Euroopa Andmekaitseinspektori arvamuse kokkuvõte, milles käsitletakse kahte ettepanekut võtta vastu nõukogu otsused, millega lubatakse liikmesriikidel allkirjastada ja ratifitseerida Euroopa Liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll tõhustatud koostöö ja elektrooniliste tõendite avaldamise kohta

(Arvamuse täistekst (inglise, prantsuse ja saksa keeles) on Euroopa Andmekaitseinspektori veebilehel www.edps.europa.eu)

(2022/C 182/04)

25. novembril 2021. aastal võttis komisjon Euroopa Liidu toimimise lepingu artikli 16, artikli 82 lõike 1 ning artikli 218 lõigete 5 ja 6 alusel vastu kaks ettepanekut võtta vastu nõukogu otsused, millest ühega lubatakse liikmesriikidel allkirjastada ja teisega ratifitseerida Euroopa Liidu huvides Budapesti küberkuritegevuse konventsiooni teise lisaprotokolli. Ettepanekute lisas on sätestatud nõukogu juhised protokolli allkirjastamise ja ratifitseerimise ajal esitatavate reservatsioonide, deklaratsioonide ja teatiste kohta.

Kuriteo uurimine ja selle eest vastutusele võtmine on õiguspärane eesmärk ning rahvusvaheline koostöö, sealhulgas teabevahetus, on muutunud olulisemaks kui kunagi varem. Nagu Euroopa Andmekaitseinspektor on korduvalt märkinud, vajab EL isikuandmete õiguskaitsealastel eesmärkidel kolmandate riikidega jagamiseks jätkusuutlikke meetmeid, mis oleksid täielikult kooskõlas ELi aluslepingute ja põhiõiguste hartaga. Isegi riigisiseste juhtumite uurimisel puutuvad õiguskaitseasutused üha enam kokku piiriüleste olukordadega, kuna teavet säilitatakse elektrooniliselt kolmandas riigis. Taotluste kasvav hulk ja digitaalse teabe volatiilsus on pannud surve alla olemasolevad koostöömudelid, näiteks vastastikuse õigusabi lepingud. Euroopa Andmekaitseinspektor mõistab, et andmete hankimisel uurimisteks on ametiasutustele oluline tegur aeg, ning toetab jõupingutusi töötada välja uued koostöömudelid, sealhulgas kolmandate riikidega tehtava koostöö jaoks.

Protokolli eesmärk on tõhustada traditsioonilisi koostöökanaleid ning see sisaldab sätteid õiguskaitseasutuste ja teenuseosutajate vahelise otsese koostöö tugevdamiseks piiriüleses kontekstis. Eelkõige edendaks protokoll koostööd küberkuritegevuse valdkonnas ja kuritegusid käsitlevate elektrooniliste tõendite kogumist konkreetsete kriminaaluurimiste või -menetluste eesmärgil.

Tunnistades küll, et mitmepoolses rahvusvahelises lepingus ei ole võimalik kasutada üksnes Euroopa Liidu õiguse terminoloogiat ja määratlusi, rõhutab Euroopa andmekaitseinspektor, et üksikisikute jaoks tuleb tagada asjakohased kaitsemeetmed, et need vastaksid täielikult Euroopa Liidu õigusaktidele.

Andmekaitsepõhimõtted, sealhulgas teabe õiglus, täpsus ja asjakohasus, sõltumatu järelevalve ja üksikisikute individuaalsed õigused, on avalik-õiguslikele asutustele sama olulised kui eraettevõtjatele. Need aluspõhimõtted on seda olulisemad, kui arvestada kriminaaluurimiseks vajalike andmete tundlikkust.

Käesoleva arvamuse eesmärk on pakkuda ELi institutsioonidele objektiivset analüüsi ja konstruktiivseid nõuandeid ajal, mil nõukogu vaatab läbi komisjoni ettepanekud protokolli allkirjastamiseks ja ratifitseerimiseks, ning enne, kui Euroopa Parlamenti kutsutakse üles andma oma nõusolekut protokolli sõlmimiseks.

Euroopa Andmekaitseinspektor tunneb heameelt asjaolu üle, et protokolli lõppteksti ei ole lisatud ühtegi sätet õiguskaitseasutuste otsese juurdepääsu kohta andmetele. Ta tunneb heameelt ka selle üle, et protokoll hõlmab spetsiaalset artiklit isikuandmete kaitse kohta. Lisaks märgib Euroopa Andmekaitseinspektor heakskiitvalt, et protokoll sisaldab mitmeid kaitsemeetmeid.

Euroopa Andmekaitseinspektor mõistab, et on kinnitatud, et ELi-USA andmekaitsealast raamlepingut kohaldatakse andmeedastuste suhtes EList Ameerika Ühendriikidesse ametiasutustevahelist koostööd käsitlevas protokollis kehtestatud sätete raames. Andmekaitseinspektor peab sellist tulemust kahetsusväärseks.

Kui võetakse vastu nõukogu otsus, millega lubatakse liikmesriikidel protokolli liidu huvides vastavalt allkirjastada ja ratifitseerida, kiidab Euroopa Andmekaitseinspektor heaks komisjoni ettepanekud liikmesriikidele esitada liidu huvides protokolli artikli 7 lõike 2 punkti b ning lõike 5 punktide a ja e kohased deklaratsioonid, teatised ja teadaanded. Kõnealuste ettepanekutega tagatakse, et liidu teenuseosutajatelt võidakse nõuda isikuandmete edastamist üksnes taotluse esitanud protokolli osalises kolmandas riigis prokuröri või muu õigusasutuse poolt või järelevalve all antud korralduste alusel või taotluse saanud liikmesriigi pädeva asutuse sõltumatu järelevalve ja kontrolli all.

Euroopa Andmekaitseinspektor märgib positiivse küljena ka ettepanekut, mille kohaselt peaksid liikmesriigid esitama protokolli artikli 8 lõike 4 kohase deklaratsiooni (pädevate asutuste vahelise koostöö kohta abonendi- ja andmeliiklusandmete esitamise korralduste täitmisel), tagamaks, et käesoleva sätte alusel antud korralduste täitmiseks on vaja toetavat lisateavet.

Lisaks on Euroopa Andmekaitseinspektoril järgmised soovitused seoses tulevaste nõukogu otsustega, kui liikmesriigid peaksid protokolli liidu huvides allkirjastama ja ratifitseerima:

—

teatavaid andmeid, mis kuuluvad küberkuritegevuse vastase konventsiooni tähenduses abonendiandmete kategooriasse, võib käsitada liidu õiguse kohaselt andmeliiklusandmetena, mis toob kaasa andmesubjekti põhiõiguste tõsise rikkumise, mistõttu võib neile juurdepääsu õigustada ainult raskete kuritegude vastase võitlusega. Seetõttu soovitab Euroopa Andmekaitseinspektor vastupidiselt komisjoni ettepanekule jätta liikmesriikidel endale õigus vastavalt artikli 7 lõike 9 punktile b mitte kohaldada protokolli artiklit 7, milles käsitletakse teatavat liiki kontaktnumbrite puhul abonendiandmete avaldamist teenuseosutajate poolt otse muu riigi pädevatele asutustele;

—	liikmesriigid peaksid vastavalt protokolli artikli 7 lõike 5 punktile e määrama kohtu- või muu sõltumatu asutuse;

—	tuleks selgitada ELi-USA andmekaitsealase raamlepingu raames liikmesriikide kavandatavat teavitamist Ameerika Ühendriikide ametiasutustele allkirjastamise ajal või ratifitseerimis-, vastuvõtmis- või kinnitamiskirja hoiule andmisel;

—	kavandatavat kaalutlust tuleks muuta seoses muude protokolli artikli 14 lõike 1 punkti c alusel sõlmitud lepingute või kokkulepetega, mis võivad asendada protokolli andmekaitsenõude (artikkel 14).

1.   SISSEJUHATUS JA TAUST

1.

Euroopa Nõukogu küberkuritegevuse konventsiooni komitee kiitis 2017. aasta juunis heaks küberkuritegevuse konventsiooni teise lisaprotokolli koostamise tingimused ajavahemikuks 2017. aasta september kuni 2019. aasta detsember (1).

2.

5. veebruaril 2019 võttis komisjon vastu soovituse (2) võtta vastu nõukogu otsus, millega lubatakse komisjonil Euroopa Liidu nimel osaleda läbirääkimistes, milles käsitletakse teist lisaprotokolli tõhustatud koostöö ja elektrooniliste tõendite avaldamise kohta (edaspidi „protokoll“) (3), mis on lisatud Euroopa Nõukogu küberkuritegevuse vastasele konventsioonile (edaspidi „küberkuritegevuse konventsioon“) (CETS nr 185) (4).

3.

Euroopa Andmekaitseinspektor (edaspidi „andmekaitseinspektor“) võttis 2. aprillil 2019. aastal vastu soovituse kohta arvamuse (5). Liidu Nõukogu andis 6. juuni 2019. aasta otsusega komisjonile volituse osaleda Euroopa Liidu nimel teise lisaprotokolli üle peetavates läbirääkimistes (6).

4.

Küberkuritegevuse konventsiooni komitee pikendas volitusi kaks korda – 2020. aasta detsembrini ja seejärel 2021. aasta maini. Protokolli koostas küberkuritegevuse konventsiooni komitee ajavahemikus 2017. aasta septembrist kuni 2021. aasta maini. Sel perioodil peeti üle 90 kõnealuse protokolli koostamise täiskogu istungi, redaktsioonirühma ja alarühmade koosoleku ning kuus sidusrühmadega konsulteerimise vooru.

5.

Euroopa Andmekaitsenõukogu osales 13. novembril 2019. aastal, 2. veebruaril 2021. aastal ja 4. mail 2021. aastal protokolli eelnõu üle peetud avalikel konsultatsioonidel (7).

6.

Euroopa Parlament tunnistas oma 2021. aasta resolutsioonis Eli küberturvalisuse strateegia kohta digikümnendi jaoks (8) vajadust protokolliga seotud töö lõpule viia.

7.

17. novembril 2021. aastal võttis Euroopa Nõukogu ministrite komitee protokolli vastu. See peaks allkirjastamiseks avatama 2022. aasta mais. Protokolli muudatusettepanekuid võib seega teha üksnes protokolli osaline ja need võtab vastu ministrite komitee. Protokolli muudatuste jõustumiseks on vaja kõigi osaliste nõusolekut (9).

8.

Euroopa Liit ei saa saada protokolli osaliseks, kuna nii protokoll kui ka küberkuritegevuse konventsioon on avatud ainult riikidele (10).

9.

25. novembril 2021 võttis komisjon ELi toimimise lepingu artikli 16, artikli 82 lõike 1 ning artikli 218 lõigete 5 ja 6 alusel vastu need kaks ettepanekut võtta vastu nõukogu otsused (11).

10.

Nende ettepanekute (12) kohaselt kuulub protokoll ELi toimimise lepingu artikli 3 lõike 2 tähenduses valdkonda, mis on suures osas hõlmatud ühiseeskirjadega. Komisjon püüab nende ettepanekutega saada nõukogult kaks otsust, millega volitatakse liikmesriike protokollile Euroopa Liidu huvides alla kirjutama ja seda ratifitseerima. Mõlemale ettepanekule on lisatud lisa (edaspidi „lisa“), milles antakse liikmesriikidele juhiseid, mis käsitlevad protokolli allkirjastamisel ja ratifitseerimisel Euroopa Liidu huvides esitatavaid reservatsioone, deklaratsioone, teatisi või teadaandeid ning muid kaalutlusi. Ratifitseerimist käsitlevale ettepanekule on lisatud ka lisas oleva protokolli tekst.

11.

Kui nõukogu otsustab liidu huvides lubada liikmesriikidel lepingu sõlmimiseks see allkirjastada, peaks nõukogu pärast Euroopa Parlamendi nõusoleku saamist võtma vastu otsuse, millega lubatakse liikmesriikidel liidu huvides leping ka ratifitseerida. Protokoll jõustub selle kuu esimesel päeval, mis järgneb kolme kuu möödumisele päevast, mil viis küberkuritegevuse konventsiooni osalist on väljendanud oma nõusolekut olla protokolliga seotud vastavalt protokolli artikli 16 lõigete 1 ja 2 sätetele (13).

12.

Euroopa Komisjon on pärast ettepanekute vastuvõtmist konsulteerinud nende mõlema osas määruse (EL) 2018/1725 (14) artikli 42 lõike 1 alusel Euroopa Andmekaitseinspektoriga. Käesolevale arvamusele on viidatud vastavalt protokolli ratifitseerimist ja allkirjastamist käsitlevate ettepanekute põhjendustes 12 ja 13. Andmekaitseinspektor soovib tähelepanu juhtida sellele, et see arvamus ei piira muid võimalikke märkusi, mida ta võib esitada hilisema uue teabe alusel.

7.   JÄRELDUSED

129.

Võttes arvesse küberkuritegevuse levikut ja elektrooniliste tõendite kasvavat tähtsust kriminaaluurimistes ning arvestades selliste tõendite kogumise keerukust, kui need ei kuulu liikmesriikide jurisdiktsiooni alla, mõistab Euroopa Andmekaitseinspektor õiguskaitseasutuste vajadust kiiresti ja tõhusalt elektroonilisi tõendeid hankida, tagamaks, et nad suudavad tõhusalt kuritegevusega võidelda.

130.

Euroopa Andmekaitseinspektor pooldab seetõttu selles kontekstis olemasolevatele probleemidele sobivate kaitsemeetmete abil rahvusvahelise vastuse leidmist.

131.

Protokolli eesmärk on nii tõhustada traditsioonilisi koostöökanaleid kui ka tagada õiguskaitseasutuste ja teenuseosutajate vaheline otsene piiriülene koostöö. See ei sisalda sätteid õiguskaitseasutuste vahetu juurdepääsu kohta andmetele ning Euroopa Andmekaitseinspektor kiidab selle heaks.

132.

Tunnistades küll, et mitmepoolses rahvusvahelises lepingus ei ole võimalik kasutada üksnes Euroopa Liidu õiguse terminoloogiat ja määratlusi, rõhutab Euroopa andmekaitseinspektor, et üksikisikute jaoks tuleb tagada asjakohased andmekaitsemeetmed, et need vastaksid täielikult Euroopa Liidu õigusaktidele.

133.

Euroopa Andmekaitseinspektor on rahul asjaoluga, et protokoll hõlmab spetsiaalset artiklit isikuandmete kaitse kohta. Ta märgib ka heakskiitvalt mitmeid protokolli lisatud kaitsemeetmeid.

134.

Euroopa Andmekaitseinspektor mõistab, et on kinnitatud, et andmekaitsealast raamlepingut kohaldatakse andmeedastuste suhtes EList Ameerika Ühendriikidesse ametiasutustevahelist koostööd käsitlevas protokollis kehtestatud sätete raames. Andmekaitseinspektor peab sellist tulemust kahetsusväärseks.

135.

Kui võetakse vastu nõukogu otsus, millega lubatakse liikmesriikidel protokolli liidu huvides vastavalt allkirjastada ja ratifitseerida, kiidab Euroopa Andmekaitseinspektor heaks komisjoni ettepanekud liikmesriikidele esitada liidu huvides protokolli artikli 7 lõike 2 punkti b ning lõike 5 punktide a ja e kohased deklaratsioonid, teatised ja teadaanded. Kõnealuste ettepanekutega tagatakse, et liidu teenuseosutajatelt võidakse nõuda isikuandmete edastamist üksnes taotluse esitanud protokolli osalises kolmandas riigis prokuröri või muu õigusasutuse poolt või järelevalve all antud korralduste alusel või taotluse saanud liikmesriigi pädeva asutuse sõltumatu järelevalve ja kontrolli all.

136.

Ta märgib positiivse küljena ka ettepanekut, mille kohaselt peaksid liikmesriigid esitama protokolli artikli 8 lõike 4 kohase deklaratsiooni (pädevate asutuste vahelise koostöö kohta abonendi- ja andmeliiklusandmete esitamise korralduste täitmisel), tagamaks, et käesoleva sätte alusel antud korralduste täitmiseks on vaja toetavat lisateavet.

137.

Euroopa Andmekaitseinspektoril on järgmised soovitused seoses tulevaste nõukogu otsustega, kui liikmesriigid peaksid protokolli liidu huvides allkirjastama ja ratifitseerima: — teatavaid andmeid, mis kuuluvad küberkuritegevuse vastase konventsiooni tähenduses abonendiandmete kategooriasse, võib käsitada liidu õiguse kohaselt andmeliiklusandmetena, mis toob kaasa andmesubjekti põhiõiguste tõsise rikkumise, mistõttu võib neile juurdepääsu õigustada ainult raskete kuritegude vastase võitlusega. Seetõttu soovitab Euroopa Andmekaitseinspektor vastupidiselt komisjoni ettepanekule jätta liikmesriikidel endale õigus vastavalt artikli 7 lõike 9 punktile b mitte kohaldada protokolli artiklit 7, milles käsitletakse teatavat liiki kontaktnumbrite puhul abonendiandmete avaldamist teenuseosutajate poolt otse muu riigi pädevatele asutustele; — liikmesriigid peaksid vastavalt protokolli artikli 7 lõike 5 punktile e määrama kohtu- või muu sõltumatu asutuse; — tuleks selgitada ELi-USA andmekaitsealase raamlepingu raames liikmesriikide kavandatavat teavitamist Ameerika Ühendriikide ametiasutustele allkirjastamise ajal või ratifitseerimis-, vastuvõtmis- või kinnitamiskirja hoiule andmisel; — kavandatavat kaalutlust tuleks muuta seoses muude protokolli artikli 14 lõike 1 punkti c alusel sõlmitud lepingute või kokkulepetega, mis võivad asendada protokolli andmekaitsenõude (artikkel 14).

138.

Lõpuks rõhutab Euroopa Andmekaitseinspektor, et liikmesriigi prokurör ja seega ka Euroopa Prokuratuur peaksid saama esitada korralduse või edastada andmeid teise poole korraldusel artikli 8 alusel üksnes juhul, kui on kindlaks tehtud, et sellise korralduse vaatab läbi kohtuasutus või sõltumatu asutus Euroopa Liidu Kohtu praktika tähenduses.

139.

Euroopa Andmekaitseinspektor on valmis komisjoni, nõukogu ja Euroopa Parlamenti selle protsessi käigus ka täiendavalt nõustama. Käesolev arvamus ei piira muid võimalikke kommentaare, mida Euroopa Andmekaitseinspektor võib esitada hilisema uue teabe alusel.

---

(1)  https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(2)  Soovitus: nõukogu otsus, millega antakse luba osaleda läbirääkimistel Euroopa Nõukogu küberkuritegevuse konventsiooni (CETS nr 185) teise lisaprotokolli üle, COM(2019) 71 final.

(3)  https://rm.coe.int/1680a49dab (ministrite komitee poolt heaks kiidetud esialgne versioon).

(4)  https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680081561

(5)  Euroopa Andmekaitseinspektori 2. aprilli 2019. aasta arvamus nr 3/2019, mis käsitleb osalemist läbirääkimistel Budapesti küberkuritegevuse konventsiooni teise lisaprotokolli üle.

(6)  Nõukogu 6. juuni 2019. aasta otsus, millega lubatakse Euroopa Komisjonil osaleda Euroopa Liidu nimel Euroopa Nõukogu küberkuritegevuse konventsiooni (CETS nr 185) teise lisaprotokolli üle peetavates läbirääkimistes.

(7)  Euroopa Andmekaitsenõukogu panus konsulteerimisse Euroopa Nõukogu küberkuritegevuse konventsiooni (Budapesti konventsiooni) teise lisaprotokolli eelnõu üle, 13. november 2019; avaldus 02/201 Euroopa Nõukogu küberkuritegevuse konventsiooni (Budapesti konventsioon) teise lisaprotokolli uute sätete eelnõu kohta, nagu see võeti vastu 2. veebruaril 2021; Euroopa Andmekaitsenõukogu panus Euroopa Nõukogu küberkuritegevuse konventsiooni (Budapesti konventsiooni) teise lisaprotokolli eelnõu üle konsulteerimise kuuendasse vooru, 4. mai 2021.

(8)  Euroopa Parlamendi 10. juuni 2021. aasta resolutsioon ELi küberturvalisuse strateegia kohta digikümnendi jaoks.

(9)  Protokolli artikkel 21.

(10)  Ettepanekud võtta vastu nõukogu otsused, millega lubatakse liikmesriikidel allkirjastada ja ratifitseerida Euroopa Liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll tõhustatud koostöö ja elektrooniliste tõendite avaldamise kohta, põhjendus 10.

(11)  Ettepanek: nõukogu otsus, millega lubatakse liikmesriikidel allkirjastada Euroopa Liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll tõhustatud koostöö ja elektrooniliste tõendite avaldamise kohta (COM(2021) 718 final).

Ettepanek: nõukogu otsus, millega lubatakse liikmesriikidel ratifitseerida Euroopa Liidu huvides küberkuritegevuse konventsiooni teine lisaprotokoll tõhustatud koostöö ja elektrooniliste tõendite avaldamise kohta (COM(2021) 719 final).

Vastavalt allakirjutamist käsitleva ettepaneku põhjendustele 14 ja 15 ning ratifitseerimist käsitleva ettepaneku põhjendustele 13 ja 14 on Iirimaal võimalus osaleda otsuse vastuvõtmisel ja kohaldamisel ning Taani ei osale käesoleva otsuse vastuvõtmisel ega ole sellega seotud ning seda ei kohaldata tema suhtes.

(12)  Ettepanekute põhjendus 3.

(13)  Artikli 16 lõige 1: „[…] [konventsiooni osalised] võivad väljendada oma nõusolekut olla sellega seotud kas:

a.	allkirjastamise teel, seadmata tingimuseks ratifitseerimist, heakskiitmist või kinnitamist, või

b.	kirjutades alla ratifitseerimisele, vastuvõtmisele või kinnitamisele minevale dokumendile, millele järgneb ratifitseerimine, vastuvõtmine või kinnitamine“.

2. Ratifitseerimis-, vastuvõtmis- või heakskiitmiskirjad antakse hoiule Euroopa Nõukogu peasekretärile.

(14)  ELT L 295, 21.11.2018, lk 39.