P7_TA(2014)0219

Isikuandmete töötlemine kuritegude tõkestamise eesmärgil ***I

Euroopa Parlamendi 12. märtsi 2014. aasta seadusandlik resolutsioon ettepaneku kohta võtta vastu Euroopa Parlamendi ja nõukogu direktiiv üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta (COM(2012)0010 – C7-0024/2012 – 2012/0010(COD))

(Seadusandlik tavamenetlus: esimene lugemine)

(2017/C 378/59)

Euroopa Parlament,

(1) ELT C 192, 30.6.2012, lk 7.

P7_TC1-COD(2012)0010

Euroopa Parlamendi seisukoht, vastu võetud esimesel lugemisel 12. märtsil 2014. aastal eesmärgiga võtta vastu Euroopa Parlamendi ja nõukogu direktiiv 2014/…/EL üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta

EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2,

võttes arvesse Euroopa Komisjoni ettepanekut,

olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele,

võttes arvesse Euroopa Andmekaitseinspektori arvamust (1),

toimides seadusandliku tavamenetluse kohaselt (2)

ning arvestades järgmist:

(1) Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. Harta artikli 8 lõikes 2 on sätestatud, et selliseid andmeid tuleb töödelda asjakohaselt ning kindlaksmääratud eesmärkidel ja asjaomase isiku nõusolekul või muul seaduses ettenähtud õiguslikul alusel. [ME 1]

(2) Isikuandmete töötlemine on mõeldud teenima inimkonda ning üksikisikute kaitse põhimõtete ja eeskirjadega nende isikuandmete töötlemisel tuleks füüsiliste isikute rahvusest ja elukohast sõltumata austada nende põhiõigusi ja -vabadusi, eelkõige õigust isikuandmete kaitsele. Isikuandmete töötlemine peaks kaasa aitama vabadusel, turvalisusel ja õigusel rajaneva ala arendamisele.

(3) Kiire tehnoloogiline areng ja üleilmastumine tekitavad isikuandmete kaitsel uusi probleeme. Andmete kogumise ja jagamise ulatus on märkimisväärselt suurenenud. Tehnoloogia võimaldab pädevatel asutustel kasutada isikuandmeid oma eesmärkide saavutamiseks enneolematus ulatuses.

(4) See nõuab , kui see on vajalik ja proportsionaalne, ELi pädevate asutuste vahelise andmete liikumise ning nende kolmandatele riikidele ja rahvusvahelisele organisatsioonile edastamise hõlbustamist, tagades isikuandmete kõrgetasemelise kaitse. Need muudatused nõuavad ELi isikuandmete kaitse raamistiku tugevdamist ja ühtlustamist ning selle täitmise parandamist. [ME 2]

(5) Kõikide isikuandmete töötlemise toimingute suhtes liikmesriikide avalikus ja erasektoris kohaldatakse Euroopa Parlamendi ja nõukogu direktiivi 95/46/EÜ (3). Seda ei kohaldata isikuandmete töötlemise suhtes, kui see toimub sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks tegevused kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

(6) Kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas töödeldavate isikuandmete suhtes kohaldatakse nõukogu raamotsust 2008/977/JSK (4). Käesoleva raamotsuse reguleerimisala on piiratud liikmesriikide vahel edastatud ja kättesaadavaks tehtud isikuandmete töötlemisega.

(7) Kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö tulemuslikkuse huvides on eriti oluline tagada üksikisikute isikuandmete kõrgetasemelise kaitse ja lihtsustada isikuandmete vahetamist liikmesriikide pädevate asutuste vahel. Selleks tuleb liikmesriikides ühtlustada üksikisikute õiguste ja vabaduste kaitse taset isikuandmete töötlemisel kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine terves ELis. Tõhusaks isikuandmete kaitseks terves ELis tuleks tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate kohustusi, aga ka nendele vastavaid volitusi isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel. [ME 3]

(8) Euroopa Liidu toimimise lepingu artikli 16 lõikega 2 volitatakse Euroopa Parlamenti ja nõukogu kehtestama eeskirju üksikisikute kaitse kohta seoses isikuandmete töötlemisega, samuti selliste andmete vaba liikumise eeskirju. [ME 4]

(9) Sellest lähtudes on Euroopa Parlamendi ja nõukogu määruses (EL) nr …/2014 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) sätestatud üldeeskirjad füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise soodustamiseks liidus.

(10) Lissaboni lepingu vastuvõtnud valitsustevahelise konverentsi lõppaktile lisatud deklaratsioonis nr 21 (isikuandmete kaitse kohta kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas) tunnistas konverents, et kriminaalasjades tehtava politsei- ja õigusalase koostöö laadi tõttu on arvatavasti vaja vastu võtta Euroopa Liidu toimimise lepingu artiklil 16 põhinevad erieeskirjad neis valdkondades töödeldavate isikuandmete kaitse ja selliste andmete vaba liikumise kohta.

(11) Seetõttu tuleks vastu võtta nende valdkondade eripära arvestav konkreetne direktiiv ning sätestada eeskirjad, mis käsitlevad üksikisikute kaitset seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil. [ME 5]

(12) Selleks et tagada terves liidus ühesugune üksikisikute kohtulikult kaitstavate õiguste kaitse tase ning saavutada, et erinevused ei takistaks isikuandmete vahetamist pädevate asutuste vahel, tuleks käesolevas direktiivis sätestada ühtsed eeskirjad kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö raames töödeldavate isikuandmete kaitse ja selliste andmete vaba liikumise kohta.

(13) Käesoleva direktiivi põhimõtete kohaldamisel on võimalik arvesse võtta ametlike dokumentide üldise kättesaadavuse põhimõtet.

(14) Käesoleva direktiiviga pakutav kaitse peaks laienema füüsiliste isikute isikuandmete töötlemisele, olenemata asjaomase isiku kodakondsusest või elukohast.

(15) Üksikisikute kaitse peaks olema tehnoloogiliselt neutraalne ega tohiks sõltuda kasutatud vahenditest, vastasel juhul tekib märkimisväärne oht, et eeskirjade täitmisest hoitakse kõrvale. Üksikisikuid tuleks kaitsta isikuandmete automatiseeritud töötlemisel ning isikuandmete automatiseerimata töötlemisel, kui andmed sisalduvad toimikusüsteemis või kui nad hiljem kantakse toimikusüsteemi. Käesoleva direktiivi reguleerimisalasse ei peaks kuuluma toimikud, toimikute kogumid ega nende esilehed, mis ei ole teatavate kriteeriumide kohaselt korrastatud. Käesolevat direktiivi ei tuleks kohaldada, isikuandmete töötlemise suhtes muu kui liidu õiguse reguleerimisalasse kuuluva tegevuse käigus, eriti seoses riigi julgeoleku tagamisega, ega nende töötlemise suhtes liidu institutsioonides, organites ja asutustes nagu Europol ja Eurojust. Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 45/2001 (5) ning liidu ametite, organite ja asutuste suhtes kohaldatavad õigusaktid tuleks käesoleva direktiiviga kooskõlla viia ning neid tuleks kohaldada käesoleva direktiivi kohaselt. [ME 6]

(16) Kaitsepõhimõtteid tuleks kohaldada igasuguse teabe suhtes, mis käsitleb tuvastatud või tuvastatavat füüsilist isikut. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib üksikisiku tuvastamiseks või eristamiseks tõenäoliselt kasutada. Isikuandmete kaitse põhimõtteid ei tuleks kohaldada teabe suhtes, mis on muudetud anonüümseks selliselt, et andmesubjekti ei ole enam võimalik tuvastada. Käesolevat direktiivi ei tohiks kohaldada anonüümsete andmete suhtes, mida ei saa seostada otseselt ega kaudselt, eraldi ega seonduvate andmetega kombineeritult füüsilise isikuga. Arvestades seda, kui olulised on infoühiskonnas toimuvad arengud, tehnoloogiad, mida kasutatakse, et koguda, edastada, töödelda, salvestada, säilitada või vahendada füüsiliste isikutega seotud asukohaandmeid, mida võidakse kasutada erinevatel eesmärkidel, sealhulgas järelevalve või profiilide loomine, peaks käesolev direktiiv olema kohaldatav andmetöötluse suhtes, mis hõlmab selliseid isikuandmeid. [ME 7]

(16a) Isikuandmete igasugune töötlemine peab olema seaduslik, andmesubjektide suhtes õiglane ja läbipaistev. Eelkõige peaksid olema selged ja õiguspärased andmete töötlemise konkreetsed eesmärgid, mis tuleb kindlaks määrata isikuandmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma töötlemise otstarbe seisukohalt minimaalselt vajalikuga. See nõuab eelkõige kogutavate andmete ja perioodi, mille vältel andmeid säilitatakse, piiramist rangelt minimaalsena. Isikuandmeid tuleks töödelda ainult siis, kui nende töötlemise eesmärki ei ole võimalik saavutada muude vahendite abil. Selleks et tagada, et ebatäpsed andmed parandatakse või kustutatakse, tuleks võtta kõik mõistlikud meetmed. Selle tagamiseks, et andmeid ei säilitataks vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. [ME 8]

(17) Terviseandmete hulka kuuluvad eelkõige kõik andmesubjekti tervislikku seisundit käsitlevad andmed; teave üksikisiku registreerimise kohta temale tervishoiuteenuste osutamise eesmärgil; üksikisikuga seonduv teave tervishoiuteenuse eest tasumise või tema õiguse kohta saada tervishoiuteenuseid; number, tähis või eritunnus, mis on üksikisikule määratud tema tuvastamiseks tervishoiuga seotud eesmärkidel; mis tahes teave üksikisiku kohta, mida on kogutud temale tervishoiuteenuste osutamise käigus; teave, mida on saadud mingi kehaosa või kehast pärineva aine, sealhulgas bioloogiliste proovide kontrollimise või uurimise tulemusena; teave isikule tervishoiuteenuse osutaja kohta; ning igasugune teave näiteks haiguse, puude, haigestumisohu, haigusloo, kliinilise ravi ja andmesubjekti tegeliku füsioloogilise ja biomeditsiinilise olukorra kohta sõltumata selle allikast (näiteks arst või muu tervishoiutöötaja, haigla, meditsiiniseade või in vitro diagnostika).

(18) Isikuandmete töötlemine peab olema andmesubjektide suhtes õiglane ja seaduslik. Eelkõige peaks andmete töötlemisel olema selgelt sõnastatud konkreetsed eesmärgid. [ME 9]

(19) Kuritegude tõkestamiseks, uurimiseks ja nende eest vastutusele võtmiseks peavad pädevad asutused konkreetsete kuritegude tõkestamise, uurimise, avastamise või kuritegude eest vastutusele võtmise käigus kogutud isikuandmeid säilitama ja töötlema muuks otstarbeks, et oleks võimalik mõista kuritegevuse ilminguid ja suundumusi, koguda teavet organiseeritud kuritegelike võrgustike kohta ning erinevaid kuritegusid omavahel seostada. [ME 10]

(20) Isikuandmeid ei tohiks töödelda eesmärkidel, mis on vastuolus andmete kogumise eesmärkidega. Isikuandmed peaksid olema piisavad ja asjakohased ning mitte ületama selle otstarbe piire, mille tarvis neid töödeldakse. Selleks et tagada, et ebatäpsed andmed kustutatakse või parandatakse, tuleks võtta kõik mõistlikud meetmed. [ME 11]

(20a) Tõsiasjast, et mõlemad kaks eesmärki on seotud kuritegude ennetamise, uurimise, avastamise, kuritegude eest vastutusele võtmise ja kriminaalkaristuste täideviimisega, ei tulene tingimata, et need on omavahel kooskõlas. Esineb siiski juhtumeid, kus edasine töötlemine vastuolulistel eesmärkidel peaks olema võimalik, kui seda on vaja vastutava töötleja seadusjärgse kohustuse täitmiseks, andmesubjekti või teise isiku eluliste huvide kaitsmiseks või avalikku korda ähvardava vahetu ja tõsise ohu tõkestamiseks. Liikmesriikidel peaks olema seetõttu võimalik vastu võtta siseriiklikke õigusnorme, mis sätestavad kõnealused erandid rangelt vajalikus ulatuses. Sellised siseriiklikud õigusnormid peaksid hõlmama piisavaid kaitsemeetmeid. [ME 12]

(21) Võttes arvesse asjaomase töötlemise laadi ja eesmärki, tuleks kohaldada andmete täpsuse põhimõtet. Eelkõige kohtumenetluses antakse isikuandmeid sisaldavaid ütlusi, mis põhinevad isikute subjektiivsel ettekujutusel toimunust ning mida alati ei saa kontrollida. Seetõttu ei tohiks täpsuse nõue puudutada tunnistuse täpsust, vaid üksnes tõsiasja, et konkreetne tunnistus on antud.

(22) Tõlgendades ja kohaldades üldpõhimõtteid, millel põhineb üksikisikute kaitse isikuandmete töötlemisel pädevate asutuste poolt kuritegude tõkestamiseks, uurimiseks, avastamiseks, kuritegude eest vastutusele võtmiseks ja kriminaalkaristuste täitmisele pööramiseks, tuleks arvesse võtta valdkonna eripära, sealhulgas taotletavaid eesmärke. [ME 13]

(23) Kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö käigus töödeldakse väga erinevatesse kategooriatesse kuuluvate andmesubjektide isikuandmeid. Seetõttu tuleks võimalust mööda selgelt eristada selliste andesubjektikategooriate isikuandmeid nagu kahtlusalused, kuriteos süüdi mõistetud isikud ja kuriteo ohvrid ning kolmandad isikud, nagu tunnistajad ja asjakohast teavet omavad isikud ning kahtlusaluste ja süüdi mõistetud kurjategijate kontaktisikud ja kaasosalised. Liikmesriigid peaksid kehtestama selle kategooriatesse liigitamise tagajärgede kohta erieeskirjad, võttes arvesse andmete kogumise eri eesmärke ja sätestades konkreetsed kaitsemeetmed isikutele, kes ei ole kahtlustatavad ja keda ei ole kuriteos süüdi mõistetud. [ME 14]

(24) Võimaluse korral tuleks eristada isikuandmeid nende täpsuse ja usaldusväärsuse alusel. Et tagada üksikisikute kaitse ning pädevate asutuste töödeldava teabe kvaliteet ja usaldatavus, tuleks fakte eristada hinnangutest.

(25) Selleks et isikuandmete töötlemine oleks seaduslik, peab peaks see olema lubatud ainult siis, kui see on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks või toimuma pädeva asutuse seadusliku ja avalikes huvides oleva ülesande täitmiseks, andmesubjekti või teise isiku eluliste huvide kaitsmiseks või avalikku korda ähvardava tõsise ja vahetu ohu ennetamiseks liidu või liikmesriigi õiguse alusel , mis peaks sisaldama sõnaselgeid ja üksikasjalikke sätteid vähemalt eesmärkide, isikuandmete, konkreetsete eesmärkide ja vahendite kohta, määrama või lubada määrata vastutav töötleja, menetlused, mida tuleb järgida, igale pädevatele asutustele seoses andmetöötlemisega antud kaalutlusõiguse kasutamise ja ulatuse piirangud . [ME 15]

(25a) Isikuandmeid ei tohiks töödelda eesmärgil, mis on vastuolus eesmärgiga, milleks andmeid koguti. Edasist pädevate asutuste poolset töötlemist eesmärgil, mis kuulub käesoleva direktiivi reguleerimisalasse ning mis ei ole kooskõlas esialgse eesmärgiga, tuleks lubada ainult erijuhtudel, kui selline töötlemine on vajalik õigusliku kohustuse järgimiseks liidu või liikmesriigi õiguse alusel, mida kohaldatakse vastutava töötleja suhtes, või selleks, et kaitsta andmesubjekti või muu isiku elulisi huve või et vältida vahetut ja tõsist ohtu avalikule korrale. Tõsiasjast, et andmeid töödeldakse õiguskaitse otstarbel, ei tulene tingimata, et see otstarve on esialgse otstarbega kooskõlas. Kooskõlas kasutamise mõistet tuleb tõlgendada kitsalt. [ME 16]

(25b) Isikuandmeid, mida on töödeldud käesoleva direktiivi kohaselt vastu võetud siseriiklikke õigusnorme rikkudes, ei tohi enam töödelda. [ME 17]

(26) Erilist kaitset vajavad sellist laadi isikuandmed, mis on Oma loomult põhiõiguste ja eraelu puutumatuse seisukohast eriti tundlikud, nagu geneetilised andmed ja haavatavad isikuandmed vajavad erilist kaitset . Selliseid andmeid ei tohiks töödelda muidu, kui ainult juhul, kui töötlemine on iseäranis lubatud seadusega vajalik avalikes huvides teostatava ülesande täitmiseks eesmärgil , mis on sätestatud liidu või liikmesriigi õiguse alusel, milles nähakse ette sobivad meetmed andmesubjekti põhiõiguste ja õiguspäraste huvide kaitsmiseks, või kui töötlemine on vajalik andmesubjekti või teise isiku eluliste huvide kaitsmiseks või kui töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud. Tundlikke isikuandmeid tuleks töödelda ainult juhul, kui need täiendavad õiguskaitse eesmärgil juba töödeldud muid isikuandmeid. Erandite tegemist tundlike andmete töötlemise keelust tuleks tõlgendada kitsalt ning sellega ei tohiks kaasneda tundlike isikuandmete sagedast, ulatuslikku või struktuurset töötlemist. [ME 18]

(26a) Geneetiliste andmete töötlemist võib lubada ainult juhul, kui on olemas geneetiline seos, mis ilmneb kriminaaluurimise või kohtumenetluse käigus. Geneetilisi andmeid tuleks säilitada ainult niikaua, kui on rangelt vajalik selliste uurimiste ja menetluste otstarbel, samal ajal võivad liikmesriigid kehtestada pikema säilitamise tähtaja käesolevas direktiivis sätestatud tingimuste alusel. [ME 19]

(27) Igal füüsilisel isikul peaks olema õigus sellele , et tema suhtes ei võeta üksnes automaattöötlusel kohaldata osaliselt või täielikult automatiseeritud töötlemise teel tehtaval profiilianalüüsil põhinevat ja talle kahjulike õiguslike tagajärgedega meedet . Selline töötlemine , mis põhjustab õiguslikke tagajärgi sellele isikule või mõjutab teda oluliselt, tuleb keelata, välja arvatud juhul, kui seda võimaldab õigus ning ühtlasi on kehtestatud piisavad meetmed , et kaitsta andmesubjekti põhiõigusi ja õigustatud huvide kaitsmiseks huve, sealhulgas õigust saada sisulist teavet profiilianalüüsi aluseks olnud põhimõtete kohta . Selline töötlemine ei tohiks mingil juhul sisaldada andmete säilitamist, genereerimist ega diskrimineerimist andmete erikategooriate alusel. [ME 20]

(28) Selleks et andmesubjekt saaks oma õigusi kasutada, peaks temale esitatav teave olema lihtsalt kättesaadav, arusaadav ning selgelt ja arusaadavalt sõnastatud. Kõnealust teavet tuleks kohandada andmesubjekti vajadustega, eelkõige kui teave on spetsiaalselt lapsele suunatud. [ME 21]

(29) Tuleks ette näha kord, millega lihtsustatakse käesoleva direktiivi alusel andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil saab tasuta taotleda eelkõige juurdepääsu andmetele ning õigust andmeid parandada ja kustutada. Vastutav töötleja peaks olema kohustatud andmesubjekti taotlustele vastama põhjendamatu viivituseta ja ühe kuu jooksul alates taotluse saamise kuupäevast . Isikuandmete automatiseeritud töötlemisel peaks vastutav töötleja tegema kättesaadavaks vahendid, millega saab taotluse esitada elektrooniliselt. [ME 22]

(30) Õiglase ja läbipaistva töötlemise põhimõtte kohaselt tuleks andmesubjekti teavitada eelkõige töötlemistoimingu tegemisest ja selle eesmärkidest, selle õiguslikust alusest, andmete säilitamise tähtajast, õigusest andmetega tutvuda ja neid muuta või kustutada ning õigusest esitada kaebus. Lisaks tuleks andmesubjekti teavitada profiilianalüüsi tegemisest ja selle kavandatavatest tagajärgedest. Kui andmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud andmeid esitama, ja andmete esitamata jätmise tagajärgedest. [ME 23]

(31) Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle asjaoludest olenevalt kas kogumise ajal või kui andmeid ei saada andmesubjektilt, siis töötlemise konkreetseid asjaolusid arvestades andmete salvestamise ajal või mõistliku ajavahemiku jooksul pärast nende kogumist.

(32) Selleks et töötlemisest teada ja kontrollida selle seaduslikkust, peaks igaühel olema õigus tutvuda tema kohta kogutud andmetega ja õigus selle õiguse lihtsale kasutamisele. Seetõttu peaks igal andmesubjektil olema õigus teada eelkõige andmete töötlemise eesmärke, õiguslikku alust, ajavahemikku ja andmete vastuvõtjaid, sealhulgas kolmandates riikides, ning saada eelneva kohta teavet ja arusaadavat infot mis tahes automatiseeritud töötlemises aluseks olnud põhimõtete ning sellise töötlemise oluliste kavandatavate tagajärgede kohta, samuti õiguse kohta esitada kaebus järelevalveasutusele ja saada järelevalveasutuse kontaktandmed . Andmesubjektil peaks olema võimalik saada koopia teda käsitlevatest töödeldavatest isikuandmetest. [ME 24]

(33) Liikmesriigil tuleks asjaomase isiku põhiõigusi ja õigustatud huvisid nõuetekohaselt arvestades lubada võtta seadusandlikke meetmeid, millega nähakse ette andmesubjektile teabe hilisem või piiratud esitamine või esitamata jätmine sellises ulatuses ja seni, kuni selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede teenistuslike või õiguslike uurimiste, juurdluste või menetluste takistamise vältimiseks, kuritegude ennetamise, uurimise, avastamise või kuritegude eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramisele kahjustamise vältimiseks ning riigi julgeoleku või andmesubjekti kaitseks või teiste isikute õiguste ja vabaduste kaitseks. Vastutav töötleja peaks iga konkreetse juhtumi puhul eraldi ja individuaalse uurimise käigus hindama, kas tuleks kohaldada osalist või täielikku andmetega tutvumise õiguse piirangut. [ME 25]

(34) Andmesubjekti teavitatakse kirjalikult juurdepääsu keelamisest või piiramisest ning sellise otsuse faktilistest ja õiguslikest põhjustest.

(34a) Andmesubjekti õiguste igasugune piiramine peab olema kooskõlas Euroopa Liidu põhiõiguste harta ning Euroopa inimõiguste ja põhivabaduste kaitse konventsiooniga, nagu on selgitatud Euroopa Liidu Kohtu ja Euroopa Inimõiguste Kohtu kohtupraktikas, ning eelkõige tuleb seejuures austada õiguste ja vabaduste põhiolemust. [ME 26]

(35) Juhul kui liikmesriik on võtnud seadusandlikke meetmeid andmesubjekti juurdepääsuõiguse täielikuks või osaliseks piiramiseks, peaks andmesubjektil olema õigus taotleda riigi pädevalt järelevalveasutuselt töötlemise seaduslikkuse kontrollimist. Andmesubjekti tuleks sellest õigusest teavitada. Kui järelevalveasutus kasutab juurdepääsuõigust andmesubjekti nimel, peaks järelevalveasutus teatama andmesubjektile vähemalt seda, et ta on teostanud kogu vajaliku kontrolli, ning seda, millisele järeldusele ta jõudis kõnealuse töötlemise seaduslikkuse küsimuses. Järelevalveasutus peaks ühtlasi teavitama andmesubjekti õigusest kasutada õiguskaitsevahendit. [ME 27]

(36) Igal isikul peaks olema õigus tema isikuandmete parandamisele, kui need ei ole korrektsed või kui neid on töödeldud ebaseaduslikult ja isikuandmete kustutamisele, kui andmete töötlemine ei ole kooskõlas käesolevas direktiivis sätestatud peamiste põhimõtetega käesoleva direktiivi sätetega . Andmete parandamisest, täiendamisest või kustutamisest tuleks teavitada vastuvõtjaid, kellele andmed on avaldatud, ning kolmandaid isikuid, kellelt ebatäpsed pärinevad. Samuti peaksid vastutavad töötlejad hoiduma selliste andmete edasisest levitamisest. Isikuandmete töötlemise suhtes kriminaalasja kohtueelses ja kohtulikus menetluses võib teabe ja juurdepääsu ning isikuandmete kustutamise ja nende töötlemise piiramise õigust teostada vastavalt kohtumenetlust käsitlevatele siseriiklikele õigusnormidele. [ME 28]

(37) Tuleks kehtestada vastutava töötleja laialdane vastutus temapoolse ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Vastutav töötleja peaks eelkõige tagama, et ta töötleb isikuandmeid vastavalt käesoleva direktiivi alusel vastuvõetud õigusnormidele , ning talle tuleks kehtestada kohustus seda tõendada . [ME 29]

(38) Andmesubjektide õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab vajalike tehniliste ja korralduslike meetmete võtmist, et tagada käesoleva direktiivi nõuete täitmine. Käesoleva direktiivi alusel kehtestatud õigusnormide täitmise tagamiseks peaks vastutav töötleja võtma vastu eeskirjad ja rakendama asjakohaseid meetmeid vastavalt eelkõige isikuandmete lõimitud ja vaikimisi kaitse põhimõtetele.

(39) Andmesubjektide õiguste ja vabaduste kaitse ning vastutavate töötlejate ja volitatud töötlejate vastutuse tagamiseks tuleb käesoleva direktiiviga selgelt kindlaks määrata vastutuse jaotus, sealhulgas juhtudel, kui isikuandmete töötlemise eesmärgid, tingimused ja vahendid määrab kindlaks vastutav töötleja koos teiste vastutavate töötlejatega ning kui töötlemistoimingut teostatakse vastutava töötleja nimel. Andmesubjektil peab olema õigus kasutada oma käesoleva direktiivi kohaseid õigusi iga kaasvastutava töötleja suhtes või tema vastu. [ME 30]

(40) Vastutav töötleja ja volitatud töötleja peaksid töötlemistoimingud dokumenteerima, et võimaldada jälgida käesoleva direktiivi täitmist. Vastutavad töötlejad ja volitatud töötlejad peaksid olema kohustatud tegema järelevalveasutusega koostööd ja tegema nimetatud dokumendid taotluse korral kättesaadavaks, et neid saaks kasutada nimetatud töötlemistoimingute kontrollimiseks.

(40a) Iga isikuandmete töötlemistoiming tuleb registreerida, et võimaldada kontrollida andmetöötlemise seaduslikkust, sisekontrolli ning tagada andmete nõuetekohane terviklikkus ja turvalisus. Kõnealune registreerimine tuleb taotluse korral teha järelevalveasutusele kättesaadavaks, et teostada järelevalvet käesolevas direktiivis sätestatud eeskirjadele vastavuse üle. [ME 31]

(40b) Kui on tõenäoline, et töötlemistoimingud kujutavad endast konkreetseid ohte andmesubjektide õigustele ja vabadustele nende laadi, ulatuse või eesmärkide tõttu, peavad vastutav töötleja või volitatud töötleja teostama andmekaitse mõjuhinnangu, mis peaks konkreetsemalt sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme, et tagada isikuandmete kaitse ja tõendada vastavust käesolevale direktiivile. Mõjuhinnangud peavad hõlmama isikuandmete töötlemistoimingute asjaomaseid süsteeme ja menetlusi, kuid mitte üksikuid juhtumeid. [ME 32]

(41) Selleks et ennetavate meetmetega tagada andmesubjekti õiguste kaitse, peaks vastutav töötleja või volitatud töötleja teatavatel juhtudel enne isikuandmete töötlemise algust konsulteerima järelevalveasutusega. Lisaks peab juhul, kui andmekaitse mõjuhinnang osutab, et on tõenäoline, et töötlemistoimingud kujutavad konkreetseid suuri ohte andmesubjektide õigustele ja vabadustele, järelevalveasutus suutma vältida enne toimingute alustamist riskantset töötlemist, mis ei vasta käesolevale direktiivile, ja teha ettepanekuid sellise olukorra parandamiseks. Selline konsulteerimine võib toimuda ka siis, kui valmistatakse ette kas liikmesriigi parlamendi meedet või sellisel õigusaktil põhinevat meedet, millega määratakse kindlaks töötlemise laad ja nähakse ette vajalikud kaitsemeetmed. [ME 33]

(41a) Turvalisuse tagamiseks ja käesoleva direktiivi vastase töötlemise vältimiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohte ja rakendama meetmeid asjaomaste riskide leevendamiseks. Võttes arvesse tehnika taset ja meetmete rakenduskulusid, tuleks kõnealuste meetmetega tagada vajalik turvalisuse tase, mis vastaks ohtudele ja kaitstavate isikuandmete laadile. Kui kehtestatakse tehnilisi standardeid ja organisatsioonilisi meetmeid andmetöötluse turvalisuse tagamiseks, tuleks edendada tehnoloogilise neutraalsuse põhimõtet. [ME 34]

(42) Isikuandmetega seotud rikkumine rikkumisega võib asjaomasele üksikisikule kaasneda oluline majanduslik ja sotsiaalne kahju , sealhulgas identiteedipettus, kui sellega piisavalt ja õigeaegselt ei tegeleta, võib asjaomasele üksikisikule põhjustada olulist majanduslikku ja sotsiaalset kahju ning rikkuda tema mainet tegelda . Seetõttu peaks vastutav töötleja teatama sellisest rikkumisest riigi pädevale asutusele niipea, kui ta sellest teada saab. Üksikisikut, kelle isikuandmeid või eraelu võib rikkumine kahjustada, tuleks põhjendamatu viivituseta viivitamata teavitada, et ta saaks võtta tarvitusele vajalikke ettevaatusabinõusid. Andmesubjekti isikuandmeid ja eraelu puutumatust kahjustavaks rikkumiseks tuleks pidada sellist rikkumist, mille tulemuseks võib olla identiteedivargus või pettus, füüsiline kahju, märkimisväärne alandamine või maine kahjustamine seoses isikuandmete töötlemisega. Teatis peaks sisaldama teavet meetmete kohta, mida teenuseosutaja võtab seoses rikkumisega, ja soovitusi abonendile või asjaomasele üksikisikule. Teatised tuleks edastada andmesubjektile nii kiiresti kui võimalik ja tihedas koostöös järelevalveasutusega ning austades suuniseid, mida see asutus on väljastanud. [ME 35]

(43) Isikuandmetega seotud rikkumisest teatamise vormide ja korra kohta üksikasjalike eeskirjade koostamisel tuleks arvesse võtta rikkumise asjaolusid, sealhulgas seda, kas isikuandmed olid kaitstud asjakohaste tehniliste kaitsemeetmetega, et tõhusalt vähendada väärkasutuse tõenäosust. Lisaks tuleks sellistes eeskirjades ja sellises korras võtta arvesse pädevate asutuste õigustatud huvi juhtudel, kui varajane avalikustamine võib tarbetult takistada rikkumise asjaolude uurimist.

(44) Vastutav töötleja või volitatud töötleja peaks määrama isiku, kes abistab teda käesoleva direktiivi alusel kehtestatud õigusnormide täitmise kontrollimisel ja tõendamisel . Pädeva Kui keskse asutuse mitme üksuse jaoks võib määrata ühe järelevalve all tegutseb mitu pädevat asutust, peab vähemalt see keskne asutus määrama sellise andmekaitseametniku. Andmekaitseametnikel peab olema võimalik täita oma ülesandeid sõltumatult ja tulemuslikult , eelkõige koostades eeskirjad, millega välditakse huvide konflikti teiste ülesannetega, mida täidab andmekaitseametnik . [ME 36]

(45) Liikmesriigid peaksid tagama, et isikuandmeid edastatakse kolmandale riigile ainult juhul, kui see konkreetne edastamine on vajalik kuritegude tõkestamiseks, uurimiseks, avastamiseks või kuritegude eest vastutusele võtmiseks või kriminaalkaristuste täitmisele pööramiseks ning kui kolmanda riigi vastutav töötleja või rahvusvaheline organisatsioon on käesoleva direktiivi tähenduses pädev avaliku sektori asutus. Isikuandmeid võib edastada, kui komisjon on teinud otsuse, et kolmas riik või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme, või kui on kehtestatud piisavad kaitsemeetmed või kui on kehtestatud piisavad kaitsemeetmed õiguslikult siduva vahendi abil . Kolmanda riigi pädevatele avaliku sektori asutustele edastatud andmeid ei tohiks hiljem töödelda eesmärkidel, mis erinevad nende andmete edastamise eesmärkidest. [ME 37]

(45a) Andmete vahendatud edastamine kolmandate riikide pädevate asutuste või rahvusvaheliste organisatsioonide poolt, kellele on isikuandmed edastatud, peaks olema lubatud üksnes juhul, kui andmete vahendatud edastamine on vajalik samal erieesmärgil nagu algne edastamine ning teine andmete vastuvõtja on samuti pädev avaliku sektori asutus. Hiliseimaid vahendatud edastamisi ei tohiks lubada üldistel õiguskaitse põhjustel. Algse edastamise teostanud pädev asutus peaks vahendatud edastamiseks nõusoleku andma.

(46) Komisjon võib teha terves ELis kohaldatava otsuse, et teatavad kolmandad riigid, kolmanda riigi territoorium või töötlemissektor või rahvusvaheline organisatsioon pakub isikuandmete kaitset piisaval tasemel, tagades seega terves ELis õiguskindluse ja ühtsuse seoses kolmandate riikide ja rahvusvaheliste organisatsioonidega, mis tagavad isikuandmete kaitse piisava taseme. Sellisel juhul võib isikuandmeid kõnealustesse riikidesse edastada ilma täiendava loata. [ME 38]

(47) Kooskõlas põhiväärtustega, millele EL on rajatud, eelkõige inimõiguste kaitsmisega, peaks komisjon arvesse võtma seda, kuidas asjaomane kolmas riik peab kinni õigusriigi ja õiguskaitse kättesaadavuse põhimõtetest ning rahvusvahelistest inimõiguste normidest ja standarditest.

(48) Komisjonil peaks olema võimalus tunnistada, et kolmanda riigi, kolmanda riigi territooriumi või töötlemissektori või rahvusvahelise organisatsiooni isikuandmete kaitse tase ei ole piisav. Sellest tulenevalt tuleks isikuandmete edastamine kõnealusele kolmandale riigile keelata, välja arvatud juhul, kui isikuandmeid edastatakse vastavalt rahvusvahelisele lepingule või piisavate kaitsemeetmete kehtestamisel või erandina. Sellisel juhul tuleks ette näha komisjoni ja sellise kolmanda riigi või rahvusvahelise organisatsiooni vahelise konsulteerimise kord. Komisjoni sellist otsust kohaldatakse, ilma et see piiraks võimalust isikuandmeid edastada pärast asjakohaseid õiguslikult siduvate vahendite abil asjakohaste kaitsemeetmete võtmist või käesolevas direktiivis sätestatud erandina. [ME 39]

(49) Isikuandmete edastamine ilma piisava kaitse otsuseta peaks olema lubatud ainult juhul, kui õiguslikult siduvas dokumendis on sätestatud isikuandmete kaitseks asjakohased kaitsemeetmed või kui vastutav töötleja või volitatud töötleja, olles hinnanud kõiki andmete edastamisega seotud asjaolusid, leiab, et isikuandmete kaitseks vajalikud kaitsemeetmed on võetud. Juhtumite puhul, mil isikuandmete edastamiseks puudub alus, tuleks lubada teha erandeid, kui edastamine on vajalik andmesubjekti või teise isiku eluliste huvide kaitsmiseks ja andmesubjekti õigustatud huvi kaitsmiseks vastavalt andmeid edastava liikmesriigi õigusele, kui andmete edastamine on vajalik liikmesriigi või kolmanda riigi avalikku korda ähvardava vahetu ja tõsise ohu vältimiseks või kui edastamine on vajalik konkreetsete kuritegude tõkestamiseks, uurimiseks, avastamiseks, kuritegude eest vastutusele võtmiseks ja kriminaalkaristuste täitmisele pööramiseks ning konkreetsete õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. [ME 40]

(49a) Juhtudel, kui puudub alus, mis lubaks andmete edastamist, tuleks vajaduse korral lubada erandeid, et kaitsta andmesubjekti või muu isiku elulisi huvisid või tagada andmesubjekti õiguspärased huvid, kui isikuandmeid edastava liikmesriigi õiguses on nii sätestatud või kui see on oluline, et vältida vahetut ja tõsist ohtu liikmesriigi või kolmanda riigi avalikule korrale, või üksikutel juhtudel kuritegude ennetamiseks, uurimiseks, avastamiseks või menetlemiseks või kriminaalkaristuste täitmisele pööramiseks või üksikutel juhtudel õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. Selliseid erandeid tuleb tõlgendada kitsalt ning need ei tohiks võimaldada isikuandmete sagedast, ulatuslikku ja struktuurset edastamist ega andmete täielikku edastamist, vaid peaks piirduma rangelt vajalike andmetega. Lisaks peab otsuse edastamise kohta tegema nõuetekohaselt volitatud isik ja kõnealune edastamine tuleb dokumenteerida ning teha järelevalveasutusele taotluse korral kättesaadavaks, et jälgida edastamise seaduslikkust. [ME 41]

(50) Isikuandmete liikumine üle piiride võib raskendada üksikisikute võimalusi kasutada oma isikuandmete kaitse õigust, et kaitsta end andmete ebaseadusliku kasutamise ja avalikustamise eest. Järelevalveasutusel aga võib osutuda võimatuks käsitleda kaebusi ja teostada uurimist muus riigis tehtud tegude suhtes. Nende piiriülese koostöö püüdlusi võivad takistada ka tõkestamiseks ja kaitsemeetmete võtmiseks ebapiisavad volitused ning ebaühtlane õiguskord. Seepärast on vaja tihendada isikuandmete kaitse järelevalve asutuste koostööd, et nad saaksid vahetada teavet teiste riikide järelevalveasutustega.

(51) Liikmesriikides täiesti sõltumatult oma tööülesandeid täitvate järelevalveasutuste loomine on oluline, et kaitsta üksikisikuid seoses isikuandmete töötlemisega. Järelevalveasutused peaksid jälgima käesoleva direktiivi kohaldamist ja aitama kaasa selle ühtsele kohaldamisele terves ELis, et kaitsta füüsilisi isikuid nende isikuandmete töötlemisel. Selleks peaksid järelevalveasutused üksteisega koostööd tegema koostööd üksteise ja komisjoniga. [ME 42]

(52) Liikmesriigid võiksid lubada määruse (EL) nr …/2014 kohaselt liikmesriikides juba loodud järelevalveasutustel täita käesoleva direktiivi kohaselt loodavate riiklike järelevalveasutuste ülesandeid.

(53) Liikmesriikidel peaks olema õigus luua mitu järelevalveasutust vastavalt nende põhiseaduslikule, organisatsioonilisele ja haldusstruktuurile. Igale järelevalveasutusele tuleks anda piisavad rahalised ja inimressursid, hooned ja infrastruktuur, sealhulgas tagada tehniline suutlikkus, kogemused ja oskused, mis on vajalikud nende ülesannete, sealhulgas terve ELi järelevalveasutustega tehtava koostöö ja vastastikuse abiga seotud ülesannete täitmiseks. [ME 43]

(54) Järelevalveasutuse liikmetele esitatavad üldtingimused tuleks kehtestada igas liikmesriigis seadusega, milles on eelkõige ette nähtud, et liikmed nimetab ametisse kas liikmesriigi parlament või valitsus parlamendiga konsulteerimise alusel , ning sätestatud liikmete isikliku kvalifikatsiooni ja ametiseisundi nõuded. [ME 44]

(55) Kuigi käesolevat määrust kohaldatakse ka liikmesriikide kohtute tegevuse suhtes, ei tohiks järelevalveasutuste pädevus hõlmata isikuandmete töötlemist kohtutes, kes tegutsevad oma õigusliku pädevuse piires, et kaitsta kohtunike sõltumatust nende ülesannete täitmisel. Kõnealune erand peaks siiski piirduma õiguskaitseasutuste tegevusega kohtuasjades ega tohiks laieneda muule tegevusele, millega kohtunikud on seotud vastavalt siseriiklikele õigusaktidele.

(56) Selleks et tagada kogu liidus ühtlane järelevalve käesoleva direktiivi üle ja selle ühtlane täitmine, peaksid järelevalveasutustel olema kõikides liikmesriikides samad ülesanded ja volitused, sealhulgas uurimis- tõhusad uurimisvolitused , volitused pääseda juurde kõigile isikuandmetele ja kogu teabele, mida on vaja iga järelevalveülesande täitmiseks, volitused pääseda kõikidesse andmete vastutava töötleja või volitatud töötleja hoonetesse, sealhulgas seoses andmetöötlemisvahenditele, ning õiguslikult siduva sekkumise, otsuste tegemise ja sanktsioonide kehtestamise volitused, eelkõige üksikisikute esitatud kaebuste puhul, ning volitused osaleda kohtumenetlustes. [ME 45]

(57) Järelevalveasutus peaks andmesubjekti esitatud kaebuse vastu võtma ja küsimust uurima. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ning selle tulemus peaks olema võimalik kohtulikult läbi vaadata. Järelevalveasutus peaks teavitama andmesubjekti kaebuse menetlemise käigust ja tulemusest mõistliku aja jooksul. Kui juhtum vajab täiendavat uurimist või kooskõlastamist mõne teise järelevalveasutusega, tuleks sellest teatada andmesubjektile.

(58) Järelevalveasutused peaksid abistama üksteist ülesannete täitmisel ja andma vastastikust abi, et tagada käesoleva direktiivi alusel vastuvõetud õigusnormide järjekindel kohaldamine ja täitmine. Kõik järelevalveasutused peaksid olema valmis osalema ühistoimingutes. Taotluse saanud järelevalveasutus peaks olema kohustatud taotlusele vastama kindlaksmääratud ajavahemiku jooksul. [ME 46]

(59) Määrusega (EL) nr …/2012 2014 asutatud Euroopa Andmekaitsenõukogu peaks aitama kaasa käesoleva direktiivi ühtsele kohaldamine terves ELis, sealhulgas nõustades komisjoni liidu institutsioone ja edendades järelevalveasutuste koostööd terves ELis , ning esitama komisjonile oma arvamuse käesoleval direktiivil põhinevate delegeeritud õigusaktide ja rakendusaktide ettevalmistamisel . [ME 47]

(60) Igal andmesubjektil peaks olema õigus esitada kaebus ükskõik millise liikmesriigi järelevalveasutusele ja õigus õiguskaitsevahendile, kui ta on seisukohal, et tema käesolevast direktiivist tulenevaid õigusi on rikutud või kui järelevalveasutus ei reageeri kaebusele ega võta meetmeid juhul, kui need on vajalikud andmesubjekti õiguste kaitsmiseks.

(61) Mis tahes asutusel, organisatsioonil ja ühingul, mille eesmärk on kaitsta andmesubjekti andmete kaitsega seonduvaid õigusi mis tegutseb avalikes huvides ja huve ja mis on loodud liikmesriigi õiguse kohaselt, peaks olema õigus esitada järelevalveasutusele kaebus või kasutada andmesubjekti nõuetekohase volituse alusel andmesubjekti nimel õigust õiguskaitsevahendile või esitada andmesubjekti kaebusest sõltumatult oma kaebus, kui ta leiab, et on toimunud isikuandmetega seotud rikkumine. [ME 48]

(62) Kui järelevalveasutus teeb otsuse füüsilise või juriidilisel isiku kohta, peaks isikul olema õigus õiguskaitsevahendile sellise otsuse suhtes. Hagi järelevalveasutuse vastu tuleks esitada selle liikmesriigi kohtutele, kus järelevalveasutus asub.

(63) Kohtumenetluste tulemuslikkuse tagamiseks peaksid liikmesriigid tagama, et käesoleva direktiivi rikkumise heastamise või ärahoidmise meetmeid saaks võtta kiiresti.

(64) Kahju, sealhulgas mittevaraline kahju, mida üksikisikule võib põhjustada ebaseaduslik töötlemine, peaks kompenseerima vastutav töötleja või volitatud töötleja, kes siiski võidakse sellest kohustusest vabastada, eelkõige kui ta tõestab, et kahju ei ole põhjustanud tema, vaid andmesubjekt ise või vääramatu jõud. [ME 49]

(65) Igale füüsilisele isikule ja eraõiguslikule või avalik-õiguslikule juriidilisele isikule, kes ei järgi käesolevat direktiivi, tuleks määrata karistus. Liikmesriigid peaksid tagama, et karistused on tõhusad, proportsionaalsed ja hoiatavad ning võtma kõik meetmed karistuste täitmisele pööramiseks.

(65a) Liidus on isikuandmete edastamine teistele asutustele või eraõiguslikele isikutele keelatud, välja arvatud juhul, kui edastamine on õigusega kooskõlas ja vastuvõtja on asutatud liikmesriigis ja edastamist ei takista andmesubjekti õiguspärased konkreetsed huvid ning edastamine on vajalik andmeid edastava vastutava töötleja jaoks temale seaduslikult määratud ülesande täitmiseks või avaliku korra jaoks vahetu ja tõsise ohu vältimiseks või üksikisikute õigustele tõsise kahju vältimiseks. Vastutav töötleja peab teavitama vastuvõtjat töötlemise eesmärgist ja järelevalveasutust andmete edastamisest. Samuti tuleb vastuvõtjat teavitada töötlemispiirangutest ja tagada, et neid piiranguid täidetakse. [ME 50]

(66) Selleks et täita käesoleva direktiivi eesmärke, täpsemalt kaitsta füüsiliste isikute põhiõigusi ja -vabadusi, eelkõige nende õigust isikuandmete kaitsele, ning tagada ELis isikuandmete vaba vahetamine pädevate asutuste vahel, tuleks komisjonile anda Euroopa Liidu toimimise lepingu artikli 290 kohane õigus võtta vastu delegeeritud õigusakte. Delegeeritud õigusaktidega tuleks eelkõige reguleerida järelevalveasutuse teavitamist täpsustada andmekaitsealast mõjuhinnangut nõudva töötlemise kriteeriume ja tingimusi ning isikuandmetega seotud rikkumistest rikkumiste ja kolmanda riigi, kolmanda riigi territooriumi või töötlemissektori või rahvusvahelise organisatsiooni isikuandmete kaitse piisava taseme kriteeriume ja tingimusi . On eriti oluline, et komisjon viiks oma ettevalmistava töö käigus läbi asjakohaseid konsultatsioone, sealhulgas ekspertide tasandil ja eriti Euroopa Andmekaitsenõukoguga . Komisjon peaks delegeeritud õigusaktide ettevalmistamise ja koostamise ajal ettevalmistamisel ja koostamisel tagama asjakohaste asjaomaste dokumentide sama- ja õigeaegse ning asjakohase samaaegse, õigeaegse ja kohase edastamise Euroopa Parlamendile ja nõukogule. [ME 51]

(67) Et tagada ühetaolised tingimused käesoleva määruse rakendamiseks, tuleks komisjonile anda rakendusvolitused järgnevates valdkondades: vastutava töötleja ja volitatud töötleja poolne dokumenteerimine, töötlemise turvalisus ja eelkõige krüpteerimisstandardid, ja järelevalveasutuse teavitamine isikuandmetega seotud rikkumisest ning kolmanda riigi, kolmanda riigi territooriumi või töötlemissektori või rahvusvahelise organisatsiooni isikuandmete kaitse piisava taseme kindlakstegemine. Kõnealuseid volitusi tuleks kasutada vastavalt Euroopa Parlamendi ja nõukogu 16. veebruari 2011. aasta määrusele (EL) nr 182/2011, millega kehtestatakse eeskirjad ja üldpõhimõtted, mis käsitlevad liikmesriikide läbiviidava kontrolli mehhanisme, mida kohaldatakse komisjoni rakendamisvolituste teostamise suhtes (6). [ME 52]

(68) Vastutava töötleja ja volitatud töötleja poolse dokumenteerimise, Töötlemise turvalisuse ja isikuandmetega seotud rikkumisest järelevalveasutusele teatamise, kolmanda riigi, kolmanda riigi territooriumi või töötlemissektori või rahvusvahelise organisatsiooni isikuandmete kaitse piisava taseme alaste üldist laadi meetmete vastuvõtmiseks tuleks kasutada kontrollimenetlust. [ME 53]

(69) Nõuetekohaselt põhjendatud juhtudel, mis on seotud kolmanda riigi, kolmanda riigi territooriumi või töötlemissektori või rahvusvahelise organisatsiooni ebapiisava isikuandmete kaitse tasemega, peaks komisjon olukorra tungiva kiireloomulisuse korral vastu võtma viivitamata kohaldatavad rakendusaktid. [ME 54]

(70) Kuna käesoleva direktiivi eesmärki, nimelt kaitsta füüsiliste isikute põhiõigusi ja -vabadusi, eelkõige nende õigust isikuandmete kaitsele, ning tagada liidus isikuandmete vaba vahetamine pädevate asutuste vahel, ei suuda liikmesriigid üksi piisavalt saavutada ning selle ulatuse ja toime tõttu on eesmärki parem saavutada ELi tasandil, võib EL võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kõnealuses artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev direktiiv kaugemale, kui on vajalik kõnealuste eesmärkide saavutamiseks. Liikmesriigid võivad kehtestada käesolevas direktiivis kehtestatust rangemaid standardeid. [ME 55]

(71) Raamotsus 2008/977/JSK tuleks käesoleva direktiiviga tunnistada kehtetuks.

(72) Käesolev direktiiv ei tohiks mõjutada pädevate asutuste poolset isikuandmete töötlemist kuritegude tõkestamiseks, uurimiseks ja avastamiseks ning kuritegude eest vastutusele võtmiseks ja kriminaalkaristuste täitmisele pööramiseks käsitlevaid erisätteid, mis on ette nähtud enne käesoleva direktiivi jõustumise kuupäeva vastu võetud liidu õigusaktides, millega reguleeritakse liikmesriikide vahelist isikuandmete töötlemist ja liikmesriigi määratud asutuste juurdepääsu aluselepingute kohaselt loodud infosüsteemidele. Kuna harta artiklist 8 ja ELi toimimise lepingu artiklist 16 tuleneb, et põhiõigust isikuandmete kaitsmisele tuleks tagada järjekindlal ja ühtsel viisil kogu liidus, peaks komisjon peaks kahe aasta jooksul pärast käesoleva direktiivi jõustumist hindama olukorda, mis tuleneb seosest käesoleva direktiivi ja enne käesoleva direktiivi jõustumise kuupäeva vastuvõetud liidu õigusaktide vahel, millega reguleeritakse liikmesriikide vahelist isikuandmete töötlemist ja liikmesriigi määratud asutuste juurdepääsu aluselepingute aluslepingute kohaselt loodud infosüsteemidele ja peaks esitama asjakohased ettepanekud eesmärgiga tagada järjekindlad ja ühtsed õiguslikud eeskirjad, mis käsitlevad andmete töötlemist pädevate asutuste poolt või liikmesriikide määratud asutuste juurdepääsu infosüsteemidele, mis on loodud aluslepingute alusel, ja isikuandmete töötlemist liidu institutsioonide, asutuste, ametite ja agentuuride poolt kuritegude tõkestamise, uurimise, avastamise või kuritegude eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil käesoleva direktiivi reguleerimisala raames . [ME 56]

(73) Selleks et tagada isikuandmete igakülgne ja järjekindel kaitsmine terves liidus, tuleks kooskõlas käesoleva direktiiviga muuta rahvusvahelisi lepinguid, mille liit või liikmesriigid on sõlminud enne käesoleva direktiivi jõustumist. [ME 57]

(74) Käesolev direktiiv ei piira laste seksuaalse kuritarvitamise ja ärakasutamise ning lasteporno vastase võitluse eeskirju, mis on kehtestatud Euroopa Parlamendi ja nõukogu direktiiviga 2011/93/EL (7).

(75) Euroopa Liidu lepingule ja Euroopa Liidu toimimise lepingule lisatud protokolli nr 21 (Ühendkuningriigi ja Iirimaa seisukoha kohta vabadusel, turvalisusel ja õigusel rajaneva ala suhtes) artikli 6a kohaselt ei kohaldata Ühendkuningriigi ega Iirimaa suhtes käesoleva direktiiviga kehtestatud eeskirju, kui Ühendkuningriigi ja Iirimaa suhtes ei kohaldata eeskirju, mis käsitlevad õigusalast koostööd kriminaalasjades või politseikoostööd, mille raames tuleb järgida Euroopa Liidu toimimise lepingu artikli 16 alusel kehtestatud sätteid.

(76) Euroopa Liidu lepingule ja Euroopa Liidu toimimise lepingule lisatud Taani seisukohta käsitleva protokolli nr 22 artiklite 2 ja 2a kohaselt ei ole käesolev direktiiv Taani suhtes siduv ega kohaldatav. Arvestades, et käesolev direktiiv põhineb Euroopa Liidu toimimise lepingu kolmanda osa V jaotise alusel Schengeni acquis ’l, otsustab Taani kõnealuse protokolli artikli 4 kohaselt kuue kuu jooksul pärast käesoleva direktiivi vastuvõtmist, kas ta rakendab seda oma siseriiklikus õiguses. [ME 58]

(77) Islandi ja Norra puhul kujutab käesolev direktiiv endast Schengeni acquis’ sätete edasiarendamist Euroopa Liidu Nõukogu ning Islandi Vabariigi ja Norra Kuningriigi vahel sõlmitud lepingu (viimase kahe riigi osalemiseks Schengeni acquis’ sätete rakendamises, kohaldamises ja edasiarendamises) (8) tähenduses.

(78) Šveitsi puhul kujutab käesolev direktiiv endast Schengeni acquis’ sätete edasiarendamist Euroopa Liidu, Euroopa Ühenduse ja Šveitsi Konföderatsiooni vahelise lepingu (Šveitsi Konföderatsiooni ühinemise kohta Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega) (9) tähenduses.

(79) Liechtensteini puhul kujutab käesolev direktiiv endast Schengeni acquis’ sätete edasiarendamist Euroopa Liidu, Euroopa Ühenduse, Šveitsi Konföderatsiooni ja Liechtensteini Vürstiriigi vahel allakirjutatud protokolli (mis käsitleb Liechtensteini Vürstiriigi ühinemist Euroopa Liidu, Euroopa Ühenduse ja Šveitsi Konföderatsiooni vahelise lepinguga Šveitsi Konföderatsiooni ühinemise kohta Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega) (10) tähenduses.

(80) Käesolevas direktiivis peetakse kinni aluslepingus sätestatud ja hartaga tunnustatud põhiõigustest ja põhimõtetest, eelkõige õigusest era- ja perekonnaelu ja isikuandmete kaitsele, tõhusale õiguskaitsevahendile ning õiglasele kohtulikule arutamisele. Nende õiguste suhtes kehtestatud piirangud on kooskõlas harta artikli 52 lõikega 1, olles vajalikud liidu poolt tunnustatud üldist huvi pakkuvatele eesmärkide saavutamiseks ning teiste isikute õiguste ja vabaduste kaitsmiseks.

(81) Kooskõlas liikmesriikide ja komisjoni 28. septembri 2011. aasta ühise poliitilise avaldusega (11) selgitavate dokumentide kohta kohustuvad liikmesriigid lisama põhjendatud juhtudel ülevõtmismeetmeid käsitlevale teatele ühe või mitu dokumenti, milles selgitatakse seost direktiivi komponentide ja ülevõtvate siseriiklike õigusaktide vastavate osade vahel. Käesoleva direktiivi puhul leiab seadusandja, et selliste dokumentide edastamine on põhjendatud.

(82) Käesolev direktiiv ei tohiks takistada liikmesriikidel rakendada kriminaalmenetlust käsitlevates siseriiklikes õigusnormides andmesubjektide õigust saada teavet, õigust andmetega tutvuda, kriminaalmenetluse käigus töödeldavaid isikuandmeid parandada ja kustutada ning nende töötlemist piirata ega kehtestada nende õiguste piiranguid,

ON VASTU VÕTNUD KÄESOLEVA DIREKTIIVI:

I PEATÜKK

ÜLDSÄTTED

Artikkel 1

Reguleerimisese ja eesmärgid

1. Käesolevas direktiivis sätestatakse eeskirjad, mis käsitlevad üksikisikute kaitset isikuandmete töötlemisel pädevate asutuste poolt kuritegude tõkestamiseks, uurimiseks, avastamiseks, kuritegude eest vastutusele võtmiseks ja kriminaalkaristuste täitmisele pööramiseks , ning selliste isikuandmete vaba liikumise tingimused .

2. Käesoleva direktiivi alusel liikmesriigid:

a) kaitsevad füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust oma isikuandmete kaitsele ja eraelu puutumatusele , ning

b) tagavad, et pädevate ametiasutuste vahelist isikuandmete vahetamist liidus ei piirata ega keelata põhjustel, mis on seotud üksikisikute kaitsega isikuandmete töötlemisel.

2a. Käesolev direktiiv ei takista liikmesriike kehtestamast käesolevas direktiivis sätestatust rangemaid kaitsemeetmeid. [ME 59]

Artikkel 2

Reguleerimisala

1. Käesolevat direktiivi kohaldatakse pädevate ametiasutuste poolt isikuandmete töötlemisel artikli 1 lõikes 1 osutatud eesmärkidel.

2. Direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad toimikusüsteemi või kui need kavatsetakse toimikusüsteemi kanda.

3. Käesolevat direktiivi ei kohaldata, kui:

a) isikuandmeid töödeldakse muu kui liidu õiguse reguleerimisalasse kuuluva tegevuse käigus, eriti seoses riigi julgeoleku tagamisega;

b) isikuandmeid töötlevad liidu institutsioonid, organid ja asutused. [ME 60]

Artikkel 3

Mõisted

Käesolevas direktiivis kasutatakse järgmisi mõisteid:

(1) „andmesubjekt“ – füüsiline isik, kelle isikusamasus on tuvastatud või otseselt või kaudselt tuvastatav vahenditega, mida vastutav töötleja või mis tahes muu füüsiline või juriidiline isik tavaliselt kasutavad, nagu isikukood, asukohaandmed ja veebiidentifikaator, samuti üks või mitu isiku füüsilist, füsioloogilist, geneetilist, vaimset, majanduslikku, kultuurilist ja sotsiaalset tunnust;

(2) „isikuandmed“ – igasugune teave andmesubjekti tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt“) kohta; tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige tunnuse põhjal, nagu nimi, isikukood, elukohaandmed või ainulaadne tunnus, või ühe või mitme selle isiku füüsilisele, füsioloogilisele, geneetilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele või soolisele identiteedile omase teguri põhjal;

(2a) „muudetud nimega andmed“ – isikuandmed, mida ei saa lisateavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist lisateavet hoitakse eraldi ja seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid;

(3) „töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, salvestamine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute teostamine, lugemine, kasutamine, üleandmine, levitamine ja muul moel kättesaadavaks tegemine, ühitamine või ühendamine, piiramine, kustutamine ja hävitamine;

(3a) „profiilianalüüs“ – igasugune isikuandmete automatiseeritud töötlemine eesmärgiga hinnata füüsilise isiku teatavaid personaalseid tahke või analüüsida või prognoosida eeskätt selle füüsilise isiku töötulemusi, majanduslikku olukorda, asukohta, tervist, isiklikke eelistusi, käitumist või usaldusväärsust;

(4) „töötlemise piiramine“ – salvestatud isikuandmete markeerimine eesmärgiga piirata nende edaspidist töötlemist;

(5) „toimikusüsteem“ – isikuandmete korrastatud kogum, millest võib andmeid leida teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on tsentraliseeritud, detsentraliseeritud või funktsionaalsel või geograafilisel põhimõttel hajutatud;

(6) „vastutav töötleja“ – pädev avaliku sektori asutus, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid, tingimused ja vahendid; kui töötlemise eesmärgid, tingimused ja vahendid on kindlaks määratud liidu või liikmesriikide õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;

(7) „volitatud töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus või muu asutus või organ, kes töötleb isikuandmeid vastutava töötleja nimel;

(8) „vastuvõtja“ – füüsiline või juriidiline isik, avaliku sektori asutus või muu asutus või organ, kellele andmed avaldatakse;

(9) „isikuandmetega seotud rikkumine“ – turvanõuete rikkumine, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine ja loata avalikustamise avalikustamine või juurdepääs neile juurdepääsu;

(10) „geneetilised andmed“ – mis tahes liiki andmed isiku pärilike ja varajasel sünnieelsel arenguetapil kujunenud omaduste kohta;

(11) „biomeetrilised andmed“ – andmed isikuandmed isiku tuvastamist võimaldavate füüsiliste, füsioloogiliste ja käitumuslike omaduste kohta, näiteks näokujutis ja sõrmejäljeandmed;

(12) „terviseandmed“ – teave igasugused isikuandmed , mis käsitleb käsitlevad isiku füüsilist ja vaimset tervist ning isikule tervishoiuteenuse osutamist;

(13) „laps“ – alla 18aastane isik;

(14) „pädev ametiasutus“ – avaliku sektori asutus, kelle ülesanne on kuritegude tõkestamine, uurimine, avastamine, kuritegude eest vastutusele võtmine ja kriminaalkaristuste täitmisele pööramine.

(15) „järelevalveasutus“ – liikmesriigis vastavalt artiklile 39 asutatud avaliku sektori asutus. [ME 61]

II PEATÜKK

PÕHIMÕTTED

Artikkel 4

Isikuandmete töötlemise põhimõtted

Liikmesriigid sätestavad, et:

a) isikuandmeid töödeldakse seaduslikult, õiglaselt ning andmesubjekti suhtes läbipaistval ja seaduslikult kontrollitaval viisil ;

b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus;

c) isikuandmed on asjakohased, piisavad ja piiratud vajaliku miinimumiga ega ületa selle otstarbe piire, mille tarvis neid töödeldakse; neid töödeldakse ainult juhul ja seni, kuni otstarvet ei saa täita, töödeldes teavet, mis ei hõlma isikuandmeid;

d) isikuandmed on täpsed ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohalt ebatäpsed isikuandmed kustutakse või parandatakse viivitamata;

e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse;

f) isikuandmeid töödeldakse vastutava töötleja kohustuste raames ja vastutusel ning vastutav töötleja tagab ja on suuteline tõendama , et töötlemine vastab käesolevale direktiivile;

fa) isikuandmeid töödeldakse sellisel viisil, et see võimaldab andmesubjektil tõhusalt teostada oma artiklites 10–17 kirjeldatud õigusi;

fb) isikuandmeid töödeldakse viisil, millega kaitstakse loata ja ebaseadusliku töötlemise ning juhusliku kaotuse, hävimise või kahjustumise vastu, kasutades asjakohaseid tehnilisi ja korralduslikke meetmeid;

fc) isikuandmeid töötlevad ainult need pädevate asutuste nõuetekohaselt volitatud töötajad, kes peavad isikuandmeid töötlema oma ülesannete täitmiseks. [ME 62]

Artikkel 4a

Juurdepääs andmetele, mida esialgu töödeldi muudel kui artikli 1 lõikes 1 osutatud eesmärkidel

1. Liikmesriigid sätestavad, et ainult pädevatel asutustel võib olla juurdepääs isikuandmetele, mida esialgu töödeldi muudel kui artikli 1 lõikes 1 osutatud eesmärkidel, kui neid volitab selleks konkreetselt liidu või liikmesriigi õigus, mis peab vastama artikli 7 lõikes 1a sätestatud nõuetele, ja nad peavad tagama, et

a) juurdepääsu lubavad ainult nõuetekohaselt volitatud töötajad oma ülesannete täitmisel, juhul kui konkreetsel juhtumil annavad mõistlikud põhjused alust arvata, et isikuandmete töötlemine aitab oluliselt kaasa kuritegude tõkestamisele, uurimisele, avastamisele või nende eest vastutusele võtmisele või kriminaalkaristuste täitmisele pööramisele;

b) juurdepääsutaotlused on kirjalikud ja osutavad taotluse õiguslikule põhjusele;

c) kirjalik taotlus peab olema dokumenteeritud ning

d) rakendatakse asjakohaseid kaitsemeetmeid, et tagada põhiõiguste ja -vabaduste kaitsmine seoses isikuandmete töötlemisega. Kõnealused kaitsemeetmed ei tohi piirata isikuandmetele juurdepääsu eritingimusi, nagu kohtulik volitamine kooskõlas liikmesriigi õigusega, ning peavad neid täiendama.

2. Eraõiguslike isikute või muude avaliku sektori asutuste valduses olevatele isikuandmetele pääsetakse juurde üksnes kuritegude uurimiseks ja nende eest vastutusele võtmiseks vastavalt vajaduse ja proportsionaalsuse nõuetele, mis määratletakse liidu või riigisisese õiguse alusel, järgides täielikult artikli 7a sätteid. [ME 63]

Artikkel 4b

Säilitamise ja läbivaatamise ajalised piirangud

1. Liikmesriigid sätestavad, et pädevad asutused kustutavad isikuandmed, mida töödeldi käesoleva direktiivi kohaselt, kui need andmed ei ole enam vajalikud otstarbel, milleks neid töödeldi.

2. Liikmesriigid sätestavad, et pädevad asutused kehtestavad mehhanismid tagamaks, et luuakse artikli 4 kohased ajalised piirangud isikuandmete kustutamiseks ja andmete säilitamise vajaduse perioodiliseks läbivaatamiseks, sealhulgas säilitamise ajavahemike kindlaksmääramiseks isikuandmete eri kategooriate puhul. Kehtestatakse menetlusega seotud meetmed tagamaks, et järgitakse kõnealuseid ajalisi piiranguid või perioodilise läbivaatamise ajavahemikke. [ME 64]

Artikkel 5

Andmesubjektide erinevad kategooriad

1. Liikmesriigid sätestavad, et artikli 1 lõikes 1 osutatud eesmärkidel võivad pädevad asutused töödelda järgmiste eri kategooriate andmesubjektide isikuandmeid ja vastutav töötleja eristab selgelt neid kategooriaid järgmiselt:

a) isikud, kelle puhul on piisavalt alust arvata, et nad on toime pannud või võivad toime panna kurteo kuriteo ;

b) isikud, kes on kuriteos süüdi mõistetud;

c) kuriteoohvrid ja isikud, kelle puhul annavad asjaolud alust arvata, et nad langenud kuriteo ohvriks; ning

d) kuriteoga seotud kolmandad isikud, näiteks isikud, keda kuriteo uurimise või sellele järgneva kriminaalmenetluse käigus võidakse kutsuda tunnistusi andma, isikud, kellelt võib saada teavet kuriteo kohta, ning punktides a ja b osutatud isikute kontaktisikud ja nendega seotud isikud ning

e) isikud, kes ei kuulu ühtegi eespool nimetatud kategooriasse.

2. Muude kui lõikes 1 nimetatud andmesubjektide isikuandmeid võib töödelda ainult

a) nii kaua kui on vajalik konkreetse kuriteo uurimiseks või selle eest vastutusele võtmiseks, et hinnata andmete asjakohasust lõikes 1 osutatud ühe kategooria lõikes, või

b) kui selline töötlemine on hädavajalik konkreetsel ennetaval eesmärgil või kriminaaluurimise teostamiseks, juhul kui ja nii kaua kui eesmärk on seaduslik, selgelt piiritletud ja konkreetne ning töötlemine piirdub rangelt andmete asjakohasuse hindamisega lõikes 1 osutatud ühe kategooria puhul. Seda kontrollitakse regulaarselt vähemalt iga kuue kuu tagant. Isikuandmete igasugune muu kasutus on keelatud.

3. Liikmesriigid tagavad, et lõike 1 punktides c ja d osutatud andmesubjektide isikuandmete edasise töötlemise suhtes kohaldatakse täiendavaid piiranguid ja kaitsemeetmeid kooskõlas siseriikliku õigusega. [ME 65]

Artikkel 6

Erineva täpsuse ja usaldusväärsusega isikuandmed

1. Liikmesriigid tagavad, et võimalust mööda eristatakse töötlemisel eri liiki isikuandmeid nende töödeldavate isikuandmete täpsuse ja usaldusväärsuse alusel.

2. Liikmesriigid tagavad, et võimalust mööda eristatakse nende täpsuse ja usaldusväärsuse alusel faktidel põhinevaid isikuandmeid hinnangutel põhinevatest isikuandmetest.

2a. Liikmesriigid tagavad, et isikuandmeid, mis on ebatäpsed, puudulikud või mis ei ole enam ajakohased, ei edastata ega tehta kättesaadavaks. Selleks hindavad pädevad asutused enne isikuandmete edastamist või kättesaadavaks tegemist nende kvaliteeti. Andmete edastamisel lisatakse võimaluse korral olemasolev teave, mis võimaldab andmeid vastuvõtval liikmesriigil hinnata andmete täpsuse, täielikkuse, ajakohasuse ja usaldusväärsuse taset. Isikuandmeid, eriti algselt eraisiku valduses olnud andmeid, ei edastata ilma pädeva asutuse taotluseta.

2b. Kui ilmneb, et edastatud on ebatäpseid andmeid või andmeid on edastatud ebaseaduslikult, tuleb vastuvõtjat sellest viivitamata teavitada. Vastuvõtja on kohustatud andmed lõike 1 ja artikli 15 kohaselt viivitamata parandama või artikli 16 kohaselt kustutama. [ME 66]

Artikkel 7

Töötlemise seaduslikkus

1. Liikmesriigid sätestavad, et isikuandmete töötlemine on seaduslik ainult juhul ja niivõrd, kuivõrd see toimub liidu või liikmesriigi õiguse alusel artikli 1 lõikes 1 sätestatud eesmärkidel ning on vajalik:

a) pädeva astutuse seadusjärgse, artikli 1 lõike 1 kohase ülesande täitmiseks või

b) vastutava töötleja seadusjärgse kohustuse täitmiseks või

c) andmesubjekti või teise isiku eluliste huvide kaitsmiseks või

d) avalikku korda ähvardava tõsise ja vahetu ohu tõkestamiseks.

1a. Liikmesriigi õigus, millega reguleeritakse isikuandmete töötlemist käesoleva direktiivi reguleerimisalas, peab sisaldama sõnaselgeid ja üksikasjalikke sätteid, milles täpsustatakse vähemalt järgmised aspektid:

a) töötlemise eesmärgid;

b) töödeldavad isikuandmed;

c) töötlemise konkreetsed eesmärgid ja vahendid;

d) vastutava töötleja ametisse nimetamine või vastutava töötleja ametisse nimetamise erikriteeriumid;

e) need pädevate asutuste töötajate kategooriad, keda on nõuetekohaselt volitatud isikuandmeid töötlema;

f) töötlemisel järgitav menetlus;

g) omandatud isikuandmete kasutamise viis;

h) pädevatele asutustele seoses töötlemistoimingutega antud kaalutlusõiguse ulatuse piirangud. [ME 67]

Artikkel 7a

Täiendav töötlemine vastuolulistel eesmärkidel

1. Liikmesriigid tagavad, et isikuandmeid võib edasi töödelda muul kui artikli 1 lõikes 1 sätestatud eesmärgil, mis ei vasta otstarbele, milleks andmeid esialgu koguti, ainult juhul kui ja järgmises ulatuses:

a) eesmärk on demokraatlikus ühiskonnas tingimata vajalik ja proportsionaalne ning on õiguspärase, selgelt määratletud ja konkreetse eesmärgina sätestatud liidu või liikmesriigi õiguses;

b) töötlemisel on rangelt piiratud tähtaeg, mis ei ületa konkreetse andmetöötlustoimingu tegemiseks kuluvat aega;

c) keelatud on igasugune edasine kasutamine teistel eesmärkidel.

Enne mis tahes töötlemist, peab liikmesriik konsulteerima riigi pädeva järelvalveasutusega ja viima läbi andmekaitse mõjuhinnangu.

2. Lisaks artikli 7 lõikes 1a sätestatud nõuetele sisaldab liikmesriigi õigus, millega lubatakse edasist töötlemist, millele on osutatud lõikes 1, sõnaselgeid ja üksikasjalikke sätteid, mis täpsustavad vähemalt järgmist:

a) selle teatud töötlemise konkreetsed eesmärgid ja vahendid;

b) juurdepääsu lubavad ainult nõuetekohaselt volitatud töötajad oma ülesannete täitmisel, juhul kui konkreetsel juhtumil annavad mõistlikud põhjused alust arvata, et isikuandmete töötlemine aitab oluliselt kaasa kuritegude tõkestamisele, uurimisele, avastamisele või nende eest vastutusele võtmisele või kriminaalkaristuste täitmisele pööramisele, ning

c) loodud on asjakohased kaitsemeetmed, et tagada põhiõiguste ja -vabaduste kaitsmine seoses isikuandmete töötlemisega.

Liikmesriigid võivad nõuda, et juurdepääs isikuandmetele sõltub lisatingimustest, nagu kohtupoolne volitamine, kooskõlas liikmesriigi õigusega.

3. Liikmesriigid võivad lubada ka isikuandmete edasist töötlemist ajaloolisel, statistilisel või teaduslikul eesmärgil, tingimusel et nad loovad asjakohased kaitsemeetmed, nagu andmete anonüümseks muutmine. [ME 68]

Artikkel 8

Isikuandmete eriliikide töötlemine

1. Liikmesriigid keelavad töödelda selliseid isikuandmeid, mis paljastavad rassi või etnilise päritolu, poliitilised vaated, usu või filosoofilised uskumused, seksuaalse sättumuse või soolise identiteedi, ametiühingusse kuulumise ja tegevuse , samuti geneetiliste biomeetriliste andmete ning tervislikku seisundit ja seksuaalelu käsitlevate andmete töötlemise.

2. Lõiget 1 ei kohaldata, kui:

a) töötlemine on lubatud õigusaktiga, milles tingimata vajalik ja proportsionaalne, et täita ülesannet, mida teostavad pädevad eesmärgil, mis on sätestatud artikli 1 lõikes 1 liidu või liikmesriigi õiguse alusel, mis sätestab konkreetsed ja piisavad kaitsemeetmed meetmed , et kaitsta andmesubjekti õiguspäraseid huve, sealhulgas konkreetne volitamine kohtuasutuse poolt, kui seda nõuab liikmesriigi õigus, või

b) töötlemine on vajalik andmesubjekti või teise isiku eluliste huvide kaitsmiseks või

c) töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud , tingimusel et need on asjakohased ja igal konkreetsel juhul asjaomase eesmärgi saavutamiseks tingimata vajalikud . [ME 69]

Artikkel 8a

Geneetiliste andmete töötlemine kriminaaluurimise või kohtumenetluse eesmärgil

1. Liikmesriigid tagavad, et geneetilisi andmeid võib kasutada ainult selleks, et teha kindlaks geneetiline seos asitõendite esitamisel, vältides ohtu avalikule korrale või vältides konkreetse kuriteo toimepanemist. Geneetilisi andmeid ei või kasutada selleks, et teha kindlaks muid omadusi, mis võivad olla geneetiliselt seotud.

2. Liikmesriigid sätestavad, et geneetilisi andmeid või teavet, mis tuleneb nende analüüsist, võib säilitada ainult niikaua, kui on vaja eesmärgil, milleks andmeid töödeldakse, ja kui asjaomane üksikisik on mõistetud süüdi tõsistes kuritegudes isikute elu, puutumatuse või turvalisuse vastu, vastavalt rangetele andmete säilitamise ajavahemikele, mis määratakse kindlaks liikmesriigi õigusega.

3. Liikmesriigid tagavad, et geneetilisi andmeid või teavet, mis tuleneb nende analüüsist, säilitatakse pikemat aega ainult juhul, kui geneetilisi andmeid ei saa omistada üksikisikule, eelkõige kui neid leitakse kuriteopaigalt. [ME 70]

Artikkel 9

Profiilianalüüsil ja automaattöötlusel põhinevad meetmed

1. Liikmesriigid sätestavad, et keelatud on võtta meetmeid, millel on andmesubjektile kahjulikud õiguslikud tagajärjed või märkimisväärne mõju ning mille aluseks on ainult osaliselt või täielikult isikuandmete automaattöötlus, mille eesmärk on anda hinnang andmesubjekti teatavatele isikuomadustele, välja arvatud juhul, kui seda võimaldatakse õigusaktiga, millega ühtlasi kehtestatakse piisavad meetmed andmesubjekti õigustatud huvide kaitsmiseks.

2. Isikuandmete automaattöötlus andmesubjekti isikuomaduste hindamiseks ei või põhineda ainult artiklis 8 osutatud isikuandmete eriliikidel.

2a. Isikuandmete automaattöötlus andmesubjekti esile tõstmiseks ilma algse kahtluseta, et andmesubjekt on toime pannud või paneb toime kuriteo, on seaduslik ainult juhul kui ja sellises ulatuses, kui see on rangelt vajalik tõsise kuriteo uurimisel või faktidel tugineva avaliku julgeoleku, riigi eksisteerimise või isiku elu ilmse ja otsese ohu ennetamisel.

2b. Profiilianalüüs, mille tulemusena (tahtlikult või tahtmatult) diskrimineeritakse isikuid nende rassi, etnilise päritolu, poliitiliste vaadete, usu või veendumuste, ametiühingusse kuulumise või soolise või seksuaalse sättumuse alusel või mille tulemuseks on meetmed, millega (tahtlikult või tahtmatult) saavutatakse eespool kirjeldatud tagajärjed, keelustatakse kõikidel juhtudel. [ME 71]

Artikkel 9a

Andmesubjekti õiguste üldpõhimõtted

1. Liikmesriigid tagavad, et olemas selged andmekaitse alused, mis hõlmavad üheselt mõistetavaid andmesubjekti õigusi, mida vastutavad töötlejad peavad austama. Käesoleva direktiivi eesmärk on neid õigusi tugevdada, täpsustada, tagada ja vajaduse korral kodifitseerida.

2. Liikmesriigid tagavad, et nimetatud õigused hõlmavad muu hulgas selge ja hõlpsasti mõistetava teabe andmist andmesubjekti andmete töötlemise, andmetega tutvumise õiguse ning andmete parandamise, kustutamise ja omandamise õiguse, järelevalveasutusele kaebuse ja kohtule hagi esitamise õiguse ning õiguse kohta saada hüvitist isikuandmete ebaseadusliku töötlemisega tekitatud kahju eest. Selliseid õigusi peaks reeglina saama kasutada tasuta. Vastutav töötleja vastab andmesubjekti taotlustele mõistliku ajavahemiku jooksul. [ME 72]

III PEATÜKK

ANDMESUBJEKTI ÕIGUSED

Artikkel 10

Andmesubjekti õiguste kasutamise kord

1. Liikmesriigid sätestavad, et vastutav töötleja teeb mõistlikke jõupingutusi vastutaval töötlejal on tegutsemisviis isikuandmete töötlemise ja andmesubjektide õiguste kaitsmise kokkuvõtlike, läbipaistvate ja selgete põhimõtete kehtestamiseks ja ning nende lihtsalt kättesaadavaks tegemiseks.

2. Liikmesriigid sätestavad, et vastutav töötleja esitab andmesubjektile kogu teabe isikuandmete töötlemise ja sellega seotud teabevahetuse kohta, tehes seda arusaadavas vormis ning selges ja lihtsas keeles , eelkõige kui kõnealune teave on mõeldud lapsele .

3. Liikmesriigid sätestavad, et vastutav töötleja teeb mõistlikke jõupingutusi kehtestab artiklis 11 osutatud teabe esitamise ning artiklites 12–17 nimetatud andmesubjekti õiguste kasutamise korra kehtestamiseks Isikuandmete automatiseeritud töötlemisel teeb vastutav töötleja kättesaadavaks vahendid, millega saab taotluse esitada elektrooniliselt .

4. Liikmesriigid sätestavad, et vastutav töötleja teavitab andmesubjekti viivitamata , kuid hiljemalt ühe kuu jooksul alates taotluse saamisest tema taotluse alusel tehtud toimingutest. Kõnealune teave esitatakse kirjalikult. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave elektrooniliselt.

5. Liikmesriigid sätestavad, et lõigetes 3 ja 4 osutatud taotluse alusel vastutava töötleja antud teabe ja tehtud toimingute eest tasu ei võeta. Kui taotlused on ilmselgelt pahatahtlikud nende korduva esitamise või mahu tõttu ülemäärased , sest neid esitatakse korduvalt, võib vastutav töötleja võtta mõistlikku tasu, võttes arvesse halduskulusid taotletud teabe andmise ja toimingute tegemise või toimingu sooritamise eest tasu või jätta toimingud tegemata. Sel juhul lasub vastutaval töötlejal kohustus tõendada, et taotlus on pahatahtlik ilmselgelt ülemäärane .

5a. Liikmesriigid võivad sätestada, et andmesubjekt saab oma õigustele kinnitust otse vastutavalt töötlejalt või pädeva järelevalveasutuse vahendusel. Kui järelevalveasutus on sooritanud toiminguid andmesubjekti taotlusel, teavitab ta andmesubjekti teostatud kontrollidest. [ME 73]

Artikkel 11

Andmesubjekti teavitamine

1. Liikmesriigid tagavad, et vastutav töötleja võtab kõik kohased meetmed, et teha esitab andmesubjektile seoses andmete kogumisega teatavaks vähemalt järgmine järgmise :

a) vastutava töötleja ja andmekaitseametniku nimi ja kontaktandmed;

b) isikuandmete töötlemise õiguslik alus ja eesmärk,;

c) isikuandmete säilitamise tähtaeg;

d) andmesubjekti õigus taotleda vastutavalt töötlejalt juurdepääsu oma isikuandmetele ning oma isikuandmete parandamist, kustutamist ja nende töötlemise piiramist;

e) andmesubjekti õigus esitada kaebus artiklis 39 osutatud järelevalveasutusele ning järelevalveasutuse kontaktandmed;

f) isikuandmete vastuvõtjad või vastuvõtjate kategooriad, sealhulgas kolmandad riigid ja või rahvusvahelised organisatsioonid , ja teave isikute kohta, kellel on kõnealuse kolmanda riigi õiguse või rahvusvahelise organisatsiooni eeskirjade alusel isikuandmetele juurdepääsu õigus, komisjoni tehtud piisava või ebapiisava kaitse otsus või artiklis 35 või 36 osutatud isikuandmete edastamise juhtudel edastamisel kasutatud asjakohaste kaitsemeetmete koopia saamise vahendid ;

fa) kui vastutav töötleja töötleb isikuandmeid artikli 9 lõikes 1 kirjeldatud viisil, teave artikli 9 lõikes 1 osutatud meetme võtmise eesmärgil töödeldavate andmete kohta ja sellise töötlemise kavandatud mõju andmesubjektile, profiilianalüüsi aluseks olnud põhimõtted ja isikliku kontrolli õigus;

fb) teave isikuandmete kaitsmiseks võetud turvameetmete kohta;

g) muu teave määral, mis on vajalik andmesubjekti õigusi arvestava andmetöötluse tagamiseks, võttes arvesse isikuandmete töötlemise konkreetset olukorda.

2. Juhul kui isikuandmed kogutakse andmesubjektilt, teatab vastutav töötleja talle lisaks lõikes 1 osutatud teabele, kas isikuandmete esitamine on kohustuslik või vabatahtlik, ning andmete esitamata jätmise võimalikud tagajärjed.

3. Vastutav töötleja esitab lõikes 1 osutatud teabe:

a) andmesubjektilt andmete saamise ajal või

b) juhul kui isikuandmed ei ole kogutud andmesubjektilt, siis andmete salvestamise ajal või mõistliku aja jooksul pärast nende kogumist, võttes arvesse andmete töötlemise konkreetset olukorda.

4. Liikmesriigid võivad põhiõigusi ja asjaomase isiku õigustatud huvisid nõuetekohaselt arvestades võtta seadusandlikke meetmeid, millega nähakse konkreetsel juhul ette andmesubjektile teabe hilisem või piiratud esitamine või esitamata jätmine sellises ulatuses ja seni, kuni selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede:

a) teenistuslike või õiguslike uurimiste, juurdluste või menetluste takistamise vältimiseks;

b) kuritegude tõkestamise, uurimise, avastamise või kuritegude eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks;

c) avaliku julgeoleku kaitseks;

d) riigi julgeoleku kaitseks;

e) teiste isikute õiguste ja vabaduste kaitseks.

5. Liikmesriigid näevad ette, et vastutav töötleja hindab iga konkreetse juhtumi puhul teatud eraldi uurimise abil, kas kehtib osaline või täielik piirang ühel lõikes 4 osutatud põhjusel. Liikmesriigid võivad ühtlasi õigusaktides kindlaks määrata isikuandmete töötlemise liigid, mille suhtes täielikult või osaliselt kehtivad lõikes 4 lõike 4 punktides a, b, c ja d sätestatud erandid. [ME 74]

Artikkel 12

Andmesubjekti õigus tutvuda andmetega

1. Liikmesriigid sätestavad, et andmesubjektil on õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas tema isikuandmeid töödeldakse või mitte. Juhul kui andmesubjekti isikuandmeid töödeldakse ja kui sellist teavet ei ole veel esitatud , esitab vastutav töötleja talle järgmise teabe:

-a) teave töödeldavate isikuandmete kohta ja olemasolev teave andmete allika kohta ja vajaduse korral arusaadav teave põhimõtete kohta, mida hõlmab mis tahes automaattöötlemine;

-aa) vähemalt artiklis 9 osutatud meetmete puhul töötlemise tähtsus ja ettenähtavad tagajärjed;

a) töötlemise eesmärk, ja õiguslik alus;

b) töödeldavate isikuandmete liigid;

c) millistele või mis liiki vastuvõtjatele isikuandmeid on avalikustatud, eelkõige teave kolmandates riikides olevate vastuvõtjate kohta;

d) isikuandmete säilitamise tähtaeg;

e) andmesubjekti õigus taotleda vastutavalt töötlejalt oma isikuandmete parandamist, kustutamist ja nende töötlemise piiramist;

f) andmesubjekti õigus esitada kaebus järelevalveasutusele ning järelevalveasutuse kontaktandmed;

g) teave töödeldavate isikuandmete kohta ja olemasoleva teave andmete allika kohta.

2. Liikmesriigid sätestavad, et andmesubjektil on õigus saada vastutavalt töötlejalt töödeldavate isikuandmete koopia. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave elektrooniliselt, kui andmesubjekt ei taotle teisiti. [ME 75]

Artikkel 13

Andmetega tutvumise õiguse piirangud

1. Liikmesriigid võivad asjaomase isiku põhiõigusi ja õigustatud huvisid nõuetekohaselt arvestades võtta seadusandlikke meetmeid, millega nähakse konkreetsetel juhtudel ette andmesubjekti andmetega tutvumise õiguse täielik või osaline piiramine sellises ulatuses ja seni, kuni selline piirang on demokraatlikus ühiskonnas tingimata vajalik ja proportsionaalne meede:

a) teenistuslike või õiguslike uurimiste, juurdluste või menetluste takistamise vältimiseks;

b) kuritegude tõkestamise, uurimise, avastamise või kuritegude eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks;

c) avaliku julgeoleku kaitseks;

d) riigi julgeoleku kaitseks;

e) teiste isikute õiguste ja vabaduste kaitseks.

2. Liikmesriigid tagavad, et vastutav töötleja hindab iga konkreetse juhtumi puhul teatud eraldi uurimise abil, kas kehtib osaline või täielik piirang ühel lõikes 1 osutatud põhjusel. Liikmesriigid võivad seadusega ühtlasi seaduse abil kindlaks määrata isikuandmete töötlemise liigid, mille suhtes täielikult või osaliselt kehtivad lõike 1 punktides a–d lõikes 1 sätestatud erandid.

3. Liikmesriigid sätestavad, et lõigetes 1 ja 2 osutatud juhtudel teavitab vastutav töötleja andmesubjekti kirjalikult ja põhjendamatu viivituseta juurdepääsu keelamisest või piiramisest ja ning esitab põhjendatud selgituse keeldumise põhjustest kohta ning selgitab talle võimalusi esitada järelevalveasutusele kaebus ja kasutada õiguskaitsevahendeid. Otsuse faktilised ja õiguslikud alused võidakse jätta teatamata, kui sellise teabe esitamine takistab artiklis 1 osutatud eesmärgi saavutamist.

4. Liikmesriigid tagavad, et vastutav töötleja dokumenteerib lõikes 2 osutatud hindamise ning otsuse faktiliste ja õiguslike aluste teatamata jätmise teatamise piiramise põhjused. See teave esitatakse riiklikele järelevalveasutustele. [ME 76]

Artikkel 14

Andmetega tutvumise õiguse kasutamise viis

1. Liikmesriigid sätestavad, et andmesubjektil on õigus eelõige artiklis 13 eelkõige artiklites 12 ja 13 osutatud juhtudel taotleda, et järelevalveasutus kontrolliks töötlemise seaduslikkust.

2. Liikmesriigid sätestavad, et vastutav töötleja teavitab andmesubjekti tema õigusest taotleda järelevalveasutuse sekkumist vastavalt lõikele 1.

3. Lõikes 1 osutatud õiguse kasutamisel teatab järelevalveasutus andmesubjektile vähemalt seda, et ta on teostanud kogu vajaliku kontrolli, ning millisele järeldusele ta jõudis kõnealuse töötlemise seaduslikkuse küsimuses. Järelevalveasutus teavitab ühtlasi andmesubjekti õigusest kasutada õiguskaitsevahendit.

3a. Liikmesriigid võivad sätestada, et andmesubjekt saab sellisele õigusele kinnitust otse vastutavalt töötlejalt või pädeva järelevalveasutuse vahendusel.

3b. Liikmesriigid tagavad, et vastutavale töötlejale on kehtestatud mõistlik ajavahemik, et vastata andmesubjekti taotlusele kasutada oma isikuandmetega tutvumise õigust. [ME 77]

Artikkel 15

Õigus andmeid parandada ja täiendada

1. Liikmesriigid sätestavad, et andmesubjektil on õigus vastutavalt töötlejalt taotleda ebatäpsete või mittetäielike isikuandmete parandamist. Andmesubjektil on õigus taotleda mittetäielike isikuandmete või täiendamist, eelkõige täiendus- või parandusõiendi esitamise teel.

2. Liikmesriigid sätestavad, et vastutav töötleja teavitab andmesubjekti kirjalikult juurdepääsu keelamisest või piiramisest andmete parandamata või täiendamata jätmisest ja keeldumise põhjustest ning esitab põhjendatud selgituse keeldumise kohta ja selgitab talle võimalusi esitada järelevalveasutusele kaebus ning kasutada õiguskaitsevahendeid.

2a. Liikmesriigid sätestavad, et vastutav töötleja teavitab mis tahes parandusest iga vastuvõtjat, kellele on andmed avaldatud, välja arvatud juhul, kui see osutub võimatuks või eeldab ebaproportsionaalseid jõupingutusi.

2b. Liikmesriigid sätestavad, et vastutav töötleja teavitab ebatäpsete isikuandmete parandamisest kolmandat isikut, kellelt need andmed pärinevad.

2c. Liikmesriigid sätestavad, et andmesubjekt saab sellisele õigusele kinnitust ka pädeva järelevalveasutuse vahendusel. [ME 78]

Artikkel 16

Õigus andmete kustutamisele

1. Liikmesriigid sätestavad, et andmesubjektil on õigus nõuda vastutavalt töötlejalt enda isikuandmete kustutamist, kui töötlemine ei vasta käesoleva direktiivi artikli 4 punktide a–e ning artiklite 6, 7 ja 8 alusel vastuvõetud õigusnormidele.

2. Vastutav töötleja kustutab andmed viivitamata. Samuti hoidub vastutav töötleja selliste andmete edasisest levitamisest.

3. Vastutav töötleja markeerib isikuandmed piirab isikuandmete töötlemist nende kustutamise asemel, kui:

a) andmesubjekt seab kahtluse alla nende täpsuse; täpsemalt piiratakse siis andmete töötlemine nii kauaks, kuni vastutav töötleja on kontrollinud nende täpsust;

b) isikuandmeid tuleb säilitada tõendamiseks; või andmesubjekti või teise isiku eluliste huvide kaitsmiseks.

c) andmesubjekt ei taotle nende kustutamist, vaid nende kasutamise piiramist.

3a. Juhul kui isikuandmete töötlemine on lõike 3 kohaselt piiratud, teavitab vastutav töötleja andmesubjekti enne töötlemise piirangute kõrvaldamist.

4. Liikmesriigid sätestavad, et vastutav töötleja teavitab andmesubjekti kirjalikult andmete kustutamata jätmisest või nende markeerimisest töötlemise piiramiseks ja sellise piiramisest ja keeldumise põhjustest ning esitab põhjendatud selgituse keeldumise kohta ja selgitab talle võimalusi esitada järelevalveasutusele kaebus ja ning kasutada õiguskaitsevahendeid.

4a. Liikmesriigid näevad ette, et vastutav töötleja teavitab vastuvõtjaid, kellele need andmed on edastatud, kõigist lõike 1 alusel kustutatud andmetest või andmete töötlemise piirangutest, välja arvatud juhul, kui see kui see osutub võimatuks või eeldab ebaproportsionaalseid jõupingutusi. Vastutav töötleja teavitab nimetatud kolmandatest isikutest andmesubjekti.

4b. Liikmesriigid võivad sätestada, et andmesubjekt saab sellisele õigusele kinnitust otse vastutavalt töötlejalt või pädeva järelevalveasutuse vahendusel. [ME 79]

Artikkel 17

Andmesubjekti õigused kriminaalasja kohtueelses ja kohtulikus menetluses

Liikmesriigid võivad sätestada, et kohtuotsuses või kohtuotsuse tegemisega seotud dokumendis olevate isikuandmete puhul piiratakse artiklites 11–16 sätestatud õigust taotleda teavet ja juurdepääsu ning isikuandmete parandamist, kustutamist ja nende töötlemise piiramist vastavalt kriminaalasja kohtueelset ja kohtulikku menetlust käsitlevatele siseriiklikele õigusnormidele.

IV PEATÜKK

VASTUTAV TÖÖTLEJA JA VOLITATUD TÖÖTLEJA

1. JAGU

ÜLDKOHUSTUSED

Artikkel 18

Vastutava töötleja ülesanded

1. Liikmesriigid sätestavad, et vastutav töötleja võtab vastu põhimõtted ja rakendab meetmeid, et tagada ja olla suuteline iga töötlemistoimingu puhul läbipaistval viisil tõendama, et isikuandmete töötlemine on kooskõlas käesoleva direktiivi alusel vastuvõetud õigusnormidega , seda nii töötlemisvahendite valikul kui ka töötlemise käigus .

2. Lõikes 1 sätestatud meetmete hulka kuuluvad eelkõige:

a) dokumenteerimine vastavalt artiklile 23;

aa) andmekaitse mõjuhinnangu teostamine artikli 25a kohaselt;

b) artikli 26 kohase eelneva konsulteerimise nõude täitmine;

c) artiklis 27 sätestatud andmeturbenõuete rakendamine;

d) andmekaitseametniku määramine vastavalt artiklile 30;

da) lastega seotud isikuandmete töötlemise jaoks konkreetsete kaitsemeetmete arendamine ja rakendamine, kui see on asjakohane.

3. Vastutav töötleja rakendab mehhanismid , et kontrollida, kas käesoleva artikli lõikes 1 osutatud meetmete tulemuslikkuse kontrollimiseks meetmed on piisavad ja tulemuslikud . Kontrolli teostavad sõltumatud sise- või välisaudiitorid, kui see on proportsionaalne. [ME 80]

Artikkel 19

Isikuandmete lõimitud kaitse ja vaikimisi kaitse

1. Liikmesriigid sätestavad, et vastutav töötleja ja vajaduse korral volitatud töötleja , võttes arvesse tehnika arengut ja juurutamise kulusid, võtab töötlemisvahendite valikul ja , praeguseid tehnilisi teadmisi, rahvusvahelisi parimaid tavasid ning andmetöötlusega kaasnevaid ohte, võtavad töötlemise eesmärkide ja vahendite valikul ning töötlemise käigus selliseid asjakohaseid ja proportsionaalseid tehnilisi ja organisatsioonilisi meetmeid ja kehtestab korra ning kehtestavad korra , millega tagatakse töötlemise vastavus käesoleva direktiivi nõuetele ja andmesubjekti õiguste kaitsmine , eelkõige artiklis 4 sätestatud põhimõtete osas . Isikuandmete lõimitud kaitsel pööratakse erilist tähelepanu isikuandmete kogu elutsükli haldamisele alates andmete kogumisest ja töötlemisest kuni nende kustutamiseni, keskendudes ulatuslikele menetluslikele tagatistele, mis puudutavad isikuandmete täpsust, konfidentsiaalsust, puutumatust, füüsilist kaitset ja kustutamist. Kui vastutav töötleja on teinud artiklis 25 a nõutud isikuandmete kaitsele avaldatava mõju hinnangu, võetakse selle tulemusi arvesse nimetatud meetmete ja korra väljatöötamisel.

2. Vastutav töötleja rakendab mehhanismid, millega tagatakse tagab , et vaikimisi töödeldakse ainult selliseid vaid töötlemise konkreetse eesmärgi seisukohalt olulisi isikuandmeid, mille töötlemine on vajalik töötlemise eesmärgi saavutamiseks ning eelkõige selle, et andmeid ei koguta ja levitata rohkem ega säilitata kauem, kui kõnealusel otstarbel minimaalselt vajalik . Nende mehhanismidega tagatakse eelkõige see, et isikuandmed ei ole vaikimisi üldiselt kättesaadavad ja et andmesubjektidel on võimalik kontrollida oma isikuandmete levikut. [ME 81]

Artikkel 20

Kaasvastutavad töötlejad

1. Liikmesriigid sätestavad, et kui mitu vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad, kes peavad omavaheliste õiguslikult siduvate kokkulepetega kehtestama igaühe vastutuse käesoleva direktiivi alusel kehtestatud kohustuste täitmisel, eelkõige andmesubjekti õiguste kasutamise korra ja mehhanismid.

2. Juhul kui andmesubjekti ei ole teavitatud, kes kaasvastutavatest töötlejatest on lõike 1 alusel vastutav, võib ta kasutada käesolevast direktiivist tulenevaid õigusi kahe või rohkema kaasvastutava töötleja suhtes või nende vastu. [ME 82]

Artikkel 21

Volitatud töötleja

1. Liikmesriigid sätestavad, et vastutav töötleja valib enda nimel andmete töötlemiseks sellise volitatud töötleja, kes võtab käesoleva direktiivi nõuete täitmiseks ja andmesubjekti õiguste kaitsmiseks vajalikke tehnilisi ja organisatsioonilisi meetmeid ning kehtestab korra, millega tagatakse töötlemise vastavus käesoleva direktiivi alusel kehtestatud sätetele ja andmesubjekti õiguste kaitsmine , eelkõige seoses tehniliste turvalisusmeetmete ja organisatsiooniliste meetmetega, mis reguleerivad töötlemist, mida tuleb teostada, ja tagada kõnealuste meetmete järgimine .

2. Liikmesriigid sätestavad, et vastutav töötleja töötleb isikuandmeid sellise volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või õigusakti alusel, milles on eelkõige sätestatud, et volitatud töötleja tegutseb ainult vastavalt vastutava töötleja juhtnööridele, eelkõige juhul, kui isikuandmete edastamine on keelatud.:

a) tegutseb ainult vastavalt vastutava töötleja juhtnööridele;

b) kasutab ainult töötajaid, kes on nõus olema seotud konfidentsiaalsuse kohustusega või järgima seadusest tulenevat konfidentsiaalsuse kohustust;

c) võtab kõik vajalikud meetmed vastavalt artiklile 27;

d) kaasab teise volitatud töötleja ainult vastutava töötleja loal ja teavitab seega vastutavat töötlejat kavatsusest kaasata teine volitatud töötleja ajavahemiku jooksul, mil vastutaval töötlejal on võimalik vastuväiteid esitada;

e) võtab kokkuleppel vastutava töötlejaga võimaluse piires ja vastavalt töötlemise laadile vastu vajalikud tehnilised ja korralduslikud nõuded, mille kohaselt täidetakse vastutava töötleja kohustust vastata III peatükis sätestatud taotlustele andmesubjekti õiguste teostamiseks;

f) aitab vastutaval töötlejal täita artiklites 25a – 29 sätestatud kohustusi;

g) tagastab andmetöötluse lõppedes vastutavale töötlejale kõik tulemused ega töötle isikuandmeid muul viisil ning kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriikide õiguses nõutakse andmete säilitamist;

h) teeb vastutavale töötlejale ja järelevalveasutusele kättesaadavaks kogu vajaliku teabe, mille alusel saab kontrollida käesolevas artiklis sätestatud kohustuste täitmist;

i) võtab arvesse lõimitult ja vaikimisi andmekaitse põhimõtet.

2a. Vastutav töötleja ja volitatud töötleja kehtestavad kirjalikult vastutava töötleja juhised ja volitatud töötleja lõikes 2 viidatud kohustused.

3. Kui volitatud töötleja töötleb isikuandmeid eesmärgil, mis ei vasta vastutava töötleja antud ülesandele, käsitatakse volitatud töötlejat sellise töötlemise suhtes vastutava töötlejana ja tema suhtes kohaldatakse artiklis 20 sätestatud kaasvastutuse eeskirju. [ME 83]

Artikkel 22

Töötlemine vastutava töötleja ja volitatud töötleja volituse alusel

1. Liikmesriigid sätestavad, et volitatud töötleja ja vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, tohivad isikuandmeid töödelda ainult vastutava töötleja juhistele alusel või liidu või liikmesriigi õigusaktidega ettenähtud juhtudel.

1a. Kui volitatud töötleja on määrav osaleja seoses andmetöötlemise eesmärgi, vahendite või meetoditega või ta saab selleks või ei tegutse eranditult vastutava töötleja juhiste alusel, peetakse teda kaasvastutavaks töötlejaks vastavalt artiklile 20. [ME 84]

Artikkel 23

Dokumenteerimine

1. Liikmesriigid sätestavad, et vastutava töötleja ja volitatud töötleja dokumenteerivad nende vastutusel olevad töötlemissüsteemid ja töötlemise korra.

2. Dokumendid peavad sisaldama vähemalt järgmisi andmeid:

a) vastutava töötleja ning vajaduse korral kaasvastutava töötleja või volitatud töötleja nimi ja kontaktandmed;

aa) kaasvastutavate töötlejate puhul õiguslikult siduv kokkulepe; volitatud töötlejate ja volituse alusel tehtavate toimingute loetelu;

b) töötlemise eesmärk,

ba) vastutava töötleja või volitatud töötleja organisatsiooni osade näitamine, millele on usaldatud isikuandmete töötlemine teatud eesmärgil;

bb) andmesubjektide kategooria või kategooriate ja nendega seotud andmete liigi või liikide kirjeldus;

c) isikuandmete vastuvõtjad või vastuvõtjate liigid;

ca) asjakohasel juhul teave profiilianalüüsi olemasolu, profiilianalüüsil põhinevate meetmete ja profiilianalüüsile vastuväidete esitamise mehhanismide kohta;

cb) arusaadav teave loogika kohta, mida hõlmab mis tahes automatiseeritud töötlemine;

d) teave andmete edastamise kohta kolmandatele riikidele ja rahvusvahelistele organisatsioonidele koos asjaomase riigi või rahvusvahelise organisatsiooni nimega , viidates andmeedastuse õiguslikele alustele; põhjalik selgitus esitatakse juhul, kui edastamine põhineb käesoleva direktiivi artiklitel 35 või 36;

da) eri andmeliikide kustutamise tähtaeg;

db) artikli 18 lõikes 1 osutatud meetmete kontrollimise tulemused;

dc) andmete töötlemise eesmärgi õigusliku aluse osutamine.

3. Vastutav töötleja ja volitatud töötleja esitavad kõik dokumendid taotluse alusel järelevalveasutusele. [ME 85]

Artikkel 24

Dokumentide säilitamine

1. Liikmesriigid tagavad, et säilitatakse vähemalt järgmisi töötlemistoiminguid käsitlevad dokumendid: kogumine, muutmine, lugemine, avalikustamine, ühendamine ja kustutamine. Lugemist ja avalikustamist kajastavad dokumendid peavad sisaldama andmeid nimetatud toimingute tegemise eesmärgi, kuupäeva ja aja ning võimaluse korral ka isikuandmeid lugenud ja avalikustanud isiku kohta ning selliste andmete vastuvõtjate nimed .

2. Dokumente kasutatakse ainult töötlemistoimingute õiguspärasuse kontrollimiseks, siseseireks ning andmete tervikluse ja turvalisuse tagamiseks või auditeerimiseks andmekaitseametniku või andmekaitseasutuse poolt .

2a. Vastutav töötleja ja volitatud töötleja esitavad dokumendid taotluse alusel järelevalveasutusele. [ME 86]

Artikkel 25

Koostöö järelevalveasutustega

1. Liikmesriigid sätestavad, et vastutav töötleja ja volitatud töötleja teevad asjakohase taotluse alusel järelevalveasutusega tema ülesannete täitmiseks koostööd, eelkõige esitades talle tema ülesannete täitmiseks vajalikku artikli 46 lõike 2 punktis a osutatud teavet ja tagades juurdepääsu, nagu on sätestatud artikli 46 lõike 2 punktis b .

2. Kui järelevalveasutus täidab oma ülesandeid vastavalt artikli 46 lõike 1 punktidele a ja b, vastavad vastutav töötleja ja volitatud töötleja tema märkustele mõistliku tähtaja jooksul , mille määrab järelevalveasutus . Järelevalveasutuse märkustele esitatud vastuses kirjeldatakse võetud meetmeid ja saavutatud tulemusi. [ME 87]

Artikkel 25a

Isikuandmete kaitsele avaldatava mõju hinnang

1. Liikmesriigid sätestavad, et kui töötlemistoimingud võivad oma laadi, ulatuse või eesmärkide tõttu ohustada andmesubjektide õigusi ja vabadusi, hindab vastutav töötleja või tema nimel tegutsev volitatud töötleja kavandatavate töötlemissüsteemide ja -menetluste mõju isikuandmete kaitsele enne uute töötlemistoimingute tegemist või esimesel võimalusel, kui töötlemistoimingutega on juba alustatud.

2. Eelkõige kujutavad järgmised töötlemistoimingud tõenäoliselt selliseid konkreetseid ohte, millele osutatakse lõikes 1:

a) isikuandmete töötlemine suuremahulistes toimikusüsteemides kuritegude tõkestamise, avastamise, uurimise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil;

b) isikuandmete eriliikide töötlemine artikli 8 kohaselt, lastega seotud isikuandmete, biomeetriliste andmete ja asukohaandmete töötlemine kuritegude tõkestamise, avastamise, uurimise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil;

c) füüsilise isiku isikuomaduste hindamine või eelkõige füüsilise isiku käitumise analüüs või selle prognoosimine, mis põhineb automaattöötlemisel ja mille tulemuseks on tõenäoliselt meetmed, millel on õiguslik mõju üksikisikule või mis avaldavad talle märkimisväärset mõju;

d) avalike alade jälgimine eeskätt elektrooniliste optikaseadmetega (videojärelevalveseadmetega) või

e) muud töötlemistoimingud, mille puhul tuleb nõu pidada järelevalveasutusega vastavalt artikli 26 lõikele 1.

3. Mõjuhinnang peab hõlmama vähemalt järgmist:

a) kavandatud töötlemistoimingute süstemaatiline kirjeldus;

b) hinnang selle kohta, kas töötlemistoimingud on eesmärke arvestades vajalikud ja proportsionaalsed;

c) hinnang selle kohta, millised on ohud andmesubjektide õigustele ja vabadustele, ning kavandatud meetmed selliste ohtudega tegelemiseks ning isikuandmete töötlemise mahu vähendamiseks;

d) turvameetmed ning isikuandmete kaitset ja käesoleva direktiivi kohaselt vastuvõetud sätete järgimise tõendamist tagavad mehhanismid, võttes arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õiguspäraseid huve;

e) üldist teavet eri andmeliikide kustutamise tähtaja kohta;

f) vajaduse korral loetelu andmete kavandatavatest edastamistest kolmandale riigile või rahvusvahelisele organisatsioonile koos asjaomase kolmanda riigi või rahvusvahelise organisatsiooni nimega ning artikli 36 lõikes 2 osutatud edastamise korral kaitsemeetmete kohta koostatud dokumentide loendit;

4. Juhul kui vastutav töötleja või volitatud töötleja on määranud andmekaitseametniku, kaasatakse ametnik mõju hindamise protsessi.

5. Liikmesriigid sätestavad, et vastutav töötleja peab nõu avalikkusega kavandatud töötlemise kohta, ilma et see piiraks avalike huvide kaitsmist või töötlemistoimingute turvalisust.

6. Ilma et see piiraks avalike huvide kaitsmist või töötlemistoimingute turvalisust, tehakse hinnang avalikkusele kergesti kättesaadavaks.

7. Komisjoni volitatakse vastavalt artiklile 56 võtma pärast Euroopa Andmekaitsenõukogult arvamuse küsimist vastu delegeeritud õigusakte, et täpsustada lõigetes 1 ja 2 osutatud töötlemistoimingutega seotud konkreetsete ohtude tuvastamise kriteeriume ja tingimusi ning lõikes 3 osutatud hindamisnõudeid, sealhulgas skaleeritavuse, kontrollitavuse ja auditeeritavuse tingimusi. [ME 88]

Artikkel 26

Eelnev konsulteerimine järelevalveasutusega

1. Liikmesriigid tagavad, et vastutav töötleja ja volitatud töötleja konsulteerivad järelevalveasutusega enne, kui nad hakkavad töötlema isikuandmeid, mis kantakse uude loodavasse toimikusüsteemi et kindlustada kavandatud töötlemise vastavus käesoleva direktiivi kohaselt vastu võetud õigusnormidele ja eelkõige et vähendada ohtu andmesubjektidele tekkivat , kui:

a) töödeldakse artiklis 8 osutatud andmete eriliike; artiklis 25a sätestatud isikuandmete kaitse mõjuhinnangu kohaselt kujutavad töötlemistoimingud oma laadi, ulatuse ja/või eesmärkide tõttu tõenäoliselt endast konkreetset ja märkimisväärset ohtu või

b) vastasel juhul toob töötlemise laad, eelkõige uute tehnoloogiate, mehhanismide või menetluste kasutamine endaga kaasa konkreetse ohu andmesubjekti põhiõigustele ja -vabadustele, eelkõige tema isikuandmete kaitsele järelevalveasutus peab vajalikuks eelnevalt konsulteerida täpsustatud töötlemistoimingute küsimustes, mis oma laadi, ulatuse ja/või eesmärgi tõttu kujutavad tõenäoliselt konkreetseid ohte andmesubjektide õigustele ja vabadustele .

1a. Kui järelevalveasutus teeb kooskõlas oma volitustega kindlaks, et töötlemine ei vasta käesoleva direktiivi kohaselt vastu võetud õigusnormidele, eelkõige kui töötlemisega kaasnevad ohud ei ole piisavalt kindlaks tehtud ega leevendatud, keelab ta kavandatud töötlemise ja teeb ettepanekud töötlemise vastavusse viimiseks direktiiviga.

2. Liikmesriigid võivad sätestada sätestavad , et järelevalveasutus koostab ja avalikustab pärast nõupidamist Euroopa Andmekaitsenõukoguga loetelu töötlemistoimingutest, mille suhtes kohaldatakse lõikes 1 lõike 1 punktis b sätestatud eelnevat konsulteerimist.

2a. Liikmesriigid sätestavad, et vastutav töötleja või volitatud töötleja esitab järelevalveasutusele artikli 25 a kohase isikuandmete kaitse mõjuhinnangu ja taotluse korral ka muu teabe, mille alusel järelevalveasutus saab hinnata, kas töötlemine, eelkõige andmesubjekti isikuandmete kaitset ohustavate tegurite suhtes võetavad meetmed ja pakutavad kaitsemeetmed, vastavad käesolevale direktiivile.

2b. Kui järelevalveasutus on seisukohal, et töötlemine ei vasta kä