Tähelepanu juhtimine isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Indrek Randvee Meie 13.03.2024 nr 2.1.-5/24/525-3 juhatuse liige Paavli Kaltsukas OÜ [email protected] Tähelepanu juhtimine isikuandmete kaitse asjas Andmekaitse Inspektsioon sai märgukirja seoses sellega, et Paavli Kaltsukas OÜ poes on kasutusel häbitahvel, kus on avalikustatud inimeste fotod. Lisaks ei nähtu poe ustel ega sees teavitusi videovalve kohta, kuigi poes on kaamerad kasutusel. Märgukirjast ajendatuna juhib inspektsioon Paavli Kaltsukas OÜ tähelepanu isikuandmete kaitse nõuetele. Isikuandmete töötlemise alused Isikuandmete kaitse peamised nõuded tulenevad Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM), isikuandmete kaitse seadusest ning vastavatest eriseadustest. Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada. Häbitahvlil avalikustatud fotodelt ja kaamerate abil on inimesed igal juhul tuvastatavad, seega on häbitahvli ja videovalve puhul tegemist isikuandmete töötlemisega, mille osas tuleb järgida IKÜM-is sätestatud nõudeid. Isikuandmete vastutav töötleja – isik, kes töötleb isikuandmeid ja kes on määranud töötlemise eesmärgi(d) ning valinud selleks vajalikud vahendid – on kohustatud tagama IKÜM art-s 6 nimetatud töötlemise seaduslikkuse nõuet (vt allpool õigustatud huvi selgitust) ja järgima IKÜM art-s 5 kehtestatud isikuandmete töötlemise põhimõtteid. Kusjuures lisaks põhimõtete täitmisele peab vastutav töötleja olema võimeline nende põhimõtete täitmist ka tõendama.1 1. Seaduslikkus (IKÜM art 5 lg 1 punkt a) Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik ehk täielikult kooskõlas IKÜM-i ja isikuandmete kaitse seadusega. Seaduslikkuse põhimõte eeldab, et isikuandmete töötlemiseks on täidetud vähemalt üks IKÜM art 6 lg-st 1 tulenev tingimus. Selline tingimus saab olla: 1) inimese nõusolek – nõusolek peab olema vabatahtlik ja selgesõnaline; 2) lepingu täitmine – isikuandmete töötlemine on vajalik inimesega sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt inimese taotlusele; 3) seadusejärgse kohustuse täitmine – isikuandmete töötlemine on vajalik vastutava töötleja juriidilise ehk seadusjärgse kohustuse täitmiseks; 1 IKÜM art 5 lg 2. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235  4) eluliste huvide kaitsmine – isikuandmete töötlemine on vajalik inimese enda või mõne muu inimeste eluliste huvide kaitsmiseks (erandlik andmetöötluse alus); 5) avalikes huvides oleva ülesande täitmine – isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, selline alus peab olema reguleeritud siseriiklikus õiguses; 6) õigustatud huvi – isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral ning juhul, kui see kaalub üles inimese põhiõigused ja – vabadused (vt allpool täpsemat selgitust). Häbitahvli pidamisel avalikustatakse inimese kujutis ja inimesed on piltidelt selgelt tuvastatavad. Kui inimesed ei ole andnud nõusolekut sellisel viisil endast piltide avalikustamiseks ja olemas ei ole ka muud piltide avalikustamise alust (mida Paavli Kaltsukas OÜ-l tõenäoliselt ei ole), on selline isikuandmete avaldamine ebaseaduslik. Seega tuleks selline piltide avalikustamine lõpetada. Inspektsioon ei tea, mis eesmärgil inimeste fotod häbitahvlil avalikustatakse, kuid kui selle eesmärk on näiteks hoiatada varguse toimepanija eest või kelleltki võla sisse nõudmine, siis selline häbiposti pidamine lubatav ei ole. Varguse eest vastutusele võtmiseks ja/või võla sissenõudmise jaoks on seadusandja näinud ette muud õiguskaitsevahendid. Videovalve korraldamise alusena õigustatud huvi esinemine Kui ettevõttele ei tule eriseadusest kaamerate paigaldamise/kasutamise kohustust, on võimalik kaamerate kasutamisel tugineda üksnes IKÜM artikkel 6 lg 1 punktis f sätestatud alusele ehk õigustatud huvile. See sätestab, et „isikuandmete töötlemine on seaduslik üksnes juhul, kui see on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid“. Õigustatud huvile tuginemiseks peavad viidatu kohaselt olema korraga täidetud kõik kolm tingimust: - vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on andmetöötluseks õigustatud huvi; - isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks; - vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava andmesubjekti huvid, põhiõigused ja – vabadused. Esiteks tuleb esmalt täpselt välja selgitada, kas ja millised on andmetöötleja enda konkreetsed õigustatud huvid. Ennekõike on oluline, et õigustatud huvi oleks kooskõlas kehtivate õigusaktidega, sõnastatud piisavalt selgelt (st piisavalt konkreetselt) ning reaalne ja hetkel esinev (st mitte spekulatiivne). Teiseks tuleb analüüsida ja läbi mõelda, millised on võimalikud andmesubjekti huvid või põhiõigused– ja vabadused, mida võidakse isikuandmete töötlemisega kahjustada. Kolmandaks tuleb tasakaalustada andmetöötleja õigustatud huvid andmesubjekti huvide ja põhiõigustega. Siinjuures võrreldakse isikuandmete töötlemisest (kogumisest, edastamisest, avalikustamisest) andmesubjektile tekkida võivat mõju vastutava töötleja ja/või kolmanda isiku õigustatud huvidega ning hinnatakse, kas ja millises ulatuses vastutava töötleja ja/või kolmanda isiku õigustatud huvi kaalub andmesubjekti huvid üles. Inspektsioon rõhutab, et vastutava töötleja või kolmanda isiku õigustatud huvid ei kaalu automaatselt üles kaitstavate andmesubjektide põhiõiguste ja -vabadustega seotud huve. Õigustatud huvi analüüsiga peab olema võimalik tutvuda igal andmesubjektil (nii kliendil kui töötajal). Kuidas õigustatud huvi täpselt hinnata, oleme selgitanud eraldi juhendis. Juhul kui andmetöötleja jätab õigustatud huvi analüüsi korrektselt tegemata (sh ei arvesta töötaja õigustega), on kaamerate kasutamine keelatud ning tegemist on andmekaitse nõuete rikkumisega. 2 (4) 2. Eesmärgipärasus ja võimalikult väheste andmete kogumine (IKÜM art 5 lg 1 punktid b, c ja e) Isikuandmeid tuleb koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei tohi töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. Töödelda tuleb vaid nii palju isikuandmeid, mis on vajalik eesmärgi saavutamiseks. Igaks juhuks andmete kogumine on ebaseaduslik. Tegemist on võimalikult väheste andmete kogumise põhimõttega. Selleks et hinnata, kas kaamerate kasutamine vastab eesmärgi piirangu ning võimalikult väheste andmete kogumise põhimõttele, tuleb: 1) tuua välja kõik kaamerate kasutamise eesmärgid ja seda hästi konkreetselt; 2) hinnata, kas nimetatud eesmärkide täitmisel on kaamerate kasutamine vajalik või on selle täitmiseks muid ja andmesubjekti vähem riivavamaid meetmeid. Nii tuleb läbi mõelda, kas sama eesmärki on võimalik saavutada ka teiste vahenditega, näiteks signalisatsiooni, rohkema valgustuse vm abil. Kuigi ükski seadus ei ütle konkreetselt, et valvekaamera kasutamisel on andmetöötlusreeglid rangemad, tuleb siiski tõdeda, et mida intensiivsem on riive inimese privaatsusele, seda rohkem nõutakse andmetöötlejalt isikuandmete toimingute läbipaistvust ja andmekaitsereeglitest kinnipidamist. Isikuandmete töötlemine tuleb lõpetada ja andmed kustutada või viia isikustamata kujule kohe, kui langeb ära töötlemise õiguslik alus ja/või on täidetud eesmärgid, milleks neid koguti. Isikuandmete töötlemise aeg peab piirduma rangelt minimaalsega. Selle tagamiseks, et isikuandmeid ei töödelda vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad isikuandmete kustutamiseks ning perioodiliseks läbivaatamiseks.2 Euroopa Andmekaitsenõukogu seisukoha järgi tuleb isikuandmed enamikul juhtudel kustutada – ideaaljuhul automaatselt – mõne päeva pärast. Mida pikem on ettenähtud videosalvestise säilitamisaeg (eriti kui see on pikem kui 72 tundi), seda rohkem tuleb põhjendada eesmärgi õiguspärasust ja säilitamise vajalikkust. Seega olukorras, kus eriseadusest ei tulene 72 tunnist pikemat säilitamistähtaega, tuleb vastutaval töötlejal videosalvestiste pikema säilitamise tähtaja vajadust selgelt ja arusaadavalt põhjendada.3 2. Läbipaistvus (IKÜM art 5 lg 1 punkt a) Lisaks eelnevale peab isikuandmete töötlemine olema läbipaistev. Selleks peab kogu isikuandmete töötlemisega seotud teave olema andmesubjektile, antud juhul eelkõige klientidele, lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud. Enne videoalasse jõudmist tuleb inimestele nähtavate teavitussiltidena avaldada, kes on videovalve korraldaja ja milline on tema kontakt. Teavitussiltide puudumisel on andmesubjektidel ehk inimestel, kes videovalve alasse satuvad, keeruline teostada oma õigust saada teavet isikuandmete töötlemisest, sest pole teada, kellele kaamera kuulub ja kelle poole seetõttu pöörduda. Enne videoalasse jõudmist tuleb seega inimesele avaldada - kes on videovalve korraldaja ja milline on tema kontakt; - millisel eesmärgil ja õiguslikul alusel videovalvet korraldatakse ning - kust leiab täpsema info isikuandmete töötlemise kohta. Andmekaitse Inspektsiooni veebilehel4 on videovalve sildi loomisel abiks videovalve sildi genereerija, mida saab kasutada andmekaitsenõuetele vastava videojälgimise teavitussildi loomiseks. 2 IKÜM art 5 lg 1 punkt c ja põhjenduspunkt 39. 3 Euroopa Andmekaitsenõukogu suunised 3/2019 isikuandmete töötlemise kohta videoseadmetes, lk 28 p 121, leitavad https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_et.pdf. 4 https://www.aki.ee/isikuandmed/videovalve-korraldajale 3 (4) Täpsemat infot kaamerate kasutamise kohta leiate Andmekaitse Inspektsiooni kodulehelt ning vastavast juhendist. Andmekaitsetingimuste jm kohta leiate lisainfot isikuandmete töötleja üldjuhendist. Kokkuvõttes palume Paavli Kaltsukas OÜ-l - eemaldada häbitahvel ja lõpetada õigusliku aluseta inimestest fotode avalikustamine, - paigaldada kaamerate kasutamisel videovalvest teavitavad sildid. Käesolevale tähelepanu juhtimisele inspektsioon vastust ei oota, kuid inspektsioon võib igal ajal ette teatamata kontrollida isikuandmete töötlemise, sh kaamerate kasutamise õiguspärasust ning õigustatud huvi analüüsi ja andmekaitsetingimuste olemasolu, sh ka kaamerate salvestiste vaatamise logisid. Rikkumise korral võib inspektsioon algatada järelevalvemenetluse. Lugupidamisega Agnes Järvela jurist peadirektori volitusel 4 (4)