Lp delta_recipientPersonName_1 \* MERGEFORMAT Jekaterina Agu Teie: delta_senderRegDate \* MERGEFORMAT 22.11.2018 delta_recipientName_1 \* MERGEFORMAT Eesti Energia AS Meie: delta_regDateTime \* MERGEFORMAT 28.12.2018 nr delta_regNumber \* MERGEFORMAT 2.1.-5/18/3728 delta_recipientEmail_1 \* MERGEFORMAT
[email protected] delta_docName \* MERGEFORMAT Vastus selgitustaotlusele Palute Andmekaitse Inspektsioonilt selgitusi kehtiva isikuandmete kaitse seaduse (IKS) § 11 lõike 6, uue IKS § 10 lg 1 ja isikuandmete kaitse üldmääruse art 6 lg 1 p unkti e kohta. Kõigepealt küsite, kas isiku maksehäire andmeid võib edastada kolmandale isikule, kes müüb neid tuginedes isikuandmete kaitse üldmääruse art 6 lg 1 punktile e (isikuandmeid töödeldakse avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks). Selgitan, et kui isikuandmete töötlemine on vajalik avalikes huvides või avaliku võimu teostamiseks, peaks töötlemise alus ja eesmärk olema sätestatud Euroopa Liidu või liikmesriigi õiguses. Üldjuhul tuleb avalik huvi ja avalik võim kõne alla, kui isikuandmeid töötleb avaliku sektori asutus, avalik-õiguslik isik või eraõiguslik isik, kellele on pandud avaliku ülesande täitmise kohustus. Creditinfo Eesti AS nende isikute hulka (vähemalt praegu) ei kuulu. Seega ei saa nende puhul isikuandmete töötlemise seaduslikuks aluseks olla üldmääruse art 6 lg 1 p unkt e. Kõne alla võivad tulla muud üldmääruse artiklis 6 nimetatud andmetöötluse alused (nõusolek, lepingu täitmiseks, juriidilise kohustuse täitmine, õigustatud huvi). Märgite punkti 2.1 viimases lõigus, et muid aluseid võlaandmete töötlemiseks võlaandmeid müüval äriühingul ei ole, sh, et ta ei ole andmete edastaja. Sellega siiski nõustuda ei saa, sest olenemata sellest, kas andmetele võimaldatakse ligipääs tasu eest või tasuta, on tegemist andmete edastamisega kas andmesubjektile või kolmandatele isikutele. Nagu eelpool märgitud, on peale avaliku huvi ka muid aluseid andmetöötlemiseks. Seda, missugusel seaduslikul alusel isikuandmeid töödeldakse, peab vastutav töötleja suutma tõendada. Küsite veel, kuidas peab kehtiva IKS § 11 lg 6 p 2 kohaselt isikuandmete edastaja tuvastama kolmanda isiku õigustatud huvi ja kas piisab õigustatud huvi olemasolu kinnitusest. Inspektsioon on seisukohal, et kui maksehäireinfo müügi teenuse osutaja tegutseb iseseisva vastutava töötlejana, siis ei saa ta ennast vabastada vastutusest õigustatud huvi tuvastamise ja andmete õigsuse eest. See on tema seadusest tulenev kohustus ning sellest ei saa vabaneda eraõiguslike lepingutega (tema ja andmete üleandja vahel). Pelgalt kinnitus, et on olemas õigustatud huvi, ei ole piisav. Vastutav töötleja peab õigustatud huvi tuvastama . Kuidas ta seda teeb, on tema töökorralduslik küsimus. Ka uue IKSi jõustumisel ei piisa § 10 lõikes 1 sätestatud õigusliku aluse kontrollimisel pelgalt kinnitusest, et isikuandmeid vajatakse krediidivõimelisuse hindamiseks või muul sarnasel eesmärgil. Miks on vaja krediidivõimelisust hinnata või mis on see muu sarnane eesmärk, peab olema täpsemalt tuvastatav. Seda on vaja kasvõi selleks, et otsustada, ega ei ole IKS § 10 lõikes 2 nimetatud andmete töötlemist takistavaid põhjusi. Kuna isikuandmete kaitse üldmäärus on kehtinud lühikest aega ja uus IKS on veel jõustumata, puudub praegu ka kohtupraktika, mis võiks seaduse sätetele täpsema sisu anda. Lugupidamisega delta_signerName \* MERGEFORMAT Sirje Biin delta_signerJobTitle \* MERGEFORMAT juhtivinspektor peadirektori volitusel e-posti aadress
[email protected] telefon 627 4143