EUROOPA KOMISJON
Brüssel,11.12.2025
COM(2025) 752 final
KOMISJONI ARUANNE EUROOPA PARLAMENDILE JA NÕUKOGULE,
milles kaalutakse ja hinnatakse määruse (EL) 2016/794 artikli 68 lõike 3 kohaselt määruses (EL) 2022/991, eelkõige selle artikli 4 lõike 1 punktis t, artikli 18 lõike 2 punktis e, artikli 18 lõikes 6a ja artiklites 18a, 26, 26a ja 26b sätestatud ülesannete rakendamise tegevusalast mõju seoses Europoli eesmärkidega ning nende ülesannete mõju põhiõiguste hartas sätestatud põhiõigustele ja -vabadustele
{SWD(2025) 404 final}
1.Hindamise ulatus
Euroopa Liidu Õiguskaitsekoostöö Ametil (Europol) on alates oma tegevuse algusest 1999. aastal olnud keskne roll võitluses raske piiriülese kuritegevuse ja terrorismiga ning temast on saanud Euroopas õiguskaitsealase koostöö peamine liikumapanev jõud. Julgeolekuolukord on viimase 30 aasta jooksul drastiliselt muutunud ning samamoodi on muutunud raske ja organiseeritud kuritegevuse olemus. Liikmesriikidel on tekkivate ohtudega tulemuslikuks tegelemiseks uued operatiivvajadused ja muutunud on ka nende ootused Europoli toetuse suhtes. Europoli asjakohasuse säilitamiseks ja suurendamiseks on seetõttu ameti volitused mitu korda uutega asendatud või neid on muudetud.
Määruses (EL) 2016/794
(edaspidi „Europoli määrus“) sätestatud Europoli volitusi muudeti viimati 2022. aastal määrusega (EL) 2022/991,
et tegeleda uute julgeolekuohtudega. Uues reaalsuses, kus kurjategijad kasutavad ära digiülemineku, uue tehnoloogia, üleilmastumise ja liikuvuse eeliseid, ei olnud Europoli määrus enam eesmärgipärane.
Määruse (EL) 2022/991
erieesmärgid olid järgmised:
-võimaldada eraõiguslike isikute ja õiguskaitseasutuste tõhusat koostööd, et tõkestada piiriüleste teenuste kuritarvitamist kurjategijate poolt;
-võimaldada õiguskaitseasutustel põhiõigusi täielikult järgides analüüsida suuri ja keerukaid andmekogumeid piiriüleste seoste tuvastamiseks;
-võimaldada liikmesriikidel kasutada õiguskaitses uusi tehnoloogialahendusi.
Lisaks muudeti määrusega (EL) 2022/991 Europoli suhtes kohaldatavaid andmekaitsenorme, et säilitada andmekaitse kõrge tase, tasakaalustades ameti uued isikuandmete töötlemise volitused üksikisikute eraelu puutumatuse ja isikuandmete kaitsega. Selleks et hõlbustada teabe liikumist, viidi kõnealuse määrusega Europoli suhtes kohaldatavad andmekaitsenormid suures osas kooskõlla teiste justiits- ja siseküsimuste (JSK) valdkonna ELi ametite ja organite suhtes määruse (EL) 2018/1875 (edaspidi „ELi andmekaitsemäärus“) IX peatüki alusel kohaldatavate normidega ning eeskirjadega, mida kohaldatakse liikmesriikide õiguskaitseasutuste (edaspidi „pädevad asutused“) suhtes nende riigisisese õiguse alusel, millega võeti üle direktiiv (EL) 2016/680 (õiguskaitsedirektiiv)
.
Käesolev aruanne on vastu võetud kooskõlas Europoli määruse artikli 68 lõike 3 kohase komisjoni kohustusega hinnata määruses (EL) 2022/991 sätestatud Europoli ülesannete tegevusalast mõju kolm aastat pärast määruse jõustumist. Vastavalt kaasseadusandjate antud volitustele on komisjon esiteks hinnanud isikuandmete töötlemist käsitlevate teatavate uute normide tegevusalast mõju seoses Europoli määruse artiklis 3 sätestatud Europoli eesmärkidega (nimelt toetada ja tugevdada liikmesriikide pädevate asutuste tegevust ja nende vastastikust koostööd Europoli pädevusse kuuluvate kuritegude ennetamisel ja nende vastu võitlemisel), teiseks hinnanud nende normide mõju põhiõiguste hartas sätestatud põhiõigustele ja -vabadustele (edaspidi „põhiõigused“) ning kolmandaks viinud läbi sellega seotud andmetöötlusülesannete kulude-tulude analüüsi.
Määruse läbivaatamise ettevalmistamiseks kogusid komisjoni talitused eri allikatest teavet ja tagasisidet ning pidasid Europoli ja liikmesriikidega sihtotstarbelisi konsultatsioone. Lisatud komisjoni talituste töödokumendis kirjeldatakse üksikasjalikult läbivaatamise üldist tausta ja metoodikat ning antakse põhjalik ülevaade tõendite allikatest ja konsultatsioonidest, mis kinnitavad käesolevas aruandes kokkuvõtlikult esitatud peamisi järeldusi.
2.Üldine taust
Kooskõlas Europoli määruse artikli 68 lõikega 3 hõlmab käesolev komisjoni aruanne määruse (EL) 2022/991 valitud sätteid ja selles keskendutakse Europoli töö viiele põhiaspektile.
(1)Välismõõde: Europoli määruse artikli 4 lõike 1 punkt t, mis käsitleb Europoli ettepanekul Schengeni infosüsteemi (SIS) sisestatavaid teavitavaid hoiatusteateid kolmandate riikide kodanike kohta
Võttes arvesse raskete kuritegude ja terrorismi ülemaailmset olemust, on ELi sisejulgeoleku seisukohast üha olulisem kolmandate riikide ja rahvusvaheliste organisatsioonide valduses olev teave, mis puudutab selliste kuritegude toimepanijaid ja isikuid, keda kahtlustatakse nende toimepanekus. Seetõttu on ELi õiguskaitsealase koostöö välismõõde, nagu ka Europoli roll liikmesriikide toetamisel nende partnerlustes kolmandate riikidega või nendes riikides asuvate üksustega muutunud liikmesriikide jaoks väga oluliseks. Tulevikus on oluline teha täiendavaid jõupingutusi ülemaailmse julgeoleku tugevdamiseks.
Europoli määruses tehti määrusega (EL) 2022/991 juba olulisi muudatusi, et tõhustada Europoli tegevuse välismõõdet, eelkõige hõlbustades teabevahetust kolmandate riikidega ning nõudes, et Europol lisaks oma mitmeaastasesse programmi ja iga-aastastesse tööprogrammidesse strateegia, mida kasutatakse suhetes kolmandate riikide ja rahvusvaheliste organisatsioonidega.
Europoli määruse artikli 4 lõike 1 punktiga t pandi Europolile uus ülesanne: toetada liikmesriike kolmandate riikide või rahvusvaheliste organisatsioonide poolt terrorismis või raskes kuritegevuses osalevate isikute kohta antud andmete töötlemisel. See hõlmab ülesannet teha liikmesriikidele ettepanekuid, mis käsitlevad kolmandate riikide kodanike kohta käivate teavitavate hoiatusteadete võimalikku sisestamist Schengeni infosüsteemi (SIS) liidu huvides. See uus teavitavate hoiatusteadete kategooria võeti kasutusele 2022. aastal pärast seda, kui muudeti määrust (EL) 2018/1862, mis käsitleb SISi kasutamist politseikoostöös ja kriminaalasjades tehtavas õigusalases koostöös.
Eelkõige juhul, kui asjaomane isik ei ole ELi kodanik ja riigisisese juhtumiga seos puudub, jagab kolmas riik teatavat teavet ainult Europoliga, kes töötleb andmeid ja jagab oma analüüsitulemusi kõigi liikmesriikidega. Uute sätete eesmärk oli maksimeerida Europoli poolt kolmandatelt riikidelt saadud teabe kasutamist, muutes selle kättesaadavamaks kui siis, kui see oleks kättesaadav üksnes Europoli enda süsteemi kaudu. See täiendas muid meetmeid, nagu Euroopa otsinguportaal ning ELi julgeoleku-, piiri- ja rändehalduse infosüsteemide koostalitlusvõime raamistik, kõrvaldades nende süsteemidega seotud struktuursed puudused, mis takistavad riiklike asutuste ja eelkõige piirivalveametnike tööd.
SISi peetakse peamiseks täiendavaks levitamiskanaliks: see on Euroopas õiguskaitse, piirikontrolli ja rände valdkonnas kõige laialdasemalt kasutatav andmebaas. 2024. aastal tehti SISis üle 15 miljardi päringu, samas kui kahes teises pädevate asutuste juhtivas infosüsteemis, st Europoli infosüsteemis (EIS) ja Interpoli 19 andmebaasis tehti vastavalt ligikaudu 14 miljonit päringut ja vähem kui 3 miljardit päringut (kogu maailmas).
(2)Innovatsioon: Europoli määruse artikli 18 lõike 2 punkt e ja artikkel 33a isikuandmete töötlemise kohta Europolis innovatsiooni- ja teadusprojektides
Tehnoloogia areng pakub ELi sisejulgeolekule suuri võimalusi, ent tekitab ka märkimisväärseid probleeme,
ning on avaldanud kuritegevusele nii põhjalikku mõju, et see on muutnud isegi raske ja organiseeritud kuritegevuse põhjustatud ohtude sügavat olemust. Kurjategijad lõimivad uue tehnoloogia kiiresti oma tegevusse, luues uudseid ärimudeleid ja täiustades oma meetodeid. Samal ajal pakub see areng õiguskaitseasutustele enneolematuid võimalusi oma suutlikkuse suurendamiseks. Seetõttu on teadusuuringutel ja innovatsioonil sisejulgeolekus oluline roll, kuna nende abil töötatakse välja lahendusi, et võidelda tekkivate ohtudega ning pidada sammu kuritegelike võrgustike kiiresti arenevate vormide ja töömeetoditega, sealhulgas nendega, mis tulenevad tehnoloogia väärkasutamisest. Liit on investeerinud ja investeerib ka edaspidi, et töötada Euroopa sisejulgeoleku strateegia ProtectEU raames ELi rahastatavate julgeolekualaste teadusuuringute ja innovatsiooni abil välja uuenduslikke vahendeid.
ELi liikmesriikide justiits- ja siseküsimuste ministrite volitusel 2019. aasta lõpus loodud Europoli innovatsioonilabori (EIL) eesmärk on edendada Europoli pühendumust õiguskaitsealasele innovatsioonile. Määrusega (EL) 2022/991 tehti Europoli määrusesse olulisi muudatusi, millega suurendati Europoli volitusi innovatsiooni valdkonnas, et toetada Europoli innovatsioonilabori potentsiaali ning edendada koostoimet muu ELi tasandi teadus- ja innovatsioonitegevusega, sealhulgas eelkõige komisjonis ELi sisejulgeoleku innovatsioonikeskuse raames.
Muudeti Europoli määruse artikli 18 lõiget 2, mis käsitleb teabe töötlemise eesmärke, et võimaldada Europolil töödelda kasutatavaid isikuandmeid ka teadus- ja innovatsiooniprojektide eesmärgil. Uute vahendite rakendatavuse empiirilist katsetamist võimaldavate kvaliteetsete andmekogumite kättesaadavust peetakse üldiselt tehnoloogia arendamise peamiseks eeltingimuseks. Ebausaldusväärsete või kallutatud andmekogumite kasutamine katsetamisel võib seevastu viia kehva tehnoloogia tootmiseni
.
Kohandatud andmekaitsemeetmed seoses sellise töötlemisega on sätestatud Europoli määruse artikli 18 lõikes 3a, artikli 30 lõigetes 2 ja 3 ning artiklis 33a. Viimati nimetatud artiklis nõuti katsetuskeskkonna loomist, nähes ette, et kõik projekti raames töödeldavad isikuandmed tuleb ajutiselt kopeerida Europoli eraldiseisvasse, isoleeritud ja kaitstud andmetöötluskeskkonda, et neid kasutataks üksnes selle projekti jaoks.
(3)Kriminaaluurimised: Europoli määruse artikli 18 lõige 6a ja artikkel 18a, milles käsitletakse ilma andmesubjektide kategooriatesse jagamiseta saadud isikuandmete töötlemise tingimusi
ELi kriminaalteabe keskusena hõlbustab Europol teabe kogumist ja vahetamist ning aitab ka suurendada uurimiste tõhusust täiustatud andmeanalüüsi abil ning tehes kindlaks seosed piiriüleste kuritegude ja kuritegelike võrgustike vahel, mis ei ole riiklikul tasandil nähtavad. Selle suutlikkusega toetatakse liikmesriike, rikastades nende kriminaaluurimise jaoks kättesaadavat teavet.
Tänu tehnoloogia ulatuslikule ja intensiivsele kasutamisele on suured ja keerukad andmekogumid muutunud uueks normaalsuseks kõigis eluvaldkondades, sealhulgas kuritegevuses
. Organiseeritud kuritegevuse või terrorismi uurimisel tuleb analüüsida suurt hulka elektrooniliselt salvestatud andmeid, mille maht ulatub sageli terabaitidesse ning mis hõlmavad uurimiste käigus konfiskeeritud audio- ja videomaterjali ning genereeritud andmeid. Näiteks EncroChati võrgustiku lammutamiseks korraldatud ühise uurimise
raames analüüsisid uurijad miljoneid sõnumeid, mida kurjategijad raskete kuritegude kavandamiseks vahetasid. Seda arvesse võttes on õiguskaitseasutuste ja kohtute jaoks keskse tähtsusega info- ja kommunikatsioonitehnoloogia (IKT) vahendite, eriteadmiste ja ressursside kättesaadavus, et analüüsida suuri ja keerukaid andmekogumeid (tehnilises keeles nn suurandmeid
).
Kuigi 2016. aastal vastu võetud Europoli määrusega ei kehtestatud suurandmete analüüsile piiranguid, puudusid selles struktureeritud sätted, millega oleks ette nähtud seda liiki andmete analüüsimise tingimused. Kõige kriitilisem küsimus oli andmesubjektide kategooriatesse jagamise nõue. Andmesubjektide kategooriatesse jagamine osutab vajadusele andmekogumid läbi vaadata, et sortida isikuandmed Europoli määruse II lisa A ja B osas ammendavalt loetletud eri kategooriate kaupa enne andmete tegelikku töötlemist uurimise eesmärgil, sealhulgas enne andmete ristkontrollimist seoste tuvastamiseks või enne strateegilise või temaatilise analüüsi või operatiivanalüüsi tegemist. Asjaomased kategooriad on seotud kriminaaluurimises osalevate eri liiki isikutega, sealhulgas i) kahtlustatavad, võimalikud tulevased õigusrikkujad ning ii) kontaktisikud, kaasosalised, kuriteoohvrid, tunnistajad ja kuritegeliku tegevusega seotud informaatorid. Üldjuhul ei saa Europol töödelda ega isegi säilitada nende isikute isikuandmeid, kes ei kuulu ühtegi neist kategooriatest.
Andmete esitajad, näiteks liikmesriigid või ELi organid ja asutused, teostavad tavaliselt isikuandmete jagamise andmesubjektide kategooriatesse juba enne nende andmete edastamist Europolile. ELi õiguse kohaselt on nad kõik kohustatud viima oma töötlemis- ja uurimistoimingut puhul läbi andmesubjektide kategooriatesse jagamise, olenemata andmete edastamisest Europolile ja lähtudes Europoli eeskirjadega samaväärsetest, kuid mitte identsetest eeskirjadest. Suurte ja keerukate andmekogumite puhul on käsitsi eeltöötlemine siiski ressursimahukas ja aeganõudev ülesanne. Ühes mobiiltelefonis olevate andmete poolautomaatne analüüsimine võib võtta kuni kolm päeva ja uurimise käigus võidakse konfiskeerida isegi sadu mobiiltelefone. Suurandmete puhul ei ole andmesubjektide kategooriatesse jagamine alati võimalik, võttes arvesse andmekogumite suurt mahtu, andmete (mitte)struktureerimise viisi, ressursside nappust või liigset nõutavat käsitsitööd. Praktikas on ainus võimalus andmeid kõigepealt operatiivsest vaatenurgast põhjalikumalt analüüsida või teha olemasolevate andmete ristkontrolli teel, sealhulgas poolautomaatselt, kindlaks seosed.
Määruses (EL) 2022/991 täpsustati andmesubjektide kategooriatesse jagamise tingimusi, et tagada õiguskindlus suurte ja keerukate andmekogumite töötlemisel. Seoses kohaldatava andmete säilitamise perioodiga on Europol ja Euroopa Andmekaitseinspektor Europoli määruse sätteid ja mõtet erinevalt tõlgendanud. Europoli väitel peaks see periood olema kolm aastat, ent Euroopa Andmekaitseinspektori väitel kuus kuud. Uusi sätteid on vaja ka täiendava paindlikkuse tagamiseks, et saavutada õige tasakaal andmekaitse ja turvalisuse aspektide vahel.
Europoli määruse artikli 18 lõikes 5a koostoimes ELi andmekaitsemääruse artikliga 73 selgitati kõigepealt täiendavalt artikli 18 lõikes 2 ja II lisas sätestatud andmesubjektide kategooriatesse jagamise üldpõhimõtet. Europoli ülesanne on asjakohasel juhul ja võimaluse korral määrata isikuandmed selgelt konkreetsesse andmesubjektide kategooriasse. Praktikas peaks Europol enne isikuandmete töötlemist reeglina kindlaks määrama isiku täpse rolli kuritegelikus tegevuses (näiteks kas isik on kahtlusalune, kuriteoohver või ainult tunnistaja) iga sellise isiku kohta, kelle isikuandmeid töödeldakse, mitte aga koondtasandil kõigi töödeldavas andmefailis või selle osas olevate isikute kohta (näiteks lihtsalt tuvastades, et kõik nimetatud isikud on seotud tema pädevusse kuuluva kuritegeliku tegevusega, tuginedes andmefaili koostamise üldiste asjaolude uurimisele).
Europoli määruse artikli 18 lõikes 6a on sõnaselgelt sätestatud, et ilma andmesubjektide kategooriatesse jagamiseta saadud isikuandmeid võib töödelda kuni 18 kuud, mida võib põhjendatud juhtudel pikendada kuni 36 kuuni üksnes andmesubjektide kategooriatesse jagamise eesmärgil. Europoli määruse artikli 18 lõikes 6a ei ole sõnaselgelt viidatud suurtele ja keerukatele andmekogumitele, vaid nõutakse üldisemalt rangelt vajalikkuse kontrolli.
Europoli määruse artiklis 18a on sätestatud erand, mis võimaldab Europolil töödelda pädevalt asutuselt, Euroopa Prokuratuurilt või Eurojustilt saadud isikuandmeid, kui see on vajalik käimasoleva kriminaaluurimise toetamiseks, ilma et oleks vaja teha andmesubjektide kategooriatesse jagamist, kui seda ei ole veel tehtud, ning väljaspool Europoli määruses loetletud andmesubjektide kategooriaid. Europol võib andmeid töödelda, tehes operatiivanalüüsi või nõuetekohaselt põhjendatud erandjuhtudel ristkontrolli, et selgitada välja seosed või muud olulised kokkupuuted. Selle erandi eesmärk oli käsitleda erinevusi Europoli suhtes kohaldatavates andmesubjektide kategooriatesse jagamise eeskirjades võrreldes pädevate asutuste, Euroopa Prokuratuuri ja Eurojusti suhtes kohaldatavate eeskirjadega.
(4)Koostöö kolmandate isikutega: Europoli määruse artiklid 26, 26a ja 26b Europoli ja eraõiguslike isikute vahel isikuandmete vahetamise kohta
Kurjategijad kuritarvitavad üha enam eraõiguslike isikute (piiriüleseid) teenuseid, mis on internetipõhised, finants- ja klassikalised telekommunikatsiooniteenused. Sellest tulenevalt on eraõiguslike isikute valduses suur hulk kriminaaluurimise seisukohast olulisi isikuandmeid. Eelkõige on internet loonud avaliku ruumi, mis on tõhusalt eraomandis – see raskendab eeskirjade jõustamist internetis õiguskaitse eesmärkidel sama tõhusalt kui väljaspool internetti
.
Seda arvesse võttes on õiguskaitseasutuste ja eraõiguslike isikute vaheline koostöö muutunud hädavajalikuks. Nagu on sätestatud Euroopa sisejulgeoleku strateegias ProtectEU, on oluline tugevdada partnerlusi erasektoriga, et hõlbustada teabevahetust. Samuti on politseijuhid oma ühisavalduses Europoli tuleviku kohta esitanud üleskutse, et Europol toimiks „elujõulise väravana teabe saamiseks eraõiguslikelt üksustelt“. See koostöö on eri laadi alates teabe jagamisest ja avatud lähtekoodiga kommertsandmete pakkumisest kuni teadus- ja innovatsiooniprojektides osalemise ning ettevõtete toimimist toetavate teenuste osutamiseni
. Näiteks 2025. aastal katkestas Europol koostöös Microsoftiga edukalt Lumma Stealeri toimimise, mis oli tekitanud kõige märkimisväärsema infovarguse ohu maailmas; Microsoft tegi kogu maailmas kindlaks üle 394 000 Windowsi arvuti, mis olid nakatunud Lumma pahavaraga.
Määrusega (EL) 2022/991 anti Europolile täiendavad võimalused vahetada eraõiguslike isikutega isikuandmeid. Varem võis Europol saada eraõiguslikelt isikutelt isikuandmeid üksnes Europoli riikliku üksuse kaudu või eelnevalt kindlaksmääratud kontaktpunktide või kolmandate riikide ametiasutuste või rahvusvaheliste organisatsioonide kaudu. Europolis andmete töötlemise eesmärk piirdus asjaomase Europoli riikliku üksuse või sellise kolmanda riigi ja rahvusvahelise organisatsiooni kontaktpunkti või ametiasutuse kindlakstegemisega, kes võis vastutuse juhtumi eest enda peale võtta.
Muudetud Europoli määruse artikliga 26 laiendati Europoli ülesannet, võimaldades tal eraõiguslikelt isikutelt saadud teavet (sh isikuandmeid) põhjalikult töödelda. Töötlemise peamine eesmärk on endiselt asjaomase Europoli riikliku üksuse kindlakstegemine. Europolil on siiski nüüd lubatud täiendada teavet enda analüüsiga, et hõlbustada juhtumi edasist käsitlemist riiklikul tasandil.
Lisaks Europoli määruse artikli 26 horisontaalsetele sätetele kehtestati artikliga 26a eeskirjad veebisisuga seotud kriisiolukorra kohta ja artiklis 26b käsitleti laste seksuaalset väärkohtlemist kujutava veebimaterjali internetis levitamist. Sellistel juhtudel võib Europol liikmesriike abistada, töödeldes otse eraõiguslikelt isikutelt saadud isikuandmeid. Europol võib ka igal üksikjuhul eraldi edastada isikuandmeid eraõiguslikele isikutele.
Määrusega (EL) 2022/991 kehtestati võimalus kasutada Europoli taristut pädevate asutuste ja eraõiguslike isikute vaheliseks teabevahetuseks ning samuti Europoli võimalus nõuda, et liikmesriigid hangiksid kooskõlas oma riigisisese õigusega eraõiguslikelt isikutelt isikuandmeid.
Need sätted võeti vastu kooskõlas muude algatustega, nagu terroristliku veebisisu määrus ja digiteenuste määrus. Kavandatud on täiendavad meetmed, millega suurendatakse eraõiguslike isikute kaasamist kuritegevuse vastasesse võitlusse ja hõlbustatakse seaduslikku juurdepääsu andmetele, et viia Euroopa sisejulgeoleku strateegia ProtectEU raames ellu eesmärk „muuta julgeolekukultuuri“ (kogu ühiskonda hõlmav lähenemisviis).
(5)Ametisisene ja -väline järelevalve põhiõiguste järgimise üle Europolis
Määruses (EL) 2022/991 on rõhutatud Europoli kohustust austada põhiõigusi vastavalt sätetele, millega määratakse kindlaks Europoli ülesanded ja nendega seotud tõhustatud kaitsemeetmed, eelkõige tugevdades ametisisest ja -välist järelevalvet.
Viies Europoli määruse vastavusse ELi andmekaitsemääruse kohaste andmekaitsemeetmetega, kehtestati andmekaitse valdkonnas uued eeskirjad, mis käsitlevad andmekaitseametniku ja Euroopa Andmekaitseinspektori poolset järelevalvet. Näiteks on iga uut liiki töötlemise puhul muutunud süstemaatiliseks kohustus esitada andmekaitsealane mõjuhinnang ja konsulteerida eelnevalt Euroopa Andmekaitseinspektoriga. Määrusega (EL) 2022/991 kehtestati ka Europoli uus pädevus, mis puudutab juurdepääsuõiguste taotlusi. Varem vastutasid juurdepääsuõiguste taotluste menetlemise eest riiklikud pädevad asutused, kui andmete esitajad olid liikmesriigid.
Samuti kehtestati määrusega (EL) 2022/991 Europolis uus põhiõiguste ametniku ametikoht – põhiõiguste ametniku ülesanne on muu hulgas teavitada Europoli tegevdirektorit põhiõiguste võimalikest rikkumistest ameti tegevuses.
Lisaks tugevdati demokraatlikku järelevalvet ja vastutust Europoli tegevuse üle Euroopa Parlamendi ja liikmesriikide parlamentide poolt teostatava poliitilise järelevalve kaudu, nagu on sätestatud Euroopa Liidu toimimise lepingu (ELi toimimise leping) artikli 88 lõike 2 teises lõigus. Määrusega (EL) 2022/991 tugevdati parlamentaarse ühiskontrolli töörühma tehtavat järelevalvet. Näiteks nähti sellega ette, et parlamentaarse ühiskontrolli töörühmaga tuleb konsulteerida Europoli mitmeaastase programmi ja iga-aastase tööprogrammi kavandi üle, samuti sätestati parlamentaarse ühiskontrolli töörühma võimalus koostada Europolile mittesiduvaid konkreetseid soovitusi ning esitada need Euroopa Parlamendile ja liikmesriikide parlamentidele ning nõuandefoorumi loomine, mis abistab parlamentaarse ühiskontrolli töörühma taotluse korral põhiõigustega seotud küsimustes, andes talle sõltumatut nõu.
3.Hindamise peamised tulemused
3.1.Europoli uute isikuandmete töötlemise volituste ja ülesannete operatiivse rakendamise seis
Määrus (EL) 2022/991 jõustus 28. juunil 2022. Selle operatiivne rakendamine sõltus siiski mitmesugustest juhtimisalastest, tehnilistest ja haldusmeetmetest ning samuti operatiivnõuetest, näiteks mõnel juhul uute IKT-struktuuride loomisest.
Kolm aastat hiljem on peaaegu kõik määruse (EL) 2022/991 artikli 68 lõikes 3 loetletud sätted toimima hakanud. Sätteid, mis käsitlevad suurte ja keerukate andmekogumite analüüsi (Europoli määruse artikli 18 lõige 6a ja artikkel 18a) ning eraõiguslike isikutega tehtavat koostööd (Europoli määruse artiklid 26, 26a ja 26b), hakati kohaldama alates 28. juunist 2022 või varsti pärast seda. Isikuandmete töötlemine teadus- ja innovatsiooniprojektide eesmärgil (Europoli määruse artikli 18 lõike 2 punkt e) algas 2023. aastal pärast seda, kui oli loodud katsetuskeskkond ODIN, et täita Europoli määruse artikli 33a kohaseid konkreetseid andmekaitsenõudeid. 29. juuniks 2025 ei olnud Europoli ülesannet teha kooskõlas Europoli määruse artikli 4 lõike 1 punktiga t liikmesriikidele ettepanekuid, mis käsitlevad teavitavate hoiatusteadete sisestamist SISi, veel rakendatud, kuna uut liiki hoiatusteadete tehniline rakendamine on veel pooleli. Rakendamine peaks toimuma 2026. aastal.
3.2.Europoli uute isikuandmete töötlemise volituste ja ülesannete tegevusalase mõju hindamine seoses Europoli määruse artiklis 3 sätestatud ameti eesmärkidega
Mis puudutab Europoli uute isikuandmete töötlemise volituste ja ülesannete tegevusalast mõju, siis näitas konsulteerimine, et liikmesriikide arvamus nende asjakohasusest, tulemuslikkusest ja lisaväärtusest ning Europoli toetusest liikmesriikide pädevatele asutustele asjaomastes valdkondades on üldiselt positiivne.
Selle hindamisega seotud uurimisvolitusi ei kasutata pidevalt ega süstemaatiliselt andmete töötlemiseks järelevalve eesmärgil; mõned neist volitustest on oma olemuselt isegi erandlikud, samas kui teisi kasutatakse uurimistes vastavalt vajadusele korrapärasemalt. Uute sätete kasutamine aruandeperioodil oli kvantitatiivselt väga erinev, sõltudes uute sätetega seotud erinevatest tehnilistest aspektidest ja õiguslikest tingimustest.
Europol sai Europoli määruse artikli 18 lõike 6a alusel liikmesriikidelt märkimisväärsel arvul andmesubjektide kategooriatesse jagamata uusi andmeid: 2023. aastal 653 ja 2024. aastal 597. Andmesubjektide kategooriatesse jagamata andmete arv lühiajaliselt ei suurenenud ja nende juhtumite arv, kus kohaldati artikli 18 lõiget 6a, püsis stabiilsena võrreldes samaväärsete juhtumitega enne 28. juunit 2022. Uutel sätetel ei olnud negatiivset mõju ka liikmesriikide osalemisele andmesubjektide kategooriatesse jagamise läbiviimisel. Aastatel 2023–2024 moodustas andmesubjektide kategooriatesse jagamata andmete osakaal vähem kui 1 % kõigist andmetest, mille Europol liikmesriikidelt vastu võttis (2023. aastal 0,85 % ja 2024. aastal 0,71 %). Alates 2022. aasta juunist on Europol järjepidevalt viinud andmesubjektide kategooriatesse jagamise läbi 18 kuu jooksul, kasutamata pikendatud 36kuulist tähtaega. Europol ja kuus liikmesriiki rõhutasid, et hoolimata suuremast õiguskindlusest on nii Europoli kui ka pädevate asutuste halduskoormus endiselt märkimisväärne, kuna on vaja teha jõupingutusi, et järgida nõuet jagada isikuandmed kategooriatesse vastavalt individuaalsele osalemisele kuriteos. Europol rakendab seda nõuet väga rangelt.
Europol teatas, et teabevahetus eraõiguslike isikutega oli 2023. aastal endiselt vähene, kuna registreeriti ainult 26 Europoli määruse artikli 26 rakendamise juhtumit (lisaks digiteenuste määruse kohaldamisalasse kuuluvatele juhtumitele). 2024. aastal toimus statistika kohaselt siiski järsk kasv ja neid juhtumeid, mis hõlmasid Europoli määruse artikli 26 kohast koostööd eraõiguslike isikutega, oli 284 (kasv peaaegu 1 000 %). See kehtis eelkõige eraettevõtetelt saadud andmete kohta, mida kasutati finants- ja majanduskuritegude uurimiseks. Europol kasutas märkimisväärselt ka Europoli määruse artiklit 26b laste seksuaalse ärakasutamise vastases võitluses, kus koostöö eraõiguslike isikutega oli juba varem väga ulatuslik. Mõlemal juhul hõlmavad andmed ka koostööd, mida võimaldas eelmine õigusraamistik. Olemasolevatest andmetest ei selgu, mil määral on nende uute juhtumite puhul tegemist uute sätete kohaldamisega või olemasolevate võimaluste suurema kasutamisega.
2025. aastal võttis Europol vastu uue strateegia, et koostööd eraõiguslike isikutega veelgi tõhustada. Lisaks on võetud meetmeid, et ajakohastada Europoli IKT-taristut, mida pädevad asutused saavad kasutada teabevahetuseks eraõiguslike isikutega. Europol käivitas 2023. aastal platvormi Plateforme Européenne de Retraits de Contenus illégaux sur Internet (PERCI), mis hõlbustab terroristliku veebisisu määruse ja tulevikus tõenäoliselt ka digiteenuste määruse artikli 18 rakendamist, ning ELi laste kuritarvitamisest teatamise teenuse (EU CARES). PERCI ei ole Europoli infosüsteemi (EIS) lõimitud.
Muid sätteid ei kasutatud üldse (Europoli määruse artikkel 26a), kuigi need olid toimivad, või neid kohaldati ainult erandkorras (üks juhtum, kus 2024. aastal kasutati Europoli määruse artiklit 18a, ja üks projekt, mis viidi 2025. aastal ellu isikuandmete töötlemisega Europoli määruse artikli 18 lõike 1 punkti t alusel, kusjuures kolm uut projekti on juba ettevalmistamisel).
Määrusega (EL) 2022/991 kehtestatud sätete operatiivse rakendamise piiratud tähtaja ning kriminaaluurimiste ja kohtumenetluste pika kestuse tõttu ei olnud liikmesriikidel võimalik esitada kvantitatiivseid andmeid nende sätete tegevusalase mõju kohta. Selle asemel esitasid nad näiteid edukatest uurimistest, mis näitasid juba kasutusel olevate sätete puhul uute uurimisvõimaluste käegakatsutavat kasu reaalsetes olukordades, nagu EncroChat, Sky ECC, kokaiinikaubandusega seotud Balkani kuritegelikud võrgustikud või Lumma Stealer.
Europol ja kaheksa liikmesriiki juhtisid ka tähelepanu mõningatele valdkondadele, mida on vaja parandada, et maksimeerida uue õigusraamistiku tõhusat ja sidusat kasutamist ning suurendada tulevikus Europoli rolli. Eelkõige Europol väljendas muret selle üle, et õigusnormide liigne keerukus, killustatus ja pikkus võivad heidutada praktikuid või eraõiguslikke isikuid uusi kättesaadavaid vahendeid kasutamast. Liikmesriikide märkused käsitlevad pigem viisi, kuidas Europol rakendab andmekaitsemeetmeid Euroopa Andmekaitseinspektori järelevalve all piiravalt, mis võib vähendada teatavate sätete tõhusust ja lisaväärtust.
3.3.Hinnang Europoli uute isikuandmete töötlemise volituste ja ülesannete mõju kohta põhiõigustele
Uute isikuandmete töötlemise volituste senise piiratud kasutamise tõttu ei leidnud komisjon tõendeid negatiivse mõju kohta põhiõigustele, mis tuleneks uute isikuandmete töötlemise volituste operatiivsest kasutamisest.
Lisaks uute isikuandmete töötlemise volitustega seotud konkreetsete andmekaitsenõuete rakendamisele on Europol järk-järgult võtnud kõik meetmed, mis on vajalikud põhiõigustega seotud uute horisontaalsete järelevalvemehhanismide rakendamiseks.
Europoli haldusnõukogu võttis 2024. aastal vastu andmekaitseametnikku käsitlevad läbivaadatud rakenduseeskirjad, mis on üks viimaseid uue andmekaitsekorraga seotud vajalikke rakendusakte. Kogutud tõenditest selgub, et Europol ja selle haldusnõukogu on koostöös Europoli andmekaitseametniku ja Euroopa Andmekaitseinspektoriga taganud ka 2022. aastal kehtestatud uute andmekaitsemeetmete range rakendamise. See lähenemisviis on esmapilgul tulemuslikult ära hoidnud igasuguse uute isikuandmete töötlemise volituste esmakordsest kasutamisest tuleneva negatiivse mõju või sekkumise üksikisikute eraelu puutumatuse ja isikuandmete kaitse õigustesse. Liikmesriikide väitel on Europolil praegu olemas tugev andmekaitsealane õigusraamistik, mis tagab piisavad kaitsemeetmed tema uute volituste võimalikuks suuremaks kasutamiseks. Seitse liikmesriiki rõhutasid ka, et see raamistik hõlbustab usalduse suurendamisega teabe liikumist, kuigi arenguruumi veel on. Ainult üks liikmesriik väljendas negatiivset arvamust.
Peale andmesubjektide kategooriatesse jagamisega seotud konkreetsete probleemide mainisid Europol ja neli liikmesriiki parandamist vajavate valdkondadena kulusid ja aega seoses andmekaitsealase mõjuhinnangu koostamise ja Euroopa Andmekaitseinspektoriga eelneva konsulteerimisega, mida praktikas vaikimisi tehakse. Kuus liikmesriiki tõstatasid veel ühe probleemina Europoli poolt andmesubjektide juurdepääsutaotluste menetlemise, mis kuulub nüüd Europoli pädevusse isegi siis, kui andmete valdaja on liikmesriik.
2022. aasta detsembris nimetati ametisse esimene põhiõiguste ametnik. Oma ametiaja esimese kahe aasta jooksul ei ole ta saanud ega esitanud tegevdirektorile ühtegi kaebust. Parlamentaarse ühiskontrolli töörühm on jätkanud Europoli tegevuse hoolikat jälgimist ega ole pärast uute sätete jõustumist ühtegi soovitust andnud. Euroopa Parlament moodustas 2024. aasta veebruaris parlamentaarse ühiskontrolli töörühma põhiõiguste nõuandefoorumi.
3.4.Europoli uute isikuandmete töötlemise volituste ja ülesannete kulude-tulude analüüs
Võttes arvesse määrusega (EL) 2022/991 kehtestatud sätete rakendamise varajast etappi ja nendega seotud piiratud kogemusi, on komisjonil ennatlik teha kulude-tulude analüüsi põhjal uute sätete kohta sisulisi järeldusi.
Komisjoni talitused on kogunud Europolilt teavet kulude kohta, mis on seoses määruse (EL) 2022/991 operatiivse rakendamisega läbivaadatavate sätete puhul seni kantud. Need kulud olid aastatel 2022–2025 kokku ligikaudu 25 miljonit eurot (ligikaudu 5 % Europoli kogueraldisest) ja koosnesid peamiselt ühekordsetest kuludest. Liikmesriikidel ei ole konkreetselt määrusega (EL) 2022/991 seoses seni mingeid olulisi uusi kulusid tekkinud.
Suurema osa kuludest (peaaegu 17 miljonit eurot) moodustasid märkimisväärsed investeeringud uute IKT-struktuuride arendamisse, teadusuuringuid ja innovatsiooni käsitlevatesse rakendussätetesse (katsetuskeskkond ODIN) ning eraõiguslike isikutega isikuandmete vahetamiseks kasutatavatesse infosüsteemidesse (PERCI ja EU CARES). Nii IKT kui ka tegevusega seotud personalikulud moodustasid ligikaudu kolmandiku kogukuludest (ligikaudu 8 miljonit eurot). Pikas perspektiivis on personalikulud peamised korduvad kulud.
Väärib märkimist, et eespool nimetatud 8 miljonit eurot ei hõlma teabehaldusüksuse (IMU) personalikulusid ega ressursse, mis on seotud horisontaalsete (varasemate ja uute) järelevalvemeetmetega ja mida ei ole võimalik konkreetsete sätete rakendamise tasandil eristada. Selliste ressurssidega seotud kulud ei ole tähtsusetud. Näiteks 2023. aastal oli hinnanguliselt 60 täistööajale taandatud töötajat (ligi 5 % Europoli töötajatest) seotud tegevusega kindlustandvates /järelevalveorganites ja järelevalve-/nõuandeüksustes. Europol eraldas andmekaitsealasele järelevalvele ja vastavatele kindlustandvatele meetmetele reageerimiseks 25 täistööajale taandatud töötajat. See hõlmab Euroopa Andmekaitseinspektori soovituste peale võetud järelmeetmeid ning operatiivse andmetöötlusega seotud eelnevate konsultatsioonide raames tehtud tööd. Neist 25st täistööajale taandatud töötajast 16 on konkreetselt seotud Euroopa Andmekaitseinspektori nõuetest tuleneva tegevusega. 2025. aasta juuni seisuga on Europolil andmekaitse valdkonnas kaheksast täistööajaga töötajast koosnev meeskond, kuhu kuulub ka andmekaitseametnik.
Europoli ja 15 liikmesriigi väitel on uutest isikuandmete töötlemise volitustest ja ülesannetest, eelkõige suurte ja keerukate andmekogumite analüüsimisest ning eraõiguslike isikutega tehtavast koostööst saadav kasu eeldatavasti märkimisväärne ja kaalub üles seotud kulud. Ükski liikmesriik ei olnud teistsugusel seisukohal. Pikaajalises perspektiivis võib mõistlikult eeldada teatavat tõhususe kasvu tänu mastaabisäästule ja vähenevatele piirkuludele. Üks liikmesriik rõhutas, et „on oluline, et Europol tagaks vajalikud IKT-ressursid, et pakkuda ja edasi arendada vahendeid määrusest (EL) 2022/991 tulenevate uute võimaluste rakendamiseks“; seda seisukohta toetasid ka kaks teist liikmesriiki ja muud sidusrühmad.
Europoli ja viie liikmesriigi arvates tuleb kehtivas juhtimis-, haldus- ja andmekaitseraamistikus käsitleda ka rakendamise võimalikku ebatõhusust, et vältida uute isikuandmete töötlemise ülesannete tegevusalase mõju kahjustamist, mis tuleneb nende ülesannete hilinenud või piiratud täitmisest. Viis liikmesriiki seadsid kahtluse alla asjaolu, et Europol ja selle haldusnõukogu rakendavad andmekaitsenorme Euroopa Andmekaitseinspektori juhtimisel liiga ettevaatlikult. Nad soovitavad, et kaasseadusandjate võimaldatud paindlikkust tuleks piisavalt ära kasutada, et maksimeerida Europoli ülesannete tulemuslikkust ja tõhusust ning tagada nende asjakohasus ja pikaajaline kasumlikkus.
Europoli töömeetodite ja võimalike lihtsustamisvaldkondade hindamine ei kuulu Europoli määruse artikli 68 lõike 3 kohase aruande alla ning see hindamine tehakse Europoli määruse artikli 68 lõike 1 kohase hindamise raames.
4.Järeldused ja edasised sammud
Kokkuvõttes on komisjoni esialgne peamine järeldus, et liikmesriigid toetavad jätkuvalt Europoli rolli neis põhivaldkondades, kus ta praegu oma uute isikuandmete töötlemise ülesannete täitmisega liikmesriike abistab. Selleks et uutest isikuandmete töötlemise volitustest saadavat kasu maksimeerida, on mõne sidusrühma arvates siiski vaja tegeleda võimaliku ebatõhususega, eelkõige kehtivas juhtimis-, haldus- ja andmekaitseraamistikus. Samuti oleks kasulik vähendada õigusraamistiku keerukust ja killustatust, mis võib heidutada praktikuid uusi võimalusi kasutamast.
Üldiselt ei leidnud komisjon tõendeid selle kohta, et uutel eeskirjadel oleks olnud negatiivne mõju põhiõigustele, eelkõige tänu jõulistele andmekaitsemeetmetele, mis hõlbustavad partnerite usalduse suurendamisega ka teabe liikumist. Mõne liikmesriigi puhul eelistas amet konservatiivset lähenemisviisi, samal ajal kui andmesubjektide kategooriatesse jagamise, andmekaitsealase mõjuhinnangu, Euroopa Andmekaitseinspektoriga eelneva konsulteerimise ja juurdepääsuõiguste taotluste käsitlemise vallas kaasseadusandjate võimaldatud paindlikkust tuleks piisavalt ära kasutada.
Võttes arvesse määruses (EL) 2022/991 sätestatud uute isikuandmete kaitse normide üldiselt lühikest rakendusperioodi, ei ole kogutud tõendid siiski kõigi küsimuste puhul lõplikud.
Komisjon teatas Euroopa sisejulgeoleku strateegias ProtectEU,
et ta teeb kasvavate julgeolekuprobleemidega tegelemiseks ettepaneku Europoli volitusi põhjalikult muuta. Kooskõlas oma parema õigusloome suunistega alustas komisjon ettevalmistusi Europoli määruse ja Europoli töömeetodite hindamiseks, millega sillutatakse teed komisjoni 2026. aasta ettepanekule suurendada ameti toimivust, nagu on ette nähtud poliitilistes suunistes. 2025. aasta juulis avaldas komisjon tagasisidekorje ning tellis Europoli määruse hindamise ja uue ettepaneku mõjuhinnangu toetamiseks välisuuringu. Sellele hindamisele peaks kaasa aitama käesoleva aruande koostamiseks läbiviidud Europoli määruse hindamine.