Accept Refuse

EUR-Lex Access to European Union law

Back to EUR-Lex homepage

This document is an excerpt from the EUR-Lex website

Document 32018R1725

Euroopa Parlamendi ja nõukogu määrus (EL) 2018/1725, 23. oktoober 2018, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (EMPs kohaldatav tekst.)

PE/31/2018/REV/1

OJ L 295, 21.11.2018, p. 39–98 (BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)

In force

ELI: http://data.europa.eu/eli/reg/2018/1725/oj

21.11.2018   

ET

Euroopa Liidu Teataja

L 295/39


EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2018/1725,

23. oktoober 2018,

mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ

(EMPs kohaldatav tekst)

EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2,

võttes arvesse Euroopa Komisjoni ettepanekut,

olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele,

võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust (1),

toimides seadusandliku tavamenetluse kohaselt (2)

ning arvestades järgmist:

(1)

Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta („harta“) artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu („ELi toimimise leping“) artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. See õigus on tagatud ka Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8.

(2)

Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 45/2001 (3) on sätestatud füüsilistele isikutele samaväärsed kohtulikult kaitstavad õigused, määratud kindlaks liidu institutsioonide ja asutuste vastutavate töötlejate kohustused andmete töötlemisel ning sellega on loodud sõltumatu järelevalveasutus, Euroopa Andmekaitseinspektor, mis vastutab isikuandmete liidu institutsioonide ja asutuste poolse töötlemise jälgimise eest. Seda ei kohaldata aga isikuandmete töötlemise suhtes, mis toimub liidu institutsioonide ja asutuste tegevuse käigus, mis jääb väljapoole liidu õiguse kohaldamisala.

(3)

Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (4) ning Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680 (5) võeti vastu 27. aprillil 2016. Kui määruses on sätestatud üldnormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus, siis direktiivis on sätestatud erinormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

(4)

Määrusega (EL) 2016/679 on ette nähtud määruse (EÜ) nr 45/2001 muutmine, et tagada liidus tugev ja ühtne andmekaitseraamistik ning võimaldada määruse (EÜ) nr 45/2001 paralleelset kohaldamist määrusega (EL) 2016/679.

(5)

Kogu liitu hõlmava isikuandmete kaitset käsitleva sidusa lähenemisviisi ja liidus isikuandmete vaba liikumise huvides on ühtlustada võimalikult suures ulatuses liidu institutsioonide, organite ja asutuste andmekaitsenorme liikmesriikides avaliku sektori jaoks kehtestatud andmekaitsenormidega. Kui käesoleva määruse sätted tuginevad samadele põhimõtetele kui määruse (EL) 2016/679 sätted, tuleks mõlemaid õigusnormide kogumeid Euroopa Liidu Kohtu (Euroopa Kohus) kohtupraktika kohaselt tõlgendada ühetaoliselt, eelkõige seetõttu, et käesoleva määruse ülesehitust tuleks mõista määruse (EL) 2016/679 ülesehituse vastena.

(6)

Kaitsta tuleks isikuid, kelle isikuandmeid töödeldakse mistahes põhjustel liidu institutsioonides ja asutustes, näiteks seetõttu, et nad nendes institutsioonides või asutustes töötavad. Käesolevat määrust ei tuleks kohaldada surnud isikuid puudutavate isikuandmete suhtes. Käesolevat määrust ei kohaldata selliste andmete töötlemise suhtes, mis puudutavad juriidilisi isikuid, eelkõige juriidiliste isikutena asutatud ettevõtjaid, sealhulgas juriidilise isiku nime ja vormi ning kontaktandmete suhtes.

(7)

Selleks et vältida normide täitmisest kõrvalehoidumise märkimisväärset ohtu, peaks füüsiliste isikute kaitse olema tehnoloogiliselt neutraalne ega tohiks sõltuda kasutatud meetoditest.

(8)

Käesolevat määrust tuleks kohaldada isikuandmete töötlemise suhtes kõigis liidu institutsioonides, organites ja asutustes. Seda tuleks kohaldada isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja selliste isikuandmete automatiseerimata töötlemise suhtes, mis kuuluvad andmete kogumisse või mis kavatsetakse andmete kogumisse kanda. Käesoleva määruse kohaldamisalasse ei peaks kuuluma sellised toimikud või toimikute kogumid, mis ei ole teatavate kriteeriumide kohaselt korrastatud, ega nende esilehed.

(9)

Lissaboni lepingu vastu võtnud valitsustevahelise konverentsi lõppaktile lisatud deklaratsioonis nr 21 (isikuandmete kaitse kohta kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas) tunnistas konverents, et kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö eripära tõttu võib tekkida vajadus ELi toimimise lepingu artiklil 16 põhinevate erinormide järele seoses isikuandmete kaitse ja isikuandmete vaba liikumisega kõnealustes valdkondades. Seepärast tuleks käesoleva määruse eraldiseisvat peatükki, mis sisaldab üldreegleid, kohaldada kasutatavate isikuandmete töötlemise suhtes, näiteks isikuandmete suhtes, mida töötlevad kriminaaluurimise otstarbel liidu organid või asutused, kes tegutsevad kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

(10)

Direktiivis (EL) 2016/680 on sätestatud ühtsed normid kuritegude tõkestamise, uurimise, avastamise või isikute nende eest vastutusele võtmise, kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil töödeldavate isikuandmete kaitse ja selliste andmete vaba liikumise kohta. Selleks et tagada kogu liidus ühesugune füüsiliste isikute kohtulikult kaitstavate õiguste kaitse tase ning saavutada, et erinevused ei takistaks isikuandmete vahetamist ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse jäävaid tegevusi teostavate liidu organite ja asutuste ning pädevate asutuste vahel, peaksid selliste liidu organite ja asutuste töödeldud kasutatavate isikuandmete kaitset ja vaba liikumist käsitlevad õigusnormid olema kooskõlas direktiiviga (EL) 2016/680.

(11)

Kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki) üldnorme tuleks kohaldada, ilma et see piiraks liidu organite ja asutuste poolse kasutatavate isikuandmete töötlemise suhtes kohaldatavaid erieeskirju, kui tegevus kuulub ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse. Selliseid erieeskirju tuleks käsitada kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki sätete suhtes lex specialis’ena (lex specialis derogat legi generali). Õigusliku killustatuse vähendamiseks peaksid andmekaitse erieeskirjad, mida kohaldatakse isikuandmete töötlemise suhtes liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, olema kooskõlas kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatükiga, samuti käesoleva määruse sätetega, mis on seotud sõltumatu järelevalve, õiguskaitsevahendite, vastutuse ja karistustega.

(12)

Kasutatavate isikuandmete töötlemist käsitlevat käesoleva määruse peatükki tuleks kohaldada liidu organite ja asutuste suhtes tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, olenemata sellest, kas see tegevus on nende põhi- või lisaülesanne, et kuritegusid ennetada, avastada, uurida või nende eest vastutusele võtta. Seda ei tuleks aga kohaldada Europoli ega Euroopa Prokuratuuri suhtes, kuni neid õigusakte, millega luuakse Europol ja Euroopa Prokuratuur, on muudetud eesmärgiga muuta kasutatavate isikuandmete töötlemist käsitlev käesoleva määruse peatükk muudetud kujul kohaldatavaks ka nende suhtes.

(13)

Komisjon peaks läbi vaatama käesoleva määruse ning eelkõige kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki. Komisjon peaks samuti vaatama läbi teised aluslepingute alusel vastu võetud õigusaktid, mis reguleerivad kasutatavate isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse. Selleks et tagada füüsiliste isikute ühetaoline ja järjepidev kaitse seoses isikuandmete töötlemisega, peaks komisjonil olema õigus esitada pärast nimetatud läbivaatamist asjakohaseid seadusandlikke ettepanekuid, sealhulgas ettepanekuid kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki muutmiseks, et kohaldada seda Europoli ja Euroopa Prokuratuuri suhtes. Nimetatud muudatustes peaks muu hulgas võtma arvesse sätteid, mis on seotud sõltumatu järelevalve, õiguskaitsevahendite, vastutuse ja karistustega.

(14)

Käesolev määrus peaks hõlmama halduslikku laadi isikuandmete, näiteks personaliandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse.

(15)

Käesolevat määrust tuleks kohaldada isikuandmete töötlemise suhtes liidu institutsioonide, organite ja asutuste poolt tegevustes, mis jäävad Euroopa Liidu lepingu (ELi leping) V jaotise 2. peatüki kohaldamisalasse. Käesolevat määrust ei tuleks kohaldada isikuandmete töötlemise suhtes ELi lepingu artikli 42 lõikes 1 ning artiklites 43 ja 44 osutatud missioonide poolt, kes rakendavad ühist julgeoleku- ja kaitsepoliitikat. Vajaduse korral tuleks esitada asjakohased ettepanekud, et reguleerida veelgi isikuandmete töötlemist ühise julgeoleku- ja kaitsepoliitika valdkonnas.

(16)

Andmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes. Pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. Selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut. Andmekaitse põhimõtteid ei tuleks seetõttu kohaldada anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga, või isikuandmete suhtes, mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada. Käesolevas määruses ei käsitleta seega sellise anonüümse teabe töötlemist, sealhulgas statistilisel või uuringute eesmärgil.

(17)

Isikuandmete pseudonümiseerimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi. „Pseudonümiseerimise“ selgesõnaline kasutuselevõtmine käesolevas määruses ei ole mõeldud välistama muid andmekaitsemeetmeid.

(18)

Füüsilisi isikuid võib seostada nende seadmete, rakenduste, tööriistade ja protokollide jagatavate võrguidentifikaatoritega, näiteks IP-aadresside või küpsistega, või muude identifikaatoritega, näiteks raadiosagedustuvastuse kiipidega. See võib jätta jälgi, mida võidakse kasutada füüsiliste isikute profileerimiseks ja nende tuvastamiseks, eelkõige juhul, kui neid kombineeritakse serveritesse saabuvate kordumatute identifikaatorite ja muu teabega.

(19)

Nõusolek tuleks anda selge kinnitusena, näiteks kirjaliku kinnituse vormis, sealhulgas elektroonilisel teel, või suulise avaldusena, millega andmesubjekt annab vabatahtlikult, konkreetselt, teadlikult ja ühemõtteliselt nõusoleku teda puudutavate isikuandmete töötlemiseks. See võiks hõlmata vajaliku lahtri märgistamist veebisaidil, infoühiskonna teenuste tehniliste seadmete valimist või muud avaldust või käitumist, millest selles kontekstis konkreetselt nähtub andmesubjekti nõusolek teda puudutavate isikuandmete kavandatavaks töötlemiseks. Vaikimist, eelnevalt märgistatud lahtreid või tegevusetust ei tohiks seega pidada nõusolekuks. Nõusolek peaks hõlmama kõiki samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid. Kui töötlemisel on mitu eesmärki, tuleks nõusolek anda kõigi nende kohta. Kui andmesubjekti nõusolek tuleb anda pärast elektroonilise taotluse esitamist, peab taotlus olema selge ja kokkuvõtlik ning mitte põhjendamatult häirima selle teenuse kasutamist, mille kohta taotlus esitatakse. Samas peaks andmesubjektil olema õigus nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras ning seetõttu on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Sageli ei ole isikuandmete kogumise ajal võimalik täielikult kindlaks määrata teadusuuringute eesmärgil toimuva isikuandmete töötlemise eesmärki. Seetõttu peaks andmesubjektidel olema võimalik anda oma nõusolek teatavates teadusuuringuvaldkondades, kui järgitakse teadusuuringuvaldkonna tunnustatud eetikanorme. Andmesubjektidel peaks olema võimalus anda oma nõusolek üksnes teatavatele teadusuuringuvaldkondadele või teadusprojektide osadele kavandatud eesmärgiga lubatud ulatuses.

(20)

Isikuandmete igasugune töötlemine peaks olema seaduslik ja õiglane. Füüsilisi isikuid puudutavate isikuandmete kogumine, kasutamine, lugemine või muu töötlemine ja nende andmete töötlemise ulatus praegu või tulevikus peaks olema nende jaoks läbipaistev. Läbipaistvuse põhimõte eeldab, et nende isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Kõnealune põhimõte puudutab eelkõige andmesubjektide teavitamist vastutava töötleja identiteedist ning töötlemise eesmärgist ja täiendavast teabest, et tagada asjaomaste füüsiliste isikute suhtes õiglane ja läbipaistev töötlemine ning nende õigus saada neid puudutavate isikuandmete töötlemise kohta kinnitust ja sõnumeid. Füüsilisi isikuid tuleks teavitada isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad sellise andmete töötlemisega seoses oma õigusi kasutada. Eelkõige peaksid olema selged ja õiguspärased isikuandmete töötlemise konkreetsed eesmärgid, mis tuleks kindlaks määrata andmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma sellega, mis on nende töötlemise otstarbe seisukohalt vajalik. See eeldab eelkõige, et tagatakse andmete säilitamise aja piirdumine rangelt minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil. Selle tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, peaks vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. Selle tagamiseks, et ebaõiged isikuandmed parandatakse või kustutatakse, tuleks võtta kõik mõistlikud meetmed. Isikuandmeid tuleks töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse ja konfidentsiaalsuse, sealhulgas isikuandmetele ning nende töötlemiseks kasutatavatele seadmetele loata juurdepääsu ja nende loata kasutamise tõkestamise ning isikuandmete avalikustamise tõkestamise nende edastamise ajal.

(21)

Kui liidu institutsioonid ja asutused edastavad isikuandmeid kooskõlas vastutuse põhimõttega sama institutsiooni või asutuse siseselt kui vastuvõtja ei kuulu vastutava töötleja alluvusse või teistele liidu institutsioonidele või asutustele, peaksid nad kontrollima, kas isikuandmed on vajalikud vastuvõtja pädevusse kuuluvate ülesannete õiguspäraseks täitmiseks. Vastutav töötleja peaks pärast vastuvõtja taotlust isikuandmete edastamiseks kontrollima eelkõige seda, kas isikuandmete töötlemiseks on olemas õiguslik alus, ja vastuvõtja pädevust. Vastutav töötleja peaks andma andmete edastamise vajalikkusele esialgse hinnangu. Kui vajalikkuse osas tekib kahtlusi, peaks vastutav töötleja taotlema vastuvõtjalt täiendavat teavet. Vastuvõtja peaks tagama, et andmete edastamise vajalikkust on võimalik hiljem kontrollida.

(22)

Töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid töödelda liidu institutsioonides ja organites üldistes huvides või avaliku võimu teostamisel täidetavate ülesannete vajalikkuse alusel, selliste õiguslikult siduvate kohustuste järgimise vajaduse alusel, mida vastutav töötleja peab täitma või käesoleva määruse kohasel muul õiguslikul alusel, sealhulgas asjaomase andmesubjekti nõusoleku alusel, kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel enne lepingu sõlmimist meetmeid. Isikuandmete töötlemine liidu institutsioonides ja asutustes seoses üldistes huvides täidetavate ülesannetega hõlmab nende institutsioonide ja asutuste juhtimiseks ja toimimiseks vajalikku isikuandmete töötlemist. Isikuandmete töötlemist tuleks pidada seaduslikuks ka siis, kui see on vajalik andmesubjekti või muu füüsilise isiku eluliste huvide kaitsmiseks. Teise füüsilise isiku eluliste huvide alusel saaks isikuandmeid põhimõtteliselt töödelda üksnes siis, kui töötlemist ei saa ilmselgelt teostada muul õiguslikul alusel. Mõnda liiki isikuandmetöötlus võib teenida nii kaalukaid avalikke huve kui ka andmesubjekti elulisi huve, näiteks juhul, kui töötlemine on vajalik humanitaareesmärkidel, sealhulgas epideemia ja selle leviku jälgimiseks, või humanitaarhädaolukordades, eriti loodusõnnetuste ja inimtegevusest tingitud õnnetuste korral.

(23)

Käesolevas määruses osutatud liidu õigus peaks olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse vastavalt hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele.

(24)

Käesolevas määruses osutatud sise-eeskirjad peaksid olema selged ja täpsed üldkohaldatavad õigusaktid, mille eesmärk on tekitada andmesubjektidele õiguslikke tagajärgi. Kõnealused sise-eeskirjad peaksid olema kehtestatud liidu institutsioonide ja organite kõrgeimal juhtimistasandil, nende pädevuse piires ja nende toimimist puudutavates küsimustes. Sise-eeskirjad tuleks avaldada Euroopa Liidu Teatajas. Kõnealuste eeskirjade kohaldamine peaks olema ettenähtav isikute jaoks, kelle suhtes neid kohaldatakse vastavalt hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele. Sise-eeskirjad võivad olla otsuste vormis, eelkõige juhul, kui need on kehtestanud liidu institutsioonid.

(25)

Isikuandmete töötlemine muul eesmärgil kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. Kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, võib liidu õiguses kindlaks määrata ja täpsustada need ülesanded ja eesmärgid, mille puhul tuleks pidada edasist töötlemist eesmärkidele vastavaks ja seaduslikuks. Edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärkidele vastavate seaduslike isikuandmete töötlemise toimingutena. Liidu õiguses sätestatud õiguslik alus isikuandmete töötlemiseks võib olla ka edasise töötlemise õiguslikuks aluseks. Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed algselt koguti, peaks vastutav töötleja võtma pärast kõikide esialgse töötlemise seaduslikkuse seisukohast vajalike nõuete täitmist muu hulgas arvesse mis tahes seoseid sellise eesmärgi ja kavandatava edasise töötlemise eesmärgi vahel, isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes, isikuandmete laadi, kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks ning asjakohaste kaitsemeetmete olemasolu nii esialgsetes kui ka kavandatavates edasistes isikuandmete töötlemise toimingutes.

(26)

Kui andmeid töödeldakse andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõendada, et andmesubjekt on andnud isikuandmete töötlemise toiminguks oma nõusoleku. Eelkõige muid küsimusi käsitleva kirjaliku avalduse puhul tuleks kaitsemeetmetega tagada, et andmesubjekt on teadlik nõusoleku andmisest ja nõusoleku andmise ulatusest. Kooskõlas nõukogu direktiiviga 93/13/EMÜ (6) peaks vastutava töötleja poolt ette valmistatud nõusolekuavaldus olema arusaadav ja lihtsasti kättesaadav, selles tuleks kasutada selget ja lihtsat keelt ning selles ei tohiks olla ebaõiglaseid tingimusi. Teadliku nõusoleku andmiseks peaks andmesubjekt olema teadlik vähemalt sellest, kes on vastutav töötleja ja milleks kavatsetakse isikuandmeid töödelda. Nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta.

(27)

Laste isikuandmed väärivad erilist kaitset, kuna lapsed ei pruugi olla piisavalt teadlikud asjaomastest ohtudest, tagajärgedest ja kaitsemeetmetest ning oma õigustest seoses isikuandmete töötlemisega. Eriline kaitse peaks eelkõige rakenduma isiku profiilide loomisel ja laste isikuandmete kogumisel liidu institutsioonide ja asutuste veebisaitidel otse lastele pakutavate teenuste kasutamise puhul, nagu näiteks isikutevahelise side teenused või piletite internetimüük, ning kui isikuandmete töötlemine toimub nõusoleku alusel.

(28)

Kui liidus asuvad vastuvõtjad, kes ei ole liidu institutsioonid või asutused, soovivad, et liidu institutsioonid või asutused edastaksid neile isikuandmeid, peaksid need vastuvõtjad tõendama, et andmete edastamine on vajalik nende avalikes huvides täidetava ülesande täitmiseks või avaliku võimu teostamiseks. Samuti peaksid need vastuvõtjad tõendama, et edastamine on vajalik konkreetsel avalikust huvist tuleneval eesmärgil ning vastutav töötleja peaks uurima, kas on põhjust arvata, et andmesubjekti õigustatud huvid võivad olla kahjustatud. Sellisel juhul peaks vastutav töötleja põhjalikult kaaluma erinevaid võistlevaid huvisid, et hinnata taotletud isikuandmete edastamise proportsionaalsust. Need konkreetsed avalikust huvist tulenevad eesmärgid võivad olla seotud liidu institutsioonide ja organite läbipaistvusega. Lisaks peaksid liidu institutsioonid ja asutused vastavalt läbipaistvuse ja hea halduse põhimõttele sellist vajadust tõendama juhul, kui nad andmete edastamist ise algatavad. Käesolevas määruses sätestatud nõudeid edastamise kohta liidus asuvatele vastuvõtjatele, kes ei ole liidu institutsioonid või asutused, tuleks tõlgendada seadusliku töötlemise tingimuste lisanõuetena.

(29)

Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. Selliseid isikuandmeid ei tohiks töödelda, välja arvatud juhul, kui käesolevas määruses sätestatud eritingimused on täidetud. Need isikuandmed peaksid hõlmama ka niisuguseid isikuandmeid, millest ilmneb rassiline või etniline päritolu, kusjuures mõiste „rassiline päritolu“ kasutamine käesolevas määruses ei osuta sellele, et liit aktsepteerib teooriaid, millega püütakse määrata kindlaks eraldi inimrasside olemasolu. Fotode töötlemist ei peaks süstemaatiliselt käsitlema isikuandmete eriliikide töötlemisena, kuna need on hõlmatud biomeetriliste andmete määratlusega üksnes siis, kui neid töödeldakse konkreetsete tehniliste vahenditega, mis võimaldavad füüsilist isikut kordumatult tuvastada või autentida. Lisaks tundlike andmete töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid norme, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas siis, kui andmesubjekt annab selleks oma sõnaselge nõusoleku, või konkreetse vajaduse korral, eelkõige juhul, kui töödeldakse teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist.

(30)

Tugevamat kaitset väärivate isikuandmete eriliike tuleks töödelda tervisega seotud eesmärkidel üksnes juhul, kui need eesmärgid on vaja saavutada füüsiliste isikute ja kogu ühiskonna hüvanguks, eelkõige tervishoiu- või sotsiaalhoolekandeteenuste ja -süsteemide juhtimise kontekstis. Seetõttu tuleks käesolevas määruses ette näha ühtsed tervisealaste isikuandmete eriliikide töötlemise tingimused konkreetsete vajaduste osas, eelkõige juhul, kui selliseid andmeid töötlevad teatavatel tervishoiuga seotud eesmärkidel isikud, kellel on õiguslikult siduv kohustus hoida ametisaladust. Liidu õiguses tuleks ette näha konkreetsed ja sobivad meetmed, et kaitsta füüsiliste isikute põhiõigusi ja isikuandmeid.

(31)

Isikuandmete eriliike võib olla vaja töödelda avalikes huvides rahvatervisega seotud valdkondades ilma andmesubjekti nõusolekuta. Sellisel töötlemisel tuleks kohaldada sobivaid ja konkreetseid meetmeid, et kaitsta füüsiliste isikute õigusi ja vabadusi. Selles kontekstis tuleks mõistet „rahvatervis“ tõlgendada vastavalt Euroopa Parlamendi ja nõukogu määrusele (EÜ) nr 1338/2008, (7) mille kohaselt rahvatervis on kõik tervisega seotud asjaolud, nimelt tervislik seisund, sealhulgas haigestumus ja puuded, tervislikku seisundit mõjutavad tegurid, tervishoiualased vajadused, tervishoiule eraldatud vahendid, tervishoiuteenuse osutamine ja selle üldine kättesaadavus, samuti kulutused tervishoiule ja selle rahastamine ning suremuse põhjused. Sellise terviseandmete avalikes huvides töötlemise tulemusel ei tohiks isikuandmeid muudel eesmärkidel töödelda.

(32)

Juhul kui vastutav töötleja töötleb selliseid isikuandmeid, mille alusel ei saa füüsilisi isikuid tuvastada, ei tohiks ta olla kohustatud hankima andmesubjekti tuvastamiseks täiendavat teavet ainult käesoleva määruse sätete järgimiseks. Vastutav töötleja ei tohiks aga keelduda sellise täiendava teabe vastuvõtmisest, mida andmesubjekt esitab oma õiguste kasutamise toetamiseks. Tuvastamine peaks hõlmama andmesubjekti digitaalset tuvastamist, näiteks sellise autentimise mehhanismi abil nagu samad volitused, mida andmesubjekt kasutab vastutava töötleja pakutavasse sidusteenusesse sisselogimiseks.

(33)

Avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil toimuva isikuandmete töötlemise suhtes tuleks kohaldada kooskõlas käesoleva määrusega asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitseks. Nende kaitsemeetmetega tuleks tagada tehniliste ja korralduslike meetmete olemasolu, eelkõige selleks, et tagada võimalikult väheste andmete kogumise põhimõtte järgimine. Isikuandmete edasine töötlemine avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil peab toimuma siis, kui vastutav töötleja on hinnanud nende eesmärkide täitmise teostatavust, töödeldes isikuandmeid, mis ei võimalda või enam ei võimalda andmesubjekte tuvastada, tingimusel et olemas on asjakohased kaitsemeetmed (näiteks isikuandmete pseudonümiseerimine). Liidu institutsioonid ja asutused peaksid kehtestama liidu õiguses asjakohased kaitsemeetmed isikuandmete töötlemisele, mis toimub avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil, kusjuures liidu õigus võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju.

(34)

Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil taotleda ja vajaduse korral hankida tasuta eelkõige juurdepääsu õigusele nõuda isikuandmete parandamist või kustutamist ning kasutada õigust esitada vastuväiteid. Vastutav töötleja peaks samuti kättesaadavaks tegema vahendid, millega taotluse saab esitada elektrooniliselt, eriti kui isikuandmeid töödeldakse elektrooniliste vahenditega. Vastutav töötleja peaks olema kohustatud vastama andmesubjekti taotlustele põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul ning kui vastutav töötleja ei kavatse andmesubjekti taotlust rahuldada, siis seda põhjendama.

(35)

Õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest. Vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti. Lisaks tuleks andmesubjekti teavitada profiilianalüüsi olemasolust ja sellise analüüsi tagajärgedest. Kui isikuandmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud isikuandmeid esitama, ja selliste andmete esitamata jätmise tagajärgedest. Sellise teabe võib esitada koos standardsete ikoonidega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, peaksid need olema masinloetavad.

(36)

Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle juhtumi asjaoludest olenevalt kas andmesubjektilt andmete kogumise ajal või mõistliku ajavahemiku jooksul, juhul kui andmeid hangitakse muust allikast. Kui isikuandmeid võib õiguspäraselt avaldada muule vastuvõtjale, tuleks andmesubjekti sellest teavitada andmete esmakordsel avaldamisel. Kui vastutav töötleja kavatseb isikuandmeid töödelda muul eesmärgil kui see, milleks neid koguti, peaks vastutav töötleja esitama andmesubjektile enne andmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu vajaliku teabe. Kui andmesubjektile ei saa esitada isikuandmete päritolu, sest kasutatud on mitut allikat, tuleks esitada üldteave.

(37)

Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. See hõlmab andmesubjektide õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. Igal andmesubjektil peaks seega olema õigus teada eelkõige isikuandmete töötlemise eesmärke, võimaluse korral isikuandmete töötlemise ajavahemikku, isikuandmete vastuvõtjaid, isikuandmete automaatse töötlemise loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt juhul kui töötlemine põhineb profiilianalüüsil) ning saada eelneva kohta teavet. See õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine. Kui vastutav töötleja töötleb suurt hulka andmesubjekti käsitlevat teavet, peaks vastutav töötleja saama paluda, et andmesubjekt täpsustaks enne andmete esitamist, millise teabe või milliste isikuandmete töötlemise toimingutega taotlus seotud on.

(38)

Andmesubjektil peaks olema õigus nõuda teda käsitlevate isikuandmete parandamist ja „õigus olla unustatud“ juhul, kui selliste andmete säilitamine rikub käesolevat määrust või vastutava töötleja suhtes kohaldatavat liidu õigust. Andmesubjektil peaks olema õigus oma isikuandmete kustutamisele ja nende töötlemise lõpetamisele siis, kui isikuandmed ei ole enam vajalikud eesmärkidel, mille jaoks need koguti või neid muul viisil töödeldi, kui andmesubjekt on töötlemisele antud nõusoleku tagasi võtnud või kui ta on vastu oma isikuandmete töötlemisele või kui nende isikuandmete töötlemine muul viisil ei vasta käesoleva määruse nõuetele. Kõnealune õigus on asjakohane eelkõige siis, kui andmesubjekt andis nõusoleku lapsena, olemata täielikult teadlik töötlemisega kaasnevatest ohtudest, ja hiljem soovib need isikuandmed eelkõige internetist kustutada. Andmesubjektil peaks olema võimalik seda õigust kasutada, vaatamata sellele, et ta ei ole enam laps. Isikuandmete jätkuv säilitamine peaks olema seaduslik aga juhul, kui see on vajalik sõna- ja teabevabaduse kasutamiseks, õiguslikult siduva kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, rahvatervise valdkonna avalikes huvides, avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.

(39)

Selleks et tugevdada võrgukeskkonnas õigust olla unustatud, tuleks laiendada õigust andmete kustutamisele, kohustades isikuandmed avaldanud vastutavat töötlejat teavitama selliseid isikuandmeid töötlevaid vastutavaid töötlejaid asjaolust, et kõnealustele isikuandmetele osutavad lingid või nende andmete koopiad või kordused tuleb kustutada. Seda tehes peaks vastutav töötleja võtma mõistlikke meetmeid, võttes arvesse vastutavale töötlejale kättesaadavat tehnoloogiat ja vahendeid, sealhulgas tehnilisi meetmeid, et teavitada isikuandmeid töötlevaid vastutavaid töötlejaid andmesubjekti taotlusest.

(40)

Isikuandmete töötlemise piiramise meetodid võivad muu hulgas hõlmata valitud isikuandmete ajutist ümberpaigutamist teise töötlemissüsteemi, valitud isikuandmete muutmist kasutajatele kättesaamatuks või avaldatud andmete ajutist kõrvaldamist veebisaidilt. Automaatsetes andmete kogumites tuleks isikuandmete töötlemise piiramine tagada üldjuhul tehniliste vahenditega selliselt, et isikuandmeid enam edasi ei töödelda ja neid ei saa enam muuta. Asjaolu, et isikuandmete töötlemine on piiratud, tuleks süsteemis selgelt määratleda.

(41)

Selleks et veelgi tugevdada kontrolli oma andmete üle, peaks andmesubjektil isikuandmete automatiseeritud töötlemise korral samuti olema lubatud saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, laialdaselt kasutatavas, masinloetavas ja koostalitlevas vormingus ning edastada neid teisele vastutavale töötlejale. Vastutavaid töötlejaid peaks julgustama arendama koostalitlevaid vorminguid, mis võimaldavad andmete ülekantavust. See õigus peaks olema kasutatav juhul, kui andmesubjekt esitas isikuandmed omaenda nõusoleku alusel või kui töötlemine on vajalik lepingu täitmiseks. Seda ei tuleks seega kohaldada eelkõige siis, kui isikuandmete töötlemine on vajalik vastutava töötleja õiguslikult siduva kohustuse täitmiseks või avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu kasutamiseks. Andmesubjekti õigus edastada või saada teda puudutavaid isikuandmeid ei peaks tekitama vastutavatele töötlejatele kohustust võtta kasutusele või hoida töös tehniliselt ühilduvaid andmetöötlussüsteeme. Kui teatud isikuandmed puudutavad enam kui üht andmesubjekti, ei tohiks isikuandmete saamise õigus piirata teiste andmesubjektide käesoleva määruse kohaseid õigusi ja vabadusi. Lisaks ei tohiks see õigus piirata andmesubjekti käesoleva määruse kohast õigust nõuda oma isikuandmete kustutamist ja selle õiguse piiranguid ning ei tohiks eelkõige tähendada andmesubjekti poolt lepingu täitmiseks esitatud teda käsitlevate isikuandmete kustutamist sel määral ja nii kaua, kui isikuandmed on vajalikud selle lepingu täitmiseks. Kui see on tehniliselt teostatav, peaks andmesubjektil olema õigus sellele, et isikuandmed edastatakse otse ühelt vastutavalt töötlejalt teisele.

(42)

Kui isikuandmeid võidakse seaduslikult töödelda sellepärast, et töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, peaks andmesubjektil olema ikkagi õigus tema konkreetse olukorraga seotud isikuandmete töötlemine vaidlustada. Vastutav töötleja peaks tõendama, et tema mõjuvad õigustatud huvid kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused.

(43)

Andmesubjektil peaks olema õigus sellele, et tema suhtes ei tehta üksnes andmete automatiseeritud töötlemisele toetuvat isiklike aspektide hindamisel põhinevat ja meedet sisaldada võivat otsust, millel on teda puudutavad õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, nagu veebipõhine tööle värbamine ilma inimsekkumiseta. Selline töötlemine hõlmab igasuguses isikuandmete automatiseeritud töötlemises seisnevat profiilianalüüsi, mille käigus hinnatakse füüsilise isikuga seotud isiklikke aspekte, mille eesmärk on eelkõige selliste aspektide analüüsimine ja prognoosimine, mis on seotud töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega, kui see toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle samamoodi märkimisväärset mõju.

Sellisel töötlemisel, sealhulgas profiilianalüüsil põhinev otsuste tegemine peaks aga olema lubatud siis, kui see on sõnaselgelt lubatud vastutava töötleja suhtes kohaldatava liidu õigusega. Igal juhul tuleks sellise töötlemise korral kehtestada sobivaid kaitsemeetmeid, mis peaksid hõlmama andmesubjektile konkreetse teabe andmist ja õigust otsesele isiklikule kontaktile, õigust väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ning õigust seda otsust vaidlustada. Selline meede ei tohiks puudutada last. Selleks et tagada andmesubjekti suhtes õiglane ja läbipaistev töötlemine, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti, peaks vastutav töötleja kasutama profiilianalüüsiks asjakohaseid matemaatilisi või statistilisi menetlusi, rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada eelkõige ebaõigeid isikuandmeid põhjustavate tegurite korrigeerimine ja vigade tegemise ohu minimeerimine, ning tagama isikuandmete turvalisuse selliselt, et võetakse arvesse potentsiaalset ohtu andmesubjekti huvidele ja õigustele ning ennetama muu hulgas diskrimineerivat mõju füüsilistele isikutele rassi või etnilise päritolu, poliitiliste vaadete, usutunnistuse või veendumuste, ametiühingusse kuulumise, geneetilise või tervisliku seisundi või seksuaalse sättumuse alusel või andmete töötlemist, mille tulemuseks on sellise mõjuga meetmed. Automatiseeritud otsuste tegemine ja profiilianalüüs konkreetsete isikuandmete liikide põhjal peaks olema lubatud ainult eritingimustel.

(44)

Aluslepingute alusel vastu võetud õigusaktidega ja liidu institutsioonide ja asutuste poolt nende toimimist puudutavates küsimustes vastu võetud sise-eeskirjadega võidakse kehtestada piirangud, mis puudutavad konkreetseid põhimõtteid ja õigust saada teavet, andmetega tutvuda, nõuda nende parandamist ja kustutamist või õigust andmeid ühest süsteemist teise üle kanda, elektroonilise side andmete konfidentsiaalsust, samuti andmesubjekti isikuandmetega seotud rikkumisest teavitamist ning vastutavate töötlejate teatavaid seonduvaid kohustusi, kui selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne selleks, et tagada avalik julgeolek, süütegude tõkestamine, uurimine ja nende eest vastutusele võtmine või kriminaalkaristuste täitmisele pööramine. See hõlmab avalikku julgeolekut ähvardavate ohtude eest kaitsmist või nende ennetamist, inimelude kaitsmist eelkõige loodus- ja inimtegevusest tingitud õnnetustele reageerimisel, liidu institutsioonide ja asutuste sisejulgeolekut, liidu või liikmesriigi muud üldist avalikku huvi, eelkõige liidu ühise välis- ja julgeolekupoliitika eesmärke või liidu või liikmesriigi olulist majandus- või finantshuvi eesmärki ning üldisest avalikust huvist lähtuvate avalike registrite pidamist või andmesubjekti kaitset või teiste isikute õiguste ja vabaduste kaitset, sealhulgas sotsiaalkaitset, rahvatervist ja humanitaareesmärke.

(45)

Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele.

(46)

Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tagajärjel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju; kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; kui töödeldakse isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegude ning nendega seotud turvameetmete kohta; kui hinnatakse isiklikke aspekte, eelkõige töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega seotud aspektide analüüsimisel või prognoosimisel, et luua või kasutada isiklikke profiile; kui töödeldakse kaitsetute füüsiliste isikute, eriti laste isikuandmeid; kui töötlemine hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte.

(47)

Andmesubjekti õigustele ja vabadustele tekkiva ohu tõenäosus ja tõsidus tuleks teha kindlaks lähtudes andmetöötluse laadist, ulatusest, kontekstist ja eesmärkidest. Ohtu tuleks hinnata objektiivse hindamise põhjal, millega tehakse kindlaks, kas andmetöötlustoimingutega kaasneb oht või suur oht.

(48)

Füüsiliste isikute õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab asjakohaste tehniliste ja korralduslike meetmete võtmist, et tagada käesoleva määruse nõuete täitmine. Selleks et olla võimeline tõendama käesoleva määruse täitmist, peaks vastutav töötleja kehtestama sise-eeskirjad ja rakendama meetmeid, mis vastavad eelkõige lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Sellised meetmed võivad koosneda muu hulgas isikuandmete töötlemise miinimumini viimisest, isikuandmete võimalikult kiirest pseudonümiseerimisest, läbipaistvusest seoses isikuandmete eesmärgi ja töötlemisega, andmesubjektile andmete töötlemise jälgimise võimaluse andmisest, vastutavale töötlejale võimaluse andmisest luua ja parandada turvameetmeid. Riigihangete kontekstis tuleks samuti võtta arvesse lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtteid.

(49)

Määruses (EL) 2016/679 nähakse ette, et vastutavad töötlejad tõendavad käesoleva määruse täitmist heakskiidetud sertifitseerimismehhanismi järgimisega. Samamoodi peaksid liidu institutsioonid ja asutused tõendama käesoleva määruse täitmist määruse (EL) 2016/679 artikli 42 kohase sertifitseerimise saamisega.

(50)

Andmesubjektide õiguste ja vabaduste kaitse ning vastutavate töötlejate ja volitatud töötlejate vastutuse tagamiseks tuleb käesoleva määrusega selgelt kindlaks määrata vastutuse jaotus, sealhulgas juhtudel, kui isikuandmete töötlemise eesmärgid ja vahendid määrab kindlaks vastutav töötleja koos teiste vastutavate töötlejatega ning kui töötlemistoimingut teostatakse vastutava töötleja nimel.

(51)

Kui vastutava töötleja nimel töötleb andmeid volitatud töötleja, peaks vastutav töötleja kasutama käesoleva määruse nõuete täitmise tagamiseks isikuandmete töötlemise toimingute usaldamisel volitatud töötlejale ainult selliseid volitatud töötlejaid, kes annavad piisavad tagatised, eelkõige seoses erialaste teadmiste, usaldusväärsuse ja vahenditega, et nad suudavad rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad käesoleva määruse nõuetele, sealhulgas töötlemise turvalisusele kehtestatud nõuetele. Seda, et volitatud töötleja, kes ei ole liidu institutsioon või asutus, järgib heakskiidetud toimimisjuhendit või heakskiidetud sertifitseerimismehhanismi, võib kasutada elemendina, mis tõendab vastutava töötleja kohustuste täitmist. Volitatud töötleja, kes ei ole liidu institutsioon või asutus, peaks andmeid töötlema lepingu kohaselt või, kui liidu institutsioon või asutus tegutseb volitatud töötlejana, siis vastutavat ja volitatud töötlejat omavahel siduva lepingu või muu liidu õiguse kohase õigusakti alusel, milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärgid, isikuandmete liik ja andmesubjektide kategooriad ning peaks arvesse võtma volitatud töötleja konkreetseid ülesandeid ja kohustusi seoses teostatava töötlemisega ning ohtu andmesubjekti õigustele ja vabadustele. Vastutaval töötlejal ja volitatud töötlejal peaks olema võimalus valida, kas kasutada individuaalset lepingut või lepingu tüüptingimusi, mille on kehtestanud kas otseselt komisjon või Euroopa Andmekaitseinspektor ja seejärel komisjon. Pärast vastutava töötleja nimel töötlemise lõpetamist peaks volitatud töötleja isikuandmed vastutava töötleja valikul kas tagastama või kustutama, välja arvatud juhul, kui volitatud töötleja suhtes kohaldatava liidu või liikmesriigi õiguse kohaselt tuleb isikuandmeid säilitada.

(52)

Käesoleva määruse täitmise tõendamiseks peaksid vastutavad töötlejad säilitama andmeid nende vastutusalasse kuuluvate isikuandmete töötlemise toimingute kohta ning volitatud töötlejad peaksid säilitama andmeid nende vastutusalasse kuuluvate töötlemise toimingute kategooriate kohta. Liidu institutsioonid ja asutused peaksid olema kohustatud tegema Euroopa Andmekaitseinspektoriga koostööd ja tegema nende kasutuses olevad salvestatud andmed taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks, et neid saaks kasutada nimetatud isikuandmete töötlemise toimingute kontrollimiseks. Liidu institutsioonidel ja asutustel peaks olema võimalus luua oma töötlemistoimingute andmete keskregister, välja arvatud juhul, kui see ei ole asjakohane, võttes arvesse liidu institutsiooni või organi suurust. Läbipaistvuse huvides peaks kõnealune register olema üldsusele kättesaadav.

(53)

Turvalisuse tagamiseks ja käesolevat määrust rikkudes sooritatava töötlemise vältimiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohtusid ja rakendama asjaomaste ohtude leevendamiseks meetmeid, näiteks krüpteerimist. Võttes arvesse teaduse ja tehnoloogia viimast arengut ja meetmete rakenduskulusid, tuleks kõnealuste meetmetega tagada vajalik turvalisuse tase, sealhulgas konfidentsiaalsus, mis vastaks ohtudele ja kaitstavate isikuandmete laadile. Andmeturbeohtu hinnates tuleks kaaluda isikuandmete töötlemisest tulenevaid ohte, nagu edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine ja loata avalikustamine või neile juurdepääs, mille tagajärjel võib eelkõige tekkida füüsiline, materiaalne või mittemateriaalne kahju.

(54)

Liidu institutsioonid ja asutused peaksid vastavalt harta artiklis 7 sätestatule tagama elektroonilise side konfidentsiaalsuse. Liidu institutsioonid ja asutused peaksid eelkõige tagama oma elektroonilise side võrgustike turvalisuse. Nad peaksid kaitsma teavet, mis on seotud selliste kasutajate lõppseadmetega, kes kasutavad avalikult kättesaadavaid veebisaite ning liidu institutsioonide ja asutuste pakutavaid mobiilseid rakendusi kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2002/58/EÜ (8). Nad peaksid ühtlasi kaitsma kasutajakataloogides olevaid isikuandmeid.

(55)

Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilist, materiaalset või mittemateriaalset kahju. Seetõttu, niipea kui vastutav töötleja saab teada, et on toimunud isikuandmetega seotud rikkumine, peaks vastutav töötleja teatama sellest isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorit põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui vastutav töötleja suudab kooskõlas vastutuse põhimõttega tõendada, et selle rikkumise tulemusena ei teki tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele. Kui 72 tunni jooksul teatamine ei ole võimalik, tuleks teatele lisada hilinemise põhjused ja teavet võib esitada järk-järgult ilma täiendava põhjendamatu viivituseta. Kui hilinemine on põhjendatud, tuleks rikkumist käsitlev vähem tundlik või vähem detailsem teave avalikustada võimalikult kiiresti, mitte oodata teavitamisega kuni intsidendi põhjuse tuvastamiseni.

(56)

Vastutav töötleja peaks ilma põhjendamatu viivituseta teavitama andmesubjekti isikuandmetega seotud rikkumisest, kui rikkumise tulemusena tekib tõenäoliselt suur oht füüsilise isiku õigustele ja vabadustele, et võimaldada andmesubjektil võtta vajalikke ettevaatusabinõusid. Teates tuleks kirjeldada isikuandmetega seotud rikkumise olemust, samuti tuleks anda asjaomasele füüsilisele isikule soovitusi võimaliku kahjuliku mõju leevendamiseks. Teade tuleks saata andmesubjektile nii kiiresti kui mõistlikkuse piires võimalik ning tihedas koostöös Euroopa Andmekaitseinspektoriga, pidades kinni tema või muude asjakohaste asutuste nagu näiteks õiguskaitseasutuste suunistest.

(57)

Määruses (EÜ) nr 45/2001 on sätestatud vastutava töötleja üldine kohustus teavitada isikuandmete töötlemisest andmekaitseametnikku. Andmekaitseametnik on kohustatud pidama teatatud töötlemistoimingute kohta registrit, välja arvatud juhul, kui see ei ole asjakohane, võttes arvesse liidu institutsiooni või organi suurust. Lisaks sellele üldisele kohustusele tuleks kehtestada tõhusad menetlused ja mehhanismid, et jälgida neid isikuandmete töötlemise toimingute liike, mis kujutavad oma laadi, ulatuse, konteksti ja eesmärkide poolest tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Sellised menetlused peaksid eelkõige olema kehtestatud siis, kui isikuandmete töötlemise toimingute liigid hõlmavad uue tehnoloogia kasutamist või on uut tüüpi, mille puhul vastutav töötleja ei ole varem andmekaitsealast mõjuhinnangut teostanud, või kui toimingud muutuvad vajalikuks seoses esmasest töötlemisest möödunud ajaga. Sellistel juhtudel peaks vastutav töötleja suure ohu konkreetse tõenäosuse ja tõsiduse hindamiseks, võttes arvesse töötlemise laadi, ulatust, konteksti ja eesmärke ning ohu allikaid, koostama enne töötlemist andmekaitsealase mõjuhinnangu. Nimetatud mõjuhinnang peaks eelkõige sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme selle ohu leevendamiseks ja isikuandmete kaitse tagamiseks ning käesoleva määruse täitmise tõendamiseks.

(58)

Kui andmekaitsealane mõjuhinnang näitab, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja -mehhanismide puudumisel suur oht füüsiliste isikute õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole võimalik kättesaadava tehnoloogia ja rakendamiskulude seisukohast mõistlike meetmetega leevendada, tuleks enne isikuandmete töötlemise toimingute alustamist konsulteerida Euroopa Andmekaitseinspektoriga. Selline suur oht tekib tõenäoliselt isikuandmete teatud liiki töötluse ning töötlemisulatuse ja -sageduse tulemusena, mille tagajärjel võib tekkida ka kahju füüsilise isiku õigustele ja vabadustele või sekkumine nendesse. Euroopa Andmekaitseinspektor peaks vastama konsulteerimistaotlusele konkreetse ajavahemiku jooksul. Euroopa Andmekaitseinspektori reaktsiooni puudumine selle ajavahemiku jooksul ei tohiks aga mõjutada Euroopa Andmekaitseinspektori sekkumist kooskõlas talle käesolevas määruses ette nähtud ülesannete ja volitustega, sealhulgas õigust keelata isikuandmete töötlemise toiminguid. Kõnealuse konsulteerimisprotsessi osana peaks olema võimalik esitada asjaomase töötlemise suhtes tehtud andmekaitsealase mõjuhinnangu tulemused Euroopa Andmekaitseinspektorile, eelkõige seoses meetmetega, mis on ette nähtud füüsiliste isikute õigusi ja vabadusi ähvardavate ohtude leevendamiseks.

(59)

Euroopa Andmekaitseinspektorit tuleks teavitada liidu institutsioonide ja asutuste haldusmeetmetest ja temaga tuleks konsulteerida liidu institutsioonide ja asutuste poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirjade osas, kui neis sätestatakse isikuandmete töötlemine, kehtestatakse andmesubjektide õigusi piiravaid tingimusi või kehtestatakse andmesubjektide õigusi käsitlevad asjakohased kaitsemeetmed, et kavandatud töötlemine vastaks käesoleva määruse nõuetele, eelkõige vähendaks andmesubjekti jaoks ohtusid.

(60)

Määrusega (EL) 2016/679 loodi Euroopa Andmekaitsenõukogu juriidilisest isikust sõltumatu liidu asutusena. Andmekaitsenõukogu peaks kaasa aitama määruse (EL) 2016/679 ja direktiivi (EL) 2016/680 järjepidevale kohaldamisele kogu liidus, nõustades seejuures komisjoni. Samal ajal peaks Euroopa Andmekaitseinspektor jätkama oma järelevalve- ja nõustamisülesannete täitmist kõigi liidu institutsioonide ja asutuste suhtes omal algatusel või taotluse alusel. Kogu liidus andmekaitsenormide järjepidevuse tagamiseks peaks komisjon konsulteerima Euroopa Andmekaitseinspektoriga. Komisjoniga konsulteerimine peaks olema kohustuslik pärast seadusandlike aktide vastuvõtmist või delegeeritud õigusaktide ja rakendusaktide koostamise ajal vastavalt ELi toimimise lepingu artiklites 289, 290 ja 291 sätestatule ning pärast selliste soovituste ja ettepanekute vastuvõtmist, mis on seotud kolmandate riikide ja rahvusvaheliste organisatsioonidega sõlmitavate lepingutega vastavalt ELi toimimise lepingu artiklis 218 sätestatule, kui need mõjutavad õigust isikuandmete kaitsele. Sellistel juhtudel peaks komisjon olema kohustatud konsulteerima Euroopa Andmekaitseinspektoriga, välja arvatud juhul, kui määrusega (EL) 2016/679 on ette nähtud kohustuslik Euroopa Andmekaitseinspektoriga konsulteerimine näiteks kaitse piisavuse otsuste või standardseid ikoone ja sertifitseerimismehhanismide kriteeriume käsitlevate delegeeritud õigusaktide puhul. Kui kõnealune õigusakt on seoses isikuandmete töötlemisega füüsiliste isikute õiguste ja vabaduste kaitse seisukohast eriti oluline, peaks komisjonil olema võimalus konsulteerida lisaks ka Euroopa Andmekaitsenõukoguga. Sellistel juhtudel peaks Euroopa Andmekaitseinspektor Euroopa Andmekaitsenõukogu liikmena oma tegevust ühisarvamuse koostamisel andmekaitsenõukoguga koordineerima. Euroopa Andmekaitseinspektor ja vajaduse korral ka Euroopa Andmekaitsenõukogu peaksid esitama oma kirjaliku nõuande kaheksa nädal jooksul. Kõnealune tähtaeg peaks kiireloomuliste juhtumite korral või muul asjakohasel juhul olema lühem, näiteks kui komisjon koostab delegeeritud õigusakte ja rakendusakte.

(61)

Määruse (EL) 2016/679 artikli 75 kohaselt tagab andmekaitsenõukogu sekretariaadi töö Euroopa Andmekaitseinspektor.

(62)

Andmekaitseametnik peaks kõigis liidu institutsioonis ja organites tagama, et käesoleva määruse sätteid kohaldatakse, ning nõustama vastutavaid töötlejaid ja volitatud töötlejaid nende kohustuste täitmisel. Andmekaitseametnik peaks olema isik, kellel on andmekaitsealaseid õigusakte ja tavasid hõlmavad erialased teadmised, mille tase tuleks määrata kindlaks eelkõige vastavalt vastutava töötleja või volitatud töötleja teostatavatele andmetöötlustoimingutele ning töödeldavate isikuandmete kaitsmise nõuetele. Andmekaitseametnikel peaks olema võimalik täita oma ülesandeid sõltumatult.

(63)

Isikuandmete edastamisel liidu institutsioonidelt ja asutustelt vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele tuleks tagada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse tase. Samu tagatisi tuleks kohaldada juhtudel, kui kolmandast riigist või rahvusvahelisest organisatsioonist saadud isikuandmed saadetakse edasi vastutavatele töötlejatele või volitatud töötlejatele samas või muus kolmandas riigis või rahvusvahelises organisatsioonis. Igal juhul tohib andmeid kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastada ainult käesolevat määrust ning hartas sätestatud põhiõigusi ja -vabadusi täielikult järgides. Andmeid tohiks edastada ainult siis, kui vastutav töötleja ja volitatud töötleja täidavad käesolevas määruses sätestatud tingimusi isikuandmete edastamise kohta, arvestades muid käesoleva määruse sätteid.

(64)

Komisjon võib määruse (EL) 2016/679 artikli 45 või direktiivi (EL) 2016/680 artikli 36 alusel otsustada, et kolmandas riigis, kolmanda riigi territooriumil või kindlaksmääratud sektoris või rahvusvahelises organisatsioonis pakutakse piisaval tasemel andmekaitset. Sellisel juhul võib isikuandmete edastamine liidu institutsiooni või asutuse poolt kõnealusesse riiki või kõnealusele rahvusvahelisele organisatsioonile toimuda ilma, et oleks vaja saada täiendav luba.

(65)

Kaitse piisavuse otsuse puudumise korral peaks vastutav töötleja või volitatud töötleja võtma meetmed, et korvata kolmanda riigi andmekaitse puudulik tase asjakohaste andmesubjekti kaitsmise meetmetega. Sellised asjakohased kaitsemeetmed võivad hõlmata järgneva kasutamist: komisjoni kehtestatud standardsed andmekaitseklauslid, Euroopa Andmekaitseinspektori kehtestatud standardsed andmekaitseklauslid või Euroopa Andmekaitseinspektori heaks kiidetud lepingu tüüptingimused. Juhul kui volitatud töötleja ei ole liidu institutsioon või asutus, võivad kõnealused asjakohased kaitsemeetmed sisaldada ka määruse (EL) 2016/679 raames andmete rahvusvahelise edastamise jaoks kasutatavaid siduvaid kontsernisiseseid eeskirju, toimimisjuhendeid või sertifitseerimismehhanisme. Need kaitsemeetmed peaksid tagama liidusiseseks töötlemiseks asjakohaste andmekaitsenõuete täitmise ja andmesubjektide õiguste kaitse, sealhulgas andmesubjektide kohtulikult kaitstavate õiguste ja tõhusate õiguskaitsevahendite kättesaadavuse, kaasa arvatud õiguse saada tõhusat haldus- või õiguskaitset ja nõuda hüvitist liidus või kolmandas riigis. Kaitsemeetmed peaksid olema eelkõige seotud vastavusega üldistele isikuandmete töötlemise põhimõtetele ning lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Andmeid võivad edastada ka liidu institutsioonid ja asutused kolmandate riikide avaliku sektori asutustele või organitele või rahvusvahelistele organisatsioonidele, kellel on vastavad kohustused või funktsioonid, sealhulgas vastavalt sellistesse halduskokkulepetesse lisatavatele sätetele nagu vastastikuse mõistmise memorandum, millega nähakse ette tõhusad ja kohtulikult kaitstavad õigused andmesubjektidele. Euroopa Andmekaitseinspektori luba tuleks saada siis, kui kaitsemeetmed on sätestatud õiguslikult mittesiduvates halduskokkulepetes.

(66)

Vastutavale töötlejale või volitatud töötlejale antud võimalus kasutada komisjoni või Euroopa Andmekaitseinspektori kehtestatud standardseid andmekaitseklausleid ei tohiks takistada vastutavat töötlejat või volitatud töötlejat lisamast standardsed andmekaitseklauslid laiemasse lepingusse, nagu näiteks kahe volitatud töötleja vahelisse lepingusse, ega lisamast muid klausleid või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe otseselt ega kaudselt vastuollu komisjoni või Euroopa Andmekaitseinspektori kehtestatud lepingu tüüptingimustega ega piira andmesubjektide põhiõigusi ja -vabadusi. Vastutavaid töötlejaid ja volitatud töötlejaid tuleks ergutada nägema ette täiendavaid kaitsemeetmeid lepinguliste kohustuste abil, mis täiendavad standardseid andmekaitseklausleid.

(67)

Mõned kolmandad riigid võtavad vastu seadused, määrused ja muud õigusaktid, millega vahetult reguleeritakse liidu institutsioonide ja asutuste töötlustoiminguid. Need võivad hõlmata kolmanda riigi kohtu või haldusasutuse otsuseid, millega nõutakse vastutavalt töötlejalt või volitatud töötlejalt isikuandmete edastamist või avaldamist ning mis ei põhine kolmanda riigi ja liidu vahel kehtival rahvusvahelisel lepingul. Nende seaduste, määruste ja muude õigusaktide kohaldamine väljaspool asjaomase kolmanda riigi territooriumi võib olla vastuolus rahvusvahelise õigusega ning takistada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taseme saavutamist. Edastamine peaks olema lubatud ainult juhul, kui on täidetud käesoleva määruse tingimused kolmandatesse riikidesse edastamise kohta. Nii võib see olla muu hulgas siis, kui avaldamine on vajalik kaaluka avaliku huvi tõttu, mis on sätestatud liidu õiguses.

(68)

Andmete edastamine peaks konkreetsetes olukordades olema võimalik teatavatel asjaoludel, kui andmesubjekt on andnud oma selgesõnalise nõusoleku, kui edastamine on juhtumipõhine ja vajalik seoses lepingu või õigusliku nõudega, sõltumata sellest, kas tegemist on kohtumenetluse, haldusmenetluse või mõne kohtuvälise menetluse, sealhulgas reguleerivate asutuste vahelise menetlusega. Andmete edastamine peaks olema võimalik ka juhul, kui see on vajalik seoses liidu õiguses sätestatud kaaluka avaliku huviga või kui edastatakse andmeid, mis pärinevaid seadusega loodud registrist, mis on mõeldud kasutamiseks avalikkusele või kõigile õigustatud huviga isikutele. Viimati nimetatud juhul ei tohiks edastada kõiki isikuandmeid ega registris sisalduvate andmete kõiki liike, kui see ei ole liidu õigusega lubatud, ja juhul, kui register on mõeldud kasutamiseks õigustatud huviga isikutele, tuleks andmed edastada ainult kõnealuste isikute taotluse korral või juhul, kui nemad on andmete vastuvõtjad, võttes täielikult arvesse andmesubjekti huve ja põhiõigusi.

(69)

Nimetatud erandeid tuleks kohaldada eelkõige sellise andmeedastuse puhul, mis on nõutav ja vajalik avalikust huvist tulenevatel kaalukatel põhjustel, näiteks andmete rahvusvahelisel vahetamisel liidu institutsioonide ja asutuste ning konkurentsiasutuste, maksu- ja tolliasutuste, finantsjärelevalveasutuste ja sotsiaalkindlustuse või rahvatervise eest vastutavate asutuste vahel, näiteks nakkushaiguste suhtes kontaktsete isikute väljaselgitamisel või spordis dopingu kasutamise vähendamiseks ja/või kaotamiseks. Isikuandmete edastamist tuleks pidada seaduslikuks ka siis, kui see on vajalik selliste huvide kaitsmiseks, mis on olulised andmesubjekti või muu isiku eluliste huvide, sealhulgas füüsilise puutumatuse või elu kaitsmiseks, kui andmesubjekt ei ole võimeline nõusolekut andma. Kaitse piisavuse otsuse puudumise korral võib avalikust huvist tulenevatel kaalukatel põhjustel liidu õigusega selgesõnaliselt seada piiranguid konkreetset liiki isikuandmete edastamisele kolmandasse riiki või rahvusvahelisele organisatsioonile. Nõusoleku andmiseks füüsiliselt või õiguslikult võimetu andmesubjekti isikuandmete mis tahes edastamiseks rahvusvahelisele humanitaarorganisatsioonile, eesmärgiga täita Genfi konventsioonide kohast ülesannet või austada relvastatud konfliktides kohaldatavat rahvusvahelist humanitaarõigust võiks lugeda vajalikuks avalikust huvist tuleneval kaalukal põhjusel või põhjusel, et see on andmesubjekti jaoks eluliselt tähtis.

(70)

Igal juhul, kui komisjon ei ole teinud otsust kolmanda riigi andmekaitse taseme piisavuse kohta, peaks vastutav töötleja või volitatud töötleja kasutama lahendusi, millega antakse andmesubjektidele neid puudutava töötlemise korral liidus kohtulikult kaitstavad ja tõhusad õigused pärast selliste andmete edastamist, nii et neil on jätkuvalt samad põhiõigused ja nende suhtes kohaldatakse samu kaitsemeetmeid.

(71)

Isikuandmete liikumine üle piiride liidust välja võib raskendada füüsiliste isikute võimalusi kasutada õigust andmete kaitsele, eelkõige kaitsta end sellise teabe ebaseadusliku kasutamise ja avaldamise eest. Samal ajal võivad riiklikud järelevalveasutused ja Euroopa Andmekaitseinspektor mitte suuta käsitleda kaebusi ega teostada uurimist väljapoole nende pädevuse piire jäävates küsimustes. Nende piiriülese koostöö püüdlusi võivad takistada ka tõkestamiseks ja kaitsemeetmete kehtestamiseks ebapiisavad volitused, ebaühtlane õiguskord ja praktilised tõkked, nagu piiratud vahendid. Seepärast tuleks tihendada Euroopa Andmekaitseinspektori riiklike järelevalveasutuste koostööd, et aidata neil teiste riikide järelevalveasutustega teavet vahetada.

(72)

Määruse (EÜ) nr 45/2001 alusel Euroopa Andmekaitseinspektori ametikoha loomine, kes on volitatud täiesti sõltumatult oma ülesandeid täitma ja volitusi kasutama, on oluline tegur füüsiliste isikute kaitsmisel seoses nende isikuandmete töötlemisega. Käesoleva määruse eesmärk peaks olema Euroopa Andmekaitseinspektori tegevuse tõhustamine ning selle rolli ja sõltumatuse selgitamine. Euroopa Andmekaitseinspektor peaks olema isik, kelle sõltumatus on väljaspool kahtlust ning kelle puhul tunnistatakse Euroopa Andmekaitseinspektori ülesannete täitmiseks vajalike kogemuste ja oskuste olemasolu, näiteks seetõttu, et ta on kuulunud määruse (EL) 2016/679 artikli 51 alusel asutatud järelevalveasutusse.

(73)

Selleks et tagada kogu liidus andmekaitsenormide ühtlane järelevalve ja täitmine, peaks Euroopa Andmekaitseinspektoril olema samad ülesanded ja kehtivad volitused kui riiklikel järelevalveasutustel, sealhulgas uurimis-, parandus- ja karistuste kehtestamise volitused ning loaandmis- ja nõuandvad volitused, eelkõige füüsiliste isikute esitatud kaebuste puhul, ning õigus juhtida Euroopa Liidu Kohtu tähelepanu käesoleva määruse rikkumistele ning volitused osaleda kohtumenetlustes kooskõlas esmase õiguse sätetega. Need volitused peaksid hõlmama ka õigust kehtestada ajutine või alaline töötlemispiirang, sealhulgas töötlemiskeeld. Vältimaks liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele, keda meetmed kahjustada võivad, peaks iga Euroopa Andmekaitseinspektori meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid ning austama isiku õigust ärakuulamisele, enne kui meede võetakse. Euroopa Andmekaitseinspektori õiguslikult siduv meede peaks olema esitatud kirjalikult, olema selge ja ühemõtteline, selles peaks olema märgitud meetme esitamise kuupäev ning Euroopa Andmekaitseinspektori allkiri, selles tuleks esitada meetme põhjused ning osutada õigusele tõhusale õiguskaitsevahendile.

(74)

Euroopa Andmekaitseinspektori järelevalvepädevus ei peaks hõlmama isikuandmete töötlemist Euroopa Kohtu poolt, kui see tegutseb õigusemõistjana, et kaitsta kohtu sõltumatust kohtumenetlusega seotud ülesannete täitmisel, sealhulgas otsusetegemisel. Selliste töötlemistoimingute jaoks peaks kohus kehtestama sõltumatu järelevalve kooskõlas harta artikli 8 lõikega 3, näiteks sisemehhanismi kaudu.

(75)

Euroopa Andmekaitseinspektori otsused andmetöötlustoimingutega seotud erandite, tagatiste, lubade ning tingimuste kohta, nagu need on määratletud käesolevas määruses, tuleks avaldada tegevusaruandes. Iga-aastasest tegevusaruandest eraldi võib Euroopa Andmekaitseinspektor avaldada aruandeid konkreetsete küsimuste kohta.

(76)

Euroopa Andmekaitseinspektor peaks järgima Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 1049/2001 (9).

(77)

Riiklikud järelevalveasutused jälgivad määruse (EL) 2016/679 kohaldamist ja aitavad kaasa selle ühtsele kohaldamisele kogu liidus, et kaitsta füüsilisi isikuid nende isikuandmete töötlemisel ning soodustada isikuandmete vaba liikumist siseturul. Selleks, et tõhustada liikmesriikides kohaldatavate andmekaitsenormide ning liidu institutsioonide ja asutuste suhtes kohaldatavate andmekaitsenormide kohaldamise järjepidevust, peaks Euroopa Andmekaitseinspektor tegema riiklike järelevalveasutustega tõhusat koostööd.

(78)

Teatavatel juhtudel nähakse liidu õiguses ette koordineeritud järelevalve mudel, mida teostavad Euroopa Andmekaitseinspektor ja riiklikud järelevalveasutused üheskoos. Lisaks sellele on Euroopa Andmekaitseinspektor Europoli järelevalveasutuseks ja riiklike järelevalveasutustega on nõuandva funktsiooniga koostöönõukogu kaudu loodud spetsiifiline koostöömudel. Selleks, et parandada oluliste andmekaitsenormide tõhusat järelevalvet ja täitmist, tuleks liidus kasutusele võtta koordineeritud järelevalve ühtne ja sidus mudel. Seepärast peaks komisjon, kui see on asjakohane, esitama seadusandlikud ettepanekud, millega muuta koordineeritud järelevalvet käsitlevaid liidu õigusakte, et need käesolevas määruses sätestatud koordineeritud järelevalve mudeliga kooskõlla viia. Euroopa Andmekaitsenõukogu peaks olema ainsaks platvormiks, millega tagatakse tõhus koordineeritud järelevalve kõigis valdkondades.

(79)

Igal andmesubjektil peaks olema õigus esitada kaebus Euroopa Andmekaitseinspektorile ja õigus tõhusale õiguskaitsevahendile Euroopa Liidu Kohtus kooskõlas aluslepingutega, kui andmesubjekt on seisukohal, et tema käesoleva määruse kohaseid õigusi on rikutud või kui Euroopa Andmekaitseinspektor ei reageeri kaebusele, lükkab kaebuse osaliselt või täielikult tagasi või ei võta meetmeid juhul, kui need on andmesubjekti õiguste kaitsmiseks vajalikud. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ja selle tulemust peaks olema võimalik kohtulikult kontrollida. Euroopa Andmekaitseinspektor peaks teavitama andmesubjekti kaebuse menetlemise käigust ja tulemusest mõistliku aja jooksul. Kui juhtum vajab täiendavat kooskõlastamist riikliku järelevalveasutusega, tuleks sellest teatada andmesubjektile. Euroopa Andmekaitseinspektor peaks võtma meetmed kaebuste esitamise lihtsustamiseks, koostades näiteks kaebuste esitamiseks ka elektrooniliselt täidetava vormi, ilma muude sidevahendite kasutamist välistamata.

(80)

Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, peaks aluslepingutes sätestatud tingimuste alusel olema õigus saada vastutavalt töötlejalt või volitatud töötlejalt tekitatud kahju eest hüvitist.

(81)

Euroopa Andmekaitseinspektori rolli tugevdamiseks ja käesoleva määruse täitmise tõhusaks tagamiseks peaks Euroopa Andmekaitseinspektor omama viimase abinõuna volitusi määrata trahve. Trahvid peaksid olema suunatud üksikisikute asemel liidu institutsioonide või organite karistamisele käesoleva määruse sätete täitmata jätmise eest, et ära hoida käesoleva määruse edasisi rikkumisi ning edendada liidu institutsioonides ja asutustes isikuandmete kaitsmise tava. Käesolevas määruses tuleks loetleda rikkumised, mille korral kohaldatakse haldustrahve ja sätestada trahvide ülemmäär ja nende määramise kriteeriumid. Euroopa Andmekaitseinspektor peaks iga juhtumi puhul eraldi kindlaks määrama trahvisumma, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades silmas rikkumise laadi, raskusastet, ajalist kestvust, tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Liidu institutsioonile või organile trahvi määrates peaks Euroopa Andmekaitseinspektor arvestama trahvisumma proportsionaalsust. Liidu institutsioonidele ja asutustele trahvide määramise menetlus peaks järgima liidu õiguse üldpõhimõtteid, nagu neid on tõlgendanud Euroopa Kohus.

(82)

Kui andmesubjekt leiab, et tema käesoleva määruse kohaseid õigusi on rikutud, peaks tal olema õigus volitada mittetulunduslikku laadi asutust, organisatsiooni või ühingut, mis on loodud kooskõlas liidu või liikmesriigi õigusega, mille põhikirjajärgsed eesmärgid on avalikes huvides ja mis tegutseb isikuandmekaitse valdkonnas, esitama tema nimel Euroopa Andmekaitseinspektorile kaebust. Sellisel asutusel, organisatsioonil või ühingul peaks olema võimalus kasutada andmesubjektide nimel õigust õiguskaitsevahendile või kasutada andmesubjektide nimel õigust saada hüvitist.

(83)

Liidu ametniku ja teenistuja suhtes, kes ei täida käesolevast määrusest tulenevaid kohustusi, tuleks kohaldada distsiplinaarmenetlust või muid meetmeid nõukogu määrusega (EMÜ, Euratom, ESTÜ) nr 259/68 (10) kehtestatud Euroopa Liidu ametnike personalieeskirjades ja liidu muude teenistujate teenistustingimustes („personalieeskirjad“) ette nähtud korras.

(84)

Selleks et tagada käesoleva määruse ühetaolised rakendamistingimused, tuleks komisjonile anda rakendusvolitused. Neid volitusi tuleks teostada kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 182/2011 (11). Kontrollmenetlust tuleks kasutada vastutavate töötlejate ja volitatud töötlejate vaheliste ning volitatud töötlejate omavaheliste lepingute tüüptingimuste kehtestamiseks, selliste töötlemistoimingute loetelu kehtestamiseks, mille puhul peavad avalikes huvides oleva ülesande täitmiseks vajalikke isikuandmeid töötlevad vastutavad töötlejad eelnevalt konsulteerima Euroopa Andmekaitseinspektoriga, ning selliste lepingu tüüptingimuste kehtestamiseks, milles sätestatakse rahvusvaheliste edastamiste piisavad kaitsemeetmed.

(85)

Konfidentsiaalne teave, mida liidu ja riiklikud statistikaasutused koguvad Euroopa ja riikliku ametliku statistika koostamiseks, peaks olema kaitstud. Euroopa statistikat tuleks arendada, koostada ja levitada kooskõlas statistikaalaste põhimõtetega, mis on sätestatud ELi toimimise lepingu artikli 338 lõikes 2. Euroopa statistika statistiliste andmete konfidentsiaalsust on täiendavalt täpsustatud Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 223/2009 (12).

(86)

Määrus (EÜ) nr 45/2001 ning Euroopa Parlamendi, nõukogu ja komisjoni otsus nr 1247/2002/EÜ (13) tuleks kehtetuks tunnistada. Viiteid kehtetuks tunnistatud määrusele ja otsusele tuleks käsitada viidetena käesolevale määrusele.

(87)

Sõltumatu järelevalveasutuse liikmete täieliku sõltumatuse tagamiseks ei tohiks käesolev määrus Euroopa Andmekaitseinspektori ja inspektori asetäitja praegust ametiaega mõjutada. Praegune inspektori asetäitja peaks jääma ametisse ametiaja lõpuni, välja arvatud juhul, kui on täidetud käesolevas määruses sätestatud Euroopa Andmekaitseinspektori ametiaja enneaegse lõpetamise tingimused. Käesoleva määruse asjaomaseid sätteid tuleks tema ametiaja lõpuni kohaldada ka inspektori asetäitja suhtes.

(88)

Vastavalt proportsionaalsuse põhimõttele on vajalik ja asjakohane põhieesmärgi – kogu liidus füüsiliste isikute kaitse võrdväärse taseme ja isikuandmete vaba liikumise tagamineseoses isikuandmete töötlemisega – saavutamiseks kehtestada õigusnormid, mis käsitlevad isikuandmete töötlemist liidu institutsioonides ja organites. ELi lepingu artikli 5 lõike 4 kohaselt ei lähe käesolev määrus seatud eesmärkide saavutamiseks vajalikust kaugemale.

(89)

Vastavalt määruse (EÜ) nr 45/2001 artikli 28 lõikele 2 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 15. märtsil 2017. aastal (14),

ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE:

I PEATÜKK

ÜLDSÄTTED

Artikkel 1

Reguleerimisese ja eesmärgid

1.   Käesolevas määruses sätestatakse õigusnormid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides ja organites ning õigusnormid, mis käsitlevad isikuandmete vaba liikumist nende vahel või edastamist teistele liidus asuvatele vastuvõtjatele.

2.   Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele.

3.   Euroopa Andmekaitseinspektor jälgib käesoleva määruse sätete kohaldamist kõigi liidu institutsioonides ja organites teostatavate töötlustoimingute suhtes.

Artikkel 2

Kohaldamisala

1.   Käesolevat määrust kohaldatakse isikuandmete töötlemise suhtes kõikides liidu institutsioonides ja organites.

2.   Kasutatavate isikuandmete töötlemisel liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, kohaldatakse üksnes käesoleva määruse artiklit 3 ja IX peatükki.

3.   Kuni Euroopa Parlamendi ja nõukogu määruse (EL) 2016/794 (15) ning nõukogu määruse (EL) 2017/1939 (16) kohandamiseni vastavalt käesoleva määruse artiklile 98 ei kohaldata käesolevat määrust Europoli ning Euroopa prokuratuuri poolt kasutatavate isikuandmete töötlemise suhtes.

4.   Käesolevat määrust ei kohaldata isikuandmete töötlemisel ELi lepingu artikli 42 lõikes 1 ning artiklites 43 ja 44 osutatud missioonide poolt.

5.   Käesolevat määrust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.

Artikkel 3

Mõisted

Käesolevas määruses kasutatakse järgmisi mõisteid:

1)

„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekt“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;

2)

„kasutatavad isikuandmed“ – kõik isikuandmed, mida ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse jäävaid tegevusi teostavad liidu organid ja asutused töötlevad nende organite ja asutuste asutamist käsitlevates õigusaktides ette nähtud eesmärkide saavutamiseks;

3)

„isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, näiteks kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;

4)

„isikuandmete töötlemise piiramine“ – säilitatud isikuandmete märgistamine eesmärgiga piirata nende edaspidist töötlemist;

5)

„profiilianalüüs“ – igasugune isikuandmete automatiseeritud töötlemine, mis hõlmab isikuandmete kasutamist füüsilise isikuga seotud teatavate isiklike aspektide hindamiseks, eelkõige selliste aspektide analüüsimiseks või prognoosimiseks, mis on seotud asjaomase füüsilise isiku töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste, huvide, usaldusväärsuse, käitumise, asukoha või liikumisega;

6)

„pseudonümiseerimine“ – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid;

7)

„andmete kogum“ – igasugune korrastatud isikuandmete kogum, millest võib andmeid leida teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on funktsionaalsel või geograafilisel põhimõttel tsentraliseeritud, detsentraliseeritud või hajutatud;

8)

„vastutav töötleja“ – liidu institutsioon või organ, peadirektoraat või muu organisatsiooniline üksus, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud teatava liidu õigusaktiga, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu õiguses;

9)

„vastutav töötleja, kes ei ole liidu institutsioon või organ“ – vastutav töötleja määruse (EL) 2016/679 artikli 4 punkti 7 ja vastutav töötleja direktiivi (EL) 2016/680 artikli 3 punkti 8 tähenduses;

10)

„liidu institutsioonid ja organid“ – liidu institutsioonid, organid ja asutused, mis on loodud ELi lepingu, ELi toimimise lepingu või Euratomi asutamislepinguga või nende lepingute alusel;

11)

„pädev asutus“ – liikmesriigi avaliku sektori asutus, kes on pädev kuritegusid tõkestama, uurima, avastama või nende eest vastutusele võtma või kriminaalkaristusi täitmisele pöörama, sealhulgas kaitsma avalikku julgeolekut ähvardavate ohtude eest ja neid ohte ennetama;

12)

„volitatud töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel;

13)

„vastuvõtja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjateks ei peeta siiski avaliku sektori asutusi, kes võivad kooskõlas liidu või liikmesriigi õigusega saada isikuandmeid seoses konkreetse päringuga; nimetatud avaliku sektori asutused töötlevad kõnealuseid isikuandmeid kooskõlas asjaomaste andmekaitsenormidega vastavalt töötlemise eesmärkidele;

14)

„kolmas isik“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või organ, välja arvatud andmesubjekt, vastutav töötleja, volitatud töötleja ja isikud, kes võivad isikuandmeid töödelda vastutava töötleja või volitatud töötleja otseses alluvuses;

15)

„andmesubjekti nõusolek“ – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega;

16)

„isikuandmetega seotud rikkumine“ – turvanõuete rikkumine, mis põhjustab edastatavate, säilitatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu;

17)

„geneetilised andmed“ – isikuandmed, mis on seotud asjaomase füüsilise isiku päritud või omandatud geneetiliste omadustega, mis annavad ainulaadset teavet kõnealuse füüsilise isiku füsioloogia ja tervise kohta ning mis tulenevad eelkõige asjaomase füüsilise isiku bioloogilise proovi analüüsist saadud isikuandmetest;

18)

„biomeetrilised andmed“ – konkreetse tehnilise töötlemise abil saadavad isikuandmed isiku füüsiliste, füsioloogiliste ja käitumuslike omaduste kohta, mis võimaldavad kõnealust füüsilist isikut kordumatult tuvastada või kinnitavad selle füüsilise isiku tuvastamist, näiteks näokujutis ja sõrmejälgede andmed;

19)

„terviseandmed“ – füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi kohta;

20)

„infoühiskonna teenused“ – Euroopa Parlamendi ja nõukogu direktiivi (EL) 2015/1535 (17) artikli 1 lõike 1 punktis b määratletud teenused;

21)

„rahvusvaheline organisatsioon“ – organisatsioon ja sellele alluvad asutused, mida reguleerib rahvusvaheline avalik õigus, või muu asutus, mis on loodud kahe või enama riigi vahelise lepinguga või selle alusel;

22)

„riiklik järelevalveasutus“ – liikmesriigis määruse (EL) 2016/679 artikli 51 või direktiivi (EL) 2016/680 artikli 41 kohaselt asutatud sõltumatu avaliku sektori asutus;

23)

„kasutaja“ – füüsiline isik, kes kasutab liidu institutsiooni või organi kontrolli all toimivat võrgustikku või lõppseadet;

24)

„kataloog“ – kasutajate üldkasutatav kataloog, liidu institutsioonis või organis kasutatav kasutajate sisekataloog või liidu institutsioonide ja organite vaheline kataloog kas trükituna või elektroonilisel kujul;

25)

„elektroonilise side võrk“ – ülekandesüsteem, mis võib, aga ei pruugi põhineda püsitaristul või kesksel juhtimisel, ja vajaduse korral lülitus- ja marsruutimisseadmed ning muud vahendid, sealhulgas võrguelemendid, mis ei ole aktiivsed, ning mis võimaldab edastada signaale kaabli kaudu, raadio teel, optiliselt või muude elektromagnetiliste vahendite abil, sealhulgas satelliitvõrgud, paikse (ahel- ja pakettkommuteeritud, k.a internet) ja liikuva maaside võrgud, elektrikaabelsüsteemid, kui neid kasutatakse signaalide edastamiseks, raadio- ja teleringhäälinguvõrgud ja kaabeltelevisioonivõrgud, olenemata sellest, millist teavet nende kaudu edastatakse;

26)

„lõppseade“ – komisjoni direktiivi 2008/63/EÜ (18) artikli 1 punktis 1 määratletud lõppseade.

II PEATÜKK

ÜLDPÕHIMÕTTED

Artikkel 4

Isikuandmete töötlemise põhimõtted

1.   Isikuandmete töötlemisel tagatakse, et:

a)

töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);

b)

isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; isikuandmete edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil ei loeta artikli 13 kohaselt algsete eesmärkidega vastuolus olevaks („eesmärgi piirang“);

c)

isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);

d)

isikuandmed on õiged ja vajaduse korral ajakohastatud; võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutataks või parandataks viivitamata („õigsus“);

e)

isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; isikuandmeid võib kauem säilitada juhul, kui isikuandmeid töödeldakse üksnes avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil vastavalt artiklile 13, eeldusel et andmesubjektide õiguste ja vabaduste kaitseks rakendatakse käesoleva määrusega ettenähtud asjakohaseid tehnilisi ja korralduslikke meetmeid („säilitamise piirang“);

f)

isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“).

2.   Vastutav töötleja vastutab lõike 1 täitmise eest ja peab olema võimeline selle täitmist tõendama („vastutus“).

Artikkel 5

Isikuandmete töötlemise seaduslikkus

1.   Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a)

isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või liidu institutsiooni või organi avaliku võimu teostamiseks;

b)

isikuandmete töötlemine on vajalik vastutava töötleja õiguslikult siduva kohustuse täitmiseks;

c)

isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

d)

andmesubjekt on andnud nõusoleku oma isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil;

e)

isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

2.   Lõike 1 punktides a ja b osutatud töötlemise alus sätestatakse liidu õiguses.

Artikkel 6

Andmete muul kooskõlas oleval eesmärgil töötlemine

Kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 25 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse:

a)

seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;

b)

isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;

c)

isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 10 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 11;

d)

kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;

e)

asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.

Artikkel 7

Nõusoleku andmise tingimused

1.   Kui töötlemine põhineb nõusolekul, peab vastutav töötleja olema võimeline tõendama, et andmesubjekt on nõustunud oma isikuandmete töötlemisega.

2.   Kui andmesubjekt annab nõusoleku kirjaliku kinnitusena, mis puudutab ka muid küsimusi, esitatakse nõusoleku taotlus viisil, mis on muudest küsimustest selgelt eristatav, ning arusaadaval ja lihtsasti kättesaadaval kujul, kasutades selget ja lihtsat keelt. Sellise kinnituse mis tahes osa, mille puhul on tegemist käesoleva määruse rikkumisega, ei ole siduv.

3.   Andmesubjektil on õigus oma nõusolek igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Andmesubjekti teavitatakse sellest enne nõusoleku andmist. Nõusoleku tagasivõtmine on sama lihtne kui selle andmine.

4.   Selle hindamisel, kas nõusolek anti vabatahtlikult, tuleb võimalikult suurel määral võtta arvesse asjaolu, kas lepingu täitmise, sealhulgas teenuse osutamise tingimuseks on muu hulgas seatud nõusoleku andmine isikuandmete töötlemiseks, mis ei ole vajalik kõnealuse lepingu täitmiseks.

Artikkel 8

Tingimused, mida kohaldatakse lapse nõusolekule seoses infoühiskonna teenustega

1.   Kui kohaldatakse artikli 5 lõike 1 punkti d seoses infoühiskonna teenuste pakkumisega otse lapsele, on lapse isikuandmete töötlemine seaduslik ainult juhul, kui laps on vähemalt 13-aastane. Kui laps on noorem kui 13-aastane, on selline isikuandmete töötlemine seaduslik üksnes sellisel juhul ja sellises ulatuses, kui selleks on sellise nõusoleku või loa andnud isik, kellel on lapse suhtes vanemlik vastutus.

2.   Vastutav töötleja teeb kättesaadavat tehnoloogiat arvesse võttes mõistlikud jõupingutused selleks, et kontrollida sellistel juhtudel, et nõusoleku või loa on andnud isik, kellel on lapse suhtes vanemlik vastutus.

3.   Lõige 1 ei mõjuta liikmesriikide üldist lepinguõigust, näiteks õigusnorme, mis käsitlevad lapsega seotud lepingu kehtivust, koostamist ja mõju.

Artikkel 9

Isikuandmete edastamine liidus asuvale vastuvõtjale, kes ei ole liidu institutsioon ega organ

1.   Ilma et see piiraks artiklite 4–6 ja 10 kohaldamist, edastatakse isikuandmeid ainult liidus asuvale vastuvõtjale, kes ei ole liidu institutsioon või organ, kui:

a)

vastuvõtja kinnitab, et andmed on vajalikud avalikes huvides oleva ülesande täitmiseks või vastuvõtja avaliku võimu teostamiseks, või

b)

vastuvõtja kinnitab, et andmete edastamine on vajalik avalikes huvides oleval eesmärgil ning juhul, kui on alust karta andmesubjekti õigustatud huvide kahjustamist, kinnitab vastuvõtja, olles eelnevalt erinevaid vastandlikke huve tõendatult kaalunud, et edastamine on kõnealusel spetsiifilisel eesmärgil proportsionaalne.

2.   Juhul kui vastutav töötleja algatab käesoleva artikli kohase edastamise, tõendab ta, et isikuandmete edastamine on vajalik ja proportsionaalne edastamise eesmärkidega, kohaldades lõike 1 punktis a või b sätestatud kriteeriume.

3.   Liidu institutsioonid ja organid ühitavad õiguse isikuandmete kaitsele üldsuse õigusega pääseda juurde dokumentidele vastavalt liidu õigusele.

Artikkel 10

Isikuandmete eriliikide töötlemine

1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

a)

andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu õiguse kohaselt ei saa andmesubjekt lõikes 1 osutatud keeldu tühistada;

b)

töötlemine on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusest tulenevate kohustuste ja eriõigustega niivõrd, kuivõrd see on lubatud liidu õigusega, millega kehtestatakse asjakohased kaitsemeetmed andmesubjekti põhiõiguste ja huvide kaitseks;

c)

töötlemine on vajalik selleks, et kaitsta andmesubjekti või teise isiku elulisi huve, kui andmesubjekt on füüsiliselt või õiguslikult võimetu oma nõusolekut andma;

d)

töötlemine toimub poliitilise, filosoofilise, religioosse või ametiühingulise suunitlusega liidu institutsiooni või organiga integreeritud mittetulundusühingu õiguspärase tegevuse raames ja vajalikke kaitsemeetmeid kohaldades, ning tingimusel, et töötlemine käsitleb ainult asjaomase ühingu liikmeid või endisi liikmeid või isikuid, kes on kõnealuse ühinguga püsivalt seotud tema tegevuse eesmärkide tõttu, ning andmeid ei avalikustata väljaspool seda ühingut ilma andmesubjekti nõusolekuta;

e)

töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud;

f)

töötlemine on vajalik õigusnõude koostamiseks, esitamiseks või kaitsmiseks või juhul, kui Euroopa Kohus täidab oma õigust mõistvat funktsiooni;

g)

töötlemine on vajalik olulise avaliku huviga seotud põhjustel liidu õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks;

h)

töötlemine on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks või tervishoiu- või sotsiaalhoolekandesüsteemi ja -teenuste korraldamiseks, tuginedes liidu õigusele või tervishoiutöötajaga sõlmitud lepingule ja eeldusel, et lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud;

i)

töötlemine on vajalik rahvatervise valdkonna avalikes huvides, nagu kaitse suure piiriülese terviseohu korral või kõrgete kvaliteedi- ja ohutusnõuete tagamine tervishoiu ning ravimite või meditsiiniseadmete puhul, tuginedes liidu õigusele, millega nähakse ette sobivad ja konkreetsed meetmed andmesubjekti õiguste ja vabaduste kaitseks, eelkõige ametisaladuse hoidmine, või

j)

töötlemine on vajalik avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil, tuginedes liidu õigusele, ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ning tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks.

3.   Lõikes 1 osutatud isikuandmeid võib töödelda lõike 2 punktis h osutatud eesmärkidel, kui neid andmeid töötleb oma kutsetegevuse käigus isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike organite kehtestatud õigusnormide alusel ametisaladuse hoidmise kohustus või mõni muu isik, kellel on samuti liidu või liikmesriigi õiguse või pädevate riiklike organite kehtestatud õigusnormide alusel saladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel.

Artikkel 11

Süüteoasjades süüdimõistvate kohtuotsuste ja kuritegudega seotud isikuandmete töötlemine

Süüteoasjades süüdimõistvate kohtuotsuste ja süütegude või nendega seotud turvameetmetega seotud isikuandmeid töödeldakse artikli 5 lõike 1 alusel ainult ametiasutuse järelevalve all või siis, kui töötlemine on lubatud liidu õigusega, milles on sätestatud asjakohased kaitsemeetmed andmesubjektide õiguste ja vabaduste kaitseks.

Artikkel 12

Töötlemine, mille käigus ei nõuta isiku tuvastamist

1.   Kui vastutav töötleja töötleb isikuandmeid eesmärkidel, mille puhul ei nõuta või enam ei nõuta andmesubjekti tuvastamist vastutava töötleja poolt, ei ole vastutav töötleja kohustatud säilitama, hankima ega töötlema lisateavet, et tuvastada andmesubjekt ainult käesoleva määruse järgimiseks.

2.   Kui vastutav töötleja on käesolevas artikli lõikes 1 osutatud juhtudel võimeline tõendama, et ta ei suuda andmesubjekti tuvastada, teavitab ta sellest võimaluse korral andmesubjekti. Sellistel juhtudel ei kohaldata artikleid 17–22, välja arvatud juhul, kui andmesubjekt esitab enda tuvastamist võimaldavat lisateavet, et kasutada nende artiklite kohaseid õigusi.

Artikkel 13

Kaitsemeetmed seoses isikuandmete töötlemisega avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil

Isikuandmete töötlemise suhtes avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil kohaldatakse asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitseks kooskõlas käesoleva määrusega. Nende kaitsemeetmetega tagatakse tehniliste ja korralduslike meetmete olemasolu, eelkõige selleks, et tagada võimalikult väheste andmete kogumise põhimõtte järgimine. Need meetmed võivad hõlmata pseudonümiseerimist, kui kõnealuseid eesmärke on võimalik saavutada sellisel viisil. Kui kõnealuseid eesmärke saab täita täiendava töötlemisega, mis ei võimalda või ei võimalda enam andmesubjektide tuvastamist, täidetakse need eesmärgid sel viisil.

III PEATÜKK

ANDMESUBJEKTI ÕIGUSED

1. JAGU

Läbipaistvus ja sellega seotud kord

Artikkel 14

Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord

1.   Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 15 ja 16 osutatud teave ning teavitada teda artiklite 17–24 ja 35 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.

2.   Vastutav töötleja aitab kaasa artiklite 17–24 kohaste andmesubjekti õiguste kasutamisele. Artikli 12 lõikes 2 osutatud juhtudel ei keeldu vastutav töötleja meetmete võtmisest andmesubjekti taotlusel tema artiklite 17–24 kohaste õiguste kasutamiseks, välja arvatud juhul, kui vastutav töötleja tõendab, et ta ei suuda andmesubjekti tuvastada.

3.   Vastutav töötleja esitab andmesubjektile tarbetu viivituseta, kuid mitte hiljem kui ühe kuu jooksul pärast taotluse saamist teabe artiklite 17–24 kohase taotluse alusel võetud meetmete kohta. Seda ajavahemikku võib vajaduse korral pikendada kahe kuu võrra, võttes arvesse taotluste keerukust ja hulka. Vastutav töötleja teavitab andmesubjekti igast taolisest pikendamisest ja viivituse põhjustest ühe kuu jooksul alates taotluse saamisest. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave võimaluse korral elektrooniliselt, kui andmesubjekt ei taotle teisiti.

4.   Kui vastutav töötleja ei võta meetmeid vastavalt andmesubjekti taotlusele, teatab ta andmesubjektile viivituseta ja hiljemalt ühe kuu jooksul alates taotluse saamisest meetmete võtmata jätmise põhjused ning selgitab talle võimalust esitada Euroopa Andmekaitseinspektorile kaebus ja kasutada õiguskaitsevahendeid.

5.   Artiklite 15 ja 16 kohase teabe esitamine ning artiklite 17–24 ja 35 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja keelduda taotletud toimingu tegemisest. Vastutaval töötlejal lasub kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.

6.   Kui vastutaval töötlejal on põhjendatud kahtlused artiklites 17–23 osutatud taotlust esitava füüsilise isiku identiteedi suhtes, võib vastutav töötleja nõuda andmesubjekti isiku tuvastamiseks vajaliku täiendava teabe esitamist, piiramata seejuures artikli 12 kohaldamist.

7.   Andmesubjektidele artiklite 15 ja 16 kohaselt edastatava teabe võib anda koos standardsete ikoonide esitamisega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, on need masinloetavad.

8.   Kui komisjon võtab määruse (EL) 2016/679 artikli 12 lõike 8 kohaselt vastu delegeeritud õigusaktid, millega määratakse kindlaks ikoonidega esitatav teave ja standardsete ikoonide esitamise kord, edastavad liidu institutsioonid ja organid võimaluse korral käesoleva määruse artiklite 15 ja 16 kohaselt teabe koos standardsete ikoonidega.

2. JAGU

Teave ja juurdepääs isikuandmetele

Artikkel 15

Teave, mis tuleb esitada juhul, kui isikuandmed on kogutud andmesubjektilt

1.   Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:

a)

vastutava töötleja nimi ja kontaktandmed;

b)

andmekaitseametniku kontaktandmed;

c)

isikuandmete töötlemise eesmärk ja õiguslik alus;

d)

asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta;

e)

asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva komisjoni otsuse olemasolu või puudumise kohta või artiklis 48 osutatud edastamise korral viide asjakohastele või sobivatele kaitsemeetmetele ja nende koopia saamise viisile või kohale, kus need on tehtud kättesaadavaks.

2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja isikuandmete saamise ajal andmesubjektile järgmise täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks:

a)

isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;

b)

teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist või, kui see on kohaldav, teave õiguse kohta esitada vastuväide isikuandmete töötlemisele või teave isikuandmete ülekandmise õiguse kohta;

c)

kui isikuandmete töötlemine põhineb artikli 5 lõike 1 punktil d või artikli 10 lõike 2 punktil a, siis teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust;

d)

teave õiguse kohta esitada kaebus Euroopa Andmekaitseinspektorile;

e)

teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev kohustus või lepingu sõlmimiseks vajalik nõue, samuti selle kohta, kas andmesubjekt on kohustatud kõnealuseid isikuandmeid esitama, ning selliste andmete esitamata jätmise võimalike tagajärgede kohta, ning

f)

teave artikli 24 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.

3.   Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne edasist isikuandmete töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.

4.   Lõikeid 1, 2 ja 3 ei kohaldata, kui ja sel määral, mil andmesubjektil on see teave juba olemas.

Artikkel 16

Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt

1.   Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe:

a)

vastutava töötleja nimi ja kontaktandmed;

b)

andmekaitseametniku kontaktandmed;

c)

isikuandmete töötlemise eesmärk ja õiguslik alus;

d)

asjaomaste isikuandmete liigid;

e)

asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta;

f)

asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva komisjoni otsuse olemasolu või puudumise kohta või artiklis 48 osutatud edastamise korral viide asjakohastele või sobivatele kaitsemeetmetele ja nende koopia saamise viisile või kohale, kus need on tehtud kättesaadavaks.

2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja andmesubjektile järgmise täiendava teabe, mis on vajalik andmesubjekti suhtes õiglase ja läbipaistva töötlemise tagamiseks:

a)

isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;

b)

teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist või, kui see on kohaldatav, teave õiguse kohta esitada vastuväide isikuandmete töötlemisele või teave isikuandmete ülekandmise õiguse kohta;

c)

kui isikuandmete töötlemine põhineb artikli 5 lõike 1 punktil d või artikli 10 lõike 2 punktil a, siis teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust;

d)

teave õiguse kohta esitada kaebus Euroopa Andmekaitseinspektorile;

e)

teave isikuandmete päritoluallika ning asjakohasel juhul selle kohta, kas need pärinevad avalikult kättesaadavatest allikatest;

f)

teave artikli 24 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.

3.   Vastutav töötleja esitab lõigetes 1 ja 2 osutatud teabe:

a)

mõistliku aja jooksul pärast isikuandmete saamist, kuid hiljemalt ühe kuu jooksul, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid;

b)

kui isikuandmeid kasutatakse andmesubjekti teavitamiseks, siis hiljemalt asjaomase andmesubjekti esmakordse teavitamise ajal, või

c)

kui isikuandmeid kavatsetakse avaldada teisele vastuvõtjale, siis hiljemalt andmete esimese avaldamise ajal.

4.   Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne isikuandmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.

5.   Lõikeid 1–4 ei kohaldata, kui ja sel määral, mil:

a)

andmesubjektil on see teave juba olemas;

b)

selle teabe esitamine osutub võimatuks või eeldaks ebaproportsionaalseid jõupingutusi, eelkõige kui isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil, või sel määral, mil käesoleva artikli lõikes 1 osutatud kohustus tõenäoliselt muudab sellise isikuandmete töötlemise eesmärgi saavutamise võimatuks või häirib seda suurel määral;

c)

isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud liidu õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, või

d)

isikuandmed peavad jääma salajaseks liidu õigusega reguleeritava ametisaladuse hoidmise kohustuse, sealhulgas õigusaktidest tuleneva saladuse hoidmise kohustuse tõttu.

6.   Lõike 5 punktis b osutatud juhtudel võtab vastutav töötleja asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks, tehes sealhulgas teabe avalikult kättesaadavaks.

Artikkel 17

Andmesubjekti õigus tutvuda andmetega

1.   Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmete ja järgmise teabega:

a)

töötlemise eesmärgid;

b)

asjaomaste isikuandmete liigid;

c)

vastuvõtjad või vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse, eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid;

d)

kui võimalik, siis kavandatav isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;

e)

teave õiguse kohta taotleda vastutavalt töötlejalt andmesubjekti puudutavate isikuandmete parandamist, kustutamist või töötlemise piiramist või esitada vastuväide sellisele isikuandmete töötlemisele;

f)

teave õiguse kohta esitada kaebus Euroopa Andmekaitseinspektorile;

g)

kui isikuandmeid ei koguta andmesubjektilt, siis olemasolev teave nende allika kohta;

h)

teave artikli 24 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.

2.   Kui isikuandmeid edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, on andmesubjektil õigus olla teavitatud edastamisega seoses artikli 48 kohaselt kehtestatavatest asjakohastest kaitsemeetmetest.

3.   Vastutav töötleja esitab töödeldavate isikuandmete koopia. Kui andmesubjekt esitab taotluse elektrooniliselt, esitatakse ka teave üldkasutatavate elektrooniliste vahendite kaudu, kui andmesubjekt ei taotle teisiti.

4.   Lõikes 3 osutatud koopia saamise õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi.

3. JAGU

Parandamine ja kustutamine

Artikkel 18

Õigus andmete parandamisele

Andmesubjektil on õigus nõuda, et vastutav töötleja parandaks põhjendamatu viivituseta teda puudutavad ebaõiged isikuandmed. Võttes arvesse andmete töötlemise eesmärke, on andmesubjektil õigus nõuda mittetäielike isikuandmete täiendamist, sealhulgas täiendava õiendi esitamise teel.

Artikkel 19

Õigus andmete kustutamisele („õigus olla unustatud“)

1.   Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed, ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest:

a)

isikuandmeid ei ole enam vaja sellel eesmärgil, millega seoses need on kogutud või muul viisil töödeldud;

b)

andmesubjekt võtab töötlemiseks antud nõusoleku tagasi vastavalt artikli 5 lõike 1 punktile d või artikli 10 lõike 2 punktile a ning puudub muu õiguslik alus isikuandmete töötlemiseks;

c)

andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 23 lõike 1 kohaselt ja töötlemiseks pole ülekaalukaid õiguspäraseid põhjuseid;

d)

isikuandmeid on töödeldud ebaseaduslikult;

e)

isikuandmed tuleb kustutada selleks, et täita vastutava töötleja suhtes kohaldatavat õiguslikult siduvat kohustust;

f)

isikuandmeid koguti seoses artikli 8 lõikes 1 osutatud infoühiskonna teenuste pakkumisega.

2.   Juhul kui vastutav töötleja on isikuandmed avalikustanud ja peab lõike 1 kohaselt isikuandmed kustutama, võtab vastutav töötleja kättesaadavat tehnoloogiat ja rakendamise kulusid arvestades tarvitusele mõistlikud abinõud, sealhulgas tehnilised meetmed, et teavitada kõnealuseid isikuandmeid töötlevaid vastutavaid töötlejaid või neid vastutavaid töötlejaid, kes ei ole liidu institutsioonid või organid, sellest, et andmesubjekt taotleb neilt kõnealustele isikuandmetele osutavate linkide või andmekoopiate või -korduste kustutamist.

3.   Lõikeid 1 ja 2 ei kohaldata sel määral, mil isikuandmete töötlemine on vajalik:

a)

sõna- ja teabevabaduse õiguse teostamiseks;

b)

selleks, et täita vastutava töötleja suhtes kohaldatavat õiguslikult siduvat kohustust või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu;

c)

rahvatervise valdkonnas avaliku huviga seotud põhjustel kooskõlas artikli 10 lõike 2 punktidega h ja i ning artikli 10 lõikega 3;

d)

avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil sel määral, mil lõikes 1 osutatud õigus tõenäoliselt muudab sellise töötlemise eesmärgi saavutamise võimatuks või häirib seda suurel määral, või

e)

õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.

Artikkel 20

Õigus isikuandmete töötlemise piiramisele

1.   Andmesubjektil on õigus nõuda vastutavalt töötlejalt isikuandmete töötlemise piiramist järgmistel juhtudel:

a)

andmesubjekt vaidlustab isikuandmete õigsuse, ajaks, mis võimaldab vastutaval töötlejal kontrollida isikuandmete õigsust, sealhulgas terviklikkust;

b)

isikuandmete töötlemine on ebaseaduslik, kuid andmesubjekt ei taotle mitte nende kustutamist, vaid kasutamise piiramist;

c)

vastutav töötleja ei vaja isikuandmeid enam töötlemise eesmärkidel, kuid need on andmesubjektile vajalikud õigusnõuete koostamiseks, esitamiseks või kaitsmiseks;

d)

andmesubjekt on esitanud isikuandmete töötlemise suhtes artikli 23 lõike 1 kohaselt vastuväite, ajaks, kuni kontrollitakse, kas vastutava töötleja õiguspärased põhjused kaaluvad üles andmesubjekti põhjused.

2.   Kui isikuandmete töötlemist on lõike 1 kohaselt piiratud, võib selliseid isikuandmeid töödelda (välja arvatud säilitamine) ainult andmesubjekti nõusolekul või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või teise füüsilise või juriidilise isiku õiguste kaitsmiseks või seoses liidu või liikmesriigi olulise avaliku huviga.

3.   Vastutav töötleja teavitab lõike 1 kohaselt isikuandmete töötlemise piiramist nõudnud andmesubjekti enne isikuandmete töötlemise piiramise lõpetamist.

4.   Automaatsetes andmete kogumites tagatakse isikuandmete töötlemise piiramine üldjuhul tehniliste vahenditega. Asjaolu, et isikuandmete suhtes kehtivad piirangud, tuleb süsteemis esitada selliselt, et nende kasutamise keeld oleks selge.

Artikkel 21

Kohustus teatada isikuandmete parandamisest, kustutamisest või isikuandmete töötlemise piiramisest

Vastutav töötleja edastab teabe isikuandmete parandamise, kustutamise või isikuandmete töötlemise piiramise kohta vastavalt artiklile 18, artikli 19 lõikele 1 ja artiklile 20 kõigile vastuvõtjatele, kellele isikuandmed on avaldatud, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi. Vastutav töötleja teavitab andmesubjekti nendest vastuvõtjatest andmesubjekti taotlusel.

Artikkel 22

Andmete ülekandmise õigus

1.   Andmesubjektil on õigus saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, üldkasutatavas vormingus ning masinloetaval kujul ning õigus edastada need andmed teisele vastutavale töötlejale, ilma et vastutav töötleja, kellele kõnealused isikuandmed on esitatud, seda takistaks, kui:

a)

töötlemine põhineb artikli 5 lõike 1 punktis d või artikli 10 lõike 2 punktis a osutatud nõusolekul või artikli 5 lõike 1 punktis c osutatud lepingul ning

b)

töötlemine toimub automatiseeritult.

2.   Kui andmesubjekt kasutab lõike 1 kohaselt andmete ülekandmise õigust, on tal õigus nõuda, et üks vastutav töötleja edastaks andmed otse teisele vastutavale töötlejale või vastutavatele töötlejatele, kes ei ole liidu institutsioonid või organid, kui see on tehniliselt teostatav.

3.   Käesoleva artikli lõikes 1 nimetatud õiguse kasutamine ei piira artikli 19 kohaldamist. Seda õigust ei kohaldata töötlemise suhtes, mis on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks.

4.   Lõikes 1 osutatud õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi.

4. JAGU

Õigus esitada vastuväiteid ja automatiseeritud töötlusel põhinevate üksikotsuste tegemine

Artikkel 23

Õigus esitada vastuväiteid

1.   Andmesubjektil on õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub artikli 5 lõike 1 punkti a alusel, sealhulgas sellele sättele tugineva profiilianalüüsi suhtes. Vastutav töötleja ei töötle isikuandmeid edasi, välja arvatud juhul, kui vastutav töötleja tõendab, et neid töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil.

2.   Hiljemalt andmesubjekti esmakordsel teavitamisel juhitakse andmesubjekti tähelepanu selgesõnaliselt lõikes 1 osutatud õigusele ning vastav teave esitatakse selgelt ja eraldi igasugusest muust teabest.

3.   Infoühiskonna teenuste kasutamisega seoses võib andmesubjekt kasutada oma õigust esitada vastuväiteid, tehes seda automatiseeritud vahendite teel, mis põhinevad tehnilistel kirjeldustel, ilma et see piiraks artiklite 36 ja 37 kohaldamist.

4.   Kui isikuandmeid töödeldakse teadus- või ajaloouuringute või statistilisel eesmärgil, on andmesubjektil oma konkreetsest olukorrast lähtudes õigus esitada vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, välja arvatud juhul, kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks.

Artikkel 24

Automatiseeritud töötlusel põhinevate üksikotsuste tegemine, sealhulgas profiilianalüüs

1.   Andmesubjektil on õigus mitte lasta teha enda suhtes otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, mis toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju.

2.   Lõiget 1 ei kohaldata, kui otsus:

a)

on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimiseks või täitmiseks;

b)

on lubatud liidu õigusega, milles on sätestatud ka asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks, või

c)

põhineb andmesubjekti selgesõnalisel nõusolekul.

3.   Lõike 2 punktides a ja c osutatud juhtudel rakendab vastutav töötleja asjakohaseid meetmeid, et kaitsta andmesubjekti õigusi ja vabadusi ning õigustatud huve, vähemalt õigust otsesele isiklikule kontaktile vastutava töötlejaga, et väljendada oma seisukohta ja vaidlustada otsus.

4.   Käesoleva artikli lõikes 2 osutatud otsused ei tohi põhineda artikli 10 lõikes 1 osutatud isikuandmete eriliikidel, välja arvatud juhul, kui kohaldatakse artikli 10 lõike 2 punkti a või g ning kehtestatud on asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks.

5. JAGU

Piirangud

Artikkel 25

Piirangud

1.   Artiklite 14–22, 35 ja 36 ning samuti artikli 4 kohaldamist võib piirata aluslepingute alusel vastu võetud õigusaktidega või liidu institutsioonide ja organite toimimisega seotud küsimuste puhul nende sise-eeskirjadega, kui selle sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada:

a)

liikmesriikide julgeolek, avalik julgeolek või riigikaitse;

b)

süütegude tõkestamine, uurimine, avastamine ja nende eest vastutusele võtmine või kriminaalkaristuste täitmisele pööramine, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmine ja nende ennetamine;

c)

liidu või liikmesriigi muud üldist avalikku huvi pakkuvad olulised eesmärgid, eelkõige liidu ühise välis- ja julgeolekupoliitika eesmärgid või liidu või liikmesriigi oluline majanduslik või finantshuvi, sealhulgas rahandus-, eelarve- ja maksuküsimused, rahvatervis ja sotsiaalkindlustus;

d)

liidu institutsioonide ja organite sisejulgeolek, sealhulgas nende elektroonilise side võrgustike julgeolek;

e)

kohtusüsteemi sõltumatuse ja kohtumenetluse kaitse;

f)

reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutusele võtmine;

g)

jälgimine, kontrollimine või regulatiivsete ülesannete täitmine, mis on, kas või juhtumipõhiselt, seotud avaliku võimu teostamisega punktides a–c osutatud juhtudel;

h)

andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse;

i)

tsiviilõiguslike nõuete täitmise tagamine.

2.   Eelkõige peavad lõikes 1 osutatud õigusaktid või sise-eeskirjad sisaldama asjakohasel juhul konkreetseid sätteid järgmise kohta:

a)

töötlemise või selle kategooriate eesmärgid;

b)

isikuandmete liigid;

c)

kehtestatud piirangute ulatus;

d)

kuritarvitamist või ebaseaduslikku andmetega tutvumist või nende edastamist tõkestavad kaitsemeetmed;

e)

vastutava töötleja või vastutavate töötlejate kategooriate määratlus;

f)

säilitamise ajavahemikud ja kohaldatavad kaitsemeetmed, võttes arvesse töötlemise või selle kategooriate laadi, ulatust ja eesmärki, ning

g)

andmesubjektide õigusi ja vabadusi ähvardavad ohud.

3.   Kui isikuandmeid töödeldakse teadus- ja ajaloouuringute või statistilisel eesmärgil, võib liidu õigusega, mis võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju, ette näha erandid artiklites 17, 18, 20 ja 23 osutatud õigustest, kui artiklis 13 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud, niivõrd kui sellised õigused võivad tõenäoliselt muuta võimatuks konkreetsete eesmärkide saavutamise või seda tõsiselt takistada ning sellised erandid on vajalikud nende eesmärkide täitmiseks.

4.   Kui isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise eesmärgil, võib liidu õigusega, mis võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju, ette näha erandid artiklites 17, 18, 20, 21, 22 ja 23 osutatud õigustest, kui artiklis 13 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud, niivõrd kui sellised õigused võivad tõenäoliselt muuta võimatuks konkreetsete eesmärkide saavutamise või seda tõsiselt takistada ning sellised erandid on vajalikud nende eesmärkide täitmiseks.

5.   Lõigetes 1, 3 ja 4 osutatud sise-eeskirjad peavad olema selged ja täpsed üldkohaldatavad õigusaktid, mille eesmärk on tekitada õiguslikke tagajärgi andmesubjektidele, mis on kehtestatud liidu institutsioonide ja organite kõrgeimal juhtimistasandil ning mis avaldatakse Euroopa Liidu Teatajas.

6.   Lõike 1 alusel kehtestatud piirangu korral tehakse andmesubjektile liidu õiguse kohaselt teatavaks piirangu kohaldamise peamised põhjused ning tema õigus esitada kaebus Euroopa Andmekaitseinspektorile.

7.   Kui lõike 1 alusel kehtestatud piirangule tuginedes ei anta andmesubjektile juurdepääsu andmetele, teeb Euroopa Andmekaitseinspektor kaebuse uurimisel talle teatavaks üksnes asjaolu, kas andmeid on töödeldud nõuetekohaselt, ning kui mitte, siis kas vajalikud parandused on tehtud.

8.   Käesoleva artikli lõigetes 6 ja 7 ning artikli 45 lõikes 2 osutatud teabe esitamist võib edasi lükata, ära jätta või sellest keelduda, kui käesoleva artikli lõike 1 alusel kehtestatud piirang kaotaks seeläbi oma mõju.

IV PEATÜKK

VASTUTAV TÖÖTLEJA JA VOLITATUD TÖÖTLEJA

1. JAGU

Üldkohustused

Artikkel 26

Vastutava töötleja vastutus

1.   Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.

2.   Kui see on proportsionaalne isikuandmete töötlemise toimingutega, hõlmavad lõikes 1 osutatud meetmed asjakohaste andmekaitsepõhimõtete rakendamist vastutava töötleja poolt.

3.   Vastutava töötleja kohustuste täitmise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist.

Artikkel 27

Lõimitud andmekaitse ja vaikimisi andmekaitse

1.   Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja nii töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, näiteks pseudonümiseerimist, mis on vajalikud andmekaitsepõhimõtete (näiteks võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse nõudeid ja kaitsta andmesubjektide õigusi.

2.   Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks.

3.   Käesoleva artikli lõigetes 1 ja 2 sätestatud nõuete järgimise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artikli 42 kohast heakskiidetud sertifitseerimismehhanismi.

Artikkel 28

Kaasvastutavad töötlejad

1.   Kui kaks või enam vastutavat töötlejat või üks või enam vastutavat töötlejat koos ühe või enama vastutava töötlejaga, kes ei ole liidu institutsioonid või organid, määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklites 15 ja 16 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral, mil vastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud vastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppe osana võib määrata andmesubjektide jaoks kontaktpunkti.

2.   Lõikes 1 osutatud kokkuleppes võetakse asjakohaselt arvesse kaasvastutava töötleja vastavaid rolle ja suhteid seoses andmesubjektidega. Kokkuleppe põhitingimused tehakse andmesubjektile teatavaks.

3.   Sõltumata lõikes 1 osutatud kokkuleppe tingimustest võib andmesubjekt kasutada oma käesoleva määruse kohaseid õigusi iga vastutava töötleja suhtes ja vastu.

Artikkel 29

Volitatud töötleja

1.   Kui andmeid töödeldakse vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab käesoleva määruse nõuetele ja sealjuures tagatakse andmesubjekti õiguste kaitse.

2.   Volitatud töötleja ei kaasa teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa korral teavitab volitatud töötleja vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad teiste volitatud töötlejate lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste muudatuste suhtes vastuväiteid.

3.   Volitatud töötleja töötleb andmeid volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, mis on volitatud töötleja suhtes siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Kõnealuses lepingus või muus õigusaktis sätestatakse eelkõige see, et volitatud töötleja:

a)

töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas seoses isikuandmete edastamisega kolmandale riigile või rahvusvahelisele organisatsioonile, välja arvatud juhul, kui ta on kohustatud seda tegema volitatud töötleja suhtes kohaldatava liidu või liikmesriigi õigusega; sellisel juhul teatab volitatud töötleja selle õigusliku nõude enne isikuandmete töötlemist vastutavale töötlejale, kui selline teatamine ei ole olulise avaliku huvi tõttu kõnealuse õigusega keelatud;

b)

tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane õigusaktist tulenev konfidentsiaalsuskohustus;

c)

võtab kõik artikli 33 kohaselt nõutavad meetmed;

d)

järgib lõigetes 2 ja 4 osutatud tingimusi teise volitatud töötleja kaasamiseks;

e)

võttes arvesse isikuandmete töötlemise laadi, aitab võimaluse piires vastutaval töötlejal asjakohaste tehniliste ja korralduslike meetmete abil täita vastutava töötleja kohustust vastata taotlustele III peatükis sätestatud andmesubjekti õiguste teostamiseks;

f)

aitab vastutaval töötlejal täita artiklites 33–41 sätestatud kohustusi, võttes arvesse isikuandmete töötlemise laadi ja volitatud töötlejale kättesaadavat teavet;

g)

pärast andmetöötlusteenuste osutamise lõppu kustutab või tagastab vastutavale töötlejale vastutava töötleja valikul kõik isikuandmed ja kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt nõutakse andmete säilitamist;

h)

teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik käesolevas artiklis sätestatud kohustuste täitmise tõendamiseks, ning võimaldab vastutaval töötlejal või tema poolt volitatud muul audiitoril teha auditeid, sealhulgas kontrolle, ja panustab sellesse.

Esimese lõigu punkti h osas teavitab volitatud töötleja vastutavat töötlejat kohe, kui korraldus läheb tema arvates vastuollu käesoleva määruse või liikmesriigi või liidu muude andmekaitsealaste sätetega.

4.   Kui volitatud töötleja kaasab vastutava töötleja nimel konkreetsete isikuandmete töötlemise toimingute tegemiseks teise volitatud töötleja, nähakse lepingus või muus liidu või liikmesriigi õiguse kohases õigusaktis asjaomase teise volitatud töötleja suhtes ette samad andmekaitsekohustused, mis on sätestatud lõikes 3 osutatud vastutava töötleja ja volitatud töötleja vahelises lepingus või muus õigusaktis; eelkõige annab see piisava tagatise, et rakendatakse asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastaks käesoleva määruse nõuetele. Kui see teine volitatud töötleja ei täida oma andmekaitsekohustusi, jääb algne volitatud töötleja vastutava töötleja ees täielikult vastutavaks kõnealuse teise volitatud töötleja kohustuste täitmise eest.

5.   Kui volitatud töötleja ei ole liidu institutsioon ega organ, võib tema poolt määruse (EL) 2016/679 artikli 40 lõikes 5 osutatud heakskiidetud toimimisjuhendite või määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist kasutada elemendina selleks, et tõendada käesoleva artikli lõigetes 1 ja 4 osutatud piisavate tagatiste olemasolu.

6.   Ilma et see mõjutaks vastutava töötleja ja volitatud töötleja vahelist individuaalset lepingut, võib käesoleva artikli lõigetes 3 ja 4 osutatud leping või muu õigusliku toimega dokument põhineda täielikult või osaliselt käesoleva artikli lõigetes 7 ja 8 osutatud lepingu tüüptingimustel, sealhulgas kui need on osa volitatud töötlejale, kes ei ole liidu institutsioon ega organ, määruse (EL) 2016/679 artikli 42 kohaselt antud sertifikaadist.

7.   Komisjon võib sätestada lepingu tüüptingimused käesoleva artikli lõigetes 3 ja 4 osutatud küsimustes ja kooskõlas artikli 96 lõikes 2 osutatud kontrollimenetlusega.

8.   Euroopa Andmekaitseinspektor võib kehtestada lepingu tüüptingimused lõigetes 3 ja 4 osutatud küsimustes.

9.   Lõigetes 3 ja 4 osutatud leping või muu õigusliku toimega dokument peab olema kirjalik, sealhulgas elektroonilisel kujul.

10.   Kui volitatud töötleja määrab käesolevat määrust rikkudes andmete töötlemise eesmärgid ja vahendid, siis loetakse volitatud töötleja selle töötlemise suhtes vastutavaks töötlejaks, ilma et see piiraks artiklite 65 ja 66 kohaldamist.

Artikkel 30

Töötlemine vastutava töötleja või volitatud töötleja volituse alusel

Volitatud töötleja ja vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, ei tohi isikuandmeid töödelda vastutava töötleja juhisteta, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab.

Artikkel 31

Isikuandmete töötlemise toimingute registreerimine

1.   Iga vastutav töötleja registreerib tema vastutusel tehtavad isikuandmete töötlemise toimingud. Registreerimiskanne sisaldab järgmist teavet:

a)

vastutava töötleja, andmekaitseametniku ning asjakohasel juhul volitatud töötleja ja kaasvastutava töötleja nimi ja kontaktandmed;

b)

töötlemise eesmärgid;

c)

andmesubjektide kategooriate ja isikuandmete liikide kirjeldus;

d)

vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse, sealhulgas liikmesriikides ja kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid;

e)

kui isikuandmeid edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, siis andmed selle kohta koos asjaomase kolmanda riigi või rahvusvahelise organisatsiooni nimega ja sobivate kaitsemeetmete kohta koostatud dokumendid;

f)

võimaluse korral eri andmeliikide kustutamiseks ette nähtud tähtajad;

g)

võimaluse korral artiklis 33 osutatud tehniliste ja korralduslike turvameetmete üldine kirjeldus.

2.   Volitatud töötleja peab kõigi vastutava töötleja nimel tehtavate isikuandmete töötlemise toimingute kategooriate registrit, mis sisaldab järgmist teavet:

a)

volitatud töötleja või volitatud töötlejate ja iga vastutava töötleja, kelle nimel volitatud töötleja tegutseb, ning andmekaitseametniku nimi ja kontaktandmed;

b)

vastutava töötleja nimel tehtava töötlemise kategooriad;

c)

kui isikuandmeid edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, siis andmed selle kohta koos asjaomase kolmanda riigi või rahvusvahelise organisatsiooni nimega ja sobivate kaitsemeetmete kohta koostatud dokumendid;

d)

võimaluse korral artiklis 33 osutatud tehniliste ja korralduslike turvameetmete üldine kirjeldus.

3.   Lõigetes 1 ja 2 osutatud registreerimine on kirjalik, sealhulgas elektrooniline.

4.   Taotluse korral teevad liidu institutsioonid ja organid registri kättesaadavaks Euroopa Andmekaitseinspektorile.

5.   Liidu institutsioonid ja asutused hoiavad töötlemistoiminguid käsitlevaid andmeid keskregistris, välja arvatud juhul, kui see on liidu institutsiooni või organi suurust arvestades sobimatu. Nad teevad registri avalikult kättesaadavaks.

Artikkel 32

Koostöö Euroopa andmekaitseinspektoriga

Liidu institutsioonid ja organid teevad Euroopa Andmekaitseinspektoriga tema ülesannete täitmise käigus taotluse korral koostööd.

2. JAGU

Isikuandmete turvalisus

Artikkel 33

Töötlemise turvalisus

1.   Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist:

a)

isikuandmete pseudonümiseerimine ja krüpteerimine;

b)

võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus;

c)

võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral;

d)

tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord isikuandmete töötlemise turvalisuse tagamiseks.

2.   Vajaliku turvalisuse taseme hindamisel võetakse eelkõige arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige edastatavate, salvestatavate või muul viisil töödeldavate isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile juurdepääsu.

3.   Vastutav töötleja ja volitatud töötleja võtavad meetmeid selleks, et tagada, et vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, ei töötle isikuandmeid vastutava töötleja juhisteta, välja arvatud juhul, kui liidu õigus neid selleks kohustab.

4.   Käesoleva artikli lõikes 1 sätestatud nõuete järgimise tõendamise elemendina võib kasutada määruse (EL) 2016/679 artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist.

Artikkel 34

Euroopa Andmekaitseinspektori teavitamine isikuandmetega seotud rikkumisest

1.   Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates selle kohta põhjendus.

2.   Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta pärast isikuandmetega seotud rikkumisest teada saamist.

3.   Lõikes 1 osutatud teates tuleb vähemalt:

a)

kirjeldada isikuandmetega seotud rikkumise laadi ning nimetada võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv;

b)

teatada andmekaitseametniku nimi ja kontaktandmed;

c)

kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi;

d)

kirjeldada vastutava töötleja poolt võetud või võtmiseks kavandatud meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju leevendamiseks.

4.   Juhul ja niivõrd, kui teavet ei ole võimalik esitada korraga, võib teabe esitada järk-järgult ilma põhjendamatu viivituseta.

5.   Vastutav töötleja teavitab andmekaitseametnikku isikuandmetega seotud rikkumisest.

6.   Vastutav töötleja dokumenteerib kõik isikuandmetega seotud rikkumised, sealhulgas isikuandmetega seotud rikkumise asjaolud, selle mõju ja võetud parandusmeetmed. Dokumendid võimaldavad Euroopa Andmekaitseinspektoril kontrollida käesolevas artiklis sätestatud nõuete täitmist.

Artikkel 35

Andmesubjekti teavitamine isikuandmetega seotud rikkumisest

1.   Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.

2.   Andmesubjektile käesoleva artikli lõike 1 kohaselt esitatud teates kirjeldatakse selges ja lihtsas keeles isikuandmetega seotud rikkumise laadi ning esitatakse vähemalt artikli 34 lõike 3 punktides b, c ja d osutatud teave ja meetmed.

3.   Lõikes 1 osutatud andmesubjekti teavitamist ei nõuta juhul, kui on täidetud järgmised tingimused:

a)

vastutav töötleja on kehtestanud asjakohased tehnilised ja korralduslikud kaitsemeetmed ja neid kohaldati isikuandmetega seotud rikkumisest mõjutatud isikuandmetele, kasutades eelkõige selliseid meetmeid, mis muudavad isikuandmed juurdepääsuõiguseta isikutele loetamatuks (näiteks krüpteerimine);

b)

vastutav töötleja on võtnud hilisemad meetmed, mis tagavad, et lõikes 1 osutatud suure ohu teke andmesubjektide õigustele ja vabadustele ei ole enam tõenäoline, või

c)

see nõuaks ebaproportsionaalseid jõupingutusi. Sellisel juhul tehakse avalik teadaanne või võetakse muu sarnane meede, millega teavitatakse kõiki andmesubjekte võrdselt tulemuslikul viisil.

4.   Kui vastutav töötleja ei ole isikuandmetega seotud rikkumisest andmesubjekti veel teavitanud, võib Euroopa Andmekaitseinspektor pärast selle hindamist, kas isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu, seda vastutavalt töötlejalt nõuda või otsustada, et esineb üks lõikes 3 osutatud tingimustest.

3. JAGU

Elektroonilise side konfidentsiaalsus

Artikkel 36

Elektroonilise side konfidentsiaalsus

Liidu institutsioonid ja organid tagavad elektroonilise side konfidentsiaalsuse, eelkõige oma elektroonilise side võrgustiku turvalisuse tagamise kaudu.

Artikkel 37

Kasutaja lõppseadmesse edastatud ja seal salvestatud, lõppseadmega seotud, lõppseadmes töödeldud ja lõppseadmest kogutud teabe kaitse

Liidu institutsioonid ja organid kaitsevad kasutajate lõppseadmetesse edastatud ja seal salvestatud, kasutajate lõppseadmetega seotud, nendes seadmetes töödeldud ja nendest kogutud teavet kasutajate puhul, kes kasutavad liidu institutsioonide ja organite avalikult kättesaadavaid veebisaite ning nende pakutavaid mobiilseid rakendusi, kooskõlas direktiivi 2002/58/EÜ artikli 5 lõikega 3.

Artikkel 38

Kasutajakataloogid

1.   Kasutajakataloogides sisalduvaid isikuandmeid ning juurdepääsu kasutajakataloogidele tuleb piirata määrani, mis on vältimatult vajalik kataloogi eriomaste ülesannete täitmiseks.

2.   Liidu institutsioonid ja organid võtavad kõik vajalikud meetmed, et takistada kasutajakataloogides sisalduvate isikuandmete kasutamist otseturunduse eesmärkidel, sõltumata sellest, kas kataloogid on üldsusele kättesaadavad või mitte.

4. JAGU

Andmekaitsealane mõjuhinnang ja eelnev konsulteerimine

Artikkel 39

Andmekaitsealane mõjuhinnang

1.   Kui teatavat tüüpi isikuandmete töötlemise, eelkõige uut tehnoloogiat kasutava töötlemise tulemusena ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht, hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele. Endast sarnast suurt ohtu kujutavaid sarnaseid isikuandmete töötlemise toiminguid võib hinnata koos.

2.   Vastutav töötleja küsib andmekaitsealase mõjuhinnangu tegemisel nõu andmekaitseametnikult.

3.   Lõikes 1 osutatud andmekaitsealase mõjuhinnangu tegemine on nõutav järgmistel juhtudel:

a)

füüsiliste isikutega seotud isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut;

b)

artiklis 10 osutatud andmete eriliikide või artiklis 11 osutatud süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmete ulatuslik töötlemine või

c)

avalike alade ulatuslik süstemaatiline jälgimine.

4.   Euroopa Andmekaitseinspektor koostab ja avalikustab selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille suhtes kohaldatakse lõike 1 kohast nõuet teostada andmekaitsealane mõjuhinnang.

5.   Euroopa Andmekaitseinspektor võib samuti koostada ja avaldada selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille puhul ei ole andmekaitsealane mõjuhinnang nõutav.

6.   Enne käesoleva artikli lõigetes 4 ja 5 osutatud loetelude kehtestamist taotleb Euroopa Andmekaitseinspektor loetelude kontrollimist määruse (EL) 2016/679 artikli 68 kohaselt loodud Euroopa Andmekaitsenõukogult vastavalt nimetatud määruse artikli 70 lõike 1 punktile e, kui loetelud viitavad töötlemistoimingutele vastutava töötleja poolt, kes tegutseb koos ühe või mitme vastutava töötlejaga, kes ei ole liidu institutsioonid või organid.

7.   Mõjuhinnang peab hõlmama vähemalt järgmist:

a)

kavandatud isikuandmete töötlemise toimingute ja töötlemise eesmärkide süstemaatiline kirjeldus;

b)

isikuandmete töötlemise toimingute vajalikkuse ja proportsionaalsuse hindamine eesmärkide suhtes;

c)

lõikes 1 osutatud andmesubjektide õigusi ja vabadusi puudutavate ohtude hinnang ning

d)

ohtude käsitlemiseks kavandatud meetmed, sealhulgas tagatised, turvameetmed ja mehhanismid isikuandmete kaitse tagamiseks ja käesoleva määruse järgimise tõendamiseks, võttes arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õigustatud huve.

8.   Volitatud töötleja, kes ei ole liidu institutsioon ega organ, sooritatud isikuandmete töötlemise toimingute mõju hindamisel ning eelkõige andmekaitsealase mõjuhinnangu koostamisel võetakse asjakohaselt arvesse määruse (EL) 2016/679 artiklis 40 osutatud heakskiidetud toimimisjuhendite järgimist asjaomase volitatud töötleja poolt.

9.   Vajaduse korral küsib vastutav töötleja andmesubjektide või nende esindajate seisukohti kavandatava töötlemise kohta, ilma et see piiraks avalike huvide kaitset või isikuandmete töötlemise toimingute turvalisust.

10.   Kui artikli 5 lõike 1 punkti a või b kohase isikuandmete töötlemise õiguslik alus tuleneb aluslepingute alusel vastu võetud õigusaktist, mis reguleerib kõnealust konkreetset isikuandmete töötlemise toimingut või nende kogumit ning andmekaitsealane mõjuhinnang on enne kõnealuse õigusakti vastuvõtmist üldise mõjuhinnangu osana juba tehtud, siis käesoleva artikli lõikeid 1–6 ei kohaldata, välja arvatud juhul, kui kõnealuses õigusaktis on teisiti sätestatud.

11.   Vastutav töötleja hindab asjakohasel juhul ja vähemalt isikuandmete töötlemise toimingutest tuleneva ohu muutumise korral, kas isikuandmete töötlemine vastab andmekaitsealasele mõjuhinnangule.

Artikkel 40

Eelnev konsulteerimine

1.   Vastutav töötleja konsulteerib enne andmete töötlemist Euroopa Andmekaitseinspektoriga, kui artikli 39 kohasest andmekaitsealasest mõjuhinnangust nähtub, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja -mehhanismide puudumisel suur oht füüsiliste isikute õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole olemasolevat tehnoloogiat ja rakendamiskulusid silmas pidades võimalik mõistlike meetmetega leevendada. Vastutav töötleja küsib eelneva konsulteerimise vajaduse kohta nõu andmekaitseametnikult.

2.   Kui Euroopa Andmekaitseinspektor on seisukohal, et lõikes 1 osutatud kavandatav isikuandmete töötlemine rikuks käesolevat määrust, eriti juhul, kui vastutav töötleja ei ole ohtu piisavalt kindlaks teinud või seda piisavalt leevendanud, siis annab Euroopa Andmekaitseinspektor hiljemalt kaheksa nädala jooksul alates konsulteerimise taotluse kättesaamisest vastutavale töötlejale ja asjakohasel juhul volitatud töötlejale kirjalikult nõu ja ta võib kasutada artiklis 58 osutatud õigusi. Seda tähtaega võib pikendada kuue nädala võrra, arvestades kavandatava isikuandmete töötlemise keerukust. Euroopa Andmekaitseinspektor teavitab pikendatud tähtaja kohaldamise korral vastutavat töötlejat ja asjakohasel juhul volitatud töötlejat kõigist sellistest pikendamistest, sealhulgas viivituse põhjustest, ühe kuu jooksul alates konsulteerimise taotluse kättesaamisest. Need tähtajad võib peatada seniks, kuni Euroopa Andmekaitseinspektor on saanud kogu teabe, mida ta on küsinud seoses konsulteerimisega.

3.   Euroopa Andmekaitseinspektoriga lõike 1 kohaselt konsulteerimisel esitab vastutav töötleja Euroopa Andmekaitseinspektorile järgmise teabe:

a)

kui see on asjakohane, siis isikuandmete töötlemisega seotud vastutava töötleja, kaasvastutavate töötlejate ja volitatud töötlejate vastavad vastutusvaldkonnad;

b)

kavandatava isikuandmete töötlemise eesmärk ja vahendid;

c)

ettenähtud meetmed ja tagatised, et kaitsta käesoleva määruse kohaselt andmesubjektide õigusi ja vabadusi;

d)

andmekaitseametniku kontaktandmed;

e)

artiklis 39 sätestatud andmekaitsealane mõjuhinnang ning

f)

kogu muu Euroopa Andmekaitseinspektori taotletud teave.

4.   Komisjon võib rakendusakti abil määrata kindlaks juhtumite loetelu, mille korral peavad vastutavad töötlejad konsulteerima Euroopa Andmekaitseinspektoriga ja saama temalt eelneva loa isikuandmete töötlemiseks vastutava töötleja poolt avalikes huvides täidetava ülesande raames, sealhulgas selliste isikuandmete töötlemiseks seoses sotsiaalkaitse ja rahvatervisega.

5. JAGU

Teave ja seadusandlik konsulteerimine

Artikkel 41

Teave ja konsulteerimine

1.   Liidu institutsioonid ja organid teatavad Euroopa Andmekaitseinspektorile selliste isikuandmete töötlemisega seotud haldusmeetmete ja sise-eeskirjade koostamisest, mis hõlmavad liidu institutsiooni või organit kas eraldi või koos teistega.

2.   Liidu institutsioonid ja organid konsulteerivad artiklis 25 osutatud sise-eeskirjade koostamisel Euroopa Andmekaitseinspektoriga.

Artikkel 42

Seadusandlik konsulteerimine

1.   Komisjon konsulteerib Euroopa Andmekaitseinspektoriga pärast seadusandliku akti ettepanekute vastuvõtmist, nõukogule vastavalt ELi toimimise lepingu artiklile 218 esitavate soovituste ja ettepanekute vastuvõtmist ning delegeeritud õigusaktide ja rakendusaktide ettevalmistamisel, kui need mõjutavad üksikisikute õiguste ja vabaduste kaitset isikuandmete töötlemisel.

2.   Kui lõikes 1 osutatud õigusakt on seoses isikuandmete töötlemisega üksikisikute õiguste ja vabaduste kaitse seisukohast eriti oluline, võib komisjon konsulteerida ka Euroopa Andmekaitsenõukoguga. Sellistel juhtudel koordineerivad Euroopa Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu oma tegevust eesmärgiga esitada ühisarvamus.

3.   Lõigetes 1 ja 2 osutatud nõuanded esitatakse kirjalikult hiljemalt kaheksa nädala jooksul alates lõigetes 1 ja 2 osutatud konsulteerimise taotluse kättesaamisest. Komisjon võib tähtaega lühendada, kui asi on kiireloomuline või kui see on asjakohane muudel põhjustel.

4.   Käesolevat artiklit ei kohaldata, kui komisjon peab Euroopa Andmekaitsenõukoguga konsulteerima vastavalt määrusele (EL) 2016/679.

6. JAGU

Andmekaitseametnik

Artikkel 43

Andmekaitseametniku määramine

1.   Kõik liidu institutsioonid ja organid määravad andmekaitseametniku.

2.   Liidu institutsioonid ja organid võivad määrata mitme institutsiooni või organi peale ühe andmekaitseametniku olenevalt nende organisatsioonilisest struktuurist ja suurusest.

3.   Andmekaitseametniku määramisel lähtutakse tema kutseoskustest ja eelkõige eksperditeadmistest andmekaitsealase õiguse ja tavade kohta ning suutlikkusest täita artiklis 45 osutatud ülesandeid.

4.   Andmekaitseametnik peab olema liidu institutsiooni või organi koosseisuline töötaja. Liidu institutsioonid ja organid võivad oma suurust arvesse võttes ja juhul kui lõike 2 kohast valikut ei ole tehtud, määrata andmekaitseametniku, kes täidab oma ülesandeid teenuse osutamise lepingu alusel.

5.   Liidu institutsioonid ja organid avaldavad andmekaitseametniku kontaktandmed ning teatavad neist Euroopa Andmekaitseinspektorile.

Artikkel 44

Andmekaitseametniku ametiseisund

1.   Liidu institutsioonid ja organid tagavad andmekaitseametniku nõuetekohase ja õigeaegse kaasamise kõikidesse isikuandmete kaitsega seotud küsimustesse.

2.   Liidu institutsioonid ja organid toetavad andmekaitseametnikku artiklis 45 osutatud ülesannete täitmisel, andes talle nende ülesannete täitmiseks ja eksperditeadmiste taseme hoidmiseks vajalikud vahendid ning juurdepääsu isikuandmetele ja isikuandmete töötlemise toimingutele.

3.   Liidu institutsioonid ja organid tagavad, et andmekaitseametnik ei saa kõnealuste ülesannete täitmise suhtes juhiseid. Vastutav töötleja või volitatud töötleja ei saa andmekaitseametnikku tema ülesannete täitmise eest ametist vabastada ega karistada. Andmekaitseametnik allub otse vastutava töötleja või volitatud töötleja kõrgeimale juhtimistasandile.

4.   Andmesubjektid võivad pöörduda andmekaitseametniku poole kõigis küsimustes, mis on seotud nende isikuandmete töötlemise ning nende käesolevast määrusest tulenevate õiguste kasutamisega.

5.   Andmekaitseametniku ning tema personali suhtes kehtib nende ülesannete täitmisel vastavalt liidu õigusele saladuse hoidmise või konfidentsiaalsuse nõue.

6.   Andmekaitseametnik võib täita muid ülesandeid ja kohustusi. Vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja kohustused ei põhjusta huvide konflikti.

7.   Vastutav töötleja, volitatud töötleja, asjaomane personalikomitee ja iga üksikisik võib andmekaitseametnikuga väljaspool ametlikke kanaleid konsulteerida kõikides käesoleva määruse tõlgendamise või kohaldamisega seotud küsimustes. Keegi ei tohi kannatada seepärast, et ta juhtis pädeva andmekaitseametniku tähelepanu käesoleva määruse sätete väidetavale rikkumisele.

8.   Andmekaitseametnik määratakse ametisse kolmeks kuni viieks aastaks ning teda võib ametisse tagasi nimetada. Andmekaitseametniku ametisse määranud liidu institutsioon või organ võib andmekaitseametniku ametikohalt vabastada, kui ta ei vasta enam oma tööülesannete täitmiseks vajalikele tingimustele ja üksnes Euroopa Andmekaitseinspektori nõusolekul.

9.   Andmekaitseametniku ametisse määranud liidu institutsioon või organ registreerib andmekaitseametniku pärast ametisse määramist Euroopa Andmekaitseinspektori juures.

Artikkel 45

Andmekaitseametniku ülesanded

1.   Andmekaitseametnikul on järgmised ülesanded:

a)

teavitada ja nõustada vastutavat töötlejat või volitatud töötlejat ning isikuandmeid töötlevaid töötajaid seoses nende kohustustega, mis tulenevad käesolevast määrusest ja muudest liidu andmekaitsenormidest;

b)

tagada sõltumatul viisil käesoleva määruse kohaldamine oma institutsioonis, jälgida käesoleva määruse, muude kohaldatavate andmekaitset käsitlevaid sätteid sisaldavate liidu õigusaktide ja vastutava töötleja või volitatud töötleja isikuandmete kaitse põhimõtete järgimist, sealhulgas vastutusvaldkondade jaotamist, isikuandmete töötlemises osaleva personali teadlikkuse suurendamist ja koolitamist ning sellega seonduvat auditeerimist;

c)

tagada, et andmesubjekte teavitataks nende õigustest ja kohustustest vastavalt käesolevale määrusele;

d)

anda taotluse korral nõu seoses teatamise vajalikkuse ja isikuandmetega seotud rikkumisest teavitamisega vastavalt artiklitele 34 ja 35;

e)

anda taotluse korral nõu seoses andmekaitsealase mõjuhinnanguga ning jälgida selle toimimist vastavalt artiklile 39 ning konsulteerida Euroopa Andmekaitseinspektoriga, kui tekib kahtlusi seoses vajadusega teostada andmekaitsealane mõjuhinnang;

f)

anda taotluse korral nõu seoses vajadusega konsulteerida eelnevalt Euroopa Andmekaitseinspektoriga vastavalt artiklile 40; konsulteerida Euroopa Andmekaitseinspektoriga, kui tekib kahtlusi seoses vajadusega teostada andmekaitsealane mõjuhinnang;

g)

vastata Euroopa Andmekaitseinspektori arupärimistele; teha Euroopa Andmekaitseinspektoriga enda initsiatiivil või tema taotlusel oma pädevuse piires koostööd ning temaga konsulteerida;

h)

tagada, et andmete töötlemine ei kahjusta andmesubjektide õigusi ja vabadusi.

2.   Andmekaitseametnik võib esitada vastutavale töötlejale ja volitatud töötlejale andmekaitse parandamiseks praktilisi soovitusi ning anda neile andmekaitset käsitlevate sätete kohaldamist käsitlevates küsimustes nõu. Lisaks võib ta omal algatusel või vastutava töötleja või volitatud töötleja, asjaomase personalikomitee või üksikisiku taotlusel uurida tema kohustustega otseselt seotud ning talle teatavaks saanud küsimusi ja juhtumeid ja anda tulemuste kohta aru uurimise taotlejale, vastutavale töötlejale või volitatud töötlejale.

3.   Kõik liidu institutsioonid ja organid kehtestava täiendava andmekaitseametnikku käsitleva rakenduseeskirja. Rakenduseeskiri hõlmab eelkõige andmekaitseametniku tööülesandeid, kohustusi ja volitusi.

V PEATÜKK

ISIKUANDMETE EDASTAMINE KOLMANDATELE RIIKIDELE JA RAHVUSVAHELISTELE ORGANISATSIOONIDELE

Artikkel 46

Edastamise üldpõhimõtted

Töödeldavate või pärast kolmandale riigile või rahvusvahelisele organisatsioonile edastamist töötlemiseks ette nähtud isikuandmete edastamine toimub ainult juhul, kui vastutav töötleja ja volitatud töötleja on täitnud kooskõlas käesoleva määruse teiste sätetega käesolevas peatükis sätestatud tingimused, sealhulgas juhul, kui kolmas riik või rahvusvaheline organisatsioon saadab isikuandmed edasi muule kolmandale riigile või rahvusvahelisele organisatsioonile. Kõiki käesoleva peatüki sätteid kohaldatakse selleks, et tagada, et käesoleva määrusega tagatud füüsiliste isikute kaitse taset ei kahjustata.

Artikkel 47

Edastamine kaitse piisavuse otsuse alusel

1.   Isikuandmeid võib kolmandale riigile või rahvusvahelisele organisatsioonile edastada siis, kui komisjon on teinud määruse (EL) 2016/679 artikli 45 lõike 3 või direktiivi (EL) 2016/680 artikli 36 lõike 3 kohaselt otsuse, et kolmas riik, kolmanda riigi territoorium või kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme, ning isikuandmeid edastatakse üksnes vastutava töötleja pädevusse kuuluvate ülesannete täitmiseks.

2.   Liidu institutsioonid ja organid teavitavad komisjoni ja Euroopa Andmekaitseinspektorit juhtudest, mil kolmas riik, kolmanda riigi territoorium või selle üks või mitu kindlaksmääratud sektorit või asjaomane rahvusvaheline organisatsioon ei taga nende arvates nõuetekohasel tasemel kaitset lõike 1 tähenduses.

3.   Kui komisjon leiab määruse (EL) 2016/679 artikli 45 lõike 3 või 5 või direktiivi (EL) 2016/680 artikli 36 lõike 3 või 5 kohaselt, et kolmas riik, kolmanda riigi territoorium või selle üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab või ei taga enam nõuetekohasel tasemel kaitset, võtavad liidu institutsioonid ja organid komisjoni otsuste täitmiseks vajalikud meetmed.

Artikkel 48

Edastamine asjakohaste kaitsemeetmete kohaldamisel

1.   Määruse (EL) 2016/679 artikli 45 lõike 3 või direktiivi (EL) 2016/680 artikli 36 lõike 3 kohase otsuse puudumisel võib vastutav töötleja või volitatud töötleja edastada isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile üksnes juhul, kui vastutav töötleja või volitatud töötleja on võtnud asjakohased kaitsemeetmed ning tingimusel, et andmesubjektide kohtulikult kaitstavad õigused ja tõhusad õiguskaitsevahendid on kättesaadavad.

2.   Lõikes 1 osutatud asjakohased kaitsemeetmed võib ilma Euroopa Andmekaitseinspektorilt eriluba taotlemata ette näha:

a)

õiguslikult siduva ja täitmisele pööratava dokumendiga avaliku sektori asutuste või organite vahel;

b)

komisjoni poolt artikli 96 lõikes 2 osutatud kontrollimenetluse kohaselt kehtestatud standardsete andmekaitseklauslitega;

c)

Euroopa Andmekaitseinspektori poolt kehtestatud ja komisjoni poolt artikli 96 lõikes 2 osutatud kontrollimenetluse kohaselt heaks kiidetud standardsete andmekaitseklauslitega;

d)

kui volitatud töötleja ei ole liidu institutsioon või asutus, siduvate kontsernisiseste eeskirjade, toimimisjuhendite ja määruse (EL) 2016/679 artikli 46 lõike 2 punktidest b, e ja f tulenevate sertifitseerimismehhanismidega.

3.   Euroopa Andmekaitseinspektori loal võib lõikes 1 osutatud asjakohased kaitsemeetmed ette näha ka eelkõige:

a)

vastutava töötleja või volitatud töötleja ning kolmanda riigi või rahvusvahelise organisatsiooni vastutava töötleja või volitatud töötleja või isikuandmete vastuvõtja vaheliste lepingutingimustega või

b)

sätetega, mis tuleb lisada avaliku sektori asutuste või organite vahelistesse halduskokkulepetesse ning mis hõlmavad andmesubjektide kohtulikult kaitstavaid ja tõhusaid õigusi.

4.   Euroopa Andmekaitseinspektori poolt määruse (EÜ) nr 45/2001 artikli 9 lõike 7 alusel antud load jäävad kehtima, kuni Euroopa Andmekaitseinspektor neid vajaduse korral muudab, need asendab või need kehtetuks tunnistab.

5.   Liidu institutsioonid ja organid teavitavad Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul on käesolevat artiklit kohaldatud.

Artikkel 49

Andmete edastamine või avaldamine juhtudel, kui see ei ole liidu õiguse kohaselt lubatud

Kolmanda riigi kohtu või haldusasutuse otsust, millega nõutakse vastutavalt töötlejalt või volitatud töötlejalt isikuandmete edastamist või avaldamist, võib tunnustada ja selle mis tahes viisil täitmisele pöörata üksnes siis, kui kõnealune otsus põhineb nõude esitanud kolmanda riigi ja liidu vahel kehtival rahvusvahelisel lepingul, näiteks vastastikuse õigusabi lepingul, ilma et see piiraks muid käesoleva peatüki kohaseid edastamise aluseid.

Artikkel 50

Erandid konkreetsetes olukordades

1.   Kui ei ole tehtud otsust vastavalt määruse (EL) 2016/679 artikli 45 lõikele 3 või direktiivi (EL) 2016/680 artikli 36 lõikele 3 või puuduvad käesoleva määruse artikli 48 kohased piisavad kaitsemeetmed, on isikuandmete ühekordne või korduv edastamine kolmandale riigile või rahvusvahelisele organisatsioonile lubatud ainult ühel järgmistest tingimustest:

a)

andmesubjekt on edastamiseks andnud selgesõnalise nõusoleku pärast seda, kui teda teavitati sellise edastamisega tema jaoks kaasnevatest võimalikest ohtudest, mis tulenevad kaitse piisavuse otsuse ja asjaomaste kaitsemeetmete puudumisest;

b)

edastamine on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu täitmiseks või andmesubjekti taotluse alusel võetavate lepingueelsete meetmete rakendamiseks;

c)

edastamine on vajalik, et andmesubjekti huvides sõlmida vastutava töötleja ja muu füüsilise või juriidilise isiku vahel leping või seda lepingut täita;

d)

edastamine on vajalik avalikust huvist tulenevatel kaalukatel põhjustel;

e)

edastamine on vajalik õigusnõuete koostamiseks, esitamiseks või kaitsmiseks;

f)

edastamine on vajalik, et kaitsta andmesubjekti või muude isikute olulisi huve, kui andmesubjekt on füüsiliselt või õiguslikult võimetu nõusolekut andma, või

g)

edastamine tehakse registrist, mis liidu õiguse kohaselt on mõeldud avalikkuse teavitamiseks ja on tutvumiseks avatud kas laiemale avalikkusele või kõigile, kes suudavad tõendada õigustatud huvi, kuid ainult sellisel määral, mil konkreetsel juhul on täidetud tutvumist käsitlevad tingimused, mis on liidu õigusega ette nähtud.

2.   Lõike 1 punkte a, b ja c ei kohaldata avalikku võimu teostavate liidu institutsioonide ja asutuste tegevuse suhtes.

3.   Lõike 1 punktis d osutatud avalik huvi peab olema tunnustatud liidu õiguses.

4.   Lõike 1 esimese lõigu punkti g kohane edastamine ei hõlma kõiki registris sisalduvaid isikuandmeid ega kõiki isikuandmete liike, välja arvatud juhul, kui see on liidu õigusega lubatud. Kui register on ette nähtud tutvumiseks õigustatud huviga isikutele, toimub edastamine vaid nende isikute taotlusel või juhul, kui nemad on vastuvõtjad.

5.   Kaitse piisavuse otsuse puudumise korral võib avalikust huvist tulenevatel kaalukatel põhjustel liidu õigusega selgesõnaliselt seada piirangud eri liiki isikuandmete edastamiseks kolmandale riigile või rahvusvahelisele organisatsioonile.

6.   Liidu institutsioonid ja organid teavitavad Euroopa Andmekaitseinspektorit juhtumite liikidest, mille puhul on käesolevat artiklit kohaldatud.

Artikkel 51

Isikuandmete kaitseks tehtav rahvusvaheline koostöö

Euroopa Andmekaitseinspektor võtab koostöös komisjoni ja Euroopa Andmekaitsenõukoguga kolmandate riikide ja rahvusvaheliste organisatsioonide suhtes asjakohased meetmed, selleks et:

a)

töötada välja rahvusvahelised koostöömehhanismid, millega hõlbustada isikuandmete kaitset käsitlevate õigusaktide tõhusa täitmise tagamist;

b)

osutada rahvusvahelist vastastikust abi isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel, sealhulgas teavitamise, kaebuste suunamise, uurimistegevuse ja teabevahetuse kaudu, järgides asjakohaseid isikuandmete kaitsemeetmeid ning muid põhiõigusi ja -vabadusi;

c)

kaasata asjaomased sidusrühmad arutellu ja tegevusse, mille eesmärk on edendada rahvusvahelist koostööd isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel;

d)

edendada isikuandmete kaitset käsitlevate õigusaktide ja tavade vahetamist ja dokumenteerimist, sealhulgas kolmandate riikidega kohtualluvuse osas valitsevate lahkarvamuste küsimuses.

VI PEATÜKK

EUROOPA ANDMEKAITSEINSPEKTOR

Artikkel 52

Euroopa Andmekaitseinspektor

1.   Käesolevaga luuakse Euroopa Andmekaitseinspektori ametikoht.

2.   Euroopa Andmekaitseinspektor vastutab selle eest, et liidu institutsioonid ja organid tagaksid isikuandmete töötlemisel füüsiliste isikute põhiõigused ja -vabadused, eelkõige nende õiguse andmete kaitsele.

3.   Euroopa Andmekaitseinspektori ülesanne on jälgida ja tagada, et kohaldataks käesoleva määruse ning teiste liidu õigusaktide sätteid, mis käsitlevad füüsiliste isikute põhiõiguste ja -vabaduste kaitsmist isikuandmete töötlemisel liidu institutsioonides või organites, samuti liidu institutsioonide ja organite ning andmesubjektide nõustamine kõikides isikuandmete töötlemisega seotud küsimustes. Selleks täidab Euroopa Andmekaitseinspektor artiklis 57 sätestatud ülesandeid ja kasutab talle artikliga 58 antud volitusi.

4.   Euroopa Andmekaitseinspektori valduses olevate dokumentide suhtes kohaldatakse määrust (EÜ) nr 1049/2001. Euroopa Andmekaitseinspektor kehtestab üksikasjalikud eeskirjad määruse (EÜ) nr 1049/2001 kohaldamiseks seoses nende dokumentidega.

Artikkel 53

Euroopa Andmekaitseinspektori ametisse nimetamine

1.   Euroopa Andmekaitseinspektori nimetavad ametisse Euroopa Parlament ja nõukogu ühisel kokkuleppel viieks aastaks, lähtudes komisjoni poolt pärast avalikku kandideerimiskutset koostatud nimekirjast. Kandideerimiskutse võimaldab esitada taotluse kõikidel huvitatud isikutel üle kogu liidu. Komisjoni koostatud kandidaatide nimekiri on avalik ja koosneb vähemalt kolmest kandidaadist. Komisjoni koostatud nimekirja alusel võib Euroopa Parlamendi pädev komisjon korraldada kuulamise, et teha oma valik.

2.   Lõikes 1 osutatud kandidaatide nimekiri koosneb isikutest, kelle sõltumatus on väljaspool kahtlust ning kelle puhul tunnustatakse Euroopa Andmekaitseinspektori ülesannete täitmiseks vajalike eksperditeadmiste, kogemuste ja oskuste olemasolu.

3.   Euroopa Andmekaitseinspektorit võib ühe korra uuesti ametisse nimetada.

4.   Euroopa Andmekaitseinspektori ülesannete täitmine lõpeb järgmistel asjaoludel:

a)

Euroopa Andmekaitseinspektor asendatakse;

b)

Euroopa Andmekaitseinspektor astub tagasi;

c)

Euroopa Andmekaitseinspektor vabastatakse või tagandatakse ametist.

5.   Euroopa Kohus võib Euroopa Andmekaitseinspektori Euroopa Parlamendi, nõukogu või komisjoni taotlusel ametist vabastada või pensioni ja muude seda asendavate soodustuste saamise õigusest ilma jätta, kui ta ei vasta enam oma ülesannete täitmiseks vajalikele tingimustele või kui ta leitakse olevat süüdi tõsistes rikkumises.

6.   Ametiaja korralise lõppemise ja vabatahtliku ametist lahkumise korral jääb Euroopa Andmekaitseinspektor ametisse seniks, kuni ametisse on määratud uus andmekaitseinspektor.

7.   Euroopa Andmekaitseinspektori suhtes kohaldatakse Euroopa Liidu privileegide ja immuniteetide protokolli artikleid 11–14 ja 17.

Artikkel 54

Euroopa Andmekaitseinspektori ülesannete täitmist, personali ja rahalisi vahendeid reguleerivad eeskirjad ja üldtingimused

1.   Euroopa Andmekaitseinspektorit käsitletakse töötasu, lisatasude, vanaduspensioni ja muude töötasu asemel antavate soodustuste määramisel nagu Euroopa Kohtu kohtunikke.

2.   Eelarvepädevad institutsioonid tagavad, et Euroopa Andmekaitseinspektorile antakse tema ülesannete täitmiseks vajalikud inimressursid ja rahalised vahendid.

3.   Euroopa Andmekaitseinspektori eelarve esitatakse liidu üldeelarve halduskuludega seotud jaos eraldi rubriigis.

4.   Euroopa Andmekaitseinspektorit abistab sekretariaat. Sekretariaadi ametnikud ja muud töötajad nimetab ametisse Euroopa Andmekaitseinspektor ning nad alluvad Euroopa Andmekaitseinspektorile. Nad alluvad üksnes tema juhtimisele. Nende arv määratakse igal aastal kindlaks eelarvemenetluse käigus. Euroopa Andmekaitseinspektori töötajatele, kes täidavad Euroopa Andmekaitsenõukogule liidu õigusega antud ülesandeid, kohaldatakse määruse (EL) 2016/679 artikli 75 lõiget 2.

5.   Euroopa Andmekaitseinspektori sekretariaadi ametnike ja muude töötajate suhtes kohaldatakse liidu ametnike ja muude teenistujate suhtes kohaldatavaid õigusnorme ja määrusi.

6.   Euroopa Andmekaitseinspektori ametikoht asub Brüsselis.

Artikkel 55

Sõltumatus

1.   Euroopa Andmekaitseinspektor tegutseb talle käesoleva määrusega kooskõlas antud ülesannete täitmisel ja volituste kasutamisel täiesti sõltumatult.

2.   Euroopa Andmekaitseinspektor peavad olema oma käesoleva määrusega kooskõlas olevate ülesannete täitmisel ja volituste kasutamisel vaba nii otsestest kui ka kaudsetest välistest mõjutustest ning ei küsi ega võta vastu juhiseid mitte kelleltki.

3.   Euroopa Andmekaitseinspektor hoidub oma kohustustega kokkusobimatust tegevusest ega tööta oma ametiaja jooksul ühelgi muul tasustatud või tasustamata ametikohal.

4.   Euroopa Andmekaitseinspektor käitub pärast oma ametiaja lõppu ametikohti ja soodustusi vastu võttes väärikalt ning diskreetselt.

Artikkel 56

Ametisaladus

Euroopa Andmekaitseinspektor ja tema personal on kohustatud nii ametiajal kui ka pärast ametist lahkumist hoidma ametisaladust igasuguse konfidentsiaalse teabe osas, mis neile ametikohustuste täitmisel on teatavaks saanud.

Artikkel 57

Ülesanded

1.   Ilma et see piiraks muude käesolevas määruses sätestatud ülesannete täitmist, täidab Euroopa Andmekaitseinspektor järgmisi ülesandeid:

a)

jälgib käesoleva määruse kohaldamist ja tagab selle kohaldamise liidu institutsioonide ja organite poolt, välja arvatud isikuandmete töötlemisel Euroopa Kohtus, kui kohus täidab õigusemõistmise funktsiooni;

b)

suurendab üldsuse teadlikkust ja arusaamist isikuandmete töötlemisel esinevatest ohtudest, töötlemise normidest ja kaitsemeetmetest ning isikuandmete töötlemisega seotud õigustest. Erilist tähelepanu pööratakse lastele suunatud tegevusele;

c)

edendab vastutavate töötlejate ja volitatud töötlejate teadlikkust nende käesoleva määruse kohastest kohustustest;

d)

annab andmesubjektile taotluse korral teavet tema käesolevast määrusest tulenevate õiguste kasutamise kohta ja teeb vajaduse korral sel eesmärgil koostööd riiklike järelevalveasutustega;

e)

käsitleb andmesubjekti, asutuse, organisatsiooni või ühenduse poolt artikli 67 kohaselt esitatud kaebusi, uurib asjakohasel määral kaebuste sisu ning teavitab kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest, eelkõige juhul, kui on vajalik täiendav uurimine või kooskõlastamine teise järelevalveasutusega;

f)

teostab uurimisi käesoleva määruse kohaldamise kohta, muu hulgas teiselt järelevalveasutuselt või muult riigiasutuselt saadud teabe põhjal;

g)

nõustab omal algatusel või taotluse alusel kõiki liidu institutsioone ja asutusi õigus- ja haldusmeetmete osas, seoses füüsilise isikute õiguste ja vabaduste kaitsega isikuandmete töötlemisel;

h)

jälgib asjaomaseid suundumusi, niivõrd kuivõrd need mõjutavad isikuandmete kaitset, eelkõige info- ja sidetehnoloogia arengut;

i)

kehtestab artikli 29 lõikes 8 ja artikli 48 lõike 2 punktis c osutatud lepingu tüüptingimused;

j)

koostab ja säilitab loetelu seoses artikli 39 lõike 4 kohase andmekaitsealase mõjuhinnangu tegemise nõudega;

k)

osaleb Euroopa Andmekaitsenõukogu tegevuses;

l)

tagab vastavalt määruse (EL) 2016/679 artiklile 75 Euroopa Andmekaitsenõukogu sekretariaadi töö;

m)

annab nõu artikli 40 lõikes 2 osutatud isikuandmete töötlemise osas;

n)

annab loa artikli 48 lõikes 3 osutatud lepinguklauslite ja -tingimuste kasutamiseks;

o)

peab asutusesisest registrit käesoleva määruse rikkumiste ja artikli 58 lõike 2 kohaselt võetud meetmete kohta;

p)

täidab muid isikuandmete kaitsega seotud ülesandeid ning

q)

kehtestab oma töökorra.

2.   Lõike 1 punktis e osutatud kaebuste esitamise lihtsustamiseks kehtestab Euroopa Andmekaitseinspektor kaebuse esitamise vormi, mida saab täita ka elektrooniliselt, ilma et see välistaks muude sidevahendite kasutamist.

3.   Euroopa Andmekaitseinspektor täidab oma ülesandeid andmesubjekti jaoks tasuta.

4.   Kui taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib Euroopa Andmekaitseinspektor keelduda taotlust menetlemast. Euroopa Andmekaitseinspektor on kohustatud tõendama taotluse selgelt põhjendamatut või ülemäärast iseloomu.

Artikkel 58

Volitused

1.   Euroopa Andmekaitseinspektoril on järgmised uurimisvolitused:

a)

anda korraldus, et vastutav töötleja või volitatud töötleja annaks teavet, mis on vajalik andmekaitseinspektori ülesannete täitmiseks;

b)

viia läbi uurimisi andmekaitseauditi kujul;

c)

teavitada vastutavat töötlejat või volitatud töötlejat käesoleva määruse väidetavast rikkumisest;

d)

saada vastutavalt töötlejalt ja volitatud töötlejalt juurdepääs kõikidele isikuandmetele ja kogu teabele, mis on vajalik andmekaitseinspektori ülesannete täitmiseks, ning

e)

saada kooskõlas liidu õigusega juurdepääs vastutava töötleja ja volitatud töötleja kõikidele ruumidele, sealhulgas kõikidele andmetöötlusseadmetele ja -vahenditele.

2.   Euroopa Andmekaitseinspektoril on järgmised parandusvolitused:

a)

hoiatada vastutavat töötlejat või volitatud töötlejat, et kavandatavad isikuandmete töötlemise toimingud rikuvad tõenäoliselt käesoleva määruse sätteid;

b)

teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud käesoleva määruse sätteid;

c)

edastada asi arutamiseks asjaomasele vastutavale töötlejale või volitatud töötlejale või vajaduse korral Euroopa Parlamendile, nõukogule ja komisjonile;

d)

anda korraldus, et vastutav töötleja või volitatud töötleja rahuldaks andmesubjekti taotlused seoses tema käesoleva määruse kohaste õiguste kasutamisega;

e)

anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määruse sätetega;

f)

anda korraldus, et vastutav töötleja teavitaks andmesubjekti tema isikuandmetega seotud rikkumisest;

g)

kehtestada ajutine või alaline isikuandmete töötlemise piirang, sealhulgas töötlemiskeeld;

h)

anda korraldus isikuandmeid parandada või need kustutada või isikuandmete töötlemist piirata artiklite 18, 19 ja 20 alusel ning teavitada nimetatud meetmetest vastuvõtjaid, kellele isikuandmed on artikli 19 lõike 2 ja artikli 21 kohaselt avaldatud;

i)

määrata artikli 66 kohaselt trahve, kui liidu institutsioon või asutus ei täida mingit käesoleva lõike punktides d–h ja j osutatud meedet, sõltuvalt iga konkreetse juhtumi asjaoludest;

j)

anda korraldus peatada liikmesriigis või kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile suunatud andmevoog.

3.   Euroopa Andmekaitseinspektoril on järgmised lubavad ja nõuandvad õigused:

a)

nõustada andmesubjekte nende õiguste kasutamisel;

b)

nõustada vastutavat töötlejat kooskõlas artiklis 40 osutatud eelneva konsulteerimise menetlusega ning kooskõlas artikli 41 lõikega 2;

c)

esitada omal algatusel või taotluse alusel isikuandmete kaitsega seotud küsimustes arvamusi liidu institutsioonidele ja asutustele ning avalikkusele;

d)

kehtestada artikli 29 lõikes 8 ja artikli 48 lõike 2 punktis c osutatud standardsed andmekaitseklauslid;

e)

kinnitada artikli 48 lõike 3 punktis a osutatud lepingutingimused;

f)

kinnitada artikli 48 lõike 3 punktis b osutatud halduskokkulepped;

g)

anda luba töötlemistoiminguteks artikli 40 lõike 4 alusel vastu võetud rakendusaktide kohaselt.

4.   Euroopa Andmekaitseinspektoril on aluslepingutes sätestatud tingimustel õigus edastada asi arutamiseks Euroopa Kohtule ning sekkuda Euroopa Kohtule esitatud hagide arutamisse.

5.   Euroopa Andmekaitseinspektorile käesoleva artikli kohaselt antud volituste kasutamise suhtes kohaldatakse asjakohaseid kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust, mis on sätestatud liidu õiguses.

Artikkel 59

Vastutava töötleja või volitatud töötleja kohustus vastata süüdistustele

Kui Euroopa Andmekaitseinspektor kasutab artikli 58 lõike 2 punktides a, b ja c sätestatud volitusi, teavitab asjaomane vastutav töötleja või volitatud töötleja Euroopa Andmekaitseinspektorit oma seisukohtadest mõistliku tähtaja jooksul, mille määrab kindlaks Euroopa Andmekaitseinspektor, võttes arvesse iga juhtumi asjaolusid. Vastuses kirjeldatakse ka Euroopa Andmekaitseinspektori märkustega seoses rakendatud meetmeid, kui neid on võetud.

Artikkel 60

Tegevusaruanne

1.   Euroopa Andmekaitseinspektor esitab igal aastal Euroopa Parlamendile, nõukogule ja komisjonile oma tegevuse kohta aruande ning samaaegselt ka avaldab selle.

2.   Euroopa Andmekaitseinspektor edastab lõikes 1 osutatud aruande teistele liidu institutsioonidele ja asutustele, kes võivad avaldada arvamust seoses aruande võimaliku läbivaatamisega Euroopa Parlamendis.

VII PEATÜKK

KOOSTÖÖ JA JÄRJEPIDEVUS

Artikkel 61

Euroopa Andmekaitseinspektori ja riiklike järelevalveasutuste koostöö

Euroopa Andmekaitseinspektor teeb koostööd riiklike järelevalveasutustega ning nõukogu otsuse 2009/917/JSK (19) artikli 25 alusel loodud ühise järelevalveasutusega ulatuses, mis on vajalik nende asutuste ülesannete täitmiseks, eelkõige esitades üksteisele vajalikku teavet, paludes üksteisel kasutada oma volitusi ja vastates üksteise taotlustele.

Artikkel 62

Euroopa Andmekaitseinspektori ja riiklike järelevalveasutuste koordineeritud järelevalve

1.   Kui liidu õigusakt osutab käesolevale artiklile, teevad Euroopa Andmekaitseinspektor ja riiklikud järelevalveasutused – tegutsedes igaüks oma pädevuste piires – oma ülesannete raames aktiivset koostööd, et tagada suuremahuliste IT-süsteemide ja liidu organite ja asutuste tõhus järelevalve.

2.   Tegutsedes igaüks oma pädevuse piires ja oma ülesannete raames, vahetavad nad vastavalt vajadusele asjakohast teavet, abistavad üksteist auditite ja kontrollide tegemisel, analüüsivad käesoleva määruse ja teiste kohaldatavate liidu õigusaktide tõlgendamisel või kohaldamisel tekkivaid raskusi, uurivad sõltumatu järelevalve või andmesubjekti õiguste teostamisega seotud probleeme, koostavad ühtlustatud ettepanekuid probleemide lahendamiseks ja suurendavad teadlikkust andmekaitseõigustest.

3.   Lõikes 2 sätestatud eesmärkidel kohtub Euroopa Andmekaitseinspektor riiklike järelevalveasutustega Euroopa Andmekaitsenõukogu raames vähemalt kaks korda aastas. Selleks võib Euroopa Andmekaitsenõukogu vajaduse korral töötada välja täiendavad töömeetodid.

4.   Euroopa Andmekaitsenõukogu esitab iga kahe aasta tagant Euroopa Parlamendile, nõukogule ja komisjonile koordineeritud järelevalvet käsitleva ühisaruande.

VIII PEATÜKK

ÕIGUSKAITSEVAHENDID, VASTUTUS JA KARISTUSED

Artikkel 63

Õigus esitada Euroopa Andmekaitseinspektorile kaebus

1.   Ilma et see piiraks kohtulike, halduslike või kohtuväliste kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada Euroopa Andmekaitseinspektorile kaebus, kui andmesubjekt leiab, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.

2.   Euroopa Andmekaitseinspektor teavitab kaebuse esitajat kaebuse menetlemise käigust ja tulemusest, sealhulgas artikli 64 kohasest õiguskaitsevahendi kasutamise võimalusest.

3.   Kui Euroopa Andmekaitseinspektor ei vaata kaebust läbi või ei teavita andmesubjekti kolme kuu jooksul esitatud kaebuse menetlemise käigust või tulemustest, loetakse, et Euroopa Andmekaitseinspektor on teinud kaebuse rahuldamata jätmise otsuse.

Artikkel 64

Õigus tõhusale kohtulikule õiguskaitsevahendile

1.   Kõikide käesoleva määruse sätetega seotud vaidluste, sealhulgas kahjunõuete lahendamine kuulub Euroopa Kohtu pädevusse.

2.   Kaebused Euroopa Andmekaitseinspektori otsuste, sealhulgas artikli 63 lõike 3 kohaste otsuste peale esitatakse Euroopa Kohtule.

3.   Euroopa Kohtul pädevus vaadata läbi artiklis 66 osutatud trahve on piiramatu. Ta võib tühistada, vähendada või suurendada neid trahve artiklis 66 sätestatud piirides.

Artikkel 65

Õigus hüvitisele

Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on aluslepingutes sätestatud tingimuste kohaselt õigus saada liidu institutsioonilt või asutuselt tekitatud kahju eest hüvitist.

Artikkel 66

Trahvid

1.   Euroopa Andmekaitseinspektor võib määrata liidu institutsioonile või asutusele trahvi sõltuvalt konkreetse juhtumi asjaoludest, kui liidu institutsioon või asutus ei suuda täita artikli 58 lõike 2 punktides d–h ja punktis j osutatud Euroopa Andmekaitseinspektori korraldust. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

a)

rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;

b)

liidu institutsiooni või asutuse poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks;

c)

liidu institutsiooni või asutuse vastutuse aste, võttes arvesse nende poolt artiklite 27 ja 33 kohaselt võetud tehnilisi ja korralduslikke meetmeid;

d)

liidu institutsiooni või asutuse eelnevad sarnased rikkumised;

e)

Euroopa Andmekaitseinspektoriga tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks;

f)

rikkumisest mõjutatud isikuandmete liigid;

g)

millisel viisil sai Euroopa Andmekaitseinspektor rikkumisest teada, eelkõige kas liidu institutsioon või asutus teatas rikkumisest ja millisel määral ta seda tegi;

h)

artiklis 58 osutatud meetmete järgimine, kui asjaomase institutsiooni või asutuse suhtes on need samas küsimuses varem võetud. Trahvi määramise menetlus tuleb läbi viia mõistliku aja jooksul vastavalt juhtumi asjaoludele ning võttes arvesse artiklis 69 osutatud asjakohaseid meetmeid ja menetlusi.

2.   Artiklitest 8, 12, 27–35, 39, 40, 43, 44 ja 45 tulenevate liidu institutsiooni või asutuse kohustuste rikkumise suhtes kohaldatakse vastavalt käesoleva artikli lõikele 1 trahve, mille suurus on kuni 25 000 eurot rikkumise kohta ning aastas kokku kuni 250 000 eurot.

3.   Järgmiste sätete rikkumise suhtes liidu institutsiooni või asutuse poolt kohaldatakse vastavalt lõikele 1 trahve, mille suurus on kuni 50 000 eurot rikkumise kohta ja aastas kokku kuni 500 000 eurot:

a)

töötlemise aluspõhimõtted, sealhulgas artiklite 4, 5, 7 ja 10 kohased nõusoleku andmise tingimused;

b)

andmesubjektide õigused artiklite 14–24 alusel;

c)

isikuandmete edastamine kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile artiklite 46–50 alusel.

4.   Kui liidu institutsioon või asutus rikub samade või seotud või jätkuvate isikuandmete töötlemise toimingute puhul mitut käesoleva määruse sätet või käesoleva määruse sama sätet mitu korda, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.

5.   Enne otsuse tegemist käesoleva artikli alusel annab Euroopa Andmekaitseinspektor liidu institutsioonile või asutusele, kelle suhtes Euroopa Andmekaitseinspektor on menetluse algatanud, võimaluse olla ära kuulatud küsimustes, mille kohta Euroopa Andmekaitseinspektor on teinud etteheiteid. Euroopa Andmekaitseinspektori otsused toetuvad üksnes sellistele etteheidetele, mille kohta asjaomastel osapooltel on olnud võimalik esitada oma seisukoht. Kaebuste esitajad võtavad menetlusest aktiivselt osa.

6.   Menetluse käigus tagatakse täielikult asjaomaste osapoolte õigus kaitsele. Neil on õigus nõuda juurdepääsu Euroopa Andmekaitseinspektori toimikule tingimusel, et võetakse arvesse üksikisikute ja ettevõtjate õigustatud huvi kaitsta oma isikuandmeid ja ärisaladusi.

7.   Käesoleva artikli alusel määratud trahvidega kogutud summad kantakse liidu üldeelarvesse.

Artikkel 67

Andmesubjektide esindamine

Andmesubjektil on õigus volitada esitama oma nimel Euroopa Andmekaitseinspektorile kaebust ning kasutama tema nimel artiklites 63 ja 64 osutatud õigusi ja õigust saada artiklis 65 osutatud hüvitist mittetulundusliku asutuse, organisatsiooni või ühenduse, mis on nõuetekohaselt asutatud kooskõlas liidu või liikmesriigi õigusega, mille põhikirjajärgsed eesmärgid on avalikes huvides ning mis tegutseb andmesubjekti õiguste ja vabaduste kaitsmise valdkonnas seoses andmesubjekti isikuandmete kaitsmisega.

Artikkel 68

Liidu töötajate kaebused

Iga liidu institutsiooni või asutuse töötaja võib esitada Euroopa Andmekaitseinspektorile kaebuse käesoleva määruse sätete väidetava rikkumise kohta, sealhulgas väljaspool ametlikke kanaleid. Keegi ei tohi kannatada seepärast, et ta on esitanud Euroopa Andmekaitseinspektorile kaebuse määruse sätete väidetava rikkumise kohta.

Artikkel 69

Karistused

Kui liidu ametnik või teenistuja jätab käesolevas määruses sätestatud kohustused tahtlikult või hooletusest täitmata, kohaldatakse asjaomase ametniku või teenistuja suhtes distsiplinaar- või muud menetlust personalieeskirjades sätestatud korras.

IX PEATÜKK

KASUTATAVATE ISIKUANDMETE TÖÖTLEMINE LIIDU ORGANITE JA ASUTUSTE POOLT TEGEVUSTES, MIS JÄÄVAD ELI TOIMIMISE LEPINGU KOLMANDA OSA V JAOTISE 4. JA 5. PEATÜKI KOHALDAMISALASSE

Artikkel 70

Peatüki kohaldamisala

Käesolevat peatükki kohaldatakse ainult kasutatavate isikuandmete töötlemisele liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, ilma et see piiraks sellistele liidu organitele ja asutustele kohaldatavaid konkreetseid andmekaitse-eeskirju.

Artikkel 71

Kasutatavate isikuandmete töötlemise põhimõtted

1.   Kasutatavate isikuandmete osas tagatakse, et:

a)

andmeid töödeldakse õiguspäraselt ja õiglaselt („seaduslikkus ja õiglus“);

b)

andmeid kogutakse täpselt ja selgelt väljendatud ning õiguspärastel eesmärkidel ning neid ei töödelda viisil, mis on nende eesmärkidega vastuolus („eesmärgipärasus“);

c)

andmed on töötlemise otstarbe seisukohalt piisavad ja asjakohased ega ole ülemäärased („võimalikult väheste andmete kogumine“);

d)

andmed on õiged ja vajaduse korral ajakohastatud; tuleb võtta kõik mõistlikud meetmed, et andmete töötlemise eesmärgi seisukohast ebaõiged isikuandmed viivitamata kustutada või parandada („õigsus“);

e)

andmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik kasutatavate isikuandmete töötlemise eesmärkidel („säilitamispiirang“);

f)

andmeid töödeldakse nii, et on tagatud nende piisav turvalisus, sealhulgas kaitse loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („terviklikkus ja konfidentsiaalsus“).

2.   Isikuandmete töötlemine sama või muu vastutava töötleja poolt muul liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud eesmärgil kui eesmärk, milleks kasutatavaid isikuandmeid kogutakse, on lubatud niivõrd, kuivõrd

a)

vastutav töötleja on volitatud töötlema selliseid kasutatavaid isikuandmeid sellisel eesmärgil kooskõlas liidu õigusega ning

b)

isikuandmete töötlemine on vastavalt liidu õigusele vajalik ja nimetatud muu eesmärgiga proportsionaalne.

3.   Isikuandmete töötlemine sama või muu vastutava töötleja poolt võib hõlmata avalikes huvides arhiveerimist või teaduslikku, statistilist või ajaloolist kasutamist liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud eesmärkidel, tingimusel et andmesubjekti õiguste ja vabaduste kaitseks kohaldatakse asjakohaseid kaitsemeetmeid.

4.   Vastutav töötleja vastutab lõigete 1, 2 ja 3 täitmise eest ja on võimeline nende täitmist tõendama.

Artikkel 72

Kasutatavate isikuandmete töötlemise õiguspärasus

1.   Kasutatavate isikuandmete töötlemine on õiguspärane üksnes sellisel juhul ja sel määral, kui see on vajalik teatava ülesande täitmiseks liidu organite ja asutuste tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse, ning tugineb liidu õigusele.

2.   Liidu eriõigusaktides, millega reguleeritakse isikuandmete töötlemist käesoleva peatüki kohaldamisalas, täpsustatakse vähemalt töötlemise eesmärgid, töödeldavad kasutatavad isikuandmed, töötlemise üldised eesmärgid ning tähtajad kasutatavate isikuandmete säilitamiseks või nende edasise säilitamise vajaduse korrapäraseks läbivaatamiseks.

Artikkel 73

Andmesubjektide kategooriad

Kui see on kohaldatav ja võimaluste piires teeb vastutav töötleja selget vahet andmesubjektide eri kategooriate, näiteks liidu organite või asutuste asutamist käsitlevates õigusaktides loetletud kategooriate kasutatavate isikuandmete vahel.

Artikkel 74

Kasutatavate isikuandmete eristamine ja kasutatavate isikuandmete kvaliteedi kontrollimine

1.   Vastutav töötleja eristab võimalikult suures ulatuses faktidel põhinevaid kasutatavaid isikuandmeid isiklikel hinnangutel põhinevatest kasutatavatest isikuandmetest.

2.   Vastutav töötleja võtab kõik mõistlikud meetmed tagamaks, et ebaõigeid, mittetäielikke või aegunud kasutatavaid isikuandmeid ei edastata ega tehta kättesaadavaks. Selleks kontrollib vastutav töötleja – kui see on võimalik ja vajalik – enne kasutatavate isikuandmete edastamist või kättesaadavaks tegemist nende kvaliteeti, näiteks konsulteerides pädeva asutusega, kust andmed pärinevad. Kasutatavate isikuandmete edastamisel lisab vastutav töötleja võimaluse korral vajaliku teabe, mis võimaldab vastuvõtjal hinnata kasutatavate isikuandmete õigsust, täielikkust, usaldusväärsust ja ajakohasust.

3.   Kui ilmneb, et edastatud on ebaõigeid kasutatavaid isikuandmeid või kasutatavaid isikuandmeid on edastatud ebaseaduslikult, teavitatakse vastuvõtjat sellest viivitamata. Sellisel juhul tuleb kasutatavad isikuandmed kooskõlas artikliga 82 parandada, kustutada või nende töötlemist piirata.

Artikkel 75

Töötlemise eritingimused

1.   Kui andmeid edastavale vastutavale töötlejale kohaldatavad liidu õigusaktid näevad ette töötlemise eritingimused, teavitab vastutav töötleja selliste kasutatavate isikuandmete vastuvõtjat nendest tingimustest ja kohustusest neid järgida.

2.   Vastutav töötleja täidab töötlemise eritingimusi, mille isikuandmeid edastav pädev asutus on ette näinud kooskõlas direktiivi (EL) 2016/680 artikli 9 lõigetega 3 ja 4.

Artikkel 76

Kasutatavate isikuandmete eriliikide töötlemine

1.   Selliste kasutatavate isikuandmete töötlemine, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, ning füüsilise isiku kordumatuks tuvastamiseks kasutatavate geneetiliste ja biomeetriliste andmete ja tervist või seksuaalelu või seksuaalset sättumust käsitlevate kasutatavate isikuandmete töötlemine on lubatud üksnes siis, kui see on operatiivsetel eesmärkidel möödapääsmatult vajalik, töötlemine toimub asjaomase liidu organi või asutuse pädevuse piires ning kohaldatakse andmesubjekti õiguste ja vabaduste kaitsmiseks asjakohaseid kaitsemeetmeid. Füüsiliste isikute diskrimineerimine kõnealuste isikuandmete põhjal on keelatud.

2.   Andmekaitseametnikku teavitatakse põhjendamatu viivituseta käesoleva artikli kohaldamisest.

Artikkel 77

Automatiseeritud töötlusel põhinevate üksikotsuste tegemine, sealhulgas profiilianalüüs

1.   Keelatud on teha üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil põhinevaid otsuseid, millel on andmesubjektile kahjulikud õiguslikud tagajärjed või märkimisväärne mõju, välja arvatud juhul, kui see on lubatud vastutava töötleja suhtes kohaldatava liidu õigusega, mis sisaldab piisavaid kaitsemeetmeid andmesubjekti õiguste ja vabaduste tagamiseks vähemalt õigust vastutava töötleja isiklikule sekkumisele.

2.   Käesoleva artikli lõikes 1 osutatud otsused ei tohi põhineda artiklis 76 osutatud isikuandmete eriliikidel, välja arvatud juhul, kui rakendatakse sobivaid meetmeid andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks.

3.   Profiilianalüüs, mille tulemusel füüsilisi isikuid diskrimineeritakse artiklis 76 osutatud isikuandmete eriliikide alusel, on liidu õiguse kohaselt keelatud.

Artikkel 78

Teavitamine ja andmesubjekti õiguste kasutamise kord

1.   Vastutav töötleja võtab mõistlikke meetmeid, et esitada andmesubjektile artiklis 79 osutatud kogu teave ning teavitada teda seoses artiklitega 80–84 ja 92 isikuandmete töötlemisest, tehes seda kokkuvõtlikul, arusaadaval ja hõlpsasti kättesaadava kujul ning selges ja lihtsas sõnastuses. Nimetatud teave esitatakse asjakohaste vahendite abil, sealhulgas elektrooniliselt. Üldreeglina esitab vastutav töötleja teabe taotlusega samal kujul.

2.   Vastutav töötleja aitab andmesubjektil kasutada tema õigusi vastavalt artiklitele 79–84.

3.   Vastutav töötleja vastab andmesubjektile kirjalikult põhjendamatu viivituseta ja vähemalt kolme kuu jooksul pärast viimaselt taotluse saamist.

4.   Vastutav töötleja esitab artikli 79 kohast teavet ning teavitab artiklite 80–84 ning 92 alusel toimunud suhtlusest või võetud meetmetest tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja keelduda taotluse alusel toimingu tegemisest. Vastutaval töötlejal lasub kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.

5.   Kui vastutaval töötlejal on põhjendatud kahtlused artiklis 80 või 82 osutatud taotlust esitava füüsilise isiku isikusamasuse suhtes, võib vastutav töötleja nõuda andmesubjekti isiku tuvastamiseks vajaliku täiendava teabe esitamist.

Artikkel 79

Andmesubjektile kättesaadavaks tehtav või antav teave

1.   Vastutav töötleja teeb andmesubjektile kättesaadavaks vähemalt järgmise teabe:

a)

liidu organi või asutuse nimetus ja kontaktandmed;

b)

andmekaitseametniku kontaktandmed;

c)

kasutatavate isikuandmete töötlemise kavandatud eesmärk;

d)

õigus esitada kaebus Euroopa Andmekaitseinspektorile ning viimase kontaktandmed;

e)

õigus taotleda vastutavalt töötlejalt andmesubjekti kasutatavate isikuandmetega tutvumist ning nende parandamist või kustutamist ning kasutatavate isikuandmete töötlemise piiramist.

2.   Lisaks lõikes 1 osutatud teabele annab vastutav töötleja selleks, et andmesubjektil oleks võimalik oma õigusi teostada, talle liidu õiguses ette nähtud erijuhtudel järgmise täiendava teabe:

a)

isikuandmete töötlemise õiguslik alus;

b)

kasutatavate isikuandmete säilitamise tähtaeg või kui see ei ole võimalik, siis kõnealuse tähtaja määramise kriteeriumid;

c)

vajaduse korral kasutatavate isikuandmete vastuvõtjate kategooriad, sealhulgas kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid;

d)

vajaduse korral lisateave, eriti juhul, kui kasutatavad isikuandmed on kogutud andmesubjekti teadmata.

3.   Vastutav töötleja võib andmesubjektile lõike 2 kohaselt teabe esitamist edasi lükata, piirata või teabe esitamata jätta sellises ulatuses ja selle ajani, mil selline meede on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

a)

vältida ametlike või õiguslike päringute, uurimiste või menetluste takistamist;

b)

vältida kuritegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamist;

c)

kaitsta liikmesriikide avalikku julgeolekut;

d)

kaitsta liikmesriikide riiklikku julgeolekut;

e)

kaitsta teiste isikute, näiteks ohvrite ja tunnistajate õigusi ja vabadusi.

Artikkel 80

Andmesubjekti õigus tutvuda andmetega

Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas kõnealune vastutav töötleja töötleb teda käsitlevaid kasutatavaid isikuandmeid või mitte ning juhul, kui seda tehakse, on andmesubjektil õigus tutvuda asjaomaste kasutatavate isikuandmetega ja järgmise teabega:

a)

töötlemise eesmärk ja õiguslik alus;

b)

asjaomaste kasutatavate isikuandmete liigid;

c)

vastuvõtjad või vastuvõtjate kategooriad, kellele kasutatavaid isikuandmeid on avalikustatud, eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid;

d)

kui võimalik, siis kasutatavate isikuandmete säilitamise kavandatav ajavahemik, või kui see ei ole võimalik, siis selle ajavahemiku määramise kriteeriumid;

e)

õigus taotleda vastutavalt töötlejalt andmesubjekti kasutatavate isikuandmetega tutvumist ning nende parandamist või kustutamist ning kasutatavate isikuandmete töötlemise piiramist;

f)

õigus esitada Euroopa Andmekaitseinspektorile kaebus ja õigus saada Euroopa Andmekaitseinspektori kontaktandmed;

g)

töödeldavate kasutatavate isikuandmete ja nende päritolu käsitleva teabe edastamine.

Artikkel 81

Andmetega tutvumise õiguse piirangud

1.   Vastutav töötleja võib andmesubjekti isikuandmetega tutvumise õigust täielikult või osaliselt piirata sellises ulatuses ja määral, mil selline piiramine on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

a)

hoida ära ametlike või õiguslike päringute, uurimiste või menetluste takistamist;

b)

hoida ära süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamist;

c)

kaitsta liikmesriikide avalikku julgeolekut;

d)

kaitsta liikmesriikide riiklikku julgeolekut;

e)

kaitsta teiste isikute õigusi ja vabadusi.

2.   Lõikes 1 osutatud juhtudel teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta kirjalikult juurdepääsu andmisest keeldumisest või juurdepääsu piiramisest ja keeldumise või piiramise põhjustest. Sellist teavet ei pea andma, kui selle andmine kahjustaks mõnda lõike 1 kohast eesmärki. Vastutav töötleja teavitab andmesubjekti võimalusest esitada kaebus Euroopa andmekaitseinspektorile või pöörduda Euroopa Kohtusse. Vastutav töötleja dokumenteerib otsuse faktilised ja õiguslikud alused. See teave tehakse vastava taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks.

Artikkel 82

Kasutatavate isikuandmete parandamise või kustutamise ja töötlemise piiramise õigus

1.   Andmesubjektil on õigus nõuda, et vastutav töötleja parandaks põhjendamatu viivituseta teda puudutavad ebaõiged kasutatavad isikuandmed. Võttes arvesse töötlemise eesmärke, on andmesubjektil õigus nõuda mittetäielike kasutatavate isikuandmete täiendamist, sealhulgas täiendava õiendi esitamise teel.

2.   Vastutav töötleja kustutab kasutatavad isikuandmed põhjendamatu viivituseta ja andmesubjektil on õigus nõuda vastutavalt töötlejalt oma kasutatavate isikuandmete kustutamist põhjendamatu viivituseta, kui isikuandmete töötlemisega rikutakse artiklit 71, artikli 72 lõiget 1 või artiklit 76, või kui kasutatavad isikuandmed tuleb kustutada vastutava töötleja õiguslikult siduva kohustuse täitmiseks.

3.   Isikuandmete kustutamise asemel piirab vastutav töötleja nende töötlemist, kui:

a)

andmesubjekt vaidlustab isikuandmete õigsuse ning nende õigsust või ebaõigsust ei ole võimalik kindlaks teha või

b)

isikuandmeid tuleb säilitada tõendamise eesmärgil.

Juhul kui isikuandmete töötlemine on esimese lõigu punkti a kohaselt piiratud, teavitab vastutav töötleja andmesubjekti enne isikuandmete töötlemise piirangu kõrvaldamist.

Töötlemispiirangutega andmeid töödeldakse üksnes sel eesmärgil, mis takistas nende kustutamist.

4.   Vastutav töötleja teavitab andmesubjekti kirjalikult, kui ta keeldub kasutatavate isikuandmete parandamisest või kustutamisest või nende töötlemise piiramisest ning esitab keeldumise põhjused. Vastutav töötleja võib sellise teabe esitamise kohustust täielikult või osaliselt piirata määral, mil selline piirang on demokraatlikus ühiskonnas asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades vajalik ja proportsionaalne, selleks et:

a)

hoida ära ametlike või õiguslike päringute, uurimiste või menetluste takistamist;

b)

hoida ära kuritegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise takistamist;

c)

kaitsta liikmesriikide avalikku julgeolekut;

d)

kaitsta liikmesriikide riiklikku julgeolekut;

e)

kaitsta teiste isikute, näiteks ohvrite ja tunnistajate õigusi ja vabadusi.

Vastutav töötleja teavitab andmesubjekti võimalusest esitada kaebus Euroopa andmekaitseinspektorile või pöörduda Euroopa Kohtusse.

5.   Vastutav töötleja teavitab ebaõigete kasutatavate isikuandmete parandamisest pädevat asutust, kellelt ebaõiged kasutatavad isikuandmed pärinesid.

6.   Juhul kui kasutatavaid isikuandmeid on lõike 1, 2 või 3 kohaselt parandatud, kustutatud või nende töötlemist on piiratud, teavitab vastutav töötleja sellest vastuvõtjaid ning vastuvõtjad peavad nende vastutuse alla kuuluvad kasutatavad isikuandmed parandama või kustutama või piirama nende töötlemist.

Artikkel 83

Õigus juurdepääsule kriminaaluurimises ja -menetluses

Kui kasutatavad isikuandmed pärinevad pädevalt asutuselt, siis – enne otsuse tegemist andmesubjekti õiguse kohta isikuandmetega tutvuda – kontrollivad liidu organid ja asutused koos asjaomase pädeva asutusega, kas need isikuandmed sisalduvad pädeva asutuse liikmesriigi kohtuotsuses, karistusregistris või kriminaaluurimise ja -menetluse käigus töödeldud toimikus. Kui sisalduvad, siis tehakse otsus õiguse kohta isikuandmetega tutvuda asjaomase pädeva asutusega konsulteerides ja tihedat koostööd tehes.

Artikkel 84

Andmesubjekti õiguste teostamine ning kontroll Euroopa Andmekaitseinspektori poolt

1.   Artikli 79 lõikes 3, artiklis 81 ja artikli 82 lõikes 4 osutatud juhtudel võib andmesubjekt teostada oma õigusi ka Euroopa Andmekaitseinspektori kaudu.

2.   Vastutav töötleja teavitab andmesubjekti võimalusest teostada vastavalt lõikele 1 oma õigusi Euroopa Andmekaitseinspektori kaudu.

3.   Lõikes 1 osutatud õiguse kasutamise korral teavitab Euroopa Andmekaitseinspektor andmesubjekti vähemalt sellest, et ta on läbi viinud kõik vajalikud kontrollid või läbivaatuse. Euroopa Andmekaitseinspektor teavitab ühtlasi andmesubjekti tema õigusest pöörduda õiguskaitse saamiseks Euroopa Kohtusse.

Artikkel 85

Isikuandmete lõimitud kaitse ja vaikimisi kaitse

1.   Vastutav töötleja rakendab – võttes sealjuures arvesse teaduse ja tehnoloogia uusimaid saavutusi ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti isikuandmete töötlemisest tulenevaid erineva tõenäosuse ja suurusega ohtusid füüsiliste isikute õigustele ja vabadustele – nii isikuandmete töötlemise vahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, näiteks pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete, näiteks võimalikult väheste andmete kogumise põhimõtte tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse ja tema asutamist käsitleva õigusakti nõudeid ning kaitsta andmesubjektide õigusi.

2.   Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult kasutatavaid isikuandmeid, mis on asjakohased ja vajalikud töötlemise eesmärgi saavutamiseks ega ole ülemäärased. Nimetatud kohustus kehtib kogutud kasutatavate isikuandmete hulga, töötlemise ulatuse, säilitamise aja ja nende kättesaadavuse suhtes. Eelkõige tagatakse selliste meetmetega, et kasutatavaid isikuandmeid ei tehta vaikimisi kättesaadavaks määramata arvule füüsilistele isikutele ilma asjaomase isiku sekkumiseta.

Artikkel 86

Kaasvastutavad töötlejad

1.   Kui kaks või enam vastutavat töötlejat või üks või enam vastutavat töötlejat koos ühe või enama vastutava töötlejaga, kes ei ole liidu institutsioonid või asutused, määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklis 79 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral, mil kaasvastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud kaasvastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppega võib määrata andmesubjektide jaoks kontaktpunkti.

2.   Lõikes 1 osutatud kokkuleppes võetakse asjakohaselt arvesse kaasvastutavate töötlejate vastavaid rolle ja suhteid seoses andmesubjektidega. Kokkuleppe põhitingimused tehakse andmesubjektile teatavaks.

3.   Sõltumata lõikes 1 osutatud kokkuleppe tingimustest võib andmesubjekt kasutada oma käesoleva määruse kohaseid õigusi iga vastutava töötleja suhtes ja vastu.

Artikkel 87

Volitatud töötleja

1.   Kui andmeid töödeldakse vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab käesoleva määruse nõuetele ja vastutava töötleja asutamist käsitlevale õigusaktile ning sealjuures tagatakse andmesubjekti õiguste kaitse.

2.   Volitatud töötleja ei kaasa teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa korral teavitab volitatud töötleja vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad teiste volitatud töötlejate lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste muudatuste suhtes vastuväiteid.

3.   Andmeid töödeldakse lepingu või muu liidu või liikmesriigi õigusakti alusel, mis on volitatud töötlejale vastutava töötleja suhtes siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, kasutatavate isikuandmete liik ja andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. Asjaomases lepingus või muus õigusaktis sätestatakse eelkõige, et volitatud töötleja:

a)

tegutseb ainult vastutava töötleja juhiste alusel;

b)

tagab, et kasutatavaid isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane õigusaktist tulenev konfidentsiaalsuskohustus;

c)

aitab vastutaval töötlejal kõigi asjakohaste vahenditega tagada, et järgitakse sätteid andmesubjekti õiguste kohta;

d)

pärast töötlemisega seotud teenuste osutamise lõppu kas kustutab kõik kasutatavad isikuandmed või tagastab need vastutavale töötlejale, sõltuvalt vastutava töötleja soovist, ja kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu õiguse või liikmesriigi õiguse kohaselt nõutakse kasutatavate isikuandmete säilitamist;

e)

teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevas artiklis sätestatud kohustuste täitmist;

f)

järgib lõikes 2 ja käesolevas lõikes osutatud tingimusi teise volitatud töötleja kaasamiseks.

4.   Lõikes 3 osutatud leping või siduv õigusakt peab olema kirjalik, sealhulgas elektroonilisel kujul.

5.   Kui volitatud töötleja rikub isikuandmete töötlemise eesmärkide ja vahendite määramisel käesoleva määruse või vastutava töötleja asutamist käsitleva õigusakti sätteid, siis loetakse volitatud töötlejat selle töötlemise suhtes vastutavaks töötlejaks.

Artikkel 88

Logimine

1.   Vastutav töötleja peab logisid kõigi järgmiste töötlemistoimingute kohta automatiseeritud töötlemissüsteemides: kasutatavate isikuandmete kogumine, muutmine, nendele juurdepääs, nendega tutvumine, avalikustamine, sealhulgas edastamine, ühendamine ja kustutamine. Tutvumist ja avalikustamist kajastavad logifailid peavad võimaldama teha kindlaks nimetatud toimingute põhjenduse, kuupäeva ja aja, samuti kasutatavate isikuandmetega tutvunud ja need avalikustanud isiku ning võimaluse korral selliste kasutatavate isikuandmete vastuvõtjate nimed.

2.   Logifaile kasutatakse üksnes kasutatavate isikuandmete töötlemise toimingute seaduslikkuse kontrollimiseks, siseseireks, kasutatavate isikuandmete terviklikkuse ja turvalisuse tagamiseks ning kriminaalmenetluses. Logifailid kustutatakse kolme aasta pärast, välja arvatud juhul, kui neid vajatakse pideva seire huvides.

3.   Vastutav töötleja teeb kõnealused logifailid kättesaadavaks oma andmekaitseinspektorile ja taotluse korral Euroopa Andmekaitseinspektorile.

Artikkel 89

Andmekaitsealane mõju hindamine

1.   Kui teatavat tüüpi töötlemise, eelkõige uut tehnoloogiat kasutava töötlemise tulemusena ning töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib füüsiliste isikute õigustele ja vabadustele tõenäoliselt suur oht, hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate töötlemistoimingute mõju kasutatavate isikuandmete kaitsele.

2.   Lõikes 1 osutatud hindamine hõlmab vähemalt kavandatud töötlemistoimingute üldkirjeldust, andmesubjektide õigusi ja vabadusi ähvardavate ohtude hinnangut, nende ohtude käsitlemiseks kavandatud meetmeid, kaitsemeetmeid, turvameetmeid ja mehhanisme, mis tagavad kasutatavate isikuandmete kaitse ja tõendavad kooskõla andmekaitsenormidega, võttes arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õigustatud huve.

Artikkel 90

Eelnev konsulteerimine Euroopa Andmekaitseinspektoriga

1.   Vastutav töötleja konsulteerib Euroopa Andmekaitseinspektoriga enne, kui ta hakkab töötlema isikuandmeid, mis kantakse uude loodavasse andmete kogumisse, kui:

a)

artikli 89 kohasest andmekaitsealasest mõjuhinnangust nähtub, et töötlemise tulemusena tekiks suur oht, kui vastutav töötleja ei võta selle leevendamiseks meetmeid, või

b)

isikuandmete töötlemise laadiga kaasneb andmesubjekti õigustele ja vabadustele suur oht, eelkõige kui kasutatakse uusi tehnoloogiaid, mehhanisme või menetlusi.

2.   Euroopa Andmekaitseinspektor võib koostada loetelu isikuandmete töötlemise toimingutest, mille suhtes kohaldatakse lõikes 1 sätestatud eelnevat konsulteerimist.

3.   Vastutav töötleja esitab Euroopa Andmekaitseinspektorile artiklis 89 osutatud andmekaitsealase mõjuhinnangu ja taotluse korral ka muu teabe, mille alusel Euroopa Andmekaitseinspektor saab hinnata isikuandmete töötlemise vastavust nõuetele ning eelkõige andmesubjekti kasutatavate isikuandmete kaitset ähvardavaid ohtusid ja nendega seotud kaitsemeetmeid.

4.   Kui Euroopa Andmekaitseinspektor leiab, et käesoleva artikli lõikes 1 osutatud kavandatava isikuandmete töötlemisega rikutaks käesolevat määrust või liidu organi või asutuse asutamist käsitlevat õigusakti, eelkõige juhul, kui vastutav töötleja ei ole riske piisaval määral tuvastanud või leevendanud, annab Euroopa Andmekaitseinspektor hiljemalt kuue nädala jooksul alates konsulteerimistaotluse saamisest vastutavale töötlejale kirjalikult nõu. Seda tähtaega võib pikendada ühe kuu võrra, arvestades kavandatud isikuandmete töötlemise keerukust. Euroopa Andmekaitseinspektor teavitab vastutavat töötlejat tähtaja pikendamisest ühe kuu jooksul alates konsulteerimistaotluse saamisest ning teatab tähtaja pikendamise põhjused.

Artikkel 91

Kasutatavate isikuandmete töötlemise turvalisus

1.   Vastutav töötleja ja volitatud töötleja rakendavad ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, eelkõige seoses kasutatavate isikuandmete eriliikide töötlemisega, võttes seejuures arvesse teaduse ja tehnoloogia uusimaid saavutusi ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohtusid füüsiliste isikute õigustele ja vabadustele.

2.   Vastutav töötleja ja volitatud töötleja rakendavad automatiseeritud andmetöötluse suhtes pärast ohuhindamist meetmeid, mille eesmärk on:

a)

keelata volitamata isikute juurdepääs isikuandmete töötlemiseks kasutatavatele andmetöötlusseadmetele (töövahenditele juurdepääsu kontroll);

b)

hoida ära andmekandjate lugemine, kopeerimine, muutmine või kõrvaldamine vastava loata isikute poolt (andmekandjate kontroll);

c)

hoida ära kasutatavate isikuandmete sisestamine ja säilitatavate kasutatavate isikuandmetega tutvumine, nende muutmine või kustutamine ilma vastava loata (säilitamise kontroll);

d)

hoida ära automatiseeritud andmetöötlussüsteemi andmesidevahendite abil kasutamine volitamata isikute poolt (kasutajate kontroll);

e)

tagada, et automatiseeritud andmetöötlussüsteemi kasutamise loaga isikutel oleks juurdepääs üksnes nendele kasutatavatele isikuandmetele, mida nende juurdepääsuluba hõlmab (juurdepääsu kontroll);

f)

tagada võimalus tõendada ja kindlaks määrata, millistele asutustele on kasutatavaid isikuandmeid andmesidevahendite kaudu edastatud või kättesaadavaks tehtud või millistele asutustele võib neid edastada või kättesaadavaks teha (andmeedastuse kontroll);

g)

tagada võimalus hiljem kontrollida ja kindlaks teha, milliseid kasutatavaid isikuandmeid on automatiseeritud andmetöötlussüsteemi sisestatud ning millal ja kes need sisestas (sisestamise kontroll);

h)

vältida isikuandmete loata lugemist, kopeerimist, muutmist või kustutamist andmete edastamise või andmekandjate transportimise ajal (veo kontroll);

i)

tagada, et paigaldatud süsteeme oleks võimalik katkestuse korral taastada (taastamine);

j)

tagada, et süsteem toimib, et selles ilmnevatest toimimisvigadest teatatakse (töökindlus) ja et süsteemirikked ei põhjusta kasutatavate isikuandmete moonutamist (terviklikkus).

Artikkel 92

Euroopa Andmekaitseinspektori teavitamine isikuandmetega seotud rikkumisest

1.   Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates viivituse kohta põhjendus.

2.   Lõikes 1 osutatud teates tuleb esitada vähemalt järgmine teave:

a)

kirjeldada isikuandmetega seotud rikkumise laadi ning nimetada võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning asjaomaste kasutatavate isikuandmete kirjete liigid ja ligikaudne arv;

b)

teatada andmekaitseametniku nimi ja kontaktandmed;

c)

kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi;

d)

kirjeldada vastutava töötleja poolt võetud või kavandatud meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju leevendamiseks.

3.   Juhul ja niivõrd, kuivõrd kogu lõikes 2 osutatud teavet ei ole võimalik esitada korraga, võib teabe esitada järk-järgult ilma põhjendamatu viivituseta.

4.   Vastutav töötleja dokumenteerib kõik lõikes 1 osutatud isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju ja võetud parandusmeetmed. Need dokumendid peavad võimaldama Euroopa Andmekaitseinspektoril kontrollida käesolevas artiklis sätestatud nõuete täitmist.

5.   Kui kasutatavate isikuandmetega seotud rikkumine puudutab isikuandmeid, mis on edastatud teise liikmesriigi vastutava töötleja poolt või teise liikmesriigi vastutavale töötlejale, edastab vastutav töötleja lõikes 2 osutatud teabe põhjendamatu viivituseta asjaomasele pädevale asutusele.

Artikkel 93

Andmesubjekti teavitamine isikuandmetega seotud rikkumisest

1.   Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.

2.   Andmesubjektile käesoleva artikli lõike 1 kohaselt esitatud teates kirjeldatakse selges ja lihtsas keeles isikuandmetega seotud rikkumise laadi ning esitatakse vähemalt artikli 92 lõike 2 punktides b, c ja d sätestatud teave ja soovitused.

3.   Lõikes 1 osutatud andmesubjekti teavitamist ei nõuta juhul, kui on täidetud mõni järgmistest tingimustest:

a)

vastutav töötleja on kehtestanud asjakohased tehnoloogilised ja korralduslikud kaitsemeetmed ja neid kohaldati kasutatavate isikuandmetega seotud rikkumisest mõjutatud isikuandmetele, kasutades eelkõige selliseid meetmeid, mis muudavad kasutatavad isikuandmed juurdepääsuõiguseta isikutele loetamatuks (näiteks krüpteerimine);

b)

vastutav töötleja on võtnud hilisemad meetmed, mis tagavad, et lõikes 1 osutatud suure ohu teke andmesubjektide õigustele ja vabadustele ei ole enam tõenäoline;

c)

see nõuaks ebaproportsionaalset jõupingutust. Sellisel juhul avaldatakse andmesubjekti teavitamise asemel avalik teadaanne või võetakse muu sarnane meede, millega teavitatakse kõiki andmesubjekte ühevõrra tulemuslikult.

4.   Kui vastutav töötleja ei ole andmesubjekti isikuandmetega seotud rikkumisest veel teavitanud, võib Euroopa Andmekaitseinspektor pärast selle hindamist, kas isikuandmetega seotud rikkumine võib põhjustada suurt ohtu, seda vastutavalt töötlejalt nõuda või otsustada, et täidetud on üks lõikes 3 osutatud tingimustest.

5.   Artikli 79 lõikes 3 osutatud tingimustel ja alustel võib andmesubjektile käesoleva artikli lõikes 1 osutatud teabe esitada hiljem või piiratud ulatuses või jätta see esitamata.

Artikkel 94

Kasutatavate isikuandmete edastamine kolmandatele riikidele ja rahvusvahelistele organisatsioonidele

1.   Arvestades liidu organi või asutuse asutamist käsitlevas õigusaktis sätestatud piiranguid ja tingimusi, võib vastutav töötleja edastada kasutatavaid isikuandmeid kolmanda riigi asutusele või rahvusvahelisele organisatsioonile, kui see on vajalik vastutava töötleja ülesannete täitmiseks ja ainult juhul, kui on täidetud käesolevas artiklis sätestatud tingimused, nimelt:

a)

komisjon on kooskõlas direktiivi (EL) 2016/680 artikli 36 lõikega 3 võtnud vastu piisavusotsuse, mille kohaselt kolmas riik või territoorium või asjaomase kolmanda riigi andmetöötlussektor või asjaomane rahvusvaheline organisatsioon tagab piisava kaitsetaseme;

b)

kui komisjon ei ole võtnud vastu punkti a kohast kaitse piisavuse otsust, on liidu ja asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel ELi toimimise lepingu artikli 218 alusel sõlmitud rahvusvaheline leping, millega nähakse ette piisavad turvameetmed üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks;

c)

kui puudub punkti a kohane komisjoni piisavusotsus või punkti b kohane rahvusvaheline leping, on liidu organi või asutuse ja kolmanda riigi vahel sõlmitud koostööleping, mis võimaldab kasutatavate isikuandmete vahetamist enne kõnealuse liidu organi või asutuse asutamist käsitleva õigusakti kohaldamise kuupäeva.

2.   Liidu organite ja asutuste asutamist käsitleva õigusaktiga võib säilitada või kehtestada konkreetsemad sätted kasutatavate isikuandmete rahvusvahelise edastamise tingimuste kohta, eelkõige seoses isikuandmete edastamisega piisavate kaitsemeetmete ja konkreetsetes olukordades kasutatavate erandite alusel.

3.   Vastutav töötleja avaldab oma veebisaidil loetelu lõike 1 punktis a osutatud kaitse piisavuse otsustest, lepingutest, halduskokkulepetest ja teistest vahenditest, mis seonduvad isikuandmete edastamisega vastavalt lõikele 1, ja ajakohastab seda.

4.   Vastutav töötleja dokumenteerib üksikasjalikult kõik käesoleva artikli kohased edastamised.

Artikkel 95

Kohtuliku uurimise ja kriminaalmenetluse saladus

ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse jäävaid tegevusi teostavate liidu organite ja asutuste asutamist käsitlevad õigusaktid võivad kohustada Euroopa Andmekaitseinspektorit võtma oma järelevalvevolituste täitmisel võimalikult suurel määral arvesse kohtuliku uurimise ja kriminaalmenetluse saladust kooskõlas liidu või liikmesriigi õigusega.

X PEATÜKK

RAKENDUSAKTID

Artikkel 96

Komiteemenetlus

1.   Komisjoni abistab komitee, mis on loodud määruse (EL) 2016/679 artikli 93 alusel. Nimetatud komitee on komitee määruse (EL) nr 182/2011 tähenduses.

2.   Käesolevale lõikele viitamisel kohaldatakse määruse (EL) nr 182/2011 artiklit 5.

XI PEATÜKK

LÄBIVAATAMINE

Artikkel 97

Läbivaatamisklausel

Hiljemalt 30. aprillil 2022 ja seejärel iga viie aasta järel esitab komisjon Euroopa Parlamendile ja nõukogule käesoleva määruse kohaldamise aruande ja lisab sellele vajaduse korral asjakohased seadusandlikud ettepanekud.

Artikkel 98

Liidu õigusaktide läbivaatamine

1.   Hiljemalt 30. aprilliks 2022 vaatab komisjon läbi aluslepingute alusel vastu võetud õigusaktid, mis reguleerivad kasutatavate isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, et

a)

hinnata nende vastavust direktiivile (EL) 2016/680 ja käesoleva määruse IX peatükile;

b)

teha kindlaks võimalikud lahknevused, mis võivad takistada kasutatavate isikuandmete vahetamist nendes valdkondades tegutsevate liidu organite ja asutuste ning pädevate asutuste vahel, ning

c)

teha kindlaks võimalikud lahknevused, mis võivad põhjustada liidu andmekaitset käsitlevate õigusaktide õiguslikku killustatust.

2.   Selleks et tagada füüsiliste isikute ühetaoline ja järjepidev kaitse isikuandmete töötlemisel, võib komisjon esitada asjakohaseid seadusandlikke ettepanekuid, eelkõige käesoleva määruse IX peatüki kohaldamiseks Europoli ja Euroopa Prokuratuuri suhtes, ja vajaduse korral käesoleva määruse IX peatüki muutmiseks.

XII PEATÜKK

LÕPPSÄTTED

Artikkel 99

Määruse (EÜ) nr 45/2001 ja otsuse nr 1247/2002/EÜ kehtetuks tunnistamine

Määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ tunnistatakse kehtetuks alates 11. detsembrist 2018. Viiteid kehtetuks tunnistatud määrusele ja otsusele käsitatakse viidetena käesolevale määrusele.

Artikkel 100

Üleminekumeetmed

1.   Käesolev määrus ei mõjuta Euroopa Parlamendi ja nõukogu otsust 2014/886/EL (20) ja Euroopa Andmekaitseinspektori ning inspektori asetäitja praegust ametiaega.

2.   Inspektori asetäitja on töötasu, lisatasude, vanaduspensioni ja muude töötasu asemel antavate soodustuste määramisel võrdne Euroopa Kohtu kohtusekretäriga.

3.   Käesoleva määruse artikli 53 lõikeid 4, 5 ja 7 ning artikleid 55 ja 56 kohaldatakse praeguse inspektori asetäitja suhtes kuni tema ametiaja lõpuni.

4.   Inspektori asetäitja aitab Euroopa Andmekaitseinspektorit kõigi tema ülesannete täitmisel ning asendab Euroopa Andmekaitseinspektorit, kui ta ei ole kohal või ei saa neid ülesandeid täita, kuni praeguse inspektori asetäitja ametiaja lõppemiseni.

Artikkel 101

Jõustumine ja kohaldamine

1.   Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

2.   Isikuandmete töötlemisele Eurojustis kohaldatakse käesolevat määrust alates 12. detsembri 2019.

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

Strasbourg, 23. oktoober 2018

Euroopa Parlamendi nimel

president

A. TAJANI

Nõukogu nimel

eesistuja

K. EDTSTADLER


(1)  ELT C 288, 31.8.2017, lk 107.

(2)  Euroopa Parlamendi 13. septembri 2018. aasta seisukoht (Euroopa Liidu Teatajas seni avaldamata) ja nõukogu 11. oktoobri 2018. aasta otsus.

(3)  Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrus (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (EÜT L 8, 12.1.2001, lk 1).

(4)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).

(5)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).

(6)  Nõukogu 5. aprilli 1993. aasta direktiiv 93/13/EMÜ ebaõiglaste tingimuste kohta tarbijalepingutes (EÜT L 95, 21.4.1993, lk 29).

(7)  Euroopa Parlamendi ja nõukogu 16. detsembri 2008. aasta määrus (EÜ) nr 1338/2008 rahvatervist ning töötervishoidu ja tööohutust käsitleva ühenduse statistika kohta (ELT L 354, 31.12.2008, lk 70).

(8)  Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT L 201, 31.7.2002, lk 37).

(9)  Euroopa Parlamendi ja nõukogu 30. mai 2001. aasta määrus (EÜ) nr 1049/2001 üldsuse juurdepääsu kohta Euroopa Parlamendi, nõukogu ja komisjoni dokumentidele (EÜT L 145, 31.5.2001, lk 43).

(10)  EÜT L 56, 4.3.1968, lk 1.

(11)  Euroopa Parlamendi ja nõukogu 16. veebruari 2011. aasta määrus (EL) nr 182/2011, millega kehtestatakse eeskirjad ja üldpõhimõtted, mis käsitlevad liikmesriikide läbiviidava kontrolli mehhanisme, mida kohaldatakse komisjoni rakendamisvolituste teostamise suhtes (ELT L 55, 28.2.2011, lk 13).

(12)  Euroopa Parlamendi ja nõukogu 11. märtsi 2009. aasta määrus (EÜ) nr 223/2009 Euroopa statistika kohta ning Euroopa Parlamendi ja nõukogu määruse (EÜ, Euratom) nr 1101/2008 (konfidentsiaalsete statistiliste andmete Euroopa Ühenduste Statistikaametile edastamise kohta), nõukogu määruse (EÜ) nr 322/97 (ühenduse statistika kohta) ja nõukogu otsuse 89/382/EMÜ, Euratom (millega luuakse Euroopa ühenduste statistikaprogrammi komitee) kehtetuks tunnistamise kohta (ELT L 87, 31.3.2009, lk 164).

(13)  Euroopa Parlamendi, nõukogu ja komisjoni 1. juuli 2002. aasta otsus nr 1247/2002/EÜ Euroopa andmekaitseinspektori ülesannete täitmist reguleerivate määruste ja üldtingimuste kohta (EÜT L 183, 12.7.2002, lk 1).

(14)  ELT C 164, 24.5.2017, lk 2.

(15)  Euroopa Parlamendi ja nõukogu 11. mai 2016. aasta määrus (EL) 2016/794, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused 2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT L 135, 24.5.2016, lk 53).

(16)  Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1).

(17)  Euroopa Parlamendi ja nõukogu 9. septembri 2015. aasta direktiiv (EL) 2015/1535, millega nähakse ette tehnilistest eeskirjadest ning infoühiskonna teenuste eeskirjadest teatamise kord (ELT L 241, 17.9.2015, lk 1).

(18)  Komisjoni 20. juuni 2008. aasta direktiiv 2008/63/EÜ konkurentsi kohta telekommunikatsioonivõrgu lõppseadmete turgudel (ELT L 162, 21.6.2008, lk 20).

(19)  Nõukogu 30. novembri 2009. aasta otsus 2009/917/JSK infotehnoloogia tollialase kasutamise kohta (ELT L 323, 10.12.2009, lk 20).

(20)  Euroopa Parlamendi ja nõukogu 4. detsembri 2014 otsus 2014/886/EL, mis käsitleb Euroopa andmekaitseinspektori ja inspektori asetäitja ametisse nimetamist (ELT L 351, 9.12.2014, lk 9).


Top