EUROOPA KOMISJON Brüssel,24.6.2020 SWD(2020) 115 final KOMISJONI TALITUSTE TÖÖDOKUMENT […] Lisatud dokumendile: KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE Andmekaitse kodanike võimestajana ja ELi valmistumine digiüleminekuks – isikuandmete kaitse üldmääruse kohaldamise kaks esimest aastat {COM(2020) 264 final}



Sisukord 1 Taust 2 Üldmääruse täitmise tagamine ning koostöö- ja järjepidevuse mehhanismide toimimine 2.1 Andmekaitseasutuste suuremate volituste kasutamine Avalikule sektorile eriomased küsimused Koostöö muude reguleerivate asutustega 2.2 Koostöö ja järjepidevuse mehhanismid Ühtne kontaktpunkt Vastastikune abi 8 Järjepidevuse mehhanism 8 Lahendamist vajavad probleemid 9 2.3 Nõustamine ja suunised 10 Andmekaitseasutuste tegevus teadlikkuse tõstmisel ja nõustamisel 10 Euroopa Andmekaitsenõukogu suunised 11 2.4 Andmekaitseasutuste ressursid 12 3 Ühtlustatud eeskirjad, kuid siiski teatav killustatus ja erinevad lähenemisviisid 14 3.1 Üldmääruse rakendamine liikmesriikides 14 Siseriikliku rakendamisega seotud kitsaskohad 14

Isikuandmete kaitse õiguse ühitamine väljendus- ja teabevabadusega 15 3.2 Vabatahtlikud täpsustavad sätted ja nende ulatus 17 Killustatus vabatahtlike täpsustavate sätete kasutamisel 17 4 Võimaluste loomine üksikisikutele oma andmete kontrollimiseks 20 5 Organisatsioonide, eelkõige väikeste ja keskmise suurusega ettevõtjate võimalused ja probleemid 23 Abivahendid ettevõtete jaoks 26 6 Üldmääruse kohaldamine uute tehnoloogiate suhtes 27 7 Rahvusvaheline andmeedastus ja üleilmne koostöö 30 7.1 Privaatsus: üleilmne teema 30 7.2 Üldmääruse kohased andmete edastamise vahendid 31 Kaitse piisavuse otsused 32 Asjakohased kaitsemeetmed 37 Erandid 42 Välismaiste kohtute või ametiasutuste otsused: ei ole alus andmeedastuseks 43 7.3 Rahvusvaheline koostöö andmekaitse valdkonnas 46 Kahepoolsed suhted 46 Mitmepoolsed suhted 47 I lisa. Vabatahtlikud täpsustavad sätted, mida võib ette näha siseriiklike õigusaktidega II lisa. Ülevaade andmekaitseasutuste ressurssidest





1Taust Isikuandmete kaitse üldmäärus (edaspidi ka „üldmäärus“) on kaheksa aastat kestnud ettevalmistuste, õigusloome ja institutsioonidevaheliste läbirääkimiste vili, mida kohaldatakse alates 25. maist 2018 pärast kaheaastast üleminekuperioodi (2016. aasta maist 2018. aasta maini). Üldmääruse artikliga 97 on nähtud ette, et komisjon esitab aruandeid määruse hindamise ja läbivaatamise kohta – esimest korda esitatakse aruanne pärast määruse kaheaastast kohaldamist ja seejärel iga nelja aasta tagant. Hindamise vajadus tuleneb ka mitmetahulisest lähenemisviisist, mida komisjon järgis juba enne üldmääruse kohaldamist ning on sestsaadik jätkuvalt aktiivselt rakendanud. Selleks on komisjon pidanud liikmesriikidega kahepoolset dialoogi siseriiklike õigusaktide üldmäärusele vastavuse üle, aidanud oma kogemuste ja teadmistega innukalt kaasa Euroopa Andmekaitsenõukogu (edaspidi „andmekaitsenõukogu“) tööle, toetanud andmekaitseasutusi ning suhelnud tihedalt mitmesuguste sidusrühmadega määruse kohaldamisega seotud praktilistes küsimustes. Hindamine tugineb komisjoni ülevaatele üldmääruse esimese kohaldamisaasta kohta, millest on tehtud kokkuvõte 2019. aasta juulis avaldatud teatises. See on ka jätkuks 2018. aasta jaanuaris avaldatud teatisele üldmääruse kohaldamise kohta. Komisjon on võtnud vastu ka juhised liidu andmekaitseõiguse kohaldamise kohta valimiste kontekstis, mis avaldati 2018. aasta septembris, ja suunised COVID-19 pandeemia vastast võitlust toetavate mobiilirakenduste kohta, mis avaldati 2020. aasta aprillis. Käesolev hindamine keskendub kahele üldmääruse artikli 97 lõikes 2 esile tõstetud küsimusele, nimelt andmete rahvusvahelisele edastamisele ning koostöö ja järjepidevuse mehhanismidele, kuid siin käsitletakse laiemalt ka muid probleeme, millele mitmesugused asjaosalised on viimase kahe aasta jooksul tähelepanu juhtinud. Hindamist ette valmistades võttis komisjon arvesse järgmiste asutuste panust: ·nõukogu; ·Euroopa Parlament (kodanikuvabaduste, justiits- ja siseasjade komisjon); ·andmekaitsenõukogu ja liikmesriikide andmekaitseasutused komisjonist saadetud küsimustiku alusel; ·tagasiside üldmääruse kohaldamist toetava mitut sidusrühma hõlmava eksperdirühma liikmetelt komisjoni saadetud küsimustiku alusel; ·sidusrühmade spontaanne panus. 2Üldmääruse täitmise tagamine ning koostöö- ja järjepidevuse mehhanismide toimimine Üldmäärusega on loodud uuenduslik haldussüsteem ja tõeliselt üleeuroopaline andmekaitsekultuur, mille eesmärk on tagada nii andmekaitsenormide ühtmoodi tõlgendamine kui ka nende ühtmoodi kohaldamine ja täitmise tagamine. Süsteemi tugisambad on sõltumatud riiklikud andmekaitseasutused ja määrusega asutatud andmekaitsenõukogu. Kuna andmekaitseasutustel on täita võtmeroll kogu ELi andmekaitsesüsteemi toimimisel, jälgib komisjon tähelepanelikult, et need oleksid tõepoolest sõltumatud, kontrollides muu hulgas nende finants-, inim- ja tehniliste ressursside piisavust. Koostöö- ja järjepidevuse mehhanismide toimimise täielikuks hindamiseks on alles vara, kuna selleks pole seni omandatud veel piisavalt kogemusi. Peale selle pole andmekaitseasutused veel kasutanud kõiki üldmäärusega võimaldatud vahendeid, mis aitaksid koostööd veelgi tugevdada. 2.1Andmekaitseasutuste suuremate volituste kasutamine Üldmäärusega on loodud sõltumatud andmekaitseasutused, kellele on antud suuremad ja ühtlustatud täitevolitused. Alates üldmääruse kohaldamise algusest on need asutused kasutanud mitmesuguseid üldmäärusega ette nähtud parandusvolitusi, nagu haldustrahve (22 ELi/EMP asutust), hoiatusi ja noomitusi (23), korraldusi andmesubjekti nõude täitmiseks (26), korraldusi viia töötlemistoimingud üldmäärusega vastavusse (27) ning korraldusi parandamiseks, kustutamiseks või töötlemise piiramiseks (17). Umbes pooled andmekaitseasutused (13) on kehtestanud ajutisi või alalisi töötlemispiiranguid, sealhulgas keelde. See näitab kõigi üldmäärusega ette nähtud parandusmeetmete teadlikku kasutamist ning andmekaitseasutused ei ole peljanud kehtestada ka haldustrahve, sõltuvalt asjaoludest kas muudele parandusmeetmetele lisaks või nende asemel. Haldustrahvid Ajavahemikul 25. mai 2018 – 30. november 2019 esitasid 22 ELi/EMP andmekaitseasutust ligikaudu 785 trahvinõuet. Üksnes mõni asutus ei ole veel haldustrahve rakendanud, ehkki käimasolevad menetlused võivad selleni viia. Enamik trahve on seotud järgmiste põhimõtete rikkumisega: seaduslikkuse põhimõte; kehtiv nõusolek; tundlike andmete kaitse; läbipaistvuskohustus, andmesubjektide õigused; isikuandmetega seotud rikkumised.

Näiteid andmekaitseasutuste kehtestatud trahvide kohta: – 200 000 eurot, kui Kreekas rikuti õigust esitada vastuväiteid otseturundusele; – 220 000 eurot Poola andmevahendusettevõttele, kui inimesi ei teavitatud nende andmete töötlemisest; – 250 000 eurot Hispaania jalgpalliliigale LaLiga nutitelefoni rakenduse disaini läbipaistmatuse eest; – 14,5 miljonit eurot Saksa kinnisvaraettevõttele andmekaitse põhimõtete rikkumise, eelkõige andmete ebaseadusliku säilitamise eest; – 18 miljonit eurot Austria postiteenistusele andmete eriliikide suuremahulise ebaseadusliku töötlemise eest; – 50 miljonit eurot Google’ile Prantsusmaal kasutajatelt nõusoleku küsimise tingimustega seotud rikkumise eest. Kehtestatud trahvide arv ei peaks siiski olema üldmääruse edukuse mõõdupuu, kuna üldmäärusega ette nähtud parandusvolituste valik on laiem. Asjaoludest sõltuvalt võib näiteks töötlemiskeelul või andmevoogude peatamisel olla palju suurem hoiatav mõju. Avalikule sektorile eriomased küsimused Üldmäärus lubab liikmesriikidel otsustada, kas ja mil määral võib haldustrahve kehtestada avaliku sektori asutuste suhtes. Kui liikmesriigid seda võimalust kasutavad, ei mõjuta see andmekaitseasutuste õigust kasutada avaliku sektori asutuste suhtes kõiki muid parandusmeetmeid. Teine konkreetselt avaliku sektoriga seotud küsimus puudutab järelevalvet kohtute üle: ehkki üldmäärust kohaldatakse ka kohtute tegevuse suhtes, on need kohtu ülesandeid täites vabastatud andmekaitseasutuste järelevalve alt. Põhiõiguste harta ja Euroopa Liidu toimimise leping panevad liikmesriikidele siiski kohustuse määrata oma kohtusüsteemis sõltumatu asutus, kellele usaldatakse selliste töötlemistoimingute järelevalve. Koostöö muude reguleerivate asutustega Nagu komisjon 2019. aasta juuli teatises märkis, toetab ta muude reguleerivate asutustega tehtavat koostööd, mille käigus täielikult tunnistataks üksteise pädevust. Paljutõotavad koostöövaldkonnad on tarbijakaitse ja konkurents. Andmekaitsenõukogu on näidanud üles soovi teha muude reguleerivate asutustega koostööd eelkõige seoses kontsentreerumisega digitaalsetel turgudel. Komisjon on tunnistanud privaatsuse ja andmekaitse olulisust kvalitatiivse konkurentsiparameetrina. Andmekaitsenõukogu liikmed osalesid ühisseminaridel tarbijakaitsealase koostöö võrgustikuga, et teha koostööd ELi tarbija- ja andmekaitse õigusaktide tõhusama täitmise tagamiseks. Seda tehakse ka edaspidi, et kujundada ühiseid arusaamu ja töötada välja praktilisi lahendusi tarbijatel eelkõige digitaalmajanduses ette tulevatele konkreetsetele probleemidele. Enne e-privaatsuse määruse vastuvõtmist ja et tagada järjepidev lähenemine privaatsusele ja andmekaitsele, on väga vajalik tihe koostöö asutustega, kelle pädevusse kuulub e-privaatsuse direktiivi – elektroonilise side valdkonna erinormi (lex specialis) – täitmise tagamine. Ka tihedam koostöö küberturvalisuse direktiivi pädevate asutustega ning võrgu- ja infoturbe koostöörühmaga tooks nimetatud asutustele ja andmekaitseasutustele vastastikku kasu. 2.2Koostöö ja järjepidevuse mehhanismid Üldmäärusega loodi koostöömehhanism (ühtne kontaktpunkt ettevõtjatele, andmekaitseasutuste ühisoperatsioonidele ja vastastikuseks abiks) ja järjepidevuse mehhanism eesmärgiga ühtlustada andmekaitsenormide kohaldamist, mille eelduseks on ühtmoodi tõlgendamine ja mida toetab võimalike asutustevaheliste vaidluste lahendamine andmekaitsenõukogu poolt. Kõiki andmekaitseasutusi ühendav andmekaitsenõukogu on asutatud juriidilise isikuna ja on täielikult toimiv ELi asutus, mida toetab sekretariaat. Andmekaitsenõukogu on eespool mainitud mehhanismide toimimiseks keskse tähtsusega. 2019. aasta lõpu seisuga oli andmekaitsenõukogu vastu võtnud 67 dokumenti, sealhulgas 10 uut suunist ja 43 arvamust,. Andmekaitsenõukogu keskne roll kujunes välja ajal, kui oli vaja kiiresti tagada üldmääruse ühetaoline tõlgendamine ja leida ELi tasandil lahendusi, mida saaks viivitamata rakendada. Näiteks COVID-19 pandeemia ajal 2020. aasta märtsis võttis andmekaitsenõukogu vastu avalduse isikuandmete töötlemise kohta, milles muu hulgas käsitleti mobiilpositsioneerimise andmete töötlemise ja kasutamise seaduslikkust pandeemia kontekstis, 2020. aasta aprillis võeti vastu suunised terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID-19 puhanguga ja suunised asukohaandmete ja nakatanuga kokku puutunud isikute kindlakstegemist võimaldavate vahendite kohta seoses COVID-19 pandeemiaga. Samuti aitas andmekaitsenõukogu komisjonil ja liikmesriikidel oluliselt kujundada ELi seisukohta jälgimisrakenduste suhtes. Igapäevane koostöö nii andmekaitseasutuse kui ka andmekaitsenõukogu liikme ülesannetes tegutsevate asutuste vahel põhineb teabevahetusel ja üksteise teavitamisel asutustes avatud uurimistest. Asutuste jaoks teabevahetussüsteemi loomisega on komisjon asutustevahelist suhtlust märkimisväärselt hõlbustanud. Enamik asutusi leiab, et see vastab koostöö- ja järjepidevuse mehhanismide vajadustele, ehkki seda saab veel täiustada näiteks süsteemi kasutajasõbralikumaks muutmisega.

Järeldusi teha on veel vara, ent siiski saab rääkida juba nii edusammudest kui ka lahendamist vajavatest probleemidest. Nendest nähtub, et siiani on andmekaitseasutused koostöövahendeid tulemuslikult kasutanud ning et eelistatakse paindlikumaid lahendusi. Ühtne kontaktpunkt Üldjuhul saab liikmesriigi andmekaitseasutus piiriüleses koostöös osaleda kas i) juhtiva asutusena, kui asjaomase ettevõtja peamine tegevuskoht asub selles liikmesriigis, või ii) asjaomase asutusena, kui ettevõtjal on selle liikmesriigi territooriumil tegevuskoht, kui selle liikmesriigi elanikud on oluliselt mõjutatud või kui sellele asutusele on esitatud kaebus. Selline tihe koostöö on saanud igapäevaseks: alates üldmääruse kohaldamise algusest on kõigi liikmesriikide andmekaitseasutused saanud piiriüleste juhtumite puhul aja jooksul täita kas juhtivate asutuste või asjaomase asutuse ülesandeid, ehkki erineval määral. 2018. aasta maist kuni 2019. aasta lõpuni tegutses suurima arvu piiriüleste juhtumite puhul juhtiva asutusena Iirimaa andmekaitseasutus (127 juhtumit), kellele järgnesid Saksamaa (92), Luksemburgi (87), Prantsusmaa (64) ja Madalmaade (45) asutused. Tuleb märkida, et seda järjestust mõjutab Iirimaa ja Luksemburgi eriline olukord, kuna nendes riikides asub mitu suurt rahvusvahelist tehnoloogiaettevõtet. Asjaomase andmekaitseasutusena osalemise puhul on järjestus hoopis teistsugune: kõige enam on asjaomasteks asutusteks olnud Saksamaa asutused (435 juhtumit), kellele järgnesid Hispaania (337), Taani (327), Prantsusmaa (332) ja Itaalia (306). Ajavahemikus 25. maist 2018 kuni 31. detsembrini 2019 esitati ühtse kontaktpunkti menetluse kaudu 141 otsuse eelnõud, millest 79 puhul langetati lõplik otsus. Aruande avaldamise kuupäeva seisuga on pooleli olulised piiriülese mõõtmega menetlused, mille puhul samuti kasutatakse ühtse kontaktpunkti mehhanismi. Mõned nendest otsustest on seotud suurte rahvusvaheliste tehnoloogiaettevõtetega. Oodatakse, et need aitavad tuua üldmääruse tõlgendamisse suuremat selgust ja ühtlust. Vastastikune abi Vastastikuse abi vahendit on andmekaitseasutused laialdaselt kasutanud. 2019. aasta lõpuks oli toimunud 115 vastastikuse abi menetlust, eelkõige seoses uurimiste läbiviimise taotlustega, millest enamiku esitasid andmekaitseasutused Hispaanias (26), Saksamaal (20), Taanis (13), Poolas (12) ja Tšehhis (10). Kõige enam taotlusi esitati Iirimaale (19), Prantsusmaale (11), Austriale (10), Saksamaale (10) ja Luksemburgile (9). Enamik andmekaitseasutusi leiab, et vastastikuse abi menetlus on väga kasulik koostöövahend, ega ole selle käigus komistanud ühelegi takistusele. Vabatahtlikku vastastikkust abistamist, mille puhul ei ole seadusega ette nähtud tähtaega ega ranget vastamiskohustust, on kasutatud sagedamini – 2 427 menetluses. Kõige enam vastastikuse abi taotlusi esitas ja ka sai Iirimaa andmekaitseasutus (esitas 527 ja sai 359), kellele järgnesid Saksamaa asutused (esitasid 260, said 356). Ühisoperatsioone, mis võimaldaksid mitme liikmesriigi andmekaitseasutustel osaleda juba piiriüleste juhtumite uurimiste käigus, ei ole aga veel korraldatud. Andmekaitsenõukogus on käimas arutelu selle koostöövahendi praktilise rakendamise ja selle kasutamise propageerimise võimaluste üle. Järjepidevuse mehhanism Seni on kasutatud üksnes järjepidevuse mehhanismi esimest osa, andmekaitsenõukogu arvamuste vastuvõtmist. Andmekaitsenõukogu tasandil vaidluse lahendamise menetlusi ja kiirmenetlusi pole veel algatatud. Ajavahemikul 25. mai 2018 – 31. detsember 2019 avaldas andmekaitsenõukogu 36 arvamust seoses oma liikmete poolt meetmete võtmisega. Enamik arvamusi (31) käsitles andmekaitsealast mõjuhinnangut nõudvate töötlemistoimingute riiklike loetelude vastuvõtmist. Kaks arvamust käsitlesid siduvaid kontsernisiseseid eeskirju, kaks tegevusjuhendi üle järelevalvet tegeva asutuse akrediteerimisnõuete eelnõud ja üks lepingu tüüptingimusi. Peale selle võttis andmekaitsenõukogu vastu kuus arvamust taotluse alusel. Kolm nendest käsitlesid riiklikke loetelusid töötlemistoimingutest, mis ei nõua andmekaitsealast mõjuhinnangut. Ülejäänud arvamused käsitlesid halduskokkulepet isikuandmete edastamiseks EMP ja EMP-väliste finantsjärelevalveasutuste vahel, üldmääruse suhestumist e-privaatsuse direktiiviga ja järelevalveasutuse pädevust peamise ja ainsa tegevuskohaga seotud olukorra muutumise korral. Lahendamist vajavad probleemid Ehkki andmekaitseasutused töötavad andmekaitsenõukogus tihedalt koos ja juba kasutavad aktiivselt vastastikuse abi koostöövahendit, tuleb tõeliselt ühtse andmekaitsekultuuri väljakujundamiseks veel pingutada. Eelkõige nõuab piiriüleste juhtumite käsitlemine tõhusamat ja ühtsemat lähenemist ning kõigi üldmäärusega ette nähtud koostöövahendite tulemuslikku kasutamist. Selle küsimuse olulisuse suhtes valitseb väga suur üksmeel, kuna selle on eri viisidel tõstatanud Euroopa Parlament, nõukogu, Euroopa Andmekaitseinspektor, sidusrühmad (paljusid sidusrühmi hõlmavas eksperdirühmas) ja andmekaitseasutused. Peamised probleemid, mis selles valdkonnas lahendamist vajavad, tulenevad riikide

·haldusmenetluste erinevusest, eelkõige seoses kaebuste käsitlemise menetlustega, kaebuste menetlusse võtmise kriteeriumidega, menetluste erineva kestusega tähtaegade erinevuste või puudumise tõttu, menetluse käigus ärakuulamisõiguse andmise ajaga või kaebuse esitajate teavitamise ja kaasamisega menetluse kestel; ·koostöömehhanismiga seotud mõistete erinevast tõlgendamisest – sellised mõisted on näiteks „asjaomane teave“, „viivitamata“, „kaebus“, dokument, mida määratletakse juhtiva andmekaitseasutuse „otsuse eelnõuna“, „kokkuleppe saavutamine“ (eriti seoses sellise lahenduseni jõudmise menetluse ja lahenduse õigusliku vormiga), ning ·sellest, millal alustada koostöömenetlust, asjaomaste andmekaitseasutuste kaasamist ja neile teavet edastada. Mitu paljusid sidusrühmi hõlmava eksperdirühma liiget rõhutas ka asjaolu, et kaebuse esitajatel puudub selgus kaebuste piiriülestes olukordades käsitlemise kohta. Ettevõtjad on maininud ka seda, et teatavatel juhtudel ei ole riiklikud andmekaitseasutused pöördunud juhtiva andmekaitseasutuse poole, vaid on käsitlenud kaebust kohaliku juhtumina. Komisjon tervitab andmekaitsenõukogu avaldust selle kohta, et arutelu nende küsimuste lahendamise üle on alanud. Eelkõige andis andmekaitsenõukogu mõista, et selgitab juhtiva andmekaitseasutuse ja asjaomaste andmekaitseasutuste vahelise koostöö menetlusetappe, analüüsib riikide haldusmenetlusõigust, töötab kesksete mõistete ühise tõlgenduse nimel ning parandab kommunikatsiooni ja koostööd (sh ühisoperatsioonide korraldamisel). Andmekaitsenõukogu arutelud ja analüüs, mis tugineb liikmete asjatundlikkusele ja hõlmab sekretariaadi osalemise suurendamist, peaks aitama tõhustada töökorraldust piiriüleste juhtumite lahendamisel. Peale selle tuleb märkida, et andmekaitsenõukogu vastutus üldmääruse ühtse tõlgendamise tagamisel ei saa piirduda üksnes väikseima ühisnimetaja leidmisega. Lõpetuseks tuleb märkida, et andmekaitsenõukogu peab ELi asutusena kohaldama ELi haldusõigust ja tagama otsustusprotsessi läbipaistvuse. 2.3Nõustamine ja suunised Andmekaitseasutuste tegevus teadlikkuse tõstmisel ja nõustamisel Mitu andmekaitseasutust on loonud uusi abivahendeid, nagu nõuandeliinid üksikisikutele ja ettevõtetele ning juhised ettevõtetele. Paljud ettevõtjad kiidavad andmekaitseasutuste praktilist abi üldmääruse kohaldamisel. Eelkõige on mitu asutust teinud aktiivset koostööd ja suhelnud tihedalt andmekaitseametnikega, sealhulgas andmekaitseametnike ühenduste kaudu. Paljud asutused on avaldanud juhised andmekaitseametniku rolli ja kohustuste kohta, et toetada andmekaitseametnikke nende igapäevases tegevuses, ja korraldanud spetsiaalselt nende jaoks mõeldud seminare. Kõigis andmekaitseasutustes see siiski nii ei ole. Sidusrühmadelt saadud tagasisides on samuti välja toodud mitu suuniste ja nõustamisega seotud probleemi: ·ühtse lähenemise ja suuniste puudumine teatavates küsimustes (nt küpsiste kasutamine, õigustatud huvi kohaldamine, isikuandmetega seotud rikkumisest teatamine või andmekaitse mõjuhinnangud) nii eri riikide andmekaitseasutuste kui isegi ühes riigis asuvate asutuste puhul (nt Saksamaal seoses vastutava ja volitatud töötleja mõistetega); ·ebakõlad riikide ja andmekaitsenõukogu suuniste vahel; ·avalike konsultatsioonide puudumine teatavate riikide tasandil vastu võetud suuniste puhul; ·andmekaitseasutuste erinev aktiivsus sidusrühmadega suhtlemisel; ·viivitused infopäringutele vastuste saamisel; ·raskused andmekaitseasutustelt praktiliste ja väärtuslike nõuannete saamisel; ·mõne andmekaitseasutuse puhul vajadus tõsta valdkondliku asjatundlikkuse taset (nt tervishoiu ja farmaatsiasektoris). Nii mõnigi nendest probleemidest on seotud ka mitme andmekaitseasutuse puhul ilmneva ressursinappusega (vt allpool). Erinevad tavad isikuandmetega seotud rikkumistest teatamisel Ehkki nõukogu on juhtinud tähelepanu teatamisnõudest tulenevale halduskoormusele, ilmnevad teatamiste arvu vaadates liikmesriikide vahel märkimisväärsed erinevused: kui enamikus liikmesriikides jäi rikkumisteadete koguarv ajavahemikul 2018. aasta maist 2019. aasta novembri lõpuni alla 2000 ja 7 liikmesriigis 2000 ja 10 000 vahele, siis Madalmaade ja Saksamaa andmekaitseasutustele esitati vastavalt 37 400 ja 45 600 teadet. See võib peegeldada ebajärjekindlat tõlgendamist ja rakendamist, vaatamata ELi tasandil kehtestatud suunistele isikuandmete rikkumisest teatamise kohta.

Euroopa Andmekaitsenõukogu suunised Seni on andmekaitsenõukogu võtnud vastu üle 20 suunise, mis hõlmavad üldmääruse põhitahke. Suunised on üldmääruse ühtse rakendamise jaoks väga olulised ning seetõttu on sidusrühmad need üldjuhul rõõmuga vastu võtnud. Sidusrühmad kiidavad süstemaatilisi (6–8 nädalat kestvaid) avalikke konsultatsioone. Siiski soovivad nad andmekaitsenõukoguga tihedamat dialoogi. Seepärast tuleks jätkata ja laiendada tava korraldada enne suuniste väljatöötamist vastaval teemal seminare, et tagada andmekaitsenõukogu töö läbipaistvus, kaasavus ja asjakohasus. Sidusrühmad soovivad ka seda, et kõige enam vaidlusi tekitavate teemade tõlgendamist ei käsitletaks mitte üldmääruse artikli 64 lõike 2 kohastes arvamustes, vaid suunistes, kuna suuniseid arutatakse avaliku konsultatsiooni käigus. Mõned sidusrühmad soovivad, et suunised oleksid praktilisemad ning kirjeldaksid üksikasjalikult üldmääruse mõistete ja sätete kohaldamist. Paljusid sidusrühmi hõlmava eksperdirühma liikmed rõhutavad konkreetsemate näidete vajadust, et jätta andmekaitseasutustele võimalikult vähe ruumi erinevateks tõlgendusteks. Samal ajal ei tohiks üldmääruse kohaldamise selgitamise ja õiguskindluse loomise soovid viia täiendavate nõuete kehtestamiseni ega vähendada riskipõhise lähenemise ja vastutuse põhimõtte eeliseid. Teemad, mille kohta sidusrühmad sooviksid andmekaitsenõukogult täiendavaid suuniseid, on järgmised: andmesubjektide õiguste ulatus (sh töösuhte kontekstis); õigustatud huvil põhinevat töötlemist käsitleva arvamuse ajakohastamine; vastutava töötleja, kaasvastutava töötleja ja volitatud töötleja mõisted ning vajalikud pooltevahelised kokkulepped; üldmääruse kohaldamine uute tehnoloogiate (nagu plokiahel ja tehisintellekt) suhtes; töötlemine teadusuuringute eesmärgil (sh rahvusvahelise koostöö kontekstis); laste andmete töötlemine; pseudo- ja anonüümimine; terviseandmete töötlemine. Andmekaitsenõukogu on juba andnud märku, et kavatseb paljudel nimetatud teemadel suunised avaldada ja mitme teemaga on töö juba alanud (näiteks õigustatud huvi kohaldamine töötlemise õigusliku alusena). Sidusrühmad paluvad andmekaitsenõukogul olemasolevad suunised vajadusel läbi vaadata ja neid ajakohastada, võttes arvesse pärast nende avaldamist omandatud kogemusi ja kasutades seda võimalust vajadusel põhjalikumate selgituste andmiseks. 2.4Andmekaitseasutuste ressursid Andmekaitseasutustele vajalike inim-, tehniliste ja finantsressursside, tööruumide ja taristu tagamine on nende ülesannete ja volituste tõhusa täitmise eeldus ning seetõttu ka nende sõltumatuse tagamiseks möödapääsmatult vajalik. Enamik andmekaitseasutusi on pärast üldmääruse jõustumist 2016. aastal töötajaid ja ressursse juurde saanud. Paljud neist kurdavad siiski, et ressursse pole veel piisavalt. Riiklike andmemaitseasutuste töötajate arv EMP andmekaitseasutuste töötajate koguarv on aastatel 2016–2019 suurenenud 42 % (62 %, kui võtta arvesse 2020. aasta prognoosi). Selle aja jooksul on töötajate arv suurenenud enamikus asutustes, (protsentuaalselt) kõige enam Iirimaal (+169 %), Madalmaades (+145 %), Islandil (+143 %), Luksemburgis (+126 %) ja Soomes (+114 %). Mitmes andmekaitseasutuses on töötajate arv aga ka vähenenud, kõige järsemalt Kreekas (–15 %), Bulgaarias (–14 %), Eestis (–11 %), Lätis (–10 %) ja Leedus (–8 %). Mõnes asutuses on töötajate arv kahanenud ka seetõttu, et andmekaitsespetsialistid on lahkunud erasektorisse, kus töötingimused on atraktiivsemad. Üldiselt prognoositakse 2020. aastaks töötajate arvu kasvu võrreldes 2019. aastaga, välja arvatud Austria, Bulgaaria, Itaalia, Rootsi ja Islandi andmekaitseasutustes (kus töötajate arv jääb prognoosi järgi samale tasemele) ning Küprosel ja Taanis (kus prognoositakse töötajate arvu vähenemist). Kõige rohkem töötajaid on kokku Saksamaa andmekaitseasutustes (2019. aastal 888 / 2020. aasta prognoosi järgi 1002), kellele järgnevad Poola (238/260), Prantsusmaa (215/225), Hispaania (170/220), Madalmaad (179/188), Itaalia (170/170) ja Iirimaa (140/176). Kõige väiksema töötajate arvuga on andmekaitseasutused Küprosel (24/22), Lätis (19/31), Islandil (17/17), Eestis (16/18) ja Maltal (13/15). Riiklike andmekaitseasutuste eelarve Kokku on EMP andmekaitseasutuste eelarve ajavahemikul 2016–2019 suurenenud 49 % (64 %, kui võtta arvesse 2020. aasta prognoosi). Enamiku andmekaitseasutuste eelarve on selle aja jooksul kasvanud, (protsentuaalselt) kõige enam Iirimaal (+223 %), Islandil (+167 %), Luksemburgis (+165 %), Madalmaades (+130 %) ja Küprosel (+114 %). Mõnes andmekaitseasutuses seevastu suurenes eelarve tagasihoidlikult: kõige vähem Eestis (7 %), Lätis (4 %), Rumeenias (3 %) ja Belgias (1 %); Prantsusmaa andmekaitseasutuse eelarve isegi vähenes (–2 %). Üldiselt prognoositakse 2020. aastaks eelarve suurenemist võrreldes 2019. aastaga, välja arvatud Austria, Bulgaaria, Eesti ja Madalmaade andmekaitseasutustes (kelle eelarved jäävad prognoosi järgi samale tasemele). Suurima eelarvega andmekaitseasutused on Saksamaal (2019. aastal 76,6 mln eurot / 2020. aasta prognoosi järgi 85,8 mln eurot), Itaalias (29,1/30,1), Madalmaades (18,6/18,6), Prantsusmaal (18,5/20,1) ja Iirimaal (15,2/16,9).

Väikseima eelarvega andmekaitseasutused on Horvaatias (2019. aastal 1,2 mln eurot / 2020. aasta prognoosi järgi 1,4 mln eurot), Rumeenias (1,1/1,3), Lätis (0,6/1,2), Küprosel (0,5/0,5) ja Maltas (0,5/0,6). II lisas olevas tabelis on esitatud ülevaade riiklike andmekaitseasutuste inim- ja eelarveressursist. Ressursside nappus mõjutab nii andmekaitseasutuste suutlikkust tagada riigis andmekaitsenormide täitmine kui ka nende võimekust osaleda koostöö- ja järjepidevuse mehhanismides ja nendesse panustada ning aidata kaasa andmekaitsenõukogus tehtavale tööle. Andmekaitsenõukogu on rõhutanud, et ühtse kontaktpunkti süsteemi õnnestumine sõltub sellest, kui palju aega ja tööd saavad andmekaitseasutused iga üksiku piiriülese juhtumi käsitlemisse ja sellega seotud koostöösse panustada. Ressursiprobleemi võimendab veelgi andmekaitseasutuste suurenev roll praegu välja töötatavate suurte IT-süsteemide järelevalves. Iirimaa ja Luksemburgi andmekaitseasutuste ressursivajadust mõjutab lisaks veel juhtiva andmekaitseasutuse roll selle tagamisel, et üldmäärust täidaksid ka peamiselt nendes liikmesriikides asuvad suured tehnoloogiaettevõtted. Arvestades, et nõukogu tõstab esile koostöömehhanismi ja selle tähtaegade mõju andmekaitseasutuste tööle, kohustab üldmäärus liikmesriike tagama oma riiklikele andmekaitseasutustele piisavad inim-, finants- ja tehnilised ressursid. Andmekaitsenõukogu sekretariaat, kelle töö tagab Euroopa Andmekaitseinspektor, koosneb praegu 20 töötajast, kelle seas on juriste, IT- ja kommunikatsioonispetsialiste. Tuleb hinnata, kas seda arvu oleks edaspidi vaja suurendada, et võimaldada sekretariaadil täita tulemuslikult oma ülesannet pakkuda andmekaitsenõukogule ja selle allüksustele analüütilist, haldus- ja logistilist tuge, hallates muu hulgas ka teabevahetussüsteemi. 3Ühtlustatud eeskirjad, kuid siiski teatav killustatus ja erinevad lähenemisviisid Üldmäärusega nähakse ette ühtne lähenemine andmekaitsenormidele kogu ELis ja sellega on asendatud erinevad riiklikud süsteemid, mis tegutsesid 1995. aasta andmekaitsedirektiivi kohaselt. 3.1Üldmääruse rakendamine liikmesriikides Alates 25. maist 2018 on üldmäärus olnud vahetult kohaldatav kõigis liikmesriikides. See on kohustanud liikmesriike võtma vastu õigusakte, eelkõige asutama riiklikud andmekaitseasutused ja kehtestama nende liikmetele esitatavad üldtingimused, et tagada andmekaitseasutuste täielik sõltumatus oma ülesannete ja volituste täitmisel kooskõlas üldmäärusega. Seadusjärgsete kohustuste ja avalikes huvides olevate ülesannete täitmine saab olla isikuandmete töötlemise õiguslik alus üksnes juhul, kui need on sätestatud (liidu või) siseriiklikus õiguses. Lisaks peavad liikmesriigid kehtestama karistusnormid, eelkõige seoses rikkumistega, mille suhtes ei kohaldata haldustrahve, ning ühitama õiguse isikuandmete kaitsele väljendus- ja teabevabaduse õigusega. Siseriikliku õigusega saab ette näha ka õigusliku aluse eriliigiliste isikuandmete töötlemiseks erandina üldkeelust, näiteks juhul, kui see on vajalik rahvatervise valdkonna olulistes avalikes huvides, nagu kaitse suure piiriülese terviseohu korral. Peale selle peavad liikmesriigid tagama ka sertifitseerimisasutuste akrediteerimise. Komisjon jälgib üldmääruse rakendamist siseriiklikes õigusaktides. Aruande kirjutamise ajaks olid kõik liikmesriigid peale Sloveenia uued andmekaitsealased õigusaktid vastu võtnud või oma selle valdkonna õigusakte kohandanud. Seepärast nõudis komisjon, et Sloveenia kirjeldaks oma senist tegevust, ning kannustas Sloveeniat seda protsessi lõpule viima. Lisaks hinnatakse siseriiklike õigusaktide kooskõla andmekaitsenormidega Schengeni õigustiku kohaldamisel, lähtudes Schengeni hindamismehhanismist, mida koordineerib komisjon. Komisjon ja liikmesriigid hindavad ühiselt, kuidas riigid rakendavad ja kohaldavad Schengeni õigustikku mitmes valdkonnas; andmekaitse seisukohast puudutab see suuri IT-süsteeme, nagu Schengeni infosüsteem ja Via infosüsteem, ning andmekaitseasutuste rolli nendes süsteemides isikuandmete töötlemise üle järelevalve tegemisel. Riikide valdkondlike õigusaktide ajakohastamine veel käib. Pärast üldmääruse inkorporeerimist Euroopa Majanduspiirkonna (EMP) lepingusse kohaldatakse seda ka Norra, Islandi ja Liechtensteini suhtes. Need riigid on samuti vastu võtnud siseriiklikud andmekaitsealased õigusaktid. Komisjon kasutab kõiki enda käsutuses olevaid vahendeid, sealhulgas rikkumismenetlusi, et tagada liikmesriikide tegevuse vastavus üldmäärusele. Siseriikliku rakendamisega seotud kitsaskohad Siseriiklike õigusaktide käimasoleva hindamise ja liikmesriikidega peetava kahepoolse teabevahetuse tulemusena seni kindlaks tehtud peamised probleemid on järgmised: ·piirangud üldmääruse kohaldamisel – näiteks on mõned liikmesriigid jätnud kohaldamisalast täielikult välja riigi parlamendi tegevuse; ·erinevused siseriiklike täpsustavate õigusaktide kohaldamisel. Mõned liikmesriigid lähtuvad siseriikliku õiguse kohaldamisel kohast, kus kaupu või teenuseid pakutakse, teised vastutava või volitatud töötleja tegevuskohast. See on vastuolus üldmääruse ühtlustamise eesmärgiga; ·siseriiklikud õigusaktid, mis tekitavad küsimusi isikuandmete kaitse õigusse sekkumise proportsionaalsuse kohta. Näiteks algatas komisjon rikkumismenetluse liikmesriigi vastu, kes oli vastu võtnud õigusakti, millega nõuti, et kohtunikud avaldaksid teatavat teavet oma kutsetöövälise tegevuse kohta, mis on vastuolus eraelu austamise ja isikuandmete kaitse õigusega; ·puudub sõltumatu organ, kes teeks järelevalvet andmete töötlemise üle kohtutes kohtu pädevuses olevate ülesannete täitmise käigus;

·üldmäärusega täielikult reguleeritud valdkondades õigusaktide vastuvõtmine, minnes kaugemale täpsustusteks või piiranguteks ette nähtud manööverdusruumist. See probleem ilmneb ennekõike juhtudel, kus siseriiklike sätetega on kehtestatud vastutava töötleja ja asjaomaste andmesubjektide huvide tasakaalustamise tingimused, mis võimaldavad töötlemist õigustatud huvi alusel, ehkki üldmäärus kohustab iga vastutavat töötlejat tegema sellise tasakaalustamisotsuse iseseisvalt ja veenduma õiguslikus aluses; ·täpsustused ja täiendavad nõuded, mis lähevad kaugemale töötlemisest seadusjärgse kohustuse või avalikus huvides oleva ülesande täitmise eesmärgil (nt videovalve kohta erasektoris või otseturunduse kohta) või mis on seotud üldmääruses kasutatud mõistetega (nt „ulatuslik“ või „kustutamine“). Osasse nendest küsimustest võib tuua selgust Euroopa Kohus veel pooleliolevate kohtuasjade käigus. Isikuandmete kaitse õiguse ühitamine väljendus- ja teabevabadusega Üks erilaadne probleem tuleneb liikmesriikide kohustusest võtta vastu seadused, mis võimaldaksid ühitada õiguse isikuandmete kaitsele väljendus- ja teabevabaduse õigusega. See on väga keeruline teema, sest nende kahe põhiõiguse tasakaalustamise hindamisel tuleb arvesse võtta ka ajakirjandust ja meediat reguleerivate õigusaktide sätteid ja seal kehtestatud kaitsemeetmeid. Liikmesriikide õigusaktide hindamisel on ilmnenud eri lähenemisviisid isikuandmete kaitse õiguse ning väljendus- ja teabevabaduse ühitamisele. ·Mõnes liikmesriigis on kehtestatud väljendusvabaduse ülimuslikkuse põhimõte või põhimõtteliselt tehtud erand üldmääruse artikli 85 lõikes 2 nimetatud tervikpeatükkide kohaldamisest, kui isikuandmeid töödeldakse ajakirjanduslikel eesmärkidel või akadeemilise, kunstilise ja kirjandusliku eneseväljenduse eesmärgil. Meedia tegevust reguleerivate õigusaktidega on kehtestatud teatavaid kaitsemeetmeid seoses andmesubjekti õigustega. ·Mõnes liikmesriigis nähakse ette isikuandmete kaitse ülimuslikkus ning erandid andmekaitsenormide kohaldamisest on võimalikud ainult mõnes konkreetses olukorras, näiteks kui tegemist on avaliku elu tegelasega. ·Mõned liikmesriigid jätavad seadusandjale mõningase kaalutlus- ja/või juhtumipõhise hindamise õiguse erandite tegemisel üldmääruse teatavatest sätetest. Komisjon jätkab siseriiklike õigusaktide hindamist hartas sätestatud nõuete alusel. Isikuandmete kaitse õiguse ühitamine väljendus- ja teabevabadusega peab olema seadusega ette nähtud, austama nende põhiõiguste olemust ning olema proportsionaalne ja vajalik (põhiõiguste harta artikli 52 lõige 1). Andmekaitsenormid ei tohiks kahjustada väljendus- ega teabevabadust – eelkõige ei tohiks neil olla heidutav mõju ning neid ei tohiks tõlgendada võimalusena avaldada ajakirjanikele survet allikate avaldamiseks.

3.2Vabatahtlikud täpsustavad sätted ja nende ulatus Üldmäärusega on liikmesriikidele ette nähtud võimalus selle kohaldamist teatavas piiratud arvus valdkondades veelgi täpsustada. Nagu eespool mainitud, ei tohi see riikide seadusloomele ette nähtud manööverdusruum mõjutada kohustust rakendada üldmääruse teatavaid muid sätteid. Vabatahtlike täpsustavate sätete loetelu on esitatud I lisas. Liikmesriikidele jäetud manööverdusruumi puhul tuleb arvestada üldmäärusega kehtestatud tingimuste ja piirangutega ning need ei võimalda luua paralleelset siseriiklikku andmekaitsekorda. Liikmesriigid on kohustatud siseriiklikud andmekaitsealased õigusaktid kehtetuks tunnistama või neid muutma, sealhulgas ka valdkondlikud õigusaktid, mis sisaldavad andmekaitsega seotud teemasid. Samuti ei tohi liikmesriikide andmekaitsega seotud õigusaktid sisaldada sätteid, mis võivad põhjustada segadust üldmääruse otsekohaldamisel. Seepärast võivad liikmesriigid juhul, kui üldmäärusega on võimaldatud eeskirjade täpsustamine või piiramine liikmesriigi õigusega, integreerida määruse elemente oma õigusesse, kuivõrd seda on vaja ühtsuse tagamiseks ja siseriiklike sätete arusaadavaks muutmiseks isikutele, kelle suhtes neid kohaldatakse. Sidusrühmad leiavad, et liikmesriigid peaksid vabatahtlikke täpsustavaid sätteid vähendama või nende kasutamisest hoiduma, kuna need ei aita kaasa ühtlustamisele. Riikidevahelised erinevused nii õigusaktide rakendamisel kui ka nende tõlgendamisel andmekaitseasutuste poolt suurendavad märkimisväärselt õigusnõuete täitmise kulukust kogu ELis. Killustatus vabatahtlike täpsustavate sätete kasutamisel ·Lapse nõusoleku andmise vanusepiir infoühiskonna teenuste pakkumisel Mõned liikmesriigid on kasutanud võimalust kehtestada infoühiskonna teenuste puhul isikuandmete töötlemiseks nõusoleku andmiseks madalam vanusepiir kui 16 (üldmääruse artikli 8 lõige 1). Üheksas liikmesriigis on vanusepiir 16 aastat, kaheksas 13, kuues 14 ja kolmes 15. Seetõttu peab ettevõtja, kes osutab infoühiskonna teenuseid alaealistele kogu ELis, tegema võimalikel kasutajatel vanuse järgi vahet, sõltuvalt liikmesriigist, kus nad elavad. See on vastuolus üldmääruse põhieesmärgiga tagada inimestele võrdne kaitse ja võrdsed ärivõimalused kõigis liikmesriikides.

Sellised erinevused põhjustavad olukordi, kus vastutava töötleja asukohariigis ette nähtud vanusepiir erineb andmesubjektide elukoha liikmesriigis kehtestatud vanusepiirist.



·Tervishoid ja teadusuuringud Rakendades erandeid isikuandmete eriliikide töötlemise üldkeelust, järgitakse liikmesriikide õigusaktides erinevaid lähenemisviise seoses täpsustuste ja kaitsemeetmete ulatusega muu hulgas isikuandmete töötlemisel tervishoiu ja teadusuuringute eesmärgil. Enamik liikmesriike on võtnud kasutusele või säilitanud täiendavad tingimused geneetiliste, biomeetriliste ja terviseandmete töötlemisel. Sama võib täheldada ka andmesubjekti õigustega seotud erandite kohaldamisel, kui isikuandmeid töödeldakse teadusuuringute eesmärgil, nii erandite ulatuse kui ka vastavate kaitsemeetmete mõttes. Selles valdkonnas aitavad ühtlustamisele kaasa andmekaitsenõukogu tulevased suunised isikuandmete kasutamise kohta teadusuuringute valdkonnas. Komisjon annab andmekaitsenõukogu töösse oma panuse eelkõige seoses terviseuuringutega, muu hulgas teadusringkondadelt saadud konkreetsete küsimuste ja stsenaariumide analüüsi vormis. Andmekaitsetavade ühtlustamiseks ja teadustööks vajalike andmete jagamise hõlbustamiseks oleks hea, kui need suunised saaks vastu võtta enne raamprogrammi „Euroopa horisont“ käivitamist. Kasu oleks ka andmekaitsenõukogu suunistest isikuandmete töötlemise kohta tervishoiu valdkonnas. Üldmäärusega luuakse tugev raamistik siseriiklike õigusaktide jaoks rahvatervise valdkonnas ning see hõlmab sõnaselgelt suuri piiriüleseid terviseohte ning epideemiate ja nende leviku seiret, mis oli päevakorral võitluses COVID-19 pandeemiaga. ELi tasandil võttis komisjon 8. aprillil 2020. aastal vastu soovituse meetmekogumi kohta, mis võimaldab kasutada tehnoloogiat ja andmeid COVID-19 kriisi vastu võitlemiseks ja kriisist väljumiseks, eelkõige seoses mobiilirakendustega ja anonüümitud liikuvusandmete kasutamisega ja 16. aprillil 2020 andmekaitsega seotud suunised COVID-19 pandeemia vastast võitlust toetavate mobiilirakenduste kohta. Andmekaitsenõukogu tegi 19. märtsil 2020. aastal avalduse andmete töötlemise kohta COVID-19 pandeemia kontekstis, millele 21. aprillil 2020 järgnesid suunised terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID-19 puhanguga ning suunised asukohaandmete ja nakatunuga kokku puutunud isikute kindlakstegemist võimaldavate vahendite kasutamise kohta seoses COVID-19 pandeemiaga. Kõnealustes soovitustes ja suunistes selgitatakse isikukaitseandmete kaitse põhimõtete ja eeskirjade kohaldamist võitluses COVID-19 pandeemiaga. ·Liigsed piirangud andmesubjektide õiguste suhtes Enamikus siseriiklikes andmekaitsealastes õigusaktides, millega piiratakse andmesubjektide õigusi, ei täpsustata, milliseid üldist avalikku huvi pakkuvaid eesmärke need piirangud teenivad, ning need ei vasta piisavalt üldmääruse artikli 23 lõikega 2 nõutud tingimustele ja kaitsemeetmetele. Mitu liikmesriiki ei jäta ruumi proportsionaalsuse testile või on kehtestanud piirangud, mis lähevad üldmääruse artikli 23 lõike 1 kohaldamisalast kaugemale. Näiteks on mõnes siseriiklikus õigusaktis keelatud andmesubjektile õigus tutvuda isikuandmetega mitte üksnes juhul, kui piirang teenib üldist avalikku huvi pakkuvaid eesmärke, vaid ka muude säilitamiskohustuse alusel või seoses avalikes huvides olevate ülesannete täitmisega säilitatud andmete puhul, tuues põhjuseks, et see eeldab vastutavalt töötlejalt ebaproportsionaalseid jõupingutusi. ·Täiendavad nõuded äriühingutele Ehkki kohustusliku andmekaitseametniku määramise nõue põhineb riskipõhisel lähenemisel, laiendas üks liikmesriik seda kvantitatiivse kriteeriumiga, kohustades ettevõtteid, kus vähemalt 20 töötajat tegelevad püsivalt isikuandmete automatiseeritud töötlemisega, määrama andmekaitseametniku, olenemata töötlemisega seotud riskidest. See on põhjustanud lisakoormust. 4Võimaluste loomine üksikisikutele oma andmete kontrollimiseks Üldmäärusega kaitstakse inimese põhiõigusi, eelkõige õigust isikuandmete kaitsele, kuid ka muid põhiõiguste hartas tunnustatud õigusi, nagu era- ja perekonnaelu austamine, väljendus- ja teabevabadus, diskrimineerimiskeeld, mõtte-, südametunnistuse- ja usuvabadus, ettevõtlusvabadus ja õigus tõhusale õiguskaitsevahendile. Nende õiguste omavahelisel tasakaalustamisel tuleb lähtuda proportsionaalsuse põhimõttest. Üldmäärus näeb inimesele ette kohtulikult kaitstavad õigused, nagu õigus oma isikuandmetega tutvuda, neid parandada, kustutada ja üle kanda, esitada nende töötlemise suhtes vastuväiteid ning nõuda suuremat läbipaistvust. See annab ka õiguse esitada kaebus andmekaitseasutusele, muu hulgas esindushagide kaudu, ning õiguse õiguskaitsevahenditele. 2019. aasta juuli Eurobaromeetri uuringust ja põhiõiguste ameti korraldatud uuringust nähtub, et inimesed on oma õigustest aina teadlikumad. Vastavalt põhiõiguste ameti korraldatud põhiõiguste uuringule: ·69 % vähemalt 16-aastastest ELi elanikest on isikuandmete kaitse üldmäärusest kuulnud; ·71 % uuringus osalenud ELi elanikest on kuulnud oma riigi andmekaitseasutusest; see osakaal kõigub 90 %st Tšehhis 44 %ni Belgias; ·60 % uuringus osalenud ELi elanikest teavad, et on olemas seadus, mis lubab neil tutvuda oma riigiasutustes hoitavate isikuandmetega; eraettevõtjate puhul langeb see osakaal siiski 51 %ni; ·üle viiendiku uuringus osalenud ELi elanikest (23 %) ei soovi oma isikuandmeid (nt aadress, kodakondsus või sünniaeg) jagada riigiasutustega ning 41 % ei soovi neid andmeid jagada eraettevõtjatega.

Inimesed kasutavad üha sagedamini õigust esitada andmekaitseasutustele kaebusi, nii individuaalselt kui ka esindushagi kaudu. Ainult üksikud liikmesriigid on lubanud valitsusvälistel organisatsioonidel algatada hagi ilma volituseta, ehkki üldmäärus pakub sellise võimaluse. Kavandatav direktiiv tarbijate kollektiivsete huvide kaitsmise esindushagide kohta peaks pärast vastuvõtmist tugevdama esindushagide õigusraamistikku ka andmekaitse valdkonnas. Kaebused Ajavahemikul 2018. aasta maist 2019. aasta novembri lõpuni on andmekaitsenõukogu teatel esitatud kokku ligikaudu 275 000 kaebust. Sellesse arvu tuleks siiski suhtuda väga ettevaatlikult, kuna kaebuse määratlus ei ole kõigis andmekaitseasutustes sama. Liikmesriigiti on andmekaitseasutustele laekunud kaebuste absoluutarv väga erinev. Kõige rohkem kaebusi registreeriti Saksamaal (67 000), Madalmaades (37 000) Hispaanias ja Prantsusmaal (kummaski 18 000), Itaalias (14 000), Poolas ja Iirimaal (kummaski 12 000). Kahes kolmandikus andmekaitseasutustest jäi kaebuste arv 8 000 ja 600 vahele. Kõige vähem kaebusi registreeriti Eestis ja Belgias (kummaski ligikaudu 500) ning Maltas ja Islandil (kummaski alla 200). Kaebuste arv ei ole alati korrelatsioonis elanikkonna suuruse või SKPga, sest näiteks Saksamaal on esitatud peaaegu kaks korda rohkem kaebusi kui Madalmaades ja neli korda rohkem kui Hispaanias ja Prantsusmaal. Paljusid sidusrühmi hõlmava eksperdirühma liikmete tagasiside näitab, et organisatsioonid on kehtestanud mitmesuguseid meetmeid, et aidata andmesubjektidel kasutada oma õigusi, sh rakendanud protsesse, mis tagavad taotluste individuaalse läbivaatamise ja vastutava töötleja vastuse, kasutanud mitut kanalit (postiaadress, sihtotstarbeline e-posti aadress, veebisait jne), ajakohastanud sisekorda ja -menetlusi, et tagada taotluste sujuv organisatsioonisisene käitlemine, ja koolitanud töötajaid. Mõned ettevõtted on avanud ettevõtte veebisaidi kaudu (või töötajate jaoks siseveebi kaudu) juurdepääsetavad digitaalsed portaalid, mille abil andmesubjektid saavad oma õigusi kasutada. Lahendamist vajavad siiski veel järgmised kitsaskohad. ·Kõik vastutavad andmetöötlejad ei täida veel oma kohustust aidata andmesubjektidel oma õigusi kasutada. Nad peavad tagama, et andmesubjektidele loodaks toimiv kontaktpunkt, mille kaudu nad saavad oma probleeme selgitada. Selliseks kontaktisikuks võib olla andmekaitseametnik, kelle kontaktandmed tuleb andmesubjektile ennetavalt kättesaadavaks teha. Sidevahendid ei tohi piirduda e-postiga, vaid andmesubjektil peab olema võimalik vastutava töötleja poole pöörduda ka muude kanalite kaudu. ·Inimestel esineb veel ikka raskusi näiteks platvormidelt ning andmevahendus- ja reklaamitehnoloogia ettevõtjatelt oma andmetele juurdepääsu taotlemisega. ·Andmete ülekandmise õiguse kõiki võimalusi pole veel ära kasutatud. Euroopa andmestrateegias (edaspidi „andmestrateegia“), mille komisjon võttis vastu 19. veebruaril 2020, rõhutati vajadust hõlbustada selle õiguse kasutamist kõikvõimalikel viisidel (nt selliste tehniliste liideste ja masinloetavate vormingute lubamisega, mis võimaldavad andmete ülekandmist (peaaegu) reaalajas). Ettevõtjad märgivad, et (standardi puudumise tõttu) tuleb vahel ette probleeme andmete esitamisega struktureeritud, üldkasutatavas vormingus ja masinloetaval kujul. Vajalike liideste kasutuselevõtmisest on teatanud üksnes mõne kindla sektori – pangandus, telekommunikatsioon, kommunaalteenused – organisatsioonid. Et aidata inimestel kasutada nende üldmäärusest tulenevaid õigusi, on välja töötatud uued tehnoloogilised vahendid, mis ei piirdu andmete ülekandmisega (nt isikuandmete laod ja isikuandmete haldamise teenused). ·Laste õigused: mitu paljusid sidusrühmi hõlmava eksperdirühma liiget rõhutavad lastele teabe jagamise vajadust ja asjaolu, et paljud organisatsioonid eiravad võimalust, et nendepoolne isikuandmete töötlemine võib puudutada ka lapsi. Nõukogu tõi esile, et tegevusjuhendeid koostades tuleb pöörata erilist tähelepanu lastele. Laste kaitsmine on ka andmekaitseasutuste jaoks üks prioriteete. ·Õigus saada teavet: mõni ettevõtja kasutab andmekaitseteate koostamisel pedantselt juriidilist stiili, mistõttu esitatud teave on üsna keerukas, raskesti mõistetav või ebatäielik, samas kui üldmäärusega on nõutud, et teavet tuleb esitada kokkuvõtlikult, kasutades selget ja lihtsat keelt. Tundub, et mõned ettevõtted ei järgi andmekaitsenõukogu soovitusi, jättes näiteks loetlemata üksused, kellega nad andmeid vahetavad. ·Mitu liikmesriiki on siseriiklike õigusaktidega liigselt piiranud andmesubjektide õigusi, kusjuures mõned on isegi ületanud üldmääruse artikliga 23 jäetud manööverdamisruumi. ·Üksikisikutele on oma õiguste kasutamisel vahel komistuskiviks ka mõningate suurte veebiplatvormide tavad, mis takistavad kasutajaid valimast nende privaatsuse seisukohast kõige turvalisemaid sätteid (rikkudes seega lõimitud andmekaitse ja vaikimisi andmekaitse nõuet). Sidusrühmad ootavad pikisilmi andmekaitsenõukogu suuniseid andmesubjektide õiguste kohta. 5Organisatsioonide, eelkõige väikeste ja keskmise suurusega ettevõtjate võimalused ja probleemid Organisatsioonide võimalused Üldmäärusega toetatakse konkurentsi ja innovatsiooni. Koos isikustamata andmete vaba liikumist käsitleva määrusega tagab see andmete vaba liikumise ELis ja loob võrdsed tingimused väljaspool ELi asutatud äriühingutega. Isikuandmete kaitse ühtse raamistiku loomisega tagab isikuandmete kaitse üldmäärus, et kõik siseturu osalised järgivad samu põhimõtteid ning saavad kasu samadest võimalustest, olenemata nende asukohast ja andmete töötlemise kohast. Üldmääruse tehnoloogilise neutraalsusega luuakse andmekaitseraamistik uute tehnoloogiliste lahenduste tarbeks. Lõimitud ja vaikimisi andmekaitse põhimõtted toetavad uuenduslikke lahendusi, mille puhul võetakse algusest peale arvesse andmekaitsekaalutlusi ja mis võivad vähendada andmekaitsenormide järgimise kulukust. Peale selle on privaatsus kujunemas oluliseks konkurentsiparameetriks, millega inimesed teenuseid valides üha enam arvestavad. Teadlikumad ja andmekaitseküsimuste suhtes tundlikumad tarbijad otsivad tooteid ja teenuseid, mille puhul on tagatud isikuandmete tõhus kaitse. Andmete ülekandmise õiguse rakendamine võib leevendada uuenduslikke, andmekaitsenõudeid järgivaid teenuseid pakkuvate ettevõtete jaoks turule sisenemise tõkkeid. Selle õiguse potentsiaalselt laiema kasutamise mõju turule eri majandussektorites tuleks lähemalt jälgida. Andmekaitsenormide järgimine ja nende läbipaistev kohaldamine loob usaldust isikuandmete kasutamise suhtes ja avab seega ettevõtetele uusi ärivõimalusi. Nagu kõigi eeskirjadega, kaasnevad andmekaitsenormide järgimisega ettevõtjate jaoks paratamatult ka kulud. Ent põhiõiguse austamisest sündiv suurem usaldus digitaalse innovatsiooni vastu ja ühiskonna saadav kasu pakuvad võimalusi ja eeliseid, mis need kulud üles kaaluvad. Kuna kõigile antakse võrdsed võimalused ja andmekaitseasutustele tagatakse eeskirjade täitmise tagamiseks vajalikud ressursid, ei lubata üldmäärusega ettevõtjatel, kes andmekaitsenorme ei järgi, ära kasutada seaduskuulekate ettevõtjate loodud usaldust. Väikeste ja keskmise suurusega ettevõtjate (VKEd) erivajadused

Sidusrühmade seas, aga ka Euroopa Parlamendis, nõukogus ja andmekaitseasutustes valitseb üldine arusaam, et isikuandmete kaitse üldmääruse kohaldamine valmistab eriti palju raskusi mikro-, väikestele ja keskmise suurusega ettevõtjatele ning väikestele vabatahtlikele ja heategevusorganisatsioonidele. Riskipõhise lähenemisviisi kohaselt ei oleks asjakohane teha erandeid ettevõtte suuruse alusel, kuna suurus iseenesest ei näita riske, mida ettevõtja võib isikuandmete töötlemisel üksikisikutele tekitada. Riskipõhine lähenemine ühendab endas paindlikkuse ja tõhusa kaitse. See arvestab selliste VKEde vajadustega, kelle jaoks isikuandmete töötlemine ei ole põhitegevus, ning kohandab nende kohustusi, lähtudes eelkõige nendepoolse konkreetse töötlemisega seotud riskide tõenäosusest ja tõsidusest. Olenemata isikuandmeid töötleva ettevõtja suurusest ei tohiks vähest ja väikese riskiga töötlemist mõõta sama mõõdupuuga kui suure riskiga sagedast töötlemist. Seetõttu jõudis andmekaitsenõukogu järeldusele, et „riskipõhine lähenemine, mida seadusandja on selles tekstis soosinud, tuleb igal juhul säilitada, kuna andmesubjekti jaoks ei sõltu riskid vastutava töötleja suurusest“. Andmekaitseasutused peaksid seda põhimõtet üldmääruse täitmist tagades täielikult järgima, kasutades eelistatavalt kogu Euroopas ühtset lähenemisviisi, et mitte luua tõkkeid siseturule. Andmekaitseasutused on töötanud välja mitu abivahendit ja rõhutavad, et kavatsevad neid veelgi täiendada. Mõned asutused on algatanud teadlikkuse tõstmise kampaaniaid ja korraldavad VKEde jaoks isikuandmete kaitse üldmääruse teemal isegi tasuta koolitusi. Näiteid suunistest ja abivahenditest, mis andmekaitseasutused on töötanud välja konkreetselt VKEde jaoks ·VKEdele mõeldud teabematerjal; ·andmekaitseametnike seminarid ja teabeüritused VKEdele, kellel ei ole vaja andmekaitseametnikku määrata; ·interaktiivsed juhendid VKEde abistamiseks; ·nõustamisliinid; ·näidisvormid isikuandmete töötlemist käsitlevate lepingute ja töötlemistoimingute registreerimise jaoks. Andmekaitseasutuste korraldatud tegevusi on kirjeldatud andmekaitsenõukogu panuses. Mitut konkreetselt VKEde toetuseks mõeldud meedet rahastati ELi vahenditest. Komisjon andis rahalist toetust kolmes voorus kokku 5 miljoni euro ulatuses. Kahe viimase toetusvooru eesmärk oli toetada konkreetselt riiklike andmekaitseasutuste tegevust üksikisikute ja VKEde teavitamisel. Selle tulemusena eraldati 2018. aastal üheksale andmekaitseasutusele (Belgia, Bulgaaria, Island, Leedu, Läti, Madalmaad, Taani, Ungari ja Sloveenia) 2018.–2019. aasta tegevuste katteks 2 miljonit eurot ja 2019. aastal neljale andmekaitseasutusele (Belgia, Malta, Sloveenia ja Horvaatia partnerluses Iirimaaga) 2020. aasta tegevusteks 1 miljon eurot . 2020. aastal eraldatakse veel 1 miljon eurot. Nendele algatustele vaatamata räägivad VKEd ja idufirmad tihti, et neile valmistab raskusi üldmäärusega kehtestatud vastutuse põhimõtte rakendamine. Eriti kurdavad nad selle üle, et ei saa alati riiklikelt andmekaitseasutustelt piisavalt suuniseid ja praktilisi nõuandeid või kulub nende saamiseks liiga palju aega. On ette tulnud ka juhtumeid, kus andmekaitseasutused ei ole soovinud osaleda õigusvaidlustes. Sellises olukorras pöörduvad VKEd sageli väliste nõustajate ja juristide poole, et küsida abi vastutuse põhimõtte ja riskipõhise lähenemise rakendamisel (sh seoses läbipaistvusnõuetega, töötlemistoimingute registreerimisega ja isikuandmete rikkumistest teatamisega). See võib põhjustada nende jaoks ka täiendavaid kulusid. Üheks konkreetseks probleemiks on töötlemistoimingute registreerimine, millega seotud halduskoormust peavad VKEd ja väikesed ühendused koormavaks. Sellest kohustusest üldmääruse artikli 30 lõikega 5 ette nähtud erand on tõepoolest väga piiratud. Kõnealuse kohustuse täitmiseks tehtavaid pingutusi ei tohiks aga üle hinnata. Kui VKE põhitegevus ei hõlma isikuandmete töötlemist, võivad registrikanded olla lihtsad ega kujuta endast suurt koormust. Sama kehtib ka vabatahtlike ja muude ühenduste kohta. Registreerimisvormide kasutamisega saab sellist lihtsustatud registreerimist veelgi hõlbustada ja mõnes andmekaitseasutuses seda juba tehaksegi. Igal juhul tuleks vastutuse põhimõtte täitmise põhieeldusena kõigilt isikuandmete töötlejatelt nõuda, et neil oleks oma töötlemistoimingutest ülevaade. ELi tasandil praktiliste töövahendite (nagu ühtsed vormid isikuandmetega seotud rikkumistest teatamiseks ning töötlemistoimingute lihtsustatud registreerimine) väljatöötamisega saab andmekaitsenõukogu aidata täita kohustusi VKEdel ja väikestel ühendustel, kelle jaoks isikuandmete töötlemine ei ole põhitegevus. Mitmesugused majandusharusid esindavad liidud on teinud jõupingutusi teadlikkuse suurendamiseks ja oma liikmete teavitamiseks, korraldades näiteks konverentse ja seminare, jagades ettevõtetele teavet vastuvõetud suuniste kohta või pakkudes teenust liikmete abistamiseks privaatsusega seotud küsimustes. Samuti on nad teatanud üha suuremast arvust seminaridest, kohtumistest ja üritustest, mis mõttekojad ja VKEde ühendused on üldmäärusega seotud teemadel korraldanud. Et toetada kõikide andmete vaba liikumist ELis ning tagada üldmääruse ja isikustamata andmete vaba liikumist käsitleva määruse ühtne kohaldamine, avaldas komisjon ka ennekõike VKEdele mõeldud praktilised suunised nii isikuandmeid kui ka isikustamata andmeid sisaldavate segaandmekogude töötlemise eeskirjade kohta. Abivahendid ettevõtete jaoks Üldmäärusega on ette nähtud abivahendid, mis aitavad tõendada vastavust õigusnormidele, nagu tegevusjuhendid, sertifitseerimismehhanismid ja lepingu tüüptingimused.

·Tegevusjuhendid Andmekaitsenõukogu on avaldanud suunised, millega toetatakse ja hõlbustatakse tegevusjuhendite eest vastutajate tööd juhendite koostamisel, muutmisel ja täiendamisel ning antakse praktilisi suuniseid ja abi tõlgendamisel. Kuna suunistega kehtestatakse miinimumnõuded, muudavad need selgemaks ka tegevusjuhendite esitamise, heakskiitmise ja avaldamise korra nii siseriiklikul kui ka ELi tasandil. Sidusrühmad peavad tegevusjuhendeid väga kasulikuks abivahendiks. Ehkki paljusid juhendeid rakendatakse liikmesriikide tasandil, on praegu ettevalmistamisel mitu ELi-ülest tegevusjuhendit (nt tervisealaste mobiilirakenduste, genoomika valdkonna terviseuuringute, pilvandmetöötluse, otseturunduse, kindlustuse, ennetamise eesmärgil töötlemise ja laste nõustamisteenuste alal). Ettevõtjad usuvad, et ELi-üleseid tegevusjuhendeid tuleks rohkem propageerida, kuna need toetavad üldmääruse ühtset rakendamist kõigis liikmesriikides. Tegevusjuhendid nõuavad aga ettevõtjatelt aega ja investeeringuid nii juhendite väljatöötamiseks kui ka nõutud sõltumatute järelevalveorganite asutamiseks. VKEde esindajad rõhutavad, et eriti vajalikud ja kasulikud on tegevusjuhendid, mis on kohandatud konkreetselt nende olukorraga ja millega ei kaasne ebaproportsionaalseid kulusid. Seetõttu on ettevõtjate ühendused mitmes majandussektoris rakendanud muid eneseregulatsiooni vahendeid, nagu hea tava eeskirjad või suunised. Sellised abivahendid võivad anda küll kasulikku teavet, kuid andmekaitseasutused ei ole neid heaks kiitnud ja neid ei saa kasutada selleks, et aidata tõendada vastavust üldmäärusele. Nõukogu rõhutab, et tegevusjuhendites tuleb pöörata erilist tähelepanu laste andmete ja terviseandmete töötlemisele. Komisjon toetab tegevusjuhendeid, mis ühtlustavad lähenemisviise tervishoiu ja teadusuuringute valdkonnas ja lihtsustavad isikuandmete piiriülest töötlemist. Mitu andmekaitseasutust on esitanud tegevusjuhendi üle järelevalvet tegeva asutuse akrediteerimisnõuete eelnõud, mis on praegu andmekaitsenõukogus heakskiitmisel. Kui mitut riiki hõlmavad või ELi-ülesed tegevusjuhendid on valmis esitamiseks andmekaitseasutusele heakskiidu saamiseks, läbivad need andmekaitsenõukogu konsultatsiooni. Piiriüleste tegevusjuhendite kiire vastuvõtmine on eriti tähtis valdkondades, mis hõlmavad suurte andmehulkade (nt pilvandmetöötlus) või tundlike andmete (nt tervishoid/teadusuuringud) töötlemist. ·Sertifitseerimine Sertifitseerimisest võib olla abi selleks, et tõendada vastavust üldmääruse teatavatele nõuetele. Sellega saab suurendada ettevõtjate õiguskindlust ja aidata kaasa üldmääruse üleilmsele kohaldamisele. Nagu rõhutati 2019. aasta aprillis avaldatud sertifitseerimisteemalises uuringus, peab eesmärgiks olema sertifitseerimiskavade rakendamise lihtsustamine. Sertifitseerimiskavade väljatöötamist ELis toetavad andmekaitsenõukogu poolt sertifitseerimistingimuste ja sertifitseerimisasutuste akrediteerimise kohta avaldatud suunised. Põhiküsimused, millele tuleb üldmääruse kohastes sertifitseerimiskavades tähelepanu pöörata, on turvalisus ja lõimitud andmekaitse, ning nende puhul oleks kasu ühtsest ja põhjalikust lähenemisest kogu ELis. Komisjon toetab ka edaspidi koostööd Euroopa Liidu Küberturvalisuse Ameti (ENISA), andmekaitseasutuste ja andmekaitsenõukogu vahel. Küberturvalisuse teemal palus komisjon pärast küberturvalisuse määruse vastuvõtmist, et ENISA koostaks kaks sertifitseerimiskava, millest üks on pilvteenuste sertifitseerimiskava. Kaalumisel on täiendavad kavad, mis on seotud tarbijatele suunatud teenuste ja toodete küberturvalisusega. Need küberturvalisuse määruse alusel kehtestatavad sertifitseerimiskavad ei käsitle küll otsesõnu andmekaitset ja privaatsust, kuid aitavad suurendada tarbijate usaldust digitaalsete teenuste ja toodete vastu. Sellised kavad võivad tõendada sisseprojekteeritud turbe põhimõtete järgmist ning isikuandmete töötlemise turvalisusega seotud sobivate tehniliste ja organisatsiooniliste meetmete rakendamist. ·Lepingu tüüptingimused Komisjon valmistab ette vastutavate ja volitatud töötlejate vahelise lepingu tüüptingimusi, võttes arvesse ka rahvusvahelise andmeedastuse tüüptingimuste ajakohastamist (vt punkt 7.2). Komisjon võtab vastu liidu õigusakti, millel on ELi-ülene siduv mõju, et tagada täielik ühtlus ja õiguskindlus. 6Üldmääruse kohaldamine uute tehnoloogiate suhtes Tehnoloogiliselt neutraalne ja uutele tehnoloogiatele avatud raamistik Üldmäärus on tehnoloogiliselt neutraalne, usaldusväärne ja põhimõtetekeskne. Need põhimõtted, mis näevad ette töötlemise seaduslikkuse ja läbipaistvuse, eesmärgi piiritletuse ja võimalikult väheste andmete kogumise, panevad isikuandmete kaitsele kindla aluse, olenemata kasutatud töötlemistoimingutest ja -meetoditest. Paljusid sidusrühmi hõlmava eksperdirühma liikmete sõnul avaldab üldmäärus uute tehnoloogiate arengule üldjoontes soodsat mõju ja loob hea aluse innovatsiooniks. Üldmäärust peetakse väga vajalikuks ja paindlikuks abivahendiks, mis aitab tagada uute tehnoloogiate arengu kooskõlas põhiõigustega. Üldmääruse kesksete põhimõtete rakendamine on eriti tähtis andmemahuka töötlemise puhul. Üldmääruse riskipõhine ja tehnoloogiliselt neutraalne lähenemine tagab töötlemisega kaasnevate riskide maandamiseks piisava andmekaitse taseme, seda ka kujunemisjärgus tehnoloogiate puhul. Eelkõige mainivad sidusrühmad, et üldmääruse põhimõtted – eesmärgi piirang ja edasise töötlemise nõuetelevastavus, võimalikult väheste andmete kogumine, säilitamise piirang, läbipaistvus ja vastutus – ning automatiseeritud otsustusprotsesside seadusliku kasutamise tingimused lahendavad suuresti ka tehisintellekti kasutamisega seotud probleemid. Üldmääruse ajale vastupidavat ja riskipõhist lähenemist saab rakendada ka võimalikus tulevases tehisintellekti raamistikus ja andmestrateegia rakendamisel. Andmestrateegia eesmärk on parandada andmete kättesaadavust ja luua ühtsed Euroopa andmeruumid, mida toetavad liitunud pilvetaristute teenused. Isikuandmete töötlemiseks loob üldmäärus peamise õigusraamistiku, mis võimaldab välja töötada üksikjuhtumite jaoks tõhusaid lahendusi, sõltuvalt iga andmeruumi olemusest ja sisust. Üldmäärus on suurendanud isikuandmete kaitse alast teadlikkust nii ELis kui ka väljaspool ELi ja sundinud äriühinguid oma tavasid kohandama sellisel viisil, et innovaatiliste lahenduste rakendamisel arvestatakse ka andmekaitse põhimõtetega. Kodanikuühiskonna organisatsioonid märgivad siiski, et ehkki üldmäärus näib avaldavat uute tehnoloogiate arengule soodsat mõju, ei ole suurte veebiplatvormide tavade puhul veel märgata suurt muutust privaatsust enam austava andmetöötluse suunas. Üksikisikute kaitsmiseks on ülioluline kindlalt ja tõhusalt tagada, et suured veebiplatvormid ja integreeritud ettevõtted täidavad üldmääruse nõudeid, sealhulgas ka sellistes valdkondades nagu internetireklaam ja täppismõjutamine.

Seoses digiteenuste õigusakti paketiga analüüsib komisjon suurte veebiplatvormide turukäitumisega seotud laiemaid probleeme. Sotsiaalmeedia valdkonna uuringute teemal tuletab komisjon meelde, et sotsiaalmeedia platvormid ei tohi kasutada üldmäärust ettekäändena, et piirata uurijate ja faktikontrollijate juurdepääsu isikustamata andmetele, nagu statistika selle kohta, milliseid sihtreklaame on saadetud millistele inimrühmadele, reklaami suunamise kavandamise kriteeriumid, teave libakontode kohta jne. COVID-19 pandeemia oli üldmääruse tehnoloogiliselt neutraalse ja ajale vastupidava lähenemise proovikivi ja see lähenemine osutus edukaks. Üldmääruse põhimõtetekesksed normid aitasid välja töötada vahendeid viirusega võitlemiseks ja selle leviku seireks. Lahendamist vajavad probleemid Uute tehnoloogiate areng ja rakendamine ei sea üldmääruse põhimõtteid kahtluse alla. Ülesandeks on selgitada, kuidas neid ennast tõestanud põhimõtteid kohaldada konkreetsete tehnoloogiate suhtes, nagu tehisintellekt, plokiahel, asjade internet, näotuvastus või kvantarvutus. Seoses sellega rõhutasid Euroopa Parlament ja nõukogu pideva järelevalve vajadust, et välja selgitada, kuidas üldmäärust kohaldatakse uute tehnoloogiate ja suurte tehnoloogiaettevõtete suhtes. Peale selle hoiatavad sidusrühmad, et pidevat järelevalvet on vaja ka selleks, et hinnata, kas üldmäärus täidab ka edaspidi oma eesmärke. Majandusharu esindavad sidusrühmad rõhutavad, et innovatsiooni võimaldamiseks ei tohiks üldmäärust kohaldada mitte jäigalt ja formaalselt, vaid lähtudes põhimõtetest, nagu ongi ette nähtud. Nad on seisukohal, et riskipõhist lähenemist arvesse võttes aitaksid suuremat selgust ja õiguskindlust luua andmekaitsenõukogu suunised üldmääruse põhimõtete, mõistete ja normide kohaldamise kohta uute tehnoloogiate suhtes, nagu tehisintellekt, plokiahel või asjade internet. Üldmääruse kohaldamisel uute tehnoloogiate suhtes sobivad sellised pehme õiguse vahendid hästi, sest need tagavad suurema õiguskindluse ja need saab tehnoloogia arenedes uuesti läbi vaadata. Samuti leiavad mõned sidusrühmad, et abiks oleks valdkondlikud suunised üldmääruse kohaldamise kohta uute tehnoloogiate suhtes. Andmekaitsenõukogu kinnitas, et kaalub jätkuvalt kujunemisjärgus tehnoloogiate mõju isikuandmete kaitsele. Sidusrühmad rõhutavad veel, et reguleerivad asutused peavad omandama põhjaliku ülevaate sellest, kuidas tehnoloogiaid kasutatakse, ning pidama kujunemisjärgus tehnoloogiate arendamise teemal tehnoloogiaettevõtetega dialoogi. Nad leiavad, et eeskirjade kohaldamise kohta suuniste saamiseks võiks pakkuda huvitavaid võimalusi nn reguleeritud liivakasti lähenemine, mis võimaldaks katsetada uusi tehnoloogiaid ja aitaks ettevõtjatel kohaldada lõimitud ja vaikimisi andmekaitse põhimõtteid uute tehnoloogiate suhtes. Edasiste poliitikameetmete teemal soovitavad sidusrühmad, et mis tahes tulevased tehisintellekti käsitlevad poliitikaettepanekud peaksid tuginema olemasolevatele õigusraamistikele ja olema üldmäärusega kooskõlas. Enne uute ettekirjutuste kavandamist tuleks hoolikalt hinnata võimalikke konkreetseid probleeme, lähtudes asjakohastest tõenditest. Komisjoni valges raamatus tehisintellekti kohta on esitatud mitu poliitikavarianti, mille kohta oodati sidusrühmade tagasisidet kuni 14. juunini 2020. Seoses näotuvastuse tehnoloogiaga, mis võib inimeste õigusi märkimisväärselt mõjutada, tuletas valge raamat meelde praegust õigusraamistikku ning avas avaliku arutelu võimalike konkreetsete asjaolude üle, mille puhul võib olla õigustatud tehisintellekti kasutamine näotuvastuseks või muul biomeetrilise kaugtuvastuse eesmärgil avalikus ruumis, samuti ühiste kaitsemeetmete üle. 7Rahvusvaheline andmeedastus ja üleilmne koostöö 7.1Privaatsus: üleilmne teema Isikuandmete kaitse vajadus ei sõltu riigipiiridest, kuna kogu maailmas hindavad ja väärtustavad inimesed üha enam oma andmete privaatsust ja turvalisust. Samal ajal on andmevood meie lõimunud maailmas inimeste, valitsuste, äriühingute ja üldse ühiskonna jaoks vältimatult vajalikud. Need moodustavad kaubanduse, ametiasutustevahelise koostöö ja sotsiaalse suhtluse lahutamatu osa. Ka praegune COVID-19 pandeemia on toonud esile, kui tohutult tähtis on isikuandmete edastamine ja vahetamine paljudes olulistes valdkondades, nagu valitsuste töö ja ettevõtete tegevuse jätkuvuse tagamine – kuna isikuandmeid edastamata ei saaks kasutada kaugtööd ja muid suuresti info- ja kommunikatsioonitehnoloogiast sõltuvaid lahendusi –, diagnostika-, ravi- ja vaktsiinidealase koostöö arendamine ning võitlus uute küberkuritegevuse vormidega, nagu võrgupettuste skeemid, milles pakutakse võltsravimeid, mis väidetavalt aitavat koroonaviirushaigust vältida või ravida. Sellisel taustal on praegu enam kui kunagi varem vaja, et oleks tagatud nii privaatsuse kaitse kui ka andmevoogude sujuv liikumine. Oma andmekaitsekorraga, milles üksikisikute tõhus kaitse on ühendatud rahvusvahelise andmeedastuse soodustamisega, on ELil väga hea võimalus edendada andmevoogude turvalisust ja usaldusväärsust. Üldmäärusest on juba saanud rahvusvaheline mõõdupuu, mis on andnud paljudele maailma riikidele tõuke kaaluda tänapäevaste privaatsusnormide kehtestamist. See on tõeliselt üleilmne suundumus, mida võib täheldada Tšiilist Lõuna-Koreani, Brasiiliast Jaapanini, Keeniast Indiani, Tuneesiast Indoneesiani ja Californiast Taiwanini. Need arengud ei ole märkimisväärsed mitte üksnes kvantitatiivsest, vaid ka kvalitatiivsest seisukohast: paljud hiljuti vastuvõetud või vastuvõtmisel olevad privaatsusalased õigusaktid põhinevad ühisel alusel, mille moodustavad ka ELis kehtivad kaitsemeetmed, õigused ja täitmise tagamise mehhanismid. Maailmas, mida liiga sageli iseloomustavad erinevad või isegi lahknevad regulatiivsed lähenemisviisid, on selline üleilmne õigusnormide lähendamise suundumus väga positiivne ning loob uusi võimalusi kaitsta inimesi paremini ka Euroopas, hõlbustades samal ajal andmevoogude liikumist ja vähendades ettevõtjate tehingukulusid. Et neid võimalusi ära kasutada ja rakendada strateegiat, mida komisjon on kirjeldanud oma 2017. aasta teatises „Isikuandmete vahetamine ja kaitsmine globaliseerunud maailmas“, on komisjon märkimisväärselt kiirendanud tööd privaatsuse kaitsmise rahvusvahelise mõõtmega, kasutades ära olemasolevaid andmeedastusvahendeid, nagu on selgitatud allpool. See hõlmab aktiivset koostööd peamiste partneritega, et jõuda kaitse piisavuse otsusteni, ning on viinud oluliste tulemusteni, nagu maailma suurima andmete vaba ja turvalise liikumise piirkonna loomine ELi ja Jaapani vahel. Lisaks andmekaitse piisavuse alasele tööle on komisjon teinud andmekaitsenõukogus tihedat koostööd andmekaitseasutustega ja samuti muude sidusrühmadega, et kasutada ära üldmäärusega andmete rahvusvahelise edastamise valdkonnas ette nähtud paindlike normide täit potentsiaali. See hõlmab andmeedastusvahendite, näiteks lepingu tüüptingimuste ajakohastamist, sertifitseerimiskavade ja tegevusjuhendite väljatöötamist või halduskokkuleppeid asutustevaheliseks andmevahetuseks, samuti näiteks ELi andmekaitsenormide territoriaalse kohaldamisalaga või isikuandmete edastamisel kohaldatavate nn eranditega seotud põhimõistete selgitamist. Lõpetuseks tuleb märkida, et komisjon on tõhustanud dialoogi paljudel kahepoolsetel, piirkondlikel ja mitmepoolsetel foorumitel, et edendada üleilmset privaatsuse austamise kultuuri ja erinevate privaatsuse tagamise süsteemide lähendamise osade väljatöötamist. Oma töös sai komisjon loota Euroopa välisteenistuse ja kolmandates riikides asuvate ELi delegatsioonide võrgustiku ning rahvusvaheliste organisatsioonide juures tegutsevate missioonide aktiivsele toetusele. See aitas tagada ka ühtlust ja suuremat vastastikust täiendavust ELi poliitika välismõõtme eri tahkude vahel alates kaubandusest kuni Aafrika ja ELi uue partnerluseni.

7.2Üldmääruse kohased andmete edastamise vahendid Kuna üha rohkemate erasektori ettevõtjate ja avaliku sektori asutuste igapäevane tegevus sõltub rahvusvahelistest andmevoogudest, muutub aina teravamaks vajadus paindlike mehhanismide järele, mida saab kohandada eri sektorite, ärimudelite ja andmete edastamise olukordadega. Neid vajadusi arvesse võttes pakub üldmäärus ajakohastatud vahendeid, mis hõlbustavad isikuandmete edastamist EList kolmandale riigile või rahvusvahelisele organisatsioonile, tagades samas andmete kõrgetasemelise kaitse. Kaitse järjepidevus on tähtis, pidades silmas, et tänapäeva maailmas liiguvad andmed hõlpsasti üle riigipiiride ja üldmäärusega ette nähtud kaitsemeetmed oleksid puudulikud, kui nende kohaldamine piirduks ELi-sisese töötlemisega. Üldmääruse V peatükiga kinnitas seadusandja isikuandmete edastamise normide aluseks olevaid põhimõtteid, mis olid kehtestatud juba direktiiviga 95/46: isikuandmeid võib edastada siis, kui komisjon on teinud asjaomase kolmanda riigi või rahvusvahelise organisatsiooni suhtes kaitse piisavuse otsuse, või kui sellise otsuse puudumisel on ELis asuv vastutav või volitatud töötleja (andmeeksportija) taganud piisavad kaitsemeetmed näiteks vastuvõtjaga (andmeimportija) sõlmitud lepinguga. Peale selle saab konkreetsetes olukordades, mille puhul seadusandja on otsustanud, et huvide tasakaal võimaldab teatavatel tingimustel andmeid edastada, kohaldada seadusega tunnustatud aluseid andmeedastuseks (nn erandeid). Samal ajal on reform aidanud olemasolevaid norme selgitada ja lihtsustada, näiteks nähes ette kaitse piisavuse otsuse või siduvate kontsernisiseste eeskirjade üksikasjalikud tingimused, piirates loa taotlemise nõuded väga väheste konkreetsete juhtumitega ja tühistades täielikult teavitamisnõuded. Peale selle on kasutusele võetud uued isikuandmete edastamist võimaldavad vahendid, nagu tegevusjuhendid ja sertifitseerimiskavad, ning olemasolevate vahendite (nt lepingu tüüptingimused) kasutusvõimalusi on laiendatud. Tänapäeva digitaalmajandus võimaldab välismaistel ettevõtjatel (distantsilt, kuid) vahetult osaleda ELi siseturul ja konkureerida ELi klientide ja nende isikuandmete nimel. Kui nad suunavad oma toote- või teenusepakkumise konkreetselt Euroopa elanikele või jälgivad nende käitumist, peavad nad täitma ELi õigusnorme samuti kui ELi ettevõtjad. See kajastub üldmääruse artiklis 3, millega laiendatakse ELi andmekaitsenormide vahetut kohaldamisala väljaspool ELi asuvate vastutavate või volitatud töötlejate teatavate töötlemistoimingute suhtes. Sellega tagatakse vajalikud kaitsemeetmed ja peale selle ka võrdsed võimalused kõigile ELi turul tegutsevatele ettevõtjatele. Üldmääruse laiahaardelisus on üks põhjusi, miks selle mõju on olnud tunda ka teistes maailma osades. Seega on olulised üksikasjalikud ja konkreetsete näidetega varustatud suunised üldmääruse territoriaalse kohaldamisala kohta, mille andmekaitsenõukogu avaldas pärast mitmekülgseid avalikke konsultatsioone, kuna need aitavad välismaistel ettevõtjatel otsustada, kas ja milliste töötlemistoimingute suhtes kohaldatakse üldmääruses sätestatud kaitsemeetmeid otse. ELi andmekaitsenormide kohaldamisala laiendamisest üksi aga ei piisa selleks, et tagada nende tegelik järgimine. Nõukogu on juhtinud tähelepanu ka tungivale vajadusele tagada andmekaitsenormide täitmine välismaiste ettevõtjate poolt ja võtta selleks tõhusaid meetmeid. Seejuures peaks täitma keskset rolli esindaja määramine ELis (üldmääruse artikli 27 lõige 1 ja 2), et üksikisikud ja järelevalveasutused saaksid lisaks välismaal tegutsevale vastutavale äriühingule või äriühingu asemel pöörduda esindaja poole. Seda lähenemist, mida üha enam rakendatakse ka muudes valdkondades, tuleks rangemalt järgida, et saata selge sõnum selle kohta, et ELis asuva tegevuskoha puudumine ei vabasta välismaist ettevõtjat üldmäärusest tulenevatest kohustustest. Kui ettevõtjad jätavad esindaja määramise kohustuse täitmata, peaksid järelevalveasutused kasutama kõiki üldmääruse artikliga 58 ettenähtud täitmisvolitusi (nt avalikud hoiatused, ELis ajutise või alalise töötlemispiirangu kehtestamine, täitemeetmed ELis asuva tegevuskohaga kaasvastutavate töötlejate vastu). Lõpetuseks: on väga oluline, et andmekaitsenõukogu viib lõpule töö, mille eesmärk on selgitada üldmääruse otsekohaldamist käsitleva artikli 3 ja V peatükis sätestatud rahvusvahelise edastamise normide vahelisi suhteid. Kaitse piisavuse otsused Sidusrühmade tagasiside kinnitab, et kaitse piisavuse otsused on ELi ettevõtjate jaoks endiselt väga tähtis vahend isikuandmete turvaliseks edastamiseks kolmandatesse riikidesse. Sellised otsused on andmeedastuseks kõige üldisem, praktilisem ja kulutõhusam lahendus, kuna need võimaldavad andmeid edastada võrdväärselt ELi-sisese andmeedastusega, ilma et oleks vaja täita lisatingimusi või taotleda lube. Seega avavad kaitse piisavuse otsused ärikanaleid ELi ettevõtjatele ja hõlbustavad avaliku sektori asutuste vahelist koostööd, tuues samal ajal kaasa eelisjuurdepääsu ELi ühtsele turule. Arendades edasi 1995. aasta direktiivi kohaldamisel tekkinud praktikat, on reformiga sõnaselgelt lubatud teha selliseid otsuseid isikuandmete kaitse piisavuse kohta, mis käsitlevad osa kolmanda riigi territooriumist või konkreetset sektorit või tööstusharu kolmandas riigis (nn osaline piisavus). Üldmäärus tugineb möödunud aastate kogemustele ja Euroopa Kohtu antud selgitustele, esitades üksikasjaliku loetelu elementidest, mida komisjon peab oma hinnangus arvesse võtma. Kaitse piisavuse nõue näeb ette isikuandmete kaitse sellise taseme, mis on võrreldav ELis tagatud kaitsega (või on sellele „sisuliselt vastav“). See eeldab kolmanda riigi süsteemi kui terviku mitmekülgset hindamist, mis võtab arvesse privaatsuse kaitse meetmete sisu, nende tõhusat rakendamist ja täitmise tagamist, samuti norme, mis reguleerivad avaliku sektori asutuste juurdepääsu isikuandmetele eelkõige õiguskaitse ja riigi julgeoleku eesmärgil. See kajastub ka suunistes, mille eelmine artikli 29 alusel asutatud andmekaitse töörühm võttis vastu (ja mille andmekaitsenõukogu heaks kiitis), eelkõige nn piisavuse võrdlusaluses, milles selgitatakse täpsemalt elemente, mida komisjon peab piisavuse hindamisel arvesse võtma, ja esitatakse muu hulgas ülevaade „olulistest tagatistest“ avaliku sektori asutuste juurdepääsul isikuandmetele. Kõnealune ülevaade tugineb eelkõige Euroopa Inimõiguste Kohtu praktikale. Ehkki sisulise vastavuse nõue ei eelda ELi normide sõna-sõnalt kopeerimist, pidades silmas, et privaatsuse kaitse süsteemid võivad võrreldava kaitse tagamiseks kasutada erinevaid vahendeid, mis sageli peegeldavad erinevaid õigustavasid, nõuab see sellegipoolest kaitse kõrget taset. Seda nõuet õigustab asjaolu, et vaba andmevoo lubamisega laiendatakse kaitse piisavuse otsusega sisuliselt siseturu eeliseid kolmandale riigile. Siiski tähendab see ka, et mõnikord esineb vastavas kolmandas riigis tagatud kaitsetaseme ja üldmääruse vahel olulisi erinevusi, mis tuleb kõrvaldada näiteks läbirääkimistega täiendavate kaitsemeetmete üle. Sellistesse kaitsemeetmetesse tuleb suhtuda pooldavalt, kuna need tugevdavad veelgi ELi elanike kaitset. Samal ajal nõustub komisjon andmekaitsenõukoguga selles, et tähtis on teha nende meetmete tegeliku kohaldamise üle pidevat järelevalvet, sealhulgas selle üle, kas kolmanda riigi andmekaitseasutus tagab tõhusalt nende täitmise. Üldmääruses on selgitatud, et kaitse piisavuse otsused on „elavad“ dokumendid, mille järgimist tuleb pidevalt jälgida ja mida tuleb regulaarselt läbi vaadata. Kooskõlas nende nõuetega suhtleb komisjon regulaarselt asjaomaste asutustega, et ennetavalt reageerida uutele suundumustele. Näiteks on komisjon pärast seda, kui 2016. aastal võeti vastu otsus ELi-USA andmekaitseraamistiku Privacy Shield kohta, korraldanud kolm iga-aastast läbivaatamist, et hinnata raamistiku toimimise kõiki tahke. Läbivaatamistel on tuginetud USA ametiasutuste esitatud teabele ja samuti muudelt sidusrühmadelt, nagu ELi andmekaitseasutustelt, kodanikuühiskonnalt ja kutseorganisatsioonidelt saadud sisendile. Need on võimaldanud parandada raamistiku mitme elemendi tegelikku toimimist. Laiemas perspektiivis on iga-aastased läbivaatamised aidanud luua USA valitsusega laialdasemat dialoogi privaatsusteemadel üldiselt ning konkreetselt seoses riigi julgeolekut mõjutavate piirangute ja kaitsemeetmetega. Osana üldmääruse esimesest hindamisest peab komisjon läbi vaatama ka 1995. aasta direktiivi alusel vastu võetud kaitse piisavuse otsused. Komisjoni talitused on pidanud tihedat dialoogi kõigi 11 asjaomase kolmanda riigi ja territooriumiga, et hinnata, kuidas nende andmekaitsesüsteemid on pärast kaitse piisavuse otsuse vastuvõtmist arenenud ning kas nad vastavad üldmääruses sätestatud standardile. Kuna need otsused on oluline vahend kaubanduse ja rahvusvahelise koostöö jaoks, on nende järjepidevuse tagamise vajadus üks tegur, mis on sundinud neid riike ja territooriume oma privaatsuse tagamise norme ajakohastama ja tugevdama. Selline areng on kahtlemata rõõmustav. Mõne riigi ja territooriumiga arutatakse täiendavaid kaitsemeetmeid, et kõrvaldada kaitse tasemes esinevad erinevused. Ent kuna Euroopa Kohus võib 16. juulil tehtavas kohtuotsuses anda selgitusi, mis võivad olla kaitse piisavuse nõude teatavate elementide puhul asjakohased, esitab komisjon eraldi aruande 11 olemasoleva kaitse piisavuse otsuse hindamise kohta pärast seda, kui Euroopa Kohus on oma otsuse selles kohtuasjas langetanud. Viies ellu 2017. aasta teatises „Isikuandmete vahetamine ja kaitsmine globaliseerunud maailmas“ kirjeldatud strateegiat, on komisjon pidanud dialooge uute kaitse piisavuse otsuste vastuvõtmiseks. Selles töös on juba saavutatud märkimisväärseid tulemusi, mis on seotud ELi peamiste partneritega. 2019. aasta jaanuaris võttis komisjon vastu kaitse piisavuse otsuse Jaapani kohta, mis põhineb lähendamisel saavutatud edusammudel, sealhulgas konkreetsete kaitsemeetmete kaudu näiteks andmete edasisaatmise valdkonnas ning sellise mehhanismi loomise kaudu, mis aitab uurida ja lahendada üksikisikute kaebusi seoses valitsuse juurdepääsuga isikuandmetele õiguskaitse ja riigi julgeoleku eesmärgil. Kuna see on esimene üldmääruse kohane kaitse piisavuse otsus, moodustab Jaapaniga sõlmitud raamistik tulevaste otsuste jaoks kasuliku pretsedendi. See hõlmab asjaolu, et Jaapani poolel vastati sellele kaitse piisavuse otsusega ELi kohta. Koos moodustavad need vastastikused kaitse piisavuse otsused maailma suurima isikuandmete vaba ja turvalise liikumise piirkonna, mis täiendab ELi-Jaapani majanduspartnerluslepingut. Täpsemalt toetatakse selle kokkuleppega igal aastal kaubavahetust ligikaudu 124 miljardi euro väärtuses ja teenustekaubandust 42,5 miljardi euro väärtuses. Ka Lõuna-Koreaga on kaitse piisavuse otsuse protsess jõudsalt edenenud. Selle üks oluline tulemus on Lõuna-Korea hiljutine õigusreform, mis viis sõltumatu ja suurte täitevolitustega andmekaitseasutuse loomiseni. See näitab, kuidas kaitse piisavuse alane dialoog võib aidata lähendada välisriigi andmekaitsenorme ELi normidele. Komisjon nõustub täielikult sidusrühmade üleskutsega tugevdada valitud kolmandate riikidega dialoogi, mis võib viia võimalike uute kaitse piisavuse otsusteni. Komisjon kaalub seda võimalust aktiivses koostöös teiste oluliste partneritega Aasias, Ladina-Ameerikas ja Euroopa naabruses asuvates riikides, lähtudes praegusest suundumusest andmekaitsestandardite lähendamise suunas kogu maailmas. Näiteks on Ladina-Ameerikas (Brasiilia, Tšiili) vastu võetud või seadusandliku menetluse lõppfaasis ulatuslikud õigusaktid privaatsuse kaitse suurendamiseks ja ka Aasias (nt India, Indoneesia, Malaisia, Sri Lanka, Taiwan ja Tai), Aafrikas (nt Etioopia, Keenia) ja samuti Euroopa naabruses asuvates riikides (nt Gruusia, Tuneesia) on areng paljutõotav. Võimaluse korral töötab komisjon selle nimel, et saaks vastu võtta üldise kaitse piisavuse otsuse, mis hõlmab nii era- kui ka avalikku sektorit. Samuti loodi üldmäärusega komisjoni jaoks võimalus võtta vastu kaitse piisavuse otsuseid ka rahvusvaheliste organisatsioonide kohta. Ajal, kui mõned rahvusvahelised organisatsioonid ajakohastavad oma andmekaitsekorda, kehtestades ulatuslikud õigusnormid ning sõltumatu järelevalve ja õiguskaitsevahendite tagamise mehhanismid, saab seda võimalust esmakordselt kaaluma hakata.

Kaitse piisavuse otsustel on oluline roll ka Brexiti-järgsetes suhetes Ühendkuningriigiga, eeldusel et vajalikud tingimused on täidetud. See soodustab kaubandust, sealhulgas digitaalkaubandust, ning on oluline eeltingimus tihedaks ja ulatuslikuks koostööks õiguskaitse ja julgeoleku valdkonnas. Pidades silmas Ühendkuningriigiga vahetatavate andmevoogude olulisust ja Ühendkuningriigi lähedust ELi turule, on mõlemal pool La Manche’i väina kohaldatavate andmekaitsenormide suurem ühtlustamine võrdsete võimaluste tagamisel väga oluline. Kooskõlas poliitilise deklaratsiooniga ELi ja Ühendkuningriigi tulevaste suhete kohta hindab komisjon praegu kaitse piisavust nii üldmääruse kui ka isikuandmete kaitset õiguskaitse valdkonnas käsitleva direktiivi alusel. Võttes arvesse kaitse piisavuse hindamise autonoomsust ja ühepoolsust, peetakse neid läbirääkimisi eraldi läbirääkimistest ELi ja Ühendkuningriigi tulevasi suhteid käsitleva lepingu üle. Lõpetuseks väljendab komisjon rõõmu selle üle, et teisedki riigid on asunud kehtestama kaitse piisavuse otsusega sarnaseid mehhanisme. Seejuures tunnustavad nad sageli ELi ja riike, mille suhtes komisjon on võtnud vastu kaitse piisavuse otsuse, turvaliste andmeedastuse sihtriikidena. Nii see, et üha rohkem riike saab kasu ELi kaitse piisavuse otsusest, kui ka selline tunnustus teiste riikide poolt saavad aidata luua võrgustikku riikidest, kus andmed saavad vabalt ja turvaliselt liikuda. Komisjon peab seda rõõmustavaks arenguks, mis aitab veelgi suurendada kaitse piisavuse otsustest tõusvat kasu kolmandate riikide jaoks ja toetab üleilmset lähenemist. Sedalaadi sünergiast võib olla tublisti kasu ka andmete vaba ja turvalise liikumise raamistike väljatöötamisel, näiteks „usalduspõhise vaba andmevoo“ algatuse juures (vt allpool). Asjakohased kaitsemeetmed Lisaks kaitse piisavuse otsustega pakutavale kõikehõlmavale lahendusele on üldmäärusega ette nähtud veel mitu muud isikuandmete edastamist võimaldavat vahendit. Vahendikogumi paindlikkust tõendab üldmääruse artikkel 46, millega reguleeritakse andmeedastust „asjakohaste kaitsemeetmete“ alusel, mis hõlmavad andmesubjektide kohtulikult kaitstavaid õigusi ja tõhusaid õiguskaitsevahendeid. Et vastata nii ettevõtjate kui ka avaliku sektori andmeedastusvajadustele, on asjakohaste kaitsemeetmete tagamiseks ette nähtud mitmesugused vahendid. ·Lepingu tüüptingimused Nende vahendite esimese rühma moodustavad lepingulised vahendid, mis võivad olla nii ELi andmeeksportija ja väljaspool ELi asuva andmeimportija vahel kokku lepitud individuaalsed sihtotstarbelised andmekaitsetingimused, mille pädev andmekaitseasutus on heaks kiitnud (üldmääruse artikli 46 lõike 3 alapunkt a), või komisjoni poolt eelnevalt heaks kiidetud näidistingimused (üldmääruse artikli 46 lõike 2 alapunktid c ja d). Nende vahendite seas kõige olulisemad on nn lepingu tüüptingimused, st andmekaitse näidistingimused, mille andmeeksportija ja andmeimportija saavad vabatahtlikult omavahelistesse lepingutesse (nt isikuandmete edastamist eeldav teenusleping) lisada ning mis näevad ette asjakohaste kaitsemeetmetega seotud nõuded. Lepingu tüüptingimused on kõige laialdasemalt kasutatav andmeedastusmehhanism. Tuhanded ELi ettevõtjad kasutavad neid oma klientidele, tarnijatele, partneritele ja töötajatele mitmesuguste teenuste, sh majanduse toimimise jaoks keskse tähtsusega teenuste osutamiseks. Nende laialdane kasutamine näitab, et ettevõtetel on neist õigusnormidele vastavuse tagamisel palju abi, ning eriti suureks abiks on need sellistele äriühingutele, kellel ei jätku ressursse selleks, et iga üksiklepingu üle äripartneritega läbirääkimisi pidada. Kuna lepingu tüüptingimused on standardsed ja eelnevalt heaks kiidetud, on äriühingutel neid hõlbus kasutada, et tagada andmete edastamisel andmekaitsenõuete täitmine. Praegu kehtivad lepingu tüüptingimused on võetud vastu ja heaks kiidetud 1995. aasta direktiivi alusel. Need jäävad kehtima seniks, kuni neid komisjoni otsusega vajaduse korral muudetakse, need asendatakse või kehtetuks tunnistatakse (üldmääruse artikli 46 lõige 5). Üldmäärusega laiendatakse lepingu tüüptingimuste kasutusvõimalusi nii ELi-siseselt kui ka rahvusvahelise andmeedastuse puhul. Komisjon teeb sidusrühmadega koostööd nende võimaluste kasutamiseks ja praeguste tingimuste ajakohastamiseks. Tulevaste lepingu tüüptingimuste eesmärgipärasuse tagamiseks on komisjon kogunud tagasisidet sidusrühmade kogemuste kohta seoses lepingu tüüptingimustega nii üldmääruse paljusid sidusrühmi hõlmava eksperdirühma kaudu kui ka 2019. aasta septembris sel teemal korraldatud seminaril, samuti arvukate kontaktide kaudu lepingu tüüptingimusi kasutavate äriühingutega ja kodanikuühiskonna organisatsioonidega. Andmekaitsenõukogu ajakohastab praegu mitut suunist, mis võivad olla lepingu tüüptingimuste läbivaatamisel asjakohased, näiteks seoses vastutava ja volitatud töötleja mõistega. Saadud tagasiside põhjal on komisjoni talitused asunud lepingu tüüptingimusi läbi vaatama. Selle käigus on ilmnenud mitu valdkonda, kus on parandamisruumi, eriti seoses järgnevaga: 1.lepingu tüüptingimuste ajakohastamine, et võtta arvesse üldmäärusega kehtestatud uusi nõudeid näiteks seoses üldmääruse artiklile 28 vastava vastutava ja volitatud töötleja suhtlusega (eelkõige seoses volitatud töötleja kohustustega), andmeimportija kohustustega läbipaistvuse tagamisel (seoses andmesubjektile esitatava vajaliku teabega) jne; 2.mitme praeguste tüüptingimustega hõlmamata andmeedastuse stsenaariumi arvessevõtmine, nagu näiteks andmete edastamine ELis asuvalt volitatud töötlejalt ELi-välisele volitatud (all)töötlejale, aga ka näiteks juhtudel, kus vastutav töötleja asub väljaspool ELi; 3.töötlemistoimingute reaalsem kajastamine tänapäeva digitaalmajanduses, kuna need toimingud hõlmavad sageli mitut andmeimportijat ja -eksportijat, pikki ja tihti keerukaid töötlusahelaid, muutuvaid ärisuhteid jne. Selliste olukordade lahendamiseks kaalutakse mitmesuguseid võimalusi, nagu lepingu tüüptingimuste mitmepoolse allkirjastamise võimaldamine või uute poolte liitumine lepinguga selle kehtivusaja jooksul. Nendes küsimustes kaalub komisjon ka võimalusi lepingu tüüptingimuste praeguse struktuuri kasutajasõbralikumaks muutmiseks, näiteks asendades mitu lepingu tüüptingimuste kogumit üheainsa kõikehõlmava dokumendiga. Lahendamist vajab küsimus, kuidas tagada sobiv tasakaal selgusvajaduse ja teatava standardsuse ning vajaliku paindlikkuse vahel, mis võimaldaks tüüptingimusi kasutada paljudel ettevõtjatel, kelle vajadused, tegevuskeskkond ja andmeedastuse laad on erinevad. Veel üks oluline küsimus, millele tuleb mõelda, kui pidada silmas praegu Euroopa Kohtus pooleliolevat vaidlust, on võimalik vajadus veelgi täpsustada kaitsemeetmeid, mis on seotud välismaiste ametiasutuste juurdepääsuga lepingu tüüptingimuste alusel edastatud andmetele, eriti riigi julgeoleku eesmärgil. Sellega seoses võib tekkida vajadus, et andmeimportija või -eksportija või mõlemad võtaksid meetmeid ja selgitaksid andmekaitseasutuste ülesandeid sellisel juhul. Ehkki lepingu tüüptingimuste läbivaatamisega on jõutud juba kaugele, tuleb oodata Euroopa Kohtu otsust, ja vajadusel kaaluda täiendavate nõuete kajastamist läbivaadatud tingimustes, enne kui uute lepingu tüüptingimuste otsuse eelnõu saab esitada arvamuse saamiseks andmekaitsenõukogule ja seejärel teha ettepaneku selle vastuvõtmiseks komiteemenetluse alusel. Samal ajal suhtleb komisjon sarnaseid vahendeid välja töötavate rahvusvaheliste partneritega. Selline dialoog, mis võimaldab kogemuste ja parimate tavade vahetamist, võib aidata märkimisväärselt kaasa andmekaitsenormide lähenemisele n-ö rohujuuretasandil ning seega hõlbustada piiriülese andmeedastuse nõuete täitmist maailma eri piirkondades tegutsevate äriühingute jaoks. ·Siduvad kontsernisisesed eeskirjad Veel üks oluline abivahend on nn siduvad kontsernisisesed eeskirjad. Need on õiguslikult siduvad eeskirjad ja kokkulepped, mida kohaldatakse kontserni liikmete, sealhulgas nende töötajate suhtes (üldmääruse artikli 46 lõike 2 punkt b ja artikkel 47). Siduvate kontsernisiseste eeskirjade kasutamine võimaldab vabalt edastada isikuandmeid kontserni liikmete vahel kogu maailmas, ilma et kontserni üksustel oleks vaja selleks sõlmida omavahelisi lepinguid, ning samas on tagatud isikuandmete kaitse nõuete range järgimine kogu kontsernis. Need on eriti hea lahendus keeruka struktuuriga suurkorporatsioonide jaoks ja võimaldavad teha tihedat koostööd ettevõtetel, kes vahetavad andmeid mitme riigi vahel. Erinevalt 1995. aasta direktiivist võimaldab üldmäärus kasutada siduvaid kontsernisiseseid eeskirju ka ettevõtete rühmadel, kes tegelevad ühise majandustegevusega, ent ei kuulu samasse kontserni. Menetluskord on selline, et siduvad kontsernisisesed eeskirjad peab heaks kiitma pädev andmekaitseasutus, lähtudes andmekaitsenõukogu mittesiduvast arvamusest. Selle protsessi suunamiseks on andmekaitsenõukogu üldmääruse kohaldamist silmas pidades vaadanud läbi siduvate kontsernisiseste eeskirjade juhendid (milles on kehtestatud sisulised nõuded) vastutavate ja volitatudtöötlejate jaoks ning jätkab nende dokumentide ajakohastamist, lähtudes järelevalveasutuste omandatud praktilistest kogemustest. Samuti on andmekaitsenõukogu võtnud vastu mitmesuguseid suuniseid taotlejate abistamiseks ja siduvate kontsernisiseste eeskirjade taotlus- ja heakskiitmisprotsessi lihtsustamiseks. Andmekaitsenõukogu teatel on siduvaid kontsernisiseseid eeskirju praegu heakskiitu ootamas üle 40 ja pooled neist loodetakse heaks kiita 2020. aasta lõpuks. Andmekaitseasutused peavad kindlasti jätkama tööd heakskiitmisprotsessi edasise lihtsustamisega, sest sidusrühmad on tihti maininud, et menetluse pikkus on komistuskiviks, mis takistab siduvate kontsernisiseste eeskirjade laialdasemat kasutuselevõttu.

Lõpetuseks: Ühendkuningriigi andmekaitseasutuse Information Commissioner Office poolt heaks kiidetud siduvaid kontsernisiseseid eeskirju saavad ettevõtjad jätkuvalt kasutada üldmääruse sätetele vastava andmeedastuse mehhanismina ka pärast Ühendkuningriigi väljaastumislepingu kohase üleminekuperioodi lõppu, kuid ainult juhul, kui neid muudetakse sellisel viisil, et mis tahes viited Ühendkuningriigi õiguskorrale asendatakse asjakohaste viidetega kontserni ELis asuvatele üksustele ja pädevatele asutustele. Mis tahes uute siduvate kontsernisiseste eeskirjade vastuvõtmisel tuleb nende heakskiitmiseks pöörduda mõne ELis asuva järelevalveasutuse poole. ·Sertifitseerimismehhanismid ja tegevusjuhendid Lisaks olemasolevate andmeedastusvahendite kasutusvõimaluste ajakohastamisele ja laiendamisele on üldmäärusega loodud ka uusi vahendeid, laiendades rahvusvahelise andmeedastuse võimalusi. See hõlmab ka teatavatel tingimustel pakutavat võimalust tagada asjakohaste kaitsemeetmete kohaldamine heakskiidetud tegevusjuhendite ja sertifitseerimismehhanismide (nt privaatsuse kaitset kinnitavad pitserid või märgised) kasutamisega. Need on ettevõttest lähtuvad vahendid, mis võimaldavad individuaalsete lahenduste väljatöötamist ja mida saab kasutada nii üldise vastutuse mehhanismina (vt üldmääruse artikleid 40–42) kui ka konkreetselt rahvusvaheliste andmevoogude kaitsmiseks ning mis võimaldavad võtta arvesse näiteks konkreetse sektori või majandusharu või konkreetsete andmevoogude erijooni ja -vajadusi. Kuna tegevusjuhendid aitavad kohustusi riskide alusel kohandada, on neist väga palju kasu ka VKEdele, kes saavad nii oma kohustusi täita kulutasuvamalt. Sertifitseerimismehhanismide kohta on andmekaitsenõukogu võtnud vastu küll suunised, mis toetavad nende ELi-sisest kasutamist, kuid kriteeriumide väljatöötamine sertifitseerimismehhanismide heakskiitmiseks rahvusvahelise andmeedastuse vahenditena on veel käimas. See kehtib ka tegevusjuhendite kohta, mille kasutamiseks andmeedastusvahendina töötab andmekaitsenõukogu praegu välja suuniseid. Pidades silmas, kui oluline on pakkuda ettevõtjatele laias valikus andmeedastusvahendeid, mis on kohandatud nende vajadustega, ning eriti sertifitseerimismehhanismide potentsiaali andmeedastuse hõlbustamiseks viisil, mille puhul on tagatud kaitse kõrge tase, kannustab komisjon andmekaitsenõukogu viima võimalikult kiiresti lõpule töö vastavate suuniste väljatöötamisel. See hõlmab nii sisulisi (kriteeriumid) kui ka menetluslikke (heakskiitmine, järelevalve jne) tahke. Sidusrühmad on näidanud nende andmeedastusvahendite vastu üles suurt huvi ja neile tuleks luua võimalus kasutada kõiki üldmäärusega ette nähtud vahendeid. Andmekaitsenõukogu suunistest oleks abi ka ELi andmekaitsemudeli propageerimisel kogu maailmas ja lähenemise toetamisel, kuna teised privaatsust tagavad süsteemid kasutavad sarnaseid vahendeid. Palju on õppida senisest tööst privaatsusvaldkonna standardimise alal nii Euroopa kui ka rahvusvahelisel tasandil. Üks huvitav näide on hiljuti avaldatud rahvusvaheline standard ISO 27701, mis aitab ettevõtjatel privaatsusnõudeid täita ja isikuandmete töötlemisega seotud riske juhtida privaatsusteabe haldussüsteemi abil. Ehkki kõnealuse standardi kohane sertifitseerimine iseenesest ei vasta üldmääruse artiklite 42 ja 43 nõuetele, saab privaatsusteabe haldussüsteemide kasutamisega suurendada vastutust, muu hulgas ka rahvusvahelisel andmeedastusel. ·Rahvusvahelised lepingud ja halduskokkulepped Avaliku sektori asutuste vahelisel andmeedastusel võimaldab üldmäärus tagada asjakohaste kaitsemeetmete kohaldamise rahvusvaheliste lepingute (artikli 46 lõike 2 punkt a) või halduskokkulepete (artikli 46 lõike 3 punkt b) alusel. Ehkki mõlemad vahendid peavad andma kaitsemeetmete kohaldamisel samad tagatised, sh andmesubjektide kohtulikult kaitstavad õigused ja tõhusad õiguskaitsevahendid, erinevad nad oma juriidilise olemuse ja vastuvõtmise menetluse poolest. Erinevalt rahvusvahelistest lepingutest, millest tulenevad rahvusvahelise avaliku õiguse alusel siduvad kohustused, on halduskokkulepped (nt vastastikuse mõistmise memorandumi kujul) harilikult mittesiduvad ja nõuavad seetõttu pädeva andmekaitseasutuse eelnevat heakskiitu (vt ka üldmääruse põhjendus 108). Üks varane näide on seotud halduskokkuleppega isikuandmete edastamiseks Rahvusvahelises Väärtpaberijärelevalve Organisatsioonis koostööd tegeva EMPs asuvate ja EMP-väliste finantsjärelevalve asutuste vahel, mille kohta andmekaitsenõukogu andis oma arvamuse 2019. aasta algul. Hiljem on andmekaitsenõukogu kujundanud välja oma tõlgenduse minimaalsete kaitsemeetmete kohta, mille kohaldamise avaliku sektori asutuste (sh rahvusvaheliste organisatsioonide) vahelised rahvusvahelised (koostöö)lepingud ja halduskokkulepped peavad üldmääruse artikli 46 sätetele vastamiseks tagama. 18. jaanuaril 2020 võttis andmekaitsenõukogu vastu suuniste eelnõu, tulles sellega vastu liikmesriikide soovile saada täpsemaid selgitusi ja suuniseid selle kohta, mida võib avaliku sektori asutuste vahelisel andmeedastusel pidada asjakohasteks kaitsemeetmeteks. Andmekaitsenõukogu soovitab tugevalt, et avaliku sektori asutused lähtuksid kolmandate isikutega läbirääkimisi pidades nendest suunistest. Suunised näitavad, et kõnealused vahendid on kavandatud paindlikuna, sh ka sellistes tähtsates küsimustes nagu järelevalve ja õiguskaitse. See peaks aitama avaliku sektori asutustel lahendada näiteks selliseid küsimusi, kuidas mittesiduvate kokkulepetega tagada andmesubjektide kohtulikult kaitstavad õigused. Selliste kokkulepete tähtsaks osaks on nende pidev järelevalve pädeva andmekaitseasutuse poolt, mida toetavad teabe- ja andmekogumise nõuded, ning andmevoogude peatamine, kui asjakohaste kaitsemeetmete kohaldamist ei ole enam võimalik praktikas tagada. Erandid Lõpetuseks selgitab üldmäärus ka nn erandite kasutamist. Need on seadusega tunnustatud alused andmete edastamiseks (nt sõnaselge nõusolek, lepingu täitmine või avalikust huvist tulenevad kaalukad põhjused), millele üksused saavad muude andmeedastusvahendite puudumisel ja teatavatel tingimustel tugineda. Selliste seadusega tunnustatud aluste kasutamise selgitamiseks on andmekaitsenõukogu avaldanud konkreetsed suunised ja tõlgendanud artiklit 49 mitme konkreetse andmeedastuse stsenaariumiga seotud juhtumi puhul. Erandite erakorralise olemuse tõttu leiab andmekaitsenõukogu, et erandeid tuleb tõlgendada piiravalt ja üksikjuhtumite kaupa. Rangele tõlgendamisele vaatamata hõlmavad kõnealused alused laia valikut andmeedastuse stsenaariume, eelkõige sellist andmeedastust nii avaliku sektori asutuste kui ka erasektori ettevõtjate poolt, mida on vaja „avalikust huvist tulenevatel kaalukatel põhjustel“, näiteks andmeedastus konkurentsi-, finantsjärelevalve-, maksu- ja tolliasutuste või sotsiaalkindlustuse ja rahvatervise valdkonna pädevate asutuste vahel (nt nakkushaiguste puhul nakatunuga kokku puutunud isikute kindlakstegemiseks või spordist dopingu kaotamiseks). Teine valdkond hõlmab piiriülest koostööd õiguskaitseasutustega kriminaalasjades, eriti seoses raskete kuritegudega. Andmekaitsenõukogu on selgitanud, et ehkki asjaomane avalik huvi peab olema ELi või liikmesriikide õigusaktidega tunnustatud, võib artikli 49 lõike 1 punkti d kohase avaliku huvi olemasolu hindamisel „üheks näitajaks olla sellise rahvusvahelise lepingu või konventsiooni olemasolu, millega tunnustatakse konkreetseid eesmärke ja nähakse ette rahvusvaheline koostöö kõnealuse eesmärgi edendamiseks, kui EL või liikmesriigid on asjaomase lepingu või konventsiooni osalised“. Välismaiste kohtute või ametiasutuste otsused: ei ole alus andmeedastuseks Lisaks sätetele, millega nähakse ette andmeedastuse lubatud alused, on üldmääruse V peatüki artiklis 48 selgitatud ka seda, et väljaspool ELi asuva kohtu määrus ja haldusasutuse otsus iseenesest selliseks aluseks ei ole, välja arvatud juhul, kui neid tunnustatakse või need on täitmisele pööratavad rahvusvahe