Andmekaitsereform: nõukogu võtab vastu esimese lugemise seisukoha

8. aprillil 2016 võttis nõukogu vastu esimese lugemise seisukoha andmekaitsereformi kohta, mis võimaldab Euroopa Parlamendil selle õigusaktide paketi oma aprilli täiskogu istungil lõplikult vastu võtta.

Ametlikule vastuvõtmisele eelnes 2015. aasta detsembris Euroopa Parlamendiga saavutatud kompromiss.

Pärast vastuvõtmist sõnas Madalmaade justiitsminister Ard van der Steur: „Euroopa Parlament on lubanud, et see kompromiss võimaldab aprillis hääletada nii andmekaitsepaketi kui ka broneeringuinfo direktiivi üle. 22. märtsil Brüsselis toimunud rünnakud tõid taas esile tungiva vajaduse võtta vastu broneeringuinfo direktiiv.“

Andmekaitsereform kujutab endast õigusaktide paketti, mille eesmärk on ajakohastada ja moderniseerida olemasolevad andmekaitsealased õigusnormid. Pakett sisaldab kahte õigusakti: isikuandmete kaitse üldmäärus (millega on kavas asendada direktiiv 95/46/EÜ) ja direktiiv, mis käsitleb isikuandmete kaitset õiguskaitse valdkonnas (millega on kavas asendada 2008. aasta isikuandmete kaitse raamotsus).

Isikute kaitse nende isikuandmete töötlemisel on ELi põhiõiguste hartas (artikkel 8) ja Euroopa Liidu toimimise lepingus (artikkel 16) sätestatud põhiõigus.

Isikuandmete kaitse üldmäärus

Isikuandmete kaitse üldmääruse eesmärk on parandada isikuandmete kaitse taset üksikisikute puhul, kelle isikuandmeid töödeldakse, ja suurendada, muu hulgas väiksema halduskoormuse kaudu, ettevõtlusvõimalusi digitaalsel ühtsel turul.

Andmekaitse kõrgem tase

Üksikisikute isikuandmete töötlemist käsitlevad põhimõtted ja õigusnormid peavad järgima põhiõigusi ja -vabadusi, eelkõige õigust isikuandmete kaitsele. Need tugevdatud isikuandmete kaitse õigused annavad andmesubjektidele (üksikisikud, kelle andmeid töödeldakse) suurema kontrolli oma isikuandmete üle:

• konkreetsemad normid, mis võimaldavad vastutavatel töötlejatel (kes vastutavad andmete töötlemise eest) töödelda isikuandmeid, muu hulgas nõue, et asjaomased isikud peavad andma nõusoleku
• lihtsam juurdepääs oma isikuandmetele
• parem teave selle kohta, mis juhtub isikuandmetega pärast nende jagamist; see hõlmab üksikisikute teavitamist privaatsuspõhimõtetest selges ja lihtsas keeles, mida saab teha ka standardsete ikoonide kaudu
• õigus isikuandmete kustutamisele ja õigus „olla unustatud“; see võimaldab andmesubjektidel nõuda näiteks selliste isikuandmete viivitamatut kustutamist, mis olid kogutud või sotsiaalvõrgustikus avaldatud siis, kui ta oli alles laps
• kui alla 16 aasta vanune nooruk soovib kasutada sidusteenuseid, peab teenuseosutaja püüdma kontrollida, et vanemad on andnud oma nõusoleku; liikmesriigid võivad vähendada seda vanusepiiri, kuid mitte alla 13 aasta
• ülekandmise õigus, mis aitab edastada isikuandmeid ühelt teenusepakkujalt (näiteks sotsiaalvõrgustik) teisele; see ei suurenda mitte ainult isikuandmete kaitse õigusi, vaid parandab ka teenusepakkujate vahelist konkurentsi
• õigus olla vastu selliste isikuandmete töötlemisele, mis on seotud avaliku huvi või vastutava töötleja õigustatud huviga; see õigus hõlmab isikuandmete kasutamist profiilianalüüsi tarbeks
• ühised kaitsemeetmed, mis hõlmavad isikuandmete töötlemist arhiveerimise tarbeks, kui seda tehakse avalikes huvides ning teaduslike ja ajaloouuringute või statistika eesmärgil

Õiguskaitse läheduse tagamiseks on andmesubjektidel õigus oma andmekaitseasutuse otsuse läbivaatamisele siseriiklikus kohtus, olenemata liikmesriigist, kus vastutav töötleja asub.

Suuremad ärivõimalused digitaalsel ühtsel turul

Määruses nähakse ette ühtsed õigusnormid, mis kehtivad kogu ELis ja mida kohaldatakse nii Euroopas kui ka Euroopast väljaspool asuvatele ettevõtjatele, kes pakuvad ELis sidusteenuseid. Sellega välditakse olukorda, kus isikuandmete kaitset käsitlevad vastuolulised siseriiklikud õigusnormid võivad takistada andmete piiriülest vahetamist. Selles nähakse ette ka suurem koostöö liikmesriikide vahel, et tagada andmekaitset käsitlevate õigusnormide ühesugune kohaldamine kogu ELis. Sellega luuakse õiglane konkurents ja innustatakse ettevõtjaid, eelkõige väikeseid ja keskmise suurusega ettevõtjaid digitaalset ühtset turgu võimalikult hästi ära kasutama.

Selleks, et vähendada kulusid ja tagada õiguskindlus, tehakse oluliste piiriüleste juhtumite korral, mis hõlmavad mitmeid riiklikke järelevalveasutusi, ühtne järelevalvealane otsus. Selline ühtse kontaktpunkti mehhanism võimaldab mitmes liikmesriigis tegutseval ettevõtjal suhelda ainult selle andmekaitseasutusega, mis asub ettevõtja peamise tegevuskoha liikmesriigis. Selle mehhanismiga nähakse vaidluste korral ette ka ühtne otsus, mida kohaldatakse kogu ELi territooriumil.

Halduskulude vähendamiseks rakendatakse määruses riskipõhist lähenemisviisi: vastutavad töötlejad saavad rakendada meetmeid vastavalt riskile, mis on seotud nende poolt tehtavate andmetöötlustoimingutega. Erinevatel ettevõtjatel on erinevad tegevused ja selliste tegevustega seotud risk võib eraelu puutumatuse seisukohast olla erinev. Määruses ei nähta ette universaalset lahendust: mida suurem on tegevusest isikuandmetele tulenev risk, seda rangemad on kohustused.

Arvukamad ja paremad vahendid andmekaitset käsitlevate õigusnormide järgmiseks

Määruses nähakse ette erinevad meetmed vastutavate töötlejate vastutuse suurendamiseks, et tagada andmekaitset käsitlevate uute õigusnormide täielik järgimine. Vastutavad töötlejad peavad rakendama mitmeid turvameetmeid, sealhulgas nõuet teatada teatavatel juhtudel isikuandmete kaitsega seotud rikkumistest. Selleks, et määrus oleks tulevikukindel, on kasutusele võetud lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted. Avaliku sektori asutused ja sellised ettevõtjad, kes teostavad isikuandmete töötlemist, mis on seotud teatava riskiga, peavad nimetama andmekaitseametniku, et tagada õigusnormide järgimine.

Kui andmekaitset käsitlevaid õigusnorme ei järgita, võivad andmesubjektid, ja teatavatel tingimustel ka andmekaitse organisatsioonid, esitada järelevalveasutusele kaebusi või kasutada õiguskaitsevahendeid. Vastutavaid töötlejaid saab trahvida kuni 20 miljoni euroga või kuni 4%ga nende aastasest kogukäibest.

Tagatised seoses isikuandmete edastamisega väljapoole ELi

Määrusega kehtestatakse õigusnormid isikuandmete edastamiseks kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Edastamine on lubatud juhul, kui täidetakse mitmeid tingimusi ja kohaldatakse kaitsemeetmeid, eelkõige siis, kui komisjon on otsustanud, et kaitse tase on piisav. Uued piisavat kaitset käsitlevad otsused tuleb läbi vaadata vähemalt kord 4 aasta jooksul. Olemasolevad piisavat kaitset käsitlevad otsused jäävad kehtima, kuni need muudetakse, asendatakse või tunnistatakse kehtetuks.

Direktiiv, mis käsitleb isikuandmete kaitset õiguskaitse valdkonnas

Nimetatud direktiivi eesmärk on kaitsta isikuandmeid, mida töödeldakse kuritegude tõkestamise, avastamise, uurimise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil.

Äärmiselt tähtis on tagada üksikisikute isikuandmete kaitse järjepidev ja kõrge tase, hõlbustades samas isikuandmete vahetamist erinevate liikmesriikide õiguskaitseasutuste vahel.

Laiem kohaldamisala

Lisaks kuritegude tõkestamisele, uurimisele, avastamisele ja nende eest vastutusele võtmisele on uut direktiivi laiendatud, et see hõlmaks avalikku julgeolekut ähvardavate ohtude eest kaitsmist ja nende ennetamist.

Uut direktiivi kohaldataks nii isikuandmete piiriülese töötlemise suhtes kui ka üksnes riiklikul tasandil politsei- ja õigusasutuste teostatava isikuandmete töötlemise suhtes. Asendatav raamotsus hõlmas ainult piiriülest andmevahetust.

Andmesubjekti õigused

Õigusnormidega luuakse tasakaal eraelu puutumatuse õiguse ja politsei vajaduse vahel mitte avalikustada uurimise algstaadiumis teavet andmete töötlemise kohta. Tekstis on aga nimetatud teave, mida andmesubjektidel on alati õigus oma õiguste kaitsmiseks saada, kui nad kardavad, et nende isikuandmetega seoses on toime pandud rikkumine.

Uued õigusnormid hõlmavad ka isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele.

Nõuete järgimine

Uues direktiivis nähakse ette andmekaitseametniku nimetamine, et aidata pädevatel asutustel tagada andmekaitset käsitlevate õigusnormide järgimine.

Veel üks vahend nõuete järgimise tagamiseks on mõjuhinnang. Kui teatud liiki töötlemine võib tõenäoliselt põhjustada suurt riski üksikisikute õigustele ja vabadustele, peavad pädevad asutused hindama teatud töötlemise võimalikku mõju, eelkõige juhul, kui kasutatakse uut tehnoloogiat.

Järelevalve ja hüvitamine

Direktiivi tekst on viidud vastavusse määruse tekstiga, et tagada, et üldjoontes kehtivad samad üldpõhimõtted. Lisaks on järelevalveasutust käsitlevad õigusnormid suures osas sarnased, sest isikuandmete kaitse üldmääruse raames loodud järelevalveasutus võib tegeleda ka direktiivi alla kuuluvate küsimustega. Uue direktiiviga antaks andmesubjektidele samuti õigus saada hüvitist, kui nad on kandnud kahju sellise andmete töötlemise tõttu, mille puhul õigusnorme ei ole järgitud.

Edasised sammud

Euroopa Parlament peaks hääletama järgmisel teisipäeval, 14. aprillil, täiskogu istungil toimuval teisel lugemisel, kiites nõukogu esimese lugemise seisukoha ilma muudatusteta heaks ja viies õigusloomeprotsessi lõpule.

Pärast seda avaldatakse õigusakt Euroopa Liidu Teatajas.

• Andmekaitse määrus: nõukogu esimese lugemise seisukoht
• Andmekaitse määrus: nõukogu põhjendused
• Andmekaitse direktiiv: nõukogu esimese lugemise seisukoht
• Andmekaitse direktiiv: nõukogu põhjendused
• Andmekaitsereform