Brüssel, 9. oktoober – Euroopa Andmekaitsenõukogu võttis oma viimasel täiskogu istungil vastu arvamuse teatavate kohustuste kohta, mis tulenevad tuginemisest volitatud töötleja(te)le ja alamtöötleja(te)le, suunised õigustatud huvi kohta, avalduse isikuandmete kaitse üldmääruse täitmise tagamise täiendavate menetlusnormide kehtestamise kohta ning Euroopa Andmekaitsenõukogu tööprogrammi 2024–2025.
Esiteks võttis Euroopa Andmekaitsenõukogu pärast seda, kui Taani andmekaitseasutus oli esitanud andmekaitsenõukogule isikuandmete kaitse üldmääruse artikli 64 lõike 2 kohase taotluse, vastu arvamuse teatavate kohustuste kohta, mis tulenevad tuginemisest volitatud töötleja(te)le ja alamtöötleja(te)le. Isikuandmete kaitse üldmääruse artikli 64 lõikes 2 on sätestatud, et iga andmekaitseasutus võib paluda andmekaitsenõukogul esitada arvamuse üldkohaldatavates küsimustes või küsimustes, millel on mõju rohkem kui ühes liikmesriigis.
Arvamuses käsitletakse olukordi, kus vastutavad töötlejad tuginevad ühele või mitmele volitatud töötlejale ja alamtöötlejale. Eelkõige käsitletakse selles kaheksat küsimust volitatud töötlejatele ja alamtöötlejatele tuginevate vastutavate töötlejate teatavate kohustuste tõlgendamise kohta ning vastutava töötleja ja volitatud töötleja vaheliste lepingute sõnastuse kohta, mis tulenevad eelkõige isikuandmete kaitse üldmääruse artiklist 28.
Arvamuses selgitatakse, et vastutavatel töötlejatel peaks olema igal ajal kergesti kättesaadav teave kõigi volitatud töötlejate, alamtöötlejate jne identiteedi kohta (st nimi, aadress, kontaktisik), et nad saaksid kõige paremini täita oma isikuandmete kaitse üldmääruse artiklist 28 tulenevaid kohustusi. Lisaks tuleks vastutava töötleja kohustust kontrollida, kas (alam)töötlejatel on „piisavad tagatised“, kohaldada olenemata ohust andmesubjektide õigustele ja vabadustele, kuigi sellise kontrolli ulatus võib varieeruda, eelkõige töötlemisega seotud riskide alusel.
Arvamuses märgitakse ka, et kuigi esialgne volitatud töötleja peaks tagama, et ta pakub piisavate tagatistega alamtöötlejaid, jääb lõplik otsus ja vastutus konkreetse alamtöötleja kaasamise eest vastutavaks töötlejaks.
Euroopa Andmekaitsenõukogu leiab, et isikuandmete kaitse üldmääruse kohaselt ei ole vastutaval töötlejal kohustust süstemaatiliselt paluda alamtöötluslepingutes kontrollida, kas andmekaitsekohustused on töötlemisahelas edasi antud. Vastutav töötleja peaks hindama, kas isikuandmete kaitse üldmääruse järgimise tõendamiseks on vaja nõuda selliste lepingute koopiat või need läbi vaadata.
Lisaks, kui isikuandmete edastamine väljapoole Euroopa Majanduspiirkonda toimub kahe (alam)töötleja vahel, peaks volitatud töötleja kui andmeeksportija koostama asjakohased dokumendid, näiteks edastamise aluse, edastamise mõjuhinnangu ja võimalike täiendavate meetmete kohta. Kuna aga vastutaval töötlejal on endiselt isikuandmete kaitse üldmääruse artikli 28 lõikest 1 tulenevad kohustused seoses „piisavate tagatistega“ lisaks artiklis 44 sätestatud kohustustele tagada, et isikuandmete edastamine ei kahjusta kaitse taset, peaks ta neid dokumente hindama ja suutma neid pädevale andmekaitseasutusele näidata.
Seejärel võttis andmekaitsenõukogu vastu suunised isikuandmete töötlemise kohta õigustatud huvi alusel.
Vastutavad töötlejad vajavad isikuandmete seaduslikuks töötlemiseks õiguslikku alust. Õigustatud huvi on üks kuuest võimalikust õiguslikust alusest.
Käesolevates suunistes analüüsitakse isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis f sätestatud kriteeriume, mida vastutavad töötlejad peavad täitma isikuandmete seaduslikuks töötlemiseks õigustatud huvi alusel. Samuti võetakse selles arvesse Euroopa Kohtu hiljutist otsust selles küsimuses (C-621/22, 4. oktoober 2024).
Õigustatud huvile tuginemiseks peab vastutav töötleja täitma kolm kumulatiivset tingimust:
-
õigustatud huvi taotlemine vastutava töötleja või kolmanda isiku poolt;
-
vajadus töödelda isikuandmeid õigustatud huvi eesmärgil;
-
Üksikisikute huvid või põhivabadused ja -õigused ei ole ülimuslikud vastutava töötleja või kolmanda isiku õigustatud huvi(de) suhtes (tasakaalustamine).
Esiteks võib õiguspäraseks pidada üksnes õiguspäraseid, selgelt ja täpselt väljendatud, tegelikke ja olemasolevaid huve. Näiteks võivad sellised õigustatud huvid esineda olukorras, kus üksikisik on klient või on vastutava töötleja teenistuses.
Teiseks, kui taotletavate huvide saavutamiseks on olemas mõistlikud, sama tõhusad, kuid vähem sekkuvad alternatiivid, ei saa töötlemist pidada vajalikuks. Töötlemise vajalikkust tuleks samuti uurida võimalikult väheste andmete kogumise põhimõtte alusel.
Kolmandaks peab vastutav töötleja tagama, et tema õigustatud huvi ei kaalu üles üksikisiku huve, põhivabadusi. Tasakaalustamisel peab vastutav töötleja võtma arvesse üksikisikute huve, töötlemise mõju ja nende mõistlikke ootusi ning selliste täiendavate kaitsemeetmete olemasolu, mis võivad piirata mõju üksikisikule.
Lisaks selgitatakse käesolevates suunistes, kuidas seda hindamist tuleks praktikas läbi viia, sealhulgas mitmes konkreetses kontekstis, nagu pettuste ennetamine, otseturundus ja infoturve. Dokumendis selgitatakse ka seost selle õigusliku aluse ja mitme andmesubjekti isikuandmete kaitse üldmäärusest tuleneva õiguse vahel.
Suuniste üle toimub avalik konsultatsioon kuni 20. novembrini 2024.
Seejärel võttis andmekaitsenõukogu vastu avalduse pärast seda, kui Euroopa Parlament ja nõukogu olid teinud muudatused Euroopa Komisjoni ettepanekusse võtta vastu määrus, millega kehtestatakse isikuandmete kaitse üldmääruse täitmise tagamisega seotud täiendavad menetlusnormid.
Avalduses tervitatakse üldiselt Euroopa Parlamendi ja nõukogu tehtud muudatusi ning soovitatakse täiendavalt käsitleda konkreetseid elemente, et uus määrus saavutaks ametiasutuste vahelise koostöö ühtlustamise ja isikuandmete kaitse üldmääruse jõustamise parandamise eesmärgid.
Avalduses esitatakse praktilised soovitused, mida võib kasutada eelseisvate kolmepoolsete kohtumiste kontekstis. Eelkõige kordab Euroopa Andmekaitsenõukogu vajadust õigusliku aluse ja ühtlustatud menetluse järele vastastikuste kokkulepete sõlmimiseks ning annab soovitusi, et tagada konsensuse saavutamine põhiküsimuste kokkuvõtte suhtes kõige tõhusamal viisil. Andmekaitsenõukogu väljendab heameelt ka täiendavate tähtaegade lisamise üle, tuletades samas meelde, et need peavad olema realistlikud, ning nõuab tungivalt, et kaasseadusandjad jätaksid vaidluste lahendamise menetlusest välja sätted, mis on seotud asjakohaste ja põhjendatud vastuväidete ning põhjendustega.
Kuigi avalduses väljendatakse heameelt suurema läbipaistvuse saavutamise eesmärgi üle, nõuaks Euroopa Parlamendi kavandatud ühise juhtumitoimiku kasutuselevõtt keerukaid muudatusi Euroopa ja liikmesriikide tasandil kasutatavates dokumendihaldus- ja sidesüsteemides. Selle rakendamise tehnilisi lahendusi tuleks hoolikalt hinnata ja sellele juurdepääsu andmise korda tuleks täiendavalt selgitada.
Euroopa Andmekaitsenõukogu väljendab heameelt nõukogu muudatusettepaneku üle, mis võimaldab juhtival andmekaitseasutusel loobuda nn tõhustatud koostööst lihtsate ja lihtsate juhtumite korral, kuid rõhutab vajadust täpsustada veelgi selle erandi ulatust.
Euroopa Andmekaitsenõukogu eesistuja Anu Talus ütles: „Määruse eelnõu võib oluliselt ühtlustada isikuandmete kaitse üldmääruse täitmise tagamist, suurendades juhtumite käsitlemise tõhusust. ELi tasandil on vaja suuremat ühtlustamist, et maksimeerida isikuandmete kaitse üldmääruse koostöö- ja järjepidevuse mehhanismide täielikku tõhusust.“
Oma viimasel täiskogu istungil võttis kriisilahendusnõukogu vastu oma tööprogrammi aastateks 2024–2025. See on esimene kahest tööprogrammist, millega rakendatakse 2024. aasta aprillis vastu võetud Euroopa Andmekaitsenõukogu strateegiat aastateks 2024–2027. See põhineb Euroopa Andmekaitsenõukogu strateegias sätestatud prioriteetidel ja selles võetakse arvesse ka sidusrühmade jaoks kõige olulisematena määratletud vajadusi.
Euroopa Andmekaitsenõukogu liikmed nõustusid andma Euroopa Andmekaitsenõukogu tegevuses vaatleja staatuse Kosovo teabe- ja eraelu puutumatuse ametile (Kosovan DPA) kooskõlas Euroopa Andmekaitsenõukogu kodukorra artikliga 8.
Siin avaldatud pressiteade on automaatselt tõlgitud inglise keelest. Euroopa Andmekaitsenõukogu ei taga tõlke õigsust. Kahtluse korral vaadake ingliskeelset ametlikku teksti.