[pic] | EUROOPA KOMISJON |

Brüssel 22.4.2010

KOM(2010)170 lõplik

KOMISJONI ARUANNE

andmekaitse olukorra kohta siseturu infosüsteemis

KOMISJONI ARUANNE

andmekaitse olukorra kohta siseturu infosüsteemis

KOMMENTEERITUD KOKKUVÕTE

Komisjon on rahul sellega, kuidas siseturu infosüsteemis (IMI) on tagatud isikuandmetega seotud isikuõigused ja -vabadused (edaspidi „andmekaitse”). IMI on Interneti-põhine turvaline ja mitmekeelne teabevahetussüsteem, mille abil liikmesriigid saavad täita oma halduskoostöökohustusi. Komisjon on rahul ka IMI andmekaitsesuuniseid käsitleva soovituse rakendamisega.

Liikmesriigid ei ole teatanud ühestki andmekaitseprobleemist. See õigustab Euroopa andmekaitseinspektoriga kokku lepitud järkjärgulist lähenemisviisi, mille eesmärk on võtta IMI õigusraamistiku loomisel arvesse tehnika arengut ja laiendada kõnealust süsteemi muudesse siseturualaste õigusaktide valdkondadesse.

Komisjon uurib 2010. aastal võimalust laiendada IMI kasutamist muudesse siseturu valdkondadesse ja saada rohkem kogemusi selle kasutamisel teenuste valdkonnas. 2011. aasta esimeses kvartalis avaldab komisjon talituste töödokumendi IMI toimimise ja arengu kohta 2010. aastal, milles käsitleb ka andmekaitset.

KÄESOLEVA ARUANDE EESMÄRK

Käesolevas aruandes, mille koostamisest teatati komisjoni soovituses siseturu infosüsteemi (IMI) andmekaitsesuuniste kohta[1] (edaspidi „soovitus”), antakse ülevaade sellest, kuidas liikmesriigid ja komisjon on soovitust rakendanud, ning hinnatakse andmekaitse olukorda IMI-s. Selles käsitletakse ka uusi küsimusi, mida soovitus ei hõlmanud, eelkõige uue teenuste direktiivi reguleerimisala.

Komisjon võttis aruande koostamisel arvesse tagasisidet, mis saadi liikmesriikidelt 2009. aasta novembris algatatud ad hoc konsultatsioonide käigus[2] ning korrapäraste kontaktide teel IMI koordinaatorite ja liikmesriikide esindajatega siseturu ja IMI komitee (IMAC-IMI) kohtumistel.

IMI ARENG 2009. AASTAL

2009. aasta oli IMI arengus väga oluline. IMI kasutamist kutsekvalifikatsioone käsitlevate õigusaktide valdkonnas laiendati 20 uue kutseala võrra ja enamik vahenditest kasutati IMI laiendamiseks teenuste direktiivi reguleerimisala võrra[3].

Riiklikud IMI koordinaatorid osalesid katseprojektis, et vahetada teavet teenuste direktiivi kohta (tegelike ja fiktiivsete juhtumite põhjal), ning Brüsselis korraldatud koolituskursustel[4]. Komisjon esitles tarkvara uut versiooni (1.7), mis võimaldab pädevatel asutustel ise registreeruda. Aasta lõpul esitles ta ka vaheversiooni 2.0, mis sisaldab eraldi IT-rakendust hoiatusmehhanismi jaoks[5]. See uus tarkvaraversioon võeti täies ulatuses kasutusele 2010. aasta esimeses kvartalis.

Tänu komisjoni ja liikmesriikide ühistele jõupingutustele oli IMI-s 2010. aasta jaanuari lõpuks registreeritud 4 508 pädevat asutust, kellest 3 698-l oli juurdepääs uuele teenuste valdkonnale, kuid see arv suureneb eeldatavasti järgmise paari kuu jooksul oluliselt. Sisseloginud kasutajate keskmine arv päevas suurenes 40-lt 2009. aasta jaanuaris 180-ni detsembris.

2009. aastal saadetud teabenõuete ja taotluste koguarv kvartalite ja õigusvaldkondade kaupa

[pic]

Süsteem on kutsekvalifikatsioonide valdkonnas saavutanud küpsuse ja selle vaieldamatu edu näitab IMI häid võimalusi ELi halduskoostöö vahendina. Keskmiselt saadeti 350 teabenõuet ja taotlust kvartalis. Üle 90 % kõigist 2009. aastal saadetud kutsekvalifikatsioonidega seotud teabenõuetest ja taotlustest olid pärit EL 15-st, enne 2004. aastat ühinenud liikmesriikidest, mis näitab tööjõurände suunda. Poola ja Rumeenia said 32 % kõigist teabenõuetest ja taotlustest.

Neid arve vaadeldes on oluline märkida, et 56 %-le teabenõuetest ja taotlustest vastati ühe nädala jooksul.

Kutsekvalifikatsioonide direktiiviga seotud teabenõude või taotluse läbivaatamiseks kulunud aeg 2009. aastal

Vastuvõetud teabenõudeid ja taotlusi | Kumulatiivne osakaal | Vastatud teabenõudeid ja taotlusi | Kumulatiivne osakaal |

3 päeva jooksul | 741 | 57,0 % | 518 | 43,0 % |

1 nädala jooksul | 216 | 73,7 % | 167 | 56,8 % |

2 nädala jooksul | 166 | 86,5 % | 170 | 71,0 % |

4 nädala jooksul | 120 | 95,7 % | 164 | 84,6 % |

8 nädala jooksul | 35 | 98,4 % | 106 | 93,4 % |

rohkem kui 8 nädala jooksul | 21 | 100,0 % | 80 | 100,0 % |

Kokku: | 1 299 | 1 205 |

(* Vastuvõetud ja vastatud teabenõuete ja taotluste arvu erinevus on tingitud teabenõuetest ja taotlustest, mis tühistati või millele ei oldud 2009. aasta detsembri lõpuks veel vastatud.)

ANDMEKAITSE PARANDAMINE IMI-S JÄRKJÄRGULISE LÄHENEMISVIISI KAUDU

IMI-s järgitakse eraelu kavandatud puutumatuse põhimõtet, mille kohaselt andmekaitsenõuete täitmine on teavet sisaldavatesse süsteemidesse algusest saadik sisse projekteeritud. Andmekaitsepõhimõtteid võetakse arvesse ka süsteemi igapäevasel kasutamisel ja need on lisatud koolitusmaterjalidesse, mis on formalistlikust või teoreetilisest kaitsest kaugemale ulatuv lähenemisviis. See näib end ära tasuvat, kuna ükski liikmesriik ei ole teatanud ühestki IMI-ga seotud andmekaitseintsidendist ja andmesubjektidelt ei ole saadud ühtegi kaebust.

Komisjon on pidanud viimasel kahel aastal dialoogi andmekaitseasutuste ja Euroopa andmekaitseinspektoriga. Järkjärgulise lähenemisviisi juhtpõhimõte on, et kuna süsteem tagab kõrgetasemelise tehnilise ja menetlusliku andmekaitse ja kuna komisjon on selgelt võtnud kohustuse jätkata selle täiustamist, peaks IMI õigusraamistik pidama sammu tehnika arenguga ja süsteemi laiendamisega muudesse siseturgu käsitlevate õigusaktide valdkondadesse.

Süsteemi kasutamisel saadud piiratud kogemuste põhjal otsustades on järkjärguline lähenemisviis võimaldanud komisjonil lahendada kõik probleemid, millele juhtis tähelepanu Euroopa andmekaitseinspektor oma 12. detsembri 2007. aasta arvamuses, ja võtta vastu kolm õigusakti, milles käsitletakse IMI andmekaitseprobleeme:

a) Euroopa Komisjoni 12. detsembri 2007. aasta otsus siseturu infosüsteemi (IMI) rakendamise kohta seoses isikuandmete kaitsega[6];

b) Euroopa Komisjoni 26. märtsi 2009. aasta soovitus siseturu infosüsteemi (IMI) andmekaitsesuuniste kohta[7];

c) Euroopa Komisjoni 2. oktoobri 2009. aasta otsus, millega nähakse ette tegutsemiskord Euroopa Parlamendi ja nõukogu direktiivi 2006/123/EÜ (teenuste kohta siseturul) VI peatüki kohaseks elektrooniliseks teabevahetuseks liikmesriikide vahel[8].

Käesoleva aruande punktis 6 käsitletakse ülejäänud küsimusi ning tulevaste meetmete sisu ja ajastust, sealhulgas õigusakti võimalikku vastuvõtmist.

KOMISJONI SOOVITUSE RAKENDAMINE

Liikmesriikide tehtud täiustused

Kontaktid andmekaitseasutustega

Soovituses innustati „ riiklikke IMI koordinaatoreid võtma ühendust oma riiklike andmekaitseasutustega, et saada juhtnööre ja abi nende suuniste parimaks võimalikuks rakendamiseks riikliku õiguse alusel ”. Enamik liikmesriike märkis oma aruandes komisjonile, et nad olid riikliku andmekaitseasutusega konsulteerinud. Need konsultatsioonid on IMI kasutajaid veennud, et IMI-s saab isikuandmeid vahetada andmekaitsealaseid õigusakte järgides, ja samal ajal on need võimaldanud riiklikel reguleerivatel asutustel luua töösuhted haldusasutuste esindajatega, kes hindavad andmekaitset kõrgelt ja on kohustunud saavutama selle üleeuroopalise projektiga edu.

Isikuandmete kaitse eeskirjad

Euroopa andmekaitseinspektori ettepanekul innustati soovituses IMI koordinaatoreid arutama kohalike andmekaitseasutustega ka isikuandmete kaitse eeskirjade sisu. Soovitus ei saanud selles küsimuses väga konkreetne olla, sest kuigi andmekaitsedirektiiviga tagati täielik ühtlustamine, on liikmesriikidel mõne sätte rakendamisel teatav otsustusvabadus. Liikmesriikide aruanded kinnitavad, et isikuandmete kaitse eeskirjade sisu ja vormi käsitletakse riigiti erinevalt. Veidi üle poole liikmesriikidest on arvamusel, et üksikisikutele esitatava teabe õige vormi ja sisu üle peaks otsustama iga kohalik pädev asutus kohalike õigusnormide kohaselt. Mõnes liikmesriigis on seevastu loodud kohandatavad mudelid kogu liikmesriigi jaoks[9].

Teadlikkus ja koolitused

Üks soovituse tähtsamaid saavutusi on, et sellega on suurendatud IMI osaliste ja kasutajate andmekaitsealast teadlikkust: nad teavad nüüd üldisi andmekaitsepõhimõtteid ja on saanud praktilisi soovitusi kõrgetasemelise andmekaitse tagamise kohta IMI-s. Tänu kõnealusele komisjoni soovitusele on viited andmekaitsesuunistele lisatud ka pädevate asutuste jaoks koostatud IMI koolitusmaterjalidesse.

Komisjoni tehtud täiustused

IMI turvalisuse tagamise kava

Andmete turvalisust ja konfidentsiaalsust reguleeritakse komisjoni 16. augusti 2006. aasta otsusega, milles käsitletakse Euroopa Komisjoni kasutatavate infosüsteemide turvalisust[10]. Nimetatud otsust on ajakohastatud 2009. aastal vastuvõetud rakenduseeskirjadega ning hiljutiste suuniste ja standarditega, mis on üldjoontes samad kui rahvusvahelised standardid. IMI turvameetmed on läbi vaadatud ja vastavalt ajakohastatud ning 2009. aastal koostati terviklik turvalisuse tagamise kava, mis vaadatakse läbi 2010. aastal.

Tehnilised täiustused

Kui teabevahetus hõlmab tundlikke andmeid, ilmub nüüd ekraanile meeldetuletus, et teave on tundlik ja et juhtumi käsitleja peaks seda teavet nõudma üksnes juhul, kui see on vältimatult vajalik ja otseselt seotud kutsealal tegutsemise või asjaomase teenuse osutamisega. Andmekaitsepõhimõtteid on igakülgselt arvesse võetud ka uue hoiatusmehhanismi kavandamisel ja rakendamisel (vt punkt 5.2.3.2).

Täiustatud on ka IMI veebisaiti, et kasutajatel oleks hõlpsam asjakohaseid dokumente leida. Andmekaitset käsitlevat osa[11] on ajakohastatud kõigi andmekaitsealaste õigusaktide, Euroopa andmekaitseinspektoriga peetud kirjavahetuse ja süsteemis kasutatavate küsimustega. Läbipaistvuse huvides on Euroopa andmekaitseinspektori ettepanekul ära märgitud, millised küsimused on seotud tundlike andmetega.

Teenuste direktiivi uus õigusvaldkond

IMI kasutamine seoses teenuste direktiiviga

Teenuste direktiivis ei olnud IMI kasutamist konkreetselt nimetatud (seal oli vaid üldine viide elektroonilisele teabevahetussüsteemile). Seepärast oli vaja ametlikult kindlaks määrata, et sellisel puhul kasutatav süsteem on IMI. Seda tehti otsusega,[12] mille komisjon võttis vastu teenuste direktiiviga ettenähtud korra kohaselt (edaspidi „komiteemenetluse otsus”).

Nimetatud komiteemenetluse otsuses on sätestatud tegutsemiskord teenuste valdkonna alaseks teabevahetuseks IMI-s. See aitab tagada süsteemi kõrget andmekaitsetaset ning muudab otsusest 2008/49/EÜ tulenevad üldised eeskirjad ja soovituses sisalduvad andmekaitsesuunised läbipaistvamaks ja täpsemaks. Selle kohaselt võetakse mis tahes täiendavaid andmekaitsemeetmeid vajaduse korral hiljem, tuginedes süsteemi kasutamisel saadud kogemustele[13].

Andmekaitset soodustav hoiatusmehhanismi ülesehitus

Hoiatusmehhanism on teenuste direktiivi artikli 29 lõike 3 ja artikli 32 alusel loodud mehhanism, mis täiendab toodete puhul kasutatavat RAPEXi süsteemi. See aitab vältida ohte, mis võivad teenuste kasutajaid ähvardada.

Hoiatusmehhanism võimaldab liikmesriikidel täita õigusaktidest tulenevat teabevahetuskohustust ja on seega andmekaitse seisukohalt täiesti õiguspärane. Komisjon on siiski teadlik sellise süsteemi mõjudest andmekaitsele. Seepärast on ta seda luues pööranud erilist tähelepanu andmekaitse vajadustele ja palub tungivalt, et andmekaitse eest vastutavad liikmesriigid järgiksid hoiatusteadete saatmisel või saamisel alati hoolikalt eeskirju.

Hoiatusmehhanism sisaldab arvukalt andmekaitsemeetmeid, mis on IMI üldised osad, ja mõnda erimeedet, mille eesmärk on tagada, et:

a) andmetega saavad tutvuda üksnes konkreetsed pädevad asutused/kasutajad

Kooskõlas üldise IMI-s kohaldatava lähenemisviisiga on hoiatusmehhanismi raames edastatavale teabele juurdepääs üksnes neil, kes seda vajavad. Pädevad asutused ja IMI kasutajad saavad hoiatusteadetega tutvuda üksnes juhul, kui liikmesriik on neile peale üldise juurdepääsu IMI-le andnud ka konkreetse juurdepääsu hoiatusteadete rakendusele. Pädevad asutused ja IMI kasutajad ei saa hoiatusteateid vaikimisi saata ega saada. See funktsioon tuleb eraldi aktiveerida.

b) tarbetuid hoiatusteateid ei saadeta

Ühtki hoiatusteadet ei saa saata ilma, et oleks täidetud kontroll-loend, millega tagatakse kriteeriumide järgimine, näiteks et teenuse osutamisega on seotud konkreetsed tõsised toimingud või asjaolud, mis võivad tekitada tõsist kahju. Kui hoiatusteadet saata sooviv asutus ei kinnita kõikide asjakohaste kriteeriumide täitmist, ei lase süsteem tal hoiatusteadet saata.

Lisaks ei saadeta hoiatusteadet otse teistele liikmesriikidele, vaid kõigepealt sama liikmesriigi hoiatusteadete koordinaatorile. Hoiatusteadete koordinaator peab veel kord otsustama, kas hoiatusteade tuleks edastada teistele liikmesriikidele või mitte.

c) hoiatusteade saadetakse ainult adressaatidele, kes peavad selle saama õigusaktidest tulenevate teabealaste nõuete täitmiseks

Kui hoiatusteade saadetakse teistele liikmesriikidele, peavad hoiatusteadet saata sooviv asutus ja hoiatusteadete koordinaator hindama, millistele liikmesriikidele tuleb hoiatusteade saata. Kui hoiatusteadet soovib saata liikmesriik, milles osutatakse teenust, saavad selle vaikimisi üksnes teenuseosutaja asukoha liikmesriik ja komisjon. See vaikimisi seadistus tagab, et teiste liikmesriikide lisamine hoiatusteate saajate hulka otsustatakse iga juhtumi puhul eraldi, lähtudes teadmise vajalikkusest.

Pealegi ei saadeta teise liikmesriiki edastatavat hoiatusteadet kõigile selle liikmesriigi pädevatele asutustele, vaid üksnes saabuvate hoiatusteadete postkasti (mis tavaliselt kuulub riiklikule hoiatusteadete koordinaatorile). Hoiatusteate saaja otsustab, milline tema liikmesriigi pädev asutus asjaomast hoiatusteadet vajab ja kellele tuleb teade saata.

d) komisjon saab küll teenuste direktiiviga ettenähtud hoiatusteateid, kuid tal puudub juurdepääs isikuandmetele

Teenuste direktiivis on sätestatud, et kõik hoiatusteated tuleb saata komisjonile, kuid erinevalt liikmesriikidest ei ole komisjonil vaja juurdepääsu isikuandmetele. Seepärast saab komisjon hoiatusteated ilma isikuandmeteta.

e) kui ettevaatusabinõudest hoolimata saadetakse põhjendamatu hoiatusteade, saab selle kiiresti tühistada või ebaõiged andmed parandada või kustutada

IMI võimaldab põhjendamatu hoiatusteate saatnud pädeval asutusel selle otsekohe tühistada, muutes selle kõigile IMI kasutajatele nähtamatuks. Kui hoiatusteade oli põhjendatud, kuid teatavaid andmeid on vaja parandada, saab hoiatusteate saatnud pädev asutus seda mis tahes ajal teha. Lisaks võimaldab IMI ka hoiatusteate saanud pädevatel asutustel osutada sellele, et teatavad hoiatusteates esitatud andmed on väärad.

f) hoiatusteated suletakse niipea, kui oht on möödas; andmed muutuvad otsekohe kõigile kasutajatele nähtamatuks ja isikuandmed kustutatakse kuus kuud pärast hoiatusteate sulgemist

Kui hoiatusteate ajendiks olnud oht on möödas, tuleb hoiatus sulgeda. Seepärast võimaldab IMI asukoha liikmesriigil hoiatusteate sulgeda ja vastutavale asutusele saadetakse e-postiga meeldetuletus. Kui hoiatusteade on suletud, muutub see nähtamatuks. Hiljemalt kuus kuud pärast hoiatusteate sulgemist kustutatakse ja eemaldatakse kõik isikuandmed süsteemist automaatselt.

EDASIST KÄSITLEMIST VAJAVAD KÜSIMUSED

Kuigi enamik liikmesriike on IMI andmekaitse suhtes positiivsel seisukohal, on mõned liikmesriigid tõstatanud küsimusi, mida käsitletakse aruande käesolevas osas.

Kohaldatavad andmekaitse- ja konfidentsiaalsuseeskirjad

Isikuandmete töötlemine IMI-s tähendab ühist töötlemist (komisjon ja liikmesriigid), ühist vastutavat töötlemist (eri kasutajad ja osalised) ja ühist järelevalvet (riiklikud andmekaitseasutused ja Euroopa andmekaitseinspektor). Sellise keerulise korralduse puhul ei ole ülesannete jaotamine alati lihtne.

Taani ja Saksamaa andmekaitseasutused on arvamusel, et kuna nende territooriumil asuvad pädevad asutused peavad järgima teatavaid siseriiklikke nõudeid (nt tugevam autentimismehhanism, mida on kirjeldatud järgmises punktis), peaksid nad nõudma, et IMI vastaks kõnealustele siseriiklikele nõuetele, või süsteemi kasutamisest loobuma. Pädevad asutused edastasid selle nõude komisjonile, kes vastutab süsteemi turvalisuse eest.

Komisjon on veendunud, et IMI on turvaline süsteem ja et tõeline Euroopa võrgustik nagu IMI ei saaks lihtsalt toimida, kui iga liikmesriik nõuaks oma siseriiklike turvastandardite järgimist. Andmekaitsedirektiivi vastuvõtmisel umbes kakskümmend aastat tagasi oli kaks eesmärki: kaitsta põhiõigust andmekaitsele ja tagada isikuandmete vaba liikumine liikmesriikide ning liikmesriikide ja ELi institutsioonide[14] vahel.

Seepärast leiab komisjon, et IMI andmekaitsetagatiste kõrget taset ja Euroopa Liidu lepingu artikli 4 lõikes 3 sätestatud lojaalse koostöö põhimõtet arvestades ei tohiks riikide andmekaitseasutused takistada riikide pädevaid asutusi süsteemi kasutamast.

Autentimise tugevdamine IMI-s

IMI autentimissüsteem on ühetegurilise autentimise edasiarendatud versioon, sest see kombineerib kasutajanime ja salasõna PIN-koodiga. Süsteemi siseneda üritavalt kasutajalt küsitakse PIN-koodi märkide juhuslikult valitud kombinatsiooni.

Saksamaa ja Taani andmekaitseasutused on tundnud muret IMI autentimissüsteemi pärast. Komisjon usub, et praegune autentimismehhanism on tehnika taset ja rakenduskulusid arvestades asjakohane, kuid nõustub, et pikas perspektiivis on soovitav tugevam autentimine. Kuna liikmesriigid on võtnud kasutusele eri autentimissüsteemid, mis ei ole alati koostalitlusvõimelised, näib IMI-s tugevama autentimise kehtestamisel olevat eelislahenduseks liikmesriikide tasandil juhitavad e-identiteedid, mis muudetakse koostalitlusvõimeliseks vahendustarkvara abil.

Üheks võimaluseks on projekt STORK, mida arendab praegu konsortsium, milles osalevad mõned liikmesriigid, ja mida rahastatakse konkurentsivõime ja uuendustegevuse raamprogrammi info- ja sidetehnoloogia poliitika toetusprogrammi raames. Komisjon jälgib tähelepanelikult selle arendamisel tehtavaid edusamme järgmistel kuudel ja teeb siis otsuse, kas kasutada seda IMI-s.

Andmete turvalisust käsitletakse veel punktis 7.2.

Andmete säilitamine

Andmete IMI-s säilitamise põhimõtted on väga ranged[15] ning mõned osalised ja kasutajad on märkinud, et need tuleks läbi vaadata. Isikuandmete kiire süsteemist kustutamine ei ole alati andmesubjekti huvides, sest ta võib eelistada oma andmete pikaajalisemat säilitamist IMI-s näiteks seoses kohtumenetlusega.

Euroopa Kohus märkis oma hiljutises otsuses,[16] et õigus tutvuda andmetega[17] kehtib nii praeguste kui ka varasemate andmete suhtes. Euroopa Kohus leiab seepärast, et juurdepääsu piiramine andmete kustutamisega võib olla seadusvastane, kui ei tõendata, et teabe pikaajalisem säilitamine oleks vastutava töötleja jaoks ülearu koormav. Komisjon ei leia, et isikuandmete pikaajalisem säilitamine IMI-s oleks ülearu koormav ja seepärast kavatseb ta kaaluda pikemat säilitusperioodi, mis võiks hõlmata ka üleminekuetappi, mille jooksul andmed on blokeeritud, nii et need on enne lõplikku kustutamist kõigi kasutajate jaoks nähtamatud. Blokeerimispõhimõtte võimalikku mõju, sealhulgas seda, kellel võiks olla õigus blokeeritud andmetega tutvuda ja mis eesmärgil, analüüsitakse hoolikalt.

See on hea näide selle kohta, et enne kui teha otsus IMI toimimist reguleerivate eeskirjade sätestamise kohta siduvas õigusaktis, tuleb asjaolusid väga hoolikalt kaaluda. On oluline, et komisjon ja liikmesriigid saaksid andmekaitseasutuste osavõtu ja hea andmekaitse tagamisel tugineda süsteemi kasutamisel saadud piisavatele kogemustele, et vältida ebatõhusate või isegi kahjulike andmekaitse-eeskirjade sätestamist.

IMI kasutamine siseriiklikul otstarbel

Madalmaades nähti teenuste direktiivi ülevõtmisel ette IMI kasutamine siseriiklikul otstarbel, st teabe vahetamiseks ka Madalmaade haldusasutuste vahel. Euroopa Komisjon tunnustab seda lähenemisviisi, mis näitab IMI võimalusi haldusasutustevahelisel kasutamisel. Liikmesriigid võivad kasutada IMI-t siseriiklikul otstarbel siiski üksnes juhul, kui on täidetud järgmised kolm tingimust:

a) isikuandmete töötlemine ja teabe säilitamine komisjoni serverites on siseriikliku õiguse kohaselt õiguspärane,

b) süsteemi kasutatakse sellisena, nagu see on, samade küsimuste ja funktsioonidega, ning

c) liikmesriik võtab täieliku vastutuse mis tahes probleemide (andmekaitse- või muud probleemid) eest, mis tekivad süsteemi kasutamisel siseriiklikul otstarbel.

Seepärast on soovitatav, et liikmesriik, kes on huvitatud IMI kasutamisest siseriiklikul otstarbel, konsulteeriks kõigepealt oma riikliku andmekaitseasutusega ja võtaks seejärel ühendust komisjoniga, et arutada seda küsimust ja veenduda, et see ei ole andmekaitsealaste õigusnormidega vastuolus.

Andmekaitse erimeetmed siduvates ühenduse õigusaktides

Euroopa andmekaitseinspektor kutsus oma 12. detsembri 2007. aasta arvamuses ja komisjoniga peetud kirjavahetuses üles sätestama ELi õigusaktides siduvaid andmekaitse erimeetmeid, kui IMI kasutamine laieneb väljapoole teenuste ja kutsekvalifikatsioonide direktiive. Saksamaa andmekaitseasutused on olnud sama meelt.

2010. aastal vaatab komisjon värske pilguga üle ühtse turu toimimise ja võimaluse suurendada IMI kasutamist siseturgu käsitlevate õigusaktide rakendamise parandamisel liikmesriikides. Komisjon kaalub seega, millistes muudes poliitikavaldkondades tasuks IMI-t kasutada.

Juba praegu on olemas usaldusväärne andmekaitsemeetmete pakett ja liikmesriikidelt saadud tagasiside on olnud positiivne. Seepärast leiab komisjon, et ei oleks arukas esitada õigusakti ettepanekut enne IMI kasutusala määratlemist ja praktiliste kogemuste saamist süsteemi kasutamisel seoses teenustega. Iga tulevane ettepanek peab sellise arenguga hästi sobima, et tagada IMI-le ja andmekaitsele usaldusväärne, tulevikukindel alus.

Vahepeal jätkab komisjon andmekaitse tõhustamist IMI-s, tehes tihedalt koostööd liikmesriikide ja Euroopa andmekaitseinspektoriga, nagu märgitud allpool.

TULEVASED TÄIUSTUSED

Tehnilised täiustused

Tulevasse tarkvaraversiooni lisatakse automaatsed meeldetuletused ja kiireloomuliste küsimuste loetelud vastuste vastuvõtmiseks (et teabenõuded ja taotlused ei jääks avatuks kauemaks kui vajalik). Andmete parandamise, blokeerimise või kustutamise elektroonilise korra kohta ei ole selliseid taotlusi seni esitatud ja on väga ebatõenäoline, et neid tulevikus palju esitatakse, seepärast usub komisjon, et oleks asjakohasem kehtestada lihtsam kord, mis dokumenteeritakse nõuetekohaselt komisjoni andmekaitseametniku ja Euroopa andmekaitseinspektori abiga.

Andmete turvalisus

Kooskõlas uute suuniste ja komisjoni poolt hiljuti vastuvõetud standarditega viib komisjon 2010. aastal läbi IMI uue riskihindamise ja ajakohastab turvalisuse tagamise kava vastavalt sellele, selgitades välja, millistele süsteemi osadele tuleb tähelepanu pöörata, millised on võimalikud ohud ning vajalikud infrastruktuuri- ja tarkvarameetmed. Kui riskihindamisel ilmneb, et on vaja võtta täiendavaid turvameetmeid, lisatakse need järk-järgult tulevastesse tarkvaraversioonidesse.

2011. aasta alguses tehakse ka välisaudit, mis keskendub peamiselt süsteemi jõudlusele ja stabiilsusele, kuid võib hõlmata ka mõnda andmekaitse- ja turvalisusküsimust.

Kutsekvalifikatsioonide direktiivi läbivaatamine

2010.–2011. aastal hinnatakse kutsekvalifikatsioonide direktiivi; muu hulgas hinnatakse halduskoostööd ja IMI kasutamist, sealhulgas andmekaitse probleeme.

KOKKUVÕTE

Komisjon on rahul soovituse rakendamise ja andmekaitse olukorraga IMI-s. Ta jätkab sellegipoolest süsteemi edasist tõhustamist, eelkõige tehniliste ja andmete turvalisusega seotud täienduste tegemist.

Lisaks kavatseb komisjon uurida võimalust laiendada IMI kasutamist muudesse siseturu valdkondadesse, rakendades IMI kasutamisel teenuste valdkonnas saadavaid edasisi praktilisi kogemusi. Igas tulevases ELi õigusakti ettepanekus võetakse sellist arengut ja kaalutlusi arvesse, tagades seeläbi IMI-le ja andmekaitsele usaldusväärse ja tulevikukindla aluse.

2011. aasta esimeses kvartalis avaldatakse talituste töödokument IMI toimimise ja arengu kohta 2010. aastal. See aruanne hõlmab ka andmekaitset.

[1] K(2009) 2041 (lõplik) (ELT L 100, 18.4.2009, lk 12–28).

[2] Konsultatsioonide käigus vastasid seitseteist liikmesriiki järgmistele küsimustele.- Kas te olete võtnud ühendust oma riigi andmekaitseasutusega? Kas teie riigi andmekaitseasutus on avaldanud arvamust suuniste rakendamise kohta teie riigis?- Kas te olete kehtestanud üldised isikuandmete kaitse eeskirjad kõigile IMI kasutajatele või korraldavad teie pädevad asutused seda kohalikul tasandil?- Kas teie pädevatel asutustel on IMI-s teabenõuete ja taotluste saatmisel või neile vastamisel ette tulnud andmekaitseprobleeme?- Kas teie pädevad asutused on teatanud probleemidest karistusregistritega seotud küsimuste käsitlemisel?- Kas teie pädevad asutused on saanud andmesubjektidelt andmetega tutvumise, nende kustutamise või parandamise taotlusi?- Kas teie pädevad asutused on teadlikud isikuandmete ennetähtaegse süsteemist kustutamise võimalusest? Kas nad kasutavad seda võimalust?- Kas teie IMI-alased koolitused hõlmavad andmekaitset?

[3] Euroopa Parlamendi ja nõukogu 12. detsembri 2006. aasta direktiiv 2006/123/EÜ teenuste kohta siseturul (ELT 376, 27.12.2006, lk 36–68).

[4] Komisjon korraldas IMI koordinaatoritele 2009. aastal Brüsselis kolm ühepäevast koolituskursust, millest igaühel oli umbes 60 osalejat. Samal ajavahemikul korraldasid liikmesriigid koos kohalike, piirkondlike ja riiklike pädevate asutustega üle 100 koolitusürituse.

[5] Vt teenuste direktiivi artikkel 32.

[6] K(2007) 6306 (ELT L 13, 16.1.2008, lk 13–23).

[7] K(2009) 2041 (lõplik) (ELT L 100, 18.4.2009, lk 12–28).

[8] K(2009) 7493 (ELT L 263, 7.10.2009, lk 32–34).

[9] Hea näide riikliku andmekaitseasutuse tehnilisel toel loodud riigisisese mudeli kohta on Hispaania IMI meeskonna poolt kättesaadavaks tehtud isikuandmete kaitse eeskiri ( cláusula de privacidad ):http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf.

[10] K(2006) 3602.

[11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html

[12] Komisjoni otsus, 2. oktoober 2009, millega nähakse ette tegutsemiskord Euroopa Parlamendi ja nõukogu direktiivi 2006/123/EÜ (teenuste kohta siseturul) VI peatüki kohaseks elektrooniliseks teabevahetuseks liikmesriikide vahel.

[13] Vt soovituse 13. peatüki alajao „Käimasolev töö” punkt d.

[14] See põhimõte on selgelt sätestatud andmekaitsedirektiivi artikli 1 punktis 2 ning andmekaitsemääruse artikli 1 lõikes 1 ja põhjenduses 13: „Eesmärk on tagada nii tõhus üksikisikute põhiõiguste ja -vabaduste kaitsega seotud eeskirjade kohaldamine kui ka isikuandmete vaba liikumine liikmesriikide ja ühenduse institutsioonide või asutuste vahel, samuti ühenduse institutsioonide ja asutuste vahel seoses nende asjaomase pädevuse teostamisega”.

[15] Isikuandmeid saab ennetähtaegselt kustutada vaid paari hiireklõpsuga ja igal juhul kustutatakse kõik isikuandmed automaatselt kuus kuud pärast teabenõude sulgemist.

[16] C-553/07: Rotterdam vs. Rijkeboer.

[17] Vt direktiivi 95/46/EÜ artikli 12 punkt a.