Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) /* COM/2012/011 final - 2012/0011 (COD) */





SELETUSKIRI 1. ETTEPANEKU TAUST Selles seletuskirjas on täpsemalt selgitatud ELis isikuandmete kaitseks kavandatud uut õigusraamistikku, mis on sätestatud teatises COM(2012) xxx (final)[1]. Kavandatud uus õigusraamistik koosneb järgmisest kahest seadusandlikust ettepanekust: – ettepanek võtta vastu Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) ning – ettepanek võtta vastu Euroopa Parlamendi ja nõukogu direktiiv üksikisikute kaitse kohta seoses pädevates asutustes isikuandmete töötlemisega kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumise kohta[2]. See seletuskiri käsitleb isikuandmete kaitse üldmääruse seadusandlikku ettepanekut. Isikuandmete kaitset käsitlev ELi n-ö tuumikõigusakt, direktiiv 95/46/EÜ[3] võeti 1995. aastal vastu kahel eesmärgil: et kaitsta põhiõigust isikuandmete kaitsele ja tagada isikuandmete vaba liikumine liikmesriikide vahel. Seda täiendati raamotsusega 2008/977/JSK, millest sai Euroopa Liidu tasandil üldine õigusakt isikuandmete kaitseks kriminaalasjades tehtava politsei- ja õigusalase koostöö valdkonnas[4]. Tehnoloogia kiire areng on põhjustanud uued probleemid isikuandmete kaitse valdkonnas. Jagatavate ja kogutavate andmete maht on oluliselt suurenenud. Tehnoloogia võimaldab nii eraettevõtetel kui ka riigiasutustel kasutada isikuandmeid enneolematult laias ulatuses oma tegevuse elluviimiseks. Üksikisikud muudavad isiklikku teavet avalikult ja üle maailma üha enam kättesaadavamaks. Tehnoloogia on muutnud nii majandust kui ka ühiskondlikku elu. Usalduse loomine internetikeskkonnas on majandusarengu alus. Usalduse puudumine tekitab tarbijates kõhklusi interneti teel ostude sooritamisel ja uute teenuste kasutuselevõtmisel. See võib põhjustada uute tehnoloogiate uuenduslike kasutusviiside väljatöötamise aeglustumist. Isikuandmete kaitse on seetõttu digitaalarengu tegevuskavas[5] ja üldisemalt strateegias „Euroopa 2020”[6] keskse tähtsusega. Lissaboni lepinguga kasutusele võetud Euroopa Liidu toimimise lepingu artikli 16 lõikega 1 sätestatakse põhimõte, et igaühel on õigus tema kohta käivate isikuandmete kaitsele. Euroopa Liidu toimimise lepingu artikli 16 lõike 2 näol luuakse Lissaboni lepinguga spetsiaalne õiguslik alus isikuandmete kaitse eeskirjade vastuvõtmiseks. Euroopa Liidu põhiõiguste harta artiklis 8 on isikuandmete kaitse sätestatud ühe põhiõigusena. Euroopa Ülemkogu palus komisjonil hinnata isikuandmete kaitset käsitlevate ELi õigusaktide toimimist ning esitada vajaduse korral täiendavaid seadusandlikke ja muid algatusi[7]. Euroopa Parlament avaldas oma resolutsioonis Stockholmi programmi kohta[8] heameelt ELi tervikliku isikuandmete kaitse süsteemi üle ning kutsus muu hulgas vaatama läbi raamotsust. Komisjon rõhutas oma Stockholmi programmi rakendamise tegevuskavas[9] vajadust tagada, et ELi kõigis poliitikavaldkondades kaitstakse alati põhiõigust isikuandmete kaitsele. Teatises „Terviklik lähenemisviis isikuandmete kaitsele Euroopa Liidus”[10] märkis komisjon kokkuvõtvalt, et EL vajab ulatuslikku ja terviklikku lähenemisviisi, millega oleks tagatud isikuandmete kaitsega seotud põhiõiguse austamine. Praegune raamistik on jätkuvalt korrakohane eesmärkide ja põhimõtete seisukohast, kuid see ei ole takistanud liidus isikuandmete kaitse rakendamisviisi killustumist, õiguslikku ebakindlust ning üldsuse levinud arusaama, et eelkõige internetis tegutsemisega on seotud olulised ohud[11]. Seetõttu on aeg luua ELis tugevam ja sidusam isikuandmete kaitse raamistik, mida toetab tugev jõustamine, mis võimaldab digitaalmajandusel areneda kõikjal siseturul, annab isikutele kontrolli oma andmete üle ning tagab õigusliku ja praktilise kindluse ettevõtjatele ja riigiasutustele. 2. HUVITATUD ISIKUTEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED Käesolev algatus on kõigi peamiste sidusrühmadega isikuandmete kaitse praeguse õigusraamistiku läbivaatamise teemal peetud laialdase konsulteerimise tulemus. Konsulteerimine kestis üle kahe aasta ning hõlmas 2009. aasta mais toimunud kõrgetasemelist konverentsi[12] ja kahte järgmist avalikkusega konsulteerimise etappi: – 9. juuli – 31. detsember 2009: arutelu isikuandmete kaitset kui põhiõigust käsitleva ELi õigusraamistiku teemal. Komisjonile laekus 168 vastust: 127 üksikisikutelt, äriorganisatsioonidelt ja -ühingutelt ning 12 riigiasutustelt[13]; – 4. november 2010 – 15. jaanuar 2011: komisjoni terviklikku lähenemisviisi isikuandmete kaitsele Euroopa Liidus käsitlev arutelu. Komisjonile laekus 305 vastust: 54 kodanikelt, 31 riigiasutustelt ja 220 eraõiguslikelt organisatsioonidelt, eelkõige äriühingutelt ja valitsusvälistelt organisatsioonidelt[14]. Toimus ka sihipärane konsulteerimine põhiliste sidusrühmadega; liikmesriikide ametiasutustega ning erasektori sidusrühmadega ja eraelu puutumatuse, isikuandmete kaitse ja tarbijaorganisatsioonidega korraldati eriüritused 2010. aasta juunis ja juulis[15]. 2010. aasta novembris korraldas Euroopa Komisjoni asepresident Reding isikuandmete kaitsereformi teemal ümarlaua. 28. jaanuaril 2011 (isikuandmete kaitse päeval) korraldasid Euroopa Komisjon ja Euroopa Nõukogu ühiselt kõrgetasemelise konverentsi ELi õigusraamistiku reformiga seotud küsimuste ning üle maailma ühiste isikuandmete kaitse standardite kehtestamise vajadusega seotud küsimuste arutamiseks[16]. Kaks isikuandmete kaitse alast konverentsi korraldati Ungari ja Poola eesistumise ajal vastavalt 16.–17. juunil 2011. aastal ja 21. septembril 2011. aastal. Eriküsimusi käsitlevaid sihtotstarbelisi õpikodasid ja seminare korraldati kogu 2011. aasta vältel. Jaanuaris korraldas Euroopa Võrgu- ja Infoturbeamet (ENISA)[17] õpikoja andmetega seotud rikkumistest teatamise kohta Euroopas[18]. Veebruaris kutsus komisjon kokku liikmesriikide ametiasutuste õpikoja, et arutada isikuandmete kaitse küsimusi kriminaalasjades tehtava politsei- ja õigusalase koostöö valdkonnas, sealhulgas raamotsuse rakendamine, ning Euroopa Liidu Põhiõiguste Amet korraldas sidusrühmadega konsultatiivse kohtumise teemal „Isikuandmete kaitse ja eraelu puutumatus”. Reformiga seotud põhiküsimuste üle arutleti 13. juulil 2011 riiklike andmekaitseasutustega. ELi kodanikega konsulteeriti 2010. aasta novembrist detsembrini toimunud Eurobaromeetri uuringu raames[19]. Korraldati ka mitu uuringut[20]. Artikli 29 töörühm[21] esitas komisjonile mitmeid seisukohti ja kasulikku teavet[22]. Euroopa andmekaitseinspektor esitas samuti põhjaliku arvamuse komisjoni 2010. aasta novembri teatises tõstatatud küsimuste kohta[23]. Euroopa Parlament kiitis oma 6. juuli 2011. aasta resolutsiooniga heaks raporti, mis toetas komisjoni lähenemisviisi isikuandmete kaitse raamistiku reformile[24]. Euroopa Liidu Nõukogu võttis 24. veebruaril 2011 vastu järeldused, millega ta üldjoontes toetab komisjoni kavatsust reformida isikuandmete kaitse raamistik ning nõustub komisjoni lähenemisviisi mitme aspektiga. Euroopa Majandus- ja Sotsiaalkomitee toetas samuti komisjoni eesmärki tagada ELi isikuandmete kaitse eeskirjade[25] järjepidevam kohaldamine kõigis liikmesriikides ning direktiivi 95/46/EÜ asjakohane läbivaatamine[26]. Tervikliku lähenemisviisiga seotud konsulteerimise ajal oli valdav enamik sidusrühmadest nõus, et üldised põhimõtted jäävad kehtima, kuid praegust raamistikku on vaja kohandada, et reageerida paremini uute (eelkõige interneti-) tehnoloogiate kiirest arengust ning suurenevast üleilmastumisest põhjustatud probleemidele, säilitades samal ajal õigusraamistiku tehnoloogilise neutraalsuse. Eelkõige majanduslikud sidusrühmad on palju kritiseerinud liidu isikuandmete kaitse praegust killustatust ning soovinud isikuandmete kaitse eeskirjade suuremat õiguskindlust ning ühtlustatust. Nad peavad isikuandmete rahvusvahelise edastamise eeskirjade keerukust oluliseks takistuseks oma tegevusele, kuna neil on vaja regulaarselt edastada isikuandmeid EList maailma muudesse piirkondadesse. Komisjon viis kooskõlas parema õigusliku reguleerimise poliitikaga ellu poliitikavalikute mõju hindamise. Mõjuhinnang põhines kolmel poliitikaeesmärgil: isikuandmete kaitse siseturumõõtme laiendamine, isikuandmete kaitsega seotud õiguse tõhusam kasutamine kodanike poolt ning kõikehõlmava ja ühtse raamistiku kujundamine liidu kõigis pädevusvaldkondades, sealhulgas kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas. Hinnati kolme erineva sekkumismääraga poliitilist valikuvõimalust. Esimene valikuvõimalus koosnes minimaalsetest seadusandlikest muudatustest ning tõlgendavate teatiste ja poliitika toetamise meetmete, näiteks rahastamisprogrammide ja tehniliste vahendite kasutamisest; teine valikuvõimalus hõlmas analüüsi raames leitud iga probleemi käsitlevate seadusandlike sätete komplekti ning kolmas valikuvõimalus oli ELi tasandil isikuandmete kaitse tsentraliseerimine kõigi sektorite jaoks täpsete ja üksikasjalike eeskirjade kehtestamise ning kõnealuste sätete järelevalveks ja jõustamiseks ELi asutuse loomise teel. Talitustevahelise juhtrühma kaasabil hinnati iga poliitikavalikut komisjoni kehtestatud meetodi kohaselt, vaadeldes valiku tõhusust poliitikaeesmärkide täitmisel, majanduslikku mõju sidusrühmadele (sealhulgas ELi institutsioonide eelarvele), sotsiaalset mõju ja mõju põhiõigustele. Keskkonnamõju ei hinnatud. Kogumõju analüüsi tulemusel kujundati välja eelistatud poliitiline valikuvõimalus, mis põhineb teisel valikuvõimalusel ja hõlmab ülejäänud kahe valikuvõimaluse elemente, ning see kaasati käesolevasse ettepanekusse. Mõjuhinnangu kohaselt viib selle rakendamine muu hulgas olulise arenguni järgmistes valdkondades: vastutavate töötlejate ja kodanike õiguskindlus, halduskoormuse vähenemine, isikuandmete kaitse jõustamise järjepidevus liidus, üksikisikute võimalus oma isikuandmete kaitsega seotud õigusi ELis isikuandmete kaitse jaoks tulemuslikult kasutada ning isikuandmete kaitse järelevalve ja jõustamise tõhusus. Eelistatud poliitilise valikuvõimaluse rakendamine aitab samuti eeldatavasti kaasa lihtsustamisega ja halduskoormuse vähendamisega seotud komisjoni eesmärgi saavutamisele ning digitaalarengu tegevuskava, Stockholmi tegevuskava ja strateegia „Euroopa 2020” eesmärkide saavutamisele. 9. septembril 2011 andis mõju hindamise komitee mõjuhinnangu projekti suhtes arvamuse. Pärast seda tehti mõjuhinnangusse eelkõige järgmised muudatused: – selgitati praeguse õigusraamistiku (millises ulatuses eesmärgid täideti ja millises mitte) ning kavandatud reformi eesmärke; – probleemikäsitluse jaotisesse lisati tõendusmaterjali ja täiendavaid selgitusi/täpsustusi; – lisati proportsionaalsuse jaotis; – kõik lähtestsenaariumi ja eelistatud valiku halduskoormusega seotud arvutused ning hinnangud vaadati täies ulatuses üle ja neid muudeti ning teatiste kulude ja üldise killustatuse kulude omavahelist suhet (sealhulgas lisa 10) selgitati; – määrati täpsemalt kindlaks mõju mikro-, väike- ja keskmise suurusega ettevõtjatele (eelkõige andmekaitseametnikele) ja isikuandmete kaitse mõju hindamised. Koos ettepanekutega avaldati mõjuhinnangu aruanne ja kokkuvõte. 3. ETTEPANEKU ÕIGUSLIK KÜLG 3.1. Õiguslik alus See ettepanek põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis on Lissaboni lepinguga vastu võetud uus õiguslik alus isikuandmete kaitse eeskirjade vastuvõtmiseks. See säte võimaldab võtta vastu eeskirju üksikisikute kaitse kohta Euroopa Liidu liikmesriikide poolsel isikuandmete töötlemisel, kui viiakse ellu Euroopa Liidu õiguse reguleerimisalasse jäävat tegevust. See võimaldab samuti võtta vastu eeskirju isikuandmete, sealhulgas liikmesriikide või eraõiguslike poolte töödeldud isikuandmete vaba liikumise kohta. Määrust peetakse kõige kohasemaks õigusaktiks liidu isikuandmete kaitse raamistiku kindlaksmääramiseks. Määruse vahetu kohaldatavus kooskõlas Euroopa Liidu toimimise lepingu artikliga 288 vähendab õiguslikku killustatust ning suurendab õiguskindlust, kehtestades ühtlustatud põhieeskirjade komplekti, parandades üksikisikute põhiõiguste kaitset ning aidates kaasa siseturu toimimisele. Viide Euroopa Liidu toimimise lepingu artikli 114 lõikele 1 on vajalik üksnes direktiivi 2002/58/EÜ muutmiseks, et kõnealuse direktiiviga nähtaks ette ka juriidilisest isikust abonentide õiguslike huvide kaitse. 3.2. Subsidiaarsus ja proportsionaalsus Subsidiaarsuse põhimõtte (Euroopa Liidu lepingu artikli 5 lõige 3) kohaselt võetakse Euroopa Liidu tasandil meetmeid ainult juhul, kui liikmesriigid ei saa piisavalt kavandatud eesmärke saavutada ning neid on ulatuse või kavandatud meetmete mõju tõttu võimalik liidu tasandil paremini saavutada. Eespool kirjeldatud probleeme arvesse võttes märgitakse subsidiaarsuse analüüsis vajadust ELi tasandi meetme järele järgmistel põhjustel. – Euroopa Liidu põhiõiguste harta artiklis 8 sätestatud isikuandmete kaitse õigus nõuab kogu liidus sama tasandi isikuandmete kaitse tagamist. Ühiste ELi eeskirjade puudumise korral tekib oht, et liikmesriikides kehtestatakse erinevad kaitsetasemed ning selle tõttu on erinevate standarditega liikmesriikide vahel isikuandmete piiriülesed vood takistatud. – Isikuandmeid edastatakse kiiresti suureneval määral ning riikide sise- ja välispiire ületades. Isikuandmete kaitset käsitlevate õigusaktide jõustamise valdkonnas esineb lisaks praktilisi probleeme ning liikmesriigid ja nende pädevad asutused peavad tegema koostööd – seda saab liidu õiguse ühtlase kohaldamise tagamiseks korraldada vaid ELi tasandil. ELil on kõige paremad võimalused tagada üksikisikutele nende isikuandmete edastamisel kolmandatele riikidele tõhus, ühtlane ja sama tasandi kaitse. – Liikmesriigid üksi ei suuda praeguseid probleeme vähendada, eriti neid, mis tulenevad riigisiseste õigusaktide killustatusest. Seepärast on vaja kehtestada ühtlustatud ja sidus raamistik, mis võimaldab isikuandmete sujuvamat edastamist ELi riikide vahel ning tagada samas ELi kõigi elanike tõhus kaitse. – Probleemide olemus ja ulatus muudab kavandatud ELi õigusmeetmed tõhusamaks kui samad meetmed liikmesriikides eraldi ja nimetatud probleemide lahendamisel ei saa piirduda ühe või mitme liikmesriigi tasandi tegevusega. Proportsionaalsuse põhimõtte kohaselt peavad kõik meetmed olema sihipärased ega tohi minna kaugemale, kui on vaja püstitatud eesmärkide täitmiseks. Käesoleva ettepaneku ettevalmistamisel on nimetatud põhimõtet alates eri poliitiliste valikuvõimaluste kindlaksmääramise ja hindamise etapist kuni seadusandliku ettepaneku koostamiseni arvesse võetud. 3.3. Põhiõigustega seotud küsimuste kokkuvõte Õigus isikuandmete kaitsele on sätestatud Euroopa Liidu põhiõiguste harta artiklis 8, Euroopa Liidu toimimise lepingu artiklis 16 ning ka Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artiklis 8. Nagu on rõhutanud Euroopa Liidu Kohus,[27] ei ole õigus isikuandmete kaitsele siiski absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas[28]. Isikuandmete kaitse on tihedalt seotud õigusega era- ja perekonnaelu austamisele, mis on sätestatud harta artiklis 7. See kajastub direktiivi 95/46/EÜ artikli 1 lõikes 1, milles on ette nähtud, et liikmesriigid kaitsevad isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele. Muud potentsiaalselt mõjutatavad hartaga kaitstud põhiõigused on järgmised: sõnavabadus (harta artikkel 11); ettevõtlusvabadus (artikkel 16); õigus omandile ja eelkõige intellektuaalomandi kaitsele (artikli 17 lõige 2); igasuguse diskrimineerimise keeld muu hulgas rassi, etnilise päritolu, geneetiliste omaduste, usutunnistuse või veendumuste, poliitiliste või muude arvamuste, puuete või seksuaalse sättumuse alusel (artikkel 21); lapse õigused (artikkel 24); õigus kõrgetasemelisele tervishoiule (artikkel 35); õigus tutvuda dokumentidega (artikkel 42); õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele (artikkel 47). 3.4. Ettepaneku üksikasjalik selgitus 3.4.1. I PEATÜKK – ÜLDSÄTTED Artiklis 1 määratakse kindlaks määruse reguleerimisese ning (nagu ka direktiivi 95/46/EÜ artiklis 1) sätestatakse määruse kaks eesmärki. Artiklis 2 määratakse kindlaks määruse reguleerimisala. Artiklis 3 määratakse kindlaks määruse territoriaalne kohaldamisala. Artikkel 4 sisaldab määruses kasutatud mõistete seletusi. Osa mõisteid on võetud üle direktiivist 95/46/EÜ, osa muudetud või täiendatud lisaelementidega, osa täiesti uued („isikuandmetega seotud rikkumine”, mis põhineb eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi 2002/58/EÜ[29] (mida on muudetud direktiiviga 2009/136/EÜ)[30] artikli 2 punktil h, „geneetilised andmed”, „biomeetrilised andmed”, „terviseandmed”, „peamine tegevuskoht”, „esindaja”, „ettevõte”, „kontsern”, „siduvad ettevõtluseeskirjad” ja „laps”, mis põhineb ÜRO lapse õiguste konventsioonil,[31] ning „järelevalveamet”). Nõusoleku selgituses on lisatud kriteerium „otsene”, et vältida segadust tekitavat vastavust „ühemõttelise” nõusolekuga ning et kasutada nõusoleku ühte ja järjepidevat mõistet, millega tagatakse andmesubjekti teadlikkus nõusoleku andmise kohta ning selle kohta, millele ta nõusoleku annab. 3.4.2. II PEATÜKK – PÕHIMÕTTED Artiklis 5 sätestatakse isikuandmete töötlemise põhimõtted, mis vastavad direktiivi 95/46/EÜ artiklis 6 sätestatule. Täiendavad uued elemendid on eelkõige läbipaistvuse põhimõte, võimalikult väheste andmete kogumise põhimõtte selgitus ning vastutava töötleja tervikliku vastutuse põhimõtte kehtestamine. Artiklis 6 sätestatakse direktiivi 95/46/EÜ artikli 7 alusel seadusliku töötlemise kriteeriumid, mida selgitatakse täpsemalt huvide tasakaalu kriteeriumi ning õiguslike kohustuste ja avaliku huvi järgimise seisukohast. Artiklis 7 selgitatakse tingimusi, mille alusel on nõusolek kehtiv seadusliku töötlemise alusena. Artiklis 8 sätestatakse laste isikuandmete töötlemise seaduslikkuse täiendavad tingimused neile otse pakutavate infoühiskonna teenuste seisukohast. Artiklis 9 sätestatakse isikuandmete eri kategooriate töötlemise üldine keeld ning kõnealuse üldeeskirja erandid, tuginedes direktiivi 95/46/EÜ artiklile 8. Artiklis 10 selgitatakse, et vastutav töötleja ei ole kohustatud hankima lisateavet andmesubjekti kindlaksmääramiseks ainult käesoleva määruse mis tahes sätte järgimise eesmärgil. 3.4.3. III PEATÜKK – ANDMESUBJEKTI ÕIGUSED 3.4.3.1. Jaotis 1 – läbipaistvus ja kord Artikliga 11 kehtestatakse vastutavate töötlejate kohustus tagada läbipaistev, kergesti juurdepääsetav ja arusaadav teave. Nimetatu põhineb eelkõige Madridi resolutsioonil isikuandmete kaitse ja eraelu puutumatuse rahvusvaheliste standardite kohta[32]. Artikliga 12 nõutakse vastutavalt töötlejalt menetluste ja mehhanismide tagamist andmesubjekti õiguste kaitsmiseks, sealhulgas elektrooniliste taotluste esitamise vahendid, kohustus vastata andmesubjekti taotlusele kindlaksmääratud tähtaja piires ning põhjendada taotluse rahuldamisest keeldumist. Artikliga 13 sätestatakse, tuginedes direktiivi 95/46/EÜ artikli 12 punktile c, andmete vastuvõtjate õigused, mis laienevad kõigile andmete vastuvõtjatele, sealhulgas ühistele vastutavatele ja volitatud töötlejatele. 3.4.3.2. Jaotis 2 – teavitamine ja andmetele juurdepääs Artikliga 14 sätestatakse täpsemalt vastutava töötleja andmesubjekti teavitamise kohustused, tuginedes direktiivi 95/46/EÜ artiklitele 10 ja 11, millega sätestatakse täiendava teabe esitamine andmesubjektile, sealhulgas salvestamise aeg ja õigus kaebuste esitamiseks, mis on seotud rahvusvahelise edastamisega ning andmete päritolu allikaga. Sellega säilitatakse samuti direktiivis 95/46/EÜ kehtestatud võimalikud erandid, näiteks ei ole kõnealust kohustust, kui salvestamine või avaldamine on õigusaktides selgelt sätestatud. Seda võib kohaldada näiteks konkurentsiasutuste, maksu- ja tolliametite või sotsiaalkindluse küsimustes pädevate teenistuste menetluste raames. Artiklis 15 sätestatakse andmesubjekti õigus tutvuda oma isikuandmetega, tuginedes direktiivi 95/46/EÜ artikli 12 punktile a ning lisades uued elemendid, näiteks andmesubjektide teavitamine andmete salvestamise perioodi kohta ning õiguste kohta seoses parandamise, kustutamise ning kaebuse esitamisega. 3.4.3.3. Jaotis 3 – parandamine ja kustutamine Artiklis 16 sätestatakse andmesubjekti õigus parandada andmeid, mis põhineb direktiivi 95/46/EÜ artikli 12 punktil b. Artiklis 17 sätestatakse andmesubjekti õigus olla unustatud ja kustutada andmed. Sellega selgitatakse täiendavalt ja täpsustatakse direktiivi 95/46/EÜ artikli 12 punktis b sätestatud andmete kustutamise õigust ning sätestatakse tingimused õiguse kohta olla unustatud, sealhulgas isikuandmed avaldanud vastutava töötleja kohustus teavitada kolmandaid isikuid andmesubjekti taotlusest kustutada mis tahes lingid isikuandmetele, isikuandmete koopiad või paljundused. Lisatud on ka õigus piirata teatavatel juhtudel andmete töötlemist, vältides ebaselget terminit „andmete sulgemine”. Artikliga 18 sätestatakse andmesubjekti õigus andmete ülekandmisele, s.o andmete edastamisele ühest elektroonilisest töötlemissüsteemist teise, ilma et vastutav töötleja seda takistaks. Eeltingimusena ja selleks, et parandada veelgi üksikisikute võimalusi tutvuda oma isikuandmetega, sätestatakse sellega õigus saada vastutavalt töötlejalt kõnealused andmed struktureeritud viisil ja üldkasutatavas elektroonilises vormingus. 3.4.3.4. Jaotis 4 – vaidlustamisõigus ja profiilianalüüs Artikliga 19 sätestatakse andmesubjekti vaidlustamisõigus. See põhineb mõningate muudatustega direktiivi 95/46/EÜ artiklil 14, mis käsitleb muu hulgas tõendamiskohustust ja selle kohaldamist otseturunduse suhtes. Artikkel 20 käsitleb andmesubjekti õigust mitte olla profiilianalüüsil põhineva meetme subjekt. See põhineb muudatuste ja täiendavate kaitsemeetmetega direktiivi 95/46/EÜ artikli 15 lõikel 1 automatiseeritud üksikotsuste kohta ning võtab arvesse Euroopa Nõukogu soovitust profiilianalüüsi kohta[33]. 3.4.3.5. Jaotis 5 – piirangud Artiklis 21 selgitatakse liidu või liikmesriikide pädevust säilitada või kehtestada artiklis 5 sätestatud põhimõtete ning artiklites 11–20 ja artiklis 32 sätestatud andmesubjekti õigustega seotud piiranguid. Kõnealune säte põhineb direktiivi 95/46/EÜ artiklil 13 ning Euroopa Liidu põhiõiguste hartast ja Euroopa inimõiguste ja põhivabaduste kaitse konventsioonist tulenevatel nõuetel, nagu neid on tõlgendanud Euroopa Liidu Kohus ja Euroopa Inimõiguste kohus. 3.4.4. IV PEATÜKK – VASTUTAV TÖÖTLEJA JA VOLITATUD TÖÖTLEJA 3.4.4.1. Jaotis 1 – üldised kohustused Artiklis 22 võetakse arvesse vastutamise põhimõtet käsitlevat arutelu ja kirjeldatakse üksikasjalikult vastutava töötleja kohustust järgida käesolevat määrust ning tõendada kõnealust järgimist, sealhulgas võttes vastu sisepoliitika ja -mehhanismid kõnealuse vastavuse tagamiseks. Artiklis 23 sätestatakse vastutava töötleja kohustused, mis tulenevad kavandatud ja ette nähtud isikuandmete kaitse põhimõtetest. Kaasvastutavaid töötlejaid käsitlevas artiklis 24 selgitatakse kaasvastutavate töötlejate vastutusala nende sisesuhete ja andmesubjektiga seotud suhte seisukohast. Artikkel 25 kohustab teatud tingimustel neid vastutavaid töötlejaid, kes ei ole asutatud liidus, määrama juhul, kui määrust kohaldatakse nende töötlemisega seotud tegevuse suhtes, omale esindaja Euroopa Liidus. Artiklis 26 selgitatakse volitatud töötlejate ametiseisundit ja kohustusi, tuginedes osaliselt direktiivi 95/46/EÜ artikli 17 lõikele 2 ning lisades uusi elemente, sealhulgas selle kohta, et volitatud töötleja, kes töötleb andmeid vastutava töötleja juhistest suuremal määral, on kaasvastutav töötleja. Vastutava töötleja ja volitatud töötleja alluvuses toimuvat töötlemist käsitlev artikkel 27 põhineb direktiivi 95/46/EÜ artiklil 16. Artiklis 28 kehtestatakse vastutavate töötlejate ja volitatud töötlejate kohustus säilitada dokumendid oma vastutusala raames toimuva töötlemistegevuse kohta, mida kohaldatakse direktiivi 95/46/EÜ artikli 18 lõikes 1 ja artiklis 19 sätestatud järelevalveameti üldise teavitamise nõude asemel. Artiklis 29 selgitatakse vastutava töötleja ja volitatud töötleja kohustust teha koostööd järelevalveasutusega. 3.4.4.2. Jaotis 2 – andmeturve Artikliga 30 kohustatakse vastutavat töötlejat ja volitatud töötlejat rakendama kohaseid meetmeid töötlemise turvalisuse tagamiseks, tuginedes direktiivi 95/46/EÜ artikli 17 lõikele 1, laiendades kõnealust kohustust volitatud töötlejatele vastutava töötlejaga sõlmitud lepingust olenemata. Artiklitega 31 ja 32 kehtestatakse kohustus teavitada isikuandmetega seotud rikkumistest, tuginedes eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi 2002/58/EÜ artikli 4 lõikes 3 sätestatud isikuandmetega seotud rikkumistest teatamisele. 3.4.4.3. Jaotis 3 – isikuandmete kaitsele avaldatava mõju hinnang ja eelnev luba Artikliga 33 kehtestatakse vastutavatele töötlejatele ja volitatud töötlejatele kohustus teha enne ohtlikke töötlemistoiminguid isikuandmete kaitse mõju hindamine. Artikkel 34 käsitleb juhtumeid, kui järelevalveasutuselt loa saamine ja temaga konsulteerimine on enne töötlemist kohustuslik, tuginedes direktiivi 95/46/EÜ artiklis 20 sätestatud eelneva kontrolli kontseptsioonile. 3.4.4.4. Jaotis 4 – andmekaitseametnik Artikliga 35 kehtestatakse andmekaitseametniku määramise kohustus avalikule sektorile ja erasektoris suurtele ettevõtetele või nendel juhtudel, kui vastutava töötleja või volitatud töötleja põhitegevus hõlmab töötlemistegevust, mis vajab korrapärast ja süstemaatilist järelevalvet. See põhineb direktiivi 95/46/EÜ artikli 18 lõikel 2, mis sätestas liikmesriikidele võimaluse kehtestada kõnealune nõue üldise teavitamise nõude asendusmeetmena. Artiklis 36 määratakse kindlaks andmekaitseametniku ametiseisund. Artiklis 37 sätestatakse andmekaitseametniku ülesanded. 3.4.4.5. Jaotis 5 – toimimisjuhendid ja sertifitseerimine Artikkel 38 käsitleb toimimisjuhendeid, tuginedes direktiivi 95/46/EÜ artikli 27 lõikes 1 sätestatud kontseptsioonile, ja selgitab juhiste ja menetluste sisu ning sätestab komisjoni volituse otsustada toimimisjuhiste üldise kehtivuse üle. Artikliga 39 sätestatakse võimalus kehtestada sertifitseerimise mehhanismid ning isikuandmete kaitse pitserid ja märgised. 3.4.5. V PEATÜKK – ISIKUANDMETE EDASTAMINE KOLMANDATELE RIIKIDELE VÕI RAHVUSVAHELISTELE ORGANISATSIOONIDELE Artiklis 40 sätestatakse üldine põhimõte, et selles peatükis esitatud kohustuste järgimine on kohustuslik kolmandatele riikidele või rahvusvahelistele organisatsioonidele mis tahes isikuandmete edastamiste, sealhulgas andmete edasisaatmise korral. Artiklis 41 sätestatakse kriteeriumid, tingimused ja menetlused komisjoni poolt piisava kaitse otsuse tegemise kohta, mis tugineb direktiivi 95/46/EÜ artiklile 25. Komisjoni poolt kaitsetaseme piisavuse või ebapiisavuse hindamisel arvesse võetavad kriteeriumid hõlmavad otseselt õigusriigi, õiguskaitse ja sõltumatu järelevalve põhimõtteid. Artikliga kinnitatakse nüüd sõnaselgelt komisjoni võimalus hinnata kolmanda riigi territooriumi või töötleva sektori tagatud kaitsetaset. Artikliga 42 nõutakse nende kolmandatesse riikidesse edastamiste korral, mille puhul komisjon ei ole piisava kaitse otsust teinud, kohaste kaitsemeetmete, eelkõige isikuandmete kaitse standardklauslite, siduvate ettevõtluseeskirjade ja lepingutingimuste esitamist. Komisjoni isikuandmete kaitse standardklauslite kasutamise võimalus tugineb direktiivi 95/46/EÜ artikli 26 lõikele 4. Uue elemendina võib kõnealuseid isikuandmete kaitse standardklausleid nüüd samuti kehtestada järelevalveamet ning komisjon võib need üldkehtivaks kuulutada. Siduvad ettevõtluseeskirjad on nüüd õigusakti tekstis eraldi välja toodud. Lepingutingimuste variant annab vastutavale või volitatud töötlejale mingil määral paindlikkust, kuid see oleneb järelevalveametilt eelneva loa saamisest. Artiklis 43 kirjeldatakse täpsemalt siduvate ettevõtluseeskirjade alusel edastamise tingimusi, tuginedes praegustele tavadele ja järelevalveametite nõuetele. Artiklis 44 kirjeldatakse ja selgitatakse andmeedastuse erandeid, mis põhinevad direktiivi 95/46/EÜ artiklis 26 esitatud olemasolevatel sätetel. Seda kohaldatakse eelkõige nende andmeedastuste suhtes, mida nõutakse ja mis on vajalikud avaliku huvi tähtsate elementide kaitseks, näiteks konkurentsi-, maksu- või tolliametite või sotsiaalkindlustuse või kalavarude majandamise valdkonnas tegutsevate teenistuste vahel toimuva rahvusvahelise andmeedastuse korral. Lisaks sellele võib piiratud tingimustel olla andmeedastus õigustatud vastutava või volitatud töötleja õigustatud huvi alusel, kuid seda ainult pärast kõnealuse edastustegevuse asjaolude hindamist ja dokumenteerimist. Artiklis 45 sätestatakse sõnaselgelt rahvusvahelise koostöö mehhanismid isikuandmete kaitseks komisjoni ja kolmandate riikide järelevalveasutuste vahel ning seda eriti nende järelevalveasutuste korral, mis pakuvad piisavat kaitsetaset, võttes arvesse Majanduskoostöö ja Arengu Organisatsiooni (OECD) 12. juuni 2007. aasta soovitust piiriülese koostöö kohta eraelu puutumatuse kaitse õiguse jõustamisel. 3.4.6. VI PEATÜKK – SÕLTUMATUD JÄRELEVALVEASUTUSED 3.4.6.1. Jaotis 1 – sõltumatus Artikliga 46 kohustatakse liikmesriike looma järelevalveasutused, tuginedes direktiivi 95/46/EÜ artikli 28 lõikele 1, ja laiendama järelevalveasutuste ülesandeid üksteisega ja komisjoniga tehtavale koostööle. Artiklis 47 selgitatakse järelevalveasutuste sõltumatuse tingimusi, rakendades Euroopa Liidu Kohtu kohtupraktikat,[34] artikkel põhineb ka määruse (EÜ) nr 45/2001 artiklil 44[35]. Artiklis 48 sätestatakse üldtingimused järelevalveasutuse liikmetele, rakendades asjakohast kohtupraktikat,[36] artikkel põhineb ka määruse (EÜ) nr 45/2001 artikli 42 lõigetel 2–6. Artiklis 49 sätestatakse järelevalveasutuse loomise eeskirjad, mis tuleb liikmesriikides seadusega sätestada. Artiklis 50 sätestatakse järelevalveasutuse liikmete ja töötajate ametisaladus, mis põhineb direktiivi 95/46/EÜ artikli 28 lõikel 7. 3.4.6.2. Jaotis 2 – kohustused ja volitused Artiklis 51 sätestatakse järelevalveasutuste pädevus. Direktiivi 95/46/EÜ artikli 28 lõikel 6 põhinevat üldeeskirja (pädevus oma liikmesriigi territooriumil) täiendatakse uute, juhtiva ametiasutuse pädevustega, kui vastutav või volitatud töötleja on asutatud mitmes liikmesriigis, et tagada kohaldamise ühtsus (ühtne kontaktpunkt). Kohtud ei kuulu oma õiguspädevuse raames tegutsedes järelevalveasutuse tehtava kontrolli alla, kuid nende suhtes kohaldatakse siiski isikuandmete kaitse põhieeskirju. Artiklis 52 sätestatakse järelevalveasutuse ülesanded, sealhulgas kaebuste kuulamine ja uurimine ning avalikkuse teadlikkuse parandamine ohtude, eeskirjade, kaitsemeetmete ja õiguste suhtes. Artiklis 53 sätestatakse järelevalveasutuse volitused nendes osades, mis põhinevad direktiivi 95/46/EÜ artikli 28 lõikel 3 ja määruse (EÜ) nr 45/2001 artiklil 47 ning lisatakse mõni uus element, sealhulgas volitus karistada haldusrikkumisi. Artikliga 54 kohustatakse järelevalveasutusi koostama iga-aastased tegevusaruanded, tuginedes direktiivi 95/46/EÜ artikli 28 lõikele 5. 3.4.7. VII PEATÜKK – KOOSTÖÖ JA JÄRJEPIDEVUS 3.4.7.1. Jaotis 1 – koostöö Artiklis 55 kehtestatakse sõnaselged eeskirjad kohustusliku vastastikuse abistamise kohta, sealhulgas teise järelevalveasutuse taotluse mittejärgimise tagajärjed, tuginedes direktiivi 95/46/EÜ artikli 28 lõike 6 teisele lõigule. Artikliga 56 kehtestatakse ühisoperatsioonide eeskirjad, mis tuginevad nõukogu otsuse 2008/615/JSK[37] artiklile 17, sealhulgas järelevalveasutuste õigus kõnealustes tegevustes osaleda. 3.4.7.2. Jaotis 2 – järjepidevus Artiklis 57 sätestatakse järjepidevuse mehhanism, millega tagatakse mitme liikmesriigi andmesubjektidega seonduda võiva töötlemistegevuse kohaldamise ühtsus. Artiklis 58 sätestatakse menetlused ja tingimused Euroopa Andmekaitsenõukogu arvamuse taotlemiseks. Artikkel 59 käsitleb komisjoni arvamusi nende küsimuste kohta, millega järjepidevuse mehhanismi raames tegeletakse, ning järelevalveasutuse meetme eelnõu. Arvamus võib olla kas kooskõlas Euroopa Andmekaitsenõukogu arvamusega või sellest erineda. Kui küsimuse on tõstatanud Euroopa Andmekaitsenõukogu vastavalt artikli 58 lõikele 3, võib eeldada, et komisjon kasutab vajaduse korral oma kaalutlusõigust ja esitab oma arvamuse. Artikkel 60 käsitleb komisjoni otsuseid, millega nõutakse pädevalt asutuselt meetme eelnõu peatamist, kui see on käesoleva määruse kohase rakendamise tagamiseks vajalik. Artiklis 61 sätestatakse võimalus võtta kiirmenetluse puhul ajutisi meetmeid. Artiklis 62 sätestatakse nõuded järjepidevuse mehhanismi alusel vastuvõetavatele komisjoni rakendusaktidele. Artiklis 63 kehtestatakse kohustus täita järelevalveasutuse meetmeid kõigis asjaomastes liikmesriikides ning sätestatakse, et järjepidevuse mehhanismi kohaldamine on vastava meetme õigusliku kehtivuse ja täitmise eeltingimus. 3.4.7.3. Jaotis 3 – Euroopa Andmekaitsenõukogu Artikliga 64 luuakse Euroopa Andmekaitsenõukogu, mis koosneb iga liikmesriigi järelevalveasutuste juhatajatest ning Euroopa andmekaitseinspektorist. Euroopa Andmekaitsenõukogu asendab direktiivi 95/46/EÜ artikliga 29 asutatud töörühma üksikisikute kaitseks seoses isikuandmete töötlemisega. Selgitatakse, et komisjon ei ole Euroopa Andmekaitsenõukogu liige, kuid tal on õigus selle tegevuses osaleda ning olla esindatud. Artiklis 65 rõhutatakse ja selgitatakse Euroopa Andmekaitsenõukogu sõltumatust. Artiklis 66 selgitatakse Euroopa Andmekaitsenõukogu ülesandeid, tuginedes direktiivi 95/46/EÜ artikli 30 lõikele 1, ning sätestatakse täiendavad elemendid, mis kajastavad Euroopa Andmekaitsenõukogu tegevuse suuremat ulatust Euroopa Liidus ja sellest väljaspool. Kiireloomulistes olukordades reageerimiseks annab Andmekaitsenõukogu komisjonile võimaluse küsida arvamust määratud ajavahemiku jooksul. Artikliga 67 nõutakse, et Euroopa Andmekaitsenõukogu annaks oma tegevusest igal aastal aru, tuginedes direktiivi 95/46/EÜ artikli 30 lõikele 6. Artiklis 68 sätestatakse Euroopa Andmekaitsenõukogu otsuste langetamise menetlused, sealhulgas kohustus võtta vastu menetluseeskirjad, mis peaksid hõlmama ka toimimispõhimõtteid. Artikkel 69 sisaldab sätteid Euroopa Andmekaitsenõukogu eesistuja ja tema asetäitjate kohta. Artiklis 70 sätestatakse eesistuja ülesanded. Artiklis 71 sätestatakse, et Euroopa andmekaitseinspektor tagab Euroopa Andmekaitsenõukogu sekretariaadi töö, ning määratakse kindlaks sekretariaadi ülesanded. Artiklis 72 kehtestatakse konfidentsiaalsuseeskirjad. 3.4.8. VIII PEATÜKK – ÕIGUSKAITSEVAHENDID, VASTUTUS JA SANKTSIOONID Artiklis 73 sätestatakse mis tahes andmesubjekti õigus esitada järelevalveasutusele kaebusi, tuginedes direktiivi 95/46/EÜ artikli 28 lõikele 4. Seal määratakse samuti kindlaks asutused, organisatsioonid või ühendused, mis võivad andmesubjekti nimel või isikuandmetega seotud rikkumise korral andmesubjekti kaebusest olenemata kaebuse esitada. Artikkel 74 käsitleb õigust kasutada järelevalveasutuse vastu kohtulikku õiguskaitsevahendit. See tugineb direktiivi 95/46/EÜ artikli 28 lõike 3 üldsättele. Sellega sätestatakse täpsemalt kohtulik õiguskaitsevahend, mis kohustab järelevalveasutust kaebuse korral tegutsema, ning selgitab nende liikmesriikide kohtute pädevust, kus järelevalveasutus on loodud. Sellega sätestatakse samuti võimalus, et andmesubjekti asukoha liikmesriigi järelevalveasutus võib andmesubjekti nimel algatada menetluse teise sellise liikmesriigi kohtus, kus pädev järelevalveasutus on asutatud. Artikkel 75 käsitleb õigust kasutada kohtulikku õiguskaitsevahendit vastutava või volitatud töötleja vastu, tuginedes direktiivi 95/46/EÜ artiklile 22, ning sätestab võimaluse alustada kohtumenetlust liikmesriigis, kus on asutatud kostja või kus on andmesubjekti asukoht. Kui sama küsimusega seotud menetlus on järjepidevuse mehhanismis pooleli, siis võib kohus menetluse peatada, kui ei ole tegemist kiireloomulise küsimusega. Artiklis 76 sätestatakse kohtumenetluse üldeeskirjad, sealhulgas asutuste, organisatsioonide või ühenduste õigused andmesubjekte kohtus esindada, järelevalveasutuste õigused õigusmenetlusega tegeleda ning kohtu teave paralleelsete menetluste kohta teises liikmesriigis ja kohtute võimalus kõnealusel juhul menetlus peatada[38]. Liikmesriikidel on kohustus tagada kohtute kiire tegevus[39]. Artiklis 77 sätestatakse õigus hüvitusele ning vastutus. See tugineb direktiivi 95/46/EÜ artiklile 23, laiendab kõnealust õigust volitatud töötlejate põhjustatud kahjudele ning selgitab ühiste vastutavate ja volitatud töötlejate vastutust. Artikliga 78 kohustatakse liikmesriike kehtestatama kõnealuse määruse rikkumise eest kohaldatavaid karistusi käsitlevad eeskirjad ning tagama nende rakendamine. Artikliga 79 kohustatakse iga järelevalveasutust kohaldama kõnealuses sättes esitatud kataloogides loetletud haldusrikkumiste eest karistusi, kehtestades kuni maksimumsummani ulatuvaid trahve, võttes kohaselt arvesse iga konkreetse juhtumi asjaolusid. 3.4.9. IX PEATÜKK – ANDMETE TÖÖTLEMISE ERIOLUKORDADEGA SEOTUD SÄTTED Artiklis 80 kohustatakse liikmesriike tegema määruse konkreetsete sätete suhtes erandeid ja kõrvalekaldeid, kui see on vajalik isikuandmete kaitse õiguse sõnavabaduse õigusega kooskõlla viimiseks. See põhineb direktiivi 95/46/EÜ artiklil 9, nagu Euroopa Liidu Kohus on seda tõlgendanud[40]. Artikkel 81 kohustab liikmesriike tagama lisaks andmete erikategooriate tingimustele eri kaitsemeetmed andmete töötlemiseks tervishoiu eesmärgil. Artiklis 82 sätestatakse liikmesriikide volitus võtta vastu konkreetseid seadusi isikuandmete töötlemiseks tööhõive kontekstis. Artiklis 83 sätestatakse eritingimused isikuandmete töötlemiseks ajaloolisel, statistilisel ja teadusuuringute eesmärgil. Artikliga 84 antakse liikmesriikidele volitus võtta vastu erieeskirju järelevalveasutuste juurdepääsu kohta isikuandmetele ja ruumidele, kui vastutavatele töötlejatele kehtib saladuse hoidmise kohustus. Artiklis 85 lubatakse Euroopa Liidu toimimise lepingu artikliga 17 kooskõlas jätkuvalt kohaldada kirikute kehtivaid terviklikke isikuandmete kaitse eeskirju, kui need viiakse käesoleva määrusega kooskõlla. 3.4.10. X PEATÜKK – DELEGEERITUD ÕIGUSAKTID JA RAKENDUSAKTID Artikkel 86 sisaldab kooskõlas Euroopa Liidu toimimise lepingu artikliga 290 delegeeritud volituste kasutamise standardsätteid. See võimaldab seadusandjal delegeerida komisjonile õigus võtta vastu muid kui seadusandlikke akte, mis on üldkohaldatavad ja täiendavad või muudavad seadusandliku akti (poolseadusandlike aktide) teatavaid mitteolemuslikke osi. Artikkel 87 sisaldab sätet komiteemenetluse kasutamise kohta rakendusvolituste delegeerimisel komisjonile juhtudel, kui kooskõlas Euroopa Liidu toimimise lepingu artikliga 291 on liidu õiguslikult siduvate aktide rakendamiseks vaja ühetaolisi tingimusi. Kohaldatakse kontrollimenetlust. 3.4.11. XI PEATÜKK – LÕPPSÄTTED Artikliga 88 tunnistatakse kehtetuks direktiiv 95/46/EÜ. Artikliga 89 selgitatakse seost eraelu puutumatust ja elektroonilist sidet käsitleva direktiiviga 2002/58/EÜ ning muudetakse seda. Artikkel 90 annab komisjonile kohustuse määrust hinnata ning esitada seonduvaid aruandeid. Artiklis 91 sätestatakse määruse jõustumise kuupäev ning selle kohaldamise kuupäevaga seotud üleminekuaeg. 4. MÕJU EELARVELE Ettepaneku konkreetne mõju eelarvele on seotud Euroopa andmekaitseinspektorile määratud ülesannetega, nagu on kirjeldatud käesoleva ettepanekuga kaasas olevates õigusaktile lisatavates finantsselgitustes. Kõnealuse mõju tõttu on nõutav finantsperspektiivi rubriigi 5 ümberplaneerimine. Ettepanekul ei ole mõju tegevuskuludele. Kõnealuse määruse ettepanekuga kaasasolev õigusaktile lisatav finantsselgitus hõlmab määruse ning politsei- ja õigusalase koostööga seotud isikuandmete kaitse direktiivi mõju eelarvele. 2012/0011 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2 ja artikli 114 lõiget 1, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust[41], olles konsulteerinud Euroopa Andmekaitseinspektoriga[42], toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1) Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 ja ELi toimimise lepingu artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. (2) Isikuandmete töötlemine on mõeldud teenima inimkonda ning üksikisikute kaitse põhimõtete ja eeskirjadega nende isikuandmete töötlemisel tuleks füüsiliste isikute rahvusest ja elukohast sõltumata austada nende põhiõigusi ja -vabadusi, eelkõige õigust isikuandmete kaitsele. Isikuandmete töötlemine peaks kaasa aitama vabadusel, turvalisusel ja õigusel rajaneva ala ning majandusliidu saavutamisele, majanduslikule ja sotsiaalsele arengule, majanduse tugevdamisele ja lähendamisele siseturul ning üksikisikute heaolule. (3) Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ (üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta)[43] eesmärk on ühtlustada füüsiliste isikute põhiõiguste ja -vabaduste kaitset töötlemistoimingutel ning tagada isikuandmete vaba liikumine liikmesriikide vahel. (4) Siseturu toimimisest tulenev majandus- ja sotsiaalne integratsioon on isikuandmete piirideüleseid vooge märkimisväärselt suurendanud. Majandus- ja sotsiaal- ning avaliku ja erasektori osalejate vaheline andmevahetus on suurenenud terves Euroopa Liidus. Liikmesriikide ametiasutusi kutsutakse liidu õigusaktidega üles koostööle ja isikuandmete vahetamisele, et neil oleks võimalik täita oma ülesandeid või teha seda teise liikmesriigi ametiasutuse nimel. (5) Kiire tehnoloogiline areng ja üleilmastumine tekitavad isikuandmete kaitsel uusi probleeme. Andmete jagamise ja kogumise ulatus on märkimisväärselt suurenenud. Tehnoloogia võimaldab nii era- kui ka avaliku sektori asutustel kasutada isikuandmeid oma eesmärkide saavutamiseks enneolematus ulatuses. Üksikisikud avaldavad isikuandmeid üha avalikumalt ja ülemaailmsemalt. Tehnoloogia on põhjalikult muutnud nii majandust kui ka ühiskondlikku elu ja nõuab ELi-sisese andmete liikumise ning nende kolmandatesse riikidesse ja rahvusvahelisele organisatsioonile edastamise täiendavat hõlbustamist, tagades samas isikuandmete kõrgetasemelise kaitse. (6) Need muudatused nõuavad ELis tugeva ja ühtsema isikuandmete kaitse raamistiku loomist ning selle täitmise tagamist, et suurendada usaldust, mis võimaldab digitaalsel majandusel areneda terve siseturu lõikes. Üksikisikutel peaks olema kontroll oma isikuandmete üle ning tugevdada tuleks õigus- ja tegelikku kindlust üksikisikute, ettevõtjate ja avaliku sektori asutuste seisukohast. (7) Direktiivi 95/46/EÜ eesmärgid ja põhimõtted on endiselt ajakohased, kuid see ei ole ära hoidnud ELis andmetekaitse rakendusviiside killustumist, õiguskindlusetust ega avalikkuses laialtlevinud seisukohta, et eelkõige internetiga seonduvad märkimisväärsed ohud üksikisikute kaitsele. Liikmesriikide poolt tagatavate üksikisikute õiguste, eelkõige isikuandmete kaitse õiguse, ja vabaduste kaitse taseme erinevused isikuandmete töötlemisel võivad takistada isikuandmete ELi-sisest vaba liikumist. Need erinevused võivad seetõttu takistada ELi tasandi majandustegevust, moonutada konkurentsi ja takistada ametiasutustel täita nende ELi õigusest tulenevaid kohustusi. Erinevused kaitse tasemes tulenevad erisustest direktiivi 95/46/EÜ rakendamisel ja kohaldamisel. (8) Et tagada üksikisikute järjekindel ja kõrgetasemeline kaitse ning takistuste kõrvaldamiseks isikuandmete liikumisel peaks üksikisikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine terves ELis. (9) Tõhusaks isikuandmete kaitseks terves ELis tuleks tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate ja selle üle otsustajate kohustusi, aga ka nendele vastavaid volitusi isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel ning rikkujatele määratavaid karistusi liikmesriikides. (10) ELi toimimise lepingu artikli 16 lõikega 2 volitatakse Euroopa Parlamenti ja nõukogu kehtestama eeskirju üksikisikute kaitse kohta seoses isikuandmete töötlemisega, samuti selliste andmete vaba liikumise eeskirju. (11) Et tagada üksikisikute järjekindel kaitse terves ELis ning ära hoida erinevusi, mis takistavad andmete vaba liikumist siseturul, on tarvis määrust, millega tagatakse õiguskindlus ja läbipaistvus ettevõtete, sealhulgas mikro-, väike- ja keskmise suurusega ettevõtete jaoks ning milles sätestatakse kõigi liikmesriikide üksikisikute samaväärsed kohtulikult kaitstavad õigused ja kohustused ning vastutavate töötlejate ja volitatud töötlejate vastutus, et tagada pidev isikuandmete töötlemise jälgimine nagu ka samad karistused kõigis liikmesriikides ning liikmesriikide järelevalveasutuste tõhus koostöö. Käesolevas määruses on ette nähtud mitu erandit, et võtta arvesse mikro-, väike- ja keskmise suurusega ettevõtete erilist olukorda. Lisaks kutsutakse ELi institutsioone ja asutusi, liikmesriike ja nende järelevalveasutusi üles võtma käesoleva määruse rakendamisel arvesse mikro-, väike- ja keskmise suurusega ettevõtete erivajadusi. Mikro-, väike- ja keskmise suurusega ettevõtete määratlus tugineb komisjoni 6. mai 2003. aasta soovitusele mikro-, väike- ja keskmise suurusega ettevõtjate määratluse kohta. (12) Käesoleva määrusega pakutav kaitse laieneb füüsiliste isikute isikuandmete töötlemisele, olenemata asjaomase isiku kodakondsusest või elukohast. Ühelgi isikul ei ole võimalik nõuda käesoleva määrusega ettenähtavat kaitset seoses selliste andmete töötlemisega, mis käsitlevad juriidilisi isikuid, eelkõige juriidiliste isikutena asutatud ettevõtjaid, sealhulgas juriidilise isiku nime ja vormi ning kontaktandmetega. Seda kohaldatakse ka juhul, kui juriidilise isiku nimi sisaldab ühe või mitme füüsilise isiku nime. (13) Üksikisikute kaitse peaks olema tehnoloogiliselt neutraalne ega tohiks sõltuda kasutatud vahenditest, vastasel juhul tekib märkimisväärne oht, et eeskirjade täitmisest hoitakse kõrvale. Kui andmed sisalduvad toimikusüsteemis või kui nad hiljem kantakse toimikusüsteemi, peab üksikisikute kaitse kehtima nii isikuandmete automatiseeritud kui ka automatiseerimata töötlemise puhul. Käesoleva määruse reguleerimisalasse ei kuulu toimikud või toimikute kogumid ega nende esilehed, mis ei ole teatavate kriteeriumide kohaselt korrastatud. (14) Käesolevas määruses ei käsitleta põhiõiguste ja -vabaduste kaitset ega andmete vaba liikumist väljapoole ELi õiguse reguleerimisala jäävate meetmete puhul ega isikuandmete töötlemist ELi institutsioonide, asutuste ja ametite poolt, mille kohta kehtib määrus (EÜ) nr 45/2001,[44] ega isikuandmete töötlemist liikmesriikide poolt ELi ühise välis- ja julgeolekupoliitikaga seonduvate meetmete puhul. (15) Käesolevat määrust ei tuleks kohaldata isikuandmete töötlemise suhtes füüsilise isiku poolt üksnes isiklikel või kodustel eesmärkidel, näiteks kirjavahetus ja aadresside loetelu ning ilma tulutoova eesmärgita ning väljaspool ametialast ja äritegevust. Erandit ei tuleks kohaldada vastutavate töötlejate ega volitatud töötlejate suhtes, kes pakuvad isikuandmete isiklikel või kodustel eesmärkidel töötlemise vahendeid. (16) Üksikisikute kaitset isikuandmete töötlemisel pädevate asutuste poolt seoses kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmisega ning kriminaalkaristuste täitmisele pööramisega ning selliste andmete vaba liikumist käsitletakse eraldiseisvas ELi tasandi õigusaktis. Seetõttu ei tuleks käesolevat määrust kohaldada nimetatud eesmärkidel teostatavate töötlemistoimingute suhtes. Avaliku sektori asutuste poolt käesoleva määruse alusel töödeldavaid andmeid, kui neid kasutatakse seoses kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmisega ning kriminaalkaristuste täitmisele pööramisega, reguleeritakse konkreetsema ELi tasandi õigusaktiga (direktiiv XX/YYYY). (17) Käesolevat määrust tuleks kohaldada, ilma et see piiraks direktiivi 2000/31/EÜ, eelkõige selle artiklites 12–15 esitatud vahendusteenuste osutajate vastutust käsitlevate eeskirjade kohaldamist. (18) Käesoleva määruse sätete kohaldamisel on võimalik arvesse võtta ametlike dokumentide üldise kättesaadavuse põhimõtet. (19) ELis vastutava töötleja või volitatud töötleja asutuse tegevuse raames tuleks töödelda isikuandmeid vastavalt käesolevale määrusele, sõltumata sellest, kas töötlemine toimub ELis. Asutus eeldab tegelikku ja tulemuslikku tegutsemist ning stabiilset asukohta. Tegevuse õiguslik vorm (kas filiaali või juriidilise isiku tütarettevõtja kaudu) ei ole selles osas määrav. (20) Selleks et tagada üksikisikutele kaitse, millele neil on õigus käesoleva määruse alusel, tuleks käesolevat määrust kohaldada väljaspool ELi asuva vastutava töötleja poolt ELis asuvate andmesubjektide isikuandmete töötlemise suhtes, kui töötlemistoimingud on seotud kaupade või teenuste pakkumisega kõnealustele andmesubjektidele või nende käitumise jälgimisega. (21) Selleks et teha kindlaks, kas töötlemistoimingut võib pidada andmesubjekti „käitumise jälgimiseks”, tuleb selgitada välja, kas üksikisikut jälgitakse internetis andmetöötlusmeetoditega, mis hõlmavad üksikisiku profileerimist eelkõige selleks, et teha tema kohta otsuseid või analüüsida või prognoosida tema eelistusi, käitumist ja hoiakuid. (22) Kui liikmesriigi õigust kohaldatakse rahvusvahelise avaliku õigusena, tuleks käesolevat määrust kohaldada ka väljaspool ELi asuva vastutava töötleja suhtes, näiteks liikmesriigi diplomaatilise või konsulaaresinduse puhul. (23) Kaitsepõhimõtteid tuleks kohaldada tuvastatud või tuvastatavat isikut käsitleva igasuguse teabe suhtes. Isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib üksikisiku tuvastamiseks tõenäoliselt kasutada. Isikuandmete kaitse põhimõtteid ei tuleks kohaldada teabe suhtes, mis on muudetud anonüümseks selliselt, et andmesubjekti ei ole enam võimalik tuvastada. (24) Sidusteenuste kasutamisel võib üksikisikut seostada tema seadmete, rakenduste, tööriistade ja protokollide jagatavate veebiidentifikaatoritega, näiteks IP-aadresside või küpsistega. See võib jätta jälgi, mida kombineeritult serveritesse saabuvate kordumatute identifikaatoritega ja muu teabega võidakse kasutada üksikisikute profileerimiseks ja nende tuvastamiseks. Sellest järeldub, et identifitseerimisnumbreid, asukohaandmeid, veebiidentifikaatoreid ja muid konkreetseid tegureid ei ole iseenesest tingimata vaja pidada isikuandmeteks. (25) Nõusolek tuleb anda selgesõnaliselt ükskõik millisel sobival viisil, mis võimaldab andmesubjektil väljendada vabatahtlikku, konkreetset ja teadlikku tahet, kasutades selleks andmesubjekti avaldust või selget kinnitust, millega tagatakse, et üksikisik on teadlik sellest, et ta annab oma nõusoleku isikuandmete töötlemiseks, sealhulgas märgistades veebisaidil vajaliku lahtri või mis tahes muu avalduse või käitumise kaudu, millest selles kontekstis konkreetselt nähtub andmesubjekti nõusolek nende isikuandmete kavandatavaks töötlemiseks. Vaikimist või tegevusetust ei tohiks seega pidada nõusolekuks. Nõusolek peaks hõlmama kõiki samal eesmärgil või samadel eesmärkidel teostatavaid töötlemistoimingud. Kui andmesubjekti nõusolek tuleb anda pärast elektroonilise taotluse esitamist, peab taotlus olema selge ja kokkuvõtlik, kuid mitte põhjendamatult häirima selle teenuse kasutamist, mille kohta taotlus esitatakse. (26) Terviseandmete hulka kuuluvad eelkõige kõik andmesubjekti tervislikku seisundit käsitlevad andmed; teave üksikisiku registreerimise kohta temale tervishoiuteenuste osutamise eesmärgil; üksikisikuga seonduv teave tervishoiuteenuse eest tasumise või tema õiguse kohta saada tervishoiuteenuseid; number, tähis või eritunnus, mis on üksikisikule määratud tema tuvastamiseks tervishoiuga seotud eesmärkidel; mis tahes teave üksikisiku kohta, mida on kogutud temale tervishoiuteenuste osutamise käigus; teave, mida on saadud mingi kehaosa või kehast pärineva aine, sealhulgas bioloogiliste proovide, kontrollimise või uurimise tulemusena; teave selle isiku kohta, kes on üksikisikule tervishoiuteenust osutanud; ning igasugune teave näiteks haiguse, puude, haigestumisohu, haigusloo, kliinilise ravi ja andmesubjekti tegeliku füsioloogilise ja biomeditsiinilise olukorra kohta sõltumata selle allikast (näiteks arst või muu tervishoiutöötaja, haigla, meditsiiniseade või in vitro diagnostika). (27) ELis asuva vastutava töötleja peamine tegevuskoht tuleks kindlaks määrata objektiivsete kriteeriumide alusel ning see peaks eeldama tegelikku ja tulemuslikku juhtimistegevust töötlemise eesmärki, tingimusi ja vahendeid käsitlevate peamiste otsuste vastuvõtmisel ning stabiilset asukohta. See kriteerium ei tohiks sõltuda sellest, kas isikuandmete töötlemine toimub tegelikult kõnealuses kohas, kuna isikuandmete töötlemise või töötlemistoimingute teostamise tehniliste vahendite ja tehnoloogia olemasolu ja kasutamine iseendast ei kujuta endast sellist peamist tegevuskohta, seega ei ole need peamise tegevuskoha määravad kriteeriumid. Volitatud töötleja peamine tegevuskoht on koht, kus asub tema ELi juhtkond. (28) Kontsern peaks hõlmama kontrollivat ettevõtjat ja tema kontrolli all olevaid ettevõtjaid, kusjuures kontrolliv ettevõtja peaks saama kasutada teiste ettevõtjate üle valitsevat mõju näiteks omanikuna, rahalise osaluse kaudu, põhikirja alusel või volituse kaudu rakendada isikuandmete kaitse eeskirju. (29) Laste isikuandmed vajavad erilist kaitset, kuna lapsed ei pruugi olla piisavalt teadlikud ohtudest, tagajärgedest, kaitsemeetmetest ja oma isikuandmete töötlemisega seonduvatest õigustest. Selleks et määrata kindlaks, kas üksikisik on laps, tuleks käesolevas määruses üle võtta ÜRO lapse õiguste konventsioonis esitatud määratlus. (30) Isikuandmete igasugune töötlemine peaks olema seaduslik, andmesubjektide suhtes õiglane ja läbipaistev. Eelkõige peaksid olema selged ja õiguspärased andmete töötlemise konkreetsed eesmärgid, mis tuleb kindlaks määrata andmete kogumise ajal. Andmed peaksid olema asjakohased, piisavad ja piirduma töötlemise otstarbe seisukohalt minimaalselt vajalikuga; mistõttu tuleb eelkõige tagada, et andmete kogumine ja nende säilitamise aeg piirduks minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole võimalik saavutada muude vahendite abil. Tagamaks, et ebatäpsed andmed kustutatakse või parandatakse, tuleks võtta kõik mõistlikud meetmed. Selle tagamiseks, et andmeid ei säilitataks vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. (31) Töötlemise seaduslikkuse tagamiseks tuleks isikuandmed töödelda asjaomase isiku nõusolekul või muul seaduses, käesolevas määruses või muus käesolevas määruses osutatud ELi või liikmesriigi õiguses ettenähtud õiguslikul alusel. (32) Kui töötlemine toimub andmesubjekti nõusolekul, peaks vastutaval töötlejal lasuma tõendamiskohustus, et andmesubjekt on töötlemistoimingu heaks kiitnud. Eelkõige muid küsimusi käsitleva kirjaliku avalduse puhul tuleks kaitsemeetmetega tagada, et andmesubjekt on teadlik nõusoleku andmisest ja nõusoleku andmise ulatusest. (33) Vabatahtliku nõusoleku tagamiseks tuleks täpsustada, et nõusolek ei kujuta endast kehtivat õiguslikku alust siis, kui üksikisikul puudub tegelik ja vaba valik ja ta ei saa seetõttu ilma negatiivsete tagajärgedeta nõusoleku andmisest keelduda või nõusolekut tagasi võtta. (34) Nõusolek ei tohiks anda isikuandmete töötlemiseks kehtivat õiguslikku alust, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras. Nii on see eriti juhul, kui andmesubjekt sõltub vastutavast töötlejast, muu hulgas juhul, kui tööandja töötleb töövõtjate isikuandmeid töösuhte kontekstis. Juhul kui vastutav töötleja on avaliku sektori asutus, puudub tasakaal ainult selliste konkreetsete andmetöötlustoimingute puhul, mille juures avalik-õiguslik asutus saab kehtestada kohustuse oma asjakohastest avaliku võimu teostamise volitustest tulenevalt ja nõusolekut ei saa lugeda vabalt antuks, võttes arvesse andmesubjekti huve. (35) Töötlemine peaks olema seaduslik juhul, kui see on vajalik seoses lepinguga või kavandatavaks lepingu sõlmimiseks. (36) Kui töötlemine toimub vastavalt vastutava töötleja seadusjärgsele kohustusele või kui töötlemine on vajalik avalikes huvides täidetava ülesande täitmiseks või ametliku võimu kasutamiseks, peaks töötlemise õiguslik alus olema sätestatud ELi õiguses või liikmesriigi õiguses, mis vastab Euroopa Liidu põhiõiguste harta nõuetele õiguste ja vabaduste mistahes piiramise osas. See, kas avaliku huviga seotud ülesannet täitev või avalikku võimu teostav vastutav töötleja peaks olema riigiasutus või muu avalik-õiguslik või füüsiline või juriidiline isik, näiteks kutseliit, tuleks samuti kindlaks määrata ELi või liikmesriikide õiguses. (37) Isikuandmete töötlemist tuleks pidada samaväärselt seaduslikuks ka siis, kui see on vajalik andmesubjekti eluliste huvide kaitsmiseks. (38) Töötlemise õiguslikuks aluseks võib olla vastutava töötleja õigustatud huvi tingimusel, et andmesubjekti huvid või põhiõigused ja -vabadused ei ole tähtsamad. See vajab hoolikat hindamist eelkõige juhul, kui andmesubjekt on laps, kuna lapsed vajavad erilist kaitset. Andmesubjektil peaks olema õigus töötlemine vaidlustada tema konkreetse olukorraga seonduvatel põhjustel ja tasuta. Läbipaistvuse tagamiseks peaks vastutav töötleja olema kohustatud andmesubjekti selgesõnaliselt teavitama oma õigustatud huvist asjaomase isiku vastu ja vaidlustamisõigusest ning samuti olema kohustatud need õigustatud huvid dokumenteerima. Arvestades, et avaliku sektori asutuste jaoks peab andmete töötlemise õigusliku aluse õigusaktiga kehtestama seadusandja, ei tuleks nimetatud õiguslikku alust kohaldada avalik-õiguslike asutuste poolse, nende ülesannete täitmiseks teostatava töötlemise puhul. (39) Andmete töötlemine sellisel määral, mis on tingimata vajalik võrgu- ja infoturbe – s.o võrgu- ja infosüsteemi võime kaitsta end teatava kindlusega õnnetuste või ebaseaduslike või pahatahtlike tegevuste eest, mis seavad ohtu salvestatud või edastatud andmete kättesaadavuse, autentsuse, terviklikkuse ja konfidentsiaalsuse ja nende võrkude ja süsteemide poolt pakutavate või nende kaudu juurdepääsetavate teenuste turvalisuse – tagamiseks avaliku sektori asutuste, infoturbeintsidentidega tegelevate rühmade – CERTide, arvutiturbe juhtumitele reageerimise rühmade – CSIRTide, elektroonilise side võrkude ja teenuste pakkujate ning turvatehnoloogiate ja -teenuste pakkujate poolt kujutab endast asjaomase vastutava töötleja õigustatud huvi. See võib näiteks sisaldada elektroonilise side võrkudele ebaseadusliku juurdepääsu ja pahatahtliku koodi levitamise takistamist, teenusetõkestamise rünnete ning arvutite ja elektroonilise side süsteemide kahjustamise peatamist. (40) Isikuandmete töötlemine muul eesmärgil peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks andmed algselt koguti, eelkõige juhul, kui töötlemine on vajalik ajaloo- või statistikauurimuste ning teadustöö eesmärgil. Kui muu eesmärk ei ole kooskõlas eesmärgiga, mille jaoks andmed algselt koguti, peaks vastutav töötleja andmete nimetatud muul eesmärgil töötlemiseks saama andmesubjekti nõusoleku või valima töötlemiseks seadusliku töötlemise muu õigusliku aluse, eelkõige kui see on ette nähtud ELi või selle liikmesriigi õigusega, mille õigust vastutava töötleja suhtes kohaldatakse. Igal juhul tuleks tagada käesolevas määruses sätestatud põhimõtete kohaldamine ja eelkõige andmesubjekti teavitamine kõnealustest muudest eesmärkidest. (41) Oma loomult põhiõiguste ja eraelu puutumatuse seisukohast eriti tundlikud ja haavatavad isikuandmed vajavad erilist kaitset. Neid andmeid ei tohiks töödelda, välja arvatud juhul, kui andmesubjekt annab oma selgesõnalise nõusoleku. Erivajaduste puhul tuleks aga selgesõnaliselt sätestada käesolevast keelust tehtavad erandid, eelkõige juhul, kui töötlemine toimub teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist. (42) Tundlike andmeliikide töötlemise keelust peaks olema lubatud kõrvale kalduda ka seaduse alusel ja rakendades asjakohaseid kaitsemeetmeid, et kaitsta isikuandmeid ja muid põhiõigusi, kui seda õigustab avalik huvi, eelkõige tervishoiu, sealhulgas rahvatervise, sotsiaalkaitse ja tervishoiuteenuste korraldamise valdkonnas eelkõige selleks, et tagada hüvitisenõuete rahuldamise kord ja teenuste kvaliteet ning tasuvus tervisekindlustuse puhul, või ajaloo- või statistikauurimuste ning teadustöö eesmärgil. (43) Lisaks sellele töötlevad ametiasutused isikuandmeid avalike huvidega seotud eesmärgil ametlikult tunnustatud religioossete ühenduste konstitutsiooniõiguses või rahvusvahelises avalikus õiguses sätestatud eesmärkide saavutamiseks. (44) Kui valimisprotsessi käigus eeldab liikmesriigi demokraatlik süsteem, et poliitilised parteid koguvad andmeid inimeste poliitiliste veendumuste kohta, võib selliste andmete töötlemine olla lubatud avalike huvidega seotud põhjustel ja tingimusel, et rakendatakse vajalikke kaitsemeetmeid. (45) Juhul kui vastutav töötleja töötleb selliseid andmeid, mille alusel ei saa füüsilisi isikuid tuvastada, ei tohiks ta olla kohustatud hankima lisateavet ainult käesoleva määruse järgimiseks. Juurdepääsutaotluse korral on vastutaval töötlejal õigus küsida andmesubjektilt lisateavet, mis võimaldaks vastutaval töötlejal leida isikuandmed, mida see isik otsib. (46) Läbipaistvuspõhimõte nõuab, et üldsusele ja andmesubjektile suunatud teave peaks olema lihtsalt kättesaadav, arusaadav ning selgelt ja lihtsalt sõnastatud. Eriti asjakohane on see sellistes olukordades nagu näiteks veebireklaam, mille puhul osapoolte arvukuse ja tehnoloogilise keerukuse tõttu on andmesubjektil keeruline teada saada ja mõista, kas kogutakse nende isikuandmeid, kes neid kogub ja millisel eesmärgil. Arvestades, et lapsed vajavad erilist kaitset, peaks laste isikuandmete töötlemisel kogu teave olema ja suhtlemine toimuma selges ja lihtsas keeles, mida laps kergesti mõistab. (47) Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil tasuta taotleda eelkõige juurdepääsu andmetele, õigust andmeid parandada ja kustutada ning kasutada vaidlustamisõigust. Vastutav töötleja peaks olema kohustatud vastama andmesubjekti taotlustele kindlaksmääratud tähtaja jooksul ning vastamisest keeldumise korral seda põhjendama. (48) Õiglase ja läbipaistva töötlemise põhimõte nõuab, et andmesubjekti tuleks teavitada eelkõige töötlemistoimingu tegemisest ja selle eesmärkidest ning andmete säilitamise tähtajast, nendega tutvumise, nende muutmise ja kustutamise nõudmise ning kaebuse esitamise õigusest. Kui andmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud andmeid esitama, ja andmete esitamata jätmise tagajärgedest. (49) Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle asjaoludest olenevalt kas kogumise ajal või mõistliku ajavahemiku jooksul, juhul kui andmeid ei koguta andmesubjektilt. Kui andmeid võib õiguspäraselt avaldada muule isikule, teavitatakse andmesubjekti sellest andmete esmakordsel avaldamisel. (50) Sellist kohustust ei pea siiski kehtestama juhul, kui andmesubjektil on see teave juba olemas või juhul, kui andmete kogumine või avaldamine on õigusnormides selgelt sätestatud või kui andmesubjekti teavitamine osutub võimatuks või nõuaks ebaproportsionaalselt suuri jõupingutusi. Viimati nimetatu võib osutuda eriti asjakohaseks juhul, kui töötlemine toimub ajaloo- või statistikauurimuste ning teadustöö eesmärgil; sellisel juhul võib arvesse võtta andmesubjektide arvu, andmete vanust ja kõiki vastuvõetud kompenseerivaid meetmeid. (51) Selleks, et töötlemisest teada ja kontrollida selle seaduslikkust, peaks igaühel olema õigus tutvuda andmetega, mis on tema kohta kogutud, ja õigus selle õiguse lihtsale kasutamisele. Igal andmesubjektil peaks seega olema õigus teada eelkõige andmete töötlemise eesmärke, ajavahemikku, andmete saajaid, töödeldavate andmete loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt profiilianalüüsi korral) ning saada eelneva kohta teavet. See õigus ei tohiks kahjustada teiste isikute õigusi ja vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla see, et andmesubjektile ei anta üldse teavet. (52) Vastutav töötleja peaks kasutama juurdepääsu taotleva andmesubjekti isiku tuvastamiseks kõiki mõistlikke meetmeid, seda eelkõige sidusteenuste ja veebiidentifikaatorite korral. Vastutav töötleja ei tohiks isikuandmeid säilitada üksnes selleks, et suuta reageerida võimalikele päringutele. (53) Igal isikul peaks olema õigus teda käsitlevate isikuandmete parandamisele ja õigus olla unustatud juhul, kui selliste andmete säilitamine ei ole kooskõlas käesoleva määrusega. Andmesubjektil peaks olema õigus oma isikuandmete kustutamisele ja nende töötlemise lõpetamisele eelkõige siis, kui andmed ei ole enam vajalikud eesmärkidel, mille jaoks need koguti või neid muul viisil töödeldi, kui andmesubjekt on loobunud oma töötlemisele antud nõusolekust või kui ta on vastu oma isikuandmete töötlemisele või kui nende isikuandmete töötlemine muul viisil ei vasta käesoleva määruse nõuetele. Kõnealune õigus on asjakohane eelkõige siis, kui andmesubjekt andis nõusoleku lapsena, olemata täielikult teadlik töötlemisega kaasnevatest ohtudest, ja hiljem soovib need isikuandmed eelkõige internetist kustutada. Andmete jätkuv säilitamine peaks olema lubatud aga juhul, kui see on vajalik ajaloo- või statistikauurimuste ning teadustöö eesmärgil, rahvatervise valdkonna avalikes huvides, seadusega tagatud väljendusvabaduse õiguse kasutamiseks või kui esineb andmete töötlemise piiramise, mitte nende kustutamise põhjus. (54) Selleks et tugevdada võrgukeskkonnas õigust olla unustatud, tuleks laiendada õigust andmete kustutamisele selliselt, et isikuandmed avaldanud vastutav töötleja on kohustatud teavitama andmeid töötlevaid kolmandaid isikuid andmesubjekti taotlusest kustutada mis tahes lingid nimetatud isikuandmetele ja andmekoopiad ja -kordused. Teavitamise tagamiseks peaks vastutav töötleja võtma kõik mõistlikud meetmed, sealhulgas tehnilised meetmed, mis on seotud andmetega, mille avaldamise eest vastutav töötleja vastutab. Kui isikuandmed avaldab kolmas isik, peaks avaldamise eest vastutama kolmandale isikule avaldamise loa andnud vastutav töötleja. (55) Selleks et tugevdada kontrolli oma andmete ja nendega tutvumise õiguse üle, peaks andmesubjektidel olema struktureeritud ja üldkasutatavas vormingus olevate isikuandmete elektroonilise töötlemise puhul õigus saada neid käsitlevate andmete koopia samuti üldkasutatavas elektroonilises vormingus. Andmesubjektil peaks olema võimalik edastada enda esitatud andmeid ühest automatiseeritud rakendusest (näiteks sotsiaalvõrgustikust) teise. Seda tuleks kohaldada juhul, kui andmesubjekt esitas andmed automatiseeritud töötlemissüsteemi nõusoleku alusel või lepingu täitmisel. (56) Juhul kui isikuandmeid võib seaduslikult töödelda andmesubjekti eluliste huvide kaitsmiseks, ametiasutuse avalikes huvides või vastutava töötleja õiguspärastes huvides, on igal andmesubjektil ikkagi õigus teda käsitlevate andmete töötlemine vaidlustada. Tõendamiskohustus peaks lasuma vastutaval töötlejal, kes peaks tõendama, et tema õigustatud huvid kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused. (57) Kui isikuandmeid töödeldakse otseturunduse eesmärgil, peaks olema andmesubjektil õigus selline töötlemine tasuta, lihtsalt ja tulemuslikult vaidlustada. (58) Igal füüsilisel isikul peaks olema õigus sellele, et tema suhtes ei kohaldata automatiseeritud töötlemise teel tehtaval profiilianalüüsil põhinevat meedet. Selline meede peaks olema lubatud aga siis, kui see on selgesõnaliselt lubatud seadusega, seda kasutatakse lepingu sõlmimisel või täitmisel või siis, kui andmesubjekt on selleks andnud oma nõusoleku. Igal juhul tuleks sellise töötlemise korral kohaldada sobivaid kaitsemeetmeid, kaasa arvatud andmesubjektile antavat konkreetset teavet, õigust otsesele isiklikule kontaktile ning seda, et sellist meedet ei tohiks kohaldata lapse puhul. (59) Konkreetsete põhimõtete, õiguste saada seoses isikuandmetega teavet, nendega andmetega tutvuda, neid parandada ja kustutada, õiguse andmete ülekantavusele, vaidlustamisõiguse, profiilianalüüsil põhinevate meetmete, andmesubjekti isikuandmetega seotud rikkumisest teavitamise ning vastutavate töötlejate teatavate seonduvate kohustuste piirangud võib kehtestada ELi või liikmesriikide õigusaktidega, kui selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada avalik julgeolek, sealhulgas inimelude kaitsmine eelkõige loodus- ja inimtegevusest tingitud õnnetuste korral, kuritegude ja reguleeritud kutsealade ametieetika rikkumise tõkestamine, uurimine ja nende eest vastutusele võtmine, ELi või liikmesriigi muu avalik huvi, eelkõige ELi või liikmesriigi oluline majandus- või finantshuvi, andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse. Nimetatud piirangud peaksid vastama Euroopa Liidu põhiõiguste hartas ning inimõiguste ja põhivabaduste kaitse Euroopa konventsioonis sätestatud nõuetele. (60) Tuleks kehtestada vastutava töötleja laialdane vastutus temapoolse ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja tagama iga töötlemistoimingu kooskõla käesoleva määrusega, samuti on ta kohustatud seda kooskõla tõendama. (61) Andmesubjektide õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab vajalike tehniliste ja korralduslike meetmete võtmist nii töötlemise kavandamise kui ka töötlemise ajal, et tagada käesoleva määruse nõuete täitmine. Käesoleva määruse täitmise tagamiseks ja selle tõendamiseks peaks vastutav töötleja võtma vastu sise-eeskirjad ja rakendama asjakohaseid meetmeid, mis vastavad eelkõige isikuandmete lõimitud ja vaikimisi kaitse põhimõtetele. (62) Andmesubjektide õiguste ja vabaduste kaitse ning vastutavate töötlejate ja volitatud töötlejate vastutus muu hulgas järelevalveasutuste teostatava kontrolli ja võetavate meetmete korral nõuab vastutusvaldkondade selget jaotamist käesolevas määruses, seda ka juhul kui vastutav töötleja määrab kindlaks isikuandmete töötlemise eesmärgid, tingimused ja vahendid koos teiste vastutavate töötlejatega või kui töötlemistoimingut teostatakse vastutava töötleja nimel. (63) Kui väljaspool ELi asuv vastutav töötleja töötleb ELis elavate andmesubjektide isikuandmeid ja tema töötlemistoimingud on seotud kaupade või teenuste pakkumisega sellistele andmesubjektidele või nende käitumise jälgimisega, peaks vastutav töötleja nimetama esindaja, välja arvatud juhul, kui vastutav töötleja asub kolmandas riigis, mis tagab kaitse piisava taseme, vastutava töötleja on väike- või keskmise suurusega ettevõte, avaliku sektori asutus või organ või kui vastutav töötleja pakub sellistele andmesubjektidele kaupu või teenuseid ainult juhuti. Esindaja peaks tegutsema vastutava töötleja nimel ja tema poole võivad pöörduda kõik järelevalveasutused. (64) Selleks et määrata kindlaks, kas vastutav töötleja pakub ELis elavatele andmesubjektidele kaupu ja teenuseid ainult juhuti, tuleks kontrollida, kas vastutava töötleja kogu tegevuse põhjal on ilmne, et sellistele andmesubjektidele kaupade ja teenuste pakkumine on tema kõrvaltegevus. (65) Käesoleva määruse täitmise tõendamiseks peaks vastutav töötleja või volitatud töötleja dokumenteerima iga töötlemistoimingu. Iga vastutav töötleja ja volitatud töötleja peaks olema kohustatud tegema järelevalveasutusega koostööd ja tegema nimetatud dokumendid taotluse korral kättesaadavaks, et neid saaks kasutada nimetatud töötlemistoimingute kontrollimiseks. (66) Turvalisuse tagamiseks ja käesoleva määruse vastase töötlemise vältimiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohte ja rakendama meetmeid asjaomaste riskide leevendamiseks. Võttes arvesse tehnika taset ja meetmete rakenduskulusid, tuleks kõnealuste meetmetega tagada vajalik turvalisuse tase, mis vastaks ohtudele ja kaitstavate isikuandmete laadile. Töötlemise turvalisuse tagamiseks tehniliste standardite ja korralduslike meetmete kehtestamisel peaks komisjon edendama tehnoloogia neutraalsust, koostalitusvõimet ja innovatsiooni ning vajaduse korral koostööd kolmandate riikidega. (67) Isikuandmetega seotud rikkumisega võib asjaomasele üksikisikule kaasneda oluline majanduslik ja sotsiaalne kahju, sealhulgas identiteedipettus, kui sellega piisavalt ja õigeaegselt ei tegelda. Seetõttu niipea, kui vastutav töötleja sellise rikkumise toimumisest teada saab, peaks ta teatama rikkumisest viivitamata järelevalveasutusele, tehes seda võimaluse korral 24 tunni jooksul. Kui 24 tunni jooksul teatamine ei ole võimalik, tuleks lisada teatisele selle hilinemise põhjused. Üksikisikut, kelle isikuandmeid rikkumine kahjustada võib, tuleks teavitada põhjendamatu viivituseta, et nad saaksid võtta vajalikke ettevaatusabinõusid. Rikkumist tuleks pidada andmesubjekti isikuandmeid ja eraelu puutumatust kahjustavaks juhul, kui selle tulemuseks võib olla identiteedivargus või pettus, füüsiline kahju, märkimisväärne alandamine või maine kahjustamine. Teatises tuleks kirjeldada isikuandmetega seotud rikkumise olemust, samuti tuleks anda asjaomasele üksikisikule soovitusi võimaliku kahjuliku mõju leevendamiseks. Teatis tuleks saata andmesubjektile nii kiiresti kui võimalik ning tihedas koostöös järelevalveasutusega, pidades kinni tema või muude asjakohaste asutuste (nt õiguskaitseasutuste) suunistest. Näiteks andmesubjekti võimalus vähendada kahju tekkimise otsest ohtu nõuab tema operatiivset teavitamist, samas kui võimalus rakendada asjakohaseid meetmeid isikuandmetega seonduvate jätkuvate või samalaadsete rikkumiste vastu võib õigustada pikemat tähtaega. (68) Selleks et määrata kindlaks, kas isikuandmetega seotud rikkumisest on teatatud järelevalveasutusele ja andmesubjektile asjatu viivituseta, tuleks kontrollida, kas vastutav töötleja on rakendanud ja kohaldanud asjakohaseid tehnoloogilise kaitse ja korralduslikke meetmeid, et viivitamata kindlaks teha, kas isikuandmetega seotud rikkumine on toimunud, ning teavitada sellest viivitamata järelevalveasutust ning andmesubjekti, enne kui kahjustatakse isiklikke ja majandushuve kaitsmisele, võttes arvesse eelkõige isikuandmetega seotud rikkumise laadi, tõsidust ja tagajärgi ning kahjulikku mõju andmesubjektile. (69) Isikuandmetega seotud rikkumisest teatamise vormide ja korra kohta üksikasjalike eeskirjade koostamisel tuleks võtta arvesse ka rikkumise asjaolusid, sealhulgas seda, kas isikuandmed olid kodeeritud või mõnel muul sellisel moel kaitstud asjakohaste tehniliste kaitsemeetmetega, mis vähendab tõhusalt identiteedipettuse või muu väärkasutuse tõenäosust. Lisaks tuleks sellistes eeskirjades ja korras arvesse võtta õiguskaitseasutuste õigustatud huve juhtudel, kui varajane avalikustamine võib tarbetult takistada rikkumise asjaolude uurimist. (70) Direktiivis 95/46/EÜ nähti ette üldine kohustus teatada isikuandmete töötlemisest järelevalveasutustele. Kõnealune kohustus põhjustab haldus- ja finantskoormust, kuid see ei aidanud alati parandada isikuandmete kaitset. Seega tuleks selline valimatu üldise teatamise kohustus kaotada ning asendada see tõhusate menetluste ja mehhanismidega, mille raames keskendutakse hoopis neile töötlemistoimingutele, mis oma laadi, ulatuse või eesmärgi poolest võivad endast tõenäoliselt kujutada konkreetset ohtu andmesubjektide õigustele ja vabadustele. Sellistel juhtudel peaks vastutav töötleja või volitatud töötleja koostama enne töötlemist isikuandmete kaitse alase mõjuhinnangu, mis peaks eelkõige sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme isikuandmete kaitse tagamiseks ning käesoleva määruse täitmise tõendamiseks. (71) Seda tuleks eelkõige kohaldada hiljuti loodud suurte toimikusüsteemide puhul, mille eesmärk on töödelda suurt hulka isikuandmeid piirkondlikul, riiklikul või rahvusvahelisel tasandil ning mis võivad mõjutada paljusid andmesubjekte. (72) On juhtumeid, mille puhul võib olla mõistlik ja säästlik hõlmata isikuandmete kaitse alase mõjuhinnanguga rohkem kui üht projekti, näiteks juhul, kui avaliku sektori asutused või organid kavatsevad kasutusele võtta ühise rakenduse või töötlemisplatvormi või mitu vastutavat töötlejat kavatseb kasutusele võtta ühise rakenduse või töötlemiskeskkonna terves tööstusharus või allharus või laialdaselt kasutatava horisontaalse tegevuse puhul. (73) Kui isikuandmete kaitse alaseid mõjuhinnanguid ei ole koostatud juba selliste siseriiklike õigusaktide vastuvõtmisel, millele avaliku sektori asutuse või organi ülesannete täitmine tugineb ja millega reguleeritakse kõnealuseid konkreetseid töötlustoiminguid või nende kogumit, peaks avaliku sektori asutus või organ koostama sellise mõjuhinnangu. (74) Kui isikuandmete kaitse alasest mõjuhinnangust ilmneb, et töötlemistoimingud või konkreetse uue tehnoloogia kasutuselevõtt on seotud mitmete konkreetsete ohtudega andmesubjektide õigustele ja vabadustele, näiteks jättes üksikisikud ilma nende õigustest, konsulteeritakse enne tegevuse alustamist järelevalveasutusega ohtliku töötlemise asjus, mis ei pruugi käesoleva määrusega kooskõlas olla, ning tegemaks ettepanekuid sellise olukorra lahendamiseks. Selline konsulteerimine peaks toimuma ka siis, kui valmistatakse ette kas liikmesriigi parlamendi meedet või sellisel õigusaktil põhinevat meedet, millega määratakse kindlaks töötlemise laad ja nähakse ette vajalikud kaitsemeetmed. (75) Kui töötlemine toimub avalikus sektoris või erasektoris suurettevõtte poolt või kui ettevõtte põhitegevus, olenemata tema suurusest, hõlmab töötlustoiminguid, mis nõuavad regulaarset ja süstemaatilist järelevalvet, peaks vastutavat töötlejat või volitatud töötlejat abistama isik, kes kontrollib käesoleva määruse täitmist asutuse poolt. Sellistel andmekaitseametnikel, olgu nad siis vastutava töötleja töövõtjad või mitte, peaks olema võimalik täita oma kohustusi ja ülesandeid sõltumatult. (76) Vastutavate töötlejate eri kategooriaid esindavaid ühendusi ja muid organeid tuleks kutsuda üles koostama käesoleva määrusega kooskõlas olevaid toimimisjuhendeid, et kaasa aidata käesoleva määruse tõhusale kohaldamisele, võttes arvesse konkreetsetes sektorites toimuva töötlemise eriomadusi. (77) Selleks et parandada läbipaistvust ja käesoleva määruse järgimist, tuleks soodustada sertifitseerimismehhanismide, isikuandmete kaitse pitserite ja märgiste kehtestamist, mis annavad andmesubjektidele võimaluse kiiresti hinnata asjakohaste toodete ja teenuste isikuandmete kaitse taset. (78) Isikuandmete liikumine üle piiride on vajalik rahvusvahelise kaubanduse ja koostöö laiendamiseks. Nimetatud voogude suurenemine on laiendanud isikuandmete kaitsega seonduvate probleemide ringi. Isikuandmete edastamisel EList kolmandatele riikidele ja rahvusvahelistele organisatsioonidele ei tohiks aga kahjustada ELis käesoleva määrusega tagatud üksikisikute kaitse taset. Igal juhul tohib andmeid kolmandatele riikidele edastada ainult käesolevat määrust täielikult järgides. (79) Käesolev määrus ei piira ELi ja kolmandate riikide vahel sõlmitud selliste rahvusvaheliste lepingute kohaldamist, millega reguleeritakse isikuandmete edastamist, sealhulgas asjakohaseid andmesubjektide kaitsmise meetmeid. (80) Komisjon võib terve ELi osas otsustada, et teatavad kolmandad riigid, kolmanda riigi territoorium või töötlemissektor või rahvusvaheline organisatsioon pakub isikuandmete kaitset piisaval tasemel, tagades seega terves ELis õiguskindluse ja ühtsuse seoses kolmandate riikide ja rahvusvaheliste organisatsioonidega, mis tagavad isikuandmete kaitse piisava taseme. Sellisel juhul võib isikuandmete edastamine kõnealustesse riikidesse toimuda ilma täiendava loata. (81) Kooskõlas põhiväärtustega, millele EL on rajatud, eelkõige inimõiguste kaitsmisega, peaks komisjon kolmanda riigi hindamisel arvesse võtma seda, kuidas asjaomane kolmas riik peab kinni õigusriigi ja õiguskaitse kättesaadavuse põhimõtetest ning rahvusvahelistest inimõiguste normidest ja standarditest. (82) Samuti võib komisjon tunnistada, et kolmas riik, kolmanda riigi territoorium või töötlemissektor või rahvusvaheline organisatsioon ei paku isikuandmete kaitset piisaval tasemel. Sellest tulenevalt peaks olema keelatud isikuandmete edastamine kõnealusele kolmandale riigile. Sellisel juhul tuleks ette näha komisjoni ja sellise kolmanda riigi või rahvusvahelise organisatsiooni konsultatsioonid. (83) Kaitse piisavust käsitleva otsuse puudumise korral peaks vastutav töötleja või volitatud töötleja võtma meetmed, et tasakaalustada kolmanda riigi isikuandmete kaitse puudulik tase asjakohaste andmesubjekti kaitsmise meetmetega. Sellised asjakohased kaitsemeetmed võivad hõlmata järgneva kasutamist: siduvad ettevõtluseeskirjad, komisjoni vastu võetud standardsed isikuandmete kaitse klauslid, järelevalveasutuse vastu võetud standardsed isikuandmete kaitse klauslid, järelevalveasutuse heaks kiidetud lepingusätted ning muud kohased ja proportsionaalsed meetmed, mis on põhjendatud andmete edastamise toimingu(te) kõigi asjaoludega ja mille järelevalveasutus on heaks kiitnud. (84) Vastutavale töötlejale ja volitatud töötlejale antud võimalus kasutada komisjoni või järelevalveasutuse vastu võetud standardseid isikuandmete kaitse klausleid ei tohiks välistada vastutava töötleja ja volitatud töötleja võimalust lisada standardsed isikuandmete kaitse klauslid põhjalikumasse lepingusse ega võimalust lisada muid sätteid, kui need ei lähe otseselt ega kaudselt vastuollu komisjoni või järelevalveasutuse vastu võetud standardsete isikuandmete kaitse klauslitega ega piira andmesubjektide põhiõigusi ja -vabadusi. (85) Kontsern peaks saama andmete rahvusvahelise edastamise korral EList samasse kontserni kuuluvatele organisatsioonidele kasutada heakskiidetud siduvaid ettevõtluseeskirju, kui sellised eeskirjad hõlmavad olulisi põhimõtteid ja kohtulikult kaitstavaid õigusi, et tagada sobivad kaitsemeetmed isikuandmete edastamise eri liikide puhul. (86) Andmete edastamine peaks olema võimalik teatavatel asjaoludel, kui andmesubjekt on andnud oma nõusoleku, kui edastamine on vajalik seoses lepingu või kohtumenetlusega, kui seda nõuab ELi või liikmesriikide õiguses sätestatud kaalukas avalik huvi või kui edastatakse seadusega loodud ja avalikkusele või kõigile õigustatud huviga isikutele tutvumiseks avatud registrist pärinevaid andmeid. Viimati nimetatud juhul ei tohiks edastada kõiki andmeid ega registris sisalduvate andmete kõiki liike ja juhul, kui register on mõeldud tutvumiseks õigustatud huviga isikutele, tuleks andmed edastada ainult kõnealuste isikute taotluse korral või juhul, kui nemad on andmete vastuvõtjad. (87) Nimetatud erandid on asjakohased eelkõige selliste andmeedastustoimingute puhul, mis on vajalikud kaaluka avaliku huvi kaitsmiseks, näiteks andmete rahvusvahelisel edastamisel konkurentsi-, maksu- ja tolli-, finantsjärelevalve-, sotsiaalkindlustus- ning kuritegude tõkestamises, uurimises, avastamises või kuritegude eest vastutusele võtmises pädevate asutuste vahel. (88) Edastamine, mida ei saa pidada sagedaseks ega mahukaks, võib samuti toimuda vastutava töötleja või volitatud töötleja õigustatud huvides, kui ta on hinnanud andmeedastustoimingu kõiki asjaolusid. Isikuandmete töötlemise korral ajaloo- või statistikauurimuste ning teadustöö eesmärgil tuleks arvesse võtta ühiskonna õiguspäraseid ootusi laialdasemate teadmiste osas. (89) Kõigil juhtudel, kui komisjon ei ole teinud otsust kolmanda riigi isikuandmete kaitse taseme piisavuse kohta, peaks vastutav töötleja või volitatud töötleja kasutama lahendusi, mis annavad andmesubjektidele tagatise, et neil on pärast neid käsitlevate andmete edastamist samad põhiõigused ja nende suhtes kohaldatakse samu kaitsemeetmeid, kui andmete töötlemise korral liidus. (90) Mõned kolmandad riigid kehtestavad seadused, määrused ja muud õigusaktid, millega vahetult reguleeritakse liikmesriikide jurisdiktsiooni alla kuuluvate füüsiliste ja juriidiliste isikute andmetöötlustoiminguid. Nende seaduste, määruste ja muude õigusaktide kohaldamine väljaspool asjaomase kolmanda riigi territooriumi võib olla vastuolus rahvusvahelise õigusega ning takistada ELis käesoleva määrusega tagatud üksikisikute kaitse taseme saavutamist. . Edastamine peaks olema lubatud ainult juhul, kui on täidetud käesoleva määruse tingimused kolmandatesse riikidesse edastamise kohta. Nii võib see olla muu hulgas siis, kui avaldamine on vajalik kaaluka avaliku huvi tõttu, mis on sätestatud kas ELi või liikmesriigi õiguses, mida vastutava töötleja suhtes kohaldatakse. Komisjon peaks täpsustama kaaluka avaliku huvi esinemise tingimusi delegeeritud õigusaktiga. (91) Isikuandmete liikumine üle piiride võib raskendada üksikisikute võimalusi kasutada õigust isikuandmete kaitsele, eelkõige kaitsta end nimetatud teabe ebaseadusliku kasutamise ja avaldamise eest. Samal ajal võib järelevalveasutus sattuda olukorda, milles ta leiab, et ei suuda käsitleda kaebusi ega teostada uurimist väljapoole oma riigi piire jäävates küsimustes. Nende piiriülese koostöö püüdlusi võivad takistada ka ebapiisavad volitused tõkestamisel ja olukordade parandamisel, ebaühtlane õiguskord ja praktilised tõkked, nagu piiratud vahendid. Seepärast on vaja tihendada isikuandmete kaitse järelevalveasutuste koostööd, et aidata neil vahetada teavet ja teostada uurimist koos teiste riikide järelevalveasutustega. (92) Liikmesriikides täiesti sõltumatult oma tööülesandeid täitvate järelevalveasutuste loomine on oluline tegur üksikisikute kaitsmisel seoses nende isikuandmete töötlemisega. Liikmesriik võib luua mitu järelevalveasutust, et arvestada nende põhiseaduslikku, organisatsioonilist ja haldusstruktuuri. (93) Kui liikmesriik loob mitu järelevalveasutust, peaks ta seadusega kehtestama mehhanismid, millega tagatakse nende järelevalveasutuste tõhus osalemine järjepidevuse mehhanismis. Eelkõige peaks kõnealune liikmesriik määrama järelevalveasutuse, kes tegutseb keskse kontaktpunktina nende asutuste tõhusaks osalemiseks mehhanismis, et tagada kiire ja takistusteta koostöö teiste järelevalveasutustega, Euroopa Andmekaitsenõukogu ja komisjoniga. (94) Igale järelevalveasutusele tuleks anda piisavad rahalised ja inimressursid, hooned ja infrastruktuur, mis on vajalikud nende ülesannete, sealhulgas terve ELi järelevalveasutustega tehtava koostöö ja vastastikuse abiga seotud ülesannete täitmiseks. (95) Järelevalveasutuse liikmetele esitatavad üldtingimused tuleks kehtestada igas liikmesriigis seadusega ning eelkõige tuleks ette näha see, et liikmed peaks ametisse nimetama kas liikmesriigi parlament või valitsus, ning eeskirjad liikmete isikliku kvalifikatsiooni ja ametiseisundi kohta. (96) Järelevalveasutused jälgivad käesoleva määruse kohaldamist ja aitavad kaasa selle ühtsele kohaldamisele terves ELis, et kaitsta füüsilisi isikuid nende isikuandmete töötlemisel ning soodustada isikuandmete vaba liikumist siseturul. Selleks peaksid järelevalveasutused tegema koostööd üksteise ja komisjoniga. (97) Kui ELis asuva vastutava töötleja või volitatud töötleja tegevuse raames töödeldakse isikuandmeid mitmes liikmesriigis, peaks kontrollima vastutava töötleja või volitatud töötleja tervet ELi hõlmavat tegevust ja võtma vastu seonduvad otsused üks järelevalveasutus, et parandada kohaldamise järjepidevust, õiguskindlust ja vähendada asjaomaste vastutavate töötlejate ja volitatud töötlejate halduskoormust. (98) Selliseks ühtseks kontaktpunktiks olev pädev asutus on selle liikmesriigi järelevalveasutus, kus on vastutava töötleja või volitatud töötleja peamine tegevuskoht. (99) Kuigi käesolevat määrust kohaldatakse ka liikmesriikide kohtute tegevuse suhtes, ei peaks järelevalveasutuste pädevus selleks, et kaitsta kohtunike sõltumatust nende ülesannete täitmisel, hõlmama isikuandmete töötlemist juhul, kui kohtud tegutsevad oma õigusliku pädevuse piires. Kõnealune erand peaks siiski rangelt piirduma õiguskaitseasutuste tegevusega kohtuasjades ega tohiks laieneda muule tegevusele, millega kohtunikud võivad olla seotud vastavalt siseriiklikele õigusaktidele. (100) Selleks et tagada kogu liidus ühtlane järelevalve käesoleva määruse üle ja selle ühtlane täitmine, peaksid järelevalveasutustel olema kõikides liikmesriikides samad ülesanded ja volitused, sealhulgas uurimis-, õiguslikult siduva sekkumise, otsuste tegemise ja sanktsioonide kehtestamise volitused, eelkõige üksikisikute esitatud kaebuste puhul, ning volitused osaleda kohtumenetlustes. Järelevalveasutuste uurimisvolitusi seoses juurdepääsuga ruumidele tuleks kasutada kooskõlas ELi ja liikmesriikide õigusega. Eelkõige on see nii kohtu eelneva loa hankimise nõude puhul. (101) Iga järelevalveasutus peaks võtma vastu andmesubjekti esitatud kaebuse ja küsimust uurima. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ning selle tulemus peaks olema võimalik kohtulikult läbi vaadata. Järelevalveasutus peaks teavitama andmesubjekti kaebuse menetlemise käigust ja tulemusest mõistliku aja jooksul. Kui juhtum vajab täiendavat uurimist või kooskõlastamist mõne teise järelevalveasutusega, tuleks sellest teatada andmesubjektile. (102) Järelevalveasutuste avalikkusele suunatud teadlikkuse tõstmise meetmed peaksid hõlmama volitatud töötlejatele, sealhulgas mikro-, väike- ja keskmise suurusega ettevõtetele ning andmesubjektidele suunatud konkreetseid meetmeid. (103) Järelevalveasutused peaksid abistama üksteist ülesannete täitmisel ja andma vastastikust abi, et tagada käesoleva määruse järjekindel kohaldamine ja täitmine siseturul. (104) Igal järelevalveasutusel peaks olema õigus osaleda järelevalveasutuste ühisoperatsioonides. Taotluse saanud järelevalveasutus peaks olema kohustatud taotlusele vastama kindlaksmääratud ajavahemiku jooksul. (105) Selleks et tagada käesoleva määruse ühtne kohaldamine terves ELis, tuleks kehtestada järelevalveasutuste vaheliseks ja komisjoniga tehtavaks koostööks järjepidevuse mehhanism. Kõnealust mehhanismi tuleks kohaldada eelkõige siis, kui järelevalveasutus kavatseb võtta meetmeid seoses töötlustoimingutega, mis on seotud kaupade või teenuste pakkumisega mitmes liikmesriigis asuvatele andmesubjektidele või selliste andmesubjektide jälgimisega või mis võivad oluliselt mõjutada isikuandmete vaba liikumist. Mehhanismi tuleks kohaldada ka siis, kui mis tahes järelevalveasutus või komisjon taotleb küsimuse käsitlemist järjepidevuse mehhanismi raames. Nimetatud mehhanism ei tohi piirata mis tahes meedet, mida komisjon võib võtta oma aluslepingutest tulenevate volituste kasutamisel. (106) Järjepidevuse mehhanismi kohaldamise korral peaks Euroopa Andmekaitsenõukogu esitama kindlaksmääratud ajavahemiku jooksul oma arvamuse, kui nii otsustatakse liikmete lihthäälteenamusega või kui seda taotleb mis tahes järelevalveasutus või komisjon. (107) Selleks et tagada käesoleva määruse järgimine, võib komisjon vastu võtta käesolevat valdkonda käsitleva arvamuse või otsuse, mille alusel peab järelevalveasutus oma kavandatava meetme peatama. (108) Selleks et kaitsta andmesubjektide huve, võib olla vaja tegutseda kiiresti, eriti siis, kui on olemas oht, et andmesubjekti õiguse kohtuliku kaitsmise võimalust võidakse märkimisväärselt takistada. Seetõttu peaks järelevalveasutusel olema võimalik võtta järjepidevuse mehhanismi kohaldamise korral konkreetse kehtivusajaga ajutisi meetmeid. (109) Kõnealuse mehhanismi kohaldamine peaks olema järelevalveasutuse vastava otsuse õiguspärasuse ja täitmisele pööramise tingimus. Teistel piiriülese tähtsusega juhtudel võivad asjaomased järelevalveasutused kahepoolselt või mitmepoolselt pakkuda vastastikust abi ja teostada ühist uurimist, kasutamata selleks järjepidevuse mehhanismi. (110) ELi tasandil tuleks luua Euroopa Andmekaitsenõukogu. See peaks asendama direktiivi 95/46/EÜ alusel loodud töörühma üksikisikute kaitseks seoses isikuandmete töötlemisega. Sinna peaksid kuuluma iga liikmesriigi järelevalveasutuse juht ja Euroopa andmekaitseinspektor. Komisjon peaks osalema nõukogu tegevuses. Euroopa Andmekaitsenõukogu peaks aitama kaasa käesoleva määruse ühtsele kohaldamine terves ELis, sealhulgas nõustades komisjoni ja edendades järelevalveasutuste koostööd terves ELis. Euroopa Andmekaitsenõukogu peaks täitma oma ülesandeid sõltumatult. (111) Igal andmesubjektil peaks olema õigus esitada kaebus ükskõik millise liikmesriigi järelevalveasutusele ja õigus õiguskaitsevahendile, kui ta on seisukohal, et tema käesolevast määrusest tulenevaid õigusi on rikutud, või kui järelevalveasutus ei reageeri kaebusele ega võta meetmeid juhul, kui need on vajalikud andmesubjekti õiguste kaitsmiseks. (112) Mis tahes asutusel, organisatsioonil või ühingul, mille eesmärk on kaitsta andmesubjektide andmete kaitsega seonduvaid õigusi ja huve ja mis on loodud liikmesriigi õigusakti alusel, peaks olema õigus esitada järelevalveasutusele kaebus või kasutada õigust õiguskaitsevahendile andmesubjektide nimel või esitada andmesubjekti kaebusest sõltumatult oma kaebus, kui ta leiab, et on toimunud isikuandmetega seotud rikkumine. (113) Iga füüsilisel ja juriidilisel isikul peaks olema õigus õiguskaitsevahendile järelevalveasutuse teda käsitleva otsuse puhul. Järelevalveasutuse vastane hagi tuleks esitada selle liikmesriigi kohtutele, kus järelevalveasutus asub. (114) Andmesubjekti õiguskaitse parandamiseks olukorras, kus pädev järelevalveasutus asub liikmesriigis, mis ei ole andmesubjekti elukohariik, võib andmesubjekt paluda mis tahes asutusel, organisatsioonil või ühingul, mille eesmärk on kaitsta andmesubjektide andmete kaitsega seonduvaid õigusi ja huve, esitada andmesubjekti nimel hagi kõnealuse järelevalveasutuse vastu teise liikmesriigi pädevale kohtule. (115) Olukorras, kus teises liikmesriigis asuv pädev järelevalveasutus ei võta seoses kaebusega meetmeid või on tema võetud meetmed ebapiisavad, võib andmesubjekt esitada oma tavapärases elukohariigis asuvale järelevalveasutusele taotluse, et see esitaks teise liikmesriigi pädevale kohtule hagi teise liikmesriigi järelevalveasutuse vastu. Taotluse saanud järelevalveasutus võib otsustada, kas taotluse vastuvõtmine on asjakohane või mitte ning tema otsuse võib kohtulikult läbi vaadata. (116) Vastutava töötleja või volitatud töötleja vastase hagi korral peaks hagejal olema võimalus esitada hagi kohtule liikmesriigis, kus vastutav töötleja või volitatud töötleja asub või andmesubjekti elukohariigis, välja arvatud juhul, kui vastutav töötleja on avaliku sektori asutus, kes teostab oma avalikku võimu. (117) Kui on tõendeid, et üheaegselt on käimas kohtumenetlused erinevates liikmesriikides, peaksid kohtud üksteisega ühendust võtma. Kohtutel peaks olema võimalus kohtuasi lõpetada juhul, kui on pooleli paralleelne menetlus teises liikmesriigis. Liikmesriigid peaksid tagama, et kohtumenetluste tulemuslikkuse tagamiseks peaks olema võimalik kiiresti võtta meetmeid käesoleva määruse rikkumise heastamiseks või ärahoidmiseks. (118) Igasuguse kahju, mida üksikisikule võib põhjustada ebaseaduslik töötlemine, peaks kompenseerima vastutav töötleja või volitatud töötleja, kuid ta võidakse sellest kohustusest vabastada, kui ta tõestab, et ta ei ole kahju eest vastutav, seda eelkõige andmesubjekti süü või vääramatu jõu korral. (119) Igale eraõiguslikule või avalik-õiguslikule isikule, kes ei järgi käesolevat määrust, tuleks määrata karistus. Liikmesriigid peaksid tagama, et karistused on tõhusad, proportsionaalsed ja hoiatavad ning nad peaksid võtma kõik meetmed karistuste täitmisele pööramiseks. (120) Selleks et tugevdada ja ühtlustada halduskaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused karistada haldusrikkumiste eest. Käesolevas määruses tuleks loetleda need rikkumised ja sätestada asjaomase haldustrahvi ülemmäär, mis tuleks iga juhtumi puhul eraldi kindlaks määrata vastavalt konkreetsele olukorrale, eelkõige silmas pidades rikkumise laadi, raskusastet ja ajalist kestvust. Halduskaristuste kohaldamise erinevuste kompenseerimiseks võib kasutada ka järjepidevuse mehhanismi. (121) Juhul kui isikuandmeid töödeldakse ainult ajakirjanduse jaoks või kunstilise või kirjandusliku eneseväljenduse huvides, tuleks kohaldada erandit käesoleva määruse teatavate sätete nõuetest, et viia omavahel vastavusse isikuandmete kaitse õigus ja väljendusvabadusõigus, eelkõige Euroopa Liidu põhiõiguste harta artikliga 11 tagatud õigus saada ja levitada teavet. Seda tuleks kohaldada eelkõige isikuandmete töötlemise suhtes audiovisuaalvaldkonnas ning uudiste arhiivide ja perioodikaraamatukogude puhul. Seepärast peaksid liikmesriigid vastu võtma õigusaktid, millega kehtestatakse vabastused ja erandid, mis on vajalikud nimetatud põhiõiguste tasakaalustamise eesmärgil. Sellised vabastused ja erandid peaksid liikmesriigid vastu võtma üldpõhimõtete, andmesubjekti õiguste, vastutava töötleja ja volitatud töötleja, andmete kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastamise, sõltumatute järelevalveasutuste ning koostöö ja ühtsuse kohta. Liikmesriigid ei tohiks siiski kehtestada erandeid käesoleva määruse muudest sätetest. Selleks et võtta arvesse väljendusvabadusõiguse tähtsust igas demokraatlikus ühiskonnas, tuleb tõlgendada selle vabadusega seonduvaid kontseptsioone, näiteks ajakirjandust, üldiselt. Seepärast peaksid liikmesriigid klassifitseerima käesoleva määrusega kehtestatavate vabastuste ja erandite seisukohast tegevuse „ajakirjanduslikuna” siis, kui tegevuse eesmärk on üldsusele teabe, arvamuste või ideede avaldamine, sõltumata nende edastamise kanalist. Tegevus ei tohiks piirduda meediaettevõtjatega ning see võib toimuda tulunduslikel või mittetulunduslikel eesmärkidel. (122) Terviseandmete kui põhjalikumat kaitset vääriva andmete eriliigi töötlemist põhjendatakse tihti mitme seadusliku põhjusega, näiteks üksikisiku ja terve ühiskonna kasuga, eelkõige piiriülese tervishoiu järjepidevuse tagamise kontekstis. Seetõttu tuleks käesoleva määrusega ühtlustada terviseandmete töötlemine, mille puhul rakendatakse konkreetseid ja sobivaid kaitsemeetmeid, et kaitsta üksikisikute põhiõigusi ja isikuandmeid. See hõlmab üksikisikute õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. (123) Terviseandmete töötlemine (ilma andmesubjekti nõusolekuta) võib olla avalikes huvides vajalik näiteks rahvatervise valdkonnas. Selles kontekstis tõlgendatakse „rahvatervist” Euroopa Parlamendi ja nõukogu 16. detsembri 2008. aasta määruse (EÜ) nr 1338/2008 (rahvatervist ning töötervishoidu ja tööohutust käsitleva ühenduse statistika kohta) mõistes, mille kohaselt rahvatervis on kõik tervisega seotud asjaolud, täpsemalt terviseseisund, sealhulgas haigestumus ja puuded, terviseseisundit mõjutavad tegurid, tervishoiualased vajadused, tervishoiule eraldatud vahendid, tervishoiuteenuse osutamine ja selle