KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE Usalduse taastamine ELi ja Ameerika Ühendriikide vaheliste andmevoogude vastu /* COM/2013/0846 final */





1. Sissejuhatus: ELi ja Ameerika Ühendriikide andmetöötluse muutuv keskkond Euroopa Liit ja Ameerika Ühendriigid on strateegilised partnerid ning see partnerlus on oluline, et edendada meie ühiseid väärtusi, tagada julgeolek ja ühine juhtpositsioon maailmaareenil. Kuid usaldus partnerluse vastu on saanud löögi ja tuleb taastada. Kui tulid avalikuks laiaulatuslike Ameerika Ühendriikide luureandmete kogumise programmide paljastused, väljendasid EL, tema liikmesriigid ja kodanikud sügavat muret, eelkõige seoses isikuandmete kaitsega[1]. Kodanike, ettevõtjate ja juhtivate poliitikute erasuhtluse massiline jälgimine on vastuvõetamatu. Isikuandmete edastamine on atlandiüleste suhete oluline ja vajalik aspekt. See moodustab atlandiüleste kaubandussuhete lahutamatu osa muu hulgas uute kasvavate digitaalettevõtete jaoks, kes tegutsevad näiteks sotsiaalmeedia või pilvandmetöötluse vallas ja edastavad EList Ameerika Ühendriikidesse suuri andmehulki. Samuti moodustab isikuandmete edastamine olulise osa ELi ja Ameerika Ühendriikide õiguskaitsealasest koostööst, aga ka liikmesriikide ja USA vahelisest koostööst riikliku julgeoleku valdkonnas. Selleks et hõlbustada andmete liikumist ja tagada samal ajal andmekaitse kõrge taseme, nagu on ette nähtud ELi õigusaktidega, on Ameerika Ühendriigid ja EL sõlminud mitu lepingut ja kokkulepet. Kaubandussuhetega seotud andmevahetust käsitletakse otsuses 2000/520/EÜ[2] (edaspidi „programmi Safe Harbour käsitlev otsus”). Otsuses on sätestatud õiguslik alus isikuandmete edastamiseks EList Ameerika Ühendriikides asuvatele äriühingutele, kes järgivad programmi Safe Harbour põhimõtteid. ELi ja USA vahelist isikuandmete vahetust õiguskaitse, sh terrorismi ja muude raskete kuriteovormide ärahoidmise ja nendevastase võitluse eesmärgil reguleeritakse ELi tasandil mitme lepinguga. Kõnealused lepingud on järgmised: vastastikuse õigusabi osutamise leping,[3] broneeringuinfo kasutamist ja edastamist käsitlev leping,[4] leping finantstehinguid käsitlevate sõnumiandmete töötlemise ja edastamise kohta terroristide rahastamise jälgimise programmi raames (TFTP leping)[5] ning Europoli ja Ameerika Ühendriikide vahel sõlmitud leping. Need lepingud on sõlmitud oluliste julgeolekuprobleemide lahendamiseks ning vastavad ELi ja Ameerika Ühendriikide ühistele julgeolekuhuvidele, tagades samal ajal isikuandmete kõrgetasemelise kaitse. Lisaks sellele peavad EL ja Ameerika Ühendriigid praegu läbirääkimisi raamlepingu üle, mis käsitleb andmekaitset politsei- ja õigusalase koostöö raames (edaspidi „raamleping”)[6]. Eesmärk on tagada kõrgetasemeline isikuandmete kaitse kodanike jaoks, kelle andmeid vahetatakse, edendades nii ELi ja Ameerika Ühendriikide vahelist ühistel väärtustel ja kokkulepitud tagatistel põhinevat koostööd võitluses kuritegevuse ja terrorismiga. Need lepingud toimivad valdkonnas, kus isikuandmete vood muutuvad üha tähtsamaks. Ühest küljest on digitaalmajanduse areng viinud andmetöötlusega seotud toimingute arvu hüppelise kasvuni ning on paranenud nende kvaliteet, suurenenud erinevate toimingute hulk ja tehingud muutunud oma iseloomult mitmekesisemaks. Inimesed kasutavad oma igapäevaelus üha enam elektroonilise side teenuseid. Isikuandmed on muutunud väga väärtuslikuks: 2011. aastal oli ELi kodanike andmete hinnanguline väärtus 315 miljardit eurot ning see võib kasvada 2020. aastaks peaaegu 1 triljoni võrra aastas[7]. Suurte andmehulkade analüüsi turg kasvab kogu maailmas 40 % aastas[8]. Näiteks pilvandmetöötlusega seotud tehnoloogiline areng paneb rahvusvahelise andmeedastuse mõiste perspektiivi, sest piiriülesed andmevood saavad osaks meie igapäevaelust[9]. Elektroonilise side ja andmetöötlusteenuste, sealhulgas pilvandmetöötluse üha ulatuslikum kasutamine on samuti oluliselt suurendanud atlandiülese andmete edastamise ulatust ja tähtsust. Üha olulisemaks on muutunud sellised elemendid nagu USA äriühingute keskne koht digitaalmajanduses,[10] valdava osa elektrooniliste sideühenduste atlandiülene marsruut ning ELi ja Ameerika Ühendriikide vaheliste elektrooniliste andmevoogude maht. Isikuandmete töötlemise uute meetoditega seoses kerkivad teisalt aga uued ja tähtsad küsimused. See kehtib nii uute vahendite suhtes, millega eraettevõtted töötlevad ärieesmärkidel suures mahus tarbijaandmeid, kui ka luureteenistuste suurema suutlikkuse suhtes teostada andmevahetuse laiaulatuslikku jälgimist. Ulatuslikud Ameerika Ühendriikide luureandmete kogumise programmid, nagu PRISM, mõjutavad eurooplaste põhiõigusi ning eelkõige nende õigust eraelu puutumatusele ja isikuandmete kaitsele. Need programmid osutavad seosele valitsusepoolse jälgimise ja eraettevõtetepoolse (nimelt USA internetiettevõtjad) andmete töötlemise vahel. Seega võib neil olla majanduslik mõju. Kui kodanikud on internetiteenuseid kasutades mures, et eraettevõtted töötlevad suures mahus nende isikuandmeid või luureteenistused jälgivad nende andmeid, siis võib see mõjutada nende usaldust digitaalmajanduse vastu ja sellel omakorda võivad olla negatiivsed tagajärjed majanduskasvule. Selline areng viib uute küsimuste tekkimiseni seoses ELi ja Ameerika Ühendriikide vahelise andmevahetusega. Neid küsimusi käsitletaksegi käesolevas teatises. Teatises uuritakse, kuidas tegutseda edasi, võttes aluseks ELi ja USA ajutise andmekaitse töörühma ELi kaasesimeeste aruandes esitatud tulemused ja programmi Safe Harbour käsitleva teatise. Püütakse leida tulemuslikku lahendust, et taastada usaldus ning edendada ELi ja Ameerika Ühendriikide koostööd nendes valdkondades, tugevdades ühtlasi atlandiüleseid suhteid laiemalt. Teatis põhineb eeldusel, et isikuandmete kaitse taset tuleb käsitleda õiges kontekstis, ilma et see mõjutaks ELi ja Ameerika Ühendriikide suhete muid valdkondi, sealhulgas pooleliolevaid läbirääkimisi atlandiülese kaubandus- ja investeerimispartnerluse üle. Seepärast ei käsitleta andmekaitsenõudeid läbirääkimistel, mida peetakse atlandiülese kaubandus- ja investeerimispartnerluse üle, mis järgib täielikult andmekaitsenorme. On oluline märkida, et EL võib võtta meetmeid oma pädevusse kuuluvates valdkondades, eelkõige selleks et tagada ELi õiguse kohaldamine,[11] kuid riigi julgeoleku tagamine kuulub iga liikmesriigi ainupädevusse[12]. 2. Mõju andmete edastamist käsitlevatele õigusaktidele ELi ja Ameerika Ühendriikide vahelise andmete edastamise oluline abivahend ärieesmärkidel edastatavate andmete jaoks on programm Safe Harbour. Kuna isikuandmete vood on atlandiüleste kaubandussuhetega seoses aina suurenenud, on ka programmi Safe Harbour majanduslik tähtsus kasvanud. Viimase 13 aasta jooksul on programmi Safe Harbour kaasatud üle 3 000 äriühingu, kellest enam kui pooled on liitunud viimase viie aasta jooksul. Suurenenud on aga mure programmi Safe Harbour raames Ameerika Ühendriikidele edastatud ELi kodanike isikuandmete kaitsetaseme pärast. Programmi vabatahtliku ja deklaratiivse iseloomu tõttu keskendutakse põhjalikumalt selle läbipaistvusele ja nõuete järgimisele. Enamik USA äriühinguid kohaldab programmi põhimõtteid, kuid osa äriühinguid seda siiski ei tee. Asjaolu, et mõned ise neid põhimõtteid järgima kohustunud äriühingud seda ei tee, annab neile samadel turgudel tegutsevate Euroopa ettevõtjatega võrreldes konkurentsieelise. Kuna programmi Safe Harbour raames on lubatud vajaduse korral piirata riigi julgeolekuga seotud põhjustel andmekaitsenormide kohaldamist,[13] on tekkinud küsimus, kas riigi julgeoleku seisukohast on vajalik ja proportsionaalne isikuandmete suuremahuline kogumine ja töötlemine Ameerika Ühendriikide jälgimisprogrammide raames. ELi ja USA ajutise andmekaitse töörühma järeldustest ilmneb, et kõnealuste programmide raames ei ole ELi kodanikel samu õigusi ega kaitsemeetmeid kui ameeriklastel. Ameerika jälgimisprogrammide ulatus ja ELi kodanike ebavõrdne kohtlemine seavad küsimärgi alla programmi Safe Harbour pakutava kaitse taseme. Programmi Safe Harbour raames Ameerika Ühendriikidele saadetavatele ELi kodanike isikuandmetele on juurdepääs Ameerika Ühendriikide ametiasutustel, kes võivad kõnealuseid andmeid töödelda ka viisil, mis ei vasta põhjustele, miks andmed ELis algselt koguti, ega eesmärkidele, miks need USA-le edastati. Enamik Ameerika Ühendriikide internetiühenduse pakkujaid, keda eelnimetatud programmid otsesemalt puudutavad, on programmi Safe Harbour raames sertifitseeritud. Kui tegemist on andmete vahetamisega õiguskaitse eesmärgil, on olemasolevad lepingud (broneeringuinfo, terroristide rahastamise jälgimise programm) osutunud väärtuslikeks vahenditeks, et võidelda ühiste julgeolekuohtudega, mis on seotud raskete rahvusvaheliste kuritegude ja terrorismiga, sest need lepingud sisaldavad norme, millega tagatakse andmekaitse kõrge tase[14]. Need normid laienevad ELi kodanikele ning lepingutes on sätestatud nende rakendamise ja nendega seotud probleemide lahendamise läbivaatamise kord. TFTP lepinguga luuakse järelevalvesüsteem, mille kohaselt ELi sõltumatud järelevalve teostajad kontrollivad, kuidas Ameerika Ühendriikides lepingu reguleerimisalasse kuuluvates andmetes otsinguid tehakse. Arvestades ELi muret Ameerika Ühendriikide jälgimisprogrammide pärast, kasutas Euroopa Komisjon kõnealuseid mehhanisme, et kontrollida, kuidas lepinguid kohaldatakse. Broneeringuinfo leping vaadati ühiselt läbi ning läbivaatamises osalesid ELi ja Ameerika Ühendriikide andmekaitseeksperdid, kes kontrollisid seda, kuidas lepingut on rakendatud[15]. Läbivaatamise käigus ei ilmnenud, et Ameerika Ühendriikide jälgimisprogramme kohaldatakse broneeringuinfo lepinguga hõlmatud reisijate andmete töötlemise suhtes või et need programmid nimetatud andmeid mõjutavad. Seoses terroristide rahastamise jälgimise programmi käsitleva lepinguga alustas komisjon ametlikku konsultatsiooni pärast seda, kui väideti, et lepingu vastaselt on Ameerika Ühendriikide luureteenistustel otsene juurdepääs isikuandmetele ELis. Konsultatsiooni käigus ei ilmnenud TFTP lepingu rikkumist kinnitavaid asjaolusid ja selle tulemusena esitasid Ameerika Ühendriigid kirjaliku kinnituse selle kohta, et lepingu vastast otsest andmete kogumist ei ole toimunud. Isikuandmete suuremahuline kogumine ja töötlemine Ameerika Ühendriikide julgeolekuprogrammide raames nõuavad ka tulevikus broneeringuinfo ja TFTP lepingute rakendamise üle väga tähelepanelikku järelevalvet. EL ja Ameerika Ühendriigid on seetõttu leppinud kokku, et valmistavad ette TFTP lepingu järgmise ühise läbivaatamise, mis toimub 2014. aasta kevadel. Nii selles kui ka järgmistes ühistes ülevaadetes tagatakse suurem läbipaistvus järelevalvesüsteemi toimimise ja ELi kodanike andmete kaitse osas. Samal ajal võetakse meetmeid tagamaks, et järelevalvesüsteemi raames kontrollitakse ka edaspidi täpselt seda, kuidas lepingu kohaselt Ameerika Ühendriikidele edastatud andmeid töödeldakse, kusjuures eelkõige keskendutakse sellele, kuidas neid andmeid jagatakse USA ametiasutuste vahel. Kolmandaks, isikuandmete töötlemise mahu kasv suurendab veelgi kohaldatavate õigus- ja haldusnormide tähtsust. ELi ja USA ajutise andmekaitse töörühma üks eesmärke oli kindlaks teha, milliseid kaitsva iseloomuga norme kohaldatakse, et andmete töötlemise mõju ELi kodanike põhiõigustele oleks võimalikult väike. Kaitsenorme on samuti tarvis äriühingute kaitsmiseks. Teatavate Ameerika Ühendriikide seaduste alusel, nagu Patriot Act, on USA ametiasutustel võimalik otse taotleda äriühingute juurdepääsu ELis säilitatavatele andmetele. Seetõttu võidakse Euroopa äriühingutelt ja ELis tegutsevatelt USA äriühingutelt nõuda andmete edastamist USAle, rikkudes seega ELi ja liikmesriikide õigusakte ning pannes nad järelikult olukorda, kus nad peavad täitma eri seadustest tulenevaid vastukäivaid kohustusi. Sellistest otsetaotlustest tulenev õiguslik ebakindlus võib pärssida uute digiteenuste nagu pilvandmetöötlus arengut, mis võiksid pakkuda nii eraisikutele kui ka ettevõtjatele tõhusaid ja odavamaid lahendusi. 3. Tõhusa andmekaitse tagamine ELi ja Ameerika Ühendriikide vaheline isikuandmete vahetamine on atlandiüleste kaubandussuhete oluline osa. Ka teabevahetus on ELi ja USA julgeolekukoostöö oluline komponent, millel on keskne tähtsus ühise eesmärgi saavutamisel: raskete kuritegude ja terrorismi ärahoidmisel ja tõkestamisel. Hiljutised paljastused Ameerika Ühendriikide andmekogumisprogrammide kohta on kahjustanud usaldust, millel see koostöö põhineb. Eelkõige on mõjutanud isikuandmete töötlemise usaldusväärsust. Selleks et taastada usaldus digitaalmajandust soodustava andmeedastuse, ELis ja Ameerika Ühendriikides tagatud julgeoleku ning atlandiüleste suhete vastu laiemalt, tuleb võtta järgmised meetmed. 3.1. ELi andmekaitsereform Andmekaitsereform, mille kohta komisjon tegi ettepaneku 2012. aasta jaanuaris,[16] on suur samm edasi isikuandmete kaitse valdkonnas. Esitatud andmekaitsepaketi viis komponenti on eriti tähtsad. Esiteks, seoses territoriaalse kohaldamisalaga nähakse määruse ettepanekus täpselt ette, et äriühingud, mille asukoht ei ole liidus, peavad Euroopa tarbijatele kaupu ja teenuseid pakkudes või nende käitumist jälgides kohaldama ELi andmekaitsealaseid õigusakte. Teisisõnu: austatakse põhiõigust andmekaitsele, sõltumata äriühingu või tema töötlemisüksuse geograafilisest asukohast[17]. Teiseks nähakse määruse ettepanekus ette tingimused, mille kohaselt võib rahvusvahelise andmeedastuse korral andmeid edastada väljapoole ELi. Andmete edastamine on lubatud ainult siis, kui on täidetud tingimused, millega tagatakse üksikisiku õigus kõrgetasemelisele kaitsele[18]. Kolmandaks, kavandatava määruse normide täitmiseks nähakse ettepanekus ette proportsionaalsed ja hoiatavad karistused (kuni 2 % äriühingu aasta kogukäibest) tagamaks, et äriühingud tegutsevad kooskõlas ELi õigusega[19]. Mõjuvate karistuste olemasolu sunnib äriühinguid järgima ELi õigusnorme. Neljandaks, määruse ettepanekus on selgelt sätestatud andmete töötlejate, nagu pilveteenuste pakkujate kohustused ja vastutus, sealhulgas seoses julgeolekuga[20]. Nagu on ilmnenud Ameerika Ühendriikide luureandmete kogumise programmidega seotud paljastustest, on see keskse tähtsusega, sest need programmid mõjutavad pilves talletatud andmeid. Pilveteenuseid pakkuvad äriühingud, kellel palutakse edastada isikuandmeid välisriikide ametiasutustele, ei saa oma kohustustest kõrvale hoida, viidates sellele, et nad on pigem volitatud töötlejad kui vastutavad töötlejad. Viiendaks, paketiga kehtestatakse õiguskaitseasutuste poolt töödeldavate isikuandmete kaitset põhjalikult reguleerivad normid. Paketi suhtes on kavas jõuda õigeaegselt kokkuleppele 2014. aasta jooksul[21]. 3.2. Programmi Safe Harbour turvalisemaks muutmine ELi ja Ameerika Ühendriikide vahelistes kaubandussuhetes mängib olulist rolli programm Safe Harbour, mida kasutavad äriühingud mõlemal pool Atlandi ookeani. Programmi Safe Harbour toimimist käsitlevas komisjoni aruandes ilmnes hulk kitsaskohti. Kuna läbipaistvus ei ole piisav ja programmi nõuete täitmise tagamine on puudulik, ei järgi kõik programmi Safe Harbour liikmeks olevad äriühingud programmi põhimõtteid. Sellel on negatiivne mõju ELi kodanike põhiõigustele. Samuti seab see ebasoodsasse olukorda Euroopa äriühingud võrreldes nende Ameerika Ühendriikide äriühingutega, kes küll tegutsevad programmi alusel, kuid ei kohalda selle põhimõtteid. Lisaks mõjutab see enamikku Ameerika Ühendriikide äriühinguid, kes kohaldavad programmi nõuetekohaselt. Programm Safe Harbour on ühtlasi kanaliks, mille kaudu edastatakse ELi kodanike isikuandmeid EList Ameerika Ühendriikidele äriühingute poolt, kes peavad Ameerika Ühendriikide luureandmete kogumise programmide raames edastama andmeid USA luureteenistustele. Juhul kui kitsaskohti ei kõrvaldata, jäävad ELi äriühingud ebasoodsasse konkurentsiolukorda ja ELi kodanike põhiõigus andmekaitsele ei ole tagatud. Programmi Safe Harbour puudustele on tähelepanu juhitud ka Euroopa andmekaitseasutuste vastuses, kus käsitletakse hiljutisi jälitustegevusega seotud paljastusi. Programmi Safe Harbour käsitleva otsuse artiklis 3 antakse kõnealustele ametiasutustele õigus teatavatel tingimustel andmete edastamine peatada[22]. Saksamaa andmekaitseametnikud on otsustanud, et nad ei väljasta uusi lube andmete edastamiseks kolmandatele riikidele (näiteks teatavate pilveteenuste kasutamiseks). Lisaks sellele kavatsevad nad uurida, kas andmete edastamine programmi Safe Harbour raames tuleks peatada[23]. Kui selliseid meetmeid võetakse riiklikul tasandil, tekib oht, et programmi Safe Harbour kohaldatakse erinevalt ning see lakkaks olemast ELi ja Ameerika Ühendriikide vahelise isikuandmete edastamise keskne mehhanism. Komisjonil on direktiivi 95/46/EÜ kohaselt õigus peatada või tühistada programmi Safe Harbour käsitlev otsus, kui programm ei paku enam nõuetekohasel tasemel kaitset. Lisaks sellele nähakse programmi Safe Harbour käsitleva otsuse artiklis 3 ette, et komisjon võib otsuse tühistada või peatada või piirata selle reguleerimissala ning artikli 4 kohaselt võib ta otsust igal ajal muuta vastavalt selle rakendamise kogemusele. Eelnevat arvesse võttes võib kaaluda mitmeid poliitilisi valikuid, sealhulgas: hetkeolukorra säilitamine; programmi Safe Harbour tugevdamine ja selle toimimise põhjalik läbivaatamine; programmi Safe Harbour käsitleva otsuse peatamine või tühistamine. Pidades silmas kindlaks tehtud puudusi, ei ole programmi Safe Harbour kohaldamist praegusel kujul võimalik jätkata. Programmi tühistamisel oleks siiski kahjustav mõju programmis osalevate ELi ja Ameerika Ühendriikide äriühingute huvidele. Komisjon on seisukohal, et programmi Safe Harbour tuleks pigem tugevdada. Muudatused peaksid kõrvaldama läbipaistvuse ja normide täitmise tagamisega seotud struktuursed probleemid, tugevdama programmi keskseid põhimõtteid ning olema suunatud riikliku julgeolekuga seotud erandi kohaldamisele. Selleks et programm Safe Harbour toimiks kavakohaselt, peavad Ameerika Ühendriikide ametiasutused teostama tõhusamat ja järjekindlamat järelevalvet ja kontrolli selle üle, kas äriühingud järgivad programmi Safe Harbour põhimõtteid. Sertifitseeritud äriühingute andmekaitse-eeskirjad peavad olema selgemad. ELi kodanikele tuleb tagada vaidluste lahendamise mehhanismide kättesaadavus ja taskukohasus. Komisjon alustab Ameerika Ühendriikide ametiasutustega kiiresti koostööd, et arutada kindlaks tehtud kitsaskohti. 2014. aasta suveks tuleks kindlaks määrata õiguskaitsevahendid ja need võimalikult kiiresti kasutusele võtta. Eelneva põhjal koostab komisjon täieliku ülevaate programmi Safe Harbour toimimisest. See ulatuslikum läbivaatamine peaks hõlmama avalikku arutelu ning mõttevahetust Euroopa Parlamendis ja nõukogus, aga ka diskussioone Ameerika Ühendriikide ametiasutustega. On oluline, et programmi Safe Harbour käsitlevas otsuses riikliku julgeoleku põhjustel tehtavat erandit kohaldatakse ainult siis, kui see on otseselt vajalik ja proportsionaalne. 3.3. Andmekaitsemeetmete tugevdamine õiguskaitsealases koostöös EL ja Ameerika Ühendriigid peavad praegu läbirääkimisi andmekaitsealase raamlepingu üle, milles käsitletakse isikuandmete edastamist ja töötlemist kriminaalasjades tehtava politsei- ja õigusalase koostöö raames. Kui sõlmitakse selline leping, millega tagatakse kõrgetasemeline isikuandmete kaitse, suureneks atlandiülene vastastikune usaldus oluliselt. Edendades ELi kodanike isikuandmete kaitse õigust aitaks see leping tugevdada atlandiülest koostööd terrorismi ja kuritegevuse ärahoidmisel ning võitluses nende vastu. Vastavalt otsusele, millega komisjonile antakse volitused pidada raamlepingu üle läbirääkimisi, peaks läbirääkimiste eesmärk olema tagada kõrgetasemeline kaitse kooskõlas ELi andmekaitsealaste õigusaktidega. See peaks kajastuma kokkulepitud eeskirjades ja kaitsemeetmetes, mis käsitlevad muu hulgas andmete säilitamise eesmärki, tingimusi ja kestust. Läbirääkimiste raames peaks komisjon sõlmima kokkuleppe kohtulikult kaitstavate õiguste, sealhulgas kohtuliku õiguskaitsemehhanismi kohta ELi kodanike jaoks, kes ei ela Ameerika Ühendriikides[24]. ELi ja Ameerika Ühendriikide tihedat koostööd ühiste julgeolekuprobleemide lahendamiseks peaks peegeldama jõupingutused tagamaks, et kodanikel on mõlemal pool Atlandi ookeani võrdsed õigused, kui töödeldakse samu andmeid samadel eesmärkidel. Lisaks sellele on oluline, et riikliku julgeoleku tõttu tehtavad erandid on täpselt määratletud. Seetõttu tuleks kaitsemeetmetes ja piirangutes kokku leppida. Läbirääkimised annavad võimaluse selgitada, et ELis asuvate eraettevõtete valduses olevatele isikuandmetele puudub Ameerika Ühendriikide õiguskaitseasutustel otsene juurdepääs ja neid ei tohi kõnealustele asutustele edastada väljaspool ametlikke koostöökanaleid, nagu vastastikuse õigusabi kokkulepped või ELi ja USA vahel sõlmitud valdkondlikud lepingud, mille alusel andmete edastamine on lubatud. Muu juurdepääs tuleks välistada, välja arvatud juhul, kui see toimub selgelt määratletud ja erakorralises olukorras ning kui on võimalik kohtulik kontroll. Ameerika Ühendriigid peaksid sellega seoses võtma asjaomased kohustused[25]. Kõnealustel tingimustel sõlmitud raamleping peaks pakkuma üldise raamistiku, et tagada isikuandmete kõrgetasemeline kaitse, kui neid edastatakse Ameerika Ühendriikidele kuritegude ja terrorismi ärahoidmiseks ja tõkestamiseks. Valdkondlikes kokkulepetes tuleks vajaduse korral andmete edastamise olemuse tõttu ette näha täiendavad eeskirjad ja kaitsemeetmed, mille aluseks on näiteks ELi ja Ameerika Ühendriikide vaheline broneeringuinfo leping ja TFTP leping, milles sätestatakse andmete edastamise ranged tingimused ja kaitsenormid ELi kodanike õiguste tagamiseks. 3.4. Euroopale muret valmistavad küsimused seoses Ameerika Ühendriikides toimuva reformiga Ameerika Ühendriikide president Barack Obama on teatanud USA riiklike julgeolekuasutuste tegevuse, sealhulgas kohaldatava õigusraamistiku läbivaatamisest. See praegu pooleli olev protsess pakub olulise võimaluse käsitleda hiljutiste paljastuste käigus tõstatatud ELi probleeme seoses Ameerika Ühendriikide luureandmete kogumise programmidega. Kõige olulisemad muudatused oleksid Ameerika Ühendriikide kodanikele ja elanikele kohaldatavate kaitsenormide laiendamine ELi kodanikele, kes ei ela USAs, luuretegevuse läbipaistvuse suurendamine ning järelevalve tugevdamine. Nende muudatustega taastataks usaldus ELi ja Ameerika Ühendriikide vahelise andmevahetuse vastu ja edendataks internetiteenuste kasutamist eurooplaste poolt. Seoses Ameerika Ühendriikide kodanikele ja elanikele kohaldatavate kaitsenormide laiendamisega ELi kodanikele tuleks läbi vaadata Ameerika Ühendriikide julgeolekuprogrammide suhtes kohaldatavad õigusnormid, millega nähakse ette Ameerika Ühendriikide ja ELi kodanike erinev kohtlemine, ning tuleks kaaluda nende normide vajalikkust ja proportsionaalsust, võttes arvesse atlandiülest tihedat julgeolekualast partnerlust, mis põhineb ühistel väärtustel, õigustel ja vabadustel. See vähendaks Ameerika Ühendriikide luureandmete kogumise programmide mõju eurooplastele. Nende programmide toimimist reguleeriv õigusraamistik ja selle tõlgendamine Ameerika Ühendriikide kohtutes, aga ka programmide kvantitatiivsed näitajad tuleb muuta läbipaistvamaks. Sellistest muudatustest saaksid kasu ka ELi kodanikud. Järelevalve Ameerika Ühendriikide luureandmete kogumise programmide üle oleks parem, kui vastuluurekohtul (Foreign Intelligence Surveillance Court) oleks tugevam roll ja üksikisikutele oleksid ette nähtud õiguskaitsevahendid. Nii oleks võimalik vähendada eurooplaste selliste isikuandmete töötlemist, mis ei ole riikliku julgeoleku seisukohast olulised. 3.5. Andmekaitsenõuete rahvusvaheline edendamine Kaasaegsete andmekaitsemeetoditega seoses tõstatatud küsimused ei piirdu andmete edastamisega ELi ja Ameerika Ühendriikide vahel. Igale üksikisikule peaks olema tagatud isikuandmete kõrgetasemeline kaitse. Andmete kogumist, töötlemist ja edastamist käsitlevaid ELi norme tuleks levitada rahvusvahelisel tasandil. Viimasel ajal on esitatud rida algatusi, millega edendatakse privaatsuse kaitset, eelkõige internetis[26]. EL peaks tagama, et elluviimise korral võetaks niisugustes algatustes täielikult arvesse ELi õiguses ja ELi küberjulgeoleku strateegias sätestatud põhiõiguste kaitse, sõnavabaduse, isikuandmete ja eraelu kaitse põhimõtteid ning ei kahjustataks küberruumi vabadust, avatust ja turvalisust. Kasutada tuleks demokraatlikku ja tõhusat juhtimismudelit, kuhu on kaasatud palju sidusrühmi. Käimasolev andmekaitsealaste õigusaktide reform mõlemal pool Atlandi ookeani pakub ELile ja Ameerika Ühendriikidele ainulaadse võimaluse kehtestada selles valdkonnas rahvusvahelised normid. Andmevahetus ELi ja USA vahel ning andmete vahetamine teiste partneritega saaks suurt kasu Ameerika Ühendriikide tugevamast õigusraamistikust, sealhulgas tarbijate eraelu puutumatuse deklaratsioon (Consumer Privacy Bill of Rights) vastuvõtmisest, mille president Obama 2012. aasta veebruaris tarbijate eraelu puutumatuse kaitse parandamise ulatusliku kava osana välja kuulutas. Kui nii ELis kui ka Ameerika Ühendriikides kehtiksid ranged andmekaitse normid, mille alusel isikud saaksid oma õiguste kaitseks kohtusse pöörduda, oleks see piiriülese andmevahetuse kindel alus. Selleks et tõhustada eraelu kaitse norme rahvusvahelisel tasandil, tuleks julgustada riike liituma Euroopa Nõukogu konventsiooniga, mis käsitleb üksikisikute kaitset isikuandmete automaattöötlusel („konventsioon 108”); konventsioon on ühinemiseks avatud riikidele, kes ei ole Euroopa Nõukogu liikmed[27]. Rahvusvahelistel foorumitel kokku lepitud kaitsenormid ja tagatised peaksid pakkuma kõrgetasemelist kaitset, mis on võrreldav ELi õiguses ettenähtud kaitsega. 4. Järeldused ja soovitused Käesolevas teatises käsitletud küsimustega tegelemiseks peavad meetmeid võtma nii Ameerika Ühendriigid kui ka EL ja tema liikmesriigid. Atlandiülese andmevahetusega seotud probleemid tuletasid ELile ja tema liikmesriikidele meelde, et andmekaitsereform kiiresti ja tulemusrikkalt ellu viia. Enam kui kunagi varem on vaja kindlat õigusraamistikku selgete normidega, mille täitmise saab tagada ka siis, kui andmeid edastatakse välisriikidele. ELi institutsioonid peaksid seetõttu jätkama tööd ELi andmekaitset reformivate õigusaktide vastuvõtmise nimel 2014. aasta kevadeks, et tagada tulemuslik ja ulatuslik isikuandmete kaitse. Arvestades atlandiüleste andmevoogude tähtsust on oluline, et õigusaktid, mille alusel kõnealune andmevahetus toimub, on mõeldud digitaalajastu ja tehnoloogia arenguga, näiteks pilvandmetöötlusega, seotud probleemide lahendamiseks ja võimaluste ärakasutamiseks. Kehtivate ja tulevaste kokkulepete ja lepingutega tuleks ka edaspidi tagada kõrgetasemeline kaitsetase atlandiüleses andmevahetuses. Tugev programm Safe Harbour on ELi ja Ameerika Ühendriikide kodanike ja äriühingute huvides. Seda tuleks veelgi tugevdada parema järelevalve ja rakendamise kaudu lähemal ajal ning selle põhjal programmi toimimise põhjalikuma ülevaate koostamise teel. Parandusi on vaja tagamaks, et täidetakse programmi Safe Harbour käsitlevas otsuses sätestatud algeesmärgid nagu andmekaitse järjepidevus, õiguskindlus ning ELi ja Ameerika Ühendriikide vaheline vaba andmevahetus. Parandusi on eelkõige vaja selleks, et Ameerika Ühendriikide ametiasutused paremini jälgiksid ja kontrolliksid selliste äriühingute, kes on ise kohustunud programmi Safe Harbouri põhimõtteid järgima, vastavust nimetatud põhimõtetele. On oluline, et programmi Safe Harbour käsitlevas otsuses riikliku julgeoleku põhjustel tehtavat erandit kohaldatakse ainult siis, kui see on otseselt vajalik ja proportsionaalne. Õiguskaitse valdkonnas tuleks praegu raamlepingu üle peetavatel läbirääkimistel tagada isikuandmete tõhus kaitse kodanikele mõlemal pool Atlandi ookeani. Leping tugevdaks usaldust ELi ja Ameerika Ühendriikide vahelise andmevahetuse vastu ning looks aluse ELi ja USA julgeolekukoostöö ja partnerluse edasiarendamiseks. Läbirääkimistel tuleks võtta kohustuseks tagada, et ka eurooplaste suhtes, kes ei ela Ameerika Ühendriikides, kohalduksid kaitsenormid, sealhulgas võimalus kohtusse pöörduda. Ameerika Ühendriikide valitsus peaks võtma kohustuseks tagada, et ELis eraettevõtte valduses olevatele isikuandmetele puudub Ameerika Ühendriikide õiguskaitseasutustel otsene juurdepääs väljaspool ametlikke koostöökanaleid, nagu vastastikuse õigusabi kokkulepped või ELi ja USA vahel sõlmitud valdkondlikud lepingud (nt broneeringuinfo või TFTP leping), mille alusel on andmete edastamine rangete tingimuste kohaldamise korral lubatud, välja arvatud juhul, kui juurdepääs toimub selgelt määratletud ja erakorralises olukorras ning kui on võimalik kohtulik kontroll. Ameerika Ühendriigid peaksid laiendama USA kodanikele ja elanikele kohaldatavaid kaitsenorme ELi kodanikele, kes ei ela USAs, tagama programmide vajalikkuse ja proportsionaalsuse ning USA riiklike julgeolekuasutuste suhtes kohaldatava õigusraamistiku suurema läbipaistvuse ja järelevalve. Käesolevas teatises loetletud valdkondades peavad nii EL kui ka USA tegema konstruktiivset koostööd. Tegutsedes koos strateegiliste partneritena suudavad nad kõrvaldada praegu atlandiülestes suhetes valitsevad pinged ja taastada usalduse ELi ja USA vaheliste andmevoogude vastu. Atlandiülesed suhted tugevnevad, kui võetakse ühiseid poliitilisi ja õiguslikke kohustusi, et kõnealustes valdkondades ka edaspidi koostööd teha. [1] Käesolevas teatises hõlmavad viited ELi kodanikele ka kolmandate riikide andmesubjekte, kes kuuluvad Euroopa Liidu andmekaitsealaste õigusaktide reguleerimisalasse. [2] Komisjoni otsus 2000/520/EÜ, 26. juuli 2000, vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ piisava kaitse kohta, mis on ette nähtud programmi Safe Harbour põhimõtetega ja sellega seotud korduma kippuvate küsimustega, mille on välja andnud Ameerika Ühendriikide kaubandusministeerium (EÜT L 215, 25.8.2000, lk 7). [3] Nõukogu otsus 2009/820/ÜVJP, 23. oktoober 2009, mis käsitleb Euroopa Liidu ja Ameerika Ühendriikide vahelise väljaandmislepingu ning Euroopa Liidu ja Ameerika Ühendriikide vahelise vastastikuse õigusabi osutamise lepingu sõlmimist Euroopa Liidu nimel (ELT L 291, 7.11. 2009, lk 40). [4] Nõukogu otsus 2012/472/EL, 26. aprill 2012, Ameerika Ühendriikide ja Euroopa Liidu vahelise lepingu (milles käsitletakse broneeringuinfo kasutamist ja edastamist USA Sisejulgeolekuministeeriumile) sõlmimise kohta (ELT L 215, 11.8.2012, lk 4). [5] Nõukogu 13. juuli 2010. aasta otsus Euroopa Liidu ja Ameerika Ühendriikide vahelise lepingu (mis käsitleb finantstehinguid käsitlevate sõnumiandmete töötlemist ja edastamist Euroopa Liidust Ameerika Ühendriikidesse terroristide rahastamise jälgimise programmi raames) sõlmimise kohta (ELT L 195, 27.7.2010, lk 3). [6] Nõukogu võttis 3. detsembril 2010 vastu otsuse, millega volitatakse komisjoni lepingu üle läbirääkimisi pidama. Vt IP/10/1661, 3. detsember 2010. [7] Vt Boston Consulting Group, “The Value of our Digital Identity”, november 2012. [8] Vt McKinsey, "Big data: The next frontier for innovation, competition, and productivity", 2011. [9] Teatis „Pilvandmetöötluse võimaluste kasutamine Euroopas”, COM(2012) 529 (final). [10] Näiteks Microsoft Hotmaili, Google Gmaili ja Yahoo! Maili külastajate koguarv Euroopa riikidest oli 2012. aasta juunis üle 227 miljoni, mis ületab kõikide teiste teenusepakkujate näitajad. Märtsis 2012 kasutas Facebooki ja Facebook Mobile'i 196,5 miljonit eurooplast, muutes seega Facebooki suurimaks suhtlusvõrgustikuks Euroopas. Google on juhtiv interneti otsingumootor, mida kasutab 90,2 % kogu maailma internetikasutajatest. USA tekstsõnumiteenust What's App kasutas 2013. aasta juunis 91 % Saksamaa iPhone'i-kasutajatest. [11] Vt Euroopa Liidu Kohtu otsus kohtuasjas C-300/11: ZZ vs. Secretary of State for the Home Department. [12] ELi lepingu artikli 4 lõige 2 [13] Vt nt programmi Safe Harbour käsitlev otsus, I lisa. [14] Vt TFTP lepingu alusel edastatud andmete väärtust käsitlev komisjoni ja Ameerika Ühendriikide rahandusministeeriumi ühisaruanne, mis on koostatud vastavalt Euroopa Liidu ja Ameerika Ühendriikide vahelise lepingu (mis käsitleb finantstehinguid käsitlevate sõnumiandmete töötlemist ja edastamist Euroopa Liidust Ameerika Ühendriikidesse terroristide rahastamise jälgimise programmi raames) artikli 6 lõikele 6. [15] Vt komisjoni aruanne „Euroopa Liidu ja Ameerika Ühendriikide vahelise lepingu, milles käsitletakse broneeringuinfo kasutamist ja selle edastamist USA Sisejulgeolekuministeeriumile, rakendamise ühine ülevaade”. [16] COM(2012) 10(final): „Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta”, Brüssel, 25.1.2012, ja COM(2012) 11(final): „Ettepanek: Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus)”. [17] Komisjon võtab arvesse, et Euroopa Parlament kinnitas ja tugevdas seda olulist põhimõtet, mis on sätestatud määruse ettepaneku artiklis 3, oma 21. oktoobril 2013 toimunud hääletusel andmekaitsereformi raportite üle, mille olid kodanikuvabaduste, justiits- ja siseasjade (LIBE) komisjonis esitanud Euroopa Parlamendi liikmed Jan-Philipp Albrecht ja Dimitrios Droutsas. [18] Komisjon võtab arvesse, et Euroopa Parlamendi kodanikuvabaduste, justiits- ja siseasjade komisjon tegi 21. oktoobril 2013 toimunud hääletusel ettepaneku lisada määrusesse säte, mille kohaselt peaksid välisriikide ametiasutused, kes taotlevad juurdepääsu ELis kogutud isikuandmetele, saama eelnevalt loa riiklikult andmekaitseasutuselt, kui kõnealune taotlus esitatakse väljaspool vastastikuse õigusabi lepingu või muu rahvusvahelise kokkuleppe reguleerimisala. [19] Komisjon võtab arvesse, et LIBE komisjon tegi 21. oktoobril 2013 toimunud hääletusel ettepaneku karmistada komisjoni ettepanekut, nähes ette trahvi kuni 5 % äriühingu aasta kogukäibest. [20] Komisjon võtab arvesse, et LIBE komisjon kiitis 21. oktoobril 2013 toimunud hääletusel heaks volitatud töötlejate kohustuste ja vastutuse tugevdamise, eelkõige seoses kavandatava määruse artikliga 26. [21] Euroopa Ülemkogu 2013. aasta oktoobri järeldustes sedastatakse: „Tähtis on suurendada kodanike ja ettevõtjate usaldust digitaalmajandusse. Tugeva üldise ELi andmekaitseraamistiku ja küberjulgeoleku direktiivi õigeaegne vastuvõtmine on olulisel kohal digitaalse ühtse turu rajamise lõpuleviimiseks 2015. aastaks.” [22] Eelkõige programmi Safe Harbour käsitleva otsuse artikli 3 kohaselt võib andmete edastamise peatada juhul, kui on väga tõenäoline, et põhimõtteid rikutakse; on põhjust arvata, et asjakohane täitmise tagamise mehhanism ei rakenda piisavaid ja õigeaegseid meetmeid kõnealuse olukorra lahendamiseks; edastamise jätkamisel tekiks raske kahju otsene oht andmesubjektidele; ning liikmesriigi pädevad asutused on teinud selles olukorras mõistlikke pingutusi organisatsiooni teavitamiseks ja andnud võimaluse vastata. [23] Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, 24. juuli 2013. aasta pressiteade. [24] Vt asjaomane lõik ühises pressiteates pärast 18. novembril 2013 Washingtonis toimunud ELi ja USA justiits- ja siseministrite kohtumist: „Seetõttu tahame saavutada läbirääkimistel kiireid edusamme, et sõlmida sisuline ja ulatuslik andmekaitsealane raamleping õiguskaitse valdkonnas. Leping hõlbustaks andmete edastamist kriminaalasjades tehtava politsei- ja õigusalase koostöö raames, tagades nii Ameerika Ühendriikide kui ka ELi kodanikele isikuandmete kaitse kõrge taseme. Teeme tööd, et lahendada mõlemale poolele olulised probleemid, nagu võimalus oma õiguste kaitseks kohtusse pöörduda (oluline probleem ELi jaoks). Meie eesmärk on lõpetada lepingu üle toimuvad läbirääkimised enne 2014. aasta suve.” [25] Vt asjaomane lõik ühises pressiteates pärast 18. novembril 2013 Washingtonis toimunud ELi ja USA justiits- ja siseministrite kohtumist: „Rõhutame ELi ja USA vahel sõlmitud vastastikuse õigusabi osutamise lepingu tähtsust. Kinnitame oma püüdu tagada, et seda kohaldatakse ulatuslikult ja tulemuslikult kriminaalmenetlustes seoses tõendite kogumisega. Samuti toimus arutelu selle üle, kas on vaja selgitada, et teise poole territooriumil eraettevõtte valduses olevatele isikuandmetele ei pääse ligi õiguskaitseasutused väljaspool õiguslikult ettenähtud kanaleid. Nõustume vastastikuse õigusabi osutamise lepingu toimimise läbivaatamisega, nagu lepingus kavandatud, ja konsulteerime teineteisega alati, kui see vajalikuks osutub.” [26] Vt Saksamaa ja Brasiilia poolt ÜRO Peaassambleele esitatud resolutsiooni eelnõu „Üleskutse kaitsta eraelu puutumatust nii internetis kui ka väljaspool seda.” [27] Ameerika Ühendriigid on juba ühe Euroopa Nõukogu konventsiooni – 2001. aasta küberkuritegevuse konventsiooni (tuntud ka kui Budapesti konventsioon) – osalisriik.