Kokkuvõte Euroopa Andmekaitseinspektori arvamusest, mis käsitleb ettepanekut võtta vastu Euroopa Parlamendi ja nõukogu määrus, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020

(2022/C 452/07)

(Arvamuse täistekst inglise, prantsuse ja saksa keeles on Euroopa Andmekaitseinspektori veebilehel https://edps.europa.eu)

15. septembril 2022 avaldas Euroopa Komisjon ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu määrus, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020 (1) (edaspidi „ettepanek“).

Euroopa Andmekaitseinspektor väljendab heameelt ettepaneku üle ja toetab täielikult selle üldeesmärki parandada siseturu toimivust, kehtestades ühtse õigusraamistiku olulistele küberturvalisuse nõuetele digielemente sisaldavate toodete liidu turule laskmiseks.

Euroopa Andmekaitseinspektor tuletab meelde, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis f on turvalisus sätestatud isikuandmete töötlemise peamise põhimõttena. Isikuandmete kaitse üldmäärus määratleb täiendavalt seda kohustust, mida kohaldatakse nii vastutavatele kui ka volitatud töötlejatele, et tagada asjakohane turvalisuse tase. Seetõttu on Euroopa Andmekaitseinspektor rahul, et turvalisus ja võimalikult väheste andmete kogumise põhimõte on juba lisatud olulistesse küberturvalisuse nõuetesse, mis on loetletud ettepaneku I lisas. Lisaks soovitab Euroopa Andmekaitseinspektor tungivalt lisada lõimitud ja vaikimisi andmekaitse põhimõtte digielemente sisaldavate toodete küberturvalisuse olulistesse nõuetesse.

Põhjenduses 17 on esitatud väga olulised regulatiivsätted, mida ei ole kajastatud ettepaneku regulatiivosas. Seetõttu soovitab Euroopa Andmekaitseinspektor täpsustada ettepaneku regulatiivosas kõiki aspekte, mis on seotud küberturvalisuse standardimise ja sertifitseerimise sünergia ning ettepaneku ja liidu andmekaitse õigusaktide vahelise sünergia loomisega turujärelevalve ja jõustamise valdkonnas. Peale selle leiab Euroopa Andmekaitseinspektor, et on vaja selgitada, et ettepanekuga ei püüta mõjutada isikuandmete töötlemist reguleerivate olemasolevate ELi õigusaktide kohaldamist, sh nende järelevalveasutuste ülesandeid ja volitusi, kes on pädevad kontrollima nende õigusaktide täitmist.

Euroopa Andmekaitseinspektoril on hea meel, et sättega tunnistatakse, et isikuandmete töötlemine on väga oluline ja tundlik ülesanne ning seega võib olla vajalik, et vastavad digielemente sisaldavad kriitilise tähtsusega tooted saaksid Euroopa küberturvalisuse sertifitseerimise kava kohase Euroopa küberturvalisuse sertifikaadi. Samal ajal soovitab Euroopa Andmekaitseinspektor ettepaneku põhjenduses selgitada, et Euroopa küberturvalisuse sertifikaadi saamine ei taga vastavust isikuandmete kaitse üldmäärusele.

Samuti väljendab Euroopa Andmekaitseinspektor heameelt kavandatud karistuste üle, mis on sarnased isikuandmete kaitse üldmääruse karistustele isikuandmete kaitse üldmääruses töötlemise turvalisust käsitleva artikli 32 rikkumise eest, maksimaalse trahviga 2,5 % ülemaailmsest aastasest kogukäibest. Eelöeldu tulemusena võib ettepanek koostoimes isikuandmete kaitse üldmääruse sätetega olla veel üks ELi liikmesriikides elavate isikute kaitse vorm.

1. SISSEJUHATUS

1. 15. septembril 2022 avaldas Euroopa Komisjon ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu määrus, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020.

2. Ettepaneku eesmärk on parandada siseturu toimimist, luues ühtse õigusraamistiku olulistele küberturvalisuse nõuetele digielemente sisaldavate toodete liidu turule laskmiseks ( 2 ) . Eelkõige on ettepaneku eesmärk kehtestada turvaliste digielemente sisaldavate toodete väljatöötamise piirtingimused, tagamaks, et turule lastavatel riist- ja tarkvaratoodetel oleks vähem nõrkusi ja et tootjad suhtuksid turvalisusse kogu toote elutsükli jooksul tõsiselt. Ühtlasi on selle eesmärk luua tingimused, et kasutajad saaksid digielemente sisaldavaid tooteid valides ja kasutades võtta arvesse küberturvalisust ( 3 )

3. Sellega seoses sätestatakse ettepanekus järgmist ( 4 ) — õigusnormid, mis reguleerivad digielemente sisaldavate toodete turule laskmist, et tagada selliste toodete küberturvalisus; — digielemente sisaldavate toodete projekteerimise, arendamise ja tootmise olulised nõuded ja kohustused, mida ettevõtjad peavad selliste toodete puhul seoses küberturvalisusega täitma; — selliste protsesside olulised nõuded, mille tootjad on kehtestanud nõrkuste käitlemiseks, et tagada digielemente sisaldavate toodete küberturvalisus kogu toote elutsükli vältel, ning ettevõtjate kohustused seoses nende protsessidega; — õigusnormide turujärelevalve ja eespool nimetatud õigusnormide ja nõuete täitmise tagamise kohta.

4. ELi raamistik koosneb mitmest horisontaalsest õigusaktist, mis hõlmavad teatud küberturvalisusega seotud aspekte eri vaatenurgast (tooted, teenused, kriisijuhtimine ja kuriteod). 2013. aastal jõustus direktiiv, milles käsitletakse infosüsteemide vastu suunatud ründeid ( 5 ) , ühtlustades kriminaliseerimist ja karistusi paljude infosüsteemide vastu suunatud süütegude korral. Augustis 2016 jõustus esimesena kogu ELi hõlmavatest küberturvalisuse õigusaktidest direktiiv (EL) 2016/1148 ( 6 ) võrgu- ja infosüsteemide turvalisuse kohta (küberturvalisuse direktiiv). Selle läbivaatamise tulemusel koostatud küberturvalisuse 2. direktiiv suurendab ELi ambitsiooni IKT-teenuste küberturvalisuse ühtlase taseme osas. 2019. aastal jõustus ELi küberturvalisuse määrus ( 7 ) , mille eesmärk on tõhustada IKT-toodete, IKT-teenuste ja IKT-protsesside turvalisust, kehtestades vabatahtliku Euroopa küberturvalisuse sertifitseerimise raamistiku.

5. Käesolev Euroopa Andmekaitseinspektori arvamus esitatakse määruse (EL) 2018/1725 (ELi isikuandmete kaitse määrus) artikli 42 lõike 1 kohaselt vastusena Euroopa Komisjoniga konsulteerimisele 15. septembril 2022. Euroopa Andmekaitseinspektor väljendab heameelt, et ettepaneku põhjenduses 71 on viidatud nimetatud konsulteerimisele. Seoses sellega märgib Euroopa Andmekaitseinspektor samuti positiivselt, et temaga konsulteeriti mitteametlikult vastavalt ELi isikuandmete kaitse määruse põhjendusele 60.

3. JÄRELDUSED

31. Eelnevast lähtudes esitab Euroopa Andmekaitseinspektor järgmised soovitused: (1) lisada lõimitud ja vaikimisi andmekaitse põhimõte digielemente sisaldavate toodete olulistesse küberturvalisuse nõuetesse; (2) selgitada preambulis selliste digielemente sisaldavate toodete olulisust, millega tehakse krüptograafilisi toiminguid, sh puhkeolekus ja edastamise ajal krüpteerimine ja pseudonüümimine, mis on vajalikud tõhusa teabeturvalisuse, küberturvalisuse, andmekaitse ja privaatsuse jaoks; (3) lisada II lisasse digielemente sisaldavad materiaalsed ja immateriaalsed tooted, millega tehakse krüptograafilisi toiminguid; (4) kustutada määrus (EL) 2017/745 (8) õigusaktide loetelust, mis on välja jäetud ettepaneku kohaldamisalast; (5) selgitada ettepanekus sõnaselgelt, mis on direktiivi 2014/53/EL (9) artikli 3 lõike 3 punktis e viidatud oluliste nõuete elemendid seoses isikuandmete ja privaatsusega; (6) täpsustada ettepaneku regulatiivosas praktilisi aspekte, mis on seotud küberturvalisuse standardimise ja sertifitseerimise sünergia ning ettepaneku ja liidu andmekaitse õigusaktide vahelise sünergia loomisega turujärelevalve ja jõustamise valdkonnas; (7) selgitada, et ettepanekuga ei püüta mõjutada isikuandmete töötlemist reguleerivate olemasolevate ELi õigusaktide kohaldamist, sealhulgas nende õigusaktide täitmist kontrollivate sõltumatute järelevalveasutuste ülesandeid ja volitusi; (8) lisada „vaba tarkvara“, „avatud lähtekoodiga tarkvara“ ning „vaba ja avatud lähtekoodiga tarkvara“ asjakohased määratlused; (9) selgitada ettepaneku põhjenduses, et ettepaneku kohase Euroopa küberturvalisuse sertifikaadi saamine ei taga vastavust isikuandmete kaitse üldmäärusele.

Brüssel, 9. november 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Ettepaneku põhjendus 1.

(3) Ettepaneku põhjendus 2.

(4) Ettepaneku artikkel 1.

(5) Euroopa Parlamendi ja nõukogu 12. augusti 2013. aasta direktiiv 2013/40/EL, milles käsitletakse infosüsteemide vastu suunatud ründeid ja millega asendatakse nõukogu raamotsus 2005/222/JSK (ELT L 218, 14.8.2013, lk 8).

(6) Euroopa Parlamendi ja nõukogu 6. juuli 2016. aasta direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus (EÜT L 194 19.7.2016, lk 1).

(7) Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta määrus (EL) 2019/881, mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse määrus) (ELT L 151, 7.6.2019, lk 15).

(8) Euroopa Parlamendi ja nõukogu määrus (EL) 2017/745, 5. aprill 2017, meditsiiniseadmete kohta, millega muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja määrust (EÜ) nr 1223/2009 ning tunnistatakse kehtetuks Nõukogu direktiivid 90/385/EMÜ ja 93/42/EMÜ (ELT L 117, 5.5.2017, lk 1).

(9) Euroopa Parlamendi ja nõukogu direktiiv 2014/53/EL, 16. aprill 2014, raadioseadmete turul kättesaadavaks tegemist käsitlevate liikmesriikide õigusaktide ühtlustamise ja direktiivi 1999/5/EÜ kehtetuks tunnistamise kohta (ELT L 153, 22.5.2014, lk 62).