EUROPOS KOMISIJA Briuselis, 2022 07 25 COM(2022) 364 final KOMISIJOS KOMUNIKATAS EUROPOS PARLAMENTUI IR TARYBAI Pirmoji Duomenų apsaugos teisėsaugos srityje direktyvos (ES) 2016/680 (Teisėsaugos direktyvos) taikymo ir veikimo ataskaita











KOMISIJOS KOMUNIKATAS EUROPOS PARLAMENTUI IR TARYBAI Pirmoji Duomenų apsaugos teisėsaugos srityje direktyvos (ES) 2016/680 (Teisėsaugos direktyvos) taikymo ir veikimo ataskaita Turinys 1 Teisėsaugos direktyva kaip pagrindinė priemonė, kuria Europos Sąjungos saugumo politikos srityje užtikrinama duomenų apsauga 1.1 Vienas pagrindinių nuoseklios Europos Sąjungos duomenų apsaugos sistemos elementų 1.2 Esminis indėlis siekiant Europos Sąjungoje užtikrinti patikimą saugumo politiką 1.3 Svarbios aplinkybės rengiant ataskaitą 2 Perkėlimas į nacionalinę teisę patenkinamas, tačiau neišspręstų problemų dar esama 2.1 Apskritai Direktyva į nacionalinę teisę visiškai perkelta, bet esama problemų dėl tam tikrų nuostatų 2.2 Atitikties vertinimo prioritetai 2.2.1 Teisėsaugos direktyvos taikymo sritis 2.2.2 Duomenų apsaugos priežiūros institucijų valdymas ir įgaliojimai 2.2.3 Teisių gynimo priemonės 2.2.4 Saugojimo ir peržiūros terminai 2.2.5 Duomenų, įskaitant specialių kategorijų asmens duomenis, tvarkymo teisinis pagrindas 2.2.6 Automatizuotas sprendimų priėmimas 2.2.7 Duomenų subjektų teisės

2.2.8 Konkrečiai Teisėsaugos direktyvai būdingos tam tikros svarbios nuostatos 3 Pirmieji Teisėsaugos direktyvos taikymo ir veikimo patirties pavyzdžiai 3.1 Skundai ir teigiamas poveikis duomenų subjektų teisėms 3.2 Didesnis kompetentingų institucijų informuotumas duomenų apsaugos klausimais 3.3 Didesnis duomenų saugumas, tačiau esama nukrypimų pranešant apie duomenų saugumo pažeidimus 3.4 Duomenų apsaugos priežiūros institucijų vykdoma priežiūra 3.4.1 Duomenų apsaugos priežiūros institucijų ištekliai 3.4.2 Naudojimasis įgaliojimais 3.4.3 Duomenų apsaugos priežiūros institucijų veiksmų teisminė peržiūra 3.4.4 EDAV gairės 3.4.5 Savitarpio pagalba 3.5 Lanksti tarptautinio duomenų perdavimo priemonė 3.5.1 Sprendimai dėl tinkamumo 3.5.2 Tinkamos apsaugos priemonės 3.5.3 Nukrypti leidžiančių nuostatų taikymas 3.5.4 Veiksmingas tarpvalstybinis policijos ir teisminis bendradarbiavimas 4 Tolesni veiksmai



1Teisėsaugos direktyva kaip pagrindinė priemonė, kuria Europos Sąjungos saugumo politikos srityje užtikrinama duomenų apsauga

Šiame komunikate pateikiama Europos Komisijos pirmoji Duomenų apsaugos teisėsaugos srityje direktyvos (ES) 2016/680 (toliau – Teisėsaugos direktyva) vertinimo ir peržiūros ataskaita, teikiama pagal Teisėsaugos direktyvos 62 straipsnio 1 dalį. Ataskaitoje visų pirma nagrinėjama, kaip Teisėsaugos direktyvos taisyklės taikomos ir veikia perduodant asmens duomenis trečiosioms valstybėms ir tarptautinėms organizacijoms, kaip reikalaujama pagal Teisėsaugos direktyvą, tačiau pateikiama ir platesnė apžvalga. Joje nurodoma Teisėsaugos direktyvos vieta ES asmens duomenų apsaugos teisės sistemoje ir ES teisės, reglamentuojančios asmens duomenų tvarkymą nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas ir bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais (baudžiamosios teisėsaugos), sistemoje. Ataskaitoje apžvelgiama, kaip valstybės narės Teisėsaugos direktyvą perkėlė į savo nacionalinę teisę, pristatomi pirmieji taikant Teisėsaugos direktyvą ir jai veikiant įgytos patirties pavyzdžiai ir nurodomi būsimi veiksmai. 1.1Vienas pagrindinių nuoseklios Europos Sąjungos duomenų apsaugos sistemos elementų Teisėsaugos direktyva – vienas iš trijų ES sistemos, kuria užtikrinama pagrindinė teisė į asmens duomenų apsaugą, ramsčių. Kiti du ramsčiai – Bendrasis duomenų apsaugos reglamentas (BDAR) ir Reglamentas dėl ES institucijų ir įstaigų tvarkomų duomenų apsaugos (ESDAR) . Pagrindinė teisė į duomenų apsaugą įtvirtinta Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnyje ir Sutarties dėl Europos Sąjungos veikimo (SESV) 16 straipsnyje. Teisėsaugos direktyva įsigaliojo 2016 m. gegužės 6 d., o valstybės narės privalėjo ją į nacionalinę teisę perkelti iki 2018 m. gegužės 6 d. Teisėsaugos direktyva – pirmasis ES teisės aktas, kuriame taikomas visapusiškas požiūris į kompetentingų institucijų (t. y. teisminių institucijų, policijos ir kitų baudžiamosios teisėsaugos institucijų, kaip nurodyta Teisėsaugos direktyvos 3 straipsnio 7 punkte) baudžiamosios teisėsaugos tikslais tvarkomų asmens duomenų apsaugą. Palyginti su Tarybos pamatiniu sprendimu 2008/977/TVR, kuris Teisėsaugos direktyva panaikinamas ir pakeičiamas, ši direktyva daug geriau padeda užtikrinti nuoseklų duomenų apsaugos taisyklių taikymą visoje ES. Pirma, Teisėsaugos direktyvoje nustatytas išsamus taisyklių rinkinys, taikytinas asmens duomenis baudžiamosios teisėsaugos tikslais tvarkant tiek tarpvalstybiniu, tiek šalies mastu, o Tarybos pamatinis sprendimas apėmė tik tarpvalstybinį duomenų tvarkymą. Antra, Teisėsaugos direktyvoje nustatytas išsamus ir horizontalus taisyklių rinkinys, o pagal ankstesnį metodą kiekvienam sektoriui skirtam ES teisės aktui, pagal kurį buvo numatoma tvarkyti asmens duomenis baudžiamosios teisėsaugos tikslais, buvo taikomos atskiros duomenų apsaugos taisyklės. BDAR, ESDAR ir Teisėsaugos direktyva grindžiami panašiomis sąvokomis ir principais, todėl ES duomenų apsaugos taisyklės aiškinamos ir taikomos nuosekliai. Tuose teisės aktuose vartojamos sąvokos apibrėžiamos vienodai, taip pat juose nustatytos panašios prievolės duomenų valdytojams ir duomenų tvarkytojams. Tačiau Teisėsaugos direktyvoje taip pat konkrečiai nagrinėjama rizika, susijusi su asmens duomenų tvarkymu baudžiamosios teisėsaugos tikslais. Atitinkamose nuostatose nustatytos prievolės i) atskirti skirtingų kategorijų duomenų subjektus, ii) atskirti faktais grindžiamus asmens duomenis ir duomenis, grindžiamus asmeniniu vertinimu, iii) registruoti asmens duomenų naudojimo atvejus ir laikytis specialių saugumo reikalavimų. Atsižvelgiant į teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo specifiką, nuspręsta, kad šiose srityse reikia priimti specialias asmens duomenų apsaugos ir laisvo asmens duomenų judėjimo taisykles. Kadangi teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo sritis opi, o baudžiamąją teisėsaugą reglamentuojančios nacionalinės teisinės sistemos sudėtingos, nuspręsta, kad geriausia priemonė aukšto lygio duomenų apsaugai šioje srityje užtikrinti yra direktyva. Direktyva valstybėms narėms taip pat paliekama reikiamo lankstumo įgyvendinant principus, taisykles ir išimtis nacionaliniu lygmeniu. Pirmąją BDAR įgyvendinimo ataskaitą Komisija paskelbė 2020 m. birželio 24 d. Joje padaryta išvada, kad apskritai BDAR tikslai pasiekti, visų pirma, piliečiams suteiktas patikimas ginamų teisių rinkinys, taip pat sukurta nauja ES valdymo ir vykdymo užtikrinimo sistema. Ataskaitoje išvardyti veiksmai, kurių turi būti imamasi, kad visiems suinteresuotiesiems subjektams taikyti BDAR būtų dar lengviau ir kad ES būtų skatinama ir toliau vystoma duomenų apsaugos kultūra ir kartu tvirtai užtikrinamas vykdymas. Ši ataskaita parengta peržiūrėjus ES priimtus teisės aktus, kuriais reglamentuojamas kompetentingų institucijų vykdomas duomenų tvarkymas nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais. Atliekant tą peržiūrą siekta įvertinti, ar reikia aptariamus teisės aktus suderinti su Teisėsaugos direktyva . 2020 m. birželio 24 d. Komisija įvykdė tą įpareigojimą – priėmė komunikatą dėl tolesnio buvusio trečiojo ramsčio acquis derinimo su duomenų apsaugos taisyklėmis. Jame nurodyta 10 teisės aktų, kuriuos reikėtų suderinti su Teisėsaugos direktyva, ir nustatytas to darbo grafikas. Galiausiai ši ataskaita parengta lygiagrečiai su Komisijos ataskaita dėl ESDAR taikymo. Svarbus pastarosios ataskaitos elementas – minėtojo teisės akto taisyklių, išdėstytų IX skyriuje dėl ES organų, tarnybų ir agentūrų, vykdančių veiklą policijos bendradarbiavimo ir teisminio bendradarbiavimo baudžiamosiose bylose srityje (TVR agentūrų), atliekamo operatyvinių asmens duomenų tvarkymo, peržiūra. Aptariamos taisyklės daugiausia grindžiamos Teisėsaugos direktyva. ESDAR 98 straipsnyje reikalaujama, kad Komisija peržiūrėtų teisės aktus, reglamentuojančius TVR agentūrų vykdomą operatyvinių asmens duomenų tvarkymą, ir jai leidžiama pateikti atitinkamų pasiūlymų dėl teisėkūros procedūra priimamų aktų, visų pirma siekiant, kad IX skyriuje nustatytos taisyklės būtų taikomos Europolui ir Europos prokuratūrai, taip pat pasiūlyti reikiamų to skyriaus pakeitimų. 1.2Esminis indėlis siekiant Europos Sąjungoje užtikrinti patikimą saugumo politiką Komisija nuosekliai pabrėždavo, kad veiksminga ir išties saugi ES gali būti kuriama tik visokeriopai paisant Chartijoje ir ES antriniuose teisės aktuose įtvirtintų pagrindinių teisių. Teisėsaugos direktyva iš esmės prisideda prie ES saugumo politikos užtikrindama, kad nukentėjusiųjų, liudytojų ir įtariamųjų nusikalstama veika asmens duomenys būtų tinkamai saugomi. Be to, suderinus ES ir Šengeno šalių kompetentingų institucijų tvarkomų asmens duomenų apsaugos taisykles, Teisėsaugos direktyva padeda užtikrinti didesnį pasitikėjimą ir duomenų, kuriais institucijos keičiasi baudžiamosios teisėsaugos tikslais, saugumą ir taip sudaro palankesnes sąlygas tarpvalstybiniu mastu bendradarbiauti kovojant su nusikalstamumu ir terorizmu. Teisėsaugos direktyva taip pat atlieka esminį vaidmenį tarp kompetentingų institucijų skatindama duomenų apsaugos reikalavimų laikymosi kultūrą. Saugumo sąjungos strategijoje taip pat pabrėžiama, kad kaip veiksmingą kovos su nusikalstamumu priemonę būtų galima naudoti tokias naujas technologijas kaip dirbtinį intelektą. Išnaudojant šias galimybes, be kita ko, reikia užtikrinti aukščiausius pagrindinių teisių paisymo standartus. Remiantis duomenų apsaugos teisės aktais, tarp jų ir Teisėsaugos direktyva, gali būti kuriami sektorių teisės aktai. Pavyzdžiui, siūlomu DI aktu būtų dar labiau apribojamas asmens duomenų naudojimas nuotoliniam biometriniam tapatybės nustatymui viešose vietose teisėsaugos tikslais. Galiausiai pasaulyje, kur dalykai taip susiję tarpusavyje, nusikalstamumas (ypač kibernetiniai nusikaltimai ir kiti nusikaltimai pasinaudojant kibernetine erdve) tampa vis labiau tarpvalstybinio pobūdžio. Netgi tirdamos vidaus bylas kompetentingos institucijos vis dažniau turi veikti tarpvalstybiniu lygmeniu, nes informacija elektroniniu pavidalu saugoma trečiojoje valstybėje. Todėl vykdant nusikalstamų veikų tyrimus vis labiau reikia bendradarbiauti tarptautiniu mastu – tiek valstybių narių institucijoms, tiek ES įstaigoms, kaip antai Europolui ir Eurojustui. Taip bendradarbiaujant, ypač renkant elektroninius įrodymus ir jais keičiantis, dažnai reikia perduoti asmens duomenis. Todėl būtinos patikimos su duomenų apsauga susijusios apsaugos priemonės. Tokios apsaugos priemonės taip pat padeda ugdyti teisėsaugos institucijų tarpusavio pasitikėjimą, užtikrindamos spartesnius ir veiksmingesnius informacijos mainus ir padidindamos teisinį tikrumą, kai informacija vėliau naudojama baudžiamosiose bylose. Šiuo atžvilgiu Teisėsaugos direktyva nustatomas atnaujintas priemonių rinkinys, kad būtų lengviau taip perduoti asmens duomenis iš ES trečiajai valstybei ar tarptautinei organizacijai (pvz., Interpolui), taip pat būtų ir toliau užtikrinama asmens duomenų aukšto lygio apsauga. Nuo Teisėsaugos direktyvos įsigaliojimo Komisija ir valstybės narės naudojosi įvairiomis jos priemonėmis – tai patvirtina, jog ši direktyva yra pakankamai plati ir lanksti, kad būtų įmanomas veiksmingas tarptautinis policijos ir teisminių institucijų bendradarbiavimas. 1.3Svarbios aplinkybės rengiant ataskaitą Rengdama šią ataskaitą, Komisija rinko informaciją ir atsiliepimus iš įvairių šaltinių ir naudodamasi tikslinėmis konsultacijomis. Pagal Teisėsaugos direktyvos 62 straipsnį Komisija atsižvelgė į Europos Parlamento, Tarybos, Europos duomenų apsaugos valdybos (EDAV) ir nacionalinių duomenų apsaugos priežiūros institucijų nuomones ir pozicijas. Papildomų atsiliepimų gauta pateikus klausimyną pilietinės visuomenės organizacijoms (per Europos Sąjungos pagrindinių teisių agentūrą) ir sulaukus atsakymų į viešą kvietimą teikti informaciją . Komisija taip pat išnagrinėjo valstybių narių ekspertų grupės BDAR ir Teisėsaugos direktyvos klausimais pateiktas pastabas ir Tarybai pirmininkavusios Vokietijos pastabas. Be to, ji atsižvelgė į perkėlimo į nacionalinę teisę priemonių analizę ir į tai, kad šiuo klausimu gavo mažai skundų. Nors Teisėsaugos direktyva taikoma visoms valstybėms narėms ir visoms Šengeno šalims (nes ji yra Šengeno acquisgrindžiama priemonė ), šioje ataskaitoje aptariamos tik ES valstybės narės. Rengiant šią ataskaitą įtakos turėjo trys veiksniai. Pirma, iki termino 2018 m. gegužės mėn. Teisėsaugos direktyvos į nacionalinę teisę neperkėlė du trečdaliai valstybių narių. Vis dėlto dauguma valstybių narių Teisėsaugos direktyvą į nacionalinę teisę perkėlė iki 2019 m., po to, kai Komisija pradėjo pažeidimo nagrinėjimo procedūras. Todėl esama ganėtinai nedaug jos taikymo patirties, kaip pabrėžia ir EDAV bei Taryba. Antra, paaiškėjo, kad kaupti Teisėsaugos direktyvos taikymo statistinius duomenis sunkiau nei BDAR. Kai kurios duomenų apsaugos priežiūros institucijos savo prižiūrimos veiklos statistinių duomenų atskirai dėl Teisėsaugos direktyvos ir dėl BDAR nerenka. Pavyzdžiui, taip yra dėl pranešimų apie duomenų saugumo pažeidimus ir pagal Teisėsaugos direktyvą teikiamų skundų, todėl kartais sunku tiksliai apžvelgti šias nuostatas pagal Teisėsaugos direktyvą . Trečia, svarbu atsižvelgti į tai, kad su Teisėsaugos direktyvos taikymu susijusi teismų praktika tik pradedama kurti. Šiuo metu Europos Sąjungos Teisingumo Teismas (ESTT) nagrinėja kelias bylas dėl esminių Teisėsaugos direktyvos nuostatų, kaip antai dėl duomenų subjektų teisės susipažinti su asmens duomenimis ir teisės imtis veiksmingų teisminių teisių gynimo priemonių, aiškinimo. Sprendimai šiose bylose suteiks daugiau aiškumo ir padės pasiekti, kad valstybėse narėse būtų taikomas labiau suderintas požiūris.

2Perkėlimas į nacionalinę teisę patenkinamas, tačiau neišspręstų problemų dar esama Komisija įsteigė valstybių narių ekspertų grupę, kad ji padėtų valstybėms narėms perkelti Teisėsaugos direktyvą į nacionalinę teisę. Grupė sudaro palankias sąlygas valstybėms narėms ir Komisijai tarpusavyje diskutuoti ir dalytis patirtimi, susijusia su duomenų apsaugos taisyklėmis. Ji reguliariai susitikdavo nuo Teisėsaugos direktyvos priėmimo 2016 m. iki perkėlimo į nacionalinę teisę termino 2018 m. gegužės mėn., o 2021 m. jos veikla vėl atnaujinta. Toliau pateikiamoje perkėlimo į nacionalinę teisę apžvalgoje daugiausia dėmesio skiriama iki šiol nustatytoms pagrindinėms problemoms. Apžvalga pirmiausia grindžiama Komisijos išanalizuota informacija, kurią valstybės narės pateikė pranešdamos Komisijai apie nacionalines priemones, kurių ėmėsi, kad perkeltų Teisėsaugos direktyvą į nacionalinę teisę. Šią analizę papildė išorės rangovo atliktas nepriklausomas tyrimas. Komisija taip pat vykdė dvišalius informacijos mainus su keliomis valstybėmis narėmis. 2.1Apskritai Direktyva į nacionalinę teisę visiškai perkelta, bet esama problemų dėl tam tikrų nuostatų 2018 m. liepos mėn. Komisija pradėjo pažeidimo nagrinėjimo procedūrą prieš 19 valstybių narių, kurios iki 2018 m. gegužės mėn. termino nepriėmė teisės aktų, kuriais Teisėsaugos direktyva būtų perkelta į nacionalinę teisę, ir tinkamai nepranešė Komisijai apie perkėlimą. 2019 m. liepos mėn. prieš kitą valstybę narę buvo pradėta dar viena procedūra dėl dalinio neperkėlimo į nacionalinę teisę. Dėl to dauguma valstybių narių vėliau pranešė Komisijai apie savo perkėlimo į nacionalinę teisę teisės aktus, o Komisija 2019 m. palaipsniui užbaigė prieš jas pradėtas pažeidimo nagrinėjimo procedūras (dėl vienos valstybės narės – 2020 m.). 2021 m. Komisija pažeidimo nagrinėjimo bylą prieš Ispaniją perdavė ESTT, nes ši valstybė vis vien neperkėlė Teisėsaugos direktyvos į nacionalinę teisę ir nepranešė Komisijai apie savo perkėlimo į nacionalinę teisę priemones. Atsižvelgdamas į pažeidimo sunkumą ir trukmę, ESTT pirmą kartą Ispanijai priteisė sumokėti ir vienkartinę sumą, ir baudą . 2022 m. balandžio mėn. Komisija, nustačiusi Teisėsaugos direktyvos perkėlimo į nacionalinę teisę spragą, susijusią su Vokietijos federalinės policijos veikla, taip pat pradėjo pažeidimo nagrinėjimo procedūrą prieš Vokietiją. Komisija toliau vertins, kaip valstybės narės perkėlė Teisėsaugos direktyvą į nacionalinę teisę, ir imsis reikiamų priemonių spragoms užtaisyti. 2.2Atitikties vertinimo prioritetai Komisija taip pat tikrina, ar valstybių narių nacionalinėmis nuostatomis Teisėsaugos direktyvos reikalavimai į nacionalinę teisę perkelti tinkamai (tikrinama atitiktis). Perkeldamos Teisėsaugos direktyvą į nacionalinę teisę, valstybės narės iš dalies pakeitė savo ankstesnius duomenų apsaugos teisės aktus arba juos panaikino ir pakeitė nauju (-ais) horizontaliu (-iais) duomenų apsaugos teisės aktu (-ais). Daugeliu atvejų nacionalinės teisės aktais Teisėsaugos direktyva į nacionalinę teisę perkeliama nurodant tas pačias ar panašias BDAR nuostatas (pvz., susijusias su apibrėžtimis, pranešimais apie duomenų saugumo pažeidimus, duomenų apsaugos pareigūno skyrimu, taip pat nuostatas dėl nacionalinių duomenų apsaugos priežiūros institucijų organizacinės struktūros, statuso, kompetencijos sričių, užduočių ir įgaliojimų). Dalis Teisėsaugos direktyvos nuostatų į nacionalinę teisę taip pat perkeltos naujomis nuostatomis, pavyzdžiui, įtrauktomis į bendrąjį administracinės teisės aktą, administracinio proceso teisės aktą arba baudžiamojo proceso teisės aktus. Kai kurios valstybės narės dalį Teisėsaugos direktyvos nuostatų perkėlė ir į sektorių teisės aktus, reglamentuojančius konkrečių kompetentingų institucijų veiklą ir įgaliojimus. Todėl siekiant nustatyti, ar konkrečioje valstybėje narėje Teisėsaugos direktyva į nacionalinę teisę perkelta tinkamai, reikia peržiūrėti įvairius nacionalinės teisės aktus. Apskritai nacionalinės teisės aktai daugiausia atitinka Teisėsaugos direktyvos principus ir pagrindines nuostatas. Vis dėlto tam tikrų problemų nustatyta, o svarbiausios iš jų aptariamos tolesniuose skirsniuose. Komisija jau yra pradėjusi kelias pažeidimo nagrinėjimo procedūras prieš valstybes nares . Peržiūra vis dar vyksta, o Komisija ir toliau naudosis visomis galimomis priemonėmis, įskaitant pažeidimo nagrinėjimo procedūras, jeigu šalies perkėlimo į nacionalinę teisę priemonė neatitiks Teisėsaugos direktyvos. Su Teisėsaugos direktyva susijusi teismų praktika dar tik randasi. ESTT pradėjo skelbti sprendimus dėl Teisėsaugos direktyvos aiškinimo, be kita ko, bylose WS / Bundesrepublik Deutschland ir B / Latvijas Republikas Saeima. Rengiant šią ataskaitą ESTT turėjo priimti nemažai prejudicinių sprendimų (kaip nurodyta paskesniuose skirsniuose). 2.2.1Teisėsaugos direktyvos taikymo sritis Tai, kad rūpesčių kelia sunkumas atskirti Teisėsaugos direktyvos ir BDAR taikymo sritis, nurodė tiek valstybių narių ekspertų grupė BDAR ir Teisėsaugos direktyvos klausimais, tiek EDAV. Kai kurios duomenų apsaugos priežiūros institucijos taip pat nurodė, kad dėl to gali kilti sunkumų kompetentingoms institucijoms . Teisėsaugos direktyvos taikymo sritis apibrėžiama pagal du pagrindinius elementus: kompetentingos institucijos sąvoką (subjektinė taikymo sritis) ir nusikalstamos veikos sąvoką (materialinė taikymo sritis). Subjektinėje taikymo srityje Teisėsaugos direktyva duomenų tvarkymui taikoma, kai, pirma, tai atlieka kompetentinga institucija ir, antra, asmens duomenys tvarkomi Teisėsaugos direktyvos tikslais (t. y. nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais). Komisijos požiūriu, kompetentingos institucijos pagal Teisėsaugos direktyvoje pateiktą apibrėžtį yra valstybiniai organai arba privačios įstaigos, kuriems teisės aktais suteikiami specialūs įgaliojimai, viršijantys įgaliojimus, kylančius iš fizinių asmenų santykiuose taikomų įprastinių taisyklių, ir (arba) kurie gali naudotis įgaliojimais taikyti prievartą. Tokios institucijos yra kompetentingos institucijos pagal Teisėsaugos direktyvą, kai tvarko duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo (be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos) tikslais (net jei tai daro tik retkarčiais ir (arba) atskirais atvejais). Taigi, pavyzdžiui, tokioms įstaigoms asmens duomenis tvarkant ne Teisėsaugos direktyvos tikslais (pvz., su žmogiškaisiais ištekliais susijusiais ar kitais administraciniais tikslais, tarkim, finansinės žvalgybos padaliniams tvarkant asmens duomenis pagal kovos su pinigų plovimu acquis) taikomas BDAR, o ne Teisėsaugos direktyva. Siekiant nustatyti, ar duomenų tvarkymui taikoma Teisėsaugos direktyva, itin svarbi nusikalstamos veikos sąvoka. Anot ESTT, vertinant, ar teisės pažeidimas yra nusikalstama veika, svarbūs trys kriterijai: ar teisės pažeidimas laikomas nusikalstama veika pagal nacionalinę teisę, teisės pažeidimo esminis pobūdis ir bausmės, kuri būtų skiriama atitinkamam asmeniui, griežtumas . Teisėsaugos direktyvos 13 konstatuojamojoje dalyje nurodytas nusikalstamos veikos sąvokos savarankiškumas, be kita ko, reiškia, kad valstybių narių teisėje negalima nustatyti, jog teisės pažeidimas yra nusikalstama veika, vien tam, kad būtų taikoma Teisėsaugos direktyva. Kai kuriose valstybėse narėse klausimas dėl BDAR ir Teisėsaugos direktyvos taikymo sričių atribojimo kyla siekiant atskirti nusikalstamų veikų ir administracinių nusižengimų sritis. Konkrečiau, kai kurių šalių perkėlimo į nacionalinę teisę teisės aktuose nurodomi asmens duomenų tvarkymo tikslai, kurie nėra nurodyti Teisėsaugos direktyvos 1 straipsnyje (pvz., grėsmė viešajai tvarkai ar viešajam saugumui). Klausimų kyla ir dėl to, kad, kai kurių valstybių narių manymu, tam tikri administraciniai organai (pvz., pirmiau nurodyti finansinės žvalgybos padaliniai) vykdo užduotis, kurioms taikoma Teisėsaugos direktyva. Daugumos valstybių narių teisės aktai išsamiai apima visų kompetentingų institucijų Teisėsaugos direktyvos tikslais vykdomą duomenų tvarkymą. Priešingai, kai kurios valstybės narės pasirinko savo nacionalinės teisės aktuose išsamiai išvardyti pagal Teisėsaugos direktyvą kompetentingas institucijas. Kelios valstybės narės taip pat nustatė nukrypti leidžiančią nuostatą, taikomą tam tikrų tipų kompetentingų institucijų vykdomam duomenų tvarkymui arba tam tikrų tipų duomenims. Teisėsaugos direktyvos taikymo srities klausimu ESTT prašoma priimti prejudicinį sprendimą. Teismas Landesverwaltungsgericht Tirol (Austrija) iškėlė Teisėsaugos direktyvos taikymo srities klausimą, kai kompetentinga institucija nesėkmingai mėgino gauti konfiskuotame telefone buvusius duomenis (Teisėsaugos direktyvos 2 straipsnio aiškinimas). Byla taip pat susijusi su sąlygomis, kuriomis galima gauti tokius duomenis. 2.2.2Duomenų apsaugos priežiūros institucijų valdymas ir įgaliojimai

Visos valstybės narės, išskyrus dvi (Belgiją ir Švediją), užtikrinti Teisėsaugos direktyvos vykdymą pavedė priežiūros institucijai, kuri yra atsakinga ir už BDAR vykdymo užtikrinimą. Belgija prižiūrėti policijos veiklą Teisėsaugos direktyvos tikslais pavedė kitai priežiūros institucijai. Švedijoje tam tikrų kompetentingų institucijų, tarp jų ir policijos, priežiūrą bendrai vykdo priežiūros institucija, kurios kompetencijai priklauso BDAR, ir kita priežiūros institucija. Be to, pagal Teisėsaugos direktyvą visos duomenų apsaugos priežiūros institucijos nėra kompetentingos prižiūrėti teismų, kai jie vykdo savo teismines funkcijas. Dėl Teisėsaugos direktyvos nuostatų dėl duomenų apsaugos priežiūros institucijų nepriklausomumo visos valstybės narės savo perkėlimo į nacionalinę teisę teisės aktuose nurodė, kad duomenų apsaugos priežiūros institucijos vykdydamos užduotis veikia savarankiškai. Jos taip pat reikalauja, kad jų duomenų apsaugos priežiūros institucijų nariams nebūtų daroma įtaka iš išorės ir jie nevykdytų ir nesistengtų gauti nė kieno nurodymų. Duomenų apsaugos priežiūros institucijų vykdoma priežiūra, kaip laikomasi reikalavimų, yra būtina ir yra įtvirtinta Chartijos 8 straipsnio 3 dalyje. Teisėsaugos direktyvoje reikalaujama, kad valstybės narės duomenų apsaugos priežiūros institucijoms suteiktų veiksmingus tyrimo įgaliojimus, įgaliojimus imtis taisomųjų veiksmų ir patariamuosius įgaliojimus. Tai yra būtina išankstinė sąlyga siekiant tinkamai užtikrinti duomenų apsaugos taisyklių vykdymą ir taip pasiekti Teisėsaugos direktyvos tikslą aukštu lygiu užtikrinti pagrindinių teisių apsaugą, ypač susijusią su teise į asmens duomenų apsaugą, taip pat užtikrinti laisvą duomenų judėjimą ES. Kad galėtų vykdyti savo užduotis, kaip reikalaujama pagal Teisėsaugos direktyvą, duomenų apsaugos priežiūros institucijos turi turėti lygiaverčius įgaliojimus visoje ES. Visos valstybės narės savo institucijoms suteikė Teisėsaugos direktyvoje nustatytus tyrimo įgaliojimus, taip pat dauguma valstybių narių joms suteikė ir kitų įgaliojimų (pvz., vykdyti auditą, patekti į patalpas, daryti duomenų kopijas ir konfiskuoti objektus). Todėl beveik visos duomenų apsaugos priežiūros institucijos nurodė, kad turi veiksmingus tyrimo įgaliojimus. Beveik visos valstybės narės numatė Teisėsaugos direktyvoje nustatytus įgaliojimus imtis taisomųjų veiksmų. Daugelis jų tiksliai sekė Teisėsaugos direktyvoje išdėstyta formuluote, o kelios pavartojo labai plačią formuluotę, kurią pagrįstai galima laikyti apimančia visus Teisėsaugos direktyvoje nustatytus įgaliojimus. Be to, daugumos valstybių narių teisės aktais duomenų apsaugos priežiūros institucijoms suteikiamas įgaliojimas skirti administracines baudas. Ne visos valstybės narės savo duomenų apsaugos priežiūros institucijoms suteikė įgaliojimą apie nacionalinės teisės aktų, priimtų siekiant perkelti Teisėsaugos direktyvą į nacionalinę teisę, pažeidimus pranešti teisminėms institucijoms ir pradėti teismo procesą arba kitaip jame dalyvauti. Toks įgaliojimas svarbus ir papildo kitas priemones, kuriomis naudodamosi duomenų apsaugos priežiūros institucijos gali veiksmingai aukštu lygiu užtikrinti asmenų pagrindinių teisių apsaugą, ypač jų teisę į asmens duomenų apsaugą. 2.2.3Teisių gynimo priemonės Visos valstybės narės numatė teisę pateikti skundą savo atitinkamai priežiūros institucijai. Daugumoje nacionalinės teisės aktų numatomas terminas tokiam skundui pateikti. Svarbu, kad tokiu terminu ši duomenų subjektų teisė nebūtų ribojama. Pagal Teisėsaugos direktyvą visos valstybės narės numato galimybę imtis teisminių teisių gynimo priemonių dėl priežiūros institucijos sprendimų, nedarant poveikio pagal jų teisines sistemas galimoms kitoms administracinėms arba neteisminėms teisių gynimo priemonėms. Teisminė teisių gynimo priemonė galima visose valstybėse narėse, išskyrus dvi valstybes nares, kuriose priežiūros institucija nenagrinėja skundo arba per 3 mėnesius nepraneša duomenų subjektui apie skundo nagrinėjimo eigą arba rezultatus. Dauguma valstybių narių taip pat numato galimybę imtis teisminių teisių gynimo priemonių prieš duomenų valdytoją ir duomenų tvarkytoją, jeigu įtariamas Teisėsaugos direktyvos pažeidimas. Tačiau kelių šalių perkėlimo į nacionalinę teisę teisės aktuose nenumatoma duomenų subjekto teisė įgalioti ne pelno įstaigas, organizacijas ir asociacijas pateikti skundą priežiūros institucijai arba imtis teisminės teisių gynimo priemonės jo vardu. 2.2.4Saugojimo ir peržiūros terminai Valstybių narių požiūriai į Teisėsaugos direktyvoje nustatytų asmens duomenų saugojimo ir peržiūros terminų perkėlimą į nacionalinę teisę labai skiriasi. Dauguma nacionalinių duomenų apsaugos teisės aktų, kuriais Teisėsaugos direktyva perkeliama į nacionalinę teisę, atitinka tik Teisėsaugos direktyvos 5 straipsnyje nustatytą bendrąjį reikalavimą. Vadinasi, asmens duomenų ištrynimo arba asmens duomenų saugojimo poreikio periodinės peržiūros terminai faktiškai turi būti nustatomi sektorių teisės aktais. Kelios valstybės narės šią nuostatą į nacionalinę teisę perkėlė nustatydamos terminus sektorių teisės aktuose. Vis dėlto kai kuriose valstybėse narėse pagal teisės aktus terminus turi nustatyti kompetentinga institucija. Tam tikrais atvejais teisės aktuose nenustatyta jokių periodinės peržiūros kriterijų ir nereikalaujama, kad tokie kriterijai būtų nurodyti kituose teisės aktuose, ir (arba) nenumatyta, kad nacionalinės teisės aktuose taip pat būtų nustatytos procedūros, skirtos užtikrinti, kad terminų būtų laikomasi. Pažymima, kad Bulgarijos Aukščiausiasis administracinis teismas neseniai paprašė ESTT atsakyti į jo prašymą priimti prejudicinį sprendimą dėl Teisėsaugos direktyvos 5 straipsnio nuostatos dėl duomenų saugojimo terminų išaiškinimo . 2.2.5Duomenų, įskaitant specialių kategorijų asmens duomenis, tvarkymo teisinis pagrindas Dauguma valstybių narių numato – dažnai į Teisėsaugos direktyvos 8 straipsnio labai panašia formuluote, – kad duomenų tvarkymo teisinis pagrindas turi būti nustatytas ES ar valstybių narių teisės aktuose. Tačiau kai kuriuose nacionaliniuose duomenų apsaugos teisės aktuose, kuriais Teisėsaugos direktyva perkeliama į nacionalinę teisę, neatsispindi reikalavimas, kad tvarkytini asmens duomenys ir tvarkymo tikslai turėtų būti nustatomi teisės aktuose. Kituose nacionaliniuose duomenų apsaugos teisės aktuose, kuriais Teisėsaugos direktyva perkeliama į nacionalinę teisę, nėra visų 8 straipsnį atitinkančių nuostatų. Nacionaliniuose teisės aktuose turi būti nustatytas duomenų tvarkymo pagrindas ir jie turi atitikti 8 straipsnio reikalavimus. Be to, nacionalinės teisės aktuose tiesiog pakartoti Teisėsaugos direktyvos 8 straipsnyje nustatyti reikalavimai negali būti laikomi pakankamu konkrečios duomenų tvarkymo operacijos teisiniu pagrindu: nacionalinės teisės aktuose turi būti nustatyta, kuri institucija yra kompetentinga tvarkyti asmens duomenis, nurodytos jos atliekamos viešosios užduotys, dėl kurių toks tvarkymas būtų pagrįstas, taip pat nustatytas duomenų tvarkymo tikslas. Dėl specialių kategorijų asmens duomenų tvarkymo dauguma valstybių narių reikalauja, kad tokie duomenys būtų tvarkomi tik jei tai tikrai būtina. Dauguma valstybių narių taip pat nurodo tuos pačius neskelbtinų duomenų tvarkymo teisinius pagrindus, kurie yra nustatyti Teisėsaugos direktyvos 10 straipsnyje (tvarkyti duomenis leidžiama pagal teisę, siekiant apsaugoti duomenų subjekto ar kito fizinio asmens gyvybiškai svarbius interesus arba tai susiję su duomenimis, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai). Keliose valstybėse narėse perkėlimo į nacionalinę teisę teisės aktuose numatyta papildomų duomenų tvarkymo pagrindų (pvz., kai tvarkyti tokius duomenis būtina siekiant išvengti pavojaus, tiesiogiai keliančio grėsmę asmenų gyvybei, fizinei neliečiamybei ar turtui, ar užkirsti tokiam pavojui kelią arba apsaugoti duomenų subjekto ar kito asmens sveikatą ar interesus). Jeigu nacionaliniame duomenų apsaugos teisės akte, kuriuo Teisėsaugos direktyva perkeliama į nacionalinę teisę, reikiamų duomenų subjektų teisių ir laisvių apsaugos priemonių nenustatyta (kaip yra kai kuriose valstybėse narėse), tokios apsaugos priemonės turi būti nustatomos sektorių teisės aktais. Kelių šalių perkėlimo į nacionalinę teisę teisės aktuose nurodomas sutikimas, susijęs su asmens duomenų, be kita ko, specialių kategorijų asmens duomenų, tvarkymu. Svarbu turėti omenyje, kad nors valstybėms narėms nedraudžiama nacionalinės teisės aktuose nustatyti, jog duomenų subjektas gali duoti sutikimą tvarkyti savo asmens duomenis Teisėsaugos direktyvos tikslais, toks sutikimas gali būti laikomas tik apsaugos priemone ir negali būti tokio duomenų tvarkymo teisiniu pagrindu. Diskutuojant šiuo klausimu paaiškėjo, kad praverstų daugiau gairių dėl sutikimo vaidmens tvarkant asmens duomenis baudžiamosios teisėsaugos tikslais. 2.2.6Automatizuotas sprendimų priėmimas

Į visų valstybių narių perkėlimo į nacionalinę teisę teisės aktus įtrauktos nuostatos, kuriomis draudžiama priimti sprendimą remiantis tik automatizuotu duomenų tvarkymu, nebent tai leidžiama pagal teisės aktus. Daugumos valstybių narių perkėlimo į nacionalinę teisę teisės aktais reikalaujama, kad tokie sprendimai nebūtų grindžiami specialių kategorijų asmens duomenimis, nebent užtikrinamos tinkamos apsaugos priemonės. Taip pat jais draudžiamas profiliavimas, lemiantis diskriminaciją. Tačiau kai kuriuose nacionalinės teisės aktuose nėra nurodyta tinkamų duomenų subjektų teisių ir laisvių apsaugos priemonių tais atvejais, kai automatizuotas sprendimų priėmimas pagal teisės aktus leidžiamas. Konkrečiau, ne visos valstybės narės numato teisę reikalauti iš duomenų valdytojo žmogaus įsikišimo arba jos nereikalauja tinkamų priemonių duomenų subjekto teisėms ir (arba) laisvėms ir teisėtiems interesams apsaugoti. 2.2.7Duomenų subjektų teisės Visos valstybės narės pasirinko pasinaudoti pagal Teisėsaugos direktyvą suteikiama galimybe apriboti duomenų subjektų teisę susipažinti su savo asmens duomenimis. Dauguma valstybių narių numato ir kitų duomenų subjektų teisių apribojimų. Nacionaliniuose duomenų apsaugos teisės aktuose, kuriais Teisėsaugos direktyva perkeliama į nacionalinę teisę, dažnai tiesiog kartojama Teisėsaugos direktyvoje pateikta bendra formuluotė išsamiau nenurodant aplinkybių ar sąlygų, kuriomis taikytini tokie apribojimai. Tokiais atvejais tokios aplinkybės ir sąlygos turi būti nurodomos sektorių teisės aktuose, antraip duomenų valdytojai tokius apribojimus gali taikyti savo nuožiūra. Dauguma valstybių narių laikosi Teisėsaugos direktyvoje nustatyto reikalavimo sudaryti sąlygas duomenų subjektams naudotis savo teisėmis per duomenų apsaugos priežiūros instituciją. Dauguma valstybių narių pasinaudojo galimybe nurodyti, kad vykdant nacionalinius nusikalstamų veikų tyrimus ir baudžiamąjį procesą duomenų subjekto teisėmis turi būti naudojamasi pagal nacionalinę teisę. Kelių valstybių narių perkėlimo į nacionalinę teisę teisės aktuose neatsispindi visi konkretūs Teisėsaugos direktyvos reikalavimai dėl to, kaip turi būti naudojamasi duomenų subjektų teisėmis (pvz., atsakymų formatas ir perdavimo priemonės, mokesčio netaikymas). Vokietijos teismas yra pateikęs prašymą priimti prejudicinį sprendimą dėl duomenų subjektų teisės susipažinti su savo duomenimis apribojimų (Teisėsaugos direktyvos 15 straipsnis, atsižvelgiant į Teisėsaugos direktyvos 54 straipsnį), taip pat teisės imtis veiksmingų teisminių teisių gynimo priemonių pagal Chartijos 47 straipsnį ir laisvės pasirinkti profesiją pagal Chartijos 15 straipsnį išaiškinimo. 2.2.8Konkrečiai Teisėsaugos direktyvai būdingos tam tikros svarbios nuostatos Kai kurios Teisėsaugos direktyvos nuostatos konkrečiai susijusios su baudžiamąja teisėsauga ir atitikmens BDAR neturi. Duomenų subjektų kategorijos Pagal Teisėsaugos direktyvą valstybės narės privalo reikalauti, kad duomenų valdytojas, kai taikytina ir kiek įmanoma, atskirtų skirtingų kategorijų duomenų subjektų duomenis ir pateiktų tų kategorijų pavyzdžių (pvz., asmuo, dėl kurio yra rimtų priežasčių manyti, kad jis įvykdė arba rengiasi įvykdyti nusikalstamą veiką („įtariamasis“)). Kai kurių valstybių narių teisės aktuose Teisėsaugos direktyvoje išvardytos kategorijos nenurodomos (tam tikru mastu arba apskritai). Įvardijant įtariamųjų kategoriją, kai kuriuose nacionalinės teisės aktuose nereikalaujama, kad būtų „rimtų priežasčių manyti, kad jie įvykdė arba rengiasi įvykdyti nusikalstamą veiką“. ESTT sprendime, kurį jis priims nagrinėjamoje byloje Ministerstvo na vatreshnite raboti / B.C., bus tiksliau išaiškintos Teisėsaugos direktyvos nuostatos, susijusios su duomenų subjektų kategorijomis, įskaitant reikalavimą duomenų subjektus įtariamųjų kategorijai priskirti esant „rimtų priežasčių manyti, kad jie įvykdė arba rengiasi įvykdyti nusikalstamą veiką“ . Asmens duomenų klasių atskirtis ir jų kokybės patikra Valstybės narės turi numatyti, kad, kiek įmanoma, faktais pagrįsti asmens duomenys būtų atskiriami nuo asmeniniais vertinimais pagrįstų asmens duomenų. Jos taip pat turi imtis priemonių siekdamos užtikrinti, kad asmens duomenys, kurie yra netikslūs, neišsamūs arba pasenę, nebūtų persiunčiami ar nebūtų sudaroma galimybė jais naudotis. Persiuntus netikslius duomenis gavėjai turėtų būti nedelsiant informuojami, o asmens duomenys tokiais atvejais turi būti pataisyti, ištrinti arba apribotas jų tvarkymas. Nors dauguma valstybių narių šį reikalavimą į nacionalinę teisę perkėlė, kelių šalių perkėlimo į nacionalinę teisę teisės aktuose tam tikros reikalaujamos konkrečios priemonės nėra aiškiai numatytos. Registravimas Iš viso 12 valstybių narių pasinaudojo galimybe iki 2023 m. gegužės mėn. atidėti savo automatizuoto duomenų tvarkymo sistemos suderinimą su registravimo reikalavimais. Dauguma valstybių narių numato, kad būtų saugomi registracijos įrašai apie automatizuoto duomenų tvarkymo sistemose vykdomas duomenų tvarkymo operacijas. Kai kuriuose nacionalinės teisės aktuose nereikalaujama, kad būtų registruojamos visų tipų operacijos. Teisėsaugos direktyvoje nustatyta būtiniausių tipų informacija, kuri turi būti registruojama. Į kai kuriuos nacionalinės teisės aktus visų reikalaujamų tipų informacija neįtraukta (pvz., susipažinimo su asmens duomenimis ar jų atskleidimo priežastis). 3Pirmieji Teisėsaugos direktyvos taikymo ir veikimo patirties pavyzdžiai 3.1Skundai ir teigiamas poveikis duomenų subjektų teisėms Teisėsaugos direktyva užtikrinama asmenų pagrindinių teisių ir laisvių apsauga, visų pirma teisės į duomenų apsaugą. Joje nustatoma išsami duomenų subjektų teisių sistema ir nurodoma, kaip galima naudotis tomis teisėmis, be kita ko, jų teise į informaciją, teise susipažinti su savo asmens duomenimis, juos ištaisyti arba ištrinti, taip pat numatomas duomenų tvarkymo apribojimas. Teisėsaugos direktyva padėjo duomenų subjektams geriau suprasti savo teises ir būdus jomis naudotis – tai parodė didesnis kompetentingoms institucijoms pateiktų prašymų skaičius. Praktika rodo, kad iš duomenų subjektams pagal Teisėsaugos direktyvą suteiktų teisių į kompetentingas institucijas dažniausiai kreipiamasi dėl teisės susipažinti su duomenimis ir juos ištrinti . Teisėsaugos direktyva leidžiama nustatyti apribojimus tam tikroms teisėms (teisei susipažinti su duomenimis ir teisei ištaisyti ar ištrinti duomenis) ir informacijai, kurią duomenų valdytojas turi pateikti duomenų subjektui dėl tvarkomų asmens duomenų. Duomenų subjektai gali reikalauti, kad duomenų apsaugos priežiūros institucijos peržiūrėtų kompetentingos institucijos nustatytą atitinkamos teisės apribojimą, arba prašyti patikrinti, ar apribojimas įgyvendintas pagal Teisėsaugos direktyvą (netiesioginis naudojimasis teise) . Maždaug pusė duomenų apsaugos priežiūros institucijų pranešė gavusios tokį prašymą. Iš tikrųjų gaunamų prašymų skaičius gali būti labai skirtingas (pvz., Kroatijoje buvo gautas vienas toks prašymas, o Prancūzijoje – per 1500). Nors atlikusios patikrinimą ar peržiūrėjusios tuos skundus, duomenų apsaugos priežiūros institucijos nustatė, kad dauguma prašymų yra nepriimtini, keliais atvejais duomenų valdytojui buvo liepta ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą ir taip užtikrinti, kad apribojimai būtų taikomi tinkamai. Teisėsaugos direktyvoje numatoma, kad skundą duomenų subjekto vardu gali pateikti ne pelno įstaiga, organizacija ar asociacija. Tačiau šia galimybe, rodos, naudojamasi menkai (tik keturios duomenų apsaugos priežiūros institucijos pranešė gavusios tokių skundų iš atstovaujančios įstaigos). Pilietinės visuomenės organizacijos taip pat pranešė gavusios labai mažai prašymų pateikti tokį skundą.

Asmenys taip pat vis aktyviau naudojasi savo teise pateikti skundą duomenų apsaugos priežiūros institucijoms, be kita ko, tais atvejais, kai kompetentingos institucijos riboja naudojimąsi duomenų subjektų teisėmis. Daugiau nei trečdalis duomenų apsaugos priežiūros institucijų pranešė, kad perkėlus Teisėsaugos direktyvą į nacionalinę teisę jų valstybėse narėse skundų gaunama daugiau . Duomenų apsaugos priežiūros institucijos dažniausiai gauna skundų, susijusių su teisės susipažinti su duomenimis apribojimu , teise ištaisyti ar ištrinti duomenis , taip pat teise į informaciją ir jos apribojimu . Po jų seka skundai, susiję su duomenų saugojimo trukmės apribojimo principu, pagal kurį reikalaujama, kad kompetentingos institucijos asmens duomenis saugotų ne ilgiau, nei būtina, ir su teise į informaciją. 3.2Didesnis kompetentingų institucijų informuotumas duomenų apsaugos klausimais Kaip praneša valstybės narės, pradėjus taikyti Teisėsaugos direktyvą padarytas ir toliau daromas didelis poveikis kompetentingų institucijų informuotumui apie duomenų apsaugos svarbą. Kelios duomenų apsaugos priežiūros institucijos išreiškė nuomonę, kad didžiausias Teisėsaugos direktyvos poveikis – tai, kad dėl jos padidėjo informuotumas apie duomenų apsaugos problemas bei duomenų subjektų teises ir dėmesys šiems klausimams . Tai taip pat atsiskleidė duomenų apsaugos priežiūros institucijoms ir kompetentingoms institucijoms keičiantis informacija apie duomenų subjektų teises ir naudojimosi tomis teisėmis būdus . Kai kurios kompetentingos institucijos pranešė, kad dėl to skyrė daugiau išteklių duomenų apsaugai . Be kita ko, investuota į tai, kad į jų IT sistemas būtų integruotas pritaikytosios ir standartizuotosios privatumo apsaugos principas, nustatyti duomenų saugojimo laikotarpiai, taikomas duomenų kiekio mažinimo principas ir pranešama apie saugumo pažeidimus. Kaip pranešama, tvarkomų duomenų saugumas dėl to apskritai padidėjo . Duomenų apsaugos priežiūros institucijų vykdoma mokymų ir informuotumo didinimo veikla taip pat padeda tinkamai įgyvendinti Teisėsaugos direktyvą, o priežiūros institucijoms pavesta užduotis didinti duomenų valdytojų ir duomenų tvarkytojų informuotumą apie jų prievoles pagal Teisėsaugos direktyvą. Daug duomenų apsaugos priežiūros institucijų informuotumą didina skelbdamos gaires. Įvairios duomenų apsaugos priežiūros institucijos, be kita ko, nagrinėja šias temas: pagalbą teisminėms institucijoms, prokuratūroms ir policijos tarnyboms laikantis atskaitomybės principo; keitimąsi asmens duomenimis su policija; duomenų apsaugos pareigūno skyrimą; poveikio duomenų apsaugai vertinimą; duomenų tvarkymą baudžiamosios teisėsaugos, pvz., organizuoto nusikalstamumo ir terorizmo, srityse; duomenų tvarkymo veiklos įrašų darymą ir registravimą; stebėjimą vaizdo kameromis; informacijos teikimą duomenų subjektams; pranešimą apie duomenų saugumo pažeidimus; duomenų valdytojų prievoles ir asmenų naudojimąsi teisėmis. Tačiau aštuonios duomenų apsaugos priežiūros institucijos dar nepaskelbė jokių gairių ir (arba) praktinių priemonių, kurios padėtų kompetentingoms institucijoms ir duomenų tvarkytojams vykdyti savo prievoles. Be to, 12 duomenų apsaugos priežiūros institucijų kompetentingoms institucijoms ar duomenų tvarkytojams pagal Teisėsaugos direktyvą nesurengė jokių mokymų ir nevykdė informuotumo didinimo veiklos. Tos duomenų apsaugos priežiūros institucijos, kurios tokią veiklą vykdė, dažniausiai nagrinėjo šias temas: policijos, prokuratūros, teisminių ir pataisos institucijų vykdomą duomenų tvarkymą; atitinkamų BDAR ir Teisėsaugos direktyvos taikymo sričių apibrėžimą; socialiniuose tinkluose pateikiamų asmens duomenų naudojimą; policijos bylose esančių duomenų tvarkymą; stebėjimo vaizdo kameromis metodus ir didžiuosius duomenis; duomenų subjektų teisių klausimų sprendimą ir kalinių asmens duomenų tvarkymą . Dar viena Teisėsaugos direktyva įdiegta naujovė – reikalavimas duomenų valdytojams paskirti duomenų apsaugos pareigūną, kurio pareigos, be kitų užduočių, apima informavimą ir konsultavimą duomenų apsaugos reikalavimų klausimais, atitikties Teisėsaugos direktyvai stebėseną, konsultavimą dėl poveikio duomenų apsaugai vertinimo ir jo atlikimo stebėseną. Dėl to kompetentingos institucijos ėmė geriau suvokti savo duomenų apsaugos prievoles, taip pat padarytas teigiamas poveikis kompetentingų institucijų atitikčiai duomenų apsaugos taisyklėms, kaip pripažino ir Taryba . Svarbu investuoti į duomenų apsaugos pareigūnų kompetencijos ir žinių plėtojimą ir didinimą siekiant padėti kompetentingoms institucijoms nuosekliai taikyti Teisėsaugos direktyvą. Todėl Komisija sukūrė kompetentingų institucijų duomenų apsaugos pareigūnų, teisingumo ir vidaus reikalų agentūrų ir Europos prokuratūros tinklą ir sudaro palankesnes sąlygas jam dirbti. Šis tinklas – nuolatinė iniciatyva, pagal kurią daugiausia dėmesio skiriama tam, kaip valstybių narių kompetentingos institucijos taiko Teisėsaugos direktyvą. Juo siekiama sukurti valstybių narių duomenų apsaugos pareigūnų bendradarbiavimo ir keitimosi ekspertinėmis žiniomis platformą. Europolo duomenų apsaugos ekspertų tinklas ir nacionaliniai kompetentingų institucijų duomenų apsaugos pareigūnų tinklai – svarbios iniciatyvos, padedančios kompetentingų institucijų duomenų apsaugos pareigūnams skatinti keistis geriausia patirtimi ir informacija apie Teisėsaugos direktyvos taikymą. 3.3Didesnis duomenų saugumas, tačiau esama nukrypimų pranešant apie duomenų saugumo pažeidimus Dėl Teisėsaugos direktyvos padidėjo asmens duomenų saugumas, nes reikalaujama, kad kompetentingos institucijos imtųsi priemonių specialiems saugumo tikslams pasiekti. Pavyzdžiui, Direktyva reikalaujama, kad kompetentingos institucijos atliktų poveikio duomenų apsaugai vertinimą, kai dėl duomenų tvarkymo veiklos veikiausiai kils didelis pavojus duomenų subjektų teisėms ir laisvėms. Vertinant poveikį, be kita ko, nustatoma rizika ir jos mažinimo priemonės. Laikantis šio reikalavimo, taip pat patikimai rūpinantis duomenų apsauga pagal pritaikytosios ir standartizuotosios duomenų apsaugos principą ir paisant pranešimams apie duomenų saugumo pažeidimus taikomų reikalavimų, asmens duomenys tvarkomi saugiau . Tai pripažino ir Taryba, nustačiusi, kad Teisėsaugos direktyva padidino duomenų saugumo lygį, be kita ko, dėl saugumo planų, IT sistemų ir organizacinių priemonių atnaujinimo, poveikio duomenų apsaugai vertinimo ir reikalavimo, kad kompetentingos institucijos saugotų įrašus apie konkrečias duomenų tvarkymo operacijas. Teisėsaugos direktyvoje nustatomos aplinkybės, kuriomis duomenų valdytojai privalo apie asmens duomenų saugumo pažeidimą pranešti savo duomenų apsaugos priežiūros institucijai ir atitinkamam duomenų subjektui. Nepaisant šios prievolės, duomenų saugumo pažeidimo atvejų, apie kuriuos nuo Teisėsaugos direktyvos taikymo pradžios pranešta duomenų apsaugos priežiūros institucijoms, skaičius labai skiriasi . Šešios duomenų apsaugos priežiūros institucijos pranešė, kad pranešimų apie duomenų saugumo pažeidimą negavo , o dar kelios nurodė tokių pranešimų gavusios labai mažai. Pavyzdžiui, Italijos institucija pranešė tik apie tris pranešimus apie duomenų saugumo pažeidimą, Prancūzijos institucija – apie aštuonis, tačiau Nyderlandų institucija nurodė daugiau nei 500 tokių pranešimų. Remiantis šiuo nurodytų pranešimų apie duomenų saugumo pažeidimus skaičiaus skirtumu galima manyti (atsižvelgus į tokius veiksnius kaip šalies gyventojų skaičius), kad valstybių narių kompetentingos institucijos, rodos, taiko skirtingą praktiką dėl to, kas laikoma duomenų saugumo pažeidimu ir kada apie jį reikia pranešti duomenų apsaugos priežiūros institucijai. Tai Komisija pažymėjo ir savo ataskaitoje dėl BDAR. EDAV neseniai paskelbė gaires dėl saugumo pažeidimų pagal BDAR . Nors tiesiogiai netaikomos, šios gairės aktualios ir atsižvelgiant į duomenų saugumo pažeidimus pagal Teisėsaugos direktyvą. Todėl jos turėtų padėti valstybėse narėse pasiekti vienodesnį požiūrį į tai, kaip reaguoti į duomenų saugumo pažeidimus pagal Teisėsaugos direktyvą. 3.4Duomenų apsaugos priežiūros institucijų vykdoma priežiūra 3.4.1Duomenų apsaugos priežiūros institucijų ištekliai Kiekvienos duomenų apsaugos institucijos aprūpinimas būtinais žmogiškaisiais, techniniais ir finansiniais ištekliais, patalpomis ir infrastruktūra yra būtina sąlyga, kad ji veiksmingai atliktų savo užduotis ir naudotųsi savo įgaliojimais, taigi tai yra esminė jos nepriklausomumo sąlyga. Komisija nuolat pabrėžė, kad valstybės narės privalo duomenų apsaugos priežiūros institucijoms skirti pakankamai žmogiškųjų, finansinių ir techninių išteklių. Taryba taip pat konkrečiai paragino valstybes nares duomenų apsaugos priežiūros institucijoms skirti pakankamai žmogiškųjų, techninių ir finansinių išteklių. Tačiau nors pastaraisiais keleriais metais duomenų apsaugos priežiūros institucijų darbuotojų apskritai padaugėjo, jie, rodos, neužsiima su Teisėsaugos direktyva susijusiomis užduotimis. Pusėje duomenų apsaugos priežiūros institucijų su Teisėsaugos direktyva dirbančių darbuotojų liko tiek pat ar net sumažėjo. Padidėjimas buvo labai menkas – vidutiniškai mažiau nei du asmenys etato ekvivalentais. Beveik pusėje duomenų apsaugos priežiūros institucijų (taip pat tose, kuriose visas darbuotojų skaičius siekia daugiau nei 100 etato ekvivalentų) su Teisėsaugos direktyva dirba nuo mažiau nei 1 proc. iki 7 proc. visų darbuotojų. Absoliučiais skaičiais, maždaug pusė duomenų apsaugos priežiūros institucijų su Teisėsaugos direktyva susijusioms užduotims skiria 1–4 etato ekvivalentus, o aštuonios duomenų apsaugos priežiūros institucijos tokioms užduotims skiria 7–15 etato ekvivalentų. Tačiau viena duomenų apsaugos priežiūros institucija su Teisėsaugos direktyva susijusiam darbui skiria 53 etato ekvivalentus. EDAV sekretoriatas tik su Teisėsaugos direktyva susijusiems klausimams taip pat skyrė mažiau nei 1,5 etato ekvivalento. Tokia padėtis nėra patenkinama net jei 10 duomenų apsaugos priežiūros institucijų nurodė, kad turi pakankamai finansinių, žmogiškųjų ir techninių išteklių. Kita vertus, 16 duomenų apsaugos priežiūros institucijų nustatė, kad joms išteklių nepakanka. Kai kurios iš tų institucijų nurodė, kad tai neigiamai veikė jų iniciatyva atliekamus tyrimus, skundų nagrinėjimą, didelės apimties IT sistemų (SIS, VIS) tikrinimą ir nuomonių teikimą savo iniciatyva. Iš tiesų dėl sektoriui būdingų ypatybių siekiant veiksmingai užtikrinti Teisėsaugos direktyvos vykdymą reikia sistemingai tikrinti duomenų tvarkymo veiklą, kuri dažnai yra sudėtinga, ir nepakanka kliautis atskirais skundais (kurių teikiama gerokai mažiau nei pagal BDAR). Be to, duomenų apsaugos priežiūros institucijos atkreipė dėmesį į tai, kad trūksta IT ekspertinių žinių tvarkantis su vis sudėtingesnėmis IT technologijomis, naudojamomis teisėsaugos srityje.

3.4.2Naudojimasis įgaliojimais Naudojimasis įgaliojimais imtis taisomųjų veiksmų Iš viso 19 duomenų apsaugos priežiūros institucijų naudojosi tyrimo įgaliojimais savo iniciatyva arba gavusios skundą. Duomenų apsaugos priežiūros institucijos apie sunkumus pranešė tik keliais atvejais (pvz., kai duomenų valdytojas nepateikė visos susijusios informacijos arba neleido susipažinti su informacija). Tos pačios 19 duomenų apsaugos priežiūros institucijų taip pat naudojosi įgaliojimais imtis taisomųjų veiksmų. Akivaizdžiai dažniausiai naudotasi įgaliojimu skelbti nurodymus užtikrinti, kad duomenys būtų tvarkomi pagal teisės aktus, be kita ko, nurodymus ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą. Duomenų apsaugos priežiūros institucijos šiuo įgaliojimu naudojosi 114 atvejų. Tai, kad šiuo įgaliojimu nurodyti laikinai arba galutinai apriboti (be kita ko, uždrausti) duomenų tvarkymą pasinaudota tik keturiais atvejais, rodo, kad duomenų apsaugos priežiūros institucijos šiais įgaliojimais naudojosi apdairiai. Naudojimasis patariamaisiais įgaliojimais Sistemingai kreiptis dėl išankstinių konsultacijų ir prašyti duomenų apsaugos priežiūros institucijų pareikšti nuomonę dėl teisės aktų ir administracinių priemonių projektų – veiksminga priemonė siekiant aukštu lygiu apsaugoti teisę į asmens duomenų apsaugą ir sumažinti paskesnių skundų skaičių. Išankstinės konsultacijos su duomenų apsaugos priežiūros institucijomis ypač svarbios, kai naudojamasi naujomis technologijomis, kurios gali turėti reikšmingą poveikį pagrindinėms teisėms. Pusė duomenų apsaugos priežiūros institucijų pranešė, kad su jomis buvo konsultuojamasi dėl poveikio duomenų apsaugai vertinimo. Išankstinių konsultacijų skaičius valstybėse narėse skiriasi. Su kai kuriomis institucijomis konsultuotasi tik kartą, o į vieną instituciją dėl išankstinių konsultacijų kreiptasi 59 kartus. Daugumoje tokių atvejų duomenų apsaugos priežiūros institucijos pateikė patarimų raštu, o tam tikrais atvejais pasinaudojo savo įgaliojimais imtis su duomenų tvarkymu susijusių taisomųjų veiksmų – konkrečiai, pateikė įspėjimus arba nurodė imtis priemonių, kad duomenys būtų tvarkomi pagal teisės aktus. Vienu atveju duomenų apsaugos priežiūros institucija paskelbė neigiamą nuomonę, o ši, rodos, turėjo tokį pat poveikį kaip draudimas tvarkyti duomenis. Be to, atrodo, kad duomenų apsaugos priežiūros institucijos taip pat reaguoja į prašymus patarti, nesusijusius su išankstinių konsultacijų procedūra. Kompetentingos institucijos į duomenų apsaugos priežiūros institucijas daugiausia kreipėsi dėl patarimų klausimais, susijusiais su tam tikrų tipų duomenų tvarkymu (visų pirma su naujų technologijų, mechanizmų ar procedūrų naudojimu, o kiek rečiau – su tinkamomis saugumo priemonėmis, specialių kategorijų asmens duomenų tvarkymu, duomenų tvarkymo teisinio pagrindo nustatymu, duomenų saugojimo trukmės apribojimo principu ir tinkamais terminais). Be to, 22 duomenų apsaugos priežiūros institucijos savo nacionaliniams parlamentams ir vyriausybėms pateikė nuomonę dėl teisės aktų ir administracinių priemonių, susijusių su asmens duomenų tvarkymu. Kelios iš jų nurodė, kad su jomis retkarčiais konsultuojamasi. 3.4.3Duomenų apsaugos priežiūros institucijų veiksmų teisminė peržiūra Beveik pusė duomenų apsaugos priežiūros institucijų nurodė, kad keliais atvejais dėl jų sprendimų ar neveikimo prieš jas pradėtas teismo procesas. Procesą daugiausia pradėjo duomenų subjektai, o keliais atvejais – kompetentingos institucijos. Kelis ieškinius teismai paskelbė nepriimtinais arba juos atsiėmė pateikėjai. Daugumoje kitų bylų teismas palaikė duomenų apsaugos priežiūros institucijos sprendimą, bet keliose bylose tokį sprendimą panaikino (kitos bylos dar nagrinėjamos). Kol kas teismo sprendimų priimta mažai, todėl dar neįmanoma nustatyti aiškios tendencijos. 3.4.4EDAV gairės Siekiant užtikrinti veiksmingą teisminį bendradarbiavimą baudžiamosiose bylose ir policijos bendradarbiavimą, labai svarbu valstybėse narėse užtikrinti nuoseklumą ir aukšto lygio apsaugą. Teisėsaugos direktyvoje numatoma, kad EDAV skelbtų gaires, rekomendacijas ir geriausios praktikos pavyzdžius (savo iniciatyva arba Komisijos prašymu), siekdama užtikrinti, kad valstybės narės Teisėsaugos direktyvą taikytų nuosekliai. EDAV parengė konkrečiai Teisėsaugos direktyvos klausimams skirtas gaires, susijusias su V skyriumi (tarptautiniu duomenų perdavimu), gaires dėl veido atpažinimo technologijų naudojimo ir (vis dar veikdama kaip 29 straipsnio darbo grupė) nuomonę dėl kai kurių esminių Teisėsaugos direktyvos aspektų. Daug EDAV gairių dėl BDAR susijusios ir su Teisėsaugos direktyva tiek, kiek yra grindžiamos bendromis sąvokomis ar technologijomis. Be kita ko, tokios yra gairės dėl duomenų valdytojo ir duomenų tvarkytojo sąvokų, dėl duomenų subjektų teisių, dėl pranešimo apie asmens duomenų saugumo pažeidimą, dėl poveikio duomenų apsaugai vertinimo, dėl pritaikytosios ir standartizuotosios duomenų apsaugos ir dėl automatizuoto individualių sprendimų priėmimo. Kad būtų parengtos išsamios ir naudingos gairės, reikia daug darbo ir išteklių, tačiau rekomendacijos būtinos (kaip pažymėjo ir Taryba). Todėl labai gerai, kad EDAV nurodė netrukus pateiksianti papildomų gairių, be kita ko, dėl duomenų apsaugos priežiūros institucijų veiksmingų tyrimo įgaliojimų ir įgaliojimų imtis taisomųjų veiksmų sampratos, taip pat dėl tarptautinio duomenų perdavimo, kuriam taikomos tinkamos apsaugos priemonės. EDAV gairės taip pat gali sumažinti duomenų apsaugos priežiūros institucijų darbo krūvį (pvz., duomenų valdytojų konsultavimo ar skundų nagrinėjimo užduočių). Pavyzdžiui, tam tikri klausimai, nagrinėjami 29 straipsnio darbo grupės nuomonėje dėl kai kurių esminių Teisėsaugos direktyvos aspektų (kaip antai tinkami terminai, duomenų tvarkymo teisinis pagrindas, specialių kategorijų duomenų tvarkymo sąlygos), taip pat yra tarp dažniausių klausimų, dėl kurių kompetentingos institucijos prašydavo duomenų apsaugos priežiūros institucijų konsultacijos. 3.4.5Savitarpio pagalba Siekiant užtikrinti, kad Teisėsaugos direktyva būtų taikoma nuosekliai, reikalaujama, kad duomenų apsaugos priežiūros institucijos viena kitai teiktų pagalbą. Tokia pagalba apima informacijos prašymus ir prašymus vykdyti konsultacijas, patikrinimus ir tyrimus. Tačiau savitarpio pagalba kol kas naudojamasi labai retai. Tuo naudojosi tik šešios duomenų apsaugos priežiūros institucijos, visų pirma atsakydamos į gautus kitų duomenų apsaugos priežiūros institucijų prašymus pateikti informacijos. Dauguma duomenų apsaugos priežiūros institucijų nurodė gavusios tik vieną prašymą pateikti informacijos. Visos tos duomenų apsaugos priežiūros institucijos pranešė, kad gautą prašymą patenkino. Savanoriška savitarpio pagalba grindžiamais mainais, kuriems nenustatytas teisinis terminas ar griežta prievolė atsakyti, taip pat nesinaudota. EDAV pareiškė paskelbsianti gaires dėl savitarpio pagalbos sistemos pagal BDAR ir Teisėsaugos direktyvą. 3.5Lanksti tarptautinio duomenų perdavimo priemonė

Teisėsaugos direktyvos V skyriuje aptariamas asmens duomenų perdavimas kompetentingoms institucijoms trečiosiose valstybėse ir tarptautinėms organizacijoms. Šiuo skyriumi iš esmės užtikrinamas apsaugos tęstinumas, kai asmens duomenys teisėsaugos tikslais iš valstybės narės perduodami trečiajai valstybei arba tarptautinei organizacijai. Kaip nurodyta pirmiau, toks apsaugos tęstinumas – svarbi spartaus, veiksmingo ir teisiniu tikrumu grindžiamo patikimų partnerių bendradarbiavimo teisėsaugos srityje sąlyga. Konkrečiau, pagal atitinkamas Teisėsaugos direktyvos taisykles tarptautinis duomenų perdavimas tarp kompetentingų institucijų, kaip nurodyta Teisėsaugos direktyvoje, turi būti grindžiamas viena iš įvairių duomenų perdavimo priemonių, nustatytų Teisėsaugos direktyvos 36–38 straipsniuose (jeigu duomenys gauti iš kitos valstybės narės, perduodant taip pat reikia iš anksto gauti tos valstybės narės leidimą). Šios priemonės – be kita ko, sprendimai dėl tinkamumo, duomenų perdavimas taikant tinkamas apsaugos priemones ir konkrečioms situacijoms taikomos nukrypti leidžiančios nuostatos. Pagal Teisėsaugos direktyvos 39 straipsnį taip pat leidžiama atskirais ir ypatingais atvejais, laikantis tam tikrų sąlygų duomenis tiesiogiai perduoti trečiosiose valstybėse įsteigtiems duomenų gavėjams, kurie nėra baudžiamosios teisėsaugos institucijos. 3.5.1Sprendimai dėl tinkamumo Komisija ėmė sparčiau veikti, siekdama išnaudoti visą pagal Teisėsaugos direktyvą galimų priemonių potencialą. Be kita ko, 2021 m. birželio mėn. pirmą kartą priimtas Jungtinei Karalystei skirtas sprendimas dėl tinkamumo, taikomas duomenų tvarkymo veiklai teisėsaugos tikslais pagal Teisėsaugos direktyvos 36 straipsnį . Tokiu sprendimu dėl tinkamumo sudaromos sąlygos saugiam ir laisvam asmens duomenų srautui atitinkamos trečiosios valstybės kompetentingoms institucijoms ir tam nereikia papildomų apsaugos priemonių ar specialaus leidimo (nebent kita valstybė narė, iš kurios gauti duomenys, turi duoti leidimą perduoti duomenis ). Nuo 2021 m. birželio mėn. Jungtinei Karalystei skirtas sprendimas dėl tinkamumo yra esminis policijos ir teisminio bendradarbiavimo pagrindas po „Brexit’o“, pagal ES ir Jungtinės Karalystės prekybos ir bendradarbiavimo susitarimą grindžiamas „ilgalaikiu šalių įsipareigojimu užtikrinti aukštą asmens duomenų apsaugos lygį“ . Pagal Teisėsaugos direktyvos 36 straipsnio 4 dalį Komisija stebi visus pokyčius Jungtinės Karalystės teisinėje sistemoje, kurie gali turėti įtakos šiam sprendimui dėl tinkamumo. Numatyta, kad šis sprendimas dėl tinkamumo su Jungtine Karalyste bus taikomas ketverius metus nuo įsigaliojimo, o šis terminas iš principo gali būti pratęstas dar ketveriems metams, jeigu Komisija remdamasi stebėsenos duomenimis patvirtins, kad Jungtinė Karalystė vis dar išlaiko tinkamą apsaugos lygį . Be to, EDAV taip pat prisidėjo rengiant šią priemonę – išaiškino teisinį standartą pateikdama gaires dėl elementų, į kuriuos būtina atsižvelgti vertinant tinkamumą teisėsaugos srityje, t. y. paskelbdama tinkamumo pavyzdžius pagal Teisėsaugos direktyvą . Visų pirma trečioji valstybė turi užtikrinti ginamas asmens teises, veiksmingas teismines teisių gynimo priemones ir nepriklausomą priežiūrą. Komisija aktyviai propaguoja galimybę tinkamumo išvadas rengti kitiems pagrindiniams tarptautiniams partneriams, ypač šalims, su kuriomis reikia artimai ir operatyviai bendradarbiauti kovojant su nusikalstamumu ir terorizmu ir su kuriomis jau yra pakankamai keičiamasi asmens duomenimis. Nors kitų sprendimų dėl tinkamumo dar nepriimta, taip yra daugiausia dėl to, kad ši priemonė tik neseniai įdiegta. Be to, ne taip, kaip dėl komercinių operatorių vykdomo duomenų tvarkymo, visuotinę baudžiamosios teisėsaugos srities duomenų apsaugos taisyklių konvergenciją pradedama rengti tik dabar (pavyzdžiui, remiantis daugiašaliais susitarimais, kaip antai atnaujinta Europos Tarybos 108-ąja konvencija arba vadinamosios Budapešto konvencijos dėl elektroninių nusikaltimų antruoju papildomu protokolu). Nepaisant to, priėmus Jungtinei Karalystei skirtą sprendimą dėl tinkamumo įgyta patirtis padės nutiesti kelią panašioms iniciatyvoms per ateinančius kelerius metus. Pagal savo tarptautinę strategiją Komisija svarstys kitus galimus kandidatus, kuriems skirtus sprendimus dėl tinkamumo pagal Teisėsaugos direktyvą bus galima priimti, ir tai darys tiesiogiai palaikydama ryšius su kitomis atitinkamomis ES institucijomis ir įstaigomis. Tuo tikslu pagal Teisėsaugos direktyvos 68 konstatuojamąją dalį Komisija atidžiai atsižvelgs į vertinamų šalių tarptautinius įsipareigojimus, susijusius su asmens duomenų apsauga, be kita ko, į prisijungimą prie minėtųjų daugiašalių susitarimų ar kitų teisėsaugos priemonių, kuriomis suteikiama tinkamų su duomenų apsauga susijusių apsaugos priemonių. 3.5.2Tinkamos apsaugos priemonės Teisėsaugos direktyvoje numatyta ne tik išsami tvarka dėl sprendimų dėl tinkamumo, bet ir kitų duomenų perdavimo priemonių. Šio priemonių rinkinio lankstumas atsiskleidžia Teisėsaugos direktyvos 37 straipsnyje, kuriuo reglamentuojamas duomenų perdavimas remiantis tinkamomis apsaugos priemonėmis, susijusiomis su asmens duomenų apsauga. Tokios tinkamos apsaugos priemonės gali būti užtikrinamos teisiškai privaloma priemone arba kai duomenų valdytojas, remdamasis visų su duomenų perdavimu susijusių aplinkybių vertinimu, padaro išvadą, kad tinkamos apsaugos priemonės įdiegtos (tai yra vadinamasis duomenų perdavimo įsivertinimas). Pirmaisiais keleriais Teisėsaugos direktyvos taikymo metais Komisija visų pirma dirbo rengdama privalomas teisines priemones – tarptautinius susitarimus, kuriais užtikrinamos tinkamos apsaugos priemonės. Tokie susitarimai atlieka svarbų vaidmenį ir tradiciniame (t. y. kompetentingų institucijų tarpusavio), ir kitų formų teisėsaugos srities bendradarbiavime (t. y. bendradarbiavime dalyvaujant trečiosioms šalims, pvz., privačioms įmonėms). Jais taip pat gali būti remiamasi duomenų perdavimą vykdant Europolui ir Eurojustui pagal jų atitinkamas teisines sistemas, kurių tarptautiniam duomenų perdavimui taikomos taisyklės labai panašios į Teisėsaugos direktyvoje nustatytas taisykles. Su teisėsauga susijusio tradicinių formų bendradarbiavimo srityje Komisija peržiūri tarptautinius susitarimus, priimtus prieš įsigaliojant Teisėsaugos direktyvai, siekdama užtikrinti, kad jie derėtų su ES atnaujinta duomenų apsaugos tvarka . Pirma, Komisija vertina iki 2017 m. gegužės 1 d. sudarytų galiojančių Europolo bendradarbiavimo susitarimų su trečiosiomis valstybėmis duomenų apsaugos nuostatas, kaip pavesta pagal Reglamentą (ES) 2016/794 dėl Europos Sąjungos teisėsaugos bendradarbiavimo agentūros (toliau – Europolo reglamentas) . Pagal prie Europos Sąjungos sutarties ir SESV pridėto Protokolo Nr. 36 (dėl pereinamojo laikotarpio nuostatų) 9 straipsnį tų susitarimų teisinė galia išlieka tol, kol tie susitarimai nepanaikinami, neanuliuojami arba iš dalies nepakeičiami . Komisija informuos Europos Parlamentą ir Tarybą apie to vertinimo rezultatus ir prireikus pagal SESV 218 straipsnį pateiks Tarybai rekomendaciją priimti sprendimą, kuriuo būtų suteikiami įgaliojimai pradėti derybas, kad būtų iš dalies pakeistas (-i) atitinkamas (-i) susitarimas (-ai). Ši sudėtinga užduotis, apimanti 18 susitarimų vertinimą, užtruko dėl COVID-19 pandemijos sukeltų trukdžių. Komisija numato šį vertinimą užbaigti 2022 m. antroje pusėje. Visų teisėsaugos srities bendradarbiavimo mechanizmų derėjimas su Teisėsaugos direktyvos taisyklėmis – pagrindinis principas, kuriuo Komisija taip pat vadovaujasi derėdamasi dėl naujų susitarimų dėl Europolo vykdomo asmens duomenų perdavimo trečiosioms valstybėms ar tarptautinėms organizacijoms. Nuo to laiko, kai 2017 m. įsigaliojo šis Europolo reglamentas, tokių tarptautinių susitarimų, kuriais užtikrinamos tinkamos apsaugos priemonės, teisinis pagrindas buvo SESV 218 straipsnis. 2018 ir 2019 m. Taryba priėmė devynis įgaliojimus Komisijai Sąjungos vardu pradėti derybas su trečiosiomis valstybėmis. Komisija taip pat buvo įgaliota pradėti derybas dėl bendradarbiavimo susitarimo su Interpolu, kuris apimtų keitimąsi duomenimis su keliomis ES įstaigomis ir agentūromis. Visais šiais atvejais Taryba Komisijai pateikė derybinius nurodymus siekdama užtikrinti, kad būtų įtrauktos reikiamos apsaugos priemonės, susijusios su asmens duomenų ir kitų pagrindinių asmens teisių ir laisvių apsauga. Tuo remdamasi, Komisija jau užbaigė derybas su Naująja Zelandija ir 2022 m. birželio 30 d. buvo pasirašytas bendradarbiavimo susitarimas. Be to, pažanga padaryta derybose su Izraeliu. Derybose su Turkija nemažai pažengta, bet jų negalima užbaigti iki tol, kol Turkija patvirtins reikiamas savo duomenų apsaugos teisės aktų reformas. 2021 m. kovo mėn. buvo suteikti panašūs įgaliojimai derėtis dėl bendradarbiavimo susitarimų, pagal kuriuos Eurojustas galėtų keistis duomenimis su 13 trečiųjų valstybių. Antra, Komisija pirmą kartą bendrai peržiūri Jungtinių Amerikos Valstijų ir Europos Sąjungos susitarimą dėl su nusikalstamų veikų prevencija, tyrimu, atskleidimu ir baudžiamuoju persekiojimu susijusios asmeninio pobūdžio informacijos apsaugos (toliau – Bendrasis susitarimas). 2017 m. vasario mėn. įsigaliojusiame Bendrajame susitarime nustatytas išsamus ir suderintas duomenų apsaugos taisyklių rinkinys, taikomas visiems kompetentingų institucijų vykdomo transatlantinio keitimosi duomenimis atvejams. Juo papildomi galiojantys ES ir JAV, taip pat ES valstybių narių ir JAV susitarimai tarp teisėsaugos institucijų, nustatomas aukšto lygio apsaugos standartas būsimiems šios srities susitarimams ir sustiprinamas bendradarbiavimas teisėsaugos srityje sudarant palankesnes sąlygas keistis informacija. Atliekant bendrą peržiūrą siekiama įvertinti veiksmingą Bendrojo susitarimo įgyvendinimą, ypač nuostatų dėl tolesnio duomenų perdavimo, asmens teisių ir teisminių teisių gynimo priemonių. Bendros peržiūros grafiką paveikė su COVID-19 pandemija susiję trukdžiai, taip pat lygiagrečiai vykusios derybos dėl Europos Tarybos Budapešto konvencijos dėl elektroninių nusikaltimų antrojo papildomo protokolo . Komisija numato šią peržiūrą užbaigti 2022 m. antroje pusėje. Kaip pirmasis dvišalis tarptautinis susitarimas, kuriame pateikiamas išsamus duomenų apsaugos teisių ir pareigų sąrašas, Bendrasis susitarimas yra atskaitos taškas derantis dėl panašių pagrindų susitarimų su svarbiais baudžiamosios teisėsaugos partneriais. Derėdamasi Komisija taip pat atsižvelgs į atitinkamą pažangą, įskaitant EDAV gaires, ESTT praktiką ir tarptautinių derybų dėl su duomenų apsauga susijusių šios srities apsaugos priemonių rezultatus (pavyzdžiui, į Budapešto konvencijos dėl elektroninių nusikaltimų antrąjį papildomą protokolą arba Europolo susitarimą su Naująja Zelandija). Trečia, Komisija nurodė, kad Europos Sąjungos ir Japonijos susitarimą dėl savitarpio teisinės pagalbos baudžiamosiose bylose (toliau – ES ir Japonijos susitarimas) – duomenų tvarkymą (perdavimą) baudžiamosios teisėsaugos tikslais reglamentuojantį ES aktą – reikia iš dalies pakeisti, kad būtų užtikrintos tinkamos su duomenų apsauga susijusios apsaugos priemonės, atitinkančios Teisėsaugos direktyvą. Tarybai priėmus sprendimą, kuriuo suteikiami įgaliojimai pradėti derybas dėl ES ir Japonijos susitarimo dalinio pakeitimo, Komisija toliau bendradarbiauja su Japonijos valdžios institucijomis siekdama kuo greičiau pradėti derybas. Be to, dabar vis tvirčiau kliaujamasi ir kitų formų bendradarbiavimu, pritaikytu prie konkrečių uždavinių ir poreikių vykdant nusikalstamų veikų tyrimus šiandieninėje skaitmeninėje ekonomikoje. Tai daugiausia susiję su glaudesniu bendradarbiavimu kibernetinių nusikaltimų srityje ir renkant su nusikalstamomis veikomis susijusius elektroninius įrodymus. Toks bendradarbiavimas apima tiesioginį bendradarbiavimą su privačiais subjektais, kad būtų galima gauti elektroninius įrodymus. Komisija taip pat dirbo su tarptautiniais partneriais siekdama užtikrinti, kad tų kitų (svarbių) formų bendradarbiavimas vyktų remiantis su duomenų apsauga susijusiomis tinkamomis apsaugos priemonėmis. Pirma, Komisija atstovavo ES pagal Europos Tarybos sistemą vykdomose derybose dėl Budapešto konvencijos dėl elektroninių nusikaltimų antrojo papildomo protokolo .2021 m. lapkričio 17 d. Europos Tarybos Ministrų komiteto patvirtintame Protokole nustatytos griežtos apsaugos priemonės, susijusios su pagrindinių teisių apsauga, be kita ko, įtrauktas straipsnis , kuriame išdėstytos išsamios nuostatos dėl asmens duomenų, perduodamų pagal Protokolą, apsaugos. Tos nuostatos apima visus esminius duomenų apsaugos principus, teises ir pareigas, pripažįstamus ES teisėje. Šias garantijas papildo nuostata dėl stebėsenos ir galimybė sustabdyti duomenų perdavimą, jeigu sistemingai arba iš esmės pažeidžiamos Protokole nustatytos apsaugos priemonės, pavyzdžiui, jeigu nėra veiksmingų teisminių teisių gynimo priemonių. Šiomis nuostatomis užtikrinamos tinkamos apsaugos priemonės, atitinkančios Teisėsaugos direktyvos 37 straipsnio 1 dalies a punkto reikalavimus . Tai reikšmingas pasiekimas, atsižvelgiant į Budapešto konvencijos narių įvairovę – šiuo metu jos šalys yra 66 valstybės su skirtingomis teisinėmis sistemomis ir tradicijomis. Dėl to valstybių narių kompetentingos institucijos galės gauti naudos iš veiksmingo tarpvalstybinio bendradarbiavimo kovoje su kibernetiniais nusikaltimais, taip pat bus užtikrinta pagarba ES vertybėms, įtvirtintoms ES pagrindinių teisių chartijoje, ES sutartyse ir ES antrinės teisės aktuose. Kadangi šiuo metu Budapešto konvencijos šalių yra daug ir iš viso pasaulio, Protokolas taip pat padės propaguoti aukštus duomenų apsaugos standartus pasaulio mastu tvarkant duomenis baudžiamosios teisėsaugos srityje. Protokolas pateiktas pasirašyti 2022 m. gegužės 12 d. ir jį jau pasirašė iš viso 22 Budapešto konvencijos šalys (tarp jų 13 ES valstybių narių). Antra, Komisija pradėjo derybas dėl dvišalio susitarimo su Jungtinėmis Amerikos Valstijomis dėl tarpvalstybinės prieigos prie elektroninių įrodymų vykdant teisminį bendradarbiavimą baudžiamosiose bylose. Siekiama, kad šis susitarimas apimtų elektroninius įrodymus – ne asmens duomenis ir asmens duomenis, įskaitant eismo ir turinio duomenis. Svarbu, kad derantis taip pat siekiama įtraukti papildomų su duomenų apsauga susijusių apsaugos priemonių, kurios papildytų nustatytąsias Bendrajame susitarime, visų pirma atsižvelgiant į būtinybę neskelbti atitinkamų kategorijų duomenų, taip pat į reikalavimus paslaugų teikėjams tiesiogiai perduoti elektroninius įrodymus. Pažanga šiose derybose gerokai priklausys nuo vykstančio ES e. įrodymų paketo teisėkūros proceso pažangos . Šios įvairios Komisijos iniciatyvos parengti tarptautinių priemonių, kurios palengvintų bendradarbiavimą teisėsaugos srityje su tarptautiniais partneriais ir kartu užtikrintų tinkamas su duomenų apsauga susijusias apsaugos priemones, grindžiamos EDAV ir EDAPP veikla. Ši veikla, be kita ko, apima EDAV pareiškimą dėl Budapešto konvencijos antrojo papildomo protokolo projekto ir EDAPP nuomones dėl pagal SESV 218 straipsnį teikiamų įgaliojimų derėtis dėl tarptautinių susitarimų, pagal kuriuos Europolas ir Eurojustas galėtų keistis asmens duomenimis su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis, projektų . EDAV taip pat paskelbė pareiškimą, kuriuo valstybės narės raginamos įvertinti ir prireikus peržiūrėti tarptautinius susitarimus, susijusius su tarptautiniu asmens duomenų perdavimu . Šiame dėl susitarimų, sudarytų iki 2016 m. gegužės 6 d., be kita ko, baudžiamosios teisėsaugos srityje, paskelbtame pareiškime valstybės narės raginamos nustatyti, ar reikia dar tvirtesnio suderinimo su ES duomenų apsaugos teisės aktais ir teismų praktika.

Teisėsaugos direktyvos 37 straipsniu taip pat leidžiamas tarptautinis duomenų perdavimas, grindžiamas pačios kompetentingos institucijos įvertinimu, ar trečioji valstybė (arba tarptautinė organizacija) yra nustačiusi tinkamas su asmens duomenų apsauga susijusias apsaugos priemones. Tokiais atvejais institucija turi dokumentuoti duomenų perdavimą (be kita ko, jo datą ir laiką, informaciją apie gaunančiąją instituciją, duomenų perdavimo pagrindimą ir perduotus asmens duomenis), o ši dokumentacija gavus prašymą turi būti pateikiama priežiūros institucijai (Teisėsaugos direktyvos 37 straipsnio 3 dalis). Iš valstybių narių pateiktų atsiliepimų matyti, kad šia priemone naudojamasi retai. Kad valstybės narės galėtų visapusiškai išnaudoti Teisėsaugos direktyvos duomenų perdavimo priemonių rinkinį, svarbu EDAV dar intensyviau darbuotis rengiant įvairius duomenų perdavimo mechanizmus. Be kita ko, ji turėtų pateikti gairių dėl Teisėsaugos direktyvos 37 straipsnio 1 dalyje nurodytų mechanizmų, visų pirma dėl duomenų perdavimo remiantis pačių kompetentingų institucijų įvertinimu. Tokią būtinybę pabrėžė ir Taryba. 3.5.3Nukrypti leidžiančių nuostatų taikymas Galiausiai vadinamosios nukrypti leidžiančios nuostatos yra svarbus duomenų perdavimo pagrindas tam tikromis sąlygomis, nurodytomis Teisėsaugos direktyvos 38 straipsnyje. Tos sąlygos suteikia galimybę suderinti privatumo apsaugos sumetimus ir kompetentingų institucijų veiklos poreikius. Konkrečiai, 38 straipsnio 1 dalyje leidžiama perduoti asmens duomenis ar net tam tikrų kategorijų asmens duomenis, kai tai būtina, kad būtų užkirstas kelias tiesioginei ir didelei grėsmei visuomenės saugumui, arba atskirais atvejais nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas tikslais. Kitaip nei dėl nukrypti leidžiančių nuostatų pagal BDAR 49 straipsnį, dėl nukrypti leidžiančių nuostatų pagal Teisėsaugos direktyvos 38 straipsnį gairių šiuo metu nėra. 3.5.4Veiksmingas tarpvalstybinis policijos ir teisminis bendradarbiavimas Teisėsaugos direktyva yra tapusi tarptautiniu duomenų apsaugos teisėsaugos srityje atskaitos tašku ir yra paskata viso pasaulio šalims svarstyti galimybę šioje srityje nustatyti šiuolaikiškas privatumo apsaugos taisykles. Tai yra labai gerai ir suteikia naujų galimybių ES geriau apsaugoti asmenis, kai jų duomenys perduodami į užsienį teisėsaugos tikslais, ir kartu sudaryti palankesnes sąlygas duomenų srautams, kurie gali padėti kovoti su nusikalstamumu. Apskritai svarbu užtikrinti, kad Europos rinkoje veikiančios įmonės, gavusios tiesioginio bendradarbiavimo prašymų pasidalyti duomenimis teisėsaugos tikslais, galėtų tai daryti nepatirdamos teisės kolizijos ir visiškai paisydamos ES pagrindinių teisių . Kad pagerintų tokį duomenų perdavimą, Komisija yra įsipareigojusi su savo tarptautiniais partneriais kurti reikiamas teisines sistemas, kurios padėtų išvengti teisės kolizijos ir kuriomis būtų remiamas veiksmingų formų bendradarbiavimas, visų pirma numatydama reikiamas su duomenų apsauga susijusias apsaugos priemones, ir taip prisidėti prie veiksmingesnės kovos su nusikalstamumu. Atsižvelgdama į tai, Komisija įsipareigojo dvišaliu, regioniniu ir daugiašaliu lygmeniu aktyviai skatinti bendradarbiaujant baudžiamosios teisėsaugos srityje taikomų duomenų apsaugos standartų tarptautinę konvergenciją. Per dialogus su keliomis šalimis užsienio partnerėmis dėl vykdomų duomenų apsaugos teisės aktų reformų Komisijos tarnybos įvairiais būdais (pvz., teikdamos atsiliepimus viešosiose konsultacijose, dalyvaudamos parlamentų posėdžiuose ir specialiuose susitikimuose su vyriausybių atstovais ir politikos formuotojais) dalyvavo kuriant kompetentingų institucijų vykdomo asmens duomenų tvarkymo taisykles. Regioniniu ir daugiašaliu lygmeniu Komisija, pavyzdžiui, remia pajėgumų didinimo projektus įgyvendinant Europos Tarybos Budapešto konvenciją dėl elektroninių nusikaltimų . Vienas tokių projektų – programa „GLACY+“, kuria stiprinami valstybių pajėgumai taikyti teisės aktus dėl kibernetinių nusikaltimų ir plečiamos jų galimybės veiksmingai bendradarbiauti tarptautiniu mastu pagal Budapešto konvenciją ir jos papildomus protokolus. Be kita ko, kuriami duomenų apsaugos teisės aktai, apimantys duomenų tvarkymą toje srityje. Pagal programą šiuo metu remiama 17 prioritetinių ir pagrindinių šalių Afrikoje, Azijoje ir Ramiojo vandenyno regione, Lotynų Amerikoje ir Karibų jūros regione. Komisija taip pat bendradarbiavo su 18 Lotynų Amerikos šalių jungiančia policijos bendradarbiavimo organizacija Ameripolu kuriant duomenų apsaugos sistemą, taikomą Ameripolui keičiantis informacija su jos valstybėmis narėmis. Šis bendradarbiavimas vyksta įgyvendinant paramos Ameripolui projektą „EL PAcCTO“, kuriuo siekiama tarptautinį bendradarbiavimą tarp šalių partnerių policijos, teisminių institucijų ir prokuratūrų kovojant su organizuotu nusikalstamumu perkelti į aukštesnį lygį. Komisija taip pat propaguoja atnaujintą 108-ąją konvenciją (vadinamąją Konvenciją 108+), kuri taip pat taikoma duomenų tvarkymo veiklai baudžiamosios teisėsaugos tikslais. Ši konvencija, prie kurios gali prisijungti ir ne Europos Tarybos narės, svarbi ne tik dėl to, kad yra vienintelis privalomas daugiašalis susitarimas dėl duomenų apsaugos, bet ir todėl, kad per šios Konvencijos komitetą užtikrinamas gerosios patirties mainų ir pasaulinių standartų nustatymo forumas . Pagal savo tarptautinę strategiją dėl duomenų srautų Komisija ragina trečiąsias valstybes prisijungti prie Konvencijos 108+. Galiausiai Komisija skatina didesnę tarptautinio lygmens konvergenciją su partneriais dalydamasi mūsų patirtimi, susijusia su bendradarbiavimo baudžiamosios teisėsaugos srityje duomenų apsaugos aspektais. Viena iš pagrindinių priemonių siekiant šių tikslų – Komisijos Duomenų apsaugos akademija, sukurta pagal projektą „Tarptautinis skaitmeninis bendradarbiavimas – sustiprinta duomenų apsauga ir duomenų srautai“. Ši akademija įsteigta siekiant skatinti Europos ir trečiųjų valstybių reguliavimo institucijų keitimąsi informacija ir gerinti bendradarbiavimą vietoje. Akademijos veikla apima visus duomenų apsaugos priežiūros aspektus, be kita ko, ir teisėsaugos srityje. 4Tolesni veiksmai Siekdama užtikrinti veiksmingą ES saugumo politiką, pagal kurią visokeriopai paisoma pagrindinės teisės į asmens duomenų apsaugą, Komisija ir toliau tikrins, ar valstybės narės tinkamai perkėlė Teisėsaugos direktyvą į nacionalinę teisę, ir stebės, kaip taikomos jos nuostatos. Teisėsaugos direktyva gerokai prisidėjo užtikrinant darnesnę ir aukštesnio lygio asmens teisių apsaugą ir kompetentingoms institucijoms geriau suderintą teisinę sistemą. Apskritai Teisėsaugos direktyva į nacionalinę teisę perkelta patenkinamai, tačiau tam tikrų problemų nustatyta. Komisija jau pradėjo pažeidimo nagrinėjimo procedūras ir dėl neperkėlimo į nacionalinę teisę, ir dėl nacionalinės teisės aktų neatitikties Teisėsaugos direktyvai. Ji toliau stengsis užtikrinti visišką ir tinkamą perkėlimą į nacionalinę teisę. Dėl Teisėsaugos direktyvos nacionalinės kompetentingos institucijos tapo geriau informuotos ir dėmesingesnės duomenų apsaugos klausimais, taip pat susijusiais su duomenų tvarkymo saugumu. Siekiant užtikrinti, kad Teisėsaugos direktyvos tikslai būtų iš tikrųjų pasiekti, būtina duomenų apsaugos priežiūros institucijų vykdoma aktyvi priežiūra. Todėl institucijoms reikia suteikti visų tipų įgaliojimus, kaip reikalaujama pagal Teisėsaugos direktyvą, ir skirti pakankamai išteklių. Šiame etape daugiausia dėmesio reikėtų skirti visam Teisėsaugos direktyvos potencialui išnaudoti. Atsižvelgiant į tai ir dėl to, kad patirties laikantis naujųjų taisyklių dar nedaug, Komisija mano, kad svarstyti galimybę peržiūrėti Teisėsaugos direktyvą dar per anksti. Komisija ir toliau aktyviai dirbs su visais susijusiais subjektais rengdamasi iki 2026 m. atlikti kitą vertinimą. Kol kas ji toliau stengsis užtikrinti derėjimą su kitais ES teisės aktais, susijusiais su asmens duomenų tvarkymu baudžiamosios teisėsaugos tikslais.

Teisinė sistema Komisija: -toliau vertins, kaip valstybės narės perkėlė Teisėsaugos direktyvą į nacionalinę teisę, ir prireikus imsis tinkamų veiksmų (be kita ko, pradės pažeidimo nagrinėjimo procedūras); -vykdys dvišalius informacijos mainus su valstybėmis narėmis; -užtikrins, kad būsimi pasiūlymai dėl teisėkūros procedūra priimamų aktų derėtų su Teisėsaugos direktyva. Valstybės narės turėtų: -nacionaliniu lygmeniu užtikrins, kad Teisėsaugos direktyva būtų visiškai ir tinkamai perkelta į nacionalinę teisę, be kita ko, nustatydamos pagal Teisėsaugos direktyvą būtinus reikalavimus, jeigu nacionaliniuose duomenų apsaugos teisės aktuose, kuriais Teisėsaugos direktyva perkeliama į nacionalinę teisę, tokie reikalavimai nenustatyti. Duomenų apsaugos priežiūros institucijų vykdoma priežiūra Valstybės narės turėtų: -parūpins duomenų apsaugos priežiūros institucijoms pakankamai išteklių Teisėsaugos direktyvos vykdymo užtikrinimo užduotims vykdyti; -užtikrins, kad duomenų apsaugos priežiūros institucijos galėtų naudotis visų tipų įgaliojimais, nustatytais Teisėsaugos direktyvoje; -sistemingai konsultuosis su duomenų apsaugos priežiūros institucijomis dėl bendrai taikomų, su asmens duomenų apsauga susijusių teisės aktų ir administracinių priemonių projektų ir deramai atsižvelgs į jų nuomonę (ypač naujų technologijų atveju). Duomenų apsaugos priežiūros institucijos raginamos: -visapusiškai naudotis savo tyrimo įgaliojimais, be kita ko, vykdant tyrimus savo iniciatyva; -rinkti specialius statistinius duomenis, susijusius su jų vykdoma priežiūros veikla pagal Teisėsaugos direktyvą; -naudotis savitarpio pagalbos priemonėmis ir parengti praktinių priemonių, kad būtų lengviau prašyti pagalbos, be kita ko, parengti planuojamas EDAV gaires. EDAV raginama: -didinti ekspertų pagalbinį rezervą su Teisėsaugos direktyva susijusioms užduotims spręsti. Parama kompetentingoms institucijoms Komisija:

-sudarys palankesnes sąlygas valstybėms narėms ir Komisijai diskutuoti ir keistis patirtimi Teisėsaugos direktyvos valstybių narių ekspertų grupėje; -sudarys palankesnes sąlygas duomenų apsaugos pareigūnams keistis nuomonėmis Duomenų apsaugos pareigūnų tinkle. Valstybės narės raginamos: -toliau kompetentingoms institucijoms rengti mokymus dėl duomenų apsaugos reikalavimų, susijusius ir su naujomis technologijomis. EDAV ir duomenų apsaugos priežiūros institucijos raginamos: -intensyvinti pastangas priimti atitinkamas gaires (pvz., dėl sutikimo vaidmens tvarkant asmens duomenis baudžiamosios teisėsaugos tikslais, ir dėl duomenų subjektų teisių, įskaitant galimus jų apribojimus) – priimti naujas atskiras gaires arba papildyti dėl BDAR jau priimtas gaires. Tarpvalstybinis duomenų perdavimas Komisija ketina: -aktyviai skatinti su pagrindiniais tarptautiniais partneriais priimti galimus naujus sprendimus dėl tinkamumo; -derėtis dėl naujų Europolo ir Eurojusto bendradarbiavimo susitarimų su trečiosiomis valstybėmis. Prireikus ji sieks persiderėti dėl galiojančių Europolo bendradarbiavimo susitarimų siekdama užtikrinti, kad į juos būtų įtrauktos tinkamos su duomenų apsauga susijusios apsaugos priemonės; -dalyvauti derybose su Japonija, kad būtų iš dalies pakeistas galiojantis ES ir Japonijos susitarimas dėl savitarpio teisinės pagalbos ir užtikrintos tinkamos su duomenų apsauga susijusios apsaugos priemonės; -vykdyti ir užbaigti derybas dėl dvišalio susitarimo su Jungtinėmis Amerikos Valstijomis dėl tarpvalstybinės prieigos prie elektroninių įrodymų vykdant teisminį bendradarbiavimą baudžiamosiose bylose, be kita ko, papildant pagal ES ir JAV bendrąjį susitarimą užtikrinamas su duomenų apsauga susijusias apsaugos priemones, kad būtų atsižvelgta į konkrečias teisėsaugos institucijų ir paslaugų teikėjų tiesioginio bendradarbiavimo aplinkybes; -išnagrinėti galimybę remiantis ES ir JAV bendrojo susitarimo pavyzdžiu su svarbiais baudžiamosios teisėsaugos partneriais sudaryti duomenų apsaugos pagrindų susitarimus dėl duomenų tvarkymo baudžiamosios teisėsaugos srityje. EDAV raginama: -priimti gaires, kad būtų dar tiksliau išaiškinta tinkamų apsaugos priemonių sąvoka ir turinys (Teisėsaugos direktyvos 37 straipsnis), taip pat nukrypti leidžiančių nuostatų taikymas (Teisėsaugos direktyvos 38 straipsnis). Konvergencijos skatinimas ir tarptautinio bendradarbiavimo plėtojimas Komisija: -plėtos bendradarbiavimą su tarptautiniais partneriais siekdama didinti baudžiamosios teisėsaugos srities duomenų apsaugos taisyklių konvergenciją, be kita ko, skatindama prisijunti prie Konvencijos 108+, kuri yra vienintelis privalomas pasaulinis susitarimas dėl duomenų apsaugos; -skatins dvišalį, regioninį ir daugiašalį bendradarbiavimą ir rems pajėgumų didinimo projektus duomenų apsaugos ir policijos bendradarbiavimo srityse. Be kita ko, bus rengiami mokymai ir keičiamasi žiniomis bei geriausia patirtimi Duomenų apsaugos akademijoje. Valstybės narės raginamos: