ET Euroopa Liidu Teataja C 280/1

Euroopa andmekaitseinspektori arvamus, mis käsitleb usalduse suurendamist infoühiskonnas andmekaitse ja eraelu puutumatuse tugevdamise kaudu

2010/C 280/01

EUROOPA ANDMEKAITSEINSPEKTOR,

võttes arvesse Euroopa Liidu toimimise lepingut, eelkõige selle artiklit 16,

võttes arvesse Euroopa Liidu põhiõiguste hartat, eelkõige selle artikleid 7 ja 8,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (1),

võttes arvesse Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (2),

võttes arvesse Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrust (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta, (3) eelkõige selle artiklit 41,

ON VASTU VÕTNUD JÄRGMISE ARVAMUSE:

I. SISSEJUHATUS

1. Info- ja kommunikatsioonitehnoloogia (IKT) suurendab tohutult meie võimalusi peaaegu igas eluvaldkonnas – tööl, vabal ajal, suhtlemisel ja hariduses. See on määrava tähtsusega tänapäeva infomajanduses ja ühiskonnas tervikuna.

2. Euroopa Liit on kõrgetasemelise IKT valdkonnas maailmas esirinnas ja kavatseb seal ka püsida. Selle eesmärgi täitmiseks peaks Euroopa Komisjon peatselt vastu võtma uue Euroopa digitaalse tegevuskava, mis volinik Kroesi sõnul on tema prioriteet (4).

3. Euroopa andmekaitseinspektor tunnistab IKTga kaasnevat kasu ning on nõus, et EL peaks tegema kõik mis võimalik, et toetada selle arengut ja laialdast kasutamist. Samuti toetab ta täielikult volinike Kroesi ja Redingu seisukohti, mille kohaselt peaksid sellise uue keskkonna keskmes olema üksikisikud (5). Üksikisikutel peaks olema võimalik toetuda IKT suutlikkusele tagada nendega seotud teabe turvalisus ja kontrollida selle kasutamist ning olla seejuures kindel, et digitaalruumis austatakse nende eraelu puutumatuse ja andmekaitseõigusi. Selliste õiguste austamine on tarbija usalduse võitmiseks määrava tähtsusega. Sellist usaldust on omakorda vaja selleks, et kodanikud uued teenused omaks võtaksid (6).

4. ELis on tugev andmekaitse/eraelu puutumatuse õiguslik raamistik, mille põhimõtted jäävad täielikult jõusse ka digitaalajastul. Siiski ei saa käed rüpes istuma jääda. Paljudel juhtudel toob IKT kaasa uusi probleeme, millega pole kehtivas raamistikus arvestatud. Seetõttu on vaja võtta teatavaid meetmeid, et ELi õiguses sätestatud üksikisikute õigused tagaksid jätkuvalt tõhusa kaitse ka sellises uues keskkonnas.

5. Käesolevas arvamuses arutatakse meetmeid, mida Euroopa Liit võib kas toetada või rakendada, et tagada üksikisikute eraelu puutumatus ja andmekaitse globaliseerunud maailmas, mille üheks juhtivaks jõuks jääb tehnoloogia. Selles käsitletakse seadusandlikke ja muid vahendeid.

6. Kõigepealt esitatakse arvamuses ülevaade IKTst kui uuest arengust, mis loob võimalusi, kuid tekitab ka riske, ning seejärel liigutakse edasi vajadusele arvestada praktilisel tasandil andmekaitse ja eraelu puutumatusega juba uue info- ja kommunikatsioonitehnoloogia loomisel (nn eraelu kavandatud puutumatuse põhimõte). Selle põhimõtte järgimise tagamiseks käsitletakse arvamuses vajadust sätestada eraelu kavandatud puutumatuse põhimõte andmekaitse õiguslikus raamistikus vähemalt kahel eri viisil. Esiteks võiks selle lisada siduva üldpõhimõttena ning teiseks võiks selle siduda konkreetsete IKT valdkondadega, tutvustades andmekaitse/eraelu puutumatusega seotud konkreetseid riske, mida saab asjakohase tehnilise arhitektuuri ja projekteerimise kaudu vähendada. Sellised valdkonnad on raadiosagedustuvastus, suhtlusvõrgud ja brauserid. Lõpetuseks esitatakse arvamuses soovitused muude vahendite ja põhimõtete kohta, mida võiks IKT valdkonnas üksikisikute eraelu puutumatuse ja andmekaitse tagamiseks kasutada.

7. Arvamuses täpsustatakse eespool kirjeldatud teemasid käsitledes teatavaid aspekte, mida on rõhutanud artikli 29 alusel asutatud töörühm oma panuses avalikku arutellu eraelu puutumatuse tuleviku üle (7). Lisaks tuginetakse Euroopa andmekaitseinspektori varasematele arvamustele, nagu 25. juuli 2007. aasta arvamus andmekaitsedirektiivi rakendamise kohta, 20. detsembri 2007. aasta arvamus raadiosagedustuvastuse kohta ning kaks arvamust eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi kohta (8).

II. IKT LOOB UUSI VÕIMALUSI, KUID TOOB KAASA KA UUSI RISKE

8. IKTd on võrreldud teiste oluliste leiutistega maailma ajaloos, näiteks elektriga. Kuigi võib-olla on veel liiga vara hinnata selle tegelikku ajaloolist mõju, on IKT seos arenenud riikide majanduskasvuga ilmselge. IKT on loonud töökohti, toonud majanduslikku kasu ja soodustanud üldist heaolu. IKT mõju pole mitte üksnes majanduslik, vaid sellel on olnud oluline roll ka innovatsiooni ja loomingulisuse arendamises.

9. Peale selle on IKT muutnud inimeste tööelu ja suhtlemist. Näiteks toetuvad inimesed IKT-le üha enam sotsiaalsetes ja majanduslikes suhetes. Üksikisikute kasutuses on hulgaliselt uusi IKT rakendusi, nagu e-tervis, e-transport, e-valitsus ning uuenduslikud interaktiivsed süsteemid meelelahutuseks ja õppimiseks.

10. Sellist kasu silmas pidades on kõik Euroopa institutsioonid kinnitanud, et toetavad IKTd kui Euroopa tööstuse konkurentsivõime suurendamiseks ja Euroopa majanduse taastumise kiirendamiseks vajalikku vahendit. 2009. aasta augustis võttis komisjon vastu Euroopa digitaalse konkurentsivõime aruande (9) ning algatas avaliku arutelu IKT arendamise seisukohalt asjakohaste tulevikustrateegiate üle. 7. detsembril 2009 esitas nõukogu sellesse arutellu oma panuse – dokumendi pealkirjaga „i2010 strateegia järgne strateegia – avatud, keskkonnasõbraliku ja konkurentsivõimelise teadmusühiskonna suunas” (10). Euroopa Parlament võttis äsja vastu aruande, mille eesmärk on anda komisjonile digitaalse tegevuskava kindlaksmääramisel juhtnööre (11).

11. IKT arenguga kaasnevate võimaluste ja kasudega tekivad ka uued riskid, eelkõige seoses üksikisikute eraelu puutumatuse ja isikuandmete kaitsmisega. IKT toob tihti kaasa kogutud, analüüsitud, filtreeritud, edastatud või muul viisil talletatud teabe koguse suurenemise (tihti nii, et üksikisikud seda ei hoomagi) ning seega mitmekordistuvad ka selliste andmetega seotud riskid.

12. Näiteks asendatakse nüüd (teatavatel) tarbetoodetel ribakoodid raadiosagedustuvastuse kiipidega. Uus süsteem peaks olema kasulik nii ettevõtjatele kui ka tarbijatele, parandades teabe liikumist tarneahelas (vähendades seega vajadust varude järele ja võimaldades teha täpsemaid prognoose jms). Samal ajal aga loob see märgistatud isiklike esemete kaudu murettekitava võimaluse jälitamiseks, mida eri üksused võivad eri eesmärkidel ära kasutada.

13. Teine näide on pilvandmetöötlus, mis tähendab põhimõtteliselt majutatud tarbija- ja muude rakendusteenuste osutamist interneti kaudu. Selle kasutusalad ulatuvad fotokogudest, kalendritest, veebimeilidest ja tarbija andmebaasidest keerukamate äriteenusteni. Ettevõtjate ja üksikisikute kasu on ilmne: kulude vähendamine (üksnes lisakulud), sõltumatus asukohast (lihtne juurdepääs teabele kõikjal maailmas), automaatsus (pole vaja spetsiaalseid IT-vahendeid ega tarkvarauuendusi) jms. Samal ajal esineb turvarikkumiste ja häkkimise riske, mis on väga tõelised. Samuti tekitab muret isiklikele andmetele juurdepääsu ja nende üle kontrolli kaotamine.

14. Muude IKT rakendusi kasutavate valdkondade puhul on samuti tõendatud, et kasuga kaasnevad ka riskid. Võtkem näiteks e-tervise, millega on võimalik suurendada tõhusust, vähendada kulusid, edendada juurdepääsu ja parandada tervishoiuteenuste üldist kvaliteeti. Siiski kerkib e-tervisega seoses tihti esile e-tervise teabe teisese kasutamise seaduslikkuse küsimus, mispuhul tuleb hoolikalt analüüsida igasuguse võimaliku teisese kasutuse eesmärke (12). Pealegi on elektrooniliste terviseandmete järjest laialdasemal kasutamisel süsteeme pidevalt saatnud skandaalid, mis näitavad, et elektroonilistesse tervisefailidesse on paljudel juhtudel sisse häkitud.

15. Kokkuvõttes võib öelda, et isegi pärast õigete hinnangute andmist ja vajalike meetmete kohaldamist säilib tõenäoliselt teatav risk. Absoluutselt riskivaba olukord oleks ebarealistlik. Nagu on kirjeldatud allpool, saab ja tuleb siiski rakendada meetmeid sellise riski piiramiseks piisaval määral.

III. ERAELU KAVANDATUD PUUTUMATUS KUI PÕHIVAHEND ÜKSIKISIKUTE USALDUSE SUURENDAMISEKS IKT VASTU

16. IKT võimalikku kasu saab praktikas ära kasutada üksnes juhul, kui sellega suudetakse tekitada usaldust – teisisõnu, kui suudetakse tagada, et kasutaja on valmis IKT-le selle omadusi ja kasu arvesse võttes tuginema. Sellist usaldust on võimalik võita üksnes juhul, kui IKT on usaldusväärne, turvaline, allub üksikisikute juhtimisele ja tagatud on isikuandmete ja eraelu puutumatuse kaitse.

17. Eespool kirjeldatud laialt levinud riskid ja häired õõnestavad tõenäoliselt kasutaja usaldust infoühiskonna vastu, eelkõige juhul, kui need hõlmavad üksikisikute eraelu puutumatust kahjustavat isikuandmete kuritarvitamist või turvarikkumist. See võib tõsiselt ohustada IKT arengut ja sellega kaasnevat võimalikku kasu.

18. Lahendus sellistele eraelu puutumatuse ja andmekaitsega seotud riskidele ei ole siiski IKT kõrvaldamine, välistamine või selle kasutamisest või edendamisest keeldumine. See ei oleks teostatav ega realistlik; see takistaks üksikisikutel kasutamast IKT hüvesid ja piiraks tõsiselt võimalikku üldist kasu.

19. Euroopa andmekaitseinspektor peab positiivsemaks lahenduseks seda, et IKT kavandamisel ja arendamisel võetakse arvesse eraelu puutumatust ja andmekaitset. Seetõttu on äärmiselt oluline, et eraelu puutumatus ja andmekaitse moodustaksid osa tehnoloogia kogu elutsüklist alates väga varasest projekteerimisetapist kuni nende lõpliku rakendamise, kasutamise ja viimaks kõrvaldamiseni. Sellele osutatakse tavaliselt kui eraelu kavandatud puutumatusele ja seda käsitletakse täpsemalt allpool.

20. Eraelu kavandatud puutumatus võib sõltuvalt konkreetsest juhtumist või rakendusest hõlmata mitmesuguseid meetmeid. Teatavatel juhtudel võib näiteks olla vajalik isikuandmete kõrvaldamine/nende mahu vähendamine või mittevajaliku ja/või soovimatu töötlemise takistamine. Teistel juhtudel võib eraelu kavandatud puutumatus hõlmata selliste vahendite pakkumist, mis suurendavad üksikisikute kontrolli oma isikuandmete üle. Selliseid meetmeid tuleks kaaluda, kui kindlaks on määratud standardid ja/või parim tava. Need võib ühendada ka info- ja kommunikatsioonisüsteemide arhitektuuri või isikuandmeid töötlevate üksuste struktuurse korraldusega.

III.1. IKT eri valdkondades kohaldatav eraelu kavandatud puutumatuse põhimõte ja selle mõju

21. Eraelu kavandatud puutumatuse põhimõte on vajalik paljudes eri IKT valdkondades. Näiteks tervishoiusektor tugineb järjest enam IKT infrastruktuuridele, mis sisaldavad tihti patsientide terviseandmete tsentraliseeritud säilitamist. Eraelu kavandatud puutumatuse põhimõtte kohaldamiseks tervishoiusektoris oleks vaja hinnata eri meetmete sobilikkust. Sellised meetmed võivad olla tsentraalselt salvestatud andmete minimeerimise võimalus või piirdumine indeksiga, krüptimisvahendite kasutamine, juurdepääsuõiguste andmine rangelt teadmisvajaduse alusel, andmete anonüümseks muutmine nende kasutuks muutumisel jms.

22. Samamoodi kasutatakse transpordisüsteemides standardina järjest enam kõrgetasemelisi IKT rakendusi, mis suhtlevad sõiduki ja keskkonnaga eri eesmärkide ja funktsioonide täitmiseks. Näiteks varustatakse autosid üha rohkem uute IKT funktsioonidega (GPS, GSM, sensorivõrk jms), mis määravad asukoha kõrval reaalajas kindlaks ka autode tehnilised tingimused. Seda teavet saab kasutada näiteks kehtiva maanteemaksusüsteemi asendamiseks kasutusest sõltuva maanteemaksuga. Eraelu kavandatud puutumatuse kohaldamine selliste süsteemide arhitektuuri kavandamisel peaks toetama seda, et isikuandmeid töödeldakse ja edastatakse nii vähe kui võimalik (13). Seda põhimõtet järgides tuleks tsentraliseeritud arhitektuuridele eelistada detsentraliseeritud või poolenisti detsentraliseeritud arhitektuure, millega piirataks andmete avalikustamist keskpunktile.

23. Need näited näitavad, et kui info- ja kommunikatsioonitehnoloogia on üles ehitatud eraelu kavandatud puutumatuse põhimõtte kohaselt, võivad eraelu puutumatuse ja andmekaitsega seotud riskid olla tublisti väiksemad.

III.2. Eraelu kavandatud puutumatuse põhimõtet rakendavat IKTd ei kasutata piisavalt

24. Oluline küsimus on see, kas ettevõtjad, IKT tootjad/pakkujad ja vastutavad andmetöötlejad on huvitatud eraelu kavandatud puutumatuse turustamisest ja rakendamisest IKTs. Siinjuures on oluline hinnata ka nõudlust eraelu kavandatud puutumatuse järele.

25. 2007. aastal andis komisjon välja teatise, milles kutsuti ettevõtjaid üles kasutama oma innovatsioonivõimekust eraelu puutumatust soodustavate tehnoloogiate loomiseks ja rakendamiseks, et parandada niiviisi eraelu puutumatuse ja isikuandmete kaitset kohe arendamistsükli algusest peale (14).

26. Praegu näitavad kättesaadavad tõendid aga, et IKT tootjad ega vastutavad andmetöötlejad (ei era- ega avalikus sektoris) ei ole suutnud järjepidevalt rakendada või turustada eraelu kavandatud puutumatust. Esitatud on mitmesuguseid põhjuseid, nagu majanduslike soodustuste või institutsionaalse toe puudumine, ebapiisav nõudlus jms (15).

27. Samas on nõudlus eraelu kavandatud puutumatuse järele olnud suhteliselt väike. IKT toodete ja teenuste kasutajad võivad õigusega eeldada, et nende eraelu puutumatus ja isikuandmed on de facto kaitstud, kuigi paljudel juhtudel see nii ei ole. Mõnel juhul ei ole neil lihtsalt võimalik enda või teiste isikuandmete kaitsmiseks vajalikke turvameetmeid võtta. Paljudel juhtudel on see tingitud asjaolust, et nad ei ole riskidest täielikult ega isegi mitte osaliselt teadlikud. Näiteks ei hooli noored üldiselt suhtlusvõrkudes isikliku teabe esitamisel eraelu puutumatusega seotud riskidest ja jätavad privaatsusseaded tihti tähelepanuta. Teised kasutajad võivad olla küll riskidest teadlikud, kuid neil puuduvad tehnilised oskused kaitsetehnoloogiate rakendamiseks. Sellised kaitsetehnoloogiad on näiteks internetiühenduse kaitsmine või brauseri seadete muutmine, et minimeerida veebikasutuse jälgimisel põhinevat profileerimist.

28. Eraelu puutumatuse kaitsmise ja andmekaitsega seotud riskid on aga väga tõelised. Kui eraelu puutumatuse ja andmekaitsega ei arvestata algusest peale, on tihti liiga hilja süsteeme parandada ja see on majanduslikult liiga tülikas, samuti ei ole enam võimalik hüvitada juba tehtud kahju. Andmekaitsega seotud rikkumiste kasvav arv viimastel aastatel on probleemi seisukohast kõnekas ning kinnitab eraelu kavandatud puutumatuse vajalikkust.

29. Eespool kirjeldatu näitab selgelt, et isikuandmete töötlemiseks ettenähtud IKT tootjad ja pakkujad peaksid koos vastutavate andmetöötlejatega vastutama selle eest, et asjaomased tehnoloogiad projekteeritaks koos sisseehitatud andmekaitse ja eraelu puutumatuse kaitsemeetmetega. Paljudel juhtudel tähendab see, et need tuleks kavandada nii, et vaikeseaded tagaksid eraelu puutumatuse.

30. Selle taustal peame kaaluma, milliseid samme peaksid poliitikakujundajad astuma, et edendada IKT arendamises eraelu kavandatud puutumatust. Esiteks tuleb küsida, kas kehtiv andmekaitse õiguslik raamistik sisaldab piisavaid sätteid selleks, et nii vastutavad andmetöötlejad kui ka tootjad/arendajad rakendaksid eraelu kavandatud puutumatuse põhimõtet. Teiseks on vaja arutada, mida tuleks Euroopa digitaalse tegevuskava raames teha selleks, et tarbija hakkaks IKT sektorit usaldama.

IV. ERAELU KAVANDATUD PUUTUMATUSE PÕHIMÕTTE LISAMINE ELi ÕIGUSESSE JA POLIITIKASSE

IV.1. Kehtiv andmekaitse ja eraelu puutumatuse õiguslik raamistik

31. Direktiivi 95/46/EÜ, (16) direktiivi 2002/58/EÜ (17) ning Euroopa Inimõiguste Kohtu (18) ja Euroopa Kohtu praktikaga on ELis sätestatud üksikasjalik andmekaitse ja eraelu puutumatuse raamistik.

32. Andmekaitsedirektiivi kohaldatakse „iga isikuandmetega tehtava toimingu või toimingute kogumi” suhtes (kogumine, salvestamine, avalikustamine jms). Sellega nõutakse isikuandmete töötlejatelt (vastutavad andmetöötlejad) teatavate põhimõtete järgimist ja kohustuste täitmist. Selles sätestatakse üksikisikute õigused, nagu isiku õigus tema kohta käiva teabega tutvuda. Eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis käsitletakse eraelu puutumatuse kaitsmist elektroonilise side sektoris (19).

33. Kehtivas andmekaitsedirektiivis ei esitatud selgesõnalist nõuet eraelu kavandatud puutumatuse kohta. Siiski sisaldab see sätteid, millega võidakse eri olukordades kaudselt nõuda eraelu kavandatud puutumatuse põhimõtte rakendamist. Eelkõige artiklis 17 nõutakse, et vastutav töötleja peab rakendama vajalikke tehnilisi ja organisatsioonilisi meetmeid kaitsmaks isikuandmeid ebaseadusliku töötlemise eest (20). Seega käsitletakse eraelu kavandatud puutumatust väga üldistatult. Pealegi on direktiivi sätted suunatud peamiselt vastutavatele andmetöötlejatele ja nende teostatavale isikuandmete töötlemisele. Nendes ei nõuta selgesõnaliselt, et info- ja kommunikatsioonitehnoloogia peab vastama eraelu puutumatust ja andmekaitset käsitlevatele nõuetele – sel juhul peaks direktiiv käsitlema ka IKT projekteerijaid ja tootjaid, sealhulgas standardimisetapi tegevust.

34. Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv on selgesõnalisem. Artikli 14 lõikes 3 sätestatakse, et „vajaduse korral võib vastu võtta meetmed tagamaks, et lõppseadmete konstrueerimine on kooskõlas kasutajate õigusega kaitsta oma isikuandmeid ja kontrollida nende kasutamist vastavalt direktiivile 1999/5/EÜ ja nõukogu 22. detsembri 1986. aasta otsusele 97/95/EMÜ standardimise kohta infotehnoloogia ja telekommunikatsiooni valdkonnas”. Seda sätet ei ole aga kunagi kasutatud (21).

35. Kuigi kahe direktiivi eespool kirjeldatud sätted aitavad eraelu kavandatud puutumatust edendada, siis praktikas ei ole neist seni piisanud selleks, et hõlmata IKTsse eraelu puutumatus.

36. Eespool kirjeldatud olukorra tagajärjena ei nõuta õigusaktidega piisavalt täpselt, et IKT projekteerimisel austataks eraelu kavandatud puutumatuse põhimõtet. Samuti ei ole andmekaitseasutustel piisavalt volitusi eraelu kavandatud puutumatuse integreerimise tagamiseks. Tagajärjeks on ebatõhusus. Näiteks võivad andmekaitseasutused kehtestada sanktsioone suutmatuse eest vastata üksikisikute esitatud taotlustele andmetega tutvumiseks ning neil on pädevus nõuda teatavate meetmete rakendamist ebaseadusliku andmetöötluse vältimiseks. Siiski ei ole alati piisavalt selge, kas nende volitused lubavad neil nõuda, et süsteem oleks projekteeritud üksikisikute andmekaitseõigusi toetaval viisil (22). Näiteks ei ole kehtivate õigusnormide alusel selge, kas võib nõuda, et infosüsteemi arhitektuur projekteeritaks nii, et see toetaks ettevõtjate suutlikkust vastata üksikisikute esitatud taotlustele andmetega tutvumiseks, nii et selliseid taotlusi saaks käsitleda automaatselt ja kiiremini. Kui tehnoloogiat hakatakse aga muutma hiljem, kui see on juba välja töötatud või kasutusele võetud, võib tagajärjeks olla mitteterviklik lahendus, mis ei tööta korralikult ning on ka majanduslikult koormav.

37. Euroopa andmekaitseinspektori arvamuse kohaselt, mis ühtib artikli 29 alusel asutatud töörühma omaga, (23) on praeguses õiguslikus raamistikus ruumi eraelu kavandatud puutumatuse põhimõtte selgesõnalisemaks tunnustamiseks.

IV.2. Eraelu kavandatud puutumatuse integreerimine eri tasanditel

38. Eespool kirjeldatu alusel soovitab Euroopa andmekaitseinspektor komisjonile nelja meedet: a) teha ettepanek lisada andmekaitse õiguslikku raamistikku eraelu kavandatud puutumatust käsitlev üldsäte; b) täpsustada asjaomast üldsätet konkreetsetes sätetes, kui eri sektorite kohta pakutakse välja konkreetsed õigusaktid. Sellised konkreetsed sätted võib juba praegu lisada õigusaktidesse andmekaitsedirektiivi artikli 17 (ja muude kehtivate õigusaktide) alusel; c) lisada eraelu kavandatud puutumatus juhtpõhimõttena Euroopa digitaalsesse tegevuskavva; d) lisada eraelu kavandatud puutumatus põhimõttena muudesse ELi algatustesse (peamiselt sellistesse, mis ei ole seadusandlikud).

Eraelu kavandatud puutumatust käsitlev üldsäte

39. Euroopa andmekaitseinspektor soovitab lisada eraelu kavandatud puutumatuse põhimõtte ühemõtteliselt ja selgesõnaliselt kehtivasse andmekaitse õiguslikku raamistikku. See muudaks eraelu kavandatud puutumatuse põhimõtte tugevamaks, selgemaks ning kohustaks seda tõhusalt rakendama, suurendades seejuures ka täitevasutuste õigusi nõuda praktikas selle de facto kohaldamist. See on eriti oluline eespool kirjeldatud asjaolusid silmas pidades. Põhimõte ei ole üksnes oluline usalduse suurendamise vahend, vaid sellega motiveeritaks ka sidusrühmi rakendama eraelu kavandatud puutumatust ja tugevdataks kehtivas õiguslikus raamistikus ette nähtud kaitsemeetmeid.

40. Ettepanek tugineb artikli 29 alusel asutatud töörühma soovitusele lisada eraelu kavandatud puutumatuse põhimõte üldpõhimõttena andmekaitse õiguslikku raamistikku, eelkõige andmekaitsedirektiivi. Artikli 29 alusel asutatud töörühm on märkinud: „See põhimõte peaks olema siduv tehnoloogia projekteerijatele ja tootjatele, samuti vastutavatele andmetöötlejatele, kes peavad tegema otsuseid IKT hankimise ja kasutamise kohta. Nad peaksid olema kohustatud arvestama andmete tehnoloogilise kaitsmisega juba infotehnoloogiliste menetluste ja süsteemide kavandamise etapis. Selliste süsteemide või teenuste osutajad ning vastutavad andmetöötlejad peaksid tõendama, et on võtnud kõik vajalikud meetmed asjaomaste nõuete täitmiseks.”

41. Euroopa andmekaitseinspektor peab positiivseks ka seda, et volinik Viviane Reding rõhutas andmekaitsedirektiivi läbivaatamisest teatades eraelu kavandatud puutumatuse põhimõtte tähtsust (24).

42. Seda silmas pidades tuleks käsitleda sellise reguleerimise sisulisi aspekte. Esmalt on tähtis, et eraelu kavandatud puutumatuse üldpõhimõte oleks tehnoloogia seisukohast neutraalne. Põhimõtte eesmärk ei peaks olema tehnoloogia reguleerimine, mis tähendab, et sellega ei tohiks kindlaks määrata konkreetseid tehnilisi lahendusi. Selle asemel tuleks nõuda, et kehtivad eraelu puutumatuse ja andmekaitse põhimõtted integreeritaks info- ja kommunikatsioonisüsteemidesse ja -lahendustesse. See võimaldaks sidusrühmadel, tootjatel, vastutavatel andmetöötlejatel ja andmekaitseametnikel tõlgendada põhimõtte tähendust iga juhtumi puhul eraldi. Teiseks, põhimõtte järgimine peaks olema kohustuslik eri etappides alates standardite koostamisest ja arhitektuuri kavandamisest kuni vastutava andmetöötleja kätte jõudmiseni.

Konkreetsete õigusaktide sätted

43. Praegustesse ja tulevastesse õigusaktidesse tuleb lisada eraelu kavandatud puutumatuse põhimõte, tuginedes kehtivale õiguslikule raamistikule ja eespool kavandatud üldsättele, kui see vastu võetakse. Näiteks on praeguste intelligentseid transpordisüsteeme käsitlevate algatuste kohaselt komisjonil esialgne erivastutus seoses meetmete, standardimisalgatuste, menetluste ja parima tava kindlaksmääramisega. Nende ülesannete täitmisel peaks juhtpõhimõtteks olema eraelu kavandatud puutumatus.

44. Euroopa andmekaitseinspektor märgib samuti, et eraelu kavandatud puutumatuse põhimõte on iseäranis tähtis ka vabaduse, turvalisuse ja õiguse valdkonnas, eelkõige seoses teabe haldamise strateegia eesmärkidega, mis on kindlaks määratud Stockholmi programmis (25). Oma arvamuses Stockholmi programmi kohta rõhutas Euroopa andmekaitseinspektor, et teabevahetuse struktuur peaks põhinema eraelu kavandatud puutumatusel: (26)„See tähendab konkreetsemalt seda, et avaliku korra kaitseks kavandatud infosüsteemid tuleks alati luua kooskõlas eraelu kavandatud puutumatuse põhimõttega.”

45. Artikli 29 alusel asutatud töörühma arvamuses eraelu puutumatuse tuleviku kohta (27) nõutakse veelgi täpsemalt, et vabaduse, turvalisuse ja õiguse valdkonnas, kus peamised jõud on avalik-õiguslikud asutused ja kus järelevalvet suurendavatel meetmetel on otsene mõju eraelu puutumatuse ja andmekaitse põhiõigustele, tuleks eraelu kavandatud puutumatust käsitlevad nõuded teha kohustuslikuks. Selliste nõuete sidumisega infosüsteemidega edendaksid valitsused käivitavate klientidena oma võimete piires ka eraelu kavandatud puutumatust.

Eraelu kavandatud puutumatus kui Euroopa digitaalse tegevuskava juhtpõhimõte

46. Info- ja kommunikatsioonitehnoloogia muutub järjest keerulisemaks ning sellega kaasnevad järjest suuremad eraelu puutumatuse ja andmekaitsega seotud riskid. Üldiselt on digitaalse info puhul, millele on lihtsam juurde pääseda ning mida on hõlpsam kopeerida ja edastada, riskid palju suuremad kui paberkandjal esitatava info puhul. Mida rohkem me omavahel seotud objektide võrgustiku suunas liigume, seda suuremaks riskid muutuvad. Mida suuremad on eraelu puutumatuse/andmekaitsega seotud riskid, seda suurem on nõudlus andmete ja eraelu puuutmatuse tõhusama kaitsmise järele. Seega on vajadus rakendada eraelu kavandatud puutumatust IKT sektoris põhjendatum. Pealegi, nagu eespool kirjeldatud, selleks et kodanikud asjaomased uued teenused omaks võtaksid, peaksid üksikisikud IKTd usaldama ning sellise usalduse võitmiseks on võtmetähtsusega eraelu puutumatus ja andmekaitse.

47. Eespool kirjeldatu näitab, et IKT arendamise strateegias tuleb rõhutada vajadust projekteerida asjaomased tehnoloogiad nii, et eraelu puutumatus ja andmekaitse oleks sisse ehitatud, st võttes arvesse eraelu kavandatud puutumatuse põhimõtet.

48. Seetõttu tuleks Euroopa digitaalses tegevuskavas selgesõnaliselt toetada eraelu kavandatud puutumatuse põhimõtet kui elementi, mis on vajalik kodanike usalduse tagamiseks IKT ja veebiteenuste vastu. Selles tuleks tunnistada, et eraelu puutumatus ja usaldus kuuluvad kokku ning et usaldusväärse IKT sektori arendamisel peaks juhtiv tegur olema eraelu kavandatud puutumatus.

Eraelu kavandatud puutumatus kui põhimõte teistes ELi algatustes

49. Komisjon peaks kasutama eraelu kavandatud puutumatust juhtpõhimõttena konkreetseid IKT sektoreid, nagu e-tervis, e-hanked, e-sotsiaalkindlustus, e-õpe jms, käsitleva poliitika, tegevuse ja sellekohaste algatuste rakendamisel. Paljud neist algatustest kuuluvad Euroopa digitaalse tegevuskava meetmete hulka.

50. See tähendab näiteks, et algatused, millega tagatakse valitsuste rakenduste suurem tõhusus ja modernsus, et üksikisikud saaksid haldusasutustega suhelda, peaksid sisaldama nõuet, et need oleksid projekteeritud ja et neid kasutataks kooskõlas eraelu kavandatud puutumatuse põhimõttega. Sama kehtib komisjoni sellise poliitika ja tegevuse kohta, millega arendatakse kiiremat internetti, digitaalset infosisu või soodustatakse üldiselt püsivat või juhtmevaba teabevahetust ja andmeedastust.

51. See hõlmab ka valdkondi, kus komisjon vastutab suuremahuliste IT-süsteemide eest, nagu Schengeni infosüsteem (SIS) ja viisainfosüsteem (VIS), samuti neid juhtusid, kus komisjoni vastutus piirdub selliste süsteemide ühise infrastruktuuri arendamise ja haldamisega, nagu Euroopa karistusregistrite infosüsteemi (ECRIS) puhul.

52. Eraelu kavandatud puutumatuse põhimõtte täpne määratlemine sõltub konkreetsest sektorist ja olukorrast. Kui komisjoni algatustega kaasnevad näiteks seadusandlikud ettepanekud konkreetse IKT valdkonna kohta, on paljudel juhtudel asjakohane lisada selgesõnaline viide eraelu kavandatud puutumatusele, mida konkreetse IKT rakenduse/süsteemi projekteerimise suhtes kohaldatakse. Konkreetseid valdkondi käsitlevate tegevuskavade väljatöötamisel tuleks neis süsteemselt tagada õigusliku raamistiku kohaldamine ja täpsemalt hoolitseda selle eest, et asjakohane IKT loodaks eraelu kavandatud puutumatust silmas pidades.

53. Teadusuuringute puhul tuleks kasutada seitsmendat ja järgnevaid raamprogramme, et toetada projekte, mille eesmärk on analüüsida standardeid, ning info- ja kommunikatsioonitehnoloogiaid ja arhitektuure, mis tagavad paremini eraelu puutumatuse ja konkreetsemalt eraelu kavandatud puutumatuse põhimõtte austamise. Peale selle tuleks eraelu kavandatud puutumatust kaaluda ka laiemates üksikisikute isikuandmete töötlemiseks kasutatavates IKT projektides.

Erilist tähelepanu vajavad valdkonnad

54. Teatavatel juhtudel võib üksikisikute eraelu puutumatuse ja andmekaitsega seotud konkreetsete riskide või muude tegurite tõttu (tööstusharu soovimatus toota tooteid eraelu kavandatud puutumatuse põhimõtet arvesse võttes, tarbijate nõudmised jms) olla vajalik määrata kindlaks selgesõnalisemad ja konkreetsemad eraelu kavandatud puutumatust käsitlevad meetmed, mis tuleb integreerida asjaomasesse info- ja kommunikatsioonitootesse või -tehnoloogiasse, olgu sellisteks meetmeteks seadusandlikud või muud õigusaktid.

55. Euroopa andmekaitseinspektor on teinud kindlaks mitu valdkonda (raadiosagedustuvastus, suhtlusvõrgud ja brauserirakendused), mida komisjon peaks tema arvates praeguses etapis hoolikalt analüüsima ja millesse ta peaks eespool kirjeldatud moel praktilisemalt sekkuma. Neid valdkondi käsitletakse täpsemalt allpool.

V. RAADIOSAGEDUSTUVASTUS

56. Raadiosagedustuvastuse märgiseid saab kinnitada esemetele, loomadele ja inimestele. Neid saab kasutada isikuandmete kogumiseks ja säilitamiseks, näiteks terviseandmete puhul, inimeste liikumise jälgimiseks või nende käitumise profileerimiseks eri eesmärkidel. Seda saab teha asjaomase üksikisiku teadmata (28).

57. Andmete, eraelu puutumatuse ja kõikide seotud eetiliste väärtuste tõhus kaitse on määrava tähtsusega üldsuse usalduse võitmiseks raadiosagedustuvastuse ja tulevase asjade interneti vastu. Üksnes siis saab tehnoloogiast suurt majanduslikku ja sotsiaalset kasu.

V.1. Lüngad kohaldatavas andmekaitse õiguslikus raamistikus

58. Raadiosagedustuvastuse rakenduste kaudu teostatava andmekogumise suhtes kohaldatakse andmekaitsedirektiivi ning eraelu puutumatust ja elektroonilist sidet käsitlevat direktiivi (29). Nendega nõutakse muu hulgas, et raadiosagedustuvastuse rakenduste kasutamisel kehtestataks piisavad eraelu puutumatuse kaitsmise meetmed (30).

59. Siiski ei käsitleta selles õiguslikus raamistikus täielikult kõiki asjaomasest tehnoloogiast tulenevaid andmekaitse ja eraelu puutumatusega seotud probleeme, kuna direktiivides ei täpsustata piisavalt üksikasjalikult, millist liiki kaitsemeetmeid tuleks raadiosagedustuvastuse rakendustega seoses võtta. Kehtivaid eeskirju on vaja täiendada lisaeeskirjadega, millega kehtestatakse konkreetsed kaitsemeetmed, muutes eelkõige kohustuslikuks tehniliste lahenduste (eraelu kavandatud puutumatuse) integreerimise raadiosagedustuvastuse tehnoloogiasse. See kehtib isikuandmeid sisaldavate märgiste puhul, mida peab olema võimalik välja lülitada, ning teatavat liiki isikuandmeid säilitavate märgiste krüptimise puhul.

V.2. Iseregulatsioon kui esimene samm

60. 2007. aasta märtsis võttis komisjon vastu teatise, (31) milles tunnistas muu hulgas, et vaja on üksikasjalikke juhiseid raadiosagedustuvastuse rakendamise kohta praktikas ning et eraelu puutumatuse ja turvalisusega seotud ohtude ärahoidmiseks võiks vastu võtta projekteerimiskriteeriumid.

61. Nende eesmärkide saavutamiseks võttis komisjon 2009. aasta mais vastu soovituse eraelu puutumatuse ja andmekaitse põhimõtete kohaldamise kohta raadiosagedustuvastust kasutavates rakendustes (32). Jaemüügis kasutatavates raadiosagedustuvastuse rakendustes tuleb märgis müügihetkel deaktiveerida, välja arvatud juhul, kui üksikisikud on andnud nõusoleku töötava märgise allesjätmiseks. See ei kehti juhul, kui eraelu puutumatusele ja andmekaitsele avalduva mõju uuring näitab, et märgised ei kujuta endast tõenäoliselt ohtu eraelu puutumatusele või isikuandmete kaitsele, mispuhul võiksid need jääda töökorda pärast müüki, välja arvatud juhul, kui üksikisikud sellest ilma tasu maksmata loobuvad.

62. Euroopa andmekaitseinspektor kiidab heaks komisjoni lähenemisviisi kasutada iseregulatsiooni vahendeid. Nagu allpool kirjeldatud, võib siiski juhtuda, et iseregulatsioon ei too kaasa oodatud tulemusi, mistõttu kutsub Euroopa andmekaitseinspektor komisjoni üles olema valmis võtma vastu alternatiivseid meetmeid.

V.3. Probleemsed valdkonnad ja võimalikud lisameetmed juhuks, kui iseregulatsioon ei toimi

63. Euroopa andmekaitseinspektor muretseb, et jaemüügis raadiosagedustuvastuse rakendusi kasutavad organisatsioonid võivad jätta tähelepanuta võimaluse, et raadiosagedustuvastuse märgiseid jälgivad soovimatud kolmandad isikud. Sellise jälgimisega võidakse (võimaluse korral) pääseda ligi märgises salvestatud isikuandmetele, kuid see võib võimaldada kolmandal isikul inimest ka aja jooksul jälgida või tuvastada, kasutades lihtsalt ühes või mitmes üksikisiku kantavas märgises sisalduvaid kordumatuid tunnuskoode, ning seda isegi keskkonnas, mis jääb raadiosagedustuvastuse rakenduse tööpiirkonnast väljapoole. Peale selle tekitab talle muret asjaolu, et raadiosagedustuvastuse rakenduste puhul võidakse toetuda põhjendamatult erandile, jättes nii märgise töökorda ka pärast müüki.

64. Sellises olukorras võib olla liiga hilja leevendada riske seoses üksikisikute andmete kaitse ja eraelu puutumatusega, mida võib olla juba kahjustatud. Pealegi võib iseregulatsioon oma olemuse tõttu nõrgestada riiklike õiguskaitseorganite õigust nõuda, et raadiosagedustuvastuse rakendusi kasutavad organisatsioonid kohaldaksid konkreetseid eraelu kavandatud puutumatuse meetmeid.

65. Eespool kirjeldatut arvesse võttes kutsub Euroopa andmekaitseinspektor komisjoni üles olema valmis pakkuma välja õigusakte raadiosagedustuvastuse kasutamise põhiprobleemide käsitlemiseks juhul, kui kehtiva õigusliku raamistiku rakendamine osutub ebatõhusaks. Komisjoni hinnangut ei tohiks põhjendamatult edasi lükata; edasilükkamine seaks ohtu üksikisikud ning oleks kahjulik ka tööstusharule, kuna õiguslik ebakindlus oleks liiga suur ja sissejuurdunud probleemide parandamine on tõenäoliselt keerulisem ja kulukam.

66. Meetmetest, mida võib olla vaja välja pakkuda, soovitab Euroopa andmekaitseinspektor rakendada müügihetkel osalemispõhimõtet, mille kohaselt deaktiveeritakse müügihetkel vaikimisi kõik tarbekaupadele kinnitatud raadiosagedustuvastuse märgised. Komisjonil ei pruugi olla vajalik ega asjakohane määrata kindlaks konkreetset kasutatavat tehnoloogiat. Selle asemel tuleks ELi õigusega kehtestada õiguslik kohustus saada osalemisnõusolek, jättes operaatorite otsustada, kuidas nad nõude täidavad.

V.4. Lisaküsimused: asjade interneti haldamine

67. Raadiosagedustuvastuse märgistest saadud teabe, näiteks tooteinfo võib lõppkokkuvõttes ühendada ülemaailmse sideinfrastruktuuri võrguga. Seda nimetatakse tavaliselt asjade internetiks. Andmekaitse/eraelu puutumatusega seoses tekitab probleeme asjaolu, et raadiosagedustuvastuse märgiste kaudu saab tuvastada reaalseid objekte, mis võivad peale tooteinfo sisaldada isikuandmeid.

68. On palju vastamata küsimusi seoses sellega, kes haldab märgistatud esemetega seotud teabe säilitamist. Kuidas see korraldatakse? Kellel on teabele juurdepääs? 2009. aasta juunis võttis komisjon vastu teatise asjade interneti kohta, (33) milles tehakse selgesõnaliselt kindlaks kõnealuse nähtuse puhul esinevad võimalikud probleemid seoses andmekaitse ja eraelu puutumatusega.

69. Euroopa andmekaitseinspektor sooviks rõhutada mõnd teatises tõstatatud küsimust, mis tema arvates vajaks asjade interneti arenedes põhjalikumat tähelepanu. Esiteks, detsentraliseeritud arhitektuuri kasutamine võiks suurendada usaldusväärsust ja parandada ELi õigusliku raamistiku jõustatavust. Teiseks, üksikisikute õigus olla mitte jälgitud tuleks säilitada nii suures ulatuses kui võimalik. Teisisõnu, selliseid juhtusid, kus üksikisikuid jälgitakse raadiosagedustuvastuse märgiste kaudu ilma nende nõusolekuta, peaks esinema väga piiratud hulgal. Vastav nõusolek peaks olema selgesõnaline. Sellist põhimõtet nimetatakse tavaliselt õiguseks raadiovaikusele ja õiguseks rahus elada. Lõpetuseks, asjade interneti kavandamisel tuleks lähtuda eraelu kavandatud puutumatuse põhimõttest. See tähendaks näiteks, et kasutajate juhitavate sisseehitatud mehhanismidega raadiosagedustuvastuse rakenduste vaikeseaded peavad tagama eraelu puutumatuse.

70. Euroopa andmekaitseinspektor eeldab, et komisjon peab temaga teatises kavandatud meetmete kehtestamisel nõu, eelkõige seoses eraelu puutumatust ja usaldust kõikehõlmavas infoühiskonnas käsitleva teatise väljatöötamisega.

VI. SUHTLUSVÕRGUD JA VAJADUS ERAELU PUUTUMATUST TAGAVATE VAIKESEADETE JÄRELE

71. Suhtlusvõrgud on praegune moeröögatus. Need on saanud populaarsemaks kui e-post, ühendades omavahel sarnaste huvidega ja/või sarnastel tegevusaladel tegutsevaid inimesi. Inimesed saavad avaldada võrgus oma profiile ja jagada meediafaile: videoid, fotosid, muusikat ja CVsid.

72. Noored on suhtlusvõrgud kiiresti omaks võtnud ja see suundumus jätkub. Internetikasutajate keskmine vanus on Euroopas viimastel aastatel langenud: nüüd käivad 9–10aastased veebis paar korda nädalas, 12–14aastased iga päev, viibides seal tihti üks kuni kolm tundi.

VI.1. Suhtlusvõrgud ning kohaldatav andmekaitse ja eraelu puutumatuse õiguslik raamistik

73. Suhtlusvõrkude areng võimaldab kasutajatel laadida internetti üles teavet enda ja kolmandate isikute kohta. Artikli 29 alusel asutatud töörühma arvamuse kohaselt (34) tegutsevad internetikasutajad seejuures üleslaaditavate andmete puhul vastutavate andmetöötlejatena andmekaitsedirektiivi endise artikli 2 punkti d tähenduses (35). Siiski saab enamikul sellistel juhtudel asjaomase töötlemise suhtes kohaldada direktiivi endise artikli 3 lõikes 2 sätestatud isiklike eesmärkide erandit. Samal ajal peetakse suhtlusvõrgu teenuse osutajaid vastutavateks andmetöötlejateks juhul, kui nad pakuvad vahendeid kasutajaandmete töötlemiseks ja osutavad kõiki kasutajahaldusega seotud põhiteenuseid (nt registreerimine ja kontode kustutamine).

74. Õiguslikust seisukohast tähendab see, et internetikasutajad ja suhtlusvõrgu teenuse osutajad jagavad isikuandmete töötlemise puhul vastutust vastutavate andmetöötlejatena direktiivi artikli 2 punkti d tähenduses, kuigi erinevas ulatuses ja erinevate kohustustega.

75. Sellest tulenevalt peaksid kasutajad teadma ja mõistma, et oma ja teiste isikuandmete töötlemisel peavad nad järgima ELi andmekaitsealaste õigusaktide sätteid, millega nõutakse muu hulgas, et nendelt isikutelt, kelle kohta teavet üles laaditakse, on vaja saada teadlik nõusolek, millega antakse asjaomastele isikutele õigus andmeid parandada, nende kohta vastuväiteid esitada jne. Sarnaselt peavad suhtlusvõrgu teenuse osutajad rakendama muu hulgas vajalikke tehnilisi ja organisatsioonilisi meetmeid omavolilise töötlemise vältimiseks, võttes arvesse töötlemisest tulenevaid riske ja andmete liiki. See omakorda tähendab, et suhtlusvõrgu teenuste puhul peaksid olema tagatud eraelu puutumatust austavad vaikeseaded, sealhulgas seaded, mis lubavad profiilidele juurde pääseda üksnes kasutaja enda valitud kontaktidel. Seadetega tuleks küsida ka kasutaja kinnitavat nõusolekut, enne kui profiil avaldatakse teistele kolmandatele isikutele, ning piiratud juurdepääsuga profiilid ei tohiks olla leitavad sisemiste otsingumootoritega.

76. Kahjuks esineb õiguslike nõuete ja tegeliku nõuete järgimise vahel lõhe. Kuigi õiguslikust seisukohast peetakse internetikasutajaid vastutavateks andmetöötlejateks ja nad on kohustatud järgima ELi andmekaitse ja eraelu puutumatuse õiguslikku raamistikku, siis tegelikkuses ei ole nad sellest tihti teadlikud. Üldiselt ei tea nad hästi, et nad töötlevad isikuandmeid ja et sellise teabe avaldamisega kaasnevad eraelu puutumatuse ja andmekaitsega seotud riskid. Eelkõige noored avaldavad veebis teavet, alahinnates selle tagajärgi endale ja teistele, näiteks seoses hilisema kandideerimisega haridusasutustesse või töökohtadele.

77. Samas seadistavad suhtlusvõrgu teenuse osutajad vaikeseaded tihti nii, et kasutaja peab piiravad seaded ise valima, soodustades seega isikuandmete avaldamist. Mõne suhtlusvõrgu puhul saab profiile vaikimisi leida levinud otsingumootoritega. See tõstatab küsimuse, kas üksikisikud on tegelikult andnud avaldamiseks nõusoleku ning kas suhtlusvõrgu teenuse osutajad ikka järgivad direktiivi artiklit 17 (kirjeldatud eespool), millega nõutakse omavolilise töötlemise vältimiseks vajalike tehniliste ja organisatsiooniliste meetmete rakendamist.

VI.2. Suhtlusvõrkudest tulenevad riskid ja nende käsitlemiseks soovitatavad meetmed

78. Eespool kirjeldatud suundumused suurendavad üksikisiku eraelu puutumatuse ja andmekaitsega seotud riske. See seab ohtu internetikasutajad ning isikud, kelle andmed on üles laaditud, rikkudes julmalt nende eraelu puutumatust ja nende andmete kaitset.

79. Selle taustal peaks komisjon küsima, mida tuleks ja saaks sellise olukorra lahendamiseks ette võtta. Käesolevas arvamuses ei anta sellele küsimusele ammendavat vastust, vaid esitatakse hoopis mitu soovitust edasiseks arutamiseks.

Investeerimine internetikasutajate haridusse

80. Esimene soovitus on investeerida kasutajate haridusse. Sellega seoses peaksid ELi institutsioonid ja riikide ametiasutused investeerima suhtlusvõrkude veebisaitidega seotud ohtude teadvustamisse ja inimeste harimisse selles vallas. Infoühiskonna ja meedia peadirektoraat rakendab näiteks turvalisema interneti programmi, mille eesmärk on toetada ning kaitsta lapsi ja noori näiteks teadlikkuse tõstmise kaudu (36). Hiljuti algatasid ELi institutsioonid kampaania „Mõtle, enne kui postitad” („Think before you post”), et tõsta teadlikkust riskidest, mis kaasnevad võõrastele isikuandmete avaldamisega.

81. Euroopa andmekaitseinspektor julgustab komisjoni jätkama sedalaadi tegevuse toetamist. Siiski peaksid ka suhtlusvõrgu teenuse osutajad ise selles aktiivselt osalema, kuna neil on õiguslik ja sotsiaalne kohustus harida kasutajaid selles osas, kuidas nende teenuseid turvalisel ja eraelu puutumatust kaitsval viisil kasutada.

82. Nagu eespool kirjeldatud, võidakse suhtlusvõrku postitatud teave teha vaikimisi kättesaadavaks mitmel eri moel. Näiteks võib teave olla kättesaadav üldsusele, sealhulgas otsingumootoritele, mis võivad selle indekseerida ja esitada seega sellele otselingid. Teisest küljest võidakse teavet avaldada üksnes valitud sõpradele või hoida seda täiesti salastatuna. Loomulikult on profiiliga seotud volitused ja kasutatav terminoloogia eri veebisaitidel erinev.

83. Nagu eespool kirjeldatud, teab aga väga vähe suhtlusvõrkude kasutajaid, kuidas kontrollida juurdepääsu nende postitatud teabele, rääkimata sellest, kuidas muuta vaikimisi määratud privaatsusseadeid. Privaatsusseadeid tavaliselt ei muudeta, kuna kasutajad ei ole teadlikud nende muutmata jätmise tagajärgedest või ei oska seda teha. Seega ei tähenda asjaolu, et üksikisikud privaatsusseadeid ei muuda, tavaliselt seda, et nad on teinud teadliku otsuse nõustuda teabe jagamisega. Siinjuures on eriti oluline, et kolmandad isikud, nagu otsingumootorid, ei esitaks linke üksikisikute profiilidele, eeldades, et kasutajad on vaikimisi nõustunud (jättes privaatsusseaded muutmata) teabe piiranguteta avaldamisega.

84. Kuigi kasutajate harimine võib aidata olukorda teataval määral lahendada, siis sellest üksi ei piisa. Nagu soovitab artikli 29 alusel asutatud töörühm oma arvamuses suhtlusvõrkude kohta, peaksid suhtlusvõrgu teenuse osutajad kehtestama tasuta eraelu puutumatust tagavad vaikeseaded. See tõstaks kasutajate teadlikkust oma tegevusest ja võimaldaks neil teha teadlikumaid otsuseid selle kohta, kas ja kellele nad soovivad teavet avaldada.

Iseregulatsiooni roll

85. Komisjon on sõlminud 20 suhtlusvõrgu teenuse osutajaga kokkuleppe „ELi turvalisemate suhtlusvõrkude põhimõtted” (37). Kokkuleppe eesmärk on suurendada alaealiste turvalisust Euroopa suhtlusvõrgusaitide kasutamisel. Asjaomased põhimõtted hõlmavad nõudeid, millest paljud tulenevad eespool kirjeldatud andmekaitse õigusliku raamistiku kohaldamisest, sealhulgas näiteks nõue võimaldada kasutajatel tööriistade ja tehnoloogia kaudu kontrollida oma isikuandmete kasutamist ja levitamist. See hõlmab ka vajadust kehtestada vaikimisi privaatsusseaded.

86. 2010. aasta jaanuari alguses avaldas komisjon nende põhimõtete rakendamise hindamise aruande tulemused (38). Euroopa andmekaitseinspektorile teeb muret asjaolu, et see aruanne näitab, et astutud on teatavaid samme, aga paljusid jällegi mitte. Näiteks leiti aruandes, et probleeme esineb teabe edastamisega saitidel kättesaadavate turvameetmete ja tööriistade kohta. Samuti tehti aruandes kindlaks, et vähem kui pooled kokkuleppeosalistest piiravad juurdepääsu alaealiste profiilidele, lubades juurdepääsu üksnes nende sõpradele.

Vajadus kohustuslike eraelu puutumatust tagavate vaikeseadete järele

87. Siinjuures on põhiküsimus see, kas selleks, et suhtlusvõrgud rakendaksid oma teenustes eraelu puutumatust tagavaid vaikeseadeid, on vaja uusi poliitikameetmeid. Selle küsimuse tõstatas endine infoühiskonna volinik Viviane Reding, kes märkis, et vaja võib minna õigusakte (39). Euroopa Majandus- ja Sotsiaalkomitee märkis samuti, et koos iseregulatsiooniga tuleks seadusega ette näha minimaalsed kaitsestandardid (40).

88. Nagu eespool märgitud, võib suhtlusvõrgu teenuse osutajate kohustuse rakendada eraelu puutumatust tagavaid vaikeseadeid tuletada kaudselt andmekaitsedirektiivi artiklist 17, (41) millega kohustatakse vastutavaid andmetöötlejaid võtma vajalikke tehnilisi ja organisatsioonilisi meetmeid („nii töötlemissüsteemi kavandamise kui ka töötlemise ajal”), et tagada turvalisus ja välistada omavoliline töötlemine, võttes arvesse töötlemise riske ja andmete liiki.

89. Siiski on see artikkel liiga üldine ega ole ka kõnealuses kontekstis kuigi konkreetne. Selles ei märgita täpselt, mida tähendavad vajalikud tehnilised ja organisatsioonilised meetmed suhtlusvõrkude kontekstis. Seega on praegune olukord õiguslikult ebakindel, põhjustades probleeme nii seadusandjatele kui ka üksikisikutele, kelle eraelu puutumatus ja isikuandmed ei ole täiel määral kaitstud.

90. Eespool kirjeldatut arvesse võttes kutsub Euroopa andmekaitseinspektor komisjoni üles koostama õigusakte, mis sisaldaksid vähemalt üldist kohustust rakendada kohustuslikke privaatsusseadeid ning järgmisi täpsemaid nõudeid: a) kehtestada seaded, mis lubavad kasutaja profiilile juurde pääseda üksnes kasutaja enda valitud kontaktidel. Seaded peaksid samuti tagama, et kasutajalt küsitaks enne profiili kolmandatele isikutele kättesaadavaks muutmist kinnitust; b) tagada, et piiratud juurdepääsuga profiilid ei oleks leitavad sisemiste/väliste otsingumootorite abil.

91. Kohustuslike eraelu puutumatust tagavate vaikeseadete ettenägemise kõrval tuleb küsida, kas asjakohane oleks kehtestada ka täiendavaid andmekaitse- ja muid meetmeid (näiteks seoses alaealiste kaitsmisega). See tõstatab laiema küsimuse – kas sellist liiki teenuste jaoks oleks asjakohane luua eriraamistik, mis peale kohustuslike eraelu puutumatust tagavate seadete kehtestamise reguleeriks ka muid aspekte. Euroopa andmekaitseinspektor palub komisjonil seda küsimust kaaluda.

VII. ERAELU PUUTUMATUST TAGAVAD BRAUSERI VAIKESEADED, ET TAGADA TEADLIKU NÕUSOLEKU ANDMINE REKLAAMI SAAMISEKS

92. Reklaamipakkujad kasutavad küpsiseid ja muid vahendeid kasutajate käitumise jälgimiseks internetis, et kataloogida nende huvid ja luua nende profiilid. Seda teavet kasutatakse seejärel neile suunatud reklaami saatmiseks (42).

VII.1. Kehtiva andmekaitse ja eraelu puutumatuse õigusliku raamistikuga seotud lahendamata probleemid ja riskid

93. Sellist töötlemist reguleeritakse andmekaitsedirektiiviga (kui asjasse puutuvad isikuandmed) ning ka eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi artikli 5 lõikega 3. Nimetatud artiklis nõutakse konkreetselt, et kasutajat teavitataks selliste vahendite nagu küpsiste salvestamisest tema arvutisse või muusse seadmesse ja et talle antaks võimalus kas sellega nõustuda või sellest keelduda (43).

94. Praeguseni on reklaamipakkujad kasutajate teavitamisel ja neile küpsistega nõustumise või neist keeldumise võimaldamisel tuginenud brauseriseadetele ja privaatsuspõhimõtetele. Nad on selgitanud toimetuste privaatsuspõhimõtetes, kuidas loobuda täielikult küpsiste vastuvõtmisest või kuidas nõustuda nendega üksikjuhtumipõhiselt. Sellega on nad soovinud täita kohustust jätta kasutajatele õigus küpsistest keelduda.

95. Kuigi teoreetiliselt võiks see meetod (brauseri kaudu) tõepoolest tagada tõhusalt sisulise teadliku nõusoleku küsimise, on reaalsus hoopis teistsugune. Üldiselt ei ole kasutajad teadlikud andmete kogumisest, veel vähem kolmandate isikute poolt, nad ei tea selliste andmete väärtust, kuidas neid kasutatakse, kuidas tehnoloogia toimib ning eelkõige seda, kuidas ja kus nad saavad seadeid muuta. Sammud, mida kasutajad peavad seadete muutmiseks läbima, pole mitte üksnes keerulised, vaid ka üleliigsed (kõigepealt peavad nad lubama brauseri seadetes küpsised ja alles siis saavad määrata piiravad seaded).

96. Selle tulemusena ei kasuta piiravaid seadeid tegelikult paljud, seda mitte seetõttu, et nad on teinud teadliku otsuse nõustuda käitumispõhise reklaamiga, vaid kuna nad ei tea, et piiravad seaded määramata jättes nad õigupoolest nõustuvad küpsistega.

97. Kuigi õiguslikust seisukohast nähakse eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi artikli 5 lõikega 3 ette tõhus õiguslik kaitse, siis reaalsuses eeldatakse, et internetikasutajad on nõus jälgimisega käitumispõhise reklaami saatmise eesmärgil, kuigi tegelikult ei ole nad tihtipeale, kui mitte alati, sellisest jälgimisest teadlikud.

98. Artikli 29 alusel asutatud töörühm koostab arvamust, mille eesmärk on selgitada käitumispõhise reklaamiga seotud õiguslikke nõudeid. Selline algatus on väga teretulnud. Siiski ei pruugi tõlgendamine iseenesest olla käesoleva olukorra lahendamiseks piisav ning Euroopa Liidul võib olla vaja võtta lisameetmeid.

VII.2. Vajadus lisameetmete, eelkõige kohustuslike eraelu puutumatust tagavate vaikeseadete kehtestamise järele

99. Nagu eespool kirjeldatud, võimaldavad veebibrauserid tavaliselt teataval määral kontrollida teatavat liiki küpsiseid. Praegu lubavad enamiku veebibrauserite vaikeseaded kõiki küpsiseid. Teisisõnu, brauserid on vaikimisi seadistatud nii, et lubatud on kõik küpsised, hoolimata küpsise eesmärgist. Alles siis, kui kasutaja muudab oma brauserirakenduse seadeid nii, et küpsised on keelatud, lõpetatakse talle küpsiste saatmine. Nagu eespool kirjeldatud, muudavad seadeid aga väga vähesed kasutajad. Peale selle ei kuvata brauserirakenduste esmakordsel installimisel või uuendamisel privaatsusviisardit.

100. Eespool kirjeldatud probleemi aitaks lahendada see, kui brauserites rakendataks eraelu puutumatust tagavaid vaikeseadeid. Teisisõnu, määratud seadetes võiksid kolmandate isikute küpsised olla keelatud. Selle toetamiseks ja tõhustamiseks peaksid veebibrauserid nõudma, et kasutajad läbiksid brauseri esmakordsel installimisel või uuendamisel privaatsusviisardi. Vaja on põhjalikumalt ja selgemalt teavitada küpsiste tüüpidest ja teatavate küpsiste kasulikkusest. Kasutajaid, kes on nõus sellega, et neid reklaami saatmise tarvis jälgitakse, tuleb nõuetekohaselt teavitada ja nad peavad oma brauseriseadeid muutma. See annaks neile suurema kontrolli oma isikuandmete ja eraelu puutumatuse üle. Euroopa andmekaitseinspektori arvates oleks see tõhus viis kasutajate nõusoleku austamiseks ja säilitamiseks (44).

101. Võttes ühest küljest arvesse probleemi laiaulatuslikkust, teisisõnu seda, kui paljusid internetikasutajaid praegu illusoorse nõusoleku alusel jälgitakse, ning teisest küljest kaalul olevate huvide ulatust, on uute kaitsemeetmete vajalikkus veelgi selgem. Eraelu kavandatud puutumatuse põhimõtte rakendamine veebibrauseri rakendustes võib oluliselt suurendada üksikisikute võimalusi kontrollida reklaami eesmärgil kasutatavaid andmekogumistavasid.

102. Seetõttu julgustab Euroopa andmekaitseinspektor komisjoni kaaluma seadusandlikke meetmeid, millega nõutaks brauserites kohustuslike eraelu puutumatust tagavate vaikeseadete rakendamist ja asjakohase teabe esitamist.

VIII. MUUD ÜKSIKISIKUTE ERAELU PUUTUMATUSE KAITSMISE JA ANDMEKAITSEGA SEOTUD PÕHIMÕTTED

103. Kuigi eraelu kavandatud puutumatuse põhimõte võib suuresti parandada üksikisikute isikuandmete ja eraelu puutumatuse kaitset, on tarbijate usalduse tagamiseks IKT vastu vaja välja töötada ja rakendada täiendavaid õiguslikke põhimõtteid. Selle taustal käsitleb Euroopa andmekaitseinspektor kõikides sektorites kohaldatavat usaldusväärsuse põhimõtet ja kohustusliku turvarikkumisi käsitleva raamistiku väljatöötamist.

VIII.1. Usaldusväärsuse põhimõte eraelu kavandatud puutumatuse põhimõtte järgimise tagamiseks

104. Artikli 29 alusel asutatud töörühma dokumendis „Eraelu puutumatuse tulevik” (45) soovitatakse lisada andmekaitsedirektiivi usaldusväärsuse põhimõte. Selle teatavates rahvusvahelistes andmekaitsealastes õigusaktides (46) tunnustatud põhimõttega nõutakse, et organisatsioonid rakendaksid protsesse kehtivate õigusaktide järgimiseks ja kehtestaksid meetodid seaduste ja muude siduvate õigusaktide järgimise hindamiseks ja tõendamiseks.

105. Euroopa andmekaitseinspektor toetab täielikult artikli 29 alusel asutatud töörühma soovitust. Tema meelest on see põhimõte väga oluline andmekaitsepõhimõtete ja sellealaste kohustuste tõhusa rakendamise edendamiseks. Usaldusväärsuse põhimõtte alusel peaksid vastutavad andmetöötlejad tõendama, et nad on kehtestanud kohaldatavate andmekaitsealaste õigusaktide järgimiseks vajaliku mehhanismi. See toetab tõenäoliselt eraelu kavandatud puutumatuse tõhusat rakendamist IKTs, kuna see oleks eriti sobiv viis usaldusväärsuse tõendamiseks.

106. Usaldusväärsuse hindamiseks ja tõendamiseks võivad vastutavad andmetöötlejad kasutada sisemenetlusi ning kolmandate isikute teenuseid, kes võivad teha auditeid või muud liiki kontrolle, mille alusel võib anda tunnistusi või auhindu. Selles kontekstis julgustab Euroopa andmekaitseinspektor komisjoni kaaluma, kas peale üldise usaldusväärsuse põhimõtte oleks kasulik nõuda seadusega konkreetseid usaldusväärsuse meetmeid, nagu vajadus koostada eraelu puutumatuse ja andmekaitsega seotud mõjuhinnanguid, ja millistel tingimustel seda vaja oleks.

VIII.2. Turvarikkumised: õigusliku raamistiku väljatöötamine

107. Eelmisel aastal eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis tehtud muudatustega kehtestati nõue teavitada andmetega seotud rikkumistest asjassepuutuvaid üksikisikuid ja ka asjaomaseid ametiasutusi. Andmetega seotud rikkumine on laia määratluse järgi igasugune rikkumine, mille tagajärjel hävitatakse, kaotatakse, avaldatakse vms teenusega seoses edastatud, säilitatud või muul viisil töödeldud isikuandmeid. Üksikisikuid tuleb teavitada juhul, kui andmetega seotud rikkumine kahjustab tõenäoliselt nende isikuandmeid või eraelu puutumatust. Nii võib see olla juhul, kui rikkumine võib viia identiteedivarguse, märkimisväärse alandamise või maine kahjustamiseni. Asjaomaseid ametiasutusi tuleb teavitada iga andmetega seotud rikkumise korral, hoolimata sellest, kas see kujutab endast üksikisikutele ohtu või mitte.

Turvarikkumistega seotud kohustuste kohaldamine kõikides sektorites

108. Kahjuks kehtib kõnealune kohustus üksnes üldkasutatavate elektrooniliste sideteenuste osutajatele, nagu telefoniteenuse, internetiteenuse, elektronpostiteenuse osutajad jt. Euroopa andmekaitseinspektor julgustab komisjoni esitama turvarikkumiste kohta kõiki sektoreid hõlmavaid ettepanekuid. Sellise raamistiku sisu asjus leiab Euroopa andmekaitseinspektor, et eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis vastu võetud turvarikkumiste õiguslik raamistik loob asjakohase tasakaalu üksikisikute õiguste, sealhulgas nende isikuandmete ja eraelu puutumatusega seotud õiguste kaitsmise ning asjaomastele üksustele kehtestatud kohustuste vahel. Samas on raamistik piisavalt tugev, kuna seda toetatakse oluliste jõustamissätetega, millega antakse ametiasutustele piisavad volitused rikkumise korral uurimiste korraldamiseks ja sanktsioonide määramiseks.

109. Sellest tulenevalt julgustab Euroopa andmekaitseinspektor komisjoni võtma vastu seadusandliku ettepaneku, millega kohaldataks asjaomast raamistikku kõikides sektorites, vajaduse korral koos asjakohaste muudatustega. Samuti tagaks see, et kõikides sektorites kohaldataks samu standardeid ja menetlusi.

Eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis sisalduva õigusliku raamistiku vastuvõtmine komiteemenetluse kaudu

110. Muudetud eraelu puutumatust ja elektroonilist sidet käsitleva direktiiviga volitatakse komisjoni võtma komiteemenetluse kaudu tehnilisi rakendusmeetmeid, st üksikasjalikke meetmeid turvarikkumistest teatamise kohta. (47) Selline volitus on õigustatud turvarikkumiste õigusliku raamistiku järjepideva rakendamise ja kohaldamise seisukohalt. Järjepideva rakendamise eesmärk on tagada, et kogu ühenduses oleks üksikisikutele tagatud võrdselt kõrge kaitsetase ning et asjaomaseid üksusi ei koormataks erinevate teatamisnõuetega.

111. Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv võeti vastu 2009. aasta novembris. Tundub, et ei ole põhjust lükata tehniliste rakendusmeetmete võtmisega seotud töö alustamist edasi. Euroopa andmekaitseinspektor korraldas kaks seminari, mille eesmärk oli jagada ja koguda kogemusi andmetega seotud rikkumistest teatamises. Ta on hea meelega valmis jagama selle projekti tulemusi ning tegema komisjoni ja teiste sidusrühmadega koostööd andmetega seotud rikkumiste üldise õigusliku raamistiku täiustamise vallas.

112. Euroopa andmekaitseinspektor julgustab komisjoni võtma kiiresti vajalikke meetmeid. Enne tehniliste rakendusmeetmete võtmist peab komisjon korraldama laiapõhjalise konsultatsiooni, mille käigus tuleb nõu pidada Euroopa Võrgu- ja Infoturbeameti (ENISA), Euroopa andmekaitseinspektori ja artikli 29 alusel asutatud töörühmaga. Peale selle tuleb konsultatsiooni kaasata teised asjakohased sidusrühmad, eelkõige selleks, et teavitada parimatest kättesaadavatest tehnilistest ja majanduslikest rakendamisvahenditest.

IX. KOKKUVÕTE

113. Põhiprobleemiks info- ja kommunikatsioonitehnoloogia arendamises ja edukas rakendamises peetakse usaldust, või pigem selle puudumist. Kui inimesed ei usalda IKTd, kukuvad need tehnoloogiad tõenäoliselt läbi. Usaldus IKT vastu sõltub mitmest eri tegurist. Nendest kõige tähtsam on tagada, et sellised tehnoloogiad ei kahjustaks üksikisikute põhiõigusi eraelu puutumatusele ja isikuandmete kaitsele.

114. Selleks et tugevdada veelgi andmekaitse ja eraelu puutumatuse õiguslikku raamistikku, mille põhimõtted kehtivad täielikult ka infoühiskonnas, soovitab Euroopa andmekaitseinspektor rakendada õigusaktide ja poliitikakujundamise eri tasanditel eraelu kavandatud puutumatuse põhimõtet.

115. Ta soovitab komisjonile nelja meedet: a) teha ettepanek lisada andmekaitse õiguslikku raamistikku eraelu kavandatud puutumatust käsitlev üldsäte. See säte peaks olema tehnoloogia suhtes neutraalne ja selle järgimine peaks olema eri etappides kohustuslik; b) täpsustada asjaomast üldsätet konkreetsetes sätetes, kui eri sektorite kohta pakutakse välja konkreetsed õigusaktid. Sellised konkreetsed sätted võib juba praegu lisada õigusaktidesse andmekaitsedirektiivi artikli 17 (ja muude kehtivate õigusaktide) alusel; c) lisada eraelu kavandatud puutumatus juhtpõhimõttena Euroopa digitaalsesse tegevuskavva; d) lisada eraelu kavandatud puutumatus põhimõttena muudesse ELi algatustesse (peamiselt sellistesse, mis ei ole seadusandlikud).

116. Kolmes kindlaksmääratud IKT valdkonnas soovitab Euroopa andmekaitseinspektor komisjonil hinnata vajadust esitada ettepanekud eraelu kavandatud puutumatuse konkreetse rakendamise kohta: a) raadiosagedustuvastusega seoses tuleks välja pakkuda seadusandlikud meetmed, millega reguleeritaks raadiosagedustuvastuse kasutamise põhiprobleeme juhul, kui kehtiva õigusliku raamistiku rakendamine iseregulatsiooni kaudu osutub ebatõhusaks. Eelkõige tuleb ette näha osalemispõhimõtte rakendamine müügihetkel, mis tähendab, et kõik tarbetoodetele kinnitatud raadiosagedustuvastuse märgised deaktiveeritakse müügihetkel vaikimisi; b) suhtlusvõrkudega seoses tuleks koostada õigusaktid, mis sisaldaksid vähemalt üldkohustust rakendada kohustuslikke eraelu puutumatust tagavaid vaikeseadeid, millele lisanduksid täpsemad nõuded, näiteks kasutajaprofiilile juurdepääsu võimaldamine üksnes kasutaja enda valitud kontaktidele ning tagamine, et piiratud juurdepääsuga profiilid ei oleks leitavad sisemiste/väliste otsingumootorite abil; c) suunatud reklaamiga seoses tuleks kaaluda õigusakte, mis hõlmaks nõuet, et brauseriseadetega keelataks vaikimisi kolmandate isikute küpsised ja nõutaks kasutajalt brauseri esmakordsel installimisel või uuendamisel privaatsusviisardi läbimist.

117. Lõpetuseks soovitab Euroopa andmekaitseinspektor komisjonil: a) kaaluda kehtiva andmekaitsedirektiivi raames usaldusväärsuse põhimõtte rakendamist ning b) töötada välja eeskirjade ja menetluste raamistik eraelu puutumatust ja elektroonilist sidet käsitleva direktiiviga ette nähtud turvarikkumisest teatamist käsitlevate sätete rakendamiseks ja nende üldiseks laiendamiseks kõikidele vastutavatele andmetöötlejatele.

Brüssel, 18. märts 2010 Peter HUSTINX Euroopa andmekaitseinspektor

(1) EÜT L 281, 23.11.1995, lk 31.

(2) EÜT L 201, 31.7.2002, lk 37.

(3) EÜT L 8, 12.1.2001, lk 1.

(4) Vastused küsimustele, mille Euroopa Parlament esitas volinik Neelie Kroesile voliniku nimetamisele eelnenud Euroopa Parlamendi istungite käigus.

(5) Vastused küsimustele, mille Euroopa Parlament esitas volinik Neelie Kroesile voliniku nimetamisele eelnenud Euroopa Parlamendi istungite käigus; volinik Viviane Redingi kõne „Euroopa digitaalne tegevuskava uuele digitaalsele tarbijale”, ette kantud Euroopa Tarbijaliitude Ameti (BEUC) mitme sidusrühma foorumil teemal „Tarbija eraelu puutumatus ja veebiturundus: turusuundumused ja poliitilised väljavaated”, Brüssel, 12. november 2009.

(6) Vt näiteks nõuandva kogu RISEPTIS (Research and Innovation on Security, Privacy and Trustworthiness in the Information Society) aruanne „Trust in the Information Society” („Usaldus infoühiskonnas”). Kättesaadav aadressil http://www.think-trust.eu/general/news-events/riseptis-report.html Vt lisaks: Horrigan, J. B., Broadband Adoption and Use in America, FCC Omnibus Broadband Initiative, OBI töödokumentide sari, nr 1.

(7) Artikli 29 alusel asutatud töörühma arvamus 168 eraelu puutumatuse tuleviku kohta, ühispanus Euroopa Komisjoni arutellu isikuandmete kaitsmise põhiõiguse õigusliku raamistiku üle, vastu võetud 1. detsembril 2009.

(8) 25. juuli 2007. aasta arvamus järgmise dokumendi kohta: komisjoni teatis Euroopa Parlamendile ja nõukogule andmekaitsedirektiivi parema rakendamise tööprogrammi järelmeetmete kohta, ELT C 255, 27.10.2007, lk 1; 20. detsembri 2007. aasta arvamus, mis käsitleb komisjoni teatist Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele „Raadiosagedustuvastus (RFID) Euroopas: sammud poliitilise raamistiku suunas”, KOM(2007) 96, ELT C 101, 23.4.2008, lk 1; 10. aprilli 2008. aasta arvamus järgmise dokumendi kohta: Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, millega muudetakse muu hulgas direktiivi 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv), ELT C 181, 18.7.2008, lk 1 ning 9. jaanuari 2009. aasta arvamus direktiivi 2002/58/EÜ (milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris) läbivaatamise kohta.

(9) Euroopa digitaalse konkurentsivõime aruanne: i2010 strateegia peamised saavutused aastatel 2005–2009 (SEK(2009) 1060).

(10) Nõukogu järeldused „i2010 strateegia järgne strateegia – avatud, keskkonnasõbraliku ja konkurentsivõimelise teadmusühiskonna suunas” (17107/09), vastu võetud 18.12.2009.

(11) Aruanne Euroopa uue digitaalse tegevuskava kindlaksmääramise kohta: algatusest i2010 domeenini digital.eu (2009/2225 (INI)), vastu võetud 18.3.2010.

(12) Näiteks ei tohi raviteenuse osutamise eesmärgil kogutud terviseandmeid müüa ega kasutada harukliinikute asukohtade valimiseks, päevakirurgia keskuste loomiseks ega muul viisil finantsmõju avaldava tulevase tegevuse kavandamiseks, mille jaoks on vaja teha põhjalik uurimine.

(13) Vt Euroopa andmekaitseinspektori arvamus komisjoni teatise „Tegevuskava intelligentsete transpordisüsteemide kasutuselevõtuks Euroopas” ja sellega kaasneva Euroopa Parlamendi ja nõukogu direktiivi ettepaneku kohta, millega kehtestatakse raamistik intelligentsete transpordisüsteemide kasutuselevõtmiseks maanteetranspordis ja liideste jaoks teiste transpordiliikidega, kättesaadav aadressil: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2009/09-07-22_Intelligent_Transport_Systems_EN.pdf

(14) Komisjoni 2. mai 2007. aasta teatis Euroopa Parlamendile ja nõukogule andmekaitse edendamise kohta eraelu puutumatust soodustavate tehnoloogiate kaudu, KOM(2007) 228(lõplik).

(15) Uuring eraelu puutumatust soodustavate tehnoloogiate majandusliku kasu kohta, JLS/2008/D4/036.

(16) Euroopa Parlamendi ja nõukogu direktiiv 95/46/EÜ (edaspidi „andmekaitsedirektiiv”).

(17) Euroopa Parlamendi ja nõukogu direktiiv 2002/58/EÜ (edaspidi „eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv”).

(18) 4. novembril 1950 Roomas vastu võetud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artiklis 8 sätestatud põhielementide ja tingimuste tõlgendamine, kuna need kehtivad eri valdkondade kohta.

(19) Lissaboni lepingus kinnitatakse sellist kaitset, tunnustades eraelu puutumatuse austamist ja isikuandmete kaitsmist ELi inimõiguste harta artiklites 7 ja 8 sätestatud iseseisvate põhiõigustena. Lissaboni lepingu jõustamisega muutus ELi põhiõiguste harta siduvaks.

(20) Artiklis 17 on sätestatud järgmine: „Liikmesriigid näevad ette, et vastutav töötleja peab rakendama vajalikke tehnilisi ja organisatsioonilisi meetmeid kaitsmaks isikuandmeid juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, ebaseadusliku avalikustamise või juurdepääsu eest, eelkõige juhul, kui töötlemine hõlmab andmete edastamist võrgu kaudu, ning igasuguse muu võimaliku ebaseadusliku töötlemise eest.” Seda täiendab põhjendus 46: „andmesubjektide õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab vajalike tehniliste ja korralduslike meetmete võtmist nii töötlemissüsteemi kavandamise kui ka töötlemise ajal, eelkõige selleks, et tagada turvalisus ja seega välistada võimalik omavoliline töötlemine.”

(21) Komisjon on teatanud, et kavatseb direktiivi 1999/5/EÜ 2010. aasta lõpu poole ajakohastada.

(22) Vt Ühendkuningriigi teabevoliniku ameti aruanne „Privacy by Design” („Eraelu kavandatud puutumatus”), avaldatud novembris 2008.

(23) Vt artikli 29 alusel asutatud töörühma arvamus 168 eraelu puutumatuse tuleviku kohta, ühispanus Euroopa Komisjoni arutellu isikuandmete kaitsmise põhiõiguse õigusliku raamistiku üle, vastu võetud 1. detsembril 2009.

(24) „Eraelu kavandatud puutumatus on põhimõte, mis teenib nii kodanike kui ka ettevõtjate huve. Eraelu kavandatud puutumatus parandab üksikisikute kaitset ning suurendab samuti usaldust uute teenuste ja toodete vastu ning usku neisse, mõjutades omakorda positiivselt majandust. Selle kohta on teatavaid positiivseid näiteid, kuid palju on vaja veel teha.”2010. aasta 28. jaanuaril andmekaitse päeval peetud kõne, Euroopa Parlament, Brüssel.

(25) „Stockholmi programm – avatud ja turvaline Euroopa kodanike teenistuses ja nende kaitsel”, heaks kiidetud Euroopa Ülemkogus 2009. aasta detsembris.

(26) Euroopa andmekaitseinspektori arvamus, mis käsitleb komisjoni teatist nõukogule ja Euroopa Parlamendile – Vabadusel, turvalisusel ja õigusel rajanev ala kodanike teenistuses, ELT C 276, 17.11.2009, lk 8, punkt 60.

(27) Artikli 29 alusel asutatud töörühma arvamus 168 eraelu puutumatuse tuleviku kohta, ühispanus Euroopa Komisjoni arutellu isikuandmete kaitsmise põhiõiguse õigusliku raamistiku üle, vastu võetud 1. detsembril 2009.

(28) Raadiosagedustuvastuse (Radio Frequency Identification, RFID) tehnoloogia või infrastruktuuri põhikomponendid on märgis (st mikrokiip), lugeja ning märgiste ja lugejatega vahevara kaudu ühendatud rakendus ning toodetud andmete töötlus. Märgis koosneb elektronlülitusest, milles säilitatakse andmed, ja antennist, mis edastab andmeid raadiolainete teel. Lugejas on antenn ja demodulaator, mis muundab raadiolingi kaudu sissetuleva analooginfo digitaalandmeteks. Seejärel saab teabe saata võrkude kaudu andmebaasidesse ja serveritesse, et seda arvutis edasi töödelda.

(29) Eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis osutatakse raadiosagedustuvastuse direktiivile artiklis 3: „Käesolevat direktiivi kohaldatakse isikuandmete töötlemisele, mis toimub seoses üldkasutatavate elektrooniliste sideteenuste osutamisega ühenduse üldkasutatavates sidevõrkudes, sealhulgas andmete kogumist ja tuvastusseadmeid toetavates üldkasutatavates sidevõrkudes.” Seda täiendab põhjendus 56: „Tehnoloogia areng võimaldab luua uusi rakendusi, mis põhinevad andmekogumis- ja tuvastusseadmetel, näiteks raadiosagedusi kasutavatel kontaktivabadel seadmetel. Raadiosagedust kasutavad näiteks raadiosageduse tuvastamise seadmed (RFID) üheselt tuvastatavatelt märgistelt andmete hõivamiseks, mis kantakse seejärel üle olemasolevate sidevõrkude kaudu. Sellise tehnoloogia laiaulatuslik kasutamine võib tuua olulist majanduslikku ja sotsiaalset kasu, ning kui kodanikud selle kasutamise heaks kiidavad, anda võimsa panuse siseturu arengusse. Selle eesmärgi saavutamiseks tuleb tagada kõik üksikisikute põhiõigused, sealhulgas eraelu puutumatus ja andmekaitse. Kui sellised seadmed ühendatakse üldkasutatavate elektrooniliste sidevõrkudega või kui need kasutavad peamise infrastruktuurina elektroonilisi sideteenuseid, tuleks kohaldada direktiivi 2002/58/EÜ (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) asjakohaseid sätteid, sealhulgas turvalisust, liiklust ja asukohaandmeid ning konfidentsiaalsust käsitlevaid sätteid.”

(30) Näiteks andmekaitsedirektiivi artiklis 17 kehtestatakse kohustus rakendada vajalikke tehnilisi ja organisatsioonilisi meetmeid kaitsmaks isikuandmeid juhusliku või ebaseadusliku hävitamise või omavolilise avalikustamise eest.

(31) Komisjoni teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele – Raadiosagedustuvastus (RFID) Euroopas: sammud poliitilise raamistiku suunas, KOM(2007) 96 (lõplik).

(32) Komisjoni soovitus, 12. mai 2009, eraelu puutumatuse ja andmekaitse põhimõtete kohaldamise kohta raadiosagedustuvastust kasutavates rakendustes (K(2009) 3200 (lõplik)).

(33) Komisjoni 18. juuni 2009. aasta teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele – Asjade Internet: Euroopa tegevuskava, KOM(2009) 278 (lõplik).

(34) Vt artikli 29 alusel asutatud töörühma arvamus 163, 5/2009 Interneti suhtlusvõrkude kohta, vastu võetud 12. juunil 2009.

(35) Vastutav töötleja on füüsiline või juriidiline isik, riigiasutus, esindused või mõni muu organ, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui töötlemise eesmärgid ja vahendid on kindlaks määratud siseriiklike või ühenduse õigusnormidega, võib vastutava töötleja või tema ametissemääramise sätestada siseriiklikus või ühenduse õiguses.

(36) Teave selle programmi kohta on kättesaadav aadressil: http://ec.europa.eu/information_society/activities/sip/index_en.htm

(37) Põhimõtted on kättesaadavad aadressil: http://ec.europa.eu/information_society/activities/social_networking/docs/sn_principles.pdf

(38) Aruanne ELi turvalisemate suhtlusvõrkude põhimõtete rakendamise hindamise kohta, kättesaadaval aadressil: http://ec.europa.eu/information_society/activities/social_networking/docs/final_report/first_part.pdf

(39) Euroopa Komisjoni liige Viviane Reding, esindades infoühiskonna ja meedia peadirektoraati, „Mõtle, enne kui postitad! Kuidas muuta suhtlusvõrgusaidid laste ja noorukite jaoks turvalisemaks?” Turvalisema interneti päev, Strasbourg, 9. veebruar 2010.

(40) Euroopa Majandus- ja Sotsiaalkomitee arvamus suhtlusvõrgusaitide mõju kohta kodanikele/tarbijatele, 4. november 2009.

(41) Selgitatud ka käesoleva dokumendi punktis 33.

(42) Jälitusküpsised on väikesed kordumatut tunnuskoodi sisaldavad tekstifailid. Tavaliselt salvestavad reklaamivõrgustikud (samuti veebisaitide operaatorid ja toimetused) küpsised külastaja kõvakettale, eelkõige brauserisse, kui kasutajad külastavad esimest korda veebisaiti, kus pakutakse asjaomasesse võrgustikku kuuluvaid reklaame. Küpsis võimaldab reklaamipakkujal tunda ära varasema külastaja, kui too naaseb sellele veebisaidile või külastab mõnda muud reklaamipakkuja partnerveebisaiti. Sellised korduvad külastused võimaldavad luua reklaamipakkujal külastaja profiili.

(43) Eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi artikli 5 lõiget 3 muudeti hiljuti, et tugevdada kaitset seoses kasutajate teabevahetuse „pealtkuulamisega” näiteks nuhkvara ja küpsiste kaudu, mis salvestatakse kasutaja arvutisse või muusse seadmesse. Uue direktiivi järgi tuleks kasutajatele anda paremat teavet ja võimaldada neil hõlpsamalt kontrollida, kas nad soovivad salvestada oma lõppseadmesse küpsiseid.

(44) Samas on Euroopa andmekaitseinspektor teadlik sellest, et see ei lahendaks probleemi täielikult, kuna on olemas küpsiseid, mida ei saa brauseri kaudu kontrollida. See kehtib näiteks nn välkküpsiste puhul. Seetõttu peaksid brauserite arendajad integreerima brauserite uute versioonide küpsiste kontrollimise vaikeseadetesse välkküpsiste kontrollimise seaded.

(45) Artikli 29 alusel asutatud töörühma arvamus 168 eraelu puutumatuse tuleviku kohta, ühispanus Euroopa Komisjoni arutellu isikuandmete kaitsmise põhiõiguse õigusliku raamistiku üle, vastu võetud 1. detsembril 2009.

(46) OECD 1980. aasta suunised isikuandmete kaitse ja piiriülese edastamise kohta; Madridi ülemaailmne eraelu puutumatust käsitlev deklaratsioon ülemaailmsete eraelu puutumatuse standardite kohta, 3. november 2009.

(47) Komiteemenetlus hõlmab tehniliste rakendusmeetmete võtmist komitees, kuhu kuuluvad liikmesriikide esindajad ja mille eesistuja on komisjon. Eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi puhul kohaldatakse kontrolliga regulatiivmenetlust, mis tähendab, et Euroopa Parlament ning nõukogu võivad esitada komisjoni väljapakutud meetmetega seoses vastuväiteid. Vt ka: http://europa.eu/scadplus/glossary/comitology_en.htm