EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2018/1725, 23. oktoober 2018, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (EMPs kohaldatav tekst)

(1)

Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta („harta“) artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu („ELi toimimise leping“) artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. See õigus on tagatud ka Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8.

(2)

Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 45/2001 (3) on sätestatud füüsilistele isikutele samaväärsed kohtulikult kaitstavad õigused, määratud kindlaks liidu institutsioonide ja asutuste vastutavate töötlejate kohustused andmete töötlemisel ning sellega on loodud sõltumatu järelevalveasutus, Euroopa Andmekaitseinspektor, mis vastutab isikuandmete liidu institutsioonide ja asutuste poolse töötlemise jälgimise eest. Seda ei kohaldata aga isikuandmete töötlemise suhtes, mis toimub liidu institutsioonide ja asutuste tegevuse käigus, mis jääb väljapoole liidu õiguse kohaldamisala.

(3)

Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (4) ning Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680 (5) võeti vastu 27. aprillil 2016. Kui määruses on sätestatud üldnormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus, siis direktiivis on sätestatud erinormid füüsiliste isikute kaitseks isikuandmete töötlemisel ning isikuandmete vaba liikumise tagamiseks liidus kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

(4)

Määrusega (EL) 2016/679 on ette nähtud määruse (EÜ) nr 45/2001 muutmine, et tagada liidus tugev ja ühtne andmekaitseraamistik ning võimaldada määruse (EÜ) nr 45/2001 paralleelset kohaldamist määrusega (EL) 2016/679.

(5)

Kogu liitu hõlmava isikuandmete kaitset käsitleva sidusa lähenemisviisi ja liidus isikuandmete vaba liikumise huvides on ühtlustada võimalikult suures ulatuses liidu institutsioonide, organite ja asutuste andmekaitsenorme liikmesriikides avaliku sektori jaoks kehtestatud andmekaitsenormidega. Kui käesoleva määruse sätted tuginevad samadele põhimõtetele kui määruse (EL) 2016/679 sätted, tuleks mõlemaid õigusnormide kogumeid Euroopa Liidu Kohtu (Euroopa Kohus) kohtupraktika kohaselt tõlgendada ühetaoliselt, eelkõige seetõttu, et käesoleva määruse ülesehitust tuleks mõista määruse (EL) 2016/679 ülesehituse vastena.

(6)

Kaitsta tuleks isikuid, kelle isikuandmeid töödeldakse mistahes põhjustel liidu institutsioonides ja asutustes, näiteks seetõttu, et nad nendes institutsioonides või asutustes töötavad. Käesolevat määrust ei tuleks kohaldada surnud isikuid puudutavate isikuandmete suhtes. Käesolevat määrust ei kohaldata selliste andmete töötlemise suhtes, mis puudutavad juriidilisi isikuid, eelkõige juriidiliste isikutena asutatud ettevõtjaid, sealhulgas juriidilise isiku nime ja vormi ning kontaktandmete suhtes.

(7)

Selleks et vältida normide täitmisest kõrvalehoidumise märkimisväärset ohtu, peaks füüsiliste isikute kaitse olema tehnoloogiliselt neutraalne ega tohiks sõltuda kasutatud meetoditest.

(8)

Käesolevat määrust tuleks kohaldada isikuandmete töötlemise suhtes kõigis liidu institutsioonides, organites ja asutustes. Seda tuleks kohaldada isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja selliste isikuandmete automatiseerimata töötlemise suhtes, mis kuuluvad andmete kogumisse või mis kavatsetakse andmete kogumisse kanda. Käesoleva määruse kohaldamisalasse ei peaks kuuluma sellised toimikud või toimikute kogumid, mis ei ole teatavate kriteeriumide kohaselt korrastatud, ega nende esilehed.

(9)

Lissaboni lepingu vastu võtnud valitsustevahelise konverentsi lõppaktile lisatud deklaratsioonis nr 21 (isikuandmete kaitse kohta kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas) tunnistas konverents, et kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö eripära tõttu võib tekkida vajadus ELi toimimise lepingu artiklil 16 põhinevate erinormide järele seoses isikuandmete kaitse ja isikuandmete vaba liikumisega kõnealustes valdkondades. Seepärast tuleks käesoleva määruse eraldiseisvat peatükki, mis sisaldab üldreegleid, kohaldada kasutatavate isikuandmete töötlemise suhtes, näiteks isikuandmete suhtes, mida töötlevad kriminaaluurimise otstarbel liidu organid või asutused, kes tegutsevad kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

(10)

Direktiivis (EL) 2016/680 on sätestatud ühtsed normid kuritegude tõkestamise, uurimise, avastamise või isikute nende eest vastutusele võtmise, kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil töödeldavate isikuandmete kaitse ja selliste andmete vaba liikumise kohta. Selleks et tagada kogu liidus ühesugune füüsiliste isikute kohtulikult kaitstavate õiguste kaitse tase ning saavutada, et erinevused ei takistaks isikuandmete vahetamist ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse jäävaid tegevusi teostavate liidu organite ja asutuste ning pädevate asutuste vahel, peaksid selliste liidu organite ja asutuste töödeldud kasutatavate isikuandmete kaitset ja vaba liikumist käsitlevad õigusnormid olema kooskõlas direktiiviga (EL) 2016/680.

(11)

Kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki) üldnorme tuleks kohaldada, ilma et see piiraks liidu organite ja asutuste poolse kasutatavate isikuandmete töötlemise suhtes kohaldatavaid erieeskirju, kui tegevus kuulub ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse. Selliseid erieeskirju tuleks käsitada kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki sätete suhtes lex specialis’ena (lex specialis derogat legi generali). Õigusliku killustatuse vähendamiseks peaksid andmekaitse erieeskirjad, mida kohaldatakse isikuandmete töötlemise suhtes liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, olema kooskõlas kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatükiga, samuti käesoleva määruse sätetega, mis on seotud sõltumatu järelevalve, õiguskaitsevahendite, vastutuse ja karistustega.

(12)

Kasutatavate isikuandmete töötlemist käsitlevat käesoleva määruse peatükki tuleks kohaldada liidu organite ja asutuste suhtes tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, olenemata sellest, kas see tegevus on nende põhi- või lisaülesanne, et kuritegusid ennetada, avastada, uurida või nende eest vastutusele võtta. Seda ei tuleks aga kohaldada Europoli ega Euroopa Prokuratuuri suhtes, kuni neid õigusakte, millega luuakse Europol ja Euroopa Prokuratuur, on muudetud eesmärgiga muuta kasutatavate isikuandmete töötlemist käsitlev käesoleva määruse peatükk muudetud kujul kohaldatavaks ka nende suhtes.

(13)

Komisjon peaks läbi vaatama käesoleva määruse ning eelkõige kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki. Komisjon peaks samuti vaatama läbi teised aluslepingute alusel vastu võetud õigusaktid, mis reguleerivad kasutatavate isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse. Selleks et tagada füüsiliste isikute ühetaoline ja järjepidev kaitse seoses isikuandmete töötlemisega, peaks komisjonil olema õigus esitada pärast nimetatud läbivaatamist asjakohaseid seadusandlikke ettepanekuid, sealhulgas ettepanekuid kasutatavate isikuandmete töötlemist käsitleva käesoleva määruse peatüki muutmiseks, et kohaldada seda Europoli ja Euroopa Prokuratuuri suhtes. Nimetatud muudatustes peaks muu hulgas võtma arvesse sätteid, mis on seotud sõltumatu järelevalve, õiguskaitsevahendite, vastutuse ja karistustega.

(14)

Käesolev määrus peaks hõlmama halduslikku laadi isikuandmete, näiteks personaliandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse.

(15)

Käesolevat määrust tuleks kohaldada isikuandmete töötlemise suhtes liidu institutsioonide, organite ja asutuste poolt tegevustes, mis jäävad Euroopa Liidu lepingu (ELi leping) V jaotise 2. peatüki kohaldamisalasse. Käesolevat määrust ei tuleks kohaldada isikuandmete töötlemise suhtes ELi lepingu artikli 42 lõikes 1 ning artiklites 43 ja 44 osutatud missioonide poolt, kes rakendavad ühist julgeoleku- ja kaitsepoliitikat. Vajaduse korral tuleks esitada asjakohased ettepanekud, et reguleerida veelgi isikuandmete töötlemist ühise julgeoleku- ja kaitsepoliitika valdkonnas.

(16)

Andmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes. Pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. Selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut. Andmekaitse põhimõtteid ei tuleks seetõttu kohaldada anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga, või isikuandmete suhtes, mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada. Käesolevas määruses ei käsitleta seega sellise anonüümse teabe töötlemist, sealhulgas statistilisel või uuringute eesmärgil.

(17)

Isikuandmete pseudonümiseerimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi. „Pseudonümiseerimise“ selgesõnaline kasutuselevõtmine käesolevas määruses ei ole mõeldud välistama muid andmekaitsemeetmeid.

(18)

Füüsilisi isikuid võib seostada nende seadmete, rakenduste, tööriistade ja protokollide jagatavate võrguidentifikaatoritega, näiteks IP-aadresside või küpsistega, või muude identifikaatoritega, näiteks raadiosagedustuvastuse kiipidega. See võib jätta jälgi, mida võidakse kasutada füüsiliste isikute profileerimiseks ja nende tuvastamiseks, eelkõige juhul, kui neid kombineeritakse serveritesse saabuvate kordumatute identifikaatorite ja muu teabega.

(19)

Nõusolek tuleks anda selge kinnitusena, näiteks kirjaliku kinnituse vormis, sealhulgas elektroonilisel teel, või suulise avaldusena, millega andmesubjekt annab vabatahtlikult, konkreetselt, teadlikult ja ühemõtteliselt nõusoleku teda puudutavate isikuandmete töötlemiseks. See võiks hõlmata vajaliku lahtri märgistamist veebisaidil, infoühiskonna teenuste tehniliste seadmete valimist või muud avaldust või käitumist, millest selles kontekstis konkreetselt nähtub andmesubjekti nõusolek teda puudutavate isikuandmete kavandatavaks töötlemiseks. Vaikimist, eelnevalt märgistatud lahtreid või tegevusetust ei tohiks seega pidada nõusolekuks. Nõusolek peaks hõlmama kõiki samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid. Kui töötlemisel on mitu eesmärki, tuleks nõusolek anda kõigi nende kohta. Kui andmesubjekti nõusolek tuleb anda pärast elektroonilise taotluse esitamist, peab taotlus olema selge ja kokkuvõtlik ning mitte põhjendamatult häirima selle teenuse kasutamist, mille kohta taotlus esitatakse. Samas peaks andmesubjektil olema õigus nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras ning seetõttu on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Sageli ei ole isikuandmete kogumise ajal võimalik täielikult kindlaks määrata teadusuuringute eesmärgil toimuva isikuandmete töötlemise eesmärki. Seetõttu peaks andmesubjektidel olema võimalik anda oma nõusolek teatavates teadusuuringuvaldkondades, kui järgitakse teadusuuringuvaldkonna tunnustatud eetikanorme. Andmesubjektidel peaks olema võimalus anda oma nõusolek üksnes teatavatele teadusuuringuvaldkondadele või teadusprojektide osadele kavandatud eesmärgiga lubatud ulatuses.

(20)

Isikuandmete igasugune töötlemine peaks olema seaduslik ja õiglane. Füüsilisi isikuid puudutavate isikuandmete kogumine, kasutamine, lugemine või muu töötlemine ja nende andmete töötlemise ulatus praegu või tulevikus peaks olema nende jaoks läbipaistev. Läbipaistvuse põhimõte eeldab, et nende isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Kõnealune põhimõte puudutab eelkõige andmesubjektide teavitamist vastutava töötleja identiteedist ning töötlemise eesmärgist ja täiendavast teabest, et tagada asjaomaste füüsiliste isikute suhtes õiglane ja läbipaistev töötlemine ning nende õigus saada neid puudutavate isikuandmete töötlemise kohta kinnitust ja sõnumeid. Füüsilisi isikuid tuleks teavitada isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad sellise andmete töötlemisega seoses oma õigusi kasutada. Eelkõige peaksid olema selged ja õiguspärased isikuandmete töötlemise konkreetsed eesmärgid, mis tuleks kindlaks määrata andmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma sellega, mis on nende töötlemise otstarbe seisukohalt vajalik. See eeldab eelkõige, et tagatakse andmete säilitamise aja piirdumine rangelt minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil. Selle tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, peaks vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. Selle tagamiseks, et ebaõiged isikuandmed parandatakse või kustutatakse, tuleks võtta kõik mõistlikud meetmed. Isikuandmeid tuleks töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse ja konfidentsiaalsuse, sealhulgas isikuandmetele ning nende töötlemiseks kasutatavatele seadmetele loata juurdepääsu ja nende loata kasutamise tõkestamise ning isikuandmete avalikustamise tõkestamise nende edastamise ajal.

(21)

Kui liidu institutsioonid ja asutused edastavad isikuandmeid kooskõlas vastutuse põhimõttega sama institutsiooni või asutuse siseselt kui vastuvõtja ei kuulu vastutava töötleja alluvusse või teistele liidu institutsioonidele või asutustele, peaksid nad kontrollima, kas isikuandmed on vajalikud vastuvõtja pädevusse kuuluvate ülesannete õiguspäraseks täitmiseks. Vastutav töötleja peaks pärast vastuvõtja taotlust isikuandmete edastamiseks kontrollima eelkõige seda, kas isikuandmete töötlemiseks on olemas õiguslik alus, ja vastuvõtja pädevust. Vastutav töötleja peaks andma andmete edastamise vajalikkusele esialgse hinnangu. Kui vajalikkuse osas tekib kahtlusi, peaks vastutav töötleja taotlema vastuvõtjalt täiendavat teavet. Vastuvõtja peaks tagama, et andmete edastamise vajalikkust on võimalik hiljem kontrollida.

(22)

Töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid töödelda liidu institutsioonides ja organites üldistes huvides või avaliku võimu teostamisel täidetavate ülesannete vajalikkuse alusel, selliste õiguslikult siduvate kohustuste järgimise vajaduse alusel, mida vastutav töötleja peab täitma või käesoleva määruse kohasel muul õiguslikul alusel, sealhulgas asjaomase andmesubjekti nõusoleku alusel, kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel enne lepingu sõlmimist meetmeid. Isikuandmete töötlemine liidu institutsioonides ja asutustes seoses üldistes huvides täidetavate ülesannetega hõlmab nende institutsioonide ja asutuste juhtimiseks ja toimimiseks vajalikku isikuandmete töötlemist. Isikuandmete töötlemist tuleks pidada seaduslikuks ka siis, kui see on vajalik andmesubjekti või muu füüsilise isiku eluliste huvide kaitsmiseks. Teise füüsilise isiku eluliste huvide alusel saaks isikuandmeid põhimõtteliselt töödelda üksnes siis, kui töötlemist ei saa ilmselgelt teostada muul õiguslikul alusel. Mõnda liiki isikuandmetöötlus võib teenida nii kaalukaid avalikke huve kui ka andmesubjekti elulisi huve, näiteks juhul, kui töötlemine on vajalik humanitaareesmärkidel, sealhulgas epideemia ja selle leviku jälgimiseks, või humanitaarhädaolukordades, eriti loodusõnnetuste ja inimtegevusest tingitud õnnetuste korral.

(23)

Käesolevas määruses osutatud liidu õigus peaks olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse vastavalt hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele.

(24)

Käesolevas määruses osutatud sise-eeskirjad peaksid olema selged ja täpsed üldkohaldatavad õigusaktid, mille eesmärk on tekitada andmesubjektidele õiguslikke tagajärgi. Kõnealused sise-eeskirjad peaksid olema kehtestatud liidu institutsioonide ja organite kõrgeimal juhtimistasandil, nende pädevuse piires ja nende toimimist puudutavates küsimustes. Sise-eeskirjad tuleks avaldada Euroopa Liidu Teatajas. Kõnealuste eeskirjade kohaldamine peaks olema ettenähtav isikute jaoks, kelle suhtes neid kohaldatakse vastavalt hartas ning Euroopa inimõiguste ja põhivabaduste kaitse konventsioonis sätestatud nõuetele. Sise-eeskirjad võivad olla otsuste vormis, eelkõige juhul, kui need on kehtestanud liidu institutsioonid.

(25)

Isikuandmete töötlemine muul eesmärgil kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. Kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, võib liidu õiguses kindlaks määrata ja täpsustada need ülesanded ja eesmärgid, mille puhul tuleks pidada edasist töötlemist eesmärkidele vastavaks ja seaduslikuks. Edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärkidele vastavate seaduslike isikuandmete töötlemise toimingutena. Liidu õiguses sätestatud õiguslik alus isikuandmete töötlemiseks võib olla ka edasise töötlemise õiguslikuks aluseks. Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed algselt koguti, peaks vastutav töötleja võtma pärast kõikide esialgse töötlemise seaduslikkuse seisukohast vajalike nõuete täitmist muu hulgas arvesse mis tahes seoseid sellise eesmärgi ja kavandatava edasise töötlemise eesmärgi vahel, isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes, isikuandmete laadi, kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks ning asjakohaste kaitsemeetmete olemasolu nii esialgsetes kui ka kavandatavates edasistes isikuandmete töötlemise toimingutes.

(26)

Kui andmeid töödeldakse andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõendada, et andmesubjekt on andnud isikuandmete töötlemise toiminguks oma nõusoleku. Eelkõige muid küsimusi käsitleva kirjaliku avalduse puhul tuleks kaitsemeetmetega tagada, et andmesubjekt on teadlik nõusoleku andmisest ja nõusoleku andmise ulatusest. Kooskõlas nõukogu direktiiviga 93/13/EMÜ (6) peaks vastutava töötleja poolt ette valmistatud nõusolekuavaldus olema arusaadav ja lihtsasti kättesaadav, selles tuleks kasutada selget ja lihtsat keelt ning selles ei tohiks olla ebaõiglaseid tingimusi. Teadliku nõusoleku andmiseks peaks andmesubjekt olema teadlik vähemalt sellest, kes on vastutav töötleja ja milleks kavatsetakse isikuandmeid töödelda. Nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta.

(27)

Laste isikuandmed väärivad erilist kaitset, kuna lapsed ei pruugi olla piisavalt teadlikud asjaomastest ohtudest, tagajärgedest ja kaitsemeetmetest ning oma õigustest seoses isikuandmete töötlemisega. Eriline kaitse peaks eelkõige rakenduma isiku profiilide loomisel ja laste isikuandmete kogumisel liidu institutsioonide ja asutuste veebisaitidel otse lastele pakutavate teenuste kasutamise puhul, nagu näiteks isikutevahelise side teenused või piletite internetimüük, ning kui isikuandmete töötlemine toimub nõusoleku alusel.

(28)

Kui liidus asuvad vastuvõtjad, kes ei ole liidu institutsioonid või asutused, soovivad, et liidu institutsioonid või asutused edastaksid neile isikuandmeid, peaksid need vastuvõtjad tõendama, et andmete edastamine on vajalik nende avalikes huvides täidetava ülesande täitmiseks või avaliku võimu teostamiseks. Samuti peaksid need vastuvõtjad tõendama, et edastamine on vajalik konkreetsel avalikust huvist tuleneval eesmärgil ning vastutav töötleja peaks uurima, kas on põhjust arvata, et andmesubjekti õigustatud huvid võivad olla kahjustatud. Sellisel juhul peaks vastutav töötleja põhjalikult kaaluma erinevaid võistlevaid huvisid, et hinnata taotletud isikuandmete edastamise proportsionaalsust. Need konkreetsed avalikust huvist tulenevad eesmärgid võivad olla seotud liidu institutsioonide ja organite läbipaistvusega. Lisaks peaksid liidu institutsioonid ja asutused vastavalt läbipaistvuse ja hea halduse põhimõttele sellist vajadust tõendama juhul, kui nad andmete edastamist ise algatavad. Käesolevas määruses sätestatud nõudeid edastamise kohta liidus asuvatele vastuvõtjatele, kes ei ole liidu institutsioonid või asutused, tuleks tõlgendada seadusliku töötlemise tingimuste lisanõuetena.

(29)

Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. Selliseid isikuandmeid ei tohiks töödelda, välja arvatud juhul, kui käesolevas määruses sätestatud eritingimused on täidetud. Need isikuandmed peaksid hõlmama ka niisuguseid isikuandmeid, millest ilmneb rassiline või etniline päritolu, kusjuures mõiste „rassiline päritolu“ kasutamine käesolevas määruses ei osuta sellele, et liit aktsepteerib teooriaid, millega püütakse määrata kindlaks eraldi inimrasside olemasolu. Fotode töötlemist ei peaks süstemaatiliselt käsitlema isikuandmete eriliikide töötlemisena, kuna need on hõlmatud biomeetriliste andmete määratlusega üksnes siis, kui neid töödeldakse konkreetsete tehniliste vahenditega, mis võimaldavad füüsilist isikut kordumatult tuvastada või autentida. Lisaks tundlike andmete töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid norme, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas siis, kui andmesubjekt annab selleks oma sõnaselge nõusoleku, või konkreetse vajaduse korral, eelkõige juhul, kui töödeldakse teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist.

(30)

Tugevamat kaitset väärivate isikuandmete eriliike tuleks töödelda tervisega seotud eesmärkidel üksnes juhul, kui need eesmärgid on vaja saavutada füüsiliste isikute ja kogu ühiskonna hüvanguks, eelkõige tervishoiu- või sotsiaalhoolekandeteenuste ja -süsteemide juhtimise kontekstis. Seetõttu tuleks käesolevas määruses ette näha ühtsed tervisealaste isikuandmete eriliikide töötlemise tingimused konkreetsete vajaduste osas, eelkõige juhul, kui selliseid andmeid töötlevad teatavatel tervishoiuga seotud eesmärkidel isikud, kellel on õiguslikult siduv kohustus hoida ametisaladust. Liidu õiguses tuleks ette näha konkreetsed ja sobivad meetmed, et kaitsta füüsiliste isikute põhiõigusi ja isikuandmeid.

(31)

Isikuandmete eriliike võib olla vaja töödelda avalikes huvides rahvatervisega seotud valdkondades ilma andmesubjekti nõusolekuta. Sellisel töötlemisel tuleks kohaldada sobivaid ja konkreetseid meetmeid, et kaitsta füüsiliste isikute õigusi ja vabadusi. Selles kontekstis tuleks mõistet „rahvatervis“ tõlgendada vastavalt Euroopa Parlamendi ja nõukogu määrusele (EÜ) nr 1338/2008, (7) mille kohaselt rahvatervis on kõik tervisega seotud asjaolud, nimelt tervislik seisund, sealhulgas haigestumus ja puuded, tervislikku seisundit mõjutavad tegurid, tervishoiualased vajadused, tervishoiule eraldatud vahendid, tervishoiuteenuse osutamine ja selle üldine kättesaadavus, samuti kulutused tervishoiule ja selle rahastamine ning suremuse põhjused. Sellise terviseandmete avalikes huvides töötlemise tulemusel ei tohiks isikuandmeid muudel eesmärkidel töödelda.

(32)

Juhul kui vastutav töötleja töötleb selliseid isikuandmeid, mille alusel ei saa füüsilisi isikuid tuvastada, ei tohiks ta olla kohustatud hankima andmesubjekti tuvastamiseks täiendavat teavet ainult käesoleva määruse sätete järgimiseks. Vastutav töötleja ei tohiks aga keelduda sellise täiendava teabe vastuvõtmisest, mida andmesubjekt esitab oma õiguste kasutamise toetamiseks. Tuvastamine peaks hõlmama andmesubjekti digitaalset tuvastamist, näiteks sellise autentimise mehhanismi abil nagu samad volitused, mida andmesubjekt kasutab vastutava töötleja pakutavasse sidusteenusesse sisselogimiseks.

(33)

Avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil toimuva isikuandmete töötlemise suhtes tuleks kohaldada kooskõlas käesoleva määrusega asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitseks. Nende kaitsemeetmetega tuleks tagada tehniliste ja korralduslike meetmete olemasolu, eelkõige selleks, et tagada võimalikult väheste andmete kogumise põhimõtte järgimine. Isikuandmete edasine töötlemine avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil peab toimuma siis, kui vastutav töötleja on hinnanud nende eesmärkide täitmise teostatavust, töödeldes isikuandmeid, mis ei võimalda või enam ei võimalda andmesubjekte tuvastada, tingimusel et olemas on asjakohased kaitsemeetmed (näiteks isikuandmete pseudonümiseerimine). Liidu institutsioonid ja asutused peaksid kehtestama liidu õiguses asjakohased kaitsemeetmed isikuandmete töötlemisele, mis toimub avalikes huvides toimuva arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil, kusjuures liidu õigus võib hõlmata liidu institutsioonide ja organite poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirju.

(34)

Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil taotleda ja vajaduse korral hankida tasuta eelkõige juurdepääsu õigusele nõuda isikuandmete parandamist või kustutamist ning kasutada õigust esitada vastuväiteid. Vastutav töötleja peaks samuti kättesaadavaks tegema vahendid, millega taotluse saab esitada elektrooniliselt, eriti kui isikuandmeid töödeldakse elektrooniliste vahenditega. Vastutav töötleja peaks olema kohustatud vastama andmesubjekti taotlustele põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul ning kui vastutav töötleja ei kavatse andmesubjekti taotlust rahuldada, siis seda põhjendama.

(35)

Õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest. Vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti. Lisaks tuleks andmesubjekti teavitada profiilianalüüsi olemasolust ja sellise analüüsi tagajärgedest. Kui isikuandmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud isikuandmeid esitama, ja selliste andmete esitamata jätmise tagajärgedest. Sellise teabe võib esitada koos standardsete ikoonidega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, peaksid need olema masinloetavad.

(36)

Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle juhtumi asjaoludest olenevalt kas andmesubjektilt andmete kogumise ajal või mõistliku ajavahemiku jooksul, juhul kui andmeid hangitakse muust allikast. Kui isikuandmeid võib õiguspäraselt avaldada muule vastuvõtjale, tuleks andmesubjekti sellest teavitada andmete esmakordsel avaldamisel. Kui vastutav töötleja kavatseb isikuandmeid töödelda muul eesmärgil kui see, milleks neid koguti, peaks vastutav töötleja esitama andmesubjektile enne andmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu vajaliku teabe. Kui andmesubjektile ei saa esitada isikuandmete päritolu, sest kasutatud on mitut allikat, tuleks esitada üldteave.

(37)

Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. See hõlmab andmesubjektide õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. Igal andmesubjektil peaks seega olema õigus teada eelkõige isikuandmete töötlemise eesmärke, võimaluse korral isikuandmete töötlemise ajavahemikku, isikuandmete vastuvõtjaid, isikuandmete automaatse töötlemise loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt juhul kui töötlemine põhineb profiilianalüüsil) ning saada eelneva kohta teavet. See õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine. Kui vastutav töötleja töötleb suurt hulka andmesubjekti käsitlevat teavet, peaks vastutav töötleja saama paluda, et andmesubjekt täpsustaks enne andmete esitamist, millise teabe või milliste isikuandmete töötlemise toimingutega taotlus seotud on.

(38)

Andmesubjektil peaks olema õigus nõuda teda käsitlevate isikuandmete parandamist ja „õigus olla unustatud“ juhul, kui selliste andmete säilitamine rikub käesolevat määrust või vastutava töötleja suhtes kohaldatavat liidu õigust. Andmesubjektil peaks olema õigus oma isikuandmete kustutamisele ja nende töötlemise lõpetamisele siis, kui isikuandmed ei ole enam vajalikud eesmärkidel, mille jaoks need koguti või neid muul viisil töödeldi, kui andmesubjekt on töötlemisele antud nõusoleku tagasi võtnud või kui ta on vastu oma isikuandmete töötlemisele või kui nende isikuandmete töötlemine muul viisil ei vasta käesoleva määruse nõuetele. Kõnealune õigus on asjakohane eelkõige siis, kui andmesubjekt andis nõusoleku lapsena, olemata täielikult teadlik töötlemisega kaasnevatest ohtudest, ja hiljem soovib need isikuandmed eelkõige internetist kustutada. Andmesubjektil peaks olema võimalik seda õigust kasutada, vaatamata sellele, et ta ei ole enam laps. Isikuandmete jätkuv säilitamine peaks olema seaduslik aga juhul, kui see on vajalik sõna- ja teabevabaduse kasutamiseks, õiguslikult siduva kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, rahvatervise valdkonna avalikes huvides, avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.

(39)

Selleks et tugevdada võrgukeskkonnas õigust olla unustatud, tuleks laiendada õigust andmete kustutamisele, kohustades isikuandmed avaldanud vastutavat töötlejat teavitama selliseid isikuandmeid töötlevaid vastutavaid töötlejaid asjaolust, et kõnealustele isikuandmetele osutavad lingid või nende andmete koopiad või kordused tuleb kustutada. Seda tehes peaks vastutav töötleja võtma mõistlikke meetmeid, võttes arvesse vastutavale töötlejale kättesaadavat tehnoloogiat ja vahendeid, sealhulgas tehnilisi meetmeid, et teavitada isikuandmeid töötlevaid vastutavaid töötlejaid andmesubjekti taotlusest.

(40)

Isikuandmete töötlemise piiramise meetodid võivad muu hulgas hõlmata valitud isikuandmete ajutist ümberpaigutamist teise töötlemissüsteemi, valitud isikuandmete muutmist kasutajatele kättesaamatuks või avaldatud andmete ajutist kõrvaldamist veebisaidilt. Automaatsetes andmete kogumites tuleks isikuandmete töötlemise piiramine tagada üldjuhul tehniliste vahenditega selliselt, et isikuandmeid enam edasi ei töödelda ja neid ei saa enam muuta. Asjaolu, et isikuandmete töötlemine on piiratud, tuleks süsteemis selgelt määratleda.

(41)

Selleks et veelgi tugevdada kontrolli oma andmete üle, peaks andmesubjektil isikuandmete automatiseeritud töötlemise korral samuti olema lubatud saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud, struktureeritud, laialdaselt kasutatavas, masinloetavas ja koostalitlevas vormingus ning edastada neid teisele vastutavale töötlejale. Vastutavaid töötlejaid peaks julgustama arendama koostalitlevaid vorminguid, mis võimaldavad andmete ülekantavust. See õigus peaks olema kasutatav juhul, kui andmesubjekt esitas isikuandmed omaenda nõusoleku alusel või kui töötlemine on vajalik lepingu täitmiseks. Seda ei tuleks seega kohaldada eelkõige siis, kui isikuandmete töötlemine on vajalik vastutava töötleja õiguslikult siduva kohustuse täitmiseks või avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu kasutamiseks. Andmesubjekti õigus edastada või saada teda puudutavaid isikuandmeid ei peaks tekitama vastutavatele töötlejatele kohustust võtta kasutusele või hoida töös tehniliselt ühilduvaid andmetöötlussüsteeme. Kui teatud isikuandmed puudutavad enam kui üht andmesubjekti, ei tohiks isikuandmete saamise õigus piirata teiste andmesubjektide käesoleva määruse kohaseid õigusi ja vabadusi. Lisaks ei tohiks see õigus piirata andmesubjekti käesoleva määruse kohast õigust nõuda oma isikuandmete kustutamist ja selle õiguse piiranguid ning ei tohiks eelkõige tähendada andmesubjekti poolt lepingu täitmiseks esitatud teda käsitlevate isikuandmete kustutamist sel määral ja nii kaua, kui isikuandmed on vajalikud selle lepingu täitmiseks. Kui see on tehniliselt teostatav, peaks andmesubjektil olema õigus sellele, et isikuandmed edastatakse otse ühelt vastutavalt töötlejalt teisele.

(42)

Kui isikuandmeid võidakse seaduslikult töödelda sellepärast, et töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, peaks andmesubjektil olema ikkagi õigus tema konkreetse olukorraga seotud isikuandmete töötlemine vaidlustada. Vastutav töötleja peaks tõendama, et tema mõjuvad õigustatud huvid kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused.

(43)

Andmesubjektil peaks olema õigus sellele, et tema suhtes ei tehta üksnes andmete automatiseeritud töötlemisele toetuvat isiklike aspektide hindamisel põhinevat ja meedet sisaldada võivat otsust, millel on teda puudutavad õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, nagu veebipõhine tööle värbamine ilma inimsekkumiseta. Selline töötlemine hõlmab igasuguses isikuandmete automatiseeritud töötlemises seisnevat profiilianalüüsi, mille käigus hinnatakse füüsilise isikuga seotud isiklikke aspekte, mille eesmärk on eelkõige selliste aspektide analüüsimine ja prognoosimine, mis on seotud töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega, kui see toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle samamoodi märkimisväärset mõju.

Sellisel töötlemisel, sealhulgas profiilianalüüsil põhinev otsuste tegemine peaks aga olema lubatud siis, kui see on sõnaselgelt lubatud vastutava töötleja suhtes kohaldatava liidu õigusega. Igal juhul tuleks sellise töötlemise korral kehtestada sobivaid kaitsemeetmeid, mis peaksid hõlmama andmesubjektile konkreetse teabe andmist ja õigust otsesele isiklikule kontaktile, õigust väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ning õigust seda otsust vaidlustada. Selline meede ei tohiks puudutada last. Selleks et tagada andmesubjekti suhtes õiglane ja läbipaistev töötlemine, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti, peaks vastutav töötleja kasutama profiilianalüüsiks asjakohaseid matemaatilisi või statistilisi menetlusi, rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada eelkõige ebaõigeid isikuandmeid põhjustavate tegurite korrigeerimine ja vigade tegemise ohu minimeerimine, ning tagama isikuandmete turvalisuse selliselt, et võetakse arvesse potentsiaalset ohtu andmesubjekti huvidele ja õigustele ning ennetama muu hulgas diskrimineerivat mõju füüsilistele isikutele rassi või etnilise päritolu, poliitiliste vaadete, usutunnistuse või veendumuste, ametiühingusse kuulumise, geneetilise või tervisliku seisundi või seksuaalse sättumuse alusel või andmete töötlemist, mille tulemuseks on sellise mõjuga meetmed. Automatiseeritud otsuste tegemine ja profiilianalüüs konkreetsete isikuandmete liikide põhjal peaks olema lubatud ainult eritingimustel.

(44)

Aluslepingute alusel vastu võetud õigusaktidega ja liidu institutsioonide ja asutuste poolt nende toimimist puudutavates küsimustes vastu võetud sise-eeskirjadega võidakse kehtestada piirangud, mis puudutavad konkreetseid põhimõtteid ja õigust saada teavet, andmetega tutvuda, nõuda nende parandamist ja kustutamist või õigust andmeid ühest süsteemist teise üle kanda, elektroonilise side andmete konfidentsiaalsust, samuti andmesubjekti isikuandmetega seotud rikkumisest teavitamist ning vastutavate töötlejate teatavaid seonduvaid kohustusi, kui selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne selleks, et tagada avalik julgeolek, süütegude tõkestamine, uurimine ja nende eest vastutusele võtmine või kriminaalkaristuste täitmisele pööramine. See hõlmab avalikku julgeolekut ähvardavate ohtude eest kaitsmist või nende ennetamist, inimelude kaitsmist eelkõige loodus- ja inimtegevusest tingitud õnnetustele reageerimisel, liidu institutsioonide ja asutuste sisejulgeolekut, liidu või liikmesriigi muud üldist avalikku huvi, eelkõige liidu ühise välis- ja julgeolekupoliitika eesmärke või liidu või liikmesriigi olulist majandus- või finantshuvi eesmärki ning üldisest avalikust huvist lähtuvate avalike registrite pidamist või andmesubjekti kaitset või teiste isikute õiguste ja vabaduste kaitset, sealhulgas sotsiaalkaitset, rahvatervist ja humanitaareesmärke.

(45)

Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele.

(46)

Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tagajärjel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju; kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; kui töödeldakse isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegude ning nendega seotud turvameetmete kohta; kui hinnatakse isiklikke aspekte, eelkõige töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega seotud aspektide analüüsimisel või prognoosimisel, et luua või kasutada isiklikke profiile; kui töödeldakse kaitsetute füüsiliste isikute, eriti laste isikuandmeid; kui töötlemine hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte.

(47)

Andmesubjekti õigustele ja vabadustele tekkiva ohu tõenäosus ja tõsidus tuleks teha kindlaks lähtudes andmetöötluse laadist, ulatusest, kontekstist ja eesmärkidest. Ohtu tuleks hinnata objektiivse hindamise põhjal, millega tehakse kindlaks, kas andmetöötlustoimingutega kaasneb oht või suur oht.

(48)

Füüsiliste isikute õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab asjakohaste tehniliste ja korralduslike meetmete võtmist, et tagada käesoleva määruse nõuete täitmine. Selleks et olla võimeline tõendama käesoleva määruse täitmist, peaks vastutav töötleja kehtestama sise-eeskirjad ja rakendama meetmeid, mis vastavad eelkõige lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Sellised meetmed võivad koosneda muu hulgas isikuandmete töötlemise miinimumini viimisest, isikuandmete võimalikult kiirest pseudonümiseerimisest, läbipaistvusest seoses isikuandmete eesmärgi ja töötlemisega, andmesubjektile andmete töötlemise jälgimise võimaluse andmisest, vastutavale töötlejale võimaluse andmisest luua ja parandada turvameetmeid. Riigihangete kontekstis tuleks samuti võtta arvesse lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtteid.

(49)

Määruses (EL) 2016/679 nähakse ette, et vastutavad töötlejad tõendavad käesoleva määruse täitmist heakskiidetud sertifitseerimismehhanismi järgimisega. Samamoodi peaksid liidu institutsioonid ja asutused tõendama käesoleva määruse täitmist määruse (EL) 2016/679 artikli 42 kohase sertifitseerimise saamisega.

(50)

Andmesubjektide õiguste ja vabaduste kaitse ning vastutavate töötlejate ja volitatud töötlejate vastutuse tagamiseks tuleb käesoleva määrusega selgelt kindlaks määrata vastutuse jaotus, sealhulgas juhtudel, kui isikuandmete töötlemise eesmärgid ja vahendid määrab kindlaks vastutav töötleja koos teiste vastutavate töötlejatega ning kui töötlemistoimingut teostatakse vastutava töötleja nimel.

(51)

Kui vastutava töötleja nimel töötleb andmeid volitatud töötleja, peaks vastutav töötleja kasutama käesoleva määruse nõuete täitmise tagamiseks isikuandmete töötlemise toimingute usaldamisel volitatud töötlejale ainult selliseid volitatud töötlejaid, kes annavad piisavad tagatised, eelkõige seoses erialaste teadmiste, usaldusväärsuse ja vahenditega, et nad suudavad rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad käesoleva määruse nõuetele, sealhulgas töötlemise turvalisusele kehtestatud nõuetele. Seda, et volitatud töötleja, kes ei ole liidu institutsioon või asutus, järgib heakskiidetud toimimisjuhendit või heakskiidetud sertifitseerimismehhanismi, võib kasutada elemendina, mis tõendab vastutava töötleja kohustuste täitmist. Volitatud töötleja, kes ei ole liidu institutsioon või asutus, peaks andmeid töötlema lepingu kohaselt või, kui liidu institutsioon või asutus tegutseb volitatud töötlejana, siis vastutavat ja volitatud töötlejat omavahel siduva lepingu või muu liidu õiguse kohase õigusakti alusel, milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärgid, isikuandmete liik ja andmesubjektide kategooriad ning peaks arvesse võtma volitatud töötleja konkreetseid ülesandeid ja kohustusi seoses teostatava töötlemisega ning ohtu andmesubjekti õigustele ja vabadustele. Vastutaval töötlejal ja volitatud töötlejal peaks olema võimalus valida, kas kasutada individuaalset lepingut või lepingu tüüptingimusi, mille on kehtestanud kas otseselt komisjon või Euroopa Andmekaitseinspektor ja seejärel komisjon. Pärast vastutava töötleja nimel töötlemise lõpetamist peaks volitatud töötleja isikuandmed vastutava töötleja valikul kas tagastama või kustutama, välja arvatud juhul, kui volitatud töötleja suhtes kohaldatava liidu või liikmesriigi õiguse kohaselt tuleb isikuandmeid säilitada.

(52)

Käesoleva määruse täitmise tõendamiseks peaksid vastutavad töötlejad säilitama andmeid nende vastutusalasse kuuluvate isikuandmete töötlemise toimingute kohta ning volitatud töötlejad peaksid säilitama andmeid nende vastutusalasse kuuluvate töötlemise toimingute kategooriate kohta. Liidu institutsioonid ja asutused peaksid olema kohustatud tegema Euroopa Andmekaitseinspektoriga koostööd ja tegema nende kasutuses olevad salvestatud andmed taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks, et neid saaks kasutada nimetatud isikuandmete töötlemise toimingute kontrollimiseks. Liidu institutsioonidel ja asutustel peaks olema võimalus luua oma töötlemistoimingute andmete keskregister, välja arvatud juhul, kui see ei ole asjakohane, võttes arvesse liidu institutsiooni või organi suurust. Läbipaistvuse huvides peaks kõnealune register olema üldsusele kättesaadav.

(53)

Turvalisuse tagamiseks ja käesolevat määrust rikkudes sooritatava töötlemise vältimiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohtusid ja rakendama asjaomaste ohtude leevendamiseks meetmeid, näiteks krüpteerimist. Võttes arvesse teaduse ja tehnoloogia viimast arengut ja meetmete rakenduskulusid, tuleks kõnealuste meetmetega tagada vajalik turvalisuse tase, sealhulgas konfidentsiaalsus, mis vastaks ohtudele ja kaitstavate isikuandmete laadile. Andmeturbeohtu hinnates tuleks kaaluda isikuandmete töötlemisest tulenevaid ohte, nagu edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine ja loata avalikustamine või neile juurdepääs, mille tagajärjel võib eelkõige tekkida füüsiline, materiaalne või mittemateriaalne kahju.

(54)

Liidu institutsioonid ja asutused peaksid vastavalt harta artiklis 7 sätestatule tagama elektroonilise side konfidentsiaalsuse. Liidu institutsioonid ja asutused peaksid eelkõige tagama oma elektroonilise side võrgustike turvalisuse. Nad peaksid kaitsma teavet, mis on seotud selliste kasutajate lõppseadmetega, kes kasutavad avalikult kättesaadavaid veebisaite ning liidu institutsioonide ja asutuste pakutavaid mobiilseid rakendusi kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2002/58/EÜ (8). Nad peaksid ühtlasi kaitsma kasutajakataloogides olevaid isikuandmeid.

(55)

Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilist, materiaalset või mittemateriaalset kahju. Seetõttu, niipea kui vastutav töötleja saab teada, et on toimunud isikuandmetega seotud rikkumine, peaks vastutav töötleja teatama sellest isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorit põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui vastutav töötleja suudab kooskõlas vastutuse põhimõttega tõendada, et selle rikkumise tulemusena ei teki tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele. Kui 72 tunni jooksul teatamine ei ole võimalik, tuleks teatele lisada hilinemise põhjused ja teavet võib esitada järk-järgult ilma täiendava põhjendamatu viivituseta. Kui hilinemine on põhjendatud, tuleks rikkumist käsitlev vähem tundlik või vähem detailsem teave avalikustada võimalikult kiiresti, mitte oodata teavitamisega kuni intsidendi põhjuse tuvastamiseni.

(56)

Vastutav töötleja peaks ilma põhjendamatu viivituseta teavitama andmesubjekti isikuandmetega seotud rikkumisest, kui rikkumise tulemusena tekib tõenäoliselt suur oht füüsilise isiku õigustele ja vabadustele, et võimaldada andmesubjektil võtta vajalikke ettevaatusabinõusid. Teates tuleks kirjeldada isikuandmetega seotud rikkumise olemust, samuti tuleks anda asjaomasele füüsilisele isikule soovitusi võimaliku kahjuliku mõju leevendamiseks. Teade tuleks saata andmesubjektile nii kiiresti kui mõistlikkuse piires võimalik ning tihedas koostöös Euroopa Andmekaitseinspektoriga, pidades kinni tema või muude asjakohaste asutuste nagu näiteks õiguskaitseasutuste suunistest.

(57)

Määruses (EÜ) nr 45/2001 on sätestatud vastutava töötleja üldine kohustus teavitada isikuandmete töötlemisest andmekaitseametnikku. Andmekaitseametnik on kohustatud pidama teatatud töötlemistoimingute kohta registrit, välja arvatud juhul, kui see ei ole asjakohane, võttes arvesse liidu institutsiooni või organi suurust. Lisaks sellele üldisele kohustusele tuleks kehtestada tõhusad menetlused ja mehhanismid, et jälgida neid isikuandmete töötlemise toimingute liike, mis kujutavad oma laadi, ulatuse, konteksti ja eesmärkide poolest tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Sellised menetlused peaksid eelkõige olema kehtestatud siis, kui isikuandmete töötlemise toimingute liigid hõlmavad uue tehnoloogia kasutamist või on uut tüüpi, mille puhul vastutav töötleja ei ole varem andmekaitsealast mõjuhinnangut teostanud, või kui toimingud muutuvad vajalikuks seoses esmasest töötlemisest möödunud ajaga. Sellistel juhtudel peaks vastutav töötleja suure ohu konkreetse tõenäosuse ja tõsiduse hindamiseks, võttes arvesse töötlemise laadi, ulatust, konteksti ja eesmärke ning ohu allikaid, koostama enne töötlemist andmekaitsealase mõjuhinnangu. Nimetatud mõjuhinnang peaks eelkõige sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme selle ohu leevendamiseks ja isikuandmete kaitse tagamiseks ning käesoleva määruse täitmise tõendamiseks.

(58)

Kui andmekaitsealane mõjuhinnang näitab, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja -mehhanismide puudumisel suur oht füüsiliste isikute õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole võimalik kättesaadava tehnoloogia ja rakendamiskulude seisukohast mõistlike meetmetega leevendada, tuleks enne isikuandmete töötlemise toimingute alustamist konsulteerida Euroopa Andmekaitseinspektoriga. Selline suur oht tekib tõenäoliselt isikuandmete teatud liiki töötluse ning töötlemisulatuse ja -sageduse tulemusena, mille tagajärjel võib tekkida ka kahju füüsilise isiku õigustele ja vabadustele või sekkumine nendesse. Euroopa Andmekaitseinspektor peaks vastama konsulteerimistaotlusele konkreetse ajavahemiku jooksul. Euroopa Andmekaitseinspektori reaktsiooni puudumine selle ajavahemiku jooksul ei tohiks aga mõjutada Euroopa Andmekaitseinspektori sekkumist kooskõlas talle käesolevas määruses ette nähtud ülesannete ja volitustega, sealhulgas õigust keelata isikuandmete töötlemise toiminguid. Kõnealuse konsulteerimisprotsessi osana peaks olema võimalik esitada asjaomase töötlemise suhtes tehtud andmekaitsealase mõjuhinnangu tulemused Euroopa Andmekaitseinspektorile, eelkõige seoses meetmetega, mis on ette nähtud füüsiliste isikute õigusi ja vabadusi ähvardavate ohtude leevendamiseks.

(59)

Euroopa Andmekaitseinspektorit tuleks teavitada liidu institutsioonide ja asutuste haldusmeetmetest ja temaga tuleks konsulteerida liidu institutsioonide ja asutuste poolt nende toimimist puudutavates küsimustes kehtestatud sise-eeskirjade osas, kui neis sätestatakse isikuandmete töötlemine, kehtestatakse andmesubjektide õigusi piiravaid tingimusi või kehtestatakse andmesubjektide õigusi käsitlevad asjakohased kaitsemeetmed, et kavandatud töötlemine vastaks käesoleva määruse nõuetele, eelkõige vähendaks andmesubjekti jaoks ohtusid.

(60)

Määrusega (EL) 2016/679 loodi Euroopa Andmekaitsenõukogu juriidilisest isikust sõltumatu liidu asutusena. Andmekaitsenõukogu peaks kaasa aitama määruse (EL) 2016/679 ja direktiivi (EL) 2016/680 järjepidevale kohaldamisele kogu liidus, nõustades seejuures komisjoni. Samal ajal peaks Euroopa Andmekaitseinspektor jätkama oma järelevalve- ja nõustamisülesannete täitmist kõigi liidu institutsioonide ja asutuste suhtes omal algatusel või taotluse alusel. Kogu liidus andmekaitsenormide järjepidevuse tagamiseks peaks komisjon konsulteerima Euroopa Andmekaitseinspektoriga. Komisjoniga konsulteerimine peaks olema kohustuslik pärast seadusandlike aktide vastuvõtmist või delegeeritud õigusaktide ja rakendusaktide koostamise ajal vastavalt ELi toimimise lepingu artiklites 289, 290 ja 291 sätestatule ning pärast selliste soovituste ja ettepanekute vastuvõtmist, mis on seotud kolmandate riikide ja rahvusvaheliste organisatsioonidega sõlmitavate lepingutega vastavalt ELi toimimise lepingu artiklis 218 sätestatule, kui need mõjutavad õigust isikuandmete kaitsele. Sellistel juhtudel peaks komisjon olema kohustatud konsulteerima Euroopa Andmekaitseinspektoriga, välja arvatud juhul, kui määrusega (EL) 2016/679 on ette nähtud kohustuslik Euroopa Andmekaitseinspektoriga konsulteerimine näiteks kaitse piisavuse otsuste või standardseid ikoone ja sertifitseerimismehhanismide kriteeriume käsitlevate delegeeritud õigusaktide puhul. Kui kõnealune õigusakt on seoses isikuandmete töötlemisega füüsiliste isikute õiguste ja vabaduste kaitse seisukohast eriti oluline, peaks komisjonil olema võimalus konsulteerida lisaks ka Euroopa Andmekaitsenõukoguga. Sellistel juhtudel peaks Euroopa Andmekaitseinspektor Euroopa Andmekaitsenõukogu liikmena oma tegevust ühisarvamuse koostamisel andmekaitsenõukoguga koordineerima. Euroopa Andmekaitseinspektor ja vajaduse korral ka Euroopa Andmekaitsenõukogu peaksid esitama oma kirjaliku nõuande kaheksa nädal jooksul. Kõnealune tähtaeg peaks kiireloomuliste juhtumite korral või muul asjakohasel juhul olema lühem, näiteks kui komisjon koostab delegeeritud õigusakte ja rakendusakte.

(61)

Määruse (EL) 2016/679 artikli 75 kohaselt tagab andmekaitsenõukogu sekretariaadi töö Euroopa Andmekaitseinspektor.

(62)

Andmekaitseametnik peaks kõigis liidu institutsioonis ja organites tagama, et käesoleva määruse sätteid kohaldatakse, ning nõustama vastutavaid töötlejaid ja volitatud töötlejaid nende kohustuste täitmisel. Andmekaitseametnik peaks olema isik, kellel on andmekaitsealaseid õigusakte ja tavasid hõlmavad erialased teadmised, mille tase tuleks määrata kindlaks eelkõige vastavalt vastutava töötleja või volitatud töötleja teostatavatele andmetöötlustoimingutele ning töödeldavate isikuandmete kaitsmise nõuetele. Andmekaitseametnikel peaks olema võimalik täita oma ülesandeid sõltumatult.

(63)

Isikuandmete edastamisel liidu institutsioonidelt ja asutustelt vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele tuleks tagada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse tase. Samu tagatisi tuleks kohaldada juhtudel, kui kolmandast riigist või rahvusvahelisest organisatsioonist saadud isikuandmed saadetakse edasi vastutavatele töötlejatele või volitatud töötlejatele samas või muus kolmandas riigis või rahvusvahelises organisatsioonis. Igal juhul tohib andmeid kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastada ainult käesolevat määrust ning hartas sätestatud põhiõigusi ja -vabadusi täielikult järgides. Andmeid tohiks edastada ainult siis, kui vastutav töötleja ja volitatud töötleja täidavad käesolevas määruses sätestatud tingimusi isikuandmete edastamise kohta, arvestades muid käesoleva määruse sätteid.

(64)

Komisjon võib määruse (EL) 2016/679 artikli 45 või direktiivi (EL) 2016/680 artikli 36 alusel otsustada, et kolmandas riigis, kolmanda riigi territooriumil või kindlaksmääratud sektoris või rahvusvahelises organisatsioonis pakutakse piisaval tasemel andmekaitset. Sellisel juhul võib isikuandmete edastamine liidu institutsiooni või asutuse poolt kõnealusesse riiki või kõnealusele rahvusvahelisele organisatsioonile toimuda ilma, et oleks vaja saada täiendav luba.

(65)

Kaitse piisavuse otsuse puudumise korral peaks vastutav töötleja või volitatud töötleja võtma meetmed, et korvata kolmanda riigi andmekaitse puudulik tase asjakohaste andmesubjekti kaitsmise meetmetega. Sellised asjakohased kaitsemeetmed võivad hõlmata järgneva kasutamist: komisjoni kehtestatud standardsed andmekaitseklauslid, Euroopa Andmekaitseinspektori kehtestatud standardsed andmekaitseklauslid või Euroopa Andmekaitseinspektori heaks kiidetud lepingu tüüptingimused. Juhul kui volitatud töötleja ei ole liidu institutsioon või asutus, võivad kõnealused asjakohased kaitsemeetmed sisaldada ka määruse (EL) 2016/679 raames andmete rahvusvahelise edastamise jaoks kasutatavaid siduvaid kontsernisiseseid eeskirju, toimimisjuhendeid või sertifitseerimismehhanisme. Need kaitsemeetmed peaksid tagama liidusiseseks töötlemiseks asjakohaste andmekaitsenõuete täitmise ja andmesubjektide õiguste kaitse, sealhulgas andmesubjektide kohtulikult kaitstavate õiguste ja tõhusate õiguskaitsevahendite kättesaadavuse, kaasa arvatud õiguse saada tõhusat haldus- või õiguskaitset ja nõuda hüvitist liidus või kolmandas riigis. Kaitsemeetmed peaksid olema eelkõige seotud vastavusega üldistele isikuandmete töötlemise põhimõtetele ning lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. Andmeid võivad edastada ka liidu institutsioonid ja asutused kolmandate riikide avaliku sektori asutustele või organitele või rahvusvahelistele organisatsioonidele, kellel on vastavad kohustused või funktsioonid, sealhulgas vastavalt sellistesse halduskokkulepetesse lisatavatele sätetele nagu vastastikuse mõistmise memorandum, millega nähakse ette tõhusad ja kohtulikult kaitstavad õigused andmesubjektidele. Euroopa Andmekaitseinspektori luba tuleks saada siis, kui kaitsemeetmed on sätestatud õiguslikult mittesiduvates halduskokkulepetes.

(66)

Vastutavale töötlejale või volitatud töötlejale antud võimalus kasutada komisjoni või Euroopa Andmekaitseinspektori kehtestatud standardseid andmekaitseklausleid ei tohiks takistada vastutavat töötlejat või volitatud töötlejat lisamast standardsed andmekaitseklauslid laiemasse lepingusse, nagu näiteks kahe volitatud töötleja vahelisse lepingusse, ega lisamast muid klausleid või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe otseselt ega kaudselt vastuollu komisjoni või Euroopa Andmekaitseinspektori kehtestatud lepingu tüüptingimustega ega piira andmesubjektide põhiõigusi ja -vabadusi. Vastutavaid töötlejaid ja volitatud töötlejaid tuleks ergutada nägema ette täiendavaid kaitsemeetmeid lepinguliste kohustuste abil, mis täiendavad standardseid andmekaitseklausleid.

(67)

Mõned kolmandad riigid võtavad vastu seadused, määrused ja muud õigusaktid, millega vahetult reguleeritakse liidu institutsioonide ja asutuste töötlustoiminguid. Need võivad hõlmata kolmanda riigi kohtu või haldusasutuse otsuseid, millega nõutakse vastutavalt töötlejalt või volitatud töötlejalt isikuandmete edastamist või avaldamist ning mis ei põhine kolmanda riigi ja liidu vahel kehtival rahvusvahelisel lepingul. Nende seaduste, määruste ja muude õigusaktide kohaldamine väljaspool asjaomase kolmanda riigi territooriumi võib olla vastuolus rahvusvahelise õigusega ning takistada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taseme saavutamist. Edastamine peaks olema lubatud ainult juhul, kui on täidetud käesoleva määruse tingimused kolmandatesse riikidesse edastamise kohta. Nii võib see olla muu hulgas siis, kui avaldamine on vajalik kaaluka avaliku huvi tõttu, mis on sätestatud liidu õiguses.

(68)

Andmete edastamine peaks konkreetsetes olukordades olema võimalik teatavatel asjaoludel, kui andmesubjekt on andnud oma selgesõnalise nõusoleku, kui edastamine on juhtumipõhine ja vajalik seoses lepingu või õigusliku nõudega, sõltumata sellest, kas tegemist on kohtumenetluse, haldusmenetluse või mõne kohtuvälise menetluse, sealhulgas reguleerivate asutuste vahelise menetlusega. Andmete edastamine peaks olema võimalik ka juhul, kui see on vajalik seoses liidu õiguses sätestatud kaaluka avaliku huviga või kui edastatakse andmeid, mis pärinevaid seadusega loodud registrist, mis on mõeldud kasutamiseks avalikkusele või kõigile õigustatud huviga isikutele. Viimati nimetatud juhul ei tohiks edastada kõiki isikuandmeid ega registris sisalduvate andmete kõiki liike, kui see ei ole liidu õigusega lubatud, ja juhul, kui register on mõeldud kasutamiseks õigustatud huviga isikutele, tuleks andmed edastada ainult kõnealuste isikute taotluse korral või juhul, kui nemad on andmete vastuvõtjad, võttes täielikult arvesse andmesubjekti huve ja põhiõigusi.

(69)

Nimetatud erandeid tuleks kohaldada eelkõige sellise andmeedastuse puhul, mis on nõutav ja vajalik avalikust huvist tulenevatel kaalukatel põhjustel, näiteks andmete rahvusvahelisel vahetamisel liidu institutsioonide ja asutuste ning konkurentsiasutuste, maksu- ja tolliasutuste, finantsjärelevalveasutuste ja sotsiaalkindlustuse või rahvatervise eest vastutavate asutuste vahel, näiteks nakkushaiguste suhtes kontaktsete isikute väljaselgitamisel või spordis dopingu kasutamise vähendamiseks ja/või kaotamiseks. Isikuandmete edastamist tuleks pidada seaduslikuks ka siis, kui see on vajalik selliste huvide kaitsmiseks, mis on olulised andmesubjekti või muu isiku eluliste huvide, sealhulgas füüsilise puutumatuse või elu kaitsmiseks, kui andmesubjekt ei ole võimeline nõusolekut andma. Kaitse piisavuse otsuse puudumise korral võib avalikust huvist tulenevatel kaalukatel põhjustel liidu õigusega selgesõnaliselt seada piiranguid konkreetset liiki isikuandmete edastamisele kolmandasse riiki või rahvusvahelisele organisatsioonile. Nõusoleku andmiseks füüsiliselt või õiguslikult võimetu andmesubjekti isikuandmete mis tahes edastamiseks rahvusvahelisele humanitaarorganisatsioonile, eesmärgiga täita Genfi konventsioonide kohast ülesannet või austada relvastatud konfliktides kohaldatavat rahvusvahelist humanitaarõigust võiks lugeda vajalikuks avalikust huvist tuleneval kaalukal põhjusel või põhjusel, et see on andmesubjekti jaoks eluliselt tähtis.

(70)

Igal juhul, kui komisjon ei ole teinud otsust kolmanda riigi andmekaitse taseme piisavuse kohta, peaks vastutav töötleja või volitatud töötleja kasutama lahendusi, millega antakse andmesubjektidele neid puudutava töötlemise korral liidus kohtulikult kaitstavad ja tõhusad õigused pärast selliste andmete edastamist, nii et neil on jätkuvalt samad põhiõigused ja nende suhtes kohaldatakse samu kaitsemeetmeid.

(71)

Isikuandmete liikumine üle piiride liidust välja võib raskendada füüsiliste isikute võimalusi kasutada õigust andmete kaitsele, eelkõige kaitsta end sellise teabe ebaseadusliku kasutamise ja avaldamise eest. Samal ajal võivad riiklikud järelevalveasutused ja Euroopa Andmekaitseinspektor mitte suuta käsitleda kaebusi ega teostada uurimist väljapoole nende pädevuse piire jäävates küsimustes. Nende piiriülese koostöö püüdlusi võivad takistada ka tõkestamiseks ja kaitsemeetmete kehtestamiseks ebapiisavad volitused, ebaühtlane õiguskord ja praktilised tõkked, nagu piiratud vahendid. Seepärast tuleks tihendada Euroopa Andmekaitseinspektori riiklike järelevalveasutuste koostööd, et aidata neil teiste riikide järelevalveasutustega teavet vahetada.

(72)

Määruse (EÜ) nr 45/2001 alusel Euroopa Andmekaitseinspektori ametikoha loomine, kes on volitatud täiesti sõltumatult oma ülesandeid täitma ja volitusi kasutama, on oluline tegur füüsiliste isikute kaitsmisel seoses nende isikuandmete töötlemisega. Käesoleva määruse eesmärk peaks olema Euroopa Andmekaitseinspektori tegevuse tõhustamine ning selle rolli ja sõltumatuse selgitamine. Euroopa Andmekaitseinspektor peaks olema isik, kelle sõltumatus on väljaspool kahtlust ning kelle puhul tunnistatakse Euroopa Andmekaitseinspektori ülesannete täitmiseks vajalike kogemuste ja oskuste olemasolu, näiteks seetõttu, et ta on kuulunud määruse (EL) 2016/679 artikli 51 alusel asutatud järelevalveasutusse.

(73)

Selleks et tagada kogu liidus andmekaitsenormide ühtlane järelevalve ja täitmine, peaks Euroopa Andmekaitseinspektoril olema samad ülesanded ja kehtivad volitused kui riiklikel järelevalveasutustel, sealhulgas uurimis-, parandus- ja karistuste kehtestamise volitused ning loaandmis- ja nõuandvad volitused, eelkõige füüsiliste isikute esitatud kaebuste puhul, ning õigus juhtida Euroopa Liidu Kohtu tähelepanu käesoleva määruse rikkumistele ning volitused osaleda kohtumenetlustes kooskõlas esmase õiguse sätetega. Need volitused peaksid hõlmama ka õigust kehtestada ajutine või alaline töötlemispiirang, sealhulgas töötlemiskeeld. Vältimaks liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele, keda meetmed kahjustada võivad, peaks iga Euroopa Andmekaitseinspektori meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid ning austama isiku õigust ärakuulamisele, enne kui meede võetakse. Euroopa Andmekaitseinspektori õiguslikult siduv meede peaks olema esitatud kirjalikult, olema selge ja ühemõtteline, selles peaks olema märgitud meetme esitamise kuupäev ning Euroopa Andmekaitseinspektori allkiri, selles tuleks esitada meetme põhjused ning osutada õigusele tõhusale õiguskaitsevahendile.

(74)

Euroopa Andmekaitseinspektori järelevalvepädevus ei peaks hõlmama isikuandmete töötlemist Euroopa Kohtu poolt, kui see tegutseb õigusemõistjana, et kaitsta kohtu sõltumatust kohtumenetlusega seotud ülesannete täitmisel, sealhulgas otsusetegemisel. Selliste töötlemistoimingute jaoks peaks kohus kehtestama sõltumatu järelevalve kooskõlas harta artikli 8 lõikega 3, näiteks sisemehhanismi kaudu.

(75)

Euroopa Andmekaitseinspektori otsused andmetöötlustoimingutega seotud erandite, tagatiste, lubade ning tingimuste kohta, nagu need on määratletud käesolevas määruses, tuleks avaldada tegevusaruandes. Iga-aastasest tegevusaruandest eraldi võib Euroopa Andmekaitseinspektor avaldada aruandeid konkreetsete küsimuste kohta.

(76)

Euroopa Andmekaitseinspektor peaks järgima Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 1049/2001 (9).

(77)

Riiklikud järelevalveasutused jälgivad määruse (EL) 2016/679 kohaldamist ja aitavad kaasa selle ühtsele kohaldamisele kogu liidus, et kaitsta füüsilisi isikuid nende isikuandmete töötlemisel ning soodustada isikuandmete vaba liikumist siseturul. Selleks, et tõhustada liikmesriikides kohaldatavate andmekaitsenormide ning liidu institutsioonide ja asutuste suhtes kohaldatavate andmekaitsenormide kohaldamise järjepidevust, peaks Euroopa Andmekaitseinspektor tegema riiklike järelevalveasutustega tõhusat koostööd.

(78)

Teatavatel juhtudel nähakse liidu õiguses ette koordineeritud järelevalve mudel, mida teostavad Euroopa Andmekaitseinspektor ja riiklikud järelevalveasutused üheskoos. Lisaks sellele on Euroopa Andmekaitseinspektor Europoli järelevalveasutuseks ja riiklike järelevalveasutustega on nõuandva funktsiooniga koostöönõukogu kaudu loodud spetsiifiline koostöömudel. Selleks, et parandada oluliste andmekaitsenormide tõhusat järelevalvet ja täitmist, tuleks liidus kasutusele võtta koordineeritud järelevalve ühtne ja sidus mudel. Seepärast peaks komisjon, kui see on asjakohane, esitama seadusandlikud ettepanekud, millega muuta koordineeritud järelevalvet käsitlevaid liidu õigusakte, et need käesolevas määruses sätestatud koordineeritud järelevalve mudeliga kooskõlla viia. Euroopa Andmekaitsenõukogu peaks olema ainsaks platvormiks, millega tagatakse tõhus koordineeritud järelevalve kõigis valdkondades.

(79)

Igal andmesubjektil peaks olema õigus esitada kaebus Euroopa Andmekaitseinspektorile ja õigus tõhusale õiguskaitsevahendile Euroopa Liidu Kohtus kooskõlas aluslepingutega, kui andmesubjekt on seisukohal, et tema käesoleva määruse kohaseid õigusi on rikutud või kui Euroopa Andmekaitseinspektor ei reageeri kaebusele, lükkab kaebuse osaliselt või täielikult tagasi või ei võta meetmeid juhul, kui need on andmesubjekti õiguste kaitsmiseks vajalikud. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ja selle tulemust peaks olema võimalik kohtulikult kontrollida. Euroopa Andmekaitseinspektor peaks teavitama andmesubjekti kaebuse menetlemise käigust ja tulemusest mõistliku aja jooksul. Kui juhtum vajab täiendavat kooskõlastamist riikliku järelevalveasutusega, tuleks sellest teatada andmesubjektile. Euroopa Andmekaitseinspektor peaks võtma meetmed kaebuste esitamise lihtsustamiseks, koostades näiteks kaebuste esitamiseks ka elektrooniliselt täidetava vormi, ilma muude sidevahendite kasutamist välistamata.

(80)

Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, peaks aluslepingutes sätestatud tingimuste alusel olema õigus saada vastutavalt töötlejalt või volitatud töötlejalt tekitatud kahju eest hüvitist.

(81)

Euroopa Andmekaitseinspektori rolli tugevdamiseks ja käesoleva määruse täitmise tõhusaks tagamiseks peaks Euroopa Andmekaitseinspektor omama viimase abinõuna volitusi määrata trahve. Trahvid peaksid olema suunatud üksikisikute asemel liidu institutsioonide või organite karistamisele käesoleva määruse sätete täitmata jätmise eest, et ära hoida käesoleva määruse edasisi rikkumisi ning edendada liidu institutsioonides ja asutustes isikuandmete kaitsmise tava. Käesolevas määruses tuleks loetleda rikkumised, mille korral kohaldatakse haldustrahve ja sätestada trahvide ülemmäär ja nende määramise kriteeriumid. Euroopa Andmekaitseinspektor peaks iga juhtumi puhul eraldi kindlaks määrama trahvisumma, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades silmas rikkumise laadi, raskusastet, ajalist kestvust, tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Liidu institutsioonile või organile trahvi määrates peaks Euroopa Andmekaitseinspektor arvestama trahvisumma proportsionaalsust. Liidu institutsioonidele ja asutustele trahvide määramise menetlus peaks järgima liidu õiguse üldpõhimõtteid, nagu neid on tõlgendanud Euroopa Kohus.

(82)

Kui andmesubjekt leiab, et tema käesoleva määruse kohaseid õigusi on rikutud, peaks tal olema õigus volitada mittetulunduslikku laadi asutust, organisatsiooni või ühingut, mis on loodud kooskõlas liidu või liikmesriigi õigusega, mille põhikirjajärgsed eesmärgid on avalikes huvides ja mis tegutseb isikuandmekaitse valdkonnas, esitama tema nimel Euroopa Andmekaitseinspektorile kaebust. Sellisel asutusel, organisatsioonil või ühingul peaks olema võimalus kasutada andmesubjektide nimel õigust õiguskaitsevahendile või kasutada andmesubjektide nimel õigust saada hüvitist.

(83)

Liidu ametniku ja teenistuja suhtes, kes ei täida käesolevast määrusest tulenevaid kohustusi, tuleks kohaldada distsiplinaarmenetlust või muid meetmeid nõukogu määrusega (EMÜ, Euratom, ESTÜ) nr 259/68 (10) kehtestatud Euroopa Liidu ametnike personalieeskirjades ja liidu muude teenistujate teenistustingimustes („personalieeskirjad“) ette nähtud korras.

(84)

Selleks et tagada käesoleva määruse ühetaolised rakendamistingimused, tuleks komisjonile anda rakendusvolitused. Neid volitusi tuleks teostada kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 182/2011 (11). Kontrollmenetlust tuleks kasutada vastutavate töötlejate ja volitatud töötlejate vaheliste ning volitatud töötlejate omavaheliste lepingute tüüptingimuste kehtestamiseks, selliste töötlemistoimingute loetelu kehtestamiseks, mille puhul peavad avalikes huvides oleva ülesande täitmiseks vajalikke isikuandmeid töötlevad vastutavad töötlejad eelnevalt konsulteerima Euroopa Andmekaitseinspektoriga, ning selliste lepingu tüüptingimuste kehtestamiseks, milles sätestatakse rahvusvaheliste edastamiste piisavad kaitsemeetmed.

(85)

Konfidentsiaalne teave, mida liidu ja riiklikud statistikaasutused koguvad Euroopa ja riikliku ametliku statistika koostamiseks, peaks olema kaitstud. Euroopa statistikat tuleks arendada, koostada ja levitada kooskõlas statistikaalaste põhimõtetega, mis on sätestatud ELi toimimise lepingu artikli 338 lõikes 2. Euroopa statistika statistiliste andmete konfidentsiaalsust on täiendavalt täpsustatud Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 223/2009 (12).

(86)

Määrus (EÜ) nr 45/2001 ning Euroopa Parlamendi, nõukogu ja komisjoni otsus nr 1247/2002/EÜ (13) tuleks kehtetuks tunnistada. Viiteid kehtetuks tunnistatud määrusele ja otsusele tuleks käsitada viidetena käesolevale määrusele.

(87)

Sõltumatu järelevalveasutuse liikmete täieliku sõltumatuse tagamiseks ei tohiks käesolev määrus Euroopa Andmekaitseinspektori ja inspektori asetäitja praegust ametiaega mõjutada. Praegune inspektori asetäitja peaks jääma ametisse ametiaja lõpuni, välja arvatud juhul, kui on täidetud käesolevas määruses sätestatud Euroopa Andmekaitseinspektori ametiaja enneaegse lõpetamise tingimused. Käesoleva määruse asjaomaseid sätteid tuleks tema ametiaja lõpuni kohaldada ka inspektori asetäitja suhtes.

(88)

Vastavalt proportsionaalsuse põhimõttele on vajalik ja asjakohane põhieesmärgi – kogu liidus füüsiliste isikute kaitse võrdväärse taseme ja isikuandmete vaba liikumise tagamineseoses isikuandmete töötlemisega – saavutamiseks kehtestada õigusnormid, mis käsitlevad isikuandmete töötlemist liidu institutsioonides ja organites. ELi lepingu artikli 5 lõike 4 kohaselt ei lähe käesolev määrus seatud eesmärkide saavutamiseks vajalikust kaugemale.

(89)

Vastavalt määruse (EÜ) nr 45/2001 artikli 28 lõikele 2 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 15. märtsil 2017. aastal (14),