Kiri

EUROOPA KOMISJON Brüssel, 19.11.2025 COM(2025) 837 final 2025/0360 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett) {SWD(2025) 836 final} ET ET  SELETUSKIRI 1. ETTEPANEKU TAUST • Ettepaneku põhjused ja eesmärgid Komisjon esitas teatises rakendamise ja lihtsustamise kohta („Lihtsam ja kiirem Euroopa“)1 oma lähenemisviisi liidu õigusraamistiku kohandamiseks üha muutlikumale maailmale, nähes ette liidu aquis’ uue hooga lihtsustamise, selgitamise ja täiustamise kui olulise meetme, mis toetab liidu konkurentsivõimet. See visioon vastab ulatuslikumale kavale, mille komisjoni president von der Leyen esitas oma poliitilistes suunistes aastateks 2024–20292. Nagu on rõhutatud nii Draghi3 kui ka Letta4 aruandes, on õigusnormide kuhjumine avaldanud mõnel juhul negatiivset mõju konkurentsivõimele. Inimesed ja ettevõtted vajavad kiiret ja nähtavat paranemist, mis saavutatakse liidu õigusnormide kulutõhusama ja innovatsioonisõbralikuma rakendamisega, säilitades samal ajal kõrged standardid ja kokkulepitud eesmärgid. Euroopa Ülemkogu 20. märtsi 2025. aasta järeldustes kutsuti komisjoni üles „jätkama ELi õigustiku läbivaatamist ja stressitestimist, et teha kindlaks viisid kehtivate õigusaktide edasiseks lihtsustamiseks ja konsolideerimiseks“5. Samuti rõhutati, et on vaja tegeleda uute lihtsustamisalgatustega. Oma 26. juuni järeldustes rõhutas Euroopa Ülemkogu „lõimitud lihtsuse“ põhimõtte tähtsust õigusaktides, „kahjustamata prognoositavust, poliitikaeesmärke ja kõrgeid standardeid“6. Euroopa Ülemkogu 23. oktoobri 2025. aasta järeldustes kinnitati taas „pakilist vajadust edendada ambitsioonikat ja horisontaalselt juhitud lihtsustamise ja parema õigusloome tegevuskava kõigil tasanditel – ELi, riiklikul ja piirkondlikul tasandil – ning kõigis valdkondades, eesmärgiga tagada Euroopa konkurentsivõime“. Samuti kutsuti komisjoni üles „esitama kiiresti täiendavaid ambitsioonikaid lihtsustamispakette, muu hulgas [...] digiküsimuste [...] valdkonnas“7. Euroopa Parlament rõhutas oma resolutsioonis „ELi siseturureeglite rakendamise ja ühtlustamise kohta siseturu tugevdamiseks“, mille üle hääletati 11. septembril täiskogu istungil,8 vajadust lihtsustada õigusnorme, et ettevõtjatel oleks lihtsam nõudeid täita, kahjustamata seejuures ELi peamisi poliitikaeesmärke. 1 Komisjoni teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele „Lihtsam ja kiirem Euroopa: teatis rakendamise ja lihtsustamise kohta“ (COM(2025) 47 final, 11. veebruar 2025). 2 Von der Leyen, U. (2024), „Euroopa valik. Poliitilised suunised järgmisele Euroopa Komisjonile (2024– 2029)“. Kättesaadav aadressil: e6cd4328-673c-4e7a-8683-f63ffb2cf648_et. 3 Draghi, M. (2024), „The future of European competitiveness“ (Euroopa konkurentsivõime tulevik). Kättesaadav aadressil: Draghi aruanne ELi konkurentsivõime kohta. 4 Letta, E. (2024), „Much more than a market“ (Palju enamat kui turg). Kättesaadav aadressil: Enrico Letta, „Much more than a market“ (aprill 2024). 5 Euroopa Ülemkogu järeldused, EUCO 1/25, Brüssel, 20. märts 2025, punkt 13. 6 Euroopa Ülemkogu järeldused, EUCO 12/25, Brüssel, 26. juuni 2025, punkt 30. 7 Euroopa Ülemkogu järeldused, EUCO 18/25, Brüssel, 23. oktoober 2025, punktid 33 ja 35. 8 Euroopa Parlamendi resolutsioon „ELi siseturureeglite rakendamise ja ühtlustamise kohta siseturu tugevdamiseks“, 11. september 2025 (2025/2009/INI). ET 1 ET  Lihtsustamiskavaga seoses toimunud komisjoni konsultatsioonide ja kaasamistegevuste käigus on erinevaid huve esindavad sidusrühmad kutsunud üles tegema sihipäraseid muudatusi teatavatesse digivaldkonna normidesse, et optimeerida nõuete täitmisega seotud kulusid ja täpsustada õigusnormide vastastikust mõju oma sektoris. 2022. aastal oli IKT-sektori lisaväärtus Euroopa Liidus 791 miljardit eurot9 ning see sektor täidab nii digiettevõtete kasvu kui ka oluliste digilahenduste pakkumise kaudu olulist rolli ELi konkurentsivõime edendamisel kõigis majandussektorites. Digivaldkonna normid on aidanud kujundada õiglast ettevõtluskeskkonda ELis. Nende abil on loodud digiteenuste jaoks tõeliselt ühtne turg. EL on olnud digivaldkonna reguleerimisel esirinnas ning kujunenud põhiõiguste, tarbijaohutuse ja Euroopa väärtuste kõrgeimal tasemel kaitse etaloniks. Komisjon on võtnud kohustuse viia oma praeguse ametiaja jooksul läbi digivaldkonda käsitlevate õigusnormide põhjalik stressitest. Eesmärk on väga selge: tagada, et õigusnormid on jätkuvalt sobivad innovatsiooni ja majanduskasvu toetamiseks, täidavad oma eesmärke ja on konkurentsivõime tõukejõuks. Komisjon püüab selle protsessi vältel pakkuda veenvaid lahendusi, et lihtsustada ja täpsustada õigusnorme ning parandada nende tõhusust ja täitmise tagamist kõigi kättesaadavate vahendite abil, olgu selleks siis õigusnormide kohandused, asutustevahelise koostöö tõhustamine, lõimituse abil õigusnormidele vastavust lihtsustavate digilahenduste edendamine või muud toetavad meetmed. Digivaldkonna koondpaketi ettepanek on esimene samm digivaldkonda käsitlevate õigusnormide kohaldamise optimeerimiseks. Ettepanek hõlmab paljudesse digivaldkonda käsitlevatesse õigusaktidesse tehtavaid tehnilisi muudatusi, mis on valitud eesmärgiga pakkuda ettevõtetele, avalikele haldusasutustele ja kodanikele kiiret leevendust ning stimuleerida konkurentsivõimet. Lähieesmärk on tagada, et õigusnormide järgimine oleks odavam, võimaldaks saavutada samad eesmärgid ja annaks vastutustundlikele ettevõtetele konkurentsieelise. Muudatused seati tähtsuse järjekorda, tuginedes sidusrühmadega peetud konsultatsioonidele ja esimestele rakendamist käsitlevatele dialoogidele, mille viisid läbi juhtiv asepresident Henna Virkkunen ja volinik Michael McGrath. Seetõttu keskenduvad muudatused andmete kasutamise võimaluste ärakasutamisele, kuna andmed on ELi majanduse oluline ressurss, eelkõige pidades silmas usaldusväärsete tehisintellektilahenduste arendamise ja ELi turul kasutamise toetamist. Andmekaitset ja eraelu puutumatust käsitlevate õigusnormide sihipärased muudatused toetavad seda eesmärki ning pakuvad ettevõtetele ja üksikisikutele viivitamatuid lihtsustamismeetmeid, mis tugevdaksid nende võimet oma õigusi teostada. Lisaks sellele on digivaldkonna koondpaketti kuuluva eraldi õigusakti ettepanekus esitatud määruse (EL) 2024/1689 (tehisintellektimäärus10) muudatuste eesmärk hõlbustada tehisintellekti ohutut ja usaldusväärset arendamist ja kasutamist reguleerivate õigusnormide sujuvat ja tulemuslikku kohaldamist. 9 Eurostat (2025), Statistics explained: ICT sector – value added, employment and R&D. Kättesaadav aadressil: ICT sector – value added, employment and R&D – Statistics Explained – Eurostat. 10 Vastavalt eraldi õigusakti ettepanekule. ET 2 ET  Samuti on digivaldkonna koondpaketis kavandatud väga selge lahendus küberintsidentidest teatamise lihtsustamiseks, koondades kõik asjaomased aruandluskohustused ühe teavitamismehhanismi alla. Ettepanekuga tunnistatakse kehtetuks platvormide reguleerimise valdkonna aegunud õigusnormid, mis on asendatud uuemate õigusnormidega. Muudatuste eesmärk on õigusnorme lihtsustada, vähendades õigusaktide arvu ja ühtlustades sätteid. Sätete ja menetluste lihtsustamisega vähendatakse halduskulusid. Lisaks väikestele ja mikroettevõtjatele, kelle suhtes juba kehtib erirežiim, vabastatakse teatavatest andmevaldkonna õigusaktidega ja määrusega (EL) 2024/1689 (tehisintellekti käsitlev määrus11) ette nähtud kohustustest väikesed keskmise turukapitalisatsiooniga ettevõtjad. Samuti soodustavad muudatused dünaamilise ärikeskkonna tekkimist, luues suurema õiguskindluse ja rohkem võimalusi, eelkõige seoses andmete jagamise ja taaskasutamise, isikuandmete töötlemise ja tehisintellektisüsteemide ja -mudelite treenimisega. Samal ajal on kavandatavad muudatused oma olemuselt tehnilised ja taotlevad õigusraamistiku kohandamist, mitte selle aluseks olevate eesmärkide muutmist. Meetmed on koostatud nii, et põhiõiguste kaitse standard jääks samaks. Koos digivaldkonna koondpaketiga esitab komisjon ka Euroopa ettevõtluskukru määruse ettepaneku, mis on õigusnormidele vastavuse lihtsustamise ja ettevõtete halduskoormuse vähendamise üks põhialgatusi. Ettevõtluskukkur kavandatakse ettevõtete jaoks turvalise digivahendina, mis toimib ühtse platvormina, et lihtsustada ettevõtjate tegevust kogu ELis. Kordumatu ja püsiva identifikaatori kasutamine võimaldab ettevõtetel ühe lahenduse abil digitaalselt identiteeti kontrollida, dokumente allkirjastada ning kontrollitud digiteavet ajatempliga varustada ja sujuvalt piiriüleselt vahetada. Euroopa ettevõtluskukru kasutuselevõtuga on äriühingutel, eriti VKEdel, võimalik hõlpsasti õigusnorme järgida, mis vabastab olulised ressursid, mida saab suunata kasvu ja innovatsiooni edendamiseks. Teise sammuna digivaldkonda käsitlevate õigusnormide „stressitesti“ läbiviimise kohustuse täitmisel viib komisjon läbi ka digitaalse toimivuse kontrolli. Kuigi digivaldkonna koondpaketi ettepanekud on kiireloomulised ja sihipärased, keskendub digitaalse toimivuse kontrolli raames tehtav komisjoni analüüs digivaldkonna normide kumulatiivsele mõjule, et kontrollida, kuidas need toetavad ELi konkurentsivõimet ja millistes valdkondades on vaja käesoleva ametiaja teises pooles kavandada täiendavaid kohandusi. Digitaalse toimivuse kontroll käivitatakse samal ajal koondpaketi ettepanekuga ja sellega kaasneb laiaulatuslik avalik konsulteerimine. Komisjon soovib kaasata kõik sidusrühmad ja korraldada laiaulatuslikud konsultatsioonid. Eesmärk on koostada ülevaade ja ulatuslikult kaardistada, kuidas on ELi strateegilised tööstussektorid digivaldkonda käsitlevate õigusnormidega kaetud, ning uurida, milline on õigusnormide kumulatiivne mõju nende sektorite konkurentsivõimele. Selle alusel analüüsitakse teises etapis põhjalikumalt koostoimet ja valdkondi, mida võiks veelgi ühtlustada, alates mõistetest ja õiguslikest 11 Vastavalt eraldi õigusakti ettepanekule. ET 3 ET  kontseptsioonidest kuni juhtimissüsteemide ja muude toetusmeetmete tõhususe ja vastastikuse mõjuni. Digiõigustiku „stressitest“ jätkub ka rakendamist käsitlevate dialoogide kaudu ning kõigi peamiste õigusaktide hindamisega. Praeguse kava kohaselt kavatseb komisjon lisaks muudele algatustele avaldada 2026. aastal digiturgude määruse, digikümnendi poliitikaprogrammi, kiibimääruse ja audiovisuaalmeedia teenuste direktiivi läbivaatamise ja autoriõiguse direktiivi hindamise. 2027. aastal on kavas hinnata muu hulgas kübersolidaarsuse määrust, avatud interneti määrust, küberturvalisuse 2. direktiivi ja digiteenuste määrust. 2028. aastal peaks komisjon hindama näiteks Euroopa meediavabaduse määrust ja andmemäärust, millele järgneb 2029. aastal tehisintellektimääruse hindamine ning küberturvalisuse valdkonna tööstuse, tehnoloogia ja teadusuuringute Euroopa pädevuskeskuse ning riiklike koordineerimiskeskuste võrgustiku loomise määruse aegumisklausli hindamine. Sidusrühmad on korduvalt rõhutanud, et sageli ei ole lihtsustamise eesmärk mitte niivõrd õigusnormide muutmine, kui pigem nende kohaldamise selgitamine. Komisjon seab esikohale rea suuniseid, mille eesmärk on toetada õigusnormide ühtset kohaldamist, ilma et see piiraks Euroopa Kohtu tõlgendusi. Komisjon teatas oma andmevaldkonna õigusraamistiku alastest prioriteetidest andmeliidu strateegias ning keskendub eelkõige mõistlikku hüvitist käsitlevatele suunistele, et täpsustada, millist tasu võib andmete jagamise eest küsida, et tagada õiguskindlus nii andmevaldajatele kui ka andmesaajatele, ning suunistele mõistete selgitamise kohta. Tehisintellektimääruse kohaldamise toetamiseks peab komisjon jätkuvalt prioriteetseks suuniste avaldamist mitme aspekti kohta, mida on täpsemalt kirjeldatud tehisintellektimäärust muutva digivaldkonna koondpaketi ettepaneku seletuskirjas. Digivaldkonna koondpaketi õigusaktide ettepanekud Andmealast õigustikku on viimastel aastatel laiendatud, nii et see hõlmab mitut õigusakti – sellega on loodud keeruline õiguslik olukord, sealhulgas mõned kattuvused, osaliselt ühtlustamata mõisted ja õigusaktide vastastikuse mõju probleemid. Eelkõige võeti vastu määrus (EL) 2018/1807 (isikustamata andmete vaba liikumise määrus), mille eesmärk oli luua pilvteenuste ühtne turg. See on osaliselt asendatud määruse (EL) 2023/2854 (andmemäärus) VI peatükiga, milles on sätestatud andmetöötlusteenuste vahetamisega seotud kohustused. Veel üks näide on määruse (EL) 2022/868 (andmehalduse määrus) II peatükk, mis täiendab direktiivis (EL) 2019/1024 (avaandmete direktiiv) sätestatud avaliku sektori teabe taaskasutamise õigusnorme andmete puhul, mida ei saa piiranguteta taaskasutada. Lisaks kehtestati määruse (EL) 2022/868 (andmehalduse määrus) teistes peatükkides õigusnormid, mis käsitlevad andmevahendusteenuseid, andmealtruismi ja välisriikide valitsuste taotlusi juurdepääsuks isikustamata andmetele, ning loodi Euroopa Andmeinnovatsiooninõukogu. Määrusega (EL) 2023/2854 (andmemäärus) kehtestati aga ühendatud seadmete tootjate ja seotud teenuste osutajate oluline kohustus jagada andmeid kasutajatega ja ettevõtete kohustus jagada andmeid valitsusasutustega, samuti kehtestati õigusnormid õiglaste andmejagamislepingute kohta. Selle probleemi lahendamiseks soovitatakse koondpaketi ettepanekus tunnistada kehtetuks aegunud õigusnormid, eelkõige määruse (EL) 2018/1807 (isikustamata andmete vaba liikumise määrus) kehtivad sätted, välja arvatud andmete asukoha nõuete keeld liidus, ning konsolideerida ja ühtlustada määruse (EL) 2022/868 (andmehalduse määrus) õigusnorme, ET 4 ET  näiteks andmealtruismi ja andmevahendusteenuseid käsitlevaid õigusnorme, et suurendada nende andmejagamismehhanismide atraktiivsust. Samal ajal ühendatakse andmehalduse määruse õigusnormid, mis käsitlevad kaitstud andmete taaskasutamist, direktiivi (EL) 2019/1024 (avaandmete direktiiv) õigusnormidega, et luua avaliku sektori asutuste valduses olevate andmete taaskasutamiseks ühtne raamistik, mis kajastub määruses (EL) 2023/2854 (andmemäärus). See lahendus toob palju kasu nii avaliku sektori andmeid valdavatele avalikele haldusasutustele kui ka andmete taaskasutajatele, kuna see võimaldab protsesse tõhustada ning vähendada erinevate riiklike õigusaktide tõlgendamise ja rakendamisega seotud halduskoormust. Ettepanekuga antakse avaliku sektori asutustele võimalus kehtestada erinevad tingimused ja nõuda andmete taaskasutamise eest suuremat tasu väga suurtelt ettevõtjatelt, eelkõige määruse (EL) 2022/1925 (digiturgude määrus) artiklis 3 määratletud pääsuvalitsejaks määratud ettevõtjatelt, kellel on siseturul oluline võim ja mõju. Vältimaks olukorda, kus kõnealused üksused kasutavad oma märkimisväärset turuvõimu viisil, mis kahjustab ausat konkurentsi ja innovatsiooni, peab avaliku sektori asutustel olema võimalik kehtestada eritingimused andmete ja dokumentide taaskasutamiseks selliste üksuste poolt. Ettepanekuga lisatakse määruse (EL) 2024/1689 (andmete vaba liikumise määrus), määruse (EL) 2022/868 (andmehalduse määrus) ja direktiivi (EL) 2019/1024 (avaandmete direktiiv) konsolideeritud ja ühtlustatud õigusnormid määrusesse (EL) 2023/2854 (andmemäärus), millega luuakse Euroopa andmemajanduse jaoks ühtne konsolideeritud õigusakt. Määrus (EL) 2024/1689 (andmete vaba liikumise määrus), direktiiv (EL) 2019/1024 (avaandmete direktiiv) ja määrus (EL) 2022/868 (andmehalduse määrus) tunnistatakse kehtetuks. Kõigis neljas õigusaktis sisalduvad õigusnormid viiakse paremini kooskõlla ja neid lihtsustatakse, et suurendada selgust ja järjepidevust, mis omakorda muudab need toimivamaks ja toetab ettevõtteid innovatsiooni edendamisel. See algatus on kooskõlas andmeliidu strateegiaga, mille põhieesmärk on lihtsustada õigusraamistikku. Selleks et väiksemaid ettevõtteid veelgi enam aidata, laiendatakse väikeste ja keskmise suurusega ettevõtjate (VKEde) jaoks ELi andmevaldkonna õigusaktide järgimist hõlbustavaid õigusnorme ka väikestele keskmise turukapitalisatsiooniga ettevõtjatele. Määrus (EL) 2023/2854 (andmemäärus), mida kohaldatakse alates 12. septembrist 2025, on oluline samm õiglase ja konkurentsivõimelise andmemajanduse suunas ELis. Käesolevas ettepanekus esitatud muudatuste eesmärk ei ole muuta määrusega (EL) 2023/2854 (andmemäärus) saavutatut. Selleks aga, et saavutada täielikult kõnealuse määruse eesmärk viia innovatsioon ja andmete kättesaadavus tasakaalu andmevaldajate õiguste ja huvide kaitsega, tuleb siiski täpsustada nelja olulist aspekti. Täpsemalt on äärmiselt tähtis tagada, et määrus (EL) 2023/2854 (andmemäärus) mitte ainult ei vähendaks koormust, vaid ka suurendaks õigusselgust ja edendaks konkurentsivõimet. Esiteks on tungiv vajadus tugevdada kaitsemeetmeid, millega hoitakse ära oht, et esemevõrgu andmete jagamist käsitlevate kohustuslike sätetega seoses lekitatakse ärisaladusi kolmandatesse riikidesse. Teiseks võib ettevõtetelt riigile andmete jagamise raamistiku ulatuslik kohaldamisala põhjustada õiguslikku ebaselgust. Kolmandaks võib sätetest, mis käsitlevad andmete jagamise kokkulepete täitmiseks mõeldud nutilepingute suhtes kohaldatavaid olulisi nõudeid, tuleneda õiguskindlusetus. Samuti jäävad määruse (EL) 2023/2854 (andmemäärus) sätted andmetöötlusteenuste vahetamise kohta oluliseks, andes keskse panuse avatuma ja konkurentsivõimelisema pilvteenuste turu loomisel. Sellegipoolest ei võetud neis sätetes piisavalt arvesse selliste teenuste eripära, mida kohandatakse kasutatavuse huvides oluliselt kliendi vajadustele või mida osutavad VKEd ja ET 5 ET  väikesed keskmise turukapitalisatsiooniga ettevõtjad. Käesolevas ettepanekus sisalduvate muudatustega säilitatakse eesmärk kaotada sõltuvus müüjast, eelkõige vahetustasud ja andmete väljaviimise tasud, vähendades samal ajal eespool nimetatud teenuste osutajate halduskoormust. Seega esitatakse ettepanekus muudatused, mis suurendavad õigusselgust ja on tihedalt kooskõlas määruse (EL) 2023/2854 (andmemäärus) üldiste eesmärkidega. Selleks et väiksemaid ettevõtteid veelgi enam aidata, laiendatakse väikeste ja keskmise suurusega ettevõtjate (VKEde) jaoks ELi andmevaldkonna õigustiku järgimist hõlbustavaid õigusnorme ka väikestele keskmise turukapitalisatsiooniga ettevõtjatele. Isikuandmetega seoses kohaldatakse alates 25. maist 2018 määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus), millega kehtestati kogu liidus ühtsed standardid, normid ja kaitsemeetmed üksikisikute isikuandmete töötlemiseks, andmesubjektide õigused ning üldine õigusraamistik isikuandmete töötlejate jaoks. Kuigi sidusrühmad on üldiselt leidnud, et määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus) on tasakaalustatud ja mõistlik ning jätkuvalt otstarbekas, on mõned üksused, eelkõige väiksemad äriühingud ja ühendused, kus teostatakse vähesel arvul vähemahukaid ja sageli väikese riskiga andmetöötlustoiminguid, väljendanud muret seoses mõne isikuandmete kaitse üldmääruses sätestatud kohustuse kohaldamisega. Mõned neist murekohtadest on võimalik lahendada järjepidevama ja ühtsema tõlgendamise ja täitmise tagamisega liikmesriikides, teised aga nõuavad õigusakti sihipärast muutmist. Sellega seoses on käesolevas ettepanekus sisalduvate muudatuste eesmärk neid murekohti käsitleda, eelkõige selgitades teatavaid põhimõisteid (nt isikuandmete mõistet), hõlbustades õigusnormidele vastavust, näiteks toetades vastutavaid töötlejaid selliste kriteeriumide ja vahendite osas, mille põhjal teha kindlaks, et pseudonüümimisest tulenevad andmed ei kujuta endast isikuandmeid seoses teabele esitatavate nõuete ja isikuandmetega seotud rikkumisest järelevalveasutustele teatamisega, samuti selgitades teatavaid aspekte seoses andmete töötlemisega tehisintellekti treenimiseks ja arendamiseks. Kavandatavate muudatustega vähendatakse ka teadusuuringute tingimuste ebaselgust, määratledes teadusuuringute mõiste, täpsustades täiendavalt, et teaduslikel eesmärkidel toimuv edasine töötlemine on kooskõlas töötlemise esialgse eesmärgiga, ning selgitades, et teadusuuringud kujutavad endast õigustatud huvi. Samuti tehakse ettepanek laiendada töötlemisest teavitamise kohustuse erandeid. Asjakohasel juhul kajastab käesolev ettepanek isikuandmete kaitse üldmääruse muudatusi, mis on sätestatud määruses (EL) 2018/1725 füüsiliste isikute kaitse kohta isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes. Lisaks on juba ammu vaja regulatiivset lahendust nõusolekuväsimusele ja küpsiste teavitusribade ohtrusele. Direktiiviga 2002/58/EÜ eraelu puutumatuse ja elektroonilise side kohta (e-privaatsuse direktiiv), mis vaadati viimati läbi 2009. aastal, on kehtestatud raamistik side konfidentsiaalsuse kaitseks ja täpsustatud määrust (EL) 2016/679 (isikuandmete kaitse üldmäärus), kui isikuandmeid töödeldakse elektroonilise side kontekstis. Samuti kaitseb see kasutajate lõppseadmeid, mida võidakse kasutada nende eraelu puutumatuse rikkumiseks ja nendega seotud teabe kogumiseks. Lõppseadmete, nagu telefonide ja personaalarvutite kasutamise oluline osa on sisu tarbimine ja veebiteenuste kasutamine. Paljud neist veebiteenustest sõltuvad reklaamitulust, sealhulgas isikustatud reklaamist saadavast tulust. Sama kehtib ka meediateenuste kohta. Veebiteenuste osutajad kasutavad nn küpsiseid või sarnaseid tehnoloogialahendusi, mis kasutavad ära lõppseadmete töötlemis- ja salvestamisfunktsioone, pääsedes nii juurde näiteks lõppseadmes salvestatud või neist edastatavale teabele. Seda kasutatakse mitmesugustel eesmärkidel, näiteks konkreetse lõppseadme jaoks teenuse osutamise optimeerimiseks, lõppseadme ja teenuse turvalisuse ET 6 ET  tagamiseks, aga ka üksikisiku käitumise ja erinevate veebiteenustega suhtlemise jälgimiseks, et pakkuda isikustatud reklaami. Kui sellise tehnoloogia kasutamine ei ole vajalik tehniliseks salvestamiseks või juurdepääsuks, mille ainus eesmärk on elektroonilise sidevõrgu kaudu teabe edastamine või selle hõlbustamine, või kui see on rangelt vajalik abonendi või kasutaja poolt sõnaselgelt taotletud infoühiskonna teenuse osutamiseks, on direktiivi 2002/58/EÜ (e-privaatsuse direktiiv) kohaselt vajalik nõusolek. Sellist nõusolekut küsitakse tavaliselt veebisaidil või mobiilrakenduses kuvatavate hüpikribade kaudu. Sellised teavitusribad sisaldavad teavet töötlemise eesmärkide kohta, mis on sageli seotud küpsiste liikide ja andmesaajatega, ning need ei ole inimestele alati kergesti mõistetavad. Seetõttu ei pruugi nad saavutada oma eesmärki – teavitada isikut ja anda talle kontroll oma eraelu puutumatuse kaitse ja isikuandmete töötlemise üle –, vaid internetikasutajad peavad neid pigem tüütuks. Samal ajal põhjustab nõuetele vastavate teavitusribade kujundamine veebiteenuste pakkujatele märkimisväärseid kulusid. Olukorra muudab veelgi keerukamaks see, et kasutaja lõppseadmest teabe saamiseks küpsiste paigaldamise või sarnase tehnoloogia suhtes kohaldatakse direktiivi 2002/58/EÜ (e- privaatsuse direktiiv) artikli 5 lõiget 3, samas kui isikuandmete edasist töötlemist reguleerib määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus). Kuigi nõusolek on vajalik, et tagada andmesubjektide poolne kontroll, ei ole see alati kõige sobivam õiguslik alus edasiseks töötlemiseks, näiteks kui töötlemine on vajalik muude kui infoühiskonna teenuste osutamiseks. See on põhjustanud vastutavatele töötlejatele, kes töötlevad lõppseadmetest saadud isikuandmeid, õiguskindlusetust ja suuremaid nõuete täitmisega seotud kulusid. Lisaks sellele tekitas e-privaatsuse määruse ja isikuandmete kaitse üldmääruse kohane topeltkord olukorra, kus järelevalvet nende kahe õigusraamistiku normide üle olid pädevad teostama erinevad riiklikud asutused. Seetõttu tehakse ettepanek kohaldatavate õigusnormide koostoimet viivitamatult lihtsustada. Lõppseadmetes olevate ja lõppseadmetest saadud isikuandmete töötlemist tuleks reguleerida ainult määrusega (EL) 2016/679 (isikuandmete kaitse üldmäärus), mis hõlmab ka selget nõuet saada isikuandmete kogumisel nõusolek juurdepääsuks füüsilise isiku lõppseadmetele. Kavandatavate muudatustega nähakse ette ka teatavad eesmärgid, mille puhul ei oleks nõusolekut vaja ja mille puhul tuleks edasist töötlemist pidada seaduslikuks, eelkõige juhul, kui need eesmärgid kujutavad endast väikest ohtu andmesubjektide õigustele ja vabadustele või kui sellise tehnoloogia paigaldamine on vajalik andmesubjekti tellitud teenuse osutamiseks. Samuti loob ettepanek võimaluse konkreetsete valikute automatiseeritud ja masinloetavas vormingus märkimiseks ning selliste märgete arvessevõtmiseks veebisaitide, mobiilirakenduste ja mobiiltelefonirakenduste pakkujate poolt pärast seda, kui standardid on kättesaadavaks tehtud. See põhineb direktiivi 2002/58/EÜ (e-privaatsuse direktiiv) 2009. aasta muudatustel (vt direktiivi 2009/136/EÜ põhjendus 66), milles juba soovitati võimaldada kasutajal anda nõusolek brauseri või muu rakenduse asjakohaste seadete abil, kui see on tehniliselt võimalik ja toimiv, ning määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artikli 21 lõikel 5, samuti komisjoni 2017. aasta määruse ettepanekul, milles käsitletakse eraelu puutumatust ja elektroonilist sidet (COM(2017) 10), milles tehti ettepanek kasutaja valikute haldamiseks veebibrauseri seadetega. See annab komisjonile volitused paluda standardimisasutustel välja töötada standardid, et kodeerida andmesubjekti valikud automaatselt ja masinloetavalt ning edastada need valikud brauseritest veebisaitidele ja mobiilrakendustest veebiteenustele. Kui need on kättesaadavad (ja pärast kuuekuulist ET 7 ET  üleminekuperioodi), on vastutavad töötlejad, kes kasutavad oma teenuse osutamiseks veebisaiti ja mobiilrakendusi, kohustatud neid kodeeritud automatiseeritud ja masinloetavaid märkeid arvesse võtma. Kui vastutavad töötlejad tagavad oma veebisaitide või mobiilrakenduste vastavuse sellistele standarditele, peaksid nad saama kasu õigusnormidele vastavuse eeldusest. Selle alusel eeldatakse, et töötatakse välja ka brauserite asjakohased seaded. Sätted on sõnastatud tehnoloogiliselt neutraalselt, nii et kasutajaid võiksid nõusoleku andmisel toetada ka muud vahendid (nt agentne tehisintellekt), kui need on isikuandmete kaitse üldmääruse nõuete täitmise tagamiseks sobivad. Võttes arvesse veebipõhiste tulude tähtsust sõltumatu ajakirjanduse kui demokraatliku ühiskonna hädavajaliku alustala jaoks, ei peaks määruses (EL) 2024/1083 (Euroopa meediavabaduse määrus) määratletud meediateenuste osutajad olema kohustatud selliseid signaale arvesse võtma, mis võimaldab neil kasutajatega vahetult suhelda, kui nad neid teavitavad ja võimaldavad neil anda oma nõusoleku. Käesolevas määruses esitatud muudatustega nähakse ette ühtne kontaktpunkt, mille kaudu saavad üksused samaaegselt täita mitme õigusakti kohaseid intsidentidest teatamise kohustusi. Ühtne kontaktpunkt, mis toetab põhimõtet „teata üks kord, jaga paljudele“, vähendab üksuste halduskoormust, tagades samal ajal asjakohases õigusaktis määratletud andmesaajatele toimiva ja turvalise teabevoo turvaintsidentide kohta. Ettepanekus sätestatakse ENISA kohustus luua ühtne kontaktpunkt, võttes arvesse ühtset aruandlusplatvormi aktiivselt ärakasutatavatest nõrkustest ja tõsistest intsidentidest teatamiseks vastavalt määrusele (EL) 2024/2847 (küberkerksuse määrus). Töövahendi kohta kehtestatakse konkreetsed nõuded, sest tegemist peab olema üksuste esitatava ja pädevatele asutustele saadetava teabe edastamise turvalise kanaliga. See ei muuda intsidentidest teatamise aluseks olevaid õiguslikke nõudeid, kuid optimeerib oluliselt töövoogu ja üksustelt nõutavaid ressursse. Ettepanekus sätestatakse ka ühtse kontaktpunkti kasutamine direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv), määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus), määruse (EL) 2022/2554 (digitaalse tegevuskerksuse määrus), määruse (EL) 910/2014 (eIDASe määrus) ja direktiivi (EL) 2022/2557 (elutähtsa teenuse osutajate toimepidevuse direktiiv) kohaste intsidentidest teatamise tihedalt seotud kohustuste täitmiseks. Muud sektoripõhised aruandluskohustused, näiteks need, mis on sätestatud piiriüleste elektrivoogude küberturvalisuse aspekte käsitleva võrgueeskirja raames ja asjaomastes lennundussektorit käsitlevates õigusaktides, viiakse samuti ühtse kontaktpunkti alla, muutes vastavaid delegeeritud õigusakte ja rakendusakte, millega on kehtestatud nende raamistike kohased aruandluskohustused. Ettepaneku eesmärk on ka ühtlustada esitatava teabe sisu, kehtestades volitused seoses mitme õigusaktiga, kui need puuduvad. Ettepanekus selgitatakse, et direktiivi (EL) 2022/2555, direktiivi (EL) 2022/2557 ja määruse (EL) 2016/679 ühiste aruandlusvormide väljatöötamisel tuleks komisjonil võtta nõuetekohaselt arvesse määruse (EL) 2022/2554 (digitaalse tegevuskerksuse määrus) raames saadud kogemusi ja välja töötatud ühiseid vorme, et tagada järjepidevus, edendada koostoimet ja vähendada üksuste halduskoormust, minimeerides üksuste poolt täidetavate andmeväljade arvu. Lisaks nendele olulistele muudatustele kasutatakse ettepanekuga võimalust tunnistada kehtetuks Euroopa Parlamendi ja nõukogu 20. juuni 2019. aasta määrus (EL) 2019/1150, mis käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks (edaspidi „platvormi ja ettevõtjate vaheliste suhete määrus“ või „P2B-määrus“). Kõnealust määrust kohaldatakse alates 12. juulist 2020 ja see oli esimene samm platvormimajanduse jaoks tervikliku õigusraamistiku loomise suunas. Alates selle määruse jõustumisest on ET 8 ET  veebipõhiseid vahendusteenuseid ja veebiplatvorme hakatud reguleerima ka muude ELi õigusaktidega. Need on näiteks määrus (EL) 2022/1925 (digiturgude määrus) ja määrus (EL) 2022/2065 (digiteenuste määrus), mis suures osas asendavad P2B-määruse sätted. P2B- määruse valitud sätted jäävad kehtima, et tagada õiguskindlus nendele sätetele viitavate õigusaktide, näiteks platvormitöö tingimuste parandamist käsitleva direktiivi (EL) 2023/2831 puhul. Üldiselt vähendab veebiplatvormide õigusraamistiku lihtsustamine mitmekihilistest ja kattuvatest õigusnormidest tulenevaid nõuete täitmisega seotud kulusid, nagu sidusrühmad on soovinud. Veebivahendusteenuste osutajad saavad kasu selgematest õigusnormidest. Täitmise tagamine muutub sihipärasemaks. • Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Ettepanekuga kaasneb teine ettepanek, millega muudetakse määrust (EL) 2024/1689 (tehisintellektimäärus), ja koos moodustavad need „digivaldkonna koondpaketi“, mis kujutab endast esimest ja vahetut sammu digivaldkonda käsitlevate õigusnormide lihtsustamisel. Lisaks digivaldkonna koondpaketile hõlmab määruse (EL) 2019/881 (küberturvalisuse määrus) läbivaatamise ettepanek muu hulgas Euroopa Liidu Küberturvalisuse Ameti (ENISA) ajakohastatud volitusi ning meetmeid, mille eesmärk on lihtsustada küberturvalisuse nõuete täitmist. Digivaldkonna koondpakett on osa digipaketi kaudu välja kuulutatud laiemast õigusnormide lihtsustamise strateegiast, mida on täpsemalt kirjeldatud käesoleva seletuskirja sissejuhatavas osas. • Kooskõla muude liidu tegevuspõhimõtetega Ettepanek on osa komisjoni tegevuskavast ELi õigusraamistiku lihtsustamiseks. Muudetud õigusaktide suur ulatus näitab selget võimalust lihtsustamiseks, käsitledes eri õigusnormide vastastikust mõju, sealhulgas juhul, kui need puudutavad erinevaid poliitikavaldkondi. See kehtib näiteks intsidentidest teatamise ühtse kontaktpunkti raames välja töötatud lihtsustamise digilahenduse puhul, mis ei muuda aluseks olevaid regulatiivseid kohustusi, kuid koondab ühte liidesesse küberturvalisuse normid, mida kohaldatakse oluliste üksuste ja finantssektori suhtes, andmekaitse-eeskirjad jms. 2. ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS • Õiguslik alus Ettepanek põhineb Euroopa Liidu toimimise lepingu artiklitel 114 ja 16, mis vastab muudetavate õigusaktide õiguslikule alusele. Määrust (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määrust (EL) 2018/1725 muutvate sätete puhul on sobiv õiguslik alus aluslepingu artikkel 16. Kuna kõik muud muudetud õigusaktid põhinevad aluslepingu artiklil 114, on sama õiguslik alus sobiv ka käesoleva määruse vastavate muutmissätete puhul. • Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Kuna muudetud õigusnormid on liidu õigusnormid, saab neid muuta ainult liidu tasandil. Käesolevas määruses esitatud tehnilised kohandused säilitavad muudetud õigusaktide aluseks oleva subsidiaarsuse põhimõtte. Määruse (EL) 2023/2854 (andmemäärus) puhul tugevdavad muudatused määruse eesmärki kõrvaldada takistused andmepõhise majanduse ühtsel turul. Selleks liidetakse määrusesse olemasolevad õigusnormid. Nende õigusnormide sihipärase muutmise eesmärk on lihtsustada, ET 9 ET  selgitada ja vähendada nii erasektori kui ka riikide ametiasutuste halduskoormust. Muudatused ei mõjuta liikmesriikide ega ELi institutsioonide pädevust. Sama kehtib ka direktiivi (EL) 2019/1024 (avaandmete direktiiv) kehtetuks tunnistamise kohta: selle sisulised normid võetakse määrusesse (EL) 2023/2854 (andmemäärus) üle ilma liikmesriikidele antud pädevusi oluliselt muutmata. Oluline osa avaliku sektori andmetest kuulub juba praegu vahetult kohaldatava rakendusmääruse (EL) 2023/138 (väärtuslike andmestike kohta)12 kohaldamisalasse. Määrusena vormistamine hõlbustab kavandatud muudatuste ühtset kohaldamist kõigis liikmesriikides. Protsesside lihtsustamise ning erinevate riiklike õigusaktide tõlgendamise ja rakendamisega seotud halduskoormuse vähendamise kaudu toetatakse sellega eelkõige avaliku sektori andmeid valdavaid avalikke haldusasutusi, aga ka selliste andmete taaskasutajaid Vahetult kohaldatavate õigusnormide täitmise tagamise muutub tõenäoliselt järjepidevamaks. Ettepanekuga ei muudeta riiklikke juurdepääsukordi ja selle eesmärk on pakkuda piisavat paindlikkust riiklike lahenduste jaoks (selle õiguse tähtsust on rõhutanud liikmesriigid). Määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määruse (EL) 2018/1725 puhul on kavandatavate muudatuste eesmärk suurendada kehtivate õigusnormide kohaldamise selgust ja prognoositavust ning vähendada võimaluse korral halduskoormust, kahjustamata seejuures määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määruse (EL) 2018/1725 kohast kõrgetasemelist andmekaitset. Samuti ei muudeta nendega liikmesriikide ega ELi organite ja institutsioonide pädevust. Intsidentidest teatamise ühtse kontaktpunkti kasutuselevõtuga pakutakse välja üleeuroopaline lahendus, st üks kanal, mille kaudu saab täita mitut õiguslikku kohustust, mis on ettevõtetele pandud sisuliselt samast intsidendist teatamiseks. Lahendus ei muuda mingil viisil riiklike asutuste õigusi ja pädevust selliseid teateid saada. Selle asemel see soodustab aruandlust, pakkudes ühtset kontaktpunkti lihtsalt kasutatava liidesena, kus näiliselt esitatakse üks teade, kuid tegelikult täidetakse korraga mitu õiguslikku kohustust. Kuna paljusid asjaomaseid teenuseid osutatakse piiriüleselt ja teenuseosutajad tegutsevad mitmes liikmesriigis, on vaja Euroopa tasandi lahendust. • Proportsionaalsus Ettepanek sisaldab tehnilisi muudatusi, mis on vajalikud halduskoormuse vähendamise ja õigusaktide selguse tagamise eesmärgi saavutamiseks, säilitades samal ajal muudetud õigusaktide aluseks olevad eesmärgid ja neid optimeerides. Muudatused on proportsionaalsed, kuna tekitavad ettevõtetele ja ametiasutustele tühiseid ülemineku- ja kohanemiskulusid (kui üldse), kuid võimaldavad järgnevatel aastatel saavutada suurt kulude kokkuhoidu. Mitme käesolevas määruses esitatud muudatusega taotletakse lihtsustamise eesmärki, pakkudes eelkõige õiguskindlust ja selgitades õigusnormide kohaldamist, näiteks esitades andmevaldajatele selgitusi ärisaladuste kaitse kohta määruses (EL) 2023/2854 (andmemäärus) või selgitades määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) kohaldamisalasse kuuluvaid isikuandmeid sisaldavate tehisintellektimudelite ja -süsteemide treenimist või 12 Rakendusmäärus (EL) 2013/138. ET 10 ET  isikuandmete mõistet määruses (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määruses (EL) 2018/1725. Mõne sätte eesmärk on kodifitseerida Euroopa Liidu Kohtu tõlgendused, näiteks isikuandmete pseudonüümimise kohta, mida on täpsustatud määruses (EL) 2016/679 (isikuandmete kaitse üldmäärus). Seega sisaldavad need väga sihipäraseid õigusnormide muudatusi ning eeldatavasti on neil suur mõjutulenevalt ettevõtetele ja investoritele õiguskindluse tagamisest. Käesolevas määruses kavandatud muudatuste eesmärk on ka vähendada ettevõtete ja ametiasutuste otseseid kulusid, võttes arvesse, et samu regulatiivseid eesmärke on võimalik saavutada väiksema koormusega ja õigusnormide proportsionaalsust tagades. Näiteks määruses (EL) 2022/868 (andmehalduse määrus) sätestatud andmevahendusteenuste suhtes kohaldatav kohustuslik kord muudetakse määruses (EL) 2023/2854 (andmemäärus) usaldust suurendavaks vabatahtlikuks korraks. Laiendades väikeste ja keskmise suurusega ettevõtjate suhtes kohaldatavaid teatavaid sätteid väikestele keskmise turukapitalisatsiooniga ettevõtjatele, on lihtsustamismeetmed sihipärased ja muudavad nende kohustuste ulatust minimaalselt, pakkudes samal ajal õiguskindlust laiemale ettevõtete ringile, millel on suur potentsiaal toetada ELi konkurentsivõimet. Ettepanekud piirduvad muudatustega, mis on vajalikud selle tagamiseks, et väikesed keskmise turukapitalisatsiooniga ettevõtjad saaksid kasu samast õigusraamistikust nagu VKEd. Ühtne kontaktpunkt intsidentidest ja isikuandmetega seotud rikkumistest teatamiseks toob ettevõtetele kaasa suure kulude kokkuhoiu ning lahendab samal ajal ka teatamata jätmise üldise probleemi. See ei ole mitte ainult proportsionaalne lahendus, vaid pakub digivahendi abil ka olulist lihtsustust ja toetab kontaktpunktiga hõlmatud aruandluskohustuste toimivat täitmist. Määrus (EL) 2019/1150 (P2B-määrus) tuleb tunnistada kehtetuks, et lõpetada õigusnormide dubleerimine; määrusel on ainult jääkväärtus ning proportsionaalset regulatiivset lähenemisviisi veebiplatvormide reguleerimisele arvesse võttes tuleb topeltkohustused kaotada. • Vahendi valik Võttes arvesse muudetavate õigusnormide laadi, esitatakse muudatused määruse vormis. Direktiivide muutmise korral on sätted suunatud Euroopa institutsioonidele või tehakse sihipäraseid muudatusi eelkõige selleks, et jätta välja sätted, mida on määrustes põhjalikumalt käsitletud. ET 11 ET  3. JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED • Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Enamik käesolevas ettepanekus käsitletavatest õigusaktidest on suhteliselt uued ja nende tulemuste hindamine on veel pooleli. Olulisemad tähelepanekud on kokkuvõtlikult esitatud lisatud komisjoni talituste töödokumendis. Erandiks on määruse (EL) 2019/1150 (P2B-määrus) esialgne läbivaatamine 2023. aastal13). Aruandes täheldati esialgset positiivset mõju, mis tuleneb näiteks lepingute läbipaistvusest ärikasutajate jaoks ja kaebuste käsitlemise nõuetekohasest menetlusest. Samas toodi aruandes välja, et nii ärikasutajad kui ka veebipõhiste vahendusteenuste ja veebipõhiste otsingumootorite pakkujad ei ole teadlikud oma õigustest ja kohustustest, mis tulenevad määrusest (EL) 2019/1150 (P2B-määrus). Sellele lisandus ka määruse (EL) 2019/1150 (P2B- määrus) ebapiisav järgimine ja puudulik rakendamine. Kuni 2023. aastani esitati määruse (EL) 2019/1150 (P2B-määrus) alusel väga vähe kaebusi. Aruandes jõuti järeldusele, et „määruse (EL) 2019/1150 (P2B-määrus) potentsiaali ei ole praegu täielikult ära kasutatud“. Vahepeal hakati määrust (EL) 2022/2065 (digiteenuste määrus) ja määrust (EL) 2022/1925 (digiturgude määrus) täielikult kohaldama ning need on määruse (EL) 2019/1150 (P2B- määrus) sätted suures osas asendanud. • Konsulteerimine sidusrühmadega Ettepaneku koostamise käigus korraldati mitu konsultatsiooni. Kõik konsultatsioonid olid kavandatud üksteist täiendama, puudutades kas erinevaid aktuaalseid aspekte või erinevaid sidusrühmi. 2025. aasta kevadel avaldati kolm avalikku konsultatsiooni ja tagasisidekorjet ettepaneku peamiste sammaste kohta. 9. aprillist kuni 4. juunini toimus konsultatsioon tehisintellekti kasutamise strateegia kohta,14 11. aprillist kuni 20. juunini toimus konsultatsioon määruse (EL) 2019/881 (küberturvalisuse määrus) läbivaatamise kohta15 ja 23. maist kuni 20. juulini toimus konsultatsioon Euroopa andmeliidu strateegia kohta16. Igas küsimustikus oli eraldi osa (või mõnel juhul mitu osa) rakendamise ja lihtsustamisega seotud probleemide kohta, mis olid otseselt seotud digivaldkonna koondpaketi üle peetud aruteludega. Esimese konsultatsioonivoo raames saadi kokku 718 üksikvastust. 13 Komisjoni talituste töödokument, „Komisjoni aruanne Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele „Määruse (EL) 2019/1150 (mis käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks) rakendamise esimene esialgne läbivaatamine““ (SWD(2023) 300 final). 14 Euroopa Komisjon (2025), „Tagasisidekorje tehisintellekti kasutamise strateegia kohta“. Kättesaadav: Tehisintellekti kasutamise strateegia – Euroopa tugevam positsioon tehisintellekti vallas. 15 Euroopa Komisjon (2025), „Tagasisidekorje küberturvalisuse määruse läbivaatamise kohta“. Kättesaadav: ELi küberturvalisuse määrus. 16 Euroopa Komisjon (2025), „Tagasisidekorje Euroopa andmeliidu strateegia kohta“. Kättesaadav: Euroopa andmeliidu strateegia. ET 12 ET  Digivaldkonna koondpaketi kohta avaldati täiendav tagasisidekorje 16. septembrist kuni 14. oktoobrini 202517. Selle eesmärk oli anda sidusrühmadele võimalus esitada konsolideeritud ettepaneku kohta märkusi, mis käsitlevad digivaldkonna koondpaketi kohaldamisala. Saadi 513 vastust eri sidusrühmadelt, sealhulgas ettevõtjatelt ja ettevõtjate ühendustelt, kodanikuühiskonnalt, teadusringkondadelt, ametiasutustelt ning kodanikelt. Juhtiv asepresident Henna Virkkunen korraldas kaks rakendamist käsitlevat dialoogi digivaldkonna koondpaketis käsitletud peamiste teemade üle: esimese andmepoliitika kohta18 (1. juulil 2025) ja teise küberturvalisuse poliitika kohta19 (15. septembril). Volinik McGrath korraldas rakendamist käsitleva dialoogi, mis puudutas isikuandmete kaitse üldmääruse kohaldamist (16. juulil 2025). Komisjoni talitused korraldasid ka mitu „reaalsuskontrolli“ – põhjalikud teemarühmad ettevõtete ja kodanikuühiskonna esindajatega, mis korraldati ajavahemikus 15. septembrist kuni 6. oktoobrini 2025, et arutada igapäevaselt kogetud praktilisi rakendamisprobleeme ja hinnata nõuete täitmisega seotud kulusid. Ajavahemikus 4. septembrist kuni 16. oktoobrini 2025 korraldati Euroopa ettevõtlusvõrgustiku (EEN)20 kaudu spetsiaalne VKEde paneel konkreetselt väikeste ja keskmise suurusega ettevõtjatega (VKEd) konsulteerimiseks ja nendelt tagasiside kogumiseks. Lisaks said komisjoni talitused arvukalt seisukohti ja korraldasid kahepoolseid kohtumisi eri sidusrühmadega. Samuti tegid komisjoni talitused ümarlaudade kaudu või mitmesuguste nõukogu töörühmade raames koostööd liikmesriikidega. Üldiselt olid sidusrühmad oma tagasisides ühel meelel, et mõnede digivaldkonna õigusnormide kohaldamist tuleks lihtsustada. Sidusrühmad väljendasid heameelt, et tähelepanu keskmes on õigusnormide ühtsus ja konsolideerimine ning nõuete täitmisega seotud kulude optimeerimine. Selgelt sooviti andmevaldkonna õigustiku ühtlustamist ja õigusnormide konsolideerimist. Seda küsimust käsitletakse ettepanekus koos sidusrühmade toetatud sihipäraste muudatustega, sealhulgas seoses isikuandmete kaitse üldmäärusega ja küpsiste teavitusribade põhjustatud väsimusega. Lisaks on ettevõtjad osutanud selliste andmeid käsitlevate õigusnormide vastastikuse mõju täiendavale hindamisele, mis nõuavad põhjalikumat analüüsi parema õigusloome vahendite, eelkõige eelseisva digitaalse toimivuse kontrolli abil. 17 Euroopa Komisjon (2025), „Tagasisidekorje digipaketi ja digivaldkonna koondõigusakt kohta“. Kättesaadav: Lihtsustamine – digipakett ja digivaldkonna koondõigusakt. 18 Euroopa Komisjon (2025), „Dialoog rakendamise üle – andmepoliitika“. Kättesaadav: Dialoog rakendamise üle – andmepoliitika – Euroopa Komisjon. 19 Euroopa Komisjon (2025), „Dialoog juhtiva asepresidendi Henna Virkkusega küberturvalisuse poliitika rakendamise üle“. Kättesaadav: Dialoog juhtiva asepresidendi Henna Virkkusega küberturvalisuse poliitika rakendamise üle – Euroopa Komisjon. 20 Euroopa ettevõtlusvõrgustik on maailma suurim väikeste ja keskmise suurusega ettevõtjate tugivõrgustik ning seda rakendab Euroopa Komisjoni Euroopa Innovatsiooninõukogu ja VKEde Rakendusamet (EISMEA). ET 13 ET  Samuti on eri sektorite ettevõtjad juhtinud tähelepanu asjaolule, et mitme õigusraamistiku kohane intsidentidest topeltteatamine tekitab põhjendamatut koormust. Sellele meetmete võtmise kutsele vastatakse ettepanekuga luua intsidentidest teatamise ühtne kontaktpunkt. Seoses tehisintellekti käsitleva määrusega on sidusrühmad osutanud vajadusele tagada õigusnormide kohaldamisel õiguskindlus ning rõhutanud eelkõige vajadust kättesaadavate standardite ja suuniste järele enne õigusnormide kohaldamist. Nende probleemide lahendamiseks on digivaldkonna koondpaketi raames esitatud eraldi õigusakti ettepanek. Sidusrühmad ei ole platvormi ja ettevõtjate vaheliste suhete määruse mõju kohta oma arvamust avaldanud, mis kinnitab vahehindamise aruande tulemusi, et need õigusnormid ei ole hästi tuntud ega oma eesmärgi saavutamisel tõhusad. Käesoleva määrusega tehakse ettepanek tunnistada platvormi ja ettevõtjate vaheliste suhete määruse normid kehtetuks, eelkõige seetõttu, et need kattuvad uuemate õigusnormidega. Digivaldkonna koondpaketti toetavas komisjoni talituste töödokumendis on esitatud üksikasjalik ülevaade sidusrühmadega peetud konsultatsioonidest ja nende kajastamisest ettepanekus. • Eksperdiarvamuste kogumine ja kasutamine Lisaks eespool kirjeldatud konsultatsioonidele tugines komisjon käesoleva ettepaneku koostamisel peamiselt siseanalüüsile. Ettepaneku andmeid käsitlevate peatükkide analüüsi toetamiseks telliti ka kaks uuringut. Esimene keskendus määruse (EL) 2018/1807 (isikustamata andmete vaba liikumise määrus), direktiivi (EL) 2019/1024 (avaandmete direktiiv) ja määruse (EL) 2022/868 (andmehalduse määrus) rakendamisele. Teine uuring, mis on tihedamalt seotud andmeliidu strateegiat käsitleva teatisega (mis võeti vastu sama lihtsustamispaketi osana koos digivaldkonna koondpaketiga), keskendus andmepoliitika arengusuundumustele, mis on seotud generatiivse tehisintellekti, õigusnormidele vastavuse ja rahvusvaheliste mõõtmetega. Mõlemad uuringud on lõppjärgus ja avaldatakse hiljem. Komisjoni talitused on teinud ka uuringu määruse (EL) 2022/2065 (digiteenuste määrus) ja muude õigusaktide, sealhulgas määruse (EL) 2019/1150 (P2B-määrus) vastastikuse mõju kohta. Komisjon avaldab vastavalt määruse (EL) 2022/2065 (digiteenuste määrus) artikli 91 nõuetele digipaketi osana aruande, milles kirjeldatakse määruse (EL) 2022/2065 (digiteenuste määrus) ja muude seonduvate õigusnormide vastastikust mõju. • Mõju hindamine Käesolevas määruses esitatud muudatused on sihipärased ja tehnilist laadi. Nende eesmärk on tagada õigusnormide tõhusam rakendamine. Need ei hõlma mitut poliitikavarianti, mida oleks võimalik mõttekalt testida ja võrrelda, ning vastavalt parema õigusloome suunistele ei toetu need täielikule mõju hindamise aruandele. Lisatud komisjoni talituste töödokumendis käsitletakse põhjalikult muudatuste sekkumisloogikat ja sidusrühmade seisukohti seoses erinevate meetmetega ning esitatakse ettepanekute kulude-tulude analüüs, sealhulgas saavutatav kulude kokkuhoid ja muu mõju. Paljudel juhtudel tugineb see asjakohastele mõjuhinnangutele, mis koostati algselt erinevate õigusaktide jaoks. • Õigusnormide toimivus ja lihtsustamine Kavandatava määrusega vähendatakse oluliselt ettevõtjate, avalike haldusasutuste ja kodanike koormust. Esialgsete hinnangute kohaselt on alates selle jõustumise hetkest võimalik säästa vähemalt 1 miljard eurot aastas, millele lisandub veel 1 miljard eurot ühekordsete kulude ET 14 ET  kokkuhoidu, mis teeb kokku vähemalt 5 miljardit eurot kolme aasta jooksul kuni 2029. aastani. Samuti oodatakse suures osas mittekvantifitseeritavat kasu, eelkõige tänu õigusnormide lihtsustamisele, mis hõlbustab nende rakendamist ja järgimist. Arvutustes ei ole arvesse võetud kavandatud regulatiivse lähenemisviisi abil loodavaid ärivõimalusi. Kuigi VKEd on juba vabastatud digivaldkonna koondpaketiga muudetavate õigusaktide teatavate sätete kohaldamisest, pakutakse pilvteenuste vahetamise valdkonnas välja täiendavad toetusmeetmed. Ühtlustatud andmete jagamise norme käsitlevas peatükis laiendatakse mõningaid VKEde suhtes juba kehtivaid erandeid ka väikestele keskmise turukapitalisatsiooniga ettevõtjatele. Ettepanek on ka täielikult kooskõlas komisjoni digikontrolliga, mille eesmärk on tagada poliitikaettepanekute piisav kooskõla digikeskkonnaga. Täpsemalt on seda käsitletud lisatud finants- ja digiselgituse 4. peatükis. • Põhiõigused Kavandatavad muudatused toetavad ettevõtjate innovatsioonivõimalusi ühtsel turul ja edendavad seega õigust tegeleda liidus ettevõtlusega. Teatavad sätted on seotud ka muude põhiõiguste, eelkõige eraelu puutumatuse ja isikuandmete kaitse õiguse kaitsmise ja edendamisega ning need on koostatud nii, et säiliksid rangeimad kaitsestandardid ja üksikisikuid toetataks nende õiguste tõhusal kasutamisel, optimeerides samal ajal kulusid ja luues uusi innovatsioonivõimalusi. Nii järgib ettepanek rangelt harta artiklis 52 sätestatud proportsionaalsuse põhimõtet. Määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määruse (EL) 2018/1725 puhul lihtsustatakse kavandatavate sihtotstarbeliste muudatustega väikese riskiga töötlemise suhtes kohaldatavaid nõudeid, ühtlustatakse teatavaid standardeid ning selgitatakse määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja määruse (EL) 2018/1725 teatavaid põhimõisteid, võimaldades vastutavatel töötlejatel rakendada tõhusamaid andmekaitsepõhimõtteid. See võimaldaks neil suunata oma ressursid andmemahukamatele ja suure riskiga tegevustele, mille puhul on isikuandmete kaitse meetmed kõige olulisemad. Mis puudutab side privaatsust, siis ettepanekus säilitatakse rangeimad kaitsestandardid, sealhulgas nõusolekul põhinev juurdepääs lõppseadmetele. Direktiivi 2002/58/EÜ (e- privaatsuse direktiiv) muudatusega sisulisi kaitsemeetmeid ei muudeta. Sellega viiakse lõppseadmetes olevate ja lõppseadmetest saadud isikuandmete töötlemise normid vastavusse määrusega (EL) 2016/679 (isikuandmete kaitse üldmäärus). Direktiivi kohased lõppseadmete puutumatuse nõuded säilivad ka isikustamata andmete töötlemisel. 4. MÕJU EELARVELE Euroopa Liidu Küberturvalisuse Ameti (ENISA) loodava ja hallatava intsidentidest teatamise ühtse kontaktpunkti mõju eelarvele on üksikasjalikult kirjeldatud määruse (EL) 2019/881 (küberturvalisuse määrus) muudatustes ENISA-le ettenähtud ressursside raames. 5. MUU TEAVE • Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Ei kohaldata ET 15 ET  • Ettepaneku sätete üksikasjalik selgitus Määruse (EL) 2023/2854 (andmemäärus) muutmine Andmevaldkonna õigusraamistiku muudatustega koondatakse määrusesse (EL) 2023/2854 (andmemäärus) märkimisväärselt lihtsustatud viisil määruse (EL) 2018/1807 (andmete vaba liikumise määrus), määruse (EL) 2022/868 (andmehalduse määrus) ja direktiivi (EL) 2019/1024 (avaandmete direktiiv) sätted. I peatükk sisaldab ka sihtotstarbelisi muudatusi, mille eesmärk on kohandada määruse (EL) 2023/2854 (andmemäärus) kehtivaid norme. Artikkel 1 sisaldab määruse (EL) 2023/2854 (andmemäärus) muudatusi, mis käsitlevad andmetele õiglase juurdepääsu ja nende kasutamise ühtlustatud norme ning millega muudetakse määrust (EL) 2017/2394 ja direktiivi (EL) 2020/1828. Artikliga 1 tehakse järgmised muudatused Lõikega 1 ajakohastatakse määruse (EL) 2023/2854 (andmemäärus) kohaldamisala, kuna sellesse määrusesse lisatakse uued peatükid, nagu on täpsemalt selgitatud allpool. Lõikega 2 muudetakse mõisteid ja lisatakse uusi mõisteid. Lõikega 3 kehtestatakse määruse (EL) 2023/2854 (andmemäärus) artikli 4 lõikes 8 uus norm, mis võimaldab andmevaldajatel keelduda ärisaladuste avaldamisest kasutajale, kui on suur oht, et need omandatakse või neid kasutatakse ebaseaduslikult või need avalikustatakse kolmandatele riikidele või nende riikide kontrolli all olevatele üksustele, mis alluvad jurisdiktsioonile, kus kaitse on nõrgem kui liidus. Lõikega 5 kehtestatakse sama norm määruse (EL) 2023/2854 (andmemäärus) artikli 5 lõikes 11, mis käsitleb andmevaldajaid, kes avalikustavad ärisaladusi kolmandatele isikutele. Lõigetega 5–19 kitsendatakse V peatüki kohaldamisala, asendades termini „erakorralised vajadused“ terminiga „üldine hädaolukord“. Artiklid 14 ja 15 jäetakse välja ning lisatakse uus artikkel 15a, mis on ainus artikkel, millele tuginedes võib üldise hädaolukorra ajal esitada taotlusi määruse (EL) 2023/2854 (andmemäärus) ettevõtetelt riigile andmete jagamise korra alusel. Taotlusi võib esitada, kui see on vajalik üldise hädaolukorra lahendamiseks (artikli 15a lõige 2) või leevendamiseks või üldisest hädaolukorrast taastumise toetamiseks (artikli 15a lõige 3). Ristviiteid kohandatakse vastavalt ning sõnastust lihtsustatakse ja muudetakse selgemaks. Artikli 1 lõikega 21 lisatakse uus artikkel 22a, mis raamistab V peatüki kohase kaebuste menetlemise korra, ühendades varem kordunud sätted. Lõigetega 20–22 lisatakse teatavad erandid määruse (EL) 2023/2854 (andmemäärus) VI peatükki (andmetöötlusteenuste vahetamine): artiklisse 31 lisatakse leebem erikord seoses andmetöötlusteenustega, mis on loodud tellimustööna, st andmetöötlusteenustega, mis ei ole valmisteenused ja mis ei toimiks ilma, et neid enne kasutaja vajaduste ja ökosüsteemiga kohandataks, kui neid teenuseid osutatakse enne 12. septembrit 2025 sõlmitud lepingute alusel. Samamoodi lisatakse artiklisse 31 uus leebem erikord seoses andmetöötlusteenustega, mida VKEd ja väikesed keskmise turukapitalisatsiooniga ettevõtjad osutavad enne 12. septembrit 2025 sõlmitud lepingute alusel, ning täpsustus, et need teenuseosutajad võivad tähtajalistesse lepingutesse lisada trahvi lepingu ennetähtaegse lõpetamise eest. ET 16 ET  Lõiked 23–25 sisaldavad määruse (EL) 2023/2854 (andmemäärus) artikli 32 muudatusi, mis tulenevad praegu määruse (EL) 2022/868 (andmehalduse määrus) kohaldamisalasse kuuluvate asutuste integreerimisest määrusesse (EL) 2023/2854 (andmemäärus). Lõikega 26 kaotatakse nutilepingute pakkujate kohustus järgida olulisi nõudeid ning antakse komisjonile volitused võtta vastu ühtlustatud standardid. Lõikega 27 integreeritakse kaks õiguslikku korda, mis on praegu sätestatud määruses (EL) 2022/868 (andmehalduse määrus), mis tunnistatakse koondpaketi jõustumisel kehtetuks. Sellega kujundatakse ümber andmehalduse määruse III ja IV peatüki kehtivad normid, milles on sätestatud andmevahendusteenuse osutajate suhtes kohaldatav kohustuslik teatamiskord ja andmealtruismiorganisatsioonide suhtes kohaldatav vabatahtlik registreerimiskord. Mõlemad korrad lisatakse määrusesse (EL) 2023/2854 (andmemäärus) uue VIIa peatükina. Võttes arvesse, et andmevahendusteenuste turg on kujunemisjärgus, muudetakse määruse (EL) 2022/868 (andmehalduse määrus) kohased kohustused paindlikumaks, et see turg saaks kasvada. Esiteks muudetakse andmevahendusteenuse osutajate suhtes kohaldatav kord vabatahtlikuks. Teiseks asendatakse kõige tähtsam kohustus, nimelt kohustus hoida andmevahendusteenused õiguslikult lahus mis tahes muudest teenustest, mida ettevõte võib soovida pakkuda, kohustusega hoida teenused funktsionaalselt eraldiseisvana ning kehtestatakse täiendavad tingimused. Samuti lühendatakse oluliselt kohustuste loetelu. Andmealtruismi puhul tunnistatakse kehtetuks andmealtruismiorganisatsioonide suhtes kohaldatavad aruandlus- ja läbipaistvuskohustused ning loobutakse mõttest täiendada määruse (EL) 2022/868 (andmehalduse määrus) „andmealtruismi eeskirja“ norme veelgi üksikasjalikumate normidega. Kehtestatakse uus VIIb peatükk, millega lisatakse määrusesse (EL) 2023/2854 (andmemäärus) isikustamata andmete asukoha nõude keeld liidu piires, mis varem sisaldus kehtetuks tunnistatavas määruses (EL) 2018/1807 (isikustamata andmete vaba liikumise määrus). Komisjonile teatamise kohustus jääb kehtima, kuid kaotatakse ühtne veebipõhine riiklik teabepunkt, kus liikmesriigid peaksid avaldama kohaldatavad andmete asukoha nõuded. Lõigetes 4 ja 33–58 esitatakse ühendatud sätted avaliku sektori asutuste valduses olevate andmete ja dokumentide taaskasutamise kohta vastavalt määruse (EL) 2022/868 (andmehalduse määrus) II peatükile ja direktiivile (EL) 2019/1024 (avaandmete direktiiv). • Punktiga 4 võetakse kasutusele mõisted määrusesse (EL) 2023/2854 (andmemäärus) lisatud sätetest, ühtlustades andmete ja dokumentide määratlusi ning eristades rangelt digitaalset (andmed) ja mitte-digitaalset (dokumendid) sisu. • Lisatakse uus VIIc peatükk avaliku sektori asutuste valduses olevate andmete ja dokumentide taaskasutamise kohta. • Lisatakse uus 1. jagu, milles sätestatakse uue lisatud peatüki suhtes kohaldatavad üldpõhimõtted. • Lisatakse määruse (EL) 2022/868 (andmehalduse määrus) II peatüki ja direktiivi (EL) 2019/1024 (avaandmete direktiiv) ühiseid õigusnorme sisaldava ühendatud peatüki reguleerimisese ja kohaldamisala. • Sätestatakse ühine mittediskrimineerimise põhimõte, mida kohaldatakse avaliku sektori avaandmete ja teatavatesse kategooriatesse kuuluvate kaitstud andmete jagamise suhtes. ET 17 ET  • Sätestatakse avaliku sektori avaandmete korrale ja teatavatesse kategooriatesse kuuluvate kaitstud andmete korrale ühine ainuõiguslike kokkulepete keeld. • Sätestatakse üldpõhimõtted, mis käsitlevad tasu võtmist avaliku sektori avaandmete või teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise eest. Uue reeglina peavad avaliku sektori asutused avaliku sektori avaandmete taaskasutamist diskrimineerimata tagama, et kõiki tasusid saab maksta ka võrgus laialdaselt kättesaadavate piiriüleste makseteenuste kaudu. Sellega laiendatakse reeglit, mis varem kehtis ainult teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise suhtes vastavalt määruse (EL) 2022/868 (andmehalduse määrus) II peatükile. • Sätestatakse avaliku sektori avaandmete ja teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutajate õigus saada teavet õiguskaitsevahendite kohta, mis on seotud neid mõjutavate otsuste või tavadega. • Lisatakse jagu avaliku sektori avaandmete taaskasutamise normide kohta, mis varem olid direktiivi (EL) 2019/1024 (avaandmete direktiiv) normid. • Määratletakse selle jao kohaldamisala, sealhulgas selle kohaldamata jätmine teatavatesse kategooriatesse kuuluvate kaitstud andmete suhtes, mis kuuluvad avaliku sektori asutuste valduses olevate andmete ja dokumentide taaskasutamist käsitleva üldpeatüki kohaldamisalasse. • Sätestatakse avaliku sektori avaandmete taaskasutamise üldpõhimõte. • Sätestatakse avaliku sektori avaandmete taaskasutamise taotluste menetlemise normid, lisades direktiivi (EL) 2019/1024 (avaandmete direktiiv) endise sätte. • Kehtestatakse normid avaliku sektori avaandmete taaskasutamiseks kättesaadavate vormingute kohta, mis varem sisaldusid direktiivis (EL) 2019/1024 (avaandmete direktiiv). • Kehtestatakse normid seoses avaliku sektori avaandmete eest tasu võtmisega, mida varem reguleeriti direktiiviga (EL) 2019/1024 (avaandmete direktiiv). Uue normi kohaselt võivad avaliku sektori asutused võtta väga suurtelt ettevõtetelt taaskasutamise eest suuremat tasu. Sellised tasud peavad olema proportsionaalsed ja nende summa peab põhinema objektiivsetel kriteeriumidel. • Kehtestatakse normid avaliku sektori avaandmete taaskasutamise standardlitsentside kohta, mis varem sisaldusid direktiivis (EL) 2019/1024 (avaandmete direktiiv). Uue normi kohaselt võivad avaliku sektori asutused näha väga suurtele ettevõtetele ette eritingimused. Sellised tingimused peavad olema proportsionaalsed ja põhinema objektiivsetel kriteeriumidel. • Varem direktiivis (EL) 2019/1024 (avaandmete direktiiv) sisaldunud normid praktiliste vahendite kohta lisatakse määrusesse (EL) 2023/2854 (andmemäärus), et hõlbustada taaskasutamiseks kättesaadavate andmete või dokumentide otsimist. • Varem direktiivis (EL) 2019/1024 (avaandmete direktiiv) sisaldunud normid teadusandmete kohta lisatakse määrusesse (EL) 2023/2854 (andmemäärus). • Varem direktiivis (EL) 2019/1024 (avaandmete direktiiv) sisaldunud normid väärtuslike andmestike kohta lisatakse määrusesse (EL) 2023/2854 (andmemäärus). • Luuakse uus jagu teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise kohta, et lisada sellesse peatükki määruse (EL) 2022/868 ET 18 ET  (andmehalduse määrus) II peatüki endised normid. Punktis kirjeldatakse selle kolmanda jao kohaldamisala, millega välistatakse avaliku sektori avaandmete taaskasutamise korda reguleeriva teise jao kohaldamisalasse kuuluvad andmed ja dokumendid. Uue normi kohaselt kuuluvad dokumendid selle jao kohaldamisalasse. • Sätestatakse teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamisega seotud üldpõhimõte. See on määruse (EL) 2022/868 (andmehalduse määrus) II peatükis sätestatud põhimõte, mille kohaselt kõnealuse jaoga ei kehtestata avaliku sektori asutustele kohustust lubada kaitstud andmete taaskasutamist, vaid nähakse ette miinimumtingimused, mille alusel avaliku sektori asutused otsustavad sellised andmed taaskasutamiseks kättesaadavaks teha. • Lihtsustatud ja ühtlustatud kujul kehtestatakse normid, mis käsitlevad teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise tingimusi, mis olid varem sätestatud määruse (EL) 2022/868 (andmehalduse määrus) II peatükis. See hõlmab selgitust, selle kohta, milliseid norme kohaldatakse juhul, kui isikuandmed on anonüümitud. Isikustamata andmete kolmandatesse riikidesse edastamise suhtes kohaldatavad nõuded säilitatakse, kuid need esitatakse eraldi uue artiklina punkti 54 alla. • Tasude võtmist käsitlevad normid, mis varem moodustasid osa määruse (EL) 2022/868 (andmehalduse määrus) II peatükist, lisatakse määrusesse (EL) 2023/2854 (andmemäärus). Uue normi kohaselt võivad avaliku sektori asutused näha väga suurtele ettevõtetele ette suuremad taaskasutamise tasud. Sellised tasud peavad olema proportsionaalsed ja põhinema objektiivsetel kriteeriumidel. Erimeetmeid, mille eesmärk oli soodustada taaskasutamist VKEde poolt, laiendatakse ka väikestele keskmise turukapitalisatsiooniga ettevõtjatele. • Pädevaid asutusi käsitlevad normid, mis varem moodustasid osa määruse (EL) 2022/868 (andmehalduse määrus) II peatükist, lisatakse määrusesse (EL) 2023/2854 (andmemäärus). Pädevate asutuste ülesanne on aidata avaliku sektori asutustel vastata andmete ja dokumentide taaskasutamise taotlustele, mida käsitletakse 3. jaos. • Ühtseid teabepunkte käsitlevad normid, mis varem moodustasid osa määruse (EL) 2022/868 (andmehalduse määrus) II peatükist, lisatakse määrusesse (EL) 2023/2854 (andmemäärus). Ühtsete teabepunktide eesmärk on aidata taaskasutajatel leida lihtsal viisil teavet teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise kohta. • Teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise taotluste menetlemist käsitlevad normid, mis varem olid sätestatud määruse (EL) 2022/868 (andmehalduse määrus) II peatükis, lisatakse määrusesse (EL) 2023/2854 (andmemäärus). Lõikega 57 integreeritakse põhieeskirjad Euroopa Andmeinnovatsiooninõukogu kohta, mis on andmemääruse järjepideva täitmise tagamise küsimustes komisjoni nõustav rühm, mis toimib andmemajanduse valdkonnas poliitikakujundamise koordineerimise foorumina. Sellega integreeritakse põhieeskirjad andmemäärusesse. Muudatused võimaldavad komisjonil muuta asjaomaseid Euroopa Andmeinnovatsiooninõukogu alusdokumente (komisjoni 20. veebruari 2023. aasta otsus C(2023) 1074 final) ja laiendada selle liikmeskonda, kaasates peale pädevate asutuste ka liikmesriikide poliitikat kujundavate asutuste esindajad. ET 19 ET  Lõiked 61–65 sisaldavad määruse (EL) 2023/2854 (andmemäärus) komiteemenetlust ja volituste delegeerimist käsitlevate sätete muudatusi ning lõige 66 sisaldab määruse (EL) 2022/868 (andmehalduse määrus) muudatusi, mis on vajalikud määruse (EL) 2022/868 (andmehalduse määrus) ja direktiivi (EL) 2019/1024 (avaandmete direktiiv) normide lisamiseks määrusesse (EL) 2023/2854 (andmemäärus). Lõikega 68 laiendatakse hindamise kontekstis VKEdele suunatud eritähelepanu väikestele keskmise turukapitalisatsiooniga ettevõtjatele ning lõikega 69 kehtestatakse määrusesse (EL) 2023/2854 (andmemäärus) lisatud uute normide hindamine. Artikliga 2 lisatakse määruse (EL) 2018/174 lisasse seoses „ettevõtte asutamise, juhtimise ja tegevuse lõpetamisega“ asjakohased viited andmevahendusteenustele ja andmealtruismile. Määruse (EL) 2016/679, määruse (EL) 2018/1725 ja direktiivi 2002/58/EÜ muutmine Ettepaneku artikliga 3 tehakse määrusesse (EL) 2016/679 (isikuandmete kaitse üldmäärus) sihtotstarbelised muudatused. Artikliga 3 tehakse järgmised muudatused Lõikega 1 selgitatakse määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artiklis 4 esitatud isikuandmete mõistet ning sedastatakse, et teavet ei käsitata konkreetse üksuse puhul isikuandmetena, kui sellel üksusel puuduvad vahendid, mida mõistliku tõenäosusega kasutada selle füüsilise isiku tuvastamiseks, keda teave puudutab. Sellest tulenevalt ei kuulu selline üksus põhimõtteliselt kõnealuse määruse kohaldamisalasse. Lõikega 2 nähakse ette kaks täiendavat erandit seoses isikuandmete eriliikide töötlemisega. Nähakse ette erand biomeetriliste andmete töötlemise üldisest keelust, kui selline töötlemine on vajalik andmesubjekti identiteedi kinnitamiseks ning kui sellise kontrolli tegemiseks vajalikud andmed ja vahendid on asjaomase andmesubjekti ainukontrolli all. Samuti sätestatakse erand, mis puudutab isikuandmete eriliikide jääkide töötlemist tehisintellektisüsteemi või -mudeli arendamiseks ja käitamiseks, kui täidetud on teatavad tingimused, sealhulgas võetud asjakohased organisatsioonilised ja tehnilised meetmed, et vältida isikuandmete eriliikide kogumist ja selliste andmete eemaldamist. Lõikega 3 täpsustatakse määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artikli 12 kohast olukorda, kus andmesubjektid kuritarvitavad õigust tutvuda andmetega ja kasutavad seda muul eesmärgil kui oma isikuandmete kaitseks. Sellisel juhul võib vastutav töötleja keelduda taotluse rahuldamisest või nõuda mõistlikku tasu. Lisaks täpsustatakse tingimusi, mille alusel saab tõendada, et juurdepääsutaotlus oli ülemäärane. Lõikes 4 käsitletakse vastutava töötleja kohustust teavitada andmesubjekte nende isikuandmete töötlemisest vastavalt määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artiklile 13 ning kaotatakse see kohustus olukordades, kus on mõistlik alus eeldada, et andmesubjektil on see teave juba olemas, välja arvatud juhul, kui vastutav töötleja edastab andmed teistele andmesaajatele või andmesaajate kategooriatele, edastab andmed kolmandasse riiki, teeb automatiseeritud otsuseid või kui töötlemine võib kujutada suurt ohtu andmesubjekti õigustele. Lõikega 5 selgitatakse määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artikli 22 kohaseid automatiseeritud töötlusel põhinevate üksikotsuste tegemise nõudeid seoses andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimise või täitmisega, eelkõige seda, et „vajalikkuse“ nõue kehtib sõltumata sellest, kas otsus võidakse teha muul viisil kui ainult automatiseeritud vahendite abil. ET 20 ET  Lõikega 6 viiakse vastutava töötleja kohustus teavitada pädevat järelevalveasutust andmetega seotud rikkumisest määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) artikli 33 alusel vastavusse tema kohustusega teavitada andmesubjekte sellistest rikkumistest, ning sätestatakse, et teavitamine on nõutav ainult juhul, kui andmetega seotud rikkumine võib tõenäoliselt kujutada endast suurt ohtu andmesubjekti õigustele. Samuti pikendatakse teavitamise tähtaega 96 tunnini. Tehakse ka ettepanek, et vastutavad töötlejad kasutaksid andmetega seotud rikkumisest järelevalveasutusele teatamiseks ühtset kontaktpunkti. Lisaks pannakse Euroopa Andmekaitsenõukogule kohustus koostada ja esitada komisjonile ettepanek andmetega seotud rikkumistest teatamise ühtse vormi kohta ning komisjoni volitatakse see vorm rakendusaktiga vastu võtma, vajaduse korral pärast selle läbivaatamist. Lõikega 7 ühtlustatakse nende töötlemistoimingute loetelud, mis nõuavad või ei nõua andmekaitsealase mõjuhinnangu tegemist, ning sätestatakse, et ELi tasandil esitatakse ühtsed loetelud töötlemistoimingutest, mis nõuavad või ei nõua andmekaitsealase mõjuhinnangu tegemist, aidates sellega ühtlustada suure ohu mõistet. Euroopa Andmekaitsenõukogule pannakse kohustus koostada selliste loetelude ettepanekud. Samuti pannakse talle kohustus koostada andmekaitsealase mõjuhinnangu ühtse vormi ja ühtse metoodika ettepanek ning komisjoni volitatakse seda ettepanekut rakendusaktiga vastu võtma, vajaduse korral pärast selle läbivaatamist. Lõikes 8 sätestatakse, et komisjon võib koos Euroopa Andmekaitsenõukoguga toetada vastutavaid töötlejaid selle hindamisel, kas pseudonüümimise tulemusel tekkivad andmed ei kujuta endast isikuandmeid, täpsustades sellise hindamise jaoks asjakohased vahendid ja kriteeriumid, sealhulgas tagasituvastuse ohu hindamiseks kasutatavate tehniliste vahendite ja kriteeriumide taseme. Lõikega 12 kujundatakse ümber lõppseadmetes (ühendatud seadmetes) olevate või lõppseadmetest saadud isikuandmete töötlemise õiguslik kord, mis on praegu sätestatud direktiivis 2002/58/EÜ (e-privaatsuse direktiiv). Määrusesse (EL) 2016/679 (isikuandmete kaitse üldmäärus) lisatakse uus artikkel 88a, milles sätestatakse nõue saada nõusolek isikuandmete talletamiseks füüsiliste isikute lõppseadmetesse või lõppseadmetes olevatele andmetele juurdepääsuks ning millega kaasatakse lõppseadmetes olevate ja lõppseadmetest saadud isikuandmete töötlemine määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) normide hulka. Määrusesse (EL) 2016/679 (isikuandmete kaitse üldmäärus) lisatakse uus artikkel 88b, mis käsitleb konkreetsete valikute automatiseeritud ja masinloetavas vormingus märkimist ning selliste märgete arvessevõtmist veebisaitide pakkujate poolt pärast seda, kui kättesaadavaks on tehtud sellekohased standardid. Artikliga 4 tehakse järgmised muudatused Ettepaneku artikliga 4 tehakse määrusesse (EL) 2018/1725 sihtotstarbelised muudatused, et viia selle tekst vastavusse artikliga 3 määrusesse (EL) 2016/679 tehtavate muudatustega. Artikliga 5 tehakse järgmised muudatused Artiklis 5 sätestatakse muudatused, mis tehakse direktiivis 2002/58/EÜ eraelu puutumatuse ja elektroonilise side kohta (e-privaatsuse direktiiv). Kõnealuse direktiivi artikkel 4 tunnistatakse kehtetuks. Direktiivi artikli 5 lõike 3 täiendus võimaldab viia füüsilise isiku lõppseadmesse isikuandmete talletamist ja neile andmetele lõppseadmest juurdepääsu käsitlevad normid üle määrusesse (EL) 2016/679 (isikuandmete kaitse üldmäärus), lisades määrusesse (EL) 2016/679 (isikuandmete kaitse üldmäärus) uue artikli 88a, nagu on eespool kirjeldatud. Intsidentidest teatamise ühtne kontaktpunkt ET 21 ET  Artikliga 6 tehakse järgmised muudatused Lõigetega 1 ja 2 luuakse intsidentidest teatamise ühtne kontaktpunkt, lisades ENISA-le esitatavad konkreetsed nõuded. Lisaks sätestatakse, et küberturvalisuse 2. direktiivi kohane intsidentidest teatamine peaks toimuma uue ühtse kontaktpunkti kaudu. Artikliga 7 tehakse järgmine muudatus: sätestatakse, et ühtset kontaktpunkti on kohustuslik kasutada ka määruse (EL) nr 910/2014 (eIDASe määrus) kohaseks intsidentidest teatamiseks. Artikliga 8 tehakse järgmine muudatus: sätestatakse, et ühtset kontaktpunkti on kohustuslik kasutada ka määruse (EL) 2022/2554 (digitaalse tegevuskerksuse määrus) puhul. Artikliga 9 tehakse järgmine muudatus: sätestatakse, et ühtset kontaktpunkti on kohustuslik kasutada ka direktiivi (EL) 2022/2557 (elutähtsa teenuse osutajate toimepidevuse direktiiv) puhul. Lisaks sätestatakse artikli 3 lõikes 6, et ka määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) kohaseks andmetega seotud rikkumistest teatamiseks on kohustuslik kasutada ühtset kontaktpunkti. Artikli 5 lõikega 1 tunnistatakse kehtetuks direktiivi 2002/58/EÜ (e- privaatsuse direktiiv) aruandlusnõuded, kuna need on määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) sätteid arvesse võttes iganenud. Õigusaktide kehtetuks tunnistamine ja lõppsätted Artikliga 10 tehakse järgmised muudatused Lõikega 1 tunnistatakse kehtetuks määrus (EL) 2019/1150 (P2B-määrus), mida ei peeta enam asjakohaseks, võttes arvesse hiljutisi õigusnorme, mis käsitlevad suures osas samu küsimusi. Erandina käsitletakse lõikes 2 kõiki muudes õigusaktides sisalduvaid viiteid määrusele (EL) 2019/1150 (P2B-määrus): need jäävad kehtima kuni nende muutmiseni algsetes õigusaktides, mida tehakse hiljemalt 31. detsembriks 2032, et vältida õiguskindlusetust. Lõikega 3 tunnistatakse kehtetuks määrusesse (EL) 2023/2854 (andmemäärus) üle võetud õigusaktid. Artiklis 11 esitatakse muutmismääruse lõppsätted. ET 22 ET  2025/0360 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikleid 16 ja 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust21, võttes arvesse Euroopa Keskpanga arvamust22, võttes arvesse Regioonide Komitee arvamust23, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1) Teatises „Lihtsam ja kiirem Euroopa“24 teatas komisjon oma kindlast kavatsusest viia ellu ambitsioonikas programm, et edendada tulevikku vaatavaid uuenduslikke poliitikameetmeid, mis tugevdavad liidu konkurentsivõimet ning vähendavad oluliselt inimeste, ettevõtete ja haldusasutuste regulatiivset koormust, säilitades samal ajal liidu väärtuste edendamisel kõrgeimad standardid. Seetõttu seadis komisjon prioriteediks õigusaktide, sealhulgas digivaldkonna õigusaktide viivitamatu kohandamise ettepaneku, et tegeleda liidu konkurentsivõime probleemiga. (2) Liidu digivaldkonna õigusaktidega on liidus kehtestatud ranged standardid ja need õigusaktid võivad anda jõulise konkurentsieelise ettevõtetele, mis järgivad õigusnorme, tagades maailmatasemel kvaliteedi, ohutuse ja usaldusväärsuse. 21 ELT C […], […], lk […]. 22 ELT C […], […], lk […]. 23 ELT C […], […], lk […]. 24 Komisjoni teatis Euroopa Parlamendile, nõukogule, Euroopa Majandus- ja Sotsiaalkomiteele ning Regioonide Komiteele „Lihtsam ja kiirem Euroopa: teatis rakendamise ja lihtsustamise kohta“ (COM(2025) 47 final, 11. veebruar 2025). ET 0 ET  Digivaldkonna õigusnormidega on liidus loodud selged tegevusreeglid nii vastutustundlikele ettevõtetele (nendega tagatakse ettevõtjatevahelistes suhetes õiglus ja läbipaistvus, stimuleeritakse uuenduslikke ärimudeleid ning kehtestatakse tarbijakaitse ja -ohutuse ranged nõuded) kui ka põhiõiguste kaitseks, eelkõige eraelu puutumatuse ja andmekaitse tagamiseks. (3) Liidu digivaldkonna õigusakte on viimastel aastatel järk-järgult muudetud, et reageerida digitehnoloogia kiiresti kasvavale mõjule liidu majanduses ja ühiskonna arengus ning eesmärgiga lahendada tekkivad probleemid ja edendada ärivõimalusi ELis. Hoolimata komisjoni võetud kohustusest teha digivaldkonna normidele ja muudele liidu normidele süstemaatiline stressitest, mille tulemusena võidakse teha õigusaktidesse täiendavaid kohandusi, eriti pärast eelseisvat digitaalse toimivuse kontrolli, ning viia läbi muid digivaldkonna normide sihtotstarbelisi hindamisi, on õigusaktide muudatused viivitamatult vajalikud. Seetõttu esitatakse käesolevas määruses digivaldkonna õigusraamistiku esimesed muudatused, mille eesmärk on muuta õigusakte viivitamatult selgemaks, et stimuleerida innovatsiooni liidu turul ja vähendada eelkõige ettevõtete nõuete täitmisega seotud halduskulusid, vähendades samal ajal ka järelevalveasutuste ja nõuandvate organite järelevalve- ja halduskulusid. Samuti on muudatuste eesmärk tagada selgus üksikisikutele. (4) Võttes arvesse andmete olulist rolli väärtuse loomisel digimajanduses ning vastavalt Euroopa andmeliidu strateegiat käsitleva teatise eesmärkidele, on käesolevas määruses esitatud andmeid käsitlevate õigusaktide muudatuste eesmärk luua andmete kättesaadavuse ja kasutamise ühtne ja sidus õigusraamistik , lihtsustades andmevaldkonna õigusraamistikku ja konsolideerides viis praegu kehtivat õigusakti ainult kahte õigusakti, nimelt Euroopa Parlamendi ja nõukogu määrustesse (EL) 2016/67925 ja (EL) 2023/285426. Muudatuste eesmärk on vähendada tarbetuid halduskulusid ja soodustada andmete kättesaadavust, mis on liidu konkurentsivõimeliste digiettevõtete toetamise eeltingimus, säilitades samal ajal eraelu puutumatuse, isikuandmete kaitse ja ausate äritavade kaitse kõrgeima taseme ning tagades peamised regulatiivsed eesmärgid, sealhulgas vastavuse ELi ja riikide konkurentsiõigusele. (5) Tunnistades horisontaalsete ja sektoripõhiste õigusnormide järkjärgulist arengut, on vältimatu, et tegeleda tuleb ka konkreetsete sätete kattumisega, mis põhjustab halduskoormuse tarbetut dubleerimist. See kehtib mitmes õigusnormis sätestatud nõuete kohta, mis käsitlevad küberintsidentidest ja nendega seotud intsidentidest teatamist pärast nende toimumist ning mille puhul võivad käesolevas määruses välja pakutud digilahendused tuua kõigi asjaomaste sektorite ettevõtetele kohest leevendust. (6) Samamoodi on veebiplatvormide järkjärguline reguleerimine viimastel aastatel viinud selleni, et uuemad õigusnormid on loonud selgema ja ambitsioonikama raamistiku kui 25 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). 26 Euroopa Parlamendi ja nõukogu 13. detsembri 2023. aasta määrus (EL) 2023/2854 ühtlustatud õigusnormide kohta, millega reguleeritakse õiglast juurdepääsu andmetele ja andmete kasutamist, millega muudetakse määrust (EL) 2017/2394 ja direktiivi (EL) 2020/1828 (andmemäärus). ET 1 ET  mõned varasemad, muutes viimased iganenuks. Seetõttu on vaja õigusraamistikku edasi arendada, kõrvaldades kõik tarbetud dubleerimised, mis muudavad õigusliku olukorra keerulisemaks. (7) Euroopa Parlamendi ja nõukogu määrusega (EL) 2022/86827 on kehtestatud vahendustegevuse normid kolmes erinevas keskkonnas: a) funktsioonid, mis toetavad avaliku sektori asutuste valduses olevate kaitstud andmete taaskasutamist kontrollitud tingimustel; b) andmevahendusteenused, mis hõlbustavad andmete jagamist andmesubjektide, -valdajate ja -kasutajate vahel, ning c) andmealtruismiorganisatsioonid, mis toetavad andmesubjektide ja -valdajate poolt altruistlikul või filantroopsel alusel kättesaadavaks tehtud andmete kasutamist. Avaliku sektori valduses olevate kaitstud andmete taaskasutamist toetavad funktsioonid on tihedalt seotud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2019/102428 normidega. Nende vastastikune mõju on tekitanud segadust eelkõige avaliku sektori asutuste seas. Seega on vaja need kaks normistikku ühendada. Andmevahendusteenuseid käsitlevate normide hindamine on näidanud, et andmevahendusteenuse osutajate määratluses on puudusi ja et normid on liiga ranged, et teenuseosutajad saaksid leida kestliku finantsmudeli. Seega on vaja ka seda korda ühtlustada. Andmealtruismi puhul tundub, et teatavad määruse (EL) 2022/868 normid, eelkõige need, mis puudutavad liikmesriikide kohustust luua andmealtruismi riiklik poliitika, „eeskirja“ koostamist ja Euroopa andmealtruismi nõusolekuvormi väljatöötamist, on ebavajalikud, seda ka siis, kui võetakse arvesse Euroopa Parlamendi ja nõukogu määruse (EL) 2016/67929 artiklis 68 osutatud Euroopa Andmekaitsenõukogu käimasolevat tööd selliste suuniste väljatöötamiseks, mis käsitlevad isikuandmete töötlemist teadusuuringute kontekstis. (8) Kuigi andmevahendusteenuste tähtsust on tunnustatud paljudes andmete jagamist ja koostööd toetavates algatustes, tuleks selgitada määruse (EL) 2022/868 sätteid, mis käsitlevad andmevahendusteenuse osutajaid. Eelkõige tuleks täpsustada selliste teenuseosutajate määratlust. Välja tuleks jätta elemendid, mis olid pigem illustreerivad näited kui erandid. Lisaks tuleks kõrvaldada ebaselgest sõnastusest tulenevad lüngad, eelkõige seoses mõistega „suletud grupp“. Teenuseid ei peaks saama registreerida andmevahendusteenustena, kui neid kasutab ainult ettevõtjate suletud grupp ja kui selle ettevõtjate grupi laiendamise üle otsustab ainult see grupp, mitte teenuseosutaja. Veelgi olulisem on, et selle tekkiva turu allutamine kohustuslikule korrale on tekitanud tarbetuid nõuete täitmisega seotud kulusid. Turu praeguses arenguetapis tundub piisavat vabatahtlikust korrast, mis võimaldab neutraalsetel osalistel eristuda teistest osalistest. Samuti tuleks kestlike ärimudelite võimaldamiseks seda korda leevendada ja 27 Euroopa Parlamendi ja nõukogu 30. mai 2022. aasta määrus (EL) 2022/868 Euroopa andmehalduse kohta ning millega muudetakse määrust (EL) 2018/1724 (andmehalduse määrus) (ELT L 152, 3.6.2022, lk 1, ELI: http://data.europa.eu/eli/reg/2022/868/oj). 28 Euroopa Parlamendi ja nõukogu 20. juuni 2019. aasta direktiiv (EL) 2019/1024 avaandmete ja avaliku sektori valduses oleva teabe taaskasutamise kohta (ELT L 172, 26.6.2019, lk 56, ELI: http://data.europa.eu/eli/dir/2019/1024/oj). 29 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj). ET 2 ET  kaotada nõue, et andmevahendusteenused ja muud lisaväärtusega teenused, mida teenuseosutajal peaks olema võimalik pakkuda, peavad olema õiguslikult eraldiseisvad, ning asendada see funktsionaalse eraldamisega, säilitades sealjuures teatavad kaitsemeetmed. Haldusjärelevalve korda tuleks lihtsustada. Andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide riiklike ja liidu avalike registrite asemel peaksid olema ainult liidu avalikud registrid, nimelt üks andmevahendusteenuse osutajate jaoks ja teine andmealtruismiorganisatsioonide jaoks. Pädevad asutused, kes teostavad järelevalvet märgise andmise ja ettevõtete nõuetele vastavuse üle, peaksid olema seda ülesannet täites sõltumatud. Seda tuleks mõista nii, et nad on andmevahendusteenusest või andmealtruismiorganisatsioonist õiguslikult ja funktsionaalselt sõltumatud, sealhulgas kõrgema juhtkonna tasandil. Valitsusasutustel peaks olema võimalik andmevahendusteenuse osutajaid või andmealtruismiorganisatsioone rahaliselt toetada, eriti võttes arvesse nende üksuste kujunevat iseloomu, tingimusel et need on õiguslikult eraldiseisvad üksused. Selleks et tagada, et tunnustatud üksused on kogu liidus kergesti tuvastatavad, kehtestas komisjon rakendusmääruse (EL) 2023/1622 liidus tunnustatud andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide tuvastamiseks kasutatavate ühtsete logode kujunduse kohta. (9) Määrusega (EL) 2023/2854 kõrvaldatakse andmetele juurdepääsu ja nende kasutamise takistused, avatakse andmepõhise innovatsiooni ja konkurentsivõime võimalused ning kaitstakse andmetehnoloogiasse investeerijate huve. (10) Määruse (EL) 2023/2854 II peatükis nõutakse andmevaldajatelt, et nad teeksid andmed, sealhulgas ärisaladusena kaitstud andmed, kättesaadavaks kasutajatele ja nende valitud kolmandatele isikutele, tingimusel et säilitatakse andmevaldaja kehtestatud konfidentsiaalsusmeetmed. See konfidentsiaalsuse säilitamise nõue täiendab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/943,30 millega on liidu piires kehtestatud ärisaladuste kaitse standard. Ärisaladuste avalikustamine kolmandate riikide üksustele võib siiski suurendada ohtu nende saladuste puutumatusele ja konfidentsiaalsusele, kui tegemist on jurisdiktsioonidega, kus kaitse on ebapiisav või selle tegelik jõustamine keeruline, mis võib kaasa tuua asjaomaste ärisaladuste loata kasutamise, majandusliku kahju ja õiguskindlusetuse. (11) On vaja tugevdada määrust (EL) 2023/2854 ja kehtestada andmevaldajatele täiendav alus ärisaladuste avalikustamisest keeldumiseks, täiendades olemasolevaid sätteid, mis lubavad keelduda, kui andmevaldaja tõendab, et tõsise majandusliku kahju tekkimine on väga tõenäoline. Uue sätte kohaselt võivad andmevaldajad keelduda ärisaladuste avalikustamisest, kui nad tõendavad, et on suur risk, et toimub ebaseaduslik omandamine, kasutamine või avalikustamine üksustele, kelle suhtes kohaldatakse ebapiisava kaitsega, mitte samaväärset või liidus kohaldatavatest eeskirjadest leebema õigusraamistikuga korda. Uus säte hõlmab ka juhtumeid, kus kolmanda riigi õigusraamistik on teoreetiliselt tugev või läheb asjaomastest liidu õigusnormidest kaugemale, kuid praktikas ei jõustata seda nõuetekohaselt. Sellised riskid suurendavad 30 Euroopa Parlamendi ja nõukogu 8. juuni 2016. aasta direktiiv (EL) 2016/943, milles käsitletakse avalikustamata oskusteabe ja äriteabe (ärisaladuste) ebaseadusliku omandamise, kasutamise ja avalikustamise vastast kaitset (ELT L 157, 15.6.2016, lk 1). ET 3 ET  võimalust, et ärisaladusi võidakse omandada, kasutada või avalikustada liidu õigust rikkudes, mis ohustab ärisaladuste puutumatust ja konfidentsiaalsust. (12) Keeldumismehhanismi aktiveerimine peaks jääma vabatahtlikuks ja tõendamine peaks toimuma ainult selle aktiveerimise korral. Andmevaldajatelt ei tohiks andmete jagamisest või ärisaladuste avalikustamisest keeldumise põhjendamise eeltingimusena nõuda kolmandates riikides kohaldatava või kolmanda riigi üksuse poolt rakendatava ärisaladuste kaitse taseme täielikku analüüsi või tõendamist. Tõendamisel võivad andmevaldajad arvesse võtta mitmesuguseid tegureid, nagu ebapiisavad või puudulikud õigusnormid, puudulik või meelevaldne täitmise tagamine, varasemad rikkumised, liidu õigusega vastuolus olevad välisriikide avalikustamiskohustused, liidu üksuste piiratud õiguskaitsevõimalused või -vahendid, menetlusliku taktika strateegiline kuritarvitamine konkurentide kahjustamise eesmärgil või lubamatu poliitiline mõju. Võttes arvesse asjaomaste üksuste, kolmandate riikide ja andmete jagamise stsenaariumide mitmekesisust, peaksid andmevaldajad keskenduma hindamisel ja tõendamisel asjakohastele riskidele ning tegutsema vastavalt, sealhulgas kehtestades asjakohased kaitsemeetmed või aktiveerides keeldumismehhanismi. Keeldumine peaks olema selge, proportsionaalne ja kohandatud iga juhtumi konkreetsetele asjaoludele ning seda ei tohiks kohaldada süstemaatiliselt või üldistatult kogu kolmanda riigi suhtes. (13) Ärisaladuste ebapiisav kaitse ja selle jõustamise raskused kolmandates riikides võivad tekitada Euroopa ettevõtetele pöördumatut kahju. Seega on eesmärk tugevdada ärisaladuste kaitsemeetmeid, takistades nende lekitamist füüsilistele või juriidilistele isikutele, kes on asutatud sellist ohtu kujutavates jurisdiktsioonides või kuuluvad nende jurisdiktsiooni alla. See hõlmab kolmandate riikide üksuste kontrolli all olevaid liidus asuvaid üksusi, kes võivad tegutseda pahauskselt või kolmandate riikide üksuste variisikutena. Lisaks on eesmärk vältida otsest kokkupuudet liidus tegutsevate kolmandate riikide üksustega, mis kuuluvad selliste jurisdiktsioonide alla. Kolmanda riigi jurisdiktsiooni alla kuulumine tähendab, et füüsiline või juriidiline isik on kolmanda riigi õigusnormidega või kolmanda riigi reguleeriva asutuse poolt õiguslikult reguleeritud või juhitud või muul viisil nendega seotud. Kolmandate riikide emaettevõtjate tütar- või sidusettevõtjad võivad neid jurisdiktsioone ära kasutada, et vältida liidu õigusaktide kohaldamist või hoiduda nende täitmisest. Otsene või kaudne kontroll tähendab võimet avaldada kas kapitali või hääleõiguste omamise, finantsosaluse, lepinguliste kokkulepete või vahendavate üksuste kaudu otsustavat või domineerivat mõju teise üksuse juhtimisele või strateegilistele otsustele. Kontrolli võib teostada otseselt või muude vahendite abil, isegi ilma enamusosaluseta. Andmevaldajad peaksid tegema asjakohase teabe saamiseks kõik endast oleneva, mis võib hõlmata otsinguid avalikes registrites või teabe taotlemist otse kasutajalt või kolmandalt isikult, tagades samal ajal, et see tegevus jääb asjakohaselt mittesekkuvaks. (14) Ärisaladuste kaitsmine selliste nõrkuste eest on Euroopa tootmisharude jaoks hädavajalik, et säiliks nende turupositsioon ja konkurentsieelis. Kuigi andmevaldajad võivad oma ärisaladusi kaitsta oma äranägemise järgi, peaks andmete jagamisest keeldumine piirduma põhjendatud erandjuhtudega, et säilitada määruse (EL) 2023/2854 eesmärgid, milleks on liidus andmepõhise innovatsiooni ja eduka digimajanduse edendamine. Tuleks säilitada kaitsemeetmed keeldumismehhanismi väärkasutamise vastu, sealhulgas andmevaldaja kohustus nõuetekohaselt põhjendatult tõendada, et avalikustamine kujutab endast suurt riski, ning teavitada sellest pädevaid asutusi. Selline tõendamine tuleb esitada kasutajale või kolmandale isikule viivitamata ET 4 ET  kirjalikult ning see peab olema proportsionaalne asjaomase juhtumiga. Kõik asjaosalised peaksid otsust ja seda toetavat tõendamist käsitlema konfidentsiaalsena, et säilitada asjaomaste ärisaladuste konfidentsiaalsus. Kasutajad ja kolmandad isikud võivad vastavalt olukorrale esitada andmevaldaja otsuse peale kaebuse pädevale asutusele, kohtule või vaidluste lahendamise organitele. (15) Selleks et lihtsustada määruse (EL) 2023/2854 kohast ettevõtetelt riigile andmete jagamise raamistikku ning muuta selgemaks ebaselged sätted, millega varem kehtestati ettevõtjatele laiemad kohustused, on vaja kitsendada kõnealuse määruse V peatüki kohaldamisala, asendades termini „erakorraline vajadus“ terminiga „üldine hädaolukord“. Määruse (EL) 2023/2854 artikli 2 punktis 29 määratletud mõiste „üldine hädaolukord“ tagab seega, et kõnealuses peatükis sätestatud kohustusi kohaldatakse ainult selgelt määratletud kiireloomulistes olukordades, millega vähendatakse tehnilisi, halduslikke ja õiguslikke probleeme, millega ettevõtjad eelmise korra alusel kokku puutusid. See tagaks, et andmetaotlused on üldisele hädaolukorrale reageerimiseks, selle leevendamiseks või sellest taastumise toetamiseks asjakohased ja proportsionaalsed. Kuna Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 223/200931 alusel ajakohastatud Euroopa Liidu statistikaraamistikus ei käsitleta üldisi hädaolukordi, on oluline säilitada määruse (EL) 2023/2854 V peatükis sätestatud ametliku statistika roll, et tagada sellistes olukordades selgus ja toimivus. Samuti on vaja selgitada hüvitamise korda olukordades, kus mikro- ja väikeettevõtjad peavad esitama andmeid üldise hädaolukorra lahendamiseks, mille puhul sellistel ettevõtjatel on õigus nõuda hüvitist. (16) Selleks et vähendada õiguskindlusetust, mis võib pärssida uuenduslike ärimudelite kasutuselevõttu, on vaja tegeleda oluliste nõuetele vastavuse alaste ebamäärasuste ja koormusega, mis on seotud andmete jagamise kokkulepete täitmiseks sõlmitavaid nutilepinguid käsitlevate määruse (EL) 2023/2854 artikli 36 sätetega. Ühtlustatud standardite ja selgete määratluste puudumine selliste põhimõistete puhul nagu „töökindlus“, „juurdepääsukontroll“ ja „kooskõla lepingutingimustega“ koos „ohutu lõpetamise või katkestamise mehhanismi“ nõudega, mis võib olla vastuolus muutumatutel arvestusraamatutel põhinevate detsentraliseeritud või avalike plokiahelaarhitektuuridega, tekitas novaatoritele probleeme kulude ja võimaluste seisukohast. Lisaks võib kõnealuse määruse artikli 36 lõike 2 kohase vastavushindamisega seotud ebaselgus põhjustada ebaproportsionaalset koormust. Seega edendaks määruse (EL) 2023/2854 artikli 36 väljajätmine uute ärimudelite väljatöötamist ja turuletoomist, soodustaks innovatsiooni ja vähendaks takistusi kujunemisjärgus tehnoloogia kasutuselevõtul. (17) Teatavad andmetöötlusteenused, mis ei kuulu taristu teenusena osutamise (i.k: „Infrastructure as a Service“ ehk IaaS) mudeli alla, luuakse tellimustööna vastavalt 31 Euroopa Parlamendi ja nõukogu 11. märtsi 2009. aasta määrus (EÜ) nr 223/2009 Euroopa statistika kohta ning Euroopa Parlamendi ja nõukogu määruse (EÜ, Euratom) nr 1101/2008 (konfidentsiaalsete statistiliste andmete Euroopa Ühenduste Statistikaametile edastamise kohta), nõukogu määruse (EÜ) nr 322/97 (ühenduse statistika kohta) ja nõukogu otsuse 89/382/EMÜ, Euratom (millega luuakse Euroopa ühenduste statistikaprogrammi komitee) kehtetuks tunnistamise kohta (ELT L 87, 31.3.2009, lk 164, ELI: http://data.europa.eu/eli/reg/2009/223/oj). ET 5 ET  kliendi vajadustele või ökosüsteemile. Selliste andmetöötlusteenuste osutamine põhineb aeganõudvatel lepingueelsetel ja lepinguläbirääkimistel, mille käigus määratakse kindlaks kliendi erinõuded, ning sellele järgnevatel tehnilistel jõupingutustel, mille eesmärk on andmetöötlusteenust kohandada ja pakkuda kohandatud lahendust. Need on teenused, mida ei pakuta valmislahendusena, vaid mis individualiseeritakse vastavalt kliendi vajadustele, et pakkuda kohandatud lahendust, mille puhul teenuseosutaja on kohandanud enamiku andmetöötlusteenuse omadusi ja funktsioone kliendi konkreetsetele vajadustele, kusjuures klient ei saaks suuremat osa omadustest ja funktsioonidest kasutada, kui teenuseosutaja neid eelnevalt ei kohandaks. Need teenused erinevad määruse (EL) 2023/2854 artikli 31 lõikes 1 osutatud tellimustööna loodud andmetöötlusteenustest. Tellimustööna loodud andmetöötlusteenused on teenused, mille enamik põhiomadusi on loodud tellimustööna konkreetse kliendi erivajaduste rahuldamiseks, või andmetöötlusteenused, mida ei pakuta andmetöötlusteenuse osutaja teenusekataloogi kaudu laias kaubanduslikus mastaabis. Selleks et vältida lisakulusid ja halduskoormust, mis on seotud vajadusega enne 12. septembrit 2025 või sel kuupäeval sõlmitud lepingud uuesti avada ja nende üle läbi rääkida, on vaja selgitada, et määruse (EL) 2023/2854 VI peatüki kohaldamisalasse ei peaks kuuluma 12. septembril 2025 või enne seda kuupäeva sõlmitud lepingute alusel osutatavad teenustööna loodud teenused, välja arvatud kohustus vähendada vahetustasusid ja andmete väljaviimise tasusid ning lõpuks need kaotada. (18) Finantsplaneerimise ja investeeringute ligimeelitamisega seotud põhjustel võivad andmetöötlusteenuste osutajad, eriti VKEd ja väikesed keskmise turukapitalisatsiooniga ettevõtjad, eelistada ja pakkuda kindla kestusega lepinguid. On vaja selgitada, et andmetöötlusteenuste osutajad võivad lisada sellistesse lepingutesse proportsionaalsed ennetähtaegse lõpetamise trahvid, tingimusel et need ei takista andmetöötlusteenuste vahetamist. Lisaks lasub andmetöötlusteenuste osutajatel, kes on VKEd või väikesed keskmise turukapitalisatsiooniga ettevõtjad, eriti suur koormus, kuna olemasolevad andmetöötlusteenuste osutamise lepingud on vaja viia vastavusse määrusega (EL) 2023/2854. Seetõttu on vaja kehtestada nende teenuseosutajate jaoks erikord, kui nad osutavad 12. septembril 2025 või enne seda kuupäeva sõlmitud lepingute alusel muid andmetöötlusteenuseid kui taristu pakkumine teenusena. Võttes arvesse määruse (EL) 2023/2854 eesmärki võimaldada andmetöötlusteenuste vahetamist ja asjaolu, et vahetustasud, sealhulgas andmete väljaviimise tasud, on vahetamisele tõsiseks takistuseks, ei tohiks uus leebem kord, mida kohaldatakse tellimustööna loodud andmetöötlusteenuste või VKEde või väikeste keskmise turukapitalisatsiooniga ettevõtjate poolt osutatavate andmetöötlusteenuste suhtes, pärssida nende tasude järkjärgulist kaotamist. Selle eesmärgiga vastuolus olevaid lepingutingimusi tuleks käsitada nii, nagu neid ei oleks kunagi eksisteerinud, kui need sisalduvad lepingutes, mis käsitlevad nende kahe uue erikorra kohaldamisalasse kuuluvate teenuste osutamist. ET 6 ET  (19) Euroopa Parlamendi ja nõukogu määrusega (EL) 2018/180732 kehtestati liidus andmepõhise majanduse toetamise aluspõhimõte, mis toetab konkreetselt asutamisvabadust ja teenuste osutamise vabadust. „Andmete vaba liikumine“ liidus, mida on selgitatud andmete asukoha nõude keeluga, on endiselt aluspõhimõte, mis tagab ettevõtjatele õiguskindluse, ja see tuleks määruses (EL) 2023/2854 säilitada. Kõnealune säte ei mõjuta andmete töötlemist, kui seda tehakse Euroopa Liidu lepingu artikli 4 kohaselt väljaspool liidu õiguse kohaldamisala toimuva tegevuse raames, eelkõige seoses riikliku julgeolekuga. Samal ajal on määruse (EL) 2018/1807 muud sätted asendatud uuemate õigusnormidega. Eelkõige kehtestati määruse (EL) 2023/2854 VI peatükiga nüüdisaegne horisontaalne õigusraamistik, mis käsitleb andmetöötlusteenuste vahetamist ning millega muudeti määruse (EL) 2018/1807 artikkel 6 sisuliselt iganenuks. Nende sätete kooseksisteerimine on suurendanud ettevõtjate jaoks õiguslikku keerukust. Seetõttu tuleks määrus (EL) 2018/1807 kehtetuks tunnistada. (20) „Avaliku julgeoleku“ mõiste ELi toimimise lepingu artikli 52 tähenduses ja Euroopa Kohtu tõlgenduses hõlmab nii liikmesriigi sise- kui ka välisjulgeolekut ning ühiskonna turvalisuse küsimusi, selleks et eelkõige hõlbustada kuritegude uurimist, avastamist ja nende eest vastutusele võtmist. Selle puhul eeldatakse tõelise ja piisavalt tõsise ohu olemasolu, mis mõjutab ühte ühiskonna põhihuvi, nagu oht institutsioonide ja oluliste avalike teenuste toimimisele ning elanike ellujäämisele, samuti välissuhete või rahvaste rahumeelse kooseksisteerimise tõsise häirimise oht või oht sõjalistele huvidele. Vastavalt proportsionaalsuse põhimõttele peaksid andmete asukoha nõuded, mis on põhjendatud avaliku julgeoleku kaalutlustega, sobima taotletava eesmärgi saavutamiseks ega tohiks minna selle eesmärgi saavutamiseks vajalikust kaugemale. (21) Avaliku sektori teabe taaskasutamist innovatsiooni eesmärgil reguleerivad nii direktiiv (EL) 2019/1024 kui ka määruse (EL) 2022/868 II peatükk. Kahe normistiku vastastikune mõju on tekitanud peamiselt avaliku sektori asutuste jaoks õiguskindlusetust. Seetõttu on vaja koondada need õigusnormid ühte õigusakti, et tagada suurem õiguslik ühtsus ja õiguskindlus. (22) Kuna nii direktiivi (EL) 2019/1024 kui ka määruse (EL) 2022/868 eesmärk on suurendada avaliku sektori teabe taaskasutamist ja eesmärgiga lihtsustada õigusnorme nii avaliku sektori asutuste kui ka avaliku sektori teabe taaskasutajate seisukohast, on mõistlik tunnistada direktiiv (EL) 2019/1024 ja määrus (EL) 2022/868 kehtetuks ning ühtlustada neid kaht korda ja koondada õigusnormid käesoleva määruse ühte peatükki. See lahendus suurendab nende õigusnormide ühtlustamist kogu liidus, vähendab riiklike õigusaktide tõlgendamise ja rakendamisega seotud halduskoormust ning muudab ettevõtjate jaoks piiriüleste teenuste ja toodete arendamise lihtsamaks. Liikmesriigid peaksid pädevate asutuste määramisel tagama, et isegi kui määratakse sektoripõhised pädevad asutused, oleksid lõppkokkuvõttes kaetud kõik asjaomased sektorid. Käesolevas määruses esitatud muudatustega ei muudeta erinevate mõistete ja terminite tõlgendust, kui seda ei ole selgelt märgitud. 32 Euroopa Parlamendi ja nõukogu 14. novembri 2018. aasta määrus (EL) 2018/1807, mis käsitleb isikustamata andmete Euroopa Liidus vaba liikumise raamistikku (ELT L 303, 28.11.2018, lk 59, ELI: http://data.europa.eu/eli/reg/2018/1807/oj). ET 7 ET  (23) Andmed ja dokumendid, mida võib teha taaskasutamiseks avalikult kättesaadavaks, ning andmed ja dokumendid, mis on kaitstud äriteabe konfidentsiaalsuse, sealhulgas äri-, kutseala- ja äriühingu saladuste, statistiliste andmete konfidentsiaalsuse, kolmandate isikute intellektuaalomandi õiguste kaitse või isikuandmete kaitse alusel, on sageli samade avaliku sektori asutuste valduses. Seetõttu on vaja kogu avaliku sektori teabe suhtes kohaldatavad mõisted ja ühised põhimõtted ühtlustada ning tegeleda kahe normistiku vastastikuse mõju küsimustega. (24) Kehtivad õigusnormid tuleks ühtlustada, et suurendada selgust ja järjepidevust. Sellegipoolest peaksid kaks andmete taaskasutamise korda jääma eraldiseisvateks ning nende kohaldamisalad peaks jätkuvalt sõltuma andmete või dokumentide tunnustest ja nende taaskasutamise kontekstist. Avaliku sektori asutused peaksid võimaluse korral rakendama avaandmete korda. Ainult siis, kui nad leiavad, et andmed või dokumendid sisaldavad teatavatesse kategooriatesse kuuluvaid kaitstud andmeid, peaksid nad piirama nende avalikku kättesaadavust ja kaaluma nende taaskasutamiseks kättesaadavaks tegemist kaitstud andmetena. (25) Idufirmadel, väikeettevõtjatel ja ettevõtjatel, kes kvalifitseeruvad komisjoni soovituse 2003/361/EÜ33 lisa artikli 2 alusel keskmise suurusega ettevõtjateks, ning väiksema digivõimekusega sektorite ettevõtjatel on raskusi andmete ja dokumentide taaskasutamisega. Samal ajal on tekkinud mõned väga suured üksused, kellel on digimajanduses märkimisväärne majanduslik võim suurte andmemahtude kogumise ja koondamise kaudu ning tehnoloogiline taristu nende pealt raha teenimiseks. Nende väga suurte ettevõtjate hulka kuuluvad põhilisi platvormiteenuseid osutavad äriühingud, kes on Euroopa Parlamendi ja nõukogu määruse (EL) 2022/192534 kohaselt määratud pääsuvalitsejateks ning kellel on erikohustused tasakaalustamatuse kõrvaldamiseks. Sellise tasakaalustamatuse kõrvaldamiseks ning konkurentsi ja innovatsiooni tugevdamiseks peaks avaliku sektori asutustel olema võimalik seada litsentsides eritingimused, mis käsitlevad andmete ja dokumentide taaskasutamist väga suurte ettevõtjate poolt. Sellised tingimused peaksid olema proportsionaalsed ning põhinema objektiivsetel kriteeriumidel, milles võetakse arvesse majanduslikku võimsust, üksuse võimet andmeid hankida või määramist pääsuvalitsejaks määruse (EL) 2022/1925 alusel, ja vajaduse korral muudel sellistel kriteeriumidel. Sellised eritingimused võivad muu hulgas olla seotud tasude ja lõivudega või taaskasutamise eesmärkidega. (26) Pidades silmas innovatsiooni edendamist ja liidu digiturul ausa konkurentsi säilitamist, on hädavajalik tagada, et juurdepääs avaliku sektori andmetele ja nende taaskasutamine tooks kasu paljudele turuosalistele ega tugevdaks tahtmatult olemasolevaid turgu valitsevaid seisundeid. Väga suurtel ettevõtjatel, eelkõige määruse (EL) 2022/1925 kohaselt pääsuvalitsejaks määratud ettevõtjatel, on siseturul 33 Komisjoni 6. mai 2003. aasta soovitus mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.5.2003, lk 36, ELI: http://data.europa.eu/eli/reco/2003/361/oj). 34 Euroopa Parlamendi ja nõukogu 14. septembri 2022. aasta määrus (EL) 2022/1925, mis käsitleb konkurentsile avatud ja õiglaseid turge digisektoris ning millega muudetakse direktiive (EL) 2019/1937 ja (EL) 2020/1828 (digiturgude määrus) (ELT L 265, 12.10.2022, lk 1, ELI: http://data.europa.eu/eli/reg/2022/1925/oj). ET 8 ET  oluline võim ja mõju. Vältimaks olukorda, kus sellised üksused kasutavad oma märkimisväärselt suuri vahendeid ausa konkurentsi ja innovatsiooni kahjustamiseks, peaks avaliku sektori asutustel olema võimalik kehtestada avaliku sektori avaandmete ja kaitstud andmete taaskasutamiseks suuremaid tasusid ja lõive. Sellised suuremad tasud ja lõivud peaksid olema proportsionaalsed ja põhinema objektiivsetel kriteeriumidel, milles võetakse arvesse majanduslikku võimsust ja üksuse võimet andmeid hankida. See meede aitab kaitsta väiksemate ettevõtjate ja uute turuletulijate võimalusi teha uuendusi ja konkureerida digimajanduses. (27) Käesoleva määrusega tehakse määrusesse (EL) 2016/679 mitu sihtotstarbelist muudatust selgitamise ja lihtsustamise eesmärgil, säilitades ühtlasi samal tasemel andmekaitse. Määruse (EL) 2016/679 artiklis 4 on sätestatud, et isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida mõistliku tõenäosusega kasutatakse füüsilise isiku otseseks või kaudseks tuvastamiseks. Võttes arvesse Euroopa Liidu Kohtu praktikat isikuandmete mõiste kohta, on vaja selgitada, millal tuleks füüsilist isikut pidada tuvastatavaks. Andmesubjekti tuvastamist võimaldava täiendava teabe olemasolu ei tähenda iseenesest, et pseudonüümitud andmeid tuleb kõigil juhtudel ja iga isiku või üksuse puhul käsitada määruse (EL) 2016/679 kohaldamisel isikuandmetena. Eelkõige tuleks selgitada, et teavet ei loeta konkreetse üksuse puhul isikuandmeteks, kui asjaomasel üksusel puuduvad vahendid, mida mõistliku tõenäosusega kasutada selle füüsilise isiku tuvastamiseks, keda teave puudutab. Kui see teave edastatakse hiljem kolmandatele isikutele, kellel on vahendid, mis võimaldavad neil mõistliku tõenäosusega tuvastada selle füüsilise isiku, keda teave puudutab, näiteks võrreldes seda teavet muude nende käsutuses olevate andmetega, muutub see teave isikuandmeteks ainult nende kolmandate isikute jaoks, kellel on sellised vahendid. Üksus, mille jaoks teave ei kujuta endast isikuandmeid, ei kuulu põhimõtteliselt määruse (EL) 2016/679 kohaldamisalasse. Sellega seoses on Euroopa Liidu Kohus leidnud, et andmesubjekti tuvastamise vahendit ei kasutata mõistliku tõenäolisega juhul, kui tuvastamise risk on tegelikult ebaoluline, kuna andmesubjekti tuvastamine on seadusega keelatud või praktikas võimatu, näiteks seetõttu, et see nõuaks ebaproportsionaalselt palju aega, kulusid ja tööd. Üks tagasituvastuse keelu näide on Euroopa Parlamendi ja nõukogu määruse (EL) 2025/32735 artikli 61 lõikes 3 sätestatud terviseandmete kasutajate kohustused. Komisjon peaks koos Euroopa Andmekaitsenõukoguga toetama vastutavaid töötlejaid selle ajakohastatud mõiste kohaldamisel, kehtestades rakendusaktiga tehnilised kriteeriumid. (28) Selleks et hinnata, kas teadusuuring vastab käesoleva määruse kohastele teadusuuringu tingimustele, võib arvesse võtta selliseid elemente nagu konkreetses valdkonnas teadusuuringu läbiviimisel kasutatav metoodiline ja süstemaatiline lähenemisviis. Teadusuuringud ja tehnoloogia arendamine peaksid toimuma akadeemilises, tööstus- ja muus keskkonnas, sealhulgas väikestes ja keskmise suurusega ettevõtetes (ELi 35 Euroopa Parlamendi ja nõukogu 11. veebruari 2025. aasta määrus (EL) 2025/327, mis käsitleb ühtset Euroopa terviseandmeruumi ning millega muudetakse direktiivi 2011/24/EL ja määrust (EL) 2024/2847 (ELT L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj). ET 9 ET  toimimise lepingu artikli 179 lõige 2), ning need peaksid alati olema kõrge kvaliteediga ja järgima usaldusväärsuse, aususe, austuse ja vastutuse (kontrollitavuse) põhimõtteid. (29) Tuleb veel kord rõhutada, et edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärgile vastavate isikuandmete töötlemise seaduslike toimingutena. Sellistel juhtudel ei ole vaja käesoleva määruse artikli 6 lõike 4 alusel kindlaks teha, kas edasise töötlemise eesmärk on kooskõlas isikuandmete kogumise esialgse eesmärgiga. (30) Usaldusväärne tehisintellekt on oluline majanduskasvu tagamisel ja ühiskonnale kasuliku innovatsiooni toetamisel. Tehisintellektisüsteemide ja nende aluseks olevate mudelite, nagu suurte keelemudelite ja generatiivsete videomudelite arendamine ja kasutamine tugineb tehisintellekti elutsükli erinevates etappides, nagu treenimis-, testimis- ja valideerimisetapis, andmetele, sealhulgas isikuandmetele, ning need andmed võivad mõnel juhul jääda tehisintellektisüsteemi või -mudelisse. Sellega seoses võib isikuandmete töötlemine toimuda asjakohasel juhul õigustatud huvi eesmärgil määruse (EL) 2016/679 artikli 6 tähenduses. See ei mõjuta vastutava töötleja kohustust tagada, et tehisintellekti arendamine või kasutamine (juurutamine) konkreetses olukorras või konkreetsetel eesmärkidel toimub kooskõlas muude liidu või liikmesriigi õigusaktidega, või tagada vastavus, kui selle kasutamine on õigusnormidega sõnaselgelt keelatud. See ei mõjuta ka tema kohustust tagada, et kõik muud määruse (EL) 2016/679 artikli 6 lõike 1 punktis f sätestatud tingimused on täidetud ning et järgitakse kõiki muid kõnealuse määruse nõudeid ja põhimõtteid. (31) Kui vastutav töötleja tasakaalustab enda või kolmanda isiku õigustatud huve andmesubjekti huvide, õiguste ja vabadustega, pidades silmas riskipõhist lähenemisviisi, millele tugineb käesoleva määruse kohaste kohustuste skaleeritavus, tuleks kaaluda, kas vastutava töötleja huvi on andmesubjektile ja ühiskonnale tervikuna kasulik, mis võib olla nii näiteks juhul, kui isikuandmete töötlemine on vajalik eelarvamuste avastamiseks ja kõrvaldamiseks, et kaitsta seeläbi andmesubjekte diskrimineerimise eest, või kui isikuandmete töötlemise eesmärk on tagada täpsed ja turvalised tulemused, et neid saaks tulusalt kasutada, näiteks teatavate teenuste kättesaadavuse parandamiseks. Lisaks tuleks muu hulgas arvesse võtta andmesubjekti mõistlikke ootusi, mis põhinevad tema suhtel vastutava töötlejaga, ja selliseid asjakohaseid kaitsemeetmeid andmesubjektide õigustele avalduva mõju vähendamiseks nagu andmesubjektidele suurema läbipaistvuse tagamine, tingimusteta õigus esitada vastuväiteid oma isikuandmete töötlemise suhtes, selliste teenuses sisalduvate tehniliste näitajate järgimine, mis piiravad andmete kasutamist kolmandate isikute poolt tehisintellekti arendamiseks, muu tehisintellekti treenimiseks kasutatava privaatsust tagava tipptasemel tehnoloogia kasutamine ning asjakohased tehnilised meetmed, et tulemuslikult vähendada riske, mis tulenevad näiteks andmete kordamisest, andmelekkest ja muudest kavandatud või ettenähtavatest tegevustest. (32) Isikuandmete töötlemine teadusuuringute eesmärgil ja isikuandmete kaitse üldmääruse teadusuuringuid käsitlevate sätete kohaldamise tingimuseks on, et andmesubjektide õiguste ja vabaduste tagamiseks võetakse asjakohased kaitsemeetmed vastavalt isikuandmete kaitse üldmääruse artikli 89 lõikele 1. Selleks on isikuandmete kaitse üldmääruses tasakaalustatud õigus isikuandmete kaitsele vastavalt Euroopa Liidu põhiõiguste harta artiklile 8 ja teaduse vabadus vastavalt harta artiklile 13. Isikuandmete töötlemine teadusuuringute eesmärgil toimub seega õigustatud huvi eesmärgil määruse (EL) 2016/679 artikli 6 lõike 1 punkti f tähenduses, tingimusel et sellised teadusuuringud ei ole vastuolus liidu või liikmesriigi õigusega. See ei mõjuta ET 10 ET  vastutava töötleja kohustust tagada, et kõik muud määruse (EL) 2016/679 artikli 6 lõike 1 punktis f sätestatud tingimused on täidetud ning et järgitakse kõiki muid kõnealuse määruse nõudeid ja põhimõtteid. (33) Teatavate tehisintellektisüsteemide ja -mudelite arendamine võib hõlmata suure hulga andmete, sealhulgas isikuandmete ja nende eriliikide kogumist. Isikuandmete eriliike võib jäänukina esineda treenimis-, testimis- või valideerimisandmekogumites või säilida tehisintellektisüsteemis või -mudelis, kuigi need isikuandmete eriliigid ei ole töötlemise eesmärgi seisukohast vajalikud. Selleks et tehisintellekti arengut ja käitamist mitte ebaproportsionaalselt takistada ning võttes arvesse vastutava töötleja suutlikkust tuvastada ja eemaldada isikuandmete eriliike, tuleks lubada erandit määruse (EL) 2016/679 artikli 9 lõikes 2 sätestatud isikuandmete eriliikide töötlemise keelust. Erandit tuleks kohaldada ainult juhul, kui vastutav töötleja on toimival viisil rakendanud asjakohased tehnilised ja korralduslikud meetmed, et vältida selliste andmete töötlemist, võtab asjakohaseid meetmeid kogu tehisintellektisüsteemi või - mudeli elutsükli jooksul ning eemaldab sellised andmed mõjusalt, kui need on tuvastatud. Kui andmete eemaldamine nõuaks ebaproportsionaalselt suuri jõupingutusi, eelkõige juhul, kui tehisintellektisüsteemis või -mudelis salvestatud isikuandmete eriliikide eemaldamine nõuaks tehisintellektisüsteemi või -mudeli ümberprojekteerimist, peaks vastutav töötleja toimival viisil kaitsma selliseid andmeid järelduste tegemiseks kasutamise eest, avalikustamise eest või muul viisil kolmandatele isikutele kättesaadavaks tegemise eest. Seda erandit ei tohiks kohaldada, kui isikuandmete eriliikide töötlemine on vajalik töötlemise eesmärgi saavutamiseks. Sellisel juhul peaks vastutav töötleja tuginema määruse (EL) 2016/679 artikli 9 lõike 2 punktides a–j sätestatud eranditele. (34) Määruse (EL) 2016/679 artikli 4 punktis 14 määratletud biomeetriliste andmed tähendavad, et konkreetse tehnilise vahendi abil töödeldakse füüsilise isiku teatavaid omadusi ja see võimaldab kõnealuse isiku kordumatult tuvastada või kinnitab selle isiku tuvastamist. Biomeetriliste andmete mõiste hõlmab kahte erinevat funktsiooni, nimelt füüsilise isiku identifitseerimist ja tema väidetava identiteedi kontrollimist (mida nimetatakse ka autentimiseks), mis mõlemad tuginevad erinevatele tehnilistele protsessidele. Identifitseerimisprotsess põhineb andmesubjekti biomeetriliste andmete „üks-mitmele“ otsingul andmebaasis, samas kui kontrollimisprotsess põhineb andmesubjekti poolt oma väidetava identiteedi kohta esitatud biomeetriliste andmete „üks-ühele“ võrdlusel. Erandi tegemine biomeetriliste andmete töötlemise keelust määruse artikli 9 lõike 1 alusel peaks olema lubatud ka juhul, kui andmesubjekti väidetava identiteedi kontrollimine on vajalik vastutava töötleja poolt taotletava eesmärgi saavutamiseks ja kui rakendatakse sobivaid kaitsemeetmeid, mis võimaldavad andmesubjektil teostada kontrolliprotsessi üle ainukontrolli. Näiteks juhul, kui biomeetrilised andmed on turvaliselt talletatud ainult andmesubjekti poolel või on turvaliselt talletatud vastutava töötleja poolel tipptasemel krüpteeritud kujul ja krüpteerimisvõti või samaväärne vahend on ainult andmesubjekti valduses, ei ole tõenäoline, et selline töötlemine kujutaks endast olulist ohtu andmesubjekti põhiõigustele ja -vabadustele. Vastutav töötleja ei saa biomeetrilistest andmetest teada või saab neist teada ainult väga piiratud aja jooksul kontrollimise käigus. (35) Määruse (EL) 2016/679 artikliga 15 on antud andmesubjektidele õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning juhul, kui neid töödeldakse, on tal õigus juurdepääsuks isikuandmetele ja teatavale täiendavale teabele. Andmetele juurdepääsu õigus peaks võimaldama andmesubjektil olla teadlik andmete töötlemise õiguspärasusest ja seda ET 11 ET  kontrollida ning võimaldama tal kasutada oma muid õigusi, mis on sätestatud määruses (EL) 2016/679. Määruse artiklis 12 tuleks seevastu täpsustada, et andmetele juurdepääsu õigust, mis on algusest peale andmesubjektide jaoks soodne, ei tohiks kuritarvitada selles mõttes, et andmesubjektid kasutavad seda muul eesmärgil kui oma andmete kaitsmiseks. Sellise andmetele juurdepääsu õiguse kuritarvitamisega oleks näiteks tegemist juhul, kui andmesubjekt kavatseb sundida vastutavat töötlejat keelduma andmetele juurdepääsu taotluse rahuldamisest, et seejärel nõuda hüvitist, võimalik et ähvardades esitada kahju hüvitamise nõude. Muud kuritarvitamise näited hõlmavad olukordi, kus andmesubjektid kasutavad andmetele juurdepääsu õigust ülemääraselt ainsa eesmärgiga kahjustada vastutavat töötlejat või kui isik esitab taotluse, kuid pakub samal ajal, et võtab selle tagasi, kui saab vastutavalt töötlejalt vastutasuks mingi eelise. Et hoida vastutavate töötlejate koormus mõistlikul tasemel, peaks nende tõendamiskohustus olema taotluse ülemäärasuse korral väiksem kui taotluse ilmselge põhjendamatusega korral. Seda seetõttu, et taotluse ilmselge põhjendamatus sõltub asjaoludest, mis kuuluvad peamiselt vastutava töötleja vastutusalasse, samas kui taotluse ülemäärasus on seotud andmesubjekti poolse võimaliku kuritarvitamisega, mis jääb peamiselt vastutava töötleja mõjusfäärist väljapoole, mistõttu võib juhtuda, et vastutav töötleja saab sellist kuritarvitamist tõendada ainult mõistliku tasemeni. Igal juhul peaks andmesubjekt määruse (EL) 2016/679 artikli 15 alusel juurdepääsu taotlemisel olema võimalikult konkreetne. Ülemäärasteks tuleks pidada ka liiga ulatuslikke ja diferentseerimata taotlusi. (36) Määruse (EL) 2016/679 artiklis 13 on nõutud, et vastutav töötleja esitaks andmesubjektile teatava teabe tema isikuandmete töötlemise kohta ning teatava täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, nagu on sätestatud kõnealuse sätte lõigetes 1, 2 ja 3. Vastavalt määruse (EL) 2016/679 artikli 13 lõikele 4 ei kohaldata seda kohustust, kui ja sel määral, mil andmesubjektil on see teave juba olemas. Selleks et veelgi vähendada vastutavate töötlejate koormust, kahjustamata seejuures andmesubjekti võimalusi kasutada määruse III peatükis sätestatud õigusi, tuleks seda erandit laiendada olukordadele, kus töötlemine ei põhjusta tõenäoliselt suurt ohtu määruse artikli 35 tähenduses ja on mõistlik alus eeldada, et andmesubjektil on juba lõike 1 punktides a ja c osutatud teave, võttes arvesse isikuandmete kogumise tausta, eelkõige andmesubjektide ja vastutava töötleja vahelisi suhteid. Need peaksid olema olukorrad, kus vastutava töötleja ja andmesubjekti vahelise suhte kontekst on väga selge ja piiritletud ning vastutava töötleja tegevus ei ole andmemahukas, näiteks käsitööettevõtja ja tema klientide vaheline suhe, kus töötlemise ulatus piirdub teenuse osutamiseks vajalike miinimumandmetega. Vastutava töötleja tegevus ei ole andmemahukas, kui ta kogub vähe isikuandmeid ja tema töötlemistoimingud ei ole keerulised, mis ei ole nii näiteks tööhõive valdkonnas. Sellistes olukordades, st kui töötlemine ei ole andmemahukas ega keeruline ja kui vastutav töötleja kogub vähe isikuandmeid, peaks olema mõistlik eeldada näiteks seda, et andmesubjektil on teave vastutava töötleja identiteedi ja kontaktandmete ning töötlemise eesmärgi kohta, kui töötlemine toimub sellise lepingu täitmiseks, mille osapool andmesubjekt on, või kui andmesubjekt on andnud oma nõusoleku selliseks töötlemiseks vastavalt määruses (EL) 2016/679 sätestatud nõuetele. Sama peaks kehtima ka ühingute ja spordiklubide puhul, kui isikuandmete töötlemine piirdub liikmesuse haldamise, liikmetega suhtlemise ja tegevuste korraldamisega. Sellest hoolimata ei piira see erand artiklis 13 sätestatud kohustustest vastutava töötleja sõltumatuid kohustusi, mis tulenevad kõnealuse määruse artiklist 15, mida kohaldatakse juhul, kui andmesubjekt taotleb andmetejuurdepääsu le viimati nimetatud sätte alusel. Kui erandit artiklis 13 sätestatud kohustustest ei kohaldata, ET 12 ET  võivad vastutavad töötlejad andmete täielikkuse ja andmesubjekti jaoks arusaadavuse nõude tasakaalustamiseks kasutada nõutava teabe esitamisel mitmetasandilist lähenemisviisi, võimaldades kasutajatel liikuda edasi täiendava teabe juurde. (37) Kui töötlemine toimub teadusuuringute eesmärgil ja andmesubjekti teavitamine osutub võimatuks või nõuaks ebaproportsionaalselt suuri jõupingutusi, ei peaks käesoleva määruse artiklis 13 sätestatud teabe edastamine olema vajalik. Vastutav töötleja peaks tegema mõistlikke jõupingutusi kontaktandmete hankimiseks, kui need on kergesti kättesaadavad ja nende hankimine ei nõua ebaproportsionaalselt suuri jõupingutust. Teabe esitamine nõuaks ebaproportsionaalselt suuri jõupingutusi eelkõige siis, kui vastutav töötleja ei teadnud isikuandmete kogumise ajal ega osanud sel ajal ette näha, et ta hakkab isikuandmeid hiljem teadusuuringute eesmärgil töötlema, mistõttu andmesubjektide kontaktandmed ei pruugi olla talle kergesti kättesaadavad. Sellises olukorras peaks vastutav töötleja andmesubjekte teavitama kaudselt, näiteks teabe avalikustamise teel. Sellise teabe esitamine peaks tagama, et jõutakse võimalikult paljude asjaomaste andmesubjektideni. Asjakohased vahendid teabe avalikustamiseks tuleks kindlaks määrata sõltuvalt teadusprojektist ja asjaomastest andmesubjektidest. (38) Määruse (EL) 2016/679 artiklis 22 on sätestatud õigusnormid, mis reguleerivad isikuandmete töötlemist, kui vastutav töötleja teeb ainult automatiseeritud töötlemisele tuginedes otsuseid, millel on andmesubjektile õiguslikud tagajärjed või samaväärsed olulised tagajärjed. Suurema õiguskindluse tagamiseks tuleks selgitada, et ainult automatiseeritud töötlemisel põhinevad otsused on lubatud, kui on täidetud konkreetsed tingimused, nagu on sätestatud määruses (EL) 2016/679. Samuti tuleks selgitada, et kui hinnatakse, kas otsus on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimiseks või täitmiseks, nagu on sätestatud määruse (EL) 2016/679 artikli 22 lõike 2 punktis a, ei tohiks nõuda, et otsuse võib teha üksnes automatiseeritud töötlemise teel. See tähendab, et asjaolu, et otsuse võib teha ka inimene, ei takista vastutaval töötlejal otsust teha ainult automatiseeritud töötlemise teel. Kui on olemas mitu võrdselt toimivat automatiseeritud töötlemise lahendust, peaks vastutav töötleja kasutama vähem sekkuvat lahendust. (39) Selleks et vähendada vastutavate töötlejate koormust ning tagada samal ajal järelevalveasutustele juurdepääs asjakohasele teabele ja võimaldada neil võtta meetmeid määruse rikkumise korral, tuleks määruse (EL) 2016/679 artikli 33 kohane järelevalveasutusele isikuandmetega seotud rikkumisest teatamise künnis viia vastavusse sama määruse artikli 34 kohase isikuandmetega seotud rikkumisest andmesubjektile teatamise künnisega. Sellise andmetega seotud rikkumise korral, mis tõenäoliselt ei põhjusta suurt ohtu füüsiliste isikute õigustele ja vabadustele, ei peaks vastutav töötleja olema kohustatud pädevat järelevalveasutust teavitama. Isikuandmetega seotud rikkumisest järelevalveasutusele teatamise kõrgem künnis ei mõjuta vastutava töötleja kohustust dokumenteerida rikkumine vastavalt määruse (EL) 2016/679 artikli 33 lõikele 5 ega tema kohustust tõendada oma vastavust kõnealusele määrusele kooskõlas selle määruse artikli 5 lõikega 2. Selleks et hõlbustada vastutavate töötlejate jaoks nõuete järgimist ja tagada liidus ühtlustatud lähenemisviis, peaks Euroopa Andmekaitsenõukogu koostama ühtse vormi, millega teatada pädevale järelevalveasutusele andmetega seotud rikkumistest, ning ühtse loetelu asjaoludest, mille korral isikuandmetega seotud rikkumine võib tõenäoliselt põhjustada suurt ohtu füüsilise isiku õigustele ja vabadustele. Komisjon peaks võtma Euroopa Andmekaitsenõukogu koostatud ettepanekut nõuetekohaselt arvesse ja selle vajaduse korral enne vastuvõtmist läbi vaatama. Uute infoturbeohtude arvessevõtmiseks tuleks ühtne vorm ja loetelu vähemalt iga kolme aasta järel läbi ET 13 ET  vaadata ja vajaduse korral tuleks neid ajakohastada. Selliseid asjaolusid sisaldava ühtse loetelu puudumine, mille korral isikuandmetega seotud rikkumine võib tõenäoliselt põhjustada suurt ohtu füüsilise isiku õigustele ja vabadustele, ei tohiks mõjutada vastutavate töötlejate kohustust sellistest rikkumistest teatada. (40) Määruse (EL) 2016/679 artikli 35 kohaselt peavad vastutavad töötlejad tegema andmekaitsealase mõju hindamise, kui isikuandmete töötlemisel tekib tõenäoliselt suur oht füüsiliste isikute õigustele ja vabadustele. Kõnealuse määruse alusel loodud järelevalveasutused peavad koostama ja avalikustama selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille suhtes kohaldatakse nõuet teha andmekaitsealane mõjuhinnang. Lisaks on määruses sätestatud, et järelevalveasutus võib koostada ja avaldada selliste isikuandmete töötlemise toimingute tüüpide loetelu, mille puhul ei ole andmekaitsealane mõjuhinnang nõutav. Selleks et aidata tõhusalt saavutada liikmesriikide majanduste lähenemise eesmärki ja tagada reaalselt isikuandmete vaba liikumine liikmesriikide vahel, suurendada õiguskindlust, hõlbustada vastutavate töötlejate poolset nõuete järgimist ning tagada andmesubjektide õigusi ja vabadusi ähvardava suure ohu mõiste ühtne tõlgendamine, tuleks ELi tasandil esitada ühtne töötlemistoimingute loetelu, mis asendaks olemasolevad riiklikud loetelud. Lisaks tuleks muuta kohustuslikuks praegu vabatahtlikkuse alusel toimuv selliste töötlemistoimingute loetelu avaldamine, mille puhul andmekaitsealane mõjuhinnang ei ole nõutav. Töötlemistoimingute loetelud peaks koostama Euroopa Andmekaitsenõukogu ja komisjon peaks need vastu võtma rakendusaktina. Selleks et hõlbustada vastutavate töötlejate jaoks nõuete täitmist, peaks andmekaitsenõukogu koostama ka andmekaitsealase mõju hindamise ühtse vormi ja ühtse metoodika, mille komisjon võtab vastu rakendusaktina. Komisjon peaks võtma Euroopa Andmekaitsenõukogu koostatud ettepanekuid nõuetekohaselt arvesse ja need vajaduse korral enne vastuvõtmist läbi vaatama. Tehnoloogia arengu arvessevõtmiseks tuleks loetelud ning ühtne vorm ja metoodika vähemalt iga kolme aasta järel läbi vaadata ja vajaduse korral tuleks neid ajakohastada. (41) Euroopa Parlamendi ja nõukogu määrust (EL) 2018/172536 kohaldatakse liidu institutsioonide, organite ja asutuste poolt teostatava isikuandmete töötlemise suhtes. Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/68037 kohaldatakse pädevate asutuste poolt teostatava isikuandmete töötlemise suhtes, mis toimub kuritegude ennetamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil. Määrus (EL) 2018/1725 ja 36 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). 37 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89, ELI: http://data.europa.eu/eli/dir/2016/680/oj). ET 14 ET  direktiiv (EL) 2016/680 tuleks viia vastavusse käesoleva määrusega määrusesse (EL) 2016/679 tehtud muudatustega. (42) Nagu on selgitatud määruse (EL) 2018/1725 põhjenduses 5, kui määruse (EL) 2018/1725 sätted tuginevad samadele põhimõtetele kui määruse (EL) 2016/679 sätted, tuleks mõlemaid õigusnormide kogumeid Euroopa Liidu Kohtu kohtupraktika kohaselt tõlgendada ühetaoliselt. Määruse (EL) 2018/1725 ülesehitust tuleks mõista kui määruse (EL) 2016/679 ülesehituse vastena. Seetõttu muudetakse käesoleva määrusega ka määruse (EL) 2018/1725 neid sätteid, mida puudutavad määruse (EL) 2016/679 muudatused, kuivõrd viimati nimetatud muudatused on asjakohased ka liidu institutsioonide, organite ja asutuste poolt isikuandmete töötlemise kontekstis. (43) Tugeva ja ühtse andmekaitseraamistiku loomiseks liidus tuleks pärast käesoleva määruse vastuvõtmist teha direktiivi (EL) 2016/680 ja muudesse sellise isikuandmete töötlemise suhtes kohaldatavatesse liidu õigusaktidesse muudatused, et neid saaks hakata kohaldama võimalikult kiiresti pärast seda, kui on hakatud kohaldama määruse (EL) 2016/679 ja määruse (EL) 2018/1725 muudatusi. (44) Isikuandmete talletamist lõppseadmesse või juurdepääsu lõppseadmesse juba talletatud isikuandmetele ning selliste andmete edasist töötlemist juhul, kui elektroonilise side teenuse abonent või lõppseadme kasutaja on füüsiline isik, tuleks reguleerida ühtse õigusraamistikuga, nimelt määrusega (EL) 2016/679. Käesolevas määruses esitatud muudatused tagavad jätkuvalt kõrgeima isikuandmete kaitse taseme, lihtsustades samal ajal andmesubjektide jaoks nende õiguste kasutamist ja valikute väljendamist veebis. Muudatused puudutavad eelkõige teabe talletamist asjaomastesse seadmetesse, juurdepääsu sellele teabele või teabe kogumist nendest seadmetest, mis hõlmab isikuandmete töötlemist küpsiste või sarnase tehnoloogia abil, et lõppseadmetest teavet saada. Asjaomased normid peaksid kehtima ka sõltumata sellest, kas lõppseadet omab konkreetne füüsiline isik või mõni muu juriidiline või füüsiline isik. Isikuandmete talletamine lõppseadmesse või juurdepääs lõppseadmesse juba talletatud isikuandmetele peaks olema lubatud ainult nõusoleku alusel. Sarnaselt direktiivis 2002/58/EÜ sätestatud lähenemisviisiga ei tohiks see nõue välistada isikuandmete talletamist füüsilise isiku lõppseadmesse või juurdepääsu füüsilise isiku lõppseadmesse juba talletatud isikuandmetele, kui see põhineb liidu või liikmesriigi õigusaktidel määruse (EL) 2016/679 artikli 6 tähenduses ning kui see vastab kõigile kõnealuses sättes esitatud õiguspärasuse tingimustele ja toimub määruse (EL) 2016/679 artikli 23 lõikes 1 sätestatud eesmärkidel. Selleks et vähendada nõuete täitmisest tulenevat koormust ja tagada vastutavatele töötlejatele õigusselgus ning võttes arvesse, et teatavad töötlemise eesmärgid kujutavad endast väikest ohtu andmesubjektide õigustele ja vabadustele või et selline töötlemine võib olla vajalik andmesubjekti taotletud teenuse osutamiseks, on vaja kindlaks määrata piiratud loetelu eesmärkidest, mille puhul peaks töötlemine olema lubatud ilma nõusolekuta. Käesolevas määruses tuleks seega sätestada, et töötlemine on õiguspärane seoses isikuandmete talletamisega lõppseadmesse või juurdepääsuga lõppseadmesse juba talletatud isikuandmetele ning edasise töötlemisega, mis on sellistel eesmärkidel vajalik. Vastutav töötleja, näiteks meediateenuse pakkuja, võib anda volitatud töötlejale, näiteks turu-uuringute ettevõttele, õiguse töödelda andmeid enda nimel. Isikuandmete edasiseks töötlemiseks muul kui piiratud loetelus kindlaks määratud eesmärgil tuleks kohaldada määruse (EL) 2016/679 artiklit 6 ja asjakohasel juhul ET 15 ET  artiklit 9. Pidades silmas vastutuse põhimõtet, on vastutava töötleja ülesanne valida kavandatava töötlemise jaoks sobiv õiguslik alus. Selleks et isikuandmete edasise töötlemise alusena oleks võimalik tugineda õigustatud huvile vastavalt määruse (EL) 2016/679 artikli 6 lõike 1 punktile f, peab vastutav töötleja näitama, et ta tegutseb vastavalt vastutava töötleja või kolmandate isikute õigustatud huvile, et töötlemine on vajalik selle õigustatud huvi eesmärgi saavutamiseks ning et andmesubjekti huvid või põhiõigused ei kaalu üles vastutava töötleja huve. Sellega seoses peaksid vastutavad töötlejad võtma eelkõige arvesse järgmisi asjaolusid: kas andmesubjekt on laps; andmesubjekti mõistlikud ootused; mõju isikule kas töödeldavate andmete ulatuse või tundlikkuse tõttu; kõnealuse töötlemise ulatus selles mõttes, et töötlemine ei saa olla kas andmete hulga või andmekategooriate arvu tõttu eriti ulatuslik; töötlemine peaks põhinema ainult vajalikul andmehulgal ega tohi põhineda andmesubjektide veebitegevuse ulatuslikul jälgimisel ja muud asjakohased tegurid vastavalt vajadusele. Töötlemine ei tohi põhjustada andmesubjekti eraelu pidevat jälgimist. Kui vastutav töötleja ei saa edasise töötlemise õigusliku alusena tugineda õigustatud huvile, peaks töötlemine põhinema mõnel muul määruse (EL) 2016/679 artikli 6 lõikes 1 sätestatud alusel, eelkõige artiklite 6 ja 7 kohasel nõusolekul, tingimusel et järgitakse kõiki määruse (EL) 2016/679 põhimõtteid. (45) Andmesubjektidelt, kes on keeldunud nõusoleku andmisest, küsitakse sageli uuesti nõusolekut iga kord, kui nad külastavad sama vastutava töötleja veebiteenust. See võib avaldada kahjulikku mõju andmesubjektidele, kes võivad anda nõusoleku ainult selleks, et vältida korduvat nõusoleku küsimist. Seetõttu peaks vastutaval töötlejal olema kohustus austada vähemalt teatava ajavahemiku jooksul andmesubjekti valikut keelduda nõusoleku andmisest. (46) Andmesubjektidel peaks olema võimalus tugineda automaatsete ja masinloetavate märgete abil tehtavale valikule, et anda nõusolek või keelduda nõusoleku andmisest või esitada vastuväide andmete töötlemisele. Sellised vahendid peaksid olema kooskõlas tehnika arenguga. Need saab rakendada veebibrauseri seadetes või ELi digiidentiteedikukrus, nagu on sätestatud määruses (EL) nr 914/2014, või muul sobival viisil. Käesolevas määruses sätestatud normid peaksid toetama asjakohaste liidestega turupõhiste lahenduste teket. Vastutav töötleja peaks olema kohustatud võtma arvesse andmesubjekti valikut väljendavaid automatiseeritud ja masinloetavaid märkeid, kui asjakohased standardid on kättesaadavaks tehtud. Võttes arvesse sõltumatu ajakirjanduse tähtsust demokraatlikus ühiskonnas ja et mitte kahjustada selle majanduslikku alust, ei tohiks meediateenuste osutajad olla kohustatud järgima andmesubjekti valikut väljendavaid masinloetavaid märkeid. Veebibrauserite pakkujate kohustus pakkuda andmesubjektidele tehnilisi vahendeid andmete töötlemisega seotud valikute tegemiseks ei tohiks kahjustada meediateenuste pakkujate võimalust küsida andmesubjektidelt nõusolekut. (47) Direktiivis 2002/58/EÜ eraelu puutumatuse ja elektroonilise side kohta (e-privaatsuse direktiiv), mis vaadati viimati läbi 2009. aastal, on sätestatud eraelu puutumatuse õiguse, sealhulgas side konfidentsiaalsuse kaitse raamistik. Samuti on sellega täpsustatud määrust (EL) 2016/679 seoses isikuandmete töötlemisega elektrooniliste sideteenuste kontekstis. See kaitseb sellise side jaoks kasutatavate kasutaja või abonendi lõppseadmete puutumatust ja terviklikkust. Direktiivi 2002/58/EÜ artikli 5 lõike 3 praegune säte peaks jääma kohaldatavaks, kui abonent või kasutaja ei ole füüsiline isik ja talletatav või juurdepääsetav teave ei kujuta endast isikuandmete töötlemist ega vii selle töötlemiseni. ET 16 ET  (48) Direktiivi 2002/58/EÜ artikkel 4 tuleks tunnistada kehtetuks. Direktiivi 2002/58/EÜ artiklis 4 on sätestatud nõuded, mida kohaldatakse üldsusele kättesaadavate elektroonilise side teenuste osutajate suhtes seoses nende teenuste turvalisuse tagamisega, ja teavitamisnõuded. Hiljem on direktiiviga (EL) 2022/2555 kehtestatud nende teenuste osutajate suhtes uued nõuded seoses küberturvalisuse riskijuhtimismeetmete ja intsidentidest teatamisega. Elektroonilise side sektoris tegutsevate üksuste kattuvate kohustuste vähendamiseks tuleks direktiivi 2002/58/EÜ artikkel 4 kehtetuks tunnistada. Mis puudutab isikuandmete töötlemise turvalisust vastavalt käesoleva direktiivi artikli 4 lõigetele 1 ja 1a ning isikuandmetega seotud rikkumistest teatamist vastavalt direktiivi 2002/58/EÜ artikli 4 lõigetele 3–5, siis määruses (EL) 2016/679 on juba sätestatud terviklikud ja ajakohased normid. Seega peaksid need normid kehtima üldkasutatavate elektroonilise side teenuste osutajate ja üldkasutatavate sidevõrkude operaatorite suhtes, tagades sellega, et vastutavate töötlejate ja volitatud töötlejate suhtes kohaldatakse üht korda. (49) Mitmes horisontaalses või valdkondlikus liidu õigusaktis on nõutud, et samast sündmusest teatataks eri asutustele, kasutades selleks erinevaid tehnilisi vahendeid ja kanaleid. Intsidentidest teatamise ühtne kontaktpunkt peaks andma üksustele võimaluse täita ühes liideses teate esitamisega direktiivi (EL) 2022/2555, määruse (EL) 2016/679, määruse (EL) 2022/2554, määruse (EL) nr 910/2014 ja direktiivi (EL) 2022/2557 kohased teatamiskohustused. Lisaks peaks ühtne kontaktpunkt andma üksustele võimaluse otsida teavet, mille nad on varem ühtse kontaktpunkti kaudu esitanud, ning aitama üksustel seega jälgida oma aruandluskohustuste täitmist seoses konkreetsete intsidentidega. (50) Ühtse kontaktpunkti turvalisuse tagamiseks peaks ENISA võtma asjakohaseid ja proportsionaalseid tehnilisi, operatsioonilisi ja korralduslikke meetmeid, et hallata ühtse kontaktpunkti turvalisust ja ühtse kontaktpunkti kaudu esitatavat või levitatavat teavet ohustavaid riske. Riske ning nimetatud meetmete asjakohasust ja proportsionaalsust hinnates peaks ENISA võtma arvesse asjaomaste liidu õigusaktide kohaselt esitatud või levitatud teabe tundlikkust. ENISA peaks ühtse kontaktpunkti loomiseks, haldamiseks ja turvaliseks toimimiseks vajalike tehniliste, operatsiooniliste ja korralduslike meetmete väljatöötamisel konsulteerima asjaomaste liidu õigusaktide kohaste pädevate asutustega, kasutades selleks kõnealuste õigusaktide alusel loodud liikmesriikide koostöörühmi ja võrgustikke. (51) Enne intsidentidest teatamise võimaldamist peaks ENISA ühtse kontaktpunkti toimimist katsetama, mis peaks hõlmama asjaomaste liidu õigusaktide kohaste teadete iseärasuste ja nõuete põhjalikku testimist. Komisjon peaks katsetamise tulemuste põhjal hindama ühtse kontaktpunkti nõuetekohast toimimist, usaldusväärsust, terviklust ja konfidentsiaalsust. Komisjon peaks hindamise käigus konsulteerima küberintsidentidele reageerimise üksuste (CSIRTide) võrgustiku ja asjaomaste liidu õigusaktide kohaste pädevate asutustega, kasutades selleks kõnealuste õigusaktide alusel loodud liikmesriikide koostöörühmi ja võrgustikke. Kui komisjon leiab, et ühtne kontaktpunkt tagab nõuetekohase toimimise, usaldusväärsuse, tervikluse ja konfidentsiaalsuse, peaks ta avaldama Euroopa Liidu Teatajas sellekohase teate. Kui komisjon leiab, et nõuetekohane toimimine, usaldusväärsus, terviklus ja konfidentsiaalsus ei ole tagatud, peaks ENISA võtma kõik vajalikud parandusmeetmed, mille järel hindab komisjon olukorda uuesti. (52) Selleks et tagada võimaluse piires järjepidevus ja koostalitlusvõime olemasolevate riiklike tehniliste lahendustega, mis hõlbustavad intsidentidest teatamist, peaks ENISA võtma ühtse kontaktpunkti loomiseks, haldamiseks ja turvaliseks toimimiseks vajalike ET 17 ET  tehniliste, operatsiooniliste ja korralduslike meetmete spetsifikatsioonide väljatöötamisel neid riiklikke tehnilisi lahendusi arvesse. Lisaks peaks ENISA kaaluma tehnilisi protokolle ja vahendeid, nagu rakendusliideseid ja masinloetavaid standardeid, mis võimaldavad üksustel integreerida aruandluskohustused äriprotsessidesse ja ametiasutustel ühendada ühtse kontaktpunkti oma riiklike aruandlussüsteemidega. (53) Selleks et tagada, et ühtne kontaktpunkt võimaldab asjaomastel üksustel esitada asjaomaste liidu õigusaktide kohaselt nõutavat liiki teavet nõutavas vormingus, peaks ENISA konsulteerima komisjoni ja kõnealuste õigusaktide kohaste pädevate asutustega. Kui mõni liidu õigusakt ei ole teabe liigi ja teate vormingu osas täielikult ühtlustatud, peaksid liikmesriigid teavitama ENISA-t oma riiklikest sätetest. (54) Tuginedes määrusele (EL) 2022/2554, on finantssektor olnud ühtse, tervikliku ja tõhusa raamistiku rakendamisel esirinnas, muu hulgas seoses intsidentidest teatamisega. Nõuete täitmise lihtsustamiseks on asjakohane viia määruse (EL) 2022/2554 alusel kehtestatud intsidentidest teatamise raamistik kooskõlla ühtse kontaktpunktiga, tagades samal ajal olemasoleva intsidentidest teatamise raamistiku järjepidevuse ja stabiilsuse ning võttes arvesse, et ühtne kontaktpunkt hakkab toimima pärast seda, kui on hinnatud, et see tagab nõuetekohase toimimise, usaldusväärsuse, tervikluse ja konfidentsiaalsuse. Lisaks on määrusega (EL) 2022/2554 kehtestatud standarditud aruandlusvormid, millega ühtlustatakse finantssektori tõsiste IKT intsidentide kohta esitatavate teadete sisu. Nende vormide kasutuselevõtust saadud kogemused annavad väärtuslikku teavet ja parimaid tavasid, mida tuleks arvesse võtta, kui direktiivi (EL) 2022/2555, direktiivi (EL) 2022/2557 või määruse (EL) 2016/679 kohaselt ühtsele kontaktpunktile teabe esitamise eesmärgil määratakse kindlaks teabe liik vormingu ja teatamise kord. Selleks peaks komisjon võtma nõuetekohaselt arvesse määruse (EL) 2022/2554 kohaselt vastu võetud regulatiivseid tehnilisi standardeid, milles on täpsustatud tõsiseid IKT intsidente käsitleva esialgse teate ning vahe- ja lõpparuannete sisu. Selle lähenemisviisi eesmärk on tagada järjepidevus, edendada sünergiat ja vähendada üksuste halduskoormust, vähendades miinimumini nende andmeväljade arvu, mida üksused peavad täitma, hõlbustades seeläbi aruandlusprotsesse ja muutes need tõhusamaks. (55) Asjaomaste liidu õigusaktide kohaselt tuleb teatavat intsidentide kohta käivat teavet hilisemas etapis pädevate asutuste vahel jagada, et hõlbustada tulemuslikku järelevalvet ja koordineerimist. Seetõttu tuleks ühtne kontaktpunkt kavandada nii, et see võimaldaks ja toetaks selle tasandi teabevahetust iga asjaomase liidu õigusakti puhul, tagades asutustevahelise asjakohase andmevoo turvalise, õigeaegse ja tõhusa toimimise, juhul kui liikmesriigid otsustavad seda lisafunktsiooni kasutada. (56) Selleks et tagada intsidentidest teatamine ühtse kontaktpunkti kaudu, tuleks direktiivi (EL) 2022/2555, määrust (EL) 2016/679, määrust (EL) 2022/2554, määrust (EL) nr 910/2014 ja direktiivi (EL) 2022/2557 vastavalt muuta. Ühtset kontaktpunkti tuleks hakata kasutama kõnealuste õigusaktide kohaselt teadete esitamiseks 18 kuu jooksul alates käesoleva määruse jõustumisest. Kui komisjon käivitab teatamismehhanismid, millega lükatakse kohaldamise kuupäev edasi 24 kuu võrra alates määruse jõustumisest, tuleks jätkata direktiivi (EL) 2022/2555, määruse (EL) nr 910/2014, määruse (EL) 2022/2554 ja direktiivi (EL) 2022/2557 asjakohaste sätete kohaldamist, et täita neis sätestatud aruandluskohustusi. (57) Erandjuhul, kui tehnilised takistused ei võimalda intsidendist teatada ühtse kontaktpunkti kaudu, peaksid üksused oma teatamiskohustuste täitmiseks kasutama ET 18 ET  muid vahendeid. Selleks peaksid asjaomaste liidu õigusaktide kohase intsidentidest teatamise adressaadid tagama, et nad saavad selliseid teateid vastu võtta muul viisil, ning tegema teabe selle muu viisi kohta avalikult kättesaadavaks. (58) Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/172538 artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse [kuupäev]. Vastavalt määruse (EL) 2018/1725 artikli 42 lõikele 2 konsulteeriti Euroopa Andmekaitsenõukoguga, kes esitas arvamuse [kuupäev]. (59) Määrusega (EL) 2019/1150 on liidu tasandil kehtestatud sihtotstarbeline kohustuslike õigusnormide kogum, et tagada siseturul õiglane, prognoositav, kestlik ja usaldusväärne veebipõhine ärikeskkond. Määrustega (EL) 2022/2065 ja (EL) 2022/1925 on kehtestatud kõigile veebiteenuste lõppkasutajatele turvalise, prognoositava ja usaldusväärse veebikeskkonna jaoks terviklik õigusraamistik ning loodud digiturgudel ettevõtjatele võrdsed konkurentsitingimused. Pidades silmas liidu õigusaktide lihtsustamist veebipõhiste vahendusteenuste ja veebiplatvormide valdkonnas ning võttes arvesse, et platvormi ja ettevõtjate vaheliste suhete määruse eesmärgid ja sisulised sätted on suures osas hõlmatud digiteenuste määruse ja digiturgude määrusega, tuleks määrus (EL) 2019/1050 kehtetuks tunnistada. Määrused (EL) 2022/2065 ja (EL) 2022/1925 aitavad luua digiteenuste ja digiturgude täielikult ühtlustatud õigusraamistikku, ühtlustades riiklikke meetmeid, mis puudutavad vahendusteenuste osutajate suhtes kohaldatavaid nõudeid ning pääsuvalitsejate poolt osutatavate põhiliste platvormiteenuste konkurentsile avatust ja õiglust. Õiguskindluse tagamiseks jäävad määruse (EL) 2019/1150 artiklis 2 esitatud valitud mõisted, artiklis 4 esitatud piiramist ja peatamist käsitlevad sätted ning artiklis 11 esitatud ettevõttesisest kaebuste menetlemise süsteemi käsitlevad sätted, millele viidatakse teistes õigusaktides, eelkõige platvormitöö tingimuste parandamist käsitlevas direktiivis (EL) 2023/2831, ja õigusaktide täitmise tagamist käsitlev artikkel 15 ajutiselt kehtima kuni algsete õigusaktide muutmiseni. (60) Võttes arvesse käesolevas määruses kavandatud muudatuste tehnilist laadi ja lihtsustatud õigusraamistiku loomise kiireloomulisust, peaks käesolev määrus jõustuma kohe pärast selle avaldamist Euroopa Liidu Teatajas. Vajaduse korral tuleks liikmesriikidele ja reguleeritud üksustele võimaldada üleminekuperiood, et nad saaksid normidega kohaneda, ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: Artikkel 1 Määruse (EL) 2023/2854 muutmine Määrust (EL) 2023/2854 muudetakse järgmiselt. 38 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). ET 19 ET  1. Artiklit 1 muudetakse järgmiselt: (a) lõikesse 1 lisatakse järgmised punktid: „ea) andmevahendusteenuste vabatahtlikku registreerimist; eb) altruistlikel eesmärkidel kättesaadavaks tehtud andmete kogumise ja töötlemisega tegelevate üksuste vabatahtlikku registreerimist; ec) Euroopa Andmeinnovatsiooninõukogu asutamist; ed) andmete asukoha nõudeid ja andmete kättesaadavust pädevatele asutustele; ee) avaliku sektori asutuste või teatavate riigi osalusega äriühingute valduses olevate teatavate andmete ja dokumentide ning teadusandmete taaskasutamist.“; (b) lõikesse 2 lisatakse järgmised punktid: „g) VIIa peatükki kohaldatakse isikuandmete ja isikustamata andmete suhtes; h) VIIb peatükki kohaldatakse kõigi isikustamata andmete suhtes; i) VIIc peatükki kohaldatakse isikuandmete ja isikustamata andmete, nimelt järgmise suhtes: i) dokumendid, mis on liikmesriikide avaliku sektori asutuste valduses, nagu on osutatud 1) artikli 32i lõike 1 punktis a, või riigi osalusega äriühingute valduses, nagu on osutatud 2) artikli 32i lõike 1 punktis b; ii) teadusandmed, nagu on osutatud artikli 32i lõike 1 punktis c; iii) teatavatesse kategooriatesse kuuluvad kaitstud andmed, nagu on osutatud artikli 32i lõike 1 punktis a.“; (c) lõike 3 punkt g asendatakse järgmisega: „g) andmeruumides osalejate suhtes.“; (d) lõige 7 jäetakse välja; (e) lisatakse järgmised lõiked 11, 12 ja 13: „11. Käesoleva määruse VIIb peatükk ei piira liikmesriikide sisemist korraldust käsitlevaid õigus- ja haldusnorme, millega nähakse ametiasutustele ja avalik-õiguslikele isikutele ette andmete töötlemise volitused ja kohustused ilma eraõiguslike isikute lepingulise tasustamiseta, ega liikmesriikide õigus- ja haldusnorme, millega nähakse ette selliste volituste ja kohustuste rakendamine. 12. Juhul kui avaliku sektori asutused, andmevahendusteenuse osutajad või tunnustatud andmealtruismiorganisatsioonid peavad sektoripõhise liidu või liikmesriigi õiguse kohaselt täitma VIIa ja VIIb peatükiga seotud konkreetseid tehnilisi, halduslikke või korralduslikke lisanõudeid, muu hulgas tulenevalt loaandmise või sertifitseerimise korrast, kohaldatakse samuti kõnealuse sektoripõhise liidu või liikmesriigi õiguse asjaomaseid sätted. Kõik sellised konkreetsed lisanõuded peavad olema mittediskrimineerivad, proportsionaalsed ja objektiivselt põhjendatud. ET 20 ET  13. Seoses VIIc peatüki II jao kohaldamisalasse kuuluvate andmete ja dokumentidega ei mõjuta käesoleva määruse VIIc peatükk liikmesriikide võimalust võtta vastu üksikasjalikumad või rangemad õigusnormid, tingimusel et need õigusnormid võimaldavad andmete ja dokumentide ulatuslikumat taaskasutamist.“ 2. Artiklit 2 muudetakse järgmiselt: (a) lisatakse järgmised punktid 4a, 4b ja 4c: „4a) „nõusolek“ – määruse (EL) 2016/679 artikli 4 punktis 11 määratletud nõusolek; 4b) „luba“ – andmekasutajatele isikustamata andmete kasutamise õiguse andmine; 4c) „juurdepääs“ – andmete kasutamine kooskõlas konkreetsete tehniliste, õiguslike või korralduslike nõuetega, ilma et see tähendaks ilmtingimata andmete edastamist või allalaadimist;“ (b) punkt 13 asendatakse järgmisega: „13) „andmevaldaja“ – füüsiline või juriidiline isik, kellel on käesoleva määruse, kohaldatava liidu õiguse või liidu õiguse alusel vastu võetud riigisiseste õigusaktide kohaselt õigus või kohustus kasutada või teha kättesaadavaks andmeid, sealhulgas lepingu korral toote kasutamisel loodud andmeid või seotud teenuse kasutamisel loodud andmeid, mis ta on välja võtnud või loonud seotud teenuse osutamise käigus;“ (c) lisatakse järgmised punktid 28a ja 28b: „28a) „avalik-õiguslik isik“ – isik, mis vastab kõigile järgmistele tingimustele: a) see on asutatud konkreetse eesmärgiga rahuldada vajadusi üldistes huvides ning sellel ei ole tööstuslikku ega ärilist iseloomu; b) see on juriidiline isik; c) seda rahastavad põhiliselt riik, piirkondlikud või kohalikud omavalitsused või muud avalik-õiguslikud isikud või selle juhtimine toimub kõnealuste omavalitsuste või isikute järelevalve all või selle haldus-, juhtimis- või järelevalveorgani liikmetest üle poole on määranud riik, piirkondlik või kohalik omavalitsus või muud avalik-õiguslikud isikud; 28b) „riigi osalusega äriühing“ – mis tahes äriühing, mille suhtes avaliku sektori asutusel võib otseselt või kaudselt olla valitsev mõju, mis tuleneb sellest, et äriühing on tema omanduses või tal on selles finantsosalus või äriühingu suhtes kehtivatest õigusnormidest. Eeldatakse, et avaliku sektori asutustel on valitsev mõju järgmistel juhtudel, kui need asutused otseselt või kaudselt a) omavad enamust äriühingu märgitud kapitalist; b) kontrollivad enamust äriühingu emiteeritud aktsiatega seotud häältest; c) võivad nimetada rohkem kui poole äriühingu haldus-, juht- või järelevalveorgani liikmetest;“; (d) lisatakse järgmised punktid 38a ja 38b: ET 21 ET  „38a) „andmevahendusteenus“ – teenus, mille eesmärk on luua tehniliste, õiguslike või muude vahendite abil majandussuhted andmete jagamiseks määramata arvu andmesubjektide või andmevaldajate ja -kasutajate vahel, sealhulgas andmesubjektide õiguste kasutamise eesmärgil seoses isikuandmetega, ning 1) mille peamine eesmärk ei ole autoriõigusega kaitstud sisu vahendamine; 2) mida mitu juriidilist isikut ei ole ühiselt hankinud üksnes omavaheliseks kasutamiseks; 38b) „andmealtruism“ – andmete vabatahtlik jagamine, mis põhineb andmesubjektide nõusolekul, et nende kohta käivaid isikuandmeid töödeldakse, või andmevaldajate loal kasutada nende isikustamata andmeid liikmesriigi õiguses ette nähtud üldhuvi eesmärgil, kui see on kohaldatav, näiteks tervishoiu, kliimamuutuste vastase võitluse, liikuvuse parandamise, ametliku statistika arendamise, tegemise ja levitamise, hõlbustamise, avalike teenuste osutamise parandamise, avaliku poliitika kujundamise või üldhuviga seotud teadusuuringute eesmärgil, soovimata või saamata selle eest tasu, mis ületab nende andmete kättesaadavaks tegemise tulemusena neile tekkinud kuludega seotud kompensatsiooni;“ (e) lisatakse järgmised punktid 44–63: „44) „keskmise suurusega ettevõtja“ – soovituse 2003/361/EÜ I lisa artiklis 2 määratletud keskmise suurusega ettevõtja; 45) „väike keskmise turukapitalisatsiooniga ettevõtja“ – komisjoni soovituse (EL) 2025/1099 lisa artiklis 2 määratletud väike keskmise turukapitalisatsiooniga ettevõtja; 46) „ülikool“ – avaliku sektori asutus, mis pakub akadeemilise kraadi omandamiseni viivat keskharidusjärgset kõrgharidust; 47) „standardlitsents“ – eelnevalt määratletud taaskasutamise tingimused digitaalses vormingus, mis eelistatavalt ühildub veebis kättesaadavate standardsete avalike litsentsidega; 48) „dokument“ – a) igasugune mittedigitaalne sisu mis tahes andmekandjal (paberil või heli-, visuaal- või audiovisuaalsalvestisena) või b) osa sellisest sisust; 50) „dünaamilised andmed“ – digikujul olevad andmed ja dokumendid, mida ajakohastatakse sageli või reaalajas eelkõige seetõttu, et nad muutuvad pidevalt või aeguvad kiiresti; andurite abil saadud andmeid käsitatakse tavaliselt dünaamiliste andmetena; 51) „teadusandmed“ – andmed, v.a teaduslikud publikatsioonid, mida kogutakse või mis koostatakse teadustöö käigus ning mida kasutatakse teadusprotsessis tõendusmaterjalina või peetakse teadusringkondades üldiselt vajalikuks, et tõestada teadustöö käigus tehtud avastusi ja teadustöö tulemusi; 52) „taaskasutamine“ – järgmiste dokumentide kasutamine füüsiliste ja juriidiliste isikute poolt: ET 22 ET  a) dokumendid, mis on avaliku sektori asutuste valduses ärilisel või mitteärilisel eesmärgil, mis ei lange kokku algse eesmärgiga, mille täitmiseks dokumendid avalik-õigusliku ülesande raames loodi, välja arvatud avaliku sektori asutuste vaheline dokumentide vahetamine puhtalt avalik-õiguslike ülesannete täitmiseks, või b) dokumendid, mis on VIIc peatüki 2. jao kohaselt riigi osalusega äriühingute valduses ärilisel või mitteärilisel eesmärgil, mis ei lange kokku algse eesmärgiga osutada üldhuviteenuseid, mille jaoks dokumendid koostati, välja arvatud riigi osalusega äriühingute ja avaliku sektori asutuste vaheline dokumentide vahetamine puhtalt avaliku sektori asutuste avalik-õiguslike ülesannete täitmiseks; 53) „väärtuslikud andmestikud“ – andmed ja dokumendid, mille taaskasutamist seostatakse ühiskonnale, keskkonnale ja majandusele oluliste hüvedega eelkõige tänu nende sobivusele lisaväärtusega teenuste ja rakenduste ning uute kõrge kvaliteediga ja inimväärsete töökohtade loomiseks ja tänu nende inimeste arvule, kes võiksid saada kasu sellistel andmetel ja dokumentidel põhinevatest lisaväärtusega teenustest ja rakendustest; 54) „teatavatesse kategooriatesse kuuluvad kaitstud andmed“ – avaliku sektori asutuste valduses olevad andmed ja dokumendid, mis on kaitstud järgmistel alustel: a) äriteabe konfidentsiaalsus, sealhulgas äri-, kutseala- ja äriühingu saladused; b) statistiliste andmete konfidentsiaalsus; c) kolmandate isikute intellektuaalomandi õiguste kaitse või d) isikuandmete kaitse, kui sellised andmed jäävad väljapoole VIIc peatüki 2. jao kohaldamisala; 56) „turvaline töötlemiskeskkond“ – füüsiline või virtuaalne keskkond ja korralduslikud vahendid, millega tagatakse vastavus liidu õigusele, eelkõige seoses andmesubjektide õiguste, intellektuaalomandi õiguste ning äriteabe ja statistiliste andmete konfidentsiaalsuse, tervikluse ja kättesaadavusega ning liikmesriigi õigusele ning võimaldatakse turvalist töötlemiskeskkonda pakkuval üksusel fikseerida ja kontrollida kõiki andmetöötlemistoiminguid, mida tehakse muu hulgas andmete kuvamiseks, salvestamiseks, allalaadimiseks ja eksportimiseks ning arvutialgoritmide abil tuletisandmete saamiseks; 57) „taaskasutaja“ – füüsiline või juriidiline isik, kellele on antud õigus taaskasutada VIIc peatüki alusel avaliku sektori asutuse või riigi osalusega äriühingu valduses olevaid andmeid või dokumente või teadusandmeid või teatavatesse kategooriatesse kuuluvaid kaitstud andmeid; 58) „masinloetav vorming“ – failivorming, mis on struktureeritud selliselt, et tarkvararakendused suudavad spetsiifilisi andmeid, sealhulgas üksikuid faktiväiteid, ja nende sisemist struktuuri kergelt tuvastada, ära tunda ja teha andmetest väljavõtteid; 59) „avatud vorming“ – platvormist sõltumatu failivorming, mis tehakse üldsusele kättesaadavaks ilma dokumentide taaskasutamise piiranguteta; ET 23 ET  60) „ametlik avatud standard“ – kirjalikult kehtestatud standard, mis sisaldab üksikasjalikke nõudeid selle kohta, kuidas tagada andmehaldustarkvara koostalitlusvõime; 61) „mõistlik investeeringutulu“ – protsentides väljendatav osa üldistest tasudest, mis lisandub tingimustele vastavate kulude katmiseks vajalikule summale; see osa ei tohi olla suurem kui viis protsendipunkti üle Euroopa Keskpanga fikseeritud intressimäära; 62) „andmete asukoha nõue“ – kohustus, keeld, tingimus, piirang või muu liikmesriigi õigus- või haldusnormides sätestatud või liikmesriigi ja avalik- õiguslike isikute (sealhulgas riigihangete valdkonnas) üldisest ja järjepidevast haldustavast tulenev nõue, mis ei piira direktiivi 2014/24/EL kohaldamist ja millega nähakse ette andmete töötlemine teatava liikmesriigi territooriumil või millega takistatakse andmetöötlust teises liikmesriigis; 63) „pseudonüümimine“ – määruse (EL) 2016/679 artikli 4 punktis 5 osutatud pseudonüümimine.“ 3. Artikli 4 lõige 8 asendatakse järgmisega: „8. Erandlikel asjaoludel, kui andmevaldaja, kes on ärisaladuse omaja, suudab tõendada, et hoolimata kasutaja poolt käesoleva artikli lõike 6 kohaselt võetud tehnilistest ja korralduslikest meetmetest on väga tõenäoline, et ärisaladuste avalikustamine põhjustab talle suurt majanduslikku kahju või et ärisaladuste avalikustamine kasutajale tekitab suure ohu, et need võidakse ebaseaduslikult omandada, neid kasutada või need avalikustada kolmandate riikide üksustele või liidus asutatud üksustele, mis on selliste üksuste otsese või kaudse kontrolli all ja mille suhtes kohaldatakse liidu õigusega võrreldes nõrgemat või mitte samaväärset kaitset, võib andmevaldaja kõnealustele konkreetsetele andmetele juurdepääsu taotluse igal üksikjuhul eraldi rahuldamata jätta. Selline tõendamine peab olema igakülgselt põhjendatud, tuginedes objektiivsetele asjaoludele, näiteks ärisaladuse kaitse jõustamisele kolmandates riikides, taotletud andmete konfidentsiaalsuse laadile ja tasemele ning ühendatud toote ainulaadsusele ja uudsusele. See esitatakse kasutajale kirjalikult ja põhjendamatu viivituseta. Kui andmevaldaja keeldub andmete jagamisest käesoleva lõike alusel, teavitab ta artikli 37 kohaselt määratud pädevat asutust.“ 4. Artikli 5 lõige 11 asendatakse järgmisega: „11. Erandlikel asjaoludel, kui andmevaldaja, kes on ärisaladuse omaja, suudab tõendada, et hoolimata kolmanda isiku poolt käesoleva artikli lõike 9 kohaselt võetud tehnilistest ja korralduslikest meetmetest on väga tõenäoline, et ärisaladuste avalikustamine põhjustab talle suurt majanduslikku kahju või et ärisaladuste avalikustamine kolmandale isikule tekitab suure ohu, et need võidakse ebaseaduslikult omandada, neid kasutada või need avalikustada kolmandate riikide üksustele või liidus asutatud üksustele, mis on selliste üksuste otsese või kaudse kontrolli all ja mille suhtes kohaldatakse liidu õigusega võrreldes nõrgemat või mitte samaväärset kaitset, võib andmevaldaja kõnealustele konkreetsetele andmetele juurdepääsu taotluse igal üksikjuhul eraldi rahuldamata jätta. Selline tõendamine peab olema igakülgselt põhjendatud, tuginedes objektiivsetele asjaoludele, näiteks ärisaladuse kaitse jõustamisele kolmandates riikides, taotletud andmete konfidentsiaalsuse laadile ja tasemele ning ühendatud toote ainulaadsusele ja uudsusele. See esitatakse kolmandale isikule kirjalikult ja põhjendamatu ET 24 ET  viivituseta. Kui andmevaldaja keeldub andmete jagamisest käesoleva lõike alusel, teavitab ta artikli 37 kohaselt määratud pädevat asutust.“ 5. V peatüki pealkiri asendatakse järgmisega: „AVALIKU SEKTORI ASUTUSTELE, KOMISJONILE, EUROOPA KESKPANGALE JA LIIDU ORGANITELE ÜLDISE HÄDAOLUKORRA TÕTTU ANDMETE KÄTTESAADAVAKS TEGEMINE“. 6. Artiklid 14 ja 15 jäetakse välja. 7. Lisatakse järgmine artikkel 15a: „Artikkel 15a Andmevaldajate kohustus teha andmed kättesaadavaks üldise hädaolukorra tõttu 1. Kui avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ tõendab erakorralist vajadust kasutada teatavaid andmeid oma seadusjärgsete kohustuste täitmiseks avalikes huvides, et reageerida üldisele hädaolukorrale, seda leevendada või toetada sellest taastumist, võib ta nõuda, et andmevaldajad, kes on juriidilised isikud, välja arvatud avaliku sektori asutused, teeksid need andmed, sealhulgas nende andmete tõlgendamiseks ja kasutamiseks vajalikud metaandmed, kättesaadavaks. Pärast sellise põhjendatud taotluse saamist teevad andmevaldajad andmed ja metaandmed taotluse esitanud avaliku sektori asutusele, komisjonile, Euroopa Keskpangale või liidu organile kättesaadavaks. Selliseid taotlusi võib esitada ka siis, kui seoses üldise hädaolukorraga on vaja koostada ametlikku statistikat. 2. Kui taotletud andmed on vajalikud üldisele hädaolukorrale reageerimiseks ning vastavalt lõikele 1 taotluse esitanud asutus ei saa selliseid andmeid samaväärsetel tingimustel mõnel muul moel õigel ajal ja tulemuslikult hankida, käsitleb taotlus isikustamata andmeid. Kui üldise hädaolukorra lahendamiseks ei piisa isikustamata andmete esitamisest, võib nõuda ka isikuandmete esitamist ning need võidakse võimaluse korral teha kättesaadavaks pseudonüümitud kujul, tingimusel et nende kaitseks on võetud asjakohased tehnilised ja korralduslikud meetmed. 3. Kui taotletavad andmed on vajalikud üldise hädaolukorra leevendamiseks või sellest taastumise toetamiseks, võib lõike 1 kohaselt taotluse esitanud asutus, kes tegutseb liidu või liikmesriigi õiguse alusel, taotleda konkreetseid isikustamata andmeid, mille puudumine takistab tal üldise hädaolukorra leevendamist või sellest taastumise toetamist. Selliseid taotlusi ei esitata mikro- ja väikeettevõtjatele.“ 8. Artikli 16 lõige 2 asendatakse järgmisega: „2. Käesolevat peatükki ei kohaldata avaliku sektori asutuste, komisjoni, Euroopa Keskpanga ega liidu organite tegevuse suhtes, mis on seotud kuritegude või haldusrikkumiste tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramisega, ega tolli- või maksuametite suhtes. Käesolev peatükk ei mõjuta sellist tegevust reguleerivat liidu või liikmesriigi õigust.“ 9. Artiklit 17 muudetakse järgmiselt: a) lõiget 1 muudetakse järgmiselt: ET 25 ET  i) sissejuhatav osa asendatakse järgmisega: „Artikli 15a kohaselt andmeid taotledes teeb avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ järgmist:“; ii) alapunktid b ja c asendatakse järgmisega: „b) tõendab, et artikli 15a kohase taotluse esitamise tingimused on täidetud; c) selgitab taotluse eesmärki, taotletavate andmete kavandatavat kasutust, sealhulgas asjakohasel juhul kolmanda isiku poolt kooskõlas käesoleva artikli lõikega 4, ja kasutamise kestust, ning asjakohasel juhul seda, kuidas isikuandmete töötlemisega seda üldist hädaolukorda lahendatakse;“; b) lõiget 2 muudetakse järgmiselt: i) punkt c asendatakse järgmisega: „c) olema üldise hädaolukorraga proportsionaalne ja põhjendatud, nii taotletud andmete üksikasjalikkuse ja mahu kui ka taotletud andmetele juurdepääsu sageduse osas;“; ii) punkt e jäetakse välja; c) lõiked 5 ja 6 jäetakse välja. 10. Artiklit 18 muudetakse järgmiselt: a) lõike 2 sissejuhatav osa asendatakse järgmisega: „2. Ilma et see piiraks liidu või liikmesriigi õiguses kindlaks määratud andmete kättesaadavusega seotud erivajadusi, võib andmevaldaja käesoleva peatüki kohase andmete kättesaadavaks tegemise taotluse tagasi lükata või paluda selle muutmist põhjendamatu viivituseta ja igal juhul mitte hiljem kui viie tööpäeva jooksul pärast seda, kui ta on saanud kätte artikli 15a lõike 2 kohase taotluse, ja põhjendamatu viivituseta ning igal juhul mitte hiljem kui 30 tööpäeva jooksul pärast seda, kui ta on saanud kätte artikli 15a lõike 3 kohase taotluse, ühel järgmisel põhjusel:“; b) lõige 5 jäetakse välja. 11. Artiklit 19 muudetakse järgmiselt: a) lõike 1 sissejuhatav osa asendatakse järgmisega: „Artikli 15a alusel esitatud taotluse põhjal andmeid vastu võttev avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ“; b) lõige 3 asendatakse järgmisega: „3. Ärisaladuste avalikustamine avaliku sektori asutusele, komisjonile, Euroopa Keskpangale või liidu organile on nõutav üksnes sellises ulatuses, mis on artikli 15a kohase taotluse eesmärgi saavutamiseks vältimatult vajalik. Andmevaldaja või ärisaladuse omaja, kui tegemist ei ole sama isikuga, teeb sellisel juhul kindlaks andmed, mis on kaitstud ärisaladusena, sealhulgas asjaomastes metaandmetes. Avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ võtab enne ärisaladuste avalikustamist nende konfidentsiaalsuse säilitamiseks kõik vajalikud ja asjakohased tehnilised ja ET 26 ET  korralduslikud meetmed, sealhulgas kasutades kohasel juhul lepingu näidistingimusi, tehnilisi standardeid ning tegevusjuhendeid.“ 12. Artikkel 20 asendatakse järgmisega: „Artikkel 20 V peatüki kohaselt andmete kättesaadavaks tegemise hüvitamine 1. Andmevaldajad teevad tasuta kättesaadavaks andmed, mis on artikli 15a lõike 2 kohaselt vajalikud üldisele hädaolukorrale reageerimiseks. Avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ, kes on saanud andmeid, tunnustab andmevaldajat avalikult, kui andmevaldaja seda nõuab. 2. Andmevaldajal on õigus saada artikli 15a lõike 3 kohaselt esitatud taotluse rahuldamisel andmete kättesaadavaks tegemise eest õiglast hüvitist. Hüvitis katab taotluse rahuldamiseks kantud tehnilised ja korralduslikud kulud, sealhulgas, kui see on kohaldatav, anonüümimise, pseudonüümimise, koondamise ja tehnilise kohandamise kulud ning mõistlikus suuruses marginaali. Andmevaldaja esitab avaliku sektori asutuse, komisjoni, Euroopa Keskpanga või liidu organi taotluse alusel teabe kulude ja mõistliku marginaali arvutamise aluste kohta. 3. Erandina käesoleva artikli lõikest 1 võib andmevaldaja, kes on mikro- või väikeettevõtja, taotleda hüvitist andmete kättesaadavaks tegemise eest vastusena artikli 15a lõike 2 kohasele taotlusele vastavalt käesoleva artikli lõikes 2 sätestatud tingimustele. 4. Andmevaldajatel ei ole õigust nõuda artikli 15a lõike 3 kohaselt esitatud taotluse rahuldamisel andmete kättesaadavaks tegemise eest hüvitist, kui avalikes huvides täidetav eriülesanne on ametliku statistika tegemine ning kui andmete ostmine ei ole liikmesriigi õigusega lubatud. Liikmesriigid annavad komisjonile teada, kui andmete ostmine ametliku statistika tegemiseks ei ole liikmesriigi õigusega lubatud.“ 13. Artiklit 21 muudetakse järgmiselt: a) pealkiri asendatakse järgmisega: „Üldise hädaolukorra kontekstis saadud andmete jagamine teadusasutuste või statistikaasutustega“; b) lõige 5 asendatakse järgmisega: „5. Kui avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ kavatseb lõike 1 alusel andmeid edastada või kättesaadavaks teha, teavitab ta sellest põhjendamatu viivituseta andmevaldajat, kellelt andmed saadi, täpsustades järgmist: a) andmeid saava organisatsiooni või isiku nimi ja kontaktandmed; b) andmete edastamise või kättesaadavaks tegemise eesmärk; c) andmete kasutamise ajavahemik ja tehniline kaitse; d) võetud korralduslikud meetmed, sealhulgas siis, kui tegemist on isikuandmete või ärisaladustega.“ 14. VI peatükki ette lisatakse järgmine artikkel 22a: ET 27 ET  „Artikkel 22a Õigus esitada kaebus Kui tekib vaidlus seoses artikli 15a kohase andmete taotlusega, sealhulgas selle rahuldamata jätmisega, muutmisega, hüvitise suurusega või andmete edastamise või kättesaadavaks tegemisega, võib andmevaldaja, avaliku sektori asutus, komisjon, Euroopa Keskpank või liidu organ esitada kaebuse artikli 37 kohaselt määratud pädevale asutusele andmevaldaja asukohaliikmesriigis.“ 15. Artiklisse 31 lisatakse järgmised lõiked 1a ja 1b: „1a. VI peatükis (v.a artikkel 29) ja artiklis 34 sätestatud kohustusi ei kohaldata muude andmetöötlusteenuste suhtes kui artikli 30 lõikes 1 osutatud teenused, kui selliste teenuste osutamine põhineb 12. septembril 2025 või enne seda kuupäeva sõlmitud lepingul ja kui teenuseosutaja on enamiku andmetöötlusteenuse omadusi ja funktsioone kohandanud kliendi konkreetsetele vajadustele. Kui leping oli sõlmitud 12. septembril 2025 või enne seda, ei ole selliste andmetöötlusteenuste osutaja kohustatud nimetatud teenuste osutamise lepingu üle enne selle kehtivuse lõppemist uuesti läbi rääkima ega lepingut muutma. Kõik sellise lepingu sätted, mis on vastuolus artikli 29 lõikega 1, 2 või 3, loetakse õigustühiseks. 1b. Andmetöötlusteenuse osutaja võib lisada andmetöötlusteenuste osutamise kindlaksmääratud tähtajaga lepingusse sätted proportsionaalsete ennetähtaegse lõpetamise trahvide kohta, välja arvatud artikli 30 lõikes 1 viidatud teenuste korral. Juhul kui andmetöötlusteenuse osutaja on väike- või keskmise suurusega ettevõtja või väike keskmise turukapitalisatsiooniga ettevõtja, ei kohaldata VI peatükis (v.a artikkel 29) ja artiklis 34 sätestatud kohustusi muude andmetöötlusteenuste suhtes kui artikli 30 lõikes 1 osutatud teenused, kui selliste teenuste osutamine põhineb 12. septembril 2025 või enne seda kuupäeva sõlmitud lepingul. Juhul kui andmetöötlusteenuse osutaja on väike- või keskmise suurusega ettevõtja või väike keskmise turukapitalisatsiooniga ettevõtja, ei ole teenuseosutaja kohustatud muu kui artikli 30 lõikes 1 viidatud andmetöötlusteenuse osutamise lepingu üle enne selle kehtivuse lõppemist uuesti läbi rääkima ega lepingut muutma, kui see leping oli sõlmitud 12. septembril 2025 või enne seda. Kõik selle lepingu sätted, mis on vastuolus artikli 29 lõikega 1, 2 või 3, loetakse õigustühiseks.“ 16. Artiklit 32 muudetakse järgmiselt: a) lõiked 1 ja 2 asendatakse järgmisega: „1. Andmetöötlusteenuste osutajad, VIIc peatüki 3. jao kohaselt andmeid või dokumente kättesaadavaks tegev avaliku sektori asutus, VIIc peatüki 3. jao kohaselt andmete või dokumentide taaskasutamise õiguse saanud füüsiline või juriidiline isik, andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon võtavad kõik asjakohased tehnilised, korralduslikud ja õiguslikud meetmed, sealhulgas sõlmivad lepingud, et hoida ära rahvusvaheline ja kolmandate riikide valitsusasutuste juurdepääs liidus hoitavatele isikustamata andmetele ja nende andmete edastamine, kui selline ET 28 ET  edastamine või juurdepääs oleks vastuolus liidu õiguse või asjaomase liikmesriigi õigusega, ilma et see piiraks lõike 2 või 3 kohaldamist. 2. Kolmanda riigi kohtu ja haldusasutuse otsust, millega nõutakse andmetöötlusteenuste osutajalt, VIIc peatüki 3. jao kohaselt andmeid või dokumente kättesaadavaks tegevalt avaliku sektori asutuselt, VIIc peatüki 3. jao kohaselt andmete või dokumentide taaskasutamise õiguse saanud füüsiliselt või juriidiliselt isikult, andmevahendusteenuse osutajalt või tunnustatud andmealtruismiorganisatsioonilt, et ta edastaks käesoleva määruse kohaldamisalasse kuuluvaid liidus hoitavaid isikustamata andmeid või annaks neile juurdepääsu, peab tunnustama või selle mis tahes viisil täitmisele pöörama üksnes siis, kui kõnealune otsus põhineb nõude esitanud kolmanda riigi ja liidu vahelisel kehtival rahvusvahelisel lepingul, näiteks vastastikuse õigusabi lepingul, või nõude esitanud kolmanda riigi ja liikmesriigi vahelisel mistahes sellisel lepingul.“; b) lõike 3 esimese lõigu sissejuhatav osa asendatakse järgmisega: „3. Käesoleva artikli lõikes 2 osutatud rahvusvahelise lepingu puudumisel, kui andmetöötlusteenuste osutaja, VIIc peatüki 3. jao kohaselt andmeid või dokumente kättesaadavaks tegev avaliku sektori asutus, VIIc peatüki 3. jao kohaselt andmete või dokumentide taaskasutamise õiguse saanud füüsiline või juriidiline isik, andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon on sellise kolmanda riigi kohtu või haldusasutuse otsuse adressaadiks, mille kohaselt on kohustus edastada käesoleva määruse kohaldamisalasse kuuluvaid liidus asuvaid isikustamata andmeid või anda neile juurdepääs, ja selle otsuse täitmine tingiks otsuse adressaadi jaoks ohu minna vastuollu liidu õigusega või asjaomase liikmesriigi õigusega, toimub selliste andmete edastamine kõnealusele kolmanda riigi asutusele või tema juurdepääs neile ainult juhul, kui:“; c) lõiked 4 ja 5 asendatakse järgmisega: „4. Kui lõikes 2 või 3 sätestatud tingimused on täidetud, esitab andmetöötlusteenuste osutaja, VIIc peatüki 3. jao kohaselt andmeid või dokumente kättesaadavaks tegev avaliku sektori asutus, VIIc peatüki 3. jao kohaselt andmete või dokumentide taaskasutamise õiguse saanud füüsiline või juriidiline isik, andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon taotlusele vastates minimaalse lubatud koguse andmeid, võttes aluseks teenuseosutaja või lõike 3 teises lõigus osutatud asjaomase riigiorgani või asutuse taotlust puudutava mõistliku tõlgenduse. 5. Andmetöötlusteenuste osutaja, VIIc peatüki 3. jao kohaselt andmeid või dokumente kättesaadavaks tegev avaliku sektori asutus, VIIc peatüki 3. jao kohaselt andmete või dokumentide taaskasutamise õiguse saanud füüsiline või juriidiline isik, andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon teavitab füüsilist või juriidilist isikut, kelle õigusi ja huve võib mõjutada kolmanda riigi asutuse taotlus saada juurdepääs tema andmetele, enne kõnealuse taotluse täitmist, välja arvatud juhul, kui taotlus on esitatud õiguskaitse eesmärgil, ja nii kaua, kui see on vajalik õiguskaitsealase tegevuse tulemuslikkuse tagamiseks.“ 17. Artikkel 36 jäetakse välja. 18. Lisatakse VIIa, VIIb ja VIIc peatükk: ET 29 ET  „VIIa PEATÜKK ANDMEVAHENDUSTEENUSED JA ANDMEALTRUISMIORGANISATSIOONID Artikkel 32a Liidu avalikud registrid (1) Komisjon peab ja uuendab korrapäraselt järgmisi liidu avalikke registreid: a) tunnustatud andmevahendusteenuse osutajate register ja b) tunnustatud andmealtruismiorganisatsioonide register. (2) Lõike 1 punktis a osutatud liidu avalikus registris registreeritud andmevahendusteenuse osutajad võivad oma kirjalikus ja suulises suhtluses kasutada märgist „liidus tunnustatud andmevahendusteenuse osutaja“ ning lõikes 4 osutatud ühist logo. (3) Lõike 1 punktis b osutatud liidu avalikus registris registreeritud andmealtruismiorganisatsioonid võivad oma kirjalikus ja suulises suhtluses kasutada märgist „liidus tunnustatud andmealtruismiorganisatsioon“ ning lõikes 4 osutatud ühist logo. (4) Selleks et liidus tunnustatud andmevahendusteenuse osutajad oleksid kogu liidus kergesti äratuntavad, on komisjonil õigus võtta vastu rakendusakte, millega kehtestatakse ühtse logo kujundus. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 46 lõikes 1a osutatud nõuandemenetlusega. Artikkel 32b Andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide registreerimiseks pädevad asutused (1) Iga liikmesriik määrab artikli 37 lõike 1 kohaselt ühe või mitu pädevat asutust, kes vastutavad käesoleva peatüki kohaldamise ja täitmise tagamise eest. (2) Pädevad asutused luuakse viisil, mis tagab nende sõltumatuse kõigist tunnustatud andmevahendusteenuse osutajatest ja tunnustatud andmealtruismiorganisatsioonidest. Artikkel 32c Tunnustatud andmevahendusteenuse osutajate registreerimise üldnõuded Artikli 32a lõike 1 punktis a osutatud liidu avalikus registris registreerimiseks peab andmevahendusteenuse osutaja vastama kõikidele järgmistele nõuetele: a) ta ei kasuta andmeid, millega seotud andmevahendusteenuseid ta osutab, muul eesmärgil kui selleks, et anda need andmed andmekasutajate käsutusse; b) andmeid, mida ta kogub füüsilise või juriidilise isiku mis tahes tegevuse kohta eesmärgiga osutada andmevahendusteenust, sealhulgas kuupäev, kellaaeg ja asukohaandmed, tegevuse kestus ning andmevahendusteenust kasutava isiku seosed muude füüsiliste või juriidiliste isikutega, kasutatakse ainult nimetatud andmevahendusteenuse arendamiseks; c) kui ta pakub andmevaldajatele või andmesubjektidele lisavahendeid ja -teenuseid, mille erieesmärk on hõlbustada andmete vahetamist, näiteks andmete ajutine ET 30 ET  säilitamine, hooldamine, teisendamine, krüpteerimine, anonüümimine ja pseudonüümimine, kasutatakse selliseid vahendeid ja teenuseid üksnes andmevaldaja või andmesubjekti sõnaselgel taotlusel või nõusolekul; d) kui andmevahendusteenuse osutajad, kes ei ole mikro- ega väikeettevõtjad, pakuvad oma klientidele muid lisaväärtusega teenuseid kui punktis c osutatud teenused, peavad nad täitma järgmised tingimused: i) kasutaja on lisaväärtusega teenuseid sõnaselgelt soovinud; ii) andmeid ei kasutata muul eesmärgil kui lisaväärtusega teenuse osutamiseks; iii) lisaväärtusega teenuseid pakutakse funktsionaalselt eraldiseisva üksuse kaudu; iv) lisaväärtusega teenuseid pakkuda sooviv äriühing ei ole määratud pääsuvalitsejaks vastavalt määruse (EL) 2022/1925 artiklile 3; v) andmevaldajale või andmekasutajale andmevahendusteenuste osutamise äritingimused, sealhulgas hinnakujundus, ei sõltu sellest, kas andmevaldaja või andmekasutaja kasutab andmevahendusteenuse osutaja või sellega seotud üksuse osutatavaid lisaväärtusega teenuseid; e) andmesubjektidele teenuseid osutav andmevahendusteenuse osutaja tegutseb andmesubjektide parimates huvides, kui ta nende õiguste kasutamist hõlbustab, ennekõike andes andmesubjektidele, enne kui nad oma nõusoleku annavad, kokkuvõtlikul, läbipaistval, arusaadaval ja kergesti kättesaadaval kujul teavet ja vajadusel nõu andmete andmekasutajate poolse kavandatud kasutamise kohta ning sellise kasutamisega seotud tüüptingimuste kohta. Artikkel 32d Tunnustatud andmealtruismiorganisatsioonide registreerimise üldnõuded Artikli 32a lõike 1 punktis b osutatud liidu avalikus registris registreerimiseks peab andmealtruismiorganisatsioon vastama kõikidele järgmistele nõuetele: a) ta tegeleb andmealtruismiga; b) ta on liikmesriigi õiguse kohaselt asutatud juriidiline isik liikmesriigi õiguses ette nähtud üldhuvi eesmärkide saavutamiseks, kui see on kohaldatav; c) ta tegutseb mittetulunduslikul alusel ja on õiguslikult sõltumatu mis tahes üksusest, kes tegutseb tulunduslikul alusel; d) ta viib ellu oma andmealtruismi tegevusi muudest tema tegevustest funktsionaalselt eraldiseisva struktuuri kaudu. Artikkel 32e Registreerimine (1) Andmevahendusteenuse osutaja, kes vastab artiklis 32c sätestatud nõuetele, võib esitada taotluse registreerimiseks tunnustatud andmevahendusteenuse osutajate avalikus liidu registris artiklis 32b osutatud pädevale asutusele selles liikmesriigis, kus on tema peamine tegevuskoht. Andmealtruismiorganisatsioon, kes vastab artiklis 32d sätestatud nõuetele, võib esitada taotluse registreerimiseks tunnustatud andmealtruismiorganisatsioonide ET 31 ET  avalikus liidu registris artiklis 32b osutatud pädevale asutusele selles liikmesriigis, kus on tema peamine tegevuskoht. (2) Andmevahendusteenuse osutajad ja andmealtruismiorganisatsioonid, kelle peamine tegevuskoht ei ole liidus, määravad seadusliku esindaja ühes liikmesriigis. Seaduslikule esindajale antakse sellised volitused, et pädevad asutused või andmesubjektid ja andmevaldajad võivad pöörduda tema poole lisaks andmevahendusteenuse osutaja või andmealtruismiorganisatsiooni poole pöördumisele või selle asemel, et pöörduda nende poole. Seaduslik esindaja teeb pädeva asutusega koostööd ja tõendab talle taotluse korral põhjalikult andmevahendusteenuse osutaja või andmealtruismiorganisatsiooni poolt käesoleva määruse järgimise tagamiseks võetud meetmeid ja kehtestatud norme. Andmevahendusteenuse osutaja või andmealtruismiorganisatsioon loetakse selle liikmesriigi jurisdiktsiooni alla kuuluvaks, kus on seadusliku esindaja asukoht. Seadusliku esindaja määramine ei piira kohtumenetlusi, mida võidakse algatada andmevahendusteenuse osutaja või andmealtruismiorganisatsiooni enda vastu. (3) Pädevad asutused kehtestavad vajalikud taotlusvormid. (4) Kui andmevahendusteenuse osutaja on esitanud kogu käesoleva artikli lõikes 3 nõutud teabe ja vastab artiklis 32c sätestatud nõuetele, teeb pädev asutus 12 nädala jooksul pärast registreerimistaotluse saamist otsuse selle kohta, kas teenuseosutaja vastab artiklis 32c sätestatud kriteeriumidele. Kui teenuseosutaja vastab kriteeriumidele, esitab pädev asutus asjakohase teabe komisjonile, kes registreerib teenuseosutaja tunnustatud andmevahendusteenuse osutajana liidu avalikus registris. Esimest lõiku kohaldatakse ka juhul, kui andmealtruismiorganisatsioon on esitanud kogu lõikes 2 nõutud teabe ja vastab artiklis 32d sätestatud registreerimisnõuetele. Liidu avalikus registris registreerimine kehtib kõikides liikmesriikides. (5) Pädev asutus võib registreerimise eest võtta tasu vastavalt liikmesriigi õigusele. Selline tasu peab olema proportsionaalne ja objektiivne ning põhinema halduskuludel, mis on seotud järelevalvega nõuete täitmise üle. Väikestelt keskmise turukapitalisatsiooniga ettevõtjatelt, väikestelt ja keskmise suurusega ettevõtjatelt ning idufirmadelt võib pädev asutus võtta väiksemat tasu või loobuda tasu võtmisest. (6) Registreeritud üksused teavitavad pädevat asutust kõigist hilisemast muudatustest taotlemisprotsessi käigus esitatud teabes või kui nad lõpetavad liidus andmevahenduse või andmealtruismi tegevuse. (7) Pädev asutus teavitab komisjoni viivitamata ja elektrooniliselt kõigist lõike 6 kohastest teadetest. Komisjon ajakohastab liidu avalikku registrit põhjendamatu viivituseta. Artikkel 32f Tunnustatud andmealtruismiorganisatsioonide ülesanded (1) Tunnustatud andmealtruismiorganisatsioonid teavitavad andmesubjekte või andmevaldajaid enne nende andmete töötlemist selgel ja hõlpsasti arusaadaval viisil järgmisest: a) üldhuvi eesmärgid, ja kui see on asjakohane, isikuandmete töötlemise täpselt kindlaksmääratud ning õiguspärane eesmärk ja milleks ta lubab andmekasutajal nende andmeid töödelda; ET 32 ET  b) töötlemise asukoht ja üldhuvi eesmärgid, milleks ta lubab töötlemist kolmandas riigis, kui andmeid töötleb tunnustatud andmealtruismiorganisatsioon. (2) Tunnustatud andmealtruismiorganisatsioonid ei kasuta andmeid muul eesmärgil kui üldhuvi eesmärgid, milleks andmevaldaja või andmesubjekt töötlemist lubab. Tunnustatud andmealtruismiorganisatsioon ei tohi andmete esitamise üleskutsetes kasutada eksitavaid turundusvõtteid. (3) Tunnustatud andmealtruismiorganisatsioonid pakuvad elektroonilisi vahendeid andmesubjektide nõusoleku või andmevaldajate poolt kättesaadavaks tehtud andmete töötlemise lubade saamiseks ning sellise nõusoleku või loa tagasivõtmiseks. (4) Tunnustatud andmealtruismiorganisatsioonid teavitavad andmevaldajaid viivituseta igast enda jagatud isikustamata andmete loata edastamisest, neile loata juurdepääsust või nende loata kasutamisest. (5) Kui tunnustatud andmealtruismiorganisatsioonid hõlbustavad andmete töötlemist kolmandate isikute poolt, muu hulgas pakkudes vahendeid, et saada andmesubjektide nõusolek või et saada luba andmevaldajate poolt kättesaadavaks tehtud andmete töötlemiseks, täpsustavad nad vajaduse korral, millises kolmandas riigis on kavas andmeid kasutada. Artikkel 32g Järelevalve nõuete täitmise üle (1) Artiklis 32b osutatud pädevad asutused jälgivad ja kontrollivad omal algatusel või füüsilise või juriidilise isiku taotlusel, kas tunnustatud andmevahendusteenuse osutajad ja tunnustatud andmealtruismiorganisatsioonid täidavad käesolevas peatükis sätestatud nõudeid, sealhulgas kas nad jätkuvalt täidavad selles sätestatud registreerimisnõudeid. (2) Pädevatel asutustel on õigus nõuda tunnustatud andmevahendusteenuse osutajatelt või tunnustatud andmealtruismiorganisatsioonidelt või nende seaduslikelt esindajatelt kogu teavet, mis on vajalik, et kontrollida käesolevas peatükis sätestatud nõuete täitmist. Iga teabenõue peab olema ülesande täitmise seisukohast proportsionaalne ja põhjendatud. (3) Kui pädev asutus leiab, et tunnustatud andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon ei täida üht või mitut käesolevas peatükis sätestatud nõuet, teavitab ta kõnealust üksust või tema seaduslikku esindajat neist järeldustest ja annab talle võimaluse esitada 30 päeva jooksul pärast teavituse saamist oma seisukohad. (4) Pädeval asutusel on õigus nõuda, et lõikes 3 osutatud rikkumine lõpetataks viivitamatult või mõistliku aja jooksul, ning ta võtab nõuete täitmise tagamiseks asjakohaseid ja proportsionaalseid meetmeid. (5) Kui tunnustatud andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsioon ei täida üht või mitut käesolevas peatükis sätestatud nõuet ka pärast seda, kui teda on lõike 3 kohaselt teavitatud, siis see üksus a) kaotab õiguse kasutada kirjalikus ja suulises suhtluses artiklis 32a osutatud märgist; b) kustutatakse artiklis 32a osutatud avalikust liidu registrist. ET 33 ET  Pädev asutus avaldab esimese lõigu punktis a osutatud otsuse märgise kasutamise õiguse tühistamise kohta. VIIb PEATÜKK Isikustamata andmete vaba liikumine liidus Artikkel 32h Isikustamata andmete asukoha nõuete keeld liidus (1) Isikustamata andmete asukoha nõuded on keelatud, välja arvatud juhul, kui need on põhjendatud avaliku julgeoleku kaalutlustel kooskõlas proportsionaalsuse põhimõttega või on kehtestatud liidu õiguse alusel. (2) Liikmesriigid teavitavad komisjoni viivitamata igast õigusakti eelnõust, millega kehtestatakse uus andmete asukoha nõue või muudetakse olemasolevat andmete asukoha nõuet, vastavalt Euroopa Parlamendi ja nõukogu direktiivi (EL) 2015/1535 artiklites 5, 6 ja 7 sätestatud korrale. VIIc peatükk Avaliku sektori asutuste valduses olevate andmete ja dokumentide taaskasutamine 1. JAGU ÜLDSÄTTED Artikkel 32i Reguleerimisese ja kohaldamisala (1) Käesoleva peatükiga kehtestatakse õigusnormid, mis reguleerivad järgmiste andmete ja dokumentide taaskasutamist, ja nende taaskasutamist soodustav praktiline kord: a) liikmesriikide avaliku sektori asutuste valduses olevad olemasolevad andmed ja dokumendid, sealhulgas teatavatesse kategooriatesse kuuluvad kaitstud andmed; b) olemasolevad andmed ja dokumendid, mis on sellise riigi osalusega äriühingu valduses, kes i) tegutseb Euroopa Parlamendi ja nõukogu direktiivi 2014/25/EL II peatükis osutatud valdkondades; ii) tegutseb avaliku teenuse pakkujana vastavalt Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1370/2007 artiklile 2; iii) tegutseb lennuettevõtjana, kes täidab avaliku teenindamise kohustust vastavalt Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1008/2008 artiklile 16, või ET 34 ET  iv) tegutseb ühenduse laevaomanikuna, kes täidab avaliku teenuse osutamise kohustust vastavalt nõukogu määruse (EMÜ) nr 3577/92 artiklile 4; c) teadusandmed artiklis 32t sätestatud tingimustel. (2) Käesolevat peatükki ei kohaldata järgmise suhtes: a) andmed ja dokumendid, mille väljastamine ei kuulu asjaomaste avaliku sektori asutuste avalik-õiguslike ülesannete alla, mis on määratletud liikmesriigi õiguses või muudes siduvates õigusnormides, või selliste normide puudumisel kõnealuse liikmesriigi üldise haldustava kohaselt tingimusel, et avalik- õiguslike ülesannete ulatus on läbipaistev ja see vaadatakse läbi; b) riigi osalusega äriühingute valduses olevad andmed ja dokumendid, i) mille koostamine ei kuulu liikmesriigi õiguses või muudes siduvates õigusnormides määratletud üldhuviteenuste pakkumise alla; ii) mis on seotud tegevusega, mis on otseselt avatud konkurentsile ja mille suhtes ei kohaldata seetõttu hanke-eeskirju vastavalt direktiivi 2014/25/EL artiklile 34; c) andmed ja dokumendid, näiteks tundlikud andmed, millele juurdepääs on liikmesriigi juurdepääsukorra kohaselt keelatud riikliku julgeoleku (st riigi julgeoleku) kaitse, riigikaitse või avaliku julgeoleku kaitse eesmärgil; d) andmed ja dokumendid, mis on avalik-õiguslike ringhäälingute ja nende filiaalide ning muude asutuste või nende filiaalide valduses avaliku ringhäälinguteenuse osutamise eesmärgil. (3) Käesoleva peatüki 2. jagu ei kohaldata järgmise suhtes: a) andmed või dokumendid, näiteks tundlikud andmed või dokumendid, millele juurdepääs on liikmesriikide juurdepääsukorra kohaselt keelatud, sealhulgas järgmistel põhjustel: i) statistiliste andmete konfidentsiaalsus; ii) äriteabe konfidentsiaalsus (sealhulgas äri-, kutseala- või äriühingu saladused); b) andmed või dokumendid, millele juurdepääs on liikmesriikide juurdepääsukorraga piiratud, i) sealhulgas juhud, kus dokumentidele juurdepääsu saamiseks peavad kodanikud või juriidilised isikud tõendama oma konkreetse huvi olemasolu; ii) isikuandmete kaitse tõttu, ning andmete või dokumentide osad, mis on selle korra kohaselt juurdepääsetavad ja sisaldavad isikuandmeid, mille taaskasutamine on õiguses määratletu kohaselt vastuolus õigusaktiga, millega reguleeritakse üksikisikute kaitset isikuandmete töötlemisel, või mis kahjustab üksikisiku eraelu puutumatust ja isikupuutumatust, eelkõige isikuandmete kaitset käsitleva liidu või liikmesriigi õiguse kohaselt; logod, vapid ja sümbolid; c) andmed või dokumendid, mille intellektuaalomandiõigused kuuluvad kolmandatele isikutele; ET 35 ET  d) andmed või dokumendid, mis on muude kultuuriasutuste kui raamatukogude, sealhulgas ülikooliraamatukogude, muuseumide ja arhiivide valduses; e) andmed või dokumendid, mis on kuni teise taseme haridusasutuste valduses, ning kõigi teiste haridusasutuste puhul muud kui lõike 1 punktis c nimetatud andmed; f) muud kui lõike 1 punktis c nimetatud andmed või dokumendid, mis on teadustööga tegelevate organisatsioonide ja teadustööd rahastavate organisatsioonide, sealhulgas teadustöö tulemuste edasiandmiseks loodud organisatsioonide valduses; g) andmed või dokumendid, millele juurdepääs on välistatud või piiratud direktiivi (EL) 2022/2557 artikli 2 punktides 1 ja 4 määratletud elutähtsa teenuse osutaja või elutähtsa taristu kaitsega seotud teabe tõttu. (4) Käesoleva peatüki 3. jagu ei kohaldata järgmise suhtes: a) andmed ja dokumendid, mis ei ole teatavatesse kategooriatesse kuuluvad kaitstud andmed; b) riigi osalusega äriühingute valduses olevad andmed ja dokumendid; c) kultuuriasutuste ja haridusasutuste valduses olevad andmed ja dokumendid; d) käesoleva peatüki 2. jaoga hõlmatud andmed ja dokumendid. (5) Käesolev peatükk tugineb liidu ja liikmesriikide juurdepääsukordadele, eelkõige seoses juurdepääsu andmisega ametlikele dokumentidele ja nende avalikustamisega, ega piira nende kohaldamist. (6) Käesoleva peatüki kohaselt kehtestatud kohustusi tuleks rakendada üksnes niivõrd, kuivõrd need on kooskõlas intellektuaalomandi kaitset käsitlevate rahvusvaheliste lepingute, eelkõige Berni kirjandus- ja kunstiteoste kaitse konventsiooni (Berni konventsioon), intellektuaalomandi õiguste kaubandusaspektide lepingu (TRIPS- leping) ning Maailma Intellektuaalse Omandi Organisatsiooni (WIPO) autoriõiguse lepingu sätetega. (7) Avaliku sektori asutused ei kasuta direktiivi 96/9/EÜ artikli 7 lõikes 1 sätestatud andmebaasi tegija õigust, et takistada andmete ja dokumentide taaskasutamist või piirata taaskasutamist rohkem, kui see on käesoleva peatüki sätete kohaselt võimalik. (8) Käesolev peatükk reguleerib liikmesriikide avaliku sektori asutuste ja riigi osalusega äriühingute valduses olevate andmete ja dokumentide taaskasutamist ning hõlmab muu hulgas andmeid ja dokumente, mille suhtes kohaldatakse Euroopa Parlamendi ja nõukogu direktiivi 2007/2/EÜ. (9) Käesolev peatükk ei piira liidu ega liikmesriigi õiguse või selliste liidu või liikmesriikide osalusega rahvusvaheliste lepingute kohaldamist, mis käsitlevad artikli 2 punktis 54 osutatud andmete või dokumentide kategooriate kaitset. Artikkel 32j Diskrimineerimiskeeld (1) Andmete või dokumentide taaskasutamise suhtes kohaldatavad tingimused peavad olema mittediskrimineerivad, läbipaistvad, proportsionaalsed ja objektiivselt põhjendatud andmete või dokumentide kategooriate, taaskasutamise eesmärkide ja ET 36 ET  selliste andmete või dokumentide iseloomu seisukohast, mille taaskasutamine on lubatud. Kõnealuseid tingimusi ei kasutata konkurentsi piiramiseks. See põhimõte kehtib samamoodi võrreldavate taaskasutamisviiside suhtes, sealhulgas piiriülese taaskasutamise suhtes. (2) Kui avaliku sektori asutus kasutab andmeid või dokumente oma äritegevuses, mis ei kuulu tema avalik-õiguslike ülesannete hulka, kohaldatakse selleks tegevuseks andmete või dokumentide väljastamise suhtes samu tasusid ja muid tingimusi, mis kehtivad teistele taaskasutajatele. Artikkel 32k Ainuõigused (1) Andmete või dokumentide taaskasutamine on avatud kõigile potentsiaalsetele turuosalistele, isegi juhul, kui vähemalt üks turuosaline juba pakub nendel andmetel või dokumentidel põhinevaid lisaväärtusega tooteid. Keelatud on andmete või dokumentide taaskasutamist käsitlevad kokkulepped ja muud korraldused või tavad, mille eesmärk või tulemus on ainuõiguste andmine või andmete või dokumentide taaskasutamise piiramine selliste isikute puhul, kes ei ole kõnealuste kokkulepete, korralduste või tavade osalised. (2) Erandina lõikest 1, kui ainuõigus on vajalik üldhuviteenuse osutamiseks, võib sellise õiguse anda teenuse osutamiseks või toote tarnimiseks vajalikul määral järgmistel tingimustel: a) ainuõigus antakse haldusakti või lepingupõhise kokkuleppega vastavalt kohaldatavale liidu ja liikmesriigi õigusele ning kooskõlas läbipaistvuse, võrdse kohtlemise ja mittediskrimineerimise põhimõttega; b) ainuõiguse andmise kokkulepe, sealhulgas põhjendus selle kohta, miks on vaja selline õigus anda, on läbipaistev ja see tehakse veebis avalikult kättesaadavaks vormis, mis on vastavuses asjakohase riigihankeid käsitleva liidu õigusega ja liikmesriigi õigusega; c) välja arvatud juhul, kui on tegemist kultuurivarade digiteerimisega seotud ainuõigustega, tuleb 2. jao kohaldamisalasse kuuluvate andmete ja dokumentide suhtes ainuõiguste andmise põhjendatus korrapäraselt läbi vaadata ning igal juhul vaadatakse see läbi iga kolme aasta järel; d) 16. juulil 2019 või pärast seda kuupäeva sõlmitud ainuõiguste kokkulepped tehakse veebis avalikult kättesaadavaks vähemalt kaks kuud enne nende jõustumist. Selliste kokkulepete lõplikud tingimused peavad olema läbipaistvad ja need tehakse veebis avalikult kättesaadavaks. (3) Erandina lõikest 1 ei ületa kultuurivarade digiteerimisega seotud ainuõiguse kestus üldiselt kümmet aastat. Kui see ajavahemik ületab kümmet aastat, peab selle kestus olema kooskõlas kohaldatava liidu ja liikmesriigi õigusega ning see vaadatakse läbi 11. aastal ja vajaduse korral seejärel iga seitsme aasta tagant. (4) Kui kultuurivarade digiteerimiseks on antud lõikes 3 osutatud ainuõigus, antakse asjaomasele avaliku sektori asutusele kokkuleppe osana digiteeritud kultuurivarade tasuta koopia. Kõnealune koopia tehakse ainuõiguse kestuse lõppemisel taaskasutamiseks kättesaadavaks. ET 37 ET  (5) Teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise ainuõiguse kestus ei tohi olla pikem kui 12 kuud. Lepingu sõlmimise korral on lepingu kestus võrdne ainuõiguse kestusega. (6) Kokkulepped või muud korraldused või tavad, millega ei anta küll selgelt ainuõigust, kuid mille eesmärk on piirata või mille puhul võib põhjendatult eeldada, et need piiravad 2. jaoga hõlmatud andmete ja dokumentide kättesaadavust taaskasutamiseks muude isikute poolt kui sellise kokkuleppe osalised, tehakse veebis avalikult kättesaadavaks vähemalt kaks kuud enne nende jõustumist. Nimetatud õiguslike meetmete ja praktiliste vahendite mõju andmete taaskasutamiseks kättesaadavusele vaadatakse läbi korrapäraselt ja igal juhul iga kolme aasta tagant. Selliste meetmete lõplikud tingimused peavad olema läbipaistvad ja need tehakse veebis avalikult kättesaadavaks. (7) Olemasolevate ainuõiguslike kokkulepete suhtes kohaldatakse järgmist: a) 2. jao kohaldamisalasse kuuluvate andmete ja dokumentide suhtes 17. juulil 2013 kehtinud ainuõigused, mis ei vasta lõigetes 2 ja 3 sätestatud erandite tingimustele ja mille on sõlminud avaliku sektori asutused, lõpetatakse lepingu lõppemisel ja igal juhul hiljemalt 18. juulil 2043; b) 2. jao kohaldamisalasse kuuluvate andmete ja dokumentide suhtes 16. juulil 2019 kehtinud ainuõigused, mis ei vasta lõigetes 2 ja 3 sätestatud erandite tingimustele ja mille on sõlminud riigi osalusega äriühingud, lõpetatakse lepingu lõppemisel ja igal juhul hiljemalt 17. juulil 2049. Artikkel 32l Tasu võtmisega seotud üldpõhimõtted (1) 2. või 3. jao kohaselt võetav tasu peab olema läbipaistev, mittediskrimineeriv, proportsionaalne ja objektiivselt põhjendatud ning see ei tohi piirata konkurentsi. (2) Andmete või dokumentide taaskasutamise standardtasude puhul määratakse eelnevalt kindlaks ja avaldatakse, kui see on võimalik ja asjakohane, siis elektrooniliselt, tasu kohaldamise tingimused ja tasu tegelik summa, sealhulgas tasu arvutamise alus. (3) Kui tegemist on muude taaskasutamise tasudega kui lõikes 1 osutatud tasud, teatatakse eelnevalt, milliseid tegureid võetakse nende tasude arvutamisel arvesse. Taotluse korral teatab selliste andmete või dokumentide valdaja ka seda, kuidas need tasud konkreetse taaskasutamistaotluse puhul arvutati. (4) Avaliku sektori asutused tagavad, et tasusid saab maksta ka internetis, kasutades laialdaselt kättesaadavaid piiriüleseid makseteenuseid, ilma et kedagi diskrimineeritaks makseteenuse osutaja asukoha, makseinstrumendi väljastamise koha või maksekonto asukoha põhjal liidus. Artikkel 32m Teave õiguskaitsevahendite kohta Avaliku sektori asutused tagavad, et andmete või dokumentide taaskasutamise taotlejaid teavitatakse õiguskaitsevahenditest, mis on seotud neid mõjutavate otsuste või tavadega. ET 38 ET  2. JAGU AVALIKU SEKTORI AVAANDMETE TAASKASUTAMINE 1. alajagu. Kohaldamisala ja üldpõhimõtted Artikkel 32n Avaliku sektori avaandmete taaskasutamise üldpõhimõtted (1) Käesoleva jao kohaldamisalasse kuuluvaid andmeid ja dokumente võib taaskasutada ärilistel või mitteärilistel eesmärkidel vastavalt 1. jaole ja 2. jao 3. alajaole. (2) Kui tegemist on andmete või dokumentidega, mille intellektuaalomandiõigused kuuluvad raamatukogudele, sealhulgas ülikoolide raamatukogudele, muuseumidele ja arhiividele, ning riigi osalusega äriühingute valduses olevate andmete või dokumentidega ja kui selliste andmete või dokumentide taaskasutamine on lubatud, võib neid andmeid või dokumente taaskasutada ärilistel või mitteärilistel eesmärkidel vastavalt 1. jaole ja 2. jao 3. alajaole. 2. alajagu Taaskasutamistaotlused Artikkel 32o Taaskasutamistaotluste menetlemine (1) Avaliku sektori asutused menetlevad taaskasutamistaotlusi elektrooniliselt, kui see on võimalik ja asjakohane, ning teevad dokumendi taotlejale taaskasutamiseks kättesaadavaks, või kui on vaja litsentsi, esitavad taotlejale litsentsipakkumise mõistliku aja jooksul, mis peab olema vastavuses andmetele või dokumentidele juurdepääsu taotluste menetlemiseks kehtestatud tähtaegadega. (2) Kui tähtaegu või muid andmete või dokumentide õigeaegset esitamist reguleerivaid norme ei ole kehtestatud, menetlevad avaliku sektori asutused taotlust ja annavad andmed või dokumendid taotlejale taaskasutamiseks, või kui on vaja litsentsi, esitavad taotlejale litsentsipakkumise niipea kui võimalik ja igal juhul 20 tööpäeva jooksul alates taotluse saamisest. Seda ajavahemikku võib mahukate või keerukate taotluste korral pikendada 20 tööpäeva võrra. Sellistel juhtudel teatatakse taotlejale niipea kui võimalik ja igal juhul kolme nädala jooksul alates esialgse taotluse saamisest, et selle menetlemiseks on vaja lisaaega, ja põhjendatakse seda vajadust. (3) Äraütleva otsuse korral teatavad avaliku sektori asutused taotlejale keeldumise põhjused vastavalt asjaomase liikmesriigi juurdepääsukorra asjakohastele sätetele või käesoleva määruse sätetele, eelkõige artikli 32i lõike 2 punktidele a–c ja artikli 32i lõike 3 punktidele a–d või artiklile 32n (avaliku sektori avaandmete taaskasutamise üldpõhimõte). Kui äraütleva otsuse aluseks on artikli 32i lõike 3 punkt d, viitavad avaliku sektori asutused füüsilisele või juriidilisele isikule, kellele õigus kuulub, kui see on teada, või litsentsiandjale, kellelt avaliku sektori asutus on asjakohase materjali saanud. Raamatukogud, sealhulgas ülikoolide raamatukogud, muuseumid ja arhiivid, ei ole kohustatud sellist viidet lisama. (4) Õiguskaitsevahendid hõlmavad võimalust, et otsuse vaatab läbi asjakohaste eriteadmistega erapooletu asutus, näiteks liikmesriigi konkurentsiasutus, asjaomane andmetele või dokumentidele juurdepääsu eest vastutav asutus, määruse ET 39 ET  (EL) 2016/679 kohaselt loodud järelevalveasutus või liikmesriigi kohtuasutus, kelle otsused on asjaomasele avaliku sektori asutusele siduvad. (5) Käesoleva artikli kohaldamiseks võtavad liikmesriigid kasutusele praktilised vahendid, et hõlbustada andmete või dokumentide toimivat taaskasutamist. Need vahendid võivad eelkõige hõlmata viise piisava teabe esitamiseks käesolevas määruses sätestatud õiguste kohta ning vajaliku abi ja juhiste pakkumiseks. (6) Käesolevat artiklit ei kohaldata järgnevate üksuste suhtes: a) riigi osalusega äriühingud; b) haridusasutused, teadustööga tegelevad organisatsioonid ja teadustööd rahastavad organisatsioonid. 3. alajagu Taaskasutamise tingimused Artikkel 32p Pakutavad vormingud (1) Ilma et see piiraks 5. alajao kohaldamist, teevad avaliku sektori asutused ja riigi osalusega äriühingud oma andmed või dokumendid kättesaadavaks juba olemas olevas vormingus või keeles, ning kui see on võimalik ja asjakohane, elektrooniliste vahendite abil vormingus, mis on avatud, masinloetav, juurdepääsetav, leitav ja taaskasutatav, koos nende metaandmetega. Nii vorming kui ka metaandmed peavad võimaluse korral vastama ametlikele avatud standarditele. (2) Liikmesriigid julgustavad avaliku sektori asutusi ja riigi osalusega äriühinguid koostama ja kättesaadavaks tegema käesoleva jao kohaldamisalasse kuuluvaid andmeid ja dokumente, järgides kavandatud ja vaikimisi avatuse põhimõtet. (3) Lõikest 1 ei tulene avaliku sektori asutustele kohustust luua või mugandada andmeid või dokumente või teha väljavõtteid, et järgida kõnealust lõiget, kui see nõuaks ebaproportsionaalseid jõupingutusi, mis ei ole pelgalt lihtsad toimingud. (4) Avaliku sektori asutustelt ei nõuta teatavat liiki dokumentide koostamise ja talletamise jätkamist selleks, et avaliku või erasektori organisatsioon saaks selliseid andmeid või dokumente taaskasutada. (5) Avaliku sektori asutused teevad dünaamilised andmed taaskasutamiseks kättesaadavaks kohe pärast kogumist selleks sobiva rakendusliidese kaudu ning asjakohasel juhul hulgiallalaaditud andmetena. (6) Kui dünaamiliste andmete taaskasutamiseks kättesaadavaks tegemine kohe pärast nende kogumist, nagu on osutatud lõikes 5, käiks avaliku sektori asutusele rahaliselt ja tehniliselt üle jõu, eeldades seega ebaproportsionaalsete jõupingutuste tegemist, tehakse need dünaamilised andmed taaskasutamiseks kättesaadavaks sellise aja jooksul või selliste ajutiste tehniliste piirangutega, mis ei kahjusta põhjendamatult nende andmete majandusliku ja sotsiaalse potentsiaali kasutamist. (7) Lõikeid 1–6 kohaldatakse riigi osalusega äriühingute valduses olevate olemasolevate andmete ja dokumentide suhtes, mis on taaskasutamiseks kättesaadavad. (8) Väärtuslikud andmestikud, mis on loetletud vastavalt artikli 32v lõikele 1, tehakse taaskasutamiseks kättesaadavaks masinloetavas vormingus selleks sobiva rakendusliidese kaudu ja asjakohasel juhul hulgiallalaaditud andmestikuna. ET 40 ET  Artikkel 32q Avaliku sektori avaandmete eest tasu võtmise põhimõtted (1) Käesoleva jao kohaldamisalasse kuuluvate andmete ja dokumentide taaskasutamise eest tasu ei võeta. Avaliku sektori asutusel, kelle valduses andmed on, võib olla siiski lubatud selliste andmete või dokumentide paljundamisest, esitamisest ja levitamisest ning isikuandmete anonüümimisest ja äriliselt konfidentsiaalse teabe kaitsmiseks võetud meetmetest tulenevad piirkulud tagasi nõuda. (2) Lõiget 1 ei kohaldata järgmiste üksuste suhtes: a) avaliku sektori asutused, kes peavad teenima tulu, et katta oluline osa oma avalik-õiguslike ülesannete täitmisest tulenevatest kuludest; b) raamatukogud, sealhulgas ülikoolide raamatukogud, muuseumid ja arhiivid; c) riigi osalusega äriühingud. (3) Liikmesriigid avaldavad lõike 2 punktis a osutatud avaliku sektori asutuste loetelu veebis. (4) Lõike 2 punktides a ja c osutatud juhtudel arvutatakse tasude kogusumma välja objektiivsete, läbipaistvate ja kontrollitavate kriteeriumide alusel. Kõnealused kriteeriumid kehtestatavad liikmesriigid. Andmete või dokumentide väljastamisest ja taaskasutamise lubamisest asjaomasel arvestusperioodil saadav kogutulu ei tohi ületada nende kogumisest, koostamisest, paljundamisest, levitamisest ja andmete talletamisest tulenevaid kulusid, millele lisandub mõistlik investeeringutulu, ning asjakohasel juhul isikuandmete anonüümimisest ja äriliselt konfidentsiaalse teabe kaitsmiseks võetud meetmetest tulenevaid kulusid. Tasu arvutatakse vastavalt kohaldatavatele arvestuspõhimõtetele. (5) Kui tasu võtavad lõike 2 punktis b osutatud avaliku sektori asutused, ei tohi andmete või dokumentide väljastamisest ja taaskasutamise lubamisest asjaomasel arvestusperioodil saadav kogutulu ületada kulusid, mis tulenevad andmete või dokumentide kogumisest, koostamisest, paljundamisest, levitamisest, andmete talletamisest, säilitamisest ja õiguste väljaselgitamisest ning asjakohasel juhul isikuandmete anonüümimisest ja äriliselt konfidentsiaalse teabe kaitsmiseks võetud meetmetest, millele lisandub mõistlik investeeringutulu. Tasu arvutatakse vastavalt asjaomaste avaliku sektori asutuste suhtes kohaldatavatele arvestuspõhimõtetele. (6) Avaliku sektori asutused võivad kehtestada väga suurtele ettevõtjatele andmete ja dokumentide taaskasutamise eest tasud, mis on lõigetes 1, 4 ja 5 sätestatud tasudest suuremad. Sellised tasud peavad olema proportsionaalsed ja põhinema objektiivsetel kriteeriumidel, võttes arvesse majanduslikku võimsust või üksuse võimet andmeid hankida, sealhulgas eelkõige määramist pääsuvalitsejaks määruse (EL) 2022/1925 alusel. Lisaks käesoleva artikli lõikes 1 loetletud elementidele võivad sellised tasud hõlmata andmete või dokumentide kogumise, koostamise, taasesitamise, levitamise ja säilitamise kulusid ning asjakohasel juhul andmete või dokumentide anonüümimisest või nende konfidentsiaalsuse kaitsmiseks võetud meetmetest tulenevaid kulusid, millele lisandub mõistlik investeeringutulu. (7) Järgmiste andmete taaskasutamine on kasutaja jaoks tasuta: a) võttes arvesse artikli 32v lõikeid 3, 4 ja 5, väärtuslikud andmestikud, mis on loetletud vastavalt nimetatud artikli lõikele 1; b) artikli 32i lõike 1 punktis c osutatud teadusandmed. ET 41 ET  Artikkel 32r Standardlitsentsid (1) Andmete või dokumentide taaskasutamisele ei seata tingimusi, välja arvatud juhul, kui need tingimused on objektiivsed ja proportsionaalsed, ei ole diskrimineerivad ning neid saab põhjendada avaliku huvi eesmärgiga. (2) Kui taaskasutamisele seatakse tingimused, ei tohi need tingimused taaskasutamist põhjendamatult piirata ning neid ei tohi kasutada konkurentsi piiramiseks. (3) Liikmesriikides, kus kasutatakse litsentse, tagavad avaliku sektori asutused, et avaliku sektori andmete või dokumentide taaskasutamise standardlitsentsid, mida saab konkreetse litsentsitaotluse jaoks kohandada, on kättesaadavad digivormingus ning neid on võimalik elektrooniliselt töödelda. (4) Avaliku sektori asutused võivad kehtestada väga suurtele ettevõtjatele andmete ja dokumentide taaskasutamise eritingimused. Sellised tingimused peavad olema proportsionaalsed ja põhinema objektiivsetel kriteeriumidel. Need tingimused kehtestatakse, võttes arvesse majanduslikku võimsust või üksuse võimet andmeid hankida, sealhulgas eelkõige määramist pääsuvalitsejaks määruse (EL) 2022/1925 alusel. Artikkel 32s Praktilised vahendid (1) Liikmesriigid kasutavad taaskasutamiseks kättesaadavate andmete ja dokumentide otsingu hõlbustamiseks praktilisi vahendeid, näiteks peamiste andmete või dokumentide loetelusid koos asjaomaste metaandmetega, mis on kättesaadavad veebis ja masinloetavas vormingus, kui see on võimalik ja asjakohane, ja portaale, milles on lingid sellistele loeteludele. Võimaluse korral hõlbustavad liikmesriigid andmete ja dokumentide keeltevahelist otsingut, võimaldades eelkõige metaandmete koondamist liidu tasandil. Liikmesriigid innustavad ka avaliku sektori asutusi kasutama praktilisi vahendeid, mis hõlbustaksid taaskasutamiseks kättesaadavate andmete või dokumentide säilitamist. (2) Liikmesriigid jätkavad koostöös komisjoniga jõupingutuste tegemist, et lihtsustada juurdepääsu andmestikele, eelkõige luues ühtse juurdepääsupunkti ning tehes järk- järgult kättesaadavaks avaliku sektori asutuste valduses olevad sobivad andmestikud kõikidest andmetest või dokumentidest, mille suhtes käesolevat jagu kohaldatakse, samuti liidu institutsioonide valduses olevatele andmetele, seda vormingus, mis on juurdepääsetav, kergesti leitav ja taaskasutatav elektrooniliste vahendite abil. 4. alajagu Teadusandmed Artikkel 32t Teadusandmed (1) Liikmesriigid toetavad teadusandmete kättesaadavust ning kehtestavad selleks riigisisesed põhimõtted ja asjaomased meetmed, et muuta avaliku sektori rahastatud teadusandmed vaikimisi avatuse põhimõtet järgides vabalt kättesaadavaks („avatud juurdepääsu põhimõte“) ja FAIR-põhimõtetega ühilduvaks. Seejuures võetakse intellektuaalomandi õigusi, isikuandmete kaitset, konfidentsiaalsust, turvalisust ja ET 42 ET  õigustatud ärihuvisid arvesse kooskõlas põhimõttega „nii avatud kui võimalik, nii suletud kui vajalik“. Avatud juurdepääsu põhimõte on suunatud teadustööga tegelevatele organisatsioonidele ja teadustööd rahastavatele organisatsioonidele. (2) Ilma et see piiraks artikli 32n lõike 3 punkti d kohaldamist, peavad teadusandmed olema vastavalt 1. jaole ning 2. jao 3. alajaole ärilistel ja mitteärilistel eesmärkidel taaskasutatavad, juhul kui nende andmete loomist on rahastanud avalik sektor ning teadlased, teadustööga tegelevad organisatsioonid või teadustööd rahastavad organisatsioonid on need institutsiooni- või teemapõhise hoidla kaudu juba avalikult kättesaadavaks teinud. Seejuures võetakse arvesse õiguspäraseid ärihuve, teadmussiirde valdkonna tegevust ja varem olemas olnud intellektuaalomandiõigusi. 5. alajagu Väärtuslikud andmestikud Artikkel 32u Väärtuslike andmestike temaatilised kategooriad (1) Väärtuslike andmestike temaatilised kategooriad on sätestatud I lisas. (2) Komisjonil on õigus võtta kooskõlas artikli 45 lõikega 2a vastu delegeeritud õigusakte I lisa muutmiseks, et lisada sinna väärtuslike andmestike uusi temaatilisi kategooriaid, mis kajastavad tehnoloogia ja turgude arengut. Artikkel 32v Teatavad väärtuslikud andmestikud ning nende avaldamise ja taaskasutamise kord (1) Komisjon võtab vastu rakendusaktid, milles sätestatakse loetelu teatavatest väärtuslikest andmestikest, mis kuuluvad I lisas esitatud kategooriatesse ning on avaliku sektori asutuste ja riigi osalusega äriühingute valduses nende andmete või dokumentide hulgas, mille suhtes kohaldatakse käesolevat jagu. Kõnealused väärtuslikud andmestikud peavad olema a) tasuta kättesaadavad, kui lõikest 3, 4 või 5 ei tulene teisiti; b) masinloetavad; c) rakendusliideste kaudu esitatavad ja d) asjakohasel juhul hulgiallalaaditavad. Rakendusaktidega võidakse täpsustada väärtuslike andmestike avaldamise ja taaskasutamise korda. Kõnealune kord peab olema kooskõlas avatud standardlitsentsidega. See kord võib hõlmata taaskasutamise, andmevormingute ja metaandmete suhtes kohaldatavaid tingimusi ning levitamise tehnilist korda. Liikmesriikide tehtud investeeringuid avaandmete lähenemisviisidesse, näiteks teatavate standardite arendamisse ja kasutuselevõtmisse tehtud investeeringuid, võetakse arvesse ja hinnatakse võrreldes loetellu kaasamisest tuleneva võimaliku kasuga. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 46 lõikes 2 osutatud kontrollimenetlusega. (2) Teatavate väärtuslike andmestike kindlaksmääramine vastavalt lõikele 1 põhineb nende potentsiaalil ET 43 ET  a) luua olulisi sotsiaal-majanduslikke või keskkonnaga seotud hüvesid ja innovaatilisi teenuseid; b) tuua kasu suurele arvule kasutajatele, eelkõige VKEdele ja väikestele keskmise turukapitalisatsiooniga ettevõtjatele; c) aidata saada tulu ja d) kombineerida neid teiste andmestikega. Komisjon korraldab selliste väärtuslike andmestike väljaselgitamise eesmärgil asjakohaseid konsultatsioone, sealhulgas eksperditasandil, viib läbi mõjuhindamise ning tagab andmete ja dokumentide taaskasutamise küsimuses täiendavuse olemasolevate õigusaktide, näiteks Euroopa Parlamendi ja nõukogu direktiiviga 2010/40/EL. Mõjuhinnangus tuleb esitada kulude-tulude analüüs ning analüüs selle kohta, kas väärtuslike andmestike tasuta pakkumisel selliste avaliku sektori asutuste poolt, kes peavad teenima tulu, et katta oluline osa oma avalik-õiguslike ülesannete täitmisest tulenevatest kuludest, oleks oluline mõju asjaomaste asutuste eelarvele. Riigi osalusega äriühingute valduses olevate väärtuslike andmestike puhul pööratakse mõju hindamise käigus erilist tähelepanu riigi osalusega äriühingute rollile konkurentsipõhises majanduses. (3) Erandina lõike 1 teise lõigu punktist a tuleb kõnealuses lõikes nimetatud rakendusaktides sätestada, et väärtuslike andmestike tasuta kättesaadavust ei kohaldata riigi osalusega äriühingute valduses olevate teatavate väärtuslike andmestike suhtes, kui see põhjustaks asjaomastel turgudel konkurentsimoonutusi. (4) Lõike 1 teise lõigu punkti a kohast väärtuslike andmestike tasuta kättesaadavaks tegemise nõuet ei kohaldata raamatukogude, sealhulgas ülikooliraamatukogude, muuseumide ja arhiivide puhul. (5) Juhul kui väärtuslike andmestike tasuta kättesaadavaks tegemine selliste avaliku sektori asutuste poolt, kes peavad teenima tulu, et katta oluline osa oma avalik- õiguslike ülesannete täitmisest tulenevatest kuludest, avaldaks olulist mõju asjaomaste asutuste eelarvele, võivad liikmesriigid vabastada need asutused kuni kaheks aastaks pärast lõike 1 kohaselt vastu võetud asjakohase rakendusakti jõustumist kohustusest teha väärtuslikud andmestikud tasuta kättesaadavaks. 3. jagu Avaliku sektori asutuste valduses olevate teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamine Artikkel 32w Taaskasutamise tingimused (1) Avaliku sektori asutused, kes on liikmesriigi õiguse alusel pädevad andma taaskasutamise eesmärgil juurdepääsu teatavatesse kategooriatesse kuuluvatele kaitstud andmetele või dokumentidele või juurdepääsu andmisest keelduma, teevad artiklis 32aa osutatud ühtse teabepunkti kaudu üldsusele kättesaadavaks sellise taaskasutamise lubamise tingimused ja taaskasutamise taotlemise korra. Neid võivad taaskasutamise eesmärgil juurdepääsu andmisel või sellest keeldumisel aidata artikli 32z lõikes 1 osutatud pädevad asutused. Liikmesriigid tagavad, et avaliku sektori asutused on varustatud käesoleva artikli ja artikli 32x järgimiseks vajalike ressurssidega. ET 44 ET  (2) Andmete või dokumentide taaskasutamine ei mõjuta nende andmete või dokumentide kaitstust ja on lubatud üksnes: a) kooskõlas intellektuaalomandi õigustega; b) juhul, kui taaskasutamise lubamise tulemusena ei avalikustata andmeid, mida käsitatakse ärisaladust või statistiliste andmete konfidentsiaalsust käsitlevate liidu või liikmesriigi õigusaktide kohaselt konfidentsiaalsena, välja arvatud juhul, kui selline taaskasutamine on lubatud andmesubjekti nõusolekul või andmevaldaja loal vastavalt lõikele 5; c) kooskõlas määrusega (EL) 2016/679. (3) Selleks et tagada lõikes 2 osutatud kaitstuse säilimine, võivad avaliku sektori asutused kehtestada järgmised nõuded: a) andmete või dokumentide taaskasutamiseks antakse õigus vaid juhul, kui avaliku sektori asutus või pädev asutus on taaskasutamise taotluse saamisel taganud, et i) need andmed või dokumendid on anonüümitud, kui tegemist on isikuandmetega; ii) need andmed või dokumendid on isikuandmete osas muul viisil ette valmistatud; iii) neid andmeid või dokumente on muudetud, koondatud või nende suhtes on rakendatud muud aimatavuse kontrolli meetodit, kui tegemist on äriliselt konfidentsiaalse teabega, sealhulgas ärisaladustega või intellektuaalomandi õigustega kaitstud sisuga; b) andmetele või dokumentidele juurdepääs ja nende taaskasutamine võrgu kaudu peab toimuma turvalises töötlemiskeskkonnas, mida pakub või kontrollib avaliku sektori asutus; c) kui kaugjuurdepääsu ei saa võimaldada kolmandate isikute õigusi ja huvisid ohtu seadmata, peab andmetele või dokumentidele juurepääs ja nende taaskasutamine toimuma ruumides, kus asub turvaline töötlemiskeskkond, kooskõlas rangete turvastandarditega. Esimese lõigu punkti a alapunktis i lubatud taaskasutamise korral kohaldatakse andmete või dokumentide taaskasutamise suhtes 2. jaos sätestatud avaliku sektori avaandmeid käsitlevaid norme. See ei piira artikli 32y kohaldamist, mis on vastuolude korral ülimuslik. Esimese lõigu punktide b ja c kohaselt lubatud taaskasutuse puhul kehtestavad avaliku sektori asutused tingimused, mis tagavad kasutatava turvalise töötlemiskeskkonna tehniliste süsteemide toimimise tervikluse. (4) Avaliku sektori asutus jätab endale õiguse andmete või dokumentide kaitse tervikluse säilitamiseks kontrollida taaskasutaja poolt andmete või dokumentide töötlemise protsessi, vahendeid ja kõiki tulemusi. Samuti jätab ta endale õiguse keelata selliste tulemuste kasutamine, milles sisalduv teave seab ohtu kolmandate isikute õigused ja huvid. Otsus keelata tulemuste kasutamine peab olema taaskasutaja jaoks arusaadav ja läbipaistev. Kui liikmesriigi õigus ei näe ette konkreetseid kaitsemeetmeid seoses teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise puhul kohaldatavate ET 45 ET  konfidentsiaalsuskohustustega, siis seab avaliku sektori asutus lõike 3 kohaselt esitatud andmete või dokumentide taaskasutamise tingimuseks, et taaskasutaja peab järgima konfidentsiaalsuskohustust, millega keelatakse sellise kolmandate isikute õigusi ja huve ohustava teabe avalikustamine, mille taaskasutaja võib olla saanud hoolimata kehtestatud kaitsemeetmetest. Isikustamata andmete loata taaskasutamise puhul on taaskasutaja kohustatud viivituseta teavitama füüsilisi või juriidilisi isikuid, kelle õigusi või huvisid see võib mõjutada, kasutades vajaduse korral avaliku sektori asutuse abi. (5) Kui andmete või dokumentide taaskasutamist ei saa vastavalt lõigetele 3 ja 4 võimaldada, on taaskasutamine võimalik ainult järgmistel juhtudel: a) andmesubjekti nõusolekul, kui andmete edastamiseks ei ole muud õiguslikku alust kui andmesubjekti nõusolek vastavalt määrusele (EL) 2016/679; b) selliste andmevaldajate loal, kelle õigusi ja huve võib selline taaskasutamine mõjutada. Avaliku sektori asutus teeb kooskõlas liidu ja liikmesriigi õigusega kõik endast oleneva, et osutada abi võimalikele taaskasutajatele selliste andmesubjektide nõusoleku või selliste andmevaldajate loa taotlemisel, kelle õigusi ja huvisid võib niisugune taaskasutamine mõjutada, kui see on võimalik ilma, et sellest tuleneks ebaproportsionaalne koormus avaliku sektori asutusele. Kui avaliku sektori asutus osutab sellist abi, võivad teda aidata artiklis 32z osutatud pädevad asutused. Artikkel 32x Nõuded seoses isikustamata andmete edastamisega taaskasutajate poolt kolmandatesse riikidesse (1) Kui taaskasutaja kavatseb edastada teatavatesse kategooriatesse kuuluvaid kaitstud isikustamata andmeid kolmandasse riiki, siis teavitab ta avaliku sektori asutust oma kavatsusest edastada sellised andmed ja sellise edastamise eesmärgist andmete taaskasutamise taotlemise ajal. Andmevaldaja loal toimuva taaskasutamise korral teavitab taaskasutaja füüsilist või juriidilist isikut, kelle õigusi ja huve taaskasutamine võib mõjutada, kõnealusest kavatsusest, eesmärgist ja asjakohastest kaitsemeetmetest, kasutades vajaduse korral avaliku sektori asutuse abi. Avaliku sektori asutus lubab taaskasutamist üksnes juhul, kui füüsiline või juriidiline isik annab edastamiseks loa. (2) Avaliku sektori asutused edastavad isikustamata konfidentsiaalseid või intellektuaalomandi õigustega kaitstud andmeid taaskasutajale, kes kavatseb edastada need andmed kolmandasse riiki, mis ei kuulu lõike 7 kohaselt kindlaks määratud riikide hulka, üksnes juhul, kui taaskasutaja võtab lepingulise kohustuse a) täita vastavalt intellektuaalomandi õigustele ning ärisaladust või statistiliste andmete konfidentsiaalsust käsitlevale liidu või liikmesriigi õigusele kehtestatud kohustusi isegi pärast seda, kui andmed on edastatud kolmandasse riiki; b) tunnistada andmeid edastava avaliku sektori asutuse liikmesriigi kohtute pädevust mis tahes vaidluse puhul, mis puudutab intellektuaalomandi õiguste ning ärisaladust ja statistiliste andmete konfidentsiaalsust käsitleva liidu või liikmesriigi õiguse järgimist. ET 46 ET  (3) Komisjon võib võtta vastu rakendusakte, milles sätestatakse standardsed lepingutingimused käesoleva artikli lõikes 2 osutatud kohustuste täitmiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 46 lõikes 2 osutatud kontrollimenetlusega. (4) Avaliku sektori asutused annavad vajaduse korral ja oma võimete piires taaskasutajatele suuniseid ja abi seoses lõikes 2 osutatud kohustuste täitmisega. (5) Kui seda õigustab märkimisväärne arv taotlusi kogu liidus seoses isikustamata andmete taaskasutamisega teatavates kolmandates riikides, võib komisjon võtta vastu rakendusakte, milles kinnitatakse, et kolmanda riigi õigus- ja järelevalve- ning täitmise tagamise kord vastab järgmistele tingimustele: a) see tagab intellektuaalomandi ja ärisaladuste kaitse viisil, mis on sisuliselt samaväärne liidu õiguse kohaselt tagatud kaitsega; b) seda kohaldatakse ja täidetakse tõhusalt ning c) sellega on ette nähtud tõhusad õiguskaitsevahendid. (6) Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 46 lõikes 2 osutatud kontrollimenetlusega. (7) Konkreetsete liidu seadusandlike aktidega võidakse lugeda teatavad avaliku sektori asutuste valduses olevad isikustamata andmete kategooriad käesoleva artikli kohaldamisel väga tundlikeks, kui nende edastamine kolmandatesse riikidesse võib seada ohtu liidu avaliku poliitika eesmärgid (näiteks ohutuse ja rahvatervise) või põhjustada isikustamata ja anonüümitud andmete tagasituvastuse riski. Kui selline õigusakt vastu võetakse, võtab komisjon kooskõlas artikliga 45 vastu delegeeritud õigusakte, et täiendada käesolevat määrust, sätestades eritingimused, mis kehtivad selliste andmete kolmandatesse riikidesse edastamise puhul. Kui esimeses lõigus osutatud konkreetse liidu seadusandliku aktiga seda nõutakse, siis võivad sellised eritingimused hõlmata edastamise suhtes kohaldatavaid tingimusi või sellega seotud tehnilist korda, piiranguid seoses andmete taaskasutamisega kolmandates riikides või isikute kategooriatega, kellel on õigus selliseid andmeid kolmandatesse riikidesse edastada, või erandjuhtudel piiranguid seoses kolmandatesse riikidesse edastamisega. Taaskasutaja, kellele on antud õigus isikustamata andmeid taaskasutada, võib andmeid edastada ainult neisse kolmandatesse riikidesse, mille puhul on täidetud lõigetes 2, 4 ja 5 sätestatud tingimused. Artikkel 32y Tasud (1) Teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamist lubavad avaliku sektori asutused võivad võtta tasu selliste andmete taaskasutamise lubamise eest. (2) Kui avaliku sektori asutused kohaldavad tasusid, võtavad nad meetmeid, et pakkuda stiimuleid teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamiseks mitteärilistel eesmärkidel, näiteks teadusuuringuteks, ning idufirmade, VKEde ja väikeste keskmise turukapitalisatsiooniga ettevõtjate poolt kooskõlas riigiabi eeskirjadega. Sellega seoses võivad avaliku sektori asutused teha andmed kättesaadavaks ka väiksema tasu eest või tasuta, eelkõige idufirmadele, VKEdele ja väikestele keskmise turukapitalisatsiooniga ettevõtjatele, kodanikuühendustele ning ET 47 ET  teadus- ja haridusasutustele. Selleks võivad avaliku sektori asutused koostada loetelu selliste taaskasutajate kategooriatest, kellele tehakse andmed või dokumendid kättesaadavaks väiksema tasu eest või tasuta. Loetelu ja selle koostamise kriteeriumid avalikustatakse. (3) Tasud tulenevad kuludest, mis on seotud teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise taotluste menetlemisega, ja piirduvad vajalike kuludega seoses a) andmete reprodutseerimise, esitamise ja levitamisega; b) õiguste saamisega; c) isikuandmete ja ärisaladuse alla kuuluvate andmete anonüümimise või muul viisil ettevalmistamisega, nagu on sätestatud artikli 32w („Taaskasutamise tingimused“) lõikes 3; d) turvalise töötlemiskeskkonna säilitamisega; e) avaliku sektori välistelt kolmandatelt isikutelt käesoleva jao kohaselt taaskasutamise lubamise õiguse omandamisega ning taaskasutajate abistamisega selliste andmesubjektide nõusoleku ja andmevaldajate loa taotlemisel, kelle õigusi ja huve võib kõnealune taaskasutamine mõjutada. (4) Liikmesriigid kehtestavad tasude arvutamise kriteeriumid ja metoodika ning avaldavad need. Avaliku sektori asutus avaldab kulude põhikategooriate ja kulude jaotamisel kasutatud reeglite kirjelduse. (5) Avaliku sektori asutused võivad nõuda väga suurtelt ettevõtjatelt käesoleva artikli lõigete 2 ja 3 kohaselt lubatust suuremaid tasusid, tuginedes objektiivsetele kriteeriumidele ja võttes arvesse ettevõtja majanduslikku võimsust või võimet andmeid hankida, sealhulgas eelkõige määramist pääsuvalitsejaks määruse (EL) 2022/1925 alusel. Kõik selliselt arvutatud tasud peavad olema proportsionaalsed. Lisaks käesoleva artikli lõikes 3 loetletud elementidele võivad sellised tasud hõlmata andmete kogumise ja koostamise kulusid, millele lisandub mõistlik investeeringutulu. Artikkel 32z Pädevad asutused (1) Iga liikmesriik määrab käesolevas artiklis osutatud ülesannete täitmiseks artikli 37 lõike 1 kohaselt ühe või mitu pädevat asutust, kes võivad olla pädevad konkreetses sektoris, kuid peavad ühiselt hõlmama kõiki sektoreid, et abistada avaliku sektori asutusi, kes annavad taaskasutamise eesmärgil juurdepääsu teatavatesse kategooriatesse kuuluvatele kaitstud andmetele või keelavad sellise juurdepääsu. Liikmesriigid võivad asutada ühe või mitu uut pädevat asutust või tugineda olemasolevatele avaliku sektori asutustele või avaliku sektori asutuste sisetalitustele, mis vastavad käesolevas jaos sätestatud tingimustele. (2) Pädevatele asutustele võidakse anda samuti õigus anda taaskasutamise eesmärgil juurdepääs teatavatesse kategooriatesse kuuluvatele kaitstud andmetele kooskõlas liidu või liikmesriigi õigusega, mis näeb ette sellise juurdepääsu andmise. Kui need pädevad asutused annavad taaskasutamise eesmärgil juurdepääsu või keelavad selle, kohaldatakse nende suhtes artikleid 32k, 32w, 32x, 32y ja 32ab. (3) Pädevatel asutustel peavad olema piisavad õiguslikud, rahalised ja tehnilised vahendid ning inimressursid, et täita neile määratud ülesandeid, sealhulgas vajalikud ET 48 ET  tehnilised teadmised, mis võimaldavad järgida asjakohast liidu või liikmesriigi õigust seoses artikli 2 punktis 54 osutatud teatavatesse kategooriatesse kuuluvatele kaitstud andmetele juurdepääsu korraga. (4) Lõikes 1 osutatud abistamise raames võidakse vastavalt vajadusele a) pakkuda tehnilist tuge, tehes kättesaadavaks turvalise töötlemiskeskkonna, et võimaldada juurdepääsu andmete või dokumentide taaskasutamise eesmärgil; b) anda juhiseid ja tehnilist tuge selle kohta, kuidas andmeid kõige paremini struktureerida ja säilitada, et teha need andmed või dokumendid kergesti kättesaadavaks; c) pakkuda anonüümimise, pseudonüümimise ja eraelu puutumatuse säilitamise tipptasemel meetodite jaoks tehnilist tuge, mis ei piirdu isikuandmetega, vaid hõlmab ka äriliselt konfidentsiaalset teavet, sealhulgas ärisaladusi või intellektuaalomandi õigustega kaitstud sisu; d) osutada avaliku sektori asutustele vajaduse korral abi taaskasutajate toetamisel seoses andmesubjektidelt nõusoleku või andmevaldajatelt loa taotlemisega andmete taaskasutamiseks kooskõlas nende konkreetsete otsustega, muu hulgas seoses jurisdiktsiooniga, kus andmete töötlemist kavandatakse, ning osutada avaliku sektori asutustele abi tehniliste mehhanismide loomisel, mis võimaldavad edastada taaskasutajate taotlusi nõusolekuks või loaks, kui see on praktiliselt teostatav; e) osutada avaliku sektori asutustele abi seoses taaskasutaja poolt artikli 32x lõike 2 kohaselt võetud lepinguliste kohustuste piisavuse hindamisega. Artikkel 32aa Ühtne teabepunkt (1) Iga liikmesriik määrab ühtse teabepunkti. See teabepunkt teeb kättesaadavaks kergesti juurdepääsetava teabe artiklite 32w, 32x ja 32y kohaldamise kohta. (2) Ühtne teabepunkt on pädev võtma vastu päringuid või taotlusi teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamiseks ja edastab need – kui see on võimalik ja kohane, siis automaatsete vahenditega – pädevatele avaliku sektori asutustele või artikli 32z lõikes 1 osutatud pädevatele asutusele, kui see on asjakohane. (3) Ühtne teabepunkt võib VKEde, väikeste keskmise turukapitalisatsiooniga ettevõtjate, idufirmade ja teadusasutuste jaoks luua eraldi, lihtsustatud ja hästi dokumenteeritud teabekanali, et tegeleda nende vajaduste ja võimalustega artikli 2 punktis 54 osutatud andmekategooriate taaskasutamise taotlemise puhul. (4) Ühtne teabepunkt teeb elektrooniliste vahendite kaudu kättesaadavaks otsinguid võimaldava peamiste dokumentide loetelu, mis sisaldab ülevaadet kõigi olemasolevate dokumentide allikate kohta, sealhulgas vajaduse korral selliste dokumentide allikate kohta, mis on kättesaadavad valdkondlikest, piirkondlikest või kohalikest teabepunktidest, ning kus on esitatud olemasolevaid andmeid või dokumente kirjeldav asjakohane teave, sealhulgas vähemalt andmete vormingu, mahu ja nende taaskasutamise tingimuste kohta. ET 49 ET  (5) Komisjon loob Euroopa ühtse juurdepääsupunkti, mis pakub riiklikes ühtsetes teabepunktides kättesaadavate andmete või dokumentide otsinguid võimaldavat elektroonilist registrit ja lisateavet selle kohta, kuidas nende ühtsete riiklike teabepunktide kaudu andmeid või dokumente taotleda. Artikkel 32ab Taaskasutamistaotluste menetlemine (1) Kui liikmesriigi õiguse kohaselt ei ole kehtestatud lühemaid tähtaegu, võtavad pädevad avaliku sektori asutused või artikli 32z lõikes 1 osutatud pädevad asutused teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise taotlust käsitleva otsuse vastu kahe kuu jooksul alates taotluse kättesaamise kuupäevast. (2) Äärmiselt ulatuslike ja keerukate taaskasutamistaotluste puhul võidakse kõnealust kahekuulist tähtaega pikendada kuni 30 päeva võrra. Sellisel juhul teatatavad pädevad avaliku sektori asutused või artikli 32z lõikes 1 osutatud pädevad asutused taotlejale esimesel võimalusel, et menetlemiseks vajatakse rohkem aega, ning lisatakse viivituse põhjendused. (3) Kõigil füüsilistel ja juriidilistel isikutel, keda lõikes 1 osutatud otsus otseselt mõjutab, on õigus mõjusale õiguskaitsele asjaomase asutuse asukoha liikmesriigis. Õigus õiguskaitsele sätestatakse liikmesriigi õiguses ja see hõlmab võimalust, et otsuse vaatab läbi asjakohaste eriteadmistega erapooletu asutus, näiteks liikmesriigi konkurentsiasutus, asjaomane dokumentidele juurdepääsu eest vastutav asutus, määruse (EL) 2016/679 kohaselt loodud järelevalveasutus või liikmesriigi kohtuasutus, kelle otsused on asjaomasele avaliku sektori asutusele või pädevale asutusele siduvad.“ 19. Artikkel 38 asendatakse järgmisega: (1) „Ilma et see piiraks muude haldus- või õiguskaitsevahendite kohaldamist, on füüsilistel ja juriidilistel isikutel õigus esitada kas individuaalselt või kohasel juhul kollektiivselt kaebus a) oma alalise elukoha, töökoha või asukoha liikmesriigi asjaomasele pädevale asutusele, kui nad on leiavad, et nende käesolevast määrusest tulenevaid õigusi on rikutud; b) kõigis käesoleva määruse kohaldamisalasse kuuluvates küsimustes konkreetselt tunnustatud andmevahendusteenuse osutaja või tunnustatud andmealtruismiorganisatsiooni vastu andmevahendusteenuste registreerimise eest vastutavale asjaomasele pädevale asutusele või andmealtruismiorganisatsioonide registreerimise eest vastutavale asjaomasele pädevale asutusele. (2) Andmekoordinaator esitab taotluse korral füüsilistele ja juriidilistele isikutele kogu teabe, mis on neile vajalik kaebuse esitamiseks asjaomasele pädevale asutusele. (3) Pädev asutus, kellele kaebus esitati, teavitab kooskõlas liikmesriigi õigusega kaebuse esitajat a) menetlemise käigust ja tehtud otsusest ning b) artikliga 39 ette nähtud õiguskaitsevahenditest.“ 20. Artiklisse 40 lisatakse lõige 6: ET 50 ET  „6. Käesolevat artiklit ei kohaldata VIIc peatüki suhtes.“ 21. Artikli 41 järele lisatakse järgmine pealkiri: „IXa PEATÜKK Euroopa Andmeinnovatsiooninõukogu“. 22. Lisatakse järgmine artikkel 41a: „Artikkel 41a Euroopa Andmeinnovatsiooninõukogu (1) Euroopa Andmeinnovatsiooninõukogu luuakse, et see nõustaks ja abistaks komisjoni käesoleva määruse täitmise tagamise koordineerimisel ning tegutseks Euroopa andmemajanduse ja -poliitika arendamisel aruteluplatvormina. (2) Euroopa Andmeinnovatsiooninõukogu koosseisu kuuluvad vähemalt andmetega seotud küsimustes pädevad liikmesriikide esindajad, käesoleva määruse II, III, V, VIIa ja VIIc peatüki täitmise tagamise eest vastutavate pädevate asutuste, Euroopa Andmekaitsenõukogu, Euroopa Andmekaitseinspektori ja ENISA esindajad ning ELi VKEde saadik või VKEde saadikute võrgustiku nimetatud esindaja. Komisjon võib otsustada lisada täiendavaid liikmete kategooriaid. Üksikekspertide nimetamisel püüab komisjon saavutada kõnealuse rühma liikmete soolise ja geograafilise tasakaalu. (3) Komisjon otsustab erinevate koosseisude üle, kes täidavad Euroopa Andmeinnovatsiooninõukogu ülesandeid. (4) Euroopa Andmeinnovatsiooninõukogu koosolekute eesistuja on komisjon.“ 23. Artikkel 42 asendatakse järgmisega: „Artikkel 42 Euroopa Andmeinnovatsiooninõukogu roll (1) Euroopa Andmeinnovatsiooninõukogu toetab käesoleva määruse järjepidevat kohaldamist sellega, et teeb järgmist: a) toimib andmepoliitika, andmehalduse, rahvusvaheliste andmevoogude ja Euroopa andmemajandusega seotud valdkondadevaheliste suundumuste üle peetavate strateegiliste arutelude foorumina; b) nõustab ja abistab komisjoni seoses pädevate asutuste järjepidevate tavade väljatöötamisega II, III, V, VII, VIIa ja VIIc peatüki täitmise tagamisel; c) hõlbustab pädevate asutuste vahelist koostööd suutlikkuse suurendamise ja teabevahetuse kaudu; d) edendab liikmesriikide vahel kogemuste ja heade tavade vahetamist avaliku sektori teabe taaskasutamise valdkonnas koostöös teiste asjaomaste valitsusasutustega.“ 24. Artiklit 45 muudetakse järgmiselt: a) lõige 2 asendatakse järgmisega: ET 51 ET  „2. Artikli 29 lõikes 7, artikli 32u lõikes 2 ja artikli 33 lõikes 2 osutatud õigus võtta vastu delegeeritud õigusakte antakse komisjonile määramata ajaks.“; b) lõige 3 asendatakse järgmisega: „3. Euroopa Parlament ja nõukogu võivad artikli 29 lõikes 7, artikli 32u lõikes 2 ja artikli 33 lõikes 2 osutatud volituste delegeerimise igal ajal tagasi võtta. Tagasivõtmise otsusega lõpetatakse otsuses nimetatud volituste delegeerimine. Otsus jõustub järgmisel päeval pärast selle avaldamist Euroopa Liidu Teatajas või otsuses nimetatud hilisemal kuupäeval. See ei mõjuta juba jõustunud delegeeritud õigusaktide kehtivust.“; c) lõige 6 asendatakse järgmisega: „6. Artikli 29 lõike 7, artikli 32u lõike 2 või artikli 33 lõike 2 alusel vastu võetud delegeeritud õigusakt jõustub üksnes juhul, kui Euroopa Parlament ega nõukogu ei ole kolme kuu jooksul pärast õigusakti teatavakstegemist Euroopa Parlamendile ja nõukogule esitanud selle suhtes vastuväidet või kui Euroopa Parlament ja nõukogu on enne selle tähtaja möödumist komisjonile teatanud, et nad ei esita vastuväidet. Euroopa Parlamendi või nõukogu algatusel pikendatakse seda tähtaega kolme kuu võrra.“ 25. Artiklit 46 muudetakse järgmiselt: a) lõike 1 esimene lause asendatakse järgmisega: „Komisjoni abistab komitee. Nimetatud komitee on komitee määruse (EL) nr 182/2011 tähenduses.“; b) lisatakse järgmine lõige 1a: „1a. Käesolevale lõikele viitamisel kohaldatakse määruse (EL) nr 182/2011 artiklit 4.“ 26. Artiklit 49 muudetakse järgmiselt: a) lõiget 1 muudetakse järgmiselt: i) sissejuhatav osa asendatakse järgmisega: „1. Hiljemalt 12. septembriks 2028 hindab komisjon II, III, IV, V, VI, VII ja VIII peatükki ning esitab peamiste järelduste kohta aruande Euroopa Parlamendile ja nõukogule ning Euroopa Majandus- ja Sotsiaalkomiteele. Hindamise käigus analüüsitakse eelkõige järgmist:“; ii) punkt m asendatakse järgmisega: „m) käesoleva määruse mõju VKEdele ja väikestele keskmise turukapitalisatsiooniga ettevõtjatele seoses nende innovatsioonisuutlikkusega ning seoses andmetöötlusteenuste kättesaadavusega liidu kasutajate jaoks ja uute kohustuste täitmise koormusega.“; b) lisatakse järgmine lõige 2a: „2a. Hiljemalt [kuupäev: jõustumise kuupäev pluss 5 aastat] hindab komisjon käesoleva määruse VIIa, VIIb ja VIIc peatükki ning esitab peamiste järelduste kohta aruande Euroopa Parlamendile ja nõukogule ning Euroopa Majandus- ja Sotsiaalkomiteele. Aruandes analüüsitakse eelkõige järgmist: ET 52 ET  a) andmevahendusteenuse osutajate registreerimise seis ja nende pakutavate teenuste liik; b) registreeritud andmealtruismiorganisatsioonide liik ja ülevaade üldhuvi eesmärkidest, mille puhul andmeid jagatakse, et kehtestada sellekohased selged kriteeriumid; c) VIIc peatüki 2. jao kohaldamisala ning sotsiaalne ja majanduslik mõju, sealhulgas d) VIIc peatüki 2. jao kohaldamisalasse kuuluvate avaliku sektori dokumentide taaskasutamise kasvu ulatus, eelkõige VKEde ja väikeste keskmise turukapitalisatsiooniga ettevõtjate poolt; e) väärtuslike andmestike mõju; f) andmekaitse-eeskirjade ja taaskasutusvõimaluste koostoime; g) liikmesriigid esitavad komisjonile kõnealuse aruande koostamiseks vajaliku teabe.“; c) lõige 5 asendatakse järgmisega: „5. Lõigetes 1, 2 ja 2a osutatud aruannete alusel võib komisjon asjakohasel juhul esitada Euroopa Parlamendile ja nõukogule seadusandliku ettepaneku käesoleva määruse muutmiseks.“ 27. Lisatakse I lisa, nii nagu on esitatud käesoleva määruse II lisas. Artikkel 2 Määruse (EL) 2018/1724 muutmine Määruse (EL) 2018/1724 II lisa tabelis asendatakse kanne „Ettevõtte asutamine, juhtimine ja tegevuse lõpetamine“ järgmisega: Elusündmused Menetlused Oodatav tulemus, mille puhul pädev asutus hindab taotlust kooskõlas liikmesriigi õigusega, kui see on asjakohane Ettevõtte Majandustegevusest teavitamine,Kinnitus teate, muudatusi asutamine, majandustegevusega seotud load, muudatusedpuudutava teate või juhtimine jamajandustegevuses ning majandustegevusemajandustegevuse loa tegevuse lõpetamine põhjustel, mis ei hõlma maksejõuetusttaotluse kättesaamise lõpetamine ega likvideerimismenetlust, välja arvatudkohta majandustegevuse esmakordne registreerimine äriregistris ning välja arvatud menetlused äriühingute (ELi toimimise lepingu artikli 54 teise lõigu tähenduses) asutamiseks või hiljem asutamisdokumentides muudatuste tegemiseks Tööandja (füüsilise isiku) registreerimineKinnitus registreerimise kohustuslikus pensioni- ja kindlustusskeemis kohta või sotsiaalkindlustuse ET 53 ET  registreerimisnumber Töötajate registreerimine kohustuslikus pensioni- jaKinnitus registreerimise kindlustusskeemis kohta või sotsiaalkindlustuse registreerimisnumber Ettevõtte tuludeklaratsiooni esitamine Deklaratsiooni kättesaamise kinnitus Sotsiaalkindlustussüsteemide teavitamine töötajaTeatise kättesaamise lepingu lõppemisest, välja arvatud töölepingukinnitus kollektiivse lõpetamise menetlused Töötajate sotsiaalmaksete tasumine Kättesaamistõend või muu kinnitus töötajate sotsiaalmaksete tasumise kohta Registreerimine andmevahendusteenuse osutajana Registreerimise kinnitus Registreerimine liidus tunnustatudRegistreerimise kinnitus andmealtruismiorganisatsioonina Artikkel 3 Määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) muutmine Määrust (EL) 2016/679 muudetakse järgmiselt. 1. Artiklit 4 muudetakse järgmiselt: (a) punkti 1 lisatakse järgmised laused: „Füüsilise isikuga seotud teave ei kujuta endast kõigi teiste isikute või üksuste jaoks tingimata isikuandmeid lihtsalt seetõttu, et teine üksus suudab selle füüsilise isiku tuvastada. Teavet ei loeta konkreetse üksuse puhul isikuandmeteks, kui asjaomane üksus ei suuda seda füüsilist isikut tuvastada, keda teave puudutab, võttes arvesse vahendeid, mida see üksus mõistliku tõenäosusega kasutab. Selline teave ei muutu asjaomase üksuse jaoks isikuandmeteks lihtsalt seetõttu, et potentsiaalsel järgneval andmesaajal on vahendid, mida mõistliku tõenäosusega kasutatakse selle füüsilise isiku tuvastamiseks, keda teave puudutab.“; (b) lisatakse järgmised punktid: „32) „lõppseade“ – direktiivi 2008/63/EÜ artikli 1 punktis 1 sätestatud lõppseade; 33) „elektroonilise side võrk“ – direktiivi (EL) 2018/1972 artikli 2 punktis 1 määratletud elektroonilise side võrk; 34) „veebibrauser“ – määruse (EL) 2022/1925 artikli 2 punktis 11 määratletud veebibrauser; ET 54 ET  35) „meediateenus“ – määruse (EL) 2024/1083 artikli 2 punktis 1 määratletud meediateenus; 36) „meediateenuse osutaja“ – määruse (EL) 2024/1083 artikli 2 punktis 2 määratletud meediateenuse osutaja; 37) „internetipõhine kasutajaliides“ – määruse (EL) 2022/2065 artikli 3 punktis m määratletud internetipõhine kasutajaliides; 38) „teadusuuringud“ – mis tahes uuringud, mis võivad toetada ka innovatsiooni, näiteks tehnoloogia arendamine ja tutvustamine. Need tegevused edendavad olemasolevaid teaduslikke teadmisi või rakendavad olemasolevaid teadmisi uuenduslikul viisil, need viiakse ellu eesmärgiga toetada ühiskonna üldiste teadmiste ja heaolu kasvu ning need järgivad asjaomase teadusvaldkonna eetikastandardeid. See ei välista, et uuringute eesmärk võib olla ka äriliste huvide edendamine.“ 2. Artikli 5 lõike 1 punkt b asendatakse järgmisega: „isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; isikuandmete edasine töötlemine avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil loetakse artikli 89 lõike 1 kohaselt algsete eesmärkidega kooskõlas olevaks sõltumata käesoleva määruse artikli 6 lõikes 4 sätestatud tingimustest („eesmärgi piirang“);“. 3. Artiklit 9 muudetakse järgmiselt: (a) lõikesse 2 lisatakse järgmised punktid: „k) töötlemine toimub seoses määruse (EL) 2024/1689 artikli 3 punktis 1 määratletud tehisintellektisüsteemi või tehisintellektimudeli arendamise ja kasutamisega vastavalt lõikes 5 osutatud tingimustele; l) biomeetriliste andmete töötlemine on vajalik andmesubjekti identiteedi kinnitamiseks (kontrollimiseks), kusjuures kontrollimiseks vajalikud biomeetrilised andmed või vahendid on andmesubjekti ainukontrolli all.“; (b) lisatakse järgmine lõige: „5. Lõike 2 punktis k osutatud töötlemise puhul rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida isikuandmete eriliikide kogumist ja muul viisil töötlemist. Kui vastutav töötleja tuvastab selliste meetmete rakendamisest hoolimata tehisintellektisüsteemi või -mudeli treenimiseks, testimiseks või valideerimiseks kasutatavates andmestikes või tehisintellektisüsteemis või -mudelis isikuandmete eriliigid, peab vastutav töötleja sellised andmed eemaldama. Kui nende andmete eemaldamine nõuab ebaproportsionaalseid jõupingutusi, kaitseb vastutav töötleja igal juhul viivitamata ja mõjusalt selliseid andmeid, et neid ei kasutataks väljundite loomiseks, neid ei avalikustataks ega tehtaks muul viisil kolmandatele isikutele kättesaadavaks.“ 4. Artikli 12 lõige 5 asendatakse järgmisega: „5. Artiklite 13 ja 14 kohase teabe esitamine ning artiklite 15–22 ja 34 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on ET 55 ET  ilmselgelt põhjendamatud või ülemäärased, eelkõige nende korduva iseloomu tõttu, või artikli 15 kohaste taotluste puhul ka seetõttu, et andmesubjekt kuritarvitab käesoleva määrusega antud õigusi, kasutades neid muul eesmärgil kui oma andmete kaitseks, võib vastutav töötleja: a) küsida mõistlikku tasu, võttes arvesse halduskulu, mis kaasneb teabe esitamise või teavitamise või taotletud meetmete võtmisega, või b) keelduda taotletud meetmete võtmisest. Vastutav töötleja peab tõendama, et taotlus on ilmselgelt põhjendamatu või et on mõistlik alus arvata, et see on ülemäärane.“ 5. Artikli 13 lõige 4 asendatakse järgmisega: „4. Lõikeid 1, 2 ja 3 ei kohaldata, kui isikuandmed on kogutud andmesubjektide ja vastutava töötleja vahelise selge ja täpselt piiritletud suhte raames, kus vastutav töötleja tegeleb tegevusega, mis ei ole andmemahukas, ning on mõistlik alus eeldada, et andmesubjektil on juba lõike 1 punktides a ja c osutatud teave, välja arvatud juhul, kui vastutav töötleja edastab andmed teistele andmesaajatele või andmesaajate kategooriatele, edastab andmed kolmandasse riiki, teeb artikli 22 lõikes 1 osutatud automatiseeritud otsuseid, sealhulgas profiilianalüüsi, või kui töötlemine võib põhjustada andmesubjekti õigustele ja vabadustele suurt ohtu artikli 35 tähenduses.“ 6. Artiklisse 13 lisatakse lõige 5: „5. Kui töötlemine toimub teadusuuringute eesmärgil ning lõigetes 1, 2 ja 3 osutatud teabe esitamine osutub võimatuks või nõuaks ebaproportsionaalseid jõupingutusi, võttes arvesse artikli 89 lõikes 1 osutatud tingimusi ja kaitsemeetmeid, või kui käesoleva artikli lõikes 1 nimetatud kohustus võib muuta selle töötlemise eesmärkide saavutamise võimatuks või seda tõsiselt takistada, ei pea vastutav töötleja lõigetes 1, 2 ja 3 osutatud teavet esitama. Sellistel juhtudel võtab vastutav töötleja asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks, sealhulgas teeb teabe avalikult kättesaadavaks.“ 7. Artikli 22 lõiked 1 ja 2 asendatakse järgmisega: „1. Otsus, millel on andmesubjektile õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, võib põhineda ainult automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, üksnes siis, kui see otsus a) on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimiseks või täitmiseks, sõltumata sellest, kas otsuse võiks teha muul viisil kui ainult automatiseeritud vahenditega; b) on lubatud vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega, milles on sätestatud ka asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks, või c) põhineb andmesubjekti sõnaselgel nõusolekul.“ 8. Artiklit 33 muudetakse järgmiselt: (a) lõige 1 asendatakse järgmisega: „1. Kui on toimunud isikuandmetega seotud rikkumine, mis võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele, teatab vastutav ET 56 ET  töötleja sellest viivitamata ja võimaluse korral hiljemalt 96 tunni jooksul pärast rikkumisest teada saamist direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu artiklite 55 ja 56 kohaselt pädevale järelevalveasutusele. Kui järelevalveasutust teavitatakse hiljem kui 96 tunni jooksul, esitatakse teates viivituse kohta põhjendus.“; (b) lisatakse järgmine lõige: „1a. Kuni ühtse kontaktpunkti loomiseni vastavalt direktiivi (EL) 2022/2555 artiklile 23a teatavad vastutavad töötlejad isikuandmetega seotud rikkumistest jätkuvalt otse artiklite 55 ja 56 kohaselt pädevale järelevalveasutusele.“; (c) lisatakse järgmised lõiked: „6. Andmekaitsenõukogu koostab ja esitab komisjonile ettepaneku ühise vormi kohta, mida kasutatakse lõikes 1 osutatud pädevale järelevalveasutusele isikuandmetega seotud rikkumisest teatamiseks, ning ettepaneku selliseid asjaolusid sisaldava loetelu kohta, mille korral isikuandmetega seotud rikkumine võib tõenäoliselt kaasa tuua suure ohu füüsilise isiku õigustele ja vabadustele. Ettepanekud esitatakse komisjonile [väljaannete talitus: palun lisada kuupäev: üheksa kuud pärast käesoleva määruse jõustumist]. Komisjon vaatab ettepaneku pärast selle nõuetekohast kaalumist vajaduse korral läbi ja tal on õigus see rakendusaktina vastu võtta kooskõlas artikli 93 lõikes 2 sätestatud kontrollimenetlusega. 7. Lõikes 6 osutatud vorm ja loetelu vaadatakse läbi vähemalt iga kolme aasta tagant ning vajaduse korral neid ajakohastatakse. Andmekaitsenõukogu esitab komisjonile õigeaegselt oma hinnangu ja võimalikud ajakohastamise ettepanekud. Komisjon vaatab ettepanekud pärast nende nõuetekohast kaalumist läbi ja tal on õigus mis tahes ajakohastused lõikes 6 sätestatud korra kohaselt vastu võtta.“ 9. Artiklit 35 muudetakse järgmiselt: (a) lõiked 4, 5 ja 6 asendatakse järgmistega: „4. Andmekaitsenõukogu koostab ja esitab komisjonile ettepaneku selliste töötlemistoimingute loetelu kohta, mille suhtes kohaldatakse lõike 1 kohast andmekaitsealase mõju hindamise nõuet. 5. Andmekaitsenõukogu koostab ja esitab komisjonile ettepaneku selliste töötlemistoimingute loetelu kohta, mille puhul andmekaitsealast mõjuhinnangut ei nõuta. 6. Andmekaitsenõukogu koostab ja esitab komisjonile ettepaneku andmekaitsealase mõjuhinnangu tegemise ühtse vormi ja ühtse metoodika kohta.“; (b) lisatakse järgmised lõiked: „6a. Lõigetes 4 ja 5 osutatud loetelude ning lõikes 6 osutatud vormi ja metoodika ettepanekud esitatakse komisjonile [väljaannete talitus: palun lisada kuupäev: 9 kuud pärast käesoleva määruse jõustumist]. Komisjon vaatab ettepanekud pärast nende nõuetekohast kaalumist vajaduse korral läbi ja tal on ET 57 ET  õigus need rakendusaktina vastu võtta kooskõlas artikli 93 lõikes 2 sätestatud kontrollimenetlusega. 6b. Lõikes 6a osutatud loetelud, vorm ja metoodika vaadatakse läbi vähemalt iga kolme aasta tagant ning vajaduse korral neid ajakohastatakse. Andmekaitsenõukogu esitab komisjonile õigeaegselt oma hinnangu ja võimalikud ajakohastamise ettepanekud. Komisjon vaatab ettepanekud pärast nende nõuetekohast kaalumist läbi ja tal on õigus mis tahes ajakohastused lõikes 6a sätestatud korra kohaselt vastu võtta. 6c. Järelevalveasutuste kehtestatud ja avalikustatud selliste töötlemistoimingute loetelud, mille suhtes kohaldatakse andmekaitsealase mõju hindamise nõuet, ning selliste töötlemistoimingute loetelud, mille puhul ei ole andmekaitsealane mõjuhinnang nõutav, jäävad kehtima, kuni komisjon võtab vastu lõikes 6a osutatud rakendusakti.“ 10. Lisatakse järgmine artikkel: „Artikkel 41a (1) Komisjon võib võtta vastu rakendusakte, et täpsustada vahendeid ja kriteeriume, mille abil otsustatakse, kas pseudonüümimise tulemusel saadud andmed ei ole enam teatavate üksuste jaoks isikuandmed. (2) Lõike 1 kohaldamiseks komisjon a) hindab kasutadaolevate meetodite taset; b) töötab välja kriteeriumid ja/või kategooriad, mille alusel vastutavad töötlejad ja andmesaajad saaksid hinnata tagasituvastuse riski seoses tüüpiliste andmesaajatega. (3) Rakendusaktis sätestatud vahendite ja kriteeriumide rakendamist võib kasutada tõendina, et andmed ei võimalda andmesubjektide tagasituvastust. (4) Komisjon teeb rakendusaktide ettevalmistamisel tihedat koostööd Euroopa Andmekaitsenõukoguga. Euroopa Andmekaitsenõukogu esitab rakendusaktide eelnõude kohta arvamuse kaheksa nädala jooksul alates komisjonilt eelnõu saamisest. (5) Rakendusaktid võetakse vastu kooskõlas artikli 93 lõikes 3 osutatud kontrollimenetlusega.“ 11. Artikli 57 lõiget 1 muudetakse järgmiselt: (a) punkt k jäetakse välja. 12. Artikli 64 lõike 1 punkt a jäetakse välja. 13. Artikli 70 lõike 1 punkt h jäetakse välja. 14. Artikli 70 lõikesse 1 lisatakse järgmised punktid: „ha) koostab ja esitab artikli 35 kohaselt komisjonile ettepaneku selliste töötlemistoimingute loetelu kohta, mille suhtes kohaldatakse andmekaitsealase mõjuhinnangu tegemise nõuet ja mille puhul ei ole andmekaitsealane mõjuhinnang nõutav; hb) koostab ja esitab artikli 35 kohaselt komisjonile ettepaneku andmekaitsealase mõjuhinnangu tegemise ühtse vormi ja ühtse metoodika kohta; ET 58 ET  hc) koostab ja esitab artikli 33 kohaselt komisjonile ettepaneku ühtse vormi kohta, mida kasutatakse pädeva järelevalveasutuse teavitamiseks isikuandmetega seotud rikkumisest, ning ettepaneku selliseid asjaolusid sisaldava loetelu kohta, mille korral isikuandmetega seotud rikkumine võib tõenäoliselt kaasa tuua suure ohu füüsilise isiku õigustele ja vabadustele.“ 15. Artikli 88 järele lisatakse järgmised artiklid: „Artikkel 88a Isikuandmete töötlemine füüsiliste isikute lõppseadmetes (1) Isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele on lubatud ainult juhul, kui asjaomane isik on andnud selleks nõusoleku vastavalt käesolevale määrusele. (2) Lõige 1 ei välista isikuandmete talletamist füüsilise isiku lõppseadmesse või juurdepääsu sellisesse seadmesse juba talletatud isikuandmetele, kui see toimub liidu või liikmesriigi õiguse alusel artikli 6 tähenduses ja tingimustel, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine. (3) Isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele ilma nõusolekuta ning nende isikuandmete edasine töötlemine on seaduslik, kui see on vajalik mõnel järgmisel eesmärgil: a) elektroonilise side edastamiseks elektroonilise side võrgu kaudu; b) sellise teenuse osutamiseks, mida andmesubjekt on sõnaselgelt taotlenud; c) koondteabe loomiseks veebiteenuse kasutamise kohta, et mõõta sellise teenuse kasutajaskonda, kui seda teeb veebiteenuse vastutav töötleja ainult enda tarbeks; d) vastutava töötleja poolt osutatava ja andmesubjekti poolt taotletud teenuse või sellise teenuse osutamiseks kasutatava lõppseadme turvalisuse säilitamiseks või taastamiseks. (4) Kui isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele põhineb nõusolekul, kohaldatakse järgmist: a) andmesubjektil peab olema võimalik keelduda nõusoleku andmisest lihtsal ja arusaadaval viisil ühe nupuliigutusega või samaväärse vahendiga; b) kui andmesubjekt annab nõusoleku, ei tohi vastutav töötleja esitada uut nõusoleku taotlust samal eesmärgil ajavahemiku jooksul, mil vastutav töötleja võib õiguspäraselt tugineda andmesubjekti nõusolekule; c) kui andmesubjekt keeldub nõusoleku andmisest, ei tohi vastutav töötleja vähemalt kuue kuu jooksul esitada uut nõusoleku taotlust samal eesmärgil. Käesolevat lõiget kohaldatakse ka nõusoleku alusel toimuva isikuandmete edasise töötlemise suhtes. (5) Käesolevat artiklit kohaldatakse alates [väljaannete talitus: palun märkida kuupäev: 6 kuud pärast käesoleva määruse jõustumise kuupäeva]. Artikkel 88b ET 59 ET  Andmesubjekti valikute automatiseeritud ja masinloetav märkimine seoses füüsilise isiku lõppseadmes olevate isikuandmete töötlemisega (1) Vastutavad töötlejad tagavad, et nende internetipõhised kasutajaliidesed võimaldavad andmesubjektidel: a) anda nõusoleku automatiseeritud ja masinloetavate vahenditega, tingimusel et käesolevas määruses sätestatud nõusoleku andmise tingimused on täidetud; b) keelduda nõusoleku andmisest ja kasutada artikli 21 lõike 2 kohaselt vastuväite esitamise õigust automatiseeritud ja masinloetavate vahenditega. (2) Vastutavad töötlejad austavad valikuid, mille andmesubjektid on teinud vastavalt lõikele 1. (3) Lõikeid 1 ja 2 ei kohaldata meediateenuse osutajatest vastutavate töötlejate suhtes, kui nad osutavad meediateenuseid. (4) Komisjon palub vastavalt määruse (EL) nr 1025/2012 artikli 10 lõikele 1 ühel või mitmel Euroopa standardiorganisatsioonil koostada standardid andmesubjektide valikute masinloetavate märgete tõlgendamiseks. Vastutavate töötlejate internetipõhised kasutajaliidesed, mis on vastavuses harmoneeritud standardite või nende osadega, mille viited on avaldatud Euroopa Liidu Teatajas, loetakse olevat vastavuses nõuetega, mida nimetatud standardid või nende osad käsitlevad ja mis on sätestatud lõikes 1. (5) Lõikeid 1 ja 2 kohaldatakse alates [väljaannete talitus: palun märkida kuupäev: 24 kuud pärast käesoleva määruse jõustumise kuupäeva]. (6) Veebibrauserite pakkujad, kes ei ole VKEd, tagavad tehnilised vahendid, mis võimaldavad andmesubjektidel anda nõusoleku või keelduda nõusoleku andmisest ning kasutada artikli 21 lõike 2 kohaselt vastuväite esitamise õigust automatiseeritud ja masinloetavate vahenditega, millele on osutatud käesoleva artikli lõikes 1, mida kohaldatakse vastavalt käesoleva artikli lõigetele 2–5. (7) Lõiget 6 kohaldatakse alates [väljaannete talitus: palun märkida kuupäev: 48 kuud pärast käesoleva määruse jõustumise kuupäeva]. Artikkel 88c Töötlemine seoses tehisintellekti arendamise ja käitamisega Kui isikuandmete töötlemine on vajalik vastutava töötleja huvides seoses määruse (EL) 2024/1689 artikli 3 punktis 1 määratletud tehisintellektisüsteemi või tehisintellektimudeli arendamise ja käitamisega, võib selline töötlemine vajaduse korral toimuda õigustatud huvi alusel määruse (EL) 2016/679 artikli 6 lõike 1 punkti f tähenduses, välja arvatud juhul, kui muudes liidu või liikmesriigi õigusaktides on sõnaselgelt nõutud nõusolekut ja kui sellised huvid on vähem olulised kui andmesubjekti huvid või põhiõigused ja -vabadused, mis nõuavad isikuandmete kaitset, eelkõige juhul, kui andmesubjekt on laps. Sellise töötlemise korral tuleb kohaldada asjakohaseid korralduslikke ja tehnilisi meetmeid ning andmesubjekti õiguste ja vabaduste kaitsemeetmeteid, näiteks selleks, et tagada võimalikult väheste andmete kogumise põhimõtte järgimine allikate valiku etapis ning tehisintellektisüsteemi või -mudeli treenimise ja testimise etapis, kaitsta ET 60 ET  tehisintellektisüsteemis või -mudelis jääkandmetena säiluvaid andmeid avalikustamise eest, tagada andmesubjektidele suurem läbipaistvus ning anda andmesubjektidele tingimusteta õigus esitada vastuväiteid oma isikuandmete töötlemisele.“ Artikkel 4 Määruse (EL) 2018/1725 (ELi isikuandmete kaitse määruse) muutmine Määrust (EL) 2018/1725 muudetakse järgmiselt. 1. Artiklit 3 muudetakse järgmiselt: (a) punkti 1 lisatakse järgmised laused: „Füüsilise isikuga seotud teave ei kujuta endast kõigi teiste isikute või üksuste jaoks tingimata isikuandmeid lihtsalt seetõttu, et teine üksus suudab selle füüsilise isiku tuvastada. Teavet ei loeta konkreetse üksuse puhul isikuandmeteks, kui asjaomane üksus ei suuda seda füüsilist isikut tuvastada, keda teave puudutab, võttes arvesse vahendeid, mida see üksus mõistliku tõenäosusega kasutab. Selline teave ei muutu asjaomase üksuse jaoks isikuandmeteks lihtsalt seetõttu, et potentsiaalsel järgneval andmesaajal on vahendid, mida mõistliku tõenäosusega kasutatakse selle füüsilise isiku tuvastamiseks, keda teave puudutab.“; (b) punkt 25 asendatakse järgmisega: „25) „elektroonilise side võrk“ – direktiivi (EL) 2018/1972 artikli 2 punktis 1 määratletud elektroonilise side võrk;“ (c) lisatakse järgmised punktid: „27) „mobiilirakendus“ – direktiivi (EL) 2016/2102 artikli 3 punktis 2 määratletud mobiilirakendus; 28) „internetipõhine kasutajaliides“ – määruse (EL) 2022/2065 artikli 3 punktis m määratletud internetipõhine kasutajaliides; 29) „teadusuuringud“ – mis tahes uuringud, mis võivad toetada ka innovatsiooni, näiteks tehnoloogia arendamine ja tutvustamine. Need tegevused edendavad olemasolevaid teaduslikke teadmisi või rakendavad olemasolevaid teadmisi uuenduslikul viisil, need viiakse ellu eesmärgiga toetada ühiskonna üldiste teadmiste ja heaolu kasvu ning need järgivad asjaomase teadusvaldkonna eetikastandardeid. See ei välista, et uuringute eesmärk võib olla ka äriliste huvide edendamine.“ 2. Artikli 4 lõike 1 punkt b asendatakse järgmisega: „b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; isikuandmete edasine töötlemine avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil loetakse artikli 13 kohaselt algsete eesmärkidega kooskõlas olevaks sõltumata käesoleva määruse artiklis 6 sätestatud tingimustest („eesmärgi piirang“);“. 3. Artiklit 10 muudetakse järgmiselt: (a) lõikesse 2 lisatakse järgmised punktid: ET 61 ET  „k) töötlemine toimub seoses määruse (EL) 2024/1689 artikli 3 punktis 1 määratletud tehisintellektisüsteemi või tehisintellektimudeli arendamise ja käitamisega vastavalt lõikes 4 osutatud tingimustele; . l) biomeetriliste andmete töötlemine on vajalik andmesubjekti identiteedi kinnitamiseks (kontrollimiseks), kusjuures kontrollimiseks vajalikud biomeetrilised andmed või vahendid on andmesubjekti ainukontrolli all.“; (b) lisatakse järgmine lõige 4: „4. Lõike 2 punktis k osutatud töötlemise puhul rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida isikuandmete eriliikide kogumist ja muul viisil töötlemist. Kui vastutav töötleja tuvastab selliste meetmete rakendamisest hoolimata tehisintellektisüsteemi või -mudeli treenimiseks, testimiseks või valideerimiseks kasutatavates andmestikes või tehisintellektisüsteemis või -mudelis isikuandmete eriliigid, peab vastutav töötleja sellised andmed eemaldama. Kui nende andmete eemaldamine nõuab ebaproportsionaalseid jõupingutusi, kaitseb vastutav töötleja igal juhul viivitamata ja mõjusalt selliseid andmeid, et neid ei kasutataks väljundite loomiseks, neid ei avalikustataks ega tehtaks muul viisil kolmandatele isikutele kättesaadavaks.“ 4. Artikli 14 lõige 5 asendatakse järgmisega: „5. Artiklite 15 ja 16 kohase teabe esitamine ning artiklite 17–24 ja 35 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on ilmselgelt põhjendamatud või ülemäärased, eelkõige nende korduva iseloomu tõttu, või artikli 17 kohaste taotluste puhul ka seetõttu, et andmesubjekt kuritarvitab käesoleva määrusega antud õigusi, kasutades neid muul eesmärgil kui oma andmete kaitseks, võib vastutav töötleja keelduda taotluse rahuldamisest. Vastutav töötleja peab tõendama, et taotlus on ilmselgelt põhjendamatu või et on mõistlik alus arvata, et see on ülemäärane.“ 5. Artiklisse 15 lisatakse uus lõige 5: „5. Kui töötlemine toimub teadusuuringute eesmärgil ning lõigetes 1, 2 ja 3 osutatud teabe esitamine osutub võimatuks või nõuaks ebaproportsionaalseid jõupingutusi, võttes arvesse artiklis 13 osutatud tingimusi ja kaitsemeetmeid, või kui käesoleva artikli lõikes 1 nimetatud kohustus võib muuta selle töötlemise eesmärkide saavutamise võimatuks või seda tõsiselt takistada, ei pea vastutav töötleja lõigetes 1, 2 ja 3 osutatud teavet esitama. Sellistel juhtudel võtab vastutav töötleja asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks, sealhulgas teeb teabe avalikult kättesaadavaks.“ 6. Artikli 24 lõiked 1 ja 2 asendatakse järgmisega: „1. Otsus, millel on andmesubjektile õiguslikud tagajärjed või mis avaldab talle samamoodi märkimisväärset mõju, võib põhineda ainult automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, üksnes siis, kui see otsus a) on vajalik andmesubjekti ja vastutava töötleja vahelise lepingu sõlmimiseks või täitmiseks, sõltumata sellest, kas otsuse võiks teha muul viisil kui ainult automatiseeritud vahenditega; ET 62 ET  b) on lubatud vastutava töötleja suhtes kohaldatava liidu õigusega, milles on sätestatud ka asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks, või c) põhineb andmesubjekti sõnaselgel nõusolekul.“ 7. Artikli 34 lõige 1 asendatakse järgmisega: „1. Kui on toimunud isikuandmetega seotud rikkumine, mis võib tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele, teatab vastutav töötleja isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu viivituseta ja võimaluse korral 96 tunni jooksul pärast sellest teada saamist. Kui Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 96 tunni jooksul, esitatakse teates viivituse kohta põhjendus.“ 8. Artiklile 37 lisatakse järgmised lõiked: „2. Isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele on lubatud ainult juhul, kui asjaomane isik on andnud selleks nõusoleku vastavalt käesolevale määrusele. 3. Lõige 1 ei välista isikuandmete talletamist füüsilise isiku lõppseadmesse või juurdepääsu sellisesse seadmesse juba talletatud isikuandmetele, kui see toimub liidu õiguse alusel artikli 5 tähenduses ja tingimustel, et tagada artikli 25 lõikes 1 osutatud eesmärkide täitmine. 4. Isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele ilma nõusolekuta ning nende isikuandmete edasine töötlemine on seaduslik, kui see on vajalik mõnel järgmisel eesmärgil: a) elektroonilise side edastamiseks elektroonilise side võrgu kaudu; b) sellise teenuse osutamiseks, mida andmesubjekt on sõnaselgelt taotlenud; c) koondteabe loomiseks veebiteenuse kasutamise kohta, et mõõta sellise teenuse kasutajaskonda, kui seda teeb veebiteenuse vastutav töötleja ainult enda tarbeks; d) vastutava töötleja poolt osutatava ja andmesubjekti poolt taotletud teenuse või sellise teenuse osutamiseks kasutatava lõppseadme turvalisuse säilitamiseks või taastamiseks. 5. Kui isikuandmete talletamine füüsilise isiku lõppseadmesse või juurdepääs sellisesse seadmesse juba talletatud isikuandmetele põhineb nõusolekul, kohaldatakse järgmist: a) andmesubjektil peab olema võimalik keelduda nõusoleku andmisest lihtsal ja arusaadaval viisil ühe nupuliigutusega või samaväärse vahendiga; b) kui andmesubjekt annab nõusoleku, ei tohi vastutav töötleja esitada uut nõusoleku taotlust samal eesmärgil ajavahemiku jooksul, mil vastutav töötleja võib õiguspäraselt tugineda andmesubjekti nõusolekule; c) kui andmesubjekt keeldub nõusoleku andmisest, ei tohi vastutav töötleja vähemalt kuue kuu jooksul esitada uut nõusoleku taotlust samal eesmärgil. ET 63 ET  Käesolevat lõiget kohaldatakse ka nõusoleku alusel toimuva isikuandmete edasise töötlemise suhtes. 6. Käesolevat artiklit kohaldatakse alates [väljaannete talitus: palun märkida kuupäev: 6 kuud pärast käesoleva määruse jõustumise kuupäeva]. 7. Vastutavad töötlejad tagavad, et nende internetipõhised kasutajaliidesed võimaldavad andmesubjektidel: a) anda nõusoleku automatiseeritud ja masinloetavate vahenditega, tingimusel et käesolevas määruses sätestatud nõusoleku andmise tingimused on täidetud; b) keelduda nõusoleku andmisest automatiseeritud ja masinloetavate vahenditega. 8. Vastutavad töötlejad austavad valikuid, mille andmesubjektid on teinud vastavalt lõikele 7. 9. Vastutavate töötlejate internetipõhised kasutajaliidesed, mis on vastavuses määruse (EL) 2016/679 artikli 88b lõikes 4 osutatud harmoneeritud standarditega või nende osadega, loetakse olevat vastavuses nõuetega, mida nimetatud standardid või nende osad käsitlevad ja mis on sätestatud lõikes 7. 10. Lõikeid 7–9 kohaldatakse alates [väljaannete talitus: palun märkida kuupäev: 24 kuud pärast käesoleva määruse jõustumise kuupäeva].“ 8) Artiklit 39 muudetakse järgmiselt: a) lõige 4 asendatakse järgmisega: „4. Käesoleva määruse kohasel isikuandmete töötlemisel tuleks kohaldada komisjoni vastu võetud loetelusid, vormi ja metoodikat, millele on osutatud määruse (EL) 2016/679 artikli 35 lõikes 6a.“; b) lõiked 5 ja 6 jäetakse välja. 9) Lisatakse järgmine artikkel: „Artikkel 45a Käesoleva määruse kohasel isikuandmete töötlemisel tuleks kohaldada komisjoni vastu võetud ühiseid kriteeriume, millele on osutatud määruse (EL) 2016/679 artiklis 41a.“ Artikkel 5 Direktiivi 2002/58/EÜ (e-privaatsuse direktiiv) muutmine Direktiivi 2002/58/EÜ muudetakse järgmiselt. 1. Artikkel 4 jäetakse välja. 2. Artikli 5 lõike 3 järele lisatakse järgmine lõik: „Käesolevat lõiget ei kohaldata, kui abonent või kasutaja on füüsiline isik ja salvestatud või juurdepääsetav teave kujutab endast isikuandmeid või viib isikuandmete töötlemiseni.“ ET 64 ET  Artikkel 6 Direktiivi (EL) 2022/2555 muutmine Direktiivi (EL) 2022/2555 muudetakse järgmiselt. 1. Lisatakse järgmine artikkel 23a: „Artikkel 23a Intsidentidest teatamise ühtne kontaktpunkt 1. ENISA loob ühtse kontaktpunkti ja haldab seda, et toetada kohustust teatada intsidentidest ja nendega seotud sündmustest liidu õigusaktide alusel, kui see on nende liidu õigusaktidega ette nähtud („ühtne kontaktpunkt“). Ilma et see piiraks Euroopa Parlamendi ja nõukogu määruse (EL) 2024/2847 artikli 16 kohaldamist, võib ENISA tagada, et ühtne kontaktpunkt tugineb kõnealuse määruse alusel loodud ühtsele aruandlusplatvormile. 2. ENISA võtab asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke meetmeid, et hallata ühtse kontaktpunkti turvalisust ja ühtse kontaktpunkti kaudu esitatavat või levitatavat teavet ohustavaid riske. ENISA võtab arvesse lõikes 1 osutatud liidu õigusaktide kohaselt esitatava või levitatava teabe tundlikkust ning tagab, et kõnealuste liidu õigusaktide kohastel pädevatel asutustel on juurdepääs teabele ja nad töötlevad seda kõnealuste liidu õigusaktide kohaselt. 3. ENISA esitab ja rakendab ühtse kontaktpunkti loomist, haldamist ja turvalist toimimist käsitlevate tehniliste, operatiivsete ja korralduslike meetmete spetsifikatsioonid. ENISA töötab spetsifikatsioonid välja koostöös komisjoni, küberintsidentidele reageerimise üksuste võrgustiku ja lõikes 1 osutatud liidu õigusaktide kohaste pädevate asutustega. Spetsifikatsioonidega tagatakse järgmine: a) koostalitlusvõime tagamiseks vajalik suutlikkus seoses lõikes 1 osutatud muude asjakohaste teatamiskohustustega; b) kehtestatud on tehnilised meetmed, mis võimaldavad lõikes 1 osutatud liidu õigusaktide kohastel asjaomastel üksustel ja asutustel ühtsest kontaktpunktist pärit teabele juurde pääseda, seda esitada, saada, edastada või muul viisil töödelda, ning ette on nähtud tehnilised protokollid ja vahendid, mis võimaldavad üksustel ja asutustel saadud teavet oma süsteemides edasi töödelda; c) lõikes 1 osutatud liidu õigusaktide alusel kehtestatud intsidentidest teatamise nõuete iseärasusi võetakse nõuetekohaselt arvesse; d) vajaduse korral on ühtse kontaktpunkt koostalitlusvõimeline ja ühilduv [määruse ettepanekus (lisada ettepaneku pealkiri)] osutatud Euroopa ettevõtluskukrutega ning Euroopa ettevõtluskukruid saab kasutada vähemalt ühtset kontaktpunkti kasutavate üksuste identifitseerimiseks ja autentimiseks; e) ühtset kontaktpunkti kasutavad üksused saavad ühtse kontaktpunkti kaudu varem esitatud teabe välja võtta ja seda täiendada; f) üksuse poolt ühtse kontaktpunkti kaudu esitatud teabe kohta käivat ühekordset teadet saab kasutada selliste aruandluskohustuste täitmiseks, mis on sätestatud muudes liidu õigusaktides, millega on ette nähtud intsidentidest teatamine ühtsele kontaktpunktile. ET 65 ET  4. ENISA-l ei ole juurdepääsu ühtse kontaktpunkti kaudu esitatud teadetele, kui lõikes 1 osutatud liidu õigusaktides ei ole sätestatud teisiti. 5. Pärast komisjoniga ja asjaomastes liidu õigusaktides sätestatud pädevate asutustega konsulteerimist katsetab ENISA ühtse kontaktpunkti toimimist [18] kuu jooksul alates käesoleva määruse jõustumisest iga lisatud liidu õigusakti puhul, võttes muu hulgas arvesse igas asjaomases liidu õigusaktis sätestatud teadete iseärasusi ja neile esitatavaid nõudeid. ENISA võimaldab intsidentidest vastavalt lõikes 1 osutatud liidu õigusaktidele teatada alles pärast toimimise katsetamist ja pärast seda, kui komisjon on avaldanud lõike 6 kohase teate. 6. Komisjon hindab koostöös ENISAga ühtse kontaktpunkti nõuetekohast toimimist, usaldusväärsust, terviklikkust ja konfidentsiaalsust. Kui komisjon leiab pärast küberintsidentidele reageerimise üksuste võrgustiku ja lõikes 1 osutatud liidu õigusaktide kohaste pädevate asutustega konsulteerimist, et ühtne kontaktpunkt tagab nõuetekohase toimimise, usaldusväärsuse, terviklikkuse ja konfidentsiaalsuse, avaldab ta sellekohase teate Euroopa Liidu Teatajas. 7. Kui komisjon leiab oma hinnangus, et ühtne kontaktpunkt ei taga nõuetekohast toimimist, usaldusväärsust, terviklikkust või konfidentsiaalsust, võtab ENISA koostöös komisjoniga viivitamata kõik vajalikud parandusmeetmed, et tagada nõuetekohane toimimine, usaldusväärsus, terviklikkus või konfidentsiaalsus, ning teavitab komisjoni tulemustest. Seejärel hindab komisjon uuesti ühtse kontaktpunkti nõuetekohast toimimist, usaldusväärsust, terviklikkust või konfidentsiaalsust ning avaldab teate vastavalt lõikele 6.“ 2. Artiklit 23 muudetakse järgmiselt: a) lõike 1 esimene lause asendatakse järgmisega: „Liikmesriigid tagavad, et elutähtsad ja olulised üksused teavitavad artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu põhjendamatu viivituseta oma CSIRTi, või kui see on kohaldatav, oma pädevat asutust vastavalt käesoleva artikli lõikele 4 kõikidest intsidentidest, mis nende teenuste osutamist märkimisväärselt mõjutavad, nagu on osutatud lõikes 3 (edaspidi „oluline intsident“).“; a) lisatakse järgmine lõige 12: „Kui tootja teatab tõsisest intsidendist vastavalt määruse (EL) 2024/2847 artikli 14 lõikele 3 ja kõnealuse artikli kohane intsidendi teade sisaldab käesoleva artikli lõikes 4 nõutud asjakohast teavet, loetakse tootja poolt määruse (EL) 2024/2847 artikli 14 lõike 3 kohaselt esitatud teade käesoleva artikli lõike 4 kohaseks teavitamiseks.“ 3. Artikli 30 lõige 1 asendatakse järgmisega: „1. Liikmesriigid tagavad, et lisaks artiklis 23 sätestatud teatamiskohustusele võivad artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu CSIRTidele, või kui see on kohaldatav, pädevatele asutustele vabatahtlikult teatada a) elutähtsad ja olulised üksused intsidentidest, küber- ja intsidendiohtudest; b) muud kui punktis a osutatud üksused olenemata sellest, kas nad kuuluvad käesoleva direktiivi kohaldamisalasse, olulistest intsidentidest, küber- ja intsidendiohtudest.“ ET 66 ET  Artikkel 7 Määruse (EL) 910/2014 muutmine Määrust (EL) 910/2014 muudetakse järgmiselt. 1. Artiklisse 19a lisatakse järgmine lõige 1a: „1a. Käesoleva artikli lõike 1 punkti b kohased teated järelevalveasutusele, ja kui see on kohaldatav, muudele asjaomastele pädevatele asutustele edastatakse direktiivi (EL) 2022/2555 artikli 23a kohaselt ühtse kontaktpunkti kaudu.“ 2. Artiklisse 24 lisatakse järgmine lõige 2a: „2a. Käesoleva artikli lõike 2 punkti fb kohased teated järelevalveasutusele, ja kui see on kohaldatav, muudele asjaomastele pädevatele asutustele edastatakse direktiivi (EL) 2022/2555 artikli 23a kohase ühtse kontaktpunkti kaudu.“ 3. Artiklisse 45a lisatakse järgmine lõige 3a: „3a. Lõike 3 kohased teated komisjonile ja pädevale järelevalveasutusele edastatakse direktiivi (EL) 2022/2555 artikli 23a kohase ühtse kontaktpunkti kaudu.“ Artikkel 8 Määruse (EL) 2022/2554 muutmine Määruse (EL) 2022/2554 artiklit 19 muudetakse järgmiselt. 1. Lõike 1 esimene lõik asendatakse järgmisega: „Finantssektori ettevõtjad teatavad tõsistest IKT intsidentidest artiklis 46 osutatud asjaomasele pädevale asutusele direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu kooskõlas käesoleva artikli lõikega 4.“ 2. Lõike 2 esimene lõik asendatakse järgmisega: „Finantssektori ettevõtjad võivad direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu vabatahtlikult teatada asjaomasele pädevale asutusele olulistest küberohtudest, kui nad peavad ohtu finantssüsteemi, teenusekasutajate või klientide jaoks oluliseks. Asjaomane pädev asutus võib esitada selle teabe teistele asjaomastele asutustele, kellele on osutatud lõikes 6.“ Artikkel 9 Direktiivi (EL) 2022/2557 muutmine Direktiivi (EL) 2022/2557 artiklit 15 muudetakse järgmiselt. 1. Lõike 1 esimene lause asendatakse järgmisega: „Liikmesriigid tagavad, et elutähtsa teenuse osutajad teavitavad direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu pädevat asutust põhjendamatu viivituseta intsidentidest, mis oluliselt häirivad või võivad oluliselt häirida elutähtsate teenuste osutamist.“ 2. Lõikesse 2 lisatakse järgmine lõik: ET 67 ET  „Komisjon võib vastu võtta rakendusakte, millega täpsustatakse artikli 15 lõike 1 kohaselt esitatava teabe liik ja vorm. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 24 lõikes 2 osutatud kontrollimenetlusega.“ Artikkel 10 Kehtetuks tunnistamine ja üleminekusätted 1. Määrus (EL) 2019/1150 tunnistatakse kehtetuks alates [kuupäev: käesoleva määruse kohaldamise alguskuupäev]. 2. Erandina lõikest 1 kohaldatakse järgmisi sätteid kuni 31. detsembrini 2032: (a) artikli 2 punkt 1, (b) artikli 2 punkt 2, (c) artikli 2 punkt 5, (d) artikkel 4, (e) artikkel 11, (f) artikkel 15. 3. Järgmised õigusaktid tunnistatakse kehtetuks alates [kuupäev: muudatuste kohaldamise alguskuupäev]: a) määrus (EL) 2022/868, b) määrus (EL) 2018/1807, c) direktiiv (EL) 2019/1024. 4. Viiteid määrusele (EL) 2022/868, määrusele (EL) 2018/1807 ja direktiivile (EL) 2019/1024 loetakse vastavalt käesoleva määruse I lisas esitatud vastavustabelile. Artikkel 11 Lõppsätted Käesolev määrus jõustub kolmandal päeval pärast selle avaldamist Euroopa Liidu Teatajas. Erandina lõikest 3 hakatakse artikli 5 lõige 2 kohaldama kuus kuud pärast avaldamist Euroopa Liidu Teatajas. Artikli 3 lõike 8 punkte a–c, artikli 6 lõikeid 2 ja 3 ning artikleid 7–9 hakatakse kohaldama 18 kuud pärast käesoleva määruse jõustumist. Erandina esimesest lausest, kui komisjon leiab oma direktiivi (EL) 2022/2555 artikli 23a lõike 7 kohases hinnangus, et ühtne kontaktpunkt ei taga nõuetekohast toimimist, usaldusväärsust, terviklikkust või konfidentsiaalsust, hakatakse direktiivi (EL) 2022/2555 artikli 23 lõikes 4, määruse (EL) nr 910/2014 artikli 19a lõikes 1a, artikli 24 lõikes 2a ja artikli 45a lõikes 3a, määruse (EL) 2016/679 artikli 33 lõikes 1, määruse (EL) 2022/2554 artikli 19 lõigetes 1 ja 2 ning direktiivi (EL) 2022/2557 artikli 15 lõikes 1 ET 68 ET  sätestatud kohustusi teatada intsidentidest ühtse kontaktpunkti kaudu kohaldama 24 kuud pärast käesoleva määruse jõustumist. Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides. Brüssel, Euroopa Parlamendi nimel Nõukogu nimel president eesistuja ET 69 ET  FINANTS- JA DIGISELGITUS 1. ETTEPANEKU/ALGATUSE RAAMISTIK .............................................................. 3 1.1. Ettepaneku/algatuse nimetus ........................................................................................ 3 1.2. Asjaomased poliitikavaldkonnad ................................................................................. 3 1.3. Eesmärgid ..................................................................................................................... 3 1.3.1. Üldeesmärgid ............................................................................................................... 3 1.3.2. Erieesmärgid ................................................................................................................ 3 1.3.3. Oodatavad tulemused ja mõju ...................................................................................... 3 1.3.4. Tulemusnäitajad ........................................................................................................... 3 1.4. Ettepanek/algatus käsitleb ............................................................................................ 4 1.5. Ettepaneku/algatuse põhjendused ................................................................................ 4 1.5.1. Lühi- või pikaajalises perspektiivis täidetavad vajadused, sealhulgas algatuse rakendamise üksikasjalik ajakava ................................................................................ 4 1.5.2. ELi meetme lisaväärtus (see võib tuleneda eri teguritest, nagu kooskõlastamisest saadav kasu, õiguskindlus, suurem tõhusus või vastastikune täiendavus). Käesoleva punkti kohaldamisel tähendab „ELi meetme lisaväärtus“ väärtust, mis tuleneb liidu sekkumisest ja lisandub väärtusele, mille liikmesriigid oleksid muidu üksi loonud. .. 4 1.5.3. Samalaadsetest kogemustest saadud õppetunnid ......................................................... 4 1.5.4. Kooskõla mitmeaastase finantsraamistikuga ja võimalik koostoime muude asjakohaste vahenditega ............................................................................................... 5 1.5.5. Erinevate kasutada olevate rahastamisvõimaluste, sealhulgas vahendite ümberpaigutamise võimaluste hinnang ........................................................................ 5 1.6. Ettepaneku/algatuse ja selle finantsmõju kestus .......................................................... 6 1.7. Kavandatud eelarve täitmise viis(id)............................................................................ 6 2. HALDUSMEETMED .................................................................................................. 8 2.1. Järelevalve ja aruandluse reeglid ................................................................................. 8 2.2. Haldus- ja kontrollisüsteem(id) .................................................................................... 8 2.2.1. Eelarve täitmise viisi(de), rahastuse rakendamise mehhanismi(de), maksete tegemise korra ja kavandatava kontrollistrateegia selgitus ......................................................... 8 2.2.2. Teave kindlakstehtud riskide ja nende vähendamiseks kasutusele võetud sisekontrollisüsteemi(de) kohta .................................................................................... 8 2.2.3. Kontrollimeetmete hinnanguline kulutõhusus (kontrollikulude suhe hallatavate vahendite väärtusse), selle põhjendus ja oodatav veariski tase (maksete tegemise ja sulgemise ajal) .............................................................................................................. 8 2.3. Pettuste ja õigusnormide rikkumise ärahoidmise meetmed ......................................... 9 3. ETTEPANEKU/ALGATUSE HINNANGULINE FINANTSMÕJU ....................... 10 3.1. Mitmeaastase finantsraamistiku rubriigid ja kulude eelarveread, millele mõju avaldub10 3.2. Ettepaneku hinnanguline finantsmõju assigneeringutele ........................................... 12 ET 1 ET  3.2.1. Hinnanguline mõju tegevusassigneeringutele – ülevaade.......................................... 12 3.2.1.1. Heakskiidetud eelarvest saadavad assigneeringud ..................................................... 12 3.2.1.2. Sihtotstarbelisest välistulust saadavad assigneeringud .............................................. 17 3.2.2. Hinnanguline tegevusassigneeringutest rahastatav väljund ....................................... 22 3.2.3. Hinnanguline mõju haldusassigneeringutele – ülevaade ........................................... 24 3.2.3.1. Heakskiidetud eelarvest saadavad assigneeringud ...................................................... 24 3.2.3.2. Sihtotstarbelisest välistulust saadavad assigneeringud .............................................. 24 3.2.3.3. Assigneeringud kokku ................................................................................................ 24 3.2.4. Hinnanguline personalivajadus .................................................................................. 25 3.2.4.1. Rahastatakse heakskiidetud eelarvest ........................................................................ 25 3.2.4.2. Rahastatakse sihtotstarbelisest välistulust .................................................................. 26 3.2.4.3. Personalivajadus kokku .............................................................................................. 26 3.2.5. Hinnanguline mõju digitehnoloogiaga seotud investeeringutele – ülevaade ............. 28 3.2.6. Kooskõla kehtiva mitmeaastase finantsraamistikuga................................................. 28 3.2.7. Kolmandate isikute rahaline osalus ............................................................................ 28 3.3. Hinnanguline mõju tuludele ....................................................................................... 29 4. DIGIMÕÕDE ............................................................................................................. 29 4.1. Diginõuded ................................................................................................................. 30 4.2. Andmed ...................................................................................................................... 30 4.3. Digilahendused ........................................................................................................... 31 4.4. Koostalitlusvõime hindamine .................................................................................... 31 4.5. Digimõõtme rakendamist toetavad meetmed ............................................................. 32 ET 2 ET  1. ETTEPANEKU/ALGATUSE RAAMISTIK 1.1. Ettepaneku/algatuse nimetus Ettepanek: Euroopa Parlamendi ja nõukogu määrus digivaldkonna õigustiku lihtsustamise kohta, millega muudetakse määrust (EL) 2023/2854, määrust (EL) 2016/679, määrust (EL) 2024/1689 ning direktiivi 2002/58/EÜ ja direktiivi (EL) 2022/2555 ning tunnistatakse kehtetuks määrus (EL) 2022/868, määrus (EL) 2018/1807, määrus (EL) 2019/1150 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett) 1.2. Asjaomased poliitikavaldkonnad Sidevõrgud, sisu ja tehnoloogia Siseturg, tööstus, ettevõtlus ja VKEd 1.3. Eesmärgid 1.3.1. Üldeesmärgid Digivaldkonna õigustiku kohaldamise lihtsustamine ja kulude kokkuhoid ettevõtete jaoks 1.3.2. Erieesmärgid Erieesmärk nr 1 Digivaldkonna õigustiku haldamise ja tõhusa täitmise tagamise parandamine õigusnormide keerukuse ning ettevõtete ja haldusasutuste halduskulude vähendamisega ning teatavate õigusaktide kehtetuks tunnistamisega Erieesmärk nr 2 Ühtse kontaktpunkti loomine mitme õigusraamistiku kohaseks intsidentidest teatamiseks 1.3.3. Oodatavad tulemused ja mõju Märkige, milline peaks olema ettepaneku/algatuse oodatav mõju toetusesaajatele/sihtrühmale. Ettevõtete kulude vähenemine õigusaktide keerukuse vähendamise ja aruandluse ühtlustamise tulemusel 1.3.4. Tulemusnäitajad Märkige, milliste näitajate abil jälgitakse edusamme ja saavutusi. Näitaja 1 Ettevõtete kulude arvestuslik kokkuhoid Näitaja 2 Ettevõtete intsidentidest teatamise kulude kokkuhoid Näitaja 3 ET 3 ET  1.4. Ettepanek/algatus käsitleb  uut meedet  uut meedet, mis tuleneb katseprojektist / ettevalmistavast meetmest39  olemasoleva meetme pikendamist  ühe või mitme meetme ümbersuunamist teise või uude meetmesse või ühendamist teise või uue meetmega 1.5. Ettepaneku/algatuse põhjendused 1.5.1. Lühi- või pikaajalises perspektiivis täidetavad vajadused, sealhulgas algatuse rakendamise üksikasjalik ajakava Jõustumine toimub eeldatavasti kolme päeva jooksul pärast avaldamist Euroopa Liidu Teatajas. Kohaldamine peaks algama kohe, välja arvatud märkimisväärsed erandid normide puhul, mis nõuavad üleminekuperioodi. Intsidentidest teatamist ja platvormiga seotud norme käsitleva III peatüki rakendamiseks on vaja piisavat aega, mida kohandatakse vastavalt ettevõtete, liikmesriikide ja ELi asutuste vajadustele. 1.5.2. ELi meetme lisaväärtus (see võib tuleneda eri teguritest, nagu kooskõlastamisest saadav kasu, õiguskindlus, suurem tõhusus või vastastikune täiendavus). Käesoleva punkti kohaldamisel tähendab „ELi meetme lisaväärtus“ väärtust, mis tuleneb liidu sekkumisest ja lisandub väärtusele, mille liikmesriigid oleksid muidu üksi loonud. ELi tasandi meetmed on vajalikud seetõttu, et muudatused puudutavad kehtivaid ELi õigusakte ja vähendavad ELi õiguse keerukust (ex ante). Eeldatav ELi lisaväärtus (ex post) seisneb ELi õiguse ühtlustamises ning halduskoormuse ja ettevõtete kulude vähendamises. Intsidentidest teatamise ühtse kontaktpunkti loomisega kaasnev konkreetne lisaväärtus tuleneb sellest, et pakutakse liidu tasandi lahendust, mis vastab riiklikele nõuetele. Ühtse kontaktpunkti pakkumisega optimeeritakse ettevõtete kulusid, sõltumata aruandluskohustuslase asukohast liidus ja sellest, millised asutused on volitatud teateid vastu võtma. 1.5.3. Samalaadsetest kogemustest saadud õppetunnid Asjaomaste õigusnormide muudatused põhinevad õigusnormide rakendamisel saadud praktilistel kogemustel, mida on üksikasjalikult kirjeldatud lisatud komisjoni talituste töödokumendis. Need põhinevad ulatuslikel konsultatsioonidel sidusrühmadega, milles keskenduti peamiselt õigusnormide igapäevasele kohaldamisele. 39 Vastavalt finantsmääruse artikli 58 lõike 2 punktile a või b. ET 4 ET  1.5.4. Kooskõla mitmeaastase finantsraamistikuga ja võimalik koostoime muude asjakohaste vahenditega Muudatused on kooskõlas mitmeaastase finantsraamistikuga, kuna täiendavaid kulusid ei ole ette nähtud. 1.5.5. Erinevate kasutada olevate rahastamisvõimaluste, sealhulgas vahendite ümberpaigutamise võimaluste hinnang Ei kohaldata ET 5 ET  1.6. Ettepaneku/algatuse ja selle finantsmõju kestus 5.  Piiratud kestusega  hõlmab ajavahemikku [PP/KK]AAAA–[PP/KK]AAAA  finantsmõju kulukohustuste assigneeringutele avaldub ajavahemikul AAAA– AAAA ja maksete assigneeringutele ajavahemikul AAAA–AAAA. 6.  Piiramatu kestusega Rakendamise käivitumisperiood hõlmab ajavahemikku AAAA–AAAA, millele järgneb täieulatuslik rakendamine. 1.7. Kavandatud eelarve täitmise viis(id)40 7.  Eelarve otsene täitmine komisjoni poolt  tema talituste kaudu, sealhulgas kasutades liidu delegatsioonides töötavat komisjoni personali;  rakendusametite kaudu 8.  Eelarve jagatud täitmine koostöös liikmesriikidega 9.  Eelarve kaudne täitmine, mille puhul eelarve täitmise ülesanded on delegeeritud:  kolmandatele riikidele või nende määratud asutustele;  rahvusvahelistele organisatsioonidele ja nende allasutustele (nimetage);  Euroopa Investeerimispangale ja Euroopa Investeerimisfondile;  finantsmääruse artiklites 70 ja 71 osutatud asutustele;  avalik-õiguslikele asutustele;  avalikke teenuseid osutavatele eraõiguslikele asutustele, sel määral, mil neile antakse piisavad finantstagatised;  liikmesriigi eraõigusega reguleeritud asutustele, kellele on delegeeritud avaliku ja erasektori partnerluse rakendamine ja kellele antakse piisavad finantstagatised;  asutustele või isikutele, kellele on delegeeritud Euroopa Liidu lepingu V jaotise kohaste ühise välis- ja julgeolekupoliitika erimeetmete rakendamine ja kes on kindlaks määratud asjaomases alusaktis; liikmesriigis asutatud asutustele, kelle suhtes kohaldatakse liikmesriigi eraõigust või liidu õigust ja kellele võib kooskõlas valdkondlike normidega usaldada liidu rahaliste vahendite või eelarveliste tagatiste haldamise niivõrd, kuivõrd selliseid asutusi kontrollivad avalik-õiguslikud asutused või avalikke teenuseid osutavad eraõiguslikud asutused ja kontrollivad organid annavad neile solidaarvastutuse 40 Eelarve täitmise viise koos viidetega finantsmäärusele on selgitatud BUDGpedia veebisaidil https://myintracomm.ec.europa.eu/corp/budget/financial-rules/budget-implementation/Pages/implementation- methods.aspx. ET 6 ET  vormis piisavad finantstagatised või samaväärsed finantstagatised, mis võivad iga meetme puhul piirduda liidu toetuse maksimumsummaga. I ET 7 ET  2. HALDUSMEETMED 2.1. Järelevalve ja aruandluse reeglid 10. Muudatusi jälgitakse muudetavate õigusaktide osana. 2.2. Haldus- ja kontrollisüsteem(id) 2.2.1. Eelarve täitmise viisi(de), rahastuse rakendamise mehhanismi(de), maksete tegemise korra ja kavandatava kontrollistrateegia selgitus 11. Kehtivate õigusaktide suhtes kohaldatavad haldus- ja kontrollisüsteemid tagavad mõjusa kontrolli ka muudatuste üle 2.2.2. Teave kindlakstehtud riskide ja nende vähendamiseks kasutusele võetud sisekontrollisüsteemi(de) kohta 12. Täiendavaid riske ei ole tuvastatud 2.2.3. Kontrollimeetmete hinnanguline kulutõhusus (kontrollikulude suhe hallatavate vahendite väärtusse), selle põhjendus ja oodatav veariski tase (maksete tegemise ja sulgemise ajal) 13. Kontrolli maksumus ei erine varasemast maksumusest 2.3. Pettuste ja õigusnormide rikkumise ärahoidmise meetmed 14. Muudatuste suhtes kohaldatakse samu ennetusmeetmeid ET 8 ET  3. ETTEPANEKU/ALGATUSE HINNANGULINE FINANTSMÕJU 3.1. Mitmeaastase finantsraamistiku rubriigid ja kulude eelarveread, millele mõju avaldub Olemasolevad eelarveread 15. Järjestage mitmeaastase finantsraamistiku rubriigiti ja iga rubriigi sees eelarveridade kaupa Eelarverida Kulu liik Rahaline osalus Mitmeaasta Kandidaatri se igid ja finantsraam Liigendatud Muud Muu Nr /liigendama EFTA potentsiaals istiku 42 ed kolmanda sihtotstarbeline 41 riigid d riigid tulu rubriik ta kandidaadi 43 d 20 02 06 Halduskulud Liigenda EI EI EI EI mata Uued eelarveread, mille loomist taotletakse 16. Järjestage mitmeaastase finantsraamistiku rubriigiti ja iga rubriigi sees eelarveridade kaupa Eelarverida Kulu liik Rahaline osalus Mitmeaasta Kandidaatri se igid ja finantsraam Nr Liigendatud Muud Muu EFTA potentsiaals istiku /liigendama kolmanda sihtotstarbeline riigid ed rubriik ta d riigid tulu kandidaadi d 41 Liigendatud = liigendatud assigneeringud / liigendamata = liigendamata assigneeringud. 42 EFTA: Euroopa Vabakaubanduse Assotsiatsioon. 43 Kandidaatriigid ja vajaduse korral Lääne-Balkani potentsiaalsed kandidaadid. ET 9 ET  3.2. Ettepaneku hinnanguline finantsmõju assigneeringutele 3.2.1. Hinnanguline mõju tegevusassigneeringutele – ülevaade  Ettepanek/algatus ei nõua tegevusassigneeringute kasutamist  Ettepanek/algatus nõuab tegevusassigneeringute kasutamist, mis toimub järgmiselt: 3.2.1.1. Heakskiidetud eelarvest saadavad assigneeringud miljonites eurodes (kolm kohta pärast koma) Mitmeaastase finantsraamistiku rubriik Nr Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU Tegevusassigneeringud Kulukohustused (1a) 0,000 Eelarverida Maksed (2a) 0,000 Kulukohustused (1b) 0,000 Eelarverida Maksed (2b) 0,000 44 Eriprogrammide vahenditest rahastatavad haldusassigneeringud Eelarverida (3) 0,000 DG <…….> Kulukohustused = 1a + 1b + 3 0,000 0,000 0,000 0,000 0,000 assigneeringud KOKKU Maksed = 2a + 2b + 3 0,000 0,000 0,000 0,000 0,000 44 Tehniline ja/või haldusabi ning ELi programmide ja/või meetmete rakendamist toetavad kulud (endised BA read), kaudne teadustegevus, otsene teadustegevus. ET 10 ET  ================================================================================================ Selle punkti täitmisel tuleks kasutada haldusalaste eelarveandmete tabelit, mis on esitatud finants- ja digiselgituse lisas (Euroopa Liidu üldeelarve komisjoni jao täitmise sise-eeskirju käsitleva komisjoni otsuse 5. lisa45), ja laadida see üles DECIDE’i talitustevaheliseks konsulteerimiseks. Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU  Personalikulud 0,000 0,000 0,000 0,000 0,000  Muud halduskulud 0,000 0,000 0,000 0,000 0,000 DG <…….> KOKKU Assigneeringud 0,000 0,000 0,000 0,000 0,000 Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU  Personalikulud 0,000 0,000 0,000 0,000 0,000  Muud halduskulud 0,000 0,000 0,000 0,000 0,000 DG <…….> KOKKU Assigneeringud 0,000 0,000 0,000 0,000 0,000 (Kulukohustuste kogusumma = Mitmeaastase finantsraamistiku RUBRIIGI 7 assigneeringud KOKKU maksete 0,000 0,000 0,000 0,000 0,000 kogusumma) miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Mitmeaastane 45 Kui teatate rubriigi 7 assigneeringute kasutamisest, on 5. lisa täitmine kohustuslik. ET 11 ET  finantsraamistik 2024 2025 2026 2027 2021–2027 KOKKU RUBRIIKIDE 1–7 assigneeringud KOKKU Kulukohustused 0,000 0,000 0,000 0,000 0,000 Mitmeaastase finantsraamistiku Maksed 0,000 0,000 0,000 0,000 0,000 3.2.1.2. Sihtotstarbelisest välistulust saadavad assigneeringud miljonites eurodes (kolm kohta pärast koma) Mitmeaastase finantsraamistiku rubriik Nr Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU Tegevusassigneeringud Kulukohustused (1a) 0,000 Eelarverida Maksed (2a) 0,000 Kulukohustused (1b) 0,000 Eelarverida Maksed (2b) 0,000 46 Eriprogrammide vahenditest rahastatavad haldusassigneeringud Eelarverida (3) 0,000 DG <…….> Kulukohustused = 1a + 1b + 3 0,000 0,000 0,000 0,000 0,000 46 Tehniline ja/või haldusabi ning ELi programmide ja/või meetmete rakendamist toetavad kulud (endised BA read), kaudne teadustegevus, otsene teadustegevus. ET 12 ET  assigneeringud KOKKU Maksed = 2a + 2b + 3 0,000 0,000 0,000 0,000 0,000 47 Mitmeaastase finantsraamistiku rubriik 7 „Halduskulud“ miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU  Personalikulud 0,000 0,000 0,000 0,000 0,000  Muud halduskulud 0,000 0,000 0,000 0,000 0,000 DG <…….> KOKKU Assigneeringud 0,000 0,000 0,000 0,000 0,000 Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: <…….> 2021–2027 2024 2025 2026 2027 KOKKU  Personalikulud 0,000 0,000 0,000 0,000 0,000  Muud halduskulud 0,000 0,000 0,000 0,000 0,000 DG <…….> KOKKU Assigneeringud 0,000 0,000 0,000 0,000 0,000 (Kulukohustuste kogusumma = Mitmeaastase finantsraamistiku RUBRIIGI 7 assigneeringud KOKKU maksete 0,000 0,000 0,000 0,000 0,000 kogusumma) miljonites eurodes (kolm kohta pärast koma) 47 Vajalike assigneeringute kindlaksmääramiseks tuleks kasutada aastaseid keskmisi kulunäitajaid, mis on kättesaadavad BUDGpedia veebilehel. ET 13 ET  Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik 2024 2025 2026 2027 2021–2027 KOKKU RUBRIIKIDE 1–7 assigneeringud KOKKU Kulukohustused 0,000 0,000 0,000 0,000 0,000 Mitmeaastase finantsraamistiku Maksed 0,000 0,000 0,000 0,000 0,000 3.2.2. Hinnanguline tegevusassigneeringutest rahastatav väljund (ei täideta detsentraliseeritud asutuste puhul) kulukohustuste assigneeringud miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Lisage vajalik arv aastaid, et näidata KOKKU 2024 2025 2026 2027 finantsmõju kestust (vt punkt 1.6) Märkige eesmärgid ja VÄLJUNDID väljundid Väljun Väljun di Kesk dite Kulud Arv Arv Arv Arv Arv Arv Arv  48 mine Kulu Kulu Kulu Kulu Kulu Kulu Kulu arv kokku liik kulu kokku 49 ERIEESMÄRK nr 1 … - Väljund - Väljund - Väljund 48 Väljunditena käsitatakse tarnitud tooteid ja osutatud teenuseid (rahastatud üliõpilasvahetuste arv, ehitatud teede pikkus kilomeetrites jms). 49 Vastavalt punktile 1.3.2. „Erieesmärgid“. ET 14 ET  Erieesmärk nr 1 kokku ERIEESMÄRK nr 2 ... - Väljund Erieesmärk nr 2 kokku KOKKU ET 15 ET  3.2.3. Hinnanguline mõju haldusassigneeringutele – ülevaade  Ettepanek/algatus ei nõua haldusassigneeringute kasutamist  Ettepanek/algatus nõuab haldusassigneeringute kasutamist, mis toimub järgmiselt: 3.2.3.1. Heakskiidetud eelarvest saadavad assigneeringud Aasta Aasta Aasta Aasta 2021–2027 HEAKSKIIDETUD EELARVE 2024 2025 2026 2027 KOKKU RUBRIIK 7 Personalikulud 0,000 0,000 0,000 0,000 0,000 Muud halduskulud 0,000 0,000 0,000 0,000 0,000 RUBRIIK 7 kokku 0,000 0,000 0,000 0,000 0,000 RUBRIIGIST 7 välja jäävad kulud Personalikulud 0,000 0,000 0,000 0,000 0,000 Muud halduskulud 0,000 0,000 0,000 0,000 0,000 RUBRIIGIST 7 välja jäävad kulud kokku 0,000 0,000 0,000 0,000 0,000 KOKKU 0,000 0,000 0,000 0,000 0,000 Personali ja muude halduskuludega seotud assigneeringute vajadused kaetakse assigneeringutest, mille asjaomane peadirektoraat on kõnealuse meetme haldamiseks juba andnud, ja/või peadirektoraadi sees ümberpaigutatud assigneeringutest, mida vajaduse korral võidakse täiendada nendest lisaassigneeringutest, mis haldavale peadirektoraadile eraldatakse iga-aastase vahendite eraldamise menetluse käigus, arvestades eelarvepiirangutega. 3.2.4. Hinnanguline personalivajadus  Ettepanek/algatus ei nõua personali kasutamist  Ettepanek/algatus nõuab personali kasutamist, mis toimub järgmiselt: 3.2.4.1. Rahastatakse heakskiidetud eelarvest Hinnanguline väärtus täistööaja ekvivalendina50 17. Aasta Aasta Aasta Aasta HEAKSKIIDETUD EELARVE 2024 2025 2026 2027 Ametikohtade loeteluga ette nähtud ametikohad (ametnikud ja ajutised teenistujad) 20 01 02 01 (komisjoni peakorteris ja esindustes) 0 0 0 0 20 01 02 03 (ELi delegatsioonides) 0 0 0 0 01 01 01 01 (kaudne teadustegevus) 0 0 0 0 01 01 01 11 (otsene teadustegevus) 0 0 0 0 50 Palun täpsustage allpool esitatud tabelis, kui palju täistööaja ekvivalente on juba määratud meetme haldamiseks ja/või kui palju saab neid teie peadirektoraadis ümber paigutada ja millised on teie netovajadused. ET 1 ET  Muud eelarveread (märkige) 0 0 0 0 • Koosseisuväline personal (täistööaja ekvivalendina) 20 02 01 (üldvahenditest rahastatavad lepingulised töötajad ja riikide 0 0 0 0 lähetatud eksperdid) 20 02 03 (lepingulised töötajad, kohalikud töötajad, riikide lähetatud 0 0 0 0 eksperdid ja noored eksperdid ELi delegatsioonides) Haldustoetuse - peakorteris 0 0 0 0 eelarverida [XX.01.YY.YY] - ELi delegatsioonides 0 0 0 0 01 01 01 02 (lepingulised töötajad ja riikide lähetatud eksperdid kaudse 0 0 0 0 teadustegevuse valdkonnas) 01 01 01 12 (lepingulised töötajad ja riikide lähetatud eksperdid otsese 0 0 0 0 teadustegevuse valdkonnas) Muud eelarveread (märkige) - Rubriik 7 0 0 0 0 Muud eelarveread (märkige) - Rubriigist 7 välja jäävad kulud 0 0 0 0 KOKKU 0 0 0 0 3.2.5. Hinnanguline mõju digitehnoloogiaga seotud investeeringutele – ülevaade 18. Kohustuslik: järgmises tabelis tuleks esitada parim hinnang ettepanekust/algatusest tulenevate digitehnoloogiaga seotud investeeringute kohta. 19. Erandkorras, kui see on vajalik ettepaneku/algatuse rakendamiseks, tuleks rubriigi 7 assigneeringud esitada selleks ettenähtud eelarvereal. 20. Rubriikide 1–6 assigneeringuid tuleks kajastada „tegevusvaldkonna IT-kuludena, mis on eraldatud rakenduskavadele“. Nende kulud kuuluvad tegevuseelarvesse, mida kasutatakse otseselt algatuse rakendamisega seotud IT-platvormide/vahendite taaskasutamiseks/ostmiseks/arendamiseks ja nendega seotud investeeringuteks (nt litsentsid, uuringud, andmete säilitamine jne). Selles tabelis esitatud teave peaks olema kooskõlas 4. jaos „Digimõõde“ esitatud üksikasjadega. Mitmeaas Aasta Aasta Aasta Aasta tane finantsra Digi- ja IT-assigneeringud KOKKU amistik 2024 2025 2026 2027 2021– 2027 KOKKU RUBRIIK 7 Institutsiooni tasandi IT-kulud 0,000 0,000 0,000 0,000 0,000 RUBRIIK 7 kokku 0,000 0,000 0,000 0,000 0,000 RUBRIIGIST 7 välja jäävad kulud Poliitikavaldkondade IT-kulud 0,000 0,000 0,000 0,000 0,000 rakenduskavadele RUBRIIGIST 7 välja jäävad kulud kokku 0,000 0,000 0,000 0,000 0,000 KOKKU 0,000 0,000 0,000 0,000 0,000 3.2.6. Kooskõla kehtiva mitmeaastase finantsraamistikuga 21. Ettepanek/algatus:  on täielikult rahastatav mitmeaastase finantsraamistiku asjaomase rubriigi sisese vahendite ümberpaigutamise kaudu ET 2 ET   tingib mitmeaastase finantsraamistiku asjaomase rubriigi mittesihtotstarbelise varu ja/või mitmeaastase finantsraamistiku määruses sätestatud erivahendite kasutuselevõtu  nõuab mitmeaastase finantsraamistiku muutmist 3.2.7. Kolmandate isikute rahaline osalus 22. Ettepanek/algatus:  ei näe ette kolmandate isikute poolset kaasrahastamist  näeb ette kolmandate isikute poolse kaasrahastuse, mille hinnanguline summa on järgmine: assigneeringud miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Kokku 2024 2025 2026 2027 Nimetage kaasrahastav asutus Kaasrahastatavad assigneeringud KOKKU 3.3. Hinnanguline mõju tuludele  Ettepanekul/algatusel puudub finantsmõju tuludele –  Ettepanekul/algatusel on järgmine finantsmõju: –  omavahenditele –  muudele tuludele –  märkige, kas see on kulude eelarveridasid mõjutav sihtotstarbeline tulu miljonites eurodes (kolm kohta pärast koma) Jooksval 51 Ettepaneku/algatuse mõju eelarveaastal Tulude eelarverida kättesaadavad assigneeringud Aasta 2024 Aasta 2025 Aasta 2026 Aasta 2027 Artikkel …. 23. Sihtotstarbeliste tulude puhul märkige, milliseid kulude eelarveridasid ettepanek mõjutab. 24. […] 25. Muud märkused (nt tuludele avaldatava mõju arvutamise meetod/valem või muu teave). 51 Traditsiooniliste omavahendite (tollimaksud, suhkrumaksud) korral tuleb märkida netosummad, st brutosumma pärast 20 % sissenõudmiskulude mahaarvamist. ET 3 ET  26. […] 27. 4. DIGIMÕÕDE 4.1. Diginõuded Digitaalse asjakohasuse ja sellega seotud kategooriate (andmed, protsesside digiteerimine ja automatiseerimine, digilahendused ja/või digitaalsed avalikud teenused) nõuete üldine kirjeldus Nõudest mõjutatud või sellega Viide nõudele Nõude kirjeldus Üldised protsessid Kategooriad seotud osalejad Artikkel 1 Muudetakse andmemääruse artikli 1 Euroopa Komisjon Andmemääruse Digitaalne avalik lõiget 1, laiendades määruse kohaldamisala laiendamine teenus Andmevahendusteenused kohaldamisala järgmisele: Andmete kogumise ja • andmevahendusteenuse töötlemisega tegelevad üksused osutajate registreerimise raamistik; • altruistlikel eesmärkidel kättesaadavaks tehtud andmete kogumise ja töötlemisega tegelevate üksuste vabatahtliku registreerimise raamistik; • raamistik Euroopa Andmeinnovatsiooninõukogu asutamiseks. Artikkel 1 Muudetakse andmemääruse artikli 4 Andmevaldajad (ärisaladuse Teatamine Andmed lõiget 8 ja artikli 5 lõiget 11. omajad) Andmevaldajad, kes keelduvad Juurdepääsutaotluse esitajad andmete jagamisest ärisaladuse erandi alusel, peavad sellisest ET 1 ET  otsusest nõuetekohaselt teatama. Artikkel 1 Andmemäärusesse lisatakse Avaliku sektori asutus Andmete kättesaadavaks Andmed artikkel 15a. Kohustus teha andmed tegemine Euroopa Komisjon kättesaadavaks üldise hädaolukorra tõttu. Euroopa Keskpank Liidu organ Andmevaldajad Artikkel 1 Muudetakse andmemääruse Avaliku sektori asutus Andmete jagamine Andmed artikli 21 lõiget 5. Üldise Euroopa Komisjon Kaebused hädaolukorra kontekstis saadud andmete teadusasutuste või Euroopa Keskpank statistikaasutustega jagamise nõuded. Liidu organ Andmemäärusesse lisatakse Andmevaldaja artikkel 22a, mis võimaldab esitada kaebusi seoses V peatükiga Riigi pädev asutus („Avaliku sektori asutustele, komisjonile, Euroopa Keskpangale ja liidu organitele erakorralise vajaduse tõttu andmete kättesaadavaks tegemine“). ET 2 ET  Artikkel 1 Muudetakse andmemääruse Andmetöötlusteenuste osutajad Valitsusasutuste juurdepääs Andmed artikli 32 lõikeid 1–5, mis käsitlevad andmetele ja andmete Andmevahendusteenuse osutajad Digitaalne avalik kolmandate riikide juurdepääsu edastamine rahvusvahelisel teenus isikustamata andmetele. Andmealtruismiorganisatsioonid tasandil Riigi organid ja asutused Artikkel 1 Muudetakse andmemääruse Andmetöötlusteenuste osutajad Ühtsete spetsifikatsioonide Digitaalne avalik artikli 35 lõiget 5, võimaldades vastuvõtmine teenus Euroopa Komisjon komisjonil vastu võtta ühtsed spetsifikatsioonid seoses andmetöötlusteenuste koostalitlusvõimega. Artikkel 1 Muudetakse andmemääruse Andmevahendusteenuse osutajad Andmevahendusteenuste Andmed artikleid 32a–32e, et lisada Euroopa märgise loomine Andmesubjektid, andmevaldajad, Digilahendus VIIa peatükk andmekasutajad Andmete vaba liikumise andmevahendusteenuste Euroopa Protsesside tagamine Euroopa Liidus märgise õigusraamistiku kohta, mis Liikmesriigid digitaliseerimine hõlmab muu hulgas teavitamist, Digitaalne avalik avaliku registri loomist, teenuse Pädevad asutused teenus osutamise tingimusi, pädevate Euroopa Komisjon asutuste määramist ja nõuete täitmise järelevalvet. Muudetakse andmemääruse artiklit 32h, et lisada VIIb peatükk andmete vaba liikumise kohta liidus, mis hõlmab muu hulgas andmete ET 3 ET  asukoha nõuete keeldu, komisjonile teatamise kohustust ja konsolideeritud loetelu avaldamist. Artikkel 1 Muudetakse andmemääruse Liikmesriigid Andmete vaba liikumise Andmed artiklit 32h, et lisada VIIb peatükk tagamine Euroopa Liidus Euroopa Komisjon Protsesside andmete vaba liikumise kohta liidus, digitaliseerimine mis hõlmab muu hulgas andmete asukoha nõuete keeldu, komisjonile Digitaalne avalik teatamise kohustust ja teenus konsolideeritud loetelu avaldamist. Artikkel 1 Andmemäärusesse lisatakse Liikmesriigid Reguleerimiseseme ja Digitaalne avalik artikkel 32i, milles määratletakse kohaldamisala määratlemine teenus Andmevaldajad VIIc peatüki kohaldamisala. Sellega Diskrimineerimiskeeld kehtestatakse miinimumnormid, mis Andmekasutajad reguleerivad andmete taaskasutamist, ja andmete taaskasutamist soodustav praktiline kord. Andmemäärusesse lisatakse artikkel 32j; andmete ja dokumentide taaskasutamise suhtes kehtiv ET 4 ET  diskrimineerimiskeeld. Artikkel 1 Andmemäärusesse lisatakse Potentsiaalsed turuosalised Digitaalne avalik artikkel 32k. Andmete teenus Avaliku sektori asutused taaskasutamise ainuõiguslikke Andmed kokkuleppeid käsitlevad normid. Selliste kokkulepete osapooled Hõlmab kohustust avalikustada kokkulepete lõplikud tingimused. Artikkel 1 Andmemääruse muudatused: Andmevaldajad Andmete taaskasutamist Digitaalne avalik käsitlevad õigusnormid teenus • (41): lisatakse avaliku sektori Andmekasutajad avaandmete taaskasutamise Andmed Liikmesriigid (avaliku sektori üldpõhimõtet käsitlev Protsesside artikkel 32n; asutused) digitaliseerimine • (42): lisatakse andmete Euroopa Komisjon taaskasutamise taotluste menetlemist käsitlev artikkel 32o; • (43): lisatakse andmete taaskasutamise vorminguid käsitlev artikkel 32p; • (46): lisatakse artikkel 32s, mis käsitleb praktilisi vahendeid, et hõlbustada taaskasutamiseks kättesaadavate andmete või dokumentide otsimist. ET 5 ET  Artikkel 1 Andmemäärusesse lisatakse artikkel Liikmesriigid Andmete taaskasutamist Digitaalne avalik 32t; nõue toetada teadusandmete käsitlevad õigusnormid teenus Teadusasutused kättesaadavust. Andmed Andmekasutajad Artikkel 1 Andmemäärusesse lisatakse Euroopa Komisjon Andmete taaskasutamist Digitaalne avalik artikkel 32u. Sätestatakse käsitlevad õigusnormid teenus Avaliku sektori asutused, riigi konkreetsete väärtuslike andmestike osalusega äriühingud Andmed avaldamise ja taaskasutamise kord. Artikkel 1 Andmemäärusesse lisatakse Avaliku sektori asutused Andmete taaskasutamist Digitaalne avalik artikkel 32w. Sätestatakse käsitlevad õigusnormid teenus Andmekasutajad teatavatesse kategooriatesse Andmed kuuluvate andmete taaskasutamise tingimused. Sellise taaskasutamise taotluste esitamise ja taaskasutamise lubamise tingimused tehakse avalikult kättesaadavaks ühtse teabepunkti kaudu. Artikkel 1 Andmemäärusesse lisatakse artikkel Andmete taaskasutajad Andmete edastamine Digitaalne avalik 32x; nõuded seoses isikustamata kolmandatesse riikidesse teenus Avaliku sektori asutused andmete edastamisega kolmandatele Andmed riikidele taaskasutajate poolt. Füüsilised/juriidilised isikud, kelle õigusi see võib mõjutada Artikkel 1 Andmemääruse muudatused: Pädevad asutused Pädevate asutuste loomine Digitaalne avalik teenus • (55): lisatakse artikkel 32z Liikmesriigid Taotlemise kord pädevate asutustega seotud Andmed Avaliku sektori asutused Kaebused korralduslike meetmete kohta; ET 6 ET  • (57): lisatakse artikkel 32ab andmete taaskasutamise taotluste menetlemise kohta; • (58): asendatakse artikli 38 lõiked 1 ja 2 kaebuse esitamise õiguse kohta. Artikkel 1 Andmemäärusesse lisatakse Liikmesriigid Ühtse kontaktpunkti loomine Digilahendused artikkel 32aa. Ühtse teabepunkti Andmevaldajad Digitaalne avalik kasutamise kohustuslikuks teenus muutmine, et hõlbustada andmete Andmekasutajad taaskasutamist. Protsesside Euroopa Komisjon digitaliseerimine Andmed ET 7 ET  Artikkel 1 Muudetakse andmemääruse Euroopa Komisjon, Euroopa Euroopa Digitaalne avalik artikleid 41a, 42, 45, 46, 48a, 49 Andmeinnovatsiooninõukogu Andmeinnovatsiooninõukogu teenus ja 49a, et lisada IXa peatükk, millega (EDIB) (EDIB) loomine Andmed luuakse Euroopa Andmemajanduspoliitika puhul Andmeinnovatsiooninõukogu pädevad liikmesriikide esindajad (EDIB) kui eksperdirühm, mis koordineerib täitmise tagamist ja II, III ja V peatüki täitmise toetab Euroopa andmemajanduse tagamise eest vastutavad pädevad arengut, ning sätestatakse muu asutused hulgas selle koosseisu suhtes Avaliku sektori teabe kohaldavad nõuded, roll, pädevate taaskasutamise valdkonna asutuste vahelise koostöö pädevad asutused (avaandmete hõlbustamine ja õigusnõuete direktiiv) järjepideva kohaldamise toetamine. Andmevahendusteenuste suhtes pädevad asutused Andmealtruismiorganisatsioonide registreerimiseks pädevad asutused Euroopa Andmekaitsenõukogu, Euroopa Andmekaitseinspektor ENISA (Euroopa Liidu Küberturvalisuse Amet) ELi VKEde saadik või VKEde saadikute võrgustiku esindaja Teised konkreetsete sektorite asjaomaste asutuste esindajad Konkreetsete eriteadmistega ET 8 ET  asutused Standardiorganisatsioonid Euroopa Parlament, Euroopa Liidu Nõukogu, Euroopa Majandus- ja Sotsiaalkomitee Andmevahendusteenuse osutajad Tunnustatud andmealtruismiorganisatsioonid Artikkel 3 Muudetakse määruse (EL) 2016/679 Andmesubjektid Teatamine Andmed (isikuandmete kaitse üldmäärus) Vastutavad töötlejad artiklit 33 selles osas, mis puudutab isikuandmetega seotud rikkumistest Järelevalveasutused teavitamist. Muuhulgas kohustatakse Euroopa Andmekaitsenõukogu kasutama direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtset Euroopa Komisjon kontaktpunkti ja nähakse ette teate vormide kasutamine. ET 9 ET  Artikkel 3 Muudetakse määruse (EL) 2016/679 Euroopa Andmekaitsenõukogu Komisjonile esitatavad Andmed (isikuandmete kaitse üldmäärus) Euroopa Euroopa Komisjon artiklit 35 ja artikli 70 lõiget 1. Andmekaitsenõukogu Euroopa Andmekaitsenõukogu ettepanekud kohustus esitada komisjonile ettepanekuid andmekaitsealase mõjuhinnangu teatavate aspektide edasiseks praktiliseks rakendamiseks. Need muudatused hõlmavad sellise hindamise ühtset vormi. Artikkel 3 Määrusesse (EL) 2016/679 Andmesubjektid Andmesubjekti valikute Digilahendused (isikuandmete kaitse üldmäärus) automatiseeritud ja Vastutavad töötlejad Protsesside lisatakse artikkel 88b; masinloetavaid märked automatiseerimine andmesubjektid saavad võimaluse Euroopa anda nõusolek / kasutada vastuväite standardiorganisatsioonid esitamise õigust automatiseeritud ja Euroopa Komisjon masinloetavate vahendite abil. Nähakse ette, et üks või mitu Euroopa standardiorganisatsiooni koostavad standardid. ET 10 ET  Artikkel 6 Muudetakse direktiivi Teadete esitajad (elutähtsad ja Teatamine Andmed (EL) 2022/2555 (küberturvalisuse olulised üksused) Digilahendused 2. direktiiv): Küberintsidentidele reageerimise Digitaalne avalik • (1): lisatakse artikkel 23a,üksused / pädevad asutused teenus mis käsitleb intsidentidest (vastavalt vajadusele) teatamise ühtse kontaktpunkti Euroopa Komisjon loomist ja haldamist; • (3): muudetakse artikli 23 ENISA lõiget 4, et muuta tõsistest intsidentidest teatamise puhul kohustuslikuks ühtse kontaktpunkti kasutamine; • (4): lisatakse artikli 23 lõige 12, millega tagatakse, et tõsistest intsidentidest teatatakse ainult üks kord (kas küberturvalisuse 2. direktiivi või küberkerksuse määruse alusel); • (5): muudetakse artikli 30 lõiget 1, millega tagatakse, et eri üksused saavad vabatahtlikult kasutada ühtset kontaktpunkti teadete esitamiseks. Artikkel 7 Muudetakse määrust (EL) Teadete esitajad Teatamine Andmed nr 910/2014 (ELi (kvalifitseerimata usaldusteenuse digiidentiteedikukru määrus) ja osutajad, kvalifitseeritud kehtestatakse nõue kasutada usaldusteenuse osutajad, ET 11 ET  direktiivi (EL) 2022/2555 artikli 23a veebibrauserite pakkujad) kohaselt loodud ühtset kontaktpunkti Järelevalveasutused järgmiseks: Muud asjaomased pädevad • artikli 19a lõige 1a: lõike 1 organid/asutused punktis b osutatud teadete esitamine; Euroopa Komisjon • artikli 24 lõige 2a: lõike 2 punktis fb osutatud teadete esitamine; artikli 45a lõige 3a: lõikes 3 osutatud teadete esitamine. Artikkel 8 Muudetakse määrust (EL) 2022/2554 Teadete esitajad (finantssektori Teatamine Andmed (digitaalse tegevuskerksuse määrus) ettevõtjad) ja kehtestatakse nõue kasutada Järelevalveasutused direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtset kontaktpunkti Muud asjaomased pädevad järgmiseks: organid/asutused • artikli 19 lõige 1: tõsistest Euroopa Komisjon IKT intsidentidest teatamine; ENISA • artikli 19 lõige 2: vabatahtlik teatamine olulistest küberohtudest. ET 12 ET  Artikkel 9 Muudetakse direktiivi Teadete esitajad (elutähtsa Teatamine Andmed (EL) 2022/2557 (elutähtsa teenuse teenuse osutajad) osutajate toimepidevuse direktiiv) ja Järelevalveasutused kehtestatakse nõue kasutada direktiivi (EL) 2022/2555 artikli 23a Muud asjaomased pädevad kohaselt loodud ühtset kontaktpunkti organid/asutused järgmiseks: Euroopa Komisjon • artikli 15 lõige 1: sellistest ENISA intsidentidest teatamine, mis oluliselt häirivad või võivad oluliselt häirida elutähtsate teenuste osutamist. ET 13 ET  4.2. Andmed Kohaldamisalasse kuuluvate andmete üldine kirjeldus Andmete liik Viide (viited) nõudele (nõuetele) Standard ja/või tehniline kirjeldus (kui see on asjakohane) Andmetele juurdepääsu taotluse rahuldamata Artikkel 1 Seda tuleb nõuetekohaselt põhjendada objektiivsete jätmine ärisaladuse erandi alusel (ja sellest asjaolude alusel. teatamine pädevale asutusele) Andmed, mis tuleb kättesaadavaks teha üldise Artikkel 1 Lisatakse andmete tõlgendamiseks ja kasutamiseks hädaolukorra kontekstis vajalikud metaandmed. Isikuandmed tuleb võimaluse korral pseudonüümida. Teade kavatsusest teha andmed kättesaadavaks Artikkel 1 Märgitakse andmed vastu võtva organisatsiooni või üldise hädaolukorra kontekstis üksikisiku nimi ja kontaktandmed, andmete edastamise või kättesaadavaks tegemise eesmärk, andmete kasutamise ajavahemik ning võetud tehnilised kaitse- ja korralduslikud meetmed. V peatüki („Avaliku sektori asutustele, komisjonile, Artikkel 1 // Euroopa Keskpangale ja liidu organitele erakorralise vajaduse tõttu andmete kättesaadavaks tegemine“) kohased kaebused Artikkel 1 // Euroopa Liidus hoitavad isikustamata andmed Andmete taaskasutamise taotluse korral esitamisele Artikkel 1 Esitada tuleb minimaalne lubatud andmekogus. kuuluvad andmed ET 14 ET  Teade andmete taaskasutamise taotluse rahuldamise Artikkel 1 // kohta Andmesubjektilt/andmevaldajalt saadud andmete Andmed, mille vahendamise teenuseid osutatakse Artikkel 1 vorming, teisendamine ainult koostalitlusvõime (andmevahendusteenuste ja parandamiseks või rahvusvaheliste/Euroopa andmealtruismiorganisatsioonide Euroopa märgis) andmestandardite järgimiseks Teave andmete kasutamise ja tingimuste kohta Artikkel 1 Tuleb esitada kokkuvõtlikul, läbipaistval, (andmevahendusteenuste ja arusaadaval ja kergesti kättesaadaval kujul andmealtruismiorganisatsioonide Euroopa märgis) Taotlused registreerimiseks liidu avalikus registris Artikkel 1 Pädevad asutused kehtestavad vajalikud ja esitatud teabe muutmine taotlusvormid. (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Heakskiidetud registreerimistaotlused, mis lisatakse Artikkel 1 // avalikku liidu registrisse (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Teade taotlemisprotsessi käigus esitatud andmete Artikkel 1 // hilisemate muudatuste kohta (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Hilisemate muudatuste kohta esitatud teate Artikkel 1 // kättesaamine (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Andmesubjektidele/andmevaldajatele enne Artikkel 1 // töötlemist esitatav teave (andmevahendusteenuste ET 15 ET  ja andmealtruismiorganisatsioonide Euroopa märgis) Nõusolek (või nõusoleku tagasivõtmine) andmete Artikkel 1 Hangitakse elektrooniliste vahendite abil töötlemiseks tunnustatud andmealtruismiorganisatsiooni poolt (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Teave kolmanda riigi jurisdiktsiooni kohta, kus Artikkel 1 // andmeid kavatsetakse kasutada Teade isikustamata andmete loata edastamise, neile Artikkel 1 // loata juurdepääsu või nende loata kasutamise kohta (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Teave nõuetele vastavuse järelevalve kohta Artikkel 1 Taotlused peavad olema proportsionaalsed ja (andmevahendusteenuste ja põhjendatud andmealtruismiorganisatsioonide Euroopa märgis) Teade nõudetele mittevastavuste kohta Artikkel 1 // (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Otsus tühistada märgise kasutamise õigus Artikkel 1 // (andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis) Andmete asukoha nõudeid käsitlevad õigusaktide Artikkel 1 // eelnõud ET 16 ET  Ainuõiguslike kokkulepete lõplikud tingimused Artikkel 1 // Taaskasutamistaotlusega seotud andmed (ja/või Artikkel 1 Juba olemas olevas vormingus või keeles, ning kui teated) see on võimalik ja asjakohane, elektrooniliste vahendite abil vormingus, mis on avatud, masinloetav, juurdepääsetav, leitav ja taaskasutatav, koos nende metaandmetega. Riiklikult rahastatud teadusuuringute andmed Artikkel 1 Vabalt kättesaadavad, järgides vaikimisi avatuse põhimõtet ja FAIR-põhimõtteid. Konkreetsed väärtuslikud andmestikud Artikkel 1 Tasuta kättesaadavad; masinloetavad; rakendusliideste kaudu esitatavad ja hulgiallalaaditavad (asjakohasel juhul). Rakendusaktid võetakse vastu hiljem; nendes võidakse sätestada andmete ja metaandmete vormingud. Artikli 2 punktis 54 osutatud andmete või Artikkel 1 Avalikult kättesaadav. dokumentide taaskasutamise lubamise tingimused Teade isikustamata andmete loata taaskasutamise Artikkel 1 // kohta Teade kavatsuse kohta edastada isikustamata Artikkel 1 // andmeid kolmandasse riiki ja sellise edastamise eesmärgi kohta (avaliku sektori asutusele) Teade kavatsuse kohta edastada isikustamata Artikkel 1 // andmed kolmandasse riiki, sellise edastamise eesmärgi ja asjakohaste kaitsemeetmete kohta ET 17 ET  (füüsilisele või juriidilisele isikule, kelle õigusi ja huve see võib mõjutada) Kogu asjakohane teave andmemääruse artiklite 32z Artikkel 1 Kättesaadav ja hõlpsasti juurdepääsetav ühtse (taaskasutamise tingimused), 32aa (kolmandad teabepunkti kaudu. riigid) ja 32ab (tasud) kohaldamise kohta Füüsilise/juriidilise isiku esitatav kaebus, kui tema Artikkel 1 // andmemäärusest tulenevaid õigusi on rikutud või muudes asjakohastes küsimustes Teave menetluse käigu / õiguskaitsevahendite kohta Artikkel 1 // seoses andmemääruse kohaselt esitatud kaebusega Andmed kogemuste ja heade tavade kohta (Euroopa Artikkel 1 // Andmeinnovatsiooninõukogu) Andmemääruse II, III, IV, V, VI, VII ja Artikkel 1 Sätestatakse aruannete minimaalse sisu nõuded. VIII peatüki hindamine Artikkel 1 Andmemääruse VIIa, VIIb ja VIIc peatüki hindamine Isikuandmetega seotud rikkumisest teatamine Artikkel 3 Direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu (ja seega selle spetsifikatsioone järgides). Euroopa Andmekaitsenõukogu koostab ühtse vormi ettepaneku (vt järgmine kirje). Euroopa Andmekaitsenõukogu ettepanek Artikkel 3 // isikuandmetega seotud rikkumisest teatamise ühtse ET 18 ET  vormi kohta Euroopa Andmekaitsenõukogu ettepanekud Artikkel 3 // andmekaitsealase mõjuhinnangu kohta Küberturvalisuse 2. direktiivi kohased teated Artikkel 6 Direktiivi (EL) 2022/2555 artikli 23a kohaselt tõsistest intsidentidest loodud ühtse kontaktpunkti kaudu (ja seega selle spetsifikatsioone järgides). Isikuandmetega seotud rikkumisest teatamine Artikkel 3 Direktiivi (EL) 2022/2555 artikli 23a kohaselt loodud ühtse kontaktpunkti kaudu (ja seega selle spetsifikatsioone järgides Tõsistest IKT intsidentidest teatamine vastavalt Artikkel 8 Direktiivi (EL) 2022/2555 artikli 23a kohaselt digitaalse tegevuskerksuse määrusele; vabatahtlik loodud ühtse kontaktpunkti kaudu (ja seega selle teatamine olulistest küberohtudest vastavalt spetsifikatsioone järgides digitaalse tegevuskerksuse määrusele Sellistest intsidentidest teatamine, mis oluliselt Artikkel 9 Direktiivi (EL) 2022/2555 artikli 23a kohaselt häirivad või võivad oluliselt häirida elutähtsate loodud ühtse kontaktpunkti kaudu (ja seega selle teenuste osutamist, vastavalt elutähtsa teenuse spetsifikatsioone järgides osutajate toimepidevuse direktiivile Kooskõla Euroopa andmestrateegiaga Selgitus selle kohta, kuidas nõue (nõuded) on kooskõlas Euroopa andmestrateegiaga Nende andmemääruse muudatustega luuakse Euroopa Andmeinnovatsiooninõukogu (IXa peatükk), mis koordineerib õigusnormide kohaldamist ja töötab välja suunised sektoripõhiste ühtsete Euroopa andmeruumide jaoks; andmevahendusteenuste ja andmealtruismiorganisatsioonide Euroopa märgis (VIIa peatükk), millega luuakse usaldusväärne ökosüsteem andmete jagamiseks ja õiguste kaitseks; VIIb peatükiga rakendatakse isikustamata andmete vaba liikumist, keelates põhjendamatud andmete asukoha nõuded; VIIc peatükiga ühtlustatakse avaliku sektori andmete taaskasutamise norme, ühendades avaandmete direktiivi ja andmehalduse määruse sätted; rahvusvahelist andmete edastamist käsitlevad normid tugevdavad Euroopa digitaalset suveräänsust, kaitstes andmeid kolmandate riikide loata juurdepääsu ET 19 ET  eest; VKEde erandid ja ELi VKEde saadiku osalemine Euroopa Andmeinnovatsiooninõukogus tagavad, et andmemajandus on paremini juurdepääsetav ka väikeettevõtetele. Kooskõla ühekordsuse põhimõttega Selgitus selle kohta, kuidas on kaalutud ühekordsuse põhimõtet ja kuidas on uuritud olemasolevate andmete taaskasutamise võimalust Need muudatused toetavad ühekordsuse põhimõtet, luues tõhusa andmete taaskasutamise taristu: Euroopa Andmeinnovatsiooninõukogu töötab välja koostalitlusvõime standardid ühtsete Euroopa andmeruumide jaoks, et vähendada andmete esitamise dubleerimist; andmevahendusteenused toimivad usaldusväärsete vahendajatena, võimaldades olemasolevaid andmeid turvaliselt jagada ja vältides nende liigset kogumist; andmealtruismiorganisatsioonid hõlbustavad vabatahtlikku andmete jagamist üldsuse huvides, tehes kättesaadavad andmed teadusuuringute ja avalike teenuste jaoks taaskasutatavaks; andmete vaba liikumist käsitlevate sätetega välditakse takistusi, mis nõuavad andmete mitmekordset säilitamist eri asukohtades, ning andmete rahvusvahelise edastamise kaitsemeetmed tagavad andmete piiriülese kättesaadavuse, säilitades samal ajal nende kaitse, mis võimaldab üksikisikutel ja ettevõtetel esitada oma andmed üks kord, misjärel edasised vajadused rahuldatakse turvaliste, õigusi austavate jagamismehhanismide kaudu. Samal ajal võimaldavad ühtset kontaktpunkti käsitlevad sätted rakendada intsidentidest teatamisel ühekordsuse põhimõtet. Selgitus, kuidas on uued loodud andmed leitavad, juurdepääsetavad, koostalitlusvõimelised ja taaskasutatavad ning vastavad kvaliteetsetele standarditele Need muudatused tagavad kooskõlastatud mehhanismide kaudu, et uued andmed vastavad FAIR-põhimõtetele ja kvaliteedistandarditele: Euroopa Andmeinnovatsiooninõukogu töötab välja ühised tehnilised spetsifikatsioonid ja juurdepääsetavad koostalitlusprotokollid kõikide valdkondlike andmeruumide jaoks; andmete vaba liikumist käsitlevad sätted väldivad killustatust, mis kahjustab andmete kvaliteeti; Euroopa Andmeinnovatsiooninõukogu koordineeriv roll võib võimaldada metaandmete standardite, tehniliste nõuete ja kvaliteedimõõdikute ühtlustatud rakendamist liikmesriikides. Andmevood Andmevoogude üldine kirjeldus NB! Enamik allpool kirjeldatud andmevooge on olemasolevad vood, mis viiakse ühest määrusest üle teise määrusesse. Nimelt viiakse andmehalduse määruse sätted üle andmemäärusesse. ET 20 ET  Andmete liik Viide (viited) Osalejad, kes andmed Osalejad, kes andmed Andmevahetuse ajend Sagedus (kui nõudele esitavad saavad see on (nõuetele) asjakohane) Andmetele juurdepääsu Artikkel 1 Andmevaldaja Andmekasutaja (taotluse Andmetele juurdepääsu Sihtotstarbeline taotluse rahuldamata jätmine esitaja); artikli 37 kohaselt taotluse rahuldamata Muudetakse ärisaladuse erandi alusel (ja määratud pädev asutus jätmine ärisaladuse erandi andmemäärus sellest teatamine pädevale alusel e artikli 4 asutusele) lõiget 8 ja artikli 5 lõiget 11 Andmed, mis tuleb teha Artikkel 1 Andmevaldaja Avaliku sektori asutus; Üldine hädaolukord + Sihtotstarbeline kättesaadavaks üldise Euroopa Komisjon; andmetele juurdepääsu Andmemäärus hädaolukorra kontekstis Euroopa Keskpank; liidu taotlus, mis vastab esse lisatakse organ vajalikele tingimustele artikkel 15a Teade kavatsusest teha Artikkel 1 Avaliku sektori asutus; Andmevaldaja, kellelt Üldine hädaolukord + Sihtotstarbeline andmed kättesaadavaks üldise Muudetakse Euroopa Komisjon; andmed saadi kavatus andmed edastada hädaolukorra kontekstis Euroopa Keskpank; liidu või teha kättesaadavaks andmemäärus organ e artikli 21 lõiget 5 V peatüki („Avaliku sektori Artikkel 1 Andmevaldaja; avaliku Andmevaldaja Kui tekib vaidlus Sihtotstarbeline asutustele, komisjonile, sektori asutus; Euroopa asukohaliikmesriigi pädev andmemääruse artikli 15a Andmemäärus Euroopa Keskpangale ja liidu Komisjon; Euroopa asutus kohaselt andmete esse lisatakse organitele erakorralise Keskpank; liidu organ saamiseks esitatud artikkel 22a vajaduse tõttu andmete taotluse üle kättesaadavaks tegemine“) kohased kaebused ET 21 ET  Euroopa Liidus hoitavad Artikkel 1 Andmetöötlusteenuste Kolmandate riikide Kolmandate riikide Sihtotstarbeline isikustamata andmed osutajad, kohtud, taotlused rahvusvahelise Muudetakse andmemäärus andmevahendusteenuse lepingu alusel, kolmandate riikide e järgmisi osutajad, haldusasutused, kliendid kolmandate riikide artikleid: andmealtruismiorganisats (andmevaldajad/andmesu taotlused, mis vastavad ioonid bjektid) artikli 32 lõike 3 artikli 32 tingimustele, klientide lõige 1, artikli 32 taotlused juurdepääsuks lõige 3, oma andmetele artikli 32 lõige 4 Andmete taaskasutamise Artikkel 1 Andmevahendusteenuse Andmete taaskasutamise Andmete taaskasutamise Sihtotstarbeline taotluse korral esitamisele osutaja või tunnustatud taotluse esitaja (kolmanda taotluse rahuldamise Muudetakse kuuluvad andmed andmealtruismiorganisats riigi asutus) kuupäev andmemäärus ioon e artikli 32 lõikeid 4–5 Teade andmete Artikkel 1 Andmevahendusteenuse Klient Kolmanda riigi asutuse Sihtotstarbeline taaskasutamise taotluse osutaja või tunnustatud esitatud andmete Muudetakse rahuldamise kohta andmealtruismiorganisats taaskasutamise taotluse andmemäärus ioon rahuldamise kuupäev e artikli 32 (välja arvatud juhul, kui lõikeid 4–5 taotlus on esitatud õiguskaitse eesmärgil) Teave, mis avaldatakse Artikkel 1 Euroopa Komisjon Üldsus Teave tunnustatud Pidev (registrit avalikes registrites andmevahendusteenuse uuendatakse Andmemäärus (andmevahendusteenuste ja ET 22 ET  andmealtruismiorganisatsioon esse lisatakse osutajate või korrapäraselt) ide Euroopa märgis) artikkel 32a andmealtruismiorganisatsi oonide kohta muutub kättesaadavaks või vajab muutmist Artikkel 1 Andmesubjektid Andmekasutajad Andmesubjekti nõusolek Pooltevahelise Andmed, mille vahendamise (andmevahendusteenuse kokkuleppe/lep teenuseid osutatakse Andmemäärus Andmevaldajad Andmevaldaja luba osutajate kaudu) ingu kohaselt (andmevahendusteenuste ja esse lisatakse Andmekasutaja taotlus andmealtruismiorganisatsioon artikkel 32c ide Euroopa märgis) Teave andmete kasutamise ja Artikkel 1 Andmevahendusteenuse Andmesubjektid Enne kui andmesubjekt Iga kord enne tingimuste kohta osutaja annab andmete nõusoleku Andmemäärus (andmevahendusteenuste ja kasutamiseks nõusoleku küsimist esse lisatakse andmealtruismiorganisatsioon artikkel 32c ide Euroopa märgis) Taotlused registreerimiseks Artikkel 1 Andmevahendusteenuse Peamise tegevuskoha Taotlus Sihtotstarbeline liidu avalikus registris ja osutajad liikmesriigi pädev asutus Andmemäärus esitatud teabe muutmine esse lisatakse Andmealtruismiorganisat (andmevahendusteenuste ja artikkel 32e sioonid andmealtruismiorganisatsioon ide Euroopa märgis) Heakskiidetud Artikkel 1 Pädev asutus Euroopa Komisjon Taotluse heakskiitmine Sihtotstarbeline registreerimistaotlused, mis (12 nädala Andmemäärus lisatakse avalikku liidu jooksul pärast esse lisatakse registrisse taotluse ET 23 ET  (andmevahendusteenuste ja artikkel 32e saamist, andmealtruismiorganisatsioon tingimusel et ide Euroopa märgis) otsus on positiivne) Teade taotlemisprotsessi Artikkel 1 Registreeritud üksused Pädev asutus Esitatud teabe muutmine Sihtotstarbeline käigus esitatud andmete või kui üksus lõpetab oma Andmemäärus hilisemate muudatuste kohta tegevuse liidus esse lisatakse (andmevahendusteenuste ja artikkel 32e andmealtruismiorganisatsioon ide Euroopa märgis) Hilisemate muudatuste kohta Artikkel 1 Pädev asutus Euroopa Komisjon Registreeritud üksused Sihtotstarbeline esitatud teate kättesaamine teatavad muudatustest (vt , viivitamata Andmemäärus (andmevahendusteenuste ja eespool) esse lisatakse andmealtruismiorganisatsioon artikkel 32e ide Euroopa märgis) Andmesubjektidele/andmeval Artikkel 1 Tunnustatud Andmesubjektid Enne nende andmete Enne iga dajatele enne töötlemist andmealtruismiorganisats töötlemist töötlemistoimin Andmemäärus Andmevaldajad esitatav teave ioon gut (peab esse lisatakse (andmevahendusteenuste ja olema selge ja artikkel 32f andmealtruismiorganisatsioon kergesti ide Euroopa märgis) mõistetav) Nõusolek (või nõusoleku Artikkel 1 Andmesubjektid Andmealtruismiorganisats Töötlemistoiminguteks on Vastavalt antud tagasivõtmine) andmete ioon vajalik andmesubjekti nõusolekule/loa Andmemäärus Andmevaldajad (kui töötlemiseks tunnustatud nõusolek / andmevaldaja le, võimalusega esse lisatakse tegemist on isikustamata andmealtruismiorganisatsioon luba see igal ajal artikkel 32f andmetega) i poolt tagasi võtta (andmevahendusteenuste ja ET 24 ET  andmealtruismiorganisatsioon ide Euroopa märgis) Teave kolmanda riigi Artikkel 1 Andmealtruismiorganisat Andmevaldajad Kui Sihtotstarbeline jurisdiktsiooni kohta, kus sioon andmealtruismiorganisatsi Andmemäärus andmeid kavatsetakse oon hõlbustab andmete esse lisatakse kasutada töötlemist kolmandate artikkel 32f isikute poolt Teade isikustamata andmete Artikkel 1 Andmealtruismiorganisat Andmevaldajad Loata toiming Sihtotstarbeline loata edastamise, neile loata sioon , viivitamata Andmemäärus juurdepääsu või nende loata esse lisatakse kasutamise kohta artikkel 32f (andmevahendusteenuste ja andmealtruismiorganisatsioon ide Euroopa märgis) Teave nõuetele vastavuse Artikkel 1 Andmevahendusteenuse Pädevad asutused Pädeva asutuse taotlus Sihtotstarbeline järelevalve kohta osutajad (taotluse Andmemäärus Füüsilise või juriidilise (andmevahendusteenuste ja saamisel, mis esse lisatakse Andmealtruismiorganisat isiku taotlus andmealtruismiorganisatsioon peab olema artikkel 32g sioonid ide Euroopa märgis) proportsionaaln e ja põhjendatud) Teade nõudetele Artikkel 1 Pädev asutus Nõuetele mittevastavaks Pädev asutus leiab, et Sihtotstarbeline mittevastavuste kohta tunnistatud üksus tunnustatud (millele järgneb Andmemäärus (andmevahendusteenuste ja andmevahendusteenuse üksuse esse lisatakse andmealtruismiorganisatsioon osutaja või tunnustatud võimalus artikkel 32g ide Euroopa märgis) andmealtruismiorganisatsi esitada 30 päeva ET 25 ET  oon ei vasta nõuetele jooksul oma seisukoht) Otsus tühistada märgise Artikkel 1 Pädev asutus Üldsus Pärast märgise kehtetuks Sihtotstarbeline kasutamise õigus tunnistamise otsust (andmevahendusteenuste ja andmealtruismiorganisatsioon Andmemäärus ide Euroopa märgis) esse lisatakse artikkel 32g Andmete asukoha nõudeid Artikkel 1 Liikmesriigid Euroopa Komisjon Koostatakse õigusakti Sihtotstarbeline käsitlevad õigusaktide eelnõu, millega , viivitamata eelnõud kehtestatakse uus andmete asukoha nõue või muudetakse olemasolevat andmete asukoha nõuet Ainuõiguslike kokkulepete Artikkel 1 Kokkuleppe pooled Üldsus 16. juulil 2019 või pärast Sihtotstarbeline lõplikud tingimused seda kuupäeva sõlmitud , vähemalt kaks ainuõiguste kokkulepped kuud enne kokkuleppe jõustumist Taaskasutamistaotlusega Artikkel 1 Avaliku sektori asutused Andmete taaskasutamise Dokumentide esitamise Sihtotstarbeline seotud andmed (ja/või teated) taotluse algatajad korral tuleb esitada mõni Andmemäärus esse lisatakse järgmistest: taotletud artikkel 32p andmed/dokumendid; litsentsipakkumine; teated viivituste kohta; teade negatiivse otsuse kohta. ET 26 ET  Ainuõiguslike kokkulepete Artikkel 1 Ainuõigusliku Üldsus Ainuõigusliku Sihtotstarbeline lõplikud tingimused kokkuleppe pooled kokkuleppe lõplike Andmemäärus esse lisatakse tingimuste artikkel 32k kokkuleppimine Artikli 2 punktis 54 osutatud Artikkel 1 Avaliku sektori asutused Üldsus Kui antakse luba andmete Sihtotstarbeline andmete või dokumentide (kes on pädevad või dokumentide Andmemäärus taaskasutamise lubamise juurdepääsutaotlusi taaskasutamiseks esse lisatakse tingimused rahuldama või artikkel 32z rahuldamata jätma) Teade isikustamata andmete Artikkel 1 Taaskasutaja (võimalik, Füüsilised või juriidilised Loata taaskasutamine Sihtotstarbeline loata taaskasutamise kohta et avaliku sektori asutuse isikud, kelle õigusi ja Andmemäärus esse lisatakse abiga) huve see võib mõjutada artikkel 32z Teade kavatsuse kohta Artikkel 1 Taaskasutaja Avaliku sektori asutus Kavatsus edastada Sihtotstarbeline edastada isikustamata andmeid kolmandasse Andmemäärus andmeid kolmandasse riiki ja riiki esse lisatakse sellise edastamise eesmärgi artikkel 32aa kohta (avaliku sektori asutusele) Teade kavatsuse kohta Artikkel 1 Taaskasutaja (võimalik, Füüsiline või juriidiline Kavatsus edastada Sihtotstarbeline edastada isikustamata et avaliku sektori asutuse isik, kelle õigusi ja huve andmeid kolmandasse Andmemäärus andmed kolmandasse riiki, abiga) see võib mõjutada riiki esse lisatakse sellise edastamise eesmärgi ja artikkel 32aa asjakohaste kaitsemeetmete kohta (füüsilisele või juriidilisele isikule, kelle ET 27 ET  õigusi ja huve see võib mõjutada) Kogu asjakohane teave Artikkel 1 Liikmesriigid Kättesaadav ühtse Esitada tuleb asjakohane Sihtotstarbeline andmemääruse artiklite 32z teabepunkti kasutajatele teave Andmemäärus (taaskasutamise tingimused), esse lisatakse 32aa (kolmandad riigid) artikkel 32ad ja 32ab (tasud) kohaldamise kohta Füüsilise/juriidilise isiku Artikkel 1 Füüsilised või juriidilised Asjaomane pädev asutus Esitatav kaebus Sihtotstarbeline esitatav kaebus, kui tema isikud vastavas liikmesriigis Muudetakse andmemäärusest tulenevaid andmemäärus õigusi on rikutud või muudes e artikli 38 asjakohastes küsimustes lõikeid 1–2 Teave menetluse käigu / Artikkel 1 Asjaomane pädev asutus Kaebuse algatanud Kaebus on esitatud Sihtotstarbeline õiguskaitsevahendite kohta füüsilised või juriidilised Muudetakse seoses andmemääruse isikud andmemäärus kohaselt esitatud kaebusega e artikli 38 lõikeid 1–2 Andmed kogemuste ja heade Artikkel 1 Euroopa Komisjon; pädevad Esitatav teave Sihtotstarbeline tavade kohta (Euroopa Andmeinnovatsiooninõuk asutused Andmemäärus Andmeinnovatsiooninõukogu ogu esse lisatakse ) IXa peatükk Andmemääruse II, III, IV, V, Artikkel 1 Euroopa Komisjon Euroopa Parlament; Andmemääruse Hiljemalt VI, VII ja VIII peatüki nõukogu; Euroopa hindamine on toimunud 12. septembriks Muudetakse hindamine andmemäärus Majandus- ja 2028 ET 28 ET  Andmemääruse VIIa, VIIb ja e artikli 49 Sotsiaalkomitee Hiljemalt VIIc peatüki hindamine lõiget 1 [jõustumine Artikkel 1 pluss 5 aastat] Muudetakse andmemäärus e artikli 49 lõiget 2 Isikuandmetega seotud Artikkel 3 Vastutav töötleja Järelevalveasutus Toimunud on Sihtotstarbeline rikkumisest teatamine isikuandmetega seotud Muudetakse isikuandmete rikkumine kaitse üldmääruse artikli 33 lõiget 1 Euroopa Artikkel 3 Euroopa Komisjon Tuleb esitada ettepanek [...] kuu jooksul Andmekaitsenõukogu Andmekaitsenõukogu pärast Muudetakse ettepanek isikuandmetega käesoleva isikuandmete seotud rikkumisest teatamise määruse kaitse ühtse vormi kohta jõustumist üldmääruse artikli 33 Iga kolme aasta lõiget 1 järel Euroopa Artikkel 3 Euroopa Komisjon Tuleb esitada ettepanek Sihtotstarbeline Andmekaitsenõukogu Andmekaitsenõukogu Muudetakse ettepanekud isikuandmete andmekaitsealase kaitse mõjuhinnangu kohta üldmääruse ET 29 ET  artikli 70 lõiget 1 Küberturvalisuse 2. direktiivi Artikkel 6 Elutähtsad ja olulised Küberintsidentidele Küberturvalisuse Sihtotstarbeline kohased teated tõsistest üksused reageerimise üksused / 2. direktiivi artikli 23 Küberturvalis intsidentidest pädevad asutused lõikes 3 kirjeldatud use 2. direktiivi (vastavalt vajadusele) asjaolud lisatakse artiklid 23a ja 23b, muudetakse artiklit 23 ja artikli 30 lõiget 1 Isikuandmetega seotud Artikkel 3 Vastutavad töötlejad Järelevalveasutus Isikuandmetega seotud Sihtotstarbeline rikkumisest teatamine rikkumine Muudetakse isikuandmete kaitse üldmääruse artiklit 33 Tõsistest IKT intsidentidest Artikkel 8 Finantssektori ettevõtjad Asjaomane pädev asutus Tõsised IKT intsidendid; Sihtotstarbeline teatamine vastavalt digitaalse olulised küberohud Muudetakse tegevuskerksuse määrusele; digitaalse vabatahtlik teatamine tegevuskerksu olulistest küberohtudest se määruse vastavalt digitaalse artiklit 19 tegevuskerksuse määrusele Sellistest intsidentidest Artikkel 9 Elutähtsa teenuse Pädev asutus Intsidendid, mis oluliselt Sihtotstarbeline ET 30 ET  teatamine, mis oluliselt Muudetakse osutajad häirivad või võivad häirivad või võivad oluliselt elutähtsa oluliselt häirida häirida elutähtsate teenuste teenuse elutähtsate teenuste osutamist, vastavalt elutähtsa osutajate osutamist teenuse osutajate toimepidevuse toimepidevuse direktiivile direktiivi artiklit 15 ET 31 ET  4.3. Digilahendused Digilahenduste üldine kirjeldus NB! Kõik allpool kirjeldatud digilahendused on olemasolevad lahendused, mille õiguslik alus viiakse ühest määrusest üle teise määrusesse. Nimelt viiakse andmehalduse määruse sätted üle andmemäärusesse. Kuidas on arvesse Viide (viited) Peamised Kuidas on arvesse Tehisintellektitehnolo Vastuta võetud Digilahendus nõudele volitatud võetud ogia kasutamine (kui v asutus korduvkasutatav (nõuetele) funktsioonid juurdepääsetavust? see on asjakohane) ust? Andmevahendusteenuse Andmemääruse Kohustusliku Euroopa // // Ei ole asjakohane osutajate ja sse lisatakse teabe Komisjo andmealtruismiorganisatsio artikkel 32a säilitamine ja n onide avalik liidu register avaldamine Ühtne teabepunkt (vastavalt Artikkel 1 Teave tuleb teha Euroopa Ühtne Elektroonilise Ei ole asjakohane andmemäärusele) kättesaadavaks Komisjo juurdepääsupunkt, mis vahendi kaudu on Andmemääruse sse lisatakse ja n pakub riiklikes ühtsetes kättesaadav artikkel 32ad juurdepääsetava teabepunktides otsinguid ks kättesaadavate andmete võimaldav otsinguid võimaldavat peamiste Pädev võtma elektroonilist registrit ja dokumentide vastu päringuid lisateavet selle kohta, loetelu, mis või taotlusi kuidas nende ühtsete sisaldab ülevaadet teatavatesse riiklike teabepunktide kõigi kategooriatesse kaudu andmeid taotleda olemasolevate kuuluvate dokumentide kaitstud allikate […] ja andmete nende taaskasutamise taaskasutamise kohta ET 32 ET  Edastada tingimuste kohta taotlused võimaluse ja vajaduse korral automatiseeritud viisil pädevatele avaliku sektori asutustele Teha elektrooniliste vahendite kaudu kättesaadavaks otsinguid võimaldav peamiste dokumentide loetelu, mis sisaldab ülevaadet kõigi olemasolevate dokumentide allikate kohta Intsidentidest teatamise Artikkel 6 Võimaldada Euroopa Koostalitlusvõime ja Võimalus teatada Ei ole asjakohane ühtne kontaktpunkt intsidentidest Komisjo ühilduvus Euroopa toimunud Küberturvalisu se 2. direktiivi teatamist n; ettevõtluskukrutega ning intsidentidest lisatakse vastavalt ENISA nende enda erinevate artikkel 23a asjakohastele juurdepääsetavusvahend õigusaktide alusel; liidu tasandi itega võimalus lisada ET 33 ET  õigusaktidele tulevikus ühtse kontaktpunkti Tagada lahendusesse koostalitlusvõim täiendavaid e ja ühilduvus õiguslikke aluseid Euroopa ettevõtluskukrut ega Iga digilahenduse puhul selgitus selle kohta, kuidas digilahendus vastab kohaldatavale digipoliitikale ja õigusaktidele Andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide avalik liidu register Digi- ja/või valdkondlik poliitika (kui Selgitus selle kohta, kuidas see on kooskõlas see on asjakohane) Tehisintellektimäärus Ei ole asjakohane ELi küberturvalisuse raamistik Ei ole asjakohane eIDAS Ei ole asjakohane Ühtne digivärav ja siseturu Määruse (EL) 2018/1724 muudatus, et lisada II lisasse „Registreerimine andmevahendusteenuste infosüsteem osutajana“ ja „Registreerimine liidus tunnustatud andmealtruismiorganisatsioonina“. Muu Ei ole asjakohane Ühtne teabepunkt (vastavalt andmemäärusele) ET 34 ET  Digi- ja/või valdkondlik poliitika (kui Selgitus selle kohta, kuidas see on kooskõlas see on asjakohane) Tehisintellektimäärus Ei ole asjakohane ELi küberturvalisuse raamistik Avaliku sektori asutused võivad kehtestada nõude, et andmetele või dokumentidele juurdepääs ja nende taaskasutamine võrgu kaudu peab toimuma turvalises töötlemiskeskkonnas, mida pakub või kontrollib avaliku sektori asutus. Sellisel juhul kehtestavad avaliku sektori asutused tingimused, mis tagavad kasutatava turvalise töötlemiskeskkonna tehniliste süsteemide toimimise tervikluse. eIDAS Ei ole asjakohane Ühtne digivärav ja siseturu Ei ole asjakohane infosüsteem Muu Ühtne teabepunkt peab olema kooskõlas määrusega (EL) 2016/679 (isikuandmete kaitse üldmäärus). Avaliku sektori asutused võivad kehtestada nõude, et andmetele või dokumentidele antakse juurdepääs ainult juhul, kui need on anonüümitud ja/või muul asjakohasel viisil ette valmistatud. Lisaks on isikustamata andmete loata taaskasutamise puhul taaskasutaja kohustatud teavitama füüsilisi isikuid, kelle õigusi või huvisid see võib mõjutada. Intsidentidest teatamise ühtne kontaktpunkt Digi- ja/või valdkondlik poliitika (kui Selgitus selle kohta, kuidas see on kooskõlas see on asjakohane) Tehisintellektimäärus Ei ole asjakohane ELi küberturvalisuse raamistik Küberturvalisuse 2. direktiivi muudatused keskenduvad küberturvalisusele. Üldisemalt on ühtse kontaktpunkti eesmärk toimida väravana, mis suunab kõik mitme liidu õigusakti kohaselt ET 35 ET  küberturvalisusega seotud intsidentide kohta esitatavad teated asjaomastele pädevatele asutustele. eIDAS Ühtset kontaktpunkti on kohustuslik kasutada ka määruse (EL) nr 910/2014 (eIDASe määrus) kohaseks intsidentidest teatamiseks. Euroopa Liidu Küberturvalisuse Amet tagab, et ühtne kontaktpunkt on koostalitlusvõimeline ja ühilduv Euroopa ettevõtluskukrutega ning et Euroopa ettevõtluskukruid saab kasutada vähemalt ühtset kontaktpunkti kasutavate üksuste identifitseerimiseks ja autentimiseks. Euroopa ettevõtluskukru poliitikaalgatus tugineb eIDASe raamistikule. Ühtne digivärav ja siseturu Ei ole asjakohane infosüsteem Muu Ettepanekus võeti arvesse kogu digivaldkonna õigustikku, sealhulgas andmete, küberturvalisuse ja telekommunikatsiooniga seotud poliitikameetmeid. ET 36 ET  4.4. Koostalitlusvõime hindamine Üldine kirjeldus digitaalsete avalike teenuste kohta, mida nõuded mõjutavad Digitaalne avalik Kirjeldus Viide (viited) Koostalitleva Muu(d) koostalitluslahendus(ed) teenus või nõudele (nõuetele) Euroopa digitaalsete avalike lahendus(ed) teenuste kategooria (EI KOHALDATA) Andmehalduse ja Digitaalne avalik teenus, mis Artikkel 1 // // läbipaistvuse võimaldab andmehalduse ja Euroopa taristu läbipaistvuse taristut ning kasutab muu hulgas andmevahendusteenuste ja andmealtruismiorganisatsioonide ELi avalikku registrit ning ühtset teabepunkti, mis aitab taaskasutajatel leida teavet teatavatesse kategooriatesse kuuluvate kaitstud andmete taaskasutamise kohta. Digitaalsete avalike teenuste kategooria vastavalt valitsemisfunktsioonide klassifikaatorile: 04.9.0 – Mujal klassifitseerimata majandus (KT) Intsidentidest Digitaalne avalik teenus, mis Artikkel 6 // Euroopa ettevõtluskukrud teatamine võimaldab teatada intsidentidest ühtse kontaktpunkti kaudu. Digitaalsete avalike teenuste ET 37 ET  kategooria vastavalt valitsemisfunktsioonide klassifikaatorile: 03.6.0 – Mujal klassifitseerimata avalik kord ja julgeolek Nõude (nõuete) mõju piiriülesele koostalitlusvõimele digitaalse avaliku teenuse kaupa NB! Järgnevas analüüsis viitavad veerus „Meetmed“ esitatud artiklite numbrid muudetavatele õigusaktidele. Vastavus koondpaketi nõuetele kaardistatakse üks kord, iga lahtri ülaosas. Digitaalne avalik teenus nr 1 – Andmehalduse ja läbipaistvuse Euroopa taristu Hindamine Meede (meetmed) Võimalikud allesjäänud tõkked (kui see on asjakohane) Kooskõla kehtivate digi- Artikkel 1 ja valdkondlike Kooskõla kehtivate digi- ja valdkondlike poliitikameetmetega on kajastatud andmehalduse poliitikameetmetega määruse põhjendustes. Loetlege kohaldatavad Ühtne digivärav (määrus (EL) 2018/1724) (põhjendus 56): andmevahendusteenuste kindlakstehtud digi- ja teatamismenetlused ja andmealtruismiorganisatsioonide registreerimismenetlused peavad valdkondlikud olema kättesaadavad ühtse digivärava kaudu, et tagada piiriülene veebipõhine juurdepääs. poliitikameetmed Euroopa koostalitlusvõime raamistik (põhjendus 54): digitaristu peab vastama Euroopa koostalitlusvõime raamistiku põhimõtetele, et tagada piiriülene ja sektoritevaheline andmete kasutamine. Euroopa ühendamise rahastu komponendid (Euroopa ühendamise rahastu digiteenuste taristud) (põhjendus 54): viidatud „põhisõnastikud ja Euroopa ühendamise rahastu komponendid“. Digiteenuse tehnilisel rakendamisel tuleks kasutada Euroopa ühendamise rahastu komponente (nt eDelivery, eID, e-allkiri). ET 38 ET  Juurdepääsetavusnõuded (direktiivid (EL) 2016/2102 ja (EL) 2019/882) (põhjendus 62). Direktiiv (EL) 2016/2102 (veebi juurdepääsetavuse direktiiv): avalikud registrid ja digiteenused peavad olema puuetega inimestele ligipääsetavad; direktiiv (EL) 2019/882 (Euroopa ligipääsetavuse akt): digiteenused peavad vastama ligipääsetavuse nõuetele. Isikuandmete kaitse üldmäärus (määrus (EL) 2016/679) (põhjendused 4 ja 35): kõik isikuandmeid töötlevad digiteenused peavad vastama isikuandmete kaitse üldmääruses sätestatud andmekaitse, privaatsuse ja turvalisuse nõuetele. Määrus (EL) 2018/1725 (põhjendus 4): kui ELi institutsioonid töötlevad andmeid nende registrite kaudu, peavad nad järgima käesolevat määrust. Avaandmete direktiiv (direktiiv (EL) 2019/1024) (põhjendused 6 ja 10): „Direktiiviga (EL) 2019/1024 ja liidu valdkondliku õigusega tagatakse, et avaliku sektori asutused teevad rohkem enda loodavaid andmeid kasutamise ja taaskasutamise eesmärgil kergesti kättesaadavaks“. Digiteenus täiendab avaandmete direktiivi, käsitledes selle kohaldamisalast väljapoole jäävaid teatavatesse kategooriatesse kuuluvaid kaitstud andmeid ja tagades samal ajal, et avaliku sektori asutused järgivad vajaduse korral „lõimitud avatuse ja vaikimisi avatuse“ põhimõtteid. Euroopa andmeruume ja sektoripõhiseid andmeid käsitlevad valdkondlikud poliitikameetmed, sealhulgas Euroopa terviseandmeruum, Euroopa ühtne liikuvusandmeruum, Euroopa roheline kokkulepe / kliima- ja energiaandmed, tootmis- ja tööstusandmed, finantsteenuste andmed, põllumajandusandmed, avalike haldusasutuste andmeruum ja Euroopa ühtne oskuste andmeruum. ET 39 ET  Korralduslikud Artikkel 1 meetmed digitaalsete avalike teenuste Pädeva asutuse määramine ja kooskõlastamine sujuvaks piiriüleseks osutamiseks - Artikkel 32b: iga liikmesriik määrab ühe või mitu pädevat asutust, kes vastutavad andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide Loetlege kavandatud registreerimise eest. Need pädevad asutused on sõltumatud kõigist tunnustatud juhtimismeetmed andmevahendusteenuse osutajatest ja tunnustatud andmealtruismiorganisatsioonidest. Artikkel 32ac: iga liikmesriik määrab ühe või mitu pädevat asutust, et abistada avaliku sektori asutusi, kes annavad teatavatesse kategooriatesse kuuluvatele kaitstud andmetele taaskasutamise eesmärgil juurdepääsu või keelduvad selle juurdepääsu andmisest. Artikkel 32g: pädevad asutused jälgivad ja kontrollivad tunnustatud andmevahendusteenuse osutajate ja tunnustatud andmealtruismiorganisatsioonide vastavust andmemääruse sätetele. Piiriülese jurisdiktsiooni mehhanism Artikkel 32e: andmevahendusteenuse osutajad kuuluvad peamise tegevuskoha liikmesriigi pädeva asutuse pädevusalasse. Sama põhimõte kehtib andmealtruismiorganisatsioonide suhtes. Vastastikune tunnustamine ja ühekordne registreerimine Artikkel 32e: andmevahendusteenusena/andmealtruismiorganisatsioonina registreerimine kehtib kõigis liikmesriikides. Artikkel 32a: ühtse logo kujunduse kasutamine. Tsentraliseeritud ELi tasandi registrid andmete kogumiseks ja läbipaistvuse tagamiseks Artikli 32 punkt a: kõigi tunnustatud andmevahendusteenuse osutajate ja andmealtruismiorganisatsioonide avalikud liidu registrid. ET 40 ET  Artikli 32 punkt e: pädevad asutused teavitavad komisjoni viivitamata elektrooniliselt uutest registreerimistest, kannete muudatustest ja registrist eemaldamistest ning komisjon ajakohastab vastavalt ELi registreid. Järelevalve ja täitmise tagamise koordineerimine Riigi pädevad asutused Euroopa Andmeinnovatsiooninõukogu Andmete kolmandatesse riikidesse edastamise haldamine Artikkel 32aa: nõuded seoses isikustamata andmete edastamisega taaskasutajate poolt kolmandatesse riikidesse. Ainuõiguslikud kokkulepped Artikkel 32k: sätestatakse avaliku sektori asutuste valduses olevate andmete või dokumentide taaskasutamist käsitlevate ainuõiguslike kokkulepete lubatavus. Nõutakse lõplike tingimuste läbipaistvust. Meetmed, mis on võetud Artikkel 1 andmete ühise mõistmise tagamiseks Ühised standardid ja koostalitlusvõimelised raamistikud Loetlege sellised - Euroopa Andmeinnovatsiooninõukogu nõustab Euroopa Komisjoni meetmed standardimistegevuse osas, mis tuleb ette võtta seoses andmete jagamise valdkondadevaheliste aspektidega, sealhulgas seoses ühtsete Euroopa andmeruumide tekkimisega, võttes arvesse valdkonnaspetsiifilist standardimistegevust. o Artikkel 42: Euroopa Andmeinnovatsiooninõukogu aitab vastu võtta „suunised, millega luuakse koostalitlusvõimelised raamistikud ja ühtsed tavad ühtsete Euroopa andmeruumide toimimiseks“. - Andmevahendusteenuste ja andmealtruismiorganisatsioonide tuvastamiseks ET 41 ET  kasutatav ühtne logo. - Artikkel 32q: Avaliku sektori asutused ja riigi osalusega äriühingud teevad oma andmed või dokumendid kättesaadavaks, kui see on võimalik ja asjakohane, elektrooniliste vahendite abil vormingus, mis on avatud, masinloetav, juurdepääsetav, leitav ja taaskasutatav, koos nende metaandmetega. Nii vorming kui ka metaandmed peavad võimaluse korral vastama ametlikele avatud standarditele. Muud asjakohased meetmed - Artikkel 32t: liikmesriigid jätkavad koostöös komisjoniga jõupingutuste tegemist, et lihtsustada juurdepääsu andmestikele, tehes sobivad andmestikud kättesaadavaks vormingus, mis on juurdepääsetav, kergesti leitav ja taaskasutatav elektrooniliste vahendite abil. - Artikkel 32u: liikmesriigid toetavad teadusandmete kättesaadavust viisil, mis on kooskõlas FAIR-põhimõtetega. Ühiselt kokku lepitud Artikkel 1 avalike tehniliste kirjelduste ja Masinloetavaid andmeid käsitlevad meetmed standardite kasutamine Loetlege sellised - Artikkel 32a: masinloetav Euroopa Liidu andmevahendusteenuse osutajate meetmed register. - Artikkel 32a: masinloetav Euroopa Liidu andmealtruismiorganisatsioonide register. - Artikkel 32q: avaliku sektori asutused teevad võimaluse korral oma andmed/dokumendid kättesaadavaks vormingus, mis on avatud, masinloetav, juurdepääsetav, leitav ja taaskasutatav, koos nende metaandmetega. Nii vorming kui ka metaandmed peavad võimaluse korral vastama ametlikele avatud standarditele. - Artikkel 32q: väärtuslikud andmestikud tehakse taaskasutamiseks kättesaadavaks ET 42 ET  masinloetavas vormingus selleks sobiva rakendusliidese kaudu ja asjakohasel juhul hulgiallalaaditava andmestikuna. - Artikkel 32t: liikmesriigid kasutavad taaskasutamiseks kättesaadavate andmete ja dokumentide otsingu hõlbustamiseks praktilisi vahendeid, näiteks peamiste andmete või dokumentide loetelusid koos asjaomaste metaandmetega, mis on kättesaadavad veebis ja masinloetavas vormingus, kui see on võimalik ja asjakohane, ja portaale, milles on lingid sellistele loeteludele. Võimaluse korral hõlbustavad liikmesriigid andmete või dokumentide keeltevahelist otsingut. - Artikkel 32w: konkreetsed väärtuslikud andmestikud peavad olema masinloetavad. Rakendusaktidega võidakse täpsustada andmete ja metaandmete vorminguid ning levitamise tehnilist korda. Masinasidet käsitlevad meetmed - Artikkel 32ad: ühtse teabepunkti kasutamine tehakse kohustuslikuks. Ühtne teabepunkt on pädev võtma vastu päringuid või taotlusi ja edastab need – kui see on võimalik ja kohane, siis automaatsete vahenditega – pädevatele avaliku sektori asutustele või pädevatele asutusele. Muud asjakohased meetmed - Artikkel 48a: muudetakse määruse (EL) 2018/1724 (ühtne digivärav) II lisa. Uuritakse sünergiat. - Koondpaketi põhjendus 52: võimaluse korral peaks ENISA võtma ühtse kontaktpunkti loomise, haldamise ja turvalise toimimise tehniliste, operatiivsete ja korralduslike meetmete spetsifikatsioonide väljatöötamisel arvesse olemasolevaid riiklikke tehnilisi lahendusi, mis hõlbustavad intsidentidest teatamist, näiteks riiklikud platvormid. Lisaks peaks ENISA kaaluma tehnilisi protokolle ja vahendeid, nagu rakendusliideseid ja masinloetavaid standardeid, mis võimaldavad üksustel integreerida aruandluskohustused äriprotsessidesse ja ametiasutustel ühendada ühtse kontaktpunkti oma riiklike aruandlussüsteemidega. ET 43 ET  Digitaalne avalik teenus nr 2 – intsidentidest teatamine Hindamine Meede (meetmed) Võimalikud allesjäänud tõkked (kui see on asjakohane) Kooskõla kehtivate digi- Artikkel 6 ja valdkondlike poliitikameetmetega Üldine kooskõlastamine kehtivate digi- ja valdkondlike poliitikameetmetega on tagatud direktiiviga (EL) 2022/2555 (küberturvalisuse 2. direktiiv), mida digivaldkonna Loetlege kohaldatavad koondpaketiga praegu muudetakse. Lisaks näeb koondpakett ette sünergia Euroopa kindlakstehtud digi- ja ettevõtluskukruga ja määrusega (EL) 2024/2847 (küberkerksuse määrus). Eelkõige: valdkondlikud poliitikameetmed • artikli 23 lõikes 4 kohustatakse kasutama küberturvalisuse 2. direktiivi kohaste teadete esitamiseks ühtset kontaktpunkti; • artikli 23 lõikes 1 on sätestatud, et määruse (EL) 2024/2847 (küberkerksuse määrus) artikli 14 lõike 3 kohane tõsisest intsidendist teatamine kujutab endast ka direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) kohast teabe esitamist. See on kooskõlas ühekordsuse põhimõttega; • artikli 23a lõike 3 punktis d on sätestatud seos Euroopa ettevõtluskukrutega. Korralduslikud Artikkel 6 meetmed digitaalsete Artiklis 23a on sätestatud rollid ja vastutus. Euroopa Liidu Küberturvalisuse Amet: avalike teenuste sujuvaks piiriüleseks • loob ühtse kontaktpunkti ja haldab seda, et toetada kohustust teatada intsidentidest osutamiseks ja nendega seotud sündmustest liidu õigusaktide alusel; Loetlege kavandatud • võtab tehnilisi, operatiivseid ja korralduslikke meetmeid, et hallata ühtse juhtimismeetmed kontaktpunkti turvalisust ning esitatavat või levitatavat teavet ohustavaid riske. Seda tehes konsulteerib ta komisjoni, küberintsidentidele reageerimise üksuste võrgustiku ja asjaomaste pädevate asutustega. ET 44 ET  Meetmed, mis on võetud Artikkel 6 andmete ühise Artikliga 23a pannakse Euroopa Liidu Küberturvalisuse Ametile ülesanne koostada mõistmise tagamiseks spetsifikatsioonid, mis tagavad vajaliku koostalitlusvõime seoses muude asjakohaste Loetlege sellised aruandluskohustustega. meetmed NB! Nõuded intsidentidest teatamise sisule on täpsemalt sätestatud asjakohastes liidu õigusaktides, sealhulgas direktiivis (EL) 2022/2555 (küberturvalisuse 2. direktiiv). Koondpaketi artikli 23a lõike 3 punktis c täpsustatakse, et Euroopa Liidu Küberturvalisuse Amet tagab, et neid võetakse nõuetekohaselt arvesse. Ühiselt kokku lepitud Artikkel 6 avalike tehniliste Artiklis 23a nõutakse spetsifikatsioonide väljatöötamist. kirjelduste ja standardite kasutamine • Euroopa Liidu Küberturvalisuse Amet esitab ühtse kontaktpunkti loomise, haldamise ja turvalise toimimisega seoses tehniliste meetmete spetsifikatsioonid ja Loetlege sellised rakendab neid. Need spetsifikatsioonid hõlmavad muu hulgas järgmist: meetmed o koostalitlusvõime tagamiseks vajalik suutlikkus seoses muude asjakohaste teavitamissüsteemidega; o tehnilised meetmed, mis võimaldavad asjaomastel üksustel ja asutustel ühtse kontaktpunkti kaudu teabele juurde pääseda või seda esitada, hankida, edastada või muul viisil töödelda, ning tehnilised protokollid ja vahendid, mis võimaldavad üksustel ja asutustel saadud teavet oma süsteemides edasi töödelda. • Võimaluse korral on ühtne kontaktpunkt koostalitlusvõimeline ja ühilduv Euroopa ettevõtluskukrutega. ET 45 ET  4.5. Digimõõtme rakendamist toetavad meetmed Digitaalset rakendamist toetavate meetmete üldine kirjeldus Meetme kirjeldus Viide (viited) Komisjoni roll Kaasatavad osalejad Eeldatav nõudele (nõuetele) ajakava (kui see on asjakohane) (kui see on asjakohane) (kui see on asjakohane) Rakendusakt: Artikkel 1 Määrab kindlaks ühtse logo Uurimismenetluse komitee // andmevahendusteenuse osutajate tunnused, sealhulgas selle ühtse logo kujundus kujunduse ja kasutamise tingimused. Rakendusakt: tunnustatud Artikkel 1 Määrab kindlaks ühtse logo Uurimismenetluse komitee // andmealtruismiorganisatsioonide tunnused, sealhulgas selle ühtse logo kujundus kujunduse ja kasutamise tingimused. Järelevalve ja nõuetele vastavus: Artikkel 1 // Pädevad asutused, // pädevad asutused võivad järelevalvet andmevahendusteenuse teostada kas omal algatusel või osutajad, füüsiliste või juriidiliste isikute andmealtruismiorganisatsioonid taotluse alusel Rakendusakt: konkreetsed Artikkel 1 Määrab kindlaks Uurimismenetluse komitee // väärtuslikud andmestikud konkreetsete väärtuslike andmestike loetelu. Võib täpsustada väärtuslike andmestike avaldamise ja ET 46 ET  taaskasutamise korda. Suunised: Artikkel 1 Euroopa Euroopa // • Euroopa Andmeinnovatsiooninõukogu Andmeinnovatsiooninõukogu Andmeinnovatsiooninõukogu pakutav toetus annab nõu seoses ühtsete Euroopa andmeruumide suunistega • Euroopa Andmeinnovatsiooninõukogu võtab vastu suunised koostalitlusvõimeliste raamistike kohta Rakendusakt: isikuandmetega seotud Artikkel 3 Võtab Euroopa Uurimismenetluse komitee // rikkumistest teatamise ühtne vorm Andmekaitsenõukogu ettepanekul vastu ühtse vormi. Delegeeritud õigusakt: Artikkel 3 Sätestab veebibrauserite ja Uurimismenetluse komitee // andmesubjekti valikute lõppseadmete pakkujate automatiseeritud ja masinloetavaid kohustused. märked Rakendusakt: elutähtsa teenuse Artikkel 9 Täpsustab direktiivi // // osutajate toimepidevuse direktiivi (EL) 2022/2557 (elutähtsa kohane intsidentidest teatamine teenuse osutajate toimepidevuse direktiiv) artikli 15 lõike 1 kohaselt esitatava teabe liiki ja vormingut. ET 47 ET ET 48 ET  EUROOPA KOMISJON Brüssel, 19.11.2025 COM(2025) 836 final 2025/0359 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS millega muudetakse määruseid (EL) 2024/1689 ja (EL) 2018/1139 seoses tehisintellekti käsitlevate ühtlustatud õigusnormide (tehisintellekti käsitlev digivaldkonna koondpakett) rakendamise lihtsustamisega {SWD(2025) 836} (EMPs kohaldatav tekst) ET ET  SELETUSKIRI 1. ETTEPANEKU TAUST • Ettepaneku põhjused ja eesmärgid Oma teatises „Lihtsam ja kiirem Euroopa“ 1 teatas komisjon oma pühendumisest ambitsioonikale programmile, et edendada tulevikku vaatavaid uuenduslikke poliitikameetmeid, mis tugevdavad Euroopa Liidu (EL) konkurentsivõimet ning vähendavad inimeste, ettevõtete ja haldusasutuste regulatiivset koormust, säilitades samal ajal liidu väärtuste edendamisel kõrgeima standardi. 1. augustil 2024 jõustunud Euroopa Parlamendi ja nõukogu 13. juuni 2024. aasta määrusega (EL) 2024/1689, millega nähakse ette tehisintellekti käsitlevad ühtlustatud õigusnormid (edaspidi „tehisintellektimäärus“), loodi kogu ELis usaldusväärse ja inimkeskse tehisintellekti ühtne turg. Selle eesmärk on edendada innovatsiooni ja tehisintellekti kasutuselevõtmist, tagades samal ajal tervise, ohutuse ja põhiõiguste, sealhulgas demokraatia ja õigusriigi kõrgetasemelise kaitse. Tehisintellektimääruse jõustumine toimub etapiviisiliselt ning kõik õigusnormid jõustuvad 2. augustiks 2027. Vastuvõetamatute riskidega tehisintellekti kasutusviiside keelde ja üldotstarbeliste tehisintellektimudelitega seotud kohustusi kohaldatakse juba praegu. Enamikku sätteid, eelkõige suure riskiga tehisintellektisüsteeme reguleerivaid sätteid, hakatakse siiski kohaldama alles alates 2. augustist 2026 või 2. augustist 2027. Need sätted sisaldavad üksikasjalikke nõudeid andmehalduse, läbipaistvuse, dokumenteerimise, inimjärelevalve ja stabiilsuse kohta, et tagada ELi turule lastavate tehisintellektisüsteemide ohutus, läbipaistvus ja usaldusväärsus. Komisjon on pühendunud tehisintellekti käsitleva määruse selgele, lihtsale ja innovatsioonisõbralikule rakendamisele, nagu on sätestatud Euroopa tehisintellekti tegevuskavas2 ja tehisintellekti kasutamise strateegias3. Sellised algatused nagu üldotstarbelise tehisintellekti tegevusjuhend, komisjoni suunised ja vormid, tehisintellekti pakt ja tehisintellektimääruse kasutajatoe loomine suurendavad selgust kohaldatavate normide ja nende kohaldamise toetamise osas. Eelkõige pakub veebisait, mille kaudu pakutakse tehisintellektimääruse kasutajatuge, ühtset teabeplatvormi4 kõigi ressursside kohta, mis on sidusrühmadele tehisintellektimääruses orienteerumiseks kättesaadavad, sealhulgas suunised, riiklikud asutused ja toetusalgatused, veebiseminarid ja harmoneeritud standardid. Need jõupingutused jätkuvad ning ettevalmistamisel on täiendavad juhendid ja digivahendid. Tuginedes juba kohaldatavate sätete rakendamisel saadud kogemustele, korraldas komisjon mitu konsultatsiooni, sealhulgas avaliku konsultatsiooni, et teha kindlaks võimalikud probleemid tehisintellektimääruse sätete rakendamisel, tagasisidekorje digivaldkonna koondpaketi ettevalmistamiseks, sidusrühmadel oma rakendamiskogemusi vahetult jagada võimaldava tegeliku olukorra kontrolli ning VKEde paneelarutelu, et teha kindlaks nende konkreetsed vajadused tehisintellektimääruse rakendamisel. 1 COM(2025) 47 final. 2 COM(2025) 165 final. 3 COM(2025) 723 final. 4 https://ai-act-service-desk.ec.europa.eu/. ET 1 ET  Nende konsultatsioonide käigus ilmnesid rakendamisega seotud probleemid, mis võivad ohustada tehisintellektimääruse põhisätete tõhusat kohaldamist. Need hõlmavad viivitusi riiklike pädevate asutuste ja vastavushindamisasutuste määramisel ning tehisintellektimääruse suure riskiga nõuete, juhendite ja vastavuskontrolli vahendite harmoneeritud standardite puudumist. Sellised viivitused võivad märkimisväärselt suurendada ettevõtjate ja avaliku sektori asutuste kulusid seoses nõuete täitmisega ning aeglustada innovatsiooni. Nende probleemide lahendamiseks teeb komisjon ettepaneku sihipäraste lihtsustamismeetmete kohta, et tagada tehisintellektimääruse teatavate sätete õigeaegne, sujuv ja proportsionaalne rakendamine. Kõnealuste meetmetega tehakse muu hulgas järgmist: • seotakse suure riskiga eeskirjade rakendamise ajakava standardite või muude toetusvahendite kättesaadavusega; • laiendatakse väikestele ja keskmise suurusega ettevõtjatele (VKEdele) võimaldatavaid regulatiivseid lihtsustusi väikestele keskmise turukapitalisatsiooniga ettevõtjatele, see hõlmab lihtsustatud tehnilise dokumentatsiooni nõudeid ja erijoontega arvestamist karistuste kohaldamisel; • nõutakse, et komisjon ja liikmesriigid edendaksid tehisintellektipädevust, selle asemel et jõustada tehisintellektisüsteemide pakkujate ja juurutajate suhtes sellekohaseid täpsustamata kohustusi, samal ajal kui suure riskiga juurutajate koolituskohustused jäävad kehtima; • pakutakse suuremat paindlikkust turustamisjärgses seires, kaotades ühtlustatud turustamisjärgse järelevalve kava ettekirjutuse; • vähendatakse registreerimiskoormust selliste tehisintellekti süsteemide pakkujate jaoks, mida kasutatakse suure riskiga valdkondades, kuid mille puhul pakkuja on jõudnud järeldusele, et need ei ole suure riskiga, kuna neid kasutatakse üksnes kitsaste või menetluslike ülesannete täitmiseks; • koos Euroopa tehisintellektiametiga tsentraliseeritakse järelevalvet suure hulga üldotstarbelistel tehisintellektimudelitel põhinevate või väga suurtesse digiplatvormidesse ja väga suurtesse otsingumootoritesse integreeritud tehisintellektisüsteemide üle; • hõlbustatakse andmekaitsealaste õigusaktide järgimist, võimaldades kõigi tehisintellektisüsteemide ja -mudelite pakkujatel ja juurutajatel töödelda isikuandmete eriliike, et tagada kallutatuse avastamine ja kõrvaldamine asjakohaste kaitsemeetmete abil; • laiendatakse tehisintellekti regulatiivliivakastide ja tegelikes tingimustes testimise kasutamist, mis toob kasu Euroopa peamistele tööstusharudele, nagu autotööstus, ning hõlbustab ELi tasandi tehisintellekti regulatiivliivakasti loomist, mille Euroopa tehisintellektiamet 2028. aastast käivitab; • sihipäraste muudatustega selgitatakse tehisintellektimääruse ja muude ELi õigusaktide koostoimet ning kohandatakse tehisintellektimääruse menetlusi, et parandada selle üldist rakendamist ja toimimist. Lisaks seadusandlikele meetmetele võtab komisjon täiendavaid meetmeid tehisintellektimääruse järgimise hõlbustamiseks ja sidusrühmade tõstatatud probleemide lahendamiseks. Ettevalmistamisel on täiendavad juhendid, milles keskendutakse selgete ja praktiliste juhiste pakkumisele tehisintellektimääruse kohaldamiseks paralleelselt muude ELi õigusaktidega. See hõlmab järgmist: ET 2 ET  • suunised suure riskiga liigituse praktilise kohaldamise kohta; • suunised tehisintellektimääruse artikli 50 kohaste läbipaistvusnõuete praktilise kohaldamise kohta; • juhend tõsistest intsidentidest teatamise kohta suure riskiga tehisintellektisüsteemide pakkujate jaoks; • suunised suure riski korral kehtivate nõuete praktilise kohaldamise kohta; • suunised suure riskiga tehisintellektisüsteemide pakkujate ja juurutajate kohustuste praktilise kohaldamise kohta; • suunised koos põhiõigustele avalduva mõju hindamise vormiga; • suunised vastutust käsitlevate normide praktilise kohaldamise kohta tehisintellekti väärtusahelas; • suunised olulisi muudatuse käsitlevate sätete praktilise kohaldamise kohta; • suunised suure riskiga tehisintellektisüsteemide turustamisjärgse järelevalve kohta; • suunised kvaliteedijuhtimissüsteemi elementide kohta, mida VKEd ja väikesed keskmise turukapitalisatsiooniga ettevõtjad võivad järgida lihtsustatud viisil; • suunised tehisintellektimääruse koostoime kohta muude liidu õigusaktidega, näiteks komisjoni ja Euroopa Andmekaitsenõukogu ühissuunised tehisintellektimääruse ja ELi andmekaitsealaste õigusaktide koostoime kohta, suunised tehisintellektimääruse ja küberkerksuse määruse koostoime kohta ning suunised tehisintellektimääruse ja masinamääruse koostoime kohta; • suunised tehisintellektimääruse alusel määratavate vastavushindamisasutuste pädevuse ja määramismenetluse kohta. Eelkõige näitavad sidusrühmadega konsulteerimised vajadust anda suuniseid tehisintellektimääruse artikli 2 lõigete 6 ja 8 kohaste teadusuuringutega seotud erandite praktilise kohaldamise kohta, sealhulgas selle kohta, kuidas neid kohaldatakse valdkondlikus kontekstis, näiteks ravimite või meditsiiniseadmete valdkonna eelkliinilistes uuringutes ja tootearenduses, millega komisjon tegeleb esmajärjekorras. Need lihtsustamispüüdlused aitavad tagada, et tehisintellektimääruse rakendamine on sujuv, prognoositav ja innovatsioonisõbralik, võimaldades Euroopal tugevdada oma positsiooni tehisintellekti maailmajaona ja ohutult järgida tehisintellekti esikohale seadmise poliitikat. • Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Ettepanek on osa laiemast lihtsustamist käsitlevast digipaketist, mis koosneb meetmetest, mille eesmärk on vähendada ELi ettevõtjate ja ametiasutuste halduskulusid seoses nõuete täitmisega, ning mida kohaldatakse mitme ELi digiõigustiku määruse suhtes, kahjustamata alusnormide eesmärke. Ettepanek põhineb määrusel (EL) 2024/1689 ja on kooskõlas kehtivate poliitikameetmetega, et muuta EL tehisintellekti valdkonnas ülemaailmseks liidriks ja tehisintellekti maailmajaoks ning edendada inimkeskse ja usaldusväärse tehisintellekti kasutuselevõttu. • Kooskõla muude liidu tegevuspõhimõtetega Ettepanek on mitme lihtsustamispaketi osa. ET 3 ET  2. ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS • Õiguslik alus Käesoleva ettepaneku õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, mis on kooskõlas käesoleva ettepanekuga muudetavate õigusaktide vastuvõtmise algse õigusliku alusega. • Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Määrus (EL) 2024/1689 võeti vastu ELi tasandil. Seetõttu tuleb kõnealuse määruse muudatused teha ELi tasandil. • Proportsionaalsus Algatus ei lähe kaugemale kui on vajalik, et saavutada lihtsustamise ja koormuse vähendamise eesmärgid, vähendamata seejuures tervise, ohutuse ja põhiõiguste kaitset. • Vahendi valik Ettepanekuga muudetakse määrust (EL) 2024/1689, mis võeti vastu seadusandliku tavamenetluse teel. Seetõttu tuleb ka kõnealuse määruse muudatused võtta vastu määrusega seadusandliku tavamenetluse kohaselt. 3. JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED • Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Ettepanekule on lisatud komisjoni talituste töödokument, milles antakse üksikasjalik ülevaade määruse (EL) 2024/1689 teatavate sätete kavandatud muudatuste mõjust. Selles esitakse ka kavandatud meetmete positiivse mõju analüüs. Analüüs põhineb olemasolevatel andmetel, konsultatsioonide käigus ja tegeliku olukorra kontrollimise käigus kogutud teabel ning sidusrühmadelt tagasisidekorje kaudu saadud kirjalikul tagasisidel. • Konsulteerimine sidusrühmadega Ettepaneku raames korraldati mitu konsultatsiooni. Need kõik täiendasid üksteist, sest puudutasid kas erinevaid aktuaalseid küsimusi või algatusega seotud sidusrühmi. Lihtsustamist käsitleva digipaketi esialgses analüüsietapis avaldati 2025. aasta kevadel ettepaneku põhisuundade kohta kolm avalikku konsultatsiooni ja tagasisidekorjet. 9. aprillist 4. juunini 2025 toimus konsultatsioon tehisintellekti kasutamise strateegia kohta,5 11. aprillist 20. juunini 2025 küberturvalisuse määruse läbivaatamise kohta6 ja 23. maist 20. juulini 2025 5 Euroopa Komisjon (2025) „Call for evidence on the Apply AI Strategy“ (Tagasisidekorje tehisintellekti kasutamise strateegia kohta). Kättesaadav: Tehisintellekti kasutamise strateegia – Euroopa tugevam positsioon tehisintellekti vallas. 6 Euroopa Komisjon (2025) „Call for evidence on the revision of the Cybersecurity Act“ (Tagasisidekorje küberturvalisuse määruse läbivaatamise kohta). Kättesaadav: ELi küberturvalisuse määrus. ET 4 ET  Euroopa andmeliidu strateegia kohta7. Iga konsultatsioon hõlmas küsimustikku, mis sisaldas jaotist (või mõnikord mitut jaotist) rakendamise ja lihtsustamisega seotud probleemide kohta, mis olid otseselt seotud lihtsustamist käsitleva digipaketi üle peetud aruteludega. Esimese konsultatsiooni käigus saadi kokku 718 vastust. Lisaks avaldati 16. septembrist 14. oktoobrini 2025 tagasisidekorje lihtsustamist käsitleva digipaketi kohta8. Selle eesmärk oli hõlmata algatuse kogu kohaldamisala ja anda sidusrühmadele võimalus esitada ühekorraga märkusi konkreetsema ettepanekute rühma kohta. Kokku saadi 513 vastust väga erinevatelt sidusrühmadelt. Et suurendada väikeste ja keskmise suurusega ettevõtjate (VKEd) teadlikkust lihtsustamist käsitleva digipaketi kohta ja koguda neilt tagasisidet, korraldati 4. septembrist 16. oktoobrini 2025 Euroopa ettevõtlusvõrgustiku kaudu spetsiaalne VKEde paneelarutelu. Euroopa ettevõtlusvõrgustik on maailma suurim VKEde tugivõrgustik, mida haldab komisjoni Euroopa Innovatsiooninõukogu ja VKEde Rakendusamet (EISMEA). VKEde paneelarutelud on võimalus konsulteerida selle raamistiku sidusrühmadega. VKEdel on võimalus esitada oma seisukohad tulevaste poliitikaalgatuste kohta. Lisaks veebipõhisele kirjalikule konsultatsioonile (mille käigus saadi 106 VKEde vastust) tutvustas komisjon 1. oktoobril 2025 toimunud koosolekul Euroopa ettevõtlusvõrgustiku osaks olevatele VKEde ühendustele ka lihtsustamist käsitlevat digipaketti. Komisjoni talitused korraldasid 2025. aastal arvukalt kahepoolseid kohtumisi sidusrühmadega, et käsitleda konkreetseid probleeme. Arutelusid peeti ka liikmesriikidega. Lisaks kahepoolsele teabevahetusele arutati 2025. aasta juunis ja septembris nõukogu töörühmades lihtusutamist käsitleva digipaketi konkreetseid päevakorrapunkte, kus komisjon tutvustas praegust olukorda ja palus liikmesriikidel väljendada oma seisukohti. Üldiselt oldi sidusrühmade tagasisides üksmeelel, et mõningate digieeskirjade kohaldamist on vaja lihtsustada. Suuremat sidusust ja keskendumist nõuete täitmisega seotud kulude optimeerimisele toetasid suures osas kõigi huvirühmade esindajad. Mõne spetsiifilisema meetme suhtes väljendati mõningaid eriarvamusi. Üksikasjalikum ülevaade sidusrühmadega peetud konsultatsioonidest ja sellest, kuidas neid ettepanekus kajastati, on esitatud lihtsustamist käsitlevale digipaketile lisatud komisjoni talituste töödokumendis. • Eksperdiarvamuste kogumine ja kasutamine Lisaks eespool kirjeldatud konsulteerimisele tugines komisjon käesoleva ettepaneku koostamisel peamiselt oma siseanalüüsile. • Mõjuhinnang Ettepanekus esitatud muudatused on tehnilist laadi. Nende eesmärk on tagada poliitilisel tasandil juba kokku lepitud õigusnormide tõhusam rakendamine. Mõjuhinnangu aruandes ei ole võimalik erinevaid poliitikavariante sisuliselt testida ja võrrelda. 7 Euroopa Komisjon (2025) „Call for evidence on the Euroopa andmeruumide Strategy“ (Tagasisidekorje Euroopa andmeliidu strateegia kohta). Kättesaadav: European Data Union Strategy. 8 Euroopa Komisjon (2025) „Call for evidence on the digital package and omnibus“ (Tagasisidekorje digipaketi ja koondõigusakti kohta). Kättesaadav: Lihtsustamine – digipakett ja digivaldkonna koondõigusakt. ET 5 ET  Lisatud komisjoni talituste töödokumendis uuritakse muudatusettepanekute põhjendusi ja esitatakse sidusrühmade seisukohad eri meetmete kohta. Selles kirjeldatakse ka kulude kokkuhoidu ja muud liiki mõju, mis ettepanekuga võib kaasneda. Paljudel juhtudel tugineb see mõjuhinnangutele, mis algselt tehti määruse (EL) 2024/1689 jaoks. Komisjoni talituste töödokument on seega lähtepunktiks, millele toetudes saavad Euroopa Parlament ja nõukogu ning üldsus pidada ettepaneku üle selget ja aktiivset arutelu. • Õigusnormide toimivus ja lihtsustamine Ettepaneku eesmärk on märkimisväärselt vähendada ettevõtjate, riiklike haldusasutuste ja laiema üldsuse halduskoormust. Esialgsete hinnangute kohaselt on võimalik kokkuhoid ≈ 297,2–433,2 miljonit eurot. Samuti eeldatakse mittekvantifitseeritavat kasu, eelkõige tänu normide ühtlustamisele, mis lihtsustab nende järgimist ja jõustamist. VKEd saavad juba praegu kasutada määruse (EL) 2024/1689 kohaseid regulatiivseid privileege. Mõningaid VKEdele juba antud regulatiivseid privileege laiendatakse väikestele keskmise turukapitalisatsiooniga ettevõtjatele. Kuna nõuete täitmisega seotud koormus mõjutab VKEsid ja väikeseid keskmise turukapitalisatsiooniga ettevõtjaid ebaproportsionaalselt rohkem, eeldatakse, et need lihtsustamismeetmed on nende jaoks eriti kasulikud. Ettepanek on kooskõlas komisjoni digivaldkonna õigusaktide digitaalse toimivuse kontrolliga, mille eesmärk on tagada poliitikaettepanekute nõuetekohane kooskõla tegelike digikeskkondadega (vt 4. peatükk „Õiguslik ja finantsalane digiselgitus“). • Põhiõigused Määrus (EL) 2024/1689 peaks edendama mitme ELi põhiõiguste hartas9 sätestatud põhiõiguse ja -vabaduse kaitset ning mõjutama positiivselt paljude erirühmade õigusi10. Samal ajal on määrusega (EL) 2024/1689 kehtestatud teatavate õiguste ja vabaduste suhtes mõningad piirangud,11 mis on proportsionaalsed ja piirduvad minimaalselt vajalikuga. Eeldatavasti ei muudeta ettepanekuga määruse (EL) 2024/1689 mõju põhiõigustele, kuna kavandatud muudatuste sihipärane iseloom ei mõjuta reguleeritud tehisintellektisüsteemide ulatust ega nende süsteemide suhtes kohaldatavaid sisulisi nõudeid. 4. MÕJU EELARVELE Ettepanekuga muudetakse määruse (EL) 2024/1689 järelevalve ja täitmise tagamise süsteemi, mille kohaselt antakse teatavate tehisintellektisüsteemide järelevalve üle komisjoni 9 Täpsemalt: õigus inimväärikusele (artikkel 1), eraelu austamine ja isikuandmete kaitse (artiklid 7 ja 8), diskrimineerimiskeeld (artikkel 21) ning naiste ja meeste võrdõiguslikkus (artikkel 23), sõnavabadus (artikkel 11) ja kogunemisvabadus (artikkel 12), õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele, kaitseõigus ja süütuse presumptsioon (artiklid 47 ja 48), õigus kõrgetasemelisele keskkonnakaitsele ja keskkonna kvaliteedi parandamisele (artikkel 37). 10 Täpsemalt: töötajate õigus headele ja õiglastele töötingimustele (artikkel 31), kõrgetasemeline tarbijakaitse (artikkel 28), lapse õigused (artikkel 24) ja puuetega inimeste integreerimine (artikkel 26). 11 Täpsemalt: ettevõtlusvabadus (artikkel 16) ning kunsti ja teaduse vabadus (artikkel 13). ET 6 ET  tehisintellektiametile. Lisaks peaks tehisintellektiamet looma ELi tasandil tehisintellekti regulatiivliivakasti, et hõlbustada ettevõtjatel nõuete täitmist. Nende uute ülesannete täitmiseks vajab komisjon asjakohaseid vahendeid, mille maht on hinnanguliselt 53 täistööajale taandatud töötajat, millest 15 täistööajale taandatud töötajat saab katta sisemise ümberpaigutamisega. Selle mõju hindamisel tuleb arvesse võtta väiksemat eelarvemõju liikmesriikidele, kes ei pea enam tagama järelevalvet nende teatavate tehisintellektisüsteemide üle. Üksikasjalik ülevaade pädevuste üleandmisega kaasnevatest kuludest on esitatud käesolevale ettepanekule lisatud „Finants- ja digiselgituses“. 5. MUU TEAVE • Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Komisjon jälgib uute sätete rakendamist, kohaldamist ja järgimist. Lisaks hinnatakse korrapäraselt käesoleva ettepanekuga muudetava määruse tõhusust, tulemuslikkust eesmärkide saavutamisel, asjakohasust, sidusust ja lisaväärtust kooskõlas ELi parema õigusloome põhimõtetega. Käesoleva ettepaneku jaoks ei ole vaja rakenduskava. • Selgitavad dokumendid (direktiivide puhul) Ei kohaldata. • Ettepaneku sätete üksikasjalik selgitus Artikliga 1 muudetakse määrust (EL) 2024/1689 (edaspidi „tehisintellektimäärus“). Eeskätt tehakse järgmist. • Lõikega 1 lisatakse tehisintellektimääruse reguleerimisesemesse viide väikestele keskmise turukapitalisatsiooniga ettevõtjatele. • Lõige 2 on tehniline muudatus, mis on vajalik, et võimaldada tegelikes tingimustes testimise laiendamist suure riskiga tehisintellektisüsteemidele, mis on integreeritud tehisintellektimääruse I lisa B jaoga hõlmatud toodetesse. • Lõikega 3 lisatakse tehisintellektimääruse artiklis 3 esitatud määratlustele VKEde ja väikeste keskmise turukapitalisatsiooniga ettevõtjate õiguslikud määratlused. • Lõikega 4 muudetakse tehisintellektisüsteemide pakkujate ja juurutajate tehisintellektimääruse artiklis 4 sätestatud tehisintellektipädevuse alane kohustus komisjoni ja liikmesriikide kohustuseks edendada tehisintellektipädevust. • Lõikega 5 lisatakse uus artikkel 4a, millega asendatakse tehisintellektimääruse artikli 10 lõige 5, mis annab tehisintellektisüsteemide ja tehisintellektimudelite pakkujatele ja juurutajatele õigusliku aluse töödelda erandkorras isikuandmete eriliike, et tagada kallutatuse avastamine ja parandamine teatavatel tingimustel. • Lõigetes 6, 14 ja 32 viidatakse sellele, et välja on jäetud pakkujate kohustus registreerida tehisintellektisüsteemid III lisa kohases suure riskiga süsteemide ELi andmebaasis, kui nad on tehisintellektimääruse artikli 6 lõike 3 alusel vabastatud suure riskiga süsteemideks liigitamisest, sest neid kasutatakse näiteks üksnes ettevalmistavate ülesannete täitmiseks. • Lõige 7 sisaldab lõike 4 alusel tehtud muudatustest tulenevaid redaktsioonilisi muudatusi. ET 7 ET  • Lõigetega 8 ja 9 laiendatakse tehisintellektimääruses VKEde jaoks sätestatud regulatiivsed privileegid väikestele keskmise turukapitalisatsiooniga ettevõtjatele selles osas, mis puudutab tehnilist dokumentatsiooni ja nende suurust arvesse võtva kvaliteedijuhtimissüsteemi kehtestamist. • Lõikega 10 lisatakse tehisintellektimääruse artiklisse 28 uus menetlus, mille kohaselt peavad liikmesriigid tagama, et vastavushindamisasutusele, kes taotleb määramist nii käesoleva määruse kui ka tehisintellektimääruse I lisa A jaos loetletud liidu ühtlustamisõigusaktide alusel, antakse võimalus esitada üks taotlus ja läbida üks hindamismenetlus, et saada määratud. • Lõikes 11 tehakse ettepanek asendada tehisintellektimääruse artikli 29 lõige 4, mille kohaselt peavad vastavushindamisasutused esitama selles lõikes osutatud juhtudel ühe taotluse. • Lõikega 12 muudetakse tehisintellektimääruse artiklit 30 nõudega, et vastavushindamisasutused, kes taotlevad teada antud asutuseks määramist, esitaksid taotluse kooskõlas uues XIV lisas osutatud koodide, kategooriate ja vastavate tehisintellektisüsteemide liikidega, mis on seotud komisjoni teada antud ja määratud organisatsioone käsitleva uue lähenemisviisi infosüsteemiga, ning antakse komisjonile õigus neid koode, kategooriaid ja vastavaid liike tehnoloogia arengut silmas pidades muuta. • Lõikes 13 selgitatakse tehisintellektimääruse artiklis 43 sätestatud vastavushindamismenetlust, kui suure riskiga tehisintellektisüsteem on hõlmatud tehisintellektimääruse I lisa A jaos loetletud liidu ühtlustamisõigusaktidega ja kui tehisintellektisüsteem on liigitatud suure riskiga süsteemiks nii tehisintellektimääruse I kui ka III lisa kohaselt. • Lõigetega 15 ja 16 jäetakse välja tehisintellektimääruse artiklites 50 ja 56 sätestatud komisjoni volitused võtta vastu rakendusakte, millega tehakse üldotstarbeliste tehisintellektimudelite tegevusjuhendid ja teatavate tehisintellektisüsteemide läbipaistvuskohustused liidus üldiselt kohaldatavaks. • Lõikega 17 muudetakse tehisintellektimääruse artiklis 57 sätestatud tehisintellekti regulatiivliivakaste käsitlevaid norme, muu hulgas andes tehisintellektiametile õigusliku aluse seada ELi tasandil sisse tehisintellekti regulatiivliivakast teatavate tehisintellektisüsteemide jaoks, mis kuuluvad järelevalve poolest tema ainupädevusse, ning nõuda, et liikmesriigid tugevdaksid oma liivakastide piiriülest koostööd. • Lõikes 18 täpsustatakse komisjoni õigust võtta vastu rakendusakte, milles määratakse kindlaks tehisintellekti regulatiivliivakastide loomise, arendamise, rakendamise, käitamise, juhtimise ja järelevalve üksikasjalik kord. • Lõikega 19 muudetakse suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes väljaspool tehisintellektimääruse artikliga 60 reguleeritud tehisintellekti regulatiivliivakaste, laiendades seda võimalust muu hulgas I lisa A jaoga hõlmatud suure riskiga tehisintellektisüsteemidele. • Lõikega 20 luuakse huvitatud liikmesriikidele ja komisjonile täiendav õiguslik alus sõlmida vabatahtlikkuse alusel kirjalikke lepinguid I lisa B jaos osutatud suure riskiga tehisintellektisüsteemide testimiseks tegelikes tingimustes. ET 8 ET  • Lõikega 21 laiendatakse erandit mikroettevõtjatelt VKEdele, et järgida tehisintellektimääruse artiklis 17 nõutud kvaliteedijuhtimissüsteemi teatavaid elemente lihtsustatud viisil. • Lõikega 22 kaotatakse komisjonile tehisintellektimääruse artikliga 69 antud õigus võtta menetluse lihtsustamiseks vastu rakendusakt teaduskomisjoni ekspertide kulude hüvitamise kohta, kui liikmesriigid seda taotlevad. • Lõikega 23 laiendatakse selliste juhiste fookust, mida riiklikud ametiasutused võivad anda, VKEdelt väikestele keskmise turukapitalisatsiooniga ettevõtjatele. • Lõikega 24 asendatakse tehisintellektimääruse artiklis 72 komisjonile antud õigus võtta vastu rakendusakt turustamisjärgse seire kava kohta. • Lõikega 25 muudetakse tehisintellektimääruse artiklis 75 teatavate tehisintellektisüsteemide järelevalvet ja jõustamist: • punktiga a muudetakse pealkirja; • punktiga b tugevdatakse tehisintellektiameti pädevust teatavate üldotstarbelisel tehisintellektimudelil põhinevate tehisintellektisüsteemide järelevalves ja jõustamises, kui mudelit ja süsteemi pakub sama pakkuja. Samal ajal selgitatakse kõnealuses sättes, et see järelevalve ei hõlma tehisintellektisüsteeme, mis on seotud I lisaga hõlmatud toodetega. Lisaks selgitatakse, et väga suurtesse digiplatvormidesse või väga suurtesse internetipõhistesse otsingumootoritesse integreeritud tehisintellektisüsteemide nõuetele vastavuse järelevalve ja jõustamine peaks kuuluma tehisintellektiameti pädevusse. • Punktiga c lisatakse mitu uut lõiget, millega antakse komisjonile õigus võtta vastu rakendusakte, et määrata kindlaks tehisintellektiameti jõustamisvolitused ja nende volituste kasutamise menetlused, lisatakse viide määrusele (EL) 2019/1020, millega tagatakse, et hõlmatud pakkujate suhtes kohaldatakse teatavaid menetluslikke tagatisi, ning antakse komisjonile õigus teha tehisintellektisüsteemide vastavushindamisi artikli 75 kohaldamisalas. • Lõikega 26 muudetakse tehisintellektimääruse artiklit 77 seoses põhiõigusi kaitsvate asutuste või organite volitustega ja turujärelevalveasutustega tehtava koostööga. • Lõigetega 27 ja 28 laiendatakse väikestele keskmise turukapitalisatsiooniga ettevõtjatele artiklite 95 ja 96 sätted, milles nõutakse, et vabatahtlikes toetusvahendites tuleks arvesse võtta VKEde vajadusi. • Lõikega 29 laiendatakse tehisintellektimääruse artiklis 99 sätestatud VKEde karistusi käsitlevaid regulatiivseid privileege väikestele keskmise turukapitalisatsiooniga ettevõtjatele. • Lõige 30 sisaldab tehisintellektimääruse artikli 111 muudatusi, mis tulenevad lõikes 30 tehtud muudatustest, ning kehtestatakse kuue kuu pikkune üleminekuperiood pakkujatele, kes peavad tagasiulatuvalt lisama oma generatiivsetesse tehisintellektisüsteemidesse tehnilised lahendused, et need süsteemid oleksid masinloetavad ja tuvastatavad kui kunstlikult loodud või manipuleeritud. • Lõikega 31 muudetakse tehisintellektimääruse teatavate sätete kohaldamise algust: ET 9 ET  • III peatükis sätestatud suure riskiga tehisintellektisüsteemidega seotud kohustuste jaoks kehtestatakse mehhanism, mis seob kohaldamise alguse selliste meetmete kättesaadavusega, mis toetavad tehisintellektimääruse suure riskiga tehisintellektisüsteeme reguleerivate õigusnormide, nagu harmoneeritud standardite, ühtsete kirjelduste ja komisjoni suuniste järgimist. Selle kättesaadavuse kinnitab komisjon oma otsusega, misjärel hakatakse suure riskiga tehisintellektisüsteeme käsitlevaid norme kohaldama pärast asjakohast üleminekuperioodi. Seda paindlikkust tuleks siiski kohaldada ainult piiratud aja jooksul ja tuleks kehtestada kindel tähtpäev, mis ajaks eeskirju igal juhul kohaldatakse. Lisaks on asjakohane eristada kahte liiki tehisintellektisüsteeme, mis liigitatakse suure riskiga tehisintellektisüsteemideks, ja pikendada tehisintellektimääruse artikli 6 lõike 1 ja I lisa kohaselt suure riskiga tehisintellektisüsteemideks liigitatavate tehisintellektisüsteemide pikemat üleminekuperioodi. • Selgitatakse, et muudatusi, mis on vajalikud suure riskiga tehisintellektisüsteeme reguleerivate nõuete integreerimiseks I lisa B jaos loetletud valdkondlikesse õigusaktidesse, kohaldatakse alates digivaldkonna koondpaketi jõustumisest. • Lõige 33 on seotud lõike 11 muudatusega ja sellega lisatakse uus XIV lisa, milles sätestatakse komisjoni teada antud ja määratud organisatsioone käsitleva uue lähenemisviisi infosüsteemi jaoks uues XIV lisas osutatud tehisintellektisüsteemide koodid, kategooriad ja vastavad liigid. Artikliga 2 muudetakse määrust (EL) 2018/1139, et võimaldada tehisintellektimääruse suure riskiga tehisintellektisüsteeme reguleerivate nõuete sujuvat integreerimist kõnealusesse määrusesse. Artiklis 3 sätestatakse käesoleva määruse jõustumise reegel ja siduvus. ET 10 ET  2025/0359 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS millega muudetakse määruseid (EL) 2024/1689 ja (EL) 2018/1139 seoses tehisintellekti käsitlevate ühtlustatud õigusnormide (tehisintellekti käsitlev digivaldkonna koondpakett) rakendamise lihtsustamisega (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust,1 võttes arvesse Regioonide Komitee arvamust,2 toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1) Euroopa Parlamendi ja nõukogu määruses (EL) 2024/16893 on sätestatud tehisintellekti käsitlevad ühtlustatud õigusnormid ning selle eesmärk on parandada siseturu toimimist, edendada inimkeskse ja usaldusväärse tehisintellekti levikut, tagades samal ajal tervise, ohutuse ja põhiõiguste kõrgetasemelise kaitse ning toetades innovatsiooni. Määrus (EL) 2024/1689 jõustus 1. augustil 2024. Selle sätteid hakatakse kohaldama järk-järgult, kusjuures kõik normid jõustuvad 2. augustiks 2027. (2) Kogemused, mis on saadud määruse (EL) 2024/1689 nende osade rakendamisel, mis on juba jõustunud, võivad anda teavet nende osade rakendamise jaoks, mida alles hakatakse kohaldama. Sellega seoses toob hilinemine selliste standardite ettevalmistamisel, mis peaksid pakkuma suure riskiga tehisintellektisüsteemide pakkujatele tehnilisi lahendusi kõnealusest määrusest tulenevate kohustuste täitmise tagamiseks, ning juhtimis- ja vastavushindamisraamistike hilinenud kehtestamine riiklikul tasandil kaasa oodatust suurema nõuete täitmisega seotud koormuse. Lisaks 1 ELT C , , lk . 2 ELT C , , lk . 3 Euroopa Parlamendi ja nõukogu 13. juuni 2024. aasta määrus (EL) 2024/1689, millega nähakse ette tehisintellekti käsitlevad ühtlustatud õigusnormid ning muudetakse määruseid (EÜ) nr 300/2008, (EL) nr 167/2013, (EL) nr 168/2013, (EL) 2018/858, (EL) 2018/1139 ja (EL) 2019/2144 ning direktiive 2014/90/EL, (EL) 2016/797 ja (EL) 2020/1828 (tehisintellekti käsitlev määrus) (ELT L 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj). ET 11 ET  on sidusrühmadega peetud konsultatsioonide käigus ilmnenud vajadus lisameetmete järele, mis hõlbustaksid rakendamist ja nõuete täitmist ning selgitaksid seda, vähendamata seejuures määruse (EL) 2024/1689 normidega taotletavat tervise, ohutuse ja põhiõiguste kaitse taset tehisintellektiga seotud ohtude eest. (3) Sellest tulenevalt on teatavate rakendamisprobleemide lahendamiseks vaja määrust (EL) 2024/1689 sihipäraselt muuta, et asjakohaseid õigusnorme tulemuslikult kohaldada. (4) Mikroettevõtjate ning väikeste ja keskmise suurusega ettevõtjate (VKEd) määratlusest välja kasvavatel ettevõtjatel – väikestel keskmise turukapitalisatsiooniga ettevõtjatel – on liidu majanduses oluline roll. VKEdega võrreldes näitavad väikesed keskmise turukapitalisatsiooniga ettevõtjad üldiselt kiiremat kasvutempot ning kõrgemat innovatsiooni- ja digitaliseerimistaset. Sellest hoolimata on neil halduskoormusega seoses samasugused probleemid kui VKEdel, mis toob kaasa vajaduse proportsionaalsuse järele määruse (EL) 2024/1689 rakendamisel ja sihipärase toetuse järele. Et võimaldada ettevõtete sujuvat üleminekut VKEdest väikesteks keskmise turukapitalisatsiooniga ettevõtjateks, on oluline käsitleda sidusalt mõju, mida reguleerimine võib avaldada nende tegevusele, kui need ettevõtted kasvavad VKEde segmendist välja ja peavad toime tulema suurettevõtjate suhtes kohaldatavate eeskirjadega. Määruses (EL) 2024/1689 on väikepakkujate jaoks ette nähtud mitu meedet, mida tuleks laiendada väikestele keskmise turukapitalisatsiooniga ettevõtjatele. Et selgitada VKEde ja väikeste keskmise turukapitalisatsiooniga ettevõtjate kohtlemist määruses (EL) 2024/1689, on vaja kehtestada VKEde ja väikeste keskmise turukapitalisatsiooniga ettevõtjate määratlused, mis peaksid vastama komisjoni soovituse 2003/361/EÜ4 lisas ja komisjoni soovituse 2025/3500/EÜ5 lisas esitatud määratlusele. (5) Määruse (EL) 2024/1689 artikliga 4 on praegu kõigile tehisintellektisüsteemide pakkujatele ja juurutajatele kehtestatud kohustus tagada oma töötajate tehisintellektipädevus. Tehisintellektipädevuse arendamine, mis algab haridusest ja koolitusest ning jätkub elukestva õppena, on väga oluline, et anda pakkujatele, juurutajatele ja teistele mõjutatud isikutele vajalikud mõisted tehisintellektisüsteemide kasutuselevõtu kohta teadlike otsuste tegemiseks. Sidusrühmade jagatud kogemused näitavad, et tehisintellektipädevuse edendamisel ei sobi kõigile mõeldud lahendus siiski igat liiki pakkujatele ja juurutajatele, mis muudab sellise horisontaalse kohustuse selle sättega taotletava eesmärgi saavutamiseks ebatõhusaks. Lisaks näitavad andmed, et sellise kohustuse kehtestamine tekitab täiendavat nõuete täitmisega seotud koormust, eelkõige väiksematele ettevõtjatele, kuigi tehisintellektipädevus peaks regulatiivsetele kohustustele ja võimalikele sanktsioonidele vaatamata olema strateegiline prioriteet. Seda arvesse võttes tuleks määruse (EL) 2024/1689 artiklit 4 muuta, et nõuda liikmesriikidelt ja komisjonilt, ilma et see piiraks nende vastavaid 4 Komisjoni 6. mai 2003. aasta soovitus mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.5.2003, lk 36–41, ELI: http://data.europa.eu/eli/reco/2003/361/oj). 5 Komisjoni 21. mai 2025. aasta soovitus (EL) 2025/1099, mis käsitleb väikeste keskmise turukapitalisatsiooniga ettevõtjate määratlust (ELT L, 2025/1099, 28.5.2025, ELI: http://data.europa.eu/eli/reco/2025/1099/oj). ET 12 ET  pädevusi, et nad kutsuksid pakkujaid ja juurutajaid individuaalselt, kollektiivselt ja koostöös asjaomaste sidusrühmadega üles tagama oma töötajate ja muude nende nimel tehisintellektisüsteemide käitamise ja kasutamisega tegelevate isikute piisava tehisintellektipädevuse taseme, sealhulgas pakkudes koolitusvõimalusi ja teaberessursse ning võimaldades heade tavade vahetamist ja muid õiguslikult mittesiduvaid algatusi. Euroopa tehisintellekti nõukoda (edaspidi „nõukoda“) tagab komisjoni ja liikmesriikide vahelise korduva teabevahetuse sellel teemal, samal ajal kui tehisintellekti kasutamise liit võimaldab arutelusid laiema kogukonnaga. See muudatus ei piira komisjoni ja liikmesriikide laiemaid meetmeid tehisintellektialase kirjaoskuse ja pädevuste edendamiseks laiema elanikkonna, sealhulgas eri vanuses õppijate, üliõpilaste ja kodanike seas, eelkõige haridus- ja koolitussüsteemide kaudu. (6) Kallutatuse avastamine ja korrigeerimine on oluline avalik huvi, sest need kaitsevad füüsilisi isikuid kallutatuste kahjuliku mõju, sealhulgas diskrimineerimise eest. Diskrimineerimine võib tuleneda kallutatusest tehisintellektimudelites ja tehisintellektisüsteemides, mis ei ole suure riskiga tehisintellektisüsteemid, mille jaoks on määruses (EL) 2024/1689 juba ette nähtud õiguslik alus, mis lubab töödelda isikuandmete eriliike Euroopa Parlamendi ja nõukogu määruse (EL) 2016/6796 artikli 9 lõike 2 punkti g kohaselt. Pidades silmas, et diskrimineerimine võib tuleneda ka nendest muudest tehisintellektisüsteemidest ja -mudelitest, on seepärast asjakohane, et määrusega (EL) 2024/1689 tuleks kehtestada õiguslik alus isikuandmete eriliikide töötlemiseks ka muude tehisintellektisüsteemide ja tehisintellektimudelite pakkujate ja juurutajate ning suure riskiga tehisintellektisüsteemide juurutajate poolt. Õiguslik alus kehtestatakse kooskõlas määruse (EL) 2016/679 artikli 9 lõike 2 punktiga g, Euroopa Parlamendi ja nõukogu määruse (EL) 2018/17257 artikli 10 lõike 2 punktiga g ning Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/6808 artikli 10 punktiga a ning sellega sätestatakse õiguslik alus, mis võimaldab kõigi tehisintellektisüsteemide ja - mudelite pakkujatel ja juurutajatel töödelda isikuandmete eriliike, kui see on vajalik kallutatuse avastamiseks ja kõrvaldamiseks, tingimusel et kohaldatakse asjakohaseid kaitsemeetmeid, mis täiendavad asjakohasel juhul määrusi (EL) 2016/679 ja (EL) 2018/1725 ning direktiivi (EL) 2016/680. (7) Järjepidevuse tagamiseks, dubleerimise vältimiseks ja halduskoormuse minimeerimiseks seoses määruse (EL) 2024/1689 kohase teada antud asutuste määramise menetlusega, säilitades samal ajal sama kontrollitaseme, peaks uutele 6 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj). 7 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). 8 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89–131, ELI: http://data.europa.eu/eli/dir/2016/680/oj). ET 13 ET  vastavushindamisasutustele ja teada antavatele asutustele, mis määratakse määruse (EL) 2024/1689 I lisa A jaos loetletud liidu ühtlustamisõigusaktide, näiteks Euroopa Parlamendi ja nõukogu määruste (EL) 2017/7459 ja (EL) 2017/74610 alusel, olema kättesaadav üks taotlus ja üks hindamismenetlus, kui selline menetlus on kõnealuste liidu ühtlustamisõigusaktidega kehtestatud. Ühe taotluse ja hindamismenetluse eesmärk on hõlbustada, toetada ja kiirendada määruse (EL) 2024/1689 kohast määramismenetlust, tagades samal ajal vastavuse nõuetele, mida kohaldatakse teada antud asutuste suhtes kõnealuse määruse ja selle I lisa A jaos loetletud liidu ühtlustamisõigusaktide alusel. (8) Määruse (EL) 2024/1689 sujuva kohaldamise ja järjepidevuse tagamiseks tuleks seda muuta. Määruse (EL) 2024/1689 artikli 43 lõike 3 esimesse lõiku tuleks lisada tehniline parandus, et viia vastavushindamisnõuded kooskõlla kõnealuse määruse artiklis 16 sätestatud suure riskiga tehisintellektisüsteemide pakkujate suhtes kehtestatud nõuetega. Lisaks tuleks selgitada, et kui suure riskiga tehisintellektisüsteemi pakkuja suhtes kohaldatakse määruse (EL) 2024/1689 I lisa A jaos loetletud liidu ühtlustamisõigusaktide kohast vastavushindamismenetlust ning vastavushindamine laieneb kvaliteedijuhtimissüsteemi vastavusele kõnealuse määruse ja nende liidu ühtlustamisõigusaktide nõuetele, peaks pakkujal olema võimalik lisada kõnealuse määruse kohased kvaliteedijuhtimissüsteemidega seotud aspektid nende liidu ühtlustamisõigusaktide kohaste kvaliteedijuhtimissüsteemide hulka kooskõlas määruse (EL) 2024/1689 artikli 17 lõikega 3. Artikli 43 lõike 3 teist lõiku tuleks muuta selgitamaks, et teada antud asutused, kellest on teada antud määruse (EL) 2024/1689 I lisa A jaos loetletud liidu ühtlustamisõigusaktide kohaselt ja kelle ülesanne on hinnata kõnealuse määruse I lisa A jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteeme, peaksid taotlema teada antud asutuseks määramist kõnealuse määruse alusel 18 kuu jooksul alates [käesoleva määruse kohaldamise alguskuupäev]. See muudatus ei piira määruse (EL) 2024/1689 artikli 28 kohaldamist. Lisaks tuleks määrust (EL) 2024/1689 muuta selgitamaks, et kui suure riskiga tehisintellektisüsteem on hõlmatud nii määruse (EL) 2024/1689 I lisa A jaos loetletud liidu ühtlustamisõigusaktidega kui ka kuulub ühe kõnealuse määruse III lisas loetletud kasutusjuhu alla, peaks pakkuja järgima asjakohast vastavushindamismenetlust, nagu on nõutud asjaomases ühtlustamisõigusaktis. (9) Nõuete täitmise lihtsustamiseks ja sellega seotud kulude vähendamiseks ei tohiks tehisintellektisüsteemide pakkujatelt nõuda määruse (EL) 2024/1689 artikli 6 lõikes 3 osutatud tehisintellektisüsteemide registreerimist ELi andmebaasis kooskõlas kõnealuse määruse artikli 49 lõikega 2. Võttes arvesse, et selliseid süsteeme ei peeta 9 Euroopa Parlamendi ja nõukogu 5. aprilli 2017. aasta määrus (EL) 2017/745, milles käsitletakse meditsiiniseadmeid, millega muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja määrust (EÜ) nr 1223/2009 ning millega tunnistatakse kehtetuks nõukogu direktiivid 90/385/EMÜ ja 93/42/EMÜ (ELT L 117, 5.5.2017, lk 1, ELI: http://data.europa.eu/eli/reg/2017/745/oj). 10 Euroopa Parlamendi ja nõukogu 5. aprilli 2017. aasta määrus (EL) 2017/746 in vitro diagnostikameditsiiniseadmete kohta ning millega tunnistatakse kehtetuks direktiiv 98/79/EÜ ja komisjoni otsus 2010/227/EL (ELT L 117, 5.5.2017, lk 176, ELI: http://data.europa.eu/eli/reg/2017/746/oj). ET 14 ET  teatavatel tingimustel – kui need ei kujuta endast märkimisväärset ohtu inimeste tervisele, ohutusele või põhiõigustele – suure riskiga süsteemideks, kujutaks registreerimisnõuete kehtestamine endast ebaproportsionaalset nõuete täitmisega seotud koormust. Pakkuja, kes leiab, et tehisintellektisüsteem kuulub artikli 6 lõike 3 kohaldamisalasse, on siiski kohustatud dokumenteerima oma hinnangu enne selle süsteemi turule laskmist või kasutusele võtmist. Sellist hindamist võivad nõuda riiklikud pädevad asutused. (10) Määruse (EL) 2024/1689 artikleid 57, 58 ja 60 tuleks muuta, et tugevdada veelgi tehisintellekti regulatiivliivakastide koostööd liidu tasandil, suurendada tehisintellekti regulatiivliivakastide juhtimise selgust ja järjepidevust ning laiendada väljaspool tehisintellekti regulatiivliivakaste toimuva tegelikes tingimustes testimise ulatust suure riskiga tehisintellektisüsteemidele, mis on hõlmatud kõnealuse määruse I lisas loetletud liidu ühtlustamisõigusaktidega. Eelkõige selleks, et võimaldada vajaduse korral menetlusi lihtsustada projektide puhul, mille üle toimub järelevalve tehisintellekti regulatiivliivakastides, mis hõlmavad ka tegelikes tingimustes testimist, tuleks tegelikes tingimustes testimise kava integreerida ühes dokumendis pakkujate või võimalike pakkujate ja pädeva asutuse vahel kokku lepitud regulatiivliivakasti kavasse. Lisaks on asjakohane anda tehisintellektiametile võimalus luua liidu tasandil tehisintellekti regulatiivliivakast tehisintellektisüsteemide jaoks, mis on hõlmatud määruse (EL) 2024/1689 artikli 75 lõikega 1. Nende taristute võimendamine ja piiriülese koostöö hõlbustamine ühtlustaks koordineerimist paremini ja ressursse kasutataks optimaalselt. (11) Innovatsiooni edendamiseks on asjakohane laiendada ka määruse (EL) 2024/1689 artiklis 60 sätestatud tegelikes tingimustes väljaspool tehisintellekti regulatiivliivakaste toimuva testimise ulatust, mis hõlmab praegu kõnealuse määruse III lisas loetletud suure riskiga tehisintellektisüsteeme, ning lubada kõnealuse määruse I lisas loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide pakkujatel ja võimalikel pakkujatel samuti testida selliseid süsteeme tegelikes tingimustes. See ei piira muude liidu või riiklike õigusaktide kohaldamist, mis käsitlevad nende liidu ühtlustamisõigusaktidega hõlmatud toodetega seotud suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes. Et käsitleda kõnealuse määruse I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide konkreetset olukorda, on vaja lubada komisjoni ja liikmesriikide vahel vabatahtlike kokkulepete sõlmimist, et võimaldada selliste suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes. (12) Määruse (EL) 2024/1689 artikliga 63 antakse suure riskiga tehisintellektisüsteemide pakkujatest mikroettevõtjatele võimalus kasutada kvaliteedijuhtimissüsteemi loomise kohustuse täitmiseks lihtsustatud viisi. Et hõlbustada nõuete täitmist suurema arvu novaatorite jaoks, tuleks seda võimalust laiendada kõigile VKEdele, sealhulgas idufirmadele. (13) Määruse (EL) 2024/1689 artiklit 69 tuleks muuta, et lihtsustada teaduskomisjoni tasude struktuuri. Kui liikmesriigid kasutavad teaduskomisjoni eksperditeadmisi, peaksid tasud, mille maksmist ekspertidele neilt võidakse nõuda, olema samaväärsed tasudega, mida komisjon on kohustatud sarnastel asjaoludel maksma. Lisaks peaks liikmesriikidel olema menetluse keerukuse vähendamiseks võimalik konsulteerida teaduskomisjoni ekspertidega otse, ilma komisjoni kaasamata. (14) Üldotstarbelistel tehisintellektimudelitel põhinevate tehisintellektisüsteemide juhtimise süsteemi tugevdamiseks on vaja selgitada tehisintellektiameti rolli selliste ET 15 ET  tehisintellektisüsteemide määrusele (EL) 2024/1689 vastavuse jälgimisel ja järelevalves, jättes samal ajal välja tehisintellektisüsteemid, mis on seotud kõnealuse määruse I lisas loetletud liidu ühtlustamisõigusaktidega hõlmatud toodetega. Kuigi valdkondlikud asutused vastutavad ka edaspidi liidu ühtlustamisõigusaktidega hõlmatud toodetega seotud tehisintellektisüsteemide järelevalve eest, tuleks määruse (EL) 2024/1689 artikli 75 lõiget 1 muuta, et lisada kõik sama pakkuja välja töötatud üldotstarbelistel tehisintellektimudelitel põhinevad tehisintellektisüsteemid tehisintellektiameti järelevalve kohaldamisalasse. See ei hõlma tehisintellektisüsteeme, mille on turule lasknud, kasutusele võtnud või mida kasutavad liidu institutsioonid, organid või asutused, mis määruse (EL) 2024/1689 artikli 74 lõike 9 kohaselt kuuluvad Euroopa Andmekaitseinspektori järelevalve alla. Et tagada nende tehisintellektisüsteemide tulemuslik järelevalve kooskõlas turujärelevalveasutustele määrusega (EL) 2024/1689 määratud ülesannete ja kohustustega, peaks tehisintellektiametil olema õigus võtta asjakohaseid meetmeid ja teha otsuseid, et kasutada nõuetekohaselt oma volitusi, mis on sätestatud kõnealuses lõikes ning Euroopa Parlamendi ja nõukogu määruses (EL) 2019/102011. Määruse (EL) 2019/1020 artiklit 14 tuleks kohaldada mutatis mutandis. Lisaks peaksid määruse (EL) 2024/1689 kohaldamises osalevad asutused tegema tulemusliku täitmise tagamiseks nende volituste kasutamisel aktiivselt koostööd, eelkõige juhul, kui liikmesriigi territooriumil on vaja võtta meetmeid täitmise tagamiseks. (15) Võttes arvesse praegust Euroopa Parlamendi ja nõukogu määruse (EL) 2022/206512 kohast järelevalve- ja täitmise tagamise süsteemi, on asjakohane anda komisjonile määruse (EL) 2024/1689 kohased pädeva turujärelevalveasutuse volitused, kui tehisintellektisüsteem kvalifitseerub väga suureks digiplatvormiks või väga suureks internetipõhiseks otsingumootoriks määruse (EL) 2022/2065 tähenduses või on sellisesse platvormi või otsingumootorisse integreeritud. See peaks aitama tagada, et komisjoni järelevalve- ja täitmise tagamise volitusi, mis tulenevad määrustest (EL) 2024/1689 ja (EL) 2022/2065, ning volitusi, mida kohaldatakse sellistesse platvormidesse või otsingumootoritesse integreeritud üldotstarbeliste tehisintellektimudelite suhtes, kasutatakse sidusalt. Tehisintellektisüsteemide puhul, mis on integreeritud väga suurde digiplatvormi või otsingumootorisse või mis kvalifitseeruvad väga suureks digiplatvormiks või otsingumootoriks, alustatakse tehisintellektisüsteemi hindamist määruse (EL) 2022/2065 artiklites 34, 35 ja 37 sätestatud riskihindamisest, leevendusmeetmetest ja auditikohustusest, ilma et see piiraks tehisintellektiameti volitusi tagantjärele uurida käesoleva määruse normide rikkumist ja tagada nende täitmine. Selle riskihindamise, leevendusmeetmete ja auditite analüüsi raames võivad määruse (EL) 2022/2065 täitmise tagamise eest vastutavad komisjoni talitused küsida tehisintellektiameti arvamust käesoleva määruse alusel tehtava võimaliku varasema või paralleelse riskihindamise tulemuste ja 11 Euroopa Parlamendi ja nõukogu 20. juuni 2019. aasta määrus (EL) 2019/1020 turujärelevalve ja toodete vastavuse kohta ning millega muudetakse direktiivi 2004/42/EÜ ja määruseid (EÜ) nr 765/2008 ja (EL) nr 305/2011 (ELT L 169, 25.6.2019, lk 1, ELI: http://data.europa.eu/eli/reg/2019/1020/oj). 12 Euroopa Parlamendi ja nõukogu 19. oktoobri 2022. aasta määrus (EL) 2022/2065, mis käsitleb digiteenuste ühtset turgu ja millega muudetakse direktiivi 2000/31/EÜ (digiteenuste määrus) (ELT L 277, 27.10.2022, lk 1, ELI: http://data.europa.eu/eli/reg/2022/2065/oj). ET 16 ET  käesoleva määruse kohaste keeldude kohaldatavuse kohta. Lisaks peaksid tehisintellektiamet ja määruse (EL) 2024/1689 kohased pädevad riiklikud asutused kooskõlastama oma täitmise tagamise alased jõupingutused määruse (EL) 2022/2065 järelevalve ja täitmise eest vastutavate pädevate asutustega, sealhulgas komisjoniga, et tagada lojaalse koostöö, proportsionaalsuse ja topeltkaristamise keelu põhimõtete järgimine, samal ajal kui vastava teise määruse alusel saadud teavet kasutataks teise määruse järelevalve ja täitmise tagamise eesmärgil üksnes juhul, kui ettevõtja sellega nõustub. Eelkõige peaksid need asutused vahetama korrapäraselt arvamusi ja võtma oma pädevuse piires arvesse trahve ja karistusi, mis on määratud samale teenuseosutajale sama tegevuse eest lõpliku otsusega muude liidu või riigisiseste õigusnormide rikkumisega seotud menetluses, tagamaks, et määratud trahvid ja karistused kokku on proportsionaalsed ja vastavad toimepandud rikkumiste raskusastmele. (16) Määruse (EL) 2024/1689 artikli 75 lõikes 1 sätestatud tehisintellektiameti järelevalve ja nõuete täitmise tagamise veelgi operatiivsemaks muutmiseks on vaja täpsemalt kindlaks määrata, millised määruse (EL) 2019/1020 artiklis 14 loetletud volitused tuleks anda tehisintellektiametile. Seepärast peaks komisjonil olema õigus võtta kooskõlas artiklis 99 osutatud tingimuste ja ülemmääradega ning kohaldatavate menetlustega vastu rakendusakte, et täpsustada kõnealuseid volitusi, sealhulgas võimalust määrata karistusi, näiteks trahve või muid halduskaristusi. See peaks tagama, et tehisintellektiametil on vajalikud vahendid määruse (EL) 2024/1689 täitmise tulemuslikuks jälgimiseks ja järelevalveks. (17) Lisaks on oluline tagada, et tehisintellektiameti jälgimise ja järelevalve all olevate tehisintellektisüsteemide pakkujate suhtes kohaldatakse tõhusaid menetluslikke tagatisi. Selleks tuleks tehisintellektisüsteemide pakkujate suhtes kohaldada mutatis mutandis määruse (EL) 2019/1020 artiklis 18 sätestatud menetlusõigusi, ilma et see piiraks määruses (EL) 2024/1689 sätestatud konkreetsemaid menetlusõigusi. (18) Võimaldamaks selliste tehisintellektisüsteemide juurdepääsu liidu turule, mis on määruse (EL) 2024/1689 artikli 75 kohaselt tehisintellektiameti järelevalve all ja mille suhtes kohaldatakse kolmanda isiku vastavushindamist, peaks komisjonil olema võimalik teha nende süsteemide turustamiseelseid vastavushindamisi. (19) Määruse (EL) 2024/1689 artikkel 77 ja sellega seotud sätted kujutavad endast olulist juhtimismehhanismi, kuna nende eesmärk on võimaldada ametiasutustel või organitel, mis vastutavad põhiõiguste kaitseks kehtestatud liidu õigusaktide täitmise või järelevalve eest, täita konkreetsetel tingimustel oma ülesandeid ning edendada koostööd turujärelevalveasutustega, mis vastutavad kõnealuse määruse järelevalve ja täitmise eest. On vaja selgitada sellise koostöö ulatust ning seda, millised avaliku sektori asutused või organid sellest kasu saavad. Koostöö tugevdamiseks tuleks selgitada, et teabele ja dokumentidele juurdepääsu taotlused tuleks esitada pädevale turujärelevalveasutusele, kes peaks sellistele taotlustele vastama, ning et asjaomastel asutustel ja organitel peaks olema vastastikune kohustus teha koostööd. (20) Et anda generatiivsete tehisintellektisüsteemide pakkujatele, kelle suhtes kohaldatakse määruse (EL) 2024/1689 artikli 50 lõikes 2 sätestatud märgistamiskohustust, piisavalt aega oma tavade kohandamiseks mõistliku aja jooksul ilma turgu häirimata, on asjakohane kehtestada kuuekuuline üleminekuperiood pakkujatele, kes on oma süsteemid juba turule lasknud enne 2. augustit 2026. (21) Et anda suure riskiga tehisintellektisüsteemide pakkujatele piisavalt aega ja selgitada enne määruse (EL) 2024/1689 asjakohaste sätete kohaldamise algust juba turule lastud ET 17 ET  või kasutusele võetud tehisintellektisüsteemide suhtes kohaldatavaid õigusnorme, on asjakohane selgitada kõnealuse määruse artikli 111 lõikes 2 sätestatud ajapikenduse kohaldamist. Artikli 111 lõike 2 kohaldamisel tuleks ajapikendust kohaldada juba turule lastud tehisintellektisüsteemide liigi ja mudeli suhtes. See tähendab, et kui vähemalt üks suure riskiga tehisintellektisüsteemi üksikeksemplar on seaduslikult turule lastud või kasutusele võetud enne artikli 111 lõikes 2 sätestatud kuupäeva, kohaldatakse suure riskiga tehisintellektisüsteemi muude sama liiki ja sama mudeli üksikeksemplaride suhtes artikli 111 lõikes 2 sätestatud ajapikendust ning seega võib neid jätkuvalt liidu turule lasta, seal kättesaadavaks teha või kasutusele võtta ilma lisakohustuste, -nõuete või täiendava sertifitseerimise vajaduseta, tingimusel et selle suure riskiga tehisintellektisüsteemi projekt jääb samaks. Artikli 111 lõikes 2 sätestatud ajapikenduse kohaldamisel on otsustavaks teguriks kuupäev, mil suure riskiga tehisintellektisüsteemi seda liiki ja selle mudeli esimene eksemplar esimest korda liidu turule lasti või liidu turul kasutusele võeti. Iga oluline muudatus selle tehisintellektisüsteemi projektis pärast artikli 111 lõikes 2 sätestatud kuupäeva peaks tooma pakkujale kohustuse täita täielikult kõiki suure riskiga tehisintellektisüsteemide suhtes kohaldatavaid käesoleva määruse asjakohaseid sätteid, sealhulgas vastavushindamisnõudeid. (22) Määruse (EL) 2024/1689 artiklis 113 on sätestatud kõnealuse määruse jõustumise ja kohaldamise kuupäevad, eelkõige see, et üldine kohaldamise kuupäev on 2. august 2026. Määruse (EL) 2024/1689 III peatüki 1., 2. ja 3. jaos sätestatud suure riskiga tehisintellektisüsteemidega seotud kohustuste puhul põhjustavad standardite, ühiste spetsifikatsioonide ja alternatiivsete suuniste hilinenud kättesaadavus ning riiklike pädevate asutuste hilinenud loomine probleeme, mis ohustavad nende kohustuste tegelikku jõustumist ja võivad märkimisväärselt suurendada rakenduskulusid viisil, mis ei õigusta nende esialgse kohaldamiskuupäeva ehk 2. augusti 2026 kehtima jätmist. Kogemustele tuginedes on asjakohane kehtestada mehhanism, mis seob kohaldamise alguse III peatüki järgimist toetavate meetmete kättesaadavusega, mis võib hõlmata harmoneeritud standardeid, ühiseid spetsifikatsioone ja komisjoni suuniseid. Komisjon peaks seda otsusega kinnitama, pärast mida tuleks suure riskiga tehisintellektisüsteemide õigusnormidest tulenevaid kohustusi kohaldada kuue kuu möödumisel tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks määruse (EL) 2024/1689 artikli 6 lõike 2 ja III lisa kohaselt, ning 12 kuu möödumisel tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks artikli 6 lõike 1 ja I lisa kohaselt. Seda paindlikkust tuleks siiski pikendada üksnes kuni 2. detsembrini 2027 tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks artikli 6 lõike 2 ja III lisa kohaselt, ning kuni 2. augustini 2028 tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks kõnealuse määruse artikli 6 lõike 1 ja I lisa kohaselt, ning nendeks kuupäevadeks peaksid kõnealused õigusnormid olema igal juhul jõustunud. See, et eristatakse kõnealuse määruse artikli 6 lõike 2 ja III lisa ning artikli 6 lõike 1 ja I lisa kohaselt suure riskiga tehisintellektisüsteemideks liigitatud tehisintellektisüsteemide suhtes normide kohaldamise algust, on kooskõlas erinevusega määruses (EL) 2024/1689 sätestatud esialgsete kohaldamiskuupäevade vahel ning selle eesmärk on anda vastavate kohustuste kohandamiseks ja rakendamiseks vajalikku aega. (23) Pidades silmas eesmärki vähendada rakendamisega seotud raskusi kodanike, ettevõtjate ja haldusasutuste jaoks, on oluline, et teatavate õigusnormide rakendamise ühtlustatud tingimused võetakse vastu üksnes juhul, kui see on rangelt vajalik. Selleks ET 18 ET  on asjakohane kaotada teatavad komisjonile antud volitused võtta selliseid ühtlustatud tingimusi vastu rakendusaktidega, kui need tingimused ei ole täidetud. Seepärast tuleks määrust (EL) 2024/1689 muuta, et jätta välja komisjonile kõnealuse määruse artikli 50 lõikega 7, artikli 56 lõikega 6 ja artikli 72 lõikega 3 antud volitused võtta vastu rakendusakte. Kui määruse (EL) 2024/1689 artikli 72 lõikes 3 sätestatud turustamisjärgse seire kava ühtlustatud vormi vastuvõtmise õigus jäetakse välja, on kasulik ka selle poolest, et sedasi antakse suure riskiga tehisintellektisüsteemide pakkujatele suurem paindlikkus kehtestada nende organisatsiooni vajadustele kohandatud turustamisjärgse seire süsteem. Tõdedes, et on vaja pakkuda selgust selle kohta, kuidas suure riskiga tehisintellektisüsteemide pakkujad peavad nõudeid täitma, tuleks komisjonilt ühtlasi nõuda suuniste avaldamist. (24) Suure riskiga tehisintellektisüsteemide vastavushindamine määruse (EL) 2024/1689 alusel võib eeldada vastavushindamisasutuste kaasamist. Vastavushindamist võivad teha üksnes kõnealuse määruse alusel määratud vastavushindamisasutused ning üksnes asjaomaste tehisintellektisüsteemide kategooriate ja liikidega seotud tegevuse puhul. Et oleks võimalik täpsustada määruse (EL) 2024/1689 artikli 30 kohaselt teada antud vastavushindamisasutuste määramise ulatust, on vaja koostada loetelu tehisintellektisüsteemide koodidest, kategooriatest ja vastavatest liikidest. Koodide loetelus tuleks arvesse võtta, kas tehisintellektisüsteem on toote komponent või on ise toode, mis on hõlmatud I lisas loetletud liidu ühtlustamisõigusaktidega (edaspidi „AIP-koodid“ tooteid käsitlevate õigusaktidega hõlmatud tehisintellektisüsteemide puhul) või määruse (EL) 2024/1689 III lisas osutatud süsteem, mis praegu puudutab üksnes III lisa punktis 1 osutatud biomeetrilisi tehisintellektisüsteeme (edaspidi „AIB- koodid“ biomeetriliste tehisintellektisüsteemide puhul). Nii AIP-koodid kui ka AIB- koodid on vertikaalsed koodid. AIP-koodid on viitekoodid, mis loovad seose määruse (EL) 2024/1689 I lisa A jaos loetletud liidu ühtlustamisõigusaktidega. AIB-koodid on määrusele (EL) 2024/1689 eriomased uued koodid kõnealuse määruse III lisa punktis 1 osutatud biomeetriliste tehisintellektisüsteemide tuvastamiseks. Koodide loetelus tuleks arvesse võtta ka tehisintellektisüsteemide konkreetseid liike ja alustehnoloogiaid (edaspidi „AIH-koodid“ tehisintellektisüsteemide horisontaalsete koodide puhul). AIH-koodid on uued tehisintellektitehnoloogiale eriomased koodid, mida saab kohaldada koos vertikaalsete AIP- või AIB-koodidega. AIH-koodid hõlmavad tehisintellektisüsteemide alustüüpe ja -tehnoloogiaid. Koodide loetelus, mis hõlmab kolme kategooriat, tuleks ette näha tehisintellektisüsteemide mitmemõõtmeline tüpoloogia, millega tagatakse, et teada antud asutusteks määratud vastavushindamisasutused on täielikult pädevad nende tehisintellektisüsteemide alal, mida nad peavad hindama. (25) Euroopa Parlamendi ja nõukogu määruses (EL) 2018/113913 on sätestatud tsiviillennunduse valdkonna ühisnormid. Määruse (EL) 2024/1689 artiklis 108 on 13 Euroopa Parlamendi ja nõukogu 4. juuli 2018. aasta määrus (EL) 2018/1139, mis käsitleb tsiviillennunduse valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008, (EL) nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL ning 2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr 552/2004 ET 19 ET  sätestatud määruse (EL) 2018/1139 muudatused, millega tagatakse, et komisjon võtab tsiviillennundussektori tehniliste ja regulatiivsete iseärasuste alusel ning sekkumata selles sätestatud olemasolevatesse juhtimis-, vastavushindamis- ja nõuete täitmise mehhanismidesse ja asutustesse, arvesse määruses (EL) 2024/1689 suure riskiga tehisintellektisüsteemidele sätestatud kohustuslikke nõudeid, kui ta võtab kõnealuse õigusakti alusel vastu asjakohaseid delegeeritud õigusakte või rakendusakte. Tagamaks, et need määruses (EL) 2024/1689 suure riskiga tehisintellektisüsteemidele sätestatud kohustuslikud nõuded on täielikult täidetud, kui määruse (EL) 2018/1139 alusel võetakse vastu asjakohaseid delegeeritud õigusakte või rakendusakte, on vaja tehnilist parandust, millega laiendatakse määruse (EL) 2018/1139 konkreetseid sätteid. (26) Et tagada õiguskindlus võimalikult kiiresti ja pidades silmas määruse (EL) 2024/1689 peatset üldist kohaldamist, peaks käesolev määrus jõustuma võimalikult kiiresti, ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: Artikkel 1 Määruse (EL) 2024/1689 muutmine Määrust (EL) 2024/1689 muudetakse järgmiselt. (1) Artikli 1 lõike 2 punkt g asendatakse järgmisega: „g) innovatsiooni toetavad meetmed, mis keskenduvad eelkõige väikestele keskmise turukapitalisatsiooniga ettevõtjatele ning väikestele ja keskmise suurusega ettevõtjatele (VKEdele), sealhulgas idufirmadele.“ (2) Artikli 2 lõige 2 asendatakse järgmisega: „2. Artikli 6 lõike 1 kohaselt suure riskiga tehisintellektisüsteemideks liigitatud süsteemide puhul, mis on seotud I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud toodetega, kohaldatakse üksnes artikli 6 lõiget 1, artiklit 60a, artikleid 102–109 ning artikleid 111 ja 112. Artiklit 57 kohaldatakse üksnes niivõrd, kuivõrd käesoleva määruse kohased suure riskiga tehisintellektisüsteemidele esitatavad nõuded on nendesse liidu ühtlustamisõigusaktidesse integreeritud.“ (3) Artiklisse 3 lisatakse punktid 14a ja 14b järgmises sõnastuses: „14a) „mikro-, väike- ja keskmise suurusega ettevõtja (edaspidi „VKE“)“ – komisjoni soovituse 2003/361/EÜ lisa artiklis 2 määratletud mikro-, väike- ja keskmise suurusega ettevõtja; 14b) „väike keskmise turukapitalisatsiooniga ettevõtja“ – komisjoni soovituse (EL) 2025/1099 lisa punktis 2 määratletud väike keskmise turukapitalisatsiooniga ettevõtja;“. (4) Artikkel 4 asendatakse järgmisega: ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.8.2018, lk 1–122, ELI: http://data.europa.eu/eli/reg/2018/1139/oj). ET 20 ET  „ Artikkel 4. Tehisintellektipädevus Komisjon ja liikmesriigid julgustavad tehisintellektisüsteemide pakkujaid ja juurutajaid võtma meetmeid, et tagada oma töötajate ja muude nende nimel tehisintellektisüsteemide käitamise ja kasutamisega tegelevate isikute piisav tehisintellektipädevus, võttes arvesse nende tehnilisi teadmisi, kogemusi, haridus- ja koolitustaset ning konteksti, milles tehisintellektisüsteeme tuleb kasutada, ning arvestades isikuid või isikute rühmi, kelle puhul tehisintellektisüsteeme kasutatakse.“ (5) I peatükki lisatakse artikkel 4a järgmises sõnastuses: „Artikkel 4a Isikuandmete eriliikide töötlemine kallutatuse avastamiseks ja leevendamiseks 1. Niivõrd kui see on vajalik, et tagada suure riskiga tehisintellektisüsteemide puhul kallutatuse avastamine ja korrigeerimine kooskõlas käesoleva määruse artikli 10 lõike 2 punktidega f ja g, võivad selliste süsteemide pakkujad erandkorras töödelda isikuandmete eriliike, tingimusel et füüsiliste isikute põhiõiguste ja -vabaduste kaitseks kohaldatakse asjakohaseid kaitsemeetmeid. Lisaks määrustes (EL) 2016/679 ja (EL) 2018/1725 ning direktiivis (EL) 2016/680 sätestatud kaitsemeetmetele peavad selliseks töötlemiseks vastavalt asjaoludele olema täidetud kõik järgmised tingimused: a) kallutatuse tuvastamist ja korrigeerimist ei ole võimalik tulemuslikult saavutada muude andmete, sealhulgas tehisandmete või anonüümitud andmete töötlemisega; b) isikuandmete eriliikide suhtes kehtivad isikuandmete taaskasutamise tehnilised piirangud ning tipptasemel turva- ja privaatsuse säilitamise meetmed, sealhulgas pseudonüümimine; c) isikuandmete eriliikide suhtes kohaldatakse meetmeid, millega tagatakse töödeldavate isikuandmete turvalisus ja kaitse, kohaldades asjakohaseid kaitsemeetmeid, sealhulgas juurdepääsu range kontroll ja dokumenteerimine, et vältida väärkasutust ja tagada, et ainult volitatud isikutel, kellel on asjakohased konfidentsiaalsuskohustused, on juurdepääs kõnealustele isikuandmetele; d) isikuandmete eriliike ei edastata, ega anta üle ning need ei ole teistele isikutele muul moel kättesaadavad; e) isikuandmete eriliigid kustutatakse, kui kallutatus on korrigeeritud või kui isikuandmete säilitamise periood saab läbi, olenevalt sellest, kumb saabub varem; f) määruste (EL) 2016/679 ja (EL) 2018/1725 ning direktiivi (EL) 2016/680 kohane isikuandmete töötlemise toimingute registreerimine hõlmab põhjuseid, miks isikuandmete eriliikide töötlemine oli vajalik kallutatuse avastamiseks ja korrigeerimiseks ning miks seda eesmärki ei olnud võimalik saavutada muude andmete töötlemisega. ET 21 ET  2. Lõiget 1 võib kohaldada muude tehisintellektisüsteemide ja -mudelite pakkujate ja juurutajate ning suure riskiga tehisintellektisüsteemide juurutajate suhtes, kui see on vajalik ja proportsionaalne, kui töötlemine toimub selles lõikes sätestatud eesmärkidel ja tingimusel, et selles lõikes sätestatud kaitsemeetmetes sätestatud tingimused on täidetud.“ (6) Artikli 6 lõige 4 asendatakse järgmisega: „4. Pakkuja, kes leiab, et III lisas osutatud tehisintellektisüsteem ei ole suure riskiga, dokumenteerib oma hinnangu enne selle süsteemi turule laskmist või kasutusele võtmist. Riigi pädevate asutuste taotluse korral esitab pakkuja hindamise dokumendid.“ (7) Artiklit 10 muudetakse järgmiselt: (a) lõige 1 asendatakse järgmisega: „1. Kui tegemist on suure riskiga tehisintellektisüsteemidega, milles kasutatavad meetodid hõlmavad mudelite treenimist andmetega, tuleb nende süsteemide arendamiseks kasutada treenimis-, valideerimis- ja testimisandmestikke, mis vastavad käesoleva artikli lõigetes 2, 3 ja 4 ning artikli 4a lõikes 1 osutatud kvaliteedikriteeriumidele, kui selliseid andmestikke kasutatakse.“; (b) lõige 5 jäetakse välja; (c) lõige 6 asendatakse järgmisega: „6. Selliste suure riskiga tehisintellektisüsteemide arendamisel, mille puhul ei kasutata tehisintellektimudelite treenimist hõlmavaid meetodeid, kohaldatakse käesoleva artikli lõikeid 2, 3 ja 4 ning artikli 4a lõiget 1 üksnes testimisandmestike suhtes.“ (8) Artikli 11 lõikes 1 asendatakse teine lõik järgmisega: „See tehniline dokumentatsioon koostatakse selliselt, et see tõendaks suure riskiga tehisintellektisüsteemi vastavust käesolevas jaos sätestatud nõuetele ja annaks riikide pädevatele asutustele ja teada antud asutustele selgel ja terviklikul kujul teabe, mis on vajalik, et hinnata tehisintellektisüsteemi vastavust neile nõuetele. Dokumentatsioon peab sisaldama vähemalt IV lisas loetletud elemente. Väikesed keskmise turukapitalisatsiooniga ettevõtjad ja VKEd, sealhulgas idufirmad, võivad esitada IV lisas täpsustatud tehnilise dokumentatsiooni elemente lihtsustatud viisil. Selleks koostab komisjon väikeste keskmise turukapitalisatsiooniga ettevõtjate ja VKEde, sealhulgas idufirmade vajadustele vastava lihtsustatud tehnilise dokumentatsiooni vormi. Kui väike keskmise turukapitalisatsiooniga ettevõtja või VKE, sealhulgas idufirma, otsustab esitada IV lisas nõutud teabe lihtsustatud korras, kasutab ta käesolevas lõikes osutatud vormi. Teada antud asutused peavad seda vormi vastavushindamise tegemisel arvestama.“ (9) Artikli 17 lõige 2 asendatakse järgmisega: „2. Lõikes 1 osutatud aspektide rakendamine peab olema proportsionaalne pakkuja organisatsiooni suurusega, eelkõige juhul, kui pakkuja on väike keskmise turukapitalisatsiooniga ettevõtja või VKE, sealhulgas idufirma. Pakkujad võtavad igal juhul arvesse sellist rangusastet ja kaitsetaset, mis ET 22 ET  on vajalik, et tagada oma suure riskiga tehisintellektisüsteemide vastavus käesolevale määrusele.“ (10) Artiklile 28 lisatakse lõige 8 järgmises sõnastuses: „8. Käesoleva määruse alusel määratud teavitavad asutused, kes vastutavad I lisa A jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud tehisintellektisüsteemide eest, luuakse ning neid korraldatakse ja käitatakse viisil, mis tagab, et vastavushindamisasutusele, kes taotleb määramist nii käesoleva määruse kui ka I lisa A jaos loetletud liidu ühtlustamisõigusaktide alusel, antakse võimalus esitada üks taotlus ja läbida üks hindamismenetlus, mis määratakse käesoleva määruse ja I lisa A jaos loetletud liidu ühtlustamisõigusaktide alusel, kui asjakohastes liidu ühtlustamisõigusaktides on selline ühe taotluse ja ühe hindamise menetlus ette nähtud. Käesolevas lõikes osutatud ühe taotluse ja ühe hindamise menetlus tehakse kättesaadavaks ka I lisa A jaos loetletud liidu ühtlustamisõigusaktide alusel juba määratud teada antud asutustele, kui need teada antud asutused taotlevad määramist käesoleva määruse alusel, tingimusel et selline menetlus on ette nähtud asjakohaste liidu ühtlustamisõigusaktidega. Ühe taotluse ja ühe hindamismenetlusega välditakse tarbetut dubleerimist, tuginetakse I lisa A jaos loetletud liidu ühtlustamisõigusaktide kohastele olemasolevatele määramismenetlustele ning tagatakse vastavus nõuetele, mis käsitlevad nii käesoleva määruse kohaselt kui ka asjakohaste liidu ühtlustamisõigusaktide kohaselt teada antud asutusi.“ (11) Artikli 29 lõige 4 asendatakse järgmisega: „4. Kui tegemist on teada antud asutusega, mis on määratud mõne muu liidu ühtlustamisõigusakti alusel, võib vastavalt vajadusele kasutada kõiki kõnealuste määramistega seotud dokumente ja tõendeid nende määramise toetamiseks ja kiirendamiseks käesoleva määruse alusel. Teada antud asutused, mis on määratud mõne I lisa A jaos loetletud liidu ühtlustamisõigusakti alusel ja mis taotlevad artikli 28 lõikes 8 osutatud ühe hindamise menetlust, esitavad ühe taotluse hindamiseks selle liidu ühtlustamisõigusakti kohaselt määratud teavitavale asutusele. Teada antud asutus ajakohastab käesoleva artikli lõigetes 2 ja 3 osutatud dokumentatsiooni alati, kui tehakse asjakohaseid muudatusi, et teada antud asutuste eest vastutav asutus saaks jälgida ja kontrollida pidevat vastavust kõigile artiklis 31 sätestatud nõuetele.“ (12) Artikli 30 lõige 2 asendatakse järgmisega: „2. Teavitavad asutused teavitavad XIV lisas osutatud koodide, kategooriate ja vastavate tehisintellektisüsteemi liikide loetelu alusel ning komisjoni välja töötatud ja hallatavat elektroonilist teatamisvahendit kasutades komisjoni ja teisi liikmesriike igast lõikes 1 osutatud vastavushindamisasutusest. Komisjonil on kooskõlas artikliga 97 õigus võtta vastu delegeeritud õigusakte XIV lisa muutmiseks, et võtta arvesse tehnika arengut, teadmiste täiustumist või uusi teaduslikke tõendeid ning lisada koodide, ET 23 ET  kategooriate ja vastavate tehisintellektisüsteemide liikide loetellu uus kood, kategooria või tehisintellektisüsteemi liik, eemaldada sellest loetelust olemasoleva kood, kategooria või tehisintellektisüsteemi liik või viia kood või tehisintellektisüsteemi liik ühest kategooriast teise.“ (13) Artikli 43 lõige 3 asendatakse järgmisega: „I lisa A jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide puhul järgib süsteemi pakkuja asjaomaste liidu ühtlustamisõigusaktide kohaselt nõutavat asjaomast vastavushindamismenetlust. Selliste suure riskiga tehisintellektisüsteemide suhtes kohaldatakse käesoleva peatüki 2. jaos sätestatud nõudeid ning need nõuded on vastavushindamise osa. Kohaldatakse ka artiklis 17 ja VII lisas sätestatud kvaliteedijuhtimissüsteemi hindamist. Kõnealuse vastavushindamise eesmärgil on teada antud asutustel, kellest on teavitatud I lisa A jaos loetletud liidu ühtlustamisõigusaktide kohaselt, õigus hinnata suure riskiga tehisintellektisüsteemide vastavust 2. jaos sätestatud nõuetele, tingimusel et nende teada antud asutuste vastavust artikli 31 lõigetes 4, 5, 10 ja 11 sätestatud nõuetele on hinnatud asjakohaste liidu ühtlustamisõigusaktide kohase teavitamismenetluse raames. Ilma et see piiraks artikli 28 kohaldamist, taotlevad sellised teada antud asutused, millest on teavitatud I lisa A jaos nimetatud liidu ühtlustamisõigusaktide alusel, määramist kooskõlas 4. jaoga hiljemalt [18 kuud pärast käesoleva määruse jõustumist]. Kui I lisa A jaos loetletud liidu ühtlustamisõigusaktid annavad toote valmistajale võimaluse loobuda kolmanda isiku tehtavast vastavushindamisest, tingimusel et see valmistaja on kohaldanud harmoneeritud standardeid, mis hõlmavad kõiki olulisi nõudeid, võib see valmistaja nimetatud võimalust kasutada üksnes juhul, kui ta on rakendanud ka harmoneeritud standardeid või, kui see on kohaldatav, artiklis 41 osutatud ühtseid kirjeldusi, mis hõlmavad kõiki käesoleva peatüki 2. osas sätestatud nõudeid. Kui suure riskiga tehisintellektisüsteem on hõlmatud nii I lisa A jaos loetletud liidu ühtlustamisõigusaktidega kui ka kuulub ühte III lisas loetletud kategooriatest, järgib süsteemi pakkuja asjakohast vastavushindamismenetlust, nagu on nõutud I lisa A jaos loetletud asjakohastes liidu ühtlustamisõigusaktides.“ (14) Artikli 49 lõige 2 jäetakse välja. (15) Artikli 50 lõige 7 asendatakse järgmisega: „7. Tehisintellektiamet julgustab ja hõlbustab tegevusjuhendite koostamist liidu tasandil, et lihtsustada kunstlikult loodud või manipuleeritud sisu avastamise, tähistamise ja märgistamisega seotud kohustuste tõhusat rakendamist. Komisjon võib artikli 56 lõike 6 esimeses lõigus sätestatud korra kohaselt hinnata, kas kõnealuste tegevusjuhendite järgimine on piisav, et tagada lõikes 2 sätestatud kohustuse täitmine. Kui komisjon leiab, et juhend ei ole piisav, võib ta kooskõlas artikli 98 lõikes 2 sätestatud kontrollimenetlusega võtta vastu rakendusakti, milles ET 24 ET  määratakse kindlaks ühised õigusnormid kõnealuste kohustuste rakendamiseks.“ (16) Artikli 56 lõikes 6 asendatakse esimene lõik järgmisega: „6. Komisjon ja nõukoda jälgivad ja hindavad korrapäraselt tegevusjuhendite eesmärkide saavutamist osalejate poolt ja nende panust käesoleva määruse nõuetekohasesse kohaldamisse. Nõukoja arvamust täiel määral arvesse võttes hindab komisjon, kas tegevusjuhendid hõlmavad artiklites 53 ja 55 sätestatud kohustusi ning jälgivad ja hindavad korrapäraselt oma eesmärkide saavutamist. Komisjon avaldab oma hinnangu tegevusjuhendite piisavuse kohta.“ (17) Artiklit 57 muudetakse järgmiselt: (a) lisatakse lõige 3a järgmises sõnastuses: „Tehisintellektiamet võib luua tehisintellekti regulatiivliivakasti liidu tasandil ka artikli 75 lõikega 1 hõlmatud tehisintellektisüsteemide jaoks. Sellist tehisintellekti regulatiivliivakasti rakendatakse tihedas koostöös asjaomaste pädevate asutustega eelkõige juhul, kui tehisintellekti regulatiivliivakastis tehakse järelevalvet muude liidu õigusaktide kui käesoleva määruse üle, ning VKEdele antakse sellele juurdepääs esmajärjekorras.“; (b) lõige 5 asendatakse järgmisega: „5. Käesoleva artikli kohaselt loodud tehisintellekti regulatiivliivakastid tagavad kontrollitud keskkonna, mis soodustab innovatsiooni ja hõlbustab innovatiivsete tehisintellektisüsteemide arendamist, treenimist, testimist ja valideerimist piiratud aja jooksul enne nende turule laskmist või kasutusele võtmist spetsiaalse regulatiivliivakasti kava kohaselt, milles on kokku leppinud pakkujad või võimalikud pakkujad ja pädev asutus, tagades asjakohaste kaitsemeetmete olemasolu. Sellised liivakastid võivad hõlmata tegelikes tingimustes testimist, mille üle teostatakse järelevalvet selles liivakastis. Kui see on asjakohane, peab regulatiivliivakasti kava samas dokumendis sisaldama tegelikes tingimustes testimise kava.“; (c) lõikes 9 asendatakse punkt e järgmisega: „e) tehisintellektisüsteemide liidu turule juurdepääsu hõlbustamine ja kiirendamine, eelkõige siis, kui neid pakuvad väikesed keskmise turukapitalisatsiooniga ettevõtjad ja VKEd, sealhulgas idufirmad.“; (d) lõige 13 asendatakse järgmisega: „13. Tehisintellekti regulatiivliivakastid projekteeritakse ja rakendatakse nii, et need hõlbustavad piiriülest koostööd riikide pädevate asutuste vahel.“; (e) lõige 14 asendatakse järgmisega: „14. Riikide pädevad asutused koordineerivad oma tegevust ja teevad koostööd nõukojas. Nad toetavad tehisintellekti regulatiivliivakastide ühist loomist ja käitamist, sealhulgas eri sektorites.“ (18) artikli 58 lõige 1 asendatakse järgmisega: ET 25 ET  „1. Selleks et vältida killustatust liidus, võtab komisjon vastu rakendusaktid, milles määratakse kindlaks tehisintellekti regulatiivliivakastide loomise, arendamise, rakendamise, käitamise, juhtimise ja järelevalve üksikasjalik kord. Nimetatud rakendusaktid sisaldavad ühiseid põhimõtteid järgmistes küsimustes: a) kõlblikkus- ja valikukriteeriumid tehisintellekti regulatiivliivakastis osalemiseks; b) tehisintellekti regulatiivliivakasti taotlemise, selles osalemise, selle seire, sellest väljumise ja selle lõpetamise kord, sealhulgas regulatiivliivakasti kava ja väljumisaruanne; c) osalejate suhtes kohaldatavad tingimused; d) üksikasjalikud normid, mida kohaldatakse artikliga 57 hõlmatud tehisintellekti regulatiivliivakastide juhtimise suhtes, sealhulgas seoses pädevate asutuste ülesannete täitmisega ning koordineerimise ja koostööga riiklikul ja ELi tasandil.“ (19) Artiklit 60 muudetakse järgmiselt: (a) lõike 1 esimene lõik asendatakse järgmisega: „Suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes väljaspool tehisintellekti regulatiivliivakaste võivad teostada III lisas loetletud või I lisa A jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide pakkujad või võimalikud pakkujad kooskõlas käesoleva artikliga ja vastavalt käesolevas artiklis osutatud tegelikes tingimustes testimise kavale, ilma et see piiraks artikli 5 kohaste keeldude kohaldamist.“; (b) lõige 2 asendatakse järgmisega: „2. Pakkujad või võimalikud pakkujad võivad teostada III lisas osutatud või I lisa A jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes igal ajal enne tehisintellektisüsteemi turule laskmist või kasutusele võtmist kas iseseisvalt või partnerluses ühe või mitme juurutaja või võimaliku juurutajaga.“ (20) Lisatakse artikkel 60a järgmises sõnastuses: „Artikkel 60a I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud suure riskiga tehisintellektisüsteemide testimine tegelikes tingimustes väljaspool tehisintellekti regulatiivliivakaste 1. Suure riskiga tehisintellektisüsteemide testimist tegelikes tingimustes väljaspool tehisintellekti regulatiivliivakaste võivad teostada I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud tehisintellektipõhiste toodete pakkujad või võimalikud pakkujad kooskõlas käesoleva artikliga ja vabatahtliku tegelikes tingimustes testimise lepinguga, ilma et see piiraks artikli 5 kohaste keeldude kohaldamist. 2. Lõikes 1 osutatud vabatahtlik tegelikes tingimustes testimise leping sõlmitakse huvitatud liikmesriikide ja komisjoni vahel kirjalikult. Sellega ET 26 ET  kehtestatakse nõuded I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud tehisintellektipõhiste toodete testimiseks tegelikes tingimustes. 3. Liikmesriigid, komisjon, turujärelevalveasutused ning I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud taristu ja toodete haldamise ja käitamise eest vastutavad avaliku sektori asutused teevad omavahel tihedat ja heas usus koostööd ning kõrvaldavad kõik praktilised takistused, mis puudutavad muu hulgas menetluseeskirju, millega antakse vajaduse korral juurdepääs füüsilisele avalikule taristule, et edukalt rakendada vabatahtlikku tegelikes tingimustes testimise lepingut ja katsetada tehisintellektipõhiseid tooteid, mis on hõlmatud lisa B jaos loetletud liidu ühtlustamisõigusaktidega. 4. Vabatahtlikule tegelikes tingimustes testimise lepingule allakirjutanud täpsustavad tegelikes tingimustes testimise tingimused ja kehtestavad tegelikes tingimustes testimise kava üksikasjalikud elemendid I lisa B jaos loetletud liidu ühtlustamisõigusaktidega hõlmatud tehisintellektisüsteemide jaoks. 5. Kohaldatakse artikli 60 lõikeid 2, 5 ja 9.“ (21) Artikli 63 lõige 1 asendatakse järgmisega: „1. VKEd, sealhulgas idufirmad võivad täita käesoleva määruse artiklis 17 nõutud kvaliteedijuhtimissüsteemi teatavaid elemente lihtsustatud viisil. Selleks töötab komisjon välja suunised kvaliteedijuhtimissüsteemi elementide kohta, mida võib täita lihtsustatud viisil, võttes arvesse VKEde vajadusi, ilma et see mõjutaks kaitsetaset ja suure riskiga tehisintellektisüsteemidele esitatavate nõuete täitmise vajadust.“ (22) Artiklit 69 muudetakse järgmiselt: (a) lõige 2 asendatakse järgmisega: „2. Liikmesriikidelt võidakse nõuda ekspertide pakutava nõustamise ja toe eest tasu, mis on samaväärne artikli 68 lõikes 1 osutatud rakendusakti kohaselt komisjoni suhtes kohaldatava tasuga.“; (b) lõige 3 jäetakse välja. (23) Artikli 70 lõige 8 asendatakse järgmisega: „8. Riigi pädevad asutused võivad anda juhiseid ja nõu käesoleva määruse rakendamise kohta, eelkõige väikestele keskmise turukapitalisatsiooniga ettevõtjatele ja VKEdele, sealhulgas idufirmadele, võttes arvesse nõukoja ja komisjoni juhiseid ja nõuandeid, kui see on asjakohane. Kui riigi pädevad asutused kavatsevad anda juhiseid ja nõu tehisintellektisüsteemi kohta valdkondades, mille suhtes kehtib ka muu liidu õigus, konsulteeritakse vastavalt vajadusele selle liidu õiguse alusel riigi pädevate asutustega.“ (24) Artikli 72 lõige 3 asendatakse järgmisega: „3. Turustamisjärgse seire süsteem peab põhinema turustamisjärgse seire kaval. Turustamisjärgse seire kava on IV lisas osutatud tehnilise dokumentatsiooni osa. Komisjon kehtestab juhised turustamisjärgse seire kava kohta.“ ET 27 ET  (25) artiklit 75 muudetakse järgmiselt: (a) artikli 75 pealkiri asendatakse järgmisega: „Tehisintellektisüsteemide turujärelevalve ja kontroll ning vastastikune abi“; (b) lõige 1 asendatakse järgmisega: „1. Kui tehisintellektisüsteem põhineb üldotstarbelisel tehisintellektimudelil, ei kuulu I lisas loetletud liidu ühtlustamisõigusaktidega hõlmatud toodetega seotud tehisintellektisüsteemide hulka ning selle mudeli ja süsteemi on välja töötanud sama pakkuja, on tehisintellektiamet ainupädev selle süsteemi järelevalve ja eeskirjade täitmise tagamise alal kooskõlas käesolevast määrusest tulenevate kohustustega, mille ta on määranud turujärelevalveasutustele. Samuti on tehisintellektiametil ainupädevus teha järelevalvet käesolevast määrusest tulenevate kohustuste üle ja tagada nende täitmine seoses tehisintellektisüsteemiga, mis on määratletud väga suure digiplatvormina või väga suure internetipõhise otsingumootorina määruse (EL) 2022/2065 tähenduses või mis on sellesse integreeritud. Esimese lõigu kohaste järelevalve ja täitmise tagamise ülesannete täitmisel on tehisintellektiametil kõik käesolevas jaos ja määruses (EL) 2019/1020 sätestatud turujärelevalveasutuse volitused. Oma järelevalve- ja täitmise tagamise volituste nõuetekohaseks rakendamiseks on tehisintellektiametil õigus võtta asjakohaseid meetmeid ja teha otsuseid. Määruse (EL) 2019/1020 artiklit 14 kohaldatakse mutatis mutandis. Käesoleva määruse kohaldamises osalevad asutused teevad nende volituste kasutamisel aktiivselt koostööd, eelkõige juhul, kui liikmesriigi territooriumil on vaja võtta meetmeid täitmise tagamiseks.“; (c) lisatakse lõiked 1a– 1c järgmises sõnastuses: „1a. Komisjon võtab vastu rakendusakti, et määrata kindlaks tehisintellektiameti jõustamisvolitused ja nende volituste kasutamise menetlused, sealhulgas tema suutlikkus määrata karistusi, näiteks trahve või muid halduskaristusi, kooskõlas artiklis 99 kindlaks määratud tingimuste ja ülemmääradega seoses käesoleva artikli lõigetes 1 ja 1a osutatud tehisintellektisüsteemidega, mille puhul on käesoleva artikli kohaste seire- ja järelevalveülesannete täitmisel leitud, et need ei vasta käesolevale määrusele.“ „1b. Lõikes 1 osutatud tehisintellektisüsteemide pakkujate suhtes kohaldatakse mutatis mutandis määruse (EL) 2019/1020 artiklit 18, ilma et see piiraks käesolevas määruses sätestatud konkreetsemaid menetlusõigusi.“ „1c. Enne kui lõikes 1 osutatud suure riskiga tehisintellektisüsteemideks liigitatud tehisintellektisüsteemid, mille suhtes kohaldatakse artikli 43 kohast kolmanda isiku tehtavat vastavushindamist, turule lastakse või kasutusele võetakse, korraldab komisjon selliste tehisintellektisüsteemide turustamise eelse vastavushindamise ja testimise. Nende testimiste ja hindamistega kontrollitakse, kas süsteemid vastavad käesoleva määruse asjakohastele nõuetele ning kas neid võib kooskõlas käesoleva määrusega liidus turule lasta või kasutusele võtta. Komisjon võib ET 28 ET  usaldada nende testimiste või hindamiste läbiviimise käesoleva määruse alusel määratud teada antud asutustele, millisel juhul tegutseb teada antud asutus komisjoni nimel. Käesoleva lõike kohaste volituste kasutamisel kohaldatakse komisjoni suhtes artikli 34 lõikeid 1 ja 2 mutatis mutandis. Testimise ja hindamistoimingute tasud nõutakse sisse suure riskiga tehisintellektisüsteemi pakkujalt, kes on komisjonilt taotlenud kolmanda isiku tehtavat vastavushindamist. Kulude eest, mis on seotud teenustega, mille komisjon on käesoleva artikli kohaselt usaldanud teada antud asutustele, maksab pakkuja otse teada antud asutusele.“ (26) Artiklit 77 muudetakse järgmiselt: (a) pealkiri asendatakse järgmisega: „Põhiõigusi kaitsvate asutuste volitused ja koostöö turujärelevalveasutustega“; (b) lõige 1 asendatakse järgmisega: „1. Riiklikel ametiasutustel või organitel, kes tegelevad põhiõiguste, sealhulgas mittediskrimineerimise õiguse kaitse alasest liidu õigusest tulenevate kohustuste täitmise järelevalve või tagamisega, on õigus taotleda asjaomaselt turujärelevalveasutuselt mis tahes käesoleva määruse alusel loodud või säilitatavat dokumentatsiooni, mis on arusaadavas keeles ja juurdepääsetavas vormingus, ning saada sellele juurdepääs, kui juurdepääs sellisele dokumentatsioonile on vajalik nende ülesannetest tulenevate kohustuste tõhusaks täitmiseks nende jurisdiktsiooni piires.“; (c) lisatakse lõiked 1a ja 1b järgmises sõnastuses: „1a. Turujärelevalveasutus annab lõikes 1 osutatud asjaomasele avaliku sektori asutusele või organile käesolevas artiklis sätestatud tingimustel juurdepääsu sellisele teabele või dokumentatsioonile, sealhulgas nõudes vajaduse korral sellist teavet või dokumentatsiooni pakkujalt või juurutajalt.“ „1b. Turujärelevalveasutused ja lõikes 1 osutatud avaliku sektori asutused või organid teevad tihedat koostööd ja osutavad üksteisele vastastikust abi, mis on vajalik nende vastavate volituste täitmiseks, et tagada käesoleva määruse ja põhiõigusi kaitsva liidu õiguse ühtne kohaldamine ja menetluste ühtlustamine. See hõlmab eelkõige teabevahetust, kui see on vajalik käesoleva määruse ja vastavate muude liidu õigusaktide täitmise tõhusaks järelevalveks või tagamiseks.“ (27) Artikli 95 lõige 4 asendatakse järgmisega: „4. Käitumisjuhendite koostamist edendades ja hõlbustades võtavad tehisintellektiamet ja liikmesriigid arvesse väikeste keskmise turukapitalisatsiooniga ettevõtjate ja VKEde, sealhulgas idufirmade erihuve ja vajadusi.“ (28) Artikli 96 lõikes 1 asendatakse teine lõik järgmisega: „Selliste suuniste väljaandmisel pöörab komisjon erilist tähelepanu väikeste keskmise turukapitalisatsiooniga ettevõtjate ja VKEde, sealhulgas ET 29 ET  idufirmade, ning kohalike ametiasutuste ja selliste sektorite vajadustele, mida käesolev määrus kõige tõenäolisemalt mõjutab.“ (29) Artiklit 99 muudetakse järgmiselt: (a) lõige 1 asendatakse järgmisega: „1. Kooskõlas käesolevas määruses sätestatud tingimustega kehtestavad liikmesriigid õigusnormid karistuste ja muude täitemeetmete kohta, mis võivad hõlmata ka hoiatusi ja mitterahalisi meetmeid, mida kohaldatakse, kui operaator rikub käesolevat määrust, ning võtavad kõik vajalikud meetmed, et tagada nende nõuetekohane ja tõhus rakendamine, võttes sellega arvesse komisjoni poolt artikli 96 kohaselt välja antud suuniseid. Kehtestatud karistused peavad olema mõjusad, proportsionaalsed ja hoiatavad. Liikmesriigid võtavad karistuste määramisel arvesse väikeste keskmise turukapitalisatsiooniga ettevõtjate ja VKEde, sealhulgas idufirmade huve ja nende majanduslikku elujõulisust.“; (b) lõige 6 asendatakse järgmisega: „6. Väikeste keskmise turukapitalisatsiooniga ettevõtjate ja VKEde, sealhulgas idufirmade puhul sõltub iga käesolevas artiklis osutatud trahv lõigetes 3, 4 ja 5 osutatud protsendimäärast või summast, olenevalt sellest, kumb on väiksem.“ (30) Artiklit 111 muudetakse järgmiselt: (a) lõige 2 asendatakse järgmisega: „2. Ilma et see piiraks artikli 5 kohaldamist, nagu on osutatud artikli 113 lõike 3 kolmanda lõigu punktis a, kohaldatakse käesolevat määrust selliste suure riskiga tehisintellektisüsteemide operaatorite suhtes, välja arvatud käesoleva artikli lõikes 1 osutatud süsteemide puhul, mis on turule lastud või kasutusele võetud enne III peatüki kohaldamise ja artiklis 113 osutatud vastavate kohustuste alguskuupäeva, üksnes juhul, kui alates sellest kuupäevast tehakse nende süsteemide projektis olulisi muudatusi. Igal juhul võtavad ametiasutustele kasutamiseks mõeldud suure riskiga tehisintellektisüsteemide pakkujad ja juurutajad käesolevas määruses sätestatud nõuete ja kohustuste täitmiseks vajalikud meetmed hiljemalt 2. augustiks 2030.“; (b) lisatakse lõige 4 järgmises sõnastuses: „4. Enne 2. augustit 2026 turule lastud sünteesitud audio-, pildi-, video- või tekstisisu genereerivate tehisintellektisüsteemide, sealhulgas üldotstarbeliste tehisintellektisüsteemide pakkujad võtavad vajalikud meetmed, et täita artikli 50 lõike 2 nõuded hiljemalt 2. veebruariks 2027.“ (31) Artiklit 113 muudetakse järgmiselt: (a) kolmandale lõigule lisatakse punkt d: „d) III peatüki 1., 2. ja 3. jagu kohaldatakse pärast seda, kui komisjon on vastu võtnud otsuse, millega kinnitatakse, et III peatüki järgimist toetavad piisavad meetmed on kättesaadavad alates järgmistest kuupäevadest: ET 30 ET  i) kuus kuud pärast kõnealuse otsuse vastuvõtmist tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks vastavalt artikli 6 lõikele 2 ja III lisale, ning ii) 12 kuud pärast otsuse vastuvõtmist tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks vastavalt artikli 6 lõikele 1 ja I lisale. Kui lõikes 1 osutatud otsust ei ole lõike vastu võetud või kui allpool toodud kuupäevad on kõnealuse otsuse vastuvõtmisele järgnevatest kuupäevadest varasemad, kohaldatakse III peatüki 1., 2. ja 3. jagu: i) 2. detsembril 2027 tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks vastavalt artikli 6 lõikele 2 ja III lisale, ning ii) 2. augustil 2028 tehisintellektisüsteemide puhul, mis on liigitatud suure riskiga tehisintellektisüsteemideks vastavalt artikli 6 lõikele 1 ja I lisale.“; (b) kolmandale lõigule lisatakse punkt e: „e) Artikleid 102–110 kohaldatakse alates [käesoleva määruse kohaldamise alguskuupäev].“ (32) VIII lisas jäetakse välja B jagu. (33) Lisatakse XIV lisa järgmises sõnastuses: „XIV lisa Tehisintellektisüsteemide koodide, kategooriate ja vastavate liikide loetelu artiklis 30 osutatud teavitamismenetluse jaoks, milles täpsustatakse teada antud asutuseks määramise ulatus 1. Sissejuhatus Suure riskiga tehisintellektisüsteemide vastavushindamine käesolevale määruse alusel võib eeldada vastavushindamisasutuste kaasamist. Vastavushindamist võivad teha üksnes käesoleva määruse kohaselt määratud vastavushindamisasutused ning üksnes asjaomaste tehisintellektisüsteemide liikidega seotud tegevuse puhul. Tehisintellektisüsteemide koodide, kategooriate ja vastavate liikide loetelus määratakse kindlaks käesoleva määruse artikli 30 alusel teada antud vastavushindamisasutuste määramise ulatus. 2. Koodide, kategooriate ja vastavate tehisintellektisüsteemide loetelu 1. Tehisintellektisüsteemid, mille suhtes kohaldatakse tehisintellektimääruse I lisa AIA-kood Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0101 ET 31 ET  tehisintellektimääruse I lisa A jao punkti 1. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0102 tehisintellektimääruse I lisa A jao punkti 2. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0103 tehisintellektimääruse I lisa A jao punkti 3. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0104 tehisintellektimääruse I lisa A jao punkti 4. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0105 tehisintellektimääruse I lisa A jao punkti 5. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0106 tehisintellektimääruse I lisa A jao punkti 6. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0107 tehisintellektimääruse I lisa A jao punkti 7. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0108 tehisintellektimääruse I lisa A jao punkti 8. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0109 tehisintellektimääruse I lisa A jao punkti 9. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0110 tehisintellektimääruse I lisa A jao punkti 10. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0111 tehisintellektimääruse I lisa A jao punkti 11. Tehisintellektisüsteemid, mille suhtes kohaldatakse AIP 0112 tehisintellektimääruse I lisa A jao punkti 12. 2. Tehisintellektisüsteemid, mille suhtes kohaldatakse tehisintellektimääruse III lisa punkti 1 AIA-kood Tehisintellektimääruse III lisa punkti 1 alapunkti a kohased AIB 0201 biomeetrilise kaugtuvastamise süsteemid, mis on mõeldud kasutuselevõtmiseks liidu institutsioonide, organite ja asutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti b kohased AIB 0202 biomeetrilise liigitamise tehisintellektisüsteemid, mis on mõeldud kasutuselevõtmiseks liidu institutsioonide, organite ja asutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti c kohased AIB 0203 emotsioonituvastuse tehisintellektisüsteemid, mis on mõeldud kasutuselevõtmiseks liidu institutsioonide, organite ja asutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti a kohased AIB 0204 biomeetrilise kaugtuvastamise süsteemid, mis on mõeldud kasutuselevõtmiseks õiguskaitse-, immigratsiooni- või varjupaigaasutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti b kohased AIB 0205 ET 32 ET  biomeetrilise liigitamise tehisintellektisüsteemid, mis on mõeldud kasutuselevõtmiseks õiguskaitse-, immigratsiooni- või varjupaigaasutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti c kohased AIB 0206 emotsioonituvastuse tehisintellektisüsteemid, mis on mõeldud kasutuselevõtmiseks õiguskaitse-, immigratsiooni- või varjupaigaasutuste poolt. Tehisintellektimääruse III lisa punkti 1 alapunkti a kohased AIB 0207 biomeetrilise kaugtuvastamise süsteemid (üldine). Tehisintellektimääruse III lisa punkti 1 alapunkti b kohased AIB 0208 biomeetrilise liigitamise tehisintellektisüsteemid (üldine). Tehisintellektimääruse III lisa punkti 1 alapunkti c kohased AIB 0209 emotsioonituvastuse tehisintellektisüsteemid (üldine). 3. Tehisintellektitehnoloogial põhinevad koodid a) Sümbolipõhine tehisintellekt, eksperdisüsteemid ja matemaatiline optimeerimine AIA-kood Loogika- ja teadmuspõhised tehisintellektisüsteemid, mille AIH 0101 järeldused lähtuvad kodeeritud teadmusest või sümbolipõhisest esitusest, eksperdisüsteemid AIH 0102 Loogikapõhised tehisintellektisüsteemid, v.a baastaseme andmetöötlus b) Masinõpe, v.a üldotstarbeline tehisintellekt ja monomodaalne generatiivne tehisintellekt AIA-kood Tehisintellektisüsteemid, mis töötlevad struktureeritud andmeid AIH 0201 Tehisintellektisüsteemid, mis töötlevad signaal- ja audioandmeid AIH 0202 Tehisintellektisüsteemid, mis töötlevad tekstiandmeid AIH 0203 Tehisintellektisüsteemid, mis töötlevad pilte ja videoid AIH 0204 AIH 0205 Tehisintellektisüsteemid, mis õpivad oma keskkonnast, v.a tehisintellektiagendid c) Üldotstarbelisel tehisintellektil ja monomodaalsel generatiivsel tehisintellektil põhinevad tehisintellektisüsteemid AIA-kood ET 33 ET  Monomodaalsed generatiivsed tehisintellektisüsteemid AIH 0301 AIH 0302 Multimodaalsed generatiivsed tehisintellektisüsteemid, sealhulgas üldotstarbelistel tehisintellektimudelitel põhinevad tehisintellektisüsteemid d) Tehisintellektiagent AIA-kood Tehisintellektiagent AIH 0401 3. Määramise taotlemine Vastavushindamisasutused kasutavad käesoleva määruse artiklis 29 osutatud määramistaotluses tehisintellektisüsteemide liikide täpsustamiseks käesolevas lisas esitatud tehisintellektisüsteemide koodide, kategooriate ja vastavate liikide loetelusid.“ Artikkel 2 Määruse (EL) 2018/1139 muutmine Määrust (EL) 2018/1139 muudetakse järgmiselt. (1) Artiklile 27 lisatakse järgmine lõige: „3. Ilma et see piiraks lõike 2 kohaldamist, kui võetakse vastu lõike 1 kohaseid rakendusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/168914 tähenduses, võetakse arvesse nimetatud määruse III peatüki 2. jaos sätestatud nõudeid.“ (2) Artiklile 31 lisatakse järgmine lõige: „3. Ilma et see piiraks lõike 2 kohaldamist, kui võetakse vastu lõike 1 kohaseid rakendusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 tähenduses, võetakse arvesse nimetatud määruse III peatüki 2. jaos sätestatud nõudeid.“ (3) Artiklile 32 lisatakse järgmine lõige: 14 Euroopa Parlamendi ja nõukogu 13. juuni 2024. aasta määrus (EL) 2024/1689, millega nähakse ette tehisintellekti käsitlevad ühtlustatud õigusnormid ning muudetakse määruseid (EÜ) nr 300/2008, (EL) nr 167/2013, (EL) nr 168/2013, (EL) 2018/858, (EL) 2018/1139 ja (EL) 2019/2144 ning direktiive 2014/90/EL, (EL) 2016/797 ja (EL) 2020/1828 (tehisintellekti käsitlev määrus) (ELT L 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj). ET 34 ET  „3. Võttes vastu lõike 1 kohaseid delegeeritud õigusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 (*) tähenduses, võetakse arvesse kõnealuse määruse III peatüki 2. jaos sätestatud nõudeid.“ (4) Artiklile 36 lisatakse järgmine lõige: „3. Ilma et see piiraks lõike 2 kohaldamist, kui võetakse vastu lõike 1 kohaseid rakendusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 tähenduses, võetakse arvesse nimetatud määruse III peatüki 2. jaos sätestatud nõudeid.“ (5) Artiklile 39 lisatakse järgmine lõige: „3. Võttes vastu lõike 1 kohaseid delegeeritud õigusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 tähenduses, võetakse arvesse kõnealuse määruse III peatüki 2. jaos sätestatud nõudeid.“ (6) Artiklile 50 lisatakse järgmine lõige: „3. Ilma et see piiraks lõike 2 kohaldamist, kui võetakse vastu lõike 1 kohaseid rakendusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 tähenduses, võetakse arvesse nimetatud määruse III peatüki 2. jaos sätestatud nõudeid.“ (7) Artiklile 53 lisatakse järgmine lõige: „3. Ilma et see piiraks lõike 2 kohaldamist, kui võetakse vastu lõike 1 kohaseid rakendusakte, mis käsitlevad tehisintellektisüsteeme, mis on turvakomponendid Euroopa Parlamendi ja nõukogu määruse (EL) 2024/1689 tähenduses, võetakse arvesse nimetatud määruse III peatüki 2. jaos sätestatud nõudeid.“ Artikkel 3 Jõustumine ja kohaldamine Käesolev määrus jõustub kolmandal päeval pärast selle avaldamist Euroopa Liidu Teatajas. Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides. Brüssel, Euroopa Parlamendi nimel Nõukogu nimel president eesistuja ET 35 ET  FINANTS- JA DIGISELGITUS 1. ETTEPANEKU/ALGATUSE RAAMISTIK .............................................................. 3 1.1. Ettepaneku/algatuse nimetus ........................................................................................ 3 1.2. Asjaomased poliitikavaldkonnad ................................................................................. 3 1.3. Eesmärgid ..................................................................................................................... 3 1.3.1. Üldeesmärgid ............................................................................................................... 3 1.3.2. Erieesmärgid ................................................................................................................ 3 1.3.3. Oodatavad tulemused ja mõju ...................................................................................... 3 1.3.4. Tulemusnäitajad ........................................................................................................... 3 1.4. Ettepanek/algatus käsitleb ............................................................................................ 4 1.5. Ettepaneku/algatuse põhjendused ................................................................................ 4 1.5.1. Lühi- või pikaajalises perspektiivis täidetavad vajadused, sealhulgas algatuse rakendamise üksikasjalik ajakava ................................................................................ 4 1.5.2. ELi meetme lisaväärtus (see võib tuleneda eri teguritest, nagu kooskõlastamisest saadav kasu, õiguskindlus, suurem tõhusus või vastastikune täiendavus). Käesoleva punkti kohaldamisel tähendab „ELi meetme lisaväärtus“ väärtust, mis tuleneb liidu sekkumisest ja lisandub väärtusele, mille liikmesriigid oleksid muidu üksi loonud. .. 4 1.5.3. Samalaadsetest kogemustest saadud õppetunnid ......................................................... 4 1.5.4. Kooskõla mitmeaastase finantsraamistikuga ja võimalik koostoime muude asjakohaste vahenditega ............................................................................................... 5 1.5.5. Erinevate kasutada olevate rahastamisvõimaluste, sealhulgas vahendite ümberpaigutamise võimaluste hinnang ........................................................................ 5 1.6. Ettepaneku/algatuse ja selle finantsmõju kestus .......................................................... 6 1.7. Kavandatud eelarve täitmise viis(id)............................................................................ 6 2. HALDUSMEETMED .................................................................................................. 8 2.1. Järelevalve ja aruandluse reeglid ................................................................................. 8 2.2. Haldus- ja kontrollisüsteem(id) .................................................................................... 8 2.2.1. Eelarve täitmise viisi(de), rahastuse rakendamise mehhanismi(de), maksete tegemise korra ja kavandatava kontrollistrateegia selgitus ......................................................... 8 2.2.2. Teave kindlakstehtud riskide ja nende vähendamiseks kasutusele võetud sisekontrollisüsteemi(de) kohta .................................................................................... 8 2.2.3. Kontrollimeetmete hinnanguline kulutõhusus (kontrollikulude suhe hallatavate vahendite väärtusse), selle põhjendus ja oodatav veariski tase (maksete tegemise ja sulgemise ajal) .............................................................................................................. 8 2.3. Pettuste ja õigusnormide rikkumise ärahoidmise meetmed ......................................... 9 3. ETTEPANEKU/ALGATUSE HINNANGULINE FINANTSMÕJU ....................... 10 3.1. Mitmeaastase finantsraamistiku rubriigid ja kulude eelarveread, millele mõju avaldub10 3.2. Ettepaneku hinnanguline finantsmõju assigneeringutele ........................................... 12 ET 1 ET  3.2.1. Hinnanguline mõju tegevusassigneeringutele – ülevaade.......................................... 12 3.2.1.1. Heakskiidetud eelarvest saadavad assigneeringud ..................................................... 12 3.2.1.2. Sihtotstarbelisest välistulust saadavad assigneeringud .............................................. 17 3.2.2. Hinnanguline tegevusassigneeringutest rahastatav väljund ....................................... 22 3.2.3. Hinnanguline mõju haldusassigneeringutele – ülevaade ........................................... 24 3.2.3.1. Heakskiidetud eelarvest saadavad assigneeringud ...................................................... 24 3.2.3.2. Sihtotstarbelisest välistulust saadavad assigneeringud .............................................. 24 3.2.3.3. Assigneeringud kokku ................................................................................................ 24 3.2.4. Hinnanguline personalivajadus .................................................................................. 25 3.2.4.1. Rahastatakse heakskiidetud eelarvest ........................................................................ 25 3.2.4.2. Rahastatakse sihtotstarbelisest välistulust .................................................................. 26 3.2.4.3. Personalivajadus kokku .............................................................................................. 26 3.2.5. Hinnanguline mõju digitehnoloogiaga seotud investeeringutele – ülevaade ............. 28 3.2.6. Kooskõla kehtiva mitmeaastase finantsraamistikuga................................................. 28 3.2.7. Kolmandate isikute rahaline osalus ............................................................................ 28 3.3. Hinnanguline mõju tuludele ....................................................................................... 29 4. DIGIMÕÕDE ............................................................................................................. 29 4.1. Diginõuded ................................................................................................................. 30 4.2. Andmed ...................................................................................................................... 30 4.3. Digilahendused ........................................................................................................... 31 4.4. Koostalitlusvõime hindamine .................................................................................... 31 4.5. Digimõõtme rakendamist toetavad meetmed ............................................................. 32 ET 2 ET  1. ETTEPANEKU/ALGATUSE RAAMISTIK 1.1. Ettepaneku/algatuse nimetus Ettepanek: Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määruseid (EL) 2024/1689 ja (EL) 2018/1139 seoses tehisintellekti käsitlevate ühtlustatud õigusnormide (tehisintellekti käsitlev digivaldkonna koondpakett) rakendamise lihtsustamisega 1.2. Asjaomased poliitikavaldkonnad Sidevõrgud, sisu ja tehnoloogia; siseturg, tööstus, ettevõtlus ja VKEd Mõju eelarvele on seotud tehisintellektiametile usaldatud uute ülesannetega. 1.3. Eesmärgid 1.3.1. Üldeesmärgid 1. Tugevdada tehisintellektiameti seiret ja järelevalvet teatavate tehisintellektisüsteemide kategooriate üle. 2. Hõlbustada innovatiivsete tehisintellektisüsteemide arendamist ja testimist ELi tasandil range regulatiivse järelevalve all enne nende süsteemide turule laskmist või muul viisil kasutusele võtmist. 1.3.2. Erieesmärgid Erieesmärk nr 1 Tõhustada tehisintellektimääruse tehisintellektisüsteeme käsitlevate normide juhtimist ja tulemuslikku täitmist, tugevdades kohaldatavaid volitusi ja menetlusi ning nähes täitmise tagamise eest vastutavale tehisintellektiametile ette uued vahendid. Erieesmärk nr 2 Näha ette regulatiivliivakasti loomine ELi tasandil, mis võimaldab piiriülest tegevust ja testimist. 1.3.3. Oodatavad tulemused ja mõju Märkige, milline peaks olema ettepaneku/algatuse oodatav mõju toetusesaajatele/sihtrühmale. Tehisintellekti pakkujad peaksid saama kasu tsentraliseeritud juhtimistasandist ja juurdepääsust teatavatele tehisintellektisüsteemide kategooriatele mõeldud ELi tasandi regulatiivliivakastile, vältides menetluste ja kulude dubleerimist. 1.3.4. Tulemusnäitajad Märkige, milliste näitajate abil jälgitakse edusamme ja saavutusi. Näitaja 1 Tehisintellektiameti seire- ja järelevalveülesannete kohaldamisalasse kuuluvate tehisintellektisüsteemide arv. Näitaja 2 ET 3 ET  ELi tasandi regulatiivliivakastile juurdepääsu taotlevate pakkujate ja võimalike pakkujate arv. 1.4. Ettepanek/algatus käsitleb  uut meedet  uut meedet, mis tuleneb katseprojektist / ettevalmistavast meetmest26  olemasoleva meetme pikendamist  ühe või mitme meetme ümbersuunamist teise või uude meetmesse või ühendamist teise või uue meetmega 1.5. Ettepaneku/algatuse põhjendused 1.5.1. Lühi- või pikaajalises perspektiivis täidetavad vajadused, sealhulgas algatuse rakendamise üksikasjalik ajakava Tehisintellektiameti juhtimisstruktuuri täiustamise seisukohast olulised lisaelemendid peaksid olema kehtestatud enne tehisintellektisüsteemide suhtes kohaldatavate sätete jõustumist. Esimene ELi regulatiivliivakast peaks hakkama toimima 2028. aastal, kuigi mõned peamised seadistuse üksikasjad tuleks eelnevalt kindlaks määrata. 1.5.2. ELi meetme lisaväärtus (see võib tuleneda eri teguritest, nagu kooskõlastamisest saadav kasu, õiguskindlus, suurem tõhusus või vastastikune täiendavus). Käesoleva punkti kohaldamisel tähendab „ELi meetme lisaväärtus“ väärtust, mis tuleneb liidu sekkumisest ja lisandub väärtusele, mille liikmesriigid oleksid muidu üksi loonud. Tehisintellektiametil on õigus jälgida ja kontrollida kõigi üldotstarbelistel tehisintellektimudelitel põhinevate tehisintellektisüsteemide nõuetele vastavust, kui mudeli ja süsteemi töötab välja sama pakkuja, samuti kõigi väga suurtesse digiplatvormidesse või otsingumootoritesse integreeritud või neid moodustavate tehisintellektisüsteemide nõuetele vastavust, isegi kui süsteemi ja üldotstarbelise tehisintellektimudeli pakkuja on erinevad. Ülesanded, mida tehisintellektiamet peaks nii paljude erinevate tehisintellektisüsteemide puhul täitma, hõlmavad täieliku juurdepääsu taotlemist dokumentidele, treenimis-/valideerimis-/testimisandmestikele ja vajaduse korral suure riskiga tehisintellektisüsteemide lähtekoodile, tegelikes tingimustes testimise järelevalvet, riskide kindlakstegemist ja hindamist, tõsiste intsidentidega tegelemist, ennetus- ja parandusmeetmete võtmist, tagades samal ajal koostöö riiklike turujärelevalveasutustega, tegelemist tehisintellektisüsteemidega, mis pakkuja liigituse kohaselt ei ole suure riskiga tehisintellektisüsteemid, mittevastavuskaebustega tegelemist ja karistuste määramist. Ühtlasi on tehisintellektiamet asutus, mis vastutab vastavushindamiste tegemise eest, et võimaldada turulepääsu käesoleva sätte kohaldamisalasse kuuluvatele tehisintellektisüsteemidele, mille suhtes kohaldatakse tehisintellektimääruse alusel ka kolmanda isiku tehtavat turustamiseelset vastavushindamist. Kõik need meetmed 26 Vastavalt finantsmääruse artikli 58 lõike 2 punktile a või b. ET 4 ET  nõuavad ressursse ning jõustamismenetluste väljatöötamist ja rakendamist, samuti asjakohast tehnilist tuge süsteemide hindamiseks. Tehisintellektiameti roll nõuetele vastavuse tagamisel hõlmaks ka koostoime tagamist üldotstarbeliste tehisintellektimudelite hindamisega, mis tugevdaks sama pakkuja pakutavate mudelite ja süsteemide üldist hindamist. See võimaldaks terviklikumat arusaamist tehisintellektisüsteemidest ja nendega seotud riskidest, võimaldades tõhusamat järelevalvet ja täitmise tagamist. Tehisintellektiamet peab arvesse võtma ka ainulaadseid probleeme, mis tulenevad tehisintellektiagentidest, mis võivad tegutseda autonoomselt ja teha otsuseid, millel võivad olla märkimisväärsed tagajärjed, ning töötama välja strateegiad nende riskide käsitlemiseks kooskõlas komisjoni poliitikaga. Tehisintellektiameti juhtimise tõhustamine tooks ELis tehisintellektisüsteemide reguleerimisele palju kasu Üks peamisi eeliseid on järjepidevus ja sidusus, mille see tagaks tehisintellektimääruse kohaldamisel kogu ELis. Kui tehisintellektimääruse rakendamise üle teeb teatavate tehisintellektisüsteemide kategooriate puhul järelevalvet üksainus asutus, väheneks märkimisväärselt vastandlike tõlgenduste ja otsuste oht, mis tagaks ELis tegutsevatele ettevõtjatele selguse ja kindluse. Lisaks lihtsustaks see regulatiivset keskkonda ettevõtjate jaoks, kuna nad peaksid suhtlema ainult ühe reguleeriva asutusega, mitte mitme riikliku asutusega. See vähendaks eri õigusraamistikes navigeerimisega seotud keerukust ja halduskoormust, võimaldades ettevõtetel keskenduda innovatsioonile ja majanduskasvule. Tsentraliseeritud lähenemisviis võimaldaks komisjonil arendada ka eriteadmisi tehisintellektisüsteemide ja üldotstarbeliste tehisintellektimudelite kohta, võimaldades tehisintellektimääruse tõhusamat järelevalvet ja täitmist. Selle lähenemisviisiga välditaks asjaomaste tehisintellektisüsteemide suhtes erinevate riiklike jõustamismeetmete kasutamist, mis võivad viia siseturu killustumiseni ja vähendada ettevõtjate õiguskindlust. Samuti aitaks see lahendada liikmesriikide probleeme seoses spetsialiseerunud töötajate leidmisega oma ametiasutustesse, mis vastutavad tehisintellektimääruse rakendamise ja tehisintellektisüsteemide järelevalve eest nende territooriumil. Kui tsentraliseerida turujärelevalveasutuste volitused tehisintellektiametile, võimaldaks see stsenaarium tehisintellektiametil võtta vastutuse sama mudeli pakkuja pakutavate keerukate tehisintellektisüsteemide hindamise ja seire eest, samuti platvormide koosseisu kuuluvate või neisse integreeritud tehisintellektisüsteemide hindamise ja seire eest, vähendades seeläbi riikide ametiasutuste koormust. See kasutaks ära tehisintellektiameti olemasolevaid eksperditeadmisi üldotstarbeliste tehisintellektimudelite hindamisel ja nende nõuetele vastavuse jälgimisel, luues ainulaadse eriteadmiste ja võimekuse kontsentratsiooni. Selle tulemusena oleks tehisintellektiametil head võimalused tagada järjepidev ja tõhus järelevalve, toetades samal ajal ka liikmesriike nende jõupingutustes rakendada tehisintellektimäärust ja tagada ühtlustatud regulatiivne keskkond kogu ELis. Kuna neid lisaülesandeid täidab tehisintellektiamet, saaksid riikide ametiasutused keskenduda rohkem tehisintellektimäärusest tulenevatele täitmismeetmetele, mis võimaldaks vahendeid tõhusamalt jaotada ja tehisintellektimäärust kogu ELis tõhusamalt rakendada. 1.5.3. Samalaadsetest kogemustest saadud õppetunnid Euroopa Komisjoni kogemused digiteenuste määruse täitmise tagamisel kujutavad endast väärtuslikke õppetunde, mida saab kasutada tehisintellektimääruse täitmise tagamisel. Selles kontekstis on olulised eelkõige tugeva ja läbipaistva ET 5 ET  jõustamisraamistiku loomine, milles sätestatakse selged menetlused digiteenuste määruse rikkumiste uurimiseks ja käsitlemiseks, ning tihe koostöö riiklike ametiasutustega, et tagada täitmise tagamise meetmete koordineerimine ja tõhusus. Komisjoni kogemused digiteenuste määruse täitmise tagamisel on näidanud, et see lähenemisviis võib olla tõhus nõuete täitmise edendamisel ja kasutajate õiguste kaitsmisel. Näiteks on komisjon juba võtnud meetmeid mitme digiplatvormi suhtes seoses digiteenuste määruse rikkumisega ning teinud koostööd riikide ametiasutustega, et töötada välja nõuete täitmise suunised ja parimad tavad. Tuginedes digiteenuste määruse täitmise tagamisest saadud kogemustele, saab komisjon välja töötada tehisintellektimääruse täitmise tagamise toimiva raamistiku, mis edendab nõuete täitmist ning toetab usaldusväärse ja uuendusliku tehisintellekti ökosüsteemi arendamist ELis. See hõlmab tehisintellektiameti jõustamisrolli suurendamist, et nõuetekohaselt jälgida ja kontrollida tehisintellektisüsteemide teatavaid kategooriaid, ning tihedat koostööd riiklike ametiasutustega, et tagada tehisintellektimääruse järjepidev ja mõjus täitmine. Võimalust luua ELi tasandi regulatiivliivakast tuleks käsitada riiklikul tasandil loodud regulatiivliivakastide täiendusena ja seda tuleks rakendada viisil, mis hõlbustab piiriülest koostööd riikide pädevate asutuste vahel. 1.5.4. Kooskõla mitmeaastase finantsraamistikuga ja võimalik koostoime muude asjakohaste vahenditega Selle algatuse raames tehisintellektimääruse kohta esitatud muudatusettepanekud suurendaksid märkimisväärselt tehisintellektiameti seire ja järelevalve alla kuuluvate tehisintellektisüsteemide arvu ning vastavalt suureneks ka nende süsteemide arv, mis võivad potentsiaalselt osaleda ELi tasandi regulatiivliivakastis. Sellise laienemise tulemuslikuks juhtimiseks on oluline tugevdada Euroopa reguleerimis- ja koordineerimisfunktsiooni, nagu on kavandatud käesolevas algatuses. See tugevdamine võimaldaks tehisintellektiametil tõhusalt jälgida üha arvukamaid tehisintellektisüsteeme, tagada kooskõla õigusraamistikuga ning luua ELi tasandi regulatiivliivakasti kaudu innovatsiooni ja testimist toetava keskkond. 1.5.5. Erinevate kasutada olevate rahastamisvõimaluste, sealhulgas vahendite ümberpaigutamise võimaluste hinnang Tehisintellektiamet teeb jõupingutusi, et osa määratud töötajatest ümber paigutada, kuid seda saaks teha ainult osaliselt (15 täistööajale taandatud töötajat), kuna töötajad on praegu täielikult määratud täitma tehisintellektimääruse õigeaegse ja nõuetekohase rakendamise tagamisega otseselt seotud ülesandeid. Uute jõustamisülesannete tõhusaks täitmiseks on vaja uusi ressursse (hinnanguliselt 38 täiendavat täistööajale taandatud töötajat). Eelkõige kavatseb tehisintellektiamet teha kindlaks õigus- ja menetlusalaste eksperditeadmistega kolleegid, kes saavad osaleda tulevaste uute jõustamisalaste ülesannete täitmisel. Praeguses etapis on meie hinnangul võimalik sel eesmärgil ümber paigutada ligikaudu viis asjakohase profiiliga lepingulist töötajat. Lisaks püüab tehisintellektiamet paigutada ümber viis ametnikku. Tehisintellektiamet kavatseb 2028. aastal täielikult kasutusele võtta tema järelevalve alla kuuluvate tehisintellektisüsteemide ELi tasandi regulatiivliivakasti, mis võimaldab ümber paigutada kolm lepingulist töötajat, kes on vajalikud regulatiivliivakasti töökorda seadmiseks ja käitamiseks. See etapiviisiline ET 6 ET  lähenemisviis võimaldaks tagada regulatiivliivakasti täieliku tegevussuutlikkuse 2028. aastaks ning eelkõige annaks see tehisintellektiametile aega teha kindlaks selle ülesande täitmiseks kõige sobivamad töötajad ja tagada nõuetekohane projektijuhtimine, et hõlbustada uuenduslike tehisintellektisüsteemide arendamist, treenimist, testimist ja valideerimist. Lisaks uurib tehisintellektiamet võimalusi laiendada tehisintellektimäärust toetavate IT-vahendite kohaldamisala (praegu peamiselt arendus- või käivitamiseelses etapis), et see hõlmaks ka asjakohaseid uusi jõustamistoiminguid (st juhtumite käsitlemine, tehisintellektisüsteemide register, seire ja aruandlus, teabevahetus ametiasutustega). Nende IT-vahendite haldamiseks paigutatakse ümber kaks täistööajale taandatud IT- ja haldusprofiiliga töötajat. See aitaks osaliselt katta uute ülesannetega seotud juhtimisvajadusi. Üldiselt aitavad need ümberpaigutamispüüdlused ja koostoime rahuldada mõningaid uute jõustamisülesannetega seotud personalivajadusi, samal ajal kui tehisintellektimääruse tulemusliku rakendamise tagamiseks on vaja lisaressursse. Arvestades, et kavandatud muudatuste eesmärgid aitavad otseselt kaasa programmi „Digitaalne Euroopa“ ühele peamisele eesmärgile – kiirendada tehisintellekti arendamist ja kasutuselevõttu Euroopas –, rahastatakse täiendavaid töötajaid programmi „Digitaalne Euroopa“ toetusest. ET 7 ET  1.6. Ettepaneku/algatuse ja selle finantsmõju kestus  Piiratud kestusega –  hõlmab ajavahemikku [PP/KK]AAAA–[PP/KK]AAAA –  finantsmõju kulukohustuste assigneeringutele avaldub ajavahemikul AAAA– AAAA ja maksete assigneeringutele ajavahemikul AAAA–AAAA.  Piiramatu kestusega – Rakendamise käivitumisperiood hõlmab ajavahemikku 2026–2027, – millele järgneb täieulatuslik rakendamine. 1.7. Kavandatud eelarve täitmise viis(id)  Eelarve otsene täitmine komisjoni poolt –  tema talituste kaudu, sealhulgas kasutades liidu delegatsioonides töötavat komisjoni personali; –  rakendusametite kaudu  Eelarve jagatud täitmine koostöös liikmesriikidega  Eelarve kaudne täitmine, mille puhul eelarve täitmise ülesanded on delegeeritud: –  kolmandatele riikidele või nende määratud asutustele; –  rahvusvahelistele organisatsioonidele ja nende allasutustele (nimetage); –  Euroopa Investeerimispangale ja Euroopa Investeerimisfondile; –  finantsmääruse artiklites 70 ja 71 osutatud asutustele; –  avalik-õiguslikele asutustele; –  avalikke teenuseid osutavatele eraõiguslikele asutustele, sel määral, mil neile antakse piisavad finantstagatised; –  liikmesriigi eraõigusega reguleeritud asutustele, kellele on delegeeritud avaliku ja erasektori partnerluse rakendamine ja kellele antakse piisavad finantstagatised; –  asutustele või isikutele, kellele on delegeeritud Euroopa Liidu lepingu V jaotise kohaste ühise välis- ja julgeolekupoliitika erimeetmete rakendamine ja kes on kindlaks määratud asjaomases alusaktis; –  liikmesriigis asutatud asutustele, kelle suhtes kohaldatakse liikmesriigi eraõigust või liidu õigust ja kellele võib kooskõlas valdkondlike normidega usaldada liidu rahaliste vahendite või eelarveliste tagatiste haldamise niivõrd, kuivõrd selliseid asutusi kontrollivad avalik-õiguslikud asutused või avalikke teenuseid osutavad eraõiguslikud asutused ja kontrollivad organid annavad neile solidaarvastutuse vormis piisavad finantstagatised või samaväärsed finantstagatised, mis võivad iga meetme puhul piirduda liidu toetuse maksimumsummaga. ET 8 ET  2. HALDUSMEETMED 2.1. Järelevalve ja aruandluse reeglid Märkige sagedus ja tingimused. Tugevdatud sätted vaadatakse läbi ja neid hinnatakse koos kogu tehisintellektimäärusega 2029. aasta augustis. Komisjon esitab Euroopa Parlamendile, nõukogule ning Euroopa Majandus- ja Sotsiaalkomiteele aruande hindamise tulemuste kohta. 2.2. Haldus- ja kontrollisüsteem(id) 2.2.1. Eelarve täitmise viisi(de), rahastuse rakendamise mehhanismi(de), maksete tegemise korra ja kavandatava kontrollistrateegia selgitus Määrusega tugevdatakse Euroopa poliitikat seoses ühtlustatud normidega, mis käsitlevad tehisintellektisüsteemide pakkumist siseturul, tagades samal ajal ohutuse ja põhiõiguste austamise. Lihtsustatud ühtne järelevalve tagab järjekindluse käesolevast määrusest tulenevate kohustuste piiriülesel kohaldamisel. Nende uute ülesannete täitmiseks tuleb võimaldada komisjoni talitustele piisavad vahendid. Uue määruse täitmise tagamiseks on hinnanguliselt vaja 53 täistööajale taandatud töötajat. 2.2.2. Teave kindlakstehtud riskide ja nende vähendamiseks kasutusele võetud sisekontrollisüsteemi(de) kohta Riskid vastavad komisjoni tegevuse tavapärastele riskidele ja on piisavalt kaetud riskide minimeerimise olemasolevate standardmenetlustega. 2.2.3. Kontrollimeetmete hinnanguline kulutõhusus (kontrollikulude suhe hallatavate vahendite väärtusse), selle põhjendus ja oodatav veariski tase (maksete tegemise ja sulgemise ajal) Kuna ühe tehingu (nt koosolekul osaleva delegaadi reisikulude hüvitamine) väärtus on väike, näib koosolekukuludega seoses piisavat standardsest kontrollikorrast. 2.3. Pettuste ja õigusnormide rikkumise ärahoidmise meetmed Nimetage rakendatavad või kavandatud ennetus- ja kaitsemeetmed, nt pettustevastase võitluse strateegias esitatud meetmed. Komisjoni suhtes kohaldatavad olemasolevad pettuste ennetamise meetmed hõlmavad käesoleva määruse täitmiseks vajalikke lisaassigneeringuid. ET 9 ET  3. ETTEPANEKU/ALGATUSE HINNANGULINE FINANTSMÕJU 3.1. Mitmeaastase finantsraamistiku rubriigid ja kulude eelarveread, millele mõju avaldub • Olemasolevad eelarveread Järjestage mitmeaastase finantsraamistiku rubriigiti ja iga rubriigi sees eelarveridade kaupa Eelarverida Kulu liik Rahaline osalus Mitmeaasta Kandidaatri se igid ja finantsraam Liigendatud Muud Muu Nr /liigendama EFTA potentsiaals istiku kolmanda sihtotstarbeline riigid28 ed rubriik ta27. kandidaadi d riigid tulu d29 20 02 06 Halduskulud Liigenda 7 Ei mata 1 02 04 03 Programm „Digitaalne Euroopa“, Liigendat JAH EI jah EI tehisintellekt ud 1 02 01 30 01 Programmi „Digitaalne Liigenda jah jah Euroopa“ toetuskulud mata 27 Liigendatud = liigendatud assigneeringud / liigendamata = liigendamata assigneeringud. 28 EFTA – Euroopa Vabakaubanduse Assotsiatsioon. 29 Kandidaatriigid ja vajaduse korral Lääne-Balkani potentsiaalsed kandidaadid. ET 10 ET  3.2. Ettepaneku hinnanguline finantsmõju assigneeringutele 3.2.1. Hinnanguline mõju tegevusassigneeringutele – ülevaade –  Ettepanek/algatus ei nõua tegevusassigneeringute kasutamist –  Ettepanek/algatus nõuab tegevusassigneeringute kasutamist, mis toimub järgmiselt: 3.2.1.1. Heakskiidetud eelarvest saadavad assigneeringud [ miljonites eurodes (kolm kohta pärast koma) Mitmeaastase finantsraamistiku rubriik 1 Mitmeaastane Aasta Aasta Aasta Aasta Pärast 2027 DG: SIDEVÕRKUDE, SISU JA TEHNOLOOGIA finantsraamistik PEADIREKTORAAT 2021–2027 2024 2025 2026 2027 Pärast 2027 KOKKU Kulukohustused (1a) 0,50030 0,50031 1,000 Eelarverida 02 04 03 Maksed (2a) 0,500 0,500 1,000 Eriprogrammide vahenditest rahastatavad haldusassigneeringud 30 See eelarve on programmi „Digitaalne Euroopa“ 2026–2027. aasta tööprogrammis juba eraldatud tehisintellektiametile. 31 See eelarve on programmi „Digitaalne Euroopa“ 2026–2027. aasta tööprogrammis juba eraldatud tehisintellektiametile. ET 11 ET  7,283 Eelarverida 02 01 30 01 (3) 2,64232 6,283 33 8,925 SIDEVÕRKUDE, SISU JA Kulukohustused = 1a + 1b + 3 3,142 6,783 7,283 9,925 TEHNOLOOGIA PEADIREKTORAADI Maksed = 2a + 2b + 3 2,642 6,783 7,783 9,925 assigneeringud KOKKU Mitmeaastane Aasta Aasta Aasta Aasta Pärast 2027 finantsraamistik KOKKU 2021–2027 2024 2025 2026 2027 Pärast 2027 KOKKU Kulukohustused (1a) 0,50034 0,50035 1,000 Eelarverida 02 04 03 Maksed (2a) 0,500 0,500 1,000 Eriprogrammide vahenditest rahastatavad haldusassigneeringud 32 See eelarve vastab [48] täistööajale taandatud lisatöötajale kuueks kuuks [(43 lepingulist töötajat ja 5 lähetatud riiklikku eksperti)], lähtetase on 2026. aasta eelarvemenetluse raames kokku lepitud töötajate arv. Eelarve paigutatakse programmi „Digitaalne Euroopa“ haldusassigneeringutest ümber, et katta lisakulud. 33 See summa paigutatakse 2027. aastal ümber eelarverealt 02.0403 (erieesmärk nr 2: tehisintellekt) ja taotlus lisatakse 2027. aasta eelarvemenetlusse. 34 See eelarve on programmi „Digitaalne Euroopa“ 2026–2027. aasta tööprogrammis juba eraldatud tehisintellektiametile. 35 See eelarve on programmi „Digitaalne Euroopa“ 2026–2027. aasta tööprogrammis juba eraldatud tehisintellektiametile. ET 12 ET  7,283 Eelarverida 02 01 30 01 (3) 2,64236 6,283 37 8,925 SIDEVÕRKUDE, SISU JA Kulukohustused = 1a + 1b + 3 3,142 6,783 7,283 9,925 TEHNOLOOGIA PEADIREKTORAADI 9,925 assigneeringud KOKKU Maksed = 2a + 2b + 3 2,642 6,783 7,783 ] [ Mitmeaastase finantsraamistiku rubriik 7 „Halduskulud“ Aasta Aasta Aasta Aasta Mitmeaastane finantsraamistik DG: SIDEVÕRKUDE, SISU JA TEHNOLOOGIA PEADIREKTORAAT 2021–2027 2024 2025 2026 2027 KOKKU  Personalikulud 0,940 0,940 1,880  Muud halduskulud 0,025 0,025 0,050 SIDEVÕRKUDE, SISU JA TEHNOLOOGIA Assigneeringud 0,965 0,965 1,930 PEADIREKTORAAT KOKKU 36 See eelarve vastab 48 täistööajale taandatud lisatöötajale kuueks kuuks (43 lepingulist töötajat ja 5 lähetatud riiklikku eksperti), lähtetase on 2026. aasta eelarvemenetluse raames kokku lepitud töötajate arv. Eelarve paigutatakse programmi „Digitaalne Euroopa“ haldusassigneeringutest ümber, et katta lisakulud. 37 See summa paigutatakse 2027. aastal ümber eelarverealt 02.0403 (erieesmärk nr 2: tehisintellekt) ja taotlus lisatakse 2027. aasta eelarvemenetlusse. ET 13 ET  (Kulukohustuste kogusumma = Mitmeaastase finantsraamistiku RUBRIIGI 7 assigneeringud KOKKU maksete 0,965 0,965 1,930 kogusumma) miljonites eurodes (kolm kohta pärast koma) Pärast Mitmeaastane Aasta Aasta Aasta Aasta 2027 finantsraamistik 2021–2027 2024 2025 2026 2027 KOKKU RUBRIIKIDE 1–7 assigneeringud KOKKU Kulukohustused 4,107 7,748 8,248 11,855 Mitmeaastane finantsraamistik Maksed 3,607 7,748 8,748 11,855 ] 3.2.2. Hinnanguline tegevusassigneeringutest rahastatav väljund (ei täideta detsentraliseeritud asutuste puhul) kulukohustuste assigneeringud miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Lisage vajalik arv aastaid, et näidata KOKKU 2024 2025 2026 2027 finantsmõju kestust (vt punkt 1.6) Märkige eesmärgid ja väljundid VÄLJUNDID Väljun Väljun Kesk di dite Kulud Arv Arv Arv Arv Arv Arv Arv  mine Kulu Kulu Kulu Kulu Kulu Kulu Kulu liik38 arv kokku kulu kokku 38 Väljunditena käsitatakse tarnitud tooteid ja osutatud teenuseid (rahastatud üliõpilasvahetuste arv, ehitatud teede pikkus kilomeetrites jms). ET 14 ET  ERIEESMÄRK nr 139… - Väljund - Väljund - Väljund Erieesmärk nr 1 kokku ERIEESMÄRK nr 2 ... - Väljund Erieesmärk nr 2 kokku KOKKU 39 Vastavalt punktile 1.3.2. „Erieesmärgid“. ET 15 ET  3.2.3. Hinnanguline mõju haldusassigneeringutele – ülevaade –  Ettepanek/algatus ei nõua haldusassigneeringute kasutamist –  Ettepanek/algatus nõuab haldusassigneeringute kasutamist, mis toimub järgmiselt: 3.2.3.1. Heakskiidetud eelarvest saadavad assigneeringud [ Aasta Aasta Aasta Aasta HEAKSKIIDETUD EELARVE 2021–2027 KOKKU 2024 2025 2026 2027 RUBRIIK 7 Personalikulud 0,940 0,940 1,880 Muud halduskulud 0,025 0,025 0,050 RUBRIIK 7 kokku 0,965 0,965 1,930 RUBRIIGIST 7 välja jäävad kulud Personalikulud 2,429 4,858 7,287 Muud halduskulud 0,213 1,425 1,638 RUBRIIGIST 7 välja jäävad kulud kokku 2,642 6.283 8,925 ] Personali ja muude halduskuludega seotud assigneeringute vajadused kaetakse assigneeringutest, mille asjaomane peadirektoraat on kõnealuse meetme haldamiseks juba andnud, ja/või peadirektoraadi sees ümberpaigutatud assigneeringutest, mida vajaduse korral võidakse täiendada nendest lisaassigneeringutest, mis haldavale peadirektoraadile eraldatakse iga-aastase vahendite eraldamise menetluse käigus, arvestades eelarvepiirangutega. 3.2.4. Hinnanguline personalivajadus –  Ettepanek/algatus ei nõua personali kasutamist –  Ettepanek/algatus nõuab personali kasutamist, mis toimub järgmiselt: ET 16 ET  3.2.4.1. Rahastatakse heakskiidetud eelarvest Hinnanguline väärtus täistööaja ekvivalendina [ Aasta Aasta Aasta Aasta HEAKSKIIDETUD EELARVE 2024 2025 2026 2027  Ametikohtade loeteluga ette nähtud ametikohad (ametnikud ja ajutised töötajad) 20 01 02 01 (komisjoni peakorteris ja esindustes) 0 0 5 5 20 01 02 03 (ELi delegatsioonides) 0 0 0 0 01 01 01 01 (kaudne teadustegevus) 0 0 0 0 01 01 01 11 (otsene teadustegevus) 0 0 0 0 Muud eelarveread (märkige) 0 0 0 0 • Koosseisuväline personal (täistööaja ekvivalendina) 20 02 01 (üldvahenditest rahastatavad lepingulised töötajad ja riikide lähetatud eksperdid) 0 0 0 0 20 02 03 (lepingulised töötajad, kohalikud töötajad, riikide lähetatud eksperdid ja noored eksperdid ELi delegatsioonides) 0 0 0 0 - peakorteris 0 0 0 0 Haldustoetuse eelarverida [XX.01.YY.YY] - ELi delegatsioonides 0 0 0 0 01 01 01 02 (lepingulised töötajad ja riikide lähetatud eksperdid kaudse teadustegevuse valdkonnas) 0 0 0 0 01 01 01 12 (lepingulised töötajad ja riikide lähetatud eksperdid otsese teadustegevuse valdkonnas) 0 0 0 0 Muud eelarveread (märkige) - Rubriik 7 0 0 0 0 Muud eelarveread (02 01 30 01) - Rubriigist 7 välja jäävad kulud 0 0 48 48 KOKKU 0 0 53 53 ] Ettepaneku rakendamiseks vajatav personal (täistööaja ekvivalendina) Kaetakse Erakorraline lisapersonal* komisjoni talituste ET 17 ET  olemasolevast personalist Rahastatakse Rahastatakse BA Rahastatakse rubriigist 7 või ridadelt tasudest teadusuuringute eelarveridadelt Ametikohtade 5 ei kohaldata loeteluga ette nähtud ametikohad Koosseisuväline 10 38 personal (lepingulised töötajad, riikide lähetatud eksperdid ja renditööjõud) Ülesannete kirjeldus: Ametnikud ja ajutised töötajad Keskse järelevalve tugevdamine tehisintellektiameti poolt toob kaasa tehisintellektisüsteemide arvu märkimisväärse suurenemise. Seda ülesannet ei saa täita Koosseisuvälised töötajad praeguse töötajate arvuga, mis on piisav üksnes praeguse järelevalve kohaldamisala jaoks. 3.2.5. Hinnanguline mõju digitehnoloogiaga seotud investeeringutele – ülevaade Kohustuslik: järgmises tabelis tuleks esitada parim hinnang ettepanekust/algatusest tulenevate digitehnoloogiaga seotud investeeringute kohta. Erandkorras, kui see on vajalik ettepaneku/algatuse rakendamiseks, tuleks rubriigi 7 assigneeringud esitada selleks ettenähtud eelarvereal. ET 18 ET  Rubriikide 1–6 assigneeringuid tuleks kajastada „tegevusvaldkonna IT-kuludena, mis on eraldatud rakenduskavadele“. Nende kulud kuuluvad tegevuseelarvesse, mida kasutatakse otseselt algatuse rakendamisega seotud IT-platvormide/vahendite taaskasutamiseks/ostmiseks/arendamiseks ja nendega seotud investeeringuteks (nt litsentsid, uuringud, andmete säilitamine jne). Selles tabelis esitatud teave peaks olema kooskõlas 4. jaos „Digimõõde“ esitatud üksikasjadega. Mitmeaas Aasta Aasta Aasta Aasta tane finantsra Digi- ja IT-assigneeringud KOKKU amistik 2024 2025 2026 2027 2021– 2027 KOKKU RUBRIIK 7 Institutsiooni tasandi IT-kulud 0,000 0,000 0,000 0,000 0,000 RUBRIIK 7 kokku 0,000 0,000 0,000 0,000 0,000 RUBRIIGIST 7 välja jäävad kulud Poliitikavaldkondade IT-kulud 0,000 0,000 0,000 0,000 0,000 rakenduskavadele RUBRIIGIST 7 välja jäävad kulud kokku 0,000 0,000 0,000 0,000 0,000 KOKKU 0,000 0,000 0,000 0,000 0,000 3.2.6. Kooskõla kehtiva mitmeaastase finantsraamistikuga Ettepanek/algatus: –  on täielikult rahastatav mitmeaastase finantsraamistiku asjaomase rubriigi sisese vahendite ümberpaigutamise kaudu Summad paigutatakse ümber programmi „Digitaalne Euroopa“ 2026. aasta 02.013001 toetuskulust ja 2027. aasta 02.0403 (erieesmärk nr 2: tehisintellekt) toetuskulust. –  tingib mitmeaastase finantsraamistiku asjaomases rubriigi mittesihtotstarbelise varu ja/või mitmeaastase finantsraamistiku määruses sätestatud erivahendite kasutuselevõtu –  nõuab mitmeaastase finantsraamistiku muutmist ET 19 ET  3.2.7. Kolmandate isikute rahaline osalus Ettepanek/algatus: –  ei näe ette kolmandate isikute poolset kaasrahastamist –  näeb ette kolmandate isikute poolse kaasrahastuse, mille hinnanguline summa on järgmine: assigneeringud miljonites eurodes (kolm kohta pärast koma) Aasta Aasta Aasta Aasta Kokku 2024 2025 2026 2027 Nimetage kaasrahastav asutus Kaasrahastatavad assigneeringud KOKKU 3.3. Hinnanguline mõju tuludele –  Ettepanekul/algatusel puudub finantsmõju tuludele. –  Ettepanekul/algatusel on järgmine finantsmõju: –  omavahenditele –  muudele tuludele –  märkige, kas see on kulude eelarveridasid mõjutav sihtotstarbeline tulu miljonites eurodes (kolm kohta pärast koma) ET 20 ET  Ettepaneku/algatuse mõju40 Jooksval eelarveaastal Tulude eelarverida kättesaadavad assigneeringud Aasta 2024 Aasta 2025 Aasta 2026 Aasta 2027 Artikkel …. Sihtotstarbeliste tulude puhul märkige, milliseid kulude eelarveridasid ettepanek mõjutab. Muud märkused (nt tuludele avaldatava mõju arvutamise meetod/valem või muu teave). 4. DIGIMÕÕDE 4.1. Diginõuded Nõudest mõjutatud või Viide nõudele Nõude kirjeldus Üldised protsessid Kategooriad sellega seotud osalejad Artikli 1 lõige 5 Lisatakse artikkel 4a: kui on täidetud Tehisintellektisüsteemide ja Andmetöötlus Andmed teatavad tingimused, siis lubatakse tehisintellektimudelite tehisintellektisüsteemide ja pakkujad ja juurutajad tehisintellektimudelite pakkujatel ja Asjaomased andmesubjektid juurutajatel erandkorras töödelda isikuandmete eriliike ulatuses, mis on vajalik 40 Traditsiooniliste omavahendite (tollimaksud, suhkrumaksud) korral tuleb märkida netosummad, st brutosumma pärast 20 % sissenõudmiskulude mahaarvamist. ET 21 ET  kallutatuse avastamiseks ja parandamiseks. Artikli 1 lõige 8 Muudetakse artikli 11 lõike 1 teist lõiku: Suure riskiga Tehnilised Andmed seoses suure riskiga tehisintellektisüsteemide tehisintellektisüsteemide dokumendid tehnilise dokumentatsiooniga, mis tuleb pakkujad (sealhulgas väikesed koostada enne süsteemi turule laskmist või keskmise kasutusele võtmist. VKEdele ja väikestele turukapitalisatsiooniga keskmise turukapitalisatsiooniga ettevõtjatele ettevõtjad ja VKEd) antakse teatavad regulatiivsed privileegid Riikide pädevad asutused seoses kõnealuse teabe esitamisega. Teada antud asutused Euroopa Komisjon Artikli 1 lõige 10 Muudetakse artiklit 28, lisatakse lõige 1a: Vastavushindamisasutused Taotluse esitamine Andmed määramist taotlevatele Teavitavad ametiasutused vastavushindamisasutustele võib pakkuda võimalust esitada üks taotlus ja läbida üks hindamismenetlus. Artikli 1 lõige 11 Muudetakse artikli 29 lõiget 4: üht Teada antud asutused Taotluse esitamine Andmed hindamist taotlevad teada antud asutused Teavitavad ametiasutused esitavad teavitavale ametiasutusele ühe taotluse. Asjakohaste muudatuste korral ajakohastab teada antud asutus dokumentatsiooni. Artikli 1 lõige 16 Muudetakse artikli 56 lõiget 6: komisjon Euroopa Komisjon Hinnangu Andmed avaldab oma hinnangu tegevusjuhendite avaldamine piisavuse kohta. Artikli 1 lõige 26 Muudetakse artiklit 77 Riikide avaliku sektori Teabevahetus Andmed asutused/organid, kes ET 22 ET  • Lõige 1: riiklikud avaliku sektori teostavad järelevalvet asutused/organid, kes teostavad põhiõigusi kaitsvate ELi järelevalvet põhiõigusi kaitsvate ELi õigusest tulenevate kohustuste õigusest tulenevate kohustuste täitmise täitmise üle / täidavad neid üle / jõustavad neid, võivad esitada kohustusi põhjendatud taotluse ja pääseda juurde Turujärelevalveasutused asjaomase turujärelevalveasutuse teabele/dokumentidele. Tehisintellektisüsteemide • Lõige 1a: turujärelevalveasutus pakkujad/juurutajad võimaldab juurdepääsu ja vajaduse korral nõuab pakkujalt/juurutajalt teavet. • Lõige 1b: vajaduse korral vahetavad eespool nimetatud turujärelevalveasutused ja avaliku sektori asutused/organid teavet. 4.2. Andmed Kohaldamisalasse kuuluvate andmete üldine kirjeldus Andmete liik Viide nõudele (nõuetele) Standard ja/või tehniline kirjeldus (kui see on asjakohane) Isikuandmete eriliigid (kui töötlemine on vajalik Artikli 1 lõige 5 // kallutatuse avastamiseks/korrigeerimiseks) Suure riskiga tehisintellektisüsteemide tehniline Artikli 1 lõige 8 Tehniline dokumentatsioon peab sisaldama vähemalt tehisintellektimääruse IV lisas loetletud elemente. ET 23 ET  dokumentatsioon Komisjon kehtestab väikestele keskmise turukapitalisatsiooniga ettevõtjatele ja VKEdele suunatud lihtsustatud tehnilise dokumentatsiooni vormi. Vastavushindamisasutuste määramise taotlused Artikli 1 lõige 10 // Vastavushindamisasutuste teada andmise taotlused Artikli 1 lõige 11 Asjakohaste muudatuste korral ajakohastab teada antud asutus asjakohast dokumentatsiooni. Komisjoni hinnang tegevusjuhendite piisavuse Artikli 1 lõige 16 // kohta Tehisintellektisüsteeme käsitlevale teabele Artikli 1 lõige 26 // juurdepääsu taotlus Teave või dokumendid, mida nõuavad riiklikud Artikli 1 lõige 26 Esitatakse arusaadavas keeles ja juurdepääsetavas avaliku sektori asutused/organid, kes teostavad vormingus. järelevalvet põhiõigustega seotud kohustuste täitmise üle / jõustavad neid Kooskõla Euroopa andmestrateegiaga Selgitus selle kohta, kuidas nõue (nõuded) on kooskõlas Euroopa andmestrateegiaga Artikli 1 lõikes 4 on sätestatud, et isikuandmete eriliikide töötlemise suhtes kohaldatakse asjakohaseid kaitsemeetmeid füüsiliste isikute põhiõiguste ja -vabaduste tagamiseks. See on kooskõlas määrustega (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja (EL) 2018/1725 (ELi isikuandmete kaitse määrus). Kooskõla ühekordsuse põhimõttega ET 24 ET  Selgitus selle kohta, kuidas on kaalutud ühekordsuse põhimõtet ja kuidas on uuritud olemasolevate andmete taaskasutamise võimalust Artikli 1 lõikes 10 on sätestatud, et vastavushindamisasutustele võib anda võimaluse esitada üks taotlus ja läbida üks hindamismenetlus. Selgitus selle kohta, kuidas on uued loodud andmed leitavad, juurdepääsetavad, koostalitlusvõimelised ja taaskasutatavad ning vastavad kvaliteetsetele standarditele Andmevood Andmevoogude üldine kirjeldus Andmete liik Viide (viited) Osalejad, kes andmed Osalejad, kes andmed Andmevahetuse Sagedus (kui nõudele esitavad saavad ajend see on (nõuetele) asjakohane) Vastavushindamisasutuste teada Artikli 1 I lisa A jaos loetletud I lisa A jaos loetletud Ühe hindamise // andmise taotlused lõige 11 liidu liidu taotlus ühtlustamisõigusaktide ühtlustamisõigusaktide alusel määratud teada kohaselt määratud antud asutused teavitav asutus Komisjoni hinnang Artikli 1 Euroopa Komisjon Üldsus Tegevusjuhendite Regulaarselt tegevusjuhendite piisavuse lõige 16 hindamine kohta Tehisintellektisüsteeme Artikli 1 Riikide avaliku sektori Turujärelevalveasutus Riikide avaliku // käsitlevale teabele juurdepääsu lõige 26 asutused või organid, sektori taotlus kes teevad järelevalvet asutused/organid põhiõigusi kaitsvate vajavad teavet oma ET 25 ET  liidu õigusest tulenevate ülesannete täitmiseks kohustuste täitmise üle või tagavad nende täitmise Teave või dokumendid, mida Artikli 1 Turujärelevalveasutus Riikide avaliku sektori Põhjendatud taotluse // nõuavad riiklikud avaliku lõige 26 asutused või organid, kes esitamine teabele sektori asutused/organid, kes teevad järelevalvet juurdepääsuks teostavad järelevalvet põhiõigusi kaitsvate liidu põhiõigustega seotud õigusest tulenevate kohustuste täitmise üle / kohustuste täitmise üle või tagavad nende jõustavad neid täitmise Turujärelevalveasutuste nõutav Artikli 1 Turujärelevalveasutused Tehisintellektisüsteemide Turujärelevalveasutus // teave või nõutavad dokumendid lõige 26 pakkujad/juurutajad vajab teavet, et vastata riiklike ametiasutuste / põhiõigustega seotud kohustuste üle järelevalvet teostavate / neid jõustavate asutuste taotlusele Teabevahetus osana koostööst Artikli 1 Turujärelevalveasutused Turujärelevalveasutused Koostöö ja // turujärelevalveasutuste ja lõige 26 vastastikuse / avaliku sektori / avaliku sektori avaliku sektori abistamise käigus asutused/organid asutused/organid asutuste/organite vahel, kes kindlaks tehtud teevad järelevalvet teabevahetusvajadus ET 26 ET  põhiõigustega seotud kohustuste täitmise üle / jõustavad neid kohustusi 4.3. Digilahendused Digilahenduste üldine kirjeldus Viide Peamised Kuidas on arvesse Kuidas on arvesse Tehisintellektitehnoloogia (viited) Vastutav Digilahendus volitatud võetud võetud kasutamine (kui see on nõudele asutus funktsioonid juurdepääsetavust? korduvkasutatavust? asjakohane) (nõuetele) Ei kohaldata (tehisintellektimääruse kavandatud muudatustega ei nähta ette uute digilahenduste kasutuselevõtmist) Iga digilahenduse puhul selgitus selle kohta, kuidas digilahendus vastab kohaldatavale digipoliitikale ja õigusaktidele Digilahendus nr 1 Digi- ja/või valdkondlik poliitika (kui see on Selgitus selle kohta, kuidas see on kooskõlas asjakohane) Tehisintellektimäärus ELi küberturvalisuse raamistik ET 27 ET  eIDAS Ühtne digivärav ja siseturu infosüsteem Muu 4.4. Koostalitlusvõime hindamine Üldine kirjeldus digitaalsete avalike teenuste kohta, mida nõuded mõjutavad Digitaalne avalik Kirjeldus Viide (viited) Koostalitleva Euroopa Muu(d) koostalitluslahendus(ed) teenus või nõudele (nõuetele) lahendus(ed) digitaalsete avalike teenuste kategooria (EI KOHALDATA) Ei kohaldata (tehisintellektimääruse kavandatud muudatused ei mõjuta digitaalseid avalikke teenuseid) Nõude (nõuete) mõju piiriülesele koostalitlusvõimele digitaalsete avalike teenuste kaupa Digitaalne avalik teenus nr 1 Hindamine Meede (meetmed) Võimalikud allesjäänud tõkked (kui see on asjakohane) ET 28 ET  Kooskõla kehtivate digi- ja valdkondlike poliitikameetmetega Loetlege kohaldatavad kindlakstehtud digi- ja valdkondlikud poliitikameetmed Korralduslikud meetmed digitaalsete avalike teenuste sujuvaks piiriüleseks osutamiseks Loetlege kavandatud juhtimismeetmed Meetmed, mis on võetud andmete ühise mõistmise tagamiseks Loetlege sellised meetmed Ühiselt kokku lepitud avalike tehniliste kirjelduste ja standardite kasutamine Loetlege sellised meetmed 4.5. Digimõõtme rakendamist toetavad meetmed Digitaalset rakendamist toetavate meetmete üldine kirjeldus Meetme kirjeldus Viide (viited) Komisjoni roll Kaasatavad osalejad Eeldatav ajakava nõudele (nõuetele) (kui see on (kui see on asjakohane) (kui see on asjakohane) asjakohane) ET 29 ET  EI OLE ASJAKOHANE ET 30 ET  Riigikantselei Meie 10.02.2026 nr 7-1/1014 [email protected] Rahukohtu 3 15161 Tallinn Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi kohta Esitame Teile Vabariigi Valitsuse istungile edastamiseks Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi kohta. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisad: 1. Protokollilise otsuse eelnõu 2. Seletuskiri 3. Kaasamistabel 4. Määruste eelnõud Kristiina Krause 51933390 [email protected] Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 [email protected]/ www.justdigi.ee/ Registrikood 70000898  EELNÕU VABARIIGI VALITSUS ISTUNGI PROTOKOLL Tallinn, Stenbocki maja .02.2026 Päevakorrapunkt nr ... Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi kohta 1. Kiita heaks järgmised justiits- ja digiministri esitatud Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi (Omnibus VII) kohta. 1.1. Euroopa digivaldkonna lihtsustamise koondpakettide üldised põhimõtted 1.1.1. Eesti toetab Euroopa digivaldkonna lihtsustamise koondpakettide raames ELi andmeõiguse reeglistiku lihtsustamist, et vähendada ettevõtjate ebavajalikku halduskoormust ja avaliku sektori töökoormust ning võimaldada andmeid turvaliselt jagada. 1.1.2. Eesti peab oluliseks, et isikuandmete kaitse regulatsiooni muudatused ei too kaasa tehisaru kasutusele võtmise ja treenimise senisest keerukamaks muutmist (näiteks peab ka avalik sektor saama vajadusel tehisaru lahendusi treenida) ega muuda EL põhiõiguste hartas sätestatud põhiõiguste olemust. Õigusaktide muudatustega peavad komisjonilt kaasnema põhjalikud mõjuanalüüsid. 1.1.3. Eesti leiab, et Euroopa digivaldkonna lihtsustamise koondpakettide menetlemisel tuleb arvestada, et käsitletavad teemad on sisulised, erineva ajakriitilisuse ja mõjuga ning omavahel seotud. Seetõttu tuleb esmajärjekorras lahendada kõige ajakriitilisemad küsimused, millel on vahetu mõju õiguskindlusele ja regulatsiooni õigeaegsele rakendamisele, eelkõige suure riskiga tehisintellekti määruse rakendumistähtaja sätete kehtima hakkamise edasi lükkamine. 1.1.4. Eesti peab oluliseks, et kõigi Euroopa digivaldkonna lihtsustamise koondpakettide raames tehtavate muudatuste puhul arvestatakse läbivalt küberturvalisuse nõuetega ning need muudatused ei vähendaks küberturvalisuse taset. 1.2. Üldises digikoondpaketis välja toodud andmeõiguse muudatused 1.2.1. Eesti toetab ühtse ELi andmemääruse loomist, mis koondab süsteemselt ja terminoloogiat ühtlustades avaandmete direktiivi, andmehaldusmääruse ning mitteisikustatud andmete vaba liikumise normid. 1.2.2. Eesti peab vajalikuks Euroopa Liidu tasemel väärtuslike andmestike kategooriate laiendamist, samas leiab Eesti, et avalikustada ei tohi andmestikke, mis seavad ohtu riigi sise- ja välisjulgeoleku. Täiendavate väärtuslike andmestike kategooria kehtestamisel tuleb arvestada mõjuga väiksematele liikmesriikidele. 1.2.3. Eesti leiab, et üldise digikoondpaketi ettepaneku tulemusena peab olema uues andmemääruses selgelt reguleeritud, millistel tingimustel võivad isikuandmed olla avaandmeteks. Isikuandmete avaldamine võib avaandmetena olla lubatud, kui andmesubjekt on selleks andnud oma nõusoleku või õigusega on ette nähtud andmete avalikustamine. 1.2.4. Eesti toetab privaatsustehnoloogiate laialdasemat kasutamist erinevate andmete kaitseks, sealhulgas tuleb anda Komisjoni juhised selliste tehnoloogiate kasutamise võimaluste ja kriteeriumite kohta. Eesti ei näe vajadust privaatsustehnoloogiate kasutusvõimaluste juhised anda EL õigusaktiga. 1.2.5. Eesti toetab ettepanekut kaotada nõue andmevahendusteenuste teavitamiseks ning leevendada andmevahendusteenusele kohalduvaid nõudeid täiendavate lisateenuste osutamise lubamisega. 1.2.6. Eesti toetab ettepanekut muuta ELi andmemäärust nii, et avalikul sektoril on õigus saada erasektorilt hädaolukorras andmeid, kuid peab oluliseks, et selle sätte rakendamisel arvestatakse inimeste põhiõigustega ning liikmesriikides kohaldatakse seda ühtsetel alustel. Andmete edastamisel tuleb eelistada isikustamata andmete edastamist või kui see pole võimalik, siis tuleb kaaluda sobivate privaatsuskaitsetehnoloogiate kasutamist. 1.2.7. Eesti toetab ettepanekuid Euroopa Andmeinnovatsiooninõukogu mandaadi laiendamiseks, tugevdades nõukogu rolli andmepoliitika ja -korralduse, piiriülese andmevahetuse ja liiduülese tehnilise koostöö koordineerimisel. 1.2.8. Eesti toetab ettepanekut tunnistada kehtetuks veebipõhiste vahendusteenuste määrus (EL) 2019/1150. Õigusselguse tagamise eesmärgil toetame seda, et selle määruse teatud (digikoondpaketis väljatoodud) sätted kehtivad kuni neile viitavate EL õigusaktide muutmiseni, seda tähtajaga hiljemalt 31. detsember 2032. 1.3. Üldises digikoondpaketis väljatoodud ühtse teavitusakna ettepaneku ja muud kübervaldkonna seisukohad 1.3.1. Eesti toetab ettepanekut luua küberintsidentide, isikuandmetega seotud rikkumiste kui ka muude samalaadsete juhtumite raporteerimiseks ühtne teavitusaken. Ühtse teavitusakna loomisel on oluline tagada, et intsidentidest raporteerimine on turvaline, juurdepääsetav vaid vajalikele osapooltele, ei tõsta liikmesriikide kulusid ja kasutab ära olemasolevaid liikmesriikide lahendusi ning praktikaid. Ühtse akna loomine peab vähendama ka ettevõtjate halduskoormust ja kulu Euroopa Liidu eelarvele. Ennekõike tuleb lisaks teavituste sisu ühtlustamisele digikoondpaketi raames ühtlustada ka erinevates õigusaktides olevate teavituste esitamise tähtaegu. 1.3.2. Eesti teeb ettepaneku, et ühtse teavitusaknaga seonduvalt ühtlustatakse küberintsidentide taksonoomiat, lisades vastava ülesande ELi ameti ENISA põhiülesannete hulka. Eesti leiab, et ENISA koostatud küberintsidentide taksonoomia kasutamine peab olema kohustuslik liidu- üleselt. 1.3.3. Eesti toetab seda, et küberintsidentidest teavitamise ühtse teavitusakna loomine, arendamine ja haldamine muutub ELi ameti ENISA üheks põhiülesandeks. Eesti teeb ettepaneku majutada ühtne teavitusaken ELi ameti eu-LISA juures Eesti peakontori infrastruktuuris, lisades vastava ülesande eu-LISA põhiülesannete hulka. 1.3.4. Eesti teeb ettepaneku finantssektori digitaalset tegevuskerksust sätestavat määrust ehk DORA määrust ja vajadusel ka NIS2 direktiivi lihtsustada nii, et DORA määruse kohaldamisalas olevad finantssektori ettevõtjad ei tohi nõuda DORA määruse turvalisuse nõuetele vastavust kolmandast isikust IKT-teenuste osutajatelt, kes vastavad NIS2 direktiivis ja selle alusel kehtestatud nõuetele. 1.4. Üldises digikoondpaketis väljatoodud isikuandmete kaitse üldmääruse muutmise seisukohad 1.4.1. Eesti ei toeta ettepanekut reguleerida isikuandmete kaitse üldmääruses tehisaru kui ühte tehnoloogilist lahendust. Eesti on seisukohal, et säilima peab IKÜM-i tehnoloogianeutraalsuse põhimõte. Samas ei tohi digikoondpaketi muudatused kaasa tuua tehisaru kasutusele võtmise ja treenimise senisest keerukamaks muutmist. Tehnoloogiaarenduseks isikuandmete töötlemine peab olema võimalik kõigil IKÜM-i andmetöötluse õiguslikel alustel. Eesti toetab, et tehnoloogia arendamiseks, mis on hõlmatud teadusuuringu mõistega, peab asjakohaste kaitsemeetmete rakendamisel olema lubatud töödelda ka eriliiki isikuandmeid. Eesti leiab, et õiguskindluse suurendamiseks tuleb IKÜM-is täpsustada laiemalt teadusuuringuga (sh tehnoloogiaarendusega) seonduvaid kaitsemeetmeid, mis omakorda ei tohi olla andmetöötlust liiga piiravad. Tehnoloogia arendamine ja käitamine on erinevad töötlemistoimingud ja vajavad Eesti hinnangul eraldiseisvat andmetöötluse õiguslikku alust. 1.4.2. Eesti toetab teadusuuringute mõiste avamist IKÜM-is, kuna see suurendab õigusselgust. Teadusuuringute mõiste peab hõlmama ka tehnoloogia, sealhulgas tehisintellekti, arendamist. Isikuandmete mõiste sisustamine IKÜM-is peab olema kooskõlas Euroopa Kohtu antud tõlgendusega ja põhiteksti täiendamisele tuleb eelistada määruse põhjenduspunktidesse selgituste lisamist. IKÜM-i muutmise käigus tuleb vältida uute määratlemata õigusmõistete kasutuselevõttu. Mõistete muutmisel IKÜM-s tuleb vastavad muudatused teha ka õiguskaitseasutuste andmekaitsedirektiivis. Erinevate isikuandmete kaitset reguleerivate Euroopa Liidu õigusaktide muudatuste kohaldamisaeg peab olema ühtlustatud. 1.4.3. Eesti toetab ettepanekut kehtiva õiguse täpsustamiseks, mille kohaselt loetakse isikuandmete edasist töötlemist teadus- või ajaloouuringute, statistilisel või avalikes huvides toimuva arhiveerimise eesmärgil kooskõlas olevaks töötluse algsete eesmärkidega. Andmetöötluse eesmärkide kooskõla ei loo Eesti hinnangul iseseisvat õiguslikku alust andmetöötluseks, sh ei anna õigust täiendavaks andmehõiveks ja seda tuleks vastavalt määruse muutmisel põhjenduspunktis käsitleda. 1.4.4. Eesti toetab biomeetriliste andmete kasutamise lubamist isikusamasuse kinnitamiseks. Samas on Eesti seisukohal, et ettepanekus toodud tingimus, et andmed või kontrollivahendid peavad olema ainult andmesubjekti kontrolli all, ei ole praktiliselt teostatav. Eesti leiab, et nõue tuleks sõnastada nii, et see oleks seotud isiku poolt protsessi algatamise või konkreetse teenuse taotlemisega. 1.4.5. Eesti on seisukohal, et automatiseeritud töötlusel, sh profiilianalüüsil põhinevate otsuste regulatsioon IKÜM-is peab olema selgelt sõnastatud andmesubjekti õigusena. Automatiseeritud töötlusel põhinevaid, andmesubjektile õiguslikke tagajärgi kaasa toovaid või talle märkimisväärset mõju avaldavaid, otsuseid tohib teha üksnes piiritletud juhtudel ning vastutav töötleja peab sellise andmetöötluse suhtes rakendama täiendavaid kaitsemeetmeid, sh peab andmesubjektil säilima õigus isiklikule kontaktile, et väljendada oma seisukohta ja otsust vaidlustada. 1.4.6. Eesti ei toeta ettepanekut piirata andmesubjekti õigusi selliselt, et õigus oma andmetega tutvuda oleks andmesubjektil üksnes andmekaitselistel eesmärkidel. Andmetega tutvumise õigus peab olema andmesubjektil ka muul juhul kui üksnes andmekaitsega seonduvalt. 1.4.7. Eesti on seisukohal, et Euroopa Andmekaitsenõukogul tuleb anda täpsustavad juhised isikuandmete kaitse alastest rikkumistest teavitamise kohta, eelkõige mida peetakse alusetuks viivituseks ja kõrgeks ohuks. Eesti ei toeta rikkumistest teavitamise lävendi tõstmist kõrge ohuga intsidentideni, vaid soovib, et teavitamise lävend on seotud ohtudega, mida ei saa pidada väikeseks. 1.4.8. Eesti leiab, et ettepanekuga tuleb säilitada Euroopa Andmekaitsenõukogu senised pädevused ja nende arvelt ei ole asjakohane suurendada Euroopa Komisjoni pädevusi. Eesti on seisukohal, et ka edaspidi peab Euroopa Andmekaitsenõukogu andma ühtseid juhiseid IKÜM- i tõlgendamisega seotud küsimustes. 1.4.9. Eesti toetab ettepanekut lihtsustada nõudeid seoses isikuandmete salvestamisega lõppseadmes (nn küpsised), kuna see leevendab nõusoleku väsimust. Eesti peab oluliseks, et küpsiste puhul oleks ajaline kehtivus määratud nii keeldumisele kui ka nõusoleku andmisele. Juhul kui isik on andnud nõusoleku lõppseadmes isikuandmete salvestamisele, peaks Eesti hinnangul ka sellisel juhul teatud ajaperioodi tagant temalt üle küsima, kas ta jätkuvalt on nõus tema poolt eelnevalt andmetöötluseks antud nõusolekuga. 1.4.10. Eesti teeb ettepaneku, et liikmesriigi andmekaitse järelevalveasutustel peab olema võimalus jätta kaebused läbi vaatamata, kui need ei ole andmekaitse normide täitmise tagamise seisukohalt prioriteetsed. 1.5. Tehisaru regulatsioon koondpaketis väljatoodud EL tehisintellekti määruse muutmise seisukohad 1.5.1. Eesti toetab tehisintellekti määruse muutmist eesmärgiga anda üldotstarbeliste tehisintellektimudelite ja väga suurtel digiplatvormidel või otsingumootorites rakendatavate tehisintellekti süsteemide järelevalve ülesanne Euroopa tehisintellekti ametile, kuid selline AI ameti järelevalve peab olema piiriüleste ja süsteemsete riski aspektide osas, milles liikmesriigi pädevusest ja võimekusest üksi ei piisa. Tehisintellekti ameti järelevalve pädevus ei tohi dubleerida siseriiklikku järelevalve pädevust ega takistada siseriiklikku järelevalvet, kus riigil on suveräänsus, pädevus ja mõistlik võimalus järelevalvet ise teostada. Lisaks on oluline väga suurte digiplatvormide või otsingumootorite pakkujate järelevalve nõuete ühtlustamine erinevate Euroopa Liidu õigusaktide vahel, tagamaks neile ühtne Euroopa järelevalveraamistik. 1.5.2. Eesti toetab tehisintellekti määruses väikese ja keskmise suurusega ettevõtetele ettenähtud lihtsustusmeetmete laiendamist väikese ja keskmise turukapitalisatsiooniga ettevõtetele, et vähendada nende halduskoormust ja toetada konkurentsivõimet. 1.5.3. Eesti toetab tehisintellekti määrusega kõrge riskiga AI süsteemide pakkujatele kehtestatud nõuete edasilükkamist, et anda Euroopa Komisjonile täiendavat aega standardite ja juhiste väljatöötamiseks. Lisaks peab avalikule ja erasektorile jääma piisav aeg, et oma tegevused loodud standardite ja juhistega kooskõlla viia. Nõuete kohaldumise tähtaja prognoositavuse eesmärgil tuleb paindlike tähtaegade asemel kehtestada kindlad rakendustähtajad. 1.5.4. Eesti on teatud tingimustel valmis toetama ettepanekut, mis võimaldaks isikuandmeid töödelda tehisaru kallutatuse avastamiseks ja kõrvaldamiseks. Sellisel töötlusel peavad olema rakendatud piisavad privaatsuskaitse meetmed, vajadus eriliigiliste andmete töötluseks peab olema põhjendatud ega tohi olla vaikimisi lubatud eelduseks. Taolist uut sätet AI määruses ei tohi lugeda eraldiseisvaks andmetöötluse õiguslikuks aluseks. 1.5.5. Eesti peab oluliseks tehisaru regulatiivsetes testkeskkondades ja reaalsetes tingimustes testimise võimalusi, kuid Euroopa Liidu tasandil ei tohi regulatsioone kinni kirjutada, takistada innovatsiooni ega ohtu seada põhiõiguste kaitset. Eesti toetab AI ameti juurde regulatiivse testkeskkonna loomist, kui see loob lisandväärtust siseriiklike testkeskkondade ees, näiteks toetab piiriüleste süsteemide testimist ja ei dubleeri riigisiseseid testkeskkondasid. 1.5.6. Eesti toetab ettepanekut muuta tehisintellekti määruses põhiõigusi kaitsvate asutuste volitusi viisil, mis suunab põhiõigusi kaitsvaid asutusi ja turujärelevalveasutusi koostööle ning väldib järelevalvatavatel korduvat dokumentide esitamist, kuid ei piira põhiõigusi kaitsvate asutuste pädevust teha järelevalvetoiminguid. 1.5.7. Eesti peab oluliseks digi- ja tehisaru oskuste arendamist, mis toetab nii innovatsiooni, konkurentsivõimet kui ka kaasavat osalemist tehisarupõhises digipöördes. Selliste oskuste arendamine peab toimuma erinevate osapoolte, sealhulgas tehisaru juurutajate ja pakkujate ning avaliku sektori koostöös. 2. Eesti esindajatel Euroopa Liidu Nõukogu erinevatel tasanditel väljendada ülaltoodud seisukohti. 3. Riigikantseleil esitada punktis 1 nimetatud eelnõu ja seisukohad Riigikogu juhatusele ja teha seisukohad teatavaks Eestis valitud Euroopa Parlamendi liikmetele ning Eestist nimetatud Majandus- ja Sotsiaalkomitee ja Regioonide Komitee liikmetele. Kristen Michael Keit Kasemets peaminister riigisekretär  SELETUSKIRI Vabariigi Valitsuse otsuse juurde „Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi kohta” Euroopa Komisjon avaldas 19.11.2025 digivaldkonna lihtsustamise koondpaketi (nn digiomnibussi), mis sisaldab ettepanekuid nii Euroopa Liidu digivaldkonna õigusaktide muutmiseks kui ka tehisintellekti määruse muutmiseks. Samuti tehakse ettepanekud muuta isikuandmete kaitse üldmäärust, EL institutsioonide andmekaitsemäärust ning küberintsidentidest teavitamise raamistikku. Digivaldkonna koondpakett keskendub ELi digi- ja andmereeglite lihtsustamisele, koondades ja ühtlustades mitmest eraldi õigusaktist tulenevaid kohustusi. Selle eesmärk on vähendada ettevõtjate halduskoormust, vältida kattuvaid nõudeid ning parandada õiguskindlust. Olulisemad muudatused hõlmavad eriliiki isikuandmete ning biomeetriliste andmete kasutamise tingimusi, aruandlus- ja teavitamiskohustuste lihtsustamist ning vastutavate töötlejate koormuse vähendamist madala riskiga andmetöötlusel. Tehisaru pakett keskendub AI määruse rakendamise selgemaks ja innovatsioonisõbralikumaks muutmisele, lähtudes riskipõhisest lähenemisest. Ettepanekute eesmärk on vähendada madala riskiga AI-süsteemide regulatiivset koormust ning pakkuda rohkem paindlikkust väikeettevõtetele. AI koondpaketiga tehakse ettepanek kõrge riskiga AI-süsteemide pakkujatele kehtestatud nõuete edasilükkamiseks, et anda täiendav aeg standardite väljatöötamiseks. Samuti nähakse ette ELi tasandil AI testkeskkonna loomine. Eesti peamised seisukohad digivaldkonna koondpaketi kohta sisaldavad järgmist: - Eesti toetab digivaldkonna lihtsustamise koondpaketi raames Euroopa andmeõiguse reeglistiku lihtsustamist vähendamaks ebavajalikku ettevõtjate halduskoormust ja avaliku sektori töökoormust, muutes nii Euroopa andmeõiguse rakendamise tõhusamaks ning lihtsamaks. - Eesti jaoks on oluline, et isikuandmete kaitse regulatsiooni muutmine ei tooks kaasa AI kasutusele võtmise ja treenimise senisest keerukamaks muutmist ega muudaks EL põhiõiguste hartas sätestatud põhiõiguste olemust. Näiteks peab ka avalik sektor saama vajadusel treenida tehisaru lahendusi. Õigusaktide muudatustele peavad eelnema põhjalikud mõjuanalüüsid. - Eesti leiab, et digivaldkonna lihtsustamise koondpaketi menetlemisel tuleb arvestada, et käsitletavad teemad on sisulised, erineva ajakriitilisuse ja mõjuga ning omavahel seotud. Seetõttu tuleb esmajärjekorras lahendada kõige ajakriitilisemad küsimused, millel on vahetu mõju õiguskindlusele ja regulatsiooni õigeaegsele rakendamisele, eelkõige suure riskiga tehisintellekti määruse rakendumistähtaja sätete kehtima hakkamise edasi lükkamine. 1 1. Sissejuhatus Seisukohad on seotud järgnevate Euroopa digivaldkonna lihtsustamise koondpakettidega:  Euroopa Parlamendi ja Nõukogu määrus, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett), (edaspidi ka üldine digikoondpakett)1; Sellega seotud muudatusettepanekute üldine eesmärk on Euroopa andmeõiguse lihtsustamine ja ettevõtete halduskoormuse vähendamine. Lisaks soovitakse andmeõiguse juhtimise ja tõhusa jõustamise parandamise kaudu vähendada nõuete keerukust, ettevõtete ja asutuste halduskulusid.  Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määruseid (EL) 2024/1689 ja (EL) 2018/1139 seoses tehisintellekti käsitlevate ühtlustatud õigusnormide (tehisintellekti käsitlev digivaldkonna koondpakett) rakendamise lihtsustamisega, (edaspidi ka tehisaru regulatsiooni koondpakett).2 Tehisaru regulatsiooniga seotud muudatusettepanekute üldine eesmärk on tugevdada tehisintellekti ameti teatud kategooriate tehisaru süsteemide seiret ja järelevalvet ning hõlbustada uuenduslike tehisaru süsteemide arendamist ja testimist ELi tasandil range regulatiivse järelevalve all enne nende süsteemide turule laskmist või muul viisil kasutuselevõttu. Lisaks soovitakse muudatustega tõhustada tehisintellekti määruse tehisaru süsteemidega seotud eeskirjade juhtimist ja tõhusat jõustamist. Muudatustega nähakse ette ELi tasandil katsekeskkonna loomine, mis võimaldaks piiriülest tegevust ja testimist. Euroopa andmeõigus, sh tehisaru regulatsioon, on keerukas ja fragmenteeritud. Erinevad põhimõtted, reeglid, nõuded ja kohustused on erinevates õigusaktides, mis kasutavad muuhulgas kohati erinevaid termineid sarnastele asjadele. Haldus- ja töökoormus on erinevatele rakendajatele märkimisväärne. See kõik mõjutab ka Eestis Euroopa andmeõiguse rakendamist, mistõttu on probleem aktuaalne ka Eestis. Esialgse hinnangu kohaselt toob algatus kaasa positiivseid mõjusid majandusele, infotehnoloogiale ja infoühiskonnale, inimeste õigustele ning riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele, kuludele ja tuludele. Samas võivad muudatused nõrgestada isikuandmete kaitset ja teha inimeste jaoks oma õiguste kasutamise keerulisemaks. Tegemist on seadusandliku tavamenetlusega. Digivaldkonna lihtsustamise koondpakettide vastuvõtmiseks nõukogus on vaja kvalifitseeritud häälteenamust. Nende koondpakettide 1 Proposal for a regulation of the European Parliament and of the Council amending Regulations (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 and Directives 2002/58/EC, (EU) 2022/2555 and (EU) 2022/2557 as regards the simplification of the digital legislative framework, and repealing Regulations (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868, and Directive (EU) 2019/1024 (Digital Omnibus), COM (2025) 837. Kättesaadav: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex:52025PC0837. 2 Proposal for a regulation of the European Parliament and of the council amending Regulations (EU) 2024/1689 and (EU) 2018/1139 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI), COM/2025/836 final. Kättesaadav: https://eur-lex.europa.eu/legal- content/EN/TXT/?uri=celex:52025PC0836. 2 menetluse ajakavad on veel kujunemisel, kuid esialgse info pinnalt soovitaksetehisaru regulatsiooni koondpaketi üldine lähenemine kokku leppida 2026. aasta suveks. Koondpakettide subsidiaarsustähtaeg on 16.03.2026. Eelnõu on seotud mitmete Eesti EL poliitika 2025-2027 prioriteetidega (edaspidi ELPOL) 3 . Eelkõige on oluline, et ELi andmevaldkonnas suureneks õigusselgus ja –kindlus. Eelnõu ei ole otseses seoses eelnõu seletuskirja kirjutamise ajal menetluses oleva muu riigisisese eelnõuga. 2. Koostajad Seisukohad ja seletuskirja koostasid Justiits- ja Digiministeeriumi (edaspidi JDM) üldosakonna kommunikatsiooni ja väliskoostöö talituse Euroopa Liidu asjade ja väliskoostöö juht Kristiina Krause ([email protected]), digiriigi osakonna digiriigi poliitika ja arenduse talituse juhataja Birgit Lüüs-Jakobs ([email protected]), sama talituse projektijuht Hendrik Roland Helm ([email protected]), sama talituse digiarengu valdkonna strateegiajuht Anna-Liisa Pärnalaas ([email protected]), sama osakonna AI ja andmete talituse juhataja Ott Velsberg ([email protected]), sama talituse andmehalduse programmijuht Kuldar Aas ([email protected]), sama talituse bürokrati teenuste projektijuht Allar Laaneleht ([email protected]), sama osakonna IT õiguse talituse nõunik Mait Heidelberg ([email protected]), sama talituse juhataja Stina Avvo ([email protected]), õiguspoliitika osakonna andmekaitseõiguse talituse juhataja Kristi Värk (kristi.vä[email protected]), sama talituse nõunikud Kristel Niidas ([email protected]) ja Helen Uustalu ([email protected]), digitaristu ja küberturvalisuse osakonna riikliku küberturvalisuse talituse küberturvalisuse õigusnõunik Raavo Palu ([email protected]) ning sama talituse rahvusvahelise küberturvalisuse koostööjuht Carmen Raal ([email protected]). Digiriigi valdkonna eest vastutab Justiits- ja Digiministeeriumi asekantsler Lauri Luht ([email protected]), küberturvalisuse valdkonna eest asekantsler Tõnu Grünberg ([email protected]) ja andmekaitse valdkonna eest asekantsler Heddi Lutterus ([email protected]). 3. Sisu ja võrdlev analüüs Eelnõu on seotud mitmete Eesti EL poliitika prioriteetidega. Eelkõige on oluline, et ELi andmete ja tehisintellekti valdkonnas suureneks õigusselgus ja -kindlus. Selleks tuleb komisjonil tagada tehisintellekti testkeskkondade ehk liivakastide loomine ELis, et anda ettevõtjatele ja avaliku sektori asutustele kindlus oma toote või teenuse ELi nõuetele vastavuse kohta (ELPOL p 69). Samuti on ELPOLi vaatest oluline ELi tasandil kehtestatud väärtuslike andmestike loetelu, mille suhtes tuleks olemasolevate riskide või ohuhinnangute tõttu kehtestada ühtsed avalikustamise piirangud (ELPOL p 67) ning ELis tuleb soodustada privaatsustehnoloogiate ja turvaliste andmetöötluskeskkondade kasutuselevõttu, et tagada andmete kasutamine ja väärindamine privaatsust tagaval viisil. Euroopa Komisjonil tuleb anda juhised ja luua selgus, millised 3 Riigikantselei. Eesti Euroopa Liidu poliitika prioriteedid 2025 – 2027. Kättesaadav: https://riigikantselei.ee/el- poliitika-julgeolek-ja-riigikaitse/eesti-euroopa-liidus/eesti-eli-poliitika (05.01.2026). 3 privaatsustehnoloogiad on põhiõiguste kaitse seisukohalt ELis piisavad ja nõuetele vastavad (ELPOL p 70). 3.1. EL digivaldkonna lihtsustamise koondpakettide sisu muudatused õigusaktide kaupa a. Üldise digikoondpaketiga tehti andmeõiguse aktide muutmiseks järgnevad ettepanekud: Andmeõiguse erinevate aktide liitmine andmemäärusega: mitteisikustatud andmete vaba liikumise määrus, andmehaldusmäärus, avaandmete direktiiv. Avaliku teabe kättesaadavust puudutavate nõuete kokku toomine andmehalduse määrusest ja avaandmete direktiivist, eesmärgiga katta piiratud ja piirangutega avaliku teabe avalikustamisele kohalduvad nõuded ühes õigusaktis (senise avaandmete direktiivi ja andmehalduse määruse eristatud käsitluse asemel). Liitmise eesmärk on vähendada õiguslikku keerukust – sealhulgas mõningaid kattuvusi, ebatäpseid mõisteid ning küsimusi selle kohta, kuidas erinevad õigusaktid omavahel koos toimivad. Oluline on tagada, et andmemäärus mitte ainult ei vähendaks koormust, vaid suurendaks ka õiguslikku selgust ja toetaks konkurentsivõimet. Suurem osa üldise digikoondpaketi muudatusi on seotud kahe Euroopa andmeõiguse suunaga: 1. erasektori andmete jagamist ja taaskasutust puudutavate nõuete koondamine ühte õigusakti eesmärgiga anda ettevõtetele ühtne ülevaade andmetele ligipääsu ja andmevahenduse nõuetest, mis on integreeritud digikoondpaketi peatükki VIIa, 2. avaliku teabe kättesaadavust puudutavate nõuete kokku toomine eesmärgiga katta piiratud ja piirangutega avaliku teabe avalikustamisele kohalduvad nõuded ühes õigusaktis (senise avaandmete direktiivi ja andmehalduse määruse eristatud käsitluse asemel), mis on integreeritud koondpaketi peatükki VIIc. Üldise digikoondpaketi olulisemad muudatused on:  Andmemääruse muudatused (nt ettevõtja ja avaliku sektori vaheline andmevahetus);  Andmehaldusmääruse muudatused (nt andmevahendusteenust osutavate organisatsioonide registreerimisnõude muutmine vabatahtlikuks ja neile organisatsioonidele kohalduvate nõuete leevendamine);  Isikustamata andmete vaba liikumise määruse muudatused  Avaandmete direktiiv muutub määruseks (ilmselt eeldab avaliku teabe seaduse muutmist). Määrus on vahetult kohaldatav ning täisharmoneeriv. Muu hulgas tõstetakse avaandmete direktiivist andmemäärusesse avaliku sektori avaandmete eest tasu võtmise ja taaskasutamise standardlitsentside sätted. Uue normi kohaselt võivad avaliku sektori asutused võtta väga suurtelt ettevõtetelt taaskasutamise eest suuremat tasu ning avaliku sektori asutused võivad näha väga suurtele ettevõtetele ette eritingimused litsentside osas. Sellised tasud ja tingimused peavad olema proportsionaalsed ja nende summa peab põhinema objektiivsetel kriteeriumidel. Väiksemate ettevõtete paremaks toetamiseks laiendatakse VKEdele mõeldud ELi andmeõiguse nõuete täitmist hõlbustavaid reegleid ka väikeste keskmise turukapitalisatsiooniga ettevõtjatele (VKTKEdele).  Euroopa andmeinnovatsiooni nõukoja (EDIB) mandaadi laiendamine. b. Üldise digikoondpaketiga tehtud küberintsidentide ühtse teavitusakna (Single-Entry Point ehk SEP) ettepanekud 4 Mitmed õigusaktid (direktiiv (EL) 2022/2555 ehk NIS2 direktiiv, määrus (EL) 2016/679 ehk IKÜM, määrus (EL) 910/2014 ehk eIDAS määrus, direktiiv (EL) 2022/2557 ehk CER direktiiv, määrus (EL) 2022/2554 ehk DORA määrus, määrus (EL) 2024/1366 ehk piiriüleste elektrivoogude küberturvalisust käsitlevaid sektoripõhiseid norme sisaldav võrgueeskiri nimetusega NCCS määrus, lennunduse valdkonna määrused ehk komisjoni määrused (EL) 2023/203 ja 2022/1645, direktiiv (EL) 2002/58/EÜ ehk e-privaatsuse direktiiv ja määrus (EL) 2024/2847 ehk CRA määrus) kohustavad intsidentidest/ juhtumitest teavitama asjakohast pädevat asutust. Tegemist on nende õigusaktide järgijatele dubleeriva kohustusega, kui samas juhtumist tuleb teavitada mitut asutust, kasutades erinevaid vorme. Lahendusena nähakse ühtset teavitamise akent ehk SEPi, mis võimaldab rakendada põhimõtet “teavita üks kord ja jaga mitme osapoolega”. SEPi arendab välja ja haldab EL Küberturvalisuse Amet (ENISA) ning seda peaks saama ka integreerida liikmesriikide riiklike lahendustega. SEP tehniline lahendus võidakse arendada välja CRA määruse kohase teavitusplatvormi tehnoloogia peale. Siinsete seisukohtade koostamise hetke seisuga ei ole võimalik anda hinnangut, milliseid IT-arendusi ning millises rahalises ulatuses oleks vaja teha Eesti riiklikes infosüsteemides. Seda ka põhjusel, et ENISA on alles koostamas asjakohaseid meetmeid ja nõudeid, mis on seotud SEPiga. Ettepanekus on hinnatud, et liikmesriik vajaks 2-4 täiskohaga töötajat, et hallata liikmesriigis asuvat SEPi osa. Eelarvelisi kulusid menetletakse edaspidi riigieelarve strateegia ja riigieelarve koostamise käigus vastavalt riigi eelarvelistele võimalustele. Eesti eesmärk on saavutada eelnõu läbirääkimistel proportsionaalne lahendus, mis jätaks liikmesriikide ühekordsed ja püsikulud võimalikult madalaks. Ettepaneku kohaselt eri õigusaktides olevad teavitamise tähtajad õigusaktides ei muutu – kuid ettepaneku SEPi selgituses ei ole märgitud, et digiomnibussi hulgas on ka IKÜMi muudatus, mis muudab isikuandmetega seotud rikkumisest teavitamise tähtaega. Ettepanekus on esitatud uuringu ülevaade, mille kohaselt 82% vastanud organisatsioonidest peavad teavitama küberintsidendist rohkem kui ühele järelevalveasutusele, sealhulgas 21% kõikidest vastanutest on pidanud teavitama viite asutust. Siin tuleb arvestada ka asjaoluga, et kui tegemist on kontserniga või tegevusega, mis toimub mitmes liikmesriigis, siis tuleb teavitus esitada mitme liikmesriigi pädevatele asutustele. Ettepanekus leitakse, et ühe teavituskanali kaudu teavitamisel saaks vähemalt 50% organisatsioonidest vähendada teavitamisega seotud vaeva – kuna nad peaksid (vähemalt) kahe teavituse asemel tegema ühe teavituse; samal ajal kui ühele viiendikule organisatsioonidele väheneks vastav koormus 66-80%, kui nad saavad teha 3- 5 teavituse asemel ühe teavituse. See tähendaks ELi üleselt säästu ca 41,5 miljonit EUR igal aastal. Tegemist on arvutusega, mis on seotud küberintsidentidest teavitamisega ning see ei võta arvesse võimalikku täiendavat säästu, mis on seotud isikuandmetega seotud rikkumistest teavitamisega ehk et kui ka need teavitused tulevad ühtsesse teavitusaknasse. c. Üldise digikoondpaketiga on isikuandmete kaitse üldmäärusega (IKÜM) seonduvalt tehtud järgnevad ettepanekud:  täpsustatakse isikuandmete mõistet – andmeid ei käsitata isikuandmetena, kui konkreetne andmeid omav osapool ei suuda nende põhjal isikut tuvastada. Isikuandmete staatus tekib üksnes siis, kui konkreetne vastuvõtja saab isiku mõistlikult tuvastada, ning ühe osapoole 5 tuvastamisvõime ei laiene automaatselt teistele. Teadusuuringu mõiste tuuakse põhjenduspunktidest määruse põhiteksti;  lisatakse mõisted: lõppseade, elektroonilise side võrk, veebibrauser, meediateenus, meediateenuse osutaja, internetipõhine kasutajaliides;  täpsustatakse isikuandmete töötlemise lubatavust tehisaru arendamiseks ja kasutamiseks – kinnitatakse üle, et „õigustatud huvi“ võib olla tehisaru puhul õiguslikuks aluseks ning luuakse tingimused eriliiki isikuandmete töötlemiseks tehisaru arendamise ja kasutuse tarbeks;  võimaldatakse eriliiki isikuandmete (biomeetriliste andmete) töötlemist, kui see on vajalik andmesubjekti isikusamasuse kontrollimiseks ning biomeetrilised andmed või kontrollimiseks vajalikud vahendid on andmesubjekti ainukontrolli all;  muudetakse automaatotsuste ja profileerimise lubatavuse tingimusi;  täpsustatakse andmesubjekti õigusi – andmesubjekt saab oma andmetele juurdepääsu üksnes andmekaitselistel eesmärkidel ja juurdepääsuõiguse kuritarvitamise korral võib keelduda taotlusele vastamast;  laiendatakse andmesubjektile teabe andmise piiramise aluseid ja andmekaitse rikkumistest teavitamise viisi ja aega (ühtne teavituskanal ning teavitusaeg pikeneb 72 tunni pealt 96 tunnini);  muudatusega antakse komisjonile õigus rakendusaktiga kehtestada Euroopa Andmekaitsenõukoja ettepaneku alusel isikuandmete töötlemise toimingute tüüpide loetelu, millele tuleb koostada andmekaitsealane mõjuhinnang, mõjuhinnangute vorm, metoodika. Komisjon saab rakendusaktiga sisustada määratlemata õigusmõisted (kõrge risk) ning määrata kindlaks millised pseudonüümimise viisid tagavad, et andmed ei oleks käsitatavad isikuandmetena;  uuendatakse isikuandmete salvestamisega lõppseadmes (nn küpsiste) ja nõusolekutega seotud regulatsiooni – see koondatakse enam IKÜMi alla ja muudetakse e-privaatsuse direktiivi. Samadest põhimõtetest lähtuvad ka EL institutsioonide andmekaitsemääruse muudatusettepanekud. Samas ei ole ettepanekus ette nähtud, et sarnaseid muudatusi tehakse direktiivis (EL) 2016/680 (nn õiguskaitseasutuste andmekaitsedirektiiv, mis reguleerib isikuandmete töötlust süüteomenetluses ja kriminaalkaristuste täideviimisel). d. Tehisaru regulatsiooni koondpaketiga tehti tehisaru reguleerimise osas järgmised ettepanekud:  muudetakse kõrge riskiga tehisintellektisüsteemide reeglite kohaldumisaega: rakendamise tähtaeg hakkab kulgema vastavate standardite valmimisest. Varasemalt pidid nimetatud nõuded hakkama kehtima 02.08.2026;  täpsustatakse ning täiendatakse väikeste ja keskmise suurusega ettevõtetele (VKEdele) ning väikeste keskmise turukapitalisatsiooniga ettevõtjatele (VKTKEdele) kehtivaid regulatsioone;  tehisintellektisüsteemide pakkujad ja juurutajad pidid varasemalt võimalikult suurel määral võtma meetmeid, et tõsta teadlikkust AI kasutamisest. Nüüd on see muutunud Komisjoni ja liikmesriikide ülesandeks, et selliseid ettevõtjaid julgustataks vastavate meetmete kaudu.  muudetakse kõrge riskiga tehisintellektisüsteemide pakkujate kohustusi. Teatud juhtudele (nt olukorras, kus AI-d kasutatakse ainult kitsasteks menetluslikeks ülesanneteks) ei rakendu EL andmekogus registreerimise kohustus; 6  muudetakse vastavushindamise asutuste AI määruses toodud sätteid;  reguleeritakse võimalust eriliigilisi isikuandmeid töödelda tehisintellektisüsteemi kallutatuse avastamiseks ja parandamiseks, tingimusel et rakendatakse sobivaid kaitsemeetmeid;  kaotatakse nõue ühtlustatud järelturu jälgimisplaani kasutamiseks;  koondatakse Euroopa AI Ameti kätte üldotstarbelistel tehisintellekti mudelitel põhinevate süsteemide või väga suurtes veebiplatvormides ja otsingumootorites olevate tehisintellekti funktsioonide järelevalve;  täiendatakse tehisintellekti regulatiivsete liivakastide (nn testkeskkondade) ja reaalses keskkonnas testimise reeglistikku, ning luuakse õiguslik alus ELi-ülese AI testkeskkonna loomiseks. 3.2. EL digivaldkonna lihtsustamise koondpakettide sisu vastavus kehtivale õigusele a. Koondpakettide vastavus põhiseadusele Üldises digikoondpaketis tehtud andmeõiguse (andmehaldusmääruse, andmemääruse, avaandmete direktiivi ja mitteisikustatud andmete vaba liikumise määruse) muudatuste ning ühe akna lahenduse (SEP) regulatsiooni puhul ei tuvastatud vastuolu Eesti Vabariigi põhiseadusega. Samas võivad edasised võimalikud muudatused, mis kätkevad endas isikuandmete mõiste muutmist, andmesubjekti päringu tegemise õigust üksnes andmekaitselistel eesmärkidel ja isikuandmete töötlemise lubatavus tehisaru rakendamisel, nõrgestada isikuandmete kaitset ja teha inimeste jaoks oma õiguste kasutamise keerulisemaks, mis ei pruugi olla proportsionaalne isikuandmete kaitse eesmärkidega. Teatud juhtudel võib võimalik ebaproportsionaalne riive minna vastuollu ka eraelu puutumatuse põhiõigusega (Eesti Vabariigi Põhiseadus § 26). Seetõttu ettepanekute menetluse käigus tuleb olla tähelepanelik, et eelnõusse selliseid vastuolusid ei jääks, muuhulgas olla tähelepanelik eraelu puutumatuse kaitse (EV Põhiseadus § 26) suhtes. Muudatused toetavad ELPOLi ja VVTP eesmärke vähendada halduskoormust, toetades samas teabe parema leitavuse ja taaskasutatavuse saavutamist. b. Muu riigisisese õiguse muutmise vajadus Üldises digikoondpaketis väljatoodud Euroopa andmeõiguse muudatused on otsekohalduvad, mistõttu enamik neist ei vaja riigisiseselt eraldi kehtestamist. Avaandmete direktiivi muutumisega Euroopa Liidu määruseks, tuleb üle vaadata avaandmetega seotud sätted avaliku teabe seaduses. Tulevase ühtse andmemäärusega dubleerivad sätted tuleb avaliku teabe seaduses kehtetuks tunnistada. Tulevase tehisaru määruse rakendamise seadus peab tehisaru regulatsiooni koondpaketi osa muudatustega arvestama (eelkõige tehisaru liivakastide regulatsiooni muudatustega ning järelevalve muudatustega), kui seda menetlema hakatakse. Üldises digikoondpaketis väljatoodud küberintsidentidest kui ka muudest juhtumitest teavitamise üks aken (SEP)  Üldistatult võetuna on ühtse teavitusakna lahenduse (ingl k single entry point, SEP) loomine vastavuses VVTPs oleva eesmärgiga vähendada ettevõtjate halduskoormust. 7  Digikoondpaketi ettepanekus on märgitud, et SEPiga seonduvalt muudetakse ainult IKÜMi, e-privaatsuse direktiivi, NIS2 direktiivi ja CER direktiivi. Ülejäänud EL õigusaktide puhul on ette nähtud, et EL õiguse alusel kehtestatavates rakendusmäärustes või delegeeritud määrustes tagatakse ühtse teavitusakna kasutusele võtmine. Samas ei ole ettepanekus märgitud, kas ning mil määral oleks vaja muuta ka direktiivi (EL) 2016/680 (reguleerib isikuandmete töötlust süüteomenetluses ja kriminaalkaristuste täideviimisel) või ka mõnda muud õigusakti, millel on sarnasusi siinse teemaga (nt kasvõi AI määrust).  SEPi loomiseks on vaja muuta vähemalt küberturvalisuse seadust (eeldusel, et küberturvalisuse seaduse § 8 olemus ja sisu muutuks SEPiga seotud EL õiguslike muudatustega sellisel määral, et seaduse § 8 lõige 81 ei ole piisav õigusselguse tagamiseks 4 ), investeerimisfondide seaduse § 3451, kindlustustegevuse seaduse § 1051, krediidiasutuste seaduse § 924, makseasutuste ja e-raha asutuste seaduse § 636, väärtpaberite registri pidamise seaduse § 302, väärtpaberituru seaduse § 8218 ja 1253 ning ilmselt teataval määral ka hädaolukorra seadust kui ka seda asendavat tsiviilkriisi ja riigikaitseseadust. Kui muudetakse ka õiguskaitseasutustega seotud andmekaitse direktiivi, siis tuleb muuta ka isikuandmete kaitse seaduse § 44 (õiguskaitseasutuste kohustus teavitada isikuandmetega seotud rikkumisest Andmekaitse Inspektsiooni). Lisaks eeltoodud seadustele tuleb muuta ka samade õigusaktidega seotud või nende alusel kehtestatud asjakohaseid määrusi. 4. EL asja vastavus pädevuse andmise, subsidiaarsuse ja proportsionaalsuse põhimõtetele 4.1. Õiguslik alus Õiguslikuks aluseks on valitud ELi toimimise lepingu (edaspidi ka ELTL) artiklitel 114 ja 16, mis kajastavad muudetavate aktide õiguslikku alust. Asjakohane õiguslik alus määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM) ja määruse (EL) 2018/1725 muutmise sätete jaoks on lepingu artikkel 16. Kuna kõik teised muudetavad aktid põhinevad lepingu artiklil 114, on sama õiguslik alus sobiv ka Euroopa digivaldkonna lihtsustamise koondpakettide vastavate muutmissätete jaoks. 4.2. Subsidiaarsus EL lepingu artikli 5 lõikes 3 sätestatud subsidiaarsuse põhimõtte kohaselt tuleks ELi tasandil meetmeid võtta üksnes juhul, kui liikmesriigid üksi ei suuda kavandatud eesmärke piisaval määral saavutada ning seetõttu on neid kavandatava meetme ulatuse või toime tõttu parem saavutada ELi tasandil. Arvestades, et ettepanekutega muudetakse Euroopa Liidu õigusakte, saab neid muudatusi teha üksnes liidu tasandil. Esitatud ettepanekud säilitavad subsidiaarsuse loogika, millele muudetavad õigusaktid tuginevad. Üldises digikoondpaketis välja toodud andmemääruse (EL) 2023/2854 muudatused tugevdavad määruse eesmärki kõrvaldada takistused ühtsel turul andmepõhise majanduse jaoks. Sihipäraste 4 Tolle lõike sõnastus: Kui Euroopa Komisjon võtab vastu Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõikes 11 nimetatud rakendusakti, milles täpsustatakse küberintsidendi, sealhulgas olulise mõjuga küberintsidendi kohta esitatava teate või raporti vorm ja selle esitamise kord, lähtutakse nimetatud rakendusaktis sätestatud nõuetest. 8 muudatuste eesmärk on lihtsustamine, selguse pakkumine ja halduskoormuse vähendamine nii erasektori kui ka riiklike asutuste jaoks. Esialgsel hinnangul muudatused ei sekku liikmesriikide ega ELi institutsioonide pädevusse. Läbirääkimistel tuleb olla tähelepanelik, et see nii ka jääks. Eelkõige võib see oht tekkida tehisintellekti ameti järelevalvesätete osas. Sama kehtib ka üldises digikoondpaketis välja toodud avaandmete direktiivi (EL) 2019/1024 kehtetuks tunnistamise kohta, selle sisulised sätted viiakse üle andmemäärusesse ilma liikmesriikide ja ELi pädevuste vahekorda muutmata. Märkimisväärne osa avaliku sektori andmetest kuulub juba praegu vahetult kohaldatava rakendusmääruse (EL) 2023/138 (väärtuslike andmestike kohta) alla. Ühtsele andmemäärusele üleminek hõlbustab kavandatud muudatuste ühtset kohaldamist kõigis liikmesriikides. See toetab eelkõige avaliku sektori asutusi, kelle valduses on avaliku sektori andmed, aga ka nende andmete taaskasutajaid, ühtlustades menetlusi ning vähendades töökoormust. Vahetult kohaldatavate sätete jõustamine muutub tõenäoliselt liikmesriikide vahel ühtlasemaks. Digivaldkonna lihtsustamise koondpaketid jätavad liikmesriikidele piisavalt paindlikku võimaluse oma riiklike lahenduste loomiseks. Üldises digikoondpaketis välja toodud isikuandmete kaitse üldmääruse (EL) 2016/679 ja määruse (EL) 2018/1725, samuti tehisaru regulatsiooni koondpaketis välja toodud tehisintellekti määruse (EL) 2024/1689 kavandatud muudatuste eesmärk on suurendada olemasolevate õigusnormide kohaldamise selgust ja etteaimatavust ning vähendada halduskoormust. Üldises digikoondpaketis välja toodud ühtse teavitusakna kasutuselevõtuga (SEP) pakutakse välja üleeuroopaline lahendus, mille eesmärk on luua üks kanal mitme õigusliku kohustuse täitmiseks, mis on ettevõtjatele kehtestatud sisuliselt samast juhtumist raporteerimiseks. See lahendus ei muuda riiklike asutuste õigusi ega pädevust selliseid teateid vastu võtta. Vastupidi, ettepanek soodustab teavitamist, pakkudes lihtsasti kasutatava liidese kaudu ühtset teavitusakent, mis võimaldab esitada ühe teate, täites samal ajal mitu õiguslikku kohustust. Arvestades, et paljusid asjaomaseid teenuseid osutatakse piiriüleselt ja teenusepakkujad tegutsevad mitmes liikmesriigis, on Euroopa-ülene lahendus vajalik. 4.3. Proportsionaalsus EL lepingu artikli 5 lõikes 4 sätestatud proportsionaalsuse põhimõtte kohaselt peavad konkreetse meetme laad ja tugevus olema vastavuses tuvastatud probleemiga. Euroopa digivaldkonna lihtsustamise koondpaketid sisaldavad muudatusi, mille eesmärk on vähendada ettevõtjate halduskoormust ja suurendada regulatiivset selgust, säilitades samal ajal muudetavate õigusaktide põhieesmärgid. Esialgse hinnangu kohaselt on tehtavad muudatused proportsionaalsed, kuna need toovad ettevõtjatele ja asutustele kaasa üksnes vähese kohanemiskulu ning võimaldavad samas märkimisväärset kulusäästu. Muudatustega vähendatakse ka ettevõtjate ja asutuste otseseid kulusid, lähtudes põhimõttest, et regulatiivseid eesmärke on võimalik saavutada väiksema koormusega. Lihtsustamise eesmärki saavutatakse eelkõige õigusselguse suurendamise kaudu, täpsustades isikuandmete kaitse üldmääruse sätete kohaldamist ja kodifitseerides kehtivat tõlgenduspraktikat. See hõlmab muu hulgas selgitusi isikuandmeid sisaldavate tehisaru mudelite treenimise kohta, isikuandmete mõiste täpsustamist ning Euroopa Liidu Kohtu praktika, sealhulgas isikuandmete pseudonüümimisega seotud tõlgenduste, kodifitseerimist. Samas võivad muudatused, mis kätkevad endas isikuandmete mõiste muutmist, andmesubjekti päringu 9 tegemise õigust üksnes andmekaitselistel eesmärkidel ja isikuandmete töötlemise lubatavus tehisaru rakendamisel, nõrgestada isikuandmete kaitset ja teha inimeste jaoks oma õiguste kasutamise keerulisemaks, mis ei pruugi olla proportsionaalne isikuandmete kaitse eesmärkidega. Teatud juhtudel võib ebaproportsionaalne riive, minna vastuollu ka eraelu puutumatuse põhiõigusega (Eesti Vabariigi Põhiseadus § 26). Lihtsustamise koondpaketis teatavate VKEdele kohaldatavate sätete laiendamine väikestele keskmise turukapitalisatsiooniga ettevõtjatele on sihipärane ning piirdub minimaalsete muudatustega. Küberintsidentidest, isikuandmete rikkumistest ja muudest samalaadsetest juhtumitest teatamise ühtne teavitusaken vähendab kulusid, aitab lahendada alaraporteerimist ning suurendab teatamiskohustuste tõhusust. Veebipõhiste vahendusteenuste määruse (EL) 2019/1150 kehtetuks tunnistamine lõpetab ELi eeskirjade dubleerimise ja veebiplatvormidele kehtivad topeltkohustused. Need muudatused suurendavad õigusselgust ettevõtjate ja kodanike jaoks. 5. Esialgse mõjude analüüsi kokkuvõte Esialgse hinnangu kohaselt toovad Euroopa digivaldkonna lihtsustamise koondpaketid kaasa mõju majandusele, infotehnoloogiale ja infoühiskonnale, inimeste õigustele ning riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele, kuludele ja tuludele. Komisjon ei koostanud nimetatud koondpakettidele mõjuhinnangut, kuigi ettepanekuga tehtavad muudatused on olulised ja sisulised. Euroopa digivaldkonna lihtsustamise koondpakettidega tuli välja Komisjoni talituste töödokument (ing k staff working document).5 5.1. Mõju majandusele Üldises digikoondpaketis väljatoodud andmeõiguse muudatused: Mitme erineva andmevaldkonda reguleeriva õigusakti integreerimine ühte õigusakti võib parandada õigusselgust ja lihtsustada piiriülest tegutsemist andmete valdkonnas. Lisaks korrastab see andmeõigust - ettevõtjatel ja inimestel on tulevikus lihtsam leida erinevaid andmeõigusega seotud nõudeid, kohustusi, õigusi ja võimalusi. See võimaldab ühtlustada ka andmevaldkonna termineid, mis muudab ühtlustatud reeglid lihtsamini arusaadavaks ning toob erinevate andmeõiguse aktide seosed selgemalt välja. Samuti võimaldab seniste erinevate aktide integreerimine kaotada ebavajalikud ja liigsed nõuded. Avaandmete direktiivi liitmine andmemäärusega muudab avaandmete direktiivi määruseks, mis toob kaasa olukorra, kus avaandmetega seonduv reeglistik muutub üle-euroopaliselt ühtsemaks. See võib soodustada ELi ülest avaliku teabe kättesaadavuse paranemist, mis muuhulgas annab ettevõtetele võimaluse luua avaliku teabe alusel uusi ja innovatiivseid piiriüleseid teenuseid. 5 Commission staff working document accompanying the documents: Proposal for a regulation of the European Parliament and of the Council amending Regulations (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 and Directives 2002/58/EC, (EU) 2022/2555 and (EU) 2022/2557 as regards the simplification of the digital legislative framework, and repealing Regulations (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868, and Directive (EU) 2019/1024 (Digital Omnibus) and amending Regulations (EU) 2024/1689 and (EU) 2018/1139 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). Kättesaadav: https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal. 10 Mitmeid nõudeid leevendatakse ettevõtjate vaatest, mistõttu võib algatus vähendada ettevõtjate halduskoormust. See omakorda soodustab innovatsiooni ja konkurentsivõimet, kuna potentsiaalselt jääb rohkem ressursse tootearenduseks ja ettevõtluse võimalikuks kasvuks. Samuti laiendatakse VKEde soodustingimusi VKEdelt väikestele keskmise turukapitalisatsiooniga ettevõtetele (VKTKEdele). See toob kaasa, et enamus (kui mitte kõik) Eesti ettevõtjad saavad tehtavatest leevendustest kasu ja sellega nende halduskoormus väheneb. See tähendab potentsiaalselt ka seda, et suurematele ettevõtetele kui VKEd ja VKTKEd võivad jääda kehtima rangemad reeglid. Kuna selliste suuremate ettevõtete arv on Eestis väike (või isegi olematu), siis selline mõju ei ole Eestis suur. Üldises digikoondpaketis väljatoodud IKÜM muudatused: Tehtavad ettepanekud vähendavad ettevõtjate halduskoormust, kuid toovad samal ajal kaasa uut ebakindlust. Ettevõtjate jaoks lihtsustuvad dokumenteerimis- ja teavituskohustused ning andmekaitsealaste mõjuhinnangute koostamine, mis teeb reeglite järgimise eriti VKEdele kergemaks. Ka andmerikkumistest teavitamise piiramine vaid suure riskiga juhtumitele ja pikem teavitamise tähtaeg vähendab ettevõtjate halduskoormust ning lubab keskenduda tõsistele ohtudele. Samas tekitab kavandatav, kontekstipõhine isikuandmete määratlus õiguskindlusetust, sest ettevõtjad peaksid iga andmeedastuse puhul eraldi hindama, kas andmete saaja suudab isikut tuvastada. Positiivne mõju on nn küpsisenõuete lihtsustamisel, mis aitab vähendada nn nõusoleku-väsimust. Üldises digikoondpaketis väljatoodud ühtse teavitusakna ettepanek: Ettepaneku selgituse kohaselt on hetkeseisuga teavitavate üksuste (muuhulgas ettevõtjate) ligikaudne kulu ELi üleselt €83,1 miljonit aastas. See kulu hõlmab nii teavitaja organisatsiooni personali tööaega, selle personali kaasamisega seotud kulusid kui ka muid asjakohaseid kaasnevaid kulusid. Ühtse teavitusakna loomine vähendaks neid kulusid ca 50% ulatuses ehk eeldatavalt hoitaks ELis kokku aastas € 41,5 miljonit. Tegemist on arvutusega, mis on seotud küberintsidentidest teavitamisega ning see ei võta arvesse võimalikku täiendavat säästu, mis on seotud isikuandmetega seotud rikkumistest teavitamisega ehk kui ka need teavitused tulevad ühtsesse teavitusaknasse. Seega võimaldab ühtne teavitusaken paremini planeerida ressursse, et küberintsidenti või muud juhtumit lahendada – selle asemel, et tegeleda ühest juhtumist teavitamisega mitmele pädevale asutusele, kasutades erinevaid teavituskanaleid. Tehisaru regulatsiooni koondpakett: Kavandatud AI määruse lihtsustamismeetmed peaksid vähendama AI määrusest tulenevate nõuete täitmise kulusid ja lihtsustama rakendamist ettevõtetele (eriti VKEdele ja väikeste keskmise turukapitalisatsiooniga ettevõtetele ehk VKTKEdele). AI määrusest tuleneva suure riskiga süsteemide nõuete tähtaja ja komisjoni esitatavate juhiste, standardite jms ajakavade ühtlustamine ja üleminekuperioodi kehtestamine võimaldab ettevõtjatel tõhusamalt AI määruse nõudeid täita, vältides ka vajadust kulukate tagasiulatuvate kohanduste järele, kui ettevõtete tehtavad arendused ei peaks osutuma komisjoni loodavatele suunistele vastavaks. See potentsiaalselt vähendab ettevõtjate halduskoormust. Samuti on sarnane mõju AI määrusest tulenevate VKEde leevenduste laiendamisel VKTKEdele, dokumentatsiooni lihtsustamisel ja ametiasutuste juhiste andmisel. AI määruse ja teiste ELi õigusaktide koostoime parandamine vähendab dubleerimist ja muudab ettevõtjatele kehtivad nõuded selgemaks. 11 Innovatsiooni toetamine tehisintellekti regulatiivsete testkeskkondade ja reaalse testimise kaudu aitab ettevõtetel tehisintellekti ohutult arendada ja testida ning hõlbustab nende nõuete täitmise jõupingutusi. Sellel on potentsiaali muuta Euroopa, sh Eesti, atraktiivsemaks AI- arenduskeskkonnaks ning kiirendada AI kasutuselevõttu majanduses. Komisjoni hinnangul võib digikoondpakett tuua üle-euroopaliselt ettevõtetele kaasa kuni 1 335 634 500 euro suuruse halduskulude kokkuhoiu aastas ja lisaks 1 043 943 500 euro suuruse hinnangulise ühekordse kokkuhoiu. Eeldusel, et ettepanek jõustub 2027. aasta alguseks, ulatuks see komisjoni ametiaja lõpuks 2029. aastal vähemalt 5 miljardi euroni. Lisaks säästetakse komisjoni hinnangul avaliku sektori asutustele 2029. aastaks veel 1 miljard eurot.6 5.2. Mõju infotehnoloogiale ja infoühiskonnale. Üldises digikoondpaketis väljatoodud andmeõiguse muudatused: Andmeõiguse aktide koondamine ühtsesse EL määrusesse võib parandada õigusselgust ja lihtsustada ettevõtjate piiriülest tegutsemist. Ettepanekud on suunatud ühtsema digitaalse turu arengu ja innovatsiooni soodustamisele. Ühtsemad ja konsolideeritud andmeõiguse reeglid tagavad selgema arusaama nõuetest, kohustustest ja võimalustest. Samuti tagavad need selgema ja ühtsema andmekorralduse täna mitmes erinevas õigusaktis olevate nõuete vaatest. See omakorda vähendab killustatust andmete valdkonnas, mis võimaldab inimesel ja ettevõtjal paremini mõista reegleid, suurendades läbipaistvust ja usaldust e-riigi vastu. Lisaks võimaldavad selgemad ja lihtsamad reeglid ettevõtjatel potentsiaalselt tuua turule kasutajasõbralikumaid e- teenuseid ning tooted. Praeguse parima teadmise pinnalt ei vaja andmeõiguse nõuete ühtlustamine ja ühendamine ühe määruse alla infosüsteemide arendusi. Üldises digikoondpaketis väljatoodud IKÜM muudatused: Ettepanekud on suunatud digitaalse ühtse turu arengu ja innovatsiooni toetamisele, eriti tehisaru ja andmete vaba liikumise vallas. Õigustatud huvi selgem tunnustamine tehisaru arendamisel ning laiendatud teadusuuringu mõiste peaksid soodustama innovatsiooni ja andmete kasutamist. Samas kaotab tehisaruspetsiifiliste sätete lisamine IKÜM-i tehnoloogianeutraalsuse. Üldises digikoondpaketis väljatoodud ühtse teavitusakna ettepanek: Ettepanek võib tekitada vajaduse teha arendusi ühtse teavitusaknaga seotud pädevate asutuste (ennekõike Riigi Infosüsteemi Amet, kuid sisuliselt ka Andmekaitse Inspektsioon, Finantsinspektsioon, Politsei- ja Piirivalveamet, Tarbijakaitse ja Tehnilise Järelevalve Amet ning Transpordiamet) infosüsteemides, võimaldamaks teavitusakna vahendusel asjakohaseid teateid kätte saada ja vahetada. Siinsete seisukohtade koostamise hetke seisuga ei ole võimalik anda hinnangut, milliseid IT-arendusi ning millises rahalises ulatuses oleks vaja teha Eesti riiklikes infosüsteemides. Seda ka põhjusel, et ENISA on alles koostamas asjakohaseid meetmeid ja 6 Commission staff working document accompanying the documents: Proposal for a regulation of the European Parliament and of the Council amending Regulations (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 and Directives 2002/58/EC, (EU) 2022/2555 and (EU) 2022/2557 as regards the simplification of the digital legislative framework, and repealing Regulations (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868, and Directive (EU) 2019/1024 (Digital Omnibus) and amending Regulations (EU) 2024/1689 and (EU) 2018/1139 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). Kättesaadav: https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal. Vt eelkõige lk 88. Kõigi hinnanguliste kokkuhoidude ülevaade on esitatud II lisas. 12 nõudeid, mis on seotud ühtse teavitusaknaga. Ettepanekus on hinnatud, et liikmesriik vajaks 2-4 täiskohaga töötajat, et hallata liikmesriigis asuva ühtse teavitusakna osa. Eelarvelisi kulusid menetletakse edaspidi riigieelarve strateegia ja riigieelarve koostamise käigus vastavalt riigi eelarvelistele võimalustele. Eesti eesmärk on saavutada eelnõu läbirääkimistel proportsionaalne lahendus, mis jätaks liikmesriikide ühekordsed ja püsikulud võimalikult madalaks. Tehisaru regulatsiooni koondpakett: Ettepanek soodustab digitaalse ühtse turu arengut ja innovatsiooni nagu ka andmeõiguse ning andmekaitseõiguse muudatused. Ühtsemad ja lihtsustatud AI nõuded tagavad selgema arusaama nõuetest, kohustustest ja võimalustest ning nende kohaldumisest. Rakendusaja edasilükkamine võimaldab ettevõtjatel tehniliselt paremini ette valmistuda AI nõuete täitmiseks. See võimaldab potentsiaalselt tuua turule kasutajasõbralikumaid e-teenuseid ning tooted, millel on AI komponent. Samas AI treenimiseks õiguslike aluste kitsendamine (õigustatud huvi, andmesubjekti nõusolek) pärsib avalikul sektoril AI-d treenida, sest nimetatud alused ei saa olla avalikus sektoris andmetöötluse aluseks AI treenimisel, kuna õigustatud huvi saab avalik sektori õiguslikul alusena kasutada üksnes oma põhiülesannete väliselt (nt vara kaitseks), nõusoleku alusel andmete töötlemisel peab nõusolek mh vastama tingimusele, et see on antud vabatahtlikult. Arvestades, et vastutav töötleja on avaliku sektori asutus, on asutuse ja andmesubjekti jõuvahekord ebavõrdne ning ei vasta vabatahtlikkuse tingimusele. Praeguse parima teadmise pinnalt ei vaja AI määruse muudatused kohustuslikke Eesti poolseid infotehnoloogilisi arendusi. 5.3. Mõju inimeste õigustele Üldises digikoondpaketis väljatoodud andmeõiguse muudatused: Olulisi ja otseseid mõjusid andmesubjektidele esialgses Komisjoni ettepanekus ei täheldatud. Praegune üldise digikoondpaketi ettepanek tõstab kokku erinevate andmeõiguse aktide norme ning lihtsustab ettevõtjate regulatsiooni. Üldises digikoondpaketis väljatoodud IKÜMi muudatused: Muudatused võivad nõrgestada isikuandmete kaitset ja teha inimeste jaoks oma õiguste kasutamise keerulisemaks. Kui isikuandmete mõiste muutub ebaselgemaks, võib sama info olla mõne töötleja jaoks „mitte-isikuandmed“, kuigi teised suudavad inimese tuvastada, mis vähendab kaitset ja tekitab õiguslikku segadust. Teadusuuringute erandid võivad lubada andmete töötlemist inimese teadmata, mis vähendab läbipaistvust. Automatiseeritud otsuste kergem lubamine võimaldab andmesubjektil otsustusprotsessi hiljem sekkuda, võimaldades tal alles tehtud otsust vaidlustada. Kui andmekaitsealastest rikkumistest tuleb teavitada vaid suure ohu korral, ei pruugi inimesed paljudest andmeleketest teada saada ega saa ise samme astuda kahju vähendamiseks. Eesti kavatseb ka edaspidi nõuda andmekaitsealastest rikkumistest teavitamist ka väiksemate rikkumiste korral. Niinimetatud küpsistega seotud ettepanekud vähendavad andmesubjektile tema isikuandmete töötlemise läbipaistvust, kuid aitavad leevendada nõusoleku väsimust. Üldises digikoondpaketis ühtse teavitusakna ettepanek: Ettepanekus toodud lahendus hõlbustab küberintsidentidest, isikuandmetega seotud rikkumistest kui ka muudest samalaadsetest juhtumitest teavituse esitamist pädevatele asutustele. See omakorda võimaldab pädeval asutusel talle kohalduva õigusakti alusel hinnata, kas ja millisel määral on vaja teavitusele reageerida. Reageerimise viis võib olla näiteks kas teavitaja või 13 avalikkuse suunas – viimase puhul näiteks avalikkuse, sh inimeste teavitamise kaudu. See omakorda suurendab teadlikkust ja selgust, miks midagi juhtus ning mil määral inimene saab enda kaitseks mingi abimeetme kasutusele võtta. Tehisaru regulatsiooni koondpakett: AI kirjaoskuse edendamise säte on leebemaks kirjutatud ning pole enam otseselt ettevõtja kohustus, vaid liikmesriigid peavad ergutama ettevõtjad vastavat oskust jagama. See võib mõjutada inimeste teadlikkust AI kasutamisvõimalustest. Koondpaketiga lisatakse AI määrusesse uus artikkel 4a, mis puudutab eriliigiliste isikuandmete töötlemist eelarvamuste tuvastamiseks ja leevendamiseks ning näeb ette selliseks töötluseks erikaitsemeetmeid isikuandmete kaitseks. Sellised kaitsemeetmed lisanduvad andmekaitseõiguse reeglitele, mistõttu tagatakse nendega isikute põhiõiguste tõhusam kaitse. 5.5 Mõju riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele, kuludele ja tuludele Üldises digikoondpaketis väljatoodud andmeõiguse muudatused: Kui andmevahendusteenusel kaotatakse nõue teavitamiseks, siis teatud määral pädeva asutuse ülesanded muutuvad ja see peaks kaasa tooma nende töökoormuse vähenemist. Hädaolukordades andmete kättesaadavuse regulatsiooni muutmine toob kaasa muutuse riigiasutuste õiguses erasektorilt andmeid saada. Võimalused on koondpaketi alusel konkreetsemad ja kitsamad. Digikoondpakett puudutab küll otseselt avaliku sektori andmete kättesaadavaks tegemise kohustust (senised avaandmete direktiiv ja andmehalduse määruse II peatükk), kuid kuivõrd digikoondpaketiga ei seata uusi ega leevendata kehtivaid nõudeid, siis puudub ka mõju teabevaldajate korraldusele, kuludele ja tuludele. Üldises digikoondpaketis väljatoodud IKÜMi muudatused: Ettepanekud toovad riigiasutustele ja järelevalvele kaasa suurema töökoormuse ning uusi õiguslikke ja praktilisi raskusi. Kuna paljud uued reeglid põhinevad ebamäärastel mõistetel ja tehniliselt keerukatel hinnangutel, muutub ühtne ja järjepidev järelevalve keerulisemaks ning võib kasvada vaidluste ja selgitustaotluste hulk. Ühtse teavitusakna loomine rikkumiste jaoks võiks vähendada dubleerimist ja lihtsustada piiriüleste juhtumite käsitlemist, kuid samas ei pruugi oluline info õigete asutusteni piisavalt kiiresti jõuda ning tsentraliseeritud andmebaas võib kujuneda turvariskiks. Kui rikkumistest tuleb teatada vaid suure ohu korral, kaotavad järelevalveasutused ülevaate keskmise ohuga juhtumitest, mis on oluline turvasuundumuste jälgimiseks ja varajaseks sekkumiseks. Kui IKÜMiga muudetakse isikuandmete mõistet, aga samasugust muudatust ei tehta nn õiguskaitseasutuste andmekaitsedirektiivis, peavad viimased hakkama eri menetlustes käsitlema isikuandmeid erinevatest mõistetest lähtuvalt. Muuhulgas võib isikuandmete mõiste kontekstipõhiseks muutmise tõttu suureneda Andmekaitse Inspektsiooni töökoormus. Üldises digikoondpaketis ühtse teavitusakna ettepanek: Ettepanek võib tekitada vajaduse teha arendusi ühtse teavitusaknaga seotud pädevate asutuste infosüsteemides, võimaldamaks teavitusakna vahendusel asjakohaseid teateid kätte saada ja vahetada. Siinsete seisukohtade koostamise hetke seisuga ei ole võimalik anda hinnangut, milliseid IT-arendusi ning millises rahalises ulatuses oleks vaja teha Eesti riiklikes infosüsteemides. Ettepanekus on hinnatud, et liikmesriik vajaks 2-4 täistööajaga töötajat, et hallata liikmesriigis asuvat ühtse teavitusakna osa. Nende töötajatega seotud töökulude suurused 14 selguvad siis, kui on selgus, milliseid ülesandeid need töötajad peavad täitma (nt IT-tehnilise rolli täitmine või teenuse omaniku rolli täitmine) - see selgub siis, kui komisjon on andnud parema ülevaate, milline ühtse teavitusakna kui ELi ülene terviksüsteem välja näeb. Eelarvelisi kulusid menetletakse edaspidi riigieelarve strateegia ja riigieelarve koostamise käigus vastavalt riigi eelarvelistele võimalustele. Eesti eesmärk on saavutada eelnõu läbirääkimistel proportsionaalne lahendus, mis jätaks liikmesriikide ühekordsed ja püsikulud võimalikult madalaks. Tehisaru regulatsiooni koondpakett: AI kirjaoskuse edendamise kohustus pannakse uue muudatusega liikmesriikidele, mis tõstab avaliku sektori töökoormust ja toob kaasa kulusid meetmete pakkumisel, millega seda kirjaoskust ettevõtete töötajatel edendada. Varasemalt oli see ettevõtja kohustus. Selles osas ettevõtja halduskoormus väheneb avaliku sektori töökoormuse kasvu tõttu. Samuti soovib Euroopa Komisjon hakata teostama suurte platvormide ja üldotstarbeliste tehisintellekti mudelite üle järelevalvet, selle võrra on riigiasutustel väiksem järelevalvekoormus. Ettepanekus tugevdatakse tehisintellektiameti pädevust üldotstarbelisel tehisintellektimudelil põhinevate tehisintellektisüsteemide järelevalves ja jõustamises, kui mudelit ja süsteemi pakub sama pakkuja. Samal ajal selgitatakse kõnealuses sättes, et see järelevalve ei hõlma tehisintellektisüsteeme, mis on seotud AI määruse I lisaga hõlmatud toodetega. Väga suurtesse digiplatvormidesse või väga suurtesse internetipõhistesse otsingumootoritesse integreeritud tehisintellektisüsteemide nõuetele vastavuse järelevalve ja jõustamine peaks kuuluma tehisintellektiameti pädevusse. Kuna sellised suured süsteemid toimivad üldjuhul piiriüleselt, siis AI ameti mõju nende järelevalvele on potentsiaalselt tõhusam kui ühe liikmesriigi piires saab olla. 15 6. Eesti seisukohad Eesti seisukohad on jaotatud erinevatesse alapeatükkidesse järgmiselt:  Euroopa digivaldkonna lihtsustamise koondpakettide üldised põhimõtted ehk seisukohad, mis kohalduvad üldisele digikoondpaketile (s.o. COM(2025) 837) kui ka tehisaru regulatsiooni koondpaketile (s.o. COM(2025) 836); järgnevad alapeatükid on konkreetsete temaatikatega seotud seisukohad;  Üldises digikoondpaketis väljatoodud andmeõiguse muudatused – seisukohad, mis on seotud andmeõiguse erinevate aktide (mitteisikustatud andmete vaba liikumise määrus, andmehaldusmäärus, avaandmete direktiiv) lihtsustamise ning liitmisega andmemäärusega;  Üldises digikoondpaketis väljatoodud ühtse teavitusakna ettepaneku ja muude kübervaldkonnaga seotud seisukohad – seisukohad, mis on seotud küberintsidentide, isikuandmetega seotud rikkumiste kui ka muude samalaadsete juhtumite raporteerimiseks ühtse teavitusaknaga; siinses osas on seisukohad küberintsidentide taksonoomia kui ka Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 lihtsustamise kohta seoses Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2022/2555;  Üldises digikoondpaketis väljatoodud isikuandmete kaitse seisukohad – seisukohad, mis on seotud isikuandmete kaitse üldmääruse muudatustega;  Tehisaru regulatsiooni koondpaketi seisukohad – seisukohad, mis on seotud EL tehisintellekti määruse muutmisega. 6.1. Euroopa digivaldkonna lihtsustamise koondpakettide üldised põhimõtted 6.1.1. Eesti toetab Euroopa digivaldkonna lihtsustamise koondpakettide raames ELi andmeõiguse reeglistiku lihtsustamist, et vähendada ettevõtjate ebavajalikku halduskoormust ja avaliku sektori töökoormust ning võimaldada andmeid turvaliselt jagada. Selgitus: EL õigusaktidest tuleneva koormuse vähendamine on olnud Eesti kauaaegne prioriteet. Sellest johtuvalt toetame eesmärki ühtlustada ja lihtsustada kehtivaid andmereegleid, et luua selge ja tõhus õigusraamistik, mis võimaldab ettevõtetel ja avaliku sektori asutustel andmeid turvaliselt ning ulatuslikult jagada. ELi andmetöötlust reguleeriv õigusraamistik tuleb muuta selgemaks ja rakendamist tõhusamaks, vältides liigset regulatiivset koormust ja keerukust. Andmealaste õigusaktide ülevaatamisel on oluline päriselt keskenduda jõustamisele ning ennetada täiendava regulatsiooni tekkimist. Ebavajaliku halduskoormuse muutmisel tuleb arvestada nii ettevõtja vastavuskulusid kui aruandluskohustusi. Kaotada või vähendada tuleb ebavajalikku koormust, millel ei ole lisandväärtust. 6.1.2. Eesti peab oluliseks, et isikuandmete kaitse regulatsiooni muudatused ei too kaasa tehisaru kasutusele võtmise ja treenimise senisest keerukamaks muutmist (näiteks peab ka avalik sektor saama vajadusel tehisaru lahendusi treenida) ega muuda EL põhiõiguste hartas sätestatud põhiõiguste olemust. Õigusaktide muudatustega peavad komisjonilt kaasnema põhjalikud mõjuanalüüsid. Selgitus: Eesti õigusriigina seisab selle eest, et õiguse muudatused ei ohustaks isikute põhiõigusi. Samas ei tohiks muudatused kaasa tuua innovatsiooni takistamist või selle elluviimise raskendamist. AI tehnoloogiana on samasugune nagu teised tehnoloogiad, mistõttu IKÜM andmetöötluse osas peaks rakenduma kehtivatel IKÜMi nõuetel. IKÜMi nõuete kitsendamine 16 või piiramine tehisaru kasutuselevõtu ning treenimise õigusliku aluse puhul ei ole põhjendatud. Näiteks ei ole põhjendatud tehisaru treenimist lubada vaid õigustatud huvi või nõusoleku alusel, mis saavad olla erasektoril õiguslikuks aluseks. Tuleb arvestada ka võimalusega, et avalik sektor soovib tehisaru treenida, kuid avalikul sektoril on sisuliselt võimatu või keelatud kasutada õigusliku alusena nõusolekut ja õigustatud huvi. Õiguslik alus andmete töötlemiseks tuleb valida igal AI tehnoloogiat kasutava toote ja teenuse puhul vastavalt sellest konkreetsest andmetöötlusest, mida tehakse. Euroopa digivaldkonna lihtsustamise koondpakettides käsitletavate õigusaktide muutmisel tuleb leida kohane tasakaal erinevate põhiõiguste vahel. Eesti Euroopa Liidu poliitika aluspõhimõtete kohaselt peavad õigusaktide muudatustele eelnema põhjalikud mõjuanalüüsid. Antud juhul neid teostatud ei ole ja see raskendab ka muudatustega kaasnevate mõjude hindamist liikmesriigi tasandil. Muudatustega kaasnevate mõjude hinnang Euroopa Komisjoni poolt ei tohi käsitleda põhiõigusi valikuliselt, jättes mõju mõnele põhiõigusele (õigus isikuandmete kaitsele) sisuliselt hindamata. Mõjuhinnangu puudumise probleemi toome eelnõu läbirääkimisel riskikohana välja, ning soovime tulevikus näha põhjalikke mõjuanalüüse. 6.1.3. Eesti leiab, et Euroopa digivaldkonna lihtsustamise koondpakettide menetlemisel tuleb arvestada, et käsitletavad teemad on sisulised, erineva ajakriitilisuse ja mõjuga ning omavahel seotud. Seetõttu tuleb esmajärjekorras lahendada kõige ajakriitilisemad küsimused, millel on vahetu mõju õiguskindlusele ja regulatsiooni õigeaegsele rakendamisele, eelkõige suure riskiga tehisintellekti määruse rakendumistähtaja sätete kehtima hakkamise edasi lükkamine. Selgitus: Ajakriitilisusel põhinev prioriseerimine aitab vältida rakendusprobleeme, vähendada regulatiivset killustumist ning tagada, et digiregulatsiooni muudatused on nii õigeaegsed kui ka sisuliselt kvaliteetsed. Selline lähenemine on vajalik õiguskindluse ja regulatsiooni rakendatavuse tagamiseks. Euroopa digivaldkonna lihtsustamise koondpaketid koondavad mitmeid omavahel seotud teemasid, mis on erineva küpsusastme ja mõjuga. Nende üheaegne käsitlemine ilma ajakriitilisust arvestamata suurendab riski, et kõiki mõjusid ei hinnata piisavalt, eriti arvestades, et algatusega ei kaasnenud Komisjoni poolset mõjuhinnangut. See võib viia olukorrani, kus kiireloomulised küsimused lahendatakse liiga hilja või kiirustades, arvestamata kõiki vajalikke asjaolusid. Ebaselgus ajaliselt kriitilistes küsimustes, nagu rakendamistähtajad, tekitab ebakindlust nii ettevõtjatele kui ka järelevalveasutustele. See raskendab investeeringute ja vastavusmeetmete planeerimist ning võib kaasa tuua ebaühtlase kohaldamise liikmesriikides, kahjustades ühtse turu toimimist ja regulatsiooni usaldusväärsust. Näiteks on kehtiva AI määruse järgi suure riskiga tehisintellekti süsteemide kohaldamistähtaeg 2. august 2026, kuid on selge, et selleks ajaks ei ole valmis vajalikud juhised ja standardid. Seetõttu ei ole ettevõtjatel võimalik nõudeid täita ning järelevalvel nõuete täitmist kontrollida. Seega tuleks see küsimus lahendada esmajärjekorras. Samas vajavad vähem ajakriitilised, kuid sisuliselt keerukad teemad rohkem aega läbimõeldud aruteluks. Kiirustades tehtud otsused võivad tekitada vastuolusid ja õiguslikke lünki ning 17 suurendada vajadust edasisteks parandusteks. Etapiviisiline käsitlus aitab hoida fookuse esmavajadustel, säilitades samal ajal regulatsiooni kvaliteedi ja süsteemse kooskõla. 6.1.4. Eesti peab oluliseks, et kõigi Euroopa digivaldkonna lihtsustamise koondpakettide raames tehtavate muudatuste puhul läbivalt arvestatakse küberturvalisuse nõuetega ning need muudatused ei vähendaks küberturvalisuse taset. Selgitus: Digivaldkonna lihtsustamise koondpakettide raames tehtavad muudatused lihtsustavad küberturvalisuse valdkonna toimimist (vt seisukoht 6.3.1. jj), kuid nende muudatuste käigus ei tohi tekkida olukord, kus edaspidiselt sobivaid ajakohaseid küberturvalisuse nõudeid ei järgita. Seetõttu on oluline, et koondpakettide raames tehtavad muudatused ei vähendaks küberturvalisuse taset, vaid need muudatused peavad aitama kaasa Euroopa Liidus soovitud ehk ühtlase taseme saavutamisele. 6.2. Üldises digikoondpaketis välja toodud andmeõiguse muudatused 6.2.1. Eesti toetab ühtse ELi andmemääruse loomist, mis koondab süsteemselt ja terminoloogiat ühtlustades avaandmete direktiivi, andmehaldusmääruse ning mitteisikustatud andmete vaba liikumise normid. Selgitus: Andmehaldusmääruse, mitteisikustatud andmete vaba liikumise määruse, andmemääruse ja avaandmete direktiivi ühendamisel Euroopa andmeõiguse tähtsamaks üldnõuete regulatsiooniks luuakse ühtne andmemäärus, mis võimaldab erinevate andmeteemade vahel sünergiate ja seoste leidmist. Eesti peab oluliseks, et sellised seosed luuakse süsteemselt. Ülevaade seostest nii digikoondpaketi siseselt kui ka tehisintellekti määruse, AI rakendamise strateegia ning tulevase AI ja pilvetehnoloogia arendamise õigusaktiga aitab paremini tagada poliitikate omavahelist sidusust ja vältida dubleerimist. Põhjalikud mõjuanalüüsid ja seoste selgitused aitaksid kaasa ka algatuse suuremale läbipaistvusele. Euroopa Komisjoni esitatud üldises digikoondpaketis ei ole andmehaldusmääruse, avaandmete direktiivi ja andmemääruse mõistete ühtlustamist veel piisavas mahus teostatud. Olulisim tuvastatud sõnavara ühtlustamise probleem koondpaketis on seotud dokumendi mõiste muutmisega. Kui kehtivas avaandmete direktiivis hõlmab dokumendi mõiste andmeid mistahes andmekandjal, (NB! Selline mõiste kattub ametlikele dokumentidele juurdepääsu Euroopa Nõukogu konventsioonis sätestatuga), siis üldine digikoondpaketi ettepanek eristab andmeid (digiandmekandjal) ja dokumente (mitte-digiandmekandjal). Samas on selles digikoondpaketis avaliku teabe kirjeldamist ja avalikustamist nõudvates punktides läbivalt jätkatud varasema avaandmete direktiivi ja andmehaldusemääruse sõnastuse “andmed või dokumendid” kasutamist. Seega nõuab andmemäärus uue definitsiooni alusel otseselt ka kõigi paberdokumentide kirjeldamist ja avalikustamist, kas avaandmete või piiratud andmete režiimi alusel (vastavalt senise avaandmete direktiivi või andmehalduse määruse mõistes), mis ei ole mõistlik, vajalik ega mõõdukas. Näiteks ettepaneku artikli 32v lõige 1 näeb ette, et väärtuslikud andmestikud (mis on sama lõike alusel “andmed või dokumendid”) tehakse korduskasutamiseks kättesaadavaks masinloetavas vormingus sobivate API-de kaudu ning asjakohasel juhul ka hulgi allalaaditavana. Mitte- 18 digiandmekandjal oleva dokumendi masinloetavas vormingus API-de kaudu avalikustamine ei ole loomulikult sisuliselt võimalik. Teise näitena on üldisesse digikoondpaketti kopeeritud a) seni avaandmete direktiivis olnud nõue avaliku sektori avaandmete avalikustamiseks riikide teabeväravates (digikoondpaketi artikkel 32s) ja b) andmehalduse määruse nõue avaliku sektori poolt hoitud piiratud teabe kirjeldamiseks ja nende kirjelduste avalikustamiseks riikide teabeväravates (digikoondpaketi artikkel 32aa). Seega on üldise koondpaketi erinevates osades kaks erinevas stiilis artiklit, mis sisuliselt nõuavad avaliku sektori asutustelt enamuse oma andmete kirjeldamist ja nende kirjelduste avalikustamist riiklikus teabeväravas. Mõistlik oleks praeguse asemel esitada ühtne nõue peatükk VIIc üldosas, ehk sektsioon 1 järgmises ulatuses: avalik teave peab olema läbivalt kaardistatud ja kirjeldatud; teabe kirjeldused (ehk metaandmed) ja avaandmed peavad olema avalikustatud riiklikes teabeväravates (arvestades samas võimalike riigikaitseliste jm oluliste piirangutega, sh intellektuaalse omandi valdkonna regulatsioonist tulenevate nõuetega). 6.2.2. Eesti peab vajalikuks Euroopa Liidu tasemel väärtuslike andmestike kategooriate laiendamist, samas leiab Eesti, et avalikustada ei tohi andmestikke, mis seavad ohtu riigi sise- ja välisjulgeoleku. Täiendavate väärtuslike andmestike kategooria kehtestamisel tuleb arvestada mõjuga väiksematele liikmesriikidele. Selgitus: Avaandmete direktiivi liitmisel andmemäärusega muutub see õigusakt määruseks ehk vahetult kohalduvaks ning täisharmoneerivaks. Põhimõtteliselt Eesti toetab sellist õigusaktide liitmist (vt punkti 6.2.1), kuid seejuures peab hindama, milline on väärtuslike andmestike kättesaadavaks tegemisega seotud riskid ning nende mõju. Arvestada tuleb ka sellega, et Euroopa Liidus on erineva võimekusega liikmesriigid, kellel võivad olla erinevad mured. Avaandmete õiguse muutmisel peavad aluseks olema selged ja põhjendatud mõjude analüüsid. Eesti peab oluliseks Euroopa Liidu üleselt uute väärtuslike andmestike kategooriate kehtestamist. Samas uute väärtuslike andmestike kategooriate kehtestamisel ja täiendavate nõuete seadmisel peab analüüsima ja arvestama lisaks sotsiaalsele- ja majanduslikule kasule ka andmete kättesaadavaks tegemisest tingitud riske ning negatiivset mõju kõigi liikmesriikide julgeolekule, isikute põhiõigustele ning ettevõtete konkurentsivõimele. 6.2.3. Eesti leiab, et üldise digikoondpaketi ettepaneku tulemusena peab olema uues andmemääruses selgelt reguleeritud, millistel tingimustel võivad isikuandmed olla avaandmeteks. Isikuandmete avaldamine võib avaandmetena olla lubatud, kui andmesubjekt on selleks andnud oma nõusoleku või õigusega on ette nähtud andmete avalikustamine. Selgitus: Toetame üldise digikoondpaketi eesmärki parendada avaliku teabe leitavust ja taaskasutatavust, sealhulgas avaliku teabe kasutuse parendamist privaatsustehnoloogiaid kasutades – see võimaldab teha teavet rohkem kättesaadavaks. Praegune olukord on loonud olulist õigusselgusetust: nt pole üheselt mõistetav, kuidas tuleks käsitleda isikuandmeid avaandmete kontekstis ning millised täpsed kohustused see seab nii teabevaldajale kui ka andmete kasutajatele. See ebamäärasus mitte üksnes ei raskenda avaandmete regulatsiooni rakendamist, vaid ohustab ka usaldust laiemasse andmeökosüsteemi. Üldise digikoondpaketi artikkel 1 näeb ette, et avaandmete osa kohaldub nii isiku- kui isikustamata andmete suhtes. Samas ei ole selge, kuidas suhestuvad omavahel avaandmed ja 19 isikuandmed, sh millal võib isikuandmeid käsitleda avaandmetena. Kas isikuandmed on avaandmed üksnes siis, kui liidu või liikmesriigi õigusega on ette nähtud, et isikuandmetele tagatakse ligipääs, ilma et selleks peaks teabenõuet esitama, või võivad olla avaandmed ka need isikuandmed, millele juurdepääsu pole liidu või liikmesriigi õigusega piiratud, kuid mille suhtes ka aktiivset avalikustamiskohustust õigusega pole ette nähtud. Eesti leiab, et üldine reegel võiks olla see, et isikuandmete avaldamine võib avaandmetena olla lubatud, kui andmesubjekt on selleks andnud oma nõusoleku või seadusega on ette nähtud andmete avalikustamine. Kuivõrd isikuandmete avalikustamise kaudu kättesaadavaks tegemine määramata isikute ringile on oluline eraelu riive, siis tuleb seadusega sellise riive ette nägemisel eelnevalt anda hinnang riive lubatavusele, sh proportsionaalsusele. 6.2.4. Eesti toetab privaatsustehnoloogiate laialdasemat kasutamist erinevate andmete kaitseks, sealhulgas tuleb anda Komisjoni juhised selliste tehnoloogiate kasutamise võimaluste ja kriteeriumite kohta. Eesti ei näe vajadust privaatsustehnoloogiate kasutusvõimaluste juhised anda EL õigusaktiga. Selgitus: Näiteks tehisaru regulatsiooni koondpakett näeb ette, et eriliigiliste isikuandmete töötlemisel kallutatuse avastamiseks ja leevendamiseks tuleb kohaldada tipptasemel turva- ja privaatsuse säilitamise meetmed, sealhulgas pseudonüümist (uus lisatav AI määruse artikkel 4a lg 1 punkt b). Samuti on kohustus kaitsemeetmeid kasutada tehisintellekti arendamiseks ja käitamiseks vajalikul andmetöötlusel (uus lisatav IKÜM art 88c). Need sätete näited on oma olemuselt privaatsuskaitsetehnoloogiad. Tehnoloogia arenedes on ettevõtetele üha suuremaks väljakutseks kujunenud isikuandmete ja muude andmete vahel erisuse tegemine, kuna seni on puudunud selged tehnilised kriteeriumid. Seepärast toetame privaatsustehnoloogiate laiemat kasutamist. Toetame ettepanekut, et liikmesriikide üleselt täpsustatakse andmete pseudonüümimisega seotud meetmeid ja kriteeriume. Selline harmoneerimine tagab suurema kindluse ja vähendaks õiguslikku ebakindlust nii ettevõtetele kui ka pädevatele asutustele ning aitab maandada ebaõige klassifitseerimisega seotud riske. Teisalt aitavad privaatsustehnoloogiate laiem rakendamine ja õigusselguse loomine tagada andmesubjektide kaitset ning järelevalveasutuste praktikat antud teemas ühtlustada. Samas liikmesriikide ülesed juhised ei peaks olema piiritletud vaid andmete pseudonüümimisega, vaid võimalus peaks ka olema teiste privaatsustehnoloogiatega seotud meetmete ja kriteeriumite täpsustamist. 6.2.5. Eesti toetab ettepanekut kaotada nõue andmevahendusteenuste teavitamiseks ning leevendada andmevahendusteenusele kohalduvaid nõudeid täiendavate lisateenuste osutamise lubamisega. Selgitus: Kehtivas andmehaldusmääruses on andmevahendusteenuse osutajal kohustus esitada teatis siseriiklikule pädevale asutusele (vt andmehaldusmääruse art 11). Üldises digikoondpaketiga soovitakse andmevahendusteenused muuta vabatahtlikuks registreerimiseks. See tähendab seda, et teatist ei oleks vaja esitada (vt üldise digikoondpaketi muudatust artiklis 32e lg 1). Kehtivas määruses on ka jäigalt piiritletud lisateenused, mida andmevahendusteenusega seoses võib osutada (vt andmehaldusmääruse art 12 punkt e). Üldises 20 digikoondpaketis jäetakse osutatavate lisateenuste valik lahtiseks (vt üldise digikoondpaketi muudatust artiklis 32c punktid c ja d). Eesti on varasemalt toetanud lähenemist, mille kohaselt oleks andmevahendusteenuse osutamine tegevusala, millele kohaldub vabatahtlik registreerimisvõimalus, kuid kehtiva määruse järgi tuleb esitada majandustegevuse teatis. . Samuti on eelnõus leevendatud andmevahendusteenust osutavatele ettevõtetele kohalduvaid nõudeid seoses täiendavate lisateenuste osutamise lubatavusega (näiteks: võimalus osutada lisaks andmevahendusele ka andmete rikastamise ja analüüsi teenuseid). Eesti toetab seda lähenemist, kuivõrd selline nõuete leevendamine tõstab eeldatavalt ka Eesti ettevõtete huvi kohalikul ja liidu turul andmevahendusteenuseid pakkuda. 6.2.6. Eesti toetab ettepanekut muuta ELi andmemäärust nii, et avalikul sektoril on õigus saada erasektorilt hädaolukorras andmeid, kuid peab oluliseks, et selle sätte rakendamisel arvestatakse inimeste põhiõigustega ning liikmesriikides kohaldatakse seda ühtsetel alustel. Andmete edastamisel tuleb eelistada isikustamata andmete edastamist või kui see pole võimalik, siis tuleb kaaluda sobivate privaatsuskaitsetehnoloogiate kasutamist. Selgitus: Kehtiva andmemääruse artikli 14 kohaselt on andmevaldajatel kohustus teha avalikule sektorile andmed kättesaadavaks erakorralise vajaduse tõttu. Erakorralist vajadust ei ole määruses otseselt defineeritud, kuid artiklis 15 on täpsustatud, et erakorralise vajadusena tuleks käsitleda näiteks olukorda, kus andmed on vajalikud üldisele hädaolukorrale reageerimiseks. Üldine hädaolukord on defineeritud kehtiva andmemääruse artikli 2 punktis 29, mille kohaselt on üldine hädaolukord ajaliselt piiratud erakorraline olukord (nagu rahvatervise, loodusõnnetusest tingitud hädaolukord või inimtegevusest tingitud suurõnnetus, sh ulatuslik küberturvalisuse intsident), mis mõjutab negatiivselt liidu, liikmesriigi või selle osa elanikkonda ning millega kaasneb oht, et see võib tõsiselt ja püsivalt kahjustada elamistingimusi või majanduslikku või finantsstabiilsust või oluliselt ja vahetult halvendada majanduslikke varasid liidus või asjaomases liikmesriigis, ja mis tehakse kindlaks või kuulutatakse ametlikult välja vastavalt liidu või riigisisese õiguse kohastele asjakohastele menetlustele. Kehtiva andmemääruse artikli 15 lõike 1 punkti b alusel ja põhjenduspunkti 72 kohaselt ei saa avalik sektor taotleda isikuandmete väljastamist, kui avaliku sektori taotlused põhinevad erakorralisel vajadusel, mis ei ole seotud üldise hädaolukorraga. Üldise digikoondpaketi ettepaneku kohaselt lisatakse andmemäärusesse artikkel 15a, millega eemaldatakse andmevaldajate kohustus väljastada andmeid avalikule sektorile erakorralise vajaduse tõttu ja andmete väljastamise kohustus kehtib üksnes üldises hädaolukorras või vahetult pärast üldist hädaolukorda olukorra leevendamiseks või taastumise toetamiseks. Ettepaneku kohaselt on avaliku sektori asutusel õigus esitada andmevaldajale taotlus eelkõige isikustamata andmete väljastamiseks. Andmemäärusele lisatava artikli 15a lõike 2 kohaselt peaks isikuandmete väljastamine toimuma olukorras, kus isikustamata andmed ei ole üldise hädaolukorraga tegelemiseks piisavad ja kus võimalik, pseudonüümitakse isikuandmed enne väljastamist. Tegemist on kehtiva andmemääruse artikkel 17 lõike 2 punkti e (ettepaneku kohaselt eemaldatakse säte andmemäärusest) sarnase sättega, kuid märgata on olulist erinevust. Kehtiva sätte kohaselt võib isikuandmeid avalikule sektorile väljastada vaid pseudonüümitud kujul, kuid ettepanekus toodud artikkel 15a lõike 2 kohaselt on pseudonüümimine võimalus, 21 mitte kohustus. Eesti leiab, et isikuandmete edastamisel tuleks alati kaaluda võimalike privaatsuskaitsetehnoloogiate, sh pseudonüümimise, kasutamist. Kuigi üldise digikoondpaketis väljatoodud ettepanekuga eemaldatakse kehtivast andmemäärusest erakorralise vajaduse tõttu andmete väljastamise alus, eristab ettepanek siiski üldist hädaolukorda ja olukorda, kui avaliku sektori asutus taotleb andmeid üldise hädaolukorra leevendamiseks või taastumise toetamiseks (ing k the recovery from a public emergency). Viimase korral on lubatud väljastada ainult isikustamata andmeid (ettepanekuga lisatav art 15a lõige 3). Oluline on, et hädaolukorraga seotud piiride tõmbamine oleks liidus ühtsetel alustel. Nende osas võiks kõik liikmesriigid jälgida sarnast praktikat, vältimaks liikmesriigiti erinevaid tõlgendusi, mis hetkel tuleks hädaolukorra andmeid jagada ja millal mitte. 6.2.7. Eesti toetab ettepanekuid Euroopa Andmeinnovatsiooninõukogu mandaadi laiendamiseks, tugevdades nõukogu rolli andmepoliitika ja -korralduse, piiriülese andmevahetuse ja liiduülese tehnilise koostöö koordineerimisel. Selgitus: Euroopa Andmeinnovatsiooninõukogu (ing. k European Data Innovation Board, EDIB) tänane mandaat on nõustada ja toetada Euroopa Komisjoni ELi andmehalduse ühtlustamisel. Nõukogu aitab kujundada ühiseid tavasid, juhiseid ja standardeid andmete taaskasutamiseks, andmevahenduseks ja andmealtruismiks, edendab turvalist, koostalitlusvõimelist ja piiriülest andmete jagamist, toetab ühtsete Euroopa andmeruumide loomist ning aitab tagada andmete kaitse, küberturvalisuse, ausa konkurentsi ja siseturu toimimise nii ELis kui ka rahvusvahelises kontekstis. Detailsem tänane mandaat on andmehalduse määruse artiklis 30. Üldises digikoondpaketis teeb Euroopa Komisjon ettepaneku andmeõiguse osas laiendada selle nõukogu mandaati, mh tugevdades tema rolli andmepoliitika, -korralduse, piiriülese andmevahetuse ja liiduülese tehnilise koostöö koordineerimisel. Eesti toetab Euroopa Andmeinnovatsiooninõukogu mandaadi laiendamist ettepanekus esitatud pädevuste piires. Samuti laiendatakse nõukogu liikmete hulka – lisaks hetkel andmehalduse määruses ette nähtud andmevahenduse pädeva asutuse osalusele (Eestis: AKI), on nõukogus edaspidi võimalik osaleda ka liikmesriikide “andmeküsimustes pädevad osapooled” (Eestis: JDM, Statistikaamet, RIA). Eesti toetab nimetatud muudatust, kuivõrd see võimaldab liikmesriikidel (sh Eestil) osaleda teemakohastes aruteludes vastavalt, kas tehnilise, strateegilise, poliitilise või õigusliku ekspertiisiga (siiani on osalemine olnud piiratud andmekaitse vaatega) ja seeläbi tõsta nõukogu töö ja liiduüleste kokkulepete kvaliteeti. 6.2.8. Eesti toetab ettepanekut tunnistada kehtetuks veebipõhiste vahendusteenuste määrus (EL) 2019/1150. Õigusselguse tagamise eesmärgil toetame seda, et selle määruse teatud (digikoondpaketis väljatoodud) sätted kehtivad kuni neile viitavate EL õigusaktide muutmiseni, seda tähtajaga hiljemalt 31. detsember 2032. 22 Selgitus: Määrus (EL) 2019/1150, mis käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks (edaspidi P2B määrus) jõustus 2020. aastal. Euroopa komisjoni hilisem mõjuhindamine ja Eesti kogemus on näidanud määruse nõuete piiratud mõju, mida kinnitab muuhulgas veebipõhiste vahendusteenuste ärikasutajate madal kaebuste arv. Hilisem EL digiteenuste määrus (DSA) sisaldab nõudeid, mis kattuvad olulisel määral P2B põhisätetega. Mõlemad määrused seavad infoühiskonna vahendusteenuse osutajatele kohustused seoses teenusetingimuste läbipaistvuse; teenuse piiramise, peatamise ja lõpetamise tingimuste; sisu järjestuse läbipaistvuse ning ettevõtte sisese kaebuste menetlemise süsteemi loomise ja haldamisega. P2B määrus seab küll kohati täpsemad nõuded kohustuste kohaldumisele suhetes ärikasutajatega, kuid leiame, et nende nõuete lisandväärtus on kokkuvõttes pigem madal. Lisaks on P2B määruse kehtimise järgselt jõustunud digiturgude määrus (DMA), mille eesmärgiks on tagada digiturgudel nn. pääsuvalitsejate teenuste ärikasutajatele võrdsemad konkurentsitingimused. Eelmainitud asjaolusid arvestades leiame, et DSA ja DMA tagavad piisava läbipaistvuse ja tasakaalustatuse veebipõhiste vahendusteenuste osutajate ja ärikasutajate vahelistes suhetes, mistõttu toetame ettepanekut muuta P2B määrus kehtetuks. Eraldi P2B määruse kaotamine vähendab ka võimalusi järelevalvealasteks konfliktideks tulenevalt P2B ja DSA määruste kohati erinevatest järelevalvemudelitest ning toetab eesmärki muuta EL õigusraamistik ühtlasemaks ja selgemaks. Õigusselguse eesmärgil saame toetada määruse valitud sätete pikemat kehtimist kuni nendele viitavate EL õigusaktide muutmiseni, seda lõpptähtajaga 31. detsember 2032. 6.3. Üldises digikoondpaketis väljatoodud ühtse teavitusakna ettepaneku ja muud kübervaldkonna seisukohad 6.3.1. Eesti toetab ettepanekut luua küberintsidentide, isikuandmetega seotud rikkumiste kui ka muude samalaadsete juhtumite raporteerimiseks ühtne teavitusaken. Ühtse teavitusakna loomisel on oluline tagada, et intsidentidest raporteerimine on turvaline, juurdepääsetav vaid vajalikele osapooltele, ei tõsta liikmesriikide kulusid ja kasutab ära olemasolevaid liikmesriikide lahendusi ning praktikaid. Ühtse akna loomine peab vähendama ka ettevõtjate halduskoormust ja kulu Euroopa Liidu eelarvele. Ennekõike tuleb lisaks teavituste sisu ühtlustamisele digikoondpaketi raames ühtlustada ka erinevates õigusaktides olevate teavituste esitamise tähtaegu. Selgitus: Eesti toetab küberintsidentide raporteerimiseks ühtse teavitusakna ehk SEPi loomist. Mitmed õigusaktid (NIS2 direktiiv, IKÜM, eIDAS määrus, CER direktiiv, DORA määrus, piiriüleste elektrivoogude küberturvalisust käsitlevaid sektoripõhiseid norme sisaldav võrgueeskiri nimetusega NCCS määrus, lennunduse valdkonna määrused ehk komisjoni määrused (EL) 2023/203 ja 2022/1645, e-privaatsuse direktiiv ja CRA määrus) kohustavad intsidentidest/ juhtumitest teavitama asjakohast pädevat asutust. Tegemist on nende õigusaktide järgijatele (avalikust ja erasektorist) dubleeriva kohustusega, kui samast juhtumist tuleb teavitada mitut asutust, kasutades erinevaid vorme. Lahendusena nähakse ühtset teavitamise akent ehk SEPi, mis võimaldab rakendada põhimõtet “teavita üks kord ja jaga mitme osapoolega”. Ettepaneku kohaselt SEPi arendab välja ja haldab EL Küberturvalisuse Amet (ENISA). Üldises digikoonpaketi ettepanekus on märgitud, et SEPiga seonduvalt muudetakse ainult IKÜMi, e-privaatsuse direktiivi, NIS2 direktiivi ja CER direktiivi. Ülejäänud EL õigusaktide puhul on ette nähtud, et EL õiguse alusel kehtestatavates rakendusmäärustes või delegeeritud 23 määrustes tagatakse ühtse teavitus vormi kasutusele võtmine. Samas ei ole ettepanekus märgitud, kas ning mil määral oleks vaja muuta ka direktiivi (EL) 2016/680 (reguleerib isikuandmete töötlust õiguskaitselisel eesmärgil) või ka mõnda muud õigusakti, millel on sarnasusi siinse teemaga (nt AI määrus). Eesti jaoks on oluline, et loodav SEP on turvaline, sh et sellele saavad juurdepääsu vaid vajalikud osapooled. Näiteks peab olema selge, kas ning mil määral peaks ENISA saama SEPi kaudu edastatavale infole juurdepääsu - seda ka olukorras, kus SEPi arendajaks on ENISA. Juurdepääs SEPi kaudu edastatavale infole peab lähtuma teadmisvajaduse põhimõttest. Eesti seisukohtade koostamise hetkel ei ole veel selge, millised saavad olema SEPi tehnilised tingimused ja nõuded. Seetõttu ei ole teada, kas näiteks SEPi loomisega tekib ENISA juurde justkui keskne andmebaas või andmehoidla, mis sisaldab kõiki SEPi kaudu edastatud teavitusi. Kui selline andmebaas tekib (kuna praktikas on ilmselt vaja päringud vastu võtta, valideerida, talletada intsidendiinfo, et seda edasi saata/töödelda), on tegemist äärmiselt tundlikku infot sisaldava andmebaasiga. See omakorda loob võimaliku keskse sihtmärgi tekkeks, mille kompromiteerimine võib avaldada äärmiselt laiaulatuslikku mõju kogu EL siseturvalisusele. Vajalik on luua usaldus, et loodud süsteem on turvaline, ettevõtted ja kodanikud teavad, kuidas nende andmeid kasutatakse ja millised meetmed on kasutusele võetud, et turvalisus oleks tagatud. Vastasel juhul võib tekkida situatsioon, kus intsidendiraporteid ei esitata põhjusel, et süsteemi kui tervikut ei usaldata. SEPi loomisel tuleb ära kasutada võimalikul määral olemasolevaid Euroopa lahendusi ja praktikaid. Eelkirjeldatud selgituse tõttu tuleks SEPi loomisel kasutada ennekõike hajutatud arhitektuurilist lahendust, mis vähendaks tsentraalse andmebaasi või andmehoidla tekkimisega seotud riske. SEPi tekitamisel tuleb ka tagada, et see ei tekitaks liikmesriikidele liigset kulu. Esitatud ettepanekus on selgitatud, et SEPi loomise raames tegeletakse mh ka sellega, et kui ühest juhtumist teavitada mitme õigusakti alusel, siis eri õigusaktide alusel küsitav info ja andmed oleksid ühesugused, kuid ettepanekus ei ole märgitud, kuivõrd tuleks ühtlustada eri EL õigusaktides ette nähtud tähtaegu. Küberintsidentidest teavitamisele kehivad nõuded, et esmane teavitus intsidendist tuleb teha üldreeglina 24 tunni jooksul ja intsidenditeade tuleb teha hiljemalt 72 tunni jooksul. Isikuandmete kaitse valdkonnas toimuva isikuandmete nõuete rikkumisest tuleb teavitada 72 tunni jooksul ning pärast digiomnibussi ettepanekus tehtavat muudatust tuleb see teha 96 tunni jooksul. Tolle muudatusega kaotatakse ära oluline varajase sekkumise mehhanism. Kõrge riskiga intsidentide puhul tähtaja pikendamine 96 tunnini võib suure riskiga intsidendi korral olla iga lisapäev kahju piiramisel kriitilise tähtsusega. Samuti tuleb arvestada ka asjaoluga, et kui mingi juhtum on näiteks isikuandmetega seotud küberintsident, siis tuleb samast juhtumist teavitada pädevaid asutusi mitmel erineval ajahetkel. See kõik tekitab omakorda segadust – seda isegi ka siis, kui ettepanekus kirjeldatud SEP luuakse. Komisjoni 24. juuni 2013. aasta määruse (EL) nr 611/2013 meetmete kohta, mida kohaldatakse eraelu puutumatust ja elektroonilist sidet käsitleva Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ kohaselt isikuandmetega seotud rikkumiste teatamise suhtes, kohaselt on üldkasutatava elektroonilise sideteenuse osutajal kohustus teatada isikuandmetega seotud rikkumistest. Nimetatud määruse kohaselt tuleb rikkumisest teavitada andmekaitse järelevalveasutust hiljemalt 24 tunni jooksul pärast rikkumise tuvastamist. Kindlasti tuleb selgitada, kuidas nimetatud määrus edaspidi ettepaneku muudatustega kooskõlas oleks. Samuti märgime, et lahendus, kus ühtne teavitusaken luuakse ENISA juurde ning ENISA saadab kogu vajamineva info edasi liikmesriikide pädevatele asutustele, ei pruugi olla jätkusuutlik. See võib pikendada ajakriitilises olukorras intsidendi käsitlemise aega. Kuna ENISA alles paneb paika konkreetsed meetmed ja nõuded ühtsele teavitusaknale, siis ei ole seletuskirja koostamise 24 hetkel võimalik pakkuda välja alternatiivi, kuidas tagada jätkusuutlikkus. See selgub, kui ENISA on vastavad meetmed ja nõuded koostanud. Kuigi üldise digikoondpaketi raames on võetud eesmärgiks ühtlustada nende teavituste sisu, siis tuleks muuhulgas ühtlustada ka teavituste saatmise tähtaegasid, mis on erinevates õigusaktides erinevalt sätestatud. Eesti seisukohtade ettevalmistamise käigus ei olnud võimalik analüüsida, mis oleks kõige sobivaim tähtaeg. Tolle ühtlustatud tähtaja puhul tuleb arvestada mitmete aspektidega, st nii teavituste esitajate (nii erasektorist kui avalikust sektorist) ja mõjutatud osapoolte (nt küberintsidendist mõjutatud partnerettevõtte või andmelekkega seotud andmesubjekti) huvidega kui ka konkreetset juhtumit lahendavate pädevate asutuste vajadustega. 6.3.2. Eesti teeb ettepaneku, et ühtse teavitusaknaga seonduvalt ühtlustatakse küberintsidentide taksonoomiat, lisades vastava ülesande ELi ameti ENISA põhiülesannete hulka. Eesti leiab, et ENISA koostatud küberintsidentide taksonoomia kasutamine peab olema kohustuslik liidu-üleselt. Selgitus: Esitatud seisukoht ei ole Euroopa digivaldkonna lihtsustamise koondpakettides endas kirjeldatud teemadest, vaid tegemist on praktikast tõusetunud vajadusega, mille puhul on vaja selgus saada. Kuna SEP on tehniline lahendus, mis peaks ka vahetama teavet riiklike teavituskanalitega, tekib suurendatud vajadus ühtse taksonoomia järele. Arvestades, et teavitatavad teemad erinevad riigiti ning teavitused edastatakse kohalikes keeltes, on ühtse ja läbimõeldud taksonoomia loomine eriti oluline. ELi küberintsidentide taksonoomia on Euroopa Liidus kasutatav ühine raamistik küberintsidentide kirjeldamiseks ja liigitamiseks. Selle eesmärk on tagada, et erinevad osapooled (EL asutused ja institutsioonid, liikmesriigid kui ka riikides asuvad isikud või üksused) lähtuksid küberintsidentide määratlemisel ja käsitlemisel samast käsitlusest. Eesti teeb ettepaneku, et vastava taksonoomia ülesande saab ENISA, kes on samalaadseid taksonoomiaid ka varem koostanud. Ühtlustatud küberintsidentide taksonoomia kasutamine ELi üleselt ei juhtu niisama - mistõttu on vaja tekitada ka EL õigusesse nõue, et selle taksonoomia kasutamine on kohustuslik ELi üleselt. Selleks tuleks digiomnibussi muudatuste hulgas teha vastav muudatus ka näiteks NIS2 direktiivis või mõnes muus asjakohases EL õigusaktis. 6.3.3. Eesti toetab seda, et küberintsidentidest teavitamise ühtse teavitusakna loomine, arendamine ja haldamine muutub ELi ameti ENISA üheks põhiülesandeks. Eesti teeb ettepaneku majutada ühtne teavitusaken ELi ameti eu-LISA juures Eesti peakontori infrastruktuuris, lisades vastava ülesande eu-LISA põhiülesannete hulka. Selgitus: Seisukoht on seotud SEPi tehnilisema rakendamisega. Eesti huvi ei ole suunatud SEPi sisulisele muutmisele, vaid selle tehnilise lahenduse kujundamisele ja võimalikule paiknemisele. Ettepanekus on märgitud, et SEPi loomine, arendamine ja haldamine saab olema ENISA ülesanne. See on Eesti hinnangul sobiv, kuid puudub selgus, kus taolist tehnilist lahendust majutatakse. Eestile teadaolevalt ei ole ENISAl hetkel endal taolist võimekust, et SEPi majutada. Lisaks ENISAle on loodud eraldi EL asutusena Vabadusel, Turvalisusel ja Õigusel Rajaneva Ala Suuremahuliste IT-süsteemide Operatiivjuhtimise Euroopa Liidu Amet ehk eu-LISA, mille ülesandeks on ELi justiits- ja siseasjade valdkonna suurte infosüsteemide ja sidetaristu arendamine ja haldamine. Eesti leiab, et ühe võimalusena võiks kaaluda SEPi tehnilise lahenduse majutamist Eestis eu-LISA peakontori infrastruktuuris, mistõttu teeb Eesti ettepaneku, et SEPi majutamine võiks toimuda eu-LISAs eeldusel, et see takistaks eu-LISA olemasolevate ülesannete täitmist. Selleks tuleb täiendada eu-LISA mandaati ja ülesandeid, kuna eu-LISA praegused ülesanded (vt Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1726) on seotud sise- ja 25 justiitsvaldkonnaga ehk tema ülesanded ei hõlma siseturuga seotud ülesandeid. Eesti soovib, et SEPi majutamine toimuks sellisel juhul eu-LISA Eesti peakontori infrastruktuuris. See valik tugevdaks Eesti rolli Euroopa digitaalse ja küberjulgeoleku arhitektuuris ning looks pikaajalist strateegilist väärtust. See tähendab nii digikompetentsi kasvu, tugevamat rolli EL operatiivses võrgustikus kui ka laiemat julgeoleku- ja majanduslikku mõju, sh EL asutuste ja töötajate suuremat kohalolu Eestis. SEPi tehnilise lahenduse majutamise võimekuse loomine eu-LISAsse looks eeldused majutada ka teisi sarnaseid ELile strateegiliselt olulisi andmebaase ja IT lahendusi eu-LISA juures. Samuti toetaks ENISA ja eu-LISA koostöös lahendus EL agentuuride vahelist sünergiat, võimaldades kasutada ära mõlema ameti tugevusi ja kogemusi siseturvalisuse tagamisel.. Euroopa Komisjon avaldas 26.01.2026. a eu-LISA välise hindamise teatise 7, milles leiti, et agentuuri volituste ja põhiülesannete muutmata jätmine käesolevas etapis võiks praegu paremini aidata eu-LISA-l täita tulemuslikult ja tõhusalt oma pooleliolevaid ülesandeid. Teatise kohaselt peaks eu-LISA seadma prioriteediks korraldusliku stabiilsuse ja strateegilised talitluslikud täiustused. Seega, kui Eesti seisukoht ei leia toetust siinsete ettepanekute arutelu käigus, võib seda ettepanekut esitada tulevaste õiguslike muudatuste aruteludes. 6.3.4. Eesti teeb ettepaneku finantssektori digitaalset tegevuskerksust sätestavat määrust ehk DORA määrust ja vajadusel ka NIS2 direktiivi lihtsustada nii, et DORA määruse kohaldamisalas olevad finantssektori ettevõtjad ei tohi nõuda DORA määruse turvalisuse nõuetele vastavust kolmandast isikust IKT-teenuste osutajatelt, kes vastavad NIS2 direktiivis ja selle alusel kehtestatud nõuetele. Selgitus: Esitatud seisukoht ei ole koostatud ajendatuna Euroopa digivaldkonna lihtsustamise koondpakettides kirjeldatud teemadest, vaid tegemist on praktikast tõusetunud vajadusega, mille puhul on vaja selgus saada ning millele juhtis tähelepanu ka üks turuosalisi esindav liit. DORA määruse (määrus (EL) 2022/2554) kohaldamisalas olevad üksused on vabastatud NIS2 direktiivi küberturvalisuse nõuetest. Samas on praktikas ka neid IKT-teenuste osutajaid, kes on NIS2 direktiivi kohaldamisalas, kuid samal ajal osutavad nad IKT-teenuseid finantssektori üksustele, kellele kohaldub DORA määrus. NIS2 direktiivis on nende üksuste kohta kasutatud sõnastusi “hallatud teenuse osutaja” ja “hallatud turbeteenuse osutaja”, mis on küberturvalisuse seadusesse üle võetud terminitena vastavalt “haldusteenuse osutaja” ja “infoturbeteenuse osutaja”. DORA määruses on nende üksuste kohta kasutatud sõnastust “kolmandast isikust IKT- teenuse osutaja”. DORA määrus ei kehtesta kolmandast isikust IKT-teenuse osutajatele üldist ja otsest kohustust olla iseseisvalt vastavuses DORA määruse nõuetele samal viisil nagu finantssektori ettevõtjatele. Küll aga vastavalt DORA määrusele, kui kolmandast isikust IKT-teenuse osutaja osutab teenuseid DORA määruse kohuslasele (loetletud DORA määruse artikli 2 lõike 1 punktides a–t ehk finantssektori ettevõtjale), siis loetakse neid teenuseid osaks finantsasutuse ökosüsteemist ja/või finantsasutuste poolt pakutavate teenuste lahutamatuks osaks. Seetõttu eeldatakse kolmandast isikust IKT-teenuse osutajalt tegutsemist kooskõlas DORA määruse loogika ja nõuetega. DORA artikkel 28 lg 5 esimene lause viitab, et "finantssektori ettevõtja võib sõlmida lepingu vaid sellise kolmandast isikust IKT teenuse osutajaga, kes vastab asjakohastele 7 https://ec.europa.eu/transparency/documents-register/detail?ref=SWD(2026)980&lang=en 26 infoturbestandarditele”. Tegemist on finantssektori ettevõtja hoolsuskohustusega enne kolmandast isikust IKT-teenuse osutajaga lepingulistesse suhetesse astumist. Kohustused kolmandast isikust IKT-teenuse osutajatele tulenevad aga DORA määruse artiklist 30, mis sätestab minimaalsed kohustuslikud lepingulised elemendid, milles finantssektori ettevõtja ja kolmandast isikust IKT-teenuse osutaja peavad kokku leppima. DORA määruse artikli 30 eesmärk on võimaldada finantssektori ettevõtjatel täita oma regulatiivseid kohustusi, tagades lepinguliste mehhanismide kaudu kontroll IKT-riskide üle ka väliste teenusepakkujate puhul. Selle saavutamiseks nõuab DORA määruse artikkel 30 kolmandast isikust IKT-teenuse osutajatega sõlmitavatelt lepingutelt detailset reguleerimist teenuse sisule, turbenõuetele, intsidendihaldusele, auditi- ja järelevalveõigustele, allhankimisele ning teenuse lõpetamise ja asendamise mehhanismidele. Samas on oluline rõhutada, et NIS2 direktiiv juba kohustab NIS2-kohuslasi rakendama terviklikku küberturbe ja riskijuhtimise raamistikku, sealhulgas tehnilisi ja organisatsioonilisi turvameetmeid, intsidendihaldust, tarneahela riskide juhtimist ning juhtkonna vastutust. Sellekohased täpsemad nõuded on sätestatud NIS2 direktiivi artikli 21 lõike 5 alusel antud komisjoni rakendusmääruses (EL) 2024/2690. NIS2 direktiivi kohaldamisalas olevad üksused alluvad lisaks riiklikule järelevalvele ja sanktsioonimehhanismidele, mis tagavad kõrge ja õiguslikult siduva kaitsetaseme. Seega on NIS2 direktiivi eesmärgid ja sisuline fookus kooskõlas DORA määruse artikli 30 aluseks oleva riskijuhtimise loogikaga. Praktikas ei ole DORA määruse artikli 30 nõuded NIS2 direktiivi kohaldamisalas olevate üksuste jaoks suunatud uute riskide maandamisele, vaid eeldavad juba kehtivate NIS2 direktiivi raamistike dubleerimist ja ümberstruktureerimist vastavalt iga finantssektori ettevõtjate lepinguliste vajaduste järgi. See väljendub mitmekordses dokumenteerimises, kliendipõhistes auditites, erinevates raporteerimisnõuetes ning lepingulises keerukuses, mis ei suurenda küberturvalisuse ega teenuse vastupidavuse tegelikku taset, kuid kasvatab ebamõistlikult kolmandast isikust IKT-teenuse pakkuja halduskoormust ja kulusid. Seega tekitab eelkirjeldatud topelt nõue DORA määruse kohastele kolmandast isikust IKT- teenuse osutajatele topelt nõudeid. Seetõttu tuleks ettevõtjate halduskoormuse vähendamiseks ja regulatsioonide lihtsustamiseks muuta DORA määrust ja vajadusel ka NIS2 direktiivi viisil, et DORA määruse kohaldamisalas olevad finantssektori ettevõtjad ei tohi nõuda DORA määruse turvalisuse nõuetele vastavust kolmandast isikust IKT-teenuste osutajatelt, kes vastavad NIS2 direktiivis ja selle alusel kehtestatud nõuetele. Kui vastav Eesti seisukoht ei leia toetust siinsete ettepanekute arutelude käigus, siis võib seda ettepanekut esitada tulevaste küberturvalisuse või finantsvaldkonnas tehtavate õiguslike muudatuste käigus. 6.4. Üldises digikoondpaketis väljatoodud isikuandmete kaitse üldmääruse muutmise seisukohad 6.4.1. Eesti ei toeta ettepanekut reguleerida isikuandmete kaitse üldmääruses tehisaru kui ühte tehnoloogilist lahendust. Eesti on seisukohal, et säilima peab IKÜM-i tehnoloogianeutraalsuse põhimõte. Samas ei tohi digikoondpaketi muudatused kaasa tuua tehisaru kasutusele võtmise ja treenimise senisest keerukamaks muutmist. Tehnoloogiaarenduseks isikuandmete töötlemine peab olema võimalik kõigil IKÜM-i andmetöötluse õiguslikel alustel. Eesti toetab, et tehnoloogia arendamiseks, mis on hõlmatud teadusuuringu mõistega, peab asjakohaste kaitsemeetmete rakendamisel olema 27 lubatud töödelda ka eriliiki isikuandmeid. Eesti leiab, et õiguskindluse suurendamiseks tuleb IKÜM-is täpsustada laiemalt teadusuuringuga (sh tehnoloogiaarendusega) seonduvaid kaitsemeetmeid, mis omakorda ei tohi olla andmetöötlust liiga piiravad. Tehnoloogia arendamine ja käitamine on erinevad töötlemistoimingud ja vajavad Eesti hinnangul eraldiseisvat andmetöötluse õiguslikku alust. Selgitus: Muudatusettepanekuga plaanitakse täiendada IKÜMi tehisaru puudutava regulatsiooniga (kavandatav IKÜM artikkel 88c, seotud seisukohapunktiga 6.5.5.). Silmas tuleb aga pidada, et tehisaru puhul on tegemist ühega väga paljudest tehnoloogilisest süsteemidest, seega ei oleks IKÜM enam tehnoloogianeutraalne. Eesti ei toeta üksiku tehnoloogilise lahenduse reguleerimist määruses. Tehisaru tehnoloogiana on samasugune nagu teised tehnoloogiad, mistõttu isikuandmete töötlemisele tehisarus peaks rakendama kas kehtivatel IKÜM-i nõuetel või kehtestades IKÜM-iga täiendavaid kaitsemeetmeid mitte üksnes tehnoloogia arendamiseks ja kasutamiseks (mis on juba hõlmatud teadusuuringu mõistega) vaid ka laiemalt teadusuuringute kontekstis. IKÜM peaks ette nägema minimaalsed kaitsemeetmed teadusuuringus isikuandmete töötlemiseks (näiteks võiks olla kaitsemeetmeteks olla privaatsustehnoloogiate kasutamine). See aitaks lihtsustada ka teadlaste vahelist rahvusvahelist koostööd. Samuti tuleb jätta paindlikus täiendavate kaitsemeetmete sätestamiseks EL-i ja riigisisese õigusega (eelkõige võttes arvesse vajadust teatud juhtudel teadusuuringu tegemise tingimuseks ette näha ka eetikakomitee hinnangu saamine). Samas ei tohiks muudatused kaasa tuua innovatsiooni takistamist või selle elluviimise raskendamist. IKÜMi nõuete kitsendamine või piiramine tehisaru arendamise ning käitamise õigusliku aluse puhul ei ole põhjendatud (ei järgita IKÜMis olevat tehnoloogianeutraalsuse põhimõtet). Nt ei ole põhjendatud tehisaru treenimist lubada vaid õigustatud huvi või nõusoleku alusel. Tuleb arvestada ka võimalusega, et avalik sektor soovib tehisaru treenida. Õiguslik alus andmete töötlemiseks tuleb valida iga tehisaru tehnoloogiat kasutava toote ja teenuse puhul vastavalt sellest konkreetsest andmetöötlusest, mida tehakse. Andmetöötlejatele ei tohi luua ka petlikku kujutlust justkui oleks liidu seadusandja ühe tehnoloogia arendamise ja toimimise puhul õigustatud huvi hinnangu juba ette ära määranud ning muud üldmääruses toodud andmetöötluse õiguslikud alused on tehisaru arendamiseks välistatud. Muudatusega luuakse tehnoloogia arenduseks (ettepanekutes tehisaru) ja käitamiseks isikuandmete töötlemiseks õiguslik alus. Toetame ettepanekut, et rakendades asjakohaseid kaitsemeetmeid (nt privaatsustehnoloogiaid), peaks olema lubatav ka eriliiki isikuandmete töötlemine teadusuuringute eesmärgil, sh tehnoloogiaarenduseks. Silmas peab pidama, et kuna kaitsemeetmed on pidevalt ajas muutuvad, siis kindlaks määratud loetelu ei ole võimalk ette näha. Eesti on seisukohal, et eriliiki isikuandmete töötlemine peab olema lubatud ainult tehnoloogia arendamiseks, arendatud tehnoloogia rakendamiseks (nt teenuse pakkumiseks) peab andmetöötlusel olema omaette õiguslik alus. Eesmärgipiirangu põhimõte peab jääma kehtima - igaks uuel eesmärgil andmetöötluseks peab olema omaette õiguslik alus. Ei tohi tekkida olukord, kus tehnoloogia arendamise eesmärgil toimub pidev andmetöötlus ka tehnoloogia kasutamise käigus. Leiame, et ettepanekus tehisintellekti arendamise ja toimise jaoks ette nähtud kaitsemeetmed ja tingimused peaks kohalduma ka teiste tehnoloogiliste lahenduste, mitte üksnes tehisintellekti puhul ning ka teadusuuringutes laiemalt. Õiguskindluse suurendamiseks tuleks IKÜM-is täpsustada tehnoloogiaarendusega seonduva andmetöötluse suhtes kohaldatavaid kaitsemeetmeid. Kaitsemeetmete rakendamine peab tagama IKÜM-is toodud andmetöötluse põhimõtete kohaldamise ning aitama vältida olukorda, kus eriliiki isikuandmete töötlemine 28 teadusuuringute, sh tehnoloogiaarenduse eesmärgil on lihtsam kui tavaliste isikuandmete töötlemine. Eesti on seisukohal, et artiklis 88c ette nähtud kaitsemeede vastuväite esitamise õiguse näol ei või minna laiemaks, kui IKÜM-iga ette nähtud. Tuleb vältida olukordi, kus isikutel võimaldatakse juba etteulatuvalt keelata isikuandmete teadusuuringutes kasutamise, mis seaks üldiselt ohtu teadustegevuse ja innovatsiooni. 6.4.2. Eesti toetab teadusuuringute mõiste avamist IKÜM-is, kuna see suurendab õigusselgust. Teadusuuringute mõiste peab hõlmama ka tehnoloogia, sealhulgas tehisintellekti, arendamist. Isikuandmete mõiste sisustamine IKÜM-is peab olema kooskõlas Euroopa Kohtu antud tõlgendusega ja põhiteksti täiendamisele tuleb eelistada määruse põhjenduspunktidesse selgituste lisamist. IKÜM-i muutmise käigus tuleb vältida uute määratlemata õigusmõistete kasutuselevõttu. Mõistete muutmisel IKÜM-s tuleb vastavad muudatused teha ka õiguskaitseasutuste andmekaitsedirektiivis. Erinevate isikuandmete kaitset reguleerivate Euroopa Liidu õigusaktide muudatuste kohaldamisaeg peab olema ühtlustatud. Selgitus: Eesti hinnangul on asjakohane uue mõistena IKÜM-is avada seni põhitekstis määratlemata õigusmõiste „teadusuuring“. IKÜM käsitleb teadusuuringutega seonduvat juba täna, kuid mõistele legaaldefinitsiooni ei ole antud. Eesti leiab, et teadusuuringu mõiste puhul tuleb hoida selle senist laia kohaldamisala, mis muu hulgas hõlmab ka tehnoloogia arendust ja innovatsiooni. Seetõttu peaks ka tehisaru arendus kuuluma teadusuuringu mõiste alla. Teadusuuringu mõiste piiritlemisel tuleb samuti säilitada tasakaal teadusvabaduse ja andmesubjekti õiguste vahel. Teadusuuringu mõiste sisustamisel tuleb silmas pidada, et siia alla kuuluvad ka muud kui tehnoloogia uuringud nt digihumanitaaria, mälu- ja keeleteadus. Eesti leiab, et isikuandmete mõiste käsitlust võib IKÜM-is täpsustada, kuid see peab olema kooskõlas seniste Euroopa Kohtu poolt antud tõlgendustega (vt nt C‑413/23P EDPS v SRB, C- 582/14 Breyer, C-434/16 Nowak, C-683/21 Nacionalinis visuomenės sveikatos centras, C- 579/21 Pankki, C-604/22 IAB Europe, C-479/22 P OC). Isikuandmete mõistel on IKÜM-is keskne koht, sellest sõltub, kas määrust tuleb kohaldada või mitte. Oluline on, et muudatuste käigus ei suureneks õigusselgusetus ega kahaneks andmesubjektide usaldus andmetöötluse suhtes. Vastasel korral suureneb kuritarvituste ja vaidluste risk, vastutuse hajumine, halduskoormus ettevõtjatele ja järelevalveasutuste töökoormus. Eesti arvates on kohane isikuandmete mõistega seonduvat täpsustada määruse põhjenduspunktides, jättes määruse põhiteksti muutmata. IKÜM-i kohaldamist on seni raskendanud mitmete määratlemata õigusmõistete kasutamine. Üldmääruse muudatuste käigus tuleb Eesti hinnangul vältida täiendavate määratlemata õigusmõistete kasutuselevõttu. Vastasel korral suureneb nii halduskoormus andmetöötlejatele kui ka järelevalveasutuste ja kohtute töökoormus. Suurem õigusselgus annab kindlustunde kõigile andmetöötlusega seotud isikutele. Ettepanekuga nähakse ette muudatused ka Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruses (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (EL institutsioonide andmekaitsemäärus), kuid õiguskaitseasutuste direktiivi vastavasisulisi muudatusi ettepanekuga 29 kavandatud ei ole. Euroopa Komisjon on andnud teada, et vastavasisulised muudatused esitatakse hiljem. Õiguskaitseasutuste jaoks muutub olukord keeruliseks, kuna nad peavad erinevates olukordades juhinduma erinevatest sätetest (mis puudutab näiteks isikuandmete mõistet, ühtset teavitusakent või rikkumisest teavitamise tähtaegu). IKÜM, institutsioonide andmekaitsemäärus ja õiguskaitseasutuste direktiiv peaksid sellistes põhiküsimustes olema süsteemselt kohaldatavad. 6.4.3. Eesti toetab ettepanekut kehtiva õiguse täpsustamiseks, mille kohaselt loetakse isikuandmete edasist töötlemist teadus- või ajaloouuringute, statistilisel või avalikes huvides toimuva arhiveerimise eesmärgil kooskõlas olevaks töötluse algsete eesmärkidega. Andmetöötluse eesmärkide kooskõla ei loo Eesti hinnangul iseseisvat õiguslikku alust andmetöötluseks, sh ei anna õigust täiendavaks andmehõiveks ja seda tuleks vastavalt määruse muutmisel põhjenduspunktis käsitleda. Selgitus: Isikuandmete töötlemise eesmärgipiirangu laiendamine on mõeldud täpsustamaks olemasolevat regulatsiooni – kehtiva õiguse kohaselt ei loeta edasist töötlemist teadus- või ajaloouuringute, statistilistel või avalikes huvides toimuva arhiveerimise eesmärgil esialgsete töötlemise eesmärkidega vastuolus olevaks. Samas ei loo muudatus isikuandmete töötlemiseks uut õiguslikku alust, vaid selgitab juba olemasolevat regulatsiooni, ja vähendab tõlgenduslikku ebakindlust. Muudatusega täpsustatakse, et olukorras, kus andmed on kogutud nt konkreetse avaliku ülesande täitmise eesmärgil, võib vastutav töötleja neid töödelda ka teadus- või ajaloouuringute, statistilisel või avalikes huvides toimuva arhiveerimise eesmärgil. Praktikas võib muudatus suurendada isikuandmete edasise töötlemise võimalusi ja tuua kaasa riske andmesubjektide õiguste kaitsele. Seetõttu tuleb selguse huvides Eesti hinnangul määruse põhjenduspunktis täpsustada, et andmetöötluse eesmärkide kooskõla ei anna iseseisvat õiguslikku alust edasiseks andmetöötluseks. Eesti leiab, et isikuandmete töötlemise eesmärgipiirangu laiendamise kontekstis tuleb määruse põhjenduspunktis selgelt välja tuua, et andmetöötlus sellisel juhul on üksnes lubatud nende andmete ulatuses, mis on vastutaval töötlejal olemas, mitte ei ole omaette õiguslikuks aluseks täiendavate andmete kogumisel ja täiendavate kaitsemeetmeteta töötlemisel. 6.4.4. Eesti toetab biomeetriliste andmete kasutamise lubamist isikusamasuse kinnitamiseks. Samas on Eesti seisukohal, et ettepanekus toodud tingimus, et andmed või kontrollivahendid peavad olema ainult andmesubjekti kontrolli all, ei ole praktiliselt teostatav. Eesti leiab, et nõue tuleks sõnastada nii, et see oleks seotud isiku poolt protsessi algatamise või konkreetse teenuse taotlemisega. Selgitus: Eriliiki isikuandmete töötlemise lubatavuse kontekstis on vajalik täpsustada biomeetriliste andmete töötlemise aluseid. Eesti toetab ettepanekus toodud lahendust, mis lubab biomeetria kasutamist isikusamasuse kinnitamiseks ainult juhul, kui andmed või kontrollivahendid (näiteks biomeetriliste andmetega passi automaatkontrolli masin) on ainult andmesubjekti kontrolli all. Selline selgelt piiritletud ja andmesubjekti õigusi kaitsev lahendus võimaldab kaasas käia kaasaja vajadustega. Ettepanekus toodud tingimus, mis ütleb, et selline andmetöötlus on lubatud ainult juhul, kui andmed või kontrollivahendid on ainult andmesubjekti kontrolli all, ei ole aga täidetav. Mõiste „sole control“ kontseptsioon on ebaselge, võimaldab väga laia tõlgendust ja sellega kaasnevat isikute põhiõiguste ulatusliku riivet. Eesti on seisukohal, et isikusamasuse kinnitamiseks tehtav 30 andmetöötlus peab olema seotud konkreetse teenusega, mida isik ise taotleb ning sellega kaasnevalt isikusamasuse kinnitamise protsess teadlikult algatab. Andmetöötlus peab olema isiku jaoks turvaline ja läbipaistev. 6.4.5. Eesti on seisukohal, et automatiseeritud töötlusel, sh profiilianalüüsil põhinevate otsuste regulatsioon IKÜM-is peab olema selgelt sõnastatud andmesubjekti õigusena. Automatiseeritud töötlusel põhinevaid, andmesubjektile õiguslikke tagajärgi kaasa toovaid või talle märkimisväärset mõju avaldavaid, otsuseid tohib teha üksnes piiritletud juhtudel ning vastutav töötleja peab sellise andmetöötluse suhtes rakendama täiendavaid kaitsemeetmeid, sh peab andmesubjektil säilima õigus isiklikule kontaktile, et väljendada oma seisukohta ja otsust vaidlustada. Selgitus: Kehtiva regulatsiooni järgi on andmesubjektil üldjuhul õigus nõuda, et tema suhtes ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel (st et otsuse tegemisel puudub inimese mõtestatud sekkumine). Teatud juhtudel on seda õigust siiski piiratud. Ettepaneku kohaselt võib automatiseeritud töötlusel põhineva otsuse teha ka ilma, et andmesubjektil oleks enne otsuse tegemist võimalik sellest keelduda. Samas jääb kehtima põhimõte, et nn automaatotsused on lubatavad üksnes piiratud juhtudel ning nende rakendamisel tuleb kohaldada erinevaid kaitsemeetmeid, nn andmesubjektile konkreetse teabe andmine (nt otsuse tegemise metoodika ja kasututud tehnoloogiate kohta) ja andmesubjekti õigus otsesele isiklikule kontaktile, õigus väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ning õigust seda otsust vaidlustada. Eesti toetab eelviidatud põhimõtete kehtima jäämist, kuivõrd need kaitsevad andmesubjekti. Samal põhjusel peab Eesti arvates jääma eriliiki isikuandmete töötlemine nn automaatotsuste vastuvõtmiseks selgelt piiritletuks nii nagu see on kehtivas IKÜM-is. Muudatus loob võimalused kiiremaks ja andmesubjekti vähem koormavaks andmetöötluseks, säilitades siiski andmesubjektile tema õiguste kaitseks vajalikud meetmed. Eesti seisukohal, et juhul kui muudetakse IKÜM artiklit 22 nii nagu on ettepanekus toodud, siis tuleb säte sõnastada andmesubjekti õigusena. Praegusel juhul see nii ei ole, aga õigusakti süsteemsuse seisukohalt oleks vaja vastavad muudatused teha. Juhul kui sõnastust ei muudeta, tuleks lubatavale andmetöötlusele leida regulatsioonis õigem koht. 6.4.6. Eesti ei toeta ettepanekut piirata andmesubjekti õigusi selliselt, et õigus oma andmetega tutvuda oleks andmesubjektil üksnes andmekaitselistel eesmärkidel. Andmetega tutvumise õigus peab olema andmesubjektil ka muul juhul kui üksnes andmekaitsega seonduvalt. Selgitus: Eesti on seisukohal, et andmesubjekt ei peaks vastutavale töötlejale avaldama, millisel eesmärgil ta oma isikuandmete kohta saadud teavet kavatseb edasi töödelda, veel enam puudub vastutavalt töötlejal igasugune võimalus seda ka kontrollida. Antud juhul on tegemist andmesubjekti õigusi tugevalt piirava regulatsiooniga, mida tegelikkuses ei ole ka võimalik tagada. Siinkohal on oluline ka EV põhiseaduse § 44 tulenev isiku õigus tutvuda tema kohta riigiasutustes ja kohalikes omavalitsustes ning riigi ja kohalike omavalitsuste hoitavate andmetega. Seda õigust võib põhiseaduse kohaselt piirata vaid väga selgelt määratletud juhtumitel. 31 Muudatus nihutab praktikas tõendamiskoormise andmesubjektile, andes vastutavale töötlejale laia ja subjektiivse otsustusruumi päringutest keeldumiseks, mis võib vähendada andmesubjektide õiguste tegelikku kasutamist. 6.4.7. Eesti on seisukohal, et Euroopa Andmekaitsenõukogul tuleb anda täpsustavad juhised isikuandmete kaitse alastest rikkumistest teavitamise kohta, eelkõige mida peetakse alusetuks viivituseks ja kõrgeks ohuks. Eesti ei toeta rikkumistest teavitamise lävendi tõstmist kõrge ohuga intsidentideni, vaid soovib, et teavitamise lävend on seotud ohtudega, mida ei saa pidada väikeseks. Selgitus: Eesti on seisukohal, et rikkumisest teavitamise korral peab olema ühtne arusaam, mida peetakse silmas alusetu viivituse ja kõrge riski all. Ei tohi tekkida olukorda, kus vastutavad töötlejad jätavad rikkumisest teavitamata, kuna nad ei oska riske piisavalt hästi hinnata. Seetõttu tuleb Euroopa Andmekaitsenõukogul anda nende mõistete sisustamise kohta selged juhised. Ettepaneku tagajärjel kaob järelevalveasutuste võimalus jälgida nn keskmise ohuga rikkumisi. Eesti teeb ettepaneku tõsta teavitamise lävend ohtudele, mida ei saa pidada väikeseks. Teavitamise lävendi tõstmine ohtudele, mida ei saa pidada väikseks, jätaks alles kohustuse teavitada ka nn keskmistest ohtudest, mille realiseerumise korral oleks järelevalveasutustel vajadusel võimalik kasutada oma IKÜM artikli 34 lõikes 4 ettenähtud õigust. Rikkumistest teavitamist käsitleb ka seletuskirja punkt 6.3.1. 6.4.8. Eesti leiab, et ettepanekuga tuleb säilitada Euroopa Andmekaitsenõukogu senised pädevused ja nende arvelt ei ole asjakohane suurendada Euroopa Komisjoni pädevusi. Eesti on seisukohal, et ka edaspidi peab Euroopa Andmekaitsenõukogu andma ühtseid juhiseid IKÜM-i tõlgendamisega seotud küsimustes. Selgitus: Ettepaneku kohaselt väheneb Euroopa Andmekaitsenõukogu (EAKN) pädevus seoses õigusega kehtestada isikuandmete töötlemise toimingute tüüpide loetelu, millele tuleb koostada andmekaitsealane mõjuhinnang ning loetelu, mille puhul see ei ole nõutav. Samuti väheneb pädevus mõjuhinnangute vormi ja metoodika koostamises. Muudatusega jääb lõplik otsustusõigus komisjonile. Eesti leiab, et Euroopa Andmekaitsenõukoja iseseisvus peab selles osas säilima. Samasugune pädevus peab Eesti arvates olema EAKNil olema ka pseudonüümimise kriteeriumite määramise suhtes. Silmas tuleb pidada, et komisjon osaleb andmekaitsenõukoja töös üksnes vaatlejana, muudatuse tulemusel hakkab komisjon juhiseid andma aga rakendusaktiga. Rakendusaktid võimaldavad määruse sisu täpsustada, mitte aga muuta. Ettepanek annab aga komisjonile rakendusaktide kaudu võimaluse muuta IKÜM-i kohaldamisala isikuandmete tõlgendamisele, mis võib omakorda tekitada õiguslikku ebakindlust. Õigusaktide tõlgendamise õigus peaks jääma järelevalveasutustele, Euroopa Kohtule ning EAKN-ile. Eesti ei toeta võimalust, et komisjon võiks läbi rakendusaktide sisuliselt muuta olulisi põhiõigustega seotud definitsioone. EAKN-i antavad juhised ühtlustvad isikuandmete kaitse valdkonna õiguse rakendamise kvaliteeti. Seetõttu toetab Eesti ettepanekut töötada välja ühtsed nõuded, millal on mõjuhinnangu tegemine kohustuslik ning millal ei ole. Läbi ühtsete nõuete on võimalik vähendada siseturul tegutsevate ettevõtjate halduskoormust. Samuti toetab Eesti ettepaneku osa, et EAKN-ile antakse 32 ülesandeks välja töötada andmekaitsealase mõjuhinnangu koostamiseks ühtne vorm ja metoodika. Järelevalveasutuste ja EAKN-i autonoomsuse säilitamiseks peab Eesti siiski vajalikuks jätta nõuete ja vormide koostamise volitused vaid EAKN-ile. Andes nõuete ja vormi koostamise muutmise õiguse ja rakendusaktina vastuvõtmise õiguse komisjonile, on küsimuse all esmalt EAKN-i kui organi sõltumatus ning teisalt ei ole kindel, kas rakendusaktiga vastu võetu väljendab EAKN-i soovitusi ja järelevalveasutuste tegelikke praktikaid. Sama kehtib ka loetelu IKÜM art 33 lg 6 nimetatud kõrge riskiga juhtumite loetelu kohta. Lisaks sellele on EL-tasandi loetelu õigusaktina kehtestamisel ohuks ignoreerida riigispetsiifilisi riske ja vajadusi ning arvestades menetluse pikkusi EL-i tasandil, on loodav nimekiri alati aegunud. 6.4.9. Eesti toetab ettepanekut lihtsustada nõudeid seoses isikuandmete salvestamisega lõppseadmes (nn küpsised), kuna see leevendab nõusoleku väsimust. Eesti peab oluliseks, et küpsiste puhul oleks ajaline kehtivus määratud nii keeldumisele kui ka nõusoleku andmisele. Juhul kui isik on andnud nõusoleku lõppseadmes isikuandmete salvestamisele, peaks Eesti hinnangul ka sellisel juhul teatud ajaperioodi tagant temalt üle küsima, kas ta jätkuvalt on nõus tema poolt eelnevalt andmetöötluseks antud nõusolekuga. Selgitus: Probleemkohana toob Eesti välja, et nn küpsiste regulatsioon jääb ettepaneku kohaselt siiski killustatuks, kuna isikustatud andmete nõusoleku regulatsioon sisaldub IKÜM-is, kuid isikustamata andmete regulatsioon jääb ka edaspidi e-privaatsuse direktiivi. See toob omakorda kaasa praktilise probleemi, kuidas andmetöötleja saab kindlaks teha, kas lõppseade (nt mobiiltelefon või arvuti) kuulub füüsilisele isikule ning kas kogutud teave toob kaasa isikuandmete töötlemise. Juhime ka tähelepanu, et kui seadmel on mitu kasutajat, siis tekib risk, et vähem teadlik kasutaja on andnud nõusoleku, et taustal kasutatakse küpsiseid, millele teadlikum kasutaja poleks nõusolekut andnud. Eesti hinnangul vajab täpsustamist ka artikli 88a lõige 4, mis reguleerib nõusolekut. Tuleks veenduda, et nõusolekuga seotu oleks kooskõlas IKÜM artikli 7 lõikega 4. “Nõusolekutaotlusest keeldumise” (ing. k “to refuse requests for consent”) asemel peab olema kirjas, et nõusoleku andmine ning tagasi võtmine peab olema võimalik ühe klikiga. 6.4.10. Eesti teeb ettepaneku, et liikmesriigi andmekaitse järelevalveasutustel peab olema võimalus jätta kaebused läbi vaatamata, kui need ei ole andmekaitse normide täitmise tagamise seisukohalt prioriteetsed. Selgitus: Eelnõuga tehakse ettepanekuid halduskoormuse vähendamiseks, kuid alates IKÜMi jõustumisest on olnud üha kasvas trendis ka isikuandmete kaitse järelevalveasutuste töökoormus. Eesti leiab, et järelevalveasutuste töökoormuse leevendamiseks on vaja võtta täiendavaid meetmeid. Kuivõrd andmekaitse järelevalveasutused on kohustatud kõik neile esitatud kaebused läbi vaatama, peaks Eesti hinnangul olema neil ka õigus sellised kaebused tagasi lükata, kui nad ei pea kaebust andmekaitse normide täitmise tagamise seisukohalt prioriteetseks. Selline lähenemine vähendaks riigisiseste järelevalveasutuste töökoormust. Järelevalvemenetluses prioriteetide seadmisel peab olema liikmesriikidel võimalus ette näha kriteeriumid, millest järelevalveasutus lähtub. Näiteks võiks kriteeriumidena arvesse võtta järelevalve eesmärke, oma 33 ressursside tulemuslikku kasutamist, menetluse esemeks oleva rikkumise iseloomu, ulatust ja mõju ning avalikku huvi. 6.5. Tehisaru regulatsioon koondpaketis väljatoodud EL tehisintellekti määruse muutmise seisukohad 6.5.1. Eesti toetab tehisintellekti määruse muutmist eesmärgiga anda üldotstarbeliste tehisintellektimudelite ja väga suurtel digiplatvormidel või otsingumootorites rakendatavate tehisintellekti süsteemide järelevalve ülesanne Euroopa tehisintellekti ametile, kuid selline AI ameti järelevalve peab olema piiriüleste ja süsteemsete riski aspektide osas, milles liikmesriigi pädevusest ja võimekusest üksi ei piisa. Tehisintellekti ameti järelevalve pädevus ei tohi dubleerida siseriiklikku järelevalve pädevust ega takistada siseriiklikku järelevalvet, kus riigil on suveräänsus, pädevus ja mõistlik võimalus järelevalvet ise teostada. Lisaks on oluline väga suurte digiplatvormide või otsingumootorite pakkujate järelevalve nõuete ühtlustamine erinevate Euroopa Liidu õigusaktide vahel, tagamaks neile ühtne Euroopa järelevalveraamistik. Selgitus: Euroopa tehisintellektiamet on kogu ELis tehisintellektialaste eksperditeadmiste keskus, mis edendab ühiskonnale ja majandusele kasulike tehisintellektilahenduste väljatöötamist ja kasutuselevõttu. Selle ameti üksused, mandaat ja täpsemad ülesanded on AI määruse artiklites 64-69. Kehtiva regulatsiooni kohaselt ei ole tehisintellekti ametil järelevalve pädevust. See on liikmesriikide pädevatel asutustel. AI amet peaks tegelema järelevalvega teemades, mis on piiriülesed ja kätkevad endas süsteemseid riske. Süsteemsete riskide all on mõeldud eelkõige selliseid riske, mis ulatuslikult võivad kahjustada ühiskondlikke huve või põhiõigusi. Seega need on riskid, millel on oluline ja laiaulatuslik mõju Euroopa siseturus. Tavaliselt selliste riskidega tegelemiseks ei piisa ühest liikmesriigist, vaid vaja mitme riigi poolt tegutsemist. Samas teemades, kus liikmesriigil on pädevus ja võimalus järelevalvet teha siseriiklikult, ei tohiks AI ameti järelevalve seda takistada (näiteks Eesti turul pakutava tehisintellekti mudeli järelevalve suure riskiga tehisintellekti suhtes). Samuti ei tohi juhtuda, et sama juhtumi osas tehakse topelt järelevalvet - nii liikmesriigi kui ka AI ameti poolt. Arvestades eelnimetatud tehisintellektisüsteemide laialdast kasutust ja mõju, saame toetada muudatusi, mis tsentraliseerivad selliste süsteemide järelevalve. EL digiteenuste määrus (DSA) kehtestas väga suurte digiplatvormide (VLOP) või otsingumootorite (VLOSE) pakkujatele võrreldes teiste teenuseosutajatega rangemad kohustused, nõudes neilt muuhulgas oma teenustega kaasnevate süsteemsete riskide hindamist ja maandamist. DSA alusel on nende ettevõtete järelevalvajaks Euroopa Komisjon. Arvestades, et paljud VLOPid ja VLOSEd rakendavad oma teenustes tehisintellektil põhinevaid süsteeme, mille puhul kehtivad riskide maandamise kohustused nii DSA kui ka tehisintellekti määruse alusel, leiame, et on asjakohane ühtlustada nende ettevõtete järelevalvet DSA ja AI määruse vahel. Oleme arvamusel, et selline muudatus tagab tõhusama järelevalve ning vähendab nii liikmesriikide kui puudutatud ettevõtete halduskoormust. 6.5.2. Eesti toetab tehisintellekti määruses väikese ja keskmise suurusega ettevõtetele ettenähtud lihtsustusmeetmete laiendamist väikese ja keskmise turukapitalisatsiooniga ettevõtetele, et vähendada nende halduskoormust ja toetada konkurentsivõimet. Selgitus: Tehisaru regulatsiooni koondpaketiga tehakse ettepanek laiendada tehisintellekti määruses hetkel VKEdele ettenähtud lihtsustusmeetmeid, mis puudutab nt tehnilisele 34 dokumentatsioonile ja kvaliteedihaldussüsteemi loomisele kehtivaid nõudeid, ka väikese, keskmise turukapitalisatsiooniga ettevõtetele ehk VKTKEdele. Seejuures viitab eelnõu komisjoni soovitusele (EL) 2025/1099, mille kohaselt loetakse VKTKEdeks ettevõtted, millel on kuni 750 töötajat ja mille aastakäive ei ületa 150 miljonit eurot või aastane bilansimaht ei ületa 129 miljonit eurot. Eestis on küll ligi 99,9% ettevõtjatest VKEd, kuid eelnõuga lihtsustuksid ka teatud tegevused nii-öelda kasvufaasis olevatele ettevõtetele (Eestis on suurettevõtteid, millel on üle 250 töötaja 2024. a andmetel 187, neist osa moodustavad VKTKEd, mis on kasvavad ja kasvupotentsiaaliga ettevõtted). Kuigi muudatused mõjutaksid vaid väikest arvu ettevõtteid Eestis, saame leevendusmeetmete laiendamist siiski toetada, kuna VKTKEde halduskoormuse kergendamine toetab nende konkurentsivõimet ning vähendab takistusi VKEde kasvamisel VKTKEdeks. 6.5.3. Eesti toetab tehisintellekti määrusega kõrge riskiga AI süsteemide pakkujatele kehtestatud nõuete edasilükkamist, et anda Euroopa Komisjonile täiendavat aega standardite ja juhiste väljatöötamiseks. Lisaks peab avalikule ja erasektorile jääma piisav aeg, et oma tegevused loodud standardite ja juhistega kooskõlla viia. Nõuete kohaldumise tähtaja prognoositavuse eesmärgil tuleb paindlike tähtaegade asemel kehtestada kindlad rakendustähtajad. Selgitus: AI määrusest tulenevate harmoniseeritud standardite, tehniliste kirjelduste ja juhiste olemasolu on tehisintellekti süsteeme pakkuvatele ja kasutavatele ettevõtetele väga oluline, kuna see lihtsustab nõuete täitmist ja võimaldab seda teha kulutõhusal viisil, samuti aitavad standardid tagada süsteemide kvaliteedi ja usalduse nende vastu. Kuna antud määrusega seotud standardite jm tehniliste materjalide väljatöötamine on võtnud planeeritust kauem aega, toetame kõrge riskiga tehisintellekti süsteemide pakkujatele seatud kohustuste kohaldumisaja edasilükkamist. AI omnibussi ettepanek näeb ette, et kohustused rakenduksid 6-12 kuu jooksul pärast Komisjoni otsust, mis kinnitab nõuete täitmist toetavate meetmete valmimist, kuid mitte hiljem kui 02.12.2027 või 02.08.2028, vastavalt süsteemi määrusest tulenevale kuuluvusele. Leiame, et prognoositavuse ja õigusselguse eesmärgil tuleks paindlike tähtaegade asemel kehtestada kindlad tähtajad, mis on piisavad, kohustuste rakendumisele. Hetkel ei ole täielikku selgust Komisjoni kinnitusprotsessi toimimise osas ning rakendustähtaegade prognoosimatus raskendab nõueteks valmistumist nii ettevõtetele kui ka pädevatele asutustele. Kindlate kuupäevaliste tähtaegade olemasolu lahendaks need probleemid. 6.5.4. Eesti on teatud tingimustel valmis toetama ettepanekut, mis võimaldaks isikuandmeid töödelda tehisaru kallutatuse avastamiseks ja kõrvaldamiseks. Sellisel töötlusel peavad olema rakendatud piisavad privaatsuskaitse meetmed, vajadus eriliigiliste andmete töötluseks peab olema põhjendatud ega tohi olla vaikimisi lubatud eelduseks. Taolist uut sätet AI määruses ei tohi lugeda eraldiseisvaks andmetöötluse õiguslikuks aluseks. Selgitus: Tehisaru kallutatuse avastamise on olukordade tuvastamine, kus tehisaru süsteem kohtleb eri inimesi või gruppe ebaõiglaselt või teeb süstemaatiliselt viltuseid otsuseid mingi tunnuse alusel. Tehisaru regulatsiooni koondpaketi ettepanekuga lisatakse AI määrusesse uus artikkel 4a, mis sätestab kõigile AI süsteemide ja -mudelite pakkujatele ja juurutajatele võimaluse töödelda eriliigilisi isikuandmeid selleks, et avastada ja kõrvaldata tehisaru kallutatust. Selle võimaluse kasutamise tingimuseks on asjakohaste kaitsemeetmete kasutamine. Siinkohal tuleb arvestada IKÜMi kehtiva artikliga 9 lõikega 2, mille kohaselt ei tohiks eriliiki isikuandmete töötlemist käsitleda kui vaikimisi lubatud tegevust. Vastupidiselt peab selline eriliigiliste 35 andmete töötlus olema rangelt piiratud, läbipaistvalt põhjendatud ja tehniliselt kontrollitud. Seda põhjusel, et vältida nii õiguslikke rikkumisi kui ka ühiskondlikku kahju. Üldise digikoondpaketi ettepaneku kohaselt soovitakse IKÜMi lisada artikkel 88c (vt ka seisukoha punkti 6.4.1.), kehtestades sellega eelduse, et tehisintellekti arendamine on artikli 6 lõike 1 punkti f kohaselt õigustatud huvi alusel teostatav. Teisalt, mis puudutab isikuandmete eriliikide töötlemist kallutatuse tuvastamiseks ja leevendamiseks, siis tehisintellekti koondpaketi ettepanekus tehisintellekti määruse artikkel 4a soovitakse kehtestada IKÜM artikkel 9 lõike 2 punkti g alusel. Viimane neist ütleb, et eriliiki isikuandmete töötlemine on lubatud, kui see on vajalik olulise avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. Nii ei ole kallutatuse tuvastamine ja selle leevendamine enam tehisintellektimudeli või -süsteemi pakkuja või juurutaja huvi, vaid avalikkuse huvi. See viitab mõningasele ebakõlale, sest tegelikult on ka ilmselt tehisintellektimudeli või -süsteemi pakkujal või juurutajal äriline huvi, et loodud tehisintellekt oleks usaldusväärne, mis omakorda võimaldaks saada enam kasutajaid. Seejuures võib kallutatuse tuvastamine ja selle leevendamine toimuda juba arendamise etapis, mille puhul tõstatub küsimus, kas sellisel juhul töödeldakse eriliiki isikuandmeid korraga mitmele erinevale õiguslikule alusele tuginedes. Kavandatava artikkel 4a lõige 1 punkt e näeb ette tingimuse, et isikuandmete eriliigid kustutatakse pärast erapoolikuse parandamist või isikuandmete säilitamisperioodi lõppu, olenevalt sellest, kumb saabub varem. 6.5.5. Eesti peab oluliseks tehisaru regulatiivsetes testkeskkondades ja reaalsetes tingimustes testimise võimalusi, kuid Euroopa Liidu tasandil ei tohi regulatsioone kinni kirjutada, takistada innovatsiooni ega ohtu seada põhiõiguste kaitset. Eesti toetab AI ameti juurde regulatiivse testkeskkonna loomist, kui see loob lisandväärtust siseriiklike testkeskkondade ees, näiteks toetab piiriüleste süsteemide testimist ja ei dubleeri riigisiseseid testkeskkondasid. Selgitus: Kehtiv AI määrus näeb ette võimaluse enne AI toote turule laskmist toodet testida nn regulatiivses testkeskkonnas. Tehisintellekti testkeskkond on pädeva asutuse loodud kontrollitud raamistik, mis pakub AI süsteemide (võimalikele) pakkujatele võimalust arendada, treenida, valideerida ja testida innovatiivset tehisintellektisüsteemi asjakohastel juhtudel tegelikes tingimustes ning testkeskkonna kava kohaselt piiratud aja jooksul regulatiivse järelevalve all (vt AI määruse art 3 punkti 55). Sellised AI testimised on olulised selle eesmärgipäraseks ning AI määrusest tulenevaid nõudeid täitval viisil. Kuna AI süsteeme on mitmeid ja erinevatel otstarvetel, ei ole mõistlik testimise regulatsioone Euroopa Liidu tasandil kinni kirjutada. Liikmesriikidel peab jääma autonoomsus otsustamaks testkeskkondades spetsiifilisi tingimusi, mis on vajalikud nendele prioriteetsetes valdkondades. Iga liikmesriik peaks saama oma prioriteetseid valdkondi ise määrata. Positiivseks saab pidada EL tasandi regulatiivse testkeskkonna loomist, kuid see ei tohi dubleerida siseriiklikke testkeskkondi, seda enam, et juba täna on võimalik luua piiriüleseid testkeskkondi. Peab olema üheselt selge, millist lisandväärtust EL-i tasandi testkeskkond pakub siseriiklike ees. EL-i tasandil testkeskkonna loomine võiks aidata toetada innovatsiooni, eelkõige VKE-de ja start-upide kontekstis ning vältida „forum shoppingut“ ning killustunud lähenemist liikmesriikide lõikes. Ettepanekus on mainitud, et tehisintellektiamet peaks EL-i AI regulatiivseid testkeskkondi rakendama koostöös pädevate riiklike asutustega, seejuures aga ei selgitata vastava koostöö tegemise kriteeriumeid ega erinevate asutuste rollide ja pädevuste jaotust. Eesti jaoks on oluline, 36 et EL-i AI ameti juurde loodavad tehisintellekti regulatiivsed testkeskkonnad ei dubleeriks siseriiklikke testkeskkondi ning pakuksid lisandväärtust näiteks piiriüleste süsteemide testimiste võimaldamise näol. Liiduülese testkeskkonna loomisel on vajalik kindla järelevalveraamistiku kehtestamine seoses isikuandmete töötlemisega (näiteks juhul kui leiab aset isikuandmete töötlemisega seotud rikkumine). 6.5.6. Eesti toetab ettepanekut muuta tehisintellekti määruses põhiõigusi kaitsvate asutuste volitusi viisil, mis suunab põhiõigusi kaitsvaid asutusi ja turujärelevalveasutusi koostööle ning väldib järelevalvatavatel korduvat dokumentide esitamist, kuid ei piira põhiõigusi kaitsvate asutuste pädevust teha järelevalvetoiminguid. Selgitus: Põhiõigusi kaitsvatel asutustel on kehtiva AI määruse artikli 77 alusel volitus dokumentatsiooni küsimiseks otse tehisintellektisüsteemide juurutajatelt ja pakkujatelt. Siinjuures on oluline märkida, et kehtiva määruse tekst lubab seda vaid kõrge riskiga tehisaru vaatest, kuid uus AI koondpaketi ettepanek sellist piirangut enam ei sea. Viimases lauses väljatoodud osas Eestil murekohtasid pole. AI määruse artikli 77 kohaldumine tuleb teha üheselt mõistetavaks. Ettepaneku järgi peaksid saavad põhiõigusi kaitsvad asutused vastavat dokumentatsiooni hakkama taotlema turujärelevalveasutuste kaudu. Täna kehtivas määruses on kohustus turujärelevalveasutust teavitada, kuid mitte tema kaudu taotlusi teha. AI koondpaketi põhjenduspunkt 19 täiendab, et koostöö tugevdamiseks tuleks selgitada, et teabele ja dokumentidele juurdepääsu taotlused tuleks esitada pädevale turujärelevalveasutusele. AI koondpaketi muudatus suurendab tõenäoliselt asutuste töökoormust ning võib tekitada turujärelevalveasutuste juurde nn „pudelikaela“ kui neile lisandub kohustus lisaks olemasolevatele kohustustele igakordselt asuda põhiõigusi kaitsvatele asutustele dokumentatsiooni vahendava asutuse rolli. Järelevalve pädevused on turujärelevalve ja põhiõigusi kaitsvate asutuste vahel erinevad, mistõttu ei pruugi põhiõigusi kaitsvate asutuste ja turujärelevalve asutuste ülesannet täitmiseks vajaminev dokumentatsioon olla sama. See tähendaks, et turujärelevalveasutus peaks küsima kõiki dokumente, ka talle mitte vaja minevaid dokumente, juurutajatelt ja pakkujatelt. Selline olukord ei ole õiguslikult pädev, kuivõrd turujärelevalve asutus saab oma tegevuse piires vaid dokumente menetleda. Samuti ei aita artikli 77 muutmine täita ettepaneku lihtsustavat eesmärki. Selle asemel muutub protsess keerulisemaks, kuivõrd sama eesmärgi täitmiseks on vajalik läbida täiendavaid samme. Ühtlasi kitsendatakse selliselt põhiõigus kaitsvate asutuste, sh Andmekaitse Inspektsiooni, pädevusi. Loogiline lahendus oleks selline, kus andmed või dokumendid küsitakse turujärelevalve asutuselt olukorras, kus neil need olemas. Kui see pole nii, siis peaks jääma põhiõiguste kaitsvate asutustele võimalus otse järelevalvatavalt infot saada. 6.5.7. Eesti peab oluliseks digi- ja tehisaru oskuste arendamist, mis toetab nii innovatsiooni, konkurentsivõimet kui ka kaasavat osalemist tehisarupõhises digipöördes. Selliste oskuste arendamine peab toimuma erinevate osapoolte, sealhulgas tehisaru juurutajate ja pakkujate ning avaliku sektori koostöös. Selgitus: Peame digi- ja tehisaru oskuste arendamist oluliseks poliitikaprioriteediks, mis toetab nii innovatsiooni, konkurentsivõimet kui ka kaasavat osalemist AI-põhises digipöördes. Kehtivas AI määruses on tehisaru süsteemide pakkujatel ja juurutajatel kohustus võtta võimalikult suurel määral kasutusele meetmeid, et tagada oma töötajate ja kõigi teiste nende nimel tehisintellektisüsteemide käitamise ja kasutamisega tegelevate isikute piisav tehisintellektipädevus (AI kirjaoskus), võttes arvesse nende tehnilisi teadmisi, kogemusi, haridust ja koolitust ning konteksti, milles tehisintellektisüsteeme tuleb kasutada, ning arvestades isikuid või isikute rühmi, kelle puhul tehisintellektisüsteeme kasutatakse. Uue algatuse kohaselt 37 pakkujatel ja juurutajatel enam sellist kohustust pole, aga liikmesriikidel ja Komisjonile on pandud kohustus julgustada AI pakkujaid ja juurutajad selliseid samme võtma. Sättega ei täpsustada, mil moel julgustamine peaks toimuma, kuid tekstist saab välja lugeda, et tegemist on aktiivse tegevusega pakkujate ja juurutajate suunal. Eesti hinnangul vähendab see oluliselt võimalust inimeste tehisintellektipädevust suurendada, mis on AI ajastul väga oluline. Samuti suurendab selline sõnastus potentsiaalselt avaliku sektori kulusid, sest kuigi sätte sõnastus viitab julgustamisele, tuleb avalikul sektoril AI pakkujaid ja juurutajaid julgustada spetsiifiliste meetmetega, mis võivad hõlmata ka rahalist kulu. Tervitame ELi ja liikmesriikide tasandil paremini koordineeritud, avalikule poliitikale tuginevat lähenemist AI-kirjaoskusele, kuid leiame, et vastutust ei tohiks nihutada üksnes riigile – oma roll on ka AI-lahenduste pakkujatel ja juurutajatel. AI-kirjaoskus on pikaajaline ja horisontaalne pädevus, mis peab olema lõimitud haridusse, avalikku haldusesse ja elukestvasse õppesse kuid ka olema loomulik osa AI pakkumise ja juurutamise protsessides. AI-kirjaoskus tähendab eri sihtrühmade jaoks erinevat taset teadmisi ja oskusi – alates üldisest teadlikkusest kodanikele kuni süvateadmisteni ametnikele ja spetsialistidele. Seetõttu peaks igal juhul tulevane lähenemine jätma liikmesriikidele piisava paindlikkuse kohandada meetmeid oma riikliku konteksti järgi. 7. Arvamuse saamine ning seisukohtade kooskõlastamine Justiits- ja Digiministeerium on seisukohtade ettevalmistamisel küsinud sisendit Majandus- ja Kommunikatsiooniministeeriumilt, Haridus- ja Teadusministeeriumilt, Kaitseministeeriumilt, Kliimaministeeriumilt, Välisministeeriumilt, Kultuuriministeeriumilt, Rahandusministeeriumilt, Siseministeeriumilt, Sotsiaalministeeriumilt, Regionaal- ja Põllumajandusministeeriumilt, Riigi Infosüsteemi Ametilt, Riigi Info- ja Kommunikatsioonitehnoloogia Keskuselt, Registrite ja Infosüsteemide Keskuselt, Riigiside Sihtasutuselt, Rahandusministeeriumi Infotehnoloogiakeskuselt, Tervise ja Heaolu Infosüsteemide Keskuselt, Siseministeeriumi infotehnoloogia- ja arenduskeskuselt, Keskkonnaministeeriumi Infotehnoloogiakeskuselt, Põllumajanduse Registrite ja Informatsiooni Ametilt, Regionaal- ja Põllumajandusministeeriumi Infotehnoloogia Keskuselt, Andmekaitse Inspektsioonilt, Tarbijakaitse ja Tehnilise Järelevalve Ametilt, Eesti Pangalt, Finantsinspektsioonilt, Statistikaametilt, Rahvusarhiivilt, Eesti Keele Instituudilt, Põllumajandus- ja Toiduametilt, Transpordiametilt, Ravimiametilt, Terviseametilt, Eesti Linnade ja Valdade Liidult, Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioonilt, Politsei- ja Piirivalveametilt, Tööandjate Keskliidult, Taltech AIRE-lt, Konkurentsiametilt, Patendiametilt, Teenusmajanduse Kojalt, Eesti Advokatuuri IP/IKT komisjonilt, Eesti Kaubandus-Tööstuskojalt, Eesti Põllumajandus-Kaubanduskojalt, Toiduainetööstuse Liidult, Eesti Kaupmeeste Liidult, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidult Andmekaitse Liidult, Eesti Meediaettevõtete Liidult, Eesti Autorite Ühingult, Eesti Esitajate Liidult, Eesti Fonogrammitootjate Ühingult, MTÜ Filmi Esmasalvestuse Tootjate Ühingult, Eesti Audiovisuaalautorite Liidult, Balti Uudismeedia Väljaandjate Ühingult, Eesti Näitlejate Liidult, Eesti Kirjastuste Liidult, Eesti Ajakirjanike Liidult, Eesti Rahvusraamatukogult, Patendivolinike Kojalt, MTÜ-lt Maakondlikud Arenduskeskused, Eesti Akrediteerimise Keskuselt, Tallinna Tehnikaülikooli infotehnoloogia teaduskonnalt, Tartu Ülikoolilt, Eesti Pangaliidult, Haiglate Liidult, Perearstide Seltsilt, Eesti Vee-ettevõtete Liidult, Kiirabi Liidult, Apteekrite Liidult, Eesti Elektritööstuse Liidult, Eesti Jõujaamade ja Kaugkütte Ühingult, Eesti Gaasiliidult, Eesti Transpordikütuste Ühingult, Eesti Juristide Liidult, Riigiprokuratuurilt, Notarite Kojalt, 38 Kohtutäiturite ja Pankrotihaldurite Kojalt, Riigikohtult, Tallinna Ringkonnakohtult, Harju Maakohtu Tallinna kohtumajalt, Pärnu Maakohtu Haapsalu kohtumajalt, Tartu Maakohtu Tartu kohtumajalt, Tartu Ringkonnakohtult, Tallinna Ringkonnakohtult, Open Knowledge Estonia-lt, Eesti Isikuloo Keskuselt, Eesti Mälu Instituudilt, Inimõiguste Instituudilt, E-riigi akadeemialt, Eesti Koostöö Kogult, Tartu Ülikooli arvutiteaduste instituudilt, Tartu Ülikooli õigusteaduskonnalt, Riigikantseleilt, Riigikogu kantseleilt, Presidendi kantseleilt ja Õiguskantsleri kantseleilt. Kaasamiskiri leitav Justiits- ja Digiministeeriumi dokumendiregistrist8. Arvamuste kogumisest avaldati ka pressiteade.9 Infot kaasamisest ja algatustest jagati riikliku küberturvalisuse poliitika nõukojale (02.12.2025), sündmusteenuste listi (02.12.2025), teenuste koordinaatorite listi (02.12.2025), avaliku teenuste nõukojale (02.12.2025) ning andmete võrgustikku (02.12.2025). Euroopa digivaldkonna lihtsustamise koondpakettide temaatikat arutati ka andmekaitse nõukojas 02.12.2025 ja 5.01.2026. 09.12.2025 toimus avalik kaasamisseminar, kus tehti ülevaade senistest Eesti seisukohtadest digi-, küber- ja andmevaldkonna regulatsioonide kohta, tutvustati Euroopa digivaldkonna lihtsustamise koondpakettide sisusid ning arutleti Komisjoni ettepanekute üle. Arvamuse saatsid Majandus- ja Kommunikatsiooniministeerium, Siseministeerium, Sotsiaalministeerium, Regionaal- ja Põllumajandusministeerium, Kultuuriministeerium, Riigikogu, Riigikantselei, Transpordiamet, Eesti Andmekaitse Liit, Finantsinspektsioon, Maa- ja Ruumiamet, Patendiamet, Statistikaamet, Eesti Vee-ettevõtete Liit, Eesti Keele Instituut, Eesti Linnade ja Valdade Liit, Riigi Infosüsteemi Amet, Eesti Interneti AS, Andmekaitse Inspektsioon, Põllumajandus ja Toiduamet, Eesti Rahvusraamatukogu, Tarbijakaitse ja Tehnilise Järelevalve Amet, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Politsei- ja Piirivalveamet, Eesti Kaubandus- Tööstuskoda, Tartu Ülikool, Cybernetica AS, Meta, Google, Veriff OÜ. Saabunud sisendid on esitatud kaasamistabelis (lisa 1) ning saabunud ettepanekutega on võimaluse korral arvestatud. Ministeeriumid on seisukohad kooskõlastanud EL koordinatsioonikogus. 8 Digiomnibusside kaasamiskiri Justiits-ja Digiministeeriumi dokumendiregistris. Kättesaadav: https://adr.rik.ee/jm/dokument/18178270 9 Pressiteade: Justiits- ja digiministeerium kutsub andma tagasisidet EL Digiomnibussile. Kättesaadav: https://www.justdigi.ee/uudised/justiits-ja-digiministeerium-kutsub-andma-tagasisidet-el-digiomnibussile 39  Seletuskirja lisa 1. Kaasamistabel Kaasamistabel Vabariigi Valitsuse otsuse juurde „Eesti seisukohad Euroopa Komisjoni digivaldkonna lihtsustamise koondpaketi kohta” Nr Partner Märkus, ettepanek või kommentaar Arvestamine 1. Majandus- ja Seisukoht: Peame oluliseks vähendada EL digiõiguse Arvestatud. Kommunikatsiooniministeer lihtsustamispaketiga halduskoormust nii ettevõtjatele kui ium avalikule sektorile. Selgitus: EL õigusaktidest tuleneva koormuse vähendamine on olnud Eesti kauaaegne prioriteet. EL digiomnibussi eelnõuga soovitakse muuhulgas koondada andmeid puudutavad ELi õigusaktid ühtseks raamistikuks andmemääruses ning koondada ka küberintsidentidest teavitamise protsessi. 2. Seisukoht: Peame oluliseks lisada küberturvalisuse 2. direktiivi Ei arvesta. ehk NIS2 kohaldamisalasse kosmose valdkond ning sealjuures peab see hõlmama kõiki kosmosetaristu komponente. Kuigi see on oluline ning selle Selgitus: Euroopa Komisjon esitas 25. juunil 2025. aastal Euroopa sisuga on JDM nõus, siis see väljub kosmosemääruse (EUSA). EUSA aruteludes nõukogu digiomnibussi skoobist. Saab kosmosetöörühmas on keskendutud küberturvalisuse ja hinnata, kas samasisulise seisukoha kerksusnõuetele, mis peavad arvestama valdkonna eripärasid, saaks teha küberturvalisuse määruse olema proportsionaalsed ning vältima dubleerimist ja liigset (CSA) üle vaatamise käigus, mil halduskoormust. Eesti peab vajalikuks küberturvalisuse võidakse NIS2 direktiivi täiendada. valdkonnas horisontaalset lähenemist, seega tuleks eelistada Vastav ettepanek avaldati mistahes erivajaduse esinemisel küberturvalisuse 2 direktiivi 20.01.2026: https://digital- kohaldamist, sealhulgas erisätetega täiendamist. Sellega välditakse strategy.ec.europa.eu/en/library/prop nõuete dubleerimist ja täiendava halduskoormuse teket ehk osal-directive-regards- vajadust tõestada oma tegevuse kooskõla erinevate õigusaktidega. simplification-measures-and- Kuna ettevõtjate tegevus ei piirdu sageli ühe tegevussektoriga ja alignment-cybersecurity-act. pakutavad teenused on kasutatavad erinevates sektorites, võivad sektorite dubleerivad nõuded luua juurde bürokraatiat. Näiteks küberturvalisuse 2. direktiivi lisa 1 punkt 11 kohaselt on kriitilise tähtsusega sektor „kosmos“ ja hõlmatud üksused on liikmesriikide või eraõiguslike isikute omandis olevad, hallatavad või käitatavad 1  Seletuskirja lisa 1. Kaasamistabel maapealsete taristute operaatorid, kes toetavad kosmosepõhiste teenuste osutamist. Kuigi komisjon on eelnõu koostamisel põhjendanud, et küberturvalisuse 2. direktiiv (direktiiv (EL) 2022/2555) ehk NIS2 ja elutähtsa teenuse osutajate toimepidevuse direktiiv (EL) 2022/2557 ehk CER direktiiv ei pruugi olla piisavad, kuna nende kohaldamisala ei hõlma kõiki kosmosetaristu komponente, eriti väiksemaid operaatoreid, siis Eesti ei nõustu sellega. Nimelt nii NIS2 kui ka CER direktiivi nõuded võivad laieneda väiksematele operaatoritele. Näiteks võib Eesti eripära arvestades elutähtsa teenuse osutajaks mikro- või väikeettevõtja. Komisjon on muuhulgas välja toonud, et kosmose valdkonnas tuleb luua riskijuhtimise raamistik, mis hõlmab küberturvalisust ja füüsilist turvalisust nii satelliitide kui ka maapealse taristu puhul. Seatakse kohustuslikud turvameetmed, intsidentide käsitlemise reeglid ja aruandlusmehhanismid. Kuid leiame, et seda on võimalik teha olemasolevat õigusraamistikku ära kasutades ja vajadusel täiendades. Kosmosega seotud küberturvalisuse osas tuleb ära kasutada olemasolevat ekspertiisi, sh EL asutuste kompetentsi. Euroopa Liidu Küberturvalisuse Amet (ENISA) peab jääma küberturvalisuse teemadel, sh kosmose küberturvalisus, valdkonna koordineerijaks ning liikmesriikide kontaktpunktiks. Näiteks peame vajalikuks et Riigi Infosüsteemi Ametile ei tekiks uut küberteemalist kontaktasutust. Mis tahes uus kontaktasutus võib tekitada info dubleerimist ja võib luua vajaduse täiendavaks töökohaks. Kübervaldkonnas on kasvamas uus turg Eesti küberturvalisuse ettevõtetele, luues võimalusi innovatsiooniks ja teenuste arendamiseks. Näiteks Euroopa komsosemääruse artiklis 88 ette nähtud kohustuslik ohuteabel põhinev läbistustestimine (Threat Led Penetration Testing, TLPT) võib pakkuda võimalusi kosmose 2  Seletuskirja lisa 1. Kaasamistabel küberturbeharjutusväljaku (Space Cyber Range) sarnastele algatustele. Eesti soovib saada peamiseks küberturbeteenuste tarnijaks EL kosmoseprogrammile ning koostöös Eesti ettevõtlusega ja ESA-ga töötame selles suunas. EUSA rakendamine võib luua selgemad tingimused ja võimalused Eesti tööstusele. 3. Seisukoht: Arvestatud osaliselt. Toetame andmete pseudonüümimise ja anonüümimise toimimise täpsustamist Euroopa Komisjoni poolt selgete Toetame liikmesriikide üleste juhiste kriteeriumide määratlemise teel koostamist, kuid ei toeta seda, et Selgitus: Tehnoloogia arenedes on ettevõtetele üha suuremaks Euroopa Komisjon teeb seda väljakutseks kujunenud isikuandmete ja muude andmete vahel rakendusmäärustega. erisuse tegemine, kuna seni on puudunud selged tehnilised kriteeriumid. Seepärast toetame ettepanekut täiendada isikuandmete üldkaitse määrust (EL) 2016/679 uue artikliga 41a, mis annaks Euroopa Komisjonile volituse võtta vastu rakendusmääruseid täpsustamaks andmete pseudonüümimisega seotud meetmeid ja kriteeriume. Selline harmoniseerimine tagab suurema kindluse nii ettevõtetele kui ka pädevatele asutustele ning aitab maandada ebaõige klassifitseerimisega seotud riske. 4. Seisukoht: Toetame Euroopa Parlamendi ja nõukogu määruse Arvestatud. (EL) 2019/1150, mis käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks, kehtetuks muutmist. Õigusselguse tagamise eesmärgil saame toetada määruse valitud sätete kehtimist kuni neile viitavate EL õigusaktide muutmiseni, seda tähtajaga hiljemalt 31. detsember 2032. Selgitus: Määrus (EL) 2019/1150 (lühidalt P2B määrus) jõustus 2020. aastal. Euroopa komisjoni hilisem mõjuhindamine ja Eesti kogemus on näidanud määruse nõuete piiratud mõju, mida kinnitab muuhulgas veebipõhiste vahendusteenuste ärikasutajate madal 3  Seletuskirja lisa 1. Kaasamistabel kaebuste arv. Hilisem EL digiteenuste määrus (DSA) sisaldab nõudeid, mis kattuvad olulisel määral P2B põhisätetega. Mõlemad määrused seavad infoühiskonna vahendusteenuse osutajatele kohustused seoses teenusetingimuste läbipaistvuse; teenuse piiramise, peatamise ja lõpetamise tingimuste; sisu järjestuse läbipaistvuse ning ettevõtte sisese kaebuste menetlemise süsteemi loomise ja haldamisega. P2B määrus seab küll kohati täpsemad nõuded kohustuste kohaldumisele suhetes ärikasutajatega, kuid leiame, et nende nõuete lisandväärtus on kokkuvõttes pigem madal. Lisaks on P2B määruse kehtimise järgselt jõustunud Euroopa Parlamendi ja nõukogu määrus (EL) 2022/1925, mis käsitleb konkurentsile avatud ja õiglaseid turge digisektoris (lühidalt DMA), mille eesmärgiks on tagada digiturgude nn. pääsuvalitsejate teenuste ärikasutajatele võrdsemad konkurentsitingimused. Eelmainitud asjaolusid arvestades leiame, et DSA ja DMA tagavad piisava läbipaistvuse ja tasakaalustatuse veebipõhiste vahendusteenuste osutajate ja ärikasutajate vahelistes suhetes, mistõttu toetame ettepanekut muuta määrus (EL) 2019/1150 kehtetuks. Eraldi P2B määruse kaotamine vähendab ka võimalusi järelevalvealasteks konfliktideks tulenevalt P2B ja DSA määruste kohati erinevatest järelevalvemudelitest ning toetab eesmärki muuta EL õigusraamistik ühtlasemaks ja selgemaks. Õigusselguse eesmärgil saame toetada määruse valitud sätete pikemat kehtimist kuni nendele viitavate EL õigusaktide muutmiseni, seda lõpptähtajaga 31. detsember 2032. 5. Seisukoht: Toetame tehisintellekti määruse (EL) 2024/1689 Arvestatud. muutmist eesmärgiga anda üldotstarbeliste tehisintellektimudelite ja väga suurtel digiplatvormidel või otsingumootorites rakendatavate tehisintellektisüsteemide järelevalve ülesanne Euroopa tehisintellektiametile. 4  Seletuskirja lisa 1. Kaasamistabel Selgitus: Arvestades eelnimetatud tehisintellektisüsteemide laialdast kasutust ja mõju, saame toetada muudatusi, mis tsentraliseerivad selliste süsteemide järelevalve. Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2065, mis käsitleb digiteenuste ühtset turgu (EL digiteenuste määrus, edaspidi DSA), kehtestas väga suurte digiplatvormide (VLOP) või otsingumootorite (VLOSE) pakkujatele võrreldes teiste teenuseosutajatega rangemad kohustused, nõudes neilt muuhulgas oma teenustega kaasnevate süsteemsete riskide hindamist ja maandamist. DSA alusel on nende ettevõtete järelevalvajaks Euroopa Komisjon. Arvestades, et paljud VLOPid ja VLOSEd rakendavad oma teenustes tehisintellektil põhinevaid süsteeme, mille puhul kehtivad riskimaandamiskohustused nii DSA kui ka tehisintellekti määruse alusel, leiame, et on asjakohane ühtlustada nende ettevõtete järelevalvet. Oleme arvamusel, et selline muudatus tagab tõhusama järelevalve ning vähendab nii liikmesriikide kui puudutatud ettevõtete halduskoormust. 6. Seisukoht: Toetame tehisintellekti määruses (EL) 2024/1689 Arvestatud. teatud väikese ja keskmise suurusega ettevõtetele (VKEdele) ettenähtud lihtsustusmeetmete laiendamist väikese ja keskmise turukapitulatsiooniga ettevõtetele (VKTKE – inglise keeles small-mid caps), et vähendada halduskoormust ja toetada nende konkurentsivõimet. Selgitus: Eelnõuga tehakse ettepanek laiendada tehisintellekti määruses hetkel VKEdele ettenähtud lihtsustusmeetmeid, mis puudutab nt tehnilisele dokumentatsioonile ja kvaliteedihaldussüsteemi loomisele kehtivaid nõudeid, ka VKTKEdele. Seejuures viitab eelnõu komisjoni soovitusele (EL) 2025/1099, mille kohaselt loetakse VKTKEdeks ettevõtted, millel 5  Seletuskirja lisa 1. Kaasamistabel on kuni 750 töötajat ja mille aastakäive ei ületa 150 miljonit eurot või aastane bilansimaht ei ületa 129 miljonit eurot. Eestis on küll ligi 99,9% ettevõtjatest VKEd, kuid eelnõuga lihtsustuksid ka teatud tegevused nii-öelda kasvufaasis olevatele ettevõtetele (Eestis on suurettevõtteid, millel on üle 250 töötaja 2024. a andmetel 187, neist osa moodustavad VKTKEd, mis on kasvavad ja kasvupotentsiaaliga ettevõtted). Kuigi muudatused mõjutaksid vaid väikest arvu ettevõtteid Eestis, saame leevendusmeetmete laiendamist siiski toetada, kuna VKTKEde halduskoormuse kergendamine toetab nende konkurentsivõimet ning vähendab takistusi VKEde kasvamisel VKTKEdeks. 7. Seisukoht: Toetame tehisintellekti määrusega (EL) 2024/1689 Arvestatud. kõrge riskiga tehisintellektisüsteemide pakkujatele kehtestatud nõuete edasilükkamist, et anda täiendavat aega standardite ja juhiste väljatöötamiseks. Seejuures leiame, et prognoositavuse eesmärgil tuleks paindlike tähtaegade asemel kehtestada kindlad rakendustähtajad. Selgitus: Harmoneeritud standardite, tehniliste kirjelduste ja juhiste olemasolu on tehisintellektisüsteeme pakkuvatele ja kasutavatele ettevõtetele väga oluline, kuna see lihtsustab nõuete täitmist ja võimaldab seda teha kulutõhusal viisil, samuti aitavad standardid tagada süsteemide kvaliteedi ja usalduse nende vastu. Kuna antud määrusega seotud standardite jm tehniliste materjalide väljatöötamine on võtnud planeeritust kauem aega, toetame kõrge riskiga tehisintellektisüsteemide pakkujatele seatud kohustuste kohaldumisaja edasilükkamist. Tehisintellekti omnibussi ettepanek näeb ette, et kohustused rakenduksid 6-12 kuu jooksul pärast Komisjoni otsust, mis kinnitab nõuete täitmist toetavate meetmete valmimist, kuid mitte 6  Seletuskirja lisa 1. Kaasamistabel hiljem kui 02.12.2027 või 02.08.2028, vastavalt süsteemi määrusest tulenevale kuuluvusele. Leiame, et prognoositavuse ja õigusselguse eesmärgil tuleks paindlike tähtaegade asemel kehtestada kindlad tähtajad kohustuste rakendumisele. Hetkel ei ole täielikku selgust Komisjoni kinnitusprotsessi toimimise osas ning rakendustähtaegade prognoosimatus raskendab nõueteks valmistumist nii ettevõtetele kui ka pädevatele asutustele. Kindlate kuupäevaliste tähtaegade olemasolu lahendaks need probleemid. 8. Siseministeerium Siseministeerium toetab digiõiguse valdkonna lihtsustamise Arvestatud. paketti. Samas soovime pöörata tähelepanu mõnele olulisele aspektile: Tehisintellekti määrusega seotud digiomnibusiga avatakse määrus (EL) 2024/1689 (tehisintellekti määrus, AIA), mis ei ole veel täies ulatuses jõustunud. Toetame, et muudetakse kõrge riskiga tehisintellektisüsteemide reeglite kohaldumisaega ja pooldame tähtaja sidumist standardite valmimisega. Tähtaegu on vajalik edasi lükata, et need oleksid kooskõlas vajalike standardite ja juhiste kättesaadavusega ning reegleid oleks võimalik korrektselt rakendada. Samuti toetame kõrge riskiga tehisintellektisüsteemide pakkujate Arvestatud osaliseliselt. kohustuste sätete muutmist ja halduskoormuse vähendamist. Arusaamatuks jääb ettepanek Mõistlik on ka ettepanek täiendavate juhendmaterjalide juhendmaterjalide koostamiseks, koostamiseks, mis pakuksid selgeid ja praktilisi juhiseid AI- kuivõrd see on osa ka kehtivast AI määruse rakendamiseks koos teiste EL õigusaktidega. Lisaks määrusest. Sellekohased juhendid toetame AI regulatiivse liivakasti ja selle reeglistiku täiendamisest. on ka juba osaliselt olemas. Hindame, et see aitaks AI teemasid paremini raamistada ja me Juhendmaterjalide koostamiseks ei ole vaja õigusesse seda vajadust sätestada. AI liivakasti suunal 7  Seletuskirja lisa 1. Kaasamistabel saaksime kasutada nii EL AI liivakasti kui luua Eestis ka enda saadeti aasta alguses omasid. konsultatsioonile rakendusakt. 9. Samuti on Siseministeeriumi hinnangul vajalik intsidentidest Arvestatud. Selgitame, et Komisjoni teavitamise üks aken. Samas, ühtse teavituskanali loomisel tuleb ettepaneku selgitustes on märgitud, tagada, et kriitiline ja ajakriitiline info jõuaks pädevate asutusteni et ootus on ka ühtlustada vorme. Tähtaegade ühtlustamise osas on viivitusteta ning et ei nõrgeneks riiklik võimekus intsidentidele seisukoht koostatud. kiiresti reageerida. Seetõttu on vajalik hinnata EL-i tasandi lahenduse koosmõju siseriiklike julgeoleku- ja kriisihaldusprotseduuridega. Hästi disainitud ühtne aken võimaldaks samal ajal vähendada halduskoormust, säilitades kõrge turvalisuse taseme. Samas toetame intsidentidest teavitamise ühe akna visiooni ja eesmärki, kuid siinkohal on ka Eestis tekkinud vastuolusid erinevate teemade osas, nt Küberkuritegevuse, RIA intsidentide teavitamise, TTJA teavitamise ja andmekaitse vaatest on erinevad vormid ja kohati ka erinevad tähtajad, mida täpselt soovitakse. Ideena tundub see sobiliku lahendusena, kuid siinkohal on vaja analüüsida protseduure ja koosmõju. Täpsemalt, mis on ootused direktiividelt siseriikliku seadusandlusesse ning milline on mõju protseduuridele. Ühtselt aknal oleks eeldatavasti vähem teavitamiskulusid. 10. Andmehaldust ja seda toetavat tänast regulatsiooni arvestades Arvestatud. toetame väga valdkonna konsolideerimise ettepanekut läbimõeldud, selgesse ja lihtsustatud formaati. 8  Seletuskirja lisa 1. Kaasamistabel Seisukohas rõhutakse süsteemsusele, mis tahab selget ja läbimõeldud regulatsiooni. 11. Finantsinspektsioon Finantsinspektsioonile teadaolevalt menetletakse Brüsselis Selgitame: ettepaneku selgitustes on ettepanekut (https://eur-lex.europa.eu/legal- teatava ülevaade võimalikest content/EN/TXT/?uri=CELEX%3A52025PC0837&qid=1764840 liikmesriigi kuludest välja toodud, kuid praktikas selgub selle sisu siis, 573622), mille üheks osaks on ka DORA määruse muutmine. Meie kui on suurem selgus ühtse vaatest tuleb kõige pealt märkida, et oleme oma tegevused ja teavitusakna olemusest ning arendused juba valmis teinud kehtivat DORA regulatsiooni tehnilisest lahendusest. järgides, st meil on juba tellitud vastavad tarkvaralahendused, loodud tehniline võimekus jne, mis kohe on käiku minemas. Eelnevast tulenevalt on oluline lisaks liikmesriikide poolt tõstatud turvalisuse ja tehnilistele teemadele välja selgitada ka SEP-i kulude pool. Aeg on näidanud, et üldjuhul on Euroopa kesksete lahenduste/süsteemide loomine väga kallis ettevõtmine ning need kulud peaks eelduslikult liikmesriigid (sh Finantsinspektsioon) ka ise kinni maksma. Arvestades, et meil on juba oma süsteem arendatud ja tellitud, siis oluline on teada, mis SEP loomine ja ülalpidamine võiks maksma minna, kes selle kinni maksab ning kuidas on planeeritud edaspidi SEP-i kasutamise kulude lahendus. Oma sisus on keskne lahendus mõistlik, kuid kui sellega kaasnevad väga suured kulud, siis ei pea SEP-i loomist vajalikuks. 12. Cybernetica AS Lähtekohad: Teadmiseks võetud. 9  Seletuskirja lisa 1. Kaasamistabel 1) Andmekaitses on IKÜM alguspäevadest vaieldud, mis on pseudonüümne ja kas miski saab olla anonüümne (nn “relatiivne” vs “absoluutne” andmekaitse). Hiljutised otsused, sh Judgment of the Court in Case C-413/23 P | EDPS v SRB (Concept of personal data) on seda sisustanud, aga üldine praktika on lahtine. Mitmed teadlased on pakkunud, et peaks lähenema riskianalüüsiga, mis on väga mõistlik mõte, aga pole praktikas olnud veel kuigi edukas. 2) See riskianalüüs siis hindaks mingi metoodikaga, kas mingis olukorras mingi tehnilise meetmega isikustatavate andmete töötlemine vastaks seaduse nõuetele või mitte. Lihtsate sõnadega - mis on see lävend, kus maalt me suudame taasidentifitseerimist vältida? 3) Omnibuss rõhutab sellise riskianalüüsi tähtsust tulevikus. Eesti kogemusest tehisintellekti, pilvteenuste, internetivalimiste jne riskianalüüsidega on näidanud, et üldised juhendid on toredad, aga neid ei osata rakendada, kui puudub vastav detailne teadmus. 4) Nt Eestis RITi tellitud pilvteenuste ja AI teenuste riskianalüüse peetakse edulugudeks, sest nad on konkreetsed. Teaduste akadeemia küberturvalisuse komisjoni riskianalüüsid valimiste tehnoloogia ja riigi kriitiliste teenuste jaoks on samuti konkreetsed, annavad selgeid nõuandeid, kuidas eluga edasi minna. Ettepanek: 1) Eesti teeb ettepaneku, et Eestisse loodaks kompetentsikeskus, mis toetab EDPB-d privaatsuskaitse tehnoloogiate riskianalüüsil. 10  Seletuskirja lisa 1. Kaasamistabel 2) Kompetentsikeskus toetaks omnibussi vajadusi järgmisel moel: 2.1) EL andmekaitse ja omnibussi tuumküsimuste (uued teenused, AI rakendamine, põhiõiguste kaitse) lahendamisega, et meil oleks Euroopas moodsad e-teenused, mis vastavad meie väärtusruumile. 2.2) Privaatsuskaitse tehnoloogiate standardimine, sertifitseerimine ja tehnoloogiadiplomaatia. 2.3) Intsidentide töötlemise ja riskianalüüsi tugiüksus EDPB-le 2.4) Privaatsuskaitse tehnoloogiate ja riskianalüüsi võimekuse arendamine keskus (tehnilised riskianalüüsid ja nõuanded, praktilised tehnoloogia teekaardid, koolitusmaterjalid, e-riigi teenuste mustandid) koostöö Euroopa ja Eesti akadeemiliste partnerite ja tööstusega. 2.5) Kriitiliste EL võimekuste loomise nõustamine andmekaitse tehnoloogiate vaatepunktist. 2.6) Pilootprojektide koordineerimine Euroopa tasandil ja võimalusel liitlastega, et tugevdada ka kontinentide vahelist andmete ühist kasutamist. Põhjendused: 1) Eesti e-riik on küps nii teenuste, digitaalse identiteedi, andmete kasutuselevõtu kui ka digisuveräänse infotehnoloogia rakendamises. Meie kogemused on suurepärased, kuid nende kandmine Euroopasse on seni olnud keeruline. 2) Kompetentsikeskuse töö kaudu saaksime Euroopasse suunata Eesti e-riigi õppetunde, et ei juhtuks selliseid asju nagu COVID- 19 pandeemia ajal, kui kehtisid Adolf Hitleri ja Miki Hiire 11  Seletuskirja lisa 1. Kaasamistabel vaktsineerimistõendid, sest ei suudetud ehitada kehtivuskinnituse teenust, mis vastaks EL andmekaitsenõuetele. Meil oleks see võimekus olemas olnud, Eestis on sellised teenused olnud ID- kaardi algusajast, aga meil puudus võimekus seda Euroopasse üle kanda. 3) Eesti on privaatsuskaitse tehnoloogiate varane rakendaja. Eestil on olemas riiklik kontseptsioon ja teekaart ning ka vajadus neid rakendada. 4) Rahvusvaheliselt on Eesti seni osalenud OECD privaatsuskaitsetehnoloogiate arenduse töörühmades. Eesti saaks kompetentsikeskuse arendusest ise kasu ning saaks seda teadmust ka eksportida. 13. Riigikogu Kantselei Riigikogu Kantselei tervitab Euroopa Komisjoni püüdlusi muuta Teadmiseks võetud. kehtiv digiregulatsioon selgemaks, riskipõhisemaks ja praktilisemaks. Digiomnibussi üldine eesmärk – vähendada ebavajalikku halduskoormust, ühtlustada liikmesriikide praktikaid ning parandada regulatsioonide omavahelist koostoimet – on igati tervitatav. Positiivsena näeme eelkõige kavandatavaid muudatusi, mis puudutavad andmetöötluste dokumenteerimise lihtsustamist, andmesubjektide taotluste (DSAR) mõistlikumat käsitlemist, andmekaitsealaste mõjuhinnangute (DPIA) ühtlustamist ning isikuandmete rikkumistest teavitamise riskipõhisemat lähenemist. 14. Samuti võib toetada kavatsust täpsustada pseudonüümiseeritud Teadmiseks võetud. andmete käsitlust ning selgemat eristust isikuandmete ja mitteisikuliste andmete vahel, mis looks paremad eeldused andmeanalüütika ja tehisintellekti arendamiseks, säilitades samal ajal andmesubjektide põhiõiguste kaitse. Oluline on ka järelevalveasutuste koostöö tugevdamine ning seoste loomine 12  Seletuskirja lisa 1. Kaasamistabel teiste ELi digiregulatsioonidega, nagu tehisintellekti määrus, andmete määrus ja kübervastupidavuse raamistik. 15. Samas peab Riigikogu Kantselei vajalikuks juhtida tähelepanu, et Arvestatud. eelnõu mitmetähenduslik sõnastus tekitab küsimusi identifitseeritavuse, pseudonüümiseeritud andmete käsitluse ning andmesubjekti õiguste ulatuse kohta. Ebapiisav selgus nendes küsimustes võib praktikas viia ebaühtlase tõlgendamiseni ning õigusselguse vähenemiseni, eriti olukordades, kus isikuandmete staatus sõltub tehnilistest ja tõenäosuspõhistest hinnangutest. 16. Kokkuvõttes toetab Riigikogu Kantselei digiomnibussi üldist Teadmiseks võetud. suunda ning selle eesmärki muuta andmekaitse- ja digiregulatsioon praktilisemaks ja riskipõhisemaks. Samas peame oluliseks, et edasises menetluses arvestataks õigusselguse tagamise vajadust. 12 17. IKÜMja e-privaatsus Arvestatud osaliselt. ● Isikuandmete mõiste täpsustamine: Omnibusi ettepanek seob Nõustume, et isikuandmete mõiste õigustatult „isikuandmed” sellega, mida vastutav töötleja saab sisustamisel tuleb arvestada mõistlikult teha tegelikult kättesaadavate vahenditega. Samas on kohtupraktikat ning teeme vaja täiendavat selgitust, et kajastada täiel määral Euroopa Liidu ettepanekut jätta mõiste täiendamine Kohtu (CJEU) praktikat ja GDPRi põhjendust 26 ning vältida artiklis lisamata, kuid täiendada killustatud ja ülemäära laiu tõlgendusi. IKÜM põhjenduspunkti selgitusega, et mõiste sisustamisel tuleb lähtuda Me kutsume üles: säilitada Omnibusi muudatus lõpptekstis, ka kohtupraktikast. täpsustades samal ajal, et tuvastatavust tuleb hinnata asjaomase 2 Meta esitas ka artikli põhised kommentaarid, mida kõike siin tabelis ei ole – need on kättesaadavad https://adr.rik.ee/jm/dokument/18258217. 13  Seletuskirja lisa 1. Kaasamistabel üksuse vaatenurgast, võttes arvesse ka objektiivseid tegureid, nagu kulud, tehnoloogilised ressursid, tuvastamiseks vajalik aeg ning töötlemisel rakendatavad kaitsemeetmed. 18. ● Automatiseeritud otsuste tegemise täpsustamine, et vältida Arvestatud osaliselt. ülereguleerimist: Omnibusi selgitus, et automatiseeritud otsused on artikli 22 alusel lubatud juhul, kui selle tingimused on täidetud Pooldame automatiseeritud otsuste – isegi siis, kui inimlik otsustamine oleks võimalik – on oluline võimaldamist. Täpsustamist ei palu. samm õiges suunas. Me kutsume üles: säilitada Omnibussi muudatus lõpptekstis, täpsustades samal ajal, et GDPRi artikkel 22 kohaldub ainult automatiseeritud otsustele, mis määravad isiku õigusliku staatuse, lepingulised õigused või millel on võrreldavalt oluline ja püsiv mõju. 19. ● Tehisintellekti ja andmekaitse ühtlustamine: artikkel 88c on Arvestatud osaliselt. keskse tähtsusega, kuna see tunnustab selgesõnaliselt õigustatud huvi tehisintellekti arendamise ja kasutamise õigusliku alusena Ei toeta õiguslike aluste ning viib GDPRi kooskõlla tehisintellekti määruse (AI Act) kinnikirjutamist õigustatud huvile ja mõistetega. See kehtestab kogu ELi hõlmava selge standardi nõusolekule. Kõik IKÜM õiguslikud tehisintellekti treenimiseks, vähendab õiguslikku killustatust ning alused võivad olla isikuandmete ajakohastab tõhusalt GDPRi tehisintellekti ajastuks. 2. detsember töötlemisel aluseks. 2025 Me kutsume üles: säilitada Omnibussi muudatus, kuid seda samal ajal lihtsustada, et eemaldada ebaselgused ja kattuvused. 20. ● Kaasvastutava töötleja mõiste korrigeerimine: kaasvastutavad Mitte arvestatud.- töötlejad, mis oli algselt mõeldud erandliku korrana tegeliku kaasmääramise (co-determination) puhuks, on laialdaste 14  Seletuskirja lisa 1. Kaasamistabel tõlgenduste tõttu kujunenud sisuliselt üldiseks Selline ettepanek oleks vastuolus vastutusraamistikuks. Seda kohaldatakse nüüd laialdaselt, mis hiljutise kohtupraktikaga. tekitab õiguslikku ebakindlust ja ebaproportsionaalseid vastavuskohustusi. Me kutsume üles: tegema artiklisse 26 sihipärase muudatuse, millega täpsustatakse, et vastutavaid töötlejaid käsitatakse kaasvastutavate töötlejatena üksnes siis, kui nad osalevad aktiivselt ning tegelikult mõjutavad töötlemise eesmärke ja vahendeid käsitlevaid otsuseid. 21. Küpsised, e-privaatsus ja nõusolek Mitte arvestatud. ● Reeglite koondamine ja nõusolekuväsimuse algpõhjustega Ühest küljest oleme nõus, et tuleb tegelemine: GDPRi ja e-privaatsuse regulatsiooni lahus hoidmine vältida dubleerimist, samas e- (GDPR artikkel 88a vs e-privaatsuse direktiivi artikkel 5 lõige 3) privaatsuse direktiivi sätted täiendavad säilitab keerukuse, õigusliku killustatuse ja nõusolekuväsimuse. GDPRi (mis kehtib ainult füüsiliste Pelgalt mõnede küpsiste ja jälgimisreeglite viimine GDPRi alla isikute andmete kaitsele). Nende piiratud eranditega ei lahenda alusprobleeme. sätetega nähakse ette ka juriidiliste isikute andmete kaitse . Me kutsume üles: tühistama e-privaatsuse direktiivi artikli 5 lõike 3 ja viima artikli 88a täielikult kooskõlla GDPRi õiguslike alustega ning allutama liiklusandmed ja otseturunduse (st tühistama e-privaatsuse direktiivi artiklid 6, 9 ja 13) täielikult GDPRile, säilitamata olemasolevaid e-privaatsuse sätteid. 22. ● Kohustuslike masinloetavate nõusolekusignaalide kaotamine Mitte arvestatud. (artikkel 88b): artikkel 88b lisaks olemasolevatele GDPRi reeglitele uue kohustusliku nõusolekusignaalide kihi, suurendades veelgi õiguslikku ja tehnilist keerukust. Varasemad katsed selliste signaalidega on ebaõnnestunud ning kohustuslik skeem oleks kulukas ja segadust tekitav, eriti VKEde jaoks, samal ajal kui 15  Seletuskirja lisa 1. Kaasamistabel erandid (nt meedia jaoks) õõnestaksid veelgi sidusust ja kasutajate usaldust. Me kutsume üles: eemaldama artikli 88b lõpptekstist tervikuna. 23. Goo34 GDPRi kohta Arvestatud osaliselt. ○ AI ja õigustatud huvi: Ettepanek loob AI jaoks piirava „kahe Eesti ei toeta AI arendamiseks ja režiimi“ süsteemi, mille tingimused on määratlemata ja mis opereerimiseks töötlemise õiguslike kalduvad kõrvale GDPRi tavapärastest reeglitest. Õiguskindluse aluste kinni kirjutamist (GDPR art tagamiseks ja ühtse turu killustumise vältimiseks tuleb artikkel 88c ettepanek). Seisukohtades on 88c viia kooskõlla väljakujunenud kohtupraktikaga, eemaldades privaatsuskaitse tehnoloogiate need täiendavad tingimused ning sätte, mis võimaldab kehtestada toetamise punkt. See aitab ka riiklikke nõusolekunõudeid. eriliigiliste andmete puhuks. ○ Eriliigilised andmed ja AI: Nõue rangelt „vältida“ tundlike andmete kogumist avalikust veebist ei ole tehniliselt teostatav ning eeldab paradoksaalsel kombel hoopis pealetükkivat seiret. See kohustus tuleks asendada praktilise „riskide maandamise“ standardiga, mis põhineb tehnilistel ja organisatsioonilistel meetmetel, ning eemaldada kohustuslikud väljundfiltrid, mis kahjustavad AI-vahendite funktsionaalset kasutatavust. 24. ePrivaatsuse direktiivi kohta Eesti toetab e-Privaatsuse direktiivi ajakohastamist ja isikuandmete ○ Nõusolek brauseri tasandil: Artikkel 88b tuleb kustutada, kuna töötlemise IKÜMi alla viimist. tsentraliseeritud brauserisignaalide kohustuslik kasutamine ei 4 Google esitas ebapaberi, mis sisaldas nende põhisõnumieid ja pikemaid selgitusi, mis põhisõnumeid tutvustavad. Siia tabelisse lisati ennekõike põhisõnumid. Kogu sisend on leitav: https://adr.rik.ee/jm/dokument/18295967. 16  Seletuskirja lisa 1. Kaasamistabel lahenda praktikas kasutajate väsimust nõusolekute andmisest, vaid tekitab hoopis „nõusolekusegadust“ ning õõnestab funktsionaalselt reklaamipõhist veebi, sealhulgas privaatsust hoidvaid kontekstipõhise reklaami mudeleid. ○ GDPRi ühtne jõustamine: Tegeliku lihtsustamise saavutamiseks ja jõustamiskaose vältimiseks tuleb lahendada isiku- ja mitteisikuandmete vaheline „killustatud režiim“, viies kõik lõppseadmete kasutamist reguleerivad normid GDPRi alla ühe ühtse ja järjepideva mehhanismi kaudu. ○ Kontekstipõhise reklaami soodustamine: Privaatsuspõhise disaini (privacy-by-design) edendamiseks tuleb artiklit 88a laiendada nii, et see vabastaks selgesõnaliselt madala riskiga ja profileerimiseta tegevused — eelkõige kontekstipõhise reklaami ning selle toimimiseks vajalikud turvaelemendid — nõusolekunõuetest. 25. Küberturvalisuse kohta Selgitame: ○ Ambitsiooni tõstmine: standardiseerides teatamistähtajad 72- Eesti ootus on ühtlustada tunnise teavitamiskohustuse ümber, ühtlustades nende tähtaegade teavitamiste tähtaegu ei käivitumise alguspunkti, viies kooskõlla teatamiskohustusega õigusaktides, kuid veel ei ole Eesti intsidentide künnised ning ühtlustades aruandlusvormid. kokku pannud seisukohta, mis see tähtaeg või tähtajad võiksid olla. ○ Ühe kontaktpunkti edasiarendamine: kuigi ühtne sisenemispunkt on hea esimene samm, tuleks see integreerida Ühe akna lahenduse tehnilised CRA aruandlusplatvormiga. Teavitusi esitavaid üksusi tuleks detailid on alles selgumisel, mille kaasata tööriista disaini ja funktsionaalsuse kujundamisse ning järel selguvad ka selle neile peaks olema tagatud ametlik tagasisidemehhanism funktsionaalsused. võimalike probleemide esiletoomiseks. 17  Seletuskirja lisa 1. Kaasamistabel ○ Täiendav lihtsustamine: lihtsustamispingutusi tuleb laiendada ka väljapoole intsidentidest teatamist, hõlmates muu hulgas NIS2 ja CRA nõuete täitmise lihtsustamist. 26. Arvestatud osaliselt. AI määruse kohta Eesti toetab suure riskiga süsteemide ○ Läbipaistvusnõuete tähtaegade pikendamine (art 50): jõustumistähtaja sidumist vajalike pikendada vastavusse viimise perioodi ühe aastani kõigi juhendite ja standarditega. süsteemide (nii uute kui ka olemasolevate) puhul, hõlmates nii Rakendustähtaeg peab olema artikli 50 lõikeid 2 kui ka 4, et viia need kooskõlla konkreetne. Muude tähtaegade tegevusjuhendiga (Code of Practice). edasilükkamine ei ole digiomnibussi skoobis ega mõistlik. ○ Kõrge riskiga süsteemide kindlad kohaldamiskuupäevad: Vastavushindamise osas, praeguse määrata tähtajad kindlalt — lisa III puhul detsember 2027 ja lisa I ettepaneku pinnalt ei tundu puhul august 2028 — ning kõrvaldada sõltuvus haldusotsustest. kitsaskohti sellega ka olevat. ○ Vastavushindajate valikuvabadus: võimaldada teenuseosutajatel valida vastavushindaja ELi tasandi ja liikmesriikide asutuste vahel, et vältida kitsaskohti ja ära hoida lukustumist Komisjoni määratud üksusesse. 27. Tartu Ülikool Üldised kommentaarid Teadmiseks võetud. Standardite valmimise ja digital omnibusi planeeritud muudatuste jõustumise ebaselge tähtaeg tekitab suurt ebakindlust ja teadmatust tulevaste projektide osas. 28. Isikuandmete mõiste Arvestatud.  Identifitseerimise kriteeriumide ebaselgus Mõistlikult tuvastada ("means reasonably likely to be used to identify the natural person") jääb subjektiivseks mõisteks. Kuigi eesmärk on luua õigusselgust, tekib küsimus: 18  Seletuskirja lisa 1. Kaasamistabel  kes määrab, mis on “mõistlikult tuvastatav”? Kelle jaoks mõistlikult? Milline on see “mõistlik” kompetents või mille alusel seda hinnata?  kas täna “mittemõistlik” vahend võib homme muutuda “mõistlikuks” ja tavapäraseks?  Vastutuse hajumine Muudatus loob olukorra, kus sama info võib olla ühe osapoole jaoks isikuandmed, teise jaoks mitte. Probleemid:  kui andmeid jagatakse mitme vahendaja kaudu, võib tekkida vastutuse "hall tsoon";  andmesubjekti õiguste (juurdepääs, kustutamine) rakendamine muutub keeruliseks;  rikkumiste korral on raske määrata, kes kannab vastutust.  Kontrollimise ja vastutava töötleja paradoks Dokument ütleb, et organisatsioonid peavad kontrollima, kas jagatud andmed on isikuandmed või mitte (andmete saajale), kuid:  kuidas saab andmeedastaja teada, millised vahendid on andmete vastuvõtjal?  kas andmete edastaja peab uurima vastuvõtja tehnilisi võimekusi?  tekib vastuolu: organisatsioon ei ole vastutav töötleja, aga peab kontrollima.  Muud kommentaarid  Kuigi eesmärk on õiguskindluse suurendamine, võib tegelikult tekkida rohkem kohtuvaidlusi termini "mõistlik" tõlgendamise üle.  Isikul on raskem jälgida, kes nende andmeid töötleb (näiteks kui osapool ei pea end 19  Seletuskirja lisa 1. Kaasamistabel isikuandmete töötlejaks) ja sellest lähtuvalt on isik ka nõrgemas positsioonis oma õiguste maksma panemisel.  Praeguses sõnastuses näeme ohtu, et kohustustest kõrvale hiilimiseks hakatakse liiga lõdvalt tõlgendama taasidendifitseerimise võimalust. Kuidas reguleeritakse sh, millised kohustused ja õigused on andmete töötlejal, kes “mõistlikul viisil” ei suuda andmed taasidentifitseerida? Milline on tema roll GDPR mõistes? Kui andmed edastatakse kolmandale töötlejale, kes suudab andmed identifitseerida, mis on tema roll? Kuidas tagada, et andmete töölemine põhineb õiguslikul alusel ja kes vastutab, kui peaks toimuma rikkumine?  Näited  Näide 1. Kuidas tõlgendatakse antud muudatuste valguses IP-aadressi. Nt vastutav töötleja kogub ankeedi kaudu andmeid, edastab need analüüsiks volitatud töötlejale, kellel ei ole võimalik ligi pääseda informatsioonile, mille abil andmesubjekte identifitseerida ja IP-aadressi abil tuvastad. Kui andmestikus ei ole ka muid andmeid, mis lubaks andmesubjekti tuvastada, kas siis on vajalik Data Prosessing Agreement (DPA), kui tegu ei ole enam isikuandmetega? Kas DPA-s sätestab vastutav töötleja tingimused, et volitatud töötleja tohib/ei tohi andmeid muul eesmärgil kasutada/edastada? Millistel juhtudel on DPA vajalik? Või kuna volitatud töötleja ei töötle isikuandmeid võib ta andmeid edasi töödelda ja edastada tingimusel, et veendub, et vastuvõtja ei suuda sammuti IP- 20  Seletuskirja lisa 1. Kaasamistabel aadresite järgi isikuid tuvastada ja tema roll muutub sel juhul kelleks (GDPR mõistes)?  Näide 2. Terviseandmete liikumine: avaliku sektori raviasutus väljastab pseudonüümitud andmed teadusuuringu läbiviimiseks. Oletame, et teadusuuringu meeskond ja vastutav uurija hindab, et ei suuda “mõistlikult” andmesubjekte identifitseerida, kas teadusuuringu meeskond töötleb isikuandmeid?  Kui näidetes 1 ja 2 nimetatud volitatud töötleja edastab andmed uuele osapoolele või toimub rikkumine, kus andmed satuvad kolmandate osapoolte valdusesse, kes suudavad taasisikustada andmesubjekte, siis kuidas jaotuvad rollid? Kes on vastutav töötleja, kes on volitatud töötleja ja millised kohutused rakenduvad volitatud töötlejale? 29. AI ja eriliiki andmed Arvestatud.  "Appropriate measures" ebaselgus o Puuduvad konkreetsed kriteeriumid, mis on "asjakohased organisatsioonilised ja tehnilised meetmed". o Probleemiks saavad erinevad tõlgendused eri organisatsioonides ja järelevalveasutustes. o Väiksematel ettevõtetel puudub suutlikkus hinnata meetmete piisavust.  "Disproportionate effort" lävend o Ei ole määratletud, millal eemaldamine nõuab "ebaproportsionaalset pingutust". o Suurettevõtted võivad kasutada seda väljapääsuna ja tegelikult andmeid mitte eemaldada. 21  Seletuskirja lisa 1. Kaasamistabel o Majandusliku kasu vs andmesubjekti õiguste tasakaal on ebaselge.  "Without undue delay" ajaraamistiku puudumine. Ei täpsustata, mis on „alusetu viivitus“. See võib vastavalt kontekstile tähendada erinevaid aegu ja puudub selge järelevalve või vastutus viivituste eest.  Eeldatav nõusolek puudub Punkt (k) võimaldab eriliiki andmete töötlemist AI kontekstis ilma selge nõusolekuta, mis on vastuolus GDPRi põhimõtetega, kus eriliiki andmed nõuavad selgesõnalist nõusolekut. Andmesubjekt ei pruugi teada, et tema andmeid kasutatakse AI arenduses. 30. Automatiseeritud otsused, sh profileerimine Teadmiseks võetud.  "Necessity" kriteeriumi nõrgendamine Uue tõlgenduse järgi peab automatiseeritud otsuse tegemine olema "vajalik", isegi kui on alternatiive ja see loob olukorra, kus organisatsioonid saavad õigustada peaaegu iga automatiseeritud otsust. Organisatsioonid võivad väita, et automatiseeritud otsused on vajalikud efektiivsuse/kulude kokkuhoiu jaoks ja eksisteerib risk, et igasugune äriline eesmärk tõlgendatakse “vajalikkuseks". Ei eristata madala ja kõrge riskiga otsuseid - sama lähenemine kehtib nii töölevõtmisel kui ka kontosaldo kontrollimisel. 31. Mõjuhinnang (DPIA) Arvestatud.  Hetkel saavad liikmesriigid kohandada DPIA nõudeid vastavalt kohalikele oludele ja ühtne EL-i nimekiri võib ignoreerida riigispetsiifilisi riske ja vajadusi. 22  Seletuskirja lisa 1. Kaasamistabel  On oht, et nimekiri võib olla liiga üldine (ei anna praktilist juhist, jääb kasutuks) või liiga spetsiifiline (ei sobi kõikide harude/sektorite jaoks).  EL’i otsustusprotsess on aeglane, kuid uued tehnoloogiad arenevad väga kiiresti. Eksisteerib risk, et loodav nimekiri on alati “aegunud”.  Eestis on AKI andnud suunised ja hinnangud, millal on tegu suure riskiga töötlemisega ja millistel puhkudel on andmekaitsealane mõjuhinnang kindlasti vajalik aga komisjoni poolt antavad selged juhised ja template avaldaks kindlasti positiivset mõju mõjuhinnangute ühtlasemale kvaliteedile ja annaks andmesubjektidele ja töötlejatele suurema kindluse, et mõjuhinnang on läbi viidud piisava põhjalikkusega. 32. Andmesubjekti päring Arvestatud. Juba praegu olemas GDPR-is, täiendus ei ole tingimata vajalik. Praegune GDPRi sõnastus on asjakohane ja täidab eesmärki. 33. Teavitamine Arvestatud.  Probleem - läbipaistvus väheneb. Andmesubjektid jäävad Eesti ei poolda rikkumisest teadmatuks paljudest rikkumistest, mis neid mõjutavad ja teavitamise lävendi tõstmist. kaob võimalus ise kasutusele võtta meetmeid (nt parooli vahetamine). SEPi osas on Euroopa Komisjon  Lisandunud 24 tundi on abiks ründajatele - andmete andnud selgitusi, et see ei ole edasimüük pimeturul, identiteedivargused jne. mõeldud ainult piiriüleste juhtumite  "Likely to result in high risk” on subjektiivne hindamine. korral, vaid ka siis, kui tegemist on Organisatsioon ise otsustab, kas risk on “kõrge” ja sellest riigisisese intsidendiga. tekib potentsiaalne konflikt, kuna ettevõtted ei taha halba mainet ning risk alandatakse näiteks "see küll ei ole nii Tagasisides esitatud kommentaarid kõrge risk”. "High risk" tähendus võib ja kindlasti ka teavituste erinevate lävendite ja varieerub liikmesriigiti, mis lisab kindlasti täiendavat teavitamistähtaegade osas on segadust. asjakohased näited, millede kohta 23  Seletuskirja lisa 1. Kaasamistabel  "Single-entry point (SEP)” on mõeldud piiriüleste töötluste soovime eelnõu valmimise selgust ja jaoks ning kui rikkumine mõjutab ainult üht riiki, on SEP konkreetsust saada. kaudu teavitamine ebatõhus, kuna lisandub täiendav bürokraatia (suunamine). SEP võib osutuda ka kõige nõrgemaks lüliks, kui ta on üle koormatud või mingil põhjusel ei tööta.  NIS2 direktiiv nõuab samuti rikkumiste teatamist (erineva läve ja tähtajaga), DORA (finantssektoris) on omad nõuded jne. Ettevõtted peavad navigeerima mitme paralleelse süsteemi vahel.  Suure riskiga intsidentide teavitamiskohustuse erinevad tähtajad loodavas SEP-s. Kas intsidendist teavitaja peab eelnevalt ise klassifitseerima, millise intsidendiga on tegu (NIS2 24h vs GDPR 72->96h). Kuidas liiguvad esmalt andmekaitsealase intsidendina teavitatud rikkumise andmed õigete osapoolteni, kui selgub, et tegu oli siiski ka küberturvalisuse intsidendiga, millel on palju lühem teavitamise tähtaeg? Kas sellisel juhul on teavitaja eksinud ja vastutab, et pole teavitamiskohustusest kinni pidanud? Siseriiklikul tasandil on AKI loonud teavitajale vormi ja lihtsa viisi teavitamiseks, vajadus tuleneb mõne teise riigi järelvalve asutuse tegematusest pigem.  Mis juhtub olukorras, kui esmane rikkumine tundub “madala riskiga”, kuid hiljem selgub, et tegemist on osaga suuremast rünnakust? Kuna hakkab 96 tundi jooksma? Kas alates esmasest rünnakust või hetkest, kui selgub täiendav informatsioon? 34. Teadusuuringute mõiste Teadmiseks võetud. Teadusuuringu mõiste lisamine GDPR-i on igati tervitatav, seni oleme lähtunud siseriiklikust definitsioonist (TAKS) ja mõiste defineerimine looks suurem selguse, eriti EU sisese piiriülese 24  Seletuskirja lisa 1. Kaasamistabel andmetöötluse osas, kuid leiame, et praeguse sõnastuse juures on suur oht seda liiga vabalt tõlgendada. Praegune sõnastus defineerib pigem erasektori tegevust. 35. Andmekaitse Liit Kas toetate eelnõudes toodud eesmärke ja pakutud lahendusi? Arvestatud osaliselt. Palun tooge välja, milliseid toetate ja miks? Milliseid ettepanekuid Teie ei toeta ja miks? Tähtaegade osas toome välja, et on Osaliselt toetame art 12(5) (andmesubjekti päringutele problemaatiline, et sama platvormi vastamine), art 13(4) (privaatsusteabe esitamise piirangud), art 35 kaudu on teavitamistel erinevad (andmekaitsealase mõjuhinnangu nõuded) muudatusi, kuna tähtajad. nendega lihtsustakse eelkõige väike ja keskmistel ettevõtetel IKÜMi mõistlikku rakendamist. Samas ei toeta me Art 12(5) muudatuse ettepaneku seda osa, mis näeb ette, et andmesubjektid võivad oma isikuandmete kohta teabe saamiseks esitada päringu Toetame suure riskiga AI tähtaegade vaid isikuandmete kaitselistel eesmärkidel ehk „andmesubjekt edasi lükkamist kuni valmivad kuritarvitab antud õigusi muul eesmärgil kui oma andmete Komisjoni poolt vajalikud kaitsmine“, sest on küsitav kas pakutud piirang on standardid ja juhised. Eesti ei toeta proportsionaalne. Täiesti sisustamata on mõiste “oma andmete AI arendamise ja opereerimise kaitsmise eesmärk” ning kui see õigus jätta vastutavatele õiguslike aluste kinni kirjutamist. töötlejatele, siis läheb see otsesse vastuollu IKÜMi läbipaistvuse Kõik IKÜMi õiguslikus alused ja vastutuse põhimõttega. Näiteks võib isikuandmete vastutav andmetöötluseks on võimalikud, töötleja isegi keelduda päringule vastamast, kui tema hinnangul ei olenevalt olukorrast. Juhime ole selline päring esitatud andmekaitselisel eesmärgil. Sellisel tähelepanu, et AI määrus ei loo juhul on andmesubjektil võimalik ilmselt pöörduda eraldi õiguslikku alust AI süsteemide järelevalveasutuse poole, kelle ülesandeks tundub saavat ka andmetöötluseks. päringu eesmärgi hindamine ning hindamine, kas vastutav töötleja peab päringule vastama või ei. On ilmselge, et vastutavate töötlejate huvides on võimalikult palju sellistele päringutele mittevastamine, mistõttu näeme, et pakutud lahendus võib tekitada täiendavat koormust järelevalveasutusele ning ei taga andmesubjektide õigust teada kuidas nende isikuandmetega ümber käiakse. Toetame ka art 33 muutmise ettepanekut, millega 25  Seletuskirja lisa 1. Kaasamistabel ühtlustatakse andmesubjekti ja järelevalveasutuse isikuandmete alase rikkumise teavitamise nõue mõlemat tuleb teavitada ainult kõrge riskiga rikkumiste puhul. See vähendaks nii vastutavate töötlejate kui järelevalveasutuste töökoormust ning aitaks keskenduda kõrge riskiga juhtumite menetlemisele ja kahjulike tagajärgede maandamisele. Usume, et see on olnud ka täna Eesti järelevalveasutuste ootus. Toetame ka teavitamise tähtajapikendamist 96-le tunnile. See leevendaks eelkõige olukordi kus tähtaja arvestuse sisse jääb nädalavahetus. Tervitame AI omnibusi loogikat, et kohustuste täitmine lükatakse edasi seniks, kuni on töötatud välja tööriistad (standardid ja juhised) vastavate kohustuste rakendamiseks. Samuti toetame pisemaid muudatusi nagu nt kitsaste protseduuriliste toimingute puhul kõrge riskiga tehisintellekti kohustuste vähendamine (st kui high risk AI puhul on ainult AI element tegemas narrow procedural task’i, ei pea seda high risk AI-na registreerima). Toetame ka eriliigiliste isikuandmete töötlemiseks selge õigusliku aluse loomist AI mudelite kallutatuse vältimiseks. Toetame AI omnibusi võimalikult kiiret läbi menetlemist, eriti Tehisaru määruse kõrge riski kohustuste edasilükkamise vaatest, et vältida olukorda, kus kohustused hakkavad kehtima enne, kui neid edasi lükatakse. Praegune olukord tekitab ettevõtetele ebakindlust ja võimalikke ebamõistlikke kulusid. 36. Kas toetate avaandmete direktiivi muutumist määruseks? Kas Arvestatud osaliselt. näete, et oleks vajalik muuta väärtuslike andmestike nimekirju. Kui jah, siis kuidas ja miks? EAKL-I arvates on hetkel seadustes mida digital omnibus ümber kujundab, nii Lisatud on seisukoht ühendamise Andmehalduse kui Andmemäärus, täpselt defineerimata mis on süsteemsusest. Samuti on seisukoht “avaandmed” ja mis on “avalikud andmed”. Parima praktika tava selles osas, mis on avaandmete ja järgi on avaandmed need, mida creative commons litsentsiga saab isikuandmete vahekord. Avaandmete 26  Seletuskirja lisa 1. Kaasamistabel iga soovija ükskõik mispidi analüüsida ja kasutada (ja mõistet on avatud avaandmete avaandmeteks ei tohiks olla isikuandmed) ning avalikud andmed direktiivi põhjenduspunktis 16 ja on need, mida kodanikud (ja ettevõtted ning asutused) on riigile AvTS § 31 lg 1. kohustatud seaduse alusel esitama ja riik on kohustatud kodanikele avalikustama. Ilmselgelt on riigi käes olevad andmed väärtuslikud ning nende põhjal lisaväärtuse loomine oleks hüve mitte ainult riigile, vaid ka kodanikele, eriti kui lisaväärtus kodanike elu paremaks teeb, kuid see ei peaks tulema riigi kodanike privaatsusõiguste arvelt. Uus planeeritav Avaandmete määrus, mis ühendab siis Andmehalduse ja Andmemääruse peaks sisaldama konkreetset definitsiooni mille järgi avaliku sektori asutused saaksid aru, mis on siis avaandmed ja mis avalikud andmed. Uue Avaandmete määruse ning Andmemääruses olevad nõuded andmete avaldamise (disclosure) võiksid sisaldada ka täpsemaid suuniseid – andmete kvaliteedi ja hulga kohta ja avaldamise sageduse kohta, kuna andmete avaldamine ei ole tasuta avaldajale ning piisava kvaliteedi puudumine ei võimalda andmetest lisandväärtust toota. Millised aspektid ja ettepanekud vajaksid täpsustamist või Arvestatud ja selgitame: tagasisides lisaselgitusi, et oleksid praktikas rakendatavad? esitatud kommentaarid teavituste Pooldame ühtset teavituskanalit, et sama rikkumise pinnalt ei erinevate lävendite ja tuleks mitmes kohas ning mitu korda teavitada. Samas teeb ühtse teavitamistähtaegade osas on teavituse keeruliseks erinevates aktides toodud erinevad asjakohased näited, millede kohta teavitustähtajad ning tekib küsimus, et kui küberturbe intsident on soovime eelnõu valmimise selgust ja samal ajal kui andmekaitse intsident, siis kas peab jätkuvalt konkreetsust saada. esitama mitu teavitust (24h möödumisel NIS2 esmane teavitus, 72h möödumisel NIS2 teisene teavitus ja 96h möödumisel GDPR teavitus?). Seetõttu teeksime ettepaneku ühtlustada ka ühtse teavituskanali kaudu edastatavate teavituste tähtaegasid. 27  Seletuskirja lisa 1. Kaasamistabel Art 4 (1) “Isikuandmed” (Personal data) - mõiste muudatused on tekitanud väga elavad diskussiooni erialases ringkonnas. Mõistame Komisjoni soovi juurutada Ühtse Kriisilahendusnõukogu (SRB) lahendist tulenevat praktikat, kui omnibuses toodud mõiste SRB lahendiga võrreldes laiendatud. Pooldame seda, et selgitatakse ja defineeritakse täpsemalt konteksti, millistel juhtudel ei ole isikuandmed enam isikuandmed nign milliseid andmekaitse nõudeid ei peaks täitma olukorras, kus päriselt andmete saajal ei ole mõistlikult võimalik isikut enam antud andmete pinnalt tuvastada. Leiame, et seda oleks võimalik reguleerida ka selliselt, et sisustada täpsemalt pseudonüümimise mõiste ja siduda see kohustusega viia läbi regulaarset hindamist, et hinnata kas pseudonüümimine on piisavalt tugev. Isikuandmete mõiste praeguse sõnastuse laiendamine tekitab küsimusi selles osas, kuidas praktikas rakendada. Täpsemalt, milliseid andmekaitse nõudeid peab täitma juhul, kui saaja jaoks ei ole andmed enam isikuandmed. Näiteks kas on vajalik andmetöötluslepingu sõlmimine, kui vastutava töötleja vaatest on tegemist isikuandmetega, kuid saaja vaatest ei ole saadavad andmed isikustatud andmed. Sarnased küsimused võivad tekkida Arvestatud osaliselt treenimise ja ka muude vastutava töötleja kohustuste täitmisel (nt andmelekkest arendamise õiguslike aluste teavitamine, Transfer Impact Assessment (TIA), volitatud seisukohta. töötlejate avaldamine andmesubjektile jms). Teeme ettepaneku selgelt IKÜM-is sätestada, et juhul, kui saaja jaoks ei ole tegemist Õiguslikke aluseid pole vaja kinni isikuandmetega, ei ole kohustust sõlmida ka kirjutada. Kõik IKÜMis väljatoodud andmetöötluslepingut. õiguslikud alused isikuandmete töötlemiseks võivad olla kohased. AI treenimise/arendamise õiguslikud alused. Lisaks avalikul sektoril pole Aastaid nähti vaeva, et hoida IKÜM tehnoloogianeutraalne, kuid võimalik AI-d treenida õigustatud nüüd on sisse kirjutatud konkreetse tehnoloogiaga seotud sätted. huvi ega üldjuhul ka nõusoleku Kuigi tervitame, et on selgelt välja toodud, et eriliigilisi alusel. Tehnoloogianeutraalsuse isikuandmeid võib kasutada AI kallutatuse vähendamiseks, seisukoht on lisatud. 28  Seletuskirja lisa 1. Kaasamistabel tundub AI treenimise üldise õigusliku aluse lisamine IKÜM-isse liigne ja ebavajalik. Ka muude tehnoloogiate puhul käib arendustegevus sisuliselt õigustatud huvi või isiku nõusoleku Teadmiseks võetud. alusel. Seetõttu leiame, et ka täna kehtiv regulatsioon võimaldab Nõus selles osas, et e-Privaatsuse AI treenimist viia läbi õigustatud huvi ja nõusoleku alusel. Antud direktiiv vajab ajakohastamist ning ei sätete lisamine võib tekitada küsimusi, et kas muude tohiks enam keskenduda ainult tehnoloogiate arendamise puhul ei saa enam kasutada õigusliku teabe salvestamisele alusena õigustatud huvi. lõppseadmesse, vaid tuua kaasa selguse jälitamise tehnoloogiate Tervitame küpsiste klausli täpsustamist ja selle isikuandmeid kasutamises. puudutava osa toomist IKÜMisse, kuid see täpsustus ei ole siiski piisavalt kaugeleulatuva mõjuga, et anda andmesubjektile tegelik ülevaade veebis toimuva jälitamistegevuse (tracking) kohta. ePrivaatsuse direktiivilt IKÜM-le üleminek reguleerimaks isikuandmete töötlemist lõppkasutaja seadmes uue IKÜM artikli 88a kaudu tuues üle ePrivaatsuse art 5 lõige 3 “lõppkasutaja seadmesse salvestatule on vaja lõppkasutaja nõusolekut”, mõningate täiendustega, näiteks on piiratud nimekiri madala riskiga ja vajalikest eesmärkidest, mis ei vaja õiguspäraseks toimimiseks nõusolekut (nt edastamine; selgesõnaliselt taotletud teenus; sihtrühma mõõtmine vastutava töötleja enda tarbeks; turvalisuse tagamine). Kuid ikka räägitakse ainult küpsistest ja nõusolekutest küpsistele, jättes tähelepanuta jälitamise (tracking) muud tehnoloogiad ning jälitamise vajalikkuse või õiguspärasuse. EAKL ei ole kindel, et väljapakutud muudatused toovad kaasa selguse teiste jälgivate tehnoloogiate puhul (pixel, eTag etc), mille puhul võib vaielda, et lõppkasutaja seadmesse siiski midagi ei salvestata. Ehk oleks võinud Euroopa Komisjon siin julgem olla ning defineerinud tehnoloogia mittespetsiifilise veebis jälgimise vastuvõetavad tingimused? Küsitav on ka, et kas lihtsalt küpsiseid reguleerides on võimalik lahendada niinimetatud „nõusoleku väsimus“? Küpsiste puhul, kui veebilehitsejate standardid on 29  Seletuskirja lisa 1. Kaasamistabel praktilised ja kasutajakogemus selge, on võimalik nõusoleku väsimuse vähendamine, ilma nõusoleku tugevust õigusliku alusena kahjustamata. Samas on positiivne, et koos IKÜM artikliga 88b saab komisjon mandaadi brauseri/ rakenduse vahendatud nõusolekute andmise standardiseerimiseks; kui standardid on kehtestatud, peavad vastutavad töötlejad pärast lühikest ajapikendust austama masinloetavaid kasutajavalikuid, kusjuures nende puhul, kes neid järgivad, eeldatakse vastavust. 37. Kas on Eesti jaoks spetsiifilisi aspekte, mis mõjutavad Teadmiseks võetud. valdkonna seniseid praktikaid. Palun tooge konkreetseid näiteid, viidake võimalusel analüüsidele, raportitele. ROPA (isikuandmete töötlemise register) kohustuse kehtestamine 750 või enama töötajaga ettevõtetele – Eesti kontekstis tundub, et selline muudatus võib tekitada praktikas probleeme. ROPA on andmekaitsekohustuste keskpunkt, mille olemasolu tagab ja aitab ka teiste andmekaitse kohustuste täitmist praktikas teostada. Kui seda pole, siis on praktiliselt ettevõtetel keerukas ka koostada nt privaatsusteadet ajakohasena, vastata andmesubjekti päringutele, kiirelt reageerida andmeleketele jms. Lisaks sellele võib jääda mulje, et kui on 750 või vähem töötajat, siis pole eriti vaja andmekaitse vaatest pingutada ning see ei aita tõsta teadlikkust andmekaitse teemade olulisusest laiemalt (vajalik ka nt tõhusa andmehalduse ja AI rakendamiseks). Lisaks on ülevaade ettevõtte või asutuse andmetöötlemise toimingutest ja kasutatavatest rakendustest vajalik selleks, et andmetest lisaväärtust saada. Lisaks on Eestis väga palju isikuandmete vastutavaid töötlejaid, kus töötab vähem kui 750 inimest. Seega Eesti suhtes tähendaks selline piirang seda, et väga paljud ettevõtted vabaneksid väga olulisest kohustusest. Võibolla tuleks tekitada võimalus liikmesriigil seda piirangut ise muuta, et iga liikmesriik saaks 30  Seletuskirja lisa 1. Kaasamistabel omale sobiva mugavduse teha ja näiteks lähtuda isikuandmete kogusest, mida töödeldakse. 38. Palun tooge välja muud teemad, mis on nimetatud aktide Teadmiseks võetud. puhul Teile murekohaks. Andmete töötlemise dokumenteerimise kohustust ei peaks muutma. See on IKÜM halduskoormusest kõige suurema väärtusega osa ettevõtte või asutuse jaoks. Teades mis andmeid ettevõte töötleb võimaldab rohkemat kui IKÜM-ga vastavus, võimaldab ka andmete abil teha paremaid juhtimis- ja äriotsuseid 39. Transpordiamet Isikuandmete töötlemine Teadmiseks võetud. Isik peab teadma, kuidas ja miks tema andmeid kasutatakse Eelnõu lihtsustab mitmete digiteenuste reegleid ja loob võimalusi andmete kiiremaks liikumiseks. Samas tuleb tagada, et:  isikuandmeid ei jagataks automaatselt ilma selge teavituseta;  isik teab alati, milleks tema andmeid kasutatakse ja kui kauaks;  andmete jagamist peab olema võimalik igal hetkel peatada. Andmete kogumine peab jääma minimaalseks Andmekaitse seisukohalt on oluline, et: • kogutakse ainult neid andmeid, mis on konkreetselt vajalikud, • vältida tuleb “igaks juhuks” kogumist, 31  Seletuskirja lisa 1. Kaasamistabel • infosüsteemi arhitektuur ei tohi soosida ülemäärast andmete töötlemist. Teenusepakkujate rollid ja vastutused tuleb täpselt lahti kirjutada Eelnõu peab selgelt määratlema: • kes vastutab andmete turvalisuse eest, • kus andmeid hoitakse, • millised turvanõuded on kohustuslikud, • kuidas järelevalve tegelikult toimub. Vastasel juhul võib vastutus muutuda hajusaks, mis on risk nii kasutajale kui ka asutustele. Andmete kasutamine peab olema jälgitav – kõik andmetega tehtavad toimingud (vaatamine, kasutamine, edastamine) peavad olema logitud ja kontrollitavad. Ilma jälgitavuseta ei ole võimalik hiljem tuvastada rikkumisi ega tagada andmete turvalisust. 40. Infoturve Arvestatud – vastav seisukoht on koostatud. Pooldame Single-Entry Point tekitamist, kuid tähtajad vajavad täpsustamist (eri õigusaktides eri tähtajad – vajab ühtlustamist). 41. Andmehaldus Arvestatud. Toetame andmeõiguse erinevate aktide liitmist andmemäärusega, sest seeläbi muutuvad kohalduvad õigusaktid arusaadavamaks ja paremini leitavaks. Hetkel on õigusaktid liiga killustunud. 32  Seletuskirja lisa 1. Kaasamistabel Avaandmete direktiivi muutmine määruseks – loodav määrus peaks jätma teatud paindlikkuse, et oleks võimalik arvestada riigi erisustega. 42. Kaubandus- ja Tööstuskoda Õigusraamistiku ühtlustamine Teadmiseks võetud. Kaubanduskoda toetab algatuse eesmärki lihtsustada, ühtlustada ja muuta selgemaks kehtivaid mahukaid digivaldkonna õigusakte. Toetame suunda koondada asjakohane regulatsioon otsekohalduvatesse määrustesse, mis aitab vähendada õigusruumi killustatust liikmesriikide vahel. On oluline, et lihtsustamisprotsess vähendaks reaalset halduskoormust, eelkõige väike- ja keskmise suurusega ettevõtjate jaoks. 43. Isikuandmete kaitse üldmääruse (GDPR) ja küpsiste reeglite Arvestatud osaliselt. Toome välja, et ajakohastamine ohu lävendi tõstmine ei võimalda järelevalveasutustel oma kohustuste Peame positiivseks püüdlust lihtsustada isikuandmete kaitse täitmist. üldmääruse (IKÜM/GDPR) ja küpsiste kasutamisega seotud nõudeid. Kaubanduskoja liikmed on välja toonud, et küpsiste ja isikuandmete kaitse üldmääruse rakendamist puudutavad punktid on ettevõtjate vaatest muutumas lihtsamaks ja selgemaks. Peame äärmiselt positiivseks püüdlust leevendada nn nõusoleku- väsimust läbi küpsiste klausli täpsustamise ning isikuandmeid puudutava osa integreerimise IKÜM-i raamistikku. Toetame kavandatavaid muudatusi, millega lihtsustatakse väikeettevõtjate jaoks töötlemistoimingute registri pidamist, privaatsusteabe esitamist ja andmekaitse mõjuhinnangute koostamist, kuna see tagab regulatsiooni mõistlikuma ja jõukohasema rakendamise. 33  Seletuskirja lisa 1. Kaasamistabel Samuti toetame järelevalveasutuse teavitamise kohustuse piiramist vaid kõrge riskiga rikkumiste puhul ning teavitamise tähtaja pikendamist 96 tunnini, mis vähendab nii vastutavate töötlejate kui ka järelevalveasutuste töökoormust ja võimaldab keskenduda reaalselt ohtlike intsidentide menetlemisele. 44. Politsei- ja Piirivalveamet 1. Isikuandmete mõiste muutmine (isikuandmed on Arvestatud. Eesti ei toeta mõiste kontekstipõhised) muutmist, kuid teeb ettepaneku täiendada IKÜM põhjenduspunkti Isikuandmete mõiste muutumine selliselt, et andmete selgitusega, et mõiste sisutamisel kvalifitseerumine isikuandmeteks sõltub kontekstist ja mõistlikult tuleb arvestada kohtupraktikaga. kasutatavatest vahenditest, võib PPA hinnangul tuua kaasa mõiste tõlgendamise erinevused nii erinevate sektorite kui EL liikmesriikide vahel ning riski mõiste pahatahtlikuks ärakasutamiseks, mis võib õõnestada õiguskindlust ja isikuandmete ühtset kaitsetaset. Juhul, kui isikuandmete mõiste soovitakse siiski kontekstipõhiseks muuta, tuleb PPA hinnangul sätestada selged kriteeriumid ja siduvad juhised, et vältida subjektiivseid tõlgendamisi. 45. 2. Andmekaitserikkumistest teavitamise tähtaja muutmine 72 Arvestatud. tunnilt 96 tunnini PPA hinnangul tagab kehtiv 72-tunnine tähtaeg andmekaitserikkumistest teavitamiseks kiire reageerimise kõrge riskiga intsidentidele ning selle pikendamise korral 96 tunnini võib suure riskiga intsidendi korral olla iga lisapäev kahju piiramisel kriitilise tähtsusega. Ühtlasi, kuna täiendava info edastamine on võimalik ka pärast esmase teavituse tegemist, ei ole SEP osas on koostatud seisukoht, et eri õigusaktide alusel tehtavate 34  Seletuskirja lisa 1. Kaasamistabel esialgse teavitusega viivitamine põhjendatud ega tähtaja intsidentide esitamise tähtaega tuleks pikendamine vajalik. ühtlustada. Lisaks eelnevale ning seoses intsidentidest teavitamise ühe akna (Single-Entry Point ehk SEP) loomisega, tekib ka küsimus, kuidas suhestub planeeritav muudatus muud liiki intsidentidest teavitamise tähtajaga (72h), mis ei muutu – eelkõige tekitab küsimusi asjaolu, et andmekaitsealane intsident võib samal ajal olla ka küberintsident. Eelnevast tulenevalt on PPA ettepanek säilitada senine 72-tunnine tähtaeg igat liiki intsidentidest teavitamiseks. 46. 3. Eriliiki isikuandmete kasutamine tehisintellekti arendamiseks ja Arvestatud osaliselt. toimimiseks Eesti on seisukohal, et eristada tuleb Kuigi muudatusettepaneku eesmärk on soodustada innovatsiooni, selgelt arendamise ja toimimise tekitab see siiski mitmeid tõsiseid küsimusi, nt kuidas maandada etappe ja neid nii ka reguleerida. turvariske ning kuidas on tagatud põhiõiguste kaitse (kui eriliiki Eesti ei toeta isikuandmete isikuandmed satuvad tehisintellekti mudelitesse). Muuhulgas töötlemisaluste kinni kirjutamist kaasneb muudatusega ka vajadus väga selgete juhiste osas, kuidas tehisintellekti ja milliseid tehnilisi ja organisatsioonilisi meetmeid tuleb järgida, arendamisel/treenimisel. kuidas viia läbi riskihindamist ja seda dokumenteerida, millised on täpsed piirangud ja reeglid jms. 47. 4. Täiendavad ettepanekud tehisintellekti määruse muutmiseks Mitte arvestada. 4.1. Õiguskaitseasutuste (law enforcement authority) ulatus ja kohustused Isikuandmete töötlemise vaatest on rollid endiselt vastutav ja volitatud PPA hinnangul ei hõlma õiguskaitseasutuse definitsioon töötleja. IKÜMi ja LED reeglid on ühisarenduste olukordi, kus osalevad nii avalikud kui selleks piisvad. AI määrus ei pea ega eraõiguslikud partnerid. Seega tekib küsimus, kuidas määratleda tohikski neid üle kirjutada. Õiguskaitseasustus on defineeritud 35  Seletuskirja lisa 1. Kaasamistabel teenusepakkuja (provider) ja vastutused, kui AI määruse artiklis 3 punkti 45. tehisintellektisüsteemid arendatakse ühiselt. Koostöö projektides rollid on samad, mis AI määruse art 3 defineeritud. PPA ettepanek on määratleda selgelt õiguskaitseasutuse definitsioon, mis kajastaks nende tegevuste ulatust, eriti koostööprojektides teiste asutuste, ettevõtete ja teadusasutustega. See aitab vältida ebaselgust ning tagab ühtse rakendamise. Täiendavalt juhib PPA tähelepanu, et kui tehisintellektisüsteeme arendatakse ühiselt ja kasutatakse ühiseid andmeid, tekib olukord, mis sarnaneb GDPR artikli 26 ja LED artikli 21 joint controllership mudelile. Sellest tulenevalt on PPA ettepanek rakendada tehisintellektimääruses sama mudelit ja määratleda mitme teenusepakkuja vastutus (joint providers). See looks nii läbipaistvuse, stabiilsuse kui ka vastavuse tehisintellektimääruse nõuetega. 48. 4.2. Tehisintellektisüsteemide pakkujate ja kasutajate vaheline Mitte arvestada. läbipaistvus PPA hinnangul on peamine probleem, et õiguskaitseasutused, kes Kehtivas AI määruses on juba rollid kasutavad kõrge riskiga tehisintellektisüsteeme, ei saa alati ja neile kohalduvad reeglid. täielikku tehnilist juurdepääsu kommertspakkujate loodud süsteemidele, kuna need on kaitstud ärisaladuste ja intellektuaalomandi seadustega. See omakorda raskendab tehisintellektimääruse nõuete täitmist, eriti vastutuse ja dokumentatsiooni osas. PPA hinnangul on vaja selgeid ja praktilisi juhiseid tehisintellektisüsteemide pakkujate ja kasutajate (deployers) rollide, vastutuse ja andmete jagamise kohustuse osas. Eelkõige on vaja täpsustada järgmist: 36  Seletuskirja lisa 1. Kaasamistabel  Kasutajad peavad saama täita oma juriidilisi kohustusi vastavalt tehisintellektimäärusele ning neil peab olema vajalik juurdepääs pakkujate dokumentidele, et täita oma hoolsuskohustust.  Pakkujad säilitavad vastutuse tagada, et tehisintellektisüsteem on kujundatud ja dokumenteeritud viisil, mis võimaldab kasutajal täita kehtivaid kohustusi, mis võib tähendada ka täieliku tehnilise info avaldamist kasutajatele.  Standardiseeritud lepingulised klauslid või mallid võiksid toetada ühtsust EL liikmesriikide vahel, tagades selle, et pakkujad jagavad piisavalt teavet, kaitstes samal ajal siiski ettevõtte ärisaladusi või intellektuaalomandit. 49. 4.3. Andmete valideerimine ja tehisintellektisüsteemide Mitte arvestada. treenimine Aktid on koostoimelised. IKÜM ja PPA hinnangul on andmete valideerimisel ja LED kohalduvad tehisarule nagu tehisintellektisüsteemide treenimisel peamine probleem igale teisele isikuandmetöötlusele. tehisintellektimääruse koostoime olemasolevate õigusaktidega, nagu GDPR ja LED. Samuti on oluline välja tuua, et:  tehisintellektisüsteemide kvaliteet ja usaldusväärsus sõltuvad kõrgekvaliteediliste treeningandmete kättesaadavusest.  suurte andmehulkade töötlemisel on õiguslikud takistused.  GDPR-i artikli 6 alusel andmete uuesti töötlemine ei ole realistlik, sest nõuded on killustatud ja keerulised. Eelnevast tulenevalt on PPA ettepanek täpsustada rakendusjuhistes võimalusi andmetele ligipääsuks ja nende taaskasutuseks, et vältida GDPR-i ja LED-iga seotud lahknevusi ja liikmesriikide erinevaid tõlgendusi. Samuti on PPA hinnangul vaja täpsustada GDPR-i artikleid 5 ja 6 ehk vaja on juhiseid 37  Seletuskirja lisa 1. Kaasamistabel proportsionaalsuse ja vajalikkuse testide rakendamiseks tehisintellektisüsteemide treenimisel. 50. Kodanik 1 Sissejuhatus Teadmiseks võetud. 1.1 Omnibus 1.1.1 Euroopa Komisjon (EK) on teinud ettepaneku ulatusliku muudatuste paketi kohta ELi digitaalses õigusraamistikus. Nende ettepanekute, mida koondnimetusena nimetatakse digitaalseks Omnibusiks (Digital Omnibus), eesmärk on ajakohastada ja ühtlustada digiregulatsioone liikmesriikide vahel. Digitaalne Omnibus hõlmab olemasolevate õigusaktide muudatusi ning uusi raamistikke, et lahendada esilekerkivaid probleeme digikeskkonnas. Liikmesriigid kujundavad praegu oma seisukohti nende ettepanekute suhtes ning järgmine tagasiside on mõeldud sisendina nende aruteludeks. 1.2 Taust 1.2.1 Kuigi praegustes aruteludes domineerivad mured liigse andmekogumise ja eraelu puutumatuse vähenemise pärast, on oluline pöörduda tagasi eraelu puutumatuse õiguse alusprintsiipide juurde. See õigus loodi põhiprobleemi lahendamiseks: üksikisikute kaitsmiseks põhjendamatu sekkumise, jälgimise ja isikuandmete väärkasutuse eest – nii analoogses kui ka digitaalses kontekstis. 1.2.2 Digitaalse Omnibusi määruse ettepanek (november 2025): link 1.2.3 Euroopal on pikaajaline traditsioon tunnustada eraelu puutumatuse olulisust. Peaaegu pool sajandit tagasi, 1981. aastal, võttis Euroopa Nõukogu vastu konventsiooni 108 – esimese 38  Seletuskirja lisa 1. Kaasamistabel õiguslikult siduva rahvusvahelise lepingu, mis keskendus andmekaitsele. Konventsioon 108 käsitles riske, mis kaasnesid arvutustehnoloogia üha laialdasema kasutamisega profileerimise tõhustamiseks ning isikuandmete kuritarvitamise võimalusega. 1.2.4 Arvutusvõimsuse ja andmetöötlusvõimekuse arenguga on kasvanud ka profileerimise ja jälgimise keerukus. Eraelu puutumatuse õiguse algset eesmärki mõistes saab selgeks, et õigusaktid peavad arenema koos tehnoloogilise arenguga. Selles kontekstis mängis Euroopa Komisjoni konkurentsivolinik Margrethe Vestager keskset rolli digiregulatsioonide edendamisel, sealhulgas isikuandmete kaitse üldmääruse (GDPR) ja teiste algatuste puhul, mille eesmärk oli tugevdada tarbija- ja digiõigusi. 1.2.5 Lühikese aja jooksul saavutas EL selle, mida paljud pidasid turu- ja tarbijaõiguste reguleerimise kullastandardiks, eriti tehnoloogiasektoris. Hilisemad aruanded, nagu Draghi aruanne ja Letta aruanne, tõid aga esile uued väljakutsed ja võimalused edasiseks reformiks. Need aruanded kujundasid EK hiljutised ettepanekud, sh digitaalse Omnibussi. 1.2.6 Letta aruanne ühtse turu tuleviku kohta (aprill 2024): link 1.2.7 Draghi aruanne ELi konkurentsivõime kohta (september 2024): link 1.3 Probleem 1.3.1 Nii Letta aruanne kui ka Draghi aruanne toovad esile regulatiivse koormuse kui ühe teguri, mis pärsib innovatsiooni ja seeläbi ka ELi konkurentsivõimet. Siiski on oluline märkida, et kumbki aruanne ei käsitle digiõigusi – näiteks eraelu puutumatust – esmase probleemina. Digiõigusi käsitletakse pigem teiseste 39  Seletuskirja lisa 1. Kaasamistabel kaalutlustena, keskendudes muudele süsteemsetele küsimustele, nagu turu killustatus, jõustamisraskused ja halduslik ebatõhusus. 1.3.2 Aruanded ei kutsu üles digiõiguste kaotamisele ega nõrgestamisele. Näiteks ei soovita kumbki aruanne viia ELi standardeid kooskõlla leebemate režiimidega eraelu puutumatuse või tarbijakaitse arvelt. Vastupidi, Letta aruanne tunnistab selgesõnaliselt ELi regulatiivse raamistiku mõju üleilmsetele standarditele nn Brüsseli efekti kaudu, rõhutades tugeva digiõiguste kaitse olulisust. 1.3.3 Mõlema aruande rõhuasetus on ELi poliitikate koordineerimisel, ühtlustamisel ja lihtsustamisel. Neid eesmärke käsitletakse viisidena tõhususe ja konkurentsivõime parandamiseks, mitte olemasolevate digiõiguste raamistike, nagu GDPR, õõnestamiseks. 1.4 Teisisõnu 1.4.1 Oluline on eristada aruannete järeldusi ja Euroopa Komisjoni pakutud lahendusi. Aruanded toovad esile probleemid ja võimalused, kuid EK pakutud lahendused – näiteks digitaalses Omnibussis – võivad neid väljakutseid tõlgendada või käsitleda erinevalt. Näiteks: 1.4.1.1 Regulatsioonide lihtsustamine ja koondamine ei tähenda iseenesest digiõiguste nõrgestamist. Selle eesmärk võib olla hoopis dubleerimise vähendamine ja selguse suurendamine. 1.4.1.2 Poliitikate jõustamise ebakõlade kõrvaldamine ei võrdu olemasolevate seaduste, nagu GDPR, eesmärkide hülgamisega. See võib tähendada üksnes tõhusamat rakendamist. 40  Seletuskirja lisa 1. Kaasamistabel 1.4.2 Digitaalse Omnibussi sihtmärgiks olevad õigusaktid loodi algselt konkreetsete probleemide lahendamiseks, näiteks üksikisikute kaitsmiseks põhjendamatu jälgimise ja andmete väärkasutuse eest. Enne nende seaduste muutmist on kriitiline küsida: kas algsed probleemid on lahendatud? Kui mitte, siis millised on kaitsemeetmete vähendamise või kaotamise riskid? 1.4.2.1 Millised on regulatiivsete prioriteetide nihutamise võimalikud tagajärjed? Näiteks kas konkurentsivõime kasv võib tulla usalduse või põhiõiguste arvelt? 51. 2 Kavandatav lahendus Teadmiseks võetud. 2.1 Enne kui alustame 2.1.1 Enne kui analüüsida, mida digitaalses Omnibussis koondatakse või muudetakse, on oluline esile tõsta see, mis deregulatiivse suuna raames on välja jäetud. Need väljajätmised on märgilised, sest need puudutavad ELi digivalitsemise raamistiku olulisi osi, mis olid mõeldud uute probleemide lahendamiseks, kuid on nüüd kas hüljatud või edasi lükatud. 2.1.2 ELi lähenemine tehisintellekti reguleerimisele oli algselt kavandatud kaheastmelise raamistikuna: 2.1.2.1 Tehisintellekti määrus (AI Act, AIA): keskendub tehisintellektisüsteemide klassifitseerimisele ja juhtimisele, sealhulgas riskipõhisele jaotusele ja vastavusnõuetele. 2.1.2.2 Tehisintellekti vastutuse direktiiv (AI Liability Directive, AILD): pidi kehtestama selged reeglid tehisintellekti põhjustatud kahjude eest vastutuse kohta, tagades vastutuse ja õiguskaitsevahendid mõjutatud isikutele. 41  Seletuskirja lisa 1. Kaasamistabel 2.1.3 Euroopa Parlamenti kinnitati, et kui AIA vastu võetakse, järgneb sellele AILD, et raamistik oleks terviklik. AILD on aga vahepeal laiemate deregulatiivsete eesmärkide raames tühistatud. See jätab ELi kavandatud tehisintellekti valitsemisstruktuurist alles vaid poole ning tekitab vastutuse ja õiguskaitse osas regulatiivse lünga. 2.1.4 2002. aastal vastu võetud e-privaatsuse direktiiv oli ammu moderniseerimist vajanud. Euroopa Komisjon tegi ettepaneku asendada see e-privaatsuse määrusega, mis oleks: 2.1.4.1 kehtestanud otsekohalduva regulatsiooni (mitte direktiivi, mis vajab ülevõtmist), tugevdanud kasutajate nõusolekunõudeid elektroonilises suhtluses ning pakkunud tugevat kaitset metaandmetele ja digitaalsele kommunikatsioonile. 2.1.5 Selle väljajätmine jätab ELi digiõiguste raamistikku märkimisväärse lünga. 2.1.6 Märkus: digitaalse Omnibussi praegusel versioonil puuduvad põhjalikud mõjuhinnangud kavandatavate muudatuste kohta. Kavandatud lahendusi tuleks hinnata mõjuhinnangute kaudu, mis arvestavad nii majanduslikke kui ka põhiõigustega seotud mõjusid. See tagaks, et muudatused on kooskõlas ELi pikaajalise pühendumusega digiõigustele ning lahendavad samal ajal aruannetes tuvastatud praktilisi probleeme. 2.2 Mis koondatakse 2.2.1 Nagu varem märgitud, ei tähenda regulatsioonide lihtsustamine ja koondamine iseenesest digiõiguste nõrgestamist. Selle eesmärk võib olla dubleerimise vähendamine ja selguse suurendamine. Üldjoontes tundub see osa (mis koondatakse) 42  Seletuskirja lisa 1. Kaasamistabel vähem problemaatiline kui järgmine (mis muudetakse), välja arvatud e-privaatsuse regulatsiooni tühistamine. 2.2.1.1 Avatud andmete direktiiv (ODD, 2019/1024): viidud andmemäärusesse (Data Act). 2.2.1.2 Andmehalduse määrus (DGA, 2022/868, II peatükk): andmevahenduse ja avaliku sektori andmete taaskasutuse reeglid viidud andmemäärusesse. 2.2.1.3 Platvormilt ettevõtjale määrus (P2B, 2019/1150): tunnistatud kehtetuks, kuna selle eesmärgid on nüüd suures osas kaetud digitaalturgude määruse ja digiteenuste määrusega. 2.2.1.4 Mitteisikuandmete vaba liikumise määrus (FFNDR, 2018/1807): tunnistatud kehtetuks, põhireeglid (nt põhjendamatu andmete lokaliseerimise keeld) viidud andmemäärusesse. 2.2.1.5 e-privaatsuse direktiiv (2002/58/EÜ): tunnistatud kehtetuks, osa selle sätteid (eriti küpsiste ja jälgimise kohta) integreeritakse GDPRi. 2.2.2 Ühtne intsidentide teavitamise punkt: uus digitaalne tööriist võimaldab ettevõtetel teatada küberturbeintsidentidest ja andmeleketest üks kord, täites korraga mitme õigusakti (nt NIS2, GDPR, DORA, eIDAS, CER) nõudeid. 2.3 Mis muudetakse 2.3.1 GDPR – isikuandmete määratlus 2.3.1.1 Praegune määratlus: objektiivne. Andmeid käsitatakse „isikuandmetena”, kui need on seotud tuvastatud või tuvastatava 43  Seletuskirja lisa 1. Kaasamistabel isikuga, sõltumata sellest, kas vastutav töötleja saab isiku tegelikult tuvastada. Kavandatav määratlus: subjektiivne. Andmed on „isikuandmed” ainult siis, kui konkreetne töötleja suudab isikut realistlikult tuvastada. 2.3.1.2 Näide: kui „ettevõte A” omab pseudonüümitud andmeid, kuid tal puudub võti isikute taas­tuvastamiseks, ei oleks need tema jaoks enam „isikuandmed” – isegi kui „ettevõte B” suudaks need andmed tuvastada. Tagajärg: Euroopa Komisjon saaks määrata, millal pseudonüümitud andmed ei ole teatud üksuste jaoks enam isikuandmed. Riskid: subjektiivsed lüngad, jõustamisraskused, õiguslik ebakindlus ja võimalikud vastuolud ELi põhiõiguste hartaga. 2.3.1.3 Subjektiivsed lüngad: töötlejad võiksid ise deklareerida, et andmed ei ole isikuandmed, muutes järelevalve peaaegu võimatuks. Õiguslik ebakindlus: muudatused käivitaksid aastatepikkuse kohtuvaidluste laine. Vastuolu hartaga: ettepanek langetab kaitsetaset alla direktiivi 95/46 taseme, millele harta viitab miinimumstandardina. 2.3.2 GDPR – teadusuuringute erandid 2.3.2.1 Kavandatud muudatused: laiad erandid „igasugusele teadusuuringule”, mis „võib toetada innovatsiooni” või hõlmab „olemasolevate teadmiste uuel viisil rakendamist” (nt 44  Seletuskirja lisa 1. Kaasamistabel tehisintellekti treenimine). Nõue järgida „eetilisi standardeid”, mis on sageli määratlemata või tööstuse kujundatud. 2.3.2.2 Riskid: äriettevõtted võiksid GDPRist mööda hiilida, nimetades tegevuse „teadusuuringuks”. See õõnestab GDPRi põhimõtteid nagu eesmärgipärasus ja andmete minimeerimine ning ei täida harta artikli 8 nõutud vajalikkuse ja proportsionaalsuse kriteeriume. 2.3.3 Lisaks 2.3.3.1 Kavandatud muudatused: töötlejad võivad jätta andmetöötluse kohta teabe andmata, kui: – töötlemine toimub „teadusuuringute eesmärgil”; – teabe andmine on „võimatu” või nõuab „ebaproportsionaalset pingutust”; – avaldamine „tõsiselt kahjustaks” uurimise eesmärke. 2.3.3.2 Riskid: nõrgestab läbipaistvust, mis on GDPRi alustala. Andmesubjektid võivad kaotada võimaluse oma õigusi kasutada. „Teadusuuringu” lai määratlus võib hõlmata peaaegu iga teisest andmekasutust. 2.3.4 Tehisintellekt – õigustatud huvi 2.3.4.1 Kavandatav tekst: isikuandmete töötlemist tehisintellekti arendamiseks ja kasutamiseks võib pidada õigustatud huviks, kui see ei kaalu üles andmesubjekti õigusi ja vabadusi ning rakendatakse sobivaid kaitsemeetmeid. 2.3.4.2 Mõju: loob eelduse, et tehisintellektiga seotud töötlemine on õigustatud, nihutades tõendamiskoormuse andmesubjektidele ja luues tehnoloogiaspetsiifilise erandi. 45  Seletuskirja lisa 1. Kaasamistabel 2.3.5 Tehisintellekt – kaitsemeetmed 2.3.5.1 Kavandatud kaitsemeetmed: andmete minimeerimine, suurem läbipaistvus, tingimusteta õigus esitada vastuväide. 2.3.5.2 Probleemid: ebamäärane sõnastus, raskused järelevalves ja rakendamises. 2.3.6 Tehisintellekt – mured 2.3.6.1 Tehnoloogianeutraalsuse hülgamine, õiguslik ebakindlus, jõustamisraskused. 2.3.6.2 Avalike andmete kasutamine treenimiseks, biomeetriliste andmete töötlemine ja vastuväiteõiguse praktiline piiratus. 2.3.6.3 Artikkel 88c võib nõrgendada andmekaitset, suurendada ebakindlust ja soodustada suuri tehnoloogiaettevõtteid. 2.3.7 Märkus 2.3.7.1 AI Acti kõrge riskiga süsteemide nõuete jõustumine on edasi lükatud. 2.3.7.2 Harmoneeritud standardid ja juhised ei ole 2025. aasta lõpu seisuga valmis, mis suurendab ebakindlust eriti VKEde jaoks. 3 Kokkuvõte 3.1 Digitaalne Omnibus toob muudatusi, mis vähendavad küll koormust, kuid tekitavad märkimisväärset ebamäärasust ja riske. 3.1.1 Selgus vs ebakindlus: tekib oht, et keerukus hoopis suureneb, eriti VKEde jaoks. 46  Seletuskirja lisa 1. Kaasamistabel 3.1.2 Tasakaalu puudumine: vastutuse raamistik on puudulik, eriti AILD tühistamise tõttu. 3.1.3 Kooskõla põhiõiguste hartaga: oht õõnestada artiklit 8 ja GDPRi aluspõhimõtteid. 3.1.4 Kolmandate osapoolte eelis: suured tehnoloogiaettevõtted võivad ebaproportsionaalselt võita; VKEde olukord võib halveneda. 3.2 Seetõttu 3.2.1 Palume käsitleda kogu dokumendis esile toodud puudujääke. 3.2.2 Põhiküsimused: kuidas probleem määratleti, milliseid alternatiive kaaluti ja kas dereguleerimine on saanud sama põhjaliku analüüsi kui varasemad, põhiõigusi austavad lahendused. 52. Eesti Infotehnoloogia ja 1. ITL toetab algatuse eesmärki kehtivaid keerulisi ja mahukaid Teadmiseks võetud Telekommunikatsiooni Liit õigusakte lihtsustada. Mitmed paketis sisalduvad muudatused on Eesti ettevõtetele kasulikud, s.h need mis puuduvad just väiksemaid ettevõtteid. Seega leiame, et Eesti võiks lihtsustamispaketile toetust avaldada, kuna see on õige suund ning selles pakutakse välja lahendusi mitmele murele, mida turuosalised on praktikas tõstatanud. 2. Toetame muudatusi, mis lihtsustavad andmete kasutamist ning vähendavad osapoolte jaoks bürokraatiat. Näiteks kohustuslike aruannete vormide asendamist vabatahtlikega ja registreerimiskohustuste vähendamist. 47  Seletuskirja lisa 1. Kaasamistabel 3. Toetame seda, et erinevad andmealased õigusaktid liidetakse üheks õigusaktiks ehk kogu asjakohane regulatsioon koondatakse andmemäärusse. Varasemalt oleme leidnud, et esimese sammuna tuleks hetkel kehtivad ja peagi jõustuvad EL-i õigusaktid üle vaadata, eemaldada nende ülekatted ja kõrvaldada vastuolud ning regulatsiooni oluliselt lihtsustada ja alles siis mõelda konsolideerimise peale. Euroopa Komisjon pakub digiomnibussiga neid samme koos ning see tundub mõistlik, eriti kuna palju regulatsioone tunnistatakse ka kehtetuks. 4. Üldpõhimõttena toetame ka seni direktiivides sisalduva regulatsiooni viimist määrusesse kui otsekohalduvasse õigusakti. Peame selle all silmas andmealaseid õigusakte, kuna selles valdkonnas on juba palju otsekohalduvaid määruseid ning seetõttu võiks kogu asjakohane regulatsioon kehtida määrusena. 5. Peame oluliseks, et töö digivaldkonna õigusaktide lihtsustamise nimel jätkuks, kuna antud pakett on alles esimene samm. Seejuures on oluline arvestada suuremat eesmärki tagada õiguskindlusja selgus ehk anda osapooltele aega regulatsioone rakendada, teha nende mõjude ja tulemuste kohta järeldusi ning hoiduda pidevast muutmisest ja uute kohustuste kehtestamisest. Eesmärk lihtsustada ja halduskoormust vähendada on väga hea, kuid tähendab ka, et niipea digivaldkonnas veel õigusrahu oodata pole. 53. Andmemäärusega Arvestatud osaliselt. 1.1. Toetame ettepaneku artikkel 1 punkte 6 ja 7, millega Hädaolukorras andmete küsimise kitsendatakse ettevõtetelt riigile andmete andmise kohustust ainult seisukoht läks sisse. IaaS ja PaaS hädaolukorras andmete andmisele. Nõustume, et kehtivas teema ei ole omnibussi Komisjoni andmemääruse on see kohustus liiga ulatuslik. poolt pakutud ja seega see ettepanek läheb skoobist välja. Nende teenuste 48  Seletuskirja lisa 1. Kaasamistabel 1.2. Teeme ettepaneku kaaluda eelnõuga lisaks sõnaselgelt IaaS ja väljavõtmist ei toetatud, kuivõrd siin PaaS teenuste väljavõtmist andmemääruse teenuseosutaja ka tarbija huvid. Tehniliselt vahetamise ja andmete ülekantavuse (switching portability) rakendamine võimalik, eeldab skoobist, kuivõrd nende teenuste olemusest tulenevalt ei ole see ühtseid aluseid (vt andmemääruse art praktikas tehniliselt mõistlikult rakendatav. 35). Põhiõigustega kooskõla seisukoht on lisatud. IKÜM 1.3. Toetame ettepaneku artikkel 1 punkti 3, millega kehtestatakse kohaldub. täiendavad tingimused, mis võimaldava andmete omanikest ettevõtetel kaitsta oma ärisaladust. Leiame, et sellest meetmest on abi ettevõtetel, kes on kohustatud andmemääruse kohaselt teatud tingimustel oma klientide andmeid väljastama teistele ettevõtetele. Juhul, kui digiomnibussi edasise menetluse käigus tuleb arutlusele ka ettepanek erasektori andmete kohustusliku jagamise vabatahtlikuks muutmiseks andmemääruses, siis tuleb suhtuda sellesse ettevaatlikult ning kindlasti analüüsida hoolikalt selle kasusid ja kahjusid. Erasektori ja eelkõige väiksemate teenus- või tootmisettevõtete (näiteks põllumajanduse sektoris) poolt vaadatuna on andmemäärusega kehtestatud B2B andmejagamise kohustus siiski kasulik, kuna võimaldab saada suurtelt tööstusettevõtetelt vajalikke andmeid, mille peale saab ehitada uusi innovaatilisi teenuseid ja pakkuda tarbijatele suuremat valikut, näiteks valida seadmete hooldusteenuse pakkujaid. 54. 2. Avaandmete direktiiviga Arvestatud. 2.1. Digiomnibuss sisaldab ettepanekut tunnistada avaandmete direktiiv kehtetuks ja hõlmata selles sisalduv andmemäärusesse. See tähendaks, et seni direktiiviga reguleeritu tuleb Eesti avaliku teabe seaduses kehtetuks tunnistada, kuna kohalduma hakkab EL- i otsekohalduv regulatsioon. Selle ettepaneku osas seisukoha kujundamiseks on vaja analüüsida, mida selline muudatus praktikas Eestis kaasa tooks. 49  Seletuskirja lisa 1. Kaasamistabel Kuna avaliku sektori käes olevate andmete avamine on seni kulgenud üsna vaevaliselt, siis kui otsekohalduv määrus sätestaks selle selgema kohustusena ja andmete avamine kulgeks edukamalt, peame vajalikuks seda toetada. 2.2. Meil puuduvad hetkel ettepanekud väärtuslike andmete nimekirja muutmiseks. Toetame seda, et liikmesriikidele on jäetud otsustusvabadus ja see võimaldab Eestis siseriiklikult täiendavaid väärtuslikke andmestikke nimetada. 2.3. Märgime, et avaandmete direktiivist andmemäärusesse toodavate sätete osas (ettepaneku artikkel 1 punktiga 18 lisatav peatükk VIIc) tekitab küsimust andmete ja dokumentide eristamine. Kord nimetatakse neid koos ja teinekord eraldi. Seetõttu on raske aru saada, mida täpsemalt mõeldakse. Samuti, kuidas see seostub andmemääruses andmete definitsiooniga (andmemääruse art 2 punktiga 1: andmed on tegevuse, faktide või teabe ning sellise tegevuse, faktide või teabe kogumi digitaalne väljendus, muu hulgas heli-, visuaal- või audiovisuaalsalvestise kujul). 2.4. Avaliku sektori avaandmete (seda just toorandmete – raw data) kättesaadavaks tegemine peaks printsiibis olema tasuta. Vaid väärindatud andmete kättesaadavaks tegemine võib olla tasuline. Ettepaneku artikkel 1 lõikega 2 lisatakse andmemääruse artiklisse 2 punt 61, millega defineeritakse investeeringutasuvus. Andmemäärusesse lisatav artikkel 32q lubab investeerimistasuvust arvestada avaandmete eest nõutava tasu puhul. Oleme seisukohal, et avaandmete puhul ei tohiks investeeringutasu arvesse võtmine olla lubatud, kuna need investeeringud on tehtud maksumaksja raha eest ning see on juba olnud ühiskonna ühine panus. 50  Seletuskirja lisa 1. Kaasamistabel 55. 3.1. Isikuandmete kaitse üldmääruse (IKÜM) muudatuste osas on Arvestatud osaliselt. seni olnud nii Euroopa kui ka Eesti ettevõtted pigem ettevaatlikud peljates selle avamist. Ka praegu on näha, et tegemist on kõige Isikuandmete mõiste osas ei toeta rohkem tähelepanu saava osaga digiomnibussist. Juba on tehtud Eesti mõiste täiendamist ning palub ka ettepanekuid menetleda IKÜM-it puudutavaid ettepanekuid täiendada IKÜM põhjenduspunkti muust paketist eraldi, et need ei saaks takistuseks kiirel selgitusega, et mõiste sisustamisel edasiliikumisel. Toome omalt poolt välja, et koos tehisintellekti tuleb arvestada kohtupraktikaga. määruse võimalike muudatustega menetlemise positiivne pool Eesti ei toeta ka ohu lävendi tõstmist seisneb selles, et siis on reaalselt olemas selged kasutusjuhud teavitamisel, kuna see raskendab tehisintellekti jaoks vajalike andmete/andmestike põhjal ehk järelevalveasutusel oma kohustuste koosmõju on kindlasti olemas ning vajab arvestamist. Lisame, et täitmist. Eesti toetab erinevates kuna IKÜM-I muudatusi on palju ning need on seotud kogu õigusaktides olevate teavituste digiomnibussi eelnõu teiste sätetega, siis põhjalikku analüüsi tähtaegade ühtlustamist. saaks teha, kui oleks olemas eelnõu terviktekst. Teadusuuringu mõiste osas võtame 3.2. Isikuandmete mõistet puudutavad muudatused: arvamus teadmiseks, selgitame, et IKÜM-i eesmärk ei ole kitsenda 3.2.1.IKÜM artikli 4 lg 1 ehk isikuandmete mõiste muudatused on teadusuuringute tegemist üksnes tekitanud väga elavat diskussiooni erialases ringkonnas. Mõistame teadusasutustega vaid innovatsiooni Euroopa Komisjoni soovi juurutada Euroopa Kohtu otsusest tegemise võimalus peab olema EDPS vs SRB (C-413/23) tulenevat praktikat, kui ettepanekus laiemalt. toodud mõistet on sellest tulenevalt oluliselt laiendatud. Pooldame seda, et mitte kõiki andmekaitse nõudeid ei peaks täitma olukorras, kus tegelikkuses andmete saajal ei ole mõistlikult AI treenimise/arendamise õiguslike võimalik isikut antud andmete pinnalt tuvastada. Samas oleks aluste kinni kirjutamist ei toeta. seda võimalik reguleerida ka selliselt, et sisustada täpsemalt Selgitused eespool ning pseudonüümimise mõiste ja siduda see kohustusega seda ajas seisukohtades. Eriliigiliste andmete hinnata. SRB lahendis on selgelt vastutava töötleja pingutuse kasutamine kallutatavuse element sisse kirjutatud, s.t ta peab midagi eraldi tegema selleks, tuvastamisel ja sellekohased PETid et teine pool ei saaks isikuid enam tuvastada. ITL-ina tervitame on seisukohtades arvestatud. seda lähenemist. Samuti saaks täpsemalt reguleerida, millal loetakse andmeid pseudonüümituks ning kohustada võtma arvesse 51  Seletuskirja lisa 1. Kaasamistabel mis iganes tehnoloogilisi või keskkonnas toimunud arenguid, mille puhul peab uuesti hindama, kas võetud meetmed on olnud piisavad. 3.2.2.Isikuandmete mõiste praeguse sõnastuse laiendamine tekitab küsimusi selles osas, kuidas muudatust praktikas rakendada. Täpsemalt, milliseid andmekaitse nõudeid peab täitma juhul, kui saaja jaoks ei ole andmed enam isikuandmed. Näiteks kas on vajalik andmetöötluslepingu sõlmimine, kui vastutava töötleja vaatest on tegemist isikuandmetega, kuid saaja vaatest ei ole saadavad andmed isikustatud andmed. Sarnased küsimused võivad tekkida ka muude vastutava töötleja kohustuste täitmisel (nt andmelekkest teavitamine, andmeedastuse mõju hindamine, volitatud töötlejate avaldamine andmesubjektile jms). 3.2.3.Teeme ettepaneku selgelt IKÜM-is sätestada, et juhul, kui saaja jaoks ei ole tegemist isikuandmetega, ei ole kohustust sõlmida ka andmetöötluslepingut. 3.3. Toetame muudatusi millega IKÜM art 12 lg 5 (töötlemistoimingute registri piirangud), art 13 lg 4 (privaatsusteabe esitamise piirangud) ja art 35 (andmekaitse mõjuhinnangu nõuded) alusel lihtsustakse eelkõige väike- ja keskmistel ettevõtetel IKÜM mõistlikku rakendamist. 3.4. Töötlemistoimingute registri kohustuse kehtestamine 750 või enama töötajaga ettevõtetele võib aga Eesti kontekstis tekitada praktikas probleeme. Töötlemistoimingute register on andmekaitsekohustuste keskpunkt, mille olemasolu tagab ja aitab ka teiste andmekaitse kohustuste täitmist praktikas teostada. Kui seda pole, siis on praktiliselt ettevõtetel keerukas ka koostada näiteks privaatsusteadet ajakohasena, vastata andmesubjekti päringutele, kiirelt reageerida andmeleketele jms. Lisaks sellele 52  Seletuskirja lisa 1. Kaasamistabel võib jääda mulje, et kui on 750 või vähem töötajat, siis pole eriti vaja andmekaitse vaatest pingutada ning see ei aita tõsta teadlikkust andmekaitse teemade olulisusest laiemalt. Näiteks on töötlemistoimingute register vajalik ka tõhusa andmehalduse ja tehisintellekti rakendamiseks. 3.5. Toetame IKÜM art 33 muutmise ettepanekut, mille kohaselt kehtiks järelevalveasutusele isikuandmete nõuete rikkumisest teavitamise kohustus ainult kõrge riskiga rikkumiste puhul. See vähendaks nii vastutavate töötlejate kui ka järelevalveasutuste töökoormust ning aitaks keskenduda kõrge riskiga juhtumite menetlemisele ja kahjulike tagajärgede maandamisele. Usume, et see on olnud ka täna järelevalveasutuste ootus. Toetame ka teavitamise tähtaja pikendamist 96-le tunnile. See leevendaks eelkõige olukordi kus tähtaja arvestuse sisse jääb nädalavahetus. 3.6. Seoses tehisintellekti treenimise ja arendamise õiguslikke aluseid puudutava muudatusega märgime, et tegemist on olulise muudatusega, kuna seni tehnoloogianeutraalsena hoitud IKÜM- isse soovitakse sisse kirjutada konkreetse tehnoloogiaga seotud sätted. Esiteks toetame muudatust, millega tuuakse selgelt välja, et eriliigilisi isikuandmeid võib kasutada tehisintellekti kallutatavuse vähendamiseks. Teiselt poolt vajab meie hinnangul täiendavat kaalumist ja arutelusid tehisintellekti treenimise üldise õigusliku aluse lisamine IKÜM-isse. Meie hinnangul võiks see alus sisalduda pigem tehisintellekti määruses, kuna IKÜM-it võiks hoida jätkuvalt tehnoloogianeutraalsena, et seda tuleviku arengutele mõeldes mitte kinni kirjutada. 3.7. Ettepanekuga artikkel 3 lõikega 1 soovitakse IKÜM-is defineerida teadusuuring ning lõikega 2 muuta avalikes huvides hilisem töötlemine arhiveerimise, teadus- või ajaloolise uurimistöö või statistilistel eesmärkidel esialgse töötlemise 53  Seletuskirja lisa 1. Kaasamistabel eesmärgiga ühilduvaks. Analüüsimist vajab, mida see praktikas tähendaks ning kuidas mõjuks isikuandmete kaitsele, kuna need eesmärgid on väga laiad. Samuti tekitab teadusuuringu defineerimine IKÜM-is küsimuse, miks seda vaja on, kui teadusmaailm lähtub selleks Frascati käsiraamatust 2015 „Teadusuuringuid ja eksperimentaalarendust käsitlevate andmete kogumise ja esitamise suunised“. 56. 4. ePrivaatsuse direktiiviga Teadmiseks võetud. 4.1. Tervitame küpsiste klausli täpsustamist ja selle isikuandmeid Selgitame, et Eesti toetab e- puudutava osa toomist IKÜMisse. Privaatsuse direktiivi ajakohastamist ja isikuandmete töötlemise IKÜMi 4.2. Avaldame sektori poolt ootuse, et digiomnibussi alla viimist. e-Privaatsuse direktiivi ettepanekuga võiks pakkuda lahenduse ka ülejäänud ePrivaatsuse sätteid muudetakse ka DNA aktiga. direktiivi osas. ITL on seisukohal, et ePrivaatsuse direktiiv vajab ülevaatamist tervikuna, jätkuvalt reguleerimist vajavate teemade reguleerimist muude õigusaktidega ning eraldiseisva õigusaktina kehtetuks tunnistamist. 57. 5. Intsidentide raporteerimisega: 5.1. Küberturvalisus on sarnaselt andmevaldkonnale väga ulatuslikult reguleeritud. Antud juhul on Euroopa Komisjon otsustanud lahendada vaid väga väikse osa murest ehk pakub välja ainult ühise teavitamiskanali loomise et sama rikkumise pinnalt ei tuleks mitmes kohas ning mitu korda teavitada et sama rikkumise pinnalt ei tuleks mitmes kohas ning mitu korda teavitada. Selline üks teavitamiskanal on kindlasti tervitatav, eriti piiriüleselt tegutsevate ettevõtete jaoks, ning me toetame seda. Ühtse teavituskanali kasutamist võiks kaaluda ka veel täiendavate õigusaktide tarbeks, nt tehisintellekti määrus. Samas võiks lihtsustamise eesmärki silmas pidades olla ambitsioonikam ning 54  Seletuskirja lisa 1. Kaasamistabel ühtlustada ka teavitamise aegasid, vorme jm EL-i küberturvalisuse õigusaktides. 5.1. ja 5.2. Arvestatud 5.2. Ühtse teavituskanali loomine tekitab kohe ka küsimuse sellest, et teavitamise tähtajad on õigusaktides väga erinevad. Näiteks NIS2 direktiivi kohaselt tuleb esmane teavitus küberintsidendist esitada 24h jooksul, isikuandmeid puudutavast intsidendist on samas digiomnibussi ettepaneku kohaselt aega teavitada 96h ehk see vahe on märkimisväärne. Selleks, et kohuslased saaksid ühtset teavituskanalit kasutada, peaksid nad justkui lähtuma iga teavituse puhul kõige lühemast tähtajast, mis ei arvestada asjaoludega, mida neid tähtaegu määrates silmas peeti ehk sellega, et teavituse koostamiseks on teatud juhtudel vaja rohkem aega. Teine variant oleks, et ikkagi tuleb esitada mitu teavitust: 24h möödumisel NIS2 esmane teavitus, 72h möödumisel NIS2 teine teavitus ja 96h möödumisel IKÜM teavitus. Just seetõttu on oluline lisada digiomnibussi ka ühtse 5.3. Arvestatud, vastav seisukoht on teavituskanali kaudu edastatavate teavituste tähtaegade koostatud ühtlustamine. 5.3. Seoses NIS2 direktiivi ja DORA-ga tõstatame ka teema, mis vajab EL-i õigusaktide tasemel lahendamist ning on väga vajalik ettevõtete halduskoormuse vähendamiseks ja regulatsioonide lihtsustamiseks. Kehtivate õigusaktide kohaselt on DORA subjektid vabastatud NIS2 täitmisest, kuid NIS2 subjektid, kes osutavad teenuseid DORA subjektidele, peavad vastama ka DORA-le. See tekitab NIS2 subjektidest IKT teenuse osutajatele, kes soovivad oma teenuseid osutada ka finantssektori asutustele, väga suurt koormust. Seetõttu teeme ettepaneku lisada digi omnibussi NIS2 ja DORA muutmine selliselt, NIS2 direktiivi kohuslased, kes osutavad finantssektori asututele IKT teenuseid, ei pea tõendama eraldi DORA-le vastavust, vaid need 55  Seletuskirja lisa 1. Kaasamistabel turvanõuded tunnistatakse samaväärseteks, kui nad vastavad NIS2 alusel kehtestatud nõuetele. Oleme seisukohal, et Eesti võiks olla selle olulise muudatuse eestkõneleja. 58. Riigi Infosüsteemi Amet Üldhinnangud eelnõudes toodud eesmärkidele ja pakutud Arvestatud. lahendustele 1. RIA vaatest on eelnõudes toodud üldised eesmärgid – reeglite ühtlustamine, killustatuse vähendamine ja parema õigusselguse loomine – põhimõtteliselt toetatavad. Eesti digiriigi toimimine eeldab, et andmete taaskasutuse, turvalisuse ja kättesaadavuse reeglid oleksid võimalikult selged ja üheselt mõistetavad. 2. Samas on RIA jaoks oluline, et pakutud lahendused ei tooks kaasa olukorda, kus tehniline vastutus ja õiguslik vastutus ei ole omavahel kooskõlas. Kui kohustused muutuvad vahetult kohaldatavaks ELi määruse kaudu, peab olema selge, millises ulatuses eeldatakse RIA-lt tehnilist hinnangut, nõustamist või järelevalvelist rolli ning millal on tegemist teiste asutuste pädevusega. Lahendusi, mis jätavad selle piiri ebaselgeks, ei saa pidada piisavalt praktiliseks. 3. Seoses isikuandmete töötlemise reeglitega AI arendamisel ja kasutamisel on RIA jaoks oluline tagada, et arvestatakse ka avaliku sektori vajadustega. Näiteks peaks lubatud isikuandmete töötlemise õiguslikud alused hõlmama riigi poolt isikuandmete töötlemiseks kasutatavaid aluseid. 59. Avaandmete direktiivi muutumine määruseks Arvestatud osaliselt. Kõikide 1. Avaandmete direktiivi muutumine määruseks on RIA vaates avaandmete osas piiranguid pole põhimõtteliselt toetatav, kuna see vähendab liikmesriikide sätestatud ja see läheb ka omnibussi vahelisi erinevusi ja loob ühtlasema õiguskeskkonna. Samas on eesmärgist kaugele. Seisukohades oluline, et määruse tekst arvestaks selgelt küberturbe ja teenuste välja toodud, et täiendavate töökindluse aspektiga. RIA kogemus näitab, et masinloetavus väärtuslike andmestike kategooria ja API-põhine ligipääs ei ole pelgalt tehniline mugavus, vaid ka kehtestamisel tuleb arvestada 56  Seletuskirja lisa 1. Kaasamistabel potentsiaalne riskivektor. Seetõttu peab määrus võimaldama loodava ELi ühtse avaandmete proportsionaalseid kaitsemeetmeid, nagu ligipääsupiirangud, määruseks mõjuga väiksematele kasutusmahupiirid ja autentimine, ilma et neid käsitataks liikmesriikidele ning liikmesriikidele avaandmete põhimõtte rikkumisena. Väärtuslike andmestike peab jääma piisav otsustusvabadus nimekirjade osas on oluline, et nende laiendamine toimuks koos väärtuslike andmestike selge riskihinnangu loogikaga. Eesti kontekstis võib näiteks kujundamisel. Autentimise nõue, haldus- ja menetlusandmetel olla suur ühiskondlik väärtus, kuid ligipääsupiirangud lähevad nende avamine ilma piisavate turva- ja kaitsemeetmetena tavapärasest privaatsusmehhanismideta looks märkimisväärseid riske nii avaandmete lähenemisest kaugemale andmekaitse kui ka küberturbe vaates. ning piiraks Euroopa Liidu üleselt kui ka rahvusvaheliselt andmete taaskasutamist, ning ei saa toetada. 60. Praktiline rakendatavus Mitte arvestatud. 2. Praktilise rakendatavuse seisukohalt vajab RIA hinnangul Ettepanek väljub omnibussi täpsustamist eelkõige rollijaotus. Tuleb selgelt määratleda, raamidest. Rollide mandaadid on milline asutus vastutab tehnilise taristu, milline andmepoliitika andmeõiguses määratud. ja milline järelevalve eest. Praegu on oht, et RIA-st kujuneb Avaandmete normide sisu ei vaikimisi asutus, kellelt oodatakse nii tehnilist hinnangut, muudeta. Need lihtsalt ühendatakse riskide maandamist kui ka sisulist tõlgendust, ilma et see roll andmemäärusega. Kuna norme ei oleks õiguslikult selgelt sätestatud. Samuti vajavad muudeta, siis kohanemiseks lisaaega täpsustamist üleminekusätted: direktiivilt määrusele üleminek ei ole vaja. Normid on täna juba peab olema ajaliselt ja sisuliselt selge, et vältida olukorda, kus kehtivad. RIA peab samaaegselt lähtuma nii senisest riigisisesest regulatsioonist kui ka vahetult kohaldatavast ELi õigusest. 4. Eesti jaoks on spetsiifiline see, et suur osa andmete taaskasutusest toimub teenuste ja liideste kaudu, mitte staatiliste andmekogude avaldamisena. RIA kogemus näitab, et sama tehniline liides võib teenindada nii avalikku taaskasutust kui ka kriitilisi riigisiseseid protsesse. See tähendab, et avaandmete reeglid mõjutavad otseselt ka riigi infosüsteemide töökindlust ja küberturvet. Lisaks tuleb arvestada, et Eesti on 57  Seletuskirja lisa 1. Kaasamistabel kõrge digitaalse küpsusega riik, mistõttu suureneb ka rahvusvaheline huvi meie andmete ja liideste vastu. See omakorda tõstab kuritarvituse ja teenustõkestuse riski ning eeldab, et ELi õigusraamistik ei seaks RIA-le ebarealistlikke ootusi „avatuse“ osas ilma piisavate kaitsevahenditeta. 5. RIA jaoks on murekohaks eelkõige see, et lihtsustamise eesmärgi all ei tekiks uusi kaudseid kohustusi, mida tuleb täita ilma vastava ressursi, volituse või õigusliku selguseta. Samuti on oluline vältida olukorda, kus määrus loob formaalselt ühtsed reeglid, kuid praktikas suureneb vajadus iga üksikjuhtumi eraldi tõlgendamiseks. RIA rolli vaates on kriitiline, et tehnilised juhised ja põhimõtted ei muutuks vaikimisi siduvaks „pehmeks õiguseks“ ilma, et nende õiguslik kaal ja vastutus oleksid selgelt määratletud. 6. Seoses avaandmete direktiivi ja andmehalduse määruse ühildamisel oleks vajalik tekitada enne õigusmuudatuste jõustumist uued väärtused, kuidas eristada avaandmeid ja kaitstud andmeid lisaks kõrgväärtusega andmetele. RIA vajab aega, et viia muutused sisse nii standardisse kui rakendustesse ja seda kirjeldajatele kommunikeerida. 61. Ühtse kontaktpunkti loomine Selgitame. 7. Esiteks on ühtse kontaktpunkti (single-entry point, SEP) Hetkel teadaolev info on, et ENISA loomine positiivne samm erinevatele teenuse osutajatele, kes haldab SEP keskkonda, kuid ta ei peavad intsidentide kohta raporteid esitama. Kindlasti toetame saa juurdepääsu selle kaudu esitatud seda, et raporti esitamise kohuslased saaksid seda teha teavitustele. Tolle keskkonna kaudu võimalikult efektiivselt ja vähese ajakuluga. toimub teavituse edastamine 8. Siiski ei ole praegu selgelt ja üheselt aru saada, kuidas SEP asjakohase riigi või riikide praktikas toimib. SEP loomisel on vajalik ühtlustada erinevate asjakohasele pädevale asutusele või liikmesriikide standardid, millega intsidendid kvalifitseeritakse pädevatele asutustele. Hetkel puudub ja kuidas neid käsitletakse. Samuti on vajalik ühtlustada info, kas tegemist on eraldiseisva 58  Seletuskirja lisa 1. Kaasamistabel erinevate regulatsioonide alusel esitatavad intsidendiraportid andmete (tsentraalse) ning nendes sisalduv vajalik info (NIS2, GDPR, DORA). kogumiga/hoidlaga või kas tegemist 9. Küsitav on, kas SEP keskkond luuakse viisil, kus esmase on andmete edastuse kanal/vahend teavituse saavad liikmesriigid, kes edastavad vajadusel info vms. Esitatud ettepaneku kohaselt ENISA-le või haldab kogu SEP keskkonda ENISA, kes suunab valmistab ENISA SEPiga seotud intsidendiga seotud info vastavatele pädevatele asutustele nõudeid ja meetmeid alles ette. liikmesriikides. Seejärel on ka võimalik hinnata, kas 10. RIA hinnangul ei ole lahendus, kus SEP keskkond luuakse ja milline on Eesti seisukoht SEPi ENISA juurde ning ENISA saadab kogu vajamineva info arhitektuuri osas. edasi liikmesriikide pädevatele asutustele jätkusuutlik. See võib pikendada ajakriitilises olukorras intsidendi käsitlemise aega. Loogilisem oleks ülesehitus, kus SEP raporteerimiskeskkond luuakse liikmesriikide juurde, kes edastavad võimaliku riikide ülese intsidendiohu korral info ENISA-le, mille kaudu saadetakse teave teiste riikide pädevatele asutustele. 11. Näeme, et andmete koondamine ja keskse andmebaasi/andmehoidla loomine sisaldab endas võimalikku turvariski. Suure tõenäosusega tuleb info koondamisel luua ENISA juurde andmebaas seoses SEP raportitega. Kui selline andmebaas tekib (ilmselt on vaja päringud vastu võtta, valideerida, talletada intsidendiinfo, et seda edasi saata/töödelda), on tegemist äärmiselt tundlikku infot sisaldava andmebaasiga. See omakorda loob võimaliku keskse sihtmärgi, mille kompromiteerimine võib avaldada äärmiselt laiaulatuslikku mõju kogu EL siseturvalisusele. Vajalik on luua usaldus, et loodud süsteem on turvaline, ettevõtted ja kodanikud teavad, kuidas nende andmeid kasutatakse ja millised meetmed on kasutusele võetud, et turvalisus oleks tagatud. Vastasel juhul võib tekkida situatsioon, kus intsidendiraporteid ei esitata põhjusel, et süsteemi kui tervikut ei usaldata. 59  Seletuskirja lisa 1. Kaasamistabel RIA hinnangul ei pruugi olla mõistlik luua ühte keskset andmebaasi, vaid hajutada info, et kogu tundlik info ei oleks talletatud keskselt. Samuti soovitame selgelt määratleda krüpteerimisstandardid, muuhulgas peaks arvestama selged ja kindlad kriteeriumid juurdepääsu osas ja reeglid korrapärase auditeerimise jaoks. 62. Regionaal- ja Üldine toetus regulatsioonide vähendamisele ja ühtlustamisele Teadmiseks võetud. Põllumajandusministeerium Toetame digiomnibusiga seotud regulatsioonide vähendamist ja regulatsioonide ühtlustamist, et vähendada halduskoormust ning lihtsustada menetlusi. 63. SME/SMC erisused põllumajandusettevõtetele Arvestada osaliselt. Toetame SME/SMC (väike- ja keskmise suurusega ettevõtete ning Ettepanekud andmeõiguses on väikese turukapitalisatsiooniga ettevõtete) erisusi ning peame valdkonna neutraalsed. Eesti seisukohatades toetame oluliseks, et need laieneksid ka põllumajandusettevõtetele Selgitus: tehisintellekti määruses väikese ja põllumajandusettevõtted vajavad sarnast paindlikkust ja keskmise suurusega ettevõtetele halduskoormuse vähendamist nagu teised VKE-d, arvestades ettenähtud lihtsustusmeetmete sektori eripärasid ja ELi ühise põllumajanduspoliitika nõudeid. laiendamist väikese ja keskmise turukapitalisatsiooniga ettevõtetele, et vähendada nende halduskoormust ja toetada konkurentsivõimet. Need hüved laienevad kõikidele valdkondadele. Seal ei ole omnibussis erisusi ning ei pea vajalikuks seega eraldi põllumajandust välja tuua. 64. Kaubandussaladuse kaitse Teadmiseks võetud. Põhiõiguste kaitse seisukohad olemas. 60  Seletuskirja lisa 1. Kaasamistabel Toetame kaubandussaladuse kaitse tugevdamist ning peame oluliseks, et digiomnibusiga ei kaasneks liigseid kohustusi kolmandate riikide riskide hindamisel. 65. Proportsionaalsus Teadmiseks võetud. Rõhutame proportsionaalsuse põhimõtet kontrollinõuete rakendamisel – nõuded peavad olema kooskõlas ettevõtete suuruse, tegevusvaldkonna ja tegeliku riskiga. 66. Tehisintellekti (AI) eelnõu seisukohad Arvestatud. Standardite ja juhiste eelnev rakendamine Toetame põhimõtet, et AI-ga seotud kohustuste rakendamise eelduseks on eelnevalt standardite ja juhiste valmissaamine ja need on tehtud ka kergelt ning kiirelt kättesaadavaks. Rakendamise tähtaeg peab olema sealjuures mõistliku ajaga määratud. See tagab, et ettevõtted saavad kohustusi täita selgete ja ühtsete reeglite alusel ning välditakse ebamõistlikku halduskoormust. 67. AI regulatiivsed liivakastid ja testimine Arvestatud. Testkeskkondadele ei Toetame AI regulatiivsetes liivakastides (sandbox) ja reaalses ole määratud AI määrusega keskkonnas testimise EL-üleste nõuete loomist. Soovime valdkondlikke piiranguid. regionaal- ja põllumajandusministeeriumi vastutusvaldkonna AI lahenduste testimist AI regulatiivsetes liivakastides. 68. Maa- ja Ruumiamet Üldiselt toetame antud lihtsustuspaketti, mis loob lihtsama Arvestatud osaliselt. arusaama euroopa õigusaktide maastikul. Osaliselt mitmest dokumendist saab üks ning võrreldes hetke seisuga, siis nende Põhiõiguste kaitse seisukohad on vahelised seosed saavad ühes dokumendis selgemaks. Samuti on kaetud. AI juhiste andmist ei ole igati tervitatav lihtsustused, kus liikmesriikide haldus- ja vaja reguleerida õigusaktiga. ressursikoormus vähenevad. Sellekohased normid olemas ja suuresti need ka mitteregulatiivsed 61  Seletuskirja lisa 1. Kaasamistabel Mõned mõtted: meetmed. Avaandmete direktiivi muutmine määruseks on Toetame, et andmed tuleb võimalusel algusest peale disainida kui seisukohaga toetatud. Komisjoni avaandmed. Samas ei pea avaldama neid andmed, mis on ajaliselt ettepanekud ei hõlma INSPIRE aegunud või mahuliselt ebaproportsionaalselt suured, millega direktiivi ja seega seda lisanduvat lisatakse asutustele liigne koormus. teemat seisukohana me digiomnibussidesse ei pane. Kindlasti tuleb arvestada, et teatud andmete avalikustamise INSPIRE direktiivil oma kohustus võib kahjustada nt isikute privaatsust. Samas nende lihtsustuspakett käimas, kus võimalik murekohad tõstatada. andmete avalikustamise piiramine võib mõjutada nende majanduslikku ja sotsiaalset potentsiaali. Näitena võib tuua Maa- ja Ruumiameti poolt avalikustatavad orto- ja kaldaerofotod, mille hea eraldusvõime riivab inimeste privaatsust õiguskantsleri seisukoha alusel https://www.oiguskantsler.ee/sites/default/files/2025-11/Orto- %20ja%20kaldaerofotode%20avalikustamine.pdf. Samas on kõrge eraldusvõime innovatsiooni aluseks masinõppele või sisendiks 3D mudelitele, mida saab kasutada erasektor, teadusasutused ja ka avaliksektor ise. Juurdepääsu piiramine võib teatud määral sellist innovatsiooni pärssida. Väärtuslike andmestike puhul on tervitatav, et andmete avalikustamise reeglites on selgelt kirjas, et massallalaadimine on kohustuslik, kui see on mõistlik. Eelnevalt oli georuumiliste andmete ning maa seire ja keskkonna andmetel massallalaadimise loomine kohustuslik. Viimse puhul oli „mõistlikkuse“ märkus ainult ajaloolistel andmetel. 62  Seletuskirja lisa 1. Kaasamistabel Tehisintellekti määrusega seotult oleks ettepanek, et avalikule sektorile võiks olla rohkem ühtseid juhendeid, kuidas praktikas üldse tohib rakendada AI-d? Sealhulgas millised riskid on isikuandmete töötlemisega seoses ja ühtlasi juriidilises mõttes küsimus, et kes vastutab? Näiteks kui AI erinevate rakenduste või muu sisendi vms alusel midagi valesti otsustatakse/kustutatakse/andmeid õigusvastaselt töödeldakse jne. Avaandmete direktiivi muutumine määruseks on kindlasti mõistlik, sest siis ei pea liikmesriigid enda seadustes muudatusi tegema. See muudab tegevuste otsustamise ja otsuste jõustumise kiiremaks. Väärtuslike andmestike nimekirja (HVD) muutmisel tuleks arvestada muutuva INSPIRE direktiiviga, mille lihtsustuspakett samuti hiljuti avalikustati https://environment.ec.europa.eu/publications/simplification- administrative-burdens-environmental-legislation_en. Täna veel ei saa anda sisendit, mida täpsemalt peaks arvestama, aga HVD sisaldab suurel hulgal INSPIRE direktiivi nõudeid ruumiandmeteenuste avalikustamisel, seega on kokkupuude tugev. 69. Eesti Rahvusraamatukogu Eesti Rahvusraamatukogu tervitab Euroopa Komisjoni algatust Arvestatud osaliselt. Teadusuuringu lihtsustada Euroopa Liidu andme- ja tehisintellekti regulatiivset mõiste tagasiside arvestatud. raamistikku ning vähendada killustatust ja kattuvusi. Ühtne ja Tehisintellekti suure riskiga süsteemid on defineeritud juba selgem raamistik toetab nii avaliku sektori asutusi kui ka teadlasi, kehtivas AI määruses. Euroopa suurendades õigusselgust ja vähendades halduskoormust. digivaldkonna lihtsustamise koondpaketiga neid juurde ei lisata. Mäluasutuste ja teadusasutuste jaoks on eriti olulised kavandatavad Suure riskiga tehisaru süsteemid on täpsustused andmekaitseraamistikus, eelkõige seoses isikuandmete määratud suure riskiga just töötlemisega teadusuuringute eesmärgil, edasise töötlemise põhiõiguste kaitse põhimõttel, seega 63  Seletuskirja lisa 1. Kaasamistabel eesmärkide ühilduvusega ning anonümiseerimise ja selles osas on kooskõla olemas. pseudonüümimise selgema reguleerimisega. Samuti on positiivne, Avaliku sektori asutusi ja VKEde et tehisintellekti määruses kavandatakse lihtsustusi, laiendatud meetmed ei ole võrreldavad, seega avaliku setori asutusele VKEde toetusmeetmeid, regulatiivseid liivakaste ja täiendavat lihtsustamise võimalusi ei saa juhendmaterjali. Need võiksid soodustada vastutustundlikku pakkuda. innovatsiooni digiteerimises, uurimistöös ja kultuuripärandi kogudele juurdepääsu parandamisel. Digikoondpakett ei muuda sisuliselt Samas soovime juhtida tähelepanu mitmele küsimusele, mis võivad avaliku sektori andmete kirjeldamise ja avalikustamise kohustust. Sh jääb mõjutada mälu- ja teadusasutuste suutlikkust täita oma avaliku huvi kehtima põhimõte, et igal ülesannet. liikmesriigil on, nii praegu kehtiva avaandmete direktiivi ja Avaliku sektori andmete raamistik ja kultuuripärandi asutuste andmehalduse määruse kui ka eripära Avaliku sektori andmete taaskasutuse reeglite koondamine edaspidi digikoondpaketi alusel, ühte andmemäärusesse võib vähendada tähelepanu raamatukogude võimalus seada täpsemaid tingimusi ja teiste mäluasutuste eripäradele. Need asutused haldavad andmetele ligipääsu pakkumiseks. keerukaid andmekogumeid, mis sisaldavad kultuuripärandi Samuti on avaliku sektori andmete materjale, autoriõigusega kaitstud teoseid ja isikuandmeid. Ühtne avalikustamist puudutavatest osadest horisontaalne lähenemine võib seetõttu suurendada tõlgendus- ja tulenev peamine nõue andmete leitavuse tagamine, mitte kohustus halduskoormust asutustele, kelle põhifunktsioon on säilitamine, anda andmed taaskasutuseks juurdepääsu tagamine ja teadustöö toetamine, mitte andmete olukorras, kus see ei ole mõistlik ja majanduslik kasutamine. Seda eriti just kontekstis, kus kohane. andmemääruse fookus on ettevõtlusvajaduste ja andmepõhise konkurentsivõime toetamisel. Sellises raamistikus muutub avaliku sektori andmete taaskasutus vaid üheks osaks laiemas regulatsioonis, mitte eraldi poliitikavaldkonnaks. Seetõttu võib tekkida oht, et raamatukogusid käsitletakse eeskätt avaliku sektori andmevaldajate, mitte kultuuripärandi asutustena, kuigi nende ülesanded ja kogude olemus on oluliselt teistsugused. Seda tausta 64  Seletuskirja lisa 1. Kaasamistabel arvestades on oluline meenutada, et kehtiv avaandmete direktiiv tunnustab selgelt kultuuripärandi asutusi erijuhtudena ning möönab, et kõiki materjale ei saa ega tohiks vabalt taaskasutada. Ka andmemäärus peab tagama õigusselguse ja vältima kaitsemeetmete nõrgenemist, mis võimaldavad raamatukogudel tasakaalustada avatust vastutusega. Andmemäärus saab kultuuripärandi kaitsemeetmeid tagada ilma lihtsustamise eesmärki kahjustamata, kui põhimõtted sätestatakse selgelt õigusakti tasandil, mitte ei jäeta tõlgendamise või juhendmaterjalide tasandile. Kultuuripärandi asutuste valduses olevate andmete taaskasutamist teaduslikel, hariduslikel, kultuurilistel või demokraatlikel eesmärkidel tuleks selgelt tunnustada õiguspärase avaliku huvi eesmärgina, mis erineb ärilisest taaskasutusest. Samuti peaks asutustel olema võimalus taaskasutamisest keelduda, kui see kahjustaks säilitamist, moonutaks kultuurilist tõlgendust või koormaks ebaproportsionaalselt avalikke ressursse. See oleks proportsionaalsuse põhimõttega kooskõlas olev täpsustus, mitte uute õiguste loomine. Lisaks ei tohiks kultuuripärandi materjalide avalikku kättesaadavust tõlgendada automaatse loana automatiseeritud taaskasutuseks või tehisintellekti treenimiseks, arvestades kehtivaid autoriõiguse ja andmebaasiõiguse eristusi. Teadusuuringute mõiste ja kultuuripärandi uurimine Kuigi teadusuuringuid puudutavad täpsustused on tervitatavad, on oluline, et kultuuripärandi uurimist, digihumanitaariat ja mäluteadusi tunnustataks selgelt teadusuuringute mõiste osana. See 65  Seletuskirja lisa 1. Kaasamistabel aitaks vältida ebakindlust ja ülemääraselt ettevaatlikke andmetöötluspraktikaid. Tehisintellekti regulatsioon ja mitteärilised kasutusviisid Näeme potentsiaalse ohuna, et tehisintellekti mitteärilised ja avalikku teenust pakkuvad kasutusviisid võivad tahtmatult sattuda kõrge riskiga süsteemide kategooriasse või neile rakendatakse ebaproportsionaalseid nõudeid. See võib pärssida innovatsiooni, mis toetab demokraatlikku juurdepääsu teadmistele ja kultuurilist mitmekesisust. Raamatukogude, arhiivide ning kultuuri- ja haridusasutuste poolt mitteärilisel eesmärgil kasutatavaid tehisintellekti süsteeme – näiteks otsingu- ja soovitussüsteeme, digiteerimistehnoloogiaid ning kogudele juurdepääsu hõlbustavaid tööriistu –, mis ei tekita isikutele õiguslikke ega samaväärselt olulisi tagajärgi, tuleks käsitada eelduslikult mitte-kõrge riskiga süsteemidena, välja arvatud juhul, kui need selgelt kuuluvad tehisintellekti määruse III lisas loetletud juhtude alla. See lähenemine oleks kooskõlas ka isikuandmete kaitse üldmääruses käsitletava profileerimise mõistega. Samuti võiks kaaluda teatud erisuste laiendamist avalikes huvides tegutsevatele avaliku sektori asutustele, sarnaselt väikese ja keskmise suurusega ettevõtetele. Kultuuripärandi digiteerimise ja juurdepääsulahenduste selgesõnaline hõlmamine regulatiivsete liivakastide alla toetaks vastutustundlikku innovatsiooni ilma regulatsiooni eesmärke kahjustamata. Kokkuvõte Eesti Rahvusraamatukogu toetab Komisjoni eesmärke lihtsustada 66  Seletuskirja lisa 1. Kaasamistabel regulatiivset raamistikku ja soodustada innovatsiooni ning on valmis aruteludes aktiivselt kaasa töötama. Samas rõhutame vajadust arvestada raamatukogude ja teiste mäluasutuste eripärase rolliga, et lihtsustamismeetmed tugevdaksid – mitte ei piiraks – nende võimet teenida avalikke huve, säilitada kultuurimälu ja toetada teadustööd kogu Euroopa Liidus. 70. Põllumajandus- ja PTA toetab eelnõudes toodud üldisi eesmärke ning pakutud Võetud teadmiseks. Toiduamet lahendusi, mis on suunatud Euroopa Liidu digivaldkonna õigusraamistiku lihtsustamisele, selguse suurendamisele ja halduskoormuse vähendamisele. 71. Seoses eelnõus kavandatava isikuandmete mõiste kitsendamisega Arvestatud. tekivad põhjendatud õiguslikud küsimused. Euroopa Liidu Kohtu senise praktika kohaselt on isikuandmete mõistet tõlgendatud järjepidevalt laialt, hõlmates muu hulgas ka pseudonüümitud andmeid ning andmeid, mis võimaldavad isiku kaudset tuvastamist, eelkõige juhul, kui selline tuvastamine on mõistlikult tõenäoline. Isikuandmete mõiste kitsendamine võib tekitada olukorra, kus andmeid, mis tegelikkuses võimaldavad isiku tuvastamist — eriti erinevate andmekogumite ühendamisel või tehisintellekti kasutamisel — ei käsitata enam formaalselt isikuandmetena. Selline lähenemine võib kaasa tuua olukorra, kus andmekaitse tase sõltub mitte tegelikust riskist andmesubjekti õigustele ja vabadustele, vaid andmete formaalsest kvalifitseerimisest. Sellest tulenevalt on oluline, et võimaliku kitsendamise ulatus ja kriteeriumid oleksid selgelt määratletud ning kooskõlas Euroopa 67  Seletuskirja lisa 1. Kaasamistabel Liidu Kohtu väljakujunenud tõlgendustega, vältimaks isikuandmete kaitse tegeliku taseme põhjendamatut nõrgenemist. 72. Andmekaitse Inspektsioon Mitmed ettepanekus sisalduvad muudatused on suunatud eeskätt Arvestatud. halduskoormuse vähendamisele ja andmekasutuse hõlbustamisele ettevõtjatele, mida AKI tervitab. Kahjuks peame üldise märkusena nentima, et ettepanekutega ei kaasne sisulist hinnangut või mõjuanalüüsi, kuidas kavandatavad muudatused mõjutavad füüsiliste isikute olemasolevaid kaitsemeetmeid. Digitaalse omnibusi ettepanekus sisalduv mõjuanalüüs keskendub üksnes muudatuste mõjule ettevõtetele ja organisatsioonidele, käsitlemata, kuidas need mõjutavad üksikisiku põhiõigusi ja õiguste tegelikku kasutatavust. Euroopa Komisjon on väljendanud, et ettepanek ei vähenda isikuandmete kaitse taset. Samal ajal puudub analüüs üksikisiku õiguste vaatest, mistõttu ei ole sellist väidet võimalik objektiivselt kinnitada. Kuigi ettepanek rõhutab korduvalt selguse ja lihtsustamise eesmärki, ei analüüsita, kuidas neid eesmärke on tasakaalustatud võimalike tagajärgedega andmesubjektidele. Lisaks ei ole hinnatud ka mõjusid andmekaitseasutustele. Olukorras, kus paljudes küsimustes alles hakkab kooruma välja selgus ning väikestes riikides nagu Eesti hakkab andmekaitseteadlikkus tekkima, toovad muudatused kaasa suure koormuse kasvu järelevalveasutustele. Tuleb arvestada, et käesolevate omnibussidega hakatakse muutma põhimõttelisi asju ning andmekaitse alustalasid. Ehkki EL õigusaktides on deklaratiivselt sätestatud, et liikmesriik peab tagama 68  Seletuskirja lisa 1. Kaasamistabel järelevalveasutustele piisava ressursi ja toimepidevuse, ei arvesta see liikmesriikide tegelike võimalusega ega ole ette nähtud ka mehhanisme või meetmeid, mis toetaks neid asutusi olukorras, kus liikmesriik vajalikke ressursse ei leia. Arvestades potentsiaalset muudatustega seotud selgitustaotluste esitamise mahtu tõlgendamisküsimustes, jääb järelevalveasutustel vähem ressurssi kaebusi menetleda ja panustada andmekaitse edendamisesse proaktiivselt. Sisulise arvamuse tekst on peatükkide kaupa leitav allpoolt. 73. Isikuandmete kaitse üldmäärus Arvestatud. 1. Isikuandmete mõiste (IKÜM artikkel 4 lõige 1) Kokkuvõte: Ettepanek muuta isikuandmete mõistet nihutab fookuse andmetöötleja subjektiivsele hinnangule, sidudes isikuandmete olemasolu konkreetse andmetöötleja tegelike või mõistlikult kasutatavate tuvastamisvahenditega, sõltumata kolmandate isikute võimalikust tuvastamisvõimest. AKI hinnangul ei suurenda see õiguskindlust, vaid vastupidi vähendab seda. Selline definitsioon kaldub kõrvale Euroopa Kohtu varasemast praktikast (sh C-582/14), kus kaudset tuvastatavust on hinnatud objektiivselt ja laiemalt, arvestades kolmandate isikute võimalusi. Pseudonüümimise kontekstis tehtud kohtuotsuse (C-413/23) laiendamine kõigile kaudse tuvastamise juhtumitele on AKI hinnangul põhjendamatu ning võib viia olukorrani, kus kaudselt tuvastatavad andmed langevad IKÜMi kohaldamisalast välja, 69  Seletuskirja lisa 1. Kaasamistabel nõrgestades andmesubjektide õigusi, tekitades ümberpööratud tõendamiskoormise, raskendades järelevalvet ja võimaldades regulatsiooni vältimist (sh III riikidesse andmeedastuste puhul). Selline lähenemine kahjustab õigusselgust ja ettenähtavust ning võib olla vastuolus Harta artiklitega 7 ja 8, kuna muudab isikuandmete kaitse ebamääraseks ja tingimuslikuks, raskendab andmesubjektide õiguste tegelikku kasutamist ning nõrgestab tõhusat haldus- ja kohtulikku õiguskaitset. Euroopa Komisjon on teinud digitaalse Omnibusiga ettepaneku muuta IKÜM artikli 4 punktis 1 olevat isikuandmete mõistet. Ettepanekus sisalduv isikuandmete mõiste ei ole objektiivselt laiem kui hetkel kehtivas IKÜMis, kuid Komisjon on ettepanekus oluliselt laiendanud definitsiooni subjektiivset mõõdet. Ettepanekuga soovitakse lisada käesolevale mõistele juurde, et füüsilise isikuga seotud teave ei ole tingimata isikuandmed iga teise isiku või üksuse jaoks ainuüksi seetõttu, et teine üksus saab selle füüsilise isiku tuvastada. Teave ei ole antud üksuse jaoks isiklik, kui see üksus ei suuda tuvastada füüsilist isikut, kellega teave on seotud, võttes arvesse vahendeid, mida see üksus mõistlikult tõenäoliselt kasutab. Selline teave ei muutu selle üksuse jaoks isiklikuks ainuüksi seetõttu, et potentsiaalsel järgmisel saajal on vahendid, mida mõistlikult tõenäoliselt saab kasutada selle füüsilise isiku tuvastamiseks, kellega teave on seotud. AKI on seisukohal, et ettepanek ei täida esitatud kujul eesmärki pakkuda suuremat õiguskindlust. Selge määratluse asemel peavad andmetöötlejad, sh VKE-d, igakordselt subjektiivselt hindama 70  Seletuskirja lisa 1. Kaasamistabel seda, millal andmed kujutavad endast konkreetse andmetöötleja jaoks isikuandmeid. VKE-del on selliste hinnangute tegemiseks vähem ressursse kui suurettevõtetel. Eriti problemaatiline on väljapakutud definitsiooni viimase lause tõlgendamine, mis vähendab õiguskindlust ning kahjustab õigust andmete kaitsele. Andmetöötlejad võivad hakata vältima isiku otsest tuvastamist eesmärgiga hoiduda IKÜMi kohaldumisest. See raskendab nii andmesubjekti õiguste teostamist kui ka tõhusat järelevalvet, kuivõrd keeruliseks võib osutuda tõendamine, millal vahendid andmetöötleja käsutusse tekkisid ja/või millal isik muutus andmetöötleja jaoks tuvastatavaks. Euroopa Kohus on analüüsinud isikuandmete mõistet mitmetes lahendites. Lahendis C-582/14 selgitas kohus, et ka andmed, mis ei identifitseeri isikut otseselt (näiteks IP-aadress) võivad olla isikuandmed, kui vastutaval töötlejal on mõistlikult kasutatavad vahendid, et isik kolmanda osapoole kaudu (nt internetiteenuse pakkuja) tuvastada. Hilisemates lahendites on Euroopa Kohus seda lähenemist jätkanud. Kohtuotsustes C-319/22 ja C-479/22 rõhutas kohus, et isikuandmeteks võivad kujuneda isegi tehnilised või näiliselt neutraalsed andmeüksused (nt sõiduki VIN-kood, rahvus, sugu), kui neid kombineerides saab isiku tuvastada isegi siis, kui mitte iga potentsiaalne andmesaaja ei suuda seda teha. Seega on Euroopa Kohus varasemalt pidanud oluliseks, kas isiku identiteet on mõnele isikule või isikute ringile objektiivselt tuvastatav. Digitaalse Omnibusi ettepanekus olev isikuandmete definitsioon toetub aga Euroopa Kohtu otsusele C-413/23. Euroopa Kohus ütles 71  Seletuskirja lisa 1. Kaasamistabel antud lahendis, et pseudonüümitud andmed võivad olla isikuandmed ühe andmetöötleja jaoks (kellel on võimalik taasisikustada), ent mitte kolmanda osapoole jaoks, kellel sellised vahendid puuduvad ja kelle jaoks tuvastamine ei oleks mõistlikult teostatav. Euroopa Kohtu seisukoht piirdus olukorraga, kus kolmandal isikul puuduvad reaalsed või mõistlikult kasutatavad vahendid konkreetsete andmete taasisikustamiseks. Komisjoni töödokumendi punktis 1.2.2.1 on põhjendatud muudatuste tegemist asjaoluga, et huvigruppide arvates on kaudse tuvastamise ümber selgusetust. Edasi on selgitatud, et kuigi Euroopa Kohus on teinud lahendi pseudonüümimise kohta, mis on olemuselt kaudne tuvastamine, võtab Komisjon pseudonüümimise kohta tehtud kohtu lahendi arvesse kogu kaudse tuvastamise mõtestamise kontekstis. AKI on seisukohal, et pseudonüümimise kontekstis tehtud lahendi laiendamine kõikidele kaudse tuvastamise juhtumitele on meelevaldne ning nõrgestab oluliselt isikuandmete kaitse taset. Komisjon laiendab seda loogikat juhtumitele, kus andmete saaja võib olla sellises ökosüsteemis, kus teistel osapooltel on tuvastamisvahendid olemas, kuid teave ei kvalifitseeru konkreetse üksuse jaoks isikuandmeteks. Lisaks ei arvesta Komisjon potentsiaalse järgmise saaja tuvastamisvõimet, ehkki Euroopa Kohtu varasemas praktikas (nt C-582/14) on tuvastatavust hinnatud laiemalt, võttes arvesse kõiki mõislikult kasutatavaid vahendeid ja viise, sealjuures on Euroopa Kohus viidatud lahendi punktis 46 sedastanud, et vahendi puudumise kriteerium on väga kõrge: identifitseerimise oht peab olema olematu või ebaoluline. 72  Seletuskirja lisa 1. Kaasamistabel Komisjon ei ole ettepanekus viidanud vahendi puudumise kriteeriumi hindamise kohustusele. Näiteks harvikhaiguste kontekstis loetakse praeguse isikuandmete mõiste järgi üks diagnoos aastas isikuga seotud teabeks, kuna see võimaldab tuvastada konkreetse füüsilise isiku. Seega kvalifitseerub selline teave isikuandmeteks igale andmesubjekti identifitseerida püüdvale osapoolele. Uue mõiste kohaselt ei ole meie tänase arusaama kohaselt see info isikuandmed nende jaoks, kes ei saa konkreetset isikut mõistlikult tuvastada, võttes arvesse nende käsutuses olevad vahendid ja võimalused. See tähendab, et kuigi üksikdiagnoosi puhul võib olemasoleva teabe põhjal teoreetiliselt isiku tuvastada, ei muutu see automaatselt isikuandmeteks üksusele, kellel puuduvad realistlikud vahendid tuvastamiseks. Teise näitena võib tuua isiku defineerimise teatud asjaolude kaudu, näiteks kui viidata isikule kui punase peaga poisile Ruhnust. Praeguse mõiste järgi kvalifitseerub selline kirjeldus isikuandmeteks, kuna see viitab tuvastatavale füüsilisele isikule. Uue mõiste kohaselt ei ole info siiski isikuandmed nende jaoks, kes ei suuda poissi mõistlikult tuvastada, näiteks kolmandate osapoolte jaoks, kellel puudub lisateave. Isikuandmeteks muutub teave ainult nende jaoks, kellel on praktiliselt kasutatavad vahendid ja võimalused konkreetse poisi tuvastamiseks. Kaudse tuvastamise kontekstis toob uus definitsioon kaasa sisulise nihke. Kehtiva IKÜMi järgi tuleb hinnata, kas füüsiline isik on tuvastatav kolmandate isikute käsutuses olevate mõistlikult 73  Seletuskirja lisa 1. Kaasamistabel kasutatavate vahendite abil, mis tähendab, et kaudne tuvastamine toimib objektiivse standardi alusel. Komisjoni ettepanek muudab kriteeriumi subjektiivseks: kui konkreetse andmetöötleja käsutuses ei ole vahendeid tuvastamiseks, ei ole teave tema jaoks isikuandmed, isegi juhul, kui teised isikud suudaksid füüsilise isiku hõlpsasti tuvastada. Praktikas tähendab see, et kaudselt tuvastatavad andmed võivad langeda IKÜMi kohaldamisalast välja, mis vähendab andmesubjektide kaitset ja killustab vastutust. See tekitab ühtlasi ümberpööratud tõendamiskoormise, kus AKI või andmesubjekt on kohustatud tõendama, kas andmetöötlejal olid vahendid isikute tuvastamiseks või kas tal oleks mõistlikult tõenäoliselt olnud võimalik selliseid vahendeid kasutada. AKI toob välja, et mõiste muutmisel võiks Komisjon võtta arvesse ka kolmandate isikute mõistliku võimaluse isikuid tuvastada. Täpsemalt tuleks isiku tuvastamise puhul arvesse võtta, kas mõnel mõistlikult ettenähtaval kolmandal isikul võivad olla vahendid isiku tuvastamiseks. Juhul, kui analüüsi tulemusel selgub, et sellised kolmandad isikud võivad olemas olla (näiteks internetti pilte või videoid üles laadides tuleb peaaegu alati seda võimalust möönda), on tegemist isikuandmetega. Lisaks eelmainitud murekohtadele tekitab väljapakutud isikuandmete mõiste riske ka rahvusvaheliste andmeedastuste kontekstis. Nimelt võivad andmetöötlejad asuda seisukohale, et isikuandmete kolmandatesse riikidesse edastamisel ei ole vajalik IKÜM 5. peatükis toodud kaitsemeetmete kohaldamine, kuivõrd isikuandmete importijal ei pruugi olla vahendeid andmesubjektide 74  Seletuskirja lisa 1. Kaasamistabel tuvastamiseks. Alternatiivselt võivad andmetöötlejad asuda ka seisukohale, et IKÜM 5. peatükk ei ole üldse kohaldatav. [1.1.] Põhiõiguste hartaga tagatud õiguste seos ettepanekuga Isikuandmete mõiste kitsendamine ja abstraktsemaks muutumine ei puuduta ainult kaitseala kitsenemist, vaid õigusselguse ja ettenähtavuse nõrgenemist. Euroopa Liidu Põhiõiguste Harta (edaspidi Harta) artikkel 8 sätestab igaühe õiguse oma isikuandmete kaitsele. Harta artikkel 8 ei taga isikuandmete kaitset abstraktselt, vaid kui reaalselt kasutatavat õigust. Liidetud kohtuasjades C-468/10 ja C-469/10 on selgitatud, et Harta artiklitega 7 ja 8 tunnustatud õigus eraelu austamisele isikuandmete töötlemisel puudutab igasugust teavet tuvastatud või tuvastatava füüsilise isiku kohta. Kui isikuandmete mõiste ja sellele lähenemine on abstraktne või ebamäärane, ei ole andmesubjektil enam võimalik mõistlikult ette näha, kas ja millisel alusel tema õigused rakenduvad. Selline lähenemine võib vähendada usaldust, mis ei pruugi hõlmata mitte ainult segadust andmete kasutamise osas, vaid nõrgestada andmesubjekti õiguste mahtu oma isikuandmete üle. Kirjeldatu aga omab otsest mõju andmesubjekti õiguste jõustamisele. IKÜM-ga tagatud õigused nagu isikuandmetele juurdepääs, nende parandamine, kustutamine ja töötlemisele vastuväidete esitamine võivad muutuda juhuslikuks, sest andmesubjektil võib puududa kindel veendumus, kas tema isikuandmetele konkreetses olukorras IKÜM kohaldub. Kui puudub arusaam kaitsemehhanismide 75  Seletuskirja lisa 1. Kaasamistabel kohaldatavusest, on andmesubjektidel omakorda keeruline rakendada oma õigusi. Harta artikliga 8 on lähedalt põimunud Harta artikkel 7, mis sätestab eraelu puutumatuse kaitse. Isikuandmete mõiste muutmisega kaasneb eraelu piiride hägustumine, kuivõrd ettenägematu ja ebaselge andmete töötlemisega võib kaasneda eraellu sekkumine. Harta artikkel 7 eeldab, et sekkumine eraellu oleks selgelt määratletud, ettenähtav ja piiratud. Olukorras, kus teabe isikuandmeteks kvalifitseerumise otsustab teabe valdaja, võib esineda oluline risk eraelu riiveks. Riive võib olla ulatuslik, sest isikuandmete töötlemine on osa eraelust ning isikuandmete määratlus on ettepaneku kohaselt abstraktne, mistõttu võivad subjektiivse hinnangu pinnalt leida aset pidevad eraelulised sekkumised, sest isikuandmete määratlus eraelu osana on kitsas ja vaieldav. Järelevalveasutus peab kindlaks tegema, millised andmed kvalifitseeruvad isikuandmeteks ja kas neid töödeldi õiguspäraselt või mitte. Ebamäärane subjektiivne hinnang isikuandmetele ei taga tõhusat ja efektiivset menetlust, sest järelevalveasutusel tuleb selgitada ebamääraseid puutepunkte, mistõttu võib õiguste jõustamine viibida. Harta artikkel 41 sätestab õiguse heale haldusele ja eeldab tõhusat õigeaegset ja läbipaistvat haldust. Kui isikuandmetele lähenemine on sisuliselt ebaselge, kannatab õiguste tegelik kaitse. Küsimus vaidluse eseme üle, mida võib kutsuda esile isikuandmete ebaselge määratlus võib omada mõju Harta artiklile 47, mis tagab õiguse efektiivsele õiguskaitsele. Kõigi eelduste järgi 76  Seletuskirja lisa 1. Kaasamistabel kutsub isikuandmete ebaselge määratlus esile vaidlused andmete kvalifitseerimise üle, kuivõrd esmalt tuleb välja selgitada, kas vaidluse esemeks on isikuandmed või mitte. Kuigi eesmärk võib olla legitiimne, kaasneb abstraktse, subjektiivsel hinnangul põhineva isikuandmete mõistega õiguste nõrgenemine ning õigusselguse kadu, mida on Euroopa Kohus pidanud korduvalt oma lahendites põhiõiguste tõhusa kaitse eelduseks. Selle tagajärjel võivad andmesubjektide õigused muutuda formaalseks ja raskendatuks nii haldus-, kui kohtumenetluses. 74. 2. Teadusuuringud Arvestatud. Kokkuvõte: Kuigi teadusuuringu mõiste määratlemine on tervitatav, on ettepanekus pakutud definitsioon äärmiselt lai ja osaliselt vastuoluline, hõlmates mistahes uurimistöö, ilma et oleks selgelt nõutav teaduslik metoodika või uue üldistatava teadmise loomine. Samuti jäävad ebaselgeks viited eetikanormidele, mis vähendab praktilist selgust ning võib viia selleni, et väga erinevad, sh puhtalt rakenduslikud või ärilised tegevused kvalifitseeritakse teadusuuringutena. Ettepanekus on selgitatud, et teadusuuringu eesmärgil andmete töötlemisel võib õiguslikuks aluseks olla õigustatud huvi. Selline sõnastus võib tekitada riski, et eesmärgi olemasolu hakatakse võrdsustama õigusliku aluse olemasoluga. Kui seadusandja soov on tõlgendada põhjendust selliselt, et eesmärgi kooskõla tähendab ka õigusliku aluse olemasolu, tuleks AKI hinnangul muuta IKÜM artikli 5 lõike 1 punkti a. Ettepanek pakub välja täiendava erandi andmesubjekti 77  Seletuskirja lisa 1. Kaasamistabel teavitamiskohustusest, mis koos laia teadusuuringu definitsiooniga võimaldab ulatuslikku teisesel eesmärgil töötlemist andmesubjekti teadmiseta. Selline lähenemine nõrgestab läbipaistvuse, eesmärgipärasuse ja minimaalsuse põhimõtteid, raskendab andmesubjekti õiguste, sh vastuväidete esitamise õiguse tegelikku kasutamist ning tekitab kahtlusi ettepanekute kooskõlas Hartaga, eriti proportsionaalsuse, ettenähtavuse ja tõhusa õiguskaitse nõuetega, nihutades tasakaalu andmesubjekti õiguste kahjuks. Teadusuuringutega seoses on Euroopa Komisjon oma ettepanekus pakkunud välja mitmeid täiendusi. Käesolevaga esitab Andmekaitse Inspektsioon oma arvamuse väljapakutud muudatuste kaupa. 75. [2.1.] Teadusuuringu mõiste (IKÜM artikkel 4 punkt 38) Arvestatud. Euroopa Komisjon on ettepanekus defineerinud teadusuuringu kui igasuguse uurimistöö, mis võib toetada ka innovatsiooni. Need tegevused peavad panustama olemasolevatesse teaduslikesse teadmistesse või rakendama olemasolevaid teadmisi uudsel viisil, neid tuleb läbi viia eesmärgiga aidata kaasa ühiskonna üldise teadmise ja heaolu kasvule ning need peavad järgima asjakohase uurimisvaldkonna eetikanorme. See ei välista, et uurimistöö eesmärk võib olla ka ärihuvide edendamine. AKI väljendab oma poolehoidu teadusuuringu defineerimiseks, arvestades et IKÜM mainib teadusuuringuid erinevates kontekstides ka ise, mistõttu suurem õigusselgus teadusuuringute mõiste ümber on vajalik. IKÜMi põhjenduspunktides 33 78  Seletuskirja lisa 1. Kaasamistabel (nõusoleku kontekstis) ja 159 (õigusliku aluse kontekstis) on selgitatud teadusuuringuga seotud õigusi ja kohustusi. Ettepanekuga soovitakse lisada täiendavad põhjenduspunktid, milledes viidatud metodoloogiline lähenemine, teadustöö kvaliteet, eetikanormide järgimine ja avaliku huvi või statistika eesmärgil täiendav töötlemine on reguleeritud juba kehtivas IKÜMis, mistõttu nende lisamine määrusesse ei anna selgust ega täpsusta teadusuuringute määratlust. Tegelik mõju võimalikele ettepaneku eesmärkidele (andmesubjektide kaitse või teadusvabaduse tagamise) jääb seega piiratuks ning lisatavad põhjenduspunktid ei suurenda õiguslikku selgust. Ettepanekus esitatud kujul mõiste on sisustatud vastuoluliselt. Esmalt ütleb termin, et teaduslikuks uuringuks on mistahes uurimistöö. AKI on seisukohal, et mistahes uurimistöö defineerimine teadustööks devalveerib teaduse ning teadusuuringute väärtust. Selline lähenemine ei arvesta asjaoluga, et teadusuuring eeldab enamat kui pelgalt uurimusliku tegevuse läbiviimist. Teaduslik uurimistöö peab tuginema teaduslikule metoodikale, olema teooriapõhine ning suunatud uue, üldistatava teadmise loomisele. Kui teadusliku uuringu mõiste alla hõlmatakse ka kirjeldavad, rakenduslikud või halduslikud analüüsid, ähmastub piir teadusliku ja muu uurimistöö vahel. Selle tulemusel kaob teadusuuringu eriline staatus kui süstemaatilise ja kontrollitava teadmise loomise viis. Seetõttu on AKI hinnangul põhjendatud lähenemine, mille kohaselt ei saa iga uurimistööd käsitada 79  Seletuskirja lisa 1. Kaasamistabel teadusliku uuringuna, vaid teadusuuringuks kvalifitseerumine eeldab kindlate sisuliste ja metodoloogiliste kriteeriumide täitmist. Järgmiseks lisab ettepanek kriteeriumi „võib toetada ka innovatsiooni“, sh käib selle mõiste alla ka tehnoloogiaarendus ja demonstratsioon. See tähendab, et tootearendus, prototüüpimine ja muud rakenduslikud tegevused, mis tavaliselt ei kvalifitseeru akadeemiliseks teaduslikuks uurimiseks, võivad nüüd formaalselt olla teadusuuringud. Senine praktika piirdub pigem teadusliku uurimistööga, mis järgib akadeemilist või teaduslikku metoodikat ning mille eesmärk on genereerida üldist teaduslikku teadmistepagasit. Ettepanekus toodud määratluse kohaselt võib pidada teadusuuringu eesmärgiks ka ärihuvide edendamist, mis erineb akadeemilisest tavapärasest teadusuuringu käsitlusest. Kokkuvõttes on tegemist laia, kuid samas osaliselt vastuolulise määratlusega, mis suurendab ettevõtetele võimalust vormistada väga erinevaid tegevusi teadusuuringutena, kuid ei taga täielikku õigusselgust ega kooskõla teadusvabaduse põhimõtetega. Teisalt, teadusliku uurimistöö mõiste kitsalt piiritlemine isikuandmete kontekstis võib olla vastuolus võimaliku teadusuuringute regulatsiooniga muudes valdkondades. Üldiselt ongi teadusuuringute mõiste üldjuhul konkreetselt defineerimata eelkõige teadusliku ja akadeemilise vabaduse tagamiseks. Teadusuuringu enda eesmärk ja uuringu läbiviimine peab olema kooskõlas eetikanõuetega. Seejuures ei selgitata 80  Seletuskirja lisa 1. Kaasamistabel põhjenduspunktides ega sättes “vastava uurimisvaldkonna eetiliste standardite” tähendust. Teadustööde puhul on normiks üldjuhul teadustöö valdkonnast, uuringu metoodikast ning heast teadustavast tulenevate põhimõtete järgimise kohustus. Ka IKÜM võiks sarnast lähenemist kasutada ning konkreetse mõiste sõnastamise asemel rõhutada, et lisaks isikuandmete kõrgetasemelise kaitse tagamisele tuleb isikuandmetega tehtavates teadusuuringutes järgida head teadustava (näiteks Euroopa teaduse eetikakoodeks). 76. [2.2.] Eesmärgipiirangu muutmine teadusuuringute kontekstis Arvestatud. (IKÜM artikkel 5 lõige 1 punkt b) Seoses eesmärgipärasusega on digitaalses omnibusis ettepanek muuta IKÜM artikli 5 lõike 1 punkti b selliselt, et andmed kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda edasi viisil, mis on nende eesmärkidega vastuolus; edasist töötlemist avalikes huvides arhiveerimise eesmärgil, teadus- või ajaloouuringute eesmärgil või statistilisel eesmärgil loetakse vastavalt artikli 89 lõikele 1 esialgsete eesmärkidega kooskõlas olevaks, olenemata käesoleva määruse artikli 6 lõike 4 tingimustest. Esmapilgult võib tunduda, nagu väljapakutud täiendus looks uue ja laiemalt kohaldatava aluse andmete edasiseks töötlemiseks. Siiski ei ole see tõlgendus ainuvõimalik, kuivõrd kehtivat sätet lugedes on ka praegu võimalik samale järeldusele jõuda. Praktikas on kujunenud erinevad lähenemised, kus osa andmetöötlejaid ja järelevalveasutusi peavad vajalikuks rakendada täiendavalt artikli 81  Seletuskirja lisa 1. Kaasamistabel 6 lõike 4 analüüsi, seega saab väljapakutud muudatust mõista seadusandja algset soovi selgitava ja täpsustavana, mis ei loo uut erandit, vaid kõrvaldab senise tõlgendusliku ebakindluse. Kombineerituna ettepanekus toodud äärmiselt laia teadusuuringu määratlusega, võib aga antud säte õõnestada IKÜMiga tagatavat kaitsetaset. Mistahes eesmärgil kogutud isikuandmeid oleks antud sätetele tuginedes hiljem võimalik kasutada näiteks mõne tehisintellektil põhineva keelemudeli arendamiseks, pidades silmas, et innovatsiooni toetamise kriteerium on valikuline ning ka uute teadmiste loomine ei ole nõutav, kuivõrd piisab ka olemasolevate teadmiste uudsel viisil rakendamisest. Eriti probleemne on võimalus sätet tõlgendada viisil, mis lubab järeldada, et edasise töötlemise korral teadusuuringu eesmärgil ei ole vajalik õigusliku aluse sobivuse hindamine, st ka õiguslikule alusele laieneks kooskõla eeldus. AKI märgib, et sellise tõlgendusega nõustuda ei saaks, sest muudatused räägivad endiselt eesmärkide, mitte õiguslike aluste kooskõla eeldusest ning nagu nähtub IKÜM artiklist 5 lg 1 p-dest a ja b on need eraldiseisvad põhimõtted. 77. [2.3.] Teadusuuringute läbi viimise õiguslik alus (Ettepaneku Arvestatud. põhjenduspunkt 32) Ettepaneku selgituses ja põhjenduses 32 on öeldud, et kui liidu ega liikmesriigi õigusega ei ole vastuolus, siis on teadusuuringu eesmärgil isikuandmete töötlemise õiguslikuks aluseks õigustatud huvi (IKÜM artikkel 6 lõige 1 punkt f). Põhjendus 32 nendib küll, et vastutava töötleja kohustus tagada punkti f tingimuste täitmine 82  Seletuskirja lisa 1. Kaasamistabel ei ole piiratud. Siiski tekib küsimus, et kas juhul kui isikuandmete töötlemine vastab määruses toodud teadusuuringu definitsioonile ja töötlemine on juba eelduslikult eesmärgiga kooskõlas ilma, et seda peaks eraldi hindama, siis on ka õigustatud huvi olemasolu juba põhimõtteliselt eeldatav. Muudatuse tulemusel võib õigustatud huvi hindamine muutuda tarbetuks formaalsuseks. Kui seadusandja soov on tõlgendada põhjendust selliselt, et eesmärgi kooskõla tähendab ka õigusliku aluse olemasolu, tuleks AKI hinnangul muuta IKÜM artikli 5 lõike 1 punkti a. Vastasel juhul oleks selline tõlgendus IKÜMi (ja mõnel juhul teaduseetikaga) vastuolus. 78. [2.4.] Andmesubjekti õigused teadusuuringute läbiviimisel Arvestatud. (IKÜM artikkel 13 lõige 5) Lisaks IKÜMi artiklite 5 ja 6 muudatusele puudutab isikuandmete kaitset teadusuuringute kontekstis ka artikli 13 lõike 5 lisamine IKÜMi. Nimetatud lõike kohaselt kui töötlemine toimub teadusuuringute eesmärgil ning /.../ teabe esitamine osutub võimatuks või nõuaks ebaproportsionaalselt suuri pingutusi /.../ või kui käesoleva artikli lõikes 1 osutatud kohustus tõenäoliselt muudaks töötlemise eesmärkide saavutamise võimatuks või kahjustaks seda oluliselt, ei pea vastutav töötleja esitama lõigetes 1, 2 ja 3 osutatud teavet. Sellistel juhtudel võtab vastutav töötleja andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks asjakohaseid meetmeid, sealhulgas teeb teabe avalikult kättesaadavaks. Lisaks on ettepaneku põhjenduspunktis 37 selgitatud, et teabe esitamine nõuaks ebaproportsionaalselt suuri 83  Seletuskirja lisa 1. Kaasamistabel pingutusi eelkõige juhul, kui vastutav töötleja isikuandmete kogumise ajal ei teadnud ega näinud ette, et ta töötleb isikuandmeid hiljem teadusliku uurimistöö eesmärgil. Pakutud artikli 13 lõike 5 lisamine koos ettepanekus toodud teadusuuringu väga laia määratlusega loob praktikas ulatusliku võimaluse töödelda isikuandmeid teisesel eesmärgil andmesubjekti teavitamiseta. Teadusuuringu definitsioon annab võimaluse teha teadusuuringuid ka sellistel andmetöötlejatel, kes koguvad isikuandmeid otse andmesubjektilt näiteks teenuse osutamisel. Kui sellised andmetöötlejad soovivad isikuandmeid teisesel eesmärgil kasutada teadusuuringu läbiviimiseks, ei ole nad kohustatud isikut sellest teavitama. Seega puuduks andmesubjektil sisuliselt ülevaade, kas ja kuidas andmetöötleja tema andmeid kasutab. See nõrgestab läbipaistvuse põhimõtet ning muudab andmesubjekti õiguste kasutamise suurel määral teoreetiliseks. Lisaks on teabe esitamata jätmise eelduste hindamine jäetud suures osas vastutava töötleja enda otsustada, kuna mõisted nagu „võimatus“ ja „ebaproportsionaalselt suured pingutused“ ei ole selgelt piiritletud. See suurendab õiguskindlusetust ja loob riski, et erandit hakatakse kasutama laialdaselt ka olukordades, kus individuaalne teavitamine oleks tegelikult võimalik. Ettepanekus viidatud võimalus piirduda teabe avalikult kättesaadavaks tegemisega eeldab, et andmesubjekt ise aktiivselt otsib infot tema andmete töötlemise kohta. Väljapakutud muudatuste koosmõju kahjustab ka eesmärgipärasuse ja andmete minimaalsuse põhimõtteid, kuna 84  Seletuskirja lisa 1. Kaasamistabel teadusuuringu eesmärgile viitamine võib muutuda üldiseks õigustuseks ulatuslikule teisesel eesmärgil töötlemisele. See vähendab survet hinnata, kas konkreetsete isikuandmete töötlemine on teadusuuringu eesmärgi saavutamiseks tegelikult vajalik, ning suurendab riski, et teadusuuringu eesmärk sõnastatakse tagantjärele juba kogutud andmete õigustamiseks. Lisaks eelnevale tekib küsimus, kuidas saab andmesubjekt kasutada õigust esitada vastuväiteid IKÜM artikkel 21 lõike 6 alusel (kui isikuandmeid töödeldakse teadus- või ajaloouuringute või statistilisel eesmärgil), kui tal puudub teave, kas tema andmeid teadusuuringu raames töödeldakse. Ettepanek nihutab tasakaalu andmesubjekti õiguste kahjuks ning võib pikemas perspektiivis kahjustada usaldust nii andmetöötlejate kui ka teadusuuringute vastu. Arvestades, et IKÜMi muudatuste eesmärk on regulatiivne lihtsustamine ja VKE-de koormuse vähendamine, ei ole selge, kas läbipaistvuse oluline nõrgenemine ja õiguskindluse vähenemine on selle eesmärgi saavutamiseks põhjendatud. 79. [2.5.] Põhiõiguste hartaga tagatud õiguste seos ettepanekuga Arvestatud. Ettepanek laiendab teadusuuringute mõistet viisil, mis tekitab kahtlusi selle kooskõlas Hartas sätestatud proportsionaalsuse ja eesmärgipõhisuse põhimõtetega. Liialt avar teadusuuringute mõiste võib võimaldada selliste tegevuste kvalifitseerimist teadusuuringutena, mis ei ole sisuliselt seotud ei avaliku huvi, 85  Seletuskirja lisa 1. Kaasamistabel teadusliku metoodika ega uue teadmise loomisega, ning seeläbi piirata andmesubjekti õigusi ulatuslikumalt, kui see on vajalik. Põhiõiguste harta artikli 52 lõike 1 kohaselt on põhiõiguste piiramine lubatav üksnes juhul, kui piirang on selgelt määratletud, teenib legitiimset eesmärki ning on proportsionaalne. Kui teadusuuringute mõiste on ebamäärane, muutub keerukaks hinnata nii piirangu vajalikkust kui ka seda, kas eesmärgi saavutamiseks oleks võimalik kasutada vähem piiravaid meetmeid. Samuti kannatab läbipaistvus, kuna andmesubjektil võib puududa piisav ülevaade tema andmete tegelikest kasutusviisidest. Kuigi põhiõiguste harta artikkel 13 tagab teadusuuringute ja akadeemilise vabaduse kaitse, ei saa seda tõlgendada üldise õigustusena isikuandmete kasutamiseks väljaspool selgelt piiritletud teaduslikku konteksti. Akadeemilise vabaduse austamine eeldab, et tegemist on tegeliku teadustegevusega, millel on selge metodoloogiline raamistik ja teadmiste loomise eesmärk. Seetõttu on teadusuuringute mõiste täpsem normatiivne määratlemine vajalik selleks, et tagada tasakaal teadusuuringute vabaduse ning andmesubjekti põhiõiguste tõhusa kaitse vahel. 80. 3. Isikuandmete eriliikide töötlemine tehisintellekti Osaliselt arvestatud ja teadmiseks arendamisel ja toimimisel (IKÜM artikkel 9 lõige 2 punkt k; võetud. IKÜM artikkel 9 lõige 5) Kokkuvõte: Ettepaneku eesmärk vältida tehisintellekti arendamise ebaproportsionaalset takistamist on mõistetav. Küll aga on 86  Seletuskirja lisa 1. Kaasamistabel kavandatav erand korraga liiga lai ja samas põhjendamatult kitsas. Erand võib hõlmata sisuliselt igasugust tehisintellekti arendamist ja kasutamist sõltumata eesmärgist, seades ohtu eriliiki isikuandmete kaitse, kuid samal ajal seob nn kogemata isikuandmete töötlemise kontseptsiooni üksnes tehisintellekti ja eriliiki isikuandmetega, jättes välja muud tehnoloogiad ja tavalised isikuandmed. Lisaks nihutab ettepanek rõhu töötlemise tegelikult toimumiselt vastutava töötleja kavatsusele, mis ei ole kooskõlas IKÜMi artikli 9 ega andmete minimaalse kogumise põhimõttega ning tekitab paradoksaalse olukorra, kus eriliiki isikuandmed võivad olla nõrgemalt kaitstud kui muud isikuandmed. Kavandatav artikli 9 lõige 5 tugineb ebarealistlikele tehnoloogilistele eeldustele, eelkõige seoses eriliiki isikuandmete eemaldamise võimalikkusega juba treenitud tehisintellekti mudelitest. Selline lähenemine normaliseerib eriliiki isikuandmete olemasolu tehisintellekti süsteemides ja on vastuolus IKÜMi artikli 9 lõike 2 erandliku iseloomuga. AKI rõhutab, et erandi olemasolu ei vabasta andmetöötlejat IKÜMi artikli 6 kohase õigusliku aluse nõudest ning konkreetne tehnoloogia ei saa asendada eesmärgipõhist ja proportsionaalset andmetöötluse analüüsi. Arvestades ka põhiõiguste hartast tulenevaid eraelu, isikuandmete kaitse, inimväärikuse ja tõhusa õiguskaitse nõudeid, peab AKI põhjendatumaks käsitleda tehisintellekti arendamisega seotud erandeid ja kohustusi tehisintellekti määruse raames, kus laiemad 87  Seletuskirja lisa 1. Kaasamistabel õigused oleksid tasakaalustatud selgemate ja rangemate kohustuste ning nende täitmise järelevalvega. Digitaalne omnibus sisaldab ettepanekud täiendada eriliigiliste isikuandmete töötlemise erandeid IKÜM artikli 9 punktiga k, mille kohaselt on andmetöötlejal õigus töödelda eriliiki isikuandmeid, kui andmetöötleja tegeleb tehisintellekti süsteemi või mudeli arendamise või toimimisega. Ettepanek täpsustab hiljem IKÜM artikli 9 uues lõikes 5, et isikuandmete eriliikide kogumise ja muul viisil töötlemise vältimiseks rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid. Kui vastutav töötleja tuvastab vaatamata selliste meetmete rakendamisele treenimiseks, testimiseks või valideerimiseks kasutatavates andmekogumites või tehisintellekti süsteemis või mudelis isikuandmete eriliikidesse kuuluvaid andmeid, eemaldab vastutav töötleja need andmed. Kui nende andmete eemaldamine nõuab ebaproportsionaalselt suuri pingutusi, kaitseb vastutav töötleja neid andmeid igal juhul tõhusalt ja põhjendamatu viivituseta väljundite tootmiseks kasutamise, avalikustamise või muul viisil kolmandatele isikutele kättesaadavaks tegemise eest. Selle täiendava erandi eesmärk on vältida tehisintellekti arendamise ja kasutamise ebaproportsionaalset takistamist, võttes arvesse töötleja võimekust tuvastada ja eemaldada tundlikke isikuandmeid, nagu on selgitatud ettepaneku põhjenduspunktis 33. Erand kehtib olukordades, kus töötleja ei kavatse teadlikult töödelda eriliiki isikuandmeid, kuid sellised andmed on juhuslikult süsteemi sattunud. Andmetöötleja peab rakendama asjakohaseid 88  Seletuskirja lisa 1. Kaasamistabel tehnilisi ja korralduslikke meetmeid, et vältida eriliiki isikuandmete töötlemist kogu tehisintellekti süsteemi või mudeli elutsükli jooksul. Komisjoni hinnangul selgitab ettepanek olukordi, kus varem on olnud ebaselge, kas selline töötlemine on kooskõlas IKÜMi artikli 9 lõike 2 nõuetega, ning aitab seeläbi otseselt toetada innovatsiooni ja tehisintellekti arendamist, mis on usaldusväärne, diskrimineerimisvaba ja säilitab kõrge andmekaitsetaseme. AKI on seisukohal, et uus erand on väga lai ja näib potentsiaalselt hõlmavat mis tahes tehisintellektimudeli või -süsteemi arendamist ja toimimist, sealhulgas mis tahes eesmärgil. Sellega kaasneb märkimisväärne oht eriliiki ehk kõige suuremat kaitset vajavatele isikuandmetele. Teisalt on uus erand kitsas, kuivõrd hõlmab kõikvõimalike tehnoloogiliste võimaluste seast vaid tehisintellekti arendamist ja toimimist, arvestamata näiteks klassikalisi algoritme ja muid automatiseeritud süsteeme. AKI toob lisaks välja, et erand hõlmab vaid eriliiki isikuandmete töötlemist, samas muude isikuandmete puhul selline erand puudub, mis justkui tekitab olukorra, kus eriliiki isikuandmed on vähem kaitstud kui tavalised isikuandmed. Ettepaneku artikli 9 lõike 2 punktis k sätestatud uus erand koos uue lõikega 5 viitavad sellele, et erand hõlmab eriliiki isikuandmete töötlemist vaid juhul, kui vastutav töötleja ei kavatsenud selliseid andmeid töödelda. Seega fakt, kas konkreetne isikuandmete töötlemine kuulub punktis k sätestatud erandi alla, näib tuginevat hinnangule, kas vastutav töötleja kavatseb töödelda eriliiki isikuandmeid, samas kui artikli 9 lõikes 1 sätestatud keelud 89  Seletuskirja lisa 1. Kaasamistabel sõltuvad sellest, kas eriliiki isikuandmeid tegelikult töödeldakse või mitte. Eeltoodu on vastuolus ka andmete minimaalse kogumise põhimõttega, mis on kirjas IKÜM artikli 5 lõike 1 punktis b. Tuleb rõhutada, et selline kogemata isikuandmete töötlemise kontseptsioon ei saa olemuslikult olla seotud üksnes tehisintellektiga ega eriliiki isikuandmetega. Kui sellist lähenemist peetakse vajalikuks, peaks see kehtima horisontaalselt kõikides sektorites ja kõigi isikuandmete puhul, mitte looma erandi üksnes konkreetsele tehnoloogiale. Vastasel juhul tekib põhjendamatu ebavõrdsus erinevate töötlemisviiside ning majandussektorite vahel ning risk, et tehnoloogia ise muutub isikuandmete kaitse nõrgendamise aluseks. Probleemseks saab pidada ka lisatava artikli 9 lõike 5 sõnastust, et juhul kui tehisintellektisüsteemis tuvastatakse isikuandmete eriliigid, siis vastutav töötleja need eemaldab välja arvatud juhul, kui nende eemaldamine osutub ebaproportsionaalselt suureks jõupingutuseks. Tegelikkuses on levinud seisukoht, et tehisintellektist isikuandmete eemaldamine on võimalik küll teoorias, kuid mitte praktikas. Võimalik on kasutada isikuandmete maskeerimise või blokeerimise meetmeid, et mudel enam nendega ei arvestaks, kuid täielik eemaldamine pole võimalik. Kui tehisintellekti mudelid on juba treenitud, on praeguse tehnoloogilise taseme juures (täna on ebaselge, mis ajaraamis nt masinõppe tehnoloogia areneb, mis võimaldaks andmeid päriselt kustutada) peaaegu võimatu sellest mudelist teatud meelde jäetud isikuandmeid eemaldada, välja arvatud juhul, kui seda mudelit 90  Seletuskirja lisa 1. Kaasamistabel teadlikult selliselt ümber treenitakse. Nii rajaneb kavandatav säte juba valedele eeldustele. On selge, et eriliiki isikuandmete eemaldamine tehisintellekti süsteemist või mudelist osutub ebaproportsionaalselt suureks jõupingutuseks, mis juba vaikimisi loob eelduse, et need võivad seal olla. Samas IKÜM artikli 9 lõike 2 järgi peaks eriliiki andmete töötlemine olema erand ja eriliiki isikuandmed peaksid olema erilise kaitse all, mis tähendab, et vaikimisi lubatud andmetöötlus artikli 9 lõikes 5 ei ole lõikega 2 kooskõlas. Eriliiki isikuandmete töötlemise erandi olemasolu ei tähenda, et IKÜMi artikli 6 kohane õiguslik alus muutub eeldatavaks. Ka tehisintellekti arendamise kontekstis peab isikuandmete töötlemisel alati eksisteerima selge ja sobiv õiguslik alus IKÜM artiklist 6 ning selle olemasolu ei saa asendada viitega tehnoloogilisele paratamatusele või juhuslikule andmete sattumisele süsteemi. Oluline on märkida, et ettepanek keskendub eelkõige tehnoloogiale, mitte töötlemise eesmärkidele. IKÜMi loogika lähtub aga eesmärgipõhisest andmetöötlusest ning tehnoloogia on seejuures vahend, mitte iseseisev õigustav alus. Kui tehisintellekti arendajatele soovitakse anda laiemad õigused, peab sellega paratamatult kaasnema ka täpsem ja rangem kohustuste raamistik. Sellest tulenevalt oleks süsteemselt põhjendatum käsitleda selliseid erandeid ja kohustusi tehisintellekti määruses, kus on piiritletum kohaldumisala, määratud riskitasemed ning riskitasemetele vastavad teatud õigused ja kohustused ning on loodud reeglistik järelevalveks nende täitmise üle. Laiemad õigused tehisintellekti 91  Seletuskirja lisa 1. Kaasamistabel arendamisel peavad olema tasakaalustatud selgemate, konkreetsemate ja rangemate andmekaitseliste kohustustega, mitte üldise ja tehnoloogiapõhise erandiga IKÜMis. 81. 3.1. Põhiõiguste hartaga tagatud õiguste seos ettepanekuga Arvestatud. Ettepanek võimaldab tehisintellekti süsteemide arendamisel ja kasutuselevõtul ulatuslikku isikuandmete, sealhulgas eriliiki isikuandmete töötlemist üksnes põhjendusel, et tehisintellektisüsteemid vajavad suuri andmemahtusid või keerukaid andmestikke. Selline lähenemine ei sisalda nõutavat vajaduse ega proportsionaalsuse analüüsi ning ei arvesta põhiõiguste hartas sätestatud põhimõttega, mille kohaselt peab eriliiki isikuandmete töötlemine olema erandlik, rangelt põhjendatud ja selgelt tasakaalus taotletava eesmärgi ning põhiõigustele avalduva mõjuga. Harta artiklite 7 ja 8 valguses kujutab massiline andmekogumine, profileerimine ja andmete tuletuslik töötlemine endast sügavat sekkumist eraellu ja isikuandmete kaitse õigusesse. Tehisintellekti süsteemid ei piirdu üksnes olemasolevate andmete töötlemisega, vaid võimaldavad tuletada uusi andmeid, sealhulgas tervisliku seisundi, seksuaalse sättumuse või poliitiliste vaadete kohta. Arvestades, et eriliiki andmed on nii Harta artikli 8 kui ka IKÜM artikli 9 alusel erilise kaitse all, toob sellise töötlemise normaliseerimine kaasa olulise kaitsetaseme nõrgenemise. Lisaks võib tehisintellekti põhine andmetöötlus riivata Harta artiklis 1 sätestatud inimväärikuse põhimõtet, kuivõrd isikuid 92  Seletuskirja lisa 1. Kaasamistabel käsitletakse pelgalt andmepunktide ja riskiprofiilidena, kaotades kontrolli oma identiteedi ja haavatavuste üle. Süsteemid, mis õpivad inimeste käitumisest ja „haavatavustest“, võivad sekkuda inimväärikuse olemusse viisil, mis ei ole kooskõlas põhiõiguste kaitse eesmärgiga. Harta artikli 47 seisukohalt on problemaatiline ka tehisintellekti otsuste piiratud läbipaistvus ja vaidlustatavus. Kui otsused põhinevad eriliiki andmete töötlemisel või nendest tuletatud järeldustel, ei pruugi isikul olla võimalik mõista, miks tema suhtes konkreetne tulemus kujunes, mis omakorda pärsib tõhusat õiguskaitset. Kõnealune lähenemine tõstatab Harta artikli 52 lõike 1 valguses riski, et eriliiki andmete töötlemisest saab tehisintellekti arenduses tavapärane praktika ning põhiõiguste kaitse taandub formaalseks. Lisaks ei saa välistada võimalikke riiveid Harta artiklite 20 ja 21 (võrdne kohtlemine ja diskrimineerimiskeeld) osas, samuti Harta artiklite 10 ja 11 osas, kuna maailmavaadete ja hoiakute kaardistamine võib kaasa tuua enesetsensuuri ning piirata mõtte- ja sõnavabaduse tegelikku kasutamist. 82. 4. Isikuandmete eriliikide töötlemine biomeetriliste andmete Arvestatud. puhul (IKÜM artikkel 9 lõige 2 punkt l) Ettepanek sisaldab uut eriliiki isikuandmete töötlemise erandit artikli 9 lõike 2 punktis l. Punkti l kohaselt on eriliiki isikuandmete töötlemine lubatud, kui biomeetriliste andmete töötlemine on vajalik andmesubjekti isikusamasuse kinnitamiseks 93  Seletuskirja lisa 1. Kaasamistabel (kontrollimine), kusjuures biomeetrilised andmed või kontrollimiseks vajalikud vahendid on andmesubjekti ainukontrolli all. Ettepaneku põhjenduspunktis 34 on selgitatud, et säilitades biomeetrilisi andmeid turvaliselt ainult andmesubjekti juures või vastutava töötleja juures tipptasemel krüpteeritud kujul ning krüpteerimisvõtit või samaväärset vahendit valdab ainult andmesubjekt, ei tekita selline töötlemine tõenäoliselt olulisi ohte tema põhiõigustele ja -vabadustele. Vastutav töötleja ei saa biomeetrilistest andmetest teada või saab neid teada ainult väga piiratud aja jooksul kontrolliprotsessi käigus. AKI tervitab biomeetriliste andmete töötlemiste õiguslikku alust ning nõustub põhjenduspunktis toodud näitega. Täiendus, et isikusamasuse kinnitamine biomeetria abil on lubatud vaid juhul, kui kontrollimiseks vajalikud vahendid on andmesubjekti ainukontrolli all, on oluline tingimus isikuandmete kaitse kontekstis. 83. 5. Andmesubjekti juurdepääs andmetele (IKÜM artikkel 12 Arvestatud. lõige 5) Digitaalse omnibusi ettepanekus on IKÜM artikkel 12 lõiget 5 täiendatud ning välja on pakutud, et artiklite 13 ja 14 kohaselt esitatav teave ning artiklite 15–22 ja 34 alusel tehtavad teated ja võetud meetmed esitatakse tasuta. Kui andmesubjekti taotlused on ilmselgelt alusetud või ülemäärased, eelkõige nende korduva iseloomu tõttu või ka artikli 15 alusel esitatud taotluste puhul 94  Seletuskirja lisa 1. Kaasamistabel seetõttu, et andmesubjekt kuritarvitab käesoleva määrusega antud õigusi muul eesmärgil kui oma andmete kaitse, võib vastutav töötleja kas: (a) nõuda mõistlikku tasu, võttes arvesse teabe või teate edastamise või taotletud toimingu tegemise halduskulusid; või (b) keelduda taotluse alusel tegutsemast. Vastutav töötleja kannab kohustust tõendada, et taotlus on ilmselgelt alusetu või et on mõistlik alus arvata, et see on ülemäärane. Seega, ettepanek lisab andmetöötlejale võimaluse keelduda andmete väljastamisest artikli 15 kohaste taotluste puhul, kui andmesubjekt kuritarvitab IKÜM-iga antud õigusi muul eesmärgil kui oma andmete kaitsmine. Juurdepääsu andmisest keeldumise võimalus on andmetöötlejatel IKÜM artikkel 12 lõikes 5 olemas juba praegu. Kavandatud muudatus pöörab sisuliselt tõendamiskoormise andmetöötlejatelt andmesubjektidele: kui käesoleval hetkel on andmetöötlejal kohustus oma keeldumist põhjendada, siis edaspidi on esmalt andmesubjektil vaja tõendada, et tal on andmetele juurdepääsu vaja andmete kaitsmiseks ning andmetöötlejal on madal lävend oma keeldumist põhjendada. AKI möönab, et andmesubjektide taotlused oma andmetele juurdepääsuks võivad teinekord olla ülemäärased või pahatahtlikud, näiteks naabrikaamerate vaidlused võivad alata sellest, et naaber soovib kaamera paigaldanud naabrilt saada enda liikumist sisaldavat kaamerapilti eelneva kuu lõikes. Ehkki naaber kasutab sellises olukorras oma IKÜM artikkel 15 õigust, võib olla tema tegelikuks eesmärgiks koormata kaamera paigaldanud naabrit tülika järelevalvemenetlusega. Sellest hoolimata on AKI 95  Seletuskirja lisa 1. Kaasamistabel arvamusel, et käesoleva ettepaneku sõnastus on mõneti ebaõnnestunud, kuivõrd jätab mulje, et andmetöötlejal on laiaulatuslikud õigused jätta taotlused lahendamata ülemäärasuse põhjendusel. Selged juhised, kuidas ülemäärasust või õiguse kuritarvitamist hinnata, puuduvad. Selliste juhiste puudumine tekitab tõenäoliselt vaidlusi hindamise õiguspärasuse üle nii järelevalveasutuste vaates kui ka kohtumenetluses. See tähendab, et andmesubjektid tõenäoliselt jätavad selle õiguse kasutamata, kui on oht, et andmetele juurdepääsule võib eelneda aastatepikkune järelevalve- ja kohtumenetlus. Ettepanek piirab andmesubjektide õiguste kasutamist juhtudele, kui andmesubjekt soovib andmeid oma andmete kaitsmiseks. Tegemist on väga kitsa käsitlusega, millal andmesubjekt võib soovida oma andmetele ligipääsu. Andmesubjekt võib soovida andmeid mitmetel teistel eesmärkidel, näiteks töösuhete kontekstis võib andmesubjekt soovida värbamisprotsessis kogutud andmetele ligipääsu, et hinnata, kas otsus põhines ebaõigetel hinnangutel või kindlustusvaidluse ettevalmistamisel võib andmesubjekt taotleda kindlustusandjalt andmeid, mis on seotud kahjukäsitlusega. Sellistel eesmärkidel andmete väljastamine ettepaneku kohaselt kohustuslik ei ole, kuivõrd andmete taotlemise eesmärgiks ei ole andmete kaitsmine. IKÜM artikli 12 lõike 5 sõnastuse viimase lause muutmine “on mõistlik alus arvata” paneb rõhu taaskord subjektiivsele hinnangule. Ettepanekus toodud sõnastuse kohaselt on andmetöötlejal õigus pärida põhjendust andmesubjekti andmete 96  Seletuskirja lisa 1. Kaasamistabel saamiseks. Vaid juhul, kui andmesubjekti eesmärk on oma andmete kaitsmine, on andmetöötleja kohustatud andmed väljastama. Ettepaneku põhjenduspunkt 35 täiendab, et andmetöötlejal on ülemäärasest taotlusest keeldumisel madal tõendamiskohustus ning täpsustab, et igal juhul peaks andmesubjekt IKÜM artikli 15 alusel juurdepääsu taotlemisel olema võimalikult täpne ehk liiga laiaulatuslikke ja eristamata taotlusi tuleks samuti pidada liigseks. Tuleb arvestada, et teinekord tuleb pidada põhjendatuks andmesubjekti taotlust küsida välja kõik andmed, mis andmetöötlejal tema kohta olemas on selleks, et hinnata, kas andmete töötlemine konkreetse andmetöötleja poolt on seaduslik ja õiguspärane. Ettepaneku kohaselt on iga selline taotlus edaspidi ülemäärane ning andmetöötleja ei pea põhjendama sellisest taotlusest keeldumist. Ettepaneku põhjenduspunktide kohaselt peaks andmesubjekt teadma, mis andmed andmetöötlejal tema kohta on, kuid praktikas tekitavad vaidlusi just need andmed, mida andmetöötlejal olla ei tohiks. Ehkki ettepanek täpsustab, et ülemääraseks võib pidada taotlusi, mille eesmärk ei ole andmete kaitsmine, tuleb märkida, et andmesubjekt võib taotluses küll tuua põhjenduseks andmete kaitsmise, kuid andmetöötlejal on õigus hinnata andmesubjekti põhjendust subjektiivselt, kas taotluse eesmärk on tõesti see, mida andmesubjekt väidab. See tekitab tulevikus vaidluskohti, mida täna olnud ei ole, ning järelevalveasutuste halduskoormus võib kasvada. Euroopa Kohtu otsus kohtuasjas FT, C-307/22 punktides 38 ja 43 on selgitatud, et andmesubjekt ei pea vastutavale töötlejale esitama 97  Seletuskirja lisa 1. Kaasamistabel andmetele juurdepääsu taotluse põhjuseid. Kohtu sõnul on vastutav töötleja kohustatud andma andmesubjektile tasuta tema töödeldavate isikuandmete esimese koopia, isegi kui taotluse põhjus ei ole töötlemise seaduslikkusest teadasaamine ja selle kontrollimine. Samal seisukohal on Kohus olnud ka mitmetes hilisemates lahendites. Antud muudatus paistab olevat kantud pooleliolevast Euroopa Kohtu menetlusest C-526/24, kuid üksnes üks menetlus ei peaks laskma mõjutada senist praktikat, eriti kui see menetlus pole jõudnud Euroopa Kohtu lõpliku lahendini. Ettepanek toob kaasa õigusliku ebakindluse nii andmesubjektide kui ka vastutavate töötlejate jaoks, tuues kaasa keerulisi äärmuslikke juhtumeid ja ettenähtavaid edasi-tagasi suhtlusi. Vastutavate töötlejate jaoks võib muutuda juurdepääsutaotluste hindamine keeruliseks. Selleks, et hinnata, kas andmesubjekt soovib juurdepääsu andmete kaitsmiseks, peab andmetöötleja tõenäoliselt edaspidi rohkem andmeid töötlema. Seetõttu on väga küsitav, kas see kavandatav muudatus tegelikult vähendaks vastutavate töötlejate administratiivset koormust. Andmesubjekti vaatest tekitab olukord teadmatust, kuivõrd hindamine oleks ettepaneku kohaselt iga andmetöötleja subjektiivsetel alustel, mistõttu sama põhjendus erinevate andmetöötlejate juures võib viia erineva lahenduseni. Seega asjaolu, kas andmetöötleja saab oma õigust kasutada või mitte, sõltub andmetöötleja diskretsioonist ja heast tahtest. 5.1. Põhiõiguste hartaga tagatud seos ettepanekuga 98  Seletuskirja lisa 1. Kaasamistabel Harta artikkel 8 lg 2 kätkeb endas õigust tutvuda enda kohta kogutud andmetega ja nõuda nende parandamist. Harta tasandil on tegemist fundamentaalse õigusega ja Harta ei täpsusta, et sellise õiguse rakendamine eeldab teatud tingimustele vastamist. See tähendab, et andmesubjekt, kelle andmeid on kogutud, võib tutvuda oma andmetega ilma igasuguse põhjenduseta, eesmärgiga tagada inimväärikus ja autonoomia, kuid ühtlasi praktiliselt omada kontrolli oma andmete üle. Sõltumine andmetöötleja õigusest küsida põhjendusi on vastuolus Harta artikkel 8 lõikega 2, kuivõrd seab andmesubjekti enda andmete üle kontrolli teostamise tingimuslikuks. 84. 6. Erandi täpsustamine, kui andmed on saadud Teadmiseks võetud. andmesubjektilt (IKÜM artikkel 13 lõige 4) Ettepanekuga täpsustatakse IKÜM artikli 13 lõike 4 teksti. Ettepaneku eesmärk on muuta erandit, mis lubab andmetöötlejatel mitte anda andmesubjektidele teavet juhul, kui isikuandmeid kogutakse otse andmesubjektilt. Kuigi kehtiv määrus loob artikli 13 kohase läbipaistvuskohustuse erandi juhuks, kui andmesubjektil on kogu teave juba olemas, soovitab ettepanek teha teabe esitamisest erandi juhul, kui vastutav töötleja mõistlikult eeldab, et andmesubjektil on juba teatav teave olemas (näiteks vastutava töötleja identiteet ning töötlemise eesmärk ja õiguslik alus). See täiendav erand kehtiks teatud tingimustel: i) isikuandmed on kogutud andmesubjektide ja vastutava töötleja vahelise selge ja piiritletud suhte kontekstis ning ii) vastutav töötleja tegutseb viisil, mis ei ole andmemahukas. 99  Seletuskirja lisa 1. Kaasamistabel IKÜM artikkel 13 lõige 4 erand kehtib vaid juhul, kui ei kohaldu ükski välistustest. Näiteks on üheks välistuseks, et andmeid ei tohi edastada teistele vastuvõtjatele, seega näiteks raamatupidamisteenuse osutajale, makseteenuse osutajale, veebiserveri teenusepakkujale, e-mailiteenuse pakkujale jms, kes on vastuvõtjateks IKÜM artikkel 4 punkti 9 alusel. Välistuseks on ka andmete edastamine kolmandasse riiki, kuid mitmeid veebiserveri teenusepakkujad on just selliselt üles ehitatud, mistõttu oleks juba mitu alust erandi mittekohaldamiseks. Käesoleva sõnastusega muudab ettepanek IKÜM artikkel 13 lõiget 4 drastiliselt, kuivõrd hetkel on andmetöötlejal võimalik toetuda erandile, et andmesubjektil on teave juba olemas. Ettepaneku järgi muutuvad erandi kasutamise tingimused aga nii kitsaks, et enamik andmetöötlejatest ei saa seda enam rakendada. Põhimõtteliselt kohalduks muudatus vaid mõnele ühemeheettevõttele või käsitöö tegijale, kes sularaha eest oma kaupu kuskil laadal müüb. Arvestades, et kõikide IKÜMi muudatuste eesmärk on vähendada VKE-de kohustusi ja halduskoormust, võtab käesolev muudatus võimaluse toetuda kehtivas IKÜMis olevale teabe teatavaks tegemise erandile. 85. 7. Automatiseeritud otsuste tegemine (IKÜM artikkel 22 lõige Teadmiseks võetud. 1) Digitaalse omnibussi ettepanekuga soovitakse muuta IKÜMi artikli 22 lõikeid 1 ja 2 selliselt, et olemasolev sõnastus eemaldatakse, pannakse kokku lõiked 1 ja 2 ning uue sõnastuse kohaselt otsus, millel on andmesubjektile õiguslikud tagajärjed või mis teda 100  Seletuskirja lisa 1. Kaasamistabel sarnasel viisil oluliselt mõjutab, võib põhineda üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, ainult juhul, kui see otsus vastab lõike 1 tingimustele. IKÜM artikli 22 lõike 1 punkti a (kehtiva sõnastus artikli 22 lõike 2 punktis a) lisatakse allajoonitud tekst: on vajalik andmesubjekti ja andmetöötleja vahelise lepingu sõlmimiseks või täitmiseks, olenemata sellest, kas otsuse saaks teha muul viisil kui üksnes automatiseeritud vahenditega. Muudatuse kohta on ettepaneku põhjenduspunktis 38 selgitatud, et asjaolu, et otsuse võiks langetada ka inimene, ei takista vastutaval töötlejal langetamast otsust üksnes automatiseeritud töötlemise teel. Kui eksisteerib mitu võrdselt tõhusat automatiseeritud töötlemise lahendust, peaks vastutav töötleja kasutama vähem riivavat. Uus sõnastus näib alandavat automatiseeritud otsuste kasutamise künnist ning kuigi otsuse võiks langetada ka inimene, ei takista see enam automatiseeritud otsuse tegemise võimalust. Kehtiva IKÜM- i kohaselt piirab vajalikkuse kriteerium automatiseerimist ainult juhtudele, kui teistmoodi ei ole võimalik lepingut täita. Ka olemasolev kohtupraktika tõlgendab vajalikkuse kriteeriumit selliselt, näiteks lahendites C-252/21 (Meta vs Bundeskartellamt), C-634/21 (SCHUFA Holding AG) ja C-817/19 (Ligue des droits humans/PNR). Artikli ümbersõnastamine toob kaasa olulise õigusliku muudatuse, võttes fookuse üksikisiku õiguselt keelduda automatiseeritud 101  Seletuskirja lisa 1. Kaasamistabel otsusest ning pannes selle vastutava töötleja tegevusõiguse määramisele. Sealjuures tuleks panna tähele, et artikkel 22 on IKÜM II peatükis, mis on pealkirjastatud kui “Andmesubjekti õigused”. IKÜM artikkel 12 lõige 2 viitab samuti, et vastutav töötleja aitab kaasa artiklite 15-22 kohaste andmesubjekti õiguste kasutamisele. IKÜM artikli 22 väljapakutud sõnastus ei tugevda andmesubjekti õigust mitte alluda üksnes automatiseeritud otsustele, vaid nihutab regulatiivse tasakaalu selgelt andmetöötleja huvide kasuks. Kui automatiseeritud otsuse lubatavus seotakse üksnes lepingulise vajalikkusega, sõltumata sellest, kas otsus oleks võimalik teha ka muul, vähem riivaval viisil, kaotab artikkel 22 oma kaitsefunktsiooni ning erand muutub sisuliselt reegliks. Selle tulemusel kaotab andmesubjekti õigus oma sisu ning artikli paiknemine IKÜMi andmesubjekti õigusi käsitlevas peatükis muutub normatiivses plaanis formaalseks, mitte tegelikku õiguskaitset tagavaks. Komisjon on ettepaneku põhjenduspunktis 38 selgitanud, et suurema õiguskindluse tagamiseks tuleks selgitada, et otsuseid, mis põhinevad üksnes automatiseeritud töötlemisel, on lubatud teha siis, kui on täidetud eritingimused. AKI toob välja, et juba täna seisavad andmesubjektid sageli silmitsi läbipaistmatute (automatiseeritud) otsustega näiteks tööle kandideerimisel või krediidilimiitide kasutamisel. Kui automatiseeritud andmetöötlus muutub lepingute puhul vaikimisi põhivalikuks, muutuvad artikli 22 lõikes 3 sisalduvad kaitsemeetmed veelgi olulisemaks, kuid ettepanek ei tugevda kaitsemeetmeid. Vastupidiselt annab ettepanek võimaluse vähendada kontrolli, kas sellise 102  Seletuskirja lisa 1. Kaasamistabel automatiseeritud otsuse kasutamine oli tegelikult vajalik. Ehkki Komisjon on ettepanekuga soovinud tagada suuremat õiguskindlust, ei täida muudetud sõnastus eesmärki. Andmekaitse Inspektsioon juhib tähelepanu ka tehnilisele sõnastusveale. Kuigi ettepanek ühendab lõiked 1 ja 2, ei kajastu ettepanekus lõigete 3 ja 4 ristviidete täpsustamine. 86. 8. Rikkumisteated ja ühtne teavituspunkt (IKÜM artikkel 33) Arvestatud ja selgitame: Eesti ei toeta ohu lävendi tõstmist Kokkuvõte: teavitamisel, kuna see raskendab järelevalveasutusel oma kohustuste Digitaalne omnibus muudab IKÜM artikli 33 rikkumisteadete täitmist. reegleid, tõstes teavitamise lävendi suure ohu realiseerimisele, sätestades teavitamise ühtse teavituspunkti kaudu ning pikendades Vormide osas leiab Eesti, et EAKN pädevusi ei tuleks anda Euroopa järelevalveasutuse teavitamise tähtaega 72 tunnilt 96 tunnile. AKI Komisjonile. hinnangul aitab lävendi tõstmine vähendada halduskoormust ja vähendab liigsete teavituste survet andmetöötlejatele, kuid samas Eesti toetab erinevates õigusaktides kaob järelevalveasutuste võimalus jälgida nn keskmise ohuga olevate teavituste tähtaegade rikkumisi ning kaotatakse oluline varajase sekkumise mehhanism. ühtlustamist. Komisjoni määrus 611/2013 on üks näidetest, mille Ühtne teavituspunkt võimaldab andmetöötlejatel edastada osas tuleb samuti selgus saada. rikkumisteated korraga mitmele järelevalveasutusele, toetades haldusprotsesside koordineerimist. Samas tuleb arvestada, et erinevad õigusaktid sätestavad rikkumisest teavitamisele erinevad tähtajad ja künnised: ettepaneku kohaselt tuleb andmekaitsega seotud suure ohuga rikkumistest teavitada 96 tunni jooksul, samas kui NIS2 direktiiv ja Komisjoni määrus 611/2013 näevad ette lühemaid tähtaegu ja teisi lävendeid, mis võivad samale intsidendile kehtida. Kuna ettepanek ei täpsusta nende tähtaegade 103  Seletuskirja lisa 1. Kaasamistabel ja lävendite kooskõla, võib see tekitada õiguslikku ebaselgust rikkumisteadete esitamisel ning vajab täiendavat selgitamist ja koordineerimist. Digitaalse omnibusi ettepanek lisab IKÜMi artiklile 33 lõike 6, mille kohaselt koostab ja edastab Euroopa Andmekaitsenõukogu (EAKN) Komisjonile ettepaneku ühtse vormi kohta, mille alusel teavitatakse lõikes 1 osutatud pädevat järelevalveasutust isikuandmetega seotud rikkumisest, ning loetelu asjaolude kohta, millal isikuandmetega seotud rikkumine võib tõenäoliselt kujutada endast suurt ohtu füüsilise isiku õigustele ja vabadustele. AKI toetab mõtet anda ühiste vormide väljatöötamise juhtimine EAKNile. Küll aga on AKI on seisukohal, et EAKN väljatöötatud vormide vastuvõtmise autonoomsus peab jääma EAKNile kui iseseisvale Euroopa institutsioonile. Andes vormide muutmise õiguse ja rakendusaktina vastuvõtmise õiguse Euroopa Komisjonile, on küsimuse all esmalt EAKNi kui organi sõltumatus ning teisalt ei ole kindel, kas rakendusaktiga vastu võetu väljendab EAKNi soovitusi ja praktikaid. Seetõttu tuleks teha artikli 33 lõikes 6 täpsustus, et EAKNi väljatöötatud vormid tuleb Euroopa Komisjonil rakendusaktina vastu võtta muutmata kujul. Peamine muudatus seoses rikkumisteadetega sisaldub artikli 33 lõikes 1 (allajoonitud tekst), mille kohaselt teavitab vastutav töötleja isikuandmetega seotud rikkumise korral, mis tõenäoliselt kujutab endast suurt ohtu füüsiliste isikute õigustele ja vabadustele põhjendamatu viivituseta ja võimaluse korral hiljemalt 96 tunni jooksul pärast rikkumisest teadasaamist direktiivi (EL) 2022/2555 104  Seletuskirja lisa 1. Kaasamistabel artikli 23a kohaselt loodud ühtse teavituspunkti (single entry point) kaudu artiklite 55 ja 56 kohaselt pädevat järelevalveasutust. Allajoonitud tekst viitab kolmele muudatusele: 1) rikkumisteavitused tuleb teha vaid suure ohu tõenäolisel ilmnemisel (praeguse ohu ilmnemise asemel); 2) rikkumisteated tuleb esitada 96 tunni jooksul (varasema 72 tunni asemel) ning 3) rikkumisteade tuleb esitada ühtse teavituspunkti (single entry point) kaudu. AKI esitab analüüsi iga muudatuse kohta eraldi. Rikkumisteadete esitamine suure ohu tõenäolisel ilmnemise Kehtiv IKÜM sätestab kaheastmelise rikkumise hindamise loogika. Esmalt teavitavad vastutavad töötlejad IKÜM artikli 33 lõike 1 kohaselt andmekaitse järelevalveasutusi alati, kui rikkumine on seotud riskiga isikuandmete kaitsele ning teiseks teavitavad vastutavad töötlejad IKÜM artikli 34 kohaselt rikkumisega seotud andmesubjekte juhul, kui oht5 on suur. Selline kaheastmeline loogika võimaldab täna järelevalveasutustel säilitada ülevaade erinevatest rikkumistest ja annab võimaluse otsustada sekkumise vajaduse ning ulatuse või hinnata, kas on täiendavalt vaja teavitada andmesubjekte. Eeldus on, et juhul kui rikkumine on suur ning on vajalik teavitada andmesubjekte, peab sellele eelnema alati järelevalveasutuse teavitamine. 5 Andmekaitse Inspektsioon möönab, et inglise keeles kasutatakse sõna “risk”, samas eesti keeles “oht”. Käesoleva arvamuse kirjutamisel lähtub Andmekaitse Inspektsioon ametlikust eestikeelsest tõlkest. 105  Seletuskirja lisa 1. Kaasamistabel Ettepanekus tõstetakse IKÜM artikli 33 künnis kõrge ohutasemeni ja artiklite 33 ning 34 ohutasemed ühtlustuvad. Sellega kaotatakse justkui järelevalveasutuste vaatest vajalik esmane filter ja jäetakse alles ainult olulisematest kõrvalekalletest teavitamine. Sellest tulenevalt kaotavad järelevalveasutused teadmise enamikest intsidentidest, mis ei ole tavapäraselt suure ohuga, kuid annavad olulist teavet turvalisuse suundumuste ja vastutavate töötlejate nõuete täitmise kohta. AKI nõustub, et tänase praktika kohaselt on andmetöötlejatel suundumus pigem teatada ka väga väikestest rikkumistest ning halduskoormust arvestades on tervitatav, et praegust sõnastust soovitakse muuta. Küll aga tundub, et kuigi muudatus on kasulik andmetöötlejatele (puudub enamasti teavitamiskohustus), kaob järelevalveasutustel oluline võimalus seirata andmekaitsealaste nõuete täitmise kohustusi. Praegu on IKÜM artikli 34 lõikega 4 antud andmekaitse järelevalveasutustele õigus vastutava töötleja hinnang riski kohta ümber hinnata. Kui vastutav töötleja väidab, et rikkumine ei ole suure riskiga, kuid järelevalveasutus ei nõustu, võivad järelevalveasutused siiski anda vastutavale töötlejale korralduse andmesubjekte teavitada. Ettepaneku kohaselt ei pea vastutav töötleja vähem kui suure ohu puhul järelevalveasutust teavitama. Järelevalveasutus ei saa sellisel juhul vajalikku esialgset teavitust, mis on vajalik teisese hindamise (kas tegemist võiks olla suure riskiga juhtumiga) läbiviimiseks. See muudab artikli 34 lõike 4 sisuliselt kehtetuks, jättes ainsa kontrolliõiguse vastutavale töötlejale. Kuigi vastutaval töötlejal 106  Seletuskirja lisa 1. Kaasamistabel jääb alles rikkumise dokumenteerimise kohustus, peaks järelevalveasutus neid edaspidi eraldi igalt andmetöötlejalt hakkama välja küsima, mis loob halduskoormust juurde. AKI teeb ettepaneku tõsta teavitamise lävend ohtudele, mida ei saa pidada väikeseks. Selliselt jääks alles kohustus teavitada ka nn keskmistest ohtudest, mille realiseerumise korral oleks järelevalveasutustel vajadusel võimalik kasutada oma IKÜM artikli 34 lõikes 4 ettenähtud õigust. Tähtaja pikendamine 72 tunnilt 96 tunnile Kehtiva õiguse kohaselt tuleb andmetöötlejal andmekaitse järelevalveasutust teavitada rikkumisest 72 tunni jooksul. Ettepanek pikendab teavitamiskohustust 96 tunnile. See annab vastutavatele töötlejatele piisavalt aega põhjalikuma uurimise tegemiseks, mis võib parandada esitatud teabe kvaliteeti. Teisalt jätab ettepanek alles andmetöötleja võimaluse hiljem rikkumisteadet täpsustada, mistõttu jääb ebaselgeks teavitamiskohustuse aja pikendamise vajadus ja kuidas see teenib lihtsustamise eesmärki. Ühtse teavituspunkti kaudu pädevate järelevalveasutuste teavitamine Ettepaneku kohaselt luuakse ühtne teavituspunkt direktiivi 2022/2555 (NIS2) artikli 23a alusel. Pärast teavituspunkti loomist on andmetöötlejatel kohustus järelevalveasutusi (sh andmekaitse kui ka küberturvalisuse) rikkumistest teavitada vaid ühtse teavituspunkti kaudu ühel korral. Täpsemalt on ettepanekus NIS2 107  Seletuskirja lisa 1. Kaasamistabel artikli 23a lõike 3 punktis f kohta toodud, et üksuse poolt ühtse teavituspunkti kaudu esitatud teabe ühekordset teavitust saab kasutada aruandluskohustuste täitmiseks, mis on sätestatud mis tahes muus liidu õigusaktis, mis näeb ette intsidentide teatamise ühtse teavituspunkti kaudu. AKI märgib, et intsidentidest teavitamise kohustus ühtse teavituspunkti kaudu on ettepanekus toodud välja IKÜM-i, direktiivi 2022/2557 (elutähtsa teenuse osutajate direktiiv), NIS2, määruse 910/2014 (EIDAS) ning määruse 2022/2554 (tegevuskerksuse määrus ehk DORA) puhul. Eeltoodud õigusaktidest võib olla rikkumiste korral ühisosa näiteks IKÜMi ja NIS2 rikkumiste puhul. NIS2 rikkumistest teavitamise aeg on NIS2 artikli 23 kohaselt vastavalt kas 24 või 72 tundi. Kuigi rikkumistest teavitamine käib ettepaneku kohaselt ühtse teavituspunkti kaudu, on andmetöötlejal kaks erinevat tähtaega rikkumisest teavitamiseks. See võib tekitada õiguslikku ebaselgust, kuivõrd ettepaneku kohaselt on andmetöötlejal tarvis esitada rikkumise kohta teade ühtse teavituspunkti kaudu korraga kõikidele järelevalveasutustele vaid ühel korral. Veelgi enam, NIS2 rikkumistel ei ole teavitamiskünnist kõrge ohutasemega rikkumistel, seega tuleb andmetöötlejal küberrikkumiste korral rikkumisteade teha isegi siis, kui seda teadet ei esitata IKÜMi järelevalveasutusele. Sellest tulenevalt ei ole AKI-le arusaadav seadusandja eesmärk lõdvendada rikkumisteadete esitamise kohustuse piire, kui seda tehakse vaid andmekaitsega seotud rikkumiste puhul. 108  Seletuskirja lisa 1. Kaasamistabel Eeltoodust hoolimata pooldab AKI initsiatiivi luua ühtne teavituspunkt, mille kaudu on võimalik andmetöötlejal esitada rikkumisteateid korraga mitmetele järelevalveasutustele, mis omakorda toetab digitaalse omnibusi eesmärki vähendada andmetöötlejate halduskoormust. AKI märgib, et ühtse teavituspunkti ülesehituse tehniline ja organisatoorne pool vajab täpsustamist. 8.1. Isikuandmetega seotud rikkumistest teavitamine muude õigusaktide alusel Ettepanek näeb ette, et direktiivi 2002/58/EÜ artikkel 4 tuleks kehtetuks tunnistada. Selle põhjenduseks tuuakse, et isikuandmete töötlemise turvalisuse osas, vastavalt e‑privaatsuse direktiivi artikli 4 lõigetele 1 ja 1a, ning isikuandmete rikkumistest teatamise osas, vastavalt artikli 4 lõigetele 3–5, on IKÜM-is juba sätestatud põhjalikud ja ajakohased reeglid. Seetõttu peaksid need tingimused kehtima nii elektrooniliste sideteenuste osutajate kui ka sidevõrkude pakkujate suhtes, tagades ühtsed nõuded vastutavatele ja volitatud töötlejatele. Ühtlustamise põhimõttega võib AKI põhimõtteliselt nõustuda, kuid samas märgib, et kehtib ka Komisjoni määrus 611/2013, mille kohaselt on üldkasutatava elektroonilise sideteenuse osutajal kohustus teatada isikuandmetega seotud rikkumistest. Määruse kohaselt tuleb rikkumisest teavitada andmekaitse järelevalveasutust hiljemalt 24 tunni jooksul pärast rikkumise tuvastamist. Ettepanekus ei ole selgitatud, kuidas Komisjoni 109  Seletuskirja lisa 1. Kaasamistabel määrus 611/2013 edaspidi ettepaneku muudatustega kooskõlas oleks, ühtlasi ei ole ettepanekus viidet selle määruse tühistamisele. 87. 9. Andmekaitsealane mõjuhinnang (IKÜM artikkel 35) Eesti ei toeta Euroopa Komisjonile rakendusmääruste andmist, vaid Seoses andmekaitsealase mõjuhinnangu tegemise kohustusega juhised peaks koostama EAKN. muudab ja täiendab digitaalse omnibussi ettepanek IKÜM artikli 35 lõikeid 4-6. Viidatud lõigete kohaselt koostab ja edastab EAKN Komisjonile ettepaneku loetelu kohta töötlemistoimingute liikidest mille suhtes kohaldatakse või ei kohaldata andmekaitsealase mõjuhinnangu nõuet. Lisaks koostab ja edastab EAKN Komisjonile ettepaneku mõjuhinnangu tegemise ühise vormi ja metoodika kohta. AKI toetab ettepanekut töötada välja ühtsed nõuded, millal on mõjuhinnangu tegemine kohustuslik ning millal ei ole, sest see teenib nende ettevõtjate, kes siseturul tegutsevad, halduskoormuse vähendamist. Samuti toetab AKI ettepaneku osa, et EAKNile antakse ülesandeks välja töötada andmekaitsealase mõjuhinnangu koostamiseks ühtne vorm ja metoodika. Järelevalveasutuste ja EAKNi autonoomsuse säilitamiseks peab AKI siiski vajalikuks jätta nõuete ja vormide koostamise volitused vaid EAKNile. Andes nõuete ja vormi koostamise muutmise õiguse ja rakendusaktina vastuvõtmise õiguse Komisjonile, on küsimuse all esmalt EAKNi kui organi sõltumatus ning teisalt ei ole kindel, kas rakendusaktiga vastu võetu väljendab EAKNi soovitusi ja järelevalveasutuste tegelikke praktikaid. Seetõttu tuleks teha 110  Seletuskirja lisa 1. Kaasamistabel artiklis 35 täpsustus, et EAKNi väljatöötatud nõuded ja vormid tuleb Komisjonil rakendusaktina vastu võtta muutmata kujul. 88. 10. Pseudonüümimine (IKÜM artikkel 41a) Eesti ei toeta Euroopa Komisjonile rakendusmääruste andmist, vaid Ettepanek lisab IKÜMi uue artikli 41a, mille kohaselt võib juhised peaks koostama EAKN. Komisjon vastu võtta rakendusakte, et täpsustada vahendeid ja kriteeriume, mille alusel teha kindlaks, kas pseudonüümimise teel saadud andmed ei ole enam teatud üksuste jaoks isikuandmed. Selline lähenemine annab Komisjonile rakendusaktide kaudu justkui võimaluse muuta IKÜMi kohaldamisala isikuandmete tõlgendamisele, mis võib omakorda tekitada õiguslikku ebakindlust. Õigusaktide tõlgendamise õigus peaks jääma järelevalveasutustele, Euroopa Kohtule ning EAKNile. AKI ei toeta võimalust, et Komisjon võiks läbi rakendusaktide sisuliselt muuta olulisi põhiõigustega seotud definitsioon. 89. 11. Terminaliseadmed ja nõusolek (IKÜM artikkel 88a) Arvestatud. AKI tervitab Komisjoni eesmärki lihtsustada andmesubjektide digitaalset kogemust ja lahendada laialt levinud „cookie fatigue”, mis on tingitud e-privaatsuse direktiivi praegustest tõlgendustest. Erandite kehtestamine auditooriumi mõõtmiseks ja kohustusliku „ühe klõpsuga” nõusoleku kasutuselevõtt on positiivsed sammud kasutajasõbralikuma interneti suunas. Ettepanek loob õigusliku lahknevuse. Seadmes olevaid isikuandmeid reguleerib edaspidi IKÜM artikkel 88a, kuid ettepaneku põhjenduspunkt 47 selgitab, et isikustamata andmeid 111  Seletuskirja lisa 1. Kaasamistabel reguleerib endiselt e-privaatsuse direktiivi artikkel 5 lõige 3. Praktikas tekitab see küsimuse, kuidas andmetöötleja, näiteks veebipood, saab kindlaks teha, kas lõppseade kuulub füüsilisele isikule ning kas kogutud teave toob kaasa isikuandmete töötlemise. E-privaatsuse direktiivi artikkel 5 lõige 3 nõuab selget ja arusaadavat teavet andmete töötlemise eesmärgi kohta. IKÜM artikli 88a lõike 1 sõnastuse kohaselt on isikuandmete salvestamine füüsilise isiku lõppseadmesse või juba salvestatud isikuandmetele juurdepääsu saamine lubatud ainult juhul, kui see isik on andnud oma nõusoleku vastavalt käesolevale määrusele. Seega e- privaatsuse direktiivile sarnast teabe esitamise kohustust lisatav artikkel 88a otsesõnu ei näe ette. Tekib küsimus, kas eeldatakse, et kuna kohalduvad IKÜMi üldised nõusoleku reeglid, ei ole eraldi kohustust teavet selgelt esitada. Ettepanekuga soovitakse lisada artikli 88a lõige 3, mille kohaselt on isikuandmete salvestamine füüsilise isiku lõppseadmesse või juba salvestatud isikuandmetele juurdepääsu saamine ilma nõusolekuta ja hilisem töötlemine seaduslik ulatuses, mis on vajalik punktide a-d eesmärkidel. AKI möönab, et punktid a-b on üle võetud e-privaatsuse direktiivist, punktide c-d puhul tutvustab Komisjon aga täiendavaid erandeid. Nõusolek IKÜMi mõistes tähendab vabatahtlikku tahteavaldust. Lõike 3 tekst viitab olukordadele, kus nõusoleku andmine ei ole vajalik. Samas jääb selgusetuks, kas seadusandja on tahtnud selles lõikes kehtestada kohustusliku nõusoleku olukorra või hoopis viidata artikli 6 lõike 1 punkti c aluse tekkimisele. Need kaks 112  Seletuskirja lisa 1. Kaasamistabel õiguslikku alust kannavad erinevaid tagajärgi, näiteks nõusoleku puhul peab andmesubjektil alati olema võimalus seda tagasi võtta. Kui seadusandja on tahtnud lõikest 3 teha artikli 6 lõike 1 punkt c kohase õigusliku aluse, tekitab viide nõusoleku puudumisele segadust. AKI rõhutab, et artikli 6 lõike 1 nimetatud õiguslikel alustel puudub hierarhia ning nõusolek ei ole teiste aluste seas ülim. Artikli 88a lõike 3 rakendamisel on vajalik täpsustada, millistes olukordades punktid c ja d, kohalduvad. Näiteks punkt c lubab andmetöötlejal koondada teavet veebiteenuse kasutamise kohta ainult omaenda tarbeks. Põhimõtteliselt on tegemist statistikaga, mis näitab veebilehe pidajale, näiteks kui palju kliente, mis vanuses, mis soost ning mis riigist tema veebilehel käis. AKI nõustub, et praktikas ei saa veebilehe pidaja sellisele teabele ligi, mis võimaldaks isikuid tuvastada, mistõttu on erandi tegemine õigustatud. Oluline on selgitada, et kõik tegevused, mis väljenduvad väljaspool „koondamise“ mõistet, peaksid toimuma vaid täiendava õigusliku aluse olemasolul. Samuti tuleb selgitada, kui kaugele võib töötlemine ulatuda eesmärkide saavutamiseks, ilma et see ületaks artiklis sätestatud lubatu piire. AKI leiab, et ettepanekus IKÜM artikli 88a lõike 3 punktis d sisalduv ulatuslik turvalisuse erand õigustab pealetükkivaid skaneerimistehnikaid ilma vajalike proportsionaalsuse kontrollideta. See kaotab IKÜMist tuleneva tasakaalustamistesti ning muudab vastutava töötleja juurdepääsu terminaliseadmetele vaikimisi lubatavaks. Kehtiva õiguse kohaselt eeldab selline 113  Seletuskirja lisa 1. Kaasamistabel juurdepääs õigustatud huvi olemasolu ning huvide kaalumist andmesubjekti õigustega. Kavandatav sõnastus annab vastutavatele töötlejatele sisuliselt piiramatu tegevusruumi, ilma et sekkumise ulatust ja intensiivsust tuleks hinnata. Ilma sõnaselge proportsionaalsuse ja rangelt vajaliku ulatuse nõudeta võib erand õigustada skaneerimise praktikaid, sealhulgas kogu kõvaketta skaneerimist, krüpteeritud sõnumite analüüsimist enne edastamist ning kohalike failide kaugotsingut, mis kujutavad endast sügavat sekkumist eraellu. Täpsustamist vajab ka artikli 88a lõige 4, mis reguleerib nõusolekut. Selle asemel, et suunata fookus konkreetsete kasutajaliidese elementide sätestamisele, tuleks veenduda, et nõusolekuga seotu oleks kooskõlas artikli 7 lõikega 4. Sellest tulenevalt tuleb pidada ettepanekus välja pakutud teksti kohmakaks, sest “nõusolekutaotlusest keeldumise” (in k to refuse requests for consent) asemel võiks olla kirjas, et nõusoleku andmine ning tagasi võtmine peaks olema võimalik ühe klikiga. AKI on arvamusel, et IKÜM artikli 88a lisamine on vajalik samm, et reguleerida isikuandmete töötlemist lõppseadmetes. Samas vajab artikli sõnastus täpsustamist, et tagada õigusselgus ja andmesubjekti õiguste tegelik kaitse. 90. [12.] Andmesubjekti automatiseeritud ja masinloetavad Võetud teadmiseks. valikud seoses isikuandmete töötlemisega füüsilise isiku lõppseadmes (IKÜM artikkel 88b) 114  Seletuskirja lisa 1. Kaasamistabel Digitaalse omnibussi IKÜM artikkel 88b koosmõjus artikliga 88a loob raamistiku, mille kaudu andmesubjekt saab väljendada oma nõusolekut või keelduda sellest automatiseeritud ja masinloetava vahendi kaudu, näiteks brauseri tasandil. See tähendab, et andmetöötlejad peavad austama andmesubjekti antud valikuid ning Euroopa Komisjoni ülesanne on tagada standardite loomine masinloetavate signaalide tõlgendamiseks. Küsimusi tekitab ka nõusoleku andmise viis, mis on sätestatud artikli 88b lõigetes 1 ja 2. Andes nõusolek brauseri tasandil on tegemist tulevikku vaatava nõusolekuga. Kui andmesubjekt annab nõusoleku kõikide võimalike küpsiste paigaldamiseks, ei tea ta nõusoleku andmise hetkel, milliseid küpsiseid milline veebileht kasutada võib. Selliselt antud nõusolekut ei saa pidada teadlikuks. Teisalt tekitab küsimusi ka nõusoleku kehtimise aeg. Kui artikli 88a lõike 4 punkti c kohaselt on nõusoleku andmisest keeldutud, küsitakse nõusolekut kuue kuu pärast uuesti. Sarnast lähenemist võiks kasutada ka nõusoleku andmise korral, kus iga kuue kuu tagant on andmesubjektil võimalus oma küpsiste sätted üle vaadata ja vajadusel korrigeerida. Põhjenduseks ei saa olla asjaolu, et andmesubjektil on võimalus oma nõusolek igal ajal tagasi võtta, sest nõusolekut anda võib samuti igal ajal ka kuuekuulise teavituseta. Meediateenusepakkujate erand artikli 88b lõikes 3 võib viia olukorrani, kus automatiseeritud nõusolek ei kehti kõigi veebiteenuste puhul, vähendades standardiseerimise ja kasutaja kontrolli tegelikku ulatust. Ühtlasi on seadusandja 115  Seletuskirja lisa 1. Kaasamistabel meediateenusepakkujate puhul ilmselt soovinud teha sarnast erandit nagu kehtivas IKÜMis on tehtud artikkel 85 lõikes 2 (andmetöötlus ajakirjanduslikel eesmärkidel). Kui seadusandja tahe selline oli, tuleks sõnastus kooskõlastada artikli 85 lõikega 2, kuivõrd meedia ja ajakirjandus ei ole sünonüümid. 91. [13.] Tehisintellekti arendamine ja juurutamine (IKÜM Eesti toetab seisukohta, et artikkel 88c) Digitaalse omnibussi ettepanek lisab IKÜMi artikli regulatsioonis tuleb selgelt eristada 88c. Artikli 88c kohaselt kui isikuandmete töötlemine on vajalik arendamise ja rakendamise etappe. vastutava töötleja huvides tehisintellekti määruse artikli 3 punktis 1 määratletud tehisintellekti süsteemi või tehisintellekti mudeli arendamise ja käitamise kontekstis, võib sellist töötlemist teostada õigustatud huvi alusel IKÜM artikli 6 lõike 1 punkti f tähenduses, kui see on asjakohane, välja arvatud juhul, kui muud liidu või siseriiklikud õigusaktid nõuavad sõnaselgelt nõusolekut ja kui andmesubjekti huvid või põhiõigused ja -vabadused, mis nõuavad isikuandmete kaitset, on selliste huvide suhtes ülimuslikud, eelkõige juhul, kui andmesubjekt on laps. Sellise töötlemise suhtes kohaldatakse asjakohaseid korralduslikke, tehnilisi meetmeid ja kaitsemeetmeid andmesubjekti õiguste ja vabaduste jaoks, näiteks andmete minimeerimise põhimõtte järgimise tagamiseks allikate valiku etapis ning tehisintellekti või -süsteemi või -mudeli koolitamisel ja testimisel, et kaitsta tehisintellekti süsteemis või - mudelis säilitatud jääkandmete avalikustamata jätmise eest, et tagada andmesubjektidele suurem läbipaistvus ja anda andmesubjektidele tingimusteta õigus oma isikuandmete töötlemisele vastuväiteid esitada. 116  Seletuskirja lisa 1. Kaasamistabel Euroopa Kohtu praegune kohtupraktika (nt C-131/12 Google Spain) sätestab, et pelgalt ärihuvi ei ole automaatselt põhiõigustest ülimuslik ning „vajalikkust“ tuleb tõlgendada kitsalt. Artikkel 88c püüab sellest mööda minna, kehtestades eelduse, et tehisintellekti arendamine on artikli 6 lõike 1 punkti f kohaselt õigustatud huvi alusel teostatav. Ka olemasoleva regulatsiooni alusel ei ole välistatud, et tehisintellekti arendamiseks isikuandmete töötlemine õigustatud huvi alusel võib teatud juhtudel olla õiguspärane, võttes arvesse isikuandmete töötlemise põhimõtteid. Selline nn õigustatud huvi eriregulatsioon ühe tehnoloogialiigi jaoks jätab petliku mulje justkui lihtsustatud korras on õigustatud huvi juba ette õiguspärane ning välistab EAKNi poolt õigustatud huvi aluse puhul suunistes toodud kolmeastmelise huvi hindamise, sh andmetöötleja ja andmesubjekti huvide tasakaalustamise, mille nõue tuleneb IKÜM art 6 lg 1 p f enda sõnastusest. AKI pöörab tähelepanu ettepaneku sõnastusele, mis kasutab väljendeid „vajadusel” ja „võib taotleda”. Selliste väljendite kasutamine suure riskiga andmete töötlemiseks ei paku vajalikku õiguskindlust. Vastupidiselt jätab see seaduslikkuse kindlaksmääramise sisuliselt vastutava töötleja subjektiivse hinnangu hooleks, mida järelevalveasutustel on ilma selgete seadusjärgsete kriteeriumideta raske vaidlustada. Tekst hõlmab lisaks tehisintellekti treenimisele ka tehisintellekti opereerimist. See viib ebaloogilise tulemuseni: standardse SQL- andmebaasi kaudu andmeid töötlev vastutav töötleja peab oma õiguslikku alust rangelt põhjendama, samas kui vastutav töötleja, 117  Seletuskirja lisa 1. Kaasamistabel kes töötleb täpselt samu andmeid samal eesmärgil tehisintellekti süsteemi kaudu, saab viidata artikli 88c õigustatud huvi eeldusele. Ettepanek keskendub treenimisele ja opereerimisele kuid ignoreerib tehisintellekti väljundit. Tehisintellekti mudelid tekitavad sageli „hallutsinatsioone“ ehk valeandmeid (nt isiku valesüüdistused kuriteos). Vastutavad töötlejad väidavad praegu parandamise või kustutamise taotluste esitamisel, et nende taotluste lahendamine on tehniliselt võimatu. Artikkel 88c tugevdab seda seisukohta, muutes andmesubjektide õiguskaitsevahendid praktiliselt olematuks. Parandamise ja kustutamise taotluse esitamine on aga vaid hüpoteetiline võimalus. Ettepaneku põhjenduspunktis 31 viidatakse andmesubjekti mõistlikele ootustele, läbipaistvusele ja vastuväite esitamise võimalusele. Praktikas ei saa andmesubjekt teadagi, et tema kraabitud isikuandmeid kasutatakse tehisintellekti treenimiseks ning läbipaistvuse tagamine on problemaatiline. Samuti on andmesubjektil võimatu esitada andmete töötlemisele vastuväidet, kuna ta isegi ei tea oma andmete töötlemisest. 92. [14.] Põhiõiguste hartaga tagatud õiguste seos Arvestatud. järelevalveasutuste tööga Ettepanek vähendab sellisel kujul liikmesriikide järelevalveasutuste tegelikku võimalust kohaldada isikuandmete kaitse üldmäärust, mis on vastuolus Euroopa Liidu põhiõiguste harta artiklis 47 sätestatud tõhusa õiguskaitse põhimõttega. Ettepanekus sisalduvad normid on võrreldes kehtiva IKÜMiga oluliselt subjektiivsemad ja tehniliselt keerukamad, muutes nende 118  Seletuskirja lisa 1. Kaasamistabel ühtse ja järjepideva jõustamise praktikas oluliselt raskemaks ning ressursimahukamaks olukorras, kus ressursse juurde leida, eriti väikestel riikidel, on keeruline. Selline regulatiivne nihe suurendab riski, et andmesubjekti õiguste kaitse muutub ebajärjekindlaks ning järelevalvepraktika liikmesriikide vahel killustub. Selle tulemusel võib andmesubjektil rikkumise korral puududa reaalne ja tõhus võimalus oma õigusi maksma panna, isegi kui need on formaalselt õigusaktides sätestatud. Euroopa Kohtu praktika, sealhulgas kohtuasi C-333/22, rõhutab, et põhiõiguste kaitse peab olema praktiline ja tõhus, mitte üksnes teoreetiline või näiline. Selline olukord on problemaatiline ka harta artikli 52 lõike 1 tähenduses, kuna õiguste sisuline nõrgenemine jõustamise tasandil kujutab endast kaudset, kuid tegelikku põhiõiguste piiramist. Kui normatiivne raamistik ei taga tõhusat järelevalvet ega reaalselt toimivat õiguskaitset, kahjustab see põhiõiguste olemust ning ei ole kooskõlas proportsionaalsuse ega õiguskindluse põhimõtetega. 93. [15.] Teiste õigusaktidega suhestumine Arvestatud. Digital Omnibusi ettepaneku põhjenduspunktis 44 on välja toodud, et määrus (EL) 2018/1725 (EUDPR) ja direktiiv (EL) 2016/680 (LED) tuleks viia kooskõlla käesoleva määrusega määrusesse (EL) 2016/679 tehtud muudatustega. Digital Omnibusi ettepanekute valguses tähendab LEDi ning sellele tuginevate siseriiklike õigusaktide kooskõlla viimine IKÜM-iga seda, et Eesti õiguses 119  Seletuskirja lisa 1. Kaasamistabel tuleb vajadusel täiendada või täpsustada juba kehtivaid LED-i rakendusakte, st isikuandmete kaitse seadust. EUDPR muudatused on ettepanekusse sisse toodud (ettepaneku lk 85 jj), kuid LED direktiivi muudatusi ei ole. Õiguskaitseasutuste jaoks muutub olukord keeruliseks, kui nad peavad erinevates olukordades juhinduma erinevatest sätetest (mis puudutab näiteks isikuandmete mõistet või rikkumisest teavitamise tähtaegu). 94. Andmemäärus Arvestatud. Eraldi ärisaladuse seisukohta pole, [16.] Andmete väljastamisest keeldumine (Andmemäärus kuid põhiõiguste kaitse sees. artikkel 4 lõige 8) Kehtiva andmemääruse artikkel 4 lõike 8 kohaselt on andmevaldajal, kes on ühtlasi ärisaladuse omaja, võimalik andmetele juurdepääsu taotlus rahuldamata jätta, kui on väga tõenäoline, et ärisaladuse avalikustamine põhjustab talle suurt majanduslikku kahju. Digitaalse omnibussi ettepaneku kohaselt lisatakse ärisaladuste kaitsmiseks juurde lisaalus andmete väljastamisest keeldumiseks. Nimelt on andmevaldajal võimalik andmete väljastamisest keelduda, kui ta tõendab, et on olemas suur risk, et ärisaladus võib jõuda kolmandate riikidega seotud üksusteni, kus ärisaladuse kaitse ei ole piisav. Praktikas võib tekkida olukord, kus ärisaladust puudutavad andmed sisaldavad ka isikuandmeid. IKÜM artikli 15 alusel on andmesubjektil õigus isikuandmetega tutvuda. Andmesubjekti õigust andmetega tutvuda saab piirata mh IKÜM artikli 23 kohaselt liidu õiguses sätestatud seadusandliku meetmega. Kehtiva 120  Seletuskirja lisa 1. Kaasamistabel andmemääruse põhjenduspunkti 31 kohaselt ei tohiks määruses sätestatud erandid andmetele juurdepääsu õigusest mingil juhul piirata IKÜM-i kohast andmesubjektide juurdepääsuõigust. Ettepanekus ja põhjenduspunktides ei ole eraldi välja toodud, kuidas ärisaladuse kaitsega seotud lisaalus andmete väljastamisest keeldumiseks IKÜM-st tuleneva andmesubjekti juurdepääsuõigusega suhestub. Kehtiva määruse põhjenduspunktidele tuginedes ei ole siiski tegemist eraldiseisva alusega, mis lubaks andmevaldajal isikuandmete väljastamisest keelduda. Seega ei peaks andmete väljastamisest keeldumiseks loodav lisaalus isikuandmete väljastamisest keeldumisele kohalduma ja andmevaldaja peab isikuandmete väljastamisest keeldumisel tuginema IKÜM-st tulenevale alusele nagu ka praegu kehtiv regulatsioon ette näeb. 95. [17.] Erasektorilt üldises hädaolukorras andmete taotlemine Arvestatud. (Andmemäärus artikkel 14) Kehtiva andmemääruse artikli 14 kohaselt on andmevaldajatel kohustus teha avalikule sektorile andmed kättesaadavaks erakorralise vajaduse tõttu. Erakorralist vajadust ei ole määruses otseselt defineeritud, kuid artiklis 15 on täpsustatud, et erakorralise vajadusena tuleks käsitleda näiteks olukorda, kus andmed on vajalikud üldisele hädaolukorrale reageerimiseks. Üldine hädaolukord on defineeritud kehtiva andmemääruse artikli 2 punktis 29, mille kohaselt on üldine hädaolukord ajaliselt piiratud erakorraline olukord (nagu rahvatervise, loodusõnnetusest tingitud hädaolukord või inimtegevusest tingitud suurõnnetus, sh ulatuslik 121  Seletuskirja lisa 1. Kaasamistabel küberturvalisuse intsident), mis mõjutab negatiivselt liidu, liikmesriigi või selle osa elanikkonda ning millega kaasneb oht, et see võib tõsiselt ja püsivalt kahjustada elamistingimusi või majanduslikku või finantsstabiilsust või oluliselt ja vahetult halvendada majanduslikke varasid liidus või asjaomases liikmesriigis, ja mis tehakse kindlaks või kuulutatakse ametlikult välja vastavalt liidu või riigisisese õiguse kohastele asjakohastele menetlustele. Kehtiva andmemääruse artikli 15 lõike 1 punkti b alusel ja põhjenduspunkti 72 kohaselt ei saa avalik sektor taotleda isikuandmete väljastamist, kui avaliku sektori taotlused põhinevad erakorralisel vajadusel, mis ei ole seotud üldise hädaolukorraga. Digitaalse omnibusi ettepaneku kohaselt lisatakse määrusesse artikkel 15a, millega eemaldatakse andmevaldajate kohustus väljastada andmeid avalikule sektorile erakorralise vajaduse tõttu ja andmete väljastamise kohustus kehtib üksnes üldises hädaolukorras või vahetult pärast üldist hädaolukorda olukorra leevendamiseks või taastumise toetamiseks. Ettepaneku kohaselt on avaliku sektori asutusel õigus esitada andmevaldajale taotlus eelkõige isikustamata andmete väljastamiseks. Andmemäärusele lisatava artikli 15a lõike 2 kohaselt peaks isikuandmete väljastamine toimuma olukorras, kus isikustamata andmed ei ole üldise hädaolukorraga tegelemiseks piisavad ja kus võimalik, pseudonüümitakse isikuandmed enne väljastamist. Tegemist on kehtiva andmemääruse artikkel 17 lõike 2 punkti e (ettepaneku kohaselt eemaldatakse säte andmemäärusest) sarnase 122  Seletuskirja lisa 1. Kaasamistabel sättega, kuid märgata on olulist erinevust. Kehtiva sätte kohaselt võib isikuandmeid avalikule sektorile väljastada vaid pseudonüümitud kujul, kuid ettepanekus toodud artikkel 15a lõike 2 kohaselt on pseudonüümimine võimalus, mitte kohustus. Kuigi ettepanekuga eemaldatakse määrusest erakorralise vajaduse tõttu andmete väljastamise alus, eristab ettepanek siiski üldist hädaolukorda ja olukorda, kui avaliku sektori asutus taotleb andmeid üldise hädaolukorra leevendamiseks või taastumise toetamiseks (in k the recovery from a public emergency). Viimase korral on lubatud väljastada ainult isikustamata andmeid (ettepanekuga lisatav art 15a lõige 3). Oluline on, et hädaolukorraga seotud piiride tõmbamine oleks liidus ühtne ning jälgiks sama praktikat kõikides liikmesriikides. 96. [18.] Andmehalduse määruse lisamine andmemäärusesse Mitte arvestada. (Andmemäärus peatükk VIIa) Eesti on toetanud seda, et teatist ei Kehtiva andmehalduse määruse artikkel 11 lõike 1 järgi pidid kõik peaks esitama. Muu regulatsioon ja andmevahendusteenuse osutajad, kes kavatsevad osutada artiklis järelevalve jäävad alles. 10 osutatud andmevahendusteenuseid, esitama teatise Isikuandmete osas IKÜM kohaldub. Seda ei ole muudetud. andmevahenduse pädevale asutusele. Digitaalse omnibusi ettepanekuga andmemäärusesse lisatav peatükk VIIa jätab lisatavas artikli 32 lõikes 2 edaspidi andmevahendusteenuse osutajatele teatise esitamise vabatahtlikuks. Digitaalse omnibusi ettepaneku põhjenduspunktis 8 on selgitatud, et turu praeguses arenguetapis näib olevat piisav vabatahtlik kord, mis võimaldab neutraalsetel osalejatel teistest 123  Seletuskirja lisa 1. Kaasamistabel osalejatest eristada. Jätkusuutlike ärimudelite võimaldamiseks tuleks korda muuta vähem rangeks, kaotades andmevahendusteenuste ja muude lisaväärtusteenuste õigusliku eraldamise nõude, mida teenusel peaks olema lubatud pakkuda, asendades selle funktsioonipõhise eraldamisega, säilitades samal ajal teatavad kaitsemeetmed. Kavandatavat VIIa peatükki soovitakse kohaldada isikuandmete ja isikustamata andmete suhtes. Järelevalveasutused on valmistunud, et olla valmis andmevahendusteenuse osutajate teatiste vastuvõtmiseks. Kehtiv raamistik oleks loonud järelevalveasutustele võimaluse olla sellistest teenuseosutajatest ja nende tegevusest teadlik. Andmevahendusteenuse osutajatele nende tegevusest teatamise vabatahtlikuks jätmine võib luua olukorra, kus teenuseosutajate üle puudub igasugune teadmine ja kontroll. Kui teatiste esitamine jääb vabatahtlikuks, tekib risk, et järelevalveasutustel puudub ülevaade teenuseosutajatest, kes vahendavad isikuandmeid. See omakorda vähendab võimalust hinnata, kas andmete töötlemine toimub kooskõlas IKÜMi nõuetega, näiteks seoses töötlemise õigusliku aluse, turvameetmete ja andmesubjektide õiguste tagamisega. Selline olukord võib suurendada ohtu, et andmeid vahendatakse piisava kontrollita, mis võib viia ebapiisava turvalisuse või andmesubjektide õiguste rikkumiseni. Isikuandmete kaitse kõrge taseme tagamise küsitavustele viitab ettepaneku andmemääruse artikli 32c punkt c, mille kohaselt võivad andmevahendusteenuse osutajad pakkuda lisateenuseid, 124  Seletuskirja lisa 1. Kaasamistabel näiteks andmete säilitamine, hooldamine, teisendamine, krüpteerimine, anonüümimine ja pseudonüümimine. Punktis on nimetatud, et seda võib teha ainult andmevaldaja või andmesubjekti selgesõnalisel taotlusel või nõusolekul. Võib eeldada, et planeeritavas muudatuses peetakse silmas, et lisateenuste osutamine on lubatav kas andmevaldaja selgesõnalisel taotlusel või andmesubjekti nõusolekul. Konkreetne sõnastus aga võimaldab tõlgendada seda ka viisil, et sobivaks võib osutuda andmesubjekti selgesõnaline taotlus. Isikuandmete puhul on vaja töötlemiseks IKÜM artikkel 6 lõikest 1 tulenevat õiguslikku alust. Seega ei loo muudatus selgesõnalist ega ühtselt tõlgendatavat regulatsiooni. Andmemääruse artikli 32c punkti c tasuks võrrelda ettepanekus andmemääruse artikkel 32f lõikega 3, mille sõnastuses on andmesubjekti nõusolekut ja andmevaldaja luba selgelt eristatud. 97. [19.] Avaandmetega seotud põhimõtete muudatused Arvestatud. (Andmemäärus peatükk VIIc) Andmemääruse muudatustega soovitakse ühildada avaandmete ning piiranguga avaliku sektori andmete taaskasutamise regulatsioonid. Käesoleval hetkel on avaandmete direktiiv ning andmehalduse määrus oma olemuselt erinevad osas, mis puudutab regulatsioonide piire, kuivõrd kui avaandmete direktiiv kohaldub nii andmetele kui ka dokumenditele, siis kehtiv andmemäärus piiranguga andmete puhul kohaldub vaid andmetele. 125  Seletuskirja lisa 1. Kaasamistabel Andmemääruse ettepaneku kohaselt on andmemääruse eesmärk ühildada avaandmete direktiiv 2019/1024 ja andmehalduse määrus 2022/868. AKI nõustub, et ühtne õigusakt on positiivne suund ühtlustamaks andmete taaskasutamise reegleid ja definitsioone. Käesoleval hetkel on avaandmete direktiivi erinevalt ülevõtmine toonud kaasa piiranguta andmete taaskasutamise piiride erinevad tõlgendused. Praktikas tekitab probleeme, kui avaldatud isikuandmeid taasavalikustatakse mujal, näiteks infoportaalides, ja neid kombineeritakse veel omakorda muude avalikest allikatest leitud isikuandmetega. Ettepaneku põhjenduspunkti 24 kohaselt ei tähenda isikuandmete sisaldus teabes seda, et neid ei tohi anda taaskasutamiseks, vaid nende kasutamist tuleb vajadusel piirata ja anda kasutamiseks kaitstud andmetena. Seega, kui isikuandmed on osa avalikust teabest, peab teabevaldaja enne nende taaskasutamiseks andmist hindama, kas avaldamine võib kahjustada andmesubjekti õigusi ja huve ning vajadusel anda see teave taaskasutamiseks kaitsemeetmetega. Ettepanekus on andmemääruse artikli 17 lõike 1 punktis g täpsustatud, et isikuandmete taaskasutamiseks andmisel peab enne andmete kasutamiseks andmist võtma kasutusele kaitsemeetmeid. Selline lähenemine näitab, et isikuandmeid ei tohi avaandmetena taaskasutamiseks kaitsemeetmeteta anda. Ettepaneku põhjenduspunktis 7 on selgitatud, et andmemäärus ei loo õiguslikku alust isikuandmete töötlemiseks. Selline käsitlus näitab, et isikuandmete töötlemise puhul peab lähtuma IKÜM-st. 126  Seletuskirja lisa 1. Kaasamistabel See aitab tõsta teadlikkust, et isikuandmete taaskasutamine (ka juba avalikustatud isikuandmete) eeldab IKÜM artiklist 6 tuleneva õigusliku aluse olemasolu. Seda kinnitab ka ettepaneku kavandatav andmemääruse artikkel 32w lg 2 punkt c. Ettepanekus andmemääruse artikli 32w lõiked 3 ja 4 sätestavad konkreetsed viisid, kuidas isikuandmeid saab taaskasutamiseks anda. Eelkõige näevad sätted ette võimaluse isikuandmete anonüümimiseks või muul viisil ettevalmistamiseks; samuti võib kehtestada kohustuse töödelda andmeid üksnes turvalises töötlemiskeskkonnas või füüsilises ruumis. Lisaks võib taaskasutajale määrata konfidentsiaalsuskohustuse. Oluline on, et teabevaldajal säilib õigus kontrollida taaskasutaja teostatud andmete või dokumentide töötlemise protsessi, vahendeid ja tulemusi, et tagada andmete või dokumentide kaitse terviklikkus. Ettepanekus andmemääruse artikli 32w lõige 5 sätestab selgelt, et juhul kui eelnevate tingimuste kohaselt ei ole võimalik isikuandmeid sisaldavaid andmeid avaandmeteks anda, on nende taaskasutamine lubatud üksnes andmesubjekti nõusolekul. AKI hinnangul on tegemist tasakaalustatud ja asjakohase, aga eelkõige selgust loova lahendusega. Ettepanekus andmemääruse artikli 32x lõike 1 kohaselt on taaskasutaja kohustatud teavitama avaliku sektori asutust kavatsusest edastada teatavat liiki kaitstud andmeid, mis ei ole isikuandmed, kolmandasse riiki, ning teavitama edastamise eesmärgist andmete taaskasutamise taotlemise ajal. Küsitav on, mida tuleb selles kontekstis edastamisena käsitada, näiteks kas see 127  Seletuskirja lisa 1. Kaasamistabel hõlmab ka andmete üleslaadimist teenustesse, kus andmed liiguvad, näiteks pilveteenused või analüütikakeskkonnad, mis paiknevad või mille alltöövõtjad paiknevad kolmandates riikides. Ettepanek eeldab teavitamist taotluse esitamise ajal, kuid praktikas puudub avaliku sektori asutustel ülevaade, kes avaandmete portaalist andmeid alla laadib või mida taaskasutajad teabenõude tulemusena saadud andmetega hiljem teevad. Seetõttu võib teavitamiskohustus tunduda taaskasutajate vaatest bürokraatlik ja raskesti rakendatav, teisalt puudub ka teavitamise üle järelevalvevõimalus. AKI on arvamusel, et avaandmete regulatsioon ettepanekus on selgem kui kehtiv avaandmete direktiiv ning kaitsemeetmete rakendamise kohustus tagab nii isikustatud kui ka isikustamata andmete taaskasutamise turvalisuse ja usalduse. Avaandmete avaldamisel ja taaskasutamisel on oluline leida tasakaal avatud juurdepääsu ja isikuandmete kaitse vahel, seda eelkõige juhul, kui avaandmed võivad sisaldada isikuandmeid. 98. Tehisintellekti määrus Arvestatud. [20.] Isikuandmete eriliikide töötlemine kallutatuse tuvastamiseks ja leevendamiseks (Tehisintellekti määruse artikkel 4a) Tehisintellekti omnibusi ettepanekuga lisatakse tehisintellekti määrusesse artikli 4a kujul õiguslik alus isikuandmete eriliikide töötlemiseks kõigi tehisintellektisüsteemide ja -mudelite pakkujate ja juurutajate poolt, kui see on vajalik kallutatuse avastamiseks ja 128  Seletuskirja lisa 1. Kaasamistabel kõrvaldamiseks, tingimusel et kohaldatakse asjakohaseid kaitsemeetmeid. Tehisintellekti omnibusi põhjenduspunkti 6 kohaselt kehtestatakse see alus kooskõlas IKÜM artikli 9 lõike 2 punktiga g. Kallutatuse tuvastamine ja selle korrigeerimine on selgelt iga tehisintellektimudeli või -süsteemi pakkuja ja juurutaja selge huvi. Seega võib arvata, tehisintellektimudelite ja -süsteemide pakkujad ja juurutajad peavad alati vajalikuks eriliiki isikuandmete töötlemist ja tegelikkuses ei teki ilmselt olukorda, kus vajalikkuse puudumist jaatada saaks. Nii luuakse ka tehisintellekti määruse artikliga 4a vaikimisi eeldus, et eriliiki isikuandmete töötlemine on alati aktsepteeritav. Samas arvestades IKÜM artikkel 9 lõiget 2 ei tohiks eriliiki isikuandmete töötlemist käsitleda kui vaikimisi lubatud tegevust. Vastupidiselt peab see olema rangelt piiratud, läbipaistvalt põhjendatud ja tehniliselt kontrollitud, et vältida nii õiguslikke rikkumisi kui ka ühiskondlikku kahju. Küsitavusi tekitab selle sätte loomisel ka õiguslike alustega seonduv. Digitaalse omnibusi ettepaneku kohaselt soovitakse IKÜMi lisada artikkel 88c, kehtestades sellega eelduse, et tehisintellekti arendamine on artikli 6 lõike 1 punkti f kohaselt õigustatud huvi alusel teostatav. Teisalt, mis puudutab isikuandmete eriliikide töötlemist kallutatuse tuvastamiseks ja leevendamiseks, siis tehisintellekti omnibusi ettepanekus tehisintellekti määruse artikkel 4a soovitakse kehtestada IKÜM artikkel 9 lõike 2 punkti g alusel. Viimane neist ütleb, et eriliiki isikuandmete töötlemine on lubatud, kui see on vajalik olulise 129  Seletuskirja lisa 1. Kaasamistabel avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. Nii ei ole kallutatuse tuvastamine ja selle leevendamine enam tehisintellektimudeli või -süsteemi pakkuja või juurutaja huvi, vaid avalikkuse huvi. See viitab mõningasele ebakõlale, sest tegelikult on ka ilmselt tehisintellektimudeli või -süsteemi pakkujal või juurutajal äriline huvi, et loodud tehisintellekt oleks usaldusväärne, mis omakorda võimaldaks saada enam kasutajaid. Seejuures võib kallutatuse tuvastamine ja selle leevendamine toimuda juba arendamise etapis, mille puhul tõstatub küsimus, kas sellisel juhul töödeldakse eriliiki isikuandmeid korraga mitmele erinevale õiguslikule alusele tuginedes. Kavandatava artikkel 4a lõige 1 punkt e näeb ette tingimuse, et isikuandmete eriliigid kustutatakse pärast erapoolikuse parandamist või isikuandmete säilitamisperioodi lõppu, olenevalt sellest, kumb saabub varem. Käesoleva arvamuse peatükis 4 on AKI juba tõstatanud küsimuse, kas isikuandmete kustutamine juba süsteemi sattunud andmete puhul on ikka võimalik. 99. [21.] Registreerimiskohustusest loobumine (Tehisintellekti määruse artikkel 49 lõige 2) Kehtiva tehisintellekti määruse artikkel 49 lõike 2 kohaselt registreerib pakkuja või kohaldataval juhul volitatud esindaja enne sellise suure riskiga tehisintellektisüsteemi turule laskmist või kasutusele võtmist, mille kohta pakkuja on vastavalt artikli 6 130  Seletuskirja lisa 1. Kaasamistabel lõikele 3 teinud otsuse, et tegemist ei ole suure riskiga süsteemiga, selle süsteemi artiklis 71 osutatud ELi andmebaasis. See nõue kavatsetakse tehisintellekti omnibusi eelnõu punkti 14 kohaselt kaotada, seega edaspidi jääb tehisintellekti määruse artikkel 6 lõike 3 kohane hindamine ja dokumenteerimiskohustus pakkuja vastutada (nii nagu see seni on olnudki), kuid muudatuse kohaselt ei pea pakkuja enam sellisest süsteemist teada andma. Kuigi tehisintellekti omnibusi põhjenduspunkti 9 järgi võivad riiklikud pädevad asutused nõuda pakkujatelt dokumendid välja, ei pruugi pädeval asutusel olla üldse teadmistki tehisintellekti pakkuja olemasolust. Dokumentide väljanõudmise eeldus on selliste dokumentide olemasolust teadmine. Nii võib turule sattuda ja seal mõnda aega tegutseda tehisintellektisüsteem, mille pakkuja on kvalifitseerinud tehisintellekti määruse artikkel 6 lõike 3 kohase süsteemina, kuid mille õigeaegse registreerimise korral oleks riiklikul pädeval asutusel tekkinud selle olemasolu kohta teadmine, et vajadusel järelevalvemeetmetega sekkuda. 100 [22.] Tehisintellekti regulatiivliivakastid (Tehisintellekti Osaliselt arvestatud. . määrus artikkel 57) Kehtiv tehisintellekti määrus seab liikmesriikide pädevatele Seisukohad leiame, et ei liivakastid ei tohi üksteist dubleerida. Lisaks asutustele kohustuse luua riiklikul tasandil vähemalt üks selgitame, et regulatiivliivakastidel tehisintellekti regulatiivliivakast. Ettepanekuga sätestatakse oma rakendusmäärus ka tulemas, Euroopa tehisintellektiametile (tehisintellektiamet) võimalus luua milleks volitusnorm kehtivast AI selline regulatiivliivakast ka liidu tasandil. AKI on seisukohal, et määrusest (art 58). Volitusnormis ka EL-i tasandil regulatiivliivakasti loomine võiks aidata toetada järelevalve, digiomnibussiga innovatsiooni, eelkõige VKE-de ja start-upide kontekstis ning lisajärelevalve raamistikku ei toetata. 131  Seletuskirja lisa 1. Kaasamistabel vältida „forum shoppingut“ ning killustunud lähenemist liikmesriikide lõikes. Samas tõstatuvad ettepanekuga ka potentsiaalsed ohukohad. Tegelikes tingimustes testimine ei tohiks viia kontrollimatu andmetöötluseni. Vajalik on kindlate protseduuride paika seadmine liivakastist väljumiseks ning andmete kustutamiseks kui testimine on lõppenud. Ettepanek tekitab küsimusi riiklike pädevate asutuste rolli kohta EL-i tasandi liivakastide disainimisel ja järelevalves. Nimelt mainitakse ettepanekus, et tehisintellektiamet peaks EL-i tehisintellekti regulatiivliivakaste rakendama koostöös pädevate riiklike asutustega, seejuures aga ei selgitata vastava koostöö tegemise kriteeriumeid ega erinevate asutuste rollide ja pädevuste jaotust. Kehtiva tehisintellekti määruse artikli 57 lõige 10 näeb riiklike tehisintellekti regulatiivliivakastide suhtes ette riikide pädevate asutuste kohustuse tagada, et niivõrd kui tehisintellektisüsteemid on seotud isikuandmete töötlemisega, on riiklikud andmekaitseasutused ja kõnealused muud riiklikud või pädevad asutused seotud tehisintellekti regulatiivliivakasti toimimisega ning osalevad oma asjakohaste ülesannete ja volituste ulatuses nende aspektide järelevalves. AKI leiab, et liiduülese tehisintellekti regulatiivliivakasti loomisel on sarnaselt eeltoodud sättega vajalik kindla järelevalveraamistiku kehtestamine seoses isikuandmete töötlemisega (näiteks juhul kui leiab aset isikuandmete töötlemisega seotud rikkumine). 101 [23.] Üldotstarbelise tehisintellektisüsteemi järelevalve ja Arvestatud. . kontroll (Tehisintellekti määruse artikkel 75) 132  Seletuskirja lisa 1. Kaasamistabel Tehisintellekti omnibusi raames täpsustatakse tehisintellekti määruse artiklit 75, millega tugevdatakse tehisintellektiameti rolli üldotstarbeliste tehisintellektisüsteemide järelevalves ja koordineerimises. Artikli eesmärk on tagada üldotstarbeliste tehisintellektisüsteemide ühtne käsitlus liidu tasandil ning vältida killustunud järelevalvet, arvestades nende süsteemide laia kasutusulatust ja piiriülest mõju. Tehisintellektiametile antakse pädevus koguda ja hinnata teavet üldotstarbeliste tehisintellektisüsteemide kohta, toetada liikmesriikide järelevalveasutusi ning teha koostööd Euroopa tasandi struktuuridega, et tagada määruse järjepidev kohaldamine. Tehisintellekti omnibusi ettepanekust jääb selgusetuks, kuidas jagunevad vastutus ja pädevus tehisintellektiameti ning riiklike andmekaitse järelevalveasutuste vahel olukordades, kus üldotstarbelisel tehisintellektisüsteemil põhinev lahendus toob kaasa IKÜMi rikkumise. Ilma selge rollijaotuseta võib tekkida regulatiivne lünk, kus tehniline järelevalve tehisintellekti alusel ja isikuandmete kaitse järelevalve IKÜMi alusel ei moodusta sidusat tervikut, vaid eksisteerivad paralleelselt, vähendades isikuandmete kaitse tegelikku tõhusust. 102 [24.] Liikmesriigi järelevalveasutuste pädevuse piirid Osaliselt arvestatud, kajastub . (Tehisintellekti määruse artikkel 77) seletuskirja punktis 6.5.6. AKI tõlgenduse kohaselt on põhiõigusi kaitsvatel asutustel kehtiva tehisintellekti määruse artikli 77 alusel volitus dokumentatsiooni küsimiseks otse tehisintellektisüsteemide juurutajatelt ja pakkujatelt. Ettepaneku järgi peaksid põhiõigusi kaitsvad asutused 133  Seletuskirja lisa 1. Kaasamistabel vastavat dokumentatsiooni hakkama taotlema turujärelevalveasutuste kaudu. Selline muudatus suurendab tõenäoliselt halduskoormust ja võib tekitada turujärelevalveasutuste juurde nn „pudelikaela“ kui neile lisandub kohustus lisaks olemasolevatele kohustustele igakordselt asuda põhiõigusi kaitsvatele asutustele dokumentatsiooni vahendava asutuse rolli. AKI on seisukohal, et kehtiv tehisintellekti määruse artikkel 77 tuleks jätta muutmata, kuivõrd see ei aita täita ettepaneku lihtsustavat eesmärki. Selle asemel muutub protsess keerulisemaks, kuivõrd sama eesmärgi täitmiseks on vajalik läbida täiendavaid samme. Ühtlasi kitsendatakse selliselt põhiõigus kaitsvate asutuste pädevusi. 103 Küsimused Euroopa Komisjonile Teadmiseks võetud: tegemist on . küsimustega, mida on võimalik Käesolevaga esitab Andmekaitse Inspektsioon oma tekkinud edastada komisjonile. küsimused. 1. Kuidas tuleks mõista isikuandmete mõiste juures „mõistlikult tõenäoliselt kasutatavad vahendeid“ ning kuidas haakub sellega EK lahendi C-582/14 p 46 sätestatu, et vahendite kasutamisel peab identifitseerimise oht olema olematu või ebaoluline? 2. Miks ei ole Komisjon võtnud isikuandmete mõiste kontekstis arvesse kolmandate isikute mõistlikku võimalust isikuid tuvastada olukorras, kus teabevaldajal selline teave puudub? 134  Seletuskirja lisa 1. Kaasamistabel 3. Kas seadusandja soov on tõlgendada IKÜM artikkel 5 lõike 1 punkti b põhjendust selliselt, et eesmärgi kooskõla tähendab ka õigusliku aluse olemasolu? 4. Miks ei ole tehisintellektiga seonduvaid sätteid lisatud tehisintellekti määrusesse, vaid tehnoloogiliselt neutraalsesse IKÜMi? 5. Kuidas hinnata andmetöötleja kavatsust isikuandmete töötlemisel IKÜM artikkel 9 lõike 5 kohaselt? 6. IKÜM artikli 12 lõike 5 kohaselt võib pidada ülemääraseks neid andmesubjekti taotlusi, mille eesmärk ei ole andmete kaitsmine. Mida tähendab viidatud „andmete kaitsmine“ ning milliste kriteeriumite alusel tuleks hinnata andmesubjekti eesmärki? 7. IKÜM artikli 13 lõike 4 välistusi arvesse võttes kellel on võimalik antud artiklis viidatud erandit kasutada? 8. Ühtse teavituspunkti loomisel jääb arusaamatuks ENISA roll andmete saamisel. Kas ENISA-l on andmete nägemise õigus? Kuidas hakkab andmete liikumine andmetöötlejalt järelevalveasutusele täpselt toimuma? 9. Kuidas suhestuvad omavahel ühtse teavituspunkti kaudu erinevatele järelevalveasutustele edastatavate teadete tähtajad? Kas mõistlik ei oleks kehtestada ühtne tähtaeg ning järelevalveasutuse teavitamise lävend? 135  Seletuskirja lisa 1. Kaasamistabel 10. Kas saame õigesti aru, et kui ühtse teavituspunkti kaudu esitatakse teavitus NIS2 alusel RIAle tähtajaga 24 tundi ja AKIle tähtajaga 96 tundi sama intsidendi osas, siis kas need teavitused tulevad AKIle RIAga samaaegselt ning sellisel juhul on teavitustähtaeg lühem? 11. Rikkumisteate esitamise künnise tõstmise kasuks räägib asjaolu, et järelevalveasutused saavad suurel hulgal rikkumisteateid. Kui eesmärgiks on vähendada väheoluliste rikkumisteadete esitamist, kas künnis ei peaks olema madalam kui praegu väljapakutud „suur oht“? 12. Milline on ettepaneku suhe Komisjoni määrusega 611/2013? 13. Kas IKÜM artikli 88a lõike 4 nõusolekutaotlusest keeldumine ei ole vastuolus IKÜM artikli 7 lõikega 4? 14. Kas IKÜM artikli 88b raamistik on brauseripidajale vabatahtlik? 15. Milline on andmemääruses reguleeritud väärtuslike andmestike ja isikuandmete suhe? 16. Millised on Euroopa tehisintellektiameti ja riiklike pädevate asutuste koostöö tegemise kriteeriumid ning milline on vastavate asutuste rollide ning pädevuste jaotus EL-i tehisintellekti regulatiivliivakasti kontekstis? 104 Statistikaamet Meie esialgsel hinnangul jääb riiklikku statistikat puudutav Teadmiseks võetud. . õiguslik regulatsioon ja eristaatus sarnaseks praegu kehtivaga, kuid 136  Seletuskirja lisa 1. Kaasamistabel mitmete õigusaktide üheaegse muutmise kumulatiivset tulevast mõju on hetkel raske hinnata. Meie seisukoht on, et digitaalne omnibuss peab võimaldama riiklikel statistikaasutustel andmete saamist avaliku ja erasektori andmevaldajatelt ning turvalist andmejagamist. Lisaks on oluline, et uuendatud õigusraamistik toetaks riikliku statistika koostamise lihtsustatud viise, sealhulgas uute tehnoloogiliste lahenduste (näiteks tehisaru ja privaatsust säilitav tehnoloogia) eetilist ja läbipaistvat kasutamist. 105 Tarbijakaitse ja Tehnilise Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA) toetab Euroopa Võetud teadmiseks . Järelevalve Amet Komisjoni Digital Omnibus paketi üldist eesmärki vähendada Euroopa Liidu digivaldkonna regulatiivset killustatust, parandada õigusraamistiku sidusust ning vähendada nii ettevõtjate kui ka järelevalveasutuste halduskoormust. Kehtiv digiregulatsioonide raamistik on viimastel aastatel kiiresti ja paralleelselt laienenud ning hõlmab mitmeid osaliselt kattuvaid õigusakte, mille kohaldamine on praktikas osutunud keerukaks nii turuosalistele kui ka pädevatele asutustele. Ühtlustamise ja konsolideerimise eesmärk on seetõttu põhjendatud ning põhimõtteliselt toetatav. Samas märgime, et regulatiivne lihtsustamine ei tohi toimuda tarbijate põhiõiguste arvelt. Eelkõige peab säilima kõrge isikuandmete kaitse, läbipaistvuse ja tõhusa õiguskaitse tase ning tarbijate huvid ei tohi jääda tehniliste või majanduslike kaalutluste varju. Digiteenuste usaldusväärsus ja turvalisus on tarbijate jaoks keskse tähtsusega ning nende nõrgenemine mõjutaks otseselt ka digitaalse ühtse turu toimimist. 137  Seletuskirja lisa 1. Kaasamistabel 106 TTJA toetab eelnõus ette nähtud erinevate intsidentidest Arvestatud ja selgitame: Eesti leiab, . teavitamise kohustuste koondamist ühtsesse teavituskanalisse et erinevates EL õigusaktides (single-entry point). Praktikas seisavad ettevõtjad täna sageli olevaid teavitamise tähtaegu tuleks ühtlustada. silmitsi olukorraga, kus üks ja sama intsident – näiteks digiteenuse turvarike, millega kaasneb isikuandmete leke ja teenuse katkemine – toob kaasa mitmeid paralleelseid teavitamiskohustusi erinevate õigusaktide ja asutuste ees. Ühtne teavituskanal võimaldab vähendada dubleerimist, parandada teabe kvaliteeti ning soodustada tõhusamat piiriülest koostööd. Samas peab olema selgelt reguleeritud, kuidas ja millise ajaraamistiku jooksul liigub teave ühtsest kanalist edasi riiklike pädevate asutusteni ning millisel hetkel loetakse ettevõtja teavitamiskohustus täidetuks. Oluline on vältida olukorda, kus vastutus hajub või teave ei jõua õigel ajal tegeliku menetlejani. 107 TTJA hindab positiivselt avaandmete direktiivi sätete Teadmiseks võetud. . konsolideerimist andmemääruse raamistikku ning avaandmete reeglite muutumist vahetult kohaldatavaks Euroopa Liidu määruseks. Avaandmete parem kättesaadavus ja taaskasutamine toetab tarbijatele suunatud teenuste arengut, sealhulgas hinnavõrdlust, läbipaistvust ning teadlikumaid tarbimisotsuseid. Samas toob direktiivilt määrusele üleminek kaasa ka riske, kuna liikmesriikide senine paindlikkus oma andmekorralduse eripärade arvestamisel väheneb. Eesti kontekstis, kus avaandmete ja e-riigi lahendused on juba kõrgel tasemel, on oluline tagada, et uued ELi nõuded ei eeldaks toimivate süsteemide ümberkujundamist ilma selge lisandväärtuseta. 138  Seletuskirja lisa 1. Kaasamistabel 108 Väärtuslike andmestike osas peab TTJA vajalikuks säilitada ühtne Teadmiseks võetud. . ELi raamistik, kuid samas võimaldada liikmesriikidel vajaduse korral paindlikumalt täiendada nimekirju, arvestades riiklikke prioriteete ja tarbijakaitsealaseid vajadusi. Digitaalsete turgude ja teenuste kiire areng eeldab, et väärtuslikeks andmeteks võivad kujuneda ka uued andmekategooriad, mis täna ei pruugi veel kehtivates loeteludes kajastuda. 109 Samas leiame, et Digital Omnibus paketis on ebapiisavalt Mitte arvestada. . käsitletud B2G andmevahetuse rolli tarbijakaitses ja Digiomnibussi muudatused on turujärelevalves. Kuigi eelnõu keskendub andmete seotud üldregulatsiooniga. kättesaadavusele ja taaskasutamisele üldiselt, ei ole piisavalt Erivaldkondade järelevalve sätted ei analüüsitud, kuidas B2G andmevahetuse ulatuse kitsendamine ole omnibussi kohaldumisala mõjutab riigiasutuste, sealhulgas järelevalveasutuste, võimet küsimus. Need tulevad vastava tuvastada rikkumisi ja kaitsta tarbijate huve. TTJA hinnangul on valdkonna eriregulatsioonist. oluline selgelt määratleda, millistel tingimustel ja eesmärkidel peab Põhiõiguste kaitse seisukohad olemas. Ettepanekus B2G sätted avalik sektor saama ligipääsu erasektori andmetele, eriti puudutavad hädaolukorda ja on olukordades, kus see on vajalik tarbijate kaitsmiseks, selgemaks kirjutatud. turukuritarvituste avastamiseks või süsteemsete riskide hindamiseks. TTJA näeb riski, et B2G andmevahetuse ulatuse vähendamine võib nõrgestada turujärelevalvet, eelkõige digiplatvormide, dünaamilise hinnastamise ning tehisintellektil põhinevate teenuste puhul, kus rikkumised ei pruugi olla üksikjuhtumid, vaid ilmnevad mustrite ja suurandmete analüüsi kaudu. Sellistes valdkondades on järelevalveasutuste ligipääs asjakohastele andmetele eelduseks tõhusale ja ennetavale tarbijakaitsele. 139  Seletuskirja lisa 1. Kaasamistabel 110 Tasude küsimise osas andmete taaskasutamise eest leiab TTJA, et Võtta teadmiseks. . eelnõus vajab see teema täiendavat selgitamist. Kuigi rõhutatakse avaandmete kättesaadavust, ei ole piisavalt käsitletud, millistel Juhime tähelepanu, et kehtivas juhtudel ja millistel tingimustel on andmete taaskasutamise eest andmehaldusmääruses on tasu sätted tasu küsimine põhjendatud ning kuidas tagada, et tasud ei ja küsimise alused juba olemas (vt kahjustaks tarbijate huve ega piiraks konkurentsi. Eriti oluline on art 6). hinnata riski, et tasuline andmete taaskasutus võib tõrjuda turult väiksemaid teenusepakkujaid, sealhulgas iduettevõtteid ja VKE- sid, kelle teenused võivad pakkuda tarbijatele olulist lisandväärtust. 111 Seoses isikuandmete kaitse üldmääruse ja küpsiste regulatsiooni Teadmiseks võetud. . muudatustega suhtub TTJA eelnõusse ettevaatlikult. Kuigi eesmärk vähendada nn nõusolekuväsimust ja suurendada õigusselgust on mõistetav, on oht, et liiga laialt sõnastatud erandid isikuandmete töötlemisele või terminaliseadmetele juurdepääsule võivad praktikas vähendada tarbijate tegelikku kontrolli oma andmete üle. Eriti oluline on tagada, et nn madala riskiga või teenuse osutamiseks vajalike töötlemiste erandid ei laieneks profiilimisele, käitumuslikule jälgimisele ega tarbijate mõjutamisele. TTJA hinnangul peab nõusoleku põhimõte säilima keskse kaitsemehhanismina ning erandid peavad olema selgelt ja kitsalt piiritletud. 112 Tehisintellekti määrusega seotud digiomnibusi muudatused on Teadmiseks võetud. . TTJA hinnangul osaliselt toetatavad, eriti osas, mis puudutab VKE- de ja väikeste keskmise turukapitalisatsiooniga ettevõtjate koormuse vähendamist, regulatiivsete liivakastide arendamist ning õigusselguse suurendamist kallutatuse tuvastamiseks vajalike 140  Seletuskirja lisa 1. Kaasamistabel andmete töötlemisel. Samas leiame, et SMC-dele kavandatavate leevenduste mõju tarbijakaitsele ja järelevalvele vajab täiendavat hindamist. Oluline on vältida olukorda, kus tarbijate kaitsetase sõltub ettevõtja suurusest ning kus väiksematele või keskmise turukapitalisatsiooniga ettevõtjatele antavad erandid võivad praktikas vähendada tarbijate õiguste kaitset või järelevalve tõhusust. Samas tekitab muret kõrge riskiga tehisintellektisüsteemide kohustuste rakendamise edasilükkamine standardite valmimiseni. Kuigi praktilised rakendusraskused on arusaadavad, ei tohi see viia olukorrani, kus tarbijad jäävad ajutiselt ilma piisavast kaitsest. Leiame, et ka üleminekuperioodil peavad kehtima miinimumkohustused, sealhulgas riskide hindamine, läbipaistvus ning võimalus tarbijatel oma õigusi tõhusalt teostada. 113 Eesti jaoks on Digital Omnibus paketil mitmeid spetsiifilisi Teadmiseks võetud. . mõjusid, arvestades riigi kõrget digiteenuste taset ja andmevahetusmudelit. Eesti e-riigi lahendused, sealhulgas X-tee ja avaandmete portaalid, toimivad juba täna hästi ning uued ELi nõuded peaksid neid täiendama, mitte asendama või dubleerima. Lisaks täidab TTJA digiteenuste määruse alusel digiteenuste koordinaatori rolli, mistõttu on oluline, et uued koordineerimis- ja teavitusskeemid oleksid kooskõlas olemasolevate järelevalvepraktikatega ning ei tekitaks täiendavat ebaselgust pädevuste ja vastutuse jaotuses. 141  Seletuskirja lisa 1. Kaasamistabel 114 Kokkuvõttes toetab TTJA Digital Omnibus paketi eesmärki Teadmiseks võetud. . vähendada ELi digiregulatsiooni killustatust ja halduskoormust Selgete rakendussätete osas ning mitmeid pakutud lahendusi. Samas rõhutab TTJA, et seisukoht olemas. regulatiivne lihtsustamine ei tohi nõrgendada tarbijate õiguste kaitset, isikuandmete kaitset, läbipaistvust ega järelevalve ja õiguskaitse tõhusust. Eelnõu edukas rakendamine eeldab selgeid rakendussätteid, ühtseid tõlgendusi ning piisavat paindlikkust liikmesriikide eripärade arvestamiseks, et säilitada digitaalsete turgude toimimiseks vajalik kõrge usaldustase. Eelnõu edasine kujundamine eeldab selgeid rakendussätteid, täpselt piiritletud erandeid ning kindlust, et järelevalveasutuste tegelik suutlikkus tarbijaid kaitsta säilib ka konsolideeritud regulatiivses raamistikus. 115 Eesti Interneti Sihtasutus Kas toetame eelnõudes toodud eesmärke ja pakutud lahendusi? Teadmiseks võetud . Toetame digivaldkonna lihtsustamispaketi üldist eesmärki ja pakutud lahenduste suunda, milleks on Euroopa Liidu digivaldkonna õigusaktide lihtsustamine, regulatiivse killustatuse vähendamine ning dubleerivate kohustuste vältimine. Domeeninduse vaates peame eriti positiivseks: Andmealaste regulatsioonide koondamist andmemäärusesse Toetame andmealaste regulatsioonide (andmete vaba liikumise määrus, andmehalduse määrus ja avaandmete regulatsioon) koondamist andmemäärusesse, mis suurendab õigusselgust ja vähendab olukordi, kus domeenindusega seotud teenuseosutajad peavad samade andmete puhul eraldi analüüsima, kas ja millistel tingimustel kohaldub mõni nimetatud õigusakt. Samuti seda, millised piirangud või kohustused nendest tulenevad. Praktikas 142  Seletuskirja lisa 1. Kaasamistabel tähendab see, et domeenindusega seotud registripidaja ei pea tegema mitut paralleelset õigusanalüüsi eri regulatsioonide alusel. Andmemäärus loob soovitud ühtse raamistiku, mis selgitab, millal ja millistel tingimustel andmeid võib jagada, millised nõuded kehtivad ning millised erandid kohalduvad, vähendades seeläbi õigusselgusetust ja halduskoormust. Terviklik lähenemine aitab süsteemi ühtlustada ja tagab õigusselguse ka teenusepakkujatele, kes igapäevaselt juriidikaga ei tegele. Intsidentide raporteerimise ühtse teavituskanali (single-entry point) loomist Peame oluliseks intsidentide raporteerimise ühtse teavituskanali loomist, mis on asjakohane nii .ee domeeniregistri kui ka domeenindusega seotud registripidajate vaatest, kelle suhtes võivad samaaegselt kohalduda NIS2, isikuandmete kaitse üldmäärus ning muud teavituskohustused. Ühtne teavituskanal aitab vähendada halduskoormust olukordades, kus sama tehniline intsident võib kvalifitseeruda mitme õigusakti alusel ning suurendab õigusselgust nii teenuseosutajatele kui ka järelevalveasutustele. 116 Avaandmete direktiivi muutumine määruseks. Põhimõtteliselt Teadmiseks võetud. . toetame avaandmete direktiivi muutumist Euroopa Liidu määruseks, kuna määrus tagab ühtlasema ja selgema rakenduse kogu ELis ning vähendab liikmesriikidevahelisi erinevusi, mis on oluline ka piiriüleselt toimiva digitaristu ja teenuste seisukohalt, sh domeeninduse puhul. Selgitame siiski, et .ee domeeniregister ei ole avaliku sektori asutus avaandmete regulatsiooni tähenduses ja .ee domeeniregister ei halda meie hinnangul avaliku sektori andmeid 143  Seletuskirja lisa 1. Kaasamistabel selle regulatsiooni mõttes. Seega nt domeeninimede otsingumootos WHOISi andmed ei ole automaatselt avaandmed. Kaudne mõju võib avaandmete määruses aga tekkida nt olukordades, kus riigiasutused kasutavad domeeni-, DNS- või muud domeenindusega seotud statistikat poliitikakujunduses või kus arutatakse teatud koondandmete võimalikku taaskasutamist. Siin on oluline EISI jaoks rõhutada, et ka muul võimalikul juhul (kui nt leitakse, et avaandmed võiks kohalduda ka riigi poolt asutatud eraõiguslikele SA-dele vms olukorras) domeenindusega seotud tehnilised ja turvalisust mõjutavad andmed (nt terviklik tsoonifail või DNS-logid või muu domeenindusega seotud statistika) ei kvalifitseeruks avaandmeteks. Samuti juhime tähelepanu, et igasuguseks avandmeteks muutmise puhul tuleb riigil kindlasti kaaluda turvalisust ja andmekaitse temaatikat, mis peavad jääma ülimuslikuks. 117 Millised aspektid vajavad täpsustamist või lisaselgitusi? Teadmiseks võetud. . Praktilise rakendatavuse huvides vajavad mitmed paketis Ühtse teavitusakna, täpsemalt sisalduvad ettepanekud täpsustamist. sellega seotud teavituste tähtaegade Täpsustamist vajab intsidentide raporteerimise ühtse teavituskanali ja teavituste sisu osas on koostatud praktiline toimimine, sealhulgas see, kuidas on tagatud, et ühe seisukoht. teavituse esitamine täidab tegelikult mitme õigusakti mõju. Näiteks NIS2 ja isikuandmete kaitse üldmääruse teavituskohustused ehk kuidas need ühtlustatakse - kuna tegemist on väga erineva eesmärgiga õigusaktid, on nende ühtse pidepunkti teavituskohustuse selgitamine oluline. Samuti see, kuidas jaotub vastutus riiklike asutuste vahel ja kuidas aitab see vältida olukorda, kus ettevõtjalt oodatakse hiljem täiendavat eraldi teavitamist. 144  Seletuskirja lisa 1. Kaasamistabel Samuti see, kuidas toimub hilisem aruandluskohustus. Käesolevas paketis kavandatakse ka muudatusi elektroonilise side ja isikuandmete kaitse regulatsioonis, eelkõige seoses küpsiste ja sarnaste tehnoloogiate kasutamist käsitlevate nõusolekunõuetega, mille eesmärk on vähendada veebilehtedel kuvatavate nõusolekuküsimuste hulka. Samuti on eesmärk viia nõusoleku andmine rohkem kasutaja seadme või brauseri tasemele ehk mitte enam kasutajalt enda nõusoleku küsimine. EISi hinnangul vajab selle raames selgitamist machine-readable nõusolekumehhanismide rakendamine, mis tähendab kasutaja nõusoleku edastamist ja arvestamist standardiseeritud tehnilise signaalina, näiteks brauseri või seadme seadistuste kaudu, mitte üksnes veebilehel kuvatava nõusolekuküsimuse kaudu. Oluline on täpsustada, millised tehnilised standardid selleks kasutusele võetakse ning millised üleminekuperioodid on ette nähtud, eelkõige väiksematele teenuseosutajatele, samuti kuidas toimida olukordades, kus selline tehniline nõusolekusignaal puudub või on vastuoluline, et vältida õigusselgusetust ja ebaühtlast rakendamist. Käesoleva muudatuse eesmärk peaks olema ka tagada, et kasutajale ei jääks teadmata, milliseid küpsiseid tema brauseris kasutatakse ja eesmärk peaks olema jätkuvalt kaitsta kasutajaid õigustamatute küpsiste kasutamise eest. Antud juhul jääb mulje, et kuna see liigub brauseri või seadme seadistusse, siis ebateadlikuma kasutaja jaoks tõuseb risk, et tema taustal kasutatakse küpsiseid, millele ta teadliku kasutajana poleks nõusolekut andnud. 118 Täiendav märkus: Teadmiseks võetud. . 145  Seletuskirja lisa 1. Kaasamistabel AI-määrus ja isikuandmete töötlemise kaudne mõju Kuigi AI-ga seotud digiomnibusi muudatused ei mõjuta domeenindust otseselt, on neil kaudne ja süsteemne mõju isikuandmete töötlemise üldisele raamistikule. Eriti tuleb esile isikuandmete töötlemise lubatavuse laienemine AI arendamise osas õigustatud huvi mõiste sisuline leevenemine. EISi hinnangul võib see leevendus pikemas vaates mõjutada ka digitaristu ja domeeninduse valdkonda, kus andmete töötlemine ja jagamine on seni tuginenud pigem kitsalt tõlgendatud õigustatud huvile. Nt seni on EIS väljastanud isikuandmeid kolmandale osapoolele väga piiritletud juhul GDPRi tõlgendades (valdkonna tava) ehk väljastatakse üksnes domeeninimi.ee registreerija isikuandmed (põhjendatud alusel). Samas võib õigustatud huvi aluse laiendamine tehisintellekti määruse kontekstis tuua kaasa olukorra, kus domeenidega seotud isikuandmeid hakatakse nõudma ka laiemates ja senisest erinevates kasutusjuhtudes, mis ületavad domeeninimi.ee õigustatud ulatuse ja eesmärgi. Kuigi iga konkreetset juhtumit tuleb ka edaspidi analüüsida eraldi, peab EIS oluliseks rõhutada, et õigustatud huvi mõiste üldine olemus peaks jääma kitsalt tõlgendatavaks ning selgelt piiritletuks, et vältida selle kontrollimatut ja laienevat rakendamist. 119 Eesti Linnade ja Valdade Kas toetate eelnõudes toodud eesmärke ja pakutud lahendusi? Teadmiseks võetud. . Liit Palun tooge välja, milliseid toetate ja miks? Milliseid ettepanekuid Teie ei toeta ja miks? Andmeõiguse vaatest selgust on silmas peetud. Eesti Linnade ja Valdade Liit tunnustab Euroopa Komisjon püüdlusi läbi digivaldkonna õigusaktide lihtsustamispaketi 146  Seletuskirja lisa 1. Kaasamistabel "digiomnibus" muuta selgemaks andmehalduse ning andmete kasutamise regulatsioone. Peame oluliseks, et reeglid oleksid arusaadavad ning toetaksid kaasaegsete ja kasutajasõbralike avalike teenuste arendamist. See ei ole üksnes vajalik Euroopa riikide konkurentsivõime tugevdamiseks, vaid eelkõige elanike heaolu tõstmiseks vajalike lahenduste väljatöötamiseks ning kasutuselevõtmiseks. Regulatsioonide taasmõtestamine peaks aitama puhastada õigusaktid üleliigsest jättes alles vaid hädavajaliku ja muuta otsustus- ning valitsemisprotsessi läbipaistavamaks. Prioriteediks peaks olema inimene koos oma õiguste ja vajadustega. Silmas tuleks eelkõige pidada võimalusi, mida andmed otsustusprotsessis loovad ja püüelda eelkõige just võimaluste avardamise suunas. Kokkuvõtval nähti kaasatud kohalike omavalitsuste poolt positiivsena:  andmevaldkonna õigusaktide koondamist, mis teeb omavalitsuse kohustused selgemaks;  ühtse kanali loomine vähendaks dubleerimist ja lihtsustaks omavalitsuste tööd (praegu tuleb sama intsidendi kohta teavitada mitut asutust, näiteks Riigi Infosüsteemi Ametit (RIA/CERT-EE) ja Andmekaitse Inspektsiooni (AKI), Ühtse teavitusakna osas ei piisa sageli eri vormides ja erinevate tähtaegadega, samas, seda ainult siseriikliku õiguse muutmisest annaks ehk parandada ka siseriiklikult, mitte toetudes EL – konkreetsemad tähtajad ja regulatsioonile); teavituse sisud näeb ette EL õigus.  tehisintellekti lahenduste testimise ja kasutamise selgemat raamistikku. 147  Seletuskirja lisa 1. Kaasamistabel 120 Palun tooge välja muud teemad, mis on nimetatud akti puhul Teadmiseks võetud. . Teile murekohaks. Tegemist on üldregulatsiooniga, sätestades ühtsed alused ja Digivaldkonna arengul on võimaluste kõrval mitmeid ohte, mida võimalused kõigile, sh peab läbi regulatsioonide ennetama. Õiguslike ohtude kõrval tuleks omavalitsustele. enam arvestada andmekasutuse piirangutega kaasneva „ääremaastumise“ eest. Avalike teenuste osutamine tiheasustatud aladel erineb sageli põhimõtteliselt võrreldes hõredalt asustatud maapiirkondadega (n. pole vaja linnades ühistransporti ümber korraldada kui elama saabub uus perekond, kuid maapiirkonnas võib uue perekonna elama asumine tuua kaasa vajaduse koolibussi teekond ümber teha, kuid selleks on vaja õigust andmete töötlemiseks). Õigusaktid ei tohiks võimendada erinevusi, vaid luua olukorra, kus digitaalsed lahendused annaksid võimaluse osutada teenuseid vastavalt piirkondlikele erisustele ja säilitada kohalikku autonoomiat. Enamik avalikke teenuseid, mida inimesed tarbivad, on seotud otseselt kohalike omavalitsustega ja nende poolt pakutavaga. Tänane „digiomnibusi“ regulatsioon ei arvestada piirkondlikke iseärasusi piisaval määral soovides ühtlustada põhimõtteid, mida võiks otsustada kohalikul tasandil. Õigusaktiga kaasneva mõju ulatuse analüüs näib liialt abstraktne. Kohalike omavalitsuste ja nende esindusorganisatsioonide kaasamine ei ole olnud piisav. Seda on tehtud kiirustades, mõjusid piisaval määral arvestamata. Mõjuanalüüsid ei arvesta piisaval määral kohalikke otsuseid ning seadusakti rakendamisega kohalikul tasandil. Eelkõige otsuste puhul, kus andmete kasutamisega kaasnevate otsustega oleks võimalik ressursse 148  Seletuskirja lisa 1. Kaasamistabel otstarbekamalt kasutada. Praegusel kujul on Euroopa Komisjon digivaldkonna õigusaktide lihtsustamispaketi "digiomnibus" vormilt koondav ja sisult õiguslik, kuid kohalikul tasandil praktikas realiseeritavus ebamäärane. See omakorda süvendab hirme täiendavate kohustuste ja sellega kaasnevate kulude osas. 121 Omavalitsuste tagasisides toodi välja peamiste murekohtadena: Teadmiseks võetud. .  Uute andmenõuete rakendamine tähendab sageli vajadust muuta infosüsteeme või tööprotsesse, milleks ei ole alati ette nähtud eraldi rahastust. Uute nõuetega võivad kaasneda lisakulud ja personalivajadus.  Linna ametnikud vajavad praktilisi juhendeid ja koolitusi, et mõista, kuidas uusi reegleid teenuste arendamisel rakendada.  Ebapiisava selguse korral võib linn jätta kasutamata innovaatilisi lahendusi, näiteks AI-põhiseid analüüsitööriistu, kuigi need aitaksid parandada teenuste kvaliteeti. 122 Eesti Keele Instituut Viidatud kirjas tuuakse mitmeid näiteid, kus kavandatakse sätted Osaliselt arvestatud ja teadmiseks . kirjutada erinevates õigusaktides – olgu siis Euroopa Liidu võetud. direktiivis või määruses – selgemaks, lähtudes parimatest praktikatest. Instituut, tegeledes keeleandmete ja -tehnoloogiaga, töötleb andmeid teadusuuringute eesmärgil, milles sisalduvad nii isikuandmed kui tihti keeleandmestikena ka autoriõigustega kaitstud teosed. Seetõttu tuleks hinnata, kuivõrd on need kaks maailma omavahel teaduseesmärkideks tegelikult ühildatavad. Isikuandmete kasutus teadusuuringute eesmärgil on lubatud lähtuvalt eesmärgist, kus teadusuuring peab toimuma mingi laiema 149  Seletuskirja lisa 1. Kaasamistabel hüve eesmärgil (uus ravim, uus meetod, uus teadmus). Isikuandmete kaitse seadus võimaldab seega andmekasutust viisil, kus teavet ise ei omata, kuid teadust soovitakse teha, seejuures on võimalik taotleda isikuandmeid ka kolmandatelt isikutelt – kui töötlemiseks on õiguslik alus, on võimalik andmeid saada (IKS § 6). Seevastu autoriõigustega kaitstud teoste puhul on teadusuuringu läbiviimine komplitseeritum ning mitmed nüansid normis piiritlemata ja sisustamata ka kohtupraktikas. Jäädes viimast ootama, on seni teadusuuringute läbiviimine praktikas keeruline (vt AutÕS § 191). Näiteks seab andmekaitse üldmäärus esikohale just riiklikud registrid ja seega avaliku sektori käes oleva teabe kättesaadavuse teadusuuringuteks, nähes neis erilist väärtust (IKÜM pp 157). Samuti rõhutab üldmäärus, et teadusuuringu mõiste on lai, hõlmates seejuures ka tehnoloogiaarendust (IKÜM pp 159). Isikuandmete kaitse seadus ei keela kaasata teisi kaasvastutavaid töötlejaid või volitatud töötlejaid sellesse protsessi. Autoriõiguse seaduse aluseks oleva direktiivi põhjendused sarnaseid selgeid selgitusi ei anna (nn DSM direktiivi). Selles on toodud, et autori nõusolekuta ja autoritasu maksmiseta on teadus- ja kultuuripärandiasutusel õigus reprodutseerida teadusuuringutes teksti- ja andmekaeve eesmärkidel teost, millele tal on seaduslik juurdepääs (AutÕS § 191 lg 1). Sätte tõlgenduste järgi saab teadusuuringut teha teadusasutus teise teabevaldaja teabega vaid siis kui tal on sellele juurdepääs. Enamasti on see läbi avaandmete. Muul juhul lähenetakse läbi füüsilise isiku tõlgenduse, kes on nt raamatukogu kasutajaks, tekitades keerukaid konstruktsioone ja lepinguid teadusuuringu läbiviimisel ja alusmaterjali töötlemisel. Seegi tõlgendus ei kehti alati ja kõigi suhtes. Siin lähtutakse autori 150  Seletuskirja lisa 1. Kaasamistabel algsest litsentsist, kus nt teaduspublikatsiooni autor annab litsentsi teose säilitamiseks elektroonilises repositooriumis ning teose avaldamiseks üldsusele. Kui eraldi litsentsi publikatsioonist koopia tegemiseks ja teadusasutusele väljastamiseks ei küsitud, ei olegi see otse asutuselt asutusele sellisel viisil koopia tegemine võimalik, kuigi seda palub teadusasutus ja teadusuuringu eesmärgil (nagu erand ette näeb). Seega ei ole ühelt poolt avalik teave kättesaadav mugavamal viisil, eeldades sisuliselt avaandmete kraapimist ning teisalt, kõik teosed ei pruugi otsejuurdepääsetavad olla, mistõttu tekib küsimus nende kättesaadavusest teaduseesmärkidel. Seejuures võib teabe korje sellisel viisil, isegi kui see on avalik, võtta eraldi ressursse ja aega kui samas võiks selle väljastada teabevaldaja, nagu seda isikuandmete puhul tehakse. Riive autoriõiguste kontekstis ei muutu ning küsimus on teadusuuringuks teabe kättesaadavuse kiiruses ja ressursides (kraapides oleks avalikustatud teost õigus teadusuuringus kasutada nii ehk nii). Peale teabe saamise eeldavad õigusselgust ka mitmed teised aspektid. Näiteks kuivõrd on autoriõiguste kontekstis lubatud koostöö erasektoriga, kes omab tihti ainulaadset pädevust või tehnikat, et teatud andmeid sellises mahus üldse töödelda või mustreid leida, rääkimata kus erasektor teatud valdkonda võibki eest vedada. Kuigi direktiivi põhjenduspunkt koostööle viitab, on õiguskirjanduses selle tõlgendused selle ulatuse osas ettevaatlikud (vt DMS direktiiv pp 11). Instituut austab autorite õigusi ning on selge, et autorite õiguste kaitseks tuli sätestada selge erand, et teoste kasutust piiritleda. Käesoleva kirja mõte on aga rõhutada, et andmete kättesaadavus on problemaatiline isegi teadus- ja arendusasutustel, kelle tarvis erand loodi. Kui andmete 151  Seletuskirja lisa 1. Kaasamistabel kättesaadavus on takistatud seatakse eesti keele uurimine olemuslikult kahtluse alla (näiteks kasvõi uue ÕS-i tegemine, sõnaveebid vms). Lõpetuseks rõhutame, et keeleuurimisel või keeletehnoloogiate arendamisel on mõlema valdkonna normiselgus väga tähtis, nii nagu andmete kättesaadavus. Seetõttu loodame, et käesolevast diskussioonist on abi sätete selgemaks muutmisel või vähemalt eesmärgiäraste tõlgenduste andmisel). Loodame, et käivitatud tegevused loovad selgust ning võimalusel panustaksime omalt poolt ka teema edasistes aruteludes. 123 Eesti Vee-ettevõtjate Liit Eesti Vee-ettevõtete Liit toetab kõrge riskiga Arvestatud osas, mis toetab kõrge . tehisintellektisüsteemidele kehtestatud kohustuste jõustumise riskiga tehisintellektisüsteemide edasilükkamist, kuna ilma Euroopa Komisjoni juhiste ja tähtaja edasi lükkamist ja konkreetseid tähtaegu. standarditeta ei ole praktikas võimalik nõuetele vastavust tagada. Samas on oluline, et edasilükkamise korral oleks esitatud vähemalt Komisjon annab erinevaid juhiseid indikatiivne ajakava juhiste ja standardite valmimise kohta, sest juba välja. Vee-ettevõtjate osas vastasel juhul puudub õigusselgus selle osas, millal vastavad saame eraldi saata Komisjonile kohustused jõustuvad. Ühtlasi palume Euroopa Komisjonilt küsimuse. konkreetseid suuniseid ja näiteid, millised veesektoriga seotud tehisintellekti süsteemid võivad kuuluda kõrge riskiga süsteemide regulatsiooni alla. Näiteks, kas ja millistel tingimustel võivad joogi- ja reovee puhastusprotsesside optimeerimiseks kasutatavad AI-süsteemid olla potentsiaalselt kõrge riskiga süsteemideks. 124 Toetame ühtse intsidentidest teavitamise keskkonna (SEP1) Arvestatud . loomist, kuid juhime tähelepanu, et erinevad teavitustähtajad (24h Ühtse teavitusakna, täpsemalt esmane teavitus NIS22 puhul ja 72h teavitustähtaeg IKÜM puhul) sellega seotud teavituste tähtaegade võivad praktikas vähendada SEP-i praktilist kasu. Seega palume 152  Seletuskirja lisa 1. Kaasamistabel kaaluda erinevate teavitustähtaegade ühtlustamist, mis aitaks kaasa ja teavituste sisu osas on koostatud ettevõtjate halduskoormuse vähenemisele. Samuti võiksid SEP alla seisukoht. kuuluda ka AI määrusest tulenevad teavitused. 125 Seoses avaandmete direktiivi4 muutumisega andmemääruseks meil Teadmiseks võetud. . sisulisi ettepanekuid ei ole. Hetkel me ei näe vajadust ka muuta väärtuslike andmestike nimekirju. 126 Meie hinnangul vajavad täpsustamist ja lisaselgitusi biomeetriliste Teadmiseks võetud. . andmete töötlemise alused. 127 Meie hinnangul vajab täiendavat analüüsi isikuandmete nn Arvestatud. Eesti ei toeta mõiste . „kontekstipõhine“ määratlus. Omnibus-paketis pakutud täiendamist, vaid palume täiendada lähenemine looks olukorra, kus andmete edastamisel peaks töötleja põhjenduspunkti. iga kord eelnevalt hindama, kas ja mil määral on andmete saajal võimalik nende põhjal isikut tuvastada. See kehtiks ka näiteks volitatud töötlejate puhul, kellele vastutav töötleja edastab isikuandmeid oma ülesannete täitmiseks. Leiame, et selline üldine põhimõte ei vähendaks ettevõtjate halduskoormust ega suurendaks õiguskindlust, vaid pigem vastupidi. Taoline käsitlus võiks olla põhjendatud üksnes erandina teatud liiki isikuandmete puhul, näiteks juhul, kui tegemist on isiku kujutisega filmimaterjalil, kus kujutis on väike ja/või hägune ning isikut ei ole võimalik reaalselt tuvastada ilma eelneva teadmiseta tema viibimisest filmimise ajal konkreetses asukohas või näiteks isikule omase riietuse põhjal. Sellisel juhul on siiski oluline, et võimalikud erandid oleksid väga täpselt, selgelt ja üheselt mõistetavalt sõnastatud. 153  Seletuskirja lisa 1. Kaasamistabel 128 Veriff OÜ Artiklit 9 muudetakse järgmiselt: Teadmiseks võetud. . (a) lõikesse 2 lisatakse järgmised punktid: „(k) töötlemine tehisintellekti süsteemi, nagu see on määratletud määruse (EL) 2024/1689 artikli 3 punktis 1, või tehisintellekti mudeli arendamise ja toimimise kontekstis, järgides lõikes 5 osutatud tingimusi. (l) biomeetriliste andmete töötlemine on vajalik andmesubjekti isiku tuvastamise kinnitamiseks (verifitseerimiseks), kui biomeetrilised andmed või verifitseerimiseks vajalikud vahendid on üksnes andmesubjekti ainuvalduses.“ (b) lisatakse järgmine lõige: „5. Lõike 2 punktis (k) osutatud töötlemise korral rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida isikuandmete eriliikide kogumist ja muud töötlemist. Kui vaatamata selliste meetmete rakendamisele tuvastab vastutav töötleja isikuandmete eriliigid treenimiseks, testimiseks või valideerimiseks kasutatavates andmekogumites või tehisintellekti süsteemis või tehisintellekti mudelis, peab vastutav töötleja need andmed eemaldama. Kui nende andmete eemaldamine nõuab ebaproportsionaalseid jõupingutusi, peab vastutav töötleja igal juhul viivitamata ja tõhusalt kaitsma neid andmeid selle eest, et neid kasutataks väljundite loomiseks, avalikustataks või muul viisil kolmandatele isikutele kättesaadavaks tehtaks.“** 154  Seletuskirja lisa 1. Kaasamistabel Kommentaarid, tähelepanekud, ettepanekud Artikli 9 lõike 2 punkti (k) ja artikli 9 lõike 5 lisamine Ei ole selge, mis on selle täienduse kavandatav eesmärk, eelkõige: – Kuidas on see muudatus seotud määruse (EL) 2024/1689 (AI- määrus) artikli 10 lõikega 5, mis lubab isikuandmete eriliikide töötlemist kallutatuse vähendamise eesmärgil. Ei ole selge, kas AI- määruse artikli 10 lõiget 5 tuleks siis pidada kohaldatavaks ainult kõrge riskiga tehisintellekti süsteemidele ning artikli 9 lõike 2 punkt (k) oleks kohaldatav kõigile muudele kui kõrge riskiga süsteemidele, või kõigile süsteemidele, sealhulgas kõrge riskiga süsteemidele. – Kavandatav sõnastus („töötlemine tehisintellekti süsteemi /–/ toimimise kontekstis /–/ või tehisintellekti mudeli puhul“) jätab mulje, et tehisintellekti süsteemi käitamine on iseenesest töötlemistoiming, kuigi tehisintellekti süsteem või mudel on tehnoloogiline vahend ning seda ei tohiks kohelda teisiti kui muid tehnoloogilisi vahendeid andmete töötlemisel. Koos artikli 9 lõikega 5 võib see sõnastus tekitada isegi segadust tekitava kohustuse andmeid töötlemisest eemaldada. – Lisaks on sõnastus äärmiselt tehnoloogiaspetsiifiline ja keskendub praegusele tehnoloogilisele olukorrale, mis on vastuolus ELi keskse regulatiivse põhimõttega – tehnoloogianeutraalsusega. Selle põhimõtte kohaselt peaksid õigusnormid keskenduma tulemustele ja funktsioonidele, mitte konkreetsetele 155  Seletuskirja lisa 1. Kaasamistabel tehnoloogiatele, et vältida innovatsiooni pärssimist, tagada reeglite tulevikukindlus ning lasta turul valida parimad lahendused. Kavandatav sõnastus ei arvesta biomeetrilise tehnoloogia kasutamise tegelikkust. Seadusandja peaks mõistma, et kui eksisteerivad tehisintellekti mudelid ja süsteemid, mis töötlevad biomeetrilisi andmeid, siis peavad need mudelid ja süsteemid olema korrektselt treenitud. Selliste mudelite treenimine ja kasutamine eeldab, et vastavad andmed on töötlemistoimingute osa. See tähendab, et neid andmeid kasutatakse väljundite loomiseks, vastasel juhul ei oleks need süsteemid toimimisvõimelised. Seetõttu on artikli 9 lõike 5 praegune sõnastus väga kaugel sellest, kuidas hästi toimiv ja „korrektselt käituv“ tehisintellektil põhinev biomeetriline süsteem tegelikult töötab. Lisaks seab nõue andmed eemaldada, välja arvatud juhul, kui see nõuab ebaproportsionaalseid jõupingutusi, äärmiselt kõrge standardi. See võib oluliselt takistada paljude tehisintellekti mudelite ja süsteemide arendamist ja toimimist. Väljend „kaitsta andmeid selle eest, et neid kasutataks väljundite loomiseks“ on ebaselge, kuna ei ole määratletud, mida „väljundite loomine“ tähendab. Kuna avalikustamine ja kättesaadavaks tegemine on käsitletud eraldi, saab „tootmist“ tõlgendada üksnes kui treeningandmete panuse välistamist tulemustesse. See oleks aga tehniliselt teostamatu, sest treeningandmed on olemuslikult osa tulemuste kujunemisest. Ettepanekud: 156  Seletuskirja lisa 1. Kaasamistabel Eemaldada artikli 9 lõike 2 punktist (k) mõiste „toimimine“ (operation). Sõnastada artikli 9 lõige 5 ümber nii, et see kõlaks järgmiselt: „Lõike 2 punktis (k) osutatud töötlemise korral rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida isikuandmete eriliikide ebavajalikku töötlemist.“ Teise võimalusena sõnastada artikli 9 lõige 5 järgmiselt: „Lõike 2 punktis (k) osutatud töötlemise korral rakendatakse asjakohaseid korralduslikke ja tehnilisi meetmeid, et vältida isikuandmete eriliikide kogumist ja muud töötlemist. Kui vaatamata selliste meetmete rakendamisele tuvastab vastutav töötleja isikuandmete eriliigid treenimiseks, testimiseks või valideerimiseks kasutatavates andmekogumites või tehisintellekti süsteemi või tehisintellekti mudeli TOIMIMISE käigus, peab vastutav töötleja need andmed eemaldama ESIMASEL VÕIMALUSEL. Kui nende andmete eemaldamine nõuab ebaproportsionaalseid jõupingutusi VÕI ON VASTUOLUS TEHISINTELLEKTI SÜSTEEMI VÕI MUDELI EESMÄRGIGA, peab vastutav töötleja igal juhul viivitamata ja tõhusalt kaitsma neid andmeid selle eest, et neid kasutataks väljundite loomiseks, avalikustataks või muul viisil kolmandatele isikutele kättesaadavaks tehtaks, RAKENDADES ASJAKOHASEID KORRALDUSLIKKE JA TEHNILISI MEETMEID.“. 157  Seletuskirja lisa 1. Kaasamistabel 129 Artikli 9 lõike 2 punkti (l) ja põhjenduse (34) lisamine Teadmiseks võetud. . Ei ole selge, mis on selle täienduse kavandatav eesmärk, eelkõige: – Mida see säte peaks võimaldama? – Mille eest see säte peaks andmesubjekte kaitsma, arvestades üldisest keelust (artikli 9 alusel) tehtavat erandit? Meie lähenemisviis on, et leevendus peaks võimaldama kahte elementi: i) luua raamistiku biomeetria kasutamiseks turvalise ja üha laiemalt levinud turvafunktsioonina, mida ettevõtted saavad oma tavapärase äritegevuse käigus rakendada, järgides samal ajal juba niigi tugevat privaatsusraamistikku; ning ii) pettuste ennetamist suures ulatuses, tagades samal ajal hea ja sujuva kasutajakogemuse. Seetõttu ei arvesta üksnes kasutaja verifitseerimise nõuete leevendamine sellega, et paljud pettuste ennetamise protsessid põhinevad üks-mitmele („autentimine“), näiteks kontole sisselogimise ja parooli lähtestamise võimaldamisel biomeetria abil. Andmesubjektide kaitsmise osas võimalike riskide eest, mis tulenevad isikuandmete eriliikide töötlemisest, näib seadusandja rõhutavat „andmesubjekti ainukontrolli“. „Ainukontroll“ viitaks väga vähestele tehnoloogilistele lahendustele, mida praktikas tänapäeval peaaegu ei kasutata – enamasti kasutatavad tehnoloogiad jätavad andmed teenuseosutaja kontrolli alla 158  Seletuskirja lisa 1. Kaasamistabel verifitseerimise või autentimise eesmärgil. Täpsemalt ei täida andmesubjekti „ainukontroll“ eesmärki kaitsta tema õigusi, sest arvestades aluseks oleva tehnoloogia keerukust ei ole tehniline kontroll protsessi üle see, mis tegelikult kaitseb andmesubjekti peamiste riskide eest. Andmesubjekt saab suurema kaitse siis, kui: i) aluseks olev tehnoloogia on turvaline (nt kasutatakse krüpteerimist, nagu ettepanekus juba viidatud); ja ii) andmesubjekt on töötlemisest teadlik ning saab valida, kas ta soovib sellega hõlmatud olla või mitte. Seetõttu tuleks rõhk asetada mitte tehnilisele „ainukontrollile“, vaid asjaolule, et isiku tuvastamise kinnitamine isikuandmete eriliikide abil (nii verifitseerimine kui ka autentimine) toimub andmesubjekti taotlusel või tema poolt soovitud teenuste raames. Põhjenduse praegune sõnastus näib käsitlevat väga kitsast tehnoloogilist lahendust, mis on vaid üks või väga piiratud hulk privaatsust säilitavaid tehnoloogiaid. Ettepanekud: Laiendada biomeetria kasutusjuhtumeid ka autentimisele lisaks verifitseerimisele. Ideaalis hõlmaks laiendus ka pettuste ennetamist ja avastamist; Mõiste „ainukontroll“ tuleks üle vaadata nii, et kontroll oleks teenuseosutaja, mitte üksnes andmesubjekti käes. Selline lähenemine tagaks andmete tehnilise turvalisuse ning seoks töötlemistoimingud tegevustega, mis on otseselt või kaudselt seotud andmesubjekti poolt taotletud teenustega. Peamised 159  Seletuskirja lisa 1. Kaasamistabel eesmärgid peaksid jääma andmete turvalisus ja andmesubjekti teavitatus (läbipaistvus). 130 Sotsiaalministeerium Toetab Digitaalse Omnibus’e eesmärki vähendada bürokraatiat ja . lihtsustada reegleid. Positiivne on, et väiksematele ettevõtetele 1 – Eesti ei poolda mõiste antakse rohkem aega ja lihtsamaid nõudeid ning Euroopa tasandil täiendamist, vaid teeb ettepaneku luuakse ühtne järelevalve. Samas tekitab muret, et mõned inimeste täiendada põhjenduspunkti. kaitseks mõeldud reeglid hakkavad kehtima alles 2027–2028, mis võib kaasa tuua riske. Tundlike andmete kasutamine kallutatuse 2 – teadmiseks võetud. kontrolliks on vajalik diskrimineerimise vältimiseks, kuid see toob 3 – teadmiseks võetud. kaasa privaatsusriskid, mistõttu tuleb andmeid rangelt kaitsta. Lisaks võib AI kasutamise läbipaistvuse vähenemine muuta 4 – Eesti leiab, et erinevates EL õigusaktides ette nähtud inimestele raskemaks aru saada, kus ja kuidas algoritme teavitamistähtaegu tuleks ühtlustada. kasutatakse. Sotsiaalministeeriumi soovitus on hoida inimeste õigused ja turvalisus esikohal, tagada tugev järelevalve tundlike 5- teadmiseks võetud. andmete kasutamisel ning avalikus sektoris teavitada AI kasutusest ka siis, kui seadus seda ei nõua. Andmete vaates juhime tähelepanu, et isikuandmete mõiste muutmist ei saa teha kiirustades – selle muudatuse mõjud vajavad põhjalikku kaalumist. See mõiste on kogu andmekaitse vundament. 1. Seni on pseudonüümseid isikuandmeid käsitletud isikuandmetena, millele kohalduvad samaväärsed kaitsemeetmed, mis isikuandmetelegi. Pseudonüümsete andmete eristamine võimaldab üle vaadata sellistele andmetele kohalduvad meetmed ja sellist reeglite lõdvendamist ka plaanitakse. Juhime tähelepanu, et kui pseudonüümsete andmete töötlusreegleid plaanitakse lihtsustada, siis ei tohiks järele anda andmete volitamata 160  Seletuskirja lisa 1. Kaasamistabel juurdepääsu kaitsmemeetmetes (korralduslikud ja tehnilised meetmed). Ka algatuses endas tuuakse esile erisusi, et pseudonüümsete andmete töötlemisel tuleb vältida isikuandmete kogumist, nende tuvastamisel tuleb need eemaldada ja kui nende eemaldamine on keeruline, siis tuleb kaitsta. Teeme ettepaneku mitte märkimisväärselt järele anda andmete volitamata juurdepääsu kaitsemeetmetes, sest risk isikandmete tuvastamiseks jääb igal juhul alles. 2. Andmete valdkonda reguleerivate määruste ja direktiivide ülevaatamisel, ühtlustamisel ja konsolideerimisel tuleb üle vaadata ka Euroopa Terviseandmeruumi määrus teemades, kus üldiselt planeeritakse reeglite lihtsustamist. Näiteks näeb määrus ette samaväärseid kaitsemeetmeid terviseandmetele isikuandmete ja pseudonüümsete andmete töötlusele teiseses andmekasutuses. Terviseandmed eriliigiliste andmetena vajavadki arusaadavalt rangemaid kaitsemeetmeid, kuid peaksime vältima olukorda, kus tekivad vastuolud EL määruse vahel, pärssides valdkondade vahelisi andmetöötlusi erinevalt kohalduvate reeglite tõttu ning mõnes kohas võib lihtsustamine ka selle määruse kontekstis kõne alla tulla analoogselt algatuses esitatuga. 3. Algatuses tuuakse esile, et AI liivakastides kasutatavate andmete jagamise ja kaitse osas on ette nähtud täiendavad meetmed, et vältida andmete väärkasutust ja tagada andmete konfidentsiaalsus. Juhime tähelepanu, et terviseandmete kontekstis räägitakse turvalistest andmetöötluskeskkondadest (SPE). AI liivakastide ja SPE-de nõuded võiksid olla vähemalt 161  Seletuskirja lisa 1. Kaasamistabel sarnased, osaliselt samad. Võimalusel tuleks nimetatute koostalitusvõimes veenduda. Samuti tuleb jälgida, et ei tekiks siin vastuolusid, sest terviseandmeid võib töödelda vaid selleks ette nähtud SPE-des teiseses kasutuses, sh innovatsiooni eesmärgil. 4. Andmelekkest teavitamine peab toimuma viivitamata ja võimaluse korral mitte hiljem kui 96 tunni jooksul pärast rikkumisest teada saamist. Selle aja pikendamine ei taga andmelekete puhul kiiret sekkumist ja seeläbi tagajärgede leevendamist. Jääb arusaamatuks, miks on päriselt pikendamine vajalik. Kaasaegse tehnoloogilise võimekuse tingimustes on 96 tundi väga pikk aeg. 5. Suhtume üldiselt ettevaatlikult AI treenimise käigus tekkivate eriliigiliste isikuandmete töötlemise lubamiseks juhtudel, kus see ei ole eesmärgi jaoks vajalik. Kuigi sellise sätte kohaldumise tingimusi on kitsendatud, millistel juhtudel see oleks lubatud, siis eriliigiliste isikuandmete töötlemist ei tohiks sellisel viisil lubada. Selliste andmete kogumine ja kasutamine võiks jääda rangemate ja läbipaistvamate kaitsemeetmete alla. Sellisel viisil eriliigiliste andmetele lubatavuse piiri on praktikas keeruline rakendada ja ka kontrollida. 162