EUROOPA KOMISJON Brüssel,10.1.2017 COM(2017) 8 final 2017/0002(COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS üksikisikute kaitse kohta isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning selliste andmete vaba liikumise kohta ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ



SELETUSKIRI 1.ETTEPANEKU TAUST •Ettepaneku põhjused ja eesmärgid Lissaboni lepinguga kasutusele võetud Euroopa Liidu toimimise lepingu artikli 16 lõikes 1 on sätestatud põhimõte, mille kohaselt on igaühel õigus tema kohta käivate isikuandmete kaitsele. Lisaks sellele kehtestati Lissaboni lepinguga Euroopa Liidu toimimise lepingu artikli 16 lõikes 2 konkreetne õiguslik alus isikuandmete kaitset käsitlevate õigusnormide vastuvõtmiseks. Euroopa Liidu põhiõiguste harta artiklis 8 on isikuandmete kaitse sätestatud ühe põhiõigusena. Õigust isikuandmete kaitsele kohaldatakse ka isikuandmete töötlemise suhtes ELi institutsioonide, organite ja asutuste poolt. Olulisim kehtiv ELi õigusakt, millega reguleeritakse isikuandmete kaitset liidu institutsioonides, määrus (EÜ) nr 45/2001, võeti 2001. aastal vastu kahel eesmärgil: et kaitsta põhiõigust isikuandmete kaitsele ja tagada isikuandmete vaba liikumine kogu liidus. Seda täiendati otsusega nr 1247/2002/EÜ. Euroopa Parlament ja nõukogu võtsid 27. aprillil 2016 vastu isikuandmete kaitse üldmääruse (määrus (EL) 2016/679), mida hakatakse kohaldama alates 25. maist 2018. Selle määrusega kutsutakse üles kohandama määrust (EÜ) nr 45/2001 määruses (EL) 2016/679 sätestatud põhimõtete ja õigusnormide suhtes, et luua liidus tugev ja ühtne andmekaitseraamistik ning võimaldada mõlema õigusakti samaaegset kohaldamist. Määrus on kooskõlas kogu liitu hõlmava sidusa lähenemisviisiga isikuandmete kaitse valdkonnas, et ühtlustada võimalikult suures ulatuses liidu institutsioonide, organite ja asutuste andmekaitsenorme liikmesriikides vastu võetud andmekaitsenormidega. Iga kord, kui ettepaneku sätted tuginevad samale mõistele kui määruse (EL) 2016/679 sätted, tuleks mõlemaid sätteid tõlgendada ühetaoliselt, eelkõige kuna ettepaneku ülesehitust tuleks mõista võrdväärsena määruse (EL) nr 2016/679 ülesehitusega. Määruse (EÜ) nr 45/2001 läbivaatamisel võetakse arvesse ka uurimiste ja sidusrühmadega konsulteerimiste tulemusi, samuti hindamisuuringut, mis käsitles määruse kohaldamist viimase 15 aasta jooksul. Kõnealune algatus ei kuulu õigusloome kvaliteedi ja tulemuslikkuse programmi raamesse. •Kooskõla poliitikavaldkonnas kehtivate sätetega Ettepaneku eesmärk on viia määruse (EÜ) nr 45/2001 sätted kooskõlla määruses (EL) 2016/679 sätestatud põhimõtete ja õigusnormidega, et luua liidus tugev ja ühtne andmekaitseraamistik. Ettepanek sisaldab ka määruses (EÜ) XXXX/XX [eraelu puutumatust ja elektroonilist sidet käsitlev määrus] sätestatud asjaomaseid õigusnorme lõppkasutajate lõppseadmete kaitse kohta. •Kooskõla Euroopa Liidu muude tegevuspõhimõtetega Ei kohaldata 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS •Õiguslik alus Füüsiliste isikute kaitse seoses nende isikuandmete töötlemisega on Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 sätestatud põhiõigus. Käesolev ettepanek põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis on õiguslik alus andmekaitsenormide vastuvõtmiseks. Nimetatud artikkel võimaldab võtta vastu üksikisikute kaitset käsitlevaid õigusnorme seoses isikuandmete töötlemisega liidu institutsioonides, organites ja asutustes liidu õiguse reguleerimisalasse kuuluva tegevuse puhul. Samuti võimaldab see võtta vastu õigusnorme isikuandmete, sealhulgas institutsioonide, organite ja asutuste töödeldud isikuandmete vaba liikumise kohta. •Subsidiaarsus (jagatud pädevuse korral) Käesoleva määruse reguleerimisese kuulub liidu ainupädevusse kuuluvasse valdkonda, kuna ainult liit võib vastu võtta norme, mis käsitlevad liidu institutsioonide poolset isikuandmete töötlemist.

•Proportsionaalsus Kooskõlas proportsionaalsuse põhimõttega ning saavutamaks põhieesmärke tagada kogu liidus seoses isikuandmete töötlemisega füüsiliste isikute kaitse võrdväärne tase ja isikuandmete vaba liikumine, on vajalik ja asjakohane kehtestada õigusnormid, mis käsitlevad isikuandmete töötlemist liidu institutsioonide, organite ja asutuste poolt. Käesolevas määruses piirdutakse sellega, mis on vajalik seatud eesmärkide saavutamiseks kooskõlas Euroopa Liidu lepingu artikli 5 lõikega 4. •Vahendi valik Määrust peetakse sobivaks õiguslikuks vahendiks, millega määratletakse üksikisikute kaitset seoses isikuandmete töötlemisega liidu institutsioonides, organites ja asutustes, ning selliste andmete vaba liikumist käsitlev raamistik. Määrusega nähakse füüsilistele isikutele ette kohtulikult kaitstavad õigused ning määratakse kindlaks liidu institutsioonide, organite ja asutuste vastutavate töötlejate kohustused andmete töötlemisel. Määrusega kohustatakse ka sõltumatut järelevalveasutust, Euroopa Andmekaitseinspektorit vastutama isikuandmete töötlemise jälgimise eest liidu institutsioonides, organites ja asutustes. 3.JÄRELHINDAMISTE TULEMUSED, KONSULTEERIMINE SIDUSRÜHMADEGA JA MÕJUHINNANGUD Andmekaitse reformipaketi ettevalmistamise käigus viis komisjon 2010. ja 2011. aastal läbi sidusrühmadega konsulteerimised ja mõjuhindamise, milles antakse ülevaade määrusesse (EÜ) nr 45/2001 kavandatavatest muudatustest. Reformipaketiga seoses korraldas komisjon küsitluse ka komisjoni andmekaitsekoordinaatorite hulgas . Määruse (EÜ) nr 45/2001 praktilise kohaldamise kohta liidu institutsioonide, organite ja asutuste poolt koguti teavet Euroopa Andmekaitseinspektori, liidu teiste institutsioonide, organite ja asutuste, komisjoni teiste peadirektoraatide ning ühe välistöövõtja käest. Küsimustik saadeti andmekaitseametnike võrgustikule. Mitme liidu institutsiooni, organi ja asutuse andmekaitseametnikud korraldasid 9. juulil 2015, 22. oktoobril 2015, 19. jaanuaril 2016 ja 15. märtsil 2016 õpikojad määruse 45/2001 reformimise kohta. Komisjon otsustas 2013. aastal teostada määruse (EÜ) nr 45/2001 senist kohaldamist käsitleva hindamisuuringu, milleks kasutati välistöövõtjat. Hindamisuuringu lõpptulemused (lõpparuanne, viis juhtuuringut ja artiklite kaupa analüüs) esitati komisjonile 8. juunil 2015. Hindamine näitas, et andmekaitseametnike ja Euroopa Andmekaitseinspektori ümber koondatud juhtimissüsteem on tõhus. Hindamine kinnitas, et volituste andmekaitseametnike ja Euroopa Andmekaitseinspektori vahel jagamine on selge ja hästi tasakaalus ning mõlemal osapoolel on piisavad volitused. Probleeme võib aga tekkida seoses volituste puudumisega, mis tuleneb juhtkonna ebapiisavast toetusest andmekaitseametnikele. Hindamisuuring näitas, et määruse (EÜ) nr 45/2001 täitmist oleks võimalik Euroopa Andmekaitseinspektori sanktsioonide abil paremini tagada. Euroopa Andmekaitseinspektori järelevalvevolituste laialdasem kasutamine tooks kaasa andmekaitsenormide parema rakendamise. Samuti järeldati, et vastutavad töötlejad peaksid kasutusele võtma riskijuhtimisel põhineva lähenemisviisi ning teostama riskihindamisi enne andmete töötlemist, et paremini rakendada andmete säilitamise ja turvanõudeid. Uuringust selgus ka, et määruse (EÜ) nr 45/2001 IV peatüki telekommunikatsioonisektorit käsitlevad normid on aegunud ning see peatükk tuleb eraelu puutumatust ja elektroonilist sidet käsitleva direktiiviga kooskõlla viia. Hindamisuuringu kohaselt tuleks selgemini sõnastada ka mõningad määruse (EÜ) nr 45/2001 olulised määratlused. See hõlmab vastutavate töötlejate kindlaksmääramist liidu institutsioonides, organites ja asutustes, vastuvõtja määratlust, ning konfidentsiaalsuse kohustuse laiendamist välistele andmetöötlejatele. Hindamisuuringus juhiti ka tähelepanu vajadusele lihtsustada teavitamiskorda ja eelnevat kontrolli, et suurendada tõhusust ja vähendada halduskoormust. Hindaja teostas veebipõhise uuringu 64 liidu institutsioonis, organis ja asutuses. Uuringu küsimustele vastas 422 vastutava töötleja ametnikku, 73 andmekaitseametnikku, 118 andmekaitsekoordinaatorit ja 109 IT-ametnikku. Hindaja korraldas ka mitu intervjuud sidusrühmadega. 26. märtsil 2015 korraldasid hindaja ja komisjon kokkuvõtva õpikoja, kus osalesid mitmed vastutavad töötlejad, andmekaitseametnikud, andmekaitsekoordinaatorid, IT-ametnikud ja Euroopa Andmekaitseinspektori esindajad. •Eksperdiarvamuste kogumine ja kasutamine Vt viide hindamisuuringule eelmise punkti all. •Mõju hindamine Käesolev ettepanek mõjutab peamiselt liidu institutsioone, organeid ja asutusi. Seda kinnitab Euroopa Andmekaitseinspektori, teiste liidu institutsioonide, organite ja asutuste, komisjoni peadirektoraatide ja välistöövõtja käest kogutud teave. Lisaks sellele hinnati käesoleva määruse koostamise käigus uute kohustuste mõju, mis tulenevad määrusest (EL) 2016/679, millega käesolev määrus vastavusse tuleb viia. Seetõttu ei ole käesoleva määruse spetsiifilise mõju hindamine vajalik. •Õigusnormide toimivus ja lihtsustamine Ei kohaldata

•Põhiõigused Õigus isikuandmete kaitsele on sätestatud Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklis 8, Euroopa Liidu toimimise lepingu (edaspidi „ELi toimimise leping“) artiklis 16 ja Euroopa inimõiguste konventsiooni artiklis 8. Nagu Euroopa Liidu Kohus on rõhutanud, ei ole isikuandmete kaitse õigus absoluutne õigus, vaid sellega tuleb arvestada vastavalt selle ülesandele ühiskonnas. Andmekaitse on tihedalt seotud ka õigusega era- ja perekonnaelu austamisele, mis on sätestatud harta artiklis 7. Käesoleva ettepanekuga kehtestatakse raamistik üksikisikute kaitseks seoses isikuandmete töötlemisega liidu institutsioonide, organite ja asutuste poolt ning selliste andmete vaba liikumisega. Muud potentsiaalselt mõjutatavad hartaga kaitstud põhiõigused on järgmised: sõnavabadus (artikkel 11); õigus omandile ja eelkõige intellektuaalomandi kaitsele (artikli 17 lõige 2); diskrimineerimise keeld rassi, etnilise päritolu, geneetiliste omaduste, usutunnistuse või veendumuste, poliitiliste või muude arvamuste, puuete või seksuaalse sättumuse alusel (artikkel 21); lapse õigused (artikkel 24); õigus kõrgetasemelisele tervishoiule (artikkel 35); õigus tutvuda dokumentidega (artikkel 42); ning õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele (artikkel 47). 4.MÕJU EELARVELE Vt lisas esitatud finantsselgitus. 5.MUUD KÜSIMUSED •Rakenduskavad ning järelevalve-, hindamis- ja aruandluskord Ei kohaldata •Selgitavad dokumendid (direktiivide puhul) Ei kohaldata I PEATÜKK – ÜLDSÄTTED Artiklis 1 määratakse kindlaks määruse reguleerimisese ning (nagu ka määruse (EÜ) nr 45/2001 artiklis 1) sätestatakse määruse kaks eesmärki: kaitsta põhiõigust isikuandmete kaitsele ja tagada isikuandmete vaba liikumine kogu liidus. Samuti sätestatakse Euroopa Andmekaitseinspektori peamised ülesanded. Artiklis 2 määratakse kindlaks määruse kohaldamisala: seda kohaldatakse kõikides liidu institutsioonides ja asutustes automatiseeritult või muul viisil toimuva isikuandmete töötlemise suhtes, kui töötlemise eesmärgiks on täielikult või osaliselt liidu õigusaktidega hõlmatud toimingute teostamine. Käesoleva määruse sisuline kohaldamisala on tehnoloogiliselt neutraalne. Kui isikuandmed sisalduvad andmete kogumis või kui nad hiljem kantakse andmete kogumisse, kohaldatakse isikuandmete kaitset nii isikuandmete automatiseeritud kui ka automatiseerimata töötlemise suhtes. Artiklis 3 on määratletud määruses kasutatavad mõisted. Kõik käesolevas määruses kasutatavad mõisted, välja arvatud käesolevale määrusele ainuomased mõisted nagu „liidu institutsioonid ja asutused“, „vastutav töötleja“, „kasutaja“ ja „kataloog“, on määratletud määruses (EL) 2016/679, määruses (EL) 0000/00 [uus eraelu puutumatust ja elektroonilist sidet käsitlev määrus], direktiivis 00/0000/EL [direktiiv, millega kehtestatakse Euroopa elektroonilise side seadustik] ja komisjoni direktiivis 2008/63/EÜ. II PEATÜKK – PÕHIMÕTTED Artiklis 4 sätestatakse isikuandmete töötlemise põhimõtted, mis vastavad määruse (EL) 2016/679 artiklis 5 sätestatule. Võrreldes määrusega (EÜ) nr 45/2001 lisanduvad uued läbipaistvuse, terviklikkuse ja konfidentsiaalsuse põhimõtted. Artikli 5 aluseks on määruse (EL) 2016/679 artikkel 6 ning sellega kehtestatakse isikuandmete seadusliku töötlemise kriteeriumid, ainsaks erandiks on vastutava töötaja õigustatud huvi kriteerium, mida ei kohaldata avaliku sektori suhtes ning seega ei peaks seda kohaldatama liidu institutsioonide ja asutuste suhtes. Artiklis 5 jäetakse kehtima juba määruse (EÜ) nr 45/2001 artikliga 5 kehtestatud kriteeriumid. Artiklis 6 selgitatakse andmete muul kooskõlas oleval eesmärgil töötlemise tingimusi vastavalt määruse (EL) nr 2016/679 artikli 6 lõikele 4. Võrreldes määruse (EÜ) nr 45/2001 artikliga 6 võimaldab kõnealune uus säte andmete muul kooskõlas oleval eesmärgil edasi töötlemise puhul suuremat paindlikkust ja õiguskindlust. Artiklis 7 selgitatakse kooskõlas määruse (EL) 2016/679 artikliga 7 tingimusi, mille alusel on nõusolek kehtiv seadusliku töötlemise alusena.

Artiklis 8 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 8 laste isikuandmete töötlemise seaduslikkuse täiendavad tingimused neile otse pakutavate infoühiskonna teenuste seisukohast. Artikliga kehtestatakse kehtiva nõusoleku andmise miinimumvanuseks lapse puhul 13 aastat. Artiklis 9 sätestatakse kooskõlas määruse (EÜ) nr 45/2001 artikliga 8 normid, millega tagatakse konkreetne kaitse tase, kui isikuandmeid edastatakse vastuvõtjatele, kes ei ole liidu institutsioonid ega asutused, kuid kes on asutatud liidus ja kelle suhtes kohaldatakse määrust (EL) 2016/679 või direktiivi (EL) 2016/680. Artiklis selgitatakse, et juhul kui edastamise algatab vastutav töötleja, peaks ta tõendama edastamise vajalikkust ja proportsionaalsust. Artiklis 10 sätestatakse isikuandmete eriliikide töötlemise üldine keeld ning kõnealuse üldnormi erandid, tuginedes määruse (EL) 2016/679 artiklile 9 ja arendades edasi määruse (EÜ) nr 45/2001 artiklit 10. Artiklis 11 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 10 ja vastavalt määruse (EÜ) nr 45/2001 artikli 10 lõikele 5 süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete töötlemise tingimused. Artiklis 12 selgitatakse vastutava töötleja kohustust teavitada andmesubjekti vastavalt määruse (EL) 2016/679 artiklile 11, sätestades, et juhul kui vastutav töötleja töötleb selliseid isikuandmeid, mille alusel ei saa füüsilisi isikuid tuvastada, ei peaks ta olema kohustatud hankima andmesubjekti tuvastamiseks täiendavat teavet ainult käesoleva määruse sätete järgimiseks. Vastutav töötleja ei tohiks aga keelduda sellise täiendava teabe vastuvõtmisest, mida andmesubjekt esitab oma õiguste kasutamise toetamiseks. Artikliga 13 kehtestatakse määruse (EL) 2016/679 artikli 89 lõikele 1 tuginedes normid, mis käsitlevad kaitsemeetmeid seoses isikuandmete töötlemisega avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil. III PEATÜKK – ANDMESUBJEKTI ÕIGUSED 1. jagu – Läbipaistvus ja sellega seotud kord Artikliga 14 kohustatakse määruse (EL) 2016/679 artiklile 12 tuginedes vastutavaid töötlejaid pakkuma läbipaistvat, kergesti kättesaadavat ja arusaadavat teavet ning menetlusi ja mehhanisme andmesubjekti õiguste kaitsmiseks, sealhulgas vajaduse korral elektrooniliste taotluste esitamise vahendeid, kohustust vastata andmesubjekti taotlusele kindlaksmääratud tähtaja jooksul ning põhjendada taotluse rahuldamisest keeldumist. Kuna liidu institutsioonid ja asutused ei nõua mingil juhul teabe esitamise eest halduskuludega seotud tasu, siis kõnealust võimalust määrusest (EL) 2016/679 üle ei võetud. 2. jagu – Teave ja juurdepääs andmetele Artiklis 15 täpsustatakse vastutava töötleja andmesubjekti teavitamise kohustusi, kui isikuandmeid kogutakse andesubjektilt, tuginedes määruse (EL) 2016/679 artiklile 13 ja arendades edasi määruse (EÜ) nr 45/2001 artiklit 11, hõlmates andmesubjektile teabe andmist, sealhulgas andmete säilitamise tähtaja ja kaebuse esitamise õiguse kohta ning seoses rahvusvahelise edastamisega. Artiklis 16 sätestatakse määruse (EL) 2016/679 artiklile 14 tuginedes ja määruse (EÜ) nr 45/2001 artiklit 12 edasi arendades täpsemalt vastutava töötleja teavitamiskohustus juhul, kui isikuandmed ei ole saadud andmesubjektilt, kes esitas teabe allikale, kust andmed pärinevad. Artikliga jäetakse kehtima ka määruses (EL) 2016/679 sätestatud võimalikud erandid, st selline kohustus puudub, kui andmesubjektil on teave juba olemas, sellise teabe esitamine osutub võimatuks või see nõuaks vastutavalt töötlejalt ebaproportsionaalseid jõupingutusi, isikuandmed peavad jääma salajaseks liidu õigusega reguleeritava ametisaladuse hoidmise kohustuse tõttu või kui salvestamine või avaldamine on õigusaktides selgelt sätestatud. Seda võib kohaldada näiteks sotsiaalkindlustuse või tervishoiuküsimustes pädevate asutuste menetluste raames. Artiklis 17 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 15 ja määruse (EÜ) nr 45/2001 artiklit 13 edasi arendades andmesubjekti õigus tutvuda oma isikuandmetega, lisades uusi elemente nagu kohustus teavitada andmesubjekti andmete säilitamise tähtajast, ning nende parandamise ja kustutamise nõudmise ning kaebuse esitamise õigusest. 3. jagu – Parandamine ja kustutamine Artiklis 18 sätestatakse andmesubjektide õigus andmete parandamisele, tuginedes määruse (EL) 2016/679 artiklile 16 ja arendades edasi määruse (EÜ) nr 45/2001 artiklit 14. Artiklis 19 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 17 ja määruse (EÜ) nr 45/2001 artiklit 16 edasi arendades andmesubjekti õigus olla unustatud ja õigus nõuda andmete kustutamist. Sellega sätestatakse tingimused õiguse kohta olla unustatud, sealhulgas isikuandmed avaldanud vastutava töötleja kohustus teavitada kolmandaid isikuid andmesubjekti taotlusest kustutada mis tahes lingid isikuandmetele, isikuandmete koopiad või paljundused. Artikliga 20 kehtestatakse õigus piirata teatavatel juhtudel andmete töötlemist, vältides ebaselget terminit „andmete sulgemine”, mida kasutati määruses (EÜ) nr 45/2001 ja tagades nii järjepidevuse määruse (EL) nr 2016/679 artiklis 18 kasutatud uute terminitega. Artiklis 21 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 19 ning määruse (EÜ) nr 45/2001 artiklit 17 edasi arendades vastutava töötleja kohustus edastada vastuvõtjatele, kellele isikuandmed on avaldatud, teave isikuandmete parandamise, kustutamise või isikuandmete töötlemise piiramise kohta, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi. Vastutav töötleja teavitab ka andmesubjekti nendest vastuvõtjatest andmesubjekti enda taotlusel. Artikliga 22 kehtestatakse kooskõlas määruse (EL) 2016/679 artikliga 20 andmesubjekti õigus andmete ülekandmisele, st õigus saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, või nõuda, et vastutav töötleja edastab andmed otse teisele vastutavale töötlejale, kui see on tehniliselt teostatav. Eeltingimusena ja selleks, et parandada veelgi üksikisikute võimalusi tutvuda oma isikuandmetega, sätestatakse õigus saada vastutavalt töötlejalt kõnealused andmed struktureeritud, üldkasutatavas vormingus ning masinloetaval kujul. Kõnealust õigust kohaldatakse ainult siis, kui andmeid töödeldakse andmesubjekti nõusolekul või temaga sõlmitud lepingu alusel. 4. jagu – Õigus esitada vastuväiteid ja automatiseeritud töötlusel põhinevate üksikotsuste tegemine

Artiklis 23 sätestatakse andmesubjektide õigus esitada vastuväiteid, tuginedes määruse (EL) 2016/679 artiklile 21 ja arendades edasi määruse (EÜ) nr 45/2001 artiklit 18. Artikkel 24 käsitleb kooskõlas määruse (EL) 2016/679 artikliga 22 ja arendades edasi määruse (EÜ) nr 45/2001 artiklit 19 andmesubjektide õigust sellele, et tema suhtes ei kohaldata meedet, mille aluseks on üksnes andmete automatiseeritud töötlemine, sealhulgas profiilianalüüs. 5. jagu – Piirangud Artikli 25 alusel on võimalik piirata artiklites 14–22 ning artiklites 34 ja 38 sätestatud andmesubjekti õigusi ning artiklis 4 kehtestatud põhimõtteid (kuivõrd selle sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele). Sellised piirangud tuleks kehtestada aluslepingute või liidu institutsioonide ja asutuste sise-eeskirjade alusel vastu võetud õigusaktidega. Juhul kui sellise piirangu võimalust ei ole aluslepingute või liidu institutsioonide ja asutuste sise-eeskirjade alusel vastu võetud õigusaktidega ette nähtud, võiksid viimased kehtestada ajutise piirangu, kui selline piirang austab seoses konkreetse andmetöötlustoiminguga põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada ühe või enama eesmärgi saavutamine, mis võimaldab andmesubjekti õiguste piiramist. Kõnealune lähenemisviis on kooskõlas määruse (EL) 2016/679 artikliga 23. Siiski erinevalt määruse (EL) 2016/679 artiklist 23 ja kooskõlas määruse (EÜ) nr 45/2001 artikliga 20 ei sätestata artiklis võimalust piirata õigust esitada vastuväiteid ning õigust, et andmesubjekti kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel. Piirangute nõuded on kooskõlas põhiõiguste harta ja Euroopa inimõiguste konventsiooniga, nagu neid on tõlgendanud Euroopa Liidu Kohus ja Euroopa Inimõiguste Kohus. IV PEATÜKK – VASTUTAV JA VOLITATUD TÖÖTLEJA 1. jagu – Üldkohustused Artikkel 26 tugineb määruse (EL) 2016/679 artiklile 24 ning sellega kehtestatakse „vastutuse põhimõte“, kirjeldades vastutava töötleja vastutuskohustust käesoleva määruse täitmisel ja täitmise tõendamisel, võttes täitmise tagamiseks muu hulgas vastu asjaomased tehnilised ja korralduslikud meetmed ning vajaduse korral sise-eeskirjad ja mehhanismid. Määruse (EL) 2016/679 artikli 24 lõige 3 jäeti kõnealusest artiklist välja, kuna liidu institutsioonid ja asutused ei peaks toimimisjuhendeid või sertifitseerimismehhanisme järgima. Artiklis 27 sätestatakse kooskõlas määruse (EL) 2016/679 artikliga 25 vastutava töötleja kohustused, mis tulenevad lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetest. Kaasvastutavaid töötlejaid käsitlev artikkel 28 tugineb määruse (EL) 2016/679 artiklile 26 ning selles selgitatakse kaasvastutavate töötlejate kohustusi (sõltumata sellest, kas nad on liidu institutsioonid või asutused või mitte) seoses nende sisesuhete ja suhtega andmesubjekti. Kõnealuse artikliga reguleeritakse olukorda, kus kõik kaasvastutavad töötlejad on hõlmatud sama õigusliku režiimiga (käesolev määrus), ning olukorda, kus osad neist on hõlmatud käesoleva määrusega ning teised mõne teise õigusaktiga (määrus (EL) 2016/679, direktiiv (EL) 2016/680, direktiiv (EL) 2016/681 ning teiste liidu institutsioone või asutusi käsitlevate spetsiifiliste andmekaitse režiimidega). Artikkel 29 tugineb määruse (EL) 2016/679 artiklil 28 ning arendab edasi määruse (EÜ) nr 45/2001 artiklit 23, selgitades volitatud töötlejate ametiseisundit ja kohustusi, sealhulgas selle kindlaksmääramist, et kui volitatud töötleja rikub isikuandmete töötlemise eesmärkide ja vahendite määramisel käesoleva määruse sätteid, siis peetakse kõnealust volitatud töötlejat selle töötlemise suhtes vastutavaks töötlejaks. Artikkel 30, mis käsitleb töötlemist vastutava töötleja ja volitatud töötleja volituse alusel, tugineb määruse (EL) nr 2016/679 artiklil 29 ning selles sätestatakse keeld, mille kohaselt volitatud töötleja või vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, tohivad isikuandmeid töödelda ainult vastutava töötleja juhiste alusel, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab. Artikkel 31 tugineb määruse (EL) 2016/679 artiklile 30 ning sellega kehtestatakse vastutavate töötlejate ja volitatud töötlejate kohustus säilitada dokumendid oma vastutusala raames toimuvate töötlemistoimingute kohta, mida kohaldatakse määruse (EÜ) nr 45/2001 artiklis 25 sätestatud Euroopa Andmekaitseinspektori ja andmekaitseametnike registri eelneva teavitamise nõude asemel. Erinevalt määrusest (EL) 2016/679 ei viidata kõnealuses artiklis esindajatele, kuna liidu institutsioonidel ei ole esindajaid ja neil on alati andmekaitseametnikud. Viited andmete edastamisele erandite alusel eriolukordades nagu määruses (EL) 2016/679 jäeti määrusest välja, kuna sellist liiki andmete edastamist käesoleva määrusega ette ei nähta. Kohustus isikuandmete töötlemise toiminguid registreerida võidakse liidu institutsiooni või asutuse tasandil tsentraliseerida. Sellisel juhul on liidu institutsioonidel ja asutustel võimalus hoida töötlemistoimingute andmeid üldsusele kättesaadavas registris. Artiklis 32 selgitatakse määruse (EL) 2016/679 artiklile 31 tuginedes liidu institutsioonide ja asutuste kohustust teha Euroopa Andmekaitseinspektoriga koostööd. 2. jagu – Isikuandmete turvalisus ja elektroonilise side konfidentsiaalsus Artikliga 33 kohustatakse kooskõlas määruse (EL) 2016/679 artikliga 32 ja määruse (EÜ) nr 45/2001 artiklit 22 edasi arendades vastutavat töötlejat rakendama asjakohaseid meetmeid töötlemise turvalisuse tagamiseks, laiendades nimetatud kohustuse volitatud töötlejale olenemata vastutava töötlejaga sõlmitud lepingust. Artikkel 34 tugineb määruse (EÜ) nr 45/2001 artiklile 36 ning sellega tagatakse elektroonilise side konfidentsiaalsus liidu institutsioonides ja asutustes. Artikkel 35 tugineb kooskõlas määrusega (EL) XXXX/XX [uus eraelu puutumatust ja elektroonilist sidet käsitlev määrus], eelkõige selle artikliga 8 liidu institutsioonide ja asutuste kehtivale tavale ning selle abil kaitstakse teavet, mis on seotud lõppkasutajate lõppseadmetega, kes kasutavad avalikult kättesaadavaid veebisaite ning liidu institutsioonide ja asutuste pakutavaid mobiilseid rakendusi. Artikkel 36 tugineb määruse (EÜ) nr 45/2001 artiklile 38 ning sellega kaitstakse liidu institutsioonide ja asutuste avalikes või kinnistes kataloogides salvestatud isikuandmeid. Artiklitega 37 ja 38 kehtestatakse kooskõlas määruse (EL) 2016/679 artiklitega 33 ja 34 kohustus teavitada isikuandmetega seotud rikkumisest. 3. jagu – Andmekaitsealane mõjuhinnang ja eelnev konsulteerimine

Artikkel 39 tugineb määruse (EL) 2016/679 artiklike 35 ning sellega kehtestatakse vastutava töötleja ja volitatud töötleja kohustus teostada andmekaitse mõjuhinnang enne selliseid töötlemistoiminguid, mille käigus tekib füüsiliste isikute õigustele ja vabadustele tõenäoliselt suur oht. Kõnealust kohustust kohaldatakse eelkõige füüsiliste isikutega seotud isiklike aspektide süstemaatilise ja ulatusliku hindamise puhul, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, töödeldes ulatuslikult eriliikidesse kuuluvaid andmeid või jälgides süstemaatiliselt suures ulatuses avalikke alasid. Artikkel 40 tugineb määruse (EL) 2016/679 artiklile 36 ning käsitleb juhtumeid, kus Euroopa Andmekaitseinspektorilt loa saamine ja temaga konsulteerimine on enne töötlemist kohustuslik. Artikli 40 esimeses lõigus korratakse aga määruse (EL) 2016/679 põhjendust 94 ning selle eesmärk on selgitada konsulteerimiskohustuse ulatust. 4. jagu – Teave ja seadusandlik konsulteerimine Artiklis 41 sätestatakse liidu institutsioonide ja asutuste kohustus teavitada Euroopa Andmekaitseinspektorit isikuandmete töötlemisega seotud haldusmeetmete ja sise-eeskirjade koostamisest. Artiklis 42 sätestatakse komisjoni kohustus konsulteerida Euroopa Andmekaitseinspektoriga seadusandliku akti ettepanekute ja nõukogu soovituste või ettepanekute vastuvõtmise järel vastavalt Euroopa Liidu toimimise lepingu artiklile 218 ning koostades delegeeritud õigusakte ja rakendusakte, mis mõjutavad üksikisikute õiguste ja vabaduste kaitset seoses isikuandmete töötlemisega. Kui sellised õigusaktid on seoses isikuandmete töötlemisega üksikisikute õiguste ja vabaduste kaitse seisukohast eriti olulised, võib komisjon konsulteerida ka Euroopa Andmekaitsenõukoguga. Sellisel juhul peaksid mõlemad osapooled oma tegevust ühisarvamuse koostamise nimel koordineerima. Eespool nimetatud juhtumite puhul on kehtestatud kaheksanädalane tähtaeg, kiireloomuliste ja muude juhtumite puhul võib võimaluse korral teha erandeid, näiteks kui komisjon koostab delegeeritud õigusakte või rakendusakte. 5. jagu – Süüdistustele vastamise kohustus Artiklis 43 kehtestatakse vastutavate töötlejate ja volitatud töötlejate kohustus vastata süüdistustele pärast seda, kui Euroopa Andmekaitseinspektor on otsustanud küsimuse neile edasi saata. 6. jagu – Andmekaitseametnik Artikkel 44 tugineb määruse (EL) 2016/679 artikli 37 lõike 1 punktile a ja määruse (EÜ) nr 45/2001 artiklile 24, sätestades, et liidu institutsioonidel ja asutustel peab olema andmekaitseametnik. Artikkel 45 tugineb määruse (EL) 2016/679 artiklile 38 ja määruse (EÜ) nr 45/2001 artiklile 24, millega luuakse andmekaitseametniku ametikoht. Artikkel 46 tugineb määruse (EL) 2016/679 artiklile 39 ja määruse (EÜ) nr 45/2001 artiklile 24 ja määruse lisa teisele ja kolmandale lõigule, millega sätestatakse andmekaitseametniku peamised ülesanded. V PEATÜKK – ISIKUANDMETE EDASTAMINE KOLMANDATELE RIIKIDELE VÕI RAHVUSVAHELISTELE ORGANISATSIOONIDELE Artikkel 47 tugineb määruse (EÜ) nr 45/2001 artiklile 9 ning selles kirjeldatakse kooskõlas määruse (EL) 2016/679 artikliga 44 üldpõhimõtet, et käesoleva määruse sätete ning V peatükis sätestatud tingimuste järgimine on kohustuslik kolmandatele riikidele või rahvusvahelistele organisatsioonidele mis tahes isikuandmete edastamisel, sealhulgas juhul, kui kolmas riik või rahvusvaheline organisatsioon saadab isikuandmed edasi mõnele teisele kolmandale riigile või rahvusvahelisele organisatsioonile. Artikliga 48 sätestatakse, et isikuandmeid võib kolmandale riigile või rahvusvahelisele organisatsioonile edastada siis, kui komisjon on tulenevalt määruse (EL) 2016/679 artikli 45 lõikest 3 teinud otsuse, et asjaomane kolmas riik või asjaomase kolmanda riigi territoorium või kõnealuse kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab kaitse piisava taseme, ning isikuandmeid edastatakse üksnes vastutava töötleja pädevusse kuuluvate ülesannete täitmiseks. Kõnealuse artikli lõiked 2 ja 3 võeti üle määruse (EÜ) nr 45/2001 artiklist 9, kuna need on kasulikud kolmandate riikide ja rahvusvaheliste organisatsioonide kaitsetaseme jälgimiseks. Artikkel 49 tugineb määruse (EL) 2016/679 artiklile 46 ning sellega nõutakse andmete edastamiste korral sellistesse kolmandatesse riikidesse, mille puhul komisjon ei ole piisava kaitse otsust teinud, asjakohaste kaitsemeetmete, eelkõige isikuandmete kaitse standardklauslite ja lepingutingimuste esitamist. Kooskõlas määrusega (EL) 2016/679 võivad volitatud töötlejad, kes ei ole liidu institutsioonid ega asutused, kasutada siduvaid kontsernisiseseid eeskirju, toimimisjuhendeid või sertifitseerimismehhanisme. Selle artikli neljas lõige, mis käsitleb liidu institutsioonide ja asutuste kohustust teavitada Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul nad on kõnealust artiklit kohaldatud, vastab määruse (EÜ) nr 45/2001 artikli 9 lõikele 8 ning jäetakse oma spetsiifilisuse tõttu kehtima. Viies lõige tugineb määruse (EL) 2016/679 artikli 46 lõikele 5, mille kohaselt kehtivad load jäävad ajutiselt kehtima. Artiklis 50 selgitatakse kooskõlas määruse (EL) 2016/679 artikliga 48, et kolmanda riigi kohtu või haldusasutuse otsust, millega nõutakse isikuandmete edastamist või avaldamist, võib tunnustada ja selle mis tahes viisil täitmisele pöörata üksnes siis, kui kõnealune otsus põhineb nõude esitanud kolmanda riigi ja liidu vahel kehtival rahvusvahelisel lepingul, näiteks vastastikuse õigusabi lepingul, ilma et see piiraks muid käesoleva peatüki kohaseid edastamise aluseid. Artikkel 51 tugineb määruse (EL) 2016/679 artiklile 49 ning selles kirjeldatakse ja selgitatakse andmeedastuse erandeid. Seda kohaldatakse eelkõige nende andmeedastuste suhtes, mida nõutakse ja mis on vajalikud kaalukate avalike huvide kaitseks, näiteks konkurentsi-, maksu- või tolliameteid või sotsiaalkindlustuse või kalavarude majandamise valdkonnas tegutsevaid asutusi hõlmava rahvusvahelise andmeedastuse korral. Viies lõige, mis käsitleb kohustust teavitada Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul on andmete edastamise korral kohaldatud erandeid, vastab määruse (EÜ) nr 45/2001 artikli 9 lõikele 8. Artikkel 52 tugineb määruse (EL) 2016/679 artiklile 50 ning selles sätestatakse sõnaselgelt rahvusvahelise koostöö mehhanismid isikuandmete kaitseks Euroopa Andmekaitseinspektori, komisjoni ja Euroopa Andmekaitsenõukogu ning kolmandate riikide järelevalveasutuste vahel. VI PEATÜKK - EUROOPA ANDMEKAITSEINSPEKTOR Artikkel 53 tugineb määruse (EÜ) nr 45/2001 artiklile 41 ja see käsitleb andmekaitseametniku ametikoha loomist.

Artikkel 54 tugineb määruse (EÜ) nr 45/2001 artiklile 42 ja otsuse 1247/2002/EÜ artiklile 3 ning sellega kehtestatakse Euroopa Parlamendi ja nõukogu poolt Euroopa Andmekaitseinspektori ametisse nimetamise menetlus. Artiklis täpsustatakse ka, et Euroopa andmekaitseinspektori ametiaeg on viis aastat. Artikkel 55 tugineb määruse (EÜ) nr 45/2001 artiklile 43 ja otsuse 1247/2002/EÜ artiklile 1 ning sellega sätestatakse Euroopa Andmekaitseinspektori ja tema alluvate kohustuste täitmist reguleeriv kord ja üldtingimused ning rahalised vahendid. Artikkel 56 tugineb määruse (EL) 2016/679 artiklile 52 ja määruse (EÜ) nr 45/2001 artiklile 44 ning selles selgitatakse Euroopa andmekaitseinspektori sõltumatuse tingimusi, võttes arvesse Euroopa Liidu Kohtu kohtupraktikat. Artikliga 57 kehtestatakse määruse (EÜ) nr 45/2001 artikli 45 alusel Euroopa Andmekaitseinspektori kohustused ametiajal ning pärast ametist lahkumist seoses konfidentsiaalse teabega, mis neile ametikohustuste täitmisel on teatavaks saanud. Artikkel 58 tugineb määruse (EL) 2016/679 artiklile 57 ja määruse (EÜ) nr 45/2001 artiklile 46 ning sellega määratakse kindlaks Euroopa Andmekaitseinspektori ülesanded, sealhulgas kaebuste ärakuulamine ja uurimine ning avalikkuse teadlikkuse suurendamine ohtude, õigusnormide, kaitsemeetmete ja õiguste kohta. Artikkel 59 tugineb määruse (EL) 2016/679 artiklile 58 ja määruse (EÜ) nr 45/2001 artiklile 47 ning selles sätestatakse Euroopa Andmekaitseinspektori volitused. Artikkel 60 tugineb määruse (EL) 2016/679 artiklile 59 ja määruse (EÜ) nr 45/2001 artiklile 48 ning selles sätestatakse Euroopa Andmekaitseinspektori kohustus koostada igal aastal tegevusaruanne. VII PEATÜKK – KOOSTÖÖ JA KOOSKÕLA Artikkel 61 tugineb määruse (EL) 2016/679 artiklile 61 ja määruse (EÜ) nr 45/2001 artikli 46 punktile f ning sellega kehtestatakse selged reeglid Euroopa Andmekaitseinspektori koostööle riiklike järelevalveasutustega. Artiklis 62 sätestatakse Euroopa Andmekaitseinspektori kohustused juhtudel, kui liidu teistes õigusaktides viidatakse sellele artiklile riiklike järelevalveasutustega teostatava koordineeritud järelevale raames. Artikli eesmärk on rakendada koordineeritud järelevalve ühtset mudelit. Seda mudelit võib kasutada selliste suurte IT-süsteemide koordineeritud järelevalveks nagu Eurodac, teise põlvkonna Schengeni infosüsteem, viisainfosüsteem, tolliinfosüsteem või siseturu infosüsteem, kuid ka mõnede liidu asutuste tegevuse järelevalveks, mille jaoks on loodud Euroopa Andmekaitseinspektori ja riiklike järelevalveasutuste vaheline spetsiaalne koostöömudel, nt Europol. Euroopa Andmekaitsenõukogu peaks olema ainsaks platvormiks, millega tagatakse üldine tõhus koordineeritud järelevalve. VIII PEATÜKK – ÕIGUSKAITSEVAHENDID, VASTUTUS JA KARISTUSED Artikkel 63 tugineb määruse (EL) 2016/679 artiklile 77 ja määruse (EÜ) nr 45/2001 artiklile 32 ning selles sätestatakse andmesubjekti õigus esitada Euroopa Andmekaitseinspektorile kaebus. Artiklis sätestatakse ka Euroopa Andmekaitseinspektori kohustus käsitleda andmesubjekti kaebust ja teavitada teda kaebuse menetlemise käigust ja tulemustest kolme kuu jooksul, pärast mida loetakse kaebus tagasi lükatuks. Artikliga 64 jäetakse kehtima määruse (EÜ) nr 45/2001 artikli 32 lõige 1, millega sätestatakse Euroopa Liidu Kohtu pädevus lahendada kõiki käesoleva määruse sätetega seotud vaidlusi, sealhulgas kahjunõudeid. Artikliga 65 sätestatakse õigus saada materiaalse või mittemateriaalse kahju tekitamise eest hüvitist, võttes arvesse aluslepingutes sätestatud, sealhulgas vastutust käsitlevad tingimused. Artikkel 66 tugineb määruse (EL) 2016/679 artiklile 83 ning selles sätestatakse Euroopa Andmekaitseinspektori volitused määrata liidu institutsioonidele ja asutustele viimase abinõuna trahve ning ainult juhul, kui liidu institutsioon või asutus ei suuda täita artikli 59 lõike 2 punktides a-h ja punktis j osutatud Euroopa Andmekaitseinspektori korraldust. Artiklis täpsustatakse ka kriteeriume, mille alusel otsustatakse igal konkreetsel juhul trahvi määramine ja selle suurus, aastaste maksimaalsete ülemmäärade aluseks on aga mõnedes liikmesriikides kohaldatavad trahvisummad. Artikkel 67 võimaldab määruse (EL) 2016/679 artikli 80 lõike 1 alusel teatavatel asutustel, organisatsioonidel või ühendustel esitada kaebust andmesubjekti nimel. Artiklis 68 sätestatakse kooskõlas määruse (EÜ) nr 45/2001 artikliga 33 erinormid, mille eesmärk on kaitsta liidu töötajaid, kes esitavad Euroopa Andmekaitseinspektorile väljaspool ametlikke kanaleid kaebuse käesoleva määruse sätete väidetava rikkumise kohta. Artikkel 69 tugineb määruse (EÜ) nr 45/2001 artiklile 49 ja selles sätestatakse sanktsioonid, mida kohaldatakse käesoleva määrusega ettenähtud kohustuste Euroopa Liidu ametniku või teenistuja poolt täitmatajätmise korral. IX PEATÜKK - RAKENDUSAKTID Artikkel 70 sisaldab sätet komiteemenetluse kasutamise kohta rakendusvolituste delegeerimisel komisjonile juhtudel, kui kooskõlas Euroopa Liidu toimimise lepingu artikliga 291 on liidu õiguslikult siduvate aktide rakendamiseks vaja ühetaolisi tingimusi. Kohaldatakse kontrollimenetlust.

X PEATÜKK – LÕPPSÄTTED Artikliga 71 tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ ning selles sätestatakse, et viiteid kahele kehtetuks tunnistatud õigusaktile tuleb käsitada viitena käesolevale määrusele. Artiklis 72 selgitatakse, et käesolev määrus ei mõjuta Euroopa Andmekaitseinspektori ja inspektori asetäitja praegust ametiaega ning et määruse artikli 54 lõikeid 4, 5 ja 7 ning artikleid 56 ja 57 kohaldatakse praeguse inspektori asetäitja suhtes kuni tema ametiaja lõpuni, st 5. detsembrini 2019. Artikliga 73 kehtestatakse käesoleva määruse jõustumiskuupäevaks 25. mai 2018, et tagada järjepidevus määruse (EL) 2016/679 kohaldamiskuupäevaga. 2017/0002 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS üksikisikute kaitse kohta isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning selliste andmete vaba liikumise kohta ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: 1)Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu (edaspidi „ELi toimimise leping“) artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. 2)Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 45/2001 on sätestatud füüsilistele isikutele samaväärsed kohtulikult kaitstavad õigused, määratud kindlaks liidu institutsioonide ja asutuste vastutavate töötlejate kohustused andmete töötlemisel ning sellega on loodud sõltumatu järelevalveasutus, Euroopa Andmekaitseinspektor, mis vastutab isikuandmete liidu institutsioonide ja asutuste poolse töötlemise jälgimise eest. Seda ei kohaldata aga isikuandmete töötlemise suhtes, mis toimub liidu institutsioonide ja asutuste tegevuse käigus, mis jääb väljapoole liidu õiguse kohaldamisala. 3)Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 ning Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680 võeti vastu 27. aprillil 2016. Kui määruses on sätestatud üldnormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus, siis direktiivis on sätestatud erinormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas. 4)Määruses (EL) 2016/679 on rõhutatud vajadust teha määrusesse (EÜ) nr 45/2001 vajalikud muudatused, et luua liidus tugev ja ühtne andmekaitseraamistik ning võimaldada samaaegset kohaldamist määrusega (EL) 2016/679. 5)Kogu liitu hõlmava isikuandmete kaitset käsitleva sidusa lähenemisviisi ja liidus isikuandmete vaba liikumise huvides on ühtlustada võimalikult suures ulatuses liidu institutsioonide ja asutuste andmekaitsenorme liikmesriikides avaliku sektori jaoks vastu võetud andmekaitsenormidega. Kui käesoleva määruse sätted tuginevad samale mõistele kui määruse (EL) 2016/679 sätted, tuleks mõlemaid sätteid tõlgendada ühetaoliselt, eelkõige kuna käesoleva määruse ülesehitust tuleks mõista võrdväärsena määruse (EL) nr 2016/679 ülesehitusega.

6)Kaitsta tuleks isikuid, kelle isikuandmeid töödeldakse mistahes põhjustel liidu institutsioonides ja asutustes, näiteks seetõttu, et nad nendes institutsioonides või asutustes töötavad. Käesolevat määrust ei tuleks kohaldada surnud isikuid puudutavate isikuandmete suhtes. Käesolevat määrust ei kohaldata selliste andmete töötlemise suhtes, mis puudutavad juriidilisi isikuid, eelkõige juriidiliste isikutena asutatud ettevõtjaid, sealhulgas juriidilise isiku nime ja vormi ning kontaktandmete suhtes. 7)Selleks et vältida normide täitmisest kõrvalehoidumise märkimisväärset ohtu, peaks füüsiliste isikute kaitse olema tehnoloogiliselt neutraalne ega tohiks sõltuda kasutatud meetoditest. Kui isikuandmed sisalduvad andmete kogumis või kui nad hiljem kantakse andmete kogumisse, peaks füüsilisi isikuid kaitsma nii isikuandmete automatiseeritud kui ka automatiseerimata töötlemise puhul. Käesoleva määruse kohaldamisalasse ei peaks kuuluma sellised toimikud või toimikute kogumid, mis ei ole teatavate kriteeriumide kohaselt korrastatud, ega nende esilehed. 8)Lissaboni lepingu vastu võtnud valitsustevahelise konverentsi lõppaktile lisatud deklaratsioonis nr 21 (isikuandmete kaitse kohta kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas) tunnistas konverents, et kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö eripära tõttu võib tekkida vajadus ELi toimimise lepingu artiklil 16 põhinevate erinormide järele seoses isikuandmete kaitse ja isikuandmete vaba liikumisega kõnealustes valdkondades. Seetõttu tuleks käesolevat määrust kohaldada kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas tegutsevate liidu asutuste suhtes üksnes sellises ulatuses, mille puhul selliste asutuste suhtes kohaldatav liidu õigus ei sisalda isikuandmete töötlemist käsitlevaid erinorme. 9)Direktiivis (EL) 2016/680 on sätestatud ühtsed normid süütegude tõkestamise, uurimise, avastamise või isikute nende eest vastutusele võtmise, kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil töödeldavate isikuandmete kaitse ja selliste andmete vaba liikumise kohta. Selleks et tagada kogu liidus ühesugune füüsiliste isikute kohtulikult kaitstavate õiguste kaitse tase ning saavutada, et erinevused ei takistaks isikuandmete vahetamist kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas tegutsevate liidu asutuste ja liikmesriikide pädevate asutuste vahel, peaksid selliste liidu asutuste töödeldud operatiivsete isikuandmete kaitset ja vaba liikumist käsitlevad normid järgima käesoleva määruse põhimõtteid ning olema kooskõlas direktiiviga (EL) 2016/680. 10)Juhul kui aluslepingu V jaotise 4. ja 5. peatüki kohaldamisalasse jäävaid tegevusi teostava liidu asutuse asutamismääruses on sätestatud operatiivsete isikuandmete töötlemiseks eraldiseisev andmekaitsekord, ei peaks käesolev määrus seda korda mõjutama. Komisjon peaks siiski kooskõlas direktiivi (EL) 2016/680 artikliga 62 vaatama 6. maiks 2019 läbi liidu õigusaktid, mis reguleerivad pädevate asutuste poolt andmete töötlemist süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja ennetamise eesmärgil, ning vajaduse korral tegema vajalikud ettepanekud nende muutmiseks, et tagada järjepidev lähenemine isikuandmete kaitsele kriminaalasjades tehtava politsei- ja õigusalase koostöö valdkonnas. 11)Andmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes. Pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. Selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut. Andmekaitse põhimõtteid ei tuleks seetõttu kohaldada anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga, või isikuandmete suhtes, mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada. Käesolevas määruses ei käsitleta seega sellise anonüümse teabe töötlemist, sealhulgas statistilisel või uuringute eesmärgil. 12)Isikuandmete pseudonümiseerimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi. „Pseudonümiseerimise“ selgesõnaline kasutuselevõtmine käesolevas määruses ei ole mõeldud välistama muid andmekaitsemeetmeid. 13)Füüsilisi isikuid võib seostada nende seadmete, rakenduste, tööriistade ja protokollide jagatavate võrguidentifikaatoritega, näiteks IP-aadresside või küpsistega, või muude identifikaatoritega, näiteks raadiosagedustuvastuse kiipidega. See võib jätta jälgi, mida võidakse kasutada füüsiliste isikute profileerimiseks ja nende tuvastamiseks, eelkõige juhul, kui neid kombineeritakse serveritesse saabuvate kordumatute identifikaatorite ja muu teabega. 14)Nõusolek tuleks anda selge kinnitusena, näiteks kirjaliku kinnituse vormis, sealhulgas elektroonilisel teel, või suulise avaldusena, millega andmesubjekt annab vabatahtlikult, konkreetselt, teadlikult ja ühemõtteliselt nõusoleku teda puudutavate isikuandmete töötlemiseks. See võiks hõlmata vajaliku lahtri märgistamist veebisaidil, infoühiskonna teenuste tehniliste seadmete valimist või muud avaldust või käitumist, millest selles kontekstis konkreetselt nähtub andmesubjekti nõusolek teda puudutavate isikuandmete kavandatavaks töötlemiseks. Vaikimist, eelnevalt märgistatud lahtreid või tegevusetust ei tohiks seega pidada nõusolekuks. Nõusolek peaks hõlmama kõiki samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid. Kui töötlemisel on mitu eesmärki, tuleks nõusolek anda kõigi nende kohta. Kui andmesubjekti nõusolek tuleb anda pärast elektroonilise taotluse esitamist, peab taotlus olema selge ja kokkuvõtlik ning mitte põhjendamatult häirima selle teenuse kasutamist, mille kohta taotlus esitatakse. 15)Isikuandmete igasugune töötlemine peaks olema seaduslik ja õiglane. Füüsilisi isikuid puudutavate isikuandmete kogumine, kasutamine, lugemine või muu töötlemine ja nende andmete töötlemise ulatus praegu või tulevikus peaks olema nende jaoks läbipaistev. Läbipaistvuse põhimõte eeldab, et nende isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Kõnealune põhimõte puudutab eelkõige andmesubjektide teavitamist vastutava töötleja identiteedist ning töötlemise eesmärgist ja täiendavast teabest, et tagada asjaomaste füüsiliste isikute suhtes õiglane ja läbipaistev töötlemine ning nende õigus saada neid puudutavate isikuandmete töötlemise kohta kinnitust ja sõnumeid. Füüsilisi isikuid tuleks teavitada isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad sellise andmete töötlemisega seoses oma õigusi kasutada. Eelkõige peaksid olema selged ja õiguspärased isikuandmete töötlemise konkreetsed eesmärgid, mis tuleks kindlaks määrata andmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma sellega, mis on nende töötlemise otstarbe seisukohalt vajalik. See eeldab eelkõige, et tagatakse andmete säilitamise aja piirdumine rangelt minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil. Selle tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, peaks vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. Selle tagamiseks, et ebaõiged isikuandmed parandatakse või kustutatakse, tuleks võtta kõik mõistlikud meetmed. Isikuandmeid tuleks töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse ja konfidentsiaalsuse, sealhulgas isikuandmetele ning nende töötlemiseks kasutatavatele seadmetele loata juurdepääsu või nende loata kasutamise tõkestamise. 16)Kui liidu institutsioonid ja asutused edastavad isikuandmeid kooskõlas vastutuse põhimõttega institutsiooni või asutuse siseselt või teistele liidu institutsioonidele või asutustele, peaksid nad kontrollima, kas sellised isikuandmed on vajalikud vastuvõtja pädevusse kuuluvate ülesannete õiguspäraseks täitmiseks, juhul kui vastuvõtja ei kuulu vastutava töötleja alluvusse. Vastutav töötleja peaks pärast vastuvõtja taotlust isikuandmete edastamiseks kontrollima eelkõige seda, kas isikuandmete töötlemiseks on olemas seaduslik alus, ja vastuvõtja pädevust ning esitama andmete edastamise vajalikkuse kohta esialgse hinnangu. Kui vajalikkuse osas tekib kahtlusi, peaks vastutav töötleja taotlema vastuvõtjalt täiendavat teavet. Vastuvõtja peaks tagama, et andmete edastamise vajalikkust on võimalik hiljem kontrollida. 17)Töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid töödelda liidu institutsioonides ja asutustes üldistes huvides või avaliku võimu teostamisel täidetavate ülesannete vajalikkuse alusel, käesolevas määruses osutatud muu õigusakti või selliste juriidiliste kohustuste järgimise vajaduse alusel, mida vastutav töötleja peab täitma, sealhulgas asjaomase andmesubjekti nõusolek, või kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel enne lepingu sõlmimist meetmeid. Isikuandmete töötlemine liidu institutsioonides ja asutustes seoses üldistes huvides täidetavate ülesannetega hõlmab nende institutsioonide ja asutuste juhtimiseks ja toimimiseks vajalikku isikuandmete töötlemist. Isikuandmete töötlemist tuleks pidada seaduslikuks ka siis, kui see on vajalik andmesubjekti või muu füüsilise isiku eluliste huvide kaitsmiseks. Muu füüsilise isiku eluliste huvide alusel saaks isikuandmeid põhimõtteliselt töödelda üksnes siis, kui töötlemist ei saa ilmselgelt teostada muul õiguslikul alusel. Mõnda liiki isikuandmetöötlus võib teenida nii kaalukaid avalikke huve kui ka andmesubjekti elulisi huve, näiteks juhul, kui töötlemine on vajalik humanitaareesmärkidel, sealhulgas epideemia ja selle leviku jälgimiseks, või humanitaarhädaolukordades, eriti loodusõnnetuste ja inimtegevusest tingitud õnnetuste korral. 18)Käesolevas määruses osutatud liidu õigus ning sise-eeskirjad peaksid siiski olema selged ja täpsed ning nende kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes neid kohaldatakse vastavalt Euroopa Liidu Kohtu ja Euroopa Inimõiguste Kohtu praktikale. 19)Isikuandmete töötlemine muul eesmärgil kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. Kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, võib liidu õiguses kindlaks määrata ja täpsustada need ülesanded ja eesmärgid, mille puhul tuleks pidada edasist töötlemist eesmärkidele vastavaks ja seaduslikuks. Edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärkidele vastavate seaduslike isikuandmete töötlemise toimingutena. Liidu õiguses sätestatud õiguslik alus isikuandmete töötlemiseks võib olla ka edasise töötlemise õiguslikuks aluseks. Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed algselt koguti, peaks vastutav töötleja võtma pärast kõikide esialgse töötlemise seaduslikkuse seisukohast vajalike nõuete täitmist muu hulgas arvesse mis tahes seoseid sellise eesmärgi ja kavandatava edasise töötlemise eesmärgi vahel, isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes, isikuandmete laadi, kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks ning asjakohaste kaitsemeetmete olemasolu nii esialgsetes kui ka kavandatavates edasistes isikuandmete töötlemise toimingutes. 20)Kui andmeid töödeldakse andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõestada, et andmesubjekt on andnud isikuandmete töötlemise toiminguks oma nõusoleku. Eelkõige muid küsimusi käsitleva kirjaliku avalduse puhul tuleks kaitsemeetmetega tagada, et andmesubjekt on teadlik nõusoleku andmisest ja nõusoleku andmise ulatusest. Kooskõlas nõukogu direktiiviga 93/13/EMÜ peaks vastutava töötleja poolt ette valmistatud nõusolekuavaldus olema arusaadav ja lihtsasti kättesaadav, selles tuleks kasutada selget ja lihtsat keelt ning selles ei tohiks olla ebaõiglaseid tingimusi. Teadliku nõusoleku andmiseks peaks andmesubjekt olema teadlik vähemalt sellest, kes on vastutav töötleja ja milleks kavatsetakse isikuandmeid töödelda. Nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta. 21)Laste isikuandmed väärivad erilist kaitset, kuna lapsed ei pruugi olla piisavalt teadlikud asjaomastest ohtudest, tagajärgedest ja kaitsemeetmetest ning oma õigustest seoses isikuandmete töötlemisega. Niisugune eriline kaitse peaks eelkõige rakenduma isiku profiilide loomisel ja laste isikuandmete kogumisel liidu institutsioonide ja asutuste veebisaitidel otse lastele pakutavate teenuste kasutamise puhul, nagu näiteks isikutevahelise side teenused või piletite internetimüük, ning kui isikuandmete töötlemine toimub nõusoleku alusel. 22)Kui liidus asutatud vastuvõtjad, kelle suhtes kohaldatakse määrust (EL) 2016/679 või direktiivi (EL) 2016/680, soovivad, et liidu institutsioonid või asutused edastaksid neile isikuandmeid, peaksid need vastuvõtjad tõendama, et edastamine on vajalik nende eesmärkide saavutamiseks, on proportsionaalne ning ei lähe kaugemale, kui on kõnealuse eesmärgi saavutamiseks vajalik. Liidu institutsioonid ja asutused peaksid vastavalt läbipaistvuse põhimõttele sellist vajadust tõendama juhul, kui nad andmete edastamist ise algatavad. 23)Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. Need isikuandmed peaksid hõlmama ka niisuguseid isikuandmeid, millest ilmneb rassiline või etniline päritolu, kusjuures mõiste „rassiline päritolu“ kasutamine käesolevas määruses ei osuta sellele, et liit aktsepteerib teooriaid, millega püütakse määrata kindlaks eraldi inimrasside olemasolu. Fotode töötlemist ei peaks süstemaatiliselt käsitlema isikuandmete eriliikide töötlemisena, kuna need on hõlmatud üksnes biomeetriliste andmete määratlusega, kui neid töödeldakse konkreetsete tehniliste vahenditega, mis võimaldavad füüsilist isikut kordumatult tuvastada või autentida. Lisaks tundlike andmete töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid norme, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas, kui andmesubjekt annab selleks oma selgesõnalise nõusoleku, või konkreetse vajaduse korral, eelkõige juhul, kui töödeldakse teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist. 24)Isikuandmete eriliike võib olla vaja töödelda avalikes huvides rahvatervisega seotud valdkondades ilma andmesubjekti nõusolekuta. Sellisel töötlemisel tuleks kohaldada sobivaid ja konkreetseid meetmeid, et kaitsta füüsiliste isikute õigusi ja vabadusi. Selles kontekstis tuleks mõistet „rahvatervis“ tõlgendada vastavalt Euroopa Parlamendi ja nõukogu määrusele (EÜ) nr 1338/2008, mille kohaselt rahvatervis on kõik tervisega seotud asjaolud, nimelt tervislik seisund, sealhulgas haigestumus ja puuded, tervislikku seisundit mõjutavad tegurid, tervishoiualased vajadused, tervishoiule eraldatud vahendid, tervishoiuteenuse osutamine ja selle üldine kättesaadavus, samuti kulutused tervishoiule ja selle rahastamine ning suremuse põhjused. Sellise terviseandmete avalikes huvides töötlemise tulemusel ei tohiks isikuandmeid muudel eesmärkidel töödelda kolmandad isikud. 25)Juhul kui vastutav töötleja töötleb selliseid isikuandmeid, mille alusel ei saa füüsilisi isikuid tuvastada, ei tohiks ta olla kohustatud hankima andmesubjekti tuvastamiseks täiendavat teavet ainult käesoleva määruse sätete järgimiseks. Vastutav töötleja ei tohiks aga keelduda sellise täiendava teabe vastuvõtmisest, mida andmesubjekt esitab oma õiguste kasutamise toetamiseks. Tuvastamine peaks hõlmama andmesubjekti digitaalset tuvastamist, näiteks sellise autentimise mehhanismi abil nagu samad volitused, mida andmesubjekt kasutab vastutava töötleja pakutavasse sidusteenusesse sisselogimiseks.

26)Avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil toimuva isikuandmete töötlemise suhtes tuleks kohaldada kooskõlas käesoleva määrusega asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitseks. Nende kaitsemeetmetega tuleks tagada tehniliste ja korralduslike meetmete olemasolu, eelkõige selleks, et tagada võimalikult väheste andmete kogumise põhimõtte järgimine. Isikuandmete edasine töötlemine avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil peab toimuma siis, kui vastutav töötleja on hinnanud nende eesmärkide täitmise teostatavust, töödeldes isikuandmeid, mis ei võimalda või enam ei võimalda andmesubjekte tuvastada, tingimusel et olemas on asjakohased kaitsemeetmed (näiteks isikuandmete pseudonümiseerimine). Liidu institutsioonid ja asutused peaksid kehtestama liidu õiguses asjakohased kaitsemeetmed, mis võivad sisaldada sise-eeskirju, isikuandmete töötlemisele, mis toimub avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil. 27)Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil taotleda ja vajaduse korral hankida tasuta eelkõige juurdepääsu õigusele nõuda isikuandmete parandamist või kustutamist ning kasutada õigust esitada vastuväiteid. Vastutav töötleja peaks samuti kättesaadavaks tegema vahendid, millega taotluse saab esitada elektrooniliselt, eriti kui isikuandmeid töödeldakse elektrooniliste vahenditega. Vastutav töötleja peaks olema kohustatud vastama andmesubjekti taotlustele põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul ning kui vastutav töötleja ei kavatse andmesubjekti taotlust rahuldada, siis seda põhjendama. 28)Õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest. Vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti. Lisaks tuleks andmesubjekti teavitada profiilianalüüsi olemasolust ja sellise analüüsi tagajärgedest. Kui isikuandmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud isikuandmeid esitama, ja selliste andmete esitamata jätmise tagajärgedest. Sellise teabe võib esitada koos standardsete ikoonidega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, peaksid need olema masinloetavad. 29)Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle juhtumi asjaoludest olenevalt kas andmesubjektilt andmete kogumise ajal või mõistliku ajavahemiku jooksul, juhul kui andmeid hangitakse muust allikast. Kui isikuandmeid võib õiguspäraselt avaldada muule vastuvõtjale, tuleks andmesubjekti sellest teavitada andmete esmakordsel avaldamisel. Kui vastutav töötleja kavatseb isikuandmeid töödelda muul eesmärgil kui see, milleks neid koguti, peaks vastutav töötleja esitama andmesubjektile enne andmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu vajaliku teabe. Kui andmesubjektile ei saa esitada isikuandmete päritolu, sest kasutatud on mitut allikat, tuleks esitada üldteave. 30)Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. See hõlmab andmesubjektide õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. Igal andmesubjektil peaks seega olema õigus teada eelkõige isikuandmete töötlemise eesmärke, võimaluse korral isikuandmete töötlemise ajavahemikku, isikuandmete vastuvõtjaid, isikuandmete automaatse töötlemise loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt juhul kui töötlemine põhineb profiilianalüüsil) ning saada eelneva kohta teavet. See õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine. Kui vastutav töötleja töötleb suurt hulka andmesubjekti käsitlevat teavet, peaks vastutav töötleja saama paluda, et andmesubjekt täpsustaks enne andmete esitamist, millise teabe või milliste isikuandmete töötlemise toimingutega taotlus seotud on. 31)Andmesubjektil peaks olema õigus nõuda teda käsitlevate isikuandmete parandamist ja „õigus olla unustatud“ juhul, kui selliste andmete säilitamine rikub käesolevat määrust või vastutava töötleja suhtes kohaldatavat liidu õigust. Andmesubjektil peaks olema õigus oma isikuandmete kustutamisele ja nende töötlemise lõpetamisele siis, kui isikuandmed ei ole enam vajalikud eesmärkidel, mille jaoks need koguti või neid muul viisil töödeldi, kui andmesubjekt on töötlemisele antud nõusoleku tagasi võtnud või kui ta on vastu oma isikuandmete töötlemisele või kui nende isikuandmete töötlemine muul viisil ei vasta käesoleva määruse nõuetele. Kõnealune õigus on asjakohane eelkõige siis, kui andmesubjekt andis nõusoleku lapsena, olemata täielikult teadlik töötlemisega kaasnevatest ohtudest, ja hiljem soovib need isikuandmed eelkõige internetist kustutada. Andmesubjektil peaks olema võimalik seda õigust kasutada, vaatamata sellele, et ta ei ole enam laps. Isikuandmete jätkuv säilitamine peaks olema seaduslik aga juhul, kui see on vajalik sõna- ja teabevabaduse kasutamiseks, juriidilise kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, rahvatervise valdkonna avalikes huvides, avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. 32)Selleks et tugevdada võrgukeskkonnas õigust olla unustatud, tuleks laiendada õigust andmete kustutamisele, kohustades isikuandmed avaldanud vastutavat töötlejat teavitama selliseid isikuandmeid töötlevaid vastutavaid töötlejaid asjaolust, et kõnealustele isikuandmetele osutavad lingid või nende andmete koopiad või kordused tuleb kustutada. Seda tehes peaks vastutav töötleja võtma mõistlikke meetmeid, võttes arvesse vastutavale töötlejale kättesaadavat tehnoloogiat ja vahendeid, sealhulgas tehnilisi meetmeid, et teavitada isikuandmeid töötlevaid vastutavaid töötlejaid andmesubjekti taotlusest. 33)Isikuandmete töötlemise piiramise meetodid võivad muu hulgas hõlmata valitud isikuandmete ajutist ümberpaigutamist teise töötlemissüsteemi, valitud isikuandmete muutmist kasutajatele kättesaamatuks või avaldatud andmete ajutist kõrvaldamist veebisaidilt. Automaatsetes andmete kogumites tuleks isikuandmete töötlemise piiramine tagada üldjuhul tehniliste vahenditega selliselt, et isikuandmeid enam edasi ei töödelda ja neid ei saa enam muuta. Asjaolu, et isikuandmete töötlemine on piiratud, tuleks süsteemis selgelt määratleda. 34)Selleks et veelgi tugevdada kontrolli oma andmete üle, peaks andmesubjektil isikuandmete automatiseeritud töötlemise korral samuti olema lubatud saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, laialdaselt kasutatavas, masinloetavas ja koostalitlevas vormingus ning edastada neid teisele vastutavale töötlejale. Vastutavaid töötlejaid peaks julgustama arendama koostalitlevaid vorminguid, mis võimaldavad andmete ülekantavust. See õigus peaks olema kasutatav juhul, kui andmesubjekt esitas isikuandmed omaenda nõusoleku alusel või kui töötlemine on vajalik lepingu täitmiseks. Seda ei tuleks seega kohaldada eelkõige siis, kui isikuandmete töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks või avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu kasutamiseks. Andmesubjekti õigus edastada või saada teda puudutavaid isikuandmeid ei peaks tekitama vastutavatele töötlejatele kohustust võtta kasutusele või hoida töös tehniliselt ühilduvaid andmetöötlussüsteeme. Kui teatud isikuandmed puudutavad enam kui üht andmesubjekti, ei tohiks isikuandmete saamise õigus piirata teiste andmesubjektide käesoleva määruse kohaseid õigusi ja vabadusi. Lisaks ei tohiks see õigus piirata andmesubjekti käesoleva määruse kohast õigust nõuda oma isikuandmete kustutamist ja selle õiguse piiranguid ning ei tohiks eelkõige tähendada andmesubjekti poolt lepingu täitmiseks esitatud teda käsitlevate isikuandmete kustutamist sel määral ja nii kaua, kui isikuandmed on vajalikud selle lepingu täitmiseks. Kui see on tehniliselt teostatav, peaks andmesubjektil olema õigus sellele, et isikuandmed edastatakse otse ühelt vastutavalt töötlejalt teisele. 35)Kui isikuandmeid võidakse seaduslikult töödelda sellepärast, et töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, peaks andmesubjektil olema ikkagi õigus tema konkreetse olukorraga seotud isikuandmete töötlemine vaidlustada. Vastutav töötleja peaks tõendama, et tema mõjuvad õigustatud huvid kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused. 36)Andmesubjektil peaks olema õigus sellele, et tema suhtes ei tehta üksnes andmete automatiseeritud töötlemisele toetuvat isiklike aspektide hindamisel põhinevat ja meedet sisaldada võivat otsust, millel on teda puudutavad õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, nagu veebipõhine tööle värbamine ilma inimsekkumiseta. Selline töötlemine hõlmab igasuguses isikuandmete automatiseeritud töötlemises seisnevat profiilianalüüsi, mille käigus hinnatakse füüsilise isikuga seotud isiklikke aspekte, mille eesmärk on eelkõige selliste aspektide analüüsimine ja prognoosimine, mis on seotud töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega, kui see toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle samamoodi märkimisväärset mõju. Sellisel töötlemisel, sealhulgas profiilianalüüsil põhinev otsuste tegemine peaks aga olema lubatud siis, kui see on sõnaselgelt lubatud vastutava töötleja suhtes kohaldatava liidu õigusega Igal juhul tuleks sellise töötlemise korral kehtestada sobivaid kaitsemeetmeid, mis peaksid hõlmama andmesubjektile konkreetse teabe andmist ja õigust otsesele isiklikule kontaktile, õigust väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ning õigust seda otsust vaidlustada. Selline meede ei tohiks puudutada last. Selleks et tagada andmesubjekti suhtes õiglane ja läbipaistev töötlemine, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti, peaks vastutav töötleja kasutama profiilianalüüsiks asjakohaseid matemaatilisi või statistilisi menetlusi, rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada eelkõige ebaõigeid isikuandmeid põhjustavate tegurite korrigeerimine ja vigade tegemise ohu minimeerimine, ning tagama isikuandmete turvalisuse selliselt, et võetakse arvesse potentsiaalset ohtu andmesubjekti huvidele ja õigustele ning ennetatakse muu hulgas diskrimineerivat mõju füüsilistele isikutele rassi või etnilise päritolu, poliitiliste vaadete, usutunnistuse või veendumuste, ametiühingusse kuulumise, geneetilise või tervisliku seisundi või seksuaalse sättumuse alusel või mille tulemuseks on sellise mõjuga meetmed. Automatiseeritud otsuste tegemine ja profiilianalüüs konkreetsete isikuandmete liikide põhjal peaks olema lubatud ainult eritingimustel. 37)Aluslepingute alusel vastu võetud õigusaktidega või liidu institutsioonide ja asutuste sise-eeskirjadega võidakse kehtestada piirangud, mis puudutavad konkreetseid põhimõtteid ja õigust saada teavet, andmetega tutvuda, nõuda nende parandamist ja kustutamist või õigust andmeid ühest süsteemist teise üle kanda, elektroonilise side konfidentsiaalsust, samuti andmesubjekti isikuandmetega seotud rikkumisest teavitamist ning vastutavate töötlejate teatavaid seonduvaid kohustusi, kui selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne selleks, et tagada avalik julgeolek, süütegude tõkestamine, uurimine ja nende eest vastutusele võtmine või kriminaalkaristuste täitmisele pööramine, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmine või nende ennetamine, sealhulgas inimelude kaitsmine eelkõige loodus- ja inimtegevusest tingitud õnnetustele reageerimisel, liidu institutsioonide ja asutuste sisejulgeolek, liidu või liikmesriigi muu üldise avaliku huvi, eelkõige liidu või liikmesriigi olulise majandus- või finantshuvi oluline eesmärk, üldisest avalikust huvist lähtuvate avalike registrite pidamine või andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse, sealhulgas sotsiaalkaitse, rahvatervis ja humanitaareesmärgid. Kui sellist piirangut ei ole aluslepingute alusel vastu võetud õigusaktidega või liidu institutsioonide ja asutuste sise-eeskirjadega ette nähtud, võivad liidu institutsioonid ja asutused kehtestada erandjuhtudel ajutise piirangu, mis käsitleb andmesubjekti konkreetseid põhimõtteid ja õigust, kui selline piirang austab seoses konkreetse andmetöötlustoiminguga põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada ühe või enama lõikes 1 osutatud eesmärgi saavutamine. Piirangust tuleks teavitada andmekaitseametnikku. Kõik piirangud peaksid vastama hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele. 38)Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele. Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju; kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; kui töödeldakse isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegude ning nendega seotud turvameetmete kohta; kui hinnatakse isiklikke aspekte, eelkõige töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega seotud aspektide analüüsimisel või prognoosimisel, et luua või kasutada isiklikke profiile; kui töödeldakse kaitsetute füüsiliste isikute, eriti laste isikuandmeid; kui töötlemine hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte. Andmesubjekti õigustele ja vabadustele tekkiva ohu tõenäosus ja tõsidus tuleks teha kindlaks lähtudes andmetöötluse laadist, ulatusest, kontekstist ja eesmärkidest. Ohtu tuleks hinnata objektiivse hindamise põhjal, millega tehakse kindlaks, kas andmetöötlustoimingutega kaasneb oht või suur oht. 39)Füüsiliste isikute õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab asjakohaste tehniliste ja korralduslike meetmete võtmist, et tagada käesoleva määruse nõuete täitmine. Selleks et olla võimeline tõendama käesoleva määruse täitmist, peaks vastutav töötleja võtma vastu sise-eeskirjad ja rakendama meetmeid, mis vastavad eelkõige lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Sellised meetmed võivad koosneda muu hulgas isikuandmete töötlemise miinimumini viimisest, isikuandmete võimalikult kiirest pseudonümiseerimisest, läbipaistvusest seoses isikuandmete eesmärgi ja töötlemisega, andmesubjektile andmete töötlemise jälgimise võimaluse andmisest, vastutavale töötlejale võimaluse andmisest luua ja parandada turvameetmeid. Riigihangete kontekstis tuleks samuti võtta arvesse lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtteid. 40)Andmesubjektide õiguste ja vabaduste kaitse ning vastutavate töötlejate ja volitatud töötlejate vastutuse tagamiseks tuleb käesoleva määrusega selgelt kindlaks määrata vastutuse jaotus, sealhulgas juhtudel, kui isikuandmete töötlemise eesmärgid ja vahendid määrab kindlaks vastutav töötleja koos teiste vastutavate töötlejatega ning kui töötlemistoimingut teostatakse vastutava töötleja nimel. 41)Kui vastutava töötleja nimel töötleb andmeid volitatud töötleja, peaks vastutav töötleja kasutama käesoleva määruse nõuete täitmise tagamiseks isikuandmete töötlemise toimingute usaldamisel volitatud töötlejale ainult selliseid volitatud töötlejaid, kes annavad piisavad tagatised, eelkõige seoses erialaste teadmiste, usaldusväärsuse ja vahenditega, et nad suudavad rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad käesoleva määruse nõuetele, sealhulgas töötlemise turvalisusele kehtestatud nõuetele. Seda, et volitatud töötleja, kes ei ole liidu institutsioon või asutus, järgib heakskiidetud toimimisjuhendit või heakskiidetud sertifitseerimismehhanismi, võib kasutada elemendina, mis tõendab vastutava töötleja kohustuste täitmist. Volitatud töötleja peaks andmeid töötlema volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärgid, isikuandmete liik ja andmesubjektide kategooriad ning peaks arvesse võtma volitatud töötleja konkreetseid ülesandeid ja kohustusi seoses teostatava töötlemisega ning ohtu andmesubjekti õigustele ja vabadustele. Vastutaval töötlejal ja volitatud töötlejal peaks olema võimalus valida, kas kasutada individuaalset lepingut või lepingu tüüptingimusi, mille on vastu võtnud kas otseselt komisjon või Euroopa Andmekaitseinspektor ja seejärel komisjon. Pärast vastutava töötleja nimel töötlemise lõpetamist peaks volitatud töötleja isikuandmed vastutava töötleja valikul kas tagastama või kustutama, välja arvatud juhul, kui volitatud töötleja suhtes kohaldatava liidu või liikmesriigi õiguse kohaselt tuleb isikuandmeid säilitada. 42)Käesoleva määruse täitmise tõendamiseks peaksid vastutavad töötlejad säilitama andmeid nende vastutusalasse kuuluvate isikuandmete töötlemise toimingute kohta ning volitatud töötlejad peaksid säilitama andmeid nende vastutusalasse kuuluvate töötlemise toimingute kategooriate kohta. Liidu institutsioonid ja asutused peaksid olema kohustatud tegema Euroopa Andmekaitseinspektoriga koostööd ja tegema nende kasutuses olevad salvestatud andmed taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks, et neid saaks kasutada nimetatud isikuandmete töötlemise toimingute kontrollimiseks. Liidu institutsioonidel ja asutustel peaks olema võimalus luua oma töötlemistoimingute andmete keskregister. Läbipaistvuse huvides peaks kõnealune register olema üldsusele kättesaadav. 43)Turvalisuse tagamiseks ja käesolevat määrust rikkudes sooritatava töötlemise vältimiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohtusid ja rakendama asjaomaste ohtude leevendamiseks meetmeid, näiteks krüpteerimist. Võttes arvesse teaduse ja tehnoloogia viimast arengut ja meetmete rakenduskulusid, tuleks kõnealuste meetmetega tagada vajalik turvalisuse tase, sealhulgas konfidentsiaalsus, mis vastaks ohtudele ja kaitstavate isikuandmete laadile. Andmeturbeohtu hinnates tuleks kaaluda isikuandmete töötlemisest tulenevaid ohte, nagu edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine ja loata avalikustamine või neile juurdepääs, mille tagajärjel võib eelkõige tekkida füüsiline, materiaalne või mittemateriaalne kahju. 44)Liidu institutsioonid ja asutused peaksid vastavalt harta artiklis 7 sätestatule tagama elektroonilise side konfidentsiaalsuse. Liidu institutsioonid ja asutused peaksid eelkõige tagama oma elektroonilise side võrgustike turvalisuse, kaitsma teavet, mis on seotud selliste lõppkasutajate lõppseadmetega, kes kasutavad avalikult kättesaadavaid veebisaite ning liidu institutsioonide ja asutuste pakutavaid mobiilseid rakendusi kooskõlas määrusega (EL) XXXX/XX [uus eraelu puutumatust ja elektroonilist sidet käsitlev määrus] ning kaitsma kasutajakataloogides olevaid isikuandmeid.

45) Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilist, materiaalset või mittemateriaalset kahju. Seetõttu, niipea kui vastutav töötleja saab teada, et on toimunud isikuandmetega seotud rikkumine, peaks vastutav töötleja teatama sellest isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorit põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui vastutav töötleja suudab kooskõlas vastutuse põhimõttega tõendada, et selle rikkumise tulemusena ei teki tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele. Kui 72 tunni jooksul teatamine ei ole võimalik, tuleks teatele lisada hilinemise põhjused ja teavet võib esitada järk-järgult ilma täiendava põhjendamatu viivituseta. Kui hilinemine on põhjendatud, tuleks rikkumist käsitlev vähem tundlik või vähem detailsem teave avalikustada võimalikult kiiresti, mitte oodata teavitamisega kuni intsidendi põhjuse tuvastamiseni. 46)Vastutav töötleja peaks ilma põhjendamatu viivituseta teavitama andmesubjekti isikuandmetega seotud rikkumisest, kui rikkumise tulemusena tekib tõenäoliselt suur oht füüsilise isiku õigustele ja vabadustele, et võimaldada andmesubjektil võtta vajalikke ettevaatusabinõusid. Teates tuleks kirjeldada isikuandmetega seotud rikkumise olemust, samuti tuleks anda asjaomasele füüsilisele isikule soovitusi võimaliku kahjuliku mõju leevendamiseks. Teade tuleks saata andmesubjektile nii kiiresti kui mõistlikkuse piires võimalik ning tihedas koostöös Euroopa Andmekaitseinspektoriga, pidades kinni tema või muude asjakohaste asutuste nagu näiteks õiguskaitseasutuste suunistest. 47)Määruses (EÜ) nr 45/2001 on sätestatud vastutava töötleja üldine kohustus teavitada isikuandmete töötlemisest andmekaitseametnikku, kes oma korda peaks teatatud töötlemistoimingute kohta registrit. Kõnealune kohustus põhjustab haldus- ja finantskoormust, kuid ei ole alati aidanud parandada isikuandmete kaitset. Seega tuleks selline valimatu üldise teatamise kohustus kaotada ning asendada tõhusate menetluste ja mehhanismidega, mille raames keskendutakse hoopis neile isikuandmete töötlemise toimingute liikidele, mis kujutavad oma laadi, ulatuse, konteksti ja eesmärkide poolest tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Sellised isikuandmete töötlemise toimingute liigid võivad olla need, mis hõlmavad eelkõige uue tehnoloogia kasutamist või on uut tüüpi ning mille puhul vastutav töötleja ei ole varem andmekaitsealast mõjuhinnangut teostanud või kus toimingud muutuvad vajalikuks seoses esmasest töötlemisest möödunud ajaga. Sellistel juhtudel peaks vastutav töötleja suure ohu konkreetse tõenäosuse ja tõsiduse hindamiseks, võttes arvesse töötlemise laadi, ulatust, konteksti ja eesmärke ning ohu tõsidust, koostama enne töötlemist andmekaitsealase mõjuhinnangu. Nimetatud mõjuhinnang peaks eelkõige sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme selle ohu leevendamiseks ja isikuandmete kaitse tagamiseks ning käesoleva määruse täitmise tõendamiseks. 48)Kui andmekaitsealane mõjuhinnang näitab, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja -mehhanismide puudumisel suur oht füüsiliste isikute õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole võimalik kättesaadava tehnoloogia ja rakendamiskulude seisukohast mõistlike meetmetega leevendada, tuleks enne isikuandmete töötlemise toimingute alustamist konsulteerida Euroopa Andmekaitseinspektoriga. Selline suur oht tekib tõenäoliselt isikuandmete teatud liiki töötluse ning töötlemisulatuse ja -sageduse tulemusena, mille tagajärjel võib tekkida ka kahju füüsilise isiku õigustele ja vabadustele või sekkumine nendesse. Euroopa Andmekaitseinspektor peaks vastama konsulteerimistaotlusele konkreetse ajavahemiku jooksul. Euroopa Andmekaitseinspektori reaktsiooni puudumine selle ajavahemiku jooksul ei tohiks aga mõjutada Euroopa Andmekaitseinspektori sekkumist kooskõlas talle käesolevas määruses ette nähtud ülesannete ja volitustega, sealhulgas õigust keelata isikuandmete töötlemise toiminguid. Kõnealuse konsulteerimisprotsessi osana peaks olema võimalik esitada asjaomase töötlemise suhtes tehtud andmekaitsealase mõjuhinnangu tulemused Euroopa Andmekaitseinspektorile, eelkõige seoses meetmetega, mis on ette nähtud füüsiliste isikute õigusi ja vabadusi ähvardavate ohtude leevendamiseks. 49)Euroopa Andmekaitseinspektorit tuleks teavitada liidu institutsioonide ja asutuste haldusmeetmetest ja sise-eeskirjadest, milles sätestatakse isikuandmete töötlemine, kehtestatakse andmesubjektide õigusi piiravad tingimused või kehtestatakse andmesubjektide õigusi käsitlevad asjakohased kaitsemeetmed, et kavandatud töötlemine vastaks käesoleva määruse nõuetele ning eelkõige vähendamaks andmesubjekti jaoks ohtu. 50)Määrusega (EL) 2016/679 loodi Euroopa Andmekaitsenõukogu juriidilisest isikust sõltumatu liidu asutusena. Andmekaitsenõukogu peaks kaasa aitama määruse (EL) 2016/679 ja direktiivi 2016/680 järjepidevale kohaldamisele kogu liidus, nõustades seejuures komisjoni. Samal ajal peaks Euroopa Andmekaitseinspektor jätkama oma järelevalve- ja nõustamisülesannete täitmist kõigi liidu institutsioonide ja asutuste suhtes, sealhulgas omal algatusel või taotluse alusel. Kogu liidus andmekaitsenormide järjepidevuse tagamiseks peaks komisjoniga konsulteerimine olema kohustuslik pärast seadusandlike aktide vastuvõtmist või delegeeritud õigusaktide ja rakendusaktide koostamise ajal vastavalt Euroopa Liidu toimimise lepingu artiklites 289, 290 ja 291 sätestatule ning pärast selliste soovituste ja ettepanekute vastuvõtmist, mis on seotud kolmandate riikide ja rahvusvaheliste organisatsioonidega sõlmitavate lepingutega vastavalt Euroopa Liidu toimimise lepingu artiklis 218 sätestatule, kui need mõjutavad õigust isikuandmete kaitsele. Sellistel juhtudel peaks komisjon olema kohustatud konsulteerima Euroopa Andmekaitseinspektoriga, välja arvatud juhul, kui määrusega (EL) 2016/679 on ette nähtud kohustuslik Euroopa Andmekaitseinspektoriga konsulteerimine näiteks kaitse piisavuse otsuste või standardseid ikoone ja sertifitseerimismehhanismide kriteeriume käsitlevate delegeeritud õigusaktide puhul. Kui kõnealune õigusakt on seoses isikuandmete töötlemisega üksikisikute õiguste ja vabaduste kaitse seisukohast eriti oluline, peaks komisjonil olema võimalus konsulteerida lisaks ka Euroopa Andmekaitsenõukoguga. Sellistel juhtudel peaks Euroopa Andmekaitseinspektor Euroopa Andmekaitsenõukogu liikmena oma tegevust ühisarvamuse koostamisel andmekaitsenõukoguga koordineerima. Euroopa Andmekaitseinspektor ja vajaduse korral ka Euroopa Andmekaitsenõukogu peaksid esitama oma kirjaliku nõuande kaheksa nädal jooksul. Kõnealune tähtaeg peaks kiireloomuliste juhtumite või vajaduste korral olema lühem, näiteks kui komisjon koostab delegeeritud õigusakte ja rakendusakte. 51)Andmekaitseametnik peaks igas liidu institutsioonis või asutuses tagama, et käesoleva määruse sätteid kohaldatakse, ning nõustama vastutavaid töötlejaid ja volitatud töötlejaid nende kohustuste täitmisel. Kõnealune ametnik peaks olema isik, kellel on andmekaitsealaseid õigusakte ja tavasid hõlmavad erialased teadmised, mille tase tuleks määrata kindlaks eelkõige vastavalt teostatavatele andmetöötlustoimingutele ning vastutava töötleja või volitatud töötleja töödeldavate isikuandmete kaitsmise nõuetele. Andmekaitseametnikel peaks olema võimalik täita oma ülesandeid sõltumatult. 52)Isikuandmete edastamisel liidu institutsioonidelt ja asutustelt vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele ei tohiks aga kahjustada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taset, sealhulgas juhtudel, kui kolmandast riigist või rahvusvahelisest organisatsioonist saadud isikuandmed saadetakse edasi vastutavatele töötlejatele või volitatud töötlejatele samas või muus kolmandas riigis või rahvusvahelises organisatsioonis. Igal juhul tohib andmeid kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastada ainult käesolevat määrust täielikult järgides. Andmeid tohiks edastada ainult siis, kui vastutav töötleja ja volitatud töötleja täidavad käesolevas määruses sätestatud tingimusi isikuandmete edastamise kohta, arvestades muid käesoleva määruse sätteid. 53)Komisjon võib määruse (EL) 2016/679 artikli 45 alusel otsustada, et kolmandas riigis, kolmanda riigi territooriumil või kindlaksmääratud sektoris või rahvusvahelises organisatsioonis pakutakse piisaval tasemel andmekaitset. Sellisel juhul võib isikuandmete edastamine liidu institutsiooni või asutuse poolt kõnealusesse riiki või kõnealusele rahvusvahelisele organisatsioonile toimuda ilma, et oleks vaja saada täiendav luba. 54)Kaitse piisavuse otsuse puudumise korral peaks vastutav töötleja või volitatud töötleja võtma meetmed, et korvata kolmanda riigi andmekaitse puudulik tase asjakohaste andmesubjekti kaitsmise meetmetega. Sellised asjakohased kaitsemeetmed võivad hõlmata järgneva kasutamist: komisjoni vastu võetud standardsed andmekaitseklauslid, Euroopa Andmekaitseinspektori vastu võetud standardsed andmekaitseklauslid või Euroopa Andmekaitseinspektori heaks kiidetud lepingu tüüptingimused. Juhul kui volitatud töötleja ei ole liidu institutsioon või asutus, võivad kõnealused asjakohased kaitsemeetmed sisaldada ka määruse (EL) 2016/679 raames andmete rahvusvahelise edastamise jaoks kasutatavaid siduvaid kontsernisiseseid eeskirju, toimimisjuhendeid või sertifitseerimismehhanisme. Need kaitsemeetmed peaksid tagama liidusiseseks töötlemiseks asjakohaste andmekaitsenõuete täitmise ja andmesubjektide õiguste kaitse, sealhulgas andmesubjektide kohtulikult kaitstavate õiguste ja tõhusate õiguskaitsevahendite kättesaadavuse, kaasa arvatud õiguse saada tõhusat haldus- või õiguskaitset ja nõuda hüvitist liidus või kolmandas riigis. Kaitsemeetmed peaksid olema eelkõige seotud vastavusega üldistele isikuandmete töötlemise põhimõtetele ning lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Andmeid võivad edastada ka liidu institutsioonid ja asutused kolmandate riikide avaliku sektori asutustele või organitele või rahvusvahelistele organisatsioonidele, kellel on vastavad kohustused või funktsioonid, sealhulgas vastavalt sellistesse halduskokkulepetesse lisatavatele sätetele nagu vastastikuse mõistmise memorandum, millega nähakse ette tõhusad ja kohtulikult kaitstavad õigused andmesubjektidele. Euroopa Andmekaitseinspektori luba tuleks saada siis, kui kaitsemeetmed on sätestatud õiguslikult mittesiduvates halduskokkulepetes. 55)Vastutavale töötlejale või volitatud töötlejale antud võimalus kasutada komisjoni või Euroopa Andmekaitseinspektori vastu võetud standardseid andmekaitseklausleid ei tohiks takistada vastutavat töötlejat või volitatud töötlejat lisamast standardsed andmekaitseklauslid laiemasse lepingusse, nagu näiteks kahe volitatud töötleja vahelisse lepingusse, ega lisamast muid klausleid või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe otseselt ega kaudselt vastuollu komisjoni või Euroopa Andmekaitseinspektori vastu võetud lepingu tüüptingimustega ega piira andmesubjektide põhiõigusi ja -vabadusi. Vastutavaid töötlejaid ja volitatud töötlejaid tuleks ergutada nägema ette täiendavaid kaitsemeetmeid lepinguliste kohustuste abil, mis täiendavad standardseid andmekaitseklausleid. 56)Mõned kolmandad riigid võtavad vastu seadused, määrused ja muud õigusaktid, millega vahetult reguleeritakse liidu institutsioonide ja asutuste töötlustoiminguid. Need võivad hõlmata kolmanda riigi kohtu või haldusasutuse otsuseid, millega nõutakse vastutavalt töötlejalt või volitatud töötlejalt isikuandmete edastamist või avaldamist ning mis ei põhine kolmanda riigi ja liidu vahel kehtival rahvusvahelisel lepingul. Nende seaduste, määruste ja muude õigusaktide kohaldamine väljaspool asjaomase kolmanda riigi territooriumi võib olla vastuolus rahvusvahelise õigusega ning takistada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taseme saavutamist. Edastamine peaks olema lubatud ainult juhul, kui on täidetud käesoleva määruse tingimused kolmandatesse riikidesse edastamise kohta. Nii võib see olla muu hulgas siis, kui avaldamine on vajalik kaaluka avaliku huvi tõttu, mis on sätestatud liidu õiguses. 57)Andmete edastamine peaks konkreetsetes olukordades olema võimalik teatavatel asjaoludel, kui andmesubjekt on andnud oma selgesõnalise nõusoleku, kui edastamine on juhtumipõhine ja vajalik seoses lepingu või õigusliku nõudega, sõltumata sellest, kas tegemist on kohtumenetluse, haldusmenetluse või mõne kohtuvälise menetluse, sealhulgas reguleerivate asutuste vahelise menetlusega. Andmete edastamine peaks olema võimalik ka juhul, kui see on vajalik seoses liidu õiguses sätestatud kaaluka avaliku huviga või kui edastatakse andmeid, mis pärinevaid seadusega loodud registrist, mis on mõeldud kasutamiseks avalikkusele või kõigile õigustatud huviga isikutele. Viimati nimetatud juhul ei tohiks edastada kõiki isikuandmeid ega registris sisalduvate andmete kõiki liike, kui see ei ole liidu õigusega lubatud, ja juhul, kui register on mõeldud kasutamiseks õigustatud huviga isikutele, tuleks andmed edastada ainult kõnealuste isikute taotluse korral või juhul, kui nemad on andmete vastuvõtjad, võttes täielikult arvesse andmesubjekti huve ja põhiõigusi. 58)Nimetatud erandeid tuleks kohaldada eelkõige sellise andmeedastuse puhul, mis on nõutav ja vajalik avalikust huvist tulenevatel kaalukatel põhjustel, näiteks andmete rahvusvahelisel vahetamisel liidu institutsioonide ja asutuste ning konkurentsiasutuste, maksu- ja tolliasutuste, finantsjärelevalveasutuste ja sotsiaalkindlustuse või rahvatervise eest vastutavate asutuste vahel, näiteks nakkushaiguste suhtes kontaktsete isikute väljaselgitamisel või spordis dopingu kasutamise vähendamiseks ja/või kaotamiseks. Isikuandmete edastamist tuleks pidada seaduslikuks ka siis, kui see on vajalik selliste huvide kaitsmiseks, mis on olulised andmesubjekti või muu isiku eluliste huvide, sealhulgas füüsilise puutumatuse või elu kaitsmiseks, kui andmesubjekt ei ole võimeline nõusolekut andma. Kaitse piisavuse otsuse puudumise korral võib avalikust huvist tulenevatel kaalukatel põhjustel liidu õigusega selgesõnaliselt seada piiranguid konkreetset liiki isikuandmete edastamisele kolmandasse riiki või rahvusvahelisele organisatsioonile. Nõusoleku andmiseks füüsiliselt või õiguslikult võimetu andmesubjekti isikuandmete mis tahes edastamiseks rahvusvahelisele humanitaarorganisatsioonile, eesmärgiga täita Genfi konventsioonide kohast ülesannet või austada relvastatud konfliktides kohaldatavat rahvusvahelist humanitaarõigust võiks lugeda vajalikuks avalikust huvist tuleneval kaalukal põhjusel või põhjusel, et see on andmesubjekti jaoks eluliselt tähtis. 59)Igal juhul, kui komisjon ei ole teinud otsust kolmanda riigi andmekaitse taseme piisavuse kohta, peaks vastutav töötleja või volitatud töötleja kasutama lahendusi, millega antakse andmesubjektidele neid puudutava töötlemise korral liidus kohtulikult kaitstavad ja tõhusad õigused pärast selliste andmete edastamist, nii et neil on jätkuvalt samad põhiõigused ja nende suhtes kohaldatakse samu kaitsemeetmeid. 60)Isikuandmete liikumine üle piiride liidust välja võib raskendada füüsiliste isikute võimalusi kasutada õigust andmete kaitsele, eelkõige kaitsta end sellise teabe ebaseadusliku kasutamise ja avaldamise eest. Samal ajal võivad liidu järelevalveasutused, sealhulgas Euroopa Andmekaitseinspektor mitte suuta käsitleda kaebusi ega teostada uurimist väljapoole nende pädevuse piire jäävates küsimustes. Nende piiriülese koostöö püüdlusi võivad takistada ka tõkestamiseks ja kaitsemeetmete kehtestamiseks ebapiisavad volitused, ebaühtlane õiguskord ja praktilised tõkked, nagu piiratud vahendid. Seepärast tuleks tihendada Euroopa Andmekaitseinspektori ja teiste andmekaitse järelevalveasutuste koostööd. et aidata neil teiste riikide järelevalveasutustega teavet vahetada. 61)Määruse (EÜ) nr 45/2001 alusel Euroopa Andmekaitseinspektori loomine, kes on volitatud täiesti sõltumatult oma ülesandeid täitma ja volitusi kasutama, on oluline tegur füüsiliste isikute kaitsmisel seoses nende isikuandmete töötlemisega. Käesoleva määruse eesmärk peaks olema Euroopa Andmekaitseinspektori tegevuse tõhustamine ning selle rolli ja sõltumatuse selgitamine. 62)Selleks et tagada kogu liidus andmekaitsenormide ühtlane järelevalve ja täitmine, peaks Euroopa Andmekaitseinspektoril olema samad ülesanded ja tõhusad volitused kui liikmesriikide järelevalveasutustel, sealhulgas uurimis-, parandus- ja karistuste kehtestamise volitused ning loaandmis- ja nõuandvad volitused, eelkõige füüsiliste isikute esitatud kaebuste puhul, ning õigus juhtida Euroopa Liidu Kohtu tähelepanu käesoleva määruse rikkumistele ning volitused osaleda kohtumenetlustes kooskõlas esmase õiguse sätetega. Need volitused peaksid hõlmama ka õigust kehtestada ajutine või alaline töötlemispiirang, sealhulgas töötlemiskeeld. Vältimaks liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele, keda meetmed kahjustada võivad, peaks iga Euroopa Andmekaitseinspektori meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid ning austama isiku õigust ärakuulamisele, enne kui meede vastu võetakse. Euroopa Andmekaitseinspektori õiguslikult siduv meede peaks olema esitatud kirjalikult, olema selge ja ühemõtteline, selles peaks olema märgitud meetme esitamise kuupäev ning Euroopa Andmekaitseinspektori allkiri, selles tuleks esitada meetme põhjused ning osutada õigusele tõhusale õiguskaitsevahendile. 63)Euroopa Andmekaitseinspektori otsused andmetöötlustoimingutega seotud erandite, tagatiste, lubade ning tingimuste kohta, nagu need on määratletud käesolevas määruses, tuleks avaldada tegevusaruandes. Iga-aastasest tegevusaruandest eraldi võib Euroopa Andmekaitseinspektor avaldada aruandeid konkreetsete küsimuste kohta. 64)Riiklikud järelevalveasutused jälgivad määruse (EL) 2016/679 kohaldamist ja aitavad kaasa selle ühtsele kohaldamisele kogu liidus, et kaitsta füüsilisi isikuid nende isikuandmete töötlemisel ning soodustada isikuandmete vaba liikumist siseturul. Selleks, et tõhustada liikmesriikides kohaldatavate andmekaitsenormide ning liidu institutsioonide ja asutuste suhtes kohaldatavate andmekaitsenormide kohaldamise järjepidevust, peaks Euroopa Andmekaitseinspektor tegema riiklike järelevalveasutustega tõhusat koostööd.

65)Teatavatel juhtudel nähakse liidu õiguses ette koordineeritud järelevalve mudel, mida teostavad Euroopa Andmekaitseinspektor ja riiklikud järelevalveasutused üheskoos. Lisaks sellele on Euroopa Andmekaitseinspektor Europoli järelevalveasutuseks ja riiklike järelevalveasutustega on nõuandva funktsiooniga koostöönõukogu kaudu loodud spetsiifiline koostöömudel. Selleks, et parandada oluliste andmekaitsenormide tõhusat järelevalvet ja täitmist, tuleks liidus kasutusele võtta koordineeritud järelevalve ühtne ja sidus mudel. Seepärast peaks komisjon, kui see on asjakohane, esitama seadusandlikud ettepanekud, millega muuta koordineeritud järelevalvet käsitlevaid liidu õigusakte, et need käesolevas määruses sätestatud koordineeritud järelevalve mudeliga kooskõlla viia. Euroopa Andmekaitsenõukogu peaks olema ainsaks platvormiks, millega tagatakse üldine tõhus koordineeritud järelevalve. 66)Igal andmesubjektil peaks olema õigus esitada kaebus Euroopa Andmekaitseinspektorile ja õigus tõhusale õiguskaitsevahendile Euroopa Liidu Kohtus kooskõlas aluslepingutega, kui andmesubjekt on seisukohal, et tema käesoleva määruse kohaseid õigusi on rikutud või kui Euroopa Andmekaitseinspektor ei reageeri kaebusele, lükkab kaebuse osaliselt või täielikult tagasi või ei võta meetmeid juhul, kui need on vajalikud andmesubjekti õiguste kaitsmiseks. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ja se