ES duomenų apsaugos reforma. Taryba patvirtino susitarimą su Europos Parlamentu

2015 m. gruodžio 18 d. Nuolatinių atstovų komitetas patvirtino kompromisinius tekstus dėl duomenų apsaugos reformos, dėl kurių susitarta su Europos Parlamentu. Gruodžio 15 d. Taryba, Parlamentas ir Komisija pasiekė susitarimą. Šis susitarimas pasiektas, atsižvelgiant į Europos Vadovų Tarybos prašymą iki 2015 m. pabaigos užbaigti derybas dėl duomenų apsaugos reformos.

Liuksemburgo teisingumo ministras ir Tarybos pirmininkas Félixas BRAZAS pasakė: „Tai pamatinis susitarimas, kurio pasekmės bus svarbios. Šia reforma ne tik sustiprinamos piliečių teisės, bet ir įmonėms taikomos taisyklės pritaikomos atsižvelgiant į skaitmeninio amžiaus reikalavimus, kartu mažinant administracinę naštą. Tai yra plataus užmojo ir perspektyvaus požiūrio tekstai. Esame visiškai įsitikinę, kad rezultatas bus geras.“  

Duomenų apsaugos reforma – tai 2012 m. Komisijos pasiūlytas teisės aktų rinkinys, kuriuo siekiama atnaujinti ir modernizuoti duomenų apsaugos taisykles.  Jį sudaro dvi teisėkūros priemonės: Bendrasis duomenų apsaugos reglamentas (kuriuo ketinama pakeisti Direktyvą 95/46/EB) ir Duomenų apsaugos teisėsaugos srityje direktyva (kuria siekiama pakeisti 2008 m. Duomenų apsaugos pamatinį sprendimą). 

Asmenų apsauga tvarkant jų asmens duomenis yra viena iš pagrindinių teisių, nustatytų ES pagrindinių teisių chartijoje (8 straipsnis) ir Sutartyje dėl Europos Sąjungos veikimo (16 straipsnis).

Bendrasis duomenų apsaugos reglamentas

Bendrojo duomenų apsaugos reglamento tikslas – pagerinti asmenų, kurių asmens duomenys tvarkomi, duomenų apsaugą ir užtikrinti daugiau verslo galimybių bendrojoje skaitmeninėje rinkoje, be kita ko, mažinant administracinę naštą. 

Aukštesnio lygio duomenų apsauga

Asmens duomenų tvarkymo principai ir taisyklės turi atitikti pagrindines teises ir laisves, visų pirma teisę į asmens duomenų apsaugą. Šios sustiprintos duomenų apsaugos teisės duomenų subjektams (asmenims, kurių asmens duomenys yra tvarkomi) suteikia galimybę labiau kontroliuoti savo asmens duomenis: 

• konkretesnės taisyklės, kuriomis duomenų valdytojams (asmenims, atsakingiems už duomenų tvarkymą) suteikiama teisė tvarkyti asmens duomenis, be kita ko, nustatant reikalavimą gauti atitinkamų asmenų sutikimą;
• lengvesnė prieiga prie savo asmens duomenų
• geriau informuojama apie tai, kas nutinka asmens duomenims, po to, kai jais pasidalijama. Tai apima, be kita ko, asmenų informavimą apie jiems taikomą privatumo politiką aiškia ir paprasta kalba; tai taip pat gali būti pavaizduota standartizuotomis piktogramomis;
• teisė ištrinti asmens duomenis ir „būti pamirštam“. Tuo sudaromos sąlygos, pavyzdžiui, duomenų subjektams reikalauti nedelsiant pašalinti asmens duomenis, surinktus arba paskelbtus socialiniame tinkle, kai asmuo dar buvo vaikas;
• jeigu jaunuolis iki 16 metų pageidauja naudotis internetinėmis paslaugomis, paslaugų teikėjas turi pabandyti patikrinti, ar tėvai davė sutikimą. Valstybės narės gali sumažinti šią amžiaus ribą, bet ne labiau nei iki 13 metų;
• teisė į duomenų perkeliamumą, palengvinant vieno paslaugų teikėjo, pavyzdžiui, socialinio tinklo, turimų asmens duomenų perdavimą kitam paslaugų teikėjui. Tuo bus ne tik padidintos duomenų apsaugos teisės, bet ir sustiprinta paslaugų teikėjų konkurencija;
• teisė nesutikti, kad būtų tvarkomi asmens duomenys, susiję su viešuoju interesu arba teisėtais duomenų valdytojo interesais. Ši teisė apima asmens duomenų naudojimą „profiliavimo“ tikslais;
• bendros apsaugos priemonės, taikomos asmens duomenų tvarkymui archyvavimo tikslais, jei tai daroma viešojo intereso, mokslo ir istorinių tyrimų ar statistikos tikslais.

Siekiant užtikrinti galimybę kreiptis į arti esantį teismą duomenų subjektai turi teisę kreiptis į savo nacionalinius teismus dėl duomenų apsaugos institucijų sprendimų peržiūrėjimo, nepaisant to, kurioje valstybėje narėje duomenų valdytojas yra įsisteigęs. 

Geresnės verslo galimybės bendrojoje skaitmeninėje rinkoje

Reglamente nustatytas vienas bendras taisyklių rinkinys, galiojantis visoje ES ir taikomas tiek Europos, tiek ir ne Europos įmonėms, teikiančioms internetines paslaugas ES. Tuo išvengiama padėties, kai dėl viena kitai prieštaraujančių nacionalinių duomenų apsaugos taisyklių gali sutrikti tarpvalstybinis keitimasis duomenimis. Jame taip pat numatytas glaudesnis valstybių narių bendradarbiavimas siekiant užtikrinti nuoseklų duomenų apsaugos taisyklių taikymą visoje ES. Tai užtikrins sąžiningą konkurenciją ir paskatins įmones, visų pirma mažąsias ir vidutines įmones, kuo geriau pasinaudoti bendrosios skaitmeninės rinkos teikiamomis galimybėmis. 

Siekiant sumažinti išlaidas ir užtikrinti teisinį tikrumą svarbiais tarpvalstybiniais atvejais, kai dalyvauja kelios nacionalinės priežiūros institucijos, priimamas vienas priežiūros sprendimas. Šiuo vieno langelio mechanizmu sudaromos galimybės bendrovei, kuri veikia keliose valstybėse narėse, dirbti tik su viena duomenų apsaugos institucija valstybėje narėje, kurioje yra jos pagrindinė buveinė. Šiuo mechanizmu taip pat numatyta ginčų atveju priimti vieną sprendimą, taikomą visoje ES teritorijoje. 

Siekiant sumažinti administracines išlaidas, reglamentu taikomas rizika grindžiamas požiūris: duomenų valdytojai gali įgyvendinti priemones, atsižvelgdami į riziką, susijusią su savo vykdomomis duomenų tvarkymo operacijoms. Skirtingų įmonių veikla skiriasi, ir tokios veiklos rizika privatumo atžvilgiu gali būti skirtinga. Reglamentu nėra taikomas vieno kurpalio sprendimas: kuo didesnė veiklos rizika asmens duomenų atžvilgiu, tuo griežtesnės prievolės. 

Daugiau ir geresnių priemonių duomenų apsaugos taisyklių laikymuisi užtikrinti

Reglamentu nustatyta labai įvairių priemonių, skirtų duomenų valdytojų atsakomybei ir atskaitomybei didinti, siekiant užtikrinti, kad būtų visapusiškai laikomasi naujų duomenų apsaugos taisyklių. Duomenų valdytojai turi įgyvendinti nemažai saugumo priemonių, be kita ko, laikytis reikalavimo tam tikrais atvejais pranešti apie asmens duomenų apsaugos pažeidimus. Siekiant užtikrinti reglamento veiksmingumą ateityje, nustatyti pritaikytosios ir standartizuotosios duomenų apsaugos principai. Valstybinės valdžios institucijos ir tos įmonės, kurios vykdo tam tikrą rizikingą duomenų tvarkymą, turi paskirti duomenų apsaugos pareigūną, siekiant užtikrinti, kad būtų laikomasi taisyklių. 

Tuo atveju, kai nesilaikoma duomenų apsaugos taisyklių, duomenų subjektai ir, tam tikromis aplinkybėmis, duomenų apsaugos organizacijos gali pateikti skundą priežiūros institucijai arba apskųsti teismine tvarka. Duomenų valdytojams gali būti skirtos baudos iki 20 mln. € arba 4 % jų bendros metinės apyvartos. 

Garantijos dėl asmens duomenų perdavimo už ES ribų

Šiame reglamente nustatytos asmens duomenų perdavimo trečiosioms valstybėms ir tarptautinėms organizacijoms taisyklės. Perdavimai gali vykti su sąlyga, kad laikomasi tam tikrų sąlygų ir apsaugos priemonių, visų pirma tuo atveju, jeigu Komisija nusprendė, kad taikomas tinkamas apsaugos lygis. Nauji sprendimai dėl apsaugos tinkamumo turės būti peržiūrimi ne rečiau kaip kas 4 metus. Galiojantys sprendimai dėl tinkamumo ir atitinkami leidimai tebegalioja tol, kol bus iš dalies pakeisti, visai pakeisti arba panaikinti.   

Duomenų apsaugos teisėsaugos srityje direktyva

Šia direktyva siekiama apsaugoti asmens duomenis, tvarkomus nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją, tikslais. 

Labai svarbu užtikrinti nuoseklią ir aukšto lygio asmens duomenų apsaugą, tuo pačiu sudarant palankesnes sąlygas teisėsaugos institucijoms skirtingose valstybėse narėse keistis asmens duomenimis. 

Platesnė taikymo sritis

Be nusikalstamų veikų prevencijos, tyrimo, nustatymo ir patraukimo baudžiamojon atsakomybėn už jas veiklos, naujosios direktyvos taikymo sritis buvo išplėsta, kad apimtų apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją. 

Naujoji direktyva būtų taikoma tiek tarpvalstybiniam asmens duomenų tvarkymui, tiek policijos ir teisminių institucijų vykdomam asmens duomenų tvarkymui išimtinai nacionaliniu lygmeniu. Pamatinis sprendimas, kuris bus pakeistas, buvo taikomas tik tarpvalstybiniam keitimuisi duomenimis. 

Duomenų subjektų teisės

Taisyklėmis užtikrinama teisės į privatumą ir policijos poreikio neatskleisti, kad duomenys tvarkomi, ankstyvame tyrimo etape pusiausvyra. Tačiau tekste išvardijama informacija ,kurią gauti duomenų subjektai gali visada siekiant apsaugoti jų teises, jei jie baiminasi, kad buvo pažeista jų duomenų apsauga. 

Naujosios taisyklės bus taikomos ir asmens duomenų perdavimui trečiosioms valstybėms ir tarptautinėms organizacijoms. 

Atitiktis reikalavimams

Naująja direktyva numatyta, kad bus paskirtas duomenų apsaugos pareigūnas, siekiant padėti kompetentingoms institucijoms užtikrinti, kad būtų laikomasi duomenų apsaugos taisyklių. 

Kita priemonė siekiant užtikrinti atitiktį reikalavimams yra poveikio vertinimas. Jeigu dėl duomenų tvarkymo pobūdžio gali kilti didelė asmenų teisių ir laisvių pažeidimo rizika, kompetentingos institucijos privalo įvertinti galimą tam tikro duomenų tvarkymo poveikį, visų pirma tuo atveju, jei naudojama nauja technologija.   

Stebėsena ir kompensacija

Direktyvos tekstas yra suderintas su reglamento tekstu siekiant užtikrinti, kad iš esmės būtų taikomi tie patys bendrieji principai. Be to, taisyklės, susijusios su priežiūros institucija, yra labai panašios, nes priežiūros institucija, įsteigta pagal Bendrąjį duomenų apsaugos reglamentą, taip pat gali dirbti tais klausimais, kuriems taikoma direktyva. Naująja direktyva duomenų subjektams taip pat būtų suteikta teisė gauti kompensaciją, jei jie patirtų žalą dėl tvarkymo veiksmo, kuriuo nebuvo paisoma taisyklių.                        

TOLESNI VEIKSMAI

Gruodžio 17 d. neeiliniame posėdyje Europos Parlamento Piliečių laisvių, teisingumo ir vidaus reikalų komitetas (LIBE) pritarė tekstams, dėl kurių buvo susitarta trišalio dialogo pasitarimų metu. Atsižvelgęs į šį pritarimą, Nuolatinių atstovų komitetas šiandien galėjo patvirtinti galutines reglamento ir direktyvos kompromisinių tekstų redakcijas. Teisininkams lingvistams peržiūrėjus tekstus, jie bus pateikti Tarybai, o vėliau ir Parlamentui priimti. Tikėtina, kad reglamentas ir direktyva įsigalios 2018 m. pavasarį.