Konvencija Vijeća Europe za zaštitu osoba glede automatizirane obrade osobnih podataka („Konvencija br. 108”) jedini je pravno obvezujući multilateralni sporazum u području zaštite osobnih podataka. Cilj je Konvencije zaštita prava na privatnost priznatog člankom 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda. Pravo na privatnost i pravo na zaštitu podataka sadržana su i u člancima 7. i 8. Povelje EU-a o temeljnim pravima te članku 16. UFEU-a.

Konvencijom br. 108 od stranaka se zahtijeva da u svoje nacionalno zakonodavstvo uvrste nužne mjere kako bi osigurale poštovanje ljudskih prava svih osoba u pogledu obrade osobnih podataka. To je bio jedan od glavnih izvora nadahnuća za razvoj pravne stečevine EU-a u području zaštite podataka. Jedan od ciljeva Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka bio je prema njezinoj uvodnoj izjavi 11. upravo „dati sadržaj i jačati [načela i prava] iz [Konvencije br. 108]”.

Trenutačno je Konvenciju br. 108 ratificirala 51 država, uključujući 28 država članica EU-a, četiri države članice EFTA-e, sve zemlje zapadnog Balkana, nekoliko zemalja susjedstva (npr. Armenija i Gruzija), Ruska Federacija, Turska te nekoliko neeuropskih zemalja u Africi (npr. Senegal i Tunis) i Latinskoj Americi (Urugvaj). Nekoliko je zahtjeva (npr. Argentina, Meksiko i Maroko) u postupku, a niz država ima status promatrača (npr. Japan i Južna Koreja).

Konvencija br. 108 otvorena je za potpisivanje 1981., mnogo prije doba interneta i elektroničke komunikacije. Razvoj tehnologije i globalizacija informacija sa sobom nose nove izazove u području zaštite osobnih podataka. Protokolom o izmjeni želi se modernizirati Konvencija br. 108 kako bi se pronašli odgovori na te izazove.

Modernizirana Konvencija (tj. Konvencija br. 108 izmijenjena Protokolom o izmjeni) imat će ujednačeno područje primjene za sve njezine stranke, bez mogućnosti da se iz primjene u potpunosti izuzmu neki sektori ili aktivnosti (npr. u području nacionalne sigurnosti), kao što je slučaj s tekstom važeće Konvencije br. 108. Njome bi se stoga obuhvatile sve vrste obrade podataka u okviru nadležnosti stranaka, i u javnom i u privatnom sektoru.

Protokolom o izmjeni znatno se povećava razina zaštite podataka osigurana Konvencijom br. 108. Konkretno, u moderniziranoj Konvenciji pobliže će se odrediti načelo zakonite obrade (posebice u pogledu zahtjeva za pristanak) i dodatno ojačati zaštita posebnih kategorija podataka (te će se ujedno kategorije proširiti na one priznate kao posebne kategorije osobnih podataka u zakonodavstvu Unije). Osim toga, moderniziranom Konvencijom predvidjet će se dodatne zaštitne mjere za osobe pri obradi njihovih osobnih podataka (posebice, obveze ispitivanja mogućeg utjecaja planiranog postupka obrade podataka i provedbe odgovarajućih tehničkih i organizacijskih mjera; obveza prijavljivanja ozbiljnih povreda tajnosti podataka) te će se ojačati njihova prava (posebice u pogledu transparentnosti i pristupa podacima). Uvedena su i nova prava osoba čiji se podaci obrađuju, kao što je pravo da se na njih ne primjenjuje odluka koja se temelji isključivo na automatiziranoj obradi i znatno utječe na njih, pravo prigovora na obradu i pravo na pravni lijek u slučaju povrede prava pojedinca.

Modernizirana Konvencija sadržavat će revidirane odredbe (trenutačno uključene u Dodatni protokol koji su potpisale samo neke stranke) kojima se stranke obvezuju uspostaviti jedno ili više neovisnih tijela odgovornih za osiguravanje usklađenosti s odredbama Konvencije br. 108. Uloga tih tijela bila bi ojačana tako što bi se stranke obvezalo da im dodijele dodatne ovlasti, npr. ovlast za donošenje odluka u vezi s povredama Konvencije br. 108 te izricanje administrativnih sankcija.

Sustav izuzeća od gore navedenih prava i obveza kako su formulirana u Protokolu o izmjeni ispunjava tri osnovna uvjeta: očuvanje sveobuhvatne primjene Konvencije br. 108 (bez općih iznimki), fleksibilnost (što omogućuje usklađivanje visokih standarda zaštite podataka s drugim važnim javnim interesima, na primjer interesima nacionalne sigurnosti) i sveukupna usklađenost sa sudskom praksom Europskog suda za ljudska prava (posebice nepostojanje ograničenja koja utječu na bit temeljnog prava na zaštitu podataka).

Općenito, moderniziranom Konvencijom osigurala bi se visoka razina zaštite, ostavljajući prostora za fleksibilnost strankama u pogledu provedbe njezinih odredaba u nacionalno pravo. Pristupanje moderniziranoj Konvenciji br. 108 bilo bi privlačno zemljama, i izvan Europe, koje namjeravaju uspostaviti ili ojačati svoje sustave za zaštitu podataka. Može se očekivati da će njezin praktični učinak biti mnogo veći od važeće Konvencije br. 108 i u pogledu njezina područja primjene i obveza utvrđenih u njoj.

Nakon što stupi na snagu Protokolom o izmjeni uvodi se mogućnost da Unija postane stranka (modernizirane) Konvencije. Što se tiče prava glasovanja u Odboru Konvencije, u usuglašenom tekstu Konvencije osigurava se načelo da Unija može glasovati u svojem području nadležnosti s brojem glasova koji odgovara broju njezinih država članica koje su stranke Konvencije. Kako bi se riješile nedoumice u vezi s vrijednosti glasa Unije, dogovoreno je kompromisno rješenje, odnosno da se odluke mogu donijeti samo većinom od četiri petine glasova stranaka, a za najvažnije odluke koje se odnose na strankino poštovanje Konvencije dvostrukom većinom (kvalificiranom većinom i običnom većinom stranaka koje nisu članice EU-a).

Moderniziranom Konvencijom pospješila bi se i učinkovitost zaštite podataka tako što bi se osiguralo da Odbor Konvencije može ocijeniti učinkovitost poduzetih mjera u nacionalnom zakonodavstvu u pogledu provedbe odredbi Konvencije.

Tekst Protokola o izmjeni usklađen je s predstavnicima država članica u nadležnoj radnoj skupini Vijeća te se njime provode pregovaračke smjernice Vijeća. Također je potpuno u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) i Direktivom (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka (Direktiva o zaštiti podataka koje obrađuje policija), čime se isključuje da države članice podliježu različitim ili čak suprotnim obvezama prema pravu Unije i Vijeća Europe. Donošenje čvrste Konvencije temeljene na jednakom pristupu i načelima kao (nova) pravna stečevina Unije osobito je važno za međunarodnu strategiju Unije u području zaštite podataka. Konvencija br. 108 koja je otvorena i za neeuropske države, dobila je veliku potporu od zemalja diljem svijeta koje pripremaju ili planiraju donijeti zakonodavstvo o zaštiti podataka. Komisija je u Komunikaciji iz siječnja 2017. „Razmjena i zaštita osobnih podataka u globaliziranom svijetu” (COM/2017/07 final) uputila na Konvenciju br. 108 te priznala da bi se modernizirana Konvencija temeljila na istim načelima kao i zakonodavstvo EU-a o zaštiti podataka te bi stoga „pridonijela konvergenciji skupa visokih standarda zaštite podataka” na globalnoj razini. Prema tome, preuzela je obvezu „poticati brzo donošenje” Protokola o izmjeni.

Područje uređeno izmijenjenom Konvencijom sada je uglavnom obuhvaćeno zakonodavnim okvirom Unije o zaštiti podataka. U Općoj uredbi o zaštiti podataka koja se primjenjuje od 25. svibnja 2018. i u Direktivi o zaštiti podataka koje obrađuje policija za koju je razdoblje prenošenja završilo 6. svibnja 2018. predviđa se sveobuhvatni sustav pravila u području zaštite podataka i osigurava barem podjednak, a u mnogim slučajevima i viši standard zaštite. U skladu s člankom 13. modernizirane Konvencije stranke mogu osobama čiji se podaci obrađuju dodijeliti „širu mjeru zaštite od one propisane ovom Konvencijom” te stoga mogu slobodno donijeti strože mjere zaštite.

Protokol o izmjeni stupa na snagu kada sve stranke polože svoje isprave o ratifikaciji, prihvatu ili odobrenju kod glavnog tajnika Vijeća Europe. S obzirom na veliki broj stranaka koje ga trebaju ratificirati, Protokolom o izmjeni omogućuje se „djelomično stupanje na snagu” za manju skupinu stranaka nakon pet godina nakon što je najmanje trideset osam stranaka izrazilo pristanak da budu obvezane Konvencijom.

Države članice EU-a (trenutačno jedine stranke Konvencije br. 108) trebale bi poduzeti potrebne korake kako bi osigurale brzo stupanje na snagu Protokola o izmjeni:

Prvo, s obzirom na to da bi modernizirana Konvencija sadržavala uglavnom slične zaštitne mjere kao Opća uredba o zaštiti podataka i Direktiva o zaštiti podataka koje obrađuje policija, (djelomično) stupanje na snagu pridonijet će promicanju Unijinih standarda za zaštitu podataka diljem svijeta. Naime, Konvencija br. 108 imala je ključnu ulogu u širenju „europskog modela zaštite podataka” u svijetu jer se često koristi kao izvor inspiracije za zemlje koje namjeravaju donijeti ili modernizirati svoje zakone o privatnosti. To je danas još i važnije s obzirom na to da se u sve više zemalja u mnogim regijama svijeta donosi takvo zakonodavstva. Pojačanjem standarda zaštite među strankama Konvencije olakšao bi se i protok podataka između stranaka Konvencije koje su članice EU-a i onih koje to nisu. Za niz zemalja pristupanje Konvenciji br. 108 pokazalo se korisnim i za pripremu za mogući zaključak Europske komisije o primjerenosti. Taj se aspekt jača Općom uredbom o zaštiti podataka jer se izričito propisuje da je pristupanje Konvenciji br. 108 važan čimbenik koji Europska komisija uzima u obzir u svojoj procjeni primjerenosti. Čak i bez procjene primjerenosti, višom razinom zaštite (posebice u pogledu dostupnosti sudskih i izvansudskih lijekova, kao i učinkovitog nadzora koji vrše nadzorna tijela) olakšala bi se razmjena podataka na temelju odgovarajućih zaštitnih mjera (osobito jer bi se takve zaštitne mjere mogle lakše provoditi u pravnim sustavima stranaka).

Drugo, važno je da modernizirana Konvencija bude u potpunosti u skladu s odredbama Opće uredbe o zaštiti podataka i Direktive o zaštiti podataka koje obrađuje policija, kako bi se državama članicama EU-a omogućilo da ostanu stranke Konvencije i poštuju njezine odredbe, a da pritom ne povređuju zakonodavstvo Unije. To se posebice odnosi na odredbe o slobodnom protoku podataka među strankama s obzirom na to da modernizirana Konvencija (za razliku od važećeg teksta) sadržava izuzeće od tog pravila za stranke „obvezane harmoniziranim pravilima zaštite koje dijele države koje su dio regionalne međunarodne organizacije”. Time će se osigurati da države članice EU-a poštuju mjerodavne odredbe unatoč uvjetima u pogledu međunarodnih prijenosa propisanima u zakonodavstvu Unije o zaštiti podataka.

Treće, važećom Konvencijom br. 108. ne predviđa se mogućnost pristupanja međunarodnih organizacija. Protokolom o izmjeni to se mijenja te je njezino stupanje na snagu preduvjet za buduće pristupanje EU-a Konvenciji.

Predložena Odluka Vijeća temelji se na članku 218. stavku 6. UFEU-a u vezi s člankom 16. UFEU-a.