ET Euroopa Liidu Teataja C 164/2

Euroopa Andmekaitseinspektori arvamuse kokkuvõte ettepaneku kohta võtta vastu määrus üksikisikute kaitse kohta isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning selliste andmete vaba liikumise kohta ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ

(Arvamuse täistekst (inglise, prantsuse ja saksa keeles) on Euroopa Andmekaitseinspektori veebilehel www.edps.europa.eu)

(2017/C 164/02)

Euroopa Liit on vastu võtmas uue põlvkonna andmekaitsestandardeid. Isikuandmete kaitse üldmääruse ning politsei- ja õigussektori direktiivi vastuvõtmine peaaegu aasta tagasi näitas ELi seadusandja seni ambitsioonikaimat püüdlust tagada üksikisiku põhiõiguste kaitse digiajastul. Nüüd peavad ELi institutsioonid näitama head eeskuju eeskirjadega, mida nad kohaldavad endi kui andmete vastutavate ja volitatud töötlejate suhtes. Viimase 18 kuu vältel on Euroopa Andmekaitseinspektor algatanud kõrgetasemelise dialoogi ELi institutsioonidega, et valmistada neid ette uuteks ülesanneteks andmekaitse nõuetele vastavuse valdkonnas, rõhutades uut vastutuse põhimõtet andmete töötlemisel. Selles arvamuses soovib Euroopa Andmekaitseinspektor kasutada oma 12 aasta pikkust sõltumatu järelevalve, poliitikanõuannete ja selgitustöö kogemust, et anda soovitusi kavandatava määruse täiendamiseks, milles käsitletakse isikuandmete töötlemist ELi institutsioonides ja organites.

Määrust 45/2001 võib pidada suunaandjaks, sest sellest sätestatakse vastutavatele töötlejatele otseselt kohalduvad reeglid, andmesubjektide õigused ja rangelt sõltumatu järelevalveorgan. Nüüd peab EL tagama kooskõla isikuandmete kaitse üldmäärusega, kus menetluste asemel on rõhk asetatud üksikisikutega seotud vastutusele ja kaitsemeetmetele. Teatud erinevus ELi institutsioonide andmetöötluse eeskirjadest on õigustatud, sest ka isikuandmete kaitse üldmäärusesse on lisatud avalikule sektorile kehtivad erandid, kuid see erinevus peab olema minimaalne.

Üksikisiku vaatenurgast on oluline, et ELi andmekaitseraamistikule iseloomulikke ühiseid põhimõtteid kohaldataks järjepidevalt sõltumata sellest, kes on vastutav töötleja. Samuti on tähtis, et kogu raamistikku kohaldataks samaaegselt, st 2018. aasta maist, mil isikuandmete kaitse üldmäärus hakkab täielikult kehtima.

Vastavalt meie institutsioonide vahel kehtivale kauaaegsele korrale konsulteeris komisjon Euroopa Andmekaitseinspektoriga ettepaneku eelnõu teemal. Me leiame, et komisjon on üldjoontes saavutanud hea tasakaalu asjaosaliste erinevate huvide vahel. Käesolevas arvamuses käsitletakse mitut ettepaneku aspekti, mida saaks veel täiendada. Kavandatavat määrust tuleks täiendada eriti seoses andmesubjektide õiguste piirangutega ja ELi institutsioone puudutava sättega, mille alusel lubatakse teatud kontekstis kasutada sertifitseerimismehhanisme. Võttes arvesse meie endi ülesandeid ja volitusi sõltumatu organina, tundub, et ettepanek aitab saavutada mõistlikku tasakaalu ning kajastab sõltumatu andmekaitseasutuse tavapäraseid ülesandeid vastavalt põhiõiguste hartale, nii et me tegutseme – nagu näitas ka hiljutine Euroopa Kohtu kohtuasi – jõustaja, kaebuste lahendaja ja seadusandja nõustajana poliitikaküsimustes, mis mõjutavad andmekaitset ja eraelu puutumatust.

Me julgustame ELi seadusandjat saavutama seoses ettepanekuga kiiresti kokkulepe, et ELi institutsioonidele jääks enne uue määruse kehtima hakkamist mõistlik üleminekuperiood.

1. SISSEJUHATUS JA TAUST

1.1. Kontekst

1. 10. jaanuaril 2017 kiitis Euroopa Komisjon heaks ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning selliste andmete vaba liikumise kohta ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (1) („ettepanek“).

2. Isikuandmete kaitse põhiõigus on sätestatud Euroopa Liidu põhiõiguste harta („põhiõiguste harta“) artiklis 8 ning Euroopa Liidu toimimise lepingu artiklis 16.

3. Euroopa Andmekaitseinspektor on sõltumatu järelevalveasutus, kes vastutab selle eest, et Euroopa institutsioonid, organid ja ametid („ELi institutsioonid“) töötleksid isikuandmeid kooskõlas andmekaitsealaste õigusaktidega (2). ELi andmekaitsesüsteemi kontrolliva sõltumatu asutuse nõue on sätestatud esmastes õigusaktides, nii ELi toimimise lepingu artikli 16 lõikes 2 kui ka põhiõiguste harta artikli 8 lõikes 3. Euroopa Kohus on järjepidevalt rõhutanud, et sõltumatu asutuse kontroll on andmekaitseõiguse oluline osa, ning on sätestanud asjaomase sõltumatuse kriteeriumid (3). Järelevalveasutus peab tegutsema täiesti iseseisvalt, mis tähendab õigust teha otsuseid sõltumatult otsestest või kaudsetest välistest mõjutustest (4) ja erapoolikuse kahtluste puudumist (5).

4. Peamised õigusaktid, mis kehtivad isikuandmete töötlemisel ELi institutsioonides, on määrus (EÜ) nr 45/2001 (6) („määrus 45/2001“), mida täiendab otsus nr 1247/2002/EÜ (7).

5. Pärast uue ELi andmekaitseraamistiku (isikuandmete kaitse üldmääruse ning politsei- ja õigussektori direktiivi) üle toimunud pikaleveninud läbirääkimiste lõppemist 27. aprillil 2016 tähistab see ettepanek (koos komisjoni määruse ettepanekuga, mis käsitleb eraelu puutumatust ja elektroonilist sidet – “e-privaatsuse määrus” (8)) otsustava tähtsusega etapi algust ELi andmekaitseraamistiku valmimise protsessis. Ettepaneku eesmärk on viia määruse 45/2001 sätted kooskõlla isikuandmete kaitse üldmääruse nõuetega, et luua ELis tugevam ja ühtsem andmekaitseraamistik ning võimaldada mõlema õigusakti samaaegset kohaldamist (9). Ettepanek sisaldab ka komisjoni uue e-privaatsuse määruse ettepanekus sätestatud uusi nõudeid lõppkasutajate lõppseadmete kaitse kohta.

6. Strateegias 2015–2019 keskendus Euroopa Andmekaitseinspektor koostööle Euroopa Parlamendi, nõukogu ja komisjoniga, et tagada määruses 45/2001 sätestatud kehtivate eeskirjade kooskõlastamine isikuandmete kaitse üldmäärusega ning muudetud raamistiku jõustumine hiljemalt 2018. aasta alguses. Euroopa Andmekaitseinspektoril on hea meel, et komisjoni talitused konsulteerisid temaga mitteametlikult enne ettepaneku vastuvõtmist ning et ettepanekus on arvesse võetud mitut tema varasemates mitteametlikes arvamustes tõstatatud küsimust. Ta leiab, et lähtudes maksimaalsest vastavusest isikuandmete kaitse üldmäärusega on ettepanek enam kui rahuldav, kui just ELi avaliku sektori kitsalt tõlgendatud erisused ei tingi vastupidist, ning hindab eriti komisjoni saavutatud tasakaalu asjaosaliste erinevate huvide vahel.

7. Kuigi käesolevas arvamuses osutatakse mitmele ettepaneku aspektile, mida võiks veelgi täiendada, julgustab Euroopa Andmekaitseinspektor ELi seadusandjat saavutama ettepanekuga seoses kiiresti kokkulepe, et ELi institutsioonidele jääks enne uue määruse täielikku kehtima hakkamist mõistlik üleminekuperiood.

1.2. Ettepaneku eesmärgid ja ajastus

8. Varem soovitas Euroopa Andmekaitseinspektor ELi institutsioonide eeskirjade lisamist (tolleaegsesse) isikuandmete kaitse üldmääruse eelnõusse (10). ELi seadusandja valis teise võimaluse, nimelt ELi institutsioonidele kehtiva eraldi õigusakti, mis on vastavuses ja kehtib samaaegselt koos isikuandmete kaitse üldmäärusega. Euroopa Andmekaitseinspektor toetab seda lähenemisviisi, sest oleks vastuvõetamatu, kui Euroopa Komisjonile ega teistele ELi institutsioonidele ei kehtiks eeskirjad, mis on samaväärsed peagi liikmesriigi tasandil jõustuvate eeskirjadega. Lisaks ei soovi Euroopa Andmekaitseinspektor teostada järelevalvet ELi institutsioonidele kehtivate eeskirjade üle, mis oleksid vähem ranged võrreldes eeskirjadega, mille täitmist kontrollivad vastavad riiklikud asutused, arvestades eriti asjaolu, et Euroopa Andmekaitseinspektorist saab tulevase Euroopa Andmekaitsenõukogu liige (11).

9. Seetõttu tuleks peagi ELi institutsioonides isikuandmete töötlemist reguleerivad eeskirjad viia kooskõlla isikuandmete kaitse üldmääruse sätetega, kui just ELi avaliku sektori kitsalt tõlgendatud erisused ei tingi vastupidist. Seda arvestades kiidab Euroopa Andmekaitseinspektor heaks ettepaneku põhjenduse 5, milles rõhutatakse maksimaalse vastavuse vajadust ja selgitatakse, et „kui käesoleva määruse sätted tuginevad samale mõistele kui [isikuandmete kaitse üldmääruse] sätted, tuleks mõlemaid sätteid tõlgendada ühetaoliselt, eelkõige kuna käesoleva määruse ülesehitust tuleks mõista võrdväärsena [isikuandmete kaitse üldmääruse] ülesehitusega“.

10. Samal ajal ei saa kooskõla isikuandmete kaitse üldmäärusega olla täielik ega automaatne. Isikuandmete kaitse üldmäärus sisaldab arvukaid klausleid, mis võimaldavad liikmesriikidel säilitada või kehtestada konkreetseid õigusakte teatud valdkondades, sh avaliku sektori asutuste jaoks (12). Juhtudel, kui isikuandmete kaitse üldmääruses sätestatakse konkreetsed eeskirjad avaliku sektori asutustele (13) või jäetakse liikmesriikidele ruumi sätete rakendamiseks, võib ettepaneku rolli võrrelda riikliku õigusaktiga, millega „rakendatakse“ isikuandmete kaitse üldmäärust, näiteks ettepaneku artiklis 9 „Isikuandmete edastamine vastuvõtjale, kes ei ole liidu institutsioon ega asutus“ või artiklis 66 „Trahvid“ (vt allpool punkt 2.8.1). Lisaks tuleb tagada, et säiliks praegu ELi institutsioonide suhtes kehtiv kõrgetasemeline kaitse. Siit ka vajadus säilitada määruse 45/2001 teatud eripärad, nagu artiklis 25 „Piirangud“ (vt allpool punkt 2.3.1) ja artiklis 44 „Andmekaitseametniku määramine“ (vt allpool punkt 2.4.5.1).

11. Peale sisulise kooskõla isikuandmete kaitse üldmäärusega on oluline, et muudetud eeskirjad hakkaksid kehtima samaaegselt koos isikuandmete kaitse üldmäärusega, st 25. mail 2018. Olemasolev andmekaitseametnike võrgustik on tõhus teabevahetuse ja koostöö kanal. Seetõttu on Euroopa Andmekaitseinspektor veendunud, et kooskõla on võimalik saavutada võrdlemisi lühikese üleminekuperioodi jooksul ehk kolme kuuga.

12. Isikuandmete kaitse üldmääruse (nagu ka käesoleva ettepaneku) aluseks oleval vastutuse põhimõttel on ulatuslikum tähendus kui kooskõla eeskirjadega, see tähendab ka kultuurilist muutust. Ülemineku hõlbustamiseks algatas Euroopa Andmekaitseinspektor „vastutuse projekti“. Selles kontekstis suhtles Euroopa Andmekaitseinspektor vahemikus 2016–2017 seitsme ELi peamise institutsiooni ja organiga, et aidata õigeaegselt ette valmistada isikuandmete kaitse üldmääruse kohaldamist.

1.3. Kohaldamisala ja seos teiste õigusaktidega

13. Mitmel varasemal juhul on Euroopa Andmekaitseinspektor kutsunud komisjoni üles tegema ettepanekut luua tugev ja laiahaardeline süsteem, mis oleks ambitsioonikas ja võimendaks andmekaitse tõhusust ja sidusust ELis, et tagada kindel keskkond edasiseks arenguks järgmistel aastatel (14). Komisjon valis teise lähenemisviisi ning tegi ettepaneku eraldi õigusakti vastuvõtmiseks, milles käsitletakse andmekaitset õiguskaitse valdkonnas (15). Järgnes mitu õigusaktide ettepanekut, millega rajati mitu „eraldiseisvat“ andmekaitsekorda (16).

14. Euroopa Andmekaitseinspektor tunnistab, et praegune, kuigi killustatud isikuandmete kaitse õigusraamistik on parim, mida täna on võimalik saavutada (17). Euroopa Andmekaitseinspektor mõistab, et praegune ettepanek kehtib jätkuvalt ELi institutsioonidele, mis jäävad praegu määruse 45/2001 kohaldamisalasse (18) (põhimõtteliselt kõik endised I ja II „samba“ (19) institutsioonid, organid ja ametid), kuid ei mõjuta sellisel kujul olemasolevaid või kavandatavaid „eraldiseisvaid“ süsteeme (20). Käesolev ettepanek mõjutab asjaomaseid süsteeme ainult juhul ja ulatuses, nagu see on selgesõnaliselt sätestatud asjakohases õigusaktis. Euroopa Andmekaitseinspektor võtab selle lähenemisviisi teadmiseks, kuid soovib, et see oleks selgemalt sõnastatud ettepaneku eessõnas ning võimalusel ka selle artiklis 2 „Kohaldamisala“. Samal ajal rõhutab Euroopa Andmekaitseinspektor, et erinevate endise I ja III „samba“ ELi institutsioonide andmetöötlust reguleeriva õigusraamistiku killustamine ja suurenev keerukus ei ole rahuldav tulemus ning ELi seadusandja peab vajadusel küsimusega keskpikas perspektiivis tegelema.

15. Määruses 45/2001 sätestatakse meetmed, mille eesmärk on eraelu puutumatuse ja side konfidentsiaalsuse kaitse juhtudel, kui ELi institutsioonid omavad kontrolli sidetaristu üle. Sel põhjusel sisaldab määrus sätteid, mis hõlmavad osaliselt direktiivi 2002/58/EÜ („e-privaatsuse direktiiv“) (21) kohaldamisala, ning määrusega kehtestatakse põhimõte, et põhiõiguste kaitse eeskirju tuleb kohaldada sidusalt ja ühtlustatult kogu ELis, viidates asjakohastele õigusaktidele, nagu eraelu puutumatuse ja elektroonilise side direktiivile (22). Et ELi institutsioonide tegevusega seotud eraelu puutumatuse ja side konfidentsiaalsuse tase jääks muutumatuks, tuleb säilitada ka sidusa ja ühtlustatud kohaldamise põhimõte. Seetõttu soovib Euroopa Andmekaitseinspektor ettepanekuga tagada, et isikuandmete kaitse üldmääruse ja tulevase e-privaatsuse määruse asjaomased eeskirjad kehtiksid ELi institutsioonidele mutatis mutandis. See peaks hõlmama konfidentsiaalsuse ja eraelu puutumatuse säilitamist seoses ELi institutsioonide kontrollitavate sideteenuste ning ka teiste tulevase e-privaatsuse määruse põhimõtetega, nagu lõppseadmete kaitse, ning muude eeskirjadega, nt jälgimine ja rämpspost.

16. Kuigi ELi andmekaitseõigus kehtib ka Euroopa Majanduspiirkonnas ning osalevad EFTA riigid peavad isikuandmete kaitse üldmääruse kohaselt moodustama sõltumatud järelevalveametid, ei kehti EFTA institutsioonidele mingisuguseid konkreetseid andmekaitse-eeskirju ning puudub järelevalve, ehkki asjaomased asutused vahetavad ELi institutsioonidega isikuandmeid. Euroopa Andmekaitseinspektor arvab, et käesolev ettepanek annab võimaluse selle küsimuse uurimiseks.

3. JÄRELDUSED

90. Üldiselt leiab Euroopa Andmekaitseinspektor, et ettepanek aitab viia ELi institutsioonidele kohaldatavad eeskirjad edukalt kooskõlla isikuandmete kaitse üldmäärusega, arvestades samal ajal ELi avaliku sektori erisusi. Üldjoontes säilitab ettepanek ELi institutsioonides toimuval andmete töötlemisel üksikisikute kõrgetasemelise kaitse. Euroopa Andmekaitseinspektor hindab eriti komisjoni saavutatud tasakaalu asjaosaliste erinevate huvide vahel.

91. Euroopa Andmekaitseinspektori arvates tuleb ettepanekut veelgi täiendada, eriti seoses artikli 25 kohaste piirangute tingimustega. Et tagada kooskõla eespool osutatud õigusnõuete kvaliteediga, tuleb ettepaneku artikli 25 lõiget 1 muuta viisil, et ainult aluslepingute alusel vastuvõetud õigusaktid tohivad piirata põhiõigusi, kohaldades seega ELi institutsioonidele samasuguseid standardeid nagu liikmesriikidele isikuandmete kaitse üldmääruse alusel. Arvestades artiklis 34 „Elektroonilise side konfidentsiaalsus“ osutatud piirangute ulatust, kutsub Euroopa Andmekaitseinspektor ELi seadusandjat üles tagama, et side konfidentsiaalsuse põhiõiguse võimalikud piirangud ELi institutsioonide endi tegevuses järgiksid samu standardeid, mis on sätestatud liidu õiguses, kooskõlas Euroopa Kohtu vastavate tõlgendustega.

92. Euroopa Andmekaitseinspektor kiidab heaks asjaolu, et ettepanek sisaldab eraldi artiklit, milles käsitletakse Euroopa Andmekaitseinspektori rolli ELi institutsioonide nõustajana (ettepaneku artikkel 42). Samas on ta mures, et sõnastus „[…] pärast […] ettepanekute vastuvõtmist“ (vastupidiselt määruse 45/2001 artikli 28 lõike 2 sõnastusele „võttes vastu ettepaneku koostada õigusakt“) võib kahtluse alla seada Euroopa Komisjoni pikaajalise mitteametliku konsulteerimise Euroopa Andmekaitseinspektoriga ettepanekute projektide teemal, mis toimub enamasti talitustevahelise konsulteerimise etapis. Arvestades mitteametliku konsulteerimise olulisust, sooviks Euroopa Andmekaitseinspektor näha põhjendust, milles komisjon rõhutab oma soovi jätkata seda pikaajalist tava. Samuti soovib ta, et ettepanekus säiliks määruse 45/2001 artikli 28 lõike 2 sõnastus („võttes vastu ettepaneku koostada õigusakt“), mis jätab tema arvates laiema tõlgendusruumi. Ta leiab, et selliselt sõnastatud artikkel 42 selgitab piisavalt Euroopa Andmekaitseinspektori ja Euroopa Andmekaitsenõukogu asjaomaseid ülesandeid, et vältida tulevikus tarbetut kordamist.

93. Euroopa Andmekaitseinspektor on arvamusel, et andmekaitseametniku funktsiooni väljast tellimine ei ole avalikku võimu teostavatele ELi institutsioonidele sobiv. Seetõttu tuleks artikli 44 lõikes 4 esitatud teine variant („või täita ülesandeid teenuslepingu alusel“) välja jätta.

94. Euroopa Andmekaitseinspektor kiidab heaks ettepaneku artikli 66, mis annaks Euroopa Andmekaitseinspektorile õiguse määrata haldustrahve. Ta leiab, et ELi järelevalveameti ilmajätmine õigusest määrata haldustrahve, kui see on asjakohane, oleks ELi institutsioonide eeliskohtlemine võrreldes paljude liikmesriikide avaliku sektori asutustega.

95. Euroopa Andmekaitseinspektor arvab, et sertifitseerimismehhanismid võivad olla ELI institutsioonidele väga kasulikud vahendid ning neid juba kasutatakse teatud kontekstis, näiteks üldiselt heakskiidetud standarditele vastavuse tõendamisel. Seetõttu tuleb sertifitseerimise kasutamise viide (kuid mitte käitumisjuhend) lisada artiklisse 26 „Vastutava töötleja vastutus“, artiklisse 27 „Lõimitud andmekaitse ja vaikimisi andmekaitse“ ning artiklisse 33 „Töötlemise turvalisus“.

96. Kuigi käesolevas arvamuses osutatakse mitmele ettepaneku aspektile, mida saaks veelgi täiendada, julgustab Euroopa Andmekaitseinspektor ELi seadusandjat saavutama ettepanekuga seoses kiiresti kokkulepe, et ELi institutsioonidele jääks mõistlik üleminekuperiood, enne kui uus määrus 2018. aasta mais samaaegselt koos isikuandmete kaitse üldmäärusega täielikult jõustub.

Brüssel, 15. märts 2017 Giovanni BUTTARELLI Euroopa andmekaitseinspektor

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135, 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach (First reading) on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.