ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Sten Maileht Teie 12.12.2023 nr
WideWise OÜ
[email protected] Meie 11.01.2024 nr 2.1.-5/24/3241-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon sai Teie pöördumise, milles kirjutate:
Kas AKI poolt on loodud materjal, kus oleks selgelt välja toodud, millistele nõuetele, tulenevalt
Euroopa direktiividest, peab kodulehtede, veebipoodide privaatsuspoliitika ja küpsiste
teavitused, nõustumine jne vastama? Lisaks, kas hetkel on Eesti seadusandlusesse ka midagi
otseselt üle võetud, täpsustatud lisaks tulenevast GDPR-i direktiivist?
Andmekaitse Inspektsiooni tegevusvaldkonnad ja seadused, mille täitmist kontrollime, leiate
meie veebilehelt.1 Inspektsioonil puudub hetkel otseselt veebipoodidele suunatud materjal, seda
ka seetõttu, et erinevad veebipoed koguvad väga erinevaid andmeid ning erinevatel alustel.
Soovitaksime eelkõige tutvuda Andmekaitse Inspektsiooni isikuandmete töötleja üldjuhendiga,
mis annab ülevaate isikuandmete töötlemise tähtsamatest aspektidest, mida tuleb järgida,
muuhulgas veebilehtedel isikuandmete töötlemisel. Järgnevalt jagame Teile üldiseid selgitusi ning
suuniseid informatsiooni leidmiseks ja loodame, et nendest on abi.
Selgitame, et isikuandmete kaitse üldmääruse (IKÜM) artikkel 4 punkti 1 kohaselt on
isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Isikuandmete
kaitse üldmääruse (IKÜM) art 5 lg 1 p a sätestab, et isikuandmete töötlemine peab olema
seaduslik ja andmesubjektile läbipaistev; samuti tohib isikuandmeid koguda üksnes
kindlaksmääratud õiguspärastel eesmärkidel (art 5 lg 1 p b) ning koguda tuleb eesmärgi
seisukohalt võimalikult vähe andmeid (art 5 lg 1 p c). Seda, millisel õiguslikul alusel ja
eesmärgil andmetöötlust läbi viiakse, peab IKÜM art 5 lg 2 kohaselt selgitama ja tõendama
andmetöötleja ehk antud juhul iga veebipood või koduleht ise. Andmekaitse Inspektsioonil
puudub võimekus ja teadmine, milliseid isikuandmeid kõik ettevõtted töötlevad oma
veebilehtedel. Oluline on ettevõttel teada, et kui õiguslik alus (IKÜM artikkel 6) puudub, siis
andmeid töödelda ei tohi.
Selleks, et isikuandmete töötlus oleks seaduslik, peaks andmetöötleja alustama sellest, et
peavad olema koostatud andmekaitsetingimused2. Andmekaitsetingimused peavad inimestele
olema igal ajal kättesaadavad (sh veebilehel). Andmetöötlus peab olema läbipaistev, et inimesed
saaksid vastused oma isikuandmete töötlemise kohta. Läbipaistvuse põhimõte eeldab seda, et
kogu isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad
ning selgelt sõnastatud. Andmekaitsetingimuste sisu reguleerivad IKÜM artiklid 12 – 14.
1
nimi, isikukood, asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud,
kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende kombinatsioonid 1.
2
Andmekaitsetingimuste koostamisest leiab rohkem suuniseid AKI veebilehelt.
Tatari 39, 10134 Tallinn Telefon 627 4135
Registrikood 70004235 E-post
[email protected] www.aki.ee
Seejuures rõhutame, et kogu IKÜM artiklites 13 -14 sätestatud teave peab olema
andmekaitsetingimustes reguleeritud. Kui mõni eeltoodud artiklite sätetest jääb arusaamatuks,
soovitame Teil tutvuda ka Artikli 29 töörühma suunistega läbipaistvuse kohta3, kus on
lehekülgedel 35 – 40 selgitatud ka täpsemalt IKÜM artiklites 13 – 14 sätestatud punktide sisu.
Järgnevalt selgitame seoses veebilehtedel kasutatavate küpsistega, et IKÜM põhjenduspunkt 30
selgitab, et füüsilisi isikuid võib seostada nende seadmete, rakenduste, tööriistade ja protokollide
jagatavate võrguidentifikaatoritega, näiteks IP-aadresside või küpsistega, või muude
identifikaatoritega, näiteks raadiosagedustuvastuse kiipidega. See võib jätta jälgi, mida võidakse
kasutada füüsiliste isikute profileerimiseks ja nende tuvastamiseks, eelkõige juhul, kui neid
kombineeritakse serveritesse saabuvate kordumatute identifikaatorite ja muu teabega.
Küpsiste regulatsioon tuleneb EL direktiivist 2002/58/EÜ (eraelu puutumatust ja elektroonilist
sidet käsitlev direktiiv), mida muudeti direktiiviga 2009/136/EÜ. Tulenevalt EL direktiivist
2002/58/EÜ preambula punktist 25 on veebilehe haldajad kohustatud esitama selge ja täpse
teabe, millist tüüpi küpsiseid nende veebileht kasutab ja mis eesmärgil. Küpsiste paigaldamiseks
peab olema konkreetne õiguslik alus.
Seejuures on sõnaselgelt direktiivis ettenähtud, et küpsiste kasutamiseks peab olema isiku eelnev
nõusolek, v.a juhul kui andmete tehnilise salvestamise ja juurdepääsu ainus eesmärk on edastada
sidet elektroonilises sidevõrgus või mis on teenuseosutajale hädavajalik infoühiskonna teenuse
osutamiseks. Hädavajalikud küpsised on näiteks kasutaja sessiooni-, keele-eelistuse- või
autentimise küpsised. Sellised küpsised otseselt ei mõõda midagi, vaid toetavad veebilehe
põhifunktsioone. Nõusoleku kohustust (küpsistele, mis vajavad nõusolekut) on kinnitanud ka
Euroopa Kohus 01.10.2019 asjas number C-673/174. Euroopa Kohus on otsuses ka rõhutanud, et
nõusolek kolmandate osapoolte küpsiste kasutamiseks tuleb võtta sõltumata sellest, kas tegemist
on isikuandmetega või mitte.
Juhul, kui veebilehel on kasutusel analüütilised küpsised ja/või reklaamküpsised, mis
võimaldavad inimest kas otseselt või kaudselt tuvastada, tuleb lähtuda isikuandmete kaitse
üldmäärusest ning seda tüüpi küpsiste paigaldamiseks peabki olema kasutaja eelnev nõusolek.
Andmesubjekt peab aru saama, milliseid küpsiseid veebileht kogub ja tal peab olema võimalik
iga küpsiseliigi kohta anda eraldi nõusolek (v.a võrgulehe toimimiseks hädavajalikud küpsised).
Nõuetele vastav teade küpsiste kasutamisest sisaldab selgitust, mis eesmärgil küpsiseid
kasutatakse, kui kaua ja kes on need erinevad osapooled, kellega on kavas neid jagada (kui on
asjakohane). Teade peaks sisaldama viidet andmekaitsetingimustele, kus on selgitatud ka
küpsiste kasutamise tingimusi. Soovitame selgitustes viidata ka konkreetsete küpsiste
nimetustele.
Kindlasti tuleb jälgida, et kui teatud küpsised eeldavad kasutaja nõusolekut, tohib sellised
küpsised laadida alles peale kasutaja tahteavaldust. Meie praktika on paraku näidanud, et
vaatamata nõusoleku bännerile laetakse küpsised kasutaja arvutisse kohe veebilehe avamisel. See
ei ole aga korrektne.
Nõusoleku bänner peaks sisaldama kolme võimalust - (1) kasutaja saab korraga nõustuda kõigi
küpsistega (st nii vajalikud kui mittevajalikud), (2) kasutaja saab keelduda küpsistest (st
rakenduvad ainult vajalikud küpsised) ning (3) kasutaja saab täiendavalt hallata, millised
mittevajalikud küpsised ta lubab. Näiteks ei soovi kasutaja reklaamküpsiseid, kuid statistika
(analüütika) küpsistega on nõus.
3
https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_labi
paistvuse_kohta.pdf
4
https://eur-lex.europa.eu/legal-content/et/TXT/?uri=CELEX:62017CJ0673
2 (3)
Juba nõustutud küpsiste kustutamiseks on kolm levinud võimalust – vilunumad kasutajad
oskavad neid juba ise veebilehitsejas kustutada. Teiste kasutajate võtmes on hea tava veebilehel
hoida infot, kuidas kasutajad seda teha saavad. Kolmas võimalus on aega ajalt bänneriga meelde
tuletada, et küpsised on kehtiva nõusoleku alusel kasutusel ja kui kasutaja neid enam ei soovi,
siis mida ta tegema peab.
Soovitame tutvuda Andmekaitse Inspektsiooni veebilehel oleva informatsiooniga (sh juhistega)
ning veelkord, juhistest soovitame tutvuda enne isikuandmete töötlemist isikuandmete töötleja
üldjuhendiga. Otseturustusest leiab infomatsiooni lisaks siit.
Lõpetuseks, loodame, et meie selgitustest ning suunistest, kust Andmekaitse Inspektsiooni
loodud informatsiooni leida, on Teile abiks. Märgime, et Andmekaitse Inspektsioon saab
eelkõige anda üldiseid suuniseid ning selgitusi seoses isikuandmete töötlemisega. Kui on vajalik
analüüsida konkreetseid juhtumeid (konkreetse veebilehe arendamiseks, milliseid andmeid on
eesmärgipärane koguda või muuks juhuks), siis sellisel juhul on konkreetsel andmetöötlejal
võimalus pöörduda nõustajate poole (sh andmekaitsealaste küsimustega tegelevad
õigusnõustajad).
Loodan, et minu selgitustest on abi.
Lugupidamisega
Liina Kroonberg
jurist-konsultant
peadirektori volitusel
3 (3)