Selgitustaotlus

Andmekaitse Inspektsioon Tatari 39, Tallinn 10134 [email protected] Tallinn 15.01.2019 RE: Selgitustaotlus otseturustuse nõusoleku päringute lubatavuse kohta Üldmääruse kontekstis Lugupeetud Andmekaitse Inspektsioon (AKI), Esitan selgitustaotluse kehtiva IKS § 12 ja ESS § 103.1 kohta Üldmääruse1 kontekstis. 1. PROBLEEM Tegelikkuses tõusetub ikka ja jälle sarnane probleem, kus ettevõtja(d) soovib(soovivad) seoses 2018 jõustunud GDPR määrusega saata oma senistele kontaktide e- mailiaadressile palve kas lubada või keelduda isikuandmete töötlemisest sisuturunduse eesmärgil, st sisuliselt küsitakse, kas ettevõtja võib esitada ja/või saata neile turundusmaterjale, pakkumisi oma toodete kohta, tutvustavat materjali, infot reklaamikampaaniate, lojaalsusprogrammide ja muude turunduskampaaniate kohta või mitte (Päring). GDPR-i vormile vastav nõusolek andmete töötlemiseks otseturustuseks reeglina sellistel juhtudel puudub (vastasel korral ei oleks tegemist probleemiga) ja isikutega ei ole ka varasemalt kliendisuhet ega neid informeeritud otseturunduslikke teadete kohta (või ei ole see tuvastatav). Vastav Päring andmesubjekti e-postiaadressile ei sisaldaks sisulist reklaami, vaid üksnes otseturustuseks nõusoleku andmise või sellest keeldumise küsimust. Kontaktideks on varasemate uudiskirjade saajad (peale GDPR-i jõustumist neile mingeid teateid saadetud ei ole) ning nende hulgas on: 1) eraisikute e-postiaadressid; 2) äriühingute e-postiaadressid; 3) äriühingute esindajana märgitud isikute e-postiaadressid. 1 Euroopa Parlamendi ja Nõukogu 27.04.2016 määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). Vastavalt AKI juhendile elektrooniliste kontaktandmete kasutamise kohta otseturustuses lk 12 „[k]ui füüsilise isiku kontaktandmed on juriidilise isiku kontaktandmeteks märgitud Äriregistris, siis loetakse need andmed juriidilise isiku kontaktandmeteks.“ Seega peaks sellistele kontaktandmetele (juriidilisele isikule suunatud) pakkumiste saatmine olema lubatud ilma isiku nõusolekuta. Eraelu puutumatust ja elektroonilist sidet käsitleva direktiivi2 preambula p. 40-44 ning Art 13 kaitsevad peaasjalikult füüsilisest isikust andmesubjektide huve pealesunnitud teabe eest (tingimuseks on nõusolek) ning jätavad samas olukorras juriidiliste isikute kaitse sätestamise liikmesriikide pädevusse. Eestis kehtiva ESS § 103.1 kohaselt peab eraisiku e-postiaadressi kasutamiseks otseturustuses olema isiku seaduse nõuetele vastav nõusolek, v.a. juhtudel kui tegemist on olemasoleva kliendiga, kellele saadetakse samasisulise teenuse v toote reklaami; juriidilistele isikutele võib saata otseturustuslikke teateid tingimusel, et andmete kogumisel ja koos teatega informeeritakse võimalusest edasistest teadetest keelduda ning keeldumise võimalus on tasuta ja lihtne /…/. Seadus ei sätesta erandit füüsilisest isikust ettevõtjate kontaktandmete kasutamise osas. Samas on teatud valdkondades füüsilisest isikust ettevõtja peamine ettevõtlusvorm. GDPR preambula p 47 märgib, et „isikuandmete töötlemist otseturunduse eesmärgil võib lugeda õigustatud huviga töötlemiseks“. 2. KÜSIMUSED: 2.1. Kas otseturustuseks nõusoleku andmise või sellest keeldumise kohta tehtavale Päringule peab kohaldama otseturustuse kohta käivaid piiranguid, isegi, kui Päring ei sisalda sisulist reklaami ja selle eesmärgiks on tegevuse viimine vastavusse GDPR-ga? 2.2. Kas Päringu saatmine eraisikute elektroonilistele kontaktidele (kellelt ei ole varasemat nõusolekut) on lubatud (seaduslik), kui selle eesmärgiks on tegevuse viimine vastavusse GDPR-ga? 2.3. Kas sellise Päringu saatmine eraisikute elektroonilistele kontaktidele, kellega on varasem kliendi vms suhe, kuid puudub nõuetekohane nõusolek ning andmete kogumisel ei ole informeeritud keeldumise võimalusest, on lubatud, kui selle eesmärgiks on tegevuse viimine vastavusse GDPR-ga? 2.4. Kas Päringu saatmine eraisiku elektroonilistele kontaktidele (nt [email protected]/ gmail.com), millised on avalikes registrites (nt äriregister) märgitud juriidilise isiku elektrooniliseks kontaktiks, on lubatud ilma nõusolekuta? 2 Euroopa Parlamendi ja nõukogu direktiiv 2002/58/EÜ, 12. juuli 2002, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv). 2/3 2.5. Kas füüsiliselt isikust ettevõtjate kontakte (e-mail) võib analoogia korras käsitleda nagu juriidiliste isikute kontaktandmeid ja nt saata ettevõtjale suunatud otseturunduslikke teateid ILMA isiku nõusolekuta? Juhindudes märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse §-st 3 pean vajalikuks antud küsimuses paremat selgust ja palun AKI seisukohta ülaltoodud küsimustele, kuna teemast puudutatud isikud soovivad ühelt poolt oma majandustegevust efektiivselt jätkata, kuid teiselt poolt mitte mingil juhul minna vastuollu seaduse nõuetega. Palun vastust e-mailile [email protected]. Vastuse eest ette tänades, Carry Plaks vandeadvokaat 3/3