Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST ASUTUSESISESEKS KASUTAMISEKS Teabevaldaja: Andmekaitse Inspektsioon Märge tehtud: Juurdepääsupiirang kehtib kuni: Alus: Lp vallavanem 11.05.2026 nr 2.2-10/26/1649-2 Jõhvi Vallavalitsus [email protected] Lp linnapea Kohtla-Järve Linnavalitsus [email protected] Lp juhatus aktsiaselts Epler & Lorenz [email protected] Tähelepanu juhtimine Andmekaitse Inspektsioon sai märgukirja isikuandmete töötlemise kohta jäätmete kogumispunktis aadressil Jäätme, Järve küla, Jõhvi vald, Ida-Virumaa. Jäätmejaam asub Jõhvi valla territooriumil, kuid Kohtla-Järve linna kodulehel avaldatud teabe kohaselt on tegemist omavalitsuste ühise kogumispunktiga1. Keskkonnaotsuste infosüsteemi KOTKAS andmetel on jäätmejaama käitaja aktsiaselts Epler & Lorenz (10136864)2. Andmekaitse Inspektsioonile ei ole andmekaitsetingimuste puudumisel teada, kes on jäätmejaamas isikuandmete vastutav töötleja või kas või mil viisil on vastutus jaotatud3, mistõttu saadab inspektsioon käesoleva tähelepanu juhtimise kõigile jäätmejaama tegevusega seotud osalistele. Märgukirjas toodud kirjelduse kohaselt paluti füüsilisel isikul Järve küla jäätmejaama külastamisel paberile kirjutada oma ees- ja perekonnanimi, auto registreerimisnumber, elukoht, telefoninumber ja e-posti aadress ning anda allkiri, kusjuures samal lehel olid talle nähtavad ka varasemate külastajate andmed. Andmete kogumise hetkel ei olnud võimalik saada teavet selle kohta, mis eesmärgil neid andmeid kogutakse, kuhu andmed edastatakse, kui kaua neid säilitatakse vm andmete töötlemise tingimusi. Andmekaitse Inspektsioon selgitab, et isikuandmete kaitse üldmääruse4 (IKÜM) kohaselt on isikuandmed igasugune teave tuvastatud või tuvastatava inimese kohta, isikuandmete töötlemiseks loetakse nendega tehtavat mistahes toimingut ning isikuandmete ja isikuandmete töötlemise mõisteid tuleb käsitleda laialt.5 1 Jäätmejaamad – Kohtla-Järve linn. AKI lähtub siinkohal eeldusest, et Kohtla-Järve linna kodulehel avaldatud teave on õige ning kuigi Jõhvi valla kodulehel vastav teave puudub, siis toimub Jõhvi valla haldusterritooriumil asuva jäätmejaama kasutamine pärast Toila vallaga ühinemist endiselt tingimustel. 2 KOTKAS - AVE v2.13.53 3 Vt EAKN Suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses Versioon 2.0. Vastu võetud 7. juulil 2021 4 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta 5 IKÜM art 4 p 1 ja 2 ning EL Kohtu 02.12.2025 otsus C-492/23, p 49 ja EL Kohtu 24.02.2022 otsus C-175/20 p 35 Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 Isikuandmete töötlemisel tuleb lähtuda IKÜM artiklis 5 loetletud andmetöötluse põhimõtetest, sh seaduslikkuse, minimaalsuse, eesmärgipärasuse ning usaldusväärsuse ja konfidentsiaalsuse (turvalisuse) põhimõtetest. Eesmärgipärasuse põhimõte näeb ette, et isikuandmeid võib töödelda üksnes täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel. Minimaalsuse põhimõttest tuleneb, et igas andmetöötluse etapis võib töödelda isikuandmeid üksnes sellises mahus, mis on vajalik konkreetse eesmärgi saavutamiseks. Konfidentsiaalsuse põhimõte hõlmab kaitset loata või ebaseadusliku töötlemise ning juhusliku kaotsimineku, hävimise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid, sh rikkumiste ennetamiseks ja haldamiseks6. Riigikohus7 on selgitanud, et isikuandmete töötlemiseks õigusliku aluse olemasolul peab töötlemine kui toiming olema õigusliku alusega ka kooskõlas ehk lisapiirangud võivad tuleneda õiguslikust alusest ja IKÜM artiklis 5 sätestatud töötlemise põhimõtetest. Neid põhimõtteid tuleb hinnata koostoimes IKÜM artiklis 6 sätestatud „vajalikkuse“ kriteeriumiga. See tähendab, et konkreetsete isikuandmete töötlemine peab olema vajalik kõnealuses aluses sätestatud eesmärgil töötlemiseks. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil või töödelda vaid sellises mahus, mis on minimaalselt vajalik töötlemise eesmärgi saavutamiseks. Andmekaitse Inspektsiooni hinnangul on kaheldav, kas kõik märgukirjas toodud andmed, mida jäätmejaama külastajalt kogutakse, on eesmärgi täitmiseks minimaalselt vajalikud. Isikuandmete vastutaval töötlejal tuleb eesmärki arvestades hoolikalt läbi mõelda, milliseid andmeid tal tegelikult koguda on vaja ning vastavalt sellele praktikat muuta. Isikuandmete konfidentsiaalsuse tagamiseks on vastutava töötleja kohustuseks hinnata oma isikuandmete töötlemise protsessi ja vahendeid ning rakendada kogumis tegevusi ja meetmeid, et kaitsta isikuandmeid ja infosüsteeme, sõltumata andmete formaadist või andmekandjast, võimalike rikkumiste, sh volitamata juurdepääsu, kasutamise, avalikustamise, muutmise, hävitamise või kahjustamise eest. Antud juhul tuleb jäätmejaama külastajate andmete kogumine korraldada viisil, et teiste külastajate andmed ei saa kolmandatele isikutele teatavaks. Andmekaitse Inspektsioon juhib ühtlasi tähelepanu, et IKÜM-is on sätestatud ka lõimitud ja vaikimisi andmekaitse põhimõte. Kõigi toodete või teenuste kujundamisel, väljatöötamisel, aga ka hankimisel või tellimisel, tuleb isikuandmete töötlemise nõudeid arvesse võtta ja rakendada isikuandmete kaitse tagamiseks asjakohaseid meetmeid 8. IKÜM artiklist 5 tuleneb ka läbipaistvuse põhimõte9. Läbipaistvuse tagamiseks kehtestab IKÜM artiklites 12 – 14 nõuded andmesubjektile antava teabe ja tingimuste kohta. Andmekaitsetingimustes peavad IKÜM artiklist 13 tulenevalt olema välja toodud muu hulgas isikuandmete vastutav töötleja ja tema kontaktandmed, isikuandmete töötlemise eesmärk ja õiguslik alus, viide võimalusele tutvuda enda kohta kogutud isikuandmetega ja andmesubjekti õigused jms. Andmekaitsetingimused peavad olema arusaadavad, selgelt ja lihtsalt sõnastatud ning hõlpsasti kättesaadavad. Jäätmejaama külastajal peab enne isikuandmete töötlemist olema võimalus teada saada kes, milleks ja mil viisil tema isikuandmeid töötleb ning millised on tema õigused seoses tema andmete töötlemisega. Eelnevast tulenevalt palume teil vaadata üle oma praktika seoses jäätmejaamas füüsilistelt isikutelt jäätmete vastuvõtmisel kogutavate isikuandmete ja nende edasise töötlemisega ning 6 IKÜM art 5 lg 1 punktid b, c ja f 7 RKHKo 26.09.2022 nr 3-20-1449, p 24 8 IKÜM art 25 ja põhjenduspunkt 75, vt lisaks EAKN Artiklit 25 käsitlevad suunised 4/2019 Lõimitud andmekaitse ja vaikimisi andmekaitse Versioon 2.0. Vastu võetud 20. oktoobril 2020 9 IKÜM art 5 lg 1 punkt a, vt lisaks Artikli 29 töörühm Suunised määruse 2016/679 kohase läbipaistvuse kohta Vastu võetud 29. novembril 2017 Viimati muudetud ja muudatused vastu võetud 11. aprillil 2018 2 (3) tagada isikuandmete töötlemise vastavus kehtestatud nõuetele. Samuti tuleb tagada andmesubjektide teavitamine töötlemise asjaoludest. Käesolevale tähelepanu juhtimisele Andmekaitse Inspektsioon vastust ei oota, kuid pöördumiste kordumisel või kahtluse korral võib Andmekaitse Inspektsioonil otsustada täiendava sekkumisvajaduse üle, sh algatada järelevalvemenetluse. Lugupidamisega Anu Suviste jurist peadirektori volitusel 3 (3)