ET Euroopa Liidu Teataja C 159/83

Nõukogu põhjendused: nõukogu esimese lugemise seisukoht (EL) nr 6/2016 eesmärgiga võtta vastu Euroopa Parlamendi ja nõukogu määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)

(2016/C 159/02)

I. SISSEJUHATUS

Komisjon tegi 25. jaanuaril 2012 ettepaneku tervikliku andmekaitsereformi kohta, mis hõlmab järgmist:

— eespool nimetatud ettepanek isikuandmete kaitse üldmääruse kohta, millega on kavas asendada 1995. aasta andmekaitsedirektiiv (endine esimene sammas);

— direktiivi ettepanek üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta, millega on kavas asendada 2008. aasta isikuandmete kaitse raamotsus (endine kolmas sammas).

Euroopa Parlament võttis oma esimese lugemise seisukoha kavandatava isikuandmete kaitse üldmääruse kohta vastu 12. märtsil 2014 (dok 7427/14).

Nõukogu saavutas kokkuleppe üldise lähenemisviisi suhtes 15. juunil 2015, andes sellega eesistujariigile läbirääkimisvolitused astuda Euroopa Parlamendiga kolmepoolsetesse läbirääkimistesse (dok 9565/15).

Euroopa Parlament kinnitas kodanikuvabaduste, justiits- ja siseasjade komisjoni tasandil 17. detsembril 2015 ning nõukogu alaliste esindajate komitee tasandil 18. detsembril 2015 kolmepoolsete läbirääkimiste tulemusel saavutatud kokkuleppe kompromissteksti suhtes.

Nõukogu jõudis oma 12. veebruaril 2016. aastal toimunud istungitel määruse eelnõu (dok 5455/15) suhtes poliitilisele kokkuleppele. Nõukogu võttis 8. aprillil 2016 vastu esimese lugemise seisukoha, mis on täielikult kooskõlas nõukogu ja Euroopa Parlamendi vahel toimunud mitteametlike läbirääkimiste käigus kokku lepitud määruse kompromisstekstiga.

Majandus- ja sotsiaalkomitee esitas määruse kohta arvamuse (ELT C 229, 31.7.2012, lk 90) 2012. aastal.

Regioonide Komitee esitas määruse kohta arvamuse (ELT C 391, 18.12.2012, lk 127).

Konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas esimese arvamuse 2012. aastal (ELT C 192, 30.6.2012, lk 7) ja teise arvamuse 2015. aastal (ELT C 301, 12.9.2015, lk 1–8).

Põhiõiguste amet esitas arvamuse 1. oktoobril 2012.

II. EESMÄRK

Isikuandmete kaitse üldmäärusega ühtlustatakse Euroopa Liidu andmekaitse-eeskirjad. Määruse eesmärk on suurendada üksikisikute andmekaitsealaseid õigusi, hõlbustada isikuandmete vaba liikumist ühtsel turul ning vähendada halduskoormust.

III. NÕUKOGU ESIMESE LUGEMISE SEISUKOHA ANALÜÜS

A. Üldmärkused

Võttes arvesse Euroopa Ülemkogu eesmärki saavutada andmekaitsereformi puudutav kokkulepe 2015. aasta lõpuks, on Euroopa Parlament ja nõukogu pidanud oma seisukohtade lähendamiseks mitteametlikke läbirääkimisi. Nõukogu esimese lugemise seisukoht isikuandmete kaitse üldmääruse kohta kajastab täielikult kompromissi, mis saavutati kahe kaasseadusandja vahel, keda abistas Euroopa Komisjon.

Nõukogu esimese lugemise seisukohas säilitatakse direktiivi 95/46/EÜ eesmärgid: isikuandmete kaitse õiguste ja andmete vaba liikumise kaitsmine. Samal ajal püütakse selles kohandada praegu kehtivaid andmekaitse-eeskirju, kuna tehnoloogiliste muutuste ja üleilmastumise tõttu töödeldakse isikuandmeid järjest rohkem. Nõukogu esimese lugemise seisukoha andmekaitse-eeskirjad on tehnoloogiliselt neutraalsed, et määrus oleks tulevikukindel.

Selleks et tagada üksikisikute kaitse ühtlane tase terves liidus ning hoida ära siseturul isikuandmete vaba liikumist takistavaid erinevusi, nähakse nõukogu esimese lugemise seisukohas suures osas ette kogu liidus vahetult kohaldatavad ühtsed eeskirjad. Sellise ühtlustamisega kaotatakse killustatus, mis tuleneb liikmesriikide erinevatest õigusaktidest, millega võetakse üle direktiiv 95/46. Nõukogu esimese lugemise seisukoht võimaldab liikmesriikidel oma siseriiklikus õiguses siiski täpsustada määruses sätestatud andmekaitse-eeskirjade kohaldamist, et võtta arvesse andmetöötluse eriolukordade nõudeid, muu hulgas avaliku sektori jaoks.

Isikuandmete kaitse on põhiõigus, mis on sätestatud Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1. Lisaks on Euroopa Liidu toimimise lepingu artiklis 16 sätestatud, et igaühel on õigus oma isikuandmete kaitsele, olenemata tema kodakondsusest või elukohariigist, ning et selle õiguse ja isikuandmete vaba liikumisega seoses tuleks kindlaks määrata eeskirjad. Sellest lähtudes kehtestatakse nõukogu esimese lugemise seisukohas põhimõtted ja eeskirjad üksikisikute kaitse kohta seoses nende isikuandmete töötlemisega.

Määruse eesmärkide saavutamiseks suurendatakse nõukogu esimese lugemise seisukohas vastutavate töötlejate (kelle ülesanne on määrata kindlaks isikuandmete töötlemise eesmärgid ja vahendid) ja volitatud töötlejate (kelle ülesanne on töödelda isikuandmeid vastutava töötleja nimel) vastutust, et edendada tõelist andmekaitsekultuuri. Seda arvestades võetakse kogu määruses kasutusele ohupõhine lähenemisviis, mis võimaldab muuta vastutava töötleja ja volitatud töötleja kohustusi vastavalt nende tehtava andmetöötlusega kaasnevale ohule. Lisaks aitavad isikuandmete kaitse eeskirjade järgimisele kaasa toimimisjuhendid ja sertifitseerimismehhanismid. Selle lähenemisviisiga välditakse liigselt ettekirjutavaid eeskirju ja vähendatakse halduskoormust, vähendamata samas eeskirjade järgimist. Peale selle loob võimalike määratavate karistuste hoiatav laad vastutavatele töötajatele stiimuli määruse järgimiseks.

Samuti nähakse nõukogu esimese lugemise seisukohas esitatud uutes andmekaitse-eeskirjades ette kodanike suuremad ja jõustatavad õigused. See annab üksikisikutele parema kontrolli oma isikuandmete üle, mis suurendab usaldust piiriülese mõõtmega internetipõhiste teenuste vastu, mis omakorda tugevdab digitaalset ühtset turgu. Lapsed väärivad erilist kaitset, sest nad ei pruugi olla piisavalt teadlikud isikuandmete töötlemisega seotud ohtudest ega oma õigustest.

Nõukogu esimese lugemise seisukohaga suurendatakse ka järelevalveasutuste sõltumatust ning ühtlustatakse nende ülesandeid ja volitusi. Eeskirjad, millega reguleeritakse piiriüleste juhtude puhul järelevalveasutuste vahelist koostööd ning asjakohasuse korral komisjoniga tehtavat koostööd (järjepidevuse mehhanism), aitavad kaasa määruse järjepidevale kohaldamisele kogu Euroopa Liidus. See suurendab õiguskindlust ja vähendab halduskoormust. Lisaks tagatakse ühtse kontaktpunkti mehhanismiga vastutavatele töötlejatele ja volitatud töötlejatele üks partner seoses piiriülese töötlemisega, sealhulgas äsja loodud Euroopa Andmekaitsenõukogu poolt vaidlustes tehtavate siduvate otsustega. Selle mehhanismi tulemusel on määruse kohaldamine järjepidevam. Lisaks annab see suurema õiguskindluse ja vähendab halduskoormust.

Peale selle määratakse nõukogu esimese lugemise seisukohas kindlaks terviklik raamistik isikuandmete edastamiseks Euroopa Liidust kolmandates riikides asuvatele vastuvõtjatele või rahvusvahelistele organisatsioonidele, nähes võrreldes direktiiviga 95/46/EÜ ette uued vahendid.

B. Peamised teemad

Nõukogu ja Euroopa Parlament, keda abistas Euroopa Komisjon, lähendasid mitteametlike läbirääkimiste käigus oma seisukohti, mis on esitatud nõukogu üldises lähenemisviisis ja Euroopa Parlamendi esimese lugemise seisukohas. Isikuandmete kaitse üldmäärust käsitlev nõukogu esimese lugemise seisukoht kajastab täielikult saavutatud kompromisse. Nõukogu esimese lugemise seisukoha peamised teemad on välja toodud allpool.

1. Kohaldamisala

1.1. Määruse sisuline kohaldamisala ja erinevused võrreldes õiguskaitsedirektiiviga

Nõukogu esimese lugemise seisukohas sätestatakse, et isikuandmete kaitse üldmäärust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad korrastatud kogumisse, millest võib andmeid leida teatavate kriteeriumide põhjal, või need kavatsetakse sellise kogumiga liita. Isikuandmete kaitse üldmääruse sisuline kohaldamisala ja andmekaitsedirektiivi kohaldamisala õiguskaitse valdkonnas on vastastikku välistavad. On sätestatud, et määrust ei kohaldata isikuandmete töötlemisele pädevate asutuste poolt kuritegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil. See eristamine võimaldab õiguskaitseasutustel, eelkõige politseil, kohaldada reeglina direktiivis sisalduvat andmekaitsekorda, tagades samas isikuandmete järjekindla ja kõrgetasemelise kaitse õiguskaitseoperatsioonidega seotud isikute puhul.

1.2. ELi institutsioonid ja organid

Andmesubjektide ühetaolise ja järjepideva kaitse tagamiseks seoses nende isikuandmete töötlemisega on nõukogu esimese lugemise seisukohas osutatud, et ELi institutsioone, organeid ja asutusi puudutavate vajalike muudatuste tegemine määruses (EÜ) nr 45/2001 peaks toimuma pärast isikuandmete kaitse üldmääruse vastuvõtmist, et see oleks kohaldatav samal ajal isikuandmete kaitse üldmäärusega.

1.3. Kodust tegevust käsitlev erand

Selliste eeskirjade kehtestamise vältimiseks, mis tekitaks üksikisikutele tarbetut koormust, on nõukogu esimese lugemise seisukohas ette nähtud, et määrust ei kohaldata isikuandmete töötlemise suhtes, kui seda teeb füüsiline isik täielikult isiklikel või kodustel eesmärkidel ja see pole seega mingil viisil seotud kutse- või äritegevusega.

1.4. Territoriaalne kohaldamisala

Nõukogu esimese lugemise seisukohas luuakse vastutavatele töötlejatele ja volitatud töötlejatele territoriaalse kohaldamisala osas võrdsed võimalused, kuna sellega on hõlmatud kõik vastutavad ja volitatud töötlejad, olenemata sellest, kas nad asuvad liidus või mitte.

Esiteks sätestatakse määruses, et andmekaitse-eeskirju kohaldatakse liidus asuva vastutava töötleja või volitatud töötleja tegevuskoha tegevuse kontekstis toimuva isikuandmete töötlemise suhtes sõltumata sellest, kas töötlemine toimub liidus või väljaspool liitu. Selle tagamiseks, et üksikisikud ei jääks ilma oma andmete kaitsest, kohaldatakse määrust liidus asuvate andmesubjektide isikuandmete töötlemise suhtes isegi siis, kui vastutav töötleja või volitatud töötleja asub väljaspool liitu, kuid tema töötlemistoimingud on seotud kaupade või teenuste pakkumisega liidus asuvatele andmesubjektidele, samuti on sätestatud nende tegevuse jälgimine, kui see tegevus toimub Euroopa Liidus. Lisaks suurendab kohaldamisala selline määratlemine vastutavate töötlejate ja andmesubjektide (isikud, kelle isikuandmeid töödeldakse) õiguskindlust.

Nõukogu esimese lugemise seisukohaga tagatakse samuti, et andmesubjektidel ja järelevalveasutustel oleks ELis kontaktpunkt, kui vastutavate töötlejate või volitatud töötlejate asukoht ei ole liidus, kuid nad kuuluvad määruse kohaldamisalasse: nad peavad nimetama kirjalikult oma esindaja liidus. Liigse halduskoormuse vältimiseks ei kohaldata seda kohustust töötlemisele, mis ei kujuta endast tõenäoliselt ohtu üksikisikute õigustele ja vabadustele, ning töötlemisele kolmanda riigi avaliku sektori asutuse või organi poolt.

2. Isikuandmete töötlemisega seotud põhimõtted

Andmekaitse põhimõtteid kohaldatakse mis tahes teabele tuvastatava või tuvastatud füüsilise isiku kohta, sealhulgas teabele, mida ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid (pseudonümiseerimine). Võrreldes direktiiviga 95/46 on määruses suures osas ette nähtud järjepidevus isikuandmete töötlemise aluseks olevate põhimõtete osas. Samal ajal on kohandatud võimalikult väheste andmete kogumise põhimõtet, et võtta arvesse digitaalset reaalsust ning selleks, et luua tasakaal ühelt poolt isikuandmete kaitse ja teiselt poolt vastutavate töötlejate andmete töötlemise võimaluste vahel.

3. Töötlemise seaduslikkus

3.1. Seaduslikkuse tingimused

Õiguskindluse tagamiseks tugineb nõukogu esimese lugemise seisukoht direktiivile 95/46, sätestades, et isikuandmete töötlemine on seaduslik üksnes juhul, kui täidetud on vähemalt üks järgmistest tingimustest:

— andmesubjekt on andnud nõusoleku ühel või mitmel konkreetsel eesmärgil töötlemiseks;

— on olemas leping;

— on olemas juriidiline kohustus;

— kaitstakse andmesubjekti või teise füüsilise isiku elulisi huve;

— täidetakse avalikes huvides olevat või vastutava töötleja avaliku võimu teostamiseks vajalikku ülesannet;

— vastutaval töötlejal või kolmandal isikul on õigustatud huvi.

Pikemalt tasub peatuda kahel tingimusel: nõusolek ja vastutava töötleja või kolmanda isiku õigustatud huvid.

3.1.1. Nõusolek

Andmesubjekt võib isikuandmete töötlemise lubamiseks väljendada oma nõusolekut selge kinnituse kaudu, andes seeläbi vabatahtliku, konkreetse, teadliku ja ühemõttelise nõusoleku teda puudutavate isikuandmete töötlemiseks. Selline nõusolek hõlmab kõiki samal eesmärgil või samadel eesmärkidel tehtavaid töötlemistoiminguid. Kui töötlemisel on mitu eesmärki, tuleb nõusolek anda kõigi nende töötlemise eesmärkide kohta. Lisaks peab vastutav töötleja tõendama, et andmesubjekt on andnud töötlemistoimingu suhtes nõusoleku. Vaikimine, eelnevalt märgistatud lahtrid või tegevusetus ei tähenda seega nõusolekut. Nõusoleku põhimõtte määratlemine tagab järjepidevuse õigustikuga, mis on selle põhimõtte kasutamise osas direktiivi 95/46/EÜ põhjal välja kujunenud, aidates samas kaasa nõusoleku põhimõtte ühisele mõistmisele ja kohaldamisele kogu Euroopa Liidus.

Lisaks sätestatakse andmesubjekti andmekaitseõiguste kaitsmise eesmärgil, et kui andmesubjekt on andnud nõusoleku sellise kirjaliku kinnituse abil, milles käsitletakse ka muid küsimusi, ei ole siduv ükski selle kinnituse osa, mille puhul on tegemist määruse rikkumisega. Lisaks tuleb selle hindamisel, kas nõusolek anti vabatahtlikult, võtta võimalikult suurel määral arvesse, kas muu hulgas seatakse lepingu täitmise tingimuseks nõusoleku andmine töötlemisele, mis ei ole lepingu täitmise jaoks vajalik.

Erandite lubamiseks isikuandmete eriliikide töötlemise üldisest keelust nähakse nõukogu esimese lugemise seisukohas ette kõrgem lävi, kui muu töötlemise puhul, kuna andmesubjekt peab selliste tundlike isikuandmete töötlemiseks andma oma selgesõnalise nõusoleku.

Laste puhul nähakse nõukogu esimese lugemise seisukohas ette eriline kaitsekord, mis käsitleb nõusoleku andmist laste poolt seoses infoühiskonna teenuste osutamisega. Kuni 16 aasta vanuse lapse isikuandmete töötlemine on seaduslik, kui kättesaadavat tehnoloogiat arvesse võttes on võimalik mõistlikult kontrollida, et sellise nõusoleku või loa on andnud isik, kellel on lapse suhtes vanemlik vastutus. Liikmesriigid, kes peavad sobilikuks nooremat vanust, võivad kehtestada madalama maksimaalse vanusepiiri, kuid mitte vähem kui 13 aastat.

3.1.2. Vastutava töötleja õigustatud huvi

Isikuandmete töötlemine võib olla seaduslik, kui töötlemine on vajalik seoses vastutava töötleja või kolmanda isiku õigustatud huvidega. Sellised õigustatud huvid ei ole aga seaduslikuks töötlemiseks piisav põhjendus, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul, kui andmesubjekt on laps.

Õigustatud huvi olemasolu tuleb hinnata, arvestades muu hulgas seda, kas andmesubjekt võib isikuandmete kogumise ajal ja kontekstis mõistlikkuse piires eeldada, et andmeid võidakse sellel otstarbel töödelda. Isikuandmete töötlemist otseturunduse eesmärgil võib lugeda õigustatud huviga töötlemiseks. Arvestades, et avaliku sektori asutuste jaoks peab isikuandmete töötlemise õigusliku aluse õigusaktiga kehtestama seadusandja, ei kohaldata seda isikuandmete töötlemise puhul, mida avaliku sektori asutused teostavad oma ülesannete täitmiseks.

3.2. Konkreetsed liikmesriikide eeskirjad, millega kohandatakse määruse kohaldamist

Nõukogu esimese lugemise seisukohas lubatakse liikmesriikidel säilitada või kehtestada täpsemad sätted, millega kohandatakse määruse eeskirjade kohaldamist, kui isikuandmeid töödeldakse juriidilise kohustuse täitmiseks või see on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. Lisaks nähakse ette erandid, konkreetsed nõuded ja muud meetmed seoses konkreetsete töötlemistoimingutega, mille abil liikmesriigid ühitavad isikuandmete kaitse õiguse sõna- ja teabevabaduse õigusega, üldsuse juurdepääsu ametlikele dokumentidele, riiklike isikukoodide töötlemist, töötlemist töösuhete kontekstis ning töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil.

3.3. Edasine töötlemine

Nõukogu esimese lugemise seisukohas on sätestatud, et töötlemine muul eesmärgil kui see, milleks isikuandmed algselt koguti, on seaduslik üksnes juhul, kui edasine töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt töödeldi. Kui aga andmesubjekt on andnud oma nõusoleku või kui töötlemine põhineb liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, millega kaitstakse eelkõige üldist avalikku huvi pakkuvaid olulisi eesmärke, on vastutaval töötlejal lubatud isikuandmeid edasi töödelda, olenemata eesmärkide omavahelisest vastavusest. Edasise töötlemise korral on andmesubjekti õigusi suurendatud, eelkõige seoses õigusega saada teavet ja õigusega esitada edasise töötlemise suhtes vastuväiteid, kui see ei ole vajalik avalikes huvides oleva ülesande täitmiseks.

Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed algselt koguti, peab vastutav töötleja võtma muu hulgas arvesse mis tahes seoseid algsete eesmärkide ja kavandatava edasise töötlemise eesmärgi vahel, isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes, isikuandmete laadi, kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks ning asjakohaste kaitsemeetmete olemasolu nii algsetes kui ka kavandatavates edasistes töötlemistoimingutes.

3.4. Isikuandmete eriliikide töötlemine

Sellist laadi isikuandmed, mis on oma olemuselt eriti tundlikud, vajavad erilist kaitset, sest nende töötlemise kontekst võib üksikisikute põhiõigusi ja -vabadusi olulisel määral ohustada. Sellepärast säilitatakse nõukogu esimese lugemise seisukohas reeglina direktiivi 95/46 lähenemisviis isikuandmete eriliikide töötlemise keelule.

Erandina sellest reeglist lubatakse tundlike andmete töötlemist teatud ammendavalt loetletud olukordades, näiteks juhul, kui andmesubjekt on andnud selgesõnalise nõusoleku, kui töötlemine on vajalik olulise avaliku huvi tõttu või kui töötlemine on vajalik muul eesmärgil, muu hulgas tervise valdkonnas.

Viimaks nähakse nõukogu esimese lugemise seisukohas ette, et liikmesriigid võivad kehtestada täiendavad tingimused, sealhulgas piirangud, seoses geneetiliste, biomeetriliste või terviseandmete töötlemisega. Sellised täiendavad tingimused ei tohi aga takistada andmete vaba liikumist liidus.

4. Andmesubjektide mõjuvõimu suurendamine

4.1. Sissejuhatus

Nõukogu esimese lugemise seisukohaga suurendatakse andmesubjektide mõjuvõimu, andes neile suuremad andmekaitseõigused ja kehtestades kohustused vastutavatele töötlejatele. Andmesubjekti õigused hõlmavad õigust saada teavet, õigust tutvuda isikuandmetega, õigust isikuandmete parandamisele, õigust isikuandmete kustutamisele, sh õigust olla unustatud, õigust töötlemise piiramisele, õigust andmete ülekandmisele, õigust esitada vastuväiteid ning õigust sellele, et tema suhtes ei tehta otsust üksnes andmete automatiseeritud töötlemise, sealhulgas profiilianalüüsi alusel. Õigusi, mida on võrreldes direktiiviga 95/46 oluliselt muudetud, on kirjeldatud allpool.

Vastutavatel töötlejatel on kohustus hõlbustada andmesubjektide õiguste kasutamist ja töödelda isikuandmeid kooskõlas läbipaistvuse põhimõttega, andes eelkõige teavet isikuandmete töötlemise kohta, mida nad teostavad.

Kui aga vastutav töötleja töötleb selliseid isikuandmeid, mille alusel vastutav töötleja ei saa andmesubjekti tuvastada, ei ole ta kohustatud hankima andmesubjekti tuvastamiseks täiendavat teavet ainult käesoleva määruse sätete järgimiseks.

Olenemata nendest andmesubjektide õigustest ja vastutavate töötlejate kohustusest säilitatakse nõukogu esimese lugemise seisukohas direktiivi 95/46 lähenemisviis, võimaldades piirata üldpõhimõtteid ja üksikisikute õigusi, kui selline piiramine põhineb liidu või liikmesriigi õigusel. Sellised piirangud peavad austama põhiõiguste ja -vabaduste olemust ning olema demokraatlikus ühiskonnas teatavate avalike huvide kaitsmiseks vajalikud ja proportsionaalsed.

4.2. Läbipaistvus

Vastutavad töötlejad peavad kooskõlas läbipaistvuse põhimõttega esitama teavet ja teavitama isikuandmete töötlemisest kokkuvõtlikult, läbipaistvalt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige lapsele suunatud teabe korral. Kõnealune teave tuleb esitada kirjalikult või muude vahendite abil, asjakohasel juhul elektrooniliselt.

Nõukogu esimese lugemise seisukohas sätestatakse täiendavalt ajapiirangud teabenõuete, teavitamiste ja muude toimingute tegemiseks vastutava töötleja poolt, mida tuleb üldreeglina teha tasuta. Kui aga andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja küsida mõistlikku tasu, võttes arvesse halduskulu, mis kaasneb teabe esitamise või teavitamise või taotletud meetmete võtmisega, või keelduda taotletud meetmete võtmisest. Sellistel juhtudel lasub vastutaval töötlejal kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.

4.3. Vastutava töötleja poolt esitatav teave ja teavitamine

Selleks, et tasakaalustada ühelt poolt andmesubjektidele piisava teabe esitamine nende isikuandmete töötlemise kohta ja teiselt poolt vastutavate töötlejate koormavate kohustuste vältimine, on nõukogu esimese lugemise seisukohas esitatud kaheetapiline lähenemisviis, et tagada, et andmesubjekte teavitatakse asjakohaselt nii juhtudel, kui isikuandmeid kogutakse andmesubjektilt, kui ka juhtudel, kus isikuandmeid ei ole saadud andmesubjektilt. Esimeses etapis on vastutav töötleja kohustatud esitama isikuandmete hankimise ajal andmesubjektile määruses nimetatud teabe. Teises etapis peab vastutav töötleja esitama määruses nimetatud täiendava teabe, mis on vajalik õiglase ja tõhusa töötlemise tagamiseks. Samuti teavitavad vastutavad töötlejad andmesubjekte siis, kui nad kavatsevad isikuandmeid edasi töödelda muul eesmärgil kui sellel, milleks isikuandmeid algselt koguti.

Vastutav töötleja ei ole kohustatud esitama ei esimeses ega teises etapis loetletud teavet, kui andmesubjektil on see teave juba olemas. Kui isikuandmeid ei saadud andmesubjektilt, ei anna vastutav töötleja andmesubjektile teavet, juhul kui isikuandmete salvestamine või avaldamine teistele pooltele on õigusnormides selgelt sätestatud või juhul kui andmesubjekti teavitamine osutub võimatuks või nõuaks ebaproportsionaalseid jõupingutusi.

Samuti peab vastutav töötleja edastama teabe andmete parandamise, kustutamise või töötlemise piiramise kohta kõigile vastuvõtjatele, kellele isikuandmed on avaldatud, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi. Lisaks peab vastutav töötleja andmesubjekti nendest vastuvõtjatest teavitama, kui andmesubjekt seda taotleb.

4.4. Ikoonid

Läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse töötlemise toimumisest ja selle eesmärkidest. Sellest lähtudes sätestatakse nõukogu esimese lugemise seisukohas, et andmesubjektile esitatavale teabele võib lisada standardiseeritud ikoone. Vastutavad töötlejad võivad vabatahtlikult otsustada, kas nende ikoonide kasutamine oleks nende tehtava isikuandmete töötlemise seisukohast kasulik või mitte. Ikoonidega tuleks anda kavandatavast töötlemisest sisuline ülevaade selgelt nähtaval, arusaadaval ja loetaval viisil. Ikoonid tuleb esitada samal ajal teabe esitamisega. Kui ikoonid esitatakse elektrooniliselt, peavad need olema masinloetavad. Selleks, et anda panus ikoonide standardiseeritud kasutusse ELis, antakse komisjonile määrusega õigus võtta vastu delegeeritud õigusakte, milles määratakse kindlaks ikoonidega esitatav teave ning menetlused standardiseeritud ikoonide kehtestamiseks. Euroopa Andmekaitsenõukogu peab esitama arvamuse komisjoni ettepanekus sisalduvate ikoonide kohta. Võimalus võtta vastu delegeeritud õigusakte ei takista Euroopa Andmekaitsenõukogul esitada ikoonide kohta suuniseid, arvamusi ja parimaid tavasid.

4.5. Õigus tutvuda andmetega

Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse või mitte, ning kui selliseid isikuandmeid töödeldakse, siis tutvuda määruses loetletud teabega. Sellega seoses on määruses sätestatud, et vastutav töötleja peab tasuta esitama töödeldavate isikuandmete koopia. Kui andmesubjekt taotleb lisakoopiaid, võib vastutav töötleja küsida mõistlikku tasu halduskulude katmiseks. Koopia saamise õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi.

4.6. Õigus andmete kustutamisele (õigus olla unustatud)

Nõukogu esimese lugemise seisukohas antakse andmesubjektidele õigus nõuda neid käsitlevate isikuandmete kustutamist, kui selliste andmete töötlemine ei ole kooskõlas määrusega või vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega.

Viidates õigusele olla unustatud, tunnistatakse vajadust kohandada õigust andmete kustutamisele, eelkõige digitaalses kontekstis. Vastutavad töötlejad, kes on avalikustanud isikuandmed, mille unustamist andmesubjekt soovib, peavad võtma tarvitusele mõistlikud abinõud, sealhulgas tehnilised meetmed, et teavitada isikuandmeid töötlevaid vastutavaid töötlejaid andmesubjekti taotlusest kustutada sellistele andmetele osutavad lingid või nende koopiad või kordused, arvestades kättesaadavat tehnoloogiat ja selle rakendamise maksumust. Euroopa Andmekaitsenõukogu võib välja anda suuniseid, soovitusi ja parimaid tavasid seoses menetlustega, mille eesmärk on kustutada isikuandmetele osutavaid linke ning andmekoopiaid ja -kordusi üldkasutatavatest kommunikatsiooniteenustest.

Õigust andmete kustutamisele ja vastutava töötleja kohustust teavitada teisi vastutavaid töötlejaid kustutamise taotlusest ei kohaldata sellisel määral, mil isikuandmete töötlemine on vajalik määruses ammendavalt loetletud eesmärkidel, nagu sõna- ja teabevabaduse õigus.

4.7. Andmete ülekandmise õigus

Nõukogu esimese lugemise seisukohas on sätestatud, et andmesubjektil on isikuandmete automatiseeritud töötlemise korral õigus saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, laialdaselt kasutatavas, masinloetavas ja koostalitletavas vormingus ning edastada neid andmeid teisele vastutavale töötlejale. Lisaks on täpsustatud, et kui see on tehniliselt teostatav, on andmesubjektil õigus lasta isikuandmeid edastada otse ühelt vastutavalt töötlejalt teisele. See tugevdab veelgi andmesubjektide kontrolli oma andmete üle. Samuti soodustab see vastutavate töötlejate vahelist konkurentsi.

Seda andmete ülekandmise õigust ei kohaldata aga töötlemise suhtes, mis on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. Lisaks, kui teatud isikuandmed puudutavad enam kui üht andmesubjekti, ei mõjuta andmesubjekti isikuandmete saamise õigus teiste õigusi ja vabadusi.

4.8. Õigus esitada vastuväiteid

Kui isikuandmeid võidakse seaduslikult töödelda sellepärast, et töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks või seoses vastutava töötleja või kolmanda isiku õigustatud huviga, on andmesubjektil õigus esitada vastuväide tema konkreetse olukorraga seotud isikuandmete töötlemisele. Sellisel juhul ei ole vastutaval töötlejal enam lubatud isikuandmeid töödelda, välja arvatud juhul, kui ta tõendab, et töötlemine toimub mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil.

Sellega seoses on sätestatud, et kui isikuandmeid töödeldakse otseturunduse eesmärgil, on andmesubjektil õigus esitada igal ajal vastuväide teda puudutavate isikuandmete töötlemise suhtes. See hõlmab profiilianalüüsi sellisel määral, kui see on seotud sellise otseturundusega. Profiilianalüüsi määratletakse kui igasugust isikuandmete automatiseeritud töötlemist, mis hõlmab kõnealuste andmete kasutamist füüsilise isikuga seotud teatavate isiklike aspektide hindamiseks, eelkõige selliste aspektide analüüsimiseks või prognoosimiseks, mis on seotud asjaomase füüsilise isiku töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste, huvide, usaldusväärsuse, käitumise, asukoha või liikumisega. Kui andmesubjekt esitab vastuväite otseturunduse eesmärgil toimuva andmete töötlemise suhtes, ei tohi isikuandmeid sellisel eesmärgil enam töödelda. Lisaks tuleb see õigus selgesõnaliselt ja selgelt andmesubjektile teatavaks teha hiljemalt siis, kui isikuandmete vastutav töötleja andmesubjekti esmakordselt teavitab.

Peale selle sisaldab nõukogu esimese lugemise seisukoht viidet jälgimise piiramise võimalustele internetis, sätestades, et andmesubjekt võib infoühiskonna teenuste kontekstis kasutada tehniliste spetsifikatsioonide abil automatiseeritud vahenditega oma vastuväite esitamise õigust.

4.9. Automatiseeritud töötlusel põhinevate üksikotsuste tegemine, sealhulgas profiilianalüüs

Andmesubjektil on õigus sellele, et tema kohta ei võetaks otsust, mis põhineb üksnes andmete automatiseeritud töötlusel, mille puhul hinnatakse temaga seotud isiklikke asjaolusid, mis toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle sarnast märkimisväärset mõju. Selle näited on interneti teel esitatud krediiditaotluse automaatne tagasilükkamine või elektrooniline tööle värbamine ilma inimese sekkumiseta. Selline automatiseeritud töötlemine võib hõlmata profiilianalüüsi. Seda õigust, et andmesubjekti suhtes ei rakendataks automatiseeritud töötlust, ei kohaldata aga siis,

— kui see on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimiseks või täitmiseks;

— kui see on lubatud vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega, milles on sätestatud ka asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks, nagu pettuste ja maksudest kõrvalehoidumise järelevalve; või

— kui see põhineb andmesubjekti selgesõnalisel nõusolekul.

— Välja arvatud teisel juhul, mis on seotud liidu või liikmesriigi õigusega lubatud töötlemisega, peab automatiseeritud töötlemist teostav vastutav töötleja rakendama andmesubjekti õiguste ja vabaduste ning õigustatud huvide suhtes asjakohaseid kaitsemeetmeid. Need kaitsemeetmed peavad hõlmama vähemalt õigust otsesele isiklikule kontaktile vastutava töötlejaga ning andmesubjekti võimalust väljendada oma seisukohta ja vaidlustada otsus. Lisaks peaksid vastutavad töötlejad õiglase ja läbipaistva töötlemise tagamiseks kasutama profiilianalüüsiks asjakohaseid matemaatilisi ja statistilisi menetlusi ning meetmeid, mis vähendavad võimalikku ohtu andmesubjektide huvidele.

Andmesubjekti mõjuvõimu suurendatakse veel sellega, et vastutav töötleja on kohustatud andma andmesubjektile, kui see on vajalik õiglase ja läbipaistva töötlemise tagamiseks, teabe automatiseeritud otsuste tegemise, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisulise teabe kasutatava loogika ja selle kohta, millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.

Samuti on automatiseeritud otsuste tegemine ja profiilianalüüs konkreetsete isikuandmete liikide põhjal lubatud ainult eritingimustel, sealhulgas andmesubjekti õigus esitada sellise töötlemise suhtes vastuväiteid, kui neid isikuandmeid töödeldakse edasi teadus- või ajaloouuringute või statistilisel eesmärgil, välja arvatud juhul, kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks.

Euroopa Andmekaitsenõukogu võib anda välja suuniseid, soovitusi ja parimaid tavasid profiilianalüüsil põhinevate otsuste tegemise kriteeriumide ja tingimuste täiendavaks määratlemiseks.

5. Vastutav töötleja ja volitatud töötleja

5.1. Sissejuhatus

Nõukogu esimese lugemise seisukohaga kehtestatakse õigusraamistik, mis käsitleb vastutust isikuandmete töötlemisel, mida teeb vastutav töötleja või vastutava töötleja nimel volitatud töötleja. Vastutav töötleja on vastutamise põhimõtte kohaselt kohustatud rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid ning peab olema võimeline tõendama oma töötlemistoimingute kooskõla määrusega. Sellega seoses sätestatakse määruses vastutava töötleja kohustusi käsitlevad eeskirjad, mis puudutavad mõjuhinnanguid, töötlemistoimingute registreerimist, andmetega seotud rikkumisi, andmekaitseametniku määramist ning toimimisjuhendeid ja sertifitseerimismehhanisme.

5.2. Mõjuhinnangud

Vastutav töötleja vastutab andmekaitsealaste mõjuhinnangute läbiviimiste eest, et hinnata, millal võib töötlemine tõenäoliselt tõsiselt ohustada üksikisikute õigusi ja vabadusi. Nõukogu esimese lugemise seisukohas on sätestatud juhtumid, kui andmekaitsealane mõjuhinnang on eriti vajalik, näiteks teatud konkreetsete ulatuslike töötlemistoimingute puhul. Kui selline mõjuhinnang näitab, et töötlemistoimingutega kaasneb suur oht, mida vastutav töötleja ei saa leevendada kättesaadava tehnoloogia ja rakendamise maksumuse osas asjakohaste meetmetega, tuleb enne töötlemist konsulteerida järelevalveasutusega. Järelevalveasutus võib siis anda vastutavale töötajale nõu ja kasutada oma õigusi.

Euroopa Andmekaitsenõukogu võib anda suuniseid töötlemistoimingute kohta, mille puhul võib tõenäoliselt tekkida suur oht üksikisikute õigustele ja vabadustele, ning määrata kindlaks, millised meetmed võivad olla sellistel juhtudel piisavad võimaliku ohu käsitlemiseks.

5.3. Töötlemistoimingute registreerimine

Selleks, et võimaldada järelevalveasutusel teostada järelkontrolli, peab vastutav töötleja või, olemasolu korral, vastutava töötleja esindaja või volitatud töötleja registreerima tema vastutusel tehtavad töötlemistoimingud, sealhulgas isikuandmetega seotud rikkumised. Halduskoormuse vähendamiseks ei kohaldata registreerimiskohustust vähem kui 250 töötajaga ettevõtjatele või organisatsioonidele, välja arvatud juhul, kui nende teostatav töötlemine kujutab endast tõenäoliselt ohtu andmesubjektide õigustele ja vabadustele, töötlemine ei ole juhutine või töödeldakse tundlikke andmeid või kriminaalasjades süüdimõistvate kohtuotsuste ja kuritegudega seotud andmeid.

5.4. Andmetega seotud rikkumised

Isikuandmetega seotud rikkumine võib põhjustada üksikisikutele füüsilise, materiaalse või mittemateriaalse kahju, nagu kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, rahaline kahju, pseudonümiseerimise loata tühistamine, maine kahjustamine, ametisaladusega kaitstud andmete konfidentsiaalsuse kadu või mõni muu majanduslik või sotsiaalne kahju asjaomasele üksikisikule. Nõukogu esimese lugemise seisukohas on ette nähtud, et vastutavad töötlejad peavad teatama andmetega seotud rikkumistest järelevalveasutustele, välja arvatud juhul, kui andmetega seotud rikkumine ei kujuta endast tõenäoliselt suurt ohtu üksikisikute õigustele ja vabadustele. Samuti peavad nad teavitama asjaomaseid andmesubjekte sellistest rikkumisest, mis võivad kujutada endast tõenäoliselt suurt ohtu. Järelevalveasutusele teatamine võimaldab neil vajaduse korral sekkuda. Lisaks võimaldab asjaomaste andmesubjektide teavitamine neil võtta ettevaatusabinõusid.

Halduskoormuse vähendamiseks kohaldatakse nõukogu esimese lugemise seisukohas erinevaid künniseid järelevalveasutusele teatamise ja asjaomaste andmesubjektide teavitamise suhtes, kusjuures teavitamise puhul on künnis kõrgem kui teatamise puhul. Vastutavad töötlejad peavad kohe, kui nad saavad teada isikuandmetega seotud rikkumise toimumisest, teatama sellest pädevale järelevalveasutusele põhjendamatu viivituseta ja võimaluse korral mitte hiljem kui 72 tunni jooksul pärast rikkumisest teadasaamist. Vastutavad töötlejad võivad siiski järelevalveasutusele teatamata jätta, kui nad suudavad tõendada, et isikuandmetega seotud rikkumine ei ohusta tõenäoliselt üksikisikute õigusi ja vabadusi. Kui isikuandmetega seotud rikkumine kujutab endast andmesubjektide õigustele ja vabadustele tõenäoliselt suurt ohtu, peavad vastutavad töötlejad (mõningate eranditega) teatama isikuandmetega seotud rikkumisest põhjendamatu viivituseta asjaomastele andmesubjektidele.

Euroopa Andmekaitsenõukogu võib anda välja suuniseid, soovitusi ja parimaid tavasid, et teha kindlaks isikuandmetega seotud rikkumised ja määratleda põhjendamatu viivitus pärast seda, kui vastutav töötleja on rikkumisest teada saanud, ning konkreetsed asjaolud, kui vastutav töötleja peab isikuandmetega seotud rikkumisest teavitama, samuti asjaolud, kui isikuandmetega seotud rikkumine kujutab endast üksikisikute õigustele ja vabadustele tõenäoliselt suurt ohtu.

5.5. Andmekaitseametnik

Andmekaitseametniku määramise eemärk on parandada määruse järgimist. Seega peab andmekaitseametnik olema inimene, kes tunneb eksperttasandil andmekaitsealast õigust ja tava, ning ta peab aitama vastutaval või volitatud töötlejal teostada järelevalvet määruse asutusesisese täitmise üle. Ta võib olla vastutava töötleja või volitatud töötleja koosseisuline töötaja või täita ülesandeid teenuslepingu alusel. Üks andmekaitseametnik võidakse määrata ka kontsernile või juhul, kui vastutav töötleja või volitatud töötleja on avaliku sektori asutus. Nõukogu esimese lugemise seisukohas on ette nähtud andmekaitseametniku kohustuslik määramine, kui:

— andmeid töötleb avaliku sektori asutus, välja arvatud kohtud või sõltumatud õigusasutused õigust mõistva funktsiooni täitmisel,

— vastutava töötleja või volitatud töötleja põhitegevuse moodustavad töötlemistoimingud, mille laad, ulatus ja/või eesmärk tingivad andmesubjektide korrapärase ja süstemaatilise ulatusliku jälgimise, või

— vastutava töötleja või volitatud töötleja põhitegevuse moodustab tundlike andmete ja kriminaalasjades süüdimõistvate kohtuotsuste ja kuritegudega seotud andmete ulatuslik töötlemine.

5.6. Toimimisjuhendid ja sertifitseerimismehhanismid

Nõukogu esimese lugemise seisukohas motiveeritakse kohaldama toimimisjuhendeid ning edendatakse andmekaitse sertifitseerimismehhanismide ja andmekaitsepitserite ja -märgiste laiemat kasutamist. Need algatused aitavad kaasa andmekaitse-eeskirjade järgimisele, vältides samas liigselt ettekirjutavaid eeskirju ja vähendades jõustamise eest vastutavate avaliku sektori asutuste kulusid. Lisaks saab toimimisjuhenditega arvestada teatud sektorites toimuva töötlemise eriomadusi ning mikro-, väikeste ja keskmise suurusega ettevõtjate vajadusi. Sertifitseerimismehhanismid ning andmekaitsepitserid ja -märgised aitavad omakorda kaasa määruse järgimisele, kuna andmesubjektid saavad võimaluse hõlpsasti hinnata asjakohaste toodete ja teenuste andmekaitse taset.

Nõukogu esimese lugemise seisukoht hõlmab üksikasjalikke reegleid toimimisjuhendite ja sertifitseerimismehhanismide, andmekaitsepitserite ja -märgiste kohta, mis jätavad ruumi eraalgatusele, kuid kaitsevad samas järelevalveasutuste kaasamise kaudu andmekaitsestandardeid.

5.6.1. Toimimisjuhendid

Järelevalveasutus võib kinnitada toimimisjuhendid või selliste toimimisjuhendite muudatused või laiendused. Kui toimimisjuhendi kavand on seotud mitmes liikmesriigis tehtavate töötlemistoimingutega, peab pädev järelevalveasutus esitama toimimisjuhendi kavandi või toimimisjuhendi muudatuse või laienduse enne kinnitamist arvamuse saamiseks Euroopa Andmekaitsenõukogule.

Komisjon võib vastu võtta rakendusaktid, milles otsustatakse, et pädeva järelevalveasutuse poolt kinnitatud uued toimimisjuhendid ning nende muudatused ja laiendused kehtivad terves liidus.

Euroopa Andmekaitsenõukogu peaks toetama toimimisjuhendite koostamist. Samuti peab ta koondama kõik heakskiidetud toimimisjuhendid ja nende muudatused registrisse ja tegema need sobival viisil üldsusele kättesaadavaks.

5.6.2. Sertifitseerimismehhanismid, andmekaitsepitserid ja -märgised

Nõukogu esimese lugemise seisukohas on sätestatud, et iga liikmesriik peab ette nägema, kas sertifitseerimisasutusi akrediteerib järelevalveasutus või riiklik akrediteerimisasutus. Akrediteeritud sertifitseerimisasutused võivad vastutavaid töötlejaid ja volitatud töötlejaid sertifitseerida kriteeriumide alusel, mille on heaks kiitnud pädev järelevalveasutus või kooskõlas järjepidevusmehhanismiga Euroopa Andmekaitsenõukogu. Viimasel juhul võib Euroopa Andmekaitsenõukogu heakskiidetud kriteeriumide tulemuseks olla ühine sertifikaat: Euroopa andmekaitsepitser. Sertifikaat antakse vastutavale või volitatud töötlejale maksimaalselt kolmeks aastaks ja selle kehtivust on võimalik pikendada. Sertifitseerimisasutus peab esitama järelevalveasutusele taotletud sertifikaadi väljastamise või sertifikaadi tagasivõtmise põhjused. Järelevalveasutus võib seejärel sellise sertifikaadi tagasi lükata või kehtetuks tunnistada.

Komisjonil on õigus vastu võtta delegeeritud õigusakte, et määrata kindlaks nõuded, mida tuleb arvesse võtta andmekaitse sertifitseerimise mehhanismide puhul. Euroopa Andmekaitsenõukogu peab esitama arvamuse nende nõuete kohta. Komisjon võib vastu võtta ka rakendusakte sertifitseerimismehhanismide ja andmekaitsepitserite ja -märgiste tehniliste standardite ning kasutuselevõtu edendamise ja tunnustamise mehhanismide kohta.

Euroopa Andmekaitsenõukogu peaks ergutama ka andmekaitse sertifitseerimise mehhanismide ning andmekaitsepitserite ja -märgiste kasutuselevõtmist.

6. Isikuandmete edastamine kolmandatele riikidele või rahvusvahelistele organisatsioonidele

6.1. Sissejuhatus

Isikuandmete piiriülene liikumine liitu mitte kuuluvatesse riikidesse ja rahvusvahelistele organisatsioonidele ning nendest riikidest ja organisatsioonidest liitu on ülemaailmse kaubanduse ja piiriülese digitaalmajanduse kontekstis väga tähtis. Kui ELi kodanike isikuandmeid edastatakse liidust välja, ei tohi liidu tagatava kaitse tase halveneda.

Üldreeglina võib isikuandmete edastamine kolmandale riigile või rahvusvahelisele organisatsioonile toimuda ainult juhul, kui vastutavad töötlejad ja volitatud töötlejad järgivad määruse eeskirju. Nõukogu esimese lugemise seisukohas võetakse täielikult arvesse Euroopa Liidu Kohtu praktikat, sealhulgas selle 6. oktoobri 2015. aasta otsust kohtuasjas C-362/14. Nõukogu seisukohas on esitatud erinevad viisid isikuandmete piiriülese edastamise lubamiseks ja samas suurendatakse selles andmekaitseõiguste austamise tagatisi. Need erinevad isikuandmete edastamise viisid on edastamine kaitse piisavuse otsuse alusel, edastamine asjakohaste kaitsemeetmete abil ja erandid.

Nõukogu esimese lugemise seisukohas selgitatakse, et kolmanda riigi kohtu või haldusasutuse otsust, millega nõutakse vastutavalt töötlejalt või volitatud töötlejalt isikuandmete edastamist või avaldamist, võib tunnustada ja selle mis tahes viisil täitmisele pöörata üksnes siis, kui kõnealune otsus põhineb nõude esitanud kolmanda riigi ja liidu või liikmesriigi vahel kehtival rahvusvahelisel lepingul. Lisaks on nõukogu esimese lugemise seisukohas selgesõnaliselt ette nähtud, et sellised rahvusvahelised lepingud ei mõjuta muid määruses ette nähtud andmete piiriülese edastamise aluseid.

6.2. Kaitse piisavuse otsused

Rahvusvaheline andmete edastamine võib toimuda komisjoni kaitse piisavuse otsuse alusel, mille kohaselt kõnealune kolmas riik või kolmanda riigi territoorium või üks või mitu kolmanda riigi kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse, mis vastab sisuliselt liidus tagatava kaitse tasemele. Seega nähakse ette õiguskindlus ja ühtsus kogu liidus.

Komisjon võib otsustada kaitse piisavuse otsuse tühistada, teavitades sellest kolmandat riiki või rahvusvahelist organisatsiooni ja esitades talle täieliku põhjenduse. Komisjon võtab kaitse piisavuse otsuseid ja selliste otsuste tühistamise otsuseid vastu rakendusaktidena. Rakendusaktides peab olema ette nähtud perioodilise läbivaatamise mehhanism, mida tuleb rakendada vähemalt iga nelja aasta järel. Komisjon peab jälgima suundumusi kolmandates riikides ja rahvusvahelistes organisatsioonides, mis võiksid mõjutada kaitse piisavuse otsuste toimimist. Järelevalve ja korrapäraste läbivaatamiste teostamisel peaks komisjon võtma arvesse Euroopa Parlamendi ja nõukogu ning samuti teiste asjakohaste asutuste ja allikate arvamusi ja järeldusi. Samuti peab komisjon määruse hindamise ja läbivaatamise kontekstis andma korrapäraste ajavahemike järel aru nõukogule ja Euroopa Parlamendile. Euroopa Andmekaitsenõukogu peab esitama komisjonile ka arvamuse kaitse taseme piisavuse hindamiseks kolmandas riigis või rahvusvahelises organisatsioonis, sealhulgas selleks, et hinnata, kas piisaval tasemel kaitse ei ole enam tagatud.

Otsused, mille komisjon on vastu võtnud vastavalt direktiivi 95/46/EÜ artikli 25 lõikele 6, jäävad jõusse, kuni neid komisjoni otsusega muudetakse või need sellise otsusega asendatakse või kehtetuks tunnistatakse. Samamoodi jäävad kehtima liikmesriigi või järelevalveasutuse poolt direktiivi 95/46/EÜ artikli 26 lõike 2 alusel antud load ja komisjoni poolt direktiivi 95/46/EÜ artikli 26 lõike 4 kohaselt vastu võetud otsused, kuni see järelevalveasutus või komisjoni otsus neid vajaduse korral muudab, need asendab või need kehtetuks tunnistab. Tagades järjepidevuse, annab nõukogu esimese lugemise seisukoht õiguskindluse.

6.3. Asjakohased kaitsemeetmed

Lisaks kaitse piisavuse otsustele võib piiriülene andmete edastamine toimuda ka siis, kui vastutav töötleja või volitatud töötleja on võtnud asjakohaseid kaitsemeetmeid, et kompenseerida isikuandmete kaitse puudulikku taset kolmandas riigis või rahvusvahelises organisatsioonis. Sellised kaitsemeetmed võivad hõlmata järgmist: õiguslikult siduvad ja jõustatavad dokumendid avaliku sektori asutuste või organite vahel, siduvad kontsernisisesed eeskirjad, komisjoni vastu võetud standardsed andmekaitseklauslid, järelevalveasutuse vastu võetud standardsed andmekaitseklauslid või järelevalveasutuse heaks kiidetud lepingu tüüptingimused. Kolmanda riigi vastutavad töötlejad või volitatud töötlejad võivad samuti tagada asjakohased kaitsemeetmed isikuandmete edastamiseks kolmandatele riikidele või rahvusvahelistele organisatsioonidele. Nad võivad seda teha heakskiidetud toimimisjuhendiga, millega kaasnevad siduvad ja jõustatavad kohustused asjakohaste kaitsemeetmete, sealhulgas andmesubjektide õigustega seotud kaitsemeetmete kohaldamiseks lepingu või muu õiguslikult siduva dokumendi alusel. Nad võivad seda teha ka pädeva järelevalveasutuse poolt heaks kiidetud sertifitseerimismehhanismiga, koos kolmanda riigi vastutava töötleja või volitatud töötleja siduvate ja jõustatavate kohustustega rakendada asjakohaseid kaitsemeetmeid, sealhulgas andmesubjektide õiguste osas.

6.4. Erandid

Kaitse piisavuse otsuse või asjakohaste kaitsemeetmete puudumise korral võib üks või mitu isikuandmete edastamist kolmandale riigile või rahvusvahelisele organisatsioonile toimuda määruses ammendavalt loetletud erandite alusel. Üks neist eranditest puudutab vastutava töötleja õigustatud huve, kui andmesubjekti huvid või õigused ja vabadused ei kaalu selliseid huve üles. Vastutava töötleja õigustatud huvid on rangelt piiritletud, et tagada piisavad kaitsemeetmed isikuandmete piiriülesel edastamisel, ning neid võib kasutada ainult viimase abinõuna. Euroopa Andmekaitsenõukogu peab määruse järjepideva kohaldamise tagamise eesmärgil enda algatusel või komisjoni taotlusel koostama ja läbi vaatama suuniseid, soovitusi ja parimaid tavasid, et määratleda täiendavalt kriteeriumid ja nõuded andmete edastamiseks kaitse piisavuse otsuse või asjakohaste kaitsemeetmete puudumise korral.

7. Järelevalveasutused

7.1. Sõltumatus

Selleks et kaitsta üksikisikute põhiõigusi ja -vabadusi seoses nende isikuandmete töötlemisega ja hõlbustada isikuandmete vaba liikumist liidus, peab iga liikmesriik sätestama, et määruse kohaldamise järelevalve eest tema territooriumil vastutab üks või mitu sõltumatut avaliku sektori asutust. Iga järelevalveasutus ja selle liikmed peavad sellele järelevalveasutusele ja selle liikmetele antud ülesannete täitmisel ja volituste kasutamisel tegutsema täiesti sõltumatult ja ausalt.

Iga järelevalveasutus peab kaasa aitama määruse järjepideva kohaldamise tagamisele kogu liidus. Selleks peavad järelevalveasutused tegema koostööd üksteise ja Euroopa Andmekaitsenõukogu ning komisjoniga. Määruse järjepidev kohaldamine tagatakse veel järelevalveasutuste pädevuste sätestamisega ning järelevalveasutuste ülesannete ja minimaalsete uurimis-, parandus-, loaandmis- ja nõuandevolituste kindlaksmääramisega.

7.2. Ametisaladus

Nõukogu esimese lugemise seisukohas sätestatakse ametisaladust käsitlevad eeskirjad järelevalveasutustele ja nende liikmetele. Esiteks peab iga järelevalveasutuse liige või liikmed ja töötajad olema kooskõlas liidu või liikmesriigi õigusega kohustatud nii ametiaja jooksul kui ka pärast seda hoidma ametisaladust seoses igasuguse konfidentsiaalse teabega, mis on neile teatavaks saanud nende ülesannete täitmisel või volituste kasutamisel. Täiendavalt sätestatakse, et seda ametisaladuse hoidmise kohustust kohaldatakse liikmete ametiaja jooksul eelkõige juhtudel, kui üksikisikud teatavad määruse rikkumistest. Lisaks on Euroopa Andmekaitsenõukogul ülesanne välja anda suuniseid, soovitusi ja parimaid tavasid, et kehtestada ühised menetlused määruse rikkumistest teatamiseks üksikisikute poolt.

8. Koostöö ja järjepidevus

8.1. Euroopa Andmekaitsenõukogu

Nõukogu esimese lugemise seisukohaga asutatakse liidu juriidilisest isikust asutusena Euroopa Andmekaitsenõukogu, eesmärgiga tagada määruse õige ja järjepidev kohaldamine. Andmekaitsenõukogu tegevus hõlmab eelkõige arvamuste esitamist, siduvate otsuste vastuvõtmist järelevalveasutuste vaheliste vaidluste lahendamise kontekstis või suuniste andmist kõnealuse määruse kohaldamist puudutavates küsimustes, et tagada määruse ühtlane jõustamine.

Euroopa Andmekaitsenõukogu koosneb iga liikmesriigi ühe järelevalveasutuse juhatajast ja Euroopa Andmekaitseinspektorist või nende esindajatest. Komisjonil on õigus osaleda Euroopa Andmekaitsenõukogu tegevuses ja kohtumistel ilma hääleõiguseta. Kui Euroopa Andmekaitsenõukogu peab seda vajalikuks, on tema arutelud konfidentsiaalsed, nagu on ette nähtud töökorras.

Kui Euroopa Andmekaitsenõukogu võtab vaidluste lahendamise kontekstis vastu siduva otsuse, on Euroopa Andmekaitseinspektoril hääleõigus ainult nende otsuste üle hääletamisel, mis käsitlevad liidu institutsioonide, organite ja asutuste suhtes kohaldatavaid põhimõtteid ja eeskirju, mis vastavad sisuliselt määruse põhimõtetele ja eeskirjadele.

8.2. Järjepidevuse mehhanism

Isikuandmete piiriülese töötlemise korral, kui kaasatud on rohkem kui üks järelevalveasutus, tagab järjepidevuse mehhanism üheainsa, kogu Euroopa Liidus kohaldatava otsuse tegemise, võttes samas arvesse erinevate asjaomaste järelevalveasutuste arvamusi. Järjepidevuse mehhanism parandab seega lähedust andmesubjektide ja otsuseid tegeva järelevalveasutuse vahel, kaasates otsuste tegemise protsessi kohalikud järelevalveasutused. Lisaks on äsja loodud Euroopa Andmekaitsenõukogu erinevatest liikmesriikidest pärinevate järelevalveasutuste vaheliste vaidluste puhul pädev tegema siduvaid otsuseid.

Järjepidevuse mehhanismi eeskirju ei kohaldata juhul, kui töötlemist teostavad avaliku sektori või eraõiguslikud asutused avalikes huvides. Sellistel juhtudel on ainus pädev järelevalveasutus selle liikmesriigi järelevalveasutus, kus kõnealune avaliku sektori asutus või eraõiguslik asutus asub.

Nõukogu esimese lugemise seisukohas on ette nähtud, et kui komisjon hindab määrust, siis analüüsitakse koostöö- ja järjepidevuse mehhanismi kohaldamist.

9. Õiguskaitsevahendid, vastutus ja karistused

Nõukogu esimese lugemise seisukohas sätestatakse üksikasjalikud eeskirjad, mis annavad andmesubjektidele mitu võimalust õiguskaitsevahendite kasutamiseks, sealhulgas võimaluse nõuda määruse rikkumise tagajärjel saadud kahju puhul hüvitist.

9.1. Õigus esitada kaebus ja õigus kasutada õiguskaitsevahendit

Nõukogu esimese lugemise seisukohas nähakse ette, et igal andmesubjektil on õigus esitada kaebus järelevalveasutusele, kui ta on seisukohal, et teda puudutavate isikuandmete töötlemine ei ole määrusega kooskõlas. Lisaks on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit järelevalveasutuse teda puudutava siduva otsuse vastu. Tal õigus kasutada tõhusat õiguskaitsevahendit ka juhul, kui järelevalveasutus ei käsitle kaebust või ei anna teavet kaebuse menetlemise käigu või tulemuse kohta.

Samuti on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui ta leiab, et tema määruse kohaseid õigusi on rikutud tema isikuandmete sellise töötlemise tulemusel, mis ei ole määrusega kooskõlas.

Lähedus andmesubjekti ja siseriikliku kohtu vahel on tagatud sellega, et andmesubjektil on õigus sellele, et tema andmekaitseasutuse otsuse vaatab läbi tema siseriiklik kohus, olenemata sellest, millises liikmesriigis vastutav töötleja või volitatud töötleja on asutatud. Menetlus vastutava töötleja või volitatud töötleja vastu tuleb algatada selle liikmesriigi kohtus, kus vastutav töötleja või volitatud töötleja asub. Samuti võib menetluse algatada selle liikmesriigi kohtus, kus on andmesubjekti alaline elukoht, välja arvatud juhul, kui vastutav töötleja või volitatud töötleja on liikmesriigi avalikku võimu teostav avaliku sektori asutus.

Samuti on igal füüsilisel või juriidilisel isikul õigus esitada Euroopa Liidu Kohtule Euroopa Andmekaitsenõukogu otsuste tühistamiseks hagi Euroopa Liidu toimimise lepingu artiklis 263 sätestatud tingimustel.

9.2. Andmesubjektide esindamine

Andmesubjektil on õigus volitada konkreetsetele kriteeriumidele vastavaid asutusi, organisatsioone või ühendusi, näiteks selliseid, mis on mittetulunduslikud ja tegutsevad andmekaitse alal, esitama nende nimel kaebust ning kasutama nende nimel õiguskaitsevahendi kasutamise õigust ja õigust saada hüvitist, kui see on liikmesriigi õigusega ette nähtud. Need konkreetsed kriteeriumid on ette nähtud selleks, et vältida äriliste nõuete esitamise tava väljakujunemist andmekaitse valdkonnas. Lisaks võivad liikmesriigid ette näha, et igal sellisel asutusel, organisatsioonil või ühendusel on andmesubjekti volitusest sõltumatult õigus esitada asjaomases liikmesriigis pädevale järelevalveasutusele kaebus ning kasutada õiguskaitsevahendi kasutamise õigusi, kui ta leiab, et andmesubjekti õigusi on rikutud isikuandmete sellise töötlemise tulemusel, mis ei ole määrusega kooskõlas.

9.3. Menetluse peatamine

Vältimaks seda, et sama vastutava töötleja või volitatud töötleja tehtud töötlemisega seotud sama sisuga hagi menetletakse erinevates kohtutes, võib iga pädev kohus, välja arvatud kohus, kuhu pöörduti esimesena, peatada menetluse või loobuda ühe poole taotlusel pädevusest.

9.4. Õigus hüvitisele ja vastutus

Nõukogu esimese lugemise seisukohas nähakse ette, et igal andmesubjektil, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist. Selleks, et anda andmesubjektidele võimalus nõuda kahju korral hüvitist, andes samas vastutavatele töötlejatele ja volitatud töötlejatele õiguskindluse, on määruses kindlaks määratud nende vastutus. Iga töötlemisega seotud vastutav töötleja vastutab tema poolt tekitatud kahju eest. Volitatud töötleja vastutab ainult siis, kui ta ei ole täitnud määruse nõudeid, mis on suunatud konkreetselt volitatud töötlejatele, või kui ta pole järginud vastutava töötleja seaduslikke juhiseid või on tegutsenud nende vastaselt. Siiski vabastatakse vastutav töötleja või volitatud töötleja vastutusest, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.

Kui sama töötlemisega on seotud rohkem kui üks vastutav töötleja või volitatud töötleja või nii vastutav kui ka volitatud töötleja ning nad on vastutavad töötlemisega tekitatud kahju eest, võetakse iga vastutav töötleja või volitatud töötleja vastutusele kogu kahju eest, et tagada andmesubjektile tõhus hüvitamine. Kui aga vastutav töötleja või volitatud töötleja on tekitatud kahju täielikult hüvitanud, on sellel vastutaval töötlejal või volitatud töötlejal õigus nõuda teistelt sama töötlemisega seotud vastutavatelt töötlejatelt või volitatud töötlejatelt tagasi see hüvitise osa, mis vastab sellele osale kahjust, mille eest nemad vastutavad.

9.5. Karistused

Nõukogu esimese lugemise seisukohas nähakse määruse täitmise tagamiseks ette, et järelevalveasutused võivad määrata haldustrahve. Need trahvid peavad olema tõhusad, proportsionaalsed ja hoiatavad. Liikmesriigid võivad sätestada eeskirjad selle kohta, kas ja millisel määral võib haldustrahve määrata selles liikmesriigis asuvatele avaliku sektori asutustele ja organitele. Lisaks haldustrahvide määramisele võivad järelevalveasutused kasutada ka muid parandusvolitusi, nagu hoiatused või noomitused. Euroopa Andmekaitsenõukogu peab ühtlustamise suurendamiseks koostama järelevalveasutustele suunised seoses järelevalveasutuse parandusvolituste kohaldamise ja haldustrahvide kindlaksmääramisega.

Nõukogu esimese lugemise seisukoht sisaldab kriteeriumide loetelu järelevalveasutuse jaoks, mida tuleb kasutada haldustrahvi määramise üle otsustamisel ja trahvi määramise korral selle suuruse kehtestamisel. Need kriteeriumid on muu hulgas seotud määruse rikkumise laadi, raskusastme ja kestuse ning sellega, kas see pandi toime tahtlikult või hooletusest. Määruses on loetletud nii rikkumised kui ka neile vastavad maksimaalsed haldustrahvid. Nende maksimaalsete haldustrahvide piires peab järelevalveasutus määrama sobiva summa, sõltuvalt iga üksiku rikkumise asjaoludest. Õiguskindluse tagamiseks vastutavatele töötlejatele ja volitatud töötlejatele ning haldustrahvide ühtlustamiseks liidus on need rikkumised jaotatud kolme kategooriasse, jättes samas järelevalveasutustele kaalutlusruumi. Vastutavate töötlejate ja volitatud töötlejate kohustustega seotud esimese kategooria rikkumiste eest saab määrata kuni 10 000 000 euro suuruse trahvi, või ettevõtja puhul kuni 2 % tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Andmesubjektide õiguste ja üldpõhimõtete rikkumist käsitleva teise kategooria puhul on ülemmäär 20 000 000 eurot või 4 % käibest. Rikkumiste kolmas kategooria on seotud järelevalveasutuse korralduse täitmata jätmisega ning selle puhul on maksimaalne trahv samuti 20 000 000 eurot või 4 % käibest.

10. Andmete töötlemise eriolukorrad

10.1. Isikuandmete töötlemine ning sõna- ja teabevabadus

Liikmesriigid peavad õigusaktiga ette nägema isikuandmete kaitse õiguse ning sõna- ja teabevabaduse õiguse ühitamise, muu hulgas seoses isikuandmete töötlemisega ajakirjanduslikel eesmärkidel ning akadeemilise, kunstilise või kirjandusliku eneseväljenduse tarbeks. Iga liikmesriik peab nende õiguste ühitamise läbipaistvuse tagamiseks teavitama komisjoni oma õiguse asjakohastest sätetest ning nende sätete muudatustest, samuti uutest asjakohastest sätetest.

10.2. Töötlemine töösuhete kontekstis

Liikmesriigid võivad õigusakti või kollektiivlepingutega ette näha täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete kaitsega töösuhete kontekstis.

Need eeskirjad peavad hõlmama asjakohaseid ja konkreetseid meetmeid andmesubjekti inimväärikuse, õigustatud huvide ja põhiõiguste kaitseks. Iga liikmesriik peab teavitama komisjoni oma õiguse asjakohastest sätetest ning nende sätete muudatustest, samuti uutest asjakohastest sätetest.

10.3. Kaitsemeetmed ja erandid seoses isikuandmete töötlemisega avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil

Nõukogu esimese lugemise seisukohaga kehtestatakse erieeskirjad seoses isikuandmete töötlemisega avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil.Nende eeskirjade eesmärk on ühitada ühelt poolt huvi isikuandmete kättesaadavuse vastu, et pidada arhiive, teha statistikat ja teadustööd, ning teiselt poolt andmekaitseõigusi.

Avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil toimuva isikuandmete töötlemise suhtes tuleb kohaldada kooskõlas määrusega asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitseks. Liikmesriikidel on õigus määrata konkreetsetel tingimustel ja andmesubjektidele mõeldud asjakohaste kaitsemeetmete olemasolul spetsifikatsioonid ja erandid seoses teabenõuetega ning andmete parandamise ja kustutamise õigusega, õigusega olla unustatud, andmete töötlemise piiranguga ja andmete ülekandmise õigusega ning õigusega esitada vastuväiteid isikuandmete töötlemisel, mida tehakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil.

Nõukogu esimese lugemise seisukohas lubatakse erandeid ka tundlike isikuandmete töötlemise keelust, kui andmeid töödeldakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil. Selline erand on lubatud, kui kõnealune töötlemine põhineb liidu või liikmesriigi õigusaktil ja see peab olema proportsionaalne saavutatava eesmärgiga, austama isikuandmete kaitse õiguse olemust ning selles peavad olema ette nähtud sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks.

11. Varem sõlmitud lepingud

Nõukogu esimese lugemise seisukohas sätestatakse, et isikuandmete kolmandatele riikidele või rahvusvahelistele organisatsioonidele edastamist hõlmavad rahvusvahelised lepingud, mille liikmesriigid sõlmisid enne määruse jõustumist ja mis on kooskõlas enne määruse jõustumist kohaldatava liidu õigusega, jäävad jõusse kuni nende muutmise, asendamise või tühistamiseni. See tagab vastutavatele töötlejatele õiguskindluse ja väldib tarbetut halduskoormust liikmesriikide jaoks. Selles võetakse arvesse ka seda, et liikmesriigid sõltuvad kehtivate lepingute muutmisel kolmanda riigi või rahvusvahelise organisatsiooni koostöösoovist.

IV. KOKKUVÕTE

Nõukogu esimese lugemise seisukoht kajastab kompromissi, milleni jõuti nõukogu ja Euroopa Parlamendi vahelistel mitteametlikel läbirääkimistel, mille läbiviimist toetas komisjon. Nõukogu kutsub Euroopa Parlamenti üles kinnitama ametlikult nõukogu esimese lugemise seisukoha ilma muudatusteta, et saaks luua uue ELi andmekaitse õigusraamistiku, mis suurendab andmekaitsealaseid õigusi ja samal ajal hõlbustab isikuandmete liikumist digitaalsel turul.