KOMISJONI SOOVITUS,

1. märts 2011,

suuniste kohta, mille alusel rakendada andmekaitse-eeskirju tarbijakaitsealase koostöö süsteemis

(2011/136/EL)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 292,

ning arvestades järgmist:

Euroopa Parlamendi ja nõukogu 27. oktoobri 2004. aasta määruse (EÜ) nr 2006/2004 tarbijakaitseseaduse jõustamise eest vastutavate siseriiklike asutuste vahelise koostöö kohta (tarbijakaitsealase koostöö määrus) (1) (edaspidi „TKK määrus”) eesmärk on parandada koostööd tarbijakaitseseaduse jõustamisel ühtse turu piires, kehtestada riiklike täitevasutuste üleeuroopaline võrgustik (edaspidi „TKK võrgustik”) ning sätestada raamistik ja üldtingimused, mille alusel liikmesriigi täitevasutused peavad koostööd tegema, et kaitsta tarbijate kollektiivseid majandushuve.

Euroopa Liidu põhiõiguste harta artiklis 8 on tunnustatud õigust andmekaitsele. TKK süsteemi abil tuleks tagada, et eri kohustused ja vastutusvaldkonnad, mida komisjon ja liikmesriigid seoses andmekaitse-eeskirjadega jagavad, on selgesti kindlaks määratud ning et andmesubjektidele pakutakse teavet ja hõlpsasti kättesaadavaid vahendeid, mis võimaldavad neil oma õigusi kaitsta.

Et tagada TKK süsteemis andmete töötlemisel andmekaitse eeskirjade järgmine, on asjakohane kehtestada suunised, mille alusel rakendada andmekaitse-eeskirju TKK süsteemis (edaspidi „suunised”).

Täitevametnikele tuleks soovitada võtta ühendust oma riikliku andmekaitse järelevalveasutusega, et saada nõu ja abi, kuidas kõnealuseid suuniseid kõige paremini rakendada nii, et see oleks kooskõlas siseriikliku õigusega, ning et vajaduse korral tagada, et teavitamine ja eelkontrollimenetlus, mis on seotud töötlemistoimingutega TKK süsteemi raames, toimuks riigi tasandil.

ON VASTU VÕTNUD KÄESOLEVA SOOVITUSE:

Liikmesriikidel tuleks järgida käesoleva soovituse lisas esitatud suuniseid.

(1) ELT L 364, 9.12.2004, lk 1.

(2) EÜT L 281, 23.11.1995, lk 31.

(3) EÜT L 8, 12.1.2001, lk 1.

(4) ELT L 32, 6.2.2007, lk 192.

(5) Arvamus 6/2007, milles käsitletakse andmekaitse küsimusi seoses tarbijakaitsealase koostöö süsteemiga (01910/2007/EN, WP 130), vastu võetud 21. septembril 2007.

(6) Andmekaitseinspektori arvamus (EDPS Opinion) 2010-0692.

LISA

Suunised, mille alusel rakendada andmekaitse-eeskirju tarbijakaitsealase koostöö süsteemis

1. SISSEJUHATUS

Riiklike tarbijakaitseametite koostöö on ühtse turu nõuetekohaseks toimimiseks väga oluline, sest tõhusa täitemenetluse puudumine piiriüleste juhtumite puhul kahjustab tarbijate usaldust piiriüleste pakkumiste vastu ja seega nende usaldust siseturu vastu ning moonutab konkurentsi.

TKK süsteem on infotehnoloogia vahend, mis on loodud TKK määrusega ning pakub struktureeritud mehhanismi teabevahetuseks TKK võrgustikku kuuluvate riiklike tarbijakaitseametite vahel. See võimaldab ühel asutusel paluda abi teiselt TKK võrgustikku kuuluvalt asutuselt ELi tarbijakaitseseaduse võimalike rikkumiste uurimiseks ja lahendamiseks ning võtta täitemeetmeid nende müüjate ja tarnijate ebaseaduslike kaubandustavade lõpetamiseks, kelle sihtmärgiks on teistes liikmesriikides elavad tarbijad. Teabetaotluste esitamine ning pädevate ametiasutuste suhtlemine seoses TKK määruse rakendamisega toimub TKK süsteemi kaudu.

TKK määruse eesmärk on tõhustada tarbijakaitseseaduse jõustamist siseturul, seades sisse üleeuroopalise riiklike täitevasutuste võrgustiku, ning kehtestada tingimused, mille alusel liikmesriigid peavad üksteisega koostööd tegema. TKK määruses on sätestatud, et selline teabevahetus ja vastastikuse abi taotluste esitamine riiklike täitevasutuste vahel peab toimuma selleks määratud andmebaasi kaudu. Seepärast töötati välja TKK süsteem, et lihtsustada halduskoostööd ja vahetada teavet, mis aitab jõustada ELi tarbijakaitseseadust.

Koostöö ulatus piirdub selliste õigusaktidega seotud ühendusesiseste rikkumistega, mis on loetletud tarbijate kollektiivseid majandushuvisid kaitsva TKK määruse lisas.

2. SUUNISTE KOHALDAMISALA JA EESMÄRK

Suuniste eesmärk on leida lahendus raskele probleemile, kuidas tagada tõhus ja tulemuslik jõustamisalane koostöö liikmesriikide pädevate asutuste vahel, austades samal ajal selliseid põhiõigusi nagu eraelu puutumatus ja isikuandmete kaitse.

Isikuandmete mõiste on andmekaitsedirektiivis (1) määratletud järgmiselt: igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta; tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal.

Kuna riikide täitevametnikud (juhtumi käsitlejad), kes on TKK süsteemi kasutajad, ei pruugi alati olla andmekaitse asjatundjad ega tunda piisavalt andmekaitsenõudeid, mis on kehtestatud nende oma riigi andmekaitset käsitlevate õigusaktidega, siis on soovitatav pakkuda TKK süsteemi kasutajatele suuniseid, kus TKK süsteemi toimimist selgitatakse andmekaitse praktilise rakendamise seisukohast ning kus esitatakse üksikasjalik teave süsteemi sisemiste kaitseabinõude kohta ja kirjeldatakse selle kasutamisega seotud võimalikke ohte.

Nende suuniste eesmärk on tegelda kõige olulisemate andmekaitsega seonduvate teemadega TKK süsteemis ning anda kasutajasõbralikke selgitusi, mis oleksid kõigile TKK süsteemi kasutajatele mõistetavad. Suunistes ei esitata põhjalikku analüüsi TKK süsteemi mõju kohta andmekaitsele.

Soovitatakse kindlasti konsulteerida ka liikmesriikide andmekaitseasutustega tagamaks, et liikmesriikide andmekaitsealastes õigusaktides sätestatud asjaomased kohustused täiendaksid neid suuniseid. TKK süsteemi kasutajad võivad andmekaitsenõuete täitmise tagamiseks saada ka täiendavat abi ja juhiseid riiklikelt andmekaitseasutustelt. Asutuste nimekiri koos kontaktandmete ja veebisaitidega on esitatud järgmisel aadressil:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu

Tuleks selgesti ette näha, et isikuandmeid tuleb töödelda andmekaitsedirektiivis sätestatud konkreetsete põhimõtete ja tingimuste kohaselt. Juhtumi käsitlejatel on TKK määruse alusel õigus vahetada TKK süsteemi kaudu andmeid, sealhulgas isikuandmeid, kui andmete töötlemise eesmärk on lõpetada TKK määruse lisas nimetatud ELi tarbijakaitseseaduse rikkumine. Enne selliste andmete töötlemist tuleb siiski hoolikalt jälgida, et andmekaitse põhimõtted oleksid tagatud, ning kaaluda, kas andmetöötlus on TKK määruse eesmärkide saavutamiseks ilmtingimata vajalik.

Seda silmas pidades peavad juhtumi käsitlejad, kellel on juurdepääs TKK süsteemile, iga juhtumit hindama, enne kui isikuandmeid töötlema hakatakse (2). Suuniste eesmärk on juhtumi käsitlejaid hindamisel aidata, pakkudes neile teatavaid andmekaitsega seotud aluspõhimõtteid, mida tuleb arvesse võtta.

Püütakse selgitada ka teatavaid TKK süsteemi ülesehituse keerukaid aspekte seoses ühiste töötlemistoimingute ja ühise vastutusega, sätestades nii komisjoni kui ka liikmesriikide pädevate asutuste ülesanded TKK süsteemi andmevahetuse ühises juhtimises.

3. TKK SÜSTEEM KUI JÕUSTAMISALASE KOOSTÖÖ IT-VAHEND

TKK süsteem on IT-vahend, mille komisjon on välja töötanud koostöös liikmesriikidega ja mida ta ka koostöös liikmesriikidega hooldab. TKK süsteemi eesmärk on aidata liikmesriike ELi tarbijakaitseseaduse praktilisel rakendamisel. Seda kasutab TKK võrgustik, mis koosneb riigiasutustest, mille liikmesriigid ja EMP riigid on määranud selleks, et teha tarbijakaitseseaduse jõustamisel koostööd ja vahetada teavet, nagu on ette nähtud TKK määrusega.

TKK määruse artiklis 10 on järgmine säte:

„Komisjon peab elektroonilist andmebaasi, milles säilitatakse ja töödeldakse artiklite 7, 8 ja 9 alusel saadud teavet. Andmebaasile saavad konsultatsioonideks juurdepääsu ainult pädevad asutused. […]”

TKK määruse artikli 12 lõige 3 täiendab seda järgmiselt:

„Abitaotlused ja kogu edastatav teave esitatakse kirjalikult standardkujul ja edastatakse elektrooniliselt artikli 10 kohaselt loodud andmebaasi kaudu.”

TKK süsteemi abil lihtsustatakse koostööd ja teabevahetust, mis on piiratud selliste TKK määruse lisas loetletud direktiivide ja määruste ühendusesiseste rikkumistega, milles on käsitletud erinevaid teemasid, sealhulgas ebaausad kaubandustavad, kaugmüük, tarbijakrediit, valmisreisid, ebaõiglased lepingutingimused, puhkuseosakud, elektrooniline kaubandus jms. TKK süsteemi ei või kasutada teabevahetuseks neis õigusvaldkondades, mida ei ole kõnealuses lisas loetletud.

Näited:

I. Belgias asutatud ettevõtja kasutab oma tehingutes Prantsusmaa residendist tarbijatega ebaõiglasi tingimusi, rikkudes ebaõiglaste lepingutingimuste direktiivi. Prantsusmaa tarbijakaitseamet võib TKK süsteemi kaudu esitada Belgia tarbijakaitseametile taotluse võtta vajalikud täitemeetmed, mida Belgia seaduste alusel on võimalik ettevõtja vastu võtta, et viivitamata lõpetada ühendusesisene rikkumine.

II. Taani tarbijakaitseamet saab kaebuse, et konkreetsel veebisaidil kasutatakse ebaausaid ja petlikke kaubandustavasid, mis kahjustavad tarbijaid. Veebisaiti hostitakse Rootsis. Taani tarbijakaitseametil on vaja teavet veebisaidi kohta. Seega võib ta kasutada TKK süsteemi teabetaotluse esitamiseks Rootsi tarbijakaitseametile, kes peab teabe tagama.

Teabe laadivad üles liikmesriigid, seda säilitatakse TKK süsteemis, sellele pääsevad ligi liikmesriigid, kellele on teave adresseeritud, ning selle kustutab komisjon (3). TKK süsteemi kasutatakse teabehoidlana ning tõhusa ja turvalise kommunikatsioonisüsteemina.

Andmekaitse seisukohast tekitab sellise andmebaasi loomine alati teatavaid ohte isikuandmete kaitsega seotud põhiõiguste osas: võidakse jagada rohkem teavet kui tõhusa koostöö jaoks ilmtingimata vajalik ning hoida alles teavet, mis oleks tulnud kustutada või mis ei ole enam täpne või õige; keeruline on tagada, et samaaegselt järgitaks andmesubjekti õigusi ja andmetöötlejate kohustusi. Seetõttu on vaja selliste ohtudega tegeleda ning tagada, et TKK süsteemi kasutajad oleksid andmekaitse eeskirjadega kursis ja saaksid sellealast koolitust ning suudaksid tagada kooskõla kohaldatavate andmekaitset käsitlevate õigusaktidega.

4. ANDMEKAITSE ÕIGUS- JA JÄRELEVALVERAAMISTIK

Euroopa Liidul on alates 1995. aastast hästi toimiv andmekaitsealane õigusraamistik: andmekaitsedirektiiv, (4) millega reguleeritakse isikuandmete töötlemist liikmesriikide poolt, ning andmekaitsemäärus (5) millega reguleeritakse isikuandmete töötlemist Euroopa Liidu institutsioonide ja asutuste poolt. Andmekaitsealaste õigusaktide kohaldamine sõltub praegu sellest, kes TKK süsteemi osaline või kasutaja on.

Komisjoni töötlemistoiminguid reguleeritakse andmekaitsemäärusega ning juhtumi käsitlejate töötlemistoiminguid pädevates riiklikes täitevasutustes siseriikliku õigusega, millesse on üle võetud andmekaitsedirektiivi sätted.

Nii komisjon kui ka asjaomased pädevad asutused on olulised osalised TKK süsteemis ja neil on selles süsteemis täita oma konkreetne ülesanne. Nad juhivad süsteemi toimimist koos ja nende kohustus on teavitada asjaomaseid järelevalveasutusi andmetöötlustoimingutest, esitada need neile eelnevaks kontrollimiseks ning tagada andmekaitse eeskirjade täitmine. Andmekaitsedirektiivi ülevõtmisel liikmesriikide õigusaktidesse võib ette näha erandeid nii teavitamise kui ka eelneva kontrolli nõuete osas.

Andmekaitsealaste õigusaktide ühtlustamisega püüti tagada nii andmekaitse kõrge tase kui ka üksikisikute põhiõiguste kindlustamine, võimaldades samal ajal isikuandmete vaba liikumist liikmesriikide vahel. Võttes arvesse, et riigisisesed rakendusmeetmed võivad kaasa tuua eeskirjade erisusi, ning selleks et tagada vastavus andmekaitse-eeskirjadele, soovitatakse TKK süsteemi kasutajatel arutada neid suuniseid oma riiklike andmekaitseasutustega, sest eeskirjad võivad erineda näiteks üksikisikutele antava teabe poolest või seoses kohustusega teavitada teatavatest andmete töötlustoimingutest andmekaitseasutusi.

ELi andmekaitse õigusraamistikule on iseloomulik, et selle üle teostavad järelvalvet sõltumatud andmekaitseasutused. Kodanikel on õigus esitada neile asutustele kaebusi ning kiiresti lahendada andmekaitsega seotud probleeme väljaspool kohtuid. Riigi tasandil teostavad isikuandmete töötlemise järelevalvet riiklikud andmekaitseasutused ning Euroopa Liidu institutsioonides Euroopa andmekaitseinspektor (6). Seetõttu kuulub komisjon andmekaitseinspektori järelevalve alla ning teised TKK süsteemi kasutajad riiklike andmekaitseasutuste järelevalve alla.

5. KES ON KES TKK SÜSTEEMIS? ÜHINE VASTUTUS

TKK süsteem on hea näide ühistest töötlemistoimingutest ja ühisest vastutusest Kuigi isikuandmeid koguvad, salvestavad, annavad avalikuks kasutamiseks ja vahetavad üksnes liikmesriikide pädevad asutused, vastutab nende andmete säilitamise ja kustutamise eest oma serverites Euroopa Komisjon. Komisjonil ei ole neile isikuandmetele juurdepääsu, kuid teda käsitatakse süsteemi juhi ja haldurina.

Seega võib komisjonile ja liikmesriikidele määratud eri ülesanded ja vastutuse kokku võtta järgmiselt:

— iga pädev asutus on nende andmete valdaja, mida ta ise andmetöötlustegevuses kasutab;

— komisjon ei ole süsteemi kasutaja, vaid selle haldur, kes vastutab eeskätt süsteemi struktuuri hoolduse ja turvalisuse eest. Komisjonil on siiski juurdepääs hoiatusteadetele, tagasisidele ja muule juhtumiga seotud teabele (7). Komisjoni juurdepääs neile andmetele on tagatud selleks, et ta saaks jälgida TKK määruse kohaldamist ja ka TKK määruse lisas loetletud tarbijakaitsealaste õigusaktide kohaldamist ning koostada statistikat nende kohustuste täitmise kohta. Komisjonil ei ole aga juurdepääsu vastastikuse abi ja täitetaotlustes sisalduvale teabele, sest need on adresseeritud üksnes konkreetse juhtumiga tegelevatele liikmesriikide pädevatele asutustele. TKK määruses nähakse ette võimalus, et komisjon abistab pädevaid asutusi teatavate vaidlusaluste küsimuste korral (8) ja tal võidakse paluda osaleda koordineeritud uurimises, mis hõlmab rohkem kui kaht liikmesriiki (9);

— TKK süsteemi osalised jagavad vastutust andmetöötluse õiguspärasuse, teabe edastamise ning andmetele juurdepääsu, vastuväidete esitamise ja andmete parandamise õiguste osas;

— nii komisjon kui ka asjaomased pädevad asutused vastutavad isiklikult selle eest, et nende andmetöötlustoimingud oleksid kooskõlas andmekaitse-eeskirjadega.

6. TKK SÜSTEEMI OSALISED JA KASUTAJAD

TKK süsteemis on olemas eri juurdepääsuprofiilid: juurdepääs andmebaasile on võimaldatud üksnes nimetatud pädevatele asutustele (autenditud kasutaja) ning juurdepääs ei ole ülekantav. Juurdepääsu TKK süsteemile võib anda üksnes sellistele ametnikele, kelle kohta on komisjonile taotluse esitanud liikmesriikide pädevad asutused. Süsteemi sisenemiseks nõutakse salasõna, mida on võimalik saada ühtse kontaktasutuse kaudu.

Üksnes vastuvõtva ja taotleja asutuse kasutajatel on täielik juurdepääs kogu konkreetse juhtumi puhul vahetatavale teabele, sealhulgas TKK süsteemi juhtumi faili kõikidele manustele. Ühtsed kontaktasutused saavad lugeda üksnes põhiteavet juhtumi kohta, mis võimaldab neil kindlaks teha pädeva asutuse, kellele taotlus edasi saata. Nad ei saa lugeda taotlusele või hoiatusteatele lisatud salajasi dokumente.

Jõustamist käsitlevate juhtumite puhul jagatakse üldist teavet kasutajate vahel nendes pädevates asutustes, kelle kohta on teatatud, et nad vastutavad õigusaktide eest, mida on rikutud. Seda tehakse teatiste kaudu. Teatistes tuleks esitada juhtumi üldine kirjeldus ja vältida isikuandmete esitamist. Erandeid võib teha näiteks müüja või tarnija nime (kui tegemist on füüsilise isikuga) esitamise osas.

Komisjonil ei ole juurdepääsu teabele, täitetaotlustele ega salajastele dokumentidele, aga ta saab teatisi ja hoiatusteateid.

7. TEABEVAHETUSE SUHTES KOHALDATAVAD ANDMEKAITSEPÕHIMÕTTED

TKK süsteemi kasutajad liikmesriikides võivad isikuandmeid töödelda üksnes teatavatel tingimustel ning kooskõlas andmekaitsedirektiivis sätestatud põhimõtetega. Vastutav andmetöötleja peab tagama, et isikuandmete töötlemisel TKK süsteemis järgitaks andmekaitsepõhimõtteid.

Tuleks veel märkida, et TKK süsteemis kohaldatakse nii konfidentsiaalsuse kui ka andmekaitse eeskirju. Konfidentsiaalsuse ja ametisaladuse eeskirju võib kohaldada andmete suhtes üldiselt, samas kui andmekaitse-eeskirju rakendatakse vaid isikuandmete suhtes.

Oluline on meeles pidada, et TKK süsteemi kasutajad liikmesriikides vastutavad paljude muude töötlemistoimingute eest ega pruugi olla andmekaitse valdkonna asjatundjad. Andmekaitsenõuete täitmine TKK süsteemis ei tohi olla põhjendamatult keeruline ega osutuda liigseks halduskoormuseks. Samas ei pea see olema süsteem, mida rakendatakse kõikide suhtes ühtemoodi. Kõnealustes suunistes antakse soovitused isikuandmete käsitlemiseks ning tuleks meelde tuletada, et kõik TKK süsteemi kaudu vahetatavad andmed ei ole isikuandmed.

Enne teabe üleslaadimist TKK süsteemi peavad täitevametnikud kaaluma, kas isikuandmed, mida kavatsetakse saata, on ilmtingimata vajalikud tõhusa koostöö saavutamiseks, ning mõtlema, kellele nad isikuandmeid saadavad. Täitevametnikud peavad endalt küsima, kas andmete vastuvõtjal on seda teavet hoiatusteate või vastastikuse abi taotluse jaoks ilmtingimata vaja.

Allpool esitatakse andmekaitse peamiste põhimõtete loetelu, mille eesmärk on aidata täitevametnikel, kellel on juurdepääs TKK süsteemile, hinnata üksikjuhtumi kaupa, kas nad täidavad isikuandmete töötlemisega seonduvaid andmekaitse-eeskirju iga kord, kui nad süsteemis isikuandmeid töötlevad. Täitevametnikud peaksid samuti meeles pidama, et allpool loetletud andmekaitsepõhimõtete kohaldamise suhtes võivad riigi tasandil kehtida erandid ja piirangud ning seega on neil soovitatav konsulteerida oma riiklike andmekaitseasutustega (10).

Milliseid andmekaitsepõhimõtteid tuleb järgida?

Andmekaitse üldpõhimõtted, mida tuleb meeles pidada enne isikuandmete töötlemist, on võetud andmekaitsedirektiivist. Kuna see direktiiv on siseriiklikku õigusesse üle võetud, tuletatakse juhtumi käsitlejatele meelde, et nad konsulteeriks oma riiklike andmekaitse järelevalveasutustega allpool loetletud põhimõtete kohaldamise osas, et teha kindlaks, kas nende põhimõtete kohaldamise suhtes kehtivad erandid või piirangud.

Läbipaistvuse põhimõte

Andmekaitsedirektiivi kohaselt peab andmesubjekti teavitama sellest, et tema isikuandmeid töödeldakse. Vastutav töötleja peab esitama oma nime ja aadressi, andmete töötlemise eesmärgi, andmete vastuvõtjad ja muu teabe, mida nõutakse töötlemise õiguspärasuse huvides (11).

Andmeid võib töödelda üksnes järgmistel tingimustel (12):

— andmesubjekt on selleks andnud oma nõusoleku;

— töötlemine on vajalik lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks;

— töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;

— töötlemine on vajalik andmesubjekti eluliste huvide kaitsmiseks;

— töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks volitatud töötlejale või andmeid saavale kolmandale isikule;

— töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks.

Õiguspärasuse ja asjakohasuse põhimõte

Isikuandmeid ei või koguda ega töödelda asjakohatul või ebaseaduslikul viisil, samuti ei tohi neid kasutada eesmärgil, mis on vastuolus TKK määruses sätestatud eesmärkidega. Selleks et töötlemine oleks seaduslik, peavad juhtumi käsitlejad tagama, et töötlemise vajadus on selgelt põhjendatud. Töötlemine peab toimuma konkreetsel, selgesti väljendatud ja seaduslikul eesmärgil ning andmeid ei või edaspidi töödelda viisil, mis on nende eesmärkidega vastuolus (13). Seda saab ette näha üksnes TKK määrusega.

Selleks et töötlemine oleks asjakohane, tuleb andmesubjekte teavitada nende andmete töötlemise eesmärgist ning andmetega tutvumise, vastuväidete esitamise ja andmete parandamise õigusest.

Proportsionaalsuse, täpsuse ja säilitamisaja põhimõtted

Teave peab olema proportsionaalne, piisav, asjakohane ning mitte ületama selle otstarbe piire, mille tarvis andmeid kogutakse ja/või hiljem töödeldakse. Teave peab olema täpne, vajadusel tuleb seda ajakohastada; tuleb võtta kõik mõistlikud meetmed, et kustutada või parandada andmete kogumise või hilisema töötlemise eesmärgi seisukohast ebatäpsed või mittetäielikud andmed; isikuandmeid tuleb säilitada nii, et andmesubjekti saab identifitseerida üksnes seni, kuni andmete kogumise või andmete töötlemise eesmärk on täidetud. Isikuandmete säilitamiseks ajaloolistel, statistilistel või teaduslikel eesmärkidel pikema aja vältel tuleb kohaldada asjakohaseid turvameetmeid.

Juhtumi käsitlejad peavad kaaluma, kas andmed, mida nad töötlevad, on kavandatud eesmärgi saavutamiseks ilmtingimata vajalikud.

Eesmärgi piiramise põhimõte

Isikuandmeid tuleb koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei tohi hiljem töödelda viisil, mis on vastuolus kõnealuste eesmärkidega. Juhtumi käsitlejad peaksid isikuandmeid töötlema üksnes siis, kui selleks on selge põhjus, st kui vastavalt TKK määrusele on olemas seaduslik alus andmete edastamiseks.

Juurdepääsuõigused

Andmesubjektil on vastavalt andmekaitsedirektiivile (14) õigus teada, et tema isikuandmeid hakatakse töötlema, saada teavet töötlemise eesmärgist, andmete vastuvõtjatest ning nende konkreetsest õigustest, st õigusest saada teavet ja andmeid parandada. Andmesubjektil on õigus pääseda juurde kõigile tema isiku kohta käivatele töödeldud andmetele. Andmesubjektil on õigus taotleda mittetäielike või ebaõigete andmete või andmekaitse eeskirju eirates töödeldud andmete parandamist, kustutamist või blokeerimist (15).

Delikaatsed andmed

Keelatud on selliste andmete töötlemine, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, usulisi või filosoofilisi veendumusi, ametiühingusse kuulumist, tervislikku seisundit, seksuaalset sättumust, karistusi ja süüdimõistmisi. Andmekaitsedirektiivis (16) on siiski sätestatud teatavad erandid sellest eeskirjast, mis võimaldavad vastavalt konkreetsetele tingimustele töödelda delikaatseid andmeid (17). Kuna TKK süsteemi kasutajad võivad sattuda olukorda, kus nad peavad tegelema delikaatsete andmetega, (18) siis on soovitav käsitleda delikaatseid andmeid ettevaatusega. TKK süsteemi kasutajatel soovitatakse konsulteerida riikliku andmekaitseasutusega küsimuses, kas delikaatsete andmete töötlemise suhtes kehtivad erandid.

Erandid

Seoses kuritegude ennetamise, uurimise, tuvastamisega ja isikute vastutusele võtmisega on lubatud teha teatavaid erandeid andmekaitsedirektiivist. Juhtumi käsitlejatel soovitatakse uurida oma riigi õigusakte, et hinnata, kas sellised erandid on võimalikud ja kui on, siis mis ulatuses (19). Kui selliseid erandeid tuleb kasutada, siis soovitatakse, et iga pädev asutus märgiks need isikuandmete puutumatust käsitlevas märkuses selgelt ära.

Andmekaitsepõhimõtete kohaldamine

Kõnealuste andmekaitsepõhimõtete kohaldamisega TKK süsteemi toimimise suhtes kaasnevad järgmised soovitused.

1) TKK süsteemi tuleks kasutada rangelt TKK määruses sätestatud eesmärkidel. TKK määruse artikli 13 lõikes 1 on sätestatud, et edastatud teavet võib kasutada üksnes tarbijate huve kaitsvate õigusaktide täitmise tagamiseks. Need õigusaktid on loetletud TKK määruse lisas.

2) Täitevametnikel soovitatakse kasutada vastastikuse abi taotluse või hoiatusteate kaudu saadud teavet üksnes konkreetse juhtumiga seotud eesmärkidel, pidades rangelt kinni andmekaitse õiguslikest nõuetest, hinnates eelnevalt, kas andmete töötlemine on üldiseid huve silmas pidava uurimise seisukohast vajalik.

3) Andmete edastamisel hindavad täitevametnikud üksikjuhtumite põhjal, kes peaks olema töödeldavate andmete vastuvõtja.

4) TKK süsteemi kasutajad peaksid hoolikalt valima küsimusi, mida nad vastastikuse abi taotluses küsivad, ning mitte küsima rohkem andmeid kui vajalik. See ei ole üksnes andmekvaliteedi põhimõtete täitmise, vaid ka halduskoormuse vähendamise küsimus.

5) Andmekaitsedirektiivis (20) on sätestatud, et isikuandmed peavad olema täpsed ja ajakohastatud. Teabe esitanud pädev asutus peaks aitama tagada TKK süsteemis säilitatavate andmete täpsust. TKK süsteemi on lisatud ka hüpikaknad teadetega, mis tuletavad juhtumi käsitlejatele korrapäraselt meelde, et nad kontrolliksid isikuandmete täpsust ja ajakohasust.

6) Sobiv viis andmesubjekte nende õigustest teavitada on lisada veebisaidile põhjalik isikuandmete puutumatust käsitlev teade. Kõigil pädevatel asutustel soovitatakse esitada oma veebisaidil isikuandmete puutumatust käsitlev teade. Kõik isikuandmete puutumatust käsitlevad teated peaksid vastama andmekaitsedirektiivis kehtestatud teavitamiskohustustele, nende juures peab olema link komisjoni vastavasisulisele teatele ning täiendavad andmed, sealhulgas kõnealuse pädeva asutuse kontaktandmed ning riigi tasandil kohaldatavad juurdepääsu- või teabe andmise piirangud. Kõik asjaga seotud vastutavad andmetöötlejad vastutavad isikuandmete puutumatust käsitlevate teadete avaldamise eest.

7) Andmesubjekt võib nõuda juurdepääsu oma isikuandmetele, nende parandamist või kustutamist rohkem kui ühest allikast. Kuigi iga pädeva asutuse andmetöötleja kontrollib andmete töötlemistoiminguid, tuleks piiriüleste juhtumite puhul taotlustele vastamine kooskõlastada. Sellistel juhtudel soovitatakse pädevatel asutustel teavitada teist asjaomast pädevat asutust, kes taotluse vastu võtab. Kui pädev asutus arvab, et taotluse rahuldamine võib mõjutada uurimis- või täitemenetlust, mida teostab teine pädev asutus, peab esimene neist nõudma enne taotluse rahuldamist teise asutuse arvamust. Andmesubjekt võib pöörduda oma taotlusega ka komisjoni poole. Komisjon võib rahuldada üksnes sellise teabe nõude, millele tal on juurdepääs. Taotluse saamisel peaks komisjon konsulteerima teabe esitanud pädeva asutusega. Kui vastuväiteid ei esitata või pädev asutus ei vasta mõistliku ajavahemiku jooksul, võib komisjon otsustada, kas ta rahuldab taotluse andmekaitsemääruse alusel või mitte. Komisjon peaks taotlema ka selle pädeva asutuse arvamust, kelle uurimistegevust või täitemeetmeid võib taotluse rahuldamine ohustada. Komisjon peaks kontrollima, kas täiendavate tehniliste võimaluste lisamine TKK süsteemi lihtsustaks teabevahetust.

8) TKK määruse rakendusotsuses 2007/76/EÜ on sätestatud ettevõtete juhtide nimede jaoks andmeväljade sisseseadmine TKK süsteemis. Täitevametnikud peavad hindama, kas seda liiki isikuandmete lisamine on juhtumi lahendamiseks vajalik. Enne teabe üleslaadimist TKK süsteemi ja hoiatusteate või vastastikuse abi taotluse saatmist teisele pädevale asutusele tuleb üksikjuhtumi põhjal hinnata, kas ettevõte juhi nime lisamine selleks ette nähtud andmeväljale on vajalik või mitte.

9) TKK määruse rakendusotsuses 2007/76/EÜ on nõutud, et teavet, täitetaotlusi või hoiatusteateid üles laadiv pädev asutus peab märkima, kas teavet tuleb käsitleda konfidentsiaalsena. Seda tuleb teha iga juhtumi puhul eraldi. Samuti peab vastvõttev asutus teavet esitades märkima, kas teavet tuleb käsitleda konfidentsiaalsena. TKK süsteem kasutab vaikeväärtusi, mis tähendab, et TKK süsteemi kasutajad peavad selgelt võimaldama dokumentidele juurdepääsu, klõpsates konfidentsiaalsust tähistaval ikoonil.

8. TKK SÜSTEEM JA ANDMEKAITSE

Andmekaitset soodustav keskkond

TKK süsteemi väljatöötamisel võeti arvesse andmekaitsealaste õigusaktide nõudeid.

— TKK süsteem kasutab s-TESTA süsteemi, mis on turvaline üleeuroopaline valitsusasutuste telemaatiliste teenuste süsteemi võrgustik. See süsteem pakub Euroopa Liidu institutsioonidele ja liikmesriikide valitsusasutustele üleeuroopalise suhtlusplatvormi, mis on hästi hallatav, usaldusväärne ja turvaline. s-TESTA võrgustiku aluseks on turvaline infrastruktuur, mis on täielikult eraldatud Internetist. Süsteemi väljatöötamisel on arvestatud turvameetmeid, et tagada võrgustiku jaoks parim võimalik kaitse. Võrgustik peab saama turvalisust kinnitava akrediteeringu ja selles saab edastada dokumente, mille salastatuse aste on „EU Restricted”.

— Kasutusele võeti mitu uut tehnilist võimalust: turvalised ja personifitseeritud salasõnad määratud asutuste pädevatele ametnikele; turvalise võrgu s-TESTA kasutamine; hüpikaknad teadetega, mis tuletavad juhtumi käsitlejatele korrapäraselt meelde, et nad peavad isikuandmete töötlemisel võtma arvesse andmekaitse-eeskirju; eri kasutajaprofiilide loomine, mis reguleerivad juurdepääsu teabele sõltuvalt kasutaja rollist (pädev asutus, ühtne kontaktasutus või komisjon); võimalus piirata juurdepääsu dokumentidele, liigitades need konfidentsiaalseks; andmekaitse-eeskirjadele osutav sõnum TKK süsteemi kodulehel.

— Rakenduseeskirjad, (21) mis hõlmavad andmekaitse-eeskirjade täitmise põhiaspekte: selged andmete kustutamise eeskirjad (millist teavet, kuidas ja millal kustutada); teabele juurdepääsu tüübi täpsustamise põhimõtted (täielik juurdepääs üksnes otseselt seotud pädevatele asutustele, teistele võimaldatakse juurdepääs ainult üldisele teabele).

— Tegevusjuhised, (22) milles täpsustatakse, kuidas täita andmevälju ning mida võtta arvesse käesolevate suuniste (23) rakendamisel.

— Iga-aastased läbivaatamised tagamaks, et pädevad asutused kontrolliksid isikuandmete täpsust (märgistamist on kavandatud, aga ei ole veel rakendatud) ning lõpetavad juhtumid ja/või kustutavad need vastavalt eeskirjadele, et oleks tagatud, et seda ei unustataks teha. Komisjon vaatab koos liikmesriikidega korrapäraselt ja süstemaatiliselt läbi juhtumid, millega tegeldakse keskmiselt töötlusperioodist kauem.

— Vastastikuse abi juhtumid kustutatakse automaatselt viie aasta möödumisel juhtumi lõpetamisest vastavalt TKK määrusele.

— TKK süsteem on infotehnoloogia vahend, mida arendatakse edasi ja mille eesmärk on soodustada andmekaitset. Süsteemi on juba lisatud mitmeid kaitseabinõusid, mida on kirjeldatud eespool. Komisjon kavatseb jätkata süsteemi täiustamist vastavalt nõudmisele.

Täiendavad suunised

Kui kaua peaks juhtumit säilitama ning millal tuleks see sulgeda ja kustutada?

TKK süsteemist saab teavet kustutada üksnes komisjon, (24) kes teeb seda tavaliselt pädeva asutuse taotlusel. Pädev asutus peab taotluse esitamisel täpsustama kustutamise taotluse põhjused. Ainus erand on täitmistaotlused. Komisjon kustutab need automaatselt, kui on möödunud viis aastat sellest, kui taotleja asutus juhtumi lõpetas.

On kehtestatud eeskirjad tähtaegade kohta, et tagada selliste andmete kustutamine, mis ei ole enam vajalikud, mis on ebaõiged, alusetud ja/või mida on alles hoitud maksimaalse säilitamisaja vältel.

Miks tuleb andmeid säilitada viis aastat?

Säilitamistähtaja eesmärk on lihtsustada koostööd riigiasutuste vahel, kes vastutavad ühendusesiseste rikkumistega tegelemisel nende õigusaktide jõustamise eest, mis kaitsevad tarbijate huve ning aitavad kaasa siseturu tõrgeteta toimimisele, tarbijate huve kaitsvate õigusaktide jõustamise kvaliteedile ja järjepidevusele ning tarbijate majanduslike huvide kaitse järgimisele. Samuti aitab see tõsta jõustamise kvaliteeti ja suurendada järjepidevust. Säilitamise ajal on täitevametnikul, kes töötab sellises pädevas asutuses, kus tegeldi esialgse juhtumiga, võimalus andmetega tutvuda, et luua seoseid võimalike korduvate rikkumiste tuvastamiseks ning aidata kaasa paremale ja tõhusamale jõustamisele.

Millist teavet võib lisada arutelufoorumisse?

TKK süsteem hõlmab foorumit, mis võimaldab vahetada teavet seoses uue jõustamispädevuse ja parimate tavadega. Üldiselt ei tohiks foorumit (mida täitevametnikud küll eriti aktiivselt ei kasuta) kasutada juhtumiga seotud teabe vahetamiseks ning seal ei tohiks esitada isikuandmeid.

Millist liiki andmeid võib lisada lühikokkuvõtetesse ja lisatud dokumentidesse?

TKK määruse rakendusotsusega 2007/76/EÜ on hoiatusteadete ning teabe- ja täitetaotluste puhul ette nähtud andmeväli „lisatud dokumendid”. Lühikokkuvõtte väljadel tuleb kirjeldada rikkumist. Lühikokkuvõtetesse ei ole soovitatav lisada isikuandmeid, sest selle andmevälja eesmärk on rikkumise üldine kirjeldamine. Lisatud dokumentides tuleks salastada või neist tuleks eemaldada isikuandmed, mis ei ole ilmtingimata vajalikud.

Mida tähendab „põhjendatud kahtlus” rikkumise kohta?

Põhjendatud kahtlust tuleb tõlgendada kooskõlas siseriikliku õigusega. Siiski on soovitatav lisada kahtlustatav rikkumine TKK süsteemi üksnes juhul, kui on olemas teatavad tõendid, mis kinnitavad, et rikkumine toimus või tõenäoliselt toimub.

Kas teavet tohib edastada kolmandatele riikidele?

TKK määruses (25) on sätestatud, et liikmesriik võib tarbijakaitsealase koostöö määruse alusel edastatud teabe edastada ka kolmanda riigi asutusele kolmanda riigiga sõlmitud kahepoolse abistamiskokkuleppe alusel tingimusel, et selleks on saadud luba algselt teabe edastanud pädevalt asutuselt ning andmekaitsealased sätted on täidetud.

Kui Euroopa Liidul ei ole rahvusvahelist lepingut kolmanda riigiga vastastikuse abi koostöövormide kohta, (26) peaks iga kahepoolne abistamiskokkulepe selle kolmanda riigiga pakkuma piisavaid kaitseabinõusid andmekaitse osas ning sellest tuleks teavitada asjaomaseid andmekaitse järelevalveasutusi, et oleks võimalik teostada eelkontrolli. Erandi moodustavad juhud, kui komisjon on kindlaks teinud, et kõnealune kolmas riik tagab, et liidust edastatavate isikuandmete kaitse on piisaval tasemel ja kooskõlas andmekaitse direktiivi artikliga 25.

(1) Artikli 2 punkt a.

(2) Tuleks märkida, et andmekaitsepõhimõtted kehtivad nii elektrooniliselt salvestatud kui ka paberkandjal andmete puhul.

(3) Erieeskirjad andmete kustutamise kohta vt: otsus 2007/76/EÜ ning „Tarbijakaitsealase koostöö võrgustik: tegevusjuhised.”.

(4) Direktiiv 95/46/EÜ.

(5) Määrus (EÜ) nr 45/2001.

(6) http://www.edps.europa.eu/EDPSWEB/edps/EDPS

(7) TKK määruse (EÜ) nr 2006/2004 artiklid 8, 9 ja 15.

(8) TKK määruse (EÜ) nr 2006/2004 artikli 8 lõige 5.

(9) TKK määruse (EÜ) nr 2006/2004 artikkel 9.

(10) Direktiivi 95/46/EÜ artikli 11 lõige 2 ja artikkel 13.

(11) Direktiivi 95/46/EÜ artiklid 10 ja 11.

(12) Direktiivi 95/46/EÜ artikkel 7.

(13) Direktiivi 95/46/EÜ artikli 6 lõike 1 punkt b.

(14) Direktiivi 95/46/EÜ artiklid 10, 11 ja 12.

(15) Direktiivi 95/46/EÜ artikkel 12.

(16) Direktiivi 95/46/EÜ artikli 8 lõige 2.

(17) Direktiivi 95/46/EÜ artikkel 8.

(18) Otsuse 2007/76/EÜ lisa 4. peatükk.

(19) Arvamus 6/2007, milles käsitletakse andmekaitse küsimusi seoses tarbijakaitsealase koostöö süsteemiga (01910/2007/EN, WP 130), vastu võetud 21. septembril 2007, lk 24–26.

(20) Direktiivi 95/46/EÜ artikli 6 lõike 1 punkt d.

(21) Otsus 2007/76/EÜ

(22) Tarbijakaitsealase koostöö võrgustik: tegevusjuhised, kinnitanud TKK komitee 8. juunil 2010.

(23) Suuniste sisu lisatakse tulevaste TKK süsteemi alaste koolituste programmi.

(24) TKK määruse (EÜ) nr 2006/2004 artikkel 10 ja TKK määruse rakendusotsuse 2007/76/EÜ lisa 2. peatükk.

(25) TKK määruse (EÜ) nr 2006/2004 artikli 14 lõige 2.

(26) TKK määruse (EÜ) nr 2006/2004 artikkel 18.