ET Euroopa Liidu Teataja C 463/10

Euroopa Andmekaitseinspektori arvamuse kokkuvõte isikuandmete haldamise süsteemide kohta

(Arvamuse täistekst inglise, prantsuse ja saksa keeles on Euroopa Andmekaitseinspektori veebisaidil www.edps.europa.eu.)

(2016/C 463/10)

Käesolevas arvamuses vaadeldakse tehnoloogia ja ökosüsteemidega seotud põhimõtet, mille eesmärk on anda üksikisikutele õigus kontrollida oma isikuandmete jagamist (isikuandmete haldamise süsteemid).

Meie visioon on luua uus reaalsus, kus üksikisikud haldavad ja kontrollivad oma veebiidentiteeti. Meie eesmärk on muuta praegune teenuseosutaja keskne süsteem üksikisiku keskseks süsteemiks, kus üksikisikud on kaitstud oma andmete ebaseadusliku töötlemise ning selliste sekkuvate jälgimise ja profiilianalüüsi meetodite eest, mille eesmärk on mööda hiilida peamistest andmekaitsepõhimõtetest.

Seda uut reaalsust aitavad luua ELi ajakohastatud õigusraamistik ning võimalused, mida pakub kõikide asjakohaste järelevalve- ja reguleerivate asutuste ühine hoogne jõustamistegevus.

Hiljuti vastu võetud isikuandmete kaitse üldmäärusega tugevdatakse ja ajakohastatakse õigusraamistikku, et see oleks endiselt tõhus ka suurandmete ajastul, suurendades üksikisikute usaldust ning kindlust internetis ja digitaalsel ühtsel turul. Uued eeskirjad, sealhulgas need, mis käsitlevad suuremat läbipaistvust ning tugevaid juurdepääsu ja andmete ülekandmise õigusi, pakuvad kasutajatele suuremat kontrolli oma andmete üle ja võivad soodustada ka isikuandmetele tõhusamate turgude loomist, mis on kasulik nii tarbijatele kui ka ettevõtjatele.

Hiljuti esitasime arvamuse põhiõiguste tõhusa jõustamise kohta suurandmete ajastul. Selles on kirjeldatud praeguseid turutingimusi ja äritavasid, mis takistavad üksikisikuid kasutamast tõhusalt oma isikuandmete kaitsega seotud õigusi ja muid põhiõigusi, ning kutsutakse üles kiirendama konkurentsi-, tarbijakaitse- ja andmekaitsealaste õigusaktide kooskõlastatud ja järjepidevat jõustamist. Loodame, et selline tarmukas jõustamine loob turutingimused, kus eraelu puutumatust toetavad teenused saavad jõudsalt areneda. Käesolevas arvamuses kirjeldatud käsitlusviisiga püütakse tugevdada põhiõigusi meie digitaalses maailmas, andes samal ajal ettevõtjatele uusi võimalusi, et arendada välja vastastikusel usaldusel rajanevad uuenduslikud isikuandmete põhised teenused. Isikuandmete haldamise süsteemid ei tõota mitte üksnes uusi tehnilisi struktuure ega uut andmehalduse korraldust, vaid ka usaldusraamistikke ja selle tulemusel alternatiivseid ärimudeleid, et koguda ja töödelda isikuandmeid suurandmete ajastul viisil, millega austatakse rohkem Euroopa andmekaitseõigust.

Käesolevas arvamuses kirjeldame lühidalt, mida isikuandmete haldamise süsteemid endast kujutavad, milliste probleemide lahendamiseks need on mõeldud ja kuidas seda teha. Seejärel analüüsime, kuidas saavad need süsteemid aidata tagada parema isikuandmete kaitse ja milliste raskustega puututakse kokku nende kasutamisel. Lõpetuseks määrame kindlaks edasised sammud, et kasutada ära kõnealuste süsteemide pakutavad võimalused. Et uued andmekaitse ärimudelid saaksid jõudsalt areneda, võib olla vaja anda lisastiimuleid teenuseosutajatele, kes neid pakuvad. Eelkõige tuleks uurida, millised poliitikaalgatused võiksid innustada vastutavaid töötlejaid nõustuma andmete esitamisega sel viisil. Peale selle võiks avalike teenistuste algatus, mille eesmärk on tunnustada otsese andmekogumise asemel andmeallikana isikuandmete haldamise süsteeme, suurendada kriitilist massi nende süsteemide tunnustamisel.

Tekkiv isikuandmete haldamise süsteemide kogu, mille eesmärk on anda üksikisikutele ja tarbijatele tagasi kontroll oma isikuandmete üle, väärib vaatlemist, toetamist ja lisauuringuid, et aidata kaasa suurandmete jätkusuutlikule ja eetilisele kasutamisele ning hiljuti vastu võetud isikuandmete kaitse üldmääruse põhimõtete tõhusale rakendamisele.

I. ISIKUANDMETE HALDAMISE SÜSTEEMID. KAS JAGATUD ANDMED TOOVAD JAGATUD KASU?

1. Praegused isikuandmete töötlemise tingimused on sageli ebaõiglased isikute suhtes, kelle andmeid töödeldakse. Õiguslikud tingimused ja tehnilised vahendid muudavad üksikisikutele oma õiguste kasutamise keeruliseks ja võimaldavad vastutavatel töötlejatel piirata oma vastutust. Andmevahendajatel, reklaamivõrgustikel, suhtlusvõrgustike teenuste pakkujatel ja teistel ettevõtjatel on üha põhjalikumad andmed tänapäeva digitaalühiskonnas osalevate isikute kohta ning üksikisikud on kaotamas kontrolli neist maha jääva digitaalse jalajälje üle. Üksikisikud, kes võetakse sihikule, kelle profiili analüüsitakse ja keda hinnatakse, ilma et nad saaksid seda kontrollida või oleksid sellest isegi teadlikud, võivad tunda end abituna ja vajavad võimestamist, et võtta oma identiteet enda kontrolli alla. Isegi kui üksikisikutele saadetakse vormitäiteks mingil kujul teade ja antakse võimalus n-ö nõustuda üldtingimustega, leiavad nad end sageli keset süsteemi, mis on mõeldud maksimeerima isikuandmete rahaks tegemist ega jäta neile mingit tegelikku valikut või kontrolli.

2. Euroopa Komisjoni teatises suurandmete kohta (1) on kehtestatud tegevuskava, mille meetmete ühiseesmärk on isikuandmete ja tarbijate kaitse. Teatises ärgitatakse eeskätt kasutama isikuandmeruume kui kasutajakeskseid, ohutuid ja turvalisi kohti, kus salvestada isikuandmeid ja võimalik et ka lubada teistel neile juurde pääseda. Jagame seisukohta, et toetada tuleks uuenduslikke digitaalseid vahendeid ja ärimudeleid, mis põhinevad üksikisikute õiguste suurendamisel. Need võivad anda üksikisikutele võimaluse saada andmete jagamisest kasu, st osaleda oma isikuandmete kasutamises ja levitamises.

3. Arvamuses „Suurandmetega kaasnevad probleemid“ (2) leidsime, et meil tuleks tegeliku nõusoleku saamise õiguslikku kohustust täiendada tõelise, tegeliku kontrolliga isikuandmete üle. Väitsime, et „halduskoormuse asemel võib juurdepääsuõiguste andmisest saada klientidele pakutava teenuse eriomadus“ ja et organisatsioonid, kes tuginevad suurandmete kasutamisele, peaksid „olema valmis jagama isikuandmete töötlemisega loodavat jõukust isikutega, kelle andmeid nad töötlevad“. Märkisime sellega seoses, et „isikuandmete säilitamise kohad võivad aidata lahendada osa muresid üksikisiku kontrolli kadumise pärast oma isikuandmete üle“. Hiljuti vastu võetud isikuandmete kaitse üldmääruses (3) on karmistatud õiguslikke nõudeid nõusoleku hankimisel (4) ning kehtestatud tõhusad ja tänapäevased lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted (5) ning uus andmete ülekandmise õigus (6). Et uue andmekaitseraamistikuga seotud lubadused saaksid täituda, vajame praktilisi vahendeid võimaldamaks üksikisikutel kasutada oma õigusi mugaval ja kasutajakesksel viisil.

4. Käesolevas arvamuses vaadeldakse uusi tehnoloogiaid ja ökosüsteeme, mille eesmärk on anda üksikisikutele õigus kontrollida oma isikuandmete kogumist ja jagamist. Viitame sellekohasele põhimõttele edaspidi kui isikuandmete haldamise süsteemile (7). Selle süsteemiga pakutakse välja uus käsitlusviis, mille puhul üksikisikud on ise oma isikuandmete valdajad. See võib nihutada isikuandmete haldamise ja töötlemise vaatenurka ning kaasa tuua sotsiaalsed ja majanduslikud tagajärjed. Praegusele veebiteenuste valdkonnale on omane väike arv teenuseosutajaid, kes valitsevad turgu, tehes vastutasuks nn tasuta teenuste eest rahaks kasutajate isikuandmed. Sageli kaasneb sellega võimutasakaalu puudumine, kus klientidele pakutakse üksnes võta-või-jäta-lahendust, ning teenuseosutajate ja teenuse kasutajate vaheline ebavõrdsus teabe valdamisel, mille puhul on see, mida üksikisiku andmetega tehakse, tema jaoks peaaegu või täiesti läbipaistmatu.

5. Isikuandmete haldamise süsteemi põhiidee on muuta praegune teenuseosutaja keskne süsteem süsteemiks, mille keskmes on üksikisikud, kes saavad hallata ja kontrollida oma veebiidentiteeti (8). Põhimõtteliselt peaks üksikisikutel olema võimalik otsustada, kas ja kellega, millistel eesmärkidel ja kui kaua nad oma isikuandmeid jagavad, jälgida neid andmeid ja soovi korral need tagasi võtta. Tasub uurida, kuidas saaks isikuandmete haldamise süsteemi abil lahendada osa muresid üksikisiku kontrolli kadumise pärast oma isikuandmete üle, mida on rõhutatud kui üht peamist suurandmetega seotud probleemi (9).

6. Selle käsitlusviisiga püütakse tugevdada põhiõigusi meie digitaalses maailmas, andes samal ajal ettevõtjatele uusi võimalusi, et arendada välja vastastikusel usaldusel rajanevad uuenduslikud isikuandmete põhised teenused. Isikuandmete haldamise süsteemid tõotavad uusi tehnilisi struktuure ja uut andmehalduse korraldust, millega luuakse usaldusraamistikke. Loodetavasti võimaldavad kõnealused süsteemid kasutusele võtta alternatiivsed ärimudelid, mille abil koguda ja töödelda isikuandmeid suurandmete ajastul viisil, millega austatakse rohkem Euroopa andmekaitseõigust.

7. Käesolevas arvamuses kirjeldame lühidalt, mida isikuandmete haldamise süsteemid endast kujutavad, milliste probleemide lahendamiseks need on mõeldud ja kuidas seda teha (10). Analüüsime, kuidas saavad kõnealused süsteemid aidata tagada parema isikuandmete kaitse ja milliste raskustega puututakse kokku nende kasutamisel. Lõpetuseks määrame kindlaks edasised sammud, et kasutada ära kõnealuste süsteemide pakutavad võimalused.

IV. JÄRELDUSED JA EDASISED SAMMUD

4.1. Võimalused, kuidas liikuda isikuandmete kaitse üldmääruse täieliku kohaldamise poole

54. Nagu eespool märgitud, võttis ELi seadusandja hiljuti vastu andmekaitsereformi paketi, millega tugevdatakse ja ajakohastatakse õigusraamistikku, et see oleks suurandmete ajastul endiselt tõhus.

55. Uus isikuandmete kaitse üldmäärus, sealhulgas eeskirjad, mis käsitlevad suuremat läbipaistvust ning tugevaid juurdepääsu ja andmete ülekandmise õigusi, peaksid aitama pakkuda kasutajatele suuremat kontrolli oma andmete üle ja võivad soodustada ka isikuandmetele tõhusamate turgude loomist, mis on kasulik nii tarbijatele kui ka ettevõtjatele.

56. Isikuandmete kaitse üldmäärusega ette nähtud toimimisjuhendid ja sertifitseerimissüsteemid on eelistatud vahendid, millega tagada nähtavus ning anda kindel ülesanne tehnoloogiale ja toodetele, mis – nagu isikuandmete haldamise süsteemidki – võivad aidata kaasa andmekaitseõiguse tulemuslikule rakendamisele praktilisel tasandil.

57. Paraku on väga keeruline minna isikuandmete haldamise süsteemidega turule, kus valitsevad sellistel ärimudelitel ja tehnilistel struktuuridel põhinevad veebiteenused, mille puhul üksikisikutel puudub oma andmete üle kontroll, nagu on selgitatud jaos 3.9. Et luua olukord, kus üksikisikul on tegelik võimalus anda teenuseosutajale juurdepääs teatavatele tema isikuandmete haldamise süsteemis säilitatavatele andmetele, mitte edastada neid otse teenuseosutajale, on teenuseosutajate jaoks vaja lisastiimuleid. Komisjon võib kasutada seoses andmevoogude ja andmete omandiõigusega välja kuulutatud algatusi (11) selleks, et uurida, millised muud poliitikaalgatused võiksid veel innustada vastutavaid töötlejaid nõustuma andmete esitamisega sel viisil. Peale selle võiks e-valitsuse avalike teenistuste algatus, mille eesmärk on tunnustada otsese andmekogumise asemel andmeallikana isikuandmete haldamise süsteeme, suurendada kriitilist massi nende süsteemide tunnustamisel.

58. Käesolevat analüüsi võib täiendada meetmetega, mille eesmärk on luua tehniline, sotsiaalne ja majanduslik alus ja mille hulka kuuluvad standardimismeetmed, majanduslikud stiimulid ning uurimis- ja katseprojektide edendamine.

59. Euroopa Liidu ja liikmesriikide haldusasutused ja nende kaasrahastatavad projektid on esimene koht, kus sellist vaatenurga muutust järele proovida, edendada ja loodetavasti ellu viia.

4.2. Isikuandmete haldamise süsteemide ja alustehnoloogia toetamine tõhusa andmekaitse saavutamise nimel

60. Ehkki hea õigusloome on väga oluline, siis sellest üksi ei piisa. Nagu oleme öelnud oma arvamuses „Suurandmetega kaasnevad probleemid“, (12) peaksid ettevõtted ja muud organisatsioonid, kes näevad palju vaeva isikuandmete kasutamise uuenduslike viiside leidmiseks, pruukima sama uuenduslikku mõtteviisi andmekaitsepõhimõtete rakendamisel.

61. Isikuandmete haldamise süsteemide mudeli puhul on olulisel kohal tehnoloogia mõju. Nendes süsteemides saab katsetada lõimitud andmekaitsega seotud käsitlusviise ja neid toetavat tehnoloogiat. Piisavalt toetust ja investeeringuid vajavad muu hulgas sellised asjassepuutuvad uurimisteemad nagu koostalitlev ja eraelu puutumatust toetav identiteedihaldus, loa andmise mehhanismid, andmete koostalitlusvõime, andmeturve ning üksikisikute ja teiste poolte vaheliste kokkulepete automaatse jõustamise mehhanismid. Seda kõike võimendab krüptograafia ja krüpteerimine ning edendab odav juurdepääs andmetöötlusvõimsusele. Selles algetapis on vaja poliitikakujundajate, näiteks komisjoni otsustavat toetust alus- ja rakendusuuringutele kõnealustes tehnoloogiavaldkondades, et mitte ilma jääda praegustest võimalustest.

62. Et edendada teadus- ja arendustegevust ning isikuandmete haldamise süsteemide kasutuselevõttu turul, soovitame komisjonil võtta plaani võimaliku koostoime saavutamine teiste digitaalse ühtse turu strateegia valdkondadega, näiteks pilvandmetöötluse ja asjade internetiga. Ellu võiks viia katseprojekte, et kavandada ja järele proovida pilveteenuste ja asjade interneti koostoimet isikuandmete haldamise süsteemidega.

4.3. Kuidas Euroopa Andmekaitseinspektor seda arutelu edendab?

63. Euroopa Andmekaitseinspektor seab endale sihi aidata suurendada avaliku ja erasektori püüdlusi eespool kirjeldatud suunas liikumisel. Jätkame arutelude hõlbustamist, korraldades muu hulgas üritusi/õpikodasid näiteks selleks, et leida, soodustada ja edendada parimaid tavasid läbipaistvuse ning kasutajate kontrolli suurendamiseks ning uurida isikuandmete haldamise süsteemide pakutavaid võimalusi. Samuti jätkame inseneride ja privaatsusekspertide valdkondadevahelise teadmiste keskuse IPEN (Internet Privacy Engineering Network) töö hõlbustamist. Sellega seoses pakume ka edaspidi platvormi isikuandmete haldamise süsteemide arendajatele ja edendajatele, et nad saaksid vahetada teavet muude tehnoloogiavaldkondade ja andmekaitse spetsialistidega.

Marrakech, 20. oktoober 2016 Euroopa Andmekaitseinspektor Giovanni BUTTARELLI

(1) Teatis COM(2014)442. Eduka andmepõhise majanduse suunas, https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) Euroopa Andmekaitseinspektori arvamus nr 7/2015, https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Vt eeskätt 3. jagu.

(3) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).

(4) Vt muu hulgas isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkt a, artiklid 7 ja 8 ning põhjendused 42 ja 43.

(5) Isikuandmete kaitse üldmääruse artikkel 25.

(6) Isikuandmete kaitse üldmääruse artikkel 20.

(7) Seonduvate mõistete hulka kuuluvad „isikuandmete säilitamise koht“, „isikuandmeruum“ ja „isikuandmete hoidla“. Kasutame käesolevas arvamuses terminit „isikuandmete haldamise süsteem“, sest see tundub kirjeldavat kõnealust põhimõtet üldiselt ja kergesti arusaadaval viisil kõige paremini.

(8) Vt isikuandmete kaitse üldmääruse põhjendus 7: „Füüsilistel isikutel peaks olema kontroll oma isikuandmete üle [---]“. Vt ka näiteks Doc Searls, The Intention Economy: When Customers Take Charge (Boston, Harvard Business Review Press, 2012).

(9) Vt näiteks Ira S. Rubinstein, „Big Data: The End of Privacy or a New Beginning?“, International Data Privacy Law, 2013, Vol 3, No 2.

(10) Vt näiteks isikuandmete säilitamise kohti käsitlev aruanne, mille on koostanud Euroopa Komisjoni jaoks Cambridge’i Ülikool, https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Komisjoni teatis „Euroopa tööstuse digitaliseerimine. Kuidas kasutada ühtse digitaalse turu kõiki võimalusi“, http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Eespool tsiteeritud Euroopa Andmekaitseinspektori arvamus nr 7/2015.