ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Telia Eesti AS Teie: 15.09.2016
Meie: 18.10.2016 nr 2.3.-3/16/1567
[email protected]
Teade järelevalvemenetluse lõpetamisest
Täname Teid saadetud vastuste ja selgituste eest.
Andmekaitse Inspektsioon annab käesolevaga teada, et lõpetasime riikliku järelevalve
menetluse.
Lugupidamisega
/allkirjastatud digitaalselt/
Andrus Altmeri
Andmeturbeekspert
peadirektori volitusel
Väike-Ameerika 19 / 10129 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Mobiilsideettevõtete Balti ühisjärelevalve 2016
27.-28. juunil 2016. a Riias toimunud Balti riikide andmekaitseasutuste kohtumisel lepiti 2016. aasta
ühise järelevalve teemana kokku kõigi kolme riigi mobiilsideettevõtete ja nende koostööpartnerite
vahel sõlmitud lepingute järelevalve.
Eestis viis Andmekaitse Inspektsioon järelevalve läbi augustis-septembris ning järelevalve eest
vastutas andmeturbeekspert Andrus Altmeri. Järelevalve käigus keskenduti klientide isikuandmete
töötlemise õiguslikele alustele mobiilsideettevõtetes ja nende koostööpartneriteks olevates
hooldusfirmades. Tähelepanu all oli isikuandmete töötlemine olukorras, kus mobiilsideettevõttelt
ostetud elektroonilise seadme hoolduse käigus töötleb kliendi isikuandmeid mobiilsideettevõtte
asemel hoopis remondi- ja hooldusteenust pakkuv ettevõte.
Eesti isikuandmete kaitse seaduse § 7 käsitleb isikuandmete töötlemist ning sätestab vastutava ja
volitatud isikuandmete töötleja mõisted. 1 Kõik hooldus- ja remonditeenust pakkuvad
partnerettevõtted, kelle juurde mobiilsideettevõtte kliendid suunatakse, on seaduse mõistes
volitatud isikuandmete töötlejad. Remondifirmade õigus mobiilsideettevõtte klientide isikuandmeid
töödelda saab tuleneda mobiilsideettevõtte kui isikuandmete vastutava töötleja ning
remondiettevõtete vahel sõlmitud lepingust. Oma kliendi isikuandmete kaitse eest vastutab
mobiilsideettevõte ka siis, kui isikuandmeid töötleb koostööpartneriks oleva hooldusettevõtte
töötaja.
Andmekaitse Inspektsioon menetles 2016. aastal mitut juhtumit, kus mobiilsideettevõtete klientide
isikuandmed sattusid võõrastesse kätesse just seadmete hoolduse, remondi või asendusseadme
väljastamise käigus. Peale ühe sellise väärteoga lõppenud juhtumi menetlemist juhtis Andmekaitse
Inspektsioon isikuandmete kaitse võimalikele puudustele tähelepanu ka oma 12.05.2016
mobiilsideettevõtetele saadetud ringkirjas. 2016. aasta septembris pöördus Andmekaitse
Inspektsioon Eesti mobiilsideettevõtete Telia Eesti AS, Elisa Eesti AS ja Tele2 Eesti AS poole
hetkeolukorra kaardistamiseks ning analüüsis ettevõtete vastustes saadetud isikuandmete kaitset
käsitlevaid dokumente, konfidentsiaalsuspõhimõtteid ning koostööpartneritega sõlmitud lepingute
näidiseid.
Inspektsioon tuvastas järelevalve käigus, et mobiilsideettevõtete ja nende partnerite vahelised
lepingud ei käsitle isikuandmete kaitset piisavalt selgesõnaliselt. Vastutava ning volitatud töötleja
omavahelised kohustused isikuandmete kaitse seaduse mõistes ei ole kas üldse välja toodud või on
toodud liiga üldsõnaliselt. Isikuandmete kaitsega tegeletakse mobiilsideettevõtetes vaid juhtkonna
tasemel ja sageli käsitletakse klientide isikuandmete kaitset vaid ühe osana üldisest
konfidentsiaalsuskohustusest ning keskendutakse pigem ärisaladuse mõistele. Isikuandmete
töötlemise põhimõtteid ja kaitset võidakse käsitleda eraldi dokumendina, millele lepingutes
viidatakse ja mille sisu ei pruugi olla koostööpartneritele ilmtingimata tuttav.
Probleemiks on ka mobiilside- ja hooldusettevõtetes kasutusel olevad tööprotsessid, kus
mobiilsideettevõtte või hooldusettevõtte töötajalt eeldatakse seadmest või seadme mälust
isikuandmete käsitsi kustutamist. Sellisel puhul on tõenäoline töötaja inimliku eksimuse võimalus ja
klientide isikuandmete sattumine võõrastesse kätesse.
Inspektsioon loodab, et isikuandmete kaitsele pööratakse tulevikus senisest veel suuremat
tähelepanu ning seda ka koostööpartneritega sõlmitud lepingutes.
1
https://www.riigiteataja.ee/otsingu_tulemus.html?sakk=kehtivad&otsisona=IKS
Andmekaitse Inspektsioon soovitab mobiilsideettevõtetel:
üle vaadata kõik koostööpartneritega sõlmitud ja tulevikus sõlmitavad lepingud, et
isikuandmete volitatud töötlemine ning sellega kaasnev vastutus oleks kindlasti selliste
koostöövormide lahutamatu osa. Tuletame meelde, et vastutava ning volitatud töötleja
mõisted on olemas ka 2018. aastal jõustuvas ühtses Euroopa Liidu andmekaitsemääruses; 2
automatiseerida hooldusesse ja remonti tulevate (samuti asenduseks antavate)
elektrooniliste seadmete käitlemise tööprotsessid, et isikuandmete kustutamine ei toimuks
käsitsi. Sellisel puhul välistataks klienditeenindaja või hooldustehniku inimliku eksimuse
võimalus, kus võõraste isikuandmetega seade jõuab järgmise kliendini;
jätkuvalt tegeleda oma ettevõtte töötajate koolitusega isikuandmete ja infoturbe
valdkondades. Nõuda seda ka oma koostööpartneritelt, et just igapäevaselt isikuandmeid
käsitlevad töötajad oleksid teadlikud oma vastutusest ning ei peaks andmekaitset vaid
ettevõtte infoturbespetsialistide pärusmaaks.
2
http://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32016R0679