Kokkuvõte Euroopa Andmekaitseinspektori arvamusest, mis käsitleb ettepanekut hajusraamatu tehnoloogial põhinevate turutaristute katsekorra kohta

(Arvamuse täistekst (inglise, prantsuse ja saksa keeles) on Euroopa Andmekaitseinspektori veebilehel www.edps.europa.eu)

(2021/C 229/04)

Euroopa Komisjon võttis 24. septembril 2020 vastu ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu määrus hajusraamatu tehnoloogial põhinevate turutaristute katsekorra kohta (COM(2020) 594 final). Ettepanekuga kehtestatakse teatud turuosalistele hajusraamatu tehnoloogia (DLT) turutaristute korraldamise loa taotlemise ning loa saamise ühtlustatud nõuded.

Euroopa Andmekaitseinspektor rõhutab, et isikuandmete kaitse ei ole takistus innovatsioonile, eelkõige uute tehnoloogiate arengule finantssektoris. Samal ajal tuletab ta meelde, et ELi tasandil võetud meetmed, mis hõlmavad isikuandmete töötlemisega seotud innovatiivseid tehnoloogiaid, peavad vastama vajalikkuse ja proportsionaalsuse üldpõhimõtetele. Peale selle, arvestades et puudub täielik ülevaade nende uute tehnoloogiate mõjust meie ühiskonnale, leiab Euroopa Andmekaitseinspektor, et tuleks järgida ettevaatuspõhimõtet.

Euroopa Andmekaitseinspektor märgib, et sõltuvalt DLT konfiguratsioonist võib sinna salvestatud meta- või tehinguandmeid pidada isikuandmeteks, kui need on seotud tuvastatud või tuvastatava füüsilise isikuga. Seega peavad vastutavad töötlejad DLT konfiguratsiooni hoolikalt analüüsima ja dokumenteerima, et teha kindlaks, kas sellega töödeldakse isikuandmeid ja kas sellest tulenevalt kehtivad toimingutele andmekaitsekohustused.

Euroopa Andmekaitseinspektor rõhutab, et mõne hajusraamatu, eelkõige avalike ja loata hajusraamatute aluseks olev tehnoloogia tõstatab olulisi küsimusi seoses selle ühilduvusega andmekaitsenõuetega.

Euroopa Andmekaitseinspektor on seisukohal, et enne ettepaneku jõustumist peaks toimuma arutelu DLT-süsteemide üldise ühilduvuse kohta andmekaitseraamistikuga.

Euroopa Andmekaitseinspektor märgib, et kui DLT hõlmab ahelas sisalduvaid isikuandmeid, vastavad sellega seotud töötlemistoimingud tõenäoliselt suure riskiga töötlemistoiminguks klassifitseerimise kriteeriumidele. Seetõttu teeb vastutav töötleja enne isikuandmete töötlemist kavandatud töötlemistoimingute andmekaitsealase mõjuhinnangu. Lisaks võidakse nõuda pädeva andmekaitseasutuse eelnevat nõusolekut.

Euroopa Andmekaitseinspektor soovitab, et ettepanekus nõutaks DLT turutaristuga seotud teabe korraldamise taotluse osana, kui asjakohane, kavandatud töötlemistoimingute põhiteavet. Lisaks soovitab ta DLT turutaristute korraldajatel avaldada privaatsusteade samas kohas, kus on esitatud tema tegevusteave, nagu on nõutud ettepanekus.

Euroopa Andmekaitseinspektor rõhutab, et ettepanekus DLT turutaristute korraldamiseks ette nähtud IT- ja küberkord peab olema kooskõlas ka isikuandmete kaitse üldmääruse artiklites 22 ja 32 sätestatud kohustustega. (1)

Lõpuks soovitab Euroopa Andmekaitseinspektor DLT turutaristute korraldajate poolt tegevusprobleemidest teavitamise kontekstis tuletada ühes põhjenduses meelde, et isikuandmete kaitse üldmääruse artiklile 33 kohaselt peab korraldaja isikuandmetega seotud rikkumiste korral teavitama neist ka pädevat andmekaitseasutust ja, kui asjakohane, andmesubjekte vastavalt sama määruse artiklile 34.

3. TAUST

1. Euroopa Komisjon võttis 24. septembril 2020 vastu ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu määrus hajusraamatu tehnoloogial põhinevate turutaristute katsekorra kohta (COM(2020) 594 final) (edaspidi „ ettepanek “). Ettepanekuga kehtestatakse ühtlustatud nõuded konkreetsetele turuosalistele, eelkõige investeerimisühingutele, turukorraldajatele või väärtpaberite keskdepositooriumidele, et taotleda ja saada hajusraamatu tehnoloogia turutaristute (edaspidi „ DLT turutaristud “) korraldamise luba järelevalve all olevas keskkonnas konkreetsete eranditega finantsmäärusele vastavuse suhtes. Ettepanekul on eelkõige neli eesmärki: krüptovarade õiguskindluse tagamine, finantsstabiilsuse tagamine, tarbijate ja investorite kaitsmine ning innovatsiooni võimaldamine, et kasutada plokiahelat, hajusraamatu tehnoloogiat ja krüptovara.

2. MiCA-määrus “), ettepanekut finantssektori digitaalse tegevuskerksuse kohta DORA-määrus “), ning ettepanekut selgitada või muuta teatavaid seotud ELi finantsteenuste eeskirju See ettepanek on osa paketist, mis sisaldab ettepanekut võtta vastu Euroopa Parlamendi ja nõukogu määrus, mis käsitleb krüptovaraturge ( 2 ) („“), ettepanekut finantssektori digitaalse tegevuskerksuse kohta ( 3 ) („“), ning ettepanekut selgitada või muuta teatavaid seotud ELi finantsteenuste eeskirju ( 4 ) . Euroopa Andmekaitseinspektor loodab, et temaga konsulteeritakse ka paketi teiste määruste osas kooskõlas määruse (EL) 2018/1725 artikli 42 lõikega 1.

3. 26. veebruaril 2021 palus Euroopa Komisjon vastavalt määruse (EL) 2018/1725 artikli 42 lõikele 1 Euroopa Andmekaitseinspektoril esitada arvamus ettepaneku kohta. Need kommentaarid piirduvad andmekaitse seisukohast asjakohaste ettepaneku sätetega.

5. JÄRELDUSED

Eelnevast lähtudes teeb Euroopa Andmekaitseinspektor järgmist.

— Tuletab meelde, et isikuandmete kaitse ei ole takistus innovatsioonile, eelkõige uute tehnoloogiate arengule, eriti finantssektoris.

— Rõhutab, et mõne hajusraamatu, eriti avalike ja loata hajusraamatute aluseks olev tehnoloogia tõstatab olulisi kontseptuaalseid küsimusi seoses andmekaitsenõuetega. Seetõttu soovitab ta enne ettepaneku jõustumist korraldada arutelu, kuidas oleks võimalik tagada DLT-süsteemide ühilduvus andmekaitseraamistikuga.

— Rõhutab, et ettepanekuga hõlmatud DLT turutaristutes kaubeldavad krüptovarad peaksid olema ainult need, mis kasutavad andmekaitseraamistikule vastavat DLT konfiguratsiooni.

— Soovitab lisada DLT turutaristuga seotud teabe korraldamise taotluse osana, kui asjakohane, ka isikuandmeid hõlmavate kavandatud töötlemistoimingute loetelu, iga korraldaja ülesannete ja kohustuste jaotus DLT turutaristu raames vastavalt isikuandmete kaitse üldmäärusele ning andmekaitsega seotud peamised prognoositavad riskid ja riskivähendusstrateegiad.

— Rõhutab, et ettepanekus DLT turutaristute korraldamiseks ette nähtud IT- ja küberkord peab olema kooskõlas ka isikuandmete kaitse üldmääruse artiklites 22 ja 32 sätestatud kohustustega.

— Soovitab turutaristute korraldajate poolt tegevusprobleemidest teavitamise kontekstis tuletada ühes põhjenduses meelde, et isikuandmetega seotud rikkumiste korral peab korraldaja teavitama neist ka pädevat andmekaitseasutust vastavalt isikuandmete kaitse üldmääruse artiklile 33 ja, kui asjakohane, andmesubjekte vastavalt sama määruse artiklile 34.

Brüssel, 23. aprill 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (EÜT L 119, 4.5.2016, lk 1).

(2) Ettepanek: Euroopa Parlamendi ja nõukogu määrus, mis käsitleb krüptovaraturge ja millega muudetakse direktiivi (EL) 2019/1937 (COM(2020) 593 final). Kättesaadav aadressil EUR-Lex - 52020PC0593 - ET - EUR-Lex (europa.eu).

(3) Ettepanek: Euroopa Parlamendi ja nõukogu määrus, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014 ja (EL) nr 909/2014 (COM(2020) 595 final). Kättesaadav aadressil EUR-Lex - 52020PC0595 - ET - EUR-Lex (europa.eu).

(4) Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, millega muudetakse direktiive 2006/43/EÜ, 2009/65/EÜ, 2009/138/EÜ, 2011/61/EL, 2013/36/EL, 2014/65/EL, (EL) 2015/2366 ja (EL) 2016/2341 (COM(2020) 596 final). Kättesaadav aadressil EUR-Lex - 52020PC0596 - ET - EUR-Lex (europa.eu).