ET Euroopa Liidu Teataja C 139/6

Euroopa andmekaitseinspektori arvamus komisjoni ettepaneku kohta võtta vastu Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määrust (EÜ) nr 1060/2009 reitinguagentuuride kohta

2012/C 139/02

EUROOPA ANDMEKAITSEINSPEKTOR,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 16,

võttes arvesse Euroopa Liidu põhiõiguste hartat, eriti selle artikleid 7 ja 8,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (1),

võttes arvesse Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrust (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta, (2) eriti selle artikli 28 lõiget 2,

ON VASTU VÕTNUD JÄRGMISE ARVAMUSE:

1. SISSEJUHATUS

1.1. Konsulteerimine Euroopa andmekaitseinspektoriga

1. Käesolev arvamus kuulub Euroopa andmekaitseinspektori neljast finantssektorit käsitlevast arvamusest koosnevasse paketti, mis on vastu võetud samal päeval.

2. 15. novembril 2011 võttis komisjon vastu ettepaneku, mis käsitleb määrust, millega muudetakse määrust (EÜ) nr 1060/2009 reitinguagentuuride kohta (edaspidi „reitinguagentuuride määrus”) (3). Kõnealune ettepanek saadeti Euroopa andmekaitseinspektorile konsulteerimiseks 18. novembril 2011.

3. Euroopa andmekaitseinspektoril on hea meel asjaolu üle, et komisjon temaga konsulteeris, ning ta soovitab lisada vastuvõetava õigusakti preambulisse viite käesolevale arvamusele.

4. Euroopa andmekaitseinspektor siiski kahetseb, et komisjon ei konsulteerinud temaga ametlikult ei 7. detsembril 2010 jõustunud algse reitinguagentuuride määruse koostamise käigus ega seoses nimetatud määruse hiljutise muutmisega (4).

5. Seepärast leiab Euroopa andmekaitseinspektor, et käesolevas arvamuses on asjakohane ja kasulik käsitleda juba kehtiva reitinguagentuuride määrusega seotud küsimusi. Esiteks rõhutab ta reitinguagentuuride määruse enda võimalikku mõju andmekaitsele. Teiseks on käesolevas arvamuses esitatud analüüs otseselt seotud kehtivate õigusaktide ning muude sarnaseid sätteid sisaldavate pooleliolevate ja võimalike tulevaste ettepanekute kohaldamisega; näiteks nende ettepanekute kohaldamisega, mida on arutletud Euroopa andmekaitseinspektori arvamustes pangandusalaste õigusaktide läbivaatamist, finantsinstrumentide turge (finantsinstrumentide turgude direktiiv ja määrus) ning turu kuritarvitamist reguleeriva õigusaktide paketi kohta.

1.2. Ettepaneku ja kehtiva määruse eesmärgid ja ulatus

6. Komisjon leiab, et reitinguagentuurid on olulised finantsturgude osalised ja nende suhtes peab kehtima asjakohane õigusraamistik. Esimene reitinguagentuuride määrus jõustus 7. detsembril 2010. Sellega nõutakse reitinguagentuuridelt rangete tegevuseeskirjade järgimist, et vähendada võimalikke huvide konflikte ning tagada reitingute ja hindamismenetluste kõrge kvaliteet ja piisav läbipaistvus. Olemasolevad reitinguagentuurid pidid taotlema registreerimist ja täitma määruse nõuded 7. septembriks 2010.

7. Reitinguagentuuride määruse muudatused (määrus (EL) nr 513/2011) jõustusid 1. juunil 2011 ning nendega anti Euroopa Väärtpaberiturujärelevalvele (ESMA) ainuõigus teostada järelevalvet ELis registreeritud reitinguagentuuride üle, et tsentraliseerida ja lihtsustada nende registreerimist ja järelevalvet Euroopa tasandil.

8. Praeguse kavandatud õigusaktiga muudetakse reitinguagentuuride määrust, kuid ei asendata seda. Kavandatud läbivaatamise peamine poliitikaeesmärk on lahendada mitu reitinguagentuuride ja reitingute kasutamisega seotud probleemi, mida ei ole kehtivas reitinguagentuuride määruses piisavalt käsitletud.

1.3. Euroopa andmekaitseinspektori arvamuse eesmärk

9. Kuigi enamikus reitinguagentuuride määruse sätetes on käsitletud reitinguagentuuride tegevust ja selle üle teostatavat järelevalvet, võib õigusraamistiku rakendamine ja kohaldamine teatud juhtudel mõjutada üksikisikute õigusi seoses nende isikuandmete töötlemisega.

10. Reitinguagentuuride määrusega on lubatud teabe vahetamine ESMA, pädevate asutuste, valdkondlike pädevate asutuste ja võimalik, et ka kolmandate riikide vahel (5). Selline teave võib käsitleda üksikisikuid, näiteks krediidireitingualases tegevuses osalevaid isikuid ja reitinguagentuuride või krediidireitingualase tegevusega muul viisil lähedalt ja oluliselt seotud isikuid. Kõnealused sätted võivad avaldada asjaomastele isikutele andmekaitsealast mõju.

11. Eespool kirjeldatut arvesse võttes keskendutakse käesolevas arvamuses reitinguagentuuride määruse järgmistele eraelu puutumatuse ja andmekaitsega seotud tahkudele: 1) andmekaitsealaste õigusaktide kohaldatavus; 2) andmete edastamine kolmandatele riikidele; 3) juurdepääs telefonikõnede ja andmeedastuse andmetele ja 4) struktureeritud finantsinstrumentide ja perioodiliste karistusmaksetega seotud avalikustamisnõuded.

2. ETTEPANEKU ANALÜÜS

2.1. Andmekaitsealaste õigusaktide kohaldatavus (6)

12. Reitinguagentuuride määruse mitmes põhjenduses (7) on nimetatud põhiõiguste hartat, direktiivi 95/46/EÜ ja määrust (EÜ) nr 95/2001. Viide andmekaitsealaste õigusaktide kohaldatavusele tuleks aga lisada ka mõnda reitinguagentuuride määruse sisulisse sättesse.

13. Hea näide sellise sisulise sätte kohta leidub siseringitehinguid ja turuga manipuleerimist käsitleva Euroopa Parlamendi ja nõukogu määruse ettepaneku (8) artiklis 22, milles on sõnaselgelt sätestatud, et üldreeglina kohaldatakse ettepaneku raames isikuandmete töötlemise suhtes direktiivi 95/46/EÜ ja määrust (EÜ) nr 45/2001. Euroopa andmekaitseinspektor avaldas täna kõnealuse ettepaneku kohta arvamuse, milles ta väljendas väga suurt heameelt sellise üldsätte üle. Euroopa andmekaitseinspektor soovitab aga muuta viide direktiivile 95/46/EÜ selgemaks, täpsustades, et selle sätteid kohaldatakse vastavalt siseriiklikele eeskirjadele, millega direktiivi 95/46/EÜ rakendatakse.

14. See on asjakohane näiteks mitmesuguste isikuandmete vahetamist käsitlevate sätete puhul. Nimetatud sätted on täielikult seaduspärased, kuid neid tuleb kohaldada kooskõlas andmekaitsealaste õigusaktidega. Eelkõige tuleb vältida riski, et neid võidaks käsitada kõikehõlmava loana vahetada igasuguseid isikuandmeid. Sellist riski vähendaks oluliselt andmekaitsealastele õigusaktidele viitamine ka sisulistes sätetes (9).

15. Seepärast soovitab Euroopa andmekaitseinspektor lisada samasuguse sisulise sätte, nagu on siseringitehinguid ja turuga manipuleerimist käsitleva Euroopa Parlamendi ja nõukogu määruse ettepaneku (10) artiklis 22, võttes arvesse Euroopa andmekaitseinspektori soovitusi kõnealuse ettepaneku kohta, (11) st rõhutada kehtivate andmekaitsealaste õigusaktide kohaldatavust ning muuta viide direktiivile 95/46/EÜ selgemaks, täpsustades, et selle sätteid kohaldatakse vastavalt siseriiklikele eeskirjadele, millega direktiivi 95/46/EÜ rakendatakse.

2.2. Teabe vahetamine kolmandate riikidega (12)

16. Euroopa andmekaitseinspektor nimetab viitamist määrusele (EÜ) nr 45/2001 reitinguagentuuride määruse artikli 34 kolmandas lõigus seoses isikuandmete edastamisega kolmandatele riikidele.

17. Võttes aga arvesse sellise edastamisega kaasnevaid riske, soovitab Euroopa andmekaitseinspektor lisada konkreetsed kaitsemeetmed, nagu on tehtud siseringitehinguid ja turuga manipuleerimist käsitleva Euroopa Parlamendi ja nõukogu määruse ettepaneku artiklis 23. Oma arvamuses kõnealuse ettepaneku kohta kiidab Euroopa andmekaitseinspektor heaks sellise sätte kasutamise, mis sisaldab asjakohaseid kaitsemeetmeid, nagu iga juhtumi eraldi hindamine, andmete edastamise vajalikkuse tagamine ning isikuandmete piisava kaitsetaseme olemasolu andmeid vastuvõtvas kolmandas riigis.

2.3. ESMA volitus nõuda andmeid telefonikõnede ja andmeedastuse kohta (13)

2.3.1. Õigusasutuse luba

18. Artikli 23c lõike 1 punktis e on sätestatud, et oma kohustuste täitmiseks kõnealuse määruse raames võib ESMA korraldada vajalikke uurimisi. Sel eesmärgil antakse ESMA ametnikele ja muudele volitatud isikutele õigus nõuda andmeid telefonikõnede ja andmeedastuse kohta. Asjaomase sätte üldine sõnastus tõstatab mõningaid kahtlusi seoses selle esemelise ja isikulise kohaldamisalaga. Peale selle on ESMA-l reitinguagentuuride määruse kohaselt vaja telefonikõnesid ja andmeedastust käsitlevatele andmetele juurdepääsu taotlemiseks õigusasutuse eelnevat luba, kui see on nõutav liikmesriigi õiguse kohaselt (14).

19. Määruse ettepanekus ei ole määratletud mõistet „andmed telefonikõnede ja andmeedastuse kohta”. Direktiivis 2002/58/EÜ (mida nüüd, pärast muutmist direktiiviga 2009/136/EÜ, nimetatakse eraelu puutumatust ja elektroonilist sidet käsitlevaks direktiiviks) on viidatud üksnes „liiklusandmetele”, kuid mitte „andmetele telefonikõnede ja andmeedastuse kohta”. On ilmselge, et kõnealuste mõistete täpne tähendus määrab kindlaks selle, millist mõju võivad uurimisvolitused asjaomaste isikute eraelu puutumatusele ja andmekaitsele avaldada. Euroopa andmekaitseinspektor soovitab kasutada direktiivis 2002/58/EÜ „liiklusandmete” määratluses juba kehtestatud terminoloogiat.

20. Elektrooniliste sidevahendite kasutamist käsitlevad andmed võivad hõlmata väga mitmesuguseid isikuandmeid, näiteks kõne alustaja ja vastuvõtja identiteet, kõne aeg ja kestus, kasutatud võrk, kaasaskantavate seadmete puhul isiku geograafiline asukoht jne. Peale selle võivad mõned Interneti ja e-posti kasutamisega seotud liiklusandmed (näiteks külastatud veebisaitide loetelu) paljastada olulisi üksikasju teabevahetuse sisu kohta. Ühtlasi on liiklusandmete töötlemine vastuolus kirjavahetuse konfidentsiaalsusega. Seda arvesse võttes on direktiivis 2002/58/EÜ kehtestatud põhimõte, mille kohaselt tuleb liiklusandmed, mida ei ole side edastamiseks enam vaja, kustutada või muuta anonüümseteks (15). Nimetatud direktiivi artikli 15 lõike 1 kohaselt võivad liikmesriigid lisada siseriiklikesse õigusaktidesse erandeid konkreetsetel seaduslikel eesmärkidel, kui need erandid on demokraatlikus ühiskonnas asjaomaste eesmärkide saavutamiseks vajalikud, otstarbekad ja proportsionaalsed (16).

21. Euroopa andmekaitseinspektor tunnistab, et reitinguagentuuride määruse puhul on komisjoni eesmärgid seaduslikud. Ta mõistab vajadust selliste algatuste järele, millega püütakse tõhustada järelevalvet finantsturgude üle, et tagada nende nõuetelevastavus ja kaitsta paremini nii investoreid kui ka majandust tervikuna. Ent liiklusandmetega otseselt seotud uurimisvolitused peavad nende võimalikku sekkuvat olemust arvesse võttes vastama vajalikkuse ja proportsionaalsuse nõuetele, st need peavad piirduma sellega, mis on asjakohane taotletava eesmärgi täitmiseks, ega tohi minna kaugemale selle saavutamiseks vajalikust (17). Seda arvestades on väga tähtis, et nii nende isikuline ja esemeline kohaldamisala kui ka nende kasutamise asjaolud ja tingimused oleksid selgelt koostatud. Peale selle tuleb näha ette piisavad kaitsemeetmed väärkasutamise ohu vältimiseks.

22. Artikliga 23c antakse ESMA-le volitused korraldada uurimisi krediidireitingualases tegevuses osalevate isikute ja reitinguagentuuride või krediidireitingualase tegevusega muul viisil lähedalt ja oluliselt seotud isikute suhtes. Artikli 23b kohaselt võidakse nendelt füüsilistelt isikutelt ühtlasi nõuda ESMA-le kogu vajalikuks peetava teabe esitamist.

23. Need sätted näitavad selgelt, et reitinguagentuuride määruse alusel toimub isikuandmete vahetamine. Tundub tõenäoline – või vähemalt ei saa välistada –, et asjaomased andmed telefonikõnede ja andmeedastuse kohta hõlmavad isikuandmeid direktiivi 95/46/EÜ, määruse (EÜ) nr 45/2001 ja teatud määral ka direktiivi 2002/58/EÜ tähenduses, st andmeid, mis käsitlevad tuvastatud või tuvastatavate füüsiliste isikute telefonikõnesid ja andmeedastust (18). Sellisel juhul tuleb tagada, et järgitakse täielikult tingimusi, mis on sätestatud direktiivides ja määruses isikuandmete õiglase ja seadusliku töötlemise suhtes.

24. Euroopa andmekaitseinspektor märgib, et artikli 23c lõikega 5 tehakse õigusasutuse luba kohustuslikuks juhul, kui see on nõutav liikmesriigi õiguse kohaselt. Euroopa andmekaitseinspektor leiab aga, et arvestades kõnealuse volituse võimalikku sekkuvat olemust ning asjaolu, et sobiliku õigusaktina otsustati kasutada määrust, on põhjendatud kehtestada kõikidel juhtudel üldine nõue saada õigusasutuse eelnev luba, olenemata asjaolust, kas seda siseriikliku õigusega nõutakse. Ühtlasi tuleb arvesse võtta, et mitmesugustes liikmesriikide õigusaktides on sätestatud eritagatised kodu puutumatuse kaitsmiseks ebaproportsionaalse ja hoolikalt reguleerimata kontrollimise, läbiotsimise või arestimise eest, eriti kui seda teostavad haldusasutused.

25. Nagu märgitud eespool punktis 2.1, ei ole järelevalveasutuste volitused taotleda juurdepääsu telefonikõnesid ja andmeedastust käsitlevatele andmetele Euroopa õiguses uus nähtus ning need on juba sätestatud mitmes kehtivas finantssektorit käsitlevas direktiivis ja määruses. Eelkõige sisaldavad sarnaselt sõnastatud sätteid turu kuritarvitamist käsitlev direktiiv, (19) finantsinstrumentide turgude direktiiv (20) ja eurofondide direktiiv (21). Sama kehtib ka komisjoni vastu võetud mitme hiljutise ettepaneku puhul – nimelt ettepanek võtta vastu direktiiv alternatiivsete investeerimisfondide valitsejate kohta, (22) määrus lühikeseks müügi ja krediidiriski vahetustehingute teatavate aspektide kohta (23) ning määrus energiaturu terviklikkuse ja läbipaistvuse kohta (24).

26. Nimetatud kehtivate ja kavandatavate õigusaktide puhul tuleb eristada riiklikele ametiasutustele antud uurimisvolitusi ning selliste volituste andmist ELi ametiasutustele. Liikmesriikidele on mitme õigusaktiga pandud kohustus anda riiklikele ametiasutustele õigus taotleda telefonikõnesid ja andmeedastust käsitlevaid andmeid kooskõlas siseriikliku õigusega (25). Sellest tulenevalt kohaldatakse selle kohustuse tegeliku täitmise suhtes igal juhul siseriiklikku õigust, sealhulgas direktiivide 95/46/EÜ ja 2002/58/EÜ rakendusakte ning riigi teisi õigusakte, mis sisaldavad täiendavaid menetluslikke kaitsemeetmeid seoses riiklike järelevalve- ja uurimisasutustega.

27. Selliseid tingimusi ei sisalda reitinguagentuuride määrus ega muud õigusaktid, millega antakse telefonikõnesid ja andmeedastust käsitlevate andmete taotlemise volitused otse ELi asutustele. Selle tagajärjel on sellistel juhtudel isegi suurem vajadus selgitada õigusaktis endas kõnealuste volituste isikulist ja esemelist kohaldamisala ning nende kasutamise asjaolusid ja tingimusi ning tagada, et väärkasutamise ohu vastu on olemas piisavad kaitsemeetmed.

28. Määruse artikli 23c lõike 1 punktiga e antakse ESMA-le volitused nõuda andmeid telefonikõnede ja andmeedastuse kohta. Nagu selgitatakse lähemalt allpool, ei ole selge selle sätte ulatus ja eelkõige väljendi „andmed telefonikõnede ja andmeedastuse kohta” tähendus.

2.3.2. Telefonikõnesid ja andmeedastust käsitlevate andmete määratlus

29. Väljendi „andmed telefonikõnede ja andmeedastuse kohta” määratlus ei ole täiesti selge ja vajab seetõttu lähemat selgitamist. Sättes võidakse viidata sellistele telefonikõnesid ja andmeedastust käsitlevatele andmetele, mida reitinguagentuurid on kohustatud oma tegevuse käigus säilitama. Määruses ei ole aga täpsustatud, kas ja milliseid telefonikõnesid ja andmeedastust käsitlevaid andmeid peavad reitinguagentuurid koguma (26). Seepärast on juhul, kui asjaomases sättes viidatakse reitinguagentuuride säilitatavatele andmetele, äärmiselt oluline täpselt määratleda, milliseid telefonikõnesid ja andmeedastust käsitlevaid andmekategooriaid tuleb säilitada ja milliseid neist võib ESMA taotleda. Kooskõlas proportsionaalsuse põhimõttega peavad sellised andmed olema piisavad ja asjakohased ega tohi ületada sellise järelevalvega seotud otstarbe piire, mille tarvis neid töödeldakse (27).

30. Suurem täpsus on vajalik eelkõige käesoleval juhul, võttes arvesse suuri trahve ja perioodilisi karistusmakseid, mida reitinguagentuuridele ja teistele asjaomastele isikutele (sealhulgas perioodiliste karistusmaksete puhul füüsilistele isikutele) võidakse määruse rikkumise eest määrata (vt artiklid 36a ja 36b).

31. Samuti tuleb märkida, et eespool nimetatud artikliga 37 delegeeritakse komisjonile volitused võtta vastu muudatused, millega lubatakse komisjonil muuta määruse lisasid, mis sisaldavad reitinguagentuuride suhtes kehtivate andmete säilitamise nõuete üksikasju ja seega kaudselt ka ESMA antud volitusi tutvuda andmetega telefonikõnede ja andmeedastuse kohta. ELi toimimise lepingu artiklis 290 on sätestatud, et seadusandliku aktiga võidakse komisjonile delegeerida õigus võtta vastu muid kui seadusandlikke akte, mis on üldkohaldatavad ja täiendavad või muudavad seadusandliku akti mitteolemuslikke osi. Euroopa andmekaitseinspektori arvamuse kohaselt ei saa liiklusandmeid käsitlevate andmetega tutvumise volituste täpset ulatust käsitada määruse mitteolemusliku osana. Seepärast tuleks esemelist kohaldamisala täpsustada otse määruse tekstis ja mitte lükata seda edasi tulevastesse delegeeritud aktidesse.

32. Euroopa andmekaitseinspektor saab aru, et artikli 23c lõike 1 punkti e eesmärk ei ole võimaldada ESMA-l saada juurdepääsu liiklusandmetele otse sideteenuste osutajatelt. See tundub olevat loogiline järeldus, võttes eelkõige arvesse asjaolu, et määruses ei ole kordagi viidatud sideteenuste osutajate käsutuses olevatele andmetele ega eespool punktis 20 nimetatud eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis sätestatud nõuetele (28). Selguse mõttes soovitab ta seepärast selle järelduse reitinguagentuuride määruse artiklis 23c ühemõttelisemalt sõnastada, jättes sõnaselgelt välja sideteenuste osutajate käsutuses olevad andmed.

33. Kui siiski nähakse ette õigus pääseda juurde liiklusandmetele otse sideteenuste osutajatelt, on Euroopa andmekaitseinspektoril tõsiseid kahtlusi seoses selle õiguse vajalikkuse ja proportsionaalsusega ning seepärast soovitab ta nimetatud õiguse sõnaselgelt välja jätta.

2.3.3. Juurdepääs isikuandmetele

34. Artikli 23c lõike 1 punktis e ei ole märgitud asjaolusid ega tingimusi, mille korral võib juurdepääsu taotleda. Samuti ei ole selles sätestatud olulisi menetluslikke tagatisi või kaitsemeetmeid väärkasutamise riski ennetamiseks. Järgmistes lõikudes esitab Euroopa andmekaitseinspektor selles küsimuses mõned konkreetsed soovitused.

35. Artikli 23c lõikes 1 on sätestatud, et reitinguagentuuride määruse raames oma kohustuste täitmiseks võib ESMA taotleda juurdepääsu telefonikõnesid ja andmeedastust käsitlevatele andmetele. Euroopa andmekaitseinspektori arvamuse kohaselt tuleb täpsemalt määratleda selliste volituste kasutamise asjaolud ja tingimused. Euroopa andmekaitseinspektor soovitab piirata juurdepääsu telefonikõnesid ja andmeedastust käsitlevatele andmetele juhtudega, kui tegemist on konkreetselt kindlaks määratud ja tõsiste määruse ettepaneku rikkumistega või kui on põhjendatud kahtlus (mida peavad toetama kindlad esialgsed tõendid), et selline rikkumine on aset leidnud. See piirang on väga oluline ka selleks, et hoida ära võimalus kasutada juurdepääsuvolitusi andmepüügiks, andmekaeveks või muudel eesmärkidel.

36. Peale selle soovitab Euroopa andmekaitseinspektor kehtestada pädevate asutuste suhtes nõude taotleda telefonikõnede ja andmeedastuse andmeid ametliku otsusega, milles on täpsustatud taotluse õiguslik alus ja eesmärk, millist teavet nõutakse, teabe esitamiseks ettenähtud aeg ning taotluse saaja õigus lasta otsus Euroopa Kohtul läbi vaadata.

2.4. Teabe avalikustamist käsitlevad sätted

2.4.1. Struktureeritud finantsinstrumente käsitlev teave

37. Reitinguagentuuride määruse praeguse muudatusettepaneku (29) kavandatavas artiklis 8a struktureeritud finantsinstrumente käsitleva teabe kohta on sätestatud, et struktureeritud finantsinstrumendi emitent, algataja ja sponsor avaldavad üldsusele teabe struktureeritud finantsinstrumendi krediidikvaliteedi ja individuaalsete alusvarade toimimise kohta, väärtpaberistatud tehingute struktuuri, rahavood ja mis tahes tagatise, mis toetab väärtpaberistatud positsiooni, samuti mis tahes teabe, mida on vaja põhjaliku ja teadliku stressitesti tegemiseks seoses rahavoogude ja aluspositsioone toetava tagatise väärtusega. Kohustus teave avalikustada ei laiene sellise teabe esitamisele, mis oleks vastuolus kohustuslike sätetega teabeallikate konfidentsiaalsuse või isikuandmete töötlemise kohta.

38. Kõnealune artikkel on suunatud struktureeritud finantsinstrumendi emitendile, algatajale ja sponsorile. Euroopa andmekaitseinspektor pooldab asjaolu, et reitinguagentuuride määruse praeguse muudatusettepaneku kavandatavas artiklis 8a on sätestatud, et kohustus teave üldsusele avalikustada ei laiene sellise teabe esitamisele, mis oleks vastuolus kohustuslike sätetega teabeallikate konfidentsiaalsuse või isikuandmete töötlemise kohta.

39. Euroopa andmekaitseinspektori arvamuse kohaselt on selline isikuandmete kaitset reguleerivate õigusaktidega pakutavate kaitsemeetmete rõhutamine samm õiges suunas, ent kooskõlas eespool esitatud soovitustega tuleks mõnes reitinguagentuuride määruse sisulises sättes selgelt ja otseselt viidata siseriiklikele eeskirjadele, millega rakendatakse direktiivi 95/46/EÜ.

2.4.2. Perioodilisi karistusmakseid käsitlev teave (30)

40. Reitinguagentuuride määruse artiklis 36d on sätestatud, et ESMA avalikustab kõik määratud perioodilised karistusmaksed, välja arvatud juhul, kui selline avalikustamine ohustaks tõsiselt finantsturge või tekitaks asjaomastele osalistele ebaproportsionaalset kahju.

41. Artikli 36b ja artikli 23b lõike 1 kohaselt võib perioodilisi karistusmakseid kohaldada krediidireitingualases tegevuses osalevate isikute ja reitinguagentuuride või krediidireitingualase tegevusega muul viisil lähedalt ja oluliselt seotud isikute suhtes.

42. Reitinguagentuuride määrusega antakse seega ESMA-le volitused määrata karistusi mitte üksnes reitinguagentuuridele, vaid ka rikkumise eest sisuliselt vastutavatele isikutele. Samamoodi kohustatakse artikliga 36d ESMAt avaldama kõik määruse ettepaneku rikkumise eest määratud perioodilised karistusmaksed.

43. Karistuste avaldamine aitaks suurendada nende hoiatavat mõju, heidutades tegelikke ja võimalikke toimepanijaid rikkumisi sooritamast, et vältida maine olulist kahjustamist. Ühtlasi suurendaks see läbipaistvust, teavitades turu korraldajaid asjaolust, et konkreetne isik on pannud toime rikkumise. Kõnealust kohustust leevendatakse ainult siis, kui avaldamine põhjustaks asjaomastele isikutele ebaproportsionaalset kahju, millisel juhul pädevad asutused avaldavad karistused anonüümselt.

44. Euroopa andmekaitseinspektor ei ole kindel, et praeguses sõnastuses vastab karistuste avaldamise kohustus andmekaitsealase õiguse nõuetele, mida Euroopa Kohus on selgitanud kohtuasjas Schecke tehtud otsuses (31). Ta on seisukohal, et kõnealuse meetme eesmärki, vajalikkust ja proportsionaalsust ei ole piisavalt tõendatud ning et igal juhul tuleb ette näha piisavad kaitsemeetmed seoses üksikisikute õiguste suhtes esinevate riskidega.

2.4.3. Karistuste kohustusliku avaldamise vajalikkus ja proportsionaalsus

45. Kohtuasjas Schecke tehtud otsuses tühistas Euroopa Kohus nõukogu määruse ja komisjoni määruse sätted, millega nähti ette põllumajandusfondidest toetuse saajaid käsitleva teabe, sealhulgas toetusesaajate isiku ja saadud summade kohustuslik avaldamine. Kohus leidis, et sellise avaldamise näol on tegemist Euroopa Liidu põhiõiguste harta (edaspidi „harta”) artikli 8 lõike 2 reguleerimisalasse kuuluva isikuandmete töötlemisega ning seega harta artiklites 7 ja 8 ette nähtud õiguste riivega.

46. Olles sedastanud, et „isikuandmete kaitse erandite ja piirangute puhul tuleb piirduda rangelt vajalikuga”, analüüsis kohus järgnevalt andmete avaldamise eesmärki ja selle proportsionaalsust. Kohtu järelduse kohaselt ei viidanud miski sellele, et nõukogu ja komisjon oleksid asjaomaste õigusaktide vastuvõtmisel vaaginud andmete avaldamise viisi, mis vastaks avaldamise eesmärgile, kuid oleks samas toetusesaajate suhtes vähem sekkuv.

47. Reitinguagentuuride määruse artikliga 36d paistavad kaasnevat samad puudused, mida Euroopa Kohus rõhutas kohtuasjas Schecke tehtud otsuses. Tuleb meeles pidada, et hinnates isikuandmete avalikustamist nõudva sätte vastavust andmekaitsenõuetele, on äärmiselt tähtis, et ettenähtud avaldamisel oleks selge ja täpselt määratletud eesmärk. Ainult selge ja täpselt määratletud eesmärgi olemasolu korral saab hinnata, kas asjaomaste isikuandmete avaldamine on tegelikult vajalik ja proportsionaalne (32).

48. Seepärast on Euroopa andmekaitseinspektorile jäänud mulje, et asjaomase meetme eesmärki ja seega ka selle vajalikkust ei ole selgelt kindlaks tehtud. Reitinguagentuuride määruse põhjendustes ei ole seda küsimust käsitletud. Kui üldeesmärk on suurendada hoiatavat mõju, siis tundub, et komisjon oleks pidanud selgitama eeskätt seda, miks ei oleks piisanud suurematest rahatrahvidest (või muudest karistustest, mis ei hõlma nimede esiletoomist ja häbistamist).

49. Peale selle oleks tulnud kaaluda vähem sekkuvaid meetodeid, nagu üksnes reitinguagentuuridega piirduv avaldamine või avaldamise otsustamine iga juhtumi puhul eraldi. Esmapilgul tundub eelkõige viimane võimalus olevat proportsionaalsem lahendus.

50. Euroopa andmekaitseinspektor leiab aga, et võimalus hinnata juhtumit selle konkreetsete asjaolude põhjal muudab kõnealuse lahenduse proportsionaalsemaks ning seega eelistatavaks kohustuslikule avaldamisele kõikide juhtumite puhul. Selline kaalutlusõigus võimaldaks ESMA-l näiteks vältida avaldamist vähemtähtsate rikkumiste puhul, kui rikkumisega ei kaasnenud olulist kahju, asjaomane isik on koostööaldis jne.

2.4.4. Piisavate kaitsemeetmete küsimus

51. Reitinguagentuuride määrusega oleks tulnud ette näha piisavad kaitsemeetmed, et tagada õiglane tasakaal eri huvide vahel. Esiteks on kaitsemeetmed vajalikud seoses asjaomaste isikute õigusega esitada edasikaebus ja süütuse presumptsiooniga. Artiklisse 36d oleks tulnud lisada sellekohane erisäte, et kohustada ESMAt võtma vajalikud meetmed seoses olukordadega, kus otsus edasi kaevatakse ning kus kohus selle lõpuks tühistab (33).

52. Teiseks tuleks reitinguagentuuride määruses tagada andmesubjektide õiguste ennetav järgimine. Euroopa andmekaitseinspektor hindab asjaolu, et reitinguagentuuride määrusega nähakse ette võimalus välistada avalikustamine juhul, kui see põhjustaks ebaproportsionaalset kahju. Ennetav lähenemisviis peaks aga tähendama seda, et andmesubjekte teavitatakse eelnevalt asjaolust, et otsus, millega neile perioodiline karistusmakse määratakse, avaldatakse ning et direktiivi 95/46/EÜ artikli 14 alusel on neil õigus esitada õigustatud ja veenvatel põhjustel vastuväiteid (34).

53. Kolmandaks – kuigi reitinguagentuuride määruses ei ole täpsustatud teabe avaldamise kanalit, võib ette kujutada, et tegelikkuses avaldatakse selline teave Internetis. Teabe avaldamisega Internetis kaasnevad eriküsimused ja -riskid eelkõige seoses vajadusega tagada, et teavet ei hoita Internetis kauem kui vajalik ning et andmeid ei ole võimalik manipuleerida ega muuta. Väliste otsingumootorite kasutamisega kaasneb ka risk, et teavet võidakse käsitleda kontekstiväliselt ning levitada seda veebis ja mujal viisil, mida on raske kontrollida (35).

54. Eespool kirjeldatut arvesse võttes tuleb kohustada ESMAt tagama, et asjaomaste isikute isikuandmeid hoitakse Internetis ainult mõistliku aja jooksul, mille möödumisel need süsteemselt kustutatakse (36). Peale selle tuleks liikmesriikidelt nõuda, et nad tagavad piisavate turva- ja kaitsemeetmete kehtestamise, eelkõige kaitseks väliste otsingumootorite kasutamisega seotud riskide eest (37).

2.4.5. Järeldus seoses perioodilisi karistusmakseid käsitleva teabe avaldamisega

55. Euroopa andmekaitseinspektor on seisukohal, et perioodiliste karistusmaksete kohustuslikku avaldamist käsitlev säte ei ole oma praeguses sõnastuses kooskõlas põhiõigusega eraelu puutumatusele ja andmekaitsele. Seadusandja peaks hoolega hindama kavandatud süsteemi vajalikkust ning kontrollima, kas avaldamiskohustus ei lähe kaugemale taotletava avaliku huvi eesmärgi täitmiseks vajalikust ja kas sama eesmärgi saavutamiseks ei ole vähem piiravaid meetmeid. Sõltuvalt sellise proportsionaalsuse analüüsi tulemustest peaksid avaldamiskohustust igal juhul toetama piisavad kaitsemeetmed, millega tagatakse süütuse presumptsiooni järgimine, asjaomaste inimeste õigus esitada vastuväiteid, andmete turvalisus/täpsus ning nende kustutamine piisava aja möödumisel.

3. JÄRELDUSED

56. Euroopa andmekaitseinspektor esitab järgmised soovitused: — lisada reitinguagentuuride määrusesse järgmiselt sõnastatud sisuline säte: „Seoses isikuandmete töötlemisega liikmesriikides käesoleva määruse raames kohaldavad pädevad asutused ja valdkondlikud pädevad asutused direktiivi 95/46/EÜ. Töödeldes isikuandmeid käesoleva määruse raames, järgib ESMA määrust (EÜ) nr 45/2001”; — lisada reitinguagentuuride määruse artiklisse 34 konkreetsed kaitsemeetmed nagu siseringitehinguid ja turuga manipuleerimist käsitleva Euroopa Parlamendi ja nõukogu määruse ettepaneku artiklis 23. Oma arvamuses nimetatud ettepaneku kohta tunnustab Euroopa andmekaitseinspektor sellise sätte kasutamist, mis sisaldab asjakohaseid kaitsemeetmeid, nagu iga juhtumi eraldi hindamine, edastamise vajalikkuse tagamine ning isikuandmete piisava kaitsetaseme olemasolu isikuandmeid vastuvõtvas kolmandas riigis; — selgelt täpsustada telefonikõnesid ja andmeedastust käsitlevate andmete liigid, mida reitinguagentuurid peavad säilitama ja/või ESMA-le esitama. Sellised andmed peavad olema piisavad ja asjakohased ega tohi minna kaugemale nende töötlemise eesmärgist; — sõnaselgelt sätestada, et hõlmatud ei ole juurdepääs telefonikõnesid ja andmeedastust käsitlevatele andmetele otse sideteenuste osutajatelt; — piirata õigust taotleda juurdepääsu telefonikõnesid ja andmeedastust käsitlevatele andmetele kindlaksmääratud ja tõsiste määruse ettepaneku rikkumistega ja juhtudega, kui on põhjendatud kahtlus (mida peavad toetama konkreetsed esialgsed tõendid), et selline rikkumine on aset leidnud; — hinnata perioodiliste karistusmaksete kavandatud kohustusliku avaldamise süsteemi vajalikkust ning kontrollida, kas avaldamiskohustus ei lähe kaugemale taotletava avaliku huvi eesmärgi täitmiseks vajalikust ja kas sama eesmärgi saavutamiseks ei ole vähem piiravaid meetmeid. Sõltuvalt sellise proportsionaalsuse analüüsi tulemustest peaksid avaldamiskohustust igal juhul toetama piisavad kaitsemeetmed, millega tagatakse süütuse presumptsiooni järgimine, asjaomaste inimeste õigus esitada vastuväiteid, andmete turvalisus/täpsus ning nende kustutamine piisava aja möödumisel.

Brüssel, 10. veebruar 2012 Euroopa andmekaitseinspektori asetäitja Giovanni BUTTARELLI

(1) EÜT L 281, 23.11.1995, lk 31.

(2) EÜT L 8, 12.1.2001, lk 1.

(3) KOM(2011) 747.

(4) 1. juunil 2011 jõustunud määrus (EL) nr 513/2011.

(5) Vt eelkõige reitinguagentuuride määruse artiklid 23 ja 27.

(6) Vt ka Euroopa andmekaitseinspektori hiljutised arvamused pangandusalaste õigusaktide läbivaatamist (punkt 2.1), finantsinstrumentide turge (finantsinstrumentide turgude direktiiv ja määrus) (punkt 2.1) ja turu kuritarvitamist (punkt 2.1) reguleeriva õigusaktide paketi kohta.

(7) Vt reitinguagentuuride määruse põhjendused 8, 33 ja 34.

(8) KOM(2011) 651.

(9) Reitinguagentuuride määrus sisaldab sätteid, millega lubatakse pädevatel asutustel ja valdkondlikel pädevatel asutustel omavahel või ESMAga teavet vahetada või millega neilt seda nõutakse. Eelkõige nõutakse määruse artikliga 27 ESMA-lt, valdkondlikelt pädevatelt asutustelt ja pädevatelt asutustelt üksteisele määrusest tulenevate ülesannete täitmiseks vajaliku teabe andmist. Artikliga 23c antakse ESMA-le ka volitused korraldada uurimisi krediidireitingualases tegevuses osalevate isikute või reitinguagentuuride või krediidireitingualase tegevusega muul viisil lähedalt ja oluliselt seotud isikute suhtes. Artikli 23b kohaselt võidakse nendelt füüsilistelt isikutelt ühtlasi nõuda ESMA-le kogu vajalikuks peetava teabe esitamist. Need sätted näitavad selgelt, et reitinguagentuuride määruse alusel toimub isikuandmete vahetamine.

(10) Komisjoni ettepanek: Euroopa Parlamendi ja nõukogu määrus siseringitehingute ja turuga manipuleerimise kohta, KOM(2011) 651.

(11) Vt Euroopa andmekaitseinspektori 10. veebruari 2012. aasta arvamus komisjoni ettepaneku kohta võtta vastu Euroopa Parlamendi ja nõukogu määrus siseringitehingute ja turuga manipuleerimise kohta, KOM(2011) 651.

(12) Vt ka Euroopa andmekaitseinspektori hiljutised arvamused pangandusalaste õigusaktide läbivaatamist (punkt 2.2), finantsinstrumentide turge (finantsinstrumentide turgude direktiiv ja määrus) (punkt 2.8) ja turu kuritarvitamist (punkt 2.5) reguleeriva õigusaktide paketi kohta.

(13) Vt ka Euroopa andmekaitseinspektori hiljutised arvamused finantsinstrumentide turgude (finantsinstrumentide turgude direktiiv ja määrus) (punkt 2.3) ja turu kuritarvitamise kohta (punkt 2.3.2).

(14) Artikli 23c lõige 5.

(15) Vt direktiivi 2002/58/EÜ artikli 6 lõige 1 (EÜT L 201, 31.7.2002, lk 37).

(16) Direktiivi 2002/58/EÜ artikli 15 lõikes 1 on sätestatud, et selline piiramine peab olema „vajalik, otstarbekas ja proportsionaalne abinõu selleks, et kaitsta direktiivi 95/46/EÜ artikli 13 lõikes 1 nimetatud riiklikku julgeolekut (s.t riigi julgeolekut), riigikaitset, avalikku korda, kriminaalkuritegude või elektroonilise sidesüsteemi volitamata kasutamise ennetamist, uurimist, avastamist ja kohtus menetlemist. Selleks võivad liikmesriigid muu hulgas võtta seadusandlikke meetmeid, millega nähakse ette andmete säilitamine piiratud aja jooksul käesolevas lõikes sätestatud põhjustel […]”.

(17) Vt nt Euroopa Kohtu otsus liidetud kohtuasjades C-92/09 ja C-93/09: Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) v. Land Hessen, EKLis veel avaldamata, punkt 74.

(18) Tavaliselt telefonikõne või andmeedastuse algatanud töötajad, aga ka vastuvõtjad ja teised asjaomased kasutajad.

(19) Euroopa Parlamendi ja nõukogu direktiiv 2003/6/EÜ, 28. jaanuar 2003, siseringitehingute ja turuga manipuleerimise (turu kuritarvitamise) kohta (ELT L 96, 12.4.2003, lk 16).

(20) Euroopa Parlamendi ja nõukogu direktiiv 2004/39/EÜ, 21. aprill 2004, finantsinstrumentide turgude kohta, millega muudetakse nõukogu direktiive 85/611/EMÜ ja 93/6/EMÜ ning Euroopa Parlamendi ja nõukogu direktiivi 2000/12/EÜ ja tunnistatakse kehtetuks nõukogu direktiiv 93/22/EMÜ (ELT L 145, 30.4.2004, lk 1).

(21) Euroopa Parlamendi ja nõukogu direktiiv 2009/65/EÜ, 13. juuli 2009, vabalt võõrandatavatesse väärtpaberitesse ühiseks investeeringuks loodud ettevõtjaid (eurofondid) käsitlevate õigus- ja haldusnormide kooskõlastamise kohta (ELT L 302, 17.11.2009, lk 32).

(22) 30. aprilli 2009. aasta ettepanek: Euroopa Parlamendi ja nõukogu direktiiv alternatiivsete investeerimisfondide valitsejate kohta ning millega muudetakse direktiive 2004/39/EÜ ja 2009/65/EÜ, KOM(2009) 207.

(23) 15. septembri 2010. aasta ettepanek: Euroopa Parlamendi ja nõukogu määrus lühikeseks müügi ja krediidiriski vahetustehingute teatavate aspektide kohta, KOM(2010) 482.

(24) 8. detsembri 2010. aasta ettepanek: Euroopa Parlamendi ja nõukogu määrus energiaturu terviklikkuse ja läbipaistvuse kohta, KOM(2010) 726.

(25) Vt nt joonealuses märkuses 19 nimetatud turu kuritarvitamist käsitleva direktiivi artikli 12 lõige 2. Vt ka joonealuses märkuses 20 nimetatud finantsinstrumentide turgude direktiivi artikkel 50.

(26) Väljend „andmed telefonikõnede ja andmeedastuse kohta” võib hõlmata mitmesugust teavet, sealhulgas teabevahetuse kestust, aega või mahtu, kasutatud protokolli, saatja või vastuvõtja lõppseadmete asukohta, võrku, milles side algas või lõppes, ühenduse algust, lõppu või kestust või isegi külastatud veebisaitide loetelu ning teabevahetuse sisu, kui selle kohta andmed säilitatakse. Sel määral, mil tegemist on tuvastatud või tuvastatavate füüsiliste isikutega, on kogu selline teave isikuandmed.

(27) Vt direktiivi 95/46/EÜ artikli 6 lõike 1 punkt c ja määruse (EÜ) nr 45/2001 artikli 4 lõike 1 punkt c. Samuti tuleb kaaluda, kas on võimalik kehtestada konkreetsed kaitsemeetmed, millega vältida tõeliselt eraviisilise kasutamisega seotud andmete kogumist ja töötlemist.

(28) Nagu märgitud, on eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis kehtestatud üldpõhimõte, mille kohaselt tuleb kustutada või muuta anonüümseks liiklusandmed, mida ei ole enam vaja side edastamiseks. Edaspidi võib töödelda üksnes selliseid andmeid, mis on vajalikud arvete ja sidumistasude jaoks, ning ainult selle ajavahemiku lõpuni, mille jooksul võib arve õiguspäraselt vaidlustada või seda sisse nõuda. Kõik erandid sellest põhimõttest peavad olema demokraatlikus ühiskonnas vajalikud, otstarbekad ja proportsionaalsed konkreetseteks avaliku korraga seotud eesmärkideks (st riikliku ehk riigi julgeoleku, riigikaitse, avaliku korra, kriminaalkuritegude või elektroonilise sidesüsteemi volitamata kasutamise ennetamise, uurimise, avastamise ja kohtus menetlemise tagamiseks).

(29) KOM(2011) 747.

(30) Vt ka Euroopa andmekaitseinspektori hiljutised arvamused pangandusalaste õigusaktide läbivaatamist (punkt 2.4), finantsinstrumentide turge (finantsinstrumentide turgude direktiiv ja määrus) (punkt 2.5) ja turu kuritarvitamist (punkt 2.6) reguleeriva õigusaktide paketi kohta.

(31) Otsus liidetud kohtuasjades C-92/09 ja C-93/09: Schecke, punktid 56–64.

(32) Vt sellega seoses ka Euroopa andmekaitseinspektori 15. aprilli 2011. aasta arvamus, mis käsitleb Euroopa Liidu aastaeelarve suhtes kohaldatavaid finantseeskirju (ELT C 215, 21.7.2011, lk 13).

(33) Riiklikud ametiasutused võiksid kaaluda näiteks järgmisi meetmeid: lükata avaldamine kuni apellatsioonikaebuse tagasilükkamiseni edasi või, nagu on soovitatud mõju hindamise aruandes, selgelt viidata, et otsuse suhtes on käimas apellatsioonimenetlus ja et kuni lõpliku otsuse tegemiseni tuleb eeldada asjaomase isiku süütust, ja avaldada parandus juhtudel, kui kohus tühistab otsuse.

(34) Vt Euroopa andmekaitseinspektori 10. aprilli 2007. aasta arvamus ühise põllumajanduspoliitika rahastamise kohta (ELT C 134, 16.6.2007, lk 1).

(35) Vt sellega seoses Itaalia andmekaitseasutuse avaldatud dokument „Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination”, kättesaadav Itaalia andmekaitseasutuse veebisaidil aadressil http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(36) Need mured on seotud ka üldisema õigusega olla unustatud, mille lisamist isikuandmete kaitse uude õigusraamistikku praegu arutatakse.

(37) Kõnealused turva- ja kaitsemeetmed võivad hõlmata näiteks andmete indekseerimise välistamist väliste otsingumootorite kaudu.