Selgitustaotlus

Andmekaitse Inspektsioon Tallinn, 26.07.2019 Väike-Ameerika 19 10129 Tallinn [email protected] Selgitustaotlus Isikuandmete üleandmine varade müügitehingu raames Käesolevaga küsib Advokaadibüroo TARK (edaspidi meie) Andmekaitse Inspektsiooni (edaspidi AKI) selgitusi ja seisukohta meie kliendi (edaspidi Klient) poolt kavandatava tehingu vastavusele GDPR reeglitega. I Taustinformatsioon Käesoleval hetkel teostab Klient Eestis e-kaubandustegevust kahe erineva e-poe vahendusel, mida haldavad kaks erinevat, kuid ühte kontserni kuuluvat ettevõtet – üks on Eestis registreeritud äriühing (edaspidi Eesti äriühing) ja teine on Euroopa Liidu liikmesriigis registreeritud äriühing (edaspidi EL äriühing). E-poe peamine äritegevus on klientide on-line tellimuste vastuvõtmine ja kaupade kättetoimetamine. Enamus kirjeldatud müügilepingutest täidetakse 1 (ühe) nädala jooksul alates esialgse tellimuse esitamisest. Kõik müügitehingud sõlmitakse vastava ettevõtte tüüptingimuste järgi. E-poe kliendid saavad tellimusi esitada nii registreeritud klientidena (st olemasoleva kasutajakonto kaudu) kui ka ühekordsete klientidena. Klient kavatseb läbi viia kontsernisisesed ümberkorraldused, mille käigus koondatakse e- kaubandustegevus selliselt, mõlemat e-poodi (siiski eraldiseisvatena ja erinevate kaubamärkidena) hakkab haldama EL äriühing (edaspidi Eesmärk). Eesmärgi saavutamiseks soovitakse Leedu äriühingule üle anda järgnevad Eesti äriühingu varad: domeeninimi (edaspidi Domeen) ning andmebaasid, mis koosnevad (i) veebilehel registreerunud kasutajate ja (ii) uudiskirja tellijate andmetest (edaspidi Andmebaasid). Juhime tähelepanu, et nii Eesti äriühingu hallatava e-poe kaubavalikus kui ka e-poe veebilehe visuaalses kujunduses ei toimu olulisi muudatusi. Eesti äriühing annab Domeeni ja Andmebaasid EL äriühingule üle vara müügitehingu teel, mille järel EL äriühing käivitab oma e-poe, mis kasutab sama kaubamärki ja veebilehe visuaalset kujundust nagu Eesti äriühing (edaspidi Tehing). Tehinguvormiks on varade müük, mitte ettevõtte üleandmine, kuivõrd EL äriühing ei vaja ja seetõttu ei võta üle Eesti äriühingu: (i) veebilehe haldamise süsteemi; (ii) töötajaid; (iii) müümata kaupa ja/või (iv) sõlmitud lepinguid tarnijatega ja/või teenuse osutajatega (nt turundajatega). Tehingu läbiviimise järel kasutab Eesti äriühing Andmebaase vaid eesmärgil, et täita enne Tehingu läbiviimist klientide poolt esitatud tellimused. Advokaadibüroo TARK Õigusteenused Eestis, Lätis, Leedus Roosikrantsi 2, 10119 Tallinn, Eesti Tel + 372 611 0900 [email protected] www.tark.legal  tark.legal II Küsimused AKI-le 1. Nagu varasemalt mainitud, sisaldavad Andmebaasid Eesti äriühingu poolt hallataval veebilehel konto avanud kasutajate ning uudiskirja tellijaks registreerunud isikute isikuandmeid. Meie hinnangu kohaselt on vara müügi raames Andmebaasides leiduvate isikuandmete üleandmise õiguslikuks aluseks nii Eesti äriühingu (kui isikuandmete üleandja) kui EL äriühingu (kui isikuandmete vastuvõtja) poolne õigustatud huvi (GDPR artikkel 6 (f)). Isikuandmete üleandmine on vajalik ja vältimatu Tehingu ning e- kaubandustegevuse kontsernisisese koondamise lõpuleviimiseks ning ei kahjusta liigselt andmesubjektide s.o. e-poe klientide privaatsust. Selguse mõttes täpsustame, et Eesti äriühingu poolt hallatava e-poe andmekaitsetingimustes on kliente teavitatud võimalusest, et Eesti äriühing võib klientidele teenuste pakkumise huvides edastada klientide isikuandmeid kolmandatele isikutele (sealhulgas kõigile kontserni tütarettevõtetele). Andmebaaside üleandmine Eesti äriühingult EL äriühingule võimaldab parandada klientidele (andmesubjektidele) pakutavate teenuste kvaliteeti ning on seega ka klientide parimates huvides. Kuna Eesti äriühingu poolt hallatava e-poe andmekaitsetingimustes on kliente ülalmainitud viisil teavitatud isikuandmete edastamise võimalikkusest, ning kuna Tehing on kontsernisisene, siis ei ole Andmebaaside ning e-poe klientide isikuandmete edastamine meie hinnangul klientide jaoks ootamatu, mistõttu klientide huvisid ning põhiõigusi ja -vabadusi ei riivata. Lisaks ei kasuta EL äriühing isikuandmeid muul (või täiendaval) eesmärgil kui seda praegu teeb Eesti äriühing st, et EL äriühing järgib ja austab ka edaspidi praegusel hetkel klientidele kohalduvaid andmekaitsetingimusi, st EL äriühing jätkab Tehingu järgselt eesmärgipärast isikuandmete töötlemist. Enne Tehingu lõpuleviimist kavatsevad Eesti ja EL äriühingud kasutusele võtta järgmised andmekaitsemeetmed ning teostada järgnevad toimingud: (i) Põhjaliku õigustatud huvi hinnangu ja testi (inglise keeles: legitimate interest balancing test) läbiviimine (Andmebaaside üleandmiseks); (ii) Eesmärkide ühilduvuse (inglise keeles: a compatibility of purposes test) testi läbiviimine (Andmebaasides sisalduvate isikuandmete edasiseks töötlemiseks); (iii) Andmesubjektide teavitamine Andmebaaside ja neis sisalduvate isikuandmete üleandmisest - andmesubjekte, kelle isikuandmed Andmebaaside kooseisus üle antakse, teavitatakse üleandmisest enne Tehingu läbiviimist ning neil võimaldatakse 10 päeva jooksul esitada vastuväiteid ning oma isikuandmete edastamisest keelduda; (iv) Eesti ja EL äriühingu vahel sõlmitakse andmetöötlus- ja andmekaitseleping, et reguleerida teatud spetsiifilist andmetöötlust pärast Tehingu lõpule viimist. Küsimus nr 1 AKI-le: Võttes arvesse ülal kirjeldatut, kas AKI nõustub, et GDPR-i artiklis 6 (f) sätestatud õigustatud huvi on Andmebaaside ja Andmebaasides sisalduvate isikuandmete edastamiseks õige ja sobiv õiguslik alus? Kui mitte, siis palun selgitage oma seisukohta. Küsimus nr 2 AKI-le: Kas AKI nõustub, et eespool nimetatud andmekaitsemeetmed on Tehingu kontekstis piisavad? Kas andmesubjektidele antav 10-päevane vastuväidete esitamise tähtaeg on piisav? Kui mitte, siis palun selgitage oma seisukohta. 2. Hetkel on Eesti äriühingu hallatava e-poe uudiskirja tellijad andnud nõusoleku oma e-posti aadressi töötlemiseks e-poe uudiskirja edastamise eesmärgil. Nimetatud nõusolek on antud e-poele (www.X.ee), mitte Eesti äriühingule. Eelnevalt kirjeldatu kohaselt järgib EL äriühing pärast Tehingu läbiviimist e-poe kehtestatud andmekaitsetingimusi ning jätkab klientidele Eesti äriühinguga võrreldes sama kaubavaliku ja teenuste pakkumist, kasutades selleks sama kaubamärki ja e-poe veebilehe kujundust. Iga uudiskiri sisaldab võimalust uudiskirja saamisest loobuda, mistõttu on uudiskirja tellijatel ka pärast Tehingu läbiviimist lihtne uudiskirjadest ja oma andmete kasutamisest uudiskirja edastamise eesmärgil loobuda. 2  tark.legal Küsimus nr 3 AKI-le: Eelnevat silmas pidades, kas AKI nõustub, et EL äriühing võib pärast Tehingu läbiviimist e-posti aadresside töötlemisel e-poe uudiskirja edastamise eesmärgil tugineda andmesubjektide poolt e-poele antud nõusolekule ja jätkata uudiskirja tellijatele e-poe uudiskirjade saatmist? Kui mitte, siis palun selgitage oma seisukohta. Küsimus nr 4 AKI-le: Pidades silmas ülaltoodud taustinformatsiooni, kas AKI nõustub, et ülaltoodud viisil Tehingu läbiviimine on kooskõlas GDPR nõuetega ning ettenähtavaid GDPR rikkumisi kaasa ei too? Kui mitte, siis palun selgitage oma seisukohta. Austades AKI õigust vastata selgitustaotlusele 30 päeva jooksul, palume võimaluse korral selgitustaotluse analüüsi ja vastust lühema perioodi jooksul. Lugupidamisega /digitaalselt allkirjastatud/ Marit Savi Vandeadvokaat 3