Tietojenkäsittelytoimi: Eurooppalaista kansalaisaloitetta koskeva viestintäkampanja
Rekisterinpitäjä: Euroopan komissio, pääsihteeristö, yksikkö SG.C.1 (Työohjelma ja kehityksen ennakointi)
Yhteisrekisterinpitäjät: Meta Platforms Ireland Limited, joka ylläpitää Facebookia ja Instagramia
Rekisteriviite: DPR-EC-09286
1. Johdanto
Euroopan komissio on sitoutunut suojaamaan henkilötietoja ja kunnioittamaan yksityisyyden suojaa. Komissio noudattaa henkilötietojen keräämisessä ja käsittelyssä luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725.
Tässä tietosuojaselosteessa selitetään, miksi henkilötietoja kerätään, miten kaikkia luovutettuja henkilötietoja käsitellään ja suojataan, miten niitä käytetään ja mitä oikeuksia rekisteröidyllä on henkilötietojensa suhteen. Se sisältää myös oikeuksien käytöstä vastaavan rekisterinpitäjän / yhteisrekisterinpitäjien, tietosuojavastaavan ja Euroopan tietosuojavaltuutetun yhteystiedot.
Tällä sivulla kuvataan tietojenkäsittelytoimi ”Eurooppalaista kansalaisaloitetta koskeva viestintäkampanja”, josta vastaa Euroopan komission pääsihteeristön C.1-yksikkö (SG.C.1).
2. Miksi ja miten henkilötietoja käsitellään?
Eurooppalaista kansalaisaloitetta koskevan viestintäkampanjan toteuttaa Euroopan komissio kansalaisaloiteasetuksen (17.4.2019 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2019/788) 18 artiklan 1 kohdan mukaisesti. Komission tavoitteena on ”tiedottaa eurooppalaisesta kansalaisaloitteesta, sen tavoitteista ja toiminnasta viestintätoimilla ..., joilla se osaltaan edistää kansalaisten aktiivista osallistumista unionin politiikkaan”.
Käsittely osallistamista ja osallistavia toimia varten
SG.C.1-yksikkö kerää ja käsittelee kansalaisaloitteen sidosryhmiin kuuluvien tai muiden asiasta kiinnostuneiden kansalaisten (myös alaikäisten) yhteystietoja, jotta heitä voidaan pyytää osallistumaan viestintäkampanjan muihin toimiin, kuten kohdennettuihin kuulemisiin, videokilpailuihin tai muihin yleisöaktiviteetteihin, tai kutsua esiintyjiksi tapahtumiin, mainoksiin, audiovisuaalisiin julkaisuihin yms.
Useimmissa tapauksissa henkilötietojesi käsittely liittyy johonkin aiempaan tietojenkäsittelyyn, joka on yhteydessä viestintäkampanjaan, esimerkiksi johonkin seuraavista:
- Jos olet kansalaisaloitteen järjestäjä tai kansalaisaloiteasetuksen täytäntöönpanoon osallistuvan kansallisen viranomaisen palveluksessa oleva virkamies, henkilötietojesi käsittely kuvataan komission tietosuojavastaavan rekisterin selosteessa DPR-EC-00068.
- Jos olet kansalaisaloitelähettiläs tai jos olet kertonut kansalaisaloitteisiin liittyvistä kokemuksistasi videolla, muussa julkaisussa tai yleisöaktiviteettien yhteydessä, henkilötietojesi käsittely kuvataan komission tietosuojavastaavan rekisterin selosteessa DPR-EC-09286 ja kyseisen aktiviteetin omassa tietosuojaselosteessa.
- Jos olet osallistunut eurooppalaiseen kansalaisaloitteeseen liittyneeseen viestintätapahtumaan puhujana, henkilötietojesi käsittely kuvataan komission tietosuojavastaavan rekisterin selosteessa DPR-EC-01063 ja kyseisen tapahtuman tietosuojaselosteessa.
- Jos olet osallistunut eurooppalaiseen kansalaisaloitteeseen liittyneeseen kohdennettuun kuulemiseen, henkilötietojesi käsittely kuvataan komission tietosuojavastaavan rekisterin selosteessa DPR-EC-01011 ja kyseisen kuulemisen tietosuojaselosteessa.
- Jos olet itse ottanut yhteyttä komissioon kansalaisaloitteeseen liittyvässä asiassa, henkilötietojesi käsittely kuvataan komission tietosuojavastaavan rekisterin selosteessa DPR-EC-01386.
Henkilötietojasi käsitellään edellä mainituissa tapauksissa tapauskohtaisen tietosuojaselosteen mukaisesti, ja joissakin tapauksissa käsittelyyn tarvitaan sinun suostumuksesi.
On myös mahdollista, että komissio tai sen toimeksisaajat (jotka saattavat toimia tietojenkäsittelijöinä) ovat katsoneet sinun kuuluvan johonkin kansalaisaloitesidosryhmään sellaisten tietojen perusteella, joita on saatu komission tai viranomaisten tietokannoista, komission paikallistoimistojen tai virastojen kumppaneilta tai muista julkisista lähteistä.
Käsittely maksettujen ilmoitusten kautta
Käytämme eurooppalaista kansalaisaloitetta koskevassa viestintäkampanjassa myös maksullista verkkomainontaa sosiaalisen median alustoilla, kuten Instagramissa, Facebookissa, YouTubessa ja LinkedInissä, ja hyödynnämme digitaaliteknologiaa tiedottaaksemme eurooppalaisen kansalaisaloitteen olemassaolosta, tavoitteista ja toiminnasta. Komissio ei kerää henkilötietoja tehdessään eurooppalaista kansalaisaloitetta tunnetuksi sosiaalisessa mediassa.
Henkilötietoja ei käytetä automatisoituun päätöksentekoon, kuten profilointiin.
3. Mikä on henkilötietojen käsittelyn oikeudellinen perusta?
Kansalaisaloiteasetuksen 18 artiklan 1 kohdan mukaan komissio ”tiedottaa eurooppalaisesta kansalaisaloitteesta, sen tavoitteista ja toiminnasta viestintätoimilla ja tiedotuskampanjoilla, joilla se osaltaan edistää kansalaisten aktiivista osallistumista unionin politiikkaan”.
Eurooppalaisesta kansalaisaloitteesta annetun asetuksen johdanto-osan 33 perustelukappaleessa todetaan, että ”[j]otta voidaan edistää kansalaisten aktiivista osallistumista unionin politiikkaan, komission olisi lisättävä yleistä tietoisuutta eurooppalaisesta kansalaisaloitteesta erityisesti digitaalista teknologiaa ja sosiaalista mediaa hyödyntäen ja unionin kansalaisuutta ja kansalaisten oikeuksia edistävien toimien yhteydessä.”
Tässä tapauksessa kansalaisaloitesidosryhmien yhteystietojen kerääminen ja käsittely sekä henkilötietojen käsittely maksettujen ilmoitusten kautta perustuu asetuksen (EU) 2018/1725 5 artiklan 1 kohdan a alakohtaan, koska sen katsotaan olevan tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai unionin toimielimelle tai elimelle kuuluvan julkisen vallan käyttämiseksi.
Sosiaalisen median alustoilla olevia maksettuja ilmoituksia käytetään lisäämään kansalaisten tietoisuutta eurooppalaisesta kansalaisaloitteesta eurooppalaisesta kansalaisaloitteesta annetun asetuksen 18 artiklan ja johdanto-osan 33 kappaleen mukaisesti. Käsittely on tarpeen yleistä etua varten, ja siinä keskitytään yksinomaan tiedon levittämiseen ostettujen ilmoitusten avulla ilman, että komissio kerää henkilötietoja suoraan tai käyttää sosiaalisen median käyttäjien henkilötietoja.
Tietyt viestintäkampanjassa tehtävät henkilötietojen käsittelytoimet voivat edellyttää henkilön itsensä nimenomaista suostumusta asetuksen (EU) 2018/1725 5 artiklan 1 kohdan d alakohdan mukaisesti. Tällaisia toimia ovat esimerkiksi kertomukset kansalaisaloitteisiin liittyvistä kokemuksista, audiovisuaaliset sisällöt, markkinointi- ja koulutusaineistot, jotka sisältävät henkilökohtaisia lausuntoja, ja kansalaisaloitelähettiläiden osallistuminen tiedotustapahtumiin EU-maissa tai EU:n tasolla.
4. Mitä henkilötietoja kerätään ja käsitellään?
Osallistamista ja osallistavia toimia varten
Jotta sinut voidaan kutsua osallistumaan eurooppalaisia kansalaisaloitteita koskevaan viestintätapahtumaan, videokilpailuun, muuhun yleisöaktiviteettiin tai kohdennettuun kuulemiseen kansalaisaloitesidosryhmän edustajana, voidaan käsitellä seuraavia tietoja: sinulta, viranomaisten tai komission tietokannoista, komission tai komission virastojen paikallisilta kumppaneilta tai julkisista lähteistä saadut yhteystiedot, etunimi, sukunimi, ammatti/tehtävänimike, organisaation/aloitteen nimi (jos olet eurooppalaisen kansalaisaloitteen järjestäjä), kiinnostuksen kohteet, kansalaisuus/kielet, puhelinnumero, sähköpostiosoite, ääni-, kuva- ja videotallenteet.
Jos suostut toimimaan kansalaisaloitelähettiläänä, edellä mainittujen tietojen lisäksi käsitellään seuraavia sinua koskevia tietoja: komission ja henkilötietojen käsittelijöiden tekemät arvioinnit, joiden perusteella sinut on valittu kansalaisaloitelähettilääksi, allekirjoittamasi kansalaisaloitelähettilään sopimus, lyhyt henkilökuva ja ääni-, kuva- ja videotallenteet, komissiolle ja käsittelijöille lähetetyissä viesteissä ilmaistut mielipiteet, sosiaalisen median käyttäjätunnukset sekä käsittelijän sosiaalisessa mediassa ja muualla toteuttamista tiedotustoimista laaditut raportit, jotka perustuvat julkisiin tai sinun itsesi antamiin tietoihin.
Jos suostut kertomaan kansalaisaloitteisiin liittyvistä kokemuksistasi viestintäkampanjan yhteydessä, käsiteltäviin tietoihin kuuluvat myös lyhyt henkilökuva, ääni-, kuva- ja videotallenteet, ikä, sukupuoli, kiinnostuksen kohteet, kansalaisuus/kielet, puhelinnumero, sähköpostiosoite, sosiaalisen median käyttäjätunnukset, kansalaisuus/kielet sekä komissiolle ja sen henkilötietojen käsittelijöille lähetetyissä viesteissä ilmaistut mielipiteet.
Maksettuja ilmoituksia varten
Komissio ja sen henkilötietojen käsittelijät voivat valita kutakin mainoskampanjaa varten tiettyjä rajoitettuja parametreja tai kriteerejä (esimerkiksi ikäryhmä, maantieteellinen alue, kiinnostuksen kohteet) sosiaalisen median alustojen tarjoamien vaihtoehtojen perusteella. Komissio ja sen henkilötietojen käsittelijät eivät kuitenkaan kerää sosiaalisen median käyttäjien henkilötietoja, eivätkä pääse niihin. Operatiivinen rekisterinpitäjä ei käsittele erityisiä henkilötietoryhmiä sosiaalisen median mainonnan kautta.
Henkilötietojen käsittelystä sosiaalisen median alustoilla toteutettavan kohdennetun mainonnan yhteydessä: ks. tietosuojaperiaatteet
- Facebookissa ja Instagramin osalta osoitteessa https://www.facebook.com/privacy/policy
- YouTuben osalta osoitteessa https://policies.google.com/privacy#enforcement
- LinkedInin osalta osoitteessa https://www.linkedin.com/legal/privacy-policy
5. Miten kauan henkilötietoja säilytetään?
Osallistamista ja osallistavia toimia varten
SG.C.1-yksikkö säilyttää yhteystietosi niin kauan kuin on tarpeen, jotta tietojen keräämisen tai jatkokäsittelyn tarkoitus täyttyy, eli enintään 5 vuoden ajan siitä, kun tiedot on saatu, tai viimeisestä kansalaisaloitteisiin liittyvästä yhteydenotostasi komissioon sen mukaan, kumpi ajankohta on myöhäisempi. Tiedot poistetaan kuitenkin aikaisemmin, jos ilmoitat, että et ole enää tekemisissä kansalaisaloitteiden kanssa (esim. jos työtehtäväsi ovat vaihtuneet).
Tallennettuja kertomuksia kansalaisaloitteisiin liittyvistä kokemuksista säilytetään enintään 3 vuoden ajan tallennuspäivästä. Tällaisten tallenteiden tallentamisen yhteydessä kerättyjä tai laadittuja asiakirjoja (raportit, kirjeenvaihto, rahoitustiedot yms.) säilytetään 10 vuoden ajan keräämisestä tai tallentamisesta. Julkaistua markkinointi-, audiovisuaali- ja koulutusaineistoa säilytetään määräämättömän ajan.
Maksettuja ilmoituksia varten
Komissio ja sen henkilötietojen käsittelijät eivät kerää sosiaalisen median käyttäjiltä henkilötietoja sosiaalisen median alustoilla maksetuista ilmoituksista, joten tässä yhteydessä ei sovelleta henkilötietojen säilyttämistä koskevia sääntöjä.
Huomaa, että muiden viestintäkampanjaan liittyvien käsittelytoimien yhteydessä henkilötietojen säilytysajat voivat olla erilaiset, ja ne kerrotaan kyseisten toimien omissa tietosuojaselosteissa.
6. Miten henkilötiedot suojataan?
Osallistamista ja osallistavia toimia varten
Kaikki sähköisessä muodossa olevat henkilökohtaiset tiedot (sähköpostiviestit, asiakirjat, tietokannat, verkkoon ladatut tiedot, audiovisuaalinen sisältö yms.) tallennetaan Euroopan komission tai sen (henkilötietojen käsittelijöinä toimivien) toimeksisaajien palvelimille. Kaikessa tietojenkäsittelyssä sovelletaan 10. tammikuuta 2017 annettua komission päätöstä (EU, Euratom) 2017/46 viestintä- ja tietojärjestelmien turvallisuudesta Euroopan komissiossa.
Kun komission toimeksisaajat käsittelevät tietoja henkilötietojen käsittelijöinä komission lukuun, niiden on noudatettava erityistä sopimuslauseketta sekä yleisen tietosuoja-asetuksen (asetus (EU) 2016/679) salassapitovelvoitteita. Palvelimet, joilla GOPA COMin ja European Citizen Action Servicen tietokannat sijaitsevat ja joilla ne tietoja käsittelevät, sijaitsevat poikkeuksetta Euroopan unionin alueella.
Komissio suojaa henkilötietoja monenlaisin teknisin ja hallinnollisin toimenpitein. Teknisillä toimenpiteillä varmistetaan verkkoturvallisuus ja pienennetään tietojen häviämisen, muuttamisen ja luvattoman käytön riskiä. Toimenpiteissä otetaan huomioon tietojen käsittelystä johtuvat riskit ja käsiteltävien tietojen luonne. Hallinnollisiin toimenpiteisiin kuuluu sen varmistaminen, että henkilötietoihin on pääsy vain valtuutetuilla henkilöillä, joilla on perusteltu tarve saada ne tietoonsa käsittelyä varten.
Maksettuja ilmoituksia varten
Sosiaalisen median alustat soveltavat maksettujen ilmoitusten suhteen omia turvatoimenpiteitään ja ovat vastuussa tietojen eheyden ja luottamuksellisuuden varmistamisesta. Lisätietoja sosiaalisen median alustojen soveltamista turvatoimista on niiden omissa tietosuojaperiaatteissa, jotka on lueteltu kohdassa 4.
7. Kenellä on pääsy henkilötietoihin ja kenelle tietoja luovutetaan?
Osallistamista ja osallistavia toimia varten
Henkilötietoihin voivat tutustua niiden käsittelystä vastaavat komission työntekijät, valtuutetut työntekijät muut tiedonsaantitarpeen perusteella ja toimeksisaajien (GOPA COM ja European Citizen Action Service) valtuutetut työntekijät, jotka toimivat tietojen käsittelijöinä. Näiden työntekijöiden on noudatettava lakisääteisiä salassapitovelvollisuuksia ja tarpeen mukaan myös muita salassapitosopimuksia.
Julkisesti saatavilla olevat yhteystiedot voidaan jakaa muille kansalaisaloitesidosryhmille.
Maksettuja ilmoituksia varten
Rekisterinpitäjän ja sen henkilötietojen käsittelijän (GOPA COM) henkilöstöllä ei ole pääsyä sosiaalisen median käyttäjien henkilötietoihin, kun on kyse maksetuista ilmoituksista sosiaalisen median alustoilla.
Sosiaalisen median alustat keräävät ja käsittelevät henkilötietoja omien tietosuojaperiaatteidensa mukaisesti.
8. Mitkä ovat kansalaisaloitteen allekirjoittajan oikeudet ja miten niiden noudattamista valvotaan?
Sinulla on nk. rekisteröidyn oikeudet, joista säädetään asetuksen (EU) 2018/1725 III luvussa (14–25 artikla) ja asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus). Näitä ovat oikeus tutustua omiin henkilötietoihin ja oikaista niitä, jos ne ovat virheellisiä tai puutteellisia. Tietyissä tilanteissa sinulla on myös oikeus pyytää henkilötietojen poistamista, rajoittaa henkilötietojen käsittelyä ja siirtää tiedot järjestelmästä toiseen.
Sinulla on oikeus vastustaa henkilötietojesi käsittelyä, joka suoritetaan lainmukaisesti asetuksen (EU) 2018/1725 5 artiklan 1 kohdan a alakohdan nojalla.
Jos olet antanut suostumuksesi siihen, että rekisterinpitäjä voi tämän tietojenkäsittelytoimen yhteydessä käsitellä henkilötietojasi, voit peruuttaa suostumuksesi milloin tahansa ilmoittamalla siitä rekisterinpitäjälle. Suostumuksen peruutus ei vaikuta ennen peruutusta suoritetun henkilötietojen käsittelyn lainmukaisuuteen.
Voit oikeuksiasi koskevissa asioissa ottaa yhteyttä rekisterinpitäjän/yhteisrekisterinpitäjien, tai riitatilanteessa tietosuojavastaavaan. Tarvittaessa voi ottaa yhteyttä myös Euroopan tietosuojavaltuutettuun. Yhteystiedot ovat kohdassa 9.
Oikeuksia koskevissa yhteydenotoissa tulee ilmoittaa, mistä käsittelytoimista on kyse (eli mainita rekisteriviite, joka annetaan kohdassa 10).
9. Yhteystiedot
- Rekisterinpitäjä
Jos haluat käyttää asetuksen (EU) 2018/1725 mukaisia oikeuksiasi tai jos sinulla on kysymyksiä, kommentteja tai ongelmia tai jos haluat tehdä valituksen henkilötietojesi keräämisestä ja käytöstä, ota yhteyttä rekisterinpitäjään (Euroopan komission pääsihteeristön yksikkö SG.C.1, Työohjelma ja kehityksen ennakointi): SG-ECI-mailing
ec [dot] europa [dot] eu (SG-ECI-mailing[at]ec[dot]europa[dot]eu)
- Komission tietosuojavastaava
Jos asia koskee asetuksen (EU) 2018/1725 mukaista henkilötietojen käsittelyä, voit ottaa yhteyttä komission tietosuojavastaavaan: DATA-PROTECTION-OFFICERec [dot] europa [dot] eu (DATA-PROTECTION-OFFICER[at]ec[dot]europa[dot]eu).
- Euroopan tietosuojavaltuutettu
Rekisteröidyllä on oikeus kääntyä Euroopan tietosuojavaltuutetun puoleen (edpsedps [dot] europa [dot] eu (edps[at]edps[dot]europa[dot]eu)) ja tehdä kantelu, jos hän katsoo, että rekisterinpitäjän suorittama henkilötietojen käsittely on johtanut asetuksen (EU) 2018/1725 mukaisten oikeuksien loukkaamiseen.
- Asianomainen sosiaalisen median alusta
Jos haluat käyttää asetuksen (EU) 2016/679 mukaisia oikeuksiasi tai jos sinulla on kysymyksiä, kommentteja tai ongelmia tai haluat tehdä valituksen henkilötietojesi keräämisestä ja käytöstä sosiaalisen median alustalla, ota yhteyttä kyseiseen alustaan tai sen tietosuojavastaavaan.
Kyseessä voi olla Facebook, Instagram, YouTube tai LinkedIn riippuen siitä, miltä sosiaalisen median alustalta mainos on ostettu ja miltä se on katsottu. Sosiaalisen median alustojen ja niiden tietosuojavastaavien yhteystiedot löytyvät niiden tietosuojaperiaatteista, jotka on lueteltu kohdassa 4.
10. Lisätietoja
Komission tietosuojavastaava pitää julkista rekisteriä kaikista Euroopan komission suorittamista henkilötietojen käsittelytoimista, jotka on dokumentoitu ja joista on tehty ilmoitus tietosuojavastaavalle. Rekisteriin voi tutustua osoitteessa https://ec.europa.eu/dpo-register.
Tässä asiakirjassa kuvattu tietojenkäsittelytoimi on kirjattu tietosuojavastaavan rekisteriin viitteellä DPR-EC-09286.
