-156488 -85587 0 0 Lp Kertu Tiikoja DPD Eesti AS
[email protected] Teie: 24.11.2020 Meie: 03 .12.2020 nr 2.1.-5/20/4293 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie pöördumise, milles soovite teada, kuidas on lubatud kliendilt teenuse tagasiside küsimine, kui selleks ei ole saadud kliendi nõusolekut. Seejuures tõite välja järgnevad variandid: „ Variant A – saadame paki saajale anonüümse tagasisideküsitluse lingi sama SMS-iga, millega teavitame paki jõudmisest automaati – küsitlus on nähtav siin https://bit.ly/2O24u8O Variant B – saadame paki saajale tagasisideküsitluse lingi eraldi SMS-iga, klient on e-poes saanud ise transporditeenuse valida ja soovi korral meie tüüptingimusi/privaatsusteadet lugeda, otseselt me tagasiside küsimiseks nõusolekut pole küsinud/saanud. Variant C - saadame paki saajale tagasisideküsitluse lingi eraldi sms-iga , klient ei ole e-poes saanud ise transporditeenust valida ja saatja ütleb oma privaatsusteates, et andmeid kasutatakse ainult tellimuse haldamiseks – toote tarnimiseks (st klient ei anna seega volitatud töötlejale nõusolekut andmeid kasutada teenuse tagasiside küsimiseks) .”. Selgitame, et isikuandmete töötlemiseks (sh tagasiside ankeedi saatmiseks) saab õiguslik alus tuleneda isikuandmete kaitse üldmääruse (IKÜM) artiklist 6. Arvestades sellega, et nõusolek ei ole konkreetsel juhul asjakohane, siis ainuke sobiv alus on IKÜM artikkel 6 lg 1 punkt f (õigustatud huvi). IKÜM art ikkel 6 lg 1 punktis f on ette nähtud kolm tingimust, mis kõik peavad täidetud olema, et isikuandmete töötlemine oleks lubatud: 1) vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on õigustatud huvi, 2) isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks, 3) vastutaval töötleja või andmeid saava kolmanda isiku huve ei kaalu üles kaitstava andmesubjekti põhiõigused ja –vabadused. Õigustatud huvi hindamine toimub kolmeastmelise skeemi järgi: I aste - isikuandmete töötleja või kolmandate isikute huvid ja nende kaalukus. II aste - andmesubjekti õigused ja huvid ning kaalukus. III aste - vastanduvate huvide kaalumine - esialgne hinnang + vajadusel täiendavad kaitsemeetmed lõplik hinnang. Kui vastutaval töötlejal on huvi mingite isikuandmete töötlemise vastu, ei tähenda see automaatselt, et ta saab tugineda õigustatud huvi alusele. Vastutava töötleja huvi õigustatus on vaid lähtepunkt ehk üks elementidest, mida tuleb analüüsida ning see, kas õigustatud huvi alusele saab tugineda, sõltubki tasakaalustamise tulemusest. Seejuures peab arvestama, et õigustatud huvil põhineva andmetöötluse korral tuleb arvestada ka inimeste võimalike vastuväidetega (vt IKÜM artikkel 21). Täpsemalt on võimalik õigustatud huvi kohta ning vastuväite esitamise kohta lugeda inspektsiooni juhendist õigustatud huvi . Seejuures rõhutame, et vastutav töötleja peab esitama inimesele kogu IKÜM artiklis 13 - 14 sätestatud teabe. Sh olukorras, kus isikuandmete töötlemine põhineb artikkel 6 lõige 1 punktil f, tuleb esitada ka teave vastutava töötleja või kolmanda isiku õigustatud huvide kohta (vt IKÜM artikkel 13 lg 1 punkt d , IKÜM artikkel 14 lg 2 punkt b ). Ehk andmekaitsetingimustesse tuleb lisada kas teave õigustatud huvide osas (sh huvide tasakaalustamise osas) või vähemalt teave, et inimesel on õigus saada informatsiooni õigustatud huvi kujunemise (sh tasakaalustamise) osas. Täpsemalt on võimalik selles osas lugeda ka Artikli 29 tööruhma suuniseid läbipaistvuse kohta . Õigustatud huvi osas teabe andmist on käsitletud leheküljel 36. Kui minna nüüd Teie toodud variantide juur de, siis märgime, et variant C ei sobi tagasiside küsitluse saatmiseks, sest inimest ei ole teavitatud tagasiside küsitluse saamise võimalusest, vastupidi, on märgitud, et andmeid kasutatakse ainult tellimuse haldamiseks – toote tarnimiseks. Seejuures ei ole olnud võimalik inimesel enne andmete kogumist tutvuda ka DPD E esti AS andmekaitsetingimustega ning SMS saadetakse eraldiseisvalt, mida ei o le võimalik inimes e l ka eeldada. Märgime, et õigustatud huvi raames tuleb hinnata ka seda, kas andmesubjekt võib andmete kogumise ajal ja kontekstis mõistlikkuse piires eeldada, et isikuandmeid võidakse sellisel viisil ja otstarbel töödelda (vt IKÜM põhjenduspunkt 47). Variandid A ja B on võimalikud, kuid eeldavad lisaks andmekaitsetingimustes välja toomisele seda, et tehtud oled õigustatud huvi analüüs – analüüsi tulemus peaks näitama, kas ja mil viisil on andmetöötlus lubatud . Siiski sõltumata sellest, millist variant i DPD Eesti AS kasutab, tuleb arvestada ka sellega, et iga inimene võib tunda tagasiside ankeedi lingi saamisel üleliigset andmete töötlemist. Kui vastuväide tagasiside ankeedi osas saadetakse (lingi saatmine keelatakse), siis inspektsiooni hinnangul on väga keeruline leida põhjendust, mis õigustaks selle konkreetse isiku kontaktidele tagasiside ankeedi saatmist jätkata. Nimelt IKÜM artikli 21 lõike 1 kohaselt ei töötle vastutav töötleja vastuväite saamisel isikuandmeid edasi, välja arvatud juhul, kui vastutav töötleja tõendab, et töödeldakse mõjuval õiguspärasel põhjusel . Kui inimene ikkagi ei soovi tagasisidet anda ja nimetatud linki saada, siis ei nähtu inspektsioonile ka seda, mis eesmär k saaks sellise lingi jätkuvaks saatmiseks olla – inimene on öelnud, et ta tagas iside anda ei soovi ehk soovitud eesmärki (tagasiside saamist) ei ole võimalik täita . Seega tuleb DPD Eesti AS-l kasutada sellist lahendust, mis võimaldab inimese vastuväite korral jätta tema kontaktidele edaspidi tagasiside ankeet saatmata. Lugupidamisega Raiko Kaur jurist peadirektori volitusel