Asmens duomenų apsauga
Asmens duomenų apsauga ir pagarba privačiam gyvenimui yra vienos pagrindinių Europos Sąjungos teisių. Europos Parlamentas visuomet primygtinai pabrėžia, kad būtina užtikrinti pusiausvyrą tarp siekio didinti saugumą ir užtikrinti žmogaus teises, įskaitant teisę į duomenų apsaugą ir privatumą. 2018m. gegužės mėn. įsigaliojo naujos ES duomenų apsaugos taisyklės, kurios skaitmeniniame amžiuje padės sustiprinti piliečių teises ir supaprastinti taisykles įmonėms. Europos Parlamento užsakymu atlikti tyrimai rodo, kad ES teisės aktai, susiję su duomenų srautų reguliavimu, Europos Sąjungos BVP kasmet papildo 51,6mlrd.EUR. Europos Parlamento Tyrimo komiteto programos „Pegasus“ ir lygiaverčių šnipinėjimo programų naudojimui tirti (PEGA komitetas) užsakymu parengtas tyrimas patvirtina duomenų apsaugos svarbą ginant demokratiją ir asmens laisves ES.
Teisinis pagrindas
Sutarties dėl Europos Sąjungos veikimo (SESV) 16straipsnis;
ES pagrindinių teisių chartijos 7 ir 8straipsniai.
Tikslai
Sąjunga privalo užtikrinti, kad būtų nuosekliai taikoma ES pagrindinių teisių chartijoje įtvirtinta pagrindinė teisė į duomenų apsaugą. Atsižvelgiant į eksponentinį perduodamų duomenų apimties augimą, kurio didžiausia dalis tenka ES, JAV ir Kanadai, reikia stiprinti ES poziciją dėl asmens duomenų apsaugos visose ES politikos srityse.
ėᾱ
A. Institucinė sistema
1. Lisabonos sutartis
Prieš įsigaliojant Lisabonos sutarčiai, teisės aktai dėl asmens duomenų apsaugos laisvės, saugumo ir teisingumo erdvėje priklausė pirmajam ramsčiui (duomenų apsauga asmeniniais ir komerciniais tikslais, kuriai buvo taikomas Bendrijos metodas) ir trečiajam ramsčiui (duomenų apsauga teisėsaugos tikslais, kuri buvo užtikrinama tarpvyriausybiniu lygmeniu). Taigi, sprendimai šiose dviejose srityse buvo priimami laikantis skirtingų taisyklių. Ramsčių sistemos nebeliko įsigaliojus Lisabonos sutarčiai, kurioje numatytas tvirtesnis aiškesnės ir veiksmingesnės duomenų apsaugos sistemos vystymo pagrindas, be to, numatyti nauji Parlamento, tapusio viena iš teisėkūros institucijų, įgaliojimai. SESV 16straipsnyje numatyta, kad Parlamentas ir Taryba nustato fizinių asmenų apsaugos taisykles Sąjungos institucijoms, įstaigoms, organams ir agentūroms bei valstybėms narėms tvarkant asmens duomenis, kai vykdoma veikla yra susijusi su Sąjungos teisės taikymo sritimi.
2. Laisvės, saugumo ir teisingumo erdvės strateginės gairės
Po Tamperės ir Hagos programų (priimtų atitinkamai 1999m. spalio mėn. ir 2004m. lapkričio mėn.) 2009m. gruodžio mėn. Europos Vadovų Taryba patvirtino naują daugiametę 2010–2014m. laikotarpio laisvės, saugumo ir teisingumo erdvės programą, žinomą Stokholmo programos pavadinimu. Vadovaudamasi SESV 68straipsniu, Europos Vadovų Taryba 2014m. birželiomėn. išvadose apibrėžė ateinančių metų teisėkūros ir veiksmų planavimo strategines gaires, susijusias su laisvės, saugumo ir teisingumo erdve. Vienas svarbiausių tikslų– užtikrinti geresnę asmens duomenų apsaugą ES.
B. Pagrindiniai teisės aktai dėl duomenų apsaugos
1. ES pagrindinių teisių chartija
Europos Sąjungos pagrindinių teisių chartijos 7 ir 8straipsniuose pripažįstama, kad pagarba privačiam gyvenimui ir asmens duomenų apsaugos užtikrinimas yra glaudžiai susijusios, bet savarankiškos pagrindinės teisės.
2. Europos Taryba
a. 1981m. 108-oji konvencija
1981m. sausio 28d. Europos Tarybos 108-oji konvencija dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu– pirmas duomenų apsaugos srityje priimtas teisiškai privalomas tarptautinis dokumentas. Jos tikslas– užtikrinti, kad, tvarkant asmens duomenis automatizuotai, būtų gerbiamos kiekvieno asmens teisės ir pagrindinės laisvės, o svarbiausia– teisė į privatų gyvenimą. Protokole, kuriuo iš dalies keičiama Konvencija, siekiama išplėsti konvencijos taikymo sritį, padidinti duomenų apsaugos lygį ir veiksmingumą.
b. Europos žmogaus teisių konvencija (EŽTK)
1950m. lapkričio 4d. Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8straipsnyje įtvirtinta kiekvieno asmens teisė į pagarbą privačiam ir šeimos gyvenimui, būsto neliečiamybę ir susirašinėjimo slaptumą.
3. Šiuo metu galiojantys ES teisės aktai dėl duomenų apsaugos
a. Bendrasis duomenų apsaugos reglamentas (BDAR)
2016m. balandžio 27d. Europos Parlamento ir Tarybos reglamentas (ES)2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva95/46/EB (Bendrasis duomenų apsaugos reglamentas) pradėtas taikyti 2018m. gegužėsmėn. Šiomis taisyklėmis siekiama visus ES piliečius apsaugoti nuo privatumo ir duomenų saugumo pažeidimų pasaulyje, kuriame vis didesnį poveikį turi duomenys, tuo pačiu metu sukuriant aiškesnę ir nuoseklesnę sistemą įmonėms. Piliečių teisės apima aiškų ir išreikštą sutikimą, kad jų duomenys būtų tvarkomi, ir teisę gauti aiškią ir suprantamą informaciją apie šį tvarkymą, teisę būti pamirštam: piliečiai gali prašyti, kad jų duomenys būtų ištrinti, teisę perkelti duomenis iš vieno paslaugų teikėjo saugyklos į kito paslaugų teikėjo saugyklą (pvz., pereinant iš vieno socialinio tinklo į kitą) ir teisę žinoti, kada buvo įsilaužta į asmens duomenų sistemas. Naujos taisyklės taikomos visoms ES veikiančioms bendrovėms, net jei jos įsikūrusios už ES ribų. Be to, galima taikyti taisomąsias priemones, pvz., įspėjimus ir nurodymus, ar baudas bendrovėms, kurios nesilaiko taisyklių. 2020. birželio 24d. Europos Komisija pateikė [1].
b. Duomenų apsaugos teisėsaugos srityje direktyva
2018m. gegužės mėnesį pradėta taikyti 2016m. balandžio 27d. Europos Parlamento ir Tarybos direktyva (ES)2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, ir kuriuo panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR. Pagal direktyvą saugoma piliečių pagrindinė teisė į duomenų apsaugą, kai asmens duomenis naudoja teisėsaugos institucijos. Ja užtikrinama, kad nukentėjusiųjų, liudytojų ir įtariamųjų asmens duomenys būtų tinkamai apsaugoti, ir palengvintas tarpvalstybinis bendradarbiavimas kovojant su nusikalstamumu ir terorizmu. 2022m. liepos 25d. Europos Komisija kiek vėluodama paskelbė . Vėliau Piliečių laisvių, teisingumo ir vidaus reikalų (LIBE) komiteto užsakymu atliktame vertinimo tyrime pateiktas kritiškas Teisėsaugos direktyvos įgyvendinimo vertinimas[2].
c. Direktyva dėl privatumo ir elektroninių ryšių
2002m. liepos 12d. Europos Parlamento ir Tarybos dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) 2009m. lapkričio 25d. buvo iš dalies pakeista . Joje sprendžiamas keblus duomenų saugojimo klausimas, kuris buvo ne kartą pateiktas Europos Sąjungos Teisingumo Teismui (ESTT) ir dėl kurio buvo priimta daug sprendimų, paskutinis iš jų– Šiuose sprendimuose padaryta išvada, kad pagal ES teisę draudžiamas bendras ir nediferencijuotas srauto ir buvimo vietos duomenų saugojimas.
Jau kurį laiką tebevyksta diskusijos dėl 2017metų dėl teisės į privatų gyvenimą ir asmens duomenų apsaugos elektroninių ryšių sektoriuje, kuriuo panaikinama Direktyva2002/58/EB (Reglamentas dėl privatumo ir elektroninių ryšių). Europos Parlamento ekspertai nurodė, kad Parlamentas turėtų pasipriešinti Tarybos pastangoms neleisti taikyti Europos duomenų apsaugos principų[3].
d. Asmens duomenų tvarkymui Sąjungos institucijose ir įstaigose taikomas reglamentas
2018m. gruodžio 11d. įsigaliojo 2018m. spalio 23d. Europos Parlamento ir Tarybos dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB)Nr.45/2001 ir Sprendimas Nr.1247/2002/EB.
e. Duomenų apsaugos straipsniai konkrečių sektorių teisės aktuose
Be pirmiau nurodytų pagrindinių duomenų apsaugos teisės aktų, konkrečios nuostatos dėl duomenų apsaugos taip pat nustatytos konkrečius sektorius reglamentuojančiuose teisės aktuose, kaip antai:
- 2016m. balandžio 27d. Europos Parlamento ir Tarybos direktyvos (ES)2016/681 dėl keleivio duomenų įrašo (PNR) duomenų naudojimo teroristinių nusikaltimų ir sunkių nusikaltimų prevencijos, nustatymo, tyrimo ir patraukimo už juos baudžiamojon atsakomybėn tikslais 13straipsnyje (dėl asmens duomenų apsaugos);
- 2004m. balandžio 29d. dėl vežėjų įpareigojimo perduoti keleivių duomenis (API direktyva) 6straipsnyje (dėl duomenų tvarkymo). Ši direktyva bus panaikinta dviem naujais reglamentais, dėl kurių Parlamento plenariniame posėdyje balsavimas vyko 2024m. balandžio 24d.: dėl ir dėl [4];
- 2016m. gegužės 11d. Europos Parlamento ir Tarybos reglamentas (ES)2016/794 dėl Europos Sąjungos teisėsaugos bendradarbiavimo agentūros (Europolo) VIskyriuje (dėl duomenų apsaugos priemonių);
- 2017m. spalio 12d. Tarybos reglamento (ES)2017/1939, kuriuo įgyvendinamas tvirtesnis bendradarbiavimas Europos prokuratūros įsteigimo srityje, VIIIskyriuje (dėl duomenų apsaugos).
4. Pagrindiniai ES tarptautiniai susitarimai dėl duomenų perdavimo
a. Komercinių duomenų perdavimas: sprendimai dėl tinkamumo
Pagal Bendrojo duomenų apsaugos reglamento 45straipsnį Komisija turi įgaliojimus nustatyti, ar ES nepriklausanti šalis siūlo tinkamą duomenų apsaugos lygį pagal savo vidaus teisės aktus arba prisiimtus tarptautinius įsipareigojimus.
Kadangi perduodamų duomenų srautas tarp ES ir Šiaurės Amerikos eksponentiškai išaugo, nes JAV dominuoja privati reklama ir sekimas internete[5], Parlamentas ėė ne vieną DZܳą, kurioje išreikštas susirūpinimas dėl transatlantinių duomenų srautų. Visų pirma, Parlamentas mano, kad sprendimas dėl ES ir JAV privatumo skydo neužtikrina tinkamo apsaugos lygio, kurio reikalaujama pagal ES teisę, nors ES Teisingumo Teismas yra ne kartą pripažinęs negaliojančiais Europos Komisijos sprendimus dėl tinkamumo, susijusius su JAV (žr. 2015m. ES Teisingumo Teismo sprendimą dėl „saugaus uosto“ principų byloje ir 2020. sprendimą dėl ES ir JAV privatumo skydo byloje ).
Nepaisant to, kad JAV nebuvo atlikta duomenų apsaugos režimo reforma, Europos Komisija pasiekė dar vieną susitarimą su JAV ir pateikė dėl dar vienos ES ir JAV duomenų privatumo sistemos. LIBE komitetui pateikus 貹ū⳾ą, 2023m. gegužės 11d. Parlamentas ėė DZܳą dėl ES ir JAV duomenų privatumo sistemos teikiamos apsaugos tinkamumo, kurioje padarė išvadą, kad ES ir JAV duomenų privatumo sistema neužtikrina esminio apsaugos lygio lygiavertiškumo, ir paragino Komisiją tęsti derybas su JAV kolegomis, tačiau nepriimti išvados dėl tinkamumo, kol nebus visapusiškai įgyvendintos visos Parlamento rezoliucijoje ir Europos duomenų apsaugos valdybos (EDAV) nuomonėje pateiktos rekomendacijos.
2023m. liepos 10d. Komisija ėė trečiąją .
b. ES ir JAV bendrasis susitarimas
Parlamentas pagal pritarimo procedūrą dalyvavo tvirtinant ES ir JAV susitarimą dėl asmens informacijos, susijusios su nusikalstamų veikų prevencija, tyrimu, atskleidimu ar baudžiamuoju persekiojimu už jas, apsaugos, taip pat vadinamą „bendruoju susitarimu“. Šio susitarimo tikslas– užtikrinti asmeninės informacijos, perduodamos teisėsaugos tikslais vykdant transatlantinį bendradarbiavimą, aukšto lygmens apsaugą (kovos su terorizmu ir organizuotu nusikalstamumu srityje).
c. ES ir JAV, ES ir Australijos bei ES ir Kanados susitarimai dėl keleivio duomenų įrašo (PNR)
ES su Jungtinėmis Amerikos Valstijomis, Australija ir Kanada yra pasirašiusi dvišalius susitarimus dėl keleivio duomenų įrašų (PNR). PNR duomenys apima informaciją, kurią keleiviai pateikia užsakydami skrydžius arba į juos registruodamiesi, ir duomenis, kuriuos oro vežėjai surenka savo komerciniais tikslais. PNR duomenis gali naudoti teisėsaugos institucijos, kovodamos su sunkiais nusikaltimais ir terorizmu.
Kalbant apie Kanadą, 2017m. liepos 26d. Nuomonėje1/15 ESTT paskelbė, kad 2014m. birželio 25d. pasirašytas numatomas ES ir Kanados susitarimas esama forma negali būti sudarytas. Atsižvelgiant į šią Nuomonę, 2018m. birželiomėn. pradėtos (ir šiuo metu tebevyksta) naujos derybos su Kanada dėl PNR.
2020. vasario 18d. Taryba ėė sprendimą, kuriuo suteikiami įgaliojimai pradėti ES ir Japonijos derybas dėl susitarimo dėl PNR duomenų perdavimo ir naudojimo, kurios taip pat tebevyksta.
d. ES ir JAV Terorizmo finansavimo sekimo programa (TFSP)
ES ir JAV pasirašė dvišalį susitarimą dėl finansinių mokėjimų pranešimų duomenų tvarkymo ir perdavimo iš ES į JAV Terorizmo finansavimo sekimo programos tikslais.
5. Duomenų apsaugos aspektai rezoliucijose dėl konkrečių sektorių
Keliose Parlamento rezoliucijose dėl įvairių politikos sričių taip pat kalbama apie asmens duomenų apsaugą, siekiant užtikrinti suderinamumą su bendrais ES duomenų apsaugos teisės aktais ir privatumo apsauga tuose konkrečiuose sektoriuose.
6. ES duomenų apsaugos priežiūros institucijos
– tai nepriklausoma priežiūros institucija, užtikrinanti, kad ES institucijos ir įstaigos laikytųsi savo prievolių, susijusių su duomenų apsauga. Svarbiausios EDAPP pareigos– priežiūra, konsultavimas ir bendradarbiavimas.
(anksčiau– 29straipsnio darbo grupė) yra ES įstaiga, turinti juridinio asmens statusą ir nepriklausomą sekretoriatą. Europos duomenų apsaugos valdybą sudaro ES nacionalinių priežiūros institucijų, EDAPP ir Komisijos atstovai. Europos duomenų apsaugos valdyba turi plačius įgaliojimus spręsti ginčus tarp nacionalinių priežiūros institucijų ir teikti konsultacijas ir rekomendacijas dėl BDAR ir Duomenų apsaugos teisėsaugos srityje direktyvos pagrindinių sąvokų.
Europos Parlamento vaidmuo
Parlamentas, užtikrindamas, kad privatumo apsauga taptų politiniu prioritetu, atliko labai svarbų vaidmenį formuojant ES teisės aktus asmens duomenų apsaugos srityje. Be to, pagal įprastą teisėkūros procedūrą Parlamentas su Taryba lygiomis teisėmis vykdė duomenų apsaugos reformą. 2017m. Parlamentas baigė darbą, susijusį su paskutiniu reikšmingu sistemos elementu– nauju reglamentu dėl privatumo ir elektroninių ryšių, ir tikisi, kad Taryba galiausiai užbaigs savo dalį ir bus galima pradėti tarpinstitucines derybas.
Daugybėje rezoliucijų Parlamentas išreiškė abejonių dėl ES piliečiams pagal ES ir JAV „saugaus uosto“ sistemą suteikiamos apsaugos tinkamumo, o vėliau– pagal ES ir JAV „privatumo skydą“ suteikiamos apsaugos tinkamumo. Byloje paskelbus negaliojančiu Europos Komisijos dėl ES ir JAV susitarimu dėl privatumo skydo užtikrinamos apsaugos tinkamumo, Europos Parlamentas, atsižvelgdamas į susirūpinimą, kad JAV vyriausybės sekimo įgaliojimai nebuvo apriboti, kaip reikalaujama pagal ES teisę, ir kad ES piliečiai neturėjo veiksmingų teisių gynimo priemonių, ėė DZܳą, kurioje apgailestaujama dėl to, kad Komisija santykius su JAV iškėlė aukščiau už ES piliečių interesus[6].
Po to, kai 2023m. gegužės 11d. buvo pateiktas LIBE komiteto 貹ū⳾, Parlamentas DZܳą dėl ES ir JAV duomenų privatumo sistemos teikiamos apsaugos tinkamumo, kurioje padarė išvadą, kad ES ir JAV duomenų privatumo sistema neužtikrinamas esminis apsaugos lygio lygiavertiškumas, ir paragino Komisiją tęsti derybas su JAV kolegomis, tačiau nepriimti išvados dėl tinkamumo, kol nebus visapusiškai įgyvendintos visos rezoliucijoje ir Europos duomenų apsaugos valdybos nuomonėje pateiktos rekomendacijos. 2023m. liepos 10d. Komisija ėė sprendimą dėl .
Parlamentas įsteigė Tyrimo komitetą programos „Pegasus“ ir lygiaverčių šnipinėjimo programų naudojimui tirti ES valstybėse narėse (PEGA). PEGA komitetas, kuriam pirmininkauja EP narys Jeroen Lenaers, nuodugniai ištyrė šnipinėjimo programų naudojimo praktiką tiriant opozicijos narius, žurnalistus, teisininkus ir pilietinės visuomenės aktyvistus, taip pat tai, kokį poveikį tokia praktika daro demokratiniams procesams ir asmens teisėms ES. Atlikdamas tyrimą PEGA komitetas konsultavosi su žymiausiais mokslininkais, specialistais ir valdžios institucijomis ES ir visame pasaulyje. Parlamento teminis skyrius parengė PEGA komiteto komandiruočių į 쾱ą, Ұ쾱ą ir Kiprą ataskaitas. 2023m. gegužės 8d. PEGA komitetas balsavo, kad patvirtintų savo galutinį pranešimą (pranešėja– EP narė Sophia in’tVeld) dėl su programos „Pegasus“ ir lygiaverčių šnipinėjimo programų naudojimu susijusių galimų pažeidimų ir netinkamo administravimo taikant Sąjungos teisę tyrimo, į kurią, be daugelio kitų punktų, įtraukta ir rekomendacija sukurti ES technologijų laboratoriją, skirtą šnipinėjimo programų naudojimo prieš ES piliečius moksliniams tyrimams ir stebėsenai. 2023m. birželio 15d. plenariniame posėdyje priimta Parlamento rekomendacija Tarybai ir Komisijai dėl PEGA komiteto ataskaitos. Tačiau Komisija laiku nesureagavo į rekomendaciją ir užblokavo Europos Parlamento narių pasiūlytą bandomąjį ES technologijų laboratorijos projektą.
Parlamentas užsakė atlikti įvairių mokslinių tyrimų, kad galėtų rasti mokslinį pagrindą savo teisėkūros veiklai technologinių pokyčių ir duomenų apsaugos srityje, įskaitant tyrimą dėl Bendrojo duomenų apsaugos reglamento(BDAR) poveikio dirbtiniam intelektui, tyrimą dėl biometrinio atpažinimo ir elgesio nustatymo, tyrimą dėl metavisatos ir neseniai paskelbtą tyrimą dėl teisės ir IRT[7].
Pablo Abril Marti / Mariusz Maciejewski