KOMISJONI RAKENDUSOTSUS (EL) 2021/1773,

28. juuni 2021,

mis põhineb Euroopa Parlamendi ja nõukogu direktiivil (EL) 2016/680 ning käsitleb isikuandmete piisavat kaitset Ühendkuningriigis

(teatavaks tehtud numbri C(2021) 4801 all)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiivi (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK, (1) eelkõige selle artikli 36 lõiget 3,

ning arvestades järgmist:

1. SISSEJUHATUS

(1) Direktiiviga (EL) 2016/680 on kehtestatud eeskirjad isikuandmete edastamiseks liidus asuvatelt pädevatelt asutustelt kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele määral, mil see edastamine kuulub direktiivi kohaldamisalasse. Pädevate asutuste poolt isikuandmete rahvusvahelise edastamise eeskirjad on sätestatud direktiivi (EL) 2016/680 V peatükis, täpsemalt artiklites 35–40. Kuigi isikuandmete liikumine Euroopa Liidust väljaspool asuvatesse riikidesse ja neist riikidest Euroopa Liitu on vajalik tõhusa õiguskaitsekoostöö huvides, tuleb tagada, et sellise edastamisega ei alandata Euroopa Liidus isikuandmete kaitse taset (2).

(2) Direktiivi (EL) 2016/680 artikli 36 lõike 3 alusel võib komisjon võtta rakendusaktiga vastu otsuse, et kolmas riik või kolmanda riigi territoorium või kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme. Sel tingimusel võib kolmandale riigile isikuandmeid edastada lisaloata (välja arvatud juhul, kui edastamiseks peab andma loa teine liikmesriik, kust andmed saadi), nagu on ette nähtud direktiivi (EL) 2016/680 artikli 35 lõikes 1 ja põhjenduses 66.

(3) Nagu on märgitud direktiivi (EL) 2016/680 artikli 36 lõikes 2, tuleb kaitse piisavuse otsuse vastuvõtmisel tugineda kolmanda riigi õiguskorra põhjalikule analüüsile. Komisjon peab hindamisel kindlaks määrama, kas kõnealune kolmas riik tagab kaitsetaseme, mis sisuliselt vastab Euroopa Liidus tagatud kaitsetasemele (direktiivi (EL) 2016/680 põhjendus 67). Sisulise vastavuse hindamise standard on sätestatud ELi õiguses, eelkõige direktiivis (EL) 2016/680 ja Euroopa Liidu Kohtu praktikas (3). Tähtis on ka Euroopa Andmekaitsenõukogu piisavuse võrdlusalus (4).

(4) Nagu Euroopa Liidu Kohus on selgitanud, ei eelda see identset kaitsetaset (5). Eelkõige võivad vahendid, mida asjaomane kolmas riik isikuandmete kaitsmiseks kasutab, erineda nendest, mida Euroopa Liidus rakendatakse, kuivõrd need osutuvad praktikas kaitse piisava taseme tagamisel tulemuslikuks (6). Kaitse piisavuse nõue ei eelda seega, et liidu õigusnorme tuleb punkt punktilt kopeerida. Küsimus on pigem selles, kas ELi-väline süsteem tervikuna tagab eraelu puutumatuse õiguse sisu, selle tõhusa rakendamise, järelevalve ja kohtuliku kaitse kaudu nõutava isikuandmete kaitse taseme (7).

(5) Komisjon on hoolikalt analüüsinud Ühendkuningriigi asjaomaseid õigusnorme ja tavasid. Komisjon teeb allpool esitatud tähelepanekutele tuginedes järelduse, et Ühendkuningriik tagab direktiivi (EL) 2016/680 kohaldamisalasse kuuluvatelt liidus asuvatelt pädevatelt asutustelt 2018. aasta andmekaitseseaduse (Data Protection Act 2018) (8) 3. osa kohaldamisalasse kuuluvatele Ühendkuningriigi pädevatele asutustele edastatavate isikuandmete kaitse piisava taseme.

(6) Ilma et käesolev otsus piiraks direktiivi (EL) 2016/680 artiklis 35 sätestatud tingimuste kohaldamist, ei pea otsusest tulenevalt selliseks edastamiseks hankima lisaluba nelja-aastase ajavahemiku jooksul, mida võidakse pikendada.

2. EESKIRJAD, MIDA KOHALDATAKSE ISIKUANDMETE TÖÖTLEMISEL PÄDEVATE ASUTUSTE POOLT KRIMINAALÕIGUSKAITSE EESMÄRKIDEL

2.1. Põhiseaduslik raamistik

(7) Ühendkuningriik on parlamentaarne demokraatia. Sellel on kõigi muude valitsusasutuste suhtes ülimuslik suveräänne parlament, täidesaatvat võimu teostav valitsus, mille liikmed valitakse parlamendi liikmete hulgast ja mis annab aru parlamendile, ning sõltumatu kohtuvõim. Valitsuse volitused olenevad selle suutlikkusest võita valitud alamkoja usaldus. Valitsus annab aru mõlemale parlamendikojale (alamkoda ja ülemkoda ehk lordide koda), mis teostavad järelevalvet valitsuse üle ning arutavad ja võtavad vastu seadusi. Ühendkuningriigi parlament on delegeerinud Šotimaa parlamendile, Walesi parlamendile (Senedd Cymru) ja Põhja-Iirimaa assambleele vastutuse õigusloome eest teatavates Šotimaa, Walesi ja Põhja-Iirimaa siseküsimustes. Andmekaitse kuulub Ühendkuningriigi parlamendi pädevusse, st sama õigust kohaldatakse kogu riigis, kuid otsustusõigus käesoleva otsusega seotud muude poliitikavaldkondade üle on delegeeritud. Näiteks vastutus kriminaalõigussüsteemide, sealhulgas Šotimaa ja Põhja-Iirimaa politsei tegevuse eest on üle antud vastavalt Šotimaa parlamendile ja Põhja-Iirimaa assambleele (9).

(8) Kuigi Ühendkuningriigil ei ole kodifitseeritud põhiseadust konkreetse konstitutiivse dokumendi tähenduses, on riigi põhiseaduslikud põhimõtted välja kujunenud aja jooksul ning põhinevad kohtupraktikal ja eelkõige tavadel. Tunnistatakse teatavate statuutide, näiteks Magna Carta, 1689. aasta õiguste deklaratsiooni (Bill of Rights 1689) ja 1998. aasta inimõiguste seaduse (Human Rights Act 1998) põhiseaduslikku väärtust. Põhiseadusliku korra osana on üksikisiku põhiõigusi laiendatud üldise õiguse, statuutide ja rahvusvaheliste lepingutega, eelkõige Euroopa inimõiguste konventsiooniga, mille Ühendkuningriik ratifitseeris 1951. aastal. Ühendkuningriik ratifitseeris 1987. aastal ka Euroopa Nõukogu isikuandmete automatiseeritud töötlemisel isiku kaitse konventsiooni (konventsioon 108) (10).

(9) 1998. aasta inimõiguste seadusega lisati Euroopa inimõiguste konventsioonis sisalduvad õigused Ühendkuningriigi õigusesse. Seadusega antakse igale isikule põhiõigused ja -vabadused, mis on ette nähtud Euroopa inimõiguste konventsiooni artiklites 2–12 ja artiklis 14, konventsiooni protokolli nr 1 artiklites 1–3 ning protokolli nr 13 artiklis 1 koostoimes Euroopa inimõiguste konventsiooni artiklitega 16–18. See hõlmab õigust era- ja perekonnaelu austamisele – mis omakorda hõlmab õigust isikuandmete kaitsele – ning õigust õiglasele kohtumenetlusele (11). Nimelt ei sekku ametivõimud Euroopa inimõiguste konventsiooni artikli 8 kohaselt eraelu puutumatuse õiguse kasutamisse muidu, kui kooskõlas seadusega ja kui see on demokraatlikus ühiskonnas vajalik riigi julgeoleku, ühiskondliku turvalisuse või riigi majandusliku heaolu huvides, korratuse või kuriteo ärahoidmiseks, tervise või kõlbluse või kaasinimeste õiguste ja vabaduste kaitseks.

(10) Vastavalt 1998. aasta inimõiguste seadusele peab avaliku sektori asutuste tegevus olema alati kooskõlas Euroopa inimõiguste konventsiooniga tagatud õigustega (12). Lisaks tuleb esmaseid ja teiseseid õigusakte tõlgendada ja rakendada viisil, mis on nende õigustega kooskõlas (13). Kui üksikisik leiab, et avaliku sektori asutused on rikkunud tema õigusi, sealhulgas eraelu puutumatuse õigus ja andmekaitse õigus, võib ta õiguskaitse saamiseks pöörduda 1998. aasta inimõiguste seaduse alusel Ühendkuningriigi kohtute poole ja kui riiklikud õiguskaitsevahendid on ammendatud, taotleda Euroopa inimõiguste konventsiooniga tagatud õiguste rikkumise korral õiguskaitset Euroopa Inimõiguste Kohtus.

2.2. Ühendkuningriigi andmekaitseraamistik

(11) Ühendkuningriik astus 31. jaanuaril 2020 liidust välja. Suurbritannia ja Põhja-Iiri Ühendkuningriigi Euroopa Liidust ja Euroopa Aatomienergiaühendusest väljaastumise lepingu (14) alusel jätkati Ühendkuningriigis liidu õiguse kohaldamist üleminekuperioodil kuni 31. detsembrini 2020. Enne väljaastumist ja üleminekuperioodi kestel koosnes Ühendkuningriigis isikuandmete kaitse õigusraamistik, millega reguleeritakse pädevates asutustes isikuandmete töötlemist süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil, 2018. aasta andmekaitseseaduse asjakohastest osadest, millega võeti üle direktiiv (EL) 2016/680.

(12) Valmistudes EList väljaastumiseks kehtestas Ühendkuningriigi valitsus 2018. aasta Euroopa Liidust väljaastumise seaduse (European Union (Withdrawal) Act 2018, edaspidi „väljaastumisseadus“), (15) millega inkorporeeriti vahetult kohaldatavad liidu õigusaktid Ühendkuningriigi õigusesse ja nähti ette, et nn ELi õigusel põhinevad siseriiklikud õigusaktid jäävad kehtima ka pärast üleminekuperioodi lõppu. 2018. aasta andmekaitseseaduse (16) 3. osa, millega võetakse üle direktiiv (EL) 2016/680, on väljaastumisseaduse tähenduses ELi õigusel põhinev siseriiklik õigusakt. Väljaastumisseaduse kohaselt peavad Ühendkuningriigi kohtud tõlgendama ELi õigusel põhinevaid siseriiklikke muutmata õigusakte vastavalt Euroopa Liidu Kohtu (Euroopa Kohus) asjakohasele praktikale ja liidu õiguse üldistele põhimõtetele, nii nagu need kehtisid vahetult enne üleminekuperioodi lõppu (vastavalt „jätkuvalt kohaldatav ELi kohtupraktika“ ja „jätkuvalt kohaldatavad ELi õiguse üldpõhimõtted“) (17).

(13) Väljaastumisseaduse kohaselt on Ühendkuningriigi ministritel volitused kehtestada seadusandlike dokumentidega teiseseid õigusakte, et teha jätkuvalt kohaldatavates ELi õigusaktides vajalikud muudatused, mis tulenevad Ühendkuningriigi väljaastumisest liidust. Seda õigust kasutati 2019. aasta andmekaitset, eraelu puutumatust, elektroonilist sidet, muudatusi jne käsitleva (EList väljaastumise) määrusega (edaspidi „andmekaitse, eraelu puutumatuse ja elektroonilise side määrus“) (18). Sellega muudetakse Ühendkuningriigi andmekaitsealaseid õigusakte, sealhulgas 2018. aasta andmekaitseseadust, et viia see vastavusse siseriikliku kontekstiga (19).

(14) Seega on Ühendkuningriigis pärast väljaastumislepingukohase üleminekuperioodi lõppu pädevates asutustes isikuandmete töötlemise õigusnõuded süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil jätkuvalt sätestatud andmekaitse, eraelu puutumatuse ja elektroonilise side määrusega muudetud 2018. aasta andmekaitseseaduse asjakohastes osades, eelkõige seaduse 3. osas. Sellist liiki töötlemisele ei kohaldata Ühendkuningriigi isikuandmete kaitse üldmäärust.

(15) 2018. aasta andmekaitseseaduse 3. osas on sätestatud eeskirjad isikuandmete töötlemise kohta kriminaalõiguskaitse eesmärkidel, sealhulgas andmekaitsepõhimõtted, töötlemise õiguslikud alused (õiguspärasus), andmesubjektide õigused, pädevate asutuste kui vastutavate töötlejate kohustused ja andmete edasisaatmise piirangud. 2018. aasta andmekaitseseaduse 5. ja 6. osas on sätestatud õiguskaitse valdkonnas kohaldatavad järelevalve, täitmise tagamise ja õiguskaitse eeskirjad.

(16) Arvestades politsei tähtsust õiguskaitse valdkonnas, tuleks tähelepanu pöörata ka politseitegevust käsitlevatele eeskirjadele. Kuna politseitegevus on delegeeritud valdkond, kohaldatakse a) Inglismaal ja Walesis, b) Šotimaal ja c) Põhja-Iirimaal politseitegevuse suhtes eri õigusakte, mis on ometi sisult sageli sarnased (20). Lisaks selgitatakse politsei volituste korrektset kasutamist eri liiki suunistes. Politseitegevuse suunisete kolm peamisest liiki on järgmised: 1) õigusaktidest tulenevad kohustuslikud suunised, näiteks 1996. aasta politseiseaduse (Police Act 1996) (21) alusel koostatud eetikakoodeks (Code of Ethics) (22) ja politseiteabe haldamise tegevusjuhend (Code of Practice on the Management of Police Information) (23) või politsei- ja kriminaaltõendite seaduse (Police and Criminal Evidence Act) (24) alusel koostatud PACE tegevusjuhendid (PACE codes); (25) 2) politseikolledži (College of Policing) avaldatud kinnitatud kutsetavad politseiteabe haldamise kohta (Authorised Professional Practice on the Management of Police Information) (26) ning 3) tegevussuunised (politsei avaldatud). Riiklik kõrgemate politseiametnike nõukogu (National Police Chiefs Council, Ühendkuningriigi politseijõudude koordineerimise asutus) avaldab tegevussuuniseid, mille on heaks kiitnud kõik politseijõud ja mida seetõttu kohaldatakse kogu riigis (27). Suuniste eesmärk on tagada, et politseiasutused haldavad teavet ühtselt (28).

(17) Minister avaldas politseiteabe haldamise tegevusjuhendi 2005. aastal, kasutades 1996. aasta politseiseaduse paragrahvis 39A sätestatud volitusi (29). Enne kui parlamendile esitatakse politseiseaduse alusel avaldatav tegevusjuhend, peab selle heaks kiitma minister ja selle üle tuleb konsulteerida riikliku kriminaalametiga. Politseiseaduse paragrahvi 39A lõikes 7 nõutakse, et politsei peab võtma arvesse seadusest tulenevaid koodekseid, ning järelikult peab politsei seda nõuet täitma (30). Lisaks peavad muud kui õigusaktidest tulenevad suunised (näiteks kinnitatud kutsetavad politseiteabe haldamise kohta) olema alati kooskõlas politseiteabe haldamise tegevusjuhendiga, mis on selliste tavade suhtes ülimuslik (31).. Kuigi võib esineda teatavaid operatiivolukordi, kus politseiametnikud peavad sellistest suunistest kõrvale kalduma, peavad nad ikkagi järgima 2018. aasta andmekaitseseaduse 3. osa nõudeid (32).

(18) Lisasuuniseid Ühendkuningriigi andmekaitsealaste õigusaktide kohta andmete töötlemiseks õiguskaitse valdkonnas annab teabevolinik (Information Commissioner) (33) (lisateave teabevoliniku kohta on esitatud põhjendustes 93–109). Kuigi suunised ei ole õiguslikult siduvad, peavad kohtud võtma kohtuasjades arvesse suuniste rikkumisi, sest suunised on tähtsad tõlgendamisel ja näitavad, kuidas volinik andmekaitsealaseid õigusakte praktikas tõlgendab ja tagab nende täitmise (34).

(19) Nagu mainitud põhjendustes 8–10, peavad Ühendkuningriigi õiguskaitseasutused tagama ka Euroopa inimõiguste konventsiooni ja konventsiooni 108 järgimise.

(20) Seega on Ühendkuningriigi kriminaalõiguskaitseasutuste andmetöötlust reguleeriv õigusraamistik ülesehituse ja peamiste osade poolest väga sarnane ELis kohaldatava raamistikuga. Samuti tugineb see raamistik lisaks riiklikus õiguses sätestatud kohustustele, mida on kujundanud ELi õigus, ka rahvusvahelises õiguses sätestatud kohustustele, eelkõige arvestades Ühendkuningriigi osalemist Euroopa inimõiguste konventsioonis ja konventsioonis 108 ning kuuluvust Euroopa Inimõiguste Kohtu alluvusse. Järelikult on need õiguslikult siduvatest rahvusvahelistest õigusaktidest tulenevad kohustused, eelkõige isikuandmete kaitsega seotud kohustused, käesolevas otsuses hinnatava õigusraamistiku tähtis osa.

2.3. Sisuline ja territoriaalne kohaldamisala

(21) 2018. aasta andmekaitseseaduse 3. osa kohaldamisala langeb kokku direktiivi (EL) 2016/680 kohaldamisalaga, mida on täpsustatud direktiivi artikli 2 lõikes 2. 3. osa kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemisele pädeva asutuse poolt ja isikuandmete automatiseerimata töötlemisele pädeva asutuse poolt, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.

(22) Pealegi peab vastutav töötleja 3. osa kohaldamisalasse kuulumiseks olema pädev asutus ja töötlemine peab toimuma õiguskaitse eesmärgil. Seetõttu kohaldatakse käesolevas otsuses hinnatud andmekaitsekorda nende pädevate asutuste kogu õiguskaitsetegevuse suhtes.

(23) Pädev asutus on määratletud andmekaitseseaduse paragrahvis 30 kui 2018. aasta andmekaitseseaduse 7. lisas loetletud isik ja muu isik, kellel on seadusjärgsed ülesanded õiguskaitse tagamise eesmärgil. 7. lisas loetletud pädevad asutused hõlmavad peale politseijõudude kõiki Ühendkuningriigi ministeeriume ja teisi uurimisülesannetega asutusi (nt Ühendkuningriigi maksu- ja tolliameti volinik (Commissioner for Her Majesty’s Revenue and Customs), Walesi maksu- ja tolliamet (Welsh Revenue Authority), konkurentsi- ja turuamet (Competition and Markets Authority) ja Ühendkuningriigi kinnistusregister (Her Majesty’s Land Registry) või riiklik kriminaalamet (National Crime Agency)), prokuratuuri organeid, muid kriminaalõiguse asutusi ja muid uurimisülesannetega isikuid või õiguskaitsega tegelevaid organisatsioone (35). 2018. aasta andmekaitseseaduse 3. osa – välja arvatud andmesubjektide õiguste ja teabevoliniku büroo teostatava järelevalvega seotud osad – kohaldatakse ka kohtutele nende õigusemõistmise ülesannete täitmisel (36). Pädevate asutuste loetelu 7. lisas ei ole ammendav ja minister võib seda ajakohastada määrusega, võttes arvesse avaliku sektori asutuste korralduslikke muudatusi (37).

(24) Samuti peab kõnealune töötlemine toimuma õiguskaitse eesmärgil, mis on määratletud kui süütegude tõkestamine, uurimine, avastamine ja nende eest vastutusele võtmine või kriminaalkaristuste täitmisele pööramine, sealhulgas kaitse avalikku julgeolekut ähvardavate ohtude eest ja nende ennetamine (38). Pädeva asutuse poolset isikuandmete töötlemist ei reguleerita 2018. aasta andmekaitseseaduse 3. osaga, kui töötlemine ei toimu õiguskaitse eesmärkidel, näiteks kui konkurentsi- ja turuamet uurib juhtumeid, mis ei kuulu kriminaalõiguse alla (nt ettevõtete ühinemine). Sellisel juhul kohaldatakse Ühendkuningriigi isikuandmete kaitse üldmäärust koos 2018. aasta andmekaitseseaduse 2. osaga, sest pädevad asutused töötlevad isikuandmeid muudel kui õiguskaitse eesmärkidel. Selleks et teha kindlaks, millist andmekaitsekorda konkreetsete isikuandmete töötlemisele kohaldada (2018. aasta andmekaitseseaduse 2. või 3. osa), peab pädev asutus, st vastutav töötleja, kaaluma, kas sellise töötlemise peamine eesmärk on seotud 2018. aasta andmekaitseseaduse kohase õiguskaitsega.

(25) 2018. aasta andmekaitseseaduse 3. osa territoriaalse kohaldamisala kohta on paragrahvi 207 lõikes 2 ette nähtud, et andmekaitseseadust kohaldatakse sellise isiku tegevuse raames toimuvale isikuandmete töötlemisele, kelle üksus asub kogu Ühendkuningriigi territooriumil. See hõlmab Inglismaa, Walesi, Šotimaa ja Põhja-Iirimaa territooriumil asuvaid avaliku sektori asutusi, mis kuuluvad 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse (39).

2.3.1. Isikuandmete ja töötlemise määratlus

(26) Tähtsaimad mõisted „isikuandmed“ ja „isikuandmete töötlemine“ on määratletud 2018. aasta andmekaitseseaduse paragrahvis 3 ning neid kohaldatakse kogu andmekaitseseaduses. Määratlused on tihedalt seotud direktiivi (EL) 2016/680 artiklis 3 sätestatud vastavate määratlustega. 2018. aasta andmekaitseseaduse kohaselt tähendavad isikuandmed igasugust teavet tuvastatud või tuvastatava elava isiku kohta (40). 2018. aasta andmekaitseseaduse paragrahvi 3 lõike 3 kohaselt on isik tuvastatav, kui teda saab teabe põhjal otseselt või kaudselt tuvastada, sealhulgas nime või identifitseerimistunnuse põhjal või selle isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Mõiste „isikuandmete töötlemine“ on määratletud kui teabe või teabe kogumitega tehtav toiming või toimingute kogum, nagu a) kogumine, dokumenteerimine, korrastamine, struktureerimine või säilitamine; b) kohandamine või muutmine; c) päringute tegemine, lugemine või kasutamine; d) edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine; e) ühitamine või ühendamine või f) piiramine, kustutamine või hävitamine. Seaduses määratletakse ka mõiste „tundlike isikuandmete töötlemine“ kui „a) selliste isikuandmete töötlemine, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine; b) geneetiliste või biomeetriliste andmete töötlemine isiku kordumatuks tuvastamiseks; c) terviseandmete töötlemine; d) isiku seksuaalelu või seksuaalset sättumust käsitlevate andmete töötlemine“ (41). Nendega seotud mõisted „biomeetrilised andmed“, (42)„terviseandmed“ (43) ja „geneetilised andmed“ (44) on määratletud 2018. aasta andmekaitseseaduse paragrahvis 205.

(27) 2018. aasta andmekaitseseaduse paragrahvis 32 täpsustatakse mõistete „vastutav töötleja“ ja „volitatud töötleja“ määratlust seoses isikuandmete töötlemisega õiguskaitse eesmärkidel. Määratlused on väga sarnased direktiivis (EL) 2016/680 kasutatud vastavate määratlustega. Vastutav töötleja on pädev asutus, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Kui isikuandmete töötlemine on seadusega ette nähtud, on vastutav töötleja pädev asutus, kellele selline kohustus on seadusega kehtestatud. Volitatud töötleja on määratletud kui isik, kes töötleb isikuandmeid vastutava töötleja nimel (ja kes ei ole vastutava töötleja töötaja).

2.4. Kaitsemeetmed, õigused ja kohustused

2.4.1. Isikuandmete töötlemise seaduslikkus ja õiglus

(28) 2018. aasta andmekaitseseaduse paragrahvi 35 kohaselt peab isikuandmete töötlemine olema seaduslik ja õiglane sarnaselt direktiivi (EL) 2016/680 artikli 4 lõike 1 punktile a. 2018. aasta andmekaitseseaduse paragrahvi 35 lõike 2 kohaselt on isikuandmete töötlemine õiguskaitse eesmärgil seaduslik vaid siis, kui see põhineb õigusel ja andmesubjekt on andnud nõusoleku isikuandmete töötlemiseks sellel eesmärgil või isikuandmete töötlemine on vajalik pädeva asutuse poolt selle eesmärgi kohase ülesande täitmiseks.

2.4.1.1. Isikuandmete töötlemine õiguse alusel

(29) Selleks et tagada 2018. aasta andmekaitseseaduse 3. osa alla kuuluva isikuandmete töötlemise seaduslikkus, peab selline isikuandmete töötlemine põhinema õigusel, nagu on ka sätestatud direktiivi (EL) 2016/680 artiklis 8. Seaduslik isikuandmete töötlemine tähendab, et selleks on luba antud kas statuudi, üldise õiguse või kuninglike eesõigustega (45).

(30) Pädevate asutuste volitusi reguleeritakse üldjuhul statuutidega: see tähendab, et nende ülesanded ja volitused on selgesti sätestatud parlamendi vastu võetud õigusaktides (46). Teatavatel juhtudel võivad politsei ja teised 2018. aasta andmekaitseseaduse 7. lisas loetletud pädevad asutused tugineda andmete töötlemisel üldisele õigusele (47). Üldine õigus on kujunenud kohtuotsustega loodud pretsedentide põhjal. Üldisest õigusest tulenevad politsei volitused ja keskne ülesanne kaitsta kodanikke kuritegevuse avastamise ja tõkestamise kaudu (48). Selle ülesande täitmiseks võivad politseijõud aga tugineda nii üldisest õigusest tulenevatele kui ka seadusandlikele volitustele (49). Valdkondades, kus politseil on seadusjärgsed volitused, on need ülimuslikud üldisest õigusest tulenevate volituste suhtes (50).

(31) Kohtud on tunnistanud politseiametnike üldisest õigusest tulenevate volituste ja kohustuste ulatust, sedastades, et need hõlmavad kõiki meetmeid, mis näivad politseiametnikule vajalikud rahu hoidmiseks, kuritegevuse tõkestamiseks või vara kaitsmiseks kuritegeliku kahju eest (51). Üldisest õigusest tulenevad volitused ei ole absoluutsed volitused. Neile kehtib mitu piirangut, sealhulgas kohtute (52) ja õigusaktidega, eelkõige 1998. aasta inimõiguste seaduse (Human Rights Act 1998) ja 2010. aasta võrdõiguslikkuse seadusega (Equality Act 2010), (53) kehtestatud kitsendused. 2018. aasta andmekaitseseaduse 3. osa alusel andmeid töötlevate pädevate asutuste puhul hõlmab see üldisest õigusest tulenevate volituste kasutamist kooskõlas 2018. aasta andmekaitseseaduses sätestatud nõuetega (54). Andmete töötlemise teostamise otsuse puhul tuleb lisaks arvesse võtta kohaldatavate suuniste, näiteks politseiteabe haldamise tegevusjuhendi ja Ühendkuningriigi maadele eriomaste suuniste (55) nõudeid. Valitsus ja operatiivtööga tegelevad politseiorganid on avaldanud mitu suunisdokumenti, mis aitavad tagada, et politseiametnikud kasutavad oma isikuandmete töötlemise alaseid volitusi üldises õiguses või asjakohases statuudis (56) sätestatud piirides.

(32) Õiguse üks osadest on kuninglikud eesõigused, millest tulenevad monarhile teatavad volitused, mida rakendab täidesaatev võim ja mis ei põhine statuudil, vaid tulenevad monarhi suveräänsusest (57). Õiguskaitse kontekstis on väga vähe näiteid asjakohastest eesõiguslikest volitustest. Nende hulka kuulub vastastikuse õigusabi raamistik, mis võimaldab ministril jagada õiguskaitse eesmärkidel andmeid kolmandate riikidega ja sellisel viisil andmete jagamise volitus ei ole alati sätestatud statuudis (58). Kuninglikele eesõigustele kehtivad üldise õiguse põhimõtted (59) ja need on allutatud statuudile, mistõttu kohaldatakse eesõiguste suhtes 1998. aasta inimõiguste seaduse ja 2018. aasta andmekaitseseadusega ette nähtud piiranguid (60).

(33) Sarnaselt direktiivi (EL) 2016/680 artikliga 8 näeb Ühendkuningriigi kord ette, et seaduslikkuse põhimõtte järgimiseks peaksid pädevad asutused tagama, et kui isikuandmete töötlemine põhineb õigusel, peab see ühtlasi olema õiguskaitse eesmärgi kohase ülesande täitmiseks vajalik. Teabevoliniku büroo selgitab seda järgmiselt: „see peab olema sihipärane ja proportsionaalne viis eesmärgi täitmiseks. Isikuandmete töötlemine ei põhine õigusel, kui eesmärki saab mõistlikult täita muul vähem sekkuval viisil. Ei piisa väitest, et töötlemine on vajalik, sest olete otsustanud oma tegevust konkreetsel viisil ellu viia. Küsimus on selles, kas töötlemine on vajalik sedastatud eesmärgi täitmiseks“ (61).

2.4.1.2. Isikuandmete töötlemine andmesubjekti nõusoleku alusel

(34) Nagu mainitakse põhjenduses 28, on 2018. aasta andmekaitseseaduse paragrahvi 35 lõikes 2 ette nähtud võimalus töödelda isikuandmeid isiku nõusoleku alusel.

(35) Nõusolek ei näi aga olevat käesoleva otsuse kohaldamisalasse kuuluvate töötlemistoimingute puhul asjakohane õiguslik alus. Käesoleva otsusega hõlmatud töötlemistoimingud on nimelt alati seotud andmetega, mille liikmesriigi pädev asutus on edasi saatnud Ühendkuningriigi pädevale asutusele direktiivi (EL) 2016/680 alusel. Seetõttu ei hõlma need tavaliselt avaliku sektori asutuse ja andmesubjektide vahelist otsest suhtlust (kogumine), mis võiks põhineda 2018. aasta andmekaitseseaduse paragrahvi 35 lõike 2 punkti a kohasel nõusolekul.

(36) Kuigi seega ei peeta käesoleva otsuse kohase hindamise jaoks nõusolekut asjakohaseks, tuleb täielikkuse huvides märkida, et õiguskaitse kontekstis ei põhine isikuandmete töötlemine kunagi vaid nõusolekul, sest pädeval asutusel peab alati olema volitus, mis võimaldab tal andmeid töödelda (62). Konkreetsemalt tähendab see, et samamoodi, nagu on lubatud direktiivi (EL) 2016/680 (63) kohaselt, on nõusoleku vajalikkus lisatingimus, mis võimaldab teatavaid piiratud ja spetsiifilisi töötlemistoiminguid, mida ei saaks muul juhul teha, näiteks sellise isiku DNA-proovi kogumine ja töötlemine, kes ei ole kahtlusalune. Kui sellisel juhul nõusolekut ei anta või see võetakse tagasi, siis töötlemist ei toimu (64).

(37) Isiku nõusolekut eeldavatel juhtudel peab selline nõusolek olema ühemõtteline ja selgesti väljendatud (65). Politsei peab esitama isikuandmete kaitse teate, sealhulgas vajaliku teabe nõusoleku korrektse kasutamise kohta. Mõned jaoskonnad avaldavad ka lisateavet selle kohta, kuidas nad järgivad andmekaitsealaseid õigusakte, sealhulgas kuidas ja millal nad kasutaksid nõusolekut õigusliku alusena (66).

2.4.1.3. Tundlike isikuandmete töötlemine

(38) Eriliiki andmete töötlemisel tuleks kohaldada konkreetseid kaitsemeetmeid. Sarnaselt direktiivi (EL) 2016/680 artikliga 10 ette nähtuga on 2018. aasta andmekaitseseaduse 3. osas sätestatud tundliku töötlemise jaoks rangemad kaitsemeetmed (67).

(39) 1998. aasta andmekaitseseaduse paragrahvi 35 lõike 3 kohaselt võivad pädevad asutused töödelda tundlikke andmeid õiguskaitse eesmärkidel üksnes kahel juhul: 1) andmesubjekt on andnud õiguskaitse eesmärgil andmete töötlemiseks nõusoleku ja töötlemise ajal on vastutaval töötlejal kehtiv nõuetekohane dokument tegevuspõhimõtete kohta (68) või 2) andmete töötlemine on rangelt vajalik õiguskaitse eesmärgil, töötlemine vastab vähemalt ühele 2018. aasta andmekaitseseaduse 8. lisa tingimusele ja töötlemise ajal on vastutaval töötlejal kehtiv nõuetekohane dokument tegevuspõhimõtete kohta (69).

(40) Esimesel juhul ei peeta nõusolekule tuginemist käesolevas otsuses käsitletava isikuandmete edastamise puhul asjakohaseks, nagu on selgitatud ka põhjenduses 38 (70).

(41) Kui tundlike andmete töötlemine ei põhine nõusolekul, võib selle alusena kasutada üht 2018. aasta andmekaitseseaduse 8. lisas loetletud tingimustest. Need tingimused on seotud seadusjärgsetel eesmärkidel vajaliku töötlemisega; õigusemõistmisega; andmesubjekti või teise isiku eluliste huvide kaitsmisega; laste ja ohus olevate isikute kaitsega; õiguslike nõuetega; kohtute tegevusega; pettuste ennetamisega; arhiveerimisega; juhtudega, kui andmesubjekt on isikuandmed ilmselgelt avalikustanud. Kõigi 8. lisas esitatud tingimuste vajalikkust kontrollitakse rangelt, välja arvatud juhul, kui andmed on ilmselgelt avalikustatud. Teabevoliniku selgituse kohaselt „rangelt vajalik tähendab selles kontekstis, et töötlemine peab olema seotud tungiva sotsiaalse vajadusega ja seda ei ole võimalik mõistlikult saavutada vähem sekkuvate meetoditega“ (71). Teatavate tingimuste suhtes kohaldatakse lisapiiranguid. Näiteks seadusjärgsete eesmärkide tingimusele ja kaitse tingimusele (8. lisa punktid 1 ja 4) tuginemiseks peab olema lisaks täidetud märkimisväärse avaliku huvi kriteerium. Seoses laste turvalisuse tagamise tingimustega (8. lisa punkt 4) peab andmesubjekt olema teatavas vanuses ja olema ohus. Vastutav töötleja võib kohaldada 8. lisa punktis 4 sätestatud tingimust vaid konkreetsetel asjaoludel (72). Samuti kehtivad piirangud kohtute tegevuse ja pettuste ennetamise tingimuste puhul (vastavalt 8. lisa punktid 7 ja 8). Mõlemad on kohaldatavad vaid kindlatele vastutavatele töötlejatele. Kohtute tegevuse tingimust võivad kasutada ainult kohtud või muud õigusasutused ja pettuste ennetamise tingimusele võivad tugineda vaid vastutavad töötlejad, kes on pettusevastased organisatsioonid.

(42) Kui töötlemine tugineb ühele 8. lisas loetletud tingimustest ja vastavalt 2018. aasta andmekaitseseaduse paragrahvile 42 peab olema kehtiv nõuetekohane tegevuspõhimõtteid käsitlev dokument, milles selgitatakse vastutava töötleja menetlusi andmekaitsepõhimõtete järgimise tagamiseks ning vastutava töötleja põhimõtteid seoses isikuandmete säilitamise ja kustutamisega, ning kohaldatakse järjepideva dokumenteerimise kohustust.

2.4.2. Eesmärgi piirang

(43) Isikuandmeid tuleks töödelda konkreetsel eesmärgil ja kasutada seejärel üksnes määral, mil see on kooskõlas töötlemise eesmärgiga. See andmekaitsepõhimõte on tagatud 2018. aasta andmekaitseseaduse paragrahviga 36. Sarnaselt direktiivi (EL) 2016/680 artikli 4 lõike 1 punktiga b nõutakse selles artiklis, et a) õiguskaitse eesmärk, milleks isikuandmeid kogutakse, peab olema täpselt ja selgelt kindlaks määratud ja õiguspärane ning b) nii kogutud isikuandmeid ei tohi töödelda viisil, mis on kogumise eesmärgiga vastuolus.

(44) Kui pädevad asutused töötlevad andmeid õiguskaitse eesmärgil, võib see hõlmata arhiveerimist, teadus- või ajaloouuringuid ja statistilisi eesmärke (73). 2018. aasta andmekaitseseaduses täpsustatakse ka, et sellistel juhtudel ei ole arhiveerimine (või töötlemine teadus- või ajaloouuringute ja statistilistel eesmärkidel) lubatud, kui arhiveerida soovitakse otsuseid, mis on tehtud kindla andmesubjekti kohta, või on tõenäoline, et see põhjustab talle märkimisväärset kahju või märkimisväärseid kannatusi (74).

2.4.3. Õigsus ja võimalikult väheste andmete kogumine

(45) Andmed peavad olema õiged ja vajaduse korral ajakohastatud. Need peavad olema ka piisavad, asjakohased ja mitte ülemäärased seoses eesmärkidega, mille tarvis neid töödeldakse. Need põhimõtted on sarnaselt direktiivi (EL) 2016/680 artikli 4 lõike 1 punktidega c, d ja e tagatud 2018. aasta andmekaitseseaduse paragrahvidega 37 ja 38. Tuleb võtta kõik mõistlikud meetmed, millega tagatakse, et ebaõiged isikuandmed (75) kustutatakse või neid parandatakse viivitamata, (76) võttes arvesse õiguskaitse eesmärki, mille tarvis neid töödeldakse, (77) ning et ebaõigeid, mittetäielikke või aegunud isikuandmeid ei edastata ega tehta kättesaadavaks ühelgi õiguskaitse eesmärgil (78).

(46) Sarnaselt direktiivi (EL) 2016/680 artikliga 7 näeb Ühendkuningriigi andmekaitsekord ette, et faktidel põhinevaid isikuandmeid tuleb eristada nii palju kui võimalik isiklikel hinnangutel põhinevatest isikuandmetest (79). Kui see on asjakohane ja võimalik, tuleb selgesti eristada isikuandmeid, mis on seotud eri andmesubjektide kategooriatega, nagu kahtlusalused, süüteos süüdimõistetud, süütegude ohvrid ja tunnistajad (80).

2.4.4. Säilitamise piirang

(47) Direktiivi (EL) 2016/680 artikli 5 kohaselt ei tohiks andmeid põhimõtteliselt säilitada kauem, kui see on vajalik isikuandmete töötlemise eesmärkide täitmiseks. 2018. aasta andmekaitseseaduse paragrahvi 39 kohaselt ja sarnaselt selle direktiivi artikliga 5 on keelatud säilitada õiguskaitse eesmärgil töödeldud isikuandmeid kauem, kui see on vajalik seoses andmete töötlemise eesmärgiga. Ühendkuningriigi õiguskord näeb ette, et tuleb kehtestada nõuetekohased ajavahemikud, mille jooksul tuleb läbi vaadata, kas isikuandmete jätkuv säilitamine õiguskaitse eesmärkidel on vajalik. Täiendavad eeskirjad isikuandmete säilitamisega seotud tavade ja kohalduvate ajapiirangute kohta on sätestatud asjakohastes õigusaktides ja suunistes, millega reguleeritakse politsei volitusi ja tegevust. Näiteks Inglismaal ja Walesis moodustavad politseikolledži politseiteabe haldamise tegevusjuhend ja kinnitatud kutsetavad politseiteabe haldamise kohta raamistiku, mis aitab tagada politsei operatiivteabe haldamises järjepidevat riskipõhist säilitamis-, läbivaatamis- ja kõrvaldamisprotsessi (81). Raamistikuga seatakse kogu teenistustele selged ootused selle kohta, kuidas teavet tuleks luua, jagada, kasutada ja hallata politseiasutustes ja nende vahel ning teiste asutustega (82). Politseilt eeldatakse tegevusjuhendi järgimist, mida kontrollib Tema Majesteedi politseiteenistuse ning tuletõrje- ja päästeteenistuse inspektoraat (Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services, HMICFRS) (83).

(48) Seadus ei nõua politseiteabe haldamise tegevusjuhendi järgimist Põhja-Iirimaa politseiteenistuselt. 2011. aastal vastu võetud politseiteabe haldamise raamistikku täiendab aga Põhja-Iirimaa politseiteenistuse käsiraamat, (84) milles on sätestatud põhimõtted ja kord politseiteabe haldamise tegevusjuhendi kohaldamise kohta Põhja-Iirimaal.

(49) Šotimaal tuginevad politseijõud andmete säilitamise standardsele töökorrale (SOP), (85) mis täiendab Šotimaa politseiteenistuse andmehalduse põhimõtteid (86). Standardses töökorras on sätestatud konkreetsed eeskirjad Šotimaa politsei valduses olevate andmete säilitamise kohta.

(50) Kogu Ühendkuningriigis kohaldatavat andmete läbivaatamise üldnõuet täiendavad üksikasjad on esitatud kohalikes eeskirjades. Näiteks Inglismaal ja Walesis on 2012. aasta vabaduste kaitse seadusega muudetud politsei- ja kriminaaltõendite seaduses ette nähtud sõrmejälgede ja DNA-profiilide säilitamine ning erikord seoses süüdimõistmata isikutega (87). Vabaduste kaitse seadusega loodi ka biomeetriliste andmete säilitamise ja kasutamise voliniku ametikoht (edaspidi „biomeetriavolinik“) (88). Vahistamisfotode 2017. aasta läbivaatamist käsitlevas dokumendis (89) on sätestatud vahistamisfotodega seotud erieeskirjad. Šotimaal on sõrmejälgede ja bioloogiliste proovide võtmise ja säilitamise eeskirjad sätestatud 1995. aasta kriminaalmenetluse seaduses (90). Nagu Inglismaal ja Walesiski reguleeritakse õigusaktiga biomeetriliste andmete säilitamist erinevatel juhtudel (91).

2.4.5. Andmete turvalisus

(51) Isikuandmeid tuleb töödelda viisil, mis tagab nende turvalisuse, sealhulgas kaitse loata või ebaseadusliku töötlemise ning juhusliku kaotsimineku, hävimise või kahju eest. Sellel eesmärgil peavad avaliku sektori asutused võtma asjakohaseid tehnilisi ja korralduslikke meetmeid, et kaitsta isikuandmeid võimalike ohtude eest. Neid meetmeid tuleb hinnata, võttes arvesse tehnika taset ja seonduvaid kulusid.

(52) Neid põhimõtteid kajastatakse direktiivi (EL) 2016/680 artikli 4 lõike 1 punktiga f sarnaselt 2018. aasta andmekaitseseaduse paragrahvis 40, mille kohaselt tuleb isikuandmeid töödelda õiguskaitse eesmärkidel viisil, mis tagab isikuandmete asjakohase turvalisuse, ja kasutada tuleb asjakohaseid tehnilisi või korralduslikke meetmeid. See hõlmab andmete kaitset loata või ebaseadusliku töötlemise ning juhusliku kaotsimineku, hävimise või kahju eest (92). 2018. aasta andmekaitseseaduse paragrahvis 66 on täpsustatud, et iga vastutav töötleja ja volitatud töötleja peab rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete töötlemisest tulenevatele riskidele vastaval tasemel turvalisus. Selgitavate märkuste kohaselt peab vastutav töötleja hindama riske ja rakendama sellel hinnangul põhinevaid asjakohaseid turvameetmeid, näiteks krüpteerimine või eri tasemete turvaload andmeid töötlevatele töötajatele (93). Hindamisel tuleb arvesse võtta ka näiteks töödeldavate andmete laadi ja muid asjakohaseid tegureid või asjaolusid, mis võivad mõjutada töötlemise turvalisust.

(53) Andmeturbe põhimõtete järgimise kord on väga sarnane direktiivi (EL) 2016/680 artiklitega 29–31 kehtestatud korraga. Vastutava töötleja vastutusalasse kuuluvate isikuandmetega seotud rikkumise korral peab vastutav töötleja 2018. aasta andmekaitseseaduse paragrahvi 67 lõike 1 kohaselt eelkõige teavitama teabevolinikku põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teada saamist (94). Teavitamiskohustust ei kohaldata, kui isikuandmete rikkumine ei ohusta tõenäoliselt isikute õigusi ega vabadusi (95). Vastutav töötleja peab dokumenteerima isikuandmete rikkumise asjaolud, rikkumise mõju ja võetud parandusmeetmed viisil, mis võimaldab teabevolinikul kontrollida andmekaitseseaduse järgimist (96). Kui volitatud töötleja saab teadlikuks turvarikkumisest, peab ta põhjendamatu viivituseta teavitama vastutavat töötlejat (97).

(54) 2018. aasta andmekaitseseaduse paragrahvi 68 lõikes 1 on sedastatud, et kui isikuandmetega seotud rikkumine põhjustab tõenäoliselt suurt ohtu isikute õigustele ja vabadustele, peab vastutav töötleja rikkumisest põhjendamatu viivituseta teavitama andmesubjekti (98). Teade peab sisaldama sama teavet nagu põhjenduses 53 kirjeldatud teavitus teabevolinikule. Kohustust ei kohaldata, kui vastutav töötleja on rakendanud asjakohaseid tehnilisi ja korralduslikke kaitsemeetmeid, mida kohaldati rikkumisest mõjutatud isikuandmetele. Seda ei kohaldata ka siis, kui vastutav töötleja on võtnud järelmeetmeid, mis tagavad, et andmesubjektide õigustele ja vabadustele ei ole enam tõenäoliselt suurt ohtu. Vastutav töötleja ei pea teavitama andmesubjekti, kui see eeldaks põhjendamatult suurt jõupingutust (99). Sellisel juhul tuleb teha teave andmesubjektile kättesaadavaks muul sama tõhusal viisil, näiteks avaliku teavitusvahendi kaudu (100). Kui vastutav töötleja ei ole andmesubjekti rikkumisest teavitanud, võib teabevolinik, keda on teavitatud andmekaitseseaduse paragrahvi 67 alusel ja kes on kaalunud rikkumise põhjustatava suure ohu tõenäosust, nõuda et vastutav töötleja teavitaks andmesubjekti rikkumisest (101).

2.4.6. Läbipaistvus

(55) Andmesubjekte tuleb teavitada nende isikuandmete töötlemise põhitunnustest. Seda andmekaitsepõhimõtet kajastatakse 2018. aasta andmekaitseseaduse paragrahvis 44, milles on sarnaselt direktiivi (EL) 2016/680 artiklile 13 ette nähtud, et vastutaval töötlejal on üldine kohustus teha andmesubjektidele kättesaadavaks teave nende isikuandmete töötlemise kohta (tehes teabe üldsusele kättesaadavaks või muul viisil) (102). Teave, mis tuleb teha kättesaadavaks, on a) vastutava töötleja nimi ja kontaktandmed; b) kui kohaldatav, siis andmekaitseametniku kontaktandmed; c) vastutava töötleja eesmärgid isikuandmete töötlemisel; d) andmesubjektide õigused taotleda vastutavalt töötlejalt isikuandmetega tutvumist, isikuandmete parandamist ja isikuandmete kustutamist või nende töötlemise piiramist ning e) õigus esitada kaebus teabevolinikule ja voliniku kontaktandmed (103).

(56) Lisaks peab vastutav töötleja erijuhtudel (nt kui töödeldavad isikuandmed koguti andmesubjekti teadmata) andma 2018. aasta andmekaitseseadusest tulenevate andmesubjekti õiguste teostamise võimaldamiseks andmesubjektile a) teavet töötlemise õigusliku aluse kohta; b) teavet isikuandmete säilitamise tähtaja kohta või, kui see ei ole võimalik, siis kõnealuse tähtaja määramise kriteeriumite kohta; c) asjakohasel juhul teavet isikuandmete vastuvõtjate kategooriate kohta (sealhulgas kolmandates riikides või rahvusvahelistes organisatsioonides); d) sellist lisateavet, mis on vajalik, et võimaldada andmesubjektil teostada 2018. aasta andmekaitseseaduse 3. osast tulenevaid õigusi (104).

2.4.7. Üksikisiku õigused

(57) Andmesubjektidele tuleb anda kohtulikult kaitstavad õigused. 2018. aasta andmekaitseseaduse 3. osa 3. peatükis on üksikisikutele ette nähtud õigus tutvuda andmetega, andmete parandamise õigus, andmete kustutamise õigus ning andmete töötlemise piiramise õigus, (105) mis on võrreldavad direktiivi (EL) 2016/680 III peatükis ette nähtud õigustega.

(58) Õigus tutvuda andmetega on sätestatud 2018. aasta andmekaitseseaduse paragrahvis 45. Esiteks on üksikisikul õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas tema isikuandmeid töödeldakse või mitte (106). Kui isikuandmeid töödeldakse, siis teiseks on andmesubjektil õigus nende andmetega tutvuda ja saada töötlemise kohta järgmist teavet: a) töötlemise eesmärgid ja õiguslikud alused; b) asjakohaste andmete liigid; c) vastuvõtja, kellele andmeid on avalikustatud; d) isikuandmete säilitamise tähtaeg; e) andmesubjekti õigus isikuandmete parandamisele ja kustutamisele; f) õigus esitada kaebus ning g) asjakohaste isikuandmete päritolu (107).

(59) 2018. aasta andmekaitseseaduse paragrahvi 46 kohaselt on andmesubjektil õigus nõuda, et vastutav töötleja parandaks temaga seotud ebaõigeid isikuandmeid. Vastutav töötleja peab andmeid parandama (või täiendama ebatäielikke ja seega ebaõigeid andmeid) põhjendamatu viivituseta. Kui isikuandmeid tuleb säilitada tõendamise eesmärgil, peab vastutav töötleja piirama nende töötlemist (mitte isikuandmeid parandama) (108).

(60) 2018. aasta andmekaitseseaduse paragrahvis 47 on üksikisikutele ette nähtud andmete kustutamise õigus ja õigus piirata andmete töötlemist. Vastutav töötleja peab (109) kustutama isikuandmed põhjendamatu viivituseta, kui isikuandmete töötlemine oleks vastuolus andmekaitsepõhimõtetega, andmete töötlemise õiguslike alustega või arhiveerimise ja tundlike andmete töötlemisega seotud kaitsemeetmetega. Vastutav töötleja peab andmed kustutama ka juhul, kui tal on juriidiline kohustus seda teha. Kui isikuandmeid tuleb säilitada tõendamise eesmärgil, peab vastutav töötleja piirama nende töötlemist (mitte isikuandmeid kustutama) (110). Vastutav töötleja peab piirama isikuandmete töötlemist, kui andmesubjekt vaidlustab isikuandmete õigsuse, kuid ei ole võimalik kindlaks teha, kas andmed on õiged või mitte (111).

(61) Kui andmesubjekt taotleb isikuandmete parandamist või kustutamist või nende töötlemise piiramist, peab vastutav töötleja teavitama andmesubjekti kirjalikult sellest, kas taotlus on rahuldatud. Kui taotluse rahuldamisest on keeldutud, peab vastutav töötleja teavitama andmesubjekti keeldumise põhjustest ja õiguskaitsevõimalustest (andmesubjekti õigus taotleda teabevolinikult piirangu kohaldamise seaduslikkuse uurimist, õigus esitada teabevolinikule kaebus ja õigus taotleda kohtult täitmiskorraldust) (112).

(62) Kui vastutav töötleja parandab teiselt pädevalt asutuselt saadud isikuandmeid, peab ta teist asutust teavitama (113). Kui vastutav töötleja parandab või kustutab vastutava töötleja avaldatud isikuandmeid või piirab nende töötlemist, peab vastutav töötleja teavitama andmete vastuvõtjaid ning vastuvõtjad peavad samuti isikuandmeid parandama või kustutama või piirama nende töötlemist (sedavõrd kui nad nende eest vastutavad) (114).

(63) Andmesubjektil on ka õigus saada vastutavalt töötlejalt põhjendamatu viivituseta teada isikuandmetega seotud rikkumisest, kui see toob tõenäoliselt kaasa suure ohu isikute õigustele ja vabadustele (115).

(64) Seoses kõigi nende andmesubjekti õigustega ja sarnaselt direktiivi (EL) 2016/680 artiklis 12 ette nähtuga on vastutaval töötlejal kohustus tagada, et andmesubjektile antav teave esitatakse täpses, arusaadavas ja kergesti kättesaadavas vormis (116) ning võimaluse korral tuleks see esitada taotlusega samas vormis (117). Vastutav töötleja peab rahuldama andmesubjekti taotluse põhjendamatu viivituseta või igal juhul põhimõtteliselt enne ühe kuu möödumist taotluse esitamisest (118). Kui vastutaval töötlejal on mõistlik alus kahelda isiku isikusamasuses, võib ta nõuda lisateavet ja oodata taotluse rahuldamisega kuni isikusamasuse kinnitamiseni. Kui vastutav töötleja peab taotlust ilmselgelt põhjendamatuks, võib ta küsida mõistlikku tasu või keelduda tegutsemast (119). Teabevoliniku büroo on esitanud suunised selle kohta, millal peetakse taotlust ilmselgelt põhjendamatuks või ülemääraseks ja millal võib küsida tasu (120).

(65) 2018. aasta andmekaitseseaduse paragrahvi 53 lõike 4 alusel võib minister kehtestada määruses tasu maksimaalse summa.

2.4.7.1. Andmesubjekti õiguste piirangud ja läbipaistvuskohustused

(66) Teatud tingimustel võib pädev asutus piirata andmesubjekti teatavaid õigusi: õigus tutvuda isikuandmetega, (121) õigus olla teavitatud, (122) õigus saada teada isikuandmetega seotud rikkumistest (123) ja õigus olla teavitatud andmete parandamise või kustutamise taotluse rahuldamisest keeldumise põhjusest (124). Sarnaselt direktiivi (EL) 2016/680 III peatükis esitatud korraga võib pädev asutus kohaldada piirangut vaid siis, kui see on andmesubjekti põhiõigusi ja õigustatud huve arvestades vajalik ja proportsionaalne a) ametliku või õigusliku päringu, uurimise või menetluse takistamise vältimiseks; b) süütegude tõkestamise, avastamise, uurimise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks; c) avaliku julgeoleku kaitseks; d) riigi julgeoleku kaitseks; e) teiste isikute õiguste ja vabaduste kaitseks.

(67) Teabevoliniku büroo on esitanud nende piirangute kohaldamise suunised. Nende suuniste kohaselt peavad vastutavad töötlejad analüüsima iga juhtumit, et leida õige tasakaal üksikisiku õiguste ja avalikustamisest tuleneva kahju vahel. Eelkõige peavad nad põhjendama kohaldatud piirangu vajalikkust ja proportsionaalsust ning võivad piirata andmete esitamist vaid siis, kui nende esitamine seaks ohtu eespool nimetatud eesmärgid (125).

(68) Ka mitmes muus pädevate asutuste avaldatud suunises antakse üksikasjalikku teavet andmekaitsealaste õigusaktide kõigi aspektide kohta, sealhulgas andmesubjektide õiguste piirangute kohta (126). Näiteks seoses paragrahvi 45 lõikega 4 märgitakse riikliku kõrgemate politseiametnike nõukogu andmekaitse käsiraamatus järgmist: „Tuleb meeles pidada, et piiranguid tohib kohaldada vaid vajalikul määral ja vajaliku aja jooksul. Järelikult ei ole lubatud kohaldada piirangut üldiselt kõigile taotleja isikuandmetele ega kohaldada piirangut püsivalt. Viimase küsimuse puhul on sageli nii, et uurimises kahtlusaluseks oleva andmesubjekti teadmata kogutud isikuandmeid tuleb alguses kaitsta andmesubjektile avaldamise eest, et vältida uurimise kahjustamist uurimise ajal, kuid hiljem isikule küsitluse käigus isikuandmete avaldamine ei oleks kahjulik. Politseijõud peavad võtma kasutusele protsessid, mis tagavad, et neid piiranguid kohaldatakse ainult vajalikus ulatuses ja vajaliku aja jooksul“ (127). Nendes suunistes esitatakse ka näiteid selle kohta, millal iga piirangut tõenäoliselt kasutatakse (128).

(69) Seoses võimalusega piirata eespool nimetatud õigusi „riigi julgeoleku kaitseks“, võib vastutav töötleja taotleda sertifikaati, mille allkirjastab kabinetiminister või peaprokurör (Attorney General) (või valitsuse nõunik Šotimaa õiguse alal ) ja mis kinnitab, et selliste õiguste piiramine on vajalik ja proportsionaalne meede riigi julgeoleku kaitsmiseks (129). Ühendkuningriigi valitsus on esitanud 2018. aasta andmekaitseseaduse alusel suunised riigi julgeoleku sertifikaatide kohta, milles eelkõige toonitatakse, et andmesubjektide õiguste piiramine riigi julgeoleku kaitsmise nimel peab olema proportsionaalne ja vajalik (130) (lisateave riigi julgeoleku sertifikaatide kohta on esitatud põhjendustes 131–134).

(70) Kui andmesubjekti õigust piiratakse, peab pädev asutus teavitama andmesubjekti põhjendamatu viivituseta sellest, et tema õigusi on piiratud, piiramise põhjustest ja õiguskaitse võimalustest, välja arvatud juhul, kui selle teabe esitamine oleks vastuolus piirangu kohaldamise põhjusega (131). Piirangute kuritarvitamise vastase täiendava kaitsemeetmena peab vastutav töötleja dokumenteerima teabe piiramise põhjused ja tegema need teabevolinikule tema nõudmisel kättesaadavaks (132).

(71) Kui vastutav töötleja keeldub andmast täiendavat läbipaistvusalast teavet või võimalust andmetega tutvuda või rahuldamast andmete parandamise või kustutamise või töötlemise piiramise taotlust, võib isik taotleda, et teabevolinik uuriks, kas vastutav töötleja on kasutanud piirangut seaduslikult (133). Asjaomane isik võib ka esitada kaebuse teabevolinikule või paluda kohtul nõuda vastutavalt töötlejalt taotluse rahuldamist (134).

2.4.7.2. Automatiseeritud töötlusel põhinevate otsuste tegemine

(72) 2018. aasta andmekaitseseaduse paragrahvid 49 ja 50 hõlmavad vastavalt automatiseeritud töötlusel põhinevate otsuste tegemisega seotud õigusi ja kohaldatavaid kaitsemeetmeid (135). Sarnaselt direktiivi (EL) 2016/680 artikliga 11 võib vastutav töötleja teha ainult isikuandmete automatiseeritud töötlusel põhineva kaaluka otsuse vaid juhul, kui seda nõuab või lubab seadus (136). Otsus on kaalukas, kui see tekitaks andmesubjektiga seoses kahjuliku õigusliku mõju või kahjustaks andmesubjekti märkimisväärselt (137).

(73) 2018. aasta andmekaitseseaduse paragrahvis 50 on sätestatud kaitsemeetmed, mida kohaldatakse kaaluka otsuse suhtes, kui seadus nõuab või lubab, et vastutav töötleja teeks sellise otsuse (qualifying significant decision). Vastutav töötleja peab nii kiiresti kui mõistlikult võimalik teatama andmesubjektile, et selline otsus on tehtud. Seejärel võib andmesubjekt ühe kuu jooksul taotleda, et vastutav töötleja vaataks otsuse uuesti läbi või teeks uue otsuse, mis ei põhine ainult automatiseeritud töötlemisel. Vastutav töötleja peab taotlust kaaluma ja teavitama andmesubjekti selle kaalumise tulemusest. 2018. aasta andmekaitseseadusega volitatakse ministrit vastu võtma määrust täiendavate kaitsemeetmete kohta (138). Sellist määrust ei ole veel vastu võetud.

2.4.8. Andmete edasisaatmine

(74) Liikmesriigi õiguskaitseasutustelt Ühendkuningriigi õiguskaitseasutusele edastatavatele isikuandmetele pakutava kaitse taset ei tohi vähendada selliste andmete edasisaatmine kolmanda riigi vastuvõtjale. Sellist edasisaatmist, mis tähendab Ühendkuningriigi õiguskaitseasutuse seisukohast rahvusvahelist edastamist Ühendkuningriigist, tuleks lubada üksnes juhul, kui järgmine saaja väljaspool Ühendkuningriiki järgib ise eeskirju, mis tagavad sarnase kaitse kui see, mis on tagatud Ühendkuningriigi õiguskorraga.

(75) Ühendkuningriigi andmete rahvusvahelise edastamise korda reguleeritakse 2018. aasta andmekaitseseaduse 3. osa 5. peatükiga (139) ja see sarnaneb direktiivi (EL) 2016/680 V peatükis kasutatud lähenemisviisile. Nimelt peab pädev asutus isikuandmete edastamiseks kolmandale riigile täitma kolm tingimust: a) edastamine peab olema vajalik õiguskaitse eesmärgil; b) edastamine peab põhinema i) kolmandat riiki käsitleval kaitse piisavuse määrusel; ii) kui see ei põhine kaitse piisavuse määrusel, peavad olema võetud asjakohased kaitsemeetmed, või iii) kui see ei põhine kaitse piisavuse otsusel või asjakohastel kaitsemeetmetel, peab see põhinema erilistel asjaoludel ning c) edastatavate andmete saaja peab olema i) kolmanda riigi asjaomane asutus (st pädeva asutusega samaväärne asutus); ii) „asjaomane rahvusvaheline organisatsioon“, näiteks rahvusvaheline organ, mis täidab õiguskaitse eesmärkidele vastavaid ülesandeid, või iii) muu isik kui asjaomane asutus, kuid ainult juhul, kui edastamine on rangelt vajalik õiguskaitse eesmärgi täitmiseks; ükski asjaomase andmesubjekti põhiõigus ega -vabadus ei kaalu üles avalikku huvi, mis teeb edastamise vajalikuks; isikuandmete edastamine kolmandas riigis asuvale asjaomasele asutusele ei oleks tõhus või kohane ning andmete saajat teavitatakse eesmärkidest, mille tarvis andmeid võidakse töödelda (140).

(76) Minister võtab vastu kaitse piisavuse määruse seoses kolmanda riigiga, kolmanda riigi territooriumi või sektoriga või rahvusvahelise organisatsiooniga või sellise riigi, territooriumi, sektori või organisatsiooni kirjelduse (141). Täidetavate nõuetega seoses peab minister hindama, kas selline territoorium/sektor/organisatsioon tagab isikuandmete kaitse piisava taseme. 2018. aasta andmekaitseseaduse paragrahvi 74A lõikes 4 on märgitud, et selleks peab minister kaaluma mitut aspekti, mis sarnanevad direktiivi (EL) 2016/680 artiklis 36 loetletud elementidega (142). Pärast üleminekuperioodi lõppu sai 2018. aasta andmekaitseseaduse 3. osast ELi õigusel põhinev siseriiklik õigusakt, mida, nagu selgitatud, tõlgendavad Ühendkuningriigi kohtud kooskõlas Euroopa Kohtu asjakohase praktikaga, mis pärineb ajast enne Ühendkuningriigi lahkumist liidust, ja kooskõlas liidu õiguse üldiste põhimõtetega, mis kehtisid vahetult enne üleminekuperioodi lõppu. See hõlmab sisulise vastavuse standardit, mida kohaldatakse Ühendkuningriigi ametiasutuste tehtavatele kaitse piisavuse hindamistele.

(77) Määruse suhtes kohaldatakse 2018. aasta andmekaitseseaduse paragrahvis 182 ette nähtud üldisi menetlusnõudeid. Kui minister kavatseb teha tulevikus Ühendkuningriigi kaitse piisavuse määruse ettepaneku, peab ta selle menetluse raames konsulteerima teabevolinikuga (143). Kui minister on määruse vastu võtnud, esitatakse see parlamendile negatiivse resolutsiooni menetluse (negative resolution procedure) raames, mille alusel võivad mõlemad parlamendikojad määrust kontrollida ja neil on õigus võtta vastu ettepanek määrus 40-päevase ajavahemiku jooksul tühistada (144).

(78) 2018. aasta andmekaitseseaduse paragrahvi 74B lõike 1 kohaselt tuleb kaitse piisavuse määrus läbi vaadata vähemalt iga nelja aasta järel ja minister peab järjepidevalt jälgima suundumusi sellistes kolmandates riikides ja rahvusvahelistes organisatsioonides, mis võivad mõjutada kaitse piisavuse määruse koostamise, muutmise või tühistamise otsuseid. Kui minister saab teada, et mõni riik või organisatsioon ei taga enam isikuandmete kaitse piisavat taset, peab ta määrust vajalikus ulatuses muutma või selle tühistama ja alustama asjaomase kolmanda riigi või rahvusvahelise organisatsiooniga konsultatsioone piisava kaitsetaseme taastamiseks.

(79) Sarnaselt direktiivi (EL) 2016/680 artiklis 37 ette nähtuga on kaitse piisavuse määruse puudumise korral isikuandmete edastamine õiguskaitse kontekstis võimalik, kui on võetud asjakohased kaitsemeetmed. Sellised kaitsemeetmed tagatakse kas a) õiguslikult siduva aktiga, mis sisaldab isikuandmete kaitseks võetud asjakohaseid kaitsemeetmeid, või b) hindamisega, mille viib läbi vastutav töötleja, kes pärast kõikide isikuandmete edastamisega seotud asjaolude hindamist järeldab, et võetud on andmete kaitseks asjakohased kaitsemeetmed (145). 2018. aasta andmekaitseseaduses on ette nähtud, et kui isikuandmete edastamine põhineb asjakohastel kaitsemeetmetel, siis lisaks teabevoliniku büroo tavapärasele järelevalvele peavad pädevad asutused esitama teabevoliniku büroole andmete edastamise kohta konkreetse teabe (146).

(80) Kui andmete edastamine ei põhine kaitse piisavuse otsusel ega asjakohastel kaitsemeetmetel, võib see toimuda ainult teatavatel kindlaksmääratud asjaoludel, millele viidatakse kui erilistele asjaoludele (147). Asjaolud on erilised, kui edastamine on vajalik a) andmesubjekti või teise isiku eluliste huvide kaitsmiseks; b) andmesubjekti õigustatud huvide kaitsmiseks; c) kolmanda riigi avalikku julgeolekut ähvardava vahetu ja tõsise ohu ennetamiseks; d) üksikjuhtumite korral õiguskaitse eesmärkidel või e) üksikjuhtumite korral õiguslikul eesmärgil (näiteks seoses kohtumenetlustega või õigusliku nõu saamiseks) (148). Punkte d ja e ei kohaldata, kui andmesubjekti õigused ja vabadused kaaluvad üles avaliku huvi andmete edastamiseks (149). Need asjaolud vastavad eriolukordadele ja tingimustele, mis on direktiivi (EL) 2016/680 artiklis 38 liigitatud eranditeks.

(81) Selliste asjaolude esinemise korral tuleb dokumenteerida edastamise kuupäev, kellaaeg ja selgitus, vastuvõtja nimi ja muu asjakohane teave tema kohta ja edastatud isikuandmete kirjeldus ning esitada taotluse korral teabevolinikule (150).

(82) 2018. aasta andmekaitseseaduse paragrahviga 78 reguleeritakse andmete edasisaatmist ehk olukordi, kui Ühendkuningriigilt kolmandale riigile edastatud isikuandmed saadetakse hiljem edasi muule kolmandale riigile või rahvusvahelisele organisatsioonile. Paragrahvi 78 lõike 1 kohaselt peab andmeid edastav Ühendkuningriigi vastutav töötleja kehtestama edastamise tingimusena, et andmeid ei tohi kolmandale riigile edasi saata ilma andmeid edastava vastutava töötleja loata. Lisaks kohaldatakse juhul, kui nõutakse kõnealust luba, paragrahvi 78 lõike 3 kohaselt ja sarnaselt direktiivi (EL) 2016/680 artikli 35 lõike 1 punktis e sätestatuga mitut sisulist nõuet. Kui pädev asutus otsustab, kas edasisaatmist lubada või mitte, peab ta veenduma, et edasisaatmine on vajalik õiguskaitse eesmärgil, ning peaks arvesse võtma muu hulgas järgmisi tegureid: a) loataotluse aluseks olnud asjaolude raskus; b) isikuandmete algse edastamise eesmärk ja c) isikuandmete kaitse standardid, mida kohaldatakse selles kolmandas riigis või rahvusvahelises organisatsioonis, kuhu isikuandmed edasi saadetakse.

(83) Kui Ühendkuningriigist edasisaadetavad andmed saadeti algselt Euroopa Liidust, kohaldatakse täiendavaid kaitsemeetmeid.

(84) Sarnaselt direktiivi (EL) 2016/680 artikli 35 lõike 1 punktiga c on 2018. aasta andmekaitseseaduse paragrahvi 73 lõike 1 punktis b ette nähtud, et kui liikmesriik edastas vastutavale töötlejale või muule pädevale asutusele isikuandmed või tegi need talle muul viisil kättesaadavaks, siis see liikmesriik või selles liikmesriigis asuv isik, kes on direktiivi (EL) 2016/680 eesmärkidel pädev asutus, on andnud loa andmete edastamiseks kooskõlas liikmesriigi õigusega.

(85) Sarnaselt direktiivi (EL) 2016/680 artikli 35 lõikega 2 ei ole aga selline luba vajalik, kui a) isikuandmete edastamine on vajalik liikmesriigi või kolmanda riigi avalikku julgeolekut ähvardava vahetu ja tõsise ohu ennetamiseks või liikmesriigi olulise huvi seisukohast ning b) luba ei ole võimalik õigeaegselt saada. Sellisel juhul tuleb viivitamata teavitada selle liikmesriigi asutust, mis oleks pidanud otsustama, kas lubada andmete edastamist (151).

(86) Sama lähenemisviisi kohaldatakse andmete suhtes, mis on algselt saadetud Euroopa Liidust Ühendkuningriiki ja siis on Ühendkuningriik need omakorda saatnud kolmandasse riiki, kes saadab need seejärel edasi kolmandasse riiki. Sellisel juhul ei tohi Ühendkuningriigi pädev asutus vastavalt paragrahvi 78 lõikele 4 anda viimati nimetatud edastamiseks luba paragrahvi 78 lõike 1 kohaselt, välja arvatud juhul, kui „liikmesriik [kes algselt kõnealused andmed edastas] või selles liikmesriigis asuv isik, kes on õiguskaitsedirektiivi kohaldamisel pädev asutus, on andnud loa andmete edastamiseks kooskõlas liikmesriigi õigusega“. Need kaitsemeetmed on olulised, sest need võimaldavad liikmesriikide ametiasutustel tagada kaitse järjepidevuse kooskõlas ELi andmekaitseõigusega kogu edastamise ajal.

(87) Seda andmete rahvusvahelise edastamise uut raamistikku kohaldatakse alates üleminekuperioodi lõpust (152). Andmekaitse, eraelu puutumatuse ja elektroonilise side määrusega kehtestatud 21. lisa punktides 10–12 on aga ette nähtud, et pärast üleminekuperioodi lõppu käsitletakse teatavate isikuandmete edastamist nii, nagu see põhineks kaitse piisavuse määrustel. Selline edastamine hõlmab edastamist liikmesriigile, EFTA riigile, kolmandatele riikidele, mille suhtes kohaldatakse üleminekuperioodi lõpus ELi kaitse piisavuse otsust, ja Gibraltari territooriumile. Järelikult võib andmete edastamine nendele riikidele jätkuda nii, nagu see toimus enne Ühendkuningriigi väljaastumist liidust. Pärast üleminekuperioodi lõppu peab minister vaatama need kaitse piisavuse otsused läbi nelja aasta jooksul, s.o 2024. aasta detsembri lõpuks. Kuigi minister peab sellise läbivaatamise lõpule viima 2024. aasta detsembri lõpuks, ei hõlma üleminekusätted Ühendkuningriigi ametiasutuste antud selgituse kohaselt aegumisklausli sätet ja asjakohased üleminekusätted ei muutu automaatselt kehtetuks, kui läbivaatamist 2024. aasta detsembri lõpuks läbi ei viida.

2.4.9. Aruandekohustus

(88) Vastutuse põhimõtte kohaselt peavad andmeid töötlevad avaliku sektori asutused kehtestama asjakohased tehnilised ja korralduslikud meetmed, et täita tõhusalt oma andmekaitsekohustusi ja suuta nende täitmist tõendada, eriti pädevale järelevalveasutusele.

(89) Seda põhimõtet kajastatakse 2018. aasta andmekaitseseaduse paragrahvis 56, millega kehtestatakse vastutavale töötlejale üldine aruandekohustus, s.o kohustus rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada, et isikuandmete töötlemine vastab 2018. aasta andmekaitseseaduse 3. osa nõuetele. Rakendatud meetmed tuleb läbi vaadata ja neid vajaduse korral ajakohastada ning kui see on töötlemisega seoses proportsionaalne, peavad need sisaldama asjakohaseid andmekaitsepõhimõtteid.

(90) Kooskõlas direktiivi (EL) 2016/680 IV peatükiga on 2018. aasta andmekaitseseaduse paragrahvides 55–71 ette nähtud erinevad mehhanismid, et tagada aruandekohustus ning võimaldada vastutavatel töötlejatel ja volitatud töötlejatel nõuetele vastavust tõendada. Eelkõige nõutakse, et vastutav töötleja rakendaks lõimitud andmekaitse ja vaikimisi andmekaitse meetmeid, et tagada andmekaitsepõhimõtete tõhus rakendamine, dokumenteeriks kõik töötlemistoimingute liigid, mille eest ta vastutab (sealhulgas teave vastutava töötleja identiteedi kohta, andmekaitseametniku kontaktandmed, töötlemise eesmärgid, avalikustatavate andmete saajate kategooriad, kirjeldus andmesubjektide kategooriate kohta ja isikuandmed), ning teeks need dokumendid teabevolinikule taotluse korral kättesaadavaks. Lisaks peavad vastutav töötleja ja volitatud töötleja pidama teatavate töötlemistoimingute kohta logisid ja tegema need teabevolinikule kättesaadavaks (153). Vastutavalt töötlejalt nõutakse ka teabevoliniku ülesannete täitmise käigus volinikuga koostöö tegemist.

(91) 2018. aasta andmekaitseseaduses on sätestatud lisanõuded töötlemisele, mis põhjustab tõenäoliselt suurt ohtu isikute õigustele ja vabadustele. Nende hulka kuulub kohustus viia ellu andmekaitsealased mõjuhindamised ja konsulteerida enne töötlemist teabevolinikuga, kui sellisest hindamisest nähtub, et töötlemise tulemusena tekiks suur oht isikute õigustele ja vabadustele (kui puuduvad ohu leevendamise meetmed).

(92) Vastutav töötleja peab ka määrama andmekaitseametniku, välja arvatud juhul, kui vastutav töötleja on kohus või muu õigusasutus, mis täidab õigusemõistja funktsiooni (154). Vastutav töötleja peab tagama, et andmekaitseametnik on kaasatud kõikidesse isikuandmete kaitsega seotud küsimustesse, tal on vajalikud vahendid ja juurdepääs isikuandmetele ja nende töötlemise toimingutele ning ta suudab täita oma ülesandeid sõltumatult. Andmekaitseametniku ülesanded on sätestatud 2018. aasta andmekaitseseaduse paragrahvis 71; nende hulka kuulub teavitamine ja nõustamine, nõuete täitmise jälgimine, koostöö teabevolinikuga ning tegutsemine tema kontaktpunktina. Oma ülesannete täitmisel peab andmekaitseametnik võtma arvesse töötlemistoimingutega seotud ohte ning arvestama töötlemise laadi, ulatust, konteksti ja eesmärke.

2.5. Järelevalve ja täitmise tagamine

2.5.1. Sõltumatu järelevalve

(93) Et tagada andmekaitse piisav tase ka praktikas, peab olema loodud sõltumatu järelevalveasutus, millele on antud volitused jälgida andmekaitse-eeskirjadele vastavust ja tagada nende täitmine. See asutus peab tegutsema oma ülesandeid täites ja volitusi kasutades täiesti sõltumatult ja erapooletult.

(94) Ühendkuningriigis jälgib Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseaduse täitmist ja tagab selle teabevolinik (155). Teabevolinik jälgib ka 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse kuuluvate isikuandmete töötlemist pädevate asutuste poolt (156). Teabevolinik on ühest füüsilisest isikust koosnev eraldiseisev juriidiline isik (Corporation Sole). Teabevolinikku toetab tema töös büroo. 31. märtsil 2020 oli teabevoliniku büroos 768 alalist töötajat (157). Teabevolinikku toetav ministeerium on digi-, kultuuri-, meedia- ja spordiministeerium (158).

(95) Voliniku sõltumatus on sõnaselgelt kehtestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 52, milles kajastatakse Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (159) artikli 52 lõigetes 1–3 sätestatud nõudeid. Volinik peab tegutsema talle kooskõlas Ühendkuningriigi isikuandmete kaitse üldmäärusega antud ülesannete täitmisel ja volituste kasutamisel täiesti sõltumatult, jääma nende ülesannete ja volitustega seoses vabaks nii otsestest kui ka kaudsetest välistest mõjutustest ning ei tohi küsida ega võtta vastu juhiseid mitte kelleltki. Volinik peab ka hoiduma oma kohustustega kokkusobimatust tegevusest ega tööta oma ametiaja jooksul ühelgi muul sobimatul tasustatud või tasustamata ametikohal.

(96) Teabevoliniku ametisse nimetamise ja ametist tagandamise tingimused on sätestatud 2018. aasta andmekaitseseaduse 12. lisas. Teabevoliniku nimetab ametisse kuninganna valitsuse soovitusel ausa ja avatud konkurentsi tingimustel. Kandidaadil peavad olema asjakohane kvalifikatsioon, oskused ja pädevus. Nõuandev hindamiskomisjon koostab sobivate kandidaatide nimekirja kooskõlas avalikesse ametitesse nimetamise koodeksiga (Governance Code on Public Appointments) (160). Enne kui digi-, kultuuri-, meedia- ja spordiminister teeb lõpliku otsuse, peab asjaomane parlamendi erikomisjon läbi viima ametisse nimetamise eelse kontrolli. Erikomisjoni seisukoht avalikustatakse (161).

(97) Teabevoliniku ametiaeg on kuni seitse aastat. Tema Majesteet võib teabevoliniku ametist tagandada pärast mõlema parlamendikoja sellekohast pöördumist (162). Teabevoliniku ametist tagandamise taotlust ei tohi tuua kummagi parlamendikoja ette, kui minister ei ole esitanud sellele kojale aruannet, milles sedastatakse, et ta on veendunud, et teabevolinik on süüdi raskes teenistuskohustuste rikkumises ja/või volinik ei vasta enam voliniku ülesannete täitmiseks vajalikele tingimustele (163).

(98) Teabevolinikku rahastatakse kolmest allikast: i) vastutavate töötlejate makstavad andmekaitsetasud, mis on sätestatud ministri määrusega (164) ja moodustavad 85–90 % büroo aastaeelarvest; (165) ii) teabevolinikule makstav valitsuse võimalik toetus, mida kasutatakse peamiselt teabevoliniku muude kui andmekaitsega seotud tegevuskulude rahastamiseks; (166) iii) teenuste eest võetavad tasud (167). Praegu selliseid tasusid ei võeta.

(99) Teabevoliniku üldised ülesanded 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse kuuluvate isikuandmete töötlemisel on sätestatud 2018. aasta andmekaitseseaduse 13. lisas. Ülesannete hulka kuuluvad 2018. aasta andmekaitseseaduse 3. osa täitmise seire ja tagamine, üldsuse teadlikkuse suurendamine, parlamendi, valitsuse ja teiste institutsioonide nõustamine seadusandlike ja haldusmeetmete valdkonnas, vastutavate töötlejate ja volitatud töötlejate teadlikkuse suurendamine nende kohustuste valdkonnas, andmesubjektidele teabe jagamine nende õiguste teostamise kohta ning uurimiste läbiviimine. Selleks et säiliks kohtusüsteemi sõltumatus, ei ole teabevolinikul lubatud rakendada oma volitusi isikuandmeid töötleva isiku või kohtu suhtes, kes täidab õigusemõistja funktsiooni. Kohtusüsteemi järelevalve tagavad eriorganid, seda käsitletakse allpool.

2.5.1.1. Täitmise tagamine, sealhulgas sanktsioonid

(100) Volinikul on üldised uurimis-, parandus-, loa- ja nõustamisvolitused nende isikuandmete töötlemisel, mille suhtes kohaldatakse 2018. aasta andmekaitseseaduse 3. osa. Volinikul on pädevus teavitada vastutavat töötlejat või volitatud töötlejat 3. osa väidetavast rikkumisest, esitada vastutavale töötlejale või volitatud töötlejale hoiatusi, et kavandatud töötlemistoimingud on tõenäoliselt vastuolus 3. osa normidega, ning esitada vastutavale töötlejale või volitatud töötlejale noomitusi, kui töötlemistoimingutega on rikutud 3. osa norme. Volinik võib omal algatusel või taotluse korral esitada isikuandmete kaitsega seotud teemadel arvamusi Ühendkuningriigi parlamendile, valitsusele või teistele institutsioonidele ja organitele, samuti üldsusele (168).

(101) Volinikul on ka järgmised volitused: — nõuda teabenõudega vastutavalt töötlejalt ja volitatud töötlejalt (ja teatavatel asjaoludel muult isikult) vajaliku teabe esitamist (teabenõue); (169) — viia läbi uurimisi ja auditeid ja esitada hindamisteade, milles võib nõuda, et vastutav töötleja või volitatud töötleja lubaks volinikul siseneda kindlaksmääratud valdustesse, kontrollida või uurida dokumente või vahendeid või küsitleda vastutava töötleja nimel isikuandmeid töötlevaid isikuid (hindamisteade); (170) — saada muul viisil ligipääs vastutavate töötlejate ja volitatud töötlejate dokumentidele ning nende valdustele kooskõlas 2018. aasta andmekaitseseaduse paragrahviga 154 (sisenemis- ja kontrollivolitused); — teostada parandusvolitusi, sealhulgas kasutades hoiatusi ja noomitusi, või kasutada korralduste andmiseks täitmisteateid, nõudes, et vastutavad töötlejad/volitatud töötlejad võtaksid või ei võtaks konkreetseid meetmeid (täitmisteade), (171) ning — teha trahviteatega haldustrahve (trahviteade) (172).

(102) Teabevoliniku büroo reguleerimispõhimõtetes (Regulatory Action Policy) on sätestatud asjaolud, mille korral volinik esitab vastavalt teavitusi ning hindamis-, sundtäitmise ja trahviteateid (173). Täitmisteates võib esitada nõuded, mille täitmist volinik peab asjakohaseks, et kõrvaldada puudus. Karistusteate korral peab isik maksma teabevolinikule teates määratud summa. Karistusteate võib esitada, kui 2018. aasta andmekaitseseaduse teatavad nõuded on täitmata, (174) või esitada vastutavale töötlejale või volitatud töötlejale, kes ei ole järginud teabenõuet, hindamisteadet või täitmisteadet.

(103) Kui teabevolinik otsustab, kas esitada vastutavale töötlejale või volitatud töötlejale trahviteade, ja kui ta määrab karistussummat, peab ta konkreetsemalt võtma arvesse 2018. aasta andmekaitseseaduse paragrahvi 155 lõikes 3 loetletud küsimusi, sealhulgas rikkumise laad ja raskus, kas rikkumine pandi toime tahtlikult või hooletusest, vastutava töötleja või volitatud töötleja võetud meetmed andmesubjektide kantava kahju leevendamiseks, vastutava töötleja või volitatud töötleja vastutuse aste (võttes arvesse vastutava töötleja või volitatud töötleja võetud tehnilisi ja korralduslikke meetmeid), vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised, rikkumisest mõjutatud isikuandmete liigid ning kas karistus on tõhus, proportsionaalne ja heidutav.

(104) Karistusteatega kehtestatav maksimaalne võimalik karistussumma on a) 17 500 000 naelsterlingit juhul, kui on rikutud andmekaitsepõhimõtteid (2018. aasta andmekaitseseaduse paragrahvid 35, 36, 37, paragrahvi 38 lõige 1, paragrahvi 39 lõige 1 ja paragrahv 40), läbipaistvuskohustusi ja üksikisiku õigusi (2018. aasta andmekaitseseaduse paragrahvid 44, 45, 46, 47, 48, 49, 52 ja 53) ja isikuandmete rahvusvahelise edastamise põhimõtteid (2018. aasta andmekaitseseaduse paragrahvid 73, 75, 76, 77 ja 78) ning b) 8 700 000 naelsterlingit muul juhul (175). Kui ei järgita teabenõuet, hindamisteadet või täitmisteadet, võib trahviteatega kehtestada kuni 17 500 000 naelsterlingi suuruse karistussumma.

(105) Oma viimaste aastaaruannete (2018–2019, (176) 2019–2020) (177) kohaselt on teabevolinik viinud läbi mitu uurimist seoses isikuandmete töötlemisega kriminaalõiguskaitseasutuste poolt. Näiteks 2019. aasta oktoobris viis volinik läbi uurimise ja avaldas arvamuse õiguskaitse eesmärgil näotuvastustehnoloogia kasutamise kohta avalikes kohtades. Uurimises keskenduti eriti reaalajas näotuvastuse võimekuse kasutamisele Lõuna-Walesi politseis ja Londoni politseiametis (Metropolitan Police Service). Volinik uuris ka metropoli politseiteenistuse nn jõukude maatriksit (178) ja avastas mitu andmekaitseõiguse rasket rikkumist, mis vähendavad tõenäoliselt maatriksi ja andmete kasutamise usaldusväärsust avalikkuse silmis.

(106) Teabevolinik esitas 2018. aasta novembris täitmisteate ja seejärel võttis metropoli politseiteenistus vajalikud meetmed, et suurendada turvalisust ja vastutust ning tagada andmete proportsionaalne kasutamine.

(107) Teine näide hiljutisest täitemeetmest on ka 325 000 naelsterlingi suurune trahv, mille volinik tegi 2018. aasta mais prokuratuurile selle eest, et asutusest läksid kaduma krüpteerimata DVD-d politseiküsitluste salvestustega. Teabevolinik on uurinud ka laiemaid küsimusi, näiteks 2020. aasta esimeses pooles uuriti mobiiltelefoni kõneeristuse väljavõtte kasutamist politseitöö eesmärgil ja ohvrite andmete töötlemist politsei poolt.

(108) Lisaks selliste täidesaatvate volituste kasutamisele võib teabevolinik kehtestada kriminaalsanktsioone teatavate andmekaitseõiguse valdkonna süütegude eest (2018. aasta andmekaitseseaduse paragrahv 196). Sellised süüteod on näiteks need, kui vastutava töötleja nõusolekuta hangitakse või avaldatakse isikuandmeid või vastutava töötleja nõusolekuta tagatakse isikuandmete avalikustamine teisele isikule; (179) isiku tuvastamist mittevõimaldavad isikuandmed muudetakse tuvastamist võimaldavateks andmeteks ilma selle vastutava töötleja nõusolekuta, kes vastutab andmete tuvastamist mittevõimaldavaks muutmise eest; (180) teabevolinikul takistatakse tahtlikult tema volituste kasutamist isikuandmete kontrollimisel rahvusvaheliste kohustuste kohaselt, (181) teabenõudele vastates tehakse vääraid avaldusi või hävitatakse teabenõude ja hindamisteatega seotud teavet (182).

(109) Teabevolinikul on ka 2018. aasta andmekaitseseaduse paragrahvist 139 tulenev kohustus esitada mõlemale parlamendikojale üldaruanne volinikule andmekaitseseadusest tulenevate funktsioonide täitmise kohta (183).

2.5.2. Järelevalve kohtusüsteemi üle

(110) Kohtutes ja kohtusüsteemis toimuva isikuandmete töötlemise järelevalvel on kaks osa. Kui kohtunik või kohus ei täida õigusemõistja funktsiooni, teostab järelevalvet teabevolinik. Kui vastutav töötleja täidab õigusemõistja funktsiooni, ei saa teabevoliniku büroo täita järelevalve ülesandeid (184) ja järelevalvet teostavad eriorganid. See sarnaneb direktiivi (EL) 2016/680 artiklis 32 esitatud lähenemisviisiga.

(111) Teise stsenaariumi korral, mis hõlmab Inglismaa ja Walesi kohtuid ning Inglismaa ja Walesi esimese astme kohtuid ja kõrgemaid kohtuid, teostab järelevalvet kohtusüsteemi andmekaitse komitee (Judicial Data Protection Panel) (185). Lisaks on ülemkohtunik (Lord Chief Justice) ja kohtute vanempresident (Senior President of Tribunals) avaldanud isikuandmete kaitse teate, (186) milles on sätestatud, kuidas Inglismaa ja Walesi kohtud töötlevad isikuandmeid õigusemõistmise eesmärgil. Sarnase teate on avaldanud Põhja-Iirimaa (187) ja Šotimaa kohtusüsteem (188).

(112) Põhja-Iirimaa ülemkohtunik on Põhja-Iirimaal nimetanud ühe kõrge kohtu kohtuniku andmete järelevalve kohtunikuks (Data Supervisory Judge) (189). Samuti on nad avaldanud Põhja-Iirimaa kohtunikele suunised selle kohta, mida teha andmete kaotsimineku või võimaliku kaotsimineku korral ja kuidas lahendada sellest tulenevaid probleeme (190).

(113) Šotimaal on lordpresident (Lord President) nimetanud ametisse andmete järelevalve kohtuniku (Data Supervisory Judge), kes uurib andmekaitse kaalutlustel esitatud kaebusi. See on sätestatud kohtunikke käsitlevate kaebuste eeskirjades, mis sarnanevad Inglismaal ja Walesis kehtestatud vastavate eeskirjadega (191).

(114) Kõrgeimas kohtus teostab andmekaitse järelevalvet üks kõrgeima kohtu kohtunikest.

2.5.3. Õiguskaitse

(115) Piisava kaitse tagamiseks ja eelkõige üksikisiku õiguste kohtuliku kaitse tagamiseks tuleks andmesubjektile tagada tõhus haldus- ja õiguskaitse, sealhulgas kahju hüvitamine.

(116) Andmesubjektil on kõigepealt õigus esitada kaebus teabevolinikule, kui andmesubjekt leiab, et seoses tema isikuandmetega on rikutud 2018. aasta andmekaitseseaduse 3. osa (192). Nagu kirjeldatud põhjendustes 100 ja 109, on teabevolinik pädev hindama vastutava töötleja ja volitatud töötleja vastavust 2018. aasta andmekaitseseadusele, nõudma neilt mittevastavuse korral vajalike meetmete võtmist või meetmete võtmata jätmist ning kehtestama trahve.

(117) Teiseks on 2018. aasta andmekaitseseaduses ette nähtud õigus õiguskaitsevahendile teabevoliniku vastu. Kui volinik ei tee andmesubjekti esitatud kaebuse menetlemisel edusamme, (193) on kaebuse esitajal juurdepääs õiguskaitsevahendile, sest ta võib taotleda, et esimese astme kohus (194) käsiks volinikul võtta asjakohased meetmed kaebusele vastamiseks või teavitada kaebuse esitajat kaebuse menetlemise edusammudest (195). Esimese astme kohtu poole võib pöörduda ka iga isik, kellele volinik on esitanud eespool nimetatud teavituse või teate (teavitus, hindamis-, sundtäitmise või trahviteade). Kui kohus leiab, et teabevoliniku otsus ei ole õigusega kooskõlas või ta oleks pidanud kasutama oma kaalutlusõigust teisiti, peab kohus kaebuse rahuldama või asendama teabevoliniku antud või tehtud muu teavituse või otsuse (196).

(118) Üksikisikud võivad kasutada ka kolmandat õiguskaitsevahendit, s.o pöörduda 2018. aasta andmekaitseseaduse paragrahvi 167 alusel vastutavate töötlejate ja volitatud töötlejate vastu otse kohtusse. Kui andmesubjekti taotluse alusel veendub kohus, et andmekaitsealaste õigusaktide kohaseid andmesubjekti õigusi on rikutud, võib kohus nõuda, et vastutav töötleja või selle vastutava töötleja nimel tegutsev volitatud töötleja võtaks asjakohase töötlemisega seoses korralduses nimetatud meetmeid või hoiduks korralduses nimetatud meetmete võtmisest. 2018. aasta andmekaitseseaduse paragrahvi 169 alusel on andmekaitsealastes õigusaktides (sealhulgas 2018. aasta andmekaitseseaduse 3. osas), välja arvatud Ühendkuningriigi isikuandmete kaitse üldmääruses sätestatud nõude rikkumise tõttu kahju kandval isikul õigus saada selle kahju eest hüvitist vastutavalt töötlejalt või volitatud töötlejalt, välja arvatud juhul, kui vastutav töötleja või volitatud töötleja tõestab, et vastutav töötleja või volitatud töötleja ei vastuta kahju tekitanud juhtumi eest. Kahju hõlmab nii rahalist kui ka mitterahalist kahju, näiteks kannatusi.

(119) Neljandaks, kui isik leiab, et avaliku sektori asutused on rikkunud tema õigusi, sealhulgas eraelu puutumatuse õigus ja andmekaitse õigus, võib ta õiguskaitse saamiseks pöörduda 1998. aasta inimõiguste seaduse (Human Rights Act) alusel Ühendkuningriigi kohtute poole. 2018. aasta andmekaitseseaduse 3. osas käsitletavad vastutavad töötlejad, s.o pädevad asutused, on alati avaliku sektori asutused 1998. aasta inimõiguste seaduse tähenduses. Isik, kes väidab, et avaliku sektori asutus on tegutsenud (või kavatseb tegutseda) viisil, mis on vastuolus konventsiooni kohase õigusega ja seega tulenevalt 1998. aasta inimõiguste seaduse paragrahvi 6 lõikest 1 ebaseaduslik, võib esitada asutuse vastu hagi asjakohasesse kohtusse või tugineda asjakohastele õigustele igas õigusmenetluses, kui ta on (või võib olla) ebaseadusliku teo ohver (197).

(120) Kui kohus leiab, et avaliku sektori asutuse tegu on ebaseaduslik, võib ta määrata oma pädevuse piires sellise hüvitise või teha sellise korralduse, mida ta peab õiglaseks ja asjakohaseks (198). Samuti võib kohus otsustada, et esmase õiguse akti säte on vastuolus Euroopa inimõiguste konventsiooniga tagatud õigusega.

(121) Kui kõik riiklikud õiguskaitsevahendid on ammendatud, võib isik pöörduda Euroopa inimõiguste konventsiooniga tagatud õiguste rikkumise asjus Euroopa Inimõiguste Kohtusse.

2.6. Andmete edasiandmine

(122) Ühendkuningriigi õigus lubab õiguskaitseasutustel jagada andmeid teiste asutustega muudel kui andmete algse kogumise eesmärkidel (andmete edasiandmine) teatavatel tingimustel.

(123) Sarnaselt direktiivi (EL) 2016/680 artikli 4 lõikes 2 sätestatule võimaldab 2018. aasta andmekaitseseaduse paragrahvi 36 lõige 3 õiguskaitse eesmärgil pädeva asutuse kogutud isikuandmeid õiguskaitse eesmärgil täiendavalt töödelda (mida teeb kas algne või muu vastutav töötleja), tingimusel et vastutaval töötlejal on seadusjärgne volitus töödelda andmeid teisel eesmärgil ning töötlemine on vajalik ja proportsionaalne (199). Sellisel juhul kohaldatakse vastuvõtva asutuse tehtavale töötlemisele kõiki 2018. aasta andmekaitseseaduse 3. osaga ette nähtud ja eespool analüüsitud kaitsemeetmeid.

(124) Ühendkuningriigi õiguskorras lubatakse sõnaselgelt mitme seadusega andmete edasiandmist. Nimelt i) 2017. aasta digimajanduse seadus (Digital Economy Act 2017) võimaldab avaliku sektori asutuste vahel andmete jagamist mitmel eesmärgil, näiteks kui avaliku sektori vastu on toime pandud pettus, mis hõlmaks avaliku sektori asutusele kahju või kahju ohtu, (200) või kui ollakse võlgu avaliku sektori asutusele või monarhile; (201) ii) 2013. aasta kuritegevuse vastu võitlemise ja kohtute seadusega (Crime and Courts Act 2013) lubatakse teabe jagamist riikliku kriminaalametiga (202) raske ja organiseeritud kuritegevuse vastu võitlemiseks, selle uurimiseks ning selle eest vastutusele võtmiseks; iii) 2007. aasta raskeid kuritegusid käsitlev seadus (Serious Crime Act 2007) võimaldab avaliku sektori asutustel avalikustada pettustevastastele organisatsioonidele teavet pettuste ennetamise eesmärkidel (203).

(125) Nendes seadustes on sõnaselgelt ette nähtud, et teabe jagamine peaks olema kooskõlas 2018. aasta andmekaitseseaduses sätestatud eeskirjadega. Politseikolledž on lisaks avaldanud kinnitatud kutsetavad teabe jagamise kohta (Authorised Professional Practice on Information Sharing), (204) et aidata politseil täita Ühendkuningriigi isikuandmete kaitse üldmäärusest, andmekaitseseadusest ja 1998. aasta inimõiguste seadusest tulenevaid andmekaitsekohustusi. Jagamise vastavust kohaldatavale andmekaitse õigusraamistikule võib muidugi kohtulikult kontrollida (205).

(126) Sarnaselt direktiivi (EL) 2016/680 artiklis 9 sätestatule on 2018. aasta andmekaitseseaduses ette nähtud, et õiguskaitse eesmärgil kogutud isikuandmeid võib töödelda muul kui õiguskaitse eesmärgil, kui töötlemine on seadusega lubatud (206). Sellist tüüpi jagamise korral on kaks võimalust: 1) kui kriminaalõiguskaitseasutus jagab andmeid muu kui kriminaalõiguskaitseasutusega, mis ei ole luureamet (näiteks finants- või maksuasutus, konkurentsiasutus, noorte heaolu büroo); 2) kui kriminaalõiguskaitseasutus jagab andmeid luureametiga. Esimesel juhul kuulub isikuandmete töötlemine Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseaduse 2. osa kohaldamisalasse. Nagu on täpsustatud määruse (EL) 2016/679 kohaselt vastu võetud otsuses, tagavad Ühendkuningriigi isikuandmete kaitse üldmääruses ja 2018. aasta andmekaitseseaduse 2. osas sätestatud kaitsemeetmed liidus pakutavale sisuliselt vastava kaitsetaseme (207).

(127) Teise stsenaariumi korral on 2008. aasta terrorismivastane seadus (Counter Terrorism Act 2008) (208) õiguslik alus, mis lubab kriminaalõiguskaitseasutuse kogutud andmete jagamist luureametiga riigi julgeoleku eesmärkidel. 2008. aasta terrorismivastase seaduse kohaselt võib isik anda teavet luureteenistustele nende teenistuste ülesannete täitmise, sealhulgas riigi julgeoleku eesmärgil.

(128) Riigi julgeoleku eesmärkidel andmete jagamise tingimused on sätestatud luureteenistuste seaduses (Intelligence Services Act) ja julgeolekuteenistuse seaduses (Security Service Act). Neis piiratakse luureteenistuste volitusi hankida nende seadusjärgsete ülesannete täitmiseks vajalikke andmeid. 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse kuuluvad pädevad asutused, kes soovivad jagada andmeid luureteenistustega, peavad lisaks ametite seadusjärgsetele ülesannetele arvestama luureteenistuste seaduses ja julgeolekuteenistuse seaduses sätestatud mitme teguri/piiranguga (209). 2008. aasta terrorismivastase seaduse paragrahvis 20 on sõnaselgelt esitatud, et 2008. aasta terrorismivastase seaduse paragrahvi 19 kohane andmete jagamine peab ikkagi vastama andmekaitsealastele õigusaktidele; see tähendab, et kohaldatakse kõiki 2018. aasta andmekaitseseaduse piiranguid ja nõudeid. Pealegi on õiguskaitseasutused ja luureteenistused 1998. aasta inimõiguste seaduse tähenduses avaliku sektori asutused ning peavad seega tagama, et nad tegutsevad vastavalt Euroopa inimõiguste konventsiooniga, sealhulgas selle artikliga 8 tagatud õigustele. Teisisõnu tähendavad need nõuded, et kogu õiguskaitseasutuste ja luureteenistuste vaheline andmete jagamine vastab andmekaitsealastele õigusaktidele ja Euroopa inimõiguste konventsioonile.

(129) Õiguskaitseasutustelt saadud või hangitud isikuandmete töötlemisele luureteenistuste poolt riigi julgeoleku eesmärkidel kohaldatakse mitut tingimust ja kaitsemeedet (210). 2018. aasta andmekaitseseaduse 4. osa kohaldatakse igasugusele töötlemisele luureteenistuste poolt või nimel. Selles on sätestatud peamised andmekaitsepõhimõtted: seaduslikkus, õiglus ja läbipaistvus, (211) eesmärgi piirang, (212) võimalikult väheste andmete kogumine, (213) täpsus, (214) säilitamise piirang (215) ja turvalisus, (216) kehtestatud tingimused eriliiki andmete töötlemisele, (217) nähtud ette andmesubjektide õigused, (218) nõutud lõimitud andmekaitset (219) ning reguleeritud isikuandmete rahvusvahelist edastamist (220).

(130) Samal ajal on 2018. aasta andmekaitseseaduse paragrahvis 110 ette nähtud vabastus 2018. aasta andmekaitseseaduse 4. osa kindlatest sätetest, kui selline vabastus on nõutav riigi julgeoleku kaitsmiseks. 2018. aasta andmekaitseseaduse paragrahvi 110 lõikes 2 on loetletud sätted, mille kohaldamisest vabastamist lubatakse. Nende hulka kuuluvad andmekaitsepõhimõtted (välja arvatud seaduslikkuse põhimõte), andmesubjekti õigused, kohustus teavitada teabevolinikku andmetega seotud rikkumisest, teabevoliniku rahvusvahelistele kohustustele vastavad kontrollivolitused, teabevoliniku teatavad täidesaatvad volitused, sätted, mille alusel on teatavad andmekaitserikkumised süüteod, ning andmete töötlemise erieesmärkidega, näiteks ajakirjanduslike, akadeemiliste või kunstiliste eesmärkidega seotud sätted. Vabastuse kohaldamise võimalikkust analüüsitakse iga juhtumi puhul eraldi (221). Ühendkuningriigi ametiasutuste selgituste ja Ühendkuningriigi kohtute praktika kinnituse kohaselt peab vastutav töötleja „võtma arvesse, milline on tegelik tagajärg riigi julgeolekule või kaitsele, kui ta peab järgima konkreetset andmekaitsesätet ja kui ta võib mõistlikult järgida tavaeeskirja, mõjutamata seejuures riigi julgeolekut või kaitset“ (222). Vabastuse kasutamise asjakohasust jälgib teabevoliniku büroo (223).

(131) Seoses võimalusega piirata eespool nimetatud õigusi riigi julgeoleku kaitseks, võib vastutav töötleja 2018. aasta andmekaitseseaduse paragrahvi 79 kohaselt taotleda sertifikaati, mille allkirjastab kabinetiminister või peaprokurör (Attorney General) ja mis kinnitab, et selliste õiguste piiramine on või teataval ajal oli vajalik ja proportsionaalne meede riigi julgeoleku kaitsmiseks (224). Ühendkuningriigi valitsus on esitanud 2018. aasta andmekaitseseaduse alusel suunised riigi julgeoleku sertifikaatide kohta, milles eelkõige toonitatakse, et andmesubjektide õiguste piiramine riigi julgeoleku kaitsmise nimel peab olema proportsionaalne ja vajalik (225). Kõik riigi julgeoleku sertifikaadid tuleb avaldada teabevoliniku büroo veebisaidil (226).

(132) Sertifikaat peaks kehtima kindlaksmääratud aja, maksimaalselt viis aastat, et täitevvõim selle korrapäraselt läbi vaataks (227). Sertifikaadis määratakse kindlaks isikuandmed või isikuandmete liigid ja 2018. aasta andmekaitseseaduse sätted, millele vabastust kohaldatakse (228).

(133) On oluline märkida, et riigi julgeoleku sertifikaadiga ei anta uut alust piirata andmekaitseõigusi riigi julgeoleku kaalutlustel. Teisisõnu: vastutav töötleja või volitatud töötleja võib tugineda sertifikaadile ainult siis, kui ta on järeldanud, et riigi julgeolekuga seotud vabastusele tuginemine on vajalik, ja seda tuleb kohaldada üksikjuhtumipõhiselt. Isegi kui kõnealuses küsimuses kasutatakse riigi julgeoleku sertifikaati, võib teabevoliniku büroo uurida, kas tuginemine riigi julgeolekuga seotud vabastusele oli konkreetsel juhul põhjendatud (229).

(134) Sertifikaadi väljastamisest otseselt mõjutatud isik võib esitada kõrgemale kohtule (230) sertifikaadi (231) kohta kaebuse või juhul, kui sertifikaadis esitatakse üldkirjelduses isikut tuvastavaid andmeid, vaidlustada sertifikaadi kohaldamise konkreetsetele andmetele (232).

(135) Kohus vaatab läbi sertifikaadi väljastamise otsuse ja otsustab, kas sertifikaadi väljastamiseks oli mõistlik alus (233). Ta võib kaaluda mitut eri aspekti, sealhulgas vajalikkus, proportsionaalsus ja seaduslikkus, võttes arvesse andmesubjektide õigustele avalduvat mõju ja leides tasakaalu riigi julgeoleku kaitsmise vajadusega. Selle tulemusena võib kohus leida, et sertifikaat ei ole seotud kaebuse esemeks olevate konkreetsete isikuandmetega (234).

(136) Teisi võimalikke piiranguid kohaldatakse 2018. aasta andmekaitseseaduse 11. lisa alusel sama seaduse 4. osa teatavatele sätetele, (235) et kaitsta muid tähtsaid üldise avaliku huvi eesmärke või huve, nagu parlamentaarne puutumatus, kutsesaladus, kohtumenetluste läbiviimine või relvajõudude võitlusjõu tõhusus. Nende sätete kohaldamisest on vabastatud teatavad teabeliigid (teabe liigi põhine) või vabastatud sellisel määral, kuivõrd nende sätete kohaldamine ohustaks tõenäoliselt kaitstavaid huve (ohupõhine) (236). Ohupõhiseid vabastusi võib kasutada vaid sellisel määral, kuivõrd on tõenäoline, et loetletud andmekaitse säte seab ohtu konkreetse kõnealuse huvi. Vabastuse kasutamist tuleb seepärast alati põhjendada, viidates asjakohasele ohule, mis tõenäoliselt konkreetsel juhul tekiks. Teabe liigi põhiseid vabastusi võib kasutada ainult konkreetse, kitsalt piiritletud vabastuse saanud teabeliigi puhul. Need on eesmärgilt ja mõjult sarnased mitme erandiga Ühendkuningriigi isikuandmete kaitse üldmäärusest (2018. aasta andmekaitseseaduse 2. lisas), mis omakorda sarnanevad isikuandmete kaitse üldmääruse artiklis 23 ette nähtud eranditega.

(137) Eespool esitatust ja kohtute ja teabevoliniku büroo tõlgendusest tuleneb, et Ühendkuningriigi kohaldatavates õigusnormides on kehtestatud piirangud ja tingimused, et tagada nende vabastuste ja piirangute vajalikkus ja proportsionaalsus riigi julgeoleku kaitsmiseks.

(138) 2018. aasta andmekaitseseaduse 4. osa alusel toimuvat isikuandmete töötlemist luureteenistuste poolt jälgib teabevolinik (237).

(139) Teabevoliniku üldised ülesanded seoses 2018. aasta andmekaitseseaduse 4. osa kohaldamisalasse kuuluvate isikuandmete töötlemisega luureteenistuste poolt on sätestatud 2018. aasta andmekaitseseaduse 13. lisas. Ülesannete hulka kuuluvad muu hulgas eelkõige 2018. aasta andmekaitseseaduse 4. osa täitmise seire ja tagamine, üldsuse teadlikkuse suurendamine, parlamendi, valitsuse ja teiste institutsioonide nõustamine seadusandlike ja haldusmeetmete valdkonnas, vastutavate töötlejate ja volitatud töötlejate teadlikkuse suurendamine nende kohustuste valdkonnas, andmesubjektidele teabe jagamine nende õiguste teostamise kohta ning uurimiste läbiviimine.

(140) Volinikul on pädevus teavitada vastutavat töötlejat 2018. aasta andmekaitseseaduse 3. osa väidetavast rikkumisest ja esitada hoiatusi selle kohta, et töötlemistoiming on tõenäoliselt vastuolus eeskirjadega, ning kui rikkumine on kinnitust leidnud, teeb volinik noomituse. Samuti võib ta esitada seaduse teatavate sätete rikkumise eest sundtäitmise teateid ja trahviteateid (238). Erinevalt 2018. aasta andmekaitseseaduse teistest osadest, ei saa volinik esitada hindamisteateid riigi julgeoleku kohta (239).

(141) 2018. aasta andmekaitseseaduse paragrahvis 110 on ette nähtud voliniku teatavate volituste kasutamise erand, kui see on nõutav riigi julgeoleku kaitse eesmärkidel. See hõlmab voliniku pädevust esitada andmekaitseseaduse alusel (igat liiki) teateid (teavitused, hindamis-, sundtäitmise ja trahviteated), volitust viia läbi kontrolle kooskõlas rahvusvaheliste kohustustega, sisenemis- ja kontrollivolitust ning eeskirju süütegude kohta (240). Nagu selgitatud põhjenduses 136, kohaldatakse neid erandeid vaid üksikjuhtumipõhiselt ning siis, kui see on vajalik ja proportsionaalne. Erandi kohaldamist võib kohtulikult kontrollida (241).

(142) Teabevoliniku büroo ja Ühendkuningriigi luureteenistused on allkirjastanud vastastikuse mõistmise memorandumi, (242) millega loodi mitut küsimust, sealhulgas andmetega seotud rikkumiste teavitusi ja andmesubjektide kaebuste menetlemist, hõlmav koostööraamistik. Selles nähakse eelkõige ette, et kaebuse saamisel hindab teabevoliniku büroo, kas riigi julgeolekuga seotud vabastust on nõuetekohaselt kasutatud. Vastavalt Ühendkuningriigi valitsuse suunistele riigi julgeoleku sertifikaatide kohta ja andmekaitseseadusele tuleb teabevoliniku büroo päringutele kaebuste uurimise kohta vastata 20 tööpäeva jooksul, kasutades asjakohaseid turvalisi kanaleid, kui vastus sisaldab salastatud teavet. Alates 2018. aasta aprillist kuni praeguseni on teabevoliniku büroo saanud üksikisikutelt luureteenistuste kohta 21 kaebust. Iga kaebust hinnati ja tulemus edastati andmesubjektile (243).

(143) Luureametite poolse andmetöötluse üle teostab parlamentaarset järelevalvet ka luure- ja julgeolekukomisjon (Intelligence and Security Committee). Komisjoni õiguslik alus on 2013. aasta kohtu- ja julgeolekuseadus (Justice and Security Act 2013) (244). Seadusega loodi luure- ja julgeolekukomisjon Ühendkuningriigi parlamendi komisjonina. Luure- ja julgeolekukomitee koosneb parlamendi mõlema koja liikmetest, kelle määrab peaminister pärast opositsiooni juhiga konsulteerimist (245). Luure- ja julgeolekukomitee on kohustatud esitama parlamendile igal aastal aruande oma ülesannete täitmise kohta ja muud aruanded, mida ta peab asjakohaseks (246).

(144) Alates 2013. aastast on suurendatud luure- ja julgeolekukomitee volitusi, sealhulgas on komiteele antud julgeolekuteenistuste operatiivtegevuse järelevalve ülesanne. 2013. aasta kohtu- ja julgeolekuseaduse paragrahvi 2 kohaselt on luure- ja julgeolekukomitee ülesanne teostada järelevalvet riiklike julgeolekuasutuste kulude, halduse, põhimõtete ja tegevuse üle. 2013. aasta kohtu- ja julgeolekuseaduses on sätestatud, et luure- ja julgeolekukomitee võib uurida operatiivküsimusi, kui need ei ole seotud käimasolevate operatsioonidega (247). Peaministri ja luure- ja julgeolekukomitee vahel kokku lepitud vastastikuse mõistmise memorandumis (248) on üksikasjalikult esitatud elemendid, mida tuleb arvesse võtta, kui kaalutakse ega tegevus ei ole käimasoleva operatsiooni osa (249). Peaminister võib paluda, et luure- ja julgeolekukomitee uuriks ka käimasolevaid operatsioone, ja komitee võib läbi vaadata ametite vabatahtlikult esitatud teavet.

(145) 2013. aasta kohtu- ja julgeolekuseaduse 1. lisa alusel võib luure- ja julgeolekukomitee nõuda kolme luureteenistuse juhtidelt teabe avaldamist. Amet peab tegema sellise teabe kättesaadavaks, välja arvatud juhul, kui sellele paneb veto minister (250). Ühendkuningriigi ametiasutused on selgitanud, et tegelikult varjatakse luure- ja julgeolekukomitee eest väga vähe teavet (251).

(146) Seoses õiguskaitsega võib andmesubjekt 2018. aasta andmekaitseseaduse paragrahvi 165 lõike 2 alusel esitada kaebuse esmalt teabevoliniku büroole, kui ta leiab, et tema isikuandmetega seoses on rikutud 2018. aasta andmekaitseseaduse 4. osa, sealhulgas kuritarvitatud riigi julgeolekuga seotud erandeid ja piiranguid.

(147) 2018. aasta andmekaitseseaduse 4. osa alusel on isikutel ka õigus pöörduda kõrge kohtu poole (Šotimaal kõrge tsiviilkohus), et kehtestada vastutavale töötlejale korraldus austada andmetega tutvumise õigust, (252) töötlemise vaidlustamise õigust (253) ning õigust andmete parandamisele või kustutamisele.

(148) Isikutel on ka õigus nõuda vastutavalt töötlejalt või volitatud töötlejalt hüvitist 2018. aasta andmekaitseseaduse 4. osa nõude rikkumise tõttu kantud kahju eest (254). Kahju hõlmab nii rahalist kui ka mitterahalist kahju, näiteks kannatusi (255).

(149) Viimase abinõuna võib isik esitada Ühendkuningriigi luureametite või nende nimel toimunud tegevuse kohta kaebuse uurimisvolituste kohtule (Investigatory Powers Tribunal) (256).Uurimisvolituste kohus on loodud Inglismaa, Walesi ja Põhja-Iirimaa 2000. aasta uurimisvolituste reguleerimise seaduse ning Šotimaa 2000. aasta uurimisvolituste reguleerimise seaduse alusel ja on täitevvõimust sõltumatu (257). 2000. aasta uurimisvolituste reguleerimise seaduse paragrahvi 65 kohaselt nimetab Tema Majesteet uurimisvolituste kohtu liikmed ametisse viieks aastaks.

(150) Tema Majesteet võib kohtu liikme ametist tagandada pärast mõlema parlamendikoja pöördumist (258) selles küsimuses (259).

(151) 2000. aasta uurimisvolituste reguleerimise seaduse paragrahvi 65 alusel peab isik uurimisvolituste kohtusse hagi esitamiseks („kaebeõiguse eeldus“) uskuma, et i) luureteenistuse tegevus on seotud temaga, tema varaga, tema poolt või temale saadetud või talle mõeldud teabega või postiteenuse või telekommunikatsiooniteenuse või -süsteemi kasutamisega tema poolt (260) ja ii) et tegevus on toimunud vaidlustatavates oludes (261) või tegevuse on ellu viinud luureteenistused või see on toimunud nende nimel (262). Kuna „uskumise“ nõuet on tõlgendatud üsna laialt, (263) ei ole kaebeõiguse eeldused uurimisvolituste kohtusse hagi esitamiseks piiravad.

(152) Esitatud kaebust arutades on kohtu ülesanne uurida, kas isikud, kelle vastu on kaebuses süüdistusi esitatud, on olnud seotud kaebuse esitajaga, ja uurida asutust, mis on väidetavalt rikkumises osalenud, ning seda, kas väidetav tegevus on aset leidnud (264). Kohus peab menetluses otsuse tegemisel kohaldama samu põhimõtteid, mida kasutataks kohtuliku kontrolli taotluse korral (265).

(153) Kohus peab teavitama kaebuse esitajat sellest, kas tema kasuks on tehtud otsus või mitte (266). 2000. aasta uurimisvolituste reguleerimise seaduse paragrahvi 67 lõigete 6 ja 7 alusel on kohtul volitus esitada vahemääruseid ja määrata selliseid hüvitisi või muid korraldusi, mida ta peab sobivaks (267). 2000. aasta uurimisvolituste reguleerimise seaduse paragrahvi 67A kohaselt võib kohtu otsuse edasi kaevata vastavalt uurimisvolituste kohtu või asjaomase apellatsioonikohtu loale.

(154) Nimelt võivad isikud esitada uurimisvolituste kohtusse hagi ja saada õiguskaitset, kui nad leiavad, et avaliku sektori asutus on tegutsenud (või kavatseb tegutseda) viisil, mis on vastuolus Euroopa inimõiguste konventsiooni kohaste õigustega, sealhulgas eraelu puutumatuse ja andmekaitse õigus, ning on seega tulenevalt 1998. aasta inimõiguste seaduse paragrahvi 6 lõikest 1 ebaseaduslik. Uurimisvolituste kohtul on inimõiguste seadusest tulenevate kõigi luureametitega seotud nõuete valdkonnas ainupädevus. Nagu on märkinud kõrge kohus, tähendab see, et „küsimuse, kas konkreetse juhtumi puhul on rikut