Pöördumine

ÜHISE VASTUTUSE KOKKULEPE seoses isikuandmete töötlemisega ELi tubakatoodete jälgitavussüsteemi raames Euroopa Komisjon, keda esindab tervise ja toiduohutuse peadirektoraat, keda esindab käesoleva ühise vastutuse kokkuleppe allkirjastamisel Andrzej RYS, direktoraadi B (tervishoiusüsteemid, meditsiinitooted ja innovatsioon) direktor (edaspidi „komisjon“), ning ELi liikmesriikide esindajad või ametiasutused, kes osalevad komisjoni rakendusmääruse (EL) 2018/574 kohases tubakatoodete jälgitavussüsteemis (edaspidi „liikmesriigid“), komisjoni ja liikmesriike nimetatakse edaspidi koos „kokkuleppeosalised“ või eraldi „kokkuleppeosaline“, võttes arvesse Euroopa Parlamendi ja nõukogu 3. aprilli 2014. aasta direktiivi 2014/40/EL tubaka- ja seonduvate toodete tootmist, esitlemist ja müüki käsitlevate liikmesriikide õigus- ja haldusnormide ühtlustamise kohta ning millega tunnistatakse kehtetuks direktiiv 2001/37/EÜ, eelkõige selle artikli 15 lõikeid 1 ja 5, võttes arvesse komisjoni 15. detsembri 2017. aasta rakendusmäärust (EL) 2018/574 tubakatoodete jälgitavussüsteemi loomiseks ja käitamiseks vajalike tehniliste standardite kohta, eelkõige selle III, V ja VI peatükki, võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (edaspidi „määrus (EL) 2018/1725“), eelkõige selle artikli 5 lõike 1 punkti a, võttes arvesse Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (edaspidi „määrus (EL) 2016/679“), eelkõige selle artikli 6 lõike 1 punkti e, ning arvestades järgmist: (1) Määruse (EL) 2018/1725 artiklis 28 on sätestatud, et kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad, kes määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada määruse (EL) 2018/1725 artiklites 15 ja 16 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega; 1 (2) Määruse (EL) 2016/679 artiklis 26 on sätestatud, et kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad, kes määravad kaasvastutava töötleja vastutusvaldkonna andmekaitsega seotud kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada määruse (EL) 2016/679 artiklites 13 ja 14 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega; (3) Direktiivi 2014/40/EL artikli 15 lõikes 8 on sätestatud, et liikmesriigid tagavad, et tubakatoodete tootjad ja importijad sõlmivad andmehalduslepingud sõltumatute kolmandate isikutega, et hallata andmepanka kõigi asjakohaste andmete osas; (4) Direktiivi 2014/40/EL artikli 23 lõikes 1 on sätestatud, et liikmesriigid tagavad, et tubaka- ja seonduvate toodete tootjad ja importijad esitavad komisjonile ja liikmesriikide pädevatele asutustele selle direktiivi kohaselt nõutud täieliku ja õige teabe direktiivis ettenähtud tähtajaks; (5) Direktiivi 2014/40/EL artikli 23 lõikes 2 on sätestatud, et liikmesriigid tagavad, et turule ei viida tubaka- ja seonduvaid tooteid, mis ei ole kooskõlas selle direktiiviga, sealhulgas selle rakendusaktide ja delegeeritud õigusaktidega; (6) Direktiivi 2014/40/EL artikli 23 lõikes 3 on sätestatud, et liikmesriigid kehtestavad eeskirjad karistuste kohta, mida kohaldatakse selle direktiivi alusel vastu võetud siseriiklike õigusnormide rikkumise korral, ning võtavad kõik vajalikud meetmed, et tagada nende karistuste täitmine; (7) Komisjoni rakendusmääruse (EL) 2018/574 I lisa A osa punktis 3 on sätestatud, et komisjon kiidab kolme kuu jooksul alates kavandatava kolmandast isikust teenuseosutaja ja andmetalletuslepingu projekti kohta teate saamisest kavandatava teenuseosutaja ja lepingu projekti heaks või lükkab need tagasi, lähtudes lepingu projekti ja kavandatud teenuseosutaja sobivuse kontrollist, eelkõige seoses teenuseosutaja sõltumatuse ja tehnilise võimekusega, millele on osutatud direktiivi 2014/40/EL artikli 15 lõikes 8; (8) Komisjoni rakendusmääruse (EL) 2018/574 I lisa B osa punktis 1 on sätestatud, et komisjon määrab põhihoidlate haldajate hulgast, kes on vastavalt A osale heaks kiidetud kuue kuu jooksul pärast delegeeritud määruse (EL) 2018/573 jõustumist, teenuseosutaja, kelle ülesandeks on käitada varuhoidlat („varuhoidla käitaja“) eesmärgiga osutada selle määruse V peatükis määratletud teenuseid, ON KOKKU LEPPINUD JÄRGMISES: Artikkel 1. KOKKULEPPE KOHALDAMISALA 1.1 Käesolevas kokkuleppes määratakse kindlaks komisjoni ja liikmesriikide asjaomaste ülesannete ja vastutuse jaotus ning koostöö praktiline kord andmekaitsega seotud kohustuste täitmiseks vastavalt määrusele (EL) 2018/1725 ja määrusele (EL) 2016/679 , kui nad teevad töötlemise toiminguid ELi tubakatoodete jälgitavussüsteemi raames. 2 1.2 Käesolevas kokkuleppes kasutatakse määruse (EL) 2018/1725 artiklis 3 ja määruse (EL) 2016/679 artiklis 4 sätestatud mõisteid. 1.3 ELi tubakatoodete jälgitavussüsteemi raames toimuvate töötlemise toimingute (edaspidi „töötlemise toimingud“) eesmärgi ja laadi kirjeldus: Isikuandmete töötlemise põhjus ja eesmärk on ELi tuvastamis- ja jälgimissüsteemi käitamine, mis eeldab ettevõtjate süsteemis registreerumist ning toote vedu käsitleva teabe ja Euroopa Liidus tubakatoodetega tehtud tehinguid käsitlevate andmete registreerimist ja edastamist. Kogutud andmed võimaldavad liikmesriikidel ja komisjonil teha direktiivi 2014/40/EL raames tõhusat järelevalvet ja tagada nõuete täitmist, eelkõige võidelda ebaseadusliku tubakakaubanduse vastu. 1.4 Muude kui isikuandmete töötlemine ei kuulu käesoleva kokkuleppe kohaldamisalasse. 1.5 Töötlemise toimingud jagunevad järgmistesse töötlemise toimingute rühmadesse:  1. rühm: isikuandmete töötlemine tubakatoodete tootmise ettevõtjate, rajatiste ja masinate jaoks tunnuskoodide taotlemise raames;  2. rühm: isikuandmete töötlemine toote vedu käsitleva teabe registreerimise ja edastamise raames;  3. rühm: isikuandmete töötlemine tehinguid käsitleva teabe registreerimise ja edastamise raames. Kolme eeltoodud rühma kuuluvad töötlemise toimingud on seotud isikuandmete töötlemise eri etappidega, kuid teenivad sama eesmärki ja hõlmavad sama liiki isikuandmeid. Artikkel 2. VASTUTAVAD TÖÖTLEJAD JA KAASVASTUTAVAD TÖÖTLEJAD 2.1. Käesoleva kokkuleppe kohaldamisel käsitatakse komisjoni ja liikmesriike seoses ELi tubakatoodete jälgitavussüsteemi (eelkõige selle hoidlate süsteemi) raames toimuvate andmetöötluse toimingutega vastavalt määruses (EL) 2018/1725 ja määruses (EL) 2016/679 sätestatud vastutavate töötlejatena. 2.2. Komisjon ja liikmesriigid tegutsevad seoses punktis 1.5 kirjeldatud töötlemise toimingute rühmadega määruse (EL) 2018/1725 artikli 28 ja määruse (EL) 2016/679 artikli 26 kohaste kaasvastutavate töötlejatena, mistõttu edaspidi nimetatakse neid koos kaasvastutavateks töötlejateks. Artikkel 3. VASTUTUS, ÜLESANDED JA SUHE ANDMESUBJEKTIDEGA Kohaldatavate andmekaitsenormide järgimise tagamiseks järgivad mõlemad kokkuleppeosalised andmekaitse üldpõhimõtteid, nagu need on sätestatud vastavalt määruse (EL) 2018/1725 artiklis 4 ja määruse (EL) 2016/679 artiklis 5. 3  3.1 Andmesubjektide teavitamine 1. rühma töötlemise toimingute puhul: liikmesriigid peavad tagama, et tunnuse väljaandja veebisaidil avaldatakse isikuandmete kaitse põhimõtted, mis sisaldavad vajalikku teavet kavandatud töötlemise toimingute kohta, st selgitust, kuidas andmesubjektide isikuandmeid tubakatoodete jälgitavussüsteemis seoses ettevõtjate, rajatiste ja masinate tunnuskoodide väljastamise ja registreerimise, toote vedu käsitleva teabe registreerimise ja edastamise ning tehinguid käsitleva teabe registreerimise ja edastamisega töödeldakse. 2. ja 3. rühma töötlemise toimingute puhul: komisjon peab tagama, et eespool mainitud isikuandmete kaitse põhimõtted avaldatakse põhihoidlate haldajate veebisaidil. Komisjon peab tagama, et samad isikuandmete kaitse põhimõtted avaldatakse komisjoni tubakatoodete tuvastamise ja jälgimise teavet sisaldaval veebisaidil1. 3.2 Andmesubjektide taotluste menetlemine 3.2.1 Andmesubjektid võivad kasutada oma määruse (EL) 2018/1725 ja määruse (EL) 2016/679 kohaseid õigusi iga kokkuleppeosalise suhtes ja vastu, . Kokkuleppeosalised menetlevad andmesubjektide taotlusi käesoleva kokkuleppe punktis 3.2 kirjeldatud menetluse kohaselt. Kokkuleppeosalised teevad koostööd ning annavad taotluse korral üksteisele kiiret ja tõhusat abi andmesubjektide taotluste menetlemisel ja muude selliste küsimuste lahendamisel, mis võivad ohustada andmesubjektide õigusi ja vabadusi. Olenemata andmesubjektide võimalusest esitada taotlus igale kaasvastutavale töötlejale, on komisjon selline kaasvastutav töötleja, kes vastutab kõikide andmesubjektide taotluste menetlemise eest seoses kõikide töötlemise toimingutega. Selle ülesande täimiseks määrab komisjon kõikide andmesubjektide taotluste menetlemiseks ühtse kontaktpunkti. Asjakohane e-posti aadress on esitatud käesoleva kokkuleppe II lisas. Kui liikmesriik peaks saama andmesubjekti taotluse, edastab see liikmesriik taotluse kiiresti ja hiljemalt viie tööpäeva jooksul pärast selle saamist komisjonile. Komisjon saadab järgmise viie tööpäeva jooksul andmesubjektile kokkuleppeosaliste nimel taotluse kättesaamise kinnituse, teavitades sellest samal ajal liikmesriiki, kes taotluse esmalt sai. Komisjon teavitab andmesubjekti põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul pärast taotluse saamist taotluse alusel võetud meetmetest. Seda 1 https://ec.europa.eu/health/tobacco/tracking_tracing_system_en 4  ajavahemikku võib määruse (EL) 2018/1725 artikli 14 lõike 3 ja määruse (EL) 2016/679 artikli 12 lõike 3 kohaselt pikendada. Liikmesriigid abistavad komisjoni andmesubjektide taotluste menetlemisel seoses 1. rühma töötlemise toimingutega. 3.2.2 Andmesubjekti taotlusele vastates ei avalikusta komisjon ühiselt töödeldavaid isikuandmeid ega tee neid muul viisil kättesaadavaks ilma teiste asjaomaste kokkuleppeosalistega eelnevalt konsulteerimata. Igaühel, kelle isikuandmeid kokkuleppeosalised ELi tubakatoodete jälgitavussüsteemi raames töötlevad, on määruse (EL) 2018/1725 III peatüki (artiklid 14–25) ja määruse (EL) 2016/679 III peatüki (artiklid 12–23) kohased andmesubjekti konkreetsed õigused, eelkõige õigus oma isikuandmetega tutvuda, nõuda nende parandamist või kustutamist ning õigus töötlemist piirata või vajaduse korral selle kohta vastuväiteid esitada või õigus andmeid üle kanda. 3.3 Turvaintsidentide, sealhulgas isikuandmetega seotud rikkumiste lahendamine Kokkuleppeosalised menetlevad turvaintsidente, sealhulgas isikuandmetega seotud rikkumisi vastavalt oma sisemenetlustele ja kohaldatavatele õigusaktidele. Eelkõige osutavad kokkuleppeosalised üksteisele kiiret ja tõhusat abi, et hõlbustada ühise töötlemisega seotud turvaintsidentide, sealhulgas isikuandmetega seotud rikkumiste tuvastamist ja menetlemist. Kokkuleppeosalised teavitavad üksteist: 1. kõigist võimalikest või tegelikest ohtudest ühiselt töödeldavate isikuandmete kättesaadavusele, konfidentsiaalsusele ja/või usaldusväärsusele; 2. kõigist ühiste töötlemise toimingutega seotud turvaintsidentidest; 3. kõigist isikuandmetega seotud rikkumistest (nt turvanõuete rikkumine, millega kaasneb ühiselt töödeldavate isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine, loata avalikustamine või nendele loata juurdepääs), isikuandmetega seotud rikkumiste tõenäolistest tagajärgedest ning füüsiliste isikute õigustele ja vabadustele avalduva ohu hindamisest ning kõigist isikuandmetega seotud rikkumiste lahendamiseks ja füüsiliste isikute õigustele ja vabadustele avalduva ohu vähendamiseks võetud meetmetest; 4. kõigist ühiste töötlemise toimingute tehniliste ja/või korralduslike kaitsemeetmete rikkumistest. Kokkuleppeosaline vastutab kõigi turvaintsidentide, sealhulgas isikuandmetega seotud rikkumiste eest, mis on tekkinud tema käesoleva kokkuleppe ning määruse (EL) 2018/1725 või määruse (EL) 2016/679 kohaste kohustuste rikkumise tagajärjel. Kokkuleppeosalised dokumenteerivad turvaintsidendid (sealhulgas isikuandmetega seotud rikkumised) ja teavitavad üksteist põhjendamatu viivituseta ja hiljemalt 72 tunni jooksul (kui see on teostatav) pärast seda, kui nad on turvaintsidendist (sealhulgas isikuandmetega seotud rikkumisest) teada saanud. 5 Isikuandmetega seotud rikkumise eest vastutav kokkuleppeosaline dokumenteerib asjaomase isikuandmetega seotud rikkumise ja teavitab sellest Euroopa Andmekaitseinspektorit või määruse (EL) 2016/679 artikli 4 punktis 21 määratletud pädevat riiklikku järelevalveasutust. Ta teeb seda põhjendamatu viivituseta ja võimaluse korral hiljemalt 72 tunni jooksul pärast isikuandmetega seotud rikkumisest teadasaamist, välja arvatud juhul, kui isikuandmetega seotud rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi. Vastutav kokkuleppeosaline annab sellisest teavitamisest teada teistele kokkuleppeosalistele. Isikuandmetega seotud rikkumise eest vastutav kokkuleppeosaline teavitab sellest isikuandmetega seotud rikkumisest asjaomaseid andmesubjekte, kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu selle füüsilise isiku õigustele ja vabadustele. Vastutav kokkuleppeosaline annab sellisest teavitamisest teada teistele kokkuleppeosalistele. 3.4 Vastutus töötlemise turvalisuse eest Iga kokkuleppeosaline rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada töötlemise turvalisus vastavalt kas määruse (EL) 2018/1725 artikli 33 või määruse (EL) 2016/679 artikli 32 kohaselt. 3.5 Volitatud töötlejad ELi tubakatoodete jälgitavussüsteemi raames toimuvate töötlemise toimingute puhul käsitatakse varuhoidla haldajat ning kordumatute tunnuste loomise ja väljastamise eest vastutavaid üksuseid (edaspidi „tunnuse väljaandjad“) volitatud töötlejatena määruse (EL) 2016/679 ja määruse (EL) 2018/1725 tähenduses. Varuhoidla haldaja peab olema sõlminud isikuandmete töötlemise asjakohaste osade kohta lepingu põhihoidlate haldajatega, keda käsitatakse alamtöötlejatena.  Põhihoidlate haldajad peaksid isikuandmeid töötlema vastavalt varuhoidla haldaja ja põhihoidlate haldajate vahelisele teenuslepingule ja andmetöötluslepingule.  Varuhoidla haldaja peaks isikuandmeid töötlema vastavalt varuhoidla haldaja ja komisjoni vahelisele lepingule. Komisjon, kes on sõlminud varuhoidla haldajaga töötlemislepingu, tagab kaasvastutavate töötlejate nimel, et varuhoidla haldaja tegutseb ainult komisjoni juhtnööride kohaselt ja temaga sõlmitud töötlemislepingu alusel. Varuhoidla haldaja ja komisjoni vahel sõlmitud andmetöötluslepingus osutatud kohustused antakse kirjalikult üle alamtöötlejatena tegutsevatele põhihoidlate haldajatele. Liikmesriigid, kes on sõlminud tunnuse väljaandjatega lepingu või määranud nad õigusaktiga, tagavad kaasvastutavate töötlejate nimel, et tunnuse väljaandjad tegutsevad üksnes liikmesriikide juhtnööride kohaselt ning liikmesriikidega sõlmitud lepingu või asjakohase õigusakti alusel. 6 Varuhoidla haldaja ja põhihoidlate haldajad töötlevad isikuandmeid määruse (EL) 2016/679 nõuete kohaselt ning üksnes direktiivis 2014/40/EL ja komisjoni rakendusmääruses (EL) 2018/574 osutatud eesmärkidel, nagu on kirjeldatud rakendusmääruse artikli 25 lõikes 2. Iga kokkuleppeosaline tagab sellise töötlemise nõuetelevastavuse vastavalt kas määruse (EL) 2018/1725 artikli 29 või määruse (EL) 2016/679 artikli 28 kohaselt. Pärast käesoleva kokkuleppe sõlmimist teavitavad kaasvastutavad töötlejad üksteist mis tahes lisatöötlejast, kelle nad enda nimel isikuandmete töötlemisse kaasavad. Kaasvastutavad töötlejad peaksid seda tegema põhjendamatu viivituseta ja hiljemalt viie tööpäeva jooksul pärast volitatud töötlejaga töötlemislepingu sõlmimist. Kaasvastutavad töötlejad ajakohastavad põhjendamatu viivituseta ja hiljemalt 15 tööpäeva jooksul pärast uue töötlemiskokkuleppe sõlmimist nõuetekohaselt ka käesoleva kokkuleppe III lisa. 3.6 Isikuandmete asukoht Järgmisteks töötlemise toiminguteks kogutud isikuandmete asukoht ja juurdepääs neile: - töötlemise toimingud, mida on kirjeldatud 1. töötlemise toimingute rühmas [ettevõtjate, rajatiste ja masinate tunnuskoodid], 2. töötlemise toimingute rühmas [toote vedu käsitleva teabe registreerimine ja edastamine] ja 3. töötlemise toimingute rühmas [tehinguid käsitleva teabe registreerimine ja edastamine] vastavad järgmistele tingimustele: i. isikuandmeid töötlevad üksnes käesolevas kokkuleppes kindlaksmääratud volitatud töötleja ja alamtöötlejad; ii. isikuandmeid töödeldakse üksnes Euroopa Liidu territooriumil ja neid ei viida sealt välja. Kohaldatavas õigusraamistikus2 on sätestatud, et juurdepääs andmetele (sealhulgas isikuandmetele) on üksnes liikmesriikide pädevatel asutustel, komisjonil ja komisjoni heakskiidetud välisaudiitoritel. Samade õigusnormide3 kohaselt võib komisjon või võivad liikmesriigid nõuetekohaselt põhjendatud juhtudel siiski anda tubakatoodete tootjatele või importijatele juurdepääsu säilitatavatele andmetele. Liikmesriikidel, komisjonil ja välisaudiitoritel on põhihoidlates ja varuhoidlas olevatele andmetele täielik füüsiline ja virtuaalne juurdepääs. Virtuaalset juurdepääsu andmetele hõlbustatakse varuhoidla tasandil graafiliste liidestega. Ühiselt töödeldavatele isikuandmetele on juurdepääs üksnes: a) komisjoni ja liikmesriikide volitatud töötajatel direktiivi 2014/40/EL kohase tõhusa järelevalve tegemiseks ja nõuete täitmise tagamiseks, b) punktis 3.5 osutatud volitatud töötlejate ja alamtöötlejate volitatud töötajatel töötlemise toiminguid hõlbustava IT-süsteemi 2 Direktiivi 2014/40/EL artikli 15 lõike 8 kolmas lõik ja komisjoni rakendusmääruse (EL) 2018/574 artikli 25 lõike 1 punkt k. 3 Direktiivi 2014/40/EL artikli 15 lõike 8 kolmas lõik. 7  käitamiseks. Selle juurdepääsu suhtes kohaldatakse identifitseerimis- ja salasõnanõudeid. 3.7 Kaasvastutavate töötlejate muud kohustused 3.7.1 Komisjon tagab järgmise ja vastutab järgmise eest:  määrab kindlaks töötlemise vahendid, nõuded ja eesmärgid;  peab töötlemise toimingute registrit 2. ja 3. rühma töötlemise toimingute kohta;  tagab, et töödeldavad isikuandmed on piisavad, täpsed, asjakohased ja piirduvad üksnes sellega, mis on eesmärgi saavutamiseks vajalik;  tagab, et andmesubjektidele antakse nende õiguste kohta läbipaistvat teavet;  hõlbustab andmesubjektide õiguste kasutamist;  menetleb andmesubjektide taotlusi;  tagab lõimprivaatsuse ja privaatsuse vaikesätete põhimõtte järgimise;  kasutab üksnes selliseid volitatud töötlejaid, kes vastavad määruse (EL) 2018/1725 nõuetele, ning hoolitseb selle eest, et töötlemine oleks reguleeritud lepingu või õigusaktiga;  selgitab välja isikuandmete edastamise ja üleandmise seaduslikkuse, vajalikkuse ja proportsionaalsuse ning hindab seda;  koostab seoses 2. ja 3. rühma töötlemise toimingutega kõikide isikuandmete vastuvõtjate4 (liikmesriikides) nimekirja ja ajakohastab seda;  tagab, et isikuandmeid töötlema volitatud isikud on võtnud seoses 2. ja 3. rühma töötlemise toimingutega konfidentsiaalsuskohustuse või nende suhtes kohaldatakse asjakohast seadusest tulenevat konfidentsiaalsuskohustust;  teeb oma ülesannete täitmisel taotluse korral koostööd Euroopa Andmekaitseinspektoriga. 3.7.2 Liikmesriigid tagavad järgmise ja vastutavad järgmise eest:  määravad kindlaks töötlemise vahendid, nõuded ja eesmärgid;  peavad töötlemise toimingute registrit 1. rühma töötlemise toimingute kohta;  tagavad, et töödeldavad isikuandmed on piisavad, täpsed, asjakohased ja piirduvad üksnes sellega, mis on eesmärgi saavutamiseks vajalik;  tagavad, et andmesubjektidele antakse nende õiguste kohta läbipaistvat teavet;  hõlbustavad andmesubjektide õiguste kasutamist;  abistavad komisjoni andesubjektide taotluste menetlemisel seoses 1. rühma töötlemise toimingutega;  tagavad lõimprivaatsuse ja privaatsuse vaikesätted;  kasutavad üksnes selliseid volitatud töötlejaid, kes vastavad määruse (EL) 2016/679 nõuetele, ning hoolitsevad selle eest, et töötlemine oleks reguleeritud lepingu või õigusaktiga;  selgitavad välja isikuandmete edastamise ja üleandmise seaduslikkuse, vajalikkuse ja proportsionaalsuse ning hindavad seda;  koostavad seoses 1. rühma töötlemise toimingutega kõikide isikuandmete vastuvõtjate (liikmesriikides) nimekirja ja ajakohastavad seda;  konsulteerivad vajaduse korral eelnevalt riiklike järelevalveasutustega; 4 Isikuandmete vastuvõtjad on määratletud kokkuleppe I lisa 6. osas. 8   tagavad, et isikuandmeid töötlema volitatud isikud on võtnud seoses 1. rühma töötlemise toimingutega konfidentsiaalsuskohustuse või nende suhtes kohaldatakse asjakohast seadusest tulenevat konfidentsiaalsuskohustust;  teevad oma ülesannete täitmisel taotluse korral koostööd riiklike järelevalveasutustega. Artikkel 4. VASTUTUS KOHUSTUSTE TÄITMATA JÄTMISE KORRAL Komisjon vastutab kohustuste täitmata jätmise eest vastavalt määruse (EL) 2018/1725 VIII peatükile. Liikmesriigid vastutavad kohustuste täitmata jätmise eest vastavalt määruse (EL) 2016/679 VIII peatükile. Artikkel 5. Kokkuleppeosaliste koostöö Iga kokkuleppeosaline annab teisele kokkuleppeosalisele taotluse korral kiiret ja tõhusat abi käesoleva kokkuleppe täitmiseks, järgides samal ajal kõiki vastavalt kas määruses (EL) 2018/1725 või määruses (EL) 2016/679 sätestatud kohaldatavaid nõudeid ning muid kohaldatavaid andmekaitsenorme. Artikkel 6. MUUDATUSED 6.1 Kokkuleppeosalised võivad igal ajal vastastikusel kokkuleppel käesolevat kokkulepet muuta või täiendada. Kõik sellised muudatused või täiendused tehakse kirjalikult. Käesoleva kokkuleppe lisasid võib muuta kokkuleppeosaliste vastastikusel kokkuleppel toimingu/töörühma tasandil. 6.2 Kokkuleppeosaline, kes kavatseb käesolevast kokkuleppest taganeda, teavitab sellest teisi kokkuleppeosalisi kirjalikult. Taganemine jõustub 30. päeval pärast seda päeva, mil taganev kokkuleppeosaline teavitas kõiki teisi kokkuleppeosalisi oma kavatsusest käesolevast kokkuleppest taganeda. Artikkel 7. JÕUSTUMINE Käesolev kokkulepe jõustub kuupäeval, mil komisjon ja üks ELi liikmesriik selle allkirjastavad, ja kehtib seni, kuni tubakatoodete jälgitavussüsteem töötab või kuni kokkulepe asendatakse uue kokkuleppega, millega määratakse kindlaks töötlemisega seotud ülesannete jaotus. 9 10  ÜHISE VASTUTUSE KOKKULEPE seoses isikuandmete töötlemisega ELi tubakatoodete jälgitavussüsteemi raames I lisa Kaasvastutavate töötlejate tehtavate töötlemise toimingute üksikasjalik kirjeldus 1. Töötlemise põhjus Kokkuleppeosalised võivad isikuandmeid töödelda ELi tuvastamis- ja jälgimissüsteemi käitamiseks, mis eeldab ettevõtjate süsteemis registreerumist ning toote vedu käsitleva teabe ja Euroopa Liidus tubakatoodetega tehtud tehinguid käsitlevate andmete registreerimist ja edastamist. Kogutud andmed võimaldavad liikmesriikidel ja komisjonil teha ebaseadusliku tubakakaubanduse vastu võitlemise raames tõhusat järelevalvet ja tagada nõuete täitmise. Töötlemise toimingud jagunevad järgmistesse töötlemise toimingute rühmadesse:  1. rühm: isikuandmete töötlemine tubakatoodete tootmise ettevõtjate, rajatiste ja masinate jaoks tunnuskoodide taotlemise raames;  2. rühm: isikuandmete töötlemine toote vedu käsitleva teabe registreerimise ja edastamise raames;  3. rühm: isikuandmete töötlemine tehinguid käsitleva teabe registreerimise ja edastamise raames. Kolme eeltoodud rühma kuuluvad töötlemise toimingud on seotud isikuandmete töötlemise eri etappidega, kuid teenivad sama eesmärki ja hõlmavad sama liiki isikuandmeid. 2. Isikuandmete ühise töötlemise kavandatud eesmärk ja töötlemise õiguslik alus Ühise töötlemise eesmärk: direktiivis 2014/40/EL ja komisjoni rakendusmääruses (EL) 2018/574 osutatud tubakatoodete tarbimise piiramine. Töötlemise õiguslik alus Töötlemise õiguslik alus on liikmesriikide puhul määruse (EL) 2016/679 artikli 6 lõike 1 punkt e ja komisjoni puhul määruse (EL) 2018/1725 artikli 5 lõike 1 punkt a. Töötlemine on seaduslik, sest see on vajalik avalikes huvides olevaks tubakatoodete jälgitavussüsteemi nõuetekohaseks toimimiseks, nimelt direktiivis 2014/40/EL ja komisjoni rakendusmääruses (EL) 2018/574 osutatud tubakatoodete tarbimise piiramiseks. Ebaseaduslikud tooted kahjustavad direktiiviga kooskõlas olevate toodete vaba liikumist ja tubakatoodete tarbimise piiramist käsitlevate õigusaktidega ette nähtud kaitset1. Ebaseaduslike tubakatoodete, sealhulgas ebaseaduslikult ELi imporditavate tubakatoodete 1 Vt ka direktiivi 2014/40/EL põhjendus 29. 1 vastu võitlemiseks on direktiivis sätestatud, et tubakatoodete tarbijapakendid märgistatakse kordumatu identifitseerimistunnusega2 ja nende vedu tuleks registreerida, et oleks võimalik jälgida ja tuvastada nende toodete liikumist kogu liidus ning kontrollida nende vastavust direktiivile ja seda paremini tagada3. Komisjoni rakendusmääruses (EL) 2018/574 on rõhutatud ka seda, et tubakatoodete jälgitavussüsteemi eesmärk on anda liikmesriikidele ja komisjonile tõhus vahend ebaseadusliku tubakakaubanduse vastu võitlemiseks4. 3. Kaasvastutavad töötlejad töötlevad ühiselt järgmistesse kategooriatesse kuuluvate andmesubjektide isikuandmeid 1. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ettevõtjate 5 ja masina tootja isikuandmeid. 2. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ettevõtjate ja selle füüsilise isiku isikuandmeid, kellele kuulub sõiduk, millega tubakatoode konkreetsest rajatisest ära viiakse. 3. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad asjaomases tarneahelas osalevate ettevõtjate ning tubakatoodete ostja ja nende eest maksja isikuandmeid. 4. Kaasvastutavad töötlejad töötlevad ühiselt järgmistesse kategooriatesse kuuluvaid isikuandmeid 1. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ühiselt järgmisi isikuandmeid (tingimusel, et töödeldavat teavet saab seostada tuvastatud või tuvastatava füüsilise isikuga, nt kui ettevõtja on füüsilisest isikust ettevõtja): ettevõtja registrijärgne nimi, ettevõtja aadress, ettevõtja e-posti aadress, ettevõtja käibemaksukohustuslasena registreerimise number, ettevõtja maksukohustuslasena registreerimise number, rajatise aadress (tänav, majanumber, sihtnumber ja linn), masina tootja, EO_ID (ettevõtja tunnuskood), F_ExciseNumber2 (rajatisele isikute/ruumide identifitseerimiseks pädeva asutuse väljastatud aktsiisimaksukohustuslase registreerimisnumber). 2. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ühiselt järgmisi isikuandmeid (tingimusel, et töödeldavat teavet saab seostada tuvastatud või tuvastatava füüsilise isikuga, nt kui ettevõtja on füüsilisest isikust ettevõtja või kui registreerimismärgid kuuluvad eraomanduses olevale sõidukile): EO_ID (ettevõtja tunnuskood), F_ID (rajatise tunnuskood), sihtrajatise täisaadress (tänav, majanumber, sihtnumber, linn), transpordivahendite registreerimismärgid. 3. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ühiselt järgmisi isikuandmeid (tingimusel, et töödeldavat teavet saab seostada tuvastatud või tuvastatava 2 Direktiivi 2014/40/EL artikli 15 lõige 1. 3 Vt ka direktiivi 2014/40/EL põhjendus 29 ning komisjoni rakendusmääruse (EL) 2018/574 põhjendus 1 ja artikkel 32 tubakatoodete liikumist käsitleva teabe registreerimise ja edastamise kohustuse kohta. 4 Komisjoni rakendusmääruse (EL) 2018/574 põhjendus 21. 5 Komisjoni rakendusmääruse (EL) 2018/574 artikli 2 punkti 2 kohaselt on ettevõtja tubakatoodetega kauplemises osalev mis tahes füüsiline või juriidiline isik. 2 füüsilise isikuga, nt kui ettevõtja on füüsilisest isikust ettevõtja või kui ostja või maksja on füüsilisest isikust ettevõtja): EO_ID (ettevõtja tunnuskood), ostja registreeritud juriidiline nimi, ostja aadress, ostja maksukohustuslasena registreerimise number, maksja registreeritud juriidiline nimi, maksja aadress, maksja maksukohustuslasena registreerimise number. 5. Isikuandmete allikad Kaasvastutavad töötlejad saavad isikuandmeid otse andmesubjektidelt ja muudest allikatest, nagu ettevõtjad ja esimeste jaemüügiettevõtete käitajad. 6. Isikuandmete vastuvõtjad või vastuvõtjate kategooriad Isikuandmete edastamine vastuvõtjatele ELis Kokkuleppeosalised edastavad isikuandmeid üksnes järgmistele liidus registreeritud vastuvõtjatele. 1. rühma töötlemise toimingute raames avalikustatakse isikuandmeid järgmistele vastuvõtjatele:  pädevad tunnuse väljaandjad,  varuhoidla haldaja. 2. rühma töötlemise toimingute raames avalikustatakse isikuandmeid järgmistele vastuvõtjatele:  põhihoidlate haldajad,  varuhoidla haldaja. 3. rühma töötlemise toimingute raames avalikustatakse isikuandmeid järgmistele vastuvõtjatele:  põhihoidlate haldajad,  varuhoidla haldaja. Kokkuleppeosalised edastavad isikuandmeid IT-süsteemidesse, mis kuuluvad varuhoidla haldajale, põhihoidlate haldajatele ja pädevatele tunnuse väljaandjatele. Selline edastamine toimub kooskõlas kokkulepitud töötlemise eesmärkidega. 7. Töötlemise kestus 3 1. rühma töötlemise toimingute raames töötlevad pooled isikuandmeid seni, kuni jälgitavussüsteem töötab6. 2. ja 3. rühma töötlemise toimingute puhul kohaldatakse viieaastast säilitamistähtaega. Seda säilitamistähtaega arvestatakse viimasest konkreetse kordumatu tunnusega seotud sündmusest. Kokkuleppeosalised ei säilita ega töötle isikuandmeid kauem, kui on vaja käesolevas kokkuleppes sätestatud kokkulepitud eesmärkide saavutamiseks ja kohustuste täitmiseks. Kui kokkulepe kaotab kehtivuse seetõttu, et tubakatoodete jälgitavussüsteem enam ei tööta, kustutatakse kõik pädevate tunnuse väljaandjate, põhihoidlate ja varuhoidla registris säilitatavad isikuandmed. II lisa Kontaktpunktid  Kontaktpunktid pooltevaheliseks koostööks Iga kokkuleppeosaline määrab ühtse kontaktpunkti, kelle poole teised kokkuleppeosalised saavad pöörduda käesoleva kokkuleppe reguleerimisalasse kuuluvate päringute tegemiseks ning kaebuste ja teabe esitamiseks. Komisjon: Tervise ja toiduohutuse peadirektoraat Vastutav töötleja: B2 üksuse juhataja Aadress: Rue Breydel 4, 1000 Brussels Vastutava töötleja e-posti aadress: [email protected] ELi liikmesriigid: Vastutav töötleja: xxx Aadress: xxx Vastutava töötleja e-posti aadress: xxx  Andmesubjektide kontaktpunkt Kokkuleppeosalised määravad ühtse kontaktpunkti, kelle poole andmesubjektid saavad pöörduda, kui nad soovivad kasutada oma õigusi, mis tulenevad vastavalt kas määrusest (EL) 2018/1725 või määrusest (EL) 2016/679. Komisjon: Vastutava töötleja eriotstarbeline e-posti aadress: [email protected] 6 Vt komisjoni rakendusmääruse (EL) 2018/574 artikli 27 lõige 10 ja artikkel 25 ning komisjoni delegeeritud määruse (EL) 2018/573 artikkel 13. 4  III lisa Kokkuleppeosaliste volitatud töötlejate nimekiri  Kokkuleppeosaliste volitatud töötlejad: varuhoidlat käitav sõltumatu kolmandast isikust teenuseosutaja, kordumatute tunnuste loomiseks ja väljaandmiseks pädevad tunnuse väljaandjad.  Varuhoidlat käitava sõltumatu kolmandast isikust teenuseosutaja (volitatud töötleja) alamtöötlejad: põhihoidlaid käitavad sõltumatud kolmandast isikust teenuseosutajad. 5  IV lisa Andmesubjektidele kättesaadavaks tehtava kokkuleppe tuum  Töötlemise põhjus (I lisa kokkuvõte) Komisjon ja ELi liikmesriigid (edaspidi „kaasvastutavad töötlejad“) võivad isikuandmeid töödelda ELi tuvastamis- ja jälgimissüsteemi käitamiseks, mis eeldab ettevõtjate süsteemis registreerumist ning toote vedu käsitleva teabe ja Euroopa Liidus tubakatoodetega tehtud tehinguid käsitlevate andmete registreerimist ja edastamist. Kogutud andmed võimaldavad liikmesriikidel ja komisjonil teha ebaseadusliku tubakakaubanduse vastu võitlemise raames tõhusat järelevalvet ja tagada nõuete täitmise. Töötlemise toimingud jagunevad järgmistesse töötlemise toimingute rühmadesse: • 1. rühm: isikuandmete töötlemine tubakatoodete tootmise ettevõtjate, rajatiste ja masinate jaoks tunnuskoodide taotlemise raames; • 2. rühm: isikuandmete töötlemine toote vedu käsitleva teabe registreerimise ja edastamise raames; • 3. rühm: isikuandmete töötlemine tehinguid käsitleva teabe registreerimise ja edastamise raames. 1. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ettevõtjate ja masina tootja isikuandmeid. 2. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad ettevõtjate ja selle füüsilise isiku isikuandmeid, kellele kuulub sõiduk, millega tubakatoode konkreetsest rajatisest ära viiakse. 3. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad asjaomases tarneahelas osalevate ettevõtjate ning tubakatoodete ostja ja nende eest maksja isikuandmeid. Kaasvastutavad töötlejad töötlevad ühiselt järgmisi isikuandmeid (tingimusel, et töödeldavat teavet saab seostada tuvastatud või tuvastatava füüsilise isikuga): ettevõtja registrijärgne nimi, ettevõtja aadress, ettevõtja e-posti aadress, ettevõtja käibemaksukohustuslasena registreerimise number, ettevõtja maksukohustuslasena registreerimise number, rajatise aadress (tänav, majanumber, sihtnumber ja linn), masina tootja, transpordivahendite registreerimismärgid, ostja registreeritud juriidiline nimi, ostja aadress, ostja maksukohustuslasena registreerimise number, maksja registreeritud juriidiline nimi, maksja aadress, maksja maksukohustuslasena registreerimise number, EO_ID (ettevõtja tunnuskood), F_Excise Number2 (rajatisele isikute/ruumide identifitseerimiseks pädeva asutuse väljastatud aktsiisimaksukohustuslase registreerimisnumber), F_ID (rajatise tunnuskood), sihtrajatise täisaadress (tänav, majanumber, sihtnumber, linn). 6 Kaasvastutavad töötlejad saavad isikuandmeid otse andmesubjektidelt ja muudest allikatest, nagu ettevõtjad ja esimeste jaemüügiettevõtete käitajad. Kokkuleppeosalised edastavad isikuandmeid järgmistele liidus registreeritud vastuvõtjatele:  pädevad tunnuse väljaandjad,  põhihoidlate haldajad,  varuhoidla haldaja. 1. rühma töötlemise toimingute raames töötlevad kaasvastutavad töötlejad isikuandmeid seni, kuni jälgitavussüsteem töötab. 2. ja 3. rühma töötlemise toimingute raames kohaldatakse viieaastast säilitamistähtaega. Seda säilitamistähtaega arvestatakse viimasest konkreetse kordumatu tunnusega seotud sündmusest. Kokkuleppeosalised ei säilita ega töötle isikuandmeid kauem, kui on vaja käesolevas kokkuleppes sätestatud kokkulepitud eesmärkide saavutamiseks ja kohustuste täitmiseks. Kui kokkulepe kaotab kehtivuse seetõttu, et tubakatoodete jälgitavussüsteem enam ei tööta, kustutatakse kõik pädevate tunnuse väljaandjate, põhihoidlate ja varuhoidla registris säilitatavad isikuandmed.  Kokkuleppeosaliste kohustused ja ülesanded Komisjon tagab järgmise ja vastutab järgmise eest:  määrab kindlaks töötlemise vahendid, nõuded ja eesmärgid;  peab töötlemise toimingute registrit 2. ja 3. rühma töötlemise toimingute kohta;  tagab, et töödeldavad isikuandmed on piisavad, täpsed, asjakohased ja piirduvad üksnes sellega, mis on eesmärgi saavutamiseks vajalik;  tagab, et andmesubjektidele antakse nende õiguste kohta läbipaistvat teavet;  hõlbustab andmesubjektide õiguste kasutamist;  menetleb andmesubjektide taotlusi;  tagab lõimprivaatsuse ja privaatsuse vaikesätete põhimõtte järgimise;  kasutab üksnes selliseid töötlejaid, kes vastavad määruse (EL) 2018/1725 nõuetele, ning hoolitseb selle eest, et töötlemine oleks reguleeritud lepingu või õigusaktiga;  selgitab välja isikuandmete edastamise ja üleandmise seaduslikkuse, vajalikkuse ja proportsionaalsuse ning hindab seda;  koostab seoses 2. ja 3. rühma töötlemise toimingutega kõikide isikuandmete vastuvõtjate (ELi liikmesriikides) nimekirja ja ajakohastab seda;  tagab, et isikuandmeid töötlema volitatud isikud on võtnud seoses 2. ja 3. rühma töötlemise toimingutega konfidentsiaalsuskohustuse või nende suhtes kohaldatakse asjakohast seadusest tulenevat konfidentsiaalsuskohustust;  teeb oma ülesannete täitmisel taotluse korral koostööd Euroopa Andmekaitseinspektoriga. ELi liikmesriigid tagavad järgmise ja vastutavad järgmise eest: 7   määravad kindlaks töötlemise vahendid, nõuded ja eesmärgid;  peavad töötlemise toimingute registrit 1. rühma töötlemise toimingute kohta;  tagavad, et töödeldavad isikuandmed on piisavad, täpsed, asjakohased ja piirduvad üksnes sellega, mis on eesmärgi saavutamiseks vajalik;  tagavad, et andmesubjektidele antakse nende õiguste kohta läbipaistvat teavet;  hõlbustavad andmesubjektide õiguste kasutamist;  abistavad komisjoni andesubjektide taotluste menetlemisel seoses 1. rühma töötlemise toimingutega;  tagavad lõimprivaatsuse ja privaatsuse vaikesätted;  kasutavad üksnes selliseid volitatud töötlejaid, kes vastavad määruse (EL) 2016/679 nõuetele, ning hoolitsevad selle eest, et töötlemine oleks reguleeritud lepingu või õigusaktiga;  selgitavad välja isikuandmete edastamise ja üleandmise seaduslikkuse, vajalikkuse ja proportsionaalsuse ning hindavad seda;  koostavad seoses 1. rühma töötlemise toimingutega kõikide isikuandmete vastuvõtjate (ELi liikmesriikides) nimekirja ja ajakohastavad seda;  konsulteerivad vajaduse korral eelnevalt riiklike järelevalveasutustega;  tagavad, et isikuandmeid töötlema volitatud isikud on võtnud seoses 1. rühma töötlemise toimingutega konfidentsiaalsuskohustuse või nende suhtes kohaldatakse asjakohast seadusest tulenevat konfidentsiaalsuskohustust;  teevad oma ülesannete täitmisel taotluse korral koostööd riiklike järelevalveasutustega.  Andmesubjektide kontaktpunkt Kokkuleppeosalised määravad ühtse kontaktpunkti, kelle poole andmesubjektid saavad pöörduda, kui nad soovivad kasutada oma õigusi, mis tulenevad vastavalt kas määrusest (EL) 2018/1725 või määrusest (EL) 2016/679. Komisjon: Vastutava töötleja eriotstarbeline e-posti aadress: [email protected] 8  Aivo Orav Eesti Vabariigi Alaline Esindus EL juures [email protected] Meie 26.09.2022 nr 1.4-2/3148-1 Rue Guimard 11/13 1040, Brüssel Ühise vastutuse kokkuleppe allkirjastamine seoses isikuandmete töötlemisega ELi tubakatoodete jälgitavussüsteemi raames Lugupeetud Aivo Orav Palun allkirjastada Eesti poolt Ühise vastutuse kokkulepe seoses isikuandmete töötlemisega ELi tubakatoodete jälgitavussüsteemi raames. Kokkulepe on standardleping, mille kirjutavad alla kõik liikmesriigid. Kokkulepe allkirjastatakse paberil ning allkirjastada saab Brüsselis DG SANTE hoones, aadressiga Rue Breydel 4. Isikuandmete töötlemise vajadus võib tekkida Euroopa Liidu tubakatoodete tuvastamis- ja jälgimissüsteemi käitamisel, mis eeldab ettevõtjate süsteemis registreerumist ning toote vedu käsitleva teabe ja Euroopa Liidus tubakatoodetega tehtud tehinguid käsitlevate andmete registreerimist ja edastamist. Kogutud andmed võimaldavad liikmesriikidel ja komisjonil teha ebaseadusliku tubakakaubanduse vastu võitlemise raames tõhusat järelevalvet ja tagada Euroopa Parlamendi ja nõukogu 3. aprilli 2014. aasta direktiivi 2014/40/EL tubaka- ja seonduvate toodete tootmist, esitlemist ja müüki käsitlevate liikmesriikide õigus- ja haldusnormide ühtlustamise kohta nõuete täitmine, eelkõige selle direktiivi artikli 15 lõigete 1 ja 5 täitmine. Lugupidamisega (allkirjastatud digitaalselt) Peep Peterson tervise- ja tööminister Lisad: 1. Joint Controllership Arrangement - Main text (ET) 2. Joint Controllership Arrangement - Annexes (ET) Aive Telling 715 3474 [email protected] Suur-Ameerika 1 / 10122 Tallinn / 626 9301 / [email protected] / www.sm.ee / registrikood 70001952