Justiits- ja Digiministeeriumi arvamus EL–USA andmevahetuse raamlepingu kavandi kohta
Üldine lähenemine
Justiits- ja Digiministeerium (JDM) peab oluliseks, et EL–USA andmevahetuse raamlepinguga loodaks selge ja piisavate andmekaitsetagatistega raamistik liikmesriikide ja USA vahel sõlmitavatele Enhanced Border Security Partnershipi (EBSP) lepingutele. Arvestades EBSP seost USA viisavabadusprogrammiga, tuleb tagada, et kavandatav andmevahetus oleks eesmärgipärane, vajalik ja proportsionaalne ning isikute õigused oleksid tõhusalt kaitstud. Proportsionaalsuse hindamise ühe lähtekohana tuleks arvestada ka seda, kas ja millises ulatuses vahetavad ELi liikmesriigid omavahel liidusisese vaba liikumise ja julgeoleku tagamiseks samalaadseid andmeid, mille edastamist USA viisavabaduse tingimusena taotleb. Viisavabaduse säilitamise eesmärk ei tohiks üle kaaluda kavandatava andmevahetuse vajalikkuse ja proportsionaalsuse sisulist hindamist.
JDM peab oluliseks säilitada andmevahetuse kaheastmeline ülesehitus ning eristada automatiseeritud päringut täiendava teabe edastamisest.
1. Automaatpäring. Automatiseeritud päringu tegemine peab olema seotud konkreetse isiku võimaliku julgeoleku- või avaliku korra riskiga. Päringus kasutatavad andmed ning positiivse vaste korral automaatselt edastatav teave peavad piirduma eesmärgi saavutamiseks vajalikuga.
2. Täiendav andmevahetus. Positiivne vaste ei tohiks iseenesest kaasa tuua täiendava teabe edastamist. Sellele peab eelnema inimhinnang, kas andmed viitavad raamlepingu tähenduses tõsisele ja tegelikule ohule avalikule julgeolekule või avalikule korrale. Täiendavalt edastatavate andmete kategooriad ja kasutatavad andmekogud tuleb täpsustada kahepoolses lepingus.
JDM peab oluliseks selgelt eristada raamlepingu ja kahepoolsete lepingute rolli. Raamleping ei ole iseenesest isikuandmete edastamise õiguslik alus; tegelik andmevahetus toimub liikmesriigi ja USA vahel sõlmitava kahepoolse lepingu alusel.
Raamleping peab tagama piisavad ühised kaitsemeetmed ning võimaldama kahepoolses lepingus täpsustada andmevahetuse ulatust ja piiranguid. Võimaliku tulevase Eesti–USA kahepoolse lepingu ettevalmistamisel tuleb eraldi hinnata hõlmatavaid andmekogusid, päringuõigusega asutusi, edastatavaid andmeid ja kohaldatavaid kaitsemeetmeid.
JDM seisukohad ja täpsustamist vajavad küsimused
1. Andmete edasise kasutamise selge piiritlemine
JDM peab keskseks küsimuseks artiklis 12 ette nähtud andmete edasise töötlemise ulatust. Üksnes tingimus, et edasine töötlemine ei tohi olla algse eesmärgiga vastuolus, koos ühilduvate eesmärkide mitteammendava loeteluga ei pruugi tagada piisavat ettenähtavust. JDM peab vajalikuks täpsustada, millistel eesmärkidel ja tingimustel võib saadud andmeid edasi kasutada ning kuidas tagatakse iga sellise kasutuse vajalikkus ja proportsionaalsus. Andmete teisese kasutamise lubatavus ja piirid peavad olema isikule piisavalt selged ja ettenähtavad.
2. Eriliiki isikuandmete edastamise rangemad tingimused
JDM peab vajalikuks tugevdada artikli 9 lõikes 4 sätestatud eriliiki isikuandmete edastamise tingimusi. Pelgalt nõue, et andmed oleksid raamlepingu eesmärgi saavutamiseks „eriti asjakohased“ („particularly relevant“), ei taga piisavalt ranget edastamislävendit. JDM eelistab tingimust, et selliste andmete edastamine peab olema rangelt vajalik („strictly necessary“).
Eriliiki isikuandmete edastamine peaks olema üldjuhul keelatud ning erandina lubatav üksnes rangelt vajalikel juhtudel ja piisavate kaitsemeetmetega. Artiklis 20 esitatud võimalike kaitsemeetmete loetelu ei asenda kohustuslikke miinimumnõudeid. JDM peab vajalikuks täpsustada, millised kaitsemeetmed peavad olema alati tagatud ning millised lisameetmed valitakse konkreetse juhtumi riskide alusel.
Kaitsemeetmete kohaldamine ei tohiks jääda üksnes võimaluseks, mille kasutamine sõltub täielikult vastuvõtva poole kaalutlusest.
3. USA-sisese edastamise piirid ja kontrollitavus
JDM peab vajalikuks täpsustada artiklis 13 ette nähtud võimalust edastada andmeid teistele USA õiguskaitse-, regulatiiv- või haldusasutustele. Raamlepingu III osa kaitsemeetmete järgimise kõrval peab olema piisavalt selge, millised asutused võivad andmeid saada ning millistel eesmärkidel ja tingimustel neid kasutada.
Andmekaitsetagatised peavad hõlmama kogu andmete hilisemat kasutamist USA avalikus sektoris, mitte üksnes esmast edastamist Eesti asutuselt USA asutusele.
JDM peab vajalikuks selgitada, mil määral võimaldab raamleping Eesti–USA kahepoolses lepingus piiritleda andmete edasiste saajate ringi, kehtestada andmete edasisele kasutamisele piiranguid ja kontrollida nende piirangute tegelikku järgimist.
JDM toetab artikli 12 lõikes 4 ette nähtud võimalust seada konkreetsel juhul täiendavaid tingimusi ja saada teavet andmete hilisema kasutamise kohta. Samas vajab selgitamist, kuidas suhestub üldiste, juhtumi asjaoludega sidumata andmekaitsetingimuste keeld võimalusega leppida kahepoolses lepingus kokku piisavates püsivates kaitsemeetmetes.
4. Kolmandatele riikidele edastamise nõusolekunõude säilitamine
JDM toetab nõuet, mille kohaselt võib saadud andmeid edastada kolmanda riigi avalikule asutusele või rahvusvahelisele organisatsioonile üksnes andmed algselt edastanud asutuse eelneval nõusolekul. Nõusoleku andmisel tuleb muu hulgas arvestada kolmandas riigis tagatud andmekaitsetasemega. JDM peab seda oluliseks kaitsemehhanismiks, mis tuleb raamlepingus säilitada.
5. Säilitamistähtaegade kohaldumine edasisele kasutamisele
JDM võib pidada sobivaks artikli 19 lähenemist, mille kohaselt nähakse konkreetsed säilitamistähtajad ette kahepoolsetes lepingutes ja neid vaadatakse vähemalt kord aastas üle, ilma et raamleping ise kehtestaks ühtsed tähtajad. Samas peab olema selge, kas ja kuidas kohalduvad Eesti–USA kahepoolses lepingus kokku lepitud säilitamistähtajad ka andmete teisesele kasutamisele ja teistele asutustele edastamisele. JDM peab oluliseks, et edasine kasutamine ei võimaldaks kokkulepitud säilitamispiirangutest mööda minna.
6. Andmesubjekti õiguste ja õiguskaitse praktiline tõhusus
JDM peab oluliseks, et raamlepinguga tagatud õigused oleksid ELi isikutele USA-s ka sisuliselt tõhusad ja praktiliselt kasutatavad. See puudutab õigust küsida juurdepääsu oma andmetele, nõuda parandamist, kustutamist/blokeerimist jm ning kasutada halduslikke ja kohtulikke õiguskaitsevahendeid. JDM palub täpsustada, kuidas on nende õiguste tegelik kasutamine tagatud olukorras, kus menetlused lähtuvad õiguskaitset pakkuva riigi õigusest ning juurdepääsu võib piirata muu hulgas julgeoleku, uurimise, õiguskaitseteabe või teiste isikute õiguste kaitseks. Õiguste sätestamise kõrval peab olema selge, millised võimalused on isikul piiranguid vaidlustada ja oma õiguste rikkumise korral tõhusat kaitset saada.
7. Sõltumatu ja tõhusa järelevalve tagamine
JDM peab oluliseks, et artiklis 26 ette nähtud järelevalve oleks mõlemal poolel tegelikult sõltumatu ja tõhus. Institutsionaalselt ühesugune mudel ei ole iseenesest vajalik, kuid USA eri järelevalveinstitutsioonide ülesannete jaotus peab tagama andmetöötluse tervikliku kontrolli. JDM palub selgitada, kuidas on inspectors general’i, chief privacy officers’i, accountability offices’i ning privacy/civil liberties bodies’i vahel jaotatud pädevus, kuidas on tagatud nende sõltumatus ning kuidas välditakse järelevalvelünki.
8. Automatiseeritud riskihindamise ja otsustamise kaitsemeetmed
JDM peab oluliseks selgelt piiritleda kriteeriumid, mille alusel otsustatakse konkreetse isiku kohta automaatpäringu tegemine. Trendianalüüsil, õiguskaitsejuhtumitel või kriminaalteabel põhinevate riskihinnangute ja stsenaariumide kasutamisel tuleb tagada päringute vajalikkus ja proportsionaalsus ning artiklis 7 sätestatud põhjendamatu diskrimineerimise keelu järgimine. Üldiste riskiprofiilide kasutamisega peavad kaasnema piisavad kontrollimehhanismid. Samuti peab JDM vajalikuks täpsustada artiklis 21 lubatud erandeid üksnes automatiseeritud töötlemisel põhinevate olulise negatiivse mõjuga otsuste piirangust. Kui sellised otsused on poole õiguse alusel lubatud, peab isiku võimalus taotleda inimese sekkumist olema sisuline ja praktiliselt kasutatav.