EUROOPA KOMISJON Brüssel,25.7.2022 COM(2022) 364 final KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE Esimene aruanne õiguskaitse valdkonnas isikuandmete kaitset käsitleva direktiivi (EL) 2016/680 (õiguskaitsedirektiiv) kohaldamise ja toimimise kohta















KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE Esimene aruanne õiguskaitse valdkonnas isikuandmete kaitset käsitleva direktiivi (EL) 2016/680 (õiguskaitsedirektiiv) kohaldamise ja toimimise kohta Sisukord 1 Õiguskaitsedirektiiv kui Euroopa Liidu julgeolekupoliitikas isikuandmete kaitse tagamise peamine vahend 1.1 Euroopa Liidu ühtse andmekaitseraamistiku keskne element 1.2 Oluline panus usaldusväärse julgeolekupoliitika tagamisse Euroopa Liidus 1.3 Olulised kaalutlused aruande koostamisel 2 Ülevõtmine on rahuldav, kuid lahendamata on mitu probleemi 2.1 Üldiselt on ülevõtmine täielik, kuid esineb teatavaid probleeme seoses erisätetega 2.2 Prioriteedid vastavuse hindamisel 2.2.1 Õiguskaitsedirektiivi kohaldamisala 2.2.2 Andmekaitse järelevalveasutuste juhtimine ja volitused 2.2.3 Õiguskaitsevahendid 2.2.4 Isikuandmete säilitamise ja läbivaatamise tähtajad 2.2.5 Isikuandmete, sealhulgas isikuandmete eriliikide töötlemise õiguslik alus 2.2.6 Automatiseeritud töötlusel põhinevate otsuste tegemine 2.2.7 Andmesubjektide õigused

2.2.8 Mõned olulised sätted, mis sisalduvad ainult õiguskaitsedirektiivis 3 Esimesed kogemused seoses õiguskaitsedirektiivi kohaldamise ja toimimisega 3.1 Kaebused ja positiivne mõju andmesubjektide õigustele 3.2 Pädevate asutuste suurem teadlikkus andmekaitsest 3.3 Andmeturve on paranenud, kuid andmetega seotud rikkumistest teavitamisel esineb erinevusi 3.4 Andmekaitse järelevalveasutuste tehtav järelevalve 3.4.1 Andmekaitse järelevalveasutuste ressursid 3.4.2 Volituste kasutamine 3.4.3 Kohtulik kontroll andmekaitse järelevalveasutuste tegevuse üle 3.4.4 Andmekaitsenõukogu suunised 3.4.5 Vastastikune abi 3.5 Paindlik vahend andmete rahvusvaheliseks edastamiseks 3.5.1 Kaitse piisavuse otsused 3.5.2 Asjakohased kaitsemeetmed 3.5.3 Erandite kasutamine 3.5.4 Tulemuslik piiriülene politsei- ja õigusalane koostöö 4 Edasine tegevus



1Õiguskaitsedirektiiv kui Euroopa Liidu julgeolekupoliitikas isikuandmete kaitse tagamise peamine vahend

Käesolevas teatises on esitatud Euroopa Komisjoni esimene aruanne õiguskaitse valdkonnas isikuandmete kaitset käsitleva direktiivi (EL) 2016/680 (edaspidi „õiguskaitsedirektiiv“) hindamise ja läbivaatamise kohta vastavalt õiguskaitsedirektiivi artikli 62 lõikele 1. Nagu on nõutud õiguskaitsedirektiiviga, analüüsitakse aruandes eelkõige seda, kuidas kohaldatakse õiguskaitsedirektiivis sisalduvaid norme, mis reguleerivad isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele, ja kuidas need normid toimivad, kuid selles käsitletakse ka laiemaid küsimusi. Aruandes paigutatakse õiguskaitsedirektiiv isikuandmete kaitse alaste ELi õigusaktide raamistikku ning nende ELi õigusaktide raamistikku, millega reguleeritakse isikuandmete töötlemist süütegude tõkestamise, uurimise, avastamise, nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise (edaspidi „kriminaalõiguskaitse“) eesmärgil . Aruandes antakse ülevaade sellest, kuidas liikmesriigid on õiguskaitsedirektiivi oma õigusesse üle võtnud, esitatakse õiguskaitsedirektiivi kohaldamisest ja toimimisest saadud esimesed kogemused ning kirjeldatakse edasist tegevust. 1.1Euroopa Liidu ühtse andmekaitseraamistiku keskne element Õiguskaitsedirektiiv on üks kolmest sambast, millele tugineb ELi raamistik, millega tagatakse põhiõigus isikuandmete kaitsele. Teised kaks on isikuandmete kaitse üldmäärus ja määrus isikuandmete kaitse kohta liidu institutsioonides ja asutustes (edaspidi „ELi isikuandmete kaitse määrus“) . Põhiõigus isikuandmete kaitsele on sätestatud Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklis 8 ja Euroopa Liidu toimimise lepingu (edaspidi „ELi toimimise leping“) artiklis 16. Õiguskaitsedirektiiv jõustus 6. mail 2016 ja liikmesriigid pidid selle üle võtma 6. maiks 2018 . Õiguskaitsedirektiiv on esimene ELi õigusakt, milles järgitakse terviklikku lähenemisviisi isikuandmete kaitsele pädevate asutuste (see tähendab õigusasutused, politsei ja muud kriminaalõiguskaitseasutused, nagu on ette nähtud õiguskaitsedirektiivi artikli 3 lõikega 7) poolt kriminaalõiguskaitse eesmärkidel. Võrreldes nõukogu raamotsusega 2008/977/JSK, mis õiguskaitsedirektiiviga kehtetuks tunnistati ja asendati, on õiguskaitsedirektiivi näol tegemist olulise edasiminekuga, millega tagatakse andmekaitsenormide järjekindel kohaldamine kogu ELis. Esiteks on õiguskaitsedirektiiviga ette nähtud terviklik kogum norme nii isikuandmete töötlemise kohta nii piiriülese kui ka riigisisese kriminaalõiguskaitse eesmärkidel, nõukogu raamotsuses käsitleti aga üksnes piiriülest töötlemist. Teiseks on õiguskaitsedirektiiviga ette nähtud terviklik ja horisontaalne kogum norme, kuid varasema lähenemisviisi alusel oli iga ELi valdkondlik õigusakt, mis käsitles isikuandmete kaitset kriminaalõiguskaitse kontekstis, reguleeritud eraldi andmekaitsenormidega. Isikuandmete kaitse üldmäärus, ELi isikuandmete kaitse määrus ja õiguskaitsedirektiiv põhinevad sarnastel kontseptsioonidel ja põhimõtetel, mille tulemusel tõlgendatakse ja kohaldatakse ELi andmekaitsenorme järjekindlalt. Need õigusaktid sisaldavad ühiseid mõisteid ning vastutavate töötlejate ja volitatud töötlejate sarnaseid kohustusi. Õiguskaitsedirektiivis on aga konkreetselt käsitletud ka riske, mis kaasnevad isikuandmete töötlemisega kriminaalõiguskaitse kontekstis. Vastavate sätetega on ette nähtud kohustused i) eristada andmesubjektide eri kategooriaid, ii) eristada faktidel põhinevaid isikuandmeid isiklikel hinnangutel põhinevatest andmetest ning iii) pidada logi isikuandmete kasutamise kohta ja järgida konkreetseid turvanõudeid. Võttes arvesse kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö erilist laadi, peeti vajalikuks võtta nendes valdkondades vastu erinormid isikuandmete kaitse ja isikuandmete vaba liikumise kohta. Kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonna tundlikkuse ning kriminaalõiguskaitset reguleerivate riiklike õigusraamistike keerukuse tõttu peeti direktiivi parimaks vahendiks, mille abil saavutada selles valdkonnas kõrgetasemeline andmekaitse. Samuti jätab direktiiv liikmesriikidele vajaliku paindlikkuse, kui nad kohaldavad neid põhimõtteid, norme ja erandeid riigi tasandil. Komisjon avaldas oma esimese aruande isikuandmete kaitse üldmääruse rakendamise kohta 24. juunil 2020. Selle järelduste kohaselt ollakse üldiselt seisukohal, et isikuandmete kaitse üldmäärus täitis oma eesmärgid, eelkõige andes kodanikele kohtulikult kaitstavad õigused ning luues ELis uue normide täitmise ja juhtimissüsteemi. Aruandes esitati loetelu meetmetest, mida tuleb võtta selleks, et kõikidel sidusrühmadel oleks veelgi lihtsam isikuandmete kaitse üldmäärust kohaldada ning et andmekaitsekultuuri ELis edasi edendada ja arendada koos normide jõulise maksmapanekuga. Käesolev aruanne koostati pärast seda, kui vaadati läbi ELi vastuvõetud õigusaktid, millega on reguleeritud andmete töötlemine pädevates asutustes seoses kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramisega. Õigusaktide läbivaatamise eesmärk oli hinnata vajadust viia need vastavusse õiguskaitsedirektiiviga . Komisjon täitis selle kohustuse 24. juunil 2020, kui ta võttis vastu teatise „Edasised sammud endise kolmanda samba acquis’ vastavusse viimiseks andmekaitsenormidega“. Komisjon tegi kindlaks kümme õigusakti, mis tuleks õiguskaitsedirektiiviga vastavusse viia, ja kehtestas selle töö ajakava. Käesolev aruanne koostati samaaegselt komisjoni aruandega ELi isikuandmete kaitse määruse kohaldamise kohta. Määruse oluline element on selle IX peatükis (mis käsitleb kasutatavate isikuandmete töötlemist ELi organite või asutuste poolt politseikoostöö ja kriminaalasjades tehtava õigusalase koostöö kohaldamisalasse jäävas tegevuses (edaspidi „justiits- ja siseküsimustega tegelevad asutused“)) sätestatud normide läbivaatamine. Asjaomased normid põhinevad suurel määral õiguskaitsedirektiivil. ELi isikuandmete kaitse määruse artikliga 98 kohustatakse komisjoni vaatama läbi õigusaktid, millega on reguleeritud kasutatavate isikuandmete töötlemine justiits- ja siseküsimustega tegelevate asutuste poolt, ning lubatakse tal esitada asjakohaseid seadusandlikke ettepanekuid, eelkõige IX peatüki normide kohaldamiseks Europoli ja Euroopa Prokuratuuri suhtes ning kõnealuses peatükis vajalike muudatuste tegemiseks. 1.2Oluline panus usaldusväärse julgeolekupoliitika tagamisse Euroopa Liidus Komisjon on järjepidevalt toonitanud, et tulemusliku ja tõeliselt turvalise ELi saab üles ehitada ainult siis, kui järgitakse täielikult hartas ja ELi teisestes õigusaktides sätestatud põhiõigusi. Õiguskaitsedirektiiv annab olulise panuse ELi julgeolekupoliitikasse, tagades kuritegude ohvrite, tunnistajate ja kahtlusaluste isikuandmete nõuetekohase kaitse. Peale selle toetab õiguskaitsedirektiiv ELis ja Schengeni riikides pädevate asutuste poolt töödeldavate isikuandmete kaitset käsitlevate normide ühtlustamise teel suurema usalduse teket ametiasutuste vahel ja kriminaalõiguskaitse eesmärkidel vahetatavate andmete turvalisust ning hõlbustab seega piiriülest koostööd kuritegevuse- ja terrorismivastases võitluses. Samuti on õiguskaitsedirektiivil oluline roll pädevates asutustes andmekaitsenõuete täitmise kultuuri edendamisel. Lisaks on julgeolekuliidu strateegias rõhutatud, et kuritegevusevastases võitluses saab võimsa töövahendina kasutada uut tehnoloogiat, näiteks tehisintellekti. Selle potentsiaali realiseerimine tähendab seda, et tagada tuleb ka põhiõiguste järgimise kõrgeimal tasemel. Andmekaitsealased õigusaktid, sealhulgas õiguskaitsedirektiiv, loovad aluse, mille põhjal saab koostada valdkondlikke õigusakte. Näiteks looks tehisintellekti käsitlev kavandatud õigusakt täiendava raamistiku isikuandmete kasutamisele avalikes kohtades toimuvaks biomeetriliseks kaugtuvastamiseks õiguskaitse eesmärkidel. Maailmas, kus kõik on omavahel seotud, on kuritegevus (eelkõige küberkuritegevus ja muud küberruumi kasutades toime pandud kuriteod) oma laadilt üha enam piiriülene. Isegi riigisiseste juhtumite uurimisel leiavad pädevad asutused end üha sagedamini piiriülestes olukordades, sest teavet säilitatakse elektrooniliselt kolmandas riigis. See tähendab, et kriminaaluurimistes tuleb teha rohkem rahvusvahelist koostööd, ning see kehtib nii liikmesriikide asutuste kui ka selliste ELi ametite kohta nagu Europol ja Eurojust. Selline koostöö, eeskätt elektrooniliste tõendite kogumine ja vahetamine, hõlmab sageli isikuandmete edastamist. Seepärast on tugevad andmekaitsemeetmed äärmiselt vajalikud. Samuti aitavad kaitsemeetmed luua usaldust õiguskaitseasutuste vahel, tagades kiirema ja tulemuslikuma teabevahetuse ning parandades õiguskindlust, kui teavet kasutatakse järgnevalt kriminaalmenetluses. Sellega seoses on õiguskaitsedirektiiviga ette nähtud ajakohastatud vahendite kogum, mis hõlbustab sellist isikuandmete edastamist EList kolmandale riigile või rahvusvahelisele organisatsioonile (näiteks Interpolile), tagades samal ajal ka isikuandmete jätkuva kõrgetasemelise kaitse. Alates õiguskaitsedirektiivi jõustumisest on komisjon ja liikmesriigid kasutanud kõiki sellega ette nähtud vahendeid, mis kinnitab, et direktiiv on tulemusliku rahvusvahelise õiguskaitsealase ja politseikoostöö võimaldamiseks piisavalt laiaulatuslik ja paindlik. 1.3Olulised kaalutlused aruande koostamisel Käesoleva aruande koostamisel kogus komisjon teavet ja tagasisidet mitmesugustest allikatest ning sihtkonsultatsioonide kaudu. Kooskõlas õiguskaitsedirektiivi artikliga 62 võttis komisjon arvesse Euroopa Parlamendi, nõukogu, Euroopa Andmekaitsenõukogu (edaspidi „andmekaitsenõukogu“) ja liikmesriikide andmekaitse järelevalveasutuste panuseid ja seisukohti. Täiendavat tagasisidet saadi (Euroopa Liidu Põhiõiguste Ameti kaudu) kodanikuühiskonna organisatsioonidele mõeldud küsimustikust ja vastustest avalikule tagasiside andmise kutsele . Komisjon võttis arvesse ka isikuandmete kaitse üldmääruse ja õiguskaitsedirektiiviga tegeleva liikmesriikide eksperdirühma tähelepanekuid ja nõukogu eesistujariigi Saksamaa tähelepanekuid. Samuti võttis komisjon arvesse liikmesriikide ülevõtmismeetmete analüüsi ja väikest arvu kaebusi, mis ta oli sellega seoses saanud. Kuigi õiguskaitsedirektiivi kohaldatakse kõikide liikmesriikide ja Schengeni riikide suhtes (sest see kujutab endast Schengeni acquis’ edasiarendust ), käsitletakse käesolevas aruandes ainult ELi liikmesriike. Käesoleva aruande koostamist mõjutasid kolm tegurit. Esiteks ei suutnud kaks kolmandikku liikmesriikidest pidada kinni õiguskaitsedirektiivi siseriiklikku õigusesse ülevõtmise tähtajast (mai 2018). Sellest hoolimata võttis enamik liikmesriike õiguskaitsedirektiivi üle 2019. aastaks, pärast seda, kui komisjon oli algatanud rikkumismenetlused. Seepärast on kogemused direktiivi kohaldamisel suhteliselt piiratud, mida rõhutavad ka andmekaitsenõukogu ja nõukogu. Teiseks osutus õiguskaitsedirektiivi kohaldamise kohta statistika koostamine keerulisemaks kui isikuandmete kaitse üldmääruse puhul. Mõned andmekaitse järelevalveasutused ei kogu oma järelevalvetegevust käsitlevaid statistilisi andmeid eraldi õiguskaitsedirektiivi ja isikuandmete kaitse määruse kohta. See kehtib näiteks direktiivi kohaselt andmetega seotud rikkumistest teatamise ja kaebuste esitamise kohta, mis tähendab, et mõnikord on keeruline saada täpset ülevaadet nendest õiguskaitsedirektiivi alusel kehtestatud sätetest . Kolmandaks on oluline võtta arvesse, et kohtupraktika õiguskaitsedirektiivi kohaldamise kohta alles hakkab välja kujunema. Euroopa Liidu Kohtus on praegu pooleli mitu kohtuasja, mis puudutavad selliste oluliste õiguskaitsedirektiivi sätete tõlgendamist nagu andmesubjektide õigus andmetega tutvuda ja õigus tõhusale õiguskaitsevahendile. Need kohtuotsused loovad suurema selguse ja toetavad ühtlustatumat lähenemisviisi liikmesriikide seas.

2Ülevõtmine on rahuldav, kuid lahendamata on mitu probleemi Komisjon on moodustanud liikmesriikide eksperdirühma, et aidata liikmesriikidel õiguskaitsedirektiivi oma õigusesse üle võtta. Eksperdirühm edendab andmekaitsenorme käsitlevaid arutelusid ja sellealaste kogemuste vahetamist liikmesriikide ja komisjoni vahel. Eksperdirühm kohtus regulaarselt alates õiguskaitsedirektiivi vastuvõtmisest 2016. aastal kuni ülevõtmistähtaja lõpuni 2018. aasta mais ja alustas uuesti tööd 2021. aastal. Allpool esitatud ülevaates direktiivi ülevõtmise kohta keskendutakse peamistele seni kindlakstehtud küsimustele. Eeskätt põhineb see komisjoni analüüsil teabe kohta, mille liikmesriigid esitasid siis, kui nad teavitasid komisjoni riiklikest meetmetest, mis nad on võtnud õiguskaitsedirektiivi ülevõtmiseks. Seda analüüsi toetas välise töövõtja läbiviidud välisuuring. Samuti vahetas komisjon kahepoolselt teavet mitme liikmesriigiga. 2.1Üldiselt on ülevõtmine täielik, kuid esineb teatavaid probleeme seoses erisätetega 2018. aasta juulis algatas komisjon rikkumismenetluse 19 liikmesriigi suhtes, sest nad ei olnud 2018. aasta mai tähtpäevaks vastu võtnud õigusakte õiguskaitsedirektiivi ülevõtmiseks ega komisjoni ülevõtmisest nõuetekohaselt teavitanud. 2019. aasta juulis algatati veel ühe liikmesriigi suhtes menetlus osalise ülevõtmata jätmise tõttu. Selle tulemusel teavitas enamik liikmesriike järgnevalt komisjoni siseriiklikest õigusaktidest, millega direktiiv üle võeti, ja komisjon lõpetas nende suhtes algatatud rikkumismenetlused järk-järgult 2019. aastal (ühe liikmesriigi puhul 2020. aastal). 2021. aastal pöördus komisjon Hispaania vastu algatatud rikkumishagiga Euroopa Liidu Kohtusse, sest see liikmesriik ei olnud õiguskaitsedirektiivi endiselt üle võtnud ega komisjoni ülevõtmismeetmetest teavitanud. Arvestades rikkumise raskusastet ja kestust, leidis Euroopa Liidu Kohus esmakordselt, et Hispaania peab tasuma nii trahvi põhisumma kui ka karistusmakse . Samuti algatas komisjon 2022. aasta aprillis rikkumismenetluse Saksamaa suhtes pärast seda, kui oli avastanud õiguskaitsedirektiivi ülevõtmises lünga seoses Saksamaa föderaalpolitsei tegevusega. Komisjon jätkab liikmesriikides õiguskaitsedirektiivi ülevõtmise hindamist ja võtab vajalikud meetmed võimalike lünkade kõrvaldamiseks. 2.2Prioriteedid vastavuse hindamisel Komisjon kontrollib ka seda, kas liikmesriikide siseriiklike sätetega on õiguskaitsedirektiivi nõuded õigesti üle võetud (vastavuse kontrollimine). Õiguskaitsedirektiivi ülevõtmisel liikmesriigid kas muutsid oma varasemaid andmekaitsealaseid õigusakte või tühistasid ja asendasid need uu(t)e horisontaalse(te) andmekaitsealas(t)e õigusakti(de)ga. Paljudel juhtudel on õiguskaitsedirektiiv siseriiklike õigusaktidega üle võetud nii, et viidatakse isikuandmete kaitse üldmääruse samale või samaväärsele sättele (näiteks mõistete, andmetega seotud rikkumistest teavitamise, andmekaitseametniku määramise ning liikmesriikide andmekaitse järelevalveasutuste korraldust, staatust, pädevust, ülesandeid ja volitusi käsitlevate sätete puhul). Mitu õiguskaitsedirektiivi sätet võeti üle ka uute sätetega näiteks üldises haldusõiguses, haldusmenetluse õiguses või kriminaalmenetluses. Mõni liikmesriik võttis mitu õiguskaitsedirektiivi sätet üle ka valdkondlikes õigusaktides, millega on reguleeritud konkreetsete pädevate asutuste toimimine ja volitused. Et kindlaks teha, kas õiguskaitsedirektiiv on liikmesriigis õigesti üle võetud või mitte, võib seega olla vajalik kaaluda mitmesuguseid siseriiklikke õigusakte. Üldiselt kajastavad siseriiklikud õigusaktid suurel määral õiguskaitsedirektiivi põhimõtteid ja peamisi sätteid. Kindlaks on aga tehtud mitu probleemi, millest olulisemaid on kirjeldatud alljärgnevates punktides. Komisjon on juba algatanud liikmesriikide suhtes mitu rikkumismenetlust . Läbivaatamisprotsess on pooleli ja juhul, kui ülevõtmismeede ei ole õiguskaitsedirektiiviga vastavuses, jätkab komisjon kõikide kättesaadavate vahendite, sealhulgas rikkumismenetluste kasutamist. Õiguskaitsedirektiivi käsitleva kohtupraktika väljakujunemine on alles algusjärgus. Euroopa Liidu Kohus on hakanud tegema kohtuotsuseid õiguskaitsedirektiivi tõlgendamise kohta, sealhulgas kohtuasjades WS vs. Bundesrepublik Deutschland ja B vs. Latvijas Republikas Saeima. Käesoleva aruande koostamise ajal on Euroopa Liidu Kohtus pooleli mitme eelotsuse tegemine (nagu on kirjeldatud alljärgnevates punktides). 2.2.1Õiguskaitsedirektiivi kohaldamisala Õiguskaitsedirektiivi ja isikuandmete kaitse üldmääruse kohaldamisala piiritlemise keerukuse tõstatasid probleemse küsimusena nii isikuandmete kaitse üldmääruse ja õiguskaitsedirektiiviga tegelev liikmesriikide eksperdirühm kui ka andmekaitsenõukogu. Ka mõni andmekaitse järelevalveasutus on märkinud, et see võib pädevate asutuste jaoks keeruliseks osutuda . Õiguskaitsedirektiivi kohaldamisala on määratletud kahe põhielemendiga: pädeva asutuse mõiste (isikuline kohaldamisala) ja süüteo mõiste (esemeline kohaldamisala). Mis puudutab isikulist kohaldamisala, siis kuulub andmete töötlemine õiguskaitsedirektiivi kohaldamisalasse esiteks siis, kui seda teostab pädev asutus, ja teiseks siis, kui isikuandmeid töödeldakse õiguskaitsedirektiivi eesmärkidel (see tähendab süütegude tõkestamiseks, uurimiseks, avastamiseks, nende eest vastutusele võtmiseks või kriminaalkaristuste täitmisele pööramiseks, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmiseks ja nende ennetamiseks). Komisjoni arvamuse kohaselt on õiguskaitsedirektiivis määratletud pädevad asutused riigiasutused või eraõiguslikud asutused, kellele on õigusaktidega antud erivolitused, mis lähevad kaugemale üksikisikutevaheliste suhete suhtes kohaldatavatest tavapärastest normidest tulenevatest volitustest, ja/või kellel on õigus rakendada sundi. Need ametiasutused on õiguskaitsedirektiivi alusel pädevad asutused siis, kui nad töötlevad andmeid süütegude tõkestamiseks, uurimiseks, avastamiseks, nende eest vastutusele võtmiseks või kriminaalkaristuste täitmisele pööramiseks (sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmiseks ja nende ennetamiseks), isegi kui selline töötlemine toimub sporaadiliselt ja/või üksikjuhtudel. See tähendab näiteks seda, et isikuandmete töötlemine kõnealuste asutuste poolt muudel kui õiguskaitsedirektiivi eesmärkidel (näiteks inimressursside või muudel halduseesmärkidel, nagu isikuandmete töötlemine rahapesu andmebüroode poolt rahapesuvastase õigustiku alusel) jääb isikuandmete kaitse üldmääruse, mitte õiguskaitsedirektiivi kohaldamisalasse. Selle kindlakstegemisel, kas andmete töötlemine jääb õiguskaitsedirektiivi kohaldamisalasse või mitte, on keskse tähtsusega süüteo mõiste. Euroopa Liidu Kohtu sõnul on rikkumise karistusõigusliku laadi hindamisel asjakohased kolm kriteeriumi: kas rikkumine on riigisiseses õiguses kvalifitseeritud kuriteona, rikkumise enese laad ja asjaomast isikut ähvardava sanktsiooni rangusaste . Õiguskaitsedirektiivi põhjenduses 13 osutatud süüteo mõiste autonoomne laad tähendab muu hulgas seda, et liikmesriigi õiguses ei saa määrata rikkumist oma laadilt kuriteoks üksnes õiguskaitsedirektiivi kohaldamise eesmärgil. Mõnes liikmesriigis tõstatub isikuandmete kaitse üldmääruse ja õiguskaitsedirektiivi kohaldamisalade piiritlemise küsimus seoses süütegude ja haldusrikkumiste valdkondade eristamisega. Eelkõige on mõnes siseriiklikus õigusaktis, millega direktiiv üle võeti, osutatud isikuandmete töötlemisele eesmärkidel, mida ei ole õiguskaitsedirektiivi artiklis 1 loetletud (näiteks ohud avalikule korrale või avalikule turvalisusele). Samuti tõstatub see küsimus seetõttu, et mõne liikmesriigi arvamuse kohaselt täidavad õiguskaitsedirektiivi kohaldamisalasse jäävaid ülesandeid mitmed haldusasutused (näiteks eespool mainitud rahapesu andmebürood). Enamik liikmesriikide õigusakte hõlmavad laiaulatuslikult isikuandmete töötlemist õiguskaitsedirektiivi eesmärkidel mis tahes pädeva asutuse poolt. Mõni liikmesriik on seevastu otsustanud esitada siseriiklikes õigusaktides õiguskaitsedirektiivikohaste pädevate asutuste ammendava loetelu. Üksikud liikmesriigid on ette näinud ka erandi seoses töötlemisega teatavat liiki pädevates asutustes või teatavat liiki andmete töötlemisega. Õiguskaitsedirektiivi kohaldamisala küsimus on suunatud eelotsuse tegemiseks Euroopa Liidu Kohtusse. Tirooli kohus (Landesverwaltungsgericht Tirol, Austria) tõstatas küsimuse õiguskaitsedirektiivi kohaldamisala kohta juhul, kui pädev asutus püüdis edutult saada juurdepääsu konfiskeeritud telefonis sisalduvatele andmetele (õiguskaitsedirektiivi artikli 2 tõlgendamine). Juhtum puudutab ka sellise juurdepääsu tingimusi. 2.2.2Andmekaitse järelevalveasutuste juhtimine ja volitused

Kõik liikmesriigid peale kahe (Belgia ja Rootsi) on teinud õiguskaitsedirektiivi täitmise tagamise ülesandeks samale järelevalveasutusele, kes vastutab ka isikuandmete kaitse üldmääruse täitmise eest. Belgia on teinud järelevalve politsei üle õiguskaitsedirektiivi eesmärkidel ülesandeks erinevale järelevalveasutusele. Rootsis teevad teatavate pädevate asutuste, sealhulgas politsei üle järelevalvet ühiselt isikuandmete kaitse üldmääruse puhul pädev järelevalveasutus ja veel üks järelevalveasutus. Peale selle ei ole mitte kõik andmekaitse järelevalveasutused õiguskaitsedirektiivi kohaselt pädevad tegema järelevalvet kohtute üle, kui kohtud täidavad õigusemõistmise funktsiooni. Mis puudutab õiguskaitsedirektiivi sätteid andmekaitse järelevalveasutuste sõltumatuse kohta, siis on kõik liikmesriigid ülevõtvates õigusaktides sätestanud, et andmekaitse järelevalveasutused tegutsevad oma ülesannete täitmisel sõltumatult. Samuti nõuavad nad, et nende andmekaitse järelevalveasutuste liikmed on vabad välistest mõjutustest ja et nad ei küsi ega võta vastu juhiseid mitte kelleltki. Andmekaitse järelevalveasutuste kontroll andmekaitsenõuete täitmise üle on äärmiselt oluline ja see on sätestatud harta artikli 8 lõikes 3. Õiguskaitsedirektiiviga kohustatakse liikmesriike andma andmekaitse järelevalveasutustele tõhusad uurimis-, parandus- ja nõuandevolitused. See on eeltingimus andmekaitsenormide täitmise nõuetekohaseks tagamiseks ja seega õiguskaitsedirektiivi eesmärgi – põhiõiguste, eelkõige isikuandmete kaitse õiguse kõrgetasemelise kaitse – saavutamiseks ning ELis andmete vaba liikumise tagamiseks. Andmekaitse järelevalveasutustel peavad olema kogu ELis ühesugused volitused, et nad saaksid täita oma kohustusi nii, nagu see on õiguskaitsedirektiiviga ette nähtud. Kõik liikmesriigid on andnud oma ametiasutustele õiguskaitsedirektiivis sätestatud uurimisvolitused ning enamik liikmesriike on andnud neile ka muud volitused (näiteks volitused viia läbi auditeid, siseneda valdustesse, teha andmetest koopiaid ja konfiskeerida esemeid). Seetõttu leidsid peaaegu kõik andmekaitse järelevalveasutused, et neil on tõhusad uurimisvolitused. Peaaegu kõik liikmesriigid on ette näinud õiguskaitsedirektiivis esitatud parandusvolitused. Paljud neist on seejuures üsna täpselt järginud õiguskaitsedirektiivi sõnastust, samal ajal kui mitu liikmesriiki on kasutanud väga laia sõnastust, mida võib mõistlikult tõlgendada nii, et see hõlmab kõiki õiguskaitsedirektiivis sätestatud volitusi. Peale selle on enamiku liikmesriikide õigusaktidega antud andmekaitse järelevalveasutustele õigus määrata haldustrahve. Mitte kõik liikmesriigid ei ole andnud andmekaitse järelevalveasutustele õigust juhtida õigusasutuste tähelepanu õiguskaitsedirektiivi ülevõtmiseks vastuvõetud siseriiklike õigusaktide rikkumistele ega kohtumenetlusi algatada või neis muul viisil osaleda. Selline õigus on oluline ja täiendab muid vahendeid, mida andmekaitse järelevalveasutused saavad üksikisikute põhiõiguste ja eelkõige nende isikuandmete kaitse õiguse kõrgetasemelise kaitse tõhusaks tagamiseks kasutada. 2.2.3Õiguskaitsevahendid Kõik liikmesriigid on näinud ette õiguse esitada asjaomasele järelevalveasutusele kaebus. Enamikus siseriiklikes õigusaktides on sätestatud kaebuse esitamise tähtaeg. On tähtis, et see tähtaeg ei piiraks andmesubjektide vastavaid õigusi. Kooskõlas õiguskaitsedirektiiviga on kõik liikmesriigid sätestanud õiguskaitsevahendi järelevalveasutuse otsuste vastu, ilma et see piiraks nende õigussüsteemis kasutatavate muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist. Kõikides liikmesriikides peale kahe saab kasutada õiguskaitsevahendit juhul, kui pädev järelevalveasutus ei käsitle kaebust või ei teavita andmesubjekti kolme kuu jooksul kaebuse menetlemise käigust või tulemustest. Samuti on enamik liikmesriike ette näinud õiguskaitsevahendi vastutava töötleja või volitatud töötleja vastu õiguskaitsedirektiivi väidetava rikkumise korral. Mitme siseriikliku ülevõtva õigusaktiga ei ole aga ette nähtud andmesubjekti õigust volitada mittetulunduslikku asutust, organisatsiooni või ühendust esitama tema nimel kaebust järelevalveasutusele või kasutama tema nimel õiguskaitsevahendit. 2.2.4Isikuandmete säilitamise ja läbivaatamise tähtajad Liikmesriikide lähenemisviisid õiguskaitsedirektiivis sätestatud isikuandmete säilitamise ja läbivaatamise tähtaegade ülevõtmisele on väga erinevad. Enamik liikmesriikide andmekaitsealaseid õigusakte, millega õiguskaitsedirektiiv üle võetakse, vastavad vaid õiguskaitsedirektiivi artiklis 5 sätestatud üldisele nõudele. See tähendab, et isikuandmete kustutamise või isikuandmete säilitamise vajaduse läbivaatamise tähtajad tuleb tegelikult kehtestada valdkondlikes õigusaktides. Üksikud liikmesriigid võtsid selle sätte üle, kehtestades tähtajad valdkondlikes õigusaktides. Mõnes liikmesriigis on aga tähtaegade kehtestamine tehtud seadusega pädevate asutuste ülesandeks. Mõnel juhul ei ole õigusaktides sätestatud mingeid korrapärase läbivaatamise kriteeriume ega nõutud selliste kriteeriumide kehtestamist muude õigusaktidega ja/või ei ole nendega ette nähtud, et tähtaegadest kinnipidamise tagamise menetlused oleksid sätestatud ka siseriiklikus õiguses. Tuleb tähele panna, et Bulgaaria kõrgeim halduskohus palus hiljuti Euroopa Liidu Kohtul vastata eelotsusetaotlusele õiguskaitsedirektiivi artikli 5 tõlgendamise kohta seoses andmete säilitamise tähtaegadega . 2.2.5Isikuandmete, sealhulgas isikuandmete eriliikide töötlemise õiguslik alus Enamik liikmesriike näeb ette – kasutades sõnastust, mis sageli vastab õiguskaitsedirektiivi artiklile 8 –, et töötlemise õiguslik alus peab olema sätestatud ELi või liikmesriigi õiguses. Mõned siseriiklikud andmekaitsealased õigusaktid, millega õiguskaitsedirektiiv üle võetakse, ei kajasta aga nõuet, et töödeldavad isikuandmed ja nende töötlemise konkreetsed eesmärgid peavad olema sätestatud õigusaktides. Teised siseriiklikud andmekaitsealased õigusaktid, millega õiguskaitsedirektiiv üle võetakse, ei sisalda kõiki artiklile 8 vastavaid sätteid. Liikmesriikide õigusaktidega tuleb ette näha töötlemise alus ja tagada vastavus artikli 8 nõuetele. Peale selle ei saa üksnes õiguskaitsedirektiivi artikli 8 üldiste nõuete kordamist liikmesriigi õiguses käsitada konkreetse töötlemistoimingu piisava õigusliku alusena, vaid siseriiklikus õiguses tuleb täpsustada, milline ametiasutus on pädev isikuandmeid töötlema, tema täidetavad avalikud ülesanded, mis andmete töötlemist õigustavad, ja töötlemise konkreetne eesmärk. Mis puudutab isikuandmete eriliikide töötlemist, siis nõuab enamik liikmesriike töötlemise eeltingimusena, et töötlemine oleks rangelt vajalik. Samuti näeb suurem osa liikmesriike ette samad tundlike andmete töötlemise õiguslikud alused kui need, mis on sätestatud õiguskaitsedirektiivi artiklis 10 (töötlemine on õigusaktidega lubatud, selle eesmärk on kaitsta andmesubjekti või teise füüsilise isiku elulisi huve või töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud). Üksikutes liikmesriikides on ülevõtvate õigusaktidega ette nähtud teatavad täiendavad andmete töötlemise alused (näiteks kui selliste andmete töötlemine on vajalik isikute elu, füüsilist puutumatust või vara otseselt ähvardava ohu ärahoidmiseks või ennetamiseks või andmesubjekti või teise isiku tervise või huvide kaitsmiseks). Kui siseriikliku andmekaitsealase õigusaktiga, millega õiguskaitsedirektiiv üle võetakse, ei ole ette nähtud vajalikke kaitsemeetmeid andmesubjektide õiguste ja vabaduste tagamiseks (nagu on olukord mõnes liikmesriigis), siis tuleb sellised kaitsemeetmed kehtestada valdkondlikes õigusaktides. Üksikutes siseriiklikes ülevõtvates õigusaktides on osutatud nõusolekule seoses isikuandmete, sealhulgas nende eriliikide töötlemisega. On oluline meelde tuletada, et kuigi liikmesriikidel ei keelata oma õigusaktides sätestada, et andmesubjekt võib nõustuda oma isikuandmete töötlemisega õiguskaitsedirektiivi eesmärkidel, saab sellise nõusoleku näol olla tegemist vaid kaitsemeetmega ja see ei saa olla töötlemise õiguslik alus. Selleteemalistest aruteludest ilmneb, et kasulik oleks koostada rohkem suuniseid nõusoleku rolli kohta isikuandmete töötlemisel kriminaalõiguskaitse eesmärkidel. 2.2.6Automatiseeritud töötlusel põhinevate otsuste tegemine

Kõik liikmesriikide ülevõtvad õigusaktid sisaldavad sätteid, millega keelatakse üksnes automatiseeritud töötlusel põhinevate otsuste tegemine, välja arvatud juhul, kui see on õigusaktidega lubatud. Enamikus liikmesriikide ülevõtvates õigusaktides on nõutud, et sellised otsused ei tohi põhineda isikuandmete eriliikidel, välja arvatud juhul, kui on ette nähtud sobivad kaitsemeetmed. Samuti on nendega keelatud profiilianalüüs, mille tulemus on diskrimineerimine. Mõnes siseriiklikus õigusaktis ei ole aga osutatud asjakohastele kaitsemeetmetele andmesubjektide õiguste ja vabaduste tagamiseks juhul, kui automatiseeritud töötlusel põhinevate otsuste tegemine on seadusega lubatud. Täpsemalt ei ole mitte kõik liikmesriigid ette näinud õigust otsesele isiklikule kontaktile vastutava töötlejaga ega nõua sobivaid meetmeid andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitseks. 2.2.7Andmesubjektide õigused Kõik liikmesriigid on otsustanud kasutada õiguskaitsedirektiiviga antud võimalust piirata andmesubjekti õigust oma isikuandmetega tutvuda. Samuti näeb enamik liikmesriike ette andmesubjekti muude õiguste piirangud. Sageli on siseriiklikes andmekaitsealastes õigusaktides, millega õiguskaitsedirektiiv üle võetakse, järgitud üksnes direktiivi üldist sõnastust, täpsustamata täiendavalt asjaolusid või tingimusi, mille korral piiranguid kohaldatakse. Sellistel juhtudel tuleb need asjaolud ja tingimused täpsustada valdkondlikes õigusaktides, vastasel korral oleks vastutaval töötlejal nende piirangute kohaldamisel kaalutlusõigus. Enamik liikmesriike täidab õiguskaitsedirektiivi nõude võimaldada andmesubjektidel teostada oma õigusi andmekaitse järelevalveasutuse kaudu. Suurem osa liikmesriike on kasutanud võimalust sätestada, et liikmesriigi kriminaaluurimiste ja -menetluste kontekstis teostatakse andmesubjektide õigusi kooskõlas siseriikliku õigusega. Mitme liikmesriigi ülevõtvad õigusaktid ei kajasta kõiki õiguskaitsedirektiivi konkreetseid nõudeid seoses viisiga, kuidas tuleb andmesubjektide õigusi teostada (näiteks vastuste vorm ja edastamise viis, tasu puudumine). Pooleli on eelotsuse tegemine Saksamaa kohtu tõstatatud küsimuse kohta, mis käsitleb tõlgendusi andmesubjektide andmetega tutvumise õiguse piirangute kohta (õiguskaitsedirektiivi artikkel 15, võttes arvesse direktiivi artiklit 54) ning õiguse kohta tõhusale õiguskaitsevahendile harta artikli 47 alusel ja kutsevabaduse kohta harta artikli 15 alusel. 2.2.8Mõned olulised sätted, mis sisalduvad ainult õiguskaitsedirektiivis Mõned õiguskaitsedirektiivi sätted käsitlevad konkreetselt kriminaalõiguskaitse konteksti ja neil puuduvad samaväärsed vasted isikuandmete kaitse üldmääruses. Andmesubjektide kategooriad Õiguskaitsedirektiiviga pannakse liikmesriikidele kohustus nõuda vastutavalt töötlejalt, et ta eristaks asjakohastel juhtudel ja võimaluste piires andmesubjektide eri kategooriate andmeid, ja esitada nende kategooriate näiteid (näiteks isikud, kelle puhul on tõsine alus arvata, et nad on toime pannud või panevad varsti toime süüteo (kahtlusalused)). Mõne liikmesriigi õigusaktides ei ole õiguskaitsedirektiivis loetletud kategooriaid (üldse või teataval määral) täpsustatud. Mõnes siseriiklikus õigusaktis on küll sätestatud kahtlusaluste kategooria, kuid ei ole märgitud, et peab olema „tõsine alus arvata, et nad on toime pannud või panevad varsti toime süüteo“. Euroopa Liidu Kohtu tehtav otsus pooleliolevas kohtuasjas Ministerstvo na vatreshnite raboti vs. B.C. selgitab täiendavalt õiguskaitsedirektiivi tõlgendamist seoses andmesubjektide kategooriatega, sealhulgas nõuet, et andmesubjektide kahtlusaluseks liigitamiseks peab olema „tõsine alus arvata, et nad on toime pannud või panevad varsti toime süüteo“ . Isikuandmete klasside eristamine ja isikuandmete kvaliteedi kontrollimine Liikmesriigid peavad ette nägema, et faktidel põhinevaid isikuandmeid eristatakse nii palju kui võimalik isiklikel hinnangutel põhinevatest isikuandmetest. Samuti peavad nad võtma meetmed tagamaks, et ebaõigeid, mittetäielikke või aegunud kasutatavaid isikuandmeid ei edastata ega tehta kättesaadavaks. Kui edastatud on ebaõigeid isikuandmeid, tuleb vastuvõtjat sellest viivitamata teavitada ning sellisel juhul tuleb isikuandmed parandada või kustutada või nende töötlemist piirata. Kuigi enamik liikmesriike on selle nõude üle võtnud, ei ole teatavaid nõutud erimeetmeid mitme siseriikliku ülevõtva õigusaktiga sõnaselgelt ette nähtud. Logimine Kokku 12 liikmesriiki on kasutanud võimalust lükata oma automatiseeritud töötlemissüsteemide logimisnõuetega kooskõlla viimine edasi 2023. aasta maini. Enamik liikmesriike näeb ette automatiseeritud töötlemissüsteemides tehtavate töötlemistoimingute kohta logide pidamise. Mõne siseriikliku õigusaktiga ei nõuta kõikide toiminguliikide logimist. Õiguskaitsedirektiivis on sätestatud minimaalsed teabeliigid, mida logid peavad sisaldama. Mõni siseriiklik õigusakt ei hõlma kõiki nõutavaid teabeliike (näiteks lugemise või isikuandmete avalikustamise põhjus). 3Esimesed kogemused seoses õiguskaitsedirektiivi kohaldamise ja toimimisega 3.1Kaebused ja positiivne mõju andmesubjektide õigustele Õiguskaitsedirektiiviga tagatakse üksikisikute põhiõiguste ja -vabaduste ning eelkõige andmekaitseõiguse kaitse. Sellega nähakse ette andmesubjekti õiguste, sealhulgas teabe saamise, oma isikuandmetega tutvumise ja nende parandada või kustutada laskmise õiguse ning nende õiguste teostamise viiside terviklik raamistik ja sätestatakse töötlemise piirangud. Õiguskaitsedirektiiv on parandanud andmesubjektide arusaamist oma õigustest ja sellest, kuidas neid teostada, ning see kajastub pädevatele asutustele esitatud taotluste arvu suurenemises. Praktika on näidanud, et õiguskaitsedirektiivi alusel andmesubjektidele antud õigustest tuginetakse pädevate asutuste poole pöördumisel kõige sagedamini õigusele andmetega tutvuda ja lasta need kustutada . Õiguskaitsedirektiiviga lubatakse seada piiranguid teatavatele õigustele (õigus andmetega tutvuda ja lasta neid parandada või kustutada) ning teabele, mille vastutav töötleja peab töödeldud isikuandmete kohta andmesubjektile esitama. Andmesubjektid võivad taotleda andmekaitse järelevalveasutustelt pädeva asutuse poolt asjaomasele õigusele seatud piirangu läbivaatamist või paluda neil kontrollida, kas piirang kehtestati kooskõlas õiguskaitsedirektiiviga (õiguse kaudne teostamine) . Ligikaudu pooled andmekaitse järelevalveasutused on teatanud sellise taotluse saamisest. Praktika näitab, et laekunud taotluste arv võib märkimisväärselt erineda (näiteks saadi selliseid taotlusi Horvaatias üks, ent Prantsusmaal üle 1 500). Kuigi andmekaitse järelevalveasutused tegid pärast nende kaebuste kontrollimist või läbivaatamist kindlaks, et enamik taotlusi ei olnud vastuvõetavad, tehti vastutavale töötlejale mitmel juhul korraldus isikuandmeid parandada või need kustutada või isikuandmete töötlemist piirata, tagades seeläbi piirangute nõuetekohase kohaldamise. Õiguskaitsedirektiiviga on ette nähtud, et andmesubjekti nimel võib kaebuse esitada mittetulunduslik asutus, organisatsioon või ühendus. Tundub aga, et seda võimalust kasutatakse vähe (ainult neli andmekaitse järelevalveasutust teatasid, et neile on sellise kaebuse esitanud esindusorgan). Samamoodi teatasid kodanikuühiskonna organisatsioonid ainult väikesest arvust taotlustest selline kaebus esitada.

Üksikisikud kasutavad üha enam ka oma õigust esitada kaebusi andmekaitse järelevalveasutustele, sealhulgas juhul, kui pädevad asutused piiravad andmesubjektide õiguste teostamist. Üle kolmandiku andmekaitse järelevalveasutustest teatas laekunud kaebuste arvu suurenemisest pärast õiguskaitsedirektiivi ülevõtmist nende liikmesriigis . Andmekaitse järelevalveasutustele kõige sagedamini esitatud kaebused käsitlevad andmetega tutvumise õiguse piiranguid, andmete parandamise või kustutamise õigust ning teabe saamise õigust ja selle piiranguid . Neile järgnesid kaebused, mis käsitlesid säilitamise piiramise põhimõtet, mille kohaselt ei tohi pädevad asutused hoida isikuandmeid kauem kui vajalik, ja õigust saada teavet. 3.2Pädevate asutuste suurem teadlikkus andmekaitsest Liikmesriikide teatel on õiguskaitsedirektiivi kehtestamisel olnud ja on jätkuvalt suur mõju pädevate asutuste teadlikkusele andmekaitse tähtsusest. Mitu andmekaitse järelevalveasutust väljendasid arvamust, et õiguskaitsedirektiivi suurim mõju on olnud teadlikkuse suurendamine andmekaitseküsimustest ja andmesubjektide õigustest ning tähelepanu koondamine nendele küsimustele . Seda näitas ka andmekaitse järelevalveasutuste ja pädevate asutuste vaheline teabevahetus andmesubjektide õiguste ja nende õiguste teostamise viiside kohta . Mõni pädev asutus teatas, et ta on selle tulemusel eraldanud andmekaitsele rohkem vahendeid . Muu hulgas tegid nad investeeringuid lõimprivaatsuse ja privaatsuse vaikesätete põhimõtete lülitamiseks oma IT-süsteemidesse, andmete säilitamise perioodide kehtestamiseks, võimalikult väheste andmete kogumise põhimõtte kohaldamiseks ja rikkumistest teatamiseks. Sellest tulenevalt on teatatud töödeldavate andmete üldise turvalisuse paranemisest . Õiguskaitsedirektiivi nõuetekohast rakendamist toetavad ka andmekaitse järelevalveasutuste pakutav koolitus ja teadlikkuse suurendamise alane tegevus ning andmekaitse järelevalveasutustele on tehtud ülesandeks suurendada vastutavate töötlejate ja volitatud töötlejate teadlikkust nende kohustustest õiguskaitsedirektiivi alusel. Paljud andmekaitse järelevalveasutused suurendavad teadlikkust suuniste avaldamise teel. Mõned teemad, mida eri andmekaitse järelevalveasutused käsitlevad, on muu hulgas kohtute, prokuratuuride ja politsei abistamine vastutamise põhimõtte järgimisel, isikuandmete vahetamine politseiga, andmekaitseametniku määramine, andmekaitsealase mõjuhinnangu tegemine, andmete töötlemine sellistes kuritegevuse valdkondades nagu organiseeritud kuritegevus ja terrorism, töötlemistoimingute kohta andmete säilitamine ja logimine, videovalve kasutamine, andmesubjektidele teabe esitamine, andmetega seotud rikkumistest teavitamine, vastutavate töötlejate kohustused ning üksikisikute õiguste teostamine. Kaheksa andmekaitse järelevalveasutust ei ole aga veel andnud välja suuniseid ega pakkunud praktilisi vahendeid, millega toetada pädevaid asutusi ja volitatud töötlejaid nende kohustuste täitmisel. Lisaks ei ole 12 andmekaitse järelevalveasutust pakkunud õiguskaitsedirektiivikohastele pädevatele asutustele ja volitatud töötlejatele koolitusi ega viinud läbi teadlikkuse suurendamise alast tegevust. Nende andmekaitse järelevalveasutuste puhul, kes sellist tegevust läbi viisid, olid kõige sagedamini käsitletud teemade hulgas andmete töötlemine politsei, prokuratuuride, õigus- ja kinnipidamisasutuste poolt, isikuandmete kaitse üldmääruse ja õiguskaitsedirektiivi vastavate kohaldamisalade määratlus, sotsiaalmeediavõrgustikest pärit isikuandmete kasutamine, politseitoimikutes sisalduvate andmete töötlemine, videovalve tehnikad ja suurandmed, andmesubjektide õiguste käsitlemine ning kinnipeetavate isikuandmete töötlemine . Veel üks õiguskaitsedirektiiviga kehtestatud uuendus on nõue, et vastutavad töötlejad peavad määrama andmekaitseametniku, kelle ülesanded on muu hulgas anda teavet ja nõu andmekaitsenõuete kohta, jälgida õiguskaitsedirektiivi järgimist ning anda nõu seoses andmekaitsealase mõjuhinnanguga ja teha järelevalvet selle toimimise üle. Selle tulemusel on pädevad asutused saanud teadlikumaks oma andmekaitsealastest kohustustest, samuti mõjutab see positiivselt andmekaitsenormide järgimist pädevate asutuste poolt, nagu on tunnistanud ka nõukogu . Oluline on investeerida andmekaitseametnike eksperdi- ja muude teadmiste arendamisse ja maksimeerimisse, et aidata pädevatel asutustel õiguskaitsedirektiivi järjekindlalt kohaldada. Seepärast on komisjon loonud pädevate asutuste, justiits- ja siseküsimuste valdkonna asutuste ja Euroopa Prokuratuuri andmekaitseametnike võrgustiku ning edendab selle tegevust. Võrgustik on alaline algatus, mille tegevuse keskmes on õiguskaitsedirektiivi kohaldamine liikmesriikide pädevate asutuste poolt. Selle eesmärk on pakkuda platvormi koostööks ja eksperditeadmiste vahetamiseks liikmesriikide andmekaitseametnike vahel. Europoli andmekaitseekspertide võrgustik ja liikmesriikide pädevate asutuste andmekaitseametnike võrgustikud on olulised algatused, mis aitavad pädevate asutuste andmekaitseametnikel edendada õiguskaitsedirektiivi kohaldamist käsitleva parima tava ja teabe vahetamist. 3.3Andmeturve on paranenud, kuid andmetega seotud rikkumistest teavitamisel esineb erinevusi Õiguskaitsedirektiiv on parandanud isikuandmete turvalisust, nõudes pädevatelt asutustelt meetmete võtmist konkreetsete turbe-eesmärkide täitmiseks. Näiteks nõutakse sellega pädevatelt asutustelt andmekaitsealaste mõjuhinnangute tegemist, kui andmetöötlustoiminguga kaasneb tõenäoliselt suur risk andmesubjektide õigustele ja vabadustele. Mõjuhinnangu koostamisel tuleb kindlaks teha riskid ja nende maandamiseks võetavad meetmed. Nii selle nõude kui ka lõimprivaatsuse ja privaatsuse vaikesätete põhimõtete ning andmetega seotud rikkumistest teavitamist käsitlevate nõuete kohustusliku järgimise tagajärjel on isikuandmete töötlemise turvalisus paranenud . Seda on tunnistanud ka nõukogu, kes leidis, et õiguskaitsedirektiiv on parandanud andmeturvet muu hulgas turbekavade, IT-süsteemide ja korralduslike meetmete ajakohastamise ja andmekaitsealaste mõjuhinnangute kaudu ning nõudes pädevatelt asutustelt konkreetsete töötlemistoimingute kohta logide pidamist. Õiguskaitsedirektiivis on sätestatud asjaolud, mille korral peavad vastutavad töötlejad oma andmekaitse järelevalveasutust ja asjaomast andmesubjekti isikuandmetega seotud rikkumisest teavitama. Sellest kohustusest hoolimata esineb suur erinevus andmetega seotud rikkumiste arvus, millest andmekaitse järelevalveasutusi on alates õiguskaitsedirektiivi kehtestamisest teavitatud . Kuus andmekaitse järelevalveasutust teatasid, et neid ei ole andmetega seotud rikkumistest teavitatud, ja mitu muud asutust teatasid, et neile on esitatud väga vähe selliseid teateid. Näiteks Itaalia asutus teatas ainult kolmest ja Prantsusmaa asutus kaheksast andmetega seotud rikkumist käsitlevast teatest, ent Madalmaade asutus teatas rohkem kui 500 teatest. See erinevus andmetega seotud rikkumistest teavitamiste teatatud arvus osutab (võttes arvesse selliseid tegureid nagu rahvastiku suurus), et liikmesriikide pädevate asutuste tavad seoses sellega, mida käsitatakse rikkumisena ja millal tuleb sellest andmekaitse järelevalveasutust teavitada, on ilmselt erinevad. Komisjon märkis selle ära ka oma aruandes isikuandmete kaitse üldmääruse kohta. Andmekaitsenõukogu avaldas hiljuti suunised rikkumiste kohta isikuandmete kaitse üldmääruse alusel . Kõnealused suunised ei ole küll otseselt kohaldatavad, kuid need on asjakohased ka õiguskaitsedirektiivikohaste andmetega seotud rikkumiste puhul. Seepärast peaksid need aitama saavutada ühetaolisema lähenemisviisi õiguskaitsedirektiivikohaste andmetega seotud rikkumiste käsitlemisel. 3.4Andmekaitse järelevalveasutuste tehtav järelevalve 3.4.1Andmekaitse järelevalveasutuste ressursid Andmekaitseasutustele vajalike inim-, tehniliste ja finantsressursside, tööruumide ja taristu tagamine on nende ülesannete ja volituste tõhusa täitmise eeldus ning seetõttu ka oluline tingimus nende sõltumatuse tagamiseks. Komisjon on järjepidevalt rõhutanud asjaolu, et liikmesriigid on kohustatud eraldama andmekaitse järelevalveasutustele piisavad inim-, finants- ja tehnilised ressursid. Ka nõukogu on konkreetselt kutsunud liikmesriike eraldama andmekaitse järelevalveasutustele piisavaid inim-, finants- ja tehnilisi ressursse. Andmekaitse järelevalveasutuste töötajate arvu üldine suurenemine viimastel aastatel ei tundu aga puudutavat õiguskaitsedirektiiviga seotud ülesandeid. Õiguskaitsedirektiivi valdkonnas hõivatud töötajate arv on püsinud sama või pooltes andmekaitse järelevalveasutustes isegi vähenenud. Kui töötajate arv ongi suurenenud, on kasv olnud väga tagasihoidlik, moodustades keskmiselt alla kahe täistööajale taandatud töötaja. Peaaegu pooltes andmekaitse järelevalveasutustes (sealhulgas nendes, mille töötajate koguarv on üle 100 täistööajale taandatud töötaja) töötab õiguskaitsedirektiivi valdkonnas alla 1 % kuni 7 % kõikidest töötajatest. Absoluutarvudes on ligikaudu pooled andmekaitse järelevalveasutused eraldanud õiguskaitsedirektiiviga seotud ülesannete täitmiseks 1–4 täistööajale taandatud töötajat ja kaheksa andmekaitse järelevalveasutust on nende ülesannete täitmiseks eraldanud 7–15 täistööajale taandatud töötajat. Ühes andmekaitse järelevalveasutuses töötab aga õiguskaitsedirektiivi valdkonnas 53 täistööajale taandatud töötajat. Samamoodi on andmekaitsenõukogu sekretariaat näinud üksnes õiguskaitsedirektiiviga seotud küsimuste jaoks ette alla 1,5 täistööajale taandatud töötaja. See olukord ei ole rahuldav, isegi kui kümme andmekaitse järelevalveasutust on märkinud, et neil on piisavad finants-, inim- ja tehnilised ressursid. Seevastu 16 andmekaitse järelevalveasutust leidis, et nende ressursid on ebapiisavad. Mõni neist asutustest märkis, et see mõjutas negatiivselt nende omaalgatuslikke uurimisi, kaebuste menetlemist, suuremahuliste IT-süsteemide (SIS, VIS) kontrollimist ja omaalgatuslike arvamuste esitamist. Selle valdkonna eripärad tähendavad seda, et õiguskaitsedirektiivi nõuete täitmise tõhusaks tagamiseks on vaja süstemaatiliselt kontrollida töötlemistoiminguid, mis on sageli keerulised, ning et üksikutele kaebustele (mille arv on oluliselt väiksem kui isikuandmete kaitse üldmääruse puhul) tuginemisest ei piisa. Peale selle on andmekaitse järelevalveasutused juhtinud tähelepanu õiguskaitsevaldkonnas kasutatava IT-tehnoloogia üha keerukamaks muutumisega toimetulekuks vajalike IT-alaste eksperditeadmiste puudumisele.

3.4.2Volituste kasutamine Parandusvolituste kasutamine Kokku 19 andmekaitse järelevalveasutust kasutas kas omal algatusel või kaebuse põhjal oma uurimisvolitusi. Andmekaitse järelevalveasutused teatasid probleemidest ainult väga üksikutel juhtudel (näiteks kui vastutav töötleja ei esitanud kogu asjakohast teavet või keeldus teabele juurdepääsu andmast). Samad 19 andmekaitse järelevalveasutust kasutasid ka oma parandusvolitusi. Selgelt kõige sagedamini kasutati volitust anda välja korraldusi viia töötlemine kooskõlla õigusaktidega, sealhulgas korraldusi isikuandmeid parandada või need kustutada või piirata nende töötlemist. Andmekaitse järelevalveasutused kasutasid seda volitust 114 juhtumi puhul. Asjaolu, et volitust nõuda töötlemise ajutist või lõplikku piiramist (sealhulgas keelamist) kasutati ainult nelja juhtumi puhul, näitab, et andmekaitse järelevalveasutused on kasutanud neid volitusi ettevaatlikult. Nõuandevolituste kasutamine Süstemaatiliselt eelnevate konsultatsioonide pidamine ning seadusandlike ja haldusmeetmete eelnõude kohta andmekaitse järelevalveasutuste arvamuse taotlemine on tulemuslikud vahendid, millega tagada isikuandmete kaitse õiguse kõrgetasemeline kaitse ja vähendada järgnevate kaebuste arvu. Eelnev konsulteerimine andmekaitse järelevalveasutustega on eriti oluline juhul, kui kasutatakse uut tehnoloogiat, millel võib olla märkimisväärne mõju põhiõigustele. Pooled andmekaitse järelevalveasutused teatasid, et nendega on konsulteeritud seoses andmekaitsealaste mõjuhinnangutega. Eelnevate konsultatsioonide arv on liikmesriigiti erinev. Mõne asutusega konsulteeriti vaid ühel korral, samal ajal kui ühe asutusega konsulteeriti eelnevalt 59 korda. Enamikul juhtudel esitasid andmekaitse järelevalveasutused kirjalikke nõuandeid ja mõnel juhul kasutasid nad töötlemise suhtes oma parandusvolitusi, eelkõige andsid nad välja hoiatusi või nõudsid meetmete võtmist, et andmete töötlemine õigusaktidega kooskõlla viia. Ühel juhul esitas andmekaitse järelevalveasutus negatiivse arvamuse, millel tundub olevat sama mõju kui töötlemise keelamisel. Peale selle tundub, et andmekaitse järelevalveasutused tegelevad taotlustega anda nõu ka väljaspool eelneva konsulteerimise menetlust. Kõige levinumat liiki küsimus, millega pädevad asutused nõuannete saamiseks andmekaitse järelevalveasutuste poole pöördusid, oli seotud konkreetset liiki töötlemisega (eelkõige uute tehnoloogiate, mehhanismide või menetluste kasutamine, millele järgnesid asjakohased turbemeetmed, isikuandmete eriliikide töötlemine, töötlemise õigusliku aluse kindlaksmääramine, säilitamise piiramise põhimõte ja sobilikud tähtajad). Lisaks esitasid 22 andmekaitse järelevalveasutust oma riigi parlamendile ja valitsusele arvamusi isikuandmete töötlemist käsitlevate seadusandlike ja haldusmeetmete kohta. Mitu asutust märkis, et nendega konsulteeritakse aeg-ajalt. 3.4.3Kohtulik kontroll andmekaitse järelevalveasutuste tegevuse üle Peaaegu pooled andmekaitse järelevalveasutused märkisid, et väikese arvu juhtumite puhul algatati nende vastu seoses nende otsuste või tegevusetusega kohtumenetlus. Peamiselt algatasid menetluse andmesubjektid ja üksikutel juhtudel pädevad asutused. Mitu kohtuasja tunnistati kohtu poolt vastuvõetamatuks või võtsid esitajad need tagasi. Enamikul juhtudel nõustus kohus andmekaitse järelevalveasutuste otsustega, kuid mõnel juhul lükkas ta need ümber (ja osad kohtuasjad olid veel pooleli). Seni tehtud kohtuotsuste väikese arvu tõttu ei ole veel võimalik selget suundumust kindlaks teha. 3.4.4Andmekaitsenõukogu suunised Tõhusa kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö tagamiseks on võtmetähtsusega järjepidevus ja kõrgetasemeline kaitse liikmesriikides. Õiguskaitsedirektiiviga on ette nähtud, et andmekaitsenõukogu annab omal algatusel või komisjoni taotlusel välja suuniseid, soovitusi ja parimat tava, et tagada õiguskaitsedirektiivi järjekindel kohaldamine liikmesriikide poolt. Andmekaitsenõukogu on koostanud konkreetselt õiguskaitsedirektiivi käsitlevad suunised, mis on asjakohased V peatüki (rahvusvaheline edastamine) puhul, suunised näotuvastustehnoloogia kasutamise kohta ning (endise artikli 29 töörühmana) arvamuse õiguskaitsedirektiivi mõne olulise aspekti kohta. Õiguskaitsedirektiivi puhul on asjakohased ka paljud andmekaitsenõukogu suunised isikuandmete kaitse määruse kohta sel määral, mil direktiiv ja määrus tuginevad ühistele põhimõtetele või tehnoloogiatele. Sellised suunised käsitlevad muu hulgas vastutava töötleja ja volitatud töötleja mõistet, andmesubjektide õigusi, isikuandmetega seotud rikkumistest teatamist, andmekaitsealaseid mõjuhinnanguid, lõimitud andmekaitset ja vaikimisi andmekaitset ning automatiseeritud töötlusel põhinevate üksikotsuste tegemist. Igakülgsete ja praktiliste suuniste koostamine nõuab palju tööd ja olulisi ressursse, kuid juhised on äärmiselt vajalikud (nagu on märkinud ka nõukogu). Seepärast on väga positiivne, et andmekaitsenõukogu on viidanud, et ta annab varsti täiendavaid juhiseid, mis käsitlevad muu hulgas andmekaitse järelevalveasutuste tõhusaid uurimis- ja parandusvolitusi ning andmete rahvusvahelist edastamist, mille suhtes kohaldatakse asjakohaseid kaitsemeetmeid. Ühtlasi võivad andmekaitsenõukogu suunised vähendada andmekaitse järelevalveasutuste töökoormust (näiteks seoses selliste ülesannetega nagu vastutavate töötlejate nõustamine või kaebuste menetlemine). Näiteks on mitu küsimust, mida on käsitletud artikli 29 töörühma arvamuses õiguskaitsedirektiivi mõne olulise aspekti kohta (nagu asjakohased tähtajad, töötlemise õiguslik alus, andmete eriliikide töötlemise tingimused), samad küsimused, mille kohta on pädevad asutused andmekaitse järelevalveasutustelt kõige sagedamini nõu küsinud. 3.4.5Vastastikune abi Õiguskaitsedirektiivi järjekindla kohaldamise tagamiseks peavad andmekaitse järelevalveasutused andma üksteisele vastastikust abi. See tähendab abi teabenõuete ning konsultatsioonide, kontrollide ja uurimiste läbiviimise taotluste vormis. Seni on vastastikust abistamist aga väga harva kasutatud. Seda on kasutanud ainult kuus andmekaitse järelevalveasutust, peamiselt vastates teistelt andmekaitse järelevalveasutustelt saadud teabenõuetele. Enamik andmekaitse järelevalveasutusi märkis, et neile on esitatud ainult üks teabenõue. Kõik need andmekaitse järelevalveasutused teatasid, et täitsid saadud teabenõude. Kasutatud ei ole ka vabatahtlikku vastastikuse abi andmist, mille puhul puuduvad õigusaktides kehtestatud tähtajad või range kohustus reageerida. Andmekaitsenõukogu on teatanud, et ta avaldab suunised isikuandmete kaitse üldmääruse ja õiguskaitsedirektiivi alusel vastastikuse abi andmise raamistiku kohta. 3.5Paindlik vahend andmete rahvusvaheliseks edastamiseks

Õiguskaitsedirektiivi V peatükk reguleerib isikuandmete edastamist kolmandate riikide pädevatele asutustele ja rahvusvahelistele organisatsioonidele. Sisuliselt tagatakse selle peatükiga, et kui liikmesriigist edastatakse õiguskaitse eesmärkidel isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile, siis on tagatud kaitse jätkumine. Nagu eespool märgitud, siis on selline kaitse jätkumine usaldusväärsete partnerite vahelise kiire, tulemusliku ja õiguskindla õiguskaitsealase koostöö oluline tingimus. Eelkõige peab andmete rahvusvaheline edastamine õiguskaitsedirektiivikohaste pädevate asutuste vahel põhinema kooskõlas õiguskaitsedirektiivi asjakohaste normidega mõnel direktiivi artiklitega 36–38 ette nähtud mitmesugustest edastamisvahenditest (kui andmed pärinevad teiselt liikmesriigilt, siis on vaja ka kõnealuse liikmesriigi eelnevat luba). Nende vahendite hulka kuuluvad kaitse piisavuse otsused, asjakohastel kaitsemeetmetel põhinev edastamine ja konkreetsetes olukordades erandite kasutamine. Samuti on õiguskaitsedirektiivi artikliga 39 üksikutel ja konkreetsetel juhtudel ning mitme tingimuse täitmise korral lubatud andmete otsene edastamine kolmandates riikides asuvatele vastuvõtjatele, kes ei ole kriminaalõiguskaitseasutused. 3.5.1Kaitse piisavuse otsused Komisjon on kiirendanud tööd õiguskaitsedirektiivi alusel kasutatavate vahendite täieliku potentsiaali saavutamiseks. Selleks võeti 2021. aasta juunis muu hulgas esmakordselt vastu kaitse piisavuse otsus Ühendkuningriigi kohta; otsus käsitleb õiguskaitse eesmärkidel tehtavaid andmetöötlustoiminguid õiguskaitsedirektiivi artikli 36 alusel . See kaitse piisavuse otsus võimaldab isikuandmete turvalist ja vaba edastamist asjaomase kolmanda riigi pädevatele asutustele ilma vajaduseta täiendavate kaitsemeetmete või erilubade järele (välja arvatud juhul, kui teine liikmesriik, kellelt andmed saadi, peab edastamiseks loa andma ). 2021. aasta juunis tehtud Ühendkuningriiki käsitlev kaitse piisavuse otsus on Brexiti-järgse politsei- ja õigusalase koostöö äärmiselt oluline alus, mis ELi-Ühendkuningriigi kaubandus- ja koostöölepingu kohaselt põhineb „poolte pikaajalisel kindlal tahtel tagada isikuandmete kõrgetasemeline kaitse“ . Vastavalt õiguskaitsedirektiivi artikli 36 lõikele 4 jälgib komisjon kõiki võimalikke muutusi Ühendkuningriigi õigusraamistikus, mis võivad tehtud kaitse piisavuse otsust mõjutada. Ühendkuningriigi kaitse piisavuse otsust kohaldatakse nelja aasta jooksul alates selle jõustumisest; seda ajavahemikku võib põhimõtteliselt pikendada veel nelja aasta võrra, kui komisjoni tehtava järelevalve põhjal leiab kinnitust, et Ühendkuningriik tagab jätkuvalt piisava kaitsetaseme . Peale selle on ka andmekaitsenõukogu toetanud selle õigusakti koostamist, andes välja õiguskaitsedirektiivikohase piisavuse võrdlusaluse, milles esitatakse suuniseid nende elementide kohta, mida tuleb õiguskaitse kontekstis kaitse piisavuse hindamisel arvesse võtta. Eelkõige peab kolmas riik tagama kohtulikult kaitstavad üksikisiku õigused, tõhusa õiguskaitse ja sõltumatu järelevalve. Komisjon edendab aktiivselt kaitse piisavuse otsuste tegemise võimaluse kasutamist peamiste rahvusvaheliste partnerite puhul, eeskätt selliste riikide puhul, kellega tuleb teha tihedat ja kiiret koostööd kuritegevuse- ja terrorismivastases võitluses ning kellega juba toimub ulatuslik isikuandmete vahetamine. Seni ei ole teisi kaitse piisavuse otsuseid vastu võetud, peamiselt põhjusel, et see vahend on kehtestatud alles hiljuti. Lisaks sellele ja erinevalt andmete töötlemisest ettevõtjate poolt on andmekaitsenormide ülemaailmne ühtlustamine kriminaalõiguskaitse valdkonnas alles algusjärgus (tuginedes näiteks sellistele mitmepoolsetele kokkulepetele nagu Euroopa Nõukogu uuendatud konventsioon 108 või küberkuritegevuse Budapesti konventsiooni teine lisaprotokoll). Sellest hoolimata aitavad Ühendkuningriigi kaitse piisavuse otsuse vastuvõtmisel saadud kogemused valmistada ette sarnaseid algatusi tulevastel aastatel. Osana oma rahvusvahelisest strateegiast kaalub komisjon muid võimalikke kandidaate, kelle kohta teha edaspidi õiguskaitsedirektiivi alusel kaitse piisavuse otsus, ja suhtleb sel eesmärgil otse teiste asjakohaste ELi institutsioonide ja asutustega. Selleks pöörab komisjon kooskõlas õiguskaitsedirektiivi põhjendusega 68 hoolikalt tähelepanu hinnatavate riikide rahvusvahelistele kohustustele seoses isikuandmete kaitsega, sealhulgas asjaolule, kas nad on ühinenud eespool nimetatud mitmepoolsete kokkulepete või muude õiguskaitsealaste õigusaktidega, millega nähakse ette asjakohased andmekaitsemeetmed. 3.5.2Asjakohased kaitsemeetmed Lisaks kaitse piisavuse otsusega pakutavale kõikehõlmavale lahendusele sisaldab õiguskaitsedirektiiv ka muid edastamisvahendeid. Selle meetmete kogumi paindlikkust kajastab õiguskaitsedirektiivi artikkel 37, millega on reguleeritud andmete edastamine asjakohaste isikuandmete kaitsemeetmete põhjal. Sellised asjakohased kaitsemeetmed võib ette näha õiguslikult siduva õigusaktiga või juhul, kui vastutav töötleja järeldab kõikide edastamise asjaolude hindamise põhjal, et olemas on asjakohased kaitsemeetmed (vastutava töötleja enda hinnang edastamise kohta). Õiguskaitsedirektiivi kohaldamise esimestel aastatel tegi komisjon tööd eelkõige rahvusvaheliste kokkulepete vormis siduvate õigusaktidega, millega tagati asjakohased kaitsemeetmed. Sellistel kokkulepetel on oluline roll nii n-ö traditsioonilises õiguskaitsealases koostöös (see tähendab pädevate asutuste vahelises koostöös) kui ka sellise koostöö muude vormide (see tähendab kolmandaid isikuid, näiteks eraettevõtjaid hõlmava koostöö) puhul. Samuti võivad nende põhjal edastada andmeid Europol ja Eurojust oma vastavate õigusraamistike alusel, millega kehtestatud andmete rahvusvahelise edastamise normid on väga sarnased õiguskaitsedirektiiviga kehtestatud normidele. Mis puudutab õiguskaitsealase koostöö traditsioonilisi norme, siis vaatab komisjon läbi enne õiguskaitsedirektiivi jõustumist vastuvõetud rahvusvahelisi kokkuleppeid, et tagada järjepidevus ELi ajakohastatud andmekaitsekorraga . Esiteks hindab komisjon andmekaitsesätteid, mis sisalduvad enne 1. maid 2017 sõlmitud Europoli kehtivates koostöölepingutes kolmandate riikidega, nagu on lubatud määrusega (EL) 2016/794, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (edaspidi „Europoli määrus“) . Kooskõlas Euroopa Liidu lepingu ja ELi toimimise lepingu protokolli nr 36 artikliga 9 (ajutiste sätete kohta) on selliste lepingute õiguslikke tagajärgi säilitatud kuni nende lepingute kehtetuks tunnistamise, tühistamise või muutmiseni . Komisjon teavitab Euroopa Parlamenti ja nõukogu selle hindamise tulemustest ja esitab vajaduse korral nõukogule soovituse otsuse kohta, millega lubatakse alustada läbirääkimisi vastava(te) lepingu(te) muutmiseks kooskõlas ELi toimimise lepingu artikliga 218. See on keeruline ülesanne, mis hõlmab 18 lepingu hindamist ja mis lükkus edasi COVID-19 pandeemia põhjustatud häirete tõttu. Komisjoni eelduste kohaselt viib ta hindamise lõpule 2022. aasta teises pooles. Kõikide õiguskaitsealase koostöö mehhanismide kooskõla õiguskaitsedirektiivi normidega on juhtpõhimõte, mida komisjon järgib ka läbirääkimistes uute lepingute üle, mis käsitlevad isikuandmete edastamist Europolilt kolmandatele riikidele või rahvusvahelistele organisatsioonidele. Alates kehtiva Europoli määruse jõustumisest 2017. aastal on selliste piisavaid kaitsemeetmeid tagavate rahvusvaheliste lepingute õiguslik alus olnud ELi toimimise lepingu artikkel 218. 2018. ja 2019. aastal võttis nõukogu vastu üheksa otsust, millega anti komisjonile volitused alustada liidu nimel läbirääkimisi kolmandate riikidega. Samuti on komisjonile antud luba alustada läbirääkimisi Interpoliga sõlmitava koostöölepingu üle, mis reguleeriks andmete vahetamist mitme ELi organi ja asutusega. Kõikidel nendel juhtudel on nõukogu adresseerinud läbirääkimisjuhised komisjonile, et tagada isikuandmete ning üksikisikute muude põhiõiguste ja -vabaduste kaitsemeetmete hõlmamine. Selle põhjal on komisjon juba viinud lõpule läbirääkimised Uus-Meremaaga, mille tulemusel sõlmiti 30. juunil 2022 koostööleping. Lisaks on tehtud edusamme Iisraeliga peetavates läbirääkimistes. Läbirääkimised Türgiga on lõppjärgus, kuid neid ei saa lõpule viia enne, kui Türgi võtab vastu andmekaitseõiguse vajalikud reformid. 2021. aasta märtsis anti sarnased load koostöölepingute üle läbirääkimiste pidamiseks, et Eurojust saaks vahetada andmeid 13 kolmanda riigiga. Teiseks viib komisjon läbi Ameerika Ühendriikide ja Euroopa Liidu vahelise süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmisega seotud isikuandmete kaitse kokkuleppe (edaspidi „raamleping“) esimest ühist läbivaatamist. 2017. aasta veebruaris jõustunud raamleping sisaldab igakülgseid ja ühtlustatud andmekaitsenorme, mida kohaldatakse kogu Atlandi-ülese pädevate asutuste vahelise teabevahetuse suhtes. Sellega täiendatakse ELi-USA ning ELi liikmesriikide ja USA õiguskaitseasutuste vahelisi kokkuleppeid, kehtestatakse kõrgetasemeline kaitse selle valdkonna tulevaste kokkulepete jaoks ning tugevdatakse teabevahetuse hõlbustamise teel õiguskaitsealast koostööd. Ühise läbivaatamise eesmärk on hinnata raamlepingu tulemuslikku rakendamist, eelkõige nende sätete puhul, mis reguleerivad andmete edasisaatmist, üksikisiku õigusi ja õiguskaitsevahendeid. Ühise läbivaatamise ajakava mõjutasid nii COVID-19 pandeemiaga seotud häired kui ka samaaegsed läbirääkimised Euroopa Nõukogu küberkuritegevuse Budapesti konventsiooni teise lisaprotokolli üle . Komisjoni eelduste kohaselt viiakse hindamine lõpule 2022. aasta teises pooles. Kuna tegemist on esimese rahvusvahelise kahepoolse kokkuleppega, mis sisaldab põhjalikku loetelu andmekaitsealastest õigustest ja kohustustest, on see raamleping eeskujuks oluliste kriminaalõiguskaitsepartneritega sarnaste raamlepingute üle läbi rääkimisel. Seda tehes võtab komisjon arvesse ka asjakohaseid arengusuundi, sealhulgas andmekaitsenõukogu suuniseid, Euroopa Liidu Kohtu praktikat ja andmekaitsemeetmeid käsitlevate rahvusvaheliste läbirääkimiste (näiteks küberkuritegevuse Budapesti konventsiooni teise lisaprotokolli või Europoli ja Uus-Meremaa lepingu üle) tulemusi selles valdkonnas. Kolmandaks tegi komisjon kindlaks, et Euroopa Liidu ja Jaapani vaheline leping, mis käsitleb vastastikust õigusabi kriminaalasjades, on ELi õigusakt, mis reguleerib andmete töötlemist (edastamist) kriminaalõiguskaitse eesmärkidel ja mida tuleb muuta, et tagada asjakohased andmekaitsemeetmed kooskõlas õiguskaitsedirektiiviga. Pärast seda, kui nõukogu võttis vastu otsuse, millega lubatakse alustada läbirääkimisi Jaapaniga Euroopa Liidu ja Jaapani vahelise kriminaalasjades antavat vastastikust õigusabi käsitleva lepingu muutmiseks, jätkab komisjon suhtlust Jaapani ametiasutustega, et läbirääkimisi võimalikult kiiresti alustada. Lisaks tuginetakse praegu üha enam muudele koostöövormidele, mis on kohandatud tänapäeva digimajanduses toimuvate kriminaaluurimistega seotud konkreetsetele probleemidele ja vajadustele. Peamiselt on need seotud tõhusama koostööga küberkuritegevuse valdkonnas ja elektrooniliste tõendite kogumisel süütegude kohta. See hõlmab otsest koostööd eraõiguslike isikutega, et saada juurdepääsu elektroonilistele tõenditele. Samuti on komisjon suhelnud rahvusvaheliste partneritega eesmärgiga tagada, et need muud (olulised) koostöövormid toimuksid asjakohaste andmekaitsemeetmete põhjal. Esiteks esindas komisjon ELi Euroopa Nõukogu raames toimunud läbirääkimistel küberkuritegevuse Budapesti konventsiooni teise lisaprotokolli üle . Protokoll, mille Euroopa Nõukogu ministrite komitee 17. novembril 2021 heaks kiitis, hõlmab tugevaid põhiõiguste kaitsemeetmeid, sealhulgas artiklit, mis sisaldab üksikasjalikke sätteid protokolli alusel edastatavate isikuandmete kaitse kohta. Need sätted käsitlevad kõiki olulisi andmekaitse põhimõtteid, õigusi ja kohustusi, mida ELi õiguses tunnustatakse. Neid tagatisi täiendavad järelevalvesäte ja võimalus edastamine protokollis sisalduvate kaitsemeetmete süstemaatilise või olulise rikkumise, näiteks tõhusa õiguskaitsevahendi puudumise korral peatada. Nende sätete kaudu tagatakse asjakohased kaitsemeetmed kooskõlas õiguskaitsedirektiivi artikli 37 lõike 1 punktiga a . Tegemist on olulise saavutusega, arvestades Budapesti konventsiooni liikmete mitmekesisust – praegu on konventsioonil 66 osalisriiki, kellel on erinevad õiguslikud taustad ja traditsioonid. See võimaldab liikmesriikide pädevatel asutustel teha küberkuritegevusevastases võitluses tõhusat piiriülest koostööd, tagades samal ajal ELi põhiõiguste hartas, ELi aluslepingutes ja ELi teisestes õigusaktides kajastatud liidu väärtuste järgimise. Arvestades suurt arvu Budapesti konventsiooni osalisi, kelle hulka kuulub praegu riike kogu maailmast, aitab protokoll edendada kriminaalõiguskaitse valdkonnas andmete töötlemise kõrgeid kaitsestandardeid ka ülemaailmsel tasandil. Protokoll avati allkirjastamiseks 12. mail 2022 ja sellele on juba alla kirjutanud 22 Budapesti konventsiooni osalist (sealhulgas 13 ELi liikmesriiki). Teiseks on komisjon alustanud läbirääkimisi Ameerika Ühendriikidega kahepoolse lepingu üle, mis käsitleb piiriülest juurdepääsu elektroonilistele tõenditele kriminaalasjades tehtava õigusalase koostöö eesmärgil. Selle lepinguga püütakse hõlmata nii isikuandmete kui ka muude andmete vormis elektroonilised tõendid, sealhulgas andmeliiklus- ja sisuandmed. Oluline on see, et läbirääkimiste eesmärk on lisada ka täiendavad andmekaitsemeetmed, mis täiendaksid raamlepingu kohaseid meetmeid, võttes eelkõige arvesse nii asjaomaste andmeliikide tundlikkust kui ka nõudeid, mille kohaselt edastab elektroonilised tõendid otse teenuseosutaja. Nende läbirääkimiste edenemine sõltub suurel määral ELi e-tõendite paketi poolelioleva seadusandliku menetluse edasiliikumisest. Neid komisjoni eri algatusi töötada välja rahvusvahelised õigusaktid, mis hõlbustaksid õiguskaitsealast koostööd rahvusvaheliste partneritega, tagades samal ajal asjakohased andmekaitsemeetmed, on toetanud ka andmekaitsenõukogu ja Euroopa Andmekaitseinspektori seisukohad. Nende hulka kuuluvad andmekaitsenõukogu avaldus Budapesti konventsiooni teise lisaprotokolli eelnõu kohta ning Euroopa Andmekaitseinspektori arvamused ELi toimimise lepingu artikli 218 kohaste läbirääkimisvolituste eelnõude kohta, mis võimaldaksid Europolil ja Eurojustil vahetada isikuandmeid kolmandate riikide või rahvusvaheliste organisatsioonidega . Andmekaitsenõukogu tegi ka avalduse, milles kutsus liikmesriike hindama rahvusvahelisi lepinguid, mis reguleerivad isikuandmete rahvusvahelist edastamist, ja need vajaduse korral läbi vaatama . Avaldus puudutab enne 6. maid 2016 muu hulgas kriminaalõiguskaitse valdkonnas sõlmitud lepinguid ning selles kutsutakse liikmesriike tegema kindlaks, kas need on vaja ELi andmekaitsealaste õigusaktide ja kohtupraktikaga täiendavalt kooskõlla viia.

Õiguskaitsedirektiivi artikliga 37 on lubatud ka andmete rahvusvaheline edastamine pädeva asutuse enda hinnangu põhjal selle kohta, kas kolmas riik (või rahvusvaheline organisatsioon) on kehtestanud asjakohased andmekaitsemeetmed. Nendel juhtudel peab asutus edastamise (sealhulgas selle kuupäeva ja kellaaja, vastuvõtva asutuse andmed, edastamise selgituse ja edastatud isikuandmed) dokumenteerima ning dokumendid taotluse korral järelevalveasutusele kättesaadavaks tegema (õiguskaitsedirektiivi artikli 37 lõige 3). Liikmesriikide esitatud tagasisidest nähtub, et seda vahendit on harva kasutatud. Et liikmesriigid saaksid õiguskaitsedirektiivis andmete edastamiseks ette nähtud vahendeid täielikult ära kasutada, on oluline, et andmekaitsenõukogu teeks oma pooleliolevat tööd mitmesuguste edastamismehhanismidega aktiivsemalt. Muu hulgas peaks ta esitama suunised õiguskaitsedirektiivi artikli 37 lõikes 1 sisalduvate mehhanismide, eelkõige pädevate asutuste endi hinnangul põhineva andmete edastamise kohta. Seda vajadust on rõhutanud ka nõukogu. 3.5.3Erandite kasutamine Õiguskaitsedirektiivi artiklis 38 sätestatud erandid on oluliseks andmete edastamise aluseks teatavatel tingimustel. Nende tingimustega luuakse tasakaal privaatsuskaalutluste ja pädevate asutuste tegevusvajaduste vahel. Eelkõige on artikli 38 lõikega 1 lubatud isikuandmete edastamine või isegi edastamistoimingute liigid, kui edastamine on vajalik avalikku julgeolekut ähvardava vahetu ja tõsise ohu ennetamiseks või üksikjuhtumi puhul süütegude tõkestamiseks, uurimiseks, avastamiseks või nende eest vastutusele võtmiseks. Erinevalt isikuandmete kaitse üldmääruse artikliga 49 ettenähtud eranditest puuduvad praegu õiguskaitsedirektiivi artikli 38 kohaseid erandeid käsitlevad suunised. 3.5.4Tulemuslik piiriülene politsei- ja õigusalane koostöö Õiguskaitse kontekstis on õiguskaitsedirektiivist saanud andmekaitse tagamise rahvusvaheline võrdlusalus ja direktiiv on ajendanud riike üle maailma kaaluma selles valdkonnas kaasaegsete privaatsusnormide kehtestamist. See on väga positiivne areng, mis loob uusi võimalusi üksikisikute kaitsmiseks ELis, kui nende andmeid edastatakse õiguskaitse eesmärkidel välisriikidesse, ja muudab samal ajal lihtsamaks selliste andmevoogude liikumise, mis võivad aidata võidelda kuritegevuse vastu. Üldisemas plaanis on oluline tagada, et kui Euroopa turul tegutsevatele äriühingutele esitatakse otseseid koostöötaotlusi andmete jagamiseks õiguskaitse eesmärkidel, saavad nad seda teha, minemata vastuollu erinevate õigusaktidega ja austades täielikult ELi põhiõigusi . Sellise andmeedastuse täiustamiseks töötab komisjon koos rahvusvaheliste partneritega välja asjakohased õigusraamistikud, mis aitavad vältida õigusaktide kollisiooni ja toetavad tulemuslikke koostöövorme, kuna nendes sätestatakse eelkõige vajalikud andmekaitsemeetmed ja toetatakse seega võitlust kuritegevuse vastu. Eeltoodut arvesse võttes on komisjon kahepoolsetes, piirkondlikes ja mitmepoolsetes suhetes aktiivselt edendanud kriminaalõiguskaitse alases koostöös järgitavate andmekaitsenormide rahvusvahelist ühtlustamist. Mitme välise partnerriigiga peetavates dialoogides andmekaitsealaste õigusaktide pooleliolevate reformide üle on komisjoni talitused osalenud mitmel viisil (näiteks avalike konsultatsioonide põhjal tehtud esildised, osalemine ärakuulamistel parlamendis ning spetsiaalsed kohtumised valitsuste esindajate ja poliitikakujundajatega) nende normide koostamises, millega reguleeritakse isikuandmete töötlemist pädevate asutuste poolt. Piirkondlikul ja mitmepoolsel tasandil toetab komisjon näiteks suutlikkuse suurendamise projekte Euroopa Nõukogu küberkuritegevuse Budapesti konventsiooni rakendamise kontekstis . Nende projektide hulka kuulub programm GLACY+, mille eesmärk on suurendada riikide suutlikkust kohaldada küberkuritegevust käsitlevaid õigusakte ja teha tulemuslikku rahvusvahelist koostööd kooskõlas Budapesti konventsiooni ja selle lisaprotokollidega. Samuti hõlmab see selles valdkonnas andmete töötlemist käsitlevate andmekaitsealaste õigusaktide väljatöötamist. Praegu toetatakse programmiga 17 prioriteetset ja keskse tähtsusega riiki Aafrikas, Aasia ja Vaikse ookeani piirkonnas, Ladina-Ameerikas ning Kariibi mere piirkonnas. Komisjon suhtleb ka Ameripoliga – politseikoostöö organisatsiooniga, milles osaleb 18 Ladina-Ameerika riiki –, et töötada välja andmekaitseraamistik teabe vahetamiseks Ameripoli ja selle liikmesriikide vahel. Suhtlus toimub projekti „EL PAcCTO: Support to Ameripol“ kaudu, mille eesmärk on parandada partnerriikide politsei, õigusasutuste ja süüdistuse ettevalmistamise eest vastutavate asutuste rahvusvahelist koostööd võitluses organiseeritud kuritegevuse vastu. Samuti edendab komisjon uuendatud konventsiooni 108 (mida tuntakse konventsioonina 108+), mida kohaldatakse ka kriminaalõiguskaitse eesmärkidel tehtavate andmetöötlustoimingute suhtes. Konventsioon, mis on avatud ka nendele riikidele, kes ei ole Euroopa Nõukogu liikmed, on oluline mitte üksnes seetõttu, et see on ainus andmekaitset käsitlev siduv mitmepoolne kokkulepe, vaid ka seepärast, et konventsiooni komitee kaudu pakub see võimalust vahetada parimaid tavasid ja kehtestada ülemaailmseid norme . Osana oma rahvusvahelisest strateegiast andmevoogude vallas õhutab komisjon kolmandaid riike ühinema konventsiooniga 108+. Lisaks toetab komisjon suuremat ühtlustamist rahvusvahelisel tasandil ja jagab selleks partneritega oma kogemusi seoses kriminaalõiguskaitse valdkonnas tehtava koostöö andmekaitseaspektidega. Selles tegevuses on keskse tähtsusega vahend komisjoni andmekaitseakadeemia, mis on osa välispoliitika rahastamisvahendist rahastatavast projektist „Rahvusvaheline digikoostöö – tõhustatud andmekaitse ja andmevood“. Akadeemia loodi eesmärgiga soodustada teabevahetust Euroopa ja kolmandate riikide reguleerivate asutuste vahel ning parandada koostööd kohapeal. Akadeemia tegevus hõlmab andmekaitse järelevalve kõiki tahke, kaasa arvatud õiguskaitse valdkonnas. 4Edasine tegevus Selleks et ELil oleks tõhus julgeolekupoliitika, milles täielikult austatakse põhiõigust isikuandmete kaitsele, kontrollib komisjon ka edaspidi, kas liikmesriigid on õiguskaitsedirektiivi nõuetekohaselt üle võtnud, ja jälgib selle sätete kohaldamist. Tänu õiguskaitsedirektiivile on üksikisiku õiguste kaitse oluliselt paremini ühtlustatud ja kõrgema tasemega ning pädevate asutuste jaoks on tagatud sidusam õigusraamistik. Üldiselt on õiguskaitsedirektiivi ülevõtmine olnud rahuldav, kuid kindlaks on tehtud mitu probleemi. Komisjon on juba algatanud rikkumismenetlused nii seoses õiguskaitsedirektiivi ülevõtmata jätmise kui ka siseriiklike õigusaktide õiguskaitsedirektiivile mittevastavusega. Komisjon jätkab tööd, et direktiiv saaks täielikult ja korrektselt üle võetud. Tänu õiguskaitsedirektiivile on liikmesriikide pädevad asutused rohkem teadlikud andmekaitsest, sealhulgas andmete töötlemise turvalisusest, ja pööravad sellele suuremat tähelepanu. Andmekaitse järelevalveasutuste aktiivne järelevalve on äärmiselt tähtis tagamaks, et õiguskaitsedirektiivi eesmärgid tegelikult täidetakse. Seepärast tuleb anda asutustele kõik õiguskaitsedirektiiviga ettenähtud volitused ja piisavad ressursid. Praeguses etapis tuleb keskenduda õiguskaitsedirektiivi täieliku potentsiaali saavutamisele. Sellega seoses, ja arvestades piiratud kogemusi nende uute normidega, leiab komisjon, et on vara kaaluda õiguskaitsedirektiivi läbivaatamist. Komisjon jätkab aktiivset tööd kõikide asjaomaste osalejatega, pidades silmas järgmist hindamist, mis tuleb läbi viia 2026. aastaks. Seni jätkab komisjon tööd selle nimel, et tagada kooskõla muude ELi õigusaktidega, mis on isikuandmete kriminaalõiguskaitse eesmärkidel töötlemisel asjakohased.

Õigusraamistik Komisjon -jätkab selle hindamist, kuidas liikmesriigid on õiguskaitsedirektiivi üle võtnud, ja võtab vajaduse korral asjakohaseid meetmeid (algatades muu hulgas rikkumismenetlusi); -vahetab liikmesriikidega kahepoolselt teavet; -tagab tulevaste seadusandlike ettepanekute kooskõla õiguskaitsedirektiiviga. Liikmesriigid peaksid -tagama õiguskaitsedirektiivi täieliku ja korrektse ülevõtmise riigi tasandil ning kehtestama muu hulgas vajalikud õiguskaitsedirektiivis sisalduvad nõuded, kui seda ei ole tehtud siseriiklikes andmekaitsealastes õigusaktides, millega õiguskaitsedirektiiv üle võetakse. Andmekaitse järelevalveasutuste tehtav järelevalve Liikmesriigid peaksid -andma andmekaitse järelevalveasutustele piisavad ressursid, et nad saaksid täita oma ülesandeid seoses õiguskaitsedirektiivi nõuete täitmise tagamisega; -tagama, et andmekaitse järelevalveasutused saavad kasutada kõiki õiguskaitsedirektiivis sätestatud volitusi; -konsulteerima süstemaatiliselt oma andmekaitse järelevalveasutustega selliste üldkohaldatavate õigusaktide eelnõude ja haldusmeetmete osas, mis on seotud isikuandmete kaitsega, ning võtma nende arvamusi nõuetekohaselt arvesse (eeskätt uue tehnoloogia puhul). Andmekaitse järelevalveasutusi kutsutakse üles -igakülgselt kasutama oma uurimisvolitusi, muu hulgas viies läbi omaalgatuslikke kontrolle; -koguma konkreetset statistikat järelevalvetegevuse kohta, mida nad teevad õiguskaitsedirektiivi alusel; -kasutama vastastikuse abistamise vahendeid ja töötama välja praktilised meetmed abitaotluste menetlemise hõlbustamiseks, muu hulgas andmekaitsenõukogu kavandatud suuniste kaudu. Andmekaitsenõukogu kutsutakse üles -laiendama ekspertide tugireservi tegevust õiguskaitsedirektiiviga seotud ülesannetele. Pädevate asutuste toetamine Komisjon

-hõlbustab liikmesriikide ja komisjoni vahelisi arutelusid ja kogemuste jagamist õiguskaitsedirektiiviga tegelevas liikmesriikide eksperdirühmas; -hõlbustab arvamuste vahetamist andmekaitseametnike vahel nende võrgustiku kaudu. Liikmesriike kutsutakse üles -jätkama tööd selle nimel, et pakkuda pädevatele asutustele andmekaitsealast koolitust, mis puudutaks ka uusi tehnoloogiaid. Andmekaitsenõukogu ja andmekaitse järelevalveasutusi kutsutakse üles -tegema suuremaid pingutusi asjaomaste suuniste vastuvõtmiseks (näiteks nõusoleku rolli kohta isikuandmete kriminaalõiguskaitse eesmärkidel töötlemise kontekstis ja andmesubjektide õiguste, sealhulgas nende võimaliku piiramise kohta), võttes vastu uued eraldiseisvad suunised või täiendades juba vastuvõetud suuniseid isikuandmete kaitse üldmääruse kohta. Andmete piiriülene edastamine Komisjon kavatseb -aktiivselt edendada võimalike uute kaitse piisavuse otsuste tegemist oluliste rahvusvaheliste partnerite kohta; -pidada läbirääkimisi uute koostöölepingute üle ühelt poolt Europoli ja Eurojusti ning teiselt poolt kolmandate riikide vahel. Vajaduse korral kavatseb ta Europoli kehtivad koostöölepingud uuesti läbi rääkida eesmärgiga tagada, et need sisaldaksid asjakohaseid andmekaitsemeetmeid; -pidada läbirääkimisi Jaapaniga, et muuta kehtivat ELi-Jaapani vastastikuse õigusabi lepingut ja lisada sellesse asjakohased andmekaitsemeetmed; -pidada läbirääkimisi Ameerika Ühendriikidega kahepoolse lepingu üle, mis käsitleb piiriülest juurdepääsu elektroonilistele tõenditele kriminaalasjades tehtava õigusalase koostöö eesmärgil, muu hulgas selleks, et täiendada ELi-USA raamlepinguga tagatud andmekaitsemeetmeid, et kajastada õiguskaitseasutuste ja teenuseosutajate otsese koostöö konkreetset konteksti, ja viia need läbirääkimised lõpule; -uurida võimalust sõlmida oluliste kriminaalõiguskaitsepartneritega andmekaitse raamlepingud andmete töötlemise kohta kriminaalõiguskaitse valdkonnas, tuginedes ELi-USA raamlepingu näitele. Andmekaitsenõukogu kutsutakse üles -võtma vastu suunised, et veelgi selgitada „asjakohaste kaitsemeetmete“ mõistet ja sisu (õiguskaitsedirektiivi artikkel 37) ning erandite kasutamist (õiguskaitsedirektiivi artikkel 38). Õigusnormide ühtlustamise ja rahvusvahelise koostöö edendamine Komisjon -laiendab oma suhtlust rahvusvaheliste partneritega, et parandada andmekaitsenormide ühtlustamist kriminaalõiguskaitse valdkonnas, edendades muu hulgas ühinemist konventsiooniga 108+, mis on ainus siduv ülemaailmne kokkulepe andmekaitse vallas; -edendab kahepoolset, piirkondlikku ja mitmepoolset koostööd ning toetab suutlikkuse suurendamise projekte andmekaitse ja politseikoostöö valdkonnas. See hõlmab koolitust ning teadmiste ja parima tava vahetamist andmekaitseakadeemia kaudu. Liikmesriike kutsutakse üles