2448560 0 0 0 -864235 -144145 0 0 Lp Ergo Themas Sofi OÜ e-post:
[email protected] Teie: 15.02 .2018 Meie: 22.02 .2018 nr 2.1 . -5 /18 / 405 Vastus selgitustaotlusele Teavitan Teid, et Andmekaitse Inspektsioon alustab tulenevalt DataMe OÜ teemaliste pöördumiste suurest arvust ja kavandatava andmetöötluse suurest mahust järelevalvemenetluse , selgitamaks välja andmetöötluse õigusliku aluse vastavus isikuandmete kaitse seadusele. Täiendavalt vastan Teie küsimustele: 1.Kas andmesubjekt peab pöörduma isiklikult isikuandmete töötleja poole või võib seda DataMe OÜ näitel teha läbi volituse? - volituse kasutamine andmete saamiseks ei ole ühegi seadusega vastuolus. Samas peavad kasutustingimused ja/või lepingutingimused olema piisavad, selleks, et andmete töötlemiseks tekiks õiguslik alus. Andmekaitse Inspektsioonile ei ole hetkel teada, kas andmetöötluse aluseks olevad lepingud tagavad andmesubjektide õigused piisaval tasemel. Varasemas suhtluses DataMe ja ettevõtte esindajatega ei ole sellist veendumist välja kujunenud. 2. Kas andmesubjekt võib pöörduda ka nende ettevõtete poole, kelle teenuseid ta teab, et pole kunagi kasutanud? - selline pöördumine ei ole välistatud, kuid oleks selgelt ebaotstarbekas, samas on sellisele pöördumisele ka väga lihtne vastata. Kui andmesubjekti kohta andmeid ei ole, siis ei saa neid ka väljastada. 3. Kui andmesubjekt pöördub ettevõtte poole, kelle teenuseid ta pole kasutanud ja ettevõttel puuduvad tema kohta kogutud andmed, kas ettevõte on kohustatud vastama? - vastamiskohustus on sätestatud isikuandmete kaitse seaduse § 19 lg 3 ja tasu võtmise võimalus sama paragrahvi lg 2. Märgin, et alates 25.05.2018 üldmääruse jõustumisel on tasu võtmise võimalused ulatuslikumad (art 12 lg 5) . 4. Kas selline masspäring on seaduse mõttega kooskõlas? Milline on AKI seisukoht, kui kõik krediidiandjad, telekomiettevõtted ja pangad võtavad kliendilt volituse ja hakkavad selliseid masspäringuid edastama kõikidele teistele krediidiandjatele, telekomiettevõtetele ja toidukauplustele (isiku tarbimisharjumused poe kliendikaardi kaudu oleksid ka head krediidihindamise seisukohast)? Juhul kui ettevõte on kohustatud igale sellisele päringule vastama, siis saab olema tegemist enneolematu koormusega igas suuruses ettevõttele kuna päringute arv võib ühel hetkel ulatuda tuhandetesse ühes päevas. - kui andmesubjekt seda soovib, siis on tal õigus kas isiklikult või esindaja kaudu oma õigust enda andmete saamiseks realiseerida eeldusel, et ettevõttele antud nõusolek või ettevõttega sõlmitud leping vastab nõuetele ja tagab andmesubjekti õigused . 5. Kas ettevõte, näiteks Sofi OÜ, võib kehtestada protseduuri, et andmesubjekt peab oma andmepäringu edastama läbi ettevõtte iseteeninduse, kust ta saab ka koheselt raporti kõigi tema kohta kogutud andmete kohta? - lepingujärgse andmetöötluse puhul on võimalik isikuandmete töötlemise tingimused lepingus kokku leppida. Ainus nõue on siinjuures see, et lepingutingimused ei tohi olla isikuandmete kaitse seadusega vastuolus. Samas on seadus tehnoloogianeutraalne nt seaduse § 19 sätestab, et andmed väljastatakse võimaluse korral andmesubjekti soovitud viisil. Sofi ei pea võimalikuks ehitada API ühendust iga DataMe suguse ettevõtte masspäringute jaoks. - ühtki ettevõtet ei saa kohustada tegema kulutusi selleks, et andmete väljastamine oleks DataMe jt samalaadsete ettevõtete jaoks mugavam ja/või kiirem. Kui võimalus oma andmeid saada on inimesele tagatud, siis väljastatakse andmed olemasolevaid tehnilisi lahendusi kasutades. Lugupidamisega Merit Valgjärv juhtivinspektor peadirektori volitusel