3.1ESIO kaip duomenų valdytojų vaidmuo

Apskritai iš ESIO atsiliepimų matyti, kad pirmais keleriais metais taikomas ESDAR sėkmingai padėjo stiprinti jų bendrą duomenų apsaugos kultūrą. Šiuo atžvilgiu 94 proc. ESIO nurodė, kad įsigaliojus ESDAR jų organizacijos informuotumas apie duomenų apsaugos taisykles šiek tiek arba gerokai padidėjo. Apskritai ESIO nurodė, kad ESDAR turėjo teigiamą poveikį jų duomenų apsaugos politikai, o ESIO darbuotojai geriau suvokia savo organizacijos kaip duomenų valdytojų atskaitomybę ir yra geriau informuoti apie asmens duomenų tvarkymui taikomus reikalavimus.

ESIO nurodė, kad svarbiausias ESDAR poveikis, palyginti su panaikintu Reglamentu Nr. 45/2001, yra tai, kad atliekamas poveikio duomenų apsaugai vertinimas, nustatomi ir valdomi duomenų saugumo pažeidimo atvejai ir atsižvelgiama į pritaikytąją ir standartizuotąją duomenų apsaugą. Pagal ESDAR galimybė duomenis valdyti bendrai – kelioms organizacijoms kartu nustatyti asmens duomenų tvarkymo tikslus ir priemones – tampa akivaizdesnė, kaip ir pagal BDAR. EDAPP šia tema pateikė gaires, o Komisija parengė bendro duomenų valdymo susitarimų vidaus šablonus.

Nors papildomi atskaitomybės reikalavimai, būtini siekiant įrodyti, kad ESIO laikosi ESDAR, apskritai buvo vertinami palankiai, kai kurios ESIO pažymėjo, kad dėl ESDAR taisyklių padidėjo darbo krūvis. Jos taip pat nurodė, kad ESDAR nustatytos gana sudėtingos taisyklės, todėl ES institucijose ir organuose, įskaitant jų duomenų apsaugos pareigūnus (DAP), taip pat duomenų apsaugos koordinatorių (DAK) tinkluose tokius tinklus turinčiose ESIO, reikia daugiau ekspertinių žinių.

Visos, išskyrus dvi, ESIO duomenų tvarkymo operacijas registruoja centriniame registre. Nors pagal ESDAR to konkrečiai nereikalaujama, tai yra gera praktika, kurią taip pat rekomenduoja EDAPP. Be to, 72 proc. ESIO įrašais pakeitė visus savo pranešimus DAP pagal ankstesnį reglamentą. Šios užduoties iki galo dar neatlikusios institucijos ir organai turėtų peržiūrėti ir atnaujinti savo duomenų tvarkymo operacijų dokumentus ir taip užtikrinti, kad jie būtų išsamūs ir atnaujinti.

3.2Naudojimasis duomenų subjektų teisėmis

ESDAR duomenų subjektams suteikiamos plačios su jų asmens duomenų tvarkymu susijusios teisės, atitinkančios BDAR. ESIO, kaip duomenų valdytojai, turi konkrečią prievolę užtikrinti, kad tomis teisėmis būtų lengva naudotis. Todėl 96 proc. ESIO nurodė, kad vykdė informuotumo didinimo veiklą, pvz., atnaujino viešai skelbiamą informaciją apie jų vykdomas duomenų tvarkymo operacijas, informacinius pranešimus arba duomenų subjektams skirtus vadovus.

Kelios ESIO, kaip antai Komisija, Europos Centrinis Bankas ir Europos išorės veiksmų tarnyba, pranešė, kad 2018–2021 m. prašymų iš asmenų gavo akivaizdžiai daugiau. Tačiau kitų institucijų ir organų, pvz., Europos Sąjungos Teisingumo Teismo, Europos ekonomikos ir socialinių reikalų komiteto ir Europos Sąjungos prieglobsčio agentūros, rodikliai nepakito arba svyravo be aiškios tendencijos. Atsižvelgiant į tai, kad skirtingų rūšių prašymai įvairiose ESIO registruojami skirtingai, aiškios duomenų subjektų teikiamų prašymų skaičiaus tendencijos įsigaliojus ESDAR nustatyti dar neįmanoma.

3.3Duomenų subjektų teisių apribojimas vidaus taisyklėmis

Kaip ir BDAR, ESDAR numatyta galimybė apriboti tam tikras duomenų subjektų teises. Tai galima padaryti teisėkūros procedūra priimtais aktais ir vidaus taisyklėmis. Tokioms vidaus taisyklėms taikomi griežti kriterijai. Jos turi būti aiškios ir tikslios, o jų taikymas asmenims, kuriems jos skirtos, turi būti prognozuojamas. Taisyklės turi būti paskelbtos Oficialiajame leidinyje ir atitikti Pagrindinių teisių chartijoje ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje nustatytus reikalavimus.

Vidaus taisyklėmis grindžiami apribojimai gali būti susiję tik su ESIO veikla. Taisyklėse turi būti paisoma pagrindinių teisių, jos turi būti demokratinėje visuomenėje būtinos ir proporcingos priemonės, taip pat jomis turi būti siekiama užtikrinti vieną iš ESDAR konkrečiai nurodytų tikslų. Bet kuris duomenų subjektas, kurio teisės buvo apribotos, turi teisę pateikti skundą EDAPP.

Vidaus taisykles yra priėmusios didžioji dauguma (84 proc.) ESIO. Pavyzdžiui, tokios taisyklės nustatytos, kad būtų galima atidėti informacijos teikimą asmeniui, susijusiam su vidaus administraciniu tyrimu. Kitais atvejais tokiomis taisyklėmis siekiama užtikrinti nuolatinį veiksmingą bendradarbiavimą su valstybėmis narėmis srityse, kuriose vykdant ESIO veiklą kliaujamasi iš valstybių narių kompetentingų institucijų gaunama informacija. Pavyzdžiui, Komisijos priimtose vidaus taisyklėse, taikomose tvarkant asmens duomenis jai vykdant veiklą konkurencijos, kovos su sukčiavimu ir vidaus audito srityse, numatyta galimybė apriboti duomenų subjektų teises, kai asmens duomenys gaunami iš valstybių narių kompetentingų institucijų. Tose taisyklėse numatyta galimybė nustatyti panašius apribojimus, kai nacionalinės valdžios institucijos yra nustačiusios apribojimus, remdamosi teisėkūros priemone, kuri yra galima pagal BDAR arba Teisėsaugos direktyvą.

Jeigu ESIO yra priėmę vidaus taisykles, kuriomis leidžiama apriboti duomenų subjektų teises, tokie apribojimai paprastai taikomi kiekvienu konkrečiu atveju, kaip reikalaujama pagal jų atitinkamas vidaus taisykles. Tačiau 69 proc. ESIO, kurie yra nustatę 25 straipsnyje nurodytas taisykles, pranešė, kad jomis dar nesinaudojo. Jomis pasinaudojusios institucijos ir organai, išskyrus Europos Parlamentą ir Komisiją, nurodė mažiau nei 10 apribojimų atvejų. OLAF veikloje dažniau kildavo būtinybė taikyti apribojimus, visų pirma atidėti informacijos apie asmens duomenų tvarkymą teikimą duomenų subjektams, kai tyrimas dar ankstyvame etape, kad tai nepakenktų renkant įrodymus. OLAF taip pat keliais atvejais taikė apribojimus, susijusius su duomenų subjektų prašymais leisti susipažinti su savo asmens duomenimis, kurie buvo atmesti tik siekiant apsaugoti kitų asmenų teises ir laisves, pvz., jei atskleidus duomenis kiltų pavojus, kad bus imamasi atsakomųjų veiksmų prieš informatorių.

ESIO vidaus taisyklėse paprastai reikalaujama informuoti savo DAP apie visus taikomus apribojimus ir suteikti DAP galimybę susipažinti su įrašais ir visais dokumentais, susijusiais su tais apribojimais.

3.4Duomenų apsaugos pareigūnai

Prievolė, kad kiekvienoje ESIO būtų duomenų apsaugos pareigūnas (DAP), jau buvo nustatyta ankstesniame Reglamente Nr. 45/2001. Nustačius atskaitomybės principą, ši funkcija pagal ESDAR tapo pastebimesnė. Tai reiškia, kad duomenų valdytojas yra atsakingas už duomenų apsaugos taisyklių laikymąsi ir turi galėti įrodyti, kad jų laikosi.

46 proc. ESIO jų DAP padeda DAK tinklai ar panašios struktūros. Labiau tikėtina, kad tokius tinklus turės didesnės ESIO (pvz., Europos Parlamentas, Tarybos generalinis sekretoriatas, Komisija ir Europos išorės veiksmų tarnyba (EIVT)). EIVT taip pat sudaro ir palaiko duomenų apsaugos korespondentų tinklą ES delegacijose.

Dalis ESIO nurodė, kad jų DAP (ir atitinkamai DAK) atsakomybė ir darbo krūvis padidėjo. Tos institucijos ir organai pripažino, kad DAP (ir DAK) reikia skirti daugiau išteklių siekiant užtikrinti, kad jie galėtų veiksmingai įgyvendinti savo ESIO duomenų apsaugos politiką. Taip pat buvo nurodyta būtinybė užtikrinti DAP nepriklausomumą.

Šioje srityje esama dvejopų tendencijų: viena vertus, ESDAR tvirčiau pabrėžiama duomenų valdytojo atskaitomybė, pvz., panaikinus išankstinio tikrinimo procedūrą, kuri buvo taikoma pagal ankstesnį Reglamentą Nr. 45/2001, ir taip sumažinus administracinę naštą; kita vertus, duomenų valdytojai dažniau prašo DAP ir (arba) DAK rekomendacijų, kaip geriausia laikytis ESDAR. Šiuo atžvilgiu pažymėta, kad ESIO DAP tinklas – svarbus forumas, kuriame aptariami ir išaiškinami tam tikri teisiniai ir techniniai aspektai, konkrečiai susiję su ESIO vykdomu duomenų tvarkymu. Šiame tinkle DAP gali keistis informacija su EDAPP ir tarpusavyje. Tinklo nariai nuolat bendradarbiauja ir paprastai susitinka dukart per metus.

Daugiau kaip pusė (54 proc.) ESIO savo DAP ir duomenų apsaugos funkcijoms apskritai skyrė daugiau išteklių. Dauguma (84 proc.) ESIO pritaikė savo vidaus procesus siekdami užtikrinti, kad jų darbuotojai informuotų DAP apie naujas asmens duomenų tvarkymo operacijas ir su jais konsultuotųsi. Tai paprastai daroma įtraukiant DAP, pvz., į pokyčių valdymo procesus arba į projektų valdančiąsias tarybas.