35 artikla

Tietosuojaa koskeva vaikutustenarviointi

  • Jos tietyntyyppinen k√§sittely etenkin uutta teknologiaa k√§ytett√§ess√§ todenn√§k√∂isesti aiheuttaa ‚Äď k√§sittelyn luonne, laajuus, asiayhteys ja tarkoitukset huomioon ottaen ‚Äď luonnollisen henkil√∂n oikeuksien ja vapauksien kannalta korkean riskin, rekisterinpit√§j√§n on ennen k√§sittely√§ toteutettava arviointi suunniteltujen k√§sittelytoimien vaikutuksista henkil√∂tietojen suojalle. Yht√§ arviota voidaan k√§ytt√§√§ samankaltaisiin vastaavia korkeita riskej√§ aiheuttaviin k√§sittelytoimiin.
  • Tietosuojaa koskevaa vaikutustenarviointia tehdess√§√§n rekisterinpit√§j√§n on pyydett√§v√§ neuvoja tietosuojavastaavalta, jos sellainen on nimitetty.
  • Edell√§ 1 kohdassa tarkoitettu tietosuojaa koskeva vaikutustenarviointi vaaditaan erityisesti tapauksissa joissa:
    • a) luonnollisten henkil√∂iden henkil√∂kohtaisten ominaisuuksien j√§rjestelm√§llinen ja kattava arviointi, joka perustuu automaattiseen k√§sittelyyn, kuten profilointiin, ja johtaa p√§√§t√∂ksiin, joilla on luonnollista henkil√∂√§ koskevia oikeusvaikutuksia tai jotka vaikuttavat luonnolliseen henkil√∂√∂n vastaavalla tavalla merkitt√§v√§sti;
    • b) laajamittainen k√§sittely, joka kohdistuu 9 artiklan 1 kohdassa tarkoitettuihin erityisiin henkil√∂tietoryhmiin tai 10¬†artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin tietoihin; tai
    • c) yleis√∂lle avoimen alueen j√§rjestelm√§llinen valvonta laajamittaisesti.
  • Valvontaviranomaisen on laadittava ja julkaistava luettelo k√§sittelytoimien tyypeist√§, joiden yhteydess√§ vaaditaan 1¬†kohdan nojalla tietosuojaa koskeva vaikutustenarviointi. Valvontaviranomaisen on toimitettava t√§llaiset luettelot 68¬†artiklassa tarkoitetulle neuvostolle.
  • Valvontaviranomainen voi my√∂s laatia ja julkaista luettelon k√§sittelytoimien tyypeist√§, joiden osalta ei vaadita tietosuojaa koskevaa vaikutustenarviointia. Valvontaviranomaisen on toimitettava t√§llaiset luettelot tietosuojaneuvostolle.
  • Jos 4 ja 5 kohdassa tarkoitettu luettelo sis√§lt√§√§ k√§sittelytoimia, jotka liittyv√§t tavaroiden tai palvelujen tarjoamiseen rekister√∂idyille tai n√§iden k√§ytt√§ytymisen seurantaan useissa j√§senvaltioissa tai jos toimet voivat merkitt√§v√§sti vaikuttaa henkil√∂tietojen vapaaseen liikkuvuuteen unionissa, toimivaltaisen valvontaviranomaisen on sovellettava 63 artiklassa tarkoitettua yhdenmukaisuusmekanismia ennen kuin se vahvistaa kyseisen luettelon.
  • Arvioinnin on sis√§llett√§v√§ v√§hint√§√§n:
    • a) j√§rjestelm√§llinen kuvaus suunnitelluista k√§sittelytoimista, ja k√§sittelyn tarkoituksista, mukaan lukien tarvittaessa rekisterinpit√§j√§n oikeutetut edut;
    • b) arvio k√§sittelytoimien tarpeellisuudesta ja oikeasuhteisuudesta tarkoituksiin n√§hden;
    • c) arvio 1 kohdassa tarkoitetuista rekister√∂ityjen oikeuksia ja vapauksia koskevista riskeist√§; ja
    • d) suunnitellut toimenpiteet riskeihin puuttumiseksi, mukaan lukien suoja- ja turvallisuustoimet ja mekanismit, joilla varmistetaan henkil√∂tietojen suoja ja osoitetaan, ett√§ t√§t√§ asetusta on noudatettu ottaen huomioon rekister√∂ityjen ja muiden asianomaisten oikeudet ja oikeutetut edut.
  • Se, ett√§ asianomaiset rekisterinpit√§j√§t tai henkil√∂tietojen k√§sittelij√§t noudattavat 40 artiklassa tarkoitettuja hyv√§ksyttyj√§ k√§yt√§nnes√§√§nt√∂j√§, otetaan asianmukaisesti huomioon arvioitaessa kyseisten rekisterinpit√§jien ja henkil√∂tietojen k√§sittelij√∂iden suorittamien k√§sittelytoimien vaikutusta erityisesti tietosuojaa koskevassa vaikutustenarvioinnissa.
  • Rekisterinpit√§j√§n on tapauksen mukaan pyydett√§v√§ rekister√∂ityjen tai n√§iden edustajien n√§kemyksi√§ suunnitelluista k√§sittelytoimista, ilman ett√§ t√§m√§ saa vaikuttaa kaupallisten tai yleisten etujen suojeluun tai k√§sittelytoimien turvallisuuteen.
  • Jos 6 artiklan 1 kohdan c tai e alakohdan mukaisen k√§sittelyn oikeusperusteena on rekisterinpit√§j√§√§n sovellettava unionin oikeus tai j√§senvaltion lains√§√§d√§nt√∂, joka s√§√§telee siihen liittyv√§√§ k√§sittelytointa tai k√§sittelytoimia, ja tietosuojaa koskeva vaikutustenarviointi on jo tehty yleisen vaikutustenarvioinnin osana kyseisen k√§sittelyn oikeusperusteen hyv√§ksymisen yhteydess√§, 1‚Äď7 kohtaa ei sovelleta, paitsi jos j√§senvaltiot katsovat tarpeelliseksi toteuttaa t√§llaisen arvioinnin ennen k√§sittelytoimien aloittamista.
  • Rekisterinpit√§j√§n on teht√§v√§ tarvittaessa uudelleentarkastelu arvioidakseen, tapahtuuko k√§sittely tietosuojaa koskevan vaikutustenarvioinnin mukaisesti, ainakin jos k√§sittelytoimien sis√§lt√§m√§ riski muuttuu.