Kiri

EUROOPA KOMISJON Brüssel, 23.6.2026 COM(2026) 314 final 2026/0173 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist ET ET  SELETUSKIRI 1. ETTEPANEKU TAUST • Ettepaneku põhjused ja eesmärgid Määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel ELi institutsioonides, organites ja asutustes (edaspidi „ELi isikuandmete kaitse määrus“), töötati välja selleks, et kehtestada sidus ja ajakohastatud andmekaitsekord kõigi ELi institutsioonide, organite ja asutuste jaoks. Määruse (EL) 2018/1725 IX peatükk oli mõeldud spetsiaalselt reguleerima kasutatavate isikuandmete (need on isikuandmed, mida töödeldakse ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse jäävate tegevuste jaoks) töötlemist justiits- ja siseküsimustega tegelevates ELi asutustes ja organites, sealhulgas Europolis, Eurojustis, Euroopa Prokuratuuris ja piiratud ulatuses Frontexis. ELi isikuandmete kaitse määruse vastuvõtmisest hoolimata on justiits- ja siseküsimustega tegelevate ELi asutuste ja organite suhtes kohaldatav andmekaitseraamistik endiselt killustatud. Eelkõige ei kohaldata IX peatükki Euroopa Prokuratuuri suhtes, mille asutamismäärus võeti vastu enne ELi isikuandmete kaitse määrust. Seetõttu lahknevad Euroopa Prokuratuuri määruse mõned sätted sisult või sõnastuselt ELi isikuandmete kaitse määruse IX peatüki vastavatest sätetest. Lisaks on ELi isikuandmete kaitse määruses sätestatud, et kasutatavate isikuandmete töötlemise suhtes kohaldatakse üksnes artiklit 3 (mõisted) ja IX peatükki. See on ühelt poolt viinud selleni, et vastavate organite või asutuste asutamisaktidesse on jäetud alles sätted, millega reguleeritakse kasutatavate isikuandmete töötlemise teatavaid aspekte. Teiselt poolt on see tekitanud õiguskindlusetust küsimuses, kas ja mil määral kohaldatakse II–VIII peatüki sätteid – näiteks töötlemistoimingute registreerimist või andmekaitseametniku ülesandeid käsitlevaid sätteid – olukordades, kus IX peatükis ega asjaomaste organite või asutuste asutamisaktides vastavaid sätteid ei ole. Selline killustatus mitte ainult ei vähenda õiguskindlust, vaid tekitab ka praktilisi takistusi ELi organite ja asutuste tulemuslikule koostööle andmete jagamisel. Komisjon tunnistas neid puudusi ja kaalus nende kõrvaldamist seadusandlike vahenditega 2022. aastal oma esimeses aruandes ELi isikuandmete kaitse määruse kohaldamise kohta. Sellest tulenevalt on käesoleva ettepaneku eesmärk kohaldatavat andmekaitseraamistikku lihtsustada ja tagada selle järjepidevus, eelkõige ühtlustades asjakohaseid norme ELi organite ja asutuste lõikes. Selline ühtlustamine peaks leevendama halduskoormust ja hõlbustama asutuste andmevahetust, suurendades samal ajal õiguskindlust. Järjepidevuse huvides ja kooskõlas üldise eesmärgiga minimeerida andmekaitsenormide killustatust on käesoleval ettepanekul neli peamist eesmärki. Andmekaitsenormide järjepidev kohaldamine kõigi ELi institutsioonide, organite ja asutuste suhtes IX peatüki kohaldamisala tuleb laiendada, et tagada selle järjepidev kohaldamine kõigi kriminaalõiguse ja õiguskaitse valdkonnas tegutsevate ELi asutuste ja organite suhtes. Sel teel kaasatakse Euroopa Prokuratuur ELi isikuandmete kaitse määruse raamistikku. Seda tehes ei piirata võimalust säilitada Euroopa Prokuratuuri määruses andmekaitse erinormid, mis on vajalikud tulenevalt Euroopa Prokuratuuri kui liidu sõltumatu prokuratuuri eripärast. IX peatüki normid on juba kooskõlas õiguskaitsedirektiivi (EL) 2016/680 vastavate normidega ning tulemuseks on kõigi mõjutatud asutuste jaoks ühtne ja ühtlustatud normistik, mis vähendab killustatust ja tagab kohaldatavate normide järjepidevuse. Õiguskindluse suurendamine ET 1 ET  IX peatükis puuduvad praegu sätted mitme olulise aspekti kohta, mille hulgas on andmekaitseametnike ülesanded, töötlemistoimingute registreerimine, järelevalveasutuste koostöö ja kasutatavate isikuandmete rahvusvaheline edastamine. Ettepaneku eesmärk on koondada normid ühte kohta ja ühtlustada sellega nõuete täitmist, ilma et see avaldaks märkimisväärset mõju tegevusele. Samuti tagatakse ettepanekuga suurem selgus vastutavatele töötlejatele, volitatud töötlejatele ja andmesubjektidele. Euroopa Andmekaitseinspektori volituste ühtlustamine Euroopa Andmekaitseinspektori järelevalvevolitused on praegu reguleeritud Europoli, Eurojusti ja Euroopa Prokuratuuri asutamisaktidega; need kõik sisaldavad lahknevaid sätteid, mis põhjustab ebakindlust ja ebatõhusust. Frontexi asutamisaktiga ei ole reguleeritud Euroopa Andmekaitseinspektori järelevalvet kasutatavate isikuandmete töötlemise üle, mis tingib märkimisväärse ebaühtluse. Ettepaneku eesmärk on täpsustada, et Euroopa Andmekaitseinspektoril on järelevalvevolitused, mis on kooskõlas ELi isikuandmete kaitse määruse artiklis 58 sätestatud volitustega, kuid mida on kohandatud kasutatavate isikuandmete töötlemise kontekstile, eelkõige Euroopa Prokuratuuri puhul seoses uurimise ja süüdistuste esitamisega. Selles suhtes järgitakse ettepanekus 2022. aasta Europoli reformiga Euroopa Andmekaitseinspektorile antud volituste eeskuju, tagades samal ajal kooskõla ELi isikuandmete kaitse määruse VI peatüki ja õiguskaitsedirektiiviga. Ettepanekuga kaotatakse asutamisaktidest asutusepõhised sätted Euroopa Andmekaitseinspektori ülesannete ja volituste kohta. Üldine ühtlustamine Ettepaneku viimane eesmärk on sätete ühtlustamine, et kõrvaldada liiasused, dubleerimine ja vastuolud andmekaitsenormides, mida kohaldatakse justiits- ja siseküsimustega tegelevate liidu organite ja asutuste suhtes tegevuste puhul, mis kuuluvad ELi toimimise lepingu kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse. Samuti viiakse kasutatavate isikuandmete töötlemist käsitlevad sätted asjakohasel juhul kooskõlla digivaldkonna koondettepanekuga1. • Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Ettepaneku eesmärk on viia ELi isikuandmete kaitse määruse sätted kooskõlla kehtiva andmekaitsepoliitikaga, tugevdades isikuandmete kaitse üldmääruses ja õiguskaitsedirektiivis sätestatud põhimõtteid. Asjakohasel juhul tagatakse ettepanekus kooskõla digivaldkonna koondpaketis kavandatud andmekaitseraamistiku muudatustega. • Kooskõla muude liidu tegevuspõhimõtetega Ettepanek on osa kriminaalõiguse alaste algatuste paketist, millega taotletakse ühtset ja terviklikku eesmärki: suurendada liidu suutlikkust üha keerukamas julgeolekukeskkonnas raskeid piiriüleseid kuritegusid ära hoida, avastada ja uurida ning nende toimepanijaid vastutusele võtta. Paketiga püütakse õiguskaitse-, kohtu- ja muude asjaomaste asutuste koostööd reguleerivate õigusraamistike ajakohastamise teel suurendada liidu sisejulgeolekustruktuuri tulemuslikkust, sidusust ja koostalitlusvõimet. Selle püüdluse keskmes on Europoli ja Eurojusti määruste kavandatav läbivaatamine. Europol ja Eurojust täidavad vabadusel, turvalisusel ja õigusel rajaneval alal eraldiseisvaid, kuid 1 Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett), 19.11.2025, COM(2025) 837 final. ET 2 ET  üksteist täiendavaid ülesandeid: Europol toetab kuritegevuse ärahoidmist, avastamist ja uurimist, Eurojust aga hõlbustab õigusalast koostööd ning tagab tulemuslikud järelmeetmed süüdistuste esitamise ja kohtumenetluste näol. Paketi eesmärk on seetõttu tugevdada koostööd ja vastastikust täiendavust nende kahe ameti vahel ning nende ja muude liidus justiits- ja siseküsimustega ning pettuste tõkestamisega tegelevate asutuste vahel, et tagada õiguskaitsemeetmete ja kohtulike järelmeetmete sujuv järjepidevus kriminaalasjades õigusemõistmise protsessi kõigis etappides. Euroopa uurimismääruse raamistiku muudatused ja käesolev ettepanek aitavad selle eesmärgi saavutamisele veelgi kaasa sellega, et hõlbustavad tulemuslikku piiriülest koostööd, parandavad teabevahetuse tingimusi ning tagavad sidusa õigusraamistiku, mis on kooskõlas tegelike tegevuste ja tehnoloogia arenguga. Kokkuvõttes suurendavad paketis kavandatud meetmed liidu suutlikkust reageerida muutuvatele julgeolekuohtudele ning on samal ajal täielikult kooskõlas põhiõiguste, õigusriigi põhimõtte ja asjaomaste asutuste ülesannete jaotusega. Eelkõige määratakse käesolevas ettepanekus kindlaks kõik Europoli ja Eurojusti suhtes kohaldatavate andmekaitsenormide ühised punktid ning koondatakse need ELi isikuandmete kaitse määrusesse, kõrvaldades sellega killustatuse ja dubleerimise. See võimaldab jätta õiguskaitse ja kriminaalõiguse valdkonnas tegutsevate liidu organite ja asutuste asutamisaktidesse ainult neile kohandatud andmekaitsenormid, mis on välja töötatud vastavalt igaühe tegevuse eripärast tulenevatele vajadustele. Ettepanek võetakse vastu samal ajal Europoli ja Eurojusti määruste muudatustega, tagades vastavate õigusraamistike järjepidevuse ja kooskõla. Samuti arvestatakse selles Euroopa Prokuratuuri asutamisakti (määrus (EL) 2017/19392) eelseisva läbivaatamisega, võttes arvesse selle tulevasi muudatusi ning piiramata võimalike poliitikavariantide hindamist Euroopa Prokuratuuri määruse läbivaatamisel. Selline koordineeritud lähenemisviis aitab luua tervikliku ja järjepideva raamistiku kasutatavate isikuandmete töötlemiseks liidu organites ja asutustes. 2. ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS • Õiguslik alus Füüsiliste isikute kaitse nende isikuandmete töötlemisel on Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 sätestatud põhiõigus. Käesolev ettepanek põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis on andmekaitsenormide vastuvõtmise õiguslik alus. Nimetatud artikkel võimaldab võtta vastu õigusnorme füüsiliste isikute kaitse kohta seoses isikuandmete töötlemisega liidu institutsioonides, organites ja asutustes liidu õiguse reguleerimisalasse kuuluva tegevuse puhul. Samuti võimaldab see vastu võtta õigusnorme isikuandmete, sealhulgas kõnealustes institutsioonides, organites ja asutustes töödeldavate isikuandmete vaba liikumise kohta. • Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Ei kohaldata. • Proportsionaalsus Ei kohaldata. 2 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1– 71, ELI: http://data.europa.eu/eli/reg/2017/1939/oj). ET 3 ET  • Vahendi valik Ei kohaldata. 3. JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED • Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Komisjoni esimeses, 2022. aasta aruandes ELi isikuandmete kaitse määruse kohaldamise kohta jõuti järeldusele, et üldiselt toimib ELi isikuandmete kaitse määrus hästi ja täidab oma otstarvet. Samal ajal tehti selles kindlaks vajadus seadusandliku sekkumise järele, et minimeerida nende õigusnormide killustatust, mida kohaldatakse ELi institutsioonide ja asutuste suhtes, kes töötlevad kasutatavaid isikuandmeid tegevuses, mis jääb politseikoostöö ja kriminaalasjades tehtava õigusalase koostöö kohaldamisalasse (ELi isikuandmete kaitse määruse IX peatükk ehk nn õiguskaitset käsitlev peatükk). • Konsulteerimine sidusrühmadega Sihtotstarbelistesse konsultatsioonidesse sidusrühmadega olid kaasatud kõik asutused, kelle suhtes kohaldatakse praegu või tulevikus ELi isikuandmete kaitse määruse IX peatükki (st Europol, Eurojust, Euroopa Prokuratuur, Frontex), ning Euroopa Andmekaitseinspektor, kes teeb nõuete järgimise üle järelevalvet. • Eksperdiarvamuste kogumine ja kasutamine Ei kohaldata. • Mõjuhinnang Mõjuhinnangut ei peeta käesoleva algatuse puhul asjakohaseks, kuna selle kohaldamisala on piiratud ja kavandatud muudatused on suures osas tehnilist laadi. Ettepanek puudutab ELi isikuandmete kaitse määruse konkreetseid sätteid ning sellega ei muudeta üldist raamistikku, vaid see mõjutab ainult väikest rühma ELi asutusi, kes tegutsevad kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas. Muudatuste eesmärk on tagada ühtlustatum kord, need ei hõlma uusi poliitikavariante ning neil on eeldatavasti minimaalne ja kvantitatiivselt ebaoluline mõju põhiõigustele ning puudub majanduslik, sotsiaalne ja keskkonnamõju. Lisaks tehakse asjaomaste asutuste suhtes juba eraldi hindamisi ja mõjuhinnanguid, sealhulgas seoses nende suhtes kohaldatavate andmekaitsenormidega. ELi isikuandmete kaitse määruse kohane eraldi hindamine dubleeriks seda tegevust. Ettepanek on kooskõlas kohustusega, mille komisjon võttis 2022. aastal oma esimeses aruandes ELi isikuandmete kaitse määruse kohaldamise kohta, ning 2027. aastal on kavas ELi isikuandmete kaitse määrust täiendavalt hinnata. Subsidiaarsusega seotud küsimusi ei teki, kuna ELi isikuandmete kaitse määrust kohaldatakse üksnes ELi asutuste suhtes, mida liikmesriigid ei saa reguleerida. • Õigusnormide toimivus ja lihtsustamine Ettepanekuga ühtlustatakse ja lihtsustatakse kriminaalõiguskaitse ja kriminaalõiguse valdkonnas tegutsevate liidu asutuste ja organite suhtes kohaldatavaid andmekaitsenorme. Kehtivate normide ühtlustamisega suurendatakse õigusselgust ja järjepidevust kogu institutsioonilises raamistikus, hõlbustades seeläbi normide kohaldamist ja vähendades halduskeerukust. Kuigi ettepaneku positiivne mõju ei ole hõlpsasti mõõdetav, peaks see vähendama nõuete täitmisega seotud kulusid ja halduskoormust, mis tulenevad lahknevates või kattuvates nõuetes orienteerumisest. Ettepanekuga toetatakse ka võimaliku ET 4 ET  asutustevahelise teabevahetusmehhanismi väljatöötamist, mida on kaalutud pettustevastase võitluse struktuuri läbivaatamise kontekstis. • Põhiõigused Kuna muudatused on sihipärased, tagab see andmekaitse praeguse taseme säilimise, parandades samal ajal kohaldatavate normide järjepidevust ja ühtlustatust. 4. MÕJU EELARVELE Ei kohaldata. 5. MUU TEAVE • Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Ei kohaldata. • Ettepaneku sätete üksikasjalik selgitus Artiklis 1 esitatakse määruse (EL) 2018/1725 (mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes) muudatused. Lõikega 1 asendatakse artikli 2 lõige 2 ning laiendatakse määruse (EL) 2018/1725 artiklite 43, 44 ja 45 ning VII ja VIII peatüki kohaldamisala kasutatavate isikuandmete töötlemisele liidu organites ja asutustes, ilma et see piiraks liidu organite ja asutuste suhtes andmekaitse erieeskirjade kohaldamist. Samuti jäetakse sellega välja artikli 2 lõige 3, laiendades sellega ELi isikuandmete kaitse määruse kohaldamisala Euroopa Prokuratuurile, piiramata sealjuures võimalust säilitada Euroopa Prokuratuuri määruses andmekaitse erinormid, mis võtavad arvesse Euroopa Prokuratuuri eripära liidu sõltumatu uurimisasutuse ja prokuratuurina. Lõikega 2 nähakse ette tehnilised kohandused andmekaitseametniku ülesandeid käsitleva artikli 45 sõnastuses ning tagatakse, et need ülesanded hõlmavad ka kasutatavate isikuandmete töötlemist. Lõikega 3 tagatakse, et määruse (EL) 2018/1725 artiklist 66 tulenev Euroopa Andmekaitseinspektori õigus määrata haldustrahve laieneb kasutatavate isikuandmete töötlemisele liidu organites ja asutustes. Lõikega 4 jäetakse välja määruse (EL) 2018/1725 artikkel 70, mis ei ole enam vajalik, sest kasutatavate isikuandmete töötlemise suhtes kohaldatavad sätted on määratletud artikli 2 lõikes 2. Lõikega 5 muudetakse määruse (EL) 2018/1725 artiklit 77, et tagada kooskõla digivaldkonna koondettepanekuga ja suurendada õiguskindlust, täpsustades, et otsused, mis põhinevad üksnes kasutatavate isikuandmete automatiseeritud töötlusel, on lubatud, kui on täidetud eritingimused. Lõikega 6 muudetakse määruse (EL) 2018/1725 artiklit 78, et tagada kooskõla digivaldkonna koondettepanekuga, täpsustades kuritarvituslike taotluste mõistet isikuandmetega tutvumise õiguse kontekstis. Eelkõige täpsustatakse selles, et taotlust võib pidada selgelt põhjendamatuks, kui andmesubjekt tugineb andmetega tutvumise õigusele muul eesmärgil kui oma andmete kaitseks. Sellistel juhtudel võib vastutav töötleja keelduda taotluse rahuldamisest, kuid on endiselt kohustatud tõendama, et taotlus on selgelt põhjendamatu või ülemäärane. Lõikega 7 lisatakse määrusesse (EL) 2018/1725 uus artikkel 87a kasutatavate isikuandmete töötlemise dokumenteerimise kohta kooskõlas õiguskaitsedirektiivi normidega. ET 5 ET  Lõigetega 8 ja 9 lisatakse täiendavad kaitsemeetmed määruse (EL) 2018/1725 artiklisse 88, mis käsitleb logimist. Lõikega 10 muudetakse määruse (EL) 2018/1725 artikli 92 lõiget 1, et tagada kooskõla digivaldkonna koondettepanekuga, pikendades tähtaega, mille jooksul tuleb isikuandmetega seotud rikkumisest teatada Euroopa Andmekaitseinspektorile, 72 tunnilt 96 tunnile. Samuti tõstetakse sellega rikkumisest teatamise künnist, nähes ette, et teatamine on nõutav üksnes juhul, kui isikuandmetega seotud rikkumine võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele. Lõigetega 11 ja 12 ühtlustatakse õigusraamistikku, millega reguleeritakse kasutatavate isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele, viies selle kooskõlla direktiivis (EL) 2016/680 sätestatud raamistikuga. Muudatustega nähakse ette ühtsed normid, mida kohaldatakse kriminaalõiguskaitse ja kriminaalõiguse valdkonnas tegutsevate liidu organite ja asutuste suhtes, võttes samal ajal arvesse nende konkreetset tegevust ja õiguslikku konteksti, sealhulgas koostöölepinguid. Muudatustega sätestatakse, et andmete edastamine riikidele, kelle suhtes on tehtud kaitse piisavuse otsus, on lubatud ilma täiendava loata; kaitse piisavuse otsuse puudumise korral on edastamine lubatud, kui õiguslikult siduva aktiga või vastutava töötleja hinnangu kohaselt on kehtestatud asjakohased kaitsemeetmed; kindlates olukordades, kus puuduvad nii kaitse piisavuse otsus kui ka kaitsemeetmed, kohaldatakse teatavaid erandeid. Samuti võimaldatakse muudatustega teatavatel juhtudel edastada kasutatavaid isikuandmeid kolmandas riigis asuvale vastuvõtjale, kes ei ole pädev asutus, juhul kui muudetud sätetes loetletud tingimused on täidetud, sealhulgas juhul kui kolmanda riigi pädeva asutuse poole pöördumine ei pruugi olla mõjus või asjakohane ning tingimusel et edastamine on rangelt vajalik vastutava töötleja ülesannete täitmiseks. Lõikega 13 antakse Euroopa Andmekaitseinspektorile seoses kasutatavate isikuandmetega ühetaolised volitused kõigi kriminaalõiguskaitse ja kriminaalõiguse valdkonnas tegutsevate liidu organite ja asutuste suhtes, lähtudes Euroopa Andmekaitseinspektori volitustest Europoli suhtes, mis kehtivad alates 2022. aastast. Artiklis 2 selgitatakse uute sätete jõustumist. ET 6 ET  2026/0173 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1) Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. See õigus on tagatud ka Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8. (2) Euroopa Parlamendi ja nõukogu määrusega (EL) 2018/17251 on sätestatud õigusraamistik, mida kohaldatakse liidu institutsioonides, organites ja asutustes isikuandmete töötlemise suhtes. Andmekaitsenormid, mis reguleerivad kasutatavate isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, on aga endiselt killustatud määruse (EL) 2018/1725 IX peatüki ja muude liidu õigusaktide vahel. Kõnealuse määruse artikli 98 kohaselt peab komisjon kasutatavate isikuandmete töötlemise suhtes kohaldatavad normid läbi vaatama, et teha kindlaks võimalikud vastuolud, lüngad ja lahknevused. Samuti on selles sätestatud, et asjakohasel juhul kõrvaldab komisjon kindlaks tehtud puudused seadusandliku ettepanekuga, eelkõige IX peatüki kohaldamisala laiendamiseks nõukogu määrusega (EL) 2017/19392 asutatud Euroopa Prokuratuurile, kui see on asjakohane, ja IX peatükis vajalike kohanduste tegemiseks. Oma esimeses aruandes määruse (EL) 2018/1725 kohaldamise kohta kinnitas komisjon määruse üldist tulemuslikkust isikuandmete kaitse kõrge taseme tagamisel, kuid juhtis ühtlasi tähelepanu mitmele vastuolule ja lahknevusele ning õiguslikule killustatusele, mis tulenevad määruse (EL) 2018/1725 IX peatüki ja määruse muude sätete koostoimest, ning sellele, et Euroopa Prokuratuuri jaoks kehtib eraldi andmekaitsekord. 1 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). 2 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1, ELI: http://data.europa.eu/eli/reg/2017/1939/oj). ET 7 ET  (3) Praegu kohaldatakse kasutatavate isikuandmete töötlemise suhtes ainult määruse (EL) 2018/1725 artiklit 3 ja IX peatükki koos andmekaitse erinormidega, mis on sätestatud Euroopa Liidu Õiguskaitsekoostöö Ameti (Europol) ja Euroopa Liidu Kriminaalõigusalase Koostöö Ameti (Eurojust) asutamisaktides. Samal ajal on Euroopa Prokuratuuril oma eraldiseisev andmekaitsekord, mis on sätestatud Euroopa Prokuratuuri asutamisaktis. Seepärast tuleks määrust (EL) 2018/1725 muuta, et laiendada selle IX peatüki kohaldamisala kõigile õiguskaitse ja kriminaalõiguse valdkonnas tegutsevatele liidu organitele ja asutustele, kes töötlevad kasutatavaid isikuandmeid, tagada õiguskindlus, kõrvaldades lüngad kehtivas andmekaitsekorras, eelkõige Euroopa Piiri- ja Rannikuvalve Ameti puhul, ning ühtlustada isikuandmete rahvusvahelise edastamise norme ja Euroopa Andmekaitseinspektori volitusi käsitlevaid norme. See ei tohiks mõjutada võimalust säilitada määruses (EL) 2017/1939 andmekaitse erieeskirjad, mis on vajalikud tulenevalt Euroopa Prokuratuuri kui liidu sõltumatu prokuratuuri eripärast. (4) Selleks et luua ühtlustatud, järjepidev, lihtsustatud ja täielik õigusraamistik kasutatavate isikuandmete töötlemiseks liidu organites ja asutustes, tuleks ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse kuuluvaid tegevusi läbi viivate liidu organite ja asutuste suhtes kohaldada määruses (EL) 2018/1725 sätestatud mõisteid (I peatükk), andmekaitseametnikke käsitlevaid norme (IV peatüki 6. jagu), koostöö ja järjepidevuse alaseid norme (VII peatükk), õiguskaitsevahendeid, vastutust ja karistusi käsitlevaid norme (VIII peatükk) ning kasutatavate isikuandmete töötlemise norme (mis tuleks viia kooskõlla Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2016/6803 – IX peatükk). Neid norme tuleks kohaldada juhul, kui liidu organid ja asutused viivad kõnealuseid tegevusi läbi kuritegude tõkestamise, avastamise, uurimise või nende toimepanijate vastutusele võtmise eesmärgil. Neid norme, ja mitte ainult määruse (EL) 2018/1725 IX peatükki, tuleks kohaldada ka kasutatavate isikuandmete töötlemise suhtes Euroopa Piiri- ja Rannikuvalve Ametis. Määruse (EL) 2018/1725 normide kohaldamine ei tohiks mõjutada erinorme, mida kohaldatakse kasutatavate isikuandmete töötlemisele liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, eelkõige Europoli, Eurojusti ja Euroopa Prokuratuuri asutamisaktides sätestatud norme. Selliseid erinorme tuleks käsitada lex specialis’ena määruse (EL) 2018/1725 sätete suhtes, mis käsitlevad kasutatavate isikuandmete töötlemist. (5) Kõigis liidu institutsioonides ja organites peaks andmekaitseametnik tagama, et kohaldatakse kõiki andmekaitsenorme, sealhulgas määrust (EL) 2018/1725. Samuti peaksid andmekaitseametnikud nõustama vastutavaid töötlejaid ja volitatud töötlejaid seoses nende kohustustega. Järjepidevuse tagamiseks ja dubleerimise vältimiseks peaks nii halduslikku laadi kui ka kasutatavate isikuandmete puhul kehtima andmekaitseametnike jaoks ainult üks normistik. (6) Euroopa Andmekaitseinspektoril peaks olema viimase abinõuna õigus määrata haldustrahve, muu hulgas seoses kasutatavate isikuandmete töötlemisega õiguskaitse ja kriminaalõiguse valdkonnas tegutsevates liidu organites ja asutustes. 3 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89, ELI: http://data.europa.eu/eli/dir/2016/680/oj). ET 8 ET  (7) Määruses (EL) 2018/1725 dubleerimise vältimiseks tuleks selle artikkel 70 välja jätta, kuna IX peatüki kohaldamisala on juba sätestatud määruse (EL) 2018/1725 artiklis 2. (8) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek], tuleks määruse (EL) 2018/1725 artiklis 77 täpsustada, et otsused, mis põhinevad üksnes kasutatavate isikuandmete automatiseeritud töötlemisel, on lubatud, kui on täidetud eritingimused. (9) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek], tuleks määruse (EL) 2018/1725 artiklis 78 täpsustada, et andmetega tutvumise õigust, mis on algusest peale andmesubjektide jaoks soodne, ei tohiks kuritarvitada selles mõttes, et andmesubjektid kasutavad seda muul eesmärgil kui oma andmete kaitsmiseks. (10) Selleks et tõendada vastavust määrusele (EL) 2018/1725, peaksid õiguskaitse ja kriminaalõiguse valdkonnas tegutsevatele liidu organitele ja asutustele kehtima ühetaolised normid kõigi nende vastutusel tehtavate töötlemistoimingute liikide dokumenteerimise kohta. Iga vastutav ja volitatud töötleja peaks olema kohustatud tegema Euroopa Andmekaitseinspektoriga koostööd ja tegema need dokumendid taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks, et neid saaks kasutada nimetatud töötlemistoimingute kontrollimiseks. (11) Liidu organitel ja asutustel ei tohiks olla võimalik logisid muuta. Kui liidu organid ja asutused saavad kasutatavaid isikuandmeid liikmesriikide pädevatelt asutustelt, peaksid liidu organid ja asutused edastama logid kõnealustele pädevatele asutustele, kui need on vajalikud andmekaitsenõuete täitmise asutusesiseseks uurimiseks. (12) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek], peaks isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile teatamise künnis olema kõrgem ja teatamise tähtaega tuleks pikendada. (13) Kõigile õiguskaitse ja kriminaalõiguse valdkonnas tegutsevatele liidu organitele ja asutustele peaks kehtima ühetaoline kasutatavate isikuandmete rahvusvahelise edastamise normistik, mis on kooskõlas direktiiviga (EL) 2016/680. (14) Komisjon võib direktiivi (EL) 2016/680 artikli 36 alusel otsustada, et kolmandas riigis, kolmanda riigi territooriumil või kindlaksmääratud sektoris või rahvusvahelises organisatsioonis pakutakse piisaval tasemel andmekaitset. Sellisel juhul võib kasutatavate isikuandmete edastamine liidu organi või asutuse poolt kõnealusesse riiki või kõnealusele rahvusvahelisele organisatsioonile toimuda ilma, et oleks vaja saada täiendav luba. (15) Isikuandmete edastamine ilma sellise kaitse piisavuse otsuseta peaks olema lubatud üksnes juhul, kui õiguslikult siduvas aktis on sätestatud isikuandmete kaitseks asjakohased kaitsemeetmed või kui vastutav töötleja, olles hinnanud kõiki andmete edastamisega seotud asjaolusid, on oma hinnangust lähtudes seisukohal, et asjakohased kaitsemeetmed isikuandmete kaitseks on kehtestatud. Õiguslikult siduvaks aktiks võib olla näiteks enne 12. detsembrit 2019 otsuse 2002/187/JSK artikli 26a kohaselt Eurojusti ja kolmanda riigi vahel sõlmitud koostööleping, enne 1. maid 2017 otsuse 2009/371/JSK artikli 23 kohaselt Europoli ja kolmanda riigi vahel sõlmitud koostööleping või ELi toimimise lepingu artikli 218 kohaselt liidu ja kolmanda riigi vahel sõlmitud rahvusvaheline leping. (16) Kaitse piisavuse otsuse ja asjakohaste kaitsemeetmete puudumise korral võib edastamine või teatavat liiki edastamine toimuda erandina kindlates olukordades. Erandeid tuleks tõlgendada kitsalt ning need ei tohiks võimaldada isikuandmete ET 9 ET  sagedast, ulatuslikku ja struktuurset edastamist ega andmete suuremahulist edastamist, piirduda tuleks vaid rangelt vajalike andmetega. Selline edastamine tuleks dokumenteerida ning need dokumendid tuleks teha Euroopa Andmekaitseinspektorile taotluse korral kättesaadavaks, et kontrollida edastamise seaduslikkust. (17) Konkreetsetel üksikjuhtudel võib juhtuda, et tavapärased menetlused, mis nõuavad ühenduse võtmist kolmanda riigi pädeva asutusega, ei ole mõjusad või asjakohased, eelkõige seetõttu, et andmeid ei saaks edastada õigeaegselt, või seetõttu, et kõnealune kolmanda riigi asutus ei austa õigusriigi põhimõtteid või rahvusvahelisi inimõigustealaseid norme ja standardeid. Selline olukord võib tekkida siis, kui isikuandmeid on vaja edastada kiiresti kolmandas riigis asuvale eraõiguslikule äriühingule, et saada teavet internetikuriteo toime pannud tundmatu isiku kohta, päästa süüteo ohvriks langemise ohus oleva isiku elu või hoida ära lähiajal toimepandav kuritegu, sealhulgas terroriakt. Sellistel juhtudel võiksid liikmesriikide pädevad asutused kindlatel tingimustel otsustada edastada kasutatavad isikuandmed otse kolmandas riigis asuvale vastuvõtjale, kes ei ole pädev asutus. (18) Euroopa Andmekaitseinspektoril peaksid olema ühetaolised volitused, mida kohaldatakse kasutatavate isikuandmete töötlemise suhtes õiguskaitse ja kriminaalõiguse valdkonnas tegutsevates liidu organites ja asutustes. Sellised volitused on juba alates 2022. aastast kehtinud Europoli suhtes, näiteks õigus anda vastutavale töötlejale korraldus tagada määruse (EL) 2018/1725 järgimine, õigus anda korraldus peatada andmevood liikmesriigis, kolmandas riigis või rahvusvahelises organisatsioonis asuvale vastuvõtjale või õigus määrata korralduse täitmata jätmise korral haldustrahv. (19) Euroopa Andmekaitseinspektoriga konsulteeriti kooskõlas määruse (EL) 2018/1725 artikli 42 lõikega 1 ning ta esitas arvamuse XX XX 2026, ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: Artikkel 1 Määruse (EL) 2018/1725 muudatused Määrust (EL) 2018/1725 muudetakse järgmiselt. 1. Artiklit 2 muudetakse järgmiselt: (a) lõige 2 asendatakse järgmisega: „2. Kasutatavate isikuandmete töötlemisel liidu organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, kohaldatakse üksnes käesoleva määruse artikleid 3, 43, 44 ja 45 ning VII, VIII ja IX peatükki, ilma et see mõjutaks selliste liidu organite ja asutuste suhtes kohaldatavaid andmekaitse erinorme.“; (b) lõige 3 jäetakse välja. 2. Artikli 45 lõike 1 punktid d, e ja f asendatakse järgmisega: „d) anda taotluse korral nõu vajaduse kohta teavitada isikuandmetega seotud rikkumisest vastavalt artiklitele 34 ja 35 või 92 ja 93; e) anda taotluse korral nõu seoses andmekaitsealase mõjuhinnanguga ning jälgida selle toimimist vastavalt artiklile 39 või 89 ning konsulteerida Euroopa Andmekaitseinspektoriga, kui tekib kahtlusi seoses andmekaitsealase mõjuhinnangu vajalikkusega; ET 10 ET  f) anda taotluse korral nõu seoses vajadusega konsulteerida eelnevalt Euroopa Andmekaitseinspektoriga vastavalt artiklile 40 või 90; konsulteerida Euroopa Andmekaitseinspektoriga, kui tekib kahtlusi seoses eelneva konsulteerimise vajalikkusega;“. 3. Artikli 66 lõike 1 esimene lause asendatakse järgmisega: „1. Euroopa Andmekaitseinspektor võib määrata liidu institutsioonile või asutusele trahvi sõltuvalt konkreetse juhtumi asjaoludest, kui liidu institutsioon või asutus ei suuda täita artikli 58 lõike 2 punktides d–h ja punktis j või artikli 95a lõike 3 punktides c, e, f, j ja k osutatud Euroopa Andmekaitseinspektori korraldust.“ 4. Artikkel 70 jäetakse välja. 5. Artikli 77 lõige 1 asendatakse järgmisega: „1. Otsus, millel on andmesubjektile õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, võib põhineda ainult automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, üksnes juhul, kui see otsus on lubatud vastutava töötleja suhtes kohaldatava liidu õigusega, mis sisaldab piisavaid meetmeid andmesubjekti õiguste ja vabaduste kaitseks, vähemalt õigust vastutava töötleja isiklikule sekkumisele.“ 6. Artikli 78 lõige 4 asendatakse järgmisega: „4. Vastutav töötleja esitab artikli 79 kohast teavet ning teavitab artiklite 80–84 ning 92 alusel toimunud suhtlusest või võetud meetmetest tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige nende korduva iseloomu tõttu, või artikli 80 kohaste taotluste puhul seetõttu, et andmesubjekt kuritarvitab isikuandmetega tutvumise õigust, kasutades seda muul eesmärgil kui oma andmete kaitseks, võib vastutav töötleja keelduda taotluse alusel toimingu tegemisest. Vastutav töötleja peab tõendama, et taotlus on selgelt põhjendamatu või et on mõistlik alus arvata, et see on ülemäärane.“ 7. Lisatakse järgmine artikkel 87a: „Artikkel 87a Kasutatavate isikuandmete töötlemise toimingute kategooriate registreerimine 1. Vastutav töötleja peab kõigi tema vastutusel tehtavate kasutatavate isikuandmete töötlemise toimingute kategooriate registrit. Registreerimiskanne sisaldab järgmist teavet: a) vastutava töötleja kontaktandmed ning andmekaitseametniku nimi ja kontaktandmed ning asjakohasel juhul kaasvastutava töötleja kontaktandmed; b) töötlemise eesmärgid; c) vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse, sealhulgas eraõiguslikud isikud ning kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid; d) andmesubjektide kategooriate ja isikuandmete liikide kirjeldus; e) asjakohasel juhul profiilianalüüsi kasutamine; f) asjakohasel juhul isikuandmete eraõiguslikule isikule, kolmandale riigile või rahvusvahelisele organisatsioonile edastamise liigid; ET 11 ET  g) teave isikuandmete kavandatava töötlemise toimingu (sealhulgas edastamise) õigusliku aluse kohta; h) võimaluse korral eri andmeliikide kustutamiseks ette nähtud tähtajad; i) võimaluse korral artikli 91 lõikes 1 osutatud tehniliste ja korralduslike turvameetmete üldine kirjeldus. 2. Volitatud töötleja peab kõigi vastutava töötleja nimel tehtavate isikuandmete töötlemise toimingute kategooriate registrit, mis sisaldab järgmist teavet: a) volitatud töötleja või volitatud töötlejate kontaktandmed, iga vastutava töötleja kontaktandmed, kelle nimel volitatud töötleja tegutseb, ning andmekaitseametniku kontaktandmed; b) vastutava töötleja nimel tehtava töötlemise liigid; c) asjakohasel juhul isikuandmete edastamine eraõiguslikule isikule, kolmandale riigile või rahvusvahelisele organisatsioonile, kui vastutav töötleja andis selleks sõnaselge korralduse, sealhulgas andmed kõnealuse kolmanda riigi või rahvusvahelise organisatsiooni tuvastamiseks; d) võimaluse korral artikli 91 lõikes 1 osutatud tehniliste ja korralduslike turvameetmete üldine kirjeldus. 3. Lõigetes 1 ja 2 osutatud registreerimine on kirjalik, sealhulgas elektrooniline. Taotluse korral teevad vastutav töötleja ja volitatud töötleja registri kättesaadavaks Euroopa Andmekaitseinspektorile.“ 8. Artikli 88 lõikele 1 lisatakse järgmine lause: „Logifailide muutmine ei ole võimalik.“ 9. Artikli 88 lõikele 3 lisatakse järgmine lause: „Lõikes 1 osutatud logifailid edastatakse riigi pädevale asutusele, kui see asutus vajab neid andmekaitsenormide järgimisega seotud konkreetse uurimise jaoks.“ 10. Artikli 92 lõige 1 asendatakse järgmisega: „1. Kui on toimunud isikuandmetega seotud rikkumine, mis võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele, teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 96 tunni jooksul pärast sellest teada saamist. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 96 tunni jooksul, esitatakse teates viivituse kohta põhjendus.“ 11. Artikkel 94 asendatakse järgmisega: „Artikkel 94 Kasutatavate isikuandmete kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastamise üldpõhimõtted 1. Vastutav töötleja võib edastada kasutatavaid isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile, tingimusel et järgitakse kohaldatavaid andmekaitsenorme ja käesoleva määruse muid sätteid, ning üksnes juhul, kui on täidetud järgmised tingimused: (a) andmete edastamine on vajalik vastutava töötleja ülesannete täitmiseks; ET 12 ET  (b) kolmanda riigi ametiasutus või rahvusvaheline organisatsioon, kellele kasutatavaid isikuandmeid edastatakse, on pädev õiguskaitse või kriminaalõiguse küsimustes; (c) kui kasutatavad isikuandmed, mida edastatakse, on vastutavale töötlejale edastanud või kättesaadavaks teinud liikmesriik või liidu organ või asutus, peab vastutav töötleja saama andmete edastamiseks asjaomase liikmesriigi pädevalt asutuselt või asjaomaselt liidu organilt või asutuselt eelneva loa kooskõlas tema suhtes kohaldatava õigusega, välja arvatud juhul, kui kõnealune liikmesriik või liidu organ või asutus on andnud selliseks edastamiseks kas üldise või konkreetsetel tingimustel kohaldatava loa; (d) kui kolmas riik või rahvusvaheline organisatsioon saadab andmed edasi muule kolmandale riigile või rahvusvahelisele organisatsioonile, peab asjaomane kolmas riik või rahvusvaheline organisatsioon saama vastutavalt töötlejalt selliseks edasisaatmiseks eelneva loa; (e) vastutav töötleja annab punkti d kohase loa üksnes andmed algselt edastanud liikmesriigi või liidu organi või asutuse eelneval loal ja asjakohasel juhul pärast seda, kui ta on võtnud nõuetekohaselt arvesse kõiki asjakohaseid tegureid, sealhulgas kuriteo raskust, kasutatavate isikuandmete algse edastamise eesmärki ja kasutatavate isikuandmete kaitse taset selles kolmandas riigis või rahvusvahelises organisatsioonis, kellele kasutatavad isikuandmed edasi saadetakse. 2. Vastutav töötleja võib käesoleva artikli lõikes 1 sätestatud tingimustel kolmandale riigile või rahvusvahelisele organisatsioonile kasutatavaid isikuandmeid edastada juhul, kui on täidetud artiklis 94a, artiklis 94b, artiklis 94c või artiklis 94d sätestatud tingimused. 3. Ilma et see mõjutaks artikli 94c kohaldamist, võib vastutav töötleja edastada kasutatavaid isikuandmeid sellise riigi pädevale asutusele, kes on ühinenud Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega ning kes on rakendanud direktiivi (EL) 2016/680 sätted ja direktiivi (EL) 2023/977 teabevahetust käsitlevad sätted ning neid tegelikult kohaldab. 4. Vastutav töötleja võib kiireloomulistel juhtudel edastada kasutatavaid isikuandmeid ilma lõike 1 punkti c kohase liikmesriigilt või liidu organilt või asutuselt saadud eelneva loata. Vastutav töötleja teeb seda üksnes juhul, kui kasutatavate isikuandmete edastamine on vajalik liikmesriigi või kolmanda riigi avalikku julgeolekut ähvardava või liikmesriigi olulisi huve kahjustava vahetu ja tõsise ohu ennetamiseks ning kui eelnevat luba ei ole võimalik õigeaegselt saada. Eelneva loa andmise eest vastutavat asutust teavitatakse viivitamata. 5. Kõiki käesoleva peatüki sätteid isikuandmete rahvusvahelise edastamise kohta kohaldatakse selleks, et tagada, et käesoleva määrusega tagatud füüsiliste isikute kaitse taset ei kahjustata.“ 12. Lisatakse järgmised artiklid: „Artikkel 94a Edastamine kaitse piisavuse otsuse alusel Vastutav töötleja võib edastada kasutatavaid isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile, kui komisjon on vastavalt direktiivi (EL) 2016/680 artiklile 36 teinud otsuse, et asjaomane kolmas riik või asjaomase ET 13 ET  kolmanda riigi territoorium või asjaomase kolmanda riigi üks või mitu kindlaksmääratud sektorit või asjaomane rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme. Artikkel 94b Edastamine asjakohaste kaitsemeetmete kohaldamisel 1. Kaitse piisavuse otsuse puudumise korral võib vastutav töötleja edastada kasutatavaid isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile järgmistel juhtudel: (a) kasutatavate isikuandmete kaitseks võetavad asjakohased kaitsemeetmed on sätestatud õiguslikult siduvas aktis (b) või vastutav töötleja on hinnanud kõiki kasutatavate isikuandmete edastamisega seotud asjaolusid ning leidnud, et kehtestatud on kõik kasutatavate isikuandmete kaitse seisukohast asjakohased kaitsemeetmed. 2. Lõike 1 punkti a kohane õiguslikult siduv akt on: (a) ELi toimimise lepingu artikli 218 kohaselt liidu ja asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud rahvusvaheline leping, millega on ette nähtud asjakohased kaitsemeetmed seoses eraelu puutumatuse ja isikuandmete kaitse ning üksikisikute muude põhiõiguste ja -vabaduste kaitsega; (b) enne 12. detsembrit 2019 otsuse 2002/187/JSK artikli 26a kohaselt Eurojusti ja asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud koostööleping, mis võimaldab kasutatavaid isikuandmeid vahetada, või (c) enne 1. maid 2017 otsuse 2009/371/JSK artikli 23 kohaselt Europoli ja asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud koostööleping, mis võimaldab kasutatavaid isikuandmeid vahetada. 3. Liidu organid ja asutused võivad sõlmida koostöökokkuleppeid, et määrata kindlaks lõikes 2 osutatud lepingute rakendamise kord. 4. Vastutav töötleja teatab Euroopa Andmekaitseinspektorile lõike 1 punkti b kohaste edastamiste liigid. 5. Kui edastamine põhineb lõike 1 punktil b, siis selline edastamine dokumenteeritakse ning dokumendid tehakse taotluse korral kättesaadavaks Euroopa Andmekaitseinspektorile. Dokumendid peavad sisaldama edastamise kuupäeva ja kellaaega ning teavet vastuvõtva pädeva asutuse, edastamise põhjenduse ja edastatud kasutatavate isikuandmete kohta. Artikkel 94c Erandid eriolukordade puhuks 1. Kaitse piisavuse otsuse või artikliga 94b ette nähtud asjakohaste kaitsemeetmete puudumise korral võib vastutav töötleja edastada kasutatavaid isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile üksnes tingimusel, et edastamine on vajalik: (a) andmesubjekti või teise isiku eluliste huvide kaitsmiseks; (b) andmesubjekti õigustatud huvide kaitsmiseks; ET 14 ET  (c) liikmesriigi või kolmanda riigi avalikku julgeolekut ähvardava vahetu ja tõsise ohu ennetamiseks (d) või konkreetsetel juhtudel vastutava töötleja ülesannete täitmiseks, välja arvatud juhul, kui vastutav töötleja teeb kindlaks, et asjaomase andmesubjekti põhiõigused ja -vabadused kaaluvad üles edastamisega seotud avaliku huvi. 2. Kui edastamine põhineb lõikel 1, siis selline edastamine dokumenteeritakse ning dokumendid tehakse taotluse korral kättesaadavaks Euroopa Andmekaitseinspektorile. Dokumendid peavad sisaldama edastamise kuupäeva ja kellaaega ning teavet vastuvõtva pädeva asutuse, edastamise põhjenduse ja edastatud kasutatavate isikuandmete kohta. Artikkel 94d Kasutatavate isikuandmete edastamine kolmandas riigis asuvale vastuvõtjale 1. Erandina artikli 94 lõike 1 punktist b ja ilma et see mõjutaks käesoleva artikli lõikes 2 osutatud rahvusvaheliste lepingute kohaldamist, võib vastutav töötleja üksikutel erijuhtumitel edastada kasutatavaid isikuandmeid kolmandas riigis asuvale vastuvõtjale otse üksnes juhul, kui on täidetud kõik järgmised tingimused: (a) edastamine on rangelt vajalik vastutava töötleja ülesannete täitmiseks eesmärkidel, milleks kasutatavaid isikuandmeid on lubatud töödelda; (b) vastutav töötleja teeb kindlaks, et ükski asjaomase andmesubjekti põhiõigus ega -vabadus ei kaalu konkreetse juhtumi puhul üles avalikku huvi, mis edastamise vajalikuks teeb; (c) vastutav töötleja leiab, et edastamine kolmanda riigi pädevale asutusele ei ole mõjus või asjakohane, eelkõige sellepärast, et seda ei ole võimalik teha õigeaegselt; (d) kolmanda riigi pädevat asutust teavitatakse põhjendamatu viivituseta, välja arvatud juhul, kui see ei ole mõjus või asjakohane; (e) vastutav töötleja teavitab vastuvõtjat konkreetsest eesmärgist või konkreetsetest eesmärkidest, milleks vastuvõtja kasutatavaid isikuandmeid töödelda tohib, eeldusel et selline töötlemine on vajalik. 2. Lõikes 1 osutatud rahvusvaheline leping on Euroopa Liidu ja kolmandate riikide vaheline jõusolev kahepoolne või mitmepoolne rahvusvaheline leping kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas. 3. Kui edastamine põhineb lõikel 1, siis selline edastamine, sealhulgas edastamise kuupäev ja kellaaeg ning teave vastuvõtva pädeva asutuse, edastamise põhjenduse ja edastatud kasutatavate isikuandmete kohta, dokumenteeritakse ning dokumendid tehakse taotluse korral kättesaadavaks Euroopa Andmekaitseinspektorile.“ 13. Lisatakse järgmine artikkel 95a: „Artikkel 95a Euroopa Andmekaitseinspektori teostatav järelevalve 1. Euroopa Andmekaitseinspektori ülesanne on jälgida ja tagada, et kohaldataks sätteid, mis käsitlevad füüsiliste isikute põhiõiguste ja -vabaduste kaitsmist kasutatavate isikuandmete töötlemisel liidu organites ja asutustes, samuti nõustada liidu organeid ja asutusi ning andmesubjekte kõikides kasutatavate isikuandmete töötlemisega seotud küsimustes. Selleks täidab ta lõikes 2 sätestatud ülesandeid ja ET 15 ET  kasutab lõikega 3 antud volitusi, tehes samal ajal tihedat koostööd riiklike järelevalveasutustega. 2. Euroopa Andmekaitseinspektoril on järgmised ülesanded: a) kuulata ära ja uurida kaebusi ning teavitada andmesubjekti mõistliku aja jooksul tulemusest; teostada kas omal algatusel või kaebuse alusel uurimisi ning teavitada andmesubjekti mõistliku aja jooksul tulemusest; b) jälgida ja tagada, et kohaldataks käesolevat määrust ja kõiki muid liidu õigusakte, mis käsitlevad füüsiliste isikute kaitsmist kasutatavate isikuandmete töötlemisel liidu organites ja asutustes; c) nõustada kas omal algatusel või konsultatsiooni korras liidu organeid ja asutusi kõikides kasutatavate isikuandmete töötlemisega seotud küsimustes, eelkõige enne seda, kui liidu organ või asutus koostab oma sise-eeskirja põhiõiguste ja -vabaduste kaitse kohta kasutatavate isikuandmete töötlemisel; d) pidada registrit talle teatatud uut liiki töötlemistoimingute kohta; e) viia läbi eelnev konsulteerimine seoses töötlemisega, millest talle on teatatud. 3. Käesoleva määruse alusel võib Euroopa Andmekaitseinspektor: a) nõustada andmesubjekte nende õiguste kasutamisel; b) edastada kasutatavate isikuandmete töötlemist käsitlevate sätete väidetava rikkumise korral asja arutamiseks asjaomasele liidu organile või asutusele ning teha asjakohasel juhul ettepanekuid rikkumise kõrvaldamiseks ja andmesubjektide kaitse parandamiseks; c) anda korralduse rahuldada taotlus kasutatavate isikuandmete suhtes teatavaid õigusi kasutada, kui sellise taotluse tagasilükkamisega on rikutud andmesubjekti õiguste kohta kehtivaid norme; d) hoiatada liidu organit või asutust või teha talle märkuse; e) anda liidu organile või asutusele korralduse isikuandmeid parandada, nende töötlemist piirata, need kustutada või need hävitada, kui nende töötlemisel on rikutud kasutatavate isikuandmete töötlemist reguleerivaid sätteid, ning teavitada sellest meetmest kolmandaid isikuid, kellele sellised andmed on avaldatud; f) keelata liidu organil või asutusel ajutiselt või alaliselt teha töötlemistoiminguid, millega rikutakse kasutatavate isikuandmete töötlemist reguleerivaid sätteid; g) edastada asja arutamiseks asjaomasele liidu organile või asutusele ja vajaduse korral Euroopa Parlamendile, nõukogule ja komisjonile; h) edastada asja arutamiseks Euroopa Liidu Kohtule ELi toimimise lepingus sätestatud tingimustel; i) sekkuda Euroopa Liidu Kohtusse antud asjade arutamisse; j) anda korralduse, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määrusega ning kohaldatavuse korral liidu organi või asutuse asutamisaktis sätestatud andmekaitse-eeskirjadega; k) anda korralduse peatada liikmesriigis või kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile suunatud andmevoog; ET 16 ET  l) määrata artikli 66 kohaselt haldustrahvi, kui liidu organ või asutus ei täida mõnda käesoleva lõike punktides c, e, f, j ja k osutatud meedet, sõltuvalt iga üksikjuhtumi asjaoludest. 4. Euroopa andmekaitseinspektoril on õigus: a) saada liidu organilt või asutuselt juurdepääs kõigile kasutatavatele isikuandmetele ja kogu teabele, mida ta oma päringuteks vajab; b) pääseda kõikidesse tööruumidesse, kus liidu organ või asutus tegutseb, kui on alust arvata, et seal tehakse käesolevas peatükis käsitletud toiminguid. 5. Euroopa Andmekaitseinspektor koostab igal aastal aruande järelevalvetoimingute kohta, mida ta on teinud käesoleva peatüki kohaldamisalasse kuuluvate vastutavate töötlejate suhtes. See aruanne on osa artiklis 60 osutatud Euroopa Andmekaitseinspektori iga-aastasest aruandest. Euroopa Andmekaitseinspektor palub riiklikel järelevalveasutustel esitada enne iga- aastase aruande vastuvõtmist oma tähelepanekud aruande kõnealuse osa kohta. Euroopa Andmekaitseinspektor võtab neid tähelepanekuid hoolikalt arvesse ning osutab neile oma iga-aastases aruandes. Teises lõigus osutatud iga-aastase aruande osa sisaldab statistilisi andmeid, mis käsitlevad kaebusi, uurimisi ja juurdlusi, isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele, Euroopa Andmekaitseinspektoriga eelneva konsulteerimise juhtumeid ning käesoleva artikli lõikes 3 sätestatud volituste kasutamist. 6. Euroopa Andmekaitseinspektor ning Euroopa Andmekaitseinspektori sekretariaadi ametnikud ja muud töötajad on artikli 95 kohaselt seotud konfidentsiaalsuskohustusega.“ Artikkel 2 Jõustumine 1. Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas. 2. Kasutatavate isikuandmete töötlemise suhtes Euroopa Prokuratuuris kohaldatakse käesolevat määrust alates [uue Euroopa Prokuratuuri käsitleva määruse kohaldamise alguskuupäev]. Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides. Brüssel, Euroopa Parlamendi nimel Nõukogu nimel eesistuja eesistuja [...] [...] ET 17 ET  Riigikantselei [email protected] Rahukohtu 3 Meie 07.09.2026 nr 7-1/6461 15161, Tallinn Eesti seisukohad füüsiliste isikute kaitset isikuandmete töötlemisel Euroopa Liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist käsitleva määruse muutmise kohta Esitame Teile Vabariigi Valitsuse istungile edastamiseks Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse eelnõu kohta, millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisa: 1. Protokollilise otsuse eelnõu 2. Seletuskiri 3. Kaasamistabel 4. Määruse eelnõu Kristiina Krause 51933390 [email protected] Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898  EELNÕU VABARIIGI VALITSUS ISTUNGI PROTOKOLL Tallinn, Stenbocki maja . .2026 Päevakorrapunkt nr ... Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse, millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, eelnõu (COM(2026) 314) kohta 1. Kiita heaks järgmised justiits- ja digiministri esitatud seisukohad Euroopa Parlamendi ja nõukogu määruse, millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, eelnõu kohta: 1.1. Eesti toetab Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonna asutustele ühtsete andmekaitsereeglite kehtestamist ning Euroopa Liidu andmekaitsemääruse (EL 2018/1725) kohaldamisala laiendamist Euroopa Prokuratuurile (EPPO). Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonna asutuste ja organite andmekaitsekord peab olema üldjuhul reguleeritud Euroopa Liidu andmekaitsemäärusega, kuid võimalusega kehtestada nende asutuste ja organite asutamismäärustes tegevuse eripärast tulenevaid vajalikke erinorme. 1.2. Eesti toetab Euroopa Andmekaitseinspektori trahvimisõiguse laiendamist, et ta saaks õiguse määrata haldustrahve ka liidu organites ja asutustes kasutatavate isikuandmete (operational data) töötlemise rikkumise eest. See aitab ühtlustada Euroopa Liidu andmekaitsemääruse kohaldamist, tugevdab järelevalvet ja tagab, et sarnastele rikkumistele järgnevad võrreldavad tagajärjed. 1.3. Eesti toetab Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonna asutuste rahvusvahelise andmeedastuse regulatsiooni ümberkujundamist, et viia see kooskõlla õiguskaitseasutuste andmekaitsedirektiiviga (EL 2016/680) ning tagada ühtsed reeglid kõigile asjaomastele Euroopa Liidu asutustele. Eesti leiab, et erandid andmeedastuse üldreeglist peavad olema piiritletud ja kontrollitavad. Eesti peab asjakohaseks anda Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonna asutustele õigus edastada andmeid Schengeni alaga assotsieerunud riikidele. 1.4. Eesti peab oluliseks, et eelnõus kavandatud andmetele juurdepääsu õigust ning isikuandmetega seotud rikkumistest teavitamise tähtaegu ja künnist puudutavad muudatused ei nõrgenda põhjendamatult andmesubjektide õiguste kaitse taset ning on kooskõlas Euroopa Liidu digivaldkonna koondpaketi vastavate muudatustega. 2. Eesti esindajatel väljendada ülaltoodud seisukohti Euroopa Liidu eri tasanditel. 3. Justiits- ja Digiministeeriumil teha punktis 1 nimetatud seisukohad teatavaks huvirühmadele, kes olid kaasatud seisukohtade kujundamisesse. Riigikantseleil esitada punktis 1 nimetatud eelnõu ja seisukohad Riigikogu juhatusele ja teha seisukohad teatavaks Eestis valitud Euroopa Parlamendi liikmetele ning Eestist nimetatud Euroopa Majandus- ja Sotsiaalkomitee ja Regioonide Komitee liikmetele. Kristen Michael Keit Kasemets Peaminister Riigisekretär  SELETUSKIRI Vabariigi Valitsuse otsuse juurde “Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse , millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, eelnõu (COM(2026) 314) kohta” Euroopa Komisjon avaldas 23. juunil 2026 eelnõu COM(2026) 314, et muuta määrust (EL) 2018/1725, mis reguleerib isikuandmete töötlemist Euroopa Liidu institutsioonides, organites ja asutustes. Eelnõu peamine eesmärk on ühtlustada õiguskaitse- ja kriminaalõiguse valdkonnas tegutsevate ELi asutuste andmekaitseraamistikku ning vähendada kehtiva regulatsiooni killustatust. Praegu on andmekaitsenormid jaotunud määruse (EL) 2018/1725 (edaspidi EUDPR) ning üksikute asutuste asutamisaktide vahel. Eelnõu eesmärk on lihtsustada ja ühtlustada ELi õiguskaitse- ja kriminaalõiguse valdkonnas tegutsevate liidu institutsioonide, organite ja asutuste suhtes kohaldatavat andmekaitseraamistikku. Selleks laiendatakse EUDPRi IX peatüki kohaldamisala Euroopa Prokuratuurile ning koondatakse kõigi ELi institutsioonide, organite ja asutuste suhtes ühtmoodi kohaldatavad andmekaitsenormid senisest suuremas ulatuses ühte õigusakti. Eelnõuga täpsustatakse ja ühtlustatakse muu hulgas andmekaitseametnike ülesandeid, töötlemistoimingute registreerimist, järelevalveasutuste koostööd, rahvusvaheliste andmeedastuste korda ning Euroopa Andmekaitseinspektori järelevalvevolitusi. Eesmärk on vähendada kehtiva regulatsiooni killustatust, suurendada õiguskindlust ja tagada andmekaitsenormide järjepidev kohaldamine kõigi asjaomaste ELi asutuste suhtes, säilitades samal ajal võimaluse kehtestada asutuste tegevuse eripärast tulenevaid erinorme nende asutamismäärustes. Eelnõu on osa laiemast justiits- ja siseküsimuste valdkonna reformipaketist, mille eesmärk on tugevdada ELi õiguskaitse- ja kohtuasutuste koostööd, parandada andmevahetust ning suurendada liidu suutlikkust võidelda raske ja piiriülese kuritegevusega. Eesti hinnangul on eelnõu tervikuna kooskõlas põhiseadusega. Eelnõu käsitleb liidu ainupädevusse kuuluvat valdkonda, mistõttu subsidiaarsuse põhimõte ei kohaldu. Eelnõu eesmärkidega nõustutakse, kuna ELi institutsioonide, organite ja asutuste andmekaitsenormid on praegu killustatud ning andmekaitseraamistiku ühetaoliseks toimimiseks on vajalik ühtne ELi lähenemine. Kehtiva EUDPRi alusel ühiste andmekaitsenõuete edasiarendamine ja ühtlustamine on eesmärkide saavutamiseks sobiv ning proportsionaalne meede, mis ei lähe vajalikust kaugemale. Mõjude puhul on Euroopa Komisjon leidnud, et eelnõu on peamiselt tehnilist laadi ega põhjusta olulist majanduslikku, sotsiaalset ega keskkonnamõju. Samas peaksid muudatused suurendama õiguskindlust, parandama järelevalvet ja hõlbustama õiguskaitseasutuste vahelist koostööd. Eesti õiguse muutmise vajadust ei kaasne, kuna tegemist on vahetult kohaldatava ELi määruse muudatusega, mis kohaldub ELi institutsioonidele ja asutustele ja millega ei kaasne Eesti õiguse muutmise vajadust. Kaudne positiivne mõju võib siiski avalduda Eesti asutuste koostööle Europoli, Eurojusti, Frontexi ja Euroopa Prokuratuuriga. Eesti toetab üldjoontes eelnõu eesmärkide saavutamist, eelkõige määruse kohaldamisala laiendamist Euroopa Prokuratuurile, Euroopa Andmekaitseinspektori volituste ühtlustamist ja rahvusvahelise andmeedastuse regulatsiooni korrastamist. 1 1. Sissejuhatus Euroopa Komisjon avaldas 23.06.2026 Euroopa Parlamendi ja nõukogu määruse eelnõu, millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, COM(2026) 314 final, 2026/0173(COD)1. Eelnõu eesmärk on ühtlustada Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonnas tegutsevate asutuste (eelkõige Europol, Eurojust, Euroopa Prokuratuur ja osaliselt Frontex) suhtes kohaldatavat andmekaitseraamistikku. Praegu on asutuste suhtes kohaldatavad andmekaitsereeglid killustatud EUDPRi ja üksikute asutuste asutamisaktide vahel, mis tekitab õiguskindlusetust ning raskendab asutustevahelist koostööd ja andmevahetust. Eelnõuga soovitakse koondada võimalikult palju ühiseid andmekaitsenorme ühte õigusakti, laiendada ELi isikuandmete kaitse määruse kohaldamist Euroopa Prokuratuurile, suurendada õiguskindlust ja vähendada regulatiivset killustatust, ühtlustada Euroopa Andmekaitseinspektori järelevalvevolitusi ja lihtsustada asutustevahelist andmevahetust. Samuti on eelnõus muudatusettepanekud, mis ühtlustaksid EUDPRi IX peatüki sätteid digivaldkonna koondettepanekuga2 tehtavate muudatustega. Peamised eelnõuga kavandatavad muudatused on järgmised: 1. EUDPRi kohaldamisala laiendamine – muudetakse artiklit 2 ning laiendatakse kasutatavate isikuandmete töötlemise suhtes kohaldatavat normistikku õiguskaitse ja kriminaalõiguse valdkonnas tegutsevatele ELi organitele ja asutustele, sh Euroopa Prokuratuurile. 2. Andmekaitseametniku ülesanded ja sisemine vastavuskontroll – täpsustatakse andmekaitseametniku ülesandeid, sh rikkumistest teavitamise, andmekaitsealase mõjuhinnangu ja eelneva konsulteerimise kontekstis. 3. Euroopa Andmekaitseinspektori (edaspidi EDPS) volitused – ühtlustatakse EDPSi järelevalvevolitusi kõigi asjaomaste ELi organite ja asutuste suhtes ning nähakse ette ka haldustrahvide määramise võimalus korralduste täitmata jätmisel. 4. Automatiseeritud otsused ja andmesubjekti õigused – artiklite 77 ja 78 muudatused seotakse digivaldkonna koondettepanekuga. 5. Töötlemistoimingute registreerimine ja logimine – lisatakse uus artikkel 87a ning täiendatakse logimist käsitlevat artiklit 88. 6. Isikuandmetega seotud rikkumisest teavitamine – artikli 92 muudatusega tõstetakse teavitamiskünnist ning pikendatakse EDPSile teatamise tähtaega 72 tunnilt 96 tunnile (ettepanek lähtub digivaldkonna koondettepanekust). 7. Kasutatavate isikuandmete (ingl k operational data) edastamine kolmandatele riikidele ja rahvusvahelistele organisatsioonidele – asendatakse artikkel 94 ja lisatakse artiklid 94a– 94d. 1 Komisjoni 23.06.2026 ettepanek: Euroopa Parlamendi ja nõukogu määruse eelnõu, millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, COM(2026) 314 final, 2026/0173(COD). Kättesaadav: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:52026PC0314. 2 Ettepanek: Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett), COM/2025/837 final. Kättesaadav: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:52025PC0837 2 Komisjon ei näe ette märkimisväärseid täiendavaid kulusid. Eelnõu on peamiselt tehnilist ja institutsionaalset laadi ning ei loo uusi ulatuslikke kohustusi. Komisjon on leidnud, et eelnõu toob kaasa suurema õiguskindluse ja vähendab halduskoormust, samuti on selle tulemusel lihtsam nõudeid täita, paraneb koostöö ja andmevahetus ELi asutuste vahel ning edaspidi on vähem nii dubleerivaid kui ka vastuolulisi norme. Komisjon märgib, et positiivset mõju on keeruline kvantifitseerida, kuid eeldatavalt vähenevad nõuete täitmisega seotud kulud ning regulatiivne keerukus. Eraldi mõjuhinnangut ei ole komisjon koostanud, kuna eelnõu kohaldamisala on kitsas, muudatused on valdavalt tehnilised ning ELi andmekaitsesüsteemi põhiloogikat ei muudeta. Lisaks puudub eelnõul komisjoni hinnangul oluline majanduslik, sotsiaalne või keskkonnamõju ning põhiõiguste kaitse tase jääb sisuliselt samaks. Komisjoni hinnangul on mõju põhiõigustele minimaalne ja pigem positiivne, sest regulatsioon muutub selgemaks ja ühtsemaks. Eelnõu põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis käsitleb isikuandmete kaitset. Menetlus on seadusandlik tavamenetlus (ordinary legislative procedure), mis tähendab, et Euroopa Parlament ja nõukogu on kaasseadusandjad ning nõukogus kohaldatakse kvalifitseeritud häälteenamust. Euroopa Parlament võtab seisukoha vastu lihthäälteenamusega. Nõukogu üldises lähenemisviisis algatuse suhtes loodetakse kokku leppida 2026. a lõpuks, kuid see sõltub ka digivaldkonna koondettepaneku läbirääkimiste edenemisest. Euroopa Parlament ei ole Eesti seisukohtade koostamise ajaks oma planeeritavat menetlemise ajakava teatavaks teinud. 2. Koostajad Seisukohad ja seletuskirja koostasid Justiits- ja Digiministeeriumi õiguspoliitika osakonna andmekaitseõiguse talituse nõunik Helen Uustalu ([email protected]) ja sama talituse juhataja Kristi Värk ([email protected]). Valdkonna eest vastutab Justiits- ja Digiministeeriumi õiguspoliitika osakonna asekantsler Heddi Lutterus ([email protected]). 3. Sisu ja võrdlev analüüs Eelnõu koosneb kahest artiklist. Artikliga 1 on kavandatud 13 muudatust ja artikliga 2 on ette nähtud jõustumise sätted. Artikliga 1 kavandatud muudatused on järgmised: Muudatusega 1 laiendatakse määruse kohaldamisala (artikli 2 muutmine). Praegu kohaldatakse ELi õiguskaitse- ja kriminaalõiguse valdkonnas töödeldavate isikuandmete suhtes üksnes EUDPRi artiklit 3 ja IX peatükki, kusjuures Euroopa Prokuratuurile kohaldatakse eraldi andmekaitsekorda Euroopa Prokuratuuri asutamismääruse alusel. Muudatuse tulemusel laiendatakse määruse kohaldamisala nii, et ELi õiguskaitse- ja kriminaalõiguse valdkonnas hakatakse kohaldama ka sätteid, milles käsitletakse andmekaitseametnikke, koostööd, õiguskaitsevahendeid, vastutust ja sanktsioone, ning hõlmatakse regulatsiooniga Euroopa Prokuratuur. Muudatuse eesmärk on kõrvaldada õiguslik killustatus, tagada võrreldavate olukordade ühetaoline reguleerimine ning suurendada õiguskindlust kõigi asjaomaste ELi organite ja asutuste puhul. 3 Muudatusega 2 täpsustatakse andmekaitseametniku ülesandeid (artikli 45 muutmine). Kehtivas määruses on sätestatud andmekaitseametniku ülesanded, kuid õiguskaitsealase isikuandmete töötlemisega seotud ülesannete kohaldatavus ei ole täielikult üheselt selge. Muudatusega täpsustatakse, et andmekaitseametnik nõustab ja toetab vastutavaid töötlejaid ka kasutatavate isikuandmete töötlemisel, sealhulgas rikkumiste hindamisel, mõjuhinnangute koostamisel ja Euroopa Andmekaitseinspektoriga konsulteerimisel. Muudatusega tagatakse ühetaoline andmekaitseametniku funktsioon kõigis organisatsioonides ning välditakse paralleelsete või erinevalt korraldatud süsteemide tekkimist. Muudatusega 3 laiendatakse Euroopa Andmekaitseinspektori trahvimisõigust (artikli 66 muutmine). Kehtiva määruse kohaselt ei ole Euroopa Andmekaitseinspektoril võimalust määrata haldustrahve ELi institutsioonidele ja asutustele trahve juhul, kui need ei täida andmekaitsealaseid siduvaid ettekirjutusi õiguskaitse- ja kriminaalõiguse valdkonnas. Muudatuse tulemusel laieneb trahvimisõigus ka kasutatavate isikuandmete töötlemist puudutavate ettekirjutuste täitmata jätmisele, mis tugevdab järelevalve tõhusust ja aitab tagada andmekaitsenõuete täitmise kõikides asjaomastes ELi asutustes. Muudatusega 4 tunnistatakse kehtetuks artikkel 70. Kehtiva määruse kohaselt reguleerib artikkel 70 IX peatüki kohaldamist kasutatavatele isikuandmetele. Muudatusega tunnistatakse artikkel kehtetuks, et vältida dubleerimist ja muuta regulatsioon selgemaks, sest kohaldamisala sätestatakse edaspidi ammendavalt artiklis 2. Muudatusega 5 täpsustatakse automatiseeritud otsustamise regulatsiooni (artikli 77 muutmine). Kehtivas määruses sisaldub automatiseeritud otsuste tegemise regulatsioon, kuid selle sõnastus erineb digivaldkonna koondettepanekus kavandatud lahendusest. Seetõttu muudatusega täpsustatakse, et üksnes automatiseeritud töötlemisel põhinev otsus on lubatud ainult juhul, kui see tugineb liidu õigusele ning on ette nähtud piisavad kaitsemeetmed, sealhulgas õigus inimese sekkumisele. Muudatusega 6 täpsustatakse andmetega tutvumise õiguse kuritarvitamise sätet (artikli 78 muutmine). Kehtiva määruse kohaselt võib vastutav töötleja keelduda ilmselgelt põhjendamatutest või ülemäärastest taotlustest. Muudatusega täpsustatakse, et põhjendamatuks võib lugeda ka taotluse, mille puhul kasutatakse andmetega tutvumise õigust muul eesmärgil kui oma andmete kaitseks. Muudatusega 7 nähakse ette töötlemistoimingute registri loomise kohustus (uus artikkel 87a). Kehtiva määruse IX peatükk ei sätesta kasutatavate isikuandmete töötlemistoimingute registreerimise kohustust, seega kehtestatakse muudatusega kohustus pidada registrit kõigi kasutatavate isikuandmete töötlemise toimingute kategooriate kohta. Registris tuleb muu hulgas kajastada töötlemise eesmärgid, isikuandmete liigid, vastuvõtjad, säilitamistähtajad ja turvameetmed. Töötlemistoimingute registri sätte sõnastamisel on võetud eeskuju õiguskaitseasutuste direktiivist (nn LED-direktiiv)3. Muudatusega 8 ja 9 täiendatakse logimise nõudeid (artikli 88 muutmine). Kui kehtiv määrus sisaldab logimise kohustust, kuid ei sätesta sõnaselgelt logide muutmise keeldu ega nende edastamist liikmesriikide pädevatele asutustele, siis eelnõuga lisatakse nõue, mille kohaselt 3 Euroopa Parlamendi ja nõukogu 27. aprill 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89–131). 4 logifaile ei tohi muuta. Samuti nähakse ette logide edastamine pädevale asutusele, kui need on vajalikud andmekaitsealase uurimise läbiviimiseks. Muudatusega 10 muudetakse isikuandmetega seotud rikkumistest teatamise korda (artikli 92 muutmine). Kui kehtiva regulatsiooni kohaselt tuleb rikkumisest Euroopa Andmekaitseinspektorit teavitada võimaluse korral 72 tunni jooksul ning teavitamiskohustus on pigem laialdane, siis kavandatava muudatuse tulemusel pikeneb teatamistähtaeg 96 tunnini ning tõuseb teatamiskünnis, mistõttu tuleb rikkumisest teatada üksnes juhul, kui see võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele. Muudatus on kantud digivaldkonna koondettepanekust. Muudatustega 11 ja 12 kujundatakse ümber rahvusvahelise andmeedastuse regulatsioon (artiklid 94–94d). Hetkel kehtiv rahvusvahelise andmeedastuse kord on killustunud ning erinevate asutuste suhtes kehtivad osaliselt erinevad reeglid. Muudatuse tulemusel kehtestatakse terviklik raamistik andmete edastamiseks kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Artikliga 94 nähakse ette üldised tingimused andmete edastamiseks ning artiklitega 94a–94d õiguslik alus selleks: edastamine kaitse piisavuse otsuse alusel (art 94a), edastamine asjakohaste kaitsemeetmete olemasolul (art 94b), erandid eriolukordade tarbeks (art 94c) ja andmete edastamine otse kolmandas riigis asuvale vastuvõtjale (art 94d). Muudatusega viiakse regulatsioon kooskõlla direktiiviga (EL) 2016/680 ning luuakse kõikidele õiguskaitseasutustele ühtne ja selge rahvusvahelise andmeedastuse süsteem. Muudatusega 13 ühtlustatakse Euroopa Andmekaitseinspektori järelevalvevolitused (uus artikkel 95a). Kehtiva regulatsiooni kohaselt kohalduvad Europoli, Eurojusti, Euroopa Prokuratuuri ja teiste asutuste suhtes erinevad järelevalvevolitused ning osa volitusi on reguleeritud üksnes asutamismäärustes. Muudatusega lisatakse määrusesse uus ühtne järelevalveraamistik, mis annab Euroopa Andmekaitseinspektorile kõikide asjaomaste ELi organite suhtes samalaadsed uurimis-, ettekirjutus-, piirangu- ja trahvimisvolitused, et tagada kogu ELi õiguskaitse- ja kriminaalõiguse valdkonnas järjepidev, tõhus ja võrreldav järelevalve. Komisjoni algatus on kooskõlas Eesti Vabariigi Põhiseadusega (edaspidi PS)4, eelkõige §-dega 11, 13, 14, 26 ja 44. Muudatuste eesmärk on ühtlustada ja täpsustada Euroopa Liidu institutsioonides, organites ja asutustes kohaldatavaid andmekaitsenorme, tugevdada järelevalvet ning suurendada andmetöötluse läbipaistvust ja õigusselgust. Eelnõuga ei looda uusi ulatuslikke isikuandmete töötlemise volitusi, vaid kehtestatakse täiendavad kaitsemeetmed, täpsustatakse olemasolevaid nõudeid ning parandatakse põhiõiguste kaitse tagamise mehhanisme. Seetõttu ei ole muudatustel negatiivset mõju põhiseadusest tulenevale eraelu puutumatuse õigusele ega õigusele saada teavet enda kohta kogutud andmete kohta. 4 Eesti Vabariigi Põhiseadus - RT I, 11.04.2025, 2. 5 Algatus on seotud EL isikuandmete kaitse üldmäärusega 5 EL õiguskaitseasutuste andmekaitsedirektiiviga 6 ning Europoli 7, Eurojusti 8, Euroopa Prokuratuuri 9 ja Frontexi 10 alusmäärustega. Samuti on algatus seotud hetkel menetluses oleva digivaldkonna koondettepanekuga, millega juba osaliselt EUDPRi muudetakse, kuid millest Euroopa Komisjon jättis sihilikult välja käesoleva algatuse muudatused. Algatuse rakendamiseks ei ole vaja kehtestada või muuta riigisiseseid õigusakte – tegu on otsekohalduva määrusega, milles reguleeritakse EL institutsioonide, asutuste ja organite tööd. 3.1. Õiguslik alus Eelnõu õiguslik alus on Euroopa Liidu toimimise lepingu (ELTL) artikli 16 lõige 2, mis annab Euroopa Parlamendile ja nõukogule pädevuse kehtestada norme füüsiliste isikute kaitseks isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning norme isikuandmete vabaks liikumiseks. Komisjoni seletuskirja kohaselt põhineb eelnõu just sellel sättel, kuna muudatused käsitlevad ELi institutsioonides, organites ja asutustes toimuva isikuandmete töötlemise regulatsiooni ning selle ühtlustamist. 3.2. Subsidiaarsus ja proportsionaalsus Eelnõu on välja töötatud liidu ainupädevusse kuuluvas valdkonnas. Subsidiaarsuse põhimõtet seetõttu ei kohaldata. Nõustume eelnõus esile tooduga, et määruse eesmärkide saavutamiseks on oluline ELi ühtne lähenemine. Kehtiva EUDPRiga on kehtestatud ühised andmekaitsenõuded, mida rakendavad EL institutsioonid, organid ja asutused. Kuna kehtivas õigusraamistikus on Euroopa Liidu institutsioonides, organites ja asutustes kohaldatavate andmekaitsenormid killustatud, siis on andmekaitseraamistiku ühetaoliseks toimimiseks ainuvõimalik võtta ühised meetmeid. Käesolev algatus ei lähe nende eesmärkide saavutamiseks vajalikust kaugemale. 4. Esialgse mõjude analüüsi kokkuvõte Eelnõuga ei kaasnenud Euroopa Komisjoni poolset mõjuhinnangut, seega ei ole võimalik Eestil valideerida, kas kaasnevad kulud ja kasu on Eesti kontekstis asjakohased. Euroopa Komisjon on küll välja toonud, et muudatused on peamiselt tehnilist laadi ning neil puudub oluline majanduslik, 5 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1–88). 6 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk. 89–131). 7 Euroopa Parlamendi ja nõukogu 11. mai 2016. aasta määrus (EL) 2016/794, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused 2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT L 135, 24.5.2016, lk. 53–114). 8 Euroopa Parlamendi ja nõukogu 14. novembri 2018. aasta määrus (EL) 2018/1727 Euroopa Liidu Kriminaalõigusalase Koostöö Ameti (Eurojust) kohta ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsus 2002/187/JSK (ELT L 295, 21.11.2018, lk. 138–183). 9 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk. 1–71). 10 Euroopa Parlamendi ja nõukogu 13. november 2019. aasta määrus (EL) 2019/1896, mis käsitleb Euroopa piiri- ja rannikuvalvet ning millega tunnistatakse kehtetuks määrused (EL) nr 1052/2013 ning (EL) 2016/1624 (ELT L 295, , lk. 1–131). 6 sotsiaalne või keskkonnamõju. Esialgse hinnangu kohaselt toob algatus kaasa mõjud järgnevates valdkondades. 4.1. Mõju andmekaitsele ja põhiõigustele Eelnõu peamine mõju avaldub eraelu puutumatuse ja isikuandmete kaitse valdkonnas. Õiguskaitse- ja kriminaalõiguse valdkonnas tegutsevatele ELi asutustele kohaldatavate normide ühtlustamine suurendab õiguskindlust, parandab järelevalvet ning tugevdab andmesubjektide õiguste kaitset. Täiendavad nõuded töötlemistoimingute dokumenteerimisele, logimisele ja rahvusvahelistele andmeedastustele suurendavad andmetöötluse läbipaistvust ja kontrollitavust. 4.2. Mõju ELi institutsioonidele ja asutustele Europolile, Eurojustile, Frontexile ja Euroopa Prokuratuurile kaasneb vajadus viia sisemised protsessid, andmekaitsekorraldus ja dokumentatsioon vastavusse uute nõuetega. Eelkõige puudutab see töötlemistoimingute registrite pidamist, rahvusvaheliste andmeedastuste dokumenteerimist ning Euroopa Andmekaitseinspektori laiendatud järelevalvevolitustega arvestamist. Samas peaks ühtsem regulatsioon pikemas perspektiivis vähendama õiguslikust killustatusest tulenevat halduskoormust. 4.3. Mõju halduskoormusele Lühiajaliselt võib mõnele EL asutusele kaasneda täiendav halduskoormus uute registrite loomise, dokumenteerimisnõuete täitmise ja sisemenetluste uuendamise tõttu. Pikas perspektiivis on aga eesmärk vähendada erinevate ja kattuvate andmekaitsenormide kohaldamisest tulenevat keerukust ning lihtsustada nõuete täitmist. Komisjon leiab, et muudatused aitavad vähendada nõuete täitmisega seotud kulusid ja halduskoormust. Riigisiseselt halduskoormuse kasvu ette näha ei ole, kuna riigisiseseid norme, mis reguleerivad liikmesriikide asutuste tööd, ei muudeta. 4.4. Mõju õiguskaitse- ja kriminaalõigusalasele koostööle Ühtsem andmekaitseraamistik peaks hõlbustama andmete vahetamist ELi õiguskaitse- ja kriminaalõigusasutuste vahel ning parandama nende koostalitlusvõimet. Samuti loob eelnõu selgemad alused rahvusvahelisteks andmeedastusteks ja asutustevaheliseks koostööks. 4.5. Majanduslik, sotsiaalne ja keskkonnamõju Komisjon on leidnud, et eelnõul puudub oluline majanduslik, sotsiaalne või keskkonnamõju. Võib nõustuda komisjoni hinnanguga, et muudatused ei mõjuta ettevõtjate tegevust ega liikmesriikide elanike õigusi ulatuses, mis tooks kaasa otseseid majanduslikke või sotsiaalseid tagajärgi. Samuti ei kaasne eelnõuga mõju keskkonnale. 4.6. Mõju Eesti õigusele ja asutustele Kuna tegemist on vahetult kohaldatava ELi määruse muudatusega, ei kaasne sellega vajadust muuta Eesti õigust. Samuti ei reguleeri eelnõu Eesti asutuste andmetöötlust, vaid Euroopa Liidu institutsioonide, organite ja asutuste tegevust. Kaudne positiivne mõju võib avalduda senisest selgema ja ühtlasema koostööraamistiku kaudu olukordades, kus Eesti pädevad asutused vahetavad andmeid Europoli, Eurojusti, Frontexi või Euroopa Prokuratuuriga. 7 5. Eesti seisukohad 5.1. Eesti toetab ELi õiguskaitse- ja kriminaalõiguse valdkonna asutustele ühtsete andmekaitsereeglite kehtestamist ning ELi andmekaitsemääruse (EL 2018/1725) kohaldamisala laiendamist Euroopa Prokuratuurile (EPPO). ELi õiguskaitse- ja kriminaalõiguse valdkonna asutuste ja organite andmekaitsekord peab olema üldjuhul reguleeritud ELi andmekaitsemäärusega, kuid võimalusega kehtestada nende asutuste ja organite asutamismäärustes tegevuse eripärast tulenevaid vajalikke erinorme. Eesti toetab EUDPRi IX peatüki kohaldamisala laiendamist Euroopa Prokuratuurile (EPPO), kuna see aitab kõrvaldada EL-i õiguskaitse- ja kriminaalõiguse valdkonnas kehtiva andmekaitseraamistiku killustatust. Kehtiva korra kohaselt kohaldatakse Europolile, Eurojustile ja teistele asjaomastele asutustele valdavalt EUDPRi IX peatükki, samas kui Euroopa Prokuratuuri andmekaitsekord tuleneb peamiselt tema asutamismäärusest. Selline olukord on tekitanud erinevusi nii andmekaitsenormide sõnastuses kui ka nende kohaldamises ning vähendanud õigusselgust. Kavandatav muudatus võimaldab koondada ühised andmekaitsenormid ühte õigusakti ning tagab, et kõikide EL-i õiguskaitse- ja kriminaalõiguse valdkonna asutuste suhtes kohaldatakse võimalikult ühtseid reegleid. See lihtsustab normide rakendamist, hõlbustab asutustevahelist koostööd ja andmevahetust ning suurendab andmesubjektide jaoks õiguskindlust, säilitades samal ajal võimaluse jätta Euroopa Prokuratuuri, aga ka teiste EL-i õiguskaitse ja kriminaalõiguse valdkonnas tegutsevate asutuste asutamismäärustesse nende tegevuse eripärast tulenevad vajalikud erisätted. 5.2. Eesti toetab Euroopa Andmekaitseinspektori trahvimisõiguse laiendamist, et ta saaks õiguse määrata haldustrahve ka liidu organites ja asutustes kasutatavate isikuandmete (operational data) töötlemise rikkumise eest. See aitab ühtlustada ELi andmekaitsemääruse kohaldamist, tugevdab järelevalvet ja tagab, et sarnastele rikkumistele järgnevad võrreldavad tagajärjed. Eesti toetab muudatust, mille kohaselt laieneb Euroopa Andmekaitseinspektori (EDPS) õigus määrata haldustrahve ka kasutatavate isikuandmete töötlemisele EL-i organites ja asutustes. Praegu on EDPS-i järelevalve- ja sanktsioonivolitused erinevate asutuste ja andmeliikide suhtes reguleeritud erinevalt, mis võib põhjustada ebajärjekindlust ning vähendada järelevalve tõhusust. Trahvimisõiguse laiendamine aitab tagada, et andmekaitsenõuete rikkumisel oleksid kõikide asjaomaste asutuste suhtes võrreldavad tagajärjed ning et järelevalveorgan saaks kasutada samaväärseid meetmeid sõltumata sellest, milline EL-i asutus andmeid töötleb. Eesti hinnangul suurendab see andmekaitsenormide tegelikku täitmist, tugevdab vastutavuspõhimõtte rakendamist ning aitab kaasa õigusselgele ja ühetaolisele järelevalvesüsteemile kogu EL-i institutsioonilises raamistikus. 5.3. Eesti toetab ELi õiguskaitse- ja kriminaalõiguse valdkonna asutuste rahvusvahelise andmeedastuse regulatsiooni ümberkujundamist, et viia see kooskõlla õiguskaitseasutuste andmekaitsedirektiiviga (EL 2016/680) ning tagada ühtsed reeglid kõigile asjaomastele EL-i asutustele. Eesti leiab, et erandid andmeedastuse üldreeglist peavad olema piiritletud ja kontrollitavad. Eesti peab asjakohaseks anda EL õiguskaitse- ja kriminaalõiguse valdkonna asutustele õiguse edastada andmeid Schengeni alaga assotsieerunud riikidele. Positiivne on see, et eelnõu täpsustab kaitse piisavuse otsuste, asjakohaste kaitsemeetmete ja erandite kohaldamise tingimusi ning loob selgema õigusliku aluse andmete edastamiseks kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Eesti toetab ka artikli 94 lõikes 4 ette nähtud kiireloomulise juhu erandit, mis võimaldab erandkorras andmeid edastada enne eelneva loa saamist olukordades, kus viivitus võib kahjustada avalikku julgeolekut või muid olulisi 8 huve, ning artikliga 94d ette nähtud võimalust edastada kasutatavaid isikuandmeid otse kolmandas riigis asuvatele vastuvõtjatele. Samas peab Eesti oluliseks, et neid erandeid kohaldataks kitsalt ja üksnes tõeliselt erandlikes olukordades. Andmeedastus peab olema rangelt vajalik vastutava töötleja ülesannete täitmiseks, selle põhjendused peavad olema nõuetekohaselt dokumenteeritud ning Euroopa Andmekaitseinspektoril peab olema võimalik hiljem kontrollida, kas erandite kasutamine oli õiguspärane ja proportsionaalne. Sellised tagatised on vajalikud, et säilitada kõrgetasemeline põhiõiguste kaitse ka kiireloomulistes olukordades. On asjakohane, et vastutav töötleja võib edastada kasutatavaid isikuandmeid selle riigi pädevale asutusele, kes on ühinenud Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega ning kes on rakendanud direktiivi (EL) 2016/680 sätted ja direktiivi (EL) 2023/97711 teabevahetust käsitlevad sätted ning neid tegelikult kohaldab. See võimaldab Schengeni ala paremat toimimist. 5.4. Eesti peab oluliseks, et eelnõus kavandatud andmetele juurdepääsuõigust ning isikuandmetega seotud rikkumistest teavitamise tähtaegu ja künnist puudutavad muudatused ei nõrgenda põhjendamatult andmesubjektide õiguste kaitse taset ning on kooskõlas ELi digivaldkonna koondpaketi vastavate muudatustega. Eesti toetab ELi andmekaitsemääruse artikli 78 täpsustamist osas, mis käsitleb ilmselgelt põhjendamatuid või ülemääraseid andmetega tutvumise taotlusi, kuna see aitab vähendada õiguslikku ebakindlust ja põhjendamatut halduskoormust ning on kooskõlas Euroopa Kohtu hiljutise praktikaga, sealhulgas kohtuasjaga C-526/24 Brillen Rottler. Samas ei toeta Eesti lahendust, mille kohaselt võiks andmesubjekti õiguse kasutamist lugeda kuritarvituseks üksnes seetõttu, et isik kasutab andmetega tutvumise õigust muul eesmärgil kui oma andmete kaitseks. Juurdepääsuõigust kasutatakse praktikas sageli ka muude õiguste teostamiseks, näiteks kohtuvaidluse ettevalmistamiseks, avaliku võimu tegevuse kontrollimiseks või tõendite kogumiseks, ning selliste eesmärkide automaatne käsitamine kuritarvitusena võib põhjendamatult piirata andmesubjektide õigusi. Eesti on sama seisukohta väljendanud ka digivaldkonna muudatusettepanekute juures: andmesubjekt ei peaks vastutavale töötlejale avaldama, millisel eesmärgil ta saadud teavet kavatseb kasutada, ning vastutaval töötlejal puudub tegelik võimalus seda kontrollida. Seetõttu peaks kuritarvituse hindamine põhinema konkreetse juhtumi asjaoludel, mitte üksnes andmesubjekti eesmärgil. Samuti ei toeta Eesti eelnõu punktiga 10 kavandatud isikuandmetega seotud rikkumistest teatamise tähtaja pikendamist 72 tunnilt 96 tunnile ega teatamiskünnise tõstmist selliselt, et teavitamiskohustus tekiks üksnes siis, kui rikkumine võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele. Kiire rikkumisest teatamine on andmesubjektide õiguste tõhusa kaitse seisukohalt oluline ning eelnõu seletuskirjas ei ole piisavalt põhjendatud, miks senine 72 tunni tähtaeg ei ole enam sobiv või milliseid praktilisi probleeme kavandatav muudatus lahendab. Eesti peab vajalikuks, et ka selles küsimuses järgitaks sama lähenemist, mida Eesti on toetanud digiomnibussi aruteludes: järelevalveasutusi tuleb teavitada ka olukordades, kus korduvad või omavahel kombineeruvad väikese riskiga rikkumised võivad kokkuvõttes avaldada isikutele olulisemat mõju. Seetõttu peaksid eelnõu muudatused olema sisuliselt kooskõlas digivaldkonna koondpaketis kujundatava lahendusega ning vältima andmesubjektide õiguste kaitse taseme põhjendamatut nõrgendamist. 6. Arvamuse saamine ning seisukohtade kooskõlastamine 11 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2023/977, 10. mai 2023, mis käsitleb liikmesriikide õiguskaitseasutuste vahelist teabevahetust ja millega tunnistatakse kehtetuks nõukogu raamotsus 2006/960/JSK 9 Justiits- ja Digiministeerium on seisukohtade ettevalmistamisel küsinud sisendit Siseministeeriumilt ja Välisministeeriumilt, Eesti Advokatuurilt, Riigiprokuratuurilt, Andmekaitse Inspektsioonilt, Tallinna Ringkonnakohtult, Harju Maakohtult, Pärnu Maakohtult, Tartu Maakohtult, Viru Maakohtult, Tallinna Halduskohtult, Tartu Halduskohtult, Tartu Ringkonnakohtult, Riigikohtult, Õiguskantsleri Kantseleilt, Tartu Ülikooli õigusteaduskonnalt, Tallinna Ülikooli Ühiskonnateaduste Instituudilt, Tallinna Tehnikaülikooli sotsiaalteaduskonnalt, Inimõiguste Instituudilt, Eesti Juristide Liidult ja Sisekaitseakadeemialt. Arvamuse saatsid Andmekaitse Inspektsioon, Riigiprokuratuur ja Siseministeerium. Riigikohus ja Sisekaitseakadeemia andsid märku, et võtsid eelnõu teadmiseks. . Saabunud sisendid on esitatud kaasamistabelis (lisa 1) ning saabunud ettepanekutega on võimaluse korral arvestatud. Ministeeriumid on seisukohad kooskõlastanud EL koordinatsioonikogus. 10  Seletuskirja lisa 1. Kaasamistabel Kaasamistabel - EL institutsioonide andmekaitse määruse muutmise eelnõu Nr Partner Märkus, ettepanek või kommentaar Arvestamine/ Osaline arvestamine/ Mittearvestamine/ Teadmiseks võtmine 1. Riigikohus Täname võimaluse eest avaldada arvamust EUDPR muudatusettepaneku Teadmiseks võtmine kohta. Riigikohus võtab need teadmiseks ja ei soovi avaldada arvamust nende kohta. 2. Riigiprokuratuur Prokuratuur tänab võimaluse eest anda arvamus Euroopa Parlamendi ja Arvestatud. JDM on nõukogu määruse (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset hinnanud muudatuste isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning mõju halduskoormusele. isikuandmete vaba liikumist, muutmise eelnõule. Prokuratuur tervitab eelnõu eesmärki ühtlustada õiguskaitse- ja kriminaalmenetluse valdkonnas tegutsevate Euroopa Liidu asutuste isikuandmete kaitse reegleid, vähendada killustatust ning suurendada õiguskindlust. Kuivõrd regulatsioon hõlmab andmekogusid ja teavitamiskohustusi, palub prokuratuur Justiits- ja Digiministeeriumil hinnata, kas määrusest tulenevate nõuete täitmine suurendab halduskoormust ning loob vajaduse täiendava tööjõu värbamiseks. Prokuratuur toetab Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 muutmise eelnõud ning sellega kohaldatava andmekaitseraamistiku lihtsustamist ja selle järjepidevuse tagamist, eelkõige ühtlustades asjakohaseid norme ELi organite ja asutuste lõikes. 1  Seletuskirja lisa 1. Kaasamistabel 3. Andmekaitse Inspektsioon Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse Teadmiseks võetud. avaldamiseks EL institutsioonide ja asutuste andmekaitsemääruse muudatused. Andmekaitse Inspektsioon toetab Euroopa Komisjoni ettepanekut ühtlustada ja ajakohastada EL i institutsioonide, organite ja asutuste andmekaitseraamistikku. Killustatuse vähendamine, õiguskindluse suurendamine ning järelevalve ühtlustamine on vajalikud ja proportsionaalsed eesmärgid. AKI peab määruse kohaldamisala laiendamist Euroopa Prokuratuurile Arvestatud (EPPO) tervitatavaks. See muudatus kõrvaldab senise õigusliku killustatuse, mis tulenes EPPO eraldiseisvast andmekaitsekorrast, ning tagab ühtse ja järjepideva raamistikku kõigi EL-i kriminaalõiguse ja õiguskaitse valdkonna asutuste jaoks Muudatus millega Euroopa Andmekaitseinspektori (EDPS-i) õigus määrata Arvestatud haldustrahve laieneb kasutatavate isikuandmete töötlemisele liidu organites ja asutustes on tervitatav, kuna see ühtlustab EUDPR-i kohaldamist, tugevdab järelevalve tõhusust ning tagab järjepidevuse EUDPR-i kohaldamisel. Lisaks toetab AKI muudatust, millega täpsustatakse artiklis 78 „selgelt Arvestatud. põhjendamatu või ülemäärase“ andmetega tutvumise taotluse mõistet. See muudatus on kooskõlas EL-i uuema kohtupraktikaga (C-526/24 Brillen Rottler, Euroopa Kohtu 19. märtsi 2026 otsus) ja digivaldkonna koondpaketi põhimõtetega, ning vähendab andmetöötlejate halduskoormust. Ettepaneku lõikega 10 tahetakse andmetega seotud rikkumisest teatamise Arvestatud. tähtaega pikendada 72 tunnilt 96 tunnile, ning tõsta teatamiskünnist. Ettepanekus on teavitamine nõutav üksnes juhul, kui rikkumine „võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele“. AKI palub Euroopa Komisjonilt täiendavaid selgitusi teatamise tähtaja muudatuse kohta. Kiire reageerimine andmetöötleja poolt 2  Seletuskirja lisa 1. Kaasamistabel on andmesubjektide õiguste kaitse seisukohalt võtmetähtsusega, mistõttu tähtaegade pikendamine vajab sisulist põhjendust. Lõigetega 11 ja 12 tutvustatakse muudatusi andmete edastamisel Arvestatud. kolmandatele riikidele. Toetame muudatusi, mis ühtlustavad rahvusvahelise edastamise raamistikku, täpsustavad kaitse piisavuse otsuste, asjakohaste kaitsemeetmete ja erandite kohaldamist, ning lisavad kiireloomulise juhu erandi (art 94(4)), mis võimaldab edastada andmeid ilma eelneva loata. Mis puudutab kiireloomulise juhu erandit, on see AKI poolt vastuvõetav kui seda kohaldatakse kitsalt ning vastavalt tingimustele, et edastamine on rangelt vajalik vastutava töötleja ülesannete täitmiseks, edastamine on dokumenteeritud, ning et EDPS-il on võimalik tagantjärgi kontrollida edastamise seaduslikkust. Muudatusel on potentsiaal parandada õigusalast koostööd EL-i organite ja kolmandate riikide asutuste vahel, eriti olukordades, kus koostööraamistikud puuduvad või on ebapiisavad. Viimaseks täheldab AKI muudatust, millega lisatakse artikkel 95a(5), mis Arvestatud. kohustab EDPSi jagama oma iga-aastast järelevalvearuannet riiklike järelevalveasutustega arvamuse avaldamiseks enne aruande vastuvõtmist. AKI tervitab võimalust esitada EDPS-ile tähelepanekuid ja panustada EL-i tasandil järelevalve ühtlustamisse. 4. Sisekaitseakadeemia Sisekaitseakadeemia toetab Euroopa Parlamendi ja nõukogu määruse (EL) Teadmiseks võetud. 2018/1725 muutmise eelnõud ning sellega kohaldatava andmekaitseraamistiku lihtsustamist ja selle järjepidevuse tagamist, eelkõige ühtlustades asjakohaseid norme ELi organite ja asutuste lõikes. Akadeemial ettepanekuid eelnõu osas ei ole ja ametlikku vastuskirja ei saada. 5. Siseministeerium Tulenevalt Riigikantselei resolutsioonist 2-5/26-01451 edastab Arvestatud Siseministeerium arvamuse Justiits- ja Digiministeeriumile seoses Euroopa Liidu (edaspidi EL) määruse eelnõuga, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, COM(2026) 314. 3  Seletuskirja lisa 1. Kaasamistabel Siseministeerium toetab esitatud algatust. Meie hinnangul on iga andmekaitseline meede ning selle edasiarendus positiivne samm kodanike turvalisuse ja seeläbi ka liikmesriigi julgeoleku tagamisel. Siseministeeriumi hinnangul käesoleva määruse ettepanekuga haldusalale olulisi mõjusid ei kaasne. Eesti toetab kolmandatesse riikidesse andmete edastamise reeglite ühtlustamist ning peab oluliseks, et Euroopa Komisjon jätkaks strateegiliste partnerite suhtes piisavusotsuste vastuvõtmist ja ajakohastamist, vähendades seeläbi liikmesriikide halduskoormust. Andmekaitseraamistiku ühtlustamine pigem parandab operatiivkoostööd. Kui praegu toimub operatiivse isikuandmete töötlemise koostöö erinevate EL asutustega erinevatel õiguslikel alustel, siis eelnõu eesmärk on koondada ühised andmekaitsemehhanismid ühte raamistikku. Ühtlustamine suurendab õigusselgust ning vähendab vajadust iga EL asutuse puhul eraldi andmekaitserežiimi analüüsida. Eelnõu logimisnõuded ei näi sisuliselt ületavat õiguskaitseasutuste direktiivis (EL) 2016/680 sätestatud nõudeid. Praeguses etapis ei ole põhjust eeldada Eesti õiguskaitseasutuste infosüsteemides täiendavate logimisfunktsioonide loomise või laiaulatuslike IT-arenduste vajadust. Võimalik mõju võib avalduda üksnes juhul, kui EL asutuste või EDPS-i tulevane rakenduspraktika hakkab eeldama senisest detailsemat audititõendust või aruandlust. Tuleb tähele panna, et Eesti julgeolekuasutused tegutsevad osaliselt väljaspool EL õiguskaitsekoostöö tavapärast raamistikku. EL andmekaitseõigus ei reguleeri liikmesriikide riikliku julgeoleku tuumikfunktsioone samas ulatuses. Seetõttu ei too eelnõu tõenäoliselt kaasa olulisi muudatusi julgeolekuasutuste seaduses ega andmekogude pidamises. 4  Seletuskirja lisa 1. Kaasamistabel Üldjoontes saab toetada eelnõu eesmärki vähendada andmekaitsereeglite killustatust ELi õiguskaitse- ja piirihaldusasutuste vahel ning suurendada õigusselgust operatiivsete isikuandmete töötlemisel. 5