Stenbocki maja / Rahukohtu 3 / 15161 Tallinn / Estonia / registrikood 70004809 +372 693 5555 / [email protected] / www.riigikantselei.ee

Riigikogu juhatus   Meie: 10.09.2026 nr 2-5/26-01451-3

       Eesti seisukohad ELi andmekaitsemääruse  (EL) 2018/1725 muutmise kohta, mis  käsitleb füüsiliste isikute kaitset  isikuandmete töötlemisel liidu  institutsioonides, organites ja asutustes  ning isikuandmete vaba liikumist          Austatud Riigikogu juhatus      Edastan Vabariigi Valitsuse  10.  septembri  2026.  a  istungil  heaks  kiidetud  järgmised  Eesti  seisukohad  Euroopa  Parlamendi  ja  nõukogu  määruse,  millega  muudetakse  Euroopa  Parlamendi  ja  nõukogu  määrust  (EL)  2018/1725,  mis  käsitleb  füüsiliste  isikute  kaitset  isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba  liikumist, eelnõu kohta:   1.1. Eesti toetab Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonna asutustele ühtsete  andmekaitsereeglite  kehtestamist  ning  Euroopa  Liidu  andmekaitsemääruse  (EL  2018/1725)  kohaldamisala  laiendamist  Euroopa  Prokuratuurile  (EPPO).  Euroopa  Liidu  õiguskaitse-  ja  kriminaalõiguse  valdkonna  asutuste  ja  organite  andmekaitsekord  peab  olema  üldjuhul  reguleeritud  Euroopa  Liidu  andmekaitsemäärusega,  kuid  võimalusega  kehtestada  nende  asutuste ja organite asutamismäärustes tegevuse eripärast tulenevaid vajalikke erinorme.   1.2.  Eesti  toetab  Euroopa  Andmekaitseinspektori  trahvimisõiguse  laiendamist,  et  ta  saaks  õiguse  määrata  haldustrahve  ka  liidu  organites  ja  asutustes  kasutatavate  isikuandmete  (operational  data)  töötlemise  rikkumise  eest.  See  aitab  ühtlustada  Euroopa  Liidu  andmekaitsemääruse  kohaldamist,  tugevdab  järelevalvet  ja  tagab,  et  sarnastele  rikkumistele  järgnevad võrreldavad tagajärjed.   1.3.  Eesti  toetab  Euroopa  Liidu  õiguskaitse-  ja  kriminaalõiguse  valdkonna  asutuste  rahvusvahelise  andmeedastuse  regulatsiooni  ümberkujundamist,  et  viia  see  kooskõlla  õiguskaitseasutuste andmekaitsedirektiiviga (EL 2016/680) ning tagada ühtsed reeglid kõigile  asjaomastele  Euroopa  Liidu  asutustele.  Eesti  leiab,  et  erandid  andmeedastuse  üldreeglist  peavad  olema  piiritletud  ja  kontrollitavad.  Eesti  peab  asjakohaseks  anda  Euroopa  Liidu  õiguskaitse- ja kriminaalõiguse valdkonna asutustele õigus edastada andmeid Schengeni alaga  assotsieerunud riikidele.  

1.4.  Eesti  peab  oluliseks,  et  eelnõus  kavandatud  andmetele  juurdepääsu  õigust  ning 

.

2 (2)

1.4.  Eesti  peab  oluliseks,  et  eelnõus  kavandatud  andmetele  juurdepääsu  õigust  ning  isikuandmetega seotud rikkumistest teavitamise tähtaegu ja künnist puudutavad muudatused ei  nõrgenda  põhjendamatult  andmesubjektide  õiguste  kaitse  taset  ning  on  kooskõlas  Euroopa  Liidu digivaldkonna koondpaketi vastavate muudatustega.     Lugupidamisega     (allkirjastatud digitaalselt) Heili Tõnisson Valitsuse nõunik     Lisad:  1. Seletuskiri 2. Kaasamistabel  3. Eelnõu COM(2026) 314      Teadmiseks:  Riigikogu Euroopa Liidu asjade komisjon   Sandra Metste [email protected]

ET ET

EUROOPA KOMISJON

Brüssel, 23.6.2026 COM(2026) 314 final

2026/0173 (COD)

Ettepanek:

EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS

millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis

käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides,

organites ja asutustes ning isikuandmete vaba liikumist

ET 1 ET

SELETUSKIRI

1. ETTEPANEKU TAUST

• Ettepaneku põhjused ja eesmärgid

Määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel ELi

institutsioonides, organites ja asutustes (edaspidi „ELi isikuandmete kaitse määrus“), töötati

välja selleks, et kehtestada sidus ja ajakohastatud andmekaitsekord kõigi ELi institutsioonide,

organite ja asutuste jaoks. Määruse (EL) 2018/1725 IX peatükk oli mõeldud spetsiaalselt

reguleerima kasutatavate isikuandmete (need on isikuandmed, mida töödeldakse ELi

toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse jäävate

tegevuste jaoks) töötlemist justiits- ja siseküsimustega tegelevates ELi asutustes ja organites,

sealhulgas Europolis, Eurojustis, Euroopa Prokuratuuris ja piiratud ulatuses Frontexis.

ELi isikuandmete kaitse määruse vastuvõtmisest hoolimata on justiits- ja siseküsimustega

tegelevate ELi asutuste ja organite suhtes kohaldatav andmekaitseraamistik endiselt

killustatud. Eelkõige ei kohaldata IX peatükki Euroopa Prokuratuuri suhtes, mille

asutamismäärus võeti vastu enne ELi isikuandmete kaitse määrust. Seetõttu lahknevad

Euroopa Prokuratuuri määruse mõned sätted sisult või sõnastuselt ELi isikuandmete kaitse

määruse IX peatüki vastavatest sätetest. Lisaks on ELi isikuandmete kaitse määruses

sätestatud, et kasutatavate isikuandmete töötlemise suhtes kohaldatakse üksnes artiklit 3

(mõisted) ja IX peatükki. See on ühelt poolt viinud selleni, et vastavate organite või asutuste

asutamisaktidesse on jäetud alles sätted, millega reguleeritakse kasutatavate isikuandmete

töötlemise teatavaid aspekte. Teiselt poolt on see tekitanud õiguskindlusetust küsimuses, kas

ja mil määral kohaldatakse II–VIII peatüki sätteid – näiteks töötlemistoimingute

registreerimist või andmekaitseametniku ülesandeid käsitlevaid sätteid – olukordades, kus

IX peatükis ega asjaomaste organite või asutuste asutamisaktides vastavaid sätteid ei ole.

Selline killustatus mitte ainult ei vähenda õiguskindlust, vaid tekitab ka praktilisi takistusi ELi

organite ja asutuste tulemuslikule koostööle andmete jagamisel. Komisjon tunnistas neid

puudusi ja kaalus nende kõrvaldamist seadusandlike vahenditega 2022. aastal oma esimeses

aruandes ELi isikuandmete kaitse määruse kohaldamise kohta.

Sellest tulenevalt on käesoleva ettepaneku eesmärk kohaldatavat andmekaitseraamistikku

lihtsustada ja tagada selle järjepidevus, eelkõige ühtlustades asjakohaseid norme ELi organite

ja asutuste lõikes. Selline ühtlustamine peaks leevendama halduskoormust ja hõlbustama

asutuste andmevahetust, suurendades samal ajal õiguskindlust. Järjepidevuse huvides ja

kooskõlas üldise eesmärgiga minimeerida andmekaitsenormide killustatust on käesoleval

ettepanekul neli peamist eesmärki.

Andmekaitsenormide järjepidev kohaldamine kõigi ELi institutsioonide, organite ja

asutuste suhtes

IX peatüki kohaldamisala tuleb laiendada, et tagada selle järjepidev kohaldamine kõigi

kriminaalõiguse ja õiguskaitse valdkonnas tegutsevate ELi asutuste ja organite suhtes. Sel teel

kaasatakse Euroopa Prokuratuur ELi isikuandmete kaitse määruse raamistikku. Seda tehes ei

piirata võimalust säilitada Euroopa Prokuratuuri määruses andmekaitse erinormid, mis on

vajalikud tulenevalt Euroopa Prokuratuuri kui liidu sõltumatu prokuratuuri eripärast.

IX peatüki normid on juba kooskõlas õiguskaitsedirektiivi (EL) 2016/680 vastavate

normidega ning tulemuseks on kõigi mõjutatud asutuste jaoks ühtne ja ühtlustatud normistik,

mis vähendab killustatust ja tagab kohaldatavate normide järjepidevuse.

Õiguskindluse suurendamine

ET 2 ET

IX peatükis puuduvad praegu sätted mitme olulise aspekti kohta, mille hulgas on

andmekaitseametnike ülesanded, töötlemistoimingute registreerimine, järelevalveasutuste

koostöö ja kasutatavate isikuandmete rahvusvaheline edastamine. Ettepaneku eesmärk on

koondada normid ühte kohta ja ühtlustada sellega nõuete täitmist, ilma et see avaldaks

märkimisväärset mõju tegevusele. Samuti tagatakse ettepanekuga suurem selgus vastutavatele

töötlejatele, volitatud töötlejatele ja andmesubjektidele.

Euroopa Andmekaitseinspektori volituste ühtlustamine

Euroopa Andmekaitseinspektori järelevalvevolitused on praegu reguleeritud Europoli,

Eurojusti ja Euroopa Prokuratuuri asutamisaktidega; need kõik sisaldavad lahknevaid sätteid,

mis põhjustab ebakindlust ja ebatõhusust. Frontexi asutamisaktiga ei ole reguleeritud Euroopa

Andmekaitseinspektori järelevalvet kasutatavate isikuandmete töötlemise üle, mis tingib

märkimisväärse ebaühtluse.

Ettepaneku eesmärk on täpsustada, et Euroopa Andmekaitseinspektoril on

järelevalvevolitused, mis on kooskõlas ELi isikuandmete kaitse määruse artiklis 58 sätestatud

volitustega, kuid mida on kohandatud kasutatavate isikuandmete töötlemise kontekstile,

eelkõige Euroopa Prokuratuuri puhul seoses uurimise ja süüdistuste esitamisega. Selles suhtes

järgitakse ettepanekus 2022. aasta Europoli reformiga Euroopa Andmekaitseinspektorile

antud volituste eeskuju, tagades samal ajal kooskõla ELi isikuandmete kaitse määruse

VI peatüki ja õiguskaitsedirektiiviga. Ettepanekuga kaotatakse asutamisaktidest

asutusepõhised sätted Euroopa Andmekaitseinspektori ülesannete ja volituste kohta.

Üldine ühtlustamine

Ettepaneku viimane eesmärk on sätete ühtlustamine, et kõrvaldada liiasused, dubleerimine ja

vastuolud andmekaitsenormides, mida kohaldatakse justiits- ja siseküsimustega tegelevate

liidu organite ja asutuste suhtes tegevuste puhul, mis kuuluvad ELi toimimise lepingu

kolmanda osa V jaotise 4. ja 5. peatüki kohaldamisalasse. Samuti viiakse kasutatavate

isikuandmete töötlemist käsitlevad sätted asjakohasel juhul kooskõlla digivaldkonna

koondettepanekuga1.

• Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega

Ettepaneku eesmärk on viia ELi isikuandmete kaitse määruse sätted kooskõlla kehtiva

andmekaitsepoliitikaga, tugevdades isikuandmete kaitse üldmääruses ja õiguskaitsedirektiivis

sätestatud põhimõtteid. Asjakohasel juhul tagatakse ettepanekus kooskõla digivaldkonna

koondpaketis kavandatud andmekaitseraamistiku muudatustega.

• Kooskõla muude liidu tegevuspõhimõtetega

Ettepanek on osa kriminaalõiguse alaste algatuste paketist, millega taotletakse ühtset ja

terviklikku eesmärki: suurendada liidu suutlikkust üha keerukamas julgeolekukeskkonnas

raskeid piiriüleseid kuritegusid ära hoida, avastada ja uurida ning nende toimepanijaid

vastutusele võtta. Paketiga püütakse õiguskaitse-, kohtu- ja muude asjaomaste asutuste

koostööd reguleerivate õigusraamistike ajakohastamise teel suurendada liidu

sisejulgeolekustruktuuri tulemuslikkust, sidusust ja koostalitlusvõimet.

Selle püüdluse keskmes on Europoli ja Eurojusti määruste kavandatav läbivaatamine. Europol

ja Eurojust täidavad vabadusel, turvalisusel ja õigusel rajaneval alal eraldiseisvaid, kuid

1 Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, millega muudetakse määrusi

(EL) 2016/679, (EL) 2018/1724, (EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ,

(EL) 2022/2555 ja (EL) 2022/2557 seoses digivaldkonna õigusraamistiku lihtsustamisega ning

tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL) 2019/1150, (EL) 2022/868 ja direktiiv

(EL) 2019/1024 (digivaldkonna koondpakett), 19.11.2025, COM(2025) 837 final.

ET 3 ET

üksteist täiendavaid ülesandeid: Europol toetab kuritegevuse ärahoidmist, avastamist ja

uurimist, Eurojust aga hõlbustab õigusalast koostööd ning tagab tulemuslikud järelmeetmed

süüdistuste esitamise ja kohtumenetluste näol. Paketi eesmärk on seetõttu tugevdada koostööd

ja vastastikust täiendavust nende kahe ameti vahel ning nende ja muude liidus justiits- ja

siseküsimustega ning pettuste tõkestamisega tegelevate asutuste vahel, et tagada

õiguskaitsemeetmete ja kohtulike järelmeetmete sujuv järjepidevus kriminaalasjades

õigusemõistmise protsessi kõigis etappides.

Euroopa uurimismääruse raamistiku muudatused ja käesolev ettepanek aitavad selle eesmärgi

saavutamisele veelgi kaasa sellega, et hõlbustavad tulemuslikku piiriülest koostööd,

parandavad teabevahetuse tingimusi ning tagavad sidusa õigusraamistiku, mis on kooskõlas

tegelike tegevuste ja tehnoloogia arenguga. Kokkuvõttes suurendavad paketis kavandatud

meetmed liidu suutlikkust reageerida muutuvatele julgeolekuohtudele ning on samal ajal

täielikult kooskõlas põhiõiguste, õigusriigi põhimõtte ja asjaomaste asutuste ülesannete

jaotusega.

Eelkõige määratakse käesolevas ettepanekus kindlaks kõik Europoli ja Eurojusti suhtes

kohaldatavate andmekaitsenormide ühised punktid ning koondatakse need ELi isikuandmete

kaitse määrusesse, kõrvaldades sellega killustatuse ja dubleerimise. See võimaldab jätta

õiguskaitse ja kriminaalõiguse valdkonnas tegutsevate liidu organite ja asutuste

asutamisaktidesse ainult neile kohandatud andmekaitsenormid, mis on välja töötatud vastavalt

igaühe tegevuse eripärast tulenevatele vajadustele.

Ettepanek võetakse vastu samal ajal Europoli ja Eurojusti määruste muudatustega, tagades

vastavate õigusraamistike järjepidevuse ja kooskõla. Samuti arvestatakse selles Euroopa

Prokuratuuri asutamisakti (määrus (EL) 2017/19392) eelseisva läbivaatamisega, võttes arvesse

selle tulevasi muudatusi ning piiramata võimalike poliitikavariantide hindamist Euroopa

Prokuratuuri määruse läbivaatamisel. Selline koordineeritud lähenemisviis aitab luua

tervikliku ja järjepideva raamistiku kasutatavate isikuandmete töötlemiseks liidu organites ja

asutustes.

2. ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS

• Õiguslik alus

Füüsiliste isikute kaitse nende isikuandmete töötlemisel on Euroopa Liidu põhiõiguste harta

artikli 8 lõikes 1 sätestatud põhiõigus.

Käesolev ettepanek põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis on

andmekaitsenormide vastuvõtmise õiguslik alus. Nimetatud artikkel võimaldab võtta vastu

õigusnorme füüsiliste isikute kaitse kohta seoses isikuandmete töötlemisega liidu

institutsioonides, organites ja asutustes liidu õiguse reguleerimisalasse kuuluva tegevuse

puhul. Samuti võimaldab see vastu võtta õigusnorme isikuandmete, sealhulgas kõnealustes

institutsioonides, organites ja asutustes töödeldavate isikuandmete vaba liikumise kohta.

• Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul)

Ei kohaldata.

• Proportsionaalsus

Ei kohaldata.

2 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd

Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1– 71, ELI:

http://data.europa.eu/eli/reg/2017/1939/oj).

ET 4 ET

• Vahendi valik

Ei kohaldata.

3. JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU

HINDAMISE TULEMUSED

• Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll

Komisjoni esimeses, 2022. aasta aruandes ELi isikuandmete kaitse määruse kohaldamise

kohta jõuti järeldusele, et üldiselt toimib ELi isikuandmete kaitse määrus hästi ja täidab oma

otstarvet. Samal ajal tehti selles kindlaks vajadus seadusandliku sekkumise järele, et

minimeerida nende õigusnormide killustatust, mida kohaldatakse ELi institutsioonide ja

asutuste suhtes, kes töötlevad kasutatavaid isikuandmeid tegevuses, mis jääb politseikoostöö

ja kriminaalasjades tehtava õigusalase koostöö kohaldamisalasse (ELi isikuandmete kaitse

määruse IX peatükk ehk nn õiguskaitset käsitlev peatükk).

• Konsulteerimine sidusrühmadega

Sihtotstarbelistesse konsultatsioonidesse sidusrühmadega olid kaasatud kõik asutused, kelle

suhtes kohaldatakse praegu või tulevikus ELi isikuandmete kaitse määruse IX peatükki (st

Europol, Eurojust, Euroopa Prokuratuur, Frontex), ning Euroopa Andmekaitseinspektor, kes

teeb nõuete järgimise üle järelevalvet.

• Eksperdiarvamuste kogumine ja kasutamine

Ei kohaldata.

• Mõjuhinnang

Mõjuhinnangut ei peeta käesoleva algatuse puhul asjakohaseks, kuna selle kohaldamisala on

piiratud ja kavandatud muudatused on suures osas tehnilist laadi. Ettepanek puudutab ELi

isikuandmete kaitse määruse konkreetseid sätteid ning sellega ei muudeta üldist raamistikku,

vaid see mõjutab ainult väikest rühma ELi asutusi, kes tegutsevad kriminaalasjades tehtava

õigusalase koostöö ja politseikoostöö valdkonnas. Muudatuste eesmärk on tagada ühtlustatum

kord, need ei hõlma uusi poliitikavariante ning neil on eeldatavasti minimaalne ja

kvantitatiivselt ebaoluline mõju põhiõigustele ning puudub majanduslik, sotsiaalne ja

keskkonnamõju. Lisaks tehakse asjaomaste asutuste suhtes juba eraldi hindamisi ja

mõjuhinnanguid, sealhulgas seoses nende suhtes kohaldatavate andmekaitsenormidega. ELi

isikuandmete kaitse määruse kohane eraldi hindamine dubleeriks seda tegevust. Ettepanek on

kooskõlas kohustusega, mille komisjon võttis 2022. aastal oma esimeses aruandes ELi

isikuandmete kaitse määruse kohaldamise kohta, ning 2027. aastal on kavas ELi isikuandmete

kaitse määrust täiendavalt hinnata. Subsidiaarsusega seotud küsimusi ei teki, kuna ELi

isikuandmete kaitse määrust kohaldatakse üksnes ELi asutuste suhtes, mida liikmesriigid ei

saa reguleerida.

• Õigusnormide toimivus ja lihtsustamine

Ettepanekuga ühtlustatakse ja lihtsustatakse kriminaalõiguskaitse ja kriminaalõiguse

valdkonnas tegutsevate liidu asutuste ja organite suhtes kohaldatavaid andmekaitsenorme.

Kehtivate normide ühtlustamisega suurendatakse õigusselgust ja järjepidevust kogu

institutsioonilises raamistikus, hõlbustades seeläbi normide kohaldamist ja vähendades

halduskeerukust. Kuigi ettepaneku positiivne mõju ei ole hõlpsasti mõõdetav, peaks see

vähendama nõuete täitmisega seotud kulusid ja halduskoormust, mis tulenevad lahknevates

või kattuvates nõuetes orienteerumisest. Ettepanekuga toetatakse ka võimaliku

ET 5 ET

asutustevahelise teabevahetusmehhanismi väljatöötamist, mida on kaalutud pettustevastase

võitluse struktuuri läbivaatamise kontekstis.

• Põhiõigused

Kuna muudatused on sihipärased, tagab see andmekaitse praeguse taseme säilimise,

parandades samal ajal kohaldatavate normide järjepidevust ja ühtlustatust.

4. MÕJU EELARVELE

Ei kohaldata.

5. MUU TEAVE

• Rakenduskavad ning järelevalve, hindamise ja aruandluse kord

Ei kohaldata.

• Ettepaneku sätete üksikasjalik selgitus

Artiklis 1 esitatakse määruse (EL) 2018/1725 (mis käsitleb füüsiliste isikute kaitset

isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes) muudatused.

Lõikega 1 asendatakse artikli 2 lõige 2 ning laiendatakse määruse (EL) 2018/1725 artiklite 43,

44 ja 45 ning VII ja VIII peatüki kohaldamisala kasutatavate isikuandmete töötlemisele liidu

organites ja asutustes, ilma et see piiraks liidu organite ja asutuste suhtes andmekaitse

erieeskirjade kohaldamist. Samuti jäetakse sellega välja artikli 2 lõige 3, laiendades sellega

ELi isikuandmete kaitse määruse kohaldamisala Euroopa Prokuratuurile, piiramata sealjuures

võimalust säilitada Euroopa Prokuratuuri määruses andmekaitse erinormid, mis võtavad

arvesse Euroopa Prokuratuuri eripära liidu sõltumatu uurimisasutuse ja prokuratuurina.

Lõikega 2 nähakse ette tehnilised kohandused andmekaitseametniku ülesandeid käsitleva

artikli 45 sõnastuses ning tagatakse, et need ülesanded hõlmavad ka kasutatavate

isikuandmete töötlemist.

Lõikega 3 tagatakse, et määruse (EL) 2018/1725 artiklist 66 tulenev Euroopa

Andmekaitseinspektori õigus määrata haldustrahve laieneb kasutatavate isikuandmete

töötlemisele liidu organites ja asutustes.

Lõikega 4 jäetakse välja määruse (EL) 2018/1725 artikkel 70, mis ei ole enam vajalik, sest

kasutatavate isikuandmete töötlemise suhtes kohaldatavad sätted on määratletud artikli 2

lõikes 2.

Lõikega 5 muudetakse määruse (EL) 2018/1725 artiklit 77, et tagada kooskõla digivaldkonna

koondettepanekuga ja suurendada õiguskindlust, täpsustades, et otsused, mis põhinevad

üksnes kasutatavate isikuandmete automatiseeritud töötlusel, on lubatud, kui on täidetud

eritingimused.

Lõikega 6 muudetakse määruse (EL) 2018/1725 artiklit 78, et tagada kooskõla digivaldkonna

koondettepanekuga, täpsustades kuritarvituslike taotluste mõistet isikuandmetega tutvumise

õiguse kontekstis. Eelkõige täpsustatakse selles, et taotlust võib pidada selgelt

põhjendamatuks, kui andmesubjekt tugineb andmetega tutvumise õigusele muul eesmärgil kui

oma andmete kaitseks. Sellistel juhtudel võib vastutav töötleja keelduda taotluse

rahuldamisest, kuid on endiselt kohustatud tõendama, et taotlus on selgelt põhjendamatu või

ülemäärane.

Lõikega 7 lisatakse määrusesse (EL) 2018/1725 uus artikkel 87a kasutatavate isikuandmete

töötlemise dokumenteerimise kohta kooskõlas õiguskaitsedirektiivi normidega.

ET 6 ET

Lõigetega 8 ja 9 lisatakse täiendavad kaitsemeetmed määruse (EL) 2018/1725 artiklisse 88,

mis käsitleb logimist.

Lõikega 10 muudetakse määruse (EL) 2018/1725 artikli 92 lõiget 1, et tagada kooskõla

digivaldkonna koondettepanekuga, pikendades tähtaega, mille jooksul tuleb isikuandmetega

seotud rikkumisest teatada Euroopa Andmekaitseinspektorile, 72 tunnilt 96 tunnile. Samuti

tõstetakse sellega rikkumisest teatamise künnist, nähes ette, et teatamine on nõutav üksnes

juhul, kui isikuandmetega seotud rikkumine võib tõenäoliselt kaasa tuua suure ohu füüsiliste

isikute õigustele ja vabadustele.

Lõigetega 11 ja 12 ühtlustatakse õigusraamistikku, millega reguleeritakse kasutatavate

isikuandmete edastamist kolmandatele riikidele ja rahvusvahelistele organisatsioonidele, viies

selle kooskõlla direktiivis (EL) 2016/680 sätestatud raamistikuga. Muudatustega nähakse ette

ühtsed normid, mida kohaldatakse kriminaalõiguskaitse ja kriminaalõiguse valdkonnas

tegutsevate liidu organite ja asutuste suhtes, võttes samal ajal arvesse nende konkreetset

tegevust ja õiguslikku konteksti, sealhulgas koostöölepinguid. Muudatustega sätestatakse, et

andmete edastamine riikidele, kelle suhtes on tehtud kaitse piisavuse otsus, on lubatud ilma

täiendava loata; kaitse piisavuse otsuse puudumise korral on edastamine lubatud, kui

õiguslikult siduva aktiga või vastutava töötleja hinnangu kohaselt on kehtestatud asjakohased

kaitsemeetmed; kindlates olukordades, kus puuduvad nii kaitse piisavuse otsus kui ka

kaitsemeetmed, kohaldatakse teatavaid erandeid. Samuti võimaldatakse muudatustega

teatavatel juhtudel edastada kasutatavaid isikuandmeid kolmandas riigis asuvale vastuvõtjale,

kes ei ole pädev asutus, juhul kui muudetud sätetes loetletud tingimused on täidetud,

sealhulgas juhul kui kolmanda riigi pädeva asutuse poole pöördumine ei pruugi olla mõjus või

asjakohane ning tingimusel et edastamine on rangelt vajalik vastutava töötleja ülesannete

täitmiseks.

Lõikega 13 antakse Euroopa Andmekaitseinspektorile seoses kasutatavate isikuandmetega

ühetaolised volitused kõigi kriminaalõiguskaitse ja kriminaalõiguse valdkonnas tegutsevate

liidu organite ja asutuste suhtes, lähtudes Euroopa Andmekaitseinspektori volitustest Europoli

suhtes, mis kehtivad alates 2022. aastast.

Artiklis 2 selgitatakse uute sätete jõustumist.

ET 7 ET

2026/0173 (COD)

Ettepanek:

EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS

millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis

käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides,

organites ja asutustes ning isikuandmete vaba liikumist

EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 16 lõiget 2,

võttes arvesse Euroopa Komisjoni ettepanekut,

olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele,

toimides seadusandliku tavamenetluse kohaselt

ning arvestades järgmist:

(1) Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu

põhiõiguste harta artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu artikli 16

lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. See õigus on

tagatud ka Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8.

(2) Euroopa Parlamendi ja nõukogu määrusega (EL) 2018/17251 on sätestatud

õigusraamistik, mida kohaldatakse liidu institutsioonides, organites ja asutustes

isikuandmete töötlemise suhtes. Andmekaitsenormid, mis reguleerivad kasutatavate

isikuandmete töötlemist liidu organite ja asutuste poolt tegevustes, mis jäävad ELi

toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse, on aga

endiselt killustatud määruse (EL) 2018/1725 IX peatüki ja muude liidu õigusaktide

vahel. Kõnealuse määruse artikli 98 kohaselt peab komisjon kasutatavate isikuandmete

töötlemise suhtes kohaldatavad normid läbi vaatama, et teha kindlaks võimalikud

vastuolud, lüngad ja lahknevused. Samuti on selles sätestatud, et asjakohasel juhul

kõrvaldab komisjon kindlaks tehtud puudused seadusandliku ettepanekuga, eelkõige

IX peatüki kohaldamisala laiendamiseks nõukogu määrusega (EL) 2017/19392

asutatud Euroopa Prokuratuurile, kui see on asjakohane, ja IX peatükis vajalike

kohanduste tegemiseks. Oma esimeses aruandes määruse (EL) 2018/1725

kohaldamise kohta kinnitas komisjon määruse üldist tulemuslikkust isikuandmete

kaitse kõrge taseme tagamisel, kuid juhtis ühtlasi tähelepanu mitmele vastuolule ja

lahknevusele ning õiguslikule killustatusele, mis tulenevad määruse (EL) 2018/1725

IX peatüki ja määruse muude sätete koostoimest, ning sellele, et Euroopa Prokuratuuri

jaoks kehtib eraldi andmekaitsekord.

1 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb

füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning

isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus

nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). 2 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd

Euroopa Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk 1, ELI:

http://data.europa.eu/eli/reg/2017/1939/oj).

ET 8 ET

(3) Praegu kohaldatakse kasutatavate isikuandmete töötlemise suhtes ainult määruse

(EL) 2018/1725 artiklit 3 ja IX peatükki koos andmekaitse erinormidega, mis on

sätestatud Euroopa Liidu Õiguskaitsekoostöö Ameti (Europol) ja Euroopa Liidu

Kriminaalõigusalase Koostöö Ameti (Eurojust) asutamisaktides. Samal ajal on

Euroopa Prokuratuuril oma eraldiseisev andmekaitsekord, mis on sätestatud Euroopa

Prokuratuuri asutamisaktis. Seepärast tuleks määrust (EL) 2018/1725 muuta, et

laiendada selle IX peatüki kohaldamisala kõigile õiguskaitse ja kriminaalõiguse

valdkonnas tegutsevatele liidu organitele ja asutustele, kes töötlevad kasutatavaid

isikuandmeid, tagada õiguskindlus, kõrvaldades lüngad kehtivas andmekaitsekorras,

eelkõige Euroopa Piiri- ja Rannikuvalve Ameti puhul, ning ühtlustada isikuandmete

rahvusvahelise edastamise norme ja Euroopa Andmekaitseinspektori volitusi

käsitlevaid norme. See ei tohiks mõjutada võimalust säilitada määruses

(EL) 2017/1939 andmekaitse erieeskirjad, mis on vajalikud tulenevalt Euroopa

Prokuratuuri kui liidu sõltumatu prokuratuuri eripärast.

(4) Selleks et luua ühtlustatud, järjepidev, lihtsustatud ja täielik õigusraamistik

kasutatavate isikuandmete töötlemiseks liidu organites ja asutustes, tuleks ELi

toimimise lepingu kolmanda osa V jaotise 4. või 5. peatüki kohaldamisalasse

kuuluvaid tegevusi läbi viivate liidu organite ja asutuste suhtes kohaldada määruses

(EL) 2018/1725 sätestatud mõisteid (I peatükk), andmekaitseametnikke käsitlevaid

norme (IV peatüki 6. jagu), koostöö ja järjepidevuse alaseid norme (VII peatükk),

õiguskaitsevahendeid, vastutust ja karistusi käsitlevaid norme (VIII peatükk) ning

kasutatavate isikuandmete töötlemise norme (mis tuleks viia kooskõlla Euroopa

Parlamendi ja nõukogu direktiiviga (EL) 2016/6803 – IX peatükk). Neid norme tuleks

kohaldada juhul, kui liidu organid ja asutused viivad kõnealuseid tegevusi läbi

kuritegude tõkestamise, avastamise, uurimise või nende toimepanijate vastutusele

võtmise eesmärgil. Neid norme, ja mitte ainult määruse (EL) 2018/1725 IX peatükki,

tuleks kohaldada ka kasutatavate isikuandmete töötlemise suhtes Euroopa Piiri- ja

Rannikuvalve Ametis.Määruse (EL) 2018/1725 normide kohaldamine ei tohiks

mõjutada erinorme, mida kohaldatakse kasutatavate isikuandmete töötlemisele liidu

organite ja asutuste poolt tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa

V jaotise 4. või 5. peatüki kohaldamisalasse, eelkõige Europoli, Eurojusti ja Euroopa

Prokuratuuri asutamisaktides sätestatud norme. Selliseid erinorme tuleks käsitada lex

specialis’ena määruse (EL) 2018/1725 sätete suhtes, mis käsitlevad kasutatavate

isikuandmete töötlemist.

(5) Kõigis liidu institutsioonides ja organites peaks andmekaitseametnik tagama, et

kohaldatakse kõiki andmekaitsenorme, sealhulgas määrust (EL) 2018/1725. Samuti

peaksid andmekaitseametnikud nõustama vastutavaid töötlejaid ja volitatud töötlejaid

seoses nende kohustustega. Järjepidevuse tagamiseks ja dubleerimise vältimiseks

peaks nii halduslikku laadi kui ka kasutatavate isikuandmete puhul kehtima

andmekaitseametnike jaoks ainult üks normistik.

(6) Euroopa Andmekaitseinspektoril peaks olema viimase abinõuna õigus määrata

haldustrahve, muu hulgas seoses kasutatavate isikuandmete töötlemisega õiguskaitse

ja kriminaalõiguse valdkonnas tegutsevates liidu organites ja asutustes.

3 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste

isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise,

avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil

ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus

2008/977/JSK (ELT L 119, 4.5.2016, lk 89, ELI: http://data.europa.eu/eli/dir/2016/680/oj).

ET 9 ET

(7) Määruses (EL) 2018/1725 dubleerimise vältimiseks tuleks selle artikkel 70 välja jätta,

kuna IX peatüki kohaldamisala on juba sätestatud määruse (EL) 2018/1725 artiklis 2.

(8) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek],

tuleks määruse (EL) 2018/1725 artiklis 77 täpsustada, et otsused, mis põhinevad

üksnes kasutatavate isikuandmete automatiseeritud töötlemisel, on lubatud, kui on

täidetud eritingimused.

(9) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek],

tuleks määruse (EL) 2018/1725 artiklis 78 täpsustada, et andmetega tutvumise õigust,

mis on algusest peale andmesubjektide jaoks soodne, ei tohiks kuritarvitada selles

mõttes, et andmesubjektid kasutavad seda muul eesmärgil kui oma andmete

kaitsmiseks.

(10) Selleks et tõendada vastavust määrusele (EL) 2018/1725, peaksid õiguskaitse ja

kriminaalõiguse valdkonnas tegutsevatele liidu organitele ja asutustele kehtima

ühetaolised normid kõigi nende vastutusel tehtavate töötlemistoimingute liikide

dokumenteerimise kohta. Iga vastutav ja volitatud töötleja peaks olema kohustatud

tegema Euroopa Andmekaitseinspektoriga koostööd ja tegema need dokumendid

taotluse korral Euroopa Andmekaitseinspektorile kättesaadavaks, et neid saaks

kasutada nimetatud töötlemistoimingute kontrollimiseks.

(11) Liidu organitel ja asutustel ei tohiks olla võimalik logisid muuta. Kui liidu organid ja

asutused saavad kasutatavaid isikuandmeid liikmesriikide pädevatelt asutustelt,

peaksid liidu organid ja asutused edastama logid kõnealustele pädevatele asutustele,

kui need on vajalikud andmekaitsenõuete täitmise asutusesiseseks uurimiseks.

(12) Selleks et tagada kooskõla määrusega (EL) .../... [digivaldkonna koondettepanek],

peaks isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile teatamise

künnis olema kõrgem ja teatamise tähtaega tuleks pikendada.

(13) Kõigile õiguskaitse ja kriminaalõiguse valdkonnas tegutsevatele liidu organitele ja

asutustele peaks kehtima ühetaoline kasutatavate isikuandmete rahvusvahelise

edastamise normistik, mis on kooskõlas direktiiviga (EL) 2016/680.

(14) Komisjon võib direktiivi (EL) 2016/680 artikli 36 alusel otsustada, et kolmandas

riigis, kolmanda riigi territooriumil või kindlaksmääratud sektoris või rahvusvahelises

organisatsioonis pakutakse piisaval tasemel andmekaitset. Sellisel juhul võib

kasutatavate isikuandmete edastamine liidu organi või asutuse poolt kõnealusesse riiki

või kõnealusele rahvusvahelisele organisatsioonile toimuda ilma, et oleks vaja saada

täiendav luba.

(15) Isikuandmete edastamine ilma sellise kaitse piisavuse otsuseta peaks olema lubatud

üksnes juhul, kui õiguslikult siduvas aktis on sätestatud isikuandmete kaitseks

asjakohased kaitsemeetmed või kui vastutav töötleja, olles hinnanud kõiki andmete

edastamisega seotud asjaolusid, on oma hinnangust lähtudes seisukohal, et

asjakohased kaitsemeetmed isikuandmete kaitseks on kehtestatud. Õiguslikult

siduvaks aktiks võib olla näiteks enne 12. detsembrit 2019 otsuse 2002/187/JSK

artikli 26a kohaselt Eurojusti ja kolmanda riigi vahel sõlmitud koostööleping, enne

1. maid 2017 otsuse 2009/371/JSK artikli 23 kohaselt Europoli ja kolmanda riigi vahel

sõlmitud koostööleping või ELi toimimise lepingu artikli 218 kohaselt liidu ja

kolmanda riigi vahel sõlmitud rahvusvaheline leping.

(16) Kaitse piisavuse otsuse ja asjakohaste kaitsemeetmete puudumise korral võib

edastamine või teatavat liiki edastamine toimuda erandina kindlates olukordades.

Erandeid tuleks tõlgendada kitsalt ning need ei tohiks võimaldada isikuandmete

ET 10 ET

sagedast, ulatuslikku ja struktuurset edastamist ega andmete suuremahulist edastamist,

piirduda tuleks vaid rangelt vajalike andmetega. Selline edastamine tuleks

dokumenteerida ning need dokumendid tuleks teha Euroopa Andmekaitseinspektorile

taotluse korral kättesaadavaks, et kontrollida edastamise seaduslikkust.

(17) Konkreetsetel üksikjuhtudel võib juhtuda, et tavapärased menetlused, mis nõuavad

ühenduse võtmist kolmanda riigi pädeva asutusega, ei ole mõjusad või asjakohased,

eelkõige seetõttu, et andmeid ei saaks edastada õigeaegselt, või seetõttu, et kõnealune

kolmanda riigi asutus ei austa õigusriigi põhimõtteid või rahvusvahelisi

inimõigustealaseid norme ja standardeid. Selline olukord võib tekkida siis, kui

isikuandmeid on vaja edastada kiiresti kolmandas riigis asuvale eraõiguslikule

äriühingule, et saada teavet internetikuriteo toime pannud tundmatu isiku kohta, päästa

süüteo ohvriks langemise ohus oleva isiku elu või hoida ära lähiajal toimepandav

kuritegu, sealhulgas terroriakt. Sellistel juhtudel võiksid liikmesriikide pädevad

asutused kindlatel tingimustel otsustada edastada kasutatavad isikuandmed otse

kolmandas riigis asuvale vastuvõtjale, kes ei ole pädev asutus.

(18) Euroopa Andmekaitseinspektoril peaksid olema ühetaolised volitused, mida

kohaldatakse kasutatavate isikuandmete töötlemise suhtes õiguskaitse ja

kriminaalõiguse valdkonnas tegutsevates liidu organites ja asutustes. Sellised volitused

on juba alates 2022. aastast kehtinud Europoli suhtes, näiteks õigus anda vastutavale

töötlejale korraldus tagada määruse (EL) 2018/1725 järgimine, õigus anda korraldus

peatada andmevood liikmesriigis, kolmandas riigis või rahvusvahelises

organisatsioonis asuvale vastuvõtjale või õigus määrata korralduse täitmata jätmise

korral haldustrahv.

(19) Euroopa Andmekaitseinspektoriga konsulteeriti kooskõlas määruse (EL) 2018/1725

artikli 42 lõikega 1 ning ta esitas arvamuse XX XX 2026,

ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE:

Artikkel 1

Määruse (EL) 2018/1725 muudatused

Määrust (EL) 2018/1725 muudetakse järgmiselt.

1. Artiklit 2 muudetakse järgmiselt:

(a) lõige 2 asendatakse järgmisega:

„2. Kasutatavate isikuandmete töötlemisel liidu organite ja asutuste poolt

tegevustes, mis jäävad ELi toimimise lepingu kolmanda osa V jaotise 4. või

5. peatüki kohaldamisalasse, kohaldatakse üksnes käesoleva määruse

artikleid 3, 43, 44 ja 45 ning VII, VIII ja IX peatükki, ilma et see mõjutaks

selliste liidu organite ja asutuste suhtes kohaldatavaid andmekaitse erinorme.“;

(b) lõige 3 jäetakse välja.

2. Artikli 45 lõike 1 punktid d, e ja f asendatakse järgmisega:

„d) anda taotluse korral nõu vajaduse kohta teavitada isikuandmetega seotud

rikkumisest vastavalt artiklitele 34 ja 35 või 92 ja 93;

e) anda taotluse korral nõu seoses andmekaitsealase mõjuhinnanguga ning jälgida

selle toimimist vastavalt artiklile 39 või 89 ning konsulteerida Euroopa

Andmekaitseinspektoriga, kui tekib kahtlusi seoses andmekaitsealase mõjuhinnangu

vajalikkusega;

ET 11 ET

f) anda taotluse korral nõu seoses vajadusega konsulteerida eelnevalt Euroopa

Andmekaitseinspektoriga vastavalt artiklile 40 või 90; konsulteerida Euroopa

Andmekaitseinspektoriga, kui tekib kahtlusi seoses eelneva konsulteerimise

vajalikkusega;“.

3. Artikli 66 lõike 1 esimene lause asendatakse järgmisega:

„1. Euroopa Andmekaitseinspektor võib määrata liidu institutsioonile või asutusele

trahvi sõltuvalt konkreetse juhtumi asjaoludest, kui liidu institutsioon või asutus ei

suuda täita artikli 58 lõike 2 punktides d–h ja punktis j või artikli 95a lõike 3

punktides c, e, f, j ja k osutatud Euroopa Andmekaitseinspektori korraldust.“

4. Artikkel 70 jäetakse välja.

5. Artikli 77 lõige 1 asendatakse järgmisega:

„1. Otsus, millel on andmesubjektile õiguslikud tagajärjed või mis avaldab talle

samamoodi märkimisväärset mõju, võib põhineda ainult automatiseeritud

töötlemisel, sealhulgas profiilianalüüsil, üksnes juhul, kui see otsus on lubatud

vastutava töötleja suhtes kohaldatava liidu õigusega, mis sisaldab piisavaid meetmeid

andmesubjekti õiguste ja vabaduste kaitseks, vähemalt õigust vastutava töötleja

isiklikule sekkumisele.“

6. Artikli 78 lõige 4 asendatakse järgmisega:

„4. Vastutav töötleja esitab artikli 79 kohast teavet ning teavitab artiklite 80–84 ning

92 alusel toimunud suhtlusest või võetud meetmetest tasuta. Kui andmesubjekti

taotlused on selgelt põhjendamatud või ülemäärased, eelkõige nende korduva

iseloomu tõttu, või artikli 80 kohaste taotluste puhul seetõttu, et andmesubjekt

kuritarvitab isikuandmetega tutvumise õigust, kasutades seda muul eesmärgil kui

oma andmete kaitseks, võib vastutav töötleja keelduda taotluse alusel toimingu

tegemisest. Vastutav töötleja peab tõendama, et taotlus on selgelt põhjendamatu või

et on mõistlik alus arvata, et see on ülemäärane.“

7. Lisatakse järgmine artikkel 87a:

„Artikkel 87a

Kasutatavate isikuandmete töötlemise toimingute kategooriate registreerimine

1. Vastutav töötleja peab kõigi tema vastutusel tehtavate kasutatavate isikuandmete

töötlemise toimingute kategooriate registrit. Registreerimiskanne sisaldab järgmist

teavet:

a) vastutava töötleja kontaktandmed ning andmekaitseametniku nimi ja

kontaktandmed ning asjakohasel juhul kaasvastutava töötleja kontaktandmed;

b) töötlemise eesmärgid;

c) vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või

avalikustatakse, sealhulgas eraõiguslikud isikud ning kolmandates riikides olevad

vastuvõtjad või rahvusvahelised organisatsioonid;

d) andmesubjektide kategooriate ja isikuandmete liikide kirjeldus;

e) asjakohasel juhul profiilianalüüsi kasutamine;

f) asjakohasel juhul isikuandmete eraõiguslikule isikule, kolmandale riigile või

rahvusvahelisele organisatsioonile edastamise liigid;

ET 12 ET

g) teave isikuandmete kavandatava töötlemise toimingu (sealhulgas edastamise)

õigusliku aluse kohta;

h) võimaluse korral eri andmeliikide kustutamiseks ette nähtud tähtajad;

i) võimaluse korral artikli 91 lõikes 1 osutatud tehniliste ja korralduslike

turvameetmete üldine kirjeldus.

2. Volitatud töötleja peab kõigi vastutava töötleja nimel tehtavate isikuandmete

töötlemise toimingute kategooriate registrit, mis sisaldab järgmist teavet:

a) volitatud töötleja või volitatud töötlejate kontaktandmed, iga vastutava töötleja

kontaktandmed, kelle nimel volitatud töötleja tegutseb, ning andmekaitseametniku

kontaktandmed;

b) vastutava töötleja nimel tehtava töötlemise liigid;

c) asjakohasel juhul isikuandmete edastamine eraõiguslikule isikule, kolmandale

riigile või rahvusvahelisele organisatsioonile, kui vastutav töötleja andis selleks

sõnaselge korralduse, sealhulgas andmed kõnealuse kolmanda riigi või

rahvusvahelise organisatsiooni tuvastamiseks;

d) võimaluse korral artikli 91 lõikes 1 osutatud tehniliste ja korralduslike

turvameetmete üldine kirjeldus.

3. Lõigetes 1 ja 2 osutatud registreerimine on kirjalik, sealhulgas elektrooniline.

Taotluse korral teevad vastutav töötleja ja volitatud töötleja registri kättesaadavaks

Euroopa Andmekaitseinspektorile.“

8. Artikli 88 lõikele 1 lisatakse järgmine lause:

„Logifailide muutmine ei ole võimalik.“

9. Artikli 88 lõikele 3 lisatakse järgmine lause:

„Lõikes 1 osutatud logifailid edastatakse riigi pädevale asutusele, kui see asutus

vajab neid andmekaitsenormide järgimisega seotud konkreetse uurimise jaoks.“

10. Artikli 92 lõige 1 asendatakse järgmisega:

„1. Kui on toimunud isikuandmetega seotud rikkumine, mis võib tõenäoliselt kaasa

tuua suure ohu füüsiliste isikute õigustele ja vabadustele, teatab vastutav töötleja

isikuandmetega seotud rikkumisest Euroopa Andmekaitseinspektorile põhjendamatu

viivituseta ja võimaluse korral 96 tunni jooksul pärast sellest teada saamist. Kui

Euroopa Andmekaitseinspektorit teavitatakse hiljem kui 96 tunni jooksul, esitatakse

teates viivituse kohta põhjendus.“

11. Artikkel 94 asendatakse järgmisega:

„Artikkel 94

Kasutatavate isikuandmete kolmandatele riikidele ja rahvusvahelistele

organisatsioonidele edastamise üldpõhimõtted

1. Vastutav töötleja võib edastada kasutatavaid isikuandmeid kolmandale riigile või

rahvusvahelisele organisatsioonile, tingimusel et järgitakse kohaldatavaid

andmekaitsenorme ja käesoleva määruse muid sätteid, ning üksnes juhul, kui on

täidetud järgmised tingimused:

(a) andmete edastamine on vajalik vastutava töötleja ülesannete täitmiseks;

ET 13 ET

(b) kolmanda riigi ametiasutus või rahvusvaheline organisatsioon, kellele

kasutatavaid isikuandmeid edastatakse, on pädev õiguskaitse või

kriminaalõiguse küsimustes;

(c) kui kasutatavad isikuandmed, mida edastatakse, on vastutavale töötlejale

edastanud või kättesaadavaks teinud liikmesriik või liidu organ või asutus,

peab vastutav töötleja saama andmete edastamiseks asjaomase liikmesriigi

pädevalt asutuselt või asjaomaselt liidu organilt või asutuselt eelneva loa

kooskõlas tema suhtes kohaldatava õigusega, välja arvatud juhul, kui

kõnealune liikmesriik või liidu organ või asutus on andnud selliseks

edastamiseks kas üldise või konkreetsetel tingimustel kohaldatava loa;

(d) kui kolmas riik või rahvusvaheline organisatsioon saadab andmed edasi muule

kolmandale riigile või rahvusvahelisele organisatsioonile, peab asjaomane

kolmas riik või rahvusvaheline organisatsioon saama vastutavalt töötlejalt

selliseks edasisaatmiseks eelneva loa;

(e) vastutav töötleja annab punkti d kohase loa üksnes andmed algselt edastanud

liikmesriigi või liidu organi või asutuse eelneval loal ja asjakohasel juhul pärast

seda, kui ta on võtnud nõuetekohaselt arvesse kõiki asjakohaseid tegureid,

sealhulgas kuriteo raskust, kasutatavate isikuandmete algse edastamise

eesmärki ja kasutatavate isikuandmete kaitse taset selles kolmandas riigis või

rahvusvahelises organisatsioonis, kellele kasutatavad isikuandmed edasi

saadetakse.

2. Vastutav töötleja võib käesoleva artikli lõikes 1 sätestatud tingimustel kolmandale

riigile või rahvusvahelisele organisatsioonile kasutatavaid isikuandmeid edastada

juhul, kui on täidetud artiklis 94a, artiklis 94b, artiklis 94c või artiklis 94d sätestatud

tingimused.

3. Ilma et see mõjutaks artikli 94c kohaldamist, võib vastutav töötleja edastada

kasutatavaid isikuandmeid sellise riigi pädevale asutusele, kes on ühinenud

Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega ning kes on

rakendanud direktiivi (EL) 2016/680 sätted ja direktiivi (EL) 2023/977 teabevahetust

käsitlevad sätted ning neid tegelikult kohaldab.

4. Vastutav töötleja võib kiireloomulistel juhtudel edastada kasutatavaid

isikuandmeid ilma lõike 1 punkti c kohase liikmesriigilt või liidu organilt või

asutuselt saadud eelneva loata. Vastutav töötleja teeb seda üksnes juhul, kui

kasutatavate isikuandmete edastamine on vajalik liikmesriigi või kolmanda riigi

avalikku julgeolekut ähvardava või liikmesriigi olulisi huve kahjustava vahetu ja

tõsise ohu ennetamiseks ning kui eelnevat luba ei ole võimalik õigeaegselt saada.

Eelneva loa andmise eest vastutavat asutust teavitatakse viivitamata.

5. Kõiki käesoleva peatüki sätteid isikuandmete rahvusvahelise edastamise kohta

kohaldatakse selleks, et tagada, et käesoleva määrusega tagatud füüsiliste isikute

kaitse taset ei kahjustata.“

12. Lisatakse järgmised artiklid:

„Artikkel 94a

Edastamine kaitse piisavuse otsuse alusel

Vastutav töötleja võib edastada kasutatavaid isikuandmeid kolmandale riigile või

rahvusvahelisele organisatsioonile, kui komisjon on vastavalt direktiivi

(EL) 2016/680 artiklile 36 teinud otsuse, et asjaomane kolmas riik või asjaomase

ET 14 ET

kolmanda riigi territoorium või asjaomase kolmanda riigi üks või mitu

kindlaksmääratud sektorit või asjaomane rahvusvaheline organisatsioon tagab

isikuandmete kaitse piisava taseme.

Artikkel 94b

Edastamine asjakohaste kaitsemeetmete kohaldamisel

1. Kaitse piisavuse otsuse puudumise korral võib vastutav töötleja edastada

kasutatavaid isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile

järgmistel juhtudel:

(a) kasutatavate isikuandmete kaitseks võetavad asjakohased kaitsemeetmed on

sätestatud õiguslikult siduvas aktis

(b) või vastutav töötleja on hinnanud kõiki kasutatavate isikuandmete

edastamisega seotud asjaolusid ning leidnud, et kehtestatud on kõik

kasutatavate isikuandmete kaitse seisukohast asjakohased kaitsemeetmed.

2. Lõike 1 punkti a kohane õiguslikult siduv akt on:

(a) ELi toimimise lepingu artikli 218 kohaselt liidu ja asjaomase kolmanda riigi

või rahvusvahelise organisatsiooni vahel sõlmitud rahvusvaheline leping,

millega on ette nähtud asjakohased kaitsemeetmed seoses eraelu puutumatuse

ja isikuandmete kaitse ning üksikisikute muude põhiõiguste ja -vabaduste

kaitsega;

(b) enne 12. detsembrit 2019 otsuse 2002/187/JSK artikli 26a kohaselt Eurojusti ja

asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud

koostööleping, mis võimaldab kasutatavaid isikuandmeid vahetada, või

(c) enne 1. maid 2017 otsuse 2009/371/JSK artikli 23 kohaselt Europoli ja

asjaomase kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud

koostööleping, mis võimaldab kasutatavaid isikuandmeid vahetada.

3. Liidu organid ja asutused võivad sõlmida koostöökokkuleppeid, et määrata

kindlaks lõikes 2 osutatud lepingute rakendamise kord.

4. Vastutav töötleja teatab Euroopa Andmekaitseinspektorile lõike 1 punkti b kohaste

edastamiste liigid.

5. Kui edastamine põhineb lõike 1 punktil b, siis selline edastamine

dokumenteeritakse ning dokumendid tehakse taotluse korral kättesaadavaks Euroopa

Andmekaitseinspektorile. Dokumendid peavad sisaldama edastamise kuupäeva ja

kellaaega ning teavet vastuvõtva pädeva asutuse, edastamise põhjenduse ja edastatud

kasutatavate isikuandmete kohta.

Artikkel 94c

Erandid eriolukordade puhuks

1. Kaitse piisavuse otsuse või artikliga 94b ette nähtud asjakohaste kaitsemeetmete

puudumise korral võib vastutav töötleja edastada kasutatavaid isikuandmeid

kolmandale riigile või rahvusvahelisele organisatsioonile üksnes tingimusel, et

edastamine on vajalik:

(a) andmesubjekti või teise isiku eluliste huvide kaitsmiseks;

(b) andmesubjekti õigustatud huvide kaitsmiseks;

ET 15 ET

(c) liikmesriigi või kolmanda riigi avalikku julgeolekut ähvardava vahetu ja tõsise

ohu ennetamiseks

(d) või konkreetsetel juhtudel vastutava töötleja ülesannete täitmiseks, välja

arvatud juhul, kui vastutav töötleja teeb kindlaks, et asjaomase andmesubjekti

põhiõigused ja -vabadused kaaluvad üles edastamisega seotud avaliku huvi.

2. Kui edastamine põhineb lõikel 1, siis selline edastamine dokumenteeritakse ning

dokumendid tehakse taotluse korral kättesaadavaks Euroopa

Andmekaitseinspektorile. Dokumendid peavad sisaldama edastamise kuupäeva ja

kellaaega ning teavet vastuvõtva pädeva asutuse, edastamise põhjenduse ja edastatud

kasutatavate isikuandmete kohta.

Artikkel 94d

Kasutatavate isikuandmete edastamine kolmandas riigis asuvale vastuvõtjale

1. Erandina artikli 94 lõike 1 punktist b ja ilma et see mõjutaks käesoleva artikli

lõikes 2 osutatud rahvusvaheliste lepingute kohaldamist, võib vastutav töötleja

üksikutel erijuhtumitel edastada kasutatavaid isikuandmeid kolmandas riigis asuvale

vastuvõtjale otse üksnes juhul, kui on täidetud kõik järgmised tingimused:

(a) edastamine on rangelt vajalik vastutava töötleja ülesannete täitmiseks

eesmärkidel, milleks kasutatavaid isikuandmeid on lubatud töödelda;

(b) vastutav töötleja teeb kindlaks, et ükski asjaomase andmesubjekti põhiõigus

ega -vabadus ei kaalu konkreetse juhtumi puhul üles avalikku huvi, mis

edastamise vajalikuks teeb;

(c) vastutav töötleja leiab, et edastamine kolmanda riigi pädevale asutusele ei ole

mõjus või asjakohane, eelkõige sellepärast, et seda ei ole võimalik teha

õigeaegselt;

(d) kolmanda riigi pädevat asutust teavitatakse põhjendamatu viivituseta, välja

arvatud juhul, kui see ei ole mõjus või asjakohane;

(e) vastutav töötleja teavitab vastuvõtjat konkreetsest eesmärgist või

konkreetsetest eesmärkidest, milleks vastuvõtja kasutatavaid isikuandmeid

töödelda tohib, eeldusel et selline töötlemine on vajalik.

2. Lõikes 1 osutatud rahvusvaheline leping on Euroopa Liidu ja kolmandate riikide

vaheline jõusolev kahepoolne või mitmepoolne rahvusvaheline leping

kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas.

3. Kui edastamine põhineb lõikel 1, siis selline edastamine, sealhulgas edastamise

kuupäev ja kellaaeg ning teave vastuvõtva pädeva asutuse, edastamise põhjenduse ja

edastatud kasutatavate isikuandmete kohta, dokumenteeritakse ning dokumendid

tehakse taotluse korral kättesaadavaks Euroopa Andmekaitseinspektorile.“

13. Lisatakse järgmine artikkel 95a:

„Artikkel 95a

Euroopa Andmekaitseinspektori teostatav järelevalve

1. Euroopa Andmekaitseinspektori ülesanne on jälgida ja tagada, et kohaldataks

sätteid, mis käsitlevad füüsiliste isikute põhiõiguste ja -vabaduste kaitsmist

kasutatavate isikuandmete töötlemisel liidu organites ja asutustes, samuti nõustada

liidu organeid ja asutusi ning andmesubjekte kõikides kasutatavate isikuandmete

töötlemisega seotud küsimustes. Selleks täidab ta lõikes 2 sätestatud ülesandeid ja

ET 16 ET

kasutab lõikega 3 antud volitusi, tehes samal ajal tihedat koostööd riiklike

järelevalveasutustega.

2. Euroopa Andmekaitseinspektoril on järgmised ülesanded:

a) kuulata ära ja uurida kaebusi ning teavitada andmesubjekti mõistliku aja jooksul

tulemusest; teostada kas omal algatusel või kaebuse alusel uurimisi ning teavitada

andmesubjekti mõistliku aja jooksul tulemusest;

b) jälgida ja tagada, et kohaldataks käesolevat määrust ja kõiki muid liidu õigusakte,

mis käsitlevad füüsiliste isikute kaitsmist kasutatavate isikuandmete töötlemisel liidu

organites ja asutustes;

c) nõustada kas omal algatusel või konsultatsiooni korras liidu organeid ja asutusi

kõikides kasutatavate isikuandmete töötlemisega seotud küsimustes, eelkõige enne

seda, kui liidu organ või asutus koostab oma sise-eeskirja põhiõiguste ja -vabaduste

kaitse kohta kasutatavate isikuandmete töötlemisel;

d) pidada registrit talle teatatud uut liiki töötlemistoimingute kohta;

e) viia läbi eelnev konsulteerimine seoses töötlemisega, millest talle on teatatud.

3. Käesoleva määruse alusel võib Euroopa Andmekaitseinspektor:

a) nõustada andmesubjekte nende õiguste kasutamisel;

b) edastada kasutatavate isikuandmete töötlemist käsitlevate sätete väidetava

rikkumise korral asja arutamiseks asjaomasele liidu organile või asutusele ning teha

asjakohasel juhul ettepanekuid rikkumise kõrvaldamiseks ja andmesubjektide kaitse

parandamiseks;

c) anda korralduse rahuldada taotlus kasutatavate isikuandmete suhtes teatavaid

õigusi kasutada, kui sellise taotluse tagasilükkamisega on rikutud andmesubjekti

õiguste kohta kehtivaid norme;

d) hoiatada liidu organit või asutust või teha talle märkuse;

e) anda liidu organile või asutusele korralduse isikuandmeid parandada, nende

töötlemist piirata, need kustutada või need hävitada, kui nende töötlemisel on rikutud

kasutatavate isikuandmete töötlemist reguleerivaid sätteid, ning teavitada sellest

meetmest kolmandaid isikuid, kellele sellised andmed on avaldatud;

f) keelata liidu organil või asutusel ajutiselt või alaliselt teha töötlemistoiminguid,

millega rikutakse kasutatavate isikuandmete töötlemist reguleerivaid sätteid;

g) edastada asja arutamiseks asjaomasele liidu organile või asutusele ja vajaduse

korral Euroopa Parlamendile, nõukogule ja komisjonile;

h) edastada asja arutamiseks Euroopa Liidu Kohtule ELi toimimise lepingus

sätestatud tingimustel;

i) sekkuda Euroopa Liidu Kohtusse antud asjade arutamisse;

j) anda korralduse, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul

isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse

käesoleva määrusega ning kohaldatavuse korral liidu organi või asutuse

asutamisaktis sätestatud andmekaitse-eeskirjadega;

k) anda korralduse peatada liikmesriigis või kolmandas riigis asuvale vastuvõtjale

või rahvusvahelisele organisatsioonile suunatud andmevoog;

ET 17 ET

l) määrata artikli 66 kohaselt haldustrahvi, kui liidu organ või asutus ei täida mõnda

käesoleva lõike punktides c, e, f, j ja k osutatud meedet, sõltuvalt iga üksikjuhtumi

asjaoludest.

4. Euroopa andmekaitseinspektoril on õigus:

a) saada liidu organilt või asutuselt juurdepääs kõigile kasutatavatele isikuandmetele

ja kogu teabele, mida ta oma päringuteks vajab;

b) pääseda kõikidesse tööruumidesse, kus liidu organ või asutus tegutseb, kui on

alust arvata, et seal tehakse käesolevas peatükis käsitletud toiminguid.

5. Euroopa Andmekaitseinspektor koostab igal aastal aruande järelevalvetoimingute

kohta, mida ta on teinud käesoleva peatüki kohaldamisalasse kuuluvate vastutavate

töötlejate suhtes. See aruanne on osa artiklis 60 osutatud Euroopa

Andmekaitseinspektori iga-aastasest aruandest.

Euroopa Andmekaitseinspektor palub riiklikel järelevalveasutustel esitada enne iga-

aastase aruande vastuvõtmist oma tähelepanekud aruande kõnealuse osa kohta.

Euroopa Andmekaitseinspektor võtab neid tähelepanekuid hoolikalt arvesse ning

osutab neile oma iga-aastases aruandes.

Teises lõigus osutatud iga-aastase aruande osa sisaldab statistilisi andmeid, mis

käsitlevad kaebusi, uurimisi ja juurdlusi, isikuandmete edastamist kolmandatele

riikidele ja rahvusvahelistele organisatsioonidele, Euroopa Andmekaitseinspektoriga

eelneva konsulteerimise juhtumeid ning käesoleva artikli lõikes 3 sätestatud volituste

kasutamist.

6. Euroopa Andmekaitseinspektor ning Euroopa Andmekaitseinspektori sekretariaadi

ametnikud ja muud töötajad on artikli 95 kohaselt seotud

konfidentsiaalsuskohustusega.“

Artikkel 2

Jõustumine

1. Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa

Liidu Teatajas.

2. Kasutatavate isikuandmete töötlemise suhtes Euroopa Prokuratuuris kohaldatakse

käesolevat määrust alates [uue Euroopa Prokuratuuri käsitleva määruse kohaldamise

alguskuupäev].

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

Brüssel,

Euroopa Parlamendi nimel Nõukogu nimel

eesistuja eesistuja

[...] [...]

Seletuskirja lisa 1. Kaasamistabel

1

Kaasamistabel - EL institutsioonide andmekaitse määruse muutmise eelnõu

Nr Partner Märkus, ettepanek või kommentaar Arvestamine/

Osaline arvestamine/

Mittearvestamine/

Teadmiseks võtmine

1. Riigikohus Täname võimaluse eest avaldada arvamust EUDPR muudatusettepaneku

kohta.

Riigikohus võtab need teadmiseks ja ei soovi avaldada arvamust nende

kohta.

Teadmiseks võtmine

2. Riigiprokuratuur Prokuratuur tänab võimaluse eest anda arvamus Euroopa Parlamendi ja

nõukogu määruse (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset

isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning

isikuandmete vaba liikumist, muutmise eelnõule.

Prokuratuur tervitab eelnõu eesmärki ühtlustada õiguskaitse- ja

kriminaalmenetluse valdkonnas tegutsevate Euroopa Liidu asutuste

isikuandmete kaitse reegleid, vähendada killustatust ning suurendada

õiguskindlust.

Kuivõrd regulatsioon hõlmab andmekogusid ja teavitamiskohustusi, palub

prokuratuur Justiits- ja Digiministeeriumil hinnata, kas määrusest

tulenevate nõuete täitmine suurendab halduskoormust ning loob vajaduse

täiendava tööjõu värbamiseks.

Prokuratuur toetab Euroopa Parlamendi ja nõukogu määruse (EL)

2018/1725 muutmise eelnõud ning sellega kohaldatava

andmekaitseraamistiku lihtsustamist ja selle järjepidevuse tagamist,

eelkõige ühtlustades asjakohaseid norme ELi organite ja asutuste lõikes.

Arvestatud. JDM on

hinnanud muudatuste

mõju halduskoormusele.

Seletuskirja lisa 1. Kaasamistabel

2

3. Andmekaitse Inspektsioon Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse

avaldamiseks EL institutsioonide ja asutuste andmekaitsemääruse

muudatused.

Andmekaitse Inspektsioon toetab Euroopa Komisjoni ettepanekut

ühtlustada ja ajakohastada EL i institutsioonide, organite ja asutuste

andmekaitseraamistikku. Killustatuse vähendamine, õiguskindluse

suurendamine ning järelevalve ühtlustamine on vajalikud ja

proportsionaalsed eesmärgid.

Teadmiseks võetud.

AKI peab määruse kohaldamisala laiendamist Euroopa Prokuratuurile

(EPPO) tervitatavaks. See muudatus kõrvaldab senise õigusliku

killustatuse, mis tulenes EPPO eraldiseisvast andmekaitsekorrast, ning

tagab ühtse ja järjepideva raamistikku kõigi EL-i kriminaalõiguse ja

õiguskaitse valdkonna asutuste jaoks

Arvestatud

Muudatus millega Euroopa Andmekaitseinspektori (EDPS-i) õigus määrata

haldustrahve laieneb kasutatavate isikuandmete töötlemisele liidu organites

ja asutustes on tervitatav, kuna see ühtlustab EUDPR-i kohaldamist,

tugevdab järelevalve tõhusust ning tagab järjepidevuse EUDPR-i

kohaldamisel.

Arvestatud

Lisaks toetab AKI muudatust, millega täpsustatakse artiklis 78 „selgelt

põhjendamatu või ülemäärase“ andmetega tutvumise taotluse mõistet. See

muudatus on kooskõlas EL-i uuema kohtupraktikaga (C-526/24 Brillen

Rottler, Euroopa Kohtu 19. märtsi 2026 otsus) ja digivaldkonna

koondpaketi põhimõtetega, ning vähendab andmetöötlejate

halduskoormust.

Arvestatud.

Ettepaneku lõikega 10 tahetakse andmetega seotud rikkumisest teatamise

tähtaega pikendada 72 tunnilt 96 tunnile, ning tõsta teatamiskünnist.

Ettepanekus on teavitamine nõutav üksnes juhul, kui rikkumine „võib

tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja

vabadustele“. AKI palub Euroopa Komisjonilt täiendavaid selgitusi

teatamise tähtaja muudatuse kohta. Kiire reageerimine andmetöötleja poolt

Arvestatud.

Seletuskirja lisa 1. Kaasamistabel

3

on andmesubjektide õiguste kaitse seisukohalt võtmetähtsusega, mistõttu

tähtaegade pikendamine vajab sisulist põhjendust.

Lõigetega 11 ja 12 tutvustatakse muudatusi andmete edastamisel

kolmandatele riikidele. Toetame muudatusi, mis ühtlustavad

rahvusvahelise edastamise raamistikku, täpsustavad kaitse piisavuse

otsuste, asjakohaste kaitsemeetmete ja erandite kohaldamist, ning lisavad

kiireloomulise juhu erandi (art 94(4)), mis võimaldab edastada andmeid

ilma eelneva loata.

Mis puudutab kiireloomulise juhu erandit, on see AKI poolt vastuvõetav

kui seda kohaldatakse kitsalt ning vastavalt tingimustele, et edastamine on

rangelt vajalik vastutava töötleja ülesannete täitmiseks, edastamine on

dokumenteeritud, ning et EDPS-il on võimalik tagantjärgi kontrollida

edastamise seaduslikkust. Muudatusel on potentsiaal parandada õigusalast

koostööd EL-i organite ja kolmandate riikide asutuste vahel, eriti

olukordades, kus koostööraamistikud puuduvad või on ebapiisavad.

Arvestatud.

Viimaseks täheldab AKI muudatust, millega lisatakse artikkel 95a(5), mis

kohustab EDPSi jagama oma iga-aastast järelevalvearuannet riiklike

järelevalveasutustega arvamuse avaldamiseks enne aruande vastuvõtmist.

AKI tervitab võimalust esitada EDPS-ile tähelepanekuid ja panustada EL-i

tasandil järelevalve ühtlustamisse.

Arvestatud.

4. Sisekaitseakadeemia Sisekaitseakadeemia toetab Euroopa Parlamendi ja nõukogu määruse (EL)

2018/1725 muutmise eelnõud ning sellega kohaldatava

andmekaitseraamistiku lihtsustamist ja selle järjepidevuse tagamist,

eelkõige ühtlustades asjakohaseid norme ELi organite ja asutuste lõikes.

Akadeemial ettepanekuid eelnõu osas ei ole ja ametlikku vastuskirja ei

saada.

Teadmiseks võetud.

5. Siseministeerium Tulenevalt Riigikantselei resolutsioonist 2-5/26-01451 edastab

Siseministeerium arvamuse Justiits- ja Digiministeeriumile seoses Euroopa

Liidu (edaspidi EL) määruse eelnõuga, mis käsitleb füüsiliste isikute kaitset

isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning

isikuandmete vaba liikumist, COM(2026) 314.

Arvestatud

Seletuskirja lisa 1. Kaasamistabel

4

Siseministeerium toetab esitatud algatust. Meie hinnangul on iga

andmekaitseline meede ning selle edasiarendus positiivne samm

kodanike turvalisuse ja seeläbi ka liikmesriigi julgeoleku tagamisel.

Siseministeeriumi hinnangul käesoleva määruse ettepanekuga

haldusalale olulisi mõjusid ei kaasne.

Eesti toetab kolmandatesse riikidesse andmete edastamise reeglite

ühtlustamist ning peab oluliseks, et Euroopa Komisjon jätkaks strateegiliste

partnerite suhtes piisavusotsuste vastuvõtmist ja ajakohastamist,

vähendades seeläbi liikmesriikide halduskoormust.

Andmekaitseraamistiku ühtlustamine pigem parandab operatiivkoostööd.

Kui praegu toimub operatiivse isikuandmete töötlemise koostöö erinevate

EL asutustega erinevatel õiguslikel alustel, siis eelnõu eesmärk on

koondada ühised andmekaitsemehhanismid ühte raamistikku.

Ühtlustamine suurendab õigusselgust ning vähendab vajadust iga EL

asutuse puhul eraldi andmekaitserežiimi analüüsida.

Eelnõu logimisnõuded ei näi sisuliselt ületavat õiguskaitseasutuste

direktiivis (EL) 2016/680 sätestatud nõudeid. Praeguses etapis ei ole

põhjust eeldada Eesti õiguskaitseasutuste infosüsteemides täiendavate

logimisfunktsioonide loomise või laiaulatuslike IT-arenduste vajadust.

Võimalik mõju võib avalduda üksnes juhul, kui EL asutuste või EDPS-i

tulevane rakenduspraktika hakkab eeldama senisest detailsemat

audititõendust või aruandlust.

Tuleb tähele panna, et Eesti julgeolekuasutused tegutsevad osaliselt

väljaspool EL õiguskaitsekoostöö tavapärast raamistikku. EL

andmekaitseõigus ei reguleeri liikmesriikide riikliku julgeoleku

tuumikfunktsioone samas ulatuses. Seetõttu ei too eelnõu tõenäoliselt kaasa

olulisi muudatusi julgeolekuasutuste seaduses ega andmekogude

pidamises.

Seletuskirja lisa 1. Kaasamistabel

5

Üldjoontes saab toetada eelnõu eesmärki vähendada andmekaitsereeglite

killustatust ELi õiguskaitse- ja piirihaldusasutuste vahel ning suurendada

õigusselgust operatiivsete isikuandmete töötlemisel.

1

SELETUSKIRI

Vabariigi Valitsuse otsuse juurde

“Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse , millega muudetakse Euroopa

Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset

isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete

vaba liikumist, eelnõu (COM(2026) 314) kohta”

Euroopa Komisjon avaldas 23. juunil 2026 eelnõu COM(2026) 314, et muuta määrust (EL)

2018/1725, mis reguleerib isikuandmete töötlemist Euroopa Liidu institutsioonides, organites ja

asutustes. Eelnõu peamine eesmärk on ühtlustada õiguskaitse- ja kriminaalõiguse valdkonnas

tegutsevate ELi asutuste andmekaitseraamistikku ning vähendada kehtiva regulatsiooni killustatust.

Praegu on andmekaitsenormid jaotunud määruse (EL) 2018/1725 (edaspidi EUDPR) ning üksikute

asutuste asutamisaktide vahel.

Eelnõu eesmärk on lihtsustada ja ühtlustada ELi õiguskaitse- ja kriminaalõiguse valdkonnas

tegutsevate liidu institutsioonide, organite ja asutuste suhtes kohaldatavat andmekaitseraamistikku.

Selleks laiendatakse EUDPRi IX peatüki kohaldamisala Euroopa Prokuratuurile ning koondatakse

kõigi ELi institutsioonide, organite ja asutuste suhtes ühtmoodi kohaldatavad andmekaitsenormid

senisest suuremas ulatuses ühte õigusakti. Eelnõuga täpsustatakse ja ühtlustatakse muu hulgas

andmekaitseametnike ülesandeid, töötlemistoimingute registreerimist, järelevalveasutuste

koostööd, rahvusvaheliste andmeedastuste korda ning Euroopa Andmekaitseinspektori

järelevalvevolitusi. Eesmärk on vähendada kehtiva regulatsiooni killustatust, suurendada

õiguskindlust ja tagada andmekaitsenormide järjepidev kohaldamine kõigi asjaomaste ELi asutuste

suhtes, säilitades samal ajal võimaluse kehtestada asutuste tegevuse eripärast tulenevaid erinorme

nende asutamismäärustes. Eelnõu on osa laiemast justiits- ja siseküsimuste valdkonna

reformipaketist, mille eesmärk on tugevdada ELi õiguskaitse- ja kohtuasutuste koostööd, parandada

andmevahetust ning suurendada liidu suutlikkust võidelda raske ja piiriülese kuritegevusega.

Eesti hinnangul on eelnõu tervikuna kooskõlas põhiseadusega. Eelnõu käsitleb liidu ainupädevusse

kuuluvat valdkonda, mistõttu subsidiaarsuse põhimõte ei kohaldu. Eelnõu eesmärkidega

nõustutakse, kuna ELi institutsioonide, organite ja asutuste andmekaitsenormid on praegu

killustatud ning andmekaitseraamistiku ühetaoliseks toimimiseks on vajalik ühtne ELi lähenemine.

Kehtiva EUDPRi alusel ühiste andmekaitsenõuete edasiarendamine ja ühtlustamine on eesmärkide

saavutamiseks sobiv ning proportsionaalne meede, mis ei lähe vajalikust kaugemale.

Mõjude puhul on Euroopa Komisjon leidnud, et eelnõu on peamiselt tehnilist laadi ega põhjusta

olulist majanduslikku, sotsiaalset ega keskkonnamõju. Samas peaksid muudatused suurendama

õiguskindlust, parandama järelevalvet ja hõlbustama õiguskaitseasutuste vahelist koostööd. Eesti

õiguse muutmise vajadust ei kaasne, kuna tegemist on vahetult kohaldatava ELi määruse

muudatusega, mis kohaldub ELi institutsioonidele ja asutustele ja millega ei kaasne Eesti õiguse

muutmise vajadust. Kaudne positiivne mõju võib siiski avalduda Eesti asutuste koostööle Europoli,

Eurojusti, Frontexi ja Euroopa Prokuratuuriga.

Eesti toetab üldjoontes eelnõu eesmärkide saavutamist, eelkõige määruse kohaldamisala

laiendamist Euroopa Prokuratuurile, Euroopa Andmekaitseinspektori volituste ühtlustamist ja

rahvusvahelise andmeedastuse regulatsiooni korrastamist.

2

1. Sissejuhatus

Euroopa Komisjon avaldas 23.06.2026 Euroopa Parlamendi ja nõukogu määruse eelnõu, millega

muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste

isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning

isikuandmete vaba liikumist, COM(2026) 314 final, 2026/0173(COD)1.

Eelnõu eesmärk on ühtlustada Euroopa Liidu õiguskaitse- ja kriminaalõiguse valdkonnas

tegutsevate asutuste (eelkõige Europol, Eurojust, Euroopa Prokuratuur ja osaliselt Frontex) suhtes

kohaldatavat andmekaitseraamistikku. Praegu on asutuste suhtes kohaldatavad andmekaitsereeglid

killustatud EUDPRi ja üksikute asutuste asutamisaktide vahel, mis tekitab õiguskindlusetust ning

raskendab asutustevahelist koostööd ja andmevahetust.

Eelnõuga soovitakse koondada võimalikult palju ühiseid andmekaitsenorme ühte õigusakti,

laiendada ELi isikuandmete kaitse määruse kohaldamist Euroopa Prokuratuurile, suurendada

õiguskindlust ja vähendada regulatiivset killustatust, ühtlustada Euroopa Andmekaitseinspektori

järelevalvevolitusi ja lihtsustada asutustevahelist andmevahetust. Samuti on eelnõus

muudatusettepanekud, mis ühtlustaksid EUDPRi IX peatüki sätteid digivaldkonna

koondettepanekuga2 tehtavate muudatustega.

Peamised eelnõuga kavandatavad muudatused on järgmised:

1. EUDPRi kohaldamisala laiendamine – muudetakse artiklit 2 ning laiendatakse kasutatavate

isikuandmete töötlemise suhtes kohaldatavat normistikku õiguskaitse ja kriminaalõiguse

valdkonnas tegutsevatele ELi organitele ja asutustele, sh Euroopa Prokuratuurile.

2. Andmekaitseametniku ülesanded ja sisemine vastavuskontroll – täpsustatakse

andmekaitseametniku ülesandeid, sh rikkumistest teavitamise, andmekaitsealase

mõjuhinnangu ja eelneva konsulteerimise kontekstis.

3. Euroopa Andmekaitseinspektori (edaspidi EDPS) volitused – ühtlustatakse EDPSi

järelevalvevolitusi kõigi asjaomaste ELi organite ja asutuste suhtes ning nähakse ette ka

haldustrahvide määramise võimalus korralduste täitmata jätmisel.

4. Automatiseeritud otsused ja andmesubjekti õigused – artiklite 77 ja 78 muudatused seotakse

digivaldkonna koondettepanekuga.

5. Töötlemistoimingute registreerimine ja logimine – lisatakse uus artikkel 87a ning

täiendatakse logimist käsitlevat artiklit 88.

6. Isikuandmetega seotud rikkumisest teavitamine – artikli 92 muudatusega tõstetakse

teavitamiskünnist ning pikendatakse EDPSile teatamise tähtaega 72 tunnilt 96 tunnile

(ettepanek lähtub digivaldkonna koondettepanekust).

7. Kasutatavate isikuandmete (ingl k operational data) edastamine kolmandatele riikidele ja

rahvusvahelistele organisatsioonidele – asendatakse artikkel 94 ja lisatakse artiklid 94a–

94d.

1 Komisjoni 23.06.2026 ettepanek: Euroopa Parlamendi ja nõukogu määruse eelnõu, millega muudetakse Euroopa

Parlamendi ja nõukogu määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu

institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, COM(2026) 314 final, 2026/0173(COD).

Kättesaadav: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:52026PC0314. 2 Ettepanek: Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määrusi (EL) 2016/679, (EL) 2018/1724,

(EL) 2018/1725 ja (EL) 2023/2854 ning direktiive 2002/58/EÜ, (EL) 2022/2555 ja (EL) 2022/2557 seoses

digivaldkonna õigusraamistiku lihtsustamisega ning tunnistatakse kehtetuks määrused (EL) 2018/1807, (EL)

2019/1150, (EL) 2022/868 ja direktiiv (EL) 2019/1024 (digivaldkonna koondpakett), COM/2025/837 final.

Kättesaadav: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:52025PC0837

3

Komisjon ei näe ette märkimisväärseid täiendavaid kulusid. Eelnõu on peamiselt tehnilist ja

institutsionaalset laadi ning ei loo uusi ulatuslikke kohustusi. Komisjon on leidnud, et eelnõu toob

kaasa suurema õiguskindluse ja vähendab halduskoormust, samuti on selle tulemusel lihtsam

nõudeid täita, paraneb koostöö ja andmevahetus ELi asutuste vahel ning edaspidi on vähem nii

dubleerivaid kui ka vastuolulisi norme.

Komisjon märgib, et positiivset mõju on keeruline kvantifitseerida, kuid eeldatavalt vähenevad

nõuete täitmisega seotud kulud ning regulatiivne keerukus.

Eraldi mõjuhinnangut ei ole komisjon koostanud, kuna eelnõu kohaldamisala on kitsas,

muudatused on valdavalt tehnilised ning ELi andmekaitsesüsteemi põhiloogikat ei muudeta. Lisaks

puudub eelnõul komisjoni hinnangul oluline majanduslik, sotsiaalne või keskkonnamõju ning

põhiõiguste kaitse tase jääb sisuliselt samaks. Komisjoni hinnangul on mõju põhiõigustele

minimaalne ja pigem positiivne, sest regulatsioon muutub selgemaks ja ühtsemaks.

Eelnõu põhineb Euroopa Liidu toimimise lepingu artiklil 16, mis käsitleb isikuandmete kaitset.

Menetlus on seadusandlik tavamenetlus (ordinary legislative procedure), mis tähendab, et Euroopa

Parlament ja nõukogu on kaasseadusandjad ning nõukogus kohaldatakse kvalifitseeritud

häälteenamust. Euroopa Parlament võtab seisukoha vastu lihthäälteenamusega.

Nõukogu üldises lähenemisviisis algatuse suhtes loodetakse kokku leppida 2026. a lõpuks, kuid

see sõltub ka digivaldkonna koondettepaneku läbirääkimiste edenemisest. Euroopa Parlament ei

ole Eesti seisukohtade koostamise ajaks oma planeeritavat menetlemise ajakava teatavaks teinud.

2. Koostajad

Seisukohad ja seletuskirja koostasid Justiits- ja Digiministeeriumi õiguspoliitika osakonna

andmekaitseõiguse talituse nõunik Helen Uustalu ([email protected]) ja sama talituse

juhataja Kristi Värk ([email protected]).

Valdkonna eest vastutab Justiits- ja Digiministeeriumi õiguspoliitika osakonna asekantsler Heddi

Lutterus ([email protected]).

3. Sisu ja võrdlev analüüs

Eelnõu koosneb kahest artiklist. Artikliga 1 on kavandatud 13 muudatust ja artikliga 2 on ette

nähtud jõustumise sätted.

Artikliga 1 kavandatud muudatused on järgmised:

Muudatusega 1 laiendatakse määruse kohaldamisala (artikli 2 muutmine). Praegu kohaldatakse

ELi õiguskaitse- ja kriminaalõiguse valdkonnas töödeldavate isikuandmete suhtes üksnes EUDPRi

artiklit 3 ja IX peatükki, kusjuures Euroopa Prokuratuurile kohaldatakse eraldi andmekaitsekorda

Euroopa Prokuratuuri asutamismääruse alusel. Muudatuse tulemusel laiendatakse määruse

kohaldamisala nii, et ELi õiguskaitse- ja kriminaalõiguse valdkonnas hakatakse kohaldama ka

sätteid, milles käsitletakse andmekaitseametnikke, koostööd, õiguskaitsevahendeid, vastutust ja

sanktsioone, ning hõlmatakse regulatsiooniga Euroopa Prokuratuur. Muudatuse eesmärk on

kõrvaldada õiguslik killustatus, tagada võrreldavate olukordade ühetaoline reguleerimine ning

suurendada õiguskindlust kõigi asjaomaste ELi organite ja asutuste puhul.

4

Muudatusega 2 täpsustatakse andmekaitseametniku ülesandeid (artikli 45 muutmine). Kehtivas

määruses on sätestatud andmekaitseametniku ülesanded, kuid õiguskaitsealase isikuandmete

töötlemisega seotud ülesannete kohaldatavus ei ole täielikult üheselt selge. Muudatusega

täpsustatakse, et andmekaitseametnik nõustab ja toetab vastutavaid töötlejaid ka kasutatavate

isikuandmete töötlemisel, sealhulgas rikkumiste hindamisel, mõjuhinnangute koostamisel ja

Euroopa Andmekaitseinspektoriga konsulteerimisel. Muudatusega tagatakse ühetaoline

andmekaitseametniku funktsioon kõigis organisatsioonides ning välditakse paralleelsete või

erinevalt korraldatud süsteemide tekkimist.

Muudatusega 3 laiendatakse Euroopa Andmekaitseinspektori trahvimisõigust (artikli 66

muutmine). Kehtiva määruse kohaselt ei oleEuroopa Andmekaitseinspektoril võimalust määrata

haldustrahve ELi institutsioonidele ja asutustele trahve juhul, kui need ei täida andmekaitsealaseid

siduvaid ettekirjutusi õiguskaitse- ja kriminaalõiguse valdkonnas. Muudatuse tulemusel laieneb

trahvimisõigus ka kasutatavate isikuandmete töötlemist puudutavate ettekirjutuste täitmata

jätmisele, mis tugevdab järelevalve tõhusust ja aitab tagada andmekaitsenõuete täitmise kõikides

asjaomastes ELi asutustes.

Muudatusega 4 tunnistatakse kehtetuks artikkel 70. Kehtiva määruse kohaselt reguleerib artikkel

70 IX peatüki kohaldamist kasutatavatele isikuandmetele. Muudatusega tunnistatakse artikkel

kehtetuks, et vältida dubleerimist ja muuta regulatsioon selgemaks, sest kohaldamisala sätestatakse

edaspidi ammendavalt artiklis 2.

Muudatusega 5 täpsustatakse automatiseeritud otsustamise regulatsiooni (artikli 77 muutmine).

Kehtivas määruses sisaldub automatiseeritud otsuste tegemise regulatsioon, kuid selle sõnastus

erineb digivaldkonna koondettepanekus kavandatud lahendusest. Seetõttu muudatusega

täpsustatakse, et üksnes automatiseeritud töötlemisel põhinev otsus on lubatud ainult juhul, kui see

tugineb liidu õigusele ning on ette nähtud piisavad kaitsemeetmed, sealhulgas õigus inimese

sekkumisele.

Muudatusega 6 täpsustatakse andmetega tutvumise õiguse kuritarvitamise sätet (artikli 78

muutmine). Kehtiva määruse kohaselt võib vastutav töötleja keelduda ilmselgelt põhjendamatutest

või ülemäärastest taotlustest. Muudatusega täpsustatakse, et põhjendamatuks võib lugeda ka

taotluse, mille puhul kasutatakse andmetega tutvumise õigust muul eesmärgil kui oma andmete

kaitseks.

Muudatusega 7 nähakse ette töötlemistoimingute registri loomise kohustus (uus artikkel 87a).

Kehtiva määruse IX peatükk ei sätesta kasutatavate isikuandmete töötlemistoimingute

registreerimise kohustust, seega kehtestatakse muudatusega kohustus pidada registrit kõigi

kasutatavate isikuandmete töötlemise toimingute kategooriate kohta. Registris tuleb muu hulgas

kajastada töötlemise eesmärgid, isikuandmete liigid, vastuvõtjad, säilitamistähtajad ja

turvameetmed. Töötlemistoimingute registri sätte sõnastamisel on võetud eeskuju

õiguskaitseasutuste direktiivist (nn LED-direktiiv)3.

Muudatusega 8 ja 9 täiendatakse logimise nõudeid (artikli 88 muutmine). Kui kehtiv määrus

sisaldab logimise kohustust, kuid ei sätesta sõnaselgelt logide muutmise keeldu ega nende

edastamist liikmesriikide pädevatele asutustele, siis eelnõuga lisatakse nõue, mille kohaselt

3 Euroopa Parlamendi ja nõukogu 27. aprill 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset

seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest

vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning

millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89–131).

5

logifaile ei tohi muuta. Samuti nähakse ette logide edastamine pädevale asutusele, kui need on

vajalikud andmekaitsealase uurimise läbiviimiseks.

Muudatusega 10 muudetakse isikuandmetega seotud rikkumistest teatamise korda (artikli 92

muutmine). Kui kehtiva regulatsiooni kohaselt tuleb rikkumisest Euroopa Andmekaitseinspektorit

teavitada võimaluse korral 72 tunni jooksul ning teavitamiskohustus on pigem laialdane, siis

kavandatava muudatuse tulemusel pikeneb teatamistähtaeg 96 tunnini ning tõuseb teatamiskünnis,

mistõttu tuleb rikkumisest teatada üksnes juhul, kui see võib tõenäoliselt kaasa tuua suure ohu

füüsiliste isikute õigustele ja vabadustele. Muudatus on kantud digivaldkonna koondettepanekust.

Muudatustega 11 ja 12 kujundatakse ümber rahvusvahelise andmeedastuse regulatsioon (artiklid

94–94d). Hetkel kehtiv rahvusvahelise andmeedastuse kord on killustunud ning erinevate asutuste

suhtes kehtivad osaliselt erinevad reeglid. Muudatuse tulemusel kehtestatakse terviklik raamistik

andmete edastamiseks kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Artikliga

94 nähakse ette üldised tingimused andmete edastamiseks ning artiklitega 94a–94d õiguslik alus

selleks: edastamine kaitse piisavuse otsuse alusel (art 94a), edastamine asjakohaste kaitsemeetmete

olemasolul (art 94b), erandid eriolukordade tarbeks (art 94c) ja andmete edastamine otse kolmandas

riigis asuvale vastuvõtjale (art 94d). Muudatusega viiakse regulatsioon kooskõlla direktiiviga (EL)

2016/680 ning luuakse kõikidele õiguskaitseasutustele ühtne ja selge rahvusvahelise

andmeedastuse süsteem.

Muudatusega 13 ühtlustatakse Euroopa Andmekaitseinspektori järelevalvevolitused (uus artikkel

95a). Kehtiva regulatsiooni kohaselt kohalduvad Europoli, Eurojusti, Euroopa Prokuratuuri ja teiste

asutuste suhtes erinevad järelevalvevolitused ning osa volitusi on reguleeritud üksnes

asutamismäärustes. Muudatusega lisatakse määrusesse uus ühtne järelevalveraamistik, mis annab

Euroopa Andmekaitseinspektorile kõikide asjaomaste ELi organite suhtes samalaadsed uurimis-,

ettekirjutus-, piirangu- ja trahvimisvolitused, et tagada kogu ELi õiguskaitse- ja kriminaalõiguse

valdkonnas järjepidev, tõhus ja võrreldav järelevalve.

Komisjoni algatus on kooskõlas Eesti Vabariigi Põhiseadusega (edaspidi PS)4, eelkõige §-dega 11,

13, 14, 26 ja 44. Muudatuste eesmärk on ühtlustada ja täpsustada Euroopa Liidu institutsioonides,

organites ja asutustes kohaldatavaid andmekaitsenorme, tugevdada järelevalvet ning suurendada

andmetöötluse läbipaistvust ja õigusselgust. Eelnõuga ei looda uusi ulatuslikke isikuandmete

töötlemise volitusi, vaid kehtestatakse täiendavad kaitsemeetmed, täpsustatakse olemasolevaid

nõudeid ning parandatakse põhiõiguste kaitse tagamise mehhanisme. Seetõttu ei ole muudatustel

negatiivset mõju põhiseadusest tulenevale eraelu puutumatuse õigusele ega õigusele saada teavet

enda kohta kogutud andmete kohta.

4 Eesti Vabariigi Põhiseadus - RT I, 11.04.2025, 2.

6

Algatus on seotud EL isikuandmete kaitse üldmäärusega 5 EL õiguskaitseasutuste

andmekaitsedirektiiviga 6 ning Europoli 7 , Eurojusti 8 , Euroopa Prokuratuuri 9 ja Frontexi 10

alusmäärustega. Samuti on algatus seotud hetkel menetluses oleva digivaldkonna

koondettepanekuga, millega juba osaliselt EUDPRi muudetakse, kuid millest Euroopa Komisjon

jättis sihilikult välja käesoleva algatuse muudatused.

Algatuse rakendamiseks ei ole vaja kehtestada või muuta riigisiseseid õigusakte – tegu on

otsekohalduva määrusega, milles reguleeritakse EL institutsioonide, asutuste ja organite tööd.

3.1. Õiguslik alus

Eelnõu õiguslik alus on Euroopa Liidu toimimise lepingu (ELTL) artikli 16 lõige 2, mis annab

Euroopa Parlamendile ja nõukogule pädevuse kehtestada norme füüsiliste isikute kaitseks

isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning norme isikuandmete

vabaks liikumiseks. Komisjoni seletuskirja kohaselt põhineb eelnõu just sellel sättel, kuna

muudatused käsitlevad ELi institutsioonides, organites ja asutustes toimuva isikuandmete

töötlemise regulatsiooni ning selle ühtlustamist.

3.2. Subsidiaarsus ja proportsionaalsus

Eelnõu on välja töötatud liidu ainupädevusse kuuluvas valdkonnas. Subsidiaarsuse põhimõtet

seetõttu ei kohaldata.  Nõustume eelnõus esile tooduga, et määruse eesmärkide saavutamiseks on

oluline ELi ühtne lähenemine. 

Kehtiva EUDPRiga on kehtestatud ühised andmekaitsenõuded, mida rakendavad EL

institutsioonid, organid ja asutused. Kuna kehtivas õigusraamistikus on Euroopa Liidu

institutsioonides, organites ja asutustes kohaldatavate andmekaitsenormid killustatud, siis on

andmekaitseraamistiku ühetaoliseks toimimiseks ainuvõimalik võtta ühised meetmeid. Käesolev

algatus ei lähe nende eesmärkide saavutamiseks vajalikust kaugemale.  

4. Esialgse mõjude analüüsi kokkuvõte

Eelnõuga ei kaasnenud Euroopa Komisjoni poolset mõjuhinnangut, seega ei ole võimalik Eestil

valideerida, kas kaasnevad kulud ja kasu on Eesti kontekstis asjakohased. Euroopa Komisjon on

küll välja toonud, et muudatused on peamiselt tehnilist laadi ning neil puudub oluline majanduslik,

5 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta

isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta

(isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1–88). 6 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset

seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest

vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning

millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk. 89–131). 7 Euroopa Parlamendi ja nõukogu 11. mai 2016. aasta määrus (EL) 2016/794, mis käsitleb Euroopa Liidu

Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused

2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT L 135, 24.5.2016, lk. 53–114). 8 Euroopa Parlamendi ja nõukogu 14. novembri 2018. aasta määrus (EL) 2018/1727 Euroopa Liidu

Kriminaalõigusalase Koostöö Ameti (Eurojust) kohta ning millega asendatakse ja tunnistatakse kehtetuks nõukogu

otsus 2002/187/JSK (ELT L 295, 21.11.2018, lk. 138–183). 9 Nõukogu 12. oktoobri 2017. aasta määrus (EL) 2017/1939, millega rakendatakse tõhustatud koostööd Euroopa

Prokuratuuri asutamisel (ELT L 283, 31.10.2017, lk. 1–71). 10 Euroopa Parlamendi ja nõukogu 13. november 2019. aasta määrus (EL) 2019/1896, mis käsitleb Euroopa piiri- ja

rannikuvalvet ning millega tunnistatakse kehtetuks määrused (EL) nr 1052/2013 ning (EL) 2016/1624 (ELT L 295, ,

lk. 1–131).

7

sotsiaalne või keskkonnamõju. Esialgse hinnangu kohaselt toob algatus kaasa mõjud järgnevates

valdkondades.

4.1. Mõju andmekaitsele ja põhiõigustele

Eelnõu peamine mõju avaldub eraelu puutumatuse ja isikuandmete kaitse valdkonnas. Õiguskaitse-

ja kriminaalõiguse valdkonnas tegutsevatele ELi asutustele kohaldatavate normide ühtlustamine

suurendab õiguskindlust, parandab järelevalvet ning tugevdab andmesubjektide õiguste kaitset.

Täiendavad nõuded töötlemistoimingute dokumenteerimisele, logimisele ja rahvusvahelistele

andmeedastustele suurendavad andmetöötluse läbipaistvust ja kontrollitavust.

4.2. Mõju ELi institutsioonidele ja asutustele

Europolile, Eurojustile, Frontexile ja Euroopa Prokuratuurile kaasneb vajadus viia sisemised

protsessid, andmekaitsekorraldus ja dokumentatsioon vastavusse uute nõuetega. Eelkõige puudutab

see töötlemistoimingute registrite pidamist, rahvusvaheliste andmeedastuste dokumenteerimist

ning Euroopa Andmekaitseinspektori laiendatud järelevalvevolitustega arvestamist. Samas peaks

ühtsem regulatsioon pikemas perspektiivis vähendama õiguslikust killustatusest tulenevat

halduskoormust.

4.3. Mõju halduskoormusele

Lühiajaliselt võib mõnele EL asutusele kaasneda täiendav halduskoormus uute registrite loomise,

dokumenteerimisnõuete täitmise ja sisemenetluste uuendamise tõttu. Pikas perspektiivis on aga

eesmärk vähendada erinevate ja kattuvate andmekaitsenormide kohaldamisest tulenevat keerukust

ning lihtsustada nõuete täitmist. Komisjon leiab, et muudatused aitavad vähendada nõuete

täitmisega seotud kulusid ja halduskoormust. Riigisiseselt halduskoormuse kasvu ette näha ei ole,

kuna riigisiseseid norme, mis reguleerivad liikmesriikide asutuste tööd, ei muudeta.

4.4. Mõju õiguskaitse- ja kriminaalõigusalasele koostööle

Ühtsem andmekaitseraamistik peaks hõlbustama andmete vahetamist ELi õiguskaitse- ja

kriminaalõigusasutuste vahel ning parandama nende koostalitlusvõimet. Samuti loob eelnõu

selgemad alused rahvusvahelisteks andmeedastusteks ja asutustevaheliseks koostööks.

4.5. Majanduslik, sotsiaalne ja keskkonnamõju

Komisjon on leidnud, et eelnõul puudub oluline majanduslik, sotsiaalne või keskkonnamõju. Võib

nõustuda komisjoni hinnanguga, et muudatused ei mõjuta ettevõtjate tegevust ega liikmesriikide

elanike õigusi ulatuses, mis tooks kaasa otseseid majanduslikke või sotsiaalseid tagajärgi. Samuti

ei kaasne eelnõuga mõju keskkonnale.

4.6. Mõju Eesti õigusele ja asutustele

Kuna tegemist on vahetult kohaldatava ELi määruse muudatusega, ei kaasne sellega vajadust muuta

Eesti õigust. Samuti ei reguleeri eelnõu Eesti asutuste andmetöötlust, vaid Euroopa Liidu

institutsioonide, organite ja asutuste tegevust. Kaudne positiivne mõju võib avalduda senisest

selgema ja ühtlasema koostööraamistiku kaudu olukordades, kus Eesti pädevad asutused vahetavad

andmeid Europoli, Eurojusti, Frontexi või Euroopa Prokuratuuriga.

8

5. Eesti seisukohad

5.1. Eesti toetab ELi õiguskaitse- ja kriminaalõiguse valdkonna asutustele ühtsete

andmekaitsereeglite kehtestamist ning ELi andmekaitsemääruse (EL 2018/1725)

kohaldamisala laiendamist Euroopa Prokuratuurile (EPPO). ELi õiguskaitse- ja

kriminaalõiguse valdkonna asutuste ja organite andmekaitsekord peab olema üldjuhul

reguleeritud ELi andmekaitsemäärusega, kuid võimalusega kehtestada nende asutuste ja

organite asutamismäärustes tegevuse eripärast tulenevaid vajalikke erinorme.

Eesti toetab EUDPRi IX peatüki kohaldamisala laiendamist Euroopa Prokuratuurile (EPPO), kuna

see aitab kõrvaldada EL-i õiguskaitse- ja kriminaalõiguse valdkonnas kehtiva

andmekaitseraamistiku killustatust. Kehtiva korra kohaselt kohaldatakse Europolile, Eurojustile ja

teistele asjaomastele asutustele valdavalt EUDPRi IX peatükki, samas kui Euroopa Prokuratuuri

andmekaitsekord tuleneb peamiselt tema asutamismäärusest. Selline olukord on tekitanud erinevusi

nii andmekaitsenormide sõnastuses kui ka nende kohaldamises ning vähendanud õigusselgust.

Kavandatav muudatus võimaldab koondada ühised andmekaitsenormid ühte õigusakti ning tagab,

et kõikide EL-i õiguskaitse- ja kriminaalõiguse valdkonna asutuste suhtes kohaldatakse võimalikult

ühtseid reegleid. See lihtsustab normide rakendamist, hõlbustab asutustevahelist koostööd ja

andmevahetust ning suurendab andmesubjektide jaoks õiguskindlust, säilitades samal ajal

võimaluse jätta Euroopa Prokuratuuri, aga ka teiste EL-i õiguskaitse ja kriminaalõiguse valdkonnas

tegutsevate asutuste asutamismäärustesse nende tegevuse eripärast tulenevad vajalikud erisätted.

5.2. Eesti toetab Euroopa Andmekaitseinspektori trahvimisõiguse laiendamist, et ta saaks

õiguse määrata haldustrahve ka liidu organites ja asutustes kasutatavate isikuandmete

(operational data) töötlemise rikkumise eest. See aitab ühtlustada ELi andmekaitsemääruse

kohaldamist, tugevdab järelevalvet ja tagab, et sarnastele rikkumistele järgnevad

võrreldavad tagajärjed.

Eesti toetab muudatust, mille kohaselt laieneb Euroopa Andmekaitseinspektori (EDPS) õigus

määrata haldustrahve ka kasutatavate isikuandmete töötlemisele EL-i organites ja asutustes. Praegu

on EDPS-i järelevalve- ja sanktsioonivolitused erinevate asutuste ja andmeliikide suhtes

reguleeritud erinevalt, mis võib põhjustada ebajärjekindlust ning vähendada järelevalve tõhusust.

Trahvimisõiguse laiendamine aitab tagada, et andmekaitsenõuete rikkumisel oleksid kõikide

asjaomaste asutuste suhtes võrreldavad tagajärjed ning et järelevalveorgan saaks kasutada

samaväärseid meetmeid sõltumata sellest, milline EL-i asutus andmeid töötleb. Eesti hinnangul

suurendab see andmekaitsenormide tegelikku täitmist, tugevdab vastutavuspõhimõtte rakendamist

ning aitab kaasa õigusselgele ja ühetaolisele järelevalvesüsteemile kogu EL-i institutsioonilises

raamistikus.

5.3. Eesti toetab ELi õiguskaitse- ja kriminaalõiguse valdkonna asutuste rahvusvahelise

andmeedastuse regulatsiooni ümberkujundamist, et viia see kooskõlla õiguskaitseasutuste

andmekaitsedirektiiviga (EL 2016/680) ning tagada ühtsed reeglid kõigile asjaomastele EL-i

asutustele. Eesti leiab, et erandid andmeedastuse üldreeglist peavad olema piiritletud ja

kontrollitavad. Eesti peab asjakohaseks anda EL õiguskaitse- ja kriminaalõiguse valdkonna

asutustele õiguse edastada andmeid Schengeni alaga assotsieerunud riikidele.

Positiivne on see, et eelnõu täpsustab kaitse piisavuse otsuste, asjakohaste kaitsemeetmete ja

erandite kohaldamise tingimusi ning loob selgema õigusliku aluse andmete edastamiseks

kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele. Eesti toetab ka artikli 94 lõikes

4 ette nähtud kiireloomulise juhu erandit, mis võimaldab erandkorras andmeid edastada enne

eelneva loa saamist olukordades, kus viivitus võib kahjustada avalikku julgeolekut või muid olulisi

9

huve, ning artikliga 94d ette nähtud võimalust edastada kasutatavaid isikuandmeid otse kolmandas

riigis asuvatele vastuvõtjatele. Samas peab Eesti oluliseks, et neid erandeid kohaldataks kitsalt ja

üksnes tõeliselt erandlikes olukordades. Andmeedastus peab olema rangelt vajalik vastutava

töötleja ülesannete täitmiseks, selle põhjendused peavad olema nõuetekohaselt dokumenteeritud

ning Euroopa Andmekaitseinspektoril peab olema võimalik hiljem kontrollida, kas erandite

kasutamine oli õiguspärane ja proportsionaalne. Sellised tagatised on vajalikud, et säilitada

kõrgetasemeline põhiõiguste kaitse ka kiireloomulistes olukordades. On asjakohane, et vastutav

töötleja võib edastada kasutatavaid isikuandmeid selle riigi pädevale asutusele, kes on ühinenud

Schengeni acquis’ rakendamise, kohaldamise ja edasiarendamisega ning kes on rakendanud

direktiivi (EL) 2016/680 sätted ja direktiivi (EL) 2023/97711 teabevahetust käsitlevad sätted ning

neid tegelikult kohaldab. See võimaldab Schengeni ala paremat toimimist.

5.4. Eesti peab oluliseks, et eelnõus kavandatud andmetele juurdepääsuõigust ning

isikuandmetega seotud rikkumistest teavitamise tähtaegu ja künnist puudutavad

muudatused ei nõrgenda põhjendamatult andmesubjektide õiguste kaitse taset ning on

kooskõlas ELi digivaldkonna koondpaketi vastavate muudatustega.

Eesti toetab ELi andmekaitsemääruse artikli 78 täpsustamist osas, mis käsitleb ilmselgelt

põhjendamatuid või ülemääraseid andmetega tutvumise taotlusi, kuna see aitab vähendada

õiguslikku ebakindlust ja põhjendamatut halduskoormust ning on kooskõlas Euroopa Kohtu

hiljutise praktikaga, sealhulgas kohtuasjaga C-526/24 Brillen Rottler. Samas ei toeta Eesti

lahendust, mille kohaselt võiks andmesubjekti õiguse kasutamist lugeda kuritarvituseks üksnes

seetõttu, et isik kasutab andmetega tutvumise õigust muul eesmärgil kui oma andmete kaitseks.

Juurdepääsuõigust kasutatakse praktikas sageli ka muude õiguste teostamiseks, näiteks

kohtuvaidluse ettevalmistamiseks, avaliku võimu tegevuse kontrollimiseks või tõendite

kogumiseks, ning selliste eesmärkide automaatne käsitamine kuritarvitusena võib põhjendamatult

piirata andmesubjektide õigusi. Eesti on sama seisukohta väljendanud ka digivaldkonna

muudatusettepanekute juures: andmesubjekt ei peaks vastutavale töötlejale avaldama, millisel

eesmärgil ta saadud teavet kavatseb kasutada, ning vastutaval töötlejal puudub tegelik võimalus

seda kontrollida. Seetõttu peaks kuritarvituse hindamine põhinema konkreetse juhtumi asjaoludel,

mitte üksnes andmesubjekti eesmärgil.

Samuti ei toeta Eesti eelnõu punktiga 10 kavandatud isikuandmetega seotud rikkumistest teatamise

tähtaja pikendamist 72 tunnilt 96 tunnile ega teatamiskünnise tõstmist selliselt, et

teavitamiskohustus tekiks üksnes siis, kui rikkumine võib tõenäoliselt kaasa tuua suure ohu

füüsiliste isikute õigustele ja vabadustele. Kiire rikkumisest teatamine on andmesubjektide õiguste

tõhusa kaitse seisukohalt oluline ning eelnõu seletuskirjas ei ole piisavalt põhjendatud, miks senine

72 tunni tähtaeg ei ole enam sobiv või milliseid praktilisi probleeme kavandatav muudatus

lahendab. Eesti peab vajalikuks, et ka selles küsimuses järgitaks sama lähenemist, mida Eesti on

toetanud digiomnibussi aruteludes: järelevalveasutusi tuleb teavitada ka olukordades, kus korduvad

või omavahel kombineeruvad väikese riskiga rikkumised võivad kokkuvõttes avaldada isikutele

olulisemat mõju. Seetõttu peaksid eelnõu muudatused olema sisuliselt kooskõlas digivaldkonna

koondpaketis kujundatava lahendusega ning vältima andmesubjektide õiguste kaitse taseme

põhjendamatut nõrgendamist.

6. Arvamuse saamine ning seisukohtade kooskõlastamine

11 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2023/977, 10. mai 2023, mis käsitleb liikmesriikide

õiguskaitseasutuste vahelist teabevahetust ja millega tunnistatakse kehtetuks nõukogu raamotsus 2006/960/JSK

10

Justiits- ja Digiministeerium on seisukohtade ettevalmistamisel küsinud sisendit

Siseministeeriumilt ja Välisministeeriumilt, Eesti Advokatuurilt, Riigiprokuratuurilt, Andmekaitse

Inspektsioonilt, Tallinna Ringkonnakohtult, Harju Maakohtult, Pärnu Maakohtult, Tartu

Maakohtult, Viru Maakohtult, Tallinna Halduskohtult, Tartu Halduskohtult, Tartu

Ringkonnakohtult, Riigikohtult, Õiguskantsleri Kantseleilt, Tartu Ülikooli õigusteaduskonnalt,

Tallinna Ülikooli Ühiskonnateaduste Instituudilt, Tallinna Tehnikaülikooli sotsiaalteaduskonnalt,

Inimõiguste Instituudilt, Eesti Juristide Liidult ja Sisekaitseakadeemialt.

Arvamuse saatsid Andmekaitse Inspektsioon, Riigiprokuratuur ja Siseministeerium. Riigikohus ja

Sisekaitseakadeemia andsid märku, et võtsid eelnõu teadmiseks.

.

Saabunud sisendid on esitatud kaasamistabelis (lisa 1) ning saabunud ettepanekutega on võimaluse

korral arvestatud. Ministeeriumid on seisukohad kooskõlastanud EL koordinatsioonikogus.