ET Euroopa Liidu Teataja C 181/1

Euroopa andmekaitseinspektori arvamus järgmise dokumendi kohta: Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, millega muudetakse muu hulgas direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv)

(2008/C 181/01)

EUROOPA ANDMEKAITSEINSPEKTOR,

võttes arvesse Euroopa Ühenduse asutamislepingut, eriti selle artiklit 286,

võttes arvesse Euroopa Liidu põhiõiguste hartat, eriti selle artiklit 8,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (1),

võttes arvesse Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (2),

võttes arvesse Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrust (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta, eriti selle artiklit 41 (3),

võttes arvesse Euroopa Komisjoni 16. novembri 2007. aasta taotlust arvamuse esitamise kohta kooskõlas määruse (EÜ) nr 45/2001 artikli 28 lõikega 2,

ON VASTU VÕTNUD JÄRGMISE ARVAMUSE:

I. SISSEJUHATUS

1. Komisjon võttis 13. novembril 2007 vastu ettepaneku direktiivi kohta, millega muudetakse muu hulgas direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (edaspidi „ettepanek” või „kavandatavad muudatused”). Direktiivi 2002/58/EÜ praegusele versioonile viidatakse tavaliselt ning ka käesolevas arvamuses kui e-eraelu direktiivile.

2. Ettepaneku eesmärk on tõhustada üksikisikute eraelu puutumatuse ja isikuandmete kaitset elektroonilise side sektoris. Selleks ei kujundata olemasolevat e-eraelu direktiivi mitte täielikult ümber, vaid kavandatakse selle ad hoc muutmist eesmärgiga tugevdada selle turvalisusega seotud sätteid ning parandada jõustamismehhanisme.

3. Ettepanek on osaks viie ELi telekommunikatsiooni valdkonna direktiivi (nn telekommunikatsiooni paketi) laiemast reformist. Lisaks telekommunikatsiooni paketi läbivaatamist käsitlevatele ettepanekutele (4) võttis komisjon samal ajal vastu ka ettepaneku määruse kohta, millega luuakse Euroopa Elektroonilise Side Turu Amet (5).

4. Käesolevas arvamuses sisalduvad märkused piirduvad e-eraelu direktiivi kavandatavate muudatustega, välja arvatud juhul, kui asjaomased kavandatavad muudatused toetuvad mõistetele või sätetele, mis sisalduvad telekommunikatsiooni paketi läbivaatamist käsitlevates ettepanekutes. Lisaks sellele viitavad mõned selles arvamuses sisalduvad märkused e-eraelu direktiivi sellistele sätetele, mida ettepanekuga pole muudetud.

5. Käesolevas arvamuses käsitletakse järgmiseid teemasid: i) e-eraelu direktiivi reguleerimisala, eelkõige asjaomased teenused (artikli 3 lõike 1 kavandatav muudatus); ii) turvarikkumistest teatamine (kavandatav muudatus, millega nähakse ette artikli 4 lõigete 3 ja 4 lisamine); iii) küpsiseid, nuhkvara ja sarnaseid seadmeid käsitlevad sätted (artikli 5 lõike 3 kavandatav muudatus); iv) elektrooniliste sideteenuste osutajate ja muude juriidiliste isikute pöördumine kohtusse (kavandatav muudatus, millega nähakse ette artikli 13 lõike 6 lisamine) ning v) jõustamissätete tugevdamine (kavandatav muudatus, millega nähakse ette artikli 15a lisamine).

Konsulteerimine Euroopa andmekaitseinspektoriga ja laiem konsulteerimine üldsusega

6. Komisjon saatis selle ettepaneku Euroopa andmekaitseinspektorile 16. novembril 2007. Euroopa andmekaitseinspektor käsitab seda edastamist taotlusena nõustada ühenduse institutsioone ja asutusi vastavalt määrusele (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (edaspidi „määrus (EÜ) nr 45/2001”).

7. Enne ettepaneku vastuvõtmist konsulteeris komisjon mitteametlikult Euroopa andmekaitseinspektoriga selle ettepaneku eelnõu suhtes, mida Euroopa Andmekaitseinspektori tervitas, kuna see andis talle võimaluse teha ettepaneku eelnõu kohta ettepanekuid enne selle vastuvõtmist komisjonis. Euroopa andmekaitseinspektor on rahul, et mõnesid tema ettepanekuid on ettepanekus juba arvesse võetud.

8. Ettepaneku vastuvõtmisele eelnes laiaulatuslik konsulteerimine üldsusega — tava, mille väärtust Euroopa andmekaitseinspektor hindab. Komisjon algatas avaliku arutelu oma telekommunikatsiooni paketti käsitleva teatise üle 2006. aasta juunis, kirjeldades oma vaateid olukorra kohta ning esitades mõned muudatusettepanekud (6). Artikli 29 kohane andmekaitse töörühm, kuhu Euroopa Andmekaitseinspektor kuulub, kasutas seda võimalust oma seisukoha esitamiseks kavandatavate muudatuste kohta 26. septembril 2006 vastu võetud arvamuses (7).

Euroopa andmekaitseinspektori üldine seisukoht

9. Euroopa andmekaitseinspektori üldine seisukoht ettepaneku suhtes on positiivne. Euroopa andmekaitseinspektor toetab täielikult eesmärke, mida komisjon on soovinud saavutada, võttes vastu ettepaneku, mis tõhustab üksikisikute eraelu puutumatuse ja isikuandmete kaitset elektroonilise side sektoris. Euroopa andmekaitseinspektor tervitab eriti kohustusliku turvarikkumistest teatamise süsteemi loomist (e-eraelu direktiivi artikli 4 kavandatav muudatus, millega nähakse ette lõigete 3 ja 4 lisamise). Andmekaitsega seotud rikkumiste korral on teavitamisel selged eelised, tugevdades organisatsioonide vastutust, ergutades ühe tegurina ettevõtteid rakendama rangemaid turvameetmeid ning võimaldades kindlaks määrata kõige usaldusväärsemad teabekaitse tehnoloogiad. Lisaks sellele annab see asjaomastele isikutele võimaluse astuda samme enda kaitsmiseks identiteedivarguse või muu nende isikuandmete väärkasutamise eest.

10. Euroopa andmekaitseinspektor tervitab ka muid ettepanekus sisalduvaid muudatusi, nagu õigustatud huviga juriidiliste isikute võimalus esitada e-eraelu direktiivi sätete rikkujate vastu kohtusse hagi (artikli 13 muudatus, millega nähakse ette lõike 6 lisamine). Positiivne on ka riigi reguleerivate asutuste uurimisvolituste tugevdamine, kuna see võimaldab neil hinnata, kas mis tahes andmete töötlemine on seaduslik ning määrata kindlaks eeskirjade rikkujad (artikli 15a lõike 3 lisamine). Võime peatada ebaseaduslik isikuandmete töötlemine ja eraelu puutumatuse rikkumine niipea kui võimalik on üksikisikute õiguste ja vabaduste kaitsmiseks vajalik meede. Sellega seoses on kavandatav artikli 15a lõige 2, mis tunnistab riigi reguleerivate asutuste õigust nõuda rikkumiste lõpetamist, väga tervitatav, kuna see võimaldab neil tõsise ebaseadusliku töötlemise viivitamata peatada.

11. Ettepaneku ja enamiku kavandatavate muudatuste osas valitud lähenemisviis on kooskõlas Euroopa andmekaitseinspektori eelmistes arvamustes, nagu näiteks andmekaitsedirektiivi rakendamist käsitlevas arvamuses (8), esitatud seisukohtadega andmekaitsepoliitika tuleviku kohta. Muu hulgas põhineb see lähenemisviis arusaamal, et vajadust uute andmekaitse põhimõtete järele pole, kuid vaja on üksikasjalikumaid eeskirju, et tegeleda uute andmekaitseküsimustega, mis on kerkinud esile seoses uute tehnoloogiatega, nagu Internet, raadiosagedustuvastus (RFID) jne, ning vahendeid, mis aitavad andmekaitsealaseid õigusakte jõustada ja tulemuslikuks muuta, nagu juriidilistele isikutele antav õigus pöörduda andmekaitse eeskirjade rikkumise puhul kohtusse ning andmetöötlejatelt turvarikkumistest teatamise nõudmine.

12. Hoolimata ettepaneku üldiselt positiivsele lähenemisviisile avaldab Euroopa andmekaitseinspektor siiski kahetsust, et ettepanek ei ole nii kaugeleulatuv, nagu see oleks võinud olla. Alates 2003. aastast on e-eraelu direktiivis sisalduvate sätete kohaldamine ning valdkonna hoolikas analüüs näidanud, et mõned selle sätetest pole sugugi selged, põhjustades õiguskindluse puudumist ning probleeme nende järgmisega. Näiteks puudutab see küsimust, mil määral osaliselt üldkasutatavate elektrooniliste sideteenuste osutajad on e-eraelu direktiiviga hõlmatud. Komisjon oleks võinud kasutada telekommunikatsiooni paketi ja eelkõige e-eraelu direktiivi läbivaatamist selleks, et lahendada mõned seni lahenduseta küsimused. Lisaks sellele on ettepanekus teatavate uute küsimuste puhul, nagu kohustusliku rikkumistest teatamise süsteemi loomine, pakutud välja ainult osaline lahendus, jättes nende organisatsioonide nimekirjast, kellel on kohustus turvarikkumistest teatada, välja väga tundlikke andmeliike töötlevad asutused, nagu Interneti-pangad ja Interneti-põhised terviseteenuste pakkujad. Euroopa andmekaitseinspektor avaldab sellise lähenemisviisi üle kahetsust.

13. Euroopa andmekaitseinspektor loodab, et seadusandja võtab ettepaneku menetlemisel käesolevas arvamuses sisalduvaid märkusi ja ettepanekuid arvesse, et lahendada komisjoni ettepanekus käsitlemata jäetud küsimused.

II. ETTEPANEKU ANALÜÜS

II.1. E-eraelu direktiivi reguleerimisala, eelkõige asjaomased teenused

14. Praeguse e-eraelu direktiivi puhul on oluline selle reguleerimisala küsimus. Ettepanek sisaldab mõningaid positiivseid elemente, mis määratlevad paremini ja täpsustavad ettepaneku reguleerimisala, eelkõige direktiiviga hõlmatud teenuseid, mida analüüsitakse allpool toodud i) jaos. Kahjuks ei lahenda kavandatavad muudatused kõiki olemasolevaid probleeme. Nagu allpool ii) jaos selgitatud, ei püüa muudatused kahjuks laiendada direktiivi reguleerimisala, nii et see hõlmaks ka eravõrkudes pakutavaid elektroonilisi sideteenuseid.

15. E-eraelu direktiivi artikkel 3 kirjeldab direktiiviga hõlmatud teenuseid ehk teisisõnu teenuseid, mille suhtes direktiivis sätestatud kohustused kehtivad: „Käesolevat direktiivi kohaldatakse isikuandmete töötlemise suhtes, mis toimub seoses üldkasutatavate elektrooniliste sideteenuste osutamisega ühenduse üldkasutatavates sidevõrkudes”.

16. Seega hõlmatakse e-eraelu direktiiviga üldkasutatavates võrkudes tegutsevad üldkasutatavate elektrooniliste sideteenuste osutajad. Üldkasutatavate elektrooniliste sideteenuste osutajate määratlus on toodud raamdirektiivi artikli 2 punktis c (9). Üldkasutatava sidevõrgu määratlus on toodud raamdirektiivi artikli 2 punktis d (10). Üldkasutatavate elektrooniliste sideteenuste osutajate tegevuse näiteks juurdepääsu andmine Internetile, teabe edastamine elektrooniliste võrkude ning mobiil- ja telefoniühenduste kaudu jne.

i) E-eraelu direktiivi artikli 3 kavandatav muudatus: asjaomaste teenuste määratluse laiendamine üldkasutatavatele sidevõrkudele, mis toetavad andmete kogumist ja tuvastusseadmeid

17. Ettepanekus nähakse ette e-eraelu direktiivi artikli 3 muutmine eesmärgiga täpsustada, et üldkasutatavad elektroonilise side võrgud hõlmavad üldkasutatavaid sidevõrke, mis toetavad andmete kogumist ja tuvastusseadmeid. Põhjenduses 28 selgitatakse, et uute rakenduste puhul, mis hõlmavad teabe, sealhulgas isikuandmete kogumist raadiosageduste kasutamise teel (nt raadiosagedustuvastus), peab kohaldama e-eraelu direktiivi, kui kõnealused rakendused ühendatakse üldkasutatavate elektrooniliste sidevõrkude või -teenustega või kui nad kasutavad neid.

18. Euroopa andmekaitseinspektor peab seda sätet positiivseks, kuna see selgitab, et mitmed raadiosagedustuvastuse rakendused kuuluvad e-eraelu direktiivi reguleerimisalasse, kõrvaldades seda küsimust puudutava teatava ebaselguse ning eemaldades seega lõplikult võimaluse seadusest valesti aru saada või seda valesti tõlgendada.

19. Tegelikkuses hõlmab e-eraelu direktiivi artikli 3 kehtiv versioon juba praegu teatavaid raadiosagedustuvastuse rakendusi. Nii on see mitmel põhjusel, mis kumuleeruvad. Esiteks on raadiosagedustuvastuse rakendused hõlmatud elektrooniliste sideteenuste määratlusega. Teiseks osutatakse neid elektroonilise sidevõrgu kaudu, kuivõrd neid rakendusi toetab edastamissüsteem, mis edastab signaale ilma traadita. Kolmandaks võib asjaomane võrk olla nii üldkasutatav kui eravõrk. Üldkasutatava võrgu puhul loetakse raadiosagedustuvastuse rakendusi „asjaomasteks teenusteks” ning need kuuluvad seega e-eraelu direktiivi reguleerimisalasse. Kavandatav muudatus kaotab siiski selles suhtes eksisteerivad võimalikud kahtlused ning annab rohkem õiguskindlust.

20. Nagu viimases raadiosagedustuvastust käsitlevas Euroopa andmekaitseinspektori arvamuses märgitud (11), ei välista see säte siiski võimalikku vajadust kehtestada raadiosagedustuvastuse jaoks täiendavad õigusvahendid. Kõnealused meetmed tuleks siiski vastu võtta muus kontekstis, mitte käesoleva ettepaneku osana.

ii) Vajadus hõlmata elektroonilised sideteenused, mida osutatakse era- või osaliselt eraalustel toimivates võrkudes

21. Ehkki Euroopa andmekaitseinspektor tervitab eespool kirjeldatud selgitamist, avaldab ta kahetsust selle üle, et ettepanekus ei ole käsitletud era- ja üldkasutatavate võrkude üha ebaselgemat eristatust. Lisaks sellele avaldab Euroopa andmekaitseinspektor kahetsust selle üle, et e-eraelu direktiiviga hõlmatud teenuste määratlust pole laiendatud nii, et see hõlmaks eravõrke. Praeguse seisuga kohaldatakse e-eraelu direktiivi artikli 3 lõiget 1 üksnes üldkasutatavates võrkudes osutatavate elektrooniliste sideteenuste suhtes.

22. Euroopa andmekaitseinspektor märgib suundumust, mille kohaselt teenused muutuvad üha enam era- ja üldkasutatavate teenuste seguks. Näiteks võimaldavad ülikoolid tuhandetel üliõpilastel kasutada Internetti ja e-maili. Selge on see, et sellised osaliselt üldkasutatavad (või eraalustel tegutsevad) võrgud võivad kahjustada üksikisikute eraelu puutumatust ning seetõttu tuleks seda liiki teenuste suhtes kohaldada samu eeskirju kui puhtalt üldkasutatavate võrkude suhtes. Lisaks sellele mõjutavad eravõrgud, näiteks võrgud, millega tööandjad võimaldavad töötajatele juurdepääsu Internetile, hotellid ja korteriomanikud võimaldavad külastajatel kasutada telefoni ja e-maili ning Interneti-kohvikud, nende kasutajate andmete kaitset ja eraelu puutumatust, mis viitab sellele, et ka need peaksid olema e-eraelu direktiivi reguleerimisalas.

23. Mõnede liikmesriikide kohtulahendites ongi juba viidatud, et eravõrkudes osutatavate elektrooniliste sideteenuste suhtes kehtivad samad kohustused kui üldkasutatavates võrkudes osutatavate teenuste suhtes (12). Samuti on andmekaitseasutused Saksamaa õigusaktide kohaselt leidnud, et kui ettevõte võimaldab kasutada üksikisikutel e-maili, võidakse ettevõtet käsitada üldkasutatava sideteenuse osutajana, mistõttu selle tegevus kuulub e-eraelu direktiivi reguleerimisalasse.

24. Seega põhjendab segavõrkude (era-/üldkasutatavad võrgud) ja eravõrkude järjest kasvav tähtsus igapäevaelus ning seega järjest suurenev oht isikuandmetele ja eraelu puutumatusele vajadust kohaldada selliste teenuste suhtes samu eeskirju kui üldkasutatavate elektrooniliste sideteenuste suhtes. Seetõttu leiab Euroopa andmekaitseinspektor, et e-eraelu direktiivi tuleks muuta nii, et selle reguleerimisala hõlmaks seda liiki erateenuseid; sama arvamust jagab ka artikli 29 kohane töörühm (7).

II.2. Turvarikkumistest teatamine: artikli 4 muudatus

25. E-eraelu direktiivi artiklit 4 muudetakse, lisades sellele kaks uut lõiget (3 ja 4), mis näevad ette turvarikkumistest teatamise kohustuse. Artikli 4 lõike 3 kohaselt on üldkasutatavate elektrooniliste sideteenuste osutajad kohustatud teavitama asjatu viivituseta ühelt poolt riigi reguleerivat asutust mis tahes turvarikkumisest, millega kaasnes seoses ühenduse üldkasutatavate sideteenuste osutamisega edastatud, salvestatud või muul moel töödeldud isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine, loata avalikustamine või neile juurdepääs (kokku „andmete ohustamine”); teiselt poolt on nad samuti kohustatud teavitama oma kliente.

Selle kohustuse eelised

26. Euroopa andmekaitseinspektor tervitab neid sätteid (artikli 4 lõikeid 3 ja 4), mis näevad ette kohustusliku turvarikkumistest teatamise. Turvarikkumistest teatamisel on isikuandmete ja eraelu puutumatuse kaitse seisukohast positiivne mõju, mida on juba katsetatud Ameerika Ühendriikides, kus rikkumistest teavitamise alased sätted on osariigi tasandil kehtinud juba mitu aastat.

27. Esiteks tõhustab see üldkasutatavate elektrooniliste sideteenuste osutajate vastutust seoses ohustatud teabega. Andmekaitse ja eraelu puutumatuse raamistikus tähendab vastutus seda, et iga organisatsioon vastutab teabe eest, mis on selle kontrolli all. Teatamiskohustus tähendab sisuliselt seda, et ühelt poolt kinnitatakse, et ohustatud andmed olid asjaomase üldkasutatavate elektrooniliste sideteenuste osutaja kontrolli all, ning teiselt poolt, et kõnealune organisatsioon vastutab selle eest, et selliste andmete suhtes võitaks vajalikke meetmeid.

28. Teiseks on turvarikkumistest teatamise kohustus osutunud teguriks, mis ajendab organisatsioone investeerima isikuandmete töötlemisega seotud turvameetmetesse. Ainuüksi asjaolu, et turvarikkumistest tuleb avalikult teatada, toob kaasa selle, et organisatsioonid rakendavad tugevamaid turvastandardeid isikuandmete kaitsmiseks ja rikkumiste ärahoidmiseks. Lisaks sellele võimaldab turvarikkumistest teatamine määrata kindlaks tõhusaimad turvalahendused ja -mehhanismid ning neid usaldusväärselt statistiliselt analüüsida. Pikka aega on olnud puudus kindlatest andmetest teabe turvalisuse tagamise puudujääkide kohta ning selle kohta, millised on teabe kaitseks kõige kohasemad tehnoloogiad. Selle probleemi saab tõenäoliselt lahendada turvarikkumistest teatamise kohustusega, nagu see toimus USA turvarikkumistest teatamise alaste õigusaktide puhul, kuna teatamine annab teavet selle kohta, millised tehnoloogiad soodustavad enam rikkumisi (13).

29. Viimaks muudab turvarikkumistest teatamine inimesed teadlikuks riskidest, millega nad nende isikuandmete ohustamise puhul silmitsi seisavad, ning aitab neil võtta vajalikke meetmeid asjaomaste ohtude leevendamiseks. Näiteks kui on ohustatud pangaandmeid, võib selle kohta teavet saanud isik otsustada muuta oma pangakontole ligipääsu võimaldavaid andmeid, vältimaks seda, et keegi selle teabe omandab ja seda ebaseaduslikul eesmärgil kasutab (millele viidatakse tavaliselt kui identiteedivargusele). Seega vähendab see kohustus tõenäosust, et üksikisikud langevad identiteedivarguse ohvriks, ning võib samuti aidata ohvritel võtta probleemide lahendamiseks vajalikke meetmeid.

Kavandatava muudatuse puudujäägid

30. Ehkki Euroopa andmekaitseinspektor on rahul artikli 4 lõigetes 3 ja 4 ette nähtud turvarikkumistest teatamise süsteemiga, oleks ta eelistanud selle laiemat kohaldamist, mis hõlmanuks ka infoühiskonna teenuste osutajad. See tähendaks, et Interneti-pangad ning Internetis tegutsevad ettevõtted ja terviseteenuste pakkujad oleksid samuti eeskirjadega hõlmatud (14).

31. Põhjused, mis toetavad turvarikkumistest teatamise kohustuse kehtestamist üldkasutatavate elektrooniliste sideteenuste osutajatele, eksisteerivad ka muude organisatsioonide puhul, mis töötlevad väga suurt hulka isikuandmeid, mille avalikustamine võib andmesubjekte eriti oluliselt kahjustada. See hõlmab Interneti-pankasid, andmevahendajaid ja muid Interneti-põhiseid teenusepakkujaid, nagu näiteks tundlike andmete (sealhulgas tervist, poliitilisi vaateid jne käsitlevate andmete) töötlejaid. Kui ohtu on seatud Interneti-pankade ja Internetis tegutsevate ettevõtete valduses olev teave (mis võib lisaks pangakonto numbrile hõlmata ka krediitkaardi andmeid), võib see kaasa tuua identiteedivarguse, mille puhul üksikisikute teavitamine on oluline, et võimaldada neil vajalikud meetmed võtta. Interneti-põhiste terviseteenuste pakkumise puhul tekib tundliku teabe ohustamise korral üksikisikutele võimaliku rahalise kahju kõrval kindlasti vähemalt mittemajanduslik kahju.

32. Lisaks sellele ei piirdu eespool kirjeldatud eelised, mille nimetatud kohustuse laiendamine kaasa toob, ühe tegevussektoriga, s.o üldkasutatavate elektrooniliste sideteenuste osutajatega, vaid laieneks infoühiskonna teenustele üldiselt. Turvarikkumistest teatamise kohustuse kehtestamine infoühiskonna teenuste, nagu näiteks Interneti-pankade puhul ei suurendaks mitte üksnes nende vastutust, vaid motiveeriks neid ka tugevdama oma turvameetmeid ning vältima seega turvarikkumisi tulevikus.

33. On ka teisi pretsedente, mille puhul e-eraelu direktiivi juba kohaldatakse muude teenuseosutajate suhtes kui üldkasutatavate elektrooniliste sideteenuste osutajad, nagu artikkel 5, mis käsitleb side konfidentsiaalsust, ning artikkel 13, mis käsitleb rämpsposti. See kinnitab, et minevikus on seadusandja teinud väga targa otsuse laiendada e-eraelu direktiivi teatavate sätete reguleerimisala, kuna ta pidas seda kohaseks ja vajalikuks. Euroopa andmekaitseinspektor loodab, et käesoleval juhul ei kahtle seadusandja sarnase mõistliku ja paindliku lähenemisviisi kasutamisel ning laiendab artikli 4 reguleerimisala nii, et see hõlmaks ka infoühiskonna teenuste osutajaid. Selleks oleks piisav lisada artikli 4 lõikesse 3 järgmine viide infoühiskonna teenuste osutajatele: „Turvarikkumisest, millega kaasnes (…), teavitavad üldkasutatavate sideteenuste osutaja ja infoühiskonna teenuste osutaja (…) asjaomast abonenti ja riigi reguleerivat asutust”.

34. Euroopa andmekaitseinspektor käsitab seda kohustust ning selle kohaldamist nii üldkasutatavate elektrooniliste sideteenuste osutajate kui ka infoühiskonna teenuste osutajate suhtes esimese sammuna arengus, mis võib viia lõpuks selle kohustuse kohaldamiseni kõikide andmetöötlejate suhtes üldiselt.

Eriotstarbeline turvarikkumisi käsitlev õigusraamistik, mida käsitletakse komiteemenetluse teel

35. Ettepanekus ei käsitleta mitmeid turvarikkumistest teatamise kohustusega seotud küsimusi. Näiteks on vaja käsitleda teavitamise asjaolusid, vormi ja kohaldatavat korda. Ettepaneku artikli 4 lõige 4 jätab need küsimused otsustamiseks komiteemenetluse kaudu (15), täpsemalt raamdirektiivi artikliga 22 moodustatud sidekomiteele, kooskõlas nõukogu 28. juuni 1999. aasta otsusega. Täpsemalt võetaks kõnealused meetmed vastu vastavalt nõukogu 28. juuni 1999. aasta otsuse artiklile 5, millega kehtestati regulatiivkomitee menetlus „üldmeetmete jaoks, mis on mõeldud rakendama põhiaktide olulisi sätteid”.

36. Euroopa andmekaitseinspektor ei ole vastu otsusele jätta kõik need küsimused rakendusaktides reguleerida. Õigusaktide vastuvõtmine komiteemenetluse teel lühendab tõenäoliselt seadusandlikku menetlust. Komiteemenetlus aitab ka kindlustada ühtlustamise, mille poole tuleks samuti kindlasti püüelda.

37. Võttes arvesse suurt hulka küsimusi, mida tuleb rakendusmeetmetes käsitleda, ning nende asjakohasust, mida on allpool toonitatud, tundub kohane käsitleda neid ühes õigusaktis ja mitte tükati, nii et osa küsimusi käsitletaks e-eraelu direktiivis ning teisi rakendusmeetmetes. Seetõttu tuleb tervitada komisjoni lähenemisviisi, mis näeb ette nende küsimuste otsustamise rakendusaktides, mis võetakse vastu pärast konsulteerimist Euroopa andmekaitseinspektoriga ning loodetavasti ka muude sidusrühmadega (vt allpool).

Küsimused, mida tuleks käsitleda rakendusmeetmete abil

38. Rakendusmeetmete asjakohasus kerkib esile, kui kujutada üksikasjalikult ette, milliseid küsimusi on vaja rakendusmeetmetes käsitleda. Rakendusmeetmetega võidakse kindlaks määrata standardid, mille kohaselt teated tuleb esitada. Näiteks määratakse neis kindlaks, mida turvarikkumisena käsitada, mis tingimustel teated üksikisikutele ja ametiasutustele tuleb edastada ning teavitamise ajastus.

39. Euroopa andmekaitseinspektor leiab, et e-eraelu direktiiv ja eelkõige selle artikkel 4 ei tohiks sisaldada ühtegi teatamise kohustusest tehtavat erandit. Selles osas on Euroopa andmekaitseinspektor artiklis 4 sisalduva komisjoni lähenemisviisiga rahul, kuna artiklis 4 nähakse ette teavitamise kohustus ja ei esitata ühtegi sellest reeglist tehtavat erandit; selle asemel võimaldatakse selle küsimuse ja muude küsimuste käsitlemist rakendusaktides. Ehkki Euroopa andmekaitseinspektor on teadlik argumentidest, mis võiksid põhjendada kohustusest teatavate erandite tegemist, eelistab Euroopa andmekaitseinspektor selle ja muude küsimuste hoolikat käsitlemist rakendusaktide kaudu pärast seda, kui asjaomaste küsimuste üle on peetud põhjalik ja üldine arutelu. Nagu eespool märgitud, kutsub turvarikkumistest teatamise kohustusega seotud küsimuste, sealhulgas erandite või piirangute asjakohasuse keeruline olemus käsitlema seda teemat ühtsel viisil, st ühes õigusaktis, mis käsitleb üksnes seda küsimust.

Konsulteerimine Euroopa andmekaitseinspektoriga ning vajadus konsulteerimist laiendada

40. Võttes arvesse seda, mil määral rakendusmeetmed mõjutavad üksikisikute isikuandmete kaitset, on oluline, et enne kõnealuste meetmete vastuvõtmist viiks komisjon läbi nõuetekohase konsulteerimise. Seepärast tervitab Euroopa andmekaitseinspektor ettepaneku artikli 4 lõiget 4, mis sätestab selgesõnaliselt, et enne rakendusmeetmete vastuvõtmist konsulteerib komisjon Euroopa andmekaitseinspektoriga. Kõnealused meetmed mitte üksnes ei puuduta üksikisikute isikuandmete ja eraelu puutumatuse kaitset, vaid mõjutavad seda olulisel määral. Seetõttu on oluline küsida nõu Euroopa andmekaitseinspektorilt, nagu seda on nõutud määruse (EÜ) nr 45/2001 artiklis 41.

41. Lisaks konsulteerimisele Euroopa andmekaitseinspektoriga võib olla asjakohane lisada säte, mis näeb ette, et rakendusmeetmete eelnõu üle tuleb konsulteerida üldsusega, et saada nõuandeid ning ergutada neid küsimusi puudutavate parimate tavade alaste kogemuste jagamist. See annaks kohase kanali oma seisukohtade esitamiseks mitte ainult asjaomasele sektorile, vaid ka muudele sidusrühmadele, sealhulgas muudele andmekaitseasutustele ning artikli 29 kohasele töörühmale. Vajadust avaliku konsulteerimise järele suurendab asjaolu, et meetmed võetakse vastu komiteemenetluse teel Euroopa Parlamendi piiratud sekkumisega.

42. Euroopa andmekaitseinspektor märgib, et ettepaneku artikli 4 lõige 4 näeb ette, et komisjon konsulteerib enne rakenduseeskirjade vastuvõtmist Euroopa Elektroonilise Side Turu Ametiga. Sellega seoses väärtustab Euroopa andmekaitseinspektor põhimõtet, et konsulteeritakse Euroopa Elektroonilise Side Turu Ametiga kui Euroopa Võrgu- ja Infoturbeameti poolt võrgu- ja teabeturbe küsimustes kogutud kogemuste ja teadmiste säilitajaga. Kuni Euroopa Elektroonilise Side Turu Ameti loomiseni võib olla kohane näha kavandatavas muudatuses (artikli 4 lõige 4) ajutise lahendusena ette konsulteerimine Euroopa Võrgu- ja Infoturbeametiga.

II.3. Küpsised, nuhkvara ja sarnased seadmed: artikli 5 lõike 3 muudatus

43. E-eraelu direktiivi artikli 5 lõige 3 käsitleb tehnoloogiaid, mis võimaldavad elektrooniliste sidevõrkude kaudu juurdepääsu teabele ning teabe salvestamist kasutajate lõppseadmetes. Üks näide artikli 5 lõike 3 kohaldamise kohta on nn küpsiste kasutamine (16). Muud näited hõlmavad selliste tehnoloogiate kasutamist, nagu nuhkvara (varjatud luureprogrammid) ja Trooja hobused (sõnumitesse ja muusse näiliselt ohutusse tarkvarasse peidetud programmid). Selliste tehnoloogiate eesmärgid varieeruvad olulisel määral; kui mõned neist on täiesti ohutud ja kasutajale isegi kasulikud, siis teiste eesmärgid on selgelt kahjulikud ja ähvardavad.

44. E-eraelu direktiivi artikli 5 lõige 3 näeb ette tingimused, mida kohaldatakse seoses kasutaja lõppseadmes olevale teabele juurdepääsu saamise ja teabe salvestamisega selles, kasutades muu hulgas eespool nimetatud tehnoloogiaid. Seega tuleb artikli 5 lõike 3 kohaselt i) esitada Interneti kasutajatele direktiivi 95/46/EÜ kohaselt selge ja täielik teave muu hulgas andmete töötlemise eesmärgi kohta; ning ii) anda Interneti kasutajatele võimalus keelduda kõnealusest töötlemisest, st loobuda tema lõppseadmest saadud teabe töötlemisest.

Kavandatava muudatuse eelised

45. E-eraelu direktiivi artikli 5 lõike 3 praegune versioon piirab selle kohaldamisala olukordadega, kus juurdepääs kasutaja lõppseadmes olevale teabele ning teabe salvestamine selles teostatakse elektrooniliste sidevõrkude kaudu. See hõlmab eespool kirjeldatud küpsiste kasutamise olukorda ning muid elektrooniliste sidevõrkude kaudu kasutatavaid tehnoloogiaid, nagu nuhkvara. Siiski pole sugugi selge, kas artikli 5 lõige 3 on kohaldatav olukordades, kus sarnaseid tehnoloogiaid (küpsised, nuhkvara ja muu selline) levitatakse tarkvara kaudu, mida edastatakse välisel andmekandjal ja mis laaditakse kasutaja lõppseadmesse. Kuna oht eraelu puutumatusele eksisteerib sõltumata sidekanalist, on kahju, et artikli 5 lõige 3 kohaldamisala on piiratud vaid ühe sidekanaliga.

46. Euroopa andmekaitseinspektor on seetõttu rahul artikli 5 lõike 3 muudatusega, mis elektroonilistele sidevõrkudele tehtava viite kaotamisega laiendab tegelikkuses artikli 5 lõike 3 kohaldamisala. E-eraelu direktiivi artikli 5 lõike 3 muudetud versioon hõlmab nii olukordi, kus juurdepääs kasutaja lõppseadmes olevale teabele ning teabe salvestamine selles teostatakse „elektrooniliste sidevõrkude” kaudu, kui ka olukordi, kus see toimub väliste andmekandjate, nagu CDd, CD-ROMid, USB-mälupulgad jne vahendusel.

Tehniline salvestamine side edastamise toetamiseks

47. E-eraelu direktiivi artikli 5 lõike 3 viimast lauset pole uues versioonis muudetud. Viimase lause kohaselt ei takista artikli 5 lõike 3 esimese lause nõuded „tehnilist salvestamist või juurdepääsu, mille ainus eesmärk on teostada või toetada side edastamist elektroonilises sidevõrgus või mis on hädavajalik sellise infoühiskonna teenuse osutamiseks (…)”. Seega ei kohaldata artikli 5 lõike 3 esimese lause kohustuslikke eeskirju (vajadust anda teavet ning keeldumise võimalus) juhul, kui juurdepääs kasutaja lõppseadmele või teabe salvestamine on vajalik ainuüksi side edastamise toetamiseks või kui see on hädavajalik kasutaja soovitud infoühiskonna teenuste osutamiseks.

48. Direktiivis ei kirjeldata, millal teabele juurdepääsu või teabe salvestamise ainus eesmärk on side edastamise toetamine või teabe andmine. Üks olukord, mida see erand selgelt hõlmaks, on Interneti-ühenduse loomine. Selle põhjuseks on asjaolu, et Interneti-ühenduse loomiseks on vaja saada IP-aadress (17). Lõppkasutaja arvutil palutakse avaldada Interneti-ühenduse pakkujale teatav teave enda kohta ning vastutasuks annab Interneti-ühenduse pakkuja talle IP-aadressi. Sellisel puhul edastatakse lõppkasutaja lõppseadmesse salvestatud teave Interneti-ühenduse pakkujale eesmärgiga võimaldada kasutajale juurdepääs Internetti. Interneti-ühenduse pakkuja on vabastatud kohustusest anda teada asjaomasest teabe kogumisest ning anda keeldumise võimalus sel määral, mil see on teenuse osutamiseks vajalik.

49. Kui kasutajal on juba Interneti-ühendus olemas ning ta soovib vaadata teatavat veebisaiti, peab ta saatma selleks taotluse serverile, kus veebisait asub. Kõnealune server vastab, kui ta teab, kuhu teave saata, st milline on kasutaja IP-aadress. Aadressi salvestamise viisi tõttu peab veebisait, mida kasutaja soovib külastada, saama juurdepääsu Interneti-kasutaja lõppseadmes olevale teabele. Selline olukord kuulub samuti selgelt erandi kohaldamisalasse. Sellistel juhtudel tundub asjakohane artikli 5 lõike 3 nõuete kohaldamisalast väljapoole jäämine.

50. Euroopa andmekaitseinspektor peab asjakohaseks kehtestada eespool toodud näidetega sarnaste olukordade puhul teavitamise ja keeldumisvõimaluse andmise vajadusest erand, kui tehniline salvestamine või juurdepääs kasutaja lõppseadmele on vajalik ainult elektroonilise sidevõrgu kaudu side edastamiseks. Niisamuti on see siis, kui tehniline salvestamine või juurdepääs on hädavajalik infoühiskonna teenuse osutamiseks. Euroopa andmekaitseinspektor ei näe siiski vajadust selle järele, et kehtestada erand kohustusest esitada teave ning anda keeldumise võimalus sellistes olukordades, kus tehnilise salvestamise või juurdepääsu eesmärk on vaid side edastamise toetamine. Näiteks ei saa käesoleva artikli viimase lause kohaselt andmesubjekt teavet ja õigust oma andmete töötlemisele vastu olla, kui küpsisega kogutakse teavet tema keeleliste eelistuste või asukoha (nt Belgia, Hiina) kohta ning seda tüüpi küpsiste eesmärgiks võib pidada side edastamise toetamist. Euroopa andmekaitseinspektor on teadlik, et tarkvara tasandil antakse andmesubjektile praktikas võimalus keelduda küpsiste salvestamisest või kohandada seda. Seda pole siiski toetatud selgelt õigusliku sättega, mis annaks andmesubjektile ametliku õiguse oma õigusi eespool kirjeldatud kontekstis kaitsta.

51. Sellise tulemuse vältimiseks soovitab Euroopa andmekaitseinspektor muuta veidi artikli 5 lõike 3 viimast osa, jättes sellest välja sõna „toetada”: „See ei takista tehnilist salvestamist ega juurdepääsu, mille ainus eesmärk on teostada või toetada side edastamist elektroonilises sidevõrgus või mis on hädavajalik sellise infoühiskonna teenuse osutamiseks (…)”.

II.4. Üldkasutatavate elektrooniliste sideteenuste osutajate ja juriidiliste isikute pöördumine kohtusse: artiklile 13 lõike 6 lisamine

52. Kavandatav artikli 13 lõige 6 näeb ette tsiviilõiguslikud kaitsevahendid õigustatud huviga üksikisikutele ja juriidilistele isikutele ning eelkõige elektroonilise sideteenuse osutajatele, kelle ärihuvides on võidelda nende vastu, kes rikuvad e-eraelu direktiivi artiklit 13. See artikkel käsitleb soovimatute kaubanduslike teadeannete saatmist.

53. Kavandatav muudatus võimaldab näiteks Interneti-ühenduse pakkujatel astuda rämpsposti saatjate vastu, kes nende võrke ära kasutavad, ning kaevata kohtusse saatja-aadresside võltsijad või serveritesse nende kasutamiseks rämpsposti edastamise eesmärgil ilma loata tungijad.

54. E-eraelu direktiivi puhul ei olnud selge, kas see andis üldkasutatavate elektrooniliste sideteenuste osutajatele õiguse kaevata rämpsposti saatjad kohtusse, ning vaid väga vähestel juhtudel on üldkasutatavate elektrooniliste sideteenuste osutajad esitanud kohtusse hagi seoses artikli 13 (nagu see on rakendatud liikmesriikide õigusaktides) rikkumisega (18). Tunnistades elektrooniliste sideteenuste osutajate õigust pöörduda oma ärihuvide kaitseks kohtusse, kinnitab ettepanek, et e-eraelu direktiiv ei püüa kaitsta mitte ainult üksikisikutest abonente, vaid ka elektrooniliste sideteenuste osutajaid.

55. Euroopa andmekaitseinspektor on rahul, et ettepanekuga nähakse legitiimsete ärihuvidega elektrooniliste sideteenuste osutajatele ette võimalus kaevata rämpsposti saatjad kohtusse. Kui erandjuhtumid välja jätta, puuduvad üksikisikutest abonentidel nii raha kui ka stiimulid algatada seda laadi kohtuasju. Interneti-ühenduse pakkujatel ja muudel üldkasutatavate elektrooniliste sideteenuste osutajatel on seevastu olemas rahalised vahendid ja tehnoloogiline suutlikkus rämpsposti kampaaniaid uurida ja määrata kindlaks õigusrikkumise toimepanijad ning on asjakohane, et neil oleks õigus rämpsposti saatjad kohtusse kaevata.

56. Euroopa andmekaitseinspektor hindab kavandatavat muudatust eriti seetõttu, et see võimaldaks ka tarbija- ja ametiühingutel, kes kaitsevad rämpsposti all kannatavaid kliente, pöörduda nende nimel kohtusse. Nagu eespool kirjeldatud, ei ole rämpsposti saava andmesubjekti kannatatav kahju eraldi võttes iseenesest piisav selleks, et ta sellega seoses kohtusse pöörduks. Euroopa andmekaitseinspektor pakkus selle meetme eraelu puutumatuse ja andmekaitsealaste rikkumiste üldises kontekstis välja juba oma arvamuses, mis käsitles komisjoni teatist Euroopa Parlamendile ja nõukogule andmekaitsedirektiivi parema rakendamise tööprogrammi järelmeetmete kohta (19). Euroopa andmekaitseinspektori arvates oleks ettepanek võinud minna kaugemale ning pakkuda välja ühishagid, mis võimaldaksid kodanike rühmadel kasutada isikuandmete kaitset puudutavates küsimustes ühiselt kohtusse pöördumist. Rämpsposti puhul, mida saavad paljud isikud, on olemas potentsiaal selleks, et üksikisikute rühmad ühineksid ning esitaksid rämpsposti saatjate vastu ühishagi.

57. Euroopa andmekaitseinspektor avaldab erilist kahetsust selle üle, et ettepanek piirab juriidiliste isikute võimalust kohtusse pöörduda olukordadega, kus on rikutud direktiivi artiklit 13, s.o olukordadega, kus on rikutud pealesunnitud elektronposti saatmist käsitlevaid sätteid. Kavandatava muudatuse kohaselt ei saaks juriidilised isikud pöörduda kohtusse muude e-eraelu direktiivi sätete rikkumise puhul. Näiteks ei võimalda praegune säte juriidilistel isikutel, nagu tarbijaühingud, kaevata kohtusse Interneti-ühenduse pakkuja, kes on avalikustanud miljonite klientide isikuandmed. Kogu e-eraelu direktiivi ja mitte ainult kõnealuse artikli jõustamisele aitaks oluliselt kaasa see, kui artikli 13 lõike 6 säte muudetaks üldiseks, nii et see võimaldaks juriidilistel isikutel pöörduda kohtusse mis tahes e-eraelu direktiivi sätte rikkumisega seoses.

58. Selle probleemi lahendamiseks teeb Euroopa andmekaitseinspektor ettepaneku muuta artikli 13 lõige 6 eraldi artikliks (artikkel 14). Lisaks sellele tuleks artikli 13 lõike 6 sõnastust veidi muuta, st asendada sõnad „käesoleva artikli alusel” sõnadega „käesoleva direktiivi alusel”.

II.5. Jõustamissätete tugevdamine: artikli 15a lisamine

59. E-eraelu direktiiv ei sisalda selgesõnalisi jõustamissätteid. Selle asemel viitab see andmekaitse direktiivi (20) jõustamist käsitlevale jaole. Euroopa andmekaitseinspektor tervitab ettepaneku uut artiklit 15a, mis käsitleb selgesõnaliselt käesolevast direktiivist tulenevaid jõustamisküsimusi.

60. Esiteks märgib Euroopa andmekaitseinspektor, et tõhus jõustamispoliitika selles valdkonnas eeldab, nagu kavandatava artikli 15a lõikes 3 nõutud, et siseriiklikel ametiasutustel oleksid uurimisvolitused vajaliku teabe kogumiseks. Väga sageli on e-eraelu direktiivi sätete rikkumist puudutavad tõendid elektroonilist laadi ning need võivad olla salvestatud erinevatesse arvutitesse ja seadmetesse või võrkudesse. Sellel taustal on oluline, et jõustamise eest vastutavatele asutustele antaks võimalus saada läbiotsimismäärus, mis annaks neile volitused siseneda, teostada läbiotsimine ning kasutada võetust.

61. Teiseks tervitab Euroopa andmekaitseinspektor eriti kavandatavat muudatust, st artikli 15a lõiget 2, mille kohaselt riigi reguleerivatel asutustel peab olema õigus teha ettekirjutusi, st nõuda rikkumiste lõpetamist, ning omada selleks vajalikke uurimisvolitusi ja -vahendeid. Riigi reguleerivatel asutustel, sealhulgas siseriiklikel andmekaitseasutustel, peaks olema volitused teha ettekirjutusi, mis nõuavad, et seaduserikkujad lõpetaksid tegevuse, millega e-eraelu direktiivi rikutakse. Ettekirjutused ning volitused nõuda rikkumise lõpetamist on väga kasulikud vahendid jätkuva tegevuse puhul, mis üksikisikute õigusi rikub. Ettekirjutused on väga kasulikud selliste e-eraelu direktiivi rikkumiste peatamiseks nagu näiteks soovimatuid kaubanduslikke teadaandeid käsitleva artikli 13 rikkumine, mis on juba oma loomu poolest pidev tegevus.

62. Kolmandaks võimaldab ettepanek komisjonil kehtestada tehnilised rakendusmeetmed tõhusa piiriülese koostöö tagamiseks siseriiklike õigusaktide jõustamisel (kavandatav artikli 15a lõige 4). Senine koostöökogemus hõlmab komisjoni algatusel saavutatud kokkulepet luua ühine menetlus rämpsposti käsitlevate piiriüleste kaebuste menetlemiseks.

63. Euroopa andmekaitseinspektor leiab, et kui õigusaktid toetavad reguleerivate asutuste poolt teistes riikides asuvate vastavate asutuste abistamist, aitab see kahtlemata piiriülesele jõustamisele kaasa. Seetõttu on kohane, et ettepanek võimaldaks komisjonil luua tingimused piiriülese koostöö tagamiseks, sealhulgas teabe jagamise menetlused.

III. JÄRELDUSED JA SOOVITUSED

64. Euroopa andmekaitseinspektor tervitab täielikult käesolevat ettepanekut. Kavandatavad muudatused tugevdavad üksikisikute eraelu puutumatuse ja isikuandmete kaitset elektroonilise side sektoris ning seda tehakse kerges vormis, loomata organisatsioonidele põhjendamatut ega ebavajalikku koormust. Täpsemalt leiab Euroopa andmekaitseinspektor, et enamas jaos ei tuleks kavandatavaid muudatusi muuta, kuna nad täidavad nõuetekohaselt nendega taotletava eesmärgi. Allpool toodud punktis 69 on esitatud muudatused, mille puhul Euroopa andmekaitseinspektor loodab, et need jäävad muutumatuks.

65. Hoolimata üldiselt positiivsest suhtumisest ettepanekusse, leiab Euroopa andmekaitseinspektor siiski, et mõnesid selles sisalduvaid muudatusi tuleks täiustada tagamaks, et nad võimaldaksid isikuandmete ja üksikisikute eraelu puutumatuse nõuetekohase kaitse. See puudutab eriti turvarikkumistest teatamise sätteid ning sätteid, mis käsitlevad rämpsposti käsitlevate sätete rikkumisega seoses elektrooniliste sideteenuste osutajate algatatavaid hagisid. Lisaks sellele avaldab Euroopa andmekaitseinspektor kahetsust selle üle, et ettepanekus ei käsitleta teatavaid küsimusi, millega pole e-eraelu direktiivi praeguses versioonis nõuetekohaselt tegeletud, jättes seega kasutamata võimaluse lahendada käesoleva läbivaatamise käigus lahendamata probleemid.

66. Selleks et lahendada mõlemad probleemid, st küsimused, mida pole ettepanekus kohaselt käsitletud, ning küsimused, mida üldse pole käsitletud, on käesolevas ettepanekus tehtud mõned konkreetsed ettepanekud. Punktides 67 ja 68 tehakse kokkuvõte probleemidest ning pakutakse välja konkreetne sõnastus. Euroopa andmekaitseinspektor kutsub seadusandjat üles võtma neid ettepaneku menetlemise käigus arvesse.

67. Ettepanekus sisalduvad muudatused, mille muutmist Euroopa andmekaitseinspektor tugevalt toetab, hõlmavad järgmist: i) Turvarikkumistest teatamine: kavandatav muudatus, millega lisatakse artikli 4 lõige 4, on esitatud kujul kohaldatav üldkasutatavates võrkudes tegutsevate üldkasutatavate elektrooniliste sideteenuste osutajate suhtes (Interneti-teenuse osutajad, võrguoperaatorid), kes on kohustatud teavitama riigi reguleerivaid asutusi ja oma kliente turvarikkumistest. Euroopa andmekaitseinspektor toetab täielikult seda kohustust. Euroopa andmekaitseinspektor leiab siiski, et see kohustus peaks olema kohaldatav ka infoühiskonna teenuste osutajate suhtes, kes töötlevad sageli tundlikku isiklikku teavet. Seega peaksid Interneti-pangad ning Interneti-põhised kindlustusteenuste ja terviseteenuste osutajad ja muud Internetis tegutsevad ettevõtted samuti kõnealust kohustust täitma. Selleks teeb Euroopa andmekaitseinspektor ettepaneku lisada artikli 4 lõikesse 3 viide infoühiskonna teenuste osutajatele: „Turvarikkumisest (…) teavitavad üldkasutatavate sideteenuste osutaja ja infoühiskonna teenuste osutaja (…) asjaomast abonenti ja riigi reguleerivat asutust.” ii) Üldkasutatavates võrkudes tegutsevate üldkasutatavate elektrooniliste sideteenuste osutajate poolt algatatavad kohtuasjad: kavandatav muudatus, millega lisatakse artikli 13 lõige 6, näeb esitatud kujul ette tsiviilõiguslikud kaitsevahendid üksikisikutele ja juriidilistele isikutele ning eelkõige elektroonilise sideteenuse osutajatele, et võidelda e-eraelu direktiivi rämpsposti käsitleva artikli 13 rikkumise vastu. Euroopa andmekaitseinspektor on selle sättega rahul. Euroopa andmekaitseinspektor ei näe siiski põhjust, miks see uus võimalus peaks piirduma artikli 13 rikkumistega. Euroopa andmekaitseinspektor teeb ettepaneku võimaldada juriidilistel isikutel pöörduda kohtusse mis tahes e-eraelu direktiivi sätte rikkumise puhul. Eeltoodu saavutamiseks teeb Euroopa andmekaitseinspektor ettepaneku muuta artikli 13 lõige 6 eraldi artikliks (artikkel 14). Lisaks sellele tuleks artikli 13 lõike 6 sõnastust veidi muuta, st asendada sõnad „käesoleva artikli alusel” sõnadega „käesoleva direktiivi alusel”.

68. E-eraelu direktiivi reguleerimisala, mis on praegu piiratud üldkasutatavates elektroonilise side võrkudes tegutsevate teenuseosutjatega, on üks kõige murettekitavamatest küsimustest, mida ettepanekus pole käsitletud. Euroopa andmekaitseinspektor leiab, et e-eraelu direktiivi tuleks muuta, et selle reguleerimisala hõlmaks ka segavõrkudes (era-/üldkasutatavad võrgud) ja eravõrkudes tegutsevaid elektrooniliste sideteenuste osutajaid.

69. Muudatused, mille muutmata jätmist Euroopa andmekaitseinspektor tugevalt toetab, hõlmavad järgmist: i) Raadiosagedustuvastus: artikli 3 kavandatav muudatus, mille kohaselt elektroonilise side võrgud hõlmavad üldkasutatavaid sidevõrke, mis toetavad andmete kogumist ja tuvastusseadmeid, on täielikult rahuldav. See säte on väga positiivne, kuna see selgitab, et mitmed raadiosagedustuvastuse rakendused peavad järgima e-eraelu direktiivi, kõrvaldades seega seda küsimust puudutava teatava õiguskindluse puutumise. ii) Küpsised ja nuhkvara: artikli 5 lõike 3 kavandatavat muudatust tuleb tervitada, kuna selle tulemusena kohaldatakse kohustust anda teavet ning võimalus keelduda küpsiste või nuhkvara salvestamisest oma lõppseadmesse ka siis, kui need salvestatakse väliste andmekandjate, nagu CD-ROMide ja USB-mälupulkade vahendusel. Euroopa andmekaitseinspektor teeb siiski ettepaneku muuta veidi artikli 5 lõike 3 viimast lauset, jättes sellest välja sõna „toetada”. iii) Valik kasutada komiteemenetlust koos Euroopa andmekaitseinspektori konsulteerimisega ning teatamiskohustuse tingimused ja piirangud: kavandatav muudatus, millega lisatakse turvarikkumistest teatamist käsitlev artikli 4 lõige 4, jätab turvarikkumistest teatamise süsteemi asjaolusid, vorme ja korda puudutavad keerulised küsimused otsustada komiteemenetluse teel pärast konsulteerimist Euroopa andmekaitseinspektoriga. Euroopa andmekaitseinspektor toetab tugevalt seda ühtlustatud lähenemisviisi. Turvarikkumistest teatamist käsitlevad õigusaktid on eraldi teema, mida on vaja käsitleda pärast hoolikat arutelu ja analüüsi. Sellega on seotud mõnede sidusrühmade üleskutse sätestada artikli 4 lõikes 4 turvarikkumistest teatamise kohustusest tehtavad erandid. Euroopa andmekaitseinspektor on tugevalt sellise lähenemisviisi vastu. Euroopa andmekaitseinspektor toetab pigem seda, et kogu teemat, mis seondub teatamisega, kuidas teatada, millistel asjaoludel võidakse teadet lühendada või mingil viisil piirata, analüüsitaks tervikuna pärast nõuetekohase arutelu läbiviimist. iv) Jõustamine: kavandatav muudatus, millega lisatakse artikkel 15a, sisaldab mitmeid kasulikke elemente, mis aitavad tagada direktiivi tõhusa järgimise ja mis tuleks säilitada, sealhulgas riigi reguleerivate asutuste uurimisvolituste tugevdamine (artikli 15a lõige 3) ja riigi reguleerivatele asutustele rikkumiste lõpetamise nõudmise õiguse andmine.

Brüssel, 10. aprill 2008 Peter HUSTINX Euroopa andmekaitseinspektor

(1) EÜT L 281, 23.11.1995, lk 31.

(2) EÜT L 201, 31.7.2002, lk 37.

(3) EÜT L 8, 12.1.2001, lk 1.

(4) Kavandatavad telekommunikatsiooni valdkonna direktiivide muudatused on esitatud järgmistes ettepanekutes: i) Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, millega muudetakse direktiive 2002/21/EÜ elektrooniliste sidevõrkude ja -teenuste ühise reguleeriva raamistiku kohta, 2002/19/EÜ elektroonilistele sidevõrkudele ja nendega seotud vahenditele juurdepääsu ja vastastikuse sidumise kohta ning 2002/20/EÜ elektrooniliste sidevõrkude ja -teenustega seotud lubade andmise kohta, 13. november 2007, KOM(2007) 697 (lõplik); ii) Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, millega muudetakse direktiivi 2002/22/EÜ universaalteenuse ning kasutajate õiguste kohta elektrooniliste sidevõrkude ja -teenuste puhul, direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris ning määrust (EÜ) nr 2006/2004 tarbijakaitsealase koostöö kohta, 13. november 2007, KOM(2007) 698 (lõplik).

(5) Ettepanek: Euroopa Parlamendi ja nõukogu määrus, millega luuakse Euroopa Elektroonilise Side Turu Amet, 13. november 2007, KOM(2007) 699 (lõplik).

(6) 29. juunil 2006 vastu võetud teatis, mis käsitleb ELi elektrooniliste sidevõrkude ja -teenuste õigusliku raamistiku läbivaatamist (SEK(2006) 816). Teatist täiendas komisjoni talituste töödokument (KOM(2006) 334 (lõplik)).

(7) 26. septembril 2006 vastu võetud arvamus 8/2006 elektroonilise side ja elektrooniliste teenuste reguleeriva raamistiku läbivaatamise kohta, mis keskendub e-eraelu direktiivile.

(8) Euroopa andmekaitseinspektori 25. juuli 2007. aasta arvamus järgmise dokumendi kohta: komisjoni teatis Euroopa Parlamendile ja nõukogule andmekaitsedirektiivi parema rakendamise tööprogrammi järelmeetmete kohta (ELT C 255, 27.10.2007, lk 1).

(9) Euroopa Parlamendi ja nõukogu 7. märtsi 2002. aasta direktiiv 2002/21/EÜ elektrooniliste sidevõrkude ja -teenuste ühise reguleeriva raamistiku kohta (ELT L 108, 24.4.2002, lk 33). Raamdirektiivis määratletakse, mida tuleks mõista elektroonilise sideteenusena, st: i) Elektrooniline sideteenus on tavaliselt tasu eest osutatav teenus, mis seisneb tervikuna või peamiselt signaalide edastamises elektrooniliste sidevõrkude kaudu, kaasa arvatud telekommunikatsiooniteenused ja ülekandeteenused võrkudes. ii) Elektrooniliste sideteenuste määratlus ei hõlma teenuseid, mis pakuvad elektrooniliste sidevõrkude ja -teenuste abil edastatavat sisu. iii) Teenuse osutamine tähendab võrgu loomist, käitamist, kontrollimist või teistele kasutada andmist. iv) Elektroonilised sideteenused ei hõlma infoühiskonna teenuseid, mida määratletakse e-kaubanduse direktiivis teenus(t)ena, mida osutatakse tavaliselt tasu eest ja vahemaa tagant elektroonilisel teel ja teenusesaaja isikliku taotluse alusel.

(10) Üldkasutatav sidevõrk on elektrooniline sidevõrk, mida kasutatakse ainult või peamiselt üldkasutatavate elektrooniliste sideteenuste osutamiseks.

(11) 20. detsembri 2007. aasta arvamus, mis käsitleb komisjoni teatist Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele „Raadiosagedustuvastus (RFID) Euroopas: sammud poliitilise raamistiku suunas”, KOM(2007) 96.

(12) Näiteks leidis Pariisi apellatsioonikohus 4. veebruaril 2005 kohtuasjas: BNP Paribas vs. World Press Online langetatud otsuses, et pole põhjust eristada Interneti-teenuse osutajaid, kes võimaldavad juurdepääsu Internetile kommertsalustel, ning tööandjaid, kes võimaldavad Interneti kasutamist oma töötajatele.

(13) Vt Euroopa Võrgu- ja Infoturbeameti poolt tellitud professor Ross Andersoni, Rainer Böhme, Richard Claytoni ja Tyler Moore'i aruannet „Security Economics and the Internal Market”. Aruanne on kättesaadaval Interneti-aadressil:

http://www.enisa.europa.eu/doc/pdf/report_sec_econ_&_int_mark_20080131.pdf

(14) Infoühiskonna teenused oma määratletud e-kaubanduse direktiivis teenustena, mida osutatakse tavaliselt tasu eest ja vahemaa tagant elektroonilisel teel ja teenusesaaja isikliku taotluse alusel.

(15) EÜ seadusandlikud menetlused, millesse on kaasatud liikmesriikide valitsuste esindajaid (ametnike tasandil) hõlmavad komiteed.

(16) Nn küpsised paigutatakse infoühiskonna teenuste osutajate (veebisaidid) poolt kasutajate lõppseadmesse erinevatel eesmärkidel, sealhulgas külastaja äratundmine, kui ta veebisaiti külastab. Praktikas määratakse siis, kui veebisait saadab Interneti kasutajale küpsise, kasutaja arvutile ainuomane number (st arvuti, millele veebisait A saatis küpsised, muutub „arvutiks, milles on küpsis 111”). Veebisait säilitab seda numbrit viitena. Kui küpsise 111 saanud arvuti omanik ei kustuta asjaomast küpsisefaili, tuvastab veebisait järgmisel korral, kui arvuti omanik seda külastab, tema arvuti kui küpsise 111 omaja. Veebileht järeldab loomulikul viisil, et asjaomane arvuti on veebilehte varem külastanud. Mehhanism, mis võimaldab veebilehel tuvastada arvuti kui korduvkülastaja, on lihtne. Kui külastajaarvutil on küpsised, nagu küpsis 111, ning see külastab veebisaiti, mis eelmise külastamise korral asjaomase küpsise tekitas, otsib see kasutaja kõvakettal küpsisefaili numbrit. Kui kasutaja veebilehitseja leiab küpsisefaili, mis kattub veebisaidil säilitatud viitenumbriga, annab see veebisaidile teavet, et arvutis on küpsis 111.

(17) IP-aadress (Interneti-protokolli aadress) on ainuomane aadress, mida teatavad elektroonilised seadmed kasutavad arvutivõrgus üksteise kindlaksmääramiseks ja üksteisega suhtlemiseks, kasutades Interneti-protokolli standardit (IP) ehk lihtsamalt öeldes arvuti aadressi. Igal võrgus osaleval seadmel — sealhulgas ruuterid, lülitid, arvutid, infrastruktuuriserverid (nt NTP, DNS, DHCP, SNMP jne), printerid, Interneti-faksid ja mõned telefonid — võib olla oma aadress, mis on sellele konkreetses võrgus ainuomane. Mõned IP-aadressid on mõeldud olema unikaalsed kogu ülemaailmse Interneti ulatuses, samas kui mõned muud IP-aadressid võivad olla unikaalseid vaid ühes ettevõttes.

(18) Üks selline juhtum oli kohtuasi: Microsoft corporation vs. Paul McDonald t/a Bizards UK (2006 All Er (D) 153).

(19) Euroopa andmekaitseinspektori arvamus järgmise dokumendi kohta: komisjoni teatis Euroopa Parlamendile ja nõukogule andmekaitsedirektiivi parema rakendamise tööprogrammi järelmeetmete kohta (ELT C 255, 27.10.2007, lk 1).

(20) Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta.