ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Elis Vija Teie 04.03.2026
[email protected]
Meie 31.03.2026 nr 2.2-9/26/874-3
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses vastutava töötleja rolliga
isikuandmete töötlemisel, milles küsite AKI arvamust selle kohta, kas teatud juhtudel võivad
välismaine äriühing ja filiaal üheskoos olla kaasvastutavad töötlejad ning kas teatud tingimustel
filiaal saab olla iseseisev vastutav töötleja.
Isikuandmete kaitse üldmäruse (IKÜM) art 4 p 7 kohaselt on vastutav töötleja füüsiline või
juriidiline isik, ametiasutus, asutus või muu organ, kes määrab kindlaks isikuandmete töötlemise
eesmärgid ja vahendid. Kuigi määrus ei nõua, et vastutav töötleja peab olema juriidiline isik,
peab vastutav töötleja olema faktiliselt ja õiguslikult suuteline täitma kõiki IKÜM-ist tulenevaid
kohustusi, sh vastutama art 5 lg 2 kohase vastutuse põhimõtte täitmise eest.
Euroopa Kohus1 rõhutas, et üksus, kellel puudub õigusvõime, saab olla vastutav töötleja üksnes
juhul, kui liikmesriigi õigus annab talle selgesõnaliselt nii töötlemise eesmärkide ja vahendite
määramise pädevuse kui ka vastutuse. See tähendab, et pelgalt faktiline otsustusõigus ei ole
piisav, vaid vajalik on subjekti õigusvõime. Samas rõhutab kohus, et kui üksus on pelgalt
kõrgema üksuse abiorgan, millel puudub nii iseseisev õigusvõime kui ka iseseisev vastutus, ei
saa seda käsitada eraldiseisva vastutava töötlejana.
Ka Euroopa Andmekaitsenõukogu suunistes on märgitud, et osakonnad, üksikud asutused või
muud elemendid, mis ei ole juriidiliselt iseseisvad, moodustavad tavaliselt ühe vastutava töötleja
koos juriidilise isikuga, kuhu nad kuuluvad2.
Küsimus, kas konkreetne üksus saab olla vastutav töötleja, sõltub lõppastmes ka siseriiklikust
õigusest, eelkõige sellest, kas tegemist on iseseisva õigussubjektiga, kellel on õigused ja
kohustused.
Eesti õiguse3 kohaselt ei ole filiaal iseseisev juriidiline isik ning filiaali tegevusest tulenevate
kohustuste eest vastutab välismaa äriühing. Sellest tulenevalt filiaal tegutseb äriühingu nimel,
filiaalil puudub iseseisev õigusvõime kanda vastutust andmesubjektide ees ning õigussuhted (sh
võimalikud nõuded ja vastutus) realiseeruvad äriühingu kaudu. Ehk filiaal Eesti õigussüsteemis
on käsitatav äriühingu organisatsioonilise üksusena (sarnaselt osakonnale), kes võib küll
praktiliselt osaleda töötlemise eesmärkide ja vahendite määratlemisel, kuid teeb seda äriühingu
nimel.
1
Euroopa Kohtu otsus kohtuasjas C‑638/23
2
Suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses, p 17
3
Äriseadustiku (ÄS) § 384
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Kaasvastutavate töötlejate (IKÜM art 26) kontseptsioon eeldab, et osapooled määravad ühiselt
kindlaks töötlemise eesmärgid ja vahendid ning jaotavad vastutuse omavahel siduva
kokkuleppega. Praktikas eeldab see ka osapoolte võimet kanda vastutust ning osaleda
õigussuhetes. Filiaali puhul tuleb arvestada, et tal puudub iseseisev õigusvõime, mistõttu ei saa
ta üldjuhul olla eraldiseisev lepingupool ega vastutuse kandja väljaspool äriühingut.
Eeltoodust tulenevalt ei ole AKI hinnangul tavapäraselt põhjendatud käsitada filiaali iseseisva
vastutava töötlejana ega kaasvastutava töötlejana koos äriühinguga. Erandlikud olukorrad võivad
sõltuda konkreetsetest faktilistest asjaoludest (nt otsustusautonoomia tegelik ulatus,
organisatsiooniline korraldus), kuid ka sellisel juhul realiseerub õiguslik vastutus
andmesubjektide ees üldjuhul äriühingu kaudu.
Kokkuvõttes nõustub AKI pöördumises esitatud põhimõttelise seisukohaga, et Eesti õiguse
kontekstis tuleb filiaali käsitada eelkõige äriühingu osana, mitte iseseisva vastutava töötlejana.
Eestis registreeritud välismaise äriühingu filiaal ei saa kujuneda ei iseseisvaks vastutavaks
töötlejaks ega kaasvastutavaks töötlejaks IKÜM tähenduses.
Loodame, et meie selgitustest on abi.
Lugupidamisega
Irina Meldjuk
jurist
peadirektori volitusel
2 (2)