1. Sissejuhatus

Isikuandmete kaitse kuulub Euroopa ühiste põhiseaduslike väärtuste hulka ja see on sätestatud ELi põhiõiguste harta artiklis 8. Isikuandmete kaitse on olnud ELi õiguses kesksel kohal üle 20 aasta, alates 1995. aasta andmekaitsedirektiivist (edaspidi „1995. aasta direktiiv”) kuni isikuandmete kaitse üldmääruse ja politseidirektiivi vastuvõtmiseni 2016. aastal.

President Juncker rõhutas oma kõnes olukorrast Euroopa Liidus 14. septembril 2016: „[o]lla eurooplane tähendab õigust oma isikuandmete kaitsele tugevate Euroopa seaduste kaudu. [...] Privaatsus on Euroopas oluline. See on inimväärikuse küsimus.”

Kuid mitte ainult eurooplased ei soovi oma isikuandmeid kaitsta. Tarbijad kõikjal maailma hindavad ja väärtustavad privaatsust üha enam. Ettevõtjad omakorda tajuvad, et tugev privaatsuse kaitse annab neile konkurentsieelise, kuna see suurendab usaldust nende teenuste vastu. Paljud neist, eeskätt ülemaailmse haardega firmad, joonduvad privaatsuse kaitse põhimõtetes isikuandmete kaitse üldmäärusest nii sellepärast, et nad tahavad ELis tegutseda, kui ka sellepärast, et näevad üldmääruses järgimisväärset eeskuju.

Samuti võtavad mitu riiki ja piirkondlikku organisatsiooni väljaspool ELi, meie lähimatest naabritest kuni Aasia, Ladina-Ameerika ja Aafrikani vastu uusi isikuandmete kaitset käsitlevaid õigusakte või ajakohastavad kehtivaid õigusakte, selleks et ära kasutada globaalse digitaalmajanduse võimalusi ning tulla vastu kasvavale nõudlusele tugevama andmeturbe ja privaatsuse kaitse järele. Kuigi riigid lähenevad probleemidele erinevalt ja nende seadusandliku arengu tase on erinev, on siiski näha üldist ühtlustumist oluliste isikuandmete kaitse põhimõtetega, eelkõige teatavates maailma piirkondades. Suurem kooskõla erinevate andmekaitsesüsteemide vahel hõlbustaks isikuandmete rahvusvahelist edastamist nii ettevõtlusega seotud eesmärkidel kui ka riikide ametiasutuste (nt õiguskaitseasutuste) vahelises koostöös. EL peaks haarama võimalusest edendada oma andmekaitsealaseid väärtusi ja soodustada andmevoogusid, toetades õigussüsteemide lähenemist. Nagu on öeldud komisjoni tööprogrammis, esitatakse käesolevas teatises komisjoni strateegiline raamistik kaitse piisavuse otsuste ning muude andmete edastamise vahendite ja rahvusvaheliste andmekaitsealaste õigusaktide kasutamiseks.

2. ELi andmekaitse reformipakett — tänapäevane seadusandlik raamistik, mis toetab rahvusvahelisi hästi kaitstud andmevoogusid

2016. aasta aprillis vastuvõetud ELi andmekaitsealaste õigusaktide reformiga loodi süsteem, mis ühest küljest tagab andmetele tugeva kaitse ja teisest küljest on avatud globaalse infoühiskonna võimalustele. Andes inimestele oma isikuandmete üle suurema kontrolli, suurendab reform tarbijate usaldust digitaalmajanduse vastu. Õiguskeskkonda ühtlustades ja lihtsustades muudab reform ettevõtlusega tegelemise ELis nii ELis asutatud kui ka ELi-väliste äriühingute jaoks hõlpsamaks ja vähem koormavaks, muuhulgas andmete rahvusvahelise vahetamise kaudu. Praegu on EL avatud rahvusvahelistele andmevoogudele, tagades üksikisikutele samal ajal kõrgeima kaitse taseme. ELil on potentsiaali saada andmeteenuste keskuseks, mille eeldusteks on vabad andmevood ja usaldus.

2.1 Kõikehõlmav, ühtne ja lihtsustatud ELi andmekaitse raamistik

ELi reformiga kehtestatakse kõikehõlmav raamistik, mis reguleerib isikuandmete töötlemist nii avalikus kui ka erasektoris ning nii ettevõtluse kui ka õiguskaitse valdkonnas (vastavalt isikuandmete kaitse üldmäärus ja politseidirektiiv).

Isikuandmete kaitse üldmääruse kohaselt hakkab alates 2018. aasta maist kehtima üks üleeuroopaline õigusnormide kogum, mitte 28 eri riigi seadused nagu praegu. Uus ühtse kontaktpunkti mehhanism tagab, et kui ettevõte teeb ELis piiriüleseid andmetöötlustoiminguid, vastutab järelevalve eest üks andmekaitseasutus. Tagatud on uute õigusnormide järjepidev tõlgendamine. Eeskätt selliste piiriüleste juhtumite puhul, millega tegelevad mitu liikmesriigi andmekaitseasutust, tehakse üks otsus, tagamaks, et ühistele probleemidele leitakse ühised lahendused. Lisaks sellele loob isikuandmete kaitse üldmäärus võrdsed võimalused ELi ja ELi-välistele ettevõtetele selles mõttes, et väljaspool ELi asuvad äriühingud peavad järgima samu norme kui Euroopa äriühingud, kui nad pakuvad kaupu ja teenuseid või jälgivad üksikisikute käitumist ELis. Tarbijate suurem usaldus toob kasu nii ELi kui ka ELi-välistele ettevõtjatele.

Politseidirektiivis on sätestatud ühised õigusnormid, mis reguleerivad üksikisikute andmete töötlemist kriminaalmenetluses, olgu see üksikisik kahtlustatav, kannatanu või tunnistaja, võttes arvesse politseitöö ja kriminaalasjades õigusmõistmise eripära. Andmekaitsenormide, sealhulgas andmete rahvusvahelist edastamist reguleerivate normide ühtlustamine õiguskaitse valdkonnas hõlbustab piiriülest koostööd politsei- ja õigusasutuste vahel nii ELi siseselt kui ka rahvusvaheliste partneritega ning aitab seega luua tingimused kuritegevusevastase võitluse tõhustamiseks. See on Euroopa julgeoleku tegevuskava oluline osa.

2.2 Uuendatud ja mitmekesine tööriistakast andmete rahvusvaheliseks edastamiseks

ELi andmekaitsealased õigusaktid on algusest peale sisaldanud mitut mehhanismi, mis võimaldavad andmeid rahvusvaheliselt edastada. Nende normide põhieesmärk on tagada, et kui eurooplaste isikuandmeid edastatakse väljapoole Euroopa Liitu, läheb isikuandmete kaitse andmetega kaasa. Aastate jooksul on need normid võetud eeskujuks rahvusvaheliste andmevoogude reguleerimisel mitmes õigusruumis. Ehkki normide struktuur jääb põhiolemuselt samasuguseks nagu 1995. aasta direktiivis, selgitatakse ja lihtsustatakse reformiga andmete rahvusvahelise edastamise normide kasutust ning võetakse kasutusele uusi vahendeid andmete edastamiseks.

ELi õiguse kohaselt on üks võimalus isikuandmete edastamiseks väljapoole ELi tugineda komisjoni kaitse piisavuse otsusele, millega on kinnitatud, et isikuandmete kaitse tase kolmandas riigis on „sisuliselt samaväärne” sellega, mis on tagatud ELis. Kui selline otsus on tehtud, tähendab see, et isikuandmeid võib vabalt sellesse kolmandasse riiki edastada, ilma et andmeeksportija peaks pakkuma täiendavaid tagatisi või taotlema mingit luba. Täpselt ja üksikasjalikult on ette nähtud hulk elemente, mida komisjon peab ELi-välises õiguskorras sätestatud andmekaitsetaset hinnates arvesse võtma. Elementide loetelu on kättesaadav huvitatud riikidele ja rahvusvahelistele organisatsioonidele. Komisjon saab nüüd teha kaitse piisavuse otsuseid ka õiguskaitse valdkonnas. Lisaks sellele, arendades edasi 1995. aasta direktiivi kohaldamisel tekkinud praktikat, on reformiga sõnaselgelt lubatud teha selliseid otsuseid isikuandmete kaitse piisavuse kohta, mis käsitlevad osa kolmanda riigi territooriumist või konkreetset sektorit või tööstusharu kolmandas riigis (nn osaline piisavus).

Kaitse piisavuse otsuse puudumise korral saab isikuandmeid rahvusvaheliselt edastada hulga alternatiivsete vahendite alusel, millega nähakse ette asjakohased isikuandmete kaitse tagatised. Reformiga muudetakse ametlikuks võimalused kasutada olemasolevaid vahendeid nagu lepingu tüüptingimused ja siduvad kontsernisisesed eeskirjad ning laiendatakse neid võimalusi. Näiteks võib tüüptingimusi lisada nüüd ELis asuva töötleja ja ELi-välise riigi töötleja vahelisse lepingusse (nn töötlejatevahelised standardsätted). Siduvaid kontsernisiseseid eeskirju on siiani saanud kasutada ainult ühte kontserni kuuluvad üksused, kuid nüüd võib neid kasutada ka ettevõtjate rühm, kes tegeleb ühise majandustegevusega, kuid ei kuulu tingimata samasse kontserni. Reformiga vähendatakse ka bürokraatiat, kuna sellega tühistatakse üldised nõuded teavitada andmekaitseasutusi eelnevalt isikuandmete edastamisest kolmandasse riiki lepingu tüüptingimuste või siduvate kontsernisiseste alusel ja taotleda andmekaitseasutuselt selleks luba. See lihtsustab ELi andmete rahvusvahelise edastamise süsteemi oluliselt, kuna selliseid nõudeid, mis praegu on liikmesriikides erinevad, nähakse sageli suure takistusena andmevoogude teel, eriti väiksemate ettevõtete jaoks.

Lisaks võetakse reformiga kasutusele uued vahendid andmete rahvusvaheliseks edastamiseks. Vastutavad töötlejad ja volitatud töötlejad saavad teatavatel tingimustel kasutada heakskiidetud toimimisjuhendeid ja sertifitseerimismehhanisme, nagu näiteks privaatsusmärgised, selleks et tõendada asjakohaste kaitsemeetmete olemasolu. See peaks võimaldama andmete rahvusvahelise edastamise jaoks individuaalsemate lahenduste väljatöötamist, mis vastaksid näiteks konkreetse sektori või tööstusharu või konkreetsete andmevoogudega seotud erinõuetele. Samuti on nüüd võimalik sätestada asjakohased kaitsemeetmed andmete edastamise puhul avaliku sektori asutuste või organite vahel rahvusvaheliste lepingute või halduskokkulepete põhjal. Ühtlasi on isikuandmete kaitse üldmääruses selgitatud nn erandite kasutamist (nt nõusolek, lepingu täitmine ja avalikust huvist tulenevad kaalukad põhjused), millele üksused saavad konkreetsetes olukordades andmete edastamisel tugineda kaitse piisavuse otsuse puudumise korral ja olenemata eelnimetatud vahendite kasutamisest. Üldmäärus sisaldab ka uut, kuigi piiratud erandit, mis puudutab andmete edastamist äriühingu õigustatud huvide elluviimiseks.

Reformiga on komisjonile antud volitused töötada välja rahvusvahelised koostöömehhanismid, millega hõlbustada isikuandmete kaitset käsitlevate õigusaktide tõhusa täitmise tagamist, sealhulgas vastastikuse abi osutamise teel. Sellega tunnustatakse järelevalveasutuste vahelisest tihedamast rahvusvahelisest koostööst saadavat kasu, mis aitaks tagada üksikisiku õiguste tõhusama kaitse ja suurema õiguskindluse ettevõtjate jaoks.

3. Isikuandmete rahvusvaheline edastamine ärisektoris – kaubanduse edendamine privaatsuse kaitse abil

Privaatsuse tagamine on stabiilsete, turvaliste ja konkurentsivõimeliste globaalsete kaubavoogude eeltingimus. Privaatsusega ei saa kaubelda. Internet ning kaupade ja teenuste digiteerimine on maailmamajandust muutnud ning Euroopa äriühingud, nii suured kui ka väikesed, saadavad kõigis sektorites iga päev andmeid, sealhulgas isikuandmeid üle piiride. Kuna äritegevuses tuleb üha enam tugineda isikuandmete voogudele, on privaatsus ja isikuandmete turvalisus muutunud tarbijate usalduse kujunemisel määrava tähtsusega teguriks. Näiteks tunnistavad kaks kolmandikku eurooplastest, et on mures sellepärast, et neil ei ole kontrolli andmete üle, mida nad internetis esitavad, ja pooled vastanutest kardavad pettuse ohvriks langeda. Samal ajal leiavad Euroopa ettevõtted mõningates kolmandates riikides tegutsedes, et neid takistavad järjest enam protektsionistlikud piirangud, mida ei saa õigustada privaatsusega seotud põhjendatud kaalutlustega.