksia koskevista suojatoimista (80).

(30)

Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa.

(31)

Tämä periaate varmistetaan tietosuojasääntöjen 4 artiklan 2 kohdan b alakohdassa, jonka mukaan henkilötiedot on ”kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla”.

(32)

Samoin kuin asetuksessa (EU) 2016/679 tietosuojasäännöissä sallitaan myöhempi käsittely (riippumatta siitä, onko myöhemmän käsittelyn tarkoitus yhteensopiva alkuperäisen tarkoituksen kanssa) rekisteröidyn nimenomaisen suostumuksen tai EPOn sovellettavien säännösten perusteella (81). Jälkimmäisessä tapauksessa tietosuojasäännöissä edellytetään, että käsittelyn on oltava välttämätön ja oikeasuhteinen toimenpide yleisen edun mukaisen tavoitteen (82) turvaamiseksi.

(33)

Jos myöhempi käsittely ei perustu näihin kahteen perustaan, tietosuojasäännöissä vahvistetaan tekijät, jotka on otettava huomioon arvioitaessa myöhemmän käsittelyn tarkoituksen yhteensopivuutta sen tarkoituksen kanssa, johon henkilötiedot oli alun perin kerätty (83). Tämä toimintatapa ja tietosuojasäännöissä luetellut tekijät ovat täysin samanlaiset kuin asetuksen (EU) 2016/679 6 artiklan 4 kohdassa ja asetuksen (EU) 2018/1725 6 artiklassa (84).

(34)

Henkilötietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

(35)

Nämä periaatteet vahvistetaan tietosuojasääntöjen 4 artiklan 2 kohdan c, d ja e alakohdassa samalla tavalla kuin asetuksessa (EU) 2016/679.

(36)

Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Näin ollen toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.

(37)

Tietoturva varmistetaan EPOn oikeudellisessa kehyksessä tietosuojasääntöjen 4 artiklan 2 kohdan f alakohdassa ja 33 artiklassa vahvistetulla eheyden ja luottamuksellisuuden periaatteella lähes samalla tavalla kuin asetuksessa (EU) 2016/679. Tietosuojasäännöissä edellytetään erityisesti, että riskiin nähden asianmukainen turvallisuustaso varmistetaan tarvittavilla teknisillä ja organisatorisilla toimenpiteillä ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä yksilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit.

(38)

Lisäksi tietosuojasäännöt sisältävät erityisiä vaatimuksia tietoturvaloukkauksen käsittelystä ja ilmoittamisesta (85). Rekisterinpitäjän on ensinnäkin ilmoitettava tietosuojavastaavalle tietoturvaloukkauksesta ilman aiheetonta viivytystä (mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta), paitsi jos loukkauksesta ei todennäköisesti aiheudu yksilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä (86). Henkilötietojen käsittelijän on samoin ilmoitettava tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä (87). Ilmoituksessa on erityisesti esitettävä tietoturvaloukkauksen luonne, todennäköiset seuraukset ja toimenpiteet, joita tietoturvaloukkauksen johdosta on ehdotettu tai toteutettu (88). Kun tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin yksilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta viipymättä myös rekisteröidylle (89). Rekisteröidylle annettavassa ilmoituksessa on kuvattava selkeällä, yksinkertaisella kielellä henkilötietojen tietoturvaloukkauksen luonne (90). Ilmoitusta ei edellytetä, jos rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että rekisteröityjen oikeuksiin ja vapauksiin kohdistuva korkea riski ei enää todennäköisesti toteudu (91).

(39)

Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.

(40)

Tietosuojasääntöjen mukaan rekisterinpitäjän on henkilötietoja saadessaan toimitettava rekisteröidylle tiedot erityisesti omasta henkilöllisyydestään ja yhteystiedoistaan (ja tietosuojavastaavan yhteystiedoista), käsittelyn tarkoituksesta ja oikeusperustasta, vastaanottajista tai vastaanottajaryhmistä, siitä, että se aikoo siirtää tiedot Euroopan patenttijärjestön ulkopuolelle, sekä sovellettavista oikeuksista ja muutoksenhakumahdollisuudesta (92). Sama pätee silloin, kun henkilötietoja käsitellään muuhun tarkoitukseen kuin siihen, jota varten ne oli kerätty (93). Molempia velvoitteita sovelletaan vain siltä osin kuin asianomaisella henkilöllä ei vielä ole näitä tietoja (94).

(41)

Samat tiedot on annettava rekisteröidyille silloin, kun henkilötietoja ei kerätä suoraan heiltä. Tällöin on edellä mainittujen tietojen lisäksi ilmoitettava lähde, josta henkilötiedot ovat peräisin, ja asianomaiset tietoryhmät (95). Tiedot on annettava kohtuullisen ajan kuluttua (mutta viimeistään kuukauden kuluessa) henkilötietojen saamisesta ottaen huomioon tietojen käsittelyyn liittyvät erityiset olosuhteet (96). Jos henkilötietoja käytetään yhteydenpitoon rekisteröidyn kanssa, samat tiedot olisi annettava viimeistään silloin, kun rekisteröityyn ollaan yhteydessä ensimmäisen kerran (97). Johdanto-osan 40 kappaleessa tarkoitetut tiedot on annettava ennen myöhempää käsittelyä tai – jos tiedot on tarkoitus luovuttaa toiselle vastaanottajalle – viimeistään silloin, kun ne luovutetaan ensimmäisen kerran (98). Tätä velvoitetta ei sovelleta tietyissä tapauksissa: silloin, kun rekisteröity on jo saanut kyseiset tiedot, kun tiedot on pidettävä luottamuksellisina, koska niitä koskee Euroopan patenttisopimukseen ja/tai muihin EPOon sovellettaviin säännöksiin perustuva vaitiolovelvollisuus (99), kun tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti jos käsittely tapahtuu yleisen edun mukaista arkistointia, tieteellistä tai historiallista tutkimusta tai tilastointia varten, niiltä osin kuin se todennäköisesti estäisi näiden tarkoitusten saavuttamisen tai vaikeuttaisi sitä suuresti tai kun tällaisten tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti Euroopan patenttisopimuksessa tai muissa sovellettavissa säännöksissä, joissa vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi (100).

(42)

Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi. Toisaalta näitä oikeuksia voidaan rajoittaa siltä osin kuin rajoitukset ovat tarpeen ja oikeasuhteisia yleisen edun mukaisten tärkeiden tavoitteiden turvaamiseksi.

(43)

Palvelussääntöjen 1B artiklan 4 kohdassa vahvistetaan, että yksilöiden mahdollisuutta käyttää oikeuksiaan on tarpeen helpottaa. Tämän vaatimuksen täytäntöönpanemiseksi tietosuojasäännöissä annetaan yksilöille samat oikeudet kuin asetuksessa (EU) 2016/679 eli oikeus saada tutustua tietoihin (tietosuojasääntöjen 18 artikla), oikeus tietojen oikaisemiseen (tietosuojasääntöjen 19 artikla), oikeus tietojen poistamiseen (tietosuojasääntöjen 20 artikla), oikeus käsittelyn rajoittamiseen (tietosuojasääntöjen 21 artikla), oikeus siirtää tiedot järjestelmästä toiseen (tietosuojasääntöjen 22 artikla), oikeus vastustaa tietojen käsittelyä (tietosuojasääntöjen 23 artikla) ja oikeus olla joutumatta automaattisen päätöksenteon kohteeksi (tietosuojasääntöjen 24 artikla).

(44)

Tietosuojasäännöissä vahvistetaan myös yleisiä säännöksiä, jotka koskevat yksilöiden tekemien, oikeuksien käyttämistä koskevien pyyntöjen käsittelyä. Säännöksissä edellytetään, että rekisterinpitäjä on yhteydessä rekisteröityihin selkeällä, yksinkertaisella kielellä tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa (kirjallisesti tai muulla tavoin) (101). Rekisterinpitäjän on toimitettava henkilöille tietoja pyynnön johdosta toteutetuista toimenpiteistä ilman aiheetonta viivytystä, joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta (määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella, jos se on tarpeen pyyntöjen monimutkaisuuden ja määrän vuoksi) (102). Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, rekisterinpitäjä voi kieltäytyä suorittamasta pyydettyä toimea (103). Jos rekisterinpitäjä ei noudata pyyntöä, sen on ilmoitettava asiasta kyseiselle henkilölle ja annettava tietoa muutoksenhakumahdollisuudesta (104).

(45)

Ensinnäkin tietosuojasäännöissä annetaan tiedonsaantioikeuden osalta yksilölle oikeus saada EPOlta vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos henkilötietoja käsitellään, oikeus saada pääsy niihin helposti (105) ja kohtuullisin väliajoin (106). Lisäksi yksilöillä on oikeus saada tietoja erityisesti käsittelyn tarkoituksesta, asianomaisista tietoryhmistä, vastaanottajista, joille tietoja jaetaan, sekä tietojen suunnitellusta säilytysajasta (107).

(46)

Toiseksi tietosuojasäännöissä vahvistettu oikeus tietojen oikaisemiseen antaa yksilöille mahdollisuuden oikaista virheellisiä tietoja tai täydentää puutteellisia tietoja (esimerkiksi toimittamalla lisäselvityksen) (108). Kun tietoja oikaistaan, rekisterinpitäjän on tiedotettava siitä jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu (109). Tietosuojasääntöjen mukaan oikeutta tietojen oikaisemiseen sovelletaan objektiivisiin ja tosiasioihin perustuviin tietoihin, ei subjektiivisiin lausuntoihin (110). Jälkimmäisessä tapauksessa yksilöt saavat kuitenkin täydentää olemassa olevia tietoja toisella lausunnolla tai asiantuntijalausunnolla taikka esittää huomautuksia (111).

(47)

Kolmanneksi tietosuojasäännöissä vahvistetaan yksilöiden oikeus tietojen poistamiseen (112) erityisesti, jos a) henkilötietoja ei enää tarvita siihen tarkoitukseen, jota varten niitä käsitellään, b) rekisteröity peruuttaa suostumuksensa eikä käsittelyyn ole muuta oikeusperustetta, c) rekisteröity vastustaa käsittelyä eikä käsittelyyn ole olemassa perusteltua syytä, d) tietoja on käsitelty lainvastaisesti tai e) tiedot on poistettava rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi (113). Rekisterinpitäjän on ilmoitettava kaikenlaisista poistoista jokaiselle vastaanottajalle, jolle henkilötietoja on jaettu, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa (114). Vastaavasti jos rekisterinpitäjä on julkistanut henkilötiedot, sen on toteutettava kohtuulliset toimenpiteet ilmoittaakseen muille henkilötietoja käsitteleville rekisterinpitäjille, että henkilö on pyytänyt tietojensa poistamista (115). Oikeutta tietojen poistamiseen ei sovelleta seuraavissa skenaarioissa siltä osin kuin tietojen käsittely on tarpeen a) sananvapautta ja tiedonvälityksen vapautta koskevan oikeuden käyttämiseksi, b) EPOn lakisääteisen velvoitteen tai EPOn yhteistyövelvollisuudesta sopimusvaltioita kohtaan johtuvan velvoitteen noudattamiseksi (116) tai EPOlle kuuluvan julkisen vallan käyttämiseksi (117), c) syistä, jotka liittyvät sopimusvaltioiden kanssa tehtävään yhteistyöhön kansanterveyden alalla (118), d) arkistointia, tieteellistä tai historiallista tutkimusta ja tilastointia varten (siltä osin kuin poistaminen todennäköisesti estäisi käsittelyn tarkoitusten saavuttamisen tai vaikeuttaisi sitä suuresti) tai e) oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi (119).

(48)

Neljänneksi tietosuojasääntöjen 21 artiklassa vahvistetaan oikeus rajoittaa käsittelyä eli merkitä henkilötiedot tarkoituksena rajoittaa niiden myöhempää käsittelyä (mukaan lukien ohjelmointitoimenpiteet, joilla estetään pysyvästi pääsy tällaisiin tietoihin) (120). Tähän oikeuteen voidaan vedota erityisesti silloin, kun henkilö kiistää henkilötietojensa paikkansapitävyyden (ajaksi, jonka rekisterinpitäjä tarvitsee tietojen paikkansapitävyyden varmistamiseksi), tai kun käsittely on lainvastaista mutta henkilö vastustaa tietojensa poistamista (121). Jos käsittelyä on rajoitettu, henkilötietoja saa, säilyttämistä lukuun ottamatta, käsitellä ainoastaan rekisteröidyn suostumuksella, oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi, toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai EPOn virallisen toiminnan harjoittamisen yhteydessä suoritettavan tehtävän toteuttamiseksi (eli tehtävän, joka EPOn on suoritettava Euroopan patenttisopimuksen mukaista hallinnollista ja teknistä työtä varten) (122).

(49)

Viidenneksi palvelussääntöjen 1B artiklan 4 kohdassa ja tietosuojasääntöjen 23 artiklassa vahvistetaan oikeus vastustaa tietojen käsittelyä. Yksilöllä on erityinen oikeus milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä EPOn virallisen toiminnan harjoittamiseen tai rekisterinpitäjälle kuuluvan julkisen vallan perusteltuun käyttämiseen liittyvän tehtävän suorittamiseksi (123). Yksilöille on ilmoitettava tästä oikeudesta selkeästi viimeistään silloin, kun heihin ollaan yhteydessä ensimmäisen kerran (124). Jos yksilö vastustaa henkilötietojensa käsittelyä, tietosuojasäännöissä edellytetään, että rekisterinpitäjä lopettaa käsittelyn, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet, tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi (125).

(50)

Kuudenneksi tietosuojasäännöissä vahvistetaan oikeus siirtää tiedot järjestelmästä toiseen, minkä myötä yksilöille annetaan mahdollisuus saada henkilötietonsa jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ja siirtää ne toiselle rekisterinpitäjälle (126). Tätä oikeutta sovelletaan, jos käsittely suoritetaan automaattisesti ja yksilön suostumuksen perusteella tai yksilön kanssa tehdyn tai hänen etujensa mukaisen sopimuksen täytäntöönpanoa varten (127).

(51)

Lisäksi yksilöillä on tietosuojasääntöjen nojalla oikeus olla joutumatta automaattisen päätöksenteon kohteeksi eli sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi (128). Tietosuojasäännöissä vahvistetaan, että automaattista päätöksentekoa voidaan käyttää, jos se perustuu rekisteröidyn nimenomaiseen suostumukseen tai on välttämätöntä kyseisen henkilön kanssa tehtävän sopimuksen tekemistä tai täytäntöönpanoa varten. Tällöin rekisterinpitäjän on toteutettava asianmukaiset suojatoimet, kuten tarjottava oikeus vaatia ihmisen osallistumista päätöksentekoon, ilmaista yksilön näkökanta ja riitauttaa päätös (129). Automaattinen päätöksenteko voidaan sallia myös oikeudellisella asiakirjalla, jos siinä säädetään soveltuvista toimenpiteistä yksilön oikeuksien turvaamiseksi (130). Jos rekisterinpitäjä käyttää automaattista päätöksentekoa, kuten profilointia, sen on ilmoitettava asiasta proaktiivisesti yksilölle osana läpinäkyvyysvelvoitteitaan ja annettava merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyydestä ja mahdollisista seurauksista rekisteröidylle (131). Samat tiedot on toimitettava pyynnöstä (132).

(52)

Samoin kuin asetuksen (EU) 2016/679 23 artiklassa ja asetuksen (EU) 2018/1725 25 artiklassa myös tietosuojasääntöjen 25 artiklassa määrätään, että EPOn oikeudellisen kehyksen tietyillä säännöksillä voidaan rajoittaa johdanto-osan 43–51 kappaleessa tarkoitettujen oikeuksien soveltamisalaa (133) (eli rajoittaa niiden soveltamista väliaikaisesti) (134), jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia (135) ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide tiettyjen tavoitteiden (136) takaamiseksi. Lisäksi rajoituksesta on säädettävä ”selvissä ja täsmällisissä” säännöksissä, joiden tarkoituksena on tuottaa rekisteröityihin kohdistuvia oikeusvaikutuksia ja jotka on hyväksyttävä vähintään pääjohtajan tasolla (137). Tällaisissa säännöksissä on määritettävä erityisesti käsittelyn tarkoitus, rajoituksen soveltamisala, suojatoimet, joilla estetään väärinkäyttö, säilytysajat ja sovellettavat suojatoimet (138).

(53)

Tällä hetkellä ainoa säädös, jossa asetetaan yksilöiden oikeuksiin kohdistuvia rajoituksia, on yleiskirje 420 (joka on pääjohtajan hyväksymä oikeudellisesti sitova väline). Siinä selvennetään, miten ja minkä edellytysten täyttyessä rekisterinpitäjä voi soveltaa rajoituksia, sekä määritetään tyhjentävästi skenaariot, joissa oikeuksia voidaan rajoittaa, ja tavoitteet, joita varten oikeuksia voidaan rajoittaa (139). Siinä säädetään erityisesti, että EPO voi rajoittaa yksilön oikeuksia seuraavia erityistavoitteita varten: a) ja b) toteutettaessa henkilöstöön liittyviä tutkinta- tai kurinpitomenettelyjä (140), c) sisäisen riitojenratkaisun yhteydessä tai oikeusvaateen laatimisen, esittämisen tai puolustamisen yhteydessä, välimiesmenettely mukaan luettuna, osapuolilta, väliintulijoilta tai muista asianmukaisista lähteistä saatujen luottamuksellisten tietojen ja asiakirjojen suojaamiseksi, d) käsiteltäessä lääketieteellisiin toimenpiteisiin ja asiakirjoihin liittyviä terveystietoja, mutta vain yksilöiden oikeuksien suojelemiseksi (141), e) ja f) suoritettaessa sisäisiä tarkastuksia ja tutkimuksia (jälkimmäisiä suorittaa tietosuojavastaava), g) tietotekniikan häiriötilanteiden hallintaa ja fyysisen turvallisuuden poikkeamaraportteja varten ja h) annettaessa apua toimivaltaisille viranomaisille, mukaan lukien EPOn sopimusvaltiot ja kansainväliset järjestöt, tai saataessa niiltä apua tai tehtäessä niiden kanssa yhteistyötä asiaankuuluvissa palvelutasosopimuksissa, yhteisymmärryspöytäkirjoissa ja yhteistyösopimuksissa määritetyissä toimissa joko niiden pyynnöstä tai Euroopan patenttiviraston omasta aloitteesta (142).

(54)

Rekisterinpitäjä määrittää, voidaanko rajoitusta soveltaa tietyssä tapauksessa siihen liittyvien olosuhteiden perusteella (143). Rekisterinpitäjän on rajoituksen soveltamisesta päättäessään ensin arvioitava rajoituksen välttämättömyyttä ja oikeasuhteisuutta kyseisessä tapauksessa tietosuojavastaavan mukana ollessa (144). Arvioinnissa punnitaan rekisteröidyn oikeuksiin ja vapauksiin mahdollisesti kohdistuvia riskejä suhteessa muihin rekisteröityihin kohdistuviin riskeihin ja heidän vapauksiinsa sekä riskeihin, jotka liittyvät käsittelytoimen tarkoituksen ja tuloksen estämiseen (145). Rajoitukset on dokumentoitava muun muassa kirjaamalla rajoitettujen oikeuksien arviointi, kesto, syyt ja perusteet (146). Lisäksi on toteutettava tarvittavia teknisiä ja organisatorisia toimenpiteitä (147) niin kauan kuin rajoitusta sovelletaan. Rajoitusta voidaan soveltaa vain niin kauan kuin rajoituksen syyt ovat olemassa (148). Jos jotakin oikeutta rajoitetaan, rekisterinpitäjän on ilmoitettava yksilölle tärkeimmistä syistä siihen ja oikeudesta tehdä valitus (149).

(55)

EPOn perustamissopimuksen (eli Euroopan patenttisopimuksen) ja patenttiyhteistyösopimuksen määräykset sekä niiden nojalla sovellettavat määräykset (jotka kaikki muodostavat EPOn primaarilainsäädännön) sisältävät patenttien myöntämismenettelyn yhteydessä sovellettavia erityisiä vaatimuksia, jotka voivat vaikuttaa tietosuojasääntöjen mukaisten tiettyjen oikeuksien käyttämiseen (150). Henkilötietojen käsittelystä patenttien myöntämisessä tehdyssä päätöksessä esitetään yhteenveto näistä primaarilainsäädännön vaatimuksista, selitetään, miten rekisteröity voi käyttää oikeuksiaan kyseisessä asiayhteydessä, ja määritetään selvästi mahdolliset poikkeukset (151). Yleiskirjeessä 420 vahvistetaan, että niissä säännöksissä, jotka saattavat rajoittaa tietosuojaoikeuksien soveltamista, on määritettävä selvästi mahdollisen poikkeuksen soveltamisala ja näin ollen tasapainotettava erilaiset asiaan liittyvät edut (152).

(56)

Euroopan patenttiviraston on ensinnäkin Euroopan patenttisopimuksen 127 artiklan nojalla ylläpidettävä eurooppapatenttirekisteriä, jossa julkaistaan eräät lakisääteisesti määritellyt henkilötiedot. Primaarilainsäädännön mukaisesti patenttihakemukset on julkaistava patenttien myöntämismenettelyn aikana, yleensä mahdollisimman pian hakemuksen jättämispäivää seuraavan 18 kuukauden ajanjakson päättymisen jälkeen. Euroopan patenttisopimuksessa määrätään, että patenttihakemuksiin sisältyviin henkilötietoihin voidaan tutustua joko pyytämällä pääsyä asiakirjoihin tai rekisteriin (153). Patenttihakemukset eivät ole ennen julkaisemistaan yleisön saatavissa ilman hakijan nimenomaista suostumusta. Vastaavat säännöt vahvistetaan patenttiyhteistyösopimuksessa (154).

(57)

Toiseksi Euroopan patenttisopimuksessa määrätään nimenomaisesti mahdollisuudesta tehdä muutoksia patenttien myöntämismenettelyn yhteydessä käytettyihin tietoihin (155). Euroopan patenttisopimuksessa annetaan vain mahdollisuus korjata EPOon toimitetuissa asiakirjoissa olevia virheitä (156), päätöksissä olevia virheitä (157) ja käännöksiä (158) sekä oikaista keksijän nimeäminen (159). Patenttien myöntämismenettelyssä käytettäviin asiakirjoihin sisältyviä henkilötietoja voidaan näin ollen oikaista vain kyseisissä tapauksissa. Sama koskee mahdollisuutta rajoittaa tietojen käsittelyä (160).

(58)

Kolmanneksi Euroopan patenttisopimuksessa määrätään nimenomaisista säilytys- ja julkaisuvaatimuksista, joita sovelletaan patenttien myöntämismenettelyssä käytettäviin tiettyihin asiakirjoihin ja joilla on vaikutus mahdollisuuteen saada niihin sisältyviä tietoja, myös henkilötietoja, poistetuiksi (161). Erityisesti julkaistut patenttihakemukset ja Euroopan patenttilehdessä julkaistut patenttitiedot on säilytettävä ja pidettävä julkisesti saatavilla (162). Sen vuoksi näihin asiakirjoihin sisältyvien henkilötietojen poistaminen olisi vastoin EPOn perustavanlaatuisia oikeudellisia velvoitteita (Euroopan patenttisopimuksen 129 artiklan a alakohta), eikä sitä voida sallia. EPOn on säilytettävä muita asiakirjoja Euroopan patenttisopimuksessa määrätty aika, joka on periaatteessa viisi vuotta (163). Tämän ajanjakson aikana kyseisiin asiakirjoihin sisältyviä tietoja (henkilötiedot mukaan luettuina) ei saada poistetuiksi.

(59)

Kun otetaan erityisesti huomioon johdanto-osan 55–58 kappaleessa tarkoitetuista säännöksistä johtuvien oikeuksien käyttöä koskevien rajoitusten rajallinen soveltamisala ja soveltamisehdot, näiden rajoitusten voidaan katsoa rajoittuvan siihen, mikä on tarpeen ja oikeasuhteista patenttien myöntämismenettelyn moitteettoman toiminnan varmistamiseksi, kuten yleinen etu EPOn virallisten tehtävien hoitamiseksi edellyttää. Siltä osin kuin Euroopan patenttisopimuksessa ja patenttiyhteistyösopimuksessa ei nimenomaisesti määrätä tietosuojaoikeuksien käytöstä – eli kaikissa muissa kuin johdanto-osan 55–58 kappaleessa kuvailluissa skenaarioissa – sovelletaan kokonaisuudessaan tietosuojasääntöjen vaatimuksia.

(60)

Unionista EPOlle siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä tietoja edelleen kolmannessa maassa tai muussa kansainvälisessä järjestössä sijaitseville vastaanottajille.

(61)

Tietosuojasäännöissä erotetaan toisistaan ’henkilötietojen välitys’ (EPOn tiedonvaihto sopimusvaltioiden kanssa) ja ’henkilötietojen siirto’ (EPOn tiedonvaihto EPOn ulkopuolisten muiden henkilöiden tai elinten kanssa) (164).

(62)

Tietosuojasäännöissä ensinnäkin määrätään, että tietoja voidaan välittää EPOn sopimusvaltion kansalliseen teollisoikeuksien virastoon, jos a) tiedot ovat tarpeen vastaanottajan toimivallan tai julkisen vallan käyttämistä varten ja b) tietojen toimittaminen on tarpeen EPOn virallisten tehtävien tai vallan käyttämistä varten (165). Tällainen tiedonvälitys toteutetaan Euroopan patenttisopimuksen ja patenttiyhteistyösopimuksen mukaisen patenttien myöntämismenettelyn yhteydessä (166).

(63)

Toiseksi tietosuojasäännöissä sallitaan tiedonvälitys EPOn sopimusvaltion viranomaiselle (167), kun tiedot ovat tarpeen kyseisen viranomaisen tehtävien hoitamiseksi ja tiedonvälitys on EPOn tehtävien ja toiminnan mukaista (168). Tällaista tiedonvälitystä ei nimenomaisesti edellytetä Euroopan patenttisopimuksen tai patenttien myöntämismenettelyyn sovellettavien muiden säädösten nojalla, mutta se saattaa silti olla tarpeen EPOn tehtävien hoitamiseksi. Esimerkkejä tästä ovat EPOn yhteistyö sopimusvaltioiden kanssa kuulemismenettelyjen kautta, asiantuntijoiden lyhyt- tai pitkäkestoinen lähettäminen sekä tietojen antaminen EPOn henkilöstöstä esimerkiksi sosiaalietuuksien tai verovaatimusten määrittämiseksi.

(64)

Tietosuojavastaava on laatinut vakiolausekkeita, jotka on tarkoitus sisällyttää tällaista johdanto-osan 62 ja 63 kappaleessa kuvailtua tiedonvälitystä koskeviin yhteisymmärryspöytäkirjoihin. Niissä muun muassa säädetään tietosuojaperiaatteista, rajoitetaan myöhempi käsittely vain yhteensopiviin tarkoituksiin sekä säädetään rekisteröidyn oikeuksista, tietoturvaa ja tietoturvaloukkauksia koskevista velvoitteista ja riippumattomasta valvonnasta (169).

(65)

Molemmissa johdanto-osan 62 ja 63 kappaleessa kuvailluissa skenaarioissa vastaanottajan on tietosuojasääntöjen mukaisesti esitettävä näyttöä siitä, että tiedot on tarpeen toimittaa sellaista tiettyä tarkoitusta varten, joka johtuu EPOn yhteistyövelvoitteista sopimusvaltiota tai -valtioita kohtaan (170). Rekisterinpitäjän on pystyttävä osoittamaan kunkin tiedonvälityksen osalta, että tietojen välittäminen on tarpeen ja oikeasuhteista siihen tarkoitukseen nähden, jota varten tiedot jaetaan (171). Tietojen toimittamisessa on aina varmistettava tietosuoja-asetuksen tarjoaman suojan tason säilyminen (172). Tietosuojavastaavan antamien ohjeiden mukaan tämä tarkoittaa, että käytössä on oltava asianmukaiset suojatoimet muun muassa sen varmistamiseksi, että jaettavat tiedot on minimoitu ja rajoitettu siihen, mikä on asianmukaista, olennaista ja ehdottoman välttämätöntä kyseisen tavoitteen saavuttamiseksi (173). Jos on syytä olettaa, että tietojen toimittaminen voi vaikuttaa asianomaisen henkilön oikeutettuihin etuihin, rekisterinpitäjän on asiaan liittyvät eri edut arvioituaan vahvistettava, että henkilötietojen välittäminen tätä nimenomaista tarkoitusta varten on oikeasuhteista (174).

(66)

Näiden kahden skenaarion osalta on myös tärkeää huomata, että kaikki EPOn sopimusvaltiot ovat Euroopan ihmisoikeussopimuksen sopimuspuolia, Euroopan ihmisoikeustuomioistuimen toimivallan alaisia ja yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen (Euroopan neuvoston sopimussarja ETS nro 108) sopimuspuolia.

(67)

Lisäksi tietosuojasäännöissä sallitaan tiedonvälitys Euroopan talousalueella sijaitsevalle henkilötietojen käsittelijälle edellyttäen, että sen yhteydessä varmistetaan tietosuojasäännöissä vahvistettujen henkilötietojen käsittelijöiden käyttöä koskevien vaatimusten noudattaminen (175).

(68)

Henkilötietojen jakamista muiden EPOn ulkopuolisten elinten kuin EPOn sopimusvaltioiden viranomaisten, kansallisten teollisoikeuksien virastojen tai Euroopan talousalueella sijaitsevien henkilötietojen käsittelijöiden kanssa pidetään henkilötietojen ”siirtämisenä”, johon sovelletaan tietosuojasääntöjen nojalla erityisiä vaatimuksia (176). Näitä vaatimuksia sovelletaan esimerkiksi tietojen vaihtamiseen Euroopan talousalueen ulkopuolella sijaitsevien henkilötietojen käsittelijöiden, sopimusvaltioissa tai niiden ulkopuolella sijaitsevien rekisterinpitäjien, muiden kuin sopimusvaltioiden viranomaisten ja muiden kansainvälisten järjestöjen kanssa. Tietosuojasäännöissä edellytetään yleisesti ottaen, että EPOn yksilöille takaaman suojan tasoa ei vaaranneta, kun tietoja siirretään kolmansille osapuolille (177). Tietosuojavastaavan ohjeiden mukaan kolmannen maan tai kansainvälisen järjestön takaaman siirrettyjen henkilötietojen suojan tason on ”pääosiltaan vastattava tietosuojasäännöissä taattua suojan tasoa” (178).

(69)

Tietosuojasääntöjen nojalla henkilötietoja voidaan siirtää EPOn ulkopuolelle ensinnäkin, jos maa, jossa vastaanottaja sijaitsee, tai kansainvälinen järjestö takaa riittävän suojan ja jos siirto tehdään yksinomaan sitä varten, että EPO voi hoitaa toimivaltaansa kuuluvia tehtäviä (179). Epäselvissä tapauksissa tietosuojan riittävyyttä koskevan päätöksen (180) tekee pääjohtaja kuultuaan ensin tietosuojavastaavaa ja tietosuojalautakuntaa (181). Tietosuojavastaava on laatinut tietosuojan riittävyyden viitearvot, joissa määritetään tietosuojan riittävyyttä koskevien päätösten kriteerit (182). Kolmannen maan tai kansainvälisen järjestön oikeudellisessa kehyksessä on erityisesti säädettävä keskeisistä tietosuojaperiaatteista, rekisteröityjen oikeuksista, tietojen edelleen siirtämistä koskevista säännöistä, menettely- ja täytäntöönpanomekanismeista sekä yksilöiden muutoksenhakukeinoista. Jos pääjohtaja on tehnyt tietosuojan riittävyyttä koskevan päätöksen, siirto voidaan tehdä toteuttamatta muita suojatoimia (183). EPO katsoo nykyisellään, että riittävän suojan tarjoavat jäsenvaltiot, Norja, Islanti, Liechtenstein, kaikki maat, joista komissio on antanut tietosuojan riittävyyttä koskevan päätöksen (184), sekä unionin toimielimet ja elimet (185).

(70)

Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi tietosuojasääntöjen mukaan siirtää henkilötietoja EPOn ulkopuolisille vastaanottajille vain, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja (186). Tällaiset asianmukaiset suojatoimet voidaan sisällyttää viranomaisten tai kansainvälisten järjestöjen kanssa tehtyihin hallinnollisiin järjestelyihin, sopimuslausekkeisiin (tietosuojalautakunnan kuulemisen jälkeen) (187) tai sertifiointimekanismeihin (188). Tietosuojavastaava on laatinut yhteenvedon (189) hallinnollisiin järjestelyihin sisällytettävistä säännöksistä. Henkilötietojen käsittelijöille on myös saatavilla siirtoja koskevan tietosuojasopimuksen malli (190). Tietosuojavastaavan ohjeistuksen mukaan EPOn on arvioitava, voisiko tietojen tuojaan sovellettava oikeudellinen kehys estää tätä noudattamasta siirtovälineen mukaisia velvoitteitaan, ja tarvittaessa otettava käyttöön täydentäviä toimenpiteitä (191). Tietosuojavastaava suosittelee henkilötietojen välittämistä ja siirtämistä koskevassa huomautuksessaan, että arvioinnin suorittamisessa otetaan huomioon Euroopan tietosuojaneuvoston ja Euroopan tietosuojavaltuutetun asiaan liittyvä ohjeistus (192).

(71)

Tietosuojasääntöjen mukaan EPOn on tietosuojan riittävyyttä koskevan päätöksen piiriin kuuluviin maihin tai järjestöihin tehtävien tiedonsiirtojen ja asianmukaisten suojatoimien perusteella tehtävien tiedonsiirtojen osalta osoitettava kunkin siirron tarpeellisuus ja oikeasuhteisuus käsittelyn tarkoituksen kannalta (193). Lisäksi EPOn on asiaan liittyvät edut arvioituaan vahvistettava, että siirto on oikeasuhteinen, jos on syytä uskoa, että rekisteröityjen oikeutetut edut voisivat vaarantua (194). Lisäksi on varmistettava (sopimusperusteisilla suojatoimilla), että vastaanottaja saa käsitellä tai käyttää tietoja ainoastaan niihin tarkoituksiin, joihin ne on siirretty, ja että vastaanottajan on poistettava tiedot heti, kun tarkoitus on saavutettu (195).

(72)

Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty tai asianmukaisia suojatoimia ei ole toteutettu, henkilötietojen siirtäminen EPOn ulkopuolelle on tietosuojasääntöjen mukaan sallittua ”vain poikkeuksellisesti”, jos poikkeusta sovelletaan samankaltaisin edellytyksin kuin unionin tietosuojalainsäädännön vastaavissa säännöksissä (196). Näin on silloin, kun a) rekisteröity on antanut nimenomaisen suostumuksensa siirtoon (197), b) ja c) siirto tapahtuu satunnaisesti ja on tarpeen rekisteröidyn kanssa tehdyn tai hänen etunsa mukaisen sopimuksen täytäntöönpanemiseksi (tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä) (198), d) siirto on tarpeen EPOn virallisen toiminnan harjoittamiseen tai rekisterinpitäjälle kuuluvan julkisen vallan perusteltuun käyttämiseen liittyvän tehtävän suorittamista varten (199), e) siirto tapahtuu satunnaisesti ja on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi (200), f) siirto on tarpeen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan (201), tai g) siirto tehdään julkisesta rekisteristä, jonka tarkoituksena on tietojen antaminen yleisölle ja joka on yleisesti yleisön tai kenen tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, siltä osin kuin rekisterin käytön edellytykset täyttyvät kussakin yksittäisessä tapauksessa (202). Näitä poikkeuksia ei niiden luonteen ja tietosuojavastaavan ohjeistuksen mukaisesti voida käyttää järjestelmällisiin, säännöllisiin siirtoihin (203).

(73)

Pääjohtaja voi myös rajoittaa tiettyjen tietoryhmien siirtoja maihin tai järjestöille, jotka eivät ole saaneet tietosuojan riittävyyttä koskevaa päätöstä, merkittävistä syistä, jotka liittyvät Euroopan patenttivirastolle kuuluvan julkisen vallan perusteltuun käyttämiseen (204). Pääjohtaja ei ole tähän mennessä käyttänyt tällaisia valtuuksia.

(74)

Osoitusvelvollisuuden periaatteen mukaan tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa niiden noudattamisen erityisesti toimivaltaiselle valvontaviranomaiselle.

(75)

Tietosuojasääntöjen 4 artiklan 1 kohdassa vahvistetaan yleinen osoitusvelvollisuuden periaate ja selvennetään, että rekisterinpitäjä vastaa tietosuojasääntöjen noudattamisesta ja että sen on pystyttävä osoittamaan noudattavansa niitä. Rekisterinpitäjän on erityisesti toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta se voi varmistaa ja osoittaa noudattavansa vaatimuksia, ottaen huomioon käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit henkilöiden oikeuksille (205). Tältä osin tietosuojasäännöissä pannaan täytäntöön myös sisäänrakennetun ja oletusarvoisen yksityisyyden suojan periaatteet edellyttämällä, että rekisterinpitäjä toteuttaa toimenpiteitä tietosuojaperiaatteiden täytäntöönpanoa ja tietosuojasääntöjen noudattamista varten ja varmistaa, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja (206).

(76)

Rekisterinpitäjän ja henkilötietojen käsittelijöiden on ylläpidettävä selostetta käsittelytoimista. Selosteen on sisällettävä muun muassa tietoja käsittelyn tarkoituksesta, käsiteltävistä tietoryhmistä, vastaanottajien ryhmistä, joille tietoja luovutetaan, sekä mahdollisista henkilötietojen siirroista (207). Selosteet ovat periaatteessa julkisia (paitsi jos ne sisältävät luottamuksellisia tietoja), ja ne sisältyvät julkisesti saatavilla olevaan tietosuojarekisteriin. Ne on esitettävä pyynnöstä tietosuojalautakunnalle (208). Jokaisen toimintayksikön on myös nimettävä vähintään yksi tietosuojayhteyshenkilö (1–3 vuoden toimikaudeksi, joka voidaan uusia), jonka on suoritettava pakollinen tietosuojakoulutus ja autettava rekisterinpitäjää täyttämään velvoitteensa (209).

(77)

Tietosuojasäännöissä määrätään myös erilaisista välineistä, joita rekisterinpitäjä ja henkilötietojen käsittelijät voivat käyttää apunaan vaatimustenmukaisuuteen liittyvissä toimissaan. Tietosuojasääntöjen mukaan näyttönä tietosuojasääntöjen velvoitteiden noudattamisesta voidaan käyttää esimerkiksi hyväksyttyjen sertifiointimekanismien noudattamista (210). Lisäksi tietosuojasäännöissä edellytetään – tiettyjen ehtojen täyttyessä – tietosuojaa koskevan vaikutustenarvioinnin suorittamista tai tietosuojavastaavan ja tietosuojalautakunnan ennakkokuulemista. Tietosuojaa koskeva vaikutustenarviointi on tehtävä, jos käsittelytoimen tyyppi aiheuttaa todennäköisesti korkean riskin henkilön oikeuksille ja vapauksille (211). Vaikutustenarviointia edellytetään esimerkiksi tapauksissa, joissa päätöksiä tehdään automaattiseen käsittelyyn perustuvan henkilökohtaisten ominaisuuksien järjestelmällisen ja kattavan arvioinnin nojalla tai joissa käsitellään laajamittaisesti erityisiä tietoryhmiä (212). Jos vaikutustenarvioinnissa käy ilmi, että käsittely aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille ja että riskiä ei voida lieventää kohtuullisin suojatoimenpitein, rekisterinpitäjän on kuultava tietosuojalautakuntaa (213). Tietosuojalautakunnan on annettava kirjallisia ohjeita, jos se katsoo, että suunniteltu käsittely on tietosuojasääntöjen vastaista (214). Yleisemmin rekisterinpitäjän on kuultava tietosuojavastaavaa laatiessaan sääntöjä tai toimintaohjeita yksilön oikeuksiin kohdistuvien rajoitusten toteuttamisesta (215).

(78)

Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, tarvitaan riippumaton valvontaviranomainen, jonka tehtävänä on seurata tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.

(79)

EPOn oikeudellisessa kehyksessä EPOn tietosuojasääntöjen noudattamisen valvonta annetaan tietosuojavastaavan ja tietosuojalautakunnan tehtäväksi. Molemmat elimet on perustettu palvelussääntöjen 32A artiklalla, ja niiden asemaa ja valtuuksia on täsmennetty edelleen tietosuojasäännöissä (216). Niiden tehtävät täydentävät toisiaan ja edellyttävät yhteistyötä, vaikka kumpikin elin hoitaa tehtäviään itsenäisesti.

(80)

Palvelussääntöjen mukaan tietosuojavastaava ja tietosuojalautakunta toimivat täysin riippumattomasti siten, etteivät mitkään ulkopuoliset tai sisäiset tahot puutu niiden toimintaan niiden hoitaessaan tehtäviään ja käyttäessään valtuuksiaan (217). Periaatetta täydennetään erilaisilla muilla suojatoimilla, joilla taataan näiden elinten riippumattomuus.

(81)

Pääjohtaja nimittää tietosuojavastaavan (ja hänen sijaisensa) heidän ammatillisen pätevyytensä ja erityisesti heidän tietosuojalainsäädännöstä ja alan käytänteistä kartuttamansa asiantuntemuksen perusteella (218). Tietosuojavastaava nimetään 3–5 vuoden toimikaudeksi, joka voidaan uusia. Tietosuojalautakuntaa on kuultava ennen mahdollista ehdotusta tietosuojavastaavan irtisanomiseksi tai erottamiseksi tehtävästään (219). Tietosuojavastaavan irtisanomista tai erottamista edeltävän kuulemisen tarkoituksena on varmistaa täydentävä valvonta ja arviointi irtisanomis- tai erottamisehdotuksen yhteydessä. Irtisanomista tai erottamista voidaan esittää seuraavista syistä (220): jos tietosuojavastaava ei enää täytä tehtäviensä suorittamiseen tarvittavia edellytyksiä (221), epäpätevyyden vuoksi (222) tai kurinpitotoimien seurauksena (223). Tietosuojasäännöissä säädetään myös, että tietosuojavastaavaa ei saa erottaa tai rangaista sen vuoksi, että hän on hoitanut tehtäviään, eikä hän saa ottaa vastaan ohjeita (224). Tietosuojavastaava on otettava mukaan kaikkien henkilötietojen suojaa koskevien kysymysten käsittelyyn, ja hän laatii vuotuiset toimintakertomukset pääjohtajalle ja hallintoneuvostolle (225). Euroopan patenttiviraston on annettava tietosuojavastaavalle hänen tehtäviensä hoitamiseksi tarvittavat resurssit (226).

(82)

Tietosuojalautakunta koostuu kolmesta ulkopuolisesta tietosuoja-alan asiantuntijasta eli puheenjohtajasta ja kahdesta muusta jäsenestä (227) sekä varajäsenestä. EPOn pääjohtaja nimittää heidät kolmen vuoden toimikaudeksi, joka voidaan uusia (228). Tietosuojalautakunnan jäsenten on täytettävä oikeusalan virkojen kelpoisuusvaatimukset tai oltava tietosuoja-asiantuntijoita, joilla on todistettavaa asiantuntemusta ja kokemusta tietosuojalainsäädännöstä kansallisella tai kansainvälisellä tasolla. He eivät saa olla EPOn työntekijöitä eivätkä he saa olla olleet sen palveluksessa edeltävien kymmenen vuoden aikana (229). Tietosuojasääntöjen 48 artiklan 6 kohdan nojalla tietosuojalautakunnan jäsenet toimivat tehtäväänsä hoitaessaan täysin riippumattomasti. Missään tapauksessa tietosuojalautakunnan jäsenet eivät saa pyytää ohjeita Euroopan patenttivirastolta tai hallintoneuvostolta, eivätkä tällaiset ohjeet voi sitoa heitä. Lisäksi tietosuojalautakunnan työjärjestyksessä säädetään, että lautakunnan on toimittava tehtäviään hoitaessaan puolueettomasti ja täysin riippumattomasti (230). EPO voi irtisanoa tietosuojalautakunnan jäsenet tehtävästä vain vakavasta syystä (231). Tietosuojalautakunnan jäseniä sitoo luottamuksellisuutta koskeva velvoite (232), eivätkä he saa toimia sellaisessa asiassa, jossa heillä on eturistiriitoja, etenkään henkilökohtaisia etuja (233). EPOn on tuettava tietosuojalautakuntaa sen tehtävien hoitamisessa antamalla sille tarvittavat resurssit sekä oikeudellista ja hallinnollista tukea (sihteeristön kautta ja myöntämällä tietosuojalautakunnalle pääsy henkilötietoihin ja käsittelytoimiin) (234).

(83)

Tietosuojavastaavan tehtävänä on tiedottaa rekisterinpitäjälle tai henkilötietojen käsittelijöille heidän velvoitteista ja neuvoa heitä sen mukaisesti, lisätä käsittelytoimiin osallistuvan henkilöstön tietoisuutta ja antaa heille koulutusta, varmistaa, että rekisteröidyille tiedotetaan heidän tietosuojasäännöistä johtuvista oikeuksistaan, sekä seurata riippumattomasti tietosuojasääntöjen ja EPOn muiden tietosuojaan vaikuttavien säännösten sisäistä soveltamista ja noudattamista (235). Rekisteröidyt voivat ottaa yhteyttä tietosuojavastaavaan kaikissa heidän tietojensa käsittelyyn tai oikeuksiensa käyttämiseen liittyvissä asioissa (236), ja rekisterinpitäjä ja henkilötietojen käsittelijät voivat kuulla tietosuojavastaavaa kaikissa tietosuojasääntöjen tulkintaan ja soveltamiseen liittyvissä asioissa (237).

(84)

Tietosuojavastaavalla on osana valvontatehtäväänsä valtuudet suorittaa tietosuojatarkastuksia ja -tutkimuksia (238). Tietosuojavastaava tekee tarkastuksia vuotuisen tarkastussuunnitelman mukaisesti, joka on laadittu tietosuojalautakuntaa kuullen (239). Tarkastuksessa keskitytään arvioimaan tietosuojaa koskevia selosteita, lausuntoja ja asiaan liittyviä asiakirjoja, jotta voidaan esimerkiksi todentaa tietosuojaa koskevan dokumentaation oikeellisuus ja täydellisyys, riskinhallintamenetelmien asianmukainen soveltaminen, rekisteröidyille annettujen vastausten täsmällisyys ja oikea-aikaisuus tai tietosuojan vaikutustenarviointien asianmukainen toteuttaminen ja lukumäärä (240). Komission tietosuojavastaavalta saamien tietojen mukaan vuonna 2023 tehtiin kolme tarkastusta ja vuonna 2024 neljä. Tietosuojavastaava voi tehdä tarkastuksia omasta aloitteestaan, tietosuojalautakunnalta tai EPOn elimeltä (esimerkiksi pääjohtajalta tai valtuutetulta rekisterinpitäjältä) saadun pyynnön perusteella tai muutoin (esimerkiksi kolmansilta osapuolilta tai yksityishenkilöiltä) saamiensa tietojen perusteella (241). Tietosuojavastaava suorittaa tietosuojalautakunnan pyytämät tutkimukset riippumattomasti. Tietosuojalautakunta voi esittää huomautuksia ja/tai pyytää lisätutkimusta mistä tahansa mahdollisesti esille tulleesta seikasta (242). Tutkimuksissa keskitytään käsittelytoimiin, niiden tiettyihin näkökohtiin tai niihin liittyviin tapahtumiin, jotta voidaan varmistaa, että kyseinen käsittely täyttää tietosuojasääntöjen vaatimukset, ja taata rekisteröityjen oikeuksien ja vapauksien suoja (243).

(85)

Tietosuojavastaavalla on pääsy kaikkiin asiaankuuluviin tietoihin, myös käsiteltäviin henkilötietoihin, sekä kaikkiin toimistoihin, tietojenkäsittelylaitteisiin ja tietovälineisiin (244). Kaikkien EPOn työntekijöiden ja toimintayksikköjen on avustettava tietosuojavastaavaa hänen tehtäviensä hoitamisessa muun muassa antamalla pääsy tiloihin ja asiaan liittyviin tietoihin (245).

(86)

Tehtyään tarkastuksen tai tutkimuksen tietosuojavastaava antaa raportin havainnoistaan, päätelmistään ja suosittelemistaan korjaavista toimenpiteistä (246). Tietosuojavastaava voi muun muassa suositella ehkäiseviä tai lieventäviä toimenpiteitä vaatimusten noudattamisen parantamiseksi sekä toimenpiteitä noudattamatta jättämisen korjaamiseksi (esimerkiksi että saatetaan käsittely tietosuojasääntöjen mukaiseksi, käsitellään rekisteröityjen pyynnöt heidän oikeuksiensa toteutumiseksi tai keskeytetään tai lopetetaan käsittely) (247). Tietosuojavastaava voi myös saattaa työntekijöiden tietosuojasääntöjen noudattamatta jättämisen toimivaltaisen nimittävän viranomaisen tietoon ja suositella hallinnollisen tutkimuksen käynnistämistä sen selvittämiseksi, tarvitaanko kurinpidollisia tai muita toimia (248). Työntekijälle, joka ei tahallisesti tai huolimattomuudesta noudata tietosuojasääntöjä, voidaan määrätä kurinpitoseuraamuksia tai häneen voidaan kohdistaa muita toimia palvelussääntöjen mukaisesti (249).

(87)

Tarkastusten ja tutkimusten tulos on ilmoitettava tietosuojalautakunnalle (250). Lisäksi tarkastus- tai tutkimusraportti on pyynnöstä esitettävä tietosuojalautakunnalle. Tietosuojalautakunta saa esittää huomautuksia tietosuojavastaavan raportista – myös tietosuojavastaavan havainnoista, jotka koskevat sitä, oliko tietosuojasääntöjä rikottu – ja ehdotetuista korjaavista toimenpiteistä. Tietosuojalautakunta voi myös pyytää muita tutkintatoimia (251). Jos tietosuojavastaavan tarkastuksessa tai tutkimuksessa todetaan, että on toimittu vaatimusten vastaisesti (eli rikottu tietosuojasääntöjä), tietosuojavastaavan raportti on toimitettava tietosuojalautakunnalle, joka vahvistaa päätelmät ja suositellut korjaavat toimenpiteet. Jos tietosuojalautakunta on eri mieltä tietosuojavastaavan päätelmistä tai suosittelemista korjaavista toimenpiteistä, se esittää tietosuojavastaavalle huomautuksensa, myös ehdotettujen päätelmien ja suositeltujen korjaavien toimenpiteiden muuttamisesta. Tietosuojavastaavan tulisi toimia huomautusten mukaisesti. Tietosuojalautakunnan vahvistamat korjaavat toimenpiteet sitovat rekisterinpitäjää ja valtuutettuja rekisterinpitäjiä, ja yksilöt voivat vedota niihin johdanto-osan 95 kappaleessa kuvailluissa muutoksenhakuelimissä (252). Tietosuojavastaavan on varmennettava, että korjaavat toimenpiteet on toteutettu (periaatteessa kuuden kuukauden kuluttua niiden ilmoittamisesta), ja raportoitava vuosittain pääjohtajalle toteutuksen tilanteesta (253).

(88)

Tietosuojalautakunnan tehtävänä on – tietosuojasääntöjen noudattamisen valvontaan liittyvän tehtävän lisäksi – muun muassa neuvoa pääjohtajaa tietosuojan riittävyyttä koskevien päätösten antamisessa ja rekisterinpitäjää tietosuojan vaikutustenarviointien toteuttamisen tarpeellisuudesta sekä arvioida yksilöiltä saatuja valituksia (ks. johdanto-osan 92–96 kappale) (254).

(89)

Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat muutoksenhakukeinot ja myös oikeus saada vahingonkorvausta.

(90)

EPOn oikeudellinen kehys tarjoaa yksityishenkilöille useita erilaisia muutoksenhakukeinoja.

(91)

Ensinnäkin rekisteröity, joka on sitä mieltä, että EPOn suorittama hänen henkilötietojensa käsittely rikkoo hänen oikeuksiaan (eli rikkoo tietosuojasääntöjä), voi tehdä tarkastelupyynnön valtuutetulle rekisterinpitäjälle tietosuojasääntöjen 49 artiklan mukaisesti. Valtuutettu rekisterinpitäjä tutkii valituksen ja tekee päätöksen (255). Valtuutetun rekisterinpitäjän on ennen päätöksen tekemistä kuultava tietosuojavastaavaa, joka antaa kirjallisen lausunnon enintään 15 kalenteripäivän kuluessa tarkastelupyynnön vastaanottamisesta (256). Valtuutetun rekisterinpitäjän on vastattava valituksen tekijälle kuukauden kuluessa pyynnön vastaanottopäivästä (257). Valituksen tekijälle on toimitettava päätös ja tiedot muutoksenhakumahdollisuudesta (258). Jos valtuutettu rekisterinpitäjä ei toteuta toimia kolmen kuukauden kuluessa, katsotaan, että pyyntö on evätty epäsuorasti.

(92)

Toiseksi yksilöt voivat hakea muutosta valtuutetun rekisterinpitäjän tarkastelupyynnöstä tekemään päätökseen tai pyynnön epäsuoraan epäämiseen tekemällä valituksen tietosuojalautakunnalle (259).

(93)

Tietosuojalautakunnan on valitusta tutkiessaan pyydettävä rekisteröityä, rekisterinpitäjää ja tarvittaessa henkilötietojen käsittelijää ilmoittamaan kirjallisesti kantansa käsiteltävinä oleviin väitteisiin ja tosiseikkoihin sekä esittämään todisteita tai huomautuksia ja perusteluja saatavilla olevasta todisteista (260). Tässä yhteydessä tietosuojalautakunta voi pyytää osapuolilta mitä tahansa tietoja, joita se tarvitsee valituksen käsittelemiseksi, ja hankkia lisätietoja myös tietosuojavastaavan kautta (261). Tietosuojalautakunnan on valitusta koskevista tarvittavista jatkotoimista päättäessään otettava huomioon muun muassa väitetyn rikkomisen luonne ja vakavuus, asianomaisten rekisteröityjen määrä, asianomaiset tietoryhmät ja rikkomisen kesto (262). Tietosuojalautakunta voi kehottaa osapuolia pyrkimään sovintoratkaisuun, kannustaa siihen ja edistää sitä aktiivisesti (263). Valituksen tekijä voi myös pyytää tietosuojalautakuntaa soveltamaan kiireellistä menettelyä väitetyn rikkomisen vakavuuden tai yksilöiden oikeuksiin kohdistuvan riskin vakavuuden vuoksi (264).

(94)

Valituksen tutkittuaan tietosuojalautakunta antaa rekisterinpitäjälle perustellun lausunnon, joka sisältää tosiseikat, osapuolten tärkeimmät perustelut sekä tietosuojalautakunnan huomautukset ja suositukset (265). Kiireellisessä menettelyssä tietosuojalautakunnan on virallisesti annettava perusteltu lausunto kahden kuukauden kuluessa valituksen tekemisestä (266). Tietosuojalautakunta voi perustellussa lausunnossaan antaa tarpeellisina pitämiään suosituksia, muun muassa kielloista (esimerkiksi kehottaa lopettamaan laittoman tietojen käsittelyn tai poistamaan laittomasti käsiteltyjä tietoja) tai aineellisesta tai aineettomasta vahingosta maksettavasta korvauksesta (267). Perusteltu lausunto on toimitettava rekisteröidylle ja rekisterinpitäjälle (eli Euroopan patenttiviraston pääjohtajalle, valituslautakuntien puheenjohtajalle, hallintoneuvoston puheenjohtajalle tai erityisvaliokunnan puheenjohtajalle sen mukaan, koskiko valitus patenttivirastoa, valituslautakuntia, hallintoneuvostoa vai erityisvaliokuntaa). Tämän jälkeen rekisterinpitäjä tekee lopullisen sitovan päätöksen tietosuojalautakunnan perustellun lausunnon pohjalta (268). Lopullinen päätös toimitetaan rekisteröidylle, tietosuojalautakunnalle ja tietosuojavastaavalle (269). Jos rekisterinpitäjä päättää olla noudattamatta yhtä tai useampaa perustellun lausunnon kohtaa, sen on perusteltava tämä päätöksessään kirjallisesti (270).

(95)

Jos rekisteröity ei ole tyytyväinen rekisterinpitäjän päätökseen, hän voi edelleen hakea siihen muutosta viittaamalla tietosuojalautakunnan perusteltuun lausuntoon. EPOn työntekijät voivat hakea päätökseen muutosta Kansainvälisen työjärjestön hallintotuomioistuimelta (271). Muut rekisteröidyt, jotka ovat eri mieltä rekisterinpitäjän päätöksestä, voivat kolmen kuukauden kuluessa päätöksen vastaanottamisesta esittää puheenjohtajalle pyynnön tapauskohtaisen välimiesmenettelyn toteuttamisesta (272). Tapauskohtaisessa välimiesmenettelyssä noudatettavasta menettelystä määrätään tietosuojasäännöissä (273). Pysyvän välitystuomioistuimen pääsihteerin on nimitettävä yksi välimies kolmen kuukauden kuluessa rekisteröidyn esittämän pyynnön vastaanottamisesta tietosuojasäännöissä vahvistettujen kriteerien perusteella (274). Välimiehen on oltava oikeusoppinut, hänellä on oltava lupa juristin ammatin harjoittamiseen jossakin EPOn sopimusvaltiossa, hänen on pystyttävä osoittamaan tarvittava asiantuntemus tietosuoja-asioissa ja hänen on tunnettava kansainvälisiin järjestöihin sovellettava lainsäädäntö (275). Sen lisäksi, että välimiesten on täytettävä nämä kriteerit, välimiehiksi voidaan nimittää vain henkilöitä, jotka eivät ole työskennelleet EPOlle tai rekisteröidylle tai olleet niiden palveluksessa. Tietosuojasääntöjen mukaan välimiehen on toimittava riippumattomasti ja puolueettomasti (276), kohdeltava kutakin osapuolta tasapuolisesti ja annettava niille mahdollisuus esittää asiansa menettelyn kaikissa vaiheissa (277). Välimiesmenettelyt eivät ole julkisia (278). Niihin sovelletaan Euroopan patenttisopimusta, tietosuojasääntöjä, mukaan lukien mahdolliset soveltamismääräykset, kansainvälisiin järjestöihin sovellettavaa lainsäädäntöä ja kansainvälisen oikeuden periaatteita (279). Kunkin osapuolen on vastattava omasta oikeudellisesta edustuksestaan aiheutuvista kuluista ja palkkioista (ellei välimies päätä toisin), mutta EPO maksaa välimiehen palkkiot ja kulut sekä mahdollisen asiantuntijaneuvonnan ja todistajien kustannukset (280). Sovintoratkaisu on annettava sanamuodoltaan hyväksytyn kirjallisen välitystuomion muodossa, ja tuomio on lopullinen ja sitova (281).

(96)

Yksilöt, joille on koitunut vahinkoa tietosuojasääntöjen rikkomisen vuoksi, voivat hakea EPOlta korvausta johdanto-osan 91–95 kappaleessa kuvattujen menettelyjen mukaisesti (282). EPOn ei katsota olevan vastuussa, jos se osoittaa, ettei se ollut vastuussa vahingon aiheuttaneesta tapahtumasta.

(97)

Oikeudellinen kehys, jonka mukaisesti EPO arvioi suorittamaansa henkilötietojen käsittelyä koskevia (sopimusvaltioidensa ja kolmansien maiden) viranomaisten pyyntöjä ja vastaa niihin, perustuu EPOn erioikeus- ja koskemattomuuspöytäkirjaan (283), henkilötietojen välittämistä ja siirtämistä koskeviin tietosuojasääntöjen vaatimuksiin ja kansainväliseen julkisoikeuteen.

(98)

Ensinnäkin EPOn virallista toimintaansa varten suorittama henkilötietojen käsittely kuuluu järjestön koskemattomuuden piiriin. EPOn koskemattomuutta täydennetään erioikeus- ja koskemattomuuspöytäkirjan 20 artiklassa vahvistetulla yhteistyövelvollisuudella. Näin ollen pääjohtajan on arvioitava kaikki sopimusvaltion viranomaisilta saadut EPOn käsittelemien tietojen saamista koskevat pyynnöt erioikeus- ja koskemattomuuspöytäkirjan (20 artiklan 1 kohdan) mukaisesti. Siinä määrätään, että EPO ”pyrkii jatkuvassa yhteistyössä sopimusvaltioiden toimivaltaisten viranomaisten kanssa helpottamaan asianmukaista oikeushallintoa, varmistamaan järjestysmääräysten sekä yleistä terveyttä, työsuojelua yms. seikkoja koskevien kansallisten säännösten noudattamisen ja estämään tässä pöytäkirjassa määrättyjen erioikeuksien, koskemattomuuden ja helpotusten väärinkäytön”. EPO voi poikkeuksellisesti luopua lainkäyttöä tai täytäntöönpanoa koskevasta koskemattomuudestaan (284). Päättäessään yhteistyöpyynnöstä puheenjohtaja käyttää harkintavaltaansa ja selvittää, onko pyyntö EPOn oikeudellisen kehyksen mukainen (285). Lopputuloksena voi olla, että Euroopan patenttivirasto voi vastata pyyntöön erioikeus- ja koskemattomuuspöytäkirjan nojalla ja että se voi luovuttaa henkilötietoja vain tietosuojasäännöissä vahvistettujen tiedonvälitystä koskevien vaatimusten mukaisesti (ks. johdanto-osan 62–67 kappale). Tietosuojasääntöjen mukaisesti vastaanottajan on esitettävä näyttöä siitä, että tiedot on tarpeen toimittaa sellaista tiettyä tarkoitusta varten, joka johtuu EPOn yhteistyövelvoitteista sopimusvaltiota tai -valtioita kohtaan (286). Rekisterinpitäjän on pystyttävä osoittamaan kunkin tiedonvälityksen osalta, että tietojen välittäminen on tarpeen ja oikeasuhteista siihen tarkoitukseen nähden, jota varten se toteutetaan (287). Tietojen toimittamisessa on aina varmistettava tietosuoja-asetuksen tarjoaman suojan tason säilyminen (288). Tietosuojavastaavan antamien ohjeiden mukaan tämä tarkoittaa, että käytössä on oltava asianmukaiset suojatoimet muun muassa sen varmistamiseksi, että jaettavat tiedot on minimoitu ja rajoitettu siihen, mikä on asianmukaista, olennaista ja ehdottoman välttämätöntä kyseisen tavoitteen saavuttamiseksi (289). Jos on syytä olettaa, että tietojen toimittaminen voi vaikuttaa asianomaisen henkilön oikeuksiin ja vapauksiin, rekisterinpitäjän on asiaan liittyvät eri edut arvioituaan vahvistettava, että henkilötietojen toimittaminen tätä nimenomaista tarkoitusta varten on oikeasuhteista (290).

(99)

Toiseksi missään EPOon sovellettavassa säädöksessä ei säännellä nimenomaisesti sellaisten pyyntöjen käsittelyä, joita kolmansien maiden (muiden kuin EPOn sopimuspuolten) viranomaiset esittävät saadakseen EPOn käsittelemiä tietoja. Tämä tarkoittaa, että tietoja voidaan luovuttaa tällaisen pyynnön johdosta vain, jos johdanto-osan 68–73 kappaleessa kuvaillut tietosuojasääntöjen mukaiset kansainvälisiä tiedonsiirtoja koskevat vaatimukset täyttyvät. Näin olisi vain, jos asianomaisesta maasta olisi tehty tietosuojan riittävyyttä koskeva päätös, joka kattaisi siirron, jos käytössä olisivat asianmukaiset suojatoimet tai jos sovellettaisiin poikkeusta.

(100)

Hallintoneuvosto valvoo, että pääjohtaja noudattaa erioikeus- ja koskemattomuuspöytäkirjaa, myös sitä, millä tavoin viranomaisten yhteistyöpyyntöihin vastataan. Tietosuojasäännöissä vahvistettujen, henkilötietojen välittämistä ja siirtämistä koskevien vaatimusten noudattamista puolestaan valvovat tietosuojavastaava ja tietosuojalautakunta, kuten johdanto-osan 84–88 kappaleessa kuvataan. Yksilöt voivat käyttää johdanto-osan 90–96 kappaleessa kuvailtuja oikeussuojakeinoja, jos heidän henkilötietojaan on välitetty tai siirretty tietosuojasääntöjen vastaisesti.

(101)

Komissio katsoo, että EPO varmistaa unionista siirrettyjen henkilötietojen suojan tason, joka vastaa olennaisilta osin asetuksessa (EU) 2016/679 taattua suojan tasoa.

(102)

Tämän päätöksen havaintojen perusteella olisi päätettävä, että EPO takaa asetuksen (EU) 2016/679 45 artiklassa, kun sitä tulkitaan ottaen huomioon Euroopan unionin perusoikeuskirja, tarkoitetun riittävän suojan henkilötiedoille, jotka siirretään unionista EPOlle.

(103)

Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten antamien säädösten noudattamiseksi, sillä näiden oletetaan olevan lainmukaisia ja aiheuttavan siten oikeusvaikutuksia siihen asti, että ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella.

(104)

Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, myös niiden riippumattomia valvontaviranomaisia. Erityisesti siirtoja unionissa olevalta rekisterinpitäjältä tai henkilötietojen käsittelijältä EPOlle voidaan toteuttaa ilman erillistä lupaa.

(105)

Olisi kuitenkin muistettava, kuten asetuksen (EU) 2016/679 58 artiklan 5 kohdassa ja unionin tuomioistuimen asiassa C-362/14 (291) antamassa tuomiossa todetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua.

(106)

Tuomioistuimen oikeuskäytännön ja asetuksen (EU) 2016/679 45 artiklan 4 kohdan mukaisesti komissio seuraa tietosuojan riittävyyttä koskevan päätöksen hyväksymisen jälkeen jatkuvasti merkityksellistä kehitystä kolmannessa maassa tai kansainvälisessä järjestössä. Näin se voi arvioida, takaako kolmas maa tai kansainvälinen järjestö edelleen olennaisilta osin vastaavan suojan tason. Tällainen tarkastelu tehdään joka tapauksessa, kun komissio saa tietoja, jotka aiheuttavat perusteltuja epäilyksiä tältä osin.

(107)

Komissio seuraa sen vuoksi jatkuvasti EPOn tilannetta tässä päätöksessä arvioidun henkilötietojen käsittelyä koskevan oikeudellisen kehyksen ja käytännön osalta. Prosessin helpottamiseksi EPOa kehotetaan ilmoittamaan viipymättä komissiolle kehityksestä, jolla on merkitystä tämän päätöksen kannalta ja joka koskee sitä, miten henkilötietoja käsitellään, ja sitä, mitä rajoituksia ja suojatoimia viranomaisten pääsylle tietoihin on asetettu.

(108)

Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava sille kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, jos ne liittyvät unionin rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa unionista EPOlle.

(109)

Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti ja ottaen huomioon sen, että EPOn oikeudellisen kehyksen tarjoaman suojan taso voi muuttua, komissio tarkistaa tämän päätöksen hyväksymisen jälkeen säännöllisin väliajoin, ovatko EPOn takaaman suojan tason riittävyyttä koskevat päätelmät edelleen perusteltuja sekä asiasisällöltään että oikeudellisesti. Tällainen arviointi suoritetaan vähintään joka neljäs vuosi, ja se kattaa kaikki tämän päätöksen toimintaan liittyvät näkökohdat, myös asiaan liittyvien valvonta- ja täytäntöönpanomekanismien toiminnan.

(110)

Tarkastelun suorittamiseksi komissio järjestää EPOn kanssa kokouksen, johon osallistuvat myös EPOn tietosuojavastaava ja tietosuojalautakunta. Lisäksi Euroopan tietosuojaneuvoston jäsenten edustajien olisi saatava osallistua kokoukseen. Tarkastelun yhteydessä komissio pyytää EPOa antamaan kattavat tiedot kaikista tietosuojan riittävyyttä koskevan päätelmän kannalta merkityksellisistä seikoista. Komissio pyytää myös selvityksiä kaikista sille toimitetuista tämän päätöksen kannalta merkityksellisistä tiedoista, kuten Euroopan tietosuojaneuvoston, yksittäisten tietosuojaviranomaisten tai kansalaisyhteiskunnan ryhmien toimittamista tiedoista, julkisista ja tiedotusvälineiden raporteista sekä muista saatavilla olevista tietolähteistä.

(111)

Komissio laatii tarkastelun perusteella julkisen kertomuksen, joka toimitetaan Euroopan parlamentille ja neuvostolle.

(112)

Jos käytettävissä olevat tiedot – erityisesti tiedot komission asetuksen (EU) 2016/679 45 artiklan 4 kohdan nojalla toteuttamasta tämän päätöksen toimivuuteen mahdollisesti vaikuttavan kehityksen seurannasta tai EPOn tai jäsenvaltioiden viranomaisten toimittamat tiedot – osoittavat, että EPOn takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komissio ilmoittaa asiasta viipymättä EPOlle ja vaatii asianmukaisten toimenpiteiden toteuttamista tietyn, kohtuullisen ajan kuluessa.

(113)

Jos EPO ei kyseisen määräajan päättyessä ole toteuttanut näitä toimenpiteitä tai muutoin osoittanut tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi joko osittain tai kokonaan.

(114)

Vaihtoehtoisesti komissio voi aloittaa menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta on varmistettu riittävä tietosuoja myös jatkossa.

(115)

Lisäksi komissio harkitsee menettelyn aloittamista tämän päätöksen muuttamiseksi, soveltamisen keskeyttämiseksi tai kumoamiseksi, jos EPO ei tarkastelun yhteydessä tai muutoin toimita tietoja tai selvityksiä, joita tarvitaan arvioitaessa unionista siirrettyjen henkilötietojen suojan tasoa tai tämän päätöksen noudattamista. Tässä suhteessa komissio ottaa huomioon sen, missä määrin asiaa koskevia tietoja voidaan saada muista lähteistä.

(116)

Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä – asetuksen (EU) 2016/679 93 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen – välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai muuttamiseksi.

(117)

Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (292), joka on otettu huomioon tätä päätöstä valmisteltaessa.

(118)

Tässä päätöksessä säädetyt toimenpiteet ovat asetuksen (EU) 2016/679 93 artiklan 1 kohdalla perustetun komitean lausunnon mukaiset,