Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Evi Tänak-Aruksaar Teie: 18.03.2021 AS TBB pank Meie: 23.04.2021 nr 2.1.- 5/21/1111 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie selgitustaotluse seoses panga töötajate majanduslike huvide deklareerimise kohustusega. Selgitate, et huvide konflikti olemasolu välja selgitamine eeldab ka nende panga töötajatega, kes on kohustatud majanduslike huvide deklaratsiooni esitama, seotud isikute tuvastamist. Palute inspektsioonil selgitada majanduslike huvide deklaratsiooni läbiviimiseks isikuandmete töötlemisele kohalduvaid nõudeid. Täpsemalt palute inspektsiooni seisukohta järgmistes küsimustes: 1.Kas eeltoodud asjaoludest tulenevalt on Pangal piisav õigustatud huvi, et MHD raames koguda ja töödelda andmeid Panga töötajatega seotud isikute ja nende ärihuvide kohta? 2.Kas Pank peab töötajatega seotud isikuid nende andmete töötlemisest teavitama? 3.Kas eeltoodud asjaoludest tulenevalt on Pangal kohustus koostada andmekaitsealast mõjuhinnangut pangaprogrammile, mis töötleb MHD toodud andmeid (sh isikuandmeid)? Selgitan, et igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus. Isikuandmete kaitse üldmääruse (IKÜM) artikli 6 kohaselt on isikuandmete töötlemine seaduslik ainult juhul, kui on täidetud vähemalt üks artiklis 6 punktides a-f sätestatud tingimus. Käesoleval juhul võivad kõne alla tulla punktid c ja f ehk pangale kohalduva juriidilise kohustuse täitmine või õigustatud huvi. Krediidiasutuste seaduse (KAS) § 49 lõige 5 sätestab, et käesoleva seaduse § 571 lõikes 3 nimetatud krediidiasutuse töötajad on kohustatud esitama majanduslike huvide deklaratsiooni vastavalt krediidiasutuses kehtestatud sise-eeskirjadele. Krediidiasutuse juhatuse nõudmisel peavad deklaratsiooni esitama ka käesoleva lõike esimeses lauses nimetamata töötajad, kui see on proportsionaalne krediidiasutuse tegevuse laadi, ulatuse ja keerukuse astmega ning vajalik, lähtudes krediidiasutuse organisatsioonilisest ülesehitusest, osutatavatest teenustest ja riskijuhtimise korraldusest. Eelnevast nähtub, et teatud panga töötajatel on majanduslike huvide deklareerimise kohustus. Seega töötleb pank sellises olukorras isikuandmeid pangale kohalduva juriidilise kohustuse täitmiseks. Mis puutub sellesse, kas sättega võiks olla hõlmatud ka panga töötajatega seotud isikud, siis Teie poolt viidatud Euroopa Pangandusjärelevalve juhiste kohaselt peaks eesmärgiks olema töötajate, sealhulgas nende lähimate pereliikmete, võimalike huvide konfliktide tuvastamine. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Seega tuleks Teil hinnata, kas huvide konflikti olemasolu välja selgitamiseks ehk enda juriidilise kohustuse täitmiseks on tingimata vajalik ka pangatöötaja lähimate pereliikmete isikuandmete töötlemine. Kui see nii on, siis toimub ka pangatöötajate lähimate pereliikmete isikuandmete töötlemine nimetatud sätte alusel, st et õiguslikuks aluseks on IKÜM art 6 lg 1 punkt c. Kui mitte, siis on võimalik õigustatud huvi alusele tuginemine, kuid see eeldab kolmeastmelise hinnangu läbiviimist, millega jõuate tulemusele, et isikuandmeid töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles töötaja huvid, õigused ja vabadused. Täpsemalt on võimalik õigustatud huvi hindamise kohta lugeda inspektsiooni juhendist. Isikuandmete töötlemisel peab lähtuma isikuandmete kaitse üldmääruse nõuetest, sealhulgas tuleb Teil tagada määruses sätestatud andmesubjekti õigused. Andmesubjekti õigusi võib piirata üksnes seaduses sätestatud alustel, nt KAS § 893 sätestatud tingimustel. Kui pangale kohalduvatest seadustest ei tulene erisust, siis tuleb andmesubjekti ka nõuetekohaselt teavitada. Juhin Teie tähelepanu ka sellele, isikuandmete töötlemisel on oluline lähtuda isikuandmete töötlemise põhimõtetest, sh andmetöötluse eesmärgipärasusest ning minimaalsusest. Eesmärgipärasuse põhimõte tähendab, et isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. Minimaalsuse põhimõtte kohaselt peavad isikuandmed olema asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt. Seega tuleb Teil selgelt määratleda, missuguseid lähikondsete andmeid Te võimalike huvide konflikti tuvastamiseks vajate ning neid andmeid ei tohi töödelda muul eesmärgil. Mis puudutab mõjuhinnangut, siis tuleb Teil endal hinnata, kas see on käesoleval juhul vajalik. Mõjuhinnangu peavad tegema kõik isikuandmete vastutavad töötlejad, kelle isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvestades tekib tõenäoliselt inimestele suur oht. Andmekaitselise mõjuhinnangu kohta saate täpsemalt lugeda isikuandmete töötleja üldjuhendi peatükis 5. Lugupidamisega Ingrid Lauringson jurist peadirektori volitusel 2 (2)