2448560 0 0 0 -864235 -144145 0 0 Lp Jevgeni Belavin s iseaudiitor Monefit Estonia OÜ e-post:
[email protected] Teie: 20 .02 .2018 Meie: 22.02 .2018 nr 2.1 . -5 /18 / 451 Vastus selgitustaotlusele Teavitan Teid, et Andmekaitse Inspektsioon alustab tulenevalt DataMe teemaliste pöördumiste suurest arvust ja kavandatava andmetöötluse suurest mahust järelevalvemenetluse selgitamaks välja andmetöötluse õigusliku aluse vastavus isikuandmete kaitse seaduse le. Järgnevalt vastan Teie kirjas toodud küsimustele: Selle tulemusena eelmisel nädalal Andmekaitse Inspektsiooniga peetud telefonikõne raames saime aru, et selline volitus on seadusest tulenevalt põhimõtteliselt võimalik, kuid kui pole selge, kuidas DataMe OÜ neid isikuandmeid säilitab (sealhulgas kas nende poolt on tagatud isikuandmete säilitamisega seotud turvalisuse nõuded), kuidas DataMe OÜ konkreetselt neid isikuandmeid töötleb ning kellele võib DataMe OÜ neid isikuandmeid omakorda edastada, tuleks meil edastatud volikirjade alusel tehtavaid toiminguid teostada ettevaatusega. volituse kasutamine andmete saamiseks ei ole ühegi seadusega vastuolus. Samas peavad kasutustingimused ja/või lepingutingimused olema piisavad, selleks, et andmete töötlemiseks tekiks õiguslik alus. Andmekaitse Inspektsioonile ei ole hetkel teada, kas andmetöötluse aluseks olevad lepingud tagavad andmesubjektide õigused piisaval tasemel. Varasemas suhtluses DataMe ja ettevõtte esindajatega ei ole sellist veendumist välja kujunenud. Samuti saime aru, et seadusega ei pruugi olla täielikult kooskõlas meie kliendi poolt meile antud andmete töötlemise nõusoleku edasivolitamine DataMe OÜ-le, mis DataMe OÜ poolt edastatud volitustest sisuliselt tuleneb. lepingujärgse andmetöötluse puhul on võimalik isikuandmete töötlemise tingimused lepingus kokku leppida. Ainus nõue on siinjuures see, et lepingutingimused ei tohi olla isikuandmete kaitse seadusega vastuolus. Samas on seadus tehnoloogianeutraalne nt seaduse § 19 sätestab, et andmed väljastatakse võimaluse korral andmesubjekti soovitud viisil. Täiendavalt on meil tekkinud küsimus, kas juhul kui DataMe OÜ poolt edastatakse volitus, mis on antud isiku poolt, kellega meil ei ole lepingulist suhet ning kes seega ei ole meile andnud isikuandmete töötlemise nõusolekut, on meil kohustus edastada DataMe OÜ-le infot sellest, et antud isikuga meil lepinguline suhe puudub ning sellest tulenevalt ei ole meil võimalik ka mingeid isikuandmeid edastada. – vastamiskohustus ja võimalik tasu nõudmine paberkandjal koopiate eest on sätestatud isikuandmete kaitse seaduse § 19 lg 2 ja 3. 2 5.05.2018 jõustuva üldmääruse art 12 lg 5 alusel on võimalik tasu nõuda andmesubjekti põhjendamatute või ülemääraste taotluste eest, võttes arvesse kaasnevat halduskulu. Lugupidamisega Merit Valgjärv juhtivinspektor peadirektori volitusel