NÕUKOGU OTSUS (EL) 2023/436,

14. veebruar 2023,

millega antakse liikmesriikidele luba ratifitseerida Euroopa Liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll, mis käsitleb tõhustatud koostööd ja elektrooniliste tõendite avaldamist

EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 16 ja artikli 82 lõiget 1 koostoimes artikli 218 lõikega 6,

võttes arvesse Euroopa Komisjoni ettepanekut,

võttes arvesse Euroopa Parlamendi nõusolekut (1)

ning arvestades järgmist:

(1)	6. juunil 2019 andis nõukogu komisjonile loa osaleda liidu nimel Euroopa Nõukogu küberkuritegevuse konventsiooni (CETS nr 185) (edaspidi „küberkuritegevuse konventsioon“) teise lisaprotokolli üle peetavates läbirääkimistes.

(2)	Euroopa Nõukogu ministrite komitee võttis vastu küberkuritegevuse konventsiooni teise lisaprotokolli, mis käsitleb tõhustatud koostööd ja elektrooniliste tõendite avaldamist (edaspidi „protokoll“) 17. novembril 2021 ja see on kavas avada allkirjastamiseks 12. mail 2022.

(3)

Protokolli sätted jäävad valdkonda, mis on suurel määral hõlmatud ühisnormidega Euroopa Liidu toimimise lepingu (ELi toimimise leping) artikli 3 lõike 2 tähenduses, mille hulgas on õigusaktid, mis lihtsustavad õigusalast koostööd kriminaalasjades, millega tagatakse menetlusõiguste miinimumnõuded ning andmekaitse ja privaatsuse kaitsemeetmed.

(4)

Komisjon on samuti esitanud seadusandliku ettepaneku määruse kohta, mis käsitleb Euroopa andmeesitamismäärust ja Euroopa andmesäilitamismäärust elektrooniliste tõendite hankimiseks kriminaalasjades, ning direktiivi kohta, millega kehtestatakse ühtlustatud normid kriminaalmenetluses tõendite kogumise eesmärgil esindajate määramise kohta, mille kohaselt tuleb piiriülesed Euroopa andmeesitamis- ja andmesäilitamismäärused esitada otse teise liikmesriigi teenuseosutaja esindajale.

(5)	Komisjon osales läbirääkimistes protokolli üle ja tagas selle kooskõla asjakohaste liidu ühisnormidega.

(6)

Et tagada protokolli kooskõla liidu õiguse ja poliitikaga, on vaja teha protokolli suhtes mitu reservatsiooni ning esitada mitu deklaratsiooni, teatist ja teadaannet. Muud reservatsioonid, deklaratsioonid, teatised ja teadaanded on asjakohased, et tagada protokolli ühtne kohaldamine protokolliosalistest liidu liikmesriikide poolt (edaspidi „liikmesriikidest osalised“) nende suhetes kolmandatest riikidest protokolliosalistega (edaspidi „kolmandatest riikidest osalised“) ning protokolli tulemuslik kohaldamine.

(7)	Reservatsioonid, deklaratsioonid, teated ja teatised, mille kohta antakse liikmesriikidele juhised käesoleva otsuse lisas, ei piira muude reservatsioonide tegemist või deklaratsioonide esitamist, mida nad soovivad teha või esitada individuaalselt, kui protokoll seda lubab.

(8)	Liikmesriigid, kes ei tee allkirjastamise ajal reservatsioone või ei esita deklaratsioone, teateid või teatiseid vastavalt käesoleva otsuse lisale, peaksid need tegema ja esitama protokolli ratifitseerimis-, vastuvõtmis- või heakskiitmiskirja hoiule andmisel.

(9)	Pärast protokolli ratifitseerimist, vastuvõtmist või heakskiitmist peaksid liikmesriigid lisaks järgima käesoleva otsuse lisas esitatud märkusi.

(10)

Protokollis on sätestatud kiirendatud menetlused, mis parandavad piiriülest juurdepääsu elektroonilistele tõenditele, ning kõrgetasemelised kaitsemeetmed. Seetõttu aitab selle jõustumine kaasa küberkuritegevuse ja muude kuritegevuse vormide vastasele võitlusele ülemaailmsel tasandil, lihtsustades liikmesriikidest ja kolmandatest riikidest osaliste vahelist koostööd, tagada üksikisikute kõrgetasemeline kaitse ja tegeleda õigusnormide kollisioonidega.

(11)

Protokolliga on sätestatud asjakohased kaitsemeetmed kooskõlas Euroopa Parlamendi ja nõukogu määruses (EL) 2016/679 (2) ja Euroopa Parlamendi ja nõukogu direktiivis (EL) 2016/680 (3) sätestatud isikuandmete rahvusvahelise edastamise nõuetega. Seetõttu aitab selle jõustumine edendada liidu andmekaitsestandardeid ülemaailmsel tasandil, lihtsustab andmevoogusid liikmesriikidest ja kolmandatest riikidest osaliste vahel ning tagab, et ELi liikmesriigid järgivad liidu andmekaitsenormidest tulenevaid kohustusi.

(12)	Protokolli kiire jõustumine kindlustab veelgi küberkuritegevuse konventsiooni positsiooni küberkuritegevuse vastase võitluse peamise mitmepoolse raamistikuna.

(13)	Liit ei saa protokolli ratifitseerida, kuna ainult riigid saavad olla selle osalised.

(14)	Seega tuleks liikmesriikidele, kes tegutsevad ühiselt liidu huvides, anda luba protokoll ratifitseerida.

(15)	Vastavalt Euroopa Parlamendi ja nõukogu määrusele (EL) 2018/1725 (4) konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 21. jaanuaril 2022.

(16)

Euroopa Liidu lepingule (ELi leping) ja ELi toimimise lepingule lisatud protokolli nr 21 (Ühendkuningriigi ja Iirimaa seisukoha kohta vabadusel, turvalisusel ja õigusel rajaneva ala suhtes) artiklite 1 ja 2 kohaselt, ja ilma et see piiraks kõnealuse protokolli artikli 4 kohaldamist, ei osale Iirimaa käesoleva otsuse vastuvõtmisel ning see ei ole tema suhtes siduv ega kohaldatav.

(17)	ELi lepingule ja ELi toimimise lepingule lisatud protokolli nr 22 (Taani seisukoha kohta) artiklite 1 ja 2 kohaselt ei osale Taani käesoleva otsuse vastuvõtmisel ning see ei ole tema suhtes siduv ega kohaldatav.

(18)	Protokolli autentsed versioonid on teksti ingliskeelsed ja prantsuskeelsed versioonid, mille Euroopa Nõukogu ministrite komitee võttis vastu 17. novembril 2021,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1

Liikmesriikidele antakse luba ratifitseerida liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll, mis käsitleb tõhustatud koostööd ja elektrooniliste tõendite avaldamist (edaspidi „protokoll“) (5).

Artikkel 2

1. Protokolli ratifitseerimisel liikmesriigid, kes ei teinud protokolli allkirjastamisel reservatsioone ega esitanud deklaratsioone, teatisi või teadaandeid vastavalt käesoleva otsuse lisa 1. ja 3. jaole, teevad ja esitavad need siis, kui nad annavad hoiule ratifitseerimis-, vastuvõtmis- või heakskiitmiskirja.

2. Pärast protokolli ratifitseerimist, vastuvõtmist või heakskiitmist järgivad liikmesriigid lisaks käesoleva otsuse lisa 4. jaos esitatud märkusi.

Artikkel 3

Käesolev otsus jõustub selle vastuvõtmise päeval.

Artikkel 4

Käesolev otsus avaldatakse Euroopa Liidu Teatajas.

Artikkel 5

Käesolev otsus on adresseeritud liikmesriikidele.

Brüssel, 14. veebruar 2023

Nõukogu nimel

eesistuja

E. SVANTESSON

(1) 17. jaanuari 2023. aasta nõusolek (Euroopa Liidu Teatajas seni avaldamata).

(2) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ (isikuandmete kaitse üldmäärus) kehtetuks tunnistamise kohta (ELT L 119, 4.5.2016, lk 1).

(3) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).

(4) Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39).

(5) Vt käesoleva Euroopa Liidu Teataja lk 28

LISA

Käesolevas lisas esitatakse artiklis 2 osutatud reservatsioonid, deklaratsioonid, teatised, teadaanded ja märkused.

1. Reservatsioonid

Protokolli artikli 19 lõike 1 kohaselt võib osaline deklareerida, et ta teeb teatud protokolli artiklites sätestatud ühe või mitu reservatsiooni.

Protokolli artikli 7 lõike 9 punkti a kohaselt võib osaline jätta endale õiguse artiklit 7 (Abonendiandmete avaldamine) mitte kohaldada. Liikmesriigid hoiduvad sellise reservatsiooni tegemisest.

Protokolli artikli 7 lõike 9 punkti b kohaselt võib osaline, vastavalt kõnealuse punkti tingimustele, jätta endale õiguse mitte kohaldada artiklit 7 teatavat liiki kontaktnumbrite suhtes. Liikmesriigid võivad teha sellise reservatsiooni, aga üksnes selliste kontaktnumbrite suhtes, mis ei ole kontaktnumbrid, mis on vajalikud ainuüksi kasutaja tuvastamiseks.

Protokolli artikli 8 lõike 13 kohaselt võib osaline jätta endale õiguse mitte kohaldada artiklit 8 (Teise osalise määruste jõustamine abonendiandmete ja andmeliiklusandmete kiirendatud esitamiseks) andmeliiklusandmete suhtes. Liikmesriike kutsutakse üles sellist reservatsiooni mitte tegema.

Kui protokolli artikli 19 lõige 1 annab aluse muudeks reservatsioonideks, on liikmesriikidel õigus selliseid reservatsioone kaaluda ja neid teha.

2. Deklaratsioonid

Protokolli artikli 19 lõike 2 kohaselt võib osaline esitada teatud protokolli artiklites kindlaks määratud ühe või mitu deklaratsiooni.

Protokolli artikli 7 lõike 2 punkti b kohaselt võib osaline esitada tema territooriumil tegutsevatele teenuseosutajatele esitatavate määruste kohta järgmise deklaratsiooni:

„Artikli 7 lõike 1 kohase määruse peab esitama prokurör või muu õigusasutus või see tuleb esitada tema järelevalve all või muul viisil sõltumatu järelevalve all.“

Liikmesriigid esitavad nende territooriumil tegutsevatele teenuseosutajatele esitatavate määruste kohta käesoleva jao teises lõigus esitatud deklaratsiooni.

Protokolli artikli 9 (Salvestatud arvutiandmete kiirendatud avaldamine hädaolukorras) lõike 1 punkti b kohaselt võib osaline deklareerida, et ta ei esita nimetatud artikli lõike 1 punkti a kohaseid taotlusi ainult abonendiandmete avaldamiseks. Liikmesriike kutsutakse üles sellist deklaratsiooni mitte esitama.

Kui protokolli artikli 19 lõige 2 annab aluse muudeks deklaratsioonideks, on liikmesriikidel õigus selliseid deklaratsioone kaaluda ja neid esitada.

3. Deklaratsioonid, teatised ja teadaanded

Protokolli artikli 19 lõike 3 kohaselt esitab osaline deklaratsiooni, teatise või teadaande, mis on kindlaks määratud protokolli teatavates artiklites vastavalt nendes sätestatud tingimustele.

Protokolli artikli 7 lõike 5 punkti a kohaselt võib osaleja teavitada Euroopa Nõukogu peasekretäri, et kui tema territooriumil tegutsevale teenuseosutajale esitatakse määrus vastavalt nimetatud artikli lõikele 1, siis nõuab kõnealune osaline alati või kindlaks määratud juhtudel, et teda samal ajal määrusest teavitataks ning et talle esitataks uurimise või menetluse lisateave ja sellega seotud faktide kokkuvõte. Seega esitavad liikmesriigid Euroopa Nõukogu peasekretärile järgmise teatise:

„Kui artikli 7 lõike 1 alusel esitatakse määrus [liikmesriik] territooriumil tegutsevale teenuseosutajale, siis [liikmesriik] nõuab, et iga juhtumi puhul tehakse samal ajal määrus teatavaks ning esitatakse uurimise või menetluse lisateave ja faktide kokkuvõte.“

Protokolli artikli 7 lõike 5 punkti e kohaselt peavad liikmesriigid määrama ühe pädeva asutuse, kes saab protokolli artikli 7 lõike 5 punkti a kohase teatise ning viib ellu protokolli lõike 5 punktides b, c ja d kirjeldatud tegevusi, ning peavad esitama siis, kui Euroopa Nõukogu peasekretärile esitatakse esmakordselt teatis kooskõlas protokolli artikli 7 lõike 5 punktiga a, Euroopa Nõukogu peasekretärile selle asutuse kontaktandmed.

Protokolli artikli 8 lõike 4 kohaselt võib osaline deklareerida, et nimetatud artikli lõike 1 alusel määruste jõustamiseks tuleb esitada lisateavet. Seega esitavad liikmesriigid järgmise deklaratsiooni:

„Artikli 8 lõike 1 alusel esitatavate määruste jõustamiseks tuleb esitada täiendav teave. See, millise täiendava teabe esitamine on nõutav, oleneb määruse ning sellega seotud uurimise või menetluse asjaoludest.“

Protokolli artikli 8 lõike 10 punktide a ja b kohaselt peavad liikmesriigid teatama asutuste kontaktandmed, kes on määratud artikli 8 alusel määrust esitama, ja asutuste kontaktandmed, kes on määratud artikli 8 alusel määrust vastu võtma, ning neid andmeid ajakohastama. Nõukogu määrusega (EL) 2017/1939 (1) (millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel) loodud tõhustatud koostöös osalevad liikmesriigid peavad kooskõlastatud viisil lisama kõnealuse määruse artiklitega 22, 23 ja 25 antud pädevuste ulatuses Euroopa Prokuratuuri protokolli artikli 8 lõike 10 punktide a ja b alusel teavitatavate asutuste hulka.

Seega esitavad liikmesriigid järgmise deklaratsiooni:

„Vastavalt artikli 8 lõikele 10 määrab [liikmesriik] Euroopa Prokuratuuri asutamise alases tõhustatud koostöös osaleva Euroopa Liidu liikmesriigina pädevaks asutuseks Euroopa Prokuratuuri, kes kasutab oma pädevust, mis on sätestatud nõukogu 12. oktoobri 2017. aasta määruse (EL) 2017/1939 (millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamise) artiklites 22, 23 ja 25.“

Vastavalt protokolli artikli 14 lõike 7 punktile c peavad liikmesriigid teatama Euroopa Nõukogu peasekretärile asutuse või asutused, keda teavitatakse protokolli artikli 14 lõike 7 punkti b alusel protokolli II peatüki 2. jaotise kohaldamiseks turvaintsidendist.

Vastavalt protokolli artikli 14 lõike 10 punktile b peavad liikmesriigid teatama Euroopa Nõukogu peasekretärile asutuse või asutused, kes annavad protokolli II peatüki 2. jaotise kohaldamiseks loa protokolli alusel saadud andmete edastamiseks teisele riigile või rahvusvahelisele organisatsioonile.

Kui protokolli artikli 19 lõige 3 annab aluse muudeks deklaratsioonideks, teatisteks või teadaanneteks, on liikmesriikidel õigus selliseid deklaratsioone, teatisi või teadaandeid kaaluda ja neid esitada.

4. Muud märkused

Määrusega (EL) 2017/1939 loodud tõhustatud koostöös osalevad liikmesriigid peavad tagama, et Euroopa Prokuratuur saab talle kõnealuse määruse artiklitega 22, 23 ja 25 antud pädevuste kasutamisel teha protokolli alusel koostööd samal moel kui nende liikmesriikide riigiprokurörid.

Seoses artikli 7 kohaldamisega, eelkõige seoses teatavat liiki kontaktnumbritega, võib liikmesriik lasta kõnealuse artikli kohase määruse kontrollida prokuröril või muul õigusasutusel, kui tema pädev asutus saab määruse kohta samaaegselt teate enne, kui teenuseosutaja on taotletud teabe avaldanud.

Vastavalt protokolli artikli 14 lõike 11 punktile c peavad liikmesriigid tagama, et andmete edastamisel protokolli kohaldamisala ulatuses teavitatakse vastuvõtvat osalist sellest, et tema riigisisese õigusraamistiku kohaselt tuleb isiklikult teavitada isikut, kelle andmed esitatakse.

Ameerika Ühendriikide ja Euroopa Liidu vahelise süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmisega seotud isikuandmete kaitse kokkuleppe (2) (edaspidi „raamleping“) alusel toimuvate rahvusvaheliste edastamiste puhul peavad liikmesriigid andma Ameerika Ühendriikide pädevatele asutustele protokolli artikli 14 lõike 1 punkti b kohaldamiseks teada, et raamlepingut kohaldatakse protokolli alusel pädevate asutuste vastastikuse isikuandmete edastamise suhtes. Sellest hoolimata peavad liikmesriigid võtma arvesse, et raamlepingut tuleks täiendada lisakaitsemeetmetega, mis võtavad arvesse erinõudeid, mille kohaselt ei toimu elektrooniliste tõendite edastamine mitte ametiasutuste vahel, vaid need edastab teenuseosutaja otse, nagu on sätestatud protokollis. Seega esitavad liikmesriigid Ameerika Ühendriikide pädevatele asutustele järgmise teadaande:

„Seoses Euroopa Nõukogu küberkuritegevuse konventsiooni teise lisaprotokolli (edaspidi „protokoll“) artikli 14 lõike 1 punkti b kohaldamisega on [liikmesriik] seisukohal, et Ameerika Ühendriikide ja Euroopa Liidu vahelist süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmisega seotud isikuandmete kaitse kokkulepet (edaspidi „raamleping“) kohaldatakse protokolli alusel toimuva pädevate asutuste vahelise vastastikuse isikuandmete edastamise suhtes. Kui kooskõlas protokolliga toimub teenuseosutajate ja asutuste vaheline andmete edastamine, siis kohaldatakse raamlepingut koostoimes täiendava konkreetse kokkuleppega raamlepingu artikli 3 lõike 1 tähenduses, mis võtab arvesse erinõudeid, mis kehtivad juhul, kui andmete edastamine ei toimu ametiasutuste vahel, vaid need edastab teenuseosutaja otse. Sellise konkreetse edastamist käsitleva lepingu puudumise korral võivad nimetatud ülekanded [siiski] toimuda protokolli alusel, millisel juhul kohaldatakse protokolli artikli 14 lõike 1 punkti a koostoimes artikli 14 lõigetega 2–15.“

Liikmesriigid peavad tagama, et nad kohaldavad protokolli artikli 14 lõike 1 punkti c üksnes siis, kui Euroopa Komisjon on võtnud vastu, kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (3) artikliga 45 või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (4) artikliga 36, piisavusotsuse kõnealuse kolmanda riigi kohta, mis hõlmab vastavat andmete edastamist, või muu kokkuleppe alusel, mis tagab piisavad andmekaitsemeetmed kooskõlas määruse (EL) 2016/679 artikliga 46 lõike 2 punktiga a või direktiivi (EL) 2016/680 artikli 37 lõike 1 punktiga a.

(1) Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1).

(2) ELT L 336, 10.12.2016, lk 3.

(3) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ (isikuandmete kaitse üldmäärus) kehtetuks tunnistamise kohta (ELT L 119, 4.5.2016, lk 1).

(4) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).