KOMISJONI RAKENDUSMÄÄRUS (EL) 2021/1772,

28. juuni 2021,

mis põhineb Euroopa Parlamendi ja nõukogu määrusel (EL) 2016/679 ning käsitleb isikuandmete piisavat kaitset Ühendkuningriigis

(teatavaks tehtud numbri C(2021) 4800 all)

(EMPs kohaldatav tekst)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus), (1) eelkõige selle artikli 45 lõiget 3,

ning arvestades järgmist:

1. SISSEJUHATUS

(1) Määrusega (EL) 2016/679 on kehtestatud õigusnormid, mis reguleerivad isikuandmete edastamist Euroopa Liidus asuvatelt vastutavatelt või volitatud töötlejatelt kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele sel määral, mil see edastamine kuulub määruse kohaldamisalasse. Andmete rahvusvahelise edastamise normid on sätestatud määruse V peatüki artiklites 44–50. Kuigi isikuandmete liikumine Euroopa Liidust väljaspool asuvatesse riikidesse ja neist riikidest on vajalik rahvusvahelise koostöö ja piiriülese kaubanduse laiendamiseks, ei tohi nende edastamine kolmandatele riikidele kahjustada Euroopa Liidus isikuandmetele pakutava kaitse taset (2).

(2) Määruse (EL) 2016/679 artikli 45 lõike 3 alusel võib komisjon võtta rakendusaktiga vastu otsuse, et kolmas riik või kolmanda riigi territoorium või kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme. Kui see tingimus on täidetud, võib isikuandmeid edastada kolmandasse riiki ilma täiendava loata, nagu on sätestatud kõnealuse määruse artikli 45 lõikes 1 ja põhjenduses 103.

(3) Nagu on täpsustatud määruse (EL) 2016/679 artikli 45 lõikes 2, tuleb kaitse piisavuse otsuse vastuvõtmisel tugineda kolmanda riigi õiguskorra põhjalikule analüüsile, mis hõlmab nii andmete importijate suhtes kohaldatavaid õigusnorme kui ka piiranguid ja kaitsemeetmeid, mis puudutavad avaliku sektori asutuste juurdepääsu isikuandmetele. Komisjon peab oma hinnangus kindlaks määrama, kas kõnealune kolmas riik tagab kaitsetaseme, mis „sisuliselt vastab“ Euroopa Liidus tagatud kaitsetasemele (määruse (EL) 2016/679 põhjendus 104). Nõuded, mille põhjal „sisulist vastavust“ hinnatakse, on kehtestatud Euroopa Liidu õiguses, täpsemalt määruses (EL) 2016/679, ning Euroopa Liidu Kohtu praktikas (3). Sellega seoses on oluline ka Euroopa Andmekaitsenõukogu kaitse piisavuse viitedokument (4).

(4) Nagu on selgitanud Euroopa Liidu Kohus, ei eelda see järeldust identse kaitsetaseme kohta (5). Eelkõige võivad vahendid, mida asjaomane kolmas riik isikuandmete kaitseks kasutab, erineda nendest, mida rakendatakse Euroopa Liidus, kui need osutuvad praktikas piisava kaitsetaseme tagamisel tulemuslikuks (6). Piisavuse nõue ei eelda seega liidu õigusnormide punkthaaval kordamist. Küsimus on pigem selles, kas välisriigi süsteem tervikuna tagab andmekaitseõiguste sisu, nende tõhusa rakendamise, järelevalve ja maksmapaneku kaudu nõutava isikuandmete kaitse taseme (7).

(5) Komisjon on hoolikalt analüüsinud Ühendkuningriigi õigust ja tavasid. Komisjon teeb põhjendustes 8–270 esitatud tulemustele tuginedes järelduse, et Ühendkuningriik tagab määruse (EL) 2016/679 raames Euroopa Liidust Ühendkuningriiki edastatud isikuandmete piisava kaitsetaseme.

(6) See järeldus ei puuduta isikuandmeid, mida edastatakse Ühendkuningriigi sisserände kontrolliga seotud eesmärkidel või mis kuuluvad muul moel Ühendkuningriigi andmekaitseseaduse 2. lisa lõike 4 punktiga 1 ette nähtud erandi kohaldamisalasse; selle sättega tehakse erand mõnedest andmesubjekti õigustest sisserände tulemusliku kontrolli säilitamiseks („sisserände erand“). Sisserände erandi kehtivus ja tõlgendamine Ühendkuningriigi õiguses ei ole üheselt selge, arvestades Inglismaa ja Walesi apellatsioonikohtu 26. mai 2021. aasta otsust. Kuigi apellatsioonikohus nõustus, et andmesubjekti õigusi võib põhimõtteliselt piirata sisserände kontrolliga seotud eesmärkidel, kuna see on „avalike huvide üks olulisi aspekte“, leidis kohus, et sisserände erand oma praegusel kujul on Ühendkuningriigi õigusega vastuolus, kuna seadusandlikus aktis puuduvad konkreetsed sätted, milles oleksid sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 23 lõikega 2 ette nähtud kaitsemeetmed (8). Seda arvesse võttes tuleks käesoleva otsuse kohaldamisalast välja jätta selliste isikuandmete edastamine liidust Ühendkuningriiki, mille suhtes võidakse kohaldada sisserände erandit (9). Kui erand on Ühendkuningriigi õigusega kooskõlla viidud, tuleks seda uuesti hinnata, samuti tuleks uuesti hinnata seda, kas on vaja piirata käesoleva otsuse kohaldamisala.

(7) Käesolev otsus ei tohiks mõjutada määruse (EL) 2016/679 vahetut kohaldamist Ühendkuningriigis asutatud organisatsioonide suhtes, kui on täidetud selle artiklis 3 sätestatud tingimused kõnealuse määruse territoriaalse kohaldamisala kohta.

2. ISIKUANDMETE TÖÖTLEMISE SUHTES KOHALDATAVAD ÕIGUSNORMID

2.1. Põhiseaduslik raamistik

(8) Ühendkuningriik on parlamentaarne demokraatia, mille riigipea on konstitutsiooniline monarh. Riigil on suveräänne parlament, mis on ülimuslik kõikide muude valitsusasutuste suhtes, parlamendiliikmetest moodustatud ja parlamendi ees aruandekohustuslik täitevvõim ning sõltumatu kohtusüsteem. Täitevvõimu volitused tulenevad tema suutlikkusest saavutada valitud alamkoja usaldus ja ta vastutab parlamendi mõlema koja ees, mille ülesanne on valitsuse kontrollimine ning seaduste arutamine ja vastuvõtmine.

(9) Ühendkuningriigi parlament on delegeerinud Šotimaa parlamendile, Walesi parlamendile (Senedd Cymru) ja Põhja-Iirimaa assambleele vastutuse õigusloome eest Šotimaa, Walesi ja Põhja-Iirimaa siseasjades, mida Ühendkuningriigi parlament ei ole enda vastutusalasse jätnud. Kuigi andmekaitse on Ühendkuningriigi parlamendi vastutusalasse kuuluv teema, st kogu riigis kehtivad samad õigusaktid, on muud käesoleva otsuse seisukohast asjakohased valdkonnad delegeeritud. Näiteks on Šotimaa ja Põhja-Iirimaa kriminaalõigussüsteemid, sealhulgas politseitegevus delegeeritud vastavalt Šotimaa parlamendi ja Põhja-Iirimaa assamblee vastutusalasse. Ühendkuningriigil ei ole kodifitseeritud põhiseadust väljakujunenud konstitutiivse dokumendi mõttes. Põhiseaduslikud põhimõtted on välja kujunenud aja jooksul ning tuginevad kohtupraktikale ja eelkõige tavale. Kohtud on tunnustanud teatavate õigusaktide, nagu Magna Carta, 1689. aasta õiguste deklaratsiooni (Bill of Rights) ja 1998. aasta inimõiguste seaduse (Human Rights Act 1998) põhiseaduslikku väärtust. Põhiseaduse osana on üksikisikute põhiõigused arenenud üldise õiguse (common law), nimetatud õigusaktide ja rahvusvaheliste lepingute, eelkõige Euroopa inimõiguste konventsiooni kaudu, mille Ühendkuningriik ratifitseeris 1951. aastal. 1987. aastal ratifitseeris Ühendkuningriik ka Euroopa Nõukogu isikuandmete automatiseeritud töötlemisel isiku kaitse konventsiooni (edaspidi „konventsioon nr 108“) (10).

(10) 1998. aasta inimõiguste seadusega lisati Euroopa inimõiguste konventsioonis sisalduvad õigused Ühendkuningriigi õigusesse. Inimõiguste seadusega on kõikidele isikutele antud põhiõigused ja -vabadused, mis on sätestatud Euroopa inimõiguste konventsiooni artiklites 2–12 ja 14, konventsiooni protokolli nr 1 artiklites 1, 2 ja 3 ning protokolli nr 13 artiklis 1, loetuna koostoimes selle konventsiooni artiklitega 16, 17 ja 18. Nende hulka kuuluvad õigus era- ja perekonnaelu austamisele (ja selle osana õigus andmekaitsele) ning õigus õiglasele kohtumenetlusele (11). Eelkõige võivad ametivõimud kõnealuse konventsiooni artikli 8 kohaselt sekkuda eraelu puutumatuse õigusesse üksnes kooskõlas seadusega, kui see on demokraatlikus ühiskonnas vajalik riigi julgeoleku, ühiskondliku turvalisuse või riigi majandusliku heaolu huvides, korratuse või kuriteo ärahoidmiseks, tervise või kõlbluse või kaasinimeste õiguste ja vabaduste kaitseks.

(11) Vastavalt 1998. aasta inimõiguste seadusele peab ametiasutuste tegevus olema kooskõlas konventsioonist tuleneva õigusega (12). Peale selle tuleb esmaseid ja teiseseid õigusakte tõlgendada ja jõustada viisil, mis on kooskõlas konventsioonist tulenevate õigustega (13).

2.2. Ühendkuningriigi andmekaitseraamistik

(12) Ühendkuningriik astus Euroopa Liidust välja 31. jaanuaril 2020. Suurbritannia ja Põhja-Iiri Ühendkuningriigi Euroopa Liidust ja Euroopa Aatomienergiaühendusest väljaastumise lepingu (14) kohaselt kohaldati liidu õigust Ühendkuningriigis üleminekuperioodi jooksul kuni 31. detsembrini 2020. Enne väljaastumist ja üleminekuperioodi jooksul koosnes Ühendkuningriigi isikuandmete kaitse õigusraamistik asjaomastest ELi õigusaktidest (eelkõige Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 ning Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680 (15)) ja riiklikest õigusaktidest, eelkõige 2018. aasta andmekaitseseadusest, (16) millega nähti ette siseriiklikud normid (kui see oli määrusega (EL) 2016/679 lubatud), täpsustati ja piirati määruse (EL) 2016/679 normide kohaldamist ning võeti üle direktiiv (EL) 2016/680.

(13) Euroopa Liidust väljaastumiseks valmistudes kehtestas Ühendkuningriigi valitsus 2018. aasta Euroopa Liidust väljaastumise seaduse, (17) millega lisatakse Ühendkuningriigi õigusesse vahetult kohaldatavad liidu õigusaktid (18). Nende nn jätkuvalt kohaldatavate ELi õigusaktide hulka kuulub tervikuna määrus (EL) 2016/679 (sealhulgas selle põhjendused) (19). Euroopa Liidust väljaastumise seaduse kohaselt peavad Ühendkuningriigi kohtud tõlgendama muutmata kujul jätkuvalt kohaldatavaid ELi õigusakte kooskõlas Euroopa Liidu Kohtu asjaomase kohtupraktika ja liidu õiguse üldpõhimõtetega sel kujul, mil need kehtisid vahetult enne üleminekuperioodi lõppu (mida nimetatakse vastavalt „jätkuvalt kohaldatavaks ELi kohtupraktikaks“ ja „jätkuvalt kohaldatavateks liidu õiguse üldpõhimõteteks“) (20).

(14) 2018. aasta Euroopa Liidust väljaastumise seaduse alusel on Ühendkuningriigi ministritel õigus kehtestada seadusandlike aktide kaudu teiseseid õigusakte, et teha jätkuvalt kohaldatavatesse Euroopa Liidu õigusaktidesse Ühendkuningriigi Euroopa Liidust väljaastumisest tulenevaid vajalikke muudatusi. Seda õigust kasutati, kui vastu võeti 2019. aasta andmekaitset, eraelu puutumatust, elektroonilist sidet, muudatusi jne käsitlev (EList väljaastumise) määrus (edaspidi „andmekaitse, eraelu puutumatuse ja elektroonilise side määrus“) (21). Selle määrusega muudeti määrust (EL) 2016/679, kui see lisati Ühendkuningriigi õigusesse 2018. aasta Euroopa Liidust väljaastumise seaduse, 2018. aasta andmekaitseseaduse ja muude andmekaitsealaste õigusaktidega, et viia see vastavusse siseriikliku kontekstiga (22).

(15) Sellest tulenevalt koosneb isikuandmete kaitse õigusraamistik Ühendkuningriigis pärast üleminekuperioodi lõppu järgmisest: — 2018. aasta Euroopa Liidust väljaastumise lepinguga Ühendkuningriigi õigusesse lisatud Ühendkuningriigi isikuandmete kaitse üldmäärus, mida on muudetud andmekaitse, eraelu puutumatuse ja elektroonilise side määrusega, (23) ja — 2018. aasta andmekaitseseadus, (24) mida on muudetud andmekaitse, eraelu puutumatuse ja elektroonilise side määrusega.

(16) Kuna Ühendkuningriigi isikuandmete kaitse üldmäärus põhineb ELi õigusaktidel, on Ühendkuningriigi andmekaitsenormid paljudes aspektides väga sarnased Euroopa Liidus kohaldatavate vastavate normidega.

(17) Lisaks 2018. aasta Euroopa Liidust väljaastumise seadusega ministrile antud volitustele antakse 2018. aasta andmekaitseseaduse mitme sättega ministrile õigused võtta vastu teiseseid õigusakte, et muuta seaduse teatavaid sätteid või kehtestada lisanorme (25). Seni on minister teostanud 2018. aasta andmekaitseseaduse paragrahvi 137 kohaseid volitusi ainult selleks, et võtta vastu 2019. aasta andmekaitsemäärus (tasud ja teave, muudatus), milles on sätestatud asjaolud, mille korral peavad vastutavad töötlejad maksma Ühendkuningriigi sõltumatule andmekaitseasutusele (teabevolinikule) iga-aastast tasu.

(18) Samuti on täiendavaid juhiseid Ühendkuningriigi andmekaitsealaste õigusaktide kohta esitatud tegevusjuhendites ja muudes teabevoliniku vastuvõetud juhistes. Kuigi need juhised ei ole ametlikult õiguslikult siduvad, on neil kaal tõlgendamisel ja need näitavad, kuidas andmekaitsealaseid õigusakte kohaldatakse ja volinik nende täitmise praktikas tagab. Eelkõige on 2018. aasta andmekaitseseaduse paragrahvidega 121–125 ette nähtud, et volinik koostab tegevusjuhendid andmete jagamise, otseturunduse, eakohase kujunduse ning andmekaitse ja ajakirjanduse kohta.

(19) Seega on käesoleva otsuse alusel edastatavate andmete suhtes kohaldatav Ühendkuningriigi õigusraamistik oma ülesehituse ja põhielementide poolest väga sarnane Euroopa Liidus kohaldatavale õigusraamistikule. Seda ka seetõttu, et kõnealune raamistik ei tugine mitte üksnes siseriiklikus õiguses sätestatud kohustustele, mida on kujundanud ELi õigus, vaid ka rahvusvahelises õiguses kehtestatud kohustustele, eelkõige kuna Ühendkuningriik järgib Euroopa inimõiguste konventsiooni ja konventsiooni nr 108 ning kuulub Euroopa Inimõiguste Kohtu kohtualluvusse. Seega on need õiguslikult siduvatest rahvusvahelistest õigusaktidest tulenevad kohustused, eelkõige isikuandmete kaitsmine, käesolevas otsuses hinnatava õigusraamistiku eriti oluline element.

2.3. Sisuline ja territoriaalne kohaldamisala

(20) Sarnaselt määrusele (EL) 2016/679 kohaldatakse Ühendkuningriigi isikuandmete kaitse üldmäärust isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes või muu töötlemise suhtes, kui isikuandmed kuuluvad andmete kogumisse (26). Ühendkuningriigi isikuandmete kaitse üldmääruses kasutatud mõisted „isikuandmed“, „andmesubjekt“ ja „töötlemine“ on identsed määruses (EL) 2016/679 kasutatud mõistetega (27). Peale selle kohaldatakse Ühendkuningriigi isikuandmete kaitse üldmäärust teatavate Ühendkuningriigi ametiasutuste (28) valduses olevate isikuandmete struktureerimata käsitsi töötlemise (29) suhtes, kuigi 2018. aasta andmekaitseseaduse paragrahvide 24 ja 25 alusel jäetakse kohaldamata need Ühendkuningriigi isikuandmete kaitse üldmääruse kohased põhimõtted ja õigused, mis ei ole selliste isikuandmete puhul asjakohased. Sarnaselt määruses (EL) 2016/679 sätestatule ei kohaldata Ühendkuningriigi isikuandmete kaitse üldmäärust juhul, kui isikuandmeid töötleb üksikisik eranditult isikliku või koduse tegevuse käigus (30).

(21) Ühendkuningriigi isikuandmete kaitse üldmäärusega on laiendatud määruse kohaldamisala ka andmete töötlemisele sellise tegevuse käigus, mis vahetult enne üleminekuperioodi lõppu jäi väljapoole Euroopa Liidu õigust (nt riigi julgeolek) (31) või jäi Euroopa Liidu lepingu V jaotise 2. peatüki (ühise välis- ja julgeolekupoliitika alane tegevus) kohaldamisalasse (32). Sarnaselt Euroopa Liidu süsteemile ei kohaldata ka Ühendkuningriigi isikuandmete kaitse üldmäärust juhul, kui isikuandmeid töötlevad pädevad asutused süütegude ennetamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil (nn õiguskaitse eesmärgid) – selline töötlemine on reguleeritud 2018. aasta andmekaitseseaduse 3. osaga, nagu on Euroopa Liidu õiguse alusel reguleeritud direktiiviga (EL) 2016/680 –, ega juhul, kui isikuandmeid töötlevad luureteenistused (julgeolekuteenistus (Security Service), salaluureteenistus (Secret Intelligence Service) ja valitsusside peakorter (Government Communications Headquarters)), mida on käsitletud 2018. aasta andmekaitseseaduse 4. osas (33).

(22) Ühendkuningriigi isikuandmete kaitse üldmääruse territoriaalne kohaldamisala (34) on määratletud üldmääruse artiklis 3 ja sellesse kuuluvad isikuandmete töötlemine (olenemata selle toimumise asukohast) Ühendkuningriigis asuva vastutava töötleja või volitatud töötleja tegevuskoha tegevuse kontekstis ning Ühendkuningriigis asuvate andmesubjektide isikuandmete töötlemine, kui töötlemine on seotud nendele andmesubjektidele kaupade või teenuste pakkumise või nende andmesubjektide käitumise jälgimisega (35). See vastab määruse (EL) 2016/679 artikli 3 lähenemisviisile.

2.4. Isikuandmete ning vastutava töötleja ja volitatud töötleja mõistete määratlused

(23) Määruses (EL) 2016/679 sätestatud isikuandmete, töötlemise, vastutava töötleja, volitatud töötleja ning pseudonümiseerimise määratlused on säilitatud Ühendkuningriigi isikuandmete kaitse üldmääruses ilma sisuliste muudatusteta (36). Peale selle on Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 1 määratletud isikuandmete eriliigid samamoodi kui määruses (EL) 2016/679 („isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta“). 2018. aasta andmekaitseseaduse paragrahvis 205 on esitatud biomeetriliste andmete, (37) terviseandmete (38) ja geneetiliste andmete (39) mõisted.

2.5. Kaitsemeetmed, õigused ja kohustused

2.5.1. Töötlemise seaduslikkus ja õiglus

(24) Isikuandmeid tuleb töödelda seaduslikult ja õiglaselt.

(25) Ühendkuningriigi õiguses on seaduslikkuse, õigluse ja läbipaistvuse põhimõtted ning seadusliku töötlemise alused tagatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktiga a ja artikli 6 lõikega 1, mis on identsed määruse (EL) 2016/679 vastavate sätetega (40). 2018. aasta andmekaitseseaduse paragrahviga 8 on täiendatud artikli 6 lõike 1 punkti e sättega, millega on ette nähtud, et isikuandmete töötlemine Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti e alusel (töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks) hõlmab isikuandmete töötlemist, mis on vajalik õigusemõistmiseks, parlamendi kummagi koja ülesande täitmiseks, seaduse või õigusnormiga isikule antud ülesande täitmiseks või riigi, ministri või ministeeriumi ülesande täitmiseks või tegevuseks, millega toetatakse või edendatakse demokraatlikku kaasatust.

(26) Samuti on Ühendkuningriigi isikuandmete kaitse üldmääruses muutmata kujul säilitatud nõusoleku (mis on üks seadusliku töötlemise alus) kohta määruse (EL) 2016/679 artiklis 7 sätestatud tingimused, see tähendab, et vastutav töötleja peab suutma tõendada, et andmesubjekt on andnud nõusoleku, nõusoleku saamiseks kirjaliku taotluse esitamisel tuleb kasutada selget ja lihtsat keelt, andmesubjektil peab olema õigus nõusolek igal ajal tagasi võtta ning selle hindamisel, kas nõusolek on antud vabatahtlikult, tuleb võtta arvesse asjaolu, kas lepingu täitmise tingimuseks on nõusolek isikuandmete töötlemiseks, mis ei ole vajalik kõnealuse lepingu täitmiseks. Peale selle on Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 8 kohaselt lapse nõusolek infoühiskonna teenuste pakkumise kontekstis seaduslik üksnes siis, kui laps on vähemalt 13aastane. See jääb määruse (EL) 2016/679 artikliga 8 kehtestatud vanusevahemikku.

2.5.2. Isikuandmete eriliikide töötlemine

(27) Andmete eriliikide töötlemisel tuleks kohaldada konkreetseid kaitsemeetmeid.

(28) Ühendkuningriigi isikuandmete kaitse üldmäärus ja 2018. aasta andmekaitseseadus sisaldavad erinorme isikuandmete eriliikide töötlemise kohta, mis on määratletud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 1 samamoodi kui määruses (EL) 2016/679 (vt põhjendus 23). Vastavalt Ühendkuningriigi isikuandmete kaitse üldmääruse artiklile 9 on andmete eriliikide töötlemine põhimõtteliselt keelatud, välja arvatud juhul, kui kohaldatakse konkreetset erandit.

(29) Need erandid (mis on loetletud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõigetes 2 ja 3) ei erine sisuliselt määruse (EL) 2016/679 artikli 9 lõigetes 2 ja 3 sätestatud eranditest. Kui andmesubjekt ei ole andnud isikuandmete eriliikide töötlemiseks sõnaselget nõusolekut, siis on nende isikuandmete töötlemine lubatud ainult konkreetsetel ja piiratud asjaoludel. Enamikul juhtudel peab tundlike andmete töötlemine olema vajalik konkreetsel eesmärgil, mis on määratletud asjaomases sättes (vt artikli 9 lõike 2 punktid b, c, f, g, h, i ja j).

(30) Kui Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 2 on nõutud seadusjärgset luba või viidatud avalikule huvile, siis 2018. aasta andmekaitseseaduse paragrahvis 10 on koos selle seaduse 1. lisaga täiendavalt täpsustatud tingimused, mis peavad olema erandi kasutamiseks täidetud. Näiteks kui tundlikke andmeid töödeldakse rahvatervise kaitsmise eesmärgil (Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt i), siis 1. lisa 1. osa lõike 3 punktiga b on ette nähtud, et lisaks vajalikkuse hindamisele peab andmeid „töötlema või selle eest vastutama tervishoiutöötaja“ või peab neid „töötlema teine isik, kellel lasub konfidentsiaalsuskohustus seaduse või õigusnormi alusel“, sealhulgas üldise õiguse kohaselt väljakujunenud konfidentsiaalsuskohustus.

(31) Seoses tundlike andmete töötlemisega olulise avaliku huviga seotud põhjustel (Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt g) on 2018. aasta andmekaitseseaduse 1. lisa 2. osas esitatud täielik loetelu eesmärkidest, mida võib käsitada olulise avaliku huvina, ning sätestatud iga eesmärgi kohta täiendavad eritingimused. Näiteks tunnistatakse olulise avaliku huvina rassilise ja etnilise mitmekesisuse edendamist organisatsioonide kõrgemate ametnike tasandil. Tundlike andmete töötlemise suhtes sellel konkreetsel eesmärgil kehtivad üksikasjalikud nõuded, muu hulgas peab töötlemine toimuma osana kõrgemale ametikohale värvatavate sobilike isikute kindlakstegemise protsessist ning olema vajalik rassilise ja etnilise mitmekesisuse edendamiseks ja ei tohi olla tõenäoline, et see tekitab andmesubjektile olulist kahju või kannatusi.

(32) 2018. aasta andmekaitseseaduse paragrahvi 11 lõikes 1 on sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 3 kirjeldatud asjaoludel toimuva isikuandmete töötlemise tingimused seoses saladuse hoidmise kohustusega. Need hõlmavad asjaolusid, mille korral andmeid töötleb või selle eest vastutab tervishoiu- või sotsiaaltöötaja või neid töötleb teine isik, kellel lasub konfidentsiaalsuskohustus seaduse või õigusnormi alusel.

(33) Lisaks tuleb paljude Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 2 loetletud erandite korral kasutada sobilikke ja konkreetseid kaitsemeetmeid. Sõltuvalt töötlemise laadist ning andmesubjekti õigustele ja vabadustele kaasneva ohu tasemest on 2018. aasta andmekaitseseaduse 1. lisas sisalduvate töötlemistingimustega kehtestatud mitmesugused kaitsemeetmed. 1. lisas on eraldi sätestatud tingimused iga töötlemisolukorra kohta.

(34) Mõnel juhul on 2018. aasta andmekaitseseadusega reguleeritud ja piiratud tundlike andmete liike, mida tohib töödelda vastavalt konkreetsele õiguslikule alusele, mida tuleb järgida. Näiteks on 1. lisa lõikega 8 lubatud tundlike andmete töötlemine võrdsete võimaluste ja võrdse kohtlemise edendamiseks. Sellele töötlemistingimusele saab tugineda üksnes juhul, kui andmed näitavad rassilist või etnilist päritolu, usulisi või filosoofilisi veendumusi või seksuaalset sättumust või kui tegemist on terviseandmetega.

(35) Mõnel juhul on 2018. aasta andmekaitseseaduses kehtestatud piirang selle kohta, mis liiki vastutav töötleja tohib töötlemistingimust kasutada. Näiteks on 1. lisa lõikega 23 ette nähtud tundlike andmete töötlemine seoses valitud esindajate vastustega avalikkusele. Sellele töötlemistingimusele võib tugineda ainult juhul, kui vastutav töötleja on valitud esindaja või tegutseb tema nimel.

(36) Teistel juhtudel on 2018. aasta andmekaitseseadusega kehtestatud piirangud selliste andmesubjektide liikide kohta, kelle puhul võib töötlemistingimusele tugineda. Näiteks on 1. lisa lõikega 21 reguleeritud tundlike andmete töötlemine tööandjapensioni skeemide jaoks. Sellele tingimusele võib tugineda üksnes juhul, kui asjaomane andmesubjekt on skeemiga liitunud isiku vend või õde, vanem, vanavanem või vanavanavanem.

(37) Peale selle peab vastutav töötleja Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 2 sätestatud ning 2018. aasta andmekaitseseaduse paragrahvis 10 ja 1. lisas täiendavalt täpsustatud eranditele tuginedes enamikul juhtudel koostama asjakohaseid tegevuspõhimõtteid käsitleva dokumendi. Selles tuleb kirjeldada vastutava töötleja menetlusi, millega tagatakse Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 5 kehtestatud põhimõtete järgimine. Ühtlasi tuleb selles esitada andmete säilitamise ja kustutamise põhimõtted ning märkida nende tõenäoline säilitamisaeg. Vastutavad töötlejad peavad seda dokumenti vastavalt vajadusele läbi vaatama ja ajakohastama. Vastutav töötleja peab tegevuspõhimõtteid käsitlevat dokumenti säilitama kuus kuud pärast töötlemise lõpuleviimist ja tegema selle taotluse korral kättesaadavaks teabevolinikule (41).

(38) 2018. aasta andmekaitseseaduse 1. lisa lõike 41 kohaselt tuleb tegevuspõhimõtteid käsitlevale dokumendile alati lisada andmete töötlemise põhjalikum kirjeldus. Kirjeldada tuleb tegevuspõhimõtteid käsitlevas dokumendis sisalduvate kohustuste täitmist, st kas andmed kustutatakse või säilitatakse kooskõlas tegevuspõhimõtetega. Kui tegevuspõhimõtteid ei ole järgitud, siis tuleb dokumenteerida selle põhjused. Kirjeldada tuleb ka töötlemise vastavust Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 6 (töötlemise seaduslikkus) nõuetele ning märkida, millisele 2018. aasta andmekaitseseaduse 1. lisas nimetatud konkreetsele tingimusele tuginetakse.

(39) Samuti on Ühendkuningriigi isikuandmete kaitse üldmääruses sarnaselt määrusele (EL) 2016/679 sätestatud üldised kaitsemeetmed seoses andmete eriliikide teatavate töötlemistoimingutega. Ühendkuningriigi isikuandmete kaitse üldmääruse artikliga 35 on ette nähtud, et andmete eriliikide ulatusliku töötlemise korral tuleb koostada andmekaitsealane mõjuhinnang. Kui vastutava töötleja või volitatud töötleja põhitegevuseks on andmete eriliikide ulatuslik töötlemine, peab ta Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 37 kohaselt määrama andmekaitseametniku.

(40) Mis puudutab süüteoasjades süüdimõistvaid kohtuotsuseid ja süütegudega seotud isikuandmeid, siis on Ühendkuningriigi isikuandmete kaitse üldmääruse artikkel 10 identne määruse (EL) 2016/679 artikliga 10. Selle artikli järgi on süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid lubatud töödelda üksnes ametiasutuste järelevalve all või siis, kui töötlemine on lubatud siseriikliku õigusega, milles on sätestatud asjakohased kaitsemeetmed andmesubjektide õiguste ja vabaduste kaitseks.

(41) 2018. aasta andmekaitseseaduse paragrahvis 10 lõikes 5 on sätestatud, et kui süütegudes süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid ei töödelda ametiasutuse järelevalve all, siis võib selline töötlemine toimuda ainult konkreetsetel eesmärkidel / konkreetsetes olukordades, mis on sätestatud 2018. aasta andmekaitseseaduse 1. lisa 1., 2. ja 3. osas, ja selle suhtes kehtivad iga nimetatud eesmärgi/olukorra kohta kehtestatud erinõuded. Näiteks võib mittetulundusühing töödelda süütegudes süüdimõistvate kohtuotsustega seotud andmeid juhul, kui a) töötlemine toimub poliitilise, filosoofilise, religioosse või ametiühingulise suunitlusega sihtasutuse, ühenduse või muu mittetulundusühenduse õiguspärase tegevuse raames, mille suhtes kehtivad asjakohased kaitsemeetmed, ja b) tingimusel, et i) töötlemine käsitleb ainult asjaomase ühenduse liikmeid või endisi liikmeid või isikuid, kes on kõnealuse ühendusega püsivalt seotud tema tegevuse eesmärkide tõttu, ning ii) isikuandmeid ei avalikustata väljaspool seda ühendust ilma andmesubjekti nõusolekuta.

(42) Peale selle on 2018. aasta andmekaitseseaduse 1. lisa 3. osas sätestatud täiendavad asjaolud, mille korral võib kasutada süüdimõistvate kohtuotsustega seotud andmeid ja mis vastavad määruse (EL) 2016/679 ja Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 2 kehtestatud tundlike andmete töötlemise õiguslikele alustele (nt andmesubjekti nõusolek, isiku elulised huvid, kui andmesubjekt on füüsiliselt või õiguslikult võimetu nõusolekut andma, töötlemine on vajalik õigusnõude koostamiseks, esitamiseks või kaitsmiseks jne).

2.5.3. Eesmärgi piirang, õigsus, võimalikult väheste andmete kogumine, säilitamise piirang ja andmete turvalisus

(43) Isikuandmeid tuleks töödelda konkreetsel eesmärgil ja kasutada seejärel üksnes määral, mil see on kooskõlas töötlemise eesmärgiga.

(44) See põhimõte on ette nähtud määruse (EL) 2016/679 artikli 5 lõike 1 punktiga b, mis on muutmata kujul säilitatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis b. Ka määruse (EL) 2016/679 artikli 6 lõikes 4 sätestatud nõuetele vastava töötlemise lisatingimused on sisuliste muutusteta säilitatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 6 lõike 4 punktides a–e.

(45) Peale selle peavad isikuandmed olema õiged ja vajaduse korral ajakohastatud. Samuti peavad need olema piisavad ja asjakohased, ei tohi olla nende töötlemise eesmärgi seisukohast ülemäärased ning põhimõtteliselt ei tohi neid säilitada kauem, kui on isikuandmete töötlemise eesmärgil vajalik.

(46) Võimalikult väheste andmete kogumise, õigsuse ja säilitamise piirangu põhimõtted on sätestatud määruse (EL) 2016/679 artikli 5 lõike 1 punktides c–e ning säilitatud muutmata kujul Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktides c–e.

(47) Ühtlasi tuleks isikuandmeid töödelda viisil, mis tagab nende turvalisuse, sealhulgas kaitse loata või ebaseadusliku töötlemise ning juhusliku kaotsimineku, hävimise või kahjustumise eest. Sel eesmärgil peaksid ettevõtjad võtma asjakohaseid tehnilisi ja korralduslikke meetmeid, et kaitsta isikuandmeid võimalike ohtude eest. Neid meetmeid tuleks hinnata, võttes arvesse tehnika taset ja seonduvaid kulusid.

(48) Ühendkuningriigi õiguses on andmete turvalisus tagatud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis f sätestatud usaldusväärsuse ja konfidentsiaalsuse põhimõtte kaudu ning töötlemise turvalisust käsitlevas artiklis 32. Need sätted on identsed määruse (EL) 2016/679 vastavate sätetega. Peale selle on Ühendkuningriigi isikuandmete kaitse üldmäärusega ette nähtud, et isikuandmetega seotud rikkumisest tuleb teavitada järelevalveasutust (artikkel 33) ja andmesubjekti (artikkel 34) samadel tingimustel kui need, mis on kehtestatud määruse (EL) 2016/679 artiklites 33 ja 34.

2.5.4. Läbipaistvus

(49) Andmesubjekte tuleks teavitada nende isikuandmete töötlemise põhitunnustest.

(50) See on tagatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklitega 13 ja 14, millega on lisaks läbipaistvuse üldpõhimõttele ette nähtud andmesubjektile esitatavat teavet käsitlevad normid (42). Määruse (EL) 2016/679 vastavate artiklitega võrreldes ei ole Ühendkuningriigi isikuandmete kaitse üldmäärusega nendes normides sisulisi muudatusi tehtud. Nii nagu määruse (EL) 2016/679 alusel kehtib aga ka nimetatud artiklites esitatud läbipaistvusnõude puhul mitu 2018. aasta andmekaitseseaduses sätestatud erandit (vt põhjendused 55–72).

2.5.5. Üksikisiku õigused

(51) Andmesubjektidel peaksid olema teatavad õigused, mida nad saavad maksma panna vastutava töötleja või volitatud töötleja suhtes, eeskätt õigus andmetega tutvuda, õigus töötlemine vaidlustada ning õigus lasta andmeid parandada ja kustutada. Samal ajal võivad selliste õiguste suhtes kehtida piirangud, kui need on avaliku julgeoleku kaitsmiseks või muul olulisel üldise avaliku huvi eesmärgil vajalikud ja proportsionaalsed.

2.5.5.1. Sisulised õigused

(52) Ühendkuningriigi isikuandmete kaitse üldmäärusega on üksikisikutele antud samad kohtulikult kaitstavad õigused kui määrusega (EL) 2016/679. Sätted, millega on ette nähtud üksikisikute õigused, on sisuliste muudatusteta säilitatud Ühendkuningriigi isikuandmete kaitse üldmääruses.

(53) Nende õiguste hulka kuuluvad andmesubjekti õigus andmetega tutvuda (Ühendkuningriigi isikuandmete kaitse üldmääruse artikkel 15), õigus andmete parandamisele (artikkel 16), õigus andmete kustutamisele (artikkel 17), õigus isikuandmete töötlemise piiramisele (artikkel 18), kohustus teatada isikuandmete parandamisest, kustutamisest või isikuandmete töötlemise piiramisest (artikkel 19), andmete ülekandmise õigus (artikkel 20) ja õigus esitada vastuväiteid (artikkel 21) (43). Viimane sisaldab ka andmesubjekti õigust esitada vastuväide isikuandmete töötlemisele otseturunduse eesmärgil, mis on sätestatud määruse (EL) 2016/679 artikli 21 lõigetes 2 ja 3. Peale selle peab teabevolinik koostama 2018. aasta andmekaitseseaduse paragrahvi 122 alusel tegevusjuhendi otseturundamiseks kooskõlas andmekaitsealaste õigusaktide (ning 2003. aasta eraelu puutumatust ja elektroonilist sidet (elektroonilise side direktiivi) käsitleva määruse (Privacy and Electronic Communications (EC Directive) Regulations 2003)) nõuetega ning muud otseturunduses hea tava edendamise suunised, mida volinik asjakohaseks peab. Teabevoliniku büroo koostab praegu otseturundust käsitlevat juhendit (44).

(54) Isikuandmete kaitse üldmääruse artiklis 22 sätestatud andmesubjekti õigus, et tema kohta ei võetaks vastu otsust, mis põhineb üksnes automatiseeritud töötlusel ja toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju, on samuti säilitatud ilma sisuliste muudatusteta Ühendkuningriigi isikuandmete kaitse üldmääruses. Lisatud on aga uus lõige 3A, milles viidatakse, et 2018. aasta andmekaitseseaduse paragrahvis 14 on sätestatud meetmed andmesubjektide õiguste, vabaduste ja õigustatud huvide kaitsmiseks juhul, kui andmete töötlemine toimub Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 22 lõike 2 punkti b alusel. Seda kohaldatakse üksnes juhul, kui sellise otsuse näol on tegemist Ühendkuningriigi õiguse kohase loa või nõudega, mitte juhul, kui otsus on vajalik lepingu alusel või andmesubjekt on andnud selle tegemiseks sõnaselge nõusoleku. Kui kohaldatakse 2018. aasta andmekaitseseaduse paragrahvi 14, siis peab vastutav töötleja niipea, kui on mõistlikult teostatav, teavitama andmesubjekti kirjalikult sellest, et tehtud on üksnes automatiseeritud töötlusel põhinev otsus. Andmesubjektil on õigus taotleda, et vastutav töötleja kaaluks otsust ühe kuu jooksul alates teate saamisest uuesti või teeks uue otsuse, mis ei põhine üksnes automatiseeritud töötlusel. Ministril on õigus võtta vastu täiendavaid kaitsemeetmeid seoses automatiseeritud otsuste tegemisega. Seda õigust ei ole seni veel kasutatud.

2.5.5.2. Üksikisiku õiguste piirangud ja muud sätted

(55) 2018. aasta andmekaitseseaduses on sätestatud mitu üksikisiku õiguste piirangut, mis jäävad Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 23 raamistikku. Selles raamistikus ei kehtestata mingeid piiranguid seoses Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 21 lõigetes 2 ja 3 sätestatud õigusega esitada vastuväiteid otseturunduse suhtes ega artiklis 22 sätestatud õigusega, et isiku kohta ei võeta vastu otsust, mis põhineb üksnes automatiseeritud töötlusel.

(56) Neid piiranguid on üksikasjalikult kirjeldatud 2018. aasta andmekaitseseaduse 2.–4. lisas. Ühendkuningriigi ametiasutused on selgitanud, et nad lähtuvad kahest põhimõttest: spetsiifilisuse põhimõte (mille puhul järgitakse detailset lähenemisviisi, jagades laiad piirangud mitmeks konkreetsemaks sätteks) ja tingimuslikkuse põhimõte (iga sätet täiendatakse piirangute või tingimuste vormis kaitsemeetmetega, et vältida kuritarvitamist) (45).

(57) Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 23 lõikes 1 kirjeldatud piirangud on kavandatud eesmärgiga tagada nende kohaldamine üksnes kindlaksmääratud asjaoludel, kui see on demokraatlikus ühiskonnas vajalik ja proportsionaalne nende õiguspärase eesmärgiga. Peale selle saab andmekaitsekorra erandeid kooskõlas piirangute tõlgendamise valdkonnas välja kujunenud kohtupraktikaga kohaldada konkreetse juhtumi puhul üksnes siis, kui see on vajalik ja proportsionaalne (46). Vajalikkust tuleb hinnata „rangelt ning sekkumine andmesubjekti õigustesse peab olema proportsionaalne avalikule huvile avalduva ohu raskusastmega. Seepärast hõlmab see klassikalist proportsionaalsuse analüüsi (47).“

(58) Nende piirangute eesmärgid vastavad määruse (EL) 2016/679 artiklis 23 loetletud eesmärkidele, välja arvatud riigi julgeoleku ja riigikaitsega seotud eesmärgid, mis on reguleeritud 2018. aasta andmekaitseseaduse paragrahviga 26, kuid mille suhtes kehtivad samad vajalikkuse ja proportsionaalsuse nõuded (vt põhjendused 63–66).

(59) Teatavad piirangud, näiteks kuriteo ennetamise või avastamisega, õigusrikkujate kinnipidamise või vastutusele võtmisega ning maksude või tollimaksude hindamise või kogumisega seotud piirangud (48) võimaldavad piirata kõiki üksikisiku õigusi ja läbipaistvuskohustusi (välja arvatud artikli 21 lõike 2 ja artikli 22 kohased õigused). Muude piirangute kohaldamisalasse kuuluvad läbipaistvuskohustus ja juurdepääsuõiguse, näiteks kutsesaladust käsitlevad piirangud, (49) õigus vabastusele nõudest esitada teavet, mille tulemuseks on enda süüstamine, (50) ja ärirahandus, eeskätt siseteabe alusel kauplemise ennetamine (51). Üksikute piirangutega lubatakse piirata vastutava töötleja kohustust teavitada andmesubjekti andmetega seotud rikkumistest ja eesmärgi piirangu ning töötlemise seaduslikkuse, õigluse ja läbipaistvuse põhimõtteid (52).

(60) Mõni neist piiranguist kehtib teatavat liiki isikuandmete töötlemise suhtes automaatselt ja täielikult (näiteks ei kohaldata läbipaistvuskohustust ja üksikisiku õigusi juhul, kui isikuandmeid töödeldakse eesmärgiga hinnata isiku sobivust kohtunikuametisse nimetamiseks või kui isikuandmeid töötleb kohus või õigust mõistvat funktsiooni täitev isik).

(61) Enamikul juhtudel on 2018. aasta andmekaitseseaduse 2. lisa asjaomases punktis aga täpsustatud, et piirangut kohaldatakse üksnes juhul, kui (ja sel määral, mil) sätete kohaldamine „tõenäoliselt kahjustaks“ piirangu õiguspärast eesmärki: näiteks ei kohaldata Ühendkuningriigi isikuandmete kaitse üldmääruses loetletud sätteid isikuandmete suhtes, mida töödeldakse kuriteo ennetamise või avastamise, õigusrikkujate kinnipidamise või vastutusele võtmise ning maksude või tollimaksude hindamise või kogumise eesmärgil „sel määral, mil nende sätete kohaldamine tõenäoliselt kahjustaks“ asjaomaseid eesmärke (53).

(62) Ühendkuningriigi kohtud on tõenäolise kahjustamise kriteeriumit järjekindlalt tõlgendanud kui „väga suurt ja kaalukat võimalust kahjustada kindlakstehtud avalikku huvi“ (54). Sellist piirangut, mille suhtes kehtib tõenäolise kahjustamise nõue, saab kohaldada üksnes juhul kui ja sellises ulatuses, milles on olemas väga suur ja kaalukas võimalus, et teatava õiguse teostamine kahjustaks kõnealust avalikku huvi. Vastutav töötleja peab iga juhtumi puhul eraldi hindama, kas need tingimused on täidetud (55).

(63) Lisaks 2018. aasta andmekaitseseaduse 2. lisas esitatud piirangutele on 2018. aasta andmekaitseseaduse paragrahvis 26 kehtestatud erand, mida võib kohaldada Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseaduse teatavate sätete suhtes, kui nimetatud erand on vajalik riigi julgeoleku kaitsmiseks või riigikaitse eesmärgil. Seda erandit kohaldatakse andmekaitsepõhimõtete (v.a seaduslikkuse põhimõtte), läbipaistvuskohustuste, andmesubjekti õiguste, andmetega seotud rikkumistest teatamise, andmete rahvusvahelise edastamise eeskirjade, teabevoliniku teatavate kohustuste ja õiguste ning õiguskaitsevahendeid, vastutust ja karistusi käsitlevate õigusnormide suhtes, välja arvatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 83 kehtestatud trahvide määramise üldtingimusi käsitleva sätte ja artiklis 84 kehtestatud karistusi käsitleva sätte suhtes. Peale selle on 2018. aasta andmekaitseseaduse paragrahviga 28 muudetud artikli 9 lõike 1 kohaldamist, et võimaldada Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud isikuandmete eriliikide töötlemist sel määral, mil töötlemine toimub riigi julgeoleku kaitsmiseks või riigikaitse eesmärkidel, ning kui on kehtestatud asjakohased meetmed andmesubjektide õiguste ja vabaduste kaitsmiseks (56).

(64) Erandit võib kohaldada ainult sel määral, mil see on vajalik riigi julgeoleku kaitsmiseks või riigikaitse eesmärgil. Nagu ka muude 2018. aasta andmekaitseseaduses sätestatud erandite puhul, peab vastutav töötleja erandit kaaluma ja sellele tuginema iga juhtumi puhul eraldi. Peale selle peab erandi kohaldamine olema kooskõlas inimõiguste normidega (mis on sätestatud 1998. aasta inimõiguste seaduses), mille kohaselt peab igasugune sekkumine eraelu puutumatuse õigustesse olema demokraatlikus ühiskonnas vajalik ja proportsionaalne (57).

(65) Erandi sellist tõlgendamist on kinnitanud teabevolinik, kes on andnud välja põhjalikud suunised riigi julgeoleku ja riigikaitse erandi kohaldamise kohta, kusjuures suunistes on selgelt kirjas, et vastutav töötleja peab erandit kaaluma ja kohaldama iga juhtumi puhul eraldi (58). Eeskätt on suunistes rõhutatud, et „tegu ei ole üldise erandiga“ ning et sellele tuginemiseks „ei piisa sellest, kui andmeid töödeldakse riigi julgeolekuga seotud eesmärgil“. Vastupidi, vastutav töötleja, kes sellele erandile tugineb, peab „tõendama, et on olemas tegelik võimalus, et riigi julgeolekut kahjustatakse,“ ning vajaduse korral peab vastutav töötleja „esitama [teabevolinikule] tõendid selle kohta, miks ta seda erandit kasutas“. Suunistes on esitatud kontrollnimekiri ja hulk näiteid, et selgitada, millistel tingimustel saab seda erandit kohaldada.

(66) Asjaolu, et andmeid töödeldakse riigi julgeoleku või riigikaitse eesmärkidel, ei ole seega iseenesest erandi kohaldamiseks piisav. Vastutav töötleja peab kaaluma tegelikke tagajärgi riigi julgeolekule juhul, kui ta peab teatavat andmekaitsesätet järgima. Erandit võib kohaldada ainult nende konkreetsete sätete suhtes, mille puhul on kindlaks tehtud, et nende kohaldamine kujutaks endast ohtu riigi julgeolekule, ning erandit tuleb kohaldada võimalikult kitsalt (59).

(67) Seda lähenemisviisi on kinnitanud teabeküsimuste kohus (60). Kohtuotsuses Baker vs. Secretary of State for the Home Department leidis teabeküsimuste kohus, et ebaseaduslik on kohaldada riigi julgeoleku erandit üldise erandina luureteenistuste saadud juurdepääsutaotluste suhtes. Selle asemel tuleb erandit kohaldada iga juhtumi puhul eraldi, hinnates iga päringu sisu ja võttes arvesse üksikisikute õigust nende eraelu austamisele (61).

2.5.6. Piirangud seoses ajakirjanduslikul, kunstilisel, akadeemilisel ja kirjanduslikul eesmärgil ning arhiveerimise ja uuringute eesmärgil töödeldavate isikuandmetega

(68) Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 85 lõikega 2 lubatakse teha ajakirjanduslikul, kunstilisel, akadeemilisel ja kirjanduslikul eesmärgil töödeldavate isikuandmete suhtes erand mitmest Ühendkuningriigi isikuandmete kaitse üldmääruse sättest. 2018. aasta andmekaitseseaduse 2. lisa 5. osas on sätestatud erandid nimetatud eesmärkidel toimuva töötlemise korral. Sellega on ette nähtud erandid andmekaitsepõhimõtetest (välja arvatud usaldusväärsuse ja konfidentsiaalsuse põhimõte), töötlemise õiguslikest alustest (sealhulgas andmete eriliigid, süüteoasjades süüdimõistvaid kohtuotsuseid jne käsitlevad andmed), nõusoleku andmise tingimustest, läbipaistvuskohustustest, andmesubjektide õigustest, kohustusest teavitada andmetega seotud rikkumistest ning nõudest konsulteerida enne kõrge riskitasemega töötlemist teabevolinikuga ning andmete rahvusvahelise edastamise eeskirjadest (62). Sellega seoses ei erine Ühendkuningriigi isikuandmete kaitse üldmäärus sisuliselt määrusest (EL) 2016/679, mille artikliga 85 on samuti ette nähtud võimalus teha andmete ajakirjanduslikul eesmärgil või akadeemilise, kunstilise või kirjandusliku eneseväljenduse eesmärgil töötlemise puhul erand mitmest määruse (EL) 2016/679 nõudest. 2018. aasta andmekaitseseaduse sätted, eelkõige 2. lisa 5. osa, on Ühendkuningriigi isikuandmete kaitse üldmäärusega vastavuses.

(69) Tasakaalu hindamine Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 85 alusel on põhiliselt seotud sellega, kas erandid põhjenduses 68 nimetatud andmekaitsenormidest on „vajalikud, et ühitada õigus isikuandmete kaitsele sõna- ja teabevabadusega“ (63). Vastavalt 2018. aasta andmekaitseseaduse 2. lisa lõike 26 punktidele 2 ja 3 hindab Ühendkuningriik selle tasakaalu saavutamisel seda, kas arvamuseks on „mõistlik alus“. Selleks et erand oleks põhjendatud, peab vastutaval töötlejal olema mõistlik alus arvata, et i) avaldamine on avalikes huvides ja ii) isikuandmete kaitse üldmääruse asjakohase sätte kohaldamine ei oleks kooskõlas ajakirjanduslike, akadeemiliste, kunstiliste või kirjanduslike eesmärkidega. Nagu kinnitab kohtupraktika, (64) on arvamuse mõistliku aluse hindamisel nii subjektiivne kui ka objektiivne element: ei piisa sellest, kui vastutav töötleja tõendab, et tema enda arvamuse kohaselt ei oleks sätte järgimine eesmärkidega kooskõlas. Tema arvamusel peab olema mõistlik alus, see tähendab, et niimoodi võiks arvata mõistlik isik, kes teab asjaomaseid fakte. Seepärast peab vastutav töötleja täitma oma arvamuse kujundamisel hoolsuskohustust, et ta suudaks tõendada selle mõistlikku alust. Ühendkuningriigi ametiasutuste esitatud selgituste kohaselt tuleb „arvamuse mõistlikku alust“ hinnata iga erandi puhul eraldi (65). Kui tingimused on täidetud, loetakse erand Ühendkuningriigi õiguse alusel vajalikuks ja proportsionaalseks.

(70) Kooskõlas 2018. aasta andmekaitseseaduse paragrahviga 124 peab teabevolinik koostama andmekaitset ja ajakirjandust käsitleva tegevusjuhendi. Juhendi koostamine on pooleli. 1998. aasta andmekaitseseaduse alusel on välja antud seda küsimust käsitlevad suunised, milles on eelkõige rõhutatud, et erandile tuginemiseks ei piisa üksnes väitest, et sätte järgimine oleks ajakirjandusliku tegevuse seisukohast ebamugav, vaid esitada tuleb selge argument, mille kohaselt kõnealune säte takistab vastutustundlikku ajakirjandustegevust (66). Samuti on Ühendkuningriigi telekommunikatsioonivaldkonna reguleeriv asutus OFCOM ja BBC oma toimetamissuunistes avaldanud juhised avaliku huvi hindamise ning avaliku huvi ja üksikisiku eraelu puutumatusega seotud huvi tasakaalustamise kohta (67). Eelkõige on suunistes esitatud näiteid teabest, mida võib seoses avaliku huviga arvesse võtta, ja selgitatud vajadust tõendada, et juhtumi konkreetsetel asjaoludel kaalub avalik huvi üles eraelu puutumatuse õiguse.

(71) Sarnaselt isikuandmete kaitse üldmääruse artiklis 89 sätestatule võib avalikes huvides toimuva arhiveerimise eesmärgil ning teadus- ja ajaloouuringute või statistilisel eesmärgil toimuva isikuandmete töötlemise suhtes teha erandi ka mitmest Ühendkuningriigi isikuandmete kaitse üldmääruses loetletud sättest (68). Uuringute ja statistika puhul on võimalik teha erand Ühendkuningriigi isikuandmete kaitse üldmääruse sätetest, mis on seotud andmete töötlemise kinnitamisega, andmetele juurdepääsemisega ja kaitsemeetmetega kolmandatesse riikidesse edastamisel, õigusega andmete parandamisele, töötlemise piiramisega ja töötlemisele vastuväite esitamisega. Seoses avalikes huvides toimuva arhiveerimisega on võimalikud ka erandid kohustusest teatada isikuandmete parandamisest või kustutamisest või töötlemise piiramisest ning erandid andmete ülekandmise õigusest.

(72) 2018. aasta andmekaitseseaduse 2. lisa lõike 27 punkti 1 ja lõike 28 punkti 1 kohaselt on erandid Ühendkuningriigi isikuandmete kaitse üldmääruses loetletud sätetest võimalikud juhul, kui sätte kohaldamine „takistaks või tõsiselt kahjustaks“ asjaomase eesmärgi saavutamist (69).

(73) Arvestades seda, kuidas need erandid mõjutavad konkreetsete õiguste tulemuslikku teostamist, võetakse kõiki nimetatud erandite tõlgendamise ja praktikas kohaldamisega seotud olulisi arengusuundi (lisaks sisserände tulemusliku kontrolli säilitamise erandile, nagu on selgitatud põhjenduses 6), kaasa arvatud arenguid kohtupraktikas ning teabevoliniku suunistes ja täitemeetmetes, nõuetekohaselt arvesse käesoleva otsuse üle pideva järelevalve teostamisel (70).

2.5.7. Andmete edasisaatmise piirangud

(74) Euroopa Liidust Ühendkuningriigis asuvatele vastutavatele töötlejatele või volitatud töötlejatele edastatavatele isikuandmetele pakutava kaitse taset ei tohi kahjustada selliste andmete täiendav edasisaatmine kolmandasse riiki. Andmete edasisaatmine, mis tähendab Ühendkuningriigi vastutava töötleja või volitatud töötleja seisukohast rahvusvahelist edastamist Ühendkuningriigist, peaks olema lubatud üksnes juhul, kui väljaspool Ühendkuningriiki asuva järgmise saaja enda suhtes kehtivad eeskirjad, millega tagatakse sarnane kaitsetase, nagu on tagatud Ühendkuningriigi õiguskorraga. Sel põhjusel on Ühendkuningriigi isikuandmete kaitse üldmääruses ja 2018. aasta andmekaitseseaduses isikuandmete rahvusvahelise edastamise kohta sätestatud normide kohaldamine oluline tegur jätkuva kaitse tagamiseks käesoleva otsuse alusel isikuandmete Euroopa Liidust Ühendkuningriiki edastamise korral.

(75) Ühendkuningriigist isikuandmete rahvusvahelise edastamise kord on sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklites 44–49, mida täiendab 2018. aasta andmekaitseseadus, ning see vastab sisu poolest määruse (EL) 2016/679 V peatükis sätestatud normidele (71). Isikuandmeid võib edastada kolmandasse riiki või rahvusvahelisele organisatsioonile üksnes kaitse piisavuse määruse alusel (Ühendkuningriigi vaste määruse (EL) 2016/679 kohasele kaitse piisavuse otsusele) või kaitse piisavuse määruse puudumise korral juhul, kui vastutav töötleja või volitatud töötleja on kehtestanud asjakohased kaitsemeetmed kooskõlas Ühendkuningriigi isikuandmete kaitse üldmääruse artikliga 46. Kaitse piisavuse määruse või asjakohaste kaitsemeetmete puudumise korral võib andmeid edastada üksnes Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 49 sätestatud erandite alusel.

(76) Ministri antud kaitse piisavuse määruses võib sätestada, et kolmanda riigi (või kolmanda riigi teatava territooriumi või sektori), rahvusvahelise organisatsiooni või sellise riigi, territooriumi, sektori või organisatsiooni täpse kirjelduse (72) puhul on tagatud isikuandmete piisav kaitsetase. Kaitsetaseme piisavuse hindamisel peab minister võtma arvesse täpselt samu elemente kui need, mida peab hindama komisjon määruse (EL) 2016/679 artikli 45 lõike 2 punktide a–c alusel, tõlgendatuna koos määruse (EL) 2016/679 põhjendusega 104 ja jätkuvalt kohaldatava ELi kohtupraktikaga. See tähendab seda, et kolmanda riigi pakutava piisava kaitsetaseme hindamise asjakohane kriteerium on see, kas see kolmas riik tagab kaitsetaseme, mis „sisuliselt vastab“ Ühendkuningriigis tagatud kaitsetasemele.

(77) Mis puudutab menetlust, siis kaitse piisavuse määruste suhtes kohaldatakse 2018. aasta andmekaitseseaduse paragrahvis 182 sätestatud üldisi menetlusnõudeid. Nimetatud menetluse raames peab minister Ühendkuningriigi kaitse piisavuse määruse vastuvõtmise ettepaneku tegemisel konsulteerima teabevolinikuga (73). Pärast seda, kui minister on kaitse piisavuse määruse vastu võtnud, esitatakse see parlamendile ja kohaldatakse nn negatiivse resolutsiooni menetlust, mille kohaselt võivad parlamendi mõlemad kojad määrust kontrollida ja võtta 40 päeva jooksul vastu ettepaneku selle tühistamiseks (74).

(78) 2018. aasta andmekaitseseaduse paragrahvi 17B lõike 1 kohaselt tuleb kaitse piisavuse määrus vähemalt iga nelja aasta tagant läbi vaadata ning minister peab järjepidevalt jälgima kolmandate riikide ja rahvusvaheliste organisatsioonide arengusuundi, mis võivad mõjutada otsuseid kaitse piisavuse määrus teha või seda muuta või see kehtetuks tunnistama. Kui minister saab teada, et konkreetne riik või organisatsioon ei taga enam isikuandmete piisavat kaitsetaset, peab ta määrust vajalikus ulatuses muutma või selle kehtetuks tunnistama ning alustama asjaomase kolmanda riigi või organisatsiooniga konsultatsioone kaitsetaseme ebapiisavuse kõrvaldamiseks. Menetluse need aspektid kajastavad ka määruse (EL) 2016/679 vastavaid nõudeid.

(79) Kaitse piisavuse määruse puudumise korral võib andmeid rahvusvaheliselt edastada juhul, kui vastutav töötleja või volitatud töötleja on taganud asjakohased kaitsemeetmed kooskõlas Ühendkuningriigi isikuandmete kaitse üldmääruse artikliga 46. Sellised kaitsemeetmed on sarnased määruse (EL) 2016/679 artikli 46 kohaste meetmetega. Nende hulka kuuluvad õiguslikult siduvad ja täitmisele pööratavad dokumendid avaliku sektori asutuste või organite vahel, siduvad kontsernisisesed eeskirjad, (75) standardsed andmekaitseklauslid, heakskiidetud toimimisjuhendid, heakskiidetud sertifitseerimismehhanismid ning teabevoliniku loal vastutavate töötlejate (või volitatud töötlejate) vahelised lepingutingimused või avaliku sektori asutuste vahelised halduskokkulepped. Menetluslikust seisukohast on neid norme aga muudetud, et need toimiksid Ühendkuningriigi kontekstis, eelkõige võib kooskõlas 2018. aasta andmekaitseseadusega standardseid andmekaitseklausleid vastu võtta minister (paragrahv 17C) või teabevolinik (paragrahv 119A).

(80) Kaitse piisavuse otsuse või asjakohaste kaitsemeetmete puudumise korral võib andmeid edastada üksnes Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 49 sätestatud erandite alusel (76). Võrreldes määruse (EL) 2016/679 vastavate normidega ei ole Ühendkuningriigi isikuandmete kaitse üldmäärusega tehtud nendes erandites sisulisi muudatusi. Sarnaselt määrusele (EL) 2016/679 saab Ühendkuningriigi isikuandmete kaitse üldmääruse alusel tugineda teatavatele eranditele ainult siis, kui edastamine on juhtumipõhine (77). Peale selle on teabevolinik oma suunistes rahvusvahelise edastamise kohta täpsustanud järgmist: „Neid tuleb kasutada üksnes tõeliste eranditena üldreeglist, mille kohaselt võib piiratud edastamine toimuda ainult siis, kui see on hõlmatud kaitse piisavuse otsusega või kui on kehtestatud asjakohased kaitsemeetmed“ (78). Mis puudutab andmete sellist edastamist, mis on vajalik avalikust huvist tulenevatel kaalukatel põhjustel (artikli 49 lõike 1 punkt d), siis minister võib anda määruse, milles on täpsustatud, millistel asjaoludel ei ole isikuandmete edastamine kolmandale riigile või rahvusvahelisele organisatsioonile vajalik avalikust huvist tulenevatel kaalukatel põhjustel. Peale selle võib minister määrusega piirata teatava isikuandmete liigi kolmandale riigile või rahvusvahelisele organisatsioonile edastamist juhul, kui andmeid ei saa edastada kaitse piisavuse määruse alusel ning minister leiab, et piirang on vajalik avalikust huvist tulenevatel kaalukatel põhjustel. Selliseid määrusi ei ole seni vastu võetud.

(81) Andmete rahvusvahelise edastamise raamistikku hakati kohaldama üleminekuperioodi lõpus (79). 2018. aasta andmekaitseseaduse 21. lisa lõikes 4 (mis kehtestati andmekaitse, eraelu puutumatuse ja elektroonilise side määrusega) on sätestatud, et alates üleminekuperioodi lõpust käsitletakse teatavat isikuandmete edastamist nii, nagu põhineks see kaitse piisavuse määrusel. See kehtib andmete edastamisel EMP riikidesse, Gibraltari territooriumile, liidu institutsioonile, organile, ametile või asutusele, mis on loodud ELi asutamislepinguga või selle alusel, ning kolmandatesse riikidesse, mille kohta on üleminekuperioodi lõpus olemas ELi otsus kaitse piisavuse kohta. Sellest tulenevalt võib andmete edastamine nendesse riikidesse jätkuda samamoodi kui enne Ühendkuningriigi EList väljaastumist. Pärast üleminekuperioodi lõppu peab minister need kaitse piisavuse kohta tehtud järeldused nelja aasta jooksul, st 2024. aasta detsembri lõpuks läbi vaatama. Ühendkuningriigi ametiasutuste esitatud selgituse kohaselt peab minister järeldused 2024. aasta detsembri lõpuks küll läbi vaatama, kuid üleminekusätted ei hõlma nn aegumissätet ning asjaomased üleminekusätted ei kaota automaatselt kehtivust, kui läbivaatamine ei ole 2024. aasta detsembri lõpuks lõpule viidud.

(82) Lõpetuseks, mis puudutab Ühendkuningriigi rahvusvahelise andmeedastuskorra muutumist tulevikus, kui võetakse vastu uusi kaitse piisavuse määrusi, sõlmitakse rahvusvahelisi lepinguid või töötatakse välja muid edastamismehhanisme, siis komisjon jälgib olukorda tähelepanelikult, hindab, kas erinevaid edastamismehhanisme kasutatakse nii, et see tagab kaitse jätkumise, ning võtab vajaduse korral asjakohaseid meetmeid, millega reageerida võimalikele kaitse jätkumist ohustavatele mõjudele (vt põhjendused 278–287). Kuna ELi ja Ühendkuningriigi andmete rahvusvahelise edastamise reeglid on sarnased, võib eeldada, et probleemseid erinevusi saab ära hoida ka koostöö, teabe vahetamise ja kogemuste jagamise abil, muu hulgas teabevoliniku ja Euroopa Andmekaitsenõukogu vahel.

2.5.8. Vastutus

(83) Vastutuse põhimõtte kohaselt peavad andmeid töötlevad üksused kehtestama asjakohased tehnilised ja korralduslikud meetmed, et täita tõhusalt oma andmekaitsekohustusi ja suuta nende täitmist tõendada, eelkõige pädevale järelevalveasutusele.

(84) Määruses (EL) 2016/679 sätestatud vastutuse põhimõte on Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 5 lõikes 2 ilma sisuliste muudatusteta säilitatud ning sama kehtib artikli 24 („Vastutava töötleja vastutus“), artikli 25 („Lõimitud andmekaitse ja vaikimisi andmekaitse“) ja artikli 30 („Isikuandmete töötlemise toimingute registreerimine“) puhul. Samuti kohaldatakse jätkuvalt artiklit 35 („Andmekaitsealane mõjuhinnang“) ja artiklit 36 („Eelnev konsulteerimine“). Määruse (EL) 2016/679 artiklid 37–39, mis käsitlevad andmekaitseametniku määramist ja tema ülesandeid, on Ühendkuningriigi isikuandmete kaitse üldmääruses ilma sisuliste muudatusteta jätkuvalt kohaldatavad. Lisaks on Ühendkuningriigi isikuandmete kaitse üldmääruses jätkuvalt kohaldatavad määruse (EL) 2016/679 artiklite 40 („Toimimisjuhendid“) ja 42 („Sertifitseerimine“) sätted (80).

2.6. Järelevalve ja õigusnormide täitmise tagamine

2.6.1. Sõltumatu järelevalve

(85) Et tagada andmekaitse piisav tase ka praktikas, peaks olema loodud sõltumatu järelevalveasutus, millele on antud volitused jälgida andmekaitsenormide järgimist ja tagada nende täitmine. See asutus peaks tegutsema oma ülesandeid täites ja volitusi kasutades täiesti sõltumatult ja erapooletult.

(86) Ühendkuningriigis teeb Ühendkuningriigi isikuandmete kaitse määruse ja 2018. aasta andmekaitseseaduse üle järelevalvet ning tagab nende täitmise teabevolinik. Teabevolinik on n-ö ühest isikust koosnev ühing – eraldi juriidiline isik, mille moodustab üks inimene. Teabevoliniku tööd toetab tema büroo. 31. märtsi 2020. aasta seisuga oli teabevoliniku büroos 768 alalist töötajat (81). Teabevolinik kuulub digitaal-, kultuuri-, meedia- ja spordivaldkonna ministeeriumi haldusalasse (82).

(87) Voliniku sõltumatus on sõnaselgelt sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 52, millega ei tehta olulisi muudatusi isikuandmete kaitse üldmääruse artikli 52 lõigetesse 1–3. Volinik peab talle Ühendkuningriigi isikuandmete kaitse üldmäärusega antud ülesannete täitmisel ja volituste kasutamisel tegutsema täiesti sõltumatult ning olema seoses nende ülesannete ja volitustega vaba nii otsestest kui ka kaudsetest välistest mõjutustest ega tohi mitte kelleltki juhiseid küsida või vastu võtta. Samuti peab volinik hoiduma oma kohustustega kokkusobimatust tegevusest ega tohi oma ametiaja jooksul töötada ühelgi muul sobimatul tasustatud või tasustamata ametikohal.

(88) Teabevoliniku ametisse määramise ja ametist tagandamise tingimused on sätestatud 2018. aasta andmekaitseseaduse 12. lisas. Teabevoliniku nimetab õiglase ja avatud konkursi tulemusel ametisse Tema Majesteet valitsuse soovituse põhjal. Kandidaadil peavad olema sobilikud kvalifikatsioonid, oskused ja pädevused. Kooskõlas ametnike ametisse nimetamise halduseeskirjadega (83) koostab nõustav hindamiskogu loetelu kandidaatidest, kelle saaks ametisse nimetada. Enne, kui digitaal-, kultuuri-, meedia- ja spordivaldkonna minister oma lõpliku otsuse teeb, peab parlamendi asjaomane erikomisjon viima läbi ametisse nimetamise eelse kontrolli. Komisjoni seisukoht avalikustatakse (84).

(89) Teabevoliniku ametiaeg kestab kuni seitse aastat. Isiku saab nimetada teabevoliniku ametikohale ainult ühel korral. Tema Majesteet võib teabevoliniku parlamendi mõlema koja pöördumise (85) alusel ametist tagandada. Parlamendi kummalegi kojale ei saa esitada teabevoliniku ametist tagandamise taotlust, ilma et minister oleks esitanud aruande, milles ta kinnitab oma veendumust, et teabevolinik on pannud toime tõsise üleastumise ja/või et volinik ei vasta enam tema ülesannete täitmiseks nõutavatele tingimustele (86).

(90) Teabevolinikku rahastatakse kolmest allikast: i) vastutavate töötlejate makstavad andmekaitsetasud, mis määratakse kindlaks ministri määrusega (87) (2018. aasta andmekaitsemäärus (tasud ja teave) (Data Protection (Charges and Information) Regulations 2018)) ja moodustavad 85–90 % büroo aastaeelarvest (88); ii) valitsuse toetus teabevolinikule; toetust kasutatakse peamiselt teabevoliniku nende tegevuskulude rahastamiseks, mis ei ole seotud andmekaitsealaste ülesannetega, (89) ja iii) teenustasud (90). Seni ei ole selliseid tasusid nõutud.

(91) Teabevoliniku üldised ülesanded seoses nende isikuandmete töötlemisega, mille suhtes Ühendkuningriigi isikuandmete kaitse üldmäärust kohaldatakse, on sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 57, mis järgivad üsna täpselt määruse (EL) 2016/679 vastavaid norme. Tema ülesanded hõlmavad Ühendkuningriigi isikuandmete kaitse üldmääruse kohaldamise jälgimist ja täitmise tagamist, üldsuse teadlikkuse suurendamist, andmesubjektide esitatud kaebuste käsitlemist, uurimiste läbiviimist jms. Lisaks on 2018. aasta andmekaitseseaduse paragrahvis 115 sätestatud voliniku muud üldised ülesanded, mille hulka kuuluvad kohustus nõustada parlamenti, valitsust ning muid institutsioone ja asutusi seoses seadusandlike ja haldusmeetmetega, mis käsitlevad üksikisikute isikuandmete töötlemisega seotud õigusi ja vabadusi, ning õigus esitada parlamendile, valitsusele või muudele institutsioonidele ja asutustele, samuti avalikkusele voliniku enda algatusel või taotluse põhjal arvamusi kõikides isikuandmete kaitsega seotud küsimustes. Kohtusüsteemi sõltumatuse säilitamise eesmärgil ei ole teabevolinikul õigust täita oma ülesandeid seoses isikuandmete töötlemisega õigust mõistvat funktsiooni täitva isiku või õigust mõistvat funktsiooni täitva kohtu poolt. Järelevalve kohtute üle tagavad aga spetsialiseerunud asutused (vt põhjendused 99–103).

2.6.2. Õigusnormide täitmise tagamine, sealhulgas karistused

(92) Teabevoliniku volitused on sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 58, millega ei tehta sisulisi muudatusi määruse (EL) 2016/679 vastavas artiklis. 2018. aasta andmekaitseseadusega on kehtestatud täiendavad normid nende volituste teostamise kohta. Eelkõige on teabevolinikul järgmised volitused: a) nõuda vastutavalt töötlejalt ja volitatud töötlejalt (ning teatavatel asjaoludel teistelt isikutelt) vajaliku teabe andmist, esitades teabenõude (edaspidi „teabenõue“); (91) b) viia läbi uurimisi ja auditeid, esitades hindamisteate, millega võidakse nõuda volitatud töötlejalt või vastutavalt töötlejalt, et nad lubaksid volinikul siseneda märgitud ruumidesse, kontrollida või uurida dokumente või seadmeid, vestelda vastutava töötleja nimel isikuandmeid töötlevate isikutega jne (edaspidi „hindamisteade“); (92) c) saada kooskõlas 2018. aasta andmekaitseseaduse paragrahviga 154 muul viisil juurdepääs vastutavate töötlejate ja volitatud töötlejate dokumentidele jne ning pääseda nende ruumidesse (edaspidi „volitus siseneda ja kontrollida“); d) teostada parandusvolitusi, muu hulgas hoiatusi ja noomitusi tehes, või anda korraldusi täitmisteate näol, millega nõutakse vastutavatelt töötlejatelt / volitatud töötlejatelt teatavate meetmete võtmist või võtmata jätmist, sealhulgas anda vastutavale töötlejale / volitatud töötlejale korraldus võtta Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 58 lõike 2 punktides c–g ja j täpsustatud meetmeid (edaspidi „täitmisteade“); (93) ja e) määrata haldustrahve karistuse määramise teate näol (edaspidi „trahviteade“) (94). Trahviteateid saab välja anda ka juhul, kui avaliku sektori asutus ei järgi Ühendkuningriigi isikuandmete kaitse üldmääruse sätteid (95).

(93) Teabevoliniku büroo regulatiivse tegevuse poliitikas (Regulatory Action Policy) on sätestatud asjaolud, mille korral büroo esitab teabenõude või hindamis-, täitmis- või trahviteate (96). Vastutava töötleja või volitatud töötleja tegevuses esinevate puuduste tulemusel esitatud täitmisteatega võib määrata üksnes selliseid nõudeid, mida volinik peab vajalikuks puuduse kõrvaldamiseks. Vastutavale töötlejale või volitatud töötlejale võib esitada täitmisteateid ja trahviteateid seoses Ühendkuningriigi isikuandmete kaitse üldmääruse II peatüki (töötlemise põhimõtted), artiklite 12–22 (andmesubjekti õigused), artiklite 25–39 (vastutavate töötlejate ja volitatud töötlejate kohustused) ning artiklite 44–49 (rahvusvaheline edastamine) rikkumisega. Täitmisteate võib esitada ka siis, kui vastutav töötleja ei ole täitnud nõuet maksta 2018. aasta andmekaitseseaduse paragrahvi 137 alusel antud määruse kohast tasu. Peale selle võib esitada täitmisteate artikli 41 kohasele järelevalveasutusele või sertifikaatide väljastajale, kui nad ei täida oma kohustusi Ühendkuningriigi isikuandmete kaitse üldmääruse alusel. Trahviteate võib esitada ka isikule, kes ei ole järginud teabenõuet, hindamisteadet või täitmisteadet.

(94) Trahviteate saamisel peab isik tasuma teabevolinikule teates märgitud summa. Kui teabevolinik otsustab, kas esitada isikule trahviteade ja kui suur peaks olema trahvisumma, peab ta võtma arvesse Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 83 lõigetes 1 ja 2 loetletud tingimusi, mis on identsed määruse (EL) 2016/679 vastavate normidega (97). Artikli 83 lõigete 4 ja 5 alusel on nendes sätetes nimetatud kohustuste täitmata jätmise korral määratavate haldustrahvide maksimaalsed summad vastavalt 8 700 000 naelsterlingit või 17 500 000 naelsterlingit. Ettevõtja puhul võib teabevolinik määrata trahve ka protsendimäärana ülemaailmsest aastakäibest, kui see summa on suurem. Sarnaselt määruse (EL) 2016/679 samaväärsetele sätetele on artikli 83 lõigetes 4 ja 5 kehtestatud nendeks summadeks vastavalt 2 % ja 4 %. Teabenõude, hindamisteate või täitmisteate järgimata jätmise korral võib trahviteatega määrata trahvi, mille summa on maksimaalselt 17 500 000 naelsterlingit või ettevõtja puhul 4 % ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem.

(95) Samuti on Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseadusega tugevdatud teabevoliniku muid volitusi. Näiteks võib volinik nüüd viia hindamisteadete kaudu läbi kõikide vastutavate töötlejate ja volitatud töötlejate kohustuslikke auditeid, samas kui varasema õigusakti – 1998. aasta andmekaitseseaduse – alusel olid volinikul volitused üksnes seoses keskvalitsuse ja tervishoiuorganisatsioonidega ning ülejäänud töötlejad pidid auditiga nõustuma.

(96) Alates määruse (EL) 2016/679 kehtestamisest menetleb teabevolinik aastas ligikaudu 40 000 andmesubjektidelt laekunud kaebust (98) ja viib lisaks sellele läbi ligikaudu 2 000 uurimist ametiülesande korras (99). Enamik kaebusi on seotud andmetega tutvumise õigusega ja õigusega andmete avalikustamisele. Pärast uurimise läbiviimist võtab volinik täitmise tagamise meetmeid mitmesugustes valdkondades. Täpsemalt esitas teabevolinik oma viimase aastaaruande (2019–2020) (100) kohaselt aruandlusperioodil 54 teabenõuet, 8 hindamisteadet, 7 täitmisteadet, 4 hoiatust ja 8 süüdistust ning määras 15 trahvi (101).

(97) Nende hulka kuuluvad mitu olulist rahalist karistust, mis määrati määruse (EL) 2016/679 ja 2018. aasta andmekaitseseaduse alusel. Näiteks määras teabevolinik 2020. aasta oktoobris Briti lennuettevõtjale 20 miljoni naelsterlingi suuruse trahvi andmetega seotud rikkumise eest, mis mõjutas rohkem kui 400 000 klienti. 2020. aasta oktoobri lõpus määrati rahvusvahelisele hotelliketile 18,4 miljoni naelsterlingi suurune trahv, kuna ta ei taganud miljonite klientide isikuandmete turvalisust, ning 2020. aasta novembris määrati 1,25 miljoni naelsterlingi suurune trahv ürituste pileteid müüvale Briti teenuseosutajale klientide makseandmete kaitsmata jätmise eest (102).

(98) Lisaks teabevoliniku õigusnormide täitmise tagamise volitustele, mida on kirjeldatud põhjenduses 92, on teatavad andmekaitsealaste õigusaktide rikkumised süüteod ja seega võidakse nende korral kohaldada kriminaalkaristusi (vt 2018. aasta andmekaitseseaduse paragrahv 196). See kehtib näiteks juhul, kui teadlikult või hooletuse tõttu hangitakse või avalikustatakse isikuandmeid ilma vastutava töötleja nõusolekuta, korraldatakse isikuandmete avalikustamine teisele isikule ilma vastutava töötleja nõusolekuta, (103) muudetakse ilma vastutava töötleja nõusolekuta uuesti identifitseeritavaks teave, mille näol on tegu umbisikustatud isikuandmetega, (104) takistatakse tahtlikult voliniku õiguse teostamist seoses isikuandmete kontrollimisega kooskõlas rahvusvaheliste kohustustega, (105) esitatakse vastusena teabenõudele valeväiteid või hävitatakse teavet seoses teabenõuete või hindamisteadetega (106).

2.6.3. Järelevalve kohtute üle

(99) Järelevalve isikuandmete töötlemise üle kohtute poolt on kahesugune. Kui kohtunik või kohus ei täida õigust mõistvat funktsiooni, siis teeb järelevalvet teabevolinik. Kui vastutav töötleja täidab õigust mõistvat funktsiooni, ei saa teabevolinik oma järelevalveülesandeid täita (107) ja järelevalvet teevad spetsiaalsed asutused. See vastab lähenemisviisile, mida järgitakse määruses (EL) 2016/679 (artikli 55 lõige 3).

(100) Täpsemalt teeb teise stsenaariumi puhul Inglismaa ja Walesi kohtute ning Inglismaa ja Walesi esimese astme kohtute (First-tier Tribunals) ja kõrgemate kohtute (Upper Tribunals) puhul järelevalvet kohtute andmekaitsekomisjon (Judicial Data Protection Panel) (108). Peale selle on ülemkohtunik (Lord Chief Justice) ja kohtute kõrgeim president (Senior President of Tribunals) andnud välja eraelu puutumatust käsitleva teate, (109) milles on sätestatud isikuandmete töötlemine Inglismaa ja Walesi kohtutes õigust mõistva funktsiooni täitmisel. Sarnase teate on andnud välja Põhja-Iirimaa (110) ja Šotimaa (111) kohtud.

(101) Peale selle on Põhja-Iirimaa ülemkohtunik nimetanud Põhja-Iirimaal kõrge kohtu kohtuniku andmekaitse üle järelevalvet tegevaks kohtunikuks (Data Supervisory Judge) (112). Samuti on Põhja-Iirimaa kohtunikele antud suuniseid selle kohta, mida andmete kaotsimineku või võimaliku kaotsimineku korral teha, ja sellest tulenevate küsimuste lahendamise kohta (113).

(102) Šotimaal on lordpresident nimetanud andmekaitse üle järelevalvet tegeva kohtuniku, kes uurib kõiki andmekaitsega seotud põhjustel esitatud kaebusi. See on sätestatud kohtunike vastu esitatud kaebusi käsitlevates normides, mis vastavad Inglismaal ja Walesis kehtivatele normidele (114).

(103) Samuti on kõrgeimas kohtus määratud üks kõrgeima kohtu kohtunik andmekaitse üle järelevalvet tegema.

2.6.4. Õiguskaitse

(104) Piisava kaitse tagamiseks ja eelkõige üksikisiku õiguste maksmapanekuks tuleks andmesubjektile tagada tõhus haldus- ja õiguskaitse, sealhulgas kahju hüvitamine.

(105) Esiteks on andmesubjektil õigus esitada teabevolinikule kaebus, kui ta leiab, et seoses teda puudutavate isikuandmetega on rikutud Ühendkuningriigi isikuandmete kaitse üldmäärust (115). Ühendkuningriigi isikuandmete kaitse üldmääruses on ilma sisuliste muudatusteta säilitatud määruse (EL) 2016/679 artiklis 77 selle õiguse kohta sätestatud normid. Sama kehtib artikli 57 lõike 1 punkti f ja lõike 2 puhul, kus on sätestatud voliniku ülesanded seoses kaebuste käsitlemisega. Nagu on kirjeldatud põhjendustes 92–98, on teabevolinikul õigus hinnata, kas vastutav töötleja ja volitatud töötleja täidavad Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseaduse nõudeid, nõuda neilt nõuete mittetäitmise korral vajalike meetmete võtmist või meetmete võtmata jätmist ning määrata trahve.

(106) Teiseks on Ühendkuningriigi isikuandmete kaitse üldmääruse ja 2018. aasta andmekaitseseadusega ette nähtud õigus õiguskaitsevahendile teabevoliniku vastu. Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 78 lõike 1 kohaselt on isikul õigus kasutada tõhusat õiguskaitsevahendit voliniku õiguslikult siduva otsuse vastu, mis teda puudutab. Kohtuliku kontrolli raames vaatab kohtunik vaidlustatud otsuse läbi ja kaalub, kas teabevolinik tegutses seaduspäraselt. Peale selle saab kaebuse esitaja juhul, kui volinik andmesubjekti esitatud kaebust nõuetekohaselt ei käsitle, (116) Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 78 lõike 2 kohaselt kasutada õiguskaitsevahendit. Ta võib pöörduda esimese astme kohtusse (First Tier Tribunal), kes võib nõuda volinikult kaebusele vastamiseks nõuetekohaste meetmete võtmist või kaebuse esitaja teavitamist kaebuse menetlemise edenemisest (117). Peale selle võib iga isik, kellele volinik esitab mõne eespool nimetatud teate (teabenõue, hindamisteade, täitmisteade või trahviteade), kaevata teate peale esimese astme kohtusse (118). Kui kohus leiab, et voliniku otsus ei ole õigusaktidega kooskõlas või et volinik oleks pidanud oma kaalutlusõigust teistmoodi teostama, peab kohus kaebuse rahuldama või asendama teate või otsuse sellise teate või otsusega, mille teabevolinik oleks võinud esitada või teha.

(107) Kolmandaks saavad isikud Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 79 ja 2018. aasta andmekaitseseaduse paragrahvi 167 alusel kasutada kohtus õiguskaitsevahendit otse vastutavate töötlejate ja volitatud töötlejate vastu. Kui kohus nõustub andmesubjekti avalduse põhjal, et andmesubjekti andmekaitsealastest õigusaktidest tulenevaid õigusi on rikutud, võib kohus nõuda, et töötlemise eest vastutav töötleja või tema nimel tegutsev volitatud töötleja võtaks või jätaks võtmata kohtumääruses märgitud meetmed.

(108) Peale selle on igal isikul, kes on kandnud Ühendkuningriigi isikuandmete kaitse üldmääruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 82 ja 2018. aasta andmekaitseseaduse paragrahvi 168 kohaselt õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 82 lõigetes 1–5 sätestatud normid hüvitise ja vastutuse kohta on identsed määruse (EL) 2016/679 vastavate normidega. 2018. aasta andmekaitseseaduse paragrahvi 168 alusel hõlmab mittemateriaalne kahju ka kannatusi. Samuti on andmesubjektil Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 80 alusel õigus volitada esindavat organit või organisatsiooni esitama tema nimel volinikule kaebuse (Ühendkuningriigi isikuandmete kaitse üldmääruse artikli 77 alusel) ja kasutama tema nimel õigusi, mida on nimetatud Ühendkuningriigi isikuandmete kaitse üldmääruse artiklis 78 („Õigus tõhusale õiguskaitsevahendile voliniku vastu“), artiklis 79 („Õigus tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu“) ja artiklis 82 („Õigus hüvitisele ja vastutusele“).

(109) Neljandaks võib iga isik, kes leiab, et avaliku sektori asutused on rikkunud tema õigusi, sealhulgas õigust eraelu puutumatusele ja andmekaitsele, lisaks nendele õiguskaitsevahendi kasutamise võimalustele taotleda Ühendkuningriigis õiguskaitset ka 1998. aasta inimõiguste seaduse alusel (119). Isik, kes väidab, et avaliku sektori asutus käitus (või kavatseb käituda) viisil, mis ei ole kooskõlas konventsioonist tuleneva õigusega ja on seetõttu 1998. aasta inimõiguste seaduse paragrahvi 6 lõike 1 alusel ebaseaduslik, võib algatada selle asutuse vastu asjakohases kohtus menetluse või tugineda asjaomastele õigustele mis tahes kohtumenetluses, kui ta on (või oleks) ebaseadusliku tegevuse ohver.

(110) Kui kohus leiab, et avaliku sektori asutuse tegevus on ebaseaduslik, võib ta määrata oma volituste piires sellise õiguskaitsevahendi või hüvitise või teha sellise korralduse, mida ta peab õiglaseks ja asjakohaseks (120). Samuti võib kohus sedastada, et esmase õigusakti säte on vastuolus konventsioonist tuleneva õigusega.

(111) Lisaks võib isik pärast siseriiklike õiguskaitsevahendite ammendumist taotleda Euroopa inimõiguste konventsiooni alusel tagatud õiguste rikkumise korral õiguskaitset Euroopa Inimõiguste Kohtus.

3. JUURDEPÄÄS EUROOPA LIIDUST EDASTATUD ISIKUANDMETELE JA NENDE KASUTAMINE ÜHENDKUNINGRIIGIS ASUVATE AVALIKU SEKTORI ASUTUSTE POOLT

(112) Komisjon hindas ka Ühendkuningriigi õigusraamistikku, mis reguleerib Ühendkuningriigis asuvatele ettevõtjatele edastatud isikuandmete kogumist ja järgnevat kasutamist Ühendkuningriigi avaliku sektori asutuste poolt avaliku huvi eesmärkidel, eelkõige kriminaalõiguskaitse ja riigi julgeoleku eesmärkidel (edaspidi „valitsuse juurdepääs“). Selle hindamisel, kas tingimused, mille alusel valitsusel on juurdepääs käesoleva otsuse alusel Ühendkuningriiki edastatud andmetele, täidavad määruse (EL) 2016/679 artikli 45 lõikega 1 ette nähtud nn sisulise vastavuse nõude, mida Euroopa Liidu Kohus on tõlgendanud Euroopa Liidu põhiõiguste harta alusel, võttis komisjon arvesse eelkõige järgmisi kriteeriume.

(113) Esiteks peab isikuandmete kaitse õiguse piirang olema ette nähtud õigusaktidega ning õiguslikus aluses, mis võimaldab sellisesse õigusesse sekkuda, peab olema määratletud, kui ulatuslikult tohib asjaomase õiguse teostamist piirata (121).

(114) Teiseks peab proportsionaalsuse nõude täitmiseks, mille kohaselt tohib isikuandmete kaitse suhtes kohaldada erandeid ja piiranguid üksnes sel määral, mil see on demokraatlikus ühiskonnas rangelt vajalik liidus tunnustatutega samaväärsete konkreetsete üldist huvi pakkuvate eesmärkide täitmiseks, olema asjaomase kolmanda riigi õigusaktides, millega sekkumist lubatakse, sätestatud selged ja täpsed normid, millega reguleeritakse kõnealuste meetmete kohaldamisala ja kohaldamist ning kehtestatakse minimaalsed kaitsemeetmed, et isikutel, kelle andmeid on edastatud, oleksid piisavad tagatised oma isikuandmete tõhusaks kaitseks kuritarvitamise ohu eest (122). Eelkõige tuleb sellistes õigusaktides osutada, millistel asjaoludel ja tingimustel võib vastu võtta meetme, millega selliste andmete töötlemine ette nähakse, (123) ning kehtestada selliste nõuete täitmise kontrollimiseks sõltumatu järelevalve (124).

(115) Kolmandaks peavad sellised õigusaktid olema siseriikliku õiguse alusel õiguslikult siduvad ning need õigusnõuded ei pea olema mitte üksnes ametiasutuste suhtes siduvad, vaid ka asjaomase kolmanda riigi ametiasutuste vastu kohtus kaitstavad (125). Eelkõige peab andmesubjektil olema võimalus kasutada õiguskaitsevahendeid sõltumatus ja erapooletus kohtus, et tutvuda teda puudutavate isikuandmetega või lasta neisse parandusi teha või neid kustutada (126).

3.1. Üldine õigusraamistik

(116) Kuna tegemist on avaliku sektori volituste kasutamisega, peab valitsuse juurdepääs Ühendkuningriigis toimuma täielikult õiguspäraselt. Ühendkuningriik on ratifitseerinud Euroopa inimõiguste konventsiooni (vt põhjendus 9) ja kõik avaliku sektori asutused Ühendkuningriigis peavad tegutsema kooskõlas konventsiooniga (127). Konventsiooni artikliga 8 on ette nähtud, et mis tahes sekkumine eraelu puutumatusse peab olema kooskõlas seadusega, mõne artikli 8 lõikes 2 sätestatud eesmärgi huvides ja selle eesmärgiga proportsionaalne. Samuti on artikliga 8 nõutud, et sekkumine peab olema ettenähtav, see tähendab, et sellel peab olema õigusaktides selge ja juurdepääsetav alus ning need õigusaktid peavad sisaldama asjakohaseid kaitsemeetmeid kuritarvitamise vältimiseks.

(117) Peale selle on Euroopa Inimõiguste Kohus oma kohtupraktikas täpsustanud, et eraelu puutumatuse ja andmekaitse õigusesse sekkumise suhtes peab kehtima tõhus, sõltumatu ja erapooletu järelevalvesüsteem, mille on ette näinud kohtunik või mõni muu sõltumatu organ (128) (nt haldusasutus või parlamendiorgan).

(118) Lisaks tuleb üksikisikutele pakkuda tõhusat õiguskaitsevahendit ning Euroopa Inimõiguste Kohus on selgitanud, et sellist õiguskaitsevahendit peab pakkuma sõltumatu ja erapooletu organ, mis on vastu võtnud oma kodukorra ja koosneb liikmetest, kes töötavad või on töötanud kõrges kohtunikuametis või on kogenud juristid, ning sellele organile taotluse esitamise tingimuseks ei tohi olla tõendamiskohustuse täitmine. Üksikisikute kaebuste läbivaatamisel peab sõltumatul ja erapooletul organil olema juurdepääs kogu asjakohasele teabele, sealhulgas suletud toimikutele. Samuti peavad tal olema volitused nõuete täitmata jätmine heastada (129).

(119) Ühendkuningriik on ratifitseerinud ka Euroopa Nõukogu isikuandmete automatiseeritud töötlemisel isiku kaitse konventsiooni (konventsioon nr 108) ja allkirjastas 2018. aastal protokolli, millega muudetakse isikuandmete automatiseeritud töötlemisel isiku kaitse konventsiooni (mida tuntakse ka konventsioonina nr 108+) (130). Konventsiooni nr 108 artiklis 9 on sätestatud, et erandid andmekaitsepõhimõtetest (artikkel 5 „Andmekvaliteet“), andmete eriliike reguleerivatest normidest (artikkel 6 „Andmete eriliigid“) ja andmesubjekti õigustest (artikkel 8 „Lisatagatised andmesubjektile“) on lubatud üksnes juhul, kui selline erand on ette nähtud osalisriigi õigusega ning osutub demokraatlikus ühiskonnas vajalikuks, et kaitsta riigi julgeolekut, avalikku korda, riigi rahalisi huve või võidelda kuritegevuse vastu või kaitsta andmesubjekti või muu isiku õigusi ja vabadusi (131).

(120) Kuna Ühendkuningriik on Euroopa Nõukogu liige, kehtib tema suhtes Euroopa inimõiguste konventsiooni järgimise ja Euroopa Inimõiguste Kohtu pädevusse kuulumise tagajärjel seega mitu rahvusvahelises õiguses sätestatud kohustust, mis loovad raamistiku valitsuse juurdepääsu süsteemile, lähtudes sarnastest põhimõtetest, kaitsemeetmetest ja üksikisiku õigustest kui need, mis on tagatud ELi õiguse alusel ja kohaldatavad liikmesriikides. Nagu on rõhutatud põhjenduses 19, on selliste õigusaktide jätkuv järgimine seega käesoleva otsuse aluseks oleva hindamise eriti oluline element.

(121) Lisaks on 2018. aasta andmekaitseseadusega tagatud konkreetsed andmekaitsega seotud kaitsemeetmed ja õigused juhul, kui andmeid töötlevad avaliku sektori asutused, sealhulgas õiguskaitseasutused ja riiklikud julgeolekuasutused.

(122) Isikuandmete töötlemise kord kriminaalõiguskaitse kontekstis on sätestatud eeskätt 2018. aasta andmekaitseseaduse 3. osas, mis kehtestati direktiivi (EL) 2016/680 ülevõtmiseks. 2018. aasta andmekaitseseaduse 3. osa kohaldatakse isikuandmete töötlemise suhtes pädevate asutuste poolt süütegude ennetamiseks, uurimiseks, avastamiseks või nende eest vastutusele võtmiseks või kriminaalkaristuste täitmisele pööramiseks, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmiseks ja nende ennetamiseks (132).

(123) Pädev asutus on määratletud andmekaitseseaduse paragrahvis 30 kui 2018. aasta andmekaitseseaduse 7. lisas loetletud isik ja muu isik, kellel on seadusjärgsed ülesanded õiguskaitse tagamise eesmärgil (133). Nagu on järgnevalt selgitatud (vt põhjendus 139), võivad teatavad pädevad asutused (näiteks riiklik kuritegevusevastase võitluse amet) teatavatel tingimustel kasutada 2016. aasta uurimisvolituste seaduses sätestatud volitusi. Sellisel juhul kohaldatakse lisaks 2018. aasta andmekaitse seaduse 3. osas sätestatud kaitsemeetmetele ka 2016. aasta uurimisvolituste seaduses sätestatud kaitsemeetmeid. Luureteenistused (salaluureteenistus, julgeolekuteenistus ja valitsusside peakorter) ei ole 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse kuuluvad pädevad asutused (134) ja seetõttu ei kohaldata nende tegevuse suhtes 2018. aasta andmekaitseseaduse 3. osas sätestatud norme. 2018. aasta andmekaitseseaduse 4. osa reguleerib isikuandmete töötlemist luureteenistuste poolt (vt põhjendus 125).

(124) Sarnaselt direktiivile (EL) 2016/680 on 2018. aasta andmekaitseseaduse 3. osas sätestatud seaduslikkuse ja õigluse, (135) eesmärgi piirangu, (136) võimalikult väheste andmete kogumise, (137) õigsuse, (138) säilitamise piirangu (139) ja turvalisuse (140) põhimõtted. Kehtestatud on konkreetsed läbipaistvuskohustused (141) ning üksikisikutele antud õigus andmetega tutvuda, (142) neid parandada ja kustutada (143) ja õigus, et nende kohta ei võeta vastu automatiseeritud otsust (144). Samuti peavad pädevad asutused rakendama lõimitud andmekaitset ja vaikimisi andmekaitset, töötlemistoimingud dokumenteerima ning hindama teatavate töötlemistoimingute puhul andmekaitsealast mõju ja eelnevalt teabevolinikuga konsulteerima (145). 2018. aasta andmekaitseseaduse paragrahvi 56 kohaselt peavad nad tõendama, et täidavad nimetatud seaduse nõudeid. Lisaks peavad nad kehtestama asjakohased meetmed, et tagada isikuandmete töötlemise turvalisus, (146) ning nende suhtes kehtivad konkreetsed kohustused andmetega seotud rikkumiste korral, mille hulka kuulub kohustus teavitada rikkumisest teabevolinikku ja andmesubjekti (147). Nagu ka direktiivi (EL) 2016/680 puhul, peab vastutav töötleja (välja arvatud juhul, kui tegemist on kohtu või muu õigust mõistvat funktsiooni täitva õigusasutusega) määrama andmekaitseametniku, (148) kes abistab vastutavat töötlejat nii tema kohustuste täitmisel kui ka nende täitmise üle järelevalve tegemisel (149). Peale selle on 2018. aasta andmekaitseseadusega kehtestatud erinõuded õiguskaitse eesmärkidel isikuandmete rahvusvahelise edastamise kohta kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele, et tagada kaitse jätkumine (150). Käesoleva otsusega samal kuupäeval võttis komisjon direktiivi (EL) 2016/680 artikli 36 lõike 3 alusel vastu kaitse piisavuse otsuse, milles järeldati, et Ühendkuningriigis kriminaalõiguskaitseasutustele kohaldatava andmekaitse korraga on tagatud kaitsetase, mis sisuliselt vastab direktiiviga (EL) 2016/680 tagatud kaitsetasemele.

(125) 2018. aasta andmekaitseseaduse 4. osa kohaldatakse kogu andmete töötlemise suhtes, mida teevad luureteenistused või mida tehakse nende nimel. Eelkõige on selles sätestatud peamised andmekaitsepõhimõtted (seaduslikkus, õiglus ja läbipaistvus, (151) eesmärgi piirang, (152) võimalikult väheste andmete kogumine, (153) õigsus, (154) säilitamise piirang (155) ja turvalisus (156)), kehtestatud andmete eriliikide töötlemise tingimused (157) ja andmesubjektide õigused, (158) nõutud lõimitud andmekaitset (159) ja reguleeritud isikuandmete rahvusvaheline edastamine (160). Teabevolinik andis hiljuti välja põhjalikud suunised isikuandmete töötlemise kohta luureteenistuste poolt 2018. aasta andmekaitseseaduse 4. osa kohaselt (161).

(126) Samal ajal on 2018. aasta andmekaitseseaduse paragrahviga 110 nähtud ette erand 2018. aasta andmekaitseseaduse 4. osa sätetest, (162) kui selline erand on vajalik riigi julgeoleku kaitsmiseks. Sellele erandile tuginemiseks tuleb iga juhtumit eraldi analüüsida (163). Nagu Ühendkuningriigi ametiasutused selgitasid ja nagu kinnitab kohtupraktika, „tuleb vastutaval töötlejal kaaluda tegelikke tagajärgi riigi julgeolekule või riigikaitsele juhul, kui ta peab konkreetset andmekaitsesätet järgima, ning seda, kas ta saaks mõistlikult järgida tavapärast normi, ilma et see mõjutaks riigi julgeolekut või riigikaitset“ (164). Selle üle, kas erandit kasutati nõuetekohaselt, teeb järelevalvet teabevolinik (165).

(127) Mis puudutab võimalust piirata „riigi julgeoleku“ kaitsmise eesmärgil nimetatud sätete kohaldamist, siis võib vastutav töötleja 2018. aasta andmekaitseseaduse paragrahvi 111 järgi taotleda kabinetiministri või peaprokuröri (Attorney General) allkirjastatud sertifikaati, mis kinnitab, et selliste õiguste piiramine on riigi julgeoleku kaitsmiseks vajalik ja proportsionaalne meede (166).

(128) Ühendkuningriigi valitsus on andnud välja suunised, et aidata vastutavaid töötlejaid selle kaalumisel, kas kohaldada 2018. aasta andmekaitseseaduse alusel riigi julgeoleku sertifikaati; suunistes on eelkõige rõhutatud, et andmesubjektide õiguste piiramine riigi julgeoleku kaitsmise eesmärgil peab olema proportsionaalne ja vajalik (167). Kõik riigi julgeoleku sertifikaadid tuleb avaldada teabevoliniku veebisaidil (168).

(129) Sertifikaadil peaks olema kindlaksmääratud kehtivusaeg, mis ei ületa viit aastat, seega peab täitevvõim selle regulaarselt läbi vaatama (169). Sertifikaadile märgitakse nii isikuandmed või isikuandmete kategooriad kui ka 2018. aasta andmekaitseseaduse sätted, mille suhtes erandit kohaldatakse (170).

(130) On oluline mainida, et riigi julgeoleku sertifikaat ei kujuta endast lisaalust andmekaitseõiguste piiramiseks riigi julgeolekuga seotud põhjustel. Teiste sõnadega võib vastutav töötleja või volitatud töötleja sertifikaadile tugineda üksnes siis, kui ta on teinud järelduse, et riigi julgeoleku erandi kasutamine on vajalik, mida tuleb teha iga juhtumi puhul eraldi, nagu eespool selgitatud (171). Isegi kui asjaomase küsimuse suhtes kohaldatakse riigi julgeoleku sertifikaati, võib teabevolinik uurida, kas riigi julgeoleku erandile tuginemine oli konkreetsel juhul põhjendatud (172).

(131) Iga isik, keda sertifikaadi väljastamine otseselt mõjutab, võib kõrgemale kohtule (Upper Tribunal) (173) sertifikaadi suhtes kaebuse esitada (174) või juhul, kui sertifikaadil on andmed kindlaks tehtud üldise kirjeldusena, siis vaidlustada sertifikaadi kohaldamise konkreetsete andmete suhtes (175). Kohus vaatab sertifikaadi väljastamise otsuse läbi ja otsustab, kas sertifikaat väljastati mõistlikel alustel (176). Kohus võib kaaluda mitmesuguseid küsimusi, sealhulgas vajalikkust, proportsionaalsust ja seaduslikkust, võttes arvesse mõju andmesubjektide õigustele ja viies selle tasakaalu vajadusega kaitsta riigi julgeolekut. Selle tulemusel võib kohus otsustada, et sertifikaati ei kohaldata konkreetsete isikuandmete suhtes, mille kohta kaebus esitati (177).

(132) Erinevat kogumit võimalikke piiranguid kohaldatakse 2018. aasta andmekaitseseaduse 11. lisa alusel 2018. aasta andmekaitseseaduse 4. osa teatavate sätete suhtes, (178) et kaitsta muid üldist avalikku huvi pakkuvaid olulisi eesmärke või kaitstud huve, nagu parlamentaarne puutumatus, kutsesaladus, kohtumenetluste läbiviimine või relvajõudude lahinguvõime (179). Nende sätete kohaldamise puhul on tehtud erand kas teatavate teabeliikide suhtes (nn kategooriapõhine) või sel määral, mil nende sätete kohaldamine tõenäoliselt kahjustaks kaitstud huvi (nn kahjupõhine) (180). Kahjupõhistele eranditele saab tugineda üksnes sel määral, mil loetletud andmekaitsesätte kohaldamine tõenäoliselt kahjustaks kõnealust konkreetset huvi. Seepärast peab erandi kasutamist alati põhjendama, osutades asjaomasele kahjule, mis konkreetse juhtumi puhul tõenäoliselt esineks. Kategooriapõhistele eranditele saab tugineda üksnes seoses konkreetse kitsalt määratletud teabeliigiga, mille suhtes erandit võimaldatakse. Oma eesmärgilt ja mõjult on need sarnased Ühendkuningriigi isikuandmete kaitse üldmääruse mitme erandiga (2018. aasta andmekaitseseaduse 2. lisa alusel), mis omakorda vastavad isikuandmete kaitse üldmääruse artikliga 23 ette nähtud eranditele.

(133) Eespool kirjeldatust ilmneb, et Ühendkuningriigi kohaldatavate õigusnormide alusel on kehtestatud piirangud ja tingimused, mida on tõlgendanud ka kohtud ja teabevolinik ja millega tagatakse, et kõnealused erandid ja piirangud jäävad selle piiresse, mis on riigi julgeoleku kaitse seisukohast vajalik ja proportsionaalne.

3.2. Juurdepääs andmetele ja andmete kasutamine Ühendkuningriigi avaliku sektori asutuste poolt kriminaalõiguskaitse eesmärkidel

(134) Ühendkuningriigi õigusega on kehtestatud mitu piirangut seoses isikuandmetega tutvumise ja nende kasutamisega kriminaalõiguskaitse eesmärkidel ning nähtud selles valdkonnas ette järelevalve- ja õiguskaitsemehhanismid, mis on kooskõlas käesoleva otsuse põhjendustes 113–115 osutatud nõuetega. Tingimusi, mille korral andmetega võib tutvuda, ning kõnealuste volituste kasutamise suhtes kohaldatavaid kaitsemeetmeid on üksikasjalikult hinnatud järgnevates punktides.

3.2.1. Õiguslikud alused ja kohaldatavad piirangud/kaitsemeetmed

(135) 2018. aasta andmekaitseseaduse paragrahvi 35 alusel tagatud seaduslikkuse põhimõtte kohaselt on isikuandmete töötlemine õiguskaitsega seotud eesmärgil seaduslik üksnes siis, kui see põhineb õigusaktil ning andmesubjekt on andnud nõusoleku andmete sel eesmärgil töötlemiseks (181) või on töötlemine vajalik seoses ülesandega, mida pädev asutus sel eesmärgil täidab.

3.2.1.1. Läbiotsimismäärused ja andmeesitamismäärused

(136) Ühendkuningriigi õigusraamistikus on ettevõtjatelt, sealhulgas kehtiva kaitse piisavuse otsuse alusel EList edastatud andmeid töötlevatelt ettevõtjatelt lubatud kriminaalõiguskaitse eesmärkidel isikuandmeid koguda läbiotsimismääruste (182) ja andmeesitamismääruste alusel (183).

(137) Läbiotsimismäärusi annavad välja kohtud uurija taotlusel. Need võimaldavad uurijal ruumidesse siseneda, et otsida oma uurimise jaoks asjakohaseid materjale või isikuid ning võtta hoiule kõik, mida läbiotsimisluba hõlmab, sealhulgas asjakohased isikuandmeid sisaldavad dokumendid ja materjalid (184). Andmeesitamismääruse kohaselt, mille peab samuti välja andma kohus, peab määruses märgitud isik esitama tema valduses või kontrolli all oleva materjali või võimaldama sellele juurdepääsu. Taotleja peab kohtule põhjendama nii seda, miks määrus on vajalik, kui ka seda, miks see on avalikes huvides. Läbiotsimismääruste ja andmeesitamismääruste väljaandmine on lubatud mitmete seadusjärgsete volituste alusel. Iga sätte puhul kehtib kogum seadusjärgseid tingimusi, mis peavad läbiotsimismääruse (185) või andmeesitamismääruse (186) väljaandmiseks täidetud olema.

(138) Andmeesitamismäärusi ja läbiotsimismäärusi saab kohtuliku kontrolli teel vaidlustada (187). Mis puudutab kaitsemeetmeid, siis võivad kõik 2018. aasta andmekaitseseaduse 3. osa kohaldamisalasse kuuluvad kriminaalõiguskaitseasutused isikuandmetega tutvuda (mis on üks töötlemise vorm) üksnes kooskõlas 2018. aasta andmekaitseseaduses sätestatud põhimõtete ja nõuetega (vt põhjendused 122–124). Seepärast peab õiguskaitseasutuse taotlus vastama põhimõttele, mille kohaselt peavad töötlemise eesmärgid olema täpsustatud, sõnaselged ja seaduslikud (188) ning isikuandmed, mida pädev asutus töötleb, peavad olema selle eesmärgi jaoks asjakohased ega tohi olla ülemäärased (189).

3.2.1.2. Õiguskaitse eesmärkidega seotud uurimisvolitused

(139) Üksnes raskete kuritegude ennetamise või avastamise eesmärgil (190) võivad mõned õiguskaitseasutused, näiteks riiklik kuritegevusevastase võitluse amet ja politseiameti juht, (191) kasutada 2016. aasta uurimisvolituste seaduse alusel suunatud uurimisvolitusi. Sellisel juhul kohaldatakse lisaks 2018. aasta andmekaitse seaduse 3. osas sätestatud kaitsemeetmetele ka 2016. aasta uurimisvolituste seaduses sätestatud kaitsemeetmeid. Need õiguskaitseasutused võivad kasutada järgmisi uurimisvolitusi: suunatud pealtkuulamine (2016. aasta uurimisvolituste seaduse 2. osa), sideandmete hankimine (2016. aasta uurimisvolituste seaduse 3. osa), sideandmete säilitamine (2016. aasta uurimisvolituste seaduse 4. osa) ja suunatud sekkumine seadmete töösse (2016. aasta uurimisvolituste seaduse 5. osa). Pealtkuulamine hõlmab side sisu hankimist, (192) samal ajal kui sideandmete hankimise ja säilitamise eesmärk ei ole saada side sisu, vaid vastus sellele, kes, millal, kus ja kuidas suhtles. See hõlmab näiteks side aega ja kestust, side algataja ja adressaadi telefoninumbrit või e-posti aadressi ning mõnikord kasutatud sidevahendite asukohta, telefoniteenuse abonenti või üksikasjalikku arvet (193). Seadmete töösse sekkumise (equipment interference) näol on tegemist tehnikate kogumiga, mida kasutatakse mitmesuguste andmete saamiseks muu hulgas sellistest seadmetest nagu arvutid, tahvelarvutid ja nutitelefonid, aga ka kaablid, juhtmed ja salvestusseadmed (194).

(140) Suunatud pealtkuulamisvolitusi võib kasutada ka siis, kui see on „vajalik vastastikust abi käsitleva ELi õigusakti või vastastikust abi käsitleva rahvusvahelise lepingu sätete täitmiseks“ (nn vastastikuse abiga seotud luba (195)). Vastastikuse abiga seotud lube antakse ainult pealtkuulamiseks, mitte sideandmete hankimiseks ega seadmete töösse sekkumiseks. Need suunatud volitused on reguleeritud 2016. aasta uurimisvolituste seadusega, (196) mis moodustab koos Inglismaa, Walesi ja Põhja-Iirimaa puhul 2000. aasta uurimisvolituste reguleerimise seadusega ja Šotimaa puhul 2000. aasta uurimisvolituste reguleerimise seadusega (Šotimaa) õigusliku aluse ning milles on sätestatud selliste volituste kasutamise suhtes kohaldatavad piirangud ja kaitsemeetmed. Samuti on 2016. aasta uurimisvolituste seadusega ette nähtud massiliste uurimisvolituste kasutamine, kuigi neid ei saa kasutada õiguskaitseasutused, vaid ainult luureasutused (197).

(141) Nende volituste teostamiseks peavad ametiasutused saama määruse, (198) mille annab välja pädev asutus (199) ning kiidab heaks sõltumatu kohtuvolinik (Judicial Commissioner) (200) (nn topeltkinnituse menetlus). Määruse välja andmisel hinnatakse vajalikkust ja proportsionaalsust (201). Kuna need 2016. aasta uurimisvolituste seadusega ette nähtud suunatud uurimisvolitused on samad kui riiklike julgeolekuasutuste käsutuses olevad uurimisvolitused, on selliste volituste suhtes kohaldatavaid piiranguid ja kaitsemeetmeid üksikasjalikult käsitletud jaos „Isikuandmetele juurdepääs ja isikuandmete kasutamine Ühendkuningriigi avaliku sektori asutuste poolt riigi julgeoleku eesmärgil“ (vt põhjendus 177 jj).

3.2.2. Kogutud teabe edasine kasutamine

(142) Kui õiguskaitseasutus jagab teise asutusega andmeid muul eesmärgil kui see, milleks need algselt koguti, (andmete edasisaatmine) siis kehtivad selle suhtes teatavad tingimused.

(143) Sarnaselt direktiivi (EL) 2016/680 artikli 4 lõikes 2 sätestatule on 2018. aasta andmekaitseseaduse paragrahvi 36 lõikega 3 lubatud pädeva asutuse poolt õiguskaitse eesmärgil kogutud isikuandmete edasine töötlemine (algse vastutava töötleja või muu vastutava töötleja poolt) muul õiguskaitse eesmärgil, tingimusel et vastutav töötleja on kooskõlas õigusaktidega volitatud andmeid kõnealusel muul eesmärgil töötlema ning et töötlemine on selle eesmärgi seisukohast vajalik ja proportsionaalne (202). Sel juhul kohaldatakse andmeid saava ametiasutuse läbiviidava töötlemise suhtes kõiki 2018. aasta andmekaitseseaduse 3. osas sätestatud kaitsemeetmeid, millele on osutatud põhjendustes 122 ja 124.

(144) Ühendkuningriigi õiguskorras on andmete selline edasisaatmine eri õigusaktidega sõnaselgelt lubatud. Eelkõige on need õigusaktid i) 2017. aasta digimajanduse seadus, millega lubatakse jagada andmeid avaliku sektori asutuste vahel mitmel eesmärgil, näiteks avaliku sektori vastu toimepandud pettuse korral, millega kaasneb avaliku sektori asutuste jaoks kahju või oht kanda kahju, (203) või avaliku sektori asutuse või riigi ees võlgu olemise korral, (204) ii) 2013. aasta kuritegevuse vastu võitlemise ja kohtute seadus, mille järgi on lubatud jagada teavet riikliku kuritegevusevastase võitluse ametiga (National Crime Agency) (205) raske ja organiseeritud kuritegevusega võitlemiseks, selle uurimiseks ja selle eest vastutusele võtmiseks, ning iii) 2007. aasta raskeid kuritegusid käsitlev seadus, millega lubatakse avaliku sektori asutustel avalikustada teavet pettusevastase võitlusega tegelevatele organisatsioonidele pettuse ennetamise eesmärgil (206).

(145) Nende seadustega on sõnaselgelt ette nähtud, et teabe jagamine peab olema koosk