Document ID: 32018D1961

Reference:
12.12.2018
ET
Euroopa Liidu Teataja
L 315/35
KOMISJONI OTSUS (EL) 2018/1961,
11. detsember 2018,
millega sätestatakse sise-eeskirjad andmesubjektide teavitamise ja nende teatavate õiguste piiramise kohta isikuandmete töötlemisel siseauditi eesmärgil
KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 249 lõiget 1,
ning arvestades järgmist:
(1)
Euroopa Parlamendi ja nõukogu määruse (EL, Euratom) 2018/1046 (1) kohaselt peab iga liidu institutsioon nägema ette siseauditi funktsiooni, mida täidetakse asjaomaste rahvusvaheliste standardite kohaselt. Komisjonis teostab siseauditiga seotud tegevusi siseauditi talitus (edaspidi „talitus“), mis asutati 11. aprillil 2000. Talitus teostab siseauditeid ka liidu detsentraliseeritud asutustes ja muudes liidu eelarvest toetust saavates autonoomsetes asutustes.
(2)
Talitus teostab siseauditi tegevusi vastavalt määruse (EL, Euratom) 2018/1046 artiklitele 117–123 ning oma ametijuhendile (2). Talitus on sellega seoses täielikult sõltumatu ning tal on täielik ja piiramatu juurdepääs kogu teabele, mis on vajalik tema siseauditi tegevuste läbiviimiseks asjaomase liidu institutsiooni tegevuse ja talituste suhtes.
(3)
Talitus nõustab komisjoni teisi talitusi, rakendusameteid, liidu detsentraliseeritud asutusi ja muid liidu eelarvest toetust saavaid autonoomseid asutusi, kuidas hallata riske, st sündmuseid või probleeme, mis võivad kahjustada komisjoni poliitiliste, strateegiliste ja tegevuseesmärkide saavutamist, avaldades sõltumatuid arvamusi juhtimis- ja kontrollisüsteemide kvaliteedi kohta ning esitades soovitusi, kuidas parandada toimingute teostamise tingimusi ning edendada usaldusväärset finantsjuhtimist vastavalt määruse (EL, Euratom) 2018/1046 artiklitele 117–123. Seetõttu ei käsitle talituse siseauditi tegevused tavaliselt füüsilisi isikuid. Siiski töödeldakse talituse tegevuse käigus paratamatult Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (3) artikli 3 lõikes 1 käsitletud isikuandmeid. Talituse teostatud siseauditi tegevuste raames hinnatakse institutsioonisiseste juhtimissüsteemide sobivust ja tõhusust ning talituste tegevuse tulemuslikkust poliitika, programmide ja meetmete rakendamisel, ning kõigi eelarve täitmise toimingute suhtes kohaldatavate sisekontrolli- ja -auditisüsteemide tulemuslikkust ja tõhusust. Seetõttu aitavad need tegevused kindlustada liidu ja liikmesriikide oluliste majandus- ja finantshuvide arvestamist. Talitus on finantsmääruse artikli 118 ja artikli 119 lõike 2 alusel teostatavate töötlemistoimingute puhul vastutav töötleja.
(4)
Komisjonis ja tema rakendusametites ning liidu detsentraliseeritud asutustes ja muudes autonoomsetes asutustes teostatud siseauditi tegevused on oma olemuselt ja sisult erinevad, ulatudes kindluse andmise (sealhulgas riskihindamised) ja konsulteerimisega seotud tegevustest piiratud ulatusega läbivaatamiste ja järelaudititeni.
(5)
Auditi järelevalvekomitee on vastavalt 21. novembril 2018 ajakohastatud ametijuhendile (C(2018)7707) nõuandev organ, (4) kes aitab komisjonil täita oma kohustusi, mis tulenevad aluslepingutest ja muudest õigusnormidest [määrus (EL, Euratom) 2018/1046], tagades siseauditi talituse sõltumatuse, jälgides siseaudititegevuse kvaliteeti ning tagades, et komisjoni talitused arvestaksid nõuetekohaselt sise- ja välisauditi soovitusi ja võtaksid nende põhjal järelmeetmeid. Auditi järelevalvekomitee aitab nii üldiselt veelgi parandada komisjoni tõhusust ja tulemuslikkust eesmärkide täitmisel, ning toetab kolleegiumi järelevalvet komisjoni juhtimise, riskijuhtimise ja sisekontrolli tavade üle. Auditi järelevalvekomitee on finantsmääruse artikli 123 alusel teostatava(te) töötlemistoimingu(te) puhul vastutav töötleja.
(6)
Määruse (EL, Euratom) 2018/1046 artiklis 118 ja artikli 119 lõikes 2 sätestatud tegevuste puhul töötleb komisjon, kes tegutseb omal algatusel või saadud teabe alusel, isikuandmeid, mis on hangitud või saadud juriidilistelt isikutelt, füüsilistelt isikutelt, liikmesriikidelt ning rahvusvahelistelt organitelt ja organisatsioonidelt. Selliste siseauditi tegevuste käigus võib talitus töödelda ka isikuandmeid, mis on hangitud või saadud avalikult kättesaadavatest allikatest, anonüümsetest allikatest või teadaolevatest allikatest, kes taotlevad oma identiteedi kaitset.
(7)
Komisjon võib omakorda vahetada isikuandmeid liidu institutsioonide, organite, asutuste ja liikmesriikide pädevate asutustega, ning komisjoni asjaomaste rahvusvaheliste või koostöölepingute raames kolmandate riikide ja rahvusvaheliste organisatsioonidega.
(8)
Siseauditi tegevuste käigus võib isikuandmeid töödelda määruse (EL) 2018/1725 artikli 3 punkti 3 tähenduses juba enne, kui komisjon menetluse ametlikult algatab, ning töötlemine võib jätkuda siseauditi kestel ja ka pärast seda, kui siseaudit on ametlikult lõpetatud (näiteks soovituste rakendamise järelevalve eesmärgil, et hinnata uute siseauditi tegevuste algatamise vajadust).
(9)
Komisjoni töödeldavate isikuandmete kategooriad hõlmavad isikusamasuse tuvastamiseks vajalikke andmeid, kontaktandmeid, andmeid ametialase tegevuse kohta ning andmeid, mis on seotud või esitatud seoses tegevuse esemega. Kõnealuseid isikuandmete kategooriaid hoitakse turvatud elektroonilises keskkonnas, et neile ei pääseks ebaseaduslikult juurde isikud, kellel pole nende andmete teadmise vajadust, või et neid ei edastataks ebaseaduslikult sellistele isikutele. Isikuandmeid säilitatakse kuni kümme aastat. Säilitustähtaja lõpus saadetakse siseauditi tegevusega seotud teave, sealhulgas isikuandmed komisjoni arhiivi (5) või hävitatakse.
(10)
Siseauditi tegevusi teostades on komisjon kohustatud austama füüsiliste isikute õigusi seoses isikuandmete töötlemisega, mis on sätestatud Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 ja aluslepingu artikli 16 lõikes 1, samuti määruses (EL) 2018/1725 sätestatud õigusi. Samal ajal peab komisjon vastavalt määruse (EL, Euratom) 2018/1046 artiklile 117 järgima rangeid konfidentsiaalsuse eeskirju, millele on osutatud rahvusvahelistes siseauditistandardites.
(11)
Teatavatel asjaoludel on tarvis ühitada määrusest (EL) 2018/1725 tulenevad andmesubjektide õigused siseauditi tegevuste vajaduste, füüsiliste ja juriidiliste isikutega teabe vahetamise konfidentsiaalsuse ning teiste andmesubjektide põhiõiguste ja -vabaduste täieliku austamisega. Selleks on määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h nähtud talitusele ette võimalus piirata määruse artiklite 14–17, 19, 20 ja 35 ning artikli 4 lõike 1 punktis a sätestatud läbipaistvuspõhimõtte kohaldamist, kui sätted vastavad kõnealuse määruse artiklites 14–17, 19, 20 ja 35 sätestatud õigustele ja kohustustele.
(12)
Siseauditi tegevuste tõhususe tagamiseks, järgides samas Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 45/2001 (6) asendanud määruses (EL) 2018/1725 sätestatud isikuandmete kaitse standardeid, tuleb vastu võtta sise-eeskirjad, mille kohaselt oleks komisjonil võimalik piirata andmesubjektide õigusi kooskõlas määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h.
(13)
Sise-eeskirjad peaksid hõlmama kõiki andmetöötlustoiminguid, mida komisjon teeb oma siseauditi tegevuste käigus kas omal algatusel või saadud teabe alusel, alati, kui andmesubjektide õiguste järgimine võib siseauditi tegevuste teostamist ohustada. Neid eeskirju tuleks kohaldada nii enne tegevuse ametlikku algatamist, tegevuse ajal, ning samuti järelmeetmete kontrollimise käigus tehtavate andmetöötlustoimingute suhtes.
(14)
Määruse (EL) 2018/1725 artiklite 14, 15 ja 16 järgimiseks peaks komisjon teavitama kõiki isikuid oma tegevusest, mis hõlmab nende isikuandmete töötlemist, ja nende õigustest läbipaistval ja sidusal viisil isikuandmete kaitse põhimõtteid käsitlevates teadetes, mis on avaldatud komisjoni veebisaidil. Vajaduse korral peaks komisjon võtma täiendavaid kaitsemeetmeid, tagamaks, et andmesubjekte teavitatakse eraldi asjakohases vormis.
(15)
Määruse (EL) 2018/1725 artikli 25 alusel saab komisjon piirata andmesubjektide teavitamist ja nende muude õiguste kasutamist, kui see on vajalik, et kaitsta komisjoni siseauditi tegevusi, liikmesriikide ametiasutuste auditeid, auditivahendeid ja -meetodeid ning komisjoni siseauditi tegevustega seotud teiste isikute õigusi.
(16)
Lisaks võib komisjonil olla tarvis piirata andmesubjektide õiguste kohaldamist tõhusa koostöö tagamise eesmärgil, et kaitsta komisjoni talituste või teiste liidu institutsioonide, organite ja asutuste või liikmesriikide ametiasutuste ning rahvusvaheliste organisatsioonide ja auditi järelevalvekomitee andmetöötlustoiminguid. Selleks peaks komisjon konsulteerima nende talituste, institutsioonide, organite, asutuste, ametiasutuste ja organisatsioonide ning auditi järelevalvekomiteega piirangute kehtestamise põhjuste ning piirangute vajalikkuse ja proportsionaalsuse üle.
(17)
Komisjonil võib samuti olla tarvis piirata andmesubjektide teavitamist ja nende muude õiguste kohaldamist seoses kolmandatelt riikidelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega, et teha nende riikide või organisatsioonidega koostööd ning kindlustada seega liidu üldisest huvist kantud olulise eesmärgi järgimine. Teatavatel juhtudel on andmesubjekti huvid või tema põhiõigused rahvusvahelise koostöö huvist siiski olulisemad.
(18)
Komisjon peaks kõiki piiranguid kohaldama läbipaistval viisil ning registreerima kõik kohaldatavad piirangud asjakohases dokumenteerimissüsteemis.
(19)
Vastavalt määruse (EL) 2018/1725 artikli 25 lõikele 8 võivad vastutavad töötlejad lükata andmesubjekti suhtes piirangu kohaldamise põhjusi käsitleva teabe esitamise edasi, selle ära jätta või sellest keelduda, kui see teave kahjustaks mis tahes viisil piirangu kohaldamise eesmärki. Eelkõige kehtib see määruse (EL) 2018/1725 artiklites 16 ja 35 ette nähtud õiguste suhtes kohaldatavate piirangute korral.
(20)
Juhul kui piiratakse andmesubjekti muid õigusi, peaks siseauditi talituse vastutav töötleja hindama iga juhtumi korral eraldi, kas piirangust teatamine kahjustaks piirangu eesmärki.
(21)
Euroopa Komisjoni andmekaitseametnik peaks piirangute kohaldamist sõltumatult kontrollima, et tagada käesoleva otsuse järgimine.
(22)
Määrusega (EL) 2018/1725 asendatakse määrus (EÜ) nr 45/2001 ilma üleminekuperioodita alates määruse jõustumise kuupäevast. Võimalus kohaldada teatavate õiguste suhtes piiranguid on sätestatud määruses (EÜ) nr 45/2001. Vältimaks ameti siseauditi tegevuste seaduslikkuse ohtu seadmist, tuleks käesolevat otsust kohaldada alates määruse (EL) 2018/1725 jõustumise kuupäevast.
(23)
Euroopa Andmekaitseinspektor esitas oma arvamuse 27. novembril 2018,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
Reguleerimisese ja kohaldamisala
1.   Käesolevas otsuses sätestatakse eeskirjad, mida komisjon peab järgima, kui ta teavitab andmesubjekte kooskõlas määruse (EL) 2018/1725 artiklitega 14, 15 ja 16 nende andmete töötlemisest komisjoni siseauditi tegevuste raames vastavalt määruse (EL, Euratom) 2018/1046 artiklitele 117–123.
Lisaks sätestatakse käesolevas otsuses tingimused, mille korral võib komisjon kooskõlas määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h piirata kõnealuse määruse artiklite 4, 14–17, 19, 20 ja 35 kohaldamist.
2.   Käesolevat otsust kohaldatakse isikuandmete töötlemise suhtes, mis toimub komisjonis tema määruse (EL, Euratom) 2018/1046 artiklitest 118 ja artikli 119 lõikest 2 tulenevate ülesannete täitmiseks rakendatava tegevuse eesmärgil või seoses sellise tegevusega.
3.   Käesolevat otsust kohaldatakse komisjonis isikuandmete töötlemise suhtes, kui komisjon töötleb isikuandmeid, mis sisalduvad teabes, mida ta peab töötlema käesolevas artiklis osutatud tegevuse eesmärgil või sellise tegevusega seoses.
Artikkel 2
Kohaldatavad erandid ja piirangud
1.   Kui komisjon täidab määruse (EL) 2018/1725 alusel oma kohustusi, mis puudutavad andmesubjektide õigusi, uurib ta, kas kohaldub mõni selles määruses sätestatud eranditest.
2.   Kooskõlas käesoleva otsuse artiklitega 3–7 võib komisjon piirata määruse (EL) 2018/1725 artiklite 14–17, 19, 20 ja 35 ning sellesama määruse artikli 4 lõike 1 punktis a sätestatud läbipaistvuse põhimõtte kohaldamist, kui tema piiranguid käsitlevate otsuste sätted vastavad selle määruse artiklites 14–17, 19, 20 ja 35 ette nähtud õigustele ja kohustustele ning kui nende õiguste järgimine ja kohustuste täitmine ohustaks määruse (EL, Euratom) 2018/1046 artiklist 118 ja artikli 119 lõikest 2 tulenevat komisjoni tegevuse eesmärki, paljastades muu hulgas tema auditivahendid ja -meetodid või kahjustaks teiste andmesubjektide õigusi ja vabadusi.
3.   Kooskõlas artiklitega 3–7 võib komisjon piirata käesoleva artikli lõikes 2 osutatud õigusi ja kohustusi seoses teistelt liidu institutsioonidelt, organitelt ja asutustelt, liikmesriikide või kolmandate riikide pädevatelt asutustelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega järgmistel asjaoludel:
a)
kui nende õiguste järgimist ja kohustuste täitmist võiksid piirata teised liidu institutsioonid, organid ja asutused määruse (EL) 2018/1725 artiklis 25 osutatud muude õigusaktide alusel või kooskõlas selle määruse IX peatükiga või kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/794 (7) või nõukogu määrusega (EL) 2017/1939 (8);
b)
kui nende õiguste järgimist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (9) artiklis 23 osutatud õigusaktide alusel või selliste meetmete alusel, millega võetakse liikmesriigi õigusse üle Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (10) artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3;
c)
kui nende õiguste järgimine ja kohustuste täitmine võiks kahjustada komisjoni koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega siseauditi tegevuste teostamisel.
Enne piirangute kohaldamist esimese lõigu punktides a ja b kirjeldatud asjaoludel peab komisjon konsulteerima asjaomaste liidu institutsioonide, organite, asutuste või liikmesriikide pädevate asutustega, välja arvatud juhul, kui komisjoni jaoks on selge, et piirangu kohaldamine on ette nähtud mõne neis punktides osutatud õigusaktiga või kui selline konsulteerimine seab ohtu määruse (EL, Euratom) 2018/1046 artikli 118 ja artikli 119 lõike 2 kohase komisjoni tegevuse eesmärgi.
Esimese lõigu punkti c ei kohaldata, kui andmesubjekti huvid või põhiõigused ja -vabadused on kaalukamad kui komisjoni huvi teha koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega.
4.   Lõigetega 1, 2 ja 3 ei piirata muude selliste komisjoni otsuste kohaldamist, millega on kehtestatud sise-eeskirjad andmesubjektide teavitamise ja teatavate õiguste piiramise kohta vastavalt määruse (EL) 2018/1725 artiklile 25 ja komisjoni kodukorra artiklile 23.
Artikkel 3
Andmesubjektide teavitamine
Komisjon avaldab oma veebisaidil andmekaitse põhimõtteid käsitlevaid teateid, mis teavitavad kõiki andmesubjekte tema tegevusest, mis hõlmab nende isikuandmete töötlemist määruse (EL, Euratom) 2018/1046 artikli 118 ja artikli 119 lõike 2 kohaste tegevuste raames. Vajaduse korral tagab komisjon, et andmesubjekte teavitatakse eraldi asjakohases vormis.
Kui komisjon piirab täielikult või osaliselt selliste andmesubjektide teavitamist, kelle andmeid töödeldakse määruse (EL, Euratom) 2018/1046 artikli 118 ja artikli 119 lõikele 2 vastava tegevuse raames, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas artikliga 6.
Artikkel 4
Andmesubjektide õigus andmetega tutvuda, neid kustutada ja nende töötlemist piirata
1.   Kui komisjon piirab täielikult või osaliselt määruse (EL) 2018/1725 artiklites 17, 19 ja 20 osutatud õigusi isikuandmetega tutvuda, neid kustutada või nende töötlemist piirata, teatab ta kohaldatavast piirangust ja selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse, kui vastab andmesubjekti taotlusele andmetega tutvuda, need kustutada või nende töötlemist piirata.
2.   Käesoleva artikli lõikes 1 osutatud teabe esitamine piirangu põhjuste kohta võidakse edasi lükata, see teave võidakse jätta esitamata või selle esitamisest võidakse loobuda seni, kuni see kahjustaks piirangu eesmärki.
3.   Komisjon peab dokumenteerima piirangu põhjused kooskõlas käesoleva otsuse artikliga 6.
4.   Kui õigus andmetega tutvuda on osaliselt või täielikult piiratud, kasutab andmesubjekt oma õigust andmetega tutvuda Euroopa Andmekaitseinspektori vahendusel kooskõlas määruse (EL) 2018/1725 artikli 25 lõigetega 6, 7 ja 8.
Artikkel 5
Andmesubjekti teavitamine isikuandmetega seotud rikkumistest
Kui komisjon piirab andmesubjekti teavitamist isikuandmetega seotud rikkumistest, nagu on osutatud määruse (EL) 2018/1725 artiklis 35, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas käesoleva otsuse artikliga 6.
Artikkel 6
Piirangute dokumenteerimine ja registreerimine
Komisjon dokumenteerib iga käesoleva otsuse alusel kohaldatava piirangu põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta, võttes arvesse määruse (EL) 2018/1725 artikli 25 lõikes 2 esitatud asjaomaseid asjaolusid.
Selleks tuleb dokumenteerida, kuidas ohustaks õiguse teostamine määruse (EL, Euratom) 2018/1046 artikli 118 ja artikli 119 lõike 2 kohaste komisjoni tegevuste eesmärki või artikli 2 lõike 2 või 3 kohaselt kohaldatavate piirangute eesmärki või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi.
Põhjusi sisaldav dokument ning vajaduse korral ka faktilisi ja õiguslikke asjaolusid sisaldavad tõendavad dokumendid tuleb registreerida. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile.
Artikkel 7
Piirangute kestus
1.   Käesoleva otsuse artiklites 3, 4 ja 5 osutatud piiranguid kohaldatakse seni, kuni kehtivad nende kohaldamise põhjused.
2.   Kui käesoleva otsuse artiklis 3 või 5 osutatud piirangu põhjus enam ei kehti, tühistab komisjon selle piirangu ja teatab andmesubjektile piirangu peamised põhjused. Samal ajal teatab komisjon andmesubjektile võimalusest esitada igal ajal kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse.
3.   Komisjon vaatab käesoleva otsuse artiklites 3 ja 5 osutatud piirangu kohaldamise läbi iga kuue kuu tagant alates selle vastuvõtmisest ning enne ja pärast asjaomase siseauditi tegevuse lõpetamist. Pärast seda hindab komisjon piirangu/edasilükkamise kohaldamise vajalikkust igal aastal.
Artikkel 8
Läbivaatamine Euroopa Komisjoni andmekaitseametniku poolt
Euroopa Komisjoni andmekaitseametnikku teavitatakse põhjendamatu viivituseta andmesubjektide õiguste piiramisest käesoleva otsuse alusel. Taotluse korral võimaldatakse andmekaitseametnikule juurdepääs põhjusi sisaldavale dokumendile ning kõigile faktilisi ja õiguslikke asjaolusid sisaldavatele tõendavatele dokumentidele.
Andmekaitseametnik võib taotleda piirangute läbivaatamist. Andmekaitseametnikule tuleb taotletud läbivaatamise tulemustest teatada kirjalikult.
Artikkel 9
Jõustumine
Käesolev otsus jõustub selle Euroopa Liidu Teatajas avaldamise päeval.
Otsust kohaldatakse alates 11. detsembrist 2018.
Brüssel, 11. detsember 2018
Komisjoni nimel
president
Jean-Claude JUNCKER
(1)  Euroopa Parlamendi ja nõukogu 18. juuli 2018. aasta määrus (EL, Euratom) 2018/1046, mis käsitleb liidu üldeelarve suhtes kohaldatavaid finantsreegleid ja millega muudetakse määrusi (EL) nr 1296/2013, (EL) nr 1301/2013, (EL) nr 1303/2013, (EL) nr 1304/2013, (EL) nr 1309/2013, (EL) nr 1316/2013, (EL) nr 223/2014 ja (EL) nr 283/2014 ja otsust nr 541/2014/EL ning tunnistatakse kehtetuks määrus (EL, Euratom) nr 966/2012 (ELT L 193, 30.7.2018, lk 1)..
(2)  C(2017) 4435 (final)
(3)  Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39).
(4)  Asutatud 2000. aasta oktoobris, SEC(2000)1808/3.
(5)  Toimikute säilitamine komisjonis on reguleeritud üldise säilitustähtaegade loeteluga ehk loendi vormis regulatiivse dokumendiga (viimane versioon on avaldatud numbri SEC(2012)713 all), millega on kehtestatud säilitustähtajad komisjoni eri liiki toimikute jaoks.
(6)  Euroopa Parlamendi ja nõukogu 18.detsembri 2000. aasta määrus (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (EÜT L 8, 12.1.2001, lk 1).
(7)  Euroopa Parlamendi ja nõukogu 11. mai 2016. aasta määrus (EL) 2016/794, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused 2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT L 135, 24.5.2016, lk 53).
(8)  Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1).
(9)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).
(10)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).

Summary:
Andmesubjektide õiguste piiramine – komisjoni sise-eeskirjad
Andmesubjektide õiguste piiramine – komisjoni sise-eeskirjad
 
KOKKUVÕTE:
komisjoni otsus (EL) 2018/1927 – sise-eeskirjad andmesubjektide teavitamise ja teatavate õiguste piiramise kohta komisjonipoolsel isikuandmete töötlemisel konkurentsi valdkonnas
komisjoni otsus (EL) 2018/1961 – sise-eeskirjad andmesubjektide teavitamise ja nende teatavate õiguste piiramise kohta isikuandmete töötlemisel siseauditi eesmärgil
komisjoni otsus (EL) 2018/1962 – sise-eeskirjad, milles käsitletakse isikuandmete töötlemist Euroopa Pettustevastase Ameti (OLAF) poolt seoses andmesubjektide teavitamisega ning nende teatavate õiguste piiramisega
komisjoni otsus (EL) 2018/1996 – sise-eeskirjad andmesubjektide teavitamise ning nende teatavate õiguste piiramise kohta isikuandmete töötlemisel kaubanduskaitset ja kaubanduspoliitikat käsitlevate uurimiste eesmärgil
komisjoni otsus (EL) 2019/154 – sise-eeskirjad, millega piiratakse andmesubjektide õigust tutvuda oma tervisekaardiga
komisjoni otsus (EL) 2019/165 – sise-eeskirjad andmesubjektide teavitamise ja nende teatavate andmekaitseõiguste komisjonipoolse piiramise kohta haldusjuurdluse, distsiplinaarmenetluse ja sellele eelneva menetluse ning ametist kõrvaldamise menetluse käigus
komisjoni otsus (EL) 2019/236 – sise-eeskirjad andmesubjektide teavitamise ning nende teatavate õiguste piiramise kohta komisjonipoolsel isikuandmete töötlemisel ELi institutsioonide sisejulgeoleku eesmärgil
MIS ON NENDE OTSUSTE EESMÄRK?
Neis sätestatakse sise-eeskirjad, mille alusel Euroopa Komisjon võib piirata üksikisikute õigusi, mida nad teostavad määruse (EL) 2018/1725 alusel. Sise-eeskirju kohaldatakse isikuandmete töötlemisel konkreetsetes valdkondades ja konkreetsetel eesmärkidel.
PÕHIPUNKTID
Isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta. Füüsiline isik on tuvastatav, kui teda saab otseselt või kaudselt tuvastada, eelkõige sellise tunnuse põhjal nagu isikukood, asukohaandmed ja veebiidentifikaator või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal.
ELi uus õigusraamistik isikuandmete kaitse ja vaba liikumise kohta hõlmab eelkõige järgmist:isikuandmete kaitse üldmäärus, milles sätestatakse üksikisikute õigused seoses nende isikuandmetega, kaitstakse neid isikuandmete töötlemise korral ELi riikides ja tagatakse selliste andmete vaba liikumine;  määrus (EL) nr 2018/1725, milles sätestatakse üksikisikute õigused seoses nende isikuandmetega, kaitstakse neid nende isikuandmete töötlemisel ELi institutsioonides, organites ja asutustes ning tagatakse selliste andmete vaba liikumine.  Neid eeskirju peetakse samaväärseteks ja neid tuleb tõlgendada sama tähendusega.
Määruse (EL) nr 2018/1725 artiklis 25 on sätestatud võimalus, et teatud juhtudel võivad ELi institutsioonid ja asutused piirata üksikisikute õigusi tingimusel, et sellised piirangud on sätestatud ELi õiguses. Sellega kooskõlas on komisjon vastu võtnud seitse komisjoni otsust, mis on aluseks võimalike piirangute kehtestamisele, et kaitsta ELi üldist huvi pakkuvaid olulisi eesmärke.
Nende otsuste põhjal ja pärast piirangute vajalikkuse ja proportsionaalsuse juhtumipõhist hindamist otsustab Euroopa Komisjon, kas üksikisiku õigusi tuleks konkreetsel juhul piirata.
Piirata võib järgmisi üksikisikute õigusi:õigus saada teavet;nende isikuandmete töötlemine janende isikuandmetega seotud rikkumised, mis võivad põhjustada nende õigustele ja vabadustele suurt ohtu;  nende õigus tutvuda oma isikuandmetega, nõuda nende kustutamist või piirata nende töötlemist.  Kõigis seitsmes komisjoni otsuses järgitakse sarnast vormi ning kõik need sisaldavad mõningaid või kõiki järgmisi elemente:Ese ja ulatus Andmesubjekti iga taotluse juhtumipõhise hindamise nõue.    Kohaldatavad erandid ja/või piirangud Enne piirangu kohaldamist peab komisjon kõigepealt kaaluma, kas kohaldatakse mis tahes erandit andmesubjektide õiguste suhtes, nagu on sätestatud määruses (EL) 2018/1725.    Andmete edastamine andmesubjektidele Komisjon peab oma veebisaidil avaldama andmekaitsealased teated, et teavitada kõiki andmesubjekte oma andmetöötlusalasest tegevusest asjaomases valdkonnas.  Komisjon peab asjakohasel kujul eraldi teavitama kõiki isikuid, keda uurimine või mõnes asjaomases valdkonnas rakendatud meede isiklikult mõjutab.    Andmesubjektide õigus pääseda juurde oma isikuandmetele, nõuda nende kustutamist või nende töötlemise piiramist Kui komisjon piirab juurdepääsu isikuandmetele, andmete kustutamise õigusele ja/või töötlemise piiramise õigusele, siis peab ta teavitama asjaomast andmesubjekti kohaldatavast piirangust, selle kohaldamise peamistest põhjustest ja võimalusest esitada Euroopa andmekaitseinspektorile kaebus või kasutada õiguskaitsevahendit Euroopa Liidu Kohtus.    Piirangute dokumenteerimine ja registreerimine Komisjon dokumenteerib iga käesoleva otsuse alusel kohaldatava piirangu põhjused, sealhulgas hinnangu selle vajalikkuse ja proportsionaalsuse kohta.    Piirangute kestus Piiranguid kohaldatakse seni, kuni kehtivad nende kohaldamise põhjused.    Euroopa Komisjoni andmekaitseametniku teostatav läbivaatamine Andmekaitseinspektorit teavitatakse põhjendamatu viivituseta andmesubjektide õiguste piiramisest.  Taotluse korral võimaldatakse andmekaitseinspektorile juurdepääs kõigile asjakohaseid faktilisi ja õiguslikke asjaolusid sisaldavatele dokumentidele.  Andmekaitseinspektor võib taotleda piirangute läbivaatamist ning teda tuleb taotletud läbivaatamise tulemustest kirjalikult teavitada.    Seitse komisjoni otsust hõlmavad andmesubjektide piiranguid järgmistes valdkondades:ELi institutsioonide sisejulgeolek Kohaldatakse isikuandmete töötlemise suhtes, et tagada isikute, varade ja teabe turvalisus komisjonis.  Komisjon peab eraldi teavitama kõiki tunnistajaid ja isikuid, keda isikuandmete töötlemise julgeolekualane uurimine mõjutab.  Lisaks peab komisjon oma otsuse (EL, Euratom) 2015/443 artikli 7 lõike 5 kohase taustakontrolli puhul eraldi teavitama andmesubjekte, kelle andmeid töödeldakse.  Samuti tuleb eraldi teavitada kõiki isikuid, kelle andmeid töödeldakse komisjoni ruumide, side- ja infosüsteemide ning seadmete läbiotsimise korral.    Haldusjuurdlus, distsiplinaarmenetlus ja sellele eelnev menetlus ning ametist kõrvaldamise menetlus Määrusest (EL) nr 2018/1725 tulenevaid õigusi ja kohustusi võib piirata, kui need seavad ohtu haldusjuurdluse, distsiplinaarmenetluse ja sellele eelneva menetluse ning ametist kõrvaldamise menetluse eesmärgi või mõjutavad teiste andmesubjektide õigusi ja vabadusi.    Isiklikud meditsiinilised andmed Komisjon võib juhtumipõhiselt piirata andmesubjektide otsese juurdepääsu õigust nendega seotud psühholoogilise või psühhiaatrilise iseloomuga andmetele, kui sellistele andmetele juurdepääs ohustab tõenäoliselt andmesubjekti tervist.  See piirang peab olema proportsionaalne sellega, mis on andmesubjekti kaitseks tingimata vajalik.    Kaubanduskaitset ja kaubanduspoliitikat käsitlevad uurimised Määrusest (EL) 2018/1725 tulenevaid õigusi ja kohustusi võib piirata, kui need seavad ohtu komisjoni kaubanduspoliitika ja kaubanduskaitse tegevuse eesmärgi või kahjustavad teiste andmesubjektide õigusi ja vabadusi.    Euroopa Pettustevastane Amet (OLAF) Kohaldatakse isikuandmete töötlemisel OLAFi poolt (samuti isikuandmete töötlemisel komisjoni talituste ja täitevasutuste poolt, mis tuleb OLAFile edastada), et täita tema ülesandeid;  OLAFi-poolne uurimine on komisjonist täiesti sõltumatu;  OLAF otsustab, kas tuleks kohaldada erandeid seoses andmesubjektide õigustega.  Andmekaitsealased teated, mis teavitavad andmesubjekte nende isikuandmete töötlemisega seotud tegevusest, avaldatakse OLAFi veebisaidil.  OLAFi andmekaitseametnik vaatab läbi andmesubjektide õiguste mis tahes piirangud.    Siseaudit Määrusest (EL) nr 2018/1725 tulenevaid õigusi ja kohustusi võib piirata andmetöötlustoimingute osana, mida komisjon teeb oma siseauditi tegevuste käigus, kui andmesubjektide õiguste järgimine ohustaks siseauditi tegevuste teostamist, paljastaks muu hulgas tema juurdlusvahendid ja -meetodid või kahjustaks teiste andmesubjektide õigusi ja vabadusi.  Lisaks võib komisjonil olla tarvis piirata andmesubjektide õiguste kohaldamist, et kaitsta komisjoni talituste või teiste liidu institutsioonide, organite ja asutuste või liikmesriikide ametiasutuste ning rahvusvaheliste organisatsioonide ja auditi järelevalvekomitee andmetöötlustoiminguid.  Komisjon teavitab üksikisikuid oma siseauditi tegevusest, mis hõlmab nende isikuandmete töötlemist ja nende õigusi teadetes, mis on avaldatud komisjoni veebisaidil. Vajaduse korral tagab komisjon, et andmesubjekte teavitatakse eraldi asjakohases vormis.    Konkurents Määrusest (EL) 2018/1725 tulenevaid õigusi ja kohustusi võib piirata, kui need ohustaksid komisjoni juurdlus- ja jõustamistegevust, paljastaks muu hulgas tema juurdlusvahendid ja -meetodid või kahjustaks teiste andmesubjektide õigusi ja vabadusi.    
MIS AJAST OTSUSEID KOHALDATAKSE?
Otsuseid (EL) 2018/1927, (EL) 2018/1961, (EL) 2018/1962, (EL) 2018/1996 ja (EL) 2019/154 kohaldatakse alates 11. detsembrist 2018.  Otsust (EL) 2019/165 kohaldatakse alates 7. veebruarist 2019.  Otsust (EL) 2019/236 kohaldatakse alates 11. veebruarist 2019.  
TAUST
Lisateave:andmekaitse eeskirjade 2018. aasta reform (Euroopa Komisjoni veebisait).  
PÕHIDOKUMENDID
Komisjoni 5. detsembri 2018. aasta otsus (EL) 2018/1927, millega sätestatakse Euroopa Komisjoni sise-eeskirjad andmesubjektide teavitamise ja teatavate õiguste piiramise kohta isikuandmete töötlemisel konkurentsi valdkonnas (ELT L 313, 10.12.2018, lk 39–44)
Komisjoni 11. detsembri 2018. aasta otsus (EL) 2018/1961, millega sätestatakse sise-eeskirjad andmesubjektide teavitamise ja nende teatavate õiguste piiramise kohta isikuandmete töötlemisel siseauditi eesmärgil (ELT L 315, 12.12.2018, lk 35–40)
Komisjoni 11. detsembri 2018. aasta otsus (EL) 2018/1962, millega sätestatakse sise-eeskirjad, milles käsitletakse isikuandmete töötlemist Euroopa Pettustevastase Ameti (OLAF) poolt seoses andmesubjektide teavitamisega ning nende teatavate õiguste piiramisega vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 artiklile 25 (ELT L 315, 12.12.2018, lk 41–46)
Komisjoni 14. detsembri 2018. aasta otsus (EL) 2018/1996, millega sätestatakse sise-eeskirjad andmesubjektide teavitamise ning nende teatavate õiguste piiramise kohta isikuandmete töötlemisel kaubanduskaitset ja kaubanduspoliitikat käsitlevate uurimiste eesmärgil (ELT L 320, 17.12.2018, lk 40–44)
Komisjoni 30. jaanuari 2019. aasta otsus (EL) 2019/154, millega kehtestatakse sise-eeskirjad, millega piiratakse andmesubjektide õigust tutvuda oma tervisekaardiga (ELT L 27, 31.1.2019, lk 33–35)
Komisjoni 1. veebruari 2019. aasta otsus (EL) 2019/165, millega kehtestatakse sise-eeskirjad andmesubjektide teavitamise ja nende teatavate andmekaitseõiguste komisjonipoolse piiramise kohta haldusjuurdluse, distsiplinaarmenetluse ja sellele eelneva menetluse ning ametist kõrvaldamise menetluse käigus (ELT L 32, 4.2.2019, lk 9–13)
Komisjoni 7. veebruari 2019. aasta otsus (EL) 2019/236, millega kehtestatakse sise-eeskirjad andmesubjektide teavitamise ning nende teatavate õiguste piiramise kohta Euroopa Komisjonis isikuandmete töötlemisel liidu institutsioonide sisejulgeoleku eesmärgil (ELT L 37, 8.2.2019, lk 144–149)
SEONDUVAD DOKUMENDID
Kohaldatakse Euroopa Komisjoni suhtes:
Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39–98)
Komisjoni 10. jaanuari 2017. aasta otsus (EL, Euratom) 2017/46 Euroopa Komisjoni side- ja infosüsteemide turvalisuse kohta (ELT L 6, 11.1.2017, lk 40–51)
Otsuse (EL, Euratom) 2017/46 järjestikused muudatused on alusdokumenti lisatud. Käesoleval konsolideeritud versioonil on üksnes dokumenteeriv väärtus.
Komisjoni 13. märtsi 2015. aasta otsus (EL, Euratom) 2015/443 komisjoni julgeoleku kohta (ELT L 72, 17.3.2015, lk 41–52)
Kohaldatakse liikmesriikide suhtes:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1–88)
Vt konsolideeritud versioon.
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89–131)
Vt konsolideeritud versioon.
Viimati muudetud: 03.04.2019