Andmekaitsega Euroopa poole: tee on pikk.

Õiguslik valve nr 36 – Juuni 2021

Andmekaitsega Euroopa poole: tee on pikkIsikuandmete kaitse üldmäärus tekitas jõustudes palju lootusi selguse ja tõhususe osas.

Kuigi Euroopa direktiiv, mille see asendas, pakkus juba suhteliselt täpse ja siduva õigusraamistiku, oli isikuandmete kaitse üldmääruse eesmärk võimaldada nende põhimõtete ühtlustatud rakendamist olenemata asjaomaste ettevõtete asukohast Euroopa Liidus.

Järelevalveasutused pidid ka ülespoole korrigeeritud kohaldatavaid sanktsioone hindama sidusa analüüsivõrgu abil.

Tegelikult näib olevat palju lõkse, mis seda kauaoodatud ühtlustamist endiselt piiravad.

Saksa volinik Johannes Caspar, kelle ametiaeg Hamburgi liidumaa järelevalveasutuse eesotsas on lõppemas pärast kahtteist aastat, jääb endale kindlaks ja kirjutab juunis alla, mõistes hukka GDPR-i rakendamise puudused.

Põhjuseks on pikad ja keerulised menetlused, enne kui kõik Euroopa Andmekaitsenõukogus (EDPB) kohtuvad asutused suudavad ühisele seisukohale jõuda.

Isikuandmete kaitse üldmäärus on kehtestanud nn ühtse kontaktpunkti menetluse, mis näeb ette juhtiva asutuse, st uurimisega seotud ettevõtte peamise tegevuskoha riigi asutuse pädevuse.

See juhtiv asutus peab siiski menetluse eri etappides tegema koostööd teiste asjaomaste riiklike asutustega.

Praktikas toimub uurimiste tsentraliseerimine Iiri ametiasutuse alla, kellel on pädev juhtida enamikku oma territooriumil asutatud GAFAMi vastu algatatud juhtumeid. Väidetavalt on nimetatud ametiasutusega käimas 28 menetlust ning ametiasutust kritiseeritakse aeglaste ja leebete menetluste pärast selliste suurtehnoloogiaettevõtete nagu Facebook ja Twitter suhtes, mis väidetavalt põhjustab pikki ja keerulisi arutelusid Euroopa Andmekaitseinspektori kolleegidega.

Hamburgi ameti volinik nõuab, et järelevalveasutused annaksid õigeaegselt selgeid ja hoiatavaid signaale, et andmetöötlejad järgiksid nõudeid sarnaselt kõikjal Euroopa Liidus, kus nad asuvad, ja ilma konkurentsi moonutamata.

Tuleb märkida, et komitee ise tuvastas selle probleemi oma 2020. aasta aruandes ning ametiasutuste koostöö parandamine on üks selle prioriteete aastatel 2021–2022.

Lisaksime, et kuigi see on menetluslikult kohmakas, on „ühe kontaktpunkti” süsteemil siiski eelis, et iga Euroopa Liidu kodanik saab esitada kaebuse oma riiklikule järelevalveasutusele, isegi kui andmetöötleja asub teises riigis, kusjuures pädevad asutused vastutavad kaebuse menetlemisel koostöö tegemise eest.

Kui kaebuse esitaja ei ole uurimise tulemusega rahul, võib ta taotleda õiguskaitset ka oma riigis.

Euroopa Kohus tuletas 15. juuni otsuses meelde ka nende asutuste tegutsemisruumi, kes ei ole piiriülese kaebuse menetlemisel juhtivad asutused.

Vaidluse kontekstis Facebooki (asutatud Iirimaal) ja Belgia andmekaitseasutuse vahel leidis kohus seega, et Belgia ametiasutus, kuigi mitte juhtiv ametiasutus, võib teatud Facebooki toime pandud isikuandmete kaitse üldmääruse rikkumisi Belgia kohtutesse kaevata.

Need tingimused piirduvad siiski hädaolukordadega (GDPR artikkel 66) või kohalike juhtumitega (GDPR artikli 56 lõige 2). Seega ei tähenda see otsus ühtse kontaktpunkti lõppu, vaid pigem täpsustab selle kohaldamise erandeid. Seega jääb normiks ametiasutuste koostöö põhimõte.

Ja ka

Prantsusmaa:

30. juunil avaldas CNIL oma tarkvara kolmanda versiooni, mis on loodud privaatsuse mõju analüüside hõlbustamiseks.

See uus versioon juhendab juhte mõjuanalüüsi läbiviimisel ja võimaldab arendada teadmusbaase paralleelselt CNIL-i pakutavatega.

CNIL-i piiratud volitustega komisjon määras ettevõttele 500 000 euro suuruse trahvi. Bricoprivé jaoks

• Uute klientide otsimise meilide saatmine ilma üksikisikute nõusolekuta ja mitmete muude isikuandmete kaitse üldmääruse (GDPR) kohustuste täitmata jätmine:
  • Ettevõtte poolt endale seatud andmete säilitamise tähtaegade mittetäitmine,
  • Teavitamiskohustuste ja andmete kustutamise õiguse mittetäitmine ning
  • Andmeturbe aspektidega seotud tugevate paroolide puudumine.

CNIL märkis ka küpsiste kasutamist ilma kasutaja nõusolekuta.

Euroopa:

4. juunil avaldas Euroopa Komisjon uue versiooni tüüptingimustest, mille eesmärk on hõlbustada rahvusvahelist andmeedastust.

Need klauslid võtavad arvesse Euroopa Kohtu Schrems II otsuse tagajärgi seoses kolmandate riikide ametiasutuste andmetele juurdepääsu riskidega, eelkõige riigi julgeoleku kontekstis.

Samal ajal avaldas Euroopa Andmekaitsenõukogu 18. juunil soovitused, mille eesmärk on suunata andmetöötlejaid selliste andmete pealtkuulamise riskide analüüsimisel ja võimaldada neil võtta täiendavaid kaitsemeetmeid.

Tehisintellekt:

Euroopa Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu on ühiselt avaldanud üleskutse keelustada tehisintellekti kasutamine järgmistel eesmärkidel:

• Biomeetriliste andmete automaatne tuvastamine avalikes kohtades,
• Sotsiaalne hindamine, sh sotsiaalmeedia kaudu, ja
• Tehisintellekti kasutamine inimeste emotsionaalse seisundi tuvastamiseks.

See seisukoht kajastab Euroopa Komisjoni tehisintellekti käsitleva ettepaneku avaldamist 21. aprillil.

Rahvusvaheline andmeedastus:

Euroopa Komisjon avaldas oma soovitused 28. juunil Ühendkuningriiki puudutavad piisavusotsused.

Üks puudutab isikuandmete kaitse üldmääruse (GDPR) nõudeid ja teine Euroopa direktiivi politseitöötlemise kohta.

Uus element on see, et komisjon lisab "aegumisklausel" mis piirab otsuste kehtivusaega nelja aastani.

Otsuseid võidakse uuendada, kui Ühendkuningriigi kaitsetase vastab endiselt Euroopa nõuetele.

Murettekitavate valdkondade hulka kuuluvad Suurbritannia plaanid sõlmida uusi kaubandus- ja andmevava liikumise lepinguid tärkavate majandustega.

Belgia on Euroopa Komisjoni sihikul ning komisjon on algatanud isikuandmete kaitse üldmääruse rikkumismenetluse seoses oma andmekaitseasutuse sõltumatusega.

Põhjuseks on mitmete selle liikmete kuulumine valitsusasutustesse.

Rahvusvaheline:

Rohkem kui 55 tarbijakaitse-, kodanikuvabaduste ja valitsusvälise organisatsiooni rahvusvaheline koalitsioon kutsub üles üksikisikute jälgimisel ja profiilide loomisel põhineva reklaami keeld.

Selle seisukoha põhjuseks oli Norra Tarbijanõukogu aruanne, mis paljastas kaubandusasjades jälitustegevuse tagajärjed ühiskonnale.

16. juunil algatas Euroopa Komisjon menetluse, mille eesmärk on tunnustada andmekaitse piisavus Lõuna-Koreas.

Hiina võimud teatasid 10. juunil andmeturbe seaduse vastuvõtmisest. mille eesmärk on ka kaitsta nende isikute õigusi ja huve, kelle andmeid töödeldakse.

Anne Christine Lacoste

Olivier Weber Avocati partner Anne Christine Lacoste on andmeõigusele spetsialiseerunud jurist; ta oli Euroopa Andmekaitseinspektori rahvusvaheliste suhete juht ja tegeles GDPR-i rakendamisega Euroopa Liidus.