3.9.2013   

ET

Euroopa Liidu Teataja

C 253/3

1.

Võttes arvesse pilvandmetöötluse tähtsust kiiresti arenevas infoühiskonnas ning ELis käimasolevat poliitilist mõttevahetust pilvandmetöötluse üle, otsustas Euroopa andmekaitseinspektor avaldada käesoleva omaalgatusliku arvamuse.

2.

Käesolev arvamus on vastus komisjoni 27. septembri 2012. aasta teatisele „Pilvandmetöötluse võimaluste kasutamine Euroopas” (edaspidi „teatis”), (1) milles on kehtestatud põhimeetmed ja poliitikameetmed pilveteenuste kasutuselevõtu kiirendamiseks Euroopas. Enne teatise vastuvõtmist konsulteeriti Euroopa andmekaitseinspektoriga mitteametlikult ja ta esitas mitteametlikke märkusi. Euroopa andmekaitseinspektoril on hea meel selle üle, et mõnda tema märkust on teatises arvesse võetud.

3.

Arvestades aga pilvandmetöötluse ja andmekaitse õigusraamistiku seoseid käsitlevate arutelude ulatuslikkust ja tähtsust, ei piirdu käesolev arvamus teatises tõstatatud teemadega.

4.

Arvamuses pööratakse tähelepanu eelkõige probleemidele, mida pilvandmetöötlus andmekaitsega seoses põhjustab, ja kuidas neid saaks kavandatud andmekaitsemäärusega (edaspidi „kavandatud määrus”) (2) lahendada. Samuti on selles esitatud märkusi teatises piiritletud valdkondade kohta, mis vajavad lisameetmeid.

5.

ELis käimasolevas üldises poliitilises mõttevahetuses pilvandmetöötluse üle on eriti tähtsad järgmised meetmed ja dokumendid:

6.

Euroopa andmekaitseinspektor avaldab teatise üle heameelt. Selles on kindlaks määratud järgmised kolm ELi tasandil vajalikku põhimeedet, mis peaksid soodustama pilvandmetöötluse kasutamist Euroopas:

7.

Ette on nähtud ka täiendavad poliitilised meetmed, näiteks meetmed pilvandmetöötluse soodustamiseks teadus- ja arendustegevuse edendamise või teadlikkuse suurendamise kaudu, ning rõhutatud vajadust pöörata tugevdatud rahvusvahelise dialoogi kaudu tähelepanu olulistele pilveteenustega seotud küsimustele, nagu andmekaitse, õiguskaitseasutuste juurdepääs, andmeturve ja vahendusteenuste osutajate vastutus.

8.

Teatises on nimetatud andmekaitset kui olulist elementi Euroopas pilvandmetöötluse kasutuselevõtu edukuse tagamisel. Teatises on märgitud, (9) et kavandatud määruses käsitletakse mitut pilveteenuste osutajate ja klientide (10) tõstatatud probleemi.

9.

Käesoleval arvamusel on kolm eesmärki.

10.

Esimene eesmärk on juhtida tähelepanu eraelu puutumatuse ja andmekaitse tähtsusele käimasolevates pilvandmetöötlust käsitlevates aruteludes. Täpsemalt rõhutatakse siin asjaolu, et pilvandmetöötluses ei tohiks andmekaitse olla vähem tähtis, kui on nõutav mis tahes muu andmetöötluse puhul. Pilvandmetöötlust saab arendada ja õiguspäraselt kasutada ainult siis, kui on tagatud andmekaitse järgimine kõnealusel tasemel (vt peatükk III.3). Arvamuses on võetud arvesse artikli 29 töörühma arvamuses esitatud suuniseid.

11.

Teine eesmärk on analüüsida kavandatud andmekaitsemääruse kontekstis põhjalikumalt peamisi pilvandmetöötlusega kaasnevaid andmekaitseprobleeme, eelkõige raskusi seoses mitmesuguste osalejate vastutusalade ning vastutava töötleja ja volitatud töötleja mõistete ühese tõlgendamisega. Arvamuses (põhiliselt IV peatükis) on analüüsitud, kuidas kavandatud määrus oma praegusel kujul (11) aitab tagada kõrgetasemelist andmekaitset pilveteenustes. Seepärast tuginetakse siin seisukohtadele, mida Euroopa andmekaitseinspektor väljendas oma arvamuses isikuandmete kaitse reformi paketi kohta (edaspidi „Euroopa andmekaitseinspektori arvamus isikuandmete kaitse reformi paketi kohta”), (12) ning täiendatakse neid, võttes arvesse konkreetselt pilvandmetöötluse keskkonda. Euroopa andmekaitseinspektor rõhutab, et tema arvamus isikuandmete kaitse reformi paketi kohta kehtib täielikult ka pilveteenuste suhtes ning seda tuleb käsitada käesoleva arvamuse alusena. Pealegi on mõni kõnealuses arvamuses nimetatud küsimus – näiteks andmesubjektide õigusi käsitlevate uute sätete analüüs (13) – piisavalt selge ja seepärast neid käesolevas arvamuses täiendavalt ei arutata.

12.

Kolmas eesmärk on teha kindlaks valdkonnad, mis vajavad ELi tasandil täiendavaid andmekaitse ja eraelu puutumatusega seotud meetmeid, võttes arvesse pilvandmetöötlusstrateegiat, mille komisjon teatises välja pakkus. Need hõlmavad muu hulgas lisasuuniste koostamist, standardimistegevust, täiendavate riskihindamiste korraldamist konkreetsetes sektorites (nt avalikus sektoris), standardsete lepingutingimuste väljatöötamist, pilvandmetöötluse küsimustes rahvusvahelise dialoogi algatamist ning tõhusate rahvusvahelise koostöö vahendite tagamist (neid küsimusi on arutatud V peatükis).

13.

Arvamus on üles ehitatud järgmiselt: II jaos antakse ülevaade pilvandmetöötluse põhijoontest ja seotud andmekaitseprobleemidest. III jaos vaadatakse läbi ELi kehtiva õigusraamistiku ja kavandatud määruse kõige olulisemad elemendid. IV jaos analüüsitakse, kuidas kavandatud määrus aitab lahendada pilveteenuste kasutamisega kaasnevaid andmekaitseprobleeme. V jaos analüüsitakse komisjoni soovitusi poliitika edasise arengu kohta ning tehakse kindlaks valdkonnad, mis võivad vajada lisatööd. VI jaos on esitatud järeldused.

14.

Kuigi paljud käesolevas arvamuses esitatud kaalutlused kehtivad igasugustes keskkondades, kus pilvandmetöötlust kasutatakse, ei ole arvamuses käsitletud pilveteenuste kasutamist neis ELi institutsioonides ja asutustes, mille suhtes Euroopa andmekaitseinspektor teostab määruse (EÜ) nr 45/2001 alusel järelevalvet. Euroopa andmekaitseinspektor esitab kõnealust valdkonda käsitlevad suunised sellistele institutsioonidele ja asutustele eraldi.

121.

Nagu teatises on kirjeldatud, pakub pilvandmetöötlus äriühingutele, tarbijatele ja avalikule sektorile palju uusi võimalusi andmete haldamiseks kaugemalasuvate väliste IT-vahendite kaudu. Samas toob see kaasa mitu probleemi, eelkõige seoses töödeldavatele andmetele pakutava kaitse vajaliku tasemega.

122.

Kui ELi andmekaitsealaste õigusaktide kohaldatavuse kriteeriumid ei ole piisavalt selged ning pilveteenuse osutajate rolli ja vastutust määratletakse liiga kitsalt või kui neid ei rakendata tõhusalt, kaasneb pilveteenuste kasutamisega suur risk, et kaob vastutus pilveteenuste osutajate teostatavate töötlemistoimingute eest. Euroopa andmekaitseinspektor rõhutab, et pilveteenused ei õigusta madalamate andmekaitsestandardite kasutamist võrreldes tavapäraste andmetöötlustoimingute suhtes kehtivate standarditega.

123.

Sellega seoses pakuks kavandatud andmekaitsemäärus selle praegusel kujul rea selgitusi ja vahendeid, mis aitaksid tagada, et Euroopas asuvatele klientidele teenuseid pakkuvad pilveteenuse osutajad järgivad rahuldavat andmekaitse taset. Eelkõige pakub määrus järgmist:

124.

Sellest hoolimata soovitab Euroopa andmekaitseinspektor pilveteenuste eripära arvesse võttes selgitada kavandatud määruses lähemalt järgmisi küsimusi:

125.

Ühtlasi rõhutab Euroopa andmekaitseinspektor, et vajalikud on komisjoni ja/või järelevalveasutuste lisasuunised (eelkõige tulevase Euroopa Andmekaitsenõukogu kaudu) järgmistes küsimustes:

126.

Peale selle tunnistab Euroopa andmekaitseinspektor, et sektori koostatud ja asjaomaste järelevalveasutuste heakskiidetud tegevusjuhendid võivad olla kasulik vahend nii nõuete täitmise kui ka mitmesuguste osalejate vahelise usalduse parandamiseks.

127.

Euroopa andmekaitseinspektor toetab ettepanekut, et komisjon töötaks järelevalveasutustega konsulteerides välja andmekaitsenõuetele vastavad pilveteenuste osutamise lepingute tüüptingimused; eelkõige tuleks teha järgmist:

128.

Euroopa andmekaitseinspektor juhib tähelepanu asjaolule, et standardite ja sertifitseerimiskavade väljatöötamisel tuleb nõuetekohaselt arvesse võtta andmekaitsenõudeid; eelkõige tuleks teha järgmist:

129.

Lõpuks rõhutab Euroopa andmekaitseinspektor vajadust pöörata pilvandmetöötluse probleemidele tähelepanu rahvusvahelisel tasandil. Ta kutsub komisjoni üles osalema pilvandmetöötlust käsitlevas rahvusvahelises dialoogis, sealhulgas kohtualluvuse ja õiguskaitseasutuste juurdepääsu teemadel, ning leiab, et paljusid selliseid küsimusi saaks käsitleda mitmesugustes rahvusvahelistes ja kahepoolsetes kokkulepetes, nagu vastastikuse abistamise lepingud ja ka kaubanduslepingud. Rahvusvahelisel tasandil tuleks töötada välja üleilmsed standardid, et kehtestada õiguskaitseasutuste juurdepääsu miinimumtingimused ja põhimõtted. Ühtlasi toetab ta tõhusate rahvusvahelise koostöö mehhanismide väljatöötamist järelevalveasutustes, eelkõige seoses pilvandmetöötluse küsimustega.