You have a complaint against an EU institution or body?

Euroopa Ombudsmani otsus, sise-eeskirjade kohta, milles käsitletakse andmesubjektide teatavate õiguste piiramist seoses isikuandmete töötlemisega

EUROOPA OMBUDSMAN,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes, ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ, (1) eriti selle artiklit 25,

olles konsulteerinud Euroopa Andmekaitseinspektoriga

ning arvestades järgmist:

(1)

Euroopa Ombudsmani on volitused läbi viia haldusjuurdlusi, distsiplinaarmenetluste eelmenetlusi, distsiplinaarmenetlusi ja ametist kõrvaldamise menetlusi kooskõlas Euroopa Liidu ametnike personalieeskirjade ja Euroopa Liidu muude teenistujate teenistustingimustega, mis on sätestatud nõukogu määruses (EMÜ, Euratom, ESTÜ) nr 259/68 (2) (edaspidi „personalieeskirjad“), ja Euroopa Ombudsmani 4. novembri 2004. aasta otsuses, millega kehtestati haldusjuurdluste ja distsiplinaarmenetluste läbiviimise üldised rakendussätted. Vajaduse korral teatab ta juhtumitest ka OLAFile.

(2)

Euroopa Ombudsmani töötajad on kohustatud teatama liidu huve kahjustavast võimalikust ebaseaduslikust tegevusest, sh pettusest ja korruptsioonist. Samuti on töötajad kohustatud teatama töökohustuste täitmata jätmisest, mis võib olla liidu ametnike kohustuste oluline eiramine. Seda reguleeritakse Euroopa Ombudsmani 20. veebruari 2015. aasta otsusega rikkumisest teatamist käsitlevate sise-eeskirjade kohta.

(3)

Euroopa Ombudsman on kehtestanud poliitika tegelike või võimalike psühholoogilise või seksuaalse ahistamise juhtumite ennetamiseks ning tõhusaks lahendamiseks töökohal oma 18. detsembri 2017. aasta otsusega. Otsusega kehtestati mitteametlik menetlus, mille abil saab väidetav ahistamise ohver võtta ühendust Euroopa Ombudsmani kontaktisikutega eetikaküsimustes ja/või pöörduda lepituskomitee poole.

(4)

Euroopa Ombudsman võib korraldada ka Euroopa Liidu salastatud teabe turbe-eeskirjade võimaliku rikkumisega seotud juurdlusi.

(5)

Euroopa Ombudsmani tegevuse suhtes viiakse läbi nii sise- kui ka välisauditeid.

(6)

Haldusjuurdluste, auditite ja uurimistega seoses teeb Euroopa Ombudsman koostööd muude liidu institutsioonide, organite ja asutustega.

(7)

Euroopa Ombudsman võib teha koostööd kolmandate riikide ametiasutuste ja rahvusvaheliste organisatsioonidega nende asutuste taotlusel või omal algatusel.

(8)

Euroopa Ombudsman võib teha koostööd ka ELi liikmesriikide ametiasutustega nende asutuste taotlusel või omal algatusel.

(9)

Euroopa Ombudsman viib läbi juurdlusi väidetavate haldusomavoli juhtumite kohta Euroopa Liidu institutsioonide, organite ja asutuste tegevuses, v.a Euroopa Liidu Kohtu tegevus, kui see tegutseb õigusemõistjana. Sellega seoses võib Euroopa Ombudsmanil olla vaja tagada, et osapooltelt ja juurdluse käigus saadud dokumentides sisalduvad isikuandmed jääksid konfidentsiaalseks. Euroopa Ombudsmanil võib olla vaja kaitsta ka kaebuse esitajate ja muude juhtumiga seotud isikute õigusi ja vabadusi.

(10)

Oma ülesannete täitmiseks kogub ja töötleb Euroopa Ombudsman teavet ja isikuandmete eri kategooriaid, sh füüsilise isiku identifitseerimisandmed, kontaktandmed, ametiülesanded ja kohustused, teave eraelulise ning tööalase käitumise ja tulemuslikkuse kohta ning finantsandmed. Euroopa Ombudsman tegutseb vastutava töötlejana.

(11)

Määruse (EL) 2018/1725 (edaspidi „määrus“) kohaselt on Euroopa Ombudsman seega kohustatud andma andmesubjektidele teavet selliste töötlemistoimingute kohta ja järgima nende kui andmesubjektide õigusi.

(12)

Euroopa Ombudsmanil võib olla vaja ühitada need õigused haldusjuurdluste, auditite, uurimiste ja kohtumenetluste eesmärkidega. Samuti võib tal olla vaja tasakaalustada andmesubjekti õigusi muude andmesubjektide põhiõiguste ja -vabaduste suhtes. Selleks on Euroopa Ombudsmanil määruse artikli 25 kohaselt teatavatel rangetel tingimustel võimalus piirata määruse artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist, kui selle sätted vastavad artiklites 14–20 kehtestatud õigustele ja kohustustele. Kui aluslepingute alusel vastu võetud õigusaktidega ei ole piiranguid kehtestatud, tuleb Euroopa Ombudsmanil nende õiguste piiramiseks vastu võtta sise-eeskirjad.

(13)

Euroopa Ombudsmanil võib näiteks olla vaja piirata andmesubjekti teavitamist isikuandmete töötlemisest haldusjuurdluse esialgses hindamisetapis või uurimise käigus enne juhtumi võimalikku lõpetamist või distsiplinaarmenetluse eeletapis. Teatud tingimustel võib sellise teabe andmine oluliselt mõjutada Euroopa Ombudsmani suutlikkust juurdlust tõhusalt läbi viia, näiteks kui esineb risk, et asjaomane isik võib hävitada asitõendid või mõjutada võimalikke tunnistajaid enne küsitlemist. Euroopa Ombudsmanil võib olla vaja kaitsta ka tunnistajate ja muude juhtumiga seotud isikute õigusi ja vabadusi.

(14)

Võib olla vaja kaitsta anonüümseks jääda soovinud tunnistaja või rikkumisest teataja anonüümsust. Sellisel juhul võib Euroopa Ombudsman otsustada piirata juurdepääsu nende isikute identifitseerimisandmetele, ütlustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.

(15)

Võib olla vaja kaitsta seoses ahistamismenetlusega Euroopa Ombudsmani kontaktisikutega eetikaküsimustes ja/või lepituskomiteega ühendust võtnud töötaja konfidentsiaalset teavet. Sellistel juhtudel võib Euroopa Ombudsmanil olla vaja piirata juurdepääsu väidetava ohvri, väidetava ahistaja ja teiste seotud isikute identifitseerimisandmetele, ütlustele ja muudele isikuandmetele, et kaitsta nende õigusi ja vabadusi.

(16)

Euroopa Ombudsman võib näiteks piirata teavet, mida ta annab kaebuses või juurdluse dokumentides nimetatud andmesubjektile tema isikuandmete töötlemise kohta Euroopa Liidu institutsioonis, organis või asutuses toimunud väidetavate haldusomavoli juhtumite uurimise ajal. Sellise teabe andmine võib oluliselt mõjutada Euroopa Ombudsmani suutlikkust juurdlust tõhusalt läbi viia, näiteks kui esineb risk, et asjaomane isik võib juurdlust kahjustada. Euroopa Ombudsmanil võib olla vaja kaitsta ka kaebuse esitajate ja muude juhtumiga seotud isikute õigusi ja vabadusi.

(17)

Euroopa Ombudsman peaks kohaldama piiranguid üksnes juhul, kui need on kooskõlas põhiõiguste ja -vabaduste olemusega ning demokraatlikus ühiskonnas tingimata vajalikud ja proportsionaalsed. Euroopa Ombudsman peaks selgitama nende piirangute põhjusi.

(18)

Vastutuse põhimõtte kohaselt peaks Euroopa Ombudsman piirangute kohaldamist dokumenteerima.

(19)

Oma ülesannete raames muude organisatsioonidega vahetatavate isikuandmete töötlemisel konsulteerivad Euroopa Ombudsman ja need organisatsioonid vastastikku piirangute kehtestamise võimalike aluste ning piirangute vajalikkuse ja proportsionaalsuse osas, kui see ei kahjusta Euroopa Ombudsmani tegevust.

(20)

Määruse artikli 25 lõikes 6 kohustatakse vastutavat töötlejat teavitama andmesubjekti piirangu kohaldamise peamistest põhjustest ning tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile (EDPS).

(21)

Määruse artikli 25 lõike 8 kohaselt võib Euroopa Ombudsman andmesubjektile piirangu kohaldamise põhjuste kohta teabe esitamise edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui see tühistaks piirangu mõju. Euroopa Ombudsman peaks hindama igal üksikjuhul eraldi, kas piirangu kohta teabe esitamisel kaotaks piirang oma mõju.

(22)

Euroopa Ombudsman peaks tühistama piirangu kohe, kui piirangu aluseks olevad tingimused enam ei kehti, ning hindama neid tingimusi korrapäraselt.

(23)

Andmesubjektide õiguste ja vabaduste parima kaitse tagamiseks ning kooskõlas määruse artikli 44 lõikega 1 tuleks andmekaitseametnikuga aegsasti konsulteerida mis tahes kohaldatavate piirangute osas, et kontrollida nende vastavust käesolevale otsusele.

(24)

Määruse artikli 16 lõikes 5 ja artikli 17 lõikes 4 on sätestatud erandid seoses andmesubjektide õigusega saada teavet ja tutvuda andmetega. Kui need erandid kehtivad, ei ole Euroopa Ombudsmanil vaja kohaldada piirangut käesoleva otsuse alusel,

ON TEINUD JÄRGMISE OTSUSE:

Artikkel 1- Reguleerimisese ja kohaldamisala

1. Käesolevas otsuses sätestatakse eeskirjad, mille kohaselt võib Euroopa Ombudsman määruse artikli 25 alusel piirata määruse artiklite 4, 14–22, 35 ja 36 kohaldamist.

2. Euroopa Ombudsmani bürood kui vastutavat töötlejat esindab Euroopa Ombudsman.

Artikkel 2- Piirangud

1. Euroopa Ombudsman võib piirata artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist, kui selle sätted vastavad artiklites 14–20 sätestatud õigustele ja kohustustele:

a)

vastavalt määruse artikli 25 lõike 1 punktidele b, c, f, g ja h, kui ta viib läbi haldusjuurdlusi, distsiplinaarmenetluste eelmenetlusi, distsiplinaarmenetlusi või ametist kõrvaldamise menetlusi personalieeskirjade artikli 86 ja IX lisa kohaselt ja kooskõlas Euroopa Ombudsmani 4. novembri 2004. aasta otsusega haldusjuurdluste ja distsiplinaarmenetluste läbiviimise kohta, samuti OLAFi teavitamisel juhtumitest;

b)

vastavalt määruse artikli 25 lõike 1 punktile h, kui tagatakse, et Euroopa Ombudsmani töötajad saavad konfidentsiaalselt teatada nende arvates toimunud rasketest rikkumistest, nagu on sätestatud Euroopa Ombudsmani 20. veebruari 2015. aasta otsuses rikkumisest teatamist käsitlevate sise-eeskirjade kohta;

c)

vastavalt määruse artikli 25 lõike 1 punktile h, kui tagatakse, et Euroopa Ombudsmani töötajad saavad esitada teavet seoses ahistamismenetlusega kontaktisikutele eetikaküsimustes ja/või lepituskomiteele, nagu on sätestatud Euroopa Ombudsmani otsuses ahistamise ennetamise ja selle eest kaitsmise poliitika kohta ombudsmani büroos;

d)

vastavalt määruse artikli 25 lõike 1 punktidele c, g ja h, kui Euroopa Ombudsmani tegevuse või allüksuste suhtes viiakse läbi siseauditeid;

e)

vastavalt määruse artikli 25 lõike 1 punktidele c, d, g ja h abi osutamisel liidu institutsioonidele, organitele ja asutustele või neilt abi saamisel või nendega koostöö tegemisel seoses käesoleva lõike punktides a–d nimetatud tegevustega ning vastavalt asjakohaste teenustaseme kokkulepetele, vastastikuse mõistmise memorandumitele ja koostöölepingutele;

f)

vastavalt määruse artikli 25 lõike 1 punktidele c, g ja h abi osutamisel kolmandate riikide ametiasutustele ja rahvusvaheliste organisatsioonidele või neilt abi saamisel või koostöö tegemisel selliste ametiasutuste või organisatsioonidega nende taotlusel või omal algatusel;

g)

vastavalt määruse artikli 25 lõike 1 punktidele c, g ja h abi osutamisel või abi saamisel ja koostöö tegemisel ELi liikmesriikide ametiasutustega nende taotlusel või omal algatusel;

h)

vastavalt määruse artikli 25 lõike 1 punktile e, kui töödeldakse isikuandmeid, mis on Euroopa Liidu Kohtu menetluste osapoolte või menetlusse astujate saadud dokumentides;

i)

vastavalt määruse artikli 25 lõike 1 punktile h, kui ta viib läbi juurdlusi Euroopa Liidu institutsioonide, organite ja asutuste tegevuses toimunud väidetavate haldusomavoli juhtumite kohta kooskõlas Euroopa Liidu toimimise lepingu artikliga 228 ja Euroopa Ombudsmani põhikirja ning rakendussätetega.

2. Kõik piirangud peavad järgima põhiõiguste ja -vabaduste olemust ning olema demokraatlikus ühiskonnas vajalikud ja proportsionaalsed.

3. Enne piirangute kohaldamist tehakse igal üksikjuhul eraldi vajalikkuse ja proportsionaalsuse kontroll. Piirangud piirduvad sellega, mis on seatud eesmärkide saavutamiseks tingimata vajalik.

4. Aruandekohustuse täitmiseks dokumenteerib Euroopa Ombudsman kohaldatavate piirangute põhjused, asjakohased alused lõikes 1 loetletute seast ning vajalikkuse ja proportsionaalsuse kontrolli tulemuse. Need registrikanded lisatakse registrisse, mis tehakse nõudmisel Euroopa Andmekaitseinspektorile kättesaadavaks. Euroopa Ombudsman koostab korrapäraselt aruandeid määruse artikli 25 kohaldamise kohta.

5. Oma ülesannete raames muudelt organisatsioonidelt saadud isikuandmete töötlemisel konsulteerib Euroopa Ombudsman nende organisatsioonidega piirangute kehtestamise võimalike aluste ning piirangute vajalikkuse ja proportsionaalsuse osas, kui see ei kahjusta Euroopa Ombudsmani tegevust.

Artikkel 3- Riskid andmesubjektide õigustele ja vabadustele

1. Piirangute kohaldamise tõttu andmesubjektide õigustele ja vabadustele avalduvate riskide hindamine ja kõnealuste piirangute kohaldamise periood dokumenteeritakse töötlemistoimingute registris, mida Euroopa Ombudsman peab kooskõlas määruse artikliga 31. See teave lisatakse ka määruse artikli 39 kohaselt tehtavatesse mis tahes andmekaitsealastesse mõjuhinnangutesse, mis käsitlevad neid piiranguid.

2. Piirangu vajalikkuse ja proportsionaalsuse üle otsustamisel võtab Euroopa Ombudsman arvesse võimalikke riske andmesubjekti õigustele ja vabadustele.

Artikkel 4- Kaitsemeetmed ja andmete säilitamise tähtajad

1. Euroopa Ombudsman rakendab kaitsemeetmeid, et hoida ära ebaseaduslik juurdepääs sellistele isikuandmetele, mille suhtes kohaldatakse või võidakse kohaldada piiranguid, ja nende andmete kuritarvitamine. Kaitsemeetmed hõlmavad tehnilisi ja korralduslikke meetmeid ning neid kirjeldatakse vajaduse korral Euroopa Ombudsmani siseotsustes, -menetlustes ja -rakenduseeskirjades. Kaitsemeetmed hõlmavad järgmist:

a)

rollide, vastutusalade ja menetlusetappide selge määratlemine;

b)

kui asjakohane, turvaline elektrooniline keskkond, mis takistab volitamata isikute ebaseaduslikku ja juhuslikku juurdepääsu elektroonilistele andmetele või nende edastamist;

c)

kui asjakohane, paberdokumentide turvaline säilitamine ja töötlemine;

d)

piirangute nõuetekohane jälgimine ja nende kohaldamise perioodiline läbivaatamine.

Punktis d nimetatud läbivaatamised toimuvad vähemalt kord iga kuue kuu tagant.

2. Piirangud tühistatakse kohe, kui nende aluseks olnud tingimused enam ei kehti.

3. Isikuandmeid säilitatakse kooskõlas Euroopa Ombudsmani kohaldatavate andmesäilituseeskirjadega, mis määratletakse artikli 31 kohaselt peetavates andmekaitse registreerimiskannetes. Säilitamistähtaja lõppedes kõik isikuandmed kustutatakse, muudetakse anonüümseks või edastatakse arhiividesse kooskõlas määruse artikliga 13.

Artikkel 5- Andmekaitseametniku osalemine

1. Euroopa Ombudsmani andmekaitseametnikku teavitatakse põhjendamatu viivituseta alati, kui andmesubjekti õigusi piiratakse käesoleva otsuse alusel. Andmekaitseametnikule antakse juurdepääs asjakohastele registrikannetele ja mis tahes dokumentidele faktiliste ja õiguslike asjaolude kohta.

2. Euroopa Ombudsmani andmekaitseametnik võib taotleda piirangu kohaldamise läbivaatamist. Euroopa Ombudsman teavitab andmekaitseametnikku kirjalikult taotletud läbivaatamise tulemustest.

3. Euroopa Ombudsman dokumenteerib andmekaitseametniku osalemise piirangute kohaldamises, sh temaga jagatava teabe.

Artikkel 6- Andmesubjektide teavitamine nende õiguste piiramisest

1. Euroopa Ombudsman lisab oma veebisaidil avaldatavatesse isikuandmete kaitse teadetesse andmesubjektidele suunatud üldise teabe andmesubjektide õiguste võimaliku piiramise kohta kooskõlas artikli 2 lõikega 1. Teave peab sisaldama seda, mis õigusi võidakse piirata, põhjusi, miks piiranguid võidakse kohaldada, ja piirangute võimalikku kestust.

2. Euroopa Ombudsman teavitab andmesubjekte individuaalselt nende õiguste praegustest või tulevastest piirangutest kirjalikult ja põhjendamatu viivituseta. Euroopa Ombudsman teavitab andmesubjekti piirangu kohaldamise peamistest põhjustest, tema õigusest pöörduda piirangu vaidlustamiseks andmekaitseametniku poole ja õigusest esitada kaebus Euroopa Andmekaitseinspektorile.

3. Euroopa Ombudsman võib piirangu põhjusi ja Euroopa Andmekaitseinspektorile kaebuse esitamise õigust käsitleva teabe andmist edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui see tühistaks piirangu mõju. Selle põhjendatust hinnatakse igal üksikjuhul eraldi. Euroopa Ombudsman esitab teabe andmesubjektile kohe, kui see ei tühista enam piirangu mõju.

Artikkel 7- Andmesubjekti teavitamine isikuandmetega seotud rikkumisest

1. Kui Euroopa Ombudsman on määruse artikli 35 lõike 1 alusel kohustatud teavitama andmesubjekti isikuandmetega seotud rikkumisest, võib ta erandjuhtudel osaliselt või täielikult piirata sellise teabe andmist. Sel juhul dokumenteerib ta teatises piirangu põhjused, piirangu kohaldamise õigusliku aluse kooskõlas artikliga 2 ning hinnangu selle vajalikkusele ja proportsionaalsusele. See teatis esitatakse Euroopa Andmekaitseinspektorile isikuandmetega seotud rikkumisest teatamisel.

2. Kui piirangu põhjused enam ei kehti, teavitab Euroopa Ombudsman asjaomast andmesubjekti isikuandmetega seotud rikkumisest, piirangu peamistest põhjustest ja tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile.

Artikkel 8- Elektroonilise side konfidentsiaalsus

1. Erandjuhtudel võib Euroopa Ombudsman määruse artikli 36 alusel piirata õigust elektroonilise side konfidentsiaalsusele. Sellised piirangud peavad olema kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2002/58/EÜ (3).

2. Kui Euroopa Ombudsman piirab õigust elektroonilise side konfidentsiaalsusele, teavitab ta asjaomast andmesubjekti oma vastuses andmesubjekti mis tahes taotlusele piirangu kohaldamise peamistest põhjustest ja tema õigusest esitada kaebus Euroopa Andmekaitseinspektorile.

3. Euroopa Ombudsman võib piirangu põhjusi ja Euroopa Andmekaitseinspektorile kaebuse esitamise õigust käsitleva teabe andmist edasi lükata, selle esitamata jätta või selle esitamisest keelduda, kui see tühistaks piirangu mõju. Selle põhjendatust hinnatakse igal üksikjuhul eraldi. Euroopa Ombudsman esitab andmesubjektile selle teabe kohe, kui see ei tühista enam piirangu mõju.

Artikkel 9- Jõustumine

Käesolev otsus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Strasbourg, 9. november 2020

Euroopa Ombudsmani nimel

Emily O’REILLY


(1) ELT L 295, 21.11.2018, lk 39.

(2) Nõukogu 29. veebruari 1968. aasta määrus (EMÜ, Euratom, ESTÜ) nr 259/68, millega kehtestatakse Euroopa ühenduste ametnike personalieeskirjad ja muude teenistujate teenistustingimused ning komisjoni ametnike suhtes ajutiselt kohaldatavad erimeetmed (EÜT L 56, 4.3.1968, lk 1).

(3) Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT L 201, 31.7.2002, lk 37).

Euroopa Ombudsmani otsus, sise-eeskirjade kohta, milles käsitletakse andmesubjektide teatavate õiguste piiramist seoses isikuandmete töötlemisega