Vastuse edastamine

Jaak Jõgi Teie 21.05.2018 nr KA-JUH-4/940; Eesti Energia AS 23.05.2018 nr EM-JUH-4/940 nr Lelle 22 11318 Tallinn Meie 18.06.2018 nr 6-2/2018/512-2 Koopia: Viljar Peep Andmekaitse Inspektsioon Väike-Ameerika 19 10129 Tallinn Koopia: Andres Sooniste Tarbijakaitseamet Pronksi 12 10117 Tallinn Vastus andmevahetusplatvormi tingimuste muutmisega seoses Lugupeetud hr Jaak Jõgi 29.03.2018 teavitas Elering AS (edaspidi Elering) avatud tarnijaid elektriturul ja gaasiturul ning Elektrituru Nõukoda elektrituru ja gaasituru andmevahetusplatvormide (edaspidi koos AVP-d või eraldi AVP) andmevahetuse tingimuste muutmisest tulenevalt alates 25.05.2018 kohaldatava EL isikuandmete kaitse üldmääruse 2016/679 (edaspidi Üldmäärus) nõuetest. 21.05.2018 kirjaga pöördus Eesti Energia AS (edaspidi EE) Eleringi poole, milles asus seisukohale, et muudatused AVP kasutustingimustes on ebamõistlikud, vastuolus seaduse ja Üldmääruse põhimõtetega ning piiravad põhjendamatult andmesubjekti õigusi, sealhulgas ei ole Elering andnud turuosalistele piisava tähtaja, et ajakohastada oma IT-süsteeme ja äriprotsesse, mis võimaldaks jätkata tõrgeteta klientidele pakkumiste tegemist ja lepingute sõlmimist. Täiendavalt pöördus EE 23.05.2018 kirjaga Eleringi poole ning palus pikendada Üldmääruse jõustumisega seonduvate muudatuste tegemisest AVP kasutustingimustesse 2 kuu võrra. Elering ei saa nõustuda eelnimetatud seisukohtadega ning selgitab alljärgnevalt oma seisukohti, toetudes muuhulgas Eleringi eelnevalt esitatud pöördumistele, mida Elering on teinud Andmekaitse Inspektsioonile (edaspidi AKI). I. Andmete jagamise nõusoleku vorm ja nõusoleku vastuvõtmine väljaspool Eleringi hallatavat andmevahetusplatvormi Elering ei nõustu EE väidetega, et Elering on seadnud andmete jagamise volitusele rangemad nõuded kui Üldmäärus ette näeb ja Eleringi muudatused AVP-de kasutamisel takistavad elektri- ja gaasituru toimimist ning rikuvad juurdepääsuõigust oma andmetele, mis on käsitletav isikuandmete töötlemise nõuete rikkumisena. Elering soovib märkida, et Üldmääruse kohaldamisega seotud muudatused on kantud füüsilisest isikust tarbijatele võimaluse loomises omada ülevaade oma andmete ja nende jagamise kohta. Üldmäärus toob kaasa andmete jagamise volitusele ehk Üldmääruse mõistes nõusolekule teatud kriteeriumid, mida peab järgima andmesubjekti õiguste tagamisel. Seega ei saa Üldmääruse suunistele tuginedes tehtud muudatused ka takistada turu toimimist, sest igasugune turu toimimine peab lähtuma isikute õiguste tagamisest. Järgnevalt selgitab Elering esmalt nõusoleku andmise ja selle vorminõuete küsimust ning seejärel andmete ligipääsuõigust ning nõusolekut haldamise küsimust. 1. Nõusoleku vorminõue Üldmääruses Elektrituruseaduse (ELTS) § 421 lg 5 kohaselt AVP-st andmete kättesaadavaks tegemisel peab olema füüsilise isiku nõusolek ehk volitus andmete pärimiseks. Elering soovib juhtida tähelepanu asjaolule, et AVP-st andmete juurdepääsu võimaldamise muudatuste tegemisel ei ole oluline vaid nõusoleku vorminõude täitmise küsimus, mille osas ei ole tõesti Üldmääruses kehtestatud vorminõuet vaid Elering AS | Registrikood/Reg. code 11022625 | Kadaka tee 42, 12915 Tallinn, Estonia + 372 715 1222 | + 372 715 1200 | www.elering.ee | Ametlik e-post/Official e-mail: [email protected]  käesoleval juhul on oluline Üldmääruse artikkel 7 (nõusoleku andmise tingimused) lõike 1, mille kohaselt kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega. Seega tähendab, et Elering AVP pidajana peab olema veendunud, et väljastades nõusoleku alusel AVP-st andmeid füüsilise isiku kohta on andmed väljastatud õiguspärasel alusel ning vaidluse korral peab Elering olema ka võimeline tõendama oma tegevuse (ehk andmete väljaandmise) õiguspärasust. Vastav tõendamise kohustus kaasneb ka häälkõnedes (ehk suuliste) nõusolekute andmisel. 21.05.2018 kirjas on EE asunud seisukohale, et ELTS § 84 lõike 1 kohaselt võib elektrilepingu sõlmida suuliselt ja seega võib ka nõusoleku AVP-st mõõteandmete pärimiseks anda suuliselt. Elering märgib, et käesoleval juhul ei ole Üldmääruse kohaldamise järgselt enam asjakohane viidata nõusoleku andmisel isikuandmete kaitse seaduse (IKS) §-le 12, kuid ka sellest lähtudes on oluline rõhutada, et veel enne Üldmäärust kohaldamist sätestas viidatud IKS nõusolekule kirjaliku vorminõude. Samuti on AKI selgitanud Eleringile 18.01.2017 vastuses 1, mis käsitles Eleringi vastutust häälkõnes antud nõusoleku tingimustele vastavuse kontrollimisel, et nõusoleku tõendamise ja selle seadusele vastavuse eest vastutab vastutav töötleja (andmevahetusplatvormi süsteemihaldur). Rõhutamist väärib, et erinevalt eelnevast regulatsioonist seab Üldmäärus nõusoleku andmisele väga ranged nõuded, mille täitmises peab just Elering vastutava töötlejana veenduma. See tähendab, et Elering peab nimetatud häälkõnedes antud nõusolekute puhul kontrollima nende vastavust Üldmäärusega kehtestatud nõusoleku tingimustele. Lisaks veendumisele, et nõusolekule kehtestatud tingimuse on täidetud, on häälkõnede puhul ka küsimuseks isiku isikusamasuse tuvastamine. Tõusetub väga oluline probleem – kuidas veenduda, et õige isik on nõusoleku andnud. Lisaks sellele, et telefonikõnede alusel isiku tuvastamine on problemaatiline kui mitte öelda paljudel juhtudel võimatu, on Eestis palju samanimelisi isikuid, mis tõstatab palju vaidlusi õige isiku poolt nõusoleku andmise kohta 2. Ka artikli 29 alusel nimetatud andmekaitse töörühm on oma suunistes möönnud 3, et teoreetiliselt võib suuliste avalduste kasutamine olla piisavalt selge, et saada kehtiv selgesõnaline nõusolek, kuid vastutavale töötlejale võib olla raske tõendada, et avalduse salvestamisel olid täidetud kõik kehtivate selgesõnalise nõusoleku tingimused. Tulenevalt sellest, Üldmääruse regulatsiooni kohaldamisega karmistuvad veelgi õiguspärasele nõusolekule seatud tingimused, näeb Elering, et häälkõnedes antud nõusolekute ja mitte e- keskkonnas antud nõusolekute õiguspärasuse hindamisel läheb fookus turutoimimise tagamiselt nõusolekute kontrollimisele ja vaidluste pidamisele, mistõttu muudaks suuliste nõusolekute ja mitte e- keskkonnas antud nõusolekute kontrollimine energiaturu aeglasemaks ja ka lõpptarbijale kallimaks. 2. Isikute ligipääs andmetele ja ülevaade oma isikuandmete töötlemisest Elering ei pea õigeks EE seisukohta, et e-eleringi kliendiportaalis volituste andmisega mõõteandmete pärimiseks piiratakse oluliselt tarbijate vaba liikumist elektri- ja gaasiturul ning nende õigust ja võimalust valida endale sobiv energiamüüja. Elering on veendunud, et volituste ehk nõusolekute andmine läbi ühtse kliendiportaali, kus tagatakse nii isikusamasuse tuvastamine kui ka võimaldatakse füüsilisele isikule ühe portaali vahendusel oma andmeid jälgida ja jagada soodustab just tarbijate vaba liikumist ja teadlikkust energiamüüja valimisel. Ühtsest kliendiportaalis on isikul võimalik näha nii mõõtepunktide energiatarbimise andmeid, näha energiateenuse pakkujate lepingute andmeid, anda kolmandatele isikutele õigus oma andmeid näha ja ennast esindada ning jälgida, kellel on antud ligipääs andmetele ja kes andmeid on kasutanud ehk kõik Eleringi kui süsteemihalduri poolt kogutud andmed on läbi e- eleringi koondatud ühte keskkonda, kus isik saab oma andmeid kontrollida ja õigusi teostada. Seega on selliselt võimalik muuta tarbija jaoks nii elektrituru kui ka gaasituru toimimine läbipaistvaks ja lihtsaks. 1 Andmekaitse Inspektsiooni 18.01.2017 vastus nr 2.1.-5/16/2364 arvutivõrgus kättesaadav: http://adr.rik.ee/aki/dokument/4958040 (viimati vaadatud 14.06.2018) 2 Elering soovib märkida, et on teadlik erinevatest viisidest isikusamasuse tuvastamisel nt pangateenuste osutamisel. Kuid oluline on siin märkida, et nende teenuste puhul on poolte vahel eelnevalt kehtiv leping, mille alusel ka vastavaid isikusamasuse tuvastamise võimalused on kokku lepitud või neid saab kasutada (nt paroolid, kokkulepitud salasõnad jne). Käesolevale olukorrale need ei kohaldu. 3 In theory, the use of oral statements can also be sufficiently express to obtain valid explicit consent, however it may be difficult to prove for the controller that all conditions for valid explicit consent were met when the statement was recorded. – Guidelines on Consent Under Regulation 2016/679, lk 19 Elering AS | Registrikood/Reg. code 11022625 | Kadaka tee 42, 12915 Tallinn, Estonia + 372 715 1222 | + 372 715 1200 | www.elering.ee | Ametlik e-post/Official e-mail: [email protected]  Elering on pöördunud eelnevalt ka AKI poole seoses nõusolekute haldamise võimaldamisega turuosaliste enda keskkonnas ja nimetatud vastuse andmisel AKI asus seisukohale, et Eleringi poolt nõusolekute haldamisel on võimalik tagada füüsilisest isikust tarbijate õiguste parem tagamine. AKI oma 26.03.2018 vastuses4 selgitas, et „vastutus nõusolekuid hallata ja vajadusel tõendada saab olla vaid Eleringi kui andmevahetusplatvormi haldaja keskne ülesanne. Inspektsioon ei näe ette võimalust delegeerida nõusolekute haldamist andmevahetusplatvormilt väljaspoole turuosaliste kätte, kuna nii kaoks füüsilisest isikust tarbija jaoks ligipääs ja ülevaade oma isikuandmete üle, mis on isikuandmete kaitse seisukohalt keskse andmevahetusplatvormi oluline funktsioon“. Seega on ka AKI asunud seisukohale, et AVP oluline osa on ka tarbija võimalus hallata ja omada ülevaadet oma andmetest, mida Elering väliste volituste süsteemi e-eleringi keskkonda viimisega teebki. Seega, lähtudes Üldmääruse regulatsioonist ja füüsilisest isikust tarbijate õigusest saada parem ülevaade oma andmete jagamise ja kasutamise üle, täidavad AVP-de tingimuste muudatused seda ülesannet. II. Tarbimisandmete jagamise volitamise süsteemi e-eleringi kliendiportaali viimise tähtaja pikendamine Muudatuse plaanist seoses Üldmääruse jõustumisega teavitas Elering turuosalisi juba 20.02.2018 toimunud Elektrituru nõukojas, kus selgitas, et Üldmääruse kohaldamist silmas pidades peab Elering vajalikuks senised nõusolekute andmise ja kontrollimise tegevused korrastada ja viia nõusolekute andmine e-eleringi kliendiportaali. Vajalike arenduste väljatöötamine (võimaldamaks AVP-de ja e-eleringi kliendiportaali andmevahetust) oli ajakulukam, kuid lähtus juba eelnevalt Eleringi poolt välja käidud seisukohast, mistõttu ei saa väita, et turuosalised ei olnud muudatuse toimumisega kursis. Testkeskkond oli tõepoolest saadaval 16.05.2018, mille kaudu müüjad said testida, et tõepoolest õigusteta osapooltele enam mõõtepunkti andmeid aadressiväljadega ei kuvata. Rõhutame siinjuures veelkord, et arendus viis AVP kasutamise Üldmäärusega kooskõlla ning siinjuures ei piiratud mõõtepunktide päringuid informatsiooni koguulatuses. Võrgueeskirja alusel on nö kolmandal avatud tarnijal õigus AVP kaudu turuosalise kohta mõõtepunkti ja mõõteaandmed saada kui turuosaline on talle AVP (kliendiportaaliks e-elering) kaudu selleks õiguse andnud. Seega muudatusega on füüsilisest isikust tarbijatele loodud võimalus mugavalt nii ELTS kui ka ka gaasituru toimimise võrgueeskirjas nimetatud õiguse teostamine andmete jagamiseks. Alates 25.05.2018 rakendatud muudatusega seoses piirati senine vaba ligipääs tarbijate andmetele ning IT-süsteemides uusi andmevahetuse sõnumeid ei loodud. AVP-de kaudu füüsilisest isikust tarbija mõõtepunktide info edastamiseks müüjale, kellega füüsilisest isikust tarbijal ei ole lepingut, edastatakse vaid mõõtepunkti EIC kood ning võrgulepingu- ja elektrilepingu algus- ja lõpp-perioodid baseerudes seadusandluses toodud nõuetele. Samuti saavad müüjad edastada AVP-sse müügilepinguid edasi, selleks ei ole aadressiinfo vajalik (infot vajavad müüjad oma lepingupõhjade tarbeks). Siinjuures toome välja, et Elering on ka varem korduvalt esitanud EE AVP haldurile märgukirju, et EE poolt mõõtepunktide andmete masspärimine on AVP live-keskkonna kasutamise lepingu tingimustega vastuolus ning Elering on esitanud hoiatuse päringute blokeerimiseks. Seoses nõusolekute andmise parema võimaldamise ja tarbijatele lihtsamaks muutmisega on Elering loomas vastavat süsteemi, mis võimaldab energiamüüjatel kasutada Eleringi poolt kontrollitud ja Eleringi tingimustele vastavaid nõusolekute andmise võimalusi ehk Elering on arendamas välises kasutajaliideses (nt energiamüüja kliendiportaalis) teenusepakkujale (nt energiamüüjale) tarbija volituse andmise lahendust. Selle arenduse tulemusena saavad tarbijad anda oma nõusoleku enegiamüüja kliendiportaalis selliselt, et süsteem ise suunab isiku e-eleringi ja pärast nõusoleku andmist tagasi energiamüüja kliendiportaali. Eleringi parima teadmise kohaselt saab selline arendus valmis 2019. aasta alguses. Lugupidamisega /allkirjastatud digitaalselt/ Elis Paas Energiaturgude osakonna juhataja Anneli Teelahk; [email protected] 4 Andmekaitse Inspektsiooni 26.03.2018 vastus nr 2.1.-5/18/684, arvutivõrgus kättesaadav: http://adr.rik.ee/aki/dokument/5650553 (viimati vaadatud 14.06.2018) Elering AS | Registrikood/Reg. code 11022625 | Kadaka tee 42, 12915 Tallinn, Estonia + 372 715 1222 | + 372 715 1200 | www.elering.ee | Ametlik e-post/Official e-mail: [email protected]