ELi andmekaitsereform: nõukogu kinnitab Euroopa Parlamendiga saavutatud kokkuleppe

Alaliste esindajate komitee (COREPER) kinnitas 18. detsembril 2015 Euroopa Parlamendiga kokku lepitud andmekaitsereformi käsitlevad kompromisstekstid. Kokkulepe saavutati nõukogu, parlamendi ja komisjoni vahel 15. detsembril. See kokkulepe on kooskõlas Euroopa Ülemkogu taotlusega lõpetada andmekaitsereformi alased läbirääkimised 2015. aasta lõpuks.

Luksemburgi justiitsminister ja nõukogu eesistuja Félix Braz: „See on tähtsate tagajärgedega põhimõtteline kokkulepe. See reform tugevdab mitte ainult kodanike õigusi, vaid kohandab eeskirju digitaalajastule ka ettevõtjate jaoks, vähendades samas halduskoormust. Need on ambitsioonikad ja tulevikku suunatud tekstid. Me võime olla tulemuses täiesti kindlad.”  

Andmekaitsereform kujutab endast õigusaktide paketti, mille komisjon esitas 2012. aastal andmekaitsealaste eeskirjade ajakohastamiseks ja moderniseerimiseks.  See puudutab kaht õigusakti: isikuandmete kaitse üldmäärus (ette nähtud direktiivi 95/46/EÜ asemele) ja direktiiv, mis käsitleb isikuandmete kaitset õiguskaitse valdkonnas (ette nähtud 2008. aasta isikuandmete kaitse raamotsuse asemele). 

Isikute kaitse nende isikuandmete töötlemisel on ELi põhiõiguste hartas (artikkel 8) ja Euroopa Liidu toimimise lepingus (artikkel 16) sätestatud põhiõigus.

Isikuandmete kaitse üldmäärus

Isikuandmete kaitse üldmääruse eesmärk on parandada isikuandmete kaitse taset üksikisikute jaoks, kelle isikuandmeid töödeldakse, ja suurendada väiksema halduskoormuse kaudu ettevõtlusvõimalusi digitaalsel ühtsel turul. 

Andmekaitse kõrgem tase

Üksikisikute isikuandmete töötlemise põhimõtted ja eeskirjad peavad järgima põhiõigusi ja -vabadusi, eelkõige õigust isikuandmete kaitsele. Need tugevdatud õigused isikuandmete kaitsele annavad andmesubjektidele (üksikisikud, kelle andmeid töödeldakse) rohkem kontrolli nende isikuandmete üle: 

• konkreetsemad eeskirjad, mis võimaldavad vastutavatel töötlejatel (kes vastutavad andmete töötlemise eest) töödelda isikuandmeid, muu hulgas nõue, et asjaomased isikud peavad andma nõusoleku
• lihtsam juurdepääs oma andmetele
• parem teave selle kohta, mis juhtub isikuandmetega pärast nende jagamist. See hõlmab üksikisikute teavitamist privaatsuspõhimõtetest selges ja lihtsas keeles, mida saab teha ka standardsete ikoonide kaudu
• õigus isikuandmete kustutamisele ja õigus olla unustatud. See võimaldab andmesubjektidel nõuda näiteks selliste isikuandmete viivitamatut kustutamist, mis olid kogutud või sotsiaalvõrgustikus avaldatud siis, kui ta oli alles laps
• kui alla 16 aasta vanune nooruk soovib kasutada sidusteenuseid, peab teenuseosutaja püüdma kontrollida, et vanemad on andnud oma nõusoleku. Liikmesriigid võivad vähendada seda vanusenõuet, kuid mitte alla 13 aasta
• ülekandmise õigus, mis aitab edastada isikuandmeid ühelt teenusepakkujalt (näiteks sotsiaalvõrgustik) teisele. See ei suurenda mitte ainult isikuandmete kaitse õigusi, vaid parandab ka teenusepakkujate vahelist konkurentsi
• õigus olla vastu selliste isikuandmete töötlemisele, mis on seotud avaliku huvi või vastutava töötleja õigustatud huviga. See õigus hõlmab isikuandmete kasutamist profiilianalüüsi tarbeks
• ühised kaitsemeetmed, mis hõlmavad isikuandmete töötlemist arhiveerimise tarbeks, kui seda tehakse avalikes huvides ning teaduslike ja ajaloouuringute või statistika eesmärgil.

Õiguskaitse läheduse tagamiseks on andmesubjektidel õigus oma andmekaitseasutuse otsuse läbivaatamisele siseriiklikus kohtus, olenemata liikmesriigist, kus vastutav töötleja asub. 

Suuremad ärivõimalused digitaalsel ühtsel turul

Määruses nähakse ette ühtsed eeskirjad, mis kehtivad kogu ELis ja mida kohaldatakse nii Euroopas kui ka Euroopast väljaspool asuvatele ettevõtjatele, kes pakuvad ELis sidusteenuseid. Sellega välditakse olukorda, kus vastuolulised siseriiklikud isikuandmete kaitse eeskirjad võivad takistada andmete piiriülest liikumist. Selles nähakse ette ka suurem koostöö liikmesriikide vahel, et tagada andmekaitse-eeskirjade ühesugune kohaldamine kogu ELis. Sellega luuakse õiglane konkurents ja innustatakse ettevõtjaid, eelkõige väikeseid ja keskmise suurusega ettevõtjaid digitaalset ühtset turgu võimalikult hästi ära kasutama. 

Selleks, et vähendada kulusid ja tagada õiguskindlus, tehakse oluliste piiriüleste juhtumite korral, mis hõlmavad mitmeid riiklikke järelevalveasutusi, ühtne järelevalvealane otsus. Selline ühtse kontaktpunkti mehhanism võimaldab mitmes liikmesriigis tegutseval ettevõtjal suhelda ainult selle andmekaitseasutusega, kes asub ettevõtja peamise tegevuskoha liikmesriigis. Selle mehhanismiga nähakse vaidluste korral ette ka ühtne otsus, mida kohaldatakse kogu ELi territooriumil. 

Halduskulude vähendamiseks rakendatakse määruses riskipõhist lähenemisviisi: vastutavad töötlejad saavad rakendada meetmeid vastavalt riskile, mis on seotud nende poolt tehtavate andmetöötlustoimingutega. Erinevatel ettevõtjatel on erinevad tegevused ja eraelu puutumatuse seisukohast selliste tegevustega seotud risk on erinev. Määruses ei nähta ette universaalset lahendust: mida suurem on tegevusest isikuandmetele tulenev risk, seda rangemad on kohustused. 

Arvukamad ja paremad vahendid andmekaitse-eeskirjade täitmiseks

Määruses nähakse ette erinevad meetmed vastutavate töötlejate vastutuse ja vastutavuse suurendamiseks, et tagada uute andmekaitse-eeskirjade täielik järgimine. Vastutavad töötlejad peavad rakendama mitmeid turvameetmeid, sealhulgas nõuet teatada teatavatel juhtudel isikuandmete kaitsega seotud rikkumistest. Selleks, et määrus oleks tulevikukindel, on kasutusele võetud lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted. Avaliku sektori asutused ja sellised ettevõtjad, kes teostavad teatud riskiga seotud isikuandmete töötlemist, peavad nimetama andmekaitseametniku, et tagada eeskirjade järgimine. 

Kui andmekaitse-eeskirju ei täideta, võivad andmesubjektid, ja teatavatel tingimustel ka andmekaitse organisatsioonid, esitada järelevalveasutusele kaebusi või kasutada õiguskaitsevahendeid. Vastutavaid töötlejaid saab trahvida kuni 20 miljoni euroga või kuni 4%ga nende aastasest kogukäibest. 

Tagatised seoses isikuandmete edastamisega väljapoole ELi

Määrusega kehtestatakse eeskirjad isikuandmete edastamiseks kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Edastamine on lubatud juhul, kui täidetakse mitmeid tingimusi ja kohaldatakse kaitsemeetmeid, eelkõige siis, kui komisjon on otsustanud, et kaitse tase on piisav. Uued piisavat kaitset käsitlevad otsused tuleb läbi vaadata vähemalt kord 4 aasta jooksul. Olemasolevad piisavat kaitset käsitlevad otsused jäävad kehtima, kuni need muudetakse, asendatakse või tunnistatakse kehtetuks.   

Direktiiv, mis käsitleb isikuandmete kaitset õiguskaitse valdkonnas

Nimetatud direktiivi eesmärk on kaitsta isikuandmeid, mida töödeldakse kuritegude tõkestamise, avastamise, uurimise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil. 

On äärmiselt tähtis tagada üksikisikute isikuandmete kaitse järjepidev ja kõrge tase, hõlbustades samas isikuandmete vahetamist erinevate liikmesriikide õiguskaitseasutuste vahel. 

Laiem kohaldamisala

Lisaks kuritegude tõkestamisele, uurimisele, avastamisele ja nende eest vastutusele võtmisele on uut direktiivi laiendatud, et see hõlmaks avalikku julgeolekut ähvardavate ohtude eest kaitsmist ja nende ennetamist. 

Uut direktiivi kohaldataks nii isikuandmete piiriülese töötlemise suhtes kui ka üksnes riiklikul tasandil politsei- ja õigusasutuste teostatava isikuandmete töötlemise suhtes. Asendatav raamotsus hõlmas ainult piiriülest andmevahetust. 

Andmesubjekti õigused

Eeskirjadega luuakse tasakaal eraelu puutumatuse õiguse ja politsei vajaduse vahel mitte avalikustada uurimise algstaadiumis teavet andmete töötlemise kohta. Tekstis on aga nimetatud teave, mida andmesubjektil on alati õigus oma õiguste kaitsmiseks saada, kui nad kardavad, et nende isikuandmetega seoses on toime pandud rikkumine. 

Uued eeskirjad hõlmavad ka isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele. 

Nõuete järgimine

Uues direktiivis nähakse ette andmekaitseametniku nimetamine, et aidata pädevatel asutustel tagada andmekaitse-eeskirjade järgimine. 

Veel üks vahend nõuete järgimise tagamiseks on mõjuhinnang. Kui teatud liiki töötlemine võib tõenäoliselt põhjustada suurt riski üksikisikute õigustele ja vabadustele, peavad pädevad asutused hindama teatud töötlemise võimalikku mõju, eelkõige juhul, kui kasutatakse uut tehnoloogiat.   

Järelevalve ja hüvitamine

Direktiivi tekst on viidud vastavusse määruse tekstiga, et tagada, et üldjoontes kehtivad samad üldpõhimõtted Lisaks on järelevalveasutust käsitlevad eeskirjad suures osas sarnased, sest isikuandmete kaitse üldmääruse raames loodud järelevalveasutus võib tegeleda ka direktiivi alla kuuluvate küsimustega. Uue direktiiviga antaks andmesubjektidele samuti õigus saada hüvitist, kui nad on kandnud kahju töötlemise tõttu, mille puhul ei ole järgitud eeskirju.                        

EDASINE TEGEVUS

Kodanikuvabaduste, justiits- ja siseasjade komisjon (LIBE) kinnitas 17. detsembril toimunud erakorralisel koosolekul kolmepoolsetel läbirääkimistel kokku lepitud tekstid. See toetus võimaldas COREPERil kinnitada täna määruse ja direktiivi lõplikud kompromisstekstid. Tekstid edastatakse pärast õiguskeelelist läbivaatamist vastuvõtmiseks nõukogule ja seejärel parlamendile. Määrus ja direktiiv jõustuvad tõenäoliselt 2018. aasta kevadel.