Hoiatus isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Ljubov-Luule Emmar Teie: nr juhatuse liige OÜ Luutar Meie: 13.04.2022 nr 2.1.-1/22/426 [email protected] Hoiatus isikuandmete kaitse asjas Andmekaitse Inspektsioon sai pöördumise, milles kaevatakse selle peale, et Luutar OÜ kasutab kaameraid töötajate jälgimiseks. Sealhulgas jälgib tööandja, milliseid internetilehekülgi töötaja kasutab, kaua vestleb telefoniga, samuti jagab töötaja Facebooki kontolt saadud infot teiste töötajatega. Kaamerad on ka laoruumis, mida töötajad kasutavad ümberriietumiseks ning söömiseks. Andmekaitse Inspektsioon teeb OÜ-le Luutar isikuandmete kaitse üldmääruse (IKÜM) artikli 58 lõike 1 punkti d ja lõike 2 punkti a ning arvestades IKÜM artiklitega 5, 6, 12 ja 13 HOIATUSE: Kaamerate kasutamine on lubatud üksnes juhul, kui: 1. Koostatud on korrektne õigustatud huvi analüüs, millest nähtuks kaamerate kasutamise lubatavus (vt andmekaitse inspektsiooni põhjenduste alapunkti 2.1); 2. Koostatud on korrektsed andmekaitsetingimused ning selle sisu (sh õigustatud huvi analüüsi) on töötajatele tutvustatud (vt andmekaitse inspektsiooni põhjenduste alapunkti 2.2); 3. Kasutusel on logimissüsteem, mis võimaldab kontrollida, kes ja millal kaamera otsepilti või kaamerasalvestisi on vaadanud (vt andmekaitse inspektsiooni põhjenduste punkti 2). Inspektsioonile edastatud pöördumises toodud ulatuses on kaamerate kasutamine keelatud – töötajad ei tohi olla terve tööaja kaamera vaateväljas (ehk kaameratega ei tohi katta näiteks kogu poe/lao ala) ning töötajate kontrollimine kaameratega ei ole lubatud. SUNNIRAHA ja VÄÄRTEOKARISTUSE HOIATUS: Kui ettevõte oma tegevust IKÜM nõuetega vastavusse ei vii (sõltumata hoiatusest), on Andmekaitse Inspektsioonil õigus karistada ettevõtet rahatrahviga, teha ettekirjutus kaamerate eemaldamiseks ning määrata isikuandmete kaitse seaduse (IKS) § 60 alusel sunniraha kuni 20 000 000 eurot või 4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. ANDMEKAITSE INSPEKTSIOONI SELGITUSED: 1. Isikuandmete töötlemine Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada (vt IKÜM artikkel 4 punkt 1). Kaamerate abil on isik (eriti töötaja) igal juhul tuvastatav. Seega on videovalve Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 puhul tegemist isikuandmete töötlemisega, mille osas tuleb järgida IKÜM-s sätestatud nõudeid. 2. Isikuandmete töötlemise põhimõtted Tööandja kui oma töötajate isikuandmete vastutav töötleja on kohustatud järgima IKÜM artikkel 5 lõikes 1 sätestatud põhimõtteid. Nende põhimõtete täitmise eest vastutab ja peab olema võimeline nende täitmist tõendama vastutav töötleja ise (vt IKÜM artikkel 5 lõige 2). Selles osas, mil andmetöötlus ei vasta täielikult IKÜM artikkel 5 lõikes 1 sätestatud põhimõtetele, on andmetöötlus keelatud. Kaamerate kasutamisel tuleb lähtuda muuhulgas järgnevatest isikuandmete töötlemise põhimõtetest: - Seaduslikkus, õiglus ja läbipaistvus (IKÜM artikkel 5 lg 1 punkt a) Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik (ehk täielikult kooskõlas IKÜM-i ja isikuandmete kaitse seadusega (IKS)) ning läbipaistev. Selleks peab kogu isikuandmete töötlemisega seotud teave olema andmesubjektile (st töötajatele) lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud. Andmesubjekte tuleb ka teavitada (vt IKÜM põhjenduspunkti 39). Seda reguleerivad täpsemalt IKÜM artiklid 12 – 14. IKÜM artiklites 13 ja 14 on välja toodud, mida peab inimesele antav teave minimaalselt sisaldama. Kaamerate kasutamisel tuleb lähtuda IKÜM artikkel 13 nõuetest. - Eesmärgi ja säilitamise piirang. Võimalikult väheste andmete kogumine (IKÜM artikkel 5 lg 1 punktid b, c ja e) Selleks, et hinnata, kas kaamerate kasutamine vastab eesmärgi piirangu ning võimalikult väheste andmete kogumise põhimõttele, tuleb: 1. tuua välja kõik kaamerate kasutamise eesmärgid ja seda hästi konkreetselt; 2. hinnata, kas nimetatud eesmärkide täitmisel on kaamerate kasutamine vajalik või on selle täitmiseks muid ja andmesubjekti vähem riivavamaid meetmeid. Keelatud on töötajate jälgimine kaameratega terve tööaja ning kaamerad tuleb suunata konkreetsetele turvariskidele. Isikuandmete töötlemine tuleb lõpetada ja andmed kustutada või viia isikustamata kujule kohe, kui langeb ära õiguslik alus ja/või on täidetud eesmärgid, milleks neid koguti. Isikuandmete töötlemise aeg peab piirduma rangelt minimaalsega. Selle tagamiseks, et isikuandmeid ei töödelda vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad isikuandmete kustutamiseks ning perioodiliseks läbivaatamiseks (vt ka IKÜM põhjenduspunkt 39). Kaamerasalvestiste säilitamise osas on Euroopa Andmekaitsenõukogu oma suunistes 3/2019 isikuandmete töötlemise kohta videoseadmetes välja toonud järgneva1: Võttes arvesse isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktides c ja e sätestatud põhimõtteid, nimelt võimalikult väheste andmete kogumist ja säilitamise piirangut, tuleks isikuandmed enamikul juhtudel (nt vandalismi avastamiseks) kustutada – ideaaljuhul automaatselt – mõne päeva pärast. Mida pikem on ettenähtud säilitamisaeg (eriti kui see on pikem kui 72 tundi), seda rohkem tuleb põhjendada eesmärgi õiguspärasust ja säilitamise vajalikkust. Kui vastutav töötleja kasutab videovalvet mitte ainult oma ruumide jälgimiseks, vaid kavatseb andmeid ka säilitada, peab vastutav töötleja tagama, et säilitamine on eesmärgi saavutamiseks tegelikult vajalik. Kui säilitamine on vajalik, tuleb säilitamisaeg iga konkreetse eesmärgi puhul selgelt kindlaks määrata ja eraldi kehtestada. Vastutav töötleja vastutab säilitamisaja kindlaksmääramise eest kooskõlas vajalikkuse ja proportsionaalsuse põhimõttega ning isikuandmete kaitse üldmääruse sätete järgimise tõendamise eest. Seega 1 https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_et.pdf lk 28 p 121 2 (4) olukorras, kus eriseadusest ei tulene 72st tunnist pikemat säilitamistähtaega, tuleb vastutaval töötlejal salvestiste pikema säilitamise tähtaja vajadust selgelt ja arusaadavalt põhjendada. Siiski ei nõustu inspektsioon sellega, et salvestiste säilitamise tähtaja vajalikkust saaks mõõta kuudes. Mida pikem on säilitamistähtaeg, seda suurem on ka riive andmesubjektidele, eriti töötajatele, sest pikem aeg tähendab rohkem andmeid. - Isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sh kaitseb loata või ebaseadusliku töötlemise eest (IKÜM artikkel 5 lg 1 punkt f) Selleks, et oleks võimalik tagantjärgi kontrollida, kes, millal ja millist kaamerasalvestist on vaadanud, peab olema loodud logimissüsteem. Inspektsiooni hinnangul on logimine ainuke võimalik viis, mis võimaldab kontrollida seda, et kaamera otsepilti või salvestisi ei oleks vaadatud ebaseaduslikult, sh ilma põhjuseta. 2.1. Õigustatud huvi analüüsi koostamine Kui ettevõttele ei tule eriseadusest kaamerate paigaldamise/kasutamise kohustust, on võimalik kaamerate kasutamisel tugineda üksnes IKÜM artikkel 6 lg 1 punktis f sätestatud alusele - õigustatud huvile. See sätestab, et „isikuandmete töötlemine on seaduslik üksnes juhul, kui see on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja – vabadused, mille nimel tuleb kaitsta isikuandmeid.“ Seega on IKÜM artikkel 6 lõige 1 punktis f ettenähtud kolm tingimust, mis kõik peavad olema täidetud, et isikuandmete töötlemine oleks lubatud: - vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on andmetöötluseks õigustatud huvi; - isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks; - vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava andmesubjekti huvid, põhiõigused ja – vabadused. Selleks, et aru saada, kas IKÜM artikkel 6 lg 1 punkt f alusel on võimalik isikuandmeid töödelda, tuleb esmalt täpselt välja selgitada, kas ja millised on andmetöötleja enda konkreetsed õigustatud huvid. Õigustatud huvid peavad olema sõnastatud piisavalt selgelt. Selleks on vaja reaalset ja hetkel esinevat huvi – midagi, mis on seotud parasjagu toimuva tegevuse või kasuga, mida eeldatakse saada lähitulevikus. Teisisõnu ei piisa huvidest, mis on liiga ebamäärased või spekulatiivsed. Kui õigustatud huvid ei ole piisavalt selgelt sõnastatud, ei ole võimalik nimetatud huvisid ka andmesubjekti huvide ja põhiõigustega tasakaalustada. Seega on ennekõike oluline, et õigustatud huvi oleks kooskõlas kehtivate õigusaktidega, sõnastatud piisavalt selgelt (st piisavalt konkreetne) ning reaalne ja hetkel esinev (st mitte spekulatiivne). Teiseks tuleb analüüsida ja läbi mõelda, millised on võimalikud andmesubjekti huvid või põhiõigused – ja vabadused, mida võidakse isikuandmete töötlemisega kahjustada. Kolmandaks tuleb tasakaalustada andmetöötleja õigustatud huvid andmesubjekti huvide ja põhiõigustega. Siinjuures võrreldakse isikuandmete töötlemisest (kogumisest, edastamisest, avalikustamisest) andmesubjektile tekkida võivat mõju vastutava töötleja ja/või kolmanda isiku õigustatud huvidega ning hinnatakse, kas ja millises ulatuses vastutava töötleja ja/või kolmanda isiku õigustatud huvi kaalub andmesubjekti huvid üles. Rõhutame, et vastutava töötleja või kolmanda isiku õigustatud huvid ei kaalu automaatselt üles kaitstavate andmesubjektide põhiõiguste ja – vabadustega seotud huve. Õigustatud huvi analüüsiga peab olema võimalik tutvuda igal andmesubjektil (nii kliendil kui töötajal). Soovitame lugeda ka inspektsiooni koostatud õigustatud huvi juhist. Täiendavalt rõhutame, et keelatud on töötajate jälgimine kaameratega terve tööaja ning kaamerad tuleb suunata konkreetsetele turvariskidele. Näiteks olukorras, kus töötaja veedab suure osa oma tööajast kassas, ei ole lubatud kaamerat suunata kassale selliselt, 3 (4) mis võimaldab töötaja töö tegemist kontrollida. Lisaks ei saa olla õiguspärane kontrollida kaameratega tööl viibimise aega. Juhul, kui andmetöötleja jätab õigustatud huvi analüüsi korrektselt tegemata (sh ei arvesta töötaja õigustega), on kaamerate kasutamine keelatud ning tegemist on IKÜM nõuete rikkumisega. 2.2. Andmekaitsetingimuste koostamine Andmekaitsetingimustes tuleb kajastada muuhulgas järgnev (vt IKÜM art 13 lõiked 1 ja 2): - vastutava töötleja nimi ja tema kontaktandmed; - isikuandmete töötlemise eesmärgid ja õiguslikud alused; - kui isikuandmete töötlemine põhineb õigustatud huvil, siis teave vastutava töötleja õigustatud huvide kohta; - teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta; - isikuandmete säilitamise tähtaeg; - teave andmesubjekti õiguse kohta taotleda: a) juurdepääsu teda puudutavatele isikuandmetele (nii klientidel kui töötajatel on õigus saada enda kohta käivaid salvestisi); b) isikuandmete kustutamist; c) isikuandmete töötlemise piiramist. - teave õiguse kohta esitada vastuväide kaamerate kasutamise osas; - teave õiguste kohta esitada kaebuse järelevalveasutusele. Siiski peab iga vastutav töötleja ise koostama enda äritegevusest lähtuvalt andmekaitsetingimused ning kontrollima nende vastavust IKÜM artiklites 12 – 13 sätestatud nõuetele. Täiendavalt selgitame järgnevat: - andmekaitsetingimused tuleb koostada vastavalt tegelikule andmetöötlusele. Tingimused ei saa piirduda näidetega, vaid loetelu peab olema lõplik. Sõnade „näiteks, eelkõige, muuhulgas“ kasutamine ei ole lubatud. Kui andmetöötluse sisu või eesmärgid aja jooksul muutuvad, siis tuleb andmekaitsetingimusi vastavalt sellele ka ajakohastada. - Töötajatel peab olema võimalik andmekaitsetingimustega ja õigustatud huvi analüüsiga igal ajal tutvuda (nt puhkeruumis või asutuse siseses infosüsteemis). KOKKUVÕTE: Kui kaamerate kasutamine ei vasta eeltoodud nõuetele (vt inspektsiooni põhjenduste punkti 2 ja selle alapunkte) tuleb kaamerad eemaldada. Kui kaameraid ei eemaldata ning kaamerate kasutamine ei vasta IKÜM nõuetele, on inspektsioonil õigus määrata sunniraha ning karistada ettevõtet rahatrahviga IKÜM nõuete rikkumise eest. Seejuures ei vabasta ettevõtet andmekaitsereeglite täitmisest nende keerukus või oskamatus. Ettevõttel on võimalik palgata õigusteenuse osutaja, kes aitab ettevõttel isikuandmete töötlemise protseduure kirjeldada ning nõuetega vastavusse viia, koostades ka vajaliku dokumentatsiooni. Täpselt samamoodi, nagu ostetakse sisse raamatupidamise või it-teenus. Lugupidamisega (allkirjastatud digitaalselt) Sirje Biin jurist peadirektori volitusel 4 (4)