ET

VABADUSEL, TURVALISUSEL JA ÕIGUSEL RAJANEVA ALA SUUREMAHULISTE IT-SÜSTEEMIDE OPERATIIVJUHTIMISE EUROOPA LIIDU AMETI HALDUSNÕUKOGU OTSUS nr 2021-096 REV 1,

16. aprill 2021,

milles sätestatakse sise-eeskirjad andmesubjektide teatavate õiguste piiramise kohta seoses isikuandmete töötlemisega Vabadusel, Turvalisusel ja Õigusel Rajaneva Ala Suuremahuliste IT-süsteemide Operatiivjuhtimise Euroopa Liidu Ameti tegevuse raames

VABADUSEL, TURVALISUSEL JA ÕIGUSEL RAJANEVA ALA SUUREMAHULISTE IT-SÜSTEEMIDE OPERATIIVJUHTIMISE EUROOPA LIIDU AMETI (edaspidi „eu-LISA“) HALDUSNÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (1), eriti selle artiklit 25 (edaspidi „määrus (EL) 2018/1725“),

võttes arvesse Euroopa Parlamendi ja nõukogu 14. novembri 2018. aasta määrust (EL) 2018/1726, mis käsitleb Vabadusel, Turvalisusel ja Õigusel Rajaneva Ala Suuremahuliste IT-süsteemide Operatiivjuhtimise Euroopa Liidu Ametit (eu-LISA) ning millega muudetakse määrust (EÜ) nr 1987/2006 ja nõukogu otsust 2007/533/JSK ja tunnistatakse kehtetuks määrus (EL) nr 1077/2011 (2), eriti selle artiklit 35 (edaspidi „määrus (EL) 2018/1726“),

võttes arvesse Euroopa Andmekaitseinspektori 11. märtsi 2021. aasta arvamust ning tema juhendit määruse (EL) 2018/1725 artikli 25 ja andmesubjektide õigusi piiravate sise-eeskirjade kohta (3),

olles konsulteerinud personalikomiteega

ning arvestades järgmist:

(1) eu-LISA tegutseb kooskõlas määrusega (EL) 2018/1726.

(2) eu-LISA-l on volitused viia läbi haldusjuurdlusi, distsiplinaarmenetluste eelmenetlusi, distsiplinaarmenetlusi ja ametist kõrvaldamise menetlusi kooskõlas Euroopa Liidu ametnike personalieeskirjade ja Euroopa Liidu muude teenistujate teenistustingimustega, mis on sätestatud nõukogu määruses (EMÜ, Euratom, ESTÜ) nr 259/68 (4) (edaspidi „personalieeskirjad“), ja eu-LISA haldusnõukogu 28. jaanuari 2015. aasta otsuses nr 2014-080, millega võetakse vastu personalieeskirjade rakenduseeskirjad, millega kehtestatakse haldusjuurdluste ja distsiplinaarmenetluste läbiviimise rakendussätted. Vajaduse korral teatab ta juhtumitest ka OLAFile.

(3) eu-LISA töötajad on kohustatud teatama liidu huve kahjustavast võimalikust ebaseaduslikust tegevusest, sh pettusest ja korruptsioonist. Samuti on töötajad kohustatud teatama töökohustuste täitmata jätmisest, mis võib olla liidu ametnike kohustuste oluline eiramine. Seda reguleeritakse eu-LISA 26. juuni 2018. aasta otsusega rikkumistest teatamise sise-eeskirjade kohta.

(4) eu-LISA on kehtestanud põhimõtted, et tõhusalt ennetada ja lahendada töökohal toimuvaid tegelikke või võimalikke psühholoogilise või seksuaalse ahistamise juhtumeid, nagu on sätestatud haldusnõukogu 6. detsembri 2018. aasta otsuses nr 2018-174 eu-LISA põhimõtete kohta isikuväärikuse kaitsmisel ning psühholoogilise ja seksuaalse ahistamise ennetamisel, võttes vastu personalieeskirjadele vastavad rakendusmeetmed. Otsusega kehtestatakse mitteametlik menetlus, mille abil saab väidetav ahistamise ohver pöörduda eu-LISA usaldusnõunike poole.

(5) Samuti võib eu-LISA viia läbi Euroopa Liidu salastatud teabe turvaeeskirjade võimalike rikkumiste juurdlusi, tuginedes 20. novembri 2019. aasta otsusele nr 2019-273, millega muudetakse turvaeeskirju ELi salastatud teabe kaitsmiseks.

(6) eu-LISA tegevuse suhtes viiakse läbi nii sise- kui ka välisauditeid.

(7) Haldusjuurdluste, auditite ja uurimistega seoses teeb eu-LISA koostööd muude liidu institutsioonide, organite ja asutustega.

(8) eu-LISA võib teha koostööd kolmandate riikide ametiasutuste ja rahvusvaheliste organisatsioonidega kooskõlas määruse (EL) 2018/1726 artikli 43 sätetega.

(9) eu-LISA võib teha koostööd ka ELi liikmesriikide ametiasutustega nii nende asutuste taotlusel kui ka omal algatusel.

(10) eu-LISA osaleb Euroopa Liidu Kohtu kohtuasjades, kui amet kas pöördub Euroopa Kohtusse, kaitseb oma otsust, mis on Euroopa Kohtusse kaevatud, või sekkub juhtumites, mis on asjakohased tema ülesannete suhtes. Sellega seoses võib eu-LISA-l olla vaja tagada, et osapoolte või menetlusse astujate saadud dokumentides sisalduvad isikuandmed jääksid konfidentsiaalseks.

(11) Oma ülesannete täitmiseks kogub ja töötleb eu-LISA teavet ja isikuandmete eri kategooriaid, sh füüsilise isiku identifitseerimisandmed, kontaktandmed, ametiülesanded ja kohustused, teave eraelulise ning tööalase käitumise ja tulemuslikkuse kohta ning finantsandmed. eu-LISA tegutseb vastutava töötlejana.

(12) Määruse (EL) 2018/1725 kohaselt on eu-LISA seega kohustatud andma andmesubjektidele teavet selliste töötlemistoimingute kohta ja järgima nende kui andmesubjektide õigusi.

(13) eu-LISA-l võib olla vaja ühitada need õigused haldusjuurdluste, auditite, uurimiste ja kohtumenetluste eesmärkidega. Samuti võib ametil olla vaja tasakaalustada andmesubjekti õigusi muude andmesubjektide põhiõiguste ja -vabadustega. Selleks võib eu-LISA-l määruse (EL) 2018/1725 artikli 25 kohaselt teatavatel rangetel tingimustel piirata määruse (EL) 2018/1725 artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist, kui selle sätted vastavad artiklites 14–20 kehtestatud õigustele ja kohustustele. Kui aluslepingute alusel vastu võetud õigusaktidega ei ole piiranguid kehtestatud, tuleb eu-LISA-l nende õiguste piiramiseks vastu võtta sise-eeskirjad.

(14) eu-LISA-l võib näiteks olla vaja piirata andmesubjekti teavitamist isikuandmete töötlemisest haldusjuurdluse esialgses hindamisetapis või uurimise käigus enne juhtumi võimalikku lõpetamist või distsiplinaarmenetluse eeletapis. Teatud tingimustel võib sellise teabe andmine oluliselt mõjutada eu-LISA suutlikkust juurdlust tõhusalt läbi viia, näiteks kui esineb risk, et asjaomane isik võib hävitada asitõendid või mõjutada võimalikke tunnistajaid enne küsitlemist. eu-LISA-l võib olla samuti vaja kaitsta nii tunnistajate kui ka teiste seotud isikute õigusi ja vabadusi.

(15) Võib olla vaja kaitsta anonüümseks jääda soovinud tunnistaja või rikkumisest teataja anonüümsust. Sellisel juhul võib eu-LISA otsustada piirata juurdepääsu nende isikute identifitseerimisandmetele, ütlustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.

(16) Samuti võib olla vaja kaitsta ahistamismenetluses eu-LISA usaldusnõunikega ühendust võtnud töötaja konfidentsiaalset teavet. Sellistel juhtudel võib eu-LISA-l olla vaja piirata juurdepääsu väidetava ohvri, väidetava ahistaja ja teiste seotud isikute identifitseerimisandmetele, ütlustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.

(17) eu-LISA peaks kohaldama piiranguid üksnes juhul, kui need on kooskõlas põhiõiguste ja -vabaduste olemusega ning demokraatlikus ühiskonnas tingimata vajalikud ja proportsionaalsed. eu-LISA peaks neid piiranguid põhjendama.

(18) Vastutuse põhimõtte kohaselt peaks eu-LISA piirangute kohaldamist dokumenteerima.

(19) Oma ülesannete raames muude organisatsioonidega vahetatavate isikuandmete töötlemisel konsulteerivad eu-LISA ja need organisatsioonid vastastikku piirangute kehtestamise võimalike aluste ja piirangute vajalikkuse ja proportsionaalsuse küsimuses, kui see ei kahjusta eu-LISA tegevust.

(20) Määruse (EL) 2018/1725 artikli 25 lõikes 6 kohustatakse vastutavat töötlejat teavitama andmesubjekti piirangu kohaldamise peamistest põhjustest ning tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile.

(21) Määruse (EL) 2018/1725 artikli 25 lõike 8 kohaselt võib eu-LISA andmesubjektile piirangu kohaldamise põhjuste kohta teabe esitamise edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui piirang kaotaks seeläbi oma mõju. eu-LISA peaks juhtumipõhiselt hindama, kas piirangust teavitamine kaotab selle mõju.

(22) eu-LISA peaks piirangu tühistama kohe, kui piirangu aluseks olevad tingimused enam ei kehti, ning hindama neid tingimusi korrapäraselt.

(23) Andmesubjektide õiguste ja vabaduste parima kaitse tagamiseks ning kooskõlas määruse (EL) 2018/1725 artikli 44 lõikega 1 tuleks eu-LISA andmekaitseametnikuga aegsasti konsulteerida mis tahes kohaldatavate piirangute osas, et kontrollida nende vastavust käesolevale otsusele.

(24) Määruse (EL) 2018/1725 artikli 16 lõikes 5 ja artikli 17 lõikes 4 on sätestatud erandid seoses andmesubjektide õigusega saada teavet ja tutvuda andmetega. Kui need erandid kehtivad, ei ole eu-LISA-l tarvis kohaldada piirangut käesoleva otsuse alusel.

(25) Määruse (EL) 2018/1726 artikli 35 lõike 2 kohaselt võtab haldusnõukogu pärast Euroopa Andmekaitseinspektoriga konsulteerimist vastu meetmed, millega amet rakendab määrust (EL) 2018/1725, sealhulgas määruse 2018/1725 artikli 25 lõigetes 1, 3 ja 4 nimetatud sise-eeskirjad,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1 Reguleerimisese ja kohaldamisala 1. Käesoleva otsusega kehtestatakse eeskirjad tingimuste kohta, mille alusel võib eu-LISA määruse (EL) 2018/1725 artikli 25 kohaselt piirata artiklite 4, 14–22, 35 ja 36 kohaldamist kooskõlas selle määruse artikliga 25 lõikes 2 sätestatud menetluste raames. 2. eu-LISA-t kui vastutavat töötlejat esindab tegevdirektor.

Artikkel 2 Piirangud 1. eu-LISA võib piirata artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist, kui nende sätted vastavad artiklites 14–20 sätestatud kohustustele: a) vastavalt (EL) 2018/1725 määruse artikli 25 lõike 1 punktidele b, c, f, g ja h, kui eu-LISA viib läbi haldusjuurdlusi, distsiplinaarmenetluste eelmenetlusi, distsiplinaarmenetlusi või ametist kõrvaldamise menetlusi personalieeskirjade artikli 86 ja IX lisa ja eu-LISA 28. jaanuari 2015 aasta otsuse nr 2014-080 alusel, samuti OLAFi teavitamisel juhtumitest; b) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktile h, kui eu-LISA 26. juuni 2018. aasta otsuse 2018-122 (rikkumisest teatamise sise-eeskirjade kohta) kohaselt tagatakse, et eu-LISA töötajad saavad konfidentsiaalselt teatada nende arvates toimunud rasketest rikkumistest; c) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktile h, kui eu-LISA 2018. aasta detsembri otsuses nr 2018-174 sätestatu kohaselt tagatakse, et eu-LISA töötajad saavad ahistamismenetluse raames anda usaldusnõunikele teavet; d) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktidele c, g ja h, kui eu-LISA tegevuse või allüksuste suhtes viiakse läbi siseauditeid; e) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktidele c, d, g ja h abi osutamisel liidu institutsioonidele, organitele ja asutustele või neilt abi saamisel või nendega koostöö tegemisel seoses käesoleva lõike punktides a–d nimetatud tegevustega ning kooskõlas asjakohastele teenustaseme kokkulepete, vastastikuse mõistmise memorandumite ja koostöölepingutega; f) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktidele c, g ja h abi osutamisel kolmandate riikide ametiasutustele ja rahvusvaheliste organisatsioonidele või neilt abi saamisel või koostöö tegemisel selliste ametiasutuste või organisatsioonidega, ilma et see piiraks määruse (EL) 2018/1726 artikli 43 sätete kohaldamist; g) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktidele c, g ja h abi osutamisel ELi liikmesriikide ametiasutustele, neilt abi saamisel või koostöö tegemisel selliste asutustega nende taotlusel või omal algatusel; h) vastavalt määruse (EL) 2018/1725 artikli 25 lõike 1 punktile e, kui töödeldakse isikuandmeid, mis on Euroopa Liidu Kohtu menetluste osapoolte või menetlusse astujate saadud dokumentides. 2. Kõik piirangud peavad järgima põhiõiguste ja -vabaduste olemust ning olema demokraatlikus ühiskonnas vajalikud ja proportsionaalsed. 3. Enne piirangute kohaldamist tehakse igal üksikjuhul eraldi vajalikkuse ja proportsionaalsuse kontroll. Piirangud piirduvad sellega, mis on seatud eesmärkide saavutamiseks tingimata vajalik. 4. Aruandekohustuse täitmiseks dokumenteerib eu-LISA kohaldatavate piirangute põhjused, asjakohased alused lõikes 1 loetletute seast ning vajalikkuse ja proportsionaalsuse kontrolli tulemuse. Need andmed on osa registrist, mis tehakse taotluse korral Euroopa andmekaitseinspektorile kättesaadavaks. eu-LISA koostab perioodilisi aruandeid määruse (EL) 2018/1725 artikli 25 rakendamise kohta. 5. Oma ülesannete raames muudelt organisatsioonidelt saadud isikuandmete töötlemisel konsulteerib eu-LISA nende organisatsioonidega piirangute kehtestamise võimalike aluste ning piirangute vajalikkuse ja proportsionaalsuse küsimuses, kui see ei kahjusta eu-LISA tegevust.

Artikkel 3 Riskid andmesubjektide õigustele ja vabadustele 1. Andmesubjektide õigustele ja vabadustele piirangutest tulenevate riskide hindamine ja kõnealuste piirangute kohaldamise periood dokumenteeritakse töötlemistoimingute registris, mida eu-LISA peab kooskõlas määruse artikliga 31. See teave lisatakse, kui asjakohane, ka määruse (EL) 2018/1725 artikli 39 kohastelt tehtavatesse andmekaitsealastesse mõjuhinnangutesse, mis käsitlevad neid piiranguid. 2. Piirangu vajalikkuse ja proportsionaalsuse üle otsustamisel võtab eu-LISA arvesse võimalikke riske andmesubjekti õigustele ja vabadustele.

Artikkel 4 Kaitsemeetmed ja andmete säilitamise tähtajad 1. eu-LISA rakendab kaitsemeetmeid, et hoida ära ebaseaduslik juurdepääs isikuandmetele, mille suhtes kohaldatakse või võidakse kohaldada piiranguid, ja nende andmete kuritarvitamine. Kaitsemeetmed hõlmavad tehnilisi ja korralduslikke meetmeid ning neid kirjeldatakse vajaduse korral eu-LISA siseotsustes, -menetlustes ja -rakenduseeskirjades. Kaitsemeetmed hõlmavad järgmist: a) rollide, vastutusalade ja menetlusetappide selge määratlemine; b) kui asjakohane, turvaline elektrooniline keskkond, mis takistab volitamata isikute ebaseaduslikku ja juhuslikku juurdepääsu elektroonilistele andmetele või nende edastamist; c) kui asjakohane, paberdokumentide turvaline säilitamine ja töötlemine; d) piirangute nõuetekohane jälgimine ja nende kohaldamise perioodiline läbivaatamine. Punktis d nimetatud läbivaatamised toimuvad vähemalt kord iga kuue kuu tagant. 2. Piirangud tühistatakse kohe, kui nende aluseks olnud tingimused enam ei kehti. 3. Isikuandmeid säilitatakse kooskõlas eu-LISA kohaldatavate andmesäilituseeskirjadega, mis määratletakse määruse (EL) 2018/1725 artikli 31 kohastes andmekaitse registreerimiskannetes. Säilitamistähtaja lõppedes kõik isikuandmed kustutatakse, muudetakse anonüümseks või edastatakse arhiividesse kooskõlas määruse (EL) 2018/1725 artikliga 13.

Artikkel 5 Andmekaitseametniku osalemine 1. eu-LISA andmekaitseametnikku teavitatakse põhjendamatu viivituseta alati, kui andmesubjekti õigusi piiratakse või kavatsetakse piirata käesoleva otsuse alusel. Andmekaitseametnikule antakse juurdepääs asjakohastele registrikannetele ja mis tahes dokumentidele faktiliste ja õiguslike asjaolude kohta. 2. eu-LISA andmekaitseametnik võib taotleda piirangu kohaldamise läbivaatamist. eu-LISA teavitab andmekaitseametnikku läbivaatamise tulemustest kirjalikult. 3. eu-LISA dokumenteerib andmekaitseametniku osalemise piirangute kohaldamises, sh temaga jagatava teabe. 4. Praktikas teavitab vastutava töötleja nimel tegutsev vastutav isik (praktikas vastutav töötleja) (5)eu-LISA andmekaitseametnikku, kui piirang on tühistatud.

Artikkel 6 Andmesubjektidele antav teave nende õiguste piiramise kohta 1. eu-LISA lisab oma veebilehel või siseveebis avaldatavatesse isikuandmete kaitse teadetesse andmesubjektidele suunatud üldise teabe andmesubjektide õiguste võimaliku piiramise kohta kooskõlas artikli 2 lõikega 1. Teave peab sisaldama seda, mis õigusi võidakse piirata, põhjusi, miks piiranguid võidakse kohaldada, ja piirangute võimalikku kestust. 2. eu-LISA teavitab andmesubjekte eraldi kirjalikult ja põhjendamatu viivituseta nende õiguste jätkuvatest või tulevastest piirangutest. eu-LISA teavitab andmesubjekti piirangu kohaldamise peamistest põhjustest, tema õigusest pöörduda piirangu vaidlustamiseks andmekaitseametniku poole ja õigusest esitada kaebus Euroopa Andmekaitseinspektorile. 3. eu-LISA võib piirangu põhjusi ja Euroopa Andmekaitseinspektorile kaebuse esitamise õigust käsitleva teabe andmist edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui piirang kaotaks seeläbi oma mõju. Selle põhjendatust hinnatakse igal üksikjuhul eraldi. eu-LISA esitab andmesubjektile selle teabe kohe, kui teabe andmine ei tühista enam piirangu mõju.

Artikkel 7 Andmesubjekti teavitamine isikuandmetega seotud rikkumisest 1. Kuigi eu-LISA on määruse (EL) 2018/1725 artikli 35 lõike 1 alusel kohustatud teavitama andmesubjekti isikuandmetega seotud rikkumisest, võib amet erandjuhtudel osaliselt või täielikult piirata sellise teabe andmist. Sel juhul dokumenteeritakse teatises piirangu põhjused, piirangu kohaldamise õiguslik alus kooskõlas artikliga 2 ning hinnang selle vajalikkusele ja proportsionaalsusele. See teatis esitatakse Euroopa Andmekaitseinspektorile isikuandmetega seotud rikkumisest teatamisel. 2. Kui piirangut õigustanud põhjused enam ei kehti, teavitab eu-LISA asjaomast andmesubjekti isikuandmetega seotud rikkumisest, piirangu peamistest põhjustest ja tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile.

Artikkel 8 Elektroonilise side konfidentsiaalsus 1. Erandjuhtudel võib eu-LISA määruse (EL) 2018/1725 artikli 36 alusel piirata õigust elektroonilise side konfidentsiaalsusele. Sellised piirangud peavad olema kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2002/58/EÜ (6). 2. Kui eu-LISA piirab õigust elektroonilise side konfidentsiaalsusele, teavitab ta asjaomast andmesubjekti oma vastuses andmesubjekti mis tahes taotlusele piirangu kohaldamise peamistest põhjustest ja tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile. 3. eu-LISA võib piirangu põhjusi ja Euroopa Andmekaitseinspektorile kaebuse esitamise õigust käsitleva teabe andmist edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui piirang kaotaks seeläbi oma mõju. Selle põhjendatust hinnatakse igal üksikjuhul eraldi.

Artikkel 9 Jõustumine Käesolev otsus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Tallinn, 16. aprill 2021 Haldusnõukogu nimel haldusnõukogu esimees Zsolt SZOLNOKI

(1) ELT L 295, 21.11.2018, lk 39.

(2) ELT L 295, 21.11.2018, lk 99.

(3) EDPS Guidance on Article 25 of the Regulation (EU) 2018/1725 and internal rules restricting data subjects rights (ajakohastatud 24. juunil 2020) – https://edps.europa.eu/data-protection/our-work/publications/guidelines/guidance-art-25-regulation-20181725_en.

(4) Nõukogu 29. veebruari 1968. aasta määrus (EMÜ, Euratom, ESTÜ) nr 259/68, millega kehtestatakse Euroopa ühenduste ametnike personalieeskirjad ja muude teenistujate teenistustingimused ning komisjoni ametnike suhtes ajutiselt kohaldatavad erimeetmed (EÜT L 56, 4.3.1968, lk 1).

(5) EDPS Guidance on documenting processing operations for EU institutions, bodies and agencies (Euroopa andmekaitseinspektori töötlemistoimingute dokumenteerimise juhised ELi institutsioonidele, asutustele ja ametitele) – Vastutus kohapeal, I osa – „tippjuhtkond vastutab reeglite järgimise eest, kuid vastutus võetakse tavaliselt madalamal tasandil (vastutava töötleja nimel vastutav isik / praktikas vastutav töötleja)“.

(6) Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT L 201, 31.7.2002, lk 37).