ET Euroopa Liidu Teataja C 158/46

Nõukogu põhjendused: nõukogu esimese lugemise seisukoht (EL) nr 5/2016 eesmärgiga võtta vastu Euroopa Parlamendi ja nõukogu direktiiv, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK

(2016/C 158/02)

I. SISSEJUHATUS

Komisjon esitas 25. jaanuaril 2012 tervikliku andmekaitsepaketi, mis hõlmas järgmist:

— ettepanek isikuandmete kaitse üldmääruse kohta, millega on kavas asendada 1995. aasta andmekaitsedirektiiv (endine esimene sammas) (edaspidi „määruse eelnõu“);

— eespool nimetatud direktiiv üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta, (1) millega on kavas asendada 2008. aasta isikuandmete kaitse raamotsus (endine kolmas sammas) (edaspidi „direktiivi eelnõu“).

Euroopa Parlament võttis vastu oma seisukoha direktiivi eelnõu suhtes 2014. aasta märtsis (2).

Nõukogu leppis 9. oktoobril 2015 kokku üldises lähenemisviisis, (3) andes seeläbi eesistujariigile volitused alustada Euroopa Parlamendiga kolmepoolseid läbirääkimisi.

Euroopa Parlament kinnitas kodanikuvabaduste, justiits- ja siseasjade komisjoni tasandil 17. detsembril 2015 ning nõukogu alaliste esindajate komitee tasandil 18. detsembril 2015 kokkuleppe kompromissteksti suhtes, mis saavutati kolmepoolsete läbirääkimiste tulemusel.

Nõukogu saavutas oma 12. veebruaril toimunud istungil direktiivi eelnõu suhtes poliitilise kokkuleppe (4). Nõukogu võttis 8. aprillil 2016 vastu oma esimese lugemise seisukoha, mis on täielikult kooskõlas nõukogu ja Euroopa Parlamendi vahel toimunud mitteametlike läbirääkimiste käigus kokku lepitud direktiivi kompromisstekstiga.

Regioonide Komitee esitas määruse kohta arvamuse (ELT C 391, 18.12.2012, lk 127).

Konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas esimese arvamuse 2012. aastal (ELT C 192, 30.6.2012, lk 7) ja teise arvamuse 2015. aastal (ELT C 301, 12.9.2015, lk 1–8).

Põhiõiguste amet esitas arvamuse 1. oktoobril 2012.

II. ETTEPANEKU EESMÄRK

Direktiivi eelnõu eesmärk on tagada tõhus õigusalane koostöö kriminaalasjades ja politseikoostöö ning lihtsustada isikuandmete vahetamist liikmesriikide pädevate asutuste vahel, tagades samas füüsiliste isikute isikuandmete järjekindla kõrgetasemelise kaitse. Võrreldes nõukogu raamotsusega 2008/977/JSK, mille direktiivi eelnõu asendab, hõlmab direktiivi eelnõu ka riigisisest isikuandmete töötlemist.

Euroopa Liidu toimimise lepingu artikliga 16 luuakse uus spetsiifiline õiguslik alus isikuandmete kaitse normide vastuvõtmiseks, mida kohaldatakse ka isikuandmete töötlemise suhtes kriminaalasjadega seotud õigusalase koostöö ja politseikoostöö raames.

III. NÕUKOGU ESIMESE LUGEMISE SEISUKOHA ANALÜÜS

A. Üldmärkused

Direktiivi eelnõu on osa andmekaitse paketist. Teine ettepanek on eespool nimetatud isikuandmete kaitse üldmäärus.

Euroopa Parlament ja nõukogu on pidanud komisjoni direktiivi ettepaneku alusel mitteametlikke läbirääkimisi, eesmärgiga saavutada kokkulepe nõukogu esimese lugemise seisukoha vastuvõtmise etapis. Direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukoha tekst kajastab täielikult kompromissi, mis saavutati direktiivi osas kahe kaasseadusandja vahel, keda abistas Euroopa Komisjon. Seetõttu tuleb nõukogu esimese lugemise seisukohale tehtavaid viiteid käsitada viidetena kolmepoolsetel läbirääkimistel saavutatud kompromissile.

Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. Sellest lähtudes kehtestatakse nõukogu esimese lugemise seisukohas põhimõtted ja normid füüsiliste isikute kaitse kohta seoses nende isikuandmete töötlemisega. Kõnealuste põhimõtete ja normidega tuleb füüsiliste isikute kodakondsusest või elukohast sõltumata austada nende põhiõigusi ja -vabadusi, eelkõige õigust isikuandmete kaitsele.

Nõukogu esimese lugemise seisukoht järgib raamotsuse (5) ja komisjoni ettepaneku eesmärke, näiteks on alles raamotsusega sätestatud minimaalse ühtlustamise põhimõte. Direktiivi eelnõu tekst sisaldab selgesõnalisemaid ja konkreetsemaid sätteid raamotsuse enamuse sätete kohta, eelkõige on täiendavalt arendatud ja laiendatud sätteid, mis käsitlevad isikuandmete edastamist kolmandatele riikidele või rahvusvahelistele organisatsioonidele.

Nõukogu saavutas 2015. aasta juunis üldise lähenemisviisi määruse eelnõu suhtes ja 2015. aasta oktoobris direktiivi eelnõu suhtes.

Euroopa Liidu toimimise lepinguga sätestati isikuandmete kaitse jaoks uus õiguslik alus, mis on kohaldatav kõigi poliitikavaldkondade suhtes, piiramata erinorme, mis sätestatakse ühise välis- ja julgeolekupoliitika valdkonnas. Lissaboni lepingule lisatud deklaratsioonis nr 21 tunnistatakse siiski, et kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas võib tekkida vajadus erinormide kehtestamiseks. Seetõttu ja võttes arvesse asjaolu, et direktiivi eelnõu on osa andmekaitse paketist, tegi nõukogu jõupingutusi, et viia direktiivi eelnõu mitme sätte tekst vastavusse määruse eelnõu tekstiga. Eelkõige oli see nii mõistete, põhimõtete, vastutavat töötlejat ja volitatud töötlejat käsitleva peatüki, kaitse piisavuse otsuste ja sõltumatuid järelevalveasutusi käsitleva peatüki osas. Seetõttu ei käsitleta neid teksti osasid käesolevas märkuses nii põhjalikult.

B. Peamised poliitilised küsimused

1. Kohaldamisala (materiaalne ja isikuline)

Nõukogu esimese lugemise seisukoha artikli 1 lõikes 1 kehtestatakse direktiivi eelnõu materiaalne kohaldamisala. See hõlmab isikuandmete töötlemist pädevate asutuste poolt süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil. See tähendab, et erinevalt raamotsusest 2008/977/JSK kohaldatakse direktiivi eelnõu ka riigisisese isikuandmete töötlemise suhtes.

Andmekaitse paketi teine pool ehk määruse eelnõu välistab oma kohaldamisalast direktiivi kohaldamisala, muutes need vastastikku välistavateks. Määruse eelnõu sisaldab üldnorme, samas kui direktiivi eelnõu kohaldatakse kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö spetsiifilise sektori suhtes.

Politsei ja teiste õiguskaitseasutuste töö hõlmab ka avaliku võimu teostamist sunnimeetmete võtmisega, näiteks politseitöö demonstratsioonidel, suurtel spordiüritustel ja massirahutustel. Nõukogu esimese lugemise seisukohaga püütakse võimaldada sellistel asutustel (peamiselt politseil) töödelda andmeid ühe ühtse õigusakti alusel, milleks on liikmesriigi õigusakt, millega direktiivi eelnõu võetakse liikmesriigi õigusse üle. Kui aga politsei töötleb isikuandmeid eesmärkidel, mis jäävad direktiivi eelnõu kohaldamisalast välja, kohaldatakse määruse eelnõu, nagu on täpsustatud allpool punktis 7. Kõnealuse sihi saavutamiseks täpsustati nõukogu esimese lugemise seisukohas direktiivi eelnõu kohaldamisala, lisades teksti „avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil“.

Isikulise kohaldamisala osas on nõukogu esimese lugemise seisukohas laiendatud kohaldamisala peale süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil pädevate avaliku sektorite asutuste ka sellistele asutustele või üksustele, kes teostavad liikmesriigi õiguse kohaselt avalikku võimu eespool nimetatud eesmärkidel. Kolmandates riikides asuvatele vastuvõtjatele, kes ei ole direktiivi eelnõu mõistes pädevad asutused, võivad aga isikuandmeid edastada vaid avaliku sektori asutused.

2. Isikuandmetega seotud põhimõtted

a) läbipaistvus

Erinevalt määruse eelnõu suhtes kujundatud nõukogu esimese lugemise seisukohast ei sisalda direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukohas esitatud isikuandmete töötlemisega seonduvad põhimõtted mõistet „läbipaistvus“, kuna õiguskaitse valdkonnas võib läbipaistvus ohustada läbiviidavaid uurimisi. Läbipaistvus on siiski lisatud põhimõtetega seonduvasse põhjendusse, tuues samas selgelt välja, et lubatud on sellised tegevused nagu varjatud jälitustoimingud või videovalve.

b) töötlemise turvalisus

Nõukogu esimese lugemise seisukohas lisatakse, et isikuandmeid tuleks töödelda viisil, mis tagab nende nõuetekohase turvalisuse, mis hõlmab kaitset loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustumise eest. Nõukogu esimese lugemise seisukohas lisatakse samuti, et sel eesmärgil tuleks kasutada asjakohaseid tehnilisi või korralduslikke meetmeid. See on kooskõlas määruse eelnõu tekstiga.

3. Edasine töötlemine

a) kokkusobivus

Edasise töötlemise küsimus ning küsimused selle kohta, kas seda võib teostada üksnes sama vastutav töötleja või kas seda võib teha ka muu vastutav töötleja, ning kas edasise töötlemise eesmärk peab vastama eesmärgile, mille jaoks andmed algselt koguti, põhjustasid määruse eelnõu arutamise käigus probleeme. Direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukohas leitakse, et artikli 1 lõikes 1 sätestatud mis tahes eesmärkidel teostatavat igasugust töötlemist tuleks käsitada lubatavana, kui vastutav töötleja oli volitatud töötlema sel eesmärgil isikuandmeid kooskõlas liidu või liikmesriigi õigusega ning kui töötlemine oli liidu või liikmesriigi õiguse kohaselt vajalik ja proportsionaalne muu eesmärgiga.

b) töötlemine muul eesmärgil direktiivi eelnõu kohaldamisalas

Nõukogu esimese lugemise seisukohas sätestatakse, et isikuandmete töötlemine sama või muu vastutava töötleja poolt mis tahes muudel artikli 1 lõikes 1 sätestatud eesmärkidel kui eesmärk, milleks isikuandmeid koguti, on lubatud ainult juhul, kui vastutav töötleja on volitatud töötlema selliseid isikuandmeid sellisel eesmärgil kooskõlas liidu või liikmesriigi õigusega ning töötlemine on vajalik ja proportsionaalne kõnealuse muu eesmärgiga, nagu on ette nähtud liidu või liikmesriigi õiguses. See võimaldab näiteks prokuröril töödelda süüteo eest vastutusele võtmise eesmärgil samu isikuandmeid, mida politsei oli töödelnud süüteo avastamiseks, tingimusel et mõlemad näites toodud eesmärgid on hõlmatud artikli 1 lõikega 1.

4. Säilitamise ja läbivaatamise ajalised piirangud

Nõukogu esimese lugemise seisukohas sätestatakse, et tuleb ette näha asjakohased tähtajad isikuandmete kustutamiseks või säilitatavate isikuandmete perioodiliseks läbivaatamiseks, et kontrollida nende säilitamise vajadust. Raamotsus sisaldas juba sätet tähtaegade kohta ning nõukogu esimese lugemise seisukohas peetakse sellise sätte lisamist kasulikuks.

Säte tugevdab artiklis 4 esitatud põhimõtet, et andmeid ei säilitata kauem, kui on nende töötlemise otstarbel vaja.

5. Andmesubjektide erinevad kategooriad

Nõukogu esimese lugemise seisukohas sätestatakse, et liikmesriigid peavad „asjakohasel juhul võimaluste piires“ nägema ette, et vastutav töötleja eristab isikuandmeid selgelt andmesubjektide erinevate kategooriate kaupa. Nõukogu esimese lugemise seisukohaga tagatakse siiski, et andmesubjektide erinevatesse kategooriatesse liigitamisega ei takistata põhiõiguste hartaga tagatud süütuse presumptsiooni õiguse kohaldamist, eelkõige kehtib see isikute osas, kelle puhul on tõsine alus arvata, et nad on toime pannud või panevad varsti toime süüteo.

6. Töötlemise seaduslikkus

Nõukogu esimese lugemise seisukohas sätestatakse, et isikuandmete töötlemine on seaduslik ainult sellisel juhul ja niivõrd, kui see on vajalik pädeva asutuse poolt süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil ning kui see põhineb liidu või liikmesriigi õigusel. Põhjendustes märgitakse selgesõnaliselt, et need tegevused hõlmavad andmesubjekti eluliste huvide kaitsmist.

Nõukogu esimese lugemise seisukohas täpsustatakse elemente, mida liikmesriikide andmekaitsealane õigus peab sisaldama, nagu näiteks töötlemise tulemused ja eesmärgid.

7. Andmete töötlemise eritingimused

Põhireegliks on, et isikuandmeid, mida pädev asutus algselt kogus direktiivi eelnõu artikli 1 lõikes 1 sätestatud eesmärkidel, tohib töödelda üksnes mõnel direktiivi eelnõu kohasel eesmärgil. Direktiivi eelnõu kohasel eesmärgil kõnealuste asutuste poolt algselt kogutud isikuandmeid võib siiski töödelda määruse eelnõu alusel, kui selline töötlemine on liidu või liikmesriigi õigusega lubatud, välja arvatud, kui töötlemine toimub liidu õiguse kohaldamisalasse mitte kuuluva tegevuse käigus. Nõukogu esimese lugemise seisukohas täpsustatakse samuti kaks juhtumit, mil kohaldatakse määruse eelnõu. Esiteks, kui liikmesriigi õigusega on pädevatele asutustele antud ülesanded, mida ei ole artikli 1 lõikes 1 sätestatud. Teiseks, määrust kohaldatakse ka isikuandmete töötlemise suhtes avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil, välja arvatud, kui töötlemine toimub liidu õiguse kohaldamisalasse mitte kuuluva tegevuse käigus.

8. Isikuandmete eriliigid

Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, vajavad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi märkimisväärselt ohustada. Nõukogu esimese lugemise seisukohaga võimaldatakse selliste andmete töötlemist, kuid üksnes juhul, kui see on rangelt vajalik ning tingimusel, et andmesubjektide õiguste ja vabaduste suhtes on kehtestatud asjakohased kaitsemeetmed. Lisaks on selline töötlemine lubatud üksnes tingimusel, et selleks on antud ELi või liikmesriigi õigusega luba andmesubjekti eluliste huvide kaitsmiseks või kui töötlemine on seotud andmetega, mille andmesubjekt on ilmselgelt avalikustanud.

Kuna direktiivi eelnõu ja määruse eelnõu moodustavad paketi osa, on direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukohas kategooriate loendi osas võetud kasutusele määruse eelnõus sätestatud kategooriad, lisades loetellu kategooriad „biomeetrilised andmed“ ja „seksuaalne sättumus“.

9. Automatiseeritud töötlusel põhinevate üksikotsuste tegemine, sealhulgas profiilianalüüs

Direktiivi eelnõus on sätestatud põhimõte, mille kohaselt üksnes automatiseeritud töötlusel põhinev otsus, sealhulgas profiilianalüüs, millel on andmesubjektile kahjulikud õiguslikud tagajärjed või märkimisväärne mõju, peab olema keelatud, välja arvatud kui see on lubatud liidu või liikmesriigi õigusega ning kui andmesubjektide õiguste ja vabaduste suhtes on kehtestatud asjakohased kaitsemeetmed. Sellised kaitsemeetmed peavad hõlmama vähemalt õigust otsesele isiklikule kontaktile vastutava töötleja poolt. Nõukogu esimese lugemise seisukohas märgitakse selgesõnaliselt, et üksnes automatiseeritud töötlusel põhinev otsus ei tohi tugineda artiklis 10 loetletud andmete eriliikidele, välja arvatud kui andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks on kehtestatud asjakohased kaitsemeetmed. Samuti on selgesõnaliselt sätestatud, et artiklis 10 loetletud andmete eriliikidele tuginev profiilianalüüs, mis põhjustaks diskrimineerimise, peab olema keelatud.

10. Andmesubjektide õigused

a) Andmesubjektile esitatav teade

Nõukogu esimese lugemise seisukohas sätestatakse andmesubjekti õigused. Selleks, et andmesubjektid saaksid oma õigusi kasutada, tuleb neid teavitada nende isikuandmete töötlemisest. See teave tuleb edastada hõlpsasti arusaadaval viisil kokkuvõtlikus, arusaadavas ja hõlpsasti kättesaadavas vormis ning see peaks olema kirjutatud selges ja lihtsas sõnastuses. Erinevalt määruse eelnõu tekstist ei nõuta direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukohas, et sellist teavet antakse läbipaistval viisil. Direktiiviga hõlmatud valdkonnas võib näiteks seada ohtu läbiviidava uurimise eesmärgi, kui andmesubjektile antakse uurimise varases etapis teave konkreetse uurimismeetme kohta.

b) Andmesubjekti teavitamine

Nõukogu esimese lugemise seisukohas sätestatakse, millist teavet tuleb andmesubjektile alati anda, nagu näiteks vastutava töötleja nimi ja kontaktandmed ning töötlemise eesmärk. Seda võib teha pädeva asutuse veebisaidil. Nõukogu esimese lugemise seisukohas nähakse samuti ette täiendav teave, mida tuleb konkreetsetel juhtudel anda. Nendeks on õiguslik alus, isikuandmete säilitamise ajavahemik ja isikuandmete vastuvõtjate kategooriad. Teatud asjaoludel on võimalik täiendava teabe hilisem või piiratud esitamine või esitamata jätmine, näiteks kui selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne, võttes arvesse asjaomase füüsilise isiku põhiõigusi ja õigustatud huve. Lisaks sellele ja seoses täiendava teabega peaks liikmesriikidel olema võimalik oma õigusaktidega sätestada, et isikuandmete töötlemise teatud kategooriate suhtes ei kohaldata teavitamiskohustust.

c) Juurdepääsuõigus

Nõukogu esimese lugemise seisukohas sätestatakse nii juurdepääsuõigus isikuandmetele kui ka selle õiguse piirangud. Liikmesriigid peaksid saama piirata juurdepääsuõigust täiendava teabe hilisema või piiratud esitamise või esitamata jätmisega samadel tingimustel. Kui juurdepääsuõigust on piiratud, peavad liikmesriigid sätestama, et vastutav töötleja teavitab andmesubjekti keeldumise põhjustest, välja arvatud kui andmesubjektile piiramise põhjuste kohta teabe esitamisega võidakse ohtu seada meetme, näiteks uurimise eesmärk.

d) Isikuandmete töötlemise piiramise erijuhud

Liikmesriigid peavad sätestama, et andmesubjektil on õigus oma isikuandmete parandamisele, kustutamisele või töötlemise piiramisele. Nõukogu esimese lugemise seisukohas on andmesubjektile kahel konkreetsel juhtumil lisatud võimalus isikuandmete kustutamise asemel nende töötlemist piirata. Esimene olukord on, kui andmesubjekt vaidlustab isikuandmete õigsuse ning nende õigsust või ebaõigsust ei ole võimalik kindlaks teha. Teine olukord on, kui isikuandmeid säilitatakse tõenditena. Vastavas põhjenduses täpsustatakse, et teine olukord esineb, kui on põhjendatult alust arvata, et andmete kustutamine võib mõjutada andmesubjekti õigustatud huve. Viimasel juhul saab andmeid töödelda üksnes põhjustel, mis välistasid nende kustutamise.

11. Andmesubjekti õiguste teostamine ja kontroll

Kui andmesubjektide õigus saada teavet, andmetele juurde pääseda, neid parandada, kustutada või nende töötlemist piirata on piiratud, peavad liikmesriigid võtma meetmeid, millega tagatakse, et andmesubjekti õigusi peaks olema võimalik teostada ka pädeva järelevalveasutuse kaudu.

12. Vastutav töötleja ja volitatud töötleja

Pädevad asutused kohaldavad direktiivi eelnõu kas siseriiklikult või kui isikuandmeid edastatakse ELi liikmesriikide vahel või kui isikuandmeid edastatakse kolmandatele riikidele või rahvusvahelistele organisatsioonidele. Pädevad asutused on määratletud kui avaliku sektori asutused või mis tahes muud asutused või üksused, kes teostavad liikmesriigi õiguse kohaselt avalikku võimu. Direktiivi eelnõu sätteid kohaldavad avaliku sektori asutused ning teatud tingimustel ka erasektori asutused. Kui kõnealuse direktiivi eelnõus määratletud pädevad asutused töötlevad isikuandmeid muudel kui direktiivis sätestatud eesmärkidel, peavad nad kohaldama määruse eelnõu. Seetõttu (nagu märgiti juba käesolevate põhjenduste sissejuhatuses) on nõukogu esimese lugemise seisukohaga teatud ulatuses omavahel ühtlustatud direktiivi eelnõu ja määruse eelnõu sätteid.

Kooskõlas määruse eelnõuga sätestatakse nõukogu esimese lugemise seisukohas, et vastutav töötleja peab rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse nende töötlemise vastavus kõnealusele direktiivile ja tõendatakse seda. Nõukogu esimese lugemise seisukohas sätestatakse selgesõnaliselt volitatud töötleja kohustused

— tegutseda ainult vastavalt vastutava töötleja juhtnööridele;

— tagada, et andmeid töötlema volitatud isikud järgivad konfidentsiaalsusnõudeid;

— teha vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik tõendamaks, et nad täidavad oma kohustusi.

13. Töötlemistoimingute registreerimine

Nõukogu esimese lugemise seisukohas kehtestatakse volitatud töötlejale registreerimisega seoses vähem kohustusi ning seetõttu on esimese lugemise seisukohas vastutava töötleja ja volitatud töötleja kohustused loetletud kahes eraldi lõikes. Nõukogu esimese lugemise seisukohas sätestatakse, et vastutav töötleja ega volitatud töötleja ei pea registreerima iga töötlemistoimingut, vaid registreerida tuleb üksnes töötlemise teatud kategooriad. Nõukogu esimese lugemise seisukohas sätestatakse, et lõike teiste osadega kohustatakse vastutavat töötlejat andma piisavalt teavet registreerimise eesmärgi saavutamiseks. Näiteks peab vastutav töötleja lisama teabe, mis käsitleb vastuvõtjate kategooriaid, kellele isikuandmeid on avalikustatud või avalikustatakse, isikuandmete kolmandale riigile või rahvusvahelisele organisatsioonile edastamise kategooriaid või võimaluse korral isikuandmete eri liikide kustutamiseks ette nähtud tähtaegu. Erinevalt määruse eelnõust peab vastutav töötleja samuti esitama teabe profiilianalüüsi kohta. Nõukogu esimese lugemise seisukohas sätestatakse, et volitatud töötleja peab ainult registreerima näiteks iga vastutava töötleja nimel tehtava töötlemise liigid ning võimaluse korral tehniliste ja korralduslike turvameetmete üldise kirjelduse.

14. Logimine

Logi pidamine on oluline, kuna võimaldab teha kindlaks automatiseeritud töötlemissüsteemides teatud töötlemistoimingute (nagu näiteks kogumine, lugemine, avalikustamine ja edastamine) tegemise põhjenduse, kuupäeva ja aja. Lugemist ja avalikustamist kajastavad logid võimaldavad ka teha kindlaks isikuandmeid lugenud või avalikustanud isiku ning selliste isikuandmete vastuvõtjate nimed. Kooskõlas raamotsusega kasutatakse logisid üksnes isikuandmete töötlemise toimingute seaduslikkuse kontrollimiseks, siseseireks ning isikuandmete tervikluse ja turvalisuse tagamiseks. Direktiivi eelnõus on uus element, mille kohaselt saab logisid kasutada ka kriminaalmenetlustes. Automatiseeritud töötlemissüsteemide direktiivi eelnõuga vastavusse viimine on siiski väga kohmakas, aeganõudev ja kulukas protsess. Seetõttu võimaldab nõukogu esimese lugemise seisukoht erandjuhul pikendada ülevõtmise perioodi, et viia direktiivi eelnõuga vastavusse automatiseeritud töötlemissüsteemid, mis olid loodud enne direktiivi eelnõu jõustumist, kui see nõuaks ebaproportsionaalset jõupingutust. Automatiseeritud töötlemissüsteemide vastavusseviimiseks nähakse erandjuhtudel ette rakendamisperioodi täiendav pikendamine, kui tegemist on enne direktiivi eelnõu jõustumist loodud automatiseeritud töötlemissüsteemiga ning kui vastavusseviimine tekitaks tõsiseid raskusi kõnealuse konkreetse automatiseeritud töötlemissüsteemi toimimises.

15. Mõju hindamine

Kuigi komisjoni algses ettepanekus ei nähtud ette andmekaitsealast mõjuhinnangut, sisaldab määruse eelnõu tekst artiklit mõju hindamise kohta ning sama kehtib ka direktiivi eelnõu suhtes kujundatud nõukogu esimese lugemise seisukoha osas. Nõukogu esimese lugemise seisukohas sätestatakse vastutava töötleja kohustus teostada mõjuhindamine. Mõjuhindamine on vajalik enne, kui vastutav töötleja saab läbi viia töötlemise, mis tõenäoliselt võib tekitada suurt ohtu füüsiliste isikute õigustele ja vabadustele.

Direktiivi eelnõus sätestatakse olukorrad, mil mõjuhindamine on kohustuslik, ning tehakse seda sarnaselt määruse eelnõu tekstis sätestatule. Mõjuhindamise kohustuslikke elemente sätestav tekst on määruse eelnõuga võrreldes siiski vähem üksikasjalik. Hindamine peab sisaldama vähemalt läbiviidava töötlemise üldist kirjeldust, andmesubjektide õigusi ja vabadusi ohustavate asjaolude hindamist, kaitsemeetmeid ning julgeolekumeetmeid ja mehhanisme, mis tagavad isikuandmete kaitse ja tõendavad kooskõla direktiivi eelnõu sätetega.

16. Andmekaitseametnik

Nõukogu esimese lugemise seisukohas nähakse ette, et liikmesriigid sätestavad, et vastutav töötleja määrab andmekaitseametniku. Liikmesriikidel peaks siiski olema võimalik vabastada sellest kohustusest kohtud ja muud õigusasutused, kui nad täidavad õigusemõistmise funktsioone. Andmekaitseametniku määramise eesmärk on parandada kooskõla direktiivi eelnõu sätetega.

17. Isikuandmete edastamine

Isikuandmete edastamist käsitlevad normid on vajalikud, et vahetada teavet kolmandate riikide ja rahvusvaheliste organisatsioonidega. Isikuandmete edastamise üldpõhimõtete osas on nõukogu esimese lugemise seisukohas täiendatud komisjoni ettepandud tingimusi, nõudes seda, et andmeid vastu võttev asutus oleks artikli 1 lõikes 1 sätestatud eesmärkidel pädev ning et juhul, kui isikuandmeid edastatakse või tehakse kättesaadavaks teisest liikmesriigist, oleks see liikmesriik andnud edastamiseks eelnevalt loa. Nõukogu esimese lugemise seisukohas nähakse samuti selgesõnaliselt ette, et kohaldada tuleb kõiki edastamist käsitleva peatüki sätteid, misläbi tagatakse, et direktiivi eelnõus tagatud füüsiliste isikute kaitse taset ei kahjustata.

Üldpõhimõtteid käsitleva artikliga sätestatakse vastutava töötleja jaoks valikud isikuandmete edastamiseks, mis on esitatud kahanevas eelistuse järjekorras ning mis algavad kaitse piisavuse otsustega. Järgmiseks on edastamine asjakohaste kaitsemeetmete kohaldamisel ning seejärel edastamine, mille suhtes kohaldatakse eriolukordades kasutatavaid erandeid. Kaitse piisavuse otsuseid käsitlevas artiklis viidatakse nüüd üksnes kaitse piisavuse otsustele, mis on määruse asemel vastu võetud direktiivi eelnõu alusel. Direktiivi eelnõus sätestatud isikuandmete kaitse taseme piisavuse hindamisel peab komisjon võtma arvesse samu elemente, mis on sätestatud määruse eelnõus.

Artiklite puhul, mis käsitlevad isikuandmete edastamist piisavate kaitsemeetmete ja konkreetsetes olukordades kasutatavate erandite alusel, täpsustatakse nõukogu esimese lugemise seisukohas, et selline isikuandmete edastamine peab olema dokumenteeritud ning dokumendid tuleb teha järelevalveasutusele kättesaadavaks; lisaks on täpsustatud dokumentide kohustuslikud elemendid.

Nõukogu esimese lugemise seisukohas lisatakse õiguslik alus, et edastada isikuandmeid kolmandates riikides asuvatele vastuvõtjatele; selline võimalus antakse pädevatele asutustele, mis on avaliku sektori asutused (ning mitte asutused või üksused, mis teostavad liikmesriigi õiguse kohaselt avalikku võimu). See võimalus on erand üldpõhimõttest, et isikuandmeid edastatakse ainult juhul, kui kolmanda riigi või rahvusvahelise organisatsiooni vastutav töötleja on pädev asutus direktiivi eelnõu artikli 1 lõike 1 eesmärgil. Nõukogu esimese lugemise seisukohas lubatakse seega eespool nimetatud pädevatel asutustel üksikute ja konkreetsete juhtumite korral ning juhul, kui järgitakse kõnealuse direktiivi muid sätteid ja täidetud on teatud arv ammendavalt loetletud tingimusi, edastada isikuandmed otse vastuvõtjatele, kuna rahvusvaheliste lepingute kohaselt ei ole alati võimalik anda nõutavat kiiret vastust. Nende tingimuste hulka kuulub see, et edastamine on rangelt vajalik edastava pädeva asutuse liidu või liikmesriigi õiguses sätestatud ülesande täitmiseks artikli 1 lõikes 1 sätestatud eesmärkidel, edastav pädev asutus leiab, et edastamine kolmanda riigi asutusele, kes on pädev artikli 1 lõikes 1 osutatud eesmärkidel, ei ole tõhus või asjakohane, eelkõige sellepärast, et seda ei ole võimalik teha õigeaegselt, ning edastav asutus teavitab vastuvõtjat konkreetsest eesmärgist või konkreetsetest eesmärkidest, milleks isikuandmete töötlemine on vajalik. Sarnaselt isikuandmete edastamisele piisavate kaitsemeetmete ja konkreetsetes olukordades kasutatavate erandite alusel, lisati edastamise dokumenteerimise kohustus. Selline edastamine võib olla eriti kasulik, kui isikuandmeid on vaja edastada kiiresti, et päästa kuriteo ohvriks langemise ohus oleva isiku elu või hoida ära lähiajal toimepandav kuritegu, sealhulgas terroriakt.

18. Järelevalveasutused

Järelevalveasutused teostavad kontrolli direktiivi eelnõu ja määruse eelnõu üle, et tagada direktiivi eelnõu sätete järgimine. Direktiivi eelnõus sätestatud järelevalveasutusi käsitlevad normid on suures osas üle võetud määruse eelnõu tekstist. Liikmesriikidel on lubatud sätestada, et määruse eelnõuga loodud järelevalveasutused võivad ka direktiivi eelnõu üle järelevalvet teostada. Direktiivi eelnõus nähakse siiski ette, et direktiivi eelnõus määratletud järelevalveasutused ei ole pädevad teostama järelevalvet kohtute töötlemistoimingute üle, kui nad täidavad õigusemõistmise funktsioone. Liikmesriigid peaksid olema võimelised ette nägema, et direktiivi eelnõus määratletud järelevalveasutused ei ole pädevad korraldama järelevalvet muude sõltumatute õigusasutuste töötlemistoimingute üle, kui nad täidavad õigusemõistmise funktsioone. See ei tähenda siiski, et selliste organite poolt läbiviidava töötlemise suhtes järelevalvet ei kohaldata. Seetõttu lisatakse asjaomases põhjenduses, et kohtute ja muude sõltumatute õigusasutuste töötlemistoimingute suhtes kohaldatakse sõltumatut järelevalvet kooskõlas Euroopa Liidu põhiõiguste hartaga.

19. Järelevalveasutuste volitused

Nõukogu esimese lugemise seisukohas sätestatakse, et järelevalveasutustel peaks olema igas liikmesriigis samad ülesanded ja tegelikud volitused, mis võimaldavad neil teostada tõhusat, usaldusväärset ja sidusat järelevalvet direktiivi eelnõu järgimise ja jõustamise üle kogu liidus.

Nõukogu esimese lugemise seisukohas liigitatakse järelevalveasutuste volitused, mis peavad olema seaduses sätestatud, kolme erinevasse kategooriasse, milleks on tõhusad uurimis-, parandus- ja nõuandevolitused ning lisaks volitus juhtida õigusasutuste tähelepanu direktiivi eelnõu kohaselt vastu võetud sätete rikkumisele.

20. Seos varem sõlmitud rahvusvaheliste lepingutega

Nõukogu esimese lugemise seisukohas täpsustatakse (kooskõlas määruse eelnõu käsitleva nõukogu esimese lugemise seisukohaga), et rahvusvahelised lepingud, mille liikmesriigid sõlmisid enne direktiivi eelnõu jõustumise kuupäeva ja mis on kooskõlas enne direktiivi eelnõu jõustumise kuupäeva kohaldatava liidu õigusega, jäävad jõusse kuni nende muutmise, asendamise või tühistamiseni. Nagu märgiti määruse eelnõu puhul, tagab kehtivate lepingute jõusse jäämine vastutavatele töötlejatele õiguskindluse.

IV. KOKKUVÕTE

Nõukogu esimese lugemise seisukoht kajastab kompromissi, milleni jõuti nõukogu ja Euroopa Parlamendi vahelistel läbirääkimistel, mille läbiviimist toetas komisjon. Nõukogu esimese lugemise seisukoha muudatusteta heakskiitmisega kehtestab Euroopa Parlament koos nõukoguga kõrged andmekaitsestandardid, mida kohaldatakse riigisiseselt ja piiriüleselt, mis võimaldab tõhustada õiguskaitseasutuste koostööd.

(1) 5833/12.

(2) 7428/14.

(3) 12555/15.

(4) 5463/16.

(5) Nõukogu 27. novembri 2008. aasta raamotsus 2008/977/JSK kriminaalasjades tehtava politsei- ja õigusalase koostöö raames töödeldavate isikuandmete kaitse kohta (ELT L 350, 30.12.2008, lk 60).