Bendra išvada tokia, kad praėjus dvejiems metams nuo BDAR taikymo pradžios, juo sėkmingai pasiekti jo tikslai – sustiprinti asmens teisės į asmens duomenų apsaugą ir užtikrinti laisvą asmens duomenų judėjimą ES. Tačiau buvo nustatytos kelios sritys, kurias ateityje reikia tobulinti. Komisija, kaip ir dauguma suinteresuotųjų subjektų ir duomenų apsaugos institucijų, mano, kad šiame etape daryti galutines išvadas dėl BDAR taikymo būtų per anksti. Tikėtina, kad daugumą valstybių narių ir suinteresuotųjų subjektų nustatytų problemų bus lengviau spręsti turint daugiau BDAR taikymo ateinančiais metais patirties. Nepaisant to, šioje ataskaitoje atkreipiamas dėmesys į sunkumus, su kuriais iki šiol teko susidurti taikant BDAR, ir nurodomi galimi jų sprendimo būdai.

Žinoma, būtinybė užtikrinti pasitikėjimą ir asmens duomenų apsaugos poreikis kyla ne tik ES. Asmenys visame pasaulyje vis labiau vertina savo duomenų privatumą ir saugumą. Kaip matyti iš neseniai atlikto pasaulinio tyrimo rezultatų, asmenys mano, kad tai yra svarbus veiksnys, turintis įtakos jų sprendimams dėl pirkimo ir jų elgesiui internete. Vis daugiau bendrovių reaguoja į šį privatumo poreikį, visų pirma, kai kurias BDAR numatytas teises ir apsaugos priemones savanoriškai suteikdamos savo klientams, kurie negyvena ES. Daug bendrovių asmens duomenų apsaugą taip pat skatina kaip konkurencinį pranašumą ir pardavimo argumentą pasaulinėje rinkoje, siūlydamos naujoviškų produktų ir paslaugų su naujais privatumo ar duomenų saugumo sprendimais. Be to, dėl didesnių privačiojo ir viešojo sektoriaus subjektų galimybių dideliu mastu rinkti ir tvarkyti duomenis kyla svarbių ir sudėtingų klausimų, dėl kurių viešuose debatuose skirtingose pasaulio šalyse privatumui vis dažniau skiriama daugiausiai dėmesio.

Nepaisant to, kad šiame vertinime ir peržiūroje daugiausia dėmesio skiriama dviem BDAR 97 straipsnio 2 dalyje nurodytiems klausimams, t. y. tarptautiniam duomenų perdavimui ir bendradarbiavimo ir nuoseklumo užtikrinimo mechanizmams, juose laikomasi platesnio požiūrio ir taip pat aptariami įvairių subjektų per pastaruosius dvejus metus iškelti klausimai.

2Pagrindinės išvados

BDAR vykdymo užtikrinimas ir bendradarbiavimo ir nuoseklumo užtikrinimo mechanizmo veikimas

BDAR nustatyta naujoviška valdymo sistema, pagrįsta nepriklausomų duomenų apsaugos institucijų veikla valstybėse narėse ir jų bendradarbiavimu tarpvalstybiniais atvejais ir Europos duomenų apsaugos valdyboje (toliau – Valdyba). Bendrai manoma, kad duomenų apsaugos institucijos subalansuotai naudojosi savo sustiprintais taisomaisiais įgaliojimais, įskaitant įgaliojimus skirti įspėjimus ir papeikimus, baudas bei laikinus arba nuolatinius duomenų tvarkymo apribojimus. Komisija pažymi, kad institucijos naudojosi savo įgaliojimais skirti administracines baudas, kurių dydis, priklausomai nuo pažeidimų sunkumo, buvo nuo kelių tūkstančių ir kelių milijonų eurų. Kitos sankcijos, pavyzdžiui, draudimas tvarkyti duomenis, gali turėti tokį pat (arba net didesnį) atgrasomąjį poveikį kaip baudos. Galutinis BDAR tikslas yra pakeisti visų susijusių subjektų kultūrą ir elgesį asmenų naudai. Išsamesnės informacijos apie tai, kaip duomenų apsaugos institucijos naudojasi taisomaisiais įgaliojimais, pateikta pridedamame Komisijos tarnybų darbiniame dokumente.

Nors vertinti naujų bendradarbiavimo ir nuoseklumo užtikrinimo mechanizmų veikimą dar per anksti, duomenų apsaugos institucijos plėtojo bendradarbiavimą taikydamos vienos bendros prieigos mechanizmą ir plačiai naudodamosi savitarpio pagalba. Šis vienos bendros prieigos mechanizmas, kuris yra pagrindinis vidaus rinkos privalumas, naudojamas priimant sprendimus dėl daugelio tarptautinių atvejų. Šiuo metu dar nepriimti svarbūs tarpvalstybinio masto sprendimai, kuriems bus taikomas vienos bendros prieigos mechanizmas. Šie sprendimai, kurie dažnai susiję su didžiosiomis tarptautinėmis technologijų bendrovėmis, turės didelį poveikį asmenų teisėms daugybėje valstybių narių.

Tačiau iš tikrųjų bendros Europos duomenų apsaugos institucijų duomenų apsaugos kultūros kūrimas yra nuolatinis procesas. Duomenų apsaugos institucijos dar visapusiškai nepasinaudojo BDAR numatytomis priemonėmis, pavyzdžiui, bendromis operacijomis, pagal kurias galėtų būti pradedami bendri tyrimai. Ieškant bendro požiūrio kartais reikėdavo prieiti prie mažiausio bendro vardiklio, todėl nebuvo pasinaudota galimybėmis skatinti didesnį suderinimą.

Reikia toliau daryti pažangą siekiant, kad tarpvalstybinių bylų nagrinėjimas visoje ES būtų veiksmingesnis ir labiau suderintas, taip pat procedūriniu požiūriu, pavyzdžiui, dėl skundų nagrinėjimo procedūrų, skundų priimtinumo kriterijų, procedūros trukmės dėl skirtingų laikotarpių ar terminų nebuvimo nacionalinėje administracinės procedūros teisėje, procedūros momento, kai suteikiama teisė būti išklausytam, ar skundo pateikėjų informavimo ir dalyvavimo procedūroje klausimų. Valdybos šiuo klausimu pradėtas svarstymų procesas vertinamas palankiai, o Komisija dalyvauja šiose diskusijose.

Valdybos veikla ir rekomendacijos yra itin svarbios nuosekliai plėtojant Valdybos ir suinteresuotųjų subjektų keitimąsi informacija. Iki 2019 m. pabaigos Valdyba priėmė 67 dokumentus, įskaitant 10 naujų gairių ir 43 nuomones. Suinteresuotieji subjektai Valdybos gaires paprastai vertina teigiamai ir prašo priimti papildomų gairių dėl pagrindinių BDAR sąvokų, tačiau taip pat atkreipia dėmesį į nacionalinių rekomendacijų ir Valdybos gairių neatitikimus. Jie pažymi poreikį gauti daugiau praktinių patarimų, ypač konkretesnių pavyzdžių, taip pat poreikį duomenų apsaugos institucijoms suteikti reikiamų žmogiškųjų, finansinių ir techninių išteklių, kad jos galėtų veiksmingai vykdyti savo funkcijas.

Komisija nuolat pažymi valstybių narių įpareigojimą nacionalinėms duomenų apsaugos institucijoms skirti pakankamai žmogiškųjų, finansinių ir techninių išteklių. 2016–2019 m. padidintas daugumos institucijų darbuotojų skaičius ir biudžetas, o santykinai daugiausiai padidintas Airijos, Nyderlandų, Islandijos, Liuksemburgo ir Suomijos institucijų darbuotojų skaičius. Atsižvelgiant į tai, kad didžiausios tarptautinės technologijų bendrovės įsisteigusios Airijoje ir Liuksemburge, šių šalių duomenų apsaugos institucijos yra vadovaujančios institucijos daugelyje svarbių tarpvalstybinių bylų, todėl joms reikia daugiau išteklių, nei būtų galima spręsti pagal šių valstybių gyventojų skaičių. Tačiau padėtis skirtingose valstybėse narėse vis dar nevienoda ir iš esmės nepatenkinama. Duomenų apsaugos institucijos atlieka svarbiausią vaidmenį siekiant užtikrinti BDAR vykdymą nacionaliniu lygmeniu ir Valdybos bendradarbiavimo ir nuoseklumo užtikrinimo mechanizmo veiksmingumą, įskaitant, visų pirma, vienos bendros prieigos mechanizmą, taikomą tarpvalstybiniams atvejams. Todėl valstybės narės raginamos joms skirti pakankamai išteklių, kaip reikalaujama BDAR.

Tam tikras susiskaidymo lygis ir skirtingi požiūriai esant suderintoms taisyklėms

Komisija stebi BDAR įgyvendinimą nacionalinės teisės aktuose. Rengiant šią ataskaitą visos valstybės narės, išskyrus Slovėniją, priėmė naujus teisės aktus arba pritaikė savo nacionalinius duomenų apsaugos teisės aktus. Slovėnijos paprašyta Komisijai pateikti paaiškinimus dėl to proceso baigimo.

BDAR numatytas nuoseklus požiūris į duomenų apsaugos taisykles visoje ES. Tačiau jame valstybių narių reikalaujama priimti kai kurių sričių teisės aktus, o kitose srityse suteikiama galimybė papildomai patikslinti BDAR nuostatas. Todėl vis dar yra tam tikras susiskaidymas, kurį visų pirma lemia plačiai naudojamos neprivalomos konkretumo sąlygos. Pavyzdžiui, dėl vaikų amžiaus skirtumo informacinių visuomenės paslaugų srityje valstybėse narėse vaikams ir jų tėvams kyla neaiškumų dėl jų duomenų apsaugos teisių bendrojoje rinkoje. Dėl šio susiskaidymo taip pat kyla sunkumų vykdant tarpvalstybinį verslą ir įgyvendinant naujoves, ypač dėl naujų technologinių pokyčių ir kibernetinio saugumo sprendimų. Siekiant užtikrinti veiksmingą vidaus rinkos veikimą ir išvengti nereikalingos naštos bendrovėms, labai svarbu, kad nacionalinės teisės aktuose nebūtų viršytos BDAR nustatytos ribos arba nustatoma papildomų reikalavimų, kai tokios ribos nenustatytos.

Konkretus uždavinys priimant nacionalinius teisės aktus – teisę į asmens duomenų apsaugą suderinti su saviraiškos ir informacijos laisve bei užtikrinti tinkamą šių teisių pusiausvyrą. Kai kuriuose nacionalinės teisės aktuose nustatytas saviraiškos laisvės pirmumo principas, o kituose numatyta, kad pirmenybė teikiama asmens duomenų apsaugai, o netaikyti duomenų apsaugos taisyklių leidžiama tik konkrečiais atvejais, pavyzdžiui, kai tai susiję su viešuoju asmeniu. Galiausiai, kitose valstybėse dėl nukrypti nuo tam tikrų BDAR nuostatų leidžiančių nuostatų tam tikrą pusiausvyrą nustato įstatymų leidėjas ir (arba) atliekamas kiekvieno atvejo vertinimas.

Komisija toliau vertins nacionalinės teisės aktus. Derinimas turi būti numatytas įstatyme ir nekeisti šių pagrindinių teisių esmės; jis turi būti proporcingas ir būtinas. Dėl duomenų apsaugos taisyklių (taip pat jų aiškinimo ir taikymo) neturėtų būti daromas poveikis saviraiškos ir informacijos laisvės įgyvendinimui (pavyzdžiui, sukuriant atgrasomąjį poveikį arba darant spaudimą žurnalistams atskleisti savo šaltinius). Nacionalinės teisės aktuose nustatant šių dviejų teisių pusiausvyrą turi būti atsižvelgiama į Teisingumo Teismo ir Europos Žmogaus Teisių Teismo jurisprudenciją.

Valstybių narių teisės aktuose įgyvendinant nuo bendrojo draudimo tvarkyti (taip pat sveikatos ir tyrimų tikslais) specialių kategorijų asmens duomenis nukrypti leidžiančias nuostatas taikomas skirtingas požiūris dėl konkretumo lygio ir apsaugos priemonių. Siekdama spręsti šią problemą Komisija pirmiausia vertina skirtingus valstybių narių požiūrius, o vėliau padės parengti elgesio kodeksą (-us), kuriuo (-iais) būtų prisidedama prie nuoseklesnio požiūrio šioje srityje, o tarpvalstybinis asmens duomenų tvarkymas taptų paprastesnis. Be to, suderintą požiūrį padės užtikrinti būsimos Valdybos gairės dėl asmens duomenų naudojimo mokslinių tyrimų srityje. Komisija Valdybai teiks informaciją, ypač dėl sveikatos tyrimų, įskaitant konkrečius klausimus ir konkrečių atvejų, apie kuriuos Komisijai praneša tyrimų bendruomenė, analizę.





Daugiau galių kontroliuoti savo duomenis suteikimas asmenims

Remiantis pagrindinių teisių tyrimo duomenimis 69 % Europos gyventojų, sulaukusių 16 metų yra girdėję apie BDAR, o 71 % asmenų ES yra girdėję apie savo šalies nacionalinę duomenų apsaugos instituciją.

Asmenys vis geriau suvokia savo teises: teisę susipažinti su savo asmens duomenimis, teisę reikalauti juos ištaisyti, teisę reikalauti juos ištrinti ir teisę į jų perkeliamumą, teisę nesutikti, kad duomenys būtų tvarkomi, taip pat didesnį skaidrumą. BDAR sustiprintos procedūrinės teisės, prie kurių priskiriama teisė pateikti skundą duomenų apsaugos institucijai, įskaitant galimybę teikti atstovaujamuosius ieškinius, ir teisė apskųsti teismine tvarka. Asmenys vis dažniau naudojasi šiomis teisėmis, tačiau reikia sudaryti palankesnes sąlygas jas įgyvendinti ir visapusiškai jas vykdyti. Valdybos vadovaujamuose svarstymuose bus paaiškintas ir dar palengvintas naudojimasis atskiromis teisėmis, o priėmus siūlomą Direktyvą dėl atstovaujamųjų ieškinių numatoma, kad asmenys atstovaujamuosius ieškinius galės reikšti visose valstybėse narėse ir kad bus sumažintos tarpvalstybinių ieškinių išlaidos.

Teisė į duomenų perkeliamumą turi aiškų dar iki galo neišnaudotą potencialą, kad duomenų ekonomikoje didžiausias dėmesys būtų skiriamas asmenims sudarant jiems sąlygas keisti skirtingus paslaugų teikėjus, derinti skirtingas paslaugas, naudotis kitomis naujoviškomis paslaugomis ir pasirinkti paslaugas, kuriomis geriausiai užtikrinama duomenų apsauga. Taip bus netiesiogiai skatinama konkurencija ir remiamos naujovės. Šio potencialo panaudojimas yra vienas iš Komisijos prioritetų, ypač atsižvelgiant į tai, kad vartotojai, vis dažniau naudodamiesi daiktų interneto įrenginiais, sukuria vis daugiau duomenų, todėl jiems kyla pavojus susidurti su nesąžininga praktika ir prisirišimo poveikiu. Duomenų perkeliamumas gali būti labai naudingas sveikatos ir gerovės požiūriu, dėl mažesnio aplinkosauginio pėdsako ir galimybės naudotis viešosiomis ir privačiosiomis paslaugomis, aukštesnio gamybos produktyvumo ir geresnės produktų kokybės ir saugumo.