Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST ASUTUSESISESEKS KASUTAMISEKS Teabevaldaja: Andmekaitse Inspektsioon Märge tehtud: Juurdepääsupiirang kehtib kuni: Alus: Lp Teevi Zeemann 27.08.2026 nr 2.2-10/26/3165-2 [email protected] OÜ Kaksikfoto Tähelepanu juhtimine Andmekaitse Inspektsioon (AKI) sai märgukirja, milles juhiti tähelepanu OÜ Kaksikfoto praktikale, mille kohaselt ettevõte jätab endale õiguse kasutada klientide fotosid ettevõtte reklaamieesmärkidel, sealhulgas kodulehel ja sotsiaalmeedias ning küsib lisatasu, kui isik selliste tingimustega nõus ei ole. Kuna kirjeldatud praktika võib olla vastuolus isikuandmete kaitse üldmääruse (IKÜM)1 nõuetega, juhib Andmekaitse Inspektsioon ettevõtte tähelepanu kehtivatele andmekaitsenõuetele ning palub viia isikuandmete töötlemise korraldus vastavusse IKÜM-i põhimõtete ja nõuetega. Igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus. Isikuandmete töötlemise (sh avaldamise) alused tulenevad isikuandmete kaitse üldmääruse artiklist 6 (nõusolek 2, leping3, õigustatud huvi4 jm). Fotograafide tehtud piltide avaldamise osas saab üldiselt tulla kõne alla leping või nõusolek. Nõusolek on IKÜM-i tähenduses andmesubjekti vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, milles isik nõustub enda kohta käivate isikuandmete töötlemisega.5 IKÜM artikkel 7 sätestab nõusoleku kehtivuse tingimused ning rõhutab, et vastutav töötleja peab suutma tõendada, et andmesubjekt on oma isikuandmete töötlemisega tegelikult nõustunud. Kui nõusolek antakse kirjaliku kinnituse osana, peab see olema muudest tingimustest selgelt eristatav, arusaadavalt esitatud ja lihtsas keeles sõnastatud. Isikul peab olema võimalus nõusolek igal ajal sama lihtsal viisil tagasi võtta ning teda tuleb sellest teavitada enne nõusoleku andmist. Nõusoleku vabatahtlikkuse hindamisel tuleb arvesse võtta, kas teenuse osutamine või lepingu täitmine on seatud sõltuvusse nõusolekust sellise isikuandmete töötlemise suhtes, mis ei ole lepingu täitmiseks vajalik. Sellisel juhul ei saa nõusolekut pidada vabatahtlikuks. Üsna tavapärane praktika on, et fotograafid soovivad tehtud fotosid kasutada enda reklaamiks. Fotograafil on autoriõigus fotodele, mida ta fotosessiooni käigus teeb, kuid samal ajal on inimestel, kes fotodel on, õigus isikuandmete kaitsele, kuna fotodel on inimese isikuandmed6 1 Euroopa Parlamendi ja Nõukogu isikuandmete kaitse üldmäärus (EL) 2016/679 2 IKÜM art 6 lg 1 punkt a 3 IKÜM art 6 lg 1 punkt b 4 IKÜM art 6 lg 1 punkt f 5 IKÜM art 4 p 11 6 IKÜM art 4 punkt 1 Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 (kujutis). Seega tuleb fotograafi juures pildistamas käies sõlmida selged kokkulepped fotode edasise kasutamise osas. Sisuliselt sõlmitakse fotograafiga leping, millega lepitakse kokku teenuse osutamise tingimused. Kuid iga inimese enda otsustada on, kas ta soovib oma isikuandmeid sisaldavaid fotosid lubada fotograafil avalikustada või mitte. Seega fotograafil peab olema olemas isiku nõusolek isikuandmete avaldamiseks. Kui inimene nõusolekut andnud ei ole, siis fotograafil ei ole õigust selle isiku isikuandmeid (kujutis) sisaldavaid fotosid oma sotsiaalmeedia kontodel jms avaldada. Lisaks tuleb arvestada ka sellega, et kui üks inimene tellib fotograafilt fotosessiooni, kus osaleb mitu inimest, siis tellija saab isikuandmete avaldamiseks otsuse teha vaid enda osas, teiste inimeste eest seda teha ei saa. Inspektsioonile teadaolevalt jätab OÜ Kaksikfoto endale õiguse kasutada klientide fotosid ettevõtte reklaamieesmärkidel, sealhulgas kodulehel ja sotsiaalmeedias7. Kui teenusekirjelduses on fotode kasutamise tingimus esitatud üksnes üldise infona kodulehel ning kliendilt ei küsita eraldi ja selgelt eristatavat nõusolekut, siis selline praktika ei vasta nõusoleku nõuetele. Kui nõusolekut ei ole tegelikult antud, ei saa seda pidada kehtivaks aluseks fotode reklaamieesmärgil kasutamiseks. Lisaks on kodulehel märgitud, et õigus klientide isikuandmeid kasutada kehtib ka ettevõtte koostööpartneritele, kelle tooteid piltidel kasutatakse, mis laiendab töötlemise eesmärki ja andmete saajate ringi. Tegemist on eraldi töötlemise eesmärgiga, mis eeldab eraldi nõusolekut ning selget teavet selle kohta, kes on andmete saajad ja millisel eesmärgil nad andmeid kasutavad. Üldine viide koostööpartneritele ei täida IKÜM artikli 13 läbipaistvuse nõudeid ega võimalda andmesubjektil mõista töötlemise ulatust. Seega ei ole läbipaistev, millisel õiguslikul alusel koostööpartnerid andmeid töötlevad ja kes konkreetselt isikuandmeid töötlevad. Täiendavat tähelepanu vajab asjaolu, et ettevõte pakub „täieliku privaatsuse“ võimalust lisatasu eest. Selline hinnastamispraktika mõjutab nõusoleku vabatahtlikkust, kuna loob olukorra, kus andmesubjekt peab maksma selle eest, et ettevõte ei töötleks tema isikuandmeid reklaamieesmärgil. IKÜM-i kohaselt ei ole nõusolek vabatahtlik, kui selle mitteandmine muudab teenuse kasutamise isikule kulukamaks. Kui teenuse tavahind eeldab nõusolekut ja nõusoleku mitteandmine muudab teenuse oluliselt kallimaks, muudab selline praktika sisuliselt nõusoleku tasuliseks ning seega mitte-vabatahtlikuks. Nii nagu eespool selgitatud, siis IKÜM kohaselt on isikuandmete töötlemise õiguspärasuse eelduseks, et isik annab oma nõusoleku vabatahtlikult, teadlikult, konkreetselt ja üheselt mõistetavalt. Nõusolek peab olema eristatav muudest lepingutingimustest ning andmesubjektil peab olema tegelik võimalus valida, kas ta lubab oma isikuandmete kasutamist reklaamieesmärkidel või mitte. Praktika, mille puhul nõusolekut ei küsita eraldi, vaid eeldatakse selle olemasolu üldtingimuste kaudu, ei vasta IKÜM artikli 4 lõike 11 ja artikli 7 nõuetele. Reklaamieesmärgil fotode kasutamine ei ole teenuse osutamiseks vältimatult vajalik ning seetõttu ei saa seda siduda vaikimisi eelduste või üldiste teenusekirjeldustega. Kokkuvõttes on kirjeldatud praktika vastuolus IKÜM-i nõuetega, eelkõige nõusoleku kehtivuse, vabatahtlikkuse ja läbipaistvuse põhimõtetega. Inspektsioon palub ettevõttel oma isikuandmete töötlemise korraldus AKI antud selgituste põhjal üle vaadata ning viia see kooskõlla kehtivate andmekaitsenõuetega, tagamaks andmesubjektide isikuandmete õiguspärane ja läbipaistev töötlemine. Isikuandmete töötlemise ja andmetöötleja kohustuste kohta leiate selgitusi veel isikuandmete töötleja üldjuhendist. 7 Tingimused - Kaksikfoto 2 (3) Käesolevale tähelepanu juhtimisele inspektsioon vastust ei oota, kuid selgitame, et inspektsioon võib igal ajal ette teatamata kontrollida andmekaitsenõuete täitmist8 ja vajadusel alustada järelevalvemenetluse. Lugupidamisega (allkirjastatud digitaalselt) Mari-Liis Uprus jurist peadirektori volitusel 8 Isikuandmete kaitse seaduse § 57 koosmõjus korrakaitseseaduse §-de 50 ja 51 alusel. 3 (3)