-864235 -144145 0 0 Lp Kaspar Sõrmus Somnium Medical OÜ
[email protected] Teie: 05.02.2019 ja 11.02.2019 Meie: 07.03.2019 nr 2.1.-5/19/504 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie selgitustaotluse seoses endiste töötajate (äripartnerite) tööalaste e-posti aadresside kustutamisega. Samuti soovisite teada, kas Teie ettevõtte nimega tehtud e-posti aadressi on võimalik kustutada ning kas Teie ettevõtte kodulehe kustutamine on seaduslik. Selgitan, et i nspektsioon teostab järelevalvet isikuandmete töötlemise nõuete täitmise üle. Isikuandmed on mis tahes andmed tuvastatud või tuv astatava füüsilise isiku kohta (isikuandmete kaitse üldmäärus (IKÜM) artikkel 4 punkt 1). Mis puudutab Teie ettevõtte nimelise e-posti aadressi võimalikku kustutamist ning ettevõtte kodulehe kustutamise seaduslikkust , siis selles osas ei ole tegemist andmekaitselis t e küsimu stega. Seega ei ole nende küsimus t e lahendamine inspektsiooni pädevuses. Küll aga on isikuandmeteks näiteks isiku nimeline e-posti aadress . Selgitan, et tööandjal (ettevõtjal) ei ole mingit takistust säilitada ja lugeda töökohustuste täitmisega seotud e-kirju , mis on töösuhte (lepingu) ajal töötaja tööalase e-posti aadressi kaudu liikunud. Küll aga ei ole õigust töötaja erakirju avada ega lugeda. On aga tavapärane, et töötajad kasutavad tööandja domeeniga e-posti aadresse muuhulgas ka oma erakirjade saatmiseks ja saamiseks. Töötajal ei ole küll mingit üldist õigust töö e-posti isiklikul eesmärgil kasutamiseks, kuid tööandjad peavad sellise väljakujunenud praktikaga ja sellest tuleneva töötaja õiguspärase ootusega privaatsusele arvestama seni, kuni nad pole ise kehtestanud teistsuguseid reegleid ning neid ka arusaadavalt töötajatele tutvustanud . Selleks, et vältida või vähendada tõenäosust, et erakirju loetakse ilma õigusliku aluseta, tuleb kehtestada korrektsed reeglid e-postkasti kasutamiseks. Näiteks keelata tööalase e-posti aadressi isiklikuks otstarbeks kasutamine ning sätestada reeglid erakirjade kustutamise osas või sätestada reeglid näiteks erakirjade eraldi kaustades hoidmise osas, mis on võimalik töötajal peale töösuhte lõppemist kustutada. Juhul, kui tööandja ei ole kehtestanud reeglit erakirjade kasutamise osas, on väga suur tõenäosus, et töötaja e-kirju säilitades ja/või lugedes rikutakse isiku eraelu puutumatust , ehk satutakse isiku erakirjadele. Seega selleks, et tööandjal oleks võimalik töötaja ja endise töötaja tööalaseid kirju lugeda ja säilitada, tuleb kehtestada korrektsed e-posti aadressi kasutamise reeglid, näiteks töökorralduse reeglite osana. Peale töösuhte lõppu ei ole endiste töötajate nimelise e-posti aadressi töötlemiseks (sh kirjade vastuvõtmiseks ja automaatvastuse saatmiseks) otsest seadusest tulenevat alust (puudub tööleping). Seega tuleb reeglina endiste töötajate nimelised e-posti aadressid koheselt peale lepingu lõppemist sulgeda ja kustutada. E-posti aadressi sulgemine tähendab seda, et nimetatud e-posti aadressile ei saa kirju saata ega ka kirju välja saata . Samuti tuleb kustutada ka isiku nimeline e-posti aadress. Olukorras, kus ettevõttel on aga õigus e-kirju säilitada (on sätestatud korrektsed reeglid erakirjade kasutamise osas), tuleb kustutada isiku nimeline e-posti aadress ja asendada see näiteks serveris kombinatsiooniga, mille alusel ei ole võimalik isikut tuvastada, nt tootaja@ettevõte.ee või kustutada siis serverist e-posti aadress koos kirjadega ning säilitada kirju muus kohas. Endiste töötajate nimelisi e-posti aadresse võib avatuna hoida (kirju vastu võtta ja panna automaatvastus) üksnes juhul , kui selleks on õiguslik alus. Õiguslik alus saab tuleneda isikuandmete kaitse üldmääruse artiklist 6. Sellisel juhul tuleb andmetöötlejal põhjalikult hinnata ja analüüsida, kas ja millisel õiguslikul alusel on võimalik endiste töötajate e-posti aadresse avatuna hoida. Õigusliku aluse tõendamise kohustus on andmetöötlejal. Samuti tuleb lähtuda isikuandmete töötlemise põhimõtetest (IKÜM artikkel 5), ehk hinnata muuhulgas seda, kas iga ametikoha näol oleks üleüldse endise töötaja e-posti aadressi töötlemine vajalik ning mis ulatuses (sh ajaline ulatus). Samuti tuleb sellisest andmetöötlusest töötajaid eelnevalt teavitada. Mis puudutab seda, et endise töötaja nimelisele e-posti aadressile tulevad tähtsad ettevõtet puudutavad kirjad, siis ett evõtjal on võimalus kõiki kliente ja asutusi e-posti aadressi muutusest teavitada. Samuti olukorras, kus kliendile tuleb serveripoolne vastus, et nimetatud e-posti aadressi ei eksisteeri, on kliendil võimalus kiri ettevõtte teisele e-posti aadressile saata. Soovitan Teil ka võimalusel ja olukorras, kus töösuhe (leping) lõppeb etteteatamisega, panna teave selle osas, et e-posti aadress suletakse ning millisele e-posti aadressile edaspidi kirjutada, juba töösuhte ajal. Seega juhul, kui endise töötaja (äripartneri) e-posti aadressi töötlemiseks puudub õiguslik alus ning õigusliku aluse olemasolust ei ole isikut teavitatud , tuleb e-posti aadress koheselt sulgeda. Vastasel juhul töödeldakse konkreetse isiku ja ka kolmandate isikute isik uandmeid ilma õigusliku aluseta. Lugupidamisega Raiko Kaur vanem i nspektor peadirektori volitusel