EUROOPA KOMISJON
Brüssel,24.7.2019
COM(2019) 374 final
KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE
Andmekaitse-eeskirjad kui usalduse tagajad ELis ja väljaspool – ülevaade
EUROOPA KOMISJON
Brüssel,24.7.2019
COM(2019) 374 final
KOMISJONI TEATIS EUROOPA PARLAMENDILE JA NÕUKOGULE
Andmekaitse-eeskirjad kui usalduse tagajad ELis ja väljaspool – ülevaade
Komisjoni teatis Euroopa Parlamendile ja nõukogule
Andmekaitse-eeskirjad kui usalduse tagajad ELis ja väljaspool – ülevaade
I.Sissejuhatus
Isikuandmete kaitse üldmäärust 1 (edaspidi „määrus“) on Euroopa Liidus kohaldatud juba üle aasta. See on kõige olulisem osa ELi sidusast ja tänapäevasest andmekaitsemaastikust, kuhu kuuluvad veel õiguskaitse andmekaitse direktiiv 2 ning ELi institutsioonide ja organite andmekaitse direktiiv 3 . Kõnealusesse õigusraamistikku hakkab kuuluma ka koostamisel olev internetiprivaatsuse määrus.
Tugevad andmekaitse-eeskirjad on vajalikud isikuandmete kaitseks, mis on üks põhiõigustest. Need on demokraatliku ühiskonna jaoks keskse tähtsusega 4 ja üha enam andmetel põhineva majanduse oluline osa. EL püüab haarata kinni neist paljudest võimalustest, mida digitaliseerimine pakub teenuste, töökohtade ja innovatsiooni valdkonnas, aga tegeleda ühtlasi ka nendega kaasnevate probleemidega. Identiteedivargus, tundlike andmete lekked, diskrimineerimine, sisseehitatud kallutatus, ebaseadusliku sisu jagamine ja privaatsust rikkuvate jälgimisvõimaluste loomine on vaid mõni näide probleemidest, mis tulevad üha sagedamini jutuks avalikus mõttevahetuses, kust ilmneb selgelt, et inimesed eeldavad, et nende andmed on kaitstud.
Andmekaitsest on saanud tõeliselt üleilmne nähtus, sest kogu maailma inimesed hindavad ja väärtustavad üha enam oma andmete kaitset ja turvalisust. Paljud riigid on juba võtnud või võtmas vastu kõikehõlmavaid andmekaitse-eeskirju, mille aluseks on määruses sätestatutega sarnased põhimõtted ning mille tulemusel muutuvad andmekaitse-eeskirjad kogu maailmas ühesugusemaks. See pakub uusi võimalusi ettevõtete ja avaliku sektori asutuste andmeedastuse lihtsustamiseks ja parandab ühtlasi isikuandmete kaitset nii ELis kui ka kogu maailmas.
Andmekaitsesse suhtutakse üha tõsisemalt ning sel on eri sidusrühmadele ja sektoritele laialdane mõju. Komisjon on kindlalt otsustanud olla ELis uue andmekaitsekorra rakendamise eestvedaja ja aidata sel igati korralikult toimima hakata. Käesoleva teatisega annab komisjon ülevaate seni saavutatud tulemustest: kui järjepidevalt on andmekaitse-eeskirju ELis rakendatud, kuidas toimib uus juhtimissüsteem, milline on olnud mõju kodanikele ja ettevõtetele ning mida on eri riikide andmekaitsekorra üldisel lähendamisel teinud EL. Teatises vaadeldakse, mis on muutunud pärast 2018. jaanuaris määruse kohaldamise kohta avaldatud teatist 5 , ning selles on arvesse võetud määruse sidusrühmade töörühma 6 tööd, eriti selle panust aasta möödumisel tehtud kokkuvõtetesse, ja komisjoni korraldatud ülevaateüritusel 13. juunil 2019. aastal toimunud arutelusid 7 . Käesolev teatis on aluseks ka läbivaatamisele, mis on kavandatud 2020. aasta maisse. 8
ELi andmekaitse õigusraamistik on Euroopa inimkeskse innovatsiooni nurgakivi. Regulatiivse aluse ühe osana kasutatakse seda üha enamates poliitikavaldkondades, nagu tervishoid, teadus, tehisintellekt, transport, energeetika, konkurents ja õiguskaitse. Komisjon on järjekindlalt rõhutanud, kui tähtis on uute andmekaitse-eeskirjade korralik rakendamine ja jõustamine, nagu on esile toodud ka 2018. aasta jaanuari teatises määruse rakendamise kohta ja 2018. aasta septembris avaldatud komisjoni juhistes isikuandmete kasutamise kohta valimiste kontekstis 9 . Käesoleva teatise koostamise ajal on selle eesmärgi saavutamiseks juba palju ära tehtud, aga et määrus täiel määral toimima hakkaks, on kindlasti vaja veel palju tööd.
II.Üks maailmajagu, ühed eeskirjad: andmekaitseraamistik on liikmesriikides paigas
Määruse üks peamisi eesmärke oli kaotada varasema andmekaitsedirektiivi 10 alusel kehtestatud killustunud õigusaktid, mis olid kõigis 28 riigis erinevad, ning anda inimestele ja ettevõtetele kogu liidus õiguskindlus. See on enamjaolt saavutatud.
Õigusraamistiku ühtlustamine
Kuigi määrus on liikmesriikides otsekohalduv, on selles neile pandud kohustus võtta riigi tasandil mitu õiguslikku meedet, täpsemalt asutada riiklikud andmekaitseasutused ja anda neile volitused 11 , kehtestada eeskirjad teatavate probleemküsimuste jaoks (isikuandmete kaitse ning väljendus- ja teabevabaduse ühildamine) ning muuta andmekaitsenorme sisaldavaid valdkondlikke õigusakte (või need tühistada). Teatise koostamise ajaks olid kõik liikmesriigid (v.a kolm 12 ) oma riigisisesed andmekaitsenormid ajakohastanud. Valdkondlike õigusaktide ajakohastamine veel käib. Pärast määruse inkorporeerimist Euroopa Majanduspiirkonna lepingusse laienes selle kohaldamine ka Norrasse, Islandile ja Liechtensteini, kes on samuti vastu võtnud oma riigisisesed andmekaitsenormid.
Sidusrühmad nõuavad aga kohati veelgi suuremat ühtlustamist. 13 Määrusega lubatakse liikmesriikidel tõesti veidi täpsustada selle kohaldamist teatavates valdkondades (nt iga, millest alates võivad lapsed hakata internetipõhiseid teenuseid kasutama vanema loata 14 , või isikuandmete töötlemine valdkondades, nagu meditsiin ja tervishoid). Sellisel juhul peavad aga liikmesriigid arvesse võtma kahte aspekti:
I)kõik täpsustavad riigisisesed normid peavad olema kooskõlas põhiõiguste harta nõuetega 15 (ning mitte väljuma määruse kui hartal põhineva õigusakti kehtestatud piiridest);
II)need ei tohi takistada isikuandmete vaba liikumist liidus. 16
Mõnel juhul on liikmesriik kehtestanud määruses sätestatutele lisaks ka riigisisesed nõuded, eriti valdkondlikes õigusaktides, ning see tekitab killustatust ja ebavajalikku lisatööd. Üks näide sellisest lisanõudest on Saksamaa kehtestatud kohustus, et vähemalt 20 töötajaga ettevõtetes, kes tegelevad alaliselt isikuandmete automatiseeritud töötlemisega, peab olema andmekaitseametnik.
Jätkuv töö suurema ühtlustatuse nimel
Komisjon on riikide ametiasutustega pidevas kahepoolses dialoogis, pöörates erilist tähelepanu alljärgnevaga seotud riigisisestele meetmetele:
·andmekaitseasutuste reaalne sõltumatus (sh piisavate rahaliste, inim- ja tehniliste ressursside tagatus);
·andmesubjektide õiguste piirangud riigisisestes õigusaktides;
·riigisiseses õiguses ei tohiks kehtestada määruses sätestatutest rangemaid nõudeid valdkondades, kus täpsustamisvõimalust pole (nt lisanõuded töötlemisele);
·kas on täidetud nõue ühildada isikuandmete kaitse ning väljendus- ja teabevabadus, arvestades et selle nõude väärkasutamisega ei tohi avaldada ajakirjandusele heidutavat mõju.
Andmekaitseasutuste koostöö Euroopa Andmekaitsenõukogus (edaspidi „andmekaitsenõukogu“) on peamine uute eeskirjade järjepideva kohaldamise tagaja: mitut liikmesriiki puudutavad täitmise tagamise meetmed läbivad andmekaitsenõukogus koostöö ja järjepidevuse tagamise süsteemi 17 ning nõukogu suunised aitavad kaasa määruse ühtsele tõlgendamisele. Sidusrühmad ootavad andmekaitseasutustelt siiski enamat.
Andmekaitse-eeskirjade tõlgendamise järjepidevust aitavad tagada ka riikide kohtud ja Euroopa Liidu Kohus. Riikide kohtud on hiljuti teinud otsuseid, millega tunnistatakse määruses sätestatust lahknevad riikliku õiguse sätted õigustühiseks. 18
III.Uue juhtimissüsteemi kõik osad saavad järk-järgult paika
Määrusega loodi uus juhtimisstruktuur, milles on kesksel kohal riiklikud sõltumatud andmekaitseasutused, kes tegelevad määruse täitmise tagamisega ja toimivad sidusrühmade jaoks esmaste kontaktpunktidena. Kuigi enamik andmekaitseasutustest on viimasel aastal saanud ressursse juurde, on liikmesriikide vahelised erinevused endiselt suured. 19
Andmekaitseasutused kasutavad oma uusi volitusi
Määrus annab andmekaitseasutustele suuremad täitmise tagamise volitused. Kuigi mõned sidusrühmad kartsid enne 2018. aasta maid vastupidist, on riiklikud andmekaitseasutused kasutanud oma täitmise tagamise volitusi tasakaalustatult. Sanktsioonide asemel on kasutatud pigem dialoogi, eriti väikeettevõtete puhul, kelle jaoks ei ole isikuandmete töötlemine põhitegevus. Siiski ei kardetud vajaduse korral oma uusi volitusi ka tegelikult käiku lasta, alustades uurimist sotsiaalmeedia valdkonnas 20 või kohaldades olenevalt rikkumise raskusastmest ka haldustrahve alates mõnest tuhandest kuni mitme miljoni euroni.
Näiteid andmekaitseasutuste kohaldatud trahvidest 21 :
·5 000 eurot Austria spordikihlvedude kohvikule ebaseadusliku videovalve eest;
·220 000 eurot Poola andmevahendusettevõttele andmesubjektide teavitamata jätmise eest;
·250 000 eurot Hispaania jalgpalliliigale LaLiga nutitelefoni rakenduse läbipaistmatuse eest;
·50 miljonit eurot Google’ile Prantsusmaal kasutajatelt nõusoleku küsimise tingimustega seotud rikkumise eest.
Uurimisel peavad andmekaitseasutused kindlasti koguma asjassepuutuvat tõendusmaterjali, järgima kohalike õigusaktide kohast tegevuskorda ja tagama sageli keeruliste toimikute nõuetekohase menetluse. See nõuab aega ja märkimisväärselt palju tööd, mis selgitab ka seda, miks enamik pärast määruse kohaldamise algust algatatud uurimistest on veel pooleli.
Sellegipoolest tuleks määruse edu mõõta mitte kohaldatud trahvide arvuga, vaid kõigi asjaosaliste käitumise muutumisega. Andmekaitseasutustel on selles kontekstis teisigi meetodeid, nagu näiteks ajutise või alalise töötluskeelu kohaldamine (sh kolmandas riigis asuvale saajale andmete edastamise peatamine või keelamine). 22
Mõned andmekaitseasutused on loonud uusi abivahendeid (nt abiliinid ja -materjalid ettevõtetele) või uuenduslikke meetmeid (nt isikuandmeid sisaldavate uuenduslike toodete ja teenuste arendamise regulatiivne katsetuskeskkond 23 , mis aitab ettevõtetel määruse nõudeid täita). Mõned sidusrühmad tunnevad siiski, et pole saanud piisavalt tuge ja teavet (eriti mõne riigi VKEd). 24 Selle probleemi lahendamiseks annab komisjon andmekaitseasutustele nende sidusrühmadega (eriti üksikisikute ja VKEdega) tegelemiseks toetusi. 25
Euroopa Andmekaitsenõukogu tegutseb
Andmekaitseasutused on hakanud Euroopa Andmekaitsenõukogu 26 töös aktiivsemalt kaasa lööma. Selle tulemusena on nõukogu võtnud määruse oluliste tahkude kohta vastu umbes 20 suunist 27 . Andmekaitsenõukogu tulevased töövaldkonnad on kirjas kahe aasta tööprogrammis 28 (nagu määruses nõutud).
Piiriüleste juhtumite puhul ei ole andmekaitseasutused enam lihtsalt riiklikud asutused, vaid osa tõeliselt üleeuroopalisest menetlusest: alates uurimisest kuni otsuse langetamiseni. Selline tihe koostöö on saanud igapäevaseks: 2019. aasta juuni lõpuks oli koostöösüsteemis tegeletud 516 piiriülese juhtumiga.
Komisjon aitab nõukogu tööle aktiivselt kaasa 29 , et levitada teavet määruse sätte ja mõtte kohta, ning tuletab meelde ELi õiguse üldprintsiipe. 30
ELi andmekaitsekultuuri loomine
Uue juhtimissüsteemi kogu potentsiaali ei ole veel kasutusse võetud. Andmekaitsenõukogu peab oma otsustusprotsessi veelgi sujuvamaks muutma ja kujundama oma liikmete seas välja ühise ELi andmekaitsekultuuri. Sellele aitab kaasa andmekaitseasutuste võimalus oma jõud mitut riiki hõlmavate probleemide korral koondada 31 (nt korraldada ühisuurimisi ja ühist täitmise tagamist), mis leevendab ka ressursikitsikust.
Paljud sidusrühmad tahavad näha veel rohkem koostööd ja riiklike andmekaitseasutuste ühtset tegutsemist. 32 Samuti soovivad nad suuremat järjepidevust andmekaitseasutuste antud nõuannetes 33 ja riigisiseste suuniste täielikku kooskõla andmekaitsenõukogu omadega. Mõned ootavad ka määruse põhimõistete (nt riskipõhine lähenemine) paremat selgitamist, võttes arvesse just VKEde murekohti.
Selleks on hädavajalik anda sidusrühmadele paremad võimalused anda tagasisidet andmekaitsenõukogu töö kohta. Sellepärast on komisjonil hea meel selle üle, et andmekaitsenõukogu konsulteerib suuniste üle süstemaatiliselt ka avalikkusega. Seda tava, nagu ka sidusrühmade tööseminaride korraldamist konkreetsete teemade arutamise algetapis, tuleks jätkata ja süvendada, et nõukogu töö oleks läbipaistev, kaasav ja asjakohane.
IV.Inimesed kasutavad oma õigusi, aga teadlikkust tuleks veelgi suurendada
Määruse teine tähtis eesmärk oli tugevdada inimeste õigusi. Enamik kodanikuõiguste ühendusi ja tarbijaorganisatsioone leiavad, et määrus aitab vastastikusel usaldusel põhineva õiglase digiühiskonna kujunemisele palju kaasa.
Parem teadlikkus andmekaitseõigustest
ELi inimesed on üha paremini teadlikud andmekaitse-eeskirjadest ja oma õigustest: Eurobaromeetri 2019. aasta mai küsitlusele 34 vastanutest 67% on määrusest teadlikud ning 57% teavad, et on olemas riiklik andmekaitseasutus, kuhu nad võivad teabe küsimiseks ja kaebuste esitamiseks pöörduda. 73% olid kuulnud vähemalt ühest neile määrusega antud õigusest. Sellegipoolest ei võta väga paljud ELi inimesed internetis oma isikuandmete kaitsmiseks veel midagi ette. Näiteks 44% vastanutest kasutab sotsiaalvõrgustikke vaikevalikuna määratud privaatsusseadetega, ilma neid ise muutmata.
Inimesed kasutavad oma õigusi üha enam
Suurem teadlikkus oma õigustest on pannud inimesi neid ka rohkem kasutama: esitatakse klientidena päringuid, küsitakse andmekaitseasutustelt rohkem teavet või esitatakse neile kaebusi. 35 Ettevõtted annavad ka teada, et isikuandmetega tutvumise taotluste arv on suurenenud mitmes valdkonnas (nt panganduses ja telekommunikatsioonis). Samuti on inimesed üha enam keeldunud ärilistest teadaannetest või võtnud tagasi oma nõusoleku neid saada. 36
Mõned ettevõtted on siiski teada andnud ka andmekaitse-eeskirjade vääritimõistmisest: mõnikord arvavad inimesed, et nad peavad nõustuma igasuguse andmetöötlusega või et õigus andmete kustutamisele on absoluutne (aga ettevõtted peavad isikuandmeid vahel säilitama juriidiliste kohustuste tõttu). 37 Teisalt kaebavad kodanikuühiskonna organisatsioonid, et mõni ettevõte või andmekaitseasutus viivitab vastamisega liiga kaua.
Oluline on, et valitsusvälised organisatsioonid on pärast kodanikelt volituste saamist esitanud mitu esindushagi, mida määrus nüüd võimaldab. 38 Esindushagide esitamine oleks olnud lihtsam, kui rohkem liikmesriike oleks kasutanud määruses antud võimalust lubada valitsusvälistel organisatsioonidel esitada hagi selleks volitusi küsimata. 39
Teadlikkuse suurendamist on vaja jätkata
Seetõttu tuleb üldsuse teadlikkuse suurendamist ja dialoogi jätkata nii riiklikul kui ka ELi tasandil. Selleks käivitas komisjon 2019. aasta juulis uue veebikampaania 40 , millega ärgitatakse inimesi privaatsusteateid lugema ja oma privaatsusseadeid optimeerima.
V.Ettevõtted kohandavad oma tavasid
Määruse eesmärk on toetada ettevõtteid digitaalmajanduses, pakkudes neile tulevikukindlaid lahendusi. Ettevõtetel on määruses sätestatud vastutuspõhimõtte üle üldiselt hea meel, sest see kaotab varasema koormava korra (kaob teavitusnõue, kohustuste suurus on kohandatav ning lõimitud ja vaikimisi andmekaitse põhimõte on paindlik, võimaldades konkurentsi privaatsust kaitsvate lahenduste põhjal). Mõned ettevõtted aga soovivad ka suuremat õiguskindlust ja rohkem või selgemaid suuniseid andmekaitseasutustelt. 41
Usaldusväärne andmehaldus
Kuigi ettevõtted annavad teada paljudest probleemidest uute eeskirjadega kohanemisel, 42 rõhutavad paljud, et see oli hea võimalus juhtida ka ettevõtte juhatuse tähelepanu andmekaitsele, korrastada oma andmebaase, täiustada turvalisust, olla paremini valmis intsidentideks, vähendada tarbetuid riske ning tuua klientide ja äripartneritega suhtlemisse rohkem usaldust. Läbipaistvusega seoses mainivad ettevõtted ja kodanikuühiskonna organisatsioonid vajadust saavutada tasakaal määruse kohaselt inimestele antava teabe sisu ja vormi vahel, et see oleks inimestele arusaadav (selges ja lihtsas keeles ja vormingus). Ettevõtted arendavad selleks uuenduslikke lahendusi.
Üldiselt andsid ettevõtted teada, et suudavad andmesubjektide õigustega arvestada, kuigi sageli oli tähtaegadest kinnipidamine keeruline, sest taotlusi oli palju ja väga erinevaid, 43 ning probleeme tekitas ka taotluse esitajate isikusamasuse kontroll.
Mõju innovatsioonile
Määrus mitte ainult ei võimalda vaid lausa soodustab uue tehnoloogia väljatöötamist selliselt, et tagatud oleks ka põhiõigus isikuandmete kaitsele. Nii on see näiteks tehisintellekti valdkonnas.
Ettevõtted on hakanud pakkuma uusi, privaatsust paremini kaitsvaid teenuseid. Näiteks mõnes liikmesriigis kasvab jõudsalt selliste otsimootorite turuosa, mis ei jälgi kasutust ega kuva käitumispõhiseid reklaame. Mõned ettevõtted arendavad teenuseid, mille aluseks on inimestele antud uued õigused (nt andmete ülekantavus). Üha enam ettevõtteid kasutab isikuandmetega lugupidavat ümberkäimist konkurentsieelise ja müügiargumendina. Sellised muutused ei piirdu ELiga, vaid leiavad aset ka tugevalt uuenduslikes välisriikides. 44
N-ö väikese riskiga mikro- ja väikeettevõtete olukord
Eri riikides on olukord küll erinev, aga mikro- ja väikeettevõtetel 45 , kes ei töötle isikuandmeid oma põhitegevusena, on määruse kohaldamise kohta tavaliselt kõige rohkem küsimusi. Kuigi näib, et need on peamiselt tingitud andmekaitse-eeskirjade mittetundmisest, suurendavad nende muret vahel ka konsultatsioonibüroode kampaaniad, milles pakutakse tasulist nõustamist, valeinfo levimine (nt et inimestelt tuleb süstemaatiliselt nõusolekut küsida 46 ) ja riiklikul tasandil kehtestatud lisanõuded.
Seepärast soovivad mikro- ja väikeettevõtted just neile mõeldud ja väga praktilisi suuniseid. Mõned andmekaitseasutused on need juba riiklikul tasandil koostanud. 47 Riigisisestele algatustele lisaks on komisjon avaldanud teabematerjale, mis aitavad nendel ettevõtetel rea praktiliste nõuannete abil uusi eeskirju järgida. 48
Määruses sätestatud abivahendite kasutamine
Määruses on sätestatud abivahendid, millega tõendada nõuetele vastavust: lepingu tüüptingimused, toimimisjuhendid ja uued sertifitseerimismehhanismid.
Lepingu tüüptingimused on näidissätted, mille võib vabatahtlikult lisada näiteks vastutava ja volitatud töötleja vahelisse lepingusse ning milles on kirjas lepinguosaliste määrusest tulenevad kohustused. Määruse järgi saab lepingu tüüptingimusi kasutada nii ELi sees kui ka väljaspool seda toimuvate andmeedastuste jaoks. 49 Just viimasel juhul kasutatakse neid laialdaselt, 50 mis näitab, et neist on ettevõtetele väga palju kasu, eriti siis, kui pole piisavalt ressursse, et pidada iga andmetöötlustöövõtjaga eraldi läbirääkimisi.
Mitu majandusharu peavad lepingu tüüptingimuste vastuvõtmist ühtlustamise seisukohalt väga kasulikuks, eriti kui vastuvõtja on komisjon. Komisjon kasutab koostöös sidusrühmadega määruse pakutud võimalusi ja ajakohastab olemasolevaid sätteid.
Toimimisjuhendite järgimine on teine praktiline ja kasulik abivahend, millega ettevõtted saavad määruse nõuete täitmist tõendada. 51 Toimimisjuhendid peaksid välja töötama valdkonna organisatsioonid või vastutavate ja volitatud töötlejate eri liike esindavad organisatsioonid ning neis tuleks kirjeldada andmekaitse eeskirjade rakendamist konkreetses valdkonnas. Kuna toimimisjuhendid aitavad kohustusi riskide alusel kohandada 52 , on neist väga palju kasu VKEdele, kes saavad nii oma kohustusi täita kulutasuvamalt.
Kolmandana on määruse nõuete järgimise tõendamisel abi sertifitseerimisest. See aitab suurendada ettevõtete õiguskindlust ja edendada määruse nõuete järgimist kogu maailmas. ELis saab luua sertifitseerimissüsteeme Euroopa Andmekaitsenõukogu hiljuti vastuvõetud sertifitseerimis- ja akrediteerimissuuniste 53 alusel. Komisjon jälgib seda ja kasutab vajaduse korral määruses antud volitusi sertifitseerimisnõudeid täpsustada. Samuti võib komisjon esitada ELi standardiorganisatsioonidele teatavate määruse seisukohalt oluliste elementide standardimise taotluse.
VI.Nõuded ühtlustuvad ka rahvusvahelisel tasandil
Nõudmine isikuandmete kaitsmise järele ei piirdu vaid ELiga. Nagu selgus hiljutisest interneti turvalisuse uuringust, väheneb usaldus kogu maailmas ja see paneb inimesi veebis oma käitumist muutma. 54 Üha enam ettevõtteid lahendab seda probleemi nii, et laiendab määruses sätestatud õigusi ka ELi-välistele klientidele.
Kuna kogu maailmas esineb üha enam sarnaseid probleeme, võtavad paljud riigid vastu uusi andmekaitse-eeskirju või ajakohastavad olemasolevaid. Neis on palju liidu andmekaitsekorraga sarnast: üldised õigusnormid valdkondlike asemel, jõustatavad individuaalsed õigused ja sõltumatu järelevalveasutus. See suundumus on tõepoolest üleilmne ning esineb Lõuna-Koreast Brasiiliani, Tšiilist Taini ja Indiast Indoneesiani. Teine selge märk nõuete ühtlustumisest on Euroopa Nõukogu konventsiooniga nr 108 55 (mille hiljutisse ajakohastamisse andis olulise panuse ka komisjon 56 ) ühinenud riikide arvu kasv kogu maailmas.
Andmete turvalise aga vaba liikumise edendamine kaitse piisavuse otsuste ja muuga
Nõuete ühtlustamine pakub uusi võimalusi andmete edastamises ning seetõttu ka äris ja riigiasutuste koostöös, täiustades sealjuures ELi kodanike andmete kaitset nende välismaale saatmisel.
2017. aasta jaanuari teatises „Isikuandmete vahetamine ja kaitsmine globaliseerunud maailmas“ 57 esitatud strateegia rakendamisega tihendas komisjon suhtlust kolmandate riikide ja teiste rahvusvaheliste partneritega, keskendudes privaatsussüsteemide veelgi suuremale ühtlustamisele. See hõlmas ka kaitse piisavuse otsuste kasutamise võimalust valitud kolmandate riikide puhul. 58 See töö on andnud olulisi tulemusi, nagu 2019. aasta veebruaris ELi ja Jaapani vahel jõustunud andmekaitse piisavuse vastastikuse tunnustamise kokkulepe, mille alusel loodi maailma suurim andmete vaba ja turvalise liikumise ala. Sarnased läbirääkimised Lõuna-Koreaga on lõpusirgel ning ettevalmistamisel on kokkulepped mitme Ladina-Ameerika riigiga (nt Tšiili ja Brasiiliaga), kelle puhul oleneb edasine koostöö pooleliolevast õigusloome protsessist. Lootustandev on olukord ka Aasia teatavates osades (Indias, Indoneesias ja Taiwanis) ning ELi ida- ja lõunanaabruses, kus võib samuti avaneda võimalusi kaitse piisavuse läbirääkimiste alustamiseks.
Ühtlasi on komisjonil hea meel selle üle, et teised riigid, kes on kasutusele võtnud määruses sätestatud kaitse piisavuse otsustega sarnased süsteemid, tunnistavad ELi ja sellelt asjaomase heakskiidu saanud riikide andmekaitse piisavust. 59 Selle põhjal on võimalik luua riikide võrgustik, kus andmed saavad vabalt liikuda.
Lisaks tehakse palju tööd selle nimel, et kaitse piisavuse otsus jääks kehtima nende kolmandate riikide puhul, kelle suhtes see langetati 1995. aasta andmekaitsedirektiivi alusel (Argentina, Iisrael, Kanada ja Uus-Meremaa). Samal ajal on kasulikuks abivahendiks ka ELi ja Ameerika Ühendriikide ühine andmekaitseraamistik Privacy Shield, mis kaitseb enam kui 4700 ettevõttega toimuvat atlandiülest andmevahetust. 60 See vaadatakse kord aastas läbi ja seetõttu saab uued probleemid kiiresti lahendada, et kõik toimiks korralikult.
Kuna andmeedastuse jaoks ei ole olemas kõigile ühtmoodi sobivat lahendust, püüab komisjon koos sidusrühmade ja andmekaitsenõukoguga kasutada rahvusvahelise andmeedastuse jaoks täiel määral ära kõiki määruses sätestatud abivahendeid – lepingu tüüptingimusi, sertifitseerimissüsteeme, toimimisjuhendeid ja avaliku sektori asutuste halduskokkuleppeid. Sellega seoses on komisjon huvitatud kogemuste ja parimate tavade vahetamisest teiste süsteemidega, kus on ehk juba välja kujunenud konkreetne oskusteave mõne sellise abivahendi kohta. Komisjon kaalub, kas kasutada määrusega talle nende abivahenditega seoses antud volitusi, eriti lepingu tüüptingimuste puhul.
Peale rangelt kahepoolsete vahendite võiks uurida, kas sarnaselt mõtlevad riigid ei saaks moodustada selles valdkonnas ühist õigusraamistikku, sest praegusel ajal on andmed kaubanduses, kommunikatsioonis ja sotsiaalses suhtluses üha olulisem komponent. Kui hinnatakse samu väärtusi ja süsteemid ühtlustatakse, saaks andmed osaliste vahel vabalt liikuda, olles ühtlasi piisavalt kaitstud. Ühise õigusraamistiku loomisel võiks toetuda näiteks ajakohastatud konventsioonile nr 108 või otsida inspiratsiooni Jaapanis selle aasta alguses käivitatud andmete usaldusväärse vaba liikumise algatusest.
Uus sünergia kaubanduse ja andmekaitse vahel
Andmekaitsenormide rahvusvahelise ühtlustamise kõrval tahab komisjon võidelda ka digitaalse protektsionismi vastu. Selleks on kaubanduskokkulepete jaoks koostatud spetsiaalsed andmeedastuse ja -kaitse sätted, mida pakutakse alati välja nii kahe- kui ka mitmepoolsetel läbirääkimistel (nt praegustel WTO e-kaubanduse läbirääkimistel). Need n-ö horisontaalsed sätted välistavad protektsionismi (nt andmete sundlokaliseerimise nõuded), takistamata siiski osaliste õigusloomelist autonoomiat tagada andmekaitse põhiõigus.
Kuigi läbirääkimised andmekaitse ja kaubanduse üle peavad toimuma eraldi, võivad nad siiski teineteist täiendada: parim näide sellisest sünergiast on ELi ja Jaapani andmekaitse piisavuse vastastikuse tunnustamise kokkulepe, mis lihtsustab veelgi ärilist andmevahetust ja suurendab nii majanduspartnerluslepingust saadavat kasu. Selline ühistel väärtustel ja rangetel normidel põhinev ühtlustamine, mida toetavad tulemuslikud täitmismeetmed, loob tugevaima aluse isikuandmete vahetamiseks ning seda tunnistavad järjest enam ka meie välispartnerid. 61 Kuna ettevõtted tegutsevad üha enam piiriüleselt ja eelistavad järgida kõikjal maailmas ühetaolisi reegleid, loob andmekaitse ühtlustumine soodsa keskkonna otseinvesteeringute jaoks, lihtsustab kaubavahetust ja suurendab äripartnerite omavahelist usaldust.
Kuritegevuse ja terrorismi vastane teabevahetus on lihtsam, kui kasutada sobivaid kaitsemeetmeid
Eri riikide andmekaitsekorra suurem ühilduvus võib lihtsustada ka väga vajalikku teabevahetust ELi ja välismaiste ameti-, politsei- ja kohtuvõimude vahel ning nii aidata kaasa õiguskaitsealase koostöö tulemuslikumaks ja tõhusamaks muutumisele. 62 Selleks kavatseb komisjon kasutada õiguskaitsealase andmekaitse direktiiviga ette nähtud kaitse piisavuse otsuseid, et süvendada oma olulisimate partneritega kuritegevuse ja terrorismi vastast koostööd. Peale selle saab teiste oluliste julgeolekupartneritega sarnaste kokkulepete sõlmimisel eeskujuks võtta 2017. aasta veebruaris jõustunud ELi ja USA vahelise raamkokkuleppe 63 .
Teised näited, mis toovad esile rangete andmekaitsenormide olulisuse kolmandate riikidega tehtavas õiguskaitsealases koostöös, on broneeringuinfo edastamine 64 ning operatiivinfovahetus Europoli ja oluliste rahvusvaheliste partnerite vahel. Sellega seoses on käimas või ettevalmistamisel läbirääkimised rahvusvaheliste kokkulepete sõlmimiseks mitme lõunanaabruses asuva riigiga. 65
Tugevad andmekaitsemeetmed saavad olema ka kõigi selliste tulevaste lepingute lahutamatu osa, mis sõlmitakse kriminaaluurimises elektrooniliste tõendusmaterjalidega piiriülese tutvumise kohta nii kahe- (ELi ja USA leping) kui ka mitmepoolselt (Euroopa Nõukogu (Budapesti) küberkuritegevuse konventsiooni teine lisaprotokoll). 66
Andmekaitsenõuete täitmise tagajate koostöö edendamine
Ajal, mil privaatsusnõuete täitmise probleemid või turvaintsidendid võivad mõjutada üheaegselt paljusid inimesi eri riikides, võib järelevalveasutuste tihedam rahvusvaheline koostöö aidata kaasa nii konkreetsete õiguste tõhusamale kaitsele kui ka stabiilsema ettevõtluskeskkonna loomisele. Seda arvestades otsib komisjon tihedas koostöös andmekaitsenõukoguga võimalusi, kuidas lihtsustada täitmise tagamise alast koostööd ja vastastikust abi ELi ja välismaiste järelevalveasutuste vahel, kasutades muu hulgas määrusega selleks antud uusi volitusi. 67 See võib hõlmata eri liiki koostööd alates ühiste tõlgendus- või praktiliste vahendite 68 väljatöötamisest kuni teabevahetuseni käimasolevate uurimiste kohta.
Samuti kavatseb komisjon kiirendada dialoogi piirkondlike organisatsioonide ja võrgustikega (Kagu-Aasia Maade Assotsiatsioon ASEAN, Aafrika Liit, Aasia Vaikse ookeani piirkonna privaatsusametite foorum APPA ja Ladina-Ameerika andmekaitsevõrgustik), kes on üha tähtsamad ühiste andmekaitsenormide kujundajad, parima tava levitamise edendajad ja täitmise tagajate vahelise koostöö soodustajad. Komisjon teeb koostööd ka Majanduskoostöö ja Arengu Organisatsiooniga OECD ning Aasia ja Vaikse ookeani piirkonna riikide majanduskoostöö organisatsiooniga, et saavutada kõikjal sarnane kõrge andmekaitsetase.
VII.Andmekaitsenormid kui paljude poliitikavaldkondade lahutamatu osa
Isikuandmete kaitse on lõimitud paljudesse liidu poliitikavaldkondadesse.
Telekommunikatsioon ja elektroonilise side teenused
Komisjon esitas privaatsuse ja elektroonilise side määruse ettepaneku 2017. aasta jaanuaris. 69 Ettepaneku eesmärk on kaitsta side konfidentsiaalsust (nagu on nõutud põhiõiguste hartas), aga ka sidesüsteemides liikuda võivaid isikuandmeid ja lõppkasutajate lõppseadmeid.
Kavandatav internetiprivaatsuse määrus täpsustab ja täiendab isikuandmete kaitse üldmäärust, sätestades eelmainitu jaoks konkreetsed eeskirjad. Sellega ajakohastatakse ELi praegusi internetiprivaatsuse eeskirju 70 , võttes arvesse tehnoloogia ja õigusnormide arengut. Sellega suurendatakse inimeste privaatsust, laiendades uute eeskirjade kohaldamisala ka internetipõhiste kommunikatsiooniteenuste (OTT-teenused) osutajatele, luues nii võrdsed võimalused kõigi elektroonilise side teenuste jaoks. Kuigi Euroopa Parlament võttis 2017. aasta oktoobris vastu kolmepoolsete läbirääkimiste algatamise volitused, ei ole nõukogu veel üldises lähenemisviisis kokkuleppele jõudnud. Komisjon jääb internetiprivaatsuse määrusele kindlaks ja toetab kaasseadusandjaid, et see kiiresti vastu võetud saaks.
Tervishoid ja uurimistegevus
Terviseandmete kui määruse mõistes tundlike andmete jagamise lihtsustamine liikmesriikide vahel muutub tervishoius avalike huvidega seotud põhjustel üha olulisemaks. Sellised avalikud huvid on tervishoiuteenuste osutamine, kaitse tõsiste piiriüleste terviseohtude eest ning tervishoiuteenuste, ravimite ja meditsiiniseadmete ranged ohutus- ja kvaliteedinormid. Määruses on sätestatud eeskirjad, mis tagavad terviseandmete töötlemise ja jagamise seaduslikkuse ja usaldusväärsuse ELis. Neid kohaldatakse ka olukordades, kus kolmandad isikud kasutavad (sh teadusuuringuteks) patsientide terviseandmeid (patsientide tervisekaardid, digiretseptid ja pikemas perspektiivis üleüldse kõik elektroonilised terviseandmed). Kliiniliste uuringute jaoks on komisjon koostanud kliiniliste uuringute määruse 71 ja isikuandmete kaitse üldmääruse koosmõju kohta küsimuste ja vastuste dokumendi 72 .
Tehisintellekt
Kuna tehisintellekt muutub strateegiliselt üha tähtsamaks, tuleb selle arendamise ja kasutamise jaoks kujundada üleilmsed reeglid. Komisjon toetab tehisintellekti arendamist ja kasutuselevõttu edendades inimkesksuse põhimõtet, mille kohaselt peavad tehisintellekti rakendused olema kooskõlas põhiõigustega. 73 Määruses sätestatud eeskirjad loovad selleks vajaliku üldraamistiku ning sisaldavad ka konkreetseid kohustusi ja õigusi, mida tuleb tehisintellekti abil isikuandmete töötlemisel järgida. Näiteks on määrusega ette nähtud õigus, et inimese üle ei tohi otsuseid teha vaid masin (v.a teatavad olukorrad). 74 Samuti sisaldab see masina tehtud otsuste jaoks konkreetseid läbipaistvusnõudeid: kohustus sellistest otsustest inimesele teada anda, esitada otsustamise kohta sisulist teavet ning selgitada talle selle olulisust ja arvatavaid tagajärgi. 75 Neid määruse üldpõhimõtteid on tehisintellektist tingitud probleemide lahendamiseks ja võimaluste kasutamiseks oluliseks pidanud ka kõrgetasemeline tehisintellekti eksperdirühm 76 , Majanduskoostöö ja Arengu Organisatsioon (OECD) 77 ja G20 78 . Euroopa Andmekaitsenõukogu on määranud tehisintellekti üheks võimalikuks 2019.–2020. aasta tööprogrammi teemaks. 79
Transport
Andmesideühendusega autode ja arukate linnade arendamisel toetutakse üha enam suuremahuliste isikuandmete töötlemisele ja jagamisele mitme osapoole vahel (autod, autotootjad, telemaatikateenuse osutajad ja teetaristu eest vastutavad avaliku sektori asutused). Sellises mitme osalisega keskkonnas on mõnevõrra keeruline määrata isikuandmete töötlejate rolle ja kohustusi ning seda, kuidas tagada, et kõik töötlejad töötleks andmeid seadusega kooskõlas. Selleks et eri liiki arukate transpordisüsteemide kasutuselevõtt õnnestuks ning inimeste ja kaupade suuremat liikuvust võimaldavad digitaalsed vahendid ja teenused 80 leviks, on määruse ja internetiprivaatsuse õigusaktide järgimine hädavajalik.
Energeetika
Digitaalsete lahenduste loomisel energeetikasektoris toetutakse üha enam isikuandmete töötlemisele. Paketis „Puhas energia kõikidele eurooplastele“ 81 on uued sätted, mis võimaldavad energeetikasektori digitaliseerimist, ning eeskirjad andmete juurdepääsetavuse, andmehalduse ja koostalitlusvõime jaoks, mis võimaldaks kasutada tarbijate reaalaja-andmeid säästmiseks ning omatootmisele ja energiaturul osalemisele ärgitamiseks. Seetõttu on nende sätete edukaks rakendamiseks vaja järgida andmekaitse-eeskirju.
Konkurents
Konkurentsipoliitikas tuleb üha enam arvestada isikuandmete töötlemisega. 82 Kuna andmekaitseasutused on ainsad asutused, kes võivad hinnata andmekaitse-eeskirjade rikkumisi, teevad konkurentsi-, tarbijakaitse- ja andmekaitseasutused praegu ja ka tulevikus oma pädevuste kokkupuutepunktides vajaduse korral koostööd. Komisjon soodustab sellist koostööd ja jälgib selle suundumusi hoolega.
Valimised
Valimisalase paketi 83 raames 2018. aasta septembris välja antud suunistes isikuandmete kasutamise kohta valimiste kontekstis 84 juhtis komisjon tähelepanu valimiste osaliste jaoks eriti olulistele eeskirjadele ja valijate individuaalse mõjutamise probleemidele. Suuniste sisu kajastus ka Euroopa Andmekaitsenõukogu avalduses 85 ja paljude riiklike andmekaitseasutuste suunistes. Valimisalane pakett sisaldas ka üleskutset, et iga liikmesriik looks valimistega seotud veebitegevuse jaoks oma riikliku võrgustiku, kuhu kuuluvad riigiasutused, kelle pädevuses on valimisküsimused ning andmekaitse- ja muude eeskirjade täitmise järelevalve ja tagamine. Samuti nähti uusi meetmeid, millega kehtestada Euroopa tasandi erakondade ja sihtasutuste jaoks sanktsioonid andmekaitse-eeskirjade rikkumise eest. Komisjon soovitas liikmesriikidel teha sama ka riigi tasandil. Andmekaitsega seotud aspekte vaadeldakse ka 2019. aastal toimunud Euroopa Parlamendi valimiste hindamisaruandes, mis peaks avaldatama 2019. aasta oktoobris.
Õiguskaitse
Tõeline ja tulemuslik julgeolekuliit on võimalik ainult siis, kui järgitakse täiel määral ELi hartas ja teisestes õigusaktides sätestatud põhiõigusi ning järgitakse ka sobivaid andmekaitsemeetmeid, mis võimaldavad isikuandmete turvalist jagamist õiguskaitse otstarbel. Privaatsuse kui põhiõiguse ja andmekaitsega seotud piirangute kehtestamisel tuleb rangelt järgida vajaduse ja proportsionaalsuse nõuet.
VIII.Kokkuvõte
Praeguseks kättesaadava teabe ja sidusrühmadega peetud dialoogi alusel saab komisjon öelda, et esialgsel hinnangul on määruse esimene kohaldamisaasta olnud üldjoontes positiivne. Sellegipoolest (ja nagu ka teatisest näha) on vaja veel edusamme mitmes valdkonnas.
Õigusraamistiku rakendamine ja täiendamine
·Need kolm liikmesriiki, kes ei ole veel oma riigi andmekaitseõigust ajakohastanud, peavad seda tegema võimalikult kiiresti. Kõik liikmesriigid peaksid viima oma valdkondlikud õigusaktid määruse nõuetega täielikult kooskõlla.
·Komisjon kasutab kõiki oma käsutuses olevaid võimalusi (sh rikkumismenetlusi), et liikmesriigid järgiksid määrust ning et andmekaitse õigusraamistikus oleks killustatust võimalikult vähe.
Uue juhtimissüsteemi kogu potentsiaal tuleb kasutusele võtta
·Liikmesriigid peaksid hoolitsema selle eest, et nende andmekaitseasutustel oleks piisavalt töötajaid, raha ja tehnilisi vahendeid.
·Andmekaitseasutused peaksid tegema rohkem koostööd (nt korraldama ühisuurimisi). Liikmesriigid peaksid selliseid uurimisi soodustama.
·Andmekaitsenõukogu peaks ELi andmekaitsekultuuri edasi arendama ja kasutama kõiki määruses sätestatud vahendeid, mille abil tagada eeskirjade ühtne kohaldamine. Samuti peaks nõukogu jätkama suuniste koostamist, eriti VKEdele.
·Andmekaitsenõukogu sekretariaadi erialast ettevalmistust tuleks parandada, et see saaks nõukogu tööd rohkem toetada ja juhtida.
·Komisjon jätkab andmekaitseasutuste ja andmekaitsenõukogu abistamist, osaledes aktiivselt nõukogu töös ja juhtides määruse rakendamise käigus selle tähelepanu ELi õiguse nõuetele.
·Komisjon toetab andmekaitseasutuste suhtlust teiste asutustega (eriti konkurentsiasutustega), austades täiel määral nende valdkondlikku pädevust.
Sidusrühmade abistamine ja kaasamine
·Andmekaitsenõukogu peaks sidusrühmi oma töösse rohkem kaasama. Komisjon jätkab andmekaitseasutuste rahalist toetamist sidusrühmadega suhtlemisel.
·Komisjon jätkab teavitustegevust ja muud sidusrühmadega seotud tööd.
Rahvusvaheline lähendamine
·Komisjon intensiivistab kvalifitseeruvate partneritega peetavat dialoogi kaitse piisavuse valdkonnas (sh õiguskaitses). Täpsemalt soovitakse lähikuudel lõpule viia Lõuna-Koreaga peetavad läbirääkimised. 2020. aastal esitab komisjon aruande andmekaitsedirektiivi alusel tehtud 11 kaitse piisavuse otsuse läbivaatamise kohta.
·Komisjon jätkab tööd (sh tehnilise abi andmist ning teabe ja parimate tavade vahetamist) kolmandate riikidega, kes on huvitatud tänapäevaste privaatsuseeskirjade vastuvõtmisest, ning soodustab koostööd kolmandate riikide järelevalveasutuste ja piirkondlike organisatsioonidega.
·Komisjon suhtleb mitmepoolsete ja piirkondlike organisatsioonidega, et edendada andmekaitsenorme kui kaubanduse ja koostöö soodustajaid (nt G20 kohtumisel Jaapani käivitatud andmete usaldusväärse vaba liikumise algatuse raames).
Määruse kohaselt 86 peab komisjon selle rakendamisest 2020. aastal aru andma. Selle käigus saab hinnata tehtud edusamme ja seda, kas uue andmekaitsekorra eri komponendid pärast kaheaastast kohaldamist täielikult toimivad. Selleks suhtleb komisjon Euroopa Parlamendi, nõukogu, liikmesriikide, Euroopa Andmekaitsenõukogu, sidusrühmade ja kodanikega.