-864235 -144145 Lp Hardo Kasesalu Klick Eesti AS
[email protected] Teie: 30 .08.2017 Meie: 12 .09.2017 nr 2.1.-5/17/1776 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie selgitustaotluse seoses andmekaitse üldmääruse (määruse) rakendamisega. Esmalt märgin, et saan anda Teile inspektsiooni arvamuse hetkel teadaoleva informatsiooni põhjal. Kuna puudub veel siseriiklik rakendusseadus ning valmimas ja täiendamisel on mitmeid juhiseid ja arvamusi nii meil kui ka Euroopa asutustel, võivad selgitustaotluses esitatud seis ukohad ka muutuda. Järgnevalt toon välja selgitustaotluses esitatud küsimuse numbri ning vastuse. 1) Määruse artiklis 17 sätestatud põhimõte „õigus olla unustatud“ tuleneb ka tänases t õiguses t . Nimetatud põhimõte tuleneb isikuandmete kaitse seaduse (IKS) § 6 punktist 3, ehk minimaalsuse põhimõttest ning isikuandmete töötlemise õiguslikest alustest. Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks. Ulatuse all tuleb mõelda ka ajalist ulatust – töötlemine tuleb lõpetada ja andmed kustutada või viia isikustamata kujule kohe kui on täidetud eesmärgid, milleks neid koguti (vt ka IKS § 24 punkti 1). J uhu l, kui isikuandmete töötlemiseks puudub õiguslik alus , tuleb kõik andmed , sõltumata kasutamise eesmärgist, viivitamata kustutada. Isikuandmed tuleb kustutada igalt poolt ja koheselt, kui langeb ära õiguslik alus andmete töötlemiseks. Kui näiteks säilitatakse raamatupidamise algdokumente vastavalt raamatupidamise seaduse § 12 lõikele 1, siis see annab õiguse ainult konkreetselt neid andmeid säilitada. Li saks rõhutan , et raamatupidamise algdokumendil olevate andmete töötlemine muul eesmärgil, kui seadusest tuleneva kohustuse täitmiseks, on keelatud. Kui isikuandmete töötleja on edastanud andmeid ka kolmandatele osapooltele, peab isikuandmete töötleja vastavalt määruse artikli 17 lõike 2 kohaselt võtma kättesaadavat tehnoloogiat ja rakendamise kulusid arvestades tarvitusele mõistlikud abinõud, sh tehnilised meetmed, et teavitada kolmandaid osapooli sellest, et isik nõuab nendelt kõigilt isikuandmete kustutamist. See kuidas informatsioon volitatud töötlejatele edastatakse (tehniline platvorm, e-posti teel vms), on juba Teie endi otsustada. 2) Mitte juhtumispõh ised toimingud on näiteks eelnevalt planeeritud, läbi viimine organiseeritud ja metoodiline ning on selgelt osa andmetöötleja ärimudelist. Näiteks kindla valimi alusel otseturustuse saatmine või kliendiandmete töötlemine teenindusettevõtete lojaalsusprogrammide raames. Vt täpsemalt http://www.aki.ee/et/andmekaitse-reform/tootlustoimingute-registreerimine . 3) Isikuandmete töötlemise toimingute register peab kirjeldama isikuandmete töötlemise üldisi protsesse, kus tuleb täpselt määratleda määruse artikkel 30 lõigetes 1 ja 2 sätestatud teave (sh näiteks töötlemise eesmärgid). Vt täpsemalt http://www.aki.ee/et/andmekaitse- reform/tootlustoimingute-registreerimine . 4) Soovitan Teil lugeda Eesti avaliku teabe masinloetava avalikustamise rohelist raamatut . Nimetatud raamat on küll suunatud avaliku sekt ori asutustele, kuid seal on informatsiooni ka masinloetava vormingu osas. Soovitan lugeda eelkõige peatükki 4.5. Määruse artikli 20 lõike 2 kohaselt on andmesubjektil õigus nõuda andmete ülekandmist. Juhul, kui Teil ei ole võimalik andmeid uuele vastutavale töötlejale üle kan da, tuleb Teil seda põhjendada andmesubjektile ning leida isikut kõige vähem koormavam viis. Näiteks võib selleks olla iseteeninduskeskkond, kus andmesubjektil on võimalik vajalik teave ise kätte saada. Samuti võib põhjendatud juhtudel ka sutada ka seda, et tea ve antakse andmesubjektile endale , et ta saaks vajaliku informatsiooni ise uuele töötlejale viia või edastada. Vt täpsemalt ka http://www.aki.ee/et/andmekaitse-reform/mida-tahendab-andmete-ulekandmise-oigus . 5) Esmalt juhin tähelepanu , et Te viitasite oma küsimuses direktiivi (EL) 2016/680 ar tiklile 25. Nimetatud direktiiv erasektori asutustele ei kohaldu . Siiski märgin, et t oimingute korrektne logimine infosüsteemides on muuhulgas üks privaatsust ning läbipaistvust suurendav tehnoloogia. Olgu märgitud, et logimise kohustus tuleneb ka tänasest isikuandmete kaitse seadusest (vt näiteks IKS § 25 lg 2 punkt 3). Määruse rakendamise osas soovitan täpsemalt vaadata http://www.aki.ee/et/andmekaitse-reform/vaikimisi-ja-loimitud-andmekaitse . Lisaks mä rgin, et määrus ei näe ette seda, millisel kujul logi (nt mitme tarkvara lahenduse peale üks ja ainus logi) peab olema. Peaasi, et logimine tagaks muuhulgas andmetöötluse läbipaistvuse. Samuti on soovitatav logimise korraldamisel, et logid oleksid ka inimkeeli arusaadavad, ehk kui tekib vajadus logimist kontrollida, siis pole vaja omada IT-spetsiifilisi teadmisi, vaid see oleks ka tavakasutajale arusaadav. 6) Isikuandm ete töötlemise õiguslikud alused tulenevad üksnes ja ainult määruse artiklist 6. Juhul, kui Te töötlete isikuandmeid lepingu alusel ( määruse artikkel 6 lg 1 punkt b) , peab nimetatud töötlus olema lepingu täitmiseks reaalselt vajalik . St lepingut ei ole võimalik täita, kui nimetatud isikuandmete töötlemist ei toimu. Juhin tähelepanu, et esmalt on Teil vajalik hinnata, kas Teie planeeritavaks isikuandmete töötlemiseks on olemas õiguslik alus ning seejärel on Teil kohustus lähtuda isikuandmete töötlemisel isikuandmete töötlemise põhimõtetest ( määruse artikkel 5). Teie toodud näitest jääb muuhulgas arusaamatuks see, millisel õiguslikul alusel ning milliseid isikuandmeid Te soovite töödelda ning kuidas on tagatud isikuandmet e töötlemise põhimõte te (sh seaduslikkus, õiglus, läbipaistvus) täitmine . 7) Andme kaitse Inspektsiooni võrgulehel, mis on pidevas täiendamisel, on mitmeid selgitusi seoses andmekaitse reformiga: http://www.aki.ee/et/eraelu-kaitse/euroopa-andmekaitse-reform . Muuhulgas on nimetatud võrgulehel olemas ka andmekaitsespetsialisti täiendkoolituse pakkuja(d) (leitav järgnevalt: Andmekaitsespetsialisti ülesanded, teadmised ja oskused – Andmekaitsespetsialisti täiendkoolitus). Lisaks märgin, et Andmekaitse Inspektsioon o n näidanud valmisolekut ettevõt e te andmekaitsespetsi alistide atesteerimiseks , kuid lõpliku lt otsustatakse see siseriikliku rakendusseaduse kirjutamisel. L ugupidamisega Raiko Kaur vaneminspektor peadirektori volitusel
[email protected]