Korduv pöördumine

Saatja: "Est-Land" <[email protected]> Saaja: "info - AKI" <[email protected]> Teema: Re: Vastus selgitustaotlusele Kuupäev: 2026-09-22 08:42 Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Palve vastata 10.09.2026 selgitustaotluses ja selle täienduses esitatud küsimustele Tere! Täname Andmekaitse Inspektsiooni vastuse eest. AKI märgib vastuses, et selgitustaotluse raames saab anda üksnes üldisi õigusalaseid selgitusi ega saa hinnata konkreetse juhtumi õiguspärasust, kuna siduva õigusliku hinnangu andmine on võimalik järelevalvemenetluses. Sellega oleme nõus. Just üldiste õigusalaste selgituste saamiseks me Andmekaitse Inspektsiooni poole pöördusimegi. Peame siiski märkima, et saadud vastus valmistas meile mõnevõrra pettumuse. Meie pöördumises ei küsitud üldist ülevaadet selle kohta, mis on isikuandmed, millised õigused on andmesubjektil või millistel alustel võib isikuandmeid töödelda. Need põhimõtted on meile teada. Esitasime AKI-le konkreetsed küsimused eelkõige selle kohta, kuidas peab vastutav töötleja praktikas toimima, kui talle esitatakse kustutamistaotlus inimese kohta, keda ettevõtja ei suuda oma andmetest tavapärase otsinguga tuvastada, ning taotluse esitaja ei anna teavet võimaliku varasema kontakti, tehingu ega ajavahemiku kohta. Meie esialgses pöördumises oli 10 nummerdatud küsimust ning täiendavas pöördumises lisasime 11. küsimuse. Saadud vastusest ei ole meil paraku võimalik tuvastada, millisele neist küsimustest millise AKI seisukohaga vastati. See on oluline ka praktilisel põhjusel. Ettevõtja peab suutma kujundada protseduuri, mille järgi samalaadseid taotlusi tulevikus õiguspäraselt menetleda. Üldine selgitus, et andmesubjektil on õigus oma andmete kustutamist nõuda ja ettevõtja peab taotlusele ühe kuu jooksul vastama, ei lahenda küsimust, millises ulatuses peab ettevõtja andmeid otsima olukorras, kus tal puudub igasugune teadmine, et ta neid üldse töötleb või on töödelnud. Seetõttu palume vastata meie juba esitatud küsimustele punktide kaupa. Toome nende põhisisu selguse huvides uuesti välja. 1. Milline on IKÜM artikli 17 alusel esitatud kustutamistaotluse menetlemisel vastutava töötleja kontrollikohustuse ulatus olukorras, kus taotluses nimetatud isik ega tema kontaktandmed ei ole ettevõtjale tuttavad ning tavapärase kontrolli käigus tema andmeid ei leita? Eelkõige soovime teada, kas IKÜM nõuab sellises olukorras üksnes mõistlikku ja proportsionaalset otsingut või peab vastutav töötleja ammendavalt välistama andmete olemasolu kõigis tema valduses olevates andmekandjates ja ajaloolistes dokumentides. 2. Kas vastutav töötleja võib sellises olukorras paluda andmesubjektil või tema volitatud esindajal täpsustada võimalikku varasemat kontakti? Näiteks võimalikku ajavahemikku, tehingut, päringut, kasutatud varasemat nime või kontaktandmeid või muud asjaolu, mis võimaldaks otsingut mõistlikult piiritleda. Kui võib, siis kuidas peab vastutav töötleja toimima juhul, kui sellist täpsustavat teavet ei anta? 3. Kui kaugele ulatub vastutava töötleja kohustus otsida andmeid ajaloolistest arhiividest? Kas näiteks aastakümneid tegutsenud ettevõtjalt võib kontekstivaba kustutamistaotluse korral nõuda suure hulga nime järgi mitteotsitavate paberdokumentide käsitsi läbivaatamist üksnes selleks, et välistada võimalus, et konkreetse inimese nimi võib mõnes ajaloolises dokumendis esineda? Kui jah, palume selgitada, millisest IKÜM-i sättest sellise kontrolli ulatus tuleneb ja kuidas tuleb siin arvestada proportsionaalsust. 4. Kas vastutaval töötlejal on kohustus iseseisvalt välja selgitada, milline võis olla andmesubjekti ajalooline seos ettevõtjaga? Teisisõnu: kui taotluse esitaja ei tea või ei avalda, millal ja millises kontekstis võis andmesubjekti andmete töötlemine aset leida, kas vastutav töötleja peab ise hakkama võimalikku seost uurima või võib pärast mõistlikku esmast kontrolli paluda taotluse esitajal otsingut täpsustada? 5. Millist täiendavat teavet võib vastutav töötleja taotluse mõistlikuks piiritlemiseks küsida? Palume muu hulgas selgitada, kuidas suhestuvad sellise olukorraga IKÜM artiklid 11 ja 12 ning põhjenduspunktis 63 toodud võimalus paluda suure andmemahu korral andmesubjektil täpsustada, millist teavet või milliseid töötlemistoiminguid taotlus puudutab. 6. Kuidas tuleb käsitleda standardiseeritud või automatiseeritud viisil suurele hulgale ettevõtjatele saadetavaid andmesubjekti taotlusi? Kas taotluse automatiseeritud või massiline esitamise viis võib omada tähendust vastutava töötleja kohustuste ja taotluse proportsionaalse menetlemise hindamisel? Mõistame, et erinevate andmesubjektide taotlused ei muutu üksnes ühise esindaja või tehnilise lahenduse tõttu automaatselt ühe andmesubjekti korduvateks taotlusteks. Küsimus puudutab seda, kas esitamise viisil võib siiski olla õiguslikku tähendust taotluse menetlemise ulatuse ja halduskoormuse hindamisel. 7. Kuidas tuleb sellistes olukordades kohaldada IKÜM artikli 12 lõiget 5? Millistel asjaoludel võib taotlust pidada ilmselgelt põhjendamatuks või ülemääraseks ning millist tähendust võivad omada taotluse korduvus, ulatus, otsingu objektiivne töömahukus ja taotluse esitaja keeldumine talle teadaoleva otsingut piiritleva teabe esitamisest? 8. Kuidas määratakse IKÜM artikli 12 lõike 5 alusel küsitav mõistlik tasu? Kui nimetatud sätte kohaldamise eeldused on täidetud, siis milliseid tegelikke halduskulusid võib vastutav töötleja tasu määramisel arvesse võtta? Kas arvesse võib võtta näiteks töötajate tööaega, arhiiviotsingu tegelikku kulu, tehnilisi otsinguid või põhjendatult vajalikku välise spetsialisti abi? 9. Millised IKÜM-ist tulenevad kohustused on professionaalsel teenuseosutajal, kes kogub või hangib isikuandmeid selleks, et määrata kindlaks ettevõtjad, kellele andmesubjekti nimel taotlusi saata? Palusime selgitada muu hulgas sellise töötlemise õigusliku aluse, läbipaistvuse ning IKÜM artikli 14 võimaliku kohaldumise põhimõtteid olukorras, kus andmed ei pärine andmesubjektilt endalt. 10. Kas vastutav töötleja võib küsida selliselt professionaalselt esindajalt taotluse mõistlikuks piiritlemiseks teavet selle kohta, millise faktilise asjaolu tõttu on konkreetne ettevõtja valitud taotluse adressaadiks? Me ei pea siin silmas nõuet avaldada esindaja ärisaladust ega kogu tema metoodikat. Küsimus on selles, kas vastutav töötleja võib paluda vähemalt sellist faktilist konteksti, mis võimaldaks tal kontrollida õigeid andmekogusid ja ajavahemikke. 11. Kas vastutaval töötlejal, kes pärast mõistlikku kontrolli tuvastab, et taotluses nimetatud andmesubjekti isikuandmeid ei töödelda ega ole tuvastatavalt töödeldud, on IKÜM-ist tulenev kohustus anda sellest andmesubjektile või tema volitatud esindajale eraldi kirjalik kinnitus? Kui selline kohustus on olemas, palume võimalusel viidata selle konkreetsele õiguslikule alusele ning selgitada kohustuse ulatust. Teie vastuses on märgitud, et „andmetöötleja peab pöördumisele vastama ühe kuu jooksul ning teavitama, kas taotluse täidab või mitte“. Just seetõttu palume küsimusele 11 eraldi vastust. Kui mõistliku kontrolli tulemusel ei ole isikuandmeid leitud, ei ole praktikas midagi kustutada. Soovime teada, millise IKÜM-i sätte alusel ja millise sisuga vastus tuleb sellises olukorras anda. Rõhutame veel kord, et me ei palu AKI-l otsustada selgitustaotluse menetluses, kas OÜ EstEst PR või OÜ Incognito Eesti on konkreetses juhtumis õigesti või valesti käitunud. Palume AKI-l teha täpselt seda, mida AKI oma vastuse alguses ütleb end selgitustaotluse raames teha saavat – anda üldisi õigusalaseid selgitusi. Kui mõne eespool toodud küsimuse puhul leiab AKI, et ka üldist õigusalast selgitust ei ole selgitustaotluse raames võimalik anda, palume seda vastava küsimuse juures märkida ning võimalusel selgitada, miks. Loodame seetõttu saada seekord vastused meie tegelikult esitatud küsimustele, sest just nende küsimuste lahendamine võimaldab meil ettevõtjana kujundada IKÜM-iga kooskõlas oleva ja proportsionaalse menetluspraktika. Kui AKI leiab, et mõne eespool esitatud küsimuse lahendamine eeldab konkreetsete asjaolude hindamist ning sellele ei ole seetõttu võimalik selgitustaotluse raames sisuliselt vastata, palume kaaluda käesoleva pöördumise käsitlemist selles osas märgukirjana ning järelevalvemenetluse algatamist OÜ Incognito Eesti tegevuse suhtes. Meie eesmärk ei ole nõuda AKI-lt selgitustaotluse menetluses konkreetse ettevõtja tegevuse õiguspärasusele siduvat hinnangut. Kui AKI hinnangul on aga meie tõstatatud küsimustele vastamiseks vajalik kontrollida näiteks seda, milliseid isikuandmeid OÜ Incognito Eesti oma „uurimistoimingute“ käigus töötleb, millistest allikatest neid hangitakse, millisel õiguslikul alusel toimub töötlemine, kuidas valitakse kustutamistaotluste adressaadid ning milline on automatiseeritud ja korduvate taotluste saatmise tegelik korraldus, siis palume AKI-l kaaluda nende asjaolude kontrollimist talle seadusega antud järelevalvepädevuse raames. Kui AKI ei pea järelevalvemenetluse algatamist põhjendatuks, palume sellest samuti teada anda ning võimalusel selgitada, millistel kaalutlustel ei pea AKI meie kirjeldatud asjaolusid järelevalvelist kontrolli vajavaks. Lugupidamisega Andres Pallas OÜ ESTEST PR Rästa 18-2 I korrus 13417, Tallinn Telefon: +372 5145215 Email: [email protected] www.est-land.ee Kuupäeval Monday, 21. September 2026 kell 15:27, kirjutas info - AKI <[email protected]>: Tere Andmekaitse Inspektsioon (AKI) on saanud Teie pöördumise seoses isikuandmete kaitse üldmääruse (IKÜM) artikkel 17 isikuandmete kustutamise nõudega, mis on esitatud andmesubjekti volitatud esindaja vahendusel. Siinkohal peame koheselt selgitama, et AKI saab selgitustaotluse raames anda üksnes üldisi õigusalaseid selgitusi ega saa hinnata konkreetse juhtumi õiguspärasust. Siduv õiguslik hinnang on võimalik anda üksnes järelevalvemenetluses. Loodame, et saate vastuse oma küsimustele ning suunised, kuidas toimida kui inimene pöördub ettevõtte poole taotlusega (sh et andmetega tutvuda, kustutamise nõudega vms). Isikuandmed on kõik andmed üksikuna või kogumis, mille kaudu inimene on otseselt või kaudselt äratuntav, näiteks nimi, isikukood, asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud, kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende kombinatsioonid[1]. Ehk siis kui inimene on tuvastatav läbi mingite parameetrite, siis saab neid andmeid lugeda isikuandmeteks. Isikuandmete kaitse reeglid ei kehti kui teave ei võimalda isikut mõistlike pingutustega tuvastada[2] ja ka siis kui isikuandmeid ei ole. Tuleb arvestada, et isikuandmed on ainult füüsilisel isikul. Juriidilisel isikul puudub eraelu ning seega ka isikuandmed, seetõttu ei kohaldu ka andmekaitsereeglid. Isikuandmete kaitse üldmääruse (IKÜM)[3] kohaselt ei kohaldata IKÜM-i nõudeid, kui isikuandmeid töötleb füüsiline isik eranditult isiklike või koduste tegevuste käigus. See tähendab, et IKÜM ei kohaldu olukordadele, kus isikuandmeid kasutatakse isiklikul eesmärgil. Isiklikuks eesmärgiks on eelkõige andmete jagamine pereringis, sõpruskonnas või muus väikeses grupis. Oluline on teada, et isikuandmete kaitse nõuded Eestis ongi sätestatud peamiselt IKÜM-s ning <https://www.riigiteataja.ee/akt/104012019011?leiaKehtiv> isikuandmete kaitse seaduses aga kohustusi võib ka muudest seadustest tulla. See olenebki juba sellest, millega ettevõte täpselt tegeleb ning milliseid andmeid reaalselt praktikas töötleb. IKÜM[4] sätestab, et isikuandmete töötlemine peab olema seaduslik ja inimesele läbipaistev; samuti tohib isikuandmeid töödelda (sh koguda, säilitada jne) üksnes kindlaksmääratud õiguspärastel eesmärkidel[5] ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid[6]. Isikuandmete töötlemise õiguslike aluste loetelu on sätestatud IKÜM artiklis 6. Seda, kas, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜM-i[7] kohaselt selgitama ja tõendama iga andmetöötleja ise vastavalt töödeldavatele andmetele. Kui õiguslik alus isikuandmete töötlemiseks puudub, siis andmeid töödelda (sh koguda, edastada, salvestada vms) ei tohi. Niisama igaks juhuks andmeid töödelda eesmärgiga, et ehk hiljem on tarvis, ei ole samuti lubatud. Inimesel on mitmeid õiguskaitsevahendeid, sh IKÜM artikkel 17. Artiklist 17 tuleneb õigus nõuda oma isikuandmete kustutamist ehk nn „õigus olla unustatud“. Kui isikuandmete töötlemiseks puudub õiguslik alus või andmeid ei ole enam vaja eesmärgil, milleks need koguti, võibki inimene nõuda nende kustutamist. Sellisel juhul peab vastutav töötleja taotluse rahuldama ning isikuandmed põhjendamatu viivituseta kustutama. Andmete säilitamisel on vajalik määrata ka tähtaeg. Andmete säilitamise tähtaja määramisel peab järgima nii minimaalsuse kui eesmärgipärasuse nõudeid, kuid ka erinevatest seadustest tulenevaid reegleid olenevalt kogutavatest andmetest. Säilitamiseks peab olema konkreetne põhjus ja ükski isikuandmete hulk ei tohi olla igavene (sh võib olla aastakümneid tagasi kogutud andmeid). Üldise printsiibi järgi peaks andmete säilitamine olema minimaalne ehk andmed kustutatakse kohe kui eesmärk on täidetud. Kui osutub vajalikuks andmeid säilitada kauem, siis tuleb seda põhjendada ja tuua välja konkreetne põhjendatud aeg, kaua andmeid säilitatakse (näiteks raamatupidamisest tulenev säilitustähtaeg). Andmete säilitamise tähtajale on oluline mõelda enne isikuandmete kogumist muuhulgas turvalisuse kaalutlustel. Inimesel, kelle andmeid töödeldakse, on õigus andmetöötleja poole pöörduda järgmiste taotlustega: - nõuda võimalust oma andmetega <https://www.aki.ee/isikuandmed/inimese-oigused/teave-isikuandmete-kasutamise-kohta> tutvuda ehk siis saada teada, kuidas ja milliseid pöörduja isikuandmeid töödeldakse, sh kellele tema isikuandmeid edastatakse (ettevõttevälised isikud, nt maksu- ja tolliamet, tervisekassa vms) ning kes neid andmeid veel töötleb (ettevõttesisesed isikud ning ettevõttega seotud isikud, nt raamatupidamisteenuse osutaja), mistõttu tasub eeskirjadesse kirja panna ning andmesubjektidele tutvustada enne nende isikuandmete töötlemist. - nõuda oma isikuandmete <https://www.aki.ee/isikuandmed/inimese-oigused/isikuandmete-parandamine> parandamist. - nõuda oma isikuandmete <https://www.aki.ee/isikuandmed/inimese-oigused/isikuandmete-kustutamine> kustutamist. - nõuda oma isikuandmete töötlemise <https://www.aki.ee/isikuandmed/inimese-oigused/isikuandmete-tootlemise-piiramine-0> piiramist. - nõuda oma isikuandmete <https://www.aki.ee/isikuandmed/inimese-oigused/isikuandmete-ulekandmine> ülekandmist. Andmetöötleja peab pöördumisele vastama ühe kuu jooksul ning teavitama, kas taotluse täidab või mitte. Keeldumise korral tuleb otsust põhjendada. Kui inimene ei saa vastust või peab seda ebapiisavaks, on tal võimalik pöörduda Andmekaitse Inspektsiooni poole. Seetõttu on oluline, et andmetöötleja oleks avaldanud selged andmekaitsetingimused, kust inimesed saaksid kätte kogu vajaliku info oma isikuandmete töötlemise kohta (sh kes neid kogub, kaua, kuidas oma õiguseid kaitsta jne). Lisainformatsiooni saamiseks palumegi tutvuda Andmekaitse Inspektsiooni veebilehel avaldatud materjalidega, mis toetavad andmetöötlejat: * AKI on andmetöötlejale koostanud teemakohaseid materjale, mis on koondatud siia: <https://www.aki.ee/isikuandmed/andmetootlejale/andmetootluse-pohimotted> Andmetöötluse põhimõtted | Andmekaitse Inspektsioon. * Korduma kippuvad küsimused ( <https://www.aki.ee/isikuandmed/kkk/moisted> KKK); * <https://www.aki.ee/sites/default/files/dokumendid/isikuandmete_tootleja_uldjuhend.pdf> isikuandmete töötlemise üldjuhend, kus on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma. * Andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel leiab informatsiooni <https://www.aki.ee/isikuandmed/andmetootlejale/andmetootleja-vastutus-ja-kohustused> siit. * Andmekaitsetingimuste koostamisest: Andmekaitsetingimuste koostamine | Andmekaitse Inspektsioon <https://www.aki.ee/isikuandmed/andmetootlejale/andmekaitsetingimuste-koostamisest> ; * Abimaterjalide alt on leitavad: <https://www.aki.ee/isikuandmed/abimaterjalid/vastavus-isikuandmete-kaitse-uldmaarusega> vastavus isikuandmete kaitse üldmäärusega, <https://www.aki.ee/isikuandmed/abimaterjalid/andmekaitsetingimused-ja-nousolek> andmekaitsetingimused ja nõusolek. * Andmekaitse Inspektsioonil on ka kasutuses Bürokratt, mis asub veebilehel all paremas nurgas ning mis abistab erinevate küsimuste korral. Kui ettevõttel on vaja õigusnõu ja seisukohta lähtuvalt konkreetsetest asjaoludest ning töödeldavatest andmetest, samuti, kuidas luua korrektne isikuandmete töötlemise protseduur, sh pöördumistele vastamiseks, siis soovitame pöörduda õigusnõustajate (advokaadid, juristid) poole. Õigusabiteenuse osutajad saavad juba abistada konkreetseid asjaolusid arvestades, sh korrektse dokumentatsiooni (nt andmekaitsetingimuste jne) koostamisel. Selleks, et hoida end andmetöötluse aktuaalsete küsimustega kursis, on andmetöötlejal võimalus tellida AKI uudiskiri. Uudiskirjaga saab liituda siit: <https://www.aki.ee/meist/teadlikkus/uudiskiri> https://www.aki.ee/meist/teadlikkus/uudiskiri Kokkuvõttes saamegi järeldada, et kui isikuandmete töötlemine on eelnevalt läbimõeldult korraldatud ning andmeid kogutakse, säilitatakse ja kasutatakse õigusaktide nõudeid järgides, ei esine üldjuhul takistusi andmete töötlemiseks ega andmesubjektide päringutele vastamiseks, sõltumata sellest, kas pöördub andmesubjekt ise või tema (nõuetekohaselt) volitatud esindaja. Samal ajal peab teenuseosutaja tagama asjakohased turvameetmed, et kaitsta isikuandmeid volitamata juurdepääsu, juhusliku kaotsimineku, hävimise või kahjustumise eest. Isikuandmete töötleja vastutab alati tema valduses olevate andmetega tehtud toimingute õiguspärasuse eest ning peab suutma vajaduse korral tõendada nõuetele vastavat töötlemist. Seetõttu on oluline määratleda andmetöötlusega seotud põhimõtted, rollid ja tegevused juba enne teenuse osutamise alustamist ning fikseerida need kirjalikku taasesitamist võimaldavas vormis. Loodan, et meie selgitustest on abi. Lugupidamisega Andmekaitse Inspektsioon ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Tatari 39 | 10134 Tallinn | Eesti <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> LinkedIn | <https://www.youtube.com/@andmekaitse> YouTube <https://www.aki.ee/> _____ [1] Vt üldmääruse art. 4 p.1; direktiivi art. 3 p. 1. [2] Vt üldmääruse põhjenduspunkt 26 ja 57 ning art. 11; direktiivi pp. 21. [3] IKÜM artikli 2 lõike 2 punkti c kohaselt [4] IKÜM art 5 lg 1 p a [5] IKÜM art 5 lg 1 p b [6] IKÜM art 5 lg 1 p c [7] IKÜM art 5 lg 2