·Kriminaalõiguskaitse valdkonnas tegutsevate ELi organite ja asutuste suhtes kohaldatav ELi isikuandmete kaitse määruse peatükk on nende organite ja asutuste puhul funktsionaalselt samaväärne õiguskaitsedirektiiviga. Kuna aga tegemist on vahetult kohaldatava määrusega, on see sõnastatud teisiti. Sellega on ette nähtud üldised normid, mida vajaduse korral täiendavad selles valdkonnas tegutsevate organite ja asutuste asutamisaktides sisalduvad erisätted. Määrusega on kehtestatud kasutatavate isikuandmete töötlemise kohandatud kord, milles võetakse arvesse selle sektori eripära, näiteks andmesubjektide teavitamise eeskirju, millega tagatakse, et uurimised on turvalised.

·Samuti on ELi isikuandmete kaitse määrusega otseselt ette nähtud Euroopa Andmekaitseinspektori tegevus, määrusega on kehtestatud tema ülesanded, volitused ja ametisse nimetamise menetlused. Isikuandmete kaitse üldmääruse ja õiguskaitsedirektiivi alusel on vastavalt nende kahe õigusakti nõuetele loodud liikmesriikide õigusega vastavad järelevalveasutused.

·Kuna määrust kohaldatakse ainult ELi institutsioonide, organite ja asutuste kui avalik-õiguslike asutuste suhtes, on sellest välja jäetud mitu isikuandmete kaitse üldmääruse sätet, mis on asjakohased üksnes erasektori puhul. Näiteks ei sisalda ELi isikuandmete kaitse määrus võimalust tugineda töötlemise õigusliku alusena vastutava töötleja õigustatud huvile.

Nagu on kirjeldatud alljärgnevates punktides, on ELi isikuandmete kaitse määrust kohandatud ELi institutsioonide, organite ja asutuste konkreetsele kontekstile.

Selleks et tagada ühtne lähenemisviis ELis isikuandmete kaitsele ja nende vabale liikumisele, on ELi isikuandmete kaitse määrus viidud võimalikult suures ulatuses kooskõlla avaliku sektori jaoks vastuvõetud andmekaitsenormidega, mis on sätestatud isikuandmete kaitse üldmääruses ja õiguskaitsedirektiivis. Kui ELi isikuandmete kaitse määruses tuginetakse samadele põhimõtetele kui isikuandmete kaitse üldmääruses, tuleks seda tõlgendada samamoodi, sest seda tuleks mõista samaväärsena isikuandmete kaitse üldmäärusega. Sama võib eeldada õiguskaitsedirektiiviga kooskõlastatud normide puhul.

Peamised andmekaitsealased õigusaktid ELis on isikuandmete kaitse üldmäärus, õiguskaitsedirektiiv ja e-privaatsuse direktiiv. Neid ei kohaldata aga isikuandmete töötlemise suhtes ELi institutsioonides, organites ja asutustes. Seepärast on ELi institutsioonide, organite ja asutuste jaoks vaja eraldi, ent siiski nimetatud õigusaktidega kooskõlas olevaid andmekaitsenorme. Need normid on sätestatud ELi isikuandmete kaitse määruses.

Käesolevas teatises on kooskõlas ELi isikuandmete kaitse määruse artikliga 97 esitatud esimene aruanne määruse kohaldamise kohta. Vastavalt ELi isikuandmete kaitse määruse artiklile 98 on teatises antud ülevaade ka aluslepingute alusel vastuvõetud õigusaktidest, millega on reguleeritud kasutatavate isikuandmete töötlemine ELi institutsioonide, organite ja asutuste poolt sellise tegevuse raames, mis jääb kriminaalasjades tehtava politsei- ja õigusalase koostöö kohaldamisalasse.

Määrus, mis käsitleb andmekaitset Euroopa Liidu institutsioonides, organites ja asutustes (edaspidi „ELi isikuandmete kaitse määrus“), on Euroopa Liidu institutsioonide, organite ja asutuste jaoks peamine andmekaitseraamistik, kui nad vastutavate töötlejate või volitatud töötlejatena isikuandmeid töötlevad. See määrus on hea valitsemistava ja hea haldustava alus ELi tasandil. Määrust on kohaldatud alates 11. detsembrist 2018, mil sellega tunnistati kehtetuks ja asendati varasem õigusakt, määrus (EÜ) nr 45/2001.

3.1ELi institutsioonide, organite ja asutuste roll vastutavate töötlejatena

ELi institutsioonidelt, organitelt ja asutustelt saadud üldine tagasiside näitab, et ELi isikuandmete kaitse määruse kohaldamise esimestel aastatel on määrus edukalt aidanud neil oma üldist andmekaitsekultuuri märkimisväärselt parandada. 94 % ELi institutsioonidest, organitest ja asutustest väitis, et ELi isikuandmete kaitse määruse jõustumine suurendas teataval määral või suurel määral nende organisatsiooni teadlikkust andmekaitsenormidest. Üldiselt väitsid ELi institutsioonid, organid ja asutused, et ELi isikuandmete kaitse määrusel on olnud positiivne mõju nende andmekaitsepõhimõtetele ning et nende töötajad on teadlikumad oma organisatsiooni vastutusest vastutava töötlejana ja isikuandmete töötlemise nõuetest.

ELi institutsioonid, organid ja asutused märkisid, et nad koostavad andmekaitsealaseid mõjuhinnanguid, teevad kindlaks andmetega seotud rikkumisi ja kõrvaldavad nende tagajärgi ning leiavad, et võrreldes kehtetuks tunnistatud määrusega (EÜ) nr 45/2001 seisneb ELi isikuandmete kaitse määruse peamine mõju lõimitud ja vaikimisi andmekaitses. Sarnaselt isikuandmete kaitse üldmäärusele muudab ELi isikuandmete kaitse määrus nähtavamaks kaasvastutuse võimaluse, mille puhul määratlevad mitu organisatsiooni üheskoos isikuandmete töötlemise eesmärgid ja vahendid. Euroopa Andmekaitseinspektor on esitanud selle teema kohta suunised ja komisjon on koostanud kaasvastutuse lepingute asutusesisesed vormid.

Kuigi ELi institutsioonide, organite ja asutuste jaoks ette nähtud täiendavatesse vastutusega seotud nõuetesse, mis on vajalikud selleks, et tõendada ELi isikuandmete kaitse määruse täitmist, suhtuti üldiselt pooldavalt, märkis mõni ELi institutsioon, organ või asutus, et määruses sisalduvad normid on toonud kaasa suurema töökoormuse. Nad juhtisid tähelepanu ka sellele, et ELi isikuandmete kaitse määruses on kehtestatud suhteliselt keerulised normid, mis tähendab seda, et ELi institutsioonid, organid ja asutused vajavad rohkem eksperditeadmisi, muu hulgas nii oma andmekaitseametnike seas kui ka andmekaitsekoordinaatorite võrgustikes nende ELi institutsioonide, organite ja asutuste puhul, kus on sellised võrgustikud olemas.

Kõik ELi institutsioonid, organid ja asutused peale kahe hoiavad töötlemistoiminguid käsitlevaid andmeid keskregistris. Kuigi see ei ole ELi isikuandmete kaitse määruse kohane erinõue, siis on tegemist hea tavaga, mida soovitab ka Euroopa Andmekaitseinspektor. Peale selle on 72 % ELi institutsioonidest, organitest ja asutustest kandnud registrisse ka kõik andmekaitseametnikule eelmise määruse alusel esitatud teated. Need ELi institutsioonid, organid ja asutused, kes ei ole seda ülesannet veel lõpule viinud, peaksid oma töötlemistoiminguid käsitlevad dokumendid läbi vaatama ja neid ajakohastama, et tagada nende terviklikkus ja ajakohasus.

3.2Andmesubjektide õiguste teostamine

ELi isikuandmete kaitse määrusega antakse andmesubjektidele seoses nende isikuandmete töötlemisega mitmesuguseid õigusi, mis on kooskõlas isikuandmete kaitse üldmäärusega. Vastutavate töötlejatena on ELi institutsioonidel, organitel ja asutustel konkreetne kohustus nende õiguste teostamist hõlbustada. Selle tulemusel märkis 96 % ELi institutsioonidest, organitest ja asutustest, et nad on korraldanud selliseid teadlikkuse suurendamise alaseid tegevusi nagu nende töötlemistoiminguid käsitleva avalikult kättesaadava teabe ajakohastamine ning teabesõnumite ja andmesubjektidele juhiste esitamine.

Mitu ELi institutsiooni, organit ja asutust, näiteks komisjon, Euroopa Keskpank ja Euroopa välisteenistus teatasid üksikisikutelt saadud taotluste arvu selgest suurenemisest aastatel 2018–2021. Teiste, näiteks Euroopa Liidu Kohtu, Euroopa Majandus- ja Sotsiaalkomitee ning Euroopa Liidu Varjupaigaameti puhul püsisid need arvud aga stabiilsed või kõikusid ilma selge suundumuseta. Võttes arvesse asjaolu, et eri liiki taotluste registreerimine on ELi institutsioonide, organite ja asutuste lõikes erinev, ei ole veel võimalik teha kindlaks selget suundumust seoses nende taotluste arvuga, mille andmesubjektid on esitanud alates ELi isikuandmete kaitse määruse jõustumisest.

3.3Andmesubjektide õiguste piiramine sise-eeskirjade abil

Sarnaselt isikuandmete kaitse üldmäärusele on ELi isikuandmete kaitse määrusega ette nähtud võimalus piirata mõningaid andmesubjektide õigusi. Seda saab teha seadusandlike aktidega ja sise-eeskirjade abil. Selliste sise-eeskirjade suhtes kohaldatakse rangeid kriteeriume. Need peavad olema selged ja täpsed ning nende kohaldamine peab olema ettenähtav isikute jaoks, kelle suhtes neid kohaldatakse. Eeskirjad tuleb avaldada Euroopa Liidu Teatajas ning need peavad vastama põhiõiguste hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele.

Sise-eeskirjadel põhinevad piirangud võivad olla seotud ainult ELi institutsioonide, organite ja asutuste toimimisega. Nende piirangute puhul tuleb austada põhiõigusi ja -vabadusi, need peavad olema demokraatlikus ühiskonnas vajalikud ja proportsionaalsed meetmed ning nende eesmärk peab olema tagada mõne ELi isikuandmete kaitse määruses konkreetselt loetletud eesmärgi täitmine. Kõikidel andmesubjektidel, kelle õigusi on piiratud, on õigus esitada kaebus Euroopa Andmekaitseinspektorile.

Valdav osa (84 %) ELi institutsioone, organeid ja asutusi on sise-eeskirjad vastu võtnud. Sellised eeskirjad on kehtestatud näiteks eesmärgiga lükata edasi teabe esitamine asutusesisese haldusuurimisega seotud isikule. Muudel juhtudel on eeskirjade eesmärk tagada tulemusliku koostöö jätkumine liikmesriikidega valdkondades, kus ELi institutsiooni, organi või asutuse tegevuses tuginetakse liikmesriikide pädevatelt asutustelt saadud teabele. Näiteks sise-eeskirjad, mille komisjon on võtnud vastu isikuandmete töötlemise kohta oma konkurentsialases, pettustevastases ja siseauditiga seotud tegevuses, hõlmavad võimalust kehtestada andmesubjektide õigustele piiranguid juhul, kui isikuandmed on saadud liikmesriikide pädevatelt asutustelt. Nende eeskirjadega on ette nähtud võimalus kehtestada sarnaseid piiranguid juhul, kui liikmesriikide ametiasutused on kehtestanud piiranguid isikuandmete kaitse üldmääruse või õiguskaitsedirektiivi alusel lubatud seadusandliku meetme põhjal.

Kui ELi institutsioonid, organid või asutused on võtnud vastu sise-eeskirjad, millega lubatakse piirata andmesubjektide õigusi, kohaldatakse neid eeskirju üldjuhul iga juhtumi suhtes eraldi, nagu on ette nähtud nendesamade eeskirjadega. 69 % ELi institutsioonidest, organitest ja asutustest, kes on kehtestanud artikli 25 kohased eeskirjad, teatasid aga, et nad ei ole neid veel kasutanud. Need ELi institutsioonid, organid ja asutused, kes on sise-eeskirju kasutanud, teatasid vähem kui kümnest piirangute kehtestamise juhtumist, välja arvatud Euroopa Parlament ja komisjon. Piirangute kehtestamise vajadus on kõige sagedamini tekkinud OLAFi tegevuses, eelkõige juhtudel, kui uurimise algetapis on vaja edasi lükata andmesubjektide teavitamine isikuandmete töötlemisest, et mitte kahjustada tõendite kogumist. Samuti kohaldas OLAF mitut piirangut seoses andmesubjektide taotlustega tutvuda oma isikuandmetega, mis lükati tagasi ainult teiste isikute õiguste ja vabaduste kaitsmise eesmärgil, näiteks kui andmete avalikustamise tagajärjel oleks informaatorit ohustanud kättemaks.

ELi institutsioonide, organite ja asutuste sise-eeskirjade kohaselt peavad nad üldjuhul teavitama oma andmekaitseametnikke kõikidest kohaldatavatest piirangutest ning tegema andmekaitseametnikule kättesaadavaks neid rikkumisi käsitlevad andmed ja dokumendid.

3.4Andmekaitseametnikud

Kohustus, et igas ELi institutsioonis, organis ja asutuses peab olema andmekaitseametnik, oli sätestatud juba varasemas määruses (EÜ) nr 45/2001. ELi isikuandmete kaitse määrusega on see roll vastutuse põhimõtte kehtestamise teel nähtavamaks muudetud. See tähendab, et vastutav töötleja vastutab andmekaitsenormide täitmise eest ja peab suutma nende täitmist tõendada.

46 %-s ELi institutsioonidest, organitest ja asutustest toetavad andmekaitseametnikke andmekaitsekoordinaatorite võrgustikud või sarnased struktuurid. Sellised võrgustikud on suurema tõenäosusega olemas suuremates ELi institutsioonides, organites ja asutustes (näiteks Euroopa Parlamendis, nõukogu peasekretariaadis, komisjonis ja Euroopa välisteenistuses). Euroopa välisteenistus korraldab ja haldab ka ELi delegatsioonides tegutsevate andmekaitsekorrespondentide võrgustikku.

Mitu ELi institutsiooni, organit ja asutust märkisid, et nende andmekaitseametnike (ja seega ka andmekaitsekoordinaatorite) kohustused ja töökoormus on kasvanud. Nad tunnistavad vajadust anda andmekaitseametnikele (ja andmekaitsekoordinaatoritele) rohkem ressursse eesmärgiga tagada, et nad suudavad ELi institutsioonide, organite ja asutuste andmekaitsepõhimõtteid tulemuslikult rakendada. Samuti mainiti vajadust tagada andmekaitseametnike sõltumatus.

Selles kontekstis esineb kaks suundumust. Ühelt poolt pannakse ELi isikuandmete kaitse määruses suuremat rõhku vastutava töötleja vastutusele, näiteks varasema määruse (EÜ) nr 45/2001 alusel kehtinud eelkontrolli menetluse kaotamise teel, vähendades seega halduskoormust. Teiselt poolt küsivad vastutavad töötlejad andmekaitseametnikelt/-koordinaatoritelt rohkem suuniseid selle kohta, kuidas ELi isikuandmete kaitse määrust paremini järgida. Sellega seoses märgiti, et ELi institutsioonide, organite ja asutuste andmekaitseametnike võrgustik on loonud olulise foorumi, kus arutada ja selgitada teatavaid ELi institutsioonides, organites ja asutustes toimuvale andmete töötlemisele spetsiifilisi õiguslikke ja tehnilisi aspekte. See võrgustik pakub platvormi teabevahetuseks andmekaitseametnike ja Euroopa Andmekaitseinspektori vahel ning andmekaitseametnike endi vahel. Koostöö toimub pidevalt ja tavaliselt tullakse kokku kaks korda aastas.

Üle poole ELi institutsioonidest, organitest ja asutustest (54 %) on andnud oma andmekaitseametnikele ja andmekaitsega seotud ülesannete jaoks üldisemalt rohkem ressursse. Enamik ELi institutsioone, organeid ja asutusi (84 %) on kohandanud oma sisemenetlusi selle tagamiseks, et nende töötajad teavitavad andmekaitseametnikke uutest isikuandmete töötlemise toimingutest ja konsulteerivad nendega selles küsimuses. Üldjuhul tehakse seda nii, et andmekaitseametnikud kaasatakse näiteks muutuste juhtimise protsessidesse või projektide juhtnõukogudesse.