Vastus korduvale pöördumisele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp OÜ ESTEST PR Teie 22.09.2026 [email protected] Meie 29.09.2026 nr 2.2-9/26/3524-6 Vastus korduvale pöördumisele Olete edastanud Andmekaitse Inspektsioonile AKI) selgitustaotluse seoses inimese päringuga artikkel 17 alusel. Oleme saanud Teie täiendava pöördumise, sest vastus ei olnud rahuldav, sh ei olnud vastatud küsimustele nummerdatud järjekorras. Siinkohal edastame uuesti selgitused isikuandmete töötlemise kohta ning seejärel vastused küsimustele (11 küsimust). Kordame, et AKI ei saa anda konkreetsetele juhtumitele siduvat õiguslikku hinnangut, see on võimalik ainult järelevalvemenetluses. AKI-l on kohustus anda õigusalaseid selgitusi.1 Õigusalaste selgituste andmine ei tähenda õigusabi andmist. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang ning praegu soovitakse õiguslikku hinnangut (sh kaaluda järelevalvemenetluse vajalikkust) ühe ettevõtte tegevusele (ettevõte, keda on volitatud eraisiku poolt tegema IKÜM alusel taotlust). Millega Andmekaitse Inspektsioon tegeleb? Andmekaitse Inspektsioon (AKI) tegeleb (füüsiliste isikute) isikuandmete kaitse ja avaliku teabe seaduse täitmise järelevalvega. Ehk siis AKI ülesanne on tagada muuhulgas teha järelevalvet selle üle, et inimeste isikuandmeid töödeldakse õiguspäraselt. AKI on seadnud endale prioriteedid, millistel puhkudel peame sekkumist oluliseks ja millistel juhtudel leiame, et probleemi on võimalik lahendada tõhusamalt muul viisil (näiteks tsiviilkohtus). Infot selle kohta leiab siit: Kaebus isikuandmete kaitse asjas | Andmekaitse Inspektsioon. Järelevalvemenetluse algatamise kaalumisel hindab AKI, kas esitatud asjaoludest nähtub piisav alus võimaliku õigusrikkumise tuvastamiseks ning kas järelevalvemenetluse läbiviimine on konkreetse juhtumi asjaolusid arvestades põhjendatud. Menetluse algatamise üle otsustamisel arvestatakse muu hulgas võimaliku rikkumise olemust, ulatust ja mõju, olemasolevaid tõendeid ning vajadust rakendada seadusega ette nähtud järelevalvemeetmeid asjaolude kontrollimiseks ja õiguspärase olukorra tagamiseks. Mis on isikuandmed ning millal ei kohaldu IKÜM-st tulenevad reeglid? Isikuandmete kaitse üldmääruse (IKÜM) kohaselt on isikuandmed kõik andmed üksikuna või kogumis, mille kaudu inimene on otseselt või kaudselt äratuntav, näiteks nimi, isikukood, 1 Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse § 3. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud, kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende kombinatsioonid2. Ehk siis kui inimene on tuvastatav läbi mingite parameetrite, siis saab neid andmeid lugeda isikuandmeteks. Isikuandmete kaitse reeglid ei kehti kui teave ei võimalda isikut mõistlike pingutustega tuvastada3 ja ka siis kui isikuandmeid ei ole. Tuleb arvestada, et isikuandmed on ainult füüsilisel isikul. Juriidilisel isikul puudub eraelu ning seega ka isikuandmed, seetõttu ei kohaldu ka andmekaitsereeglid. IKÜM4 nõudeid ei kohaldata kui isikuandmeid töötleb füüsiline isik eranditult isiklike või koduste tegevuste käigus. See tähendab, et IKÜM ei kohaldu olukordadele, kus isikuandmeid kasutatakse isiklikul eesmärgil. Isiklikuks eesmärgiks on eelkõige andmete jagamine pereringis, sõpruskonnas või muus väikeses grupis. Mis on isikuandmete töötlemine? Isikuandmete töötlemine on igasugune tegevus isikuandmetega, sõltumata sellest, kas seda tehakse automatiseeritult või käsitsi. IKÜM artikli 4 lõike 2 kohaselt hõlmab töötlemine muu hulgas isikuandmete kogumist, salvestamist, korrastamist, säilitamist, muutmist või täiendamist, vaatamist, kasutamist, edastamist, avalikustamist, ühendamist, võrdlemist, piiramist, kustutamist või hävitamist. Näiteks ostu-müügi lepingut sisaldavaid isikuandmeid võib säilitada seni, kuni see on vajalik lepingu täitmiseks, ettevõtte õiguste kaitsmiseks või seadusest tuleneva kohustuse täitmiseks. Kui leping on raamatupidamise seisukohast asjakohane dokument, tuleb seda üldjuhul säilitada vähemalt 7 aastat seaduses ettenähtud korras. Pärast säilitamise eesmärgi äralangemist tuleb isikuandmed kustutada või anonüümida, välja arvatud juhul, kui nende edasiseks säilitamiseks esineb muu õiguslik alus. Seda, mis see (muu) õiguslik alus on, peab enda tegevuse spetsiifikast teadma eelkõige andmetöötleja. Isikuandmete töötlemiseks loetakse kogu andmete „elutsüklit“ alates kogumisest kuni kustutamiseni. Milline peab olema isikuandmete töötlemine? IKÜM5 sätestab, et isikuandmete töötlemine peab olema seaduslik ja inimesele läbipaistev; samuti tohib isikuandmeid töödelda (sh koguda, säilitada jne) üksnes kindlaksmääratud õiguspärastel eesmärkidel6 ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid7. Isikuandmete töötlemise õiguslike aluste loetelu on sätestatud IKÜM artiklis 6. Seda, kas, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜM-i8 kohaselt selgitama ja tõendama iga andmetöötleja ise vastavalt töödeldavatele andmetele. Kui õiguslik alus isikuandmete töötlemiseks puudub, siis andmeid töödelda (sh koguda, edastada, salvestada, säilitada vms) ei tohi. Niisama igaks juhuks andmeid töödelda eesmärgiga, et ehk hiljem on tarvis, ei ole samuti lubatud. 2 üldmääruse art. 4 p.1; direktiivi art. 3 p. 1. 3 Vt üldmääruse põhjenduspunkt 26 ja 57 ning art. 11; direktiivi pp. 21. 4 IKÜM artikli 2 lõike 2 punkti c kohaselt 5 IKÜM art 5 lg 1 p a 6 IKÜM art 5 lg 1 p b 7 IKÜM art 5 lg 1 p c 8 IKÜM art 5 lg 2 2 (8) Teisisõnu, isikuandmete töötleja peab olema võimeline igal ajal määratlema, millisel õiguslikul alusel isikuandmeid töödeldakse (sh säilitatakse). See kohustus tuleneb eelkõige IKÜM artikli 5 lõikes 2 sätestatud vastutuse põhimõttest ning artiklist 6, mille kohaselt on isikuandmete töötlemine lubatud üksnes konkreetse õigusliku aluse olemasolul. Kui vastutav töötleja ei suuda tuvastada isikuandmete töötlemise õiguslikku alust, ei ole tal võimalik tõendada töötlemise õiguspärasust. Pelgalt „mina tahan ja töötlen, sh säilitan“ ei ole isikuandmete töötlemisel õiguslikuks aluseks. Millised õigused on inimesel, kelle isikuandmeid ettevõte töötleb? Inimesel, kelle andmeid töödeldakse, on õigus andmetöötleja poole pöörduda järgmiste taotlustega: - nõuda võimalust oma andmetega tutvuda ehk siis saada teada, kuidas ja milliseid pöörduja isikuandmeid töödeldakse, sh kellele tema isikuandmeid edastatakse (ettevõttevälised isikud, nt maksu- ja tolliamet, tervisekassa vms) ning kes neid andmeid veel töötleb (ettevõttesisesed isikud ning ettevõttega seotud isikud, nt raamatupidamisteenuse osutaja), mistõttu tasub eeskirjadesse kirja panna ning andmesubjektidele tutvustada enne nende isikuandmete töötlemist. - nõuda oma isikuandmete parandamist. - nõuda oma isikuandmete kustutamist. - nõuda oma isikuandmete töötlemise piiramist. - nõuda oma isikuandmete ülekandmist. Andmetöötleja peab pöördumisele vastama ühe kuu jooksul ning teavitama, kas taotluse täidab või mitte. Keeldumise korral tuleb otsust põhjendada. Kui inimene ei saa vastust või peab seda ebapiisavaks, on tal võimalik pöörduda AKI poole. Seetõttu on oluline, et andmetöötleja oleks avaldanud selged andmekaitsetingimused, kust inimesed saaksid kätte kogu vajaliku info oma isikuandmete töötlemise kohta (sh kes neid kogub, kaua, kuidas oma õiguseid kaitsta jne). Mis on andmetöötlusregister ning miks see on oluline andmesubjekti õiguste tagamisel? Andmetöötlusregister ehk töötlemistoimingute register on IKÜM artiklis 30 sätestatud dokument, milles vastutav töötleja kaardistab muu hulgas töödeldavad isikuandmed, töötlemise eesmärgid, andmesubjektide kategooriad, vastuvõtjad, säilitustähtajad ja turvameetmed. Register aitab organisatsioonil omada ülevaadet sellest, milliseid isikuandmeid, mis eesmärkidel ja millistes süsteemides töödeldakse. Seetõttu on sellel oluline roll ka andmesubjektide õiguste tagamisel, kuna register võimaldab tõhusamalt tuvastada, kas ja kus andmesubjekti andmeid töödeldakse. Hästi hallatud register aitab muu hulgas täita juurdepääsu-, parandamis-, kustutamis- ja töötlemise piiramise taotlusi ning tagada, et vastused oleksid täielikud ja õigeaegsed. Kuigi andmetöötlusregister ei ole mõeldud andmesubjektidele avaldamiseks, on see oluline vastutuse põhimõtte rakendamise vahend, mis aitab vastutaval töötlejal tõendada IKÜMi nõuete järgimist. Millised on praktilised soovitused ettevõtetele seoses isikuandmete töötlemisega, mida tuleb kindlasti läbi mõelda? 1. Kas ettevõte töötleb isikuandmeid? Isikuandmete töötlemine algab juba siis, kui ettevõte kogub klientide, töötajate, koostööpartnerite või veebilehe kasutajate nimesid, kontaktandmeid või muid isikuga seostatavaid andmeid. 2. Milliseid isikuandmeid töödeldakse? Tuleb kaardistada kõik töödeldavad andmed, näiteks töötajate andmed, kliendiandmed, videovalve salvestised, e-kirjad, logid ja veebiküpsiste kaudu kogutavad andmed. 3 (8)  3. Mis eesmärgil andmeid töödeldakse? Iga töötlemistoimingu jaoks peab olema selge eesmärk, näiteks lepingu täitmine, personalitöö, turundus või seadusest tuleneva kohustuse täitmine. 4. Mis on töötlemise õiguslik alus? Tuleb kindlaks teha, kas töötlemine põhineb näiteks lepingul, seadusest tuleneval kohustusel, nõusolekul, õigustatud huvil või mõnel muul IKÜMi artikli 6 alusel. 5. Kas kogutakse ainult vajalikke andmeid? Ettevõte peab hindama, kas kõik kogutavad andmed on eesmärgi saavutamiseks tegelikult vajalikud või saaks osa neist jätta kogumata. 6. Kui kaua andmeid säilitatakse (sh nii e-postkastis kui paberarhiivis)? Iga andmekategooria puhul tuleb määrata põhjendatud säilitustähtaeg ning hinnata, millal tuleb andmed kustutada või anonüümida. 7. Kes andmetele ligi pääsevad? Tuleb määrata töötajad, teenusepakkujad ja partnerid, kellel on andmetele juurdepääs, ning kontrollida, kas juurdepääs on vajalik ja piiratud. 8. Kas kasutatakse volitatud töötlejaid? Näiteks pilveteenuse pakkujad, raamatupidamisbürood, IT-partnerid või personalihaldustarkvara pakkujad. Nendega peab olema sõlmitud nõuetekohane andmetöötlusleping. 9. Kuidas tagatakse andmete turvalisus? Tuleb hinnata tehnilisi ja korralduslikke meetmeid, nagu ligipääsuhaldus, paroolid, krüpteerimine, logimine, varukoopiad ja töötajate teadlikkus. 10. Kas ettevõte suudab tagada andmesubjektide õigused? Ettevõte peab teadma, kust andmeid leida ning kuidas vastata juurdepääsu-, parandamis-, kustutamis-, piiramis- ja vastuväide taotlustele. Praktikas ongi siin suureks abiks korras andmetöötlusregister. Kordame, et andmetöötlejal tuleb esmalt välja selgitama, kas ta töötleb isikuandmeid, seejärel miks ja millisel alusel ta neid töötleb, ning lõpuks kuidas tagada nende kaitse ja inimeste õigused. Enamik probleeme isikuandmete töötlemisel tuleneb sellest, et mõni neist küsimustest on jäetud süsteemselt ning sisuliselt läbi mõtlemata. Järgnevalt vastame küsimustele, mis on adresseeritud AKI-le: 1. Milline on IKÜM artikli 17 alusel esitatud kustutamistaotluse menetlemisel vastutava töötleja kontrollikohustuse ulatus olukorras, kus taotluses nimetatud isik ega tema kontaktandmed ei ole ettevõtjale tuttavad ning tavapärase kontrolli käigus tema andmeid ei leita? Kui vastutav töötleja saab IKÜM artikli 17 alusel kustutamistaotluse, kuid taotluses nimetatud isik ega tema kontaktandmed ei ole ettevõtjale tuttavad ning tavapärase kontrolli käigus tema andmeid ei leita, peab andmetöötleja siiski täitma oma kontrollikohustuse. See tähendab, et andmetöötleja peab hindama, kas tal on võimalik taotluse esitanud isiku andmeid tuvastada ja leida. Kui andmeid ei leita, tuleb taotlejat sellest teavitada ning selgitada, et läbiviidud kontrolli tulemusel ei õnnestunud andmesubjekti andmeid tuvastada. Olukorras kus taotluses esitatud andmetest ei piisa isiku tuvastamiseks või andmete leidmiseks, võib töötleja paluda taotluse täpsustamiseks täiendavat teavet. 2. Kas vastutav töötleja võib sellises olukorras paluda andmesubjektil või tema volitatud esindajal täpsustada võimalikku varasemat kontakti? Jah, vastutav töötleja võib sellises olukorras paluda andmesubjektil või tema volitatud esindajal täpsustada võimalikku varasemat kontakti. Kui töötleja ei suuda tavapärase kontrolli käigus andmeid tuvastada, on tal õigus küsida täiendavat teavet taotluse täpsustamiseks, et tagada taotluse nõuetekohane täitmine. Rohkem informatsiooni selle kohta leiab ka siit: Isikuandmete kustutamine | Andmekaitse Inspektsioon. 4 (8) 3. Kui kaugele ulatub vastutava töötleja kohustus otsida andmeid ajaloolistest arhiividest? Kas näiteks aastakümneid tegutsenud ettevõtjalt võib kontekstivaba kustutamistaotluse korral nõuda suure hulga nime järgi mitteotsitavate paberdokumentide käsitsi läbivaatamist üksnes selleks, et välistada võimalus, et konkreetse inimese nimi võib mõnes ajaloolises dokumendis esineda? Vastutava töötleja kohustus andmeid enda töödeldavatest andmetest otsida ja kustutamistaotlust menetleda peab olema proportsionaalne. Kui kustutamistaotlus on kontekstivaba ja pöörduja ei anna piisavalt teavet, et andmeid tuvastada, ei ole vastutaval töötlejal kohustust teha ebaproportsionaalseid pingutusi, näiteks käsitsi läbi vaadata suure hulga paberdokumente, mis ei ole nime järgi otsitavad. IKÜM nõuab, et töötleja võtaks tarvitusele mõistlikud abinõud ja kasutaks tehnilisi vahendeid, kuid ei eelda ebaproportsionaalseid jõupingutusi, kui see ei ole võimalik või on liiga koormav ⁽¹⁾. Kui andmesubjekt ei esita piisavalt täpset teavet, võib vastutav töötleja paluda taotluse täpsustamist, et teha kindlaks, milliseid andmeid otsida. 4. Kas vastutaval töötlejal on kohustus iseseisvalt välja selgitada, milline võis olla andmesubjekti ajalooline seos ettevõtjaga? Teisisõnu: kui taotluse esitaja ei tea või ei avalda, millal ja millises kontekstis võis andmesubjekti andmete töötlemine aset leida, kas vastutav töötleja peab ise hakkama võimalikku seost uurima või võib pärast mõistlikku esmast kontrolli paluda taotluse esitajal otsingut täpsustada? Üldjuhul ei saa vastutav töötleja jätta taotlust täitmata üksnes põhjusel, et andmesubjekt ei oska selgitada, milline oli tema ajalooline seos ettevõtjaga või millal võis andmete töötlemine aset leida. Andmesubjektil ei ole kohustust põhjendada oma andmesubjekti õiguste kasutamist. Vastutav töötleja peab tegema mõistlikud pingutused, et kontrollida, kas ja milliseid isikuandmeid ta andmesubjekti kohta töötleb. 5. Millist täiendavat teavet võib vastutav töötleja taotluse mõistlikuks piiritlemiseks küsida? Palume muu hulgas selgitada, kuidas suhestuvad sellise olukorraga IKÜM artiklid 11 ja 12 ning põhjenduspunktis 63 toodud võimalus paluda suure andmemahu korral andmesubjektil täpsustada, millist teavet või milliseid töötlemistoiminguid taotlus puudutab. Vastutav töötleja võib küsida üksnes sellist täiendavat teavet, mis on objektiivselt vajalik taotluse menetlemiseks, näiteks andmesubjekti tuvastamiseks või asjakohaste andmete leidmiseks. IKÜM artiklist 12 tuleneb, et vastutav töötleja peab hõlbustama andmesubjekti õiguste kasutamist ega või nõuda juurdepääsuõiguse kasutamise põhjendamist. Kui vastutav töötleja töötleb andmesubjekti kohta suures mahus andmeid, võib ta IKÜMi põhjenduspunkti 63 kohaselt paluda täpsustada, millist teavet või milliseid töötlemistoiminguid taotlus puudutab. Selleks võib vastutav töötleja küsida näiteks võimalikku õigussuhet, sündmust või ajavahemikku, mille jooksul andmete töötlemine võis aset leida, kui see aitab asjakohaseid andmeid leida. Küsitav lisateave peab siiski piirduma sellega, mis on taotluse tõhusaks menetlemiseks vajalik ja proportsionaalne. 6. Kuidas tuleb käsitleda standardiseeritud või automatiseeritud viisil suurele hulgale ettevõtjatele saadetavaid andmesubjekti taotlusi? Kas taotluse automatiseeritud või massiline esitamise viis võib omada tähendust vastutava töötleja kohustuste ja taotluse proportsionaalse menetlemise hindamisel? Mõistame, et erinevate andmesubjektide taotlused ei muutu üksnes ühise esindaja või tehnilise lahenduse tõttu automaatselt ühe andmesubjekti korduvateks taotlusteks. Küsimus puudutab seda, kas esitamise viisil võib siiski olla õiguslikku tähendust taotluse menetlemise ulatuse ja halduskoormuse hindamisel. Taotluse standardiseeritud, automatiseeritud või massiline esitamise viis ei muuda iseenesest andmesubjekti õiguste ulatust ega vabasta vastutavat töötlejat kohustusest taotlusega tegeleda. 5 (8) Asjaolu, et taotlused on esitatud ühise esindaja vahendusel või tehnilise lahenduse abil suurele hulgale ettevõtjatele (hetkel on meile siiski teada üks pöördumine Teie ettevõtte poole), ei anna iseenesest alust pidada neid põhjendamatuks, ülemääraseks või korduvaks. Samas võib taotluse esitamise viis olla üks asjaolu, mida vastutav töötleja arvestab taotluse praktilisel menetlemisel, eelkõige hinnates vajadust taotluse täpsustamiseks või andmesubjekti tuvastamiseks vajaliku lisateabe küsimiseks. Kui taotluse sõnastus on üldine ning ei võimalda mõistlikult kindlaks teha, milliseid andmeid või töötlemistoiminguid see puudutab, võib vastutav töötleja kooskõlas IKÜMi artikliga 12 ja põhjenduspunktiga 63 paluda taotluse täpsustamist. Seejuures tuleb iga taotlust hinnata eraldi ning vastutav töötleja ei saa üksnes taotluse automatiseeritud esitamise tõttu piirata andmesubjekti õigusi või keelduda taotluse täitmisest. 7. Kuidas tuleb sellistes olukordades kohaldada IKÜM artikli 12 lõiget 5? Millistel asjaoludel võib taotlust pidada ilmselgelt põhjendamatuks või ülemääraseks ning millist tähendust võivad omada taotluse korduvus, ulatus, otsingu objektiivne töömahukus ja taotluse esitaja keeldumine talle teadaoleva otsingut piiritleva teabe esitamisest? IKÜM artikli 12 lõiget 5 tuleks tõlgendada kitsalt ning vastutaval töötlejal lasub kohustus tõendada, et taotlus on ilmselgelt põhjendamatu või ülemäärane. Ainuüksi asjaolu, et taotlus on esitatud standardiseeritud vormis, automatiseeritult või suurele hulgale ettevõtjatele korraga, ei anna üldjuhul alust lugeda seda ilmselgelt põhjendamatuks või ülemääraseks. Euroopa Andmekaitsenõukoja suunis9 rõhutab samuti, et andmesubjekt ei pea juurdepääsuõiguse kasutamist põhjendama. Taotluse ülemäärasuse hindamisel võib siiski tähtsust omada näiteks sama andmesubjekti korduv taotluste esitamine lühikese aja jooksul, väga suure hulga andmete hõlmatus või olukord, kus taotluse täitmine nõuaks ebaproportsionaalselt ulatuslikke otsinguid. Samuti võib asjakohane olla see, kui taotluse esitaja jätab esitamata talle teadaoleva teabe, mis võimaldaks taotlust mõistlikult piiritleda, kuigi vastutav töötleja on sellist teavet põhjendatult küsinud. Sellisel juhul võib vastutav töötleja paluda taotluse täpsustamist, eelkõige olukordades, millele viitab IKÜMi põhjenduspunkt 63, kuid see ei tähenda automaatselt, et taotlus oleks ilmselgelt põhjendamatu või ülemäärane. Seega tuleb iga juhtumit hinnata eraldi, võttes arvesse nii andmesubjekti õiguste tõhusa kaitse vajadust kui ka taotluse tegelikku ulatust ja menetlemisega seotud objektiivseid asjaolusid. Pelgalt suur halduskoormus või taotluste massiline esitamine ei ole üldjuhul piisav alus IKÜM artikli 12 lõike 5 kohaldamiseks.10 8. Kuidas määratakse IKÜM artikli 12 lõike 5 alusel küsitav mõistlik tasu? Kui nimetatud sätte kohaldamise eeldused on täidetud, siis milliseid tegelikke halduskulusid võib vastutav töötleja tasu määramisel arvesse võtta? Kas arvesse võib võtta näiteks töötajate tööaega, arhiiviotsingu tegelikku kulu, tehnilisi otsinguid või põhjendatult vajalikku välise spetsialisti abi? Kui erandi kohaldamise tingimused on täidetud, arvutatakse mõistlik tasu järgmiselt: Põhineb tegelikel halduskuludel: Artikkel 12 lõike 5 punkt a sätestab, et tasu määramisel tuleb võtta arvesse halduskulu, mis kaasneb teabe esitamise, teavitamise või taotletud meetmete võtmisega. IKÜM ei täpsusta ammendavalt, millised kulud võivad moodustada mõistliku tasu. Vastutav töötleja peab suutma põhjendada, et tasu vastab konkreetse taotluse menetlemise tegelikele halduskuludele. 9 edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 10 edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 6 (8) Keelatud kulud: Tasu ei tohi sisaldada kasumimarginaali ega üldiseid tegevuskulusid, mida vastutav töötleja peab tegema oma tavapärase andmekaitsele vastavuse tagamiseks. Tasu eesmärk on heastada üksnes konkreetse ülemäärase taotlusega tekitatud otsekulud, mitte karistada andmesubjekti. Tuleb eristada artikli 12 lõiget 5 artikli 15 lõikest 3: Kui andmesubjekt taotleb sama teabe täiendavaid lisakoopiaid (olemasoleva koopia kõrvale), võib vastutav töötleja küsida halduskuludel põhinevat mõistlikku tasu ilma, et ta peaks tõendama taotluse selget põhjendamatust või ülemäärast laadi. Esimene koopia ja esmane tutvumisõigus peavad olema tasuta, välja arvatud juhul, kui vastutav töötleja tõendab taotluse selgelt põhjendamatut või ülemäärast (nt kuritarvituslikku) iseloomu. IKÜM põhjenduspunkt 59 märgib samuti, millega andmetöötleja peab arvestama kui inimene soovib oma õiguseid teostada: Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil taotleda ja vajaduse korral hankida tasuta eelkõige juurdepääsu õigusele nõuda isikuandmete parandamist või kustutamist ning kasutada õigust esitada vastuväiteid. Vastutav töötleja peaks samuti kättesaadavaks tegema vahendid, millega taotluse saab esitada elektrooniliselt, eriti kui isikuandmeid töödeldakse elektrooniliste vahenditega. Vastutav töötleja peaks olema kohustatud vastama andmesubjekti taotlustele põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul ning kui vastutav töötleja ei kavatse andmesubjekti taotlust rahuldada, siis seda põhjendama. 9. Millised IKÜM-ist tulenevad kohustused on professionaalsel teenuseosutajal, kes kogub või hangib isikuandmeid selleks, et määrata kindlaks ettevõtjad, kellele andmesubjekti nimel taotlusi saata? Palusime selgitada muu hulgas sellise töötlemise õigusliku aluse, läbipaistvuse ning IKÜM artikli 14 võimaliku kohaldumise põhimõtteid olukorras, kus andmed ei pärine andmesubjektilt endalt. Viidatud teenuse osutajal on täpselt samad kohustused nagu on Teie ettevõttel- igaks isikuandmete töötlemiseks, sh kogumiseks ja säilitamiseks, peab olema õiguslik alus. Andmetöötlus peab olema läbipaistev (saadaval peab olema andmekaitsetingimused)— järgida tuleb kõiki IKÜM-st tulenevaid reegleid. 10. Kas vastutav töötleja võib küsida selliselt professionaalselt esindajalt taotluse mõistlikuks piiritlemiseks teavet selle kohta, millise faktilise asjaolu tõttu on konkreetne ettevõtja valitud taotluse adressaadiks? Me ei pea siin silmas nõuet avaldada esindaja ärisaladust ega kogu tema metoodikat. Küsimus on selles, kas vastutav töötleja võib paluda vähemalt sellist faktilist konteksti, mis võimaldaks tal kontrollida õigeid andmekogusid ja ajavahemikke. Vastutav töötleja võib taotluse täpsustamiseks paluda taotlejalt või tema esindajalt täiendavaid selgitusi, kui need on vajalikud taotluse sisu mõistmiseks või taotluse mõistlikuks piiritlemiseks. See võib hõlmata näiteks teavet selle kohta, millise sündmuse, õigussuhte või muu faktilise seose tõttu eeldab andmesubjekt, et konkreetne ettevõtja tema isikuandmeid töötleb. Sellise teabe küsimise eesmärk ei ole saada teavet esindaja ärisaladuse, töömeetodite või muu konfidentsiaalse teabe kohta, vaid võimaldada vastutaval töötlejal teha tõhus ja sihipärane otsing asjakohastest andmetest. Samas ei saa vastutav töötleja nõuda andmesubjektilt või tema esindajalt põhjendust isikuandmetega tutvumise õiguse kasutamiseks ega seada taotluse menetlemist sõltuvusse sellise põhjenduse esitamisest. Küsitav lisateave peab olema objektiivselt vajalik taotluse nõuetekohaseks täitmiseks ning piirduma üksnes eesmärgi saavutamiseks vajaliku ulatusega11. 11 Kooskõla IKÜM artikli 12 lõikega 6 ja artikli 15 eesmärgiga: töötleja võib küsida täpsustusi, et taotlust menetleda, kuid ei või hakata uurima, miks andmesubjekt oma õigust kasutab. 7 (8) 11. Kas vastutaval töötlejal, kes pärast mõistlikku kontrolli tuvastab, et taotluses nimetatud andmesubjekti isikuandmeid ei töödelda ega ole tuvastatavalt töödeldud, on IKÜM-ist tulenev kohustus anda sellest andmesubjektile või tema volitatud esindajale eraldi kirjalik kinnitus? Jah, andmetöötleja peab andmesubjekti (ja/või tema esindaja) taotlusele vastama ning teavitama, kui tema käsutuses oleva teabe kohaselt andmesubjekti isikuandmeid ei töödelda. Kokkuvõtteks selgitame, et isikuandmete töötlemist reguleerib IKÜM. IKÜM artikkel 17 annab inimesele õiguse andmete kustutamise nõudeks. Tegemist ei ole aga absoluutse õigusega. Isikuandmete töötleja on kohustatud inimese andmed kustutada üksnes sama sätte lõikes 1 loetletud juhtudel, eelkõige kui isikuandmeid töödeldakse ebaseaduslikult. Seda, kas Teie ettevõte töötleb pöörduja isikuandmeid ning kas nende töötlemine on kohane ning õiguspärane, mh näiteks 30 aastat, peab teadma ning selgitama vastutav töötleja ehk Teie. Lõpetuseks, iga ettevõte peaks esmalt välja selgitama, kas ta töötleb isikuandmeid, seejärel miks ja millisel alusel ta neid töötleb, ning lõpuks kuidas tagada nende kaitse ja andmesubjektide õigused. Enamik andmekaitseprobleeme tuleneb sellest, et mõni neist küsimustest on jäetud süsteemselt läbi mõtlemata. Lisainformatsiooni saamiseks palumegi tutvuda AKI veebilehel avaldatud materjalidega, mis toetavad andmetöötlejat:  AKI on andmetöötlejale koostanud teemakohaseid materjale, mis on koondatud siia: Andmetöötluse põhimõtted | Andmekaitse Inspektsioon.  Korduma kippuvad küsimused (KKK);  isikuandmete töötlemise üldjuhend, kus on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma.  Andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel leiab informatsiooni siit.  Andmekaitsetingimuste koostamisest: Andmekaitsetingimuste koostamine | Andmekaitse Inspektsioon;  Abimaterjalide alt on leitavad: vastavus isikuandmete kaitse üldmäärusega, andmekaitsetingimused ja nõusolek.  Andmekaitse Inspektsioonil on ka kasutuses Bürokratt, mis asub veebilehel all paremas nurgas ning mis abistab erinevate küsimuste korral. Loodame, et meie selgitustest on abi. Lugupidamisega Liina Kroonberg jurist peadirektori volitusel 8 (8)