Vastus pöördumisele

Saatja: Liina Kroonberg - AKI </o=ExchangeLabs/ou=Exchange Administrative Group (FYDIBOHF23SPDLT)/cn=Recipients/cn=2e501cc88a7d4f079213b58f3dec0a66-6aeef1b8-ef> Saaja: Mari Liis Laanvee Teema: Vastus selgitustaotlusele Tere Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses kaamerate kasutamise ning isikuandmete töötlemise korraldamisega. Täname küsimuste eest. Selgitame esmalt, et AKI saab selgitustaotluse raames anda üldiseid selgitusi ega saa hinnata kaameraga andmetöötlust kõiki asjaolusid teadmata. Siduva hinnangu andmine konkreetsele olukorrale on võimalik üksnes järelevalvemenetluses, kus hinnatakse kõiki asjas tähtsust omavaid asjaolusid ja tõendeid (lepingud, mõjuhinnangud, andmekaitsetingimused jne). Kaamerate abil toimuv jälgimine ja salvestamine võib kujutada endast isikuandmete töötlemist. Isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta (IKÜM artikkel 4 punkt 1). Kaamerasalvestis võib sisaldada isikuandmeid näiteks juhul, kui sellelt on võimalik tuvastada inimese nägu, sõiduki registreerimismärki või muid tunnuseid, mille alusel isikut otseselt või kaudselt tuvastada saab. Sellisel juhul kohaldatakse isikuandmete töötlemisele isikuandmete kaitse üldmääruse (IKÜM) nõudeid. Isikuandmete töötlemisel tuleb järgida IKÜM artiklis 5 sätestatud põhimõtteid. Muuhulgas peab töötlemine olema: * seaduslik, õiglane ja läbipaistev; * eesmärgipärane; * minimaalsuse põhimõttega kooskõlas; * turvaline; * piiratud säilitamistähtajaga. Kaamerate kasutamiseks peab olema eelnevalt kindlaks määratud konkreetne ja õiguspärane eesmärk. Samuti peab olemas olema asjakohane õiguslik alus vastavalt IKÜM artiklile 6. Avaliku sektori asutuste puhul tuleneb õiguslik alus sageli seadusest või avaliku ülesande täitmisest (IKÜM artikkel 6 lõike 1 punktid c ja e). Teatud juhtudel võib kõne alla tulla ka õigustatud huvi (IKÜM artikkel 6 lõike 1 punkt f), kuid selle kasutamise võimalus sõltub konkreetsetest asjaoludest ning eeldab huvide kaalumist. Teie küsimused puudutavad muu hulgas seda, kes on kaameratega kogutavate andmete vastutav töötleja. Üldreegli kohaselt ei sõltu vastutava töötleja staatus üksnes kaamera või muu tehnilise vahendi omandiõigusest. IKÜM kohaselt on vastutav töötleja see, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja peamised vahendid (IKÜM artikkel 4 punkt 7). Seetõttu võib vastutava töötleja roll sõltuda näiteks sellest: * kes otsustab, miks kaameraid kasutatakse; * kes määrab jälgitava ala; * kes otsustab salvestiste säilitamise tähtajad; * kes määrab, kellel on ligipääs salvestistele; * kes vastutab andmesubjektide õiguste tagamise eest. Kui mitu organisatsiooni määravad eesmärgid ja vahendid ühiselt, võivad nad olla kaasvastutavad töötlejad (IKÜM artikkel 26). Volitatud töötleja on seevastu isik või organisatsioon, kes töötleb andmeid vastutava töötleja nimel ning tema juhiste alusel (IKÜM artikkel 4 punkt 8). Teenusepakkuja, kes üksnes haldab kaameraid, servereid või infosüsteemi ning ei otsusta iseseisvalt andmetöötluse eesmärkide üle, tegutseb sageli volitatud töötlejana. Sellisel juhul peab vastutava ja volitatud töötleja vahel olema sõlmitud IKÜM artikli 28 nõuetele vastav leping. Küsimusele, kas konkreetses olukorras on vastutav töötleja vald, sihtasutus, PPA, teenusepakkuja või mitu osapoolt ühiselt, ei ole võimalik vastata ilma konkreetseid asjaolusid ja osapoolte tegelikke rolle hindamata. Hindamine eeldab konkreetse andmetöötluskorralduse analüüsi, mida AKI selgitustaotluse raames ei tee. Üldiselt ei välista andmekaitseõigus seda, et kaamerate kasutamist korraldab sihtasutus või muu juriidiline isik. Oluline on see, et oleks üheselt selge: * kes määrab töötlemise eesmärgid ja vahendid; * kes on vastutav töötleja; * kes täidab andmesubjektide päringuid; * kes vastutab infoturbe eest; * kes pääseb salvestistele ligi; * millised on erinevate osapoolte õigused ja kohustused. Kaamerate omandiõiguse üleminek võib olla üks asjaolu, kuid see ei pruugi iseenesest määrata vastutava töötleja staatust. Määrav on eelkõige tegelik kontroll andmetöötluse eesmärkide ja vahendite üle. Kui isikuandmete töötlemise korraldus muutub, tuleks vastavad rollid ja vastutus fikseerida asjakohastes ning ajakohastes dokumentides. Vajaduse korral võivad selleks olla näiteks: * organisatsioonide vahelised koostöökokkulepped; * andmetöötluslepingud; * kaasvastutavate töötlejate kokkulepped; * sisemised andmekaitse- ja videovalvekorrad. Kaameratega salvestatakse avalikku ala. Avalikul alal videovalve korraldamisel tuleb eriti hoolikalt hinnata töötlemise eesmärki, õiguslikku alust ja proportsionaalsust. Kaameraid ei tohi kasutada üksnes põhjusel, et see on tehniliselt võimalik. Jälgimine peab olema vajalik konkreetse eesmärgi saavutamiseks ning selle ulatus peab jääma eesmärgi saavutamiseks vajalikesse piiridesse. Kaamerapildi/salvestiste vaatamiseks peab olema alati selge põhjus ja eesmärk ning seda peab logima. Kui kasutatakse numbrituvastuskaameraid, tuleb arvestada, et sõiduki registreerimismärk võib olla isikuandmetega seotud teave. Selliste süsteemide kasutamine eeldab selget õiguslikku alust ning vajaduse korral tuleb hinnata ka mõju andmesubjektide õigustele ja vabadustele. IKÜM artikli 35 kohaselt tuleb andmekaitsealane mõjuhinnang läbi viia siis, kui kavandatav töötlemine kujutab tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Mõjuhinnangu koostamise kohustus lasub üldjuhul vastutaval töötlejal. Seega sõltub ka selles küsimuses vastus sellest, kes konkreetses andmetöötluses vastutava töötleja rolli täidab. Kaamerate puhul on oluline inimeste korrektne teavitamine. Selleks tuleb luua videovalvest teavitavad sildid. IKÜM artiklite 12-14 kohaselt tuleb inimestele anda selget ja arusaadavat teavet nende isikuandmete töötlemise kohta. Videovalve puhul peab inimene saama juba jälgitavale alale sisenedes aru vähemalt: * et kasutatakse videovalvet; * kes on vastutav töötleja; * mis eesmärgil andmeid töödeldakse; * kust on võimalik saada täiendavat teavet andmetöötluse kohta. Teavitussildil esitatavad andmed sõltuvad konkreetsest andmetöötluskorraldusest. Üldjuhul tuleb seal esitada vastutava töötleja andmed. Kui konkreetses olukorras oleks mitu kaasvastutavat töötlejat, tuleb teavituslahendus kujundada vastavalt tegelikule vastutuse jaotusele. Küsimusele, kas konkreetsel sildil tuleks märkida vald, sihtasutus, Politsei- ja Piirivalveamet või mitu osapoolt korraga, ei ole võimalik vastata ilma konkreetset töötluskorraldust hindamata. Samuti soovitame teavitamisel arvestada läbipaistvuse põhimõttega. Kui kasutatakse numbrituvastuskaameraid, peaks teave olema piisavalt selge, et inimesed mõistaksid, millist liiki jälgimissüsteemi kasutatakse ja mis eesmärgil andmeid kogutakse. Nõuetele vastava sildi loomiseks on loodud ametlik Videovalve sildi genereerija <https://melon.rik.ee/et/videovalve-sildi-genereerija> . Oluline on muuhulgas see, et vastutav töötleja peab tagama, et juurdepääs salvestistele oleks piiratud üksnes neile isikutele, kellel on selleks tööülesannetest tulenev vajadus. Samuti tuleb rakendada asjakohaseid tehnilisi ja korralduslikke turvameetmeid (IKÜM artikkel 32). Praktikas tähendab see muuhulgas, et: * ligipääsuõigused peavad olema selgelt määratletud; * salvestiste vaatamine peab olema kontrollitav (logid); * põhjendamatu või omavoliline juurdepääs peab olema välistatud. Kokkuvõtteks: Kaamerasalvestised võivad sisaldada isikuandmeid ning nende töötlemisele kohaldatakse IKÜM nõudeid. Vastutava töötleja määramisel ei ole määrav üksnes kaamera omandiõigus, vaid eelkõige see, kes määrab töötlemise eesmärgid ja vahendid. Teenusepakkuja, kes töötleb andmeid teise isiku nimel ja juhiste alusel, on üldjuhul volitatud töötleja. Avalikul alal videovalve ja numbrituvastuskaamerate kasutamiseks (sh salvestiste vaatamiseks jne) peab olema selge õiguslik alus ning järgida tuleb IKÜM põhimõtteid. Mõjuhinnangu koostamise kohustus lasub üldjuhul vastutaval töötlejal. Inimesi tuleb videovalvest nõuetekohaselt teavitada ning tagada salvestiste turvaline töötlemine. AKI ei saa selgitustaotluse raames anda hinnangut, milline konkreetne osapool on kirjeldatud olukorras vastutav töötleja või kas konkreetne andmetöötluskorraldus on õiguspärane. See tuleb andmetöötlejatel selgeks teha enne salvestamist. Kasulikke viiteid erinevate andmekaitseliste teemade kohta leiab www.aki.ee <http://www.aki.ee> . 1. Isikuandmete kaitse üldmäärus (GDPR) | EUR-Lex <https://eur-lex.europa.eu/ET/legal-content/summary/general-data-protection-regulation-gdpr.html> ; 2. Isikuandmete töötleja üldjuhend | Andmekaitse Inspektsioon <https://www.aki.ee/isikuandmed/juhendid-ja-abimaterjalid/isikuandmete-tootleja-uldjuhend> ; 3. Õigustatud huvi | Andmekaitse Inspektsioon <https://www.aki.ee/isikuandmed/juhendid-ja-abimaterjalid/oigustatud-huvi> 4. Juhend kaamerate kasutamise kohta | Andmekaitse Inspektsioon <https://www.aki.ee/isikuandmed/juhendid-ja-abimaterjalid/juhend-kaamerate-kasutamise-kohta> 5. Videovalve korraldajale | Andmekaitse Inspektsioon <https://www.aki.ee/isikuandmed/juhendid-ja-abimaterjalid/videovalve-korraldajale> 6. AKI veebilehel aitab vastuseid leida ka virtuaalne abi Bürokratt. Loodame, et neist selgitustest ning viidetest on abi. Lugupidamisega Liina Kroonberg jurist [email protected] <mailto:[email protected]> 682 8714 ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Tatari 39 | 10134 Tallinn | Eesti LinkedIn <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> | YouTube <https://www.youtube.com/@andmekaitse> <https://www.aki.ee/>