ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Ülle Kämbre Teie 09.10.2023 nr
Bauhof Group AS
[email protected] Meie 13.11.2023 nr 2.1.-5/23/2591-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon sai Teie pöördumise, milles kirjutate:
Palun abi seaoses kolmandatesse riikidesse andmete edastamisega. Kuidas oleks korrektne
käituda olukordades, kus klient edastab meile oma kontaktandmed, mille domeen asub
väljaspoolt Euroopa Liidu ja EMP-da? Kas oleks mõistlik paluda klientidel e-posti domeeni
aadress ümber registreerida? Reeglina saadame loa andnud klientide e-posti aadressidele
postitusi. Nüüd kerkis üles küsimus, kuidas käituda klientidega, kelle andmed on seotud
kolmandate riikidega. Brexit, Schrems, Venemaa, vms.
Selgitame, et Andmekaitse Inspektsioon saab selgitusi jagada eelkõige isikuandmetega seoses.
Hetkel ei ole arusaadav, milliseid isikuandmeid kolmandatesse riikidesse edastatakse nende
kirjadega.
Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta.
Isikuandmete kaitse üldmääruse (IKÜM) art 5 lg 1 p a sätestab, et isikuandmete töötlemine peab
olema seaduslik ja andmesubjektile läbipaistev; samuti tohib isikuandmeid koguda üksnes
kindlaksmääratud õiguspärastel eesmärkidel (art 5 lg 1 p b) ning koguda tuleb eesmärgi
seisukohalt võimalikult vähe andmeid (art 5 lg 1 p c). Seda, millisel õiguslikul alusel ja
eesmärgil andmetöötlust (sh andmete kogumine ja edastamine) läbi viiakse, peab IKÜM
art 5 lg 2 kohaselt selgitama ja tõendama andmetöötleja ehk Teie ise. Kui õiguslik alus
puudub, siis andmeid töödelda ei tohi.
Isikuandmete kaitse nõuded Euroopas, sh Eestis, on sätestatud peamiselt Euroopa Parlamendi ja
Nõukogu määruses (EL) 2016/679 (IKÜM). Vastutav töötleja peab isikuandmete töötlemisel
järgima IKÜM artiklis 5 lõikes 1 sätestatud põhimõtteid, vastutama nende põhimõtete täitmise
eest ja olema võimeline nende täitmist tõendama (IKÜM artikkel 5 lg 2). Eelviidatud põhimõtete
juurde kuulub ka vastutava töötleja kohustus töödelda isikuandmeid viisil, mis tagab
isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest
ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või
korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“, IKÜM art 5 lg 1 p f).
Andmetöötlejal tasub olla sisuliselt kaalutletud nii isikuandmete edastamisel kui õigusliku
aluse hindamisel, kuna Euroopa Liidu Kohus lükkas vastutuskoorma selgelt andmeid
edastavatele ettevõtetele. Kuna antud juhul puudub teadmine, kas üldse toimub isikuandmete
töötlemine või edastatakse konkreetsele e-mailile Bauhof toodete pakkumisi ehk reklaami (mis ei
sisalda üldjuhul isikuandmeid), siis on keeruline ka ammendavat vastust anda. Igal juhul peab
Tatari 39, 10134 Tallinn Telefon 627 4135
Registrikood 70004235 E-post
[email protected] www.aki.ee
ettevõte hoolitsema selle eest, et vastutava töötleja süsteemid oleksid kaitstud igasuguste
võimalike õngitsuste või muude võimalike ohtude eest.
Rohkem informatsiooni lähtuvalt oma andmetöötlusprotsessidest leiate Andmekaitse
Inspektsiooni veebilehelt. Teile on asjakohane isikuandmete töötleja üldjuhend, mis siis võtab
kokku kõige olulisema, mida isikuandmete töötleja peab teadma. Kõik juhendid loetelus leiab
siit.
Kui Teil on siiski vaja konkreetsemat õiguslikku seisukohta lähtuvalt konkreetse ettevõtte
asjaoludest, siis soovitame pöörduda õigusnõustajate (advokaadid, juristid jne) poole, kes saavad
Teile vajadusel koostada muuhulgas asjakohase dokumentatsiooni ning nõustada Teid vastavalt
konkreetsele olukorrale.
Loodan, et minu selgitustest on abi.
Lugupidamisega
Liina Kroonberg
jurist-konsultant
peadirektori volitusel
2 (2)