EUROOPA KOMISJON Brüssel,6.11.2015 COM(2015) 566 final KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE isikuandmete edastamise kohta EList Ameerika Ühendriikidesse direktiivi 95/46/EÜ alusel pärast Euroopa Kohtu otsust kohtuasjas C-362/14 (Schrems)





KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE isikuandmete edastamise kohta EList Ameerika Ühendriikidesse direktiivi 95/46/EÜ alusel pärast Euroopa Kohtu otsust kohtuasjas C-362/14 (Schrems) 1. Sissejuhatus. Programmi Safe Harbor käsitleva otsuse tühistamine Euroopa Liidu Kohtu (edaspidi „Euroopa Kohus” või „kohus”) 6. oktoobri 2015. aasta otsuses kohtuasjas C-362/14 (Schrems) kinnitati, kui oluline on Euroopa Liidu põhiõiguste hartas sätestatud isikuandmete kaitse põhiõigus, sealhulgas selliste andmete edastamisel väljapoole ELi. Isikuandmete edastamine on Atlandi-üleste suhete oluline osa. EL ja Ameerika Ühendriigid on vastastikku kõige tähtsamad kaubanduspartnerid ja andmete edastamine on üha enam muutumas nende kaubandussuhete lahutamatuks osaks. Selliste andmevoogude hõlbustamiseks ja samal ajal isikuandmete kaitse kõrge taseme tagamiseks tunnistas komisjon 20. juuli 2000. aasta otsust 2000/520/EÜ (edaspidi „programmi Safe Harbor käsitlev otsus”) vastu võttes, et programmi Safe Harbor raamistik annab piisava kaitse. Kõnealuses otsuses, mis põhineb direktiivi 95/46/EÜ artikli 25 lõikel 6, tunnistas komisjon, et programmi Safe Harbor põhimõtted ja sellega seotud korduma kippuvad küsimused (edaspidi „KKK”), mille on välja andnud Ameerika Ühendriikide kaubandusministeerium, pakuvad piisavat kaitset isikuandmete edastamiseks EList. Selle tulemusel sai vabalt edastada isikuandmeid ELi liikmesriikidest asjaomaste põhimõtetega liitunud Ameerika Ühendriikide ettevõtjatele, olenemata üldise andmekaitseseaduse puudumisest Ameerika Ühendriikides. Programmi Safe Harbor toimimine põhines sellega liitunud ettevõtjate võetud kohustustel ja nende antud kinnitustel. Programmi Safe Harbor põhimõtete ja KKKdega liitumine on küll vabatahtlik, ent kõnealused eeskirjad on nendega liitunud üksuste jaoks Ameerika Ühendriikide õiguse alusel siduvad ja Ameerika Ühendriikide föderaalne kaubanduskomisjon saab need pöörata täitmisele. Oma 6. oktoobri 2015. aasta kohtuotsuses tunnistas kohus programmi Safe Harbor käsitleva otsuse kehtetuks. Selle taustal on käesoleva teatise eesmärk anda ülevaade alternatiivsetest vahenditest, mida saab kasutada Atlandi-üleseks andmete edastamiseks direktiivi 95/46/EÜ alusel olukorras, kus andmekaitse taseme piisavuse kohta otsus puudub. Samuti kirjeldatakse siin lühidalt kohtuotsuse tagajärgi komisjoni muudele otsustele, mis käsitlevad andmekaitse taseme piisavust. Kohus selgitas oma otsuses, et direktiivi 95/46/EÜ artikli 25 lõike 6 kohase andmekaitse taseme piisavuse otsus eeldab, et komisjon leiab, et isikuandmete kaitse tase asjaomases kolmandas riigis ei pruugi küll olla identne, kuid on „sisuliselt samaväärne” sellega, mis on ELis tagatud vastavalt direktiivile koostoimes põhiõiguste hartaga. Konkreetselt programmi Safe Harbor käsitleva otsuse puhul leidis kohus, et see ei sisaldanud piisavaid komisjonipoolseid järeldusi piirangute kohta seoses Ameerika Ühendriikide ametiasutuste juurdepääsuga kõnealuse otsuse alusel edastatud andmetele ja tõhusa õigusliku kaitse olemasolu kohta selliste sekkumiste vastu. Täpsemalt selgitas kohus, et õigusakti, mis võimaldab ametiasutusel elektroonilise side sisuga üldiselt tutvuda, tuleb pidada eraelu puutumatuse põhiõiguse põhisisu kahjustavaks. Peale selle kinnitas kohus, et isegi kui on olemas direktiivi 95/46/EÜ artikli 25 lõike 6 kohane otsus andmekaitse taseme piisavuse kohta, on liikmesriikide andmekaitseasutustel jätkuvalt õigus ja kohustus täiesti sõltumatult analüüsida, kas andmete edastamine kolmandasse riiki vastab nõuetele, mis on sätestatud direktiivis 95/46/EÜ koostoimes põhiõiguste harta artiklitega 7, 8 ja 47. Ühtlasi kinnitas aga kohus, et Euroopa Kohtul on ainsana pädevus liidu õigusakt, nagu komisjoni otsus kaitse piisavuse kohta, kehtetuks tunnistada. Kohtu otsuses tuginetakse komisjoni 2013. aasta teatisele, mis käsitleb programmi Safe Harbor toimimist ELi kodanike ja ELis asutatud äriühingute seisukohast ning milles komisjon tegi kindlaks mitu puudust ja esitas 13 soovitust. Kõnealustest soovitustest lähtudes on komisjon pidanud alates 2014. aasta jaanuarist Ameerika Ühendriikide ametiasutustega läbirääkimisi eesmärgiga kehtestada uuendatud ja tugevam Atlandi-ülese andmevahetuse raamistik. Pärast kohtuotsust on komisjon jätkuvalt valmis kehtestama isikuandmete Atlandi-üleseks edastamiseks uuendatud ja usaldusväärse raamistiku. Ta alustas viivitamata uuesti läbirääkimisi Ameerika Ühendriikide valitsusega, et tagada isikuandmete Atlandi-ülese edastamise võimaliku uue korralduse täielik vastavus kohtu kehtestatud normile. Mis tahes sellise raamistiku puhul peavad seepärast olema kehtestatud piisavad piirangud, kaitsemeetmed ja kohtuliku kontrolli mehhanismid, et tagada ELi kodanike isikuandmete jätkuv kaitse, sealhulgas ametiasutuste võimaliku andmetele juurdepääsu eest õiguskaitse ja riigi julgeoleku eesmärkidel. Vahepeal on tööstuse esindajad väljendanud muret seoses andmete jätkuva edastamisega. Seega on vaja selgitada, millistel tingimustel võib selline edastamine jätkuda. See ajendas artikli 29 töörühma, nii kõikide liikmesriikide andmekaitseasutuste kui ka Euroopa Andmekaitseinspektori esindajatest koosnevat sõltumatut nõuandeorganit, tegema 16. oktoobril avaldust esimeste järelduste kohta, mida tuleks kohtuotsuse põhjal teha. Muude punktide hulgas sisaldas avaldus järgmisi suuniseid andmete edastamise kohta: andmeid ei saa enam edastada programmi Safe Harbor käsitleva komisjoni otsuse alusel, mis on kehtetuks tunnistatud; vahepeal saab andmete edastamise alusena kasutada lepingu tüüptingimusi ja siduvaid kontsernisiseseid eeskirju, kuigi artikli 29 töörühm märkis ühtlasi, et ta jätkab selle analüüsimist, milline on kohtuotsuse mõju kõnealustele alternatiivsetele vahenditele. Peale selle kutsuti avalduses liikmesriike ja ELi institutsioone üles alustama Ameerika Ühendriikide ametiasutustega arutelusid andmete edastamise õiguslike ja tehniliste lahenduste üle ning artikli 29 töörühma arvamuse kohaselt võiksid uut programmi Safe Harbor käsitlevad läbirääkimised olla osa sellisest lahendusest.

Artikli 29 töörühm teatas, et kui 2016. aasta jaanuari lõpuks ei ole Ameerika Ühendriikide ametiasutustega sobivat lahendust leitud ning sõltuvalt sellest, milliste tulemusteni jõutakse andmete edastamise alternatiivsete vahendite hindamisel, võtavad andmekaitseasutused kõik vajalikud ja asjakohased meetmed, sealhulgas koordineeritud meetmed, et tagada nõuete täitmine. Ühtlasi rõhutas artikli 29 töörühm andmekaitseasutuste, ELi institutsioonide, liikmesriikide ja ettevõtjate jagatud vastutust jätkusuutliku lahenduse leidmisel kohtu otsuse rakendamiseks. Eelkõige õhutas töörühm ettevõtjaid kaaluma mis tahes õiguslike ja tehniliste lahenduste kehtestamist, et maandada kõiki võimalikke riske, millega nad võivad andmete edastamisel kokku puutuda. Käesolev teatis ei piira andmekaitseasutuste volitusi ja kohustust uurida täiesti sõltumatult sellise andmete edastamise õiguspärasust. Teatises ei kehtestata mingeid siduvaid eeskirju ning austatakse täielikult liikmesriikide kohtute õigust tõlgendada kohaldatavat õigust ja esitada vajaduse korral Euroopa Kohtule eelotsusetaotlus. Samuti ei saa käesolevat teatist kasutada ühegi individuaalse või kollektiivse seadusliku õiguse ega nõude alusena. 2. Alternatiivsed alused isikuandmete edastamiseks Ameerika Ühendriikidesse Direktiivis 95/46/EÜ sätestatud rahvusvahelise andmete edastamise eeskirjad põhinevad sellel, et selgelt on eristatud ühelt poolt andmete edastamist sellistesse kolmandatesse riikidesse, mis tagavad andmekaitse piisava taseme (direktiivi artikkel 25), ja teiselt poolt andmete edastamist sellistesse riikidesse, mille puhul on leitud, et nad ei taga piisavat kaitset (direktiivi artikkel 26). Schremsi kohtuotsuses on käsitletud tingimusi, mille alusel komisjon saab direktiivi 95/46/EÜ artikli 25 lõike 6 kohaselt otsustada, et kolmas riik tagab kaitse piisava taseme. Juhul kui on leitud, et kolmas riik, kuhu isikuandmeid kavatsetakse EList eksportida, ei taga kõnealust kaitse piisavat taset, on direktiivi 95/46/EÜ artikliga 26 ette nähtud mitu alternatiivset alust, mille alusel võib andmeid sellest hoolimata edastada. Eelkõige võib andmeid edastada juhul, kui üksus, kes vastutab isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramise eest („vastutav töötleja”): esitab piisavad tagatised direktiivi 95/46/EÜ artikli 26 lõike 2 tähenduses üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitse ja kõnealuste õiguste kasutamise kohta. Sellised tagatised võidakse eelkõige anda andmeeksportija ning -importija suhtes siduvate lepingutingimustega (vt jaotised 2.1 ja 2.2 allpool). Nende hulka kuuluvad komisjoni välja antud lepingu tüüptingimused ning rahvusvahelise kontserni eri üksuste vahelise andmete edastamise puhul siduvad kontsernisisesed eeskirjad, mille on kinnitanud andmekaitseasutused, või tugineb mõnele direktiivi 95/46/EÜ artikli 26 lõike 1 punktides a–f sõnaselgelt loetletud erandile (vt jaotis 2.3 allpool). Võrreldes otsustega piisava kaitse kohta, mis tehakse asjakohase kolmanda riigi süsteemi üldise hindamise põhjal ja mis võivad põhimõtteliselt hõlmata igasugust andmete edastamist sellesse süsteemi, on kõnealustel alternatiivsetel alustel nii piiratum kohaldamisala (kuna neid kohaldatakse üksnes kindlate andmevoogude suhtes) kui ka laiem ulatus (kuna need ei piirdu tingimata kindla riigiga). Neid kohaldatakse kindlate üksuste andmevoogude suhtes, kes on otsustanud kasutada mõnda direktiivi 95/46/EÜ artiklis 26 pakutud võimalust. Andmete edastamisel sellistele alustele tuginedes peavad andmeeksportijad ja -importijad tagama, et andmete edastamisel järgitakse direktiivi nõudeid, sest nad ei saa lähtuda komisjoni otsuses sisalduvast järeldusest teatava kolmanda riigi kaitse piisavuse kohta. 2.1. Lepingulised lahendused Nagu artikli 29 töörühm on rõhutanud, peavad lepingutingimused direktiivi 95/46/EÜ artikli 26 lõike 2 tähenduses piisavate tagatiste pakkumiseks „rahuldavalt kompenseerima piisava kaitse üldise taseme puudumise, lisades olulised kaitseelemendid, mis konkreetses olukorras puuduvad”. Et hõlbustada selliste vahendite kasutamist andmete rahvusvahelisel edastamisel, on komisjon direktiivi artikli 26 lõike 4 kohaselt heaks kiitnud neli lepingu tüüptingimuste kogumit, mis leitakse olevat kooskõlas artikli 26 lõike 2 nõuetega. Kaks näidistingimuste kogumit käsitlevad andmete edastamist vastutavate töötlejate vahel ning ülejäänud kaks on seotud andmete edastamisega vastutava töötleja ja tema juhiseid järgiva volitatud töötleja vahel. Mõlemas näidistingimuste kogumis on sätestatud andmeeksportijate ja -importijate vastavad kohustused. Need hõlmavad kohustusi, mis on muu hulgas seotud turvameetmetega, tundlike andmete edastamise korral andmesubjektile esitatava teabega, andmeeksportija teavitamisega kolmandate riikide õiguskaitseasutuste juurdepääsutaotlustest või mis tahes juhuslikust või volitamata juurdepääsust ning andmesubjektide õigusega oma isikuandmetega tutvuda ning neid parandada ja kustutada, aga ka eeskirju andmesubjektile hüvitise maksmiseks lepingu tüüptingimuste ühe poole põhjustatud rikkumisest tuleneva kahju korral. Ühtlasi nõutakse näidistingimustega, et ELi andmesubjektidel oleks soodustatud kolmanda isikuna võimalik tugineda andmekaitseasutuses ja/või andmeeksportija asukohaks oleva liikmesriigi kohtus lepingutingimustest tulenevatele õigustele. Sellised õigused ja kohustused on lepingutingimustes vajalikud, sest vastupidiselt olukorrale, kus komisjon on teinud otsuse piisava kaitse kohta, ei saa eeldada, et kolmanda riigi andmeimportija suhtes kohaldatakse piisavat järelevalve- ja andmekaitse-eeskirjade täitmise tagamise süsteemi. Kuna komisjoni otsused on liikmesriikides tervikuna siduvad, tähendab lepingu tüüptingimuste lisamine lepingusse seda, et põhimõtteliselt on liikmesriigi ametiasutustel kohustus kõnealuseid tingimusi aktsepteerida. Sellest tulenevalt ei saa nad keelduda andmete kolmandasse riiki edastamisest ainult selle alusel, et kõnealused lepingu tüüptingimused ei paku piisavaid tagatisi. See ei piira nende õigust asjaomased tingimused läbi vaadata, võttes arvesse nõudeid, mille kohus sätestas Schremsi kohtuasjas tehtud otsuses. Kahtluse korral peaksid nad pöörduma liikmesriigi kohtusse, kes võib omakorda taotleda Euroopa Kohtult eelotsust. Kuigi enamiku liikmesriikide õigusaktides, millega direktiiv 95/45/EÜ üle võeti, ei nõuta andmete edastamisel eelnevat riiklikku luba, kehtib mõnes liikmesriigis lepingu tüüptingimuste kasutamisel teatamise ja/või eelneva loa andmise süsteem. Sellisel juhul peab riigi andmekaitseasutus võrdlema asjaomases lepingus sätestatud tegelikke tingimusi lepingu tüüptingimustega ja veenduma, et mingeid muudatusi ei ole tehtud. Kui tingimusi on kasutatud muutmata kujul, on luba põhimõtteliselt automaatselt antud. Nagu allpool lähemalt selgitatud (vt jaotis 2.4), ei piira see lisameetmeid, mida andmeeksportija võib olla kohustatud võtma, eeskätt teabe põhjal, mida ta on saanud andmeimportijalt kolmanda riigi õigussüsteemi muudatuste kohta, mis võivad takistada andmeimportijal oma lepingujärgseid kohustusi täita. Lepingu tüüptingimuste kohaldamisel kuuluvad nii andmeeksportijad kui ka andmeimportijad – lepingu sõlmimise kaudu – andmekaitseasutuste järelevalve alla. Lepingu tüüptingimuste vastuvõtmine ei takista ettevõtjatel kasutada muid vahendeid, nagu juhtumipõhiseid lepingulisi kokkuleppeid, selle tõestamiseks, et nad kasutavad andmete edastamisel piisavaid tagatisi direktiivi 95/46/EÜ artikli 26 lõike 2 tähenduses. Direktiivi artikli 26 lõike 2 kohaselt peavad riigi ametiasutused need iga juhtumi puhul eraldi heaks kiitma. Mõni andmekaitseasutus on koostanud selles valdkonnas suunised, sealhulgas tüüplepingute või üksikasjalike eeskirjade vormis, mida tuleb andmete edastamise tingimusi koostades järgida. Enamik lepinguid, mida ettevõtjad andmete rahvusvahelisel edastamisel praegu kasutavad, põhineb aga komisjoni heaks kiidetud lepingu tüüptingimustel. 2.2. Kontsernisisene andmete edastamine

Isikuandmete edastamiseks EList kolmandates riikides asuvatele sidusettevõtjatele kooskõlas direktiivi 95/46/EÜ artikli 26 lõikes 2 sätestatud nõuetega võib hargmaine ettevõtja võtta vastu siduvad kontsernisisesed eeskirjad. Seda liiki tegevusjuhiseid saab kasutada alusena ainult kontsernisiseseks andmete edastamiseks. Siduvate kontsernisiseste eeskirjade kasutamine võimaldab seega isikuandmete vaba liikumist mitmesuguste kontserni kuuluvate üksuste vahel üle maailma, kõrvaldades vajaduse sõlmida spetsiaalseid lepingulisi kokkuleppeid kõikide kontserni kuuluvate üksuste vahel. Samal ajal tagatakse isikuandmete ühetaoline kõrge kaitsetase kogu kontsernis, järgides ühtesid, siduvaid ja täitmisele pööratavaid eeskirju. Ühe eeskirjade kogumiga luuakse lihtsam ja tõhusam süsteem, mida töötajatel on hõlpsam rakendada ja andmesubjektidel mõista. Et aidata ettevõtjatel koostada siduvaid kontsernisiseseid eeskirju, on artikli 29 töörühm ELi andmekaitsestandardite põhjal sõnastanud siduvate kontsernisiseste eeskirjade sisulised (nt eesmärgi piiritlemine, töötlemise turvalisus, andmesubjektidele läbipaistva teabe esitamine, andmete edasise kontsernivälise edastamise piirangud, individuaalsed juurdepääsuõigused, parandamine ja vastuväidete esitamine) ning menetluslikud (nt auditid, nõuetele vastavuse jälgimine, kaebuste lahendamine, koostöö andmekaitseasutustega, vastutus ja kohtualluvus) nõuded. Kõnealused eeskirjad ei ole kontserni liikmetele mitte üksnes siduvad, vaid sarnaselt lepingu tüüptingimustega on need ELis ka täitmisele pööratavad: üksikisikutel, kelle andmeid mõni kontserni kuuluv üksus töötleb, on soodustatud kolmanda isikuna õigus nõuda siduvate kontsernisiseste eeskirjade täitmist andmekaitseasutusele kaebuse esitamise ja hagiga liikmesriigi kohtusse pöördumise teel. Peale selle tuleb siduvates kontsernisisestes eeskirjades määrata ELis asuv üksus, kes võtab vastutuse juhul, kui eeskirju rikub mõni kolmandas riigis asuv kontserni liige, kelle jaoks need eeskirjad on siduvad. Enamiku liikmesriikide õigusaktides, millega direktiiv üle võeti, nõutakse andmete edastamiseks siduvate kontsernisiseste eeskirjade põhjal iga sellise liikmesriigi andmekaitseasutuse luba, kust hargmaine ettevõtja kavatseb andmeid edastada. Protsessi hõlbustamiseks ja kiirendamiseks ning taotlejate koormuse vähendamiseks on artikli 29 töörühm kehtestanud taotluse tüüpvormi ja asjaomaste andmekaitseasutuste vahelise spetsiaalse koostöömenetluse, mille raames määratakse üks nn juhtiv ametiasutus, kes vastutab heakskiitmismenetluse eest. 2.3. Erandid Kuigi direktiivi 95/46/EÜ artikli 25 lõike 6 kohast otsust andmekaitse taseme piisavuse kohta ei ole tehtud ja olenemata lepingu tüüptingimuste ja/või siduvate kontsernisiseste eeskirjade kasutamisest, võib isikuandmeid kolmandas riigis asuvatele ettevõtjatele siiski edastada niivõrd, kuivõrd on kohaldatav mõni direktiivi 95/46/EÜ artikli 26 lõikes 1 sätestatud erand: andmesubjekt on andmete kavandatud edastamiseks andnud oma ühemõttelise nõusoleku; edastamine on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu täitmiseks või andmesubjekti taotlusel võetud lepingueelsete meetmete rakendamiseks; edastamine on vajalik andmesubjekti huvides vastutava töötleja ja kolmanda isiku vahel sõlmitud lepingu sõlmimiseks või täitmiseks; edastamine on vajalik või seaduste kohaselt nõutav üldiste huvidega seotud olulistel põhjustel või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks; edastamine on vajalik andmesubjekti eluliste huvide kaitsmiseks; edastatavad andmed on pärit registrist, mis õigusnormide kohaselt on mõeldud avalikkuse teavitamiseks ja on tutvumiseks avatud laiemale avalikkusele või kõigile õigustatud huvidega isikutele, kuivõrd konkreetsel juhul täidetakse tingimusi, mis õigusaktidega on tutvumiseks ette nähtud.

Nende aluste puhul on tegemist erandiga üldisest keelust edastada isikuandmeid üksustele, mis asuvad kolmandas riigis, kus puudub piisav kaitsetase. Tegelikult ei pea andmeeksportija tagama, et andmeimportija pakub piisavat kaitset, ning tavaliselt ei vaja ta andmete edastamiseks asjakohaste riiklike ametiasutuste eelnevat luba. Sellest hoolimata leiab artikli 29 töörühm, et kõnealused erandid on oma olemuselt erakorralised ja neid tuleb seetõttu tõlgendada rangelt. Artikli 29 töörühm on välja andnud mitu direktiivi 95/46/EÜ artikli 26 lõike 1 kohaldamist käsitlevat mittesiduvat juhenddokumenti. Need sisaldavad mitut nn parima tava reeglit, mille eesmärk on suunata andmekaitseasutuste tegevust nõuete täitmise tagamisel. Eelkõige soovitab töörühm, et korduval, arvukal või struktuurilisel isikuandmete edastamisel peaksid olema piisavad tagatised ning võimaluse korral peaks selline edastamine toimuma konkreetses õigusraamistikus, nagu lepingu tüüptingimused või siduvad kontsernisisesed eeskirjad. Käesolevas teatises käsitleb komisjon ainult neid erandeid, mis tunduvad olevat ärikontekstis toimuvate andmeedastuste puhul eriti asjakohased pärast programmi Safe Harbor käsitleva otsuse kehtetuks tunnistamist. 2.3.1. Edastamine on vajalik lepingu täitmiseks või andmesubjekti taotlusel võetud lepingueelsete meetmete rakendamiseks (artikli 26 lõike 1 punkt b) Seda erandit võidakse kohaldada näiteks hotellitoa broneerimisel või pangaülekande sooritamiseks kolmandasse riiki makseteabe edastamisel. Artikli 29 töörühm on aga seisukohal, et igal sellisel juhul peab andmesubjekti ning lepingu või lepingueelse meetme eesmärkide vahel olema „tihe ja oluline seos” või „otsene ja objektiivne seos” („vajalikkuse test”). Samuti ei saa erandit kohaldada edastamise eesmärgi jaoks mittevajaliku täiendava teabe edastamise suhtes ega andmete edastamise suhtes muul eesmärgil kui lepingu täitmiseks (nt turustamise järelmeetmeteks). Seoses lepingueelsete meetmetega asus artikli 29 töörühm seisukohale, et hõlmatud on üksnes sellise teabe edastamine, mille algatajaks on olnud andmesubjekt (nt kindlat teenust käsitlev teabepäring), kuid mitte selline, mis tuleneb vastutava töötleja turustusmeetoditest. 2.3.2. Edastamine on vajalik andmesubjekti huvides vastutava töötleja ja kolmanda isiku vahel sõlmitava lepingu sõlmimiseks või täitmiseks (artikli 26 lõike 1 punkt c) Seda erandit võidakse kohaldada näiteks juhul, kui andmesubjekt on rahvusvahelise pangaülekande saaja või kui reisibüroo edastab broneeritud lennu andmed lennuettevõtjale. Ka siin tuleb kontrollida vajalikkust, mis käesoleval juhul eeldab tihedat ja olulist seost andmesubjekti huvi ja lepinguga taotletava eesmärgi vahel. 2.3.3. Edastamine on vajalik või seaduste kohaselt nõutav õigusnõuete koostamiseks, esitamiseks või kaitsmiseks (artikli 26 lõike 1 punkt d) Seda erandit võidakse kohaldada näiteks juhul, kui ettevõtja peab edastama andmeid selleks, et end õigusnõude vastu kaitsta või esitada selline nõue kohtule või ametiasutusele. Sarnaselt kahe eelmise erandiga tuleb ka käesoleval juhul kontrollida vajalikkust: olemas peaks olema tihe seos kohtuvaidluse või kohtumenetlusega (sh haldusmenetlusega). Artikli 29 töörühma kohaselt saab seda erandit kohaldada ainult siis, kui järgitakse kõiki tsiviil- või kriminaalasjades tehtavat koostööd käsitlevaid rahvusvahelisi norme, millega asjaomast liiki edastamine on reguleeritud, eelkõige norme, mis tulenevad 18. märtsi 1970. aasta Haagi konventsioonist (nn tõendite kogumise konventsiooni). 2.3.4. Andmesubjekt on andnud andmete kavandatud edastamiseks eelneva ühemõttelise nõusoleku (artikli 26 lõike 1 punkt a) Kuigi nõusolekut võib andmete edastamise alusena kasutada, tuleb arvesse võtta mitut seika. Kuna nõusolek peab olema antud andmete „kavandatud” edastamiseks, siis on vajalik eelnev nõusolek konkreetseks (või konkreetsesse kategooriasse kuuluvate andmete) edastamiseks. Juhul kui seda taotletakse elektrooniliselt, on artikli 29 töörühm soovitanud kasutada kastikesi, millesse tuleb teha linnuke (mitte eelnevalt märgistatud kastikesi). Nõusolek peab olema ühemõtteline ja seepärast ei ole erand kohaldatav juhul, kui esineb mingeid kahtlusi selle suhtes, kas nõusolek tegelikult anti. Tõenäoliselt tähendab see seda, et erand ei kehti paljudes olukordades, kus nõusolek on antud kaudselt, kui üldse (nt kuna isikut teavitati andmete edastamisest ja ta ei esitanud vastuväiteid). Seevastu saab seda erandit kasutada juhtudel, kus andmeid edastav üksus võtab andmesubjektiga otse ühendust ning vajaliku teabe esitamine ja ühemõttelise nõusoleku saamine on lihtne. Peale selle peab nõusolek direktiivi 95/46/EÜ artikli 2 punkti h kohaselt olema vabatahtlik, konkreetne ja teadlik. Artikli 29 töörühma väitel tähendab esimene nõue seda, et mis tahes surve avaldamise korral võib nõusolek osutuda tühiseks. See on eriti asjakohane tööhõive kontekstis, kus töötajate alluvussuhe ja sellega kaasnev sõltuvus seab nõusolekule tuginemise tavaliselt kahtluse alla. Üldisemalt ei saa kehtivaks pidada nõusolekut, mille andmesubjekt andis olukorras, kus tal puudus võimalus tegeliku valiku tegemiseks, või mille puhul oli valik juba ette ära tehtud. Väga oluline on andmesubjektide eelnev nõuetekohane teavitamine sellest, et andmeid võidakse edastada väljapoole ELi ning millistesse riikidesse ja millistel tingimustel seda võidakse teha (eesmärk, vastuvõtja(te) isik ja andmed jne). Selles teavituses tuleks nimetada konkreetset riski, et andmed edastatakse kolmandasse riiki, mis ei paku piisavat kaitset. Peale selle, nagu on osutanud artikli 29 töörühm, ei ole andmesubjekti nõusoleku tagasivõtmisel küll tagasiulatuvat jõudu, kuid see peaks põhimõtteliselt välistama isikuandmete igasuguse edasise töötlemise. Neid piiranguid arvesse võttes on artikli 29 töörühm seisukohal, et struktuurse andmete edastamise korral ei ole nõusolek vastutavale töötlejale tõenäoliselt piisav pikaajaline õiguslik alus.