Selgitustaotlus

Andmekaitse Inspektsioon Tatari 39 10134 Tallinn Edastatud elektrooniliselt e-postiaadressil: [email protected] 13.01.2020 SELGITUSTAOTLUS Lugupeetud Andmekaitse Inspektsioon NJORD Advokaadibüroo soovib selgitust selle osas, et kuidas määratleda, kes on Euroopa Parlamendi ja Nõukogu määruse (EL) nr 2016/679 (edaspidi „GDPR“) järgi isikuandmete vastutav ja volitatud töötleja allpool kirjeldatud olukorras. Tegemist on rahvusvahelise heategevusorganisatsiooniga, millel on nn katusorganisatsioon ühes Euroopa Liidu liikmesriigis ning kohaliku tasandi organisatsioonid teistes Euroopa Liidu liikmesriikides, sh Eestis. Oma tegevuse elluviimiseks töötleb kogu organisatsioon igapäevaselt isikuandmeid. Kohalikud ühendused eri liikmesriikides on teatud ulatuses iseseisvad, kuid suures osas järgivad nad isikuandmete töötlemisel katusorganisatsiooni juhiseid. Juhised isikuandmete töötlemiseks tulenevad katusorganisatsiooni korporatiivsetest poliitikatest ja erievatest juhenditest. Eesti kohalik ühing töötleb küll Eestis asuvate isikute isikuandmeid, kuid töötlemine toimub katusorganisatsiooni poolt kohalikule ühingule kasutamiseks antud arvutiprogrammides/andmebaasides. Konkreetsed isikuandmed, mis tuleb Eesti ühingu poolt programmi või andmebaasi sisestada, on samuti määratletud katusorganisatsiooni poolt antud juhistes. Katusorganisatsioon kasutab Eesti ühingu poolt andmebaasidesse sisestatud isikuandmeid erinevatel eesmärkidel, muuhulgas näiteks selleks, et teha statistikat kogu organisatsiooni toimimise kohta ning töötada välja uusi üle-organisatsioonilisi juhendeid organisatsiooni tegevuse paremaks elluviimiseks. Soovime Andmekaitse Inspektsiooni (edaspidi „AKI“) selgitust, et kas me saame õigesti aru, et kirjeldatud olukorras on katusorganisatsiooni puhul tegemist vastutava töötlejaga ja Eesti ühingu puhul volitatud töötlejaga. Oma varasemates vastustes selgitustaotlustele on AKI rõhutanud, et vastutava töötleja ja volitatud töötleja vahe on eelkõige see, kas ja kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid.1 Samuti on AKI selgitanud varasemates vastustes, et kui isikuandmeid töödeldakse infosüsteemis, mis on ühe lepingupoole omand, ja tema määrab ka selle kasutustingimused, siis on ta selles osas vastutav töötleja.2 Lähtudes eelviidatud AKI selgitustest leiame, et antud juhul on katusorganisatsioon vastutav töötleja ning Eesti ühing volitatud töötleja. Eesti ühing kogub andmeid katusorganisatsiooni juhiste järgi ning katusorganisatsioon kasutab neid enda poolt kindlaksmääratud eesmärkidel. Soovime kinnitust, et kas AKI eelviidatud selgitused on ka antud juhtumi lahendamise puhul asjakohased. Jääme ootama Teie vastust. Küsimuste korral palume võtta ühendust allakirjutanuga. Lugupidamisega 1 Andmekaitse Inspektsiooni 24.05.2019. a vastus ERGO Insurance SE selgitustaotlusele. 2 Andmekaitse Inspektsiooni 06.06.2019. a vastus AAS “BTA Baltic Insurance Company” Eesti filiaali selgitustaotlusele. (allkirjastatud digitaalselt) Liisi Jürgen Vandeadvokaat, partner [email protected]